2.2.8. Отклонение обновления и негативное подтверждение

Допустим, что в течение времени, пока клиент был отключен от сети, срок аренды его IP-адреса истек и используемый им ранее IP-адрес был выделен другому клиенту. В ответ на запрос клиента об обновлении адреса сервер отвечает ему сообщением DHCPNACK. Данное сообщение передается клиенту также в случае, если область, в которой клиент получил IP-адрес, была деактивирована. Если в ответ на запрос об обновлении IP-адреса клиент получает сообщение DHCPNACK, он прекращает использование своего IP-адреса и начинает рассылать широковещательные рассылки DHCPDISCOVER для того, чтобы получить новый IP-адрес.

2.2.9. Установка и настройка dhcp-сервера

При администрировании службы DHCP прежде всего следует решить, сколько серверов должно быть установлено и в каком месте сети они должны быть расположены. Один DHCP-сервер может обслуживать огромное количество клиентов, поэтому определяющим количество серверов параметром является желаемый уровень надежности всей системы в целом. В немаршрутизируемой локальной сети достаточно установить один сервер. Если в сети устанавливается два сервера, то для повышения степени их надежности серверы следует располагать в разных наиболее удаленных сетевых сегментах.

Р ассмотрим процедуру обслуживания DHCP-сервером, расположенным в одной из подсетей, клиентов из разных подсетей. Чтобы сделать это возможным, маршрутизаторы, соединяющие сети, должны пропускать специфические (безадресные) пакеты из одной подсети в другую. При этом принято говорить, что маршрутизаторы работают в режиме релейного агента (Relay agent). Они распознают широковещательные пакеты и ретранслируют их в другую подсеть. Пример ретрансляции пакета показан на рис. 4.

Рис. 4

Клиент DHCP, принадлежащий подсети 192.168.2.0, отправляет широковещательный запрос DHCPDISCOVER серверу, расположенному в подсети 192.168.1.0. Так как пакет, отсылаемый клиентом, представляет собой широковещательное сообщение, он обрабатывается всеми хостами подсети, в том числе и одним из интерфейсов маршрутизатора (192.168.2.1). Ретранслятор принимает решение о передаче пакета в подсеть 192.168.1.0. При этом по умолчанию он заменяет адрес клиента, указанный в заголовке пакета, на свой собственный адрес 192.168.2.1 и передает пакет в другую подсеть, адресуя его серверу. Получив пакет DHCPDISCOVER, сервер анализирует IP-адрес шлюза, указанный в пакете. Основываясь на этой информации, сервер определяет, может ли он обслужить запрос клиента (является ли он владельцем области для соответствующей подсети). Если данная область на сервере имеется, он генерирует ответный пакет DHCPOFFER, который отправляется по адресу, указанному в пакете (по адресу шлюза 192.168.2.1). Маршрутизатор получает пакет и отправляет его клиенту, сформировавшему запрос на получение IP-адреса. Аналогично транслируются пакеты DHCPREQUEST и DHCPACK.

2.2.10. Авторизация серверов dhcp

В крупной корпоративной сети в целях обеспечения отказоустойчивости может быть установлено несколько серверов DHCP. При этом достаточно часто администратор не имеет возможности проследить за тем, как обрабатываемые клиенты получают свои адреса. Возможна ситуация, когда при существовании в сети нескольких серверов DHCP осуществляется распределение одинаковых IP-адресов, что в итоге приводит к неправильной конфигурации клиентов. В большинстве случаев это возникает при неправильном планировании сети. Однако нельзя исключить тот вариант, когда второй сервер DHCP установлен лицом, не имеющим на это права. При этом несанкционированная установка сервера может мотивироваться двумя основными причинами: саботажем работы ИС или необоснованным желанием повысить эффективность работы сети (в большинстве случаев такая инициатива приводит к полному сбою в работе сети).

Теоретически злоумышленник может установить в сети ряд других служб, но ни одна из них не может принести столько вреда, сколько установка лишнего сервера DHCP. Для того чтобы разрешить эту проблему, сервер DHCP должен быть авторизирован. Контроль над авторизацией серверов осуществляется следующим образом. Служба DHCP при запуске обращается к списку IP-адресов авторизированных серверов DHCP. Этот список создается администратором для Windows 2000/2003 с помощью службы каталога Active Directory (глобального каталога, хранящего всю информации о сети). При запуске службы сервер обращается к базе данных глобального каталога. Если он находит в ней свой IP-адрес, то работа службы поддерживается. В противном случае инсталлированная на компьютере служба DHCP запущена быть не может. Однако механизм авторизации поддерживается только в сетях под управлением Windows 2000/2003. В операционной системе Windows NT 4.0 такая функция отсутствует.

В ОС Windows 2000/2003 реализована новая концепция управления, позволяющая администратору сети делегировать некоторым пользователям определенную часть своих полномочий, касающихся обслуживания сервера DHCP:

1. группе администраторов (DHCP Administrators). Члены этой группы имеют полный доступ к настройкам сервера DHCP. В корпоративной сети, насчитывающей десятки тысяч пользователей, это позволяет снизить нагрузку на администратора, передав право управления серверами DHCP отдельной группе;

2. группе пользователей (DHCP Users). Члены этой группы имеют право только на чтение информации, содержащейся в базе данных серверов DHCP. При этом они не имеют никакой возможности изменить конфигурацию сервера или добавить в сеть дополнительный сервер DHCP.