разблокировка сети Bitlocker в среде SDA

Reply to разблокировка сети Bitlocker в среде SDA on Fri, 13 Feb 2026 20:09:48 GMT

Cristian Matei — Fri, 13 Feb 2026 20:09:48 GMT

Привет, @barryjm
Если вы решите эту проблему с помощью TAC, было бы здорово представить, есть ли WA, который можно выполнить на стороне Cisco. Между тем, не уверен, что следующее может работать / переопределять встроенные требования SDA, однако я бы попробовал. Либо глобально отключите проверку вставки опции 82 в ответ BOOTP с помощью команды
no ip dhcp relay information check
(это повлияет на все SVI), либо сделайте это на уровне SVI с помощью команды
ip dhcp relay information check-reply none
. Спасибо, Кристиан.

Reply to разблокировка сети Bitlocker в среде SDA on Fri, 13 Feb 2026 20:09:47 GMT

barryjm — Fri, 13 Feb 2026 20:09:47 GMT

Да, из захваченных пакетов мы видим, что нормальный трафик DHCP 0.0.0.0 -> 255.255.255.255 попадает в SVI пограничного узла, который имеет адрес помощника, поэтому коммутатор теперь отправляет пакет на адрес помощника с IP-адресом источника в качестве IP-адреса SVI, а также вводит опцию 82 в пакет. Процесс DHCP продолжается и присваивает клиенту IP-адрес x.x.x.x. После того, как клиент получает IP-адрес, он отправляет запрос BOOTP, который является x.x.x.x -> 255.255.255.255, также с портом udp 67. Широковещательная передача снова попадает в SVI пограничного узла и снова пересылается с помощью вспомогательного адреса, который удаляет IP-адрес клиента x.x.x.x и заменяет его IP-адресом SVI, но на этот раз не вставляет опцию 82, поэтому когда обратный трафик возвращается в фабрику на пограничном узле, он попадает на IP-адрес интерфейса LISP на пограничном узле, и, поскольку в исходном запросе BOOTP нет опции 82, пакет не маршрутизируется дальше. Мы подозреваем, что опция 82 не вставляется в запрос BOOTP, поскольку он не содержит опцию 53, как запрос DHCP, так как к этому моменту клиенту уже был назначен IP-адрес, хотя это еще не подтверждено. Cisco в настоящее время анализирует информацию, которую мы им отправили, а наш клиент также открыл заявку в Microsoft.

Reply to разблокировка сети Bitlocker в среде SDA on Fri, 13 Feb 2026 20:09:46 GMT

Cristian Matei — Fri, 13 Feb 2026 20:09:46 GMT

Привет, @Андрей Олийник
Да, я неправильно понял, в чем заключается проблема. Спасибо, Кристиан.

Reply to разблокировка сети Bitlocker в среде SDA on Fri, 13 Feb 2026 20:09:45 GMT

Andrii Oliinyk — Fri, 13 Feb 2026 20:09:45 GMT

Проблема заключается в том, что EN не вставляет опцию 82 в пакет запроса BOOTP во время отслеживания DHCP, в то время как для обычного пакета DHCP это делается. Это должны решить BU и разработчики, а не сообщество.

Reply to разблокировка сети Bitlocker в среде SDA on Fri, 13 Feb 2026 20:09:44 GMT

Cristian Matei — Fri, 13 Feb 2026 20:09:44 GMT

Привет, @Andrii Oliinyk
Проблема связана с процессом BOOTP, верно, а не с DHCP. Включив путь уровня 2 в качестве доверенного DHCP-сниффинга, возможно, не будет необходимости вставлять OPTION 82, который не поддерживается BOOTP (насколько я понимаю, это проблема, которую мы пытаемся решить). Спасибо, Кристиан.

Reply to разблокировка сети Bitlocker в среде SDA on Fri, 13 Feb 2026 20:09:43 GMT

Andrii Oliinyk — Fri, 13 Feb 2026 20:09:43 GMT

Поскольку DHCP DISCOVER связался с AnycastGW EN с помощью L2-переключения и где «ip dhcp snooping» изначально настроен на вставку опции информации, где еще, кроме конфигурации EN, можно увидеть «ip dhcp snooping vlan USER-VLAN»?

Reply to разблокировка сети Bitlocker в среде SDA on Fri, 13 Feb 2026 20:09:42 GMT

Cristian Matei — Fri, 13 Feb 2026 20:09:42 GMT

Привет, @Andrii Oliinyk
Почему так? Я имел в виду, если не ясно, на пути второго уровня, вплоть до DHCP Relay. Спасибо, Кристиан.

Reply to разблокировка сети Bitlocker в среде SDA on Fri, 13 Feb 2026 20:09:41 GMT

Andrii Oliinyk — Fri, 13 Feb 2026 20:09:41 GMT

эта функция включена по умолчанию в VLAN, доступных пользователям EN. Честно говоря, с моей точки зрения, нет смысла включать ее где-то на маршрутизируемом пути за пределами BN сайта.

Reply to разблокировка сети Bitlocker в среде SDA on Fri, 13 Feb 2026 20:09:40 GMT

Cristian Matei — Fri, 13 Feb 2026 20:09:40 GMT

Привет, @barryjm
Можете ли вы попробовать включить на уровне порта в пути между клиентом и сервером BOOTP функцию
ip dhcp snooping trust
? Посмотрите, сработает ли это? Спасибо, Кристиан.

Reply to разблокировка сети Bitlocker в среде SDA on Fri, 13 Feb 2026 20:09:39 GMT

barryjm — Fri, 13 Feb 2026 20:09:39 GMT

К сожалению, я не могу этого сделать, поскольку дело содержит информацию, которую наш клиент считает конфиденциальной. Однако я буду держать вас в курсе всех результатов и решений, которые мы получим от Cisco или Microsoft.

Reply to разблокировка сети Bitlocker в среде SDA on Fri, 13 Feb 2026 20:09:38 GMT

Kris Pellens — Fri, 13 Feb 2026 20:09:38 GMT

Можете ли вы предоставить номер SR дела TAC, которое вы открыли?

Reply to разблокировка сети Bitlocker в среде SDA on Fri, 13 Feb 2026 20:09:37 GMT

Andrii Oliinyk — Fri, 13 Feb 2026 20:09:37 GMT

Пожалуйста, держите нас в курсе и удачи в решении проблемы.

Reply to разблокировка сети Bitlocker в среде SDA on Fri, 13 Feb 2026 20:09:36 GMT

barryjm — Fri, 13 Feb 2026 20:09:36 GMT

Да, я тоже так думаю, но не был уверен на 100%, поэтому мне было интересно, удалось ли кому-нибудь еще заставить это работать в своей среде. Мы также открыли заявку в TAC и предоставили им наши pcaps, так что, надеюсь, мы получим подтверждение, является ли это проблемой или нет.

Reply to разблокировка сети Bitlocker в среде SDA on Fri, 13 Feb 2026 20:09:35 GMT

Andrii Oliinyk — Fri, 13 Feb 2026 20:09:35 GMT

Привет,
я только что получил подсказку, что суть проблемы заключается в том, что третий пакет BitLocker Network Unlock представляет собой запрос BOOTP, в котором отсутствует опция DHCP 53, в результате чего пограничный узел не вставляет в него опцию 82. Но если это правда, то это будет чертовски жестоко.

Reply to разблокировка сети Bitlocker в среде SDA on Fri, 13 Feb 2026 20:09:34 GMT

Kris Pellens — Fri, 13 Feb 2026 20:09:34 GMT

Ответ от Cisco TAC: К сожалению, протокол BOOTP не поддерживает опцию 82. По этой причине Fabric Edge не вставляет эту опцию в пакет. Коллега из BU подал следующий документ, объясняющий отсутствие поддержки: Doc Bug: Протокол BOOTP не поддерживается в SDA fabric
CSCwh46171
https://bst.cloudapps.cisco.com/bugsearch/bug/CSCwh46171 Учитывая, что протокол BOOTP не поддерживает опцию 82, когда ответ поступает на границу, пакет отбрасывается, поскольку нет информации о том, куда отправить этот пакет. Этот процесс выполняется пакетом DHCP Offer. Такая же проблема наблюдалась в нескольких других случаях с версиями 17.6.x, 17.9.x и 17.12.x. Таким образом, эта ситуация наблюдалась неоднократно из-за отсутствия поддержки опции 82, и поэтому коллега из BU подал документ для ознакомления. Со стороны Cisco нет программного образа или обходного решения для устранения этой проблемы. Если у вас есть вопросы или комментарии, пожалуйста, сообщите мне.