DHCP helper com uma única sub-rede e vários escopos

Question

Primeiro, um pouco sobre o que estamos tentando fazer.

1. Estamos migrando de sendo várias LANs ( várias sub-redes) conectadas através de links VPN lentos para um único MAN ( single subnet) conectada com fibra gigabit
2. Vamos à VLAN em cada site para controlar a "conversação" entre sites
3. Temos um único "datacenter" que hospedará os servidores de todos os sites
4. As redes NÃO serão roteadas e, novamente, será uma única sub-rede
5. Nossos switches suportam o auxiliar DHCP
6. Nosso servidor DHCP é uma caixa do Windows que executa o Server 2003, mas pode ser atualizado para 2008

Então, minha pergunta é esta:

Com o auxiliar DHCP nos comutadores encaminhando solicitações DHCP, o endereço que o servidor DHCP retorna baseia-se na sub-rede ou no escopo?

Então, por exemplo, se eu configurei vários escopos como este:

• escopo 1: 10.1.0.1 até 10.1.20.254
• escopo 2: 10.2.0.1 até 10.2.20.254

e ambos os escopos estavam na mesma sub-rede (máscara de 255.0.0.0), o servidor DHCP distribuiria um IP para uma máquina de qualquer escopo aleatoriamente, porque a sub-rede é a mesma ou distribuiria um IP de, digamos, escopo 1 porque a solicitação DHCP foi encaminhada de um comutador com um IP que se enquadra no escopo 1?

Eu li informações conflitantes sobre este tópico, alguns dizem que o escopo, enquanto outros dizem sub-rede (às vezes, usando-os de forma intercambiável na mesma resposta)

Qualquer ajuda seria apreciada.

    

Answer 1

Woah, lá. O que você está dizendo se contradiz. Você diz "sub-rede única" em um ponto, mas depois "VLAN cada site" no segundo ponto. Então você diz "as redes NÃO serão roteadas". Tem certeza de que sabe o que está dizendo aqui?

Normalmente, as VLANs 802.1q são implantadas em um relacionamento um-para-um com sub-redes IP. Cada VLAN 802.1q atua como um domínio de transmissão Ethernet independente e, como tal, as transmissões de uma VLAN (como, digamos, uma máquina ARP para outra máquina na sub-rede local) não serão encaminhadas entre as VLANs. A divisão de uma única sub-rede IP em várias VLANs exige uma ponte "inteligente" que possa fazer o proxy ARP.

Como você planeja fazer com que o ARP funcione entre essas várias VLANs?

Se você realmente quiser eliminar o "bate-papo entre sites", o que você realmente deseja é uma sub-rede para cada local físico, um roteador em cada local conectado ao "MAN" para rotear o tráfego para outros locais e Funcionalidade "ip-helper" em cada roteador para encaminhar solicitações DHCP de vários locais para o servidor DHCP central.

O que parece que você não quer é uma única grande sub-rede com um monte de pontes executando proxy ARP, na minha opinião. Seu inquérito DHCP realmente fala sobre um desejo subjacente (embora você não saiba) de ter sub-redes por local com escopos DHCP para cada um.

Para falar especificamente com sua pergunta: DHCP: um "escopo" de DHCP é um intervalo de endereços IP e opções que um servidor DHCP "entregará". O servidor DHCP escolhe o escopo para escolher um endereço com base na interface de rede da qual a solicitação é recebida (se for uma solicitação de difusão) ou no endereço do agente de retransmissão DHCP (se for uma solicitação retransmitida).

Algumas informações básicas: Melhor maneira de segmentar tráfego, VLAN ou sub-rede?

    

Answer 2

Por favor, forneça um diagrama e eu vou rever a minha resposta para responder verdadeiramente à sua pergunta. Sua explicação é um pouco em todo o lugar. Você diz que vai ter várias vlans, mas ao mesmo tempo diga que só vai ter uma sub-rede. Cada VLAN por natureza deve ser sua própria sub-rede ou roteamento inter-vlan não acontecerá. O auxiliar DHCP é usado para encaminhar solicitações DHCP de hosts em uma sub-rede para um servidor DHCP em outro, o IP e a máscara de sub-rede da interface que encaminha a solicitação são usados para determinar qual escopo selecionar para distribuição de endereço. Então você vê, você precisa decidir que você realmente vai ter apenas uma sub-rede, ou você vai continuar a manter múltiplos. Não é típico que a WAN e a LAN se tornem um grande domínio de broadcast. Você provavelmente nem precisa de VLANs, um uplink roteado simples com uma VLAN padrão por trás de cada site pode ser suficiente.

    

Answer 3

Do meu entendimento de como o DHCP funciona, o servidor normalmente distribui endereços IP com base no IP da interface que recebeu a solicitação. Antes de prosseguir, acho que preciso esclarecer algumas palavras-chave. Um "escopo" (no Windows speak) é efetivamente uma definição de sub-rede e pode conter um ou mais conjuntos de endereços dos quais o servidor pode atribuir endereços. A principal diferença é que um escopo pode conter configurações específicas (como servidores NTP, roteadores, servidores DNS, etc.) que diferem de escopo para escopo.

Como no seu caso, haveria apenas uma interface (já que todos estão na mesma sub-rede), isso significa que eles usariam os escopos de forma bastante aleatória. Isso provavelmente causaria estragos em suas VLANs.

A maneira de evitar isso é usando condições específicas para informar ao servidor DHCP qual escopo usar para solicitações específicas. Não tenho conhecimento de nenhum filtro que você possa usar para o seu cenário (no Windows DHCP, o servidor ISC DHCP é muito mais flexível a esse respeito, mas mesmo assim você provavelmente teria dificuldade em definir as condições adequadas).

Portanto, eu sugiro que você use um servidor DHCP por site e desative o auxiliar DHCP.

    

Answer 4

Se você colocar os sites em vlans separadas, eles não poderão se comunicar sem roteamento, de modo que não haveria diferença em tê-los em sub-redes diferentes.

Por que você quer todos eles em uma sub-rede? Parece-me que você está tentando usar a rede de uma forma que não era intencional e causando problemas no processo.