Estamos começando lentamente a implementar o dhcp-snooping em nossos switches HP ProCurve 2610 series, todos executando o firmware R.11.72. Estou vendo algum comportamento estranho em que os pacotes dhcp-request ou dhcp-renew são descartados quando originados de switches "downstream" devido a "informações de retransmissão não confiáveis do cliente".
O erro completo:
Received untrusted relay information from client <mac-address> on port <port-number>
Mais detalhadamente, temos um HP2610 de 48 portas (Switch A) e um HP2610 de 24 portas (Switch B). O switch B é "downstream" do switch A em virtude de uma conexão DSL a uma das portas do switch A. O servidor dhcp está conectado ao switch A. Os bits relevantes são os seguintes:
Switch A
dhcp-snooping
dhcp-snooping authorized-server 192.168.0.254
dhcp-snooping vlan 1 168
interface 25
name "Server"
dhcp-snooping trust
exit
Switch B
dhcp-snooping
dhcp-snooping authorized-server 192.168.0.254
dhcp-snooping vlan 1
interface Trk1
dhcp-snooping trust
exit
Os switches estão configurados para confiar na porta à qual o servidor dhcp autorizado está conectado e em seu endereço IP. Isso é bom para os clientes conectados ao Switch A, mas os clientes conectados ao Switch B são negados devido ao erro "informações de retransmissão não confiáveis". Isso é estranho por alguns motivos: 1) o dhcp-relay não está configurado em nenhum dos comutadores; 2) a rede da Camada 3 aqui é plana, na mesma sub-rede. Pacotes DHCP não devem ter um atributo de opção 82 modificado.
No entanto, o dhcp-relay parece estar ativado por padrão:
SWITCH A# show dhcp-relay
DHCP Relay Agent : Enabled
Option 82 : Disabled
Response validation : Disabled
Option 82 handle policy : append
Remote ID : mac
Client Requests Server Responses
Valid Dropped Valid Dropped
---------- ---------- ---------- ----------
0 0 0 0
SWITCH B# show dhcp-relay
DHCP Relay Agent : Enabled
Option 82 : Disabled
Response validation : Disabled
Option 82 handle policy : append
Remote ID : mac
Client Requests Server Responses
Valid Dropped Valid Dropped
---------- ---------- ---------- ----------
40156 0 0 0
E, curiosamente, o agente dhcp-relay parece muito ocupado no Switch B, mas por quê? Até onde eu sei, não há razão para que as solicitações dhcp precisem de uma retransmissão com essa topologia. Além disso, não sei dizer por que o switch upstream está descartando solicitações dhcp legítimas para informações de retransmissão não confiáveis quando o agente de retransmissão em questão (no switch B) não está modificando os atributos da opção 82 de qualquer maneira.
A adição do no dhcp-snooping option 82switch A permite que o tráfego dhcp do switch B seja aprovado pelo switch A, simplesmente desativando esse recurso. Quais são as repercussões de não validar o tráfego dhcp modificado na opção 82? Se eu desabilitar a opção 82 em todos os meus switches "upstream" - eles passarão o tráfego dhcp de qualquer switch downstream, independentemente da legitimidade desse tráfego?
Esse comportamento é independente do sistema operacional do cliente. Eu vejo isso com os clientes Windows e Linux. Nossos servidores DHCP são máquinas com Windows Server 2003 ou Windows Server 2008 R2. Eu vejo esse comportamento, independentemente do sistema operacional dos servidores DHCP.
Alguém pode lançar alguma luz sobre o que está acontecendo aqui e me dar algumas recomendações sobre como devo proceder com a configuração da opção 82? Eu sinto que simplesmente não consegui transmitir completamente o dhcp-relaying e os atributos da opção 82.