Многие на этом форуме жаловались по поводу появления лишних dhcp-запросов на DES-3028, когда на нем включен dhcp_relay. Я постарался изучить это на стенде. HW 1A1G, прошивка 2.00-B14.

Приводим свич в исходное состояние:



Втыкаем в 1-й порт dhcp-клиента, во 2-й dhcp-сервер, проверяем, что все работает (по логам сервера):



Включаем option 82 insertion:



Проверяем, что все работает нормально и свич добавляет option 82:



Создаем разрешающее правило (годится любое, под которое подпадают dhcp-запросы, которые в данном случае и так разрешены):



Смотрим логи и видим чудеса: запросов к dhcp-серверу стало вдвое больше, половина из них с option 82, половина без:



Снова приводим свич в исходное состояние и создаем управляющий и пользовательский вланы, dhcp-клиент по-прежнему на 1-м порту, dhcp-сервер на 2-м:



Проверяем, что dhcp-запросы проходят:



Включаем dhcp_relay с опцией 82:


Все работает корректно, dhcp-сервер получает уникастные запросы с опцией 82 по управляющему влану:



Добавляем разрешающее правило на клиентском порту, под которое подпадают dhcp-запросы, на этот раз другое:



И снова видим чудеса: запросов стало вдвое больше, половина идет с опцией 82 уникастом по управляющему влану, половина идет броадкастом без опции 82 по пользовательскому влану:



Таким образом, dhcp_relay и dhcp_local_relay ведут себя одинаково. Все работает корректно до тех пор, пока не создано разрешающее правило в ACL, под которое подпадают dhcp-запросы. Если такое правило есть, то dhcp-запросы размножаются (видимо, один запрос идет тогда через ASIC, а второй генерируется центральным процессором). Это явный баг, а для dhcp-relay нарушение RFC-1542, раздела 4.

Жить с этим можно, хотя и не очень удобно. Нужно просто следить, чтобы в ACL не было ни разрешающих, ни запрещающих правил для dhcp-запросов. Лучше бы, конечно, поправить. Может быть в более новых прошивках это уже сделали?

Тогда пришлите, пожалуйста, прошивочку на berk at imt dot ru.

Зачем Вы добавляете разрешающее правило? В режиме DHCP Relay специально правилами автоматически отбрасываются DHCP Broadcast пакеты в клиентских VLAN-ах. Зачем Вы делаете обратное действие?

Demin Ivan:

Например, я хочу разрешить трафик с определенного IP-адреса с данного порта и запретить со всех остальных IP-адресов. На 3028, в отличие от 3526, после этого перестанет работать dhcp, потому что DHCPDISCOVER идет с адреса 0.0.0.0. Я тогда добавляю правило с более высоким приоритетом, разрешающее, например, UDP-пакеты на порт 67. И попадаю в описанную ситуацию.

Перезвоните пожалуйста завтра в офис по телефону 744-00-99 доб.390.

Проблема решена?
Собираемся закупать большую партиу 3028, но видимо есть смысл еще раз подумать и посчитать денюжку и разориться на 3526, но в меньшем кол-ве

Кажется, я перестарался

Я рекомендовал своей фирме все равно закупать 3028. Подкупает то, что нет вентиляторов. Просто мы их не будем мешать с 3526 в одних сетях, поскольку те не умеют отфильтровывать чужие dhcp-броадкасты.

В тех случаях, когда этого не избежать (например, нужно быстро заменить свич), мы будем строит acl на 3028 таким образом, чтобы dhcp-запросы явно не разрешались. Например, если нужно запретить IP-трафик со всех адресов, кроме одного, запрещающее правило будет с source_ip_mask не 0.0.0.0, а 128.0.0.0 (все клиентские IP-адреса при этом находятся в верхней половине адресного пространства).

Я, правда, тоже сомневался. Проблемы с кулерами хуже тем, что случаются в самое неудобное время.

Это не проблема а особенность я бы сказал так. Но пакеты при правильной настройке блокируются.

Вы имеете в виду, dhcp-запросы, которые приходят от соседних свичей на 3526 с включенным dhcp_relay? У меня было впечатление, что на этом свиче dhcp-relay перехватывает пакеты до того, как отрабатывают acl. Или в последних прошивках это изменилось?

В DES-35XX DHCP Relay отрабатывает быстрее ACL.

Тогда какова правильная настройка для 3526, чтобы dhcp-запросы с портов, к которым подключены конечные пользователи, шли на dhcp-relay, и при этом фильтровались запросы, которые приходят через соседний свич?

Просто при включённом DHCP Relay включить глобально, но не настраивать по VLAN-ам! DHCP Local Relay.

прошивка 6.00.B07

включаю релей (без option 82),
включаю локал релей, не конфигурируя виланы
создаются запрещающие правила с профайлом 1

на DHCP сервер приходят запросы с маком пользователя от ВСЕХ свитчей с релеем в данной подсети. так и должно быть ?

спустя какое-то время стало ясно что в данный момент релей и привязки в одной подсети одновременно работать нормально не могут.

как только порт активируется в IPMB - создаются какие-то правила обрабатывающиеся до АЦЛ, которые в случае если Forward DHCP Packet влючить - в лбом случае будут пропускать DHCP запросы-ответы, не смотря на любые правила ACL. в виду чего до сервера придут релеи от всех свитчей в данной подсети.

если же Forward DHCP Packet выключить - пакет уходит на сервер, сервер ответ посылает, но свитч отчет блокирует и никуда не релеет.

Опишите пожалуйста проблему подробно по почте со схемой с указанием портов подключения и конфигом.