前言

DHCP 伺服器負責自動分配 IP 位址、閘道、DNS 等關鍵網路參數，一旦被惡意竄改或植入流氓 DHCP，將導致全網中斷、中間人攻擊、資料竊取。本文提供 Windows Server 環境下的三層次強化實作步驟。

一、啟用 DHCP 稽核記錄

操作步驟

1. 開啟「DHCP」管理主控台 (dhcpmgmt.msc)。
2. 右鍵伺服器名稱 → 「內容」 → 「一般」索引標籤。
3. 勾選 「啟用 DHCP 稽核記錄」。
4. （建議）切換至「進階」索引標籤，修改「稽核記錄路徑」與「資料庫路徑」至非系統磁碟（如 D:\DHCPLogs），並設定 NTFS 權限限制唯讀/寫入帳號。
5. 點擊「確定」套用。

記錄內容與價值

• 記錄事件：IP 租約發出/續約/釋放、衝突偵測、未授權 DHCP 偵測 (Rogue DHCP)。
• 預設儲存於 %SystemRoot%\System32\dhcp\DhcpSrvLog-<星期>.log，每日輪替。
• 配合 SIEM/Log Collector 集中分析，可快速發現異常租約模式（大量新裝置、固定 MAC 狂換 IP 等）。

二、指定 DHCP 管理使用者 (委派管理)

原則

避免使用 Domain Admins 或 Enterprise Admins 日常管理 DHCP，依最小權限建立專用管理群組。

操作步驟 (Active Directory 環境)

1. 開啟「Active Directory 使用者與電腦」 (dsa.msc)。
2. 找到內建群組 DHCP Administrators（位於 Users 容器或 Builtin 容器）。
3. 右鍵 → 「內容」 → 「成員」 → 「新增」→ 輸入授權管理員帳號（如 CCE） → 確定。
4. 僅將必要人員加入此群組，其他 IT 人員不加入。

三、群組原則限制 DHCP 管理群組權限 (雙重保險)

目的

防止誤將非授權使用者加入 DHCP Administrators 群組，或群組成員濫用權限。透過「受限群組」強制成員資格，確保只有核准帳號擁有管理權。

操作步驟

1. 開啟「網域安全性原則」 (secpol.msc 或 GPMC 編輯域 GPO)。
2. 展開：Windows 設定 → 安全性設定 → 受限群組。
3. 右鍵空白處 → 「新增群組」 → 輸入 DHCP Administrators → 確定。
4. 右鍵該群組 → 「內容」 → 「此群組的成員」 → 「新增」 → 僅加入核准帳號（如 CCE）。
5. 同樣在「成員隸屬」頁籤確保無其他群組巢狀包含。
6. 執行 gpupdate /force 或等待背景重新整理生效。

效果

任何非名單帳號被加入 DHCP Administrators 群組，下次群組原則套用時（預設 90 分鐘）將被自動移除，實現「配置即合規」。

進階強化建議

• DHCP 伺服器防火牆規則： 僅允許信任管理子網存取 UDP 67/68、TCP 135/445/RPC 動態埠。
• 啟用 DHCP 訊號防護 (DHCP Snooping) 於交換器： 僅信任上聯埠與授權 DHCP 伺服器埠，阻擋流氓 DHCP 回應。
• IPAM (IP Address Management) 整合： 集中管理 IP 規劃、租約稽核、變更審批。
• 定期備份 DHCP 資料庫： netsh dhcp server export D:\Backup\dhcp_backup.dat all，並異地儲存。
• 監控服務狀態： 監控 DHCPServer 服務運行狀態、事件日誌 1000/1001/1002/1003 事件 ID。

結語

DHCP 看似基礎服務，實為網路可用性命脈。透過「稽核留痕、委派最小權限、群組原則強制合規」三步走，搭配網路層 DHCP Snooping 與 IPAM 管理，可將風險降至最低，確保網路基礎設施穩健運行。