پيکربندی DHCP با رعايت مسائل ايمنی

در اين مقاله قصد داريم به بررسی نحوه پيکربندی سرويس دهنده و سرويس گيرندگانDynamic Host Configuration Protocol ) DHCP ) ، با رعايت مسائل امنيتی پرداخته و با نحوه تنظيم پارامترهای ذيربط ، آشنا شويم . در ابتدا لازم است با جايگاه سرويس دهنده DHCP در يک شبکه بيشتر آشنا شويم .
مقدمه
تمامی پروتکل های شبکه به هر يک از کامپيوترهای موجود در شبکه، يک مشخصه (آدرس ) منحصر بفرد را نسبت می دهند پروتکل IPX ، آدرس فوق را بصورت اتوماتيک و توسط ايستگاه کاری نسبت و منحصر بفرد بودن آن تضمين خواهد شد. پروتکل NetBEUI از يک نام NetBIOS شانزده بيتی استفاده می نمايد . پروتکل TCP/IP از يک آدرس IP ، استفاده می نمايد. در نسخه های اوليه پياده سازی شده TCP/IP ، از پروتکل فوق بمنظور اتصال تعداد اندکی از کامپيوترها استفاده می گرديد و ضرورتی به وجود يک مرکز متمرکز بمنظور اختصاص اطلاعات آدرس دهی IP ، احساس نمی گرديد. بمنظور حل مشکل مديريت صدها و يا هزاران آدرس IP در يک سازمان ، DHCP پياده سازی گرديد. هدف سرويس فوق ، اختصاص آدرس های IP بصورت پويا و در زمان اتصال يک کامپيوتربه شبکه است .
با وجود يک سرويس دهنده DHCP در شبکه ، کاربران شبکه قادر به اخذ اطلاعات مربوط به آدرس دهی IP می باشند . وضعيت فوق ، برای کاربرانی که دارای يک Laptop بوده و تمايل به اتصال به شبکه های متعدد را داشته باشند ، ملموس تر خواهد بود چراکه با برای ورود به هر يک از شبکه ها و استفاده از منابع موجود ، ضرورتی به انجام تنظيماتی خاص در رابطه با آدرس دهی IP وجود نخواهد داشت . سرويس دهنده DHCP ، علاوه براختصاص اطلاعات پايه IP نظير : يک آدرس IP و Subnet mask ، قادر به ارائه ساير اطلاعات مربوط به پيکربندی پروتکل TCP/IP برای سرويس گيرندگان نيز می باشد . آدرس Gateway پيش فرض ، سرويس دهنده DNS ، نمونه هائی در اين زمينه می باشند.
DHCP ويندوز 2000 ( نسخه های سرويس دهنده ) با سرويس دهنده DNS)Domain Name System) ، در ارتباط خواهد بود. ويژگی فوق ، به يک سرويس دهنده DHCP اجازه می دهد که با يک سرويس دهنده پويای DNS ويندوز 2000 ( DDNS ) ، مرتبط و اطلاعات ضروری را با وی مبادله نمايد . سرويس دهنده DHCP ويندوز 2000 ، قادر به ارائه پويای آدرس IP و Host name بصورت مستقيم برای يک سرويس دهنده DDNS است .
DHCP ، مسئوليت ارائه اطلاعات آدرس های IP سرويس گيرندگان را برعهده دارد . بمنظور اخذ اطلاعات آدرس دهی IP ، سرويس گيرنده می بايست يک lease را از سرويس دهنده DHCP دريافت نمايد.زمانيکه سرويس دهنده DHCP ، اطلاعات آدرسی دهی IP را به يک سرويس گيرنده DHCP نسبت ( اختصاص) می دهد ، سرويس گيرنده DHCP مالکيت آدرس IP را نخواهد داشت .در چنين حالتی ، سرويس دهنده DHCP همچنان مالکيت آدرس IP را بر عهده داشته و سرويس گيرنده اطلاعات فوق را اجاره و بصورت موقت و بر اساس يک بازه زمانی در اختيار خواهد داشت . می توان يک آدرس IP را بمنزله يک قطعه زمين در نظر گرفت که بصورت اجاره ای در اختيار سرويس گيرنده قرار گرفته و لازم است قبل از سررسيد مدت قرارداد! نسبت به تمديد آن اقدام گردد.در صورت عدم تمديد ، سرويس گيرنده قادر به حضور درشبکه نخواهد بود. دراين مقاله قصد نداريم به بررسی فرآيند اختصاص IP توسط سرويس دهنده به سرويس گيرنده پرداخته و مراحل چهارگانه ( Discover, Offer, Request, Acknowledgement ) را تشريح نمائيم !
DHCP ، يکی از استانداردهای پروتکل TCP/IP بوده که باعث کاهش پيچيدگی و عمليات مديريتی در ارتباط با آدرس های IP سرويس گيرندگان در شبکه می گردد . در اين راستا سرويس دهنده DHCP ، بصورت اتوماتيک عمليات اختصاص آدرس های IP و ساير اطلاعات مرتبط با TCP/IP را در اختيار کاربرانی قرار می دهد که امکان DHCP-client آنان فعال شده باشد . بصورت پيش فرض ، کامپيوترهائی که بر روی آنان ويندوز 2000 اجراء می گردد ، سرويس گيرندگان DHCP-Enabled خواهند بود.
جايگاه سرويس دهنده DHCP در يک شبکه مبتنی بر ويندوز 2000
بمنظور بکارگيری DHCP در يک محيط ويندوز 2000 از رويکردهای متفاوتی استفاده می گردد. با توجه به اينکه DHCP پروتکلی است که دارای محدوديت های امنيتی خاص خود است ، سرويس DHCP نبايد به خارج ارائه گردد . به Domain server های حياتی و ماشين های سرويس گيرنده مهم ، می بايست آدرس های IP تابتی نسبت داده شود که ارتباطی با DHCP نخواهد داشت .
پيشنهادات عمومی پيکربندی
بمنظور پيشگيری و افزايش امنيت ، موارد زير پيشنهاد گردد :
• پورت های DHCP ( شماره 67 و 68 ) در سطح فايروالی که اينترانت را به اينترنت متصل می نمايد ، بلاک گردد .
• DHCP/BOOTP relay agent را بر روی فايروال ، غير فعال نمائيد ( در صورت نصب ، uninstall گردد ) .
• سرويس دهنده DHCP را بر روی يک Member Server که يک Domain Controller نمی باشد ، نصب گردد .
• به تمامی سرويس دهندگان داخلی مهم ( شامل سرويس دهندگان DHCP ) ، آدرس های IP ثابتی نسبت داده شود و سرويس DHCP Client بر روی آنان ، متوقف گردد .
• به تمامی سرويس گيرندگان داخلی مهم ، آدرس های IP ثابتی نسبت داده شود و سرويس DHCP Client بر روی آنان ، متوقف گردد.
• سرويس دهنده DHCP بر اساس روشی که ارائه خواهد گرديد ، ايمن گردد.
• سرويس گيرندگان DHCP بر اساس روشی که ارائه خواهد گرديد ، ايمن گردند.
آدرس های IP ثابت در مقابل آدرس های IP رزو شده
واژه آدرس IP ثابت ، به پيکربندی دستی آدرس های IP اطلاق می گردد( hardcoded ). فرآيند فوق، نقظه مقابل يک آدرس IP است رزو شده در DHCP است که بصورت دائم به يک ماشين خاص ، نسبت داده می شود. استفاده از امکان DHCP Reservations ، برای ماشين های حساس توصيه نمی گردد.
سرويس DHCP Client بر روی ماشين های حساس ، غيرفعال گردد
در زمان نصب ويندوز 2000 ( هم سرويس دهنده و هم سرويس گيرنده ) ، سرويس DHCP client فعاليت خود را آغاز و بعنوان يک سيستم محلی اجراء خواهد شد. سرويس دهندگان DHCP و ساير ماشين های حساس ديگر که از آدرس های IP ثابتی استفاده می نمايند به اين سرويس نياز نداشته و لازم است که سرويس فوق، متوقف و وضعيت فعاليت آن در زمان راه اندازی یيستم به حالت دستی ( Manually ) تغيير يابد .
DHCP و DNS
ويندوز 2000 با سيستم DNS)Domain Naming Service) در ارتباط خواهد بود. زمانيکه آدرس IP سرويس گيرنده بصورت پويا و توسط يک سرويس دهنده DHCP نسبت داده شد ، جداول DNS ، می بايست بهنگام گردند. پيشنهاد می گردد که خصلت : " Allow Dynamic Update" در سرويس دهنده DNS به مقدار "Only Secure Updates" ، تغيير يابد.
بصورت پيش فرض ، سرويس گيرندگان DHCP ، پس از نسبت دهی يک آدرس پويا توسط سرويس دهنده DHCP ، پيامی را برای سرويس دهنده DNS بمنظور بهنگام سازی ارسال می نمايند. برای سرويس گيرندگانی که امکانات حمايتی لازم در خصوص عمليات بهنگام سازی را ندارند ( نظير ويندوز 95 ) ، سرويس دهنده DHCP ، می بايست مسئوليت فوق را پذيرفته و به نمايندگی از سرويس گيرنده ، جداول سرويس دهنده DNS را بهنگام نمايد. سرويس دهنده DHCP ، بصورت پيش فرض بگونه ای پيکربندی شده است که جداول DNS را در زمان درخواست سرويس گيرندگان ، بهنگام می نمايد .پيشنهاد می گردد که ويژگی فوق ، غير فعال گردد.

پيکربندی سرويس دهنده DHCP
سرويس دهنده DHCP بصورت اتوماتيک آدرس های IP و ساير اطلاعات مرتبط با پيکربندی TCP/IP را در اختيار سرويس گيرندگان DHCP-enabled ، قرار می دهد . سرويس، سرويس دهنده DHCP بعنوان يک سيستم محلی اجراء می گردد . بمنظور کاهش احتمال بروز خرابی و اشکالات حاصل از عوامل جانبی ، پيشنهاد می گردد که سرويس دهنده DHCP بر روی يک Domain Server که يک Domain Controller نمی باشد ، نصب گردد . جايگاه سرويس دهندگان DHCP ، بسيار حساس و مهم بوده و می بايست تمامی آنان دارای آدرس های IP ثابت باشند. سرويس DHCP Client می بايست برروی اين نوع از سيستم ها متوقف و وضعيت اجراء آن در زمان راه اندازی سيستم ، بصورت دستی در نظر گرفته شود.
DHCP Administrators و Users Group
زمانيکه سرويس DHCP بر روی يک ماشين سرويس دهنده ويندوز 2000 نصب می گردد ، دو گروه محلی جديد ايجاد می گردد : DHCP Administrator و DHCP Users . از گروههای فوق ، می توان در صورت نياز و با توجه به سياست های موجود استفاده بعمل آورد.
مجوزهای فايل و ريجستری DHCP
بانک اطلاعاتی DHCP ، فايل های Recovery و Audit در فولدر SystemRoot%\System32\DHCP % ذخيره می گردند. تنظيمات زير در اين رابطه پيشنهاد می گردد.
تنظيمات سرويس دهنده DHCP ( مربوط به File security )
مجوزهای پيشنهادی User /Groups فايل / فولدر
Full Control
Full Control
Read System
DHCP Administrators
DHCP Users %SystemRoot%\System32\DHCP
folder, subfolders, and files
تنظيمات زير در ارتباط با اطلاعات ثبت شده در ريجستری ويندوز و مرتبط با سرويس دهنده DHCP ، پيشنهاد می گردد:
تنظيمات سرويس دهنده DHCP ( مربوط به ريجستری ويندوز )
مجوزهای پيشنهادی User /Groups کليد ريجستری
Full Control
Full Control DHCP Administrator
System HKEY_LOCAL_MACHINE
\SOFTWARE\Microsoft\DhcpServer
Full Control
Full Control DHCP Administrator
System HKEY_LOCAL_MACHINE\SYSTEM
\CurrentControlSet\Services\DhcpServer
Full Control System HKEY_LOCAL_MACHINE\SYSTEM
\CurrentControlSet\Services\Dhcp
ابزارهای دستيابی سرويس دهنده DHCP
دو برنامه کاربردی در ارتباط با DHCP در فولدر SystemRoot%\System32 % وجود دارد : IPconfig و netsh.exe ، در اين رابطه تنظيمات زير پيشنهاد می گردد:
تنظيمات سرويس دهنده DHCP ( مربوط به ابزارهای کاربردی )
مجوزهای پيشنهادی User /Groups فايل / فولدر
Full Control
Full Control System
DHCP Administrators %SystemRoot%\System32\ipconfig.exe
Full Control
Full Control System
DHCP Administrators %SystemRoot%\System32\netsh.exe
DHCP Scope و گزينه های سرويس دهنده
در رابطه با DHCP گزينه های اندکی در دسترس می باشد . پيشنهاد می گردد که ميزان استفاده از گزينه ها به حداقل مقدار خود برسد . بمنظور کاهش ريسک ماشين های سرويس گيرنده ، گزينه DNS Server نمی بايست انتخاب و به ماشين های سرويس گيرنده می بايست يک آدرس ثابت DNS نسبت داده می شود . C
ارتباط بين سرويس دهنده DHCP و DNS
پيکربندی پيش فرض DNS مربوط به سرويس دهنده DHCP در شکل زير نشان داده شده است . بر اساس پيکربندی فوق ، در زمان درخواست سرويس گيرنده عمليات بهنگام سازی جداول (Entries) انجام خواهد شد.پيشنهاد می گردد که ويژگی فوق ، غير فعال گردد ( فعال کردن سرويس دهنده DHCP ، انتخاب سرويس دهنده ، انتخاب گزينه Properties ، انتخاب DNS Tab و غير فعال نمودن :
Automically Update DHCP Client information in DNS ) .
پيکربندی سرويس گيرندگان DHCP
سرويس DHCP Client ، بصورت اتوماتيک درخواست هائی را برای سرويس دهنده DHCP بمنظوردريافت يک آدرس IP و نسبت دهی آن به ماشين سرويس گيرنده ، انجام می دهد . درخواست فوق ، در زمان راه اندازی سيستم ( Booting ) انجام و در صورت ضرورت و قبل از اتمام تاريخ اعتبار آن ، تکرار خواهد شد. سرويس DHCP Client بعنوان يک سيستم محلی بر روی ماشين سرويس گيرنده اجراء خواهد شد. پيشنهاد می گردد که از خدمات DHCP بر روی ماشين های سرويس گيرنده حساس و مهم استفاده نگردد . اين نوع از ماشين های سرويس گيرنده ، می بايست از آدرس های IP ثابتی استفاده و بر روی آنان سرويس DHCP client متوقف و نحوه راه اندازی آنان در زمان راه اندازی ، بصورت "دستی " تعيين گردد .
مجوزهای ريجستری DHCP Client
تنظيمات زير در ارتباط با ريجستری DHCP client ، پيشنهاد می گردد .
تنظيمات DHCP Client ( مربوط به ريجستری ويندوز )
مجوزهای پيشنهادی User /Groups کليد ريجستری
Full Control
System
HKEY_LOCAL_MACHINE\SYSTEM
\CurrentControlSet\Services\Dhcp
تنظيمات TCP/IP مربوط به سرويس گيرندگان
پيشنهاد می گردد که سرويس گيرندگان صرفا" آدرس IP ، آدرس Gateway و Subnet mask را از سرويس دهنده DHCP دريافت نمايند. آدرس سرويس دهنده DNS ، می بايست بصورت ثابت در نظر گرفته شود.( تنظيمات پروتکل TCP/IP )
DHCP Client و DNS
با انتخاب گزينه Advanced TCP/IP Setting ، مشاهد خواهد شد که " Register this connection's address in DNS" ، بصورت پيش فرض فعال است .( تنظيمات پروتکل TCP/IP )
امکان فوق ، به سرويس گيرنده DHCP امکان بهنگام سازی را پس از دريافت يک آدرس IP توسط سرويس دهنده DHCP ، خواهد داد. با توجه به اينکه سرويس دهنده DNS بگونه ای پيکربندی شده است که صرفا" بهنگام سازی ايمن را قبول نمايد ، صرفا" سرويس گيرندگان تائيد شده قادر به تغيير اطلاعات مربوطه خود در DNS خواهند بود( DNS Entries ) .
آدرس دهی اتوماتيک آدرس های خصوصی IP
ويندوز 2000 ، از آدرس دهی اتوماتيک IP خصوصی ( APIPA ) ، بمنظور نستب دهی يک آدرس IP به يک ماشين سرويس گيرنده و درموارديکه سرويس دهنده DHCP در دسترس نبوده و يا درخواست ماشين سرويس گيرنده توام با موفقيت نگردد ، استفاده می نمايد.. بر اساس مستندات مايکروسافت آدرس های نسبت داده شده در محدوده IP:169.254.0.1 تا IP:169.254.255.254 می باشند. اين محدوده از آدرس های IP توسط IANA رزو و در اينترنت استفاده نمی گردد. پيشنهاد می گردد اين ويژگی غيرفعال گردد . بمنظور نيل به خواسته فوق ، عمليات زير را دنبال می نمائيم :
• از طريق Start|Run برنامه Regedt32 را فعال نمائيد ( در رابطه با استفاده از برنامه فوق ، دقت گردد) .
• در ريجستری ويندوز ، کليد زير را پيدا نمائيد :
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
• Entry زير را ايجاد و مقدار آن صفر در نظر گرفته شود.(غير فعال نمودن آدرس دهی اتوماتيک آدرس های IP خصوصی ).
IPAutoconfigurationEnabled: REG_DWORD
fبرنامه های کاربردی DHCP Client
در اين راستا صرفا" يک برنامه وجود داشته و در فولدر %SystemRoot%\System32 قرار دارد: ipconfig.exe . تنظيمات زير در اين رابطه ، پيشنهاد می گردد:
تنظيمات DHCP Client ( مربوط به برنامه های کاربردی )
مجوزهای پيشنهادی User /Groups فايل / فولدر
Full Control
Full Control System

Administrators %SystemRoot%\System32\ipconfig.exe