option82 option82是什么 option82原理
面我們針對DHCP OPTION 82的情況作了基本的介紹。包括它的基本概念以及相關(guān)的一些功能以及作用。這里我們再來看看Option 82的工作原理。在DHCP中繼代理（交換機(jī)）支持DHCP OPTION 82的情況下，DHCP客戶端通過DHCP中繼從DHCP服務(wù)器獲取IP地址同樣要經(jīng)歷發(fā)現(xiàn)、提供、選擇和確認(rèn)四個階段。這時DHCP協(xié)議按如下過程進(jìn)行：
1）DHCP客戶端在初始化時廣播發(fā)送請求報文，這時的請求報文并不包含option 82選項。
2）DHCP中繼代理將option 82選項添加到接收到的請求報文尾部后中繼轉(zhuǎn)發(fā)給DHCP服務(wù)器。DHCP OPTION 82選項的子選項1（代理電路ID）默認(rèn)是DHCP客戶端所連接的交換機(jī)的接口信息（VLan名加物理端口名），也可以由用戶自己配置代理電路ID，option 82選項的子選項2（代理遠(yuǎn)程ID）是DHCP中繼設(shè)備本身的MAC地址。
3）DHCP服務(wù)器收到DHCP中繼設(shè)備轉(zhuǎn)發(fā)的DHCP請求報文后，根據(jù)報文中option選項所攜帶的信息和預(yù)定策略分配IP地址和其它信息給客戶端，然后將帶著DHCP配置信息以及option 82信息的應(yīng)答報文發(fā)給DHCP中繼代理。
4）DHCP中繼代理收到DHCP服務(wù)器的應(yīng)答報文后將剝離報文中的option 82信息，然后將帶有DHCP配置信息的報文轉(zhuǎn)發(fā)給DHCP客戶端。
基于Option82的802.1X認(rèn)證
基于DHCP OPTION 82的DOT1X認(rèn)證，一般用于在用戶使用DHCP方式獲取地址的環(huán)境中，需要支持基于OPTION82進(jìn)行地址分配策略的DHCP SERVER。用戶在獲取IP地址之前處于控制狀態(tài)，只能訪問DHCP SERVER；用戶在獲取地址之后處于安全狀態(tài)，接入交換機(jī)轉(zhuǎn)發(fā)該用戶的IP和ARP報文；用戶在認(rèn)證前后能夠獲得不同地址，通過在接入交換機(jī)上聯(lián)的匯聚交換機(jī)上配置ACL，控制不同源地址用戶能夠訪問資源，來控制認(rèn)證前后用戶的訪問權(quán)限。
在DHCP是動態(tài)主機(jī)配置協(xié)議（Dynamic Host Configure Protocol）內(nèi)容中，我們常會見到中繼代理的問題。下面我們就DHCP中繼代理信息選項82，DHCP option82功能結(jié)構(gòu)做下詳細(xì)解析。
option82是dhcp中的個協(xié)議，它擴(kuò)展了dhcp功能，使dhcp可以借助兩個參數(shù)來分辨dhcp請求是從哪個交換機(jī)的哪個vlan發(fā)出的，也就是說，它使dhcp支持多vlan。不是交換機(jī)的功能模塊，般二層交換機(jī)都支持，但完全支持的很少！通常只支持部分，比如只支持兩個參數(shù)中的個，或者只支持兩個參數(shù)的復(fù)用。
DHCP option82功能：
DHCP option82是為了增強(qiáng)DHCP服務(wù)器的安全性，改善IP地址配置策略而提出的種DHCP選項。通過在網(wǎng)絡(luò)接入設(shè)備上配置DHCP中繼代理功能，中繼代理把從客戶端接收到的DHCP請求報文添加進(jìn)option82選項（其中包含了客戶端的接入物理端口和接入設(shè)備標(biāo)識等信息），然后再把該報文轉(zhuǎn)發(fā)給DHCP服務(wù)器，支持option82功能的DHCP服務(wù)器接收到報文后，根據(jù)預(yù)先配置策略和報文中option82信息分配IP地址和其它配置信息給客戶端，同時DHCP服務(wù)器也可以依據(jù)option82中的信息識別可能的DHCP攻擊報文并作出防范。DHCP中繼代理收到服務(wù)器應(yīng)答報文后，剝離其中的option82選項并根據(jù)選項中的物理端口信息，把應(yīng)答報文轉(zhuǎn)交到網(wǎng)絡(luò)接入設(shè)備的指定端口。
DHCP option82報文結(jié)構(gòu)：
DHCP option82又稱為DHCP中繼代理信息選項（Relay Agent Information Option），是DHCP報文中的個選項，其編號為82。rfc3046定義了option82，選項位置在option255之前而在其它option之后。
DHCP應(yīng)答報文：指由DHCP服務(wù)器響應(yīng)客戶端發(fā)起的請求報文，包含配置信息或指示回應(yīng)結(jié)果的DHCP響應(yīng)報文，DHCP應(yīng)答報文般有DHCP_OFFER報文，DHCP_ACK報文和DHCP_NAK報文。
DHCP請求報文：指由DHCP客戶端發(fā)起的報文，希望DHCP服務(wù)器響應(yīng)后分配IP地址和其它配置信息。DHCP請求報文般有四種，分別為DHCP_DISCOVER報文、DHCP_REQUEST報文、DHCP_RELEASE報文和DHCP_INFORM報文。中繼代理只針對DHCP請求報文添加option82選項并轉(zhuǎn)發(fā)給服務(wù)器。本文實(shí)現(xiàn)的DHCP中繼對這四種請求報文都添加option82選項。
Code：表示中繼代理信息選項的序號，rfc3046定義為82，option82即由此得名。
Len：為代理信息域（Agent Information Field）的字節(jié)個數(shù)，不包括Code和Len字段的兩個字節(jié)。
Option82可以由多個sub-option組成，每個option82選項至少要有個子選項.
SubOpt：為子選項編號，其中代理電路ID（即CircuitID）子選項編號為1，代理遠(yuǎn)程ID（即RemoteID）子選項編號為2。
如上圖所示，我們將詳細(xì)敘述如何通過神州數(shù)碼交換機(jī)DHCP OPTION 82功能，實(shí)現(xiàn)接入PC不能訪問內(nèi)網(wǎng)，但是可以訪問外網(wǎng)的應(yīng)用場景：
1、內(nèi)網(wǎng)合法用戶使用10.1.0.0/255.255.0.0地址段，而對于臨時接入者通過DHCP服務(wù)器分配192.168.2.0/255.255.255.0地址段；
2、臨時接入終端通過交換機(jī)向DHCP服務(wù)器申請IP地址（如圖為：192.168.2.2），如上圖紅線步驟。DHCP接入交換機(jī)啟用基于OPTION82的DOT1X認(rèn)證功能，在OPTION82插入默認(rèn)值。DHCP服務(wù)器以此認(rèn)定終端沒有通過認(rèn)證，屬于臨時接入者。
3、臨時接入終端獲得192.168.2.0/24地址段地址，可以在匯聚交換機(jī)配置ACL，控制192.168.2.0/24對內(nèi)網(wǎng)的訪問，使得192.168.2.0/24地址段不能訪問內(nèi)網(wǎng)資源，但是可以訪問外網(wǎng)，如上圖綠線所示。
注：此時來訪者不需要安裝802.1x客戶端程序。
5.1.11? 配置DHCP服務(wù)器Option 82處理方式
DHCP Option 82是為了增強(qiáng)DHCP服務(wù)器的安全性，改善IP地址配置策略而提出的一種DHCP選項。Option 82可以由多個子選項組成，每個Option 82選項至少要有一個子選項，其中一個重要功能就是指定中繼代理信息。
通過在DHCP服務(wù)器上啟用82選項的支持，可以使DHCP服務(wù)器能識別DHCP中繼代理信息。DHCP中繼代理位于DHCP客戶端和DHCP服務(wù)器之間，用來轉(zhuǎn)發(fā)位于不同網(wǎng)段的DHCP客戶端和DHCP服務(wù)器之間通信的DHCP報文。DHCP中繼代理把從客戶端接收到的DHCP請求報文添加進(jìn)Option 82選項（其中包含了客戶端的接入物理端口和接入設(shè)備標(biāo)識等信息），然后再把該報文轉(zhuǎn)發(fā)給DHCP服務(wù)器，支持Option 82功能的DHCP服務(wù)器接收到報文后，根據(jù)預(yù)先配置的策略和報文中的Option 82信息分配IP地址和其他配置信息給客戶端，同時DHCP服務(wù)器也可以依據(jù)Option 82中的信息識別可能的DHCP攻擊報文并作出防范。DHCP中繼代理收到服務(wù)器應(yīng)答報文后，剝離其中的Option 82選項并根據(jù)選項中的物理端口信息把應(yīng)答報文轉(zhuǎn)交到網(wǎng)絡(luò)接入設(shè)備的指定端口。有關(guān)DHCP中繼代理服務(wù)的具體功能參見《Cisco路由器配置與管理完全手冊》（第二版）第5章的相關(guān)內(nèi)容。
要在H3C設(shè)備DHCP服務(wù)器上配置Option 82支持，則需要完成DHCP服務(wù)器的兩項必配任務(wù)：啟用DHCP服務(wù)（具體參見5.2節(jié)）和配置DHCP服務(wù)器的地址池（具體參見本節(jié)前面的各小節(jié)介紹）。默認(rèn)情況下，DHCP服務(wù)器是支持Option 82的。如果沒有支持，則重新啟用對Option 82支持的方法也很簡單，只需要配置dhcp server relay information enable系統(tǒng)視圖命令即可。可用undo dhcp server relay information enable命令配置DHCP服務(wù)器禁止對Option 82的支持。
當(dāng)DHCP客戶端以及服務(wù)器兩者都不在同一個子網(wǎng)里面的時候，如果客戶端想要從DHCP服務(wù)器上面分配到一個IP地址，那么就一定要由DHCP中繼代理（也就是DHCP Relay Agent）來轉(zhuǎn)發(fā)DHCP請求包了。DHCP中繼代理會把客戶端的DHCP報文轉(zhuǎn)發(fā)到DHCP服務(wù)器之前，大家能夠插入一些選項信息，這樣子就能夠方便DHCP服務(wù)器可以更加精確的獲取得到客戶端的相關(guān)信息，從而就可以更加靈活的按照相對應(yīng)的策略分配IP地址以及其他一些參數(shù)。那么我們會將這一個選項稱之為：DHC Prelay agent information option（也就是中繼代理信息選項），選項號是為82,所以又稱之為option82,相關(guān)標(biāo)準(zhǔn)文檔是為RFC3046.
其實(shí)簡單來說，Option82就是對于DHCP選項的一種擴(kuò)展應(yīng)用。選項82僅僅只是一種應(yīng)用擴(kuò)展而已，究竟是不是攜帶選項82并不會影響到DHCP原來有的應(yīng)用。另外一個方面，那就是還需要看一下DHCP服務(wù)器究竟是不是支持選項82。假如說不支持選項82的DHCP服務(wù)器就會接收到插入了選項82的報文，又或者是支持選項82的DHCP服務(wù)器接收到了沒有插入選項82的報文。其實(shí)剛剛小編說到這兩種情況通通都不會對于原有的基本的DHCP服務(wù)造成一定程度上面的影響。如果大家要想支持選項82所帶來的擴(kuò)展應(yīng)用的話，那么DHCP服務(wù)器本身就一定要支持選項82以及所收到的DHCP報文一定要被插入選項82信息。從不是信任端口收到DHCP請求報文，不管DHCP客戶端以及服務(wù)器兩者究竟是不是處于同一個子網(wǎng)上面，開啟了DHCP監(jiān)聽這一個功能的Cisco交換機(jī)都能夠選擇是不是對其插入選項82信息。在默認(rèn)情況下面，交換機(jī)都會把對從非信任端口接收到的DHCP請求報文插入選項82信息的，所以大家可以放心。
二、情況分析
當(dāng)一臺開啟DHCP監(jiān)聽的匯聚交換機(jī)以及一臺插入了選項82信息的邊界交換機(jī)（也就是接入交換機(jī)）相連的時候，一般情況下會出現(xiàn)下面兩種情況，具體的情況如下：
1、假如說邊界交換機(jī)是連接到匯聚交換機(jī)的信任端口的話，那么匯聚交換機(jī)就會接收從信任端口收到的插入選項82的DHCP報文信息，但是匯聚交換機(jī)是不會為了這一些信息重新建立DHCP監(jiān)聽綁定表條目的。
2、假如說邊界交換機(jī)是連接到匯聚交換機(jī)的非信任端口的話，那么匯聚交換機(jī)就會丟棄從這一個非信任端口收到的插入了選項82的DHCP報文信息。但是在iOS12.2（25）SE這一個軟件版本之后，匯聚交換機(jī)就能夠直接的通過在全局模式下面配置一條ipdhcpsnoopinginformationallow-untrusted這樣子的命令。這樣子操作的話，匯聚交換機(jī)就會接收從邊界交換機(jī)發(fā)來的插入了選項82的DHCP報文信息了，另外一個方面也為這一些信息重新建立DHCP監(jiān)聽綁定表條目。
在配置匯聚交換機(jī)下聯(lián)口的時候，就會將根據(jù)從邊界交換機(jī)發(fā)送過來的數(shù)據(jù)能不能被信任而設(shè)置成為信任又或者是非信任端口。
0 Comments.