Sieben vermeidbare DHCP-Fehler

Das Dynamic Host Configuration Protocol (DHCP) gehört in vielen Unternehmen zu der Grundausstattung der Netzwerke. Es sorgt für eine schnelle und unkomplizierte Konfiguration der IP-Endgeräte. Steht dieser Dienst nicht zur Verfügung, arbeiten die IP-Netze bzw. die Applikationen nicht mehr. Trotz der Abhängigkeit von diesem Dienst, gehen vie Administratoren viel zu sorglos mit den DHCP-Services bzw. DHCP-Servern um. Viele Konfigurationsfehler und Missverständnisse in Sachen DHCP gefährden ernsthaft die Verfügbarkeit und Sicherheit der Netzwerke.

Mathias Hein

Druckversion Sieben vermeidbare DHCP-Fehler

• Die DHCP-Lease-Time wurde entweder zu hoch oder zu niedrig eingestellt: DHCP-Server bieten ihren Clients IP-Adressen zur Lease an. Jede Lease verfügt über ein Ablaufdatum. Daher muss der Client die Lease erneuern, um diese Adresse weiter verwenden zu können.
  Leases bleiben nach Ablauf noch vier Stunden in der DHCP-Serverdatenbank gespeichert. Diese Frist schützt die Lease eines Clients für den Fall, dass sich der Client und der Server in unterschiedlichen Zeitzonen befinden, ihre Computeruhren nicht gleich eingestellt sind oder sich der Clientcomputer bei Ablauf der Lease nicht im Netzwerk befindet. Leases, deren Ablaufdatum erreicht ist, bleiben für die Dauer von zwei Tagen in der Liste der aktiven Leases und werden durch ein anderes Symbol gekennzeichnet.
  Wird ein Adressbereich angelegt, so beträgt die Standardgültigkeitsdauer der Lease acht Tage. In den meisten Fällen reicht dieser Wert aus. Da jedoch die Erneuerung der Lease ein fortgesetzter Prozess ist, der die Systemleistung der DHCP-Clients und des Netzwerks beeinflusst, ist es manchmal nützlich, die Dauer der Lease zu verlängern.
  Die richtige Lease Time hängt direkt vom Einsatzgebiets des betreffenden Netzwerks ab. Steht in einem Netz/Subnetz eine große Anzahl von IP-Adressen zur Verfügung und ändert sich die Konfigurationen im Netzwerk selten, sollte die Gültigkeitsdauer der Lease erhöht werden, um die Häufigkeit der Abfragen auf Erneuerung der Lease zwischen den Clients und dem DHCP-Server zu verringern.
  Wireless-Netzwerke (WLANs) und Netzwerke für den Zugang von Gästen weisen eine hohe Veränderungsrate auf. Aus diesem Grund müssen in diesen Netzwerken die Lease-Zeiten für die Anschaltung von Gastgeräten relativ kurz sein. Lange Leasing-Zeiten blockieren nur unnötig die für den Gastzugang vorgesehenen IP-Adressen. Steht nur eine begrenzte Anzahl von IP-Adressen zur Verfügung steht und ändern sich die Konfigurationen im Netzwerk häufig, sollte die Gültigkeitsdauer der Lease verringert werden. Dadurch kann der DHCP-Server nicht mehr verwendete IP-Adressen erneut nutzen.
• Fehlende Überwachung (Monitoring) des IP-Adresspools: In der Regel legen die Administratoren die dynamischen Adressbereiche auf Basis eines relativ großen Adresspools an. Dabei orientiert sich die Größe des Adresspools an den momentanen Anforderungen und den in absehbarer Zeit geplanten Erweiterung. In der Praxis wird dabei oft übersehen, dass einige Subnetze sehr schnell wachsen. Der Grund ist die Umstellung aller Kommunikationsgewerke (Video, Produktion, etc.) auf IP. Da dadurch die bisher eigenständigen Kommunikationstechniken eigene IP-Adressen für den Datenaustausch über das Netzwerk benötigt, führt dies zur schnellen Erschöpfung des vorgesehenen Adressraums und somit zu Fehlern.
  Mit Hilfe des System-Monitors lassen sich bei Windows-Systemen die Aktivitäten von folgende DHCP-Aktivitäten überwachen:
• die DHCP-Lease-Prozesse,
• die DHCP-Queue-Länge,
• doppelte vergebene IP-Adressen
• DHCP-Server-Konflikte 
• Fehlende oder falsche DHCP-Optionen: DHCP wird für die Übergabe von Konfigurationsinformationen an Clients im Netzwerk genutzt. Konfigurationsparameter und andere Steuerinformationen werden zwischen DHCP-Server und den zugehörigen Clients mit Hilfe von speziell markierten Datenelementen übertragen. Diese Datenelemente werden als Optionen bezeichnet. Die standardmäßigen DHCP-Optionen sind im RFC 2132 beschrieben. Für DHCP gilt: die meisten DHCP-Server können zahlreiche Optionen zuweisen, jedoch ist die Vielzahl der DHCP-Clients für gewöhnlich so ausgelegt, dass nur eine Teilmenge aller von RFC festgelegten Standardoptionen angefordert oder unterstützt wird.
  Optionen können mithilfe verschiedener Ebenen verwaltet werden, die für die einzelnen zu verwaltenden DHCP-Server zugewiesen werden. Hierzu zählen:
• Serveroptionen: Diese Optionen werden für alle mit dem DHCP-Server definierten Bereiche verwendet.
• Bereichsoptionen: Diese Optionen werden speziell für alle Clients, die eine Lease innerhalb eines bestimmten Bereichs anfordern, verwendet.
• Klassenoptionen: Diese Optionen werden nur für Clients verwendet, die als Mitglied einer bestimmten Benutzer- oder Herstellerklasse beim Anfordern einer Lease identifiziert wurden.
• Reservierungsoptionen: Diese Optionen werden nur für reservierte Einzelclients verwendet und erfordern eine im aktiven Bereich zu verwendende Reservierung. 

Vergisst der DHCP-Administrator eine der Optionen zu konfigurieren, werden die notwendigen Informationen nicht an den Client übergeben und es kann zu Fehlern kommen.

• Fehlende oder fehlerhafte Autorisierung der DHCP-Server: Bei richtiger Konfiguration und entsprechender Autorisierung in einem Netzwerk bieten DHCP-Server einen nützlichen und zweckgerichteten Verwaltungsdienst. Wird jedoch ein fehlerhaft konfigurierter oder nicht autorisierter DHCP-Server in ein Netzwerk eingefügt, kann dieser erhebliche Probleme verursachen. Wird beispielsweise ein nicht autorisierter DHCP-Server gestartet, weist er eventuell falsche IP-Adressleases an Clients zu oder bestätigt DHCP-Server nicht, die versuchen, aktuelle Adressleases zu erneuern. Diese Konfigurationen können zu weiteren Problemen für DHCP-Clients führen.
  Innerhalb der Windows-Welt lassen sich solche DHCP-Server-Probleme durch eine Autorisierung der Clients in Active Directory weitgehend vermeiden. Bei der Bereitstellung von Active Directory müssen alle Computer, die als DHCP-Server verwendet werden, entweder Domänencontroller oder Mitgliedsserver einer Domäne sein, damit sie autorisiert werden können und Clients DHCP-Dienste bereitstellen können. Auch ist es möglich, einen eigenständigen Server als DHCP-Server zu verwenden, sofern er sich nicht mit autorisierten DHCP-Servern in einem Subnetz befindet. Erkennt ein eigenständiger DHCP-Server einen autorisierten Server im selben Subnetz, bricht der die Zuweisung von IP-Adressleases an DHCP-Clients automatisch ab.
  DHCP-Server erkennen autorisierte und nicht autorisierte Server auf Basis der folgenden Erweiterungen des DHCP-Standards:
• Informationsaustausch zwischen DHCP-Servern mithilfe von DHCP-Informationsmeldungen (DHCPINFORM).
• Das Hinzufügen verschiedener, neuer herstellerspezifischer Optionstypen für die Übertragung von Informationen zur Stammdomäne. 

Autorisierte Server wiederholen den Erkennungsprozess standardmäßig in Abständen von 60 Minuten. Nicht autorisierte Server wiederholen den Erkennungsprozess standardmäßig in Abständen von 10 Minuten.

• BOOTP / DHCP-Relay fehlt oder ist ungültig: Ein Relay-Agent ist ein kleines Programm, das als Relay für DHCP/BOOTP-Nachrichten zwischen Clients und Servern in verschiedenen Subnetzen dient. DHCP/BOOTP-Relay-Agents sind Teil der DHCP- und BOOTP-Standards (RFC 1542).
  Jedes IP-Subnetz benötigt mindestens einen aktiven DHCP/BOOTP-Relay-Agent. Dabei ist es egal, ob ein Router (Layer 3 Switch) oder ein Server als Relay-Agent agiert.
  Für eine zuverlässige Übertragung von DHCP-Netzwerkdaten über einen oder mehrere Router setzt man zwei DHCP-Server ein. Dabei werden auf den Relay-Agents verschiedene Verzögerungsintervalle konfiguriert. Auf einem Relay-Agent wird ein Intervall von 4 Sekunden festgelegt, der andere Relay-Agent verwendet kein Verzögerungsintervall. Dadurch werden die DHCP-Suchmeldungen (DHCPDISCOVERs), die von startenden DHCP-Clients ausgeschickt werden, gezielt gesteuert und die Gefahr einer unerwünschten DHCP-Paketflut (Broadcast-Sturm) nahezu gebannt.
• Keine Redundanz der DHCP-Server: Damit DHCP-Clients auch dann noch IP-Adressen beziehen können, wenn ein DHCP-Server ausfällt, sollte für jedes Subnetz mehrere IP-Bereiche zur Verfügung stehen und diese auf den DHCP-Servern verteilt werden. Generell sollten für jedes Subnetz folgende Maßnahmen getroffen werden:
• Auf dem primären DHCP-Server sollte einen IP-Adressbereich bestehen, der etwa 80 Prozent der für DHCP-Clients verfügbaren IP-Adressen umfasst.
• Auf dem sekundärer DHCP-Server, wird ein IP-Adressbereich angelegt, der etwa 20 Prozent der für DHCP-Clients verfügbaren IP-Adressen umfasst.

Fällt der primäre DHCP-Server eines Subnetzes aus, versorgt der sekundäre DHCP-Server die DHCP-Clients im Subnetz.
Da DHCP-Server Bereichsinformationen nicht gemeinsam nutzen, ist es wichtig, dass jeder Bereich einen Satz eindeutiger IP-Adressen enthält. Enthalten die Bereiche verschiedener DHCP-Server gleiche IPv4-Adressen (solche Bereiche werden überlappende Bereiche genannt), dann könnten mehrere Server gleiche IP-Adressen verschiedenen DHCP-Clients eines Subnetzes zuweisen, was zu Problemen wegen doppelter IP-Adressen führt.
Als Bereichsgruppierung bezeichnet man eine administrative Zusammenfassung von Bereichen, mit deren Hilfe mehrere logische Subnetze im gleichen physischen Subnetz unterstützt werden. Bereichsgruppierungen enthalten eine Liste von Mitgliedsbereichen, die zusammen aktiviert werden können. Auf Basis der Bereichsgruppierung lassen sich DHCP-Clients in lokalen oder Remote-Netzwerken nutzen, die mehreren logischen Subnetzen innerhalb eines physischen Netzwerksegments zugeordnet sind.

• VLANs und DHCP: Auf der Grundlage von Virtual Local Area Networks (VALNs) gemäß IEEE 802.1Q wird ein physikalisches Netz in logische Subnetze aufgeteilt. Jedes VLAN bildet dadurch eine eigene Broadcast-Domäne. Um Verkehr zwischen verschiedenen VLANs zu vermitteln benötigt man einen Router (Layer 3 Switch). In diesem Fall muss je VLAN mindestens ein DHCP/BOOTP-Relay-Agent eingerichtet werden, um den zuständigen DHCP-Server erreichen zu können