DHCP - Das Dynamic Host Con­fi­gu­ra­ti­on Protocol

Geräte mit einem be­stehen­den TCP/IP-Netzwerk zu verbinden, ist in­zwi­schen denkbar einfach: Musste man die IP-Adressen früher noch mühsam per Hand vergeben und in die ver­schie­de­nen Systeme eintragen, findet die Adress­ver­wal­tung heut­zu­ta­ge au­to­ma­tisch statt. Dass Kom­mu­ni­ka­ti­ons­hard­ware (wie Router, Hubs oder Switches) ver­bin­dungs­su­chen­den Geräten au­to­ma­tisch eine in­di­vi­du­el­le Adresse zuweisen und sie in Netzwerke einbinden kann, ist durch das Dynamic Host Con­fi­gu­ra­ti­on Protocol (DHCP) möglich.

Das Dynamic Host Con­fi­gu­ra­ti­on Protocol ist eine Er­wei­te­rung des 1985 ent­wi­ckel­ten Bootstrap Protocols (BOOTP), das der Ver­bin­dung einfacher Geräte wie Terminals und fest­plat­ten­lo­sen Work­sta­tions mit einem Boot­ser­ver diente. Über den Server bezogen diese Geräte dann ihr Be­triebs­sys­tem. DHCP wurde als Lösung für größere Netzwerke und tragbare Computer ent­wi­ckelt und ergänzt BOOTP daher unter anderem durch die Fähigkeit der au­to­ma­ti­schen Zuweisung von wie­der­ver­wend­ba­ren Netz­werk­adres­sen sowie durch zu­sätz­li­che Kon­fi­gu­ra­ti­ons­mög­lich­kei­ten. Nach ersten De­fi­ni­tio­nen des Pro­to­kolls in den RFCs 1531 und 1541 (beide 1993) wurde die end­gül­ti­ge Stan­dard­spe­zi­fi­ka­ti­on 1997 im RFC 2131 fest­ge­hal­ten. Die Internet Assigned Numbers Authority (IANA) wies dem Kom­mu­ni­ka­ti­ons­pro­to­koll die UDP-Ports 67 und 68 (für IPv6: Port 546 und 547) zu, die auch für das Bootstrap Protocol vor­ge­se­hen sind. Die Adress­zu­ord­nung mit DHCP funk­tio­niert nach dem Client-Server-Prinzip: Die ver­bin­dungs­su­chen­den Geräte fordern die IP-Adress­kon­fi­gu­ra­ti­on von einem DHCP-Server an, der sei­ner­seits auf eine Datenbank zu­rück­greift, in der die ein­zu­stel­len­den Netz­werk­pa­ra­me­ter vor­ge­ge­ben sind. Unter anderem kann dieser Server, der Be­stand­teil jedes modernen DSL-Routers ist, dem Client mithilfe seiner Da­ten­bank­in­for­ma­tio­nen folgende Ein­stel­lun­gen zuweisen:

• ein­deu­ti­ge IP-Adresse

• Sub­netz­mas­ke

• Standard-Gateway

• DNS-Server

• Proxy-Kon­fi­gu­ra­ti­on via WPAD (Web Proxy Auto-Discovery Protocol)

Das Problem eines komplett belegten Adress­be­rei­ches ist bei der Nutzung der dy­na­mi­schen Adress­zu­ord­nung eher un­wahr­schein­lich. Prin­zi­pi­ell gleicht dieses Verfahren wei­test­ge­hend der au­to­ma­ti­schen Vergabe, al­ler­dings gibt es dennoch einen kleinen, aber feinen Un­ter­schied: Die vom DHCP-Server über­mit­tel­ten IP-Kon­fi­gu­ra­tio­nen sind nämlich nicht auf un­be­stimm­te Zeit gültig, sondern mit einer vom Ad­mi­nis­tra­tor de­fi­nier­ten Lease-Time (dt. Leihdauer) versehen. Diese gibt an, wie lange das Gerät mit der je­wei­li­gen IP-Adresse auf das Netzwerk zugreifen kann. Vor dem Ablauf dieses Zeit­fens­ters müssen stan­dard­kon­for­me Clients um eine Ver­län­ge­rung bitten, indem Sie erneut ein DHC­PRE­QUEST-Paket schicken. Bleibt dies aus, kommt es nicht zum so­ge­nann­ten DHCP-Refresh und der Server gibt die be­tref­fen­de Adresse wieder frei.

Während Ad­mi­nis­tra­to­ren sowohl bei der au­to­ma­ti­schen als auch bei der dy­na­mi­schen Zu­ord­nungs­va­ri­an­te nicht allzu viel zu tun haben, gestaltet sich die Situation bei der manuellen Adress­ver­ga­be gänzlich anders. Bei diesem Verfahren, das man auch als sta­ti­sches DHCP be­zeich­net, weist man die ver­füg­ba­ren IP-Adressen mithilfe des DHCP-Servers be­stimm­ten MAC-Adressen per Hand zu. Eine Ein­schrän­kung bezüglich der Gül­tig­keits­dau­er gibt es dabei nicht.

Aufgrund des hohen Ver­wal­tungs­auf­wan­des, der dem ei­gent­li­chen Sinn und Zweck des Dynamic Host Con­fi­gu­ra­ti­on Protocols wi­der­spricht, ist diese Zu­ord­nungs­art nur für sehr wenige An­wen­dungs­sze­na­ri­en sinnvoll. So sind statische IPs zum Beispiel notwendig, wenn auf dem be­tref­fen­den Computer Server-Dienste gehostet werden, die für die anderen Netz­werk­teil­neh­mer jederzeit er­reich­bar sein sollen. Und auch für Port­wei­ter­lei­tun­gen ist es wichtig, dass die IP-Adresse un­ver­än­dert bleibt.

Damit die von den Clients bezogenen IP-Adressen auch ihrem voll­qua­li­fi­zier­ten Namen in der Domäne zu­ge­ord­net werden können, muss ein DNS-Server für die Na­mens­auf­lö­sung sorgen. Werden eine bereits ein­ge­tra­ge­ne Adresse oder der Hostname geändert, benötigt der Name­ser­ver ein Update. Bei stetig wech­seln­den IP-Adressen, die aus der dy­na­mi­schen Zuordnung über einen DHCP-Server re­sul­tie­ren, wäre die manuelle Durch­füh­rung für den Ad­mi­nis­tra­tor des Netzwerks mit er­heb­li­chem Aufwand verbunden – und ebenso für den Nutzer, der sich mit seinen Geräten zu Hause mit dem Internet verbinden möchte. Dass beide sich auch bei dy­na­mi­scher Ver­ga­be­art nicht mit der Ak­tua­li­sie­rung aus­ein­an­der­set­zen müssen, verdanken sie DHCP-Servern, die sich um den In­for­ma­ti­ons­aus­tausch kümmern und den DNS-Server mit Updates versorgen, sobald eine neue IP-Adresse zu­ge­wie­sen worden ist.

Eine Schwäche des Dynamic Host Con­fi­gu­ra­ti­on Protocols ist seine leichte Ma­ni­pu­lier­bar­keit: Da der Client alle po­ten­zi­el­len DHCP-Server kon­tak­tiert, ist es An­grei­fern bei­spiels­wei­se möglich, einen eigenen Vertreter ins Spiel zu bringen, wenn Sie Zugriff zu dem be­tref­fen­den Netzwerk haben. Ein solcher „Rogue“-DHCP-Server (dt. bösartig) versucht mit seiner Antwort auf das Ver­bin­dungs­ge­such des Clients schneller zu sein als der ei­gent­li­che Server. Im Er­folgs­fall über­mit­telt er ma­ni­pu­lier­te oder un­brauch­ba­re Parameter. Auf diese Weise kann er bei­spiels­wei­se Denial-of-Service-Angriffe auf das Netzwerk starten, indem er kein Gateway über­mit­telt, jedem Client ein eigenes Subnetz zuweist oder auf alle Anfragen mit der gleichen IP-Adresse antwortet. Ein noch dra­ma­ti­sche­res, aber mögliches Szenario wäre der Versuch, mithilfe falscher Gateway- und DNS-Angaben einen fremden Router ein­zu­schleu­sen, der den Da­ten­ver­kehr des Clients mit­schnei­det oder gar umleitet. Ein solcher Man-in-the-Middle-Angriff zielt – anders als erst­ge­nann­te An­griffs­art – nicht auf den Absturz des Netzwerks ab, sondern auf die Ent­wen­dung sensibler Daten wie Bankdaten, Pass­wör­ter oder Adress­in­for­ma­tio­nen. Un­ab­hän­gig von der An­griffs­art benötigen Fremde aber in jedem Fall direkten Zugriff auf Ihr Netzwerk, um das DHCP-Protokoll für ihre Zwecke zu miss­brau­chen. Treffen Sie die not­wen­di­gen Si­cher­heits­vor­keh­run­gen, pro­fi­tie­ren Sie von den Vorteilen des Kom­mu­ni­ka­ti­ons­pro­to­kolls, ohne derartige Attacken fürchten zu müssen. Als Ver­ant­wort­li­cher für ein größeres lokales Netzwerk sollten der Kom­plett­schutz vor externen und internen An­griffs­ver­su­chen sowie die stetige Über­wa­chung aller Netz­werk­pro­zes­se mit Tools wie Nagios für Sie ohnehin zum Standard gehören. In unserem Ratgeber zum Thema WLAN-Si­cher­heit in­for­mie­ren wir zu­sätz­lich darüber, welche Mög­lich­kei­ten Ihnen zum Schutz ka­bel­lo­ser Netze zur Verfügung stehen.

Wer mit seinem Gerät einem lokalen oder ka­bel­lo­sen Netzwerk beitritt, greift dabei für ge­wöhn­lich au­to­ma­tisch auf das Dynamic Host Con­fi­gu­ra­ti­on Protocol zurück, ohne Ver­än­de­run­gen an den Netz­werk­ein­stel­lun­gen vornehmen zu müssen. Computer mit Microsoft-Windows-Systemen fungieren zum Beispiel seit langem vor­ein­ge­stellt als DHCP-Client, der seine IP-Adresse au­to­ma­tisch bezieht. Dabei handelt es sich stan­dard­mä­ßig um die dy­na­mi­sche Zu­ord­nungs­art, bei der die Kon­fi­gu­ra­tio­nen re­gel­mä­ßig ver­län­gert werden müssen bzw. nach Ablauf neu vergeben werden. In lokalen Netz­wer­ken kann – bei ent­spre­chen­der Ein­stel­lung des DHCP-Servers – auch die au­to­ma­ti­sche Vergabe fester Adress­in­for­ma­tio­nen zum Einsatz kommen.

Falls Sie die aktuellen Ein­stel­lun­gen der Adress­ver­ga­be über­prü­fen oder DHCP de­ak­ti­vie­ren und zur manuellen Variante wechseln wollen, können Sie das über die nach­fol­gend be­schrie­be­nen Schritte tun – Vor­aus­set­zung ist, dass Sie über Ad­mi­nis­tra­tor­rech­te verfügen.

• Wenn Sie be­ab­sich­ti­gen, DHCP zu de­ak­ti­vie­ren, sollten Sie an dieser Stelle in jedem Fall eine feste IP-Adresse und eine Sub­netz­mas­ke (stan­dard­mä­ßig 255.255.255.0) vergeben. Den po­ten­zi­el­len Adress­be­reich für die IP de­fi­nie­ren Sie in den Ein­stel­lun­gen des DHCP-Servers, die Sie zum Beispiel über die Be­nut­zer­ober­flä­che Ihres Routers aufrufen können, insofern dieser als Server fungiert. Dort schalten Sie außerdem auch den DHCP-Server und damit die Adress­zu­wei­sung über das Protokoll aus.

• Um DHCP zu de­ak­ti­vie­ren, gilt es wiederum, die ent­spre­chen­den Ein­stel­lun­gen im ver­wen­de­ten Server vor­zu­neh­men.

• Um DHCP unter Windows 10 zu de­ak­ti­vie­ren, müssen Sie das Interface Ihres DHCP-Servers aufrufen und dort die ent­spre­chen­den Ein­stel­lun­gen vornehmen.