DHCP : Unbekannten Clients nicht antworten

[Gast flotricon]

Hallo Zusammen,

 

habe auf die Schnelle keine Einstellung gefunden.

 

Frage : Ist es möglich, den microsoft DHCP Server so zu definieren, dass dieser auf unbekannte Clients nicht antwortet und keine Adressen vergibt ? Es sollen nur Adress-Informationen an die über die MAC Adresse definierten Geräte verteilt werden.

 

mfg

[IThome 10]

Wenn es ausschliesslich Reservierungen gibt und die Anzahl der zu vergebenden Adressen genauso gross ist, wie die Anzahl der Reservierungen , dann sollte ein unbekannter Client keine Adresse bekommen (vorausgesetzt er fälscht nicht die MAC-Adresse) ...

[carlito 10]

  flotricon schrieb:

Frage : Ist es möglich, den microsoft DHCP Server so zu definieren, dass dieser auf unbekannte Clients nicht antwortet und keine Adressen vergibt ? Es sollen nur Adress-Informationen an die über die MAC Adresse definierten Geräte verteilt werden.

 

Was soll das bringen? Sicherheit? Was, wenn sich jemand eine statische IP-Adresse vergibt oder seine MAC Adresse ändert? Falls du managable Switches hast beschäftige dich mal mit IEEE 802.1x

[Gast flotricon]

Mhh, ja, so wird das derzeit in einer kleineren Lokation geregelt, aber generell ist das auch nicht so das wahre. Bei Linux gibts diese Möglichkeit ja ... es musste nur wegen RIS auf Microsoft umgestellt werden.

 

Also existiert eine derartige Lösung nicht ?

[Gast flotricon]

  carlito schrieb:

Was soll das bringen? Sicherheit?

 

Ja ;)

 

  carlito schrieb:

Was, wenn sich jemand eine statische IP-Adresse vergibt oder seine MAC Adresse ändert?

 

Offene Fragen wird es immer geben, aber um die leichteste Stufe eine IP im Netz zu erhalten gleich von vornherein zu eleminieren, wäre eine solche Einstellung optimal. Zumal diese in anderen Systemen ja existiert.

 

mfg

[IThome 10]

Ich wüsste jetzt nicht, wie man das konfigurieren könnte. Wie macht Linux das ?

[carlito 10]

  IThome schrieb:

Wenn es ausschliesslich Reservierungen gibt und die Anzahl der zu vergebenden Adressen genauso gross ist, wie die Anzahl der Reservierungen , dann sollte ein unbekannter Client keine Adresse bekommen (vorausgesetzt er fälscht nicht die MAC-Adresse) ...

 

Das halte ich für wenig sinnvoll, weil es erstens dem Konzept von DHCP widerspricht und zweitens für eine Menge Fehlermeldungen im DHCP Server und der Ereignisanzeige sorgen würde.

[IThome 10]

Ich wüsste jetzt nicht, warum das dem Konzept wiederspricht. Warum sollte es Fehlermeldungen geben (eventuell Warnungen, weil der DHCP-Bereich erschöpft ist) und wenn doch, welche ?

[carlito 10]

  IThome schrieb:

Ich wüsste jetzt nicht, warum das dem Konzept wiederspricht.

 

Einen DHCP Server zu "missbrauchen", um eine IMHO mehr als fadenscheinige Sicherheit vor zu gaukeln, halte ich für Unsinn. Das einfache Einstellungen einer statischen IP-Adressen umgeht diesen "Schutz". Wenn schon dann IEEE 802.1x - alles andere ist Bastelei.

 

  Zitat

Warum sollte es Fehlermeldungen geben (eventuell Warnungen, weil der DHCP-Bereich erschöpft ist) und wenn doch, welche ?

 

Okay, Warnungen. Würdest du einen Server auf Dauer so laufen lassen?

[Gast flotricon]

  IThome schrieb:

Ich wüsste jetzt nicht, wie man das konfigurieren könnte. Wie macht Linux das ?

 

In der dhcpd.conf kann man mittels dem Befehl :

 

deny unknown clients;

 

die Vergabe an Rechner die nicht mit der MAC Adresse gepflegt sind unterbinden.

[lefg 276]

Hallo,

 

der TO möchte DHCP zum Erreichen von Sicherheit verwenden.

 

DHCP ist dafür nicht gedacht und nicht geeignet.

 

DHCP dient der Aderssverteilung, der administrativen Vereinfachung und nichts anderen.

 

Gruß

 

Edgar

[IThome 10]

  carlito schrieb:

Einen DHCP Server zu "missbrauchen", um eine IMHO mehr als fadenscheinige Sicherheit vor zu gaukeln, halte ich für Unsinn. Das einfache Einstellungen einer statischen IP-Adressen umgeht diesen "Schutz". Wenn schon dann IEEE 802.1x - alles andere ist Bastelei.

Ein Sicherheitsfeature ist es in der Tat nicht, aber nach wie vor eine zentralisierte , automatische Verteilung von IP-Adressen. Das Feature der Reservierungen kann man ja auch "friedlich" nutzen, zum Beispiel zur automatischen Verteilung von vordefinierten Adressen für Printserver beispielsweise. Ist Sicherheit gefordert, geht wohl nichts an 802.1x vorbei ...

[carlito 10]

  IThome schrieb:

Ein Sicherheitsfeature ist es in der Tat nicht, aber nach wie vor eine zentralisierte , automatische Verteilung von IP-Adressen. Das Feature der Reservierungen kann man ja auch "friedlich" nutzen, zum Beispiel zur automatischen Verteilung von vordefinierten Adressen für Printserver beispielsweise. Ist Sicherheit gefordert, geht wohl nichts an 802.1x vorbei ...

 

Meine Rede... ;)

[IThome 10]

Hab´s ja auch nicht angezweifelt ... :)

[Gast flotricon]

Also Fazit : deny unknown Clients mit Microsoft DHCP nicht möglich :)