🥇Microsoftove postavke Windows Server 2016./2019. za pružanje DHCP usluga za VXLAN (DFA)

Svrha ovog članka je pojednostaviti konfiguraciju DHCP usluge za VXLAN BGP EVPN i DFA fabric koristeći Microsoft... Windows Server 2016 / 2019.

U službenoj dokumentaciji, DHCP usluga se temelji na Microsoftovoj Windows Server 2012 za tvornicu je konfiguriran kao SuperScope, koji sadrži Loopback pool (u ovom poolu, istaknuto je isključivanje svih IP adresa iz poola (isključena IP adresa = pool)) i poolove za izdavanje IP adresa za stvarne mreže (ovdje je istaknuto konfigurirano pravilo, u kojem se filtriraju DHCP Relay Circuit ID-ovi, a ovaj DHCP Relay Circuit ID sadrži VNI za mrežu, tj. za drugi pool, ovaj DHCP Relay Circuit ID će biti malo drugačiji).

To configure DHCP on Windows server. 

1. Create a super scope. Within the super scope, create scope B, S1, S2, S3, …, Sn for the subnet B and the subnets for each segment. 
2. In scope B,  specify the 'Exclusion Range' to be the entire address range (so that the offered address range must not be from this scope). 
3. For every segment scope Si, specify a policy that matches on Agent Circuit ID with value of '0108000600XXXXXX', where '0108000600' is a fixed value for all segments, the 6 numbers "XXXXXX" is the segment ID value in hexadecimal. Also ensure to check the Append wildcard(*) check box. 
4. Set the policy address range to the entire range of the scope.

Ovaj članak sadrži odgovore na sljedeća pitanja:

sadržaj

Uvod
Glavno tijelo
Zaključak
Popis izvora

Uvod

Ovaj odjeljak ukratko navodi sve izvorne podatke: Upute za konfiguriranje mrežne opreme, RFC-ove korištene u DHCP paketima u tvornicama eVPN-a, referentni vodič za evoluciju postavki DHCP poslužitelja na Microsoftu Windows Server 2012. u Ciscovoj dokumentaciji. Također, kratke informacije o Superscopeu i politici u DHCP usluzi na Microsoftovim poslužiteljima Windows Server.

Kako konfigurirati DHCP relej na VXLAN BGP EVPN, DFA fabric

Konfiguriranje DHCP releja na VXLAN BGP EVPN tkanini nije glavna tema ovog članka jer je prilično jednostavno. Dajem poveznice na dokumentaciju i spojler na postavke mrežne opreme.

Primjer postavljanja DHCP releja na Nexus 9000V v9.2(3)

service dhcp
ip dhcp relay
ip dhcp relay information option
ip dhcp relay information option vpn
interface loopback10
  vrf member VRF1
  ip address 10.120.0.1/32 tag 1234567
interface Vlan12
  no shutdown
  vrf member VRF1
  no ip redirects
  ip address 10.120.251.1/24 tag 1234567
  no ipv6 redirects
  fabric forwarding mode anycast-gateway
  ip dhcp relay address 10.0.0.5
  ip dhcp relay source-interface loopback10

RFC-ovi koji su implementirani u radu usluge DHCP Relay u VXLAN BGP EVPN tkaninama

RFC#6607: Podopcija 151(0x97) - Odabir virtualne podmreže

•	Sub-option 151(0x97) - Virtual Subnet Selection (Defined in RFC#6607)
Used to convey VRF related information to the DHCP server in an MPLS-VPN and VXLAN EVPN multi-tenant environment.

Prenosi se "ime" VRF-a u kojem se klijent nalazi.

RFC#5107: Podopcija 11(0xb) - Nadjačavanje ID-a poslužitelja

•	Sub-option 11(0xb) - Server ID Override (Defined in RFC#5107.) 
The server identifier (server ID) override sub-option allows the DHCP relay agent to specify a new value for the server ID option, which is inserted by the DHCP server in the reply packet. This sub-option allows the DHCP relay agent to act as the actual DHCP server such that the renew requests will come to the relay agent rather than the DHCP server directly. The server ID override sub-option contains the incoming interface IP address, which is the IP address on the relay agent that is accessible from the client. Using this information, the DHCP client sends all renew and release request packets to the relay agent. The relay agent adds all of the appropriate sub-options and then forwards the renew and release request packets to the original DHCP server. For this function, Cisco’s proprietary implementation is sub-option 152(0x98). You can use the ip dhcp relay sub-option type cisco command to manage the function.

Opcijom se osigurava da klijent šalje zahtjev za obnovu zakupa adrese na IP adresu korištenu u ovoj opciji. (Na Cisco VXLAN BGP, EVPN je klijentova zadana Anycast adresa pristupnika.)

RFC#3527: Podopcija 5(0x5) - Odabir veze

Sub-option 5(0x5) - Link Selection (Defined in RFC#3527.) 

The link selection sub-option provides a mechanism to separate the subnet/link on which the DHCP client resides from the gateway address (giaddr), which can be used to communicate with the relay agent by the DHCP server. The relay agent will set the sub-option to the correct subscriber subnet and the DHCP server will use that value to assign an IP address rather than the giaddr value. The relay agent will set the giaddr to its own IP address so that DHCP messages are able to be forwarded over the network. For this function, Cisco’s proprietary implementation is sub-option 150(0x96). You can use the ip dhcp relay sub-option type ciscocommand to manage the function.

Adresa mreže s koje klijent treba IP adresu.

Razvoj Ciscove dokumentacije o konfiguraciji DHCP-a na Microsoftu Windows Server 2012

Uključio sam ovaj odjeljak jer postoji pozitivan trend od strane dobavljača:

Vodič za konfiguraciju Nexusa 9000 VXLAN 7.3

Dokumentacija pokazuje samo kako konfigurirati DHCP Relay na mrežnoj opremi.

Za konfiguriranje DHCP-a na Windows Server 2012. je korišten drugačiji članak:

Konfiguriranje Microsofta Windows Server 2012. za pružanje DHCP usluga u eVPN scenariju (VXLAN, Cisco One Fabric, itd.)

Ovaj članak ukazuje na to da svaka mreža/VNI zahtijeva vlastiti SuperScope paket i vlastiti skup Loopback adresa:

If multiple DHCP Scopes are required for multiple subnets, you need to create one LoopbackX per subnet/vlan on all LEAFS and create a superscope with a loopbackX range scope and actual client IP subnet scope per vlan.

Vodič za konfiguraciju Nexusa 9000 VXLAN 9.3

Dodane postavke Windows 2012 Server u dokumentaciji za postavljanje mrežne opreme. Svi korišteni adresni skupovi zahtijevaju jedan SuperScope po podatkovnom centru, a taj SuperScope je granica podatkovnog centra:

Create Superscope for all scopes you want to use for Option 82-based policies.
Note
The Superscope should combine all scopes and act as the administrative boundary.

Cisco Dynamic Fabric Automatizacija

Sve je objašnjeno vrlo jezgrovito:

Let us assume the switch is using the address from subnet B (it can be the backbone subnet, management subnet, or any customer designated subnet for this purpose) to communicate with the Windows DHCP server. In DFA we have subnets S1, S2, S3, …, Sn for segment s1, s2, s3, …, sn. 

To configure DHCP on Windows server. 

1. Create a super scope. Within the super scope, create scope B, S1, S2, S3, …, Sn for the subnet B and the subnets for each segment. 
2. In scope B,  specify the 'Exclusion Range' to be the entire address range (so that the offered address range must not be from this scope). 
3. For every segment scope Si, specify a policy that matches on Agent Circuit ID with value of '0108000600XXXXXX', where '0108000600' is a fixed value for all segments, the 6 numbers "XXXXXX" is the segment ID value in hexadecimal. Also ensure to check the Append wildcard(*) check box. 
4. Set the policy address range to the entire range of the scope.

DHCP u Microsoftu Windows Server (superopseg i politika)

SuperScope

Superscope is an administrative feature of a DHCP server that can be used to group multiple scopes as a single administrative entity. Superscope allows a DHCP server to provide leases from more than one scope to clients on a single physical network. Scopes added to a superscope are called member scopes.

Što je SuperScope - to je funkcionalnost koja vam omogućuje kombiniranje nekoliko skupova IP adresa u jednu administrativnu jedinicu. Za oglašavanje korisnicima na istoj fizičkoj mreži (u istom VLAN-u) IP adrese iz nekoliko skupova. Ako je zahtjev došao na skup adresa kao dio SuperScopea, tada se klijentu može dati adresa iz drugog Scopea uključenog u ovaj SuperScope.

Politika

The DHCP Server role in Windows Server 2012 introduces a new feature that allows you to create IPv4 policies that specify custom IP address and option assignments for DHCP clients based on a set of conditions.

The policy based assignment (PBA) feature allows you to group DHCP clients by specific attributes based on fields contained in the DHCP client request packet. PBA enables targeted administration and greater control of the configuration parameters delivered to network devices with DHCP.

Pravila – omogućuju vam dodjeljivanje IP adresa korisnicima na temelju vrste korisnika ili parametra. Cisco inženjeri koriste pravila u Windows Server 2012. za filtriranje prema VNI-ju (Virtual Network Identifier).

Glavno tijelo

Ovaj odjeljak sadrži rezultate istraživanja, zašto nije podržano, kako funkcionira (logika), što je novo i kako će nam to novo pomoći.

Zašto ga Microsoft ne podržava? Windows Server 2000?

microsoft Windows Server Verzije iz 2008. i starije ne obrađuju opciju 82 i šalju povratni paket bez opcije 82.

Win2k8 R2 DHCP problem s Option82

Zahtjev klijenta šalje se Broadcast-u (DHCP Discover).
Oprema (Nexus) šalje paket DHCP poslužitelju (DHCP Discover + opcija 82).
DHCP Server prima paket, obrađuje ga, šalje nazad, ali bez opcije 82. (DHCP ponuda – bez opcije 82)
Oprema (Nexus) prima paket od DHCP poslužitelja. (DHCP ponuda) Ali ne šalje ovaj paket krajnjem korisniku.

Podaci njuškanja - uključeno Windows Server 2008. i na DHCP klijentuWindows Server 2008 prima zahtjev od mrežne opreme. (Opcija 82 je prisutna na popisu)

Windows Server 2008 šalje odgovor mrežnoj opremi. (Opcija 82 nije na popisu opcija u paketu.)

Zahtjev klijenta - DHCP Discover je prisutan, a DHCP ponuda nedostaje

Statistika mrežne opreme:

NEXUS-9000V-SW-1# show ip dhcp relay statistics 
----------------------------------------------------------------------
Message Type             Rx              Tx           Drops  
----------------------------------------------------------------------
Discover                  8               8               0
Offer                     8               8               0
Request(*)                0               0               0
Ack                       0               0               0
Release(*)                0               0               0
Decline                   0               0               0
Inform(*)                 0               0               0
Nack                      0               0               0
----------------------------------------------------------------------
Total                    16              16               0
----------------------------------------------------------------------

DHCP L3 FWD:
Total Packets Received                           :         0
Total Packets Forwarded                          :         0
Total Packets Dropped                            :         0
Non DHCP:
Total Packets Received                           :         0
Total Packets Forwarded                          :         0
Total Packets Dropped                            :         0
DROP:
DHCP Relay not enabled                           :         0
Invalid DHCP message type                        :         0
Interface error                                  :         0
Tx failure towards server                        :         0
Tx failure towards client                        :         0
Unknown output interface                         :         0
Unknown vrf or interface for server              :         0
Max hops exceeded                                :         0
Option 82 validation failed                      :         0
Packet Malformed                                 :         0
Relay Trusted port not configured                :         0
DHCP Request dropped on MCT                      :         0
*  -  These counters will show correct value when switch 
receives DHCP request packet with destination ip as broadcast
address. If request is unicast it will be HW switched
NEXUS-9000V-SW-1#

Zašto Microsoft? Windows Server Je li postavljanje za 2012. toliko teško?

U Microsoftu Windows Server RFC#3527 (Opcija 82 Podopcija 5(0x5) — Odabir veze) još ne podržava verziju 2012.
No, funkcionalnost Pravila već je implementirana.

Kako to radi:

microsoft Windows Server 2012. postoji super-pool (SuperScope) koji sadrži Loopback adrese i poolove za stvarne mreže.
Odabir skupa za izdavanje IP adrese spada u SuperScope, budući da je odgovor došao iz DHCP Releja s adresom izvora povratne petlje uključenom u SuperScope.
Korištenjem Politike, zahtjev odabire iz Superscopea onaj članski opseg čiji je VNI sadržan u Opciji 82 Podopcija 1 ID kruga agenta. (“0108000600”+ 24 bita VNI + 24 bita čije su mi vrijednosti nepoznate, ali njuškalo pokazuje vrijednosti 0 u ovom polju.)

Kako Microsoft pojednostavljuje postavljanje Windows Server 2016 / 2019?

U Microsoftu Windows Server Implementirana funkcionalnost RFC#3527 iz 2016. To jest Windows Server 2016 može prepoznati ispravnu mrežu iz atributa Opcija 82 Podopcija 5(0x5) — Odabir veze

Odmah se nameću tri pitanja:

Možemo li bez Superscopea?
Možemo li bez Policy i pretvoriti VNI u heksadecimalni oblik?
Možemo li bez Scope for Loopback DHCP Source adrese?

Q. Možemo li bez Superscopea?
A. Da, opseg se može kreirati odmah u području IPv4 adresa.
Q. Možemo li bez Policy i pretvoriti VNI u heksadecimalni oblik?
A. Da, odabir mreže temelji se na Opciji 82 Podopcija 0x5,
Q. Možemo li bez Scope for Loopback DHCP Source adrese?
A. Ne, ne možemo. Jer u Microsoftu Windows Server Zaštita od zlonamjernih DHCP zahtjeva na snazi je od 2016./2019. To znači da se svi zahtjevi s adresa koje nisu u skupu DHCP poslužitelja smatraju zlonamjernima.

Mogućnosti odabira DHCP podmreže

 Note
All relay agent IP addresses (GIADDR) must be part of an active DHCP scope IP address range. Any GIADDR outside of the DHCP scope IP address ranges is considered a rogue relay and Windows DHCP Server will not acknowledge DHCP client requests from those relay agents.

A special scope can be created to "authorize" relay agents. Create a scope with the GIADDR (or multiple if the GIADDR's are sequential IP addresses), exclude the GIADDR address(es) from distribution, and then activate the scope. This will authorize the relay agents while preventing the GIADDR addresses from being assigned.

Oni. za konfiguriranje na Microsoftu Windows Server DHCP pool 2016/2019 za VXLAN BGP EVPN fabric zahtijeva samo:

Stvorite skup za izvorne adrese releja.
Stvorite skup za klijentske mreže

Što nije potrebno (ali može se konfigurirati i radit će i neće ometati rad):

Stvorite politiku
Stvorite SuperScope

PrimjerPrimjer postavljanja DHCP poslužitelja (postoje 2 prava DHCP klijenta - klijenti su spojeni na VXLAN fabric)

Primjer postavljanja skupine korisnika:

Primjer postavljanja skupa korisnika (odabrana su pravila - da se dokaže da pravila nisu korištena za ispravan rad skupa):

Primjer konfiguriranja skupa za adrese izvora DHCP releja (raspon adresa za izdavanje u potpunosti odgovara isključenju iz skupa adresa):

Postavljanje DHCP servisa na Microsoftu Windows Server 2019

Konfiguriranje skupa za povratne adrese (izvor) za DHCP relej.

Stvaramo novi skup (Scope) u IPv4 prostoru.

Čarobnjak za stvaranje bazena. "Dalje >"

Konfigurirajte naziv bazena i opis bazena.

Postavite raspon IP adresa za povratnu petlju i masku za skup.

Dodavanje izuzetaka. Raspon isključenja mora točno odgovarati rasponu skupa.

Vrijeme najma. "Dalje >"

Upit: Hoćete li sada konfigurirati DHCP opcije (DNS, WINS, Gateway, Domain) ili ćete to učiniti kasnije. Bilo bi brže odgovoriti ne, a zatim ručno aktivirati bazen. Ili idite do kraja bez ispunjavanja bilo kakvih podataka i aktivirajte bazen na kraju čarobnjaka.

Potvrđujemo da opcije nisu konfigurirane i da bazen nije aktiviran. "Završi"

Bazen aktiviramo ručno. — Odaberite Opseg i u kontekstnom izborniku — odaberite „Aktiviraj”.

Stvaramo skup za korisnike/poslužitelje.

Stvaramo novi bazen.

Čarobnjak za stvaranje bazena. "Dalje >"

Konfigurirajte naziv bazena i opis bazena.

Postavite raspon IP adresa za povratnu petlju i masku za skup.

Dodavanje izuzetaka. (Prema zadanim postavkama nisu potrebne iznimke) "Dalje >"

Vrijeme najma. "Dalje >"

Upit: Hoćete li sada konfigurirati DHCP opcije (DNS, WINS, Gateway, Domain) ili ćete to učiniti kasnije. Postavimo to sada.

Konfigurirajte adresu zadanog pristupnika.

Konfiguriramo adrese domene i DNS poslužitelja.

Konfiguriranje IP adresa WINS poslužitelja.

Aktivacija opsega.

Bazen je konfiguriran. "Završi"

Zaključak

Koristiti Windows Server 2016/2019 smanjuje složenost konfiguriranja DHCP poslužitelja za VXLAN strukturu (ili bilo koju drugu strukturu). (Nema potrebe za dijeljenjem posebnih ID-ova mreže/agentskog kruga s IT stručnjacima za konfiguriranje filtera.)

Hoće li konfiguracija raditi za Windows Server 2012 na novim serverima iz 2016/2019 – da, radit će.

Ovaj dokument sadrži reference na 2 verzije: 7.X i 9.3. To je zbog činjenice da je verzija 7.0(3)I7(7) Cisco Suggested izdanje, a verzija 9.3 je najinovativnija (čak podržava Multicast putem VXLAN Multisite).