الخلاصة

  • يسمح suboption 11 للـ relay بتحديد عنوان IPv4 يضعه خادم DHCP في option 54. يعيد العنوان طلبات renewal إلى relay، لكنه لا يثبت هوية الخادم الحقيقي أو ملكيته للعنوان.
  • تعتمد سلامة الآلية على علاقة الثقة بين relay والخادم وعلى حماية معلومات relay. تطابق الحقول لا يغني عن المصادقة ولا عن إثبات قرار lease أو وصول الخدمة.

يظهر relay غير مصرح به بين العميل والخادم. يضيف عنواناً يخصه إلى Server Identifier Override. يقبل الخادم المتوافق القيمة ويعيدها في option 54. لاحقاً يرسل العميل طلبات renewal إلى ذلك العنوان. البروتوكول نفذ التوجيه المطلوب، لكن المسار أصبح تحت سيطرة الطرف الخاطئ.

في DHCPv4 المعتاد يستطيع relay إضافة Relay Agent Information إلى DHCPDISCOVER، بما فيها Circuit-ID وRemote-ID. بعد منح lease، يرسل العميل في حالة RENEWING طلب DHCPREQUEST مباشرة إلى العنوان الموجود في Server Identifier. قد يتجاوز الطلب relay، فيفقد الخادم الدليل الحالي عن نقطة الاتصال.

يقدم RFC 5107 indirection مقصوداً. يضيف relay suboption رقم 11 بطول أربعة octets وعنوان IPv4. يجب على الخادم الداعم نسخ القيمة إلى option 54 في الرد. عند التجديد يعود العميل إلى العنوان المختار، فيضيف relay معلوماته الحالية ويرسل الطلب إلى الخادم الفعلي.

لذلك لا يعني الاسم Server Identifier أن القيمة عنوان interface للخادم. قد تكون بوابة relay في مسار التحكم. وجهة العميل، وهوية instance التي تحفظ lease، وسلطة القرار حقائق منفصلة.

يجب على الخادم حفظ عنوان override للرسائل التالية من العميل حتى تصله رسالة جديدة عبر relay. لهذه الحالة generation ومصدر ووقت. ينبغي ربطها بهوية relay ومفتاح العميل أو lease وdigest للمعلومات المرفقة. العنوان وحده لا يبين من اختاره.

الخادم غير الداعم يتجاهل suboption ويضع عنوانه هو في option 54. قد ينجح التخصيص الأول، لكن renewal يذهب مباشرة إلى الخادم ولا يمر عبر relay. عندها تختفي معلومات attachment التي كان التصميم يريد استمرارها.

في pool مختلط يجب قياس السلوك لكل instance. معدل ACK العام لا يكشف أن خادماً echo للعنوان وآخر تجاهله. الإيصال الصحيح يجمع suboption المستلم، option 54 المرسل، والمسار الفعلي للطلب التالي.

يفحص الخادم عادة أن option 54 في DHCPREQUEST يطابق أحد عناوينه. عند وجود override يقارن option 54 بـ suboption 11. إذا تطابقا يمكنه معالجة الطلب حتى لو لم يكن العنوان محلياً.

هذا تطابق بين حقلين وليس مصادقة. لا يثبت من أدخل suboption، ولا أن relay موثوق، ولا أن العميل استلم رداً أصلياً، ولا أن الخادم يملك العنوان. تحويله إلى server_authenticated يضيف claim غير موجود.

يستمر relay في ملء giaddr. لا يحل override محل سياق شبكة التخصيص أو Circuit-ID أو Remote-ID أو Device Class. كما لا يخبر وحده هل وصلت رسالة العميل أصلاً broadcast أم unicast.

لذلك يوصي RFC 5107 باستخدام Relay Agent Flags من RFC 5010. الخادم يرى packet بعد التحويل، ولا يستطيع استنتاج طريقة الإرسال الأصلية من leg بين relay والخادم.

إذا كان relay يرسل إلى عدة خوادم، فينبغي أن يرسل كل DHCP messages، بما فيها renewal، إلى الجميع. الهدف ألا يحتفظ relay بقاعدة lease ظلّية. الخوادم تقارن الطلب بحالتها ويجيب صاحب lease.

يحتاج fan-out إلى receipt لكل وجهة. استلام relay لا يثبت استلام الخادم، وACK من خادم واحد لا يثبت إرسال الطلب للجميع. صمت خادم لا يملك lease لا يساوي packet loss.

إدخال relay في مسار العودة يجعله جزءاً من availability. إذا لم يصل العميل إلى override address فشل leg الأول. إذا لم يصل relay إلى الخادم فشل leg الثاني. قد يبقى option 54 صحيح البنية بينما تنتهي مدة lease.

ينبغي أن يسجل audit chain: دخول رسالة العميل، اختيار العنوان، giaddr، طريقة الإرسال الأصلية، digest لمعلومات relay، استلام الخادم، حفظ generation، option 54 في الرد، استلام العميل، عودة renewal، fan-out، قرار lease، تطبيق الإعداد، وأول traffic صالح.

يمكن أن يفقد restart حالة override مع بقاء lease. يحتفظ العميل بالقيمة القديمة ثم يقدمها إلى خادم لا يربطها بالسياق المستعاد. السبب الصحيح هو override_state_lost، لا “هوية عميل خاطئة” ولا “خادم مزيف”.

يمكن أن يحدث العكس في migration. يظل anycast address ثابتاً وتتغير مجموعة relays، أو يبقى server pool ويتغير عنوان العودة. يجب version كل من address وrelay وserver authority بشكل مستقل.

يوضح قسم الأمن الخطر مباشرة. Relay Agent Information يفترض علاقة ثقة بين relay والخادم. relay خبيث يستطيع redirect العملاء إلى نفسه، ومنع renewals لاحقاً، وتغيير options في DHCPACK، أو إظهار مدة أطول مما سمح به الخادم.

لا يدعي RFC 5107 أن suboption يمنع ذلك؛ بل يقول إنه لا يقدم وحده منفعة أمنية إضافية. الدفاع هو DHCP authentication وRelay Agent Information authentication وحدود الشبكة التي تمنع إدخال option 82 من طرف غير موثوق.

يجب تحديد principal والحقول المحمية في كل receipt. مصادقة relay عند الخادم ليست مصادقة الخادم عند العميل. حماية message لا تثبت أن الإعداد طبق. boolean واحد باسم authenticated يخفي هذه العلاقات.

حتى DHCPACK صحيح ومستلم لا يثبت تثبيت address أو mask أو route. والتثبيت لا يثبت policy أو traffic أو service. Server Identifier لا يستطيع اختصار هذه النتائج اللاحقة.

الدرس الإداري هو رفض سلطة الاسم. قد يحمل حقل “معرّف الخادم” عنوان وسيط اختاره relay. النموذج الصادق يحتفظ بـ client return address وsupplying relay وactual server وlease authority وauthentication receipt كحقائق مختلفة.

المصادر