Tutoriel Linux

Serwer DHCP w systemie Linux: co zablokować przed wdrożeniem produkcyjnym

Débutant4 min de lecture
À retenirLinux n'est pas réservé aux experts. Le bon point de départ : une distribution accessible, une sauvegarde propre et quelques commandes comprises.

Źle umieszczony serwer DHCP w sieci może szybko prowadzić do problemów: komputery mogą otrzymać nieprawidłową bramę, adres, który jest już w użyciu, lub nieprawidłowy serwer DNS. Przed zainstalowaniem czegokolwiek należy sprawdzić następujące elementy: kto już rozprowadza adresy i na którym interfejsie powinien nasłuchiwać Twój serwer.

Ilustracja administratora Linuksa łączącego serwer DHCP z wieloma urządzeniami sieciowymi
Przed dystrybucją adresów skonfiguruj protokół DHCP na właściwym interfejsie.

Zacznij od sprawdzenia sieci, a nie od uruchamiania usługi.

Serwer DHCP odpowiada na żądania rozgłaszane w jego segmencie sieci. Dlatego nigdy nie należy go dodawać obok modemu, routera ani zapory sieciowej, które już udostępniają dzierżawy DHCP, chyba że celowo wyłączono tę usługę na istniejącym sprzęcie.

Na serwerze zwróć uwagę na interfejsy i schemat adresowania:

ip -br łącze
adres IP -4
trasa IP
sudo ss -lunp | grep ':67'

Ostatnie polecenie pozwala zidentyfikować proces, który już nasłuchuje na porcie UDP 67. Sprawdź również, czy interfejs docelowy to rzeczywiście interfejs LAN, a nie łącze administracyjne, tunel VPN lub interfejs zewnętrzny. Jeśli pracujesz zdalnie, utrzymuj otwartą sesję SSH: błąd sieciowy może uniemożliwić dostęp do serwera.

Następnie zdefiniuj zakres, który nie pokrywa się ze statycznymi adresami IP, bramą, drukarkami, urządzeniami NAS ani punktami dostępu Wi-Fi. W przypadku sieci 192.168.50.0/24, plaża pomiędzy 192.168.50.100 I 192.168.50.200 pozostawia pewien margines swobody.

Zainstaluj Kea i wybierz interfejs, którego chcesz słuchać.

Na Debianie, Kea to nowoczesne i stale rozwijane rozwiązanie DHCP. Zainstaluj serwer DHCPv4:

sudo apt update
sudo apt install kea-dhcp4-server

Plik główny zwykle znajduje się w /etc/kea/kea-dhcp4.confPrzed modyfikacją zachowaj kopię:

sudo cp /etc/kea/kea-dhcp4.conf /etc/kea/kea-dhcp4.conf.bak

Poniższa konfiguracja to przykład minimalny. Zastąp enp1s0, ustawienia podsieci, bramy i DNS według własnych wartości. Nie kopiuj adresu MAC z przykładu do rezerwacji.

{
  "DHCP4": {
    "konfiguracja interfejsów": {
    },
    „ważny okres ważności”: 3600,
    „odnów-timer”: 900,
    „rebind-timer”: 1800,
    "podsieć4": [
      {
        „podsieć”: „192.168.50.0/24”,
        "dane opcji": [
          { "nazwa": "routery", "dane": "192.168.50.1" },
          { "nazwa": "serwery nazw domen", "dane": "192.168.50.1, 1.1.1.1" }
        ],
        „rezerwacje”: [
          {
            "adres sprzętowy": "00:11:22:33:44:55",
            "adres IP": "192.168.50.20"
          }
        ]
      }
    ]
  }
}

Sekcja interfejsy-config To jest kluczowy punkt. Z powodu słabego interfejsu Kea może zostać uruchomiona bez świadczenia jakichkolwiek usług docelowym klientom. Dokumentacja Kea DHCPv4 szczegółowo opisuje podsieci, pule i dostępne opcje.

Przed przypisaniem pojedynczego adresu przetestuj konfigurację

Nie restartuj usługi natychmiast po wklejeniu pliku. Kea może przetestować jej konfigurację:

sudo kea-dhcp4 -t /etc/kea/kea-dhcp4.conf

Popraw wszelkie zwrócone błędy, a następnie uruchom usługę i monitoruj jej logi:

sudo systemctl restart kea-dhcp4-server
sudo systemctl status kea-dhcp4-server --no-pager
sudo journalctl -u kea-dhcp4-server -f

W zależności od wersji lub dystrybucji nazwa jednostki może się różnić. Jeśli ta jednostka nie istnieje, przed improwizacją należy wymienić usługi Kea:

systemctl list-unit-files | grep -i kea

Następnie przetestuj za pomocą pojedynczy niekrytyczny klientMusi uzyskać adres z zakresu, prawidłową bramę i docelowe serwery DNS. Na kliencie sprawdź otrzymany adres i domyślną trasę za pomocą adres IP -4 I trasa IPAby zrozumieć interfejsy i trasy przed tym testem, możesz również ponownie przeczytać nasz przewodnik na temat nmcli w systemie Linux i ten poświęcony stały adres IP w Debianie.

Dzięki temu unikniemy najbardziej uciążliwych awarii.

  • Tylko jeden serwer DHCP na sieć VLAN lub segment : wyłącz DHCP na urządzeniu lub routerze, jeśli Kea przejmie kontrolę.
  • Udokumentowana plaża : nie dodawaj adresów statycznych do puli lub użyj rezerwacji DHCP.
  • Rozsądne umowy najmu Godzina to dobry punkt wyjścia dla małej sieci. Skróć go tylko wtedy, gdy klienci zmieniają się naprawdę często.
  • Monitorowane logi :po modyfikacji zachowaj dziennikctl otwarte podczas testów. Nasz artykuł na temat śledzenie ogona i kłody Może to być pomocne, jeśli chcesz również odczytać plik aplikacji.
  • Konsekwentne filtrowanie sieci DHCP używa protokołu UDP 67 po stronie serwera i UDP 68 po stronie klienta. Nie kopiuj reguły zapory losowo; najpierw sprawdź, które porty są faktycznie otwarte. ss i netstat.

Po zatwierdzeniu pierwszej dzierżawy, pozwól usłudze działać przez kilka godzin przed migracją wszystkich stacji roboczych. Rezerwacje i dziennik szybko wskażą, czy adresy się pokrywają lub czy stary serwer DHCP nadal odpowiada w sieci. Więcej informacji znajdziesz na stronie podręcznika Debiana. kea-dhcp4 jest przydatny do sprawdzania opcji rozruchu i testowania plików.

sudo apt update && sudo apt upgrade