Linux DHCP服务更新与升级指南

Linux DHCP 服务更新与升级指南

一 适用范围与准备

• 适用对象：运行 ISC DHCP 服务器 dhcpd、DHCP 客户端 dhclient，或使用 NetworkManager 管理网络的 Linux 服务器与工作站。
• 升级目标：提升安全性与稳定性、修复已知漏洞（如 CVE-2012-3571、CVE-2012-3954、CVE-2012-3955）、保持与上游/发行版修复同步。
• 准备要点：
  • 完整备份配置与租约：/etc/dhcp/（特别是 dhcpd.conf）、/var/lib/dhcp/（租约文件）、以及 /etc/resolv.conf 与 NetworkManager 连接配置。
  • 变更窗口与回滚方案：选择低峰时段，保留旧版本包与配置快照，确保可快速回退。
  • 验证环境：先在测试环境验证，再推广至生产。

二 升级 DHCP 服务器 dhcpd

• RHEL/CentOS 系列
  • 更新软件包并重启服务（升级后通常会自动重启相关服务）：
    • RHEL/CentOS 7/8：执行 sudo yum update dhcp -y 或 sudo dnf update dhcp -y
    • 升级完成后使用 sudo systemctl status dhcpd 检查状态，并查看日志 journalctl -u dhcpd -xe
  • 说明：Red Hat 在更新说明中指出，安装更新后 DHCP 服务器将自动重启，以减少暴露窗口。
• Debian/Ubuntu 系列
  • 更新软件包并重启服务：
    • 执行 sudo apt-get update && sudo apt-get install --only-upgrade isc-dhcp-server -y
    • 重启服务：sudo systemctl restart isc-dhcp-server
    • 检查状态：sudo systemctl status isc-dhcp-server 与 journalctl -u isc-dhcp-server -xe
• 配置与兼容性检查
  • 升级后优先检查 /etc/dhcp/dhcpd.conf 语法：sudo dhcpd -t
  • 如启用 动态 DNS 更新，确认 ddns-update-style 等参数设置正确，避免解析异常。

三 升级 DHCP 客户端 dhclient 与 NetworkManager

• 发行版包管理器升级
  • RHEL/CentOS：sudo yum update dhclient -y 或 sudo dnf update dhclient -y
  • Debian/Ubuntu：sudo apt-get update && sudo apt-get install --only-upgrade isc-dhcp-client -y
• 配置更新与生效
  • 编辑客户端请求参数：/etc/dhcp/dhclient.conf，按需调整 request 列表（如 subnet-mask、routers、domain-name-servers 等），保存后重启网络或 dhclient。
  • 使用 NetworkManager 时，可通过 nmcli 或编辑相应连接配置应用更新，然后 sudo systemctl restart NetworkManager。
• 租约与解析文件
  • 必要时释放并续租：sudo dhclient -r <接口名> 后 sudo dhclient <接口名>
  • 注意 /etc/resolv.conf 的备份与恢复逻辑在不同版本中的变化，避免因脚本行为差异导致解析被意外覆盖。

四 验证与回滚

• 快速验证清单
  • 服务器：进程存活 systemctl is-active dhcpd；租约分配 cat /var/lib/dhcp/dhcpd.leases；日志无异常 journalctl -u dhcpd -xe
  • 客户端：获取地址 ip addr show <接口名>；路由 ip route；DNS cat /etc/resolv.conf；连通性 ping 网关与 DNS
• 回滚步骤
  • 包回退：
    • RHEL/CentOS：sudo yum downgrade dhcp-<旧版本> -y 或 sudo dnf downgrade dhcp-<旧版本> -y
    • Debian/Ubuntu：sudo apt-get install isc-dhcp-server=<旧版本> 或 isc-dhcp-client=<旧版本>
  • 配置回滚：将 /etc/dhcp/ 与 /var/lib/dhcp/ 恢复至升级前备份；重启相关服务。

五 安全加固与常见注意事项

• 安全更新优先级
  • 及时修补已知漏洞（如 CVE-2012-3571、CVE-2012-3954、CVE-2012-3955），这些修复涉及 DoS、内存泄漏、IPv6 租约处理 等关键问题；升级后建议复核服务状态与日志。
• 动态 DNS 与访问控制
  • 若启用 DDNS，在 dhcpd.conf 中设置 ddns-update-style（如 none/update-only/interim），并配合 TSIG 与最小权限策略，降低 DNS 被滥用风险。
• 防火墙与网络边界
  • 服务器侧放行 UDP 67/68（DHCP），跨网段部署时确保 DHCP 中继与路由转发正确，避免地址分配失败。
• 客户端与解析文件
  • 在多进程/多接口场景下，注意 /etc/resolv.conf 的备份与恢复逻辑差异，避免因脚本行为导致解析中断或泄露内部信息。