地址ip地址冲突

i目录1DHCP概述1-11.
1DHCP简介1-11.
2DHCP的IP地址分配1-11.
2.
1IP地址分配策略1-11.
2.
2IP地址获取过程1-21.
2.
3IP地址的租约更新1-31.
3DHCP报文格式1-31.
4DHCP选项1-41.
4.
1DHCP选项简介1-41.
4.
2DHCP常用选项介绍1-41.
4.
3自定义的选项格式·1-51.
5协议规范·1-72DHCP服务器2-12.
1DHCP服务器简介2-12.
1.
1DHCP服务器的应用环境2-12.
1.
2DHCP地址池2-12.
1.
3DHCP服务器分配IP地址的优先次序·2-32.
2DHCP服务器配置任务简介2-32.
3配置DHCP服务器的地址池2-42.
3.
1DHCP服务器地址池配置任务简介·2-42.
3.
2创建DHCP地址池2-52.
3.
3配置为客户端分配的IP地址2-52.
3.
4配置DHCP客户端使用的网关地址·2-92.
3.
5配置DHCP客户端使用的域名后缀·2-102.
3.
6配置DHCP客户端使用的DNS服务器地址2-102.
3.
7配置DHCP客户端使用的WINS服务器地址和NetBIOS节点类型2-112.
3.
8配置DHCP客户端使用的BIMS服务器信息2-112.
3.
9配置DHCP客户端使用的TFTP服务器地址及启动文件名或远程启动文件的HTTP形式URL2-122.
3.
10配置DHCP客户端使用的下一个提供服务的服务器IP地址2-132.
3.
11配置DHCP客户端使用的Option184参数·2-132.
3.
12自定义DHCP选项·2-142.
3.
13配置DHCP用户类白名单功能·2-15ii2.
4开启DHCP服务2-162.
5配置接口工作在DHCP服务器模式2-162.
6配置接口引用地址池·2-172.
7配置IP地址冲突检测功能·2-172.
8配置Option82的处理方式2-182.
9配置DHCP服务器安全功能2-182.
9.
1配置限制和指导·2-182.
9.
2配置DHCPFlood攻击防范功能2-182.
9.
3配置防止DHCP饿死攻击2-192.
10配置DHCP服务器兼容性·2-202.
10.
1配置DHCP服务器始终以广播方式回复请求报文2-202.
10.
2配置DHCP服务器忽略BOOTP请求报文2-202.
10.
3配置DHCP服务器以RFC1048规定的格式发送BOOTP应答报文2-212.
11配置DHCP服务器发送DHCP报文的DSCP优先级·2-212.
12配置DHCP服务器租约固化功能·2-212.
13配置DHCP地址池报警功能·2-222.
14配置DHCP服务器辅助网关信息·2-232.
15配置DHCP服务器辅助路由信息·2-242.
16为DHCP服务器上的地址池绑定VPN实例·2-242.
17开启DHCP服务器的用户下线探测功能·2-252.
18开启DHCP服务器日志信息功能·2-252.
19DHCP服务器显示和维护·2-262.
20DHCP服务器典型配置举例·2-272.
20.
1静态绑定地址典型配置举例2-272.
20.
2动态分配地址典型配置举例2-282.
20.
3按用户类分配地址典型配置举例2-302.
20.
4用户类白名单功能典型配置举例2-322.
20.
5主从网段典型配置举例2-332.
20.
6自定义DHCP选项典型配置举例·2-342.
21DHCP服务器常见配置错误举例·2-353DHCP中继3-13.
1DHCP中继简介3-13.
1.
1DHCP中继的应用环境3-13.
1.
2DHCP中继的基本原理3-13.
1.
3DHCP中继支持Option82功能·3-23.
2DHCP中继配置任务简介3-3iii3.
3配置DHCP中继3-33.
3.
1开启DHCP服务3-33.
3.
2配置接口工作在DHCP中继模式·3-33.
3.
3指定DHCP服务器的地址3-43.
3.
4配置DHCP中继的安全功能3-43.
3.
5配置通过DHCP中继释放客户端的IP地址·3-73.
3.
6配置DHCP中继支持Option82功能·3-73.
3.
7配置DHCP中继发送DHCP报文的DSCP优先级·3-83.
3.
8配置DHCP中继支持代理功能·3-83.
3.
9指定中继地址池对应的DHCP服务器地址·3-93.
3.
10配置DHCP中继在DHCP报文中填充的中继地址·3-93.
3.
11配置DHCP中继的用户下线探测功能·3-103.
3.
12配置DHCP中继支持smart-relay功能·3-103.
3.
13配置DHCP中继选择DHCP服务器方式3-123.
3.
14指定DHCP中继向DHCP服务器转发报文的源地址·3-133.
3.
15配置DHCP中继丢弃从VXLAN隧道收到的DHCP请求报文·3-143.
4DHCP中继显示和维护3-143.
5DHCP中继典型配置举例3-153.
5.
1DHCP中继配置举例3-153.
5.
2DHCP中继支持Option82配置举例·3-163.
5.
3DHCP中继选择DHCP服务器方式配置举例3-173.
6DHCP中继常见配置错误举例3-194DHCP客户端4-14.
1DHCP客户端简介4-14.
2配置接口通过DHCP协议获取IP地址4-14.
3配置接口使用的DHCP客户端ID4-14.
4开启地址冲突检查功能·4-24.
5配置DHCP客户端发送DHCP报文的DSCP优先级·4-24.
6DHCP客户端显示和维护4-24.
7DHCP客户端典型配置举例4-35DHCPSnooping·5-15.
1DHCPSnooping简介·5-15.
1.
1DHCPSnooping作用·5-15.
1.
2信任端口的典型应用环境·5-25.
1.
3DHCPSnooping支持Option82功能5-35.
2DHCPSnooping配置任务简介·5-4iv5.
3配置DHCPSnooping基本功能·5-45.
3.
1DHCPSnooping配置限制和指导5-45.
3.
2在普通组网中配置DHCPSnooping基本功能5-55.
3.
3在VXLAN组网中配置DHCPSnooping基本功能5-65.
3.
4关闭接口的DHCPSnooping功能5-75.
4配置DHCPSnooping支持Option82功能5-85.
5配置DHCPSnooping表项固化功能·5-95.
6配置防止DHCP饿死攻击5-105.
7配置防止伪造DHCP请求方向报文攻击5-105.
8配置接口动态学习DHCPSnooping表项的最大数目·5-115.
9配置DHCPSnooping报文限速功能·5-115.
10开启DHCPSnooping报文阻断功能5-125.
11开启DHCPSnooping日志信息功能5-125.
12DHCPSnooping显示和维护5-125.
13DHCPSnooping典型配置举例5-135.
13.
1全局开启DHCPSnooping配置举例5-135.
13.
2按VLAN开启DHCPSnooping配置举例·5-145.
13.
3DHCPSnooping支持Option82配置举例·5-156BOOTP客户端6-16.
1BOOTP客户端简介6-16.
1.
1BOOTP客户端的应用环境6-16.
1.
2IP地址动态获取过程6-16.
1.
3协议规范·6-16.
2配置接口通过BOOTP协议获取IP地址6-16.
3BOOTP客户端显示和维护6-26.
4BOOTP客户端典型配置举例6-21-11DHCP概述目前,三层以太网子接口/三层聚合子接口不支持DHCP相关配置.
1.
1DHCP简介DHCP(DynamicHostConfigurationProtocol,动态主机配置协议)用来为网络设备动态地分配IP地址等网络配置参数.
DHCP采用客户端/服务器通信模式,由客户端向服务器提出请求分配网络配置参数的申请,服务器返回为客户端分配的IP地址等配置信息,以实现IP地址等信息的动态配置.
在DHCP的典型应用中,一般包含一台DHCP服务器和多台客户端(如PC和便携机),如图1-1所示.
DHCP客户端和DHCP服务器处于不同物理网段时,客户端可以通过DHCP中继与服务器通信,获取IP地址及其他配置信息.
DHCP中继的详细介绍,请参见"3.
1DHCP中继简介".
图1-1DHCP典型应用1.
2DHCP的IP地址分配1.
2.
1IP地址分配策略针对客户端的不同需求,DHCP提供三种IP地址分配策略:手工分配地址:由管理员为少数特定客户端(如WWW服务器等)静态绑定固定的IP地址.
通过DHCP将配置的固定IP地址分配给客户端.
自动分配地址:DHCP为客户端分配租期为无限长的IP地址.
DHCPclientDHCPclientDHCPclientDHCPclientDHCPserver1-2动态分配地址:DHCP为客户端分配具有一定有效期限的IP地址,到达使用期限后,客户端需要重新申请地址.
绝大多数客户端得到的都是这种动态分配的地址.
1.
2.
2IP地址获取过程图1-2IP地址动态获取过程如图1-2所示,DHCP客户端从DHCP服务器获取IP地址,主要通过四个阶段进行:(1)发现阶段,即DHCP客户端寻找DHCP服务器的阶段.
客户端以广播方式发送DHCP-DISCOVER报文.
(2)提供阶段,即DHCP服务器提供IP地址的阶段.
DHCP服务器接收到客户端的DHCP-DISCOVER报文后,根据IP地址分配的优先次序选出一个IP地址,与其他参数一起通过DHCP-OFFER报文发送给客户端.
(3)选择阶段,即DHCP客户端选择IP地址的阶段.
如果有多台DHCP服务器向该客户端发来DHCP-OFFER报文,客户端只接受第一个收到的DHCP-OFFER报文,然后以广播方式发送DHCP-REQUEST报文,该报文中包含DHCP服务器在DHCP-OFFER报文中分配的IP地址.
(4)确认阶段,即DHCP服务器确认IP地址的阶段.
DHCP服务器收到DHCP客户端发来的DHCP-REQUEST报文后,只有DHCP客户端选择的服务器会进行如下操作:如果确认将地址分配给该客户端,则返回DHCP-ACK报文;否则返回DHCP-NAK报文,表明地址不能分配给该客户端.
客户端收到服务器返回的DHCP-ACK确认报文后,会以广播的方式发送免费ARP报文,探测是否有主机使用服务器分配的IP地址,如果在规定的时间内未收到回应,并且客户端上不存在与该地址同网段的其他地址时,客户端才使用此地址.
否则,客户端会发送DHCP-DECLINE报文给DHCP服务器,并重新申请IP地址.
如果网络中存在多个DHCP服务器,除DHCP客户端选中的服务器外,其它DHCP服务器中本次未分配出的IP地址仍可分配给其他客户端.
(1)DHCP-DISCOVER(2)DHCP-OFFER(3)DHCP-REQUEST(4)DHCP-ACKDHCPclientDHCPserver1-31.
2.
3IP地址的租约更新DHCP服务器分配给客户端的IP地址具有一定的租借期限(除自动分配的IP地址),该租借期限称为租约.
当租借期满后服务器会收回该IP地址.
如果DHCP客户端希望继续使用该地址,则DHCP客户端需要申请延长IP地址租约.
在DHCP客户端的IP地址租约期限达到一半左右时间时,DHCP客户端会向为它分配IP地址的DHCP服务器单播发送DHCP-REQUEST报文,以进行IP租约的更新.
如果客户端可以继续使用此IP地址,则DHCP服务器回应DHCP-ACK报文,通知DHCP客户端已经获得新IP租约;如果此IP地址不可以再分配给该客户端,则DHCP服务器回应DHCP-NAK报文,通知DHCP客户端不能获得新的租约.
如果在租约的一半左右时间进行的续约操作失败,DHCP客户端会在租约期限达到7/8时,广播发送DHCP-REQUEST报文进行续约.
DHCP服务器的处理方式同上,不再赘述.
1.
3DHCP报文格式DHCP有8种类型的报文,每种报文的格式都相同,只是某些字段的取值不同.
DHCP的报文格式如图1-3所示,括号中的数字表示该字段所占的字节.
图1-3DHCP报文格式各字段的解释如下:op:报文的操作类型,分为请求报文和响应报文,1为请求报文;2为响应报文.
具体的报文类型在options字段中标识.
htype、hlen:DHCP客户端的硬件地址类型及长度.
hops:DHCP报文经过的DHCP中继的数目.
DHCP请求报文每经过一个DHCP中继,该字段就会增加1.
xid:客户端发起一次请求时选择的随机数,用来标识一次地址请求过程.
secs:DHCP客户端开始DHCP请求后所经过的时间.
目前没有使用,固定为0.
op(1)0715htype(1)hlen(1)hops(1)xid(4)2331secs(2)flags(2)ciaddr(4)yiaddr(4)siaddr(4)giaddr(4)chaddr(16)sname(64)file(128)options(variable)1-4flags:第一个比特为广播响应标识位,用来标识DHCP服务器响应报文是采用单播还是广播方式发送,0表示采用单播方式,1表示采用广播方式.
其余比特保留不用.
ciaddr:DHCP客户端的IP地址.
如果客户端有合法和可用的IP地址,则将其添加到此字段,否则字段设置为0.
此字段不用于客户端申请某个特定的IP地址.
yiaddr:DHCP服务器分配给客户端的IP地址.
siaddr:DHCP客户端获取启动配置信息的服务器IP地址.
giaddr:DHCP客户端发出请求报文后经过的第一个DHCP中继的IP地址.
chaddr:DHCP客户端的硬件地址.
sname:DHCP客户端获取启动配置信息的服务器名称.
file:DHCP服务器为DHCP客户端指定的启动配置文件名称及路径信息.
options:可选变长选项字段,包含报文的类型、有效租期、DNS服务器的IP地址、WINS服务器的IP地址等配置信息.
1.
4DHCP选项1.
4.
1DHCP选项简介为了与BOOTP(BootstrapProtocol,自举协议)兼容,DHCP保留了BOOTP的消息格式.
DHCP和BOOTP消息的不同主要体现在选项(Options)字段.
DHCP在BOOTP基础上增加的功能,通过Options字段来实现.
DHCP利用Options字段传递控制信息和网络配置参数,实现地址动态分配的同时,为客户端提供更加丰富的网络配置信息.
DHCP选项的格式如图1-4所示.
图1-4DHCP选项格式1.
4.
2DHCP常用选项介绍常见的DHCP选项有:Option3:路由器选项,用来指定为客户端分配的网关地址.
Option6:DNS服务器选项,用来指定为客户端分配的DNS服务器地址.
Option33:静态路由选项.
该选项中包含一组有分类静态路由(即目的网络地址的掩码固定为自然掩码,不能划分子网),客户端收到该选项后,将在路由表中添加这些静态路由.
如果Option33和Option121同时存在,则忽略Option33.
Option51:IP地址租约选项.
Option53:DHCP消息类型选项,标识DHCP消息的类型.
OptiontypeOptionlength0715Value(variable)1-5Option55:请求参数列表选项.
客户端利用该选项指明需要从服务器获取哪些网络配置参数.
该选项内容为客户端请求的参数对应的选项值.
Option60:厂商标识选项.
客户端利用该选项标识自己所属的厂商;DHCP服务器可以根据该选项区分客户端所属的厂商,并为其分配特定范围的IP地址.
Option66:TFTP服务器名选项,用来指定为客户端分配的TFTP服务器的域名.
Option67:启动文件名选项,用来指定为客户端分配的启动文件名.
Option121:无分类路由选项.
该选项中包含一组无分类静态路由(即目的网络地址的掩码为任意值,可以通过掩码来划分子网),客户端收到该选项后,将在路由表中添加这些静态路由.
如果Option33和Option121同时存在,则忽略Option33.
Option150:TFTP服务器地址选项,用来指定为客户端分配的TFTP服务器的地址.
更多DHCP选项的介绍,请参见RFC2132和RFC3442.
1.
4.
3自定义的选项格式有些选项的内容,RFC2132中没有统一规定,例如Option43、Option82和Option184.
下面将介绍设备上定义的几种选项格式.
1.
厂商特定信息选项(Option43)Option43称为厂商特定信息选项.
DHCP服务器和DHCP客户端通过Option43交换厂商特定的信息.
设备作为DHCP客户端时,可以通过Option43获取:ACS(Auto-ConfigurationServer,自动配置服务器)的参数,包括URL地址、用户名和密码.
服务提供商标识,CPE(CustomerPremisesEquipment,用户侧设备)从DHCP服务器获取该信息后,将该信息通告给ACS,以便ACS选择服务提供商特有的配置和参数等.
CPE和ACS的详细介绍,请参见"网络管理和监控配置指导"中的"CWMP(TR-069)".
PXE(PrebooteXecutionEnvironment,预启动执行环境)引导服务器地址,以便客户端从PXE引导服务器获取启动文件或其他控制信息.
在无线网络中,AP(AccessPoint,接入点)作为DHCP客户端,可以通过Option43获取AC(AccessController,接入控制器)地址,以便AP从AC获取启动文件或其他控制信息.
(1)Option43格式图1-5Option43格式Sub-optionvalue(variable)Sub-optiontype2331Optiontype(0x2B)OptionlengthSub-optionlength.
.
.
07151-6为了提供可扩展性,通过Option43为客户端分配更多的信息,Option43采用子选项的形式,通过不同的子选项为用户分配不同的网络配置参数.
如图1-5所示.
子选项中各字段的含义为:Sub-optiontype:子选项类型.
目前,子选项类型值可以为0x01表示ACS参数子选项,0x02表示服务提供商标识子选项,0x80表示PXE引导服务器地址子选项.
Sub-optionlength:子选项的长度,不包括子选项类型和子选项长度字段.
Sub-optionvalue:子选项的取值.
不同类型的子选项,取值格式有所不同,详细介绍请参见下文.
(2)Option43子选项取值字段的格式ACS参数子选项的取值字段格式如图1-6所示.
ACS的URL地址、用户名和密码长度可变,每个参数之间用空格(十六进制数为20)隔开.
图1-6ACS参数子选项取值字段的格式服务提供商标识子选项的取值字段内容为服务提供商的标识.
PXE引导服务器地址子选项的取值字段格式如图1-7所示.
其中,PXE服务器类型目前取值只能为0;Servernumber为子选项中包含的PXE服务器地址的数目;ServerIPaddresses为PXE服务器的IP地址.
图1-7PXE引导服务器地址子选项取值字段的格式2.
中继代理信息选项(Option82)Option82称为中继代理信息选项,该选项记录了DHCP客户端的位置信息.
DHCP中继或DHCPSnooping设备接收到DHCP客户端发送给DHCP服务器的请求报文后,在该报文中添加Option82,并转发给DHCP服务器.
管理员可以从Option82中获得DHCP客户端的位置信息,以便定位DHCP客户端,实现对客户端的安全和计费等控制.
支持Option82的服务器还可以根据该选项的信息制定IP地址和其他参数的分配策略,提供更加灵活的地址分配方案.
Option82最多可以包含255个子选项.
若定义了Option82,则至少要定义一个子选项.
目前设备只支持两个子选项:sub-option1(CircuitID,电路ID子选项)和sub-option2(RemoteID,远程ID子选项).
由于Option82的内容没有统一规定,不同厂商通常根据需要进行填充.
设备上,CircuitID的填充模式有以下几种:URLofACS(variable)UsernameofACS(variable)20PasswordofACS(variable)20ServerIPaddresses(variable)PXEservertype(0x0000)Servernumber01571-7采用string模式填充:sub-option1的内容是用户配置的字符串.
采用normal模式填充:sub-option1的内容是接收到DHCP客户端请求报文的接口所属的VLANID以及接口编号.
采用verbose模式填充:sub-option1的内容包括用户配置的接入节点标识,接收到DHCP客户端请求报文的接口类型、接口编号和接口所属的VLANID.
RemoteID的填充模式有以下几种:采用string模式填充:sub-option2的内容是用户配置的字符串.
采用normal模式填充:sub-option2的内容是接收到DHCP客户端请求报文的接口MAC地址(DHCP中继)或设备的桥MAC地址(DHCPSnooping).
采用sysname模式填充:sub-option2的内容是设备的系统名称.
设备的系统名称可以通过系统视图下的sysname命令配置.
3.
Option184Option184是RFC中规定的保留选项,用户可以自定义该选项中携带的信息.
设备上,Option184携带了语音呼叫所需的信息.
通过Option184,可以实现在为具有语音功能的DHCP客户端提供语音呼叫相关信息.
目前Option184支持四个子选项,承载的内容如下:sub-option1:网络呼叫处理器的IP地址,用来标识作为网络呼叫控制源及应用程序下载的服务器.
只有定义了sub-option1(网络呼叫处理器的IP地址子选项),其他子选项才能生效.
sub-option2:备用服务器的IP地址,当sub-option1中携带的网络呼叫处理器不可达或不合法时,DHCP客户端使用该选项指定的备用服务器作为网络呼叫处理器.
sub-option3:语音VLAN信息,指定语音VLAN的ID及DHCP客户端是否会将所指定的VLAN作为语音VLAN.
sub-option4:自动故障转移呼叫路由,指定故障转移呼叫路由的IP地址及其关联的拨号串,即SIP(SessionInitiationProtocol,会话初始协议)用户之间互相通信时对端的IP地址和呼叫号码.
当网络呼叫处理器和备用服务器均不可达时,SIP用户可以使用对端IP地址及呼叫号码直接与对端SIP用户建立连接并通信.
1.
5协议规范与DHCP相关的协议规范有:RFC2131:DynamicHostConfigurationProtocolRFC2132:DHCPOptionsandBOOTPVendorExtensionsRFC1542:ClarificationsandExtensionsfortheBootstrapProtocolRFC3046:DHCPRelayAgentInformationOptionRFC3442:TheClasslessStaticRouteOptionforDynamicHostConfigurationProtocol(DHCP)version42-12DHCP服务器2.
1DHCP服务器简介2.
1.
1DHCP服务器的应用环境在以下场合通常利用DHCP服务器来完成IP地址分配:网络规模较大,手工配置需要很大的工作量,并难以对整个网络进行集中管理.
网络中主机数目大于该网络支持的IP地址数量,无法给每个主机分配一个固定的IP地址.
例如,Internet接入服务提供商限制同时接入网络的用户数目,用户必须动态获得自己的IP地址.
网络中只有少数主机需要固定的IP地址,大多数主机没有固定的IP地址需求.
设备作为MCE(Multi-VPN-instanceCustomerEdge,多VPN实例用户网络边界设备)时,在设备上配置DHCP服务器功能,不仅可以为公网上的DHCP客户端分配IP地址,还可以实现为私网内的DHCP客户端分配IP地址,但是公网和私网之间、不同私网之间的IP地址空间不能重叠.
MCE的详细介绍,请参见"MPLS配置指导"中的"MPLSL3VPN".
2.
1.
2DHCP地址池每个DHCP地址池都拥有一组可供分配的地址和网络配置参数.
DHCP服务器从地址池中为客户端选择并分配IP地址及其他参数.
1.
地址池的地址管理方式地址池的地址管理方式有以下几种:静态绑定IP地址,即通过将客户端的MAC地址或客户端ID与IP地址绑定的方式,实现为特定的客户端分配特定的IP地址;动态选择IP地址,即在地址池中指定可供分配的IP地址范围,当收到客户端的IP地址申请时,从该地址范围中动态选择IP地址,分配给该客户端.
在地址池中指定可供分配的IP地址范围,有以下几种方法:(1)为地址池指定一个主网段,并将该网段划分为多个地址范围.
多个地址范围是指一个地址池动态分配的IP地址范围(公共地址范围)和多个为DHCP用户类分配的IP地址范围.
DHCP服务器通过定义DHCP用户类,实现为满足特定条件的客户端分配特定地址范围的IP地址.
DHCP服务器根据客户端发送的请求报文,判断DHCP客户端所属的用户类.
每个用户类可以配置多个匹配条件,只要客户端发送的DHCP请求报文满足任意一个匹配条件,就认为该客户端属于该用户类.
在地址池下,可以为不同的用户类指定不同的地址范围.
如果DHCP客户端属于某个用户类,则从该用户类的地址范围内选择地址分配给该客户端.
采用这种地址管理方式时,地址选择过程为:按照地址池下用户类地址范围的配置顺序,将DHCP客户端和用户类进行匹配.
如果DHCP客户端属于某个用户类,则从该用户类的地址范围中选择地址分配给客户端.
2-2如果该用户类中没有可供分配的地址,则继续匹配下一个用户类.
如果所有匹配上的用户类地址范围都没有可供分配的地址,则从公共地址范围中选择地址分配给客户端.
如果DHCP客户端不属于任何一个DHCP用户类,则会从地址池动态分配的IP地址范围(通过addressrange命令配置)中选择地址分配给DHCP客户端.
如果动态分配的IP地址范围内也没有空闲地址,或者未配置动态分配的IP地址范围,则地址分配失败,即DHCP服务器无法为DHCP客户端分配地址.
每个地址范围内的地址都必须属于指定的主网段,否则无法分配该范围内的地址.
(2)为地址池指定一个主网段,并指定多个从网段.
采用此种地址分配方式时,地址选择的过程是:首先从地址池主网段中查找可供分配的IP地址.
如果主网段中没有可供分配的IP地址,则按照该地址池下从网段的配置顺序,依次查找可供分配的IP地址.
2.
地址池的选取原则DHCP服务器为客户端分配IP地址时,地址池的选择原则如下:(1)如果存在将客户端MAC地址或客户端ID与IP地址静态绑定的地址池,则选择该地址池,并将静态绑定的IP地址和其他网络参数分配给客户端.
(2)如果接收到DHCP请求报文的接口引用了某个地址池,则选择该地址池,从该地址池中选取IP地址和其他网络参数分配给客户端.
(3)如果不存在静态绑定的地址池,且接收到DHCP请求报文的接口未引用地址池,则按照以下方法选择地址池:如果客户端与服务器在同一网段,则将DHCP请求报文接收接口的IP地址与所有地址池配置的主网段进行匹配,并选择最长匹配的主网段所对应的地址池.
如果未匹配到主网段,则将DHCP请求报文接收接口的IP地址与所有地址池配置的从网段进行匹配,并选择最长匹配的网段所对应的地址池.
如果客户端与服务器不在同一网段,即客户端通过DHCP中继获取IP地址,则将DHCP请求报文中giaddr字段指定的IP地址与所有地址池配置的主网段进行匹配,并选择最长匹配的网段所对应的地址池.
如果未匹配到主网段,则将DHCP请求报文中giaddr字段指定的IP地址与所有地址池配置的从网段进行匹配,并选择最长匹配的网段所对应的地址池.
例如,DHCP服务器上配置了两个地址池,动态分配的网段分别是1.
1.
1.
0/24和1.
1.
1.
0/25,如果接收DHCP请求报文的接口IP地址为1.
1.
1.
1/25,且未引用地址池,服务器将从1.
1.
1.
0/25地址池中选择IP地址分配给客户端,1.
1.
1.
0/25地址池中如果没有可供分配的IP地址,则服务器无法为客户端分配地址;如果接收DHCP请求报文的接口IP地址为1.
1.
1.
130/25,服务器将从1.
1.
1.
0/24地址池中选择IP地址分配给客户端.
2-3配置地址池动态分配的网段和IP地址范围时,请尽量保证其与DHCP服务器接口或DHCP中继接口地址的网段一致,以免分配错误的IP地址.
建议合理规划DHCP服务器上各地址池中主网段的配置,尽量避免客户端匹配不到主网段、直接匹配从网段的情况发生.
2.
1.
3DHCP服务器分配IP地址的优先次序DHCP服务器为客户端分配IP地址的优先次序如下:(1)与客户端MAC地址或客户端ID静态绑定的IP地址.
(2)DHCP服务器记录的曾经分配给客户端的IP地址.
(3)客户端发送的DHCP-DISCOVER报文中Option50字段指定的IP地址.
Option50为客户端请求的IP地址选项(RequestedIPAddress),客户端通过在DHCP-DISCOVER报文中添加该选项来指明客户端希望获取的IP地址.
该选项的内容由客户端决定.
(4)按照"2.
1.
2DHCP地址池"中所述的动态分配地址选择原则,顺序查找可供分配的IP地址,选择最先找到的IP地址.
(5)如果未找到可用的IP地址,则从当前匹配地址池中依次查询租约过期、曾经发生过冲突的IP地址,如果找到则进行分配,否则将不予处理.
如果客户端所在的网段发生变化,服务器不会为客户端分配曾经分配给它的IP地址,而是从匹配新网段的地址池中重新选择IP地址.
使用曾经发生过冲突的IP地址时,只有冲突状态超过一小时的地址租约才能够被服务器分配给新的DHCP客户端.
2.
2DHCP服务器配置任务简介表2-1DHCP服务器配置任务简介操作说明详细配置配置DHCP服务器的地址池必选2.
3开启DHCP服务必选2.
4配置接口工作在DHCP服务器模式必选2.
5配置接口引用地址池可选2.
6开启IP地址冲突检测功能可选2.
7配置Option82的处理方式可选2.
8配置DHCP服务器安全功能可选2.
92-4操作说明详细配置配置DHCP服务器协议兼容性可选2.
10配置DHCP服务器发送DHCP报文的DSCP优先级可选2.
11配置DHCP服务器租约固化功能可选2.
12配置DHCP地址池报警功能可选2.
13配置DHCP服务器辅助网关信息可选2.
14配置DHCP服务器辅助路由信息可选2.
15配置DHCP服务器上的地址池所在的VPN信息可选2.
16开启DHCP服务器的用户下线探测功能可选2.
17开启DHCP服务器的日志信息功能可选2.
182.
3配置DHCP服务器的地址池2.
3.
1DHCP服务器地址池配置任务简介表2-2DHCP服务器地址池配置任务简介操作说明详细配置创建DHCP地址池必选2.
3.
2配置为客户端分配的IP地址至少选其一2.
3.
3配置DHCP客户端使用的网关地址2.
3.
4配置DHCP客户端使用的域名后缀2.
3.
5配置DHCP客户端使用的DNS服务器地址2.
3.
6配置DHCP客户端使用的WINS服务器地址和NetBIOS节点类型2.
3.
7配置DHCP客户端使用的BIMS服务器信息2.
3.
8配置DHCP客户端使用的TFTP服务器地址及启动文件名2.
3.
9配置DHCP客户端使用的下一个提供服务的服务器IP地址2.
3.
10配置DHCP客户端使用的Option184参数2.
3.
11自定义DHCP选项2.
3.
12开启DHCP白名单功能2.
3.
132-52.
3.
2创建DHCP地址池表2-3创建DHCP地址池操作命令说明进入系统视图system-view-创建DHCP地址池,并进入DHCP地址池视图dhcpserverip-poolpool-name缺省情况下,设备上不存在DHCP地址池2.
3.
3配置为客户端分配的IP地址对一个DHCP地址池可以同时配置静态地址管理方式和动态地址管理方式.
动态地址管理方式分为一个主网段多个地址范围和一个主网段多个从网段两种,用户可以根据实际需要,选择不同的动态地址管理方式.
同一个地址池中不能同时配置两种动态地址管理方式.
1.
配置一个主网段多个地址范围的动态地址管理方式在某些组网应用中,需要将一个网段下的不同客户端,按照一定的规则划分到不同的地址范围中.
此时,可以按照客户端划分规则创建对应的DHCP用户类,并在地址池内为不同的用户类配置不同的地址范围,从而实现为特定的客户端分配特定范围的地址.
在这种情况下,还可以配置一个公共地址范围,为不匹配任何用户类的客户端分配给该范围的地址.
如果不配置公共地址范围,则不匹配任何用户类的客户端将无法获取到IP地址.
如果不需要对客户端进行分类,而仅需要限制网段内可分配的动态地址范围,则可以只配置公共地址范围,而不配置用户类的地址范围.
表2-4配置一个主网段多个地址段的动态地址管理方式操作命令说明进入系统视图system-view-创建DHCP用户类,并进入DHCP用户类视图dhcpclassclass-name缺省情况下,不存在DHCP用户类在地址池下,需要为DHCP用户类指定地址范围时,为必选配置DHCP用户类的匹配规则if-matchrulerule-number{hardware-addresshardware-addressmaskhardware-address-mask|optionoption-code[asciiascii-string[offsetoffset|partial]|hexhex-string[maskmask|offsetoffsetlengthlength|partial]]|relay-agentgateway-address}缺省情况下,未配置DHCP用户类的匹配规则在地址池下,需要为DHCP用户类指定地址范围时,为必选退回系统视图quit-创建DHCP地址池,并进入DHCP地址池视图dhcpserverip-poolpool-name缺省情况下,设备上不存在DHCP地址池2-6操作命令说明配置DHCP地址池动态分配的主网段networknetwork-address[mask-length|maskmask]缺省情况下,未配置主网段(可选)配置地址池动态分配的IP地址范围,即公共地址范围addressrangestart-ip-addressend-ip-address缺省情况下,未配置动态分配的IP地址范围(可选)配置DHCP地址池为指定DHCP用户类动态分配的IP地址范围classclass-namerangestart-ip-addressend-ip-address缺省情况下,未配置为指定DHCP用户类动态分配的IP地址范围class命令中指定的DHCP用户类,必须通过dhcpclass命令创建.
否则,无法为该用户类分配指定范围的地址(可选)配置动态分配的IP地址的租约有效期限expired{dayday[hourhour[minuteminute[secondsecond]]]|unlimited}缺省情况下,IP地址租约有效期限为1天(可选)配置DHCP地址池中不参与自动分配的IP地址forbidden-ipip-address&缺省情况下,DHCP地址池中的所有IP地址都参与自动分配退回系统视图quit-(可选)配置全局不参与自动分配的IP地址dhcpserverforbidden-ipstart-ip-address[end-ip-address][vpn-instancevpn-instance-name]缺省情况下,除DHCP服务器接口的IP地址外,DHCP地址池中的所有IP地址都参与自动分配多次执行dhcpserverforbidden-ip命令,可以配置多个不参与自动分配的IP地址段在同一个DHCP地址池中,如果多次执行network或addressrange命令,新的配置会覆盖已有配置;如果多次执行class命令,则可以为多个用户类指定不同的地址范围;多次执行forbidden-ip命令,可以配置多个不参与自动分配的IP地址.
在DHCP地址池视图下通过forbidden-ip命令配置不参与自动分配的IP地址后,只有当前的地址池不能分配这些IP地址,其他地址池仍然可以分配这些IP地址;通过dhcpserverforbidden-ip命令指定不参与自动分配的IP地址后,所有地址池都不能分配这些IP地址.
2.
配置DHCP策略动态分配地址和其他参数创建DHCP策略,并在接口引用该策略后,该接口接收到DHCP请求报文时,则根据配置顺序逐个匹配DHCP策略中通过classip-pool命令指定的DHCP用户类.
匹配情况如下:若匹配DHCP用户类成功,当该DHCP用户类关联的DHCP地址池中存在可供分配的地址信息时,则从该DHCP地址池中分配IP地址和其他参数;当该DHCP用户类关联的DHCP地址池中不存在可供分配的地址信息时,IP地址和其他参数分配失败.
2-7若匹配DHCP策略中的所有DHCP用户类失败,当配置了默认DHCP地址池时,则从该地址池中分配IP地址和其他参数;当未配置默认DHCP地址池或默认DHCP地址池中不存在可供分配的地址信息时,IP地址和其他参数分配失败.
若接收DHCP请求报文的接口引用的DHCP策略不存在或匹配的DHCP用户类关联的DHCP地址池不存在时,IP地址和其他参数分配失败.
表2-5配置DHCP策略动态分配地址和其他参数操作命令说明进入系统视图system-view-创建DHCP用户类,并进入DHCP用户类视图dhcpclassclass-name缺省情况下,不存在DHCP用户类配置DHCP用户类的匹配规则if-matchrulerule-number{hardware-addresshardware-addressmaskhardware-address-mask|optionoption-code[asciiascii-string[offsetoffset|partial]|hexhex-string[maskmask|offsetoffsetlengthlength|partial]]|relay-agentgateway-address}缺省情况下,未配置DHCP用户类的匹配规则退回系统视图quit-创建DHCP策略,并进入DHCP策略视图dhcppolicypolicy-name缺省情况下,不存在DHCP策略DHCP策略需要在接口上引用才生效指定DHCP用户类关联的DHCP地址池classclass-nameip-poolpool-name缺省情况下,未指定DHCP用户类关联的DHCP地址池指定默认DHCP地址池defaultip-poolpool-name缺省情况下,未指定默认DHCP地址池退回系统视图quit-进入接口视图interfaceinterface-typeinterface-number-指定接口引用的DHCP策略dhcpapply-policypolicy-name缺省情况下,接口未引用DHCP策略3.
配置一个主网段多个从网段的动态地址管理方式在配置了一个主网段和多个从网段的地址池中,从网段的作用是对主网段地址空间的补充.
当主网段中没有空闲地址分配给客户端时,服务器会从该地址池中的从网段获取地址分配给客户端.
表2-6配置一个主网段多个从网段的地址管理方式操作命令说明进入系统视图system-view-创建DHCP地址池,并进入DHCP地址池视图dhcpserverip-poolpool-name缺省情况下,设备上不存在DHCP地址池2-8操作命令说明配置DHCP地址池动态分配的主网段networknetwork-address[mask-length|maskmask]缺省情况下,未配置主网段每个DHCP地址池中只能配置一个主网段,如果多次执行network命令配置主网段,则新的配置会覆盖已有配置(可选)配置DHCP地址池动态分配的从网段networknetwork-address[mask-length|maskmask]secondary缺省情况下,未配置从网段(可选)退回地址池视图quit-(可选)配置动态分配的IP地址的租约有效期限expired{dayday[hourhour[minuteminute[secondsecond]]]|unlimited}缺省情况下,IP地址租约有效期限为1天(可选)配置DHCP地址池中不参与自动分配的IP地址forbidden-ipip-address&缺省情况下,DHCP地址池中的所有IP地址都参与自动分配多次执行forbidden-ip命令,可以配置多个不参与自动分配的IP地址段退回系统视图quit-(可选)配置全局不参与自动分配的IP地址dhcpserverforbidden-ipstart-ip-address[end-ip-address][vpn-instancevpn-instance-name]缺省情况下,除DHCP服务器接口的IP地址外,DHCP地址池中的所有IP地址都参与自动分配多次执行dhcpserverforbidden-ip命令,可以配置多个不参与自动分配的IP地址段每个DHCP地址池中,最多可以配置32个从网段.
在DHCP地址池视图下通过forbidden-ip命令配置不参与自动分配的IP地址后,只有当前的地址池不能分配这些IP地址,其他地址池仍然可以分配这些IP地址;通过dhcpserverforbidden-ip命令指定不参与自动分配的IP地址后,所有地址池都不能分配这些IP地址.
4.
配置静态地址绑定某些客户端(如Web服务器等)需要固定的IP地址,通过以下几种方式可以实现为特定的客户端分配特定的IP地址:将客户端的硬件地址与IP地址绑定:当具有此MAC地址的客户端申请IP地址时,DHCP服务器将根据客户端的MAC地址查找到对应的IP地址,并分配给客户端.
将客户端ID与IP地址绑定:某些客户端在向DHCP服务器发送DHCP-DISCOVER报文申请IP地址时,会构建客户端ID并添加到报文中一起发送.
如果在DHCP服务器上将客户端ID与IP地址绑定,则当该客户端申请IP地址时,DHCP服务器将根据客户端ID查找到对应的IP地址并分配给客户端.
静态绑定的IP地址不能是DHCP服务器的接口IP地址,否则会导致IP地址冲突,被绑定的客户端将无法正常获取到IP地址.
2-9如果作为DHCP客户端的设备,接口的MAC地址相同,则为了区分不同接口,采用静态绑定方式进行地址分配时,需要在服务器上配置静态绑定的客户端ID,而不能配置静态绑定的客户端MAC地址,否则可能导致客户端无法成功获取IP地址.
表2-7配置静态地址绑定操作命令说明进入系统视图system-view-创建DHCP地址池,并进入DHCP地址池视图dhcpserverip-poolpool-name缺省情况下,设备上不存在DHCP地址池配置静态地址绑定static-bindip-addressip-address[mask-length|maskmask]{client-identifierclient-identifier|hardware-addresshardware-address[ethernet|token-ring]}缺省情况下,未配置静态地址绑定多次执行static-bindip-address命令,可以配置多个静态地址绑定同一地址只能绑定给一个客户端.
不允许通过重复执行static-bindip-address命令的方式修改IP地址与客户端的绑定关系.
只有删除了某个地址的绑定关系,才能将该地址与其他客户端绑定(可选)配置静态绑定IP地址的租约有效期限expired{dayday[hourhour[minuteminute[secondsecond]]]|unlimited}缺省情况下,IP地址租约有效期限为1天2.
3.
4配置DHCP客户端使用的网关地址DHCP客户端访问本网段以外的服务器或主机时,数据必须通过网关进行转发.
DHCP服务器可以为客户端指定网关的地址.
在DHCP服务器上,可以为每个地址池分别指定客户端对应的网关地址.
目前,每个DHCP地址池视图下、每个从网段视图下最多可以配置64个网关地址.
表2-8配置DHCP客户端使用的网关地址操作命令说明进入系统视图system-view-创建DHCP地址池,并进入DHCP地址池视图dhcpserverip-poolpool-name缺省情况下,设备上不存在DHCP地址池配置为DHCP客户端分配的网关地址gateway-listip-address&缺省情况下,未配置为DHCP客户端分配的网关地址(可选)进入从网段视图networknetwork-address[mask-length|maskmask]secondary-(可选)配置为DHCP客户端分配的网关地址gateway-listip-address&缺省情况下,未配置为DHCP客户端分配的网关地址2-10DHCP地址池视图下执行gateway-list命令,配置的是为地址池中所有DHCP客户端分配的网关地址.
如果用户需要为地址池下某个从网段的DHCP客户端分配其它的网关地址,可以在地址池的从网段视图下执行gateway-list命令.
如果在地址池视图和从网段视图下都配置了网关地址,则优先将从网段视图下配置的网关地址分配给从网段的DHCP客户端.
2.
3.
5配置DHCP客户端使用的域名后缀在DHCP服务器上,可以为每个地址池指定客户端使用的域名后缀.
在客户端进行域名解析时,用户只需要输入域名的部分字段,客户端会自动将输入的域名加上从DHCP服务器获得的域名后缀进行解析.
有关域名后缀的详细介绍,请参见"三层技术-IP业务配置指导"中的"域名解析".
表2-9配置DHCP客户端使用的域名后缀操作命令说明进入系统视图system-view-创建DHCP地址池,并进入DHCP地址池视图dhcpserverip-poolpool-name缺省情况下,设备上不存在DHCP地址池配置为DHCP客户端分配的域名后缀domain-namedomain-name缺省情况下,未配置为DHCP客户端分配的域名后缀2.
3.
6配置DHCP客户端使用的DNS服务器地址为了使DHCP客户端能够通过域名访问Internet上的主机,DHCP服务器应在为客户端指定DNS(DomainNameSystem,域名系统)服务器地址.
目前,每个DHCP地址池视图下最多可以配置8个DNS服务器地址.
表2-10配置DHCP客户端使用的DNS服务器地址操作命令说明进入系统视图system-view-创建DHCP地址池,并进入DHCP地址池视图dhcpserverip-poolpool-name缺省情况下,设备上不存在DHCP地址池配置为DHCP客户端分配的DNS服务器地址dns-listip-address&缺省情况下,未配置为DHCP客户端分配的DNS服务器地址2-112.
3.
7配置DHCP客户端使用的WINS服务器地址和NetBIOS节点类型对于使用MicrosoftWindows操作系统的客户端,由WINS(WindowsInternetNamingService,WindowsInternet名称服务)服务器为通过NetBIOS协议通信的主机提供主机名到IP地址的解析.
所以,大部分Windows网络客户端需要进行WINS的设置.
为了使DHCP客户端实现主机名到IP地址的解析,DHCP服务器应该为客户端指定WINS服务器地址.
目前,每个DHCP地址池视图下最多可以配置8个WINS服务器地址.
DHCP客户端在网络上使用NetBIOS协议通信时,需要在主机名和IP地址之间建立映射关系.
根据获取映射关系方式的不同,NetBIOS节点分为四种:b类节点(b-node):"b"代表广播(broadcast),即此类节点采用广播方式获取映射关系.
源节点通过发送带有目的节点主机名的广播报文来获取目的节点的IP地址,目的节点收到广播报文后,就将自己的IP地址返回给源节点.
p类节点(p-node):"p"代表端到端(peer-to-peer),即此类节点采用发送单播报文与WINS服务器通信的方式获取映射关系.
源节点给WINS服务器发送单播报文,WINS服务器收到单播报文后,返回源节点请求的目的节点名所对应的IP地址.
m类节点(m-node):"m"代表混合(mixed),是具有部分广播特性的p类节点.
即此类节点首先发送广播报文来获取映射关系,如果没有获取到,则再发送单播报文与WINS服务器通信来获取映射关系.
h类节点(h-node):"h"代表混合(hybrid),是具备"端到端"通信机制的b类节点.
即此类节点首先发送单播报文与WINS服务器通信来获取映射关系,如果没有获取到,再发送广播报文来获取映射关系.
表2-11配置DHCP客户端使用的WINS服务器地址和NetBIOS节点类型操作命令说明进入系统视图system-view-创建DHCP地址池,并进入DHCP地址池视图dhcpserverip-poolpool-name缺省情况下,设备上不存在DHCP地址池配置为DHCP客户端分配的WINS服务器地址nbns-listip-address&缺省情况下,未配置为DHCP客户端分配的WINS服务器地址对于b类节点,为可选;其他情况下,为必选配置为DHCP客户端分配的NetBIOS节点类型netbios-type{b-node|h-node|m-node|p-node}缺省情况下,未配置为DHCP客户端分配的NetBIOS节点类型2.
3.
8配置DHCP客户端使用的BIMS服务器信息为了使DHCP客户端通过BIMS(BranchIntelligentManagementSystem,分支网点智能管理系统)服务器进行软件的备份和升级等操作,DHCP服务器需要将BIMS服务器的IP地址、端口号以及加密的共享密钥等信息发给DHCP客户端.
之后,DHCP客户端就可以定期向BIMS服务器发送连接请求,从BIMS服务器上获取配置文件,进行软件的备份和升级等操作.
2-12表2-12配置DHCP客户端使用的BIMS服务器信息操作命令说明进入系统视图system-view-创建DHCP地址池,并进入DHCP地址池视图dhcpserverip-poolpool-name缺省情况下,设备上不存在DHCP地址池配置为DHCP客户端分配的BIMS服务器的IP地址、端口及共享密钥信息bims-serveripip-address[portport-number]sharekey{cipher|simple}string缺省情况下,未配置为DHCP客户端分配的BIMS服务器信息2.
3.
9配置DHCP客户端使用的TFTP服务器地址及启动文件名或远程启动文件的HTTP形式URL服务器自动配置功能在空配置启动的设备上不需要进行任何配置,但需要在DHCP服务器上配置一些必需的参数,包括TFTP服务器地址、TFTP服务器名和启动文件名或远程启动文件的HTTP形式URL等.
表2-13配置DHCP客户端使用的TFTP服务器地址及启动文件名操作命令说明进入系统视图system-view-创建DHCP地址池,并进入DHCP地址池视图dhcpserverip-poolpool-name缺省情况下,设备上不存在DHCP地址池配置DHCP客户端使用的TFTP服务器地址tftp-serverip-addressip-address二者至少选其一缺省情况下,未配置DHCP客户端使用的TFTP服务器地址和TFTP服务器名配置DHCP客户端使用的TFTP服务器名tftp-serverdomain-namedomain-name配置DHCP客户端使用的启动文件名bootfile-namebootfile-name缺省情况下,未配置DHCP客户端使用的启动文件名表2-14配置DHCP客户端使用的远程启动文件的HTTP形式URL操作命令说明进入系统视图system-view-创建DHCP地址池,并进入DHCP地址池视图dhcpserverip-poolpool-name缺省情况下,设备上不存在DHCP地址池配置DHCP客户端使用的远程启动文件的HTTP形式URLbootfile-nameurl缺省情况下,未配置DHCP客户端使用的远程启动文件的HTTP形式URL2-132.
3.
10配置DHCP客户端使用的下一个提供服务的服务器IP地址设备在启动后,可能需要访问某些服务器获取设备运行需要的信息,例如从TFTP服务器上获取配置文件.
通过本配置可以指定DHCP服务器为DHCP客户端分配的下一个提供服务的服务器IP地址,以便客户端启动后访问该服务器,获取必要的信息.
表2-15配置DHCP客户端使用的下一个提供服务的服务器IP地址操作命令说明进入系统视图system-view-创建DHCP地址池,并进入DHCP地址池视图dhcpserverip-poolpool-name缺省情况下,设备上不存在DHCP地址池配置DHCP地址池为DHCP客户端分配的下一个提供服务的服务器IP地址next-serverip-address缺省情况下,未配置DHCP地址池为DHCP客户端分配的下一个提供服务的服务器IP地址2.
3.
11配置DHCP客户端使用的Option184参数为了使具有语音功能的DHCP客户端能够在通过DHCP获取IP地址的同时,获取到语音呼叫所需的相关信息,需要在DHCP服务器上配置Option184.
Option184内容的详细介绍,请参见"1.
4.
33.
Option184".
表2-16配置DHCP客户端使用的Option184参数操作命令说明进入系统视图system-view-创建DHCP地址池,并进入DHCP地址池视图dhcpserverip-poolpool-name缺省情况下,设备上不存在DHCP地址池配置网络呼叫处理器的地址voice-configncp-ipip-address缺省情况下,未配置网络呼叫处理器的地址只有配置了网络呼叫处理器的地址,其他配置才能生效(可选)配置备用服务器的地址voice-configas-ipip-address缺省情况下,未配置备用服务器的地址(可选)配置语音VLANvoice-configvoice-vlanvlan-id{disable|enable}缺省情况下,未配置语音VLAN(可选)配置自动故障转移呼叫路由voice-configfail-overip-addressdialer-string缺省情况下,未配置自动故障转移呼叫路由2-142.
3.
12自定义DHCP选项自定义DHCP选项时,取值的获取比较复杂,配置错误可能会对DHCP的工作工程造成影响,请谨慎使用该功能.
本配置为DHCP服务器提供了灵活的选项配置方式,使得DHCP服务器可以为DHCP客户端提供更加丰富的选项内容.
在以下情况下,可以使用本命令自定义DHCP选项:随着DHCP的不断发展,新的DHCP选项会陆续出现.
通过自定义DHCP选项,可以方便地添加新的DHCP选项.
有些选项的内容,RFC中没有统一规定.
厂商可以根据需要定义选项的内容,如Option43.
通过自定义DHCP选项,可以为DHCP客户端提供厂商指定的信息.
设备上只提供了有限的选项配置命令(如gateway-list、dns-list命令),对于没有专门命令来配置的DHCP选项,可以通过option命令配置选项内容.
例如,可以通过option4ip-address1.
1.
1.
1命令指定为DHCP客户端分配的时间服务器地址为1.
1.
1.
1.
扩展已有的DHCP选项.
当前已提供的方式无法满足用户需求时(比如通过dns-list命令最多只能配置8个DNS服务器地址,如果用户需要配置的DNS服务器地址数目大于8,则该命令无法满足需求),可以通过自定义DHCP选项的方式进行扩展.
表2-17自定义DHCP地址池选项操作命令说明进入系统视图system-view-创建DHCP地址池,并进入DHCP地址池视图dhcpserverip-poolpool-name缺省情况下,设备上不存在DHCP地址池自定义DHCP地址池选项optioncode{asciiascii-string|hexhex-string|ip-addressip-address&}缺省情况下,未自定义DHCP地址池选项DHCP服务器在应答DHCP客户端报文时,如果DHCP选项组的选项编号和DHCP地址池选项编号相同且匹配用户类时,以DHCP选项组的选项为准表2-18自定义DHCP选项组选项操作命令说明进入系统视图system-view-创建DHCP用户类,并进入DHCP用户类视图dhcpclassclass-name缺省情况下,不存在DHCP用户类2-15操作命令说明配置DHCP用户类的匹配规则if-matchrulerule-number{hardware-addresshardware-addressmaskhardware-address-mask|optionoption-code[asciiascii-string[offsetoffset|partial]|hexhex-string[maskmask|offsetoffsetlengthlength|partial]]|relay-agentgateway-address}缺省情况下,未配置DHCP用户类的匹配规则退回系统视图quit-创建DHCP选项组,并进入DHCP选项组视图dhcpoption-groupoption-group-number缺省情况下,不存在DHCP选项组自定义DHCP选项组选项optionoption-code{asciiascii-string|hexhex-string|ip-addressip-address&}缺省情况下,未定义DHCP选项组的选项DHCP服务器在应答客户端报文时,如果多个DHCP选项组的选项编号相同时,以最先匹配的DHCP用户类对应的DHCP选项组的选项为准创建DHCP地址池,并进入DHCP地址池视图dhcpserverip-poolpool-name缺省情况下,设备上不存在DHCP地址池配置DHCP用户类与DHCP选项组的关联classclass-nameoption-groupoption-group-number缺省情况下,未配置指定DHCP用户类与DHCP选项组的关联表2-19常用Option配置说明选项编号选项名称对应的配置命令推荐的option命令参数3RouterOptiongateway-listip-address6DomainNameServerOptiondns-listip-address15DomainNamedomain-nameascii44NetBIOSoverTCP/IPNameServerOptionnbns-listip-address46NetBIOSoverTCP/IPNodeTypeOptionnetbios-typehex66TFTPservernametftp-serverascii67Bootfilenamebootfile-nameascii43VendorSpecificInformation-hex2.
3.
13配置DHCP用户类白名单功能配置DHCP用户类白名单功能,DHCP服务器只有收到属于用户类白名单的DHCP客户端发送的请求报文,才会进行处理.
如果DHCP客户端请求的是静态绑定租约,则DHCP服务器不进行白名单检查直接进行处理.
2-16表2-20配置DHCP用户白名单功能操作命令说明进入系统视图system-view-创建DHCP用户类,并进入DHCP用户类视图dhcpclassclass-name缺省情况下,不存在DHCP用户类配置DHCP用户类的匹配规则if-matchrulerule-number{hardware-addresshardware-addressmaskhardware-address-mask|optionoption-code[asciiascii-string[offsetoffset|partial]|hexhex-string[maskmask|offsetoffsetlengthlength|partial]]|relay-agentgateway-address}缺省情况下,未配置DHCP用户类的匹配规则返回系统视图quit-创建DHCP地址池,并进入DHCP地址池视图dhcpserverip-poolpool-name缺省情况下,设备上不存在DHCP地址池开启DHCP用户类白名单功能verifyclass缺省情况下,DHCP用户类白名单功能处于关闭状态配置DHCP白名单包括的用户类名validclassclass-name&缺省情况下,未配置DHCP白名单包括的用户类名如果客户端属于其中的一个用户类,表示用户类白名单检查通过2.
4开启DHCP服务只有开启DHCP服务后,其它相关的DHCP服务器配置才能生效.
表2-21开启DHCP服务操作命令说明进入系统视图system-view-开启DHCP服务dhcpenable缺省情况下,DHCP服务处于关闭状态2.
5配置接口工作在DHCP服务器模式配置接口工作在DHCP服务器模式后,当接口收到DHCP客户端发来的DHCP报文时,将从DHCP服务器的地址池中分配地址等参数.
表2-22配置接口工作在DHCP服务器模式操作命令说明进入系统视图system-view-进入接口视图interfaceinterface-typeinterface-number-2-17操作命令说明配置接口工作在DHCP服务器模式dhcpselectserver缺省情况下,接口工作在DHCP服务器模式2.
6配置接口引用地址池创建地址池,并在接口引用该地址池后,接口接收到DHCP请求,将优先为客户端分配静态绑定的IP地址;如果不存在静态绑定的IP地址,则从引用的地址池中选择IP地址分配给客户端.
表2-23配置接口引用地址池操作命令说明进入系统视图system-view-进入接口视图interfaceinterface-typeinterface-number-配置接口引用地址池dhcpserverapplyip-poolpool-name缺省情况下,接口未引用地址池.
如果接口引用的地址池不存在,将导致无法动态分配地址2.
7配置IP地址冲突检测功能为防止IP地址重复分配导致地址冲突,DHCP服务器为客户端分配地址前,需要先对该地址进行探测.
DHCP服务器的地址探测是通过ping功能实现的,通过检测是否能在指定时间内得到ping响应来判断是否存在地址冲突.
DHCP服务器发送目的地址为待分配地址的ICMP回显请求报文.
如果在指定时间内收到ICMP回显响应报文,则认为存在地址冲突.
DHCP服务器从地址池中选择新的IP地址,并重复上述操作.
如果在指定时间内未收到ICMP回显响应报文,则继续发送ICMP回显请求报文,直到发送的ICMP回显显示报文数目达到最大值.
如果仍然未收到ICMP回显响应报文,则将地址分配给客户端,从而确保客户端获得的IP地址唯一.
DHCP服务器通过ping操作来检测是否发生地址冲突,而DHCP客户端则通过发送免费ARP报文检测是否发生地址冲突.
表2-24配置IP地址冲突检测功能操作命令说明进入系统视图system-view-(可选)配置DHCP服务器发送ICMP回显请求报文的最大数目dhcpserverpingpacketsnumber缺省情况下,DHCP服务器发送ICMP回显请求报文的最大数目为10表示DHCP服务器将IP地址分配给DHCP客户端之前,不会通过ping操作探测该地址是否冲突2-18操作命令说明(可选)配置DHCP服务器等待ICMP回显响应报文的超时时间dhcpserverpingtimeoutmilliseconds缺省情况下,DHCP服务器等待ICMP回显响应报文的超时时间为500毫秒0表示DHCP服务器将IP地址分配给DHCP客户端之前,不会通过ping操作探测该地址是否冲突2.
8配置Option82的处理方式如果配置DHCP服务器处理Option82,则当DHCP服务器收到带有Option82的报文后,会在响应报文中携带Option82,并为客户端分配IP地址等信息.
如果配置DHCP服务器忽略Option82,则当DHCP服务器收到带有Option82的报文后,不会在响应报文中携带Option82,只为客户端分配IP地址等信息.
为使Option82功能正常使用,需要在DHCP服务器和DHCP中继上都进行相应配置.
DHCP中继支持Option82功能的相关配置请参见"3.
3.
6配置DHCP中继支持Option82功能".
表2-25配置Option82的处理方式操作命令说明进入系统视图system-view-配置DHCP服务器处理Option82dhcpserverrelayinformationenable缺省情况下,DHCP服务器处理Option822.
9配置DHCP服务器安全功能2.
9.
1配置限制和指导如果网络中存在DHCP中继,DHCP服务器收到的DHCP请求报文中源MAC地址会被DHCP中继替换.
所以这种组网情况下DHCP服务器安全功能不适用,只能开启DHCP中继的安全功能.
关于DHCP中继的安全功能的介绍,请参见"3.
3.
4配置DHCP中继的安全功能".
2.
9.
2配置DHCPFlood攻击防范功能1.
功能简介配置DHCPFlood攻击防范功能后,DHCP服务器会根据DHCP报文中的源MAC地址统计收到的DHCP报文数,并创建一个check状态的DHCP防Flood攻击表项.
当收到某个MAC地址对应DHCP客户端发送的报文数在指定的时间内达到配置的最大报文数时,DHCP服务器认为受到了该DHCP客户端的攻击,DHCP防Flood攻击表项状态从check状态变成restrain状态,且DHCP服务器丢弃该DHCP客户端发送的DHCP报文.
当某个MAC地址对应的DHCPFlood攻击表项老化时间到达后,设备会删除此表项,之后设备再次收到源MAC地址为此MAC地址的DHCP请求报文时会重新统计接收到的报文数目.
2-192.
配置限制和指导DHCPFlood攻击防范功能在三层VXLAN用户侧端口的以太网实例所关联的VSI上配置.
关于三层VXLAN用户侧端口允许的所属接口板,请参见"VXLAN配置指导"中的"VXLANIP网关/VXLANIP网关配置限制和指导".
3.
在VXLAN组网中配置DHCPFlood攻击防范功能操作命令说明进入系统视图system-view-(可选)配置DHCPFlood攻击报文速率阈值dhcpflood-protectionthresholdpacket-numbermilliseconds缺省情况下,DHCPFlood攻击检测的最大报文数为6,检测时间为5000毫秒(可选)配置DHCPFlood攻击表项老化时间dhcpflood-protectionaging-timetime缺省情况下,DHCPFlood攻击表项老化时间为300秒进入VSI视图vsivsi-name-开启DHCPFlood攻击防范功能dhcpflood-protectionenable缺省情况下,DHCPFlood攻击防范功能处于关闭状态2.
9.
3配置防止DHCP饿死攻击1.
功能简介DHCP饿死攻击是指攻击者伪造chaddr字段各不相同的DHCP请求报文,向DHCP服务器申请大量的IP地址,导致DHCP服务器地址池中的地址耗尽,无法为合法的DHCP客户端分配IP地址,或导致DHCP服务器消耗过多的系统资源,无法处理正常业务.
DHCP报文字段的相关内容请参见"1.
3DHCP报文格式".
如果封装DHCP请求报文的数据帧的源MAC地址各不相同,则通过mac-addressmax-mac-count命令限制端口可以学习到的MAC地址数,并配置学习到的MAC地址数达到最大值时,丢弃源MAC地址不在MAC地址表里的报文,能够避免攻击者申请过多的IP地址,在一定程度上阻止了DHCP饿死攻击.
此时,不存在DHCP饿死攻击的端口下的DHCP客户端可以正常获取IP地址,但存在DHCP饿死攻击的端口下的DHCP客户端仍可能无法获取IP地址.
如果封装DHCP请求报文的数据帧的MAC地址都相同,则通过mac-addressmax-mac-count命令无法防止DHCP饿死攻击.
在这种情况下,需要开启DHCP服务器的MAC地址检查功能.
开启该功能后,DHCP服务器检查接收到的DHCP请求报文中的chaddr字段和数据帧的源MAC地址字段是否一致.
如果一致,则认为该报文合法,进行后续处理;如果不一致,则丢弃该报文.
mac-addressmax-mac-count命令的详细介绍,请参见"二层技术-以太网交换"中的"MAC地址表".
2.
配置步骤表2-26开启DHCP服务器源MAC检查功能操作命令说明进入系统视图system-view-2-20操作命令说明进入接口视图interfaceinterface-typeinterface-number-开启DHCP服务器源MAC检查功能dhcpservercheckmac-address缺省情况下,DHCP服务器的MAC地址检查功能处于关闭状态2.
10配置DHCP服务器兼容性当DHCP客户端的行为不符合RFC协议规定时,为了与之兼容,需要配置DHCP服务器兼容性功能.
2.
10.
1配置DHCP服务器始终以广播方式回复请求报文一般情况下,只有DHCP请求报文的广播标志位为1的时候,DHCP服务器才会以广播的方式发送应答报文.
如果DHCP客户端发送的请求报文中广播标志位为0,且该客户端不支持接收单播的应答报文,则可以配置DHCP服务器忽略请求报文的广播标志位,始终以广播方式发送应答报文.
当已经存在IP地址的客户端发出请求报文(即报文中ciaddr字段不为0)时,无论是否开启DHCP服务器的广播回应报文功能,DHCP服务器都会以单播形式将回应报文发送给DHCP客户端(即目的地址为ciaddr).
当请求报文通过DHCP中继转发到DHCP服务器(即报文中giaddr字段不为0)时,无论是否开启DHCP服务器的广播回应报文功能,DHCP服务器都会以单播形式将回应报文发送给DHCP中继(即目的地址为giaddr).
表2-27配置DHCP服务器始终以广播方式回复请求报文操作命令说明进入系统视图system-view-开启DHCP服务器的广播回应报文功能dhcpserveralways-broadcast缺省情况下,DHCP服务器的广播回应报文功能处于关闭状态.
DHCP服务器根据请求报文中的广播标志位来决定以广播还是单播的形式发送应答报文2.
10.
2配置DHCP服务器忽略BOOTP请求报文BOOTP客户端申请到的地址租约是无限期的.
在某些组网环境中,可能不希望出现无限期的地址租约.
此时,可以通过配置DHCP服务器忽略BOOTP请求报文,避免分配无限期的地址租约.
表2-28配置DHCP服务器忽略BOOTP请求报文操作命令说明进入系统视图system-view-配置DHCP服务器忽略BOOTP请求报文dhcpserverbootpignore缺省情况下,DHCP服务器不会忽略BOOTP请求报文2-212.
10.
3配置DHCP服务器以RFC1048规定的格式发送BOOTP应答报文有些BOOTP客户端发送的请求报文中,vend字段的格式不符合RFC1048的要求.
对于这种报文,DHCP服务器的缺省处理方法是不解析vend字段内容,将报文中vend字段的内容拷贝到回复报文中的vend字段回应给BOOTP客户端.
开启DHCP服务器的回应RFC1048格式报文功能后,对于这种格式不符合RFC1048要求的报文,DHCP服务器会将需要回应的选项以符合RFC1048要求的格式,封装到回复报文的vend字段,并回应给BOOTP客户端.
表2-29配置DHCP服务器以RFC1048规定的格式发送BOOTP应答报文操作命令说明进入系统视图system-view-开启DHCP服务器回应RFC1048格式报文功能dhcpserverbootpreply-rfc-1048缺省情况下,DHCP服务器回应RFC1048格式报文功能处于关闭状态本配置只在客户端通过BOOTP报文申请静态绑定地址时有效2.
11配置DHCP服务器发送DHCP报文的DSCP优先级DSCP优先级用来体现报文自身的优先等级,决定报文传输的优先程度.
通过本配置可以指定DHCP服务器发送的DHCP报文的DSCP优先级.
表2-30配置DHCP服务器发送DHCP报文的DSCP优先级操作命令说明进入系统视图system-view-配置DHCP服务器发送DHCP报文的DSCP优先级dhcpdscpdscp-value缺省情况下,DHCP服务器发送DHCP报文的DSCP优先级为562.
12配置DHCP服务器租约固化功能DHCP服务器重启后,设备上记录的租约信息将丢失,会影响DHCP服务器的正常业务.
DHCP服务器租约固化功能将DHCP服务器的核心运行数据(在用地址租约、冲突表项)保存到指定的文件中,DHCP服务器设备重启后,自动根据该文件恢复DHCP服务器的租约信息,从而保证DHCP服务器的租约信息不会丢失.
表2-31配置DHCP服务器租约固化功能操作命令说明进入系统视图system-view-2-22操作命令说明指定存储DHCP服务器表项的文件名称dhcpserverdatabasefilename{filename|urlurl[usernameusername[password{cipher|simple}string]]}缺省情况下,未指定存储DHCP服务器表项的文件名称执行本命令后,会立即触发一次表项备份.
之后,如果未配置dhcpserverdatabaseupdateinterval命令,若表项发生变化,默认在300秒之后刷新存储文件;若表项未发生变化,则不再刷新存储文件(可选)将当前的DHCP服务器表项保存到用户指定的文件中dhcpserverdatabaseupdatenow本命令只用来触发一次DHCP服务器表项的备份(可选)配置刷新DHCP服务器表项存储文件的延迟时间dhcpserverdatabaseupdateintervalinterval缺省情况下,若DHCP服务器表项不变化,则不刷新存储文件;若DHCP服务器表项发生变化,默认在300秒之后刷新存储文件(可选)终止当前的DHCP服务器表项恢复操作dhcpserverdatabaseupdatestop本命令只用来在设备重启时触发一次终止DHCP服务器表项信息的恢复2.
13配置DHCP地址池报警功能为了避免地址池地址耗尽,导致用户无法上线,用户可以设置地址池使用率的告警阀值,当地址池中地址使用率超过阀值时,系统发送到告警信息到设备的信息中心,通过设置信息中心的告警信息的发送参数,最终决定日志报文的输出规则(即是否允许输出以及输出方向),提醒管理员进行地址池合理规划.
有关信息中心参数的配置,请参见"网络管理和监控配置指导"中的"信息中心".
表2-32配置DHCP地址池报警功能操作命令说明进入系统视图system-view-创建DHCP地址池,并进入DHCP地址池视图dhcpserverip-poolpool-name缺省情况下,设备上不存在DHCP地址池配置DHCP地址池报警功能ip-in-usethresholdthreshold-value缺省情况下,地址池使用率告警阈值为100%2-232.
14配置DHCP服务器辅助网关信息图2-1DHCP服务器辅助网关组网图在某些接入组网类型中,如图2-1所示,接入设备上除了配置接入特性还需要配置DHCP服务器功能.
由于接入设备需要接入多种业务的客户端(如IPTV、IP电话和宽带业务等),而不同业务的设备需要获取不同网段的IP地址,所以接入设备的下行口一般不能配置IP地址.
此时可以通过在接入设备的DHCP地址池中配置辅助网关功能使不同类型的业务流量能够正常转发.
将辅助网关的IP地址和MAC地址信息添加到设备的地址管理模块,通过应答客户端的ARP请求,即可实现对不同类型的业务流量的引导.
如果绑定了VPN实例,需保证该VPN实例存在.
满足了以上条件,该接入设备的辅助网关功能才能生效.
表2-33配置DHCP服务器辅助网关信息操作命令说明进入系统视图system-view-创建DHCP地址池,并进入DHCP地址池视图dhcpserverip-poolpool-name缺省情况下,设备上不存在DHCP地址池配置DHCP服务器辅助网关信息gateway-listip-address&export-route缺省情况下,未配置DHCP服务器辅助网关信息宽带业务.
.
.
IPTVIP电话GE1/0/1DHCPserver接入设备2-242.
15配置DHCP服务器辅助路由信息图2-2DHCP服务器辅助路由组网图在某些特定的业务模型(如BRAS组网)下,BAS设备需要实时监测网络流量,并将统计数据发送到RADIUS服务器.
该统计数据为用户上线以来产生的所有上下行流量数据,而不能是设备在某个时间段内发生的上下行流量数据.
由于RADIUS服务器刷新计数的方法是覆盖以前数据而不是进行累加,所以当一台设备的上下行流量分别从两台BAS设备上通过时,在RADIUS服务器上记录的数据就会相互覆盖,这时RADIUS服务器得到的统计数据是不准确的.
为了提高准确性,需保证一台设备的上下行流量经过同一台BAS设备.
通过配置辅助路由信息,通知路由管理对外发布此网段路由,引导指定网段的下行数据流量.
如果绑定了VPN实例,需保证该VPN实例存在.
满足了以上条件,该接入设备的辅助路由功能才能生效.
表2-34配置DHCP服务器的辅助路由信息操作命令说明进入系统视图system-view-创建DHCP地址池,并进入DHCP地址池视图dhcpserverip-poolpool-name缺省情况下,设备上不存在DHCP地址池配置DHCP服务器辅助路由信息networknetwork-address[mask-length|maskmask]export-route[secondary]缺省情况下,未配置DHCP服务器辅助路由信息2.
16为DHCP服务器上的地址池绑定VPN实例当地址池绑定了VPN实例后,DHCP服务器可以将网络划分成公网和VPN私网.
未配置VPN属性的地址池被划分到公网,配置了VPN属性的地址池被划分到相应的VPN私网,这样,对于处于公网或VPN私网中的客户端,服务器都能够选择合适的地址池来为客户端分配租约并且记录该客户端的状态信息.
DHCP客户端的VPN信息可以从认证模块获取,也可以从DHCP服务器接收报文的接口配置的VPN信息获取.
如果以上两种方式都可获取VPN信息,以从认证模块获取的VPN信息为准.
HostAHostBHostC上行数据下行数据DeviceADHCPserverBRASGE1/0/1GE1/0/22.
2.
2.
2/24GE1/0/1GE1/0/22.
2.
2.
3/24DeviceBDHCPserverBRASL2SwitchIPnetworkRADIUSserver2-25表2-35为DHCP服务器上的地址池绑定VPN实例操作命令说明进入系统视图system-view-创建DHCP地址池,并进入DHCP地址池视图dhcpserverip-poolpool-name缺省情况下,设备上不存在DHCP地址池为DHCP服务器上的地址池绑定VPN实例vpn-instancevpn-instance-name缺省情况下,DHCP服务器上的地址池未绑定VPN实例2.
17开启DHCP服务器的用户下线探测功能DHCP服务器的用户下线探测功能以ARP表项老化功能为基础,当ARP表项老化时认为该表项对应的用户已下线.
如果在接口上开启了DHCP服务器的用户下线探测功能,则当ARP表项老化时,系统会删除该表项对应用户的地址绑定信息.
表2-36开启DHCP服务器的用户下线探测功能操作命令说明进入系统视图system-view-进入接口视图interfaceinterface-typeinterface-number-开启DHCP服务器的用户下线探测功能dhcpclient-detect缺省情况下,DHCP服务器的用户下线探测功能处于关闭状态手工删除ARP表项,不会触发DHCP服务器删除对应用户的地址绑定信息.
2.
18开启DHCP服务器日志信息功能DHCP服务器日志是为了满足管理员审计需求.
设备生成DHCP日志信息会交给信息中心模块处理,信息中心模块的配置将决定日志信息的发送规则和发送方向.
关于信息中心的详细描述请参见"网络管理和监控配置指导"中的"信息中心".
比如大量DHCP客户端发生上下线操作时,DHCP服务器会输出大量日志信息,这可能会降低设备性能,影响DHCP服务器分配IP地址的速度.
为了避免该情况的发生,用户可以关闭DHCP服务器日志信息功能,使得DHCP服务器不再输出日志信息.
2-26表2-37开启DHCP服务器日志信息功能操作命令说明进入系统视图system-view-开启DHCP服务器日志信息功能dhcplogenable缺省情况下,DHCP服务器日志信息功能处于关闭状态2.
19DHCP服务器显示和维护DHCP服务器重启或使用resetdhcpserverip-in-use命令清除租约后,DHCP服务器上不存在租约信息.
此时客户端如果发出续约请求将会被拒绝,客户端需要重新申请IP地址.
在完成上述配置后,在任意视图下执行display命令可以显示配置后DHCP服务器的运行情况,通过查看显示信息验证配置的效果.
在用户视图下执行reset命令清除DHCP服务器的相关信息.
表2-38DHCP服务器显示和维护操作命令显示DHCP的地址冲突信息displaydhcpserverconflict[ipip-address][vpn-instancevpn-instance-name]显示DHCP服务器的表项备份信息displaydhcpserverdatabase显示租约过期的地址绑定信息displaydhcpserverexpired[[ipip-address][vpn-instancevpn-instance-name]|poolpool-name]显示DHCP地址池的空闲地址信息displaydhcpserverfree-ip[poolpool-name|vpn-instancevpn-instance-name]显示DHCP地址绑定信息displaydhcpserverip-in-use[[ipip-address][vpn-instancevpn-instance-name]|poolpool-name]显示DHCP服务器的统计信息displaydhcpserverstatistics[poolpool-name|vpn-instancevpn-instance-name]显示DHCP地址池的信息displaydhcpserverpool[pool-name|vpn-instancevpn-instance-name]清除DHCP的地址冲突信息resetdhcpserverconflict[ipip-address][vpn-instancevpn-instance-name]清除租约过期的地址绑定信息resetdhcpserverexpired[[ipip-address][vpn-instancevpn-instance-name]|poolpool-name]清除DHCP的正式绑定和临时绑定信息resetdhcpserverip-in-use[[ipip-address][vpn-instancevpn-instance-name]|poolpool-name]清除DHCP服务器的统计信息resetdhcpserverstatistics[vpn-instancevpn-instance-name]2-272.
20DHCP服务器典型配置举例常见的DHCP组网方式可以分为两类:DHCP服务器和客户端位于同一个网段,直接进行DHCP报文的交互;DHCP服务器和客户端位于不同的网段,必须通过DHCP中继实现IP地址的分配.
无论在哪种情况下,DHCP服务器的配置都是相同的.
2.
20.
1静态绑定地址典型配置举例1.
组网需求SwitchB和SwitchC分别作为DHCP客户端和BOOTP客户端,从DHCP服务器SwitchA获取静态绑定的IP地址、域名服务器、网关地址等信息.
其中:SwitchB上VLAN接口2的客户端ID为:0030-3030-662e-6532-3030-2e30-3030-322d-4574-6865-726e-6574;SwitchC上VLAN接口2的MAC地址为:000f-e200-01c0.
2.
组网图图2-3静态绑定地址组网图3.
配置步骤(1)配置接口的IP地址system-view[SwitchA]interfacevlan-interface2[SwitchA-Vlan-interface2]ipaddress10.
1.
1.
125[SwitchA-Vlan-interface2]quit(2)配置DHCP服务#开启DHCP服务.
[SwitchA]dhcpenable#配置VLAN接口2工作在DHCP服务器模式.
[SwitchA]interfacevlan-interface2[SwitchA-Vlan-interface2]dhcpselectserverVlan-int210.
1.
1.
1/25SwitchBDHCPclientDNSserver10.
1.
1.
2/25SwitchADHCPserverGateway10.
1.
1.
126/25SwitchCBOOTPclientVlan-int2Vlan-int22-28[SwitchA-Vlan-interface2]quit#创建DHCP地址池0.
[SwitchA]dhcpserverip-pool0#配置采用静态绑定方式为SwitchB分配IP地址.
[SwitchA-dhcp-pool-0]static-bindip-address10.
1.
1.
525client-identifier0030-3030-662e-6532-3030-2e30-3030-322d-4574-6865-726e-6574#配置采用静态绑定方式为SwitchC分配IP地址.
[SwitchA-dhcp-pool-0]static-bindip-address10.
1.
1.
625hardware-address000f-e200-01c0#配置域名服务器、网关地址.
[SwitchA-dhcp-pool-0]dns-list10.
1.
1.
2[SwitchA-dhcp-pool-0]gateway-list10.
1.
1.
126[SwitchA-dhcp-pool-0]quit[SwitchA]4.
验证配置配置完成后,SwitchB和SwitchC可以从DHCP服务器SwitchA分别申请到IP地址10.
1.
1.
5和10.
1.
1.
6,并获取相关网络配置参数.
通过displaydhcpserverip-in-use命令可以查看DHCP服务器为客户端分配的IP地址.
[SwitchA]displaydhcpserverip-in-useIPaddressClientidentifier/LeaseexpirationTypeHardwareaddress10.
1.
1.
50030-3030-662e-6532-Jan2114:27:272014Static(C)3030-2e30-3030-322d-4574-6865-726e-657410.
1.
1.
6000f-e200-01c0UnlimitedStatic(C)2.
20.
2动态分配地址典型配置举例1.
组网需求作为DHCP服务器的SwitchA为网段10.
1.
1.
0/24中的客户端动态分配IP地址,该地址池网段分为两个子网网段:10.
1.
1.
0/25和10.
1.
1.
128/25;SwitchA的两个VLAN接口,VLAN接口10和VLAN接口20的地址分别为10.
1.
1.
1/25和10.
1.
1.
129/25;10.
1.
1.
0/25网段内的地址租用期限为10天12小时,域名后缀为aabbcc.
com,DNS服务器地址为10.
1.
1.
2/25,WINS服务器地址为10.
1.
1.
4/25,网关的地址为10.
1.
1.
126/25;10.
1.
1.
128/25网段内的地址租用期限为5天,域名后缀为aabbcc.
com,DNS服务器地址为10.
1.
1.
2/25,无WINS服务器地址,网关的地址为10.
1.
1.
254/25.
2-292.
组网图图2-4DHCP组网图3.
配置步骤(1)配置端口属于VLAN及对应VLAN接口的IP地址(略)(2)配置DHCP服务#开启DHCP服务.
system-view[SwitchA]dhcpenable#配置VLAN接口10和VLAN接口20工作在DHCP服务器模式.
[SwitchA]interfacevlan-interface10[SwitchA-Vlan-interface10]dhcpselectserver[SwitchA-Vlan-interface10]quit[SwitchA]interfacevlan-interface20[SwitchA-Vlan-interface20]dhcpselectserver[SwitchA-Vlan-interface20]quit#配置不参与自动分配的IP地址(DNS服务器、WINS服务器和网关地址).
[SwitchA]dhcpserverforbidden-ip10.
1.
1.
2[SwitchA]dhcpserverforbidden-ip10.
1.
1.
4[SwitchA]dhcpserverforbidden-ip10.
1.
1.
126[SwitchA]dhcpserverforbidden-ip10.
1.
1.
254#配置DHCP地址池1,用来为10.
1.
1.
0/25网段内的客户端分配IP地址和网络配置参数.
[SwitchA]dhcpserverip-pool1[SwitchA-dhcp-pool-1]network10.
1.
1.
0mask255.
255.
255.
128[SwitchA-dhcp-pool-1]expiredday10hour12[SwitchA-dhcp-pool-1]domain-nameaabbcc.
com[SwitchA-dhcp-pool-1]dns-list10.
1.
1.
2[SwitchA-dhcp-pool-1]gateway-list10.
1.
1.
126[SwitchA-dhcp-pool-1]nbns-list10.
1.
1.
4[SwitchA-dhcp-pool-1]quit#配置DHCP地址池2,用来为10.
1.
1.
128/25网段内的客户端分配IP地址和网络配置参数.
[SwitchA]dhcpserverip-pool2[SwitchA-dhcp-pool-2]network10.
1.
1.
128mask255.
255.
255.
128WINSserver10.
1.
1.
4/25ClientSwitchBClientDNSserver10.
1.
1.
2/25SwitchADHCPserverVlan-int2010.
1.
1.
129/25Vlan-int1010.
1.
1.
1/25ClientClientClientClientVlan-int10GatewayBGatewayA10.
1.
1.
126/2510.
1.
1.
254/252-30[SwitchA-dhcp-pool-2]expiredday5[SwitchA-dhcp-pool-2]domain-nameaabbcc.
com[SwitchA-dhcp-pool-2]dns-list10.
1.
1.
2[SwitchA-dhcp-pool-2]gateway-list10.
1.
1.
254[SwitchA-dhcp-pool-2]quit4.
验证配置配置完成后,10.
1.
1.
0/25和10.
1.
1.
128/25网段的客户端可以从DHCP服务器SwitchA申请到相应网段的IP地址和网络配置参数.
通过displaydhcpserverip-in-use命令可以查看DHCP服务器为客户端分配的IP地址.
[SwitchA]displaydhcpserverip-in-useIPaddressClientidentifier/LeaseexpirationTypeHardwareaddress10.
1.
1.
30031-3865-392e-6262-Jan1422:25:032015Auto(C)3363-2e30-3230-352d-4745-302f-3010.
1.
1.
50031-fe65-4203-7e02-Jan1422:25:032015Auto(C)3063-5b30-3230-4702-620e-712f-5e10.
1.
1.
1303030-3030-2e30-3030-Jan910:45:112015Auto(C)662e-3030-3033-2d45-7568-6572-1e10.
1.
1.
1313030-0020-fe02-3020-Jan910:45:112015Auto(C)7052-0201-2013-1e020201-9068-2310.
1.
1.
1322020-1220-1102-3021-Jan910:45:112015Auto(C)7e52-0211-2025-34020201-9068-9a10.
1.
1.
1332021-d012-0202-4221-Jan910:45:112015Auto(C)8852-0203-2022-55e03921-0104-312.
20.
3按用户类分配地址典型配置举例1.
组网需求SwitchA作为DHCP中继转发DHCP报文.
在SwitchA上配置DHCP中继支持Option82功能,使得SwitchA能够为DHCP客户端发送的请求报文添加Option82.
SwitchB作为DHCP服务器为客户端分配IP地址和其他网络配置参数.
如果SwitchB接收到的请求报文中带有Option82,则为该客户端分配地址范围10.
10.
1.
2到10.
10.
1.
10内的IP地址.
如果RouterB接收到的请求报文匹配硬件地址aabb-aabb-aab0,硬件地址掩码为ffff-ffff-fff0,则为该客户端分配地址围10.
10.
1.
11到10.
10.
1.
26内的IP地址.
SwitchB为10.
10.
1.
0/24网段内的客户端分配的DNS服务器地址为10.
10.
1.
20/24,网关的地址为10.
10.
1.
254/24.
2-312.
组网图图2-5按DHCP用户类分配地址典型组网图3.
配置步骤(1)配置DHCPserver和DHCPrelayagent各个接口的IP地址(略)(2)配置DHCP服务#开启DHCP服务,且配置DHCP服务器处理Option82信息.
system-view[SwitchB]dhcpenable[SwitchB]dhcpserverrelayinformationenable#配置VLAN接口10工作在DHCP服务器模式.
[SwitchB]interfacevlan-interface10[SwitchB-Vlan-interface10]dhcpselectserver[SwitchB-Vlan-interface10]quit#创建DHCP用户类tt,设置匹配规则编号为1,匹配请求报文中带有Option82的客户端.
[SwitchB]dhcpclasstt[SwitchB-dhcp-class-tt]if-matchrule1option82[SwitchB-dhcp-class-tt]quit#创建DHCP用户类ss,设置匹配规则编号1,匹配硬件地址aabb-aabb-aab0,硬件地址掩码ffff-ffff-fff0的请求报文.
[SwitchB]dhcpclassss[SwitchB-dhcp-class-ss]if-matchrule1hardware-addressaabb-aabb-aab0maskffff-ffff-fff0[SwitchB-dhcp-class-ss]quit#创建DHCP地址池aa,配置地址范围和用户类tt的地址范围,配置网关和DNS服务器的地址.
[SwitchB]dhcpserverip-poolaa[SwitchB-dhcp-pool-aa]network10.
10.
1.
0mask255.
255.
255.
0[SwitchB-dhcp-pool-aa]addressrange10.
10.
1.
210.
10.
1.
100[SwitchB-dhcp-pool-aa]classttrange10.
10.
1.
210.
10.
1.
10[SwitchB-dhcp-pool-aa]classssrange10.
10.
1.
1110.
10.
1.
26[SwitchB-dhcp-pool-aa]gateway-list10.
10.
1.
254[SwitchB-dhcp-pool-aa]dns-list10.
10.
1.
20[SwitchB-dhcp-pool-aa]quitDNSserverDHCPclientGatewaySwitchADHCPrelayagentSwitchBDHCPserverVlan-int2010.
10.
1.
1/24Vlan-int1010.
1.
1.
2/24Vlan-int1010.
1.
1.
1/242-324.
验证配置配置完成后,10.
10.
1.
0/24网段的客户端通过用户类分配方式可以从DHCP服务器SwitchB申请到相应地址范围的IP地址和网络配置参数.
通过displaydhcpserverip-in-use命令可以查看DHCP服务器为它分配的IP地址.
[SwitchB]displaydhcpserverip-in-useIPaddressClientidentifier/LeaseexpirationTypeHardwareaddress10.
10.
1.
20031-3865-392e-6262-Jan1422:25:032015Auto(C)3363-2e30-3230-352d-4745-302f-3010.
10.
1.
11aabb-aabb-aab1Jan1422:25:032015Auto(C)2.
20.
4用户类白名单功能典型配置举例1.
组网需求SwitchB作为DHCP服务器只为局域网中匹配硬件地址aabb-aabb-0000,硬件地址掩码为ffff-ffff-0000的DHCP客户端动态分配网段为10.
1.
1.
0/24的IP地址.
2.
组网图图2-6用户类白名单功能典型组网图3.
配置步骤(1)配置DHCP服务器接口的IP地址(略)(2)配置DHCP服务#开启DHCP服务system-view[SwitchB]dhcpenable#配置VLAN接口2工作在DHCP服务器模式[SwitchB]interfacevlan-interface2[SwitchB-Vlan-interface2]dhcpselectserver[SwitchB-Vlan-interface2]quit#创建DHCP用户类ss,设置匹配规则编号1,匹配硬件地址为aabb-aabb-0000,硬件地址掩码为ffff-ffff-0000[SwitchB]dhcpclassss[SwitchB-dhcp-class-ss]if-matchrule1hardware-addressaabb-aabb-0000maskffff-ffff-0000[SwitchB-dhcp-class-ss]quit#创建DHCP地址池aa,配置可分配的地址范围为10.
1.
1.
0/24,开启用户类白名单功能,配置白名单中包括的用户类为ss[SwitchB]dhcpserverip-poolaa[SwitchB-dhcp-pool-aa]network10.
1.
1.
0mask255.
255.
255.
0Vlan-int210.
1.
1.
1/24Vlan-int2SwitchADHCPclientSwitchBDHCPserver2-33[SwitchB-dhcp-pool-aa]verifyclass[SwitchB-dhcp-pool-aa]validclassss[SwitchB-dhcp-pool-aa]quit4.
验证配置配置完成后,匹配地址aabb-aabb-0000,掩码ffff-ffff-0000的客户端可以从DHCP服务器SwitchB申请到地址范围为10.
1.
1.
0/24网段的IP地址.
通过displaydhcpserverip-in-use命令可以查看DHCP服务器分配的IP地址.
[SwitchB]displaydhcpserverip-in-useIPaddressClientidentifier/LeaseexpirationTypeHardwareaddress10.
1.
1.
2aabb-aabb-ab01Jan1422:25:032015Auto(C)2.
20.
5主从网段典型配置举例1.
组网需求作为DHCP服务器的SwitchA为局域网中的客户端动态分配IP地址.
DHCP服务器地址池中有两个网段的地址:10.
1.
1.
0/24和10.
1.
2.
0/24.
当10.
1.
1.
0/24网段没有空闲地址后,DHCP服务器继续从10.
1.
2.
0/24网段中选择IP地址分配给客户端.
SwitchA为网段10.
1.
1.
0/24内的客户端分配的网关地址为10.
1.
1.
254/24;为网段10.
1.
2.
0/24内的客户端分配的网关地址为10.
1.
2.
254/24.
2.
组网图图2-7主从网段组网图3.
配置步骤#开启DHCP服务.
system-view[SwitchA]dhcpenable#配置VLAN接口10的主从IP地址,并配置该接口工作在DHCP服务器模式.
[SwitchA]interfacevlan-interface10[SwitchA-Vlan-interface10]ipaddress10.
1.
1.
124[SwitchA-Vlan-interface10]ipaddress10.
1.
2.
124sub[SwitchA-Vlan-interface10]dhcpselectserver.
.
.
GatewayDHCPclientDHCPclientDHCPclientSwitchADHCPserverVlan-int1010.
1.
1.
1/2410.
1.
2.
1/24sub2-34[SwitchA-Vlan-interface10]quit#创建DHCP地址池aa,配置主网段地址范围和从网段地址范围,配置网关地址.
[SwitchA]dhcpserverip-poolaa[SwitchA-dhcp-pool-aa]network10.
1.
1.
0mask255.
255.
255.
0[SwitchA-dhcp-pool-aa]gateway-list10.
1.
1.
254[SwitchA-dhcp-pool-aa]network10.
1.
2.
0mask255.
255.
255.
0secondary[SwitchA-dhcp-pool-aa-secondary]gateway-list10.
1.
2.
254[SwitchA-dhcp-pool-aa-secondary]quit[SwitchA-dhcp-pool-aa]quit4.
验证配置配置完成后,当DHCP服务器地址池主网段中没有空闲地址分配给客户端时,服务器会从该地址池中的从网段获取地址分配给客户端IP地址和网络配置参数.
通过displaydhcpserverip-in-use命令可以查看DHCP服务器已分配的主从网段IP地址.
(此处只截取部分显示信息)[SwitchA]displaydhcpserverip-in-useIPaddressClientidentifier/LeaseexpirationTypeHardwareaddress10.
1.
1.
20031-3865-392e-6262-Jan1422:25:032015Auto(C)3363-2e30-3230-352d-4745-302f-3010.
1.
2.
23030-3030-2e30-3030-Jan1422:25:032015Auto(C)662e-3030-3033-2d45-7568-6572-1e2.
20.
6自定义DHCP选项典型配置举例1.
组网需求DHCP客户端SwitchB从DHCP服务器SwitchA获取IP地址和PXE引导服务器地址信息:IP地址所在网段为10.
1.
1.
0/24;匹配硬件地址aabb-aabb-0000,硬件地址掩码ffff-ffff-0000的客户端的PXE引导服务器地址为2.
3.
4.
5和3.
3.
3.
3,其他客户端的PXE引导服务器地址为1.
2.
3.
4和2.
2.
2.
2.
DHCP服务器需要通过自定义DHCP选项的方式配置Option43的内容,从而实现为客户端分配PXE引导服务器地址.
Option43和PXE服务器地址列表的格式分别如图1-5和图1-7.
DHCP服务器上地址池中配置的Option43选项内容为800B0000020102030402020202,其中80为子选项类型(Sub-optiontype),0B为子选项长度(Sub-optionlength),0000为PXE服务器类型(PXEservertype),02为服务器数目(Servernumber),0102030402020202为服务器的IP地址1.
2.
3.
4和2.
2.
2.
2.
2.
组网图图2-8自定义DHCP选项典型配置举例SwitchADHCPserverSwitchBDHCPclientVlan-int210.
1.
1.
1/24Vlan-int22-353.
配置步骤(1)配置各接口的IP地址(略)(2)配置DHCP服务#开启DHCP服务.
system-view[SwitchA]dhcpenable#创建DHCP用户类ss,设置匹配规则编号1,匹配硬件地址aabb-aabb-0000,硬件地址掩码为ffff-ffff-0000.
[SwitchA]dhcpclassss[SwitchA-dhcp-class-ss]if-matchrule1hardware-addressaabb-aabb-0000maskffff-ffff-0000[SwitchA-dhcp-class-ss]quit#创建DHCP选项组1,配置选项信息.
[SwitchA]dhcpoption-group1[SwitchA-dhcp-option-group-1]option43hex800B0000020203040503030303#配置VLAN接口2工作在DHCP服务器模式.
[SwitchA]interfacevlan-interface2[SwitchA-Vlan-interface2]dhcpselectserver[SwitchA-Vlan-interface2]quit#配置DHCP地址池0.
[SwitchA]dhcpserverip-pool0[SwitchA-dhcp-pool-0]network10.
1.
1.
0mask255.
255.
255.
0[SwitchA-dhcp-pool-0]option43hex800B0000020102030402020202[SwitchA-dhcp-pool-0]classssoption-group1[SwitchA-dhcp-pool-0]quit4.
验证配置配置完成后,SwitchB可以从DHCP服务器SwitchA获取到10.
1.
1.
0/24网段的IP地址和PXE引导服务器地址.
通过displaydhcpserverip-in-use命令可以查看DHCP服务器为客户端分配的IP地址.
[SwitchA]displaydhcpserverip-in-useIPaddressClientidentifier/LeaseexpirationTypeHardwareaddress10.
1.
1.
2aabb-aabb-ab01Jan1422:25:032015Auto(C)2.
21DHCP服务器常见配置错误举例1.
故障现象客户端从DHCP服务器动态获得的IP地址与其他主机IP地址冲突.
2.
故障分析可能是网络上有主机私自配置了IP地址,导致冲突.
3.
故障处理(1)禁用客户端的网卡或断开其网线,从另外一台主机执行ping操作,检查网络中是否已经存在该IP地址的主机.
2-36(2)如果能够收到ping操作的响应消息,则说明该IP地址已由用户静态配置.
在DHCP服务器上执行dhcpserverforbidden-ip命令,禁止该IP地址参与动态地址分配.
(3)重新启用客户端的网卡或连接好其网线,在客户端释放并重新获取IP地址.
以WindowsXP为例,在Windows环境下运行cmd进入DOS环境,使用ipconfig/release命令释放IP地址,之后使用ipconfig/renew重新获取IP地址.
3-13DHCP中继3.
1DHCP中继简介3.
1.
1DHCP中继的应用环境由于在IP地址动态获取过程中采用广播方式发送请求报文,因此DHCP只适用于DHCP客户端和服务器处于同一个子网内的情况.
为进行动态主机配置,需要在所有网段上都设置一个DHCP服务器,这显然是很不经济的.
DHCP中继功能的引入解决了这一难题:客户端可以通过DHCP中继与其他网段的DHCP服务器通信,最终获取到IP地址.
这样,多个网络上的DHCP客户端可以使用同一个DHCP服务器,既节省了成本,又便于进行集中管理.
设备作为MCE(Multi-VPN-instanceCustomerEdge,多VPN实例用户网络边界设备)时,在设备上配置DHCP中继功能,不仅可以为公网上的DHCP服务器和DHCP客户端转发DHCP报文,还可以实现为私网内的DHCP服务器和DHCP客户端转发DHCP报文.
MCE的详细介绍,请参见"MPLS配置指导"中的"MPLSL3VPN".
3.
1.
2DHCP中继的基本原理图3-1是DHCP中继的典型应用示意图.
图3-1DHCP中继的典型组网应用通过DHCP中继完成动态配置的过程中,DHCP客户端与DHCP服务器的处理方式与不通过DHCP中继时的处理方式基本相同.
下面只说明DHCP中继的转发过程,报文的具体交互过程请参见"1.
2.
2IP地址获取过程".
IPnetworkDHCPserverDHCPrelayagentDHCPclientDHCPclientDHCPclientDHCPclient3-2图3-2DHCP中继的工作过程如图3-2所示,DHCP中继的工作过程为:(1)具有DHCP中继功能的网络设备收到DHCP客户端以广播方式发送的DHCP-DISCOVER或DHCP-REQUEST报文后,将报文中的giaddr字段填充为DHCP中继的IP地址,并根据配置将报文单播转发给指定的DHCP服务器.
(2)DHCP服务器根据giaddr字段为客户端分配IP地址等参数,并通过DHCP中继将配置信息转发给客户端,完成对客户端的动态配置.
3.
1.
3DHCP中继支持Option82功能Option82记录了DHCP客户端的位置信息.
管理员可以利用该选项定位DHCP客户端,实现根据Option82为客户端分配特定范围的地址、对客户端进行安全和计费等控制.
Option82的详细介绍请参见"1.
4.
32.
中继代理信息选项(Option82)".
如果DHCP中继支持Option82功能,则当DHCP中继接收到DHCP请求报文后,将根据报文中是否包含Option82以及用户配置的处理策略及填充模式等对报文进行相应的处理,并将处理后的报文转发给DHCP服务器.
具体的处理方式见表3-1.
如果DHCP中继收到的应答报文中带有Option82,则会将Option82删除后再转发给DHCP客户端.
表3-1DHCP中继支持Option82的处理方式收到DHCP请求报文处理策略DHCP中继对报文的处理收到的报文中带有Option82Drop丢弃报文Keep保持报文中的Option82不变并进行转发Replace根据DHCP中继上配置的填充模式、内容、格式等填充Option82,替换报文中原有的Option82并进行转发收到的报文中不带有Option82-根据DHCP中继上配置的填充模式、内容、格式等填充Option82,添加到报文中并进行转发DHCP-DISCOVER(broadcast)DHCP-OFFERDHCP-REQUEST(broadcast)DHCP-ACKDHCPclientDHCPrelayagentDHCPserverDHCP-DISCOVER(unicast)DHCP-OFFER(unicast)DHCP-REQUEST(unicast)DHCP-ACK(unicast)3-33.
2DHCP中继配置任务简介表3-2DHCP中继配置任务简介配置任务说明详细配置开启DHCP服务必选3.
3.
1配置接口工作在DHCP中继模式必选3.
3.
2指定DHCP服务器的地址必选3.
3.
3配置DHCP中继的安全功能可选3.
3.
4配置通过DHCP中继释放客户端的IP地址可选3.
3.
5配置DHCP中继支持Option82功能可选3.
3.
6配置DHCP中继发送DHCP报文的DSCP优先级可选3.
3.
7配置DHCP中继支持代理功能可选3.
3.
8指定中继地址池对应的DHCP服务器地址可选3.
3.
9配置DHCP中继在DHCP报文中填充的中继地址可选3.
3.
10配置DHCP中继的用户下线探测功能可选3.
3.
11配置DHCP中继支持smart-relay功能可选3.
3.
12配置DHCP中继选择DHCP服务器方式可选3.
3.
13指定DHCP中继向DHCP服务器转发报文的源地址可选3.
3.
14配置DHCP中继丢弃从VXLAN隧道收到的DHCP请求报文可选3.
3.
153.
3配置DHCP中继3.
3.
1开启DHCP服务只有开启DHCP服务后,其它相关的DHCP中继配置才能生效.
表3-3开启DHCP服务操作命令说明进入系统视图system-view-开启DHCP服务dhcpenable缺省情况下,DHCP服务处于关闭状态3.
3.
2配置接口工作在DHCP中继模式配置接口工作在中继模式后,当接口收到DHCP客户端发来的DHCP报文时,会将报文转发给DHCP服务器,由服务器分配地址.
3-4DHCP客户端通过DHCP中继获取IP地址时,DHCP服务器上需要配置与DHCP中继连接DHCP客户端的接口IP地址所在网段(网络号和掩码)匹配的地址池,否则会导致DHCP客户端无法获得正确的IP地址.
表3-4配置接口工作在DHCP中继模式操作命令说明进入系统视图system-view-进入接口视图interfaceinterface-typeinterface-number-配置接口工作在DHCP中继模式dhcpselectrelay缺省情况下,开启DHCP服务后,接口工作在DHCP服务器模式3.
3.
3指定DHCP服务器的地址为了提高可靠性,可以在一个网络中设置多个DHCP服务器.
DHCP中继上配置多个DHCP服务器后,DHCP中继会将客户端发来的DHCP报文转发给所有的服务器.
指定的DHCP服务器的IP地址不能与DHCP中继的接口IP地址在同一网段.
否则,可能导致客户端无法获得IP地址.
表3-5指定DHCP服务器的地址操作命令说明进入系统视图system-view-进入接口视图interfaceinterface-typeinterface-number-指定DHCP服务器的地址dhcprelayserver-addressip-address缺省情况下,未指定DHCP服务器的地址通过多次执行dhcprelayserver-address命令可以指定多个DHCP服务器,一个接口下最多可以指定8个DHCP服务器3.
3.
4配置DHCP中继的安全功能1.
配置DHCP中继用户地址表项记录功能为了防止非法主机静态配置一个IP地址并访问外部网络,设备支持DHCP中继用户地址表项记录功能.
开启该功能后,当客户端通过DHCP中继从DHCP服务器获取到IP地址时,DHCP中继可以自动记录客户端IP地址与硬件地址的绑定关系,生成DHCP中继的用户地址表项.
本功能与其他IP地址安全功能(如ARP地址检查、授权ARP和IPSourceGuard)配合,可以实现只允许匹配用户地址表项中绑定关系的报文通过DHCP中继.
从而,保证非法主机不能通过DHCP中继与外部网络通信.
3-5表3-6配置DHCP中继用户地址表项记录功能操作命令说明进入系统视图system-view-开启DHCP中继的用户地址表项记录功能dhcprelayclient-informationrecord缺省情况下,DHCP中继用户地址表项记录功能处于关闭状态2.
配置DHCP中继动态用户地址表项定时刷新功能DHCP客户端释放动态获取的IP地址时,会向DHCP服务器单播发送DHCP-RELEASE报文,DHCP中继不会处理该报文的内容.
如果此时DHCP中继上记录了该IP地址与MAC地址的绑定关系,则会造成DHCP中继的用户地址表项无法实时刷新.
为了解决这个问题,DHCP中继支持动态用户地址表项的定时刷新功能.
DHCP中继动态用户地址表项定时刷新功能开启时,DHCP中继每隔指定时间采用客户端获取到的IP地址和DHCP中继接口的MAC地址向DHCP服务器发送DHCP-REQUEST报文:如果DHCP中继接收到DHCP服务器响应的DHCP-ACK报文或在指定时间内未接收到DHCP服务器的响应报文,则表明这个IP地址已经可以进行分配,DHCP中继会删除动态用户地址表中对应的表项.
为了避免地址浪费,DHCP中继收到DHCP-ACK报文后,会发送DHCP-RELEASE报文释放申请到的IP地址.
如果DHCP中继接收到DHCP服务器响应的DHCP-NAK报文,则表示该IP地址的租约仍然存在,DHCP中继不会删除该IP地址对应的表项.
表3-7配置DHCP中继动态用户地址表项定时刷新功能操作命令说明进入系统视图system-view-开启DHCP中继动态用户地址表项定时刷新功能dhcprelayclient-informationrefreshenable缺省情况下,DHCP中继动态用户地址表项定时刷新功能处于开启状态配置DHCP中继动态用户地址表项的定时刷新周期dhcprelayclient-informationrefresh[auto|intervalinterval]缺省情况下,定时刷新周期为auto,即根据表项的数目自动计算刷新时间间隔3.
配置DHCPFlood攻击防范功能配置DHCPFlood攻击防范功能后,DHCP中继会根据DHCP报文中的源MAC地址统计收到的DHCP报文数,并创建一个check状态的DHCP防Flood攻击表项.
当收到某个MAC地址对应DHCP客户端发送的报文数在指定的时间内达到配置的最大报文数时,DHCP中继认为受到了该DHCP客户端的攻击,DHCP防Flood攻击表项状态从check状态变成restrain状态,且DHCP中继丢弃该DHCP客户端发送的DHCP报文.
DHCP中继在DHCPFlood攻击表项老化时间到达后删除对应的DHCPFlood攻击表项,这时DHCP中继会根据DHCP报文中的源MAC地址重新统计收到的DHCP报文数.
3-6DHCPFlood攻击防范功能在三层VXLAN用户侧端口的以太网实例所关联的VSI上配置.
关于三层VXLAN用户侧端口允许的所属接口板,请参见"VXLAN配置指导"中的"VXLANIP网关/VXLANIP网关配置限制和指导".
在VXLAN组网内配置DHCPFlood攻击防范功能的步骤如下:操作命令说明进入系统视图system-view-(可选)配置DHCPFlood攻击报文速率阈值dhcpflood-protectionthresholdpacket-numbermilliseconds缺省情况下,DHCPFlood攻击检测的最大报文数为6,检测时间为5000毫秒(可选)配置DHCPFlood攻击表项老化时间dhcpflood-protectionaging-timetime缺省情况下,DHCPFlood攻击表项老化时间为300秒进入VSI视图vsivsi-name-开启DHCPFlood攻击防范功能dhcpflood-protectionenable缺省情况下,DHCPFlood攻击防范功能处于关闭状态4.
配置防止DHCP饿死攻击DHCP饿死攻击是指攻击者伪造chaddr字段各不相同的DHCP请求报文,向DHCP服务器申请大量的IP地址,导致DHCP服务器地址池中的地址耗尽,无法为合法的DHCP客户端分配IP地址,或导致DHCP服务器消耗过多的系统资源,无法处理正常业务.
如果封装DHCP请求报文的数据帧的源MAC地址各不相同,则限制三层接口上可以学习到的ARP表项数,或限制二层端口上可以学习到的MAC地址数,并配置学习到的MAC地址数达到最大值时,丢弃源MAC地址不在MAC地址表里的报文,能够避免攻击者申请过多的IP地址,在一定程度上缓解DHCP饿死攻击.
如果封装DHCP请求报文的数据帧的源MAC地址都相同,则通过上述方法无法防止DHCP饿死攻击.
在这种情况下,需要开启DHCP中继的MAC地址检查功能.
开启该功能后,DHCP中继检查接收到的DHCP请求报文中的chaddr字段和数据帧的源MAC地址字段是否一致.
如果一致,则认为该报文合法,将其转发给DHCP服务器;如果不一致,则丢弃该报文.
因为DHCP中继转发DHCP报文时会修改报文的源MAC地址,所以只能在靠近DHCP客户端的第一跳DHCP中继设备上开启MAC地址检查功能.
设备支持配置DHCP中继的MAC地址检查表项老化时间,当老化时间到达以后,该表项信息会被老化掉,DHCP中继收到该MAC地址对应的DHCP请求报文后重新进行合法性检查.
表3-8开启DHCP中继的MAC地址检查功能操作命令说明进入系统视图system-view-配置DHCP中继的MAC地址检查表项的老化时间dhcprelaycheckmac-addressaging-timetime缺省情况下,DHCP中继的MAC地址检查表项的老化时间为30秒如果未通过dhcprelaycheckmac-address命令开启DHCP中继的MAC地址检查功能,则本命令的配置不会生效3-7操作命令说明进入接口视图interfaceinterface-typeinterface-number-开启DHCP中继的MAC地址检查功能dhcprelaycheckmac-address缺省情况下,DHCP中继的MAC地址检查功能处于关闭状态3.
3.
5配置通过DHCP中继释放客户端的IP地址在某些情况下,可能需要通过DHCP中继手工释放客户端申请到的IP地址.
如果DHCP中继上存在客户端IP地址对应的动态用户地址表项,则配置通过DHCP中继释放该客户端IP地址后,DHCP中继会主动向DHCP服务器发送DHCP-RELEASE报文.
DHCP服务器收到该报文后,将会释放指定IP地址的租约.
DHCP中继也会删除该动态用户地址表项.
释放的客户端IP地址必须是动态用户地址表项中存在的IP地址,否则DHCP中继无法释放该IP地址.
表3-9配置通过DHCP中继释放客户端的IP地址操作命令说明进入系统视图system-view-向DHCP服务器请求释放客户端申请到的IP地址dhcprelayreleaseipip-address[vpn-instancevpn-instance-name]-3.
3.
6配置DHCP中继支持Option82功能为使Option82功能正常使用,需要在DHCP服务器和DHCP中继上都进行相应配置.
DHCP服务器的相关配置请参见"2.
8配置Option82的处理方式".
表3-10配置DHCP中继支持Option82功能操作命令说明进入系统视图system-view-进入接口视图interfaceinterface-typeinterface-number-开启DHCP中继支持Option82功能dhcprelayinformationenable缺省情况下,DHCP中继支持Option82功能处于关闭状态(可选)配置DHCP中继对包含Option82的请求报文的处理策略dhcprelayinformationstrategy{drop|keep|replace}缺省情况下,处理策略为replaceDHCP中继对包含Option82请求报文的处理策略为replace时,需要配置Option82的填充模式和填充格式;处理策略为keep或drop时,不需要配置Option82的填充模式和填充格式3-8操作命令说明(可选)配置CircuitID子选项的填充模式和填充格式dhcprelayinformationcircuit-id{bas|stringcircuit-id|vxlan-port|{normal|verbose[node-identifier{mac|sysname|user-definednode-identifier}][interface]}[format{ascii|hex}]}缺省情况下,CircuitID子选项的填充模式为Normal,填充格式为hex如果以设备的系统名称(sysname)作为节点标识填充DHCP报文的Option82,则系统名称中不能包含空格;否则,DHCP中继添加或替换Option82失败(可选)配置RemoteID子选项的填充模式和填充格式dhcprelayinformationremote-id{normal[format{ascii|hex}]|stringremote-id|sysname}缺省情况下,RemoteID子选项的填充模式为Normal;填充格式为hex3.
3.
7配置DHCP中继发送DHCP报文的DSCP优先级DSCP优先级用来体现报文自身的优先等级,决定报文传输的优先程度.
通过本配置可以指定DHCP中继发送的DHCP报文的DSCP优先级.
表3-11配置DHCP中继发送DHCP报文的DSCP优先级操作命令说明进入系统视图system-view-配置DHCP中继发送DHCP报文的DSCP优先级dhcpdscpdscp-value缺省情况下,DHCP中继发送的DHCP报文的DSCP优先级为563.
3.
8配置DHCP中继支持代理功能设备可以通过配置DHCP中继支持代理功能,来防止非法用户攻击DHCP服务器.
开启该功能后,DHCP中继收到DHCP服务器的应答报文,会把报文中的DHCP服务器地址修改为中继的接口地址,并转发给DHCP客户端.
当DHCP客户端通过DHCP中继从DHCP服务器获取到IP地址等网络参数后,DHCP客户端会把DHCP中继当做自己的服务器,来进行后续的DHCP功能的报文交互.
从而达到了把真正的DHCP服务器和DHCP客户端隔离开,保护DHCP服务器的目的.
表3-12配置DHCP中继支持代理功能操作命令说明进入系统视图system-view-进入接口视图interfaceinterface-typeinterface-number-配置DHCP中继支持代理功能dhcpselectrelayproxy缺省情况下,开启DHCP服务后,接口工作在DHCP服务器模式3-93.
3.
9指定中继地址池对应的DHCP服务器地址对于某些特定的用户接入方式,基于用户接入位置信息的不同,网络中存在大量不同类型的用户.
为了使相同类型的用户可以从指定的DHCP服务器申请IP地址等网络参数,设备根据用户注册信息,使不同的用户选择不同的DHCP中继地址池,并从中继地址池下配置的DHCP服务器获取IP地址等网络参数.
为了提高可靠性,一个DHCP中继地址池下配置多个DHCP服务器地址,当DHCP客户端匹配该中继地址池后,DHCP中继会将DHCP客户端发来的DHCP报文转发给该地址池对应所有的DHCP服务器.
一台DHCP中继的一个接口下可能连接不同类型的用户,当DHCP中继转发DHCP客户端请求报文给DHCP服务器时,不能再以中继接口的IP地址作为选择地址池的依据.
为了解决这个问题,需要使用gateway-list命令指定某个类型用户所在的网段,并将该地址添加到转发给DHCP服务器的报文字段中,为DHCP服务器选择地址池提供依据.
表3-13指定中继地址池对应的DHCP服务器地址操作命令说明进入系统视图system-view-创建地址池,并进入地址池视图dhcpserverip-poolpool-name缺省情况下,设备上不存在地址池指定匹配该地址池的DHCPv4客户端所在的网段地址gateway-listip-address&[export-route]缺省情况下,未指定匹配该地址池的DHCP客户端所在的网段地址指定中继地址池对应的DHCP服务器地址remote-serverip-address&缺省情况下,未指定中继地址池对应的DHCP服务器的地址通过执行remote-server命令一次最多可以指定8个DHCP服务器的地址信息3.
3.
10配置DHCP中继在DHCP报文中填充的中继地址当未开启该功能时,DHCP中继收到DHCP客户端的请求报文后,只能将接口的主IP地址添加到报文中,然后转发给DHCP服务器.
对于某些特定需求,DHCP中继需要添加指定的地址到报文中,这时就需要配置此功能.
表3-14配置DHCP中继在DHCP报文中填充的中继地址操作命令说明进入系统视图system-view-进入接口视图interfaceinterface-typeinterface-number-配置DHCP中继在DHCP报文中填充的中继地址dhcprelaygatewayip-address缺省情况下,DHCP中继填充的中继地址是接口下的主IP地址3-103.
3.
11配置DHCP中继的用户下线探测功能DHCP中继的用户下线探测功能以ARP表项老化功能为基础,当ARP表项老化时认为该表项对应的用户已经下线.
如果在接口上配置了DHCP中继的用户下线检测功能,则当ARP表项老化时,DHCP中继认为该表项对应的用户已经下线,删除对应的用户地址表项,并通过发送Release报文通知DHCP服务器删除下线用户的IP地址租约.
表3-15配置DHCP中继的用户下线探测功能操作命令说明进入系统视图system-view-开启DHCP中继的用户地址表项记录功能dhcprelayclient-informationrecord缺省情况下,DHCP中继用户地址表项记录功能处于关闭状态用户需要开启DHCP中继用户地址表项记录功能,否则用户下线探测功能无法完全生效进入接口视图interfaceinterface-typeinterface-number-配置接口工作在DHCP中继模式dhcpselectrelay缺省情况下,开启DHCP服务后,接口工作在DHCP服务器模式开启DHCP中继的用户下线探测功能dhcpclient-detect缺省情况下,DHCP中继的用户下线探测功能处于关闭状态手工删除ARP表项,不会触发DHCP中继删除对应的用户地址表项.
3.
3.
12配置DHCP中继支持smart-relay功能当DHCP中继收到DHCP客户端发来的请求报文时,会使用中继接口的主IP地址填充请求报文的giaddr字段,然后转发给DHCP服务器,DHCP服务器根据giaddr字段中的地址选择合适的地址池为客户端分配IP地址.
当DHCP服务器中该网段地址分配完毕后,不管DHCP服务器上是否存在其他网段的地址,都不会再为该DHCP中继下的其他DHCP客户端分配IP地址.
DHCP中继通过smart-relay解决上述问题,开启该功能后,DHCP中继可以使用除中继接口主地址外的其他IP地址来填充giaddr字段,从而使DHCP客户端可以获取到其他网段的IP地址.
根据组网不同,DHCP中继支持smart-relay有以下两种配置方式:对于普通组网,用户可以在DHCP中继接口上配置从IP地址.
这样,当DHCP服务器上匹配中继接口主地址的地址网段分配完毕后,DHCP中继可以使用中继接口的从IP地址来填充请求报文的giaddr字段.
这时,DHCP服务器可以从匹配从IP地址的地址池网段中为DHCP客户端分配IP地址.
对于某些用户接入方式,用户可以配置中继地址池,并通过gateway-list命令指定多个IP地址.
DHCP中继先用配置的第一个地址填充giaddr字段,当DHCP服务器上匹配该地址的地址网段3-11分配完毕后,DHCP中继将依次选择gateway-list命令中配置的下一个IP地址来填充giaddr字段.
这时,DHCP服务器可以从匹配下一个IP地址的地址池网段中为DHCP客户端分配IP地址.
DHCP中继转发3次DHCP-DISCOVER报文后,若还未收到DHCP服务器的应答报文,DHCP中继将使用下一个可用IP地址来填充giaddr字段.
DHCP中继使用所有配置的IP地址填充giaddr字段之后,将重新选择第一个配置的IP地址进入下一个循环.
表3-16配置DHCP中继支持smart-relay功能(普通组网)操作命令说明进入系统视图system-view-进入接口视图interfaceinterface-typeinterface-number-配置接口工作在DHCP中继模式dhcpselectrelay缺省情况下,开启DHCP服务后,接口工作在DHCP服务器模式配置DHCPv4客户端所在的网段地址ipaddressip-address{mask-length|mask}[sub]缺省情况下,接口下不存在地址返回系统视图quit-开启DHCP中继支持smart-relay功能dhcpsmart-relayenable缺省情况下,DHCP中继支持smart-relay功能处于关闭状态表3-17配置DHCP中继支持smart-relay功能(用户接入方式)操作命令说明进入系统视图system-view-进入接口视图interfaceinterface-typeinterface-number-配置接口工作在DHCP中继模式dhcpselectrelay缺省情况下,开启DHCP服务后,接口工作在DHCP服务器模式退回系统视图quit-创建中继地址池,并进入中继地址池视图dhcpserverip-poolpool-name缺省情况下,设备上不存在中继地址池指定匹配该地址池的DHCPv4客户端所在的网段地址gateway-listip-address&[export-route]缺省情况下,未指定匹配该地址池的DHCP客户端所在的网段地址指定中继地址池对应的DHCP服务器地址remote-serverip-address&缺省情况下,未指定中继地址池对应的DHCP服务器的地址通过执行remote-server命令一次最多可以指定8个DHCP服务器的地址信息退回系统视图quit-开启DHCP中继支持smart-relay功能dhcpsmart-relayenable缺省情况下,DHCP中继支持smart-relay功能处于关闭状态3-123.
3.
13配置DHCP中继选择DHCP服务器方式一般来说,DHCP中继是向所有DHCP服务器转发DHCP请求报文(即polling方式),且DHCP客户端会选择最快收到DHCP应答报文.
如果用户想指定一台DHCP服务器作为主用DHCP服务器,其他DHCP服务器只在主用DHCP服务器不可用或没有空闲地址时才起作用,就需要DHCP中继支持优先选择用户期望的DHCP服务器作为主用DHCP服务器的功能.
当DHCP中继使用主备方式选择DHCP服务器后,会优先向配置的第一个DHCP服务器地址转发DHCP请求报文.
当该DHCP服务器确定无法分配IP地址时,DHCP中继将之后的DHCP请求报文向下一个DHCP服务器地址转发.
如果DHCP中继已切换到配置的最后一个DHCP服务器地址且发现该DHCP服务器仍不可用,则重新选择第一个配置的DHCP服务器地址进入下一个循环.
主备方式有两种配置方法:对于普通组网,用户可以在DHCP中继接口上指定多个DHCP服务器地址.
这样当配置DHCP中继主备方式选择DHCP服务器时,配置的第一个地址对应的DHCP服务器为主用DHCP服务器,之后配置的地址对应的DHCP服务器为备用DHCP服务器.
对于某些用户接入方式,用户需配置中继地址池,并指定多个DHCP服务器地址.
这样当配置DHCP中继主备方式选择DHCP服务器时,配置的第一个地址对应的DHCP服务器为主用DHCP服务器,之后配置的地址对应的DHCP服务器为备用DHCP服务器.
此外,配置DHCP中继选择DHCP服务器还支持配置以下功能:配置DHCP服务器应答超时切换时间,缺省应答超时切换时间为30秒.
当DHCP中继向DHCP服务器转发DHCP请求报文,如果超过配置的应答超时切换时间后还未收到该DHCP服务器的应答报文,则DHCP中继认为该DHCP服务器已不可用,并切换到下一个DHCP服务器.
配置回切主用DHCP服务器并指定回切延迟时间,缺省DHCP中继是不回切的.
当用户在DHCP中继配置了回切主用DHCP服务器延迟时间且当前生效的不是主用DHCP服务器时,经过该回切延迟时间后,DHCP服务器会将DHCP请求报文转发到主用DHCP服务器.
如果主用DHCP服务器不可用或没有空闲地址时则重新使用当前生效的DHCP服务器;如果主用DHCP服务器可用则继续使用主用DHCP服务器.
表3-18配置DHCP中继选择DHCP服务器方式(接口视图)操作命令说明进入系统视图system-view-进入接口视图interfaceinterface-typeinterface-number-配置接口工作在DHCP中继模式dhcpselectrelay缺省情况下,开启DHCP服务后,接口工作在DHCP服务器模式配置DHCP服务器地址dhcprelayserver-addressip-address缺省情况下,未配置DHCP服务器配置DHCP中继选择DHCP服务器方式dhcprelayserver-addressalgorithm{master-backup|polling}缺省情况下,DHCP中继同时向所有DHCP服务器转发DHCP请求报文(polling方式)(可选)配置DHCP服务器应答超时切换时间dhcprelaydhcp-servertimeouttime缺省情况下,DHCP服务器应答超时切换时间为30秒(可选)配置回切主用DHCP服务器并指定回切延迟时间dhcprelaymaster-serverswitch-delaydelay-time缺省情况下,DHCP中继不回切到主用DHCP服务器3-13表3-19配置DHCP中继选择DHCP服务器方式(中继地址池视图)操作命令说明进入系统视图system-view-进入接口视图interfaceinterface-typeinterface-number-配置接口工作在DHCP中继模式dhcpselectrelay缺省情况下,开启DHCP服务后,接口工作在DHCP服务器模式退回系统视图quit-创建DHCP地址池,并进入DHCP地址池视图dhcpserverip-poolpool-name缺省情况下,设备上不存在DHCP地址池指定匹配该地址池的DHCPv4客户端所在的网段地址gateway-listip-address&[export-route]缺省情况下,未指定匹配该地址池的DHCP客户端所在的网段地址指定中继地址池对应的DHCP服务器地址remote-serverip-address&缺省情况下,未指定中继地址池对应的DHCP服务器的地址通过执行remote-server命令一次最多可以指定8个DHCP服务器的地址信息配置DHCP中继选择DHCP服务器方式remote-serveralgorithm{master-backup|polling}缺省情况下,DHCP中继同时向所有DHCP服务器转发DHCP请求报文(polling方式)(可选)配置DHCP服务器应答超时切换时间dhcp-servertimeouttime缺省情况下,DHCP服务器应答超时切换时间为30秒(可选)配置回切主用DHCP服务器并指定回切延迟时间master-serverswitch-delaydelay-time缺省情况下,DHCP中继不回切到主用DHCP服务器3.
3.
14指定DHCP中继向DHCP服务器转发报文的源地址在某些组网中,多个DHCP中继接口IP地址相同或者中继接口IP到服务器没有可达路由,用户需要配置本命令选择中继设备上的另一个接口(一般选择的是Loopback口)的IP地址填充到发送到DHCP服务器的DHCP请求报文中的源地址字段和Giaddr中.
当多个DHCP中继接口IP地址相同时,导致DHCP中继转发DHCP应答报文时候无法根据目的IP地址找到唯一的出接口.
配置本功能时需要先开启DHCP中继支持Option82功能,DHCP中继收到DHCP请求报文时在Option82中的子选项sub-option5填充正确的子网网段,服务器可以根据中继填充的sub-option5来分配地址,之后DHCP中继处理DHCP应答报文时通过MAC地址表中的接口信息转发DHCP报文.
表3-20指定DHCP中继向DHCP服务器转发报文的源地址操作命令说明进入系统视图system-view-3-14操作命令说明进入接口视图interfaceinterface-typeinterface-number-指定DHCP中继向DHCP服务器转发报文的源地址dhcprelaysource-address{ip-address|interfaceinterface-typeinterface-number}缺省情况下,未指定DHCP中继向DHCP服务器转发报文的源地址一个接口下只能指定一个DHCP中继向DHCP服务器转发报文的源地址3.
3.
15配置DHCP中继丢弃从VXLAN隧道收到的DHCP请求报文1.
功能简介在VXLAN组网中,用户可以在VTEP设备上的VSI虚接口上配置DHCP中继功能.
当从AC(Accesscircuit,接入电路)链路上收到DHCP请求报文时,DHCP中继将此DHCP请求报文转发给DHCP服务器.
同时,VTEP还会将该请求报文广播到其他的VTEP.
其他VTEP接收到后,其他VTEP如果配置了DHCP中继,则会在收到报文后,将其转发给其他DHCP服务器.
当多台VTEP设备配置了DHCP中继功能后,为了避免在DHCP服务器上收到多个相同的DHCP请求报文,需要在和DHCP客户端非直接相连的DHCP中继的VSI虚接口上配置本功能丢弃从VXLAN隧道收到DHCP请求报文.
2.
配置步骤表3-21配置DHCP中继丢弃从VXLAN隧道收到DHCP请求报文操作命令说明进入系统视图system-view-进入VSI虚接口视图interfacevsi-interfacevsi-number-配置DHCP中继丢弃从VXLAN隧道收到DHCP请求报文dhcprelayrequest-from-tunneldiscard缺省情况下,DHCP中继转发从VXLAN隧道收到DHCP请求报文设备同时作为分布式VXLANIP网关和集中式VXLANIP网关时,如需配置本功能,则分布式VXLANIP网关和集中式VXLANIP网关不要共用同一个VSI虚接口3.
4DHCP中继显示和维护在完成上述配置后,在任意视图下执行display命令可以显示配置后DHCP中继的运行情况,通过查看显示信息验证配置的效果.
在用户视图下执行reset命令清除DHCP中继的统计信息.
3-15表3-22DHCP中继显示和维护操作命令显示接口上指定的DHCP服务器地址信息displaydhcprelayserver-address[interfaceinterface-typeinterface-number]显示DHCP中继上的Option82配置信息displaydhcprelayinformation[interfaceinterface-typeinterface-number]显示DHCP中继的用户地址表项信息displaydhcprelayclient-information[interfaceinterface-typeinterface-number|ipip-address[vpn-instancevpn-instance-name]]显示DHCP中继的相关报文统计信息displaydhcprelaystatistics[interfaceinterface-typeinterface-number]显示DHCP中继的MAC地址检查表项displaydhcprelaycheckmac-address清除DHCP中继的用户地址表项信息resetdhcprelayclient-information[interfaceinterface-typeinterface-number|ipip-address[vpn-instancevpn-instance-name]]清除DHCP中继的相关报文统计信息resetdhcprelaystatistics[interfaceinterface-typeinterface-number]3.
5DHCP中继典型配置举例3.
5.
1DHCP中继配置举例1.
组网需求DHCP客户端所在网段为10.
10.
1.
0/24,DHCP服务器的IP地址为10.
1.
1.
1/24;由于DHCP客户端和DHCP服务器不在同一网段,因此,需要在客户端所在网段设置DHCP中继设备,以便客户端可以从DHCP服务器申请到10.
10.
1.
0/24网段的IP地址及相关配置信息;SwitchA作为DHCP中继通过端口(属于VLAN10)连接到DHCP客户端所在的网络,交换机VLAN接口10的IP地址为10.
10.
1.
1/24,VLAN接口20的IP地址为10.
1.
1.
2/24.
3-162.
组网图图3-3DHCP中继组网示意图3.
配置步骤#配置各接口的IP地址(略).
#开启DHCP服务.
system-view[SwitchA]dhcpenable#配置VLAN接口10工作在DHCP中继模式.
[SwitchA]interfacevlan-interface10[SwitchA-Vlan-interface10]dhcpselectrelay#配置DHCP服务器的地址.
[SwitchA-Vlan-interface10]dhcprelayserver-address10.
1.
1.
1配置完成后,DHCP客户端可以通过DHCP中继从DHCP服务器获取IP地址及相关配置信息.
通过displaydhcprelaystatistics命令可以显示DHCP中继转发的DHCP报文统计信息;如果在DHCP中继上通过dhcprelayclient-informationrecord命令开启了DHCP中继的用户地址表项记录功能,则可以通过displaydhcprelayclient-information命令可以显示通过DHCP中继获取IP地址的客户端信息.
由于DHCP中继连接客户端的接口IP地址与DHCP服务器的IP地址不在同一网段,因此需要在DHCP服务器上通过静态路由或动态路由协议保证两者之间路由可达.
为了使DHCP客户端能从DHCP服务器获得IP地址,还需要在DHCP服务器上进行一些配置.
DHCP服务器的配置方法,请参见"2.
20DHCP服务器典型配置举例".
3.
5.
2DHCP中继支持Option82配置举例1.
组网需求在DHCP中继SwitchA上开启Option82功能;对包含Option82的请求报文的处理策略为replace;SwitchBDHCPserverSwitchADHCPrelayagentDHCPclientDHCPclientDHCPclientDHCPclientVlan-int2010.
1.
1.
2/24Vlan-int1010.
10.
1.
1/24Vlan-int2010.
1.
1.
1/243-17CiruictID填充内容为company001,RemoteID填充内容为device001;SwitchA将添加Option82的DHCP请求报文转发给DHCP服务器SwitchB,使得DHCP客户端可以获取到IP地址.
2.
组网图如图3-3所示.
3.
配置步骤#配置各接口的IP地址(略).
#开启DHCP服务.
system-view[SwitchA]dhcpenable#配置VLAN接口10工作在DHCP中继模式.
[SwitchA]interfacevlan-interface10[SwitchA-Vlan-interface10]dhcpselectrelay#指定DHCP服务器的地址.
[SwitchA-Vlan-interface10]dhcprelayserver-address10.
1.
1.
1#配置Option82的处理策略和填充内容.
[SwitchA-Vlan-interface10]dhcprelayinformationenable[SwitchA-Vlan-interface10]dhcprelayinformationstrategyreplace[SwitchA-Vlan-interface10]dhcprelayinformationcircuit-idstringcompany001[SwitchA-Vlan-interface10]dhcprelayinformationremote-idstringdevice001为使Option82功能正常使用,DHCP服务器也需要进行相应配置.
3.
5.
3DHCP中继选择DHCP服务器方式配置举例1.
组网需求DHCP客户端所在网段为22.
22.
22.
0/24;由于DHCP客户端和DHCP服务器不在同一网段,需要在客户端所在网段设置DHCP中继,以便DHCP客户端可以从DHCP服务器申请到22.
22.
22.
0/24网段的IP地址及相关配置信息;DHCP中继SwitchA通过VLAN接口2连接到DHCP客户端所在的网络,VLAN接口2的IP地址为22.
22.
22.
1/24,通过VLAN接口3连接SwitchB,VLAN接口3的IP地址为1.
1.
1.
100/24,通过VLAN接口4连接SwitchC,VLAN接口4的IP地址为2.
2.
2.
100/24;SwitchB配置了22.
22.
22.
0网段的地址池,但未开启DHCP服务;SwitchC配置了22.
22.
22.
0网段的地址池,也未开启DHCP服务.
3-182.
组网图图3-4DHCP中继组网示意图3.
配置步骤(1)配置各设备上各接口的IP地址(略).
(2)配置DHCP服务器SwitchB和SwitchC(略).
(3)配置DHCP中继SwitchA.
#开启DHCP服务.
system-view[SwitchA]dhcpenable#配置VLAN接口2工作在DHCP中继模式.
[SwitchA]interfacevlan-interface2[SwitchA-Vlan-interface2]dhcpselectrelay#指定DHCP服务器的IP地址.
[SwitchA-Vlan-interface2]dhcprelayserver-address1.
1.
1.
1[SwitchA-Vlan-interface2]dhcprelayserver-address2.
2.
2.
2#指定DHCP中继选择DHCP服务器方式为主备方式.
[SwitchA-Vlan-interface2]dhcprelayserver-addressalgorithmmaster-backup#配置回切主用DHCP服务器并指定回切延迟时间为3分钟.
[SwitchA-Vlan-interface2]dhcprelaymaster-serverswitch-delay34.
验证配置#配置完成后,DHCP客户端一开始不能申请到IP地址,等待大约30秒后打印日志信息.
DHCPR/3/DHCPR_SERVERCHANGE:-MDC=1;Switchedtotheserverat2.
2.
2.
2becausethecurrentserverdidnotrespond.
#用户开启SwitchB的DHCP服务.
#此时DHCP客户端无法申请到IP地址,再等待大约3分钟后打印日志信息.
DHCPR/3/DHCPR_SWITCHMASTER:-MDC=1;SwitchedtothemasterDHCPserverat1.
1.
1.
1.
Vlan-int222.
22.
22.
1/24SwitchADHCPrelayagentVlan-int31.
1.
1.
100/24Vlan-int42.
2.
2.
100/24SwitchBDHCPserver11.
1.
1.
1/24SwitchCDHCPserver22.
2.
2.
2/24DHCPclient3-19#此时DHCP客户端可以成功申请到IP地址.
3.
6DHCP中继常见配置错误举例1.
故障现象客户端不能通过DHCP中继获得配置信息.
2.
故障分析DHCP中继或DHCP服务器的配置可能有问题.
可以打开调试开关显示调试信息,并通过执行display命令显示接口状态信息的方法来分析定位.
3.
故障处理检查DHCP服务器和DHCP中继是否开启了DHCP服务.
检查DHCP服务器是否配置有DHCP客户端所在网段的地址池.
检查具有DHCP中继功能的网络设备和DHCP服务器是否配置有相互可达的路由.
检查具有DHCP中继功能的网络设备是否在连接DHCP客户端所在网段的接口上指定了正确的DHCP服务器地址.
4-14DHCP客户端4.
1DHCP客户端简介为了方便用户配置和集中管理,可以指定设备的接口作为DHCP客户端,使用DHCP协议从DHCP服务器动态获得IP地址等参数.
DHCP客户端中对于接口的相关配置,目前只能在三层以太网接口、VLAN接口和三层聚合接口上进行.
4.
2配置接口通过DHCP协议获取IP地址配置接口通过DHCP协议获取IP地址,需要注意:接口作为DHCP客户端多次申请IP地址失败后,将停止申请,并为接口配置缺省IP地址.
接口可以采用多种方式获得IP地址,新的配置方式会覆盖原有的配置方式.
当接口被配置为通过DHCP动态获取IP地址后,不能再给该接口配置从IP地址.
如果DHCP服务器为接口分配的IP地址与设备上其他接口的IP地址在同一网段,则该接口不会使用该IP地址,且会再向DHCP服务器重新申请IP地址.
表4-1配置接口通过DHCP协议获取IP地址操作命令说明进入系统视图system-view-进入接口视图interfaceinterface-typeinterface-number-配置接口通过DHCP协议获取IP地址ipaddressdhcp-alloc缺省情况下,接口不通过DHCP协议获取IP地址4.
3配置接口使用的DHCP客户端IDDHCP客户端ID用来填充DHCP报文Option61,作为识别DHCP客户端的唯一标识.
DHCP服务器可以根据客户端ID为特定的客户端分配特定的IP地址.
DHCP客户端ID包括类型和取值两部分,用户可以通过以下三种方法指定DHCP客户端ID:当客户端ID的取值为ASCII字符串时,对应的类型值为00;当客户端ID的取值为十六进制数时,对应的类型值为该十六进制数的前两个字符;当表示以太网中的客户端时,对应的类型值为01.
以上三种方式都需要由用户保证不同客户端的客户端ID不会相同.
表4-2配置接口使用的DHCP客户端ID操作命令说明进入系统视图system-view-进入接口视图interfaceinterface-typeinterface-number-4-2操作命令说明配置接口使用的DHCP客户端IDdhcpclientidentifier{asciiascii-string|hexhex-string|macinterface-typeinterface-number}缺省情况下,根据本接口MAC地址生成DHCP客户端ID,如果本接口没有MAC地址,则获取设备第一个以太接口的MAC地址生成DHCP客户端ID4.
4开启地址冲突检查功能通常情况下,DHCP客户端上开启地址冲突检查功能,通过发送和接收ARP报文,对DHCP服务器分配的IP地址进行地址冲突检测.
如果攻击者仿冒地址拥有者进行ARP应答,就可以欺骗DHCP客户端,导致DHCP客户端无法正常使用分配到的IP地址.
在网络中存在上述攻击者时,建议在客户端上关闭地址冲突检查功能.
表4-3开启地址冲突检查功能操作命令说明进入系统视图system-view-开启地址冲突检查功能dhcpclientdadenable缺省情况下,地址冲突检查功能处于开启状态4.
5配置DHCP客户端发送DHCP报文的DSCP优先级DSCP优先级用来体现报文自身的优先等级,决定报文传输的优先程度.
通过本配置可以指定DHCP客户端发送的DHCP报文的DSCP优先级.
表4-4配置DHCP客户端发送DHCP报文的DSCP优先级操作命令说明进入系统视图system-view-配置DHCP客户端发送DHCP报文的DSCP优先级dhcpclientdscpdscp-value缺省情况下,DHCP客户端发送的DHCP报文的DSCP优先级为564.
6DHCP客户端显示和维护在完成上述配置后,在任意视图下执行display命令可以显示配置后DHCP客户端的信息,通过查看显示信息验证配置的效果.
4-3表4-5DHCP客户端显示和维护操作命令显示DHCP客户端的相关信息displaydhcpclient[verbose][interfaceinterface-typeinterface-number]4.
7DHCP客户端典型配置举例1.
组网需求SwitchB的端口(属于VLAN2)接入局域网,VLAN接口2通过DHCP协议从DHCP服务器获取IP地址、DNS服务器地址和静态路由信息:DHCP客户端的IP地址所在网段为10.
1.
1.
0/24;DNS服务器地址为20.
1.
1.
1;静态路由信息为到达20.
1.
1.
0/24网段的下一跳地址是10.
1.
1.
2.
DHCP服务器需要通过自定义选项的方式配置Option121的内容,以便为客户端分配静态路由信息.
Option121的格式如图4-1所示.
其中,目的描述符由子网掩码长度和目的网络地址两部分组成.
在本例中,目的描述符字段取值为18140101(十六进制数值,表示子网掩码长度为24,目的网络地址为20.
1.
1.
0);下一跳地址字段取值为0A010102(十六进制数值,表示下一跳地址为10.
1.
1.
2).
图4-1Option121选项格式2.
组网图图4-2DHCP客户端配置举例组网图3.
配置步骤(1)配置DHCP服务器SwitchA#配置接口的IP地址.
Destinationdescriptor(variable)Optiontype(0x79)OptionlengthNexthopaddress0715SwitchBDHCPclientDNSserverSwitchADHCPserverVlan-int210.
1.
1.
1/24Vlan-int2SwitchC10.
1.
1.
2/2420.
1.
1.
2/2420.
1.
1.
1/244-4system-view[SwitchA]interfacevlan-interface2[SwitchA-Vlan-interface2]ipaddress10.
1.
1.
124[SwitchA-Vlan-interface2]quit#开启DHCP服务.
[SwitchA]dhcpenable#配置不参与自动分配的IP地址.
[SwitchA]dhcpserverforbidden-ip10.
1.
1.
2#配置DHCP地址池0,采用动态绑定方式分配IP地址.
可分配的网段为10.
1.
1.
0/24,租约有效期限为10天,DNS服务器地址为20.
1.
1.
1,到达20.
1.
1.
0/24网段的下一跳地址是10.
1.
1.
2.
[SwitchA]dhcpserverip-pool0[SwitchA-dhcp-pool-0]network10.
1.
1.
0mask255.
255.
255.
0[SwitchA-dhcp-pool-0]expiredday10[SwitchA-dhcp-pool-0]dns-list20.
1.
1.
1[SwitchA-dhcp-pool-0]option121hex181401010A010102(2)配置DHCP客户端SwitchB#配置VLAN接口2通过DHCP动态获取地址.
system-view[SwitchB]interfacevlan-interface2[SwitchB-Vlan-interface2]ipaddressdhcp-alloc[SwitchB-Vlan-interface2]quit4.
验证配置#通过displaydhcpclient命令可以查看SwitchB申请到的IP地址和网络配置参数.
[SwitchB]displaydhcpclientverboseVlan-interface2DHCPclientinformation:Currentstate:BOUNDAllocatedIP:10.
1.
1.
3255.
255.
255.
0Allocatedlease:864000seconds,T1:331858seconds,T2:756000secondsLeasefromMay2119:00:292012toMay3119:00:292012DHCPserver:10.
1.
1.
1TransactionID:0xcde72232Classlessstaticroutes:Destination:20.
1.
1.
0,Mask:255.
255.
255.
0,NextHop:10.
1.
1.
2DNSservers:20.
1.
1.
1ClientIDtype:acsii(typevalue=00)ClientIDvalue:000c.
29d3.
8659-Vlan2ClientID(withtype)hex:0030-3030-632e-3239-6433-2e38-3635-392d-4574-6830-2f30-2f32T1willtimeoutin3days19hours48minutes43seconds#通过displayiprouting-table命令可以查看SwitchB的路由表中添加了到达20.
1.
1.
0/24网络的静态路由.
[SwitchB]displayiprouting-tableDestinations:11Routes:114-5Destination/MaskProtoPreCostNextHopInterface10.
1.
1.
0/24Direct0010.
1.
1.
3Vlan210.
1.
1.
3/32Direct00127.
0.
0.
1InLoop020.
1.
1.
0/24Static70010.
1.
1.
2Vlan210.
1.
1.
255/32Direct0010.
1.
1.
3Vlan2127.
0.
0.
0/8Direct00127.
0.
0.
1InLoop0127.
0.
0.
0/32Direct00127.
0.
0.
1InLoop0127.
0.
0.
1/32Direct00127.
0.
0.
1InLoop0127.
255.
255.
255/32Direct00127.
0.
0.
1InLoop0224.
0.
0.
0/4Direct000.
0.
0.
0NULL0224.
0.
0.
0/24Direct000.
0.
0.
0NULL0255.
255.
255.
255/32Direct00127.
0.
0.
1InLoop05-15DHCPSnooping设备只有位于DHCP客户端与DHCP服务器之间,或DHCP客户端与DHCP中继之间时,DHCPSnooping功能配置后才能正常工作;设备位于DHCP服务器与DHCP中继之间时,DHCPSnooping功能配置后不能正常工作.
5.
1DHCPSnooping简介5.
1.
1DHCPSnooping作用DHCPSnooping是DHCP的一种安全特性,具有如下功能:1.
保证客户端从合法的服务器获取IP地址网络中如果存在私自架设的非法DHCP服务器,则可能导致DHCP客户端获取到错误的IP地址和网络配置参数,从而无法正常通信.
为了使DHCP客户端能通过合法的DHCP服务器获取IP地址,DHCPSnooping安全机制允许将端口设置为信任端口和不信任端口:信任端口正常转发接收到的DHCP报文.
不信任端口接收到DHCP服务器响应的DHCP-ACK和DHCP-OFFER报文后,丢弃该报文.
在DHCPSnooping设备上指向DHCP服务器方向的端口需要设置为信任端口,其他端口设置为不信任端口,从而保证DHCP客户端只能从合法的DHCP服务器获取IP地址,私自架设的伪DHCP服务器无法为DHCP客户端分配IP地址.
2.
记录DHCP客户端IP地址与MAC地址的对应关系DHCPSnooping通过监听DHCP-REQUEST报文和信任端口收到的DHCP-ACK报文,记录DHCPSnooping表项,其中包括客户端的MAC地址、DHCP服务器为DHCP客户端分配的IP地址、与DHCP客户端连接的端口及VLAN等信息.
利用这些信息可以实现:ARP快速应答:根据DHCPSnooping表项来判断是否进行ARP快速应答,从而减少ARP广播报文.
ARP快速应答的详细介绍请参见"三层技术-IP业务配置指导"中的"ARP快速应答".
ARPDetection:根据DHCPSnooping表项来判断发送ARP报文的用户是否合法,从而防止非法用户的ARP攻击.
ARPDetection的详细介绍请参见"安全配置指导"中的"ARP攻击防御".
MFF(MAC-ForcedForwarding):在MFF的自动方式中,设备截获到用户发送的ARP请求后,根据DHCPSnooping表项查找该用户对应的网关地址,并回复网关的MAC地址,强制用户将所有流量发送到网关,使得网关可以监控用户之间的数据流量,从而防止用户之间的恶意攻击,更好的保障网络安全.
MFF的详细介绍请参见"安全配置指导"中的"MFF".
5-2IPSourceGuard:通过动态获取DHCPSnooping表项对端口转发的报文进行过滤,防止非法报文通过该端口.
IPSourceGuard的详细介绍请参见"安全配置指导"中的"IPSourceGuard".
VLAN映射:发送给用户的报文通过查找指定VLAN对应的DHCPSnooping表项中的DHCP客户端IP地址、MAC地址和原始VLAN的信息,将报文的指定VLAN修改为原始VLAN.
VLAN映射的详细介绍请参见"二层技术-以太网交换配置指导"中的"VLAN映射".
5.
1.
2信任端口的典型应用环境1.
连接DHCP服务器图5-1信任端口和非信任端口如图5-1所示,在DHCPSnooping设备上指向DHCP服务器方向的端口需要设置为信任端口,以便DHCPSnooping设备正常转发DHCP服务器的应答报文,保证DHCP客户端能够从合法的DHCP服务器获取IP地址.
2.
DHCPSnooping级联网络在多个DHCPSnooping设备级联的网络中,为了节省系统资源,不需要每台DHCPSnooping设备都记录所有DHCP客户端的IP地址和MAC地址的绑定信息,只需在与客户端直接相连不信任端口上记录绑定信息.
间接与DHCP客户端相连的不信任端口不需要记录IP地址和MAC地址绑定信息.
TrustedDHCPserverDHCPsnoopingUntrustedUntrustedUnauthorizedDHCPserverDHCPclientDHCP应答报文5-3图5-2DHCPSnooping级联组网图图5-2中设备各端口的角色如表5-1所示.
表5-1端口的角色设备记录绑定信息的不信任端口不记录绑定信息的不信任端口信任端口SwitchAGE1/0/1GE1/0/3GE1/0/2SwitchBGE1/0/3和GE1/0/4GE1/0/1GE1/0/2SwitchCGE1/0/1GE1/0/3和GE1/0/4GE1/0/25.
1.
3DHCPSnooping支持Option82功能Option82记录了DHCP客户端的位置信息.
管理员可以利用该选项定位DHCP客户端,实现对客户端的安全和计费等控制.
Option82的详细介绍请参见"1.
4.
32.
中继代理信息选项(Option82)".
如果DHCPSnooping支持Option82功能,则当设备接收到DHCP请求报文后,将根据报文中是否包含Option82以及用户配置的处理策略及填充模式等对报文进行相应的处理,并将处理后的报文转发给DHCP服务器.
具体的处理方式见表5-2.
DHCPSnooping对Option82的处理策略、填充模式与DHCP中继相同.
当设备接收到DHCP服务器的响应报文时,如果报文中含有Option82,则删除Option82,并转发给DHCP客户端;如果报文中不含有Option82,则直接转发.
DHCPsnoopingSwitchADHCPsnoopingSwitchCDHCPclientHostDDHCPclientHostCDHCPclientHostBDHCPserverDeviceDHCPsnoopingSwitchBGE1/0/4GE1/0/2GE1/0/3GE1/0/1GE1/0/2GE1/0/3GE1/0/4GE1/0/2GE1/0/1GE1/0/3GE1/0/1DHCPclientHostAGE1/0/1记录绑定信息的不信任端口不记录绑定信息的不信任端口信任端口5-4表5-2DHCPSnooping支持Option82的处理方式收到DHCP请求报文处理策略DHCPSnooping对报文的处理收到的报文中带有Option82Drop丢弃报文Keep保持报文中的Option82不变并进行转发Replace根据DHCPSnooping上配置的填充模式、内容、格式等填充Option82,替换报文中原有的Option82并进行转发收到的报文中不带有Option82-根据DHCPSnooping上配置的填充模式、内容、格式等填充Option82,添加到报文中并进行转发5.
2DHCPSnooping配置任务简介如果二层以太网接口加入聚合组,则在该接口上进行的DHCPSnooping相关配置不会生效;该接口退出聚合组后,之前的配置才会生效.
表5-3DHCPSnooping配置任务简介配置任务说明详细配置配置DHCPSnooping基本功能必选5.
3配置DHCPSnooping支持Option82功能可选5.
4配置DHCPSnooping表项备份功能可选5.
5配置防止DHCP饿死攻击可选5.
6配置防止伪造DHCP请求方向报文攻击可选5.
7配置接口动态学习DHCPSnooping表项的最大数目可选5.
8配置DHCPSnooping报文限速功能可选5.
9配置DHCPSnooping报文阻断功能可选5.
10开启DHCPSnooping日志功能可选5.
115.
3配置DHCPSnooping基本功能5.
3.
1DHCPSnooping配置限制和指导为了使DHCP客户端能从合法的DHCP服务器获取IP地址,必须将与合法DHCP服务器相连的端口设置为信任端口,设置的信任端口和与DHCP客户端相连的端口必须在同一个VLAN内.
目前,可以设置为DHCPSnooping信任端口的接口类型包括:二层以太网接口、二层聚合接口、S通道接口、聚合S通道接口、VSI接口和VSI聚合接口.
关于聚合接口的详细介绍,请参见"二层技术-以太网交换配置指导"中的"以太网链路聚合".
关于S通道接口、聚合S通道接口、VSI接口和VSI聚合接口的详细介绍,请参见"EVB配置指导"中的"EVB".
5-5如果二层以太网接口加入聚合组,则在该接口上进行的DHCPSnooping相关配置不会生效;该接口退出聚合组后,之前的配置才会生效.
DHCPSnooping功能可以与QinQ功能同时使用,通过DHCPSnooping表项记录客户端发送DHCP报文的VLANTag信息.
QinQ功能的详细介绍,请参见"二层技术-以太网交换"中的"QinQ".
VXLAN组网中,除了信任端口配置外,以太网服务实例采用该实例所在二层以太网接口上的DHCPsnooping配置.
有关以太网服务实例的介绍,请参见"VXLAN配置指导"中的"VXLAN".
VXLAN组网中,如果同时配置AC链路为信任接口(dhcpsnoopingtrust)并将AC所在端口加入同一隔离组,则AC可以将DHCP报文转发给隔离组中的其他端口,不受隔离组影响.
有关隔离组的介绍,请参见"二层技术-以太网交换配置指导"中的"端口隔离".
5.
3.
2在普通组网中配置DHCPSnooping基本功能1.
功能简介在一台DHCPSnooping设备上,如果全局开启了DHCPSnooping功能,则设备上所有VLAN内的DHCPSnooping功能也同时开启.
对于某些组网来说,管理员只需要在设备在某些特定VLAN内开启DHCPSnooping功能,而不需要在整个设备上开启DHCPSnooping功能.
为了满足此需求,设备支持在指定VLAN内开启DHCPSnooping功能,并在VLAN内配置DHCPSnooping信任端口和开启端口的DHCPSnooping表项记录功能.
2.
配置限制和指导在一台设备上,全局DHCPSnooping功能和VLAN内的DHCPSnooping功能关系如下:如果全局开启了DHCPSnooping基本功能(包括开启DHCPSnooping功能、配置信任端口和配置DHCPSnooping表项记录功能),只能使用对应的全局命令关闭功能,使用VLAN内的命令关闭功能不生效;如果VLAN内开启了DHCPSnooping基本功能(包括开启DHCPSnooping功能、配置信任端口和配置DHCPSnooping表项记录功能),只能使用对应的VLAN内命令关闭功能,使用全局命令关闭功能不生效.
3.
全局开启DHCPSnooping基本功能表5-4全局开启DHCPSnooping基本功能操作命令说明进入系统视图system-view-全局开启DHCPSnooping功能dhcpsnoopingenable缺省情况下,全局的DHCPSnooping功能处于关闭状态进入接口视图interfaceinterface-typeinterface-number此接口为连接DHCP服务器的接口配置端口为信任端口dhcpsnoopingtrust缺省情况下,在开启DHCPSnooping功能后,设备的所有端口均为不信任端口退回系统视图quit-5-6操作命令说明进入接口视图interfaceinterface-typeinterface-number此接口为连接DHCP客户端的接口(可选)开启端口的DHCPSnooping表项记录功能dhcpsnoopingbindingrecord缺省情况下,端口的DHCPSnooping表项记录功能处于关闭状态4.
在VLAN中配置DHCPSnooping基本功能表5-5在VLAN中配置DHCPSnooping基本功能操作命令说明进入系统视图system-view-在指定VLAN内开启DHCPSnooping功能dhcpsnoopingenablevlanvlan-id-list缺省情况下,所有VLAN内的DHCPSnooping功能处于关闭状态进入VLAN视图vlanvlan-id该VLAN为开启了DHCPSnooping功能的VLAN配置指定接口为VLAN下DHCPSnooping功能的信任端口dhcpsnoopingtrustinterfaceinterface-typeinterface-number缺省情况下,在开启DHCPSnooping功能后,VLAN内的所有接口均为不信任端口(可选)开启VLAN的DHCPSnooping表项记录功能dhcpsnoopingbindingrecord缺省情况下,VLAN的DHCPSnooping表项记录功能处于关闭状态5.
3.
3在VXLAN组网中配置DHCPSnooping基本功能用户可以设置DHCPSnooping信任端口为VXLAN的AC链路或隧道接口.
当开启DHCPSnooping功能的VTEP设备收到DHCP请求报文时,将DHCP请求报文从信任的AC链路或隧道接口转发出去.
如果DHCP服务器位于本地站点内,则需要配置连接DHCP服务器的AC链路为信任接口;如果DHCP服务器位于远端站点内,则需要配置隧道接口为信任接口.
1.
在VXLAN组网中配置DHCPSnooping功能(本地站点)表5-6在VXLAN组网中配置DHCPSnooping功能(本地站点)操作命令说明进入系统视图system-view-进入接口视图interfaceinterface-typeinterface-number-进入以太网服务实例视图service-instanceinstance-id-配置AC链路为信任接口dhcpsnoopingtrust缺省情况下,在开启DHCPSnooping功能后,设备的所有端口均为不信任接口退回接口视图quit-退回系统视图quit-5-7操作命令说明进入VSI视图vsivsi-name-(可选)开启AC链路和隧道接口的DHCPSnooping表项记录功能dhcpsnoopingbindingrecord缺省情况下,AC链路和隧道接口的DHCPSnooping表项记录功能处于关闭状态2.
在VXLAN组网中配置DHCPSnooping功能(远端站点)表5-7在VXLAN组网中配置DHCPSnooping功能(远端站点)操作命令说明进入系统视图system-view-进入VSI视图vsivsi-name-配置隧道接口为信任接口dhcpsnoopingtrusttunnel缺省情况下,在开启DHCPSnooping功能后,设备的所有接口均为不信任接口配置本功能后,VSI下的所有VXLAN隧道接口都会变成信任接口(可选)开启AC链路和隧道接口的DHCPSnooping表项记录功能dhcpsnoopingbindingrecord缺省情况下,AC链路和隧道接口隧道接口的DHCPSnooping表项记录功能处于关闭状态5.
3.
4关闭接口的DHCPSnooping功能1.
功能简介当管理员在设备或VLAN中开启DHCPSnooping功能后,该设备或整个VLAN内的所有接口也都开启了DHCPSnooping功能.
为了灵活控制DHCPSnooping功能生效的接口范围,用户可以通过本功能关闭某个接口上的DHCPSnooping功能.
2.
配置步骤表5-8关闭接口的DHCPSnooping功能操作命令说明进入系统视图system-view-进入接口视图interfaceinterface-typeinterface-number-关闭接口的DHCPSnooping功能dhcpsnoopingdisable缺省情况下,当接口所在VLAN或设备上已经开启DHCPSnooping功能,接口的DHCPSnooping功能是开启的;当接口所在VLAN或设备上未开启DHCPSnooping功能,接口的DHCPSnooping功能是关闭的5-85.
4配置DHCPSnooping支持Option82功能配置DHCPSnooping支持Option82功能时,需要注意:如果二层以太网接口加入聚合组,则在该接口上进行的DHCPSnooping支持Option82功能的配置不会生效;该接口退出聚合组后,之前的配置才会生效.
为使Option82功能正常使用,需要在DHCP服务器和DHCPSnooping设备上都进行相应配置.
DHCP服务器的相关配置请参见"http://press/data/infoblade/ComwareV5平台中文/1.
1.
07三层技术-IP业务/1.
1.
07.
03DHCP/DHCP配置.
htm-_Ref304276600".
如果以设备名称(sysname)作为节点标识填充DHCP报文的Option82,则设备名称中不能包含空格;否则,DHCPSnooping将不处理该报文.
用户可以通过sysname命令配置设备名称,该命令的详细介绍请参见"基本配置命令参考"中的"设备管理".
DHCPSnooping功能和QinQ功能同时使用,或DHCPSnooping设备接收到的DHCP报文带有两层VLANTag时,如果采用verbose模式填充Option82,则sub-option1中VLANID字段的格式为"第一层VLANTag.
第二层VLANTag".
例如,第一层VLANTag为10(十六进制值为a),第二层VLANTag为20(十六进制值为14),则VLANID字段的内容为"000a.
0014".
表5-9配置DHCPSnooping支持Option82功能操作命令说明进入系统视图system-view-进入接口视图interfaceinterface-typeinterface-number-开启DHCPSnooping支持Option82功能dhcpsnoopinginformationenable缺省情况下,DHCPSnooping支持Option82功能处于关闭状态(可选)配置DHCPSnooping对包含Option82的请求报文的处理策略dhcpsnoopinginformationstrategy{drop|keep|replace}缺省情况下,对带有Option82的请求报文的处理策略为replaceDHCPSnooping对包含Option82请求报文的处理策略为replace时,需要配置Option82的填充模式和填充格式;处理策略为keep或drop时,不需要配置Option82的填充模式和填充格式.
(可选)配置CircuitID子选项的填充模式和填充格式dhcpsnoopinginformationcircuit-id{[vlanvlan-id]stringcircuit-id|{normal|verbose[node-identifier{mac|sysname|user-definednode-identifier}]}[format{ascii|hex}]}缺省情况下,CircuitID子选项的填充模式为Normal,填充格式为hex如果以设备的系统名称(sysname)作为节点标识填充DHCP报文的Option82,则系统名称中不能包含空格;否则,DHCPSnooping添加或替换Option82失败(可选)配置RemoteID子选项的填充模式和填充格式dhcpsnoopinginformationremote-id{normal[format{ascii|hex}]|[vlanvlan-id]stringremote-id|sysname}缺省情况下,RemoteID子选项的填充模式为Normal,填充格式为hex5-95.
5配置DHCPSnooping表项固化功能DHCPSnooping设备重启后,设备上记录的DHCPSnooping表项将丢失.
如果DHCPSnooping与安全模块(如IPSourceGuard)配合使用,则表项丢失会导致安全模块无法通过DHCPSnooping获取到相应的表项,进而导致DHCP客户端不能顺利通过安全检查、正常访问网络.
DHCPSnooping表项备份功能将DHCPSnooping表项保存到指定的文件中,DHCPSnooping设备重启后,自动根据该文件恢复DHCPSnooping表项,从而保证DHCPSnooping表项不会丢失.
表5-10配置DHCPSnooping表项固化功能操作命令说明进入系统视图system-view-指定存储DHCPSnooping表项的文件名称dhcpsnoopingbindingdatabasefilename{filename|urlurl[usernameusername[password{cipher|simple}string]]}缺省情况下,未指定存储文件名称执行本命令后,会立即触发一次表项备份.
之后,如果未配置dhcpsnoopingbindingdatabaseupdateinterval命令,若表项发生变化,默认在300秒之后刷新存储文件;若表项未发生变化,则不再刷新存储文件.
如果配置了dhcpsnoopingbindingdatabaseupdateinterval命令,若表项发生变化,则到达刷新时间间隔后刷新存储文件;若表项未发生变化,则不再刷新存储文件(可选)将当前的DHCPSnooping表项保存到用户指定的文件中dhcpsnoopingbindingdatabaseupdatenow本命令只用来触发一次DHCPSnooping表项的备份(可选)配置刷新DHCPSnooping表项存储文件的延迟时间dhcpsnoopingbindingdatabaseupdateintervalinterval缺省情况下,若DHCPSnooping表项不变化,则不刷新存储文件;若DHCPSnooping表项发生变化,默认在300秒之后刷新存储文件执行undodhcpsnoopingenable命令关闭DHCPSnooping功能后,设备会删除所有DHCPSnooping表项,文件中存储的DHCPSnooping表项也将被删除.
5-105.
6配置防止DHCP饿死攻击DHCP饿死攻击是指攻击者伪造chaddr字段各不相同的DHCP请求报文,向DHCP服务器申请大量的IP地址,导致DHCP服务器地址池中的地址耗尽,无法为合法的DHCP客户端分配IP地址,或导致DHCP服务器消耗过多的系统资源,无法处理正常业务.
DHCP报文字段的相关内容请参见"1.
3DHCP报文格式".
如果封装DHCP请求报文的数据帧的源MAC地址各不相同,则通过mac-addressmax-mac-count命令限制端口可以学习到的MAC地址数,并配置学习到的MAC地址数达到最大值时,丢弃源MAC地址不在MAC地址表里的报文,能够避免攻击者申请过多的IP地址,在一定程度上缓解DHCP饿死攻击.
此时,不存在DHCP饿死攻击的端口下的DHCP客户端可以正常获取IP地址,但存在DHCP饿死攻击的端口下的DHCP客户端仍可能无法获取IP地址.
如果封装DHCP请求报文的数据帧的MAC地址都相同,则通过mac-addressmax-mac-count命令无法防止DHCP饿死攻击.
在这种情况下,需要开启DHCPSnooping的MAC地址检查功能.
开启该功能后,DHCPSnooping设备检查接收到的DHCP请求报文中的chaddr字段和数据帧的源MAC地址字段是否一致.
如果一致,则认为该报文合法,将其转发给DHCP服务器;如果不一致,则丢弃该报文.
mac-addressmax-mac-count命令的详细介绍,请参见"二层技术-以太网交换"中的"MAC地址表".
表5-11开启DHCPSnooping的MAC地址检查功能操作命令说明进入系统视图system-view-进入接口视图interfaceinterface-typeinterface-number-开启DHCPSnooping的MAC地址检查功能dhcpsnoopingcheckmac-address缺省情况下,DHCPSnooping的MAC地址检查功能处于关闭状态5.
7配置防止伪造DHCP请求方向报文攻击本功能用来检查DHCP续约报文、DHCP-DECLINE和DHCP-RELEASE三种DHCP请求方向的报文,以防止非法客户端伪造这三种报文对DHCP服务器进行攻击.
伪造DHCP续约报文攻击是指攻击者冒充合法的DHCP客户端,向DHCP服务器发送伪造的DHCP续约报文,导致DHCP服务器和DHCP客户端无法按照自己的意愿及时释放IP地址租约.
如果攻击者冒充不同的DHCP客户端发送大量伪造的DHCP续约报文,则会导致大量IP地址被长时间占用,DHCP服务器没有足够的地址分配给新的DHCP客户端.
伪造DHCP-DECLINE/DHCP-RELEASE报文攻击是指攻击者冒充合法的DHCP客户端,向DHCP服务器发送伪造的DHCP-DECLINE/DHCP-RELEASE报文,导致DHCP服务器错误终止IP地址租约.
在DHCPSnooping设备上开启DHCP请求方向报文检查功能,可以有效地防止伪造DHCP请求方向报文攻击.
如果开启了该功能,则DHCPSnooping设备接收到上述报文后,检查本地是否存在与请求方向报文匹配的DHCPSnooping表项.
若存在,则接收报文信息与DHCPSnooping表项信息一致时,认为该报文为合法的DHCP请求方向报文,将其转发给DHCP服务器;不一致时,5-11认为该报文为伪造的DHCP请求方向报文,将其丢弃.
若不存在,则认为该报文合法,将其转发给DHCP服务器.
表5-12开启DHCPSnooping的DHCP请求方向报文检查功能操作命令说明进入系统视图system-view-进入接口视图interfaceinterface-typeinterface-number-开启DHCPSnooping的DHCP请求方向报文检查功能dhcpsnoopingcheckrequest-message缺省情况下,DHCPSnooping的DHCP请求方向报文检查功能处于关闭状态5.
8配置接口动态学习DHCPSnooping表项的最大数目通过本配置可以限制接口动态学习DHCPSnooping表项的最大数目,以防止接口学习到大量DHCPSnooping表项,占用过多的系统资源.
表5-13配置接口动态学习DHCPSnooping表项的最大数目操作命令说明进入系统视图system-view-进入接口视图interfaceinterface-typeinterface-number-配置接口动态学习DHCPSnooping表项的最大数目dhcpsnoopingmax-learning-nummax-number缺省情况下,不限制接口动态学习DHCPSnooping表项的数目5.
9配置DHCPSnooping报文限速功能为了避免非法用户发送大量DHCP报文,对网络造成攻击,DHCPSnooping支持报文限速功能,限制接口接收DHCP报文的速率.
当接口接收的DHCP报文速率超过限制的最高速率时,DHCPSnooping设备将丢弃超过速率限制的报文.
表5-14配置DHCPSnooping报文限速功能操作命令说明进入系统视图system-view-进入接口视图interfaceinterface-typeinterface-number-开启DHCPSnooping的报文限速功能dhcpsnoopingrate-limitrate缺省情况下,DHCPSnooping的报文限速功能处于关闭状态,即不限制接口接收DHCP报文的速率如果二层以太网接口加入了聚合组,则该接口采用对应二层聚合接口下的DHCPSnooping报文限速配置,如果二层以太网接口离开聚合组,则该接口采用二层以太网接口下的DHCPSnooping报文限速配置5-125.
10开启DHCPSnooping报文阻断功能在某些组网环境下,用户需要在DHCPSnooping设备的某一端口上丢弃该端口收到的所有DHCP请求方向报文,而又不影响其他端口正常接收DHCP报文.
这时,用户可以在该端口上开启DHCPSnooping报文阻断功能.
当端口上开启了DHCPSnooping报文阻断功能后,该端口收到的所有DHCP请求方向的报文都将被丢弃.
表5-15开启DHCPSnooping报文阻断功能操作命令说明进入系统视图system-view-进入接口视图interfaceinterface-typeinterface-number-开启DHCPSnooping报文阻断功能dhcpsnoopingdeny缺省情况下,DHCPSnooping报文阻断功能处于关闭状态5.
11开启DHCPSnooping日志信息功能DHCPSnooping日志是为了满足管理员的审计需求.
DHCPSnooping设备生成DHCPSnooping日志信息会交给信息中心模块处理,信息中心模块的配置将决定日志信息的发送规则和发送方向.
关于信息中心的详细描述请参见"网络管理和监控配置指导"中的"信息中心".
当DHCPSnooping设备输出大量日志信息时,可能会降低设备性能.
为了避免该情况的发生,用户可以关闭DHCPSnooping日志信息功能,使得DHCPSnooping设备不再输出日志信息.
表5-16开启DHCPSnooping日志信息功能操作命令说明进入系统视图system-view-开启DHCPSnooping日志信息功能dhcpsnoopinglogenable缺省情况下,DHCPSnooping日志信息功能处于关闭状态5.
12DHCPSnooping显示和维护在完成上述配置后,在任意视图下执行display命令可以显示DHCPSnooping的配置情况,通过查看显示信息验证配置的效果.
在用户视图下执行reset命令可以清除DHCPSnooping的统计信息.
表5-17DHCPSnooping显示和维护操作命令显示DHCPSnooping表项信息displaydhcpsnoopingbinding[ipip-address[vlanvlan-id]][verbose]5-13操作命令显示DHCPSnooping上Option82的配置信息displaydhcpsnoopinginformation{all|interfaceinterface-typeinterface-number}显示DHCPSnooping设备上的DHCP报文统计信息(独立运行模式)displaydhcpsnoopingpacketstatistics[slotslot-number]显示DHCPSnooping设备上的DHCP报文统计信息(IRF模式)displaydhcpsnoopingpacketstatistics[chassischassis-numberslotslot-number]显示信任端口信息displaydhcpsnoopingtrust显示DHCPSnooping表项备份信息displaydhcpsnoopingbindingdatabase清除DHCPSnooping表项resetdhcpsnoopingbinding{all|ipip-address[vlanvlan-id]}清除DHCPSnooping设备上的DHCP报文统计信息(独立运行模式)resetdhcpsnoopingpacketstatistics[slotslot-number]清除DHCPSnooping设备上的DHCP报文统计信息(IRF模式)resetdhcpsnoopingpacketstatistics[chassischassis-numberslotslot-number]5.
13DHCPSnooping典型配置举例5.
13.
1全局开启DHCPSnooping配置举例1.
组网需求SwitchB通过以太网端口GigabitEthernet1/0/1连接到合法DHCP服务器,通过以太网端口GigabitEthernet1/0/3连接到非法DHCP服务器,通过GigabitEthernet1/0/2连接到DHCP客户端.
要求:与合法DHCP服务器相连的端口可以转发DHCP服务器的响应报文,而其他端口不转发DHCP服务器的响应报文.
记录DHCP-REQUEST报文和信任端口收到的DHCP-ACK报文中DHCP客户端IP地址及MAC地址的绑定信息.
5-142.
组网图图5-3DHCPSnooping组网示意图3.
配置步骤#全局开启DHCPSnooping功能.
system-view[SwitchB]dhcpsnoopingenable#设置GigabitEthernet1/0/1端口为信任端口.
[SwitchB]interfacegigabitethernet1/0/1[SwitchB-GigabitEthernet1/0/1]dhcpsnoopingtrust[SwitchB-GigabitEthernet1/0/1]quit#在GigabitEthernet1/0/2上开启DHCPSnooping表项功能.
[SwitchB]interfacegigabitethernet1/0/2[SwitchB-GigabitEthernet1/0/2]dhcpsnoopingbindingrecord[SwitchB-GigabitEthernet1/0/2]quit4.
验证配置配置完成后,DHCP客户端只能从合法DHCP服务器获取IP地址和其它配置信息,非法DHCP服务器无法为DHCP客户端分配IP地址和其他配置信息.
且使用displaydhcpsnoopingbinding可查询到获取到的DHCPSnooping表项.
5.
13.
2按VLAN开启DHCPSnooping配置举例1.
组网需求SwitchB通过以太网端口GigabitEthernet1/0/1连接到合法DHCP服务器,通过以太网端口GigabitEthernet1/0/3连接到非法DHCP服务器,通过GigabitEthernet1/0/2连接到DHCP客户端.
要求:VLAN100上与合法DHCP服务器相连的端口可以转发DHCP服务器的响应报文,而其他端口不转发DHCP服务器的响应报文.
记录DHCP-REQUEST报文和信任端口收到的DHCP-ACK报文中DHCP客户端IP地址及MAC地址的绑定信息.
GE1/0/1SwitchADHCPserverSwitchBDHCPsnoopingGE1/0/2GE1/0/3UnauthorizedDHCPserverDHCPclient5-152.
组网图图5-4按VLAN开启DHCPSnooping配置组网示意图3.
配置步骤#配置端口GigabitEthernet1/0/1、GigabitEthernet1/0/2和GigabitEthernet1/0/3为Access端口,允许VLAN100通过.
system-view[SwitchB]vlan100[SwitchB-vlan100]portgigabitethernet1/0/1togigabitethernet1/0/3[SwitchB-vlan100]quit#在VLAN100内开启DHCPSnooping功能.
[SwitchB]dhcpsnoopingenablevlan100#指定端口GigabitEthernet1/0/1为VLAN100下DHCPSnooping功能的信任端口.
[SwitchB]vlan100[SwitchB-vlan100]dhcpsnoopingtrustgigabitethernet1/0/1#在VLAN100内开启DHCPSnooping表项记录功能.
[SwitchB-vlan100]dhcpsnoopingbindingrecord[SwitchB-vlan100]quit4.
验证配置配置完成后,DHCP客户端只能从合法DHCP服务器获取IP地址和其它配置信息,非法DHCP服务器无法为DHCP客户端分配IP地址和其他配置信息.
且使用displaydhcpsnoopingbinding可查询到获取到的DHCPSnooping表项.
5.
13.
3DHCPSnooping支持Option82配置举例1.
组网需求SwitchB上开启DHCPSnooping功能,并支持Option82功能;对包含Option82的请求报文的处理策略为replace;在GigabitEthernet1/0/2上配置CircuitID填充内容为company001,RemoteID填充内容为device001;在GigabitEthernet1/0/3上配置CircuitID以verbose模式填充,接入节点标识为sysname,填充格式为ASCII格式,RemoteID填充内容为device001;GE1/0/1(VLAN100)SwitchADHCPserverSwitchBDHCPsnoopingGE1/0/2(VLAN100)GE1/0/3(VLAN100)UnauthorizedDHCPserverDHCPclient5-162.
组网图图5-5DHCPSnooping支持Option82配置示意图3.
配置步骤#开启DHCPSnooping功能.
system-view[SwitchB]dhcpsnoopingenable#设置GigabitEthernet1/0/1端口为信任端口.
[SwitchB]interfacegigabitethernet1/0/1[SwitchB-GigabitEthernet1/0/1]dhcpsnoopingtrust[SwitchB-GigabitEthernet1/0/1]quit#在GigabitEthernet1/0/2上配置DHCPSnooping支持Option82功能.
[SwitchB]interfacegigabitethernet1/0/2[SwitchB-GigabitEthernet1/0/2]dhcpsnoopinginformationenable[SwitchB-GigabitEthernet1/0/2]dhcpsnoopinginformationstrategyreplace[SwitchB-GigabitEthernet1/0/2]dhcpsnoopinginformationcircuit-idstringcompany001[SwitchB-GigabitEthernet1/0/2]dhcpsnoopinginformationremote-idstringdevice001[SwitchB-GigabitEthernet1/0/2]quit#在端口GigabitEthernet1/0/3上配置DHCPSnooping支持Option82功能.
[SwitchB]interfacegigabitethernet1/0/3[SwitchB-GigabitEthernet1/0/3]dhcpsnoopinginformationenable[SwitchB-GigabitEthernet1/0/3]dhcpsnoopinginformationstrategyreplace[SwitchB-GigabitEthernet1/0/3]dhcpsnoopinginformationcircuit-idverbosenode-identifiersysnameformatascii[SwitchB-GigabitEthernet1/0/3]dhcpsnoopinginformationremote-idstringdevice0014.
验证配置配置完成后,使用displaydhcpsnoopinginformation命令可查看到DHCPSnooping在端口GigabitEthernet1/0/2和GigabitEthernet1/0/3上Option82的配置信息.
GE1/0/1SwitchADHCPserverSwitchBDHCPsnoopingGE1/0/2GE1/0/3DHCPclientDHCPclient6-16BOOTP客户端BOOTP客户端中对于接口的相关配置,目前只能在三层以太网接口、三层聚合接口和VLAN接口上进行.
6.
1BOOTP客户端简介6.
1.
1BOOTP客户端的应用环境BOOTP是BootstrapProtocol(自举协议)的简称.
指定设备的接口作为BOOTP客户端后,该接口可以通过BOOTP协议从BOOTP服务器获取IP地址等信息,从而方便用户配置.
使用BOOTP协议时,管理员需要在BOOTP服务器上为每个BOOTP客户端配置BOOTP参数文件,该文件包括BOOTP客户端的MAC地址及其对应的IP地址等信息.
当BOOTP客户端向BOOTP服务器发起请求时,服务器会查找BOOTP参数文件,并返回相应的配置信息.
由于BOOTP协议需要在BOOTP服务器上为每个客户端事先配置参数文件,BOOTP一般运行在相对稳定的环境中.
当网络变化频繁时,推荐采用DHCP协议.
由于DHCP服务器可以与BOOTP客户端进行交互,因此用户可以不配置BOOTP服务器,而使用DHCP服务器为BOOTP客户端分配IP地址.
6.
1.
2IP地址动态获取过程BOOTP客户端从BOOTP服务器动态获取IP地址的具体过程如下:(1)BOOTP客户端以广播方式发送BOOTP请求报文,其中包含了BOOTP客户端的MAC地址;(2)BOOTP服务器接收到请求报文后,根据报文中的BOOTP客户端MAC地址,从配置文件数据库中查找对应的IP地址等信息,并向客户端返回包含这些信息的BOOTP响应报文;(3)BOOTP客户端从接收到的响应报文中即可获得IP地址等信息.
在下面的IP地址动态获取过程中,BOOTP服务器的功能可以用DHCP服务器替代.
6.
1.
3协议规范与BOOTP相关的协议规范有:RFC951:BootstrapProtocol(BOOTP)RFC2132:DHCPOptionsandBOOTPVendorExtensionsRFC1542:ClarificationsandExtensionsfortheBootstrapProtocol6.
2配置接口通过BOOTP协议获取IP地址表6-1配置接口通过BOOTP协议获取IP地址操作命令说明进入系统视图system-view-6-2操作命令说明进入接口视图interfaceinterface-typeinterface-number-配置接口通过BOOTP协议获取IP地址ipaddressbootp-alloc缺省情况下,接口不通过BOOTP协议获取IP地址6.
3BOOTP客户端显示和维护在完成上述配置后,在任意视图下执行display命令可以显示配置后BOOTP客户端的运行情况,通过查看显示信息验证配置的效果.
表6-2BOOTP客户端显示和维护操作命令显示BOOTP客户端的相关信息displaybootpclient[interfaceinterface-typeinterface-number]6.
4BOOTP客户端典型配置举例1.
组网需求SwitchB的端口(属于VLAN10)接入局域网,VLAN接口10通过BOOTP协议从DHCP服务器获取IP地址.
2.
组网图如图2-4所示.
3.
配置步骤下面只列出图2-4中,作为客户端的SwitchB的配置.
#配置VLAN接口10通过BOOTP动态获取地址.
system-view[SwitchB]interfacevlan-interface10[SwitchB-Vlan-interface10]ipaddressbootp-alloc通过displaybootpclient命令可以查看BOOTP客户端申请到的IP地址.
为了使BOOTP客户端能从DHCP服务器获得IP地址,还需要在DHCP服务器上进行一些配置,具体内容请参见"2.
20DHCP服务器典型配置举例".