Tujuan artikel ini adalah untuk menyederhanakan konfigurasi layanan DHCP untuk VXLAN BGP EVPN dan DFA fabric menggunakan Microsoft Windows Server 2016/2019.
Dalam dokumentasi resmi, layanan DHCP berdasarkan Microsoft Windows Server 2012 untuk fabric dikonfigurasikan sebagai SuperScope yang berisi kumpulan Loopback (puncak dari kumpulan ini adalah pengecualian semua alamat IP kumpulan dari kumpulan (alamat IP tidak termasuk = pool)) dan pool untuk mengeluarkan alamat IP untuk jaringan nyata (inilah sorotannya - kebijakan dikonfigurasikan - di mana ID Sirkuit Relai DHCP difilter dan ID Sirkuit relai DHCP ini berisi VNI untuk jaringan, yaitu untuk kumpulan lain Relai DHCP ini ID Sirkuit akan sedikit berbeda).
To configure DHCP on Windows server.
1. Create a super scope. Within the super scope, create scope B, S1, S2, S3, …, Sn for the subnet B and the subnets for each segment.
2. In scope B, specify the 'Exclusion Range' to be the entire address range (so that the offered address range must not be from this scope).
3. For every segment scope Si, specify a policy that matches on Agent Circuit ID with value of '0108000600XXXXXX', where '0108000600' is a fixed value for all segments, the 6 numbers "XXXXXX" is the segment ID value in hexadecimal. Also ensure to check the Append wildcard(*) check box.
4. Set the policy address range to the entire range of the scope.Artikel ini berisi jawaban atas pertanyaan-pertanyaan berikut:
kadar
-
- ( & )
-
-
pengenalan
Bagian ini secara singkat mencantumkan semua data awal: Petunjuk untuk mengonfigurasi peralatan jaringan, RFC yang digunakan dalam paket DHCP di pabrik eVPN, evolusi pengaturan server DHCP di Microsoft Windows Server 2012 dalam dokumentasi Cisco disediakan untuk referensi. Serta informasi singkat tentang Superscope dan Policy pada layanan DHCP di Microsoft Windows Server.
Cara mengkonfigurasi Relai DHCP pada VXLAN BGP EVPN, DFA fabric
Mengonfigurasi Relay DHCP pada fabric VXLAN BGP EVPN bukanlah topik utama artikel ini, karena cukup sederhana. Saya memberikan tautan ke dokumentasi dan spoiler tentang pengaturan peralatan jaringan.
Contoh pengaturan Relay DHCP pada Nexus 9000V v9.2(3)
service dhcp
ip dhcp relay
ip dhcp relay information option
ip dhcp relay information option vpn
interface loopback10
vrf member VRF1
ip address 10.120.0.1/32 tag 1234567
interface Vlan12
no shutdown
vrf member VRF1
no ip redirects
ip address 10.120.251.1/24 tag 1234567
no ipv6 redirects
fabric forwarding mode anycast-gateway
ip dhcp relay address 10.0.0.5
ip dhcp relay source-interface loopback10
RFC yang diimplementasikan dalam pengoperasian layanan Relay DHCP di fabric VXLAN BGP EVPN
RFC#6607: Sub-opsi 151(0x97) - Pemilihan Subnet Virtual
• Sub-option 151(0x97) - Virtual Subnet Selection (Defined in RFC#6607)
Used to convey VRF related information to the DHCP server in an MPLS-VPN and VXLAN EVPN multi-tenant environment."Nama" VRF tempat klien berada dikirimkan.
RFC#5107: Sub-opsi 11(0xb) - Penggantian ID Server
• Sub-option 11(0xb) - Server ID Override (Defined in RFC#5107.)
The server identifier (server ID) override sub-option allows the DHCP relay agent to specify a new value for the server ID option, which is inserted by the DHCP server in the reply packet. This sub-option allows the DHCP relay agent to act as the actual DHCP server such that the renew requests will come to the relay agent rather than the DHCP server directly. The server ID override sub-option contains the incoming interface IP address, which is the IP address on the relay agent that is accessible from the client. Using this information, the DHCP client sends all renew and release request packets to the relay agent. The relay agent adds all of the appropriate sub-options and then forwards the renew and release request packets to the original DHCP server. For this function, Cisco’s proprietary implementation is sub-option 152(0x98). You can use the ip dhcp relay sub-option type cisco command to manage the function.Opsi ini digunakan untuk memastikan bahwa klien mengirimkan permintaan pembaruan alamat sewa ke alamat IP yang digunakan dalam opsi ini. (Pada Cisco VXLAN BGP, EVPN adalah alamat gateway default Anycast klien.)
RFC#3527: Sub-opsi 5(0x5) - Pemilihan Tautan
Sub-option 5(0x5) - Link Selection (Defined in RFC#3527.)
The link selection sub-option provides a mechanism to separate the subnet/link on which the DHCP client resides from the gateway address (giaddr), which can be used to communicate with the relay agent by the DHCP server. The relay agent will set the sub-option to the correct subscriber subnet and the DHCP server will use that value to assign an IP address rather than the giaddr value. The relay agent will set the giaddr to its own IP address so that DHCP messages are able to be forwarded over the network. For this function, Cisco’s proprietary implementation is sub-option 150(0x96). You can use the ip dhcp relay sub-option type ciscocommand to manage the function.Alamat jaringan dari mana klien memerlukan alamat IP.
Evolusi dokumentasi Cisco mengenai konfigurasi DHCP di Microsoft Windows Server 2012
Saya menyertakan bagian ini karena ada tren positif dari pihak vendor:
Dokumentasi hanya menunjukkan cara mengkonfigurasi DHCP Relay pada peralatan jaringan.
Artikel lain digunakan untuk mengkonfigurasi DHCP di Windows Server 2012:
Artikel ini menunjukkan bahwa setiap jaringan/VNI memerlukan bundel SuperScope dan kumpulan alamat Loopbacknya sendiri:
If multiple DHCP Scopes are required for multiple subnets, you need to create one LoopbackX per subnet/vlan on all LEAFS and create a superscope with a loopbackX range scope and actual client IP subnet scope per vlan.
Menambahkan pengaturan Windows 2012 Server ke dokumentasi untuk menyiapkan peralatan jaringan. Untuk semua kumpulan alamat yang digunakan, diperlukan satu SuperScope per pusat data dan SuperScope ini adalah batas pusat data:
Create Superscope for all scopes you want to use for Option 82-based policies.
Note
The Superscope should combine all scopes and act as the administrative boundary.
Semuanya dijelaskan dengan sangat ringkas:
Let us assume the switch is using the address from subnet B (it can be the backbone subnet, management subnet, or any customer designated subnet for this purpose) to communicate with the Windows DHCP server. In DFA we have subnets S1, S2, S3, …, Sn for segment s1, s2, s3, …, sn.
To configure DHCP on Windows server.
1. Create a super scope. Within the super scope, create scope B, S1, S2, S3, …, Sn for the subnet B and the subnets for each segment.
2. In scope B, specify the 'Exclusion Range' to be the entire address range (so that the offered address range must not be from this scope).
3. For every segment scope Si, specify a policy that matches on Agent Circuit ID with value of '0108000600XXXXXX', where '0108000600' is a fixed value for all segments, the 6 numbers "XXXXXX" is the segment ID value in hexadecimal. Also ensure to check the Append wildcard(*) check box.
4. Set the policy address range to the entire range of the scope.
DHCP di Microsoft Windows Server (superskop & kebijakan)
Superscope is an administrative feature of a DHCP server that can be used to group multiple scopes as a single administrative entity. Superscope allows a DHCP server to provide leases from more than one scope to clients on a single physical network. Scopes added to a superscope are called member scopes.
Apa itu SuperScope - ini adalah fungsi yang memungkinkan Anda menggabungkan beberapa kumpulan alamat IP menjadi satu unit administratif. Untuk beriklan kepada pengguna di jaringan fisik yang sama (dalam VLAN yang sama) alamat IP dari beberapa kumpulan. Jika permintaan datang ke kumpulan alamat sebagai bagian dari SuperScope, maka klien dapat diberikan alamat dari Scope lain yang termasuk dalam SuperScope ini.
The DHCP Server role in Windows Server 2012 introduces a new feature that allows you to create IPv4 policies that specify custom IP address and option assignments for DHCP clients based on a set of conditions.
The policy based assignment (PBA) feature allows you to group DHCP clients by specific attributes based on fields contained in the DHCP client request packet. PBA enables targeted administration and greater control of the configuration parameters delivered to network devices with DHCP.
Kebijakan – memungkinkan Anda menetapkan alamat IP kepada pengguna bergantung pada jenis pengguna atau parameter. Insinyur Cisco menggunakan kebijakan di Windows Server 2012 untuk memfilter berdasarkan VNI (Virtual Network Identifier).
Bagian utama
Bagian ini berisi hasil penelitian, mengapa tidak didukung, cara kerjanya (logika), apa yang baru dan bagaimana hal baru ini akan membantu kita.
Mengapa Microsoft Windows Server 2000/2003/2008 tidak didukung?
Microsoft Windows Server 2008 dan versi sebelumnya tidak memproses opsi 82 dan paket kembali dikirim tanpa opsi 82.
- Permintaan dari klien dikirim ke Broadcast (DHCP Discover).
- Peralatan (Nexus) mengirimkan paket ke server DHCP (DHCP Discover + Opsi 82).
- DHCP Server menerima paket, memprosesnya, mengirimkannya kembali, tetapi tanpa opsi 82. (Penawaran DHCP – tanpa opsi 82)
- Peralatan (Nexus) menerima paket dari server DHCP. (Penawaran DHCP) Namun tidak mengirimkan paket ini ke pengguna akhir.
Data sniffer - di Windows Server 2008 dan di klien DHCPWindows Server 2008 menerima permintaan dari peralatan jaringan. (Opsi 82 ada dalam daftar)
Windows Server 2008 mengirimkan respons ke peralatan jaringan. (Opsi 82 tidak terdaftar sebagai opsi dalam paket)
Permintaan dari klien - DHCP Discover hadir dan Penawaran DHCP tidak ada
Statistik peralatan jaringan:
NEXUS-9000V-SW-1# show ip dhcp relay statistics
----------------------------------------------------------------------
Message Type Rx Tx Drops
----------------------------------------------------------------------
Discover 8 8 0
Offer 8 8 0
Request(*) 0 0 0
Ack 0 0 0
Release(*) 0 0 0
Decline 0 0 0
Inform(*) 0 0 0
Nack 0 0 0
----------------------------------------------------------------------
Total 16 16 0
----------------------------------------------------------------------
DHCP L3 FWD:
Total Packets Received : 0
Total Packets Forwarded : 0
Total Packets Dropped : 0
Non DHCP:
Total Packets Received : 0
Total Packets Forwarded : 0
Total Packets Dropped : 0
DROP:
DHCP Relay not enabled : 0
Invalid DHCP message type : 0
Interface error : 0
Tx failure towards server : 0
Tx failure towards client : 0
Unknown output interface : 0
Unknown vrf or interface for server : 0
Max hops exceeded : 0
Option 82 validation failed : 0
Packet Malformed : 0
Relay Trusted port not configured : 0
DHCP Request dropped on MCT : 0
* - These counters will show correct value when switch
receives DHCP request packet with destination ip as broadcast
address. If request is unicast it will be HW switched
NEXUS-9000V-SW-1#
Mengapa konfigurasi di Microsoft Windows Server 2012 sangat sulit?
Microsoft Windows Server 2012 belum mendukung RFC#3527 (Opsi 82 Sub-opsi 5(0x5) - Pilihan Tautan)
Namun fungsi Kebijakan telah diterapkan.
Cara kerjanya:
- Microsoft Windows Server 2012 memiliki kumpulan super (SuperScope) yang memiliki alamat Loopback dan kumpulan untuk jaringan nyata.
- Pemilihan pool untuk mengeluarkan alamat IP termasuk dalam SuperScope, karena responsnya berasal dari DHCP Relay dengan alamat Sumber Loopback yang disertakan dalam SuperScope.
- Dengan menggunakan Kebijakan, permintaan memilih dari Superscope cakupan anggota yang VNI-nya terdapat dalam Opsi 82 Subopsi 1 ID Sirkuit Agen. (“0108000600”+ 24 bit VNI + 24 bit yang nilainya tidak saya ketahui, tetapi sniffer menunjukkan nilai 0 di bidang ini.)
Bagaimana penyederhanaan pengaturan di Microsoft Windows Server 2016/2019?
Microsoft Windows Server 2016 mengimplementasikan fungsionalitas RFC#3527. Artinya, Windows Server 2016 dapat mengenali jaringan yang benar dari Opsi 82 Sub-opsi 5(0x5) - Atribut Pemilihan Tautan
Tiga pertanyaan segera muncul:
- Bisakah kita melakukannya tanpa Superskop?
- Bisakah kita melakukannya tanpa Kebijakan dan mengubah VNI ke bentuk heksadesimal?
- Bisakah kita melakukannya tanpa alamat Sumber DHCP Scope for Loopback?
Q. Bisakah kita melakukannya tanpa Superskop?
A. Ya, cakupan dapat langsung dibuat di area alamat IPv4.
Q. Bisakah kita melakukannya tanpa Kebijakan dan mengubah VNI ke bentuk heksadesimal?
A. Ya, pemilihan jaringan didasarkan pada Opsi 82 Subopsi 0x5,
Q. Bisakah kita melakukannya tanpa alamat Sumber DHCP Scope for Loopback?
A. Tidak, kita tidak bisa. Karena Microsoft Windows Server 2016/2019 memiliki perlindungan terhadap permintaan DHCP berbahaya. Artinya, semua permintaan dari alamat yang tidak ada dalam kumpulan server DHCP dianggap berbahaya.
Note
All relay agent IP addresses (GIADDR) must be part of an active DHCP scope IP address range. Any GIADDR outside of the DHCP scope IP address ranges is considered a rogue relay and Windows DHCP Server will not acknowledge DHCP client requests from those relay agents.
A special scope can be created to "authorize" relay agents. Create a scope with the GIADDR (or multiple if the GIADDR's are sequential IP addresses), exclude the GIADDR address(es) from distribution, and then activate the scope. This will authorize the relay agents while preventing the GIADDR addresses from being assigned.Itu. Untuk mengonfigurasi kumpulan DHCP untuk pabrik VXLAN BGP EVPN di Microsoft Windows Server 2016/2019, Anda hanya memerlukan:
- Buat kumpulan untuk alamat Relai Sumber.
- Buat kumpulan untuk jaringan klien
Apa yang tidak diperlukan (tetapi dapat dikonfigurasi dan akan berfungsi dan tidak akan mengganggu pekerjaan):
- Buat Kebijakan
- Buat SuperSkop
ContohContoh pengaturan server DHCP (ada 2 klien DHCP nyata - klien terhubung ke fabric VXLAN)
Contoh menyiapkan kumpulan pengguna:
Contoh pengaturan kumpulan pengguna (kebijakan dipilih - untuk membuktikan bahwa kebijakan tidak digunakan untuk pengoperasian kumpulan yang benar):
Contoh konfigurasi kumpulan alamat Relai DHCP Sumber (kisaran alamat untuk penerbitan sepenuhnya sesuai dengan pengecualian dari kumpulan alamat):
Menyiapkan layanan DHCP di Microsoft Windows Server 2019
Mengonfigurasi kumpulan alamat Loopback (sumber) untuk Relay DHCP.
Kami membuat kumpulan baru (Cakupan) di ruang IPv4.
Penyihir pembuatan kolam. "Selanjutnya >"
Konfigurasikan nama kumpulan dan deskripsi kumpulan.
Tetapkan rentang alamat IP untuk Loopback dan mask untuk kumpulan.
Menambahkan pengecualian. Rentang pengecualian harus sama persis dengan rentang kumpulan.
Waktu sewa. "Selanjutnya>"
Pertanyaan: Apakah Anda akan mengonfigurasi opsi DHCP sekarang (DNS, WINS, Gateway, Domain) atau akankah Anda melakukannya nanti. Akan lebih cepat jika menjawab tidak, lalu mengaktifkan pool secara manual. Atau lanjutkan ke akhir tanpa mengisi informasi apa pun dan aktifkan kumpulan di akhir wizard.
Kami mengonfirmasi bahwa opsi tidak dikonfigurasi dan kumpulan tidak diaktifkan. "Menyelesaikan"
Kami mengaktifkan pool secara manual. — Pilih Cakupan dan di menu konteks — pilih “Aktifkan”.
Kami membuat kumpulan untuk pengguna/server.
Kami membuat kolam baru.
Penyihir pembuatan kolam. "Selanjutnya >"
Konfigurasikan nama kumpulan dan deskripsi kumpulan.
Tetapkan rentang alamat IP untuk Loopback dan mask untuk kumpulan.
Menambahkan pengecualian. (Tidak ada pengecualian yang diperlukan secara default) "Berikutnya >"
Waktu sewa. "Selanjutnya>"
Pertanyaan: Apakah Anda akan mengonfigurasi opsi DHCP sekarang (DNS, WINS, Gateway, Domain) atau akankah Anda melakukannya nanti. Mari kita atur sekarang.
Konfigurasikan alamat gateway default.
Kami mengkonfigurasi alamat domain dan server DNS.
Mengonfigurasi alamat IP server WINS.
Aktivasi cakupan.
Kolam renang telah dikonfigurasi. "Menyelesaikan"
Kesimpulan
Menggunakan Windows Server 2016/2019 mengurangi kerumitan pengaturan server DHCP untuk fabric VXLAN (atau fabric lainnya). (Tidak perlu mentransfer tautan khusus ke spesialis TI: ID Sirkuit Jaringan/Agen untuk mendaftarkan filter.)
Akankah konfigurasi untuk Windows Server 2012 berfungsi pada server baru 2016/2019 - ya, itu akan berhasil.
Dokumen ini berisi referensi ke 2 versi: 7.X dan 9.3. Hal ini disebabkan oleh fakta bahwa versi 7.0(3)I7(7) adalah rilis yang Disarankan Cisco, dan versi 9.3 adalah yang paling inovatif (bahkan mendukung Multicast melalui VXLAN Multisite).
Daftar sumber
Sumber: www.habr.com