DHCP服务过度方案（linux+dhcpd+failover）

一   现状分析

随着公司家属区接入用户的数量不断增加，以及公司网络的结构不断的复杂，静态 ip 地址的管理方式显得极不协调。不但配置麻烦管理不便也会造成额外的工作负担，因此对家属区提供 dhcp 服务十分必要。

经过对公司网络环境的研究以及现有资源的整合发现在不增加设备的前提下能够对用户提供有限的 dhcp 服务，但这会为将来在整个企业网中实现 dhcp 动态分配地址积累丰富的经验。可以先在家属区进行试点在逐步推广到全公司家属区乃至办公区。

二   网络设计与配置计划

650) this.width=650;" title="QQ截图20141230205124.png" src="/upload/getfiles/default/2022/11/15/20221115064328433.jpg" />

经过对 dhcp 工做原理的研究发现 dhcp relay 到 dhcp server 之间的通讯是单播发送，换言之就是 dhcp relay 与 dhcp server 之间只要保持路由可达 relay 就能中继 dhcpdiscover 等相关消息（如图 1-1 ）。这为 dhcp 服务器的集中部署提供了必要条件，而且对后续的发展也是很有帮助。只要用户汇聚交换机支持 dhcp relay 功能以及 dhcp-snooping 功能服务器就能汇聚中的网段提供 dhcp 服务。

2 . 配置计划

针对家属区的网络环境具体的配置计划如下：

（ 1 ）服务器配置

1 . dhcp 可架设在闲置的 hp 服务器上采用 linux 系统，划入 vlan 17 内与 cams 服务器同属于一 vlan, 这样用户若能访问 cams 服务器那就一定能访问 dhcp 服务器。因为 dhcp 服务与 cams 是协同工作同一 vlan 也便于物理上进行区分。

Dhcp 配置文件如下：

option domain-name "honliv.com";

option domain-name-servers 202.102.224.68, 10.1.100.88;

default-lease-time 172800;

max-lease-time 259200;

shared-network superscopes1 {

  subnet 10.1.17.0 netmask 255.255.255.0 {

    option routers  10.1.17.254;

   }

 }

shared-network superscopes2 {

  subnet 10.1.8.0 netmask 255.255.255.0 {

    option routers  10.1.8.254 ;

    option broadcast-address 10.1.8.255;

       range 10.1.8.3 10.1.8.30 ;

   }

}

shared-network superscopes3 {

  subnet 10.1.7.0 netmask 255.255.255.0 {

    option routers  10.1.7.254 ;

    option broadcast-address 10.1.7.255;

       range 10.1.7.3 10.1.7.40 ;

   }

}

shared-network superscopes4 {

  subnet 10.1.6.0 netmask 255.255.255.0 {

    option routers  10.1.6.254;

    option broadcast-address 10.1.6.255;

       range 10.1.6.115 10.1.6.116;

   }

}

shared-network superscopes5 {

  subnet 10.1.5.0 netmask 255.255.255.0 {

    option routers  10.1.5.254;

    option broadcast-address 10.1.5.255;

       range 10.1.5.3 10.1.5.100 ;   }}

网卡配置文件如下

DEVICE="eth0"

BOOTPROTO="static"

HWADDR="00:22:19:04:97:76"

IPV6INIT="yes"

MTU="1500"

NM_CONTROLLED="yes"

ONBOOT="yes"

TYPE="Ethernet"

UUID="6b409053-fd82-4e66-b386-254450de3f24"

IPADDR="10.1.17.17"

NETMASK="255.255.255.0"

GATEWAY="10.1.17.254"

NETWORK="10.1.17.0"

DNS1="10.1.100.88"

DNS2="202.102.224.68"

2 . chkconfig  dhcpd  on # 设置开机启动 #

   3 . 对重要配置文件进行备份比如 dhcpd.cfg  ifcfg-eth0

（2） 交换机配置 # 交换机版本不一样配置略有差别 #

1 . [XXJSL-Huiju-S3628SI]dhcp enable ## 开启 dhcp 服务 ##

2 .[XXJSL-Huiju-S3628SI]dhcp-server 1 ip 10.1.17.90 10.1.17.91 ## 配置 DHCP 服务器组 ##

3 .[XXJSL-Huiju-S3628SI]interface Vlan-interface 6

  [XXJSL-Huiju-S3628SI-Vlan-interfaceX]dhcp-server  1 ## 将需要提供 DHCP 服务的网段的接口加入与 DHCP 服务器组关联 ##

4 .[XXJSL-Huiju-S3628SI]dhcp-snooping  enable

  [XXJSL-Huiju-S3628SI-interface-X/X]dhcp-snooping  trust## 保证服务器安全性 , 将链接服务器的口加入到 trust 区域进行授权，这样可以对非授权的 dhcp 服务器进行隔离 ##

5 . 在接入交换机上配置 dhcp-snooping ( 有些可能不支持 ) 将上联到 dhcp 服务器的端口加入到 trust 区域。

（ 3 ） IMC 配置

根据实验时的数据 imc 客户端应该进行如下配置，并且在开户的时候要提前给用户设置 mac 地址绑定，实现账户名 +mac 地址 +vlan+ 端口的绑定。

650) this.width=650;" title="QQ截图20141230205408.png" src="/upload/getfiles/default/2022/11/15/20221115064328680.jpg" width="881" height="690" />

3 . 可用性保障

   （ 1 ） dhcp 服务器安全性保障

启动 DHCP-snooping, 主要作用就是通过配置非信任端口隔绝非法的 dhcp server 的接入。有些汇聚设备支持地址匹配检查功能 (dhcp relay address check) 可以记录每一条分配出去的地址与 mac 的绑定，禁止非法静态地址用户的接入。

  （ 2 ） dhcp 冗余性保障

将主机 bios 设置成加电启动，默认开机启动 dhcp 服务，主服务器正常时可以把备用服务器端口关闭，主服务器宕机时开启备用服务器。起到备份主 dhcp 服务器的效果

4 . 具体实施方法

     在经过机房测试之后把 dhcp 服务器放入真实环境做最后的调试，根据调试结果选定具体实施时间，并且做好提前通知。要提前三天在 oa 系统对升级信息进行发布，再通过学部向每位老师发送短信，提前做好通知的前提之下做好解决问题集中出现的准备。实施时间要避开日常工作繁忙期。

三   问题预测与解决办法

1 . 路由器用户的处理方法

很多新增路由器使用静态地址修改起来比较麻烦，考虑到数量并不是很多可以先用静态绑定，在服务器中设置静态地址绑定 mac ，等系统稳定之后再逐个修改。

2 . 静态地址与动态并存

虽然会造成冲突但是技术手段解决不了，因为交换机不支持地址匹配检查。但是并不影响使用， DHCP 服务器会自动分配别的地址给客户端。

3 . mac 地址绑定问题 （于 cams 结合问题）

为了安全性考虑要实现账户名 +mac 地址 +vlan+ 端口的绑定，在测试是发现 mac 绑定并不是十分完美，初步预测是因为用户下线之 imc 后保留用户的在线状态一段时间。但是对实际应用并不影响，在用户重启电脑，者重启网卡或者下线超过一定时间之后 mac 绑定检查就会生效。

4 . 双服务器冲突问题

采用双服务器热备的方式虽然在实验状态下没有问题，但是在实际环境大量用户的请求下可能会出现问题（通常 dhcp 客户端都会接受第一个发 dhcpoffer 的服务器，但是第二个服务器不会把这个同样的 ip 移出自己的 ip pool. 如果下一次这个服务器提供同样的 ip ，客户端会 broadcast 检查发现这个 ip 已经有人在用了 . 这样会有很多 broadcast 在网络中占用带宽资源），因此采用双服务器先把其中之一的借口 down 掉以备份主服务器。可以在稳定之后都开开观察有什么副作用是否明显。

原文：http://fenggao.blog.51cto.com/8119616/1597926