Zapora blokuje serwer DHCP

Zapora blokująca serwer DHCP wskazuje na regułę ograniczającą porty UDP 67/68 wymagane do przydzielania adresów IP.

Jak zapora wpływa na przydzielanie adresu IP

Komunikat „Zapora blokuje serwer DHCP” oznacza, że filtrowanie ruchu sieciowego może uniemożliwiać wymianę komunikatów między klientem DHCP a urządzeniem pełniącym funkcję serwera DHCP. DHCP, czyli Dynamic Host Configuration Protocol, służy do automatycznego przekazywania komputerowi parametrów potrzebnych do pracy w sieci. Najczęściej są to adres IPv4, maska podsieci, brama domyślna oraz adresy serwerów DNS. Jeżeli komputer nie otrzyma odpowiedzi DHCP, może nie uzyskać prawidłowej konfiguracji sieciowej.

W typowej komunikacji DHCP dla IPv4 klient korzysta z portu UDP 68, a serwer nasłuchuje na porcie UDP 67. Początkowe żądanie jest zwykle wysyłane jako komunikat rozgłoszeniowy, ponieważ klient nie zna jeszcze własnego adresu IP ani adresu serwera DHCP. Zapora może zablokować taki ruch na podstawie numeru portu, kierunku połączenia, profilu sieciowego albo rodzaju pakietu. Sam fakt otwarcia portów nie zawsze wystarcza, jeśli reguła nie zezwala również na ruch rozgłoszeniowy.

Objawy blokady portów UDP 67 i 68

Najbardziej widocznym skutkiem problemu jest brak adresu IPv4 przydzielonego przez DHCP. W systemie Windows można wtedy zobaczyć adres autokonfiguracji z zakresu 169.254.0.0/16. Taki adres jest nadawany lokalnie, gdy komputer nie uzyska odpowiedzi z serwera DHCP; nie zapewnia on normalnego dostępu do routera ani do Internetu. W innych systemach interfejs sieciowy może pozostać bez adresu IPv4 albo otrzymać tylko konfigurację IPv6, jeśli ta działa niezależnie.

Przerwanie komunikacji DHCP może również powodować pozornie niestabilne objawy. Komputer może działać po uruchomieniu, lecz utracić łączność po wygaśnięciu dzierżawy adresu. Może też łączyć się z siecią Wi-Fi, ale nie otwierać stron internetowych, ponieważ samo uwierzytelnienie w sieci bezprzewodowej nie oznacza jeszcze otrzymania adresu IP i bramy. W sieci przewodowej podobny efekt wystąpi wtedy, gdy karta sieciowa ma połączenie fizyczne, lecz zapora odrzuca komunikaty DHCP.

Nie każdy problem z adresem IP jest jednak skutkiem zapory. Przyczyną może być wyłączony router, niedostępny serwer DHCP, uszkodzony przewód, problem z punktem dostępowym, błędna konfiguracja przełącznika albo ręcznie ustawiony adres IP. Dlatego komunikat należy traktować jako wskazówkę diagnostyczną, a nie jako samodzielne potwierdzenie jednej przyczyny.

Sprawdzenie reguł zapory i odnowienia dzierżawy

Diagnostykę warto rozpocząć od ustalenia, czy problem dotyczy jednego urządzenia, czy całej sieci. Jeżeli kilka komputerów nie otrzymuje adresów IP, bardziej prawdopodobna jest awaria lub niedostępność serwera DHCP albo elementu infrastruktury sieciowej. Jeżeli problem występuje tylko na jednym laptopie lub komputerze PC, należy sprawdzić lokalną zaporę, profil sieci oraz stan usługi klienta DHCP. W systemie Windows stan parametrów można obejrzeć poleceniem ipconfig /all. Wynik pokazuje między innymi adres IPv4, bramę domyślną, serwery DHCP i czas dzierżawy.

W ustawieniach zapory należy sprawdzić reguły dotyczące klienta DHCP oraz ruchu UDP na portach 67 i 68. Istotny jest kierunek komunikacji: klient wysyła żądania z portu UDP 68 do portu UDP 67, a odpowiedzi serwera wracają do klienta na port UDP 68. Reguła może być przypisana do określonego profilu sieciowego, na przykład prywatnego albo publicznego. Zmiana profilu na bardziej zaufany bez sprawdzenia, czy odpowiada rzeczywistemu charakterowi sieci, nie jest właściwą metodą naprawy. Bezpieczniej jest włączyć konkretną, systemową regułę DHCP niż wyłączać całą zaporę.

Po korekcie reguł można odnowić konfigurację poleceniami ipconfig /release oraz ipconfig /renew. Pierwsze polecenie zwalnia bieżącą dzierżawę, a drugie wysyła żądanie uzyskania nowej konfiguracji. Jeśli odnowienie kończy się błędem, trzeba sprawdzić, czy pakiety docierają do serwera i czy odpowiedź nie jest odrzucana po drodze. Pomocne może być porównanie działania z innym urządzeniem podłączonym do tej samej sieci oraz sprawdzenie dzienników zapory i zdarzeń systemowych. Wyłączenie ochrony na czas testu powinno być krótkie, kontrolowane i wykonywane tylko w celu rozróżnienia blokady od awarii innego elementu.

Przywrócenie poprawnej konfiguracji sieci

Jeżeli reguły zapory są prawidłowe, a komputer nadal nie otrzymuje adresu, należy zweryfikować ustawienia karty sieciowej. Dla standardowej sieci z automatycznym przydzielaniem parametrów opcje adresu IPv4, maski, bramy i DNS powinny być ustawione na automatyczne pobieranie, chyba że administrator sieci zastosował świadomą konfigurację statyczną. Trzeba także sprawdzić, czy nie działa dodatkowe oprogramowanie filtrujące, pakiet bezpieczeństwa lub zapora producenta karty sieciowej, ponieważ takie narzędzie może mieć własne reguły niezależne od zapory systemowej.

W przypadku sieci Wi-Fi warto rozłączyć i ponownie połączyć profil sieciowy, a następnie sprawdzić, czy router przydziela adres innym urządzeniom. Przy połączeniu przewodowym należy skontrolować diody portu, przewód i właściwe gniazdo. Jeżeli serwer DHCP działa, lecz pula dostępnych adresów została wyczerpana, odblokowanie portów na komputerze nie rozwiąże problemu. Podobnie nie pomoże zmiana ustawień zapory, gdy urządzenie jest podłączone do niewłaściwej sieci VLAN albo gdy punkt dostępowy izoluje klientów.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC i ich podzespołów, w tym diagnostykę problemów z konfiguracją sieciową oraz zaporą systemową. Zakres czynności powinien wynikać z ustalonej przyczyny: może obejmować sprawdzenie parametrów DHCP, analizę reguł filtrowania, test karty sieciowej i weryfikację połączenia z routerem. Przywrócenie łączności nie powinno polegać na pozostawieniu wyłączonej zapory, ponieważ usuwa to ochronę całego systemu zamiast naprawiać konkretną regułę blokującą komunikację.