科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网网络频道企业局域网内DHCP服务器的安全设计管理

企业局域网内DHCP服务器的安全设计管理

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

我们都知道,IP地址是企业局域网主机进行相互通信的基础。若主机没有IP地址的话,则这台主机是不能够上网的。而DHCP服务器则是掌管着管理企业局域网主机IP地址的重任,若其出现安全性漏洞的话,则对于企业整个局域网的打击是致命的,会导致企业整个网络的瘫痪。

来源:赛迪网 2009年2月11日

关键字: 安全管理 企业网 网络管理

  • 评论
  • 分享微博
  • 分享邮件
我们都知道,IP地址是企业局域网主机进行相互通信的基础。若主机没有IP地址的话,则这台主机是不能够上网的。而DHCP服务器则是掌管着管理企业局域网主机IP地址的重任,若其出现安全性漏洞的话,则对于企业整个局域网的打击是致命的,会导致企业整个网络的瘫痪。

所以,网络管理员在部署DHCP服务器的同时,还需要关注一下,DHCP服务器的安全性问题。具体的来说,我们可以从以下几个方面入手,做好DHCP服务器的安全性管理。

第一步:管理好管理员帐户。

DHCP服务器安全性设计的第一步就是要做好管理员帐户的安全措施。因为无论是黑客,还是木马或者病毒,其若没有取得管理员权限的话,则其破坏性也是非常有限的。所以,网络管理员第一步要做就是看看该如何保护好这个管理员帐户。

为此,不同的DHCP服务器角色有不同的保护措施。

如我们是在路由器上采用DHCP服务的,则可以通过IP地址等限制。因为路由器的话,我们一般都通过远程来管理DHCP服务器,如通过TELENT或者SSH协议远程连接到服务器上进行管理。为此,我们可以指定一台主机,只有这台主机才可以连接到路由器上进行DHCP服务器的管理。为此,我们可以在路由器的防火墙上配置,只允许某个IP地址或者MAC地址的主机才能够连上来进行DHCP服务管理。通过这种方式,再加上用户的口令,则可以比较好的保障管理员帐户的安全性。从而不让攻击者有机可乘,破坏DHCP服务器的安全与稳定。

如DHCP服务器是部署在微软的操作系统上,并且在域环境中,则管理起来更加的方便。如我们可以在活动目录用户和计算机中,可以建立一个用户,专门用来管理DHCP服务器。用户新建立之后,则可以把这个用户指定为管理员角色,让其有权限管理DHCP服务器。一般来说,笔者是建议各个服务器的话,采用不同的管理员帐户。这主要是避免某个管理员帐户与口令被泄漏之后,其只影响某个特定的服务,对其他服务不会有什么不良的影响。另外,对于建立在微软操作系统的DHCP服务器来说,也可以实现远程管理。为此,我们也可以利用微软操作系统自带的安全策略,指定只有哪些主机可以连接到DHCP服务器上进行相关的管理动作。

总之,攻击者要攻击企业的DHCP服务器的话,第一步是收集相关的信息然后进行分析;第二步就是设法取得管理员权限的帐户与口令。若我们能够保护好管理员帐户与口令的话,则非法攻击者将拿我们没办法。

第二步:要了解DHCP服务器的运行情况。

做好管理员帐户的安全措施之后,网络管理员接下去要做的就是了解DHCP服务器的运行状况;以及在DHCP出现故障之前到底发生了什么事情,或者出现过哪些异常的情况。要做到这一点,最好的办法就是查看DHCP服务器的日志。不过,有些DHCP服务器默认情况下,是没有开启DHCP服务器的审核记录日志的。若要启用这个功能,往往需要我们手工开启。否则的话,DHCP服务器的一些运行信息,包括一些异常信息是无法被服务器的日志所记录的。

下面笔者以微软操作系统自带的DHCP服务为例,谈谈如何开启这个“审核记录”的功能。

我们在管理工具中,找到DHCP服务器管理器,打开DHCP服务器控制台窗口,右键单击我们的服务器,选择属性。在弹出的对话框中,切换到“常规”标签,看看“启用DHCP审核记录”选项是否被选中。若选中的话,则DHCP服务器的一些运行信息,就会被保存在系统的日志中。否则的话,就不会记录DHCP服务器的运行状态,我们也就不能够知道DHCP服务器到底出了什么事情。

不过有些时候,黑客光临了DHCP服务器之后,往往会想法设法的隐藏自己的踪迹。其中有一项措施就是修改或者删除日志文件。为此,我们为了防止不法攻击者非法修改日志文件,我们需要更改这个日志文件的默认路径。在同一个对话框中,我们可以看到一个“数据库路径”的选项。后面的内容就是这个日志默认的保存地点。网络管理员可以根据实际情况,选择合适的日志保存路径。

另外,这个日志也是我们日后DHCP服务器出现故障后排除错误的一个重要基础数据。所以,我们还需要对这个日志文件作好相关的备份工作。否则的话,当这个日志意外丢失后,我们就很对查清DHCP服务器的故障了。还有就是最好能够对这个日志进行异地备份,如此的话,即使DHCP服务器全部瘫痪了,我们也可以从异地备份的日志中看到DHCP服务器最后做了哪些动作,才会导致这个服务器故障。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章