Ennek a cikknek az a célja, hogy leegyszerűsítse a DHCP-szolgáltatás konfigurálását a VXLAN BGP EVPN és a DFA szövet számára a Microsoft Windows Server 2016/2019 használatával.
A hivatalos dokumentációban a Microsoft Windows Server 2012-n alapuló DHCP-szolgáltatás a szövethez SuperScope-ként van konfigurálva, amely visszacsatolási készletet tartalmaz (ennek a készletnek a csúcspontja a készlet összes IP-címének kizárása a készletből (kizárt IP-cím = pool)) és a valós hálózatok IP-címeinek kiadására szolgáló készletek (itt van a kiemelés - a házirend be van állítva -, amelyben a DHCP Relay Circuit ID kiszűrésre kerül, és ez a DHCP közvetítő áramkörazonosító tartalmazza a hálózat VNI-jét, azaz egy másik pool esetében ez a DHCP Relay Az áramkör azonosítója kissé eltérő lesz).
To configure DHCP on Windows server.
1. Create a super scope. Within the super scope, create scope B, S1, S2, S3, …, Sn for the subnet B and the subnets for each segment.
2. In scope B, specify the 'Exclusion Range' to be the entire address range (so that the offered address range must not be from this scope).
3. For every segment scope Si, specify a policy that matches on Agent Circuit ID with value of '0108000600XXXXXX', where '0108000600' is a fixed value for all segments, the 6 numbers "XXXXXX" is the segment ID value in hexadecimal. Also ensure to check the Append wildcard(*) check box.
4. Set the policy address range to the entire range of the scope.Ez a cikk a következő kérdésekre ad választ:
Tartalom
-
- ( & )
-
-
Bevezetés
Ez a rész röviden felsorolja az összes kezdeti adatot: Útmutató a hálózati berendezések konfigurálásához, az eVPN-gyárakban a DHCP-csomagokban használt RFC-k, a Microsoft Windows Server 2012 DHCP-kiszolgáló beállításainak alakulása a Cisco dokumentációjában. Valamint rövid információk a Superscope-ról és a házirendről a DHCP szolgáltatásban Microsoft Windows Servereken.
A DHCP relé konfigurálása VXLAN BGP EVPN, DFA szöveten
A DHCP-relé konfigurálása VXLAN BGP EVPN-szöveten nem a cikk fő témája, mivel ez meglehetősen egyszerű. Linkeket biztosítok a dokumentációhoz és spoilert a hálózati berendezések beállításairól.
Példa a DHCP-relé beállítására Nexus 9000V v9.2(3) készüléken
service dhcp
ip dhcp relay
ip dhcp relay information option
ip dhcp relay information option vpn
interface loopback10
vrf member VRF1
ip address 10.120.0.1/32 tag 1234567
interface Vlan12
no shutdown
vrf member VRF1
no ip redirects
ip address 10.120.251.1/24 tag 1234567
no ipv6 redirects
fabric forwarding mode anycast-gateway
ip dhcp relay address 10.0.0.5
ip dhcp relay source-interface loopback10
RFC-k, amelyek a DHCP Relay szolgáltatás működésében vannak megvalósítva VXLAN BGP EVPN szövetekben
RFC#6607: 151. (0x97) alopció – Virtuális alhálózat kiválasztása
• Sub-option 151(0x97) - Virtual Subnet Selection (Defined in RFC#6607)
Used to convey VRF related information to the DHCP server in an MPLS-VPN and VXLAN EVPN multi-tenant environment.A rendszer továbbítja annak a VRF-nek a „nevét”, amelyben az ügyfél található.
RFC#5107: 11. (0xb) alopció – Szerverazonosító felülírása
• Sub-option 11(0xb) - Server ID Override (Defined in RFC#5107.)
The server identifier (server ID) override sub-option allows the DHCP relay agent to specify a new value for the server ID option, which is inserted by the DHCP server in the reply packet. This sub-option allows the DHCP relay agent to act as the actual DHCP server such that the renew requests will come to the relay agent rather than the DHCP server directly. The server ID override sub-option contains the incoming interface IP address, which is the IP address on the relay agent that is accessible from the client. Using this information, the DHCP client sends all renew and release request packets to the relay agent. The relay agent adds all of the appropriate sub-options and then forwards the renew and release request packets to the original DHCP server. For this function, Cisco’s proprietary implementation is sub-option 152(0x98). You can use the ip dhcp relay sub-option type cisco command to manage the function.Ez a beállítás annak biztosítására szolgál, hogy az ügyfél kérést küldjön a címbérlet megújítására az ebben a beállításban használt IP-címre. (A Cisco VXLAN BGP-n az EVPN az ügyfél alapértelmezett átjárója, az Anycast címe.)
RFC#3527: 5. alopció (0x5) – Link kiválasztása
Sub-option 5(0x5) - Link Selection (Defined in RFC#3527.)
The link selection sub-option provides a mechanism to separate the subnet/link on which the DHCP client resides from the gateway address (giaddr), which can be used to communicate with the relay agent by the DHCP server. The relay agent will set the sub-option to the correct subscriber subnet and the DHCP server will use that value to assign an IP address rather than the giaddr value. The relay agent will set the giaddr to its own IP address so that DHCP messages are able to be forwarded over the network. For this function, Cisco’s proprietary implementation is sub-option 150(0x96). You can use the ip dhcp relay sub-option type ciscocommand to manage the function.Annak a hálózatnak a címe, amelyről az ügyfélnek IP-címre van szüksége.
A Cisco dokumentációjának fejlődése a DHCP konfigurálásával kapcsolatban Microsoft Windows Server 2012 rendszeren
Azért tettem bele ezt a részt, mert van egy pozitív tendencia az eladó részéről:
A dokumentáció csak azt mutatja be, hogyan kell konfigurálni a DHCP-relét hálózati eszközökön.
Egy másik cikket használtak a DHCP konfigurálásához Windows Server 2012 rendszeren:
Ez a cikk azt jelzi, hogy minden hálózatnak/VNI-nek saját SuperScope-csomagra és saját Loopback-címkészletre van szüksége:
If multiple DHCP Scopes are required for multiple subnets, you need to create one LoopbackX per subnet/vlan on all LEAFS and create a superscope with a loopbackX range scope and actual client IP subnet scope per vlan.
A Windows 2012 Server beállításai hozzáadva a hálózati berendezések beállításához szükséges dokumentációhoz. Minden használt címkészlethez adatközpontonként egy SuperScope szükséges, és ez a SuperScope az adatközpont határa:
Create Superscope for all scopes you want to use for Option 82-based policies.
Note
The Superscope should combine all scopes and act as the administrative boundary.
Minden nagyon tömören le van írva:
Let us assume the switch is using the address from subnet B (it can be the backbone subnet, management subnet, or any customer designated subnet for this purpose) to communicate with the Windows DHCP server. In DFA we have subnets S1, S2, S3, …, Sn for segment s1, s2, s3, …, sn.
To configure DHCP on Windows server.
1. Create a super scope. Within the super scope, create scope B, S1, S2, S3, …, Sn for the subnet B and the subnets for each segment.
2. In scope B, specify the 'Exclusion Range' to be the entire address range (so that the offered address range must not be from this scope).
3. For every segment scope Si, specify a policy that matches on Agent Circuit ID with value of '0108000600XXXXXX', where '0108000600' is a fixed value for all segments, the 6 numbers "XXXXXX" is the segment ID value in hexadecimal. Also ensure to check the Append wildcard(*) check box.
4. Set the policy address range to the entire range of the scope.
DHCP a Microsoft Windows Server rendszerben (szuperszkóp és házirend)
Superscope is an administrative feature of a DHCP server that can be used to group multiple scopes as a single administrative entity. Superscope allows a DHCP server to provide leases from more than one scope to clients on a single physical network. Scopes added to a superscope are called member scopes.
Mi az a SuperScope - ez egy olyan funkció, amely lehetővé teszi több IP-címkészlet egy adminisztrációs egységbe történő kombinálását. Ugyanazon fizikai hálózaton (ugyanabban a VLAN-ban) lévő felhasználók számára több készletből származó IP-címek hirdetése. Ha a kérelem egy SuperScope részeként címkészlethez érkezett, akkor az ügyfél kaphat egy címet egy másik, ebben a SuperScope-ban szereplő hatókörből.
The DHCP Server role in Windows Server 2012 introduces a new feature that allows you to create IPv4 policies that specify custom IP address and option assignments for DHCP clients based on a set of conditions.
The policy based assignment (PBA) feature allows you to group DHCP clients by specific attributes based on fields contained in the DHCP client request packet. PBA enables targeted administration and greater control of the configuration parameters delivered to network devices with DHCP.
Irányelvek – lehetővé teszik IP-címek hozzárendelését a felhasználókhoz a felhasználó típusától vagy paraméterétől függően. A Cisco mérnökei a Windows Server 2012 házirendjeit használják a VNI (virtuális hálózati azonosító) szerinti szűréshez.
Fő rész
Ez a rész tartalmazza a kutatás eredményeit, azt, hogy miért nem támogatott, hogyan működik (logika), mi az új, és ez az új miben segít nekünk.
Miért nem támogatott a Microsoft Windows Server 2000/2003/2008?
A Microsoft Windows Server 2008 és korábbi verziói nem dolgozzák fel a 82-es opciót, és a visszatérési csomag a 82-es opció nélkül kerül elküldésre.
- Az ügyfél kérése elküldésre kerül a Broadcast-nak (DHCP Discover).
- A berendezés (Nexus) elküldi a csomagot a DHCP-kiszolgálónak (DHCP Discover + 82-es opció).
- A DHCP szerver fogadja a csomagot, feldolgozza, visszaküldi, de 82-es opció nélkül. (DHCP-ajánlat – 82-es opció nélkül)
- A berendezés (Nexus) csomagot kap a DHCP szervertől. (DHCP-ajánlat) De nem küldi el ezt a csomagot a végfelhasználónak.
Szippantásos adatok – Windows Server 2008 rendszeren és DHCP-kliensenA Windows Server 2008 kérést kap a hálózati berendezéstől. (A 82-es lehetőség szerepel a listában)
A Windows Server 2008 elküldi a választ a hálózati berendezésnek. (A 82-es opció nem szerepel opcióként a csomagban)
Az ügyfél kérése – DHCP Discover jelen van, és a DHCP-ajánlat hiányzik
Statisztikák a hálózati berendezésekről:
NEXUS-9000V-SW-1# show ip dhcp relay statistics
----------------------------------------------------------------------
Message Type Rx Tx Drops
----------------------------------------------------------------------
Discover 8 8 0
Offer 8 8 0
Request(*) 0 0 0
Ack 0 0 0
Release(*) 0 0 0
Decline 0 0 0
Inform(*) 0 0 0
Nack 0 0 0
----------------------------------------------------------------------
Total 16 16 0
----------------------------------------------------------------------
DHCP L3 FWD:
Total Packets Received : 0
Total Packets Forwarded : 0
Total Packets Dropped : 0
Non DHCP:
Total Packets Received : 0
Total Packets Forwarded : 0
Total Packets Dropped : 0
DROP:
DHCP Relay not enabled : 0
Invalid DHCP message type : 0
Interface error : 0
Tx failure towards server : 0
Tx failure towards client : 0
Unknown output interface : 0
Unknown vrf or interface for server : 0
Max hops exceeded : 0
Option 82 validation failed : 0
Packet Malformed : 0
Relay Trusted port not configured : 0
DHCP Request dropped on MCT : 0
* - These counters will show correct value when switch
receives DHCP request packet with destination ip as broadcast
address. If request is unicast it will be HW switched
NEXUS-9000V-SW-1#
Miért olyan bonyolult a konfiguráció a Microsoft Windows Server 2012 rendszerben?
A Microsoft Windows Server 2012 még nem támogatja az RFC#3527-et (82. lehetőség, 5. alopció (0x5) – Hivatkozás kiválasztása)
A házirend funkció azonban már megvalósult.
Hogyan működik:
- A Microsoft Windows Server 2012 rendelkezik egy szuperkészlettel (SuperScope), amely visszacsatolási címekkel és készletekkel rendelkezik a valós hálózatokhoz.
- Az IP-cím kiadására szolgáló készlet kiválasztása a SuperScope-ba tartozik, mivel a válasz a DHCP Relay-től érkezett, a visszacsatolási forráscímmel a SuperScope-ban.
- A házirend használatával a kérés kiválasztja a Superscope-ból azt a tag-hatókört, amelynek VNI-jét a 82. opció 1. alopció ügynök áramkörazonosítója tartalmazza. ("0108000600" + 24 bites VNI + 24 bit, amelyek értékei számomra ismeretlenek, de a szippantó ebben a mezőben 0 értéket mutat.)
Hogyan egyszerűsödik a beállítás a Microsoft Windows Server 2016/2019 rendszerben?
A Microsoft Windows Server 2016 megvalósítja az RFC#3527 funkciót. Ez azt jelenti, hogy a Windows Server 2016 felismeri a megfelelő hálózatot a 82. lehetőség 5(0x5) alopciója - Link Selection attribútumból.
Három kérdés merül fel azonnal:
- Megvagyunk a Superscope nélkül?
- Megtehetjük-e a Policy nélkül, és átalakíthatjuk a VNI-t hexadecimális formára?
- Megtehetjük a Scope for Loopback DHCP-forráscímek nélkül?
Q. Megvagyunk a Superscope nélkül?
A. Igen, a hatókör azonnal létrehozható az IPv4-címek területén.
Q. Megtehetjük-e a Policy nélkül, és átalakíthatjuk a VNI-t hexadecimális formára?
A. Igen, a hálózat kiválasztása a 82. opció 0x5. alopcióján alapul,
Q. Megtehetjük a Scope for Loopback DHCP-forráscímek nélkül?
A. Nem mi nem tudunk. Mivel a Microsoft Windows Server 2016/2019 védelmet nyújt a rosszindulatú DHCP-kérelmek ellen. Ez azt jelenti, hogy minden olyan címről érkező kérés, amely nem szerepel a DHCP-kiszolgálókészletben, rosszindulatúnak minősül.
Note
All relay agent IP addresses (GIADDR) must be part of an active DHCP scope IP address range. Any GIADDR outside of the DHCP scope IP address ranges is considered a rogue relay and Windows DHCP Server will not acknowledge DHCP client requests from those relay agents.
A special scope can be created to "authorize" relay agents. Create a scope with the GIADDR (or multiple if the GIADDR's are sequential IP addresses), exclude the GIADDR address(es) from distribution, and then activate the scope. This will authorize the relay agents while preventing the GIADDR addresses from being assigned.Azok. DHCP-készlet konfigurálásához VXLAN BGP EVPN-gyárhoz a Microsoft Windows Server 2016/2019 rendszeren, csak a következőkre van szüksége:
- Hozzon létre egy készletet a forrástovábbítási címekhez.
- Hozzon létre egy készletet az ügyfélhálózatokhoz
Ami nem szükséges (de konfigurálható és működik, és nem zavarja a munkát):
- Házirend létrehozása
- Hozzon létre SuperScope-ot
PéldaPélda egy DHCP-kiszolgáló beállítására (2 valódi DHCP-kliens van - a kliensek a VXLAN-hálózathoz csatlakoznak)
Példa felhasználói készlet létrehozására:
Példa felhasználói készlet beállítására (házirendek vannak kiválasztva - annak bizonyítására, hogy a házirendeket nem a készlet megfelelő működéséhez használták):
Példa a forrás DHCP Relay címek készletének konfigurálására (a kibocsátandó címek tartománya teljes mértékben megfelel a címkészletből való kizárásnak):
DHCP-szolgáltatás beállítása Microsoft Windows Server 2019 rendszeren
A visszacsatolási címek (forrás) készletének beállítása a DHCP Relay számára.
Létrehozunk egy új készletet (Scope) az IPv4 térben.
Pool létrehozó varázsló. "Következő >"
Állítsa be a készlet nevét és leírását.
Állítsa be a Loopback IP-címeinek tartományát és a készlet maszkját.
Kivételek hozzáadása. A kizárási tartománynak pontosan meg kell egyeznie a medence tartományával.
Bérleti idő. "Következő >"
Lekérdezés: Most konfigurálja a DHCP-beállításokat (DNS, WINS, Gateway, Domain), vagy később. Gyorsabb lenne nemmel válaszolni, majd manuálisan aktiválni a készletet. Vagy menjen a végére anélkül, hogy bármilyen információt kitöltene, és aktiválja a készletet a varázsló végén.
Megerősítjük, hogy az opciók nincsenek konfigurálva, és a készlet nincs aktiválva. "Befejez"
A medencét manuálisan aktiváljuk. — Válassza a Hatókör lehetőséget, majd a helyi menüben válassza az „Aktiválás” lehetőséget.
Létrehozunk egy készletet a felhasználók/szerverek számára.
Új medencét hozunk létre.
Pool létrehozó varázsló. "Következő >"
Állítsa be a készlet nevét és leírását.
Állítsa be a Loopback IP-címeinek tartományát és a készlet maszkját.
Kivételek hozzáadása. (Alapértelmezés szerint nincs szükség kivételekre) "Következő >"
Bérleti idő. "Következő >"
Lekérdezés: Most konfigurálja a DHCP-beállításokat (DNS, WINS, Gateway, Domain) vagy később. Most állítsuk be.
Állítsa be az alapértelmezett átjáró címét.
Beállítjuk a tartomány és a DNS szerver címét.
WINS-kiszolgálók IP-címeinek konfigurálása.
Hatókör aktiválása.
A medence konfigurálva van. "Befejez"
Következtetés
A Windows Server 2016/2019 használata csökkenti a DHCP-kiszolgáló VXLAN-hálózathoz (vagy bármely más szövethez) való beállításának bonyolultságát. (Nem szükséges speciális hivatkozásokat átadni informatikusoknak: Hálózati/ügynöki áramkörazonosító a szűrők regisztrálásához.)
Működni fog a Windows Server 2012 konfigurációja az új 2016/2019-es kiszolgálókon – igen, működni fog.
Ez a dokumentum 2 verzióra tartalmaz hivatkozásokat: 7.X és 9.3. Ez annak köszönhető, hogy a 7.0(3)I7(7) verzió a Cisco által javasolt kiadás, a 9.3-as pedig a leginnovatívabb (még a VXLAN Multisite-on keresztüli Multicast támogatást is).
Források listája
Forrás: will.com