DNS云学堂 | 三分钟搞定,动态地址分配实操技巧

分享一个小故事,“2017年夏季,某集团因打印机老旧需要替换升级,新设备由各区域分公司人员自行安装调试。操作人员配置网络时,错误的将网关IP配置在打印机本地网卡中,导致整个办公室网络时断时续,100多人半天的时间无法正常办公,严重影响该分公司桌面业务运行”。诸如此类因手动配置IP引起的生产故障还有很多,因此大部分企业开始使用动态地址分配的方法取代传统手动配置。今天就为大家普及关于动态地址分配的基础知识,希望在日常的工作中可以提供帮助。enjoy:

动态主机配置协议(DHCP):是一个局域网的网络协议,由服务器控制一个动态的IP地址段范围,客户端接入网络时,服务器通过监听客户端请求的报文自动为客户端配置IP地址、网关地址、子网掩码、主备DNS等关键配置项。这样不仅减少因手动配置产生的网络故障,还能提高地址使用率。简单的来说,DHCP就是一个不需要账号密码认证,自动给网内客户端分配IP地址等信息的协议。

1.DHCP部署场景

DHCP作为办公网重要的基础支撑服务,由于其可以为多个网段同时分配IP地址,同时为保证其具有良好的运行环境,现网部署时通常在数据中心内使用专业的服务器进行部署。

DNS云学堂 | 三分钟搞定,动态地址分配实操技巧插图

DHCP服务器部署拓扑

2.DHCP运行原理

2.1. DHCP地址获取流程

DNS云学堂 | 三分钟搞定,动态地址分配实操技巧插图1

DHCP获取地址流程

客户端自动获取地址分为发现、提供、选择、确认四个阶段,下面针对四个阶段进行详细解释。

  • 发现阶段:即DHCP客户端寻找DHCP服务器的阶段。DHCP客户端以广播方式(因为DHCP服务器的IP地址对于客户端来说是未知的)发送DHCPDISCOVER信息来寻找网络中的DHCP服务器,三层网关设备收到DISCOVE的广播请求后,使用单播的方式将报文中继转发至指定的DHCP服务器中。DHCP服务器收到DISCOVE报文后视为第一阶段结束。
  • 提供阶段:DHCP服务器提供IP地址的阶段。DHCP服务器收到客户端发送的DISCOVER报文后,首先识别该报文中继的源网关地址,并在网关地址对应的网络内寻找未使用的IP地址。DHCP服务器主动发送ping包去检测预分配IP是否在线,确认ping包超时后,即认为预分配IP没有在网络中被使用。DHCP服务器使用单播的方式向三层网关设备发送包含分配的IP地址、网关地址、子网掩码地址、DNS地址等其他设置的DHCPOFFER信息报文,三层网关设备收到DHCPOFFER报文后,在对应的二层网络内进行广播,客户端通过监听广播的方式收到DHCPOFFER报文后,视为第二阶段结束。
  • 选择阶段:DHCP客户端选择某台DHCP服务器提供的IP地址的阶段。如果有多台DHCP服务器向DHCP客户端发送DHCPOFFER信息,理论上DHCP客户端会使用第一个接收到的DHCPOFFER。客户端以广播的方式回答一个DHCPREQUEST报文。三层网关设备收到REQUEST广播报文后,使用单播的方式将报文中继转发至指定的DHCP服务器中。DHCP服务器收到REQUEST报文后视为第三阶段结束。
  • 确认阶段:即DHCP服务器确认所提供的IP地址的阶段。当DHCP服务器收到客户端回答的DHCPREQUEST报文后,DHCP服务器使用单播的方式向三层网关设备发送包含分配的IP地址、网关地址、子网掩码地址、DNS地址等其他设置的DHCPACK信息报文,三层网关设备收到DHCPACK报文后,在对应的二层网络内进行广播,客户端通过监听广播的方式收到DHCPACK报文后,客户端主动在二层网络中发送arp报文,验证DHCPACK报文中包含的IP地址没有被其他客户端使用,确认arp报文超时后,视为第四阶段结束。至此,客户端成功获得IP地址,可开始正常使用。

2.2. DHCP地址续约流程

DNS云学堂 | 三分钟搞定,动态地址分配实操技巧插图2

DHCP地址续约流程

当客户端成功获取IP地址后会根据IP地址使用租期自动启动续约过程,客户端续约有两个关键时间。如果将地址使用租期用T来表示,第一次续约T1=1/2T,第二次续约T2=3/4T,接下来针对两个续约过程进行详细解释。

  • T1时间续约:客户端通过DHCP服务器获取IP地址时,自动检索ACK报文中关于租约时间的option,并主动记录这个时间。如果地址使用时间到达T1时间时,客户端希望连续使用这个地址。客户端会使用单播的方式向DHCP服务器发送DHCPREQUEST报文延续租期。DHCP服务器收到报文后检查本地租约信息,确认这个IP地址没有分配给其他客户端时,会使用单播的方式回复DHCPACK报文。至此客户端完成地址续约,并且地址使用时间从当前开始向后顺延T时间。
  • T2时间续约:如果T1时间续约失败后,客户端认为之前分配地址的DHCP服务器已经故障,为了保证已经获得的IP地址可以正常使用,客户端会在T2时间使用广播的方式发送DHCPREQUEST报文,目的是收到该报文的所有DHCP服务器都可以为客户端续约使用。三层网关设备收到报文后,会使用单播的方式将该报文中继至DHCP服务器。DHCP服务器收到报文后检查本地租约信息,确认这个IP地址没有分配给其他客户端时,会使用单播的方式回复DHCPACK报文,至此客户端完成地址续约,并且地址使用时间从当前开始向后顺延T时间。

3.技术验证

实践是检验真理的唯一标准,上述内容都是理论讲解,接下来进入实操干货。测试场景见下图:

DNS云学堂 | 三分钟搞定,动态地址分配实操技巧插图3 DHCP测试拓扑

·客户端本地网卡设置“自动获得IP地址”和“自动获取DNS服务器地址”,配置比较简单,就不进行配图说明了

注意:“自动获得IP地址”为客户端关键配置,必须勾选。“自动获得DNS服务器地址”可根据是否使用DHCP配置的统一DNS要求进行勾选,对实验不产生影响;

·三层设备配置对应VLAN及DHCP中继

dhcp relay server-group 1 ip 10.1.104.98 //配置DHCP转发组,可以填写多个。该组ID会在客户端VLAN中被引用;

interface Vlan-interface104 //配置VLAN

description used by SRVER //描述信息,便于查看。可不配置

ip address 10.1.104.1 255.255.255.0 //配置网关及子网范围

interface Vlan-interface107 //配置VLAN及DHCP转发应用

description used by CLIENT //描述信息,便于查看。可不配置

ip address 10.1.107.1 255.255.255.0 //配置网关及子网范围

dhcp select relay //使用renay的方式转发DHCP报文

dhcp relay server-select 1 //转发组

interface GigabitEthernet1/0/3 //进入客户端接入网卡

port access vlan 104 //将VLAN 104应用在客户端接入端口上

interface GigabitEthernet1/0/4 //进入服务器接入网卡

port access vlan 107 //将VLAN104应用在服务器接入网卡上

注意:为防止DHCP服务器污染网络环境,很多交换机默认开启DHCP SNOOPINP功能来抑制DHCP报文。可以通过dis dhcp-snooping 来查看该功能开启情况。如SNOOPING功能已开启,默认所有接口为untrust级别,DHCP报文不会像该端口转发,此时需要指定DHCP服务器接入网卡为trust安全级别。

·DHCP服务器配置

配置网络范围:10.1.107.0/24

配置地址池空间:10.1.107.75~10.1.107.79

配置IP网关:10.1.107.1

配置DNS地址:8.8.8.8

配置IP生效时间7秒

注意:IP网关地址必须属于终端接入VLAN的子网范围内,否则会导致终端地址获取异常现象。

·地址获取及续约流程

DNS云学堂 | 三分钟搞定,动态地址分配实操技巧插图4 DHCP服务器抓包(含地址分配和续约过程)

DNS云学堂 | 三分钟搞定,动态地址分配实操技巧插图5 客户端抓包(含地址分配和续约过程)

·报文介绍

DNS云学堂 | 三分钟搞定,动态地址分配实操技巧插图6 ACK报文

结论:上方截图中的报文顺序及内容与“2 DHCP运行原理”完全一致。

注意:通过上面实验可以看出,地址分配过程中PING CHECK的超时时间为1秒钟,与windows客户端第一次地址请求的time out时间相同,第二次重试时大约为3秒种。因此可以通过关闭DHCP服务器PING CHECK功能后加速地址获取速度。(此操作有潜在风险:终端没有进行ARP冲突检查时,可能会导致二层网络内IP冲突现象)

4.写在最后

通过以上小实验可以看出,DHCP协议在无人值守情况下自动配置IP过程相对简单,通过管理服务器配置可以实现终端关键配置快速下发的同时,支持与PING检查机制配合使用,在手动IP和自动获取IP的混合场景中,有效的避免因IP冲突而产生的安全故障。

原文链接:https://blog.csdn.net/weixin_38354951/article/details/106518672

© 版权声明
THE END
喜欢就支持一下吧
点赞8 分享