DHCP : DORA, étendues, options et relais DHCP

Le DHCP (Dynamic Host Configuration Protocol) attribue automatiquement à chaque appareil qui se branche son adresse IP, son masque, sa passerelle, ses serveurs DNS et d'autres réglages, pour une durée limitée appelée bail. L'échange tient en quatre messages, Discover, Offer, Request et Acknowledge, d'où son surnom DORA. Ce chapitre détaille le protocole, les étendues et les options, le relais qui permet à un seul serveur de servir tous les VLAN, la répartition des rôles entre le DHCP de l'annuaire et celui de pfSense, et la sécurité du service.

Les messages DHCP

Le DHCP fonctionne en UDP : le serveur écoute sur le port 67, le client sur le port 68. Au départ, le client n'a pas d'adresse et ne connaît pas le serveur : il parle en diffusion, avec l'adresse source 0.0.0.0 et la destination 255.255.255.255.

DORA à travers un relais

Chez Sorbier, le poste de Julie est dans le VLAN 10 et le serveur DHCP srv-ad dans le VLAN 20. Une diffusion ne traverse pas un routeur : sans aide, le DISCOVER de Julie n'arriverait jamais au serveur. Le commutateur de cœur SW-COEUR, qui route entre les VLAN, joue le rôle de relais DHCP (DHCP relay agent).

Le relais fait trois choses :

1. Il capte la diffusion sur son interface du VLAN 10.
2. Il la retransmet en unicast au serveur configuré, de son port UDP 67 vers le port UDP 67 du serveur.
3. Il écrit dans le champ giaddr (gateway IP address) du message l'adresse de son interface de réception, 192.168.10.126. C'est grâce à ce champ que le serveur sait de quel réseau vient la demande, et qu'il choisit l'étendue qui contient cette adresse : 192.168.10.64/26.

Le serveur répond au relais, qui transmet au client. Le relais peut aussi ajouter l'option 82 (Relay Agent Information) : l'identifiant du switch et du port d'où vient la demande. Le serveur peut s'en servir pour ses décisions, et l'administrateur pour retrouver où est branché un appareil.

Le relais sur un switch de niveau 3 ou sur pfSense

Sur SW-COEUR, un Catalyst qui route les VLAN internes, une commande par interface VLAN suffit (Routage et commutation) :

SW-COEUR(config)# interface Vlan10
SW-COEUR(config-if)# ip helper-address 192.168.10.177
SW-COEUR(config-if)# ip helper-address 192.168.10.181
SW-COEUR(config-if)# exit
SW-COEUR(config)# interface Vlan30
SW-COEUR(config-if)# ip helper-address 192.168.10.177
SW-COEUR(config-if)# ip helper-address 192.168.10.181

Les deux adresses correspondent aux deux serveurs DHCP en basculement : le relais envoie la demande aux deux. Rien à faire sur l'interface Vlan20 : le serveur y reçoit les diffusions directement.

Dans l'architecture où pfSense route lui-même tous les VLAN (Cybersécurité des infrastructures ; le cours pfSense détaille relais et serveur DHCP), c'est lui qui relaie, dans Services > DHCP Relay :

Qui distribue quoi chez Sorbier

Chez Sorbier, la règle est simple : le DHCP de l'annuaire sert tout le réseau interne, et pfSense ne distribue des adresses que là où l'annuaire n'a rien à faire.

Les serveurs, les équipements d'administration et la DMZ ont des adresses fixes, notées dans le plan d'adressage : un serveur dont l'adresse dépendrait d'un bail deviendrait injoignable à la moindre panne du DHCP. Les appareils qui doivent garder la même adresse sans être configurés à la main (imprimantes, bornes) reçoivent une réservation.

La création des étendues, des exclusions, des réservations et du basculement entre srv-ad et srv-ad2, en console et en PowerShell, est détaillée dans le cours Windows Server, au chapitre DNS et DHCP.

Étendue, plage, exclusion, réservation

La différence entre adresse fixe et réservation compte : l'appareil réservé reste client DHCP. Si tu changes de serveur DNS, il reçoit la nouvelle option au renouvellement de son bail ; un appareil configuré à la main devra être reconfiguré un par un.

Les options DHCP

Les options se définissent à plusieurs niveaux, du plus général au plus précis : serveur, étendue, réservation (et, sous Windows, stratégies qui ciblent une classe d'appareils). Quand une même option est définie à deux niveaux, le plus précis gagne. On met donc au niveau du serveur ce qui est commun à tous (DNS, nom de domaine), au niveau de l'étendue ce qui change d'un réseau à l'autre (passerelle), et au niveau de la réservation les exceptions.

Le cycle de vie d'un bail

Un bail n'est pas acquis pour toujours : le client doit le renouveler.

Avec un bail de 8 jours, le poste de Julie renouvelle au bout de 4 jours (T1) et, sans réponse, tente un autre serveur au bout de 7 jours (T2). C'est pourquoi une panne d'un jour du DHCP passe inaperçue pour les postes déjà allumés, alors que les postes qui arrivent ne reçoivent rien.

Le choix de la durée :

• long (8 jours, le défaut de Windows) pour des postes fixes : peu de trafic, et une marge confortable en cas de panne ;
• court (1 à 2 heures) pour un réseau visiteurs, où les appareils passent sans revenir : sans cela, la plage se remplit de baux d'appareils partis depuis longtemps ;
• raccourci temporairement avant un changement de plan d'adressage, pour que tous les postes prennent la nouvelle configuration rapidement.

Le DHCP des invités sur pfSense

Le Wi-Fi invité de Sorbier (VLAN 40) est servi par pfSense, dans Services > DHCP Server, onglet de l'interface VISITEURS. pfSense propose deux moteurs DHCP, choisis dans System > Advanced > Networking, champ Server Backend : Kea, le moteur actuel, et ISC DHCP, déprécié par Netgate et appelé à disparaître des futures versions.

Le réseau des invités ne reçoit aucune option qui mène à l'intérieur : ni DNS de l'annuaire, ni nom de domaine interne. Les règles du pare-feu sur l'interface VISITEURS n'autorisent que le DNS et le DHCP vers le pare-feu, puis Internet.

Et sous Linux ? Kea

Sous Linux, le serveur historique ISC DHCP (isc-dhcp-server) n'est plus maintenu par son éditeur depuis 2022 : il est encore dans Debian 13, mais tu ne dois plus le choisir pour une installation neuve. Son successeur, du même éditeur, est Kea (paquet kea-dhcp4-server, version 2.6 dans Debian 13), configuré en JSON. Pour une maquette sans Windows, la même étendue des invités s'écrit ainsi dans /etc/kea/kea-dhcp4.conf :

{
  "Dhcp4": {
    "interfaces-config": { "interfaces": [ "ens18" ] },
    "lease-database": { "type": "memfile", "persist": true, "name": "/var/lib/kea/kea-leases4.csv" },
    "valid-lifetime": 7200,
    "subnet4": [
      {
        "id": 40,
        "subnet": "192.168.10.0/26",
        "pools": [ { "pool": "192.168.10.1 - 192.168.10.61" } ],
        "option-data": [
          { "name": "routers", "data": "192.168.10.62" },
          { "name": "domain-name-servers", "data": "192.168.10.62" }
        ],
        "reservations": [
          { "hw-address": "00:1b:a9:4c:21:80", "ip-address": "192.168.10.50", "hostname": "borne-accueil" }
        ]
      }
    ]
  }
}

sudo kea-dhcp4 -t /etc/kea/kea-dhcp4.conf     # vérifier la configuration
sudo systemctl restart kea-dhcp4-server

Les noms des options sont les mêmes partout, seule l'écriture change : routers est l'option 003, domain-name-servers l'option 006.

La sécurité du DHCP

Le DHCP n'authentifie personne : n'importe quel appareil peut demander une adresse, et n'importe quel appareil peut répondre aux demandes.

La configuration de la surveillance DHCP sur les switchs est décrite dans Cybersécurité des infrastructures. Pense aussi aux journaux : le journal d'audit du DHCP Windows (C:\Windows\System32\dhcp\DhcpSrvLog-<Jour>.log) dit quelle adresse MAC avait quelle adresse IP à quelle heure, une information décisive lors d'une enquête sur un incident.

Exercices