Účelom tohto článku je zjednodušiť konfiguráciu služby DHCP pre VXLAN BGP EVPN a DFA fabric pomocou Microsoft Windows Server 2016/2019.
V oficiálnej dokumentácii je služba DHCP založená na systéme Microsoft Windows Server 2012 pre štruktúru nakonfigurovaná ako SuperScope obsahujúca fond Loopback (vrcholom tohto fondu je vylúčenie všetkých IP adries fondu z fondu (vylúčená adresa IP = pool)) a oblasti na vydávanie adries IP pre skutočné siete (tu je zvýraznenie - politika je nakonfigurovaná - v ktorej je filtrované ID okruhu prenosu DHCP a toto ID okruhu prenosu DHCP obsahuje VNI pre sieť, t. j. pre inú oblasť toto relé DHCP ID okruhu sa bude mierne líšiť).
To configure DHCP on Windows server.
1. Create a super scope. Within the super scope, create scope B, S1, S2, S3, …, Sn for the subnet B and the subnets for each segment.
2. In scope B, specify the 'Exclusion Range' to be the entire address range (so that the offered address range must not be from this scope).
3. For every segment scope Si, specify a policy that matches on Agent Circuit ID with value of '0108000600XXXXXX', where '0108000600' is a fixed value for all segments, the 6 numbers "XXXXXX" is the segment ID value in hexadecimal. Also ensure to check the Append wildcard(*) check box.
4. Set the policy address range to the entire range of the scope.Tento článok obsahuje odpovede na nasledujúce otázky:
Obsah
-
- ( & )
-
-
Úvod
V tejto časti sú stručne uvedené všetky počiatočné údaje: Pokyny na konfiguráciu sieťového zariadenia, RFC používané v paketoch DHCP v továrňach eVPN, vývoj nastavení servera DHCP na Microsoft Windows Server 2012 v dokumentácii Cisco sú uvedené ako referencia. Rovnako ako stručné informácie o Superscope a politike v službe DHCP na serveroch Microsoft Windows.
Ako nakonfigurovať DHCP Relay na VXLAN BGP EVPN, DFA fabric
Konfigurácia DHCP Relay na tkanine VXLAN BGP EVPN nie je hlavnou témou tohto článku, pretože je celkom jednoduchá. Poskytujem odkazy na dokumentáciu a spojler o nastaveniach sieťových zariadení.
Príklad nastavenia DHCP Relay na Nexus 9000V v9.2(3)
service dhcp
ip dhcp relay
ip dhcp relay information option
ip dhcp relay information option vpn
interface loopback10
vrf member VRF1
ip address 10.120.0.1/32 tag 1234567
interface Vlan12
no shutdown
vrf member VRF1
no ip redirects
ip address 10.120.251.1/24 tag 1234567
no ipv6 redirects
fabric forwarding mode anycast-gateway
ip dhcp relay address 10.0.0.5
ip dhcp relay source-interface loopback10
RFC, ktoré sú implementované pri prevádzke služby DHCP Relay v štruktúrach VXLAN BGP EVPN
RFC#6607: Podmožnosť 151 (0x97) – Výber virtuálnej podsiete
• Sub-option 151(0x97) - Virtual Subnet Selection (Defined in RFC#6607)
Used to convey VRF related information to the DHCP server in an MPLS-VPN and VXLAN EVPN multi-tenant environment.Prenáša sa „názov“ VRF, v ktorom sa klient nachádza.
RFC#5107: Podmožnosť 11(0xb) – Prepísanie ID servera
• Sub-option 11(0xb) - Server ID Override (Defined in RFC#5107.)
The server identifier (server ID) override sub-option allows the DHCP relay agent to specify a new value for the server ID option, which is inserted by the DHCP server in the reply packet. This sub-option allows the DHCP relay agent to act as the actual DHCP server such that the renew requests will come to the relay agent rather than the DHCP server directly. The server ID override sub-option contains the incoming interface IP address, which is the IP address on the relay agent that is accessible from the client. Using this information, the DHCP client sends all renew and release request packets to the relay agent. The relay agent adds all of the appropriate sub-options and then forwards the renew and release request packets to the original DHCP server. For this function, Cisco’s proprietary implementation is sub-option 152(0x98). You can use the ip dhcp relay sub-option type cisco command to manage the function.Voľba sa používa na zabezpečenie toho, aby klient odoslal požiadavku na obnovenie prenájmu adresy na IP adresu použitú v tejto voľbe. (Na Cisco VXLAN BGP je EVPN predvolenou adresou brány klienta Anycast.)
RFC#3527: Podmožnosť 5 (0x5) – Výber odkazu
Sub-option 5(0x5) - Link Selection (Defined in RFC#3527.)
The link selection sub-option provides a mechanism to separate the subnet/link on which the DHCP client resides from the gateway address (giaddr), which can be used to communicate with the relay agent by the DHCP server. The relay agent will set the sub-option to the correct subscriber subnet and the DHCP server will use that value to assign an IP address rather than the giaddr value. The relay agent will set the giaddr to its own IP address so that DHCP messages are able to be forwarded over the network. For this function, Cisco’s proprietary implementation is sub-option 150(0x96). You can use the ip dhcp relay sub-option type ciscocommand to manage the function.Adresa siete, z ktorej klient potrebuje IP adresu.
Vývoj dokumentácie Cisco týkajúcej sa konfigurácie DHCP na Microsoft Windows Server 2012
Túto časť som zahrnul, pretože zo strany predajcu existuje pozitívny trend:
Dokumentácia iba ukazuje, ako nakonfigurovať DHCP Relay na sieťovom zariadení.
Ďalší článok bol použitý na konfiguráciu DHCP v systéme Windows Server 2012:
Tento článok uvádza, že každá sieť/VNI vyžaduje vlastný balík SuperScope a vlastnú sadu Loopback adries:
If multiple DHCP Scopes are required for multiple subnets, you need to create one LoopbackX per subnet/vlan on all LEAFS and create a superscope with a loopbackX range scope and actual client IP subnet scope per vlan.
Do dokumentácie pre nastavenie sieťového zariadenia boli pridané nastavenia Windows 2012 Server. Pre všetky používané oblasti adries sa vyžaduje jeden SuperScope na dátové centrum a tento SuperScope je hranicou dátového centra:
Create Superscope for all scopes you want to use for Option 82-based policies.
Note
The Superscope should combine all scopes and act as the administrative boundary.
Všetko je vysvetlené veľmi stručne:
Let us assume the switch is using the address from subnet B (it can be the backbone subnet, management subnet, or any customer designated subnet for this purpose) to communicate with the Windows DHCP server. In DFA we have subnets S1, S2, S3, …, Sn for segment s1, s2, s3, …, sn.
To configure DHCP on Windows server.
1. Create a super scope. Within the super scope, create scope B, S1, S2, S3, …, Sn for the subnet B and the subnets for each segment.
2. In scope B, specify the 'Exclusion Range' to be the entire address range (so that the offered address range must not be from this scope).
3. For every segment scope Si, specify a policy that matches on Agent Circuit ID with value of '0108000600XXXXXX', where '0108000600' is a fixed value for all segments, the 6 numbers "XXXXXX" is the segment ID value in hexadecimal. Also ensure to check the Append wildcard(*) check box.
4. Set the policy address range to the entire range of the scope.
DHCP v systéme Microsoft Windows Server (superscope & policy)
Superscope is an administrative feature of a DHCP server that can be used to group multiple scopes as a single administrative entity. Superscope allows a DHCP server to provide leases from more than one scope to clients on a single physical network. Scopes added to a superscope are called member scopes.
Čo je SuperScope - je to funkcionalita, ktorá vám umožňuje spojiť niekoľko skupín IP adries do jednej administratívnej jednotky. Inzerovať používateľom v rovnakej fyzickej sieti (v rovnakej sieti VLAN) IP adresy z niekoľkých oblastí. Ak požiadavka prišla do skupiny adries ako súčasť SuperScope, potom môže byť klientovi pridelená adresa z iného Rozsahu zahrnutého v tomto SuperScope.
The DHCP Server role in Windows Server 2012 introduces a new feature that allows you to create IPv4 policies that specify custom IP address and option assignments for DHCP clients based on a set of conditions.
The policy based assignment (PBA) feature allows you to group DHCP clients by specific attributes based on fields contained in the DHCP client request packet. PBA enables targeted administration and greater control of the configuration parameters delivered to network devices with DHCP.
Politiky – umožňujú prideľovať IP adresy používateľom v závislosti od typu používateľa alebo parametra. Inžinieri spoločnosti Cisco používajú zásady v systéme Windows Server 2012 na filtrovanie podľa VNI (Virtual Network Identifier).
Hlavná časť
Táto časť obsahuje výsledky výskumu, prečo nie je podporovaný, ako to funguje (logika), čo je nové a ako nám táto novinka pomôže.
Prečo nie je podporovaný systém Microsoft Windows Server 2000/2003/2008?
Microsoft Windows Server 2008 a staršie verzie nespracúvajú možnosť 82 a návratový paket sa odosiela bez možnosti 82.
- Požiadavka od klienta sa odošle do Broadcast (DHCP Discover).
- Zariadenie (Nexus) odošle paket na server DHCP (DHCP Discover + Option 82).
- DHCP server prijme paket, spracuje ho, odošle späť, ale bez možnosti 82. (Ponuka DHCP – bez možnosti 82)
- Zariadenie (Nexus) prijme paket zo servera DHCP. (Ponuka DHCP) Tento paket však neposiela koncovému používateľovi.
Sniffer dáta - na Windows Server 2008 a na klientovi DHCPWindows Server 2008 dostane požiadavku od sieťového zariadenia. (V zozname sa nachádza možnosť 82)
Windows Server 2008 odošle odpoveď sieťovému zariadeniu. (Možnosť 82 nie je uvedená ako možnosť v balíku)
Požiadavka od klienta - DHCP Discover je prítomný a DHCP ponuka chýba
Štatistika sieťových zariadení:
NEXUS-9000V-SW-1# show ip dhcp relay statistics
----------------------------------------------------------------------
Message Type Rx Tx Drops
----------------------------------------------------------------------
Discover 8 8 0
Offer 8 8 0
Request(*) 0 0 0
Ack 0 0 0
Release(*) 0 0 0
Decline 0 0 0
Inform(*) 0 0 0
Nack 0 0 0
----------------------------------------------------------------------
Total 16 16 0
----------------------------------------------------------------------
DHCP L3 FWD:
Total Packets Received : 0
Total Packets Forwarded : 0
Total Packets Dropped : 0
Non DHCP:
Total Packets Received : 0
Total Packets Forwarded : 0
Total Packets Dropped : 0
DROP:
DHCP Relay not enabled : 0
Invalid DHCP message type : 0
Interface error : 0
Tx failure towards server : 0
Tx failure towards client : 0
Unknown output interface : 0
Unknown vrf or interface for server : 0
Max hops exceeded : 0
Option 82 validation failed : 0
Packet Malformed : 0
Relay Trusted port not configured : 0
DHCP Request dropped on MCT : 0
* - These counters will show correct value when switch
receives DHCP request packet with destination ip as broadcast
address. If request is unicast it will be HW switched
NEXUS-9000V-SW-1#
Prečo je konfigurácia v systéme Microsoft Windows Server 2012 taká zložitá?
Microsoft Windows Server 2012 zatiaľ nepodporuje RFC#3527 (možnosť 82 podmožnosť 5(0x5) – výber odkazu)
Funkcionalita politiky však už bola implementovaná.
Ako to funguje:
- Microsoft Windows Server 2012 má super fond (SuperScope), ktorý má adresy Loopback a fondy pre skutočné siete.
- Výber oblasti na vydanie adresy IP spadá do SuperScope, pretože odpoveď prišla z DHCP Relay s adresou Loopback Source zahrnutou v SuperScope.
- Pomocou politiky žiadosť vyberie z Superscope rozsah člena, ktorého VNI je obsiahnutý vo voľbe 82 Subvoľba 1 Agent Circuit ID. („0108000600“+ 24 bitov VNI + 24 bitov, ktorých hodnoty sú mi neznáme, ale sniffer zobrazuje v tomto poli hodnoty 0.)
Ako je nastavenie zjednodušené v systéme Microsoft Windows Server 2016/2019?
Microsoft Windows Server 2016 implementuje funkciu RFC#3527. To znamená, že Windows Server 2016 dokáže rozpoznať správnu sieť z atribútu Option 82 Sub-option 5 (0x5) – Link Selection
Okamžite sa vynárajú tri otázky:
- Môžeme sa zaobísť bez superskopu?
- Môžeme sa zaobísť bez politiky a previesť VNI do hexadecimálnej podoby?
- Môžeme sa zaobísť bez Scope pre Loopback DHCP Source adresy?
Q. Môžeme sa zaobísť bez superskopu?
A. Áno, rozsah je možné vytvoriť okamžite v oblasti IPv4 adries.
Q. Môžeme sa zaobísť bez politiky a previesť VNI do hexadecimálnej podoby?
A. Áno, výber siete je založený na možnosti 82 podmožnosť 0x5,
Q. Môžeme sa zaobísť bez Scope pre Loopback DHCP Source adresy?
A. Nie nemozeme. Pretože Microsoft Windows Server 2016/2019 má ochranu pred škodlivými požiadavkami DHCP. To znamená, že všetky požiadavky z adries, ktoré nie sú v oblasti serverov DHCP, sa považujú za škodlivé.
Note
All relay agent IP addresses (GIADDR) must be part of an active DHCP scope IP address range. Any GIADDR outside of the DHCP scope IP address ranges is considered a rogue relay and Windows DHCP Server will not acknowledge DHCP client requests from those relay agents.
A special scope can be created to "authorize" relay agents. Create a scope with the GIADDR (or multiple if the GIADDR's are sequential IP addresses), exclude the GIADDR address(es) from distribution, and then activate the scope. This will authorize the relay agents while preventing the GIADDR addresses from being assigned.Tie. Ak chcete nakonfigurovať oblasť DHCP pre továreň VXLAN BGP EVPN v systéme Microsoft Windows Server 2016/2019, potrebujete iba:
- Vytvorte fond pre adresy zdrojového relé.
- Vytvorte fond pre klientske siete
Čo nie je potrebné (ale dá sa nakonfigurovať a bude to fungovať a nebude to prekážať pri práci):
- Vytvoriť politiku
- Vytvorte SuperScope
PríkladPríklad nastavenia DHCP servera (sú tam 2 skutoční DHCP klienti - klienti sú pripojení na VXLAN fabric)
Príklad nastavenia skupiny používateľov:
Príklad nastavenia skupiny používateľov (sú vybraté zásady - aby sa preukázalo, že politiky neboli použité na správne fungovanie oblasti):
Príklad konfigurácie oblasti pre adresy zdrojového DHCP Relay (rozsah adries na vydanie plne zodpovedá vylúčeniu z oblasti adries):
Nastavenie služby DHCP v systéme Microsoft Windows Server 2019
Konfigurácia oblasti pre adresy Loopback (zdroj) pre DHCP Relay.
Vytvárame nový fond (Scope) v priestore IPv4.
Sprievodca vytvorením bazéna. "Ďalej >"
Nakonfigurujte názov fondu a popis fondu.
Nastavte rozsah adries IP pre Loopback a masku pre oblasť.
Pridávanie výnimiek. Rozsah vylúčenia sa musí presne zhodovať s rozsahom bazéna.
Doba prenájmu. "Ďalej >"
Otázka: Nakonfigurujete možnosti DHCP teraz (DNS, WINS, brána, doména) alebo to urobíte neskôr. Bolo by rýchlejšie odpovedať nie a potom aktivovať bazén manuálne. Alebo prejdite na koniec bez vyplnenia akýchkoľvek informácií a aktivujte fond na konci sprievodcu.
Potvrdzujeme, že možnosti nie sú nakonfigurované a bazén nie je aktivovaný. "Skončiť"
Bazén aktivujeme manuálne. — Zvoľte Rozsah a v kontextovej ponuke — zvoľte „Aktivovať“.
Vytvárame fond pre používateľov/servery.
Vytvárame nový bazén.
Sprievodca vytvorením bazéna. "Ďalej >"
Nakonfigurujte názov fondu a popis fondu.
Nastavte rozsah adries IP pre Loopback a masku pre oblasť.
Pridávanie výnimiek. (V predvolenom nastavení sa nevyžadujú žiadne výnimky) "Ďalej >"
Doba prenájmu. "Ďalej >"
Otázka: Nakonfigurujete možnosti DHCP teraz (DNS, WINS, brána, doména) alebo to urobíte neskôr. Poďme to teraz nastaviť.
Nakonfigurujte predvolenú adresu brány.
Nakonfigurujeme adresu domény a DNS servera.
Konfigurácia IP adries serverov WINS.
Aktivácia rozsahu.
Bazén je nakonfigurovaný. "Skončiť"
Záver
Používanie systému Windows Server 2016/2019 znižuje zložitosť nastavenia servera DHCP pre sieť VXLAN (alebo akúkoľvek inú sieť). (Na registráciu filtrov nie je potrebné prenášať špeciálne odkazy na IT špecialistov: Network/Agent Circuit ID.)
Bude konfigurácia pre Windows Server 2012 fungovať na nových serveroch 2016/2019 - áno, bude fungovať.
Tento dokument obsahuje odkazy na 2 verzie: 7.X a 9.3. Dôvodom je skutočnosť, že verzia 7.0(3)I7(7) je vydanie odporúčané spoločnosťou Cisco a verzia 9.3 je najinovatívnejšia (dokonca podporuje Multicast cez VXLAN Multisite).
Zoznam zdrojov
Zdroj: hab.com