DHCP

Définition simple

DHCP signifie « Dynamic Host Configuration Protocol » (protocole de configuration dynamique des hôtes). DHCP évite de configurer manuellement l’adresse IP de chaque ordinateur, téléphone ou imprimante.

Définition technique

Un client diffuse une demande DHCP et reçoit une proposition contenant généralement une adresse IP, un masque, une passerelle, des serveurs DNS et une durée de bail. Le processus est souvent résumé par Discover, Offer, Request et Acknowledge.

À quoi cela sert ?

Automatiser la configuration réseau et centraliser les réservations d’adresses.

Exemple concret

Lorsqu’un ordinateur se connecte au Wi-Fi, le serveur DHCP lui fournit automatiquement les informations nécessaires pour accéder à Internet.

Problèmes fréquents

Termes associés

À retenir : cette fiche présente le fonctionnement général du terme. Les réglages exacts peuvent varier selon les logiciels, constructeurs et environnements.

Processus DORA : attribution d’une adresse IPv4

Quand un client ne dispose pas de configuration, il diffuse généralement DHCPDISCOVER pour trouver les serveurs. Un serveur répond par DHCPOFFER, le client sélectionne une proposition via DHCPREQUEST et le serveur confirme avec DHCPACK. Ce parcours DORA correspond à l’obtention initiale ; renouvellements et réutilisation d’un bail peuvent suivre d’autres échanges. DHCPv4 utilise UDP 67 côté serveur et 68 côté client. Les échanges échouent si les diffusions restent bloquées entre VLAN sans relais configuré.

Baux, renouvellement et réservation

Un bail DHCP attribue temporairement une configuration à un client. La durée du bail dépend des paramètres serveur ; les temporisations T1 et T2 déterminent généralement les étapes de renouvellement et de rebinding. Une réservation associe une adresse à un identifiant client, souvent lié à l’adresse MAC en IPv4, afin de fournir une IP stable sans imposer une configuration statique sur le poste. Une exclusion empêche l’attribution automatique de certaines adresses. Un conflit apparaît lorsque plusieurs équipements utilisent la même adresse ; une réservation ne règle pas les doubles configurations manuelles.

Options DHCP et interaction avec DNS

Au-delà de l’adresse IP et du masque, le serveur peut transmettre la passerelle par défaut (option 3), des serveurs DNS (option 6), un nom de domaine ou des informations propres à certains équipements. Les options 66 et 67 sont parfois utilisées pour les démarrages réseau, mais les scénarios PXE modernes exigent souvent une configuration adaptée au firmware et à l’architecture. En environnement Active Directory, distribuer uniquement des DNS publics peut casser la découverte des contrôleurs de domaine ; les clients doivent résoudre les zones AD internes. Les mises à jour DNS dynamiques peuvent être effectuées par le client ou le serveur suivant la politique.

DHCP Relay et segmentation VLAN

DHCPDISCOVER est normalement une diffusion locale. Lorsqu’un client et le serveur DHCP appartiennent à des VLAN différents, un routeur ou un commutateur de niveau 3 peut agir comme relais DHCP, appelé aussi IP helper selon le constructeur. Le relais transmet la demande au serveur et fournit des informations de segment, notamment via giaddr en DHCPv4, afin que le serveur sélectionne la plage adéquate. Il faut créer une étendue par sous-réseau desservi, autoriser les échanges utiles et contrôler les interfaces sur lesquelles le relais est actif. Un relais mal configuré provoque souvent des adresses APIPA 169.254.x.x sous Windows.

Haute disponibilité et prévention des pannes

Pour Windows Server, DHCP Failover peut répartir la disponibilité des baux entre deux serveurs en mode load balance ou hot standby, avec des contraintes propres aux versions et à la configuration. Une simple duplication indépendante d’une même plage sur deux serveurs ne constitue pas un mécanisme de haute disponibilité sûr : elle peut générer des conflits et des incohérences. Prévoir un dimensionnement suffisant des étendues, une surveillance du nombre d’adresses libres, des sauvegardes de configuration et un test de basculement. Le rôle DHCP d’un serveur AD peut également nécessiter une autorisation dans Active Directory.

Sécurité : rogue DHCP et DHCP Snooping

Un serveur DHCP non autorisé peut distribuer une passerelle ou un résolveur DNS malveillant. Sur les commutateurs compatibles, DHCP Snooping distingue les ports de confiance des ports clients non fiables et peut bloquer les réponses venant de sources non autorisées. Définir correctement les ports montants, trunks et relais est indispensable pour ne pas interrompre les baux légitimes. Les journaux serveur, la surveillance du réseau et la segmentation complètent ces protections. DHCP ne constitue pas une authentification du terminal et ne remplace pas 802.1X ou d’autres contrôles d’accès réseau.

Diagnostiquer un poste sans adresse IP

Sous Windows, commencer par ipconfig /all pour relever l’adresse, le DHCP activé, la passerelle, les DNS et le serveur DHCP. Une adresse 169.254.x.x indique généralement que la configuration IPv4 attendue n’a pas été obtenue. Vérifier ensuite le lien physique ou Wi-Fi, le VLAN, l’étendue DHCP, les exclusions, les adresses disponibles, le relais et les règles de pare-feu. ipconfig /release puis ipconfig /renew peut déclencher un nouvel échange, mais il vaut mieux relever l’état initial et consulter les journaux avant de modifier l’environnement. Une capture réseau permet d’identifier quelle étape DORA manque. Pour Linux, examiner la configuration de NetworkManager, systemd-networkd ou du client DHCP utilisé.

DHCPv4 et DHCPv6 : ne pas les confondre

DHCPv6 possède un fonctionnement distinct de DHCPv4 : il utilise UDP 546 côté client et 547 côté serveur, et les messages Solicit, Advertise, Request et Reply dans les échanges typiques. La découverte des routeurs IPv6 repose sur les Router Advertisements, pas sur l’option passerelle du DHCPv4. Selon les drapeaux annoncés et la politique réseau, un client peut utiliser SLAAC, DHCPv6 avec attribution d’adresses ou DHCPv6 pour certaines informations complémentaires. Les comportements précis varient aussi selon les systèmes d’exploitation ; il faut donc diagnostiquer IPv4 et IPv6 séparément.