Windows DHCP 最佳实践（一）
这是 Windows DHCP 最佳实践和技巧的最终指南。
如果您有任何最佳做法或技巧，请在下面的评论中发布它们。
在本指南（一）中，我将分享以下 DHCP 最佳实践和技巧。
不要在域控制器上放置 DHCP
--------------
一般建议不要在域控制器上运行除 DNS 以外的任何其他角色。您的域控制器应该是域控制器/ DNS，就是这样。小型组织通常会在其域控制器上安装其他角色和第三方软件。建议您尽可能避免这种情况。
有什么问题
在 DC 上安装其他服务会增加攻击面，使其难以管理，并可能导致性能问题。
问题 1：管理具有多个角色的 DC
安装了多个角色的域控制器很难管理。这通常会导致不稳定和服务中断。
例如，假设您在使用 DHCP 时遇到问题，或者安装了需要重新启动的安全补丁。重新引导具有 Active Directory 域服务角色的服务器可能会对组织造成重大破坏。这可能会影响身份验证，复制，组策略和 DNS。如果 DNS 关闭，您的用户将无法访问任何内容。
如果您有多个域控制器并且配置正确，则可以避免这些问题，但是为什么要冒险呢？
如果在自己的服务器上安装了 DHCP，则可以重新启动 DCHP 服务器，而不必担心会影响域控制器上的服务。
问题 2：安全
您安装的软件/服务越多，攻击生存期就越大。如果在 DC 上安装了 DHCP，并且在 DHCP 服务中发现了一个新漏洞，则 DC 服务器现在处于危险中。
您有访客无线网路吗？您如何看待这些不受管设备连接到 DHCP / DC 服务器？我不喜欢使用内部 DHCP 服务器为公众提供 IP 地址。然后添加这些公共设备也正在连接到域控制器，这会导致我关闭安全告警。
在域控制器上安装 DHCP 后，DHCP 服务将继承 DC 计算机帐户的安全权限。这违反了最小特权原则。现在，您的 DHCP 服务器正在以特权运行，并且执行的并不是为其设计的任务。所以这可以纠正，不要增加这种风险。
在自己的成员服务器上安装 DHCP 将减少 DC 的攻击面。
问题 3：性能
通常，我已经看到 DHCP 服务器运行非常高效，并且不需要大量系统资源（例如 CPU 或内存）。
但是，假设您刚刚了解了新的 DHCP 选项（例如冲突检测），然后将其打开了所有作用域。现在，CPU 使用率激增，域服务变慢，用户无法登录，DNS 请求也变慢。
也许您安装了 IPAM 来跟踪可用的 IP 地址，并且占用了 CPU 和内存，从而再次占用了域服务的资源。
我可以继续假设很多情况，但是要指出的是，您在域控制器上安装的软件/服务越多，对性能的影响就越大，并导致服务中断。
总结
域控制器是 Windows 域环境中最关键的服务之一，在一台单独服务器上运行。域控制服务器器只能是是域控制器，只能是域控制器，只能是域控制器。没有其他的，重要的事情说三遍。
使用 DHCP 故障转移
----------
DHCP 故障转移是用于确保 DHCP 服务器的高可用性的功能。通过 DHCP 故障转移，两台 DHCP 服务器共享 DHCP 信息，因此，如果一台服务器发生故障，另一台服务器仍可以为客户端提供 DHCP 租约。
DHCP 故障转移选项内置在 Windows 服务器操作系统中。下图显示了两个配置有负载平衡故障模式的 DHCP 服务器的设置。如果一台服务器发生故障，另一台服务器仍处于活动状态并接管所有 DCHP 请求。
有两种故障转移设计选项：
热备设计
使用热备用模式时，一台服务器是活动服务器，另一台是备用服务器。活动服务器是主服务器，并处理所有 DHCP 请求。如果活动服务器关闭，则备用服务器将接管 DHCP 请求。
该选项通常与备用单元位于与主用单元不同的位置时使用。
负载均衡设计
在负载平衡模式下，两台服务器均以双活模式工作以处理 DHCP 请求。请求是负载平衡的，并在两个 DHCP 服务器之间共享。如果其中一台服务器与其故障转移伙伴失去联系，它将开始向所有 DHCP 客户端授予租约。
总结
您将需要确定哪种故障转移设计最适合您的环境。它是一个免费的内置选项，因此请充分利用它，并使您的 DHCP 服务器具有容错能力。
资料来源
中央与分布式 DHCP 服务器
-------------
您的大型网络在多个位置都有分支机构吗？
问题是您是在这些分支机构中安装 DHCP 服务器，还是将它们隧道传输回集中式 DHCP 服务器？
集中式 DHCP 服务器
集中式 DHCP 服务器放置在远程办公室连接到 DHCP 的集中位置。它通常位于主要数据中心之一。在此设计中，没有本地 DHCP 服务器，所有请求都返回到集中式服务器。
分布式 DHCP 服务器
在分布式 DHCP 模型中，本地分支机构中有 DHCP 服务器。此模型的客户端从本地 DHCP 服务器获取 IP 地址。
那么哪个选项最好呢？
可以用一个简单的问题来回答吗？
分支机构可以完全独立地工作，而无需回到数据中心吗？如果是，则应该有一个本地 DHCP 和 DNS 服务器。
如果分支机构通过隧道返回到 Internet，Active Directory，DNS 等数据中心，则将 DHCP 放在本地毫无意义。
我为一家在全国设有分部的公司工作，并使用集中式 DHCP 模式。我们拥有可靠的快速连接，因此使用集中式 DHCP 服务器非常有意义。
要考虑的一件事是分部有多少员工。如果您有一个拥有数千名员工的大型分部，那么拥有 Active Directory，DNS 和 DHCP 等本地资源可能会有所帮助。这将通过 WAN 链接传输大量流量，如果该链接断开，将使所有这些员工脱机。
总结
集中式 DHCP 或分布式 DHCP 之间的选择通常可以通过以下问题回答：“分支机构可以在没有连接回数据中心的情况下工作。远程办公室的大小和回到数据中心的连接速度也可能是一个因素。
资料来源
https://www.reddit.com/r/networking/comments/8wb0qg/distributedvscentralized_dhcp/
避免静态 IP 分配并使用 DHCP 保留
-----------------
为计算机，打印机，电话或任何其他最终用户设备分配静态 IP 地址是一件很麻烦的事情。
以下是统计分配静态 IP 地址时，发生以下情况：
Helpdesk 替换了不知道设置了静态 IP 的设备
现在这台设备完全或部分失去网络连接
Helpdesk 将故障单发送给网络团队以求解决问题
网络团队把故障单发回 Helpdesk，因为使用了静态 IP
现在，Helpdesk 必须找到设备并重新分配 IP
我已经多次处于上述情况，就像我说的那样。为了避免这种情况，只需使用 DHCP 保留而不是静态 IP 分配即可。
对于需要固定 IP 地址的任何内容，我都使用 DHCP 保留。一个例外是路由器和交换机等基础设施设备，它们会获得静态 IP。
打印机的 DHCP 保留的屏幕截图。
通过 DHCP 保留，您所需要做的就是在更换设备并自动将 IP 分配回设备时更新 MAC 地址。它还可以快速查看为其分配 IP 的所有内容，而无需手动跟踪电子表格中的所有内容。
本系列文档目录：
===
本文首发于BigYoung小站
版权声明: 本文为 InfoQ 作者【BigYoung】的原创文章。
原文链接:【http://xie.infoq.cn/article/90a56f93356bcc55b5f330f4d】。未经作者许可，禁止转载。
Python工程师/书虫/极客/ 2020.04.22 加入
伸手摘星，即使徒劳无功，也不至于满手泥污。 欢迎大家访问我的BigYoung小站(bigyoung.cn)
评论