web-dev-qa-db-ja.com

CiscoCatalystのアクセスリストの背後にあるDHCP転送

Cisco Catalyst4500スイッチのアクセスリストの背後にあるサブネットからDHCPを転送する際に問題が発生しました。私が犯している間違いを誰かが見てくれることを願っています。

サブネットは次のように定義されます:(匿名化されたIPアドレスとvrf名の最初の3オクテット）

interface Vlan40
  ip vrf forwarding vrf_name
  ip address 10.10.10.126 255.255.255.0 secondary
  ip address 10.10.10.254 255.255.255.0
  ip access-group 100 out
  ip helper-address 10.10.20.36
  no ip redirects

DHCPを使用するように構成されたこのサブネット上のVMWareマシンをオンにしようとしましたが、DHCP応答が得られず、DHCPサーバーが要求を受信しませんでした。アクセスリストに次のものを入れてみました。

access-list 100 permit udp Host 10.10.10.254 Host 10.10.20.36 eq bootps
access-list 100 permit udp Host 10.10.10.254 Host 10.10.20.36 eq bootpc
access-list 100 permit udp Host 10.10.20.36 Host 10.10.10.254 eq bootps
access-list 100 permit udp Host 10.10.20.36 Host 10.10.10.254 eq bootpc

それは助けにはならなかった。誰かが問題が何であるかを見ることができますか？

  • DHCPサーバーが機能することは知っています。ネットワーク全体がこのDHCPサーバーで実行されています
  • また、ネットワーク上でアクティブなサーバーが実行されているため、サブネットが機能することも知っています。
  • DHCPスコープはDHCPサーバーですでに定義されています
  • サブネットはVMWareサーバーで正しく定義されています（VMWareのサブネットで実行されているサーバーはすでに）

編集2012-10-19：これは解決されました！サブネットは以前は/ 25ネットワークとして定義されていましたが、その後/ 24ネットワークに拡張されました。この変更後にDHCPスコープが変更された場合、それは正しく行われていませんでした。ゲートウェイは.254に移動され、リース可能なIP範囲は/ 24サブネットの下半分にありましたが、CIDRプレフィックスを/ 25から/ 24に変更するのを忘れていました。これは約2年前に発生し、今週までこのサーバーネットワークでDHCPを再度使用する必要はありませんでした。

質問を見てトラブルシューティングを試みてくれたMDMarraとJasonSeemannに感謝します。

今、私はジェイソンの答えを受け入れられた答えとしてマークするべきかどうか疑問に思っています（私はStack Exchangeネットワークに慣れていないので、この場合のように質問を間違えた場合の対処法がわかりません）。

ciscodhcpaccess-control-list
1
Ásgeir Bjarnason

注1：通常、アウトバウンドACLは、アウトバウンドルーターから発信されたトラフィックに影響を与えないため、ACLがDHCPの動作を直接停止しているのかどうかはわかりません。

注2：上記を確認するために簡単なラボをモックアップしました。基本的に、ルータートラフィックがACLにヒ​​ットしないことを確認するために、ログACLに許可IPを設定するだけです。私の場合はヒットしませんでした。

注3：そこで、VLAN40でのDHCP応答のパケット形式を理解するためにスニファを接続しました。 DHCP応答は、ルーターインターフェイス（この場合は10.10.10.254）から送信され、ブロードキャストIP255.255.255.255宛てに送信されます。送信元ポートBOOTPS、宛先ポートBOOTPC。必要に応じて、ACLをこのパケット形式にスカルプトできます（udp Host 10.10.10.254 eq bootps Host 255.255.255.255 eq bootpcを許可します）が、注1のためにヒットが表示されることはないと思います。

注意点として、私のACLは、DHCPサーバーからサブネットへのpingテストを取得して、割り当てたいIPアドレスが使用可能であることを検証しました。このDHCPが機能することを拒否したとしても、ほとんどは参考までに。

サーバーとクライアント、およびその他のパラメーターを詳しく見てください。DHCPはこのサブネットで機能すると言います。または、基本的な確認だけでACLを完全に削除し、それが機能するかどうかを確認します。

2
Jason Seemann