DHCP

DHCP 클라이언트가 네트워크에 처음 연결되거나 IP 주소 임대를 갱신해야 할 때, 사용 가능한 DHCP 서버를 찾기 위해 브로드캐스트 메시지를 전송하는 단계이다.

클라이언트는 아직 IP 주소를 할당받지 못했으므로, 자신의 MAC 주소를 출발지로, 목적지는 255.255.255.255(제한된 브로드캐스트)로 설정한 DHCP Discover 패킷을 생성한다. 이 패킷은 UDP 포트 67을 통해 전송되며, 네트워크 상의 모든 장치가 이 메시지를 수신한다. 패킷에는 클라이언트의 하드웨어 주소와 함께, 때로는 이전에 사용했던 IP 주소를 요청하는 옵션이 포함될 수 있다.

이 과정은 네트워크 상에서 서버를 '찾는' 단계이므로, 클라이언트는 어떤 서버가 응답할지 알지 못한다. DHCP Discover 메시지는 클라이언트가 속한 로컬 네트워크 세그먼트 내에서만 브로드캐스트되므로, 다른 서브넷에 있는 DHCP 서버에게는 직접 전달되지 않는다. 이 경우 DHCP 릴레이 에이전트가 필요하다.

클라이언트가 보낸 DHCP Discover 메시지를 수신한 DHCP 서버는 사용 가능한 IP 주소와 네트워크 설정 정보를 클라이언트에게 제안하는 DHCP Offer 메시지를 보낸다. 이 메시지는 일반적으로 브로드캐스트로 전송되며, 클라이언트가 아직 IP 주소를 갖지 못했기 때문이다.

DHCP Offer 메시지에는 서버가 클라이언트에게 임시로 제안하는 IP 주소, 서브넷 마스크, 기본 게이트웨이, DNS 서버 주소, 그리고 제안된 주소의 임대 기간 등이 포함된다. 서버는 자신의 주소 풀(Scope)에서 사용되지 않은 주소를 선택하여 제안한다. 네트워크에 여러 대의 DHCP 서버가 존재할 경우, 클라이언트는 여러 개의 DHCP Offer 메시지를 받을 수 있다.

클라이언트는 이 단계에서 아직 공식적으로 IP 주소를 할당받은 상태가 아니다. 단지 서버로부터 사용 가능한 설정에 대한 제안을 받은 것이다. 클라이언트는 이후 DHCP Request 메시지를 통해 하나의 제안을 선택하고 공식적으로 요청하는 과정을 거친다.

클라이언트는 하나 이상의 DHCP 서버로부터 DHCP Offer 메시지를 수신하게 된다. 클라이언트는 이 중 하나의 제안을 선택하여 네트워크 사용을 공식적으로 요청한다. 이 단계에서 클라이언트는 브로드캐스트 방식으로 DHCP Request 메시지를 전송한다.

DHCP Request 메시지에는 선택한 서버를 식별하는 '서버 식별자(Server Identifier)' 필드와 클라이언트가 사용하기로 결정한 IP 주소가 포함된다. 이 브로드캐스트 전송은 두 가지 주요 목적을 가진다. 첫째, 선택된 서버에게 해당 IP 주소의 할당을 최종 확인하도록 알린다. 둘째, 다른 서버들에게 자신들의 제안이 거부되었음을 알려, 그들이 해당 IP 주소를 다른 클라이언트에게 할당할 수 있도록 한다.

이 과정을 통해 IP 주소의 중복 할당을 방지하고, 네트워크 자원의 효율적인 관리를 가능하게 한다. Request 단계는 DORA 프로세스에서 서버의 제안을 클라이언트가 수락하는 결정적인 확인 단계에 해당한다.

클라이언트는 DHCP Offer 메시지를 보낸 서버를 선택한 후, DHCP Request 메시지를 브로드캐스트로 전송합니다. 이 메시지에는 선택한 서버의 식별자와 요청하는 IP 주소가 포함되어 있습니다.

이어서 DHCP 서버는 클라이언트의 요청을 확인하고 최종 승인을 위해 DHCP Acknowledge (DHCP ACK) 메시지를 전송합니다. 이 메시지에는 클라이언트에 할당된 IP 주소, 서브넷 마스크, 기본 게이트웨이, DNS 서버 주소 등 네트워크 구성 정보가 포함됩니다. 클라이언트는 이 정보를 받아 네트워크 인터페이스에 적용하고, 정상적인 네트워크 통신을 시작합니다.

만약 서버가 요청을 수락할 수 없는 상황(예: 요청한 주소가 이미 다른 장치에 임대된 경우)이라면, 서버는 DHCP Negative Acknowledgment (DHCP NAK) 메시지를 보냅니다. 클라이언트는 DHCP NAK를 수신하면 DORA 프로세스를 처음부터 다시 시작해야 합니다. ACK 메시지를 성공적으로 수신함으로써 IP 주소 임대 과정이 완료되고, 클라이언트는 임대 기간 동안 해당 주소를 사용합니다.

DHCP 서버가 관리하는 IP 주소의 집합을 IP 주소 풀 또는 스코프라고 부른다. 이 풀은 서버가 클라이언트에게 할당할 수 있는 사용 가능한 IP 주소의 범위를 정의한다. 관리자는 일반적으로 네트워크의 서브넷에 맞춰 스코프를 생성하며, 풀 내의 특정 주소는 제외하거나 다른 용도로 예약할 수 있다.

스코프를 구성할 때는 시작 IP 주소와 끝 IP 주소를 지정하여 범위를 설정한다. 예를 들어, 192.168.1.100부터 192.168.1.200까지의 주소를 풀로 정의하면, DHCP 서버는 이 범위 내에서만 동적 할당을 수행한다. 풀에서 제외된 주소는 정적 할당을 받은 서버나 네트워크 프린터와 같은 장치에 수동으로 할당하는 데 사용된다.

각 스코프에는 임대 기간, 기본 게이트웨이, DNS 서버 주소, 서브넷 마스크와 같은 중요한 네트워크 구성 옵션이 함께 설정된다. 이러한 옵션은 해당 스코프에서 IP 주소를 임대받는 모든 클라이언트에게 자동으로 제공된다. 여러 개의 서브넷이 존재하는 대규모 네트워크에서는 각 서브넷별로 별도의 스코프를 구성하는 것이 일반적이다.

스코프의 효율적인 관리는 네트워크 자원 활용의 핵심이다. 사용 가능한 주소가 부족한 상황을 방지하기 위해 풀의 크기를 적절히 조정하고, 사용 패턴에 따라 임대 기간을 최적화하는 작업이 필요하다. 또한, DHCP 예약 기능을 사용하면 풀 내의 특정 MAC 주소에 고정 IP 주소를 영구적으로 연결할 수 있다.

IP 주소 임대 기간은 DHCP 서버가 클라이언트에게 IP 주소를 사용할 권리를 부여하는 기간이다. 이 기간이 만료되기 전에 클라이언트는 임대를 갱신하거나 새로운 주소를 요청해야 한다. 임대 기간은 서버 관리자가 DHCP 스코프를 구성할 때 설정하는 핵심 매개변수 중 하나이다.

임대 기간의 길이는 네트워크 환경과 요구 사항에 따라 결정된다. 일반적으로 다음과 같은 기준으로 설정된다.

임대 기간이 너무 길면, 사용하지 않는 IP 주소가 장시간 점유되어 주소 풀이 고갈될 수 있다. 반대로 너무 짧으면 클라이언트가 빈번하게 갱신 절차를 수행해야 하므로 네트워크 트래픽이 증가하고, 서버 부하가 커진다. 클라이언트는 일반적으로 임대 기간의 50%가 지난 시점(T1)부터 원래의 DHCP 서버에게 갱신을 시도하며, 실패할 경우 기간의 87.5% 시점(T2)에 다른 서버에게 갱신을 요청한다[2]. 임대 기간이 만료될 때까지 갱신에 성공하지 못하면 해당 IP 주소는 풀로 반환되고 클라이언트는 네트워크 접속을 위해 새로운 DORA 프로세스를 시작해야 한다.

DHCP 서버는 특정 MAC 주소를 가진 클라이언트에 대해 항상 동일한 IP 주소를 할당하도록 구성할 수 있다. 이 기능을 예약 또는 정적 할당이라고 부른다. 예약은 IP 주소 풀 내에서 특정 IP 주소를 특정 네트워크 인터페이스에 영구적으로 연결하는 설정이다.

예약을 설정하기 위해서는 관리자가 대상 클라이언트의 MAC 주소와 할당할 IP 주소를 서버에 명시적으로 등록해야 한다. 이 정보는 서버의 데이터베이스에 저장되며, 해당 클라이언트가 DHCP Discover 메시지를 보낼 때마다 서버는 예약된 IP 주소를 DHCP Offer 메시지를 통해 제공한다. 임대 갱신 과정은 동적 할당과 동일하게 진행되지만, 클라이언트는 항상 동일한 주소를 재할당받게 된다.

이 기능은 주로 특정 IP 주소가 필요한 장치나 서비스를 운영할 때 유용하다. 예를 들어, 네트워크 프린터, 파일 서버, IP 카메라, 또는 원격 관리 접근이 필요한 장치들은 고정된 주소를 가져야 한다. 예약을 사용하면 각 클라이언트 장치에서 수동으로 IP 주소를 설정하는 번거로움을 줄이면서도, 중앙 집중식 관리를 통해 IP 주소 충돌을 방지할 수 있다.

예약 설정은 일반적으로 다음과 같은 정보를 필요로 한다.

동적 할당과 예약 할당은 동일한 DHCP 서버와 IP 주소 풀 내에서 공존할 수 있다. 서버는 풀에서 예약으로 지정되지 않은 주소들을 일반 클라이언트들에게 동적으로 할당한다.

DHCP는 네트워크 관리의 효율성과 편의성을 크게 향상시킨다. 가장 큰 장점은 IP 주소의 중앙 집중식 관리로, 관리자가 각 클라이언트 장치에 수동으로 IP를 할당하고 추적할 필요가 없다. 이는 네트워크 규모가 클수록 더욱 큰 장점으로 작용한다. 또한, IP 주소의 재사용을 통해 제한된 수의 IP 주소 풀을 효율적으로 활용할 수 있어, IPv4 주소 고갈 문제를 완화하는 데 기여한다.

사용자 측면에서 DHCP는 네트워크 접속을 매우 간편하게 만든다. 사용자는 복잡한 네트워크 설정을 알 필요 없이 케이블을 연결하거나 Wi-Fi에 접속하기만 하면 자동으로 IP 주소, 서브넷 마스크, 기본 게이트웨이, DNS 서버 주소 등을 할당받는다. 이는 이동이 빈번한 노트북 컴퓨터나 스마트폰과 같은 모바일 장치의 사용에 특히 적합하다.

구성 오류를 줄이는 것도 중요한 장점이다. 수동 구성 시 발생하기 쉬운 IP 주소 중복 할당, 잘못된 서브넷 마스크 또는 게이트웨이 입력 같은 오류를 방지한다. DHCP 서버는 일관된 정책에 따라 설정값을 배포하므로, 네트워크 전체의 구성 정합성을 유지할 수 있다.

마지막으로, 네트워크 변경에 대한 유연한 대응이 가능하다. 예를 들어, DNS 서버 주소를 변경해야 할 때 DHCP 서버의 설정만 수정하면, 모든 클라이언트는 다음 임대 갱신 시 자동으로 새로운 설정을 받아들인다. 이는 대규모 네트워크에서 변경 관리를 단순화한다.

DHCP는 편리한 자동화 기능을 제공하지만, 몇 가지 단점과 운영상 고려해야 할 사항이 존재한다. 가장 큰 문제는 DHCP 서버의 단일 장애점(Single Point of Failure) 가능성이다. DHCP 서버가 다운되면 새로운 클라이언트가 네트워크에 접속할 수 없으며, 기존 클라이언트도 IP 주소 임대를 갱신하지 못해 연결이 끊길 수 있다. 이를 완화하기 위해 보통 두 대 이상의 DHCP 서버를 구성하거나, 클러스터링 기술을 적용한다.

네트워크 관리 측면에서도 주의가 필요하다. IP 주소가 동적으로 할당되므로, 특정 장치의 IP 주소가 시간에 따라 변경될 수 있다. 이는 서버나 네트워크 프린터처럼 고정된 주소가 필요한 장치를 관리할 때 불편함을 초래한다. 이러한 장치에는 DHCP 예약 기능을 사용하여 MAC 주소와 특정 IP를 고정적으로 연결해야 한다. 또한, 잘못 구성된 DHCP 서버가 네트워크에 존재할 경우, 잘못된 IP 주소를 클라이언트에 할당하여 네트워크 전체의 통신을 방해할 수 있다. 이를 'Rogue DHCP 서버' 문제라고 한다.

보안 문제도 중요한 고려사항이다. 기본적인 DHCP 프로토콜은 인증 메커니즘을 제공하지 않아, DHCP 스푸핑 공격에 취약하다. 공격자가 가짜 DHCP 서버를 운영하여 클라이언트에 악성 설정(예: 잘못된 게이트웨이나 DNS 서버 주소)을 제공하면, 트래픽이 공격자에게로 유도될 수 있다. 네트워크 스위치의 DHCP 스누핑 같은 보안 기능을 활성화하여 이러한 공격을 방지해야 한다.

마지막으로, DHCP는 주소 할당에 대한 중앙 집중식 로그를 제공하지만, 특정 시간에 어떤 IP 주소가 어떤 사용자에게 할당되었는지 추적하는 것이 항상 간단하지는 않다. 특히 대규모 네트워크나 공용 와이파이 환경에서는 이슈 발생 시 원인 분석에 어려움을 겪을 수 있다. 따라서 DHCP 서버의 로그 관리와 모니터링 체계를 마련하는 것이 중요하다.

DHCP 스푸핑은 악의적인 사용자가 네트워크에서 정당한 DHCP 서버를 가장하여 위조된 DHCP 메시지를 전송하는 공격 기법이다. 이 공격의 주요 목적은 클라이언트에게 잘못된 네트워크 구성 정보(예: 가짜 기본 게이트웨이 주소나 DNS 서버 주소)를 제공하여 중간자 공격을 수행하거나 서비스 거부를 유발하는 것이다. 공격자는 일반적으로 자신의 시스템을 DHCP 서버로 설정한 후, 정상 서버보다 빠르게 응답하거나 더 매력적인 임대 조건(예: 매우 긴 임대 시간)을 제시함으로써 클라이언트의 신뢰를 얻으려 시도한다.

클라이언트가 가짜 정보를 수락하면, 모든 네트워크 트래픽이 공격자가 지정한 경로로 우회된다. 예를 들어, 기본 게이트웨이를 공격자의 시스템으로 설정하면, 클라이언트의 모든 외부 통신이 공격자를 거치게 되어 패킷 내용을 엿볼 수 있다. 또한, 악성 DNS 서버 주소를 제공하면 사용자가 정상적인 웹사이트 주소를 입력해도 피싱 사이트로 연결될 수 있다.

이 공격을 완화하기 위한 일반적인 네트워크 보안 대책은 DHCP 스누핑 기능을 사용하는 것이다. 이 기능은 네트워크 스위치에 구현되어, 신뢰할 수 있는 포트(예: 합법적인 DHCP 서버가 연결된 포트)와 신뢰할 수 없는 포트(예: 일반 사용자 클라이언트가 연결된 포트)를 구분한다. 스누핑이 활성화된 스위치는 신뢰할 수 없는 포트에서 들어오는 DHCP 서버 응답 패킷(예: DHCP Offer 또는 DHCP ACK)을 차단하여 스푸핑 공격을 방지한다.

DHCP 스누핑은 네트워크 스위치에서 구현되는 보안 기능으로, 신뢰할 수 없는 포트로부터 수신된 DHCP 메시지를 검증하고 제어하여 DHCP 스푸핑 공격을 방지하는 기술이다. 이 기능은 주로 L2 스위치에 구성되며, 네트워크를 신뢰할 수 있는 포트와 신뢰할 수 없는 포트로 구분하여 동작한다.

DHCP 스누핑의 핵심 동작 원리는 다음과 같다. 먼저, 관리자가 스위치의 특정 포트(예: DHCP 서버가 연결된 포트나 상위 트렁크 포트)를 '신뢰' 포트로 설정한다. 신뢰 포트를 제외한 모든 사용자 포트는 기본적으로 '비신뢰' 포트가 된다. 신뢰 포트에서는 모든 DHCP 메시지(서버 메시지 포함)의 수신이 허용된다. 반면, 비신뢰 포트에서는 DHCP 서버가 보낼 수 있는 DHCP Offer 패킷이나 DHCP Ack 패킷과 같은 서버 응답 메시지가 차단된다. 이로 인해 공격자가 비신뢰 포트에 가짜 DHCP 서버를 연결하여 악의적인 IP 주소를 배포하는 것을 근본적으로 막을 수 있다.

또한 DHCP 스누핑은 DHCP 바인딩 테이블이라는 데이터베이스를 동적으로 구축한다. 이 테이블은 비신뢰 포트를 통해 정상적인 DORA 프로세스를 완료한 클라이언트의 MAC 주소, 할당받은 IP 주소, 임대 기간, 해당 포트 번호 등의 정보를 기록한다. 이 바인딩 테이블은 이후 다른 보안 기능인 IP 소스 가드나 동적 ARP 검사(DAI)가 동작하는 데 필요한 신뢰할 수 있는 정보를 제공한다.

DHCP 스누핑을 구성할 때는 주의사항이 따른다. 네트워크 토폴로지 변경 시 신뢰 포트 설정을 업데이트하지 않으면 정상적인 DHCP 서비스가 중단될 수 있다. 또한, DHCP 릴레이 에이전트가 사용되는 환경에서는 릴레이 에이전트 메시지가 나가는 포트를 신뢰 포트로 설정해야 한다.