Celem tego artykułu jest uproszczenie konfiguracji usługi DHCP dla fabryki VXLAN BGP EVPN i DFA z wykorzystaniem systemu Microsoft Windows Server 2016/2019.
W oficjalnej dokumentacji usługa DHCP oparta na systemie Microsoft Windows Server 2012 dla fabryki jest konfigurowana jako SuperScope, zawierający pulę Loopback (w tej puli – wyróżnikiem jest wykluczenie z puli wszystkich adresów IP z puli (excluded IP address = pool)) oraz pule przydzielania adresów IP dla rzeczywistych sieci (tutaj wyróżnikiem – konfigurowane są polityki – w których filtrowane są identyfikatory obwodów DHCP Relay, a ten identyfikator obwodu DHCP Relay zawiera VNI dla sieci, tzn. dla innej puli ten identyfikator obwodu DHCP Relay będzie nieco inny).
Aby skonfigurować DHCP na serwerze Windows.
1. Utwórz superscope. W obrębie superscope utwórz zakres B, S1, S2, S3, …, Sn dla podsieci B i podsieci dla każdego segmentu.
2. W zakresie B określ 'Zakres wykluczeń' na cały zakres adresów (tak, aby oferowany zakres adresów nie pochodził z tego zakresu).
3. Dla każdego zakresu segmentu Si, określ politykę, która pasuje do identyfikatora obwodu agenta z wartością '0108000600XXXXXX', gdzie '0108000600' jest stałą wartością dla wszystkich segmentów, a 6 cyfr "XXXXXX" to wartość identyfikatora segmentu w systemie szesnastkowym. Upewnij się, że zaznaczone jest pole wyboru Append wildcard(*).
4. Ustaw zakres adresów polityki na cały zakres zakresu.Niniejszy artykuł zawiera odpowiedzi na następujące pytania:
Spis treści
- ( & )
Wprowadzenie
W tej części krótko przedstawiono wszystkie dane wyjściowe: Instrukcje dotyczące konfiguracji sprzętu sieciowego, RFC stosowane w pakietach DHCP w fabrykach eVPN, a także przedstawiono ewolucję ustawień serwera DHCP na Microsoft Windows Server 2012 w dokumentacji Cisco. A także krótkie informacje o Superscope i Polityce w usłudze DHCP na serwerach Microsoft Windows Server.
Jak konfiguruje się DHCP Relay w fabryce VXLAN BGP EVPN, DFA
Konfiguracja DHCP Relay w fabryce VXLAN BGP EVPN nie jest głównym tematem tego artykułu, gdyż jest to dość proste. Poniżej podaję linki do dokumentacji i wskazówki dotyczące ustawień na sprzęcie sieciowym.
Przykład konfiguracji DHCP Relay na Nexus 9000V v9.2(3)
usługa dhcp
ip dhcp relay
opcja informacji o relayu dhcp
opcja informacji o relayu dhcp vpn
interfejs loopback10
członek vrf VRF1
adres ip 10.120.0.1/32 tag 1234567
interfejs Vlan12
wyłączono shutdown
członek vrf VRF1
wyłączono przekierowania ip
adres ip 10.120.251.1/24 tag 1234567
wyłączono przekierowania ipv6
tryb przesyłania fabric anycast-gateway
adres relayu dhcp ip 10.0.0.5
interfejs źródłowy relayu dhcp ip loopback10
RFC, które są zaimplementowane w pracy usługi DHCP Relay w fabrykach VXLAN BGP EVPN
RFC#6607: Sub-opcja 151(0x97) — Wybór Wirtualnej Podsieci
• Sub-opcja 151(0x97) - Wybór Wirtualnej Podsieci (Zdefiniowane w RFC#6607)
Używane do przekazywania informacji związanych z VRF do serwera DHCP w środowisku MPLS-VPN i VXLAN EVPN multi-tenant.Przekazywane jest "imię" VRF, w którym znajduje się klient.
RFC#5107: Sub-opcja 11(0xb) — Nadpisanie ID Serwera
• Sub-opcja 11(0xb) - Nadpisanie ID Serwera (Zdefiniowane w RFC#5107.)
Sub-opcja nadpisania identyfikatora serwera (server ID) pozwala agentowi relay czyli przekazującemu DHCP na określenie nowej wartości dla opcji server ID, która jest wstawiana przez serwer DHCP w pakiecie odpowiedzi. Ta sub-opcja pozwala agentowi relay działać jak rzeczywisty serwer DHCP, tak aby żądania odnawiania pochodziły do agenta relay zamiast bezpośrednio do serwera DHCP. Sub-opcja nadpisania ID serwera zawiera adres IP interfejsu przychodzącego, który jest adresem IP na agencie relay dostępnym dla klienta. Używając tych informacji, klient DHCP wysyła wszystkie pakiety żądań odnawiania i zwolnienia do agenta relay. Agent relay dodaje wszystkie odpowiednie sub-opcje, a następnie przekazuje pakiety żądań odnawiania i zwolnienia do oryginalnego serwera DHCP. Dla tej funkcji, własna implementacja Cisco to sub-opcja 152(0x98). Możesz użyć polecenia ip dhcp relay sub-opcja typ cisco, aby zarządzać tą funkcją.Opcja jest używana, aby klient wysłał żądanie o przedłużenie dzierżawy adresu na adres IP używany w tej opcji. (W Cisco VXLAN BGP EVPN – to domyślny adres Anycast bramy dla klienta.)
RFC#3527: Sub-opcja 5(0x5) — Wybór Łącza
Sub-opcja 5(0x5) - Wybór Łącza (Zdefiniowane w RFC#3527.)
Sub-opcja wyboru łącza zapewnia mechanizm oddzielenia podsieci/łącza, w której znajduje się klient DHCP, od adresu bramy (giaddr), który może być użyty do komunikacji z agentem relay przez serwer DHCP. Agent relay ustawi sub-opcję na odpowiednią podsieć subskrybenta, a serwer DHCP użyje tej wartości do przypisania adresu IP zamiast wartości giaddr. Agent relay ustawi giaddr na swój własny adres IP, aby wiadomości DHCP mogły być przekazywane przez sieć. Dla tej funkcji, własna implementacja Cisco to sub-opcja 150(0x96). Możesz użyć polecenia ip dhcp relay sub-opcja typ cisco, aby zarządzać tą funkcją.Adres sieci, z którego klient potrzebuje adres IP.
Ewolucja dokumentacji Cisco dotycząca konfiguracji DHCP na Microsoft Windows Server 2012
Zawierałem tę sekcję, ponieważ można zauważyć pozytywny trend ze strony dostawcy:
W dokumentacji podano tylko konfigurację DHCP Relay na sprzęcie sieciowym.
Do konfiguracji DHCP na Windows Server 2012 użyto innego artykułu:
W tym artykule stwierdzono, że każda sieć/VNI wymaga swojej własnej kombinacji SuperScope i własnego zestawu adresów Loopback:
Jeśli wiele zakresów DHCP jest wymaganych dla wielu podsieci, musisz utworzyć jeden LoopbackX dla każdej podsieci/vlan na wszystkich LEAFS i stworzyć superscope z zakresem loopbackX i rzeczywistym zakresem IP klientów dla każdego vlan.
Dodano ustawienia serwera Windows 2012 w dokumentacji dotyczącej konfiguracji sprzętu sieciowego. Dla wszystkich używanych pul adresów potrzebny jest jeden SuperScope w centrum danych, a ten SuperScope stanowi granicę centrum danych:
Utwórz Superscope dla wszystkich zakresów, które chcesz wykorzystać do polityk opartych na opcji 82.
Uwaga
Superscope powinien łączyć wszystkie zakresy i działać jako granica administracyjna.
Bardzo zwięźle opisano wszystko:
Załóżmy, że przełącznik korzysta z adresu z podsieci B (może to być podsieć backbone, podsieć zarządzająca lub inna podsieć wyznaczona przez klienta w tym celu) do komunikacji z serwerem DHCP Windows. W DFA mamy podsieci S1, S2, S3, …, Sn dla segmentu s1, s2, s3, …, sn.
Aby skonfigurować DHCP na serwerze Windows.
1. Utwórz zwielokrotniony zakres. W ramach zwielokrotnionego zakresu utwórz zakres B, S1, S2, S3, …, Sn dla podsieci B oraz podsieci dla każdego segmentu.
2. W zakresie B określ 'Zakres wykluczeń' na cały zakres adresów (tak, aby oferowany zakres adresów nie mógł pochodzić z tego zakresu).
3. Dla każdego segmentu zakresu Si określ politykę, która dopasowuje identyfikator obwodu agenta o wartości '0108000600XXXXXX', gdzie '0108000600' to stała wartość dla wszystkich segmentów, a 6 cyfr "XXXXXX" to wartość identyfikatora segmentu w formacie szesnastkowym. Upewnij się również, że zaznaczono pole wyboru 'Dodaj symbol (*)'.
4. Ustaw zakres adresów polityki na cały zakres zakresu.
DHCP w Microsoft Windows Server (superscope & polityka)
Superscope to funkcja administracyjna serwera DHCP, która może być wykorzystana do grupowania wielu zakresów jako jednego bytu administracyjnego. Superscope pozwala serwerowi DHCP na udzielanie dzierżaw z więcej niż jednego zakresu dla klientów w jednej fizycznej sieci. Zakresy dodane do superscope nazywane są zakresami członkowskimi. Czym jest SuperScope – to funkcjonalność, która pozwala połączyć kilka pul adresów IP w jedną jednostkę administracyjną. Aby ogłaszać użytkownikom w jednej fizycznej sieci (w jednym VLAN) adresy IP z wielu pul. Jeśli żądanie dotarło do puli adresów w ramach SuperScope, to można przyznać klientowi adres z innego zakresu wchodzącego w skład tego SuperScope.
Rola serwera DHCP w Windows Server 2012 wprowadza nową funkcję, która pozwala na tworzenie polityk IPv4, które określają niestandardowe przypisania adresów IP i opcji dla klientów DHCP na podstawie zestawu warunków.
Funkcja bazującego na polityce przypisania (PBA) pozwala na grupowanie klientów DHCP na podstawie określonych atrybutów opartych na polach zawartych w pakiecie żądania klienta DHCP. PBA umożliwia celowe zarządzanie i większą kontrolę nad parametrami konfiguracyjnymi dostarczanymi urządzeniom sieciowym z DHCP. Polityki – pozwalają przypisywać użytkownikom adresy IP w zależności od typu użytkownika lub parametru. Inżynierowie Cisco wykorzystują polityki w Windows Server 2012 do filtrowania według VNI (Virtual Network Identifier).
Główna część
W tej sekcji przedstawiono wyniki badań, dlaczego nie jest on wspierany, jak to działa (logika), co nowego i jak to nowe nam pomoże.
Dlaczego Microsoft Windows Server 2000/2003/2008 nie są wspierane?
Microsoft Windows Server 2008 i wcześniejsze wersje nie obsługują opcji 82 (Option 82) i wysyłają pakiet zwrotny bez opcji 82.
- Żądanie od klienta jest wysyłane jako Broadcast (DHCP Discover).
- Sprzęt (Nexus) wysyła pakiet do serwera DHCP (DHCP Discover + Option 82).
- Serwer DHCP odbiera pakiet, przetwarza go i wysyła z powrotem, ale bez opcji 82. (DHCP Offer – bez option 82)
- Sprzęt (Nexus) odbiera pakiet od serwera DHCP. (DHCP Offer) Jednak nie wysyła tego pakietu do końcowego użytkownika.
Dane sniffera — na Windows Server 2008 i na kliencie DHCPWindows Server 2008 otrzymuje żądanie od sprzętu sieciowego. (Opcja 82 obecna na liście)
Windows Server 2008 wysyła odpowiedź do sprzętu sieciowego. (Opcja 82 nieobecna na liście opcji w pakiecie)
Żądanie od klienta – obecne DHCP Discover i nieobecne DHCP Offer
Statystyka na sprzęcie sieciowym:
NEXUS-9000V-SW-1# show ip dhcp relay statistics
----------------------------------------------------------------------
Rodzaj wiadomości Rx Tx Zrzuty
----------------------------------------------------------------------
Discover 8 8 0
Offer 8 8 0
Request(*) 0 0 0
Ack 0 0 0
Release(*) 0 0 0
Decline 0 0 0
Inform(*) 0 0 0
Nack 0 0 0
----------------------------------------------------------------------
Łącznie 16 16 0
----------------------------------------------------------------------
DHCP L3 FWD:
Łączna liczba pakietów odebranych : 0
Łączna liczba pakietów przesłanych : 0
Łączna liczba pakietów zrzutów : 0
Nie DHCP:
Łączna liczba pakietów odebranych : 0
Łączna liczba pakietów przesłanych : 0
Łączna liczba pakietów zrzutów : 0
Zrzut:
DHCP Relay nie jest włączony : 0
Nieprawidłowy typ wiadomości DHCP : 0
Błąd interfejsu : 0
Błąd Tx w kierunku serwera : 0
Błąd Tx w kierunku klienta : 0
Nieznany interfejs wyjściowy : 0
Nieznany vrf lub interfejs dla serwera : 0
Przekroczono maksymalną liczbę skoków : 0
Walidacja opcji 82 nie powiodła się : 0
Pakiet źle sformułowany : 0
Zaufany port relay nie jest skonfigurowany : 0
Żądanie DHCP zrzucane na MCT : 0
* - Te liczniki pokażą poprawną wartość, gdy przełącznik
oświeg przyjmie pakiet żądania DHCP z docelowym adresem IP jako adresem broadcast
Jeśli żądanie jest unicast, zostanie przekazane HW
NEXUS-9000V-SW-1#
Dlaczego w Microsoft Windows Server 2012 konfiguracja jest tak skomplikowana?
W Microsoft Windows Server 2012 nie jest jeszcze obsługiwany RFC#3527 (Opcja 82 Sub-opcja 5(0x5) — Wybór linku)
Jednak funkcjonalność polityki jest już wdrożona.
Jak to działa:
- Microsoft Windows Server 2012 ma super-pul (SuperScope), w którym znajdują się adresy Loopback i pule dla rzeczywistych sieci.
- Wybór puli do przydzielania adresu IP odbywa się w SuperScope, ponieważ odpowiedź przyszła od DHCP Relay z adresu źródłowego Loopback, wchodzącego w skład SuperScope.
- Korzystając z polityki, zapytanie wybiera z Superscope ten member scope, którego VNI znajduje się w Opcji 82 Sub-opcji 1 Agent Circuit ID. (“0108000600” + 24 bity VNI + 24 bity wartości, których nie znam, ale sniffer pokazuje wartości 0 w tym polu.)
Jak uproszczono konfigurację w Microsoft Windows Server 2016/2019?
W Microsoft Windows Server 2016 wprowadzono funkcjonalność RFC#3527. To znaczy, Windows Server 2016 potrafi rozpoznać poprawną sieć z atrybutu Opcji 82 Sub-opcji 5(0x5) — Wybór linku.
Pojawia się od razu 3 pytania:
- Czy możemy obejść się bez Superscope?
- Czy możemy obejść się bez polityki i konwersji VNI na postać szesnastkową?
- Czy możemy obejść się bez Scope dla adresów Loopback DHCP Source?
Q. Czy możemy obejść się bez Superscope?
A. Tak, scope można tworzyć od razu w obszarze adresów IPv4.
Q. Czy możemy obejść się bez polityki i konwersji VNI na postać szesnastkową?
A. Tak, wybór sieci odbywa się na podstawie Opcji 82 Sub-opcji 0x5,
Q. Czy możemy obejść się bez Scope dla adresów Loopback DHCP Source?
A. Nie, nie możemy. Ponieważ w Microsoft Windows Server 2016/2019 obowiązuje ochrona przed złośliwymi zapytaniami DHCP. To znaczy, wszystkie zapytania z adresów, których nie ma w puli DHCP serwera, są uznawane za złośliwe.
Informacja
Wszystkie adresy IP agenta pośredniczącego (GIADDR) muszą być częścią aktywnego zakresu adresów IP DHCP. Każdy GIADDR poza zakresami adresów IP DHCP jest traktowany jako złośliwy agent, a serwer DHCP Windows nie uzna żądań klientów DHCP z tych agentów pośredniczących.
Można utworzyć specjalny zakres, aby "autoryzować" agentów pośredniczących. Utwórz zakres z GIADDR (lub wieloma, jeśli GIADDR są sekwencyjnymi adresami IP), wyklucz adresy GIADDR z dystrybucji, a następnie aktywuj zakres. To autoryzuje agentów pośredniczących, jednocześnie zapobiegając przypisywaniu adresów GIADDR.To znaczy, aby skonfigurować na Microsoft Windows Server 2016/2019 pulę DHCP dla fabryki VXLAN BGP EVPN, wystarczy tylko:
- Utworzyć pulę dla adresów źródłowych Relay.
- Utworzyć pulę dla sieci klientów
Co nie jest konieczne (ale można to skonfigurować, będzie działać i nie przeszkodzi w działaniu):
- Tworzyć politykę
- Tworzyć SuperScope
PrzykładPrzykład konfiguracji serwera DHCP (są dwa rzeczywiste klienci DHCP — klienci podłączeni do fabryki VXLAN)
Przykład konfiguracji pul użytkownika:
Przykład konfiguracji pul użytkownika (wybrane polityki — dla dowodu, że polityki nie były używane do poprawnego działania puli):
Przykład konfiguracji puli dla adresów źródłowych DHCP Relay (zakres adresów do przydzielania w pełni odpowiada wykluczeniu z puli adresów):
Konfiguracja usługi DHCP na Microsoft Windows Server 2019
Konfiguracja puli dla adresów Loopback (źródło) dla DHCP Relay.
Tworzymy nową pulę (Scope) w przestrzeni IPv4.
Mistrz tworzenia puli. „Dalej >”
Ustawiamy nazwę puli oraz opis (Description) puli.
Zadajemy zakres adresów IP dla Loopback i maskę dla puli.
Dodajemy wyjątki. Zakres wyjątków musi w pełni odpowiadać zakresowi puli.
Czas dzierżawy. „Dalej >”
Zapytanie: Czy będziesz teraz konfigurować opcje DHCP (DNS, WINS, Gateway, Domain), czy zrobisz to później. Szybciej będzie odpowiedzieć nie, a następnie aktywować pulę ręcznie. Lub przejść do końca, nie wypełniając żadnych informacji i na końcu kreatora aktywować pulę.
Potwierdzamy, że opcje nie są skonfigurowane, a pula nie jest aktywna. „Zakończ”
Aktywujemy pulę ręcznie. — Wybieramy Scope i w menu kontekstowym — wybieramy „Aktywuj”.
Tworzymy pulę dla użytkowników/serwerów.
Tworzymy nową pulę.
Mistrz tworzenia puli. „Dalej >”
Ustawiamy nazwę puli oraz opis (Description) puli.
Zadajemy zakres adresów IP dla Loopback i maskę dla puli.
Dodajemy wyjątki. (Domyślnie wyjątki nie są potrzebne) „Dalej >”
Czas dzierżawy. „Dalej >”
Zapytanie: Czy będziesz teraz konfigurować opcje DHCP (DNS, WINS, Gateway, Domain), czy zrobisz to później. Tak, skonfigurujemy teraz.
Konfigurujemy adres bramy domyślnej.
Konfigurujemy domenę i adresy serwerów DNS.
Konfigurujemy adresy IP serwerów WINS.
Aktywacja Scope.
Pula skonfigurowana. „Zakończ”
Podsumowanie
Użycie Windows Server 2016/2019 zmniejsza złożoność konfiguracji serwera DHCP dla fabryki VXLAN (lub jakiejkolwiek innej fabryki). (Nie jest wymagane przekazywanie specjalnych zestawów IT specjalistom: Network/Agent Circuit ID do sporządzania filtrów.)
Czy konfiguracja dla Windows Server 2012 będzie działać na nowych serwerach 2016/2019 – tak, będzie działać.
W tym dokumencie podano odniesienia do 2 wersji: 7.X i 9.3. Jest to spowodowane tym, że wersja 7.0(3)I7(7) — to sugerowane wydanie Cisco, a wersja 9.3 — jest najbardziej innowacyjna (aż do wsparcia Multicast przez VXLAN Multisite).
Lista źródeł
Źródło: habr.com
