[发明专利]一种DHCP的IP地址安全配置方法

说明书

技术领域

本发明涉及网络信息安全领域，尤其是涉及一种DHCP的IP地址安全配置方法。

背景技术

动态主机设置协议(Dynamic Host Configuration Protocol，DHCP)是一种适用于局域网的网络协议，在传输层使用UDP协议工作，主要有两个用途：

1、给内部网络用户自动分配IP地址；

2、作为网络管理员集中管理内网计算机的一种手段。

在IP网络中，每个连接Internet的设备都需要分配唯一的IP地址。DHCP使网络管理员能从中心结点监控和分配IP地址。当某台计算机移到网络中的其它位置时，能自动收到新的IP地址。

目前酒店、商场等开放性的网络环境一般都依赖于DHCP服务来分配IP地址的网络，如果网络中出现非法的DHCP服务器，会给整个网络带来严重的影响，这种影响包括客户机不能正确获得IP地址，从而无法正常连接网络，也包括由于客户机获得人为伪造的非法IP地址配置，而导致的各种安全隐患(如网关伪造，DNS域名服务器伪造等)。上述问题通过现有的技术手段很难得到有效的解决：

1、非法DHCP服务器的接入，无法用技术手段从更本上来避免，而只能通过加强人工管理来缓解；

2、基于DHCP协议的固有属性(广播、明文传输)，恶意软件可以很容易的截获、篡改、伪造DHCP数据包，从而影响、控制客户机的网络配置；

3、只要非法的DHCP数据包符合DHCP协议，客户机将无法识别：目前主流的DHCP客户端实现，基本上采用先到先得的原则选择DHCP OFFER，这种方式没有任何安全保证；而且某些DHCP客户端实现，可以根据DHCP OFFER中的内容进行一定的筛选，比如指定DHCP服务器的IP地址。在这种情况下，恶意DHCP服务器依然可以对其它不被筛选的内容进行篡改，发送伪造的数据包。

发明内容

本发明的目的就是为了克服上述现有技术存在的缺陷而提供一种安全性高的DHCP的IP地址配置方法。

本发明的目的可以通过以下技术方案来实现：

一种DHCP的IP地址安全配置方法，该方法包括以下步骤：

1)在DHCP服务器发送的报文中增加一自定义选项；

2)当DHCP服务器发送DHCP OFFER报文时对其进行数字签名，并将该数字签名写入自定义选项中，一起发送至客户机；

3)客户机在接收到DHCP OFFER报文时检查数据签名，通过数据签名筛选出合法的DHCP OFFER报文，并进行后续配置流程，完成IP地址配置。

该方法中DHCP报文的收发流程具体包括以下步骤：

(a)客户机维护一个变量Selected-OFFER，用于存储一个当前选中的DHCP OFFER报文；

(b)客户机向DHCP服务器发出DHCP DISCOVER报文，并启动定时器，并清空变量Selected-OFFER；

(c)客户机等待接收来自DHCP服务器应答的DHCP OFFER报文；

(d)若在定时器时效内未收到DHCP OFFER报文，则执行步骤(i)，若在定时器时效内，如果收到DHCP OFFER报文，则执行步骤(e)；

(e)检查DHCP OFFER报文中是否包含数字签名；若为否，则执行步骤(h)；若为是，则执行步骤(f)；

(f)检查DHCP OFFER报文中的数字签名，若数字签名错误，丢弃此DHCPOFFER报文，返回步骤(c)；若数字签名正确，则执行步骤(g)；

(g)接受该DHCP OFFER报文，并将其设置为变量Selected-OFFER，同时停止定时器，结束DHCP OFFER报文的筛选，并进行后续配置流程；

(h)若此时变量Selected-OFFER为空，则将该DHCP OFFER报文设置为变量Selected-OFFER，然后返回步骤(c)；若此时变量Selected-OFFER不为空，则丢弃此DHCP OFFER，然后返回步骤(c)；

(i)检查变量Selected-OFFER是否为空，若为空，则IP地址配置失败，退出；若变量Selected-OFFER不为空，则根据变量Selected-OFFER内的DHCP OFFER报文进行后续配置流程。

所述的后续配置流程为：客户机处理DHCP OFFER报文并向DHCP服务器发送DHCP REQUEST报文，DHCP服务器在收到DHCP REQUEST报文后，响应一个DHCP ACK报文给客户机完成IP地址配置。