Co to jest DHCP i jak działa

Podłączasz laptopa do Wi-Fi i po sekundzie masz internet. Nie wpisujesz żadnego adresu IP, maski ani serwera DNS — wszystko dzieje się samo. Za tę wygodę odpowiada DHCP. To jeden z tych protokołów, których na co dzień nie widać, a bez którego administracja nawet kilkunastoma urządzeniami zamieniłaby się w koszmar. W tym artykule rozłożymy DHCP na części: jak dokładnie przebiega rozmowa klienta z serwerem, na jakich portach działa, czym jest dzierżawa adresu i co zrobić, gdy nagle dostajesz adres 169.254.x.x zamiast normalnego IP.

Co to jest DHCP i do czego służy

DHCP (Dynamic Host Configuration Protocol) to protokół sieciowy, który automatycznie przydziela urządzeniom konfigurację potrzebną do działania w sieci IP. Opisuje go dokument RFC 2131, a jego korzenie sięgają starszego protokołu BOOTP.

Kiedy nowe urządzenie pojawia się w sieci, serwer DHCP przekazuje mu komplet ustawień, a nie tylko sam adres IP:

• adres IP — np. 192.168.1.42
• maskę podsieci — np. 255.255.255.0 (czyli /24)
• bramę domyślną — adres routera, przez który idzie ruch do internetu
• serwery DNS — np. 1.1.1.1 albo 8.8.8.8
• opcje dodatkowe — czas dzierżawy, serwer NTP, nazwa domeny, adres serwera TFTP (przydatny przy bootowaniu po sieci)

Bez DHCP musiałbyś każdą z tych wartości wpisać ręcznie na każdym urządzeniu. W sieci na 5 sprzętów da się to przeżyć. W firmie na 300 stacji roboczych, drukarek i telefonów VoIP — już nie. DHCP eliminuje też częsty problem ręcznej konfiguracji: konflikt adresów IP, czyli sytuację, w której dwa urządzenia dostają to samo IP i żadne nie działa poprawnie.

Jak działa serwer DHCP — proces DORA krok po kroku

Cała komunikacja klienta z serwerem opiera się na czterech komunikatach. Ich pierwsze litery układają się w łatwy do zapamiętania skrót DORA: Discover, Offer, Request, Acknowledge. Oto co dzieje się w ciągu tych kilkudziesięciu milisekund, gdy podłączasz urządzenie.

1. Discover — klient nie ma jeszcze adresu IP, więc wysyła pakiet DHCPDISCOVER rozgłoszeniowo (broadcast) na adres 255.255.255.255. Sens komunikatu: „jest tu jakiś serwer DHCP? Potrzebuję adresu”.
2. Offer — serwer odpowiada pakietem DHCPOFFER, w którym proponuje konkretny wolny adres z puli wraz z maską, bramą, DNS i czasem dzierżawy.
3. Request — klient wysyła DHCPREQUEST, w którym formalnie prosi o zaoferowany adres. Ten komunikat też idzie broadcastem — dzięki temu inne serwery DHCP w sieci wiedzą, że klient wybrał jedną z ofert i mogą zwolnić swoje propozycje.
4. Acknowledge — serwer potwierdza przydział pakietem DHCPACK. Od tej chwili adres jest oficjalnie wydzierżawiony klientowi i urządzenie może korzystać z sieci.

Jeśli zaoferowany adres okaże się zajęty (klient sprawdza to często mechanizmem ARP), wysyła DHCPDECLINE i cały cykl zaczyna się od nowa. Gdy serwer nie chce lub nie może przydzielić adresu, odpowiada DHCPNAK zamiast ACK.

Pełna lista komunikatów DHCP

DORA to cztery najważniejsze typy, ale protokół definiuje ich więcej. Warto je kojarzyć, bo pojawiają się w przechwyconym ruchu, gdy diagnozujesz sieć Wiresharkiem:

• DHCPDISCOVER i DHCPOFFER — wykrycie serwera i oferta
• DHCPREQUEST i DHCPACK — prośba i potwierdzenie
• DHCPNAK — odmowa serwera (np. klient prosi o adres spoza puli)
• DHCPDECLINE — klient odrzuca adres, bo wykrył konflikt
• DHCPRELEASE — klient dobrowolnie zwalnia adres przed końcem dzierżawy (np. po komendzie ipconfig /release)
• DHCPINFORM — klient ma już adres (skonfigurowany ręcznie), ale prosi serwer tylko o dodatkowe parametry, np. adresy DNS

Na jakich portach działa DHCP

DHCP korzysta z protokołu transportowego UDP (bezpołączeniowego) i dwóch stałych portów:

• port 67 — nasłuchuje na nim serwer
• port 68 — odbiera odpowiedzi klient

Ta wiedza nie jest akademicka. Gdy filtrujesz ruch w Wiresharku, wystarczy wpisać udp.port == 67 || udp.port == 68 albo po prostu bootp, żeby zobaczyć całą wymianę DORA. Jeśli ruch na tych portach jest blokowany przez firewall lub nie dociera do serwera, klient nigdy nie dostanie adresu.

Dzierżawa adresu IP — czym jest lease i jak działa odnawianie

Serwer nie przydziela adresu na zawsze, tylko na określony czas — to dzierżawa (lease). Domyślnie w sieciach domowych to często 24 godziny, w sieciach firmowych bywa krócej (np. 8 godzin) lub dłużej. Po wygaśnięciu adres wraca do puli i może trafić do innego urządzenia.

Klient nie czeka jednak biernie do końca dzierżawy. Mechanizm odnawiania działa w dwóch progach:

• T1 (ok. 50% czasu dzierżawy) — klient próbuje odnowić adres, wysyłając DHCPREQUEST bezpośrednio (unicast) do serwera, który go obsłużył. Najczęściej dostaje DHCPACK i przedłuża dzierżawę bez żadnej widocznej przerwy.
• T2 (ok. 87,5% czasu dzierżawy) — jeśli pierwotny serwer milczy, klient przechodzi w tryb rebinding i rozgłasza prośbę do dowolnego serwera DHCP w sieci.

Jeśli i to się nie uda, po wygaśnięciu dzierżawy klient traci adres i zaczyna proces DORA od nowa. Dzięki temu modelowi adresy nie marnują się na urządzenia, które już dawno zniknęły z sieci.

Dynamiczny adres czy rezerwacja — kiedy co stosować

DHCP nie oznacza, że każde urządzenie dostaje losowe IP. Masz do dyspozycji kilka trybów przydziału:

• przydział dynamiczny — urządzenie dostaje dowolny wolny adres z puli; standard dla laptopów i telefonów
• rezerwacja DHCP (przydział statyczny) — serwer zawsze przypisuje ten sam adres konkretnemu urządzeniu na podstawie jego adresu MAC; idealny dla drukarek, serwerów NAS, kamer IP czy access pointów, które muszą być zawsze pod tym samym adresem
• ręczne IP poza DHCP — adres wpisany na stałe w ustawieniach urządzenia, całkowicie poza zarządzaniem serwera

Rezerwacja to złoty środek: urządzenie zachowuje stały, przewidywalny adres, a Ty nadal zarządzasz wszystkim z jednego miejsca — z serwera DHCP. Czyste ręczne IP zostaw tylko dla samego routera i serwera DHCP, żeby uniknąć sytuacji, w której protokół przydzielający adresy sam ma adres losowy.

DHCP w jednej podsieci a relay — gdy serwer jest gdzie indziej

Komunikat DHCPDISCOVER to broadcast, a broadcasty nie przechodzą przez routery. W małej sieci domowej to żaden problem, bo serwer DHCP siedzi zwykle w routerze, w tej samej podsieci co klienci. W większej sieci firmowej z wieloma VLAN-ami pojawia się przeszkoda: jeden centralny serwer DHCP i klienci rozsiani po różnych podsieciach.

Rozwiązaniem jest DHCP relay, na sprzęcie Cisco znany jako ip helper-address. Router lub przełącznik warstwy 3 przechwytuje broadcast DHCP, zamienia go na unicast i przekazuje do wskazanego serwera. W pakiecie zapisuje swój adres w polu GIADDR (Gateway IP Address), dzięki czemu serwer wie, z której podsieci pochodzi żądanie i z której puli przydzielić adres. Odpowiedź wraca tą samą drogą do klienta.

Jak skonfigurować serwer DHCP — Windows Server i Linux

W praktyce serwer DHCP najczęściej spotkasz w trzech miejscach: w domowym routerze (gdzie konfiguracja sprowadza się do ustawienia puli adresów w panelu), na Windows Server oraz na Linuksie. Dwa ostatnie warto znać, jeśli celujesz w pracę administratora.

Windows Server (zarys)

1. Dodaj rolę DHCP Server przez Server Manager (Add Roles and Features).
2. W konsoli DHCP utwórz zakres (scope) — podaj zakres adresów, np. od 192.168.10.100 do 192.168.10.200, maskę i wykluczenia.
3. Ustaw opcje zakresu: bramę domyślną (opcja 003), serwery DNS (opcja 006) i nazwę domeny (opcja 015).
4. Aktywuj zakres i — jeśli serwer jest w domenie Active Directory — autoryzuj go, inaczej nie zacznie wydawać adresów.

Linux z ISC DHCP Server (zarys)

Klasyczny wybór to pakiet isc-dhcp-server (w nowszych systemach zastępowany przez kea). Konfigurację opisujesz w pliku /etc/dhcp/dhcpd.conf:

• definiujesz podsieć blokiem subnet ... netmask ...
• w nim podajesz range z zakresem adresów do wydania
• dodajesz option routers (brama) i option domain-name-servers (DNS)
• ustawiasz default-lease-time i max-lease-time w sekundach

Po edycji restartujesz usługę (np. sudo systemctl restart isc-dhcp-server) i sprawdzasz logi w razie błędów składni. Rezerwacje robisz blokiem host z dopasowaniem do adresu MAC i wpisem fixed-address.

Najczęstsze problemy z DHCP i jak je rozwiązać

Większość awarii „nie mam internetu” sprowadza się do kilku powtarzalnych objawów. Oto jak je rozpoznać.

Dostaję adres 169.254.x.x (APIPA)

Adres z zakresu 169.254.0.0/16 to APIPA — system Windows nadaje go sam, gdy nie znalazł żadnego serwera DHCP. To jasny sygnał, że proces DORA nie doszedł do skutku: serwer jest wyłączony, kabel/Wi-Fi nie łączy z właściwą siecią, port 67/68 jest blokowany albo pula adresów się wyczerpała. Sprawdź najpierw łączność fizyczną i czy serwer DHCP w ogóle działa.

Konflikt adresów IP

Pojawia się, gdy dwa urządzenia mają to samo IP — zwykle przez ręcznie wpisany adres, który nie został wykluczony z puli DHCP. Rozwiązanie: trzymaj ręczne adresy poza zakresem przydzielanym przez serwer albo zamień je na rezerwacje DHCP.

Mam adres z DHCP, a internetu nadal nie ma

Jeśli urządzenie dostało poprawne IP, ale strony się nie otwierają, problem jest dalej w łańcuchu: zła brama domyślna, błędny serwer DNS albo awaria po stronie operatora. Szybki test diagnostyczny na kliencie:

• sprawdź konfigurację: ipconfig /all (Windows) lub ip a i ip route (Linux)
• odśwież dzierżawę: ipconfig /release i ipconfig /renew (Windows) lub sudo dhclient -r i sudo dhclient (Linux)
• sprawdź bramę: ping na adres routera
• sprawdź DNS: nslookup google.com

Bezpieczeństwo DHCP — o czym pamiętać

Bazowy DHCP nie ma żadnego mechanizmu uwierzytelniania. To znaczy, że klient ufa pierwszej otrzymanej ofercie, a serwer wydaje adresy każdemu, kto poprosi. Stąd dwa klasyczne zagrożenia:

• Rogue DHCP server — podstawiony, fałszywy serwer DHCP rozdaje klientom własną (złośliwą) bramę i DNS, kierując ruch przez sprzęt atakującego. To prosta droga do ataku man in the middle.
• DHCP starvation — atakujący zalewa serwer żądaniami z fałszywych adresów MAC, aż wyczerpie całą pulę i nowi, legalni klienci nie dostaną adresu (forma DoS).

Podstawowa obrona to DHCP Snooping na przełącznikach — funkcja, która wpuszcza odpowiedzi DHCP tylko z zaufanych portów (tam, gdzie naprawdę stoi serwer), a blokuje je na portach użytkowników. Pomaga też ograniczanie liczby adresów MAC na port (port security) oraz opcja 82 (DHCP Relay Agent Information).

DHCP a DHCPv6 — krótko o IPv6

Wszystko powyżej dotyczy IPv4. W sieciach IPv6 odpowiednikiem jest DHCPv6, który działa nieco inaczej, bo IPv6 ma własny mechanizm automatycznej konfiguracji — SLAAC. DHCPv6 bywa używany w trybie bezstanowym (przekazuje tylko parametry jak DNS, a adres host bierze ze SLAAC) lub stanowym (zarządza pełnym przydziałem adresów). Obsługuje też delegację prefiksów, czyli przydzielanie całych bloków adresów routerom — przydatne u operatorów.

FAQ — najczęstsze pytania o DHCP

Co to jest DHCP w prostych słowach?

To usługa, która automatycznie nadaje urządzeniom w sieci adres IP i pozostałe ustawienia (maska, brama, DNS), żebyś nie musiał wpisywać ich ręcznie. Dzięki niej podłączasz sprzęt i od razu masz dostęp do sieci.

Co oznacza skrót DORA?

DORA to cztery etapy przydziału adresu: Discover (klient szuka serwera), Offer (serwer proponuje adres), Request (klient prosi o ten adres) i Acknowledge (serwer potwierdza). Cała wymiana trwa zwykle ułamki sekundy.

Na jakich portach działa DHCP?

DHCP używa protokołu UDP. Serwer nasłuchuje na porcie 67, a klient odbiera odpowiedzi na porcie 68.

Czy DHCP jest bezpieczny?

Bazowy protokół nie ma uwierzytelniania, więc jest podatny na fałszywe serwery (rogue DHCP) i wyczerpywanie puli (DHCP starvation). W sieciach firmowych zabezpiecza się go funkcją DHCP Snooping na przełącznikach oraz ograniczeniami portów.

Czy lepiej używać DHCP czy statycznego IP?

Dla zwykłych urządzeń (laptopy, telefony) lepszy jest DHCP — mniej pracy i brak konfliktów. Dla sprzętu, który musi mieć stały adres (drukarki, serwery, kamery), użyj rezerwacji DHCP: dostaje on zawsze to samo IP, a Ty nadal zarządzasz wszystkim z serwera.

Krzysztof Fronczak