centos dhcp如何安全设置

CentOS DHCP 安全设置清单

一 服务端加固

• 限定监听接口与最小暴露面：在 /etc/sysconfig/dhcpd 中设置仅监听内网接口（如：DHCPDARGS=“ens33”），避免服务器在所有接口上应答 DHCP 请求。
• 明确权威声明与访问控制：在 /etc/dhcp/dhcpd.conf 的全局作用域加入 authoritative;，对未知客户端统一拒绝（deny unknown-clients;），仅对受管主机通过 host { hardware ethernet …; fixed-address …; } 白名单放行。
• 强化文件与进程安全：配置文件与租约文件权限最小化（如：/etc/dhcp/dhcpd.conf 640 root:dhcpd，/var/lib/dhcp/dhcpd.leases 640 dhcpd:dhcpd），仅 dhcpd 服务账号可读写。
• 日志与审计：在配置中启用 log-facility local7;，并在 /etc/rsyslog.conf 增加 local7. /var/log/dhcpd.log*，集中留存 DHCP 分配与拒绝事件，便于审计与告警。
• 地址冲突检测：在子网或全局启用 ping-check on; ping-timeout 2;，分配前探测地址冲突，降低误分配与二层冲突风险。
• 租约与地址规划：设置合理租约（如 default-lease-time 600; max-lease-time 7200;），并对关键设备做 MAC–IP 绑定，减少 IP 滥用与欺骗空间。
• 动态 DNS 谨慎启用：若启用 ddns-update-style interim;，建议配合 ignore client-updates; 与 TSIG 密钥，仅允许受控更新，避免被滥用写入伪造记录。

二 网络层防护

• 启用 DHCP Snooping：在接入交换机开启 ip dhcp snooping，将上联/合法 DHCP 服务器端口设为 trust，其余接入端口设为 untrust，仅允许来自信任口的 DHCP 报文，阻断伪装 DHCP 服务器。
• 防洪泛与限速：开启 DHCP 报文速率检测/限速，抑制 DHCP 饿死与 DoS 攻击。
• ARP 防护联动：结合 DAI（Dynamic ARP Inspection） 使用 Snooping 绑定表校验 ARP，仅放行与绑定表一致的 ARP 报文，阻断 ARP 欺骗与中间人。
• 端口安全与绑定：基于 Snooping 绑定表将客户端 静态 MAC 固化到端口，或限制每端口最大 DHCP 客户端数量，进一步压缩攻击面。

三 客户端安全

• 最小权限配置：在 /etc/dhcp/dhclient.conf 中使用 require subnet-mask, domain-name-servers; 强制获取关键参数；用 supersede 覆盖不安全的 DNS/域名；设置 timeout 30; retry 5; 降低被劫持时的暴露时间。
• 静态地址替代：对服务器、关键终端优先采用 静态 IP，减少 DHCP 依赖与攻击面。
• 日志与监控：将客户端日志纳入统一审计（如 kern. /var/log/dhcpd.log*），定期核查异常请求与失败续租。
• 系统加固：保持系统与 DHCP 客户端组件 及时更新，并启用 SELinux 等强制访问控制降低被滥用风险。

四 防火墙与最小权限网络

• 精确放行 DHCP 服务：在 firewalld 中仅允许 DHCP 服务（UDP 67/68）通过，避免对全网开放不必要的 DHCP 流量。
• 精细化访问控制：如需更严格控制，可在边界/接入防火墙对 DHCP 源/目的与接口做白名单策略，仅允许受管 VLAN 与服务器网段通信。

五 运维与高可用

• 配置与语法检查：变更前执行 dhcpd -t -cf /etc/dhcp/dhcpd.conf 校验；上线后用 journalctl -u dhcpd 或 tail -f /var/log/messages | grep dhcpd 观察分配与拒绝事件。
• 租约与备份：定期查看 /var/lib/dhcpd/dhcpd.leases，必要时备份 /etc/dhcp/ 与租约文件，变更失败可快速回滚。
• 高可用设计：采用 80/20 地址池分割 部署主备 DHCP 服务器，提升容灾能力，避免单点故障导致全网断网。