這是Windows DHCP最佳實(shí)踐和技巧的最終指南垛吗。
如果您有任何最佳做法或技巧逮壁，請(qǐng)?jiān)谙旅娴脑u(píng)論中發(fā)布它們凌盯。
在本指南（一）中，我將分享以下DHCP最佳實(shí)踐和技巧掐隐。
不要在域控制器上放置DHCP
一般建議不要在域控制器上運(yùn)行除DNS以外的任何其他角色狗热。您的域控制器應(yīng)該是域控制器/ DNS，就是這樣瑟枫。小型組織通常會(huì)在其域控制器上安裝其他角色和第三方軟件斗搞。建議您盡可能避免這種情況指攒。
有什么問題
在DC上安裝其他服務(wù)會(huì)增加攻擊面慷妙，使其難以管理，并可能導(dǎo)致性能問題允悦。
問題1：管理具有多個(gè)角色的DC
安裝了多個(gè)角色的域控制器很難管理膝擂。這通常會(huì)導(dǎo)致不穩(wěn)定和服務(wù)中斷。
例如隙弛，假設(shè)您在使用DHCP時(shí)遇到問題架馋，或者安裝了需要重新啟動(dòng)的安全補(bǔ)丁。重新引導(dǎo)具有Active Directory域服務(wù)角色的服務(wù)器可能會(huì)對(duì)組織造成重大破壞全闷。這可能會(huì)影響身份驗(yàn)證叉寂，復(fù)制，組策略和DNS总珠。如果DNS關(guān)閉屏鳍，您的用戶將無法訪問任何內(nèi)容勘纯。
如果您有多個(gè)域控制器并且配置正確，則可以避免這些問題钓瞭，但是為什么要冒險(xiǎn)呢驳遵？
如果在自己的服務(wù)器上安裝了DHCP，則可以重新啟動(dòng)DCHP服務(wù)器山涡，而不必?fù)?dān)心會(huì)影響域控制器上的服務(wù)堤结。
問題2：安全
- 您安裝的軟件/服務(wù)越多，攻擊生存期就越大鸭丛。如果在DC上安裝了DHCP竞穷，并且在DHCP服務(wù)中發(fā)現(xiàn)了一個(gè)新漏洞，則DC服務(wù)器現(xiàn)在處于危險(xiǎn)中系吩。
- 您有訪客無線網(wǎng)路嗎来庭？您如何看待這些不受管設(shè)備連接到DHCP / DC服務(wù)器？我不喜歡使用內(nèi)部DHCP服務(wù)器為公眾提供IP地址穿挨。然后添加這些公共設(shè)備也正在連接到域控制器月弛，這會(huì)導(dǎo)致我關(guān)閉安全告警。
- 在域控制器上安裝DHCP后科盛，DHCP服務(wù)將繼承DC計(jì)算機(jī)帳戶的安全權(quán)限帽衙。這違反了最小特權(quán)原則。現(xiàn)在贞绵，您的DHCP服務(wù)器正在以特權(quán)運(yùn)行厉萝，并且執(zhí)行的并不是為其設(shè)計(jì)的任務(wù)。所以這可以糾正榨崩，不要增加這種風(fēng)險(xiǎn)谴垫。
在自己的成員服務(wù)器上安裝DHCP將減少DC的攻擊面。
問題3：性能
通常母蛛，我已經(jīng)看到DHCP服務(wù)器運(yùn)行非常高效翩剪，并且不需要大量系統(tǒng)資源（例如CPU或內(nèi)存）。
但是彩郊，假設(shè)您剛剛了解了新的DHCP選項(xiàng)（例如沖突檢測(cè)）前弯，然后將其打開了所有作用域。現(xiàn)在秫逝，CPU使用率激增恕出，域服務(wù)變慢，用戶無法登錄违帆，DNS請(qǐng)求也變慢浙巫。
也許您安裝了IPAM來跟蹤可用的IP地址，并且占用了CPU和內(nèi)存刷后，從而再次占用了域服務(wù)的資源的畴。
我可以繼續(xù)假設(shè)很多情況廉油，但是要指出的是，您在域控制器上安裝的軟件/服務(wù)越多苗傅，對(duì)性能的影響就越大抒线，并導(dǎo)致服務(wù)中斷。
總結(jié)
域控制器是Windows域環(huán)境中最關(guān)鍵的服務(wù)之一渣慕，在一臺(tái)單獨(dú)服務(wù)器上運(yùn)行嘶炭。域控制服務(wù)器器只能是是域控制器，只能是域控制器逊桦，只能是域控制器眨猎。沒有其他的，重要的事情說三遍强经。
使用DHCP故障轉(zhuǎn)移
DHCP故障轉(zhuǎn)移是用于確保DHCP服務(wù)器的高可用性的功能睡陪。通過DHCP故障轉(zhuǎn)移，兩臺(tái)DHCP服務(wù)器共享DHCP信息匿情，因此兰迫，如果一臺(tái)服務(wù)器發(fā)生故障，另一臺(tái)服務(wù)器仍可以為客戶端提供DHCP租約炬称。
DHCP故障轉(zhuǎn)移選項(xiàng)內(nèi)置在Windows服務(wù)器操作系統(tǒng)中汁果。下圖顯示了兩個(gè)配置有負(fù)載平衡故障模式的DHCP服務(wù)器的設(shè)置。如果一臺(tái)服務(wù)器發(fā)生故障玲躯，另一臺(tái)服務(wù)器仍處于活動(dòng)狀態(tài)并接管所有DCHP請(qǐng)求据德。
有兩種故障轉(zhuǎn)移設(shè)計(jì)選項(xiàng)：
熱備設(shè)計(jì)
使用熱備用模式時(shí)，一臺(tái)服務(wù)器是活動(dòng)服務(wù)器跷车，另一臺(tái)是備用服務(wù)器棘利。活動(dòng)服務(wù)器是主服務(wù)器朽缴，并處理所有DHCP請(qǐng)求善玫。如果活動(dòng)服務(wù)器關(guān)閉，則備用服務(wù)器將接管DHCP請(qǐng)求不铆。
該選項(xiàng)通常與備用單元位于與主用單元不同的位置時(shí)使用蝌焚。
負(fù)載均衡設(shè)計(jì)
在負(fù)載平衡模式下裹唆，兩臺(tái)服務(wù)器均以雙活模式工作以處理DHCP請(qǐng)求誓斥。請(qǐng)求是負(fù)載平衡的，并在兩個(gè)DHCP服務(wù)器之間共享许帐。如果其中一臺(tái)服務(wù)器與其故障轉(zhuǎn)移伙伴失去聯(lián)系劳坑，它將開始向所有DHCP客戶端授予租約。
總結(jié)
您將需要確定哪種故障轉(zhuǎn)移設(shè)計(jì)最適合您的環(huán)境成畦。它是一個(gè)免費(fèi)的內(nèi)置選項(xiàng)距芬，因此請(qǐng)充分利用它涝开，并使您的DHCP服務(wù)器具有容錯(cuò)能力。
資料來源
中央與分布式DHCP服務(wù)器
您的大型網(wǎng)絡(luò)在多個(gè)位置都有分支機(jī)構(gòu)嗎框仔？
問題是您是在這些分支機(jī)構(gòu)中安裝DHCP服務(wù)器舀武，還是將它們隧道傳輸回集中式DHCP服務(wù)器？
集中式DHCP服務(wù)器
集中式DHCP服務(wù)器放置在遠(yuǎn)程辦公室連接到DHCP的集中位置离斩。它通常位于主要數(shù)據(jù)中心之一银舱。在此設(shè)計(jì)中，沒有本地DHCP服務(wù)器跛梗，所有請(qǐng)求都返回到集中式服務(wù)器寻馏。
分布式DHCP服務(wù)器
在分布式DHCP模型中，本地分支機(jī)構(gòu)中有DHCP服務(wù)器核偿。此模型的客戶端從本地DHCP服務(wù)器獲取IP地址诚欠。
那么哪個(gè)選項(xiàng)最好呢？
可以用一個(gè)簡單的問題來回答嗎漾岳？
分支機(jī)構(gòu)可以完全獨(dú)立地工作轰绵，而無需回到數(shù)據(jù)中心嗎？如果是尼荆，則應(yīng)該有一個(gè)本地DHCP和DNS服務(wù)器藏澳。
如果分支機(jī)構(gòu)通過隧道返回到Internet，Active Directory耀找，DNS等數(shù)據(jù)中心翔悠，則將DHCP放在本地毫無意義。
我為一家在全國設(shè)有分部的公司工作野芒，并使用集中式DHCP模式蓄愁。我們擁有可靠的快速連接，因此使用集中式DHCP服務(wù)器非常有意義狞悲。
要考慮的一件事是分部有多少員工撮抓。如果您有一個(gè)擁有數(shù)千名員工的大型分部，那么擁有Active Directory摇锋，DNS和DHCP等本地資源可能會(huì)有所幫助丹拯。這將通過WAN鏈接傳輸大量流量，如果該鏈接斷開荸恕，將使所有這些員工脫機(jī)乖酬。
總結(jié)
集中式DHCP或分布式DHCP之間的選擇通常可以通過以下問題回答：“分支機(jī)構(gòu)可以在沒有連接回?cái)?shù)據(jù)中心的情況下工作融求。遠(yuǎn)程辦公室的大小和回到數(shù)據(jù)中心的連接速度也可能是一個(gè)因素咬像。
資料來源
https://www.reddit.com/r/networking/comments/8wb0qg/distributed_vs_centralized_dhcp/
避免靜態(tài)IP分配并使用DHCP保留
為計(jì)算機(jī)，打印機(jī)，電話或任何其他最終用戶設(shè)備分配靜態(tài)IP地址是一件很麻煩的事情县昂。
以下是統(tǒng)計(jì)分配靜態(tài)IP地址時(shí)肮柜，發(fā)生以下情況：
- Helpdesk替換了不知道設(shè)置了靜態(tài)IP的設(shè)備
- 現(xiàn)在這臺(tái)設(shè)備完全或部分失去網(wǎng)絡(luò)連接
- Helpdesk將故障單發(fā)送給網(wǎng)絡(luò)團(tuán)隊(duì)以求解決問題
- 網(wǎng)絡(luò)團(tuán)隊(duì)把故障單發(fā)回Helpdesk，因?yàn)槭褂昧遂o態(tài)IP
- 現(xiàn)在倒彰，Helpdesk必須找到設(shè)備并重新分配IP
我已經(jīng)多次處于上述情況审洞，就像我說的那樣。為了避免這種情況待讳，只需使用DHCP保留而不是靜態(tài)IP分配即可预明。
對(duì)于需要固定IP地址的任何內(nèi)容，我都使用DHCP保留耙箍。一個(gè)例外是路由器和交換機(jī)等基礎(chǔ)設(shè)施設(shè)備撰糠，它們會(huì)獲得靜態(tài)IP。
打印機(jī)的DHCP保留的屏幕截圖辩昆。
通過DHCP保留阅酪，您所需要做的就是在更換設(shè)備并自動(dòng)將IP分配回設(shè)備時(shí)更新MAC地址。它還可以快速查看為其分配IP的所有內(nèi)容汁针，而無需手動(dòng)跟蹤電子表格中的所有內(nèi)容术辐。
本系列文檔目錄：
本文首發(fā)于BigYoung小站
