Scopul acestui articol este de a simplifica configurarea serviciului DHCP pentru VXLAN BGP EVPN și DFA fabric folosind Microsoft Windows Server 2016/2019.
În documentația oficială, serviciul DHCP bazat pe Microsoft Windows Server 2012 pentru fabric este configurat ca un SuperScope care conține un pool Loopback (punctul culminant al acestui pool este excluderea tuturor adreselor IP ale pool-ului din pool (exclus adresa IP = pool)) și pool-uri pentru emiterea de adrese IP pentru rețele reale (aici este punctul culminant - politica este configurată - în care DHCP Relay Circuit ID este filtrat și acest releu DHCP Circuit ID conține VNI-ul pentru rețea, adică pentru un alt pool acest DHCP Relay ID-ul circuitului va fi ușor diferit).
To configure DHCP on Windows server.
1. Create a super scope. Within the super scope, create scope B, S1, S2, S3, …, Sn for the subnet B and the subnets for each segment.
2. In scope B, specify the 'Exclusion Range' to be the entire address range (so that the offered address range must not be from this scope).
3. For every segment scope Si, specify a policy that matches on Agent Circuit ID with value of '0108000600XXXXXX', where '0108000600' is a fixed value for all segments, the 6 numbers "XXXXXX" is the segment ID value in hexadecimal. Also ensure to check the Append wildcard(*) check box.
4. Set the policy address range to the entire range of the scope.Acest articol conține răspunsuri la următoarele întrebări:
Conținut
-
- ( & )
-
-
Introducere
Această parte enumeră pe scurt toate datele inițiale: instrucțiuni pentru configurarea echipamentelor de rețea, RFC-urile utilizate în pachetele DHCP din fabricile eVPN, evoluția setărilor serverului DHCP pe Microsoft Windows Server 2012 în documentația Cisco este furnizată pentru referință. Precum și informații scurte despre Superscope și Politică în serviciul DHCP pe serverele Microsoft Windows.
Cum se configurează DHCP Relay pe o fabrică VXLAN BGP EVPN, DFA
Configurarea DHCP Relay pe o țesătură VXLAN BGP EVPN nu este subiectul principal al acestui articol, deoarece este destul de simplu. Ofer linkuri către documentație și un spoiler despre setările echipamentelor de rețea.
Exemplu de configurare a releului DHCP pe Nexus 9000V v9.2(3)
service dhcp
ip dhcp relay
ip dhcp relay information option
ip dhcp relay information option vpn
interface loopback10
vrf member VRF1
ip address 10.120.0.1/32 tag 1234567
interface Vlan12
no shutdown
vrf member VRF1
no ip redirects
ip address 10.120.251.1/24 tag 1234567
no ipv6 redirects
fabric forwarding mode anycast-gateway
ip dhcp relay address 10.0.0.5
ip dhcp relay source-interface loopback10
RFC care sunt implementate în funcționarea serviciului DHCP Relay în fabricile VXLAN BGP EVPN
RFC#6607: Sub-opțiune 151(0x97) - Selectare subrețea virtuală
• Sub-option 151(0x97) - Virtual Subnet Selection (Defined in RFC#6607)
Used to convey VRF related information to the DHCP server in an MPLS-VPN and VXLAN EVPN multi-tenant environment.Se transmite „numele” VRF-ului în care se află clientul.
RFC#5107: Sub-opțiune 11(0xb) - Suprascriere ID server
• Sub-option 11(0xb) - Server ID Override (Defined in RFC#5107.)
The server identifier (server ID) override sub-option allows the DHCP relay agent to specify a new value for the server ID option, which is inserted by the DHCP server in the reply packet. This sub-option allows the DHCP relay agent to act as the actual DHCP server such that the renew requests will come to the relay agent rather than the DHCP server directly. The server ID override sub-option contains the incoming interface IP address, which is the IP address on the relay agent that is accessible from the client. Using this information, the DHCP client sends all renew and release request packets to the relay agent. The relay agent adds all of the appropriate sub-options and then forwards the renew and release request packets to the original DHCP server. For this function, Cisco’s proprietary implementation is sub-option 152(0x98). You can use the ip dhcp relay sub-option type cisco command to manage the function.Opțiunea este utilizată pentru a se asigura că clientul trimite o solicitare de reînnoire a adresei de închiriere la adresa IP utilizată în această opțiune. (Pe Cisco VXLAN BGP, EVPN este adresa Anycast implicită a gateway-ului clientului.)
RFC#3527: Sub-opțiune 5(0x5) - Selectare link
Sub-option 5(0x5) - Link Selection (Defined in RFC#3527.)
The link selection sub-option provides a mechanism to separate the subnet/link on which the DHCP client resides from the gateway address (giaddr), which can be used to communicate with the relay agent by the DHCP server. The relay agent will set the sub-option to the correct subscriber subnet and the DHCP server will use that value to assign an IP address rather than the giaddr value. The relay agent will set the giaddr to its own IP address so that DHCP messages are able to be forwarded over the network. For this function, Cisco’s proprietary implementation is sub-option 150(0x96). You can use the ip dhcp relay sub-option type ciscocommand to manage the function.Adresa rețelei de la care clientul are nevoie de o adresă IP.
Evoluția documentației Cisco privind configurarea DHCP pe Microsoft Windows Server 2012
Am inclus această secțiune deoarece există o tendință pozitivă din partea vânzătorului:
Documentația arată doar cum să configurați DHCP Relay pe echipamentele de rețea.
Un alt articol a fost folosit pentru a configura DHCP pe Windows Server 2012:
Acest articol indică faptul că fiecare rețea/VNI necesită propriul pachet SuperScope și propriul set de adrese Loopback:
If multiple DHCP Scopes are required for multiple subnets, you need to create one LoopbackX per subnet/vlan on all LEAFS and create a superscope with a loopbackX range scope and actual client IP subnet scope per vlan.
Au fost adăugate setări Windows 2012 Server la documentația pentru configurarea echipamentelor de rețea. Pentru toate grupurile de adrese utilizate, este necesar un SuperScope pentru fiecare centru de date, iar acest SuperScope este limita centrului de date:
Create Superscope for all scopes you want to use for Option 82-based policies.
Note
The Superscope should combine all scopes and act as the administrative boundary.
Totul este explicat foarte succint:
Let us assume the switch is using the address from subnet B (it can be the backbone subnet, management subnet, or any customer designated subnet for this purpose) to communicate with the Windows DHCP server. In DFA we have subnets S1, S2, S3, …, Sn for segment s1, s2, s3, …, sn.
To configure DHCP on Windows server.
1. Create a super scope. Within the super scope, create scope B, S1, S2, S3, …, Sn for the subnet B and the subnets for each segment.
2. In scope B, specify the 'Exclusion Range' to be the entire address range (so that the offered address range must not be from this scope).
3. For every segment scope Si, specify a policy that matches on Agent Circuit ID with value of '0108000600XXXXXX', where '0108000600' is a fixed value for all segments, the 6 numbers "XXXXXX" is the segment ID value in hexadecimal. Also ensure to check the Append wildcard(*) check box.
4. Set the policy address range to the entire range of the scope.
DHCP în Microsoft Windows Server (superscop și politică)
Superscope is an administrative feature of a DHCP server that can be used to group multiple scopes as a single administrative entity. Superscope allows a DHCP server to provide leases from more than one scope to clients on a single physical network. Scopes added to a superscope are called member scopes.
Ce este SuperScope - este o funcționalitate care vă permite să combinați mai multe grupuri de adrese IP într-o singură unitate administrativă. Pentru a face publicitate utilizatorilor din aceeași rețea fizică (în același VLAN) adrese IP din mai multe pool-uri. Dacă cererea a ajuns la un grup de adrese ca parte a unui SuperScope, atunci clientului i se poate oferi o adresă dintr-un alt Scop inclus în acest SuperScope.
The DHCP Server role in Windows Server 2012 introduces a new feature that allows you to create IPv4 policies that specify custom IP address and option assignments for DHCP clients based on a set of conditions.
The policy based assignment (PBA) feature allows you to group DHCP clients by specific attributes based on fields contained in the DHCP client request packet. PBA enables targeted administration and greater control of the configuration parameters delivered to network devices with DHCP.
Politici – vă permit să atribuiți adrese IP utilizatorilor în funcție de tipul de utilizator sau de parametru. Inginerii Cisco folosesc politici în Windows Server 2012 pentru a filtra după VNI (Virtual Network Identifier).
Corpul principal
Această secțiune conține rezultatele cercetării, de ce nu este susținută, cum funcționează (logica), ce este nou și cum ne va ajuta acest nou.
De ce nu este acceptat Microsoft Windows Server 2000/2003/2008?
Microsoft Windows Server 2008 și versiunile anterioare nu procesează opțiunea 82, iar pachetul de returnare este trimis fără opțiunea 82.
- Solicitarea de la client este trimisă la Broadcast (DHCP Discover).
- Echipamentul (Nexus) trimite un pachet către serverul DHCP (DHCP Discover + Opțiunea 82).
- Serverul DHCP primește pachetul, îl procesează, îl trimite înapoi, dar fără opțiunea 82. (Ofertă DHCP – fără opțiunea 82)
- Echipamentul (Nexus) primește un pachet de la serverul DHCP. (Ofertă DHCP) Dar nu trimite acest pachet utilizatorului final.
Date Sniffer - pe Windows Server 2008 și pe clientul DHCPWindows Server 2008 primește o solicitare de la echipamentele de rețea. (Opțiunea 82 este prezentă în listă)
Windows Server 2008 trimite răspunsul către echipamentul de rețea. (Opțiunea 82 nu este listată ca opțiune în pachet)
Solicitare de la client - DHCP Discover este prezentă și oferta DHCP lipsește
Statistici privind echipamentele de rețea:
NEXUS-9000V-SW-1# show ip dhcp relay statistics
----------------------------------------------------------------------
Message Type Rx Tx Drops
----------------------------------------------------------------------
Discover 8 8 0
Offer 8 8 0
Request(*) 0 0 0
Ack 0 0 0
Release(*) 0 0 0
Decline 0 0 0
Inform(*) 0 0 0
Nack 0 0 0
----------------------------------------------------------------------
Total 16 16 0
----------------------------------------------------------------------
DHCP L3 FWD:
Total Packets Received : 0
Total Packets Forwarded : 0
Total Packets Dropped : 0
Non DHCP:
Total Packets Received : 0
Total Packets Forwarded : 0
Total Packets Dropped : 0
DROP:
DHCP Relay not enabled : 0
Invalid DHCP message type : 0
Interface error : 0
Tx failure towards server : 0
Tx failure towards client : 0
Unknown output interface : 0
Unknown vrf or interface for server : 0
Max hops exceeded : 0
Option 82 validation failed : 0
Packet Malformed : 0
Relay Trusted port not configured : 0
DHCP Request dropped on MCT : 0
* - These counters will show correct value when switch
receives DHCP request packet with destination ip as broadcast
address. If request is unicast it will be HW switched
NEXUS-9000V-SW-1#
De ce este atât de dificilă configurarea în Microsoft Windows Server 2012?
Microsoft Windows Server 2012 nu acceptă încă RFC#3527 (Opțiunea 82 Sub-opțiunea 5(0x5) - Selectare link)
Dar funcționalitatea Politică a fost deja implementată.
Cum functioneaza:
- Microsoft Windows Server 2012 are un super pool (SuperScope) care are adrese Loopback și pool-uri pentru rețele reale.
- Selectarea pool-ului pentru emiterea unei adrese IP intră în SuperScope, deoarece răspunsul a venit de la DHCP Relay cu adresa Loopback Source inclusă în SuperScope.
- Folosind Policy, cererea selectează din Superscope acel membru al cărui VNI este conținut în Opțiunea 82 Subopțiunea 1 Agent Circuit ID. ("0108000600"+ 24 de biți VNI + 24 de biți ale căror valori îmi sunt necunoscute, dar sniffer-ul arată valori de 0 în acest câmp.)
Cum este simplificată configurarea în Microsoft Windows Server 2016/2019?
Microsoft Windows Server 2016 implementează funcționalitatea RFC#3527. Adică, Windows Server 2016 poate recunoaște rețeaua corectă din atributul Opțiunea 82 Subopțiunea 5(0x5) - Selecție legături
Trei întrebări apar imediat:
- Ne putem lipsi de Superscope?
- Ne putem lipsi de politică și putem converti VNI în formă hexazecimală?
- Ne putem lipsi de adresele sursei DHCP Scope for Loopback?
Q. Ne putem lipsi de Superscope?
A. Da, domeniul de aplicare poate fi creat imediat în zona adreselor IPv4.
Q. Ne putem lipsi de politică și putem converti VNI în formă hexazecimală?
A. Da, selecția rețelei se bazează pe Opțiunea 82 Subopțiunea 0x5,
Q. Ne putem lipsi de adresele sursei DHCP Scope for Loopback?
A. Nu, nu putem. Deoarece Microsoft Windows Server 2016/2019 are protecție împotriva solicitărilor DHCP rău intenționate. Adică, toate solicitările de la adrese care nu se află în pool-ul de servere DHCP sunt considerate rău intenționate.
Note
All relay agent IP addresses (GIADDR) must be part of an active DHCP scope IP address range. Any GIADDR outside of the DHCP scope IP address ranges is considered a rogue relay and Windows DHCP Server will not acknowledge DHCP client requests from those relay agents.
A special scope can be created to "authorize" relay agents. Create a scope with the GIADDR (or multiple if the GIADDR's are sequential IP addresses), exclude the GIADDR address(es) from distribution, and then activate the scope. This will authorize the relay agents while preventing the GIADDR addresses from being assigned.Acestea. Pentru a configura un pool DHCP pentru o fabrică VXLAN BGP EVPN pe Microsoft Windows Server 2016/2019, aveți nevoie doar de:
- Creați un pool pentru adresele Source Relay.
- Creați un pool pentru rețelele client
Ce nu este necesar (dar poate fi configurat și va funcționa și nu va interfera cu munca):
- Creați o politică
- Creați SuperScope
ExempluExemplu de configurare a unui server DHCP (există 2 clienți DHCP reali - clienții sunt conectați la structura VXLAN)
Exemplu de configurare a unui grup de utilizatori:
Un exemplu de configurare a unui pool de utilizatori (politicile sunt selectate - pentru a demonstra că politicile nu au fost utilizate pentru funcționarea corectă a pool-ului):
Un exemplu de configurare a unui pool pentru adrese de retransmisie DHCP sursă (intervalul de adrese pentru emitere corespunde pe deplin excluderii din grupul de adrese):
Configurarea unui serviciu DHCP pe Microsoft Windows Server 2019
Configurarea unui pool pentru adrese Loopback (sursă) pentru DHCP Relay.
Creăm un nou pool (Scope) în spațiul IPv4.
Asistent pentru crearea piscinei. "Următorul >"
Configurați numele și descrierea pool-ului.
Setați intervalul de adrese IP pentru Loopback și masca pentru pool.
Adăugarea de excepții. Intervalul de excludere trebuie să se potrivească exact cu intervalul pool-ului.
Timp de închiriere. "Următorul >"
Interogare: Veți configura opțiunile DHCP acum (DNS, WINS, Gateway, Domeniu) sau o veți face mai târziu. Ar fi mai rapid să răspunzi nu și apoi să activezi pool-ul manual. Sau mergeți până la sfârșit fără a completa nicio informație și activați pool-ul la sfârșitul vrăjitorului.
Confirmăm că opțiunile nu sunt configurate și pool-ul nu este activat. "Finalizarea"
Activăm piscina manual. — Selectați Domeniu și în meniul contextual — selectați „Activare”.
Creăm un pool pentru utilizatori/servere.
Creăm o nouă piscină.
Asistent pentru crearea piscinei. "Următorul >"
Configurați numele și descrierea pool-ului.
Setați intervalul de adrese IP pentru Loopback și masca pentru pool.
Adăugarea de excepții. (Nu sunt necesare excepții în mod implicit) „Următorul >”
Timp de închiriere. "Următorul >"
Interogare: Veți configura opțiunile DHCP acum (DNS, WINS, Gateway, Domeniu) sau o veți face mai târziu. Să-l setăm acum.
Configurați adresa de gateway implicită.
Configuram domeniul si adresele serverului DNS.
Configurarea adreselor IP ale serverelor WINS.
Activarea domeniului.
Piscina este configurată. "Finalizarea"
Concluzie
Utilizarea Windows Server 2016/2019 reduce complexitatea configurarii unui server DHCP pentru un fabric VXLAN (sau orice alt fabric). (Nu este necesar să transferați linkuri speciale către specialiști IT: ID-ul circuitului de rețea/agent pentru a înregistra filtre.)
Funcționează configurația pentru Windows Server 2012 pe serverele noi 2016/2019 - da, va funcționa.
Acest document conține referințe la 2 versiuni: 7.X și 9.3. Acest lucru se datorează faptului că versiunea 7.0(3)I7(7) este o versiune recomandată de Cisco, iar versiunea 9.3 este cea mai inovatoare (chiar și acceptă Multicast prin VXLAN Multisite).
Lista surselor
Sursa: www.habr.com