仅第2层VLAN中的DHCP故障排除 — 有线

交换矩阵边界/CP(192.168.0.201)数据包捕获

monitor capture cap interface TenGigabitEthernet1/0/42 IN    <-- Incoming interface for Edge's S,G Mroute (192.168.0.101, 239.0.17.1)
monitor capture cap interface TenGigabitEthernet1/0/44 OUT   <-- Interface that connects to the DHCP Relay
monitor capture cap match any 
monitor capture cap buffer size 100
monitor capture cap start
monitor capture cap stop

BorderCP-1#show monitor capture cap buffer display-filter "bootp and dhcp.hw.mac_addr==aaaa.dddd.bbbb"
Starting the packet display ........ Press Ctrl + Shift + 6 to exit

  427  16.695022      0.0.0.0 -> 255.255.255.255 DHCP 406 DHCP Discover - Transaction ID 0x2030 <-- 406 is the Lenght of the VXLAN encapsulated packet
  428  16.695053      0.0.0.0 -> 255.255.255.255 DHCP 364 DHCP Discover - Transaction ID 0x2030 <-- 364 is the Lenght of the VXLAN encapsulated packet


Packet 427: VXLAN Encapsulated
BorderCP-1#show monitor capture cap buffer display-filter "bootp and dhcp.hw.mac_addr==aaaa.dddd.bbbb and vxlan" detail | i Internet     
Internet Protocol Version 4, Src: 192.168.0.101, Dst: 239.0.17.1
Internet Protocol Version 4, Src: 0.0.0.0, Dst: 255.255.255.255

Packet 428: Plain (dot1Q cannot be captured at egress direction)
BorderCP-1#show monitor capture cap buffer display-filter "bootp and dhcp.hw.mac_addr==aaaa.dddd.bbbb and not vxlan " detailed | i Internet   Internet Protocol Version 4, Src: 0.0.0.0, Dst: 255.255.255.255

DHCP提供和ACK — 广播 — L2边界

流量 — 仅第2层广播DHCP提供和ACK

现在DHCP发现已退出SD-Access交换矩阵，DHCP中继将插入传统DHCP中继选项（例如，GiAddr/GatewayIPAddress）并将数据包作为单播传输转发到DHCP服务器。在此流程中，SD-Access交换矩阵不会附加任何特殊DHCP选项。

当DHCP发现/请求到达服务器时，服务器会遵循嵌入的广播或单播标志。此标志指示DHCP中继代理将DHCP提供作为广播帧还是单播帧转发给下游设备（我们的边界）。在本演示中，假设存在广播场景。

MAC学习和网关注册

当DHCP中继发送DHCP Offer或ACK时，L2BN节点必须获取网关的MAC地址，将其添加到其MAC地址表，然后到L2/MAC SISF表，最后到VLAN 141的L2LISP数据库，映射到L2LISP实例8240。

BorderCP-1#show mac address-table interface te1/0/44
          Mac Address Table
-------------------------------------------
Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
141    f87b.2003.7fc0    DYNAMIC     Te1/0/44

BorderCP-1#show vlan id 141  

VLAN Name                             Status    Ports
---- -------------------------------- --------- -------------------------------
141  L2ONLY_WIRED               active    L2LI0:8240, Te1/0/44

BorderCP-1#show device-tracking database mac | i 7fc0|vlan
 MAC                    Interface  vlan       prlvl      state            Time left        Policy           Input_index
 f87b.2003.7fc0         Te1/0/44   141        NO TRUST   MAC-REACHABLE    61 s             LISP-DT-GLEAN-VLAN 64      

BorderCP-1#show lisp ins 8240 dynamic-eid summary | i Name|f87b.2003.7fc0
Dyn-EID Name         Dynamic-EID      Interface     Uptime    Last      Pending
Auto-L2-group-8240  f87b.2003.7fc0   N/A           6d06h     never     0

BorderCP-1#show lisp instance-id 8240 ethernet database f87b.2003.7fc0
LISP ETR MAC Mapping Database for LISP 0 EID-table Vlan 141 (IID 8240), LSBs: 0x1
Entries total 1, no-route 0, inactive 0, do-not-register 0
f87b.2003.7fc0/48, dynamic-eid Auto-L2-group-8240, inherited from default locator-set rloc_0f43c5d8-f48d-48a5-a5a8-094b87f3a5f7, auto-discover-rlocs
  Uptime: 6d06h, Last-change: 6d06h
  Domain-ID: local
  Service-Insertion: N/A
  Locator        Pri/Wgt  Source     State
 192.168.0.201   10/10   cfg-intf   site-self, reachable
  Map-server     Uptime         ACK  Domain-ID 
  192.168.0.201  6d06h          Yes  0         
  192.168.0.202  6d06h          Yes  0  

如果网关的MAC地址已正确获知，并且交换矩阵控制平面的ACK标志已标记为“Yes”，则此阶段视为已完成。

L2泛洪中桥接的DHCP广播

如果未启用DHCP监听，DHCP广播不会受到阻止，而是封装在组播中，以实现第2层泛洪。相反，如果启用DHCP监听，则阻止DHCP广播数据包的泛洪。

BorderCP-1#show ip dhcp snooping 
Switch DHCP snooping is enabled
Switch DHCP gleaning is disabled
DHCP snooping is configured on following VLANs:
1001
DHCP snooping is operational on following VLANs: 
1001     <-- VLAN141 should not be listed, as DHCP snooping must be disabled in L2 Only pools.
 Proxy bridge is configured on following VLANs:
none
 Proxy bridge is operational on following VLANs:
none

提示：由于L2Border中未启用DHCP监听，因此不需要DHCP监听信任配置。

在此阶段，L2LISP ACL验证已在两台设备中完成。

利用为L2LISP实例配置的广播底层组和L2Border Loopback0 IP地址来验证将该数据包桥接到其他交换矩阵节点的L2泛洪(S，G)条目。请查阅mroute和mfib表以验证参数，例如传入接口、传出接口列表和转发计数器。

BorderCP-1#show ip int loopback 0 | i Internet
  Internet address is 192.168.0.201/32

BorderCP-1#show run | se 8240
interface L2LISP0.8240
instance-id 8240
  remote-rloc-probe on-route-change
  service ethernet
   eid-table vlan 1041
   broadcast-underlay 239.0.17.1

BorderCP-1#show ip mroute 239.0.17.1 192.168.0.201 | be \(
(192.168.0.201, 239.0.17.1), 1w5d/00:02:52, flags: FTA
  Incoming interface: Null0, RPF nbr 0.0.0.0                           <-- Local S,G IIF must be Null0
  Outgoing interface list:
    TenGigabitEthernet1/0/42, Forward/Sparse, 1w3d/00:02:52, flags:    <-- Edge1 Downlink
    TenGigabitEthernet1/0/43, Forward/Sparse, 1w3d/00:02:52, flags:    <-- Edge2 Downlink

BorderCP-1#show ip mfib 239.0.17.1 192.168.0.201 count 
Forwarding Counts: Pkt Count/Pkts per second/Avg Pkt Size/Kilobits per second
Other counts:      Total/RPF failed/Other drops(OIF-null, rate-limit etc)
Default
 13 routes, 6 (*,G)s, 3 (*,G/m)s
Group: 239.0.17.1
  Source: 192.168.0.201,
   SW Forwarding: 1/0/392/0, Other: 1/1/0
   HW Forwarding:   92071/0/102/0, Other: 0/0/0 <-- HW Forwarding counters (First counter = Pkt Count) must increase
  Totals - Source count: 1, Packet count: 92071

提示：如果未找到(S，G)条目或传出接口列表(OIL)不包含传出接口(OIF)，则表明底层组播配置或操作有问题。

通过这些验证以及类似前面步骤的数据包捕获，本部分总结，因为DHCP提供使用传出接口列表内容（在本例中是接口TenGig1/0/42和TenGig1/0/43外）以广播形式转发到所有交换矩阵边缘。

DHCP提供和ACK — 广播 — 边缘

与上一个流完全一样，验证交换矩阵边缘中的L2Border S、G，其中传入接口指向L2BN，并且OIL包含映射到VLAN 1041的L2LISP实例。

Edge-1#show vlan id 1041
VLAN Name                             Status    Ports
---- -------------------------------- --------- -------------------------------
1041 L2ONLY_WIRED               active    L2LI0:8240, Te1/0/2, Te1/0/17, Te1/0/18, Te1/0/19, Te1/0/20, Ac2, Po1

Edge-1#show ip mroute 239.0.17.1 192.168.0.201 | be \(
(192.168.0.201, 239.0.17.1), 1w3d/00:01:52, flags: JT
  Incoming interface: TenGigabitEthernet1/1/2, RPF nbr 192.168.98.2   <-- IIF Te1/1/2 is the RPF interface for 192.168.0.201 (L2BN RLOC)
  Outgoing interface list:
    L2LISP0.8240, Forward/Sparse-Dense, 1w3d/00:02:23, flags: 

Edge-1#show ip mfib 239.0.17.1 192.168.0.201 count    
Forwarding Counts: Pkt Count/Pkts per second/Avg Pkt Size/Kilobits per second
Other counts:      Total/RPF failed/Other drops(OIF-null, rate-limit etc)
Default
 13 routes, 6 (*,G)s, 3 (*,G/m)s
Group: 239.0.17.1
  Source: 192.168.0.201,
   SW Forwarding: 1/0/96/0, Other: 0/0/0
   HW Forwarding:   76236/0/114/0, Other: 0/0/0  <-- HW Forwarding counters (First counter = Pkt Count) must increase
  Totals - Source count: 1, Packet count: 4

提示：如果未找到(S，G)条目，则表明底层组播配置或操作存在问题。如果所需实例的L2LISP未显示为OIF，则表明L2LISP子接口的操作打开/关闭状态或L2LISP接口的IGMP启用状态存在问题。

两台设备都已完成L2LISP ACL验证。

在将数据包解封并放置在与VNI 8240匹配的VLAN上之后，其广播性质表明该数据包从VLAN1041的所有生成树协议转发端口泛洪出去。

Edge-1#show spanning-tree vlan 1041 | be Interface
Interface           Role Sts Cost      Prio.Nbr Type
------------------- ---- --- --------- -------- --------------------------------
Te1/0/2             Desg FWD 20000     128.2    P2p Edge 
Te1/0/17            Desg FWD 2000      128.17   P2p 
Te1/0/18            Back BLK 2000      128.18   P2p 
Te1/0/19            Desg FWD 2000      128.19   P2p 
Te1/0/20            Back BLK 2000      128.20   P2p 

MAC地址表将端口Te1/0/2标识为终端端口，该端口由STP处于FWD状态，数据包被泛洪到终端。

Edge-1#show mac address-table interface te1/0/2
          Mac Address Table
-------------------------------------------
Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
1041    aaaa.dddd.bbbb    DYNAMIC     Te1/0/2

DHCP提供和ACK过程保持一致。如果未启用DHCP监听，则不会在DHCP监听表中创建任何条目。因此，启用DHCP的终端的设备跟踪条目通过收集ARP数据包生成。由于DHCP监听已禁用，因此“show platform dhcpsnooping client stats”等命令预计不会显示任何数据。

Edge-1#show device-tracking database interface te1/0/2 | be Network
    Network Layer Address                    Link Layer Address     Interface  vlan       prlvl      age        state      Time left       
ARP 172.16.141.1                             aaaa.dddd.bbbb         Te1/0/2    1041       0005       45s        REACHABLE  207 s try 0     

Edge-1#show ip dhcp snooping  binding vlan 1041
MacAddress          IpAddress        Lease(sec)  Type           VLAN  Interface
------------------  ---------------  ----------  -------------  ----  --------------------
Total number of bindings: 0

DHCP提供和ACK — 单播 — L2边界

流量 — 单播DHCP提供和ACK（仅限第2层）

场景稍有不同，终端将DHCP广播标志设置为unset或“0”。

DHCP中继不会将DHCP提供/ACK作为广播发送，而是作为单播数据包发送，目标MAC地址从DHCP负载内的客户端硬件地址派生。这显着修改了SD-Access交换矩阵处理数据包的方式，它使用L2LISP映射缓存转发流量，而不是第2层泛洪组播封装方法。

交换矩阵边界/CP(192.168.0.201)数据包类别：入口DHCP提供

BorderCP-1#show monitor capture cap buffer display-filter "bootp.type==1 and dhcp.hw.mac_addr==aaaa.dddd.bbbb" detailed | sect Dynamic      
Dynamic Host Configuration Protocol (Discover)
    Message type: Boot Request (1)
    Hardware type: Ethernet (0x01)
    Hardware address length: 6
    Hops: 0
    Transaction ID: 0x00002030
    Seconds elapsed: 0
    Bootp flags: 0x0000, Broadcast flag (Unicast)
        0... .... .... .... = Broadcast flag: Unicast
        .000 0000 0000 0000 = Reserved flags: 0x0000
    Client IP address: 0.0.0.0
    Your (client) IP address: 0.0.0.0
    Next server IP address: 0.0.0.0
    Relay agent IP address: 0.0.0.0
    Client MAC address: aa:aa:dd:dd:bb:bb (aa:aa:dd:dd:bb:bb)

在此场景中，L2泛洪专门用于发现/请求，而提供/ACK则通过L2LISP映射缓存转发，从而简化了整体操作。L2边界遵循单播转发原则，向控制平面查询目的MAC地址(aaaa.dddd.bbb)。 假设在交换矩阵边缘上成功“MAC学习和终端注册”，则控制平面已注册此终端ID(EID)。

BorderCP-1#show lisp instance-id 8240 ethernet server aaaa.dddd.bbbb         
LISP Site Registration Information
Site name: site_uci
Description: map-server configured from Catalyst Center
Allowed configured locators: any
Requested EID-prefix:
  EID-prefix: aaaa.dddd.bbbb/48 instance-id 8240
    First registered:     00:36:37
    Last registered:      00:36:37
    Routing table tag:    0
    Origin:               Dynamic, more specific of any-mac
    Merge active:         No
    Proxy reply:          Yes
    Skip Publication:     No
    Force Withdraw:       No
    TTL:                  1d00h
    State:                complete
    Extranet IID:         Unspecified
    Registration errors:  
      Authentication failures:   0
      Allowed locators mismatch: 0
    ETR 192.168.0.101:51328, last registered 00:36:37, proxy-reply, map-notify
                             TTL 1d00h, no merge, hash-function sha1
                             state complete, no security-capability
                             nonce 0x1BF33879-0x707E9307
                             xTR-ID 0xDEF44F0B-0xA801409E-0x29F87978-0xB865BF0D
                             site-ID unspecified
                             Domain-ID 1712573701
                             Multihoming-ID unspecified
                             sourced by reliable transport
      Locator        Local  State      Pri/Wgt  Scope
     192.168.0.101  yes    up          10/10   IPv4 none

 在边界对控制平面（本地或远程）进行查询后，LISP解析将为终端的MAC地址建立映射缓存条目。

BorderCP-1#show lisp instance-id 8240 ethernet map-cache aaaa.dddd.bbbb
LISP MAC Mapping Cache for LISP 0 EID-table Vlan 141 (IID 8240), 1 entries
aaaa.dddd.bbbb/48, uptime: 4d07h, expires: 16:33:09, via map-reply, complete, local-to-site
  Sources: map-reply
  State: complete, last modified: 4d07h, map-source: 192.168.0.206
  Idle, Packets out: 46(0 bytes), counters are not accurate (~ 00:13:12 ago)
  Encapsulating dynamic-EID traffic
  Locator        Uptime    State  Pri/Wgt     Encap-IID
  192.168.0.101  4d07h     up      10/10        -

解决RLOC后，DHCP提供被单播封装，并使用VNI 8240直接发送到Edge-1(192.168.0.101)。

BorderCP-1#show mac address-table address aaaa.dddd.bbbb
          Mac Address Table
-------------------------------------------
Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
141    aaaa.dddd.bbbb    CP_LEARN    L2LI0

BorderCP-1#show platform software fed switch active matm macTable vlan 141 mac aaaa.dddd.bbbb
VLAN   MAC                  Type  Seq# EC_Bi  Flags  machandle      siHandle        riHandle         diHandle   *a_time  *e_time  ports                        Con   
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
141    aaaa.dddd.bbbb  0x1000001    0      0    64  0x718eb5271228  0x718eb52b4d68  0x718eb52be578   0x0            0     1064  RLOC 192.168.0.101 adj_id 747  No    

BorderCP-1#show ip route 192.168.0.101
Routing entry for 192.168.0.101/32
  Known via "isis", distance 115, metric 20, type level-2
  Redistributing via isis, bgp 65001T
  Advertised by bgp 65001 level-2 route-map FABRIC_RLOC
  Last update from 192.168.98.3 on TenGigabitEthernet1/0/42, 1w3d ago
  Routing Descriptor Blocks:
  * 192.168.98.3, from 192.168.0.101, 1w3d ago, via TenGigabitEthernet1/0/42
      Route metric is 20, traffic share count is 1

使用与前面部分相同的方法，捕获从DHCP中继和RLOC出口接口的入口流量，以单播方式观察到边缘RLOC的VXLAN封装。

DHCP提供和ACK — 单播 — 边缘

边缘从边界接收单播DHCP提供/ACK，解封流量并查询其MAC地址表以确定正确的出口端口。与广播Offer/ACK不同，边缘节点仅将数据包转发到终端连接的特定端口，而不是将其泛洪到所有端口。

MAC地址表将端口Te1/0/2标识为客户端端口，该端口由STP处于FWD状态，数据包将被转发到终端。

Edge-1#show mac address-table interface te1/0/2
          Mac Address Table
-------------------------------------------
Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
1041    aaaa.dddd.bbbb    DYNAMIC     Te1/0/2

DHCP提供和ACK过程保持一致。如果未启用DHCP监听，则不会在DHCP监听表中创建任何条目。因此，启用DHCP的终端的设备跟踪条目由收集ARP数据包生成。由于DHCP监听已禁用，因此“show platform dhcpsnooping client stats”等命令预计不会显示任何数据。

Edge-1#show device-tracking database interface te1/0/2 | be Network
    Network Layer Address                    Link Layer Address     Interface  vlan       prlvl      age        state      Time left       
ARP 172.16.141.1                             aaaa.dddd.bbbb         Te1/0/2    1041       0005       45s        REACHABLE  207 s try 0     

Edge-1#show ip dhcp snooping  binding vlan 1041
MacAddress          IpAddress        Lease(sec)  Type           VLAN  Interface
------------------  ---------------  ----------  -------------  ----  --------------------
Total number of bindings: 0

请务必注意，SD访问交换矩阵不影响单播或广播标志的使用，因为这只是终端行为。虽然此功能可能被DHCP中继或DHCP服务器本身覆盖，但两种机制对于纯L2环境中的无缝DHCP操作都必不可少：广播提供/ACK的L2底层组播泛洪，以及单播提供/ACK的控制平面中正确的终端注册。