المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

معلومات أساسية

الرسم التخطيطي للشبكة

سيناريو عدم العمل

معالجة حزمة محول الموقع البعيد

تكوين الموقع البعيد

مدخل محول الموقع البعيد

مخرج المحول للموقع البعيد

معالجة حزمة محول Edge

تكوين محول Edge

مدخل المحول Edge

مخرج المحول Edge Switch

معالجة حزمة المحول المركزي

تكوين المحول المركزي

مدخل المحول المركزي

مبدل مركزي مخرج

كيف نحل المشكلة؟

ملخص

المقدمة

يصف هذا وثيقة ال DHCP يتطفل تفاعل وسلوك عندما الربط يكون تعبر أي L3 أداة وإن الربط يكون تضمنت في L3 رأس.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

- إتقان Cisco IOS® XE في أوامر التكوين والتشغيل.

- تعرف على أجهزة وبنية المحول Cisco Catalyst 9000 Series.

- فهم قوي لعمليات بروتوكول DHCP وآليات التطفل على بروتوكول DHCP.

- فهم تصوري لخيار DHCP 82 ودور وكيل الترحيل.

- معرفة بروتوكول التوجيه الأساسي.

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

- المركز/محول التوزيع: السلسلة Cisco Catalyst 9600X Series

- مفتاح الوصول: السلسلة Cisco Catalyst 9300 Series

- عميل DHCP: جهاز مضيف نهائي

- خادم DHCP: مزود خدمة الشبكة المركزية

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

يفحص هذا المستند كيفية فحص التطفل على بروتوكول DHCP لحزم DHCP واعتراضها أثناء إجتيازها لخطوة الطبقة 3. باستخدام أمثلة التكوين العملية وتحليل مجموعات الحزم ذات الصلة، يوضح التفاعل بين التطفل على بروتوكول DHCP على نقلات الطبقة 3 داخل بيئة شبكة Cisco Catalyst 9000 Series.

الرسم التخطيطي للشبكة

المخطط

سيناريو عدم العمل

أولا، يتم شرح السيناريو الذي يتم فيه إسقاط حزمة اكتشاف DHCP في خطوة الطبقة 3، وخاصة على المحول المركزي. الآن، حلل الربط رحلة يقفز بقفز من ال DHCP زبون.

معالجة حزمة محول الموقع البعيد

يرسل المضيف صاحب عنوان MAC 7010.5cdf.31e9 حزمة اكتشاف DHCP، والتي تصل إلى الواجهة GigabitEthernet1/0/1 على محول الموقع البعيد.

تكوين الموقع البعيد

!

!

Remote-Site#show run int vlan 113

Building configuration...

Current configuration : 170 bytes

!

interface Vlan113

ip address 10.93.150.254 255.255.255.0

ip helper-address 10.88.2.63

no ip redirects

no ip proxy-arp

end

!

!

! Host Access Port

Remote-Site#show run int gig1/0/1

Building configuration...

Current configuration : 90 bytes

!

interface GigabitEthernet1/0/1

switchport access vlan 113

switchport mode access

end

!

!

! Uplink Port

Remote-Site#show run int gig1/0/3

Building configuration...

Current configuration : 121 bytes

!

interface GigabitEthernet1/0/3

no switchport

ip address 10.92.250.6 255.255.255.252

end

!

!

Remote-Site#show run | sec dhcp

ip dhcp snooping vlan 1-999

no ip dhcp snooping information option

ip dhcp snooping

!

!

Remote-Site#show cdp neighbors

Capability Codes: R - Router, T - Trans Bridge, B - Source Route Bridge

S - Switch, H - Host, I - IGMP, r - Repeater, P - Phone,

D - Remote, C - CVTA, M - Two-port Mac Relay

Device ID     Local Intrfce    Holdtme      Capability    Platform       Port ID

Edge-Switch   Gig 1/0/3        153          R S I         C9300-48H      Gig 1/0/3

!

!

Remote-Site#show ip eigrp neighbors

EIGRP-IPv4 Neighbors for AS(100)

H Address Interface Hold Uptime SRTT RTO Q Seq

(sec) (ms) Cnt Num

0 10.92.250.5 Gi1/0/3 14 00:04:40 1 100 0 20

!

!

Remote-Site#show ip route 10.88.2.63

Routing entry for 10.88.2.0/24

Known via "eigrp 100", distance 90, metric 3072, precedence routine (0), type internal

Redistributing via eigrp 100

Last update from 10.92.250.5 on GigabitEthernet1/0/3, 00:05:15 ago

Routing Descriptor Blocks:

* 10.92.250.5, from 10.92.250.5, 00:05:15 ago, via GigabitEthernet1/0/3

Route metric is 3072, traffic share count is 1

Total delay is 20 microseconds, minimum bandwidth is 1000000 Kbit

Reliability 255/255, minimum MTU 1500 bytes

Loading 1/255, Hops 1

!

!

مدخل محول الموقع البعيد

حزمة اكتشاف Broadcast DHCP التي تدخل محول الموقع البعيد.

!

!

Remote-Site#show monitor capture tac parameter

monitor capture tac control-plane BOTH

monitor capture tac interface GigabitEthernet1/0/1 BOTH

monitor capture tac match any

monitor capture tac file location flash:pcport.pcap

!

!

Remote-Site#show monitor capture file flash:pcport.pcap packet-number 667 detailed

Starting the packet display ........ Press Ctrl + Shift + 6 to exit

Frame 667: 345 bytes on wire (2760 bits), 345 bytes captured (2760 bits) on interface 0

~

~

[Frame is marked: False]

[Frame is ignored: False]

[Protocols in frame: eth:ethertype:ip:udp:bootp]

Ethernet II, Src: 70:10:5c:df:31:e9 (70:10:5c:df:31:e9), Dst: ff:ff:ff:ff:ff:ff (ff:ff:ff:ff:ff:ff)

Destination: ff:ff:ff:ff:ff:ff (ff:ff:ff:ff:ff:ff)

Address: ff:ff:ff:ff:ff:ff (ff:ff:ff:ff:ff:ff)

.... ..1. .... .... .... .... = LG bit: Locally administered address (this is NOT the factory default)

.... ...1 .... .... .... .... = IG bit: Group address (multicast/broadcast)

Source: 70:10:5c:df:31:e9 (70:10:5c:df:31:e9)

Address: 70:10:5c:df:31:e9 (70:10:5c:df:31:e9)

.... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)

.... ...0 .... .... .... .... = IG bit: Individual address (unicast)

Type: IPv4 (0x0800)

Internet Protocol Version 4, Src: 0.0.0.0, Dst: 255.255.255.255

0100 .... = Version: 4

.... 0101 = Header Length: 20 bytes (5)

Differentiated Services Field: 0x00 (DSCP: CS0, ECN: Not-ECT)

0000 00.. = Differentiated Services Codepoint: Default (0)

.... ..00 = Explicit Congestion Notification: Not ECN-Capable Transport (0)

Total Length: 331

Identification: 0x0405 (1029)

Flags: 0x0000

0... .... .... .... = Reserved bit: Not set

.0.. .... .... .... = Don't fragment: Not set

..0. .... .... .... = More fragments: Not set

...0 0000 0000 0000 = Fragment offset: 0

Time to live: 255

Protocol: UDP (17)

Header checksum: 0xb69d [validation disabled]

[Header checksum status: Unverified]

Source: 0.0.0.0

Destination: 255.255.255.255

User Datagram Protocol, Src Port: 68, Dst Port: 67

Source Port: 68

Destination Port: 67

Length: 311

Checksum: 0x33de [unverified]

[Checksum Status: Unverified]

[Stream index: 3]

Bootstrap Protocol (Discover)

Message type: Boot Request (1)

Hardware type: Ethernet (0x01)

Hardware address length: 6

Hops: 0

Transaction ID: 0x000026ee

Seconds elapsed: 0

Bootp flags: 0x8000, Broadcast flag (Broadcast)

1... .... .... .... = Broadcast flag: Broadcast

.000 0000 0000 0000 = Reserved flags: 0x0000

Client IP address: 0.0.0.0

Your (client) IP address: 0.0.0.0

Next server IP address: 0.0.0.0

Relay agent IP address: 0.0.0.0

Client MAC address: 70:10:5c:df:31:e9 (70:10:5c:df:31:e9)

Client hardware address padding: 00000000000000000000

Server host name not given

Boot file name not given

Magic cookie: DHCP

Option: (53) DHCP Message Type (Discover)

Length: 1

DHCP: Discover (1)

Option: (57) Maximum DHCP Message Size

Length: 2

Maximum DHCP Message Size: 1200

Option: (61) Client identifier

Length: 29

Type: 0

Client Identifier: cisco-7010.5cdf.31e9-Gi2/0/7

Option: (12) Host Name

Length: 2

Host Name: PC

Option: (55) Parameter Request List

Length: 8

Parameter Request List Item: (1) Subnet Mask

Parameter Request List Item: (6) Domain Name Server

Parameter Request List Item: (15) Domain Name

Parameter Request List Item: (44) NetBIOS over TCP/IP Name Server

Parameter Request List Item: (3) Router

Parameter Request List Item: (33) Static Route

Parameter Request List Item: (150) TFTP Server Address

Parameter Request List Item: (43) Vendor-Specific Information

Option: (60) Vendor class identifier

Length: 8

Vendor class identifier: ciscopnp

Option: (255) End

Option End: 255

!

!

مخرج المحول للموقع البعيد

ال unicast DHCP يكتشف ربط يخرج من موقع مفتاح إلى حافة مفتاح.

!

!

Remote-Site#show monitor capture tac1 parameter

monitor capture tac1 control-plane BOTH

monitor capture tac1 interface GigabitEthernet1/0/3 BOTH

monitor capture tac1 match any

monitor capture tac1 file location flash:remote_edge.pcap

!

!

Remote-Site#show monitor capture file flash:pcport.pcap packet-number 669 detailed

Starting the packet display ........ Press Ctrl + Shift + 6 to exit

Frame 669: 345 bytes on wire (2760 bits), 345 bytes captured (2760 bits) on interface 0

~

~

[Frame is marked: False]

[Frame is ignored: False]

[Protocols in frame: eth:ethertype:ip:udp:bootp]

Ethernet II, Src: 5c:5a:c7:1f:11:58 (5c:5a:c7:1f:11:58), Dst: 08:f3:fb:de:46:05 (08:f3:fb:de:46:05)

Destination: 08:f3:fb:de:46:05 (08:f3:fb:de:46:05)

Address: 08:f3:fb:de:46:05 (08:f3:fb:de:46:05)

.... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)

.... ...0 .... .... .... .... = IG bit: Individual address (unicast)

Source: 5c:5a:c7:1f:11:58 (5c:5a:c7:1f:11:58)

Address: 5c:5a:c7:1f:11:58 (5c:5a:c7:1f:11:58)

.... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)

.... ...0 .... .... .... .... = IG bit: Individual address (unicast)

Type: IPv4 (0x0800)

Internet Protocol Version 4, Src: 10.93.150.254, Dst: 10.88.2.63

0100 .... = Version: 4

.... 0101 = Header Length: 20 bytes (5)

Differentiated Services Field: 0x00 (DSCP: CS0, ECN: Not-ECT)

0000 00.. = Differentiated Services Codepoint: Default (0)

.... ..00 = Explicit Congestion Notification: Not ECN-Capable Transport (0)

Total Length: 331

Identification: 0x001c (28)

Flags: 0x0000

0... .... .... .... = Reserved bit: Not set

.0.. .... .... .... = Don't fragment: Not set

..0. .... .... .... = More fragments: Not set

...0 0000 0000 0000 = Fragment offset: 0

Time to live: 255

Protocol: UDP (17)

Header checksum: 0x0c94 [validation disabled]

[Header checksum status: Unverified]

Source: 10.93.150.254

Destination: 10.88.2.63

User Datagram Protocol, Src Port: 67, Dst Port: 67

Source Port: 67

Destination Port: 67

Length: 311

Checksum: 0xe48f [unverified]

[Checksum Status: Unverified]

[Stream index: 4]

Bootstrap Protocol (Discover)

Message type: Boot Request (1)

Hardware type: Ethernet (0x01)

Hardware address length: 6

Hops: 1

Transaction ID: 0x000026ee

Seconds elapsed: 0

Bootp flags: 0x8000, Broadcast flag (Broadcast)

1... .... .... .... = Broadcast flag: Broadcast

.000 0000 0000 0000 = Reserved flags: 0x0000

Client IP address: 0.0.0.0

Your (client) IP address: 0.0.0.0

Next server IP address: 0.0.0.0

Relay agent IP address: 10.93.150.254

Client MAC address: 70:10:5c:df:31:e9 (70:10:5c:df:31:e9)

Client hardware address padding: 00000000000000000000

Server host name not given

Boot file name not given

Magic cookie: DHCP

Option: (53) DHCP Message Type (Discover)

Length: 1

DHCP: Discover (1)

Option: (57) Maximum DHCP Message Size

Length: 2

Maximum DHCP Message Size: 1200

Option: (61) Client identifier

Length: 29

Type: 0

Client Identifier: cisco-7010.5cdf.31e9-Gi2/0/7

Option: (12) Host Name

Length: 2

Host Name: PC

Option: (55) Parameter Request List

Length: 8

Parameter Request List Item: (1) Subnet Mask

Parameter Request List Item: (6) Domain Name Server

Parameter Request List Item: (15) Domain Name

Parameter Request List Item: (44) NetBIOS over TCP/IP Name Server

Parameter Request List Item: (3) Router

Parameter Request List Item: (33) Static Route

Parameter Request List Item: (150) TFTP Server Address

Parameter Request List Item: (43) Vendor-Specific Information

Option: (60) Vendor class identifier

Length: 8

Vendor class identifier: ciscopnp

Option: (255) End

Option End: 255

!

!

ملاحظة: الحزمة التي تحتوي على 'Relay agent IP address:10.93.150.254' ولكنها لا تحتوي على خيار DHCP 82 بسبب التكوين 'no ip dhcp snooping information option' كجزء من قسم DHCP.

معالجة حزمة محول Edge

بالنسبة لتدفق DHCP هو مصدر قلق، فإن محول Edge هو محول L2 يتم إستخدامه فقط لتوزيع الحزم على المحول المركزي/الرئيسي ومحولات الموقع البعيد ومنه. وهو يعتمد على جميع حزم DHCP.

تكوين محول Edge

!

!

Edge-Switch#show run int gig1/0/3

Building configuration...

Current configuration : 152 bytes

!

interface GigabitEthernet1/0/3

switchport access vlan 565

ip flow monitor IPv4_NETFLOW input

ip dhcp snooping trust

end

!

!

Edge-Switch#show run int gig1/0/1

Building configuration...

Current configuration : 119 bytes

!

interface GigabitEthernet1/0/1

switchport trunk native vlan 999

switchport mode trunk

ip dhcp snooping trust

end

!

!

Edge-Switch#show run | sec dhcp

ip dhcp snooping vlan 1-4094

no ip dhcp snooping information option

ip dhcp snooping

!

!

Edge-Switch#show cdp neighbors

Capability Codes: R - Router, T - Trans Bridge, B - Source Route Bridge

S - Switch, H - Host, I - IGMP, r - Repeater, P - Phone,

D - Remote, C - CVTA, M - Two-port Mac Relay

Device ID        Local Intrfce   Holdtme   Capability   Platform     Port ID

Remote-Site      Gig 1/0/3       153       R S I        C9300L-48    Gig 1/0/3

Central-Switch   Gig 1/0/1       170       R S I        C9606R       Fif 2/1/0/1

!

!

مدخل المحول Edge

تتصل ميزة اكتشاف الحزم من محول الموقع البعيد بمحول Edge كما هي.

مخرج المحول Edge Switch

بما أن هذا طبقة 2 خطوة للحزمة، هو يخرج المفتاح دون تغيير بما أن هو ينتقل إلى الخطوة تالي. يقوم محول Edge بإعادة توجيه الحزمة إلى المحول المركزي دون أي تعديل يلاحظ في الحزمة.

حزمة مخرج المحول Edge Switch هي حزمة إدخال المحول المركزي.

!

!

Edge-Switch#show monitor capture tac parameters

monitor capture tac control-plane BOTH

monitor capture tac interface GigabitEthernet1/0/1 BOTH

monitor capture tac match any

monitor capture tac file location flash:edge_central.pcap

!

!

Edge-Switch#show monitor capture file flash:edge_central.pcap packet-number 25597 detail

Starting the packet display ........ Press Ctrl + Shift + 6 to exit

Frame 25597: 345 bytes on wire (2760 bits), 345 bytes captured (2760 bits) on interface /tmp/epc_ws/wif_to_ts_pipe, id 0

~

~

[Frame is marked: False]

[Frame is ignored: False]

[Protocols in frame: eth:ethertype:ip:udp:dhcp]

Ethernet II, Src: 5c:5a:c7:1f:11:58 (5c:5a:c7:1f:11:58), Dst: 08:f3:fb:de:46:05 (08:f3:fb:de:46:05)

Destination: 08:f3:fb:de:46:05 (08:f3:fb:de:46:05)

Address: 08:f3:fb:de:46:05 (08:f3:fb:de:46:05)

.... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)

.... ...0 .... .... .... .... = IG bit: Individual address (unicast)

Source: 5c:5a:c7:1f:11:58 (5c:5a:c7:1f:11:58)

Address: 5c:5a:c7:1f:11:58 (5c:5a:c7:1f:11:58)

.... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)

.... ...0 .... .... .... .... = IG bit: Individual address (unicast)

Type: IPv4 (0x0800)

Internet Protocol Version 4, Src: 10.93.150.254, Dst: 10.88.2.63

0100 .... = Version: 4

.... 0101 = Header Length: 20 bytes (5)

Differentiated Services Field: 0x00 (DSCP: CS0, ECN: Not-ECT)

0000 00.. = Differentiated Services Codepoint: Default (0)

.... ..00 = Explicit Congestion Notification: Not ECN-Capable Transport (0)

Total Length: 331

Identification: 0x001c (28)

Flags: 0x0000

0... .... .... .... = Reserved bit: Not set

.0.. .... .... .... = Don't fragment: Not set

..0. .... .... .... = More fragments: Not set

Fragment offset: 0

Time to live: 255

Protocol: UDP (17)

Header checksum: 0x0c94 [validation disabled]

[Header checksum status: Unverified]

Source: 10.93.150.254

Destination: 10.88.2.63

User Datagram Protocol, Src Port: 67, Dst Port: 67

Source Port: 67

Destination Port: 67

Length: 311

Checksum: 0xe48f [unverified]

[Checksum Status: Unverified]

[Stream index: 5]

[Timestamps]

[Time since first frame: 0.000000000 seconds]

[Time since previous frame: 0.000000000 seconds]

Dynamic Host Configuration Protocol (Discover)

Message type: Boot Request (1)

Hardware type: Ethernet (0x01)

Hardware address length: 6

Hops: 1

Transaction ID: 0x000026ee

Seconds elapsed: 0

Bootp flags: 0x8000, Broadcast flag (Broadcast)

1... .... .... .... = Broadcast flag: Broadcast

.000 0000 0000 0000 = Reserved flags: 0x0000

Client IP address: 0.0.0.0

Your (client) IP address: 0.0.0.0

Next server IP address: 0.0.0.0

Relay agent IP address: 10.93.150.254

Client MAC address: 70:10:5c:df:31:e9 (70:10:5c:df:31:e9)

Client hardware address padding: 00000000000000000000

Server host name not given

Boot file name not given

Magic cookie: DHCP

Option: (53) DHCP Message Type (Discover)

Length: 1

DHCP: Discover (1)

Option: (57) Maximum DHCP Message Size

Length: 2

Maximum DHCP Message Size: 1200

Option: (61) Client identifier

Length: 29

Type: 0

Client Identifier: cisco-7010.5cdf.31e9-Gi2/0/7

Option: (12) Host Name

Length: 2

Host Name: PC

Option: (55) Parameter Request List

Length: 8

Parameter Request List Item: (1) Subnet Mask

Parameter Request List Item: (6) Domain Name Server

Parameter Request List Item: (15) Domain Name

Parameter Request List Item: (44) NetBIOS over TCP/IP Name Server

Parameter Request List Item: (3) Router

Parameter Request List Item: (33) Static Route

Parameter Request List Item: (150) TFTP Server Address

Parameter Request List Item: (43) Vendor-Specific Information

Option: (60) Vendor class identifier

Length: 8

Vendor class identifier: ciscopnp

Option: (255) End

Option End: 255

!

!

معالجة حزمة المحول المركزي

تكوين المحول المركزي

!

!

Central-Switch#show cdp neighbors

Capability Codes: R - Router, T - Trans Bridge, B - Source Route Bridge

S - Switch, H - Host, I - IGMP, r - Repeater, P - Phone,

D - Remote, C - CVTA, M - Two-port Mac Relay

Device ID      Local Intrfce   Holdtme   Capability   Platform    Port ID

Edge-Switch    Fif 2/1/0/1     177       R S I        C9300-48H   Gig 1/0/1

!

!

Central-Switch#show run int fif2/1/0/1

Building configuration...

Current configuration : 115 bytes

!

interface FiftyGigE2/1/0/1

switchport trunk native vlan 999

switchport mode trunk

end

!

!

Central-Switch#show run int fif2/1/0/3

Building configuration...

Current configuration : 87 bytes

!

interface FiftyGigE2/1/0/3

no switchport

ip address 10.88.2.254 255.255.255.0

end

!

!

interface Vlan565

ip address 10.92.250.5 255.255.255.252

!

!

!

Central-Switch#show run | sec dhcp

ip dhcp snooping vlan 1-4094

no ip dhcp snooping information option

ip dhcp snooping

!

!

Central-Switch#show ip eigrp neighbors

EIGRP-IPv4 Neighbors for AS(100)

H Address Interface Hold Uptime SRTT RTO Q Seq

(sec) (ms) Cnt Num

0 10.92.250.6 Vl565 11 00:10:32 3 100 0 19

~

~

!

!

router eigrp 100

network 10.0.0.0

network 10.88.0.0 0.0.255.255

passive-interface default

no passive-interface Vlan565

eigrp router-id 10.255.255.254

!

!

مدخل المحول المركزي

وكما ذكرنا سابقا، فإن حزمة مخرج محول Edge هي حزمة إدخال المحول المركزي.

عندما تصل الحزمة إلى الواجهة fif 2/1/0/1، سيتم ملاحظة هذا السجل.

%DHCP_SNOOPING-5-DHCP_SNOOPING_NONZERO_GIADDR: DHCP_SNOOPING drop message with non-zero giaddr or option82 value on untrusted port, message type: DHCPDISCOVER, MAC sa: 5c5a.c71f.1158

تم تكوين الواجهة FIF 2/1/0/1 كمنفذ غير موثوق به للتطفل على بروتوكول DHCP.

طبقة 3 يرسل DHCP يكتشف ربط يدخل من خلال هذا ميناء. على الرغم من أن الحزمة يتم إرسالها وتغليفها في الطبقة 3، فإن التطفل على بروتوكول DHCP لا يزال يفحصها على منفذ الطبقة 2. نظرا لأن هذا المنفذ غير موثوق به وأن الحزمة تحتوي على عنوان IP للعبارة (وكيل ترحيل) دون الخيار 82، سيقوم التطفل على بروتوكول DHCP بإسقاط الحزمة على هذا المنفذ غير الموثوق به. هذا السلوك متوقع و من خلال التصميم.

ملاحظة: في العديد من الحالات، يرى أن بروتوكول DHCP يكتشف السقوط في النقل بسبب التطفل على بروتوكول DHCP.

مبدل مركزي مخرج

في هذه الحالة، سيسقط Central-Switch حزمة اكتشاف DHCP ولن يكون هناك أي DHCP Discover Packet يبدأ بواسطة المضيف مع عنوان MAC 70:10:5c:df:31:e9 إضافة من الواجهة FIF 2/1/0/3.

كيف نحل المشكلة؟

1. يتلقى خيار 82 يمكن على الخطوة الأولى من ال DHCP زبون.

في المثال الحالي، قم بتكوين الأمر ip dhcp snooping information option على المحول البعيد.

2. يجب تمكين الثقة في التطفل على بروتوكول DHCP عبر مسار DHCP من عميل DHCP إلى خادم DHCP.

في المثال الحالي، قم بتكوين الأمر ip dhcp snooping trust على الواجهة fif2/1/0/1 من المحول المركزي.

Central-Switch#show run int fif2/1/0/1

Building configuration...

Current configuration : 115 bytes

!

interface FiftyGigE2/1/0/1

switchport trunk native vlan 999

switchport mode trunk

ip dhcp snooping trust

end

بعد هذه التغييرات، ستبدأ حزمة اكتشاف الخروج من المحول المركزي إلى خادم DHCP.

Frame 9: 345 bytes on wire (2760 bits), 345 bytes captured (2760 bits) on interface 0

~

~

[Frame is marked: False]

[Frame is ignored: False]

[Protocols in frame: eth:ethertype:ip:udp:dhcp]

Ethernet II, Src: 08:f3:fb:de:46:05 (08:f3:fb:de:46:05), Dst: 00:aa:6e:f3:6c:e4 (00:aa:6e:f3:6c:e4)

Destination: 00:aa:6e:f3:6c:e4 (00:aa:6e:f3:6c:e4)

Address: 00:aa:6e:f3:6c:e4 (00:aa:6e:f3:6c:e4)

.... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)

.... ...0 .... .... .... .... = IG bit: Individual address (unicast)

Source: 08:f3:fb:de:46:05 (08:f3:fb:de:46:05)

Address: 08:f3:fb:de:46:05 (08:f3:fb:de:46:05)

.... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)

.... ...0 .... .... .... .... = IG bit: Individual address (unicast)

Type: IPv4 (0x0800)

Internet Protocol Version 4, Src: 10.93.150.254, Dst: 10.88.2.63

0100 .... = Version: 4

.... 0101 = Header Length: 20 bytes (5)

Differentiated Services Field: 0x00 (DSCP: CS0, ECN: Not-ECT)

0000 00.. = Differentiated Services Codepoint: Default (0)

.... ..00 = Explicit Congestion Notification: Not ECN-Capable Transport (0)

Total Length: 331

Identification: 0x02ff (767)

Flags: 0x0000

0... .... .... .... = Reserved bit: Not set

.0.. .... .... .... = Don't fragment: Not set

..0. .... .... .... = More fragments: Not set

...0 0000 0000 0000 = Fragment offset: 0

Time to live: 254

Protocol: UDP (17)

Header checksum: 0x0ab1 [validation disabled]

[Header checksum status: Unverified]

Source: 10.93.150.254

Destination: 10.88.2.63

User Datagram Protocol, Src Port: 67, Dst Port: 67

Source Port: 67

Destination Port: 67

Length: 311

Checksum: 0x061b [unverified]

[Checksum Status: Unverified]

[Stream index: 0]

[Timestamps]

[Time since first frame: 0.000000000 seconds]

[Time since previous frame: 0.000000000 seconds]

Dynamic Host Configuration Protocol (Discover)

Message type: Boot Request (1)

Hardware type: Ethernet (0x01)

Hardware address length: 6

Hops: 1

Transaction ID: 0x00000563

Seconds elapsed: 0

Bootp flags: 0x8000, Broadcast flag (Broadcast)

1... .... .... .... = Broadcast flag: Broadcast

.000 0000 0000 0000 = Reserved flags: 0x0000

Client IP address: 0.0.0.0

Your (client) IP address: 0.0.0.0

Next server IP address: 0.0.0.0

Relay agent IP address: 10.93.150.254

Client MAC address: 70:10:5c:df:31:e9 (70:10:5c:df:31:e9)

Client hardware address padding: 00000000000000000000

Server host name not given

Boot file name not given

Magic cookie: DHCP

Option: (53) DHCP Message Type (Discover)

Length: 1

DHCP: Discover (1)

Option: (57) Maximum DHCP Message Size

Length: 2

Maximum DHCP Message Size: 1200

Option: (61) Client identifier

Length: 29

Type: 0

Client Identifier: cisco-7010.5cdf.31e9-Gi2/0/7

Option: (12) Host Name

Length: 2

Host Name: PC

Option: (55) Parameter Request List

Length: 8

Parameter Request List Item: (1) Subnet Mask

Parameter Request List Item: (6) Domain Name Server

Parameter Request List Item: (15) Domain Name

Parameter Request List Item: (44) NetBIOS over TCP/IP Name Server

Parameter Request List Item: (3) Router

Parameter Request List Item: (33) Static Route

Parameter Request List Item: (150) TFTP Server Address

Parameter Request List Item: (43) Vendor-Specific Information

Option: (60) Vendor class identifier

Length: 8

Vendor class identifier: ciscopnp

Option: (255) End

Option End: 255

سيبلغ الاكتشاف خادم DHCP وسيرد خادم DHCP على عرض DHCP.

حزمة عرض DHCP:

Frame 128: 353 bytes on wire (2824 bits), 353 bytes captured (2824 bits) on interface 0

~

~

[Frame is marked: False]

[Frame is ignored: False]

[Protocols in frame: eth:ethertype:ip:udp:bootp]

Ethernet II, Src: 00:aa:6e:f3:6c:e4 (00:aa:6e:f3:6c:e4), Dst: 08:f3:fb:de:46:05 (08:f3:fb:de:46:05)

Destination: 08:f3:fb:de:46:05 (08:f3:fb:de:46:05)

Address: 08:f3:fb:de:46:05 (5c:5a:c7:1f:11:58)

.... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)

.... ...0 .... .... .... .... = IG bit: Individual address (unicast)

Source: 00:aa:6e:f3:6c:e4 (00:aa:6e:f3:6c:e4)

Address: 00:aa:6e:f3:6c:e4 (00:aa:6e:f3:6c:e4)

.... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)

.... ...0 .... .... .... .... = IG bit: Individual address (unicast)

Type: IPv4 (0x0800)

Internet Protocol Version 4, Src: 10.88.2.63, Dst: 10.93.150.254

0100 .... = Version: 4

.... 0101 = Header Length: 20 bytes (5)

Differentiated Services Field: 0x00 (DSCP: CS0, ECN: Not-ECT)

0000 00.. = Differentiated Services Codepoint: Default (0)

.... ..00 = Explicit Congestion Notification: Not ECN-Capable Transport (0)

Total Length: 339

Identification: 0x0006 (6)

Flags: 0x0000

0... .... .... .... = Reserved bit: Not set

.0.. .... .... .... = Don't fragment: Not set

..0. .... .... .... = More fragments: Not set

...0 0000 0000 0000 = Fragment offset: 0

Time to live: 252

Protocol: UDP (17)

Header checksum: 0x0fa2 [validation disabled]

[Header checksum status: Unverified]

Source: 10.88.2.63

Destination: 10.93.150.254

User Datagram Protocol, Src Port: 67, Dst Port: 67

Source Port: 67

Destination Port: 67

Length: 319

Checksum: 0x9c4c [unverified]

[Checksum Status: Unverified]

[Stream index: 2]

Bootstrap Protocol (Offer)

Message type: Boot Reply (2)

Hardware type: Ethernet (0x01)

Hardware address length: 6

Hops: 0

Transaction ID: 0x00000563

Seconds elapsed: 0

Bootp flags: 0x8000, Broadcast flag (Broadcast)

1... .... .... .... = Broadcast flag: Broadcast

.000 0000 0000 0000 = Reserved flags: 0x0000

Client IP address: 0.0.0.0

Your (client) IP address: 10.93.150.11

Next server IP address: 0.0.0.0

Relay agent IP address: 10.93.150.254

Client MAC address: 70:10:5c:df:31:e9 (70:10:5c:df:31:e9)

Client hardware address padding: 00000000000000000000

Server host name not given

Boot file name not given

Magic cookie: DHCP

Option: (53) DHCP Message Type (Offer)

Length: 1

DHCP: Offer (2)

Option: (61) Client identifier

Length: 29

Type: 0

Client Identifier: cisco-7010.5cdf.31e9-Gi2/0/7

Option: (54) DHCP Server Identifier

Length: 4

DHCP Server Identifier: 10.88.2.63

Option: (51) IP Address Lease Time

Length: 4

IP Address Lease Time: (73119s) 20 hours, 18 minutes, 39 seconds

Option: (58) Renewal Time Value

Length: 4

Renewal Time Value: (36559s) 10 hours, 9 minutes, 19 seconds

Option: (59) Rebinding Time Value

Length: 4

Rebinding Time Value: (63973s) 17 hours, 46 minutes, 13 seconds

Option: (1) Subnet Mask

Length: 4

Subnet Mask: 255.255.255.0

Option: (6) Domain Name Server

Length: 4

Domain Name Server: 8.8.8.8

Option: (255) End

Option End: 255

سوف تضرب حزمة العرض التي يتم الرد عليها بواسطة خادم DHCP الواجهة fif2/1/0/3 الخاصة بالمحول Core/Central Switch.

Central-Switch#show run int fif2/1/0/3

Building configuration...

Current configuration : 87 bytes

!

interface FiftyGigE2/1/0/3

no switchport

ip address 10.88.2.254 255.255.255.0

end

هنا لا توجد ثقة من نهاية التطفل على بروتوكول DHCP والعرض يتم إدخاله، ثم لماذا لا يتم إسقاط العرض على منفذ غير موثوق به؟

كما تعرف، في شبكة يتم فيها تمكين التطفل على بروتوكول DHCP، يتم تصنيف المنافذ على أنها إما موثوق بها أو غير موثوق بها.

تتصل المنافذ الموثوق بها بخوادم DHCP الشرعية أو محولات أخرى موثوق بها. كافة رسائل DHCP مسموح بها.

تتصل المنافذ غير الموثوق بها عادة بأجهزة المستخدم النهائي (العملاء). يتم تقييدها لمنع هجمات "انتحال بروتوكول DHCP" أو "خادم DHCP الدخيالي".

تعتبر حزم DHCP و DHCP ACK رسائل 'server-side'. وفقا لقواعد الأمان، يجب أن يكون مصدر هذه الرسائل من خادم شرعي فقط.

عندما يستلم وكيل ترحيل DHCP أو أي موجه/محول من المستوى الثالث عرض DHCP على منفذ L2 تم تكوينه على أنه غير موثوق به، تعرف آلية التطفل على DHCP هذا على أنه انتهاك أمان. هو يفترض أن خادم DHCP المخادع يحاول توفير عناوين IP غير المعتمدة للعملاء على الشبكة.

على الرغم من أن الحزمة هي Unicast (موجهة خصيصا إلى وكيل الترحيل)، فإن حالة الثقة للمنفذ المادي أو المنطقي تكون لها الأولوية. يتم إجراء التحقق من الأمان على مستوى المنفذ بغض النظر عما إذا كانت الحزمة يتم بثها أو البث الأحادي أم لا.

لأن المنفذ غير موثوق به، سيقوم النظام بحظر عرض DHCP لحماية الشبكة من بيانات التكوين التي يحتمل أن تكون ضارة أو غير صحيحة الواردة من مصدر غير مصرح به.

يعمل منفذ L3 (واجهة موجهة) في الطبقة 3. نظرا لأنه واجهة موجهة، فإنه لا يلاحظ قواعد الثقة/عدم الثقة في التطفل على بروتوكول L2 DHCP التي تنطبق على منافذ المحولات.

يرسل أحد العملاء طلب بث. يعترض وكيل الترحيل (جهاز L3) هذا ويرسل طلب البث الأحادي إلى خادم DHCP.

يرسل خادم DHCP عرض DHCP للبث الأحادي مرة أخرى إلى عنوان IP الخاص بعميل الترحيل (تحديدا إلى عنوان IP للعبارة أو العبارة).

عندما تصل الحزمة إلى المنفذ L3 من وكيل الترحيل أو على أي خطوة L3 في مسار الحزمة، يقبل الجهاز الحزمة كحركة مرور توجيه شرعية.

بخلاف السيناريو السابق (منفذ L2 غير موثوق به)، حيث يبحث المحول عن رسائل 'جانب الخادم' الواردة من منفذ يواجه العميل، يعمل منفذ L3 كوجهة مقصودة أو خطوة L3 شرعية لاستجابة الخادم.

إذا أسقطت منافذ L3 عروض DHCP للبث الأحادي، فلن تعمل آلية ترحيل DHCP أبدا، لأن الخادم لن يكون قادرا على الاتصال مرة أخرى بوكيل الترحيل.

وأخيرا، يتم إجتياز حزمة العرض حتى تصل إلى العميل.

سيرد المضيف/العميل على طلب DHCP.

Frame 20: 363 bytes on wire (2904 bits), 363 bytes captured (2904 bits) on interface 0

~

~

[Frame is marked: False]

[Frame is ignored: False]

[Protocols in frame: eth:ethertype:ip:udp:bootp]

Ethernet II, Src: 70:10:5c:df:31:e9 (70:10:5c:df:31:e9), Dst: ff:ff:ff:ff:ff:ff (ff:ff:ff:ff:ff:ff)

Destination: ff:ff:ff:ff:ff:ff (ff:ff:ff:ff:ff:ff)

Address: ff:ff:ff:ff:ff:ff (ff:ff:ff:ff:ff:ff)

.... ..1. .... .... .... .... = LG bit: Locally administered address (this is NOT the factory default)

.... ...1 .... .... .... .... = IG bit: Group address (multicast/broadcast)

Source: 70:10:5c:df:31:e9 (70:10:5c:df:31:e9)

Address: 70:10:5c:df:31:e9 (70:10:5c:df:31:e9)

.... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)

.... ...0 .... .... .... .... = IG bit: Individual address (unicast)

Type: IPv4 (0x0800)

Internet Protocol Version 4, Src: 0.0.0.0, Dst: 255.255.255.255

0100 .... = Version: 4

.... 0101 = Header Length: 20 bytes (5)

Differentiated Services Field: 0x00 (DSCP: CS0, ECN: Not-ECT)

0000 00.. = Differentiated Services Codepoint: Default (0)

.... ..00 = Explicit Congestion Notification: Not ECN-Capable Transport (0)

Total Length: 349

Identification: 0x3be5 (15333)

Flags: 0x0000

0... .... .... .... = Reserved bit: Not set

.0.. .... .... .... = Don't fragment: Not set

..0. .... .... .... = More fragments: Not set

...0 0000 0000 0000 = Fragment offset: 0

Time to live: 255

Protocol: UDP (17)

Header checksum: 0x7eab [validation disabled]

[Header checksum status: Unverified]

Source: 0.0.0.0

Destination: 255.255.255.255

User Datagram Protocol, Src Port: 68, Dst Port: 67

Source Port: 68

Destination Port: 67

Length: 329

Checksum: 0xed98 [unverified]

[Checksum Status: Unverified]

[Stream index: 1]

Bootstrap Protocol (Request)

Message type: Boot Request (1)

Hardware type: Ethernet (0x01)

Hardware address length: 6

Hops: 0

Transaction ID: 0x00000563

Seconds elapsed: 0

Bootp flags: 0x8000, Broadcast flag (Broadcast)

1... .... .... .... = Broadcast flag: Broadcast

.000 0000 0000 0000 = Reserved flags: 0x0000

Client IP address: 0.0.0.0

Your (client) IP address: 0.0.0.0

Next server IP address: 0.0.0.0

Relay agent IP address: 0.0.0.0

Client MAC address: 70:10:5c:df:31:e9 (70:10:5c:df:31:e9)

Client hardware address padding: 00000000000000000000

Server host name not given

Boot file name not given

Magic cookie: DHCP

Option: (53) DHCP Message Type (Request)

Length: 1

DHCP: Request (3)

Option: (57) Maximum DHCP Message Size

Length: 2

Maximum DHCP Message Size: 1200

Option: (61) Client identifier

Length: 29

Type: 0

Client Identifier: cisco-7010.5cdf.31e9-Gi2/0/7

Option: (54) DHCP Server Identifier

Length: 4

DHCP Server Identifier: 10.88.2.63

Option: (50) Requested IP Address

Length: 4

Requested IP Address: 10.93.150.11

Option: (51) IP Address Lease Time

Length: 4

IP Address Lease Time: (73119s) 20 hours, 18 minutes, 39 seconds

Option: (12) Host Name

Length: 2

Host Name: PC

Option: (55) Parameter Request List

Length: 8

Parameter Request List Item: (1) Subnet Mask

Parameter Request List Item: (6) Domain Name Server

Parameter Request List Item: (15) Domain Name

Parameter Request List Item: (44) NetBIOS over TCP/IP Name Server

Parameter Request List Item: (3) Router

Parameter Request List Item: (33) Static Route

Parameter Request List Item: (150) TFTP Server Address

Parameter Request List Item: (43) Vendor-Specific Information

Option: (60) Vendor class identifier

Length: 8

Vendor class identifier: ciscopnp

Option: (255) End

Option End: 255

سيقوم خادم DHCP أخيرا باستجواب تعيين عنوان IP.

Frame 25: 353 bytes on wire (2824 bits), 353 bytes captured (2824 bits) on interface 0

~

~

[Frame is marked: False]

[Frame is ignored: False]

[Protocols in frame: eth:ethertype:ip:udp:bootp]

Ethernet II, Src: 08:f3:fb:de:46:05 (08:f3:fb:de:46:05), Dst: 5c:5a:c7:1f:11:58 (5c:5a:c7:1f:11:58)

Destination: 5c:5a:c7:1f:11:58 (5c:5a:c7:1f:11:58)

Address: 5c:5a:c7:1f:11:58 (5c:5a:c7:1f:11:58)

.... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)

.... ...0 .... .... .... .... = IG bit: Individual address (unicast)

Source: 08:f3:fb:de:46:05 (08:f3:fb:de:46:05)

Address: 08:f3:fb:de:46:05 (08:f3:fb:de:46:05)

.... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)

.... ...0 .... .... .... .... = IG bit: Individual address (unicast)

Type: IPv4 (0x0800)

Internet Protocol Version 4, Src: 10.88.2.63, Dst: 10.93.150.254

0100 .... = Version: 4

.... 0101 = Header Length: 20 bytes (5)

Differentiated Services Field: 0x00 (DSCP: CS0, ECN: Not-ECT)

0000 00.. = Differentiated Services Codepoint: Default (0)

.... ..00 = Explicit Congestion Notification: Not ECN-Capable Transport (0)

Total Length: 339

Identification: 0x0007 (7)

Flags: 0x0000

0... .... .... .... = Reserved bit: Not set

.0.. .... .... .... = Don't fragment: Not set

..0. .... .... .... = More fragments: Not set

...0 0000 0000 0000 = Fragment offset: 0

Time to live: 252

Protocol: UDP (17)

Header checksum: 0x0fa1 [validation disabled]

[Header checksum status: Unverified]

Source: 10.88.2.63

Destination: 10.93.150.254

User Datagram Protocol, Src Port: 67, Dst Port: 67

Source Port: 67

Destination Port: 67

Length: 319

Checksum: 0x1e0f [unverified]

[Checksum Status: Unverified]

[Stream index: 2]

Bootstrap Protocol (ACK)

Message type: Boot Reply (2)

Hardware type: Ethernet (0x01)

Hardware address length: 6

Hops: 0

Transaction ID: 0x00000563

Seconds elapsed: 0

Bootp flags: 0x8000, Broadcast flag (Broadcast)

1... .... .... .... = Broadcast flag: Broadcast

.000 0000 0000 0000 = Reserved flags: 0x0000

Client IP address: 0.0.0.0

Your (client) IP address: 10.93.150.11

Next server IP address: 0.0.0.0

Relay agent IP address: 10.93.150.254

Client MAC address: 70:10:5c:df:31:e9 (70:10:5c:df:31:e9)

Client hardware address padding: 00000000000000000000

Server host name not given

Boot file name not given

Magic cookie: DHCP

Option: (53) DHCP Message Type (ACK)

Length: 1

DHCP: ACK (5)

Option: (61) Client identifier

Length: 29

Type: 0

Client Identifier: cisco-7010.5cdf.31e9-Gi2/0/7

Option: (54) DHCP Server Identifier

Length: 4

DHCP Server Identifier: 10.88.2.63

Option: (51) IP Address Lease Time

Length: 4

IP Address Lease Time: (86400s) 1 day

Option: (58) Renewal Time Value

Length: 4

Renewal Time Value: (43200s) 12 hours

Option: (59) Rebinding Time Value

Length: 4

Rebinding Time Value: (75600s) 21 hours

Option: (1) Subnet Mask

Length: 4

Subnet Mask: 255.255.255.0

Option: (6) Domain Name Server

Length: 4

Domain Name Server: 8.8.8.8

Option: (255) End

Option End: 255

يتم إكمال DORA ويتلقى المضيف عنوان IP بنجاح.

ملخص

ارجع إلى هذا الجدول لفهم سيناريوهات إعادة توجيه الحزمة.

نوع المنفذ

حالة الثقة

نوع الحزمة المستلمة

نتيجة

السبب

منفذ L2

غير موثوق به

Unicast DHCP عرض/ACK

أسقطتا

يمنع التطفل على بروتوكول DHCP رسائل الخادم على منافذ L2 غير الموثوق بها.

منفذ L3

N/A (موجه)

Unicast DHCP عرض/ACK

مقبول

المنافذ الموجهة هي العقد المقصودة لاتصال وكيل الترحيل.

منفذ L2

ائتمنتما

Unicast DHCP اكتشفت مع خيار 82

مقبول

يسمح المنفذ الموثوق بجميع إشارات DHCP.

منفذ L2

غير موثوق به

Unicast DHCP اكتشفت مع خيار 82

مقبول

الحزمة التي تحتوي على عنوان IP للوكيل المرحل وخيار 82 مشروعة.

منفذ L2

ائتمنتما

اكتشاف DHCP للبث الأحادي دون خيار 82

مقبول

يسمح المنفذ الموثوق بجميع إشارات DHCP.

منفذ L2

غير موثوق به

اكتشاف DHCP للبث الأحادي دون خيار 82

أسقطتا

الحزمة التي تحتوي على عنوان IP للوكيل المرحل وبدون خيار 82 هي مجموعة مخادعة.