DHCP
DHCP(Dynamic Host Configuration Protocol)은 컴퓨터에 IP를 할당하는 방법을 정의한 통신 규격이다.
맨 처음 인터넷이 IP 기반으로 통신을 할 때에는 고정 IP를 쓰거나 RARP(Reverse Address Resolution Protocol, RFC903 인터넷 규격에서 ARP의 반대 기능을 하는 프로토콜로 자신의 MAC 주소를 사용해 서버로부터 IP를 취득할 때 사용한다)를 이용해 하드웨어 단계(OSI 7계층에서 데이터링크~네트워크 계층, 인터넷 프로토콜 스위트에서는 인터넷 계층)에서 직접 IP를 알아내야 했으므로 인터넷 접속의 유연성이 상당히 떨어졌다. 이에 OSI 모형의 응용 계층(7계층)에서 직접 IP를 알아내는 작업을 수행할 수 있도록 하는 BOOTP 통신 프로토콜이 제안되었고, 이것이 1993년 DHCP로 진화하였다.
IP 할당 요청(Discover 단계)이 DHCP 서버들에게 Broadcast되면 Offer 단방향 통신 단계에서 적합한 DHCP 서버만이 응답하게 되며 부여할 Request, Acknowlege 순으로 단방향 통신 단계로 브로드캐스트/유니캐스트 방식 세팅 및 IP 값을 취득한 다음 검증을 받는다. 이때 Destination MAC 주소는 FF:FF:FF:FF:FF:FF가 된다.
DHCP로 IP를 주는 것은 '임대(lease)'이다. 즉 유효 시간이 존재하며 DHCP 서버에서 할당 가능한 IP 개수보다 서버에 할당을 요청할 수 있는 클라이언트의 개수가 더 많더라도 유효 시간을 짧게 함으로써 당장 인터넷 연결이 필요한 클라이언트부터 IP 주소를 받게 할 수 있다. 그리고 임대 시간이 절반 정도 지난 다음, 그리고 1/8 이하로 남았을 때 각각 갱신(Renewal) 요청을 통해 유효 시간을 연장하게 된다(이때는 Request, Acknowledge 두 단계만 거치게 되며 만일 두 번 다 실패하면 서버에서 알아서 IP를 반환 처리하기 때문에 IP를 다시 받아야 한다). 물론 클라이언트가 알아서 반환(Release) 요청을 하면 DHCP 서버 입장에서는 더 좋다.
DHCP 요청은 라우터를 넘어가지 못하기 때문에 DHCP 서버로 갈 때 라우터를 넘어가야 하는 경우를 위해 DHCP Relay Agent라는 기능이 라우터에 들어있다. 또 DHCP snooping 기능으로 IP에 대한 Binding Table을 감시해서 부적절한 요청을 차단하게 할 수 있다.
물론 DHCP의 한계로 중간자 공격의 일종인 DHCP MTM(man-in-the-middle) Attack으로 악의적인 DHCP 서버가 먼저 클라이언트에게 Offer를 주어 IP 할당 후 인터넷 통신 패킷을 통째로 털어가는 보안 취약점이 있다. 이론상으로는 가정용 인터넷 공유기에서도 이런 일이 일어날 가능성이 있다. 그래도 아예 MAC 주소를 변조하는 ARP Attack보다는 감지 후 방어 난이도가 나은 편이다. 주기적으로 공유기 펌웨어를 업데이트하고, 지나가던 크래커가 유무선 공유기에 Wi-Fi를 통해 침입해 펌웨어 변조로 DHCP MTM이 가능하니 보안 관리를 잘 하자.