Configuration et Sécurisation DHCP

Mise en place et sécurisation de DHCP

• L'attribution manuelle des paramètres réseau est complexe et source d'erreurs.
• Un mécanisme rapide et fiable est recherché pour attribuer automatiquement les adresses IP.
• DHCP (Dynamic Host Configuration Protocol) est un protocole de couche application.
• Il permet à un hôte qui se connecte au réseau local d'obtenir dynamiquement sa configuration IP (adresse IP, masque, passerelle, adresse DNS).

Rôle de DHCP

• DHCP prend en charge trois mécanismes d'allocation d'adresses IP : automatique, dynamique et manuel.
• La méthode automatique attribue une adresse IP permanente au client, qui ne change pas après redémarrage.
• La méthode dynamique attribue une adresse IP pour une période limitée, nécessitant un renouvellement avant expiration.
• La méthode manuelle attribue une adresse IP au client par l'administrateur réseau, réservée et non attribuable à un autre appareil.
• La méthode manuelle est utilisée pour les serveurs, imprimantes réseau, routeurs, etc.
• DHCP gère uniquement l'attribution des adresses affectées manuellement.

Fonctionnement de DHCP

• Le protocole DHCP fonctionne sur le modèle client-serveur.
• Un client émet une requête en broadcast pour obtenir une adresse IP.
• Un serveur DHCP traite cette requête s'il est dans le même sous-réseau que le client.
• Un agent de relais transforme la requête en unicast et la transmet au serveur DHCP si nécessaire.
• Le serveur répond en unicast avec une adresse IP et les informations nécessaires pour la communication.
• Le serveur DHCP écoute sur le port 67.
• Le client DHCP écoute sur le port 68.

Processus DORA

• Le processus DORA (Discover, Offer, Request, Ack) inclut:
• DHCPDISCOVER: Demande de bail IP.
• DHCPOFFER: Proposition de bail IP.
• DHCPREQUEST: Sélection de bail IP.
• DHCPACK: Accusé de réception de bail IP.

DHCPDISCOVER

• Un client envoie une demande en broadcast (DHCP Discover) pour trouver un serveur DHCP sur le réseau.

DHCPOFFER

• Un serveur DHCP reçoit la demande et regarde dans sa base s'il a une adresse à proposer au client.
• Si un serveur DHCP (ou plusieurs) est présent, il va recevoir la demande.
• Si oui, il envoie une réponse directement à la machine avec une adresse IP en lui proposant (DHCP OFFER).
• Le DHCPOFFER contient : une adresse IP et un masque, une durée de bail, l'adresse IP du serveur DHCP, un ID de transaction.

DHCPREQUEST

• La machine reçoit le message et répond au serveur DHCP en indiquant si elle accepte l'adresse IP proposée.
• Si la machine accepte, elle envoie un datagramme UDP de broadcast au serveur.

DHCPACK

• Le serveur DHCP reçoit la requête du client et renvoie à son tour un message avec un acquittement positif (DHCP ACK) et que l'adresse lui est assignée.
• Ce datagramme contient:
  • Adresse IP de destination: 255.255.255.255 (Broadcast).
  • Adresse MAC de destination: FF. FF. FF. FF. FF. FF (Broadcast).
  • Un nouvel ID de transaction.

DHCPNACK

• Un accusé de réception négatif (DHCPNACK) est diffusé si le client veut obtenir son adresse IP précédente alors qu'elle n'est plus disponible.
• Un accusé de réception négatif (DHCPNACK) est diffusé si l'adresse IP est incorrecte car le client a été déplacé sur un autre sous-réseau.

Adresse IP

• Une adresse IP proposée par le serveur a une durée de vie limitée (bail).
• Lorsque le client DHCP atteint 50% de sa durée, il envoie DHCPREQUEST à son serveur pour la renouveler.
• Un serveur DHCP doit disposer d'une adresse IP fixe (non dynamique).
• Lorsque le réseau d'une entreprise est constitué de plusieurs sous-réseaux, les routeurs agissent en tant qu'agents de relais, sinon il faut un serveur DHCP sur chaque sous-réseau.
• Chaque serveur DHCP doit avoir une étendue contenant environ 75% des adresses IP disponibles du sous-réseau sur lequel il est installé (local).
• Le serveur DHCP doit avoir une étendue contenant environ 25% des adresses IP disponibles du sous-réseau distant.

Attaques et sécurisation

• Si le service DHCP est mal administré, les correspondances entre adresses MAC et IP se font dynamiquement à partir d'une plage d'adresses vacantes.
• Une attaque par épuisement de ressources est un scénario possible, où un pirate génère un grand nombre de requêtes afin d'épuiser le stock d'adresses du serveur DHCP, paralysant le trafic réseau.
• Une attaque par faux serveurs DHCP est un scénario possible, qui se crée lorsque le pirate réussi à saturer le serveur par épuisement de ressources, il active un autre serveur à la place afin de contrôler tout le trafic réseau.
• La fonction port-security contrôle les adresses MAC apprises sur un port du commutateur et applique des règles en cas de violation (limitation du nombre de MAC, blocage temporaire ou définitif du port, alerte SNMP).
• La fonction DHCP snooping contrôle l'ensemble des informations DHCP passant par le commutateur, transmettant uniquement les paquets provenant de serveurs dignes de confiance.
• DHCP snooping assure la protection contre DHCP Spoofing, la validation des requêtes légitimes, et le maintien d'une base de données MAC-IP.
• Pour éviter ces attaques, il faut limiter le service DHCP à une liste «fermée» de correspondances d'adresses MAC-IP et rejeter systématiquement les requêtes étrangères.