Wat is DHCP?
DHCP (Dynamic Host Configuration Protocol) is een netwerkprotocol waarmee een server automatisch een IP-adres, subnetmasker, standaard gateway, DNS-servers en andere netwerkinstellingen voor een bepaalde tijd (een lease) toewijst aan apparaten die zich op een IP-netwerk aanmelden. Daardoor hoeft niemand laptops, printers of telefoons handmatig te configureren en voorkomt u dubbele adressen. DHCP is vastgelegd in RFC 2131 (maart 1997) en bouwt voort op het oudere BOOTP. In kantoornetwerken is het de standaard; in OT-netwerken is het gebruik bewust beperkter, omdat PLC’s, HMI’s en SCADA-servers een voorspelbaar adres nodig hebben.
Dankzij DHCP hoeft een gebruiker of beheerder geen handmatige IP-configuratie meer uit te voeren, maar wie de DHCP-server beheerst, bepaalt ook waar het verkeer van een apparaat naartoe gaat.
🎯 Hoe werkt DHCP stap voor stap?
DHCP draait over UDP: clients sturen naar poort 67 (server) en servers antwoorden naar poort 68 (client). Een apparaat zonder adres doorloopt vier stappen, vaak afgekort als DORA:
- Discover - de client stuurt een broadcast: “is hier een DHCP-server?”
- Offer - een of meer servers bieden een vrij adres uit hun bereik aan, met de bijbehorende instellingen.
- Request - de client kiest één aanbod en vraagt dat adres formeel aan; andere servers zien zo dat hun aanbod is afgewezen.
- Acknowledge (ACK) - de server bevestigt en de lease gaat in.
Daarna controleert de client met een ARP-verzoek of het adres echt vrij is. Reageert een ander apparaat, dan stuurt de client een DHCPDECLINE en markeert de server het adres als onbruikbaar. Overige berichten zijn DHCPNAK (weigering, bijvoorbeeld na verhuizing naar een ander subnet), DHCPRELEASE (adres teruggeven) en DHCPINFORM (alleen instellingen opvragen bij een vast adres).
Lease-verlenging gebeurt automatisch. Standaard probeert de client na 50% van de leasetijd (T1) te verlengen bij de eigen server. Lukt dat niet, dan probeert hij het na 87,5% (T2) via een broadcast bij elke server. Verloopt de lease toch, dan moet het apparaat stoppen met het adres. Krijgt een client helemaal geen antwoord, dan kiezen veel besturingssystemen zelf een link-local adres uit 169.254.0.0/16, wat in de praktijk vaak het eerste teken is van een onbereikbare DHCP-server.
🔧 Uit welke onderdelen en opties bestaat DHCP?
| Onderdeel | Functie |
|---|---|
| DHCP-server | Beheert adresbereiken en verstrekt configuraties aan clients |
| DHCP-client | Apparaat dat automatisch netwerkinstellingen aanvraagt |
| Scope (pool) | Bereik van IP-adressen dat per subnet mag worden uitgedeeld |
| Leasetijd | Tijd dat het IP-adres geldig blijft; Windows Server gebruikt standaard 8 dagen |
| Reservering | Vaste koppeling van een IP-adres aan een MAC-adres of client-ID |
| Relay agent | Router of switch die DHCP-broadcasts naar een server in een ander subnet doorstuurt |
Alle instellingen behalve het adres zelf gaan mee als genummerde opties:
| Optie | Inhoud | Belang in OT |
|---|---|---|
| 1 | Subnetmasker (zie Subnetting) | Bepaalt welk deel van het netwerk lokaal is |
| 3 | Standaard gateway (Router) | Een valse gateway maakt een Man-In-The-Middle mogelijk |
| 6 | DNS-servers | Een valse DNS-server leidt naamopvragingen om |
| 42 | NTP-servers | Tijdsynchronisatie voor logging en alarmen |
| 43 / 60 | Leveranciersspecifieke info / vendor class | Herkennen en configureren van specifieke apparaattypen |
| 66 / 67 | TFTP-server en bootbestand | Opstarten en firmware laden via het netwerk |
| 82 | Relay Agent Information (RFC 3046, 2001) | Vertelt de server via welke switchpoort een verzoek binnenkwam |
🔄 Wat is het verschil tussen DHCP, BOOTP en een statisch adres?
BOOTP (RFC 951, 1985) is de voorganger: het geeft een vast adres op basis van het MAC-adres, zonder leases. DHCP is daarmee compatibel, zodat veel DHCP-servers ook BOOTP-clients bedienen. Voor IPv6 bestaat DHCPv6 (RFC 8415, 2018), met eigen berichten (Solicit, Advertise, Request, Reply) en de poorten 546 en 547; de standaard gateway komt daar uit router advertisements, niet uit DHCPv6.
| Methode | Hoe krijgt het apparaat zijn adres? | Typisch gebruik |
|---|---|---|
| Statisch | Handmatig ingesteld op het apparaat | PLC’s, servers, industriële switches |
| DHCP dynamisch | Vrij adres uit de pool, met lease | Kantoor-pc’s, gastnetwerk, onderhoudslaptops |
| DHCP-reservering | Altijd hetzelfde adres via de server | Printers, camera’s, sommige HMI’s |
| BOOTP | Vast adres per MAC-adres, geen lease | Inbedrijfstelling van oudere veldapparaten |
| PROFINET DCP | Naam en adres via het eigen discoveryprotocol | ProfiNET-apparaten; DHCP is daar optioneel |
🏭 Hoe wordt DHCP gebruikt in OT-omgevingen?
In industriële netwerken is statische IP-adressering gebruikelijk. Een besturing die na een herstart een ander adres krijgt, is onbereikbaar voor SCADA en andere PLC’s, en een uitgevallen DHCP-server mag nooit een productielijn stilleggen. DHCP heeft toch een vaste plek:
- Inbedrijfstelling - veel IP-apparaten worden geleverd met BOOTP of DHCP ingeschakeld, zodat de engineer met een BOOTP/DHCP-tool het eerste adres instelt en daarna overschakelt naar statisch.
- Poortgebaseerde toewijzing - managed switches van onder meer Cisco, Moxa en Hirschmann kunnen per poort een vast adres uitdelen, of via optie 82 de poort meesturen naar de server. Een vervangen sensor of drive krijgt zo automatisch hetzelfde adres, zonder configuratie door de monteur.
- Tijdelijke apparaten - onderhoudslaptops in een apart VLAN of engineeringnetwerk, en bezoekers op het gastnetwerk.
- Supervisory- en IT-lagen - werkstations en thin clients op niveau 3 van het Purdue Model krijgen vaak een adres uit een reservering.
Let wel op de afhankelijkheid: bij poortgebaseerde toewijzing bepaalt de bekabeling het adres. Wordt een apparaat op de verkeerde poort gestoken, dan krijgt het het verkeerde adres.
🔐 Welke beveiligingsrisico’s heeft DHCP?
DHCP kent in de praktijk geen authenticatie: een client vertrouwt het eerste antwoord dat binnenkomt. MITRE ATT&CK beschrijft misbruik daarvan als DHCP Spoofing (T1557.003).
| Risico | Gevolg | Maatregel |
|---|---|---|
| Rogue DHCP-server (Rogue Device) | Valse gateway of DNS leidt verkeer via de aanvaller | DHCP Snooping met alleen vertrouwde uplinkpoorten |
| DHCP-starvation | Pool raakt leeg door massale Discover-berichten; nieuwe apparaten krijgen geen adres | Port Security, rate limiting op DHCP-verkeer |
| Adres- en ARP-spoofing | Een apparaat neemt het adres van een PLC over | IP Source Guard en Dynamic ARP Inspection op basis van de snooping-tabel |
| Ongecontroleerde aansluiting | Elk apparaat krijgt direct netwerktoegang | 802.1X of NAC vóór adresuitgifte |
| DHCP over zonegrenzen | Relay-verkeer door de Firewall opent een pad tussen zones | Een DHCP-server per zone, of alleen UDP 67/68 naar één server toestaan |
| Onbewaakte IPv6 | Valse DHCPv6- of router-advertisementberichten | DHCPv6 en router advertisements blokkeren waar IPv6 niet wordt gebruikt |
Een DHCP-reservering op MAC-adres is een beheermaatregel, geen beveiliging: een MAC-adres is eenvoudig te vervalsen (Spoofing). Plaats DHCP-servers voor OT in de eigen zone volgens IEC 62443 en niet in het kantoornetwerk.
🧭 Hoe richt u DHCP verantwoord in een OT-netwerk in?
Een praktische aanpak in vijf stappen:
- Leg het adresplan vast - per zone en VLAN: welke bereiken zijn statisch, welke gereserveerd en welke dynamisch. Neem het op in uw asset-inventaris.
- Kies per zone een eigen DHCP-functie - op de switch of op een server binnen de zone, zodat een storing in IT de productie niet raakt. Maak de server redundant waar productie ervan afhangt.
- Schakel DHCP Snooping in - markeer alleen de poorten richting de echte server als trusted en bouw daarop IP Source Guard en Dynamic ARP Inspection.
- Kies passende leasetijden - kort (uren) voor gast- en onderhoudsnetwerken, lang of gereserveerd voor vaste apparatuur.
- Log en bewaak - stuur leases en snooping-meldingen via Syslog naar uw SIEM of netwerkmonitoring; een onbekend MAC-adres of een tweede DHCP-server is een direct signaal.
Controleer ook de levenscyclus van de serversoftware. ISC DHCP, jarenlang de standaard op Linux, is sinds eind 2022 end-of-life; opvolger is Kea. Voor organisaties onder de Cyberbeveiligingswet (NIS2) horen dergelijke kerndiensten in het patchbeleid en de hardening-baseline.
❓ Veelgestelde vragen
Welke poorten gebruikt DHCP?
DHCP gebruikt UDP-poort 67 voor de server en UDP-poort 68 voor de client. DHCPv6 voor IPv6 gebruikt UDP-poort 546 voor clients en 547 voor servers en relay agents. Firewallregels tussen zones moeten dus specifiek deze poorten toestaan of blokkeren.
Wat gebeurt er als de DHCP-server uitvalt?
Apparaten met een geldige DHCP-lease blijven hun adres gebruiken tot de lease verloopt; na 50% en 87,5% van de leasetijd proberen ze te verlengen. Nieuwe of herstarte apparaten krijgen geen adres en vallen vaak terug op een link-local adres in 169.254.0.0/16. Daarom gebruiken kritieke OT-apparaten meestal een statisch adres.
Is DHCP veilig genoeg voor een OT-netwerk?
DHCP zelf heeft geen authenticatie, dus een malafide DHCP-server kan apparaten een valse gateway of DNS-server geven. Met DHCP Snooping, IP Source Guard, Dynamic ARP Inspection en een DHCP-server per zone is DHCP in OT goed beheersbaar. Voor PLC’s en SCADA-servers blijft statische adressering de gangbare keuze.
Wat is het verschil tussen een DHCP-reservering en een statisch IP-adres?
Bij een DHCP-reservering koppelt de DHCP-server altijd hetzelfde adres aan een MAC-adres of client-ID, maar het apparaat blijft afhankelijk van de server. Bij een statisch IP-adres staat de configuratie op het apparaat zelf en is geen server nodig. Een reservering is makkelijker centraal te beheren, een statisch adres is robuuster bij uitval.
Wat is DHCP-optie 82?
DHCP-optie 82, de Relay Agent Information Option uit RFC 3046, laat een switch of relay meesturen via welke poort en welk apparaat een DHCP-verzoek binnenkwam. De DHCP-server kan daarmee per switchpoort een vast adres uitdelen. In OT betekent dit dat een vervangen apparaat op dezelfde poort automatisch hetzelfde adres krijgt.
Wat is een DHCP-relay?
Een DHCP-relay is een router of switch die DHCP-broadcasts uit een subnet doorstuurt naar een DHCP-server in een ander subnet, omdat broadcasts normaal niet over routers heen gaan. Zo kan één server meerdere VLAN’s bedienen. In OT-netwerken moet u bewust kiezen of relay-verkeer zonegrenzen mag passeren.
📌 Samengevat
DHCP automatiseert het uitdelen van IP-adressen en netwerkinstellingen via een vierstapsproces met tijdelijke leases. Het maakt beheer eenvoudiger, maar zonder authenticatie bepaalt wie de DHCP-server beheerst waar verkeer heen gaat. In gemengde IT/OT-netwerken gebruikt u daarom statische adressen of reserveringen voor kritieke apparatuur, een DHCP-functie per zone en DHCP Snooping op elke toegangsswitch.