僅第2層VLAN中的DHCP故障排除 — 有線

光纖邊界/CP(192.168.0.201)封包擷取器

monitor capture cap interface TenGigabitEthernet1/0/42 IN    <-- Incoming interface for Edge's S,G Mroute (192.168.0.101, 239.0.17.1)
monitor capture cap interface TenGigabitEthernet1/0/44 OUT   <-- Interface that connects to the DHCP Relay
monitor capture cap match any 
monitor capture cap buffer size 100
monitor capture cap start
monitor capture cap stop

BorderCP-1#show monitor capture cap buffer display-filter "bootp and dhcp.hw.mac_addr==aaaa.dddd.bbbb"
Starting the packet display ........ Press Ctrl + Shift + 6 to exit

  427  16.695022      0.0.0.0 -> 255.255.255.255 DHCP 406 DHCP Discover - Transaction ID 0x2030 <-- 406 is the Lenght of the VXLAN encapsulated packet
  428  16.695053      0.0.0.0 -> 255.255.255.255 DHCP 364 DHCP Discover - Transaction ID 0x2030 <-- 364 is the Lenght of the VXLAN encapsulated packet


Packet 427: VXLAN Encapsulated
BorderCP-1#show monitor capture cap buffer display-filter "bootp and dhcp.hw.mac_addr==aaaa.dddd.bbbb and vxlan" detail | i Internet     
Internet Protocol Version 4, Src: 192.168.0.101, Dst: 239.0.17.1
Internet Protocol Version 4, Src: 0.0.0.0, Dst: 255.255.255.255

Packet 428: Plain (dot1Q cannot be captured at egress direction)
BorderCP-1#show monitor capture cap buffer display-filter "bootp and dhcp.hw.mac_addr==aaaa.dddd.bbbb and not vxlan " detailed | i Internet   Internet Protocol Version 4, Src: 0.0.0.0, Dst: 255.255.255.255

DHCP提供和ACK — 廣播 — L2邊框

通訊流 — 僅在第2層廣播DHCP提供和ACK

現在DHCP發現已退出SD-Access交換矩陣，DHCP中繼將插入傳統的DHCP中繼選項（例如GiAddr/GatewayIPAddress），並將資料包作為單播傳輸轉發到DHCP伺服器。在此流程中，SD-Access交換矩陣不附加任何特殊的DHCP選項。

在伺服器收到DHCP發現/請求後，伺服器會執行嵌入的廣播或單播標誌。此標籤指示DHCP中繼代理是否將DHCP提供作為廣播幀或單播幀轉發到下游裝置（我們的邊界）。在本演示中，假設存在廣播場景。

MAC學習和網關註冊

當DHCP中繼傳送DHCP提供或ACK時，L2BN節點必須獲取網關的MAC地址，將其新增到其MAC地址表中，然後到L2/MAC SISF表，最後到VLAN 141的L2LISP資料庫，對映到L2LISP例項8240。

BorderCP-1#show mac address-table interface te1/0/44
          Mac Address Table
-------------------------------------------
Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
141    f87b.2003.7fc0    DYNAMIC     Te1/0/44

BorderCP-1#show vlan id 141  

VLAN Name                             Status    Ports
---- -------------------------------- --------- -------------------------------
141  L2ONLY_WIRED               active    L2LI0:8240, Te1/0/44

BorderCP-1#show device-tracking database mac | i 7fc0|vlan
 MAC                    Interface  vlan       prlvl      state            Time left        Policy           Input_index
 f87b.2003.7fc0         Te1/0/44   141        NO TRUST   MAC-REACHABLE    61 s             LISP-DT-GLEAN-VLAN 64      

BorderCP-1#show lisp ins 8240 dynamic-eid summary | i Name|f87b.2003.7fc0
Dyn-EID Name         Dynamic-EID      Interface     Uptime    Last      Pending
Auto-L2-group-8240  f87b.2003.7fc0   N/A           6d06h     never     0

BorderCP-1#show lisp instance-id 8240 ethernet database f87b.2003.7fc0
LISP ETR MAC Mapping Database for LISP 0 EID-table Vlan 141 (IID 8240), LSBs: 0x1
Entries total 1, no-route 0, inactive 0, do-not-register 0
f87b.2003.7fc0/48, dynamic-eid Auto-L2-group-8240, inherited from default locator-set rloc_0f43c5d8-f48d-48a5-a5a8-094b87f3a5f7, auto-discover-rlocs
  Uptime: 6d06h, Last-change: 6d06h
  Domain-ID: local
  Service-Insertion: N/A
  Locator        Pri/Wgt  Source     State
 192.168.0.201   10/10   cfg-intf   site-self, reachable
  Map-server     Uptime         ACK  Domain-ID 
  192.168.0.201  6d06h          Yes  0         
  192.168.0.202  6d06h          Yes  0  

如果網關的MAC地址已正確獲知，並且交換矩陣控制平面的ACK標誌已標籤為「Yes」，則此階段視為已完成。

L2泛洪中的DHCP廣播橋接

如果沒有啟用DHCP監聽，DHCP廣播不會受到阻止，而是封裝在組播中，以實現第2層泛洪。反之，如果啟用DHCP監聽，則會阻止DHCP廣播資料包泛洪。

BorderCP-1#show ip dhcp snooping 
Switch DHCP snooping is enabled
Switch DHCP gleaning is disabled
DHCP snooping is configured on following VLANs:
1001
DHCP snooping is operational on following VLANs: 
1001     <-- VLAN141 should not be listed, as DHCP snooping must be disabled in L2 Only pools.
 Proxy bridge is configured on following VLANs:
none
 Proxy bridge is operational on following VLANs:
none

提示：由於L2Border中未啟用DHCP監聽，因此不需要配置DHCP監聽信任。

在這個階段，兩台裝置都已完成L2LISP ACL驗證。

利用為L2LISP例項配置的廣播底層組和L2Border Loopback0 IP地址來檢驗將該資料包橋接到其他交換矩陣節點的L2泛洪(S，G)條目。請參閱mroute和mfib表以驗證引數，如傳入介面、傳出介面清單和轉發計數器。

BorderCP-1#show ip int loopback 0 | i Internet
  Internet address is 192.168.0.201/32

BorderCP-1#show run | se 8240
interface L2LISP0.8240
instance-id 8240
  remote-rloc-probe on-route-change
  service ethernet
   eid-table vlan 1041
   broadcast-underlay 239.0.17.1

BorderCP-1#show ip mroute 239.0.17.1 192.168.0.201 | be \(
(192.168.0.201, 239.0.17.1), 1w5d/00:02:52, flags: FTA
  Incoming interface: Null0, RPF nbr 0.0.0.0                           <-- Local S,G IIF must be Null0
  Outgoing interface list:
    TenGigabitEthernet1/0/42, Forward/Sparse, 1w3d/00:02:52, flags:    <-- Edge1 Downlink
    TenGigabitEthernet1/0/43, Forward/Sparse, 1w3d/00:02:52, flags:    <-- Edge2 Downlink

BorderCP-1#show ip mfib 239.0.17.1 192.168.0.201 count 
Forwarding Counts: Pkt Count/Pkts per second/Avg Pkt Size/Kilobits per second
Other counts:      Total/RPF failed/Other drops(OIF-null, rate-limit etc)
Default
 13 routes, 6 (*,G)s, 3 (*,G/m)s
Group: 239.0.17.1
  Source: 192.168.0.201,
   SW Forwarding: 1/0/392/0, Other: 1/1/0
   HW Forwarding:   92071/0/102/0, Other: 0/0/0 <-- HW Forwarding counters (First counter = Pkt Count) must increase
  Totals - Source count: 1, Packet count: 92071

提示：如果找不到(S，G)條目或傳出介面清單(OIL)不包含傳出介面(OIF)，則表明底層組播配置或操作有問題。

通過這些驗證，沿資料包捕獲（類似於前面的步驟），本節將結束，因為DHCP提供會使用傳出介面清單內容（在本例中是介面TenGig1/0/42和TenGig1/0/43之外）以廣播形式轉發到所有交換矩陣邊緣。

DHCP提供和ACK — 廣播 — 邊緣

與上一個流完全相同，在交換矩陣邊緣驗證L2Border S、G，其中傳入介面指向L2BN，並且OIL包含對映到VLAN 1041的L2LISP例項。

Edge-1#show vlan id 1041
VLAN Name                             Status    Ports
---- -------------------------------- --------- -------------------------------
1041 L2ONLY_WIRED               active    L2LI0:8240, Te1/0/2, Te1/0/17, Te1/0/18, Te1/0/19, Te1/0/20, Ac2, Po1

Edge-1#show ip mroute 239.0.17.1 192.168.0.201 | be \(
(192.168.0.201, 239.0.17.1), 1w3d/00:01:52, flags: JT
  Incoming interface: TenGigabitEthernet1/1/2, RPF nbr 192.168.98.2   <-- IIF Te1/1/2 is the RPF interface for 192.168.0.201 (L2BN RLOC)
  Outgoing interface list:
    L2LISP0.8240, Forward/Sparse-Dense, 1w3d/00:02:23, flags: 

Edge-1#show ip mfib 239.0.17.1 192.168.0.201 count    
Forwarding Counts: Pkt Count/Pkts per second/Avg Pkt Size/Kilobits per second
Other counts:      Total/RPF failed/Other drops(OIF-null, rate-limit etc)
Default
 13 routes, 6 (*,G)s, 3 (*,G/m)s
Group: 239.0.17.1
  Source: 192.168.0.201,
   SW Forwarding: 1/0/96/0, Other: 0/0/0
   HW Forwarding:   76236/0/114/0, Other: 0/0/0  <-- HW Forwarding counters (First counter = Pkt Count) must increase
  Totals - Source count: 1, Packet count: 4

提示：如果未找到(S，G)條目，則表示底層組播配置或操作有問題。如果所需例項的L2LISP未作為OIF存在，則表明L2LISP子介面的操作UP/DOWN狀態或L2LISP介面的IGMP啟用狀態存在問題。

兩台裝置中都已完成L2LISP ACL驗證。

將封包解除封裝並放在與VNI 8240相符的VLAN上後，其廣播性質表示其已泛洪出去，從VLAN1041的所有跨距樹狀目錄通訊協定轉送連線埠中轉出。

Edge-1#show spanning-tree vlan 1041 | be Interface
Interface           Role Sts Cost      Prio.Nbr Type
------------------- ---- --- --------- -------- --------------------------------
Te1/0/2             Desg FWD 20000     128.2    P2p Edge 
Te1/0/17            Desg FWD 2000      128.17   P2p 
Te1/0/18            Back BLK 2000      128.18   P2p 
Te1/0/19            Desg FWD 2000      128.19   P2p 
Te1/0/20            Back BLK 2000      128.20   P2p 

MAC地址表將埠Te1/0/2標識為終端埠，該埠通過STP處於FWD狀態，資料包被泛洪到終端。

Edge-1#show mac address-table interface te1/0/2
          Mac Address Table
-------------------------------------------
Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
1041    aaaa.dddd.bbbb    DYNAMIC     Te1/0/2

DHCP提供和ACK過程始終保持一致。如果未啟用DHCP監聽，則不會在DHCP監聽表中建立任何條目。因此，啟用DHCP的終端的裝置跟蹤條目通過收集ARP資料包生成。由於DHCP監聽已禁用，因此「show platform dhcpsnooping client stats」等命令預計不會顯示任何資料。

Edge-1#show device-tracking database interface te1/0/2 | be Network
    Network Layer Address                    Link Layer Address     Interface  vlan       prlvl      age        state      Time left       
ARP 172.16.141.1                             aaaa.dddd.bbbb         Te1/0/2    1041       0005       45s        REACHABLE  207 s try 0     

Edge-1#show ip dhcp snooping  binding vlan 1041
MacAddress          IpAddress        Lease(sec)  Type           VLAN  Interface
------------------  ---------------  ----------  -------------  ----  --------------------
Total number of bindings: 0

DHCP提供和ACK — 單播 — L2邊界

通訊流 — 單播DHCP提供和ACK（僅限第2層）

在此場景略有不同，終端將DHCP廣播標誌設定為unset或「0」。

DHCP中繼不會將DHCP提供/ACK作為廣播傳送，而是作為單播資料包傳送，其目的MAC地址從DHCP負載內的客戶端硬體地址派生。這顯著地修改了SD-Access交換矩陣處理資料包的方式，它使用L2LISP對映快取來轉發流量，而不是第2層泛洪組播封裝方法。

交換矩陣邊界/CP(192.168.0.201)資料包catpure:輸入DHCP提供

BorderCP-1#show monitor capture cap buffer display-filter "bootp.type==1 and dhcp.hw.mac_addr==aaaa.dddd.bbbb" detailed | sect Dynamic      
Dynamic Host Configuration Protocol (Discover)
    Message type: Boot Request (1)
    Hardware type: Ethernet (0x01)
    Hardware address length: 6
    Hops: 0
    Transaction ID: 0x00002030
    Seconds elapsed: 0
    Bootp flags: 0x0000, Broadcast flag (Unicast)
        0... .... .... .... = Broadcast flag: Unicast
        .000 0000 0000 0000 = Reserved flags: 0x0000
    Client IP address: 0.0.0.0
    Your (client) IP address: 0.0.0.0
    Next server IP address: 0.0.0.0
    Relay agent IP address: 0.0.0.0
    Client MAC address: aa:aa:dd:dd:bb:bb (aa:aa:dd:dd:bb:bb)

在此場景中，L2泛洪專門用於發現/請求，而提供/ACK則通過L2LISP對映快取轉發，從而簡化了整體操作。根據單播轉發原則，L2邊界向控制平面查詢目的MAC地址(aaaa.dddd.bbb)。 假設在交換矩陣邊緣上成功「MAC學習和終端註冊」，則控制平面已註冊此終端ID(EID)。

BorderCP-1#show lisp instance-id 8240 ethernet server aaaa.dddd.bbbb         
LISP Site Registration Information
Site name: site_uci
Description: map-server configured from Catalyst Center
Allowed configured locators: any
Requested EID-prefix:
  EID-prefix: aaaa.dddd.bbbb/48 instance-id 8240
    First registered:     00:36:37
    Last registered:      00:36:37
    Routing table tag:    0
    Origin:               Dynamic, more specific of any-mac
    Merge active:         No
    Proxy reply:          Yes
    Skip Publication:     No
    Force Withdraw:       No
    TTL:                  1d00h
    State:                complete
    Extranet IID:         Unspecified
    Registration errors:  
      Authentication failures:   0
      Allowed locators mismatch: 0
    ETR 192.168.0.101:51328, last registered 00:36:37, proxy-reply, map-notify
                             TTL 1d00h, no merge, hash-function sha1
                             state complete, no security-capability
                             nonce 0x1BF33879-0x707E9307
                             xTR-ID 0xDEF44F0B-0xA801409E-0x29F87978-0xB865BF0D
                             site-ID unspecified
                             Domain-ID 1712573701
                             Multihoming-ID unspecified
                             sourced by reliable transport
      Locator        Local  State      Pri/Wgt  Scope
     192.168.0.101  yes    up          10/10   IPv4 none

 在邊界向控制平面（本地或遠端）查詢後，LISP解析為終端的MAC地址建立對映快取條目。

BorderCP-1#show lisp instance-id 8240 ethernet map-cache aaaa.dddd.bbbb
LISP MAC Mapping Cache for LISP 0 EID-table Vlan 141 (IID 8240), 1 entries
aaaa.dddd.bbbb/48, uptime: 4d07h, expires: 16:33:09, via map-reply, complete, local-to-site
  Sources: map-reply
  State: complete, last modified: 4d07h, map-source: 192.168.0.206
  Idle, Packets out: 46(0 bytes), counters are not accurate (~ 00:13:12 ago)
  Encapsulating dynamic-EID traffic
  Locator        Uptime    State  Pri/Wgt     Encap-IID
  192.168.0.101  4d07h     up      10/10        -

解決RLOC後，DHCP提供將封裝為單播，並使用VNI 8240直接傳送到Edge-1(192.168.0.101)。

BorderCP-1#show mac address-table address aaaa.dddd.bbbb
          Mac Address Table
-------------------------------------------
Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
141    aaaa.dddd.bbbb    CP_LEARN    L2LI0

BorderCP-1#show platform software fed switch active matm macTable vlan 141 mac aaaa.dddd.bbbb
VLAN   MAC                  Type  Seq# EC_Bi  Flags  machandle      siHandle        riHandle         diHandle   *a_time  *e_time  ports                        Con   
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
141    aaaa.dddd.bbbb  0x1000001    0      0    64  0x718eb5271228  0x718eb52b4d68  0x718eb52be578   0x0            0     1064  RLOC 192.168.0.101 adj_id 747  No    

BorderCP-1#show ip route 192.168.0.101
Routing entry for 192.168.0.101/32
  Known via "isis", distance 115, metric 20, type level-2
  Redistributing via isis, bgp 65001T
  Advertised by bgp 65001 level-2 route-map FABRIC_RLOC
  Last update from 192.168.98.3 on TenGigabitEthernet1/0/42, 1w3d ago
  Routing Descriptor Blocks:
  * 192.168.98.3, from 192.168.0.101, 1w3d ago, via TenGigabitEthernet1/0/42
      Route metric is 20, traffic share count is 1

使用與前面部分相同的方法，捕獲從DHCP中繼和RLOC輸出介面的輸入流量，以觀察單播到邊緣RLOC的VXLAN封裝。

DHCP提供和ACK — 單播 — 邊緣

邊緣從邊界接收單播DHCP提供/ACK，解封裝流量並查詢其MAC地址表以確定正確的出口埠。與廣播Offer/ACK不同，邊緣節點僅將資料包轉發到終端所連線的特定埠，而不是將其泛洪到所有埠。

MAC地址表將埠Te1/0/2標識為我們的客戶端埠，該埠通過STP處於FWD狀態，資料包將被轉發到終端。

Edge-1#show mac address-table interface te1/0/2
          Mac Address Table
-------------------------------------------
Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
1041    aaaa.dddd.bbbb    DYNAMIC     Te1/0/2

DHCP提供和ACK過程始終保持一致。如果未啟用DHCP監聽，則不會在DHCP監聽表中建立任何條目。因此，啟用DHCP的終端的裝置跟蹤條目由收集ARP資料包生成。由於DHCP監聽已禁用，因此「show platform dhcpsnooping client stats」等命令預計不會顯示任何資料。

Edge-1#show device-tracking database interface te1/0/2 | be Network
    Network Layer Address                    Link Layer Address     Interface  vlan       prlvl      age        state      Time left       
ARP 172.16.141.1                             aaaa.dddd.bbbb         Te1/0/2    1041       0005       45s        REACHABLE  207 s try 0     

Edge-1#show ip dhcp snooping  binding vlan 1041
MacAddress          IpAddress        Lease(sec)  Type           VLAN  Interface
------------------  ---------------  ----------  -------------  ----  --------------------
Total number of bindings: 0

必須注意的是，SD-Access交換矩陣不影響單播或廣播標誌的使用，因為這只是端點行為。雖然此功能可能被DHCP中繼或DHCP伺服器本身所覆蓋，但兩種機制對於在L2 Only環境中無縫DHCP操作都至關重要：使用廣播提供/ACK的底層組播進行第2層泛洪，並在控制平面中為單播提供/ACK進行正確的端點註冊。