DHCP relay на JunOS: настройка GUI и CLI

Quick Links

Overview
The GUI way
The CLI way
On the DHCP server’s side

IT Geek: как использовать DHCP relay на JunOS

Изображение: Thomas Thomas

Overview

DHCP предназначен для автоматической выдачи IP‑адресов клиентам без ручного вмешательства. Клиент при подключении шлёт широковещательный пакет (broadcast) в поисках DHCP‑сервера. В небольших или плоских сетях это работает нормально, но при появлении VLAN широковещания не пересекают границы VLAN. В результате DHCP‑сервер и клиенты могут оказаться в разных сетях и не «видеть» друг друга.

DHCP relay решает проблему: агент ретранслирует DHCP‑запросы от клиентов из локального VLAN к центральному DHCP‑серверу посредством unicast. Ответ сервера возвращается на relay‑агент, который доставляет его клиенту локально. Это экономит ресурсы и упрощает управление, потому что всё управление адресными пулами остаётся централизованным.

Пара важных терминов в одном предложении:

Relay‑агент — сетевое устройство (коммутатор/роутер), которое пересылает запросы от клиента к DHCP‑серверу.
Unicast — точечная передача пакетов от relay к серверу и обратно.

Важно: DHCP relay — это не DHCP‑сервер. Он лишь пересылает пакеты и может добавлять или использовать опцию GIADDR (gateway IP address) для корректного выбора пула на сервере.

Когда использовать DHCP relay и когда нет

Когда у вас один централизованный DHCP‑сервер и несколько VLAN — используйте relay.
Если нужно полное разделение и автономность сетей — можно развернуть локальные DHCP‑серверы.
Если в сети есть доверенные L2‑бриджи, можно рассмотреть DHCP‑прослушивание на мосте, но это редко удобно.

Типичные ограничения

Relay не пересылает широковещания между VLAN как‑таковые — он только перенаправляет DHCP‑сообщения.
Нужна корректная маршрутизация между relay‑агентом и DHCP‑сервером.
Порты: DHCP использует UDP 67 (сервер) и 68 (клиент). Эти порты должны быть доступны между relay и сервером.

The GUI way

Я считаю, что простые конфигурации лучше делать через GUI, если интерфейс присутствует. Ниже — шаги для JunOS WebGUI.

Требования:

На L3‑коммутаторе должен быть интерфейс вида l3‑interface (Multilayer switching/RVI) для VLAN, который вы собираетесь ретранслировать.
IP адрес центрального DHCP‑сервера.

Шаг 1. Получить имя интерфейса VLAN

Откройте WebGUI устройства и перейдите в Configure. В разделе Switching выберите VLAN и откройте нужный VLAN.

Экран WebGUI: значение Multilayer switching RVI для VLAN

В панели деталей значение Multilayer switching(RVI) — это требуемое имя интерфейса. Запомните его.

Шаг 2. Настроить пересылку

В WebGUI откройте Configure -> CLI Tools -> Point and Click CLI.

Перейдите Forwarding options -> Configure. Если конфигурация уже есть — будет кнопка Edit.

Экран Forwarding options в WebGUI

Откройте Helpers -> Configure.

Экран Helpers в WebGUI

Откройте Bootp -> Configure.

Экран Bootp в WebGUI

Добавьте запись Server -> Add new entry и укажите IP централизованного DHCP‑сервера.

Добавление IP DHCP сервера в WebGUI

Подтвердите IP сервера.

Подтверждение IP сервера в WebGUI

Далее выберите Interface -> Add new entry и укажите имя интерфейса (Multilayer switching/RVI) VLAN, который будете обслуживать.

Добавление интерфейса для пересылки в WebGUI

Введите имя интерфейса, сохраните.

Интерфейс добавлен в конфигурацию DHCP relay

Окончательный вид конфигурации примерно как на скриншоте ниже.

Итоговая конфигурация DHCP relay в WebGUI

Нажмите Commit для применения изменений.

Важно: в GUI вы видите только удобный фасад; при сложных сценариях проверяйте конфигурацию через CLI.

The CLI way

CLI полезен для автоматизации и скриптов. В простейшем случае достаточно двух строк (замените IP и имя VLAN на свои):

set forwarding-options helpers bootp server 192.168.190.7
set forwarding-options helpers bootp interface vlan.2

Эти команды регистрируют DHCP‑сервер и привязывают интерфейс VLAN для пересылки запросов. После этого выполните commit.

Советы по CLI:

Убедитесь, что интерфейс vlan.2 действительно существует и имеет IP‑адрес, который будет использоваться как GIADDR.
Проверяйте конфигурацию через show configuration forwarding‑options.

На стороне DHCP‑сервера

Серверу обычно не требуется дополнительная настройка relay‑специфичных опций, кроме корректных пулов (scopes). Сервер должен иметь scope, соответствующий адресу подсети VLAN, откуда пришёл запрос. Для Microsoft DHCP это стандартно: сервер использует GIADDR из запроса, чтобы выбрать нужный scope.

Пример из статьи: L3‑IP коммутатора 192.168.191.254/24. На сервере создайте scope для 192.168.191.0/24 и укажите диапазон адресов и опции (gateway, DNS и т.д.).

Конфигурация scope на Microsoft DHCP

После этого клиенты в VLAN будут получать адреса из соответствующего пула.

Проверка и тестирование

Краткий набор тестов, которые стоит выполнить после настройки:

Клиент получает IP из ожидаемого пула.
На relay‑устройствах видны DHCP REQUEST/ACK в логе.
Сервер получает запросы с корректным GIADDR.
Проверьте связь UDP портов 67/68 между relay и сервером.

Кейс теста (acceptance):

Критерии приёмки

Клиент в указанном VLAN получает адрес из настроенного scope.
Пакеты DHCP на relay отображаются как forwarded.
Сервер логирует получение запроса с GIADDR равным IP интерфейса L3.

Роль‑ориентированные чек‑листы

Для сетевого инженера:

Проверить наличие l3‑интерфейса для VLAN.
Добавить сервер в forwarding options helpers bootp server.
Привязать интерфейс с помощью helpers bootp interface.
Commit и проверить show log messages на наличие ошибок.

Для системного администратора (DHCP сервер):

Создать scope для каждой подсети, обслуживаемой relay.
Проверить, что сервер слушает запросы от relay (логи событий).
Убедиться, что firewall не блокирует UDP 67/68.

Для специалиста по безопасности:

Ограничить доступ к DHCP серверу на уровне ACL только со стороны доверенных relay‑устройств.
Следить за аномальными запросами и количеством лизингов.

Альтернативные подходы и когда relay не годится

Локальные DHCP‑серверы в каждом VLAN предлагают автономность, но увеличивают административную нагрузку.
DHCP Snooping и доверенные порты полезны в средах с угрозами подмены DHCP‑серверов.
Если требуется централизованный контроль, но сеть распределена по филиалам, рассмотрите DHCP failover или распределённые серверы с репликацией.

Мини‑методология внедрения (шаблон на 5 шагов)

Планирование: собрать список VLAN и IP подсетей, выбрать IP сервера.
Подготовка: создать соответствующие scopes на DHCP‑сервере.
Настройка relay: GUI или CLI, добавить server и interface.
Тестирование: проверка выдачи адресов и логов.
Мониторинг: настроить алерты на ошибки DHCP и аномалии выдачи.

Простейшая инструкция отката

Удалите записи server и interface из forwarding‑options helpers bootp и выполните commit.
Если изменения в DHCP‑сервере не должны оставаться, деактивируйте созданные scope.

Decision flowchart

flowchart TD
  A[Нужна ли централизованная DHCP служба?] -->|Да| B[Есть ли L3 коммутатор с поддержкой relay?]
  B -->|Да| C[Настроить DHCP relay на JunOS]
  B -->|Нет| D[Развернуть локальные DHCP серверы или использовать L2 решения]
  C --> E{Требуется автоматизация?}
  E -->|Да| F[Использовать CLI / скрипты]
  E -->|Нет| G[Использовать WebGUI]
  F --> H[Тесты и мониторинг]
  G --> H
  D --> H

Отказоустойчивость и безопасность

Реплицируйте DHCP сервер или используйте механизм failover (если поддерживается).
Ограничивайте список доверенных relay‑адресов на сервере.
Используйте сетевые ACL на коммутаторах, чтобы разрешать трафик DHCP только с доверенных интерфейсов.

Тестовые сценарии и приёмка

Клиент в VLAN получает IP из ожидаемого пула. (пройдёт/не пройдёт)
При отключении основного DHCP‑сервера — оповещение о недоступности. (лог/алерт)
Проверка, что GIADDR в запросе соответствует IP l3‑интерфейса.

Короткая галерея крайних случаев

Relay настроен, но GIADDR пустой — чаще всего проблема с интерфейсом или отсутствием IP на RVI.
Сервер отвечает, но relay не доставляет ACK — проверьте ACL и маршрутизацию от сервера к relay.

Краткий глоссарий в одно предложение

VLAN — логический сегмент сети;
RVI — виртуальный L3‑интерфейс для VLAN;
GIADDR — поле в DHCP, указывающее IP шлюза/relay;
Unicast — передача пакета от одного адресата к другому.

Итог

DHCP relay помогает централизовать управление адресами и экономит ресурсы. JunOS поддерживает настройку как через GUI, так и через CLI. После настройки проверьте логи, scope на DHCP‑сервере и корректность GIADDR. При необходимости используйте чек‑листы и автоматизацию для массового развёртывания.

Примечание: прежде чем вносить изменения в продакшн, прогоните изменения в тестовой сети и подготовьте откат.