如何配置設(shè)置建立dhcp服務(wù)器

   DHCP服務(wù)器典型配置實(shí)例

常見的DHCP組網(wǎng)方式可分為兩類：一種是DHCP服務(wù)器和DHCP客戶端都在一個子網(wǎng)內(nèi)，直接進(jìn)行DHCP協(xié)議的交互；另外一種是DHCP服務(wù)器和DHCP客戶端分別處于不同的子網(wǎng)中，必須通過DHCP中繼代理實(shí)現(xiàn)IP地址的分配。無論哪種情況下，DHCP服務(wù)器的配置都是相同的。

1.      組網(wǎng)圖

圖4-7 DHCP服務(wù)器與DHCP客戶端在同一網(wǎng)絡(luò)

2.      組網(wǎng)需求

DHCP服務(wù)器為同一網(wǎng)段中的客戶端動態(tài)分配IP地址，DHCP服務(wù)器（HiPER）LAN口地址為192.168.16.1/24，欲配置兩個地址池（地址池名為pool1和pool2），均綁定在LAN口，pool1地址范圍為：192.168.16.2/24～192.168.16.101/24，pool2地址范圍為：192.168.16.102/24～192.168.16.254/24。

兩個地址池主DNS服務(wù)器地址為202.96.209.5、備DNS服務(wù)器地址為202.96.199.133，無WINS服務(wù)器；域名均為utt.com.cn；出口網(wǎng)關(guān)地址均為HiPER的LAN口地址。Pool的租用時間為3600秒，pool2的租用時間為7200秒。

另外局域網(wǎng)中某主機(jī)要求使用固定IP地址，因此需為它配置DHCP手工綁定。其用戶名為binding1，預(yù)分配的IP地址為192.168.16.10/24，MAC地址為000795a81c3d，主機(jī)名為wgw，客戶端標(biāo)識使用“類型＋MAC地址”方式，即采用hex表示方式，值為01000795a81c3d。顯然，該DHCP手工綁定需綁定到pool1。

3.      配置步驟

1）      DHCP服務(wù)器全局配置

! 啟用DHCP服務(wù)器

set ip dhcp server enabled yes

注意：本例中，使用系統(tǒng)缺省的地址檢測機(jī)制。

2）      配置DHCP地址池“pool1”

由于系統(tǒng)缺省地址池名為“pool1”，因此，只需修改“pool1”相關(guān)信息即可。地址池pool1的出廠參數(shù)值可參見表4-25（章節(jié)4.4.3）。

與應(yīng)用要求相比較，對pool1配置做如下修改，其余未修改參數(shù)采用系統(tǒng)缺省配置。

！設(shè)置地址池的起始地址為192.168.16.2

set ip dhcp pool/pool1 poolstart 192.168.16.2

！設(shè)置地址池的總地址數(shù)為100

set ip dhcp pool/pool1 poolcount 100

！設(shè)置地址池的網(wǎng)關(guān)地址為192.168.16.1

set ip dhcp pool/pool1 poolcount 192.168.16.1

！設(shè)置主DNS服務(wù)器和備DNS服務(wù)器分別為202.96.209.5和202.96.199.133

set ip dhcp pool/pool1 pridns 202.96.209.5

set ip dhcp pool/pool1 secdns 202.96.199.133

！設(shè)置客戶端域名為utt.com.cn

set ip dhcp pool/pool1 domainname utt.com.cn

! 保存配置

write

3）      配置DHCP地址池“pool2”

地址池pool2配置如下，其余未配置的參數(shù)使用系統(tǒng)出廠值。

！新建一個地址池，名字為pool2

new ip dhcp pool/pool2

！設(shè)置地址池的起始地址為192.168.16.102

set ip dhcp pool/pool2 poolstart 192.168.16.102

！設(shè)置地址池的總地址數(shù)為153

set ip dhcp pool/pool2 poolcount 153

！設(shè)置地址池的網(wǎng)關(guān)地址為192.168.16.1

set ip dhcp pool/pool2 poolcount 192.168.16.1

！設(shè)置地址租用時間為7200秒

set ip dhcp pool/pool2 leasetime 7200

！設(shè)置主DNS服務(wù)器和備DNS服務(wù)器分別為202.96.209.5和202.96.199.133

set ip dhcp pool/pool2 pridns 202.96.209.5

set ip dhcp pool/pool2 secdns 202.96.199.133

！設(shè)置客戶端域名為utt.com.cn

set ip dhcp pool/pool2 domainname utt.com.cn

! 保存配置

write

4）      配置DHCP手工綁定

DHCP手工綁定用戶的配置如下：

！新建一個DHCP手工綁定用戶，名字為binding1，類型為DHCP_STATIC

new user/binding1

set user/binding1 type dhcp_static

！配置綁定的地址池為pool1

set user/binding1 dhcppoolname pool1

！配置IP地址和MAC地址

set user/binding1 ipaddress 192.168.16.10

set user/binding1 macaddress 000795a81c3d

！配置客戶端標(biāo)識

set user/binding1 clientid hex:01000795a81c3d

！配置主機(jī)名

set user/binding1 hostname wgw

! 保存配置

write

如何配置DHCP更安全：

現(xiàn)在規(guī)模稍大的企業(yè)網(wǎng)，一般都使用DHCP服務(wù)器為客戶機(jī)統(tǒng)一分配TCP/IP配置信息。這種方式不但減輕了網(wǎng)管人員的維護(hù)工作量，而且企業(yè)網(wǎng)的安全性也有了一定的提高。但DHCP服務(wù)器的安全問題卻不容小視，它一旦出現(xiàn)問題，就會影響整個網(wǎng)絡(luò)的正常運(yùn)行，如何加強(qiáng)對DHCP服務(wù)器的管理呢？其實(shí)簡單的幾步就可以實(shí)現(xiàn)。

　　 一、啟用DHCP審核記錄

　　 在DHCP服務(wù)器中到底發(fā)生了什么事情，管理員單靠肉眼是無法察覺的，最簡單的方法是查看Windows日志，但這時一定要確保啟用了DHCP服務(wù)器的“審核記錄”功能，否則，就無法在事件查看器中找到相應(yīng)的記錄。---www.bianceng.cn

　　 筆者以Windows 2000服務(wù)器為例，依次點(diǎn)擊“開始→程序→管理工具→DHCP”后，彈出DHCP控制臺窗口，右鍵點(diǎn)擊你的服務(wù)器，在菜單中選擇“屬性”，彈出屬性設(shè)置對話框，切換到“常規(guī)”標(biāo)簽頁，確保一定要選中“啟用DHCP審核記錄”選項(xiàng)，最后點(diǎn)擊“確定”按鈕。

　　 這樣就啟用了DHCP服務(wù)器的審核記錄，它的日志文件默認(rèn)保存在“C:\WINNT\System32\dhcp”目錄下。為了防止“不法之徒”惡意刪除日志，可以修改DHCP日志文件的存放路徑。切換到“高級”標(biāo)簽頁，點(diǎn)擊“審核日志路徑”欄的“瀏覽”按鈕，指定新的日志文件存放位置，接著，使用相同的方法，修改“數(shù)據(jù)庫路徑”，最后點(diǎn)擊“確定”。這樣，我們的DHCP日志就更加安全了。

　　 二、指定DHCP管理用戶

　　 在企業(yè)網(wǎng)中，為了加強(qiáng)對DHCP服務(wù)器的管理，網(wǎng)絡(luò)管理員要指定一個或若干用戶對DHCP服務(wù)器進(jìn)行管理。如筆者要指定賬號名為“CCE”的用戶能夠?qū)HCP進(jìn)行管理，在Windows 2000服務(wù)器中，進(jìn)入到“控制面板→管理工具”，運(yùn)行“Active Directory 用戶和計(jì)算機(jī)”工具，在彈出的窗口中，點(diǎn)擊“Users”選項(xiàng)，接著在右側(cè)框體中找到“DHCP Administrators”項(xiàng)，右鍵點(diǎn)擊，選擇“屬性”，彈出“DHCP Administrators屬性”對話框，切換到“成員”標(biāo)簽頁，點(diǎn)擊“添加”按鈕，將“CCE”用戶添加到列表框中，最后點(diǎn)擊“確定”按鈕，這樣“CCE”用戶就能夠管理DHCP服務(wù)器了。

　　 三、對DHCP管理用戶限制

　　 如果網(wǎng)絡(luò)管理員意外出現(xiàn)誤操作，將其他的用戶加入到DHCP管理組，那么這些用戶也會擁有對DHCP服務(wù)器的管理權(quán)限，這種情況的發(fā)生同樣會影響DHCP服務(wù)器的安全。如何對這些DHCP管理組用戶進(jìn)行限制呢？何不利用域安全策略，給DHCP服務(wù)器加個“雙保險”。

　　 如筆者只允許DHCP管理組的CCE用戶，對DHCP服務(wù)器擁有管理權(quán)限，而其他用戶只有“只讀”權(quán)限。進(jìn)入到“控制面板→管理工具”，運(yùn)行“域安全策略”工具，彈出安全策略控制臺窗口，接著依次展開“Windows 設(shè)置→安全設(shè)置→受限制的組”，然后在右側(cè)框體中的空白處單擊右鍵，選擇“添加組”，彈出添加組對話框，在欄中輸入“DHCP Administrators”后，點(diǎn)擊“確定”按鈕。

　　 然后右鍵點(diǎn)擊“DHCP Administrators”，選擇“安全性”，彈出配置成員身份對話框，接著點(diǎn)擊“添加”按鈕，將“CCE”用戶添加到成員列表中，最后點(diǎn)擊“確定”。

　　 通過以上三步操作后，我們的DHCP服務(wù)器就更加安全了，有興趣的朋友，不妨一試！