O propósito deste artigo é simplificar a configuración do servizo DHCP para VXLAN BGP EVPN e DFA fabric usando Microsoft Windows Server 2016/2019.
Na documentación oficial, o servizo DHCP baseado en Microsoft Windows Server 2012 para o fabric está configurado como un SuperScope que contén un grupo de Loopback (o máis destacado deste grupo é a exclusión de todos os enderezos IP do grupo do grupo (enderezo IP excluído = pool)) e agrupacións para emitir enderezos IP para redes reais (aquí está o máis destacado - a política está configurada - no que se filtra o ID de circuíto de relé DHCP e este ID de circuíto de retransmisión DHCP contén o VNI para a rede, é dicir, para outro grupo este relé DHCP O ID do circuíto será lixeiramente diferente).
To configure DHCP on Windows server.
1. Create a super scope. Within the super scope, create scope B, S1, S2, S3, …, Sn for the subnet B and the subnets for each segment.
2. In scope B, specify the 'Exclusion Range' to be the entire address range (so that the offered address range must not be from this scope).
3. For every segment scope Si, specify a policy that matches on Agent Circuit ID with value of '0108000600XXXXXX', where '0108000600' is a fixed value for all segments, the 6 numbers "XXXXXX" is the segment ID value in hexadecimal. Also ensure to check the Append wildcard(*) check box.
4. Set the policy address range to the entire range of the scope.Este artigo contén respostas ás seguintes preguntas:
Contido
-
- ( & )
-
-
Introdución
Esta parte enumera brevemente todos os datos iniciais: instrucións para configurar equipos de rede, RFC utilizados en paquetes DHCP en fábricas eVPN, a evolución da configuración do servidor DHCP en Microsoft Windows Server 2012 na documentación de Cisco ofrécese como referencia. Así como unha breve información sobre Superscope e Policy no servizo DHCP en Microsoft Windows Servers.
Como configurar DHCP Relay nun VXLAN BGP EVPN, DFA fabric
Configurar DHCP Relay nun tecido VXLAN BGP EVPN non é o tema principal deste artigo, xa que é bastante sinxelo. Proporciono ligazóns á documentación e un spoiler sobre a configuración dos equipos de rede.
Exemplo de configuración do relé DHCP no Nexus 9000V v9.2(3)
service dhcp
ip dhcp relay
ip dhcp relay information option
ip dhcp relay information option vpn
interface loopback10
vrf member VRF1
ip address 10.120.0.1/32 tag 1234567
interface Vlan12
no shutdown
vrf member VRF1
no ip redirects
ip address 10.120.251.1/24 tag 1234567
no ipv6 redirects
fabric forwarding mode anycast-gateway
ip dhcp relay address 10.0.0.5
ip dhcp relay source-interface loopback10
RFC que se implementan no funcionamento do servizo de retransmisión DHCP en tecidos VXLAN BGP EVPN
RFC#6607: Sub-opción 151(0x97) - Selección de subrede virtual
• Sub-option 151(0x97) - Virtual Subnet Selection (Defined in RFC#6607)
Used to convey VRF related information to the DHCP server in an MPLS-VPN and VXLAN EVPN multi-tenant environment.Transmítese o "nome" do VRF no que se atopa o cliente.
RFC#5107: Sub-opción 11(0xb) - Anulación de ID do servidor
• Sub-option 11(0xb) - Server ID Override (Defined in RFC#5107.)
The server identifier (server ID) override sub-option allows the DHCP relay agent to specify a new value for the server ID option, which is inserted by the DHCP server in the reply packet. This sub-option allows the DHCP relay agent to act as the actual DHCP server such that the renew requests will come to the relay agent rather than the DHCP server directly. The server ID override sub-option contains the incoming interface IP address, which is the IP address on the relay agent that is accessible from the client. Using this information, the DHCP client sends all renew and release request packets to the relay agent. The relay agent adds all of the appropriate sub-options and then forwards the renew and release request packets to the original DHCP server. For this function, Cisco’s proprietary implementation is sub-option 152(0x98). You can use the ip dhcp relay sub-option type cisco command to manage the function.A opción úsase para garantir que o cliente envía unha solicitude para renovar o contrato de arrendamento do enderezo ao enderezo IP utilizado nesta opción. (En Cisco VXLAN BGP, EVPN é o enderezo de Anycast da pasarela predeterminada do cliente).
RFC#3527: Sub-opción 5(0x5) - Selección de ligazón
Sub-option 5(0x5) - Link Selection (Defined in RFC#3527.)
The link selection sub-option provides a mechanism to separate the subnet/link on which the DHCP client resides from the gateway address (giaddr), which can be used to communicate with the relay agent by the DHCP server. The relay agent will set the sub-option to the correct subscriber subnet and the DHCP server will use that value to assign an IP address rather than the giaddr value. The relay agent will set the giaddr to its own IP address so that DHCP messages are able to be forwarded over the network. For this function, Cisco’s proprietary implementation is sub-option 150(0x96). You can use the ip dhcp relay sub-option type ciscocommand to manage the function.Enderezo da rede desde a que o cliente necesita un enderezo IP.
Evolución da documentación de Cisco sobre a configuración de DHCP en Microsoft Windows Server 2012
Incluín esta sección porque hai unha tendencia positiva por parte do vendedor:
A documentación só mostra como configurar DHCP Relay en equipos de rede.
Utilizouse outro artigo para configurar DHCP en Windows Server 2012:
Este artigo indica que cada rede/VNI require o seu propio paquete SuperScope e o seu propio conxunto de enderezos Loopback:
If multiple DHCP Scopes are required for multiple subnets, you need to create one LoopbackX per subnet/vlan on all LEAFS and create a superscope with a loopbackX range scope and actual client IP subnet scope per vlan.
Engadiuse a configuración de Windows 2012 Server á documentación para configurar o equipo de rede. Para todos os conxuntos de enderezos utilizados, é necesario un SuperScope por centro de datos e este SuperScope é o límite do centro de datos:
Create Superscope for all scopes you want to use for Option 82-based policies.
Note
The Superscope should combine all scopes and act as the administrative boundary.
Todo está explicado moi sucinto:
Let us assume the switch is using the address from subnet B (it can be the backbone subnet, management subnet, or any customer designated subnet for this purpose) to communicate with the Windows DHCP server. In DFA we have subnets S1, S2, S3, …, Sn for segment s1, s2, s3, …, sn.
To configure DHCP on Windows server.
1. Create a super scope. Within the super scope, create scope B, S1, S2, S3, …, Sn for the subnet B and the subnets for each segment.
2. In scope B, specify the 'Exclusion Range' to be the entire address range (so that the offered address range must not be from this scope).
3. For every segment scope Si, specify a policy that matches on Agent Circuit ID with value of '0108000600XXXXXX', where '0108000600' is a fixed value for all segments, the 6 numbers "XXXXXX" is the segment ID value in hexadecimal. Also ensure to check the Append wildcard(*) check box.
4. Set the policy address range to the entire range of the scope.
DHCP en Microsoft Windows Server (superámbito e política)
Superscope is an administrative feature of a DHCP server that can be used to group multiple scopes as a single administrative entity. Superscope allows a DHCP server to provide leases from more than one scope to clients on a single physical network. Scopes added to a superscope are called member scopes.
Que é SuperScope: é unha funcionalidade que che permite combinar varios conxuntos de enderezos IP nunha unidade administrativa. Para anunciar aos usuarios da mesma rede física (na mesma VLAN) enderezos IP de varios grupos. Se a solicitude chegou a un conxunto de enderezos como parte dun SuperScope, entón o cliente pode recibir un enderezo doutro ámbito incluído neste SuperScope.
The DHCP Server role in Windows Server 2012 introduces a new feature that allows you to create IPv4 policies that specify custom IP address and option assignments for DHCP clients based on a set of conditions.
The policy based assignment (PBA) feature allows you to group DHCP clients by specific attributes based on fields contained in the DHCP client request packet. PBA enables targeted administration and greater control of the configuration parameters delivered to network devices with DHCP.
Políticas: permite asignar enderezos IP aos usuarios dependendo do tipo de usuario ou parámetro. Os enxeñeiros de Cisco usan políticas en Windows Server 2012 para filtrar por VNI (identificador de rede virtual).
Corpo principal
Esta sección contén os resultados da investigación, por que non se apoia, como funciona (lóxica), que hai de novo e como nos vai axudar esta nova.
Por que non se admite Microsoft Windows Server 2000/2003/2008?
Microsoft Windows Server 2008 e versións anteriores non procesan a opción 82 e o paquete de devolución envíase sen a opción 82.
- A solicitude do cliente envíase a Broadcast (DHCP Discover).
- O equipo (Nexus) envía o paquete ao servidor DHCP (DHCP Discover + Opción 82).
- O servidor DHCP recibe o paquete, procesao, envíao de volta, pero sen a opción 82. (Oferta DHCP – sen opción 82)
- O equipo (Nexus) recibe un paquete do servidor DHCP. (Oferta DHCP) Pero non envía este paquete ao usuario final.
Sniffer datos: en Windows Server 2008 e no cliente DHCPWindows Server 2008 recibe unha solicitude do equipo de rede. (A opción 82 está presente na lista)
Windows Server 2008 envía a resposta ao equipo de rede. (A opción 82 non aparece como opción no paquete)
Solicitude do cliente: DHCP Discover está presente e falta a oferta DHCP
Estatísticas sobre equipos de rede:
NEXUS-9000V-SW-1# show ip dhcp relay statistics
----------------------------------------------------------------------
Message Type Rx Tx Drops
----------------------------------------------------------------------
Discover 8 8 0
Offer 8 8 0
Request(*) 0 0 0
Ack 0 0 0
Release(*) 0 0 0
Decline 0 0 0
Inform(*) 0 0 0
Nack 0 0 0
----------------------------------------------------------------------
Total 16 16 0
----------------------------------------------------------------------
DHCP L3 FWD:
Total Packets Received : 0
Total Packets Forwarded : 0
Total Packets Dropped : 0
Non DHCP:
Total Packets Received : 0
Total Packets Forwarded : 0
Total Packets Dropped : 0
DROP:
DHCP Relay not enabled : 0
Invalid DHCP message type : 0
Interface error : 0
Tx failure towards server : 0
Tx failure towards client : 0
Unknown output interface : 0
Unknown vrf or interface for server : 0
Max hops exceeded : 0
Option 82 validation failed : 0
Packet Malformed : 0
Relay Trusted port not configured : 0
DHCP Request dropped on MCT : 0
* - These counters will show correct value when switch
receives DHCP request packet with destination ip as broadcast
address. If request is unicast it will be HW switched
NEXUS-9000V-SW-1#
Por que a configuración é tan complexa en Microsoft Windows Server 2012?
Microsoft Windows Server 2012 aínda non admite RFC#3527 (Opción 82 Sub-opción 5(0x5) - Selección de ligazón)
Pero a funcionalidade de Política xa se implementou.
Cómo funciona:
- Microsoft Windows Server 2012 ten un super pool (SuperScope) que ten enderezos Loopback e pools para redes reais.
- A selección do grupo para emitir un enderezo IP recae en SuperScope, xa que a resposta veu de DHCP Relay co enderezo de orixe de Loopback incluído en SuperScope.
- Mediante Política, a solicitude selecciona de Superscope o ámbito de membro cuxo VNI está contido na Opción 82 Subopción 1 ID de circuíto de axente. ("0108000600"+ 24 bits VNI + 24 bits cuxos valores son descoñecidos para min, pero o sniffer mostra valores de 0 neste campo.)
Como se simplifica a configuración en Microsoft Windows Server 2016/2019?
Microsoft Windows Server 2016 implementa a funcionalidade RFC#3527. É dicir, Windows Server 2016 pode recoñecer a rede correcta a partir da opción 82 Sub-opción 5 (0x5) - atributo de selección de ligazóns
Inmediatamente xorden tres preguntas:
- Podemos prescindir de Superscope?
- Podemos prescindir da política e converter VNI a forma hexadecimal?
- Podemos prescindir dos enderezos de orixe DHCP de Scope for Loopback?
Q. Podemos prescindir de Superscope?
A. Si, o ámbito pódese crear inmediatamente na área de enderezos IPv4.
Q. Podemos prescindir da política e converter VNI a forma hexadecimal?
A. Si, a selección de rede baséase na opción 82 subopción 0x5,
Q. Podemos prescindir dos enderezos de orixe DHCP de Scope for Loopback?
A. Non, non podemos. Porque Microsoft Windows Server 2016/2019 ten protección contra solicitudes DHCP maliciosas. É dicir, todas as solicitudes de enderezos que non están no grupo de servidores DHCP considéranse maliciosas.
Note
All relay agent IP addresses (GIADDR) must be part of an active DHCP scope IP address range. Any GIADDR outside of the DHCP scope IP address ranges is considered a rogue relay and Windows DHCP Server will not acknowledge DHCP client requests from those relay agents.
A special scope can be created to "authorize" relay agents. Create a scope with the GIADDR (or multiple if the GIADDR's are sequential IP addresses), exclude the GIADDR address(es) from distribution, and then activate the scope. This will authorize the relay agents while preventing the GIADDR addresses from being assigned.Eses. Para configurar un grupo DHCP para unha fábrica VXLAN BGP EVPN en Microsoft Windows Server 2016/2019, só precisa:
- Crear un conxunto de enderezos de retransmisión de orixe.
- Crear un pool para redes de clientes
O que non é necesario (pero pódese configurar e funcionará e non interferirá co traballo):
- Crear política
- Crear SuperScope
ExemploExemplo de configuración dun servidor DHCP (hai 2 clientes DHCP reais: os clientes están conectados ao tecido VXLAN)
Exemplo de configuración dun grupo de usuarios:
Un exemplo de configuración dun grupo de usuarios (seleccionáronse as políticas para demostrar que non se utilizaron as políticas para o correcto funcionamento do grupo):
Un exemplo de configuración dun grupo para enderezos de retransmisión DHCP de orixe (o intervalo de enderezos para a emisión corresponde plenamente á exclusión do grupo de enderezos):
Configurar un servizo DHCP en Microsoft Windows Server 2019
Configurando un grupo de enderezos de loopback (fonte) para DHCP Relay.
Creamos un novo pool (Scope) no espazo IPv4.
Asistente de creación de piscinas. "Seguinte >"
Configure o nome e a descrición do grupo.
Establece o intervalo de enderezos IP para Loopback e a máscara para o grupo.
Engadindo excepcións. O intervalo de exclusión debe coincidir exactamente co intervalo do grupo.
Tempo de aluguer. "Seguinte >"
Consulta: Configurará agora as opcións de DHCP (DNS, WINS, Pasarela, Dominio) ou farao máis tarde. Sería máis rápido responder que non e despois activar a piscina manualmente. Ou vai ata o final sen cubrir ningunha información e activa o grupo ao final do asistente.
Confirmamos que as opcións non están configuradas e a piscina non está activada. "Rematar"
Activamos a piscina manualmente. — Seleccione Ámbito e no menú contextual — seleccione “Activar”.
Creamos un pool para usuarios/servidores.
Creamos unha nova piscina.
Asistente de creación de piscinas. "Seguinte >"
Configure o nome e a descrición do grupo.
Establece o intervalo de enderezos IP para Loopback e a máscara para o grupo.
Engadindo excepcións. (Non se requiren excepcións por defecto) "Seguinte >"
Tempo de aluguer. "Seguinte >"
Consulta: Configurará agora as opcións de DHCP (DNS, WINS, Pasarela, Dominio) ou farao máis tarde. Configuramos agora.
Configure o enderezo da pasarela predeterminada.
Configuramos o dominio e os enderezos do servidor DNS.
Configuración de enderezos IP dos servidores WINS.
Activación de alcance.
A piscina está configurada. "Rematar"
Conclusión
Usar Windows Server 2016/2019 reduce a complexidade de configurar un servidor DHCP para un tecido VXLAN (ou calquera outro tecido). (Non é necesario transferir ligazóns especiais a especialistas en TI: ID de circuíto de rede/axente para rexistrar filtros).
Funcionará a configuración para Windows Server 2012 nos novos servidores 2016/2019? Si, funcionará.
Este documento contén referencias a dúas versións: 2.X e 7. Isto débese a que a versión 9.3(7.0)I3(7) é unha versión suxerida por Cisco e a versión 7 é a máis innovadora (incluso admite Multicast vía VXLAN Multisite).
Lista de fontes
Fonte: www.habr.com