İçeriğe atla
Bilgi Merkezi/Makale
Makale

DHCP Nedir, Nasıl Çalışır? IP Adresleri Nasıl Dağıtılır?

DHCP'nin cihazlara IP adresini ve ağ ayarlarını nasıl verdiğini, DORA adımlarını, kira süresini, relay'i, DHCPv6'yı ve sahte sunucu riskini anlattık.

Oğuzhan Gerçek··8 dk okuma
DHCP Nedir, Nasıl Çalışır? IP Adresleri Nasıl Dağıtılır?

Kısa cevap: DHCP (Dynamic Host Configuration Protocol), ağa bağlanan bir cihaza IP adresini, alt ağ maskesini, varsayılan ağ geçidini ve DNS sunucularını otomatik olarak veren protokoldür. Cihaz yayınla sunucu arar, sunucu bir adres önerir, cihaz bu adresi ister ve sunucu onaylar; bu dört adıma baş harflerinden DORA denir. Adres süreli bir kirayla (lease) verilir; cihaz kira süresinin yarısında kirayı yenilemeye başlar. Sunucu başka bir alt ağdaysa istekleri aradaki katman 3 cihaz DHCP relay olarak iletir; IPv6'da aynı işi DHCPv6 ile SLAAC paylaşır.

DHCP nedir?

DHCP'nin bugün de geçerli tanımı Mart 1997 tarihli RFC 2131. Belgeye göre DHCP, TCP/IP ağındaki cihazlara yapılandırma bilgisi aktarmanın çerçevesidir ve BOOTP'nin (Bootstrap Protocol) üstüne kuruludur. Microsoft'un tanımıyla istemci-sunucu modelinde çalışır; cihaza IP adresini ve alt ağ maskesi, varsayılan ağ geçidi gibi ayarları otomatik verir. Microsoft'un Türkçe belgelerindeki adı Dinamik Ana Bilgisayar Yapılandırma Protokolü.

Microsoft'a göre DHCP, elle yapılandırmadaki yazım hatalarını ve aynı adresin iki cihaza verilmesinden doğan çakışmaları azaltır. Mesajlar UDP üzerinden gider: istemciden sunucuya gidenler 67, sunucudan istemciye gidenler 68 numaralı porta gönderilir (port yazımız).

IP adresi nedir?

IP'yi tanımlayan RFC 791 (Eylül 1981) üç kavramı ayırır: ad neyi aradığımızı, adres onun nerede olduğunu, rota oraya nasıl gidileceğini gösterir. Adı adrese DNS çevirir, rotayı router bulur; IP adresi ise cihazın ağdaki yeridir. RFC 791'e göre IPv4 adresi 32 bittir, yani 2 üzeri 32 (yaklaşık 4,3 milyar) farklı değer alabilir. RFC 4291'e göre IPv6 adresi 128 bitlik bir arayüz kimliğidir. Adresin ağı ve alt ağı gösteren bitlerini alt ağ maskesi (subnet mask) işaretler (RFC 950). Özel adres bloklarını LAN yazımızda, internete çıkarken çevrilmelerini NAT yazımızda anlattık.

DHCP nasıl çalışır? DORA adımları

RFC 2131'e göre bir istemci adres alırken dört mesaj gidip gelir; Microsoft'un sorun giderme rehberi bu akışı baş harflerinden DORA diye anıyor:

  1. Discover: İstemci, bulunduğu alt ağa DHCPDISCOVER yayını (broadcast) göndererek sunucu arar. Henüz adresi olmadığı için paketin kaynak adresi 0'dır (0.0.0.0).
  2. Offer: Cevap veren her sunucu, DHCPOFFER ile bir adres ve yapılandırma önerir.
  3. Request: İstemci tekliflerden birini seçip DHCPREQUEST yayınlar; mesajdaki sunucu kimliği seçimi gösterir, öteki teklifler geri çevrilmiş olur.
  4. Acknowledge: Seçilen sunucu DHCPACK ile adresi kesinleştirir.

RFC, istemcinin adresi kullanmadan önce son bir kontrol yapmasını (örneğin ARP ile) öneriyor; adres başka bir cihazdaysa istemci DHCPDECLINE gönderir.

Kira süresi (lease) ve yenileme

RFC 2131'deki dinamik atamada adres sınırlı bir süre için, yani bir kirayla verilir. Kira dolmadan iki eşik devreye girer:

  • T1 (varsayılanı kira süresinin %50'si): İstemci yenileme (RENEWING) durumuna geçer ve adresi veren sunucuya doğrudan (unicast) DHCPREQUEST gönderir.
  • T2 (varsayılanı %87,5): O ana kadar DHCPACK gelmediyse istemci yeniden bağlanma (REBINDING) durumuna geçer ve DHCPREQUEST'i yayınla gönderir.

Kira DHCPACK alınmadan biterse istemci öteki ağ işlemlerini hemen durdurur ve sürece baştan başlar. Microsoft'un örnek senaryosunda kapsamın varsayılan kira süresi 8 gün; adres kullanımını iyileştirmek için telefon ve tabletlere 8 saat, sunucu ve yazıcılara 60 gün veriliyor. 8 günlük kirada T1 4. günde, T2 7. günde gelir.

Kapsam, rezervasyon ve DHCP seçenekleri

Microsoft'a göre kapsam (scope), DHCP sunucusunun istemcilere vereceği adres aralığıdır. Rezervasyon ise bir adresi ağ kartının MAC adresine bağlar ve yalnızca o cihaza kiralar. Adresle gelen ayarlar RFC 2132'de (Mart 1997) numaralı seçenekler olarak tanımlı:

  • 1: Alt ağ maskesi
  • 3: İstemcinin alt ağındaki router'lar, yani varsayılan ağ geçidi
  • 6: DNS sunucuları
  • 51: Kira süresi

Statik IP'de adres cihaza elle girilir; RFC 2131'in manuel atamasında da adresi yönetici belirler, DHCP yalnızca iletir. Microsoft'a göre DHCP sunucusunun kendisi statik bir IPv4 adresi ister. RFC 2131'e göre kullanılmayan bir adresi kendiliğinden geri alıp yeniden dağıtabilen tek yöntem dinamik atamadır.

Farklı alt ağlar ve VLAN'lar: DHCP relay

Cisco'ya göre router'lar varsayılan olarak yayın paketlerini iletmez; istemci bu yüzden başka bir alt ağdaki DHCP sunucusuna kendiliğinden ulaşamaz. Kullanıcılar ayrı VLAN'larda, sunucu başka bir alt ağdaysa aradaki katman 3 cihaz relay agent olur ve istekleri sunucuya taşır. Relay, isteği aldığı arayüzün adresini mesajın gateway IP adresi (giaddr) alanına yazar; RFC 2131'e göre sunucu adresi bu alana bakarak seçer. Böylece tek bir sunucu, her alt ağ için ayrı kapsamla birçok alt ağa hizmet verebilir. Cisco'nun Catalyst belgesine göre relay için ip helper-address komutu istemciye en yakın katman 3 arayüzde tanımlanır.

IPv6'da DHCPv6 ve SLAAC

IPv6'da adres almanın iki yolu var. RFC 4862 (Eylül 2007) ile tanımlanan durum tutmayan otomatik yapılandırmada (SLAAC) router'lar alt ağın önekini (prefix) ilan eder, cihaz kendi arayüz kimliğini üretip önekle birleştirir; ek sunucu gerekmez. Hangi yolun kullanılacağını router ilanındaki (Router Advertisement) bayraklar söyler: RFC 4861'e göre M bayrağı adreslerin, O bayrağı DNS gibi öteki bilgilerin DHCPv6'dan alınabileceğini gösterir.

DHCPv6'nın güncel tanımı, Ocak 2026'da İnternet Standardı (STD 102) olarak yayımlanan ve RFC 8415'in yerini alan RFC 9915. Dört adımlık akışın IPv6'daki mesajları Solicit, Advertise, Request ve Reply. İstemci 546, sunucu ve relay 547 numaralı UDP portunu dinler. RFC 9915'e göre DHCPv6, SLAAC'ın yerine ya da onunla birlikte çalışabilir.

DHCP güvenliği: sahte sunucu, starvation ve DHCP snooping

RFC 2131'in güvenlik bölümü açık: DHCP doğrudan UDP ve IP üzerine kuruludur ve bu protokoller kendi başına güvenli değildir. Yetkisiz bir DHCP sunucusu kolayca kurulabilir ve istemcilere yanlış adres, sahte router ya da sahte DNS sunucusu bilgisi dağıtabilir. MITRE ATT&CK'e göre saldırgan bu yolla trafiği kendi sistemine çekip araya girme (adversary-in-the-middle) konumu elde edebilir. Çok sayıda DISCOVER yayınıyla adres havuzunu tüketip meşru istemcileri adressiz bırakmak da mümkün (DHCP starvation).

MITRE'nin önerdiği önlem, katman 2 switch'lerde DHCP snooping: hem sahte sunucuyu hem starvation saldırısını önler. Cisco'nun belgesine göre DHCP snooping, sunucuya bağlı portları güvenilen, istemciye bağlı portları güvenilmeyen olarak ayırır. Bütün portlar varsayılan olarak güvenilmeyen sayılır; güvenilmeyen taraftan gelen DHCPOFFER, DHCPACK ya da DHCPNAK paketi atılır.

Microsoft'a göre Active Directory etki alanında kurulan yetkisiz Windows DHCP sunucuları adres dağıtamaz.

Kurumda DHCP: failover, IPAM ve DNS kaydı

DHCP sunucusuna ulaşamayan bir Windows bilgisayar, Microsoft'a göre kendine IANA'nın ayırdığı 169.254.0.0-169.254.255.255 aralığından adres atar. RFC 3927'ye göre bu adresler yalnızca aynı bağlantıdaki (link) cihazlarla iletişim için geçerlidir. Windows Server 2012 ile gelen DHCP failover'da ise iki sunucu IPv4 kapsamlarını, kiraları ve rezervasyonları paylaşır; biri durursa öteki kira vermeyi sürdürür. İki modu var: yük dengeleme (varsayılan dağılım %50-%50) ve sıcak yedek (hot standby).

Microsoft'a göre IPAM (IP Address Management), IP adres altyapısını planlamak, devreye almak, yönetmek ve izlemek için bir araç takımıdır. DHCP sunucusu kira verdiğinde ya da yenilediğinde DNS kayıtlarını da güncelleyebilir; cihazlara böylece adlarıyla ulaşılır (DNS yazımız). Bir ağın adres planını ağ ve trafik mühendisliği, DHCP ve DNS sunucularının işletimini altyapı yönetimi hizmetimizde ele alıyoruz.

Sık sorulan sorular

DHCP ne demek? Dynamic Host Configuration Protocol demek; Microsoft'un Türkçe belgelerinde Dinamik Ana Bilgisayar Yapılandırma Protokolü olarak geçer.

DHCP sunucusu nedir? Ağdaki cihazlara IP adresi kiralayan, alt ağ maskesi, varsayılan ağ geçidi ve DNS sunucusu gibi ayarları da gönderen sunucudur.

DHCP ile statik IP arasındaki fark nedir? DHCP'de adres sunucudan süreli bir kirayla gelir; statik IP'de cihaza elle girilir. Rezervasyonda adres yine DHCP'den gelir ama hep aynıdır.

IP adresim neden 169.254 ile başlıyor? Windows, DHCP sunucusuna ulaşamayınca kendine bu aralıktan adres atar; bu adres yalnızca aynı bağlantıdaki cihazlarla iletişim için geçerlidir.

DHCP hangi portları kullanır? IPv4'te sunucu 67, istemci 68 numaralı UDP portunu kullanır. DHCPv6'da istemci 546, sunucu ve relay 547 numaralı portu dinler.

Kaynaklar