L'obiettivo di questo articolo è semplificare la configurazione del servizio DHCP per la fabbrica VXLAN BGP EVPN e DFA utilizzando Microsoft Windows Server 2016/2019.
Nella documentazione ufficiale, il servizio DHCP basato su Microsoft Windows Server 2012 per la fabbrica è configurato come SuperScope, contenente un pool Loopback (in questo pool, la peculiarità è l'esclusione di tutti gli indirizzi IP dal pool (indirizzo IP escluso = pool)) e i pool di assegnazione degli indirizzi IP per le reti reali (qui la peculiarità è che vengono configurate policy che filtrano l'ID circuito DHCP Relay e questo ID circuito DHCP Relay contiene il VNI per la rete, ossia per un altro pool questo ID circuito DHCP Relay sarà leggermente diverso).
Per configurare il DHCP su Windows Server.
1. Crea un super scope. All'interno del super scope, crea scope B, S1, S2, S3, …, Sn per la subnet B e le subnet per ciascun segmento.
2. Nello scope B, specifica l' 'Intervallo di esclusione' come l'intero intervallo di indirizzi (in modo che l'intervallo di indirizzi offerti non provenga da questo scope).
3. Per ogni scope segmento Si, specifica una policy che corrisponde all'ID circuito dell'agente con valore '0108000600XXXXXX', dove '0108000600' è un valore fisso per tutti i segmenti e i 6 numeri "XXXXXX" rappresentano il valore dell'ID segmento in esadecimale. Assicurati anche di selezionare la casella di controllo Aggiungi carattere jolly (*).
4. Imposta l'intervallo di indirizzi della policy sull'intero intervallo dello scope.Questo articolo contiene risposte alle seguenti domande:
Contenuto
- ( & )
Introduzione
In questa parte vengono elencati brevemente tutti i dati di origine: Istruzioni per la configurazione dell'hardware di rete, RFC utilizzati nei pacchetti DHCP nelle fabbriche eVPN, viene fornita un'evoluzione della configurazione del server DHCP su Microsoft Windows Server 2012 nella documentazione Cisco. Inoltre, brevi informazioni su Superscope e Policy nel servizio DHCP sui server Microsoft Windows Server.
Come si configura DHCP Relay su una fabbrica VXLAN BGP EVPN, DFA
La configurazione di DHCP Relay su una fabbrica VXLAN BGP EVPN non è l'argomento principale di questo articolo, poiché è abbastanza semplice. Fornisco collegamenti alla documentazione e uno spoiler sulle impostazioni dell'hardware di rete.
Esempio di configurazione di DHCP Relay su Nexus 9000V v9.2(3)
servizio dhcp
ip dhcp relay
opzione informativa del relay dhcp ip
opzione informativa del relay dhcp vpn
interfaccia loopback10
membro vrf VRF1
indirizzo ip 10.120.0.1/32 tag 1234567
interfaccia Vlan12
spegni
membro vrf VRF1
non reindirizzare ip
indirizzo ip 10.120.251.1/24 tag 1234567
non reindirizzare ipv6
modalità di inoltro fabric anycast-gateway
indirizzo relay dhcp ip 10.0.0.5
interfaccia sorgente relay dhcp ip loopback10
RFC implementati nel servizio DHCP Relay nelle fabbriche VXLAN BGP EVPN
RFC#6607: Sotto-opzione 151(0x97) — Selezione della sottorete virtuale
• Sotto-opzione 151(0x97) - Selezione della sottorete virtuale (Definita in RFC#6607)
Usata per trasmettere informazioni relative al VRF al server DHCP in un ambiente multi-tenant MPLS-VPN e VXLAN EVPN.Viene trasmesso il «nome» del VRF in cui si trova il client.
RFC#5107: Sotto-opzione 11(0xb) — Override dell'ID server
• Sotto-opzione 11(0xb) - Override dell'ID server (Definita in RFC#5107.)
L'override dell'identificatore del server (ID server) consente all'agente relay DHCP di specificare un nuovo valore per l'opzione ID server, che viene inserito dal server DHCP nel pacchetto di risposta. Questa sotto-opzione consente all'agente relay DHCP di fungere da server DHCP effettivo in modo che le richieste di rinnovo vengano inviate all'agente relay piuttosto che direttamente al server DHCP. L'override dell'identificatore del server contiene l'indirizzo IP dell'interfaccia in entrata, che è l'indirizzo IP sull'agente relay accessibile dal client. Utilizzando queste informazioni, il client DHCP invia tutti i pacchetti di richiesta di rinnovo e rilascio all'agente relay. L'agente relay aggiunge tutte le sotto-opzioni appropriate e quindi inoltra i pacchetti di richiesta di rinnovo e rilascio al server DHCP originale. Per questa funzione, l'implementazione proprietaria di Cisco è la sotto-opzione 152(0x98). Puoi usare il comando ip dhcp relay sub-option type cisco per gestire la funzione.Questa opzione è utilizzata affinché il cliente invii una richiesta per il rinnovo dell'affitto dell'indirizzo IP utilizzato in questa opzione. (In Cisco VXLAN BGP EVPN, è l'indirizzo Anycast del gateway predefinito per il cliente.)
RFC#3527: Sottopzione 5(0x5) — Selezione del collegamento
Sottopzione 5(0x5) - Selezione del collegamento (Definita in RFC#3527.)
La sottopzione di selezione del collegamento fornisce un meccanismo per separare la subnet/link su cui risiede il client DHCP dall'indirizzo del gateway (giaddr), che può essere utilizzato per comunicare con l'agente di trasferimento dal server DHCP. L'agente di trasferimento imposterà la sottopzione sulla subnet corretta dell'abbonato e il server DHCP utilizzerà quel valore per assegnare un indirizzo IP piuttosto che il valore giaddr. L'agente di trasferimento imposterà il giaddr sul proprio indirizzo IP affinché i messaggi DHCP possano essere inoltrati sulla rete. Per questa funzione, l'implementazione proprietaria di Cisco è la sottopzione 150(0x96). Puoi utilizzare il comando ip dhcp relay sub-option type cisco per gestire questa funzione.Indirizzo di rete da cui il cliente necessita un indirizzo IP.
Evoluzione della documentazione Cisco per la configurazione di DHCP su Microsoft Windows Server 2012
Ho incluso questa sezione perché si osserva una tendenza positiva da parte del fornitore:
Nella documentazione è fornita solo la configurazione del DHCP Relay sull'hardware di rete.
Per configurare il DHCP su Windows Server 2012 è stato utilizzato un altro articolo:
In questo articolo si specifica che per ogni rete/VNI è necessaria una propria combinazione di SuperScope e un set unico di indirizzi Loopback.
Se sono necessari più DHCP Scopes per più subnet, è necessario creare un LoopbackX per ogni subnet/vlan su tutti i LEAFS e creare un superscope con un intervallo di loopbackX e l'intervallo della subnet IP reale per ogni vlan.
Sono state aggiunte le impostazioni del Windows Server 2012 nella documentazione per la configurazione delle apparecchiature di rete. Per tutti i pool di indirizzi utilizzati è necessario un SuperScope per il Data Center e questo SuperScope rappresenta il confine del Data Center.
Crea un Superscope per tutti gli scope che desideri utilizzare per le politiche basate su Opzione 82.
Nota
Il Superscope dovrebbe combinare tutti gli scope e fungere da confine amministrativo.
È stato trattato tutto in modo molto conciso:
Assumiamo che lo switch stia utilizzando l'indirizzo della subnet B (può essere la subnet backbone, la subnet di gestione o qualsiasi subnet designata dal cliente per questo scopo) per comunicare con il server DHCP di Windows. In DFA abbiamo subnet S1, S2, S3, …, Sn per i segmenti s1, s2, s3, …, sn.
Per configurare il DHCP su Windows Server.
1. Crea un superscope. All'interno del superscope, crea lo scope B, S1, S2, S3, …, Sn per la subnet B e le subnet per ciascun segmento.
2. Nello scope B, specifica l' 'Intervallo di Esclusione' come l'intero intervallo degli indirizzi (in modo che l'intervallo degli indirizzi offerti non provenga da questo scope).
3. Per ogni scope di segmento Si, specifica una politica che corrisponda all'ID Circuito Agente con il valore '0108000600XXXXXX', dove '0108000600' è un valore fisso per tutti i segmenti e i 6 numeri "XXXXXX" rappresentano il valore dell'ID segmento in esadecimale. Assicurati anche di selezionare la casella di controllo per l'aggiunta di wildcard (*).
4. Imposta l'intervallo di indirizzi della politica su tutto l'intervallo dello scope.
DHCP in Microsoft Windows Server (superscope & policy)
Il superscope è una funzionalità amministrativa di un server DHCP che consente di raggruppare più scope come un'unica entità amministrativa. Il superscope permette a un server DHCP di fornire lease da più di uno scope ai client su una singola rete fisica. Gli scope aggiunti a un superscope sono chiamati scope membri. Che cos'è il SuperScope – è una funzionalità che consente di unire più pool di indirizzi IP in un'unica entità amministrativa. Serve ad annunciare agli utenti in una rete fisica (in un VLAN) indirizzi IP provenienti da più pool. Se la richiesta è arrivata a un pool di indirizzi all'interno del SuperScope, è possibile assegnare un indirizzo dal diverso Scope che fa parte di questo SuperScope.
Il ruolo del server DHCP in Windows Server 2012 introduce una nuova funzionalità che consente di creare politiche IPv4 che specificano assegnazioni personalizzate di indirizzi IP e opzioni per i client DHCP basate su un insieme di condizioni.
La funzionalità di assegnazione basata su politiche (Policy Based Assignment - PBA) consente di raggruppare i client DHCP in base a specifici attributi, utilizzando i campi contenuti nel pacchetto di richiesta del client DHCP. La PBA consente un'amministrazione mirata e un maggiore controllo dei parametri di configurazione forniti ai dispositivi di rete tramite DHCP. Le politiche – consentono di assegnare indirizzi IP agli utenti in base al tipo di utente o parametro. Gli ingegneri Cisco utilizzano le politiche in Windows Server 2012 per filtrare in base al VNI (Virtual Network Identifier).
Parte principale
In questa sezione sono presentati i risultati delle ricerche sul perché non supportato, come funziona (logica), cosa c'è di nuovo e come queste novità possono aiutare.
Perché Microsoft Windows Server 2000/2003/2008 non è supportato?
Microsoft Windows Server 2008 e versioni precedenti non elaborano l'opzione 82 (Option 82) e inviano il pacchetto di ritorno senza l'opzione 82.
- La richiesta del client viene inviata tramite Broadcast (DHCP Discover).
- L'hardware (Nexus) invia un pacchetto al server DHCP (DHCP Discover + Option 82).
- Il server DHCP riceve il pacchetto, lo elabora e invia una risposta, ma senza l'opzione 82. (DHCP Offer – senza opzione 82)
- L'hardware (Nexus) riceve il pacchetto dal server DHCP. (DHCP Offer) Ma non invia questo pacchetto all'utente finale.
Dati dello sniffer — su Windows Server 2008 e sul client DHCPWindows Server 2008 riceve una richiesta dall'hardware di rete. (L'opzione 82 è presente nell'elenco)
Windows Server 2008 invia una risposta all'hardware di rete. (L'opzione 82 è assente nell'elenco delle opzioni nel pacchetto)
Richiesta dal client – presenti DHCP Discover e assenti DHCP Offer
Statistiche sull'hardware di rete:
NEXUS-9000V-SW-1# mostra statistiche del rilascio DHCP
----------------------------------------------------------------------
Tipo di messaggio Ricevuti Inviati Scarti
----------------------------------------------------------------------
Discover 8 8 0
Offer 8 8 0
Request(*) 0 0 0
Ack 0 0 0
Release(*) 0 0 0
Decline 0 0 0
Inform(*) 0 0 0
Nack 0 0 0
----------------------------------------------------------------------
Totale 16 16 0
----------------------------------------------------------------------
FWD L3 DHCP:
Pacchetti totali ricevuti : 0
Pacchetti totali inoltrati : 0
Pacchetti totali scartati : 0
Non DHCP:
Pacchetti totali ricevuti : 0
Pacchetti totali inoltrati : 0
Pacchetti totali scartati : 0
SCARTI:
Rilascio DHCP non abilitato : 0
Tipo di messaggio DHCP non valido : 0
Errore di interfaccia : 0
Errore di invio verso il server : 0
Errore di invio verso il client : 0
Interfaccia di output sconosciuta : 0
VRF o interfaccia sconosciuta per il server : 0
Numero massimo di salti superato : 0
Valutazione dell'opzione 82 fallita : 0
Pacchetto malformato : 0
Porta di rilascio fidata non configurata : 0
Richiesta DHCP scartata su MCT : 0
* - Questi contatori mostreranno il valore corretto quando lo switch
riceve un pacchetto di richiesta DHCP con indirizzo IP di destinazione come broadcast.
Se la richiesta è unicast, sarà commutata da HW.
NEXUS-9000V-SW-1#
Perché la configurazione in Microsoft Windows Server 2012 è così complessa?
In Microsoft Windows Server 2012 RFC#3527 (Option 82 Sub-option 5(0x5) — Link Selection) is not yet supported.
However, Policy functionality has already been implemented.
How it works:
- Microsoft Windows Server 2012 features a super-scope (SuperScope) that includes Loopback addresses and pools for real networks.
- The selection of a pool for issuing an IP address falls within the SuperScope since the response came from a DHCP Relay with the Source address of a Loopback, which is included in the SuperScope.
- Using Policy, the request selects from the Superscope the member scope whose VNI is contained in Option 82 Suboption 1 Agent Circuit ID. (“0108000600” + 24 bits VNI + 24 bits of which I am unaware, but the sniffer shows values of 0 in this field.)
Come si semplifica la configurazione in Microsoft Windows Server 2016/2019?
Microsoft Windows Server 2016 has implemented RFC#3527 functionality. That is, Windows Server 2016 can recognize the correct network from the Option 82 Sub-option 5(0x5) — Link Selection attribute.
Three questions immediately arise:
- Can we do without the Superscope?
- Can we do without Policy and the conversion of VNI into hexadecimal?
- Can we do without Scope for Loopback addresses from the DHCP Source?
Q. Can we do without the Superscope?
A. Yes, scopes can be created directly within the IPv4 address space.
Q. Can we do without Policy and the conversion of VNI into hexadecimal?
A. Yes, network selection is based on Option 82 Suboption 0x5.
Q. Can we do without Scope for Loopback addresses from the DHCP Source?
A. No, non possiamo. Poiché su Microsoft Windows Server 2016/2019 è attiva la protezione contro le richieste DHCP dannose. Cioè, tutte le richieste provenienti da indirizzi che non sono nel pool del server DHCP sono considerate dannose.
Nota
Tutti gli indirizzi IP dell'agente di inoltro (GIADDR) devono far parte di un intervallo di indirizzi IP valido nel pool DHCP attivo. Qualsiasi GIADDR al di fuori degli intervalli di indirizzi IP del pool DHCP è considerato un agente di inoltro non autorizzato e il server DHCP di Windows non riconoscerà le richieste dei client DHCP provenienti da quegli agenti di inoltro.
È possibile creare uno scope speciale per "autorizzare" gli agenti di inoltro. Creare uno scope con il GIADDR (o più se i GIADDR sono indirizzi IP sequenziali), escludere l'indirizzo/i GIADDR dalla distribuzione e quindi attivare lo scope. Questo autorizzerà gli agenti di inoltro impedendo l'assegnazione degli indirizzi GIADDR.Cioè, per configurare un pool DHCP su Microsoft Windows Server 2016/2019 per la fabbrica VXLAN BGP EVPN è necessario solo:
- Creare un pool per gli indirizzi sorgente Relay.
- Creare un pool per le reti client
Ciò che non è necessario (ma può essere configurato e funzionerà, senza ostacolare il funzionamento):
- Creare policy
- Creare SuperScope
EsempioEsempio di configurazione del server DHCP (presenti 2 client DHCP reali — i client sono connessi alla fabbrica VXLAN)
Esempio di configurazione di un pool personalizzato:
Esempio di configurazione di un pool personalizzato (sono state selezionate delle politiche — per dimostrare che le politiche non sono state utilizzate per il corretto funzionamento del pool):
Esempio di configurazione di un pool per gli indirizzi sorgente del DHCP Relay (l'intervallo di indirizzi da assegnare corrisponde completamente all'eccezione del pool di indirizzi):
Configurazione del servizio DHCP su Microsoft Windows Server 2019
Configurazione del pool per gli indirizzi Loopback (source) per il DHCP Relay.
Creiamo un nuovo pool (Scope) nello spazio IPv4.
Master di creazione del pool. "Avanti >"
Configuriamo il nome del pool e la descrizione (Description) del pool.
Impostiamo l'intervallo di indirizzi IP per il Loopback e la maschera per il pool.
Aggiungiamo eccezioni. L'intervallo delle eccezioni deve corrispondere completamente all'intervallo del pool.
Tempo di affitto. "Avanti >"
Richiesta: Vuoi configurare ora le opzioni DHCP (DNS, WINS, Gateway, Domain) o lo farai più tardi? Rispondere "no" è più veloce, e poi attivare il pool manualmente. Altrimenti, procedi fino alla fine senza inserire alcuna informazione e alla fine del wizard attiva il pool.
Confermiamo che le opzioni non sono configurate, il pool non è attivato. "Fine"
Attiviamo il pool manualmente. — Selezioniamo il Scope e nel menu contestuale — scegliamo "Attiva".
Creiamo un pool per utenti/server.
Creiamo un nuovo pool.
Master di creazione del pool. "Avanti >"
Configuriamo il nome del pool e la descrizione (Description) del pool.
Impostiamo l'intervallo di indirizzi IP per il Loopback e la maschera per il pool.
Aggiungiamo eccezioni. (Per default non sono richieste eccezioni) "Avanti >"
Tempo di affitto. "Avanti >"
Richiesta: Vuoi configurare ora le opzioni DHCP (DNS, WINS, Gateway, Domain) o lo farai più tardi? Sì, le configuriamo ora.
Configuriamo l'indirizzo del gateway predefinito.
Configuriamo il dominio e gli indirizzi dei server DNS.
Configuriamo gli indirizzi IP dei server WINS.
Attivazione dello Scopo.
Pool configurato. «Finish»
Conclusione
Utilizzare Windows Server 2016/2019 riduce la complessità della configurazione del server DHCP per la fabbrica VXLAN (o qualsiasi altra fabbrica). (Non è necessario trasmettere agli specialisti IT pacchetti speciali: Network/Agent Circuit ID per la configurazione dei filtri.)
La configurazione per Windows Server 2012 funzionerà su nuovi server 2016/2019 – sì, funzionerà.
In questo documento sono forniti riferimenti a 2 versioni: 7.X e 9.3. Ciò è dovuto al fatto che la versione 7.0(3)I7(7) è la versione suggerita da Cisco, mentre la versione 9.3 è la più innovativa (fino al supporto del Multicast attraverso VXLAN Multisite).
Elenco delle fonti
Fonte: habr.com
