目  录

1 DHCP概述

1.1 DHCP简介

1.2 DHCP的IP地址分配

1.2.1 IP地址分配策略

1.2.2 IP地址动态获取过程

1.2.3 IP地址的租约更新

1.3 DHCP报文格式

1.4 协议规范

2 DHCP Snooping配置

2.1 简介

2.1.1 DHCP Snooping简介

2.1.2 DHCP Snooping信任端口功能简介

2.1.3 DHCP Snooping支持Option 82简介

2.2 DHCP Snooping相关配置

2.2.1 开启DHCP Snooping功能

2.2.2 配置DHCP Snooping信任端口功能

2.2.3 配置DHCP Snooping支持Option 82功能

2.3 DHCP Snooping配置显示

2.4 DHCP Snooping典型配置举例

2.4.1 DHCP Snooping支持Option 82配置举例

3 DHCP/BOOTP客户端配置

3.1 DHCP客户端简介

3.2 自动配置简介

3.2.1 自动配置应用背景

3.2.2 自动配置工作过程

3.3 BOOTP客户端简介

3.4 DHCP/BOOTP客户端配置

3.5 DHCP客户端典型配置举例

3.6 DHCP/BOOTP客户端显示

1 DHCP概述

1.1  DHCP简介

随着网络规模的不断扩大和网络复杂度的提高，经常出现计算机的数量超过可供分配的IP地址的情况。同时随着便携机及无线网络的广泛使用，计算机的位置也经常变化，相应的IP地址也必须经常更新，从而导致网络配置越来越复杂。DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）就是为解决这些问题而发展起来的。

DHCP采用“客户端/服务器”通信模式，由客户端向服务器提出配置申请，服务器返回为客户端分配的IP地址等配置信息，以实现网络资源的动态配置。

在DHCP的典型应用中，一般包含一台DHCP服务器和多台客户端（如PC和便携机），如图1-1所示：

图1-1 DHCP典型应用

1.2  DHCP的IP地址分配

1.2.1  IP地址分配策略

针对客户端的不同需求，DHCP提供三种IP地址分配策略：

l              手工分配地址：由管理员为少数特定客户端（如WWW服务器等）静态绑定IP地址。通过DHCP将配置的固定IP地址发给客户端。

l              自动分配地址：DHCP为客户端分配租期为无限长的IP地址。

l              动态分配地址：DHCP为客户端分配具有一定有效期限的IP地址，当使用期限到期后，客户端需要重新申请地址。绝大多数客户端得到的都是这种动态分配的地址。

1.2.2  IP地址动态获取过程

DHCP客户端从DHCP服务器动态获取IP地址，主要通过四个阶段进行：

(1)        发现阶段，即DHCP客户端寻找DHCP服务器的阶段。客户端以广播方式发送DHCP-DISCOVER报文。

(2)        提供阶段，即DHCP服务器提供IP地址的阶段。DHCP服务器接收到客户端发送的DHCP-DISCOVER报文后，根据IP地址分配的优先次序从地址池中选出一个IP地址，与其他参数一起通过DHCP-OFFER报文发送给客户端（发送方式根据客户端发送的DHCP-DISCOVER报文中的flag字段决定，具体请见1.3  DHCP报文格式的介绍）。

(3)        选择阶段，即DHCP客户端选择IP地址的阶段。如果有多台DHCP服务器向该客户端发来DHCP-OFFER报文，客户端只接受第一个收到的DHCP-OFFER报文，然后以广播方式发送DHCP-REQUEST报文，该报文中包含DHCP服务器在DHCP-OFFER报文中分配的IP地址。

(4)        确认阶段，即DHCP服务器确认IP地址的阶段。DHCP服务器收到DHCP客户端发来的DHCP-REQUEST报文后，只有DHCP客户端选择的服务器会进行如下操作：如果确认地址分配给该客户端，则返回DHCP-ACK报文；否则将返回DHCP-NAK报文，表明地址不能分配给该客户端。

1.2.3  IP地址的租约更新

如果采用动态地址分配策略，则DHCP服务器分配给客户端的IP地址有一定的租借期限，当租借期满后服务器会收回该IP地址。如果DHCP客户端希望延长使用该地址的期限，需要更新IP地址租约。

在DHCP客户端的IP地址租约期限达到一半时间时，DHCP客户端会向DHCP服务器单播发送DHCP-REQUEST报文，进行IP租约的更新。如果此IP地址有效，则DHCP服务器单播回应DHCP-ACK报文，通知DHCP客户端已经获得新IP租约；如果此IP地址不可以再分配给该客户端，则DHCP服务器回应DHCP-NAK报文，通知DHCP客户端不能获得新的租约。

如果在租约的一半时间进行的续约操作失败，DHCP客户端会在租约期限达到7/8时，再次广播发送DHCP-REQUEST报文进行续约。DHCP服务器的处理同上，不再赘述。

1.3  DHCP报文格式

DHCP有8种类型的报文，每种报文的格式相同，只是报文中的某些字段取值不同。DHCP报文格式基于BOOTP的报文格式，具体格式如图1-2所示（括号中的数字表示该字段所占的字节）：

图1-2 DHCP报文格式

各字段的解释如下：

l              op：DHCP报文的操作类型，分为请求报文和响应报文，1为请求报文；2为响应报文。

l              htype、hlen：DHCP客户端的硬件地址类型及长度。

l              hops：DHCP报文经过的DHCP中继的数目。DHCP请求报文每经过一个DHCP中继，该字段就会增加1。

l              xid：客户端发起一次请求时选择的随机数，用来标识一次地址请求过程。

l              secs：DHCP客户端开始DHCP请求后的时间。

l              flags：第一个比特为广播响应标识位，用来标识DHCP服务器响应报文是采用单播还是广播发送，0表示采用单播方式，1表示采用广播方式。其余比特保留不用。

l              ciaddr：DHCP客户端的IP地址。

l              yiaddr：DHCP服务器分配给客户端的IP地址。

l              siaddr：DHCP客户端获取IP地址等信息的服务器IP地址。

l              giaddr：DHCP客户端发出请求报文后经过的第一个DHCP中继的IP地址。

l              chaddr：DHCP客户端的硬件地址。

l              sname：DHCP客户端获取IP地址等信息的服务器名称。

l              file：DHCP服务器为DHCP客户端指定的启动配置文件名称及路径信息。

l              option：可选变长选项字段，包含报文的类型、有效租期、DNS（Domain Name System，域名系统）服务器的IP地址、WINS服务器的IP地址等配置信息。

1.4  协议规范

与DHCP相关的协议规范有：

l              RFC2131：Dynamic Host Configuration Protocol

l              RFC2132：DHCP Options and BOOTP Vendor Extensions

l              RFC1542：Clarifications and Extensions for the Bootstrap Protocol

l              RFC3046：DHCP Relay Agent Information option

2 DHCP Snooping配置

2.1  简介

2.1.1  DHCP Snooping简介

出于安全性的考虑，网络管理员可能需要记录用户上网时所用的IP地址，确认用户从DHCP服务器获取的IP地址和用户主机的MAC地址的对应关系。

l              三层交换机可以通过DHCP中继记录用户的IP地址信息。

l              二层交换机可以通过DHCP Snooping功能监听DHCP报文，记录用户的IP地址信息。

DHCP Snooping功能在S2000-EA(SI)以太网交换机应用的典型组网如图2-1所示。图中的Switch A为S2000-EA(SI)以太网交换机。

图2-1 DHCP Snooping典型组网

S2000-EA(SI)以太网交换机的DHCP Snooping功能，通过监听DHCP-REQUEST报文和监听DHCP-ACK报文来获得用户从DHCP服务器获取的IP地址和用户MAC地址信息。

2.1.2  DHCP Snooping信任端口功能简介

在网络中如果有私自架设的DHCP服务器，将可能导致用户得到错误的IP地址。为了使用户能通过合法的DHCP服务器获取IP地址，S2000-EA(SI)以太网交换机的DHCP Snooping安全机制，允许将端口设置为信任端口与不信任端口。

l              信任端口是与合法的DHCP服务器直接或间接连接的端口。信任端口对接收到的DHCP报文正常转发，从而保证了DHCP客户端获取正确的IP地址。

l              不信任端口是不与合法的DHCP服务器连接的端口。如果从不信任端口接收到DHCP服务器响应的DHCP-ACK和DHCP-OFFER报文则会丢弃，从而防止了DHCP客户端获得错误的IP地址。

2.1.3  DHCP Snooping支持Option 82简介

1. Option 82简介

Option 82是DHCP报文中的中继代理信息选项（Relay Agent Information option），该选项记录了DHCP客户端的位置信息。DHCP中继（或DHCP Snooping设备）接收到DHCP客户端发送给DHCP服务器的请求报文后，可以在该报文中添加Option 82选项，以便管理员定位DHCP客户端，实现对客户端的安全和计费等控制。支持Option 82选项的服务器还可以根据该选项的信息制订IP地址和其他参数的分配策略，提供更加灵活的地址分配方式。

Option 82选项最多可以包含255个子选项。若定义了Option 82，则至少要定义一个子选项。目前设备只支持两个子选项：Circuit ID子选项（sub-option 1）和Remote ID子选项（sub-option 2）。

2. Option 82的填充内容与格式

由于Option 82的内容没有统一规定，不同厂商通常根据需要进行填充。目前，S2000-EA(SI)以太网交换机作为DHCP Snooping设备，对Option 82子选项在默认情况下的填充内容为：

l              sub-option 1（Circuit ID，电路ID子选项）的内容是接收到DHCP客户端请求报文的端口所属VLAN的编号以及端口索引（端口索引的取值为端口编号减1）。

l              sub-option 2（Remote ID，远程ID子选项）的内容是接收到DHCP客户端请求报文的DHCP Snooping设备的MAC地址。

缺省情况下，S2000-EA(SI)以太网交换机作为DHCP Snooping设备，对Option 82字段的填充格式为扩展格式。以默认填充内容为例，子选项的扩展格式如图2-2和图2-3所示。即：在Circuit ID子选项(或Remote ID子选项)中分别定义了Circuit ID（或Remote ID）的类型和长度。

在扩展格式中，Circuit ID（或Remote ID）的类型字段取值由存储格式决定。如果是HEX格式，则设置为0；如果是ASCII格式，则设置为1。

图2-2 Circuit ID子选项的扩展格式

图2-3 Remote ID子选项的扩展格式

在实际组网环境中，由于一些网络设备所支持的Option 82格式不支持Remote ID和Circuit ID的类型和长度标识，为了与这些设备正常互通，S2000-EA(SI)以太网交换机支持配置Option 82的填充格式为标准格式。以默认填充内容为例，子选项的标准格式如图2-4和图2-5所示。即：在Circuit ID子选项（或Remote ID子选项）中不包含标识Circuit ID（或Remote ID）的类型和长度的两个字节。

图2-4 Circuit ID子选项的标准格式

图2-5 Remote ID子选项的标准格式

3. DHCP Snooping支持Option 82工作机制

交换机配置了DHCP Snooping和DHCP Snooping支持Option 82功能后，当收到的DHCP客户端发送的DHCP请求报文中带有Option 82选项时，根据配置的处理策略和子选项内容不同，DHCP Snooping对报文的处理机制不同，详见表2-1。

表2-1 DHCP Snooping设备对携带Option 82选项的报文的处理方式

当收到的DHCP客户端发送的DHCP请求报文中未带Option 82选项时，根据配置的子选项内容，对Option字段进行填充后，转发报文，详见表2-2。

表2-2 DHCP Snooping设备对未携带Option 82选项的报文的处理方式

当接收到DHCP服务器的DHCP回应报文时，如果报文中含有Option 82选项，则删除Option 82字段进行转发；如果报文中不含有Option 82选项，则直接转发。

2.2  DHCP Snooping相关配置

2.2.1  开启DHCP Snooping功能

表2-3 配置DHCP Snooping功能

2.2.2  配置DHCP Snooping信任端口功能

表2-4 配置DHCP Snooping信任端口功能

2.2.3  配置DHCP Snooping支持Option 82功能

表2-5 DHCP Snooping支持Option 82配置任务简介

1. 开启DHCP Snooping支持Option 82功能

表2-6 开启DHCP Snooping支持Option 82功能

2. 配置DHCP Snooping支持Option 82策略

表2-7 配置DHCP Snooping支持Option 82策略

3. 配置Option 82字段的存储格式

S2000-EA(SI)以太网交换机支持对Option 82的存储格式进行配置，可以为十六进制数串格式（HEX），或ASCII码格式。

表2-8 配置Option 82的存储格式

4. 配置Option 82中Circuit ID的内容

表2-9 配置Option 82中Circuit ID的内容

5. 配置Option 82中Remote ID的内容

配置Option 82中Remote ID的内容有两种方式。

l              系统视图下配置：对本设备所有端口生效。可以配置Option 82的内容为设备的系统名称或用户自定义的字符串，格式为ASCII。

l              端口视图下配置：只对设备的当前端口生效。配置内容为用户自定义的字符串，可以指定VLAN来进行配置，即对于属于不同VLAN的报文可以添加不同的配置规则，格式为ASCII。

表2-10 配置Option 82中Remote ID的内容

6. 配置Option 82字段的填充格式

表2-11 配置Option 82字段的填充格式

2.3  DHCP Snooping配置显示

完成上述配置后，在任意视图下执行display命令，可以显示配置DHCP Snooping后的运行情况。通过查看显示信息，用户可以验证配置的效果。

表2-12 DHCP Snooping配置显示

2.4  DHCP Snooping典型配置举例

2.4.1  DHCP Snooping支持Option 82配置举例

1. 组网需求

如图2-6所示，Switch（S2000-EA(SI)）的端口Ethernet1/0/5与DHCP服务器端相连，端口Ethernet1/0/1，Ethernet1/0/2，Ethernet1/0/3分别与DHCP Client A、DHCP Client B、DHCP Client C相连。

l              在Switch上开启DHCP Snooping功能。

l              设置Switch上端口Ethernet1/0/5为DHCP Snooping信任端口。

l              在Switch上开启DHCP Snooping支持Option 82功能，且填充Option 82中Remote ID字段的内容为Switch的系统名称。对经过端口Ethernet1/0/3的属于VLAN 1的报文，填充Option 82中Circuit ID字段的内容为abcd。

2. 组网图

图2-6 配置DHCP Snooping支持Option 82功能组网图

3. 配置步骤

# 开启交换机DHCP Snooping功能。

<Switch> system-view

[Switch] dhcp-snooping

# 设置端口Ethernet1/0/5为DHCP Snooping信任端口。

[Switch] interface Ethernet1/0/5

[Switch-Ethernet1/0/5] dhcp-snooping trust

[Switch-Ethernet1/0/5] quit

# 开启DHCP Snooping支持Option 82功能。

[Switch] dhcp-snooping information enable

# 配置Option 82的Remote ID字段的内容为DHCP Snooping设备的系统名称。

[Switch] dhcp-snooping information remote-id sysname

# 在以太网端口Ethernet1/0/3上配置，对VLAN 1内DHCP报文的Option 82中Circuit ID字段的内容填充为用户自定义内容abcd。

[Switch] interface Ethernet1/0/3

[Switch-Ethernet1/0/3] dhcp-snooping information vlan 1 circuit-id string abcd

3 DHCP/BOOTP客户端配置

3.1  DHCP客户端简介

指定设备的VLAN接口作为DHCP客户端后，可以使用DHCP协议从DHCP服务器动态获得IP地址等参数，方便用户配置，也便于集中管理。

客户端通过DHCP方式动态获取IP地址的过程请参见“1.2.2  IP地址动态获取过程”部分。

3.2  自动配置简介

3.2.1  自动配置应用背景

S2000-EA(SI)以太网交换机自动配置功能是指设备启动时，在主用和备用配置文件不存在时，自动获取并执行配置文件的功能。

自动配置功能简化了网络配置，便于实现对设备的集中管理。目前，企业网面临着这样的问题：设备分布广，维护人员少，网络管理员在每一台设备上进行手工配置的代价巨大。利用自动配置功能，网络管理员只需将配置文件保存在指定的服务器上，设备在空配置启动时可以自动从服务器上获取并执行配置文件，实现自动配置，从而大大降低了网络管理员的工作量。

3.2.2  自动配置工作过程

图3-1 自动配置典型组网图

S2000-EA(SI)以太网交换机支持自动配置功能。基本工作过程如下：

(1)        交换机在主用和备用配置文件不存在时，系统会自动在处于up状态的缺省VLAN接口上启动DHCP客户端功能，广播方式发送DHCP请求报文。报文中的Option 55选项指明交换机需要从DHCP服务器获得哪些信息（如配置文件名、TFTP服务器IP地址等信息）。

(2)        交换机从DHCP服务器应答报文中获取自身的IP地址、可用的配置文件名称（Option 67）、存储此配置文件的TFTP服务器的域名（Option 66）或TFTP服务器地址（Option 150）。

(3)        交换机从TFTP服务器上获取配置文件。具体步骤如下：

l              首先交换机会向DNS服务器请求自身IP地址对应的域名，然后以这个域名作为一个配置文件的名称，来向TFTP服务器请求配置文件；

l              如果向DNS服务器请求IP地址对应的域名失败，则交换机会向TFTP服务器请求一个名为“netdesc.cfg”的网络中间文件，解析这个网络中间文件得到设备IP地址对应的主机名，再向TFTP服务器请求此主机名对应的配置文件（例如，主机名为switch1，则此配置文件名为“switch1.cfg”）；

l              如果以上操作都没有获取到交换机需要的配置文件名称，则交换机查看DHCP应答报文中是否有Option67的选项（配置文件名称），有则进行配置，没有则向TFTP服务器请求一个默认的设备配置文件（文件名为“device.cfg”）。

(4)        成功获得配置文件后，执行获取到的配置文件，完成自动配置过程。

3.3  BOOTP客户端简介

BOOTP是Bootstrap Protocol（自举协议）的简称。指定设备的接口作为BOOTP客户端后，该接口可以使用BOOTP协议从BOOTP服务器获得IP地址等信息，从而方便用户配置。

使用BOOTP协议，管理员需要在BOOTP服务器上为每个BOOTP客户端配置BOOTP参数文件，该文件包括BOOTP客户端的MAC地址及其对应的IP地址等信息。当BOOTP客户端向BOOTP服务器发起请求时，服务器会查找BOOTP参数文件，并返回相应的配置信息。

BOOTP客户端从BOOTP服务器动态获取IP地址的具体过程如下：

(1)        BOOTP客户端以广播方式发送BOOTP请求报文，其中包含了BOOTP客户端的MAC地址；

(2)        BOOTP服务器接收到请求报文后，根据报文中的BOOTP客户端MAC地址，从配置文件数据库中查找对应的IP地址等信息，并向客户端返回包含这些信息的BOOTP响应报文；

(3)        BOOTP客户端从接收到的响应报文中即可获得IP地址等信息。

3.4  DHCP/BOOTP客户端配置

表3-1 配置DHCP/BOOTP客户端

3.5  DHCP客户端典型配置举例

1. 组网需求

Switch A的端口（属于VLAN1）接入局域网，Vlan-interface1通过DHCP协议从DHCP服务器获取IP地址。

2. 组网图

图3-2 DHCP组网图（S2000-EA(SI)作为DHCP客户端）

3. 配置步骤

下面只列出作为DHCP客户端的Switch A上的配置。

# 配置Vlan-interface1通过DHCP动态获取地址。

<SwitchA> system-view

[SwitchA] interface Vlan-interface 1

[SwitchA-Vlan-interface1] ip address dhcp-alloc

3.6  DHCP/BOOTP客户端显示

表3-2 DHCP/BOOTP客户端显示