基于DHCP SNOOPING的中小型企业网络接入系统研究

李果果 刘志权

摘要：本文针对中小企业存在的IP地址管理问题，提出了搭建基于IP DHCP SNOOPING、DAI（Dynamic ARP Inspection）的B/S架构园区IP地址集中管理系统，从根本上解决中小企业园区网络IP地址管理问题。

关键词：DHCP SNOOPING IP地址 ARP攻击 DHCP

1 概述

随着计算机网络技术以几何级的增长方式不断发展，企业的网络规模不断壮大，为应对日益复杂的网络环境，各种新技术不断涌现。然而，中小企业出于成本考量，网络设备一般随着企业规模增长而逐步增多，设备型号、品牌较多，而且往往忽视、缺乏对相应的网络管理软件及系统的投入。用户非法DHCP服务器、IP地址冲突和ARP攻击引起的IP地址类故障层出不穷，对于企业内部的IP地址管理问题，网管人员往往也束手无策。智能化工具的广泛使用，对于IP地址，如果依然采用手工方式或者EXCEL表格登记的方式进行分配，显然不能适应信息化的要求。利用交换机中的DHCP SNOOPING技术和DHCP服务器配合，通过简单的编程开发，建立B/S架构的IP地址管理系统，可以高效的管理IP地址，为网络管理员节省大量宝贵时间。

2 DHCP服务器

通过手动设置IP地址的方式，可以对数量比较少的计算机进行管理。但是，如果划分了多个子网，并且计算机数量较多时，通过手动方式，为计算机配置和管理IP地址，其工作量和复杂程度就会成倍地增加，而且搬迁到新位置也需要更换IP地址，不符合目前移动办公的需要。由于这些问题存在于局域网中，于是人们提出使用DHCP 服务器，客户端主机借助DHCP服务器可以在每次启动并加入网络时，上网所需的IP地址、网关和DNS服务器地址等信息就可以自动获得，进而在一定程度上减少了配置管理的工作量。受自身局限性的影响，DHCP协议并不能解决非法DHCP服务器、设置固定IP地址所引起的IP地址冲突、ARP攻击等IP地址类故障。

3 DHCP SNOOPING

通过对不可信DHCP消息进行过滤，DHCP SNOOPING可以进一步增强其安全性，同时建立并维护DHCP绑定数据库。DAI（dynamic arp inspect）、Source IP Lockdown等功能需要以该数据库为基础。DHCP SNOOPING 技术就像是将一道防火墙安装在非信任端口的主机和DHCP服务器之间，DHCP Offer报文通过信任端口可以进行正常接收和转发，而不信任端口会丢弃接收到的DHCP Offer报文，对于DHCP攻击及私设DHCP服务器等，在一定程度上可以起到防止作用。在启用了DHCP SNOOPING功能的接口下，DAI/Source IP Lockdown只允许通过DHCP方式获取到IP地址的主机与网络进行通信。这样，对于通过受信任DHCP服务器分配到IP地址的用户可以接入网络，其他包括使用固定IP地址的用户数据包都将被交换机所丢弃。DHCP SNOOPING及DAI、Source IP Lockdown等技术很好的弥补了DHCP协议的局限性，使得在DHCP环境下基于DHCP SNOOPING搭建IP地址管理系统能够取得良好成效。

4 系统功能实现

4.1 IP地址管理

在IP地址管理平台的控制下，通过编程开发使DHCP服务器上的配置文件，进一步与后台MYSQL数据库同步，DHCP服务器中所用到的网段配置参数、IP地址租约时间等各种参数和数据全部存放在后台的MYSQL数据库中。这种方式一方面保留了传统DHCP的优点，大大减少园区网IP地址管理的复杂度，另一方面加强了DHCP方式管理的可控性。

在DHCP服务器上，通过对配置文件/etc/dhcpd.conf进行修改，可以对地址段进行配置，同时实现对MAC地址访问的控制。以区域或者VLAN为类别，将园区网络内各主机的MAC地址添加到相应的类别中，只有被添加了MAC地址的主机才能够在对应的区域或者VLAN内通过合法的DHCP服务器获取IP地址配置信息，进而对网络进行访问。对于网络设备来说，由于启用了DHCP SNOOPING及DAI等功能，用户不可能通过自行修改IP地址进而获得访问权限。对于打印机、考勤机及其它需要使用固定IP地址的服务器，也可以在配置文件中指定固定IP地址，并不需要在网络设备上再配置静态的DAI条目，达到集中管理IP地址分配的目的，降低维护复杂度。显然，直接由网管人员修改配置文件存在很高的安全风险，通过IP地址管理系统维护数据库，系统后台再根据相应情况对DHCP服务器配置文件进行修改，既降低了风险，也降低了对于管理人员的技术要求。

在配置DHCP服务器的过程中，将DHCP服务器中所用到的各种数据和参数保存到数据库中，进而组成整个园区网络的IP地址使用数据库。园区网每个地址段中有多少用户在使用DHCP服务器分配的固定地址上网，以及每个网段有多少个地址用于自动分配等，在管理平台上，管理人员都可以查询到。

4.2 上网日志及用户定位

在每次下发客户端DHCP请求的IP地址资源时，DHCP服务器会形成一条记录。所请求IP的客户端MAC地址、分配给客户的IP地址、客户端的机器名、租约时间范围等一系列信息都包含在这条记录中。在数据库保存这样的记录，构建一个IP地址分配情况的数据库。DHCP服务器借助这个数据库，对于所分发的IP地址资源提供了完善的日志记录功能。通过记录，在某个时间段内特定IP与MAC的对应关系很容易查询到，然后对某个IP对应的MAC地址进行查询。结合SNMP协议，通过用户IP地址，查询在IP地址管理功能中的数据库可以获取此用户IP所对应的接入交换机列表，再通过SNMP指令查询这些交换机的MAC地址表，可以进一步得到用户上线时所在的交换机接口信息，这对于管理人员管理维护网络是非常有帮助的。

5 小结

本文基于真实环境，提出以部署DHCPSnooping 为基础，建立B/S架构的IP地址管理系统，对IP地址进行集中管理。DHCP SNOOPING技术目前已基本成为各大主流设备厂商可网管交换机的基础功能，部署方式非常灵活。系统开发简单，投入小，可以直接部署在DHCP服务器上。系统部署后，基本可以杜绝非法DHCP服务器、用户私设固定地址引起的IP地址冲突及APR攻击等问题，并能对园区网络中的IP地址做到统一、灵活的管理，极大的提高了管理人员的工作效率，使网络管理趋于规范化、科学化。

参考文献：

[1]李果果.多厂商设备环境下校园网统一接入控制管理系统的设计与实现[D].华南理工大学，2011.

[2]崔亚军.IP Source Guard配合DHCP在校园信息化建设中的应用[J].职业技术，2013（10）.

[3]任斌.攻击分析及防御解决方法[J].长春工程学院学报自然科学版，2008（9）.

作者简介：

李果果（1982-），男，湖南长沙人，助理工程师，硕士研究生，研究方向：计算机网络。