LIVELLO APPLICAZIONE IL PROTOCOLLO DHCP

In telecomunicazioni il livello di applicazione è il settimo ed ultimo livello del modello ISO/OSI per le reti di calcolatori. La sua funzione è quella di interfacciare e fornire servizi per i processi delle applicazioni; in trasmissione inoltra, quindi, le richieste al sottostante livello di presentazione, mentre in ricezione le riceve. Un programma applicativo interagisce con uno dei protocolli di livello di trasporto per ricevere dati o inviarli passandoli nella forma richiesta. Tra i servizi più comuni offerti dal livello di applicazione ci sono le conversioni semantiche tra processi applicativi associati.

DYNAMIC HOST CONFIGURATION PROTOCOL

In telecomunicazioni e informatica il Dynamic Host Configuration Protocol (in acronimo DHCP, lett. “protocollo di configurazione IP dinamica”) è un protocollo applicativo (ausiliario) che permette ai dispositivi o terminali di una certa rete locale di ricevere automaticamente ad ogni richiesta di accesso, da una rete IP (quale una LAN), la configurazione IP necessaria per stabilire una connessione e operare su una rete più ampia basata su Internet Protocol, cioè interoperare con tutte le altre sotto-reti scambiandosi dati, purché anch’esse integrate allo stesso modo con il protocollo IP. Il protocollo è implementato come servizio di rete ovvero come tipologia di server: ad esempio nei sistemi Unix e Unix-like è implementato nel demone dhcpd, in quelli basati su Active Directory di Microsoft e/o Windows Server dal servizio server dhcp.

GENERALITA’

In una rete basata sul protocollo IP, ogni calcolatore ha bisogno di un indirizzo IP, scelto in modo tale che appartenga all’insieme di indirizzi possibili assegnati all’intera sottorete (cioè al Net_ID) a cui è collegato e che sia univoco, cioè non ci siano altri calcolatori che stiano già utilizzando quell’indirizzo. Il compito di assegnare manualmente gli indirizzi IP ai calcolatori comporta infatti un rilevante onere per gli amministratori di rete, soprattutto in reti di grandi dimensioni o in caso di numerosi computer che si connettono a rotazione solo a ore o giorni determinati. Inoltre gli indirizzi IPv4 disponibili (attualmente usati nella quasi totalità delle reti al mondo) con l’aumentare dei computer connessi a Internet hanno cominciato a scarseggiare, diminuendo la disponibilità di IP fissi per eventuali configurazioni statiche. DHCP supporta questo compito automaticamente e in maniera dinamica, cioè solo quando richiesto dall’host. Viene utilizzato soprattutto in reti locali, in particolare su Ethernet. In altri contesti, funzioni simili sono svolte all’interno di PPP. Una volta ricevuta la configurazione di rete la stazione o computer della rete locale diventa a tutti gli effetti un host (ospite) della rete Internet e può intraprendere sessioni di navigazione Web e tutti gli altri servizi offerti dalla rete stessa. Infatti, un servizio DHCP è svolto anche da un semplice router di casa. A seconda dell’implementazione, il server DHCP può avere tre metodi di allocazione degli indirizzi IP:

ALLOCAZIONE DINAMICA

È l’allocazione automatica di indirizzi temporanei. L’allocazione dinamica per un periodo dato viene chiamata ‘affitto’ (lease). Il client la può estendere tramite ulteriore richiesta o può rilasciare l’indirizzo affittato in qualsiasi momento se non serve più. In caso di scarsità di indirizzi, il server DHCP riutilizza indirizzi affittati col tempo scaduto.

ALLOCAZIONE AUTOMATICA

Il server DHCP assegna automaticamente un indirizzo IP a un client richiedente nell’intervallo definito dall’amministratore. Questo è come nell’allocazione dinamica, ma il server DHCP mantiene una tabella delle assegnazioni degli indirizzi IP passati, in modo che possa assegnare preferenzialmente a un client lo stesso indirizzo IP precedente.

ALLOCAZIONE MANUALE

Il server DHCP emette un indirizzo IP privato dipendente dal MAC Address di ciascun client, basato su una mappatura predefinita da parte dell’amministratore. Questa funzione è denominata in vari modi: come assegnazione DHCP statica nel DD-WRT, indirizzo fisso dalla documentazione dhcpd, prenotazione indirizzo da Netgear, prenotazione DHCP o DHCP statico da parte di Cisco e Linksys e prenotazione indirizzo IP o binding indirizzo MAC/IP da vari altri produttori di router. Se non viene rilevata alcuna corrispondenza per il MAC Address del client, il server può facoltativamente non ricorrere all’assegnazione dinamica o automatica. DHCP viene utilizzato per Internet Protocol versione 4 (IPv4), nonché per l’IPv6. Sebbene entrambe le versioni abbiano lo stesso scopo, i dettagli del protocollo per IPv4 e IPv6 differiscono sufficientemente da poter essere considerati due protocolli separati. Per l’operazione IPv6, i dispositivi possono utilizzare in alternativa l’autoconfigurazione dell’indirizzo stateless. Gli host IPv6 possono anche utilizzare l’indirizzamento locale del collegamento per ottenere operazioni limitate al collegamento di rete locale.

COMPONENTI DEL PROTOCOLLO

Il client DHCP è un calcolatore che ha bisogno di ottenere un indirizzo IP valido per la sottorete a cui è collegato, è anche il programma che si occupa di richiedere l’indirizzo IP e configurarlo. Il server DHCP è il calcolatore che assegna gli indirizzi IP, è anche il processo che svolge questa funzione. Talvolta questa funzione è incorporata in un router. ll DHCP Relay è il calcolatore (o più spesso una funzione implementata in un router) che si occupa di inoltrare le richieste DHCP ad un server, qualora questo non sia sulla stessa sottorete. Questo componente è necessario solo se un server DHCP deve servire molteplici sottoreti. Deve esistere almeno un DHCP Relay per ciascuna sottorete servita. Ogni Relay deve essere esplicitamente configurato per inoltrare le richieste a uno o più server.

PARAMETRI GESTITI DA DHCP

Il protocollo DHCP viene usato anche per assegnare al computer diversi parametri necessari per il suo corretto funzionamento sulla rete a cui è collegato. Tra i più comuni, oltre all’assegnazione dinamica dell’indirizzo IP, si possono citare:

Maschera di sottorete

Default gateway

Indirizzi dei server DNS

Nome di dominio DNS di default

Indirizzi dei server WINS

Indirizzi dei server NTP

Indirizzo di un server tftp e nome di un file da caricare per calcolatori che caricano dalla rete l’immagine del sistema operativo, ad esempio tramite l’ambiente di esecuzione pre-boot.

Parametri di configurazione del proxy WPAD

Nel protocollo c’è comunque il supporto per assegnare tramite DHCP molti altri parametri, definiti nell’RFC 2132.

RICHIESTA E ATTRIBUZIONE DELL’ INDIRIZZO

Un’immagine che mostra una sessione tipica DHCP; ogni messaggio potrebbe essere sia broadcast che Unicast, a seconda delle capacità del client DHCP. DHCP utilizza il protocollo UDP, le porte registrate sono la 67 per il server e la 68 per il client. Quando un calcolatore vuole ottenere un indirizzo tramite DHCP, attiva il processo DHCP client. In questo momento, il calcolatore non ha un indirizzo IP valido, quindi non può usare tutte le funzionalità della rete. La procedura descritta dal protocollo consta di diversi handshake tra client e server, ovvero scambio di pacchetti, ovviamente tutti incapsulati in frame di livello datalink, come Ethernet: In primis, il client invia un pacchetto chiamato DHCPDISCOVER in broadcast, con indirizzo IP sorgente messo convenzionalmente a 0.0.0.0, e destinazione 255.255.255.255 (indirizzo di broadcast). Il pacchetto è ricevuto da tutti gli host presenti nello stesso dominio di broadcast, e quindi da eventuali server DHCP presenti, i quali possono rispondere (o meno) con un pacchetto di DHCPOFFER in cui propongono un indirizzo IP e gli altri parametri di configurazione al client. Questo pacchetto di ritorno è indirizzato all’indirizzo di livello datalink del client (al suo MAC Address – non ha ancora un indirizzo IP) ovvero in Unicast. Se nel dominio di broadcast ci sono anche uno o più DHCP Relay, questi inoltrano il pacchetto al loro server di riferimento, che può rispondere al client sempre attraverso il Relay. Il Relay agent comunica al server il proprio indirizzo IP sulla sottorete da cui ha ricevuto il pacchetto di DHCPDISCOVER, permettendo al server di capire da quale sottorete è arrivata la richiesta, e quindi offrire un indirizzo per la sottorete giusta. Un server DHCP che debba servire diverse sottoreti IP deve essere configurato per conoscere i parametri di ciascuna (indirizzo della rete, maschera di sottorete, indirizzo di broadcast, indirizzo del gateway). Il client aspetta per un certo tempo di ricevere una o più offerte, dopodiché ne seleziona una, e invia un pacchetto di DHCPREQUEST (o DHCPACCEPT) in broadcast, indicando all’interno del pacchetto, con il campo “server identifier”, quale server ha selezionato. Anche questo pacchetto raggiunge tutti i server DHCP presenti sulla rete (direttamente o tramite un Relay). Il server che è stato selezionato conferma l’assegnazione dell’indirizzo con un pacchetto di DHCPACK (nuovamente indirizzato in broadcast all’indirizzo di livello datalink del client, possibilmente attraverso un Relay); gli altri server vengono automaticamente informati che la loro offerta non è stata scelta dal client, e che sulla sottorete è presente un altro server DHCP.

SCADENZA E RINNOVO DEGLI INDIRIZZI IP

A questo punto, il client è autorizzato a usare l’indirizzo ricevuto per un tempo limitato, detto tempo di lease. Prima della scadenza, dovrà tentare di rinnovarlo inviando un nuovo pacchetto DHCPREQUEST al server, che gli risponderà con un DHCPACK se vuole prolungare l’assegnazione dell’indirizzo. Questi sono normali pacchetti IP Unicast scambiati tra due calcolatori che hanno indirizzi validi. Se il client non riesce a rinnovare l’indirizzo, tornerà allo stato iniziale cercando di farsene attribuire un altro.

IDENTIFICAZIONE E AUTENTICAZIONE DEL CLIENT

Il client si identifica verso il server attraverso un campo client-id dei pacchetti DHCP. Questo campo ha normalmente come valore l’indirizzo MAC della scheda di rete per cui si richiede l’indirizzo, ma può anche essere configurato manualmente. Questa è l’unica forma di autenticazione disponibile per DHCP, ed è piuttosto debole, in quanto utilizza un dato che viene inviato in broadcast sulla rete locale, e quindi può essere facilmente trovato da qualunque altro calcolatore connesso alla stessa rete. Per controllare l’accesso a una rete esistono metodi più solidi che, però, richiedono un supporto da parte degli switch a cui sono collegati gli utenti, come IEEE 802.1x. Un server dovrebbe cercare di assegnare allo stesso client sempre lo stesso indirizzo IP su ciascuna sottorete, ma non ci sono garanzie che questo sia possibile, a meno che un indirizzo non sia associato esclusivamente a un client. Il server può utilizzare il campo client-id per decidere quale indirizzo assegnare al client, o quali altri parametri passargli, o anche di non rispondere per nulla alla richiesta del client. La sicurezza, in termini di accesso ad una rete, non è assicurata da indirizzi IP statici ma dall’implementazione di policy di autenticazione sia lato dominio che, eventualmente, firewall: l’utilizzo di indirizzi dinamici non ha alcun riflesso sulla sicurezza essendo un servizio base che facilita enormemente l’aggiunta di risorse client non dovendo ricorrere ogni volta a configurazione specialistica fosse pure solo l’inserimento dei parametri di connessione fisica alla rete. Come detto la connessione logica deve essere gestita attraverso le autorizzazioni di autenticazione. A parte i client nel senso di utenti vi sono invece servizi e risorse che tipicamente devono essere indirizzati staticamente: stampanti, router, server, sistemi di registrazione o sorveglianza, ecc.

IDENTIFICAZIONE DEL SERVER

Il server si identifica verso il client con il proprio indirizzo IP. Un client potrebbe quindi decidere di accettare indirizzi solo da un server già noto. Qualunque calcolatore collegato a una sottorete potrebbe fare da server DHCP per i calcolatori di quella sottorete, o da relay verso un server DHCP arbitrario. È quindi possibile che un calcolatore configurato male o deliberatamente per fini illeciti offra abusivamente indirizzi IP, creando malfunzionamenti alla rete e/o gravi problemi di sicurezza. Un calcolatore che abbia ricevuto l’indirizzo IP da un server DHCP mal configurato non sarà in grado di utilizzare la rete. Se invece il server DHCP abusivo è configurato per scopi illeciti, le conseguenze possono essere anche peggiori: esso, infatti, può offrire indirizzi che sa essere inutilizzati, oppure su una sottorete IP diversa da quella ufficiale, evitando così di generare conflitti con il server ufficiale, e indicare sé stesso come default gateway. Dovrà poi ridirigere le connessioni effettuate dai client verso il gateway ufficiale utilizzando IP masquerading. A questo punto, potrà intercettare e sniffare tutto il traffico generato dai client, che potrebbero non accorgersi facilmente della differenza. Per prevenire questi rischi, alcuni switch offrono una funzionalità detta “DHCP snooping”, per cui analizzano tutti i pacchetti DHCP che li attraversano, fermando quelli che non sono originati da server autorizzati.

INOLTRO DHCP

Nelle piccole reti, in cui viene gestita una sola subnet IP, i client DHCP comunicano direttamente con i server DHCP. Tuttavia, i server DHCP possono anche fornire indirizzi IP per più sottoreti. In questo caso, un client DHCP che non ha ancora acquisito un indirizzo IP non può comunicare direttamente con il server DHCP utilizzando il Routing IP, perché non ha un indirizzo IP con router, non conosce l’indirizzo IP di un router e non conosce l’indirizzo IP del server DHCP. Per consentire ai client DHCP su sottoreti non direttamente servite dai server DHCP di comunicare con i server DHCP, è possibile installare agenti di inoltro DHCP su queste sottoreti. Il client DHCP trasmette sul collegamento locale; il Relay agent riceve la trasmissione e la trasmette a uno o più server DHCP utilizzando l’Unicast. Il Relay agent memorizza il proprio indirizzo IP nel campo GIADDR del pacchetto DHCP. Il server DHCP utilizza GIADDR per determinare la sottorete su cui il Relay agent ha ricevuto la trasmissione e assegna un indirizzo IP su quella sottorete. Quando il server DHCP risponde al client, invia la risposta all’indirizzo GIADDR, usando ancora l’Unicast. Il Relay agent quindi ritrasmette la risposta sulla rete locale. In questa situazione, la comunicazione tra il Relay agent e il server DHCP, utilizza in genere la porta 67 UDP di origine e di destinazione.

AFFIDABILITA’

Il DHCP garantisce l’affidabilità in diversi modi: rinnovo periodico, rebinding e failover. Ai client DHCP vengono assegnati leasing che durano per un certo periodo di tempo. I client iniziano a provare di rinnovare il leasing una volta che la metà dell’intervallo di lease è scaduto. Lo fanno inviando un messaggio DHCPREQUEST in Unicast al server DHCP che ha concesso il leasing originale. Se il server è inattivo o irraggiungibile, non risponderà al DHCPREQUEST. Tuttavia, in questo caso il client ripete il DHCPREQUEST di volta in volta, quindi se il server DHCP viene ripristinato o diventa nuovamente raggiungibile, il client DHCP riuscirà a contattarlo e rinnovare il contratto di locazione. Se il server DHCP è irraggiungibile per un lungo periodo di tempo, il client DHCP tenterà di riassociare, trasmettendo il suo DHCPREQUEST piuttosto che in Unicast. Una volta trasmesso, il messaggio DHCPREQUEST raggiungerà tutti i server DHCP disponibili. Se qualche altro server DHCP è in grado di rinnovare il leasing, lo farà in questo momento. Affinché il rebinding funzioni, quando il client contatta con successo un server DHCP di backup, quel server deve disporre di informazioni accurate sull’associazione del client. Mantenere informazioni vincolanti precise tra due server è un problema complicato; se entrambi i server sono in grado di aggiornare lo stesso database di lease, deve esistere un meccanismo per evitare conflitti tra gli aggiornamenti sui server indipendenti. Una proposta per l’implementazione di server DHCP fault-tolerant è stata inviata alla Internet Engineering Task Force, ma mai formalizzata. Se il rebinding fallisce, il lease alla fine scadrà. Quando il lease scade, il client deve smettere di utilizzare l’indirizzo IP a esso concesso nel suo leasing. A quel punto riavvierà il processo DHCP dall’inizio trasmettendo un messaggio DHCPDISCOVER. Dal momento che il leasing è scaduto, accetterà qualsiasi indirizzo IP offerto. Una volta che ha un nuovo indirizzo (presumibilmente da un server DHCP diverso) sarà di nuovo in grado di utilizzare la rete. Tuttavia, poiché il suo indirizzo IP è cambiato, tutte le connessioni in corso verranno interrotte.

APPROFONDIMENTO AI

Cos’è il DHCP?

Il DHCP (Dynamic Host Configuration Protocol) è un protocollo di rete utilizzato per automatizzare il processo di configurazione degli indirizzi IP e di altre impostazioni di rete essenziali sui dispositivi in una rete. Il suo scopo principale è assegnare dinamicamente gli indirizzi IP ai dispositivi che si collegano a una rete, senza che sia necessario configurarli manualmente.

Funzionamento del DHCP

Il DHCP segue un processo ben definito basato su quattro fasi principali, conosciute come DORA:

1. Discovery (Scoperta):

Quando un dispositivo (chiamato “client”) si collega a una rete e non ha un indirizzo IP configurato, invia un messaggio di broadcast DHCPDISCOVER. Questo messaggio è inviato a tutti i server DHCP presenti nella rete per trovare un server disponibile.

2. Offer (Offerta):

I server DHCP nella rete rispondono al messaggio DHCPDISCOVER inviando un messaggio DHCPOFFER al client. Questo messaggio contiene un indirizzo IP che il server DHCP ha deciso di offrire al client, insieme ad altre informazioni come la maschera di sottorete, il gateway predefinito, e i server DNS.

3. Request (Richiesta):

Il client, dopo aver ricevuto una o più offerte dai server, sceglie una di queste offerte e invia un messaggio DHCPREQUEST al server DHCP che ha fatto l’offerta scelta. Questo passaggio conferma che il client accetta l’indirizzo IP e le impostazioni proposte.

4. Acknowledge (Conferma):

Il server DHCP invia un messaggio di conferma chiamato DHCPACK, che informa il client che può utilizzare l’indirizzo IP e le altre impostazioni per un periodo di tempo definito (detto “lease”, o locazione).

Componenti principali di un server DHCP

1. Indirizzo IP assegnato dinamicamente:

Il server DHCP gestisce un pool di indirizzi IP disponibili da assegnare dinamicamente ai client. Gli indirizzi vengono rilasciati per un periodo di tempo determinato, dopo il quale devono essere rinnovati.

2. Opzioni di configurazione:

Oltre all’indirizzo IP, il server DHCP può fornire una serie di altre informazioni necessarie per la comunicazione del client all’interno della rete, come:

•Maschera di sottorete: Specifica quale porzione dell’indirizzo IP rappresenta la rete.

•Gateway predefinito: L’indirizzo IP del router o gateway che consente al client di accedere a reti esterne.

•Server DNS: Gli indirizzi dei server DNS per la risoluzione dei nomi di dominio.

•Durata del lease: Il tempo per cui il client può utilizzare l’indirizzo IP prima che debba essere rinnovato.

3. Lease (locazione):

Ogni indirizzo IP assegnato dal server DHCP è dato in “locazione” per un certo periodo di tempo. Quando il lease scade, il client deve rinnovare l’indirizzo o ottenerne uno nuovo. I client possono tentare di rinnovare il loro lease inviando un messaggio DHCPREQUEST prima che il tempo scada.

4. IP riservati (statici):

Oltre agli indirizzi dinamici, un server DHCP può anche essere configurato per assegnare indirizzi IP fissi a determinati dispositivi, basandosi sul loro MAC address. Questo è utile per dispositivi come server o stampanti che richiedono un indirizzo IP stabile e fisso.

Modalità di assegnazione degli indirizzi IP

Il DHCP offre diverse modalità per l’assegnazione degli indirizzi IP:

•Dinamica: Gli indirizzi IP vengono assegnati temporaneamente e possono cambiare ogni volta che il client si riconnette alla rete.

•Automatica: Gli indirizzi IP vengono assegnati in modo permanente, anche se il dispositivo si disconnette e si riconnette successivamente.

•Statica: L’indirizzo IP viene assegnato manualmente dall’amministratore di rete per dispositivi specifici, di solito tramite la corrispondenza con l’indirizzo MAC.

Vantaggi del DHCP

1. Facilità di gestione: Il DHCP semplifica l’amministrazione delle reti, eliminando la necessità di configurare manualmente gli indirizzi IP sui singoli dispositivi.

2. Evita conflitti di indirizzi IP: Poiché il DHCP assegna automaticamente gli indirizzi IP, si riduce il rischio di duplicazione di indirizzi IP (due dispositivi con lo stesso IP).

3. Configurazione rapida e automatica: I dispositivi possono essere aggiunti rapidamente a una rete senza dover impostare manualmente le configurazioni di rete.

Sicurezza e considerazioni

Nonostante i suoi vantaggi, il DHCP può essere vulnerabile a determinati tipi di attacchi:

•Attacchi DHCP Spoofing: Un aggressore può inserire un proprio server DHCP nella rete e fornire configurazioni errate o indirizzi IP fasulli ai client.

•Rogue DHCP Server: Un server DHCP non autorizzato può essere introdotto in una rete e distribuire configurazioni IP che deviano il traffico verso destinazioni non sicure.

Per mitigare questi rischi, è possibile adottare misure come:

•Filtraggio MAC: Limitare il DHCP a dispositivi con indirizzi MAC specifici.

•DHCP Snooping: Una tecnica che permette di monitorare le operazioni DHCP e prevenire server DHCP non autorizzati.

Conclusione

Il DHCP è uno dei protocolli più utilizzati nelle reti moderne per la configurazione automatica degli indirizzi IP. Riduce significativamente il carico amministrativo e rende le reti più flessibili e facili da gestire, pur richiedendo alcune attenzioni sul fronte della sicurezza.

LINK AI POST PRECEDENTI

RETI DI CALCOLATORI

APPROFONDIMENTO