linux dhcp如何安全

linux

小樊

2026-09-21 23:17:11

栏目: 智能运维

你问的“Linux DHCP 如何安全”，通常可以从 DHCP 服务端安全、客户端安全、网络层面安全 三个角度来理解。下面按实战角度讲清楚。

一、DHCP 服务端安全（防止被滥用）

1. 限制可分配地址范围

只给可信网段分配 IP，避免地址耗尽攻击。

subnet 192.168.10.0 netmask 255.255.255.0 {
    range 192.168.10.100 192.168.10.200;
}

2. 绑定 MAC 地址（防私接设备）

host pc1 {
    hardware ethernet 00:11:22:33:44:55;
    fixed-address 192.168.10.101;
}

3. 禁止未知设备获取 IP（isc-dhcp）

deny unknown-clients;

4. 控制租约时间

避免长期占用：

default-lease-time 600;
max-lease-time 3600;

二、防止 DHCP 欺骗（非常关键）

问题

攻击者起一个假 DHCP 服务器，给你分配错误网关/DNS。

解决方案

✅ 交换机层面（最推荐）

开启 DHCP Snooping
信任上联口，其他口禁止 DHCP Offer

✅ Linux 上检测

定期扫描网络中的 DHCP Server

tcpdump -i eth0 udp port 67

三、DHCP 客户端安全（Linux 主机）

1. 不使用不安全 DHCP

编辑：

/etc/dhcp/dhclient.conf

限制只接受必要选项：

request subnet-mask, broadcast-address, routers, domain-name-servers;

2. 防止 DNS 被篡改

不要盲目用 DHCP 给的 DNS：

/etc/resolv.conf

可设为只读或 NetworkManager 固定 DNS。

3. 禁用自动路由污染

/etc/dhcp/dhclient.conf

 supersede routers 192.168.10.1;

四、日志与监控

开启 DHCP 日志

/var/log/dhcpd.log

告警异常

大量 MAC 请求
租约暴增
未知 DHCP Server

五、总结一句话

Linux DHCP 安全 = 服务端白名单 + 防 DHCP 欺骗 + 客户端不盲信 + 网络层控制

如果你说的是：

用 dnsmasq / isc-dhcp
在 Kubernetes / 云环境
或 防 DHCP 攻击的具体命令

可以告诉我场景，我给你更针对性的配置。