DHCP 服務器防偽指南：從臨時繞過到域級強制綁定的纵深防禦

威脅模型：流氓 DHCP 如何癱瘓網絡

客戶端廣播 DHCP Discover，合法與流氓服務器競爭響應。先到者勝出，導致客戶端獲錯誤網關/DNS，業務中斷。常見來源：私接路由器、虛擬機橋接模式、測試設備誤配置。

兩級防禦體系

⚡ 戰術級：客戶端臨時自救（治標）

ipconfig /release   # 釋放錯誤租約
ipconfig /renew     # 重新廣播請求
# 重複執行直至獲取合法租約（通常 3-10 次）

局限：租約到期後復發，無法根治，僅適用應急排查窗口。

🏰 戰略級：AD 域強制綁定（治本）

前提： 環境為 Active Directory 域模式（工作組環境無效）。

1. 域控制器 → 「管理工具」 → 「DHCP」主控台。
2. 右鍵根節點 → 「添加服務器」 → 瀏覽/輸入合法 DHCP 服務器主機名或 IP。
3. 合法服務器在域中自動獲得授權標識，未授權服務器將被客戶端忽略（客戶端查詢 AD 授權列表）。
4. 驗證：客戶端抓包確認僅收到授權服務器的 Offer。

進階加固：交換機層 DHCP Snooping

運維檢查清單

• ✅ 季度掃描全網非授權 DHCP（Nmap --script broadcast-dhcp-discover）。
• ✅ 新設備入網流程強制登記 MAC、指定 VLAN、交換機端口綁定。
• ✅ DHCP 租約期建議 8-24h，平衡流量與變更靈活性。
• ✅ 關鍵服務器/打印機/核心網絡設備靜態保留 IP，排除衝突域。