DHCP Relay配置.docx

1、DHCP Relay配置1. 24 DHCP Relay配置1. 24.1 概述1. 24.1.1 理解DHCPDHCP协议被广泛用来动态分配可重用的网络资源，如IP地址。DHCP Client发出DHCP DISCOVER广播报文给DHCP Server。DHCP Server收到后DHCP DISCOVER报文后，根据一定的策略来给Client分配资源,如IP地址，发出DHCP OFFER报文。DHCP Client收到DHCP OFFER报文后，验证资源是否可用。如果资源可用发送DHCP REQUEST报文；如果不可用，重新发送DHCP DISCOVER报文。服务器收到DHCP REQU

2、EST报文，验证IP地址资源（或其他有限资源）是否可以分配，如果可以分配，则发送DHCP ACK报文；如果不可分配，则发送DHCP NAK报文。DHCP Client收到DHCP ACK报文，就开始使用服务器分配的资源；如果收到DHCP NAK，则可能重新发送DHCP DISCOVER报文再次请求另一个IP地址。2. 24.1.2 理解DHCP中继代理（DHCP Relay Agent）DHCP请求报文的目的IP地址为255.255.255.255，这种类型报文的转发局限于子网内，不会被设备转发。为了实现跨网段的动态IP分配，DHCP Relay Agent就产生了。它把收到的DHCP 请求报

3、文封装成IP单播报文转发给DHCP Server，同时，把收到的DHCP响应报文转发给DHCP Client。这样DHCP Relay Agent就相当于一个转发站，负责沟通位于不同网段的DHCP Client和DHCP Server。这样就实现了只要安装一个DHCP Server就可对所有网段的动态IP管理，即ClientRelay AgentServer模式的DHCP动态IP管理。 图1VLAN 10和VLAN 20分别对应10.0.0.1/16和20.0.0.1/16的网络，而DHCP Server在30.0.0.1/16的网络上，30.0.0.2的DHCP Server要对10.0.0

4、.1/16和20.0.0.1/16的网络进行动态IP管理，只要在作为网关的设备上打开DHCP Relay Agent，并指定DHCP Server IP为30.0.0.2就可以了3. 24.1.3 理解DHCP Relay Agent Information(option 82)根据RFC3046的定义，中继设备进行DHCP relay时，可以通过添加一个option的方式来详细的标明DHCP client的一些网络信息，从而使服务器可以根据更精确的信息给用户分配不同权限的IP，根据RFC3046的定义，所使用option选项的选项号为82，故也被称作option82，该option可以继续分

5、解成多个子选项，现阶段经常使用的子选项有Circuit ID和Remote ID。本公司实现的 relay agent information现阶段存在两种，一种是与802.1x/SAM应用方案结合relay agent information option dot1x，另一种是结合用户所属的端口vid，slot，port，以及设备mac信息的relay agent information option82，下边对两种方案应用时option携带的内容及格式以及一些典型的应用方案进行一些说明：1. relay agent information option dot1x：此种应用方案需要结合80

6、2.1x认证以及我司产品RG-SAM。通过RG-SAM在802.1x认证过程中给设备下放不同的IP权限，结合DHCP client所属的vid组合成Circuit ID子选项。在DHCP relay上传到DHCP server时，结合DHCP server的配置，就可以实现给不同权限用户分配不同权限IP的应用。组合成Circuit ID格式如下，其中priviliage和vid字段各占两个字节：图22. relay agent information option82：此种option的应用不需要结合其他协议模块的运行，设备在DHCP relay的过程中，根据收到DHCP请求的实体端口，以及设

7、备自身的物理地址信息，组合构成option82信息上传到服务器，option选贤得格式如下：Agent Circuit ID图3Agent Remote ID图44. 24.1.4 理解DHCP relay Check Server-id功能 在DHCP应用时，通常会为每一个网络配备多个DHCP服务器，从而进行备份，防止因为一台服务器的工作不正常影响网络的正常使用。在DHCP获取的四个交互过程中，当DHCP client在发送DHCP REQUEST时已经选定了服务器，此时会在请求的报文中携带一个server-id的option选项，在某些特定的应用环境中为了减轻网络服务器压力，需要我们rel

8、ay能够使能此选项，只把请求报文发给此选项里的server，而不是发送给每一个配置的DHCP server，上述就是DHCP check server-id功能2. 24.2 配置DHCP1. 24.2.1 配置DHCP中继代理在全局配置模式下，请按如下步骤配置DHCP中继代理：命令作用Ruijie (config)# service dhcp启用DHCP代理 Ruijie(config)# no service dhcp关闭DHCP代理。2. 24.2.2 配置DHCP Server的IP地址在配置DHCP Server的IP地址后，设备所收到的DHCP请求报文将转发给它，同时，收到的来自S

9、erver的DHCP响应报文也会转发给Client。DHCP server地址可以全局配置，也可以在三层接口上配置，每种配置模式都可以配置多个服务器地址最多可以配置20个服务器地址，。在某接口收到DHCP请求，则首先使用接口DHCP服务器；如果接口上面没有配置服务器地址，则使用全局配置的DHCP服务器。DHCP中继支持基于vrf的中继功能，配置方法就是在对应的服务器地址前面添加vrf参数。配置DHCP服务器地址请按如下方式进行：命令作用Ruijie(config)# IP helper-address vrf A.B.C.D添加一个全局的DHCP服务器地址Ruijie(config-if)#

10、IP helper-address vrf A.B.C.D添加一个接口的DHCP服务器地址。此命令必须在三层接口下设置。Ruijie(config)# no IP helper-address vrf A.B.C.D删除一个全局的DHCP服务器地址Ruijie(config-if)# no IP helper-address vrf A.B.C.D删除一个接口的DHCP服务器地址3. 24.2.3 配置DHCP option dot1x通过理解DHCP Relay Agent Information的描述可知，在网络如果需要根据用户权限的不同而给用户分配不同权限IP时，我们就可以通过配置ip

11、dhcp relay information option dot1x来配置打开DHCP relay的option dot1x功能，当打开此功能时，设备在进行relay时就会结合802.1x添加对应的option信息到服务器，配置此功能时需要和dot1x功能结合使用。在全局配置模式下，请按如下步骤配置DHCP option dot1x：命令作用Ruijie(config)# ip dhcp relayinformation option dot1x启用DHCP option dot1x功能 Ruijie(config)# no ip dhcp relayinformation option d

12、ot1x关闭DHCP option dot1x功能。4. 24.2.4 配置DHCP option dot1x access-group在option dot1x的应用方案中，需要设备控制未认证或低权限的IP只有访问特定的一些IP地址的权限，以及限制低权限用户之间的互相访问，此时可以通过配置命令ip dhcp relay information option dot1x access-group acl-name来实现，这里的acl-name所定义的ACL必须预先配置，用以对某些内容进行过滤，主要是用于禁止未认证用户之间的互相访问。另外，这里所关联的ACL被应用到设备所有端口上，并且该ACL没

13、有缺省的ACE，与其它接口所关联的ACL没有冲突关系，例如：为未认证的所用用户规划一类IP地址，为192.168.3.2-192.168.3.254，192.168.4.2-192.168.4.254，192.168.5.2-192.168.5.254；另外192.168.3.1、192.168.4.1、192.168.5.1作为网关地址，不分配给用户。则用户在未认证之前使用192.168.3.x-5.x的地址到达web portal以下载客户端软件。因此需要在设备上配置如下：Ruijie# config Ruijie(config)# ip access-list extended Deny

14、AccessEachOtherOfUnauthrizeRuijie(config-ext-nacl)# permit ip any host 192.168.3.1 /允许发往网关的报文Ruijie(config-ext-nacl)# permit ip any host 192.168.4.1 Ruijie(config-ext-nacl)# permit ip any host 192.168.5.1 Ruijie(config-ext-nacl)# permit ip host 192.168.3.1 any /允许源IP地址为网关的报文通讯Ruijie(config-ext-nacl)

15、# permit ip host 192.168.4.1 anyRuijie(config-ext-nacl)# permit ip host 192.168.5.1 anyRuijie(config-ext-nacl)# deny ip 192.168.3.0 0.0.0.255 192.168.3.0 0.0.0.255 /禁止未认证用户相互访问 Ruijie(config-ext-nacl)# deny ip 192.168.3.0 0.0.0.255 192.168.4.0 0.0.0.255Ruijie(config-ext-nacl)# deny ip 192.168.3.0 0.

16、0.0.255 192.168.5.0 0.0.0.255Ruijie(config-ext-nacl)# deny ip 192.168.4.0 0.0.0.255 192.168.4.0 0.0.0.255 Ruijie(config-ext-nacl)# deny ip 192.168.4.0 0.0.0.255 192.168.5.0 0.0.0.255 Ruijie(config-ext-nacl)# deny ip 192.168.5.0 0.0.0.255 192.168.5.0 0.0.0.255 Ruijie(config-ext-nacl)# deny ip 192.168

17、.5.0 0.0.0.255 192.168.3.0 0.0.0.255 Ruijie(config-ext-nacl)# deny ip 192.168.5.0 0.0.0.255 192.168.4.0 0.0.0.255 Ruijie(config-ext-nacl)# exit然后再使用命令ip dhcp relay information option dot1x access-group DenyAccessEachOtherOfUnauthrize 把命令应用全局接口上在全局配置模式下，请按如下步骤配置DHCP option dot1x access-group：命令作用Ruij

18、ie(config)# ip dhcp relayinformation option dot1x access-group acl-name应用DHCP option dot1x acl Ruijie(config)# no ip dhcp relayinformation option dot1x access-group acl-name取消DHCP option dot1x acl的应用。5. 24.2.5 配置DHCP option 82当配置命令ip dhcp relay information option82命令时，设备就会在DHCP relay的过程中添加如理解DHCP Re

19、lay Agent Information中所述格式的option到服务器。在全局配置模式下，请按如下步骤配置DHCP option82：命令作用Ruijie(config)# ip dhcp relayinformation option82启用DHCP option82功能 Ruijie(config)# no ip dhcp relayinformation option82关闭DHCP option82功能。6. 24.2.6 配置DHCP relay check server-id当配置命令ip dhcp relay check server-id后，设备在收到DHCP relay时

20、就会去解析DHCP SERVER-ID option，如果此选项不为空，则只对此server发送请求，而不对其他配置的服务器发送请求。在全局配置模式下，请按如下步骤配置DHCP relay check server-id 功能：命令作用Ruijie(config)# ip dhcp relay checkserver-id启用DHCP relay check server-di功能 Ruijie(config)# no ip dhcp relaycheck server-id关闭DHCP relay check server-id功能。7. 24.2.7 配置DHCP relay suppre

21、ssion当配置命令ip dhcp relay suppression后，配置了DHCP realy suppression的接口不把收到的DHCP 广播请求转为单播relay出去，而对于端口收到的广播报文的正常广播转发不做抑制。在接口配置模式下，请按如下步骤功能：命令作用Ruijie(config-if)# ip dhcp relaysuppresson启用DHCP relay suppresson功能 Ruijie(config-if)# no ip dhcp relaysuppresson关闭DHCP relay suppresson功能。8. 24.2.8 DHCP配置实例如下命令打开

22、了dhcp relay功能、添加了两组服务器地址的例子：Ruijie# configure terminal Ruijie(config)# service dhcp /打开dhcp relay功能Ruijie(config)# ip helper-address 192.18.100.1 /添加全局服务器地址Ruijie(config)# ip helper-address192.18.100.2 /添加全局服务器地址Ruijie(config)# interface GigabitEthernet 0/3 Ruijie(config-if)# ip helper-address 192.1

23、8.200.1 /添加接口服务器地址Ruijie(config-if)# ip helper-address 192.18.200.2 /添加接口服务器地址Ruijie(config-if)# end3. 24.3 配置DHCP relay的其他注意事项对于二层的网络设备来说，需要实现跨管理vlan relay功能时就必须打开option dot1x、动态地址绑定和option82的至少一个功能，否则在二层设备上只能实现管理vlan的relay功能。1. 24.3.1 配置DHCP option dot1x需要的注意事项1. 此命令的实际生效需要在AAA/802.1x相关的配置正确的情况下。2

24、. 在应用此方案时需要启用802.1x的DHCP 模式的IP授权。3. 此命令与dhcp option82命令互斥，不能同时使用。4. 在启用了802.1x的DHCP 模式的IP授权的模式下，也会设置MAC + IP的绑定，所以不能与DHCP动态绑定功能不能同时启用。2. 24.3.2 配置DHCP option82需要的注意事项DHCP option82功能于dhcp option dot1x功能互斥，不能同时使用4. 24.4 显示DHCP配置请在特权模式下用show running-config命令显示DHCP配置。Ruijie# show running-configBuilding

25、configuration.Current configuration : 1464 bytesversion RG0S 10.1.00(1), Release(11758)(Fri Mar 30 12:53:11 CST 2007 -nprdhostname Ruijievlan 1ip helper-address 192.18.100.1ip helper-address 192.18.100.2ip dhcp relay information option dot1xinterface GigabitEthernet 0/1interface GigabitEthernet 0/2i

26、nterface GigabitEthernet 0/3no switchportip helper-address 192.168.200.1ip helper-address 192.168.200.2interface VLAN 1ip address 192.168.193.91 255.255.255.0line con 0exec-timeout 0 0line vty 0exec-timeout 0 0loginpassword 7 0137line vty 1 2loginpassword 7 0137line vty 3 4loginend5. 24.5 DHCP典型配置用例

27、1. 24.5.1 跨网段的用户申请IP上网1. 24.5.1.1配置要求1、 要求用户跨网段可以获取IP地址进行正常上网；2、 防止非法的用户私自设置IP地址进行上网。2. 24.5.1.2拓扑图3. 24.5.1.3分析DHCP Snooping设备与DHCP Relay相连的设备端口是普通access口，要求Client可以跨网段自动获取IP地址进行上网，这就需要DHCP Relay设备来实现。防止非法用户私自设置IP地址上网有两种做法：一种是在全局模式下开启DAI（动态ARP检测功能），另一种是在接口模式下配置端口地址绑定，并结合arp-check功能来防止非法用户上网。该用例采用第一

28、种做法。4. 24.5.1.4配置过程按上述拓扑图搭建环境，按下述配置步骤进行配置： DHCP Snooping的配置：# 开启DHCP Snooping功能Ruijie(config)# ip dhcp snooping# 配置与服务器相连的Gi0/2为可信任口Ruijie(config)# interface gigabitEthernet 0/2Ruijie(config-if)# ip dhcp snooping trust# 配置Gi0/2为ARP检测信任口Ruijie(config-if)# ip arp inspection trustRuijie(config-if)# exi

29、t# 启用指定VLAN的DAI报文检查功能Ruijie(config)# ip arp inspection vlan 1# 配置设备的IP地址（SVI1）Ruijie(config)# interface vlan 1Ruijie(config-if)# ip address 10.2.0.1 255.255.0.0# 配置到另一个网段（10.1.0.0/16）的静态路由Ruijie(config)# ip route 10.1.0.0 255.255.0.0 10.2.1.1 DHCP Relay的配置# 启用DHCP中继代理Ruijie(config)# server dhcp# 添加一

30、个全局的DHCP服务器的地址Ruijie(config)# ip helper-address 10.1.1.1# 配置与Snooping设备连接的端口的IP地址Ruijie(config)# interface gigabitEthernet 3/1Ruijie(config-if)# no switchport Ruijie(config-if)# ip address 10.2.1.1 255.255.0.0# 配置与Server设备连接的端口的IP地址Ruijie(config)# interface gigabitEthernet 3/2Ruijie(config-if)# no s

31、witchport Ruijie(config-if)# ip address 10.1.0.1 255.255.0.0 DHCP Server上的配置：# 为连接Relay设备的端口配置IP地址Ruijie(config)# interface gigabitEthernet 4/1Ruijie(config-if)# no switchportRuijie(config-if)# ip address 10.1.1.1 255.255.0.0 # 启用DHCP服务器Ruijie(config)# service dhcp# 配置DHCP排斥地址，这些地址不会被分配给客户端Ruijie(config)# ip dhcp excluded-address 10.1.1.1 10.1.1.10# 配置地址池名并进入地址池配置模式Ruijie(config)# ip dhcp pool linwei# 配置客户端缺省网关Ruijie(dhcp-config)# default-router 10.2.1.1 # 配置DHCP地址池的网络号和掩码Ruijie(dhcp