L'obiettivo di questo articolo è semplificare la configurazione del servizio DHCP per la fabbrica VXLAN BGP EVPN e DFA utilizzando Microsoft Windows Server 2016/2019.
Nella documentazione ufficiale, il servizio DHCP basato su Microsoft Windows Server 2012 per la fabbrica è configurato come SuperScope, contenente un pool Loopback (in questo pool, la peculiarità è l'esclusione da questo pool di tutti gli indirizzi IP (excluded IP address = pool)) e i pool di assegnazione degli indirizzi IP per reti reali (qui la peculiarità è che vengono configurate policy in cui si filtrano DHCP Relay Circuit ID e questo DHCP Relay Circuit ID contiene VNI per la rete, cioè, per un altro pool questo DHCP Relay Circuit ID sarà leggermente diverso).
Per configurare il DHCP su Windows Server.
1. Crea uno superscope. All'interno dello superscope, crea il pool B, S1, S2, S3, …, Sn per la sottorete B e le sottoreti per ciascun segmento.
2. Nel pool B, specifica il 'Range di Esclusione' come l'intero range di indirizzi (in modo che il range di indirizzi offerti non provenga da questo pool).
3. Per ogni pool segmento Si, specifica una policy che corrisponde all'Agent Circuit ID con valore '0108000600XXXXXX', dove '0108000600' è un valore fisso per tutti i segmenti, i 6 numeri "XXXXXX" rappresentano il valore dell'ID segmento in esadecimale. Assicurati di selezionare anche la casella di controllo Append wildcard (*).
4. Imposta il range degli indirizzi policy per l'intero range del pool.Questo articolo contiene risposte alle seguenti domande:
Contenuto
- ( & )
Introduzione
In questa sezione sono elencati brevemente tutti i dati di origine: Istruzioni per la configurazione delle apparecchiature di rete, RFC utilizzati nei pacchetti DHCP nelle fabbriche eVPN, viene fornita un'evoluzione delle configurazioni del server DHCP su Microsoft Windows Server 2012 nella documentazione Cisco. Inoltre, brevi informazioni su Superscope e Policy nel servizio DHCP sui server Microsoft Windows Server.
Come viene configurato il DHCP Relay nella fabbrica VXLAN BGP EVPN, DFA
La configurazione del DHCP Relay nella fabbrica VXLAN BGP EVPN non è il tema principale di questo articolo, poiché è piuttosto semplice. Fornisco collegamenti alla documentazione e uno spoiler sulle configurazioni sulle apparecchiature di rete.
Esempio di configurazione del DHCP Relay su Nexus 9000V v9.2(3)
servizio dhcp
ip dhcp relay
ip dhcp relay information option
ip dhcp relay information option vpn
interfaccia loopback10
membro vrf VRF1
indirizzo ip 10.120.0.1/32 tag 1234567
interfaccia Vlan12
no shutdown
membro vrf VRF1
no ip redirects
indirizzo ip 10.120.251.1/24 tag 1234567
no ipv6 redirects
modalità forwarding fabric anycast-gateway
indirizzo relay dhcp ip 10.0.0.5
interfaccia di origine relay dhcp ip loopback10
RFC implementati nel funzionamento del servizio DHCP Relay nelle fabbriche VXLAN BGP EVPN
RFC#6607: Sotto-opzione 151(0x97) — Selezione della Sub-rete Virtuale
• Sotto-opzione 151(0x97) - Selezione della Sub-rete Virtuale (Definita in RFC#6607)
Utilizzata per comunicare informazioni relative al VRF al server DHCP in un ambiente multi-tenant MPLS-VPN e VXLAN EVPN.Viene trasmesso il "nome" del VRF in cui si trova il cliente.
RFC#5107: Sotto-opzione 11(0xb) — Sovrascrittura ID Server
• Sotto-opzione 11(0xb) - Sovrascrittura ID Server (Definita in RFC#5107.)
La sotto-opzione di sovrascrittura dell'identificatore del server (ID server) consente all'agente relay DHCP di specificare un nuovo valore per l'opzione ID server, che viene inserito dal server DHCP nel pacchetto di risposta. Questa sotto-opzione consente all'agente relay DHCP di agire come il server DHCP effettivo in modo che le richieste di rinnovo vengano inviate all'agente relay piuttosto che direttamente al server DHCP. La sotto-opzione di sovrascrittura ID server contiene l'indirizzo IP dell'interfaccia in ingresso, che è l'indirizzo IP sull'agente relay accessibile dal cliente. Utilizzando queste informazioni, il client DHCP invia tutte le richieste di rinnovo e rilascio dell'indirizzo all'agente relay. L'agente relay aggiunge tutte le sotto-opzioni appropriate e inoltra poi i pacchetti di richiesta di rinnovo e rilascio al server DHCP originale. Per questa funzione, l'implementazione proprietaria di Cisco è la sotto-opzione 152(0x98). Puoi utilizzare il comando ip dhcp relay sub-option type cisco per gestire la funzione.L'opzione viene utilizzata affinché il cliente invii una richiesta di rinnovo per l'indirizzo IP utilizzato in questa opzione. (Nel Cisco VXLAN BGP EVPN – questo è l'indirizzo Anycast del gateway predefinito per il cliente.)
RFC#3527: Sotto-opzione 5(0x5) — Selezione del Link
Sotto-opzione 5(0x5) - Selezione del Link (Definita in RFC#3527.)
La sotto-opzione di selezione del link fornisce un meccanismo per separare la subnet/link su cui risiede il client DHCP dall'indirizzo del gateway (giaddr), che può essere utilizzato per comunicare con l'agente relay da parte del server DHCP. L'agente relay imposterà la sotto-opzione sulla corretta subnet dell'abbonato e il server DHCP utilizzerà quel valore per assegnare un indirizzo IP anziché il valore giaddr. L'agente relay imposterà il giaddr sul proprio indirizzo IP in modo che i messaggi DHCP possano essere inoltrati attraverso la rete. Per questa funzione, l'implementazione proprietaria di Cisco è la sotto-opzione 150(0x96). Puoi utilizzare il comando ip dhcp relay sub-option type cisco per gestire la funzione.Indirizzo di rete da cui il cliente ha bisogno di un indirizzo IP.
L'evoluzione della documentazione Cisco riguardo la configurazione del DHCP su Microsoft Windows Server 2012
Ho incluso questa sezione perché si nota una tendenza positiva da parte del fornitore:
La documentazione presenta solo la configurazione del DHCP Relay sull'hardware di rete.
Per configurare DHCP su Windows Server 2012 è stato utilizzato un altro articolo:
In questo articolo si indica che è necessaria una propria associazione SuperScope e un set di indirizzi Loopback per ogni rete/VNI:
Se sono necessari più ambiti DHCP per più sottoreti, è necessario creare un LoopbackX per ciascuna sottorete/vlan su tutti i LEAFS e creare un superscope con un ambito loopbackX e un ambito IP cliente reale per ciascuna vlan.
Abbiamo aggiunto le impostazioni di Windows 2012 Server nella documentazione per la configurazione delle attrezzature di rete. Per tutti i pool di indirizzi utilizzati è necessario un SuperScope nel DC e questo SuperScope rappresenta il confine del DC:
Crea Superscope per tutti gli ambiti che desideri utilizzare per le politiche basate su Opzione 82.
Nota
Il Superscope dovrebbe combinare tutti gli ambiti e fungere da confine amministrativo.
È stato descritto tutto in modo conciso:
Supponiamo che lo switch utilizzi l'indirizzo della sottorete B (può essere la sottorete di backbone, la sottorete di gestione, o qualsiasi sottorete designata dal cliente per questo scopo) per comunicare con il server DHCP di Windows. In DFA abbiamo le sottoreti S1, S2, S3, …, Sn per i segmenti s1, s2, s3, …, sn.
Per configurare DHCP sul server Windows.
1. Crea un super scope. All'interno del super scope, crea l'ambito B, S1, S2, S3, …, Sn per la sottorete B e le sottoreti per ciascun segmento.
2. Nell'ambito B, specifica l' 'Intervallo di Esclusione' come l'intero intervallo di indirizzi (in modo che l'intervallo di indirizzi offerto non provenga da questo ambito).
3. Per ogni ambito segmento Si, specifica una politica che corrisponda all'ID Circuito dell'Agente con il valore '0108000600XXXXXX', dove '0108000600' è un valore fisso per tutti i segmenti, i 6 numeri "XXXXXX" rappresentano il valore dell'ID segmento in esadecimale. Assicurati anche di selezionare la casella di controllo per Append wildcard(*).
4. Imposta l'intervallo di indirizzi della politica sull'intero intervallo dell'ambito.
DHCP in Microsoft Windows Server (superscope & policy)
Il Superscope è una funzionalità amministrativa di un server DHCP che può essere utilizzata per raggruppare più ambiti come una singola entità amministrativa. Il Superscope consente a un server DHCP di fornire lease da più di un ambito a client su una singola rete fisica. Gli ambiti aggiunti a un superscope sono chiamati ambiti membri. Che cos'è il SuperScope – è una funzionalità che consente di unire più pool di indirizzi IP in un'unità amministrativa. Per annunciare agli utenti in una singola rete fisica (in un unico VLAN) indirizzi IP provenienti da più pool. Se una richiesta arriva a un pool di indirizzi all'interno del SuperScope, è possibile fornire al cliente un indirizzo proveniente da un altro Scope che fa parte di questo SuperScope.
Il ruolo del server DHCP in Windows Server 2012 introduce una nuova funzionalità che consente di creare politiche IPv4 che specificano assegnazioni personalizzate di indirizzi IP e opzioni per i client DHCP in base a un insieme di condizioni.
La funzionalità di assegnazione basata su politiche (PBA) consente di raggruppare i client DHCP in base ad attributi specifici basati su campi contenuti nel pacchetto di richiesta del client DHCP. La PBA consente un'amministrazione mirata e maggiore controllo sui parametri di configurazione forniti ai dispositivi di rete tramite DHCP. Le politiche – consentono di assegnare indirizzi IP agli utenti in base al tipo di utente o a un parametro. Gli ingegneri di Cisco utilizzano le politiche in Windows Server 2012 per effettuare filtrazioni in base al VNI (Virtual Network Identifier).
Parte principale
In questa sezione sono riportati i risultati delle ricerche, perché non viene supportato, come funziona (logica), quali sono le novità e come queste novità ci aiuteranno.
Perché non è supportato Microsoft Windows Server 2000/2003/2008?
Microsoft Windows Server 2008 e versioni precedenti non gestiscono l'opzione 82 (Option 82) e inviano i pacchetti di risposta senza l'opzione 82.
- La richiesta del client viene inviata tramite Broadcast (DHCP Discover).
- L'hardware (Nexus) invia un pacchetto al server DHCP (DHCP Discover + Option 82).
- Il server DHCP riceve il pacchetto, lo elabora e risponde, ma senza l'opzione 82. (DHCP Offer – senza opzione 82)
- L'hardware (Nexus) riceve il pacchetto dal server DHCP. (DHCP Offer) Ma non invia questo pacchetto all'utente finale.
Dati dello sniffer – su Windows Server 2008 e sul client DHCPWindows Server 2008 riceve la richiesta dall'hardware di rete. (L'Option 82 è presente nell'elenco)
Windows Server 2008 invia una risposta all'hardware di rete. (L'Option 82 è assente nell'elenco delle opzioni nel pacchetto)
Richiesta del client – è presente il DHCP Discover e manca il DHCP Offer
Statistiche sull'hardware di rete:
NEXUS-9000V-SW-1# show ip dhcp relay statistics
----------------------------------------------------------------------
Tipo di messaggio Rx Tx Drops
----------------------------------------------------------------------
Discover 8 8 0
Offer 8 8 0
Request(*) 0 0 0
Ack 0 0 0
Release(*) 0 0 0
Decline 0 0 0
Inform(*) 0 0 0
Nack 0 0 0
----------------------------------------------------------------------
Totale 16 16 0
----------------------------------------------------------------------
DHCP L3 FWD:
Pacchetti Totali Ricevuti : 0
Pacchetti Totali Inoltrati : 0
Pacchetti Totali Scartati : 0
Non DHCP:
Pacchetti Totali Ricevuti : 0
Pacchetti Totali Inoltrati : 0
Pacchetti Totali Scartati : 0
DROP:
DHCP Relay non abilitato : 0
Tipo di messaggio DHCP non valido : 0
Errore di interfaccia : 0
Errore di trasmissione verso il server : 0
Errore di trasmissione verso il client : 0
Interfaccia di output sconosciuta : 0
VRF o interfaccia sconosciuta per il server : 0
Numero massimo di salti superato : 0
Validazione dell'opzione 82 fallita : 0
Pacchetto malformato : 0
Porta di relay fidata non configurata : 0
Richiesta DHCP scartata su MCT : 0
* - Questi contatori mostreranno il valore corretto quando l'interruttore
riceve un pacchetto di richiesta DHCP con indirizzo IP di destinazione come broadcast
. Se la richiesta è unicast, verrà commutata a livello hardware
NEXUS-9000V-SW-1#
Perché la configurazione in Microsoft Windows Server 2012 è così complessa?
In Microsoft Windows Server 2012 non è ancora supportato RFC#3527 (Opzione 82 Sotto-opzione 5(0x5) — Selezione del Collegamento)
Ma la funzionalità Policy è già implementata.
Come funziona:
- Microsoft Windows Server 2012 ha un super-pool (SuperScope) in cui sono presenti indirizzi Loopback e pool per reti reali.
- La scelta del pool per l'assegnazione dell'indirizzo IP rientra nel SuperScope, poiché la risposta proviene da un DHCP Relay con l'indirizzo sorgente Loopback, che rientra nel SuperScope.
- Utilizzando la Policy, la richiesta seleziona dal Superscope il member scope, il cui VNI è contenuto nell'Opzione 82 Sotto-opzione 1 Agent Circuit ID. (“0108000600” + 24 bit VNI + 24 bit di valori che non conosco, ma il sniffatore mostra valori 0 in questo campo.)
Come viene semplificata la configurazione in Microsoft Windows Server 2016/2019?
In Microsoft Windows Server 2016 è stata implementata la funzionalità RFC#3527. Cioè, Windows Server 2016 è in grado di riconoscere la rete corretta dall'attributo Opzione 82 Sotto-opzione 5(0x5) — Selezione del Collegamento
Sorgono subito 3 domande:
- Possiamo fare a meno del Superscope?
- Possiamo fare a meno della Policy e della conversione del VNI in forma esadecimale?
- Possiamo fare a meno dello Scope per gli indirizzi sorgente Loopback DHCP?
D. Possiamo fare a meno del Superscope?
R. Sì, è possibile creare scope direttamente nell’area degli indirizzi IPv4.
D. Possiamo fare a meno della Policy e della conversione del VNI in forma esadecimale?
R. Sì, la scelta della rete avviene sulla base dell'Opzione 82 Sotto-opzione 0x5,
D. Possiamo fare a meno dello Scope per gli indirizzi sorgente Loopback DHCP?
R. No, non possiamo. Poiché in Microsoft Windows Server 2016/2019 è attiva una protezione contro le richieste DHCP dannose. Cioè, tutte le richieste provenienti da indirizzi non presenti nel pool del server DHCP sono considerate dannose.
Nota
Tutti gli indirizzi IP degli agenti di relay (GIADDR) devono far parte di un intervallo di indirizzi IP di scope DHCP attivo. Qualsiasi GIADDR al di fuori degli intervalli di indirizzi IP dello scope DHCP è considerato un relay non autorizzato e il server DHCP di Windows non riconoscerà le richieste dei client DHCP provenienti da quegli agenti di relay.
Può essere creato uno scope speciale per "autorizzare" gli agenti di relay. Creare uno scope con il GIADDR (o multipli se i GIADDR sono indirizzi IP sequenziali), escludere il/i GIADDR dalla distribuzione e poi attivare lo scope. Questo autorizzerà gli agenti di relay impedendo l'assegnazione degli indirizzi GIADDR.Cioè, per configurare un pool DHCP su Microsoft Windows Server 2016/2019 per una fabbrica VXLAN BGP EVPN è necessario solo:
- Creare un pool per gli indirizzi sorgente dei Relay.
- Creare un pool per le reti client
Cosa non è necessario (ma può essere configurato e funzionerà, e non ostacolerà il funzionamento):
- Creare Policy
- Creare SuperScope
EsempioEsempio di configurazione del server DHCP (sono presenti 2 veri client DHCP — i client sono connessi alla fabbrica VXLAN)
Esempio di configurazione di un pool personalizzato:
Esempio di configurazione di un pool personalizzato (sono state selezionate politiche — per dimostrare che le politiche non sono state utilizzate per il corretto funzionamento del pool):
Esempio di configurazione di un pool per gli indirizzi sorgente DHCP Relay (l'intervallo di indirizzi per l'assegnazione corrisponde completamente all'esclusione dal pool degli indirizzi):
Configurazione del servizio DHCP su Microsoft Windows Server 2019
Impostazione del pool per indirizzi Loopback (source) per DHCP Relay.
Creiamo un nuovo pool (Scope) nello spazio IPv4.
Master di creazione del pool. «Next >»
Configuriamo il nome del pool e la descrizione (Description) del pool.
Definiamo l'intervallo degli indirizzi IP per Loopback e la maschera per il pool.
Aggiungiamo le eccezioni. L'intervallo delle eccezioni deve corrispondere esattamente all'intervallo del pool.
Tempo di affitto. «Next >»
Richiesta: Vuoi configurare le opzioni DHCP adesso (DNS, WINS, Gateway, Domain) o lo farai più tardi? È più veloce rispondere no e attivare il pool manualmente dopo. Oppure procedere fino alla fine senza inserire informazioni e attivare il pool alla fine della procedura guidata.
Confermiamo che le opzioni non sono impostate, il pool non è attivato. «Finish»
Attiviamo il pool manualmente. — Selezioniamo Scope e nel menu contestuale — selezioniamo «Activate».
Creiamo un pool per utenti/server.
Creiamo un nuovo pool.
Master di creazione del pool. «Next >»
Configuriamo il nome del pool e la descrizione (Description) del pool.
Definiamo l'intervallo degli indirizzi IP per Loopback e la maschera per il pool.
Aggiungiamo le eccezioni. (Di default non sono richieste eccezioni) «Next >»
Tempo di affitto. «Next >»
Richiesta: Vuoi configurare le opzioni DHCP adesso (DNS, WINS, Gateway, Domain) o lo farai più tardi? Sì, configuramole ora.
Configuriamo l'indirizzo del gateway predefinito.
Configuriamo il dominio e gli indirizzi dei server DNS.
Configuriamo gli indirizzi IP dei server WINS.
Attivazione dello Scope.
Pool configurato. «Finish»
Conclusione
L'uso di Windows Server 2016/2019 riduce la complessità della configurazione del server DHCP per la fabbrica VXLAN (o qualsiasi altra fabbrica). (Non è necessario trasferire agli specialisti IT legami specifici: Network/Agent Circuit ID per specificare i filtri.)
La configurazione per Windows Server 2012 funzionerà sui nuovi server 2016/2019 – sì, funzionerà.
In questo documento sono fornite le link a 2 versioni: 7.X e 9.3. Questo perché la versione 7.0(3)I7(7) è la versione suggerita da Cisco, mentre la versione 9.3 è la più innovativa (fino al supporto del Multicast tramite VXLAN Multisite).
Elenco delle fonti
Fonte: habr.com
