Celem tego artykułu jest uproszczenie konfiguracji usługi DHCP dla sieci VXLAN BGP EVPN i DFA przy użyciu technologii Microsoft Windows Server 2016 / 2019.
W oficjalnej dokumentacji usługa DHCP oparta jest na systemie Microsoft Windows Server Wersja 2012 w fabryce jest skonfigurowana jako Superzakres, zawierający pulę pętli zwrotnej (w tej puli najważniejsze jest wykluczenie wszystkich adresów IP z puli (wykluczony adres IP = pula)) oraz pule do wydawania adresów IP dla rzeczywistych sieci (najważniejsze jest tutaj konfigurowane podejście, w którym filtrowane są identyfikatory obwodów przekaźnika DHCP, a ten identyfikator obwodu przekaźnika DHCP zawiera VNI dla sieci, tzn. w przypadku innej puli ten identyfikator obwodu przekaźnika DHCP będzie się nieznacznie różnić).
To configure DHCP on Windows server.
1. Create a super scope. Within the super scope, create scope B, S1, S2, S3, …, Sn for the subnet B and the subnets for each segment.
2. In scope B, specify the 'Exclusion Range' to be the entire address range (so that the offered address range must not be from this scope).
3. For every segment scope Si, specify a policy that matches on Agent Circuit ID with value of '0108000600XXXXXX', where '0108000600' is a fixed value for all segments, the 6 numbers "XXXXXX" is the segment ID value in hexadecimal. Also ensure to check the Append wildcard(*) check box.
4. Set the policy address range to the entire range of the scope.W artykule znajdują się odpowiedzi na następujące pytania:
Zawartość
- ( & )
Wprowadzenie
W tej sekcji krótko wymieniono wszystkie dane źródłowe: instrukcje dotyczące konfiguracji sprzętu sieciowego, dokumenty RFC używane w pakietach DHCP w fabrykach eVPN, przewodnik referencyjny dotyczący ewolucji ustawień serwera DHCP w systemie Microsoft Windows Server 2012 w dokumentacji Cisco. Dodatkowo, krótkie informacje o Superzakresie i Zasadach usługi DHCP na serwerach Microsoft. Windows Server.
Jak skonfigurować przekaźnik DHCP w sieci VXLAN BGP EVPN, DFA Fabric
Konfigurowanie przekaźnika DHCP w sieci VXLAN BGP EVPN nie jest głównym tematem tego artykułu, ponieważ jest dość proste. Podaję linki do dokumentacji i spoiler na temat ustawień sprzętu sieciowego.
Przykład konfiguracji przekaźnika DHCP na Nexusie 9000V v9.2(3)
service dhcp
ip dhcp relay
ip dhcp relay information option
ip dhcp relay information option vpn
interface loopback10
vrf member VRF1
ip address 10.120.0.1/32 tag 1234567
interface Vlan12
no shutdown
vrf member VRF1
no ip redirects
ip address 10.120.251.1/24 tag 1234567
no ipv6 redirects
fabric forwarding mode anycast-gateway
ip dhcp relay address 10.0.0.5
ip dhcp relay source-interface loopback10
Dokumenty RFC implementowane podczas działania usługi DHCP Relay w strukturach VXLAN BGP EVPN
RFC#6607: Opcja podrzędna 151(0x97) — Wybór wirtualnej podsieci
• Sub-option 151(0x97) - Virtual Subnet Selection (Defined in RFC#6607)
Used to convey VRF related information to the DHCP server in an MPLS-VPN and VXLAN EVPN multi-tenant environment.Przesyłana jest „nazwa” VRF, w którym znajduje się klient.
RFC#5107: Opcja podrzędna 11(0xb) — Zastąpienie identyfikatora serwera
• Sub-option 11(0xb) - Server ID Override (Defined in RFC#5107.)
The server identifier (server ID) override sub-option allows the DHCP relay agent to specify a new value for the server ID option, which is inserted by the DHCP server in the reply packet. This sub-option allows the DHCP relay agent to act as the actual DHCP server such that the renew requests will come to the relay agent rather than the DHCP server directly. The server ID override sub-option contains the incoming interface IP address, which is the IP address on the relay agent that is accessible from the client. Using this information, the DHCP client sends all renew and release request packets to the relay agent. The relay agent adds all of the appropriate sub-options and then forwards the renew and release request packets to the original DHCP server. For this function, Cisco’s proprietary implementation is sub-option 152(0x98). You can use the ip dhcp relay sub-option type cisco command to manage the function.Opcja służy do zapewnienia, że klient wyśle żądanie odnowienia dzierżawy adresu na adres IP użyty w tej opcji. (W przypadku Cisco VXLAN BGP, EVPN jest domyślnym adresem Anycast bramy klienta.)
RFC#3527: Opcja podrzędna 5(0x5) — Wybór łącza
Sub-option 5(0x5) - Link Selection (Defined in RFC#3527.)
The link selection sub-option provides a mechanism to separate the subnet/link on which the DHCP client resides from the gateway address (giaddr), which can be used to communicate with the relay agent by the DHCP server. The relay agent will set the sub-option to the correct subscriber subnet and the DHCP server will use that value to assign an IP address rather than the giaddr value. The relay agent will set the giaddr to its own IP address so that DHCP messages are able to be forwarded over the network. For this function, Cisco’s proprietary implementation is sub-option 150(0x96). You can use the ip dhcp relay sub-option type ciscocommand to manage the function.Adres sieci, z której klient potrzebuje adresu IP.
Ewolucja dokumentacji Cisco dotyczącej konfiguracji DHCP w systemie Microsoft Windows Server 2012
Uwzględniłem tę sekcję, ponieważ po stronie dostawcy można zaobserwować pozytywny trend:
Dokumentacja pokazuje jedynie, jak skonfigurować przekaźnik DHCP na sprzęcie sieciowym.
Aby skonfigurować DHCP na Windows Server W 2012 r. użyto innego artykułu:
W tym artykule wskazano, że każda sieć/VNI wymaga własnego pakietu SuperScope i własnego zestawu adresów Loopback:
If multiple DHCP Scopes are required for multiple subnets, you need to create one LoopbackX per subnet/vlan on all LEAFS and create a superscope with a loopbackX range scope and actual client IP subnet scope per vlan.
Dodano ustawienia Windows Serwer 2012 w dokumentacji konfiguracji sprzętu sieciowego. Wszystkie używane pule adresów wymagają jednego SuperScope na centrum danych, a ten SuperScope stanowi granicę centrum danych:
Create Superscope for all scopes you want to use for Option 82-based policies.
Note
The Superscope should combine all scopes and act as the administrative boundary.
Wszystko zostało bardzo zwięźle wyjaśnione:
Let us assume the switch is using the address from subnet B (it can be the backbone subnet, management subnet, or any customer designated subnet for this purpose) to communicate with the Windows DHCP server. In DFA we have subnets S1, S2, S3, …, Sn for segment s1, s2, s3, …, sn.
To configure DHCP on Windows server.
1. Create a super scope. Within the super scope, create scope B, S1, S2, S3, …, Sn for the subnet B and the subnets for each segment.
2. In scope B, specify the 'Exclusion Range' to be the entire address range (so that the offered address range must not be from this scope).
3. For every segment scope Si, specify a policy that matches on Agent Circuit ID with value of '0108000600XXXXXX', where '0108000600' is a fixed value for all segments, the 6 numbers "XXXXXX" is the segment ID value in hexadecimal. Also ensure to check the Append wildcard(*) check box.
4. Set the policy address range to the entire range of the scope.
DHCP w Microsoft Windows Server (superskop i polityka)
Superscope is an administrative feature of a DHCP server that can be used to group multiple scopes as a single administrative entity. Superscope allows a DHCP server to provide leases from more than one scope to clients on a single physical network. Scopes added to a superscope are called member scopes. Czym jest SuperScope - jest to funkcjonalność pozwalająca na połączenie kilku pul adresów IP w jedną jednostkę administracyjną. Aby rozgłaszać użytkownikom w tej samej sieci fizycznej (w tej samej sieci VLAN) adresy IP z kilku pul. Jeżeli żądanie trafiło do puli adresów w ramach SuperScope, wówczas klient może otrzymać adres z innego Zakresu zawartego w tym SuperScope.
The DHCP Server role in Windows Server 2012 introduces a new feature that allows you to create IPv4 policies that specify custom IP address and option assignments for DHCP clients based on a set of conditions.
The policy based assignment (PBA) feature allows you to group DHCP clients by specific attributes based on fields contained in the DHCP client request packet. PBA enables targeted administration and greater control of the configuration parameters delivered to network devices with DHCP. Zasady – umożliwiają przypisywanie adresów IP użytkownikom na podstawie typu użytkownika lub parametru. Inżynierowie Cisco używają zasad w Windows Server 2012 do filtrowania według VNI (Virtual Network Identifier).
Główna część
Ta sekcja zawiera wyniki badań, dlaczego nie jest wspierane, jak to działa (logika), co nowego i jak to nowe może nam pomóc.
Dlaczego nie jest wspierany przez Microsoft? Windows Server 2000 / 2003 / 2008?
Microsoft Windows Server Wersje 2008 i starsze nie przetwarzają Opcji 82 i wysyłają pakiet zwrotny bez Opcji 82.
- Żądanie od klienta jest wysyłane do Broadcast (DHCP Discover).
- Urządzenie (Nexus) wysyła pakiet do serwera DHCP (DHCP Discover + opcja 82).
- Serwer DHCP odbiera pakiet, przetwarza go, odsyła, ale bez opcji 82. (Oferta DHCP – bez opcji 82)
- Urządzenie (Nexus) odbiera pakiet z serwera DHCP. (Oferta DHCP) Ale nie wysyła tego pakietu do użytkownika końcowego.
Dane sniffera - włączone Windows Server 2008 i na kliencie DHCPWindows Server 2008 otrzymuje żądanie od sprzętu sieciowego. (Opcja 82 jest obecna na liście)
Windows Server 2008 wysyła odpowiedź do urządzenia sieciowego. (Opcja 82 nie znajduje się na liście opcji w pakiecie.)
Żądanie od klienta — obecne jest wykrywanie protokołu DHCP i brak oferty DHCP
Statystyki dotyczące sprzętu sieciowego:
NEXUS-9000V-SW-1# show ip dhcp relay statistics
----------------------------------------------------------------------
Message Type Rx Tx Drops
----------------------------------------------------------------------
Discover 8 8 0
Offer 8 8 0
Request(*) 0 0 0
Ack 0 0 0
Release(*) 0 0 0
Decline 0 0 0
Inform(*) 0 0 0
Nack 0 0 0
----------------------------------------------------------------------
Total 16 16 0
----------------------------------------------------------------------
DHCP L3 FWD:
Total Packets Received : 0
Total Packets Forwarded : 0
Total Packets Dropped : 0
Non DHCP:
Total Packets Received : 0
Total Packets Forwarded : 0
Total Packets Dropped : 0
DROP:
DHCP Relay not enabled : 0
Invalid DHCP message type : 0
Interface error : 0
Tx failure towards server : 0
Tx failure towards client : 0
Unknown output interface : 0
Unknown vrf or interface for server : 0
Max hops exceeded : 0
Option 82 validation failed : 0
Packet Malformed : 0
Relay Trusted port not configured : 0
DHCP Request dropped on MCT : 0
* - These counters will show correct value when switch
receives DHCP request packet with destination ip as broadcast
address. If request is unicast it will be HW switched
NEXUS-9000V-SW-1#
Dlaczego Microsoft? Windows Server Czy konfiguracja 2012 jest aż tak trudna?
W Microsofcie Windows Server Wersja 2012 nie jest jeszcze obsługiwana przez RFC#3527 (opcja 82, podopcja 5 (0x5) — Wybór łącza)
Jednak funkcjonalność zasad została już wdrożona.
Jak to działa:
- Microsoft Windows Server W 2012 r. powstał superpula (SuperScope), która zawiera adresy pętli zwrotnej i pule dla rzeczywistych sieci.
- Wybór puli do przydzielenia adresu IP należy do SuperScope, ponieważ odpowiedź nadeszła z DHCP Relay z adresem źródłowym Loopback zawartym w SuperScope.
- Korzystając z Polityki, żądanie wybiera z Superzakresu ten zakres członkowski, którego VNI jest zawarty w Opcji 82 Podopcja 1 Identyfikator obwodu agenta. („0108000600”+ 24 bity VNI + 24 bity, których wartości są mi nieznane, ale sniffer pokazuje w tym polu wartości 0.)
Jak Microsoft upraszcza konfigurację Windows Server 2016 / 2019?
W Microsofcie Windows Server Wprowadzono funkcjonalność RFC#3527 z 2016 r. To znaczy Windows Server 2016 może rozpoznać prawidłową sieć z atrybutu Opcja 82 Podopcja 5 (0x5) — Wybór łącza
Od razu pojawiają się trzy pytania:
- Czy możemy obejść się bez Superscope?
- Czy możemy obejść się bez Polityki i przekonwertować VNI na formę szesnastkową?
- Czy możemy obejść się bez zakresu adresów źródłowych DHCP Loopback?
Q. Czy możemy obejść się bez Superscope?
A. Tak, zakres można utworzyć od razu w obszarze adresów IPv4.
Q. Czy możemy obejść się bez Polityki i przekonwertować VNI na formę szesnastkową?
A. Tak, wybór sieci opiera się na opcji 82, podopcji 0x5,
Q. Czy możemy obejść się bez zakresu adresów źródłowych DHCP Loopback?
A. Nie, nie możemy. Ponieważ w Microsoft Windows Server Ochrona przed złośliwymi żądaniami DHCP obowiązuje od 2016/2019 roku. Oznacza to, że wszystkie żądania z adresów spoza puli serwera DHCP są uznawane za złośliwe.
Note
All relay agent IP addresses (GIADDR) must be part of an active DHCP scope IP address range. Any GIADDR outside of the DHCP scope IP address ranges is considered a rogue relay and Windows DHCP Server will not acknowledge DHCP client requests from those relay agents.
A special scope can be created to "authorize" relay agents. Create a scope with the GIADDR (or multiple if the GIADDR's are sequential IP addresses), exclude the GIADDR address(es) from distribution, and then activate the scope. This will authorize the relay agents while preventing the GIADDR addresses from being assigned.Te do skonfigurowania w systemie Microsoft Windows Server Pula DHCP 2016/2019 dla struktury VXLAN BGP EVPN wymaga wyłącznie:
- Utwórz pulę dla adresów Source Relay.
- Utwórz pulę dla sieci klienckich
Co nie jest konieczne (ale da się skonfigurować i będzie działać i nie będzie przeszkadzać w pracy):
- Utwórz politykę
- Utwórz SuperScope
PrzykładPrzykład konfiguracji serwera DHCP (istnieje 2 rzeczywistych klientów DHCP - klienci są podłączeni do sieci VXLAN)
Przykład konfiguracji puli użytkowników:
Przykład założenia puli użytkowników (wybierane są polityki - na dowód, że polityki nie zostały użyte do prawidłowego działania puli):
Przykład konfiguracji puli adresów Source DHCP Relay (zakres adresów do wystawienia w pełni odpowiada wykluczeniu z puli adresów):
Konfigurowanie usługi DHCP w systemie Microsoft Windows Server 2019
Konfigurowanie puli adresów Loopback (źródło) dla przekaźnika DHCP.
Tworzymy nową pulę (Scope) w przestrzeni IPv4.
Kreator tworzenia puli. „Dalej >”
Skonfiguruj nazwę i opis puli.
Ustaw zakres adresów IP dla Loopback i maskę puli.
Dodawanie wyjątków. Zakres wykluczenia musi dokładnie odpowiadać zakresowi puli.
Czas wynajmu. „Dalej >”
Zapytanie: Czy skonfigurujesz opcje DHCP teraz (DNS, WINS, Gateway, Domain), czy zrobisz to później. Szybciej byłoby odpowiedzieć „nie”, a następnie ręcznie aktywować pulę. Lub przejdź do końca bez wypełniania jakichkolwiek informacji i aktywuj pulę na końcu kreatora.
Potwierdzamy, że opcje nie są skonfigurowane, a pula nie jest aktywowana. "Skończyć"
Aktywujemy basen ręcznie. — Wybierz Zakres i w menu kontekstowym — wybierz „Aktywuj”.
Tworzymy pulę dla użytkowników/serwerów.
Tworzymy nowy basen.
Kreator tworzenia puli. „Dalej >”
Skonfiguruj nazwę i opis puli.
Ustaw zakres adresów IP dla Loopback i maskę puli.
Dodawanie wyjątków. (Domyślnie nie są wymagane żadne wyjątki) „Dalej >”
Czas wynajmu. „Dalej >”
Zapytanie: Czy skonfigurujesz opcje DHCP teraz (DNS, WINS, Gateway, Domain), czy zrobisz to później. Ustalmy to teraz.
Skonfiguruj adres bramy domyślnej.
Konfigurujemy adresy domeny i serwera DNS.
Konfiguracja adresów IP serwerów WINS.
Aktywacja zakresu.
Pula jest skonfigurowana. "Skończyć"
wniosek
Używać Windows Server Wersje 2016/2019 upraszczają konfigurację serwera DHCP dla struktury VXLAN (lub dowolnej innej struktury). (Nie ma potrzeby udostępniania specjalistom IT specjalnych identyfikatorów obwodów sieciowych/agentowych w celu konfiguracji filtrów).
Czy konfiguracja będzie działać dla Windows Server 2012 na nowych serwerach 2016/2019 – tak, będzie działać.
W dokumencie tym znajdują się odniesienia do 2 wersji: 7.X i 9.3. Wynika to z faktu, że wersja 7.0(3)I7(7) jest wersją sugerowaną przez Cisco, a wersja 9.3 jest najbardziej innowacyjną (nawet obsługującą Multicast poprzez VXLAN Multisite).
Lista źródeł
Źródło: www.habr.com
