O objetivo deste artigo é simplificar a configuração do serviço DHCP para VXLAN BGP EVPN e malha DFA usando o Microsoft Windows Server 2016/2019.
Na documentação oficial, o serviço DHCP baseado em Microsoft Windows Server 2012 para a malha é configurado como um SuperScope contendo um pool Loopback (o destaque deste pool é a exclusão de todos os endereços IP do pool do pool (endereço IP excluído = pool)) e pools para emissão de endereços IP para redes reais (aqui está o destaque - a política está configurada - em que o DHCP Relay Circuit ID é filtrado e este DHCP Relay Circuit ID contém o VNI da rede, ou seja, para outro pool este DHCP Relay O ID do circuito será ligeiramente diferente).
To configure DHCP on Windows server.
1. Create a super scope. Within the super scope, create scope B, S1, S2, S3, …, Sn for the subnet B and the subnets for each segment.
2. In scope B, specify the 'Exclusion Range' to be the entire address range (so that the offered address range must not be from this scope).
3. For every segment scope Si, specify a policy that matches on Agent Circuit ID with value of '0108000600XXXXXX', where '0108000600' is a fixed value for all segments, the 6 numbers "XXXXXX" is the segment ID value in hexadecimal. Also ensure to check the Append wildcard(*) check box.
4. Set the policy address range to the entire range of the scope.Este artigo contém respostas para as seguintes perguntas:
Conteúdo
-
- ( & )
-
-
Introdução
Esta parte lista brevemente todos os dados iniciais: Instruções para configuração de equipamentos de rede, RFCs usados em pacotes DHCP em fábricas eVPN, a evolução das configurações do servidor DHCP no Microsoft Windows Server 2012 na documentação da Cisco é fornecida para referência. Bem como breves informações sobre Superescopo e Política no serviço DHCP em servidores Microsoft Windows.
Como configurar o relé DHCP em uma malha VXLAN BGP EVPN, DFA
Configurar o DHCP Relay em uma malha VXLAN BGP EVPN não é o tópico principal deste artigo, pois é bastante simples. Forneço links para documentação e um spoiler sobre configurações em equipamentos de rede.
Exemplo de configuração do relé DHCP no Nexus 9000V v9.2(3)
service dhcp
ip dhcp relay
ip dhcp relay information option
ip dhcp relay information option vpn
interface loopback10
vrf member VRF1
ip address 10.120.0.1/32 tag 1234567
interface Vlan12
no shutdown
vrf member VRF1
no ip redirects
ip address 10.120.251.1/24 tag 1234567
no ipv6 redirects
fabric forwarding mode anycast-gateway
ip dhcp relay address 10.0.0.5
ip dhcp relay source-interface loopback10
RFCs que são implementadas na operação do serviço DHCP Relay em malhas VXLAN BGP EVPN
RFC#6607: Subopção 151(0x97) - Seleção de sub-rede virtual
• Sub-option 151(0x97) - Virtual Subnet Selection (Defined in RFC#6607)
Used to convey VRF related information to the DHCP server in an MPLS-VPN and VXLAN EVPN multi-tenant environment.É transmitido o “nome” do VRF onde o cliente está localizado.
RFC#5107: Subopção 11(0xb) - Substituição de ID do servidor
• Sub-option 11(0xb) - Server ID Override (Defined in RFC#5107.)
The server identifier (server ID) override sub-option allows the DHCP relay agent to specify a new value for the server ID option, which is inserted by the DHCP server in the reply packet. This sub-option allows the DHCP relay agent to act as the actual DHCP server such that the renew requests will come to the relay agent rather than the DHCP server directly. The server ID override sub-option contains the incoming interface IP address, which is the IP address on the relay agent that is accessible from the client. Using this information, the DHCP client sends all renew and release request packets to the relay agent. The relay agent adds all of the appropriate sub-options and then forwards the renew and release request packets to the original DHCP server. For this function, Cisco’s proprietary implementation is sub-option 152(0x98). You can use the ip dhcp relay sub-option type cisco command to manage the function.A opção é usada para garantir que o cliente envie uma solicitação de renovação da concessão de endereço para o endereço IP usado nesta opção. (No Cisco VXLAN BGP, EVPN é o endereço Anycast do gateway padrão do cliente.)
RFC#3527: Subopção 5(0x5) - Seleção de Link
Sub-option 5(0x5) - Link Selection (Defined in RFC#3527.)
The link selection sub-option provides a mechanism to separate the subnet/link on which the DHCP client resides from the gateway address (giaddr), which can be used to communicate with the relay agent by the DHCP server. The relay agent will set the sub-option to the correct subscriber subnet and the DHCP server will use that value to assign an IP address rather than the giaddr value. The relay agent will set the giaddr to its own IP address so that DHCP messages are able to be forwarded over the network. For this function, Cisco’s proprietary implementation is sub-option 150(0x96). You can use the ip dhcp relay sub-option type ciscocommand to manage the function.Endereço da rede da qual o cliente precisa de um endereço IP.
Evolução da documentação da Cisco sobre configuração de DHCP no Microsoft Windows Server 2012
Incluí esta seção porque há uma tendência positiva por parte do fornecedor:
A documentação mostra apenas como configurar o DHCP Relay em equipamentos de rede.
Outro artigo foi usado para configurar o DHCP no Windows Server 2012:
Este artigo indica que cada rede/VNI requer seu próprio pacote SuperScope e seu próprio conjunto de endereços de Loopback:
If multiple DHCP Scopes are required for multiple subnets, you need to create one LoopbackX per subnet/vlan on all LEAFS and create a superscope with a loopbackX range scope and actual client IP subnet scope per vlan.
Adicionadas configurações do Windows 2012 Server à documentação para configuração de equipamentos de rede. Para todos os conjuntos de endereços usados, é necessário um SuperScope por data center e este SuperScope é o limite do data center:
Create Superscope for all scopes you want to use for Option 82-based policies.
Note
The Superscope should combine all scopes and act as the administrative boundary.
Tudo é explicado de forma muito sucinta:
Let us assume the switch is using the address from subnet B (it can be the backbone subnet, management subnet, or any customer designated subnet for this purpose) to communicate with the Windows DHCP server. In DFA we have subnets S1, S2, S3, …, Sn for segment s1, s2, s3, …, sn.
To configure DHCP on Windows server.
1. Create a super scope. Within the super scope, create scope B, S1, S2, S3, …, Sn for the subnet B and the subnets for each segment.
2. In scope B, specify the 'Exclusion Range' to be the entire address range (so that the offered address range must not be from this scope).
3. For every segment scope Si, specify a policy that matches on Agent Circuit ID with value of '0108000600XXXXXX', where '0108000600' is a fixed value for all segments, the 6 numbers "XXXXXX" is the segment ID value in hexadecimal. Also ensure to check the Append wildcard(*) check box.
4. Set the policy address range to the entire range of the scope.
DHCP no Microsoft Windows Server (superescopo e política)
Superscope is an administrative feature of a DHCP server that can be used to group multiple scopes as a single administrative entity. Superscope allows a DHCP server to provide leases from more than one scope to clients on a single physical network. Scopes added to a superscope are called member scopes.
O que é SuperScope é uma funcionalidade que permite combinar vários conjuntos de endereços IP em uma unidade administrativa. Para anunciar aos usuários na mesma rede física (na mesma VLAN) endereços IP de vários pools. Se a solicitação chegar a um conjunto de endereços como parte de um SuperScope, o cliente poderá receber um endereço de outro Escopo incluído neste SuperScope.
The DHCP Server role in Windows Server 2012 introduces a new feature that allows you to create IPv4 policies that specify custom IP address and option assignments for DHCP clients based on a set of conditions.
The policy based assignment (PBA) feature allows you to group DHCP clients by specific attributes based on fields contained in the DHCP client request packet. PBA enables targeted administration and greater control of the configuration parameters delivered to network devices with DHCP.
Políticas – permitem atribuir endereços IP aos usuários dependendo do tipo de usuário ou parâmetro. Os engenheiros da Cisco usam políticas no Windows Server 2012 para filtrar por VNI (Virtual Network Identifier).
Parte principal
Esta seção contém os resultados da pesquisa, por que não é apoiada, como funciona (lógica), o que há de novo e como essa novidade nos ajudará.
Por que o Microsoft Windows Server 2000/2003/2008 não é compatível?
O Microsoft Windows Server 2008 e versões anteriores não processam a opção 82 e o pacote de retorno é enviado sem a opção 82.
- A solicitação do cliente é enviada para Broadcast (DHCP Discover).
- O equipamento (Nexus) envia o pacote para o servidor DHCP (DHCP Discover + Opção 82).
- O Servidor DHCP recebe o pacote, processa-o, envia-o de volta, mas sem a opção 82. (Oferta DHCP – sem opção 82)
- O equipamento (Nexus) recebe um pacote do servidor DHCP. (Oferta DHCP) Mas não envia este pacote ao usuário final.
Dados do sniffer - no Windows Server 2008 e no cliente DHCPO Windows Server 2008 recebe uma solicitação de equipamento de rede. (A opção 82 está presente na lista)
O Windows Server 2008 envia a resposta ao equipamento de rede. (A opção 82 não está listada como opção no pacote)
Solicitação do cliente - DHCP Discover está presente e DHCP Offer está ausente
Estatísticas sobre equipamentos de rede:
NEXUS-9000V-SW-1# show ip dhcp relay statistics
----------------------------------------------------------------------
Message Type Rx Tx Drops
----------------------------------------------------------------------
Discover 8 8 0
Offer 8 8 0
Request(*) 0 0 0
Ack 0 0 0
Release(*) 0 0 0
Decline 0 0 0
Inform(*) 0 0 0
Nack 0 0 0
----------------------------------------------------------------------
Total 16 16 0
----------------------------------------------------------------------
DHCP L3 FWD:
Total Packets Received : 0
Total Packets Forwarded : 0
Total Packets Dropped : 0
Non DHCP:
Total Packets Received : 0
Total Packets Forwarded : 0
Total Packets Dropped : 0
DROP:
DHCP Relay not enabled : 0
Invalid DHCP message type : 0
Interface error : 0
Tx failure towards server : 0
Tx failure towards client : 0
Unknown output interface : 0
Unknown vrf or interface for server : 0
Max hops exceeded : 0
Option 82 validation failed : 0
Packet Malformed : 0
Relay Trusted port not configured : 0
DHCP Request dropped on MCT : 0
* - These counters will show correct value when switch
receives DHCP request packet with destination ip as broadcast
address. If request is unicast it will be HW switched
NEXUS-9000V-SW-1#
Por que a configuração é tão complexa no Microsoft Windows Server 2012?
O Microsoft Windows Server 2012 ainda não oferece suporte a RFC#3527 (opção 82, subopção 5(0x5) - seleção de link)
Mas a funcionalidade Política já foi implementada.
Como funciona:
- O Microsoft Windows Server 2012 possui um super pool (SuperScope) que possui endereços de Loopback e pools para redes reais.
- A seleção do pool para emissão de endereço IP recai no SuperScope, pois a resposta veio do DHCP Relay com o endereço Loopback Source incluído no SuperScope.
- Usando a Política, a solicitação seleciona no Superescopo aquele escopo de membro cujo VNI está contido na Opção 82, Subopção 1, ID do Circuito do Agente. (“0108000600”+ 24 bits VNI + 24 bits cujos valores são desconhecidos para mim, mas o sniffer mostra valores de 0 neste campo.)
Como a configuração é simplificada no Microsoft Windows Server 2016/2019?
O Microsoft Windows Server 2016 implementa a funcionalidade RFC#3527. Ou seja, o Windows Server 2016 pode reconhecer a rede correta da Opção 82 Subopção 5(0x5) - atributo Link Selection
Surgem imediatamente três questões:
- Podemos viver sem o Superscope?
- Podemos prescindir da Política e converter o VNI para o formato hexadecimal?
- Podemos prescindir do escopo para endereços de origem DHCP de loopback?
Q. Podemos viver sem o Superscope?
A. Sim, o escopo pode ser criado imediatamente na área de endereços IPv4.
Q. Podemos prescindir da Política e converter o VNI para o formato hexadecimal?
A. Sim, a seleção da rede é baseada na Opção 82, Subopção 0x5,
Q. Podemos prescindir do escopo para endereços de origem DHCP de loopback?
A. Não nós não podemos. Porque o Microsoft Windows Server 2016/2019 tem proteção contra solicitações DHCP maliciosas. Ou seja, todas as solicitações de endereços que não estão no pool de servidores DHCP são consideradas maliciosas.
Note
All relay agent IP addresses (GIADDR) must be part of an active DHCP scope IP address range. Any GIADDR outside of the DHCP scope IP address ranges is considered a rogue relay and Windows DHCP Server will not acknowledge DHCP client requests from those relay agents.
A special scope can be created to "authorize" relay agents. Create a scope with the GIADDR (or multiple if the GIADDR's are sequential IP addresses), exclude the GIADDR address(es) from distribution, and then activate the scope. This will authorize the relay agents while preventing the GIADDR addresses from being assigned.Aqueles. Para configurar um pool DHCP para uma fábrica VXLAN BGP EVPN no Microsoft Windows Server 2016/2019, você só precisa:
- Crie um pool para endereços de Source Relay.
- Crie um pool para redes de clientes
O que não é necessário (mas pode ser configurado e funcionará e não interferirá no trabalho):
- Criar política
- Criar SuperScope
ExemploExemplo de configuração de um servidor DHCP (existem 2 clientes DHCP reais - os clientes estão conectados à estrutura VXLAN)
Exemplo de configuração de um grupo de usuários:
Um exemplo de configuração de um pool de usuários (as políticas são selecionadas - para provar que as políticas não foram utilizadas para o correto funcionamento do pool):
Um exemplo de configuração de um pool para endereços de retransmissão DHCP de origem (o intervalo de endereços para emissão corresponde totalmente à exclusão do pool de endereços):
Configurando um serviço DHCP no Microsoft Windows Server 2019
Configurando um pool para endereços de Loopback (fonte) para DHCP Relay.
Criamos um novo pool (Scope) no espaço IPv4.
Assistente de criação de pool. "Próximo>"
Configure o nome e a descrição do pool.
Defina o intervalo de endereços IP para Loopback e a máscara para o pool.
Adicionando exceções. O intervalo de exclusão deve corresponder exatamente ao intervalo do pool.
Tempo de aluguel. "Próximo>"
Consulta: Você configurará as opções de DHCP agora (DNS, WINS, Gateway, Domínio) ou fará isso mais tarde. Seria mais rápido responder não e ativar o pool manualmente. Ou vá até o final sem preencher nenhuma informação e ative o pool no final do assistente.
Confirmamos que as opções não estão configuradas e o pool não está ativado. "Terminar"
Ativamos o pool manualmente. — Selecione Escopo e no menu de contexto — selecione “Ativar”.
Criamos um pool para usuários/servidores.
Criamos um novo pool.
Assistente de criação de pool. "Próximo>"
Configure o nome e a descrição do pool.
Defina o intervalo de endereços IP para Loopback e a máscara para o pool.
Adicionando exceções. (Sem exceções exigidas por padrão) "Próximo >"
Tempo de aluguel. "Próximo>"
Consulta: Você configurará as opções de DHCP agora (DNS, WINS, Gateway, Domínio) ou fará isso mais tarde. Vamos configurar agora.
Configure o endereço do gateway padrão.
Configuramos os endereços do domínio e do servidor DNS.
Configurando endereços IP de servidores WINS.
Ativação de escopo.
O conjunto está configurado. "Terminar"
Conclusão
Usar o Windows Server 2016/2019 reduz a complexidade de configuração de um servidor DHCP para uma malha VXLAN (ou qualquer outra malha). (Não é necessário transferir links especiais para especialistas de TI: ID do circuito da rede/agente para registrar filtros.)
A configuração do Windows Server 2012 funcionará nos novos servidores 2016/2019 - sim, funcionará.
Este documento contém referências a 2 versões: 7.X e 9.3. Isso se deve ao fato de que a versão 7.0(3)I7(7) é uma versão sugerida pela Cisco e a versão 9.3 é a mais inovadora (até mesmo suportando Multicast via VXLAN Multisite).
Lista de fontes
Fonte: habr.com