DHCP : Unbekannten Clients nicht antworten

Hallo Zusammen,

habe auf die Schnelle keine Einstellung gefunden.

Frage : Ist es möglich, den microsoft DHCP Server so zu definieren, dass dieser auf unbekannte Clients nicht antwortet und keine Adressen vergibt ? Es sollen nur Adress-Informationen an die über die MAC Adresse definierten Geräte verteilt werden.

mfg

Wenn es ausschliesslich Reservierungen gibt und die Anzahl der zu vergebenden Adressen genauso gross ist, wie die Anzahl der Reservierungen , dann sollte ein unbekannter Client keine Adresse bekommen (vorausgesetzt er fälscht nicht die MAC-Adresse) ...

Frage : Ist es möglich, den microsoft DHCP Server so zu definieren, dass dieser auf unbekannte Clients nicht antwortet und keine Adressen vergibt ? Es sollen nur Adress-Informationen an die über die MAC Adresse definierten Geräte verteilt werden.

Was soll das bringen? Sicherheit? Was, wenn sich jemand eine statische IP-Adresse vergibt oder seine MAC Adresse ändert? Falls du managable Switches hast beschäftige dich mal mit IEEE 802.1x

Mhh, ja, so wird das derzeit in einer kleineren Lokation geregelt, aber generell ist das auch nicht so das wahre. Bei Linux gibts diese Möglichkeit ja ... es musste nur wegen RIS auf Microsoft umgestellt werden.

Also existiert eine derartige Lösung nicht ?

Was soll das bringen? Sicherheit?

Ja ;)

Was, wenn sich jemand eine statische IP-Adresse vergibt oder seine MAC Adresse ändert?

Offene Fragen wird es immer geben, aber um die leichteste Stufe eine IP im Netz zu erhalten gleich von vornherein zu eleminieren, wäre eine solche Einstellung optimal. Zumal diese in anderen Systemen ja existiert.

mfg

Ich wüsste jetzt nicht, wie man das konfigurieren könnte. Wie macht Linux das ?

Wenn es ausschliesslich Reservierungen gibt und die Anzahl der zu vergebenden Adressen genauso gross ist, wie die Anzahl der Reservierungen , dann sollte ein unbekannter Client keine Adresse bekommen (vorausgesetzt er fälscht nicht die MAC-Adresse) ...

Das halte ich für wenig sinnvoll, weil es erstens dem Konzept von DHCP widerspricht und zweitens für eine Menge Fehlermeldungen im DHCP Server und der Ereignisanzeige sorgen würde.

Ich wüsste jetzt nicht, warum das dem Konzept wiederspricht. Warum sollte es Fehlermeldungen geben (eventuell Warnungen, weil der DHCP-Bereich erschöpft ist) und wenn doch, welche ?

Ich wüsste jetzt nicht, warum das dem Konzept wiederspricht.

Einen DHCP Server zu "missbrauchen", um eine IMHO mehr als fadenscheinige Sicherheit vor zu gaukeln, halte ich für Unsinn. Das einfache Einstellungen einer statischen IP-Adressen umgeht diesen "Schutz". Wenn schon dann IEEE 802.1x - alles andere ist Bastelei.

Warum sollte es Fehlermeldungen geben (eventuell Warnungen, weil der DHCP-Bereich erschöpft ist) und wenn doch, welche ?

Okay, Warnungen. Würdest du einen Server auf Dauer so laufen lassen?

Ich wüsste jetzt nicht, wie man das konfigurieren könnte. Wie macht Linux das ?

In der dhcpd.conf kann man mittels dem Befehl :

deny unknown clients;

die Vergabe an Rechner die nicht mit der MAC Adresse gepflegt sind unterbinden.

Hallo,

der TO möchte DHCP zum Erreichen von Sicherheit verwenden.

DHCP ist dafür nicht gedacht und nicht geeignet.

DHCP dient der Aderssverteilung, der administrativen Vereinfachung und nichts anderen.

Gruß

Edgar

Einen DHCP Server zu "missbrauchen", um eine IMHO mehr als fadenscheinige Sicherheit vor zu gaukeln, halte ich für Unsinn. Das einfache Einstellungen einer statischen IP-Adressen umgeht diesen "Schutz". Wenn schon dann IEEE 802.1x - alles andere ist Bastelei.

Ein Sicherheitsfeature ist es in der Tat nicht, aber nach wie vor eine zentralisierte , automatische Verteilung von IP-Adressen. Das Feature der Reservierungen kann man ja auch "friedlich" nutzen, zum Beispiel zur automatischen Verteilung von vordefinierten Adressen für Printserver beispielsweise. Ist Sicherheit gefordert, geht wohl nichts an 802.1x vorbei ...

Ein Sicherheitsfeature ist es in der Tat nicht, aber nach wie vor eine zentralisierte , automatische Verteilung von IP-Adressen. Das Feature der Reservierungen kann man ja auch "friedlich" nutzen, zum Beispiel zur automatischen Verteilung von vordefinierten Adressen für Printserver beispielsweise. Ist Sicherheit gefordert, geht wohl nichts an 802.1x vorbei ...

Meine Rede... ;)

Hab´s ja auch nicht angezweifelt ... :)

Also Fazit : deny unknown Clients mit Microsoft DHCP nicht möglich :)