19-DHCP操作

Size: px

Start display at page:

Download "19-DHCP操作"

村勤滑
4 years ago
Views:

1 目录 1 DHCP 概述 DHCP 简介 DHCP 的 IP 地址分配 IP 地址分配策略 IP 地址动态获取过程 IP 地址的租约更新 DHCP 报文格式协议规范 DHCP Snooping 配置简介 DHCP Snooping 简介防 DHCP 服务器仿冒功能简介 DHCP Snooping 相关配置开启 DHCP Snooping 功能配置防 DHCP 服务器仿冒功能 DHCP Snooping 配置显示 DHCP Snooping 典型配置举例防 DHCP 服务器仿冒功能典型配置举例 DHCP/BOOTP 客户端配置 DHCP 客户端简介自动配置简介自动配置应用背景自动配置工作过程 BOOTP 客户端简介 DHCP/BOOTP 客户端配置 DHCP 客户端典型配置举例 DHCP/BOOTP 客户端显示 i

2 1 DHCP 概述 1.1 DHCP 简介随着网络规模的不断扩大和网络复杂度的提高, 经常出现计算机的数量超过可供分配的 IP 地址的情况同时随着便携机及无线网络的广泛使用, 计算机的位置也经常变化, 相应的 IP 地址也必须经常更新, 从而导致网络配置越来越复杂 DHCP(Dynamic Host Configuration Protocol, 动态主机配置协议 ) 就是为解决这些问题而发展起来的 DHCP 采用客户端 / 服务器通信模式, 由客户端向服务器提出配置申请, 服务器返回为客户端分配的 IP 地址等配置信息, 以实现网络资源的动态配置在 DHCP 的典型应用中, 一般包含一台 DHCP 服务器和多台客户端 ( 如 PC 和便携机 ), 如图 1-1 所示 : 图 1-1 DHCP 典型应用 1.2 DHCP 的 IP 地址分配 IP 地址分配策略针对客户端的不同需求,DHCP 提供三种 IP 地址分配策略 : 手工分配地址 : 由管理员为少数特定客户端 ( 如 WWW 服务器等 ) 静态绑定 IP 地址通过 DHCP 将配置的固定 IP 地址发给客户端自动分配地址 :DHCP 为客户端分配租期为无限长的 IP 地址动态分配地址 :DHCP 为客户端分配具有一定有效期限的 IP 地址, 当使用期限到期后, 客户端需要重新申请地址绝大多数客户端得到的都是这种动态分配的地址 IP 地址动态获取过程 DHCP 客户端从 DHCP 服务器动态获取 IP 地址, 主要通过四个阶段进行 : (1) 发现阶段, 即 DHCP 客户端寻找 DHCP 服务器的阶段客户端以广播方式发送 DHCP-DISCOVER 报文 1-1

3 (2) 提供阶段, 即 DHCP 服务器提供 IP 地址的阶段 DHCP 服务器接收到客户端发送的 DHCP-DISCOVER 报文后, 根据 IP 地址分配的优先次序从地址池中选出一个 IP 地址, 与其他参数一起通过 DHCP-OFFER 报文发送给客户端 ( 发送方式根据客户端发送的 DHCP-DISCOVER 报文中的 flag 字段决定, 具体请见 1.3 DHCP 报文格式的介绍 ) (3) 选择阶段, 即 DHCP 客户端选择 IP 地址的阶段如果有多台 DHCP 服务器向该客户端发来 DHCP-OFFER 报文, 客户端只接受第一个收到的 DHCP-OFFER 报文, 然后以广播方式发送 DHCP-REQUEST 报文, 该报文中包含 DHCP 服务器在 DHCP-OFFER 报文中分配的 IP 地址 (4) 确认阶段, 即 DHCP 服务器确认 IP 地址的阶段 DHCP 服务器收到 DHCP 客户端发来的 DHCP-REQUEST 报文后, 只有 DHCP 客户端选择的服务器会进行如下操作 : 如果确认地址分配给该客户端, 则返回 DHCP-ACK 报文 ; 否则将返回 DHCP-NAK 报文, 表明地址不能分配给该客户端客户端收到服务器返回的 DHCP-ACK 确认报文后, 会以广播的方式发送免费 ARP 报文, 探测是否有主机使用服务器分配的 IP 地址, 如果在规定的时间内没有收到回应, 客户端才使用此地址否则, 客户端会发送 DHCP-DECLINE 报文给 DHCP 服务器, 并重新申请 IP 地址如果网络中存在多个 DHCP 服务器, 除 DHCP 客户端选中的服务器外, 其它 DHCP 服务器中本次未分配出的 IP 地址仍可分配给其他客户端 IP 地址的租约更新如果采用动态地址分配策略, 则 DHCP 服务器分配给客户端的 IP 地址有一定的租借期限, 当租借期满后服务器会收回该 IP 地址如果 DHCP 客户端希望延长使用该地址的期限, 需要更新 IP 地址租约在 DHCP 客户端的 IP 地址租约期限达到一半时间时,DHCP 客户端会向 DHCP 服务器单播发送 DHCP-REQUEST 报文, 进行 IP 租约的更新如果此 IP 地址有效, 则 DHCP 服务器单播回应 DHCP-ACK 报文, 通知 DHCP 客户端已经获得新 IP 租约 ; 如果此 IP 地址不可以再分配给该客户端, 则 DHCP 服务器回应 DHCP-NAK 报文, 通知 DHCP 客户端不能获得新的租约如果在租约的一半时间进行的续约操作失败,DHCP 客户端会在租约期限达到 7/8 时, 再次广播发送 DHCP-REQUEST 报文进行续约 DHCP 服务器的处理同上, 不再赘述 1.3 DHCP 报文格式 DHCP 有 8 种类型的报文, 每种报文的格式相同, 只是报文中的某些字段取值不同 DHCP 报文格式基于 BOOTP 的报文格式, 具体格式如图 1-2 所示 ( 括号中的数字表示该字段所占的字节 ): 1-2

4 图 1-2 DHCP 报文格式各字段的解释如下 : op:dhcp 报文的操作类型, 分为请求报文和响应报文,1 为请求报文 ;2 为响应报文 htype hlen:dhcp 客户端的硬件地址类型及长度 hops:dhcp 报文经过的 DHCP 中继的数目 DHCP 请求报文每经过一个 DHCP 中继, 该字段就会增加 1 xid: 客户端发起一次请求时选择的随机数, 用来标识一次地址请求过程 secs:dhcp 客户端开始 DHCP 请求后的时间 flags: 第一个比特为广播响应标识位, 用来标识 DHCP 服务器响应报文是采用单播还是广播发送,0 表示采用单播方式,1 表示采用广播方式其余比特保留不用 ciaddr:dhcp 客户端的 IP 地址 yiaddr:dhcp 服务器分配给客户端的 IP 地址 siaddr:dhcp 客户端获取 IP 地址等信息的服务器 IP 地址 giaddr:dhcp 客户端发出请求报文后经过的第一个 DHCP 中继的 IP 地址 chaddr:dhcp 客户端的硬件地址 sname:dhcp 客户端获取 IP 地址等信息的服务器名称 file:dhcp 服务器为 DHCP 客户端指定的启动配置文件名称及路径信息 option: 可选变长选项字段, 包含报文的类型有效租期 DNS(Domain Name System, 域名系统 ) 服务器的 IP 地址 WINS 服务器的 IP 地址等配置信息 1.4 协议规范与 DHCP 相关的协议规范有 : RFC2131:Dynamic Host Configuration Protocol RFC2132:DHCP Options and BOOTP Vendor Extensions RFC1542:Clarifications and Extensions for the Bootstrap Protocol RFC3046:DHCP Relay Agent Information option 1-3

5 2 DHCP Snooping 配置 2.1 简介 DHCP Snooping 简介出于安全性的考虑, 网络管理员可能需要记录用户上网时所用的 IP 地址, 确认用户从 DHCP 服务器获取的 IP 地址和用户主机的 MAC 地址的对应关系三层交换机可以通过 DHCP 中继记录用户的 IP 地址信息二层交换机可以通过 DHCP Snooping 功能监听 DHCP 报文, 记录用户的 IP 地址信息 DHCP Snooping 功能在 S2126-EI 以太网交换机应用的典型组网如图 2-1 所示图中的 Switch A 为 S2126-EI 以太网交换机图 2-1 DHCP Snooping 典型组网 DHCP Server DHCP Client DHCP Client Internet Eth1/0/1 Eth1/0/2 Switch A (DHCP Snooping) Switch B (DHCP Relay) DHCP Client DHCP Client S2126-EI 以太网交换机的 DHCP Snooping 功能, 仅通过监听 DHCP-REQUEST 报文来获得用户从 DHCP 服务器获取的 IP 地址和用户 MAC 地址信息防 DHCP 服务器仿冒功能简介由于 ACL 资源有限,S2126-EI 交换机不支持 DHCP Snooping 信任端口功能但为了防御因私自架设 DHCP 服务器, 而导致的网络混乱 ; 或者攻击者恶意冒充 DHCP 服务器, 为客户端分配 IP 地址等配置参数等情况, 以太网交换机提供了防 DHCP 服务器仿冒功能在开启 DHCP Snooping 功能的交换机的下游端口 ( 与 DHCP 客户端直接或间接相连的端口 ) 上配置防 DHCP 服务器仿冒功能后, 交换机会从该端口向外发送 DHCP-DISCOVER 报文, 用于探测连接到该端口的 DHCP 服务器, 如果接收到回应报文 (DHCP-OFFER 报文 ), 则认为该端口连接了仿冒的 DHCP 服务器, 交换机会根据配置的处理策略进行处理, 例如仅发送告警信息, 或发送告警信息的同时将相应端口进行管理 Down 操作 2-1

6 对端口进行管理 Down 操作后, 该端口处于关闭状态, 无法收发报文, 但是在 display current-configuration 时, 不会进行显示如果需要恢复端口的开启状态, 请在该端口视图下手工执行 undo shutdown 命令在实际网络环境中, 如果有攻击者恶意冒充 DHCP 服务器, 为了防止其通过防火墙对防 DHCP 服务器仿冒功能发送的探测报文进行策略过滤, 交换机支持防 DHCP 服务器仿冒功能发送探测报文的源 MAC 地址可配置功能 2.2 DHCP Snooping 相关配置开启 DHCP Snooping 功能表 2-1 配置 DHCP Snooping 功能操作命令说明进入系统视图 system-view - 开启交换机 DHCP Snooping 功能 dhcp-snooping 必选缺省情况下, 交换机的 DHCP Snooping 功能处于关闭状态在 S2126-EI 以太网交换机上开启 DHCP Snooping 功能后, 不支持与之连接的客户端使用 BOOTP 方式动态获取 IP 地址配置防 DHCP 服务器仿冒功能表 2-2 配置防 DHCP 服务器仿冒功能操作命令说明进入系统视图 system-view - 进入以太网端口视图开启防 DHCP 服务器仿冒功能 interface interface-type interface-number dhcp-snooping server-guard enable - 必选缺省情况下, 交换机的防 DHCP 服务器仿冒功能处于关闭状态 2-2

7 操作命令说明配置防 DHCP 服务器仿冒功能的处理策略 dhcp-snooping server-guard method { trap shutdown } 可选缺省情况下, 交换机防 DHCP 服务器仿冒功能的处理策略为 trap 退出至系统视图 quit - 配置防 DHCP 服务器仿冒功能发送探测报文的源 MAC 地址显示 DHCP 服务器仿冒相关信息 dhcp-snooping server-guard source-mac mac-address display dhcp-snooping server-guard 可选缺省情况下, 防 DHCP 服务器仿冒功能发送探测报文的源 MAC 地址为交换机的桥 MAC 地址可以在任意试图下执行防 DHCP 服务器仿冒功能需要与 DHCP Snooping 配合使用即 : 必须先开启 DHCP Snooping 功能, 防 DHCP 服务器仿冒功能才会生效防 DHCP 服务器仿冒功能不支持端口聚合目前,S2126-EI 以太网交换机上, 配置防 DHCP 服务器仿冒功能发送探测报文的源 MAC 地址功能, 与 VLAN-VPN Tunnel 功能不能同时使用且配置源 MAC 地址功能后, 交换机的 IGMP Snooping 功能将无法通过 PIM 报文学习路由器端口, 关于路由器端口的相关介绍可参考操作手册组播协议部分 2.3 DHCP Snooping 配置显示完成上述配置后, 在任意视图下执行 display 命令, 可以显示配置 DHCP Snooping 后的运行情况通过查看显示信息, 用户可以验证配置的效果表 2-3 DHCP Snooping 配置显示操作命令说明显示通过 DHCP Snooping 记录的用户 IP 地址和 MAC 地址的对应关系 display dhcp-snooping [ unit unit-id ] display 命令可在任意视图下执行清除 DHCP Snooping 表项功能 reset dhcp-snooping [ ip-address ] 在用户视图下执行 2.4 DHCP Snooping 典型配置举例防 DHCP 服务器仿冒功能典型配置举例 1. 组网需求如图 2-2 所示,Switch 的端口 Ethernet1/0/1 与 DHCP 服务器端相连, 端口 Ethernet1/0/2, Ethernet1/0/3 分别与 DHCP Client A DHCP Client B 相连在 Switch 上开启 DHCP Snooping 功能 2-3

8 在端口 Ethernet1/0/2,Ethernet1/0/3 上开启防 DHCP 服务器仿冒功能当端口 Ethernet1/0/2 上发现仿冒 DHCP 服务器时, 发送 Trap 信息 ; 当端口 Ethernet1/0/3 上发现仿冒 DHCP 服务器时, 进行管理 down 操作为了避免攻击者对探测报文进行策略过滤, 配置 Switch 上防 DHCP 服务器仿冒功能发送探测报文的源 MAC 地址为 000f-e ( 不同于交换机的桥 MAC 地址 ) 2. 组网图图 2-2 防 DHCP 服务器仿冒功能组网示意图 DHCP server Eth1/0/1 Eth1/0/2 Switch Eth1/0/3 ClientA ClientB 3. 配置步骤 # 开启 DHCP Snooping 功能 <Switch> system-view Enter system view, return to user view with Ctrl+Z. [Switch] dhcp-snooping # 配置防 DHCP 服务器仿冒的报文发送的源 MAC 地址为 000f-e [Switch] dhcp-snooping server-guard source-mac 000f-e # 在端口 Ethernet1/0/2 上使能防 DHCP 服务器功能 [Switch] interface ethernet1/0/2 [Switch-Ethernet1/0/2] dhcp-snooping server-guard enable # 在端口 Ethernet1/0/2 上配置防 DHCP 服务器策略为发送 Trap [Switch-Ethernet1/0/2] dhcp-snooping server-guard method trap [Switch-Ethernet1/0/2] quit # 在端口 Ethernet1/0/3 上使能防 DHCP 服务器功能 [Switch] interface ethernet1/0/3 [Switch-Ethernet1/0/3] dhcp-snooping server-guard enable # 在端口 Ethernet1/0/3 上配置防 DHCP 服务器策略为 shutdown [Switch-Ethernet1/0/3] dhcp-snooping server-guard method shutdown 2-4

9 3 DHCP/BOOTP 客户端配置 3.1 DHCP 客户端简介指定设备的 VLAN 接口作为 DHCP 客户端后, 可以使用 DHCP 协议从 DHCP 服务器动态获得 IP 地址等参数, 方便用户配置, 也便于集中管理客户端通过 DHCP 方式动态获取 IP 地址的过程请参见 IP 地址动态获取过程部分 3.2 自动配置简介自动配置应用背景 S2126-EI 以太网交换机自动配置功能是指设备启动时, 在主用和备用配置文件不存在时, 自动获取并执行配置文件的功能自动配置功能简化了网络配置, 便于实现对设备的集中管理目前, 企业网面临着这样的问题 : 设备分布广, 维护人员少, 网络管理员在每一台设备上进行手工配置的代价巨大利用自动配置功能, 网络管理员只需将配置文件保存在指定的服务器上, 设备在空配置启动时可以自动从服务器上获取并执行配置文件, 实现自动配置, 从而大大降低了网络管理员的工作量自动配置功能在设备上不需要进行特殊配置, 但若要成功获得配置文件, 需在 DHCP 服务器上配置一些必需的参数, 且将相应配置文件存放在 TFTP 服务器上由于作为 DHCP 服务器的设备不同, 所需进行的配置也不同, 具体介绍请参见相关服务器设备的操作手册自动配置工作过程图 3-1 自动配置典型组网图 S2126-EI 以太网交换机支持自动配置功能基本工作过程如下 : 3-1

10 (1) 交换机在主用和备用配置文件不存在时, 系统会自动在处于 up 状态的缺省 VLAN 接口上启动 DHCP 客户端功能, 广播方式发送 DHCP 请求报文报文中的 Option 55 选项指明交换机需要从 DHCP 服务器获得哪些信息 ( 如配置文件名 TFTP 服务器 IP 地址等信息 ) (2) 交换机从 DHCP 服务器应答报文中获取自身的 IP 地址可用的配置文件名称 (Option 67) 存储此配置文件的 TFTP 服务器的域名 (Option 66) 或 TFTP 服务器地址 (Option 150) (3) 交换机从 TFTP 服务器上获取配置文件具体步骤如下 : 首先交换机会向 DNS 服务器请求自身 IP 地址对应的域名, 然后以这个域名作为一个配置文件的名称, 来向 TFTP 服务器请求配置文件 ; 如果向 DNS 服务器请求 IP 地址对应的域名失败, 则交换机会向 TFTP 服务器请求一个名为 netdesc.cfg 的网络中间文件, 解析这个网络中间文件得到设备 IP 地址对应的主机名, 再向 TFTP 服务器请求此主机名对应的配置文件 ( 例如, 主机名为 switch1, 则此配置文件名为 switch1.cfg ); 网络中间文件用来保存主机 IP 地址与主机名称的映射关系主机 IP 地址与主机名称的映射关系使用 ip host hostname ip-address 进行定义 : 命令关键字 ip 或 host 前建议使用空格分割 hostname 表示主机名, 建议使用以英文字母数字. 或 _ 组成的字符串格式网络中间文件 netdesc.cfg 中, 可以分行指定多条 ip host hostname ip-address 的信息, 每条信息以回车结束 ( 最后一条信息后也必须要键入回车, 否则最后一行命令将不能被执行 ) 需要注意的是, 映射关系中的一个主机名称可以对应多个不同 IP 地址, 而一个 IP 地址只能唯一对应一个主机名称如果配置了一个 IP 地址对应多个主机名, 只有第一条信息生效如果以上操作都没有获取到交换机需要的配置文件名称, 则交换机查看 DHCP 应答报文中是否有 Option67 的选项 ( 配置文件名称 ), 有则进行配置, 没有则向 TFTP 服务器请求一个默认的设备配置文件 ( 文件名为 device.cfg ) (4) 成功获得配置文件后, 执行获取到的配置文件, 完成自动配置过程如果交换机在通过 DHCP 服务器获取 IP 地址, 或通过 TFTP 服务器获取配置文件的过程中, 无法及时得到服务器的回复, 则会持续发送获取申请用户可以通过键入回车, 终止自动配置功能用户键入回车, 到系统提示自动配置成功终止, 由于网络环境的不同, 可能需要一定时间 ( 大概需要 1~6 分钟 ) 这段时间内系统会锁定命令行, 不允许用户输入, 以避免回退配置时将用户配置命令错误删除自动配置功能终止后, 系统恢复用户对命令行的配置权限如果用户键入回车时, 设备已经通过自动配置功能获取到配置文件, 则配置文件不会被执行 3.3 BOOTP 客户端简介 BOOTP 是 Bootstrap Protocol( 自举协议 ) 的简称指定设备的接口作为 BOOTP 客户端后, 该接口可以使用 BOOTP 协议从 BOOTP 服务器获得 IP 地址等信息, 从而方便用户配置 3-2

11 使用 BOOTP 协议, 管理员需要在 BOOTP 服务器上为每个 BOOTP 客户端配置 BOOTP 参数文件, 该文件包括 BOOTP 客户端的 MAC 地址及其对应的 IP 地址等信息当 BOOTP 客户端向 BOOTP 服务器发起请求时, 服务器会查找 BOOTP 参数文件, 并返回相应的配置信息 BOOTP 客户端从 BOOTP 服务器动态获取 IP 地址的具体过程如下 : (1) BOOTP 客户端以广播方式发送 BOOTP 请求报文, 其中包含了 BOOTP 客户端的 MAC 地址 ; (2) BOOTP 服务器接收到请求报文后, 根据报文中的 BOOTP 客户端 MAC 地址, 从配置文件数据库中查找对应的 IP 地址等信息, 并向客户端返回包含这些信息的 BOOTP 响应报文 ; (3) BOOTP 客户端从接收到的响应报文中即可获得 IP 地址等信息由于 DHCP 服务器可以与 BOOTP 客户端进行交互, 因此用户可以不配置 BOOTP 服务器, 而使用 DHCP 服务器为 BOOTP 客户端分配 IP 地址 3.4 DHCP/BOOTP 客户端配置表 3-1 配置 DHCP/BOOTP 客户端操作命令说明进入系统视图 system-view - 进入 VLAN 接口视图配置 VLAN 接口采用 DHCP 或 BOOTP 方式获取 IP 地址 interface Vlan-interface vlan-id ip address { bootp-alloc dhcp-alloc } - 必选缺省情况下,VLAN 接口无 IP 地址目前 S2126-EI 以太网交换机作为 DHCP 客户端, 可以持续占用一个 IP 地址的最长时间为 24 天也就是说, 即使 DHCP 服务器端地址池的租约时间长于 24 天,DHCP 客户端也只能获取 24 天的租期 S2126-EI 以太网交换机作为 DHCP 客户端, 支持默认路由下发功能, 即 : 作为 DHCP 客户端的 S2126-EI 交换机获得 DHCP 服务器分配的 IP 地址的同时, 会在交换机的路由表中添加一条默认路由表项, 其下一跳地址为 DHCP 服务器上配置的网关地址具体表项信息可在交换机上通过 display ip routing-table 命令查看 3-3

12 S2126-EI 以太网交换机为防止恶意用户对未使用 SOCKET 的攻击, 提高交换机的安全性, 提供了如下功能 : 在启动 DHCP 功能时, 才打开 DHCP 使用的 UDP 67 和 UDP 68 端口在关闭 DHCP 功能时, 同时关闭 UDP 67 和 UDP 68 端口具体的实现是 : 执行 ip address dhcp-alloc 命令启动 DHCP 客户端功能时, 才打开 DHCP 使用的 UDP 68 端口执行 undo ip address dhcp-alloc 命令关闭 DHCP 客户端功能时, 同时关闭 UDP 68 端口 3.5 DHCP 客户端典型配置举例 1. 组网需求 Switch A 的端口 ( 属于 VLAN1) 接入局域网,Vlan-interface1 通过 DHCP 协议从 DHCP 服务器获取 IP 地址 2. 组网图图 3-2 DHCP 组网图 (S2126-EI 作为 DHCP 客户端 ) 3. 配置步骤下面只列出作为 DHCP 客户端的 Switch A 上的配置 # 配置 Vlan-interface1 通过 DHCP 动态获取地址 <SwitchA> system-view [SwitchA] interface Vlan-interface 1 [SwitchA-Vlan-interface1] ip address dhcp-alloc 3.6 DHCP/BOOTP 客户端显示表 3-2 DHCP/BOOTP 客户端显示操作命令说明查看 DHCP 客户端的相关信息 display dhcp client [ verbose ] 可选 3-4

13 查看 BOOTP 客户端的相关信息操作命令说明 display bootp client [ interface Vlan-interface vlan-id ] display 命令可以在任意视图下执行 3-5

目录（目录名）目录目录...1-1 1.1 域名解析配置命令... 1-1 1.1.1 display dns domain... 1-1 1.1.2 display dns dynamic-host... 1-1 1.1.3 display dns server... 1-2 1.1.4 display ip host... 1-3 1.1.5 dns domain... 1-4 1.1.6 dns resolve...