Static IP am DHCP Server oder am Device konfigurieren?

[marsman147]

Moin!

Ich habe eine Firewall (OPNsense), auf der ich auch den DHCP-Server nutze. Geräte, die eine feste IP haben sollen, habe ich dort per Static Mapping konfiguriert. Damit die Vergabe der IP-Adressen zentral an eben dieser Stelle bleibt, habe ich an den Clients selbst DHCP konfiguriert.

Immer wieder frage ich mich, ob es sicherer oder üblich ist, feste IPs an den Clients selbst zu konfigurieren, statt beim DHCP-Server zu vertrauen, dass Clients sich mit der korrekten MAC melden und dieser daraufhin die IP vergibt. Es ist mir allerdings schon passiert, dass ich ein Gerät mit fest eingestellter IP bei geänderter Netzinfrastruktur erst nach Factory Reset wieder ansprechen konnte.

Im konkreten Fall hat z.B. ein Switch die statische Adresse 192.168.1.2 oder ein NAS die Adresse 192.168.10.10. Ein Smartphone per DHCP eine Adresse aus dem Bereich 192.168.10.100 bis 192.168.10.245.

Was meint ihr?

 

[marce]

klassisch - it depend's on.

Es gibt leider ein paar Geräte, die beim booten, wenn der DHCP nicht erreichbar ist, "irgendwas" machen und sich an ihre alte IP um's Verrecken nicht erinnern wollen. Wenn das dann "nur" irgendwelche Drucker sind - ok, kann man mit leben, einfach mal bei Gelegenheit neu starten und alles gut. Wenn das aber dann relevante Infrastruktur ist (Router, Switche, Access-Points, ...) wird's ggf. unlustig.

Wenn Du solche Dinger hat - Gefahrenabschätzung, was unlustiger ist (Ausfall, Chaos vs. Bequemlichkeit)

... ansonsten würde ich alles über den DHCP abfrühstücken. Der Charme der zentralen Verwaltung hat schon was...

 

[d4f]

Es gibt leider ein paar Geräte, die beim booten, wenn der DHCP nicht erreichbar ist, "irgendwas" machen und sich an ihre alte IP um's Verrecken nicht erinnern wollen.

Ein ähnliches Problem gibt es auch bei Verbindungsstörungen oder Ausfall im Betrieb. DHCP Leases laufen aus und je nach Gerät gibt es manchmal sehr überraschende Probleme die oft im Nachhinen unmöglich zu analysieren sind.
Persönlich handhabe ich es (in privaten Umgebungen) so dass
- alle Clientgeräte DHCP sind
- alle Server wo möglich statische IP's konfigurieren

Ausnahme sind zB Kubernetes-Hosts, die lasse ich vom VLAN-spezifischen DHCP verwalten.
Das gleiche gilt wie wie @marce angibt bei "unkritischen" Systemen wo die Konfiguration unhandlich oder die IP-Konfiguration teils recht irrelevant ist (MQTT Clients, ...)

 

[marsman147]

Es gibt leider ein paar Geräte, die beim booten, wenn der DHCP nicht erreichbar ist, "irgendwas" machen und sich an ihre alte IP um's Verrecken nicht erinnern wollen.

Ja, das ist mir auch schon passiert. DHCP, aber auch NTP. Meine Firewall läuft auf einer PC Engine APU und braucht zum booten wesentlich länger, als die meisten Clients. Ich habe auch versucht, das Problem auf den betreffenden Linux-Clients mit Hilfe der Wants in den Services in den Griff zu bekommen. Das ist mir leider nicht abschließend gelungen.

- alle Clientgeräte DHCP sind
- alle Server wo möglich statische IP's konfigurieren

Ja, so werde ich es wohl machen. Switch, AP und NetServer bekommen eine feste IP. Mit "NetServer" meine ich an der Stelle ein System, das weitere Dienste wie Unbound DNS und Reverse Proxy bereitstellt.

 

[marce]

Alternativ klopf die Konfig in ein Tool wie Ansible rein - kommt halt immer drauf an, was da an zu verwaltenden Systemen so rumsteht und welcher Art die Dinger so sind - PCs, Workstations, Tabletts, SmartPhones, Server, Drucker, ... - und auf die Menge der jeweiligen Kandidaten...

 

[marsman147]

Danke für den Tipp zu Ansible. Es ist mir etwas peinlich, aber das lohnt hier nicht.