DHCP (Dynamic Host Configuration Protocol) Referat zum Thema im Rahmen der Vorlesung Rechnernetze

Transkript

1 Einführung DHCP (Dynamic Host Configuration Protocol) Referat zum Thema im Rahmen der Vorlesung Rechnernetze Genau genommen, umschreibt»konfiguration einiger Netzwerkparameter während des Netzwerkstarts«trefflich das Ansinnen von Dynamic Host Configuration Protocol DHCP oder Bootstrap Protocol BOOTP. Die Aufgabe beider Protokolle ist es, einen Clientrechner mit einer IP-Adresse zu versehen. Ursprünglich entsprang der Bedarf eines solchen Verfahrens dem Einsatz festplattenloser Clients, die ihre IP-Adresse während des Starts nicht kennen können (Wo sollten sie diese auch speichern?). Die heutigen Einsatzfälle sind weit reichender und sollen mit der Vorstellung des jeweiligen Protokolls genannt werden. RARP Der älteste (verbreitete) Mechanismus zur IP-Adress-Vergabe ist das Reverse Address Resolution Protocol (RARP), quasi das»umgekehrte«arp. Es basiert auf einer Broadcast-Anfrage, wobei der Client in seinem Subnetz die seiner Hardwareadresse zugeordnete IP-Adresse erfragt. Ein RARP-Server wird anhand einer Datenbank mit der gewünschten Information antworten. RARP ist jedoch zu sehr auf die zugrunde liegende Netzhardware fixiert und auf den bloßen Austausch der IP-Adresse beschränkt. Der Rechnername selbst oder bspw. der Namen eines DNS-Servers kann hierüber nicht in Erfahrung gebracht werden. U.a. der Wunsch nach solchen Anforderungen führte zur Entwicklung des BOOTP, das allgemein als Nachfolger des RARP bezeichnet wird. Der evolutionären Linie folgend, tritt DHCP mit einem nochmals gesteigerten Funktionsumfang das Erbe des BOOTP an. BOOTP Das Bootstrap Protocol dient zur Verteilung von IP-Konfigurationsparametern an einen Rechner. Für gewöhnlich handelt es sich um festplattenlose Clients, die während des Bootvorgangs alle notwendigen Informationen von einem Bootp- Server beziehen. Auch wenn das neuere DHCP BOOTP in vielen Bereichen verdrängt hat, gelangt BOOTP zumeist in Zusammenhang mit Booten übers Netz zum Einsatz, da der Kernel BOOTP direkt unterstützt. Die Funktionsweise ist einfach: Ein konfigurationswilliger Client sendet eine Anforderung (BOOTREQUEST) als Broadcast in das lokale (Sub)Netz. Ein Bootp-Server antwortet mit einem BOOTREPLY-Paket, das eventuell mehrere Konfigurationsparameter für das Netzwerk, mindestens aber die IP-Adresse des Clients beinhaltet. Der Bootp-Server muss nicht zwingend im lokalen Subnetz liegen, dann erfordert das Protokoll aber ein Bootp-Gateway. Bootp-Gateways dienen der Weiterleitung von BOOTREQUESTS. Der zuständige Daemon bootpgw wird hierzu mit der Adresse eines Bootp-Servers als Argument gestartet. Dieser Daemon lauscht nun im Netz nach Anfragen von Clients. Trifft eine Bootp-Anfrage ein, wartet das Gateway noch drei Sekunden, ob eine zugehörige Antwort von einem Server eintrifft. Wenn nicht, trägt er in das BOOTREQUEST-Paket seine Adresse ein und leitet es an den ihm bekannten Bootp-Server weiter. Bootp-Gateways könnten somit die Folgen des Ausfalls eines Servers lindern.

2 DHCP Die Möglichkeiten von BOOTP stießen aus (mind.) zwei Gründen bald auf ihre Grenzen. Den ersten Schwachpunkt offenbarte die zunehmende Verbreitung von tragbaren Computern.»Mal eben schnell«einen solchen in ein bestehendes Netz zu integrieren, scheiterte, weil hierfür die Kenntnis der Hardwareadresse unbedingt erforderlich ist. Problem Nummer 2 erwuchs mit der zunehmenden Vernetzung, wobei frei verfügbare IP-Adressen immer mehr zur Mangelware wurden. Sind mehr Rechner miteinander verbunden, als es IP-Adressen im lokalen Netzwerk gibt, schließt die statische Zuordnung einige Rechner zwangsläufig für immer von der Kommunikation aus. Nun ist es in der Praxis selten der Fall, dass alle Rechner eines Netzwerks gleichzeitig laufen, sodass»meist«genügend Adressen für die aktiven Clients vorhanden sind. Mit der dynamischen Adressverteilung kann somit i.d.r. jeder Rechner mit einer Adresse versehen werden. Drei Arten der Adresszuteilung Maximale Flexibilität erlangt DHCP durch drei verschiedene Verfahrensweisen bei der Zuteilung von IP-Adressen an einen Client: Statische Zuordnung Die auch als»manuelle Zuweisung«bezeichnete Methode erlaubt die feste Vergabe konkreter IP-Adressen an konkrete Clients. So sollte bspw. ein Server immer unter ein und derselben Adresse zu erreichen sein. Das Prinzip ähnelt dem Verfahren des BOOTP. Automatische Zuordnung Der Server hält einen Pool von IP-Adressen, aus der er einem Client eine freie Adresse zuweist. Der Client erhält die Adresse für unbegrenzte Zeit. Dynamische Zuordnung Wie»Automatische Zuordnung«, wobei der Client die Adresse nur für einen bestimmten Zeitraum verwenden darf. Nach Ablauf der»lease- Zeit«wird dem Client die Adresse entzogen. Ein Clientrechner kann in einem solchen Fall versuchen, sein Abonnement zu verlängern, wobei weder die Verlängerung noch die erneute Zuordnung derselben IP- Adresse gesichert ist (ein anderer Client hat sich ggf.»vorgedrängelt«). DHCP-Optimierung Um zu verhindern, dass bei einem Netzwerkstart ein Server mit Anfragen von Clients überschwemmt wird, benutzt DHCP die gleiche Technik wie BOOTP. Jeder Rechner wartet eine zufallsgesteuerte Zeit, bis er die Anfrage sendet, bzw. wiederholt. Bei DHCP läuft das in drei Schritten ab. Zuerst sendet der Client ein DHCP-Discover, sobald er eine Antwort von einem Server erhalten hat, stellt er an diesen seine Anfrage. Um zu verhindern, dass der Rechner bei jedem Neustert, oder bei Bedarf beide Schritte ausführen muss, wendet DHCP das Caching an. Hat der Computer eine Antwort von einem Server erhalten, speichert er dessen Adresse permanent. Der gesteigerte Variation der Kommunikation spiegelt sich ebenso in der Anzahl der Anfragen und Antworten wider, die Client und Server austauschen (können):

3 DHCPDISCOVER Broadcast-Anfrage eines Clients zur Lokalisierung eines DHCP-Servers DHCPOFFER Serverantwort nach einem DHCPDISCOVER mit dem Angebot an Parametern DHCPREQUEST Anfrage eines Clients an einen konkreten Server. Hierunter fallen sowohl die Anfrage nach der Erstaustattung mit IP-Adresse und den weiteren Parametern als auch die Bitte um Verlängerung der Lease-Zeit als auch die Anforderung nach Bestätigung der bisherigen Parameter (u.a. nach einem Reboot des Clients). DHCPACK Serverantwort mit IP-Adresse und den geforderten Parametern DHCPNACK Ablehnung eines DHCPREQUEST durch den Server DHCPDECLINE Ablehnung des Clients, da die IP-Adresse schon verwendet wird DHCPRELEASE Ein Client gibt seine Konfiguration frei (Client an Server, Adresse ist schon benutzt. damit steht die IP zur erneuten Vergabe zur Verfügung) DHCPINFORM Clientanfrage nach Parametern ohne IP-Adresse Das DHCP-Nachrichtenformat OP HTYPE HLEN HOPS SECONDS ELAPSED TRANSACTION IDENTIFIER CLIENT IP ADDRESS YOUR IP ADDRESS SERVER IP ADDRESS FLAGS ROUTER IP ADDRESS CLIENT HARDWARE ADDRESS (16 BYTE) SERVER HOST NAME (24 BYTE) BOOT FILE NAME (128 BYTE) OPTIONS (variabel)

4 Da DHCP als eine Erweiterung von BOOTP ausgelegt wurde, haben die meisten Felder einer Nachricht die gleiche Bedeutung wie in BOOTP. Jedes Feld hat eine feste Größe. Die ersten sieben Felder enthalten Informationen im Bezug auf die Verarbeitung der Nachricht. OP definiert Art der Nachricht: Anfrage(Request), oder Antwort(Reply); HTYPE, HLEN definieren den Netz-Hardware-Typ und die dort gültige Länge der Hardware-Adressen; HOPS sagt aus von wie vielen Servern die Nachricht bereits weitergereicht wurde; TRANSACTION IDENTIFIER enthält einen Wert den der Client benutzt um zu ermitteln, ob sich die ankommende Antwort mit seiner Anfrage deckt; SECOND ELAPSED definiert wie viele Sekunden seit dem Start des Computers vergangen sind. Kennt der Computer bereits seine IP-Adresse, trägt er den entsprechenden Wert in das Feld CLIENT IP ADDRESS einer Anfrage ein. Die Weiteren Felder werden in Antworten benutzt um Infos an einen startenden Computer zurückzugeben. Kennt der Computer seine Adresse nicht, benutzt der Server das Feld YOUR IP ADDRESS, um diesen Wert zu liefern. Des weiteren werden die Felder SERVER IP ADDRESS und SERVER HOST NAME benutzt, um Informationen über den Standort von Computern bereitzustellen, auf denen Server laufen. ROUTER IP ADDRESS enthält die IP-Adresse eines Vorgaberouters. Das Feld OPTIONS wird für zusätzliche Informationen verwendet. Hochverfügbarkeit DHCP ist ein kritischer Dienst. Daher bietet der DHCP-Server auch die Möglichkeit der Hochverfügbarkeit: Ein weiterer Server kann aufgestellt werden, der die gleiche Range betreut wie der erste. Dieser ist als Secondary-DHCP (nicht zu verwechseln mit Secondaries bei DNS) definiert. Wenn er startet, holt er sich über ein eigenes Protokoll die Datei»dhcp.leases«des Primaries. Schickt nun ein DHCP-Client eine Anfrage durchs Netz, bilden beide DHCP-Server darüber einen Hash. Je nachdem, ob dieser Hash gerade oder ungerade ist (man kann das sogar noch feiner definieren), antwortet der erste oder der zweite Server, so dass auch noch ein Loadbalancing beider stattfindet. Wenn einer der beiden DHCP-Server ausfällt (Ausfall ist dadurch definiert, dass keine TCP-Verbindung mehr zwischen beiden existiert), beantwortet der verbliebene alle Anfragen. Meldet sich der verschollene Bruder wieder im Netz, gleichen beide ihre»dhcp.leases«ab. Die Konfiguration zweier Partner bezieht sich immer auf einen Pool-Eintrag. Das macht es sogar möglich, mehr als zwei Server im Spiel zu halten. Eine»split«-Anweisung auf dem Primary-Server definiert, wo die Grenze für das Loadbalancing gezogen wird.»128«bedeutet eine Halbierung. Der letzte Parameter macht den Timeout bekannt, also den Zeitpunkt des Abschaltens vom Loadbalancing. Wenn ein Client im Loadbalancing-Modus eine Anfrage stellt und nach diesem Timeout von der Gegenseite keine Antwort erhält, stellt der andere Server die Hinfälligkeit des Loadbalancing fest und gibt dem Client selbst eine Antwort. Innerhalb des Subnetzes muss nun ein Pool angelegt werden, dem mit einer»failover peer "Name"«-Anweisung die Definition des Partners zugewiesen wird. Damit ist der Dienst DHCP ausfallsicher konfiguriert und die beiden Server»dhcp«und»reserve«teilen sich die Arbeit. Im realen Betrieb ist es der Beachtung wert, dass die Subnetz-Parameter und die globalen Parameter beider Server möglichst ähnlich gehalten werden.

5 DCHP-Server hält den DNS auf dem Stand der Dinge Rechner mit festen IP-Adressen sind der Standardfall für DNS, die Zuordnung von Name und IP-Adresse ist hier leicht. Beim Einsatz von DHCP würde der ständige Wandel den Administrator viel Schweiß kosten, wollte er die DNS-Veränderungen manuell einpflegen. Um dynamisch vergebene Adressen inklusive der Hostnamen durch den für die Domäne zuständigen Nameserver auflösen zu lassen, kann ein DHCP- Server seinem BIND-Kollegen Updates schicken. Damit dies einigermaßen abgesichert passiert, sollte es mit Hilfe eines DNS-Schlüssels geschehen, der in der Datei»named.conf«für eine ACL (Access Control List) benutzt wird. Active Directory von Windows 2000 erzwingt sogar, diese Updates der DNS-Zonen einzusetzen. Für die zu aktualisierenden Forward- und Reverse-Zonen müssen Einträge definieren, wer der Nameserver ist, der die Updates empfangen soll, und welcher Schlüssel zu verwenden ist. Damit werden Updates laufend wirksam, also neue Einträge hinzugefügt und abgelaufene Leases aus der Zone gelöscht. Die Updates erfolgen, nachdem eine Adresse zugewiesen wurde. Sicherheitsbedenken gegen DHCP DHCP basiert auf UDP, was es einfach macht, Pakete dazwischenzumogeln. Zudem ist es vergleichsweise simpel, falsche DHCP-Server und gefälschte Clients in ein Netz einzuschleusen. Ein Absichern durch Schlüssel oder Eintragen von MAC- Adressen würde dem Sinn von DHCP, Systeme einfach zu konfigurieren, widersprechen. Mögliche Denial-of-Service-Angriffe könnten darin bestehen, sich alle Adressen eines Ranges zuweisen zu lassen oder auf alle Anfragen mit der gleichen IP-Adresse zu antworten, so dass es lauter doppelte IP-Adressen gibt und damit das Netzwerk aufhört zu funktionieren. Der Einsatz von DHCP weicht unter Umständen auch auf andere Weise die Sicherheit in einem Netz auf. Wenn Zugriffsregeln auf Systeme (etwa in einer Firewall oder auch nur für einzelne Dienste) aufgrund von IP-Adressen gesetzt werden, muss immer gleich der gesamte DHCP-Bereich freigegeben werden. Ohne eine Reservierung wäre nicht sichergestellt, dass ein Rechner zweimal die gleiche Adresse zugewiesen bekommt. Bei Login-Freischaltung per».rhosts«kann dies ein offeneres Netz ergeben als beabsichtigt. Ein weiterer unerwünschter Effekt tritt bei SSH auf: Der SSH-Client merkt sich für jeden Rechner, auf dem er sich einloggt, den Hostkey mit Hostnamen und Adresse. Wenn diese beim nächsten Versuch nicht mehr mit der gespeicherten Version übereinstimmen, wird eine deutliche Warnung ausgegeben und bestimmte Funktionalitäten wie Port-Forwarding werden abgeschaltet. Für SSH sieht diese Konfigurationsänderung wie ein Angriff aus, bei dem sich ein Host als ein anderer ausgibt.