DHCP : que signifie Dynamic Host Con­fi­gu­ra­tion Protocol ?

La connexion d’appareils à un réseau TCP/IP existant est désormais très facile. Au­pa­ra­vant il fallait attribuer ma­nuel­le­ment des adresses IP et les saisir dans les dif­fé­rents systèmes, mais de nos jours la gestion des adresses est au­to­ma­tique. Le protocole DHCP (Dynamic Host Con­fi­gu­ra­tion Protocol, en français : protocole de con­fi­gu­ra­tion dynamique des hôtes) permet au matériel de com­mu­ni­ca­tion (comme les routeurs, les com­mu­ta­teurs et les hubs) d’attribuer au­to­ma­ti­que­ment une adresse in­di­vi­duelle aux dis­po­si­tifs de recherche de connexion et de les intégrer dans un réseau.

Le protocole DHCP est une extension du protocole BOOTP (Bootstrap Protocol) développé en 1985 pour connecter des pé­ri­phé­riques simples comme les terminaux et les postes de travail sans disque dur à un serveur de démarrage. Ces pé­ri­phé­riques accèdent ensuite à votre système d’ex­ploi­ta­tion via le serveur. Conçu comme une solution pour les grands réseaux et pour les or­di­na­teurs portables, le DHCP complète BOOTP avec des fonc­tion­na­li­tés telles que la pos­si­bi­lité d’assigner au­to­ma­ti­que­ment des adresses réseau réu­ti­li­sables et des options de con­fi­gu­ra­tion sup­plé­men­taires. Après les premières dé­fi­ni­tions du protocole dans les RFC 1531 et 1541 (tous les deux de 1993), la spé­ci­fi­ca­tion standard a été of­fi­cia­li­sée en 1997 et a été en­re­gis­trée dans le RFC 2131. L’IANA (Internet Assigned Numbers Authority) a attribué les ports UDP 67 et 68 (pour IPv6 : ports 546 et 547) au protocole de com­mu­ni­ca­tion, qui sont également affectés pour le protocole Bootstrap.

L’at­tri­bu­tion d’adresses avec le DHCP fonc­tionne selon le principe du client-serveur : les appareils qui re­cherchent une connexion demandent la con­fi­gu­ra­tion de l’adresse IP à un serveur DHCP, qui accède à son tour à une base de données dans laquelle sont saisies les pa­ra­mètres réseau à définir. De plus, ce serveur, qui fait partie in­té­grante de tout routeur DSL moderne, peut assigner les pa­ra­mètres suivants au client en utilisant ses in­for­ma­tions de base données :

• Adresse IP unique
  
  
• Masque de sous-réseau
  
  
• Pas­se­relle standard
  
  
• Serveur DNS
  
  
• Con­fi­gu­ra­tion du proxy via WPAD (Web Proxy Auto-Discovery Protocol)

L’at­tri­bu­tion au­to­ma­tiques des adresses via le protocole de con­fi­gu­ra­tion dynamique de l‘hôte (DHCP) se déroule en quatre étapes con­sé­cu­tives :

1. Pour commencer, le client envoie un paquet DHCP­DIS­CO­VER avec l’adresse cible 255.255.255.255 et l’adresse source 0.0.0.0. Avec cette diffusion, il contacte tous les par­ti­ci­pants du réseau pour localiser les serveurs DHCP dis­po­nibles et les informer de la demande d’adresse. Dans le meilleur des cas, seul un serveur existe, ainsi il n’y a pas de com­pli­ca­tions avec l’at­tri­bu­tion.
    
2. Tous les serveurs DHCP qui écoutent les requêtes du port 67 répondent à la demande du client avec un paquet DHCPOFFER. Cette réponse, en plus d’une éven­tuelle adresse IP libre et l’adresse MAC du client, contient aussi le masque de sous-réseau ainsi que l’adresse IP et ID du serveur.
    
3. Le client DHCP en sé­lec­tionne un à partir des données d’adresse reçues et informe le serveur concerné via DHC­PRE­QUEST. Tous les autres serveurs reçoivent aussi ce message et savent ainsi que le choix a été fait en faveur d’un autre serveur. De plus, le client demande au serveur d’activer les données proposées. Le DHC­PRE­QUEST est aussi utilisé pour confirmer les pa­ra­mètres reçus pré­cé­dem­ment.
    
4. Enfin, le serveur confirme les pa­ra­mètres TCP/IP et va les trans­mettre à nouveau au client à l’aide d’un paquet DHCPACK (DHCP ack­now­led­ged, pour « reconnu »). Il contient des in­for­ma­tions sup­plé­men­taires, par exemple sur les serveurs DNS, SMTP ou POP3. Le DHCP client en­re­gistre main­te­nant toutes les données reçues lo­ca­le­ment et se connecte au réseau. Si le serveur n’est plus dis­po­nible ou si l’adresse IP a été attribuée à un autre client au cours du processus de con­fi­gu­ra­tion, il répond alors avec DHCPNAK (DHCP not ack­now­led­ged « non reconnu »).

L’adresse au­to­ma­ti­que­ment assignée est en­re­gis­trée en com­bi­nai­son avec l’adresse MAC dans la base de données du serveur, ce qui signifie que la con­fi­gu­ra­tion devient per­ma­nente. L’appareil se connecte toujours au réseau avec l’adresse IP affectée, qui est bloquée pour les autres clients. Toutefois, cela présente aussi l’in­con­vé­nient que les nouveaux clients DHCP ne reçoivent pas d’adresse si toute la plage d’adresses a déjà été assignée, même si certaines adresses IP ne sont plus utilisées ac­ti­ve­ment. C’est es­sen­tiel­le­ment pour cette raison que les adresses IP dy­na­miques et dans certains cas par­ti­cu­liers l’af­fec­ta­tion manuelle via le serveur DHCP, comme il en sera question dans la section suivante, sont bien plus cou­ram­ment utilisés.

Le risque de ren­con­trer une plage d’adresses en­tiè­re­ment occupée est peu probable lors de l’at­tri­bu­tion d’adresses dynamique. En principe, cette méthode est largement similaire à l’as­sig­na­tion au­to­ma­tique, mais il existe néanmoins une petite et subtile dif­fé­rence : les con­fi­gu­ra­tions IP trans­mises par le serveur DHCP ne sont pas valables pour une durée in­dé­ter­mi­née mais avec un bail défini par l’ad­mi­nis­tra­teur. Il indique la durée pendant laquelle l’appareil peut accéder au réseau avec l’adresse IP cor­res­pon­dante. Avant l’ex­pi­ra­tion de ce délai, les clients conformes aux normes doivent demander une pro­lon­ga­tion en envoyant un autre paquet DHC­PRE­QUEST. Si cela ne se produit pas, il y a alors un DHCP refresh et le serveur libère l’adresse.

Bien que les ad­mi­nis­tra­teurs n’aient pas grand-chose à voir avec les options d’af­fec­ta­tion au­to­ma­tique ou dynamique, la situation avec l’af­fec­ta­tion manuelle des adresses est com­plè­te­ment dif­fé­rente. Dans cette procédure, appelée aussi DHCP statique, les adresses IP dis­po­nibles sont assignées ma­nuel­le­ment à des adresses MAC spé­ci­fiques à l’aide du serveur DHCP. Il n’y a aucune res­tric­tion con­cer­nant la période de validité.

En raison de l’effort ad­mi­nis­tra­tif important, qui va à l’encontre du but réel du Dynamic Host Con­fi­gu­ra­tion Protocol, ce type d’af­fec­ta­tion n’est utile que pour très peu de scénarios d’ap­pli­ca­tion. Les adresses IP statiques sont né­ces­saires, par exemple, si des services de serveur sont hébergés sur l’or­di­na­teur en question et devraient être ac­ces­sibles à tout moment pour d’autres uti­li­sa­teurs du réseau. Il est également important pour la re­di­rec­tion de port que l’adresse IP reste inchangée.

Pour que les adresses IP at­tri­buées par les clients puissent recevoir leurs noms de domaine en­tiè­re­ment qualifiés, un serveur DNS doit fournir une ré­so­lu­tion de nom. Si une adresse ou un nom d’hôte déjà saisi est modifié, le serveur de noms a besoin d’une mise à jour. Dans le cas d’une mo­di­fi­ca­tion et d’une évolution constante des adresses IP résultant de l’al­lo­ca­tion dynamique via un serveur DHCP, l’exécution manuelle exigerait beaucoup d’efforts de la part de l’ad­mi­nis­tra­teur du réseau, ainsi que pour l’uti­li­sa­teur qui souhaite se connecter à Internet avec ses appareils à domicile. Le fait qu’ils n’aient pas à le faire est possible grâce au serveur DHCP, ce dernier se charge en effet d’envoyer les nouvelles in­for­ma­tions au DNS dès qu’une nouvelle adresse IP est assignée.

Une des fai­blesses du Dynamic Host Con­fi­gu­ra­tion Protocol est le fait qu’il est facile à manipuler : comme le client contacte tous les serveurs DHCP po­ten­tiels, cela permet par exemple, aux hackers de faire in­ter­ve­nir leur propre machine, si ils ont accès au réseau en question. On nomme un tel serveur mal­veil­lant un DHCP « Rogue », ce dernier essaie d’être plus rapide avec sa réponse à la demande de connexion du client que le serveur normal lui-même. En cas de succès, il transmet des pa­ra­mètres manipulés ou bien inu­ti­li­sables. Ainsi, il peut par ce biais, lancer des attaques par déni de service sur le réseau en ne trans­met­tant pas de pas­se­relle, en assignant un sous-réseau distinct à chaque client ou en répondant à toutes les demandes avec la même adresse IP. Un autre scénario encore plus dra­ma­tique mais plausible est la tentative d’in­tro­duire un routeur étranger qui coupe ou redirige le trafic de données du client en utilisant une pas­se­relle et des in­for­ma­tions DNS in­cor­rectes. Con­trai­re­ment au premier type d’attaque men­tion­née plus haut, une attaque de l’homme du milieu ne vise pas le crash du réseau, mais plutôt l’ap­pro­pria­tion frau­du­leuse de données sensibles comme les données bancaires, les mots de passe ou les in­for­ma­tions d’adresse. Quel que soit le type d’attaque, les at­ta­quants doivent cependant avoir un accès direct à votre réseau afin d’utiliser le protocole DHCP à leurs propres fins. Prenez les pré­cau­tions de sécurité né­ces­saires et profitez des avantages du protocole de com­mu­ni­ca­tion sans avoir à craindre de telles attaques. En tant que res­pon­sable d’un réseau local plus large, vous devez disposer d’une pro­tec­tion complète contre les attaques externes et internes ainsi que d’une sur­veil­lance continue de tous les processus réseau avec des outils tels que Nagios qui se doit d’être pour vous la norme. Dans notre guide sur la sécurité wifi, nous apportons des in­for­ma­tions sup­plé­men­taires sur les options qui s’offrent à vous pour protéger les réseaux sans fil.

Si vous souhaitez rejoindre un réseau local ou sans fil avec votre appareil, vous utilisez gé­né­ra­le­ment de manière au­to­ma­tique le protocole DHCP sans avoir à modifier les pa­ra­mètres réseau. Par exemple, les or­di­na­teurs équipés du système d’ex­ploi­ta­tion Microsoft Windows sont depuis longtemps pré­pro­gram­més pour fonc­tion­ner comme des clients DHCP qui ob­tien­nent leurs adresses IP au­to­ma­ti­que­ment. Par défaut, il s’agit du type d’af­fec­ta­tion dynamique, dans lequel les pa­ra­mètres de con­fi­gu­ra­tions doivent être « prolongés » ou réaf­fec­tées après la date d’ex­pi­ra­tion. Dans les réseaux locaux, l’at­tri­bu­tion au­to­ma­tique d’adresses fixes peut également être utilisée si le serveur DHCP est impliqué et configuré de manière ap­pro­priée.

Si vous souhaitez vérifier les pa­ra­mètres d’at­tri­bu­tion d’adresse en cours ou dé­sac­ti­ver le DHCP et passer à la variante manuelle, vous pouvez le faire en suivant les étapes décrites ci-dessous, mais pour cela vous devez bien sur disposer des droits d’ad­mi­nis­tra­teur.

6. Si vous avez l’intention de dé­sac­ti­ver le DHCP, vous devez toujours saisir une adresse IP fixe et un masque de sous-réseau (par défaut 255.255.255.0). Vous pouvez définir la plage d'adresses po­ten­tielles pour l’adresse IP dans les pa­ra­mètres du serveur DHCP, que vous pouvez appeler via l'in­ter­face uti­li­sa­teur de votre routeur puisqu’il agit comme un serveur. Il est également possible de dé­sac­ti­ver le serveur DHCP et l’at­tri­bu­tion d’adresses via le protocole.

6. Pour dé­sac­ti­ver le  DHCP, il est à nouveau né­ces­saire d’entrer les pa­ra­mètres cor­res­pon­dants dans le serveur que vous utilisez. 

6. Pour dé­sac­ti­ver le DHCP sous Windows 10, vous devez accéder à l’interface de votre serveur DHCP et y effectuer les réglages ap­pro­priés.