摘要：# 别以为DHCP只是个“发地址的”，它可能正把你家网络大门敞开 前两天帮朋友公司排查一个怪事：内网打印机时不时就“失联”，几个员工的电脑也总提示“网络受限”。折腾了一下午，最后发现问题出在他们那台用了快十年的老路由器上——更准确地说，是它自带的DHCP…

别以为DHCP只是个“发地址的”，它可能正把你家网络大门敞开

前两天帮朋友公司排查一个怪事：内网打印机时不时就“失联”，几个员工的电脑也总提示“网络受限”。折腾了一下午，最后发现问题出在他们那台用了快十年的老路由器上——更准确地说，是它自带的DHCP服务被人“玩坏了”。

这可不是什么高深莫测的黑客技术。说白了，就是有人（可能是无意，也可能是有意）在办公室里私接了个小路由器，没关DHCP功能。结果呢？整个局域网里出现了两个“发地址的管家”，电脑们懵了，不知道该听谁的，网络自然就乱套了。

这其实就是DHCP欺骗的一种最生活化的体现。而今天我想聊的，就是DHCP协议那些常被我们忽略的安全隐患。很多人觉得它就是个后台默默工作的“工具人”，没啥存在感。但恰恰是这种“不起眼”，让它成了攻击者眼里的一块肥肉。

DHCP：不只是“自动分配IP”那么简单

咱们先抛开术语。你可以把DHCP服务器想象成写字楼里的前台。新员工（新设备）第一天来上班，走到前台说：“你好，我该坐哪个工位？公司WiFi密码是多少？”前台（DHCP服务器）就会递给他一张纸条，上面写着：你的工位是A区108（IP地址），这是大门钥匙（子网掩码），去B座找王经理（网关），公司WiFi密码是xxx（DNS等更多信息）。

这个过程专业点叫 “DORA”：发现（Discover）、提供（Offer）、请求（Request）、确认（Acknowledge）。一切都很美好，自动化，省心。

但问题就出在，这个“前台”和“新员工”之间的对话，基本是不设防的。他们用的是广播喊话，谁都能听见。而且，“新员工”根本没法验证这个“前台”是不是真的前台——万一是个骗子假冒的呢？

真正的麻烦：“饿死攻击”与“李鬼前台”

安全隐患主要来自两方面，一个让你“没地儿坐”，一个给你“假地图”。

1. 饿死攻击：把工位全部占光，让你无家可归

这是最损的一招，也叫DHCP饥饿攻击。攻击者会伪装成无数个“新员工”，疯狂地向DHCP服务器申请IP地址。

“前台，给我个工位！”“前台，我也要！”“还有我！”……

DHCP服务器里的地址池（IP地址范围）是有限的。很快，所有可用的地址都被这些“假员工”申请光了。这时，真正的员工（你的电脑、手机）再来申请，前台只能两手一摊：“不好意思，没工位了，您外边儿等着吧。”

你的设备就拿不到合法的IP，直接“断网”。整个网络可能因此瘫痪。这种攻击工具在网上随手就能找到，门槛极低，破坏性却立竿见影。

2. DHCP欺骗/劫持：给你一张通往“贼窝”的地图

这招更阴险，危害也更大。攻击者会在你的网络里，私自架设一台非法的DHCP服务器（我们叫它“李鬼前台”）。

当你的设备广播问“谁是前台”时，这个“李鬼前台”会抢在真正的服务器之前回应：“我这儿！来我这儿办手续！”因为它回应得更快、更积极。

你的设备不辨真假，欢天喜地地从“李鬼”那里拿到了“入职手续”：一个IP地址、一个子网掩码、一个网关地址，以及最重要的——DNS服务器地址。

好了，噩梦开始了。攻击者给你的网关和DNS，都是他控制的。从此：

• 你上网的所有流量，都会先流经攻击者的机器（他成了网关），他可以看到你所有的明文数据（比如你登录那些不用HTTPS的网站时输入的账号密码）。
• 你想访问淘宝、网银，问DNS“淘宝的IP是多少？”，他控制的DNS会告诉你一个假地址——这个假地址可能是个长得一模一样的钓鱼网站。你输完账号密码，钱就没了。

说白了，一旦DHCP被欺骗，你后续所有的通信都可能是在攻击者的监视和操控之下进行的。 很多企业内网渗透测试，都是从搞定DHCP开始的。

防御：别让“前台”裸奔，给对话加把锁

知道了风险，那怎么防？其实招数不少，关键看你有没这个意识去配置。

第一招：启用DHCP Snooping（窥探） 这是交换机上最重要的安全功能之一，堪称“防火墙”级的存在。你可以在交换机上设置：只有特定的、可信的端口（比如连接着你真正DHCP服务器的那个网口）才能发送DHCP服务器的响应。其他所有端口（比如连接员工电脑的）如果发出了DHCP Offer（提供地址）的包，交换机会直接把它丢掉，并记录为异常。 这就相当于给大楼的通信线路装了监控，只允许正牌前台的声音从特定线路传出来，其他线路传来的“我是前台”喊话一律屏蔽。

第二招：配置IP Source Guard（源IP防护） 这个可以配合DHCP Snooping使用。交换机会记录下每个端口通过DHCP获得的合法IP地址。之后，这个端口发出的数据包，如果源IP地址不是它被分配的那个，交换机也会拒绝转发。这能有效防止攻击者伪造IP地址进行后续攻击。

第三招：端口安全与动态ARP检测 限制交换机一个物理端口能学习的MAC地址数量（比如只允许学1个），可以一定程度上缓解“饿死攻击”，因为攻击者伪造大量MAC地址时会被端口拒绝。再结合动态ARP检测（DAI），可以防止攻击者通过ARP欺骗来配合DHCP欺骗，形成立体防御。

第四招：最笨但有时最有效——静态绑定 对于网络里一些重要的、位置固定的设备（比如服务器、网络打印机），干脆就别让DHCP管了。手动给它们配置静态IP地址，并在DHCP服务器的地址池里把这些地址排除出去。这样，即使发生“饿死攻击”，这些关键设备也不受影响。

最后说句大实话： 很多中小公司的网络，路由器、交换机买来插上就用，后台那些安全功能一个都没开过。总觉得“没出事就是安全”。但DHCP的安全问题就像门锁，平时感觉不到它的存在，一旦被撬，丢的就是整个家当。

尤其是现在无线网络、物联网设备这么多，内网环境越来越复杂。攻击未必都来自外部，内部一个员工无意中接错设备，都可能引发一场混乱。

所以，下次当你觉得网络“有点不对劲”但又找不到原因时，不妨登录你的交换机或企业级路由器管理界面，看看有没有“DHCP Snooping”这个选项。把它打开，可能就解决了一个潜伏已久的大麻烦。

行了，关于这个“不起眼”的协议，今天就聊这么多。网络安全的坑，往往就藏在这些你觉得“理所应当”会正常运行的地方。