目  录

1 DHCP概述

1.1 DHCP简介

1.2 DHCP的IP地址分配

1.2.1 IP地址分配策略

1.2.2 IP地址获取过程

1.2.3 IP地址的租约更新

1.3 DHCP报文格式

1.4 DHCP选项

1.4.1 DHCP选项简介

1.4.2 DHCP常用选项介绍

1.4.3 自定义的选项格式

1.5 协议规范

2 DHCP服务器

2.1 DHCP服务器简介

2.1.1 DHCP服务器的应用环境

2.1.2 DHCP地址池

2.1.3 DHCP服务器分配IP地址的优先次序

2.2 DHCP服务器配置任务简介

2.3 配置DHCP服务器的地址池

2.3.1 DHCP服务器地址池配置任务简介

2.3.2 创建DHCP地址池

2.3.3 配置为客户端分配的IP地址

2.3.4 配置DHCP客户端使用的网关地址

2.3.5 配置DHCP客户端使用的域名后缀

2.3.6 配置DHCP客户端使用的DNS服务器地址

2.3.7 配置DHCP客户端使用的WINS服务器地址和NetBIOS节点类型

2.3.8 配置DHCP客户端使用的BIMS服务器信息

2.3.9 配置DHCP客户端使用的TFTP服务器地址及启动文件名或远程启动文件的HTTP形式URL

2.3.10 配置DHCP客户端使用的下一个提供服务的服务器IP地址

2.3.11 配置DHCP客户端使用的Option 184参数

2.3.12 自定义DHCP选项

2.4 启用DHCP服务

2.5 配置接口工作在DHCP服务器模式

2.6 配置接口引用地址池

2.7 配置IP地址冲突检测功能

2.8 配置Option 82的处理方式

2.9 配置DHCP服务器兼容性

2.9.1 配置DHCP服务器始终以广播方式回复请求报文

2.9.2 配置DHCP服务器忽略BOOTP请求报文

2.9.3 配置DHCP服务器以RFC 1048规定的格式发送BOOTP应答报文

2.10 配置DHCP服务器发送DHCP报文的DSCP优先级

2.11 DHCP服务器显示和维护

2.12 DHCP服务器典型配置举例

2.12.1 静态绑定地址典型配置举例

2.12.2 动态分配地址典型配置举例

2.12.3 用户类典型配置举例

2.12.4 主从网段典型配置举例

2.12.5 自定义DHCP选项典型配置举例

2.13 DHCP服务器常见配置错误举例

3 DHCP中继

3.1 DHCP中继简介

3.1.1 DHCP中继的应用环境

3.1.2 DHCP中继的基本原理

3.1.3 DHCP中继支持Option 82功能

3.2 DHCP中继配置任务简介

3.3 配置DHCP中继

3.3.1 启用DHCP服务

3.3.2 配置接口工作在DHCP中继模式

3.3.3 指定DHCP服务器的地址

3.3.4 配置DHCP中继的安全功能

3.3.5 配置通过DHCP中继释放客户端的IP地址

3.3.6 配置DHCP中继支持Option 82功能

3.3.7 配置DHCP中继发送DHCP报文的DSCP优先级

3.4 DHCP中继显示和维护

3.5 DHCP中继典型配置举例

3.5.1 DHCP中继配置举例

3.5.2 DHCP中继支持Option 82配置举例

3.6 DHCP中继常见配置错误举例

4 DHCP客户端

4.1 DHCP客户端简介

4.2 配置接口通过DHCP协议获取IP地址

4.3 配置接口使用的DHCP客户端ID

4.4 使能地址冲突检查功能

4.5 配置DHCP客户端发送DHCP报文的DSCP优先级

4.6 DHCP客户端显示和维护

4.7 DHCP客户端典型配置举例

5 DHCP Snooping

5.1 DHCP Snooping简介

5.1.1 DHCP Snooping作用

5.1.2 信任端口的典型应用环境

5.1.3 DHCP Snooping支持Option 82功能

5.2 DHCP Snooping配置任务简介

5.3 配置DHCP Snooping基本功能

5.4 配置DHCP Snooping支持Option 82功能

5.5 配置DHCP Snooping表项固化功能

5.6 配置防止DHCP饿死攻击

5.7 配置防止伪造DHCP请求方向报文攻击

5.8 配置接口动态学习DHCP Snooping表项的最大数目

5.9 配置DHCP Snooping报文限速功能

5.10 配置DHCP Snooping支持基于端口的阻断DHCP报文功能

5.11 开启DHCP Snooping日志信息功能

5.12 DHCP Snooping显示和维护

5.13 DHCP Snooping典型配置举例

5.13.1 DHCP Snooping配置举例

5.13.2 DHCP Snooping支持Option 82配置举例

6 BOOTP客户端

6.1 BOOTP客户端简介

6.1.1 BOOTP客户端的应用环境

6.1.2 IP地址动态获取过程

6.1.3 协议规范

6.2 配置接口通过BOOTP协议获取IP地址

6.3 BOOTP客户端显示和维护

6.4 BOOTP客户端典型配置举例

 

1 DHCP概述

1.1  DHCP简介

DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）用来为网络设备动态地分配IP地址等网络配置参数。

DHCP采用客户端/服务器通信模式，由客户端向服务器提出请求分配网络配置参数的申请，服务器返回为客户端分配的IP地址等配置信息，以实现IP地址等信息的动态配置。

在DHCP的典型应用中，一般包含一台DHCP服务器和多台客户端（如PC和便携机），如图1-1所示。

DHCP客户端和DHCP服务器处于不同物理网段时，客户端可以通过DHCP中继与服务器通信，获取IP地址及其他配置信息。DHCP中继的详细介绍，请参见“3.1  DHCP中继简介”。

图1-1 DHCP典型应用

 

1.2  DHCP的IP地址分配

1.2.1  IP地址分配策略

针对客户端的不同需求，DHCP提供三种IP地址分配策略：

·            手工分配地址：由管理员为少数特定客户端（如WWW服务器等）静态绑定固定的IP地址。通过DHCP将配置的固定IP地址分配给客户端。

·            自动分配地址：DHCP为客户端分配租期为无限长的IP地址。

·            动态分配地址：DHCP为客户端分配具有一定有效期限的IP地址，到达使用期限后，客户端需要重新申请地址。绝大多数客户端得到的都是这种动态分配的地址。

1.2.2  IP地址获取过程

图1-2 IP地址动态获取过程

 

如图1-2所示，DHCP客户端从DHCP服务器获取IP地址，主要通过四个阶段进行：

(1)       发现阶段，即DHCP客户端寻找DHCP服务器的阶段。客户端以广播方式发送DHCP-DISCOVER报文。

(2)       提供阶段，即DHCP服务器提供IP地址的阶段。DHCP服务器接收到客户端的DHCP-DISCOVER报文后，根据IP地址分配的优先次序选出一个IP地址，与其他参数一起通过DHCP-OFFER报文发送给客户端。

(3)       选择阶段，即DHCP客户端选择IP地址的阶段。如果有多台DHCP服务器向该客户端发来DHCP-OFFER报文，客户端只接受第一个收到的DHCP-OFFER报文，然后以广播方式发送DHCP-REQUEST报文，该报文中包含DHCP服务器在DHCP-OFFER报文中分配的IP地址。

(4)       确认阶段，即DHCP服务器确认IP地址的阶段。DHCP服务器收到DHCP客户端发来的DHCP-REQUEST报文后，只有DHCP客户端选择的服务器会进行如下操作：如果确认将地址分配给该客户端，则返回DHCP-ACK报文；否则返回DHCP-NAK报文，表明地址不能分配给该客户端。

客户端收到服务器返回的DHCP-ACK确认报文后，会以广播的方式发送免费ARP报文，探测是否有主机使用服务器分配的IP地址，如果在规定的时间内没有收到回应，并且客户端上不存在与该地址同网段的其他地址时，客户端才使用此地址。否则，客户端会发送DHCP-DECLINE报文给DHCP服务器，并重新申请IP地址。

如果网络中存在多个DHCP服务器，除DHCP客户端选中的服务器外，其它DHCP服务器中本次未分配出的IP地址仍可分配给其他客户端。

1.2.3  IP地址的租约更新

DHCP服务器分配给客户端的IP地址具有一定的租借期限（除自动分配的IP地址），该租借期限称为租约。当租借期满后服务器会收回该IP地址。如果DHCP客户端希望继续使用该地址，则DHCP客户端需要申请延长IP地址租约。

在DHCP客户端的IP地址租约期限达到一半左右时间时，DHCP客户端会向为它分配IP地址的DHCP服务器单播发送DHCP-REQUEST报文，以进行IP租约的更新。如果客户端可以继续使用此IP地址，则DHCP服务器回应DHCP-ACK报文，通知DHCP客户端已经获得新IP租约；如果此IP地址不可以再分配给该客户端，则DHCP服务器回应DHCP-NAK报文，通知DHCP客户端不能获得新的租约。

如果在租约的一半左右时间进行的续约操作失败，DHCP客户端会在租约期限达到7/8时，广播发送DHCP-REQUEST报文进行续约。DHCP服务器的处理方式同上，不再赘述。

1.3  DHCP报文格式

DHCP有8种类型的报文，每种报文的格式都相同，只是某些字段的取值不同。DHCP的报文格式如图1-3所示，括号中的数字表示该字段所占的字节。

图1-3 DHCP报文格式

 

各字段的解释如下：

·            op：报文的操作类型，分为请求报文和响应报文，1为请求报文；2为响应报文。具体的报文类型在options字段中标识。

·            htype、hlen：DHCP客户端的硬件地址类型及长度。

·            hops：DHCP报文经过的DHCP中继的数目。DHCP请求报文每经过一个DHCP中继，该字段就会增加1。

·            xid：客户端发起一次请求时选择的随机数，用来标识一次地址请求过程。

·            secs：DHCP客户端开始DHCP请求后所经过的时间。目前没有使用，固定为0。

·            flags：第一个比特为广播响应标识位，用来标识DHCP服务器响应报文是采用单播还是广播方式发送，0表示采用单播方式，1表示采用广播方式。其余比特保留不用。

·            ciaddr：DHCP客户端的IP地址。如果客户端有合法和可用的IP地址，则将其添加到此字段，否则字段设置为0。此字段不用于客户端申请某个特定的IP地址。

·            yiaddr：DHCP服务器分配给客户端的IP地址。

·            siaddr：DHCP客户端获取启动配置信息的服务器IP地址。

·            giaddr：DHCP客户端发出请求报文后经过的第一个DHCP中继的IP地址。

·            chaddr：DHCP客户端的硬件地址。

·            sname：DHCP客户端获取启动配置信息的服务器名称。

·            file：DHCP服务器为DHCP客户端指定的启动配置文件名称及路径信息。

·            options：可选变长选项字段，包含报文的类型、有效租期、DNS服务器的IP地址、WINS服务器的IP地址等配置信息。

1.4  DHCP选项

1.4.1  DHCP选项简介

为了与BOOTP（Bootstrap Protocol，自举协议）兼容，DHCP保留了BOOTP的消息格式。DHCP和BOOTP消息的不同主要体现在选项（Options）字段。DHCP在BOOTP基础上增加的功能，通过Options字段来实现。

DHCP利用Options字段传递控制信息和网络配置参数，实现地址动态分配的同时，为客户端提供更加丰富的网络配置信息。

DHCP选项的格式如图1-4所示。

图1-4 DHCP选项格式

 

1.4.2  DHCP常用选项介绍

常见的DHCP选项有：

·            Option 3：路由器选项，用来指定为客户端分配的网关地址。

·            Option 6：DNS服务器选项，用来指定为客户端分配的DNS服务器地址。

·            Option 33：静态路由选项。该选项中包含一组有分类静态路由（即目的网络地址的掩码固定为自然掩码，不能划分子网），客户端收到该选项后，将在路由表中添加这些静态路由。如果Option 33和Option 121同时存在，则忽略Option 33。

·            Option 51：IP地址租约选项。

·            Option 53：DHCP消息类型选项，标识DHCP消息的类型。

·            Option 55：请求参数列表选项。客户端利用该选项指明需要从服务器获取哪些网络配置参数。该选项内容为客户端请求的参数对应的选项值。

·            Option 60：厂商标识选项。客户端利用该选项标识自己所属的厂商；DHCP服务器可以根据该选项区分客户端所属的厂商，并为其分配特定范围的IP地址。

·            Option 66：TFTP服务器名选项，用来指定为客户端分配的TFTP服务器的域名。

·            Option 67：启动文件名选项，用来指定为客户端分配的启动文件名。

·            Option 121：无分类路由选项。该选项中包含一组无分类静态路由（即目的网络地址的掩码为任意值，可以通过掩码来划分子网），客户端收到该选项后，将在路由表中添加这些静态路由。如果Option 33和Option 121同时存在，则忽略Option 33。

·            Option 150：TFTP服务器地址选项，用来指定为客户端分配的TFTP服务器的地址。

更多DHCP选项的介绍，请参见RFC 2132和RFC 3442。

1.4.3  自定义的选项格式

有些选项的内容，RFC 2132中没有统一规定，例如Option 43、Option 82和Option 184。下面将介绍设备上定义的几种选项格式。

1. 厂商特定信息选项（Option 43）

Option 43称为厂商特定信息选项。DHCP服务器和DHCP客户端通过Option 43交换厂商特定的信息。

设备作为DHCP客户端时，可以通过Option 43获取：

·            ACS（Auto-Configuration Server，自动配置服务器）的参数，包括URL地址、用户名和密码。

·            服务提供商标识，CPE（Customer Premises Equipment，用户侧设备）从DHCP服务器获取该信息后，将该信息通告给ACS，以便ACS选择服务提供商特有的配置和参数等。

·            PXE（Preboot eXecution Environment，预启动执行环境）引导服务器地址，以便客户端从PXE引导服务器获取启动文件或其他控制信息。

(1)       Option 43格式

图1-5 Option 43格式

 

为了提供可扩展性，通过Option 43为客户端分配更多的信息，Option 43采用子选项的形式，通过不同的子选项为用户分配不同的网络配置参数。如图1-5所示。子选项中各字段的含义为：

·            Sub-option type：子选项类型。目前，子选项类型值可以为0x01表示ACS参数子选项，0x02表示服务提供商标识子选项，0x80表示PXE引导服务器地址子选项。

·            Sub-option length：子选项的长度，不包括子选项类型和子选项长度字段。

·            Sub-option value：子选项的取值。不同类型的子选项，取值格式有所不同，详细介绍请参见下文。

(2)       Option 43子选项取值字段的格式

·            ACS参数子选项的取值字段格式如图1-6所示。ACS的URL地址、用户名和密码长度可变，每个参数之间用空格（十六进制数为0x20）隔开。

图1-6 ACS参数子选项取值字段的格式

 

·            服务提供商标识子选项的取值字段内容为服务提供商的标识。

·            PXE引导服务器地址子选项的取值字段格式如图1-7所示。其中，PXE服务器类型目前取值只能为0；Server number为子选项中包含的PXE服务器地址的数目；Server IP addresses为PXE服务器的IP地址。

图1-7 PXE引导服务器地址子选项取值字段的格式

 

2. 中继代理信息选项（Option 82）

Option 82称为中继代理信息选项，该选项记录了DHCP客户端的位置信息。DHCP中继或DHCP Snooping设备接收到DHCP客户端发送给DHCP服务器的请求报文后，在该报文中添加Option 82，并转发给DHCP服务器。

管理员可以从Option 82中获得DHCP客户端的位置信息，以便定位DHCP客户端，实现对客户端的安全和计费等控制。支持Option 82的服务器还可以根据该选项的信息制定IP地址和其他参数的分配策略，提供更加灵活的地址分配方案。

Option 82最多可以包含255个子选项。若定义了Option 82，则至少要定义一个子选项。目前设备只支持两个子选项：sub-option 1（Circuit ID，电路ID子选项）和sub-option 2（Remote ID，远程ID子选项）。

由于Option 82的内容没有统一规定，不同厂商通常根据需要进行填充。

设备上，Circuit ID的填充模式有以下几种：

·            采用string模式填充：sub-option 1的内容是用户配置的字符串。

·            采用normal模式填充：sub-option 1的内容是接收到DHCP客户端请求报文的接口所属的VLAN ID以及接口编号。

·            采用verbose模式填充：sub-option 1的内容包括用户配置的接入节点标识，接收到DHCP客户端请求报文的接口类型、接口编号和接口所属的VLAN ID。

Remote ID的填充模式有以下几种：

·            采用string模式填充：sub-option 2的内容用户配置的字符串。

·            采用normal模式填充：sub-option 2的内容是接收到DHCP客户端请求报文的接口MAC地址（DHCP中继）或设备的桥MAC地址（DHCP Snooping）。

·            采用sysname模式填充：sub-option 2的内容是设备的系统名称。设备的系统名称可以通过系统视图下的sysname命令配置。

3. Option 184

Option 184是RFC中规定的保留选项，用户可以自定义该选项中携带的信息。设备上，Option 184携带了语音呼叫所需的信息。通过Option 184，可以实现在为具有语音功能的DHCP客户端提供语音呼叫相关信息。

目前Option 184支持四个子选项，承载的内容如下：

·            sub-option 1：网络呼叫处理器的IP地址，用来标识作为网络呼叫控制源及应用程序下载的服务器。只有定义了sub-option 1（网络呼叫处理器的IP地址子选项），其他子选项才能生效。

·            sub-option 2：备用服务器的IP地址，当sub-option 1中携带的网络呼叫处理器不可达或不合法时，DHCP客户端使用该选项指定的备用服务器作为网络呼叫处理器。

·            sub-option 3：语音VLAN信息，指定语音VLAN的ID及DHCP客户端是否会将所指定的VLAN作为语音VLAN。

·            sub-option 4：自动故障转移呼叫路由，指定故障转移呼叫路由的IP地址及其关联的拨号串，即SIP（Session Initiation Protocol，会话初始化协议）用户之间互相通信时对端的IP地址和呼叫号码。当网络呼叫处理器和备用服务器均不可达时，SIP用户可以使用对端IP地址及呼叫号码直接与对端SIP用户建立连接并通信。

1.5  协议规范

与DHCP相关的协议规范有：

·            RFC 2131：Dynamic Host Configuration Protocol

·            RFC 2132：DHCP Options and BOOTP Vendor Extensions

·            RFC 1542：Clarifications and Extensions for the Bootstrap Protocol

·            RFC 3046：DHCP Relay Agent Information Option

·            RFC 3442：The Classless Static Route Option for Dynamic Host Configuration Protocol (DHCP) version 4

2 DHCP服务器

2.1  DHCP服务器简介

2.1.1  DHCP服务器的应用环境

在以下场合通常利用DHCP服务器来完成IP地址分配：

·            网络规模较大，手工配置需要很大的工作量，并难以对整个网络进行集中管理。

·            网络中主机数目大于该网络支持的IP地址数量，无法给每个主机分配一个固定的IP地址。例如，Internet接入服务提供商限制同时接入网络的用户数目，用户必须动态获得自己的IP地址。

·            网络中只有少数主机需要固定的IP地址，大多数主机没有固定的IP地址需求。

2.1.2  DHCP地址池

每个DHCP地址池都拥有一组可供分配的地址和网络配置参数。DHCP服务器从地址池中为客户端选择并分配IP地址及其他参数。

1. 地址池的地址管理方式

地址池的地址管理方式有以下几种：静态绑定IP地址，即通过将客户端的MAC地址或客户端ID与IP地址绑定的方式，实现为特定的客户端分配特定的IP地址；动态选择IP地址，即在地址池中指定可供分配的IP地址范围，当收到客户端的IP地址申请时，从该地址范围中动态选择IP地址，分配给该客户端。

在地址池中指定可供分配的IP地址范围，有以下几种方法：

(1)       为地址池指定一个主网段，并将该网段划分为多个地址范围。

多个地址范围是指一个地址池动态分配的IP地址范围（公共地址范围）和多个为DHCP用户类分配的IP地址范围。

DHCP服务器通过定义DHCP用户类，实现为满足特定条件的客户端分配特定地址范围的IP地址。DHCP服务器根据客户端发送的请求报文，判断DHCP客户端所属的用户类。每个用户类可以配置多个匹配条件，只要客户端发送的DHCP请求报文满足任意一个匹配条件，就认为该客户端属于该用户类。在地址池下，可以为不同的用户类指定不同的地址范围。如果DHCP客户端属于某个用户类，则从该用户类的地址范围内选择地址分配给该客户端。

采用这种地址管理方式时，地址选择过程为：

·            按照地址池下用户类地址范围的配置顺序，将DHCP客户端和用户类进行匹配。

·            如果DHCP客户端属于某个用户类，则从该用户类的地址范围中选择地址分配给客户端。

·            如果该用户类中没有可供分配的地址，则继续匹配下一个用户类。如果所有匹配上的用户类地址范围都没有可供分配的地址，则从公共地址范围中选择地址分配给客户端。

·            如果DHCP客户端不属于任何一个DHCP用户类，则会从地址池动态分配的IP地址范围（通过address range命令配置）中选择地址分配给DHCP客户端。

·            如果动态分配的IP地址范围内也没有空闲地址，或者没有配置动态分配的IP地址范围，则地址分配失败，即DHCP服务器无法为DHCP客户端分配地址。

 

(2)       为地址池指定一个主网段，并指定多个从网段。

采用此种地址分配方式时，地址选择的过程是：首先从地址池主网段中查找可供分配的IP地址。如果主网段中没有可供分配的IP地址，则按照该地址池下从网段的配置顺序，依次查找可供分配的IP地址。

2. 地址池的选取原则

DHCP服务器为客户端分配IP地址时，地址池的选择原则如下：

(1)       如果存在将客户端MAC地址或客户端ID与IP地址静态绑定的地址池，则选择该地址池，并将静态绑定的IP地址和其他网络参数分配给客户端。

(2)       如果接收到DHCP请求报文的接口引用了某个地址池，则选择该地址池，从该地址池中选取IP地址和其他网络参数分配给客户端。

(3)       如果不存在静态绑定的地址池，且接收到DHCP请求报文的接口没有引用地址池，则按照以下方法选择地址池：

·            如果客户端与服务器在同一网段，则将DHCP请求报文接收接口的IP地址与所有地址池配置的主网段进行匹配，并选择最长匹配的主网段所对应的地址池。如果没有匹配到主网段，则将DHCP请求报文接收接口的IP地址与所有地址池配置的从网段进行匹配，并选择最长匹配的网段所对应的地址池。

·            如果客户端与服务器不在同一网段，即客户端通过DHCP中继获取IP地址，则将DHCP请求报文中giaddr字段指定的IP地址与所有地址池配置的主网段进行匹配，并选择最长匹配的网段所对应的地址池。如果没有匹配到主网段，则将DHCP请求报文中giaddr字段指定的IP地址与所有地址池配置的从网段进行匹配，并选择最长匹配的网段所对应的地址池。

例如，DHCP服务器上配置了两个地址池，动态分配的网段分别是1.1.1.0/24和1.1.1.0/25，如果接收DHCP请求报文的接口IP地址为1.1.1.1/25，且没有引用地址池，服务器将从1.1.1.0/25地址池中选择IP地址分配给客户端，1.1.1.0/25地址池中如果没有可供分配的IP地址，则服务器无法为客户端分配地址；如果接收DHCP请求报文的接口IP地址为1.1.1.130/25，服务器将从1.1.1.0/24地址池中选择IP地址分配给客户端。

 

2.1.3  DHCP服务器分配IP地址的优先次序

DHCP服务器为客户端分配IP地址的优先次序如下：

(1)       与客户端MAC地址或客户端ID静态绑定的IP地址。

(2)       DHCP服务器记录的曾经分配给客户端的IP地址。

(3)       客户端发送的DHCP-DISCOVER报文中Option 50字段指定的IP地址。Option 50为客户端请求的IP地址选项（Requested IP Address），客户端通过在DHCP-DISCOVER报文中添加该选项来指明客户端希望获取的IP地址。该选项的内容由客户端决定。

(4)       按照“2.1.2  DHCP地址池”中所述的动态分配地址选择原则，顺序查找可供分配的IP地址，选择最先找到的IP地址。

(5)       如果未找到可用的IP地址，则从当前匹配地址池中依次查询租约过期、曾经发生过冲突的IP地址，如果找到则进行分配，否则将不予处理。

 

2.2  DHCP服务器配置任务简介

表2-1 DHCP服务器配置任务简介

操作	说明	详细配置
配置DHCP服务器的地址池	必选	2.3
启用DHCP服务	必选	2.4
配置接口工作在DHCP服务器模式	必选	2.5
配置接口引用地址池	可选	2.6
配置IP地址冲突检测功能	可选	2.7
配置Option 82的处理方式	可选	2.8
配置DHCP服务器协议兼容性	可选	2.9
配置DHCP服务器发送DHCP报文的DSCP优先级	可选	2.10

 

2.3  配置DHCP服务器的地址池

2.3.1  DHCP服务器地址池配置任务简介

表2-2 DHCP服务器地址池配置任务简介

操作	说明	详细配置
创建DHCP地址池	必选	2.3.2
配置为客户端分配的IP地址	至少选其一	2.3.3
配置DHCP客户端使用的网关地址		2.3.4
配置DHCP客户端使用的域名后缀		2.3.5
配置DHCP客户端使用的DNS服务器地址		2.3.6
配置DHCP客户端使用的WINS服务器地址和NetBIOS节点类型		2.3.7
配置DHCP客户端使用的BIMS服务器信息		2.3.8
配置DHCP客户端使用的TFTP服务器地址及启动文件名		2.3.9
配置DHCP客户端使用的下一个提供服务的服务器IP地址		2.3.10
配置DHCP客户端使用的Option 184参数		2.3.11
自定义DHCP选项		2.3.12

 

2.3.2  创建DHCP地址池

表2-3 创建DHCP地址池

操作	命令	说明
进入系统视图	system-view	-
创建DHCP地址池，并进入DHCP地址池视图	dhcp server ip-pool pool-name	缺省情况下，设备上不存在任何DHCP地址池

 

2.3.3  配置为客户端分配的IP地址

 

1. 配置一个主网段多个地址范围的动态地址管理方式

在某些组网应用中，需要将一个网段下的不同客户端，按照一定的规则划分到不同的地址范围中。此时，可以按照客户端划分规则创建对应的DHCP用户类，并在地址池内为不同的用户类配置不同的地址范围，从而实现为特定的客户端分配特定范围的地址。在这种情况下，还可以配置一个公共地址范围，为不匹配任何用户类的客户端分配给该范围的地址。如果不配置公共地址范围，则不匹配任何用户类的客户端将无法获取到IP地址。

如果不需要对客户端进行分类，而仅需要限制网段内可分配的动态地址范围，则可以只配置公共地址范围，而不配置用户类的地址范围。

表2-4 配置一个主网段多个地址段的动态地址管理方式

操作	命令	说明
进入系统视图	system-view	-
创建DHCP用户类，并进入DHCP用户类视图	dhcp class class-name	缺省情况下，不存在任何DHCP用户类 在地址池下，需要为DHCP用户类指定地址范围时，为必选
配置DHCP用户类的匹配规则	if-match rule rule-number option option-code [ hex hex-string [ offset offset length length | mask mask ] ]	缺省情况下，没有配置DHCP用户类的匹配规则 在地址池下，需要为DHCP用户类指定地址范围时，为必选
退回系统视图	quit	-
进入地址池视图	dhcp server ip-pool pool-name	-
配置DHCP地址池动态分配的主网段	network network-address [ mask-length | mask mask ]	缺省情况下，没有配置主网段
（可选）配置地址池动态分配的IP地址范围，即公共地址范围	address range start-ip-address end-ip-address	缺省情况下，没有配置动态分配的IP地址范围
（可选）配置DHCP地址池为指定DHCP用户类动态分配的IP地址范围	class class-name range start-ip-address end-ip-address	缺省情况下，没有配置为指定DHCP用户类动态分配的IP地址范围 class命令中指定的DHCP用户类，必须通过dhcp class命令创建。否则，无法为该用户类分配指定范围的地址
（可选）配置动态分配的IP地址的租约有效期限	expired { day day [ hour hour [ minute minute [ second second ] ] ] | unlimited }	缺省情况下，IP地址租约有效期限为1天
（可选）配置DHCP地址池中不参与自动分配的IP地址	forbidden-ip ip-address&<1-8>	缺省情况下，DHCP地址池中的所有IP地址都参与自动分配
退回系统视图	quit	-
（可选）配置全局不参与自动分配的IP地址	dhcp server forbidden-ip start-ip-address [ end-ip-address ]	缺省情况下，除DHCP服务器接口的IP地址外，DHCP地址池中的所有IP地址都参与自动分配 多次执行dhcp server forbidden-ip命令，可以配置多个不参与自动分配的IP地址段

 

 

2. 配置一个主网段多个从网段的动态地址管理方式

在配置了一个主网段和多个从网段的地址池中，从网段的作用是对主网段地址空间的补充。当主网段中没有空闲地址分配给客户端时，服务器会从该地址池中的从网段获取地址分配给客户端。

表2-5 配置一个主网段多个从网段的地址管理方式

操作	命令	说明
进入系统视图	system-view	-
进入地址池视图	dhcp server ip-pool pool-name	-
配置DHCP地址池动态分配的主网段	network network-address [ mask-length | mask mask ]	缺省情况下，没有配置主网段 每个DHCP地址池中只能配置一个主网段，如果多次执行network命令配置主网段，则新的配置会覆盖已有配置
（可选）配置DHCP地址池动态分配的从网段	network network-address [ mask-length | mask mask ] secondary	缺省情况下，没有配置从网段
（可选）退回地址池视图	quit	-
（可选）配置动态分配的IP地址的租约有效期限	expired { day day [ hour hour [ minute minute [ second second ] ] ] | unlimited }	缺省情况下，IP地址租约有效期限为1天
（可选）配置DHCP地址池中不参与自动分配的IP地址	forbidden-ip ip-address&<1-8>	缺省情况下，DHCP地址池中的所有IP地址都参与自动分配 多次执行forbidden-ip命令，可以配置多个不参与自动分配的IP地址段
退回系统视图	quit	-
（可选）配置全局不参与自动分配的IP地址	dhcp server forbidden-ip start-ip-address [ end-ip-address ]	缺省情况下，除DHCP服务器接口的IP地址外，DHCP地址池中的所有IP地址都参与自动分配 多次执行dhcp server forbidden-ip命令，可以配置多个不参与自动分配的IP地址段

 

 

3. 配置静态地址绑定

某些客户端（如Web服务器等）需要固定的IP地址，通过以下几种方式可以实现为特定的客户端分配特定的IP地址：

·            将客户端的硬件地址与IP地址绑定：当具有此MAC地址的客户端申请IP地址时，DHCP服务器将根据客户端的MAC地址查找到对应的IP地址，并分配给客户端。

·            将客户端ID与IP地址绑定：某些客户端在向DHCP服务器发送DHCP-DISCOVER报文申请IP地址时，会构建客户端ID并添加到报文中一起发送。如果在DHCP服务器上将客户端ID与IP地址绑定，则当该客户端申请IP地址时，DHCP服务器将根据客户端ID查找到对应的IP地址并分配给客户端。

静态绑定的IP地址不能是DHCP服务器的接口IP地址，否则会导致IP地址冲突，被绑定的客户端将无法正常获取到IP地址。

如果作为DHCP客户端的设备，接口的MAC地址相同，则为了区分不同接口，采用静态绑定方式进行地址分配时，需要在服务器上配置静态绑定的客户端ID，而不能配置静态绑定的客户端MAC地址，否则可能导致客户端无法成功获取IP地址。

表2-6 配置静态地址绑定

操作	命令	说明
进入系统视图	system-view	-
进入地址池视图	dhcp server ip-pool pool-name	-
配置静态地址绑定	static-bind ip-address ip-address [ mask-length | mask mask ] { client-identifier client-identifier | hardware-address hardware-address [ ethernet | token-ring ] }	缺省情况下，没有配置静态地址绑定 多次执行static-bind ip-address命令，可以配置多个静态地址绑定 同一地址只能绑定给一个客户端。不允许通过重复执行static-bind ip-address命令的方式修改IP地址与客户端的绑定关系。只有删除了某个地址的绑定关系，才能将该地址与其他客户端绑定
（可选）配置静态绑定IP地址的租约有效期限	expired { day day [ hour hour [ minute minute [ second second ] ] ] | unlimited }	缺省情况下，IP地址租约有效期限为1天

 

2.3.4  配置DHCP客户端使用的网关地址

DHCP客户端访问本网段以外的服务器或主机时，数据必须通过网关进行转发。DHCP服务器可以为客户端指定网关的地址。

在DHCP服务器上，可以为每个地址池分别指定客户端对应的网关地址。目前，每个DHCP地址池视图下、每个从网段视图下最多可以配置8个网关地址。

表2-7 配置DHCP客户端使用的网关地址

操作	命令	说明
进入系统视图	system-view	-
进入DHCP地址池视图	dhcp server ip-pool pool-name	-
配置为DHCP客户端分配的网关地址	gateway-list ip-address&<1-8>	缺省情况下，没有配置为DHCP客户端分配的网关地址
（可选）进入从网段视图	network network-address [ mask-length | mask mask ] secondary	-
（可选）配置为DHCP客户端分配的网关地址	gateway-list ip-address&<1-8>	缺省情况下，没有配置为DHCP客户端分配的网关地址

 

 

2.3.5  配置DHCP客户端使用的域名后缀

在DHCP服务器上，可以为每个地址池指定客户端使用的域名后缀。

在客户端进行域名解析时，用户只需要输入域名的部分字段，客户端会自动将输入的域名加上从DHCP服务器获得的域名后缀进行解析。有关域名后缀的详细介绍，请参见“三层技术-IP业务配置指导”中的“域名解析”。

表2-8 配置DHCP客户端使用的域名后缀

操作	命令	说明
进入系统视图	system-view	-
进入DHCP地址池视图	dhcp server ip-pool pool-name	-
配置为DHCP客户端分配的域名后缀	domain-name domain-name	缺省情况下，没有配置为DHCP客户端分配的域名后缀

 

2.3.6  配置DHCP客户端使用的DNS服务器地址

为了使DHCP客户端能够通过域名访问Internet上的主机，DHCP服务器应在为客户端指定DNS（Domain Name System，域名系统）服务器地址。目前，每个DHCP地址池视图下最多可以配置8个DNS服务器地址。

表2-9 配置DHCP客户端使用的DNS服务器地址

操作	命令	说明
进入系统视图	system-view	-
进入DHCP地址池视图	dhcp server ip-pool pool-name	-
配置为DHCP客户端分配的DNS服务器地址	dns-list ip-address&<1-8>	缺省情况下，没有配置为DHCP客户端分配的DNS服务器地址

 

2.3.7  配置DHCP客户端使用的WINS服务器地址和NetBIOS节点类型

对于使用Microsoft Windows操作系统的客户端，由WINS（Windows Internet Naming Service，Windows Internet名称服务）服务器为通过NetBIOS协议通信的主机提供主机名到IP地址的解析。所以，大部分Windows网络客户端需要进行WINS的设置。

为了使DHCP客户端实现主机名到IP地址的解析，DHCP服务器应该为客户端指定WINS服务器地址。目前，每个DHCP地址池视图下最多可以配置8个WINS服务器地址。

DHCP客户端在网络上使用NetBIOS协议通信时，需要在主机名和IP地址之间建立映射关系。根据获取映射关系方式的不同，NetBIOS节点分为四种：

·            b类节点（b-node）：“b”代表广播（broadcast），即此类节点采用广播方式获取映射关系。源节点通过发送带有目的节点主机名的广播报文来获取目的节点的IP地址，目的节点收到广播报文后，就将自己的IP地址返回给源节点。

·            p类节点（p-node）：“p”代表端到端（peer-to-peer），即此类节点采用发送单播报文与WINS服务器通信的方式获取映射关系。源节点给WINS服务器发送单播报文，WINS服务器收到单播报文后，返回源节点请求的目的节点名所对应的IP地址。

·            m类节点（m-node）：“m”代表混合（mixed），是具有部分广播特性的p类节点。即此类节点首先发送广播报文来获取映射关系，如果没有获取到，则再发送单播报文与WINS服务器通信来获取映射关系。

·            h类节点（h-node）：“h”代表混合（hybrid），是具备“端到端”通信机制的b类节点。即此类节点首先发送单播报文与WINS服务器通信来获取映射关系，如果没有获取到，再发送广播报文来获取映射关系。

表2-10 配置DHCP客户端使用的WINS服务器地址和NetBIOS节点类型

操作	命令	说明
进入系统视图	system-view	-
进入DHCP地址池视图	dhcp server ip-pool pool-name	-
配置为DHCP客户端分配的WINS服务器地址	nbns-list ip-address&<1-8>	缺省情况下，没有配置为DHCP客户端分配的WINS服务器地址 对于b类节点，为可选；其他情况下，为必选
配置为DHCP客户端分配的NetBIOS节点类型	netbios-type { b-node | h-node | m-node | p-node }	缺省情况下，没有配置为DHCP客户端分配的NetBIOS节点类型

 

2.3.8  配置DHCP客户端使用的BIMS服务器信息

为了使DHCP客户端通过BIMS（Branch Intelligent Management System，分支网点智能管理系统）服务器进行软件的备份和升级等操作，DHCP服务器需要将BIMS服务器的IP地址、端口号以及加密的共享密钥等信息发给DHCP客户端。之后，DHCP客户端就可以定期向BIMS服务器发送连接请求，从BIMS服务器上获取配置文件，进行软件的备份和升级等操作。

表2-11 配置DHCP客户端使用的BIMS服务器信息

操作	命令	说明
进入系统视图	system-view	-
进入DHCP地址池视图	dhcp server ip-pool pool-name	-
配置为DHCP客户端分配的BIMS服务器的IP地址、端口及共享密钥信息	bims-server ip ip-address [ port port-number ] sharekey { cipher | simple } key	缺省情况下，没有配置为DHCP客户端分配的BIMS服务器信息

 

2.3.9  配置DHCP客户端使用的TFTP服务器地址及启动文件名或远程启动文件的HTTP形式URL

服务器自动配置功能在空配置启动的设备上不需要进行任何配置，但需要在DHCP服务器上配置一些必需的参数，包括TFTP服务器地址、TFTP服务器名和启动文件名或远程启动文件的HTTP形式URL等。

表2-12 配置DHCP客户端使用的TFTP服务器地址及启动文件名

操作	命令	说明
进入系统视图	system-view	-
进入DHCP地址池视图	dhcp server ip-pool pool-name	-
配置DHCP客户端使用的TFTP服务器地址	tftp-server ip-address ip-address	二者至少选其一 缺省情况下，没有配置DHCP客户端使用的TFTP服务器地址和TFTP服务器名
配置DHCP客户端使用的TFTP服务器名	tftp-server domain-name domain-name
配置DHCP客户端使用的启动文件名	bootfile-name bootfile-name	缺省情况下，没有配置DHCP客户端使用的启动文件名

 

表2-13 配置DHCP客户端使用的远程启动文件的HTTP形式URL

操作	命令	说明
进入系统视图	system-view	-
进入DHCP地址池视图	dhcp server ip-pool pool-name	-
配置DHCP客户端使用的远程启动文件的HTTP形式URL	bootfile-name url	缺省情况下，没有配置DHCP客户端使用的远程启动文件的HTTP形式URL

 

2.3.10  配置DHCP客户端使用的下一个提供服务的服务器IP地址

设备在启动后，可能需要访问某些服务器获取设备运行需要的信息，例如从TFTP服务器上获取配置文件。通过本配置可以指定DHCP服务器为DHCP客户端分配的下一个提供服务的服务器IP地址，以便客户端启动后访问该服务器，获取必要的信息。

表2-14 配置DHCP客户端使用的下一个提供服务的服务器IP地址

操作	命令	说明
进入系统视图	system-view	-
进入DHCP地址池视图	dhcp server ip-pool pool-name	-
配置DHCP地址池为DHCP客户端分配的下一个提供服务的服务器IP地址	next-server ip-address	缺省情况下，没有配置DHCP地址池为DHCP客户端分配的下一个提供服务的服务器IP地址

 

2.3.11  配置DHCP客户端使用的Option 184参数

为了使具有语音功能的DHCP客户端能够在通过DHCP获取IP地址的同时，获取到语音呼叫所需的相关信息，需要在DHCP服务器上配置Option 184。Option 184内容的详细介绍，请参见“1.4.3  3. Option 184”。

表2-15 配置DHCP客户端使用的Option 184参数

操作	命令	说明
进入系统视图	system-view	-
进入DHCP地址池视图	dhcp server ip-pool pool-name	-
配置网络呼叫处理器的地址	voice-config ncp-ip ip-address	缺省情况下，没有配置网络呼叫处理器的地址 只有配置了网络呼叫处理器的地址，其他配置才能生效
（可选）配置备用服务器的地址	voice-config as-ip ip-address	缺省情况下，没有配置备用服务器的地址
（可选）配置语音VLAN	voice-config voice-vlan vlan-id { disable | enable }	缺省情况下，没有配置语音VLAN
（可选）配置自动故障转移呼叫路由	voice-config fail-over ip-address dialer-string	缺省情况下，没有配置自动故障转移呼叫路由

 

2.3.12  自定义DHCP选项

 

本配置为DHCP服务器提供了灵活的选项配置方式，使得DHCP服务器可以为DHCP客户端提供更加丰富的选项内容。在以下情况下，可以使用本命令自定义DHCP选项：

·            随着DHCP的不断发展，新的DHCP选项会陆续出现。通过自定义DHCP选项，可以方便地添加新的DHCP选项。

·            有些选项的内容，RFC中没有统一规定。厂商可以根据需要定义选项的内容，如Option 43。通过自定义DHCP选项，可以为DHCP客户端提供厂商指定的信息。

·            设备上只提供了有限的选项配置命令（如gateway-list、dns-list命令），对于没有专门命令来配置的DHCP选项，可以通过option命令配置选项内容。例如，可以通过option 4 ip-address 1.1.1.1命令指定为DHCP客户端分配的时间服务器地址为1.1.1.1。

·            扩展已有的DHCP选项。当前已提供的方式无法满足用户需求时（比如通过dns-list命令最多只能配置8个DNS服务器地址，如果用户需要配置的DNS服务器地址数目大于8，则该命令无法满足需求），可以通过自定义DHCP选项的方式进行扩展。

表2-16 自定义DHCP选项

操作	命令	说明
进入系统视图	system-view	-
进入DHCP地址池视图	dhcp server ip-pool pool-name	-
自定义DHCP选项	option code { ascii ascii-string | hex hex-string | ip-address ip-address&<1-8> }	缺省情况下，没有自定义DHCP选项

 

表2-17 常用Option配置说明

选项编号	选项名称	对应的配置命令	推荐的option命令参数
3	Router Option	gateway-list	ip-address
6	Domain Name Server Option	dns-list	ip-address
15	Domain Name	domain-name	ascii
44	NetBIOS over TCP/IP Name Server Option	nbns-list	ip-address
46	NetBIOS over TCP/IP Node Type Option	netbios-type	hex
66	TFTP server name	tftp-server	ascii
67	Bootfile name	bootfile-name	ascii
43	Vendor Specific Information	-	hex

 

2.4  启用DHCP服务

只有启用DHCP服务后，其它相关的DHCP服务器配置才能生效。

表2-18 启用DHCP服务

操作	命令	说明
进入系统视图	system-view	-
启用DHCP服务	dhcp enable	缺省情况下，DHCP服务处于禁止状态

 

2.5  配置接口工作在DHCP服务器模式

配置接口工作在DHCP服务器模式后，当接口收到DHCP客户端发来的DHCP报文时，将从DHCP服务器的地址池中分配地址等参数。

表2-19 配置接口工作在DHCP服务器模式

操作	命令	说明
进入系统视图	system-view	-
进入接口视图	interface interface-type interface-number	-
配置接口工作在DHCP服务器模式	dhcp select server	缺省情况下，接口工作在DHCP服务器模式

 

2.6  配置接口引用地址池

创建地址池，并在接口引用该地址池后，接口接收到DHCP请求，将优先为客户端分配静态绑定的IP地址；如果不存在静态绑定的IP地址，则从引用的地址池中选择IP地址分配给客户端。

表2-20 配置接口引用地址池

操作	命令	说明
进入系统视图	system-view	-
进入接口视图	interface interface-type interface-number	-
配置接口引用地址池	dhcp server apply ip-pool pool-name	缺省情况下，接口没有引用任何地址池。如果接口引用的地址池不存在，将导致无法动态分配地址

 

2.7  配置IP地址冲突检测功能

为防止IP地址重复分配导致地址冲突，DHCP服务器为客户端分配地址前，需要先对该地址进行探测。

DHCP服务器的地址探测是通过ping功能实现的，通过检测是否能在指定时间内得到ping响应来判断是否存在地址冲突。DHCP服务器发送目的地址为待分配地址的ICMP回显请求报文。如果在指定时间内收到回显响应报文，则认为存在地址冲突。DHCP服务器从地址池中选择新的IP地址，并重复上述操作。如果在指定时间内没有收到回显响应报文，则继续发送ICMP回显请求报文，直到发送的回显显示报文数目达到最大值。如果仍然没有收到回显响应报文，则将地址分配给客户端，从而确保客户端获得的IP地址唯一。

DHCP服务器通过ping操作来检测是否发生地址冲突，而DHCP客户端则通过发送免费ARP报文检测是否发生地址冲突。

表2-21 配置IP地址冲突检测功能

操作	命令	说明
进入系统视图	system-view	-
（可选）配置DHCP服务器发送回显请求报文的最大数目	dhcp server ping packets number	缺省情况下，DHCP服务器发送回显请求报文的最大数目为1 0表示DHCP服务器将IP地址分配给DHCP客户端之前，不会通过ping操作探测该地址是否冲突
（可选）配置DHCP服务器等待回显响应报文的超时时间	dhcp server ping timeout milliseconds	缺省情况下，DHCP服务器等待回显响应报文的超时时间为500毫秒 0表示DHCP服务器将IP地址分配给DHCP客户端之前，不会通过ping操作探测该地址是否冲突

 

2.8  配置Option 82的处理方式

如果配置DHCP服务器处理Option 82，则当DHCP服务器收到带有Option 82的报文后，会在响应报文中携带Option 82，并为客户端分配IP地址等信息。

如果配置DHCP服务器忽略Option 82，则当DHCP服务器收到带有Option 82的报文后，不会在响应报文中携带Option 82，只为客户端分配IP地址等信息。

为使Option 82功能正常使用，需要在DHCP服务器和DHCP中继上都进行相应配置。DHCP中继支持Option 82功能的相关配置请参见“3.3.6  配置DHCP中继支持Option 82功能”。

表2-22 配置Option 82的处理方式

操作	命令	说明
进入系统视图	system-view	-
配置DHCP服务器处理Option 82	dhcp server relay information enable	缺省情况下，DHCP服务器处理Option 82

 

2.9  配置DHCP服务器兼容性

当DHCP客户端的行为不符合RFC协议规定时，为了与之兼容，需要配置DHCP服务器兼容性功能。

2.9.1  配置DHCP服务器始终以广播方式回复请求报文

一般情况下，只有DHCP请求报文的广播标志位为1的时候，DHCP服务器才会以广播的方式发送应答报文。如果DHCP客户端发送的请求报文中广播标志位为0，且该客户端不支持接收单播的应答报文，则可以配置DHCP服务器忽略请求报文的广播标志位，始终以广播方式发送应答报文。

当已经存在IP地址的客户端发出请求报文（即报文中ciaddr字段不为0)时，无论是否启用DHCP服务器的广播回应报文功能，DHCP服务器都会以单播形式将回应报文发送给DHCP客户端（即目的地址为ciaddr）。

当请求报文通过DHCP中继转发到DHCP服务器（即报文中giaddr字段不为0）时，无论是否启用DHCP服务器的广播回应报文功能，DHCP服务器都会以单播形式将回应报文发送给DHCP中继（即目的地址为giaddr）。

表2-23 配置DHCP服务器始终以广播方式回复请求报文

操作	命令	说明
进入系统视图	system-view	-
启用DHCP服务器的广播回应报文功能	dhcp server always-broadcast	缺省情况下，DHCP服务器根据请求报文中的广播标志位来决定以广播还是单播的形式发送应答报文

 

2.9.2  配置DHCP服务器忽略BOOTP请求报文

BOOTP客户端申请到的地址租约是无限期的。在某些组网环境中，可能不希望出现无限期的地址租约。此时，可以通过配置DHCP服务器忽略BOOTP请求报文，避免分配无限期的地址租约。

表2-24 配置DHCP服务器忽略BOOTP请求报文

操作	命令	说明
进入系统视图	system-view	-
配置DHCP服务器忽略BOOTP请求报文	dhcp server bootp ignore	缺省情况下，DHCP服务器不会忽略BOOTP请求报文

 

2.9.3  配置DHCP服务器以RFC 1048规定的格式发送BOOTP应答报文

有些BOOTP客户端发送的请求报文中，vend字段的格式不符合RFC 1048的要求。对于这种报文，DHCP服务器的缺省处理方法是不解析vend字段内容，将报文中vend字段的内容拷贝到回复报文中的vend字段回应给BOOTP客户端。

启用DHCP服务器的回应RFC 1048格式报文功能后，对于这种格式不符合RFC 1048要求的报文，DHCP服务器会将需要回应的选项以符合RFC 1048要求的格式，封装到回复报文的vend字段，并回应给BOOTP客户端。

表2-25 配置DHCP服务器以RFC 1048规定的格式发送BOOTP应答报文

操作	命令	说明
进入系统视图	system-view	-
启用DHCP服务器回应RFC 1048格式报文功能	dhcp server bootp reply-rfc-1048	缺省情况下，DHCP服务器回应RFC 1048格式报文功能处于关闭状态 本配置只在客户端通过BOOTP报文申请静态绑定地址时有效

 

2.10  配置DHCP服务器发送DHCP报文的DSCP优先级

DSCP优先级用来体现报文自身的优先等级，决定报文传输的优先程度。通过本配置可以指定DHCP服务器发送的DHCP报文的DSCP优先级。

表2-26 配置DHCP服务器发送DHCP报文的DSCP优先级

操作	命令	说明
进入系统视图	system-view	-
配置DHCP服务器发送DHCP报文的DSCP优先级	dhcp dscp dscp-value	缺省情况下，DHCP服务器发送DHCP报文的DSCP优先级为56

 

2.11  DHCP服务器显示和维护

 

在完成上述配置后，在任意视图下执行display命令可以显示配置后DHCP服务器的运行情况，通过查看显示信息验证配置的效果。

在用户视图下执行reset命令清除DHCP服务器的相关信息。

表2-27 DHCP服务器显示和维护

操作	命令
显示DHCP的地址冲突信息	display dhcp server conflict [ ip ip-address ]
显示租约过期的地址绑定信息	display dhcp server expired [ ip ip-address | pool pool-name ]
显示DHCP地址池的空闲地址信息	display dhcp server free-ip [ pool pool-name ]
显示DHCP地址绑定信息	display dhcp server ip-in-use [ ip ip-address | pool pool-name ]
显示DHCP服务器的统计信息	display dhcp server statistics [ pool pool-name ]
显示DHCP地址池的信息	display dhcp server pool [ pool-name ]
清除DHCP的地址冲突信息	reset dhcp server conflict [ ip ip-address ]
清除租约过期的地址绑定信息	reset dhcp server expired [ ip ip-address | pool pool-name ]
清除DHCP的正式绑定和临时绑定信息	reset dhcp server ip-in-use [ ip ip-address | pool pool-name ]
清除DHCP服务器的统计信息	reset dhcp server statistics

 

2.12  DHCP服务器典型配置举例

常见的DHCP组网方式可以分为两类：

·            DHCP服务器和客户端位于同一个网段，直接进行DHCP报文的交互；

·            DHCP服务器和客户端位于不同的网段，必须通过DHCP中继实现IP地址的分配。

无论在哪种情况下，DHCP服务器的配置都是相同的。

2.12.1  静态绑定地址典型配置举例

1. 组网需求

Switch B和Switch C分别作为DHCP客户端和BOOTP客户端，从DHCP服务器Switch A获取静态绑定的IP地址、域名服务器、网关地址等信息。

其中：

·            Switch B上VLAN接口2的客户端ID为：

0030-3030-662e-6532-3030-2e30-3030-322d-4574-6865-726e-6574；

·            Switch C上VLAN接口2的MAC地址为：000f-e200-01c0。

2. 组网图

图2-1 静态绑定地址组网图

 

3. 配置步骤

(1)       配置接口的IP地址

<SwitchA> system-view

[SwitchA] interface vlan-interface 2

[SwitchA-Vlan-interface2] ip address 10.1.1.1 25

[SwitchA-Vlan-interface2] quit

(2)       配置DHCP服务

# 启用DHCP服务。

[SwitchA] dhcp enable

# 配置VLAN接口2工作在DHCP服务器模式。

[SwitchA] interface vlan-interface 2

[SwitchA-Vlan-interface2] dhcp select server

[SwitchA-Vlan-interface2] quit

# 创建DHCP地址池0。

[SwitchA] dhcp server ip-pool 0

# 配置采用静态绑定方式为Switch B分配IP地址。

[SwitchA-dhcp-pool-0] static-bind ip-address 10.1.1.5 25 client-identifier 0030-3030-662e-6532-3030-2e30-3030-322d-4574-6865-726e-6574

# 配置采用静态绑定方式为Switch C分配IP地址。

[SwitchA-dhcp-pool-0] static-bind ip-address 10.1.1.6 25 hardware-address 000f-e200-01c0

# 配置域名服务器、网关地址。

[SwitchA-dhcp-pool-0] dns-list 10.1.1.2

[SwitchA-dhcp-pool-0] gateway-list 10.1.1.126

[SwitchA-dhcp-pool-0] quit

[SwitchA]

4. 验证配置

配置完成后，Switch B和Switch C可以从DHCP服务器Switch A分别申请到IP地址10.1.1.5和10.1.1.6，并获取相关网络配置参数。通过display dhcp server ip-in-use命令可以查看DHCP服务器为客户端分配的IP地址。

[SwitchA] display dhcp server ip-in-use

                 Hardware address

10.1.1.5         0030-3030-662e-6532-  Jan 21 14:27:27 2014  Static(C)

                 3030-2e30-3030-322d-

                 4574-6865-726e-6574

10.1.1.6         000f-e200-01c0        Jan 21 14:27:27 2014  Static(C)

2.12.2  动态分配地址典型配置举例

1. 组网需求

·            作为DHCP服务器的Switch A为网段10.1.1.0/24中的客户端动态分配IP地址，该地址池网段分为两个子网网段：10.1.1.0/25和10.1.1.128/25；

·            Switch A的两个VLAN接口，VLAN接口10和VLAN接口20的地址分别为10.1.1.1/25和10.1.1.129/25；

·            10.1.1.0/25网段内的地址租用期限为10天12小时，域名后缀为aabbcc.com，DNS服务器地址为10.1.1.2/25，WINS服务器地址为10.1.1.4/25，网关的地址为10.1.1.126/25；

·            10.1.1.128/25网段内的地址租用期限为5天，域名后缀为aabbcc.com，DNS服务器地址为10.1.1.2/25，无WINS服务器地址，网关的地址为10.1.1.254/25。

2. 组网图

图2-2 DHCP组网图

 

3. 配置步骤

(1)       配置端口属于VLAN及对应VLAN接口的IP地址（略）

(2)       配置DHCP服务

# 启用DHCP服务。

<SwitchA> system-view

[SwitchA] dhcp enable

# 配置VLAN接口10和VLAN接口20工作在DHCP服务器模式。

[SwitchA] interface vlan-interface 10

[SwitchA-Vlan-interface10] dhcp select server

[SwitchA-Vlan-interface10] quit

[SwitchA] interface vlan-interface 20

[SwitchA-Vlan-interface20] dhcp select server

[SwitchA-Vlan-interface20] quit

# 配置不参与自动分配的IP地址（DNS服务器、WINS服务器和网关地址）。

[SwitchA] dhcp server forbidden-ip 10.1.1.2

[SwitchA] dhcp server forbidden-ip 10.1.1.4

[SwitchA] dhcp server forbidden-ip 10.1.1.126

[SwitchA] dhcp server forbidden-ip 10.1.1.254

# 配置DHCP地址池1，用来为10.1.1.0/25网段内的客户端分配IP地址和网络配置参数。

[SwitchA] dhcp server ip-pool 1

[SwitchA-dhcp-pool-1] network 10.1.1.0 mask 255.255.255.128

[SwitchA-dhcp-pool-1] expired day 10 hour 12

[SwitchA-dhcp-pool-1] domain-name aabbcc.com

[SwitchA-dhcp-pool-1] dns-list 10.1.1.2

[SwitchA-dhcp-pool-1] gateway-list 10.1.1.126

[SwitchA-dhcp-pool-1] nbns-list 10.1.1.4

[SwitchA-dhcp-pool-1] quit

# 配置DHCP地址池2，用来为10.1.1.128/25网段内的客户端分配IP地址和网络配置参数。

[SwitchA] dhcp server ip-pool 2

[SwitchA-dhcp-pool-2] network 10.1.1.128 mask 255.255.255.128

[SwitchA-dhcp-pool-2] expired day 5

[SwitchA-dhcp-pool-2] domain-name aabbcc.com

[SwitchA-dhcp-pool-2] dns-list 10.1.1.2

[SwitchA-dhcp-pool-2] gateway-list 10.1.1.254

4. 验证配置

配置完成后，10.1.1.0/25和10.1.1.128/25网段的客户端可以从DHCP服务器Switch A申请到相应网段的IP地址和网络配置参数。通过display dhcp server ip-in-use命令可以查看DHCP服务器为客户端分配的IP地址。

2.12.3  用户类典型配置举例

1. 组网需求

·            Switch A作为DHCP中继转发DHCP报文。在Switch A上配置DHCP中继支持Option 82功能，使得Switch A能够为DHCP客户端发送的请求报文添加Option 82。

·            Switch B作为DHCP服务器为客户端分配IP地址和其他网络配置参数。如果Switch B接收到的请求报文中带有Option 82，则为该客户端分配地址范围10.10.1.2到10.10.1.10内的IP地址。

·            Switch B为10.10.1.0/24网段内的客户端分配的DNS服务器地址为10.10.1.20/24，网关的地址为10.10.1.254/24。

2. 组网图

图2-3 DHCP用户类组网图

 

3. 配置步骤

(1)       配置DHCP server和DHCP relay agent各个接口的IP地址（略）

(2)       配置DHCP服务

# 启用DHCP服务，且配置DHCP服务器处理Option 82信息。

<SwitchB> system-view

[SwitchB] dhcp enable

[SwitchB] dhcp server relay information enable

# 配置VLAN接口10工作在DHCP服务器模式。

[SwitchB] interface vlan-interface 10

[SwitchB-Vlan-interface10] dhcp select server

[SwitchB-Vlan-interface10] quit

# 创建DHCP用户类tt，匹配请求报文中带有Option 82的客户端。

[SwitchB] dhcp class tt

[SwitchB-dhcp-class-tt] if-match option 82

[SwitchB-dhcp-class-tt] quit

# 创建DHCP地址池aa，配置地址范围和用户类tt的地址范围，配置网关和DNS服务器的地址。

[SwitchB] dhcp server ip-pool aa

[SwitchB-dhcp-pool-aa] network 10.10.1.0 mask 255.255.255.0

[SwitchB-dhcp-pool-aa] address range 10.10.1.2 10.10.1.100

[SwitchB-dhcp-pool-aa] class tt range 10.10.1.2 10.10.1.10

[SwitchB-dhcp-pool-aa] gateway-list 10.10.1.254

[SwitchB-dhcp-pool-aa] dns-list 10.10.1.20

4. 验证配置

配置完成后，10.10.1.0/24网段的客户端通过用户类分配方式可以从DHCP服务器Switch B申请到相应地址范围的IP地址和网络配置参数。通过display dhcp server ip-in-use命令可以查看DHCP服务器为它分配的IP地址。

2.12.4  主从网段典型配置举例

1. 组网需求

·            作为DHCP服务器的Switch A为局域网中的客户端动态分配IP地址。

·            DHCP服务器地址池中有两个网段的地址：10.1.1.0/24和10.1.2.0/24。当10.1.1.0/24网段没有空闲地址后，DHCP服务器继续从10.1.2.0/24网段中选择IP地址分配给客户端。

·            Switch A为网段10.1.1.0/24内的客户端分配的网关地址为10.1.1.254/24；为网段10.1.2.0/24内的客户端分配的网关地址为和10.1.2.254/24。

2. 组网图

图2-4 主从网段组网图

 

3. 配置步骤

# 启用DHCP服务。

<SwitchA> system-view

[SwitchA] dhcp enable

# 配置VLAN接口10的主从IP地址，并配置该接口工作在DHCP服务器模式。

[SwitchA] interface vlan-interface 10

[SwitchA-Vlan-interface10] ip address 10.1.1.1 24

[SwitchA-Vlan-interface10] ip address 10.1.2.1 24 sub

[SwitchA-Vlan-interface10] dhcp select server

[SwitchA-Vlan-interface10] quit

# 创建DHCP地址池aa，配置主网段地址范围和从网段地址范围，配置网关地址。

[SwitchA] dhcp server ip-pool aa

[SwitchA-dhcp-pool-aa] network 10.1.1.0 mask 255.255.255.0

[SwitchA-dhcp-pool-aa] gateway-list 10.1.1.254

[SwitchA-dhcp-pool-aa] network 10.1.2.0 mask 255.255.255.0 secondary

[SwitchA-dhcp-pool-aa-secondary] gateway-list 10.1.2.254

[SwitchA-dhcp-pool-aa-secondary] quit

[SwitchA-dhcp-pool-aa]

4. 验证配置

配置完成后，当DHCP服务器地址池主网段中没有空闲地址分配给客户端时，服务器会从该地址池中的从网段获取地址分配给客户端IP地址和网络配置参数。通过display dhcp server ip-in-use命令可以查看DHCP服务器已分配的主从网段IP地址。

2.12.5  自定义DHCP选项典型配置举例

1. 组网需求

DHCP客户端Switch B从DHCP服务器Switch A获取IP地址和PXE引导服务器地址信息：

·            IP地址所在网段为10.1.1.0/24；

·            PXE引导服务器地址为1.2.3.4和2.2.2.2。

DHCP服务器需要通过自定义DHCP选项的方式配置Option 43的内容，从而实现为客户端分配PXE引导服务器地址。Option 43和PXE服务器地址列表的格式分别如图1-5和图1-7。DHCP服务器上配置的Option 43选项内容为80 0B 00 00 02 01 02 03 04 02 02 02 02，其中80为子选项类型（Sub-option type），0B为子选项长度（Sub-option length），00 00为PXE服务器类型（PXE server type），02为服务器数目（Server number），01 02 03 04 02 02 02 02为服务器的IP地址1.2.3.4和2.2.2.2。

2. 组网图

图2-5 自定义DHCP选项典型配置举例

 

3. 配置步骤

(1)       配置各接口的IP地址（略）

(2)       配置DHCP服务

# 启用DHCP服务。

<SwitchA> system-view

[SwitchA] dhcp enable

# 配置VLAN接口2工作在DHCP服务器模式。

[SwitchA] interface vlan-interface 2

[SwitchA-Vlan-interface2] dhcp select server

[SwitchA-Vlan-interface2] quit

# 配置DHCP地址池0。

[SwitchA] dhcp server ip-pool 0

[SwitchA-dhcp-pool-0] network 10.1.1.0 mask 255.255.255.0

[SwitchA-dhcp-pool-0] option 43 hex 800B0000020102030402020202

4. 验证配置

配置完成后，Switch B可以从DHCP服务器Switch A获取到10.1.1.0/24网段的IP地址和PXE引导服务器地址。通过display dhcp server ip-in-use命令可以查看DHCP服务器为客户端分配的IP地址。

2.13  DHCP服务器常见配置错误举例

1. 故障现象

客户端从DHCP服务器动态获得的IP地址与其他主机IP地址冲突。

2. 故障分析

可能是网络上有主机私自配置了IP地址，导致冲突。

3. 故障处理

(1)       禁用客户端的网卡或断开其网线，从另外一台主机执行ping操作，检查网络中是否已经存在该IP地址的主机。

(2)       如果能够收到ping操作的响应消息，则说明该IP地址已由用户静态配置。在DHCP服务器上执行dhcp server forbidden-ip命令，禁止该IP地址参与动态地址分配。

(3)       重新启用客户端的网卡或连接好其网线，在客户端释放并重新获取IP地址。以Windows XP为例，在Windows环境下运行cmd进入DOS环境，使用ipconfig /release命令释放IP地址，之后使用ipconfig /renew重新获取IP地址。

3 DHCP中继

3.1  DHCP中继简介

3.1.1  DHCP中继的应用环境

由于在IP地址动态获取过程中采用广播方式发送请求报文，因此DHCP只适用于DHCP客户端和服务器处于同一个子网内的情况。为进行动态主机配置，需要在所有网段上都设置一个DHCP服务器，这显然是很不经济的。

DHCP中继功能的引入解决了这一难题：客户端可以通过DHCP中继与其他网段的DHCP服务器通信，最终获取到IP地址。这样，多个网络上的DHCP客户端可以使用同一个DHCP服务器，既节省了成本，又便于进行集中管理。

3.1.2  DHCP中继的基本原理

图3-1是DHCP中继的典型应用示意图。

图3-1 DHCP中继的典型组网应用

 

通过DHCP中继完成动态配置的过程中，DHCP客户端与DHCP服务器的处理方式与不通过DHCP中继时的处理方式基本相同。下面只说明DHCP中继的转发过程，报文的具体交互过程请参见“1.2.2  IP地址获取过程”。

图3-2 DHCP中继的工作过程

 

如图3-2所示，DHCP中继的工作过程为：

(1)       具有DHCP中继功能的网络设备收到DHCP客户端以广播方式发送的DHCP-DISCOVER或DHCP-REQUEST报文后，将报文中的giaddr字段填充为DHCP中继的IP地址，并根据配置将报文单播转发给指定的DHCP服务器。

(2)       DHCP服务器根据giaddr字段为客户端分配IP地址等参数，并通过DHCP中继将配置信息转发给客户端，完成对客户端的动态配置。

3.1.3  DHCP中继支持Option 82功能

Option 82记录了DHCP客户端的位置信息。管理员可以利用该选项定位DHCP客户端，实现根据Option 82为客户端分配特定范围的地址、对客户端进行安全和计费等控制。Option 82的详细介绍请参见“1.4.3  2. 中继代理信息选项（Option 82）”。

如果DHCP中继支持Option 82功能，则当DHCP中继接收到DHCP请求报文后，将根据报文中是否包含Option 82以及用户配置的处理策略及填充模式等对报文进行相应的处理，并将处理后的报文转发给DHCP服务器。具体的处理方式见表3-1。

如果DHCP中继收到的应答报文中带有Option 82，则会将Option 82删除后再转发给DHCP客户端。

表3-1 DHCP中继支持Option 82的处理方式

收到DHCP请求报文	处理策略	DHCP中继对报文的处理
收到的报文中带有Option 82	Drop	丢弃报文
	Keep	保持报文中的Option 82不变并进行转发
	Replace	根据DHCP中继上配置的填充模式、内容、格式等填充Option 82，替换报文中原有的Option 82并进行转发
收到的报文中不带有Option 82	-	根据DHCP中继上配置的填充模式、内容、格式等填充Option 82，添加到报文中并进行转发

 

3.2  DHCP中继配置任务简介

表3-2 DHCP中继配置任务简介

配置任务	说明	详细配置
启用DHCP服务	必选	3.3.1
配置接口工作在DHCP中继模式	必选	3.3.2
指定DHCP服务器的地址	必选	3.3.3
配置DHCP中继的安全功能	可选	3.3.4
配置通过DHCP中继释放客户端的IP地址	可选	3.3.5
配置DHCP中继支持Option 82功能	可选	3.3.6
配置DHCP中继发送DHCP报文的DSCP优先级	可选	3.3.7

 

3.3  配置DHCP中继

3.3.1  启用DHCP服务

只有启用DHCP服务后，其它相关的DHCP中继配置才能生效。

表3-3 启用DHCP服务

操作	命令	说明
进入系统视图	system-view	-
启用DHCP服务	dhcp enable	缺省情况下，DHCP服务处于禁止状态

 

3.3.2  配置接口工作在DHCP中继模式

配置接口工作在中继模式后，当接口收到DHCP客户端发来的DHCP报文时，会将报文转发给DHCP服务器，由服务器分配地址。

DHCP客户端通过DHCP中继获取IP地址时，DHCP服务器上需要配置与DHCP中继连接DHCP客户端的接口IP地址所在网段（网络号和掩码）匹配的地址池，否则会导致DHCP客户端无法获得正确的IP地址。

表3-4 配置接口工作在DHCP中继模式

操作	命令	说明
进入系统视图	system-view	-
进入接口视图	interface interface-type interface-number	-
配置接口工作在DHCP中继模式	dhcp select relay	缺省情况下，启用DHCP服务后，接口工作在DHCP服务器模式

 

3.3.3  指定DHCP服务器的地址

为了提高可靠性，可以在一个网络中设置多个DHCP服务器。DHCP中继上配置多个DHCP服务器后，DHCP中继会将客户端发来的DHCP报文转发给所有的服务器。

指定的DHCP服务器的IP地址不能与DHCP中继的接口IP地址在同一网段。否则，可能导致客户端无法获得IP地址。

表3-5 指定DHCP服务器的地址

操作	命令	说明
进入系统视图	system-view	-
进入接口视图	interface interface-type interface-number	-
指定DHCP服务器的地址	dhcp relay server-address ip-address	缺省情况下，没有在DHCP中继上指定DHCP服务器的地址 通过多次执行dhcp relay server-address命令可以指定多个DHCP服务器，一个接口下最多可以指定8个DHCP服务器

 

3.3.4  配置DHCP中继的安全功能

1. 配置DHCP中继用户地址表项记录功能

为了防止非法主机静态配置一个IP地址并访问外部网络，设备支持DHCP中继用户地址表项记录功能。

启用该功能后，当客户端通过DHCP中继从DHCP服务器获取到IP地址时，DHCP中继可以自动记录客户端IP地址与硬件地址的绑定关系，生成DHCP中继的用户地址表项。

本功能与其他IP地址安全功能（如ARP地址检查、授权ARP和IP Source Guard）配合，可以实现只允许匹配用户地址表项中绑定关系的报文通过DHCP中继。从而，保证非法主机不能通过DHCP中继与外部网络通信。

表3-6 配置DHCP中继用户地址表项记录功能

操作	命令	说明
进入系统视图	system-view	-
启用DHCP中继的用户地址表项记录功能	dhcp relay client-information record	缺省情况下，DHCP中继用户地址表项记录功能处于关闭状态

 

2. 配置DHCP中继动态用户地址表项定时刷新功能

DHCP客户端释放动态获取的IP地址时，会向DHCP服务器单播发送DHCP-RELEASE报文，DHCP中继不会处理该报文的内容。如果此时DHCP中继上记录了该IP地址与MAC地址的绑定关系，则会造成DHCP中继的用户地址表项无法实时刷新。为了解决这个问题，DHCP中继支持动态用户地址表项的定时刷新功能。

DHCP中继动态用户地址表项定时刷新功能开启时，DHCP中继每隔指定时间采用客户端获取到的IP地址和DHCP中继接口的MAC地址向DHCP服务器发送DHCP-REQUEST报文：

·            如果DHCP中继接收到DHCP服务器响应的DHCP-ACK报文或在指定时间内没有接收到DHCP服务器的响应报文，则表明这个IP地址已经可以进行分配，DHCP中继会删除动态用户地址表中对应的表项。为了避免地址浪费，DHCP中继收到DHCP-ACK报文后，会发送DHCP-RELEASE报文释放申请到的IP地址。

·            如果DHCP中继接收到DHCP服务器响应的DHCP-NAK报文，则表示该IP地址的租约仍然存在，DHCP中继不会删除该IP地址对应的表项。

表3-7 配置DHCP中继动态用户地址表项定时刷新功能

操作	命令	说明
进入系统视图	system-view	-
开启DHCP中继动态用户地址表项定时刷新功能	dhcp relay client-information refresh enable	缺省情况下，DHCP中继动态用户地址表项定时刷新功能处于开启状态
配置DHCP中继动态用户地址表项的定时刷新周期	dhcp relay client-information refresh [ auto | interval interval ]	缺省情况下，定时刷新周期为auto，即根据表项的数目自动计算刷新时间间隔

 

3. 配置防止DHCP饿死攻击

DHCP饿死攻击是指攻击者伪造chaddr字段各不相同的DHCP请求报文，向DHCP服务器申请大量的IP地址，导致DHCP服务器地址池中的地址耗尽，无法为合法的DHCP客户端分配IP地址，或导致DHCP服务器消耗过多的系统资源，无法处理正常业务。

如果封装DHCP请求报文的数据帧的源MAC地址各不相同，则限制三层接口上可以学习到的ARP表项数，或限制二层端口上可以学习到的MAC地址数，并配置学习到的MAC地址数达到最大值时，丢弃源MAC地址不在MAC地址表里的报文，能够避免攻击者申请过多的IP地址，在一定程度上缓解DHCP饿死攻击。

如果封装DHCP请求报文的数据帧的源MAC地址都相同，则通过上述方法无法防止DHCP饿死攻击。在这种情况下，需要启用DHCP中继的MAC地址检查功能。启用该功能后，DHCP中继检查接收到的DHCP请求报文中的chaddr字段和数据帧的源MAC地址字段是否一致。如果一致，则认为该报文合法，将其转发给DHCP服务器；如果不一致，则丢弃该报文。

因为DHCP中继转发DHCP报文时会修改报文的源MAC地址，所以只能在靠近DHCP客户端的第一跳DHCP中继设备上启用MAC地址检查功能。在非第一跳DHCP中继设备上启用MAC地址检查功能，会使DHCP中继设备错误地丢弃报文，导致客户端地址申请不成功。

设备支持配置DHCP中继的MAC地址检查表项老化时间，当老化时间到达以后，该表项信息会被老化掉，DHCP中继收到该MAC地址对应的DHCP请求报文后重新进行合法性检查。

表3-8 启用DHCP中继的MAC地址检查功能

操作	命令	说明
进入系统视图	system-view	-
配置DHCP中继的MAC地址检查表项的老化时间	dhcp relay check mac-address aging-time time	缺省情况下，DHCP中继的MAC地址检查表项的老化时间为300秒 如果未通过dhcp relay check mac-address命令启用DHCP中继的MAC地址检查功能，则本命令的配置不会生效
进入接口视图	interface interface-type interface-number	-
启用DHCP中继的MAC地址检查功能	dhcp relay check mac-address	缺省情况下，DHCP中继的MAC地址检查功能处于关闭状态

 

3.3.5  配置通过DHCP中继释放客户端的IP地址

在某些情况下，可能需要通过DHCP中继手工释放客户端申请到的IP地址。如果DHCP中继上存在客户端IP地址对应的动态用户地址表项，则配置通过DHCP中继释放该客户端IP地址后，DHCP中继会主动向DHCP服务器发送DHCP-RELEASE报文。DHCP服务器收到该报文后，将会释放指定IP地址的租约。DHCP中继也会删除该动态用户地址表项。

释放的客户端IP地址必须是动态用户地址表项中存在的IP地址，否则DHCP中继无法释放该IP地址。

表3-9 配置通过DHCP中继释放客户端的IP地址

操作	命令	说明
进入系统视图	system-view	-
向DHCP服务器请求释放客户端申请到的IP地址	dhcp relay release ip client-ip	-

 

3.3.6  配置DHCP中继支持Option 82功能

为使Option 82功能正常使用，需要在DHCP服务器和DHCP中继上都进行相应配置。DHCP服务器的相关配置请参见“2.8  配置Option 82的处理方式”。

表3-10 配置DHCP中继支持Option 82功能

操作	命令	说明
进入系统视图	system-view	-
进入接口视图	interface interface-type interface-number	-
启用DHCP中继支持Option 82功能	dhcp relay information enable	缺省情况下，禁止DHCP中继支持Option 82功能
（可选）配置DHCP中继对包含Option 82的请求报文的处理策略	dhcp relay information strategy { drop | keep | replace }	缺省情况下，处理策略为replace
（可选）配置Circuit ID子选项的填充内容和填充格式	dhcp relay information circuit-id { string circuit-id | { normal | verbose [ node-identifier { mac | sysname | user-defined node-identifier } ] } [ format { ascii | hex } ] }	缺省情况下，Circuit ID子选项的填充模式为Normal，填充格式为hex 如果以设备的系统名称（sysname）作为节点标识填充DHCP报文的Option 82，则系统名称中不能包含空格；否则，DHCP中继添加或替换Option 82失败
（可选）配置Remote ID子选项的填充内容和填充格式	dhcp relay information remote-id { normal [ format { ascii | hex } ] | string remote-id | sysname }	缺省情况下，Remote ID子选项的填充模式为Normal；填充格式为hex

 

3.3.7  配置DHCP中继发送DHCP报文的DSCP优先级

DSCP优先级用来体现报文自身的优先等级，决定报文传输的优先程度。通过本配置可以指定DHCP中继发送的DHCP报文的DSCP优先级。

表3-11 配置DHCP中继发送DHCP报文的DSCP优先级

操作	命令	说明
进入系统视图	system-view	-
配置DHCP中继发送DHCP报文的DSCP优先级	dhcp dscp dscp-value	缺省情况下，DHCP中继发送的DHCP报文的DSCP优先级为56

 

3.4  DHCP中继显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后DHCP中继的运行情况，通过查看显示信息验证配置的效果。

在用户视图下执行reset命令清除DHCP中继的统计信息。

表3-12 DHCP中继显示和维护

操作	命令
显示接口上指定的DHCP服务器地址信息	display dhcp relay server-address [ interface interface-type interface-number ]
显示DHCP中继上的Option 82配置信息	display dhcp relay information [ interface interface-type interface-number ]
显示DHCP中继的用户地址表项信息	display dhcp relay client-information [ interface interface-type interface-number | ip ip-address ]
显示DHCP中继的相关报文统计信息	display dhcp relay statistics [ interface interface-type interface-number ]
显示DHCP中继的MAC地址检查表项	display dhcp relay check mac-address
清除DHCP中继的用户地址表项信息	reset dhcp relay client-information [ interface interface-type interface-number | ip ip-address ]
清除DHCP中继的相关报文统计信息	reset dhcp relay statistics [ interface interface-type interface-number ]

 

3.5  DHCP中继典型配置举例

3.5.1  DHCP中继配置举例

1. 组网需求

·            DHCP客户端所在网段为10.10.1.0/24，DHCP服务器的IP地址为10.1.1.1/24；

·            由于DHCP客户端和DHCP服务器不在同一网段，因此，需要在客户端所在网段设置DHCP中继设备，以便客户端可以从DHCP服务器申请到10.10.1.0/24网段的IP地址及相关配置信息；

·            Switch A作为DHCP中继通过端口（属于VLAN10）连接到DHCP客户端所在的网络，交换机VLAN接口10的IP地址为10.10.1.1/24，VLAN接口20的IP地址为10.1.1.2/24。

2. 组网图

图3-3 DHCP中继组网示意图

 

3. 配置步骤

# 配置各接口的IP地址（略）。

# 启用DHCP服务。

<SwitchA> system-view

[SwitchA] dhcp enable

# 配置VLAN接口10工作在DHCP中继模式。

[SwitchA] interface vlan-interface 10

[SwitchA-Vlan-interface10] dhcp select relay

# 配置DHCP服务器的地址。

[SwitchA-Vlan-interface10] dhcp relay server-address 10.1.1.1

配置完成后，DHCP客户端可以通过DHCP中继从DHCP服务器获取IP地址及相关配置信息。通过display dhcp relay statistics命令可以显示DHCP中继转发的DHCP报文统计信息；如果在DHCP中继上通过dhcp relay client-information record命令启用了DHCP中继的用户地址表项记录功能，则可以通过display dhcp relay client-information命令可以显示通过DHCP中继获取IP地址的客户端信息。

 

3.5.2  DHCP中继支持Option 82配置举例

1. 组网需求

·            在DHCP中继Switch A上启用Option 82功能；

·            对包含Option 82的请求报文的处理策略为replace；

·            Circuit ID填充内容为company001，Remote ID填充内容为device001；

·            Switch A将添加Option 82的DHCP请求报文转发给DHCP服务器Switch B，使得DHCP客户端可以获取到IP地址。

2. 组网图

如图3-3所示。

3. 配置步骤

# 配置各接口的IP地址（略）。

# 启用DHCP服务。

<SwitchA> system-view

[SwitchA] dhcp enable

# 配置VLAN接口10工作在DHCP中继模式。

[SwitchA] interface vlan-interface 10

[SwitchA-Vlan-interface10] dhcp select relay

# 指定DHCP服务器的地址。

[SwitchA-Vlan-interface10] dhcp relay server-address 10.1.1.1

# 配置Option 82的处理策略和填充内容。

[SwitchA-Vlan-interface10] dhcp relay information enable

[SwitchA-Vlan-interface10] dhcp relay information strategy replace

[SwitchA-Vlan-interface10] dhcp relay information circuit-id string company001

[SwitchA-Vlan-interface10] dhcp relay information remote-id string device001

 

3.6  DHCP中继常见配置错误举例

1. 故障现象

客户端不能通过DHCP中继获得配置信息。

2. 故障分析

DHCP中继或DHCP服务器的配置可能有问题。可以打开调试开关显示调试信息，并通过执行display命令显示接口状态信息的方法来分析定位。

3. 故障处理

·            检查DHCP服务器和DHCP中继是否启用了DHCP服务。

·            检查DHCP服务器是否配置有DHCP客户端所在网段的地址池。

·            检查具有DHCP中继功能的网络设备和DHCP服务器是否配置有相互可达的路由。

·            检查具有DHCP中继功能的网络设备是否在连接DHCP客户端所在网段的接口上指定了正确的DHCP服务器地址。

4 DHCP客户端

4.1  DHCP客户端简介

为了方便用户配置和集中管理，可以指定设备的接口作为DHCP客户端，使用DHCP协议从DHCP服务器动态获得IP地址等参数。

DHCP客户端中对于接口的相关配置，目前只能在VLAN接口上进行。

4.2  配置接口通过DHCP协议获取IP地址

配置接口通过DHCP协议获取IP地址，需要注意：

·            接口作为DHCP客户端多次申请IP地址失败后，将停止申请，并为接口配置缺省IP地址。

·            接口可以采用多种方式获得IP地址，新的配置方式会覆盖原有的配置方式。

·            当接口被配置为通过DHCP动态获取IP地址后，不能再给该接口配置从IP地址。

·            如果DHCP服务器为接口分配的IP地址与设备上其他接口的IP地址在同一网段，则该接口不会使用该IP地址，且会再向DHCP服务器重新申请IP地址。

表4-1 配置接口通过DHCP协议获取IP地址

操作	命令	说明
进入系统视图	system-view	-
进入接口视图	interface interface-type interface-number	-
配置接口通过DHCP协议获取IP地址	ip address dhcp-alloc	缺省情况下，接口不通过DHCP协议获取IP地址

 

4.3  配置接口使用的DHCP客户端ID

DHCP客户端ID用来填充DHCP报文Option 61，作为识别DHCP客户端的唯一标识。DHCP服务器可以根据客户端ID为特定的客户端分配特定的IP地址。DHCP客户端ID包括类型和取值两部分，用户可以通过以下三种方法指定DHCP客户端ID：当客户端ID的取值为ASCII字符串时，对应的类型值为00；当客户端ID的取值为十六进制字符串时，对应的类型值为该十六进制字符串的前两个字符；当客户端ID使用指定接口的MAC地址时，对应的类型值为01。以上三种方式都需要由用户保证不同客户端的客户端ID不会相同。

表4-2 配置接口使用的DHCP客户端ID

操作	命令	说明
进入系统视图	system-view	-
进入接口视图	interface interface-type interface-number	-
配置接口使用的DHCP客户端ID	dhcp client identifier { ascii string | hex string | mac interface-type interface-number }	缺省情况下，根据接口MAC地址和接口名生成一个ASCII字符串作为DHCP客户端ID

 

4.4  使能地址冲突检查功能

通常情况下，DHCP客户端上开启地址冲突检查功能，通过发送和接收ARP报文，对DHCP服务器分配的IP地址进行地址冲突检测。

如果攻击者仿冒地址拥有者进行ARP应答，就可以欺骗DHCP客户端，导致DHCP客户端无法正常使用分配到的IP地址。在网络中存在上述攻击者时，建议在客户端上关闭地址冲突检查功能。

表4-3 使能地址冲突检查功能

操作	命令	说明
进入系统视图	system-view	-
使能地址冲突检查功能	dhcp client dad enable	缺省情况下，地址冲突检查功能处于开启状态

 

4.5  配置DHCP客户端发送DHCP报文的DSCP优先级

DSCP优先级用来体现报文自身的优先等级，决定报文传输的优先程度。通过本配置可以指定DHCP客户端发送的DHCP报文的DSCP优先级。

表4-4 配置DHCP客户端发送DHCP报文的DSCP优先级

操作	命令	说明
进入系统视图	system-view	-
配置DHCP客户端发送DHCP报文的DSCP优先级	dhcp client dscp dscp-value	缺省情况下，DHCP客户端发送的DHCP报文的DSCP优先级为56

 

4.6  DHCP客户端显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后DHCP客户端的信息，通过查看显示信息验证配置的效果。

表4-5 DHCP客户端显示和维护

操作	命令
显示DHCP客户端的相关信息	display dhcp client [ verbose ] [ interface interface-type interface-number ]

 

4.7  DHCP客户端典型配置举例

1. 组网需求

Switch B的端口（属于VLAN2）接入局域网，VLAN接口2通过DHCP协议从DHCP服务器获取IP地址、DNS服务器地址和静态路由信息：

·            DHCP客户端的IP地址所在网段为10.1.1.0/24；

·            DNS服务器地址为20.1.1.1；

·            静态路由信息为到达20.1.1.0/24网段的下一跳地址是10.1.1.2。

DHCP服务器需要通过自定义选项的方式配置Option 121的内容，以便为客户端分配静态路由信息。Option 121的格式如图4-1所示。其中，目的描述符由子网掩码长度和目的网络地址两部分组成。在本例中，目的描述符字段取值为18 14 01 01（十六进制数值，表示子网掩码长度为24，目的网络地址为20.1.1.0）；下一跳地址字段取值为0A 01 01 02（十六进制数值，表示下一跳地址为10.1.1.2）。

图4-1 Option 121选项格式

 

2. 组网图

图4-2 DHCP客户端配置举例组网图

 

3. 配置步骤

(1)       配置DHCP服务器Switch A

# 配置接口的IP地址。

<SwitchA> system-view

[SwitchA] interface vlan-interface 2

[SwitchA-Vlan-interface2] ip address 10.1.1.1 24

[SwitchA-Vlan-interface2] quit

# 启用DHCP服务。

[SwitchA] dhcp enable

# 配置不参与自动分配的IP地址。

[SwitchA] dhcp server forbidden-ip 10.1.1.2

# 配置DHCP地址池0，采用动态绑定方式分配IP地址。可分配的网段为10.1.1.0/24，租约有效期限为10天，DNS服务器地址为20.1.1.1，到达20.1.1.0/24网段的下一跳地址是10.1.1.2。

[SwitchA] dhcp server ip-pool 0

[SwitchA-dhcp-pool-0] network 10.1.1.0 mask 255.255.255.0

[SwitchA-dhcp-pool-0] expired day 10

[SwitchA-dhcp-pool-0] dns-list 20.1.1.1

[SwitchA-dhcp-pool-0] option 121 hex 181401010A010102

(2)       配置DHCP客户端Switch B

# 配置VLAN接口2通过DHCP动态获取地址。

<SwitchB> system-view

[SwitchB] interface vlan-interface 2

[SwitchB-Vlan-interface2] ip address dhcp-alloc

[SwitchB-Vlan-interface2] quit

4. 验证配置

# 通过display dhcp client命令可以查看Switch B申请到的IP地址和网络配置参数。

[SwitchB] display dhcp client verbose

Vlan-interface2 DHCP client information:

 Current state: BOUND

 Allocated IP: 10.1.1.3 255.255.255.0

 Allocated lease: 864000 seconds, T1: 331858 seconds, T2: 756000 seconds

 Lease from May 21 19:00:29 2012   to   May 31 19:00:29 2012

 DHCP server: 10.1.1.1

 Transaction ID: 0xcde72232

 Classless static routes:

   Destination: 20.1.1.0, Mask: 255.255.255.0, NextHop: 10.1.1.2

 DNS servers: 20.1.1.1

 Client ID type: acsii(type value=00)

 Client ID value: 000c.29d3.8659-Vlan2

 Client ID (with type) hex: 0030-3030-632e-3239-

                            6433-2e38-3635-392d-

                            4574-6830-2f30-2f32

 T1 will timeout in 3 days 19 hours 48 minutes 43 seconds

# 通过display ip routing-table命令可以查看Switch B的路由表中添加了到达20.1.1.0/24网络的静态路由。

[SwitchB] display ip routing-table

 

Destinations : 11        Routes : 11

 

Destination/Mask    Proto  Pre  Cost         NextHop         Interface

10.1.1.0/24         Direct 0    0            10.1.1.3        Vlan2

10.1.1.3/32         Direct 0    0            127.0.0.1       InLoop0

20.1.1.0/24         Static 70   0            10.1.1.2        Vlan2

10.1.1.255/32       Direct 0    0            10.1.1.3        Vlan2

127.0.0.0/8         Direct 0    0            127.0.0.1       InLoop0

127.0.0.0/32        Direct 0    0            127.0.0.1       InLoop0

127.0.0.1/32        Direct 0    0            127.0.0.1       InLoop0

127.255.255.255/32  Direct 0    0            127.0.0.1       InLoop0

224.0.0.0/4         Direct 0    0            0.0.0.0         NULL0

224.0.0.0/24        Direct 0    0            0.0.0.0         NULL0

255.255.255.255/32  Direct 0    0            127.0.0.1       InLoop0