網管必學：用DHCP管理局域網

2019-11-05 03:01:14

字體：大中小

來源：轉載

供稿：網友

　　對于一定規模的局域網，我們一般使用DHCP服務來動態處理客戶端的ip地址配置。可是當某一客戶通過DHCP聯入本地局域網，就可以訪問本地共享資源或帶來病毒，給我們的本地網絡帶來安全隱患。如何才能防止未經授權的機器得到公司網絡中機器的DHCP地址信息呢？

　　局域網中的機器要進行網絡通訊或資源存取前,必須進行基本的網絡參數配置（如IP、DNS、網關等），這種參數可以靜態分配或動態獲得。手工配置地址雖然可靠，但對于一定規模的局域網相當費時并輕易出錯。這時我們需要用到DHCP服務（動態主機配置協議），來動態處理客戶端的IP地址配置。

　　DHCP可以通過租約和預置IP相聯系，提供為本地TCP/IP網絡上自動并安全地分配和租用IP地址信息，從而實現IP的集中式治理，基本上不需要治理員的人為干預。但事情總會有其兩面性，雖然DHCP服務可以自動地為客戶端分配IP信息，可是當某一客戶通過DHCP聯入本地局域網，就可以訪問本地共享資源或一些敏感資料。即使對方沒有惡意，但客戶機上可能有一些病毒或木馬會危害本地網絡的安全。所以，不僅是服務器端需要安全配置，對客戶端也應該有些針對性的治理。

　　其實我們可以為客戶端的機器創建一個DHCP類，在DHCP服務器上為該類指定一個網關、DNS信息，假如沒有此DHCP類的機器將無法得到此網關或DNS信息，當然也就無法取得相關配置或權限，如因特網的訪問權。這里我們來探討如何設置DHCP類，來防止未經授權的機器得到公司網絡中機器的DHCP地址信息（以下操作皆在同一網段內實現）。

　　創建DHCP用戶類或供給商類

　　1.創建一個新用戶或者提供商選項類

　?。?）啟動DHCP治理器，在控制臺樹結構中，點擊“可使用的DHCP服務器”。這里我們右擊“winsrv服務器”，然后點擊“定義用戶類”來創建一個新的用戶類，或者點擊“定義提供商類”來創建一個新的提供商類。點擊“添加”。

　?。?）在“新建類別”對話框中，在“顯示名字”編輯框中為新的選項輸入一個描述性的標識名字，在這里我們輸入“long”，在“說明”框中您也可以隨意添加附加信息，這里為了方便我們省略了。在ID或者ASCII下輸入由DHCP客戶端提供的數據，DHCP服務器服務中要用這些數據來匹配類ID。點擊“文本輸入框”的左側，以十六進制字節數值輸入數據。點擊文本輸入框的右側，以ASCII文本字符值輸入數據。這里我們還是輸入“long”，點擊“確定”，然后點擊“關閉”。

　　至此我們已經定義好了一個 ID為Long的DHCP用戶類，下面需要對此用戶類進行配置。

　　2. 配置用戶類

　　右擊“作用域選項”，選擇“高級”，在下面的“用戶類別”中選擇剛才創建的用戶類別“Long”，然后在下面的可用選項中選擇需要配置的選項，一般我們選擇“003路由器”和“006 DNS服務器”，以及“051 租約”等選項。DNS的設置選擇“006 DNS服務器”，在下面的IP地址輸入本地DNS服務器地址，按“添加”就可以了如下圖

請添加描述

　　路由器的設置基本一樣。對于租約的填寫，需要注重的是在下面的長類型中要輸入的是16進制的數字，比如我們假設租約為10天（即864000秒），直接輸入十進制864000，按“確定”，系統會自動顯示為16進制數。

　　為客戶機設置指定的DHCP類ID串

　　連接到基于windows 2000的DHCP服務器的客戶端計算機，可以使用下面的命令來設置指定的DHCP類ID串：

　　ipconfig /setclassid adapter_name class_id

　　例如，要對一個稱之為“局域網連接”的網卡配置用戶類ID為“myuserclass”的DHCP類，只需要在命令行中輸入ipconfig /setclassid “Local Area Connection” myuserclass，然后按下回車即可。在客戶端只有一塊網卡，所以這里也可以這樣寫 “ipconfig /setclassid * long”，星號代表本地所有連接，這樣客戶端就會使用ID為Long的DHCP用戶類。圖2為已配置好的Windows 2000系統客戶端的本地網絡參數。

　　從下圖中我們可以看到，租約為10天，就是我們剛才配置的租期。DHCP Class ID 為long，DNS Servers和DHCP Servers還有網關皆為先前所設定值。大功告成啦！

請添加描述

　　目的基本達到了，可是總是會有新的問題出現。顯然這種手動為客戶端設置的方法工作量是很大的，為了解決這個問題，我們可以通過域給客戶端設置登錄腳本，讓用戶登錄域的同時自動執行此腳本。

　　設置登錄腳本

　　首先編寫一個批處理文件DHCP.BAT。

　　Echo

　　Ipconfig/setclassid * long (*代表所有本地連接，這里針對的是客戶端只有一塊網卡)

　　將此腳本放在DC的NETLOGON目錄下，并在域中為相應的OU或用戶設置登錄腳本，這樣當用戶登錄到域時，會自動執行這個腳本命令，客戶端也會得到相應的IP配置信息，這樣未被授權的用戶就沒辦法登錄網絡。

　　當然我們還可以對DHCP服務器進行授權治理，這需要通過DC上的DHCP服務對域內的其他服務器進行連接，并授權治理，這樣未被授權的DHCP服務器在域中也是沒有辦法運行的。

上一篇：教你在局域網中對網線全面測試

下一篇：校園局域網的改造升級三步曲