DHCP：修改IP位址衝突檢測值

https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/ee941125(v=ws.10)

DHCP: IP address conflict detection should have a value of less than 4

設置衝突檢測嘗試時, DHCP伺服器使用ping測試可用範圍IP位址, 然後將這些地址包含在DHCP租賃提供給客戶端中

ping成功意味著網路上正在使用IP位址, DHCP伺服器不提供位址租賃給客戶端, 如果ping請求失敗並超時, 則IP位址不在網路上使用, 在這種情況下DHCP伺服器將提供位址租賃給客戶端

每次額外的衝突檢測嘗試都會在等待ping請求超時的同時將DHCP伺服器回應延遲一秒, 這會增加伺服器的負載

Administrators或DHCP Administrators的成員身份是完成此過程所需的最低要求

示範 IPAM 管理 DHCP

1. 在 IPAM管理畫面, 左邊點選 DNS和 DHCP伺服器, 畫面中選擇某一 DHCP伺服器, 滑鼠右鍵選擇建立 DHCP領域(以下步驟皆為管理者身分操作)w-studio.idv.tw

2. 在建立 DHCP領域的畫面中, 輸入領域名稱、IP開始及結束位址

示範 IPAM 存取角色、領域及原則的管理

以管理 DHCP伺服器為例, 在 Server3的 DHCP伺服器中預先建立三個領域:

台北領域: IP: 192.168.10.2-192.168.10.254 (GW:192.168.10.1)

台中領域: IP: 192.168.20.2-192.168.20.254 (GW:192.168.20.1)

高雄領域: IP: 192.168.30.2-192.168.30.254 (GW:192.168.30.1)

w-studio.idv.tw

1. 在 IPAM控制畫面中, 點選左邊存取控制, 再於下方存取領域滑鼠右鍵新增存取領域

2. 新增領域的畫面中, 按下新增鈕

測試 IPv6 ISATAP 通道

ISATAP (Intra-Site Automatic Tunnel Addressing Protocol) 是一種IPv6轉換傳送機制, 允許IPv6封包通過IPv4網路上節點傳輸

不同於6over4, ISATAP視IPv4網路為一個非廣播多路由存取網路的資料鏈結層, 因此它不需要底層的IPv4網路基礎設備來支援多播


由於 DHCP 剛好設定好 IPv6, 所以就來測試 ISATAP 通道, isatap通道的特色就是, 將 IPv4 的 IP 包在 IPv6 的 IP 裡, 而且當中包含 5efe 的 Subnet ID

準備環境:
。ADDS/DHCP伺服器: IP: 192.168.0.1/24 , 不設定預設閘道, DNS: 192.168.0.1
。用戶端主機: IP: 192.168.0.10/24 , 預設閘道: 192.168.0.1, DNS: 192.168.0.1

1. 於作為 isatap 路由器的主機上(此示範是設定於DHCP伺服器上, 正常來說應該另外再建立一台純路由器來作 isatap ), 輸入指令刪除從預設的全域查詢封鎖列表中的ISATAP

於DHCP Server上試作 IPv6 (DHCPv6)

DHCP 可以使用 IPv4, 當然也可以使用 IPv6, 設定過程也很簡單

1. 首先確認要作為 IPv6 DHCP 伺服器的主機上建立一組 IPv6 Unique local 固定 IP, 例如 FD00::1

2. 查看 DHCP 伺服器上網路設定 (因為要把這台主機暫時當作路由器做後面的isatap測試, 所以沒設定預設閘道)

DHCP的維護及管理

DHCP的安全:
因DHCP用戶端是不需要身分驗證就能取得IP, 所以要確認只有允許的用戶端才能使用
1. 限制網路存取: 例網路孔管制、網路卡位址管制、IEEE 802.1X身份驗證、WiFi身分驗證
2. 啟用DHCP審核日誌記錄追蹤使用情況
3. DHCP名稱保護: 使用DHCID防止Windows系統DNS名稱註冊被使用相同名稱的非Windows系統覆蓋
4. 設定進階DHCP選項(原則): 廠商類別、使用者類別、MAC位址、用戶端識別元、完整網域名稱、轉送代理資訊

DHCP名稱保護, 於領域項目上按滑鼠右鍵叫出內容, 再點擊DNS標籤, 按下名稱保護設定按鈕

DHCP高可用性: 2-DHCP叢集與容錯移轉 Cluster, Failover

DHCP叢集:
叢集成員都將安裝具有相同範圍的DHCP伺服器, DHCP的設定儲存在共享儲存設備上, 如果一個叢集成員發生故障, 另一個叢集成員將檢測到該故障並啟動DHCP服務

DHCP容錯移轉:
。啟用兩個DHCP伺服器, 在相同的子網或範圍提供IP位址和選項設定
。要求容錯移轉關係具有唯一名稱
。支持熱待命模式和負載平衡模式
(熱待命模式最適用於災難恢復站點位於不同位置的部署)
(負載平衡模式為預設模式, 兩台DHCP同時提供IP)

要設定DHCP容錯移轉需要在兩個DHCP伺服器之間建立容錯移轉關係, 還必須為此關係指定一個唯一的名稱, 容錯移轉合作夥伴在設定期間交換此名稱, 這使得單一DHCP伺服器與其他DHCP伺服器具有多個容錯移轉關係, 只要它們都具有唯一名稱即可

執行DHCP容錯移轉時:
。MCLT(Maximum Client Lead Time)確定容錯移轉夥伴何時控制子網或IP範圍
。自動狀態切換間隔確定何時認為容錯移轉夥伴已關閉
。訊息驗證可以驗證容錯移轉訊息
。在DHCP安裝期間自動設定防火牆規則