D-Link • Просмотр темы - Не работает dhcp_relay на 3828 при нескольких ipif

Сообщения без ответов | Активные темы

Список форумов » Коммутаторы

Часовой пояс: UTC + 3 часа

Не работает dhcp_relay на 3828 при нескольких ipif

Модераторы: Victor Kolosov, Alexander Shebaronin, Demin Ivan, Sergei Asmankin, Denis Evgraphov, Sergik

Страница 1 из 2

[ Сообщений: 24 ]

На страницу 1, 2 След.

Предыдущая тема | Следующая тема

Автор

Сообщение

Ivan E.

Заголовок сообщения: Не работает dhcp_relay на 3828 при нескольких ipif

Добавлено: Вт июн 01, 2010 02:59

Зарегистрирован: Пн фев 11, 2008 06:24
Сообщений: 604
Откуда: Хабаровск

Доброго времени суток.

На новом узле решили настроить роутинг на 3828 (ранее их использовали только как L2).

Код:

config vlan default delete 1-28
config vlan default add untagged 25-28
config vlan default add forbidden 1-24
config vlan default advertisement disable
create vlan LOCAL_PPPoE.Lermontova54 tag 1401
config vlan LOCAL_PPPoE.Lermontova54 add tagged 25-28
config vlan LOCAL_PPPoE.Lermontova54 add untagged 1-24
config vlan LOCAL_PPPoE.Lermontova54 advertisement disable
create vlan HN_p2p.Lermontova54 tag 4004
config vlan HN_p2p.Lermontova54 add tagged 25-28
config vlan HN_p2p.Lermontova54 add forbidden 1-24
config vlan HN_p2p.Lermontova54 advertisement disable

config ipif System vlan default ipaddress 172.31.175.130/28 state enable proxy_arp disable
create ipif Routing_if 10.0.76.1/24 LOCAL_PPPoE.Lermontova54 state enable proxy_arp disable
create ipif HN_p2p_if 172.17.254.42/30 HN_p2p.Lermontova54 state enable proxy_arp disable
create ipif Rout_IPTV_if 10.128.76.1/24 LOCAL_PPPoE.Lermontova54 state enable secondary proxy_arp disable

create iproute 10.0.0.0/255.0.0.0 172.17.254.41 1 primary
create iproute default 172.31.175.129 1 primary

create access_profile ip destination_ip_mask 255.255.255.255 udp src_port_mask 0xFFFF dst_port_mask 0xFFFF profile_id 5
config access_profile profile_id 5 add access_id 1 ip udp src_port 67 dst_port 68 port 1-24 deny
config access_profile profile_id 5 add access_id 101 ip destination_ip 255.255.255.255 udp src_port 68 dst_port 67 port 1-24 deny

enable dhcp_relay
config dhcp_relay hops 4 time 0
config dhcp_relay option_82 state enable
config dhcp_relay option_82 check enable
config dhcp_relay option_82 policy drop
config dhcp_relay add ipif System 172.31.253.178

При данной конфигурации клиенты не получают адрес по dhcp на самом коммутаторе (соседние, естественно работают). Проверялось на двух версиях прошивок 4.50.B17 и 4.50.B27. Если удалить интерфейсы на клиентском pppoe влане (остаются служебные), то клиенты начинают получать адреса... Запросы умирают на самом свиче. Похоже что при данной конфигурации релэй агент не обрабатывает запросы. То есть если поднять интерфейс в клиентском влане, а релеить через служебный, то запросы просто идут броадкастом. Если снять ACL, то тогда релей происходит через соседние коммутаторы. Собственно вот. Помогите.

Вернуться наверх

Bigarov Ruslan

Заголовок сообщения:

Добавлено: Вт июн 01, 2010 10:25

Сотрудник D-LINK

Зарегистрирован: Пт янв 21, 2005 11:52
Сообщений: 11212
Откуда: D-Link, Moscow

DES-3828 - это L3 коммутатор, а Вы настраиваете на нём DHCP Relay как на L2 коммутаторе, поэтому и не работает.

config dhcp_relay add ipif <нужно указывать имя клиентского интерфейса> 172.31.253.178
т.е. на который приходят от клиентов DHCP Discovery пакетики.

_________________
С уважением,
Бигаров Руслан.

Вернуться наверх

Ivan E.

Заголовок сообщения:

Добавлено: Ср июн 02, 2010 08:24

Зарегистрирован: Пн фев 11, 2008 06:24
Сообщений: 604
Откуда: Хабаровск

Сделал, но уже за 5 часов ни одной записи в логе по этому коммутатору. А то что сервер находится в сети управления - это не мешает, если релей настраивается от интерфейса в пользовательском влане. То етсь пользовательский интерфейс не может достучаться до dhcp сервера. Как мне казалось, релей должен идти от сети управления.

Вернуться наверх

Bigarov Ruslan

Заголовок сообщения:

Добавлено: Ср июн 02, 2010 09:15

Сотрудник D-LINK

Зарегистрирован: Пт янв 21, 2005 11:52
Сообщений: 11212
Откуда: D-Link, Moscow

Коммутатор через какой-нибудь интерфейс ping-ует сервер? Сервер знает через какой IP он может получить доступ в клиентские подсети?

_________________
С уважением,
Бигаров Руслан.

Вернуться наверх

Ivan E.

Заголовок сообщения:

Добавлено: Чт июн 03, 2010 01:12

Зарегистрирован: Пн фев 11, 2008 06:24
Сообщений: 604
Откуда: Хабаровск

Не помогло. За сутки ни одной записи. DHCP сервер находится в сети управления. Соответственно, интерфейс в клиентском влане не может пингать сервер, а с интерфейса управления можно. Сервер отвечает только на запросы с сети управления (диапазон адресов указан).

Вернуться наверх

svsh1990

Заголовок сообщения:

Добавлено: Чт июн 03, 2010 08:07

Зарегистрирован: Вт авг 29, 2006 16:44
Сообщений: 2326
Откуда: Ярославль

Ivan E. писал(а):

а должен отвечать и на клиентские.

_________________
LiveComm

Вернуться наверх

Bigarov Ruslan

Заголовок сообщения:

Добавлено: Чт июн 03, 2010 10:45

Сотрудник D-LINK

Зарегистрирован: Пт янв 21, 2005 11:52
Сообщений: 11212
Откуда: D-Link, Moscow

2 Ivan E. > У Вас DHCP сервер знает где располагаются клиентские подсети?

_________________
С уважением,
Бигаров Руслан.

Вернуться наверх

Ivan E.

Заголовок сообщения:

Добавлено: Пт июн 04, 2010 08:29

Зарегистрирован: Пн фев 11, 2008 06:24
Сообщений: 604
Откуда: Хабаровск

Починили. Ситуация следующая. При настройке, которую подсказали релей происходит через интерфейс в клиентском влане. И соурс в пакетах подставляется от клиентского интерфейс влана. Сервер находится в служебном влане. Так же сервер принимает запросы только от адресов служебных сетей. Соответственно, запрос прилетает на сервер из неразрешенной сети и адрес не выдается, но даже если бы адрес выдавался, то обратно пакет бы не прилетел, так как информации о адресах в клиентском влане нет в служебном, собствено как и связности. Сделали следующем образом: выделили адрес из служебной сети (пришлось сеточку на /30 дать, так как коммутатор не позволяет создать интерфейс с маской /32). На клиентском влане подвешали этот адрес, а адреса клиентских сервисов повешали как секондари. Настроили релей через служебный адрес в клиентском влане. На вышестоящем коммутаторе (читай уровень ядра) прописали маршрут до служебного адреса в клиентском влане через систем интерфейс коммутатор. Тоесть, пакет обратно возвращается на систем интерфейс, несмотря на то, что интерфейс находится в клиентском влане. В итоге, вижу, что клиенты начали получать адреса. Может немножко сумбурно написал, но думаю, что тем кому надо эта информация будет понятна и поможет.

Вернуться наверх

Bigarov Ruslan

Заголовок сообщения:

Добавлено: Пт июн 04, 2010 09:47

Сотрудник D-LINK

Зарегистрирован: Пт янв 21, 2005 11:52
Сообщений: 11212
Откуда: D-Link, Moscow

2 раза перечитал, но так и не вник в это решение.

P.S.: Проще DHCP сервер было донастроить.

_________________
С уважением,
Бигаров Руслан.

Вернуться наверх

Ivan E.

Заголовок сообщения:

Добавлено: Пн июн 07, 2010 01:57

Зарегистрирован: Пн фев 11, 2008 06:24
Сообщений: 604
Откуда: Хабаровск

Может так будет понятнее:
Систем интерфейс управления

Код:

config ipif System vlan default ipaddress 172.31.175.130/28 state enable proxy_arp disable

Адрес из сети управления устанавливаю как праймери, от него и будет происходить релей. Адреса для клиентов подвязываю секондори.

Код:

create ipif DHCPrelay_if 172.31.175.146/30 LOCAL_PPPoE.Lermontova54 state enable proxy_arp disable
create ipif Routing_if 10.0.76.1/24 LOCAL_PPPoE.Lermontova54 state enable secondary proxy_arp disable
create ipif Rout_IPTV_if 10.128.76.1/24 LOCAL_PPPoE.Lermontova54 state enable secondary proxy_arp disable
config dhcp_relay add ipif DHCPrelay_if 172.31.253.178

На вышестоящем коммутаторе (cisco) дал команду, что бы завернуть ответные запросы на систем интерфейс:

Код:

ip route 172.31.175.146 255.255.255.255 172.31.175.130

Настраиваем relay agent в dhcp от адреса 172.31.175.146.

Вернуться наверх

svsh1990

Заголовок сообщения:

Добавлено: Пн июн 07, 2010 07:58

Зарегистрирован: Вт авг 29, 2006 16:44
Сообщений: 2326
Откуда: Ярославль

Ага, а как потом клиенты будут продлевать лизу на dhcp-сервере, если вы сделав вот эту вот фигню всё равно не разрешили клиентским подсетям общаться с вашим DHCP-сервером ?

_________________
LiveComm

Вернуться наверх

Ivan E.

Заголовок сообщения:

Добавлено: Пн июн 07, 2010 08:07

Зарегистрирован: Пн фев 11, 2008 06:24
Сообщений: 604
Откуда: Хабаровск

Ни один клиентский влан не общается со служебной сетью и работает уже два с половиной года. В чем проблема продления? Так же через релей отработает. На мой взгляд, это идеологически верно и именно так и должно быть. Позволяет обеспечить большую безопасность бла бла бла.

Вернуться наверх

svsh1990

Заголовок сообщения:

Добавлено: Пн июн 07, 2010 08:20

Зарегистрирован: Вт авг 29, 2006 16:44
Сообщений: 2326
Откуда: Ярославль

Пф... продление лизы происходит юникастом, а не бродкастом. Следовательно relay работать не будет! и ваши клиенты не смогут продлить адрес! Точнее смогут, т.к. вторая попытка уже будет послана широковещалкой, но это некорректно.
DHCP-сервер должен быть открыто доступен для всех.
Вынесите его в отдельную подсеть, чтобы не открывать доступ в вашу служебную сетку.

_________________
LiveComm

Вернуться наверх

Ivan E.

Заголовок сообщения:

Добавлено: Пн июн 07, 2010 09:32

Зарегистрирован: Пн фев 11, 2008 06:24
Сообщений: 604
Откуда: Хабаровск

Широковещательно пакет бы не долетел до сервера, так как сеть сегментрована.

Вернуться наверх

Bigarov Ruslan

Заголовок сообщения:

Добавлено: Пн июн 07, 2010 09:52

Сотрудник D-LINK

Зарегистрирован: Пт янв 21, 2005 11:52
Сообщений: 11212
Откуда: D-Link, Moscow

Для этого и используется функция DHCP Relay.

_________________
С уважением,
Бигаров Руслан.

Вернуться наверх

Страница 1 из 2

[ Сообщений: 24 ]

На страницу 1, 2 След.

Список форумов » Коммутаторы

Часовой пояс: UTC + 3 часа

Кто сейчас на форуме

Сейчас этот форум просматривают: Google [Bot] и гости: 74

Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете добавлять вложения