Debian DHCP防攻击配置方法

在 Debian 操作系统中，DHCP 服务部署最常选用经典的 ISC DHCP Server（即 isc-dhcp-server 软件包）。然而，一旦 DHCP 被攻击者利用，轻则导致地址池枯竭，重则整个网络面临劫持风险。那么，如何在搭建 DHCP 服务的同时实现全面的安全加固？以下步骤能够有效封堵常见的攻击路径。

首先，DHCP 服务器自身的配置构成了第一道防线。安装过程非常简洁：

sudo apt update
sudo apt install isc-dhcp-server

核心在于主配置文件 /etc/dhcp/dhcpd.conf 的精细调整。在此文件中，你可以限制租约时间、启用特定的 DHCP 选项，甚至通过访问控制列表（ACL）限定哪些客户端能够获取地址。例如，将租约时间设短一些，能减少恶意租约的长期占用；或者仅允许已知 MAC 地址的客户端请求——这些配置层面的操作就能有效遏制攻击。

仅配置服务器仍不足，防火墙规则必须同步开放。DHCP 依赖 UDP 的 67 和 68 端口，如果系统使用 ufw，直接放行：

sudo ufw allow 67/udp
sudo ufw allow 68/udp

若使用 iptables，对应的规则为：

sudo iptables -A INPUT -p udp --dport 67 -j ACCEPT
sudo iptables -A INPUT -p udp --sport 68 -j ACCEPT

简而言之，确保 DHCP 的请求与响应数据包不会被防火墙误拦截，保障通信畅通。

接下来是网络设备层面的关键防御机制——DHCP Snooping。该功能通常在交换机上启用，它仅允许信任的 DHCP 服务器（通常是上联端口的那台）响应客户端请求，其他冒充的 DHCP 服务器发出的应答包一律丢弃。借助 DHCP Snooping，恶意 DHCP 服务器想要实施“中间人”攻击便难上加难。

当然，服务器本身的系统安全防护同样不可忽视。以下推荐做法：

• 使用强密码，配置 SSH 密钥认证，禁止 root 用户直接 SSH 登录。编辑 /etc/ssh/sshd_config，将 PermitRootLogin 设为 no 或 prohibit-password，然后创建普通用户并加入 sudo 组进行管理。
• 保持系统更新——定期执行 sudo apt update && sudo apt upgrade，确保所有安全补丁及时就位。
• 日志监控不可或缺。重点关注 /var/log/syslog 和 /var/lib/dhcp/dhcpd.leases，检查是否存在异常 IP 分配记录，例如短时间大量租约请求，或从未见过的 MAC 地址频繁索取 IP。

以上措施组合起来，Debian 系统上的 DHCP 服务基本能够处于相对安全的状态。总之，安全并非依赖单一工具，而是配置、网络与系统三管齐下，协同防护的结果。