Proteção de ciclo curto DHCP

Condições que podem causar falhas ou sessões de cliente DHCP de curta duração

As condições que podem causar uma falha ou uma sessão de cliente de curta duração incluem:

• Recusas de autenticação de servidores AAA externos, como RADIUS ou Diameter, devido à ausência de uma entrada correspondente no banco de dados RADIUS ou devido a tentativas de login inadequadas.

• Inacessibilidade do roteador ou do servidor de autenticação externo devido a falha de rede ou configuração incorreta.

• Recursos de memória insuficientes para criar uma interface de assinante dinâmica.

• Falha na negociação de protocolo com o CPE.

• Logout do cliente logo após um login bem-sucedido; Essa ação cria uma sessão de cliente totalmente negociada e configurada antes que a sessão seja interrompida.

Como funciona a proteção de ciclo curto DHCP

A proteção de ciclo curto DHCP está desabilitada no roteador por padrão. Quando você a habilita incluindo a short-cycle-protection declaração em um nível global, de grupo ou de interface, o roteador faz o seguinte para sessões DHCP em interfaces lógicas estáticas e dinâmicas:

1. Detecta sessões de cliente de curta duração, também chamadas de eventos de ciclo curto, e bloqueia o cliente com base nos seguintes eventos:

   • E0: Hora em que o jdhcpd declara que a sessão do cliente está ativa.

   • E1: Hora em que o jdhcpd declara que a sessão do cliente deve ser interrompida.

   • E2: Tempo em que o jdhcpd exclui a entrada da sessão do cliente do banco de dados.

   Um evento de ciclo curto ocorre quando o intervalo entre E0 e E1 é menor ou igual a 60 segundos. Quando o intervalo é maior que 60 segundos, o logout é considerado normal. Se o roteador declarar que a sessão é de curta duração, ele adiciona o cliente ao banco de dados de bloqueio no tempo E2.

2. Bloqueia temporariamente o cliente DHCP especificado, impedindo a conexão com o roteador.

   Durante o bloqueio, o roteador descarta pacotes de negociação (mensagens de descoberta e solicitação de DHCP) do cliente até que o período de bloqueio expire. Quando o período de bloqueio expira, o cliente pode retomar a negociação normal da conexão.

   Você pode definir um intervalo para o período de bloqueio especificando um comprimento mínimo e máximo com a short-cycle-protection instrução. Você deve especificar um valor mínimo e um valor máximo.

3. Rastreia o tempo entre os eventos de ciclo curto repetidos de um cliente para determinar se o tempo de bloqueio deve ser aumentado para um evento de ciclo curto subsequente. O intervalo entre os eventos é comparado ao limite de tempo de carência. Por padrão, o limite de tempo de carência é de 900 segundos, mas é definido automaticamente como o tempo máximo de bloqueio se esse valor for maior que 900 segundos.

   Se nenhuma negociação subsequente for tentada dentro do tempo de carência, a entrada do cliente será removida do banco de dados de bloqueio.

   Se uma negociação subsequente for tentada antes que o limite de carência seja atingido, ela será tratada como outro evento de ciclo curto e a penalidade de bloqueio será aumentada. A penalidade é aumentada exponencialmente cada vez que a negociação é tentada dentro do tempo de carência.

O período de bloqueio inicial é baseado no valor mínimo configurado. As penalidades adicionais são calculadas da seguinte forma, onde n é o número de eventos consecutivos de ciclo curto que ocorrem dentro do tempo de carência:

Tempo de bloqueio = (Tempo mínimo de bloqueio) x [2^(n-1)]

Por exemplo, com uma duração mínima de 1 segundo e uma duração máxima de 300 segundos, o período de bloqueio inicial é de 1 segundo; As penalidades subsequentes aumentam para 2 segundos, depois 4 segundos, 8 segundos, 16 segundos, 32 segundos, 64 segundos, 128 segundos, 256 segundos e, finalmente, 300 segundos. O período de bloqueio final é de 300 segundos em vez de 512 segundos porque nenhuma penalidade pode exceder o valor máximo do intervalo de bloqueio.

Se o tempo de bloqueio atingir o máximo, ele permanecerá nesse valor para cada período de bloqueio subsequente até que o tempo entre os eventos de ciclo curto seja maior que o limite de carência.

Término da condição de bloqueio

Quando um cliente DHCP é bloqueado, a condição de bloqueio persiste até que todos os temporizadores de bloqueio tenham expirado, exceto quando ocorre qualquer uma das seguintes situações:

• Você limpa administrativamente a condição de bloqueio emitindo um dos seguintes comandos operacionais:

  • clear dhcp relay lockout-entries

  • clear dhcp server lockout-entries

  • clear dhcpv6 relay lockout-entries

  • clear dhcpv6 server lockout-entries

• Você redefine o FPC no qual a sessão do cliente que está passando por bloqueio está configurada.

• Você redefine o Mecanismo de Roteamento.

Quando qualquer um desses eventos ocorre, o jdhcpd encerra o bloqueio e limpa o histórico de bloqueio para todas as sessões do cliente afetadas. Os clientes liberados podem negociar novamente. Como não há histórico retido, o período de bloqueio começa com o valor mínimo se ocorrer um evento de ciclo curto subsequente para um desses clientes.

Quando uma interface lógica VLAN dinâmica ou demux VLAN é removida de uma interface física subjacente configurada com remove-when-no-subscribers, o bloqueio dos clientes afetados persiste até que todos os temporizadores tenham expirado. Se a interface lógica for recriada antes que todos os temporizadores expirem, o estado de bloqueio será aplicado às interfaces lógicas recriadas.

Benefícios de usar a proteção de ciclo curto DHCP

• Reduz a carga excessiva do plano de controle no roteador e a carga de autenticação, autorização e provisionamento no servidor de autoridade externa.

• Reduz os recursos necessários para processar pacotes de controle DHCP e para negociar e encerrar conexões de curta duração.

• Adia temporariamente as tentativas subsequentes para clientes com sessões de cliente com falha ou de curta duração em favor de sessões que podem ser concluídas com êxito e durar mais do que uma curta duração.

• Reduz os recursos necessários para autenticar e encerrar essas conexões em servidores de autenticação externos, como RADIUS e Diameter.

• Permite o bloqueio de uma única sessão DHCP com falha ou de curta duração sem interromper outras sessões DHCP na mesma interface.

  Como a proteção de ciclo curto DHCP identifica cada sessão de cliente por seu ID de cliente exclusivo, o roteador pode bloquear apenas o cliente DHCP ofensivo enquanto permite que outros clientes DHCP na mesma interface negociem a conexão com êxito.

Finalidade

Exiba ou limpe informações sobre as operações de proteção de ciclo curto DHCP.

Use os comandos and clear suportados show para gerenciar e exibir informações sobre as operações de proteção de ciclo curto para o agente de retransmissão DHCP e o servidor local DHCP. Você pode exibir informações sobre todas as entradas bloqueadas ou apenas sobre entradas individuais identificadas pelo número de índice do banco de dados.

Ação

• Para exibir informações de proteção de ciclo curto para DHCPv4 ou DHCPv6

• Para limpar as informações de proteção de ciclo curto para DHCPv4 ou DHCPv6

• Para exibir informações de proteção de ciclo curto para servidor local DHCPv4 ou DHCPv6:

• Para limpar as informações de proteção de ciclo curto para o servidor local DHCPv4 ou DHCPv6:

Significado

Quando você inclui a all opção com esses show comandos, são fornecidas informações para cada entrada de cliente no banco de dados de bloqueio, como o número de índice que corresponde à entrada no banco de dados, a chave de identificação do cliente, o estado do bloqueio, quantos segundos faltam para o estado atual terminar, há quanto tempo o estado atual está em vigor, e quantas vezes consecutivas o cliente foi bloqueado.

Quando você deseja remover informações do banco de dados de bloqueio para um cliente específico, você deve primeiro emitir o comando correspondente show com a all opção de determinar o índice para a entrada do cliente. Em seguida, você pode especificar esse índice com o clear comando.

No exemplo a seguir, você exibe todas as entradas de cliente bloqueadas para o agente de retransmissão DHCPv4 para localizar o número de índice de um cliente específico e, em seguida, desmarca apenas essa entrada e verifica se ela foi excluída:

No exemplo a seguir, você exibe todas as entradas de cliente bloqueadas para o servidor local DHCPv6 e, em seguida, limpa todas as entradas e verifica se elas foram excluídas: