Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

DHCPv6 stateful e DHCPv6 stateless

Esempio di rete

Tipi di messaggio DHCPv6 e DHCPv4

Inoltro DHCPv6 senza stato

Configurazione

Flusso dei pacchetti

Verifica

Debug

Fotografie di Wireshark

DHCPv6 stateful

Configurazione

Flusso dei pacchetti

Verifica

Debug

Fotografie di Wireshark

Risoluzione dei problemi

Output inoltro DHCP

Indirizzi release

Debug

Informazioni correlate

Discussioni correlate nella Cisco Support Community

Introduzione

Nel documento viene descritto come configurare un'appliance Cisco Adaptive Security (ASA) come agente di inoltro DHCPv6 e vengono inoltre descritte alcune procedure di risoluzione dei problemi di base. Sul codice ASA versione 9.0 e successive, l'appliance ASA supporta

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

- Concetti di base di IPv6

- Meccanismo di indirizzamento IPv6

- Flusso di pacchetti DHCPv6

- Concetti sull'inoltro DHCP

Componenti usati

Il riferimento delle informazioni contenute in questo documento è ASA 5500 versione 9.1.2.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

DHCPv6 stateful e DHCPv6 stateless

Se si conosce il diverso metodo di allocazione degli indirizzi in IPv6, è possibile comprendere il funzionamento della funzionalità di inoltro DHCPv6 sull'appliance ASA. Per un'introduzione alla configurazione automatica degli indirizzi senza stato (SLAAC, Stateless Address Autoconfiguration) e DHCPv6, vedere Assegnazione degli indirizzi dinamici in IPv6 tramite SLAAC e DHCP.

Esempio di rete

In questa configurazione di esempio viene descritto come configurare l'ASA come agente di inoltro DHCPv6. In questa configurazione, CLIENT è l'interfaccia a cui è connesso il client IPv6. SERVER è l'interfaccia tramite la quale il server DHCPv6 2001:db8:200:2/64 è raggiungibile.

Tipi di messaggio DHCPv6 e DHCPv4

Inoltro DHCPv6 senza stato

Configurazione

Di seguito è riportata la configurazione base per la configurazione del relay DHCPv6 senza stato sull'appliance ASA:

interface GigabitEthernet0/1

nameif CLIENT

security-level 100

ipv6 address 2001:db8:100::1/64

ipv6 enable

ipv6 nd other-config-flag

!

interface GigabitEthernet0/0

nameif SERVER

security-level 0

ipv6 address 2001:db8:200:1/64

ipv6 enable

!

ipv6 dhcprelay server 2001:db8:200:2 inside

ipv6 dhcprelay enable outside

Flusso dei pacchetti

Con DHCPv6 senza stato, il flusso del pacchetto dal client è il seguente:

L'ASA intercetta questi pacchetti e li incapsula nel formato di inoltro DHCP:

Verifica

Debug

Se si abilita debug ipv6 dhcprelay ed debug ipv6 dhcp, l'output corrispondente verrà stampato sullo schermo. Questo output viene generato da uno scenario di lavoro:

IPv6 DHCP: Received INFORMATION-REQUEST from fe80::c671:feff:fe93:b51a on CLIENT

IPv6 DHCP: detailed packet contents

src fe80::c671:feff:fe93:b51a (CLIENT)

dst ff02::1:2

type INFORMATION-REQUEST(11), xid 1588088

option ELAPSED-TIME(8), len 2

elapsed-time 0

option CLIENTID(1), len 10

00030001c471fe93b516

option ORO(6), len 6

DNS-SERVERS,DOMAIN-LIST,UNKNOWN

IPv6 DHCP_RELAY: Relaying INFORMATION-REQUEST from fe80::c671:feff:fe93:b51a on CLIENT

IPv6 DHCP_RELAY: Creating relay binding for fe80::c671:feff:fe93:b51a at interface CLIENT

IPv6 DHCP_RELAY:   to 2001:db8:200::2 via 2001:db8:200::2 using SERVER

IPv6 DHCP: Sending RELAY-FORWARD to 2001:db8:200::2 on SERVER

IPv6 DHCP: detailed packet contents

src 2001:db8:200::1

dst 2001:db8:200::2 (SERVER)

type RELAY-FORWARD(12), hop 0

link 2001:db8:100::1

peer fe80::c671:feff:fe93:b51a

option RELAY-MSG(9), len 34

type INFORMATION-REQUEST(11), xid 1588088

option ELAPSED-TIME(8), len 2

elapsed-time 0

option CLIENTID(1), len 10

00030001c471fe93b516

option ORO(6), len 6

DNS-SERVERS,DOMAIN-LIST,UNKNOWN

option INTERFACE-ID(18), len 4

0x00000015

IPv6 DHCP: Received RELAY-REPLY from 2001:db8:200::2 on SERVER

IPv6 DHCP: detailed packet contents

src 2001:db8:200::2 (SERVER)

dst 2001:db8:200::1

type RELAY-REPLY(13), hop 0

link 2001:db8:100::1

peer fe80::c671:feff:fe93:b51a

option RELAY-MSG(9), len 67

type REPLY(7), xid 1588088

option SERVERID(2), len 10

00030001002414a33c94

option CLIENTID(1), len 10

00030001c471fe93b516

option DNS-SERVERS(23), len 16

2001:db8:1000::1

option DOMAIN-LIST(24), len 11

cisco.com

option INTERFACE-ID(18), len 4

0x00000015

IPv6 DHCP_RELAY: Relaying RELAY-REPLY from 2001:db8:200::2 on SERVER

IPv6 DHCP_RELAY:   relayed msg: REPLY

IPv6 DHCP_RELAY:   to fe80::c671:feff:fe93:b51a

IPv6 DHCP: Sending REPLY to fe80::c671:feff:fe93:b51a on CLIENT

IPv6 DHCP: detailed packet contents

src fe80::219:7ff:fe24:2e44

dst fe80::c671:feff:fe93:b51a (CLIENT)

type REPLY(7), xid 1588088

option SERVERID(2), len 10

00030001002414a33c94

option CLIENTID(1), len 10

00030001c471fe93b516

option DNS-SERVERS(23), len 16

2001:db8:1000::1

option DOMAIN-LIST(24), len 11

cisco.com

Nel pacchetto di richiesta INFORMATION-REQUEST, il client richiede solo DNS-Server e Domain, il che è previsto poiché il client è configurato per DHCPv6 senza stato.

Fotografie di Wireshark

Richiesta client DHCP

Richiesta DHCP inoltrata da ASA

Risposta DHCP dal server

Risposta inoltrata al client

DHCPv6 stateful

Configurazione

Di seguito è riportata la configurazione base per la configurazione del relay DHCPv6 stateful sull'appliance ASA:

interface GigabitEthernet0/1

nameif CLIENT

security-level 100

ipv6 address 2001:db8:100::1/64

ipv6 enable

!

interface GigabitEthernet0/0

nameif SERVER

security-level 0

ipv6 address 2001:db8:200:1/64

ipv6 enable

!

ipv6 dhcprelay server 2001:db8:200:2 inside

ipv6 dhcprelay enable outside

Flusso dei pacchetti

Con DHCPv6 con stato, il flusso di pacchetto dal client è il seguente:

L'ASA intercetta questi pacchetti e li incapsula nel formato di inoltro DHCP:

Verifica

Debug

IPv6 DHCP: Received SOLICIT from fe80::c671:feff:fe93:b51a on CLIENT

IPv6 DHCP: detailed packet contents

src fe80::c671:feff:fe93:b51a (CLIENT)

dst ff02::1:2

type SOLICIT(1), xid 2490681

option ELAPSED-TIME(8), len 2

elapsed-time 0

option CLIENTID(1), len 10

00030001c471fe93b516

option ORO(6), len 4

DNS-SERVERS,DOMAIN-LIST

option IA-NA(3), len 12

IAID 0x00040001, T1 0, T2 0

IPv6 DHCP_RELAY: Relaying SOLICIT from fe80::c671:feff:fe93:b51a on CLIENT

IPv6 DHCP_RELAY: Creating relay binding for fe80::c671:feff:fe93:b51a at interface CLIENT

IPv6 DHCP_RELAY:   to 2001:db8:200::2 via 2001:db8:200::2 using SERVER

IPv6 DHCP: Sending RELAY-FORWARD to 2001:db8:200::2 on SERVER

IPv6 DHCP: detailed packet contents

src 2001:db8:200::1

dst 2001:db8:200::2 (SERVER)

type RELAY-FORWARD(12), hop 0

link 2001:db8:100::1

peer fe80::c671:feff:fe93:b51a

option RELAY-MSG(9), len 48

type SOLICIT(1), xid 2490681

option ELAPSED-TIME(8), len 2

elapsed-time 0

option CLIENTID(1), len 10

00030001c471fe93b516

option ORO(6), len 4

DNS-SERVERS,DOMAIN-LIST

option IA-NA(3), len 12

IAID 0x00040001, T1 0, T2 0

option INTERFACE-ID(18), len 4

0x00000015

IPv6 DHCP: Received RELAY-REPLY from 2001:db8:200::2 on SERVER

IPv6 DHCP: detailed packet contents

src 2001:db8:200::2 (SERVER)

dst 2001:db8:200::1

type RELAY-REPLY(13), hop 0

link 2001:db8:100::1

peer fe80::c671:feff:fe93:b51a

option RELAY-MSG(9), len 111

type ADVERTISE(2), xid 2490681

option SERVERID(2), len 10

00030001002414a33c94

option CLIENTID(1), len 10

00030001c471fe93b516

option IA-NA(3), len 40

IAID 0x00040001, T1 43200, T2 69120

option IAADDR(5), len 24

IPv6 address 2001:db8:300:0:48ae:5f5d:8290:e926

preferred INFINITY, valid INFINITY

option DNS-SERVERS(23), len 16

2001:db8:1000::1

option DOMAIN-LIST(24), len 11

cisco.com

option INTERFACE-ID(18), len 4

0x00000015

IPv6 DHCP_RELAY: Relaying RELAY-REPLY from 2001:db8:200::2 on SERVER

IPv6 DHCP_RELAY:   relayed msg: ADVERTISE

IPv6 DHCP_RELAY:   to fe80::c671:feff:fe93:b51a

IPv6 DHCP: Sending ADVERTISE to fe80::c671:feff:fe93:b51a on CLIENT

IPv6 DHCP: detailed packet contents

src fe80::219:7ff:fe24:2e44

dst fe80::c671:feff:fe93:b51a (CLIENT)

type ADVERTISE(2), xid 2490681

option SERVERID(2), len 10

00030001002414a33c94

option CLIENTID(1), len 10

00030001c471fe93b516

option IA-NA(3), len 40

IAID 0x00040001, T1 43200, T2 69120

option IAADDR(5), len 24

IPv6 address 2001:db8:300:0:48ae:5f5d:8290:e926

preferred INFINITY, valid INFINITY

option DNS-SERVERS(23), len 16

2001:db8:1000::1

option DOMAIN-LIST(24), len 11

cisco.com

IPv6 DHCP: Received REQUEST from fe80::c671:feff:fe93:b51a on CLIENT

IPv6 DHCP: detailed packet contents

src fe80::c671:feff:fe93:b51a (CLIENT)

dst ff02::1:2

type REQUEST(3), xid 2492842

option ELAPSED-TIME(8), len 2

elapsed-time 0

option CLIENTID(1), len 10

00030001c471fe93b516

option ORO(6), len 4

DNS-SERVERS,DOMAIN-LIST

option SERVERID(2), len 10

00030001002414a33c94

option IA-NA(3), len 40

IAID 0x00040001, T1 0, T2 0

option IAADDR(5), len 24

IPv6 address 2001:db8:300:0:48ae:5f5d:8290:e926

preferred INFINITY, valid INFINITY

IPv6 DHCP_RELAY: Relaying REQUEST from fe80::c671:feff:fe93:b51a on CLIENT

IPv6 DHCP_RELAY:   to 2001:db8:200::2 via 2001:db8:200::2 using SERVER

IPv6 DHCP: Sending RELAY-FORWARD to 2001:db8:200::2 on SERVER

IPv6 DHCP: detailed packet contents

src 2001:db8:200::1

dst 2001:db8:200::2 (SERVER)

type RELAY-FORWARD(12), hop 0

link 2001:db8:100::1

peer fe80::c671:feff:fe93:b51a

option RELAY-MSG(9), len 90

type REQUEST(3), xid 2492842

option ELAPSED-TIME(8), len 2

elapsed-time 0

option CLIENTID(1), len 10

00030001c471fe93b516

option ORO(6), len 4

DNS-SERVERS,DOMAIN-LIST

option SERVERID(2), len 10

00030001002414a33c94

option IA-NA(3), len 40

IAID 0x00040001, T1 0, T2 0

option IAADDR(5), len 24

IPv6 address 2001:db8:300:0:48ae:5f5d:8290:e926

preferred INFINITY, valid INFINITY

option INTERFACE-ID(18), len 4

0x00000015

IPv6 DHCP: Received RELAY-REPLY from 2001:db8:200::2 on SERVER

IPv6 DHCP: detailed packet contents

src 2001:db8:200::2 (SERVER)

dst 2001:db8:200::1

type RELAY-REPLY(13), hop 0

link 2001:db8:100::1

peer fe80::c671:feff:fe93:b51a

option RELAY-MSG(9), len 111

type REPLY(7), xid 2492842

option SERVERID(2), len 10

00030001002414a33c94

option CLIENTID(1), len 10

00030001c471fe93b516

option IA-NA(3), len 40

IAID 0x00040001, T1 43200, T2 69120

option IAADDR(5), len 24

IPv6 address 2001:db8:300:0:48ae:5f5d:8290:e926

preferred INFINITY, valid INFINITY

option DNS-SERVERS(23), len 16

2001:db8:1000::1

option DOMAIN-LIST(24), len 11

cisco.com

option INTERFACE-ID(18), len 4

0x00000015

IPv6 DHCP_RELAY: Relaying RELAY-REPLY from 2001:db8:200::2 on SERVER

IPv6 DHCP_RELAY:   relayed msg: REPLY

IPv6 DHCP_RELAY:   to fe80::c671:feff:fe93:b51a

IPv6 DHCP: Sending REPLY to fe80::c671:feff:fe93:b51a on CLIENT

IPv6 DHCP: detailed packet contents

src fe80::219:7ff:fe24:2e44

dst fe80::c671:feff:fe93:b51a (CLIENT)

type REPLY(7), xid 2492842

option SERVERID(2), len 10

00030001002414a33c94

option CLIENTID(1), len 10

00030001c471fe93b516

option IA-NA(3), len 40

IAID 0x00040001, T1 43200, T2 69120

option IAADDR(5), len 24

IPv6 address 2001:db8:300:0:48ae:5f5d:8290:e926

preferred INFINITY, valid INFINITY

option DNS-SERVERS(23), len 16

2001:db8:1000::1

option DOMAIN-LIST(24), len 11

cisco.com

Fotografie di Wireshark

SOLLECITAZIONE (1)

Un client DHCPv6 invia un messaggio di sollecitazione per individuare i server DHCPv6.

L'ASA trasmette il messaggio Sollecitazione.

PUBBLICITÀ (2)

Un server invia un messaggio di annuncio per indicare che è disponibile per il servizio DHCP, in risposta a un messaggio di sollecitazione ricevuto da un client.

RICHIESTA (3)

Un client invia un messaggio di richiesta per richiedere parametri di configurazione, che includono indirizzi IP o prefissi delegati, da un server specifico.

RISPOSTA (7)

Un server invia un messaggio di risposta contenente gli indirizzi assegnati e i parametri di configurazione in risposta a un messaggio di sollecitazione, richiesta, rinnovo o riassociazione ricevuto da un client. Un server invia un messaggio di risposta contenente parametri di configurazione in risposta a un messaggio di richiesta di informazioni. Un server invia un messaggio di risposta in risposta a un messaggio di conferma che conferma o nega che gli indirizzi assegnati al client siano appropriati per il collegamento a cui il client è connesso. Un server invia un messaggio di risposta per confermare la ricezione di un messaggio di rilascio o rifiuto.

Risoluzione dei problemi

Confermare la connettività con il server DHCPv6.

ciscoasa# show ipv6 neighbor

IPv6 Address                              Age Link-layer Addr State Interface

2001:db8:200::2                             0 0024.14a3.3c98  REACH SERVER

Confermare di ricevere pacchetti dal client quando richiede un indirizzo IPv6. Il pacchetto inviato dal client dipenderà dalle impostazioni di assegnazione degli indirizzi, ovvero con conservazione dello stato e senza conservazione dello stato.

Quando il client avvia il processo DHCPv6, invia un messaggio di richiesta router per rilevare la presenza di router IPv6 sul collegamento. Invia un messaggio di richiesta router multicast per richiedere ai router IPv6 di rispondere. Nell'intestazione Ethernet del messaggio di richiesta del router vengono visualizzati questi campi:

- Il campo Indirizzo di origine indica l'indirizzo MAC dell'host che richiede l'indirizzo IPv6.

- Il campo Indirizzo di destinazione è impostato su 33-33-00-00-00-02.

Questi campi vengono visualizzati nell'intestazione IPv6 del messaggio Richiesta router.

- Il campo Indirizzo di origine è impostato su un indirizzo IPv6 locale del collegamento assegnato all'interfaccia di invio o sull'indirizzo IPv6 non specificato (::).

- Il campo Indirizzo di destinazione è impostato sull'indirizzo multicast all-routers dell'ambito locale al collegamento (FF02::2).

- Il campo Limite hop è impostato su 255.

In Response, i router IPv6 inviano messaggi di annuncio router non richiesti Il messaggio di annuncio router contiene le informazioni richieste dagli host per determinare i prefissi di collegamento, l'MTU (Maximum Transmission Unit) del collegamento e route specifiche.

ciscoasa(config)# show capture capin detail

fe80::c671:feff:fe93:b51a.546 > ff02::1:2.547:  [udp sum ok] udp 42

[hlim 255] (len 100)---->Request from client

fe80::219:7ff:fe24:2e44.547 > fe80::c671:feff:fe93:b51a.546:  [udp sum ok]

udp 75 [class 0xe0] (len 133, hlim 255)

ciscoasa(config)# show capture capout detail

2 packets captured

1: 12:06:52.700799       2001:db8:200:1.547 > 2001:db8:200:2.547:  udp 88

[class 0xe0]---->ASA forwards request to DHCPv6 router

2: 12:06:53.289047      2001:db8:200:2.547 > 2001:db8:200:1.547:  udp 121

[class 0xe0]----> Reply from DHCPV6 server.

Output inoltro DHCP

ciscoasa# show ipv6 dhcprelay binding

1 in use, 1 most used

Client: fe80::c671:feff:fe93:b51a (CLIENT)

DUID: 00030001c471fe93b516, Timeout in 56 seconds

Nota: Il binding viene eliminato dall'ASA dopo un breve periodo. Questa condizione viene rilevata in debug ipv6 dhcprelay.

IPv6 DHCP_RELAY: Deleting binding for fe80::c671:feff:fe93:b51a at interface CLIENT

ciscoasa# show ipv6 dhcprelay statistics

Relay Messages:

SOLICIT                                       2

ADVERTISE                                     2

REQUEST                                       2

CONFIRM                                       0

RENEW                                         0

REBIND                                        0

REPLY                                         9

RELEASE                                       1

DECLINE                                       0

RECONFIGURE                                   0

INFORMATION-REQUEST                           6

RELAY-FORWARD                                 11

RELAY-REPLY                                   11

Relay Errors:

Malformed message:                            0

Block allocation/duplication failure:         0

Hop count limit exceeded:                     0

Forward binding creation failure:             0

Reply binding lookup failure:                 0

No output route:                              0

Conflict relay server route:                  0

Failed to add server input rule:              0

Unit or context is not active:                0

Total Relay Bindings Created:                   8

Indirizzi release

I client possono rilasciare l'indirizzo assegnato DHCPv6 dopo averlo utilizzato per la rete. Nella sezione successiva viene illustrato l'output di debug associato al rilascio dell'indirizzo in DHCPv6 con stato.

Debug

IPv6 DHCP: Received RELEASE from fe80::c671:feff:fe93:b51a on CLIENT

IPv6 DHCP: detailed packet contents

src fe80::c671:feff:fe93:b51a (CLIENT)

dst ff02::1:2

type RELEASE(8), xid 3180815

option ELAPSED-TIME(8), len 2

elapsed-time 0

option CLIENTID(1), len 10

00030001c471fe93b516

option SERVERID(2), len 10

00030001002414a33c94

option IA-NA(3), len 40

IAID 0x00040001, T1 0, T2 0

option IAADDR(5), len 24

IPv6 address 2001:db8:300:0:48ae:5f5d:8290:e926

preferred INFINITY, valid INFINITY

IPv6 DHCP_RELAY: Relaying RELEASE from fe80::c671:feff:fe93:b51a on CLIENT

IPv6 DHCP_RELAY: Creating relay binding for fe80::c671:feff:fe93:b51a at interface CLIENT

IPv6 DHCP_RELAY:   to 2001:db8:200::2 via 2001:db8:200::2 using SERVER

IPv6 DHCP: Sending RELAY-FORWARD to 2001:db8:200::2 on SERVER

IPv6 DHCP: detailed packet contents

src 2001:db8:200::1

dst 2001:db8:200::2 (SERVER)

type RELAY-FORWARD(12), hop 0

link 2001:db8:100::1

peer fe80::c671:feff:fe93:b51a

option RELAY-MSG(9), len 82

type RELEASE(8), xid 3180815

option ELAPSED-TIME(8), len 2

elapsed-time 0

option CLIENTID(1), len 10

00030001c471fe93b516

option SERVERID(2), len 10

00030001002414a33c94

option IA-NA(3), len 40

IAID 0x00040001, T1 0, T2 0

option IAADDR(5), len 24

IPv6 address 2001:db8:300:0:48ae:5f5d:8290:e926

preferred INFINITY, valid INFINITY

option INTERFACE-ID(18), len 4

0x00000015

IPv6 DHCP: Received RELAY-REPLY from 2001:db8:200::2 on SERVER

IPv6 DHCP: detailed packet contents

src 2001:db8:200::2 (SERVER)

dst 2001:db8:200::1

type RELAY-REPLY(13), hop 0

link 2001:db8:100::1

peer fe80::c671:feff:fe93:b51a

option RELAY-MSG(9), len 45

type REPLY(7), xid 3180815

option SERVERID(2), len 10

00030001002414a33c94

option CLIENTID(1), len 10

00030001c471fe93b516

option STATUS-CODE(13), len 9

status code SUCCESS(0)

status message: SUCCESS

option INTERFACE-ID(18), len 4

0x00000015

IPv6 DHCP_RELAY: Relaying RELAY-REPLY from 2001:db8:200::2 on SERVER

IPv6 DHCP_RELAY:   relayed msg: REPLY

IPv6 DHCP_RELAY:   to fe80::c671:feff:fe93:b51a

IPv6 DHCP: Sending REPLY to fe80::c671:feff:fe93:b51a on CLIENT

IPv6 DHCP: detailed packet contents

src fe80::219:7ff:fe24:2e44

dst fe80::c671:feff:fe93:b51a (CLIENT)

type REPLY(7), xid 3180815

option SERVERID(2), len 10

00030001002414a33c94

option CLIENTID(1), len 10

00030001c471fe93b516

option STATUS-CODE(13), len 9

status code SUCCESS(0)

status message: SUCCESS

Informazioni correlate

Informazioni sulle diverse opzioni DHCP

Esempio di configurazione dell'inoltro DHCP ASA

Configurazione dell'ASA per il passaggio del traffico IPv6

Esempio di acquisizione di pacchetti ASA con CLI e configurazione ASDM