夯实基础 - DHCP 协议（二）
书接上回，我们继续说
https://articles.zsxq.com/id_v3m5zjcs2bes.html
现在 DHCP 的组件你了解后，下面我就要和你聊聊 DHCP 的工作机制了。
DHCP 工作机制
在聊 DHCP 工作机制前，先来看一下 DHCP 的报文消息
DHCP 报文
DHCP 报文共有一下几种：
- DHCP DISCOVER ：客户端开始 DHCP 过程发送的包，是 DHCP 协议的开始。
- DHCP OFFER ：服务器接收到 DHCPDISCOVER 之后做出的响应，它包括了给予客户端的 IP 租约过期时间、服务器的识别符以及其他信息。
- DHCP REQUEST ：客户端对于服务器发出的 DHCPOFFER 所做出的响应。在续约租期的时候同样会使用。
- DHCP ACK ：服务器在接收到客户端发来的 DHCPREQUEST 之后发出的成功确认的报文。在建立连接的时候，客户端在接收到这个报文之后才会确认分配给它的 IP 和其他信息可以被允许使用。
- DHCP NAK ：DHCPACK 的相反的报文，表示服务器拒绝了客户端的请求。
- DHCP RELEASE ：一般出现在客户端关机、下线等状况。这个报文将会使 DHCP 服务器释放发出此报文的客户端的 IP 地址。
- DHCP INFORM ：客户端发出的向服务器请求一些信息的报文。
- DHCP DECLINE :当客户端发现服务器分配的 IP 地址无法使用（如 IP 地址冲突时），将发出此报文，通知服务器禁止使用该 IP 地址。
DHCP 的工作机制比较简单，无非就是客户端向服务器租借 IP ，服务器提供 IP 给客户端的这个过程呗。嗯，你很聪明，大致是这样的，不过有一些细节需要注意下，下面我通过两张图来和你聊一下。
关于从 DHCP 中获取 IP 地址的流程，主要分为两个阶段。
第一个阶段是 DHCP 查找包的阶段
查找包的阶段主要分为两步：第一步是 DHCP 发现包，第二步是 DHCP 提供包。
DHCP 客户端在通信链路上发起广播，看看链路上有没有能提供 DHCP 包的服务器，然后通信链路上的各个节点会检查自己是否能够提供 DHCP 包，这时 DHCP 服务器说它能够提供 DHCP 包，然后 DHCP 就发出一个 DHCP 包沿着通信链路返回给 DHCP 客户端。
第二个阶段是 DHCP 的请求阶段。
DHCP 的请求包也分为两步：第一步是 DHCP 请求包，第二步是 DHCP 确认包。
DHCP 客户端在通信链路上发起 DHCP 请求包，请求包主要是告诉 DHCP 服务器，它想要用上一步提供的网络设置，然后 DHCP 服务器向 DHCP 客户端发送确认包，表示允许 DHCP 客户端使用第二步发送的网络设置。
至此，DHCP 的网络设置就结束了，然后通信链路上的主机之间就可以进行 TCP/IP 通信了。
当不需要 IP 地址时，可以发送 DHCP 解除包(DHCP RELEASE)进行解除。另外，DHCP 的设置中通常会有一个租期时间的设定，DHCP 客户端在这个时限内可以发送 DHCP 请求包通知想要延长这个期限。
DHCP 状态机
我们上面知道 DHCP 会发送几种请求包，我们知道，动作肯定伴随着状态的更改，DHCP 也是一样的，在 DHCP 发送/接收各种包的时候，其状态也在发生相应的改变。DHCP 协议可以在客户端和服务器上运行状态机。状态决定了协议接下来要处理的消息类型。
状态之间的转换（箭头）是由于接收和发送消息或者计时器到期才发生的转换。下面是 DHCP 的状态轮转图。
客户端在开始时没有消息，此时处于 INIT 状态，然后客户端会在通信链路上发起一个广播 DHCP DISCOVER。
在 Selecting 选择状态下，客户端会收集 DHCPOFFER 消息，直到确定要使用的地址和服务器为止。
一旦 DHCP 客户端做好选择后，它就会发送 DHCPREQUEST 消息并进入 Requesting 状态，在这个状态下它很可能收到并不需要的 ACK 响应，如果这个状态下没有找到合适的地址的话，那么客户端就会发送DHCPDECLINE 并恢复为 INIT 状态，但是这种发生的概率比较小。
在处于 Requesting 状态下的客户端很可能接受发送过来的 DHCPACK 消息，获取超时时间 T1 和 T2，然后进入 Bound 绑定状态，在这个状态下可以使用地址直到地址过期。
在第一个计时器 T1 到期时，客户端会进入 renewing 续订状态，并重新尝试建立租约时间，如果收到新的 ACK 消息就表示续订成功，然后就恢复为 Bound 状态。
如果没有收到 ACK 那么 T2 会最终过期进入 Rebinding 状态，进入这个状态的客户端会重新尝试获取地址，如果最终的租约到期，那么客户端必须放弃租约地址，并且如果没有其他地址或网络连接要使用，客户端将断开连接。
DHCP 冲突
现在我们讨论一下 DHCP 冲突的问题，DHCP 冲突其实就是 IP 重了，当一个子网中两个或者更多主机配置了相同的 IP 地址时，就会发生 IP 冲突的现象。发生这种情况可能导致的后果是两个冲突的主机混在一起，一台主机可能接收了另一台主机的数据包。
那么造成这种情况的原因是啥呢？
造成这种情况的原因有很多，这里我列举两个可能出现的情况：
- 第一种情况是一台主机配置了静态 IP 地址，这台主机联网后，其 IP 地址不会在 DHCP 服务器中，然后另外一个主机入网，DHCP 服务器给这台主机自动分配了相同的 IP 地址，这两个地址就产生了 IP 冲突。
- 第二种情况是，客户端从 DHCP 服务器获得了 IP 地址，然后这台主机下线了，随着租约到期，DHCP 会将这个 IP 地址又分配给了其他主机，等到这个主机重新上线后，由于某种原因，计算机无法访问 DHCP 服务器，这种情况下会造成 IP 冲突。
当检测到 IP 冲突时，通常 Windows 系统和 Mac 系统会弹出 IP 冲突的弹窗。
DHCP 中继代理
常规家庭网络（土豪除外）中大多数都只有一个以太网，也就是 LAN 网段，一个 DHCP 服务器完全可以满足 LAN 中的客户机使用。但是，在更复杂的网络中，比如企业或者学校，一台 DHCP 服务器显然就无法满足了。因此，这种情况下，往往需要 DHCP 的统一管理，具体实现方式可以通过 DHCP 中继代理 来转发 DHCP 流量，如下图所示。
如上图所示，存在两个网段 A 和网段 B，DHCP 客户机和 DHCP 服务器不在一个网段内，所以我们在通信链路上架设了一个中继代理，DHCP 客户机通过访问中继代理以达到访问 DHCP 服务器的目的。
使用这种方式，我们不再需要在每个网段都设置一个 DHCP 服务器，只需要在每个网段架设一个中继代理即可。它可以设置 DHCP 服务器的 IP 地址，从而可以在 DHCP 服务器上为每个网段注册 IP 地址的分配范围。
DHCP 客户端会向 DHCP 中继代理发送 DHCP 请求包，而 DHCP 中继代理在收到这个广播包之后再以单播的形式发送给 DHCP 服务器。服务器收到该包以后再向 DHCP 中继代理返回应答，并由 DHCP 中继代理将此包发送给 DHCP 客户端。
DHCP 认证
我们总是假想所有情况都能够顺利进行，害怕出问题，这也许意味着我永远只是个初级程序员吧。我们上面探讨的 DHCP 服务器都是合理的、合法的，但是互联网是一把双刃剑，不是所有人都是合法公民。如果假设了一个未经授权的 DHCP 服务器怎么办？它很可能会对网络造成影响。
为了避免这些问题，在 [RFC3118] 中指定了一种认证 DHCP 消息的方法。 它定义了一个 DHCP 选项，即Authentication 选项，如下所示
认证选项的主要目的就是确定 DHCP 消息是否来自一个授权的发送方。
身份验证的代码（code）属性值是 90，而长度（Length）给出了选项中的字节数（不包括代码和长度字段的字节）。如果协议（Protocol）和算法（Algorithm）属性被设置为 0 ，则认证信息字段将保存一个简单的共享配置的 token，token 大家开发应该都接触过把，就是一条认证信息。只要配置令牌在客户端和服务器上匹配，这条消息就会被接受。
我们上面聊到的只是其中的一种，还有一种更安全的方法是涉及所谓的延迟身份认证，如果协议和算法都被设置为 1，就表示使用了延迟身份认证。在这种情况下，客户端的 DHCPDISCOVER 消息或 DHCPINFORM 消息包括身份验证选项，并且服务器以其 DHCPOFFER 或 DHCPACK 消息中包含的身份验证信息进行响应。这个认证信息中包括一个消息认证码，它提供对发送方的认证和消息的完整性校验。RDM 表示中继检测，中继检测包括一个单项递增的值，只要经过一个代理中继，那么这个中继检测的值就会 + 1。
虽然 DHCP 认证能够确保安全性，但是它没有被广泛使用，原因有两点：
- 首先，该方法要求在 DHCP 服务器和每个需要身份验证的客户端之间分配共享密钥。
- 其次，在 DHCP 已经被广泛使用之后，才指定了 Authentication 选项。
总结
这篇文章我和你探讨了计算机网络中一个比较容易忽视的概念，为什么说他容易忽视呢？因为我们平常开发过程中基本上不会管 IP 地址的配置的，也就是环境搭建的时候会用到一些，但是要系统学习计算机网络的话，DHCP 的重要性不可忽视，DHCP 包括工作机制、DHCP 报文消息，DHCP 状态机、DHCP 认证这些都是需要你了解并掌握的。
