day05 DHCP部署与安全 | DNS部署与安全

DHCP部署与安全

1、DHCP作用

DHCP（ Dynamic Host Configure Protocol）
自动分配 IP 地址

2、DHCP相关概念

地址池/作用域：（IP、DNS、子网掩码、网关、租期），DHCP协议端口是UDP 67/68

3、DHCP优点

减少工作量
避免IP冲突
提高地址利用率

4、DHCP原理

也称为 DHCP 租约过程，分为四个步骤：
- 客户机发送 DHCP Discovery 广播包
  
  客户机广播请求 IP 地址（包含客户机的 MAC 地址）
- 服务器响应 DHCP Offer 广播包
  
  服务器响应提供的 IP 地址（但无子网掩码、网关等参数）
- 客户机发送 DHCP Request广播包
  
  客户机选择 IP（也可认为确认使用哪个 IP）
- 服务器发送DHCP ACK广播包
  
  服务器确定了租约，并提供网卡详细参数IP，掩码，网关，DNS，租期等

5、DHCP续约

当租期过 50% 的时候，客户机会再次发送 DHCP Request 包，进行续约，如果服务器无响应，则继续使用并在 87.5% 时再次发送 DHCP Request 包，进行续约，如果仍未响应，则释放 IP 地址，并回到第一步发送 DHCP Discovery 包
当无任何服务器响应时，自动给自己分配一个 169.254.x.x/16，属于全球统一无效地址，用于临时内网通信

6、部署DHCP服务器

IP 地址固定（服务器必须固定 IP 地址）‘
安装DHCP服务插件
新建作用域及作用域选项
激活

客户机验证：

ipconfig /release  释放IP (取消租约，或者改为手动配置IP，也可以释放租约)

ipconfig /renew  重新获取IP（有IP时发送 Request 包续约，如果没有则发送 Discovery 包重新获取IP）

7、地址保留

对指定的 MAC 地址，固定动态分配 IP 地址

8、选项优先级

作用域选项＞服务器选项
*当服务器上有多个作用域时，可以在服务器选项设置DNS服务器

9、DHCP备份和还原

右键服务器可以备份，防止宕机等问题

10、DHCP攻击与防御

攻击 DHCP 服务器：频繁的发送伪装 DHCP 请求，直到将 DHCP 地址池资源耗尽，导致正常请求无法回应

防御：在交换机（管理型）的端口上做动态 MAC 地址绑定
伪装 DHCP 服务器：通过将自己部署为 DHCP 服务器，为客户机提供非法IP地址

防御：在交换机（管理型）除合法的 DHCP 服务器所在接口外，禁止发送 DHCP Offer 包

DNS部署与安全

1、DNS

Domain Name Service
域名服务
作用：为客户机提供域名解析服务

2、域名组成

如“www.baidu.com”,"baidu.com"为域名
“主机名.域名”称为完全限定域名（FQDN）。主机名为服务器标识，

例如www.baidu.com. (←这个.默认浏览器自动添加)

.为根域

.com为顶级域

baidu为一级域名

www为二级域名
FQDN = 主机名.DNS后缀
FQDN（完整合格的域名）

3、监听端口

    TCP 53
    UDP 53

4、DNS解析种类

4.1、按照查询方式

1.递归查询：客户机与本地 DNS 服务器之间

2.迭代查询：本地 DNS 服务器与根等其他 DNS 服务器的解析过程

DNS解析过程： *客户机想访问www.baidu.com

查找本机缓存
若无则找本机 host
还没有就向本地 DNS 服务器发出请求
本地 DNS 服务器查找 DNS 缓存和内置的解析若有则向客户机返回 IP 地址
若无则向外查找
本地 DNS 服务器向根域 DNS 服务器发送请求
根域 DNS 服务器回应 .com域名服务器的 IP 地址
本地 DNS 服务器向 .com域名服务器发送请求
.com域名服务器回应 baidu.com域名服务器的 IP 地址
本地 DNS 服务器向 baidu.com域名服务器发送请求
baidu.com域名服务器回应 www.baidu.com 对应的 IP 地址
本地 DNS 服务器把收到的 IP 地址返回给客户机，并记下缓存
客户机收到地址并记下缓存

总结：

1-4 若成功就是递归解析（DNS服务器转发器也算）

5-12 为迭代查询

4.2、按照查询内容分类

1. 正向解析：已知域名，解析IP地址

2. 反向解析：已知IP地址，解析域名

5、DNS服务器搭建过程

要求网卡 IP 是静态 IP 地址
安装 DNS 服务器插件（也就是安装并开启 TCP 及 UDP53 端口）
创建区域文件（负责一个域名后缀的解析，如 baidu.com 为域名后缀，一台 DNS 服务器内可以存放多个区域文件）
新建 A 记录

６、DNS客户机如何解析

指向DNS
手工解析域名：

nslookup 域名

7、DNS服务器处理域名请求的顺序

DNS 高速缓存
DNS 区域配置文件
DNS 转发器
根提示

8、辅助DNS服务器

作用：为主 DNS 服务器提供备份，提高安全性，会实时更新
创建过程：
1. 在主要 DNS 服务器中，对想要备份的区域右键--属性--区域复制里，勾上”只允许到下列服务器“并把辅助 DNS 服务器的 IP 地址添加上去
2. 在辅助 DNS 服务器中，新建区域并选择辅助区域，IP 地址填主要 DNS 服务器即可

9、清除DNS缓存

9.1 客户机清除缓存

ipconfig /flushdns      清除 DNS 缓存
ipconfig /displaydns    查看 DNS 缓存

9.2 服务器清除缓存

windows服务器：dns工具--查看--高级，调出缓存，清除缓存

10、域名解析记录类型：

A记录：正向解析记录
CNAME记录：别名
PTR记录：反向解析记录
MX：邮件交换记录
NS：域名服务器解析

11、反向DNS

nslookup 手工解析时，会进行一个反向解析，显示真实服务器信息

12、DNS服务器分类

主要名称服务器
辅助名称服务器 == 备份的
根名称服务器
高速缓存名称服务器 == 只保存缓存，不解析

13、客户机域名请求解析顺序

DNS 缓存
本地 hosts 文件
找本地 DNS 服务器

14、服务器对域名请求的处理顺序

DNS 高速缓存
本地区域解析文件
转发器
根

15、为DNS主机命名

在正向区域里创建主机名的域
在域里新建dns1记录，IP地址填DNS主机IP
在反向区域里新建域 IP地址填DNS主机IP
新建 PTR 指针，IP号填DNS主机对应的，主机名选择之前创建的那个dns1