El propósito de este artículo es simplificar la configuración del servicio DHCP para VXLAN BGP EVPN y DFA fabric utilizando Microsoft Windows Server 2016/2019.
En la documentación oficial, el servicio DHCP basado en Microsoft Windows Server 2012 para Fabric está configurado como un SuperScope que contiene un grupo Loopback (lo más destacado de este grupo es la exclusión de todas las direcciones IP del grupo (dirección IP excluida = pool)) y grupos para emitir direcciones IP para redes reales (aquí está lo más destacado: la política está configurada) en la que se filtra la ID del circuito de retransmisión DHCP y esta ID del circuito de retransmisión DHCP contiene el VNI para la red, es decir, para otro grupo, esta retransmisión DHCP La identificación del circuito será ligeramente diferente).
To configure DHCP on Windows server.
1. Create a super scope. Within the super scope, create scope B, S1, S2, S3, …, Sn for the subnet B and the subnets for each segment.
2. In scope B, specify the 'Exclusion Range' to be the entire address range (so that the offered address range must not be from this scope).
3. For every segment scope Si, specify a policy that matches on Agent Circuit ID with value of '0108000600XXXXXX', where '0108000600' is a fixed value for all segments, the 6 numbers "XXXXXX" is the segment ID value in hexadecimal. Also ensure to check the Append wildcard(*) check box.
4. Set the policy address range to the entire range of the scope.Este artículo contiene respuestas a las siguientes preguntas:
contenido
-
- ( & )
-
-
introducción
Esta parte enumera brevemente todos los datos iniciales: instrucciones para configurar equipos de red, RFC utilizados en paquetes DHCP en fábricas de eVPN, se proporciona como referencia la evolución de la configuración del servidor DHCP en Microsoft Windows Server 2012 en la documentación de Cisco. Así como breve información sobre Superscope y Policy en el servicio DHCP en Servidores Microsoft Windows.
Cómo configurar DHCP Relay en un tejido VXLAN BGP EVPN, DFA
La configuración de DHCP Relay en una estructura VXLAN BGP EVPN no es el tema principal de este artículo, ya que es bastante simple. Proporciono enlaces a documentación y un spoiler sobre la configuración del equipo de red.
Ejemplo de configuración de DHCP Relay en Nexus 9000V v9.2(3)
service dhcp
ip dhcp relay
ip dhcp relay information option
ip dhcp relay information option vpn
interface loopback10
vrf member VRF1
ip address 10.120.0.1/32 tag 1234567
interface Vlan12
no shutdown
vrf member VRF1
no ip redirects
ip address 10.120.251.1/24 tag 1234567
no ipv6 redirects
fabric forwarding mode anycast-gateway
ip dhcp relay address 10.0.0.5
ip dhcp relay source-interface loopback10
RFC que se implementan en la operación del servicio DHCP Relay en fabrics VXLAN BGP EVPN
RFC#6607: Subopción 151(0x97) - Selección de subred virtual
• Sub-option 151(0x97) - Virtual Subnet Selection (Defined in RFC#6607)
Used to convey VRF related information to the DHCP server in an MPLS-VPN and VXLAN EVPN multi-tenant environment.Se transmite el “nombre” del VRF en el que se encuentra el cliente.
RFC#5107: Subopción 11(0xb) - Anulación de ID del servidor
• Sub-option 11(0xb) - Server ID Override (Defined in RFC#5107.)
The server identifier (server ID) override sub-option allows the DHCP relay agent to specify a new value for the server ID option, which is inserted by the DHCP server in the reply packet. This sub-option allows the DHCP relay agent to act as the actual DHCP server such that the renew requests will come to the relay agent rather than the DHCP server directly. The server ID override sub-option contains the incoming interface IP address, which is the IP address on the relay agent that is accessible from the client. Using this information, the DHCP client sends all renew and release request packets to the relay agent. The relay agent adds all of the appropriate sub-options and then forwards the renew and release request packets to the original DHCP server. For this function, Cisco’s proprietary implementation is sub-option 152(0x98). You can use the ip dhcp relay sub-option type cisco command to manage the function.La opción se utiliza para garantizar que el cliente envíe una solicitud para renovar la concesión de la dirección a la dirección IP utilizada en esta opción. (En Cisco VXLAN BGP, EVPN es la dirección Anycast de la puerta de enlace predeterminada del cliente).
RFC#3527: Subopción 5(0x5) - Selección de enlace
Sub-option 5(0x5) - Link Selection (Defined in RFC#3527.)
The link selection sub-option provides a mechanism to separate the subnet/link on which the DHCP client resides from the gateway address (giaddr), which can be used to communicate with the relay agent by the DHCP server. The relay agent will set the sub-option to the correct subscriber subnet and the DHCP server will use that value to assign an IP address rather than the giaddr value. The relay agent will set the giaddr to its own IP address so that DHCP messages are able to be forwarded over the network. For this function, Cisco’s proprietary implementation is sub-option 150(0x96). You can use the ip dhcp relay sub-option type ciscocommand to manage the function.Dirección de la red de la que el cliente necesita una dirección IP.
Evolución de la documentación de Cisco sobre la configuración de DHCP en Microsoft Windows Server 2012
Incluí esta sección porque hay una tendencia positiva por parte del proveedor:
La documentación solo muestra cómo configurar DHCP Relay en equipos de red.
Se utilizó otro artículo para configurar DHCP en Windows Server 2012:
Este artículo indica que cada red/VNI requiere su propio paquete SuperScope y su propio conjunto de direcciones Loopback:
If multiple DHCP Scopes are required for multiple subnets, you need to create one LoopbackX per subnet/vlan on all LEAFS and create a superscope with a loopbackX range scope and actual client IP subnet scope per vlan.
Se agregó la configuración de Windows 2012 Server a la documentación para configurar equipos de red. Para todos los grupos de direcciones utilizados, se requiere un SuperScope por centro de datos y este SuperScope es el límite del centro de datos:
Create Superscope for all scopes you want to use for Option 82-based policies.
Note
The Superscope should combine all scopes and act as the administrative boundary.
Todo está explicado de forma muy sucinta:
Let us assume the switch is using the address from subnet B (it can be the backbone subnet, management subnet, or any customer designated subnet for this purpose) to communicate with the Windows DHCP server. In DFA we have subnets S1, S2, S3, …, Sn for segment s1, s2, s3, …, sn.
To configure DHCP on Windows server.
1. Create a super scope. Within the super scope, create scope B, S1, S2, S3, …, Sn for the subnet B and the subnets for each segment.
2. In scope B, specify the 'Exclusion Range' to be the entire address range (so that the offered address range must not be from this scope).
3. For every segment scope Si, specify a policy that matches on Agent Circuit ID with value of '0108000600XXXXXX', where '0108000600' is a fixed value for all segments, the 6 numbers "XXXXXX" is the segment ID value in hexadecimal. Also ensure to check the Append wildcard(*) check box.
4. Set the policy address range to the entire range of the scope.
DHCP en Microsoft Windows Server (superámbito y política)
Superscope is an administrative feature of a DHCP server that can be used to group multiple scopes as a single administrative entity. Superscope allows a DHCP server to provide leases from more than one scope to clients on a single physical network. Scopes added to a superscope are called member scopes.
¿Qué es SuperScope? Es una funcionalidad que le permite combinar varios grupos de direcciones IP en una unidad administrativa. Para anunciar a los usuarios en la misma red física (en la misma VLAN) direcciones IP de varios grupos. Si la solicitud llegó a un grupo de direcciones como parte de un SuperScope, entonces al cliente se le puede dar una dirección de otro Ámbito incluido en este SuperScope.
The DHCP Server role in Windows Server 2012 introduces a new feature that allows you to create IPv4 policies that specify custom IP address and option assignments for DHCP clients based on a set of conditions.
The policy based assignment (PBA) feature allows you to group DHCP clients by specific attributes based on fields contained in the DHCP client request packet. PBA enables targeted administration and greater control of the configuration parameters delivered to network devices with DHCP.
Políticas: le permiten asignar direcciones IP a los usuarios según el tipo de usuario o parámetro. Los ingenieros de Cisco utilizan políticas en Windows Server 2012 para filtrar por VNI (Identificador de red virtual).
principal
Esta sección contiene los resultados de la investigación, por qué no es compatible, cómo funciona (lógica), qué hay de nuevo y cómo nos ayudará esta novedad.
¿Por qué no se admite Microsoft Windows Server 2000/2003/2008?
Microsoft Windows Server 2008 y versiones anteriores no procesan la opción 82 y el paquete de devolución se envía sin la opción 82.
- La solicitud del cliente se envía a Broadcast (DHCP Discover).
- El equipo (Nexus) envía el paquete al servidor DHCP (DHCP Discover + Opción 82).
- El servidor DHCP recibe el paquete, lo procesa y lo devuelve, pero sin la opción 82. (Oferta DHCP – sin opción 82)
- El equipo (Nexus) recibe un paquete del servidor DHCP. (Oferta DHCP) Pero no envía este paquete al usuario final.
Datos de sniffer: en Windows Server 2008 y en el cliente DHCPWindows Server 2008 recibe una solicitud del equipo de red. (La opción 82 está presente en la lista)
Windows Server 2008 envía la respuesta al equipo de red. (La opción 82 no aparece como opción en el paquete)
Solicitud del cliente: DHCP Discover está presente y falta la oferta DHCP
Estadísticas sobre equipos de red:
NEXUS-9000V-SW-1# show ip dhcp relay statistics
----------------------------------------------------------------------
Message Type Rx Tx Drops
----------------------------------------------------------------------
Discover 8 8 0
Offer 8 8 0
Request(*) 0 0 0
Ack 0 0 0
Release(*) 0 0 0
Decline 0 0 0
Inform(*) 0 0 0
Nack 0 0 0
----------------------------------------------------------------------
Total 16 16 0
----------------------------------------------------------------------
DHCP L3 FWD:
Total Packets Received : 0
Total Packets Forwarded : 0
Total Packets Dropped : 0
Non DHCP:
Total Packets Received : 0
Total Packets Forwarded : 0
Total Packets Dropped : 0
DROP:
DHCP Relay not enabled : 0
Invalid DHCP message type : 0
Interface error : 0
Tx failure towards server : 0
Tx failure towards client : 0
Unknown output interface : 0
Unknown vrf or interface for server : 0
Max hops exceeded : 0
Option 82 validation failed : 0
Packet Malformed : 0
Relay Trusted port not configured : 0
DHCP Request dropped on MCT : 0
* - These counters will show correct value when switch
receives DHCP request packet with destination ip as broadcast
address. If request is unicast it will be HW switched
NEXUS-9000V-SW-1#
¿Por qué la configuración es tan compleja en Microsoft Windows Server 2012?
Microsoft Windows Server 2012 aún no es compatible con RFC#3527 (Opción 82 Subopción 5(0x5) - Selección de enlace)
Pero la funcionalidad de Política ya se ha implementado.
Cómo funciona:
- Microsoft Windows Server 2012 tiene un supergrupo (SuperScope) que tiene direcciones de bucle invertido y grupos para redes reales.
- La selección del grupo para emitir una dirección IP cae en SuperScope, ya que la respuesta provino de DHCP Relay con la dirección de origen de Loopback incluida en SuperScope.
- Usando la Política, la solicitud selecciona del Superámbito ese alcance miembro cuyo VNI está contenido en la Opción 82 Subopción 1 ID del circuito del agente. (“0108000600”+ 24 bits VNI + 24 bits cuyos valores desconozco, pero el sniffer muestra valores de 0 en este campo).
¿Cómo se simplifica la configuración en Microsoft Windows Server 2016/2019?
Microsoft Windows Server 2016 implementa la funcionalidad RFC#3527. Es decir, Windows Server 2016 puede reconocer la red correcta a partir de la opción 82, subopción 5 (0x5): atributo de selección de enlace.
Inmediatamente surgen tres preguntas:
- ¿Podemos prescindir de Superscope?
- ¿Podemos prescindir de la política y convertir VNI a forma hexadecimal?
- ¿Podemos prescindir del alcance para las direcciones de origen DHCP de bucle invertido?
Q. ¿Podemos prescindir de Superscope?
A. Sí, el alcance se puede crear inmediatamente en el área de direcciones IPv4.
Q. ¿Podemos prescindir de la política y convertir VNI a forma hexadecimal?
A. Sí, la selección de red se basa en la Opción 82 Subopción 0x5,
Q. ¿Podemos prescindir del alcance para las direcciones de origen DHCP de bucle invertido?
A. No podemos. Porque Microsoft Windows Server 2016/2019 tiene protección contra solicitudes DHCP maliciosas. Es decir, todas las solicitudes de direcciones que no están en el grupo de servidores DHCP se consideran maliciosas.
Note
All relay agent IP addresses (GIADDR) must be part of an active DHCP scope IP address range. Any GIADDR outside of the DHCP scope IP address ranges is considered a rogue relay and Windows DHCP Server will not acknowledge DHCP client requests from those relay agents.
A special scope can be created to "authorize" relay agents. Create a scope with the GIADDR (or multiple if the GIADDR's are sequential IP addresses), exclude the GIADDR address(es) from distribution, and then activate the scope. This will authorize the relay agents while preventing the GIADDR addresses from being assigned.Aquellos. Para configurar un grupo DHCP para una fábrica VXLAN BGP EVPN en Microsoft Windows Server 2016/2019, solo necesita:
- Cree un grupo para direcciones de retransmisión de origen.
- Crear un grupo para redes de clientes
Lo que no es necesario (pero se puede configurar y funcionará y no interferirá con el trabajo):
- Crear política
- Crear superscopio
ejemploEjemplo de configuración de un servidor DHCP (hay 2 clientes DHCP reales; los clientes están conectados a la estructura VXLAN)
Ejemplo de configuración de un grupo de usuarios:
Un ejemplo de configuración de un grupo de usuarios (se seleccionan políticas para demostrar que no se utilizaron políticas para el correcto funcionamiento del grupo):
Un ejemplo de configuración de un grupo para direcciones de retransmisión DHCP de origen (el rango de direcciones para emisión corresponde completamente a la exclusión del grupo de direcciones):
Configurar un servicio DHCP en Microsoft Windows Server 2019
Configuración de un grupo de direcciones Loopback (fuente) para DHCP Relay.
Creamos un nuevo pool (Scope) en el espacio IPv4.
Asistente de creación de piscinas. "Siguiente >"
Configure el nombre del grupo y la descripción del grupo.
Establezca el rango de direcciones IP para Loopback y la máscara para el grupo.
Añadiendo excepciones. El rango de exclusión debe coincidir exactamente con el rango del grupo.
Tiempo de alquiler. "Siguiente >"
Consulta: ¿Configurarás las opciones de DHCP ahora (DNS, WINS, Gateway, Dominio) o lo harás más tarde? Sería más rápido responder que no y luego activar el grupo manualmente. O ve al final sin completar ningún dato y activa el pool al final del asistente.
Confirmamos que las opciones no están configuradas y el pool no está activado. "Finalizar"
Activamos la piscina manualmente. — Seleccione Alcance y en el menú contextual, seleccione “Activar”.
Creamos un pool de usuarios/servidores.
Creamos una nueva piscina.
Asistente de creación de piscinas. "Siguiente >"
Configure el nombre del grupo y la descripción del grupo.
Establezca el rango de direcciones IP para Loopback y la máscara para el grupo.
Añadiendo excepciones. (No se requieren excepciones de forma predeterminada) "Siguiente >"
Tiempo de alquiler. "Siguiente >"
Consulta: ¿Configurarás las opciones de DHCP ahora (DNS, WINS, Gateway, Dominio) o lo harás más tarde? Configurémoslo ahora.
Configure la dirección de puerta de enlace predeterminada.
Configuramos las direcciones del dominio y del servidor DNS.
Configuración de direcciones IP de servidores WINS.
Activación del alcance.
La piscina está configurada. "Finalizar"
Conclusión
El uso de Windows Server 2016/2019 reduce la complejidad de configurar un servidor DHCP para una estructura VXLAN (o cualquier otra estructura). (No es necesario transferir enlaces especiales a especialistas de TI: ID de circuito de red/agente para registrar filtros).
¿Funcionará la configuración para Windows Server 2012 en los nuevos servidores 2016/2019? Sí, funcionará.
Este documento contiene referencias a 2 versiones: 7.X y 9.3. Esto se debe al hecho de que la versión 7.0(3)I7(7) es una versión sugerida por Cisco y la versión 9.3 es la más innovadora (incluso admite multidifusión a través de VXLAN Multisite).
Lista de fuentes
Fuente: habr.com