B2-10 DHCP : Kea, Windows Server et relais

1. Le rôle du DHCP

Pour communiquer, un poste a besoin de quatre réglages : une adresse IP, un masque, une passerelle et au moins un serveur DNS. Les saisir à la main sur 60 postes, c'est long, source d'erreurs (doublons, fautes de frappe) et impossible à faire évoluer : changer de serveur DNS obligerait à repasser sur chaque machine.

2. Le dialogue DORA

Un poste sans adresse obtient sa configuration en quatre messages, dont les initiales forment le mot DORA : Discover, Offer, Request, Acknowledge.

Chaque message DHCP transporte des champs que l'on retrouve dans une capture Wireshark ou dans les journaux du serveur :

• chaddrAdresse MAC du client. C'est elle qui identifie le poste et sert aux réservations.
• yiaddr« your IP address » : l'adresse proposée puis attribuée au client (dans l'Offer et l'Ack).
• giaddrAdresse du relais (la passerelle du VLAN du client). Vide sans relais. Le serveur s'en sert pour choisir la bonne étendue (partie 5).
• Option 53Type de message : 1 Discover, 2 Offer, 3 Request, 5 Ack, 6 Nak (refus), 7 Release (libération).
• Options 51 et 54Durée du bail en secondes, et identifiant (adresse) du serveur qui a fait l'offre.

3. La vie d'un bail

Un bail n'est pas définitif : le poste doit le renouveler. Cela permet au serveur de récupérer les adresses des postes qui ont quitté le réseau, et de diffuser une nouvelle option (un nouveau DNS, par exemple) à tous les postes en quelques heures.

4. Étendues, exclusions, réservations et options

Le serveur gère une étendue (scope chez Microsoft, subnet chez Kea, pool chez Cisco) par réseau à servir. Pour chacune, on règle :

• Plage d'adressesLes adresses que le serveur peut distribuer : de .100 à .199 dans le plan de Brocéliande Logistique.
• ExclusionsAdresses, à l'intérieur de la plage, que le serveur ne distribue jamais : un équipement qui y a déjà une adresse fixe, par exemple.
• RéservationsUne adresse toujours attribuée au même appareil, reconnu par son adresse MAC : imprimante, borne, poste qui doit garder son adresse. L'adresse reste gérée par le serveur.
• OptionsLes réglages transmis avec l'adresse : passerelle, DNS, nom de domaine…

4.1 Les étendues de Brocéliande Logistique

Toutes les étendues transmettent le DNS 172.16.50.10 et le domaine broceliande.lan. Le VLAN 50 SERVEURS n'a pas d'étendue : les serveurs ont tous une adresse fixe.

5. Le relais DHCP

Le Discover est une diffusion : il ne quitte pas le VLAN du poste. Or SRV-01 est dans le VLAN 50. Plutôt que d'installer un serveur DHCP par VLAN, on configure un relais (DHCP relay agent) sur la passerelle de chaque VLAN : il capte la diffusion et la transmet en unicast au serveur, en ajoutant son adresse dans le champ giaddr. Sur Cisco, c'est la commande ip helper-address.

6. Deux serveurs DHCP : Kea et Windows Server

6.1 Kea sous Debian

Sous Linux, l'ancien serveur ISC DHCP n'est plus maintenu depuis 2022. Son successeur, développé par le même organisme (ISC), est Kea, présent dans Debian 13. Sa configuration est un fichier JSON : /etc/kea/kea-dhcp4.conf.

{
"Dhcp4": {
  "interfaces-config": { "interfaces": [ "ens18" ] },
  "valid-lifetime": 691200,
  "lease-database": { "type": "memfile", "persist": true,
                      "name": "/var/lib/kea/kea-leases4.csv" },
  "option-data": [
    { "name": "domain-name-servers", "data": "172.16.50.10" },
    { "name": "domain-name", "data": "broceliande.lan" } ],
  "subnet4": [ {
    "id": 20,
    "subnet": "172.16.20.0/24",
    "pools": [ { "pool": "172.16.20.100 - 172.16.20.199" } ],
    "option-data": [ { "name": "routers", "data": "172.16.20.254" } ],
    "reservations": [ { "hw-address": "00:1b:44:11:3a:b7",
                        "ip-address": "172.16.20.120",
                        "hostname": "prt-compta" } ]
  } ]
} }

• interfaces-configLa ou les cartes réseau sur lesquelles Kea écoute (nom donné par ip -br a).
• subnet4Une entrée par étendue, avec un identifiant id unique. Kea choisit l'étendue d'après giaddr ou, sans relais, d'après l'interface d'arrivée.
• poolsLa plage distribuée. Les exclusions se font simplement en découpant la plage ou en n'y mettant pas les adresses fixes.
• reservationsAdresse MAC → adresse IP. Ici, l'imprimante reçoit toujours 172.16.20.120.
• option-dataLes options, au niveau global (DNS, domaine) ou par étendue (passerelle).

6.2 Le rôle DHCP de Windows Server

Sous Windows Server, on ajoute le rôle Serveur DHCP (Gestionnaire de serveur), puis la console DHCP permet de créer les étendues avec un assistant. Dans un domaine Active Directory, le serveur doit être autorisé dans l'annuaire avant de distribuer des adresses : c'est une protection contre les serveurs installés par erreur.

7. Continuité et sécurité du service

Si le serveur DHCP tombe, rien ne se voit tout de suite : les postes gardent leur adresse jusqu'à la fin de leur bail. Mais tout nouveau poste, tout poste redémarré après expiration reste sans adresse. Deux solutions :

• Le basculement (failover) : deux serveurs partagent les mêmes étendues et se synchronisent. En mode équilibrage de charge, ils répondent à tour de rôle ; en mode secours (hot standby), le second ne répond que si le premier est absent.
• L'étendue fractionnée (règle 80/20) : chaque serveur distribue une partie de la plage, sans synchronisation. Plus simple, mais moins souple.

8. Vérifier et dépanner

8.1 Le signe qui ne trompe pas : 169.254.x.x

Un poste Windows ou Linux qui n'obtient aucune réponse DHCP se donne lui-même une adresse APIPA dans le réseau 169.254.0.0/16, sans passerelle. Voir cette adresse, c'est savoir que le problème est entre le poste et le serveur DHCP : câble, VLAN, relais, serveur ou étendue.

8.2 Les commandes de vérification

8.3 La démarche

8.4 Entraîne-toi : les tickets du support

Tu es de permanence au support de Brocéliande Logistique, le lundi matin qui suit le passage de tous les postes en DHCP. Six tickets arrivent : lis le message, observe le relevé, puis choisis la cause.

Adresse IPv4 autoconfigurée : 169.254.87.12
Masque de sous-réseau       : 255.255.0.0
Passerelle par défaut       :

Étendue COMPTA     : 172.16.20.100 - 172.16.20.199
Exclusions         : aucune
Imprimante PRT-02  : adresse fixe 172.16.20.130

Adresse IPv4        : 192.168.1.34
Passerelle          : 192.168.1.1
Serveur DHCP        : 192.168.1.1

ScopeId        Free  InUse  PercentageInUse
172.16.70.0    0     100    100

Adresse IPv4        : 172.16.10.104
Passerelle          : 172.16.10.254
Serveurs DNS        : 172.16.10.254

DHCP4_CONFIG_LOAD_FAIL configuration error using file:
/etc/kea/kea-dhcp4.conf: syntax error, unexpected {,
expecting , or ] (line 31)

9. À l'examen et en entreprise

10. L'essentiel

1. Le DHCP attribue automatiquement adresse, masque, passerelle et DNS, pour une durée limitée : le bail. Ports UDP 67 (serveur) et 68 (client).
2. Quatre messages : Discover, Offer, Request, Ack (DORA). Le client sans adresse parle en diffusion.
3. Le client renouvelle son bail à T1 = 50 % auprès de son serveur, puis à T2 = 87,5 % auprès de n'importe quel serveur.
4. Une étendue par réseau : plage, exclusions, réservations, options.
5. Exclusion : adresse jamais distribuée. Réservation : toujours la même adresse pour une adresse MAC.
6. Options à connaître : 3 passerelle, 6 DNS, 15 domaine, 51 bail, 43 contrôleur Wi-Fi, 66/67 démarrage réseau, 150 TFTP Cisco.
7. La diffusion ne traverse pas un routeur : le relais (ip helper-address) sur la passerelle du VLAN transmet en unicast et remplit giaddr, qui désigne l'étendue.
8. Sous Debian, Kea (fichier JSON /etc/kea/kea-dhcp4.conf, tester avec kea-dhcp4 -t) ; sous Windows Server, le rôle DHCP, autorisé dans l'AD.
9. Continuité : basculement entre deux serveurs ou étendue fractionnée 80/20. Sécurité : DHCP snooping contre les faux serveurs.
10. Une adresse 169.254.x.x (APIPA) signifie : aucune réponse DHCP. On cherche entre le poste et le serveur.

Les commandes clés

Tout cela tient sur une page : utilise le bouton Mémo à imprimer en haut de la fiche.

11. Quiz noté

12. Exercices : à toi de répondre

Écris ta réponse sous chaque énoncé et envoie-la à ton professeur. Quand il l'a validée, le corrigé s'affiche à la place du cadenas ; s'il te la renvoie « à revoir », lis son commentaire et corrige.

13. Fil rouge : tous les postes en DHCP

14. Au labo : un vrai serveur DHCP avec Kea

{
"Dhcp4": {
  "interfaces-config": { "interfaces": [ "ens18" ] },
  "valid-lifetime": 28800,
  "lease-database": { "type": "memfile", "persist": true,
                      "name": "/var/lib/kea/kea-leases4.csv" },
  "option-data": [
    { "name": "domain-name-servers", "data": "192.168.10.10" },
    { "name": "domain-name", "data": "mondomaine.lan" } ],
  "subnet4": [ {
    "id": 1,
    "subnet": "192.168.10.0/24",
    "pools": [ { "pool": "192.168.10.100 - 192.168.10.199" } ],
    "option-data": [ { "name": "routers", "data": "192.168.10.1" } ],
    "reservations": [ { "hw-address": "bc:24:11:5a:3c:7e",
                        "ip-address": "192.168.10.50",
                        "hostname": "pc-win11" } ]
  } ]
} }