Questions pour vérifier la compréhension
Pourquoi le DISCOVER est-il envoyé en diffusion ?
Le PC ne connaît ni sa propre adresse ni celle d’un serveur DHCP : il s’adresse à tout le réseau local.
Pourquoi le REQUEST est-il lui aussi en diffusion ?
Le PC n’a pas encore d’adresse validée, et tous les serveurs ayant fait une offre apprennent ainsi laquelle a été retenue.
Quels ports UDP utilise DHCP ?
67 côté serveur, 68 côté client.
Que fait le PC à la moitié de son bail (T1) ?
Il demande en unicast à son serveur de prolonger le bail ; à T2 (87,5 %), sans réponse, il s’adresse en diffusion à tout serveur.
Comment empêcher un serveur DHCP non autorisé de répondre ?
Avec le DHCP snooping : seuls les ports déclarés de confiance, ceux qui mènent au vrai serveur, peuvent émettre des réponses DHCP.
Transcription de l’animation
1. Un PC sans adresse
Un PC vient d’être branché. Pour communiquer, il lui faut une adresse IP, un masque, une passerelle et un serveur DNS. Les saisir à la main sur des centaines de postes serait long et source d’erreurs. DHCP les distribue automatiquement, en quatre messages : DORA.
2. Discover
- DISCOVER : le PC ne connaît ni son adresse ni celle d’un serveur. Il crie donc à tout le réseau local, en diffusion, depuis l’adresse 0.0.0.0. Le message est en UDP : port 68 côté client, port 67 côté serveur. Seul le serveur DHCP en tient compte.
3. Offer
- OFFER : le serveur choisit une adresse libre dans son étendue, la réserve, et la propose au PC avec le masque, la passerelle, le DNS et la durée du bail. L’offre est adressée à la MAC du PC, puisque celui-ci n’a pas encore d’adresse IP.
4. Request
- REQUEST : le PC accepte l’offre. Il répond encore en diffusion, car il n’a toujours pas d’adresse validée. La diffusion a un autre intérêt : s’il y avait plusieurs serveurs DHCP, tous savent ainsi quelle offre a été retenue, et les autres libèrent leur proposition.
5. Ack
- ACK : le serveur confirme et enregistre le bail : cette adresse MAC a l’adresse 192.168.1.50 pour 24 heures. Le PC applique sa configuration. Il peut maintenant communiquer, en commençant souvent par ARP pour trouver sa passerelle.
6. Le bail et son renouvellement
L’adresse n’est pas donnée pour toujours : elle est prêtée pour une durée, le bail. À la moitié du bail (T1), le PC demande directement à son serveur de le prolonger. En général, le serveur accepte et le compteur repart à zéro. Si le serveur ne répond pas, à 87,5 % du bail (T2), le PC s’adresse en diffusion à n’importe quel serveur DHCP. À l’expiration, sans réponse, le PC abandonne l’adresse et recommence par un DISCOVER.
7. Le relais DHCP
Avec des VLAN, le serveur DHCP est souvent dans un autre réseau. Or une diffusion ne traverse pas un routeur. Le routeur joue alors le rôle de relais DHCP : il reçoit le DISCOVER et le transmet en unicast au serveur (commande ip helper-address). Il y ajoute l’adresse de son interface côté client : le serveur sait ainsi dans quelle étendue choisir l’adresse. La réponse repasse par le relais jusqu’au PC. Un seul serveur peut ainsi servir tous les VLAN.
8. Vigilance sécurité
Vigilance : DHCP fait confiance au premier qui répond. C’est pratique, mais cela se protège. Le DHCP snooping sur les switchs n’autorise les réponses DHCP que sur les ports de confiance, ceux qui mènent au vrai serveur. Limiter le nombre de demandes par port empêche de vider l’étendue. La table construite par le snooping (MAC, IP, port) sert aussi à vérifier que chaque poste utilise bien l’adresse qui lui a été attribuée. Enfin, on réserve les adresses des serveurs et imprimantes, et on garde un œil sur le journal des baux.
9. À retenir
En résumé : quatre messages, DORA, pour obtenir une configuration IP complète, prêtée pour la durée d’un bail. Et parce que DHCP croit le premier qui répond, on active le DHCP snooping sur les switchs.
© 2026 Bruno Jousseaume. Ce cours est publié sous licence CC BY-NC-SA 4.0 : vous pouvez le partager et l’adapter en citant l’auteur et un lien vers cette page, sans usage commercial, et en partageant vos adaptations sous la même licence.