Опция 82 DHCP

Материал из Xgu.ru

Опция 82 DHCP (DHCP option 82) — опция протокола DHCP, использующаяся для того чтобы проинформировать DHCP-сервер о том, от какого DHCP-ретранслятора и через какой его порт был получен запрос. Применяется при решении задачи привязки IP-адреса к порту коммутатора и для защиты от атак с использованием протокола DHCP (DHCP snooping).

Содержание

[править] Задача

Протокол динамического конфигурирования DHCP очень удобен — настройка стека TCP/IP клиентских машин не требует никакого внимания со стороны администратора, всё происходит само собой. С другой стороны, в общем случае адреса назначаются случайным образом, и заранее неизвестно какой хост получит какой адрес. Если нужно сохранить удобство использования DHCP, но при этом сделать так, чтобы адреса были чётко закреплены за каждым компьютером, используется так называемая привязка к MAC-адресу: DHCP-сервер имеет таблицу соответствия MAC-адресов IP-адресам, и назначает IP-адреса в соответствии с этой таблицей. Минус этого решения — необходимость отслеживания MAC-адресов и сопровождения таблицы соответствия.

В некоторых случаях может помочь компромиссное решение — поставить IP-адреса в соответствие не MAC-адресам, а портам коммутатора, к которым подключен клиентский компьютер. Другой вариант — выдавать IP-адреса в зависимости от того, с какого DHCP-ретранслятора пришел запрос. В этом случае выдаются адреса из одной подсети, но с привязкой конкретных диапазонов адресов к различным коммутаторам, работающим как DHCP-ретрансляторы. Это может помочь облегчить администрирование сети в том смысле, что по IP-адресу клиентского компьютера, будет понятно к какому коммутатору он подключен.

Решить эти задачи позволяет опция 82 протокола DHCP.

Ниже описывается, каким образом настроить DHCP-сервер, чтобы он выдавал IP-адрес в зависимости от того, к какому порту коммутатора подключен клиент, сделавший запрос. Рассматривается случай, когда коммутатор, через который поступает запрос, используется в роли DHCP-ретранслятора (решение задачи для случая, когда это не так, описано на странице DHCP snooping).

[править] Протокол DHCP

DHCP (Dynamic Host Configuration Protocol) — один из важнейших протоколов в стеке протоколов TCP/IP, предназначенный для назначения хостам различных параметров необходимых для работы в сети, в частности, их IP-адресов, адреса шлюза по умолчанию, IP-адресов DNS-серверов и множества других.

Во взаимодействии по протоколу DHCP принимают участие две или три стороны:

• DHCP-клиент — тот, кто хочет получить параметры настройки TCP/IP;
• DHCP-сервер — тот, кто выдаёт эти параметры;
• DHCP-ретранслятор (relay agent) — вспомогательный участник, который может играть роль посредника между клиентом и сервером. Он используется в тех случаях, когда у клиента нет возможности обратиться к серверу напрямую, в частности, в том случае, если они находятся в разных широковещательных доменах. DHCP-ретранслятор обрабатывает стандартный широковещательный DHCP-запрос и перенаправляет его на DHCP-сервер в виде целенаправленного (unicast) пакета, а полученный от DHCP-сервера ответ, в свою очередь, перенаправляет DHCP-клиенту.

Как правило, DHCP-сервер выделяет IP-адреса (и прочие параметры TCP/IP) одним из двух способов:

• Случайным образом из предопределённого пула (в том случае, если клиенту ранее уже выдавался какой-то адрес, он может попробовать получить его вновь);
• Жёстко зафиксированным образом, исходя из MAC-адреса клиента.

[править] Option 82

Опция 82 состоит из двух подопций:

Agent Circuit ID — содержит информацию о том, с какого порта пришел запрос на DHCP-ретранслятор.

Agent Remote ID — идентификатор самого DHCP-ретранслятора (который задается при настройке, можно например использовать MAC-адрес коммутатора или его описание, любое удобное значение).

Опция 82 в запросе DHCP:

DHCP-серверы, поддерживающие опцию 82:

Несмотря на то, что это нигде не указано явно, вероятнее всего, Microsoft Windows 2003 Server опцию 82 не поддерживает. (Однако на личном опыте проверено что работает, надо только добавить эту опцию)

[править] Инсталляция и настройка DHCP сервера ISC-DHCP

Будем использовать dhcp-сервер ISC-DHCP (v3). ISC DHCP Server — наиболее распространнённый DHCP-сервер, из использующихся в UNIX/Linux-системах. Для нас сейчас важно и то, что это один из серверов, умеющих распознавать опцию 82.

Будем предполагать, что инсталляция и настройка сервера выполняется в Debian GNU/Linux. Пользователи других систем должны учесть, что процедура инсталляции и местоположение конфигурационных файлов могут несколько отличаться.

[править] Установка DHCP-сервера с поддержкой опции 82

В обычном случае установить откомпилированный DHCP-сервер из репозитория пакетов можно было бы с помощью команды:

и можно было бы считать, что на этом инсталляция сервера закончена, и можно переходить к его настройке. Однако, в том случае, если предполагается использование DHCP-ретранслятора (что обязательно, если будет использоваться опция 82), может потребоваться сборка пакета с включённой директивой USE_SOCKETS. Подробнее эта процедура описана ниже.

[править] Сборка с включённой директивой USE_SOCKETS

По умолчанию DHCP-сервер ожидает услышать запросы клиентов на широковещательном адрес 255.255.255.255. Однако, когда запрос перенаправляет DHCP-ретранслятор, запрос приходит непосредственно на адрес DHCP-сервера. Для того чтобы DHCP-сервер корректно обрабатывал информацию от DHCP-ретранслятора, его необходимо скомпилировать с использованием директивы

и указать в конфигурационном файле local-address.

Скачиваем исходники DHCP-сервера:

Перед началом сборки исходников необходимо установить все пакеты, необходимые для успешной сборки пакета, для чего выполнить:

Теперь необходимо в файле site.h раскомментировать директиву #define USE_SOCKETS:

Перейти в каталог dhcp3-3.0.6.dfsg:

Для того чтобы собрать пакет необходимо выполнить:

или, если сборка производится root’ом:

После сборки пакеты должны быть установлены в системе (инсталлируем только common и server, так как нам не нужен DHCP-ретранслятор и DHCP-клиент):

[править] Настройка DHCP-сервера

Сразу же после инсталляции пакета, сервер не заработает — сначала необходимо отредактировать его конфигурационный файл /etc/dhcp3/dhcpd.conf.

Интерфейс, на котором будет работать DHCP-сервер, передается ему в качестве аргумента при вызове.

В Debian GNU/Linux аргументы и ключи вызова программ принято указывать в соответствующих файлах в каталоге /etc/default, в частности, конфигурационный файл, в котором находятся опции для нашего сервера, называется /etc/default/dhcp3-server.

При условии, что сервер будет слушать запросы на интерфейсе eth0, файл будет выглядеть так:

Можно указать несколько интерфейсов, запросы с которых будет обрабатывать сервер. Они должны быть разделены пробелом.

Теперь можно запускать сервер:

После сборки сервера с #define USE_SOCKETS:

[править] Написание правил для соответствия адреса порту коммутатора

[править] Используемые операторы

suffix (data-expr, length)

Оператор suffix анализирует выражение data-expr и возвращает последние байты в указанном количестве. length — это числовое значение. Если data-expr или length равны нулю, то результат также будет равен 0. Если длина указанная в length больше чем сами данные, то suffix возвращает все данные.

substring (data-expr, offset, length)

Оператор substring анализирует данные и возвращает строку данных, которая начинается от указанного значения offset и имеет длину, равную указанной в length. Offset и length — числовые выражения. Если data-expr, offset или length равны нулю, то результат также равен 0. Если значение offset больше или равно длине data-expr, то будет возвращена нулевая строка. Если длина length больше чем длина данных оставшихся после offset, тогда возвращаемая строка будет содержать все данные от значения offset до конца.

binary-to-ascii (numeric-expr1, numeric-expr2, data-expr1, data-expr2)

Преобразует результат вычисления data-expr2 в текстовую строку, содержащую по одному числу для каждого элемента результата вычисления data-expr2. Числа разделены между собой результатом вычисления data-expr1. Параметр numeric-expr1 указывает основание системы исчисления (от 2 до 16), в которую должны преобразовываться числа. Параметр numeric-expr2 указывает количество битов на каждое число, полученное в результате преобразования. Оно может быть равно 8, 16 или 32.

Берём адрес leased-address, инвертируем его, а потом делим на 8 битные числа, каждые из которых преобразуем в 10-чную систему счисления. Полученные числа объединяем между собой через «.» и присоединяем «.in-addr.arpa.» справа.

• man dhcp-eval — описано как создавать такие выражения и описаны другие операторы.

[править] Просмотр информации на коммутаторе

Надо знать, каким образом кодируется номер порта коммутатора, чтобы затем правильно распознавать номера в пришедших запросах.

Например, в коммутаторе ProCurve опция 82 выглядит следующим образом:

В коммутаторах других производителей она выглядит аналогично.

Для того чтобы увидеть, каким образом кодируются номера портов в коммутаторе Procurve, необходимо выполнить команду:

Информация о MAC-адресе коммутатора:

На коммутаторах D-Link DES-35xx и 3028 выглядит так.

[править] Примеры правил

Указываем, что нас интересует последний байт в circuit-id:

Делаем преобразование вырезанного байта из двоичного формата в десятичный и указываем, что запрос попадет под правило класса, если результат преобразования будет равен 5.

Правило для порта 5.

Аналогично для порта 45:

Эти правила могут отличаться при использовании как коммутаторов других производителей, так и при использовании модульных коммутаторов ProCurve. Необходимо выяснять каким образом кодируется номер порта.

Если нам необходимо учитывать от какого relay-агента пришел запрос, то можно создать соответствующее правило:

Если нужно привязать IP-адреса не к портам коммутатора, а к самим коммутаторам как таковым, учитывать порт, с которого пришел DHCP-запрос (Agent Circuit ID), не обязательно, а важно настроить совпадение MAC-адреса или IP-адреса DHCP-ретранслятора (Agent Remote ID) в пришедшей опции 82.

[править] Пример конфигурационного файла DHCP-сервера

[править] Настройка коммутатора HP ProCurve для работы DHCP-ретранслятором

1. Включить DHCP-ретранслятор на коммутаторе (по умолчанию включен)
2. Включить ip routing
3. Настроить режим вставки опции 82 (drop, replace, validate)
4. Настроить ip helper-address
5. Клиенты и сервер должны быть в разных подсетях

Включение DHCP-ретранслятора на коммутаторе (по умолчанию включен):

Включить ip routing (на коммутаторе включается функциональность 3го уровня):

Настроить режим вставки опции 82 (drop, replace, validate):

Параметры команды dhcp-relay option 82:

• append — коммутатор добавит опцию 82 в пришедший DHCP-пакет.
• replace — коммутатор заменит опцию 82 в пришедшем DHCP-пакете на свои значения.
• drop — коммутатор отбросит DHCP-пакет, если в нем будет опция 82. Если DHCP-пакет пришел без опции 82, то коммутатор добавит опцию и передаст пакет.
• keep — для любого полученного DHCP-пакета с существующей опцией 82 не выполнять никаких изменений и отправить пакет в таком же виде как он пришел.
• [ip | mac] — что используется в опции 82 в качестве Agent Remote ID. По умолчанию используется MAC-адрес. При использовании IP-адреса, в поле Agent Remote ID будет указан IP-адрес VLAN, в котором был получен запрос от DHCP-клиента.

При одновременной работе DHCP-ретранслятора и DHCP snooping на коммутаторе, необходимо обратить внимание на то, что настройки DHCP snooping, по обработке пакетов с опцией 82, перекрывают настройки DHCP-ретранслятора.

Настройка ip helper-address (ip helper-address задается в VLAN, в котором находится DHCP-клиент. IP-адрес в этой команде — это адрес DHCP-сервера):

[править] Просмотр настроек на коммутаторе

Посмотреть настроенные ip helper-address для VLAN 1:

Параметры выбора подсети DHCP DHCP Subnet Selection Options

Применяется к: Windows Server (Semi-Annual Channel), Windows Server 2016 Applies to: Windows Server (Semi-Annual Channel), Windows Server 2016

Этот раздел можно использовать для получения сведений о новых параметрах выбора подсети DHCP. You can use this topic for information about new DHCP subnet selection options.

DHCP теперь поддерживает параметр 82 ( подварианта 5 ) . DHCP now supports option 82 (sub-option 5). С помощью этих параметров можно разрешить клиентам DHCP-прокси и агентам ретранслятора запрашивать IP-адреса для определенной подсети, а также из определенного диапазона IP-адресов и области. You can use these options to allow DHCP proxy clients and relay agents to request an IP address for a specific subnet, and from a specific IP address range and scope. Дополнительные сведения см. в разделе option 82 подтип 5: вариант выбора ссылки RFC 3527 для параметра сведения о агенте ретрансляции для DHCPv4. For more details, see Option 82 Sub Option 5: RFC 3527 Link Selection sub-option for the Relay Agent Information Option for DHCPv4.

Если вы используете Агент ретранслятора DHCP, настроенный с параметром DHCP 82, подпараметром 5, агент ретрансляции может запросить аренду IP-адреса для DHCP-клиентов из определенного диапазона IP-адресов. If you are using a DHCP relay agent that is configured with DHCP option 82, sub-option 5, the relay agent can request an IP address lease for DHCP clients from a specific IP address range.

Параметр 82. подпараметр 5. вариант выбора ссылки Option 82 Sub Option 5: Link Selection Sub Option

Подпараметр выбор ссылки агента ретранслятора позволяет агенту ретранслятора DHCP указать IP-подсеть, с которой DHCP-сервер должен назначать IP-адреса и параметры. The Relay Agent Link Selection sub-option allows a DHCP Relay Agent to specify an IP subnet from which the DHCP server should assign IP addresses and options.

Как правило, агенты ретранслятора DHCP используют поле IP-адрес шлюза ( гиаддр ) для взаимодействия с DHCP-серверами. Typically, DHCP relay agents rely on the Gateway IP Address (GIADDR) field to communicate with DHCP servers. Однако ГИАДДР ограничивается двумя операционными функциями: However, GIADDR is limited by its two operational functions:

1. Чтобы сообщить DHCP-серверу о подсети, в которой находится клиент DHCP, запрашивающий аренду IP-адреса. To inform the DHCP server about the subnet upon which the DHCP client that is requesting the IP address lease resides.
2. Чтобы сообщить серверу DHCP об IP-адресе, который будет использоваться для взаимодействия с агентом ретрансляции. To inform the DHCP server of the IP address to use to communicate with the relay agent.

В некоторых случаях IP-адрес, используемый агентом ретрансляции для связи с DHCP-сервером, может отличаться от диапазона IP-адресов, из которого должен быть выделен IP-адрес клиента DHCP. In some cases, the IP address that the relay agent uses to communicate with the DHCP server might be different than the IP address range from which the DHCP client IP address needs to be allocated.

В этой ситуации полезен вариант выбора ссылок в варианте 82, позволяющий агенту ретрансляции явно указать подсеть, из которой должен быть выделен IP-адрес в формате DHCP v4 с параметром 82, подпараметр 5. The Link Selection Sub option of option 82 is useful in this situation, allowing the relay agent to explicitly state the subnet from which it wants the IP address allocated in the form of DHCP v4 option 82 sub option 5.

Все IP-адреса агентов ретранслятора (ГИАДДР) должны быть частью диапазона активных IP-адресов области DHCP. All relay agent IP addresses (GIADDR) must be part of an active DHCP scope IP address range. Любой ГИАДДР за пределами диапазона IP-адресов области DHCP считается фальшивой ретранслятором, а DHCP-сервер Windows не будет подтверждать запросы клиентов DHCP от этих агентов ретрансляции. Any GIADDR outside of the DHCP scope IP address ranges is considered a rogue relay and Windows DHCP Server will not acknowledge DHCP client requests from those relay agents.

Для агентов ретранслятора можно создать специальную область. A special scope can be created to «authorize» relay agents. Создайте область с ГИАДДР (или несколькими, если ГИАДДР — последовательные IP-адреса), исключите адреса ГИАДДР из распространения, а затем активируйте область. Create a scope with the GIADDR (or multiple if the GIADDR’s are sequential IP addresses), exclude the GIADDR address(es) from distribution, and then activate the scope. Это позволит авторизовать агенты ретрансляции, не мешая назначению адресов ГИАДДР. This will authorize the relay agents while preventing the GIADDR addresses from being assigned.

Сценарий использования Use case scenario

В этом сценарии сеть Организации включает в себя как DHCP-сервер, так и точку доступа к беспроводной сети ( ) для гостевых пользователей. In this scenario, an organization network includes both a DHCP server and a Wireless Access Point (AP) for the guest users. Гостевые IP-адреса клиента назначаются с DHCP-сервера организации. Однако из-за ограничений политики брандмауэра DHCP-сервер не может получить доступ к гостевой беспроводной сети или беспроводным клиентам с броадкасе сообщениями. Guests client IP addresses are assigned from the organization DHCP server — however, due to firewall policy restrictions, the DHCP server cannot access the guest wireless network or wireless clients with broadcase messages.

Чтобы устранить это ограничение, точка AP настраивается с помощью ссылки подпараметра 5, чтобы указать подсеть, из которой должен быть выделен IP-адрес для гостевых клиентов, в ГИАДДР также указывается IP-адрес внутреннего интерфейса, который ведет к корпоративной сети. To resolve this restriction, the AP is configured with the Link Selection Sub Option 5 to specify the subnet from which it wants the IP address allocated for guest clients, while in the GIADDR also specifying the IP address of the internal interface that leads to the corporate network.