Infra & Netzwerk

DHCP (Dynamic Host Configuration Protocol)

Overview

DHCP ist ein Client-Server-Protokoll, das einem Gerät beim Netzwerkstart seine IP-Konfiguration liefert. Spezifiziert ist es in RFC 2131 (März 1997), die Optionen in RFC 2132. Für IPv6 gibt es mit DHCPv6 ein eigenes Protokoll.

DHCP-Server laufen in Unternehmen meist als Rolle auf Windows Server, auf Firewalls oder Routern. Sie verwalten Adressbereiche (Scopes), Ausschlüsse, Reservierungen für Drucker oder Server und Optionen wie DNS-Server, Domain-Suffix oder PXE-Bootserver.

Abgrenzung: DHCP vergibt Adressen, DNS (eigener Eintrag) löst Namen auf. Windows-DHCP-Server können Clients aber automatisch im DNS registrieren. Für die zentrale Verwaltung mehrerer DHCP- und DNS-Server bietet Windows Server IP Address Management (IPAM).

How it works

Die Adressvergabe folgt dem DORA-Ablauf über UDP (Server-Port 67, Client-Port 68):

  1. DHCPDISCOVER: Der Client sendet einen Broadcast in sein Subnetz und sucht einen Server.
  2. DHCPOFFER: Ein oder mehrere Server bieten eine freie Adresse mit Optionen an.
  3. DHCPREQUEST: Der Client wählt ein Angebot und fordert die Adresse beim gewählten Server an.
  4. DHCPACK: Der Server bestätigt die Lease. Kann er die Anfrage nicht erfüllen, sendet er DHCPNAK.

Vor Ablauf der Lease verlängert der Client sie selbstständig. Liegt der Server in einem anderen Subnetz, leitet ein DHCP-Relay (IP Helper) auf Router oder Layer-3-Switch die Broadcasts weiter.

Für Ausfallsicherheit unterstützt Windows Server DHCP-Failover: Zwei Server teilen sich Scopes und Leases, entweder zur Lastverteilung oder als Reserve. Mehr als zwei Partner pro Scope sind nicht möglich.

Benefits

  • Spart manuellen Aufwand und verhindert Tippfehler bei der IP-Konfiguration
  • Vermeidet Adresskonflikte, weil der Server jede Adresse nur einmal vergibt
  • Erlaubt zentrale Änderungen, etwa eines neuen DNS-Servers, ohne jedes Gerät anzufassen
  • Liefert mit Reservierungen feste Adressen für Drucker oder Kameras bei weiterhin zentraler Verwaltung

Practical example

Eine Kommune mit Rathaus und vier Außenstellen betreibt DHCP bisher auf einem einzelnen Windows-Server. Fällt dieser aus, bekommen neu gestartete Geräte keine Adresse mehr. Die IT richtet einen zweiten DHCP-Server ein, konfiguriert DHCP-Failover für alle Scopes und lässt die Außenstellen über DHCP-Relay auf den Core-Switches anfragen. Ein Serverneustart während der Arbeitszeit fällt danach niemandem mehr auf.

Things to keep in mind

  • DHCP redundant betreiben, z. B. mit Windows-DHCP-Failover, weil ein Ausfall sonst alle neu startenden Geräte betrifft
  • Leasedauer passend wählen: kurz in Gäste- und WLAN-Netzen, länger in stabilen Büronetzen
  • DHCP Snooping auf den Switches aktivieren, damit nicht autorisierte DHCP-Server keine falschen Gateways verteilen
  • Scopes, Reservierungen und Optionen dokumentieren und die Auslastung der Adressbereiche überwachen
  • Bei Windows Server den DHCP-Server in Active Directory autorisieren, sonst vergibt er keine Adressen

Conclusion

DHCP ist ein unscheinbarer Basisdienst, dessen Ausfall aber schnell das ganze Netz trifft. Betreibe ihn redundant und schütze ihn per DHCP Snooping vor gefälschten Servern.

Further reading

Related articles