разблокировка сети Bitlocker в среде SDA
-
Всем привет! Моя организация тестировала Bitlocker Network Unlock в нашей среде SDA и столкнулась с проблемами. Мне было интересно, есть ли еще кто-нибудь, кто настроил сетевую разблокировку в своей среде SDA. Я почти уверен, что причина наших проблем заключается в том, что запрос BOOTP от клиента не помечается опцией 82. Я вижу ответ BOOTP от сервера WDS клиенту, но он никогда не доходит до клиента, что заставляет меня думать, что он поступает на пограничный узел и не проходит дальше, поскольку опция 82 не вставляется в пакет BOOTP и используется IP-адрес SVI пограничного узла, который также существует на пограничном узле. Пакеты DHCP получают опцию 82, но не пакеты BOOTP. Если кому-то удалось заставить сетевую разблокировку работать, нужно ли было выполнять какие-либо настройки, кроме установки адресов IP-помощника и настройки порта в режиме с низким воздействием с помощью ACL с предварительной аутентификацией?
-
Ответ от Cisco TAC: К сожалению, протокол BOOTP не поддерживает опцию 82. По этой причине Fabric Edge не вставляет эту опцию в пакет. Коллега из BU подал следующий документ, объясняющий отсутствие поддержки: Doc Bug: Протокол BOOTP не поддерживается в SDA fabric
CSCwh46171
https://bst.cloudapps.cisco.com/bugsearch/bug/CSCwh46171 Учитывая, что протокол BOOTP не поддерживает опцию 82, когда ответ поступает на границу, пакет отбрасывается, поскольку нет информации о том, куда отправить этот пакет. Этот процесс выполняется пакетом DHCP Offer. Такая же проблема наблюдалась в нескольких других случаях с версиями 17.6.x, 17.9.x и 17.12.x. Таким образом, эта ситуация наблюдалась неоднократно из-за отсутствия поддержки опции 82, и поэтому коллега из BU подал документ для ознакомления. Со стороны Cisco нет программного образа или обходного решения для устранения этой проблемы. Если у вас есть вопросы или комментарии, пожалуйста, сообщите мне. -
Привет,
я только что получил подсказку, что суть проблемы заключается в том, что третий пакет BitLocker Network Unlock представляет собой запрос BOOTP, в котором отсутствует опция DHCP 53, в результате чего пограничный узел не вставляет в него опцию 82. Но если это правда, то это будет чертовски жестоко. -
Да, я тоже так думаю, но не был уверен на 100%, поэтому мне было интересно, удалось ли кому-нибудь еще заставить это работать в своей среде. Мы также открыли заявку в TAC и предоставили им наши pcaps, так что, надеюсь, мы получим подтверждение, является ли это проблемой или нет.
-
Пожалуйста, держите нас в курсе и удачи в решении проблемы.
-
Можете ли вы предоставить номер SR дела TAC, которое вы открыли?
-
К сожалению, я не могу этого сделать, поскольку дело содержит информацию, которую наш клиент считает конфиденциальной. Однако я буду держать вас в курсе всех результатов и решений, которые мы получим от Cisco или Microsoft.
-
Привет, @barryjm
Можете ли вы попробовать включить на уровне порта в пути между клиентом и сервером BOOTP функцию
ip dhcp snooping trust
? Посмотрите, сработает ли это? Спасибо, Кристиан. -
эта функция включена по умолчанию в VLAN, доступных пользователям EN. Честно говоря, с моей точки зрения, нет смысла включать ее где-то на маршрутизируемом пути за пределами BN сайта.
-
Привет, @Andrii Oliinyk
Почему так? Я имел в виду, если не ясно, на пути второго уровня, вплоть до DHCP Relay. Спасибо, Кристиан. -
Поскольку DHCP DISCOVER связался с AnycastGW EN с помощью L2-переключения и где «ip dhcp snooping» изначально настроен на вставку опции информации, где еще, кроме конфигурации EN, можно увидеть «ip dhcp snooping vlan USER-VLAN»?
-
Привет, @Andrii Oliinyk
Проблема связана с процессом BOOTP, верно, а не с DHCP. Включив путь уровня 2 в качестве доверенного DHCP-сниффинга, возможно, не будет необходимости вставлять OPTION 82, который не поддерживается BOOTP (насколько я понимаю, это проблема, которую мы пытаемся решить). Спасибо, Кристиан. -
Проблема заключается в том, что EN не вставляет опцию 82 в пакет запроса BOOTP во время отслеживания DHCP, в то время как для обычного пакета DHCP это делается. Это должны решить BU и разработчики, а не сообщество.
-
Привет, @Андрей Олийник
Да, я неправильно понял, в чем заключается проблема. Спасибо, Кристиан. -
Да, из захваченных пакетов мы видим, что нормальный трафик DHCP 0.0.0.0 -> 255.255.255.255 попадает в SVI пограничного узла, который имеет адрес помощника, поэтому коммутатор теперь отправляет пакет на адрес помощника с IP-адресом источника в качестве IP-адреса SVI, а также вводит опцию 82 в пакет. Процесс DHCP продолжается и присваивает клиенту IP-адрес x.x.x.x. После того, как клиент получает IP-адрес, он отправляет запрос BOOTP, который является x.x.x.x -> 255.255.255.255, также с портом udp 67. Широковещательная передача снова попадает в SVI пограничного узла и снова пересылается с помощью вспомогательного адреса, который удаляет IP-адрес клиента x.x.x.x и заменяет его IP-адресом SVI, но на этот раз не вставляет опцию 82, поэтому когда обратный трафик возвращается в фабрику на пограничном узле, он попадает на IP-адрес интерфейса LISP на пограничном узле, и, поскольку в исходном запросе BOOTP нет опции 82, пакет не маршрутизируется дальше. Мы подозреваем, что опция 82 не вставляется в запрос BOOTP, поскольку он не содержит опцию 53, как запрос DHCP, так как к этому моменту клиенту уже был назначен IP-адрес, хотя это еще не подтверждено. Cisco в настоящее время анализирует информацию, которую мы им отправили, а наш клиент также открыл заявку в Microsoft.
-
Привет, @barryjm
Если вы решите эту проблему с помощью TAC, было бы здорово представить, есть ли WA, который можно выполнить на стороне Cisco. Между тем, не уверен, что следующее может работать / переопределять встроенные требования SDA, однако я бы попробовал. Либо глобально отключите проверку вставки опции 82 в ответ BOOTP с помощью команды
no ip dhcp relay information check
(это повлияет на все SVI), либо сделайте это на уровне SVI с помощью команды
ip dhcp relay information check-reply none
. Спасибо, Кристиан.
Здравствуйте! Похоже, вам интересна эта беседа, но у вас пока нет учетной записи.
Вы устали просматривать одни и те же посты каждый раз, когда заходите на сайт? После регистрации, вам не придётся искать обсуждения в которых вы принимали участие, настройте уведомления о новых сообщениях так как вам это удобно (по электронной почте или уведомлением). У вас появится возможность сохранять закладки и ставить лайки постам, чтобы выразить свою благодарность другим участникам сообщества.
С вашими комментариями этот пост может стать ещё лучше 💗
Зарегистрироваться Войти