Evitando servidor DHCP duplicado na rede

Question

Como posso impedir que um servidor DHCP duplicado em uma rede interfira? É possível?

Eu não estou pedindo nenhum cenário real que esteja acontecendo, apenas curiosidade. No meu complexo de apartamentos há uma rede e internet fornecidos, alguém causou problemas com toda a rede porque eles conectaram seu roteador sem fio que tinha um servidor DHCP ativado.

Como você evitaria tais conflitos / problemas em uma rede, ou seria impossível evitar o firewall e o controle das máquinas na sua rede?

    

Answer 1

Qualquer tipo de segurança de rede é impossível, exceto o controle estrito do acesso à rede. Se você estiver permitindo que as pessoas conectem um hardware aleatório, que o hardware esteja executando um servidor DHCP, e esse servidor achar que deve distribuir endereços, você terá conflitos.

A melhor solução em que consigo pensar, sem outras alterações em seu ambiente, é determinar em qual porta de rede o servidor DHCP não autorizado está sendo executado e desligá-lo. Você pode fazer isso manualmente para problemas raros / ocasionais, mas também há sistemas de prevenção de intrusão que podem fazer isso reconhecendo que uma resposta DHCP foi enviada de um endereço MAC não autorizado, determine qual porta de switch está associada a esse MAC & desabilitando a porta (a Cisco possui um software que pode fazer isso, e você provavelmente também pode configurar o Sort para fazer isso com algum trabalho).

Uma solução melhor é provavelmente segmentar sua rede para que cada apartamento / usuário receba uma vLAN. Isso evita que um dispositivo desonesto afete todo o seu complexo.

    

Answer 2

Ao ativar "DHCP Snooping" em um switch gerenciado que suporta esse recurso.

    

Answer 3

Quando o seu computador precisa de suporte DHCP, ele transmite uma mensagem de solicitação DHCP na rede local. Se houver mais de um servidor DHCP no segmento de rede, o primeiro servidor DHCP que responder será o servidor DHCP que fornece as informações necessárias ao seu computador.

    

Answer 4

Há outra opção em potencial, que seria negar somente a entrada de respostas DHCP de todas as portas físicas, exceto a porta conectada ao servidor válido - porta de destino UDP 68 (certeza de que 67/68 são bootps / bootpc).

Dessa forma, você não impede que os clientes solicitem endereços, mas evita que nada que não esteja conectado às portas permitidas responda. Você quer isso apenas na borda da rede, portas de acesso direto, etc.