DHCP 侦听网络安全
DHCP 侦听支持
动态主机配置协议 （DHCP） 是 TCP/IP 网络中使用的一种网络管理协议，用于动态地将 IP 地址和其他相关配置信息分配给网络设备。
DHCP 侦听的工作原理
动态主机配置协议 （DHCP） 将 IP 地址动态分配给设备，租用地址可在不再需要时重复使用。需要通过 DHCP 地址的主机或终端设备必须通过 LAN 与 DHCP 服务器进行通信。
下图显示了 DHCP 侦听过程。
在拓扑中，最终用户设备连接到 Junos OS 设备（路由器、交换机或防火墙）。Junos OS 设备可以连接到 DHCP 客户端和 DHCP 服务器。配置为 DHCP 中继代理的 Junos OS 设备充当 DHCP 客户端与 DHCP 服务器之间的接口。此 Junos OS 设备检查 DHCP 数据包。DHCP 服务器将 IP 地址分配给客户端。
Junos OS 设备上的 DHCP 侦听功能可以执行以下操作：
- 验证从不受信任的来源收到的 DHCP 消息，并过滤掉无效消息。
- 提取租给每个客户端的 IP 地址并构建数据库。DHCP 侦听数据库（或绑定表）包含有关每个 DHCP 客户端的 IP 地址、MAC 地址和 VLAN 的信息。
- 使用 DHCP 侦听绑定表验证来自不受信任主机的后续请求。通过验证 DHCP 请求是否来自可信来源，瞻博网络设备可以确保仅处理有效的 DHCP 请求。
这样，DHCP 侦听通过跟踪可信 DHCP 服务器（连接到可信网络端口的服务器）分配给下游网络设备的有效 IP 地址，充当网络安全的守护者。
DHCPv6 中继代理侦听
DHCPv6 中继代理通过在 IPv6 网络中提供支持来增强 DHCP 中继代理。DHCPv6 中继代理在 DHCPv6 客户端和 DHCPv6 服务器之间传递消息，类似于 DHCP 中继代理支持 IPv4 网络的方式。在客户端和服务器之间有多个 DHCPv6 中继代理的多中继拓扑中，窥探使中间的中继代理能够正确处理来自客户端的单播流量并将其转发到服务器。此拓扑中的窥探涉及以下操作：
- DHCPv6 中继代理使用带有 UDP 端口 547（即 DHCPv6 UDP 服务器端口）的过滤器，按转发表来窥探传入的单播 DHCPv6 数据包。
- 然后，DHCPv6 中继代理处理过滤器截获的数据包，并将这些数据包转发到 DHCPv6 服务器。
DHCP 侦听的优势
- DHCP 侦听可以通过过滤 IP 地址来提供额外的安全层。过滤过程会评估网络流量，以允许来自已验证且有效的 IP 地址进行通信。
- DHCP 侦听可以通过过滤掉到达错误端口或内容不正确的 DHCP 数据包，防止网络中的恶意 DHCP 活动。
配置 DHCP 本地服务器的 DHCP 侦听数据包转发支持
您可以配置 DHCP 本地服务器如何处理 DHCP 侦听的数据包。根据配置，DHCP 本地服务器会转发或丢弃接收到的侦听数据包。
表 1 显示了路由器对 DHCP 本地服务器侦听数据包执行的操作。
配置的接口是指已在层次结构中使用[edit system services dhcp-local-server]语group句进行配置的接口。未配置的接口是指位于逻辑系统/路由实例中但尚未通过group语句配置的接口。
forward-snooped-clients 配置 |
对已配置接口的操作 |
对未配置接口的操作 |
|---|---|---|
|
下降 |
下降 |
|
转发 |
转发 |
|
转发 |
下降 |
|
下降 |
转发 |
要为 DHCP 本地服务器配置 DHCP 侦听数据包转发：
例如，要将 DHCP 本地服务器配置为仅在配置的接口上转发 DHCP 侦听的数据包：
[edit]
system {
services {
dhcp-local-server {
forward-snooped-clients configured-interfaces;
}
}
}
另见
启用和禁用 DHCP 中继代理支持的 DHCP 侦听数据包
DHCP 中继代理使用由两部分组成的配置来确定如何处理 DHCP 侦听的数据包。本主题介绍第一个过程，在此过程中，您可以启用或禁用对 DHCP 中继代理的侦听支持，并（可选）覆盖默认侦听配置。
第二个过程仅适用于 DHCPv4 中继代理，在为 DHCP 中继代理配置 DHCP 侦听数据包转发支持中进行了介绍，并为侦听的客户端配置转发操作，该操作将指定 DHCP 中继代理是转发还是丢弃侦听的流量。
您可以为 DHCP 中继、一组接口或组中的特定接口全局启用或禁用 DHCP。
默认情况下，为 DHCP 中继启用 DHCP 侦听。要全局启用或禁用 DHCP 侦听支持：
例如，要启用全局 DHCP 侦听支持：
forwarding-options {
dhcp-relay {
overrides {
allow-snooped-clients;
}
}
}
要启用或禁用对一组接口的 DHCP 侦听支持：
指定要配置 DHCP 中继代理。
对于 DHCP 中继代理：
[edit] user@host# edit forwarding-options dhcp-relay
对于 DHCPv6 中继代理：
[edit] user@host# edit forwarding-options dhcp-relay dhcpv6
指定命名组。
对于 DHCP 中继代理：
[edit forwarding-options dhcp-relay] user@host# edit group group-name
对于 DHCPv6 中继代理：
[edit forwarding-options dhcp-relay dhcpv6] user@host# edit group group-name
指定要覆盖默认配置。
对于 DHCP 中继代理：
[edit forwarding-options dhcp-relay group group-name] user@host# edit overrides
对于 DHCPv6 中继代理：
[edit forwarding-options dhcp-relay dhcpv6 group group-name] user@host# edit overrides
启用或禁用 DHCP 侦听支持。
要启用 DHCP 侦听，请执行以下操作：
对于 DHCP 中继代理：
[edit forwarding-options dhcp-relay group group-name overrides] user@host# set allow-snooped-clients
对于 DHCPv6 中继代理：
[edit forwarding-options dhcp-relay dhcpv6 group group-name overrides] user@host# set allow-snooped-clients
要禁用 DHCP 侦听：
对于 DHCP 中继代理：
[edit forwarding-options dhcp-relay group group-name overrides] user@host# set no-allow-snooped-clients
对于 DHCPv6 中继代理：
[edit forwarding-options dhcp-relay dhcpv6 group group-name overrides] user@host# set no-allow-snooped-clients
例如，要在组 boston中的所有接口上启用 DHCP 侦听支持：
forwarding-options {
dhcp-relay {
group boston {
overrides {
allow-snooped-clients;
}
}
}
}
要在特定接口上启用或禁用 DHCP 侦听支持：
指定要配置 DHCP 中继代理。
对于 DHCP 中继代理：
[edit] user@host# edit forwarding-options dhcp-relay
对于 DHCPv6 中继代理：
[edit] user@host# edit forwarding-options dhcp-relay dhcpv6
指定包含接口的命名组。
对于 DHCP 中继代理：
[edit forwarding-options dhcp-relay] user@host# edit group group-name
对于 DHCPv6 中继代理：
[edit forwarding-options dhcp-relay dhcpv6] user@host# edit group group-name
指定要为其配置 DHCP 侦听的接口。
对于 DHCP 中继代理：
[edit forwarding-options dhcp-relay group group-name] user@host# edit interface interface-name
对于 DHCPv6 中继代理：
[edit forwarding-options dhcp-relay dhcpv6 group group-name] user@host# edit interface interface-name
指定要覆盖接口上的默认配置。
对于 DHCP 中继代理：
[edit forwarding-options dhcp-relay group group-name interface interface-name] user@host# edit overrides
对于 DHCPv6 中继代理：
[edit forwarding-options dhcp-relay dhcpv6 group group-name interface interface-name] user@host# edit overrides
启用或禁用 DHCP 侦听支持。
要启用 DHCP 侦听，请执行以下操作：
对于 DHCP 中继代理：
[edit forwarding-options dhcp-relay group group-name interface interface-name overrides] user@host# set allow-snooped-clients
对于 DHCPv6 中继代理：
[edit forwarding-options dhcp-relay dhcpv6 group group-name interface interface-name overrides] user@host# set allow-snooped-clients
要禁用 DHCP 侦听：
对于 DHCP 中继代理：
[edit forwarding-options dhcp-relay group group-name interface interface-name overrides] user@host# set no-allow-snooped-clients
对于 DHCPv6 中继代理：
[edit forwarding-options dhcp-relay dhcpv6 group group-name interface interface-name overrides] user@host# set no-allow-snooped-clients
例如，要在组boston中的接口ge-2/1/8.0上禁用 DHCP 侦听支持：
forwarding-options {
dhcp-relay {
group boston {
interface ge-2/1/8.0 {
overrides {
no-allow-snooped-clients;
}
}
}
}
}
要在组sunnyvale中的接口ge-3/2/1.1上启用 DHCPv6 侦听支持，请执行以下操作：
forwarding-options {
dhcp-relay {
dhcpv6 {
group sunnyvale {
interface ge-3/2/1.1 {
overrides {
allow-snooped-clients;
}
}
}
}
}
}
另见
DHCP 侦听配置
禁用 DHCP 侦听过滤器
DHCP 侦听通过识别传入的 DHCP 数据包来提供 DHCP 安全性。在默认 DHCP 侦听配置中，所有流量都会被侦听。您可以选择性地使用语 forward-snooped-clients 句来评估被窥探的流量，并根据接口是否配置为组的一部分来确定是转发还是丢弃流量。
在默认配置和使用 forward-snooped-clients 语句的配置中，所有 DHCP 流量都会从硬件控制平面转发到路由实例的路由平面，以确保拦截所有 DHCP 数据包。在某些拓扑（例如城域网路由环拓扑）中，将所有 DHCP 流量转发到控制平面可能会导致流量过大。 no-snoop 配置语句禁用可在硬件控制平面上直接转发的 DHCP 流量（如具有有效路由的第 3 层单播数据包）的侦听过滤器，从而导致这些 DHCP 数据包绕过速度较慢的路由平面。您可以从 Junos OS 15.1R2 版开始禁用 DHCP 侦听过滤器。
要在 DHCP 本地服务器上禁用 DHCP 侦听过滤器，请执行以下操作：
要禁用 DHCP 中继服务器上的 DHCP 侦听过滤器，请执行以下操作：
指定要配置 DHCP 中继服务器。
[edit] user@host# edit forwarding-options dhcp-relay
禁用 DHCP 本地服务器的 DHCP 侦听过滤器。
[edit forwarding-options dhcp-relay] user@host# set no-snoop
指定要配置 DHCPv6 中继服务器。
[edit forwarding-options dhcp-relay] user@host# edit dhcpv6
禁用 DHCPv6 本地服务器的 DHCP 侦听过滤器。
[edit forwarding-options dhcp-relay dhcpv6] user@host# set no-snoop
另见
示例：配置 DHCP 中继代理的 DHCP 侦听支持
此示例说明如何配置对 DHCP 中继代理的 DHCP 侦听支持。
要求
配置 DHCP 中继代理。请参阅 扩展 DHCP 中继代理概述。
概述
在此示例中，您可以通过完成以下操作来配置对 DHCP 中继代理的 DHCP 侦听支持：
覆盖默认的 DHCP 侦听配置，并为组 frankfurt中的接口启用 DHCP 侦听支持。
将 DHCP 中继代理配置为仅将窥探的数据包转发至已配置的接口。
配置
程序
分步过程
要配置 DHCP 侦听的 DHCP 中继支持：
指定要配置 DHCP 中继代理。
[edit] user@host# edit forwarding-options dhcp-relay
指定支持 DHCP 侦听的已命名接口组。
[edit forwarding-options dhcp-relay] user@host# edit group frankfurt
指定要包含在组中的接口。DHCP 中继代理在确定是转发还是丢弃流量时，会将这些接口视为配置的接口。
[edit forwarding-options dhcp-relay group frankfurt] user@host# set interface fe-1/0/1.3 upto fe-1/0/1.9
指定要覆盖组的默认配置。
[edit forwarding-options dhcp-relay group frankfurt] user@host# edit overrides
为组启用 DHCP 侦听支持。
[edit forwarding-options dhcp-relay group frankfurt overrides] user@host# set allow-snooped-clients
返回
[edit forwarding-options dhcp-relay]层级以配置转发操作，并指定 DHCP 中继代理仅在配置的接口上转发获窥探的数据包：[edit forwarding-options dhcp-relay group frankfurt overrides] user@host# up 2
为 DHCP 中继代理启用 DHCP 侦听数据包转发。
[edit forwarding-options dhcp-relay] user@host# edit forward-snooped-clients
指定仅在配置的接口（组
frankfurt中的接口）上转发窥探的数据包。[edit forwarding-options dhcp-relay forward-snooped-clients] user@host# set configured-interfaces
结果
在配置模式下，输入 show forwarding-options 命令以确认您的配置。如果输出未显示预期的配置，请重复此示例中的说明进行更正。以下输出还显示了法兰克福组中一系列已配置的接口。
[edit]
user@host# show forwarding-options
dhcp-relay {
forward-snooped-clients configured-interfaces;
group frankfurt {
overrides {
allow-snooped-clients;
}
interface fe-1/0/1.3 {
upto fe-1/0/1.9;
}
}
}
如果完成设备配置，请从配置模式输入 commit 。
示例：为 DHCPv6 中继代理启用 DHCP 侦听支持
默认情况下，路由器上禁用对 DHCPv6 中继代理的窥探支持。此示例说明如何覆盖默认的 DHCPv6 中继代理侦听配置，以便为一组命名接口和一组不同的命名组中的特定接口显式启用 DHCPv6 侦听。
您还可以通过在[edit forwarding-options dhcp-relay dhcpv6 overrides]层次结构级别使用allow-snooped-clients语句来全局启用 DHCPv6 侦听支持。
要求
此示例使用以下硬件和软件组件：
MX 系列 5G 通用路由平台
Junos OS 12.1 或更高版本
开始之前：
配置 DHCPv6 中继代理。
配置要应用通用 DHCP 配置的命名 DHCPv6 中继代理接口组。
概述
在此示例中，您将覆盖默认的 DHCPv6 中继代理侦听配置，以便为以下两个项显式启用 DHCP 侦听：
组中的所有接口，名为
boston名为的组中的接口
ge-3/2/1.1sunnyvale
配置
要覆盖默认的 DHCPv6 中继代理侦听配置，以便为命名接口组和命名组中的特定接口显式启用 DHCPv6 侦听，请执行以下任务：
CLI 快速配置
要快速配置此示例，请复制以下命令，将其粘贴到文本文件中，删除所有换行符，更改详细信息，以便与网络配置匹配，然后将命令复制并粘贴到层 [edit] 级的 CLI 中。
set forwarding-options dhcp-relay dhcpv6 group boston overrides allow-snooped-clients set forwarding-options dhcp-relay dhcpv6 group sunnyvale interface ge-3/2/1.1 overrides allow-snooped-clients
为命名接口组启用 DHCPv6 侦听支持
分步过程
要为命名接口组启用 DHCPv6 侦听支持，请执行以下操作：
指定要配置 DHCPv6 中继代理。
[edit] user@host# edit forwarding-options dhcp-relay dhcpv6
指定要为其启用 DHCPv6 侦听的已命名接口组。
[edit forwarding-options dhcp-relay dhcpv6] user@host# edit group boston
指定要覆盖该组中接口的默认 DHCPv6 配置。
[edit forwarding-options dhcp-relay dhcpv6 group boston] user@host# edit overrides
为组
boston中的所有接口启用 DHCPv6 侦听支持。[edit forwarding-options dhcp-relay dhcpv6 group boston overrides] user@host# set allow-snooped-clients
结果
在配置模式下，通过在[edit forwarding-options dhcp-relay]层次结构级别发出show语句来确认配置结果。如果输出未显示预期的配置，请重复此示例中的配置说明，以便进行更正。
[edit forwarding-options dhcp-relay]
user@host# show
dhcpv6 {
group boston {
overrides {
allow-snooped-clients;
}
}
}
如果完成路由器配置，请从配置模式输入 commit 。
为命名组中的特定接口启用 DHCPv6 侦听支持
分步过程
要对命名接口组中的特定接口启用 DHCPv6 侦听支持，请执行以下操作：
返回
[edit forwarding-options dhcp-relay dhcpv6]到层次结构级别，指定要配置 DHCPv6 中继代理。[edit forwarding-options dhcp-relay dhcpv6 group boston overrides] user@host# up 2
指定包含接口的命名组。
[edit forwarding-options dhcp-relay dhcpv6] user@host# edit group sunnyvale
指定组
sunnyvale中要为其启用 DHCPv6 侦听的接口。[edit forwarding-options dhcp-relay dhcpv6 group sunnyvale] user@host# edit interface ge-3/2/1.1
指定要覆盖组
sunnyvale中接口ge-3/2/1.1的默认 DHCPv6 配置。[edit forwarding-options dhcp-relay dhcpv6 group sunnyvale interface ge-3/2/1.1] user@host# edit overrides
为组
sunnyvale中的接口ge-3/2/1.1启用 DHCPv6 侦听支持。[edit forwarding-options dhcp-relay dhcpv6 group sunnyvale interface ge-3/2/1.1 overrides] user@host# set allow-snooped-clients
结果
在配置模式下，通过在[edit forwarding-options dhcp-relay]层次结构级别发出show语句来确认配置结果。如果输出未显示预期的配置，请重复此示例中的配置说明，以便进行更正。
[edit forwarding-options dhcp-relay]
user@host# show
dhcpv6 {
group boston {
overrides {
allow-snooped-clients;
}
}
group sunnyvale {
interface ge-3/2/1.1 {
overrides {
allow-snooped-clients;
}
}
}
}
如果完成路由器配置，请从配置模式输入 commit 。
验证
要验证多中继拓扑中的 DHCPv6 配置，请执行以下任务：
验证 DHCPv6 中继代理客户端的地址绑定
目的
验证动态主机配置协议 （DHCP） 客户端表中的 DHCPv6 地址绑定。
行动
显示有关 DHCPv6 中继代理客户端的地址绑定的详细信息。
user@host > show dhcpv6 relay binding detail
Session Id: 13
Client IPv6 Prefix: 2001:db8:0:8001::5/128
Client DUID: LL0x1-00:00:5e:00:53:02
State: BOUND(DHCPV6_RELAY_STATE_BOUND)
Lease Expires: 2011-11-21 06:14:50 PST
Lease Expires in: 293 seconds
Lease Start: 2011-11-21 06:09:50 PST
Incoming Client Interface: ge-3/2/1.1
Server Address: unknown
Next Hop Server Facing Relay: 2001:db8::2
Server Interface: none
Client Id Length: 10
Client Id: /0x00030001/0x00006503/0x0102
意义
Server Address命令输出中的show dhcpv6 relay binding detail字段通常显示 DHCPv6 服务器的 IP 地址。在此示例中，字段中的Server Address值unknown表示这是一个多中继拓扑，其中 DHCPv6 中继代理不直接与 DHCPv6 服务器相邻，并且不检测服务器的 IP 地址。
在这种情况下，输出将包含字段 Next Hop Server Facing Relay ，该字段在 DHCPv6 服务器的方向上显示下一跃点地址。
防止 DHCP 欺骗
DHCP DHCP spoofing有时会出现的问题是。在 DHCP 欺骗中，不受信任的客户端会向网络发送大量 DHCP 消息。通常，这些攻击利用源 IP 地址欺骗来隐藏攻击的真正来源。
DHCP 侦听通过将 DHCP 消息复制到控制平面并使用数据包中的信息创建反欺骗过滤器来帮助防止 DHCP 欺骗。反欺骗过滤器将客户端的 MAC 地址绑定到其 DHCP 分配的 IP 地址，并使用此信息过滤欺骗的 DHCP 消息。在典型的拓扑中，运营商边缘路由器（在此功能中也称为宽带网络网关 [BNG]）连接 DHCP 服务器和执行侦听的 MX 系列路由器（或宽带服务聚合器 [BSA]）。MX 系列路由器连接到客户端和 BNG。
要配置 DHCP 侦听，请在 DHCP 组中加入相应的接口。您可以为 VPLS 环境和桥接域配置 DHCP 侦听。
在 VPLS 环境中，DHCP 请求通过伪线进行转发。您可以在
[edit routing-instances routing-instance-name]层次结构级别配置通过 VPLS 的 DHCP 侦听。在网桥域中，DHCP 侦听基于每个学习网桥工作。每个学习域都必须配置一个上游接口。此接口充当来自客户端的 DHCP 请求的泛洪端口。DHCP 请求在桥接域中的学习域之间转发。您可以在
[edit routing-instances routing-instance-name bridge-domains bridge-domain-name]层级对桥接域配置 DHCP 侦听。
要配置 DHCP 中继以防止 DHCP 欺骗，请执行以下操作：
您可以显式启用和禁用对 DHCP 侦听客户端的接口支持。请参阅 启用和禁用 DHCP 中继代理的 DHCP 侦听数据包支持。
另见
变更历史表
是否支持某项功能取决于您使用的平台和版本。使用 功能浏览器 查看您使用的平台是否支持某项功能。