O obxectivo deste artigo é simplificar a configuración do servizo DHCP para VXLAN BGP EVPN e fabric DFA usando Microsoft Windows Server 2016 / 2019.
Na documentación oficial, o servizo DHCP baséase en Microsoft Windows Server 2012 para a fábrica está configurado como un SuperScope, que contén un grupo de Loopback (neste grupo, o máis destacado é a exclusión de todos os enderezos IP do grupo (enderezo IP excluído = grupo)) e grupos para emitir enderezos IP para redes reais (o máis destacado aquí é a política que se está a configurar, na que se filtran os ID de circuíto de retransmisión DHCP e este ID de circuíto de retransmisión DHCP contén o VNI para a rede, é dicir, para outro grupo, este ID de circuíto de retransmisión DHCP será lixeiramente diferente).
To configure DHCP on Windows server.
1. Create a super scope. Within the super scope, create scope B, S1, S2, S3, …, Sn for the subnet B and the subnets for each segment.
2. In scope B, specify the 'Exclusion Range' to be the entire address range (so that the offered address range must not be from this scope).
3. For every segment scope Si, specify a policy that matches on Agent Circuit ID with value of '0108000600XXXXXX', where '0108000600' is a fixed value for all segments, the 6 numbers "XXXXXX" is the segment ID value in hexadecimal. Also ensure to check the Append wildcard(*) check box.
4. Set the policy address range to the entire range of the scope.Este artigo contén respostas ás seguintes preguntas:
Contido
- ( & )
Introdución
Esta sección enumera brevemente todos os datos de orixe: instrucións para configurar equipos de rede, RFC empregados en paquetes DHCP en fábricas de eVPN, unha guía de referencia sobre a evolución da configuración do servidor DHCP en Microsoft Windows Server 2012 na documentación de Cisco. Tamén se inclúe información breve sobre o Superscope e a Política no servizo DHCP nos servidores de Microsoft. Windows Server.
Como configurar DHCP Relay nun VXLAN BGP EVPN, DFA fabric
Configurar DHCP Relay nun tecido VXLAN BGP EVPN non é o tema principal deste artigo, xa que é bastante sinxelo. Proporciono ligazóns á documentación e un spoiler sobre a configuración dos equipos de rede.
Exemplo de configuración do relé DHCP no Nexus 9000V v9.2(3)
service dhcp
ip dhcp relay
ip dhcp relay information option
ip dhcp relay information option vpn
interface loopback10
vrf member VRF1
ip address 10.120.0.1/32 tag 1234567
interface Vlan12
no shutdown
vrf member VRF1
no ip redirects
ip address 10.120.251.1/24 tag 1234567
no ipv6 redirects
fabric forwarding mode anycast-gateway
ip dhcp relay address 10.0.0.5
ip dhcp relay source-interface loopback10
RFC que se implementan no funcionamento do servizo de retransmisión DHCP en tecidos VXLAN BGP EVPN
RFC#6607: Sub-opción 151(0x97) - Selección de subrede virtual
• Sub-option 151(0x97) - Virtual Subnet Selection (Defined in RFC#6607)
Used to convey VRF related information to the DHCP server in an MPLS-VPN and VXLAN EVPN multi-tenant environment.Transmítese o "nome" do VRF no que se atopa o cliente.
RFC#5107: Sub-opción 11(0xb) - Anulación de ID do servidor
• Sub-option 11(0xb) - Server ID Override (Defined in RFC#5107.)
The server identifier (server ID) override sub-option allows the DHCP relay agent to specify a new value for the server ID option, which is inserted by the DHCP server in the reply packet. This sub-option allows the DHCP relay agent to act as the actual DHCP server such that the renew requests will come to the relay agent rather than the DHCP server directly. The server ID override sub-option contains the incoming interface IP address, which is the IP address on the relay agent that is accessible from the client. Using this information, the DHCP client sends all renew and release request packets to the relay agent. The relay agent adds all of the appropriate sub-options and then forwards the renew and release request packets to the original DHCP server. For this function, Cisco’s proprietary implementation is sub-option 152(0x98). You can use the ip dhcp relay sub-option type cisco command to manage the function.A opción úsase para garantir que o cliente envía unha solicitude para renovar o contrato de arrendamento do enderezo ao enderezo IP utilizado nesta opción. (En Cisco VXLAN BGP, EVPN é o enderezo de Anycast da pasarela predeterminada do cliente).
RFC#3527: Sub-opción 5(0x5) - Selección de ligazón
Sub-option 5(0x5) - Link Selection (Defined in RFC#3527.)
The link selection sub-option provides a mechanism to separate the subnet/link on which the DHCP client resides from the gateway address (giaddr), which can be used to communicate with the relay agent by the DHCP server. The relay agent will set the sub-option to the correct subscriber subnet and the DHCP server will use that value to assign an IP address rather than the giaddr value. The relay agent will set the giaddr to its own IP address so that DHCP messages are able to be forwarded over the network. For this function, Cisco’s proprietary implementation is sub-option 150(0x96). You can use the ip dhcp relay sub-option type ciscocommand to manage the function.Enderezo da rede desde a que o cliente necesita un enderezo IP.
Evolución da documentación de Cisco sobre a configuración de DHCP en Microsoft Windows Server 2012
Incluín esta sección porque hai unha tendencia positiva por parte do vendedor:
A documentación só mostra como configurar DHCP Relay en equipos de rede.
Para configurar DHCP en Windows Server En 2012 empregouse un artigo diferente:
Este artigo indica que cada rede/VNI require o seu propio paquete SuperScope e o seu propio conxunto de enderezos Loopback:
If multiple DHCP Scopes are required for multiple subnets, you need to create one LoopbackX per subnet/vlan on all LEAFS and create a superscope with a loopbackX range scope and actual client IP subnet scope per vlan.
Configuración engadida Windows Servidor de 2012 na documentación de configuración do equipo de rede. Todos os conxuntos de enderezos empregados requiren un SuperScope por centro de datos, e este SuperScope é o límite do centro de datos:
Create Superscope for all scopes you want to use for Option 82-based policies.
Note
The Superscope should combine all scopes and act as the administrative boundary.
Todo está explicado moi sucinto:
Let us assume the switch is using the address from subnet B (it can be the backbone subnet, management subnet, or any customer designated subnet for this purpose) to communicate with the Windows DHCP server. In DFA we have subnets S1, S2, S3, …, Sn for segment s1, s2, s3, …, sn.
To configure DHCP on Windows server.
1. Create a super scope. Within the super scope, create scope B, S1, S2, S3, …, Sn for the subnet B and the subnets for each segment.
2. In scope B, specify the 'Exclusion Range' to be the entire address range (so that the offered address range must not be from this scope).
3. For every segment scope Si, specify a policy that matches on Agent Circuit ID with value of '0108000600XXXXXX', where '0108000600' is a fixed value for all segments, the 6 numbers "XXXXXX" is the segment ID value in hexadecimal. Also ensure to check the Append wildcard(*) check box.
4. Set the policy address range to the entire range of the scope.
DHCP en Microsoft Windows Server (superámbito e política)
Superscope is an administrative feature of a DHCP server that can be used to group multiple scopes as a single administrative entity. Superscope allows a DHCP server to provide leases from more than one scope to clients on a single physical network. Scopes added to a superscope are called member scopes. Que é SuperScope: é unha funcionalidade que che permite combinar varios conxuntos de enderezos IP nunha unidade administrativa. Para anunciar aos usuarios da mesma rede física (na mesma VLAN) enderezos IP de varios grupos. Se a solicitude chegou a un conxunto de enderezos como parte dun SuperScope, entón o cliente pode recibir un enderezo doutro ámbito incluído neste SuperScope.
The DHCP Server role in Windows Server 2012 introduces a new feature that allows you to create IPv4 policies that specify custom IP address and option assignments for DHCP clients based on a set of conditions.
The policy based assignment (PBA) feature allows you to group DHCP clients by specific attributes based on fields contained in the DHCP client request packet. PBA enables targeted administration and greater control of the configuration parameters delivered to network devices with DHCP. Políticas: permiten asignar enderezos IP a usuarios segundo o tipo de usuario ou parámetro. Os enxeñeiros de Cisco usan políticas en Windows Server 2012 para filtrar por VNI (Identificador de rede virtual).
Corpo principal
Esta sección contén os resultados da investigación, por que non se apoia, como funciona (lóxica), que hai de novo e como nos vai axudar esta nova.
Por que non é compatible con Microsoft? Windows Server 2000/2003/2008?
Microsoft Windows Server A versión 2008 e as versións anteriores non procesan a opción 82 e envían o paquete de retorno sen ela.
- A solicitude do cliente envíase a Broadcast (DHCP Discover).
- O equipo (Nexus) envía o paquete ao servidor DHCP (DHCP Discover + Opción 82).
- O servidor DHCP recibe o paquete, procesao, envíao de volta, pero sen a opción 82. (Oferta DHCP – sen opción 82)
- O equipo (Nexus) recibe un paquete do servidor DHCP. (Oferta DHCP) Pero non envía este paquete ao usuario final.
Datos de rastrexo - activados Windows Server 2008 e no cliente DHCPWindows Server 2008 recibe unha solicitude dun equipo de rede. (A opción 82 está presente na lista)
Windows Server 2008 envía unha resposta ao equipo de rede. (A opción 82 non está na lista de opcións do paquete.)
Solicitude do cliente: DHCP Discover está presente e falta a oferta DHCP
Estatísticas sobre equipos de rede:
NEXUS-9000V-SW-1# show ip dhcp relay statistics
----------------------------------------------------------------------
Message Type Rx Tx Drops
----------------------------------------------------------------------
Discover 8 8 0
Offer 8 8 0
Request(*) 0 0 0
Ack 0 0 0
Release(*) 0 0 0
Decline 0 0 0
Inform(*) 0 0 0
Nack 0 0 0
----------------------------------------------------------------------
Total 16 16 0
----------------------------------------------------------------------
DHCP L3 FWD:
Total Packets Received : 0
Total Packets Forwarded : 0
Total Packets Dropped : 0
Non DHCP:
Total Packets Received : 0
Total Packets Forwarded : 0
Total Packets Dropped : 0
DROP:
DHCP Relay not enabled : 0
Invalid DHCP message type : 0
Interface error : 0
Tx failure towards server : 0
Tx failure towards client : 0
Unknown output interface : 0
Unknown vrf or interface for server : 0
Max hops exceeded : 0
Option 82 validation failed : 0
Packet Malformed : 0
Relay Trusted port not configured : 0
DHCP Request dropped on MCT : 0
* - These counters will show correct value when switch
receives DHCP request packet with destination ip as broadcast
address. If request is unicast it will be HW switched
NEXUS-9000V-SW-1#
Por que Microsoft? Windows Server É tan difícil a configuración de 2012?
En Microsoft Windows Server 2012 aínda non é compatible con RFC#3527 (Opción 82 Subopción 5(0x5) — Selección de ligazón)
Pero a funcionalidade de Política xa se implementou.
Cómo funciona:
- Microsoft Windows Server En 2012 existe un supergrupo (SuperScope) que contén enderezos de bucle e grupos para redes reais.
- A selección do grupo para emitir un enderezo IP recae en SuperScope, xa que a resposta veu de DHCP Relay co enderezo de orixe de Loopback incluído en SuperScope.
- Mediante Política, a solicitude selecciona de Superscope o ámbito de membro cuxo VNI está contido na Opción 82 Subopción 1 ID de circuíto de axente. ("0108000600"+ 24 bits VNI + 24 bits cuxos valores son descoñecidos para min, pero o sniffer mostra valores de 0 neste campo.)
Como simplifica Microsoft a configuración Windows Server 2016 / 2019?
En Microsoft Windows Server Funcionalidade implementada na RFC#3527 de 2016. É dicir Windows Server 2016 pode recoñecer a rede correcta a partir do atributo Opción 82 Subopción 5(0x5): selección de ligazón
Inmediatamente xorden tres preguntas:
- Podemos prescindir de Superscope?
- Podemos prescindir da política e converter VNI a forma hexadecimal?
- Podemos prescindir dos enderezos de orixe DHCP de Scope for Loopback?
Q. Podemos prescindir de Superscope?
A. Si, o ámbito pódese crear inmediatamente na área de enderezos IPv4.
Q. Podemos prescindir da política e converter VNI a forma hexadecimal?
A. Si, a selección de rede baséase na opción 82 subopción 0x5,
Q. Podemos prescindir dos enderezos de orixe DHCP de Scope for Loopback?
A. Non, non podemos. Porque en Microsoft Windows Server Desde 2016/2019, está vixente a protección contra solicitudes DHCP maliciosas. Isto significa que todas as solicitudes de enderezos que non están no grupo do servidor DHCP considéranse maliciosas.
Note
All relay agent IP addresses (GIADDR) must be part of an active DHCP scope IP address range. Any GIADDR outside of the DHCP scope IP address ranges is considered a rogue relay and Windows DHCP Server will not acknowledge DHCP client requests from those relay agents.
A special scope can be created to "authorize" relay agents. Create a scope with the GIADDR (or multiple if the GIADDR's are sequential IP addresses), exclude the GIADDR address(es) from distribution, and then activate the scope. This will authorize the relay agents while preventing the GIADDR addresses from being assigned.Eses. para configurar en Microsoft Windows Server O grupo DHCP 2016/2019 para a estrutura VXLAN BGP EVPN só require:
- Crear un conxunto de enderezos de retransmisión de orixe.
- Crear un pool para redes de clientes
O que non é necesario (pero pódese configurar e funcionará e non interferirá co traballo):
- Crear política
- Crear SuperScope
ExemploExemplo de configuración dun servidor DHCP (hai 2 clientes DHCP reais: os clientes están conectados ao tecido VXLAN)
Exemplo de configuración dun grupo de usuarios:
Un exemplo de configuración dun grupo de usuarios (seleccionáronse as políticas para demostrar que non se utilizaron as políticas para o correcto funcionamento do grupo):
Un exemplo de configuración dun grupo para enderezos de retransmisión DHCP de orixe (o intervalo de enderezos para a emisión corresponde plenamente á exclusión do grupo de enderezos):
Configuración do servizo DHCP en Microsoft Windows Server 2019
Configurando un grupo de enderezos de loopback (fonte) para DHCP Relay.
Creamos un novo pool (Scope) no espazo IPv4.
Asistente de creación de piscinas. "Seguinte >"
Configure o nome e a descrición do grupo.
Establece o intervalo de enderezos IP para Loopback e a máscara para o grupo.
Engadindo excepcións. O intervalo de exclusión debe coincidir exactamente co intervalo do grupo.
Tempo de aluguer. "Seguinte >"
Consulta: Configurará agora as opcións de DHCP (DNS, WINS, Pasarela, Dominio) ou farao máis tarde. Sería máis rápido responder que non e despois activar a piscina manualmente. Ou vai ata o final sen cubrir ningunha información e activa o grupo ao final do asistente.
Confirmamos que as opcións non están configuradas e a piscina non está activada. "Rematar"
Activamos a piscina manualmente. — Seleccione Ámbito e no menú contextual — seleccione “Activar”.
Creamos un pool para usuarios/servidores.
Creamos unha nova piscina.
Asistente de creación de piscinas. "Seguinte >"
Configure o nome e a descrición do grupo.
Establece o intervalo de enderezos IP para Loopback e a máscara para o grupo.
Engadindo excepcións. (Non se requiren excepcións por defecto) "Seguinte >"
Tempo de aluguer. "Seguinte >"
Consulta: Configurará agora as opcións de DHCP (DNS, WINS, Pasarela, Dominio) ou farao máis tarde. Configuramos agora.
Configure o enderezo da pasarela predeterminada.
Configuramos o dominio e os enderezos do servidor DNS.
Configuración de enderezos IP dos servidores WINS.
Activación de alcance.
A piscina está configurada. "Rematar"
Conclusión
Usar Windows Server A versión 2016/2019 reduce a complexidade da configuración dun servidor DHCP para unha estrutura VXLAN (ou calquera outra estrutura). (Non é necesario compartir os ID de circuíto de rede/axente especiais cos especialistas en TI para configurar os filtros).
Funcionará a configuración para Windows Server 2012 en novos servidores de 2016/2019: si, funcionará.
Este documento contén referencias a dúas versións: 2.X e 7. Isto débese a que a versión 9.3(7.0)I3(7) é unha versión suxerida por Cisco e a versión 7 é a máis innovadora (incluso admite Multicast vía VXLAN Multisite).
Lista de fontes
Fonte: www.habr.com
