DHCP Server Kurulumu, Yapılandırması ve Çalışma Mantığı

DHCP (Dynamic Host Configuration Protocol), bir Network'teki istemcilere IP adresini, Subnet Mask'ı, Default Gateway'i ve DNS sunucularını otomatik olarak dağıtan protokoldür. Statik adreslemede her cihazın elle yapılandırılması gerekir, aynı adresin iki cihaza verilmesi ya da yanlış bir Gateway girilmesi gibi hatalar cihaz sayısı arttıkça kaçınılmaz hale gelir. DHCP Server bu yapılandırmayı tek bir noktadan yönetir.

VLAN'larla bölünmüş bir ağda her VLAN için ayrı bir Scope tanımlanır. DHCP sunucusu istemcilerle aynı VLAN'da değilse, yönlendiricide DHCP Relay (IP Helper) tanımlanarak istemcilerin broadcast istekleri DHCP sunucusuna iletilir.

Bu yazıda DHCP'nin adres dağıtım ve Lease yenileme sürecini anlatıyor, ardından bir Windows Server üzerinde DHCP Server rolünü kurup bir Scope oluşturuyor, Scope Options, Reservation ve Filter yapılandırmalarını yapıyorum. Birden fazla DHCP sunucusuyla yedeklilik kapsam dışında.

1- DHCP Nasıl Çalışır?

Bir istemcinin DHCP'den adres alması dört mesajla tamamlanır: Discover, Offer, Request ve Acknowledge. Bu dört mesaj, baş harflerinden dolayı yaygın olarak DORA diye anılır. DHCP sunucusu UDP 67, istemci UDP 68 portunu kullanır.

İstemci (0.0.0.0)                                   DHCP Server
   │  1. DHCP Discover   Broadcast 255.255.255.255  ──►  │
   │  ◄──  2. DHCP Offer  Broadcast ya da Unicast        │
   │  3. DHCP Request    Broadcast 255.255.255.255  ──►  │
   │  ◄──  4. DHCP ACK   Broadcast ya da Unicast         │

DHCP Discover

İstemcinin henüz bir IP adresi olmadığı için Discover mesajını kaynak 0.0.0.0, hedef 255.255.255.255 adresiyle ve hedef MAC adresi FF:FF:FF:FF:FF:FF olan bir broadcast olarak gönderir. Mesajda istemcinin MAC adresi, sonraki mesajları bu işlemle eşleştirmek için kullanılan bir Transaction ID ve istemcinin istediği seçeneklerin listesi bulunur. Broadcast yönlendiricilerden geçmediği için mesaj yalnızca aynı alt ağdaki DHCP sunucularına ya da yönlendiricideki DHCP Relay'e ulaşır. Aynı alt ağda yetkisiz bir DHCP sunucusu (Rogue DHCP) varsa o da bu mesajı alıp yanıt verebilir.

DHCP Offer

Discover'ı alan her DHCP sunucusu, istemciye bir adres ve bu adresle kullanılacak parametreleri içeren bir Offer gönderir. Mesaj tipi Option 53 ile belirtilir, Option 1 Subnet Mask'ı, Option 3 Default Gateway'i, Option 6 DNS sunucularını taşır. Offer'ın broadcast olarak mı yoksa teklif edilen adrese unicast olarak mı gönderileceği, istemcinin Discover mesajında kullandığı Broadcast flag'ine bağlıdır. Birden fazla sunucu varsa istemci birden fazla Offer alabilir ve bunlardan birini seçer.

DHCP Request

İstemci seçtiği teklifi Request mesajıyla kabul eder. Mesajda Option 50 ile istenen adres, Option 54 ile bu adresi teklif eden sunucunun kimliği bulunur. Request de broadcast olarak gönderilir. Bunun nedeni yalnızca istemcinin hâlâ geçerli bir adresi olmaması değildir. Broadcast sayesinde teklif gönderen diğer sunucular da tekliflerinin seçilmediğini öğrenir ve ayırdıkları adresleri geri bırakır.

DHCP Acknowledge

Seçilen sunucu ACK mesajıyla adresi istemciye tahsis eder. Mesajda adresle birlikte Option 51 ile Lease süresi, Option 58 ile yenileme zamanı (T1) ve Option 59 ile yeniden bağlanma zamanı (T2) bulunur. İstemci ACK'yi aldıktan sonra adresi kullanmaya başlar. Sunucu adresi veremiyorsa ACK yerine NAK gönderir ve istemci süreci baştan başlatır.

Lease Yenileme ve APIPA

DHCP adresi süresiz vermez, belirli bir süre için kiralar. Bu süreye Lease denir ve Windows DHCP Server'da varsayılan değeri 8 gündür. İstemci Lease'ini süresi dolmadan yenilemeye çalışır.

Lease başlangıcı                %50 (T1)                    %87,5 (T2)              %100
      │─────────────────────────────│───────────────────────────│─────────────────────│
                                Lease'i veren sunucuya    Herhangi bir sunucuya    Adres bırakılır,
                                Unicast Request           Broadcast Request        Discover ile baştan

Sürenin yarısında (T1) istemci, Lease'i aldığı sunucuya unicast bir Request gönderir. Sunucu yanıt verirse Lease süresi yeniden başlar. Yanıt alamazsa sürenin %87,5'inde (T2) Request'i broadcast olarak gönderir ve herhangi bir DHCP sunucusundan yenileme ister. Lease süresi dolduğunda istemci adresi bırakır ve Discover ile baştan başlar. Hiçbir sunucu bulamazsa kendisine 169.254.0.0/16 aralığından bir APIPA (Automatic Private IP Addressing) adresi verir. Bu adresle yalnızca aynı alt ağdaki APIPA adresli cihazlarla iletişim kurabilir.

Bilgisayar yeniden başlatıldığında Windows istemcisi süresi dolmamış Lease'ini doğrulamak için bir Request gönderir. DHCP sunucusuna ulaşamazsa Default Gateway'e ulaşabildiği sürece mevcut adresi kullanmaya devam eder.

Uzun süre kapalı kalan bir bilgisayarın Lease süresi dolduğunda, sunucu bu adresi kısa bir bekleme süresinin ardından havuza geri alır ve başka bir istemciye verebilir. Bilgisayar yeniden açıldığında genellikle eski adresini ister. Adres başka bir cihaza verilmediyse aynı adresi alır, verildiyse farklı bir adres alır.

2- Ön Kontrol

Başlamadan önce şu maddeleri doğruluyorum:

3- Karar Tablosu

Kurulum sırasında vereceğim kararları başlamadan önce topluyorum.

4- DHCP Server Rolünün Kurulması ve Authorize

1- Server Manager'da Add Roles and Features seçeneğine tıklıyorum.



2- Role-based or feature-based installation seçiliyken devam ediyorum.



3- Server Selection ekranında DHCP Server'ı kuracağım sunucuyu seçiyorum. Bu lab ortamında rolü Domain Controller üzerine kuruyorum.



4- Server Roles ekranında DHCP Server rolünü işaretliyorum.



5- Sihirbaz, rolle birlikte yönetim araçlarının da kurulacağını belirtiyor. Add Features ile bunları seçime ekliyorum.





6- Features ekranında ek bir seçim yapmadan devam ediyorum.



7- Onay ekranında Restart the destination server automatically if required seçeneğini işaretliyorum. DHCP Server rolü yeniden başlatma gerektirmediği için bu seçeneğin bu kurulumda bir etkisi olmaz. Install ile kurulumu başlatıyorum.

Kurulumdan sonra Server Manager'daki bildirimde yer alan Complete DHCP configuration adımı, DHCP Administrators ve DHCP Users güvenlik gruplarını oluşturur ve sunucuyu Active Directory'de yetkilendirir.

8- Active Directory ortamında bir DHCP sunucusu, Authorize edilmeden adres dağıtmaz. Bu, ağa yetkisiz bir Windows DHCP sunucusunun eklenmesini önler. DHCP konsolunda sunucunun adı üzerinde sağ tıklayıp Authorize seçeneğini seçiyorum.



9- Authorize sonrasında IPv4 ve IPv6 simgeleri yeşil onay işaretiyle görünüyor.

Rol kurulumunu, güvenlik gruplarının oluşturulmasını ve Authorize işlemini PowerShell ile de yapabiliyorum. {Sunucu FQDN} ve {Sunucu IP} yerine DHCP sunucusunun tam adını ve IP adresini yazıyorum.

Install-WindowsFeature DHCP -IncludeManagementTools
Add-DhcpServerSecurityGroup
Restart-Service -Name DHCPServer
Add-DhcpServerInDC -DnsName "{Sunucu FQDN}" -IPAddress {Sunucu IP}

Kontrol Noktası
DHCP konsolunda IPv4 ve IPv6 simgeleri yeşil görünmeli ve Get-DhcpServerInDC çıktısında sunucu listelenmeli.

5- Scope Oluşturma

Scope, DHCP sunucusunun bir alt ağ için dağıtacağı adres aralığını ve bu adreslerle birlikte verilecek ayarları tanımlar. Her alt ağ ya da VLAN için ayrı bir Scope oluşturulur.

1- DHCP konsolunda IPv4 üzerinde sağ tıklayıp New Scope... seçeneğini seçiyorum.



2- Scope için bir ad veriyorum.



3- IP Address Range ekranında Start IP address alanına 192.168.1.1, End IP address alanına 192.168.1.254 yazıyorum. Sihirbaz Subnet Mask'ı 255.255.255.0 (/24) olarak öneriyor. Bu alt ağda en fazla 254 adres kullanılabilir.

4- Add Exclusions and Delay ekranında havuz içinde olduğu halde DHCP'nin dağıtmayacağı adresleri tanımlıyorum. 192.168.1.1 Default Gateway'in adresi, sonraki adresleri de sunucular ve yazıcılar gibi statik adresli cihazlar için ayırıyorum. Bu yüzden 192.168.1.1 ile 192.168.1.10 arasını Exclusion olarak ekliyorum. Aynı şekilde 192.168.1.251 ile 192.168.1.254 arasını da dağıtım dışında bırakıyorum. Havuzdaki statik adresli bir cihazın adresi Exclusion'a eklenmezse DHCP bu adresi başka bir istemciye verebilir ve IP çakışması oluşur.





5- Lease Duration ekranında Lease süresini belirliyorum. Varsayılan 8 günü koruyorum.

6- Configure DHCP Options ekranında seçenekleri sihirbazda yapılandırmak ya da sonradan elle yapılandırmak arasında seçim yapılır. Seçenekleri 6. bölümde ayrıca anlatacağım için No, I will configure these options later seçeneğini seçip sihirbazı Finish ile tamamlıyorum.





7- Sihirbaz bu seçenekle bittiğinde Scope etkin olmayan durumda kalır ve adres dağıtmaz. Scope üzerinde sağ tıklayıp Activate seçeneğini seçiyorum.

Kontrol Noktası
Scope'un Address Pool bölümünde 192.168.1.1 - 192.168.1.254 aralığı ve iki Exclusion aralığı görünmeli. DHCP bu Scope'ta 192.168.1.11 ile 192.168.1.250 arasındaki 240 adresi dağıtır.

6- Scope Options

Scope Options, istemcilere adresle birlikte verilen ayarlardır. Bir sunucudaki tüm Scope'lar için ortak olan seçenekler (genellikle DNS sunucuları ve DNS Domain Name) Server Options'ta, yalnızca bir Scope'a özel olanlar (Router gibi) Scope Options'ta tanımlanır. Aynı seçenek iki yerde de tanımlıysa Scope Options geçerli olur.

1- Scope altındaki Scope Options üzerinde sağ tıklayıp Configure Options... seçeneğini seçiyorum.



2- 003 Router seçeneğine Default Gateway adresini (192.168.1.1) giriyorum. İstemciler alt ağ dışına çıkan trafiği bu adrese gönderir.





3- 006 DNS Servers seçeneğine istemcilerin kullanacağı DNS sunucularının adreslerini giriyorum. Active Directory ortamında istemciler, Domain'e ait kayıtları çözebilen iç DNS sunucularını kullanmalıdır. Bu sunucular çoğu yapıda Domain Controller'lar üzerinde çalışır, ancak bu bir zorunluluk değildir.







4- 015 DNS Domain Name seçeneğine Domain adını giriyorum. İstemciler kısa adla yapılan sorgulara bu Domain adını ekler.



5- 044 WINS/NBNS Servers ve 046 WINS/NBT Node Type seçenekleri NetBIOS ad çözümlemesi içindir. Bu lab ortamında ikisini de yapılandırıyorum.

046 seçeneği, istemcinin NetBIOS adlarını hangi sırayla çözümleyeceğini belirler:

WINS kullanılan ortamlarda broadcast trafiğini en aza indirdiği için 0x8 (H-node) değerini kullanıyorum.



6- Yapılandırdığım seçenekler Scope Options listesinde görünüyor.

Scope'u, Exclusion aralıklarını ve seçenekleri PowerShell ile de oluşturabiliyorum. {DNS Sunucusu} ve {Domain Adı} yerine kendi değerlerimi yazıyorum.

Add-DhcpServerv4Scope -Name "{Scope Adı}" -StartRange 192.168.1.1 -EndRange 192.168.1.254 -SubnetMask 255.255.255.0 -LeaseDuration 8.00:00:00 -State Active
Add-DhcpServerv4ExclusionRange -ScopeId 192.168.1.0 -StartRange 192.168.1.1 -EndRange 192.168.1.10
Add-DhcpServerv4ExclusionRange -ScopeId 192.168.1.0 -StartRange 192.168.1.251 -EndRange 192.168.1.254
Set-DhcpServerv4OptionValue -ScopeId 192.168.1.0 -Router 192.168.1.1 -DnsServer {DNS Sunucusu} -DnsDomain "{Domain Adı}"

7- Scope Properties

Scope üzerinde sağ tıklayıp Properties ile Scope'un genel ayarlarını açıyorum.

General

General sekmesinde Scope'un adres aralığı ve Lease süresi bulunur. Aralık, Subnet Mask'ın izin verdiği sınırlar içinde büyütülüp küçültülebilir. Bu Scope'ta aralık zaten /24 alt ağının tamamını kapsadığı için daha fazla büyütülemez. İki Exclusion aralığıyla birlikte bu Scope en fazla 240 istemciye adres verebilir.

Daha fazla adrese ihtiyaç duyulursa Scope silinip daha büyük bir alt ağla yeniden oluşturulur. Örneğin 255.255.254.0 (/23) alt ağında 510 adres kullanılabilir. Bu yüzden adres ihtiyacını Scope'u oluşturmadan önce doğru bir Subnet hesaplaması ile belirliyorum.

Advanced

Advanced sekmesinde Scope'un hangi tür istemcilere adres vereceğini seçiyorum:

BOOTP, DHCP'den önceki ve bazı eski cihazların hâlâ kullandığı bir protokoldür. BOOTP istemcileri adreslerini yenilemez. Bu yüzden Lease duration for BOOTP clients alanında varsayılan olarak 30 günlük bir süre tanımlıdır. Günümüzdeki ince istemciler (Thin Client) ve ağ cihazları DHCP kullanır. Ortamda gerçekten BOOTP kullanan bir cihaz yoksa varsayılan DHCP only seçimini koruyorum. Bu lab ortamında ekran görüntüsünde Both seçili.

Delay configuration alanındaki gecikme, aynı alt ağa birden fazla DHCP sunucusunun hizmet verdiği yapılarda bu sunucunun Discover mesajına kaç milisaniye sonra yanıt vereceğini belirler. Tek sunuculu bu yapıda 0 olarak kalıyor.

8- DNS Dinamik Güncelleme Ayarları

DHCP sunucusu, adres verdiği istemcilerin DNS kayıtlarını onlar adına oluşturup güncelleyebilir. Bu ayarlar IPv4 üzerinde sağ tıklayıp Properties ile açılan pencerenin DNS sekmesinde yer alır. Burada dinamik güncellemenin açık olduğunu ve DNS kaydı istemeyen istemciler için de kayıt oluşturulacağını belirliyorum.

DHCP sunucusu Domain Controller üzerinde çalışıyorsa, istemciler adına yaptığı DNS kayıtlarını varsayılan olarak Domain Controller'ın bilgisayar hesabıyla yapar. Bu hesabın DNS kayıtları üzerinde geniş yetkisi olduğu için DHCP'ye yalnızca bu iş için kullanılacak ayrı bir hesap tanımlıyorum. Hesap, aynı penceredeki Advanced sekmesinde Credentials butonuyla ya da PowerShell ile tanımlanır.

Set-DhcpServerDnsCredential -Credential (Get-Credential) -ComputerName "{Sunucu FQDN}"

9- Reservation

Reservation, belirli bir cihaza DHCP'den her zaman aynı adresin verilmesini sağlar. Cihaz MAC adresiyle tanınır ve kendisine ayrılan adres başka bir istemciye verilmez. Yazıcı ve IP kamera gibi adresi sabit kalması gereken ama ayarlarını DHCP'den alması istenen uç cihazlar için kullanılır. Default Gateway ve sunucular gibi altyapı cihazlarına ise statik adres verilir ve bu adresler Exclusion aralığında tutulur.

Reservation iki şekilde oluşturulabilir.

1- Cihaz zaten DHCP'den adres aldıysa Address Leases bölümünde üzerinde sağ tıklayıp Add to Reservation seçeneğini seçiyorum. Cihazın mevcut adresi ona ayrılır.





2- Reservations üzerinde sağ tıklayıp New Reservation... ile Reservation'ı elle oluşturuyorum. Bunun için cihazın MAC adresini bilmem gerekiyor.



MAC adresini bulmak için cihaza ping atıp ardından arp -a komutunu çalıştırıyorum. Komut, ARP tablosundaki adres ve MAC adresi eşleşmelerini listeler.

New Reservation penceresinde IP address alanında adresin ağ kısmı hazır geliyor, son okteti yazıyorum. MAC address alanına cihazın MAC adresini giriyorum.





Address Leases bölümünde 192.168.1.12 adresinin Lease Expiration sütununda Reservation (active) görünüyor. Bu, adresin bu cihaza ayrıldığını ve cihazın adresi şu anda kullandığını gösterir.

Reservation'ı PowerShell ile de oluşturabiliyorum. {MAC Adresi} yerine cihazın MAC adresini yazıyorum.

Add-DhcpServerv4Reservation -ScopeId 192.168.1.0 -IPAddress 192.168.1.12 -ClientId "{MAC Adresi}" -Name "{Cihaz Adı}"

10- Filters

Filters, DHCP sunucusunun MAC adresine göre hangi cihazlara adres vereceğini belirler. Filtreler Scope'a değil sunucuya uygulanır ve IPv4 altındaki Filters bölümünde yönetilir.

Listeler kendiliğinden devrede değildir. IPv4 üzerinde sağ tıklayıp Properties ile açılan pencerenin Filters sekmesinde Enable Allow list ya da Enable Deny list seçeneği işaretlenmelidir. Bir MAC adresi iki listede de varsa Deny geçerli olur.

Bir cihazı listeye iki şekilde ekleyebiliyorum. Deny listesi için adımlar aynı.

1- Address Leases bölümünde cihaz üzerinde sağ tıklayıp Add to Filter altında Allow ya da Deny seçeneğini seçiyorum. Birden fazla cihazı Ctrl tuşuyla seçip birlikte ekleyebilirim.



2- Filters altında Allow ya da Deny üzerinde sağ tıklayıp New Filter... ile cihazın MAC adresini elle giriyorum.







3- Cihaz Allow listesinde görünüyor.



4- Listedeki bir kaydı sağ tıklayıp Move to Deny ile Deny listesine taşıyabiliyorum.

11- Doğrulama

Bir istemcide yeni adres isteyip aldığı ayarları kontrol ediyorum.

ipconfig /release
ipconfig /renew
ipconfig /all

Çıktıda IPv4 adresi 192.168.1.11 ile 192.168.1.250 arasında olmalı. Default Gateway, DNS Servers ve Connection-specific DNS Suffix alanları Scope Options'taki değerleri, DHCP Server alanı DHCP sunucusunun adresini, Lease Obtained ile Lease Expires arasındaki fark Lease süresini göstermeli. Sunucu tarafında istemcinin Lease kaydını PowerShell ile kontrol ediyorum.

Get-DhcpServerv4Lease -ScopeId 192.168.1.0 | Select-Object IPAddress, ClientId, HostName, LeaseExpiryTime, AddressState

Scope'u geçici olarak devre dışı bırakmam gerekirse üzerinde sağ tıklayıp Deactivate seçeneğini seçiyorum. Mevcut istemciler Lease süreleri dolana kadar adreslerini kullanmaya devam eder, yeni istemciler bu Scope'tan adres alamaz. Sunucuyu tamamen devreden çıkaracaksam konsolda Unauthorize ile Active Directory'deki yetkisini kaldırıyorum.

Kurulumun tamamlandığını şu ölçütlerle anlıyorum: sunucu Active Directory'de yetkilendirilmiş, Scope Active ve Exclusion aralıkları tanımlı, istemci doğru adres, Gateway ve DNS ayarlarını alıyor ve Lease kaydı sunucuda görünüyor. Bir sonraki adım, DHCP'yi Split Scope ya da DHCP Failover ile ikinci bir sunucuya dağıtarak yedekli hale getirmek ve DHCP sunucusu bulunmayan VLAN'lar için DHCP Relay yapılandırmak.

Faydalı olması dileğiyle...