Linux DHCP安全设置：如何保护你的网络

Linux DHCP安全设置与加固清单

基础加固

• 保持软件与系统为最新，及时修补漏洞：例如对 ISC DHCP 执行更新（如 Debian/Ubuntu 系可使用命令：sudo apt update && sudo apt upgrade isc-dhcp-server）。
• 严格管控配置与租约文件权限：建议设置为仅 root 与 dhcpd 组可读写，例如：chmod 640 /etc/dhcp/dhcpd.conf; chown root:dhcpd /etc/dhcp/dhcpd.conf；chmod 640 /var/lib/dhcp/dhcpd.leases; chown dhcpd:dhcpd /var/lib/dhcp/dhcpd.leases。
• 仅监听指定接口，避免误暴露：在 /etc/default/isc-dhcp-server（或发行版等效位置）设置 INTERFACESv4="eth0"；在 RHEL/CentOS 可设置 DHCPDARGS=eth0。
• 启用权威模式，拒绝非法请求：authoritative;。
• 启用详细日志并落盘：在 dhcpd.conf 加入 option log-facility local7;，并在 rsyslog 配置 local7.* /var/log/dhcpd.log，便于审计与取证。
• 启用地址冲突检测：如 ping-check on; ping-timeout 2;，降低地址冲突与误配置风险。
• 精细化租约策略：根据网段与安全诉求设置 default-lease-time 与 max-lease-time，例如 default-lease-time 600; max-lease-time 7200;（高安全/访客网段可适当缩短）。
• 对关键设备使用静态绑定（保留地址）：通过 host 声明绑定 MAC–IP，既便于访问控制，也减少地址欺骗空间。

访问控制与网络侧防护

• 交换机启用 DHCP Snooping：全局开启后，将上联/合法 DHCP 服务器所在端口设为 trust，其余接入端口为 untrust，阻断伪装服务器。
• 防 DHCP 报文洪泛/饿死攻击：在 Snooping 基础上启用报文速率检测/限速，超出阈值的 DHCP 报文直接丢弃。
• 绑定表校验与防伪造：基于 DHCP Snooping 绑定表校验 DHCP REQUEST/RELEASE 等报文合法性，不匹配则丢弃，抑制伪造与中间人。
• 防中间人：结合 **DAI（动态 ARP 检测）**或静态 ARP，要求 ARP 信息与绑定表一致方可转发。
• 接入数量限制：对端口或 VLAN 设置最大 DHCP 客户端数量，达到上限后拒绝新的地址申请，缓解资源耗尽。
• 加强边界防护：在主机/网关防火墙仅放行 UDP 67/68 的 DHCP 流量，来源限定为受管 VLAN/网段；例如使用 iptables/firewalld 精细化放行策略。

配置示例与最小权限

• 示例 dhcpd.conf（仅示例关键安全项，按实际网段调整）：

  authoritative;
  option log-facility local7;
  
  subnet 192.168.1.0 netmask 255.255.255.0 {
    range 192.168.1.100 192.168.1.200;
    option routers 192.168.1.1;
    option subnet-mask 255.255.255.0;
    option domain-name-servers 8.8.8.8, 8.8.4.4;
    default-lease-time 600;
    max-lease-time 7200;
    ping-check on;
    ping-timeout 2;
  
    # 关键主机静态绑定（示例）
    host important-client {
      hardware ethernet 00:1a:2b:3c:4d:5e;
      fixed-address 192.168.1.100;
    }
  }
  

• 权限与日志：
  • 配置文件与租约文件权限与属主按上文设置；
  • rsyslog 配置 local7.* /var/log/dhcpd.log 并重启日志服务，确保 DHCP 事件完整落盘。

监控审计与持续运维

• 持续更新与补丁：定期更新 操作系统与 DHCP 软件，降低已知漏洞利用风险。
• 日志集中与告警：对 /var/log/dhcpd.log 实施集中采集、关键字告警与留存策略，关注异常 DISCOVER/OFFER/REQUEST/ACK 频率与来源。
• 定期审计：核查 dhcpd.conf 变更、租约分配趋势、静态绑定一致性，以及交换机 Snooping/DAI 状态与策略有效性。
• 架构与可用性：在条件允许时部署 DHCP 故障转移/冗余与 IPAM，缩短故障恢复时间并提升可观测性。