DHCP 地址池耗尽攻击：原理、检测与四层防御

DHCP 租约四步：客户端广播 Discover（源 0.0.0.0）→ 服务器 Offer → 客户端 Request → 服务器 ACK。攻击者正是利用 Discover 广播、服务器无条件的慷慨分配来打爆地址池。

一、地址池耗尽攻击

攻击者持续发送大量伪造源 MAC 的 DHCP Discover，每来一个”新 MAC”服务器就分一个 IP，地址池很快被占满；合法客户端再发 Discover 时无地址可分，拿不到 IP 上不了网——这是一种低成本的拒绝服务。抓包能看到短时间内海量 Discover、源 MAC 五花八门。

二、防御手段

DHCP Snooping：交换机上把接服务器的口设为”信任口”、接用户的口设为”非信任口”，非信任口进来的 Offer/ACK 直接丢弃，并建立 MAC-IP-端口绑定表，只放行绑定内的分配。接口限速：限制每端口每秒 Discover 请求数，超限丢弃。端口安全：限制端口允许的 MAC 数量，防伪造大量 MAC。地址规划：划出固定设备/网关段不参与动态分配，保证关键设备地址。配合 802.1X 准入，让”能发包”前先”验明身份”，从根上减少伪造客户端。

三、小结

DHCP 便捷但默认”来者不拒”，生产网络尤其办公/校园/酒店，务必开 DHCP Snooping + 接口限速 + 端口安全，否则一个脚本就能让全网拿不到地址。

一、攻击时序

DHCP 的 Discover 是广播且服务端来者不拒：每收到一个来自新 MAC 的 Discover，服务器就占用一个地址。攻击者用脚本持续发送源 MAC 随机变化的 Discover，请求量可以是正常终端的几十倍，地址池在短时间内被占满。此时合法终端再发 Discover，服务端无地址可分，表现为”连上 Wi-Fi 但拿不到地址”。抓包特征很明显：短时间内大量 Discover、源 MAC 高度分散、且这些 MAC 之后再无任何流量。

二、检测

三个信号叠加即可判定：地址池使用率短时间内跳到接近 100%；日志里出现大量从未再次使用的 MAC 地址；终端在池满后集中报”获取地址失败”。这三条一起出现基本可确认，单看池使用率容易被正常高峰误判。

三、四层防御

四、池容量也要留余量

防御之外，地址池容量本身要按”同时在线终端数 × 1.3″来定，并把服务器、网关、打印机等固定设备的地址从动态段里排除。池留 20%–30% 余量不仅防攻击，也防正常高峰（如会议散场、楼层换班）把池瞬间打满。