DHCP Server Option 60的配置

config t

近期由于在社区宽带网络环境,建设基于Microsoft MediaRoom,并使用Motorola机盒,1080P高清电影项目,机顶盒使用DHCP Option 60 防止非机顶盒客户端获取合法ip,实施一系列配置,在网上找到的资料并不是太多..所以贴一下配置\r\n\r\n\r\n网络与系统环境\r\n\r\n(1)Internet Systems Consortium DHCP Server V3.0.5\r\n(2)CentOS 5.0\r\n(3)Cisco 6509 \r\n(4)Microsoft MediaRoom\r\n(5)Motorola VIP1208AP\r\n\r\n关键点\r\n\r\n(1)时间同步\r\n使用同一台NTP Server,并同步时间,用户端获取ip会异常\r\n\r\n(2)Dhcp Relay\r\n\r\nip dhcp smart-relay  (Seconary IP 也可以作为BootGateway)\r\nip dhcp relay information option(Dhcp Server 转发 Option 60信息)\r\nip dhcp relay information policy drop\r\nip dhcp relay information trust-all\r\n\r\nip helper-address 我就不说了\r\n\r\n(3)dhcpd.conf\r\n\r\n进行客户端合法性认证选择\r\n\r\nclass \"iptv-clients\" {\r\n     match if option vendor-class-identifier=\"MSFT_XXXXXX\" or  option vendor-class-identifier=\"MSFT XXXXXX\";\r\n}\r\n\r\n机顶盒在不同的阶段发出两个vendor-class-identifier,所以增加了or,低版本不支持\r\n\r\n当然使用match if substring同样可以解决问题,但我更喜欢match if option\r\n\r\n\r\n\r\n\r\nsubnet 10.201.16.0 netmask 255.255.255.0 {\r\n        option routers                  10.201.16.1;\r\n        option subnet-mask              255.255.255.0;\r\n        option domain-name-servers      192.168.0.1\r\n        option time-offset              -18000; # Eastern Standard Time\r\n        pool {\r\n        allow members of \"iptv-clients\";----注意点,通过认证才分配ip\r\n        range 10.201.16.10 10.201.16.254 ;\r\n        }\r\n        default-lease-time 43200;\r\n        max-lease-time 43200;\r\n\r\n\r\n实施完毕,现在仅是带了vendor-class-identifier的用户可以获取ip,其它正常用户是无法获取合法ip,但仍然有个问题,就是在同一个广播域里,有一些非法Dhcp server会造成机顶合提前获取非法dhcp server的机顶盒,虽然已作了vlan隔离,网络规模太大了,很难避免\r\n\r\n个人仍然有个疑问,既然dhcp-server可以根据option 60来分配ip,为何客户端不能发出dhcp option 60时,必需收到option60合法dhcp server来地址?\r\n\r\n\r\n(4)每个地方都有不同的应用,仅作参考...如有遇到同样问题的朋友请mail huangyonghe at gmail.com\n\n[ 本帖最后由 config t 于 2009-11-25 18:32 编辑 ]

marsteel

微软这个mediaroom在广州有项目吧

will_smith_sw

1. 终端也可以检查吧。至少ISC-dhclient可以检查。一般不用是因为终端是弱势地位。\r\n2. 非法Dhcp server？内网里还有非法Server。其他威胁是不是更多。\r\n3. 可以给DHCP换个端口。

ssffzz1

如果用户间是隔离的话。DHCP SERVER应该不会造成干扰。\r\n\r\n可以考虑 调整隔离策略。或者是用dhcp snooping解决。

ssffzz1

哦。原来如此。那就无法了。大网里要搞点策略真的好困难的。

will_smith_sw

可以的。如果Server是专门给你那个是给盒子专用的。可以换个端口。isc-dhcp有参数 -p\r\n如果还个其他用户需要标准端口，可以起多个实例。--- 其实是旁门左道。\r\n\r\n另外大网本人没经验。感觉上应该向电信学习，他们用户多

ssffzz1

换端口倒是好法子。也算是解决之道。

seven007

先来个802.1X呢，做了认证再分ip，在机顶盒里面嵌入这个认证请求，比如设置一张IC卡，插入就能认证

seven007

\n\n[ 本帖最后由 seven007 于 2009-11-30 08:39 编辑 ]

wxw2004gl

使用具有DHCP snooping的交换机设备可以防止非法DHCP Server。最好还能防止ARP欺骗的