Servidor DHCP

Introdução ao DHCP (Dynamic Host Configuration Protocol)

O protocolo de configuração dinâmica de host, do inglês Dynamic Host Configuration Protocol (DHCP), é um protocolo de rede que permite um servidor de rede/servidor DHCP alocar dinamicamente endereço IP, máscara de sub-rede, gateways padrão e outros parâmetros de configuração de rede aos dispositivos solicitantes. O software de servidor DHCP automatiza a tarefa corriqueira de configuração de IP feita pelo administrador de rede ao automatizar a alocação de IP de forma eficiente e minimizar o desperdício e os conflitos de IP. O servidor DHCP pode alocar dinamicamente endereços de IP da sua base de endereços para os dispositivos de rede, e recuperá-los. Neste documento, discutiremos:

• Principais funções do DHCP
• As 4 etapas do DHCP: O processo DORA
• Agente de retransmissão DHCP
• Ataques DHCP e segurança
• Configurações DHCP
• Por que o servidor DHCP é utilizado?
• Gerenciamento de servidores DHCP

Informações adicionais

Para começarmos, aqui está uma lista de termos que você precisa conhecer antes de entender melhor o DHCP e o funcionamento da ferramenta de servidor DHCP.

Servidor DHCP: Um servidor de rede que está configurado para executar o serviço DHCP. Os servidores DHCP são responsáveis por atribuir IPs automaticamente aos dispositivos da rede. O armazenamento de dados do servidor contém um conjunto de endereços de IP que podem ser alocados nos clientes solicitantes.

Cliente DHCP: Um dispositivo de rede, tal como notebooks e impressoras, que é compatível com serviços de cliente DHCP. Os clientes DHCP são capazes de solicitar aos servidores DHCP endereços de IP dinâmicos e parâmetros de rede, para se comunicarem pela internet.

Escopo DHCP: O escopo DHCP especifica o intervalo de endereços de IP que um servidor DHCP pode fornecer aos seus clientes. Ele deve ser configurado para determinar o conjunto de endereços de IP que o servidor DHCP pode conceder ou renovar.

Pool de IP: Um conjunto de endereços de IP sequenciais que um servidor DHCP pode atribuir aos clientes solicitantes.

Por exemplo: Se o servidor DHCP A possui um pool de IP de 192.168.20.1 a 192.168.20.25, então ele pode atribuir qualquer endereço IP dentro desse intervalo aos dispositivos de rede solicitantes.

IP estático: IPs estáticos são endereços de IP que são atribuídos manualmente aos dispositivos de rede.

Eles são alocações fixas de endereços, e não estão sujeitos a mudanças em momento algum durante a criação da rede.

Por exemplo: 172.217.6.164 é o endereço IP estático do Google. Você pode acessar o Google a qualquer momento utilizando esse IP estático.

IP dinâmico: IPs dinâmicos são endereços de IP atribuídos automaticamente aos dispositivos de rede por um provedor de endereço, como os servidores DHCP. Essas alocações estão sujeitas a mudanças. Um dispositivo compatível com a alocação dinâmica de IP não precisa ter o mesmo endereço IP toda vez que se conecta à internet.

Por exemplo: O endereço IP atribuído ao seu dispositivo ao se conectar a um Wi-Fi gratuito pode mudar toda vez que fizer uma nova conexão.

Gateway padrão: Gateways padrão são dispositivos, como roteadores, que permitem a comunicação entre redes.

Principais funções do DHCP

Embora seja possível para o administrador de rede configurar manualmente endereços de IP e outros parâmetros de rede para cada dispositivo na rede, essa tarefa se torna extremamente entediante e difícil à medida que a rede cresce. Com a implementação de políticas como "traga seu próprio dispositivo" (BYOD - do inglês bring your own device) para melhorar a produtividade, é um fardo para os administradores de rede de TI atribuir endereços de IP e controlá-los manualmente. O DHCP foi introduzido para simplificar o processo. O DHCP automatiza essa tarefa corriqueira de configuração de IP ao atribuir automaticamente os endereços de IP e outros parâmetros relacionados aos dispositivos de rede. Aqui temos uma breve explicação do processo do servidor DHCP.

Quando um dispositivo de rede solicita um endereço IP para se comunicar na rede, o servidor DHCP oferece ao cliente um endereço IP do seu pool de endereços de IP. Quando o dispositivo aceita esses endereços de IP, o servidor DHCP atualiza seu armazenamento de dados com o endereço IP e o cliente alocado.

Concessão, renovação e expiração do DHCP

Como o DHCP permite a alocação dinâmica de endereço IP, o endereço alocado em um dispositivo cliente do DHCP não é fixo. O servidor DHCP não aloca um endereço IP de forma permanente em um dispositivo, mas o fornece por um período definido.

Concessão DHCP

Quando um cliente solicita um endereço IP ao servidor DHCP, ele fornece o endereço IP e os parâmetros de configuração de rede tais como a máscara de sub-rede e os gateways padrão por um período definido - chamado de concessão. O período em que o endereço IP é alocado no cliente é chamado de período de concessão. O cliente pode utilizar todos os parâmetros de rede alocados dentro desse período, e é identificado de forma exclusiva na rede usando o endereço IP alocado.

Renovação de concessão

Durante ou ao final do período de concessão, se o cliente deseja continuar utilizando os mesmos parâmetros de rede, incluindo o endereço IP, pode ser solicitada uma renovação de concessão através do servidor DHCP. O servidor DHCP, ao receber essa mensagem, renova o período de concessão do cliente, e o cliente pode continuar a utilizar o endereço IP por um período estendido.

Expiração da concessão

Ao final do período de concessão, se o cliente não solicitou a renovação ou se o servidor não recebeu a solicitação de renovação, a concessão do IP alocado expira. Isso faz com que o DHCP recupere o IP e as configurações de rede relacionadas, e o adicione de volta ao seu pool de endereços de IP.

Uso eficiente do espaço de endereçamento de IP com DHCP

Conforme observado anteriormente, todo servidor DHCP possui um pool de endereços de IP. Qualquer endereço IP dentro deste pool pode ser atribuído dinamicamente aos clientes solicitantes, e recuperado de volta ao pool.

Por que o DHCP concede endereços de IP ao invés de alocá-los permanentemente? A alocação permanente de endereços de IP, ou a alocação de endereço IP por longos períodos, pode causar escassez de endereços. Um servidor DHCP possui uma quantidade limitada de endereços de IP em seu pool de IP. Se alocarmos um endereço IP em um dispositivo específico por um longo período, então quando o número de dispositivos que desejam se conectar à rede exceder o número de endereços de IP, haverá uma interrupção no serviço, dado q o servidor DHCP não poderá fornecer seu serviço aos novos clientes.

Por exemplo:

Vamos dizer que você tem um servidor DHCP que possui 3 IPs (196.128.12.1, 196.128.12.2 e 196.128.12.3) em seu Pool de IP. O servidor DHCP é utilizado para atribuir endereços de IP dinamicamente aos dispositivos que estão entrando na rede local.

Os dispositivos A, B e C entram na rede ao mesmo tempo. O servidor DHCP designa 196.128.12.1 para A, 196.128.12.2 para B e 196.128.12.3 para C.

Agora todos os IPs do pool de IP do servidor DHCP foram atribuídos.

Cada dispositivo permanece na rede por duas horas e então desconecta.

Cenário 1: Sem período de concessão. (Os IPs são atribuídos permanentemente com alocação estática)

Quando outro dispositivo, D, entra na rede após duas horas, ele não consegue conectar a ela, visto que não existem endereços de IP disponíveis no pool de IP do servidor DHCP. Todos os IPs foram alocados aos dispositivos A, B e C de forma permanente.

Cenário 2: Período de concessão de dois dias. (IPs são atribuídos dinamicamente.)

Quando outro dispositivo, D, entra na rede após duas horas, ele não consegue se conectar a ela, visto que ainda não existem endereços de IP disponíveis. Isso ocorre porque, apesar dos dispositivos A, B e C terem desconectado da rede após duas horas, o endereço IP designado a eles tem um período de concessão de dois dias. Ou seja, os endereços de IP permanecem alocados pelos próximos dois dias. Dessa forma, o dispositivo D não pode obter um endereço IP para se conectar à rede.

Problema: Em ambos os cenários (com e sem um período de concessão), com um pool de 3 endereços de IP, o dispositivo D não pode se conectar à rede.

Solução: A solução é implementar o DHCP com um período de concessão de duas horas conforme a requisição.

Ao final do período de alocação de duas horas, a concessão expira para os dispositivos A, B e C. Os dispositivos que escolherem permanecer na rede podem renovar a concessão, enquanto a dos outros dispositivos irá expirar.

Dessa forma, quando o dispositivo D entrar na rede, a concessão para o dispositivo A terá expirado e o IP 196.128.12.1 terá sido recuperado para o pool de IP. E, por fim, esse IP pode ser atribuído para o dispositivo D.

As 4 etapas do DHCP: O processo DORA

O processo de atribuir endereços de IP e outros parâmetros de configuração de rede do servidor DHCP acontece em quatro etapas:

1. Descobrimento do servidor DHCP.
2. Oferta de concessão de IP.
3. Requisição de concessão de IP.
4. Aceitação da requisição.

Etapa 1: O cliente DHCP descobre o servidor DHCP.

Para que um dispositivo se comunique dentro de uma rede, ele necessita de um endereço IP. Um dispositivo cliente DHCP adquire o endereço IP e os parâmetros de rede ao transmitir, dentro da rede, um pacote UDP chamado DHCPDISCOVER.

Ao receber a transmissão do DHCPDISCOVER, todos os servidores não autoritativos descartam ou ignoram a mensagem. Os servidores DHCP dentro das redes recebem e processam o pacote de transmissão.

A mensagem de Descoberta de DHCP (DHCPDISCOVER) contém detalhes, como:

Neste ponto, o IP de origem do pacote de transmissão é 0.0.0, dado que o dispositivo cliente ainda não tem um endereço IP atribuído a ele. Com o IP de destino sendo 255.255.255.255, o pacote de transmissão é enviado para todos os dispositivos de rede, através de um processo chamado de transmissão limitada. O IP de destino pode ser definido para um ID de sub-rede específico para permitir uma transmissão direcionada.

Etapa 2: Servidor DHCP oferece IP e parâmetros de conexão de rede ao cliente.

Quando um servidor DHCP válido recebe a mensagem de transmissão DHCPDISCOVER, ela reserva um IP em seu pool de IP, e oferece esse IP como concessão ao cliente solicitante. Ele transmite sua oferta de concessão de IP, a máscara de sub-rede e os gateways padrão ao cliente solicitante por meio de uma mensagem DHCPOFFER.

Neste ponto, 192.168.31.9 é o servidor DHCP que oferece um endereço IP de seu pool. Tradicionalmente, essa mensagem de oferta é enviada ao cliente especificando o hardware do cliente ou o endereço MAC.

Etapa 3: O cliente reconhece a oferta necessária do DHCP e solicita a concessão do IP.

Ao receber a mensagem DHCPOFFER, o cliente solicita a atribuição do endereço IP ofertado através da mensagem DHCPOFFER ao enviar uma mensagem DHCPREQUEST ao servidor. Essa mensagem sinaliza o servidor DHCP para alocar o endereço IP ofertado que está concedido ao cliente.

Ao receber mais do que uma mensagem DHCPOFFER dos servidores na rede, o cliente envia uma mensagem DHCPREQ (Solicitação DHCP) somente ao servidor DHCP para o qual a mensagem foi primeiramente recebida pelo cliente. Outras ofertas são descartadas ou ignoradas.

Etapa 4: Servidor DHCP aceita a solicitação de concessão de IP de clientes.

Ao receber a mensagem DHCPREQUEST, o servidor DHCP atribui o endereço IP ao cliente e o registra em seu armazenamento de dados. O servidor confirma o endereço IP, a máscara de sub-rede e os detalhes de gateway padrão alocados ao enviar uma mensagem DHCPACK (Aceitação de DHCP).

O cliente agora pode começar a utilizar o IP alocado e os parâmetros de rede.

O cliente DHCP se configura com os parâmetros de rede recebidos.

Agente de retransmissão DHCP

Os dispositivos podem enviar mensagens de transmissão somente dentro da rede que fazem parte. Eles não podem transmitir mensagens através das redes ou sub-redes. Quando não há servidor DHCP válido dentro de uma rede, um dispositivo dentro dessa rede não pode adquirir um endereço IP, visto que ele não pode transmitir mensagens DHCPDISCOVER para os servidores fora de sua rede.

Esse problema é resolvido utilizando um agente de retransmissão DHCP.

Digamos que temos duas redes, rede A e rede B, conectadas por um roteador. Existe um servidor DHCP válido na rede A. Todo dispositivo dentro da rede A pode adquirir uma concessão de IP através desse servidor. Imagine que não há um servidor de DHCP na rede B. Como os dispositivos não podem transmitir entre redes, os dispositivos na rede B não podem adquirir uma concessão de IP.

As duas formas de abordar esse problema são:

• Usar um servidor DHCP separado na rede B.
• Usar um agente de retransmissão DHCP.

Usamos um agente de retransmissão DHCP configurando o serviço de retransmissão DHCP em um dos dispositivos na rede B. Esse dispositivo receberá as mensagens de transmissão DHCPDISCOVER dos clientes na rede B e as encaminha para o servidor DHCP na rede A. O servidor DHCP da rede A envia o DHCPOFFER para o agente de retransmissão na rede B, que transmite a mensagem dentro da sua rede. De forma similar, as mensagens DHCPREQ e DHCPACK são trocadas entre o cliente DHCP na rede B e o servidor DHCP na rede A ao retransmitir através do agente DHCP que pode atuar como um intermediário.

Por que usar um agente de retransmissão e não um servidor DHCP nas sub-redes?

Utilizar um servidor DHCP na rede B introduz duas dificuldades quando comparado à utilização de um agente de retransmissão:

• Custo — O custo de implementar um servidor DHCP separado é maior que o de configurar um agente de retransmissão.
• Sobrecarga de gerenciamento — Gerenciar servidores de DHCP separados em diferentes redes aumenta a sobrecarga de gerenciamento de rede para o administrador de rede.

Configurar um agente de retransmissão separado torna o processo muito mais fácil. O agente de retransmissão pode ser um dispositivo na rede, ou o próprio roteador da rede pode ser configurado para fornecer o serviço de retransmissão de DHCP.

Ataques DHCP e segurança

O DHCP básico não possui mecanismos padrões de autenticação ou validação. Isso pode abrir a rede para:

• Servidores DHCP não autenticados ou não autorizados fornecendo ofertas de DHCP falsas para clientes DHCP válidos ou autênticos.
• Servidores DHCP válidos ou autênticos podem acabar fornecendo ofertas de DHCP para clientes DHCP não autênticos ou não autorizados que estejam tentando acessar a rede.
• Ataques de esgotamento de recursos provenientes de clientes DHCP mal-intencionados podem causar interrupções de serviço em clientes DHCP válidos na rede.

Um dos ataques DHCP comuns é o spoofing de DHCP.

Spoofing de DHCP

Um invasor ou agente malicioso pode se passar por um servidor de DHCP válido utilizando a técnica man-in-the-middle. Esse invasor pode ser um ponto de acesso não autorizado ou roteador sem fio com um servidor DHCP integrado. Quando um cliente DHCP válido envia um DHCPDISCOVER, o invasor na rede envia uma DHCPOFFER. Quando o cliente solicita e começa a utilizar o endereço IP fornecido pelo servidor do invasor, o gateway padrão fornecido pelo invasor o permite obter visibilidade de todo o tráfego entre o cliente e a rede através do gateway padrão. Assim, o invasor pode espionar o tráfego de um cliente.

Para evitar esse ataque, os administradores de rede configuram o DHCP snooping na rede.

Snooping de DHCP

O snooping de DHCP permite que um switch processe uma mensagem DHCPOFFER somente se ela tiver sido enviada através de uma porta confiável.

O processo de snooping de DHCP envolve marcar inicialmente todas as portas como não confiáveis. Então, o administrador de rede marca apenas as portas DHCP válidas na rede como portas válidas. Ao enviar uma transmissão DHCPDISCOVER, o cliente descarta todas as DHCPOFFERS recebidas de portas não confiáveis e envia um DHCPREQUEST apenas para as ofertas que foram enviadas através das portas válidas. Dessa forma, os pacotes que podem ter sido enviados por invasores são descartados.

O snooping de DHCP fortalece a infraestrutura de DHCP em uma rede.

Configurando servidores e clientes DHCP

Os administradores de rede podem configurar servidores e clientes DHCP manualmente e visualizar a concessão e configuração de IP dos clientes DHCP usando comandos nativos. Alguns deles estão listados na tabela abaixo.

Embora os comandos nativos permitam a configuração do DHCP no dispositivo, configurar servidores e clientes DHCP utilizando esses comandos é demorado e entediante à medida que a rede cresce. Para administrar servidores DHCP em grandes organizações, é recomendado um software de gerenciamento de recursos de rede, como o OpUtils da ManageEngine.

Por que o DHCP é utilizado?

Servidores DHCP são os tijolos da infraestrutura de rede. Devido à sua facilidade de operação e uso, os servidores DHCP são empregados em operações pequenas e grandes, desde redes domésticas até redes de nível empresarial. O serviço de servidor DHCP automatiza a distribuição de endereços de IP e configurações de rede para os dispositivos na rede.

As vantagens de usar servidores DHCP são:

Uso ideal do espaço de endereçamento de IP:a atribuição manual de endereços de IP aos dispositivos de uma rede podem levar ao desperdício de IPs, visto que os endereços de IP permanecem alocados mesmo depois do dispositivo desconectar da rede.

Reserva de IP: o DHCP permite que endereços de IP específicos sejam reservados para dispositivos específicos. Esses endereços não são alocados em outros dispositivos quando o dispositivo é desconectado da rede.

Alocação dinâmica: o servidor DHCP automatiza a tarefa corriqueira de alocação manual de endereço IP. Os endereços de IP são alocados e recuperados dinamicamente para o pool de IP.

Reduz conflitos de IP: a alocação manual pode fazer com que mais de um dispositivo seja atribuído ao mesmo endereço IP, ocasionando conflitos de IP. A concessão de IP do DHCP elimina esse problema.

Gerenciamento facilitado: o armazenamento de dados do DHCP mantém logs de usuários, como o usuário para o qual o endereço IP foi alocado, seu período de concessão e outros parâmetros de rede.

Escalabilidade: Roteadores DHCP suportam a ampliação da rede.

Gerenciando servidores DHCP com o OpUtils

Infraestruturas de rede complexas utilizando DHCP podem ser facilmente gerenciadas com o OpUtils, um gerenciador abrangente de IP de rede e porta de switch. O OpUtils se integra com servidores DHCP populares, oferecendo:

• Monitor de escopo DHCP: A ferramenta OpUtils DHCP Scope Monitor fornece detalhes do servidor DHCP como o Nome DNS associado, Contagem de tempo do escopo e mais.
• Detecção de pontos de acesso não autorizados: Como observado anteriormente, um servidor DHCP pode permitir que invasores obtenham acesso não autorizado à rede. O recurso de Detecção de ponto de acesso não autorizado do OpUtils varre toda a rede e detecta atividades não autorizadas e esforços para violar a rede. O administrador de rede pode marcar esses dispositivos como confiáveis, convidados ou não autorizados. Dispositivos marcados como pontos de acesso não autorizados são bloqueados de obter dispositivos não autorizados na rede.
• Livre de código: Com a interface de usuário livre de código do OpUtils, os administradores de rede podem gerenciar facilmente servidores DHCP e IPs sem utilizar comandos de sintaxe ou nativos de IP.
• Detalhes do IP: O Gerenciador de endereços de IP do OpUtils fornece insights abrangentes dos endereços de IP na rede. Os administradores de rede podem utilizar isso para visualizar detalhes como o endereço MAC no qual o IP está alocado, o status de busca de DNS, o tipo de dispositivo e muito mais.
• Logs de histórico de IP: O OpUtils fornece um log de histórico de IP de todos os usuários aos quais o IP foi atribuído e o usuário atual do IP.
• Varredura de porta: O OpUtils permite que o usuário faça a varredura de portas abertas na rede. Os administradores de rede podem bloquear portas que estão permitindo tráfego malicioso, e dessa forma proteger a rede do acesso não autorizado.

O OpUtils proporciona o gerenciamento de IP e switch aprimorado, incluindo varredura, monitoramento e gerenciamento de rede em tempo real com solução de problemas de rede mais rápida e fácil. É compatível com servidor DHCP Windows e servidor DHCP Linux, tornando-o uma das melhores soluções de gerenciamento de servidor DHCP disponíveis.

Novidade no OpUtils? Agende uma demonstração gratuita com um especialista no produto ou faça um tour pelos recursos para ver como o OpUtils pode ajudar a gerenciar seus recursos de rede. Você também pode baixar uma versão de teste gratuito de 30 dias para Implementar e testar o OpUtils na prática em sua rede. Tem uma cotação de preço em mente? Fale conosco.