แนวทางปฏิบัติที่ดีที่สุด 16 ประการของ DHCP: สุดยอดคู่มือ

นี่คือคำแนะนำขั้นสูงสุดสำหรับแนวทางปฏิบัติและเคล็ดลับที่ดีที่สุดของ Windows DHCP

หากคุณมีแนวทางปฏิบัติที่ดีที่สุดหรือเคล็ดลับใด ๆ โปรดโพสต์ไว้ในความคิดเห็นด้านล่าง

ในคู่มือนี้ ฉันจะแบ่งปันแนวทางปฏิบัติที่ดีที่สุดและเคล็ดลับของ DHCP ต่อไปนี้

สารบัญ:

1. อย่าใส่ DHCP บนตัวควบคุมโดเมนของคุณ
2. ใช้ความล้มเหลว DHCP
3. เซิร์ฟเวอร์ส่วนกลางเทียบกับเซิร์ฟเวอร์ DHCP แบบกระจาย
4. หลีกเลี่ยงการกำหนด IP แบบคงที่และใช้การจอง DHCP
5. แยก IP ออกจากขอบเขต DHCP
6. เรียนรู้คำสั่ง PowerShell DHCP
7. เครือข่ายย่อยและประโยชน์ของการแบ่งส่วนเครือข่าย
8. เคล็ดลับระยะเวลาการเช่า DHCP
9. ใช้การตรวจจับข้อขัดแย้งของ IP เมื่อจำเป็นเท่านั้น
10. เรียกใช้ตัววิเคราะห์วิธีปฏิบัติที่ดีที่สุดของ DHCP
11. เอกสารที่อยู่ IP หรือ IPAM ของเรา
12. ตั้งค่าตัวเลือกเซิร์ฟเวอร์ DHCP
13. ใช้ตัวแทนการถ่ายทอด DHCP
14. ป้องกันเซิร์ฟเวอร์ Rogue DHCP
15. สำรองเซิร์ฟเวอร์ DHCP
16. การกรองที่อยู่ MAC ของ DHCP

อย่าใส่ DHCP บนตัวควบคุมโดเมนของคุณ

คำแนะนำทั่วไปคืออย่าเรียกใช้บทบาทเพิ่มเติมใดๆ บนตัวควบคุมโดเมนของคุณนอกเหนือจาก DNS ตัวควบคุมโดเมนของคุณควรเป็นตัวควบคุมโดเมน/DNS เท่านี้ก็เรียบร้อย เป็นเรื่องปกติที่องค์กรขนาดเล็กจะติดตั้งบทบาทเพิ่มเติมและซอฟต์แวร์ของบริษัทอื่นบนตัวควบคุมโดเมนของตน ขอแนะนำให้หลีกเลี่ยงสิ่งนี้หากทำได้

ปัญหาคืออะไร

การติดตั้งบริการเพิ่มเติมบน DC ของคุณจะเพิ่มพื้นที่การโจมตี ทำให้ยากต่อการจัดการ และอาจนำไปสู่ปัญหาด้านประสิทธิภาพได้

ฉบับที่ #1 จัดการ DC ด้วยหลายบทบาท

ตัวควบคุมโดเมนที่ติดตั้งหลายบทบาทนั้นยากต่อการจัดการ สิ่งนี้มักจะนำไปสู่ความไม่มั่นคงและการหยุดชะงักของบริการ

ตัวอย่างเช่น สมมติว่าคุณกำลังมีปัญหากับ DHCP หรือติดตั้งแพตช์รักษาความปลอดภัยที่ต้องรีบูต การรีบูตเซิร์ฟเวอร์ที่มีบทบาทบริการโดเมน Active Directory อาจทำให้องค์กรของคุณหยุดชะงักครั้งใหญ่ ซึ่งอาจส่งผลต่อการรับรองความถูกต้อง การจำลองแบบ นโยบายกลุ่ม และ DNS ผู้ใช้ของคุณจะไม่สามารถเข้าถึงสิ่งใดๆ ได้หาก DNS ไม่ทำงาน

หากคุณมีตัวควบคุมโดเมนหลายตัวและได้รับการกำหนดค่าอย่างถูกต้อง ปัญหาเหล่านี้ก็สามารถหลีกเลี่ยงได้ แต่ทำไมถึงเสี่ยง?

หากติดตั้ง DHCP บนเซิร์ฟเวอร์ของตัวเอง คุณสามารถรีบูตเซิร์ฟเวอร์ DCHP ได้โดยไม่ต้องกังวลว่าจะส่งผลกระทบต่อบริการบน Domain Controller

ฉบับที่ #2 ความปลอดภัย

1. ยิ่งคุณติดตั้งซอฟต์แวร์/บริการมากเท่าใด พื้นผิวการโจมตีก็จะใหญ่ขึ้นเท่านั้น หากติดตั้ง DHCP บน DC และพบช่องโหว่ใหม่ในบริการ DHCP เซิร์ฟเวอร์ DC ของคุณตกอยู่ในความเสี่ยง
2. คุณมี wifi สำหรับแขกไหม? คุณรู้สึกอย่างไรเกี่ยวกับอุปกรณ์ที่ไม่มีการจัดการเหล่านี้เชื่อมต่อกับเซิร์ฟเวอร์ DHCP/DC ของคุณ ฉันไม่ชอบการใช้เซิร์ฟเวอร์ DHCP ภายในเพื่อมอบที่อยู่ IP ให้กับสาธารณะ จากนั้นเสริมว่าอุปกรณ์สาธารณะเหล่านี้เชื่อมต่อกับตัวควบคุมโดเมนด้วย…. ใช่ สัญญาณกันขโมยของฉันดังแล้ว
3. เมื่อมีการติดตั้ง DHCP บนตัวควบคุมโดเมน บริการ DHCP จะสืบทอดสิทธิ์การรักษาความปลอดภัยของบัญชีคอมพิวเตอร์ DC สิ่งนี้ฝ่าฝืนหลักการของสิทธิพิเศษน้อยที่สุด ขณะนี้เซิร์ฟเวอร์ DHCP ของคุณกำลังทำงานโดยมีสิทธิ์พิเศษ โดยไม่จำเป็นต้องทำงานตามที่ออกแบบมาเพื่อไว้ ใช่ สิ่งนี้สามารถแก้ไขได้ แต่ทำไมต้องเพิ่มความเสี่ยงนี้

การติดตั้ง DHCP บนเซิร์ฟเวอร์สมาชิกจะลดพื้นผิวการโจมตีของ DC ของคุณ

ฉบับที่ #3 ผลงาน

โดยทั่วไป ฉันเห็นว่าเซิร์ฟเวอร์ DHCP ทำงานอย่างมีประสิทธิภาพมากและไม่ต้องการทรัพยากรระบบจำนวนมาก เช่น CPU หรือหน่วยความจำ

แต่…

สมมติว่าคุณเพิ่งเรียนรู้เกี่ยวกับตัวเลือก DHCP ใหม่ เช่น การตรวจจับข้อขัดแย้ง และคุณได้เปิดใช้งานในทุกขอบเขต

เอ่อ... ตอนนี้การใช้งาน CPU พุ่งสูงขึ้นและบริการโดเมนช้า ผู้ใช้ไม่สามารถเข้าสู่ระบบได้และคำขอ DNS ก็ช้ามาก

บางทีคุณอาจติดตั้ง IPAM เพื่อติดตามที่อยู่ IP ที่มีอยู่ และใช้ CPU และหน่วยความจำ... เป็นการแย่งชิงทรัพยากรจากบริการโดเมนอีกครั้ง

ฉันสามารถพูดต่อได้เรื่อยๆ... โดยชี้ว่ายิ่งคุณติดตั้งซอฟต์แวร์/บริการบนตัวควบคุมโดเมนมากเท่าไรก็ยิ่งส่งผลต่อประสิทธิภาพการทำงานและนำไปสู่การหยุดชะงักในบริการมากขึ้นเท่านั้น

สรุป
ตัวควบคุมโดเมนของคุณเป็นหนึ่งในบริการที่สำคัญที่สุดในสภาพแวดล้อมโดเมน Windows เป็นลูกของคุณและสมควรได้รับบนเซิร์ฟเวอร์ ตัวควบคุมโดเมนคือตัวควบคุมโดเมนคือตัวควบคุมโดเมนคือตัวควบคุมโดเมน ไม่มีอะไรอีกแล้ว.

ใช้ความล้มเหลว DHCP

ความล้มเหลวของ DHCP เป็นคุณสมบัติที่ช่วยให้มั่นใจถึงความพร้อมใช้งานสูงของเซิร์ฟเวอร์ DHCP ด้วยความล้มเหลวของ DHCP เซิร์ฟเวอร์ DHCP สองเครื่องจะแชร์ข้อมูล DHCP เพื่อที่ว่าหากมีเครื่องใดเครื่องหนึ่งล่ม เซิร์ฟเวอร์อื่นยังสามารถให้ DHCP Lease แก่ไคลเอนต์ได้

ตัวเลือกการเฟลโอเวอร์ DHCP มีอยู่ในระบบปฏิบัติการเซิร์ฟเวอร์ Windows รูปภาพด้านล่างแสดงการตั้งค่าเซิร์ฟเวอร์ DHCP สองตัวที่กำหนดค่าด้วยโหมดความล้มเหลวของสมดุลโหลด หากเซิร์ฟเวอร์หนึ่งล้มเหลว เซิร์ฟเวอร์อื่นจะยังคงทำงานอยู่และเข้ารับคำขอ DCHP ทั้งหมด

มีสองตัวเลือกการออกแบบเฟลโอเวอร์:

การออกแบบสแตนด์บายสุดฮอต

เมื่อใช้โหมดสแตนด์บายด่วน เซิร์ฟเวอร์หนึ่งจะเป็นเซิร์ฟเวอร์ที่ใช้งานอยู่ และอีกเซิร์ฟเวอร์หนึ่งจะเป็นสแตนด์บาย เซิร์ฟเวอร์ที่ใช้งานอยู่เป็นเซิร์ฟเวอร์หลักและจัดการคำขอ DHCP ทั้งหมด หากเซิร์ฟเวอร์ที่ใช้งานอยู่หยุดทำงาน เซิร์ฟเวอร์สแตนด์บายจะเข้าควบคุมคำขอ DHCP

ตัวเลือกนี้มักใช้กับหน่วยสแตนด์บายที่อยู่ในตำแหน่งที่แตกต่างจากตัวเครื่องที่ใช้งานอยู่

การออกแบบสมดุลโหลด

ในโหมดโหลดบาลานซ์ เซิร์ฟเวอร์ทั้งสองทำงานในโหมดแอคทีฟ-แอคทีฟเพื่อจัดการคำขอ DHCP คำขอจะมีความสมดุลในการโหลดและแบ่งปันระหว่างเซิร์ฟเวอร์ DHCP ทั้งสองเครื่อง หากเซิร์ฟเวอร์ตัวใดตัวหนึ่งสูญเสียการติดต่อกับพันธมิตรเมื่อเกิดข้อผิดพลาด เซิร์ฟเวอร์จะเริ่มให้สัญญาเช่ากับไคลเอนต์ DHCP ทั้งหมด

สรุป
คุณจะต้องพิจารณาว่าการออกแบบเฟลโอเวอร์แบบใดที่เหมาะกับสภาพแวดล้อมของคุณที่สุด เป็นตัวเลือกในตัวฟรี ดังนั้นจงใช้ประโยชน์จากมันและทำให้เซิร์ฟเวอร์ DHCP ของคุณทนต่อข้อผิดพลาดได้

แหล่งที่มา:

• สถาปัตยกรรมความล้มเหลวของ DHCP

เซิร์ฟเวอร์ส่วนกลางเทียบกับเซิร์ฟเวอร์ DHCP แบบกระจาย

คุณมีเครือข่ายขนาดใหญ่ที่มีสำนักงานสาขาหลายแห่งหรือไม่?

คำถามคือคุณจะติดตั้งเซิร์ฟเวอร์ DHCP ที่สำนักงานสาขาเหล่านี้หรือให้เซิร์ฟเวอร์เหล่านั้นกลับไปยังเซิร์ฟเวอร์ DHCP แบบรวมศูนย์หรือไม่

เซิร์ฟเวอร์ DHCP แบบรวมศูนย์

เซิร์ฟเวอร์ DHCP แบบรวมศูนย์จะถูกวางไว้ในตำแหน่งส่วนกลางที่สำนักงานระยะไกลเชื่อมต่อเพื่อ DHCP โดยทั่วไปจะอยู่ที่ศูนย์ข้อมูลหลักแห่งใดแห่งหนึ่ง ในการออกแบบนี้ไม่มีเซิร์ฟเวอร์ DHCP ในเครื่อง คำขอทั้งหมดจะกลับไปยังเซิร์ฟเวอร์ส่วนกลาง

เซิร์ฟเวอร์ DHCP แบบกระจาย

ในโมเดล DHCP แบบกระจาย จะมีเซิร์ฟเวอร์ DHCP ที่สำนักงานสาขาในพื้นที่ ในโมเดลนี้ ไคลเอนต์จะได้รับที่อยู่ IP จากเซิร์ฟเวอร์ DHCP ในเครื่อง

แล้วตัวเลือกใดดีที่สุด?

คำถามง่ายๆ ข้อเดียวตอบได้ใช่ไหม?

สำนักงานสาขาสามารถทำงานเดี่ยวๆ โดยไม่ต้องเชื่อมต่อกลับไปยังศูนย์ข้อมูลได้หรือไม่ ถ้าใช่ ก็สมเหตุสมผลแล้วที่จะมีเซิร์ฟเวอร์ DHCP และ DNS ในเครื่อง

หากสำนักงานสาขากลับไปยังศูนย์ข้อมูลสำหรับอินเทอร์เน็ต, Active Directory, DNS และอื่นๆ ก็ไม่มีประโยชน์ที่จะวาง DHCP ไว้ภายในเครื่อง

ฉันทำงานให้กับบริษัทที่มีสำนักงานอยู่ทั่วรัฐ และฉันใช้โมเดล DHCP แบบรวมศูนย์ เรามีการเชื่อมต่อที่รวดเร็วและเชื่อถือได้ ดังนั้นจึงเหมาะสมสำหรับเราที่จะใช้เซิร์ฟเวอร์ DHCP แบบรวมศูนย์

สิ่งหนึ่งที่ต้องพิจารณาคือจำนวนพนักงานที่สำนักงานสาขา หากคุณมีสำนักงานสาขาขนาดใหญ่ที่มีพนักงานหลายพันคน การมีทรัพยากรในพื้นที่ เช่น Active Directory, DNS และ DHCP ก็สามารถช่วยได้ นั่นจะเป็นปริมาณการรับส่งข้อมูลจำนวนมากที่ไหลผ่านลิงก์ WAN และหากลิงก์ล่ม พนักงานเหล่านั้นทั้งหมดจะต้องออฟไลน์

สรุป
การเลือกระหว่าง DHCP แบบรวมศูนย์หรือแบบกระจายมักจะได้รับคำตอบด้วยคำถามต่อไปนี้ “สำนักงานสาขาสามารถทำงานโดยไม่ต้องเชื่อมต่อกลับไปยังศูนย์ข้อมูลได้หรือไม่ ขนาดของสำนักงานระยะไกลและความเร็วในการเชื่อมต่อกลับไปยังศูนย์ข้อมูลก็อาจเป็นปัจจัยได้เช่นกัน

แหล่งที่มา:

• โทโพโลยีการปรับใช้หลายไซต์สำหรับ DHCP Failover
• แบบกระจายเทียบกับ DHCP แบบรวมศูนย์

หลีกเลี่ยงการกำหนด IP แบบคงที่และใช้การจอง DHCP

การกำหนดที่อยู่ IP แบบคงที่ให้กับคอมพิวเตอร์ เครื่องพิมพ์ โทรศัพท์ หรืออุปกรณ์ผู้ใช้ปลายทางอื่นๆ ถือเป็นเรื่องยุ่งยาก

นี่คือสิ่งที่เกิดขึ้นเมื่อคุณกำหนดที่อยู่ IP ทางสถิติ

1. Helpdesk จะแทนที่อุปกรณ์ที่ไม่ทราบ IP แบบคงที่
2. ตอนนี้อุปกรณ์ขาดการเชื่อมต่อทั้งหมดหรือบางส่วน
3. Helpdesk ส่งตั๋วไปยังทีมเครือข่ายเพื่อแก้ไขปัญหา
4. ทีมงานเครือข่ายส่งตั๋วกลับไปยังฝ่ายช่วยเหลือด้วย IP แบบคงที่
5. ขณะนี้ฝ่ายช่วยเหลือต้องไปที่อุปกรณ์และกำหนด IP

ฉันเคยตกอยู่ในสถานการณ์ข้างต้นหลายครั้งและอย่างที่ฉันบอกว่ามันเจ็บปวด เพื่อหลีกเลี่ยงสิ่งเหล่านี้ เพียงใช้การจอง DHCP แทนการกำหนด IP แบบคงที่

สำหรับสิ่งใดก็ตามที่ต้องการที่อยู่ IP แบบคงที่ ฉันจะใช้การจอง DHCP ข้อยกเว้นประการหนึ่งคืออุปกรณ์โครงสร้างพื้นฐาน เช่น เราเตอร์และสวิตช์ ซึ่งได้รับ IP แบบคงที่

ภาพหน้าจอของการจอง DHCP สำหรับเครื่องพิมพ์

ด้วยการจอง DHCP สิ่งที่คุณต้องทำคืออัปเดตที่อยู่ MAC เมื่อมีการเปลี่ยนอุปกรณ์และ IP จะถูกกำหนดกลับไปยังอุปกรณ์โดยอัตโนมัติ นอกจากนี้ยังให้มุมมองอย่างรวดเร็วของทุกสิ่งที่ได้รับการกำหนด IP แทนที่จะติดตามทุกสิ่งในสเปรดชีตด้วยตนเอง

แยก IP ออกจากขอบเขต DHCP

เมื่อสร้างขอบเขต DHCP ฉันแนะนำให้ยกเว้นช่วงเล็กๆ สำหรับการกำหนด IP แบบคงที่ ใช่ ฉันรู้ในเคล็ดลับก่อนหน้านี้ว่าอย่าใช้การกำหนดแบบคงที่ แต่คุณจะต้องใช้สำหรับอุปกรณ์โครงสร้างพื้นฐาน

เครือข่ายของคุณจะมีเส้นทางเริ่มต้นที่จะเป็นเราเตอร์ ดังนั้นคุณจึงต้องการให้เส้นทางนั้นแยกออกจากพูล DHCP อย่างแน่นอน คุณอาจพบอุปกรณ์อื่นๆ ที่ต้องใช้ IP แบบคงที่ ดังนั้นจึงเป็นเรื่องดีที่จะมีช่วง IP เล็กๆ ที่แยกออกจากพูล DHCP สำหรับอุปกรณ์เหล่านี้ ตัวอย่างเช่น ฉันเคยเห็นอุปกรณ์แจ้งเตือนและอุปกรณ์รักษาความปลอดภัยต่างๆ ที่ต้องใช้ IP แบบคงที่ ดังนั้นฉันจึงระบุ IP จากช่วงการยกเว้นเท่านั้น

นี่คือภาพหน้าจอของข้อมูลที่ VLAN ที่ใช้สำหรับเวิร์กสเตชันและแล็ปท็อปที่มีการยกเว้น 10.2.10.1 ถึง 10.2.10.10

เรียนรู้คำสั่ง PowerShell DHCP

ไม่มีอะไรผิดปกติกับการใช้คอนโซล DHCP (dhcpmgmt.ms) แต่ PowerShell นั้นยอดเยี่ยมและทำให้งานหลายอย่างง่ายขึ้น หากคุณมีเครือข่ายขนาดใหญ่ที่มีขอบเขต DHCP หลายร้อยขอบเขต การใช้ PowerShell จะช่วยประหยัดเวลาได้มาก

ต่อไปนี้เป็นคำสั่งบางส่วนที่จะช่วยให้คุณเริ่มต้นได้

ติดตั้งบทบาท DHCP

Install-WindowsFeature -IncludeManagementTools DHCP

สำรองเซิร์ฟเวอร์ DHCP

 Backup-DhcpServer -ComputerName "dhcp1.ad.activedirectorypro.com" -Path "C:\Windows\system32\dhcp\backup"

ดูสัญญาเช่า DHCP

Get-DhcpServerv4Scope | Get-DhcpServerv4Lease

ค้นหา DHCP Lease จากที่อยู่ MAC

Get-DhcpServerv4Scope |Get-DhcpServerv4Lease |where {$_.ClientId -like “b4-b6-86-b4-**-**” }

เพิ่มขอบเขต DHCP

Add-DHCPServerv4Scope -EndRange 10.2.1.254 -Name Vlan110 -StartRange 10.2.1.1 -SubnetMask 255.255.255.0 -State Active

รับขอบเขต ipv4 ที่ใช้งานอยู่ทั้งหมด

Get-DHCPServerv4Scope

รับการจอง DHCP ทั้งหมดสำหรับขอบเขต

Get-DHCPServerv4Lease -ScopeId 10.2.1.0

สร้างการจอง DHCP

Get-DhcpServerv4Lease -ComputerName dhcpserver1 -IPAddress 10.2.1.8 | Add-DhcpServerv4Reservation -ComputerName server1

นั่นเป็นเพียงการเริ่มต้นเซิร์ฟเวอร์ในการจัดการ DHCP ด้วย PowerShell ฉันได้เพิ่มลิงก์บางส่วนด้านล่างไปยังแหล่งข้อมูลเพิ่มเติมสำหรับการใช้ Powershell

แหล่งที่มา :

• DhcpServer PowerShell cmdlet
• คำสั่ง PowerShell ของ Active Directory

เครือข่ายย่อยและประโยชน์ของการแบ่งส่วนเครือข่าย

ฉันจะไม่เจาะลึกเรื่องเครือข่ายย่อยเพราะมีทรัพยากรมากมายสำหรับสิ่งนั้น

แต่... การมีความเข้าใจพื้นฐานเกี่ยวกับเครือข่ายเมื่อกำหนดค่าขอบเขต DHCP จะช่วยได้มาก

คุณไม่ต้องการมีพูล DHCP ขนาดใหญ่เพียงกลุ่มเดียวสำหรับอุปกรณ์ทั้งหมดของคุณ คุณควรแบ่งกลุ่มอุปกรณ์ออกเป็นเครือข่ายแยกกัน นอกจากนี้ยังขึ้นอยู่กับขนาดของเครือข่ายของคุณด้วย หากคุณมีเครือข่ายขนาดเล็ก การแบ่งส่วนเครือข่ายก็ไม่สำคัญเท่ากับ

ประโยชน์ของการแบ่งส่วนเครือข่าย

ความปลอดภัย

การเก็บอุปกรณ์ไว้ในเครือข่ายแยกกันทำให้คุณสามารถควบคุมเครือข่ายได้ดีขึ้น เครื่องพิมพ์ของคุณจำเป็นต้องเชื่อมต่ออินเทอร์เน็ตหรือไม่? อาจจะไม่. คอมพิวเตอร์ในแผนกการเงินจำเป็นต้องพูดคุยโดยตรงกับคอมพิวเตอร์ในฝ่ายทรัพยากรบุคคลหรือไม่ การแยกอุปกรณ์ออกเป็นเครือข่ายของตัวเองจะทำให้คุณควบคุมการเข้าถึงได้ดีขึ้นมาก

การจำกัดการเคลื่อนไหวด้านข้างในเครือข่ายอาจทำให้ผู้โจมตีและไวรัสช้าลงได้ สิ่งสำคัญคือต้องเปิดใช้งานไฟร์วอลล์หรือรายการควบคุมการเข้าถึงในระดับเครือข่ายเพื่อจำกัดการเคลื่อนไหวด้านข้างในเครือข่ายของคุณ

ประสิทธิภาพของเครือข่าย

การรวมทุกอย่างไว้ในเครือข่ายขนาดใหญ่เพียงแห่งเดียวจะสร้างโดเมนการออกอากาศขนาดยักษ์ สิ่งนี้สามารถนำไปสู่ปัญหาได้ทุกประเภท เช่น การขยายทรีลูป การออกอากาศ และพายุแบบหลายผู้รับ การแบ่งกลุ่มเครือข่ายของคุณจะแบ่งโดเมนการออกอากาศและลดปัญหาด้านประสิทธิภาพที่อาจเกิดขึ้น

ควบคุมการเข้าถึงของผู้เยี่ยมชม/แขก

คุณไม่ต้องการให้เครือข่ายแขกของคุณสามารถเข้าถึงเครือข่ายที่ปลอดภัยของคุณได้ การแยกการรับส่งข้อมูลนี้ไปยังเครือข่ายของตัวเองทำให้คุณสามารถกรองการรับส่งข้อมูลนี้และบล็อกการเข้าถึงเครือข่ายภายในของคุณได้ ฉันยังใช้เครือข่ายแขกสำหรับอุปกรณ์ประเภท IOT ที่ต้องการเพียงการเชื่อมต่ออินเทอร์เน็ต

ด้านล่างนี้เป็นตัวอย่างของวิธีที่ฉันแบ่งกลุ่มการรับส่งข้อมูลเครือข่าย

• คอมพิวเตอร์=10.2.10.0/24 VLAN 110
• เครื่องพิมพ์=10.2.8.0/24 VLAN 108
• เสียง=10.2.6.0/24 VLAN 106
• การเฝ้าระวังวิดีโอ=10.2.4.0/24 VLAN 104
• เซิร์ฟเวอร์=10.2.2.0/24=VLAN 102
• แขก=10.16.0.0/23=VLAN 116

นอกจากการแบ่งส่วนเครือข่ายแล้ว พยายามทำให้รูปแบบ IP ของคุณเรียบง่ายแล้ว ยังทำให้การจัดการขอบเขต DHCP ง่ายขึ้นอีกด้วย

เคล็ดลับระยะเวลาการเช่า DHCP

การเช่า DHCP คือช่วงเวลาที่เซิร์ฟเวอร์ DHCP กำหนดที่อยู่ IP ให้กับไคลเอ็นต์ เวลาเช่า DHCP เริ่มต้นสำหรับขอบเขต DHCP คือ 8 วัน

เคล็ดลับ #1 เพิ่มเวลาการเช่าสำหรับอุปกรณ์แบบคงที่

สำหรับเครือข่ายขนาดเล็ก คุณสามารถปล่อยให้เวลาเช่าเป็นการตั้งค่าเริ่มต้นที่ 8 ชั่วโมงได้

สำหรับเครือข่ายขนาดใหญ่ ให้พิจารณาเปลี่ยนขอบเขต DHCP สำหรับอุปกรณ์ประจำที่ (เวิร์กสเตชัน) เป็น 16 วัน ซึ่งสามารถลดการรับส่งข้อมูลเครือข่ายที่เกี่ยวข้องกับ DHCP เวิร์กสเตชันไม่ได้เคลื่อนที่บ่อยนัก ดังนั้นจึงไม่จำเป็นต้องผ่านขั้นตอน DHCP ทั้งหมดบ่อยนักเพื่อรับที่อยู่ IP

เคล็ดลับ #2 ลดเวลาการเช่าสำหรับอุปกรณ์เคลื่อนที่/แขก

หากคุณให้บริการ wifi สำหรับแขก ขอบเขต DHCP เหล่านี้อาจทำให้ IP ที่มีอยู่หมดลงอย่างรวดเร็ว อุปกรณ์เหล่านี้มักต้องการการเข้าถึงชั่วคราว เช่น ไม่กี่ชั่วโมง สำหรับขอบเขตเหล่านี้ ให้พิจารณาปรับเวลาเช่า DHCP เป็น 1 ชั่วโมง หากอุปกรณ์ยังคงใช้งานอยู่ อุปกรณ์จะต่ออายุ แต่หากอุปกรณ์ตัดการเชื่อมต่อ จะทำให้ที่อยู่ IP ว่าง สิ่งนี้จะช่วยในเรื่อง IP ที่มีอยู่ในขอบเขตแขกของคุณ

นี่อาจเป็นกรณีของอุปกรณ์พกพาก็ได้ แต่อันนี้อาจยุ่งยากแม้ว่าจะมีผู้ใช้แล็ปท็อปเพิ่มมากขึ้นก็ตาม ค่าเริ่มต้น 8 วันอาจเพียงพอ แต่หากคุณทราบว่าอุปกรณ์เคลื่อนที่เคลื่อนที่บ่อย คุณอาจพิจารณาลดเวลาการเช่าลง

สรุป
หากคุณมีขอบเขต DHCP ที่ให้บริการอุปกรณ์เฉพาะ เช่น เวิร์กสเตชันเท่านั้น ให้พิจารณาปรับเวลาเช่า DHCP

ใช้การตรวจจับข้อขัดแย้งของ IP เมื่อจำเป็นเท่านั้น

เมื่ออุปกรณ์สองเครื่องบน LAN เดียวกันมีที่อยู่ IP เดียวกัน ที่อยู่ IP จะขัดแย้งกัน สิ่งนี้ทำให้อุปกรณ์หนึ่งหรือทั้งสองเครื่องมีปัญหาในการสื่อสารบนเครือข่าย

เซิร์ฟเวอร์ DHCP มีตัวเลือกเพื่อช่วยลดข้อขัดแย้งด้าน IP ตัวเลือกการตรวจจับข้อขัดแย้งบนเซิร์ฟเวอร์ DHCP จะตรวจสอบก่อนว่ามีการใช้งาน IP หรือไม่ก่อนที่จะกำหนดให้กับอุปกรณ์

ตามค่าเริ่มต้น สิ่งนี้จะถูกปิดใช้งานบนขอบเขต DHCP ทั้งหมด

คำแนะนำของ Microsoft คือการใช้สิ่งนี้เมื่อจำเป็นเท่านั้น อย่าเปิดใช้งานสิ่งนี้ในทุกขอบเขต หากคุณอยู่ห่างจากการกำหนด IP แบบคงที่ คุณก็อาจจะไม่จำเป็นต้องเปิดการทำงานนี้อีก

หากคุณเปิดการตั้งค่านี้ ความพยายามในการตรวจจับจะเป็น 1 หรือ 2

แหล่งที่มา:

• แนวทางปฏิบัติที่ดีที่สุดของ Microsoft DHCP

เรียกใช้ตัววิเคราะห์วิธีปฏิบัติที่ดีที่สุดของ DHCP

ตัววิเคราะห์แนวทางปฏิบัติที่ดีที่สุดของ Microsoft คือเครื่องมือที่ตรวจสอบการกำหนดค่า DHCP เทียบกับแนวทางของ Microsoft ตัววิเคราะห์แนวทางปฏิบัติที่ดีที่สุดมีอยู่ใน Windows Server และมีอยู่ในเครื่องมือการจัดการเซิร์ฟเวอร์

ขั้นตอนการรันเครื่องมือ

ขั้นตอนที่ 1: เปิดตัวจัดการเซิร์ฟเวอร์

ขั้นตอนที่ 2: คลิกที่ DHCP

ขั้นตอนที่ 3: เริ่มการสแกน BPA

ผลลัพธ์จะแสดงเมื่อการสแกนเสร็จสิ้น

เครื่องสแกน BPA ควรช่วยค้นหาการกำหนดค่าพื้นฐานที่ไม่ถูกต้อง ตรวจสอบผลลัพธ์ของคุณและทำการเปลี่ยนแปลงใดๆ ที่คุณรู้สึกว่าจำเป็นต่อสภาพแวดล้อมของคุณ

เอกสารที่อยู่ IP หรือ IPAM ของเรา

บันทึกโครงร่าง IP, VLAN และการกำหนด IP แบบคงที่ของคุณ

สำหรับเครือข่ายขนาดเล็ก สเปรดชีต Excel อาจเพียงพอ

สำหรับเครือข่ายขนาดใหญ่ ฉันขอแนะนำเครื่องมือการจัดการที่อยู่ IP ฉันใช้สเปรดชีต Excel เป็นเวลาหลายปีและเมื่อเครือข่ายเติบโตขึ้น สเปรดชีตก็กลายเป็นฝันร้าย ในที่สุดฉันก็ย้ายสเปรดชีตทั้งหมดไปที่ SolarWinds IP Address Tracker และไม่ต้องกังวลกับการจัดการ IP อีกต่อไป SolarWinds IPAM ดูแลทุกอย่างให้ฉัน และที่สำคัญที่สุดคือฉันสามารถค้นหาฐานข้อมูลทั้งหมดได้อย่างรวดเร็ว

ประโยชน์ของ IPAM

• การติดตามที่อยู่ IP อัตโนมัติ
• สามารถทำงานร่วมกับ DHCP/DNS เพื่อติดตามการใช้งานขอบเขต dhcp
• การแจ้งเตือนและรายงานการใช้ขอบเขต
• ค้นหาที่อยู่ IP ความคิดเห็น ชื่อโฮสต์ ฯลฯ เป็นเรื่องดีที่สามารถค้นหาด้วยคำสำคัญได้อย่างรวดเร็วเพื่อดูว่าที่อยู่ IP ของอุปกรณ์นั้นคืออะไร

ดาวน์โหลดทดลองใช้ฟรี 30 วัน

ตั้งค่าตัวเลือกเซิร์ฟเวอร์ DHCP

ตัวเลือกขอบเขต DHCP ช่วยให้คุณสามารถกำหนดการตั้งค่า TCP/IP เพิ่มเติมบนอุปกรณ์ไคลเอนต์ได้โดยอัตโนมัติ

ตัวเลือก DHCP สามารถกำหนดค่าได้สองระดับที่แตกต่างกัน ที่เซิร์ฟเวอร์หรือต่อขอบเขต DHCP แต่ละขอบเขต

ฉันชอบแต่ละขอบเขตมากกว่า มันใช้งานได้มากกว่า แต่ฉันอาจมีขอบเขต เช่น wifi สำหรับแขก ที่ฉันไม่ต้องการใช้ DNS ภายใน บางครั้งโทรศัพท์ VOIP ต้องการตัวเลือกพิเศษในการกำหนดค่าและฉันไม่ต้องการสิ่งนั้นในระดับเซิร์ฟเวอร์

ตัวเลือกที่ใช้บ่อยที่สุดคือ:

003 เราเตอร์

006 เซิร์ฟเวอร์ DNS

015 ชื่อโดเมน DNS

ใช้ประโยชน์จากตัวเลือกขอบเขตเพื่อให้คุณสามารถกำหนดการตั้งค่า IP บนอุปกรณ์ทั้งหมดได้โดยอัตโนมัติ

ตัวแทนรีเลย์ DHCP

หากคุณมีเซิร์ฟเวอร์ DHCP แบบรวมศูนย์ที่มีหลายเครือข่าย คุณจะต้องใช้ตัวแทนการถ่ายทอด DHCP

ข้อความ DHCP จะถูกออกอากาศและเราเตอร์จะไม่ส่งต่อแพ็กเก็ตการออกอากาศ เพื่อแก้ไขปัญหานี้ คุณสามารถเปิดใช้งานฟังก์ชันตัวแทนการถ่ายทอด DHCP บนเราเตอร์/สวิตช์ของคุณเพื่ออนุญาตให้แพ็กเก็ตการออกอากาศ DHCP เข้าถึงอุปกรณ์ได้

คุณจะต้องตรวจสอบกับเอกสารประกอบของเราเตอร์ของคุณเพื่อดูคำสั่งในการเปิดใช้งานรีเลย์เอเจนต์

แหล่งที่มา:

• ตัวแทนรีเลย์ DHCP ของ Cisco Configyure
• HP กำหนดค่ารีเลย์ DHCP

ป้องกันเซิร์ฟเวอร์ Rogue DHCP

คุณเคยมีผู้ใช้หรือใครบางคนในแผนกไอทีของคุณเองเสียบสวิตช์/เราเตอร์เข้ากับพอร์ตที่มีอยู่บนผนังหรือไม่? จากนั้นโทรศัพท์โปรแกรมช่วยเหลือก็เริ่มระเบิดเนื่องจากผู้ใช้ไม่สามารถเชื่อมต่ออินเทอร์เน็ตหรือทรัพยากรอื่นๆ ได้

เซิร์ฟเวอร์ Rogue DHCP เป็นเรื่องที่น่าปวดหัว นอกจากนี้ ยังอาจเป็นความเสี่ยงด้านความปลอดภัยและใช้สำหรับการโจมตีต่างๆ

วิธีที่ดีที่สุดในการบล็อกเซิร์ฟเวอร์ DHCP อันธพาลคือที่สวิตช์เครือข่าย ซึ่งสามารถทำได้ด้วยตัวเลือกที่เรียกว่า DHCP snooping หรือการเข้าถึงเครือข่ายตามพอร์ต 802.1x

การสอดแนม DHCP

การสอดแนม DHCP เป็นคุณสมบัติสวิตช์เลเยอร์ 2 ที่บล็อกเซิร์ฟเวอร์ DHCP ที่ไม่ได้รับอนุญาต (โกง) ไม่ให้ส่งที่อยู่ IP ไปยังอุปกรณ์

DHCP ทำงานโดยการจัดหมวดหมู่สวิตช์พอร์ตเป็นพอร์ตที่เชื่อถือได้หรือไม่น่าเชื่อถือ พอร์ตที่เชื่อถือได้อนุญาตให้ข้อความ DHCP พอร์ตที่ไม่น่าเชื่อถือบล็อกข้อความ DHCP

คุณต้องการให้อุปกรณ์ของคุณ (คอมพิวเตอร์ เครื่องพิมพ์ โทรศัพท์) บนพอร์ตที่ไม่น่าเชื่อถือ เพื่อไม่ให้เซิร์ฟเวอร์ DHCP อันธพาลไม่สามารถเสียบปลั๊กได้

การเข้าถึงเครือข่ายด้วยพอร์ต 802.1x

802.1x เป็นมาตรฐาน IEEE สำหรับการควบคุมการเข้าถึงเครือข่ายโดยใช้พอร์ต เป็นกลไกที่สามารถกำหนดให้อุปกรณ์ตรวจสอบสิทธิ์ก่อนที่จะให้การเข้าถึงเครือข่าย

มันไม่เพียงดีสำหรับเซิร์ฟเวอร์ DHCP อันธพาลเท่านั้น แต่ยังสำหรับควบคุมการเข้าถึงเครือข่ายทุกอย่างอีกด้วย

โดยทั่วไป 802.1x จะได้รับการกำหนดค่าที่ระดับสวิตช์ และต้องใช้ไคลเอ็นต์และเซิร์ฟเวอร์การตรวจสอบความถูกต้อง

สำรองเซิร์ฟเวอร์ DHCP

เซิร์ฟเวอร์ DHCP ของคุณมีความสำคัญอย่างยิ่งต่อการจัดหาการตั้งค่า IP ให้กับลูกค้าของคุณ ในกรณีที่ระบบขัดข้อง คุณจะต้องกู้คืนเซิร์ฟเวอร์นี้โดยเร็วที่สุด

คุณรู้หรือไม่โดยค่าเริ่มต้น Windows จะสำรองข้อมูลการกำหนดค่า DHCP ทุกๆ 60 นาทีไปยังโฟลเดอร์นี้ %SystemRoot%System32\DHCP\backup

นี่เป็นสิ่งที่ดีแต่คุณจะไม่มีประโยชน์อะไรหากเซิร์ฟเวอร์ล่มและคุณไม่สามารถเข้าถึงโฟลเดอร์ได้

หากคุณไม่มีการจำลองแบบนอกสถานที่ คุณจะต้องคัดลอกโฟลเดอร์สำรองไปยังตำแหน่งอื่นตามกำหนดเวลาปกติ

ซึ่งสามารถทำได้ด้วยสคริปต์ที่คัดลอกโฟลเดอร์ไปยังตำแหน่งอื่นหรือใช้ PowerShell เพื่อระบุตำแหน่งระยะไกล

สำรองข้อมูล-DhcpServer - ชื่อคอมพิวเตอร์ "DC01" - เส้นทาง "C:\DHCPBackup"

คุณสามารถอ่านเพิ่มเติมเกี่ยวกับเรื่องนี้ได้ในบทความของฉัน สำรองและกู้คืน Windows DHCP Server

การกรองที่อยู่ MAC ของ DHCP

คุณสมบัติการกรองที่อยู่ MAC ของ DHCP ช่วยให้คุณสามารถบล็อกหรืออนุญาตการกำหนดที่อยู่ IP ตามที่อยู่ MAC

สิ่งนี้มีประโยชน์หากคุณต้องการให้ขอบเขต DHCP ระบุที่อยู่ IP ให้กับรายการอุปกรณ์ที่ชัดเจน นอกจากนี้ยังมีประโยชน์หากคุณมีอุปกรณ์ที่ไม่ต้องการบน VLAN ที่ได้รับที่อยู่ IP

ตัวอย่างเช่น คุณมีผู้ใช้วางอุปกรณ์ BYOD บน VLAN ที่ปลอดภัยของคุณ คุณสามารถเพิ่มอุปกรณ์เหล่านี้ลงในตัวกรองการปฏิเสธได้ การกรอง DHCP MAC เป็นวิธีที่ง่ายและรวดเร็วในการควบคุมการเข้าถึงเครือข่าย หากคุณมีเวลาและทรัพยากร ตัวเลือกที่ดีกว่าคือการใช้ 802.1x

บทสรุป

ฉันใช้เคล็ดลับเหล่านี้มาหลายปีแล้วในการจัดการเซิร์ฟเวอร์ DHCP เมื่อกำหนดค่าอย่างถูกต้อง DHCP สามารถตั้งค่าและลืมเซิร์ฟเวอร์ที่มีปัญหาเพียงเล็กน้อยหรือไม่มีเลย ฉันหวังว่าคุณจะพบว่าเคล็ดลับเหล่านี้มีประโยชน์ และโปรดโพสต์เคล็ดลับ DHCP หรือแนวทางปฏิบัติที่ดีที่สุดที่คุณมีในความคิดเห็นด้านล่าง