Bu makalenin amacı, Microsoft Windows Server 2016/2019 kullanarak VXLAN BGP EVPN ve DFA yapısı için DHCP hizmetinin yapılandırmasını basitleştirmektir.
Resmi belgelerde, doku için Microsoft Windows Server 2012 tabanlı DHCP hizmeti, bir Geri Döngü havuzu içeren bir SuperScope olarak yapılandırılmıştır (bu havuzun öne çıkan özelliği, havuzun tüm IP adreslerinin havuzdan hariç tutulmasıdır (hariç tutulan IP adresi = havuz)) ve gerçek ağlar için IP adresleri vermeye yönelik havuzlar (burada vurgulanan nokta - politika yapılandırılmıştır - burada DHCP Röle Devre Kimliğinin filtrelendiği ve bu DHCP röle Devre Kimliğinin ağ için VNI'yi içerdiği, yani başka bir havuz için bu DHCP Röle Devre Kimliği biraz farklı olacaktır).
To configure DHCP on Windows server.
1. Create a super scope. Within the super scope, create scope B, S1, S2, S3, …, Sn for the subnet B and the subnets for each segment.
2. In scope B, specify the 'Exclusion Range' to be the entire address range (so that the offered address range must not be from this scope).
3. For every segment scope Si, specify a policy that matches on Agent Circuit ID with value of '0108000600XXXXXX', where '0108000600' is a fixed value for all segments, the 6 numbers "XXXXXX" is the segment ID value in hexadecimal. Also ensure to check the Append wildcard(*) check box.
4. Set the policy address range to the entire range of the scope.Bu makale aşağıdaki soruların yanıtlarını içermektedir:
Içerik
-
- ( & )
-
-
Giriş
Bu bölüm tüm başlangıç verilerini kısaca listeler: Ağ ekipmanını yapılandırma talimatları, eVPN fabrikalarındaki DHCP paketlerinde kullanılan RFC'ler, Microsoft Windows Server 2012'deki DHCP sunucu ayarlarının gelişimi Cisco belgelerinde referans olarak verilmiştir. Ayrıca Microsoft Windows Sunucularındaki DHCP hizmetinde Superscope ve Policy hakkında kısa bilgiler yer almaktadır.
VXLAN BGP EVPN, DFA yapısında DHCP Aktarıcısı nasıl yapılandırılır
Bir VXLAN BGP EVPN yapısında DHCP Aktarıcısını yapılandırmak oldukça basit olduğundan bu makalenin ana konusu değil. Ağ ekipmanı ayarlarıyla ilgili belgelere bağlantılar ve spoiler veriyorum.
Nexus 9000V v9.2(3)'te DHCP Aktarıcısını kurma örneği
service dhcp
ip dhcp relay
ip dhcp relay information option
ip dhcp relay information option vpn
interface loopback10
vrf member VRF1
ip address 10.120.0.1/32 tag 1234567
interface Vlan12
no shutdown
vrf member VRF1
no ip redirects
ip address 10.120.251.1/24 tag 1234567
no ipv6 redirects
fabric forwarding mode anycast-gateway
ip dhcp relay address 10.0.0.5
ip dhcp relay source-interface loopback10
VXLAN BGP EVPN yapılarında DHCP Aktarma hizmetinin çalışmasında uygulanan RFC'ler
RFC#6607: Alt seçenek 151(0x97) - Sanal Alt Ağ Seçimi
• Sub-option 151(0x97) - Virtual Subnet Selection (Defined in RFC#6607)
Used to convey VRF related information to the DHCP server in an MPLS-VPN and VXLAN EVPN multi-tenant environment.İstemcinin bulunduğu VRF'nin "adı" iletilir.
RFC#5107: Alt seçenek 11(0xb) - Sunucu Kimliğini Geçersiz Kılma
• Sub-option 11(0xb) - Server ID Override (Defined in RFC#5107.)
The server identifier (server ID) override sub-option allows the DHCP relay agent to specify a new value for the server ID option, which is inserted by the DHCP server in the reply packet. This sub-option allows the DHCP relay agent to act as the actual DHCP server such that the renew requests will come to the relay agent rather than the DHCP server directly. The server ID override sub-option contains the incoming interface IP address, which is the IP address on the relay agent that is accessible from the client. Using this information, the DHCP client sends all renew and release request packets to the relay agent. The relay agent adds all of the appropriate sub-options and then forwards the renew and release request packets to the original DHCP server. For this function, Cisco’s proprietary implementation is sub-option 152(0x98). You can use the ip dhcp relay sub-option type cisco command to manage the function.Bu seçenek, istemcinin bu seçenekte kullanılan IP adresine adres kiralamasının yenilenmesi için bir istek göndermesini sağlamak için kullanılır. (Cisco VXLAN BGP'de EVPN, istemcinin varsayılan ağ geçidi Anycast adresidir.)
RFC#3527: Alt seçenek 5(0x5) - Bağlantı Seçimi
Sub-option 5(0x5) - Link Selection (Defined in RFC#3527.)
The link selection sub-option provides a mechanism to separate the subnet/link on which the DHCP client resides from the gateway address (giaddr), which can be used to communicate with the relay agent by the DHCP server. The relay agent will set the sub-option to the correct subscriber subnet and the DHCP server will use that value to assign an IP address rather than the giaddr value. The relay agent will set the giaddr to its own IP address so that DHCP messages are able to be forwarded over the network. For this function, Cisco’s proprietary implementation is sub-option 150(0x96). You can use the ip dhcp relay sub-option type ciscocommand to manage the function.İstemcinin IP adresine ihtiyaç duyduğu ağın adresi.
Microsoft Windows Server 2012'de DHCP'nin yapılandırılmasına ilişkin Cisco belgelerinin gelişimi
Satıcı tarafında olumlu bir eğilim olduğu için bu bölümü ekledim:
Belgeler yalnızca ağ ekipmanında DHCP Rölesinin nasıl yapılandırılacağını gösterir.
Windows Server 2012'de DHCP'yi yapılandırmak için başka bir makale kullanıldı:
Bu makale, her ağın/VNI'nın kendi SuperScope paketine ve kendi Loopback adresleri kümesine ihtiyaç duyduğunu belirtir:
If multiple DHCP Scopes are required for multiple subnets, you need to create one LoopbackX per subnet/vlan on all LEAFS and create a superscope with a loopbackX range scope and actual client IP subnet scope per vlan.
Ağ ekipmanı kurulumuna ilişkin belgelere Windows 2012 Sunucu ayarları eklendi. Kullanılan tüm adres havuzları için veri merkezi başına bir SuperScope gereklidir ve bu SuperScope, veri merkezinin sınırıdır:
Create Superscope for all scopes you want to use for Option 82-based policies.
Note
The Superscope should combine all scopes and act as the administrative boundary.
Her şey çok kısa ve öz bir şekilde anlatılıyor:
Let us assume the switch is using the address from subnet B (it can be the backbone subnet, management subnet, or any customer designated subnet for this purpose) to communicate with the Windows DHCP server. In DFA we have subnets S1, S2, S3, …, Sn for segment s1, s2, s3, …, sn.
To configure DHCP on Windows server.
1. Create a super scope. Within the super scope, create scope B, S1, S2, S3, …, Sn for the subnet B and the subnets for each segment.
2. In scope B, specify the 'Exclusion Range' to be the entire address range (so that the offered address range must not be from this scope).
3. For every segment scope Si, specify a policy that matches on Agent Circuit ID with value of '0108000600XXXXXX', where '0108000600' is a fixed value for all segments, the 6 numbers "XXXXXX" is the segment ID value in hexadecimal. Also ensure to check the Append wildcard(*) check box.
4. Set the policy address range to the entire range of the scope.
Microsoft Windows Server'da DHCP (üst kapsam ve politika)
Superscope is an administrative feature of a DHCP server that can be used to group multiple scopes as a single administrative entity. Superscope allows a DHCP server to provide leases from more than one scope to clients on a single physical network. Scopes added to a superscope are called member scopes.
SuperScope nedir - birden fazla IP adresi havuzunu tek bir yönetim biriminde birleştirmenize olanak tanıyan bir işlevselliktir. Aynı fiziksel ağdaki (aynı VLAN'daki) kullanıcılara çeşitli havuzlardan IP adreslerinin reklamını yapmak. Talep bir SuperScope kapsamındaki bir adres havuzuna gelmişse, müşteriye bu SuperScope'a dahil olan başka bir Kapsamdan bir adres verilebilir.
The DHCP Server role in Windows Server 2012 introduces a new feature that allows you to create IPv4 policies that specify custom IP address and option assignments for DHCP clients based on a set of conditions.
The policy based assignment (PBA) feature allows you to group DHCP clients by specific attributes based on fields contained in the DHCP client request packet. PBA enables targeted administration and greater control of the configuration parameters delivered to network devices with DHCP.
Politikalar – kullanıcı veya parametre türüne bağlı olarak kullanıcılara IP adresleri atamanıza olanak tanır. Cisco mühendisleri, VNI'ye (Sanal Ağ Tanımlayıcısı) göre filtrelemek için Windows Server 2012'deki politikaları kullanır.
Ana
Bu bölümde araştırmanın sonuçları, neden desteklenmediği, nasıl çalıştığı (mantık), neyin yeni olduğu ve bu yeninin bize nasıl yardımcı olacağı yer almaktadır.
Microsoft Windows Server 2000/2003/2008 neden desteklenmiyor?
Microsoft Windows Server 2008 ve önceki sürümleri, seçenek 82'yi işlemez ve dönüş paketi, seçenek 82 olmadan gönderilir.
- İstemciden gelen istek Broadcast'e (DHCP Discover) gönderilir.
- Ekipman (Nexus) paketi DHCP sunucusuna (DHCP Discover + Option 82) gönderir.
- DHCP Sunucusu paketi alır, işler, geri gönderir, ancak seçenek 82 olmadan. (DHCP Teklifi – seçenek 82 olmadan)
- Ekipman (Nexus) DHCP sunucusundan bir paket alır. (DHCP Teklifi) Ancak bu paketi son kullanıcıya göndermez.
Algılayıcı verileri - Windows Server 2008'de ve DHCP istemcisindeWindows Server 2008, ağ ekipmanından bir istek alır. (Listede Seçenek 82 mevcut)
Windows Server 2008 yanıtı ağ ekipmanına gönderir. (Seçenek 82 pakette bir seçenek olarak listelenmemiştir)
İstemciden gelen istek - DHCP Keşfi mevcut ve DHCP Teklifi eksik
Ağ ekipmanına ilişkin istatistikler:
NEXUS-9000V-SW-1# show ip dhcp relay statistics
----------------------------------------------------------------------
Message Type Rx Tx Drops
----------------------------------------------------------------------
Discover 8 8 0
Offer 8 8 0
Request(*) 0 0 0
Ack 0 0 0
Release(*) 0 0 0
Decline 0 0 0
Inform(*) 0 0 0
Nack 0 0 0
----------------------------------------------------------------------
Total 16 16 0
----------------------------------------------------------------------
DHCP L3 FWD:
Total Packets Received : 0
Total Packets Forwarded : 0
Total Packets Dropped : 0
Non DHCP:
Total Packets Received : 0
Total Packets Forwarded : 0
Total Packets Dropped : 0
DROP:
DHCP Relay not enabled : 0
Invalid DHCP message type : 0
Interface error : 0
Tx failure towards server : 0
Tx failure towards client : 0
Unknown output interface : 0
Unknown vrf or interface for server : 0
Max hops exceeded : 0
Option 82 validation failed : 0
Packet Malformed : 0
Relay Trusted port not configured : 0
DHCP Request dropped on MCT : 0
* - These counters will show correct value when switch
receives DHCP request packet with destination ip as broadcast
address. If request is unicast it will be HW switched
NEXUS-9000V-SW-1#
Microsoft Windows Server 2012'de yapılandırma neden bu kadar karmaşık?
Microsoft Windows Server 2012 henüz RFC#3527'yi desteklemiyor (Seçenek 82 Alt Seçenek 5(0x5) - Bağlantı Seçimi)
Ancak Politika işlevi zaten uygulanmıştır.
Nasıl çalışır:
- Microsoft Windows Server 2012, gerçek ağlar için Geri Döngü adreslerine ve havuzlara sahip bir süper havuza (SuperScope) sahiptir.
- Yanıt, SuperScope'a dahil olan Geri Döngü Kaynağı adresiyle DHCP Rölesinden geldiğinden, bir IP adresi vermek için havuzun seçimi SuperScope'a girer.
- İstek, İlkeyi kullanarak Süper Kapsam'dan VNI'si Seçenek 82 Alt Seçenek 1 Aracı Devre Kimliğinde bulunan üye kapsamını seçer. (“0108000600”+ 24 bit VNI + 24 bit, değerleri benim için bilinmiyor ancak algılayıcı bu alanda 0 değerlerini gösteriyor.)
Microsoft Windows Server 2016/2019'da kurulum nasıl basitleştirilmiştir?
Microsoft Windows Server 2016, RFC#3527 işlevselliğini uygular. Yani Windows Server 2016, Seçenek 82 Alt Seçeneği 5(0x5) - Bağlantı Seçimi özelliğinden doğru ağı tanıyabilir.
Hemen üç soru ortaya çıkıyor:
- Superscope olmadan yapabilir miyiz?
- Politika olmadan yapabilir miyiz ve VNI'yi onaltılık forma dönüştürebilir miyiz?
- Geri Döngü DHCP Kaynak adresleri için Kapsam olmadan yapabilir miyiz?
Q. Superscope olmadan yapabilir miyiz?
A. Evet, IPv4 adresleri alanında hemen kapsam oluşturulabilir.
Q. Politika olmadan yapabilir miyiz ve VNI'yi onaltılık forma dönüştürebilir miyiz?
A. Evet, ağ seçimi Seçenek 82 Alt Seçeneği 0x5'e dayanmaktadır,
Q. Geri Döngü DHCP Kaynak adresleri için Kapsam olmadan yapabilir miyiz?
A. Hayır yapamayız. Çünkü Microsoft Windows Server 2016/2019, kötü amaçlı DHCP isteklerine karşı korumaya sahiptir. Yani DHCP sunucu havuzunda yer almayan adreslerden gelen tüm istekler kötü niyetli olarak kabul edilir.
Note
All relay agent IP addresses (GIADDR) must be part of an active DHCP scope IP address range. Any GIADDR outside of the DHCP scope IP address ranges is considered a rogue relay and Windows DHCP Server will not acknowledge DHCP client requests from those relay agents.
A special scope can be created to "authorize" relay agents. Create a scope with the GIADDR (or multiple if the GIADDR's are sequential IP addresses), exclude the GIADDR address(es) from distribution, and then activate the scope. This will authorize the relay agents while preventing the GIADDR addresses from being assigned.Onlar. Microsoft Windows Server 2016/2019'da bir VXLAN BGP EVPN fabrikası için bir DHCP havuzu yapılandırmak için yalnızca şunlara ihtiyacınız vardır:
- Kaynak Aktarma adresleri için bir havuz oluşturun.
- İstemci ağları için havuz oluşturma
Gerekli olmayan (ancak yapılandırılabilir ve işe yarayacak ve işe müdahale etmeyecektir):
- Politika Oluştur
- SuperScope'u oluşturun
ÖrnekDHCP sunucusu kurma örneği (2 gerçek DHCP istemcisi vardır - istemciler VXLAN yapısına bağlıdır)
Kullanıcı havuzu oluşturma örneği:
Bir kullanıcı havuzu oluşturma örneği (politikalar seçilmiştir - politikaların havuzun doğru çalışması için kullanılmadığını kanıtlamak için):
Kaynak DHCP Aktarma adresleri için bir havuz yapılandırma örneği (verilmeye yönelik adres aralığı, adres havuzundan hariç tutulmaya tamamen karşılık gelir):
Microsoft Windows Server 2019'da DHCP hizmeti kurma
DHCP Geçişi için Geri Döngü adresleri (kaynak) için bir havuz yapılandırma.
IPv4 alanında yeni bir havuz (Scope) oluşturuyoruz.
Havuz oluşturma sihirbazı. "Sonraki >"
Havuzun havuz adını ve açıklamasını yapılandırın.
Geridöngü için IP adresi aralığını ve havuz maskesini ayarlayın.
İstisnalar ekleniyor. Hariç tutma aralığı havuz aralığıyla tam olarak eşleşmelidir.
Kiralama süresi. "Sonraki >"
Sorgu: DHCP seçeneklerini (DNS, WINS, Ağ Geçidi, Etki Alanı) şimdi mi yapılandıracaksınız yoksa daha sonra mı yapılandıracaksınız? Hayır cevabını verip ardından havuzu manuel olarak etkinleştirmek daha hızlı olacaktır. Veya hiçbir bilgi doldurmadan sona gidin ve sihirbazın sonunda havuzu etkinleştirin.
Seçeneklerin yapılandırılmadığını ve havuzun etkinleştirilmediğini onaylıyoruz. "Sona ermek"
Havuzu manuel olarak aktif hale getiriyoruz. — Kapsam'ı seçin ve içerik menüsünden — “Etkinleştir”i seçin.
Kullanıcılar / sunucular için bir havuz oluşturuyoruz.
Yeni bir havuz oluşturuyoruz.
Havuz oluşturma sihirbazı. "Sonraki >"
Havuzun havuz adını ve açıklamasını yapılandırın.
Geridöngü için IP adresi aralığını ve havuz maskesini ayarlayın.
İstisnalar ekleniyor. (Varsayılan olarak istisna gerekmez) "Sonraki >"
Kiralama süresi. "Sonraki >"
Sorgu: DHCP seçeneklerini (DNS, WINS, Ağ Geçidi, Etki Alanı) şimdi mi yapılandıracaksınız yoksa daha sonra mı yapılandıracaksınız. Şimdi ayarlayalım.
Varsayılan ağ geçidi adresini yapılandırın.
Domain ve DNS sunucu adreslerini yapılandırıyoruz.
WINS sunucularının IP adreslerini yapılandırma.
Kapsam aktivasyonu.
Havuz yapılandırıldı. "Sona ermek"
Sonuç
Windows Server 2016/2019'u kullanmak, VXLAN yapısı (veya başka herhangi bir yapı) için DHCP sunucusu kurmanın karmaşıklığını azaltır. (Filtreleri kaydetmek için BT uzmanlarına özel bağlantıların aktarılması gerekli değildir: Ağ/Ajan Devre Kimliği.)
Windows Server 2012 yapılandırması yeni 2016/2019 sunucularında çalışacak mı - evet çalışacak.
Bu belge 2 versiyona referanslar içermektedir: 7.X ve 9.3. Bunun nedeni, 7.0(3)I7(7) sürümünün Cisco tarafından önerilen bir sürüm olması ve 9.3 sürümünün en yenilikçi sürüm olmasıdır (hatta VXLAN Multisite aracılığıyla Çoklu Yayını desteklemesidir).
Kaynakların listesi
Kaynak: habr.com