目  录

第1章 DHCP概述... 1-1

1.1 DHCP简介.. 1-1

1.2 DHCP的IP地址分配.. 1-1

1.2.1 IP地址分配策略.. 1-1

1.2.2 IP地址动态获取过程.. 1-2

1.2.3 IP地址的租约更新.. 1-2

1.3 DHCP报文格式.. 1-3

1.4 协议规范.. 1-4

第2章 DHCP中继配置... 2-1

2.1 DHCP中继简介.. 2-1

2.1.1 DHCP中继的应用环境.. 2-1

2.1.2 DHCP中继的基本原理.. 2-1

2.2 DHCP中继配置任务简介.. 2-2

2.3 配置DHCP中继.. 2-2

2.3.1 使能DHCP服务.. 2-2

2.3.2 配置接口工作在DHCP中继模式.. 2-2

2.3.3 配置DHCP服务器组.. 2-3

2.3.4 配置通过DHCP中继释放客户端的IP地址.. 2-4

2.3.5 配置DHCP中继的安全功能.. 2-5

2.3.6 配置DHCP中继支持Option 82功能.. 2-7

2.4 DHCP中继显示和维护.. 2-9

2.5 DHCP中继典型配置举例.. 2-9

2.6 DHCP中继常见配置错误举例.. 2-11

第3章 DHCP Snooping配置... 3-1

3.1 DHCP Snooping简介.. 3-1

3.1.1 DHCP Snooping作用.. 3-1

3.1.2 DHCP Snooping工作机制.. 3-1

3.2 配置DHCP Snooping. 3-2

3.3 DHCP Snooping显示.. 3-2

3.4 DHCP Snooping典型配置举例.. 3-2

第4章 DHCP客户端配置... 4-1

4.1 DHCP客户端简介.. 4-1

4.2 配置接口使用DHCP方式获取IP地址.. 4-1

4.3 DHCP客户端显示.. 4-1

4.4 DHCP客户端典型配置举例.. 4-2

第5章 BOOTP客户端配置... 5-1

5.1 BOOTP客户端简介.. 5-1

5.1.1 BOOTP应用.. 5-1

5.1.2 IP地址动态获取过程.. 5-1

5.1.3 协议规范.. 5-2

5.2 配置接口通过BOOTP协议获取IP地址.. 5-2

5.3 BOOTP客户端显示.. 5-2

 

第1章  DHCP概述

1.1  DHCP简介

随着网络规模的不断扩大和网络复杂度的提高，计算机的数量经常超过可供分配的IP地址数量。同时随着便携机及无线网络的广泛使用，计算机的位置也经常变化，相应的IP地址也必须经常更新，从而导致网络配置越来越复杂。DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）就是为满足这些需求而发展起来的。

DHCP采用客户端/服务器通信模式，由客户端向服务器提出配置申请，服务器返回IP地址等相应的配置信息，以实现IP地址等信息的动态配置。

在DHCP的典型应用中，一般包含一台DHCP服务器和多台客户端（如PC和便携机），如图1-1所示。

图1-1 DHCP典型应用

1.2  DHCP的IP地址分配

1.2.1  IP地址分配策略

针对客户端的不同需求，DHCP提供三种IP地址分配策略：

l              手工分配地址：由管理员为少数特定客户端（如WWW服务器等）静态绑定固定的IP地址。通过DHCP将配置的固定IP地址发给客户端。

l              自动分配地址：DHCP为客户端分配租期为无限长的IP地址。

l              动态分配地址：DHCP为客户端分配有效期限的IP地址，到达使用期限后，客户端需要重新申请地址。绝大多数客户端得到的都是这种动态分配的地址。

1.2.2  IP地址动态获取过程

DHCP客户端从DHCP服务器动态获取IP地址，主要通过四个阶段进行：

(1)        发现阶段，即DHCP客户端寻找DHCP服务器的阶段。客户端以广播方式发送DHCP-DISCOVER报文。

(2)        提供阶段，即DHCP服务器提供IP地址的阶段。DHCP服务器接收到客户端的DHCP-DISCOVER报文后，根据IP地址分配的优先次序选出一个IP地址，与其他参数一起通过DHCP-OFFER报文广播发送给客户端。

(3)        选择阶段，即DHCP客户端选择IP地址的阶段。如果有多台DHCP服务器向该客户端发来DHCP-OFFER报文，客户端只接受第一个收到的DHCP-OFFER报文，然后以广播方式发送DHCP-REQUEST报文，该报文中包含DHCP服务器在DHCP-OFFER报文中分配的IP地址。

(4)        确认阶段，即DHCP服务器确认IP地址的阶段。DHCP服务器收到DHCP客户端发来的DHCP-REQUEST报文后，只有DHCP客户端选择的服务器会进行如下操作：如果确认将地址分配给该客户端，则返回DHCP-ACK报文；否则返回DHCP-NAK报文，表明地址不能分配给该客户端。

&  说明：

l      客户端收到服务器返回的DHCP-ACK确认报文后，会以广播的方式发送免费ARP报文，探测是否有主机使用服务器分配的IP地址，如果在规定的时间内没有收到回应，客户端才使用此地址。

l      在网络中存在多个DHCP服务器的情况下，除DHCP客户端选中的服务器外，其它DHCP服务器中本次未分配出的IP地址仍可分配给其他客户端。

 

1.2.3  IP地址的租约更新

如果采用动态地址分配策略，则DHCP服务器分配给客户端的IP地址有一定的租借期限，当租借期满后服务器会收回该IP地址。如果DHCP客户端希望继续使用该地址，需要更新IP地址租约。

在DHCP客户端的IP地址租约期限达到一半时间时，DHCP客户端会向为它分配IP地址的DHCP服务器单播发送DHCP-REQUEST报文，以进行IP租约的更新。如果客户端可以继续使用此IP地址，则DHCP服务器回应DHCP-ACK报文，通知DHCP客户端已经获得新IP租约；如果此IP地址不可以再分配给该客户端，则DHCP服务器回应DHCP-NAK报文，通知DHCP客户端不能获得新的租约。

如果在租约的一半时间进行的续约操作失败，DHCP客户端会在租约期限达到7/8时，广播发送DHCP-REQUEST报文进行续约。DHCP服务器的处理方式同上，不再赘述。

1.3  DHCP报文格式

DHCP有8种类型的报文，每种报文的格式相同，只是某些字段的取值不同。DHCP报文格式基于BOOTP的报文格式，具体格式如下（括号中的数字表示该字段所占的字节）：

图1-2 DHCP报文格式

各字段的解释如下：

l              op：报文的操作类型，分为请求报文和响应报文，1为请求报文；2为响应报文。具体的报文类型在option字段中标识。

l              htype、hlen：DHCP客户端的硬件地址类型及长度。

l              hops：DHCP报文经过的DHCP中继的数目。DHCP请求报文每经过一个DHCP中继，该字段就会增加1。

l              xid：客户端发起一次请求时选择的32比特随机数，用来标识一次地址请求过程。

l              secs：DHCP客户端开始DHCP请求后所经过的时间。目前没有使用，固定为0。

l              flags：第一个比特为广播响应标识位，用来标识DHCP服务器响应报文是采用单播还是广播方式发送。其余比特保留不用。目前，设备只支持FLAG字段置1。

l              ciaddr：DHCP客户端的IP地址。

l              yiaddr：DHCP服务器分配给客户端的IP地址。

l              siaddr：DHCP客户端获取IP地址等信息的服务器IP地址。

l              giaddr：DHCP客户端发出请求报文后经过的第一个DHCP中继的IP地址。

l              chaddr：DHCP客户端的硬件地址。

l              sname：DHCP客户端获取IP地址等信息的服务器名称。

l              file：DHCP服务器为DHCP客户端指定的启动配置文件名称及路径信息。

l              option：可选变长选项字段，包含报文的类型、有效租期、DNS服务器的IP地址、WINS服务器的IP地址等配置信息。

1.4  协议规范

与DHCP相关的协议规范有：

l              RFC 2131：Dynamic Host Configuration Protocol

l              RFC 2132：DHCP Options and BOOTP Vendor Extensions

l              RFC 1542：Clarifications and Extensions for the Bootstrap Protocol

l              RFC 3046：DHCP Relay Agent Information Option

 

第2章  DHCP中继配置

&  说明：

l      DHCP中继中对于接口的相关配置，目前只能在VLAN接口上进行。

l      DHCP中继上不能配置DHCP Snooping功能。

 

2.1  DHCP中继简介

2.1.1  DHCP中继的应用环境

由于在IP地址动态获取过程中采用广播方式发送报文，因此DHCP只适用于DHCP客户端和服务器处于同一个子网内的情况。为进行动态主机配置，需要在所有网段上都设置一个DHCP服务器，这显然是很不经济的。

DHCP中继功能的引入解决了这一难题：客户端可以通过DHCP中继与其他网段的DHCP服务器通信，最终获取到IP地址。这样，多个网络上的DHCP客户端可以使用同一个DHCP服务器，既节省了成本，又便于进行集中管理。

2.1.2  DHCP中继的基本原理

图2-1是DHCP中继的典型应用示意图。

图2-1 DHCP中继的典型组网应用

通过DHCP中继完成动态配置的过程中，DHCP客户端与DHCP服务器的处理方式与不通过DHCP中继时的处理方式基本相同。下面只说明DHCP中继的转发过程，报文的具体交互过程请参见“1.2.2  IP地址动态获取过程”。

(1)        具有DHCP中继功能的网络设备收到DHCP客户端以广播方式发送的DHCP-DISCOVER或DHCP-REQUEST报文后，根据配置将报文单播转发给指定的DHCP服务器。

(2)        DHCP服务器进行IP地址的分配，并通过DHCP中继将配置信息广播发送给客户端，完成对客户端的动态配置。

2.2  DHCP中继配置任务简介

表2-1 DHCP中继配置任务简介

配置任务	说明	详细配置
使能DHCP服务	必选	2.3.1
配置接口工作在DHCP中继模式	必选	2.3.2
配置DHCP服务器组	必选	2.3.3
配置通过DHCP中继释放客户端的IP地址	可选	2.3.4
配置DHCP中继的安全功能	可选	2.3.5
配置DHCP中继支持Option 82功能	可选	2.3.6

 

2.3  配置DHCP中继

2.3.1  使能DHCP服务

只有使能DHCP服务后，其它相关的DHCP配置才能生效。

表2-2 使能DHCP服务

操作	命令	说明
进入系统视图	system-view	-
使能DHCP服务	dhcp enable	必选 缺省情况下，DHCP服务处于禁止状态

 

2.3.2  配置接口工作在DHCP中继模式

配置接口工作在DHCP中继模式后，当接口收到DHCP客户端发来的DHCP报文时，会将报文转发给DHCP服务器，由服务器分配地址。

表2-3 配置接口工作在DHCP中继模式

操作	命令	说明
进入系统视图	system-view	-
进入接口视图	interface interface-type interface-number	-
配置接口工作在DHCP中继模式	dhcp select relay	必选 缺省情况下，接口不工作在DHCP中继模式

 

&  说明：

DHCP客户端通过DHCP中继获取IP地址时，DHCP服务器上需要配置与DHCP中继的IP地址所在网段（网络号和掩码）完全相同的地址池，否则会导致DHCP客户端无法获得正确的IP地址。

 

2.3.3  配置DHCP服务器组

为了提高可靠性，可以在一个网络中设置多个DHCP服务器。多个DHCP服务器构成一个DHCP服务器组。当接口与DHCP服务器组建立归属关系后，会将客户端发来的DHCP报文转发给服务器组中的所有服务器。

表2-4 配置DHCP服务器组

操作	命令	说明
进入系统视图	system-view	-
配置DHCP服务器组中DHCP服务器的IP地址	dhcp relay server-group group-id ip ip-address	必选 缺省情况下，没有配置DHCP服务器组中服务器的IP地址
进入接口视图	interface interface-type interface-number	-
配置接口与DHCP服务器组的归属关系	dhcp relay server-select group-id	必选 缺省情况下，接口没有与任何一个DHCP服务器组建立归属关系

 

&  说明：

l      设备上最多可以配置20个DHCP服务器组。

l      每个DHCP服务器组最多可以配置8个外部DHCP服务器地址。

l      DHCP服务器组中服务器的IP地址不能与DHCP中继和客户端相连的接口IP地址在同一网段；否则，可能导致客户端无法获得IP地址。

l      dhcp relay server-select命令中所指定的组号，需事先通过dhcp relay server-group命令进行配置。

l      每个DHCP服务器组可以对应多个接口。但每个接口只能对应一个DHCP服务器组。在同一接口下多次执行dhcp relay server-select命令，新的配置会覆盖已有配置。但是，如果新指定的DHCP服务器组不存在时，新的归属关系配置不成功，接口还是维持与上一次配置的DHCP服务器组的归属关系。

 

2.3.4  配置通过DHCP中继释放客户端的IP地址

在某些情况下，可能需要通过DHCP中继手工释放客户端申请到的IP地址。配置通过DHCP中继释放客户端的IP地址后，DHCP中继会主动向DHCP服务器发送DHCP-RELEASE报文，DHCP服务器收到该报文后，将会释放指定IP地址的租约。

1. 在系统视图下配置通过DHCP中继释放客户端的IP地址

在系统视图下，配置通过DHCP中继释放客户端的IP地址时，如果不指定DHCP服务器的IP地址，则向所有配置为中继模式的接口所对应的DHCP服务器组中的DHCP服务器发送释放申请；如果指定了DHCP服务器的IP地址，则只向指定DHCP服务器发送释放申请。

表2-5 在系统视图下配置通过DHCP中继释放客户端的IP地址

操作	命令	说明
进入系统视图	system-view	-
向DHCP服务器请求释放客户端申请到的IP地址	dhcp relay release client-ip client-mac [ server-ip ]	必选

 

2. 在接口视图下配置通过DHCP中继释放客户端的IP地址

在接口视图下，配置通过DHCP中继释放客户端的IP地址时，如果不指定DHCP服务器，则向该接口所对应的DHCP服务器组中的所有DHCP服务器发送释放申请；如果指定了DHCP服务器的IP地址，则只向指定DHCP服务器发送释放申请。

表2-6 在接口视图下配置通过DHCP中继释放客户端的IP地址

操作	命令	说明
进入系统视图	system-view	-
进入接口视图	interface interface-type interface-number	-
向DHCP服务器请求释放客户端申请到的IP地址	dhcp relay release client-ip client-mac [ server-ip ]	必选

 

2.3.5  配置DHCP中继的安全功能

1. DHCP中继的地址匹配检查功能

当客户端通过DHCP中继从DHCP服务器获取到IP地址时，DHCP中继可以自动记录客户端IP地址与MAC地址的绑定关系，生成DHCP中继的动态用户地址表项。同时，设备也支持DHCP中继的静态用户地址表项配置，即在DHCP中继上手工配置IP地址与MAC地址的绑定关系。

为了防止非法主机静态配置一个IP地址并访问其他网络，设备支持DHCP中继的地址匹配检查功能。接口上使能该功能后，如果主机IP地址与主机MAC地址的对应关系没有在DHCP中继的用户地址表中（包括DHCP中继动态记录的表项以及手工配置的用户地址表项），则主机将不能通过DHCP中继访问外部网络。

表2-7 配置DHCP中继的地址匹配检查功能

操作	命令	说明
进入系统视图	system-view	-
配置DHCP中继的静态用户地址表项	dhcp relay security static ip-address mac-address	可选 缺省情况下，没有配置DHCP中继的静态用户地址表项
进入接口视图	interface interface-type interface-number	-
配置DHCP中继的地址匹配检查功能	dhcp relay address-check { disable | enable }	必选 缺省情况，禁止DHCP中继的地址匹配检查功能

 

&  说明：

l      DHCP中继的地址匹配检查功能与DHCP中继的其他配置无直接关系。即只要执行了dhcp relay address-check enable命令，地址匹配检查功能就可以生效，不需要配置DHCP中继的其他功能，如使能DHCP、配置接口工作在DHCP中继模式。

l      如果在连接DHCP服务器的DHCP中继接口上配置dhcp relay address-check enable命令，则需要在DHCP中继上配置DHCP服务器IP地址与MAC地址绑定的静态用户地址表项，否则会导致DHCP客户端申请不到IP地址。

 

2. DHCP中继动态用户地址表项定时刷新功能

当DHCP客户端通过DHCP中继从DHCP服务器获取到IP地址时，DHCP中继会记录客户端IP地址与MAC地址的绑定关系。由于DHCP客户端释放该IP地址时，会给DHCP服务器发送单播DHCP-RELEASE报文，DHCP中继不会处理该DHCP报文的内容，造成DHCP中继的用户地址项不能被实时刷新。为了解决这个问题，DHCP中继支持动态用户地址表项的定时刷新功能。

每隔指定时间，DHCP中继以客户端分配到的IP地址和自己的桥MAC地址向DHCP服务器发送DHCP-REQUEST报文，如果DHCP服务器响应DHCP-ACK报文，则表明这个IP地址已经可以进行分配，DHCP中继会将动态用户地址表中对应的表项老化掉；如果DHCP服务器响应DHCP-NAK报文，则表示该IP地址的租约仍然存在，DHCP中继不会老化该IP地址对应的表项。

表2-8 配置DHCP中继动态用户地址表项定时刷新周期

操作	命令	说明
进入系统视图	system-view	-
配置DHCP中继动态用户地址表项的定时刷新周期	dhcp relay security tracker { interval | auto }	可选 缺省情况下，定时刷新周期为auto，即根据表项的数目自动计算刷新时间间隔

 

3. 配置伪DHCP服务器检测功能

如果网络中有私自架设的DHCP服务器，当客户端申请IP地址时，这台DHCP服务器就会与DHCP客户端进行交互，导致客户端获得错误的IP地址，这种私设的DHCP服务器称为伪DHCP服务器。

在DHCP中继上使能伪DHCP服务器检测功能后，当DHCP客户端发送DHCP-REQUEST报文时，DHCP中继会从报文中获取为客户端分配IP地址的服务器的IP地址，并记录此IP地址及接收到报文的接口信息，以便管理员及时发现并处理伪DHCP服务器。

表2-9 配置伪DHCP服务器检测功能

操作	命令	说明
进入系统视图	system-view	-
使能伪DHCP服务器检测功能	dhcp relay server-detect	必选 缺省情况下，禁止伪DHCP服务器检测功能

 

&  说明：

使能伪DHCP服务器检测功能后，对所有DHCP服务器都会进行记录，包括合法的DHCP服务器，且对每个DHCP服务器只记录一次。管理员需要从记录中查找伪DHCP服务器。

 

2.3.6  配置DHCP中继支持Option 82功能

1. 概念介绍

Option 82称为中继代理信息选项，最多可以包含255个子选项。若定义了Option 82，则至少要定义一个子选项。目前设备只支持两个子选项：sub-option 1和sub-option 2。

由于Option 82的内容没有统一规定，不同厂商通常根据需要进行填充。目前设备支持两种填充格式：normal格式和verbose格式。对应这两种填充格式，子选项的内容如下：

(1)        采用normal格式填充：

l              sub-option 1的内容是接收到DHCP客户端请求报文的端口编号及端口所属VLAN的编号。

l              sub-option 2的内容是接收到DHCP客户端请求报文的接口MAC地址。

(2)        采用verbose格式填充：

l              sub-option 1的内容包括用户配置的接入节点标识、接收到DHCP客户端请求报文的端口类型、端口编号及端口所属VLAN的编号。

l              sub-option 2的内容是接收到DHCP客户端请求报文的接口MAC地址。

2. DHCP中继支持Option 82的处理方式

如果DHCP中继支持Option 82功能，则当DHCP中继收到DHCP请求报文后，将根据报文中是否包含Option 82选项以及用户配置的处理策略及填充格式对报文进行相应的处理。具体的处理方式见表2-10。

如果DHCP中继收到的响应报文中带有Option 82选项，则会将Option 82选项删除后再转发给DHCP客户端。

表2-10 DHCP中继支持Option 82的处理方式

收到DHCP请求报文	处理策略	填充格式	DHCP中继对报文的处理
收到的报文中带有Option 82选项	Drop	任意	丢弃报文
	Keep	任意	保持报文中的Option 82选项不变并进行转发
	Replace	Normal	采用normal格式填充Option 82选项，替换报文中原有的Option 82选项并进行转发
		Verbose	采用verbose格式填充Option 82选项，替换报文中原有的Option 82选项并进行转发
收到的报文中不带有Option 82选项	-	Normal	采用normal格式填充Option 82选项并进行转发
	-	Verbose	采用verbose格式填充Option 82选项并进行转发

 

3. 配置准备

在配置DHCP中继支持Option82功能之前，需完成DHCP中继的必配任务，即：

l              使能DHCP服务

l              配置接口工作在DHCP中继模式

l              配置DHCP中继设备的网络参数，保证中继和服务器之间路由可达

4. 配置DHCP中继支持Option 82功能

表2-11 配置DHCP中继支持Option 82功能

操作	命令	说明
进入系统视图	system-view	-
进入接口视图	interface interface-type interface-number	-
配置DHCP中继支持Option 82功能	dhcp relay information enable	必选 缺省情况下，DHCP中继不支持Option 82功能
配置DHCP中继对包含Option 82选项的请求报文的处理策略	dhcp relay information strategy { drop | keep | replace }	可选 缺省情况下，处理策略为replace
配置Option 82选项的填充格式	dhcp relay information format { normal | verbose [ node-identifier { mac | sysname | user-defined node-identifier } ] }	可选 缺省情况下，Opiton 82选项的填充格式为normal

 

&  说明：

l      为使Option 82功能正常使用，需要在DHCP服务器和DHCP中继上都进行相应配置。由于作为DHCP服务器的设备不同，所需进行的配置也不同，故此处从略。

l      DHCP中继对包含Option 82请求报文的处理策略为replace时，需要配置Option 82选项的填充格式；处理策略为keep或drop时，不需要配置Option 82选项的填充格式。

 

2.4  DHCP中继显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后DHCP中继的运行情况，通过查看显示信息验证配置的效果。

在用户视图下执行reset命令清除DHCP中继的统计信息。

表2-12 DHCP中继显示和维护

操作	命令
显示接口对应的DHCP服务器组的信息	display dhcp relay { all | interface interface-type interface-number }
显示DHCP中继的用户地址表项信息	display dhcp relay security [ ip-address | dynamic | static ]
显示DHCP中继用户地址表项的统计信息	display dhcp relay security statistics
显示DHCP中继动态用户地址表项的定时刷新周期	display dhcp relay security tracker
显示DHCP服务器组中服务器的IP地址	display dhcp relay server-group { group-id | all }
显示DHCP中继的相关报文统计信息	display dhcp relay statistics [ server-group { group-id | all } ]
清除DHCP中继的统计信息	reset dhcp relay statistics [ server-group group-id ]

 

2.5  DHCP中继典型配置举例

1. 组网需求

l              交换机通过端口（属于VLAN1）连接到DHCP客户端所在的网络，交换机VLAN接口1的IP地址为10.10.1.1/24，VLAN接口2的IP地址为10.1.1.2/24；

l              DHCP服务器的IP地址为10.1.1.1/24；

l              通过具有DHCP中继功能的交换机转发DHCP报文，使DHCP客户端可以从DHCP服务器上申请到IP地址等相关配置信息。

2. 组网图

图2-2 DHCP中继组网示意图

3. 配置步骤

S5500-SI系列以太网交换机作为DHCP中继设备，需要进行如下配置：

# 使能DHCP服务。

<Sysname> system-view

[Sysname] dhcp enable

# 配置连接DHCP客户端网络的VLAN接口1工作在DHCP中继模式。

[Sysname] interface vlan-interface 1

[Sysname-Vlan-interface1] dhcp select relay

# 配置DHCP服务器的地址，并配置VLAN接口1对应DHCP服务器组1。

[Sysname] dhcp relay server-group 1 ip 10.1.1.1

[Sysname] interface vlan-interface 1

[Sysname-Vlan-interface1] dhcp relay server-select 1

&  说明：

l      为了使DHCP客户端能从DHCP服务器获得IP地址，还需要在DHCP服务器上进行一些配置。由于作为DHCP服务器的设备不同，所需进行的配置也不同，故此处从略。

l      该例中DHCP中继与DHCP服务器是在同一网段。如果DHCP中继与DHCP服务器不在同一网段，则两者之间必须有路由可达。

 

2.6  DHCP中继常见配置错误举例

1. 故障现象

客户端不能通过DHCP中继获得配置信息。

2. 故障分析

DHCP中继或DHCP服务器的配置可能有问题。可以打开调试开关显示调试信息，并通过执行display命令显示接口状态信息的方法来分析定位。

3. 处理过程

l              检查DHCP服务器和DHCP中继是否使能了DHCP服务。

l              检查DHCP服务器是否配置有DHCP客户端所在网段的地址池。

l              检查具有DHCP中继功能的网络设备和DHCP服务器是否配置有相互可达的路由。

l              检查具有DHCP中继功能的网络设备是否在连接DHCP客户端所在网段的接口上配置有正确的DHCP服务器组，且DHCP服务器组的IP地址配置正确。

 

第3章  DHCP Snooping配置

&  说明：

l      DHCP Snooping不支持链路聚合。若以太网端口加入聚合组，则该端口上进行的DHCP Snooping配置不会生效；该端口退出聚合组后，之前的DHCP Snooping配置才会生效。

l      设备只有位于DHCP客户端与DHCP服务器之间，或DHCP客户端与DHCP中继之间时，DHCP Snooping功能配置后才能正常工作；设备位于DHCP服务器与DHCP中继之间时，DHCP Snooping功能配置后不能正常工作。

l      使能DHCP Snooping功能的设备，不能作为DHCP服务器、DHCP中继、DHCP客户端和BOOTP客户端，反之亦然。

 

3.1  DHCP Snooping简介

3.1.1  DHCP Snooping作用

DHCP Snooping是DHCP的一种安全特性，主要功能如下：

l              通过将不信任端口接收的DHCP响应报文丢弃，防止DHCP客户端从网络中不可信任的DHCP服务器获取IP地址。

l              通过监听DHCP-REQUEST和信任端口收到的DHCP-ACK广播报文，记录DHCP客户端的MAC地址以及获取到的IP地址，便于管理员了解DHCP客户端获取的IP地址信息。

3.1.2  DHCP Snooping工作机制

在网络中，合法的DHCP服务器是可以信任的，而私自设置的DHCP服务器是不可信任的。为了对不同DHCP服务器发来的报文进行区分处理，DHCP Snooping将设备的端口分为信任端口与不信任端口。其中：

l              信任端口是与合法的DHCP服务器直接或间接连接的端口。信任端口对接收到的DHCP报文正常转发，从而保证了DHCP客户端获取正确的IP地址。

l              不信任端口是不与合法的DHCP服务器连接的端口。如果从不信任端口接收到DHCP服务器响应的DHCP-ACK和DHCP-OFFER报文则会丢弃，从而防止了DHCP客户端获得错误的IP地址。

3.2  配置DHCP Snooping

表3-1 配置DHCP Snooping

操作	命令	说明
进入系统视图	system-view	-
使能DHCP Snooping功能	dhcp-snooping	必选 缺省情况下，DHCP Snooping功能处于关闭状态
进入以太网端口视图	interface interface-type interface-number	-
配置端口为信任端口	dhcp-snooping trust	必选 缺省情况下，在使能DHCP Snooping功能后，设备的所有端口均为不信任端口

 

&  说明：

为了使DHCP客户端能从合法的DHCP服务器获取IP地址，在使能DHCP Snooping功能的设备上，必须将与合法DHCP服务器相连的以太网端口设置为信任端口，且设置的信任端口和与DHCP客户端相连的端口必须在同一个VLAN内。

 

3.3  DHCP Snooping显示

在完成上述配置后，在任意视图下执行display命令可以显示DHCP Snooping的配置情况，通过查看显示信息验证配置的效果。

表3-2 DHCP Snooping显示

操作	命令
显示通过DHCP Snooping记录的绑定信息表	display dhcp-snooping
显示信任端口信息	display dhcp-snooping trust

 

3.4  DHCP Snooping典型配置举例

1. 组网需求

设备通过以太网端口GigabitEthernet1/0/1连接到DHCP服务器，通过以太网端口GigabitEthernet1/0/2、GigabitEthernet1/0/3连接到DHCP客户端。要求：

l              与DHCP服务器相连的端口可以转发DHCP服务器的响应报文，而其他端口不转发DHCP服务器的响应报文。

l              记录DHCP-REQUEST和信任端口收到的DHCP-ACK广播报文中DHCP客户端IP地址及MAC地址的绑定关系。

2. 组网图

图3-1 DHCP Snooping组网示意图

3. 配置步骤

# 使能DHCP Snooping功能。

<Sysname> system-view

[Sysname] dhcp-snooping

# 配置GigabitEthernet1/0/1端口为信任端口。

[Sysname] interface GigabitEthernet1/0/1

[Sysname-GigabitEthernet1/0/1] dhcp-snooping trust

&  说明：

为了使DHCP客户端能从DHCP服务器获得IP地址，还需要在DHCP客户端和DHCP服务器上进行一些配置。由于作为DHCP服务器的设备不同，所需进行的配置也不同，故此处从略。

 

第4章  DHCP客户端配置

&  说明：

l      DHCP客户端中对于接口的相关配置，目前只能在VLAN接口上进行。

l      多个具有相同MAC地址的VLAN接口通过中继以DHCP方式申请IP地址时，不能用Windows 2000 Server和Windows 2003 Server作为DHCP服务器。

l      DHCP客户端上不能配置DHCP Snooping功能。

 

4.1  DHCP客户端简介

指定设备的接口作为DHCP客户端后，可以使用DHCP协议从DHCP服务器动态获得IP地址等参数，方便用户配置，也便于集中管理。

4.2  配置接口使用DHCP方式获取IP地址

表4-1 配置接口使用DHCP方式获取IP地址

操作	命令	说明
进入系统视图	system-view	-
进入接口视图	interface interface-type interface-number	-
配置接口使用DHCP方式获取IP地址	ip address dhcp-alloc [ client-identifier mac interface-type interface-number ]	必选 缺省情况下，接口不使用DHCP方式获取IP地址

 

&  说明：

l      接口可以采用多种方式获得IP地址，但不同方式是互斥的，通过新的配置方式获取的IP地址会覆盖通过原有方式获取的IP地址。

l      当接口被配置为通过DHCP动态获取IP地址后，不能再给该接口配置从IP地址。

 

4.3  DHCP客户端显示

在完成上述配置后，在任意视图下执行display命令可以显示配置后DHCP客户端的信息，通过查看显示信息验证配置的效果。

表4-2 DHCP客户端显示

操作	命令
显示DHCP客户端的相关信息	display dhcp client [ verbose ] [ interface interface-type interface-number ]

 

4.4  DHCP客户端典型配置举例

1. 组网需求

交换机的端口（属于VLAN1）接入局域网，VLAN接口1通过DHCP协议从DHCP服务器获取IP地址。

2. 组网图

图4-1 DHCP服务器与客户端在同一网络中的组网示意图

3. 配置步骤

下面只列出图4-1中，作为客户端的交换机的配置。

# 配置VLAN接口1通过DHCP动态获取地址。

<Sysname> system-view

[Sysname] interface vlan-interface 1

[Sysname-Vlan-interface1] ip address dhcp-alloc

&  说明：

为了使DHCP客户端能从DHCP服务器获得所分配的IP地址，还需要在DHCP服务器上进行一些配置。由于作为DHCP服务器的设备不同，所需进行的配置也不同，故此处从略。

 

第5章  BOOTP客户端配置

&  说明：

l      BOOTP客户端中对于接口的相关配置，目前只能在VLAN接口上进行。

l      多个具有相同MAC地址的VLAN接口通过中继以BOOTP方式申请IP地址时，不能用Windows 2000 Server和Windows 2003 Server作为BOOTP服务器。

l      BOOTP客户端上不能配置DHCP Snooping功能。

 

5.1  BOOTP客户端简介

5.1.1  BOOTP应用

BOOTP是BOOTstrap Protocol（自举协议）的简称。指定设备的接口作为BOOTP客户端后，该接口可以使用BOOTP协议从BOOTP服务器获得IP地址等信息，从而方便用户配置。

使用BOOTP协议，管理员需要在BOOTP服务器上为每个BOOTP客户端配置BOOTP参数文件，该文件包括BOOTP客户端的MAC地址及其对应的IP地址等信息。当BOOTP客户端向BOOTP服务器发起请求时，服务器会查找BOOTP参数文件，并返回相应的配置信息。

由于需要在BOOTP服务器上为每个客户端事先配置参数文件，BOOTP一般运行在相对稳定的环境中。当网络变化频繁时，可以采用DHCP协议，DHCP的相关介绍请参见“第1章  DHCP概述”。

&  说明：

由于DHCP服务器可以与BOOTP客户端进行交互，因此用户可以不配置BOOTP服务器，而使用DHCP服务器为BOOTP客户端分配IP地址。

 

5.1.2  IP地址动态获取过程

BOOTP客户端从BOOTP服务器动态获取IP地址的具体过程如下：

(1)        BOOTP客户端以广播方式发送BOOTP请求报文，其中包含了BOOTP客户端的MAC地址；

(2)        BOOTP服务器接收到请求报文后，根据报文中的BOOTP客户端MAC地址，从配置文件数据库中查找对应的IP地址等信息，并向客户端返回包含这些信息的BOOTP响应报文；

(3)        BOOTP客户端从接收到的响应报文中即可获得IP地址等信息。

5.1.3  协议规范

与BOOTP相关的协议规范有：

RFC 951：Bootstrap Protocol (BOOTP)

RFC 2132：DHCP Options and BOOTP Vendor Extensions

RFC 1542：Clarifications and Extensions for the Bootstrap Protocol

5.2  配置接口通过BOOTP协议获取IP地址

表5-1 配置接口通过BOOTP协议获取IP地址

操作	命令	说明
进入系统视图	system-view	-
进入接口视图	interface interface-type interface-number	-
配置接口通过BOOTP协议获取IP地址	ip address bootp-alloc	必选 缺省情况下，接口不通过BOOTP协议获取IP地址

 

5.3  BOOTP客户端显示

在完成上述配置后，在任意视图下执行display命令可以显示配置后BOOTP客户端的运行情况，通过查看显示信息验证配置的效果。

表5-2 BOOTP客户端显示

操作	命令
显示BOOTP客户端的相关信息	display bootp client [ interface interface-type interface-number ]