DHCP. Option 82. Centos 7 DHCP-сервер + Mikrotik DHCP-Relay. Получение DHCP-клиентами IP-адресов из разных диапазонов

CENTOS 7 DHCP SERVER + MIKROTIK DHCP-RELAY

---

1. Описание

Настроим один DHCP-сервер на centos 7 для выдачи ip-адресов из разных диапазонов в зависимости от того, с какого порта на свитче Mikrotik с настроенным DHCP-relay приходит запрос от клиента (DHCP-relay и DHCP-сервер могут быть в разных подсетях (широковещательных доменах L2)).

DHCP-Relay в пакете DHCP отправляет на DHCP-сервер:

   agent.circuit-id (Имя устройства Mikrotik DHCP-Relay и порта Mikrotik DHCP-Relay, в который пришел DHCP запрос от клиента - в нашем случае "MikroTik-Cless eth 0/3")
   agent.remote-id (Имя порта Mikrotik DHCP-Relay, в который пришел DHCP запрос от клиента - в нашем случае "ether2")
   

DHCP-сервер на основании agent.circuit-id определяет из какого диапазона выдать IP-адрес исходя из правил (в нашем случае: match if option agent.circuit-id = "MikroTik-Cless eth 0/3";)

Для определения agent.circuit-id на Mikrotik для того (чтобы можно было на DHCP-сервер Linux фильтровать порты как показанов ниже в инструкции) можно включить DHCP-сервер на бридже Mikrotik (перед этим отключив службу DHCP-Relay) предварительно включив опции add-dhcp-option82=yes, dhcp-snooping=yes: /interface bridge add add-dhcp-option82=yes dhcp-snooping=yes fast-forward=no mtu=1500 name=bridge-local

Подключимся клиентом DHCP к этому DHCP-серверу После этого в Leases DHCP-сервера увидим заполненные поля agent.circuit-id и agent.remote-id

MikroTik-Cless eth 0/3 - ether2 MikroTik-Cless eth 0/4 - ether3

Другого способа определеить соответствие agent.circuit-id и физических портов мне не удалось Разобраться

1. Входные данные

192.168.17.186 - Centos 7 с DHCP-сервером ISC-DHCP 192.168.111.1 - Mikrotik свитч c DHCP-Relay, к его портам подключены DHCP-клиенты pc1, pc2 - DHCP-клиенты из сети 192.168.111.0/24, подключенные к портам ether2,ether3 устройства Mikrotik DHCP-Relay

1. Настройка

1. 1. DHCP-сервер

yum install dhcp

nano /etc/dhcp/dhcpd.conf ---

1. DHCP Server Configuration file.
2. see /usr/share/doc/dhcp*/dhcpd.conf.sample
3. see 'man 5 dhcpd.conf'

ddns-update-style interim; log-facility local7; lease-file-name "/var/log/dhcpd.leases";

stash-agent-options true;

local-address 192.168.17.186; subnet 192.168.17.0 netmask 255.255.255.0 { }

if exists agent.circuit-id {

log ( info, concat( " Lease for ",
                    binary-to-ascii (10, 8, ".", leased-address),
                    " Switch port: ",
                    binary-to-ascii (10, 8, ".", option agent.circuit-id),
                    " Switch MAC: ",
                    binary-to-ascii(16, 8, ".", option agent.remote-id)));

}

shared-network "192.168.111.0" {

       subnet 192.168.111.0 netmask 255.255.255.0 {

           option broadcast-address 192.168.111.255;
           option routers 192.168.111.1;
           option subnet-mask 255.255.255.0;
           option domain-name-servers 192.168.111.1,77.88.8.8;

           # Mikrotik Port MikroTik-Cless eth 0/3 (ether2)
           class "MikroTik-Cless eth 0/3" {
               match if option agent.circuit-id = "MikroTik-Cless eth 0/3";
           }
           pool {
               allow members of "MikroTik-Cless eth 0/3";
               range 192.168.111.100 192.168.111.109;
           }

           # Mikrotik Port MikroTik-Cless eth 0/4 (ether3)
           class "MikroTik-Cless eth 0/4" {
               match if option agent.circuit-id = "MikroTik-Cless eth 0/4";
           }
           pool {
               allow members of "MikroTik-Cless eth 0/4";
               range 192.168.111.110 192.168.111.119;
           }
       }
   }

---

Перезапуск службы

systemctl enable dhcpd.service systemctl restart dhcpd.service

Проверяем что открыты порты DHCP

netstat -luptn

   ...
   udp        0      0 192.168.17.186:67       0.0.0.0:*                           17546/dhcpd
   udp        0      0 0.0.0.0:68              0.0.0.0:*                           720/dhclient
   ...
   

1. Mikrotik DHCP-Relay

DHCP-сервер необходимо выключить

Бридж, в порты которого будут приходить клиенты, в зависимости от того, с какой порт они придут - они будут получать IP из разных диапазонов

Включаем на бридже dhcp-option82 и dhcp-snooping

/interface bridge add add-dhcp-option82=yes dhcp-snooping=yes fast-forward=no mtu=1500 name=bridge-local

Добавляем порты в бридж

/interface bridge port add bridge=bridge-local hw=no interface=ether2 add bridge=bridge-iptv hw=no interface=ether3

Теоретически необходимо включить опцию trusted=yes на физических портах, она необходимо для разрешения и запрета запросов DHCP-snooping на физических интерфейсах Но у меня Option 82 заработала без этой этого

/interface bridge port add bridge=bridge-local hw=no interface=ether2 trusted=yes add bridge=bridge-local hw=no interface=ether3 trusted=yes

Включаем dhcp-relay

/ip dhcp-relay add dhcp-server=192.168.17.186 disabled=no interface=bridge-local local-address=192.168.111.1 name=relay1

1. Проверка

1. 1. PC1

На pc1 (который подключен в ether2 устройства Mikrotik DHCP-Relay) включаем DHCP-клиент pc1 должен получить IP из диапазона 192.168.111.100-192.168.111.109

1. 1. DHCP-сервер

Смотрим что пакеты приходят на DHCP-сервер

tcpdump -i eth0 -vvv -s 1500 '((port 67 or port 68) and (udp[8:1] = 0x1))'

   ...
   tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 1500 bytes
   12:45:17.983356 IP (tos 0x0, ttl 63, id 0, offset 0, flags [DF], proto UDP (17), length 382)
       192.168.17.7.bootps > centos7-test01.bootps: [udp sum ok] BOOTP/DHCP, Request from cc:2d:e0:39:20:c0 (oui Unknown), length 354, hops 1, xid 0x1668a948, Flags [Broadcast] (0x8000)
           Gateway-IP 192.168.111.1
           Client-Ethernet-Address cc:2d:e0:39:20:c0 (oui Unknown)
           Vendor-rfc1048 Extensions
               Magic Cookie 0x63825363
               DHCP-Message Option 53, length 1: Discover
               Parameter-Request Option 55, length 8:
               Subnet-Mask, Classless-Static-Route, Default-Gateway, Static-Route
               Domain-Name-Server, NTP, Option 138, Vendor-Option
               Hostname Option 12, length 27: "cless_home_hap-mini-111-212"
               Client-ID Option 61, length 7: ether cc:2d:e0:39:20:c0
               Agent-Information Option 82, length 60:
               Circuit-ID SubOption 1, length 22: MikroTik-Cless eth 0/3
               Remote-ID SubOption 2, length 34: ether2
               END Option 255, length 0
   ...
   

Смотрим лог DHCP-сервера

watch -n1 tail -n50 /var/log/messages

   ...
   Aug 14 12:46:49 centos7-test01 dhcpd: Lease for 192.168.111.101 Switch port: 77.105.107.114.111.84.105.107.45.67.108.101.115.115.32.101.116.104.32.48.47.51 Switch MAC: 65.74.68.65.72.32.2d.6c.61.6e.5f
   .63.6c.65.73.73.2d.73.77.69.74.63.68.2d.61.70.2d.31.31.31.2d.32.32.34
   Aug 14 12:46:49 centos7-test01 dhcpd: DHCPDISCOVER from cc:2d:e0:39:20:c0 via 192.168.111.1
   Aug 14 12:46:50 centos7-test01 dhcpd: DHCPOFFER on 192.168.111.101 to cc:2d:e0:39:20:c0 (cless_home_hap-mini-111-212) via 192.168.111.1
   Aug 14 12:46:50 centos7-test01 dhcpd: Lease for 192.168.111.101 Switch port: 77.105.107.114.111.84.105.107.45.67.108.101.115.115.32.101.116.104.32.48.47.51 Switch MAC: 65.74.68.65.72.32.2d.6c.61.6e.5f
   .63.6c.65.73.73.2d.73.77.69.74.63.68.2d.61.70.2d.31.31.31.2d.32.32.34
   Aug 14 12:46:50 centos7-test01 dhcpd: DHCPDISCOVER from cc:2d:e0:39:20:c0 (cless_home_hap-mini-111-212) via 192.168.111.1
   Aug 14 12:46:50 centos7-test01 dhcpd: DHCPOFFER on 192.168.111.101 to cc:2d:e0:39:20:c0 (cless_home_hap-mini-111-212) via 192.168.111.1
   Aug 14 12:46:50 centos7-test01 dhcpd: Lease for 192.168.111.101 Switch port: 77.105.107.114.111.84.105.107.45.67.108.101.115.115.32.101.116.104.32.48.47.51 Switch MAC: 65.74.68.65.72.32.2d.6c.61.6e.5f
   .63.6c.65.73.73.2d.73.77.69.74.63.68.2d.61.70.2d.31.31.31.2d.32.32.34
   Aug 14 12:46:50 centos7-test01 dhcpd: DHCPREQUEST for 192.168.111.101 (192.168.17.186) from cc:2d:e0:39:20:c0 (cless_home_hap-mini-111-212) via 192.168.111.1
   Aug 14 12:46:50 centos7-test01 dhcpd: DHCPACK on 192.168.111.101 to cc:2d:e0:39:20:c0 (cless_home_hap-mini-111-212) via 192.168.111.1
   ...

1. 1. PC2

Аналогично проверяем как и на pc2 pc1 должен получить IP из диапазона 192.168.111.110-192.168.111.119