dhcp snooping
دوست عزیز با تشکر از اموزش خوبتون
من dhcp snooping روی سوئیچ های 2960 اجرا کردم وبه درستی کار می کند .اما چرا dhcp snooping روی سوئیچ های 3560 کانفیگ می شود ولی dhcp snooping کار نمی کند؟
20 پاسخ
این کار اشتباه است .ولی باز من امتحان کردم جواب نداد.
پاین موضوع خیلی مهمی هست .ولی کسی نتونسته حل کنه
سلام
این مشکل حل شد؟
خروجی دستور Debug Ip dhcp snooping event اینو نشون میده checking expired snoop binding entries
شما ip dhcp snooping رو حتما وارد کردید؟
و همچنین برای vlan خاصی هم فعالش کردید؟
نمایش صرف این خروجی میگه احتمالا تنظیمات درست نیست
Running-config رو بذارید اینجا بررسی کنیم
این جریان واسه منم مهم شد ببینم چرا کار نمی کنه
باید روی 3560 هم کار کنه چک کنید ببینید پورت ها در حالت Routed نیست؟ یعنی پورت رو لایه 3 نکردید؟
با دستور switchport می تونید برش گردونید به لایه 2
و اینکه: (تو سازمان و شبکه ای که در حال کار هست این کارو انجام ندید همه چی به هم میریزه!)
پورت هارو چک کردید که لایه ۳ نباشن؟
پورتی که به dhcp server وصله رو trust کردید؟
سرور dhcp چی بود؟
از option 82 پشتیبانی می کرد؟
بله این کارو کردم و نگرفتن ازش block شد همه ترافیک
فقط از gi0/0 گرفت
شما یک dhcp دیگه ران کردین واین dhcp رو به اینترفیس دیگه وصل کردین؟ ایا کلاینت ها ip نگرفتن؟
بله روی لایه اکسس هستش.من همچنین روی packet tracer هم امتحان کردم بازم نشد.یعنی روی 2960 کار می کنه ولی روی 3560 کار نکرد.می تونید خودتون هم امتحان کنید.
دوست من تمام دستوراتی که گفتین اجرا کردم ولی باز درست نشد.میتونی روی packet tracer تست کنی بعد اگر درست کار کرد.فایلشو بفرستین؟
دوست عزیز سلام
dhcp snooping از پالیسیس های امنیتی هستش که معمولا در لایه اکسس و روی سوئیچ های لایه دو و در لایه اکسس اعمال میشه
سوئیچ لایه سه سیسکوی شما توی لایه اکسسه؟
چه موضوع مهمی؟ جواب سوال رو میدونید بگید ما هم یاد بگیریم تو کار به دردمون می خوره
پاسخ رو پیدا کردم تست هم کردم جواب گرفتم
ip routing رو فعال نکردید
اینم تنظیمات: (DHCP سرور به gi0//0 متصله و چون از option 82 پشتیبانی نمی کنه، option 82 رو غیر فعال کردم تو سوییچ و کلاینت هم به gi0//1 متصله)
Switch(config)#do show run Building configuration... Current configuration : 3334 bytes ! ! Last configuration change at 09:42:44 UTC Mon May 9 2016 ! version 15.2 service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption service compress-config ! hostname Switch ! boot-start-marker boot-end-marker ! ! ! no aaa new-model ! ! ! ! ! ! ! ! ip dhcp snooping vlan 60 no ip dhcp snooping information option ip dhcp snooping ip cef no ipv6 cef ! ! ! spanning-tree mode rapid-pvst spanning-tree extend system-id ! vlan internal allocation policy ascending ! ! ! ! ! ! ! ! ! ! ! ! ! ! interface GigabitEthernet0/0 switchport access vlan 60 switchport mode access media-type rj45 speed 1000 duplex full no negotiation auto ip dhcp snooping limit rate 200 ip dhcp snooping trust ! interface GigabitEthernet0/1 switchport access vlan 60 switchport mode access media-type rj45 negotiation auto ! interface GigabitEthernet0/2 media-type rj45 negotiation auto ! interface GigabitEthernet0/3 media-type rj45 negotiation auto ! interface GigabitEthernet1/0 media-type rj45 negotiation auto ! interface GigabitEthernet1/1 media-type rj45 negotiation auto ! interface GigabitEthernet1/2 media-type rj45 negotiation auto ! interface GigabitEthernet1/3 media-type rj45 negotiation auto ! interface Vlan60 ip address 10.10.10.2 255.255.255.0 ip helper-address 10.10.10.1 ! ip forward-protocol nd ! no ip http server no ip http secure-server
این خروجی debug ها:
*May 9 09:46:29.465: DHCP_SNOOPING: received new DHCP packet from input interface (GigabitEthernet0/1) *May 9 09:46:29.467: DHCP_SNOOPING: process new DHCP packet, message type: DHCPDISCOVER, input interface: Gi0/1, MAC da: ffff.ffff.ffff, MAC sa: 0050.7966.6800, IP da: 255.255.255.255, IP sa: 0.0.0.0, DHCP ciaddr: 0.0.0.0, DHCP yiaddr: 0.0.0.0, DHCP siaddr: 0.0.0.0, DHCP giaddr: 0.0.0.0, DHCP chaddr: 0050.7966.6800 *May 9 09:46:29.467: DHCP_SNOOPING: message type : DHCPDISCOVER DHCP ciaddr: 0.0.0.0, DHCP yiaddr: 0.0.0.0, DHCP siaddr: 0.0.0.0, DHCP giaddr: 0.0.0.0, DHCP chaddr: 0050.7966.6800 *May 9 09:46:29.469: DHCP_SNOOPING_SW: bridge packet get invalid mat entry: FFFF.FFFF.FFFF, packet is flooded to ingress VLAN: (60) *May 9 09:46:29.470: DHCP_SNOOPING_SW: bridge packet send packet to cpu port: Vlan60. *May 9 09:46:29.471: DHCP_SNOOPING_SW: bridge packet send packet to port: GigabitEthernet0/0, vlan 60. *May 9 09:46:29.484: DHCP_SNOOPING: received new DHCP packet from input interface (Vlan60) *May 9 09:46:29.484: DHCP_SNOOPING: process new DHCP packet, message type: DHCPDISCOVER, input interface: Vl60, MAC da: ca02.0b04.0008, MAC sa: 0000.abd3.803c, IP da: 10.10.10.1, IP sa: 10.10.10.2, DHCP ciaddr: 0.0.0.0, DHCP yiaddr: 0.0.0.0, DHCP siaddr: 0.0.0.0, DHCP giaddr: 10.10.10.2, DHCP chaddr: 0050.7966.6800 *May 9 09:46:29.485: DHCP_SNOOPING: message type : DHCPDISCOVER DHCP ciaddr: 0.0.0.0, DHCP yiaddr: 0.0.0.0, DHCP siaddr: 0.0.0.0, DHCP giaddr: 10.10.10.2, DHCP chaddr: 0050.7966.6800 *May 9 09:46:29.485: DHCP_SNOOPING_SW: exclude source cpu port Vlan60 from output portset. *May 9 09:46:29.485: DHCP_SNOOPING_SW: bridge packet send packet to port: GigabitEthernet0/0, vlan 60. *May 9 09:46:30.354: DHCP_SNOOPING: received new DHCP packet from input interface (GigabitEthernet0/1) *May 9 09:46:30.355: DHCP_SNOOPING: process new DHCP packet, message type: DHCPDISCOVER, input interface: Gi0/1, MAC da: ffff.ffff.ffff, MAC sa: 0050.7966.6800, IP da: 255.255.255.255, IP sa: 0.0.0.0, DHCP ciaddr: 0.0.0.0, DHCP yiaddr: 0.0.0.0, DHCP siaddr: 0.0.0.0, DHCP giaddr: 0.0.0.0, DHCP chaddr: 0050.7966.6800 *May 9 09:46:30.355: DHCP_SNOOPING: message type : DHCPDISCOVER DHCP ciaddr: 0.0.0.0, DHCP yiaddr: 0.0.0.0, DHCP siaddr: 0.0.0.0, DHCP giaddr: 0.0.0.0, DHCP chaddr: 0050.7966.6800 *May 9 09:46:30.355: DHCP_SNOOPING_SW: bridge packet get invalid mat entry: FFFF.FFFF.FFFF, packet is flooded to ingress VLAN: (60) *May 9 09:46:30.356: DHCP_SNOOPING_SW: bridge packet send packet to cpu port: Vlan60. *May 9 09:46:30.356: DHCP_SNOOPING_SW: bridge packet send packet to port: GigabitEthernet0/0, vlan 60. *May 9 09:46:30.357: DHCP_SNOOPING: received new DHCP packet from input interface (Vlan60) *May 9 09:46:30.358: DHCP_SNOOPING: process new DHCP packet, message type: DHCPDISCOVER, input interface: Vl60, MAC da: ca02.0b04.0008, MAC sa: 0000.abd3.803c, IP da: 10.10.10.1, IP sa: 10.10.10.2, DHCP ciaddr: 0.0.0.0, DHCP yiaddr: 0.0.0.0, DHCP siaddr: 0.0.0.0, DHCP giaddr: 10.10.10.2, DHCP chaddr: 0050.7966.6800 *May 9 09:46:30.358: DHCP_SNOOPING: message type : DHCPDISCOVER DHCP ciaddr: 0.0.0.0, DHCP yiaddr: 0.0.0.0, DHCP siaddr: 0.0.0.0, DHCP giaddr: 10.10.10.2, DHCP chaddr: 0050.7966.6800 *May 9 09:46:30.358: DHCP_SNOOPING_SW: exclude source cpu port Vlan60 from output portset. *May 9 09:46:30.358: DHCP_SNOOPING_SW: bridge packet send packet to port: GigabitEthernet0/0, vlan 60. *May 9 09:46:31.262: DHCP_SNOOPING: received new DHCP packet from input interface (GigabitEthernet0/0) *May 9 09:46:31.263: DHCP_SNOOPING: process new DHCP packet, message type: DHCPOFFER, input interface: Gi0/0, MAC da: 0050.7966.6800, MAC sa: ca02.0b04.0008, IP da: 10.10.10.3, IP sa: 10.10.10.1, DHCP ciaddr: 0.0.0.0, DHCP yiaddr: 10.10.10.3, DHCP siaddr: 0.0.0.0, DHCP giaddr: 0.0.0.0, DHCP chaddr: 0050.7966.6800 *May 9 09:46:31.264: DHCP_SNOOPING: message type : DHCPOFFER DHCP ciaddr: 0.0.0.0, DHCP yiaddr: 10.10.10.3, DHCP siaddr: 0.0.0.0, DHCP giaddr: 0.0.0.0, DHCP chaddr: 0050.7966.6800 *May 9 09:46:31.266: DHCP_SNOOPING: direct forward dhcp replyto output port: GigabitEthernet0/1. *May 9 09:46:32.980: DHCP_SNOOPING: received new DHCP packet from input interface (GigabitEthernet0/1) *May 9 09:46:32.981: DHCP_SNOOPING: process new DHCP packet, message type: DHCPREQUEST, input interface: Gi0/1, MAC da: ca02.0b04.0008, MAC sa: 0050.7966.6800, IP da: 255.255.255.255, IP sa: 0.0.0.0, DHCP ciaddr: 10.10.10.3, DHCP yiaddr: 0.0.0.0, DHCP siaddr: 0.0.0.0, DHCP giaddr: 0.0.0.0, DHCP chaddr: 0050.7966.6800 *May 9 09:46:32.981: DHCP_SNOOPING: message type : DHCPREQUEST DHCP ciaddr: 10.10.10.3, DHCP yiaddr: 0.0.0.0, DHCP siaddr: 0.0.0.0, DHCP giaddr: 0.0.0.0, DHCP chaddr: 0050.7966.6800 *May 9 09:46:32.982: DHCP_SNOOPING_SW: bridge packet send packet to port: GigabitEthernet0/0, vlan 60. *May 9 09:46:32.991: DHCP_SNOOPING: received new DHCP packet from input interface (GigabitEthernet0/0) *May 9 09:46:32.991: DHCP_SNOOPING: process new DHCP packet, message type: DHCPACK, input interface: Gi0/0, MAC da: 0050.7966.6800, MAC sa: ca02.0b04.0008, IP da: 10.10.10.3, IP sa: 10.10.10.1, DHCP ciaddr: 10.10.10.3, DHCP yiaddr: 10.10.10.3, DHCP siaddr: 0.0.0.0, DHCP giaddr: 0.0.0.0, DHCP chaddr: 0050.7966.6800 *May 9 09:46:32.991: DHCP_SNOOPING: message type : DHCPACK DHCP ciaddr: 10.10.10.3, DHCP yiaddr: 10.10.10.3, DHCP siaddr: 0.0.0.0, DHCP giaddr: 0.0.0.0, DHCP chaddr: 0050.7966.6800 *May 9 09:46:32.992: DHCP_SNOOPING: add binding on port GigabitEthernet0/1. *May 9 09:46:32.993: DHCP_SNOOPING: added entry to table (index 803) *May 9 09:46:32.994: DHCP_SNOOPING: direct forward dhcp replyto output port: GigabitEthernet0/1. *May 9 09:46:41.508: DHCP_SNOOPING: checking expired snoop binding entries
اینم خروجی debug سرور DHCP:
*May 9 14:17:52.943: DHCPD: Reload workspace interface GigabitEthernet0/0 tableid 0. *May 9 14:17:52.943: DHCPD: tableid for 10.10.10.1 on GigabitEthernet0/0 is 0 *May 9 14:17:52.947: DHCPD: client's VPN is . *May 9 14:17:52.947: DHCPD: DHCPDISCOVER received from client 0100.5079.6668.00 on interface GigabitEthernet0/0. *May 9 14:17:52.955: DHCPD: Saving workspace (ID=0xA8000001) *May 9 14:17:52.959: DHCPD: New packet workspace 0x655A6BFC (ID=0xCF000002) *May 9 14:17:52.967: DHCPD: Reload workspace interface GigabitEthernet0/0 tableid 0. *May 9 14:17:52.971: DHCPD: tableid for 10.10.10.1 on GigabitEthernet0/0 is 0 *May 9 14:17:52.971: DHCPD: client's VPN is . R1(config)# *May 9 14:17:52.975: DHCPD: DHCPDISCOVER received from client 0100.5079.6668.00 through relay 10.10.10.2. *May 9 14:17:53.931: DHCPD: Reload workspace interface GigabitEthernet0/0 tableid 0. *May 9 14:17:53.931: DHCPD: tableid for 10.10.10.1 on GigabitEthernet0/0 is 0 *May 9 14:17:53.935: DHCPD: client's VPN is . *May 9 14:17:53.935: DHCPD: DHCPDISCOVER received from client 0100.5079.6668.00 on interface GigabitEthernet0/0. *May 9 14:17:53.955: DHCPD: Reload workspace interface GigabitEthernet0/0 tableid 0. *May 9 14:17:53.955: DHCPD: tableid for 10.10.10.1 on GigabitEthernet0/0 is 0 *May 9 14:17:53.955: DHCPD: client's VPN is . R1(config)# *May 9 14:17:53.955: DHCPD: DHCPDISCOVER received from client 0100.5079.6668.00 through relay 10.10.10.2. *May 9 14:17:54.951: DHCPD: Reprocessing saved workspace (ID=0xA8000001) *May 9 14:17:54.955: DHCPD: DHCPDISCOVER received from client 0100.5079.6668.00 on interface GigabitEthernet0/0. *May 9 14:17:54.955: DHCPD: Sending DHCPOFFER to client 0100.5079.6668.00 (10.10.10.3). *May 9 14:17:54.959: DHCPD: creating ARP entry (10.10.10.3, 0050.7966.6800, vrf default). *May 9 14:17:54.963: DHCPD: unicasting BOOTREPLY to client 0050.7966.6800 (10.10.10.3). *May 9 14:17:54.967: DHCPD: Freeing saved workspace (ID=0xA8000001) R1(config)# *May 9 14:17:56.947: DHCPD: Reload workspace interface GigabitEthernet0/0 tableid 0. *May 9 14:17:56.947: DHCPD: tableid for 10.10.10.1 on GigabitEthernet0/0 is 0 *May 9 14:17:56.947: DHCPD: client's VPN is . *May 9 14:17:56.951: DHCPD: DHCPREQUEST received from client 0100.5079.6668.00. *May 9 14:17:56.951: DHCPD: DHCPREQUEST received on interface GigabitEthernet0/0. *May 9 14:17:56.951: DHCPD: Sending DHCPACK to client 0100.5079.6668.00 (10.10.10.3). *May 9 14:17:56.951: DHCPD: ARP entry exists (10.10.10.3, 0050.7966.6800). *May 9 14:17:56.951: DHCPD: unicasting BOOTREPLY to client 0050.7966.6800 (10.10.10.3).
ببینید این نیست که به دلیل rate limit که گذاشتید اینترفیس error disabled شده؟ یعنی از دستور errdisable recovery cause dhcp-rate-limit استفاده نکردید
اول روی سوئیچ واقعی چک کردیم.بعد برای اینکه شما متوجه حرف من بشین گفتم روی packet tracer چک کنید
بله همه دستورات انجام دادم .حتی روی سوئیچ واقعی 3750 هم کار نمی کنه.
این هم فایل کانفیگ 3750
SW-1#show running-config
Building configuration...
Current configuration : 4057 bytes
version 12.2
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
hostname SW-1
boot-start-marker
boot-end-marker
enable secret 5 $1$a9s8$o06NVbFj59w4K6KUBF9aQ0
username ali secret 5 $1$Fphq$y0Gvv5dytFurLbtTrRH2N/
no aaa new-model
switch 1 provision ws-c3750v2-24ts
system mtu routing 1500
ip domain-name cisco.local
ip dhcp snooping vlan 60
ip dhcp snooping
crypto pki trustpoint HTTPSSSCERT_KEYPAIR
enrollment selfsigned
serial-number
revocation-check none
rsakeypair HTTPSSSCERT_KEYPAIR
crypto pki certificate chain HTTPSSSCERT_KEYPAIR
certificate self-signed 01
30820285 308201EE A0030201 02020101 300D0609 2A864886 F70D0101 04050030
4F311A30 18060355 04031311 53776974 63682E72 6F6F742E 6C6F6361 6C313130
0F060355 04051308 39363532 35463030 301E0609 2A864886 F70D0109 02161153
77697463 682E726F 6F742E6C 6F63616C 301E170D 39333033 30313030 30333536
5A170D32 30303130 31303030 3030305A 304F311A 30180603 55040313 11537769
7463682E 726F6F74 2E6C6F63 616C3131 300F0603 55040513 08393635 32354630
30301E06 092A8648 86F70D01 09021611 53776974 63682E72 6F6F742E 6C6F6361
6C30819F 300D0609 2A864886 F70D0101 01050003 818D0030 81890281 8100B5EC
19BD9AE9 98FE2AD1 06D5B881 144AA2D9 B369A41B BF37FED5 BD4FBBAE 0C94C9CB
44F522C9 AAE29272 C805D867 0E92D17A 956AF2E6 F9FC1FCF 3B3B2364 FAC2C1A1
4827E965 A64D0889 9761F392 D7347392 55A23378 42970783 51086461 ACDCD0CD
9C79F58C 48543005 F8BBF5DE 505A4579 2A18072C 9B098D2F 760226EF 89F90203
010001A3 71306F30 0F060355 1D130101 FF040530 030101FF 301C0603 551D1104
15301382 11537769 7463682E 726F6F74 2E6C6F63 616C301F 0603551D 23041830
1680145D 4478C15F EDF7386B 6A173B77 91784D6E 6E77AA30 1D060355 1D0E0416
04145D44 78C15FED F7386B6A 173B7791 784D6E6E 77AA300D 06092A86 4886F70D
01010405 00038181 007280E1 9A4A4C8F 59571941 3EA2DF2F AFDA9C30 2A033F98
AF3A3C69 1E6C7083 4C7346EC 3D28CF76 D4D9E303 7766DDF0 D7DA7F10 C0ADD264
6948A0F8 4D076757 ACA21B23 77FA4521 00D0344C BCDBE35B CB171A7A 48937282
F2FC332A 7C1C8689 16525B87 56251BD4 E8C3863C 76102871 5E030692 A2B706A7
5A73B59E C776B03E 27
quit
spanning-tree mode pvst
spanning-tree extend system-id
vlan internal allocation policy ascending
ip ssh version 2
interface FastEthernet101
interface FastEthernet102
switchport access vlan 60
interface FastEthernet103
switchport access vlan 60
interface FastEthernet104
switchport access vlan 60
interface FastEthernet105
switchport access vlan 60
interface FastEthernet106
switchport access vlan 60
interface FastEthernet107
switchport access vlan 60
interface FastEthernet108
switchport access vlan 60
interface FastEthernet109
switchport access vlan 60
interface FastEthernet1010
switchport access vlan 60
interface FastEthernet1011
switchport access vlan 60
interface FastEthernet1012
switchport access vlan 60
interface FastEthernet1013
switchport access vlan 60
interface FastEthernet1014
switchport access vlan 60
interface FastEthernet1015
switchport access vlan 60
interface FastEthernet1016
switchport access vlan 60
interface FastEthernet1017
switchport access vlan 60
interface FastEthernet1018
switchport access vlan 60
interface FastEthernet1019
switchport access vlan 60
interface FastEthernet1020
switchport access vlan 60
interface FastEthernet1021
switchport access vlan 60
interface FastEthernet1022
switchport access vlan 60
interface FastEthernet1023
switchport access vlan 60
ip dhcp snooping limit rate 200
ip dhcp snooping trust
interface FastEthernet1024
switchport access vlan 60
interface GigabitEthernet101
interface GigabitEthernet102
interface Vlan1
no ip address
interface Vlan60
ip address 10.62.20.5 255.255.255.0
ip classless
no ip http server
no ip http secure-server
no cdp run
line con 0
line vty 0 4
login local
transport input ssh
line vty 5 15
login
end
دستورات زیر رو وارد کنید ببینید خروجی چی میده:
debug ip dhcp snooping packet debug ip dhcp snooping event debug ip dhcp snooping agent
تو packet tracer این چنین قابلیت هایی کار نمی کنه دوست عزیز
حتی تو gns3 هم امکان تستش نبود که با اومدن IOSv لایه ۲ میشه تو gns3 هم پیاده سازی کرد و من به شخصه راه اندازی کردم و جواب هم گرفتم
من فکر کردم شما منظورتون سوییچ واقعی 3560 هست
Packet tracer واسه ccna هست ولی dhcp snooping دروس ccnp هستش
تا حالا trust رو روی پورت access امتحان نکردم
روی SVI VLAN 60 یعنی interface vlan 60 آی پی DHCP سرور رو به صورت helper address بدید ببینید درست میشه (من اینجا مثال زدم شما به جای ip که من دادم آی پی dhcp سرور رو بدید؟
Switch(config)#int vlan 60 Switch(config-if)#ip helper 10.62.20.100
و اینکه این دستور هم وارد کنید:
Switch(config)#no ip dhcp snooping information option