DHCP: Atribuindo IP Somente para Clientes com MAC Pré-Cadastrados

O manual de configuração do arquivo dhcp.conf é grande e aqui almejo resumir explicando como configurar o serviço DHCP.

Outra observação importante é que o artigo a seguir foca em Linux. Mas qualquer programa que faça uso(implementa) o DHCP também possui essa funcionalidade. Ela pode está nomeada como “Allow Mac“.

Antes de iniciarmos, porém, quero deixar claro que, se seu propósito for segurança já pode ir tirando seu cavalinho da chuva pois a segurança proporcionada será mínima, quase zero. Estou falando sobre isso porque muitos usuários desejam criar regras para que somente dispositivos com MAC pré-cadastrados no servidor DHCP sejam autorizados a ter conexão quando conectado a um ponto de rede; por exemplo, se você tem um ponto de rede em uma área da sua empresa onde qualquer pessoa poderia conectar um cabo de rede e obter acesso, você deseja que somente dispositivos pré-autorizados obtenha acesso e se um dispositivo não estiver no cadastro ele não obterá sucesso na conexão. O servidor DHCP dará quase zero em segurança e confiabilidade quanto a isso;

Lembre-se que o DHCP trabalha com alocação, atribuindo IP para dispositivos. A configuração abaixo faria somente que o dispositivo não recebesse um IP do DHCP, mas se o usuário configurar um ip manualmente(ip estático), dentro da mesma faixa(range), ele obteria acesso.

Como alternativa e algo mais robusto, sugiro a você trabalhar com switch gerenciável. O switch trabalharia bloqueando a conexão e não teria nada a ver com atribuição. No switch você cria uma regra em uma porta onde estaria amarrado àquela porta um endereço MAC. Somente o dispositivo com aquele endereço MAC teria conexão aceita.

Arquivo dhcp.conf

Dentro do arquivo dhcp.conf as linhas abaixo já seriam o suficiente para atribuir IPs somente para dispositivos pré-cadastrados.

O termo não pré-cadastrado, no DHCP, é conhecido como unknown-clients. E usamos a declaração deny pra negar acesso a clientes desconhecidos(unknown-clients).

Mas, quis serão os dispositivos conhecidos?

Os dispositivos conhecidos são listados usando a declaração host.

authoritative;
ddns-update-style interim;
default-lease-time 28800;
max-lease-time 28800;

option routers 192.168.2.1;
option broadcast-address 192.168.2.255;
option subnet-mask 255.255.255.0;
option domain-name-servers 192.168.2.225, 192.168.2.223;
option domain-name "mydomain.org";

subnet 192.168.2.0 netmask 255.255.255.0 {
   range 192.168.2.205 192.168.2.212;
   host notebook {
   hardware ethernet 00:16:cb:99:50:e0;

deny unknown-clients;
}

host meupc{
hardware ethernet 00:16:cb:a9:0b:fc;
}

host meunotebook{
hardware ethernet 03:26:cb:b9:0b:fc;
}

host meucelular{
hardware ethernet 47:28:de:f9:0b:gu;
}

}

Acima, termos 3 dispositivos/clientes conhecidos; estão em verde.

Vamos entender um pouco mais sobre o assunto.

Declaração allow e deny

As instruções allow e deny podem ser usadas para controlar a resposta do servidor DHCP para vários tipos de solicitações de clientes.

A palavra-chave unknown-clients significa clientes desconhecidos e pode ser usada assim:

• allow unknown-clients;
• deny unknown-clients;
• ignore unknown-clients;

Veja que aqui acrescentamos a instrução ignore

O sinalizador(flag) unknown-clients é usado para informar ao dhcpd se deve ou não atribuir dinamicamente endereços para clientes desconhecidos. Um cliente desconhecido(unknown-clients) é simplesmente um cliente que não possui declaração de host, isto é, qualquer pc, notebook, celular… que não está referenciado dentro do da declaração host.

Não é recomendado que sejam usados allow, deny ou ignore mais uknown-clients dentro de um pool, mesmo sendo permitido.