【導讀】2020，邁普通信技術股份有限公司，保留所有權利?

　　

【正文】 配 IP 地址和其它配置信息給客戶端，同時 DHCP 服務器也可以依據 option 82中的信息識別可能的 DHCP 攻擊報文并作出防范。 DHCP 中 繼代理收到服務器應答報文后，剝離其中的 option 82 選項并根據選項中的物理端口信息，把應答報文轉交到網絡接入設備的指定端口 。 DHCP option82 的應用對客戶端是透明的 。 DHCP option 82 報文結構 DHCP報文可以由多個 option字段組成， option 82 就是其中的一種 option，它必須在其它選項之后， option255 選項之前。其格式如下圖所示： Code：表示中繼代理信息選項的序號， RFC3046 定義為 82， option 82 即由此得名。 Len：為代理信息域（ Agent Information Field）的字節(jié)個數，不包括 Code 和 Len 字段的兩個字節(jié)。 option 82可以由多個 suboption 組成，每個 option 82選項至少要有一個子選項， RFC3046 定義了以下兩個子選項，其格式如下圖所示： SubOpt：為子選項編號，其中代理電路 ID（即 Circuit ID）子選項編號為 1，代理遠程 ID（即 Remote 版權所有 ?2020，邁普通信技術股份有限公司，保留所有權利 ?? ID）子選項編號為 2。 Len：為 Suboption Value 的字節(jié)個數，不包括 SubOpt 和 Len 字段的兩個字節(jié)。 option 82 工 作機制 DHCP option 82 流程圖 在 DHCP中繼 代理 支持 option 82的情況下， DHCP 客戶端通過 DHCP中繼從 DHCP服務器獲取IP 地址同樣 要經歷發(fā)現、提供、選擇和確認四個階段。 這時 DHCP 協(xié)議按如下過程進行： 1） DHCP 客戶端在初始化時 廣播發(fā)送請求報文 ，這時的請求報文并不包含 option 82 選項 。 2） DHCP中繼 代理 將 option 82 選項添加到 接收到的請求 報文 尾部 后 中繼 轉發(fā)給 DHCP 服務器。 option 82 選項 的子選項 1(代理電路 ID)默認是 DHCP 客戶端所連接的交換機 的 接口信息 (VLan 名加物理端口名 )，也可以由用戶自己配置代理電路 ID， option 82 選項 的子選項 2(代理遠程 ID)是 DHCP中繼設備本身的 MAC 地址。 3） DHCP 服務器收到 DHCP 中繼設備轉發(fā)的 DHCP請求報文后，根據 報文中 option選項所攜帶的信息 和 預定策略分配 IP 地址和其它信息 給客戶端 ，然后將帶著 DHCP配置信息以及 option 82 信息的 應答 報文發(fā)給 DHCP 中繼 代理 。 4） DHCP 中繼 代理 收到 DHCP服務器的應答 報文后將剝離報文中的 option 82 信息，然后將帶有 DHCP配置信息的報文轉發(fā)給 DHCP 客戶端 。 DHCP option 82 的配置任務序列 1. 與 DHCP option 82 相關的配置內容 1) 配置中繼代理的 DHCP option 82 使能開關 DHCP Server DHCP Client DHCP Relay Agent DHCP Request DHCP Request Option82 Option82 DHCP Reply DHCP Reply 版權所有 ?2020，邁普通信技術股份有限公司，保留所有權利 ?? 2) 配置接口的 DHCP option 82 屬性 3) 配置服務器的 DHCP option 82 使能開關 4） DHCP option 82 的維護與診斷 1) 配置中繼代理的 DHCP option 82 使能開關 命令 解釋 全局配置模式 ip dhcp relay information option no ip dhcp relay information option 設置本命令啟用交換機中繼代理的option82 功能，本命令的 no 操作關閉交換機中繼代理的 option82 功能。 2) 配置接口的 DHCP option 82 屬性 命令 解釋 接口配置模式 ip dhcp relay information policy {drop | keep | replace} no ip dhcp relay information policy 本命令用于設置系統(tǒng)對于接收到的含有option82選項的 DHCP請求報文的重轉發(fā)策略，其中 drop 模式表示如果報文中含有option82 選項，則系統(tǒng)丟棄該 DHCP報文不作處理； keep 模式表示系統(tǒng)保持現有報文中的 option82選項不變轉發(fā)給服務器處理； replace 模式表示系統(tǒng)使用自己的option82 選項替換現有報文中的 option82選項，然后轉發(fā)給服務器處理。本命令的no 操作設置 option82 選項 DHCP 報文的重轉發(fā)策略為 replace。 ip dhcp relay information option subscriberid {standard | circuitid} no ip dhcp relay information option subscriberid 本命令用于設置從接口接收的 DHCP請求報文添加 option 82子選項 1(電路 ID 選項 )的形式， standard 表示標準的 vlan 名加物 理 端 口 名 形 式 ， 如“ Vlan2+Ether0/0/12”， circuitid為用戶自己指定的 option 82 的 circuitid內容，它是一個長度小于 64的字符串。本命令的 no 操作把添加 option 82 子選項1(電路 ID 選項 )的形式設置為 standard 形式 。 版權所有 ?2020，邁普通信技術股份有限公司，保留所有權利 ?? 3) 配置服務器的 DHCP option 82 使能開關 命令 解釋 全局配置模式 ip dhcp server relay information enable no ip dhcp server relay information enable 本命令用于設置交換機 DHCP服務器支持對 option82 選項的識別。本命令的 no 操作使服務器忽略處理 option 82 選項。 4） DHCP option 82 的維護與診斷 命令 解釋 特權配置模式 show ip dhcp relay information option 本命令顯示系統(tǒng) DHCP option 82 的狀態(tài)信息，包括 option82使能開關，接口重轉發(fā)策略，接口電路 ID 模式，以及交換機DHCP 服務器 option82 使能開關。 debug ip dhcp relay packet 使用本命令顯示 DHCP中繼代理處理數據包的信息，包括 option 82 選項的添加和剝離動作信息。 DHCP option 82 應用舉例 圖 31 DHCP option 82 典型應用 案例 在上面應用案例中，二層交換機 Switch1和 Switch2 都接在三層交換機 Switch3上， Switch3作為 DHCP中繼代理向 DHCP服務器轉交來自 DHCP客戶端的請求報文，并把服務器的應答報文轉交給 DHCP客Switch1 Switch2 DHCP Client PC1 DHCP Client PC2 DHCP Server Vlan2:ether/2 Vlan2:ether/3 DHCP Relay Agent Switch3 Vlan3 版權所有 ?2020，邁普通信技術股份有限公司，保留所有權利 ?? 戶端，完成 DHCP協(xié)議過程。在不啟用 DHCP option 82 功能時， DHCP 服務器無法區(qū)分 DHCP 客戶端是來自 Switch1 還是 Switch2 下連的網絡，因此 Switch1 和 Switch2 連接的 PC 終端都從 DHCP 服務器中公用地址池中分配地址。啟用 DHCP option 82功能以后，由于 Switch3 在來自客戶端的請求報文中附加了接入 Switch3的端口信息，這時服務器可以區(qū)分客戶端是來自 Switch1還是 Switch2的網絡，因此可以為這兩個網絡分配互相隔離的地址空間，便于網絡管理。 Switch3(MAC 地址為 00:03:0f:02:33:01)配置如下 Switch3(Config)service dhcp Switch3(Config)ip dhcp relay information option Switch3(Config)ip forwardprotocol udp bootps Switch3(Configifvlan3)ip address Switch3(Configifvlan2)ip address Switch3(Configifvlan2)ip helper Linux的 ISC DHCP Server 支持 option 82 選項，其配置文件 /etc/ 為 ddnsupdatestyle interim。 ignore clientupdates。 class Switch3Vlan2Class1 { match if option = Vlan2+Ether1/2 and option =00:03:0f:02:33:01。 } class Switch3Vlan2Class2 { match if option = Vlan2+Ether1/3 and option =00:03:0f:02:33:01。 } sub mask { option routers 。 版權所有 ?2020，邁普通信技術股份有限公司，保留所有權利 ?? option submask 。 option domainname 。 option domainnameservers 。 authoritative。 pool { range 。 defaultleasetime 86400。 24 Hours maxleasetime 172800。 48 Hours allow members of Switch3Vlan2Class1。 } pool { range 。 defaultleasetime 43200。 12 Hours maxleasetime 86400。 24 Hours allow members of Switch3Vlan2Class2。 } } 這時 DHCP 服務器會為經 Switch3 中繼來自 Switch1 的網絡節(jié)點分配 ～，為來自 Switch1 的網絡節(jié)點分配 ～ 之間的地址。 DHCP option 82 排錯幫助 ? DHCP option 82 是作為 DHCP 中繼代理的一個子功能模塊實現的，在使用 option 82 功能之前，要確保 DHCP 中繼代理正確配置。 ? DHCP option 82是 DHCP 中 繼代理和 DHCP 服務器共同配合完成 IP 地址分配任務， DHCP 服務器要針對中繼代理的網絡拓撲，正確設置分配策略，否則即使中繼代理的 option 82 工作正常，地址分配也不會成功進行。在存在多種中繼代理情況時，注意設置好接口 DHCP 請求報文的重轉發(fā)策略。 版權所有 ?2020，邁普通信技術股份有限公司，保留所有權利 ?? ? 對于 DHCP 中繼代理的 option 82 功能實現，運行過程中可以使用 debug ip dhcp relay packet命令顯示中繼代理的數據包處理過程，包括添加 option 82 的具體內容，采取的重轉發(fā)策略，中繼代理剝離服務器的 option 82 內容等，這些 信息有助于用戶排錯診斷。 ? 對于 DHCP 服務器的 option 82 功能實現，運行過程中可以使用 debug ip dhcp server packet 命令顯示服務器的數據包處理過程，包括顯示識別出請求包的 option 82 信息，在應答包中返回的option 82 信息。 版權所有 ?2020，邁普通信技術股份有限公司，保留所有權利 ?? 第 4章 DHCP Snooping 配置 DHCP Snooping 介紹 DHCP Snooping功能指交換機監(jiān)測 DHCP CLIENT 通過 DHCP 協(xié)議獲取 IP 的過程。它通過設置信任端口和非信任端口，來防止 DHCP 攻擊及私設 DHC