Господа, помогите, как-то лыжи не едут...
схема:
Имеем:
SW1 - некий свитч, настроен тупо на л2
SW2 - DES 3200-18 с включенной опцией DHCP opt82 (Firmware: Build 1.21.B006)
Задача:
клиенты подключенные к SW2 на порты 1-14 по DHCP получают адрес в зависимости от порта - это работает
от SW1 к SW2 проброшен влан, который сдается в аренду, со стороны SW2 живет DHCP сервер, который клиенту должен выдать адрес на основании MAC адреса, а клиент со стороны SW1, вот тут начинаются непонятки, почему-то клиент идущий в тегированном влане, свитч SW2 перехватывает запрос и передается DHCP1 который настроен у свитча как DHCP сервер, что видно из дампа пакетов:
Код:
tshark -V -f '(udp port 67 and port 68)'
...
Option: (t=82,l=23) Agent Information Option
Option: (82) Agent Information Option
Length: 23
Value: 01060004001E0011020D010B31312E3131312E312E3131
Agent Circuit ID: 0004001E0011
Agent Remote ID: 010B31312E3131312E312E3131
кофиги:
VLAN10 - клиенты
VLAN20 - свитчи и DHCP сервер
VLAN30 - для транзита
SW1:
Код:
!
interface FastEthernet0/2
switchport access vlan 30
!
interface FastEthernet0/24
switchport access vlan 20
!
interface GigabitEthernet0/1
switchport trunk encapsulation dot1q
switchport trunk allowed vlan 10,20,30
switchport mode trunk
!
interface VLAN20
ip address 11.111.1.10 255.255.255.0
SW2:
Код:
# VLAN
disable asymmetric_vlan
disable pvid auto_assign
create vlan cl tag 10
config vlan cl add tagged 17-18
config vlan cl add untagged 1-14
create vlan mng tag 20
config vlan mng add tagged 17-18
create vlan tr30 tag 30
config vlan tr30 add tagged 17
config vlan tr30 add untagged 16
config gvrp 1-14 state disable ingress_checking enable acceptable_frame admit_all pvid 10
config gvrp 15 state disable ingress_checking enable acceptable_frame admit_all pvid 1
config gvrp 16 state disable ingress_checking enable acceptable_frame admit_all pvid 30
config gvrp 17-18 state disable ingress_checking enable acceptable_frame admit_all pvid 1
# ADDRBIND
config address_binding ip_mac ports 1-14 state enable loose allow_zeroip enable forward_dhcppkt enable mode acl stop_learning_threshold 1
config address_binding dhcp_snoop max_entry ports 1-14 limit 1
config address_binding ip_mac ports 15-18 state disable allow_zeroip disable forward_dhcppkt enable mode arp stop_learning_threshold 500
config address_binding dhcp_snoop max_entry ports 15-18 limit 5
enable address_binding dhcp_snoop
enable address_binding arp_inspection
# IP
config ipif System vlan manage ipaddress 11.111.1.11/24 state enable
# DHCP_RELAY
enable dhcp_relay
config dhcp_relay hops 4 time 0
config dhcp_relay option_82 state enable
config dhcp_relay option_82 check disable
config dhcp_relay option_82 policy keep
config dhcp_relay option_82 remote_id user_define 11.111.1.11
config dhcp_relay add ipif System 11.111.1.2
Собственно вопрос, как можно ограничить список портов/вланов на которых перехватывается DHCP запрос?
Вход
Регистрация
FAQ
Поиск
