Страное поведение DHCP на сети

[Tvincooo]

Добрый день форумчане!

Имею проблему в сети.

Некоторые устройства, как правило зависит от производителя NIC, не продлевают аренду лизы.

Дебаг с коммутаторов FiberHome говорит, что Request и ACK успешно отправлены/получены.

Все это заворачивается в Relay на Huawei, тут дебаг так же говорит, что Request и ACK в период продления отправлены.

На брасе Cisco ASR 1000 series нет в дампах пакетов Request на продление, только на получение.

++++++++++++++++++++++

Вот, что интересно,  устройства авторизуем по опт82, один влан на коммутатор, если брать проблемный роутер и завернуть его в отдельный влан, отключив защиты dhcp snooping, вуаля...аренда продлевается.

В руки попался роутер Dlink 2007 выпуска со стоковой прошивой который имел такую проблему, обновление прошивы помогло.

Сравнил дампы до и после обновления, на дампах ДО..роутер спамит request'ами, не получив ответ, отправляет Discover и получает (или тот же ип, или новый)

Дампы после обновления, стабильно работает, Request - ACK, Request - ACK...

Разницы в пакетах до и после криминальной не нашел, в новой версии ПО появились только субопция 43 

++++++++++++++++++++++

Уже устал от дампов/дебагов...может кто подскажет?Встречался с такой проблемой?

Искал DHCP атаку, тот же show ip dhcp conflict на брасе ничего не говорит...

 

[sdy_moscow]

Тема про коммутаторы ДЛинк была с похожей проблемой (мы сами сталкивались), возможно: один чип - один базовый софт - общая ошибка.

[pppoetest]

В 27.03.2022 в 11:27, Tvincooo сказал:

Уже устал от дампов/дебагов...может кто подскажет?Встречался с такой проблемой?

Периодически всякие глюки были, в т.ч. и с дхцп, в результате пришол к выводу, что софтфичи свитчей - зло злое. Влан на пользователя спасёт отца русской демократии.

[Ser]

Думаю, проблема в том, что пакет на продление лизы отсылается клиентом на ip dhcp сервера UNICAST-пакетом.

Вам нужно просто разрешить прохождение этих пакетов туда и обратно. Может маршрутов не хватает.

 

К примеру, свичи snr не перехватывают unicast-пакеты и не добавляют Op82.

А вот свичи длинки перехватывают любые пакеты dhcp.

 

Я тоже долго боролся и в итоге сделал лизу на 10 суток и перерыв связи на время продления стали редкими и клиенты не жалуются.

Edited March 28, 2022 by Ser

[Tvincooo]

Вообщем так и не победили проблему, кто только уже не был на сети, и все пришли к выводу, что проблема на стороне клиентов. Не принимает ответ АСК от сервера в ответ на REQUEST. И пришли к последнему решению, увеличению аренды до 24 часов.

Тут всплыли другие проблемы из-за увеличения. Есть два браса, и резервные пулы на каждом, если агрегирующий/магистральный узел теряет Uplink к своему брасу, то есть резервный до другого браса. Маршрутизация отрабатывает, но вот сессия не поднимается на резерве, пока клиент не обратится к серверу по протоколу DHCP. Учитывая аренду 24, он это сделает или через 12 часов или через 6 часов и так далее...убить сессии или bindind на своем брасе не поможет, помогает только ребут коммутатора доступа или ребут клиентских девайсов. На сколько я знаю, есть какие то сообщения от сервера (всякие opensourceные) клиенту, о принудительном завершении аренды, так ли это? линк для такого объема есть. И есть ли такое на CIsco ASR1002?

[sirmax]

Старая тема о главном

Проблема может быть как в клиенте (который не шлет что-то или шлет не верное) так и в софте свитчей

1 - вот тема которую я так и не решил (https://forum.nag.ru/index.php?/topic/170127-catalyst-4948e-ip-unnumbered-dhcp-snooping-i-problema-s-chastyu-klientov/) - к счастью таких очень мало

2 - некоторые свитчи EdgeCore  в некоторых весиях софта "ломали" opt82 -  пакет приезжал обрезанный, помогло обновление софта на коммутаторах
При этом другие клиенты с того же коммутатора работали вообще без вопросов как и другой роутер, точнее много других роутеров в том же порту
Сопоставить что именно проблемный роутер делает не то и как это ломает получения адреса я так и не смог. 

3 - иногда не добавлялся маршрут например из-за ошибки конфигурации (например динамический пул а при рестарте dhcpd зачистили файл с лизами)
В этом случае динамические адреса получат другие клиенты, будут маршруты в другие вланы, в общем не надо зачишать файл с лизами 

 

 

В 27.03.2022 в 17:49, pppoetest сказал:

Периодически всякие глюки были, в т.ч. и с дхцп, в результате пришол к выводу, что софтфичи свитчей - зло злое. Влан на пользователя спасёт отца русской демократии.

Те кто могли сделать влан-на-пользователя наверняка так уже сделали)
Меня мучает вопрос чем за разумные деньги можно сделать  ip unnumbered и SVI в QinQ интерфейсе кроме как на линуксе