En İyi 16 DHCP En İyi Uygulaması: Temel Kılavuz

Bu, Windows DHCP'nin en iyi uygulamalarına ve ipuçlarına ilişkin nihai kılavuzdur.

En iyi uygulamalarınız veya ipuçlarınız varsa lütfen bunları aşağıdaki yorumlara gönderin.

Bu kılavuzda aşağıdaki DHCP en iyi uygulamalarını ve ipuçlarını paylaşacağım.

İçindekiler:

1. Etki Alanı Denetleyicinize DHCP koymayın
2. DHCP Yük Devretme'yi kullanın
3. Merkezi ve Dağıtılmış DHCP Sunucusu
4. Statik IP atamalarından kaçının ve DHCP rezervasyonlarını kullanın
5. IP'leri DHCP kapsamından hariç tutun
6. PowerShell DHCP Komutlarını Öğrenin
7. Alt ağ oluşturma ve ağ bölümlemenin faydaları
8. DHCP Kiralama Süresi İpuçları
9. IP çakışması algılamayı yalnızca gerektiğinde kullanın
10. DHCP En İyi Uygulama Analiz Aracını Çalıştırın
11. IP adreslerini belgeleyin veya bize bir IPAM verin
12. DHCP Sunucu Seçeneklerini Ayarlayın
13. DHCP Aktarma Aracılarını Kullanın
14. Sahte DHCP Sunucularını Önleyin
15. DHCP Sunucusunu Yedekle
16. DHCP MAC Adresi Filtreleme

Etki Alanı Denetleyicinize DHCP Takmayın

Genel öneri, etki alanı denetleyicinizde DNS dışında herhangi bir ek rol çalıştırmamanızdır. Etki alanı denetleyiciniz bir etki alanı denetleyicisi/DNS olmalıdır ve işte bu kadar. Küçük kuruluşların etki alanı denetleyicilerine ek roller ve 3. taraf yazılımları yüklemeleri yaygındır. Mümkünse bundan kaçınmanız önerilir.

Sorun nedir?

DC'nize ek hizmetler yüklemek saldırı yüzeyini artırır, yönetimi zorlaştırır ve performans sorunlarına yol açabilir.

Sorun 1. DC'yi birden çok rolle yönetin

Birden fazla rolün kurulu olduğu Etki Alanı Denetleyicilerinin yönetimi zordur. Bu genellikle istikrarsızlığa ve hizmetlerin aksamasına yol açabilir.

Örneğin, DHCP ile ilgili sorun yaşadığınızı veya yeniden başlatma gerektiren bir güvenlik yaması yüklediğinizi varsayalım. Üzerinde Active Directory Etki Alanı Hizmetleri rolü bulunan bir sunucunun yeniden başlatılması, kuruluşunuzda büyük aksamalara neden olabilir. Bu, kimlik doğrulamayı, çoğaltmayı, grup ilkesini ve DNS'yi etkileyebilir. DNS kapalıysa kullanıcılarınız hiçbir şeye erişemez.

Birden fazla etki alanı denetleyiciniz varsa ve doğru şekilde yapılandırılmışsa bu sorunlardan kaçınılabilir ancak neden riske giresiniz ki?

DHCP kendi sunucusuna kurulmuşsa, Etki Alanı Denetleyicisindeki hizmetleri etkileme endişesi olmadan DCHP sunucusunu yeniden başlatabilirsiniz.

Sorun #2. Güvenlik

1. Ne kadar çok yazılım/hizmet yüklerseniz saldırı yüzeyiniz o kadar büyük olur. DC'de DHCP yüklüyse ve DHCP hizmetinde yeni bir güvenlik açığı keşfedilirse DC sunucunuz artık risk altındadır.
2. Misafir wifiniz var mı? Bu yönetilmeyen cihazların DHCP/DC sunucunuza bağlanması hakkında ne düşünüyorsunuz? Herkese IP adresleri sağlamak için dahili bir DHCP sunucusu kullanmanın hayranı değilim. Daha sonra bu genel cihazların da etki alanı denetleyicisine bağlandığını eklemek için…. evet, güvenlik alarmlarım çalıyor.
3. DHCP bir etki alanı denetleyicisine yüklendiğinde, DHCP hizmeti, DC bilgisayar hesabının güvenlik izinlerini devralır. Bu, en az ayrıcalık ilkesini ihlal etmektedir. Artık DHCP sunucunuz ayrıcalıklarla çalışıyor ve tasarlandığı görevi gerçekleştirmesine gerek yok. Evet bu düzeltilebilir ama neden bu riski ekleyesiniz ki?

DHCP'yi kendi üye sunucusuna kurmak DC'nizin saldırı yüzeyini azaltacaktır.

Sayı 3. Verim

Genel olarak DHCP sunucularının çok verimli çalıştığını ve CPU veya bellek gibi çok fazla sistem kaynağı gerektirmediğini gördüm.

Ancak…

Diyelim ki çakışma tespiti gibi yeni bir DHCP seçeneği hakkında bilgi sahibi oldunuz ve bu seçeneği tüm kapsamlar için açtınız.

Ah ah… Artık CPU kullanımı hızla artıyor ve etki alanı hizmetleri yavaşlıyor, kullanıcılar oturum açamıyor ve DNS istekleri acı verici derecede yavaşlıyor.

Belki mevcut IP adreslerini izlemeye devam etmek için bir IPAM yüklersiniz ve bu, CPU ve belleği kaplar… yine alan hizmetlerinden kaynakları alır.

Devam edebilirim… etki alanı denetleyicinize ne kadar çok yazılım/hizmet yüklerseniz, performansı o kadar çok etkileyebilir ve hizmetlerde kesintiye yol açabilir.

Özet
Etki alanı denetleyiciniz, Windows etki alanı ortamındaki en kritik hizmetlerden biridir; o sizin bebeğinizdir ve sunucuda olmayı hak eder. Etki Alanı Denetleyicisi, Etki Alanı Denetleyicisidir, Etki Alanı Denetleyicisi, Etki Alanı Denetleyicisidir. Başka hiçbir şey.

DHCP Yük Devretme'yi kullanın

DHCP yük devretme, bir DHCP sunucusunun yüksek düzeyde kullanılabilirliğini sağlamaya yönelik bir özelliktir. DHCP yük devretme ile iki DHCP sunucusu DHCP bilgilerini paylaşır, böylece biri arızalanırsa diğer sunucu istemcilere DHCP kiralaması sağlamaya devam edebilir.

DHCP yük devretme seçeneği Windows sunucu işletim sisteminde yerleşiktir. Aşağıdaki resimde yük dengeleme arıza moduyla yapılandırılmış iki DHCP sunucusunun kurulumu gösterilmektedir. Bir sunucu arızalanırsa diğer sunucu hala etkindir ve tüm DCHP isteklerini üstlenir.

İki yük devretme tasarım seçeneği vardır:

Sıcak bekleme tasarımı

Otomatik bekleme modunu kullanırken, sunuculardan biri etkin sunucu, diğeri ise yedek sunucudur. Aktif sunucu birincil sunucudur ve tüm DHCP isteklerini yönetir. Aktif sunucunun kapanması durumunda yedek sunucu DHCP isteklerini devralır.

Bu seçenek genellikle bekleme ünitesinin aktif üniteden fiziksel olarak farklı bir konumda olması durumunda kullanılır.

Yük dengesi tasarımı

Yük dengeleme modunda her iki sunucu da DHCP isteklerini işlemek için aktif-aktif modda çalışır. İstekler yük dengelidir ve iki DHCP sunucusu arasında paylaşılır. Sunuculardan biri yük devretme ortağıyla bağlantıyı kaybederse, tüm DHCP istemcilerine kiralama vermeye başlayacaktır.

Özet
Ortamınız için hangi yük devretme tasarımının en iyi olduğunu belirlemeniz gerekecektir. Bu, ücretsiz yerleşik bir seçenektir; bundan yararlanın ve DHCP sunucularınızın hataya dayanıklı olmasını sağlayın.

Kaynaklar:

• DHCP Yük Devretme Mimarisi

Merkezi ve Dağıtılmış DHCP Sunucusu

Birden fazla lokasyonda şubeleri bulunan geniş bir ağınız mı var?

Soru şu: Bu şubelere bir DHCP sunucusu mu kuruyorsunuz yoksa merkezi bir DHCP sunucusuna tünel açmalarını mı sağlıyorsunuz?

Merkezi DHCP Sunucusu

Merkezi bir DHCP sunucusu, uzak ofislerin DHCP için bağlandığı merkezi bir konuma yerleştirilir. Bu genellikle ana veri merkezlerinden birinde bulunur. Bu tasarımda yerel DHCP sunucusu yoktur, tüm istekler merkezi sunucuya geri döner.

Dağıtılmış DHCP Sunucusu

Dağıtılmış DHCP modelinde yerel şubede DHCP sunucuları bulunur. Bu modelde istemciler IP adreslerini yerel DHCP sunucusundan alırlar.

Peki hangi seçenek en iyisidir?

Bu basit bir soruyla cevaplanabilir mi?

Şube, veri merkezine bağlantı olmadan tamamen kendi başına çalışabilir mi? Cevabınız evet ise yerel bir DHCP ve DNS sunucusunun olması mantıklıdır.

Şube internet, Active Directory, DNS vb. için veri merkezine tünel açıyorsa DHCP'yi yerel olarak yerleştirmenin bir anlamı yoktur.

Eyalet genelinde ofisleri bulunan bir şirkette çalışıyorum ve merkezi bir DHCP modeli kullanıyorum. Güvenilir hızlı bağlantılarımız var, bu nedenle merkezi bir DHCP sunucusu kullanmamız mantıklı.

Dikkate alınması gereken bir husus, şubede kaç çalışanın olduğudur. Binlerce çalışanı olan çok büyük bir şubeniz varsa Active Directory, DNS ve DHCP gibi yerel kaynaklara sahip olmak faydalı olabilir. Bu, WAN bağlantısı üzerinden çok fazla trafik geçmesine neden olacak ve bağlantı kesilirse tüm çalışanların çevrimdışı duruma geçmesine neden olacaktır.

Özet
Merkezi veya dağıtılmış DHCP arasında seçim yapmak genellikle şu soruyla yanıtlanabilir: "Şube, veri merkezine geri bağlantı olmadan çalışabilir mi? Uzak ofisin boyutu ve veri merkezine bağlantı hızı da bir faktör olabilir.

Kaynaklar:

• DHCP Yük Devretme için Çoklu Site dağıtım topolojileri
• Dağıtılmış ve merkezi DHCP karşılaştırması

Statik IP atamalarından kaçının ve DHCP rezervasyonlarını kullanın

Statik IP adreslerini bilgisayarlara, yazıcılara, telefonlara veya diğer herhangi bir son kullanıcı cihazına atamak zahmetlidir.

İstatistiksel olarak bir IP adresi atadığınızda şunlar olur:

1. Yardım masası, statik IP'nin farkında olmayan cihazı değiştirir
2. Artık cihazın bağlantısı tamamen veya kısmen kesildi
3. Yardım masası, sorunu düzeltmek için ağ ekibine bildirim gönderir
4. Ağ ekibi, statik IP ile yardım masasına geri bildirim gönderir
5. Yardım Masasının artık cihaza gitmesi ve IP'yi ataması gerekiyor

Yukarıdaki durumu birçok kez yaşadım ve söylediğim gibi bu bir acı. Tüm bunlardan kaçınmak için statik IP atamaları yerine DHCP rezervasyonlarını kullanın.

Sabit bir IP adresine ihtiyaç duyan her şey için DHCP rezervasyonlarını kullanıyorum. Bunun tek istisnası, statik IP alan yönlendiriciler ve anahtarlar gibi altyapı cihazlarıdır.

Yazıcılar için DHCP rezervasyonlarının ekran görüntüsü.

DHCP rezervasyonlarında yapmanız gereken tek şey, cihazlar değiştirildiğinde ve IP otomatik olarak cihaza geri atandığında MAC adresini güncellemektir. Ayrıca, bir e-tablodaki her şeyi manuel olarak izlemek yerine, IP atanmış olan her şeyin hızlı bir şekilde görüntülenmesini sağlar.

IP'leri DHCP kapsamından hariç tutun

DHCP kapsamı oluştururken, statik IP atamaları için küçük bir aralığın hariç tutulmasını öneririm. Evet, önceki ipucumda statik atamaları kullanma dediğimi biliyorum ama altyapı ekipmanı için buna ihtiyacınız olacak.

Ağlarınızın yönlendirici olacak varsayılan bir rotası olacaktır, dolayısıyla bunun kesinlikle DHCP havuzundan hariç tutulmasını istersiniz. Statik IP gerektiren başka ekipmanlarla da karşılaşabilirsiniz; bu nedenle, bu cihazlar için DHCP havuzunun dışında tutulan küçük bir IP aralığına sahip olmak iyidir. Örneğin, statik IP'ye ihtiyaç duyan çeşitli alarmlar ve güvenlik cihazları gördüm, bu yüzden sadece dışlama aralığından bir IP sağladım.

Burada 10.2.10.1 ila 10.2.10.10 hariç iş istasyonları ve dizüstü bilgisayarlar için kullanılan veri VLAN'ının ekran görüntüsü verilmiştir.

PowerShell DHCP Komutlarını Öğrenin

DHCP konsolunu (dhcpmgmt.ms) kullanmanın yanlış bir yanı yoktur ancak PowerShell harikadır ve birçok görevi basitleştirir. Yüzlerce DHCP kapsamına sahip geniş bir ağınız varsa PowerShell'i kullanmak büyük bir zaman tasarrufu sağlar.

İşte başlamanıza yardımcı olacak birkaç komut.

DHCP Rolünü Yükle

Install-WindowsFeature -IncludeManagementTools DHCP

DHCP Sunucusunu Yedekle

 Backup-DhcpServer -ComputerName "dhcp1.ad.activedirectorypro.com" -Path "C:\Windows\system32\dhcp\backup"

DHCP kiralamalarını görüntüle

Get-DhcpServerv4Scope | Get-DhcpServerv4Lease

MAC Adresinden DHCP Kirasını Bulma

Get-DhcpServerv4Scope |Get-DhcpServerv4Lease |where {$_.ClientId -like “b4-b6-86-b4-**-**” }

DHCP Kapsamı Ekle

Add-DHCPServerv4Scope -EndRange 10.2.1.254 -Name Vlan110 -StartRange 10.2.1.1 -SubnetMask 255.255.255.0 -State Active

Tüm aktif ipv4 kapsamlarını alın

Get-DHCPServerv4Scope

Bir kapsam için tüm DHCP rezervasyonlarını alın

Get-DHCPServerv4Lease -ScopeId 10.2.1.0

DHCP rezervasyonu oluşturma

Get-DhcpServerv4Lease -ComputerName dhcpserver1 -IPAddress 10.2.1.8 | Add-DhcpServerv4Reservation -ComputerName server1

Bu, DHCP'yi PowerShell ile yönetme sunucusunu çizmekten başka bir şey değil. Powershell'i kullanmaya yönelik bazı ek kaynaklara yönelik birkaç bağlantıyı aşağıya ekledim.

Kaynaklar:

• DhcpServer PowerShell cmdlet'i
• Active Directory PowerShell Komutları

Alt ağ oluşturma ve ağ bölümlemenin faydaları

Alt ağ oluşturma konusuna derinlemesine dalmayacağım çünkü bunun için pek çok kaynak var.

Ancak… DHCP kapsamlarını yapılandırırken ağ hakkında bazı temel bilgilere sahip olmak yardımcı olur.

Tüm cihazlarınız için tek bir büyük DHCP havuzuna sahip olmak istemezsiniz; cihazları ayrı ağlara ayırmalısınız. Bu aynı zamanda ağınızın boyutuna da bağlıdır; eğer küçük bir ağınız varsa ağ bölümlendirmesi o kadar önemli değildir.

Ağ bölümlemenin faydaları

Güvenlik

Cihazları ayrı ağlarda tutarak ağ üzerinde daha iyi kontrol sahibi olursunuz. Yazıcılarınızın internete erişmesi mi gerekiyor? Muhtemelen değil. Finans departmanındaki bilgisayarların İK'daki bilgisayarlarla doğrudan konuşması gerekiyor mu, kesinlikle DEĞİL. Cihazları kendi ağlarına ayırarak erişimlerini çok daha iyi kontrol edebilirsiniz.

Ağdaki yanal hareketi sınırlamak, saldırganları ve virüsleri gerçekten yavaşlatabilir. Ağınızdaki yanal hareketi sınırlamak için ağ düzeyinde güvenlik duvarlarını veya erişim kontrol listelerini etkinleştirmek önemlidir.

Ağ performansı

Her şeyi büyük bir ağa koymak dev bir yayın alanı yaratacaktır. Bu, yayılan ağaç döngüleri, yayın ve çok noktaya yayın fırtınaları gibi her türlü soruna yol açabilir. Ağlarınızı bölümlere ayırmak yayın alanlarını bölecek ve olası performans sorunlarını azaltacaktır.

Ziyaretçi/misafir erişimini kontrol edin

Konuk ağınızın güvenli ağınıza erişmesini istemiyorsunuz. Bu trafiği kendi ağına ayırmak, bu trafiği filtrelemenize ve iç ağınıza erişimi engellemenize olanak tanır. Misafir ağını sadece internet bağlantısına ihtiyaç duyan IOT tipi cihazlar için de kullanıyorum.

Aşağıda ağ trafiğini nasıl bölümlere ayırdığıma dair bir örnek verilmiştir.

• Bilgisayarlar=10.2.10.0/24 VLAN 110
• Yazıcılar=10.2.8.0/24 VLAN 108
• Ses=10.2.6.0/24 VLAN 106
• Video Gözetim=10.2.4.0/24 VLAN 104
• Sunucu=10.2.2.0/24=VLAN 102
• Misafir=10.16.0.0/23=VLAN 116

Ağ bölümlendirmesine ek olarak IP planınızı basit tutmaya çalışın; bu, DHCP kapsamlarının yönetimini gerçekten kolaylaştırır.

DHCP Kiralama Süresi İpuçları

DHCP kiralaması, DHCP sunucusunun bir istemciye IP adresi atadığı süredir. DHCP kapsamları için varsayılan DHCP kiralama süresi 8 gündür.

İpucu#1, sabit cihazlar için kiralama süresini artırın

Küçük ağlar için kiralama süresini varsayılan ayar olan 8 saate bırakabilirsiniz.

Büyük ağlarda, sabit cihazlar (iş istasyonları) için DHCP kapsamlarını 16 gün olarak değiştirmeyi düşünün. Bu, DHCP ile ilgili ağ trafiğini azaltabilir. İş istasyonları çok sık hareket etmediğinden, bir IP adresi almak için tüm DHCP dansını o kadar sık geçirmeleri gerekmez.

İpucu#2, konuk/mobil cihazlar için kiralama süresini kısaltır

Konuk wifi sağlarsanız, bu DHCP kapsamları mevcut IP'lerin çok hızlı bir şekilde tükenmesine neden olabilir. Bu cihazların büyük olasılıkla birkaç saat gibi geçici erişime ihtiyacı vardır. Bu kapsamlar için DHCP kiralama süresini 1 saate ayarlamayı düşünün. Cihaz hala aktifse yenilenir ancak cihazın bağlantısı kesilirse bir IP adresi serbest bırakılır. Bu, konuk kapsamlarınızdaki mevcut IP'lere yardımcı olacaktır.

Bu aynı zamanda mobil cihazlarda da geçerli olabilir, ancak giderek daha fazla kullanıcının dizüstü bilgisayar sahibi olması nedeniyle bu durum yanıltıcı olabilir. Varsayılan 8 günlük süre yeterli olabilir ancak çok fazla hareket eden mobil cihazlar biliyorsanız kiralama süresini kısaltmayı düşünebilirsiniz.

Özet
Yalnızca iş istasyonları gibi belirli cihazlara hizmet veren DHCP kapsamlarınız varsa DHCP kiralama sürelerini ayarlamayı düşünün.

IP çakışması algılamayı yalnızca gerektiğinde kullanın

Aynı LAN üzerindeki iki cihaz aynı IP adresine sahip olduğunda, IP adresi çakışması meydana gelir. Bu, cihazlardan birinin veya her ikisinin ağ üzerinde iletişim kurma sorunları yaşamasına yol açar.

DHCP sunucusunun IP çakışmalarını azaltmaya yardımcı olacak bir seçeneği vardır. DHCP sunucusundaki çakışma algılama seçeneği, bir IP'yi bir cihaza atamadan önce ilk olarak bir IP'nin kullanımda olup olmadığını kontrol edecektir.

Varsayılan olarak bu, tüm DHCP kapsamlarında devre dışıdır.

Microsoft'un önerisi bunu yalnızca ihtiyaç duyulduğunda kullanmaktır. Bunu her kapsam için ETKİNLEŞTİRMEYİN. Statik IP atamalarından uzak durursanız muhtemelen bunu hiçbir zaman açmanıza gerek kalmayacaktır.

Bunu açarsanız algılama denemelerini 1 veya 2 olarak ayarlayın.

Kaynaklar:

• Microsoft DHCP En İyi Uygulamaları

DHCP En İyi Uygulama Analiz Aracını Çalıştırın

Microsoft'un en iyi uygulama analizörü, DHCP yapılandırmasını Microsoft yönergelerine göre kontrol eden bir araçtır. En iyi uygulama çözümleyicisi Windows Server'da yerleşiktir ve sunucu yönetim aracında mevcuttur.

Aracı çalıştırma adımları.

1. Adım: Sunucu Yöneticisini açın

Adım 2: DHCP'ye tıklayın

3. Adım: BPA taraması başlatın

Tarama tamamlandığında sonuçlar görüntülenecektir

BPA tarayıcısı temel yanlış yapılandırmaların tespit edilmesine yardımcı olmalıdır. Sonuçlarınızı gözden geçirin ve ortamınız için gerekli olduğunu düşündüğünüz değişiklikleri yapın.

IP adreslerini belgeleyin veya bize bir IPAM verin

IP planınızı, VLAN'larınızı ve statik IP atamalarınızı belgeleyin.

Küçük ağlar için bir excel tablosu yeterli olabilir.

Daha büyük ağlar için bir IP adresi yönetim aracı öneririm. Yıllarca bir excel elektronik tablosu kullandım ve ağ büyüdükçe bu elektronik tablo bir kabusa dönüştü. Sonunda tüm e-tabloları SolarWinds IP Adresi İzleyici'ye taşıdım ve artık IP yönetimi konusunda endişelenmedim. SolarWinds IPAM benim için her şeyi hallediyor ve en iyisi de veritabanının tamamında hızlı bir şekilde arama yapabiliyorum.

IPAM'ın Avantajları

• Otomatik IP adresi takibi
• Dhcp kapsamı kullanımını izlemek için DHCP/DNS ile entegre olabilir
• Kapsam kullanımına ilişkin uyarı ve raporlama
• IP adreslerini, yorumları, ana bilgisayar adlarını vb. arayın. Bir cihazın IP adresinin ne olduğunu görmek için bir anahtar kelimeye göre hızlı bir şekilde arama yapabilmek çok güzel.

30 Günlük Ücretsiz Denemeyi İndirin

DHCP Sunucu Seçeneklerini Ayarlayın

DHCP kapsam seçenekleri, istemci cihazlarda ek TCP/IP ayarlarını otomatik olarak yapılandırmanıza olanak tanır.

DHCP seçenekleri, sunucuda veya her DHCP kapsamına göre iki farklı düzeyde yapılandırılabilir.

Her kapsamda tercih ediyorum, daha çok iş ama dahili DNS'yi kullanmak istemediğim misafir wifi gibi kapsamlara sahip olabilirim. Bazen VOIP telefonlarının yapılandırılması için özel seçeneklere ihtiyaç duyulur ve ben bunu sunucu düzeyinde istemiyorum.

Kullanılan en yaygın seçenekler şunlardır:

003 Yönlendirici

006 DNS sunucuları

015 DNS Alan Adı

Kapsam seçeneklerinden yararlanarak tüm cihazlarda IP ayarlarını otomatik olarak yapılandırabilirsiniz.

DHCP Aktarma Aracıları

Birden fazla ağa sahip merkezi bir DHCP sunucunuz varsa, bir DHCP aktarma aracısı kullanmanız gerekecektir.

DHCP mesajları yayınlanır ve yönlendiriciler yayın paketlerini iletmez. Bu sorunu düzeltmek için, DHCP yayın paketlerinin cihaza ulaşmasına izin vermek üzere yönlendiricinizde/anahtarınızda DHCP aktarma aracısı işlevini etkinleştirebilirsiniz.

Aktarma aracısını etkinleştirmeye yönelik komutlar için yönlendiricinizin belgelerine bakmanız gerekecektir.

Kaynaklar:

• Cisco Configyure DHCP Aktarma Aracısı
• HP DHCP Aktarmasını Yapılandırma

Sahte DHCP Sunucularını Önleyin

Hiç bir kullanıcının veya kendi BT departmanınızdaki birinin duvardaki uygun bir bağlantı noktasına bir anahtar/yönlendirici taktığını gördünüz mü? Daha sonra kullanıcılar internete veya diğer kaynaklara bağlanamadığı için yardım masası telefonu patlamaya başlar.

Rogue DHCP sunucuları baş ağrısıdır. Ayrıca güvenlik riski oluşturabilir ve çeşitli saldırılar için kullanılabilirler.

Sahte DHCP sunucularını engellemenin en iyi yolu ağ anahtarıdır. Bu, DHCP gözetleme veya 802.1x bağlantı noktası tabanlı ağ erişimi adı verilen bir seçenekle yapılabilir.

DHCP Gözetleme

DHCP gözetleme, yetkisiz (haydut) DHCP sunucularının IP adreslerini cihazlara dağıtmasını engelleyen bir katman 2 anahtar özelliğidir.

DHCP, anahtar bağlantı noktalarını güvenilir veya güvenilmeyen bağlantı noktaları olarak sınıflandırarak çalışır. Güvenilir bir bağlantı noktası DHCP iletilerine izin verir, güvenilmeyen bağlantı noktası ise DHCP iletilerini engeller.

Cihazlarınızın (bilgisayarlar, yazıcılar, telefonlar) güvenilmeyen bir bağlantı noktasında olmasını istiyorsunuz, böylece sahte bir DHCP sunucusu takılamaz.

802.1x bağlantı noktası tabanlı ağ erişimi

802.1x, bağlantı noktası tabanlı ağ erişim kontrolüne yönelik bir IEEE standardıdır. Cihazların ağ erişimini sağlamadan önce kimlik doğrulamasını gerektirebilen bir mekanizmadır.

Yalnızca sahte DHCP sunucuları için değil, aynı zamanda herhangi bir şeye ağ erişimini kontrol etmek için de iyidir.

802.1x genellikle anahtar düzeyinde yapılandırılır ve bir istemci ile kimlik doğrulama sunucusu gerektirir.

DHCP Sunucusunu Yedekle

DHCP sunucularınız, istemcilerinize IP ayarlarını sağlama açısından kritik öneme sahiptir. Bir sistem çökmesi durumunda bu sunucuyu mümkün olan en kısa sürede kurtarmanız gerekir.

Varsayılan olarak Windows'un DHCP yapılandırmasını her 60 dakikada bir %SystemRoot%System32\DHCP\backup klasörüne yedekleyeceğini biliyor muydunuz?

Bu harikadır ancak sunucu çökerse ve klasöre erişemezseniz hiçbir işe yaramaz.

Herhangi bir iş yeri dışında çoğaltmanız yoksa, yedekleme klasörünü düzenli aralıklarla başka bir konuma kopyalamanız gerekir.

Bu, klasörü başka bir konuma kopyalayan veya uzak bir konumu belirtmek için PowerShell'i kullanan bir komut dosyasıyla yapılabilir.

Backup-DhcpServer -Bilgisayar Adı “DC01” -Yol “C:\DHCPBackup”

Bu konuda daha fazla bilgiyi Windows DHCP Sunucusunu Yedekleme ve Geri Yükleme makalemde okuyabilirsiniz.

DHCP MAC Adresi Filtreleme

DHCP MAC adresi filtreleme özelliği, MAC adreslerine göre IP adresi atamasını engellemenize veya izin vermenize olanak tanır.

Bir DHCP kapsamının açık bir aygıt listesine IP adresleri sağlamasını istiyorsanız bu kullanışlıdır. Ayrıca, VLAN'da IP adresi alan istenmeyen cihazlarınız varsa da kullanışlıdır.

Örneğin, BYOD cihazlarını güvenli VLAN'ınıza koyan kullanıcılarınız var. Bu cihazları reddetme filtresine ekleyebilirsiniz. DHCP MAC filtreleme, ağa erişimi kontrol etmenin hızlı ve basit bir yoludur. Zamanınız ve kaynaklarınız varsa daha iyi seçenek 802.1x kullanmaktır.

Çözüm

DHCP sunucularını yönetirken bu ipuçlarını yıllardır kullanıyorum. Doğru şekilde yapılandırıldığında DHCP, çok az sorunla veya hiç sorunla karşılaşılmayan bir ayarla ve unut sunucusu olabilir. Umarım bu ipuçlarını faydalı bulursunuz ve lütfen DHCP ipuçlarını veya sahip olduğunuz en iyi uygulamaları aşağıdaki yorumlara gönderin.