Protection DHCP contre les cycles courts

Conditions pouvant entraîner l’échec ou la brièveté des sessions client DHCP

Les conditions qui peuvent entraîner l’échec ou la courte durée d’une session client sont les suivantes :

• Refus d’authentification provenant de serveurs AAA externes, tels que RADIUS ou Diameter, en raison de l’absence d’une entrée correspondante dans la base de données RADIUS ou en raison de tentatives de connexion incorrectes.

• L’inaccessibilité du routeur ou du serveur d’authentification externe en raison d’une défaillance ou d’une mauvaise configuration du réseau.

• Ressources mémoire insuffisantes pour créer une interface d’abonné dynamique.

• Échecs de négociation de protocole avec le CPE.

• Déconnexion du client peu de temps après une connexion réussie ; Cette action crée une session client entièrement négociée et configurée avant que la session ne soit interrompue.

Comment fonctionne la protection DHCP contre les cycles courts

La protection contre les cycles courts DHCP est désactivée par défaut sur le routeur. Lorsque vous l’activez en incluant l’instruction short-cycle-protection au niveau global, du groupe ou de l’interface, le routeur effectue les opérations suivantes pour les sessions DHCP sur des interfaces logiques statiques et dynamiques :

1. Détecte les sessions client de courte durée, également appelées événements à cycle court, et verrouille le client en fonction des événements suivants :

   • E0 : heure à laquelle jdhcpd déclare la session client active.

   • E1 : Heure à laquelle jdhcpd déclare que la session client doit être interrompue.

   • E2 : Temps pendant lequel jdhcpd supprime l’entrée de session client de la base de données.

   Un événement à cycle court se produit lorsque l’intervalle entre E0 et E1 est inférieur ou égal à 60 secondes. Lorsque l’intervalle est supérieur à 60 secondes, la déconnexion est considérée comme normale. Si le routeur déclare que la session est de courte durée, il ajoute le client à la base de données de verrouillage au moment E2.

2. Bloque temporairement le client DHCP spécifié en empêchant la connexion au routeur.

   Pendant le verrouillage, le routeur abandonne les paquets de négociation (messages de découverte et de sollicitation DHCP) du client jusqu’à l’expiration de la période de verrouillage. À l’expiration de la période de verrouillage, le client peut reprendre la négociation normale de la connexion.

   Vous pouvez définir une plage pour la période de verrouillage en spécifiant une durée minimale et maximale avec l’instruction short-cycle-protection . Vous devez spécifier une valeur minimale et une valeur maximale.

3. Suit le temps entre les événements à cycle court répétés d’un client pour déterminer s’il faut augmenter le temps de verrouillage pour un événement à cycle court ultérieur. L’intervalle entre les événements est comparé au seuil de temps de grâce. Par défaut, le seuil de temps de grâce est de 900 secondes, mais il est automatiquement défini sur le temps de verrouillage maximal si cette valeur est supérieure à 900 secondes.

   Si aucune négociation ultérieure n’est tentée dans le délai de grâce, l’entrée client est supprimée de la base de données de verrouillage.

   Si une négociation ultérieure est tentée avant que le seuil de grâce ne soit atteint, elle est traitée comme un autre événement à cycle court et la pénalité de verrouillage est augmentée. La pénalité est augmentée de manière exponentielle chaque fois que la négociation est tentée dans le délai de grâce.

La période de verrouillage initiale est basée sur la valeur minimale configurée. Les pénalités supplémentaires sont calculées comme suit, où n est le nombre d’événements consécutifs à cycle court qui se produisent au cours du délai de grâce :

Durée du cadenassage = (Durée minimale de cadenassage) x [2^(n-1)]

Par exemple, avec une durée minimale de 1 seconde et une durée maximale de 300 secondes, la période de verrouillage initiale est de 1 seconde ; Les pénalités suivantes passent à 2 secondes, puis à 4 secondes, 8 secondes, 16 secondes, 32 secondes, 64 secondes, 128 secondes, 256 secondes et enfin 300 secondes. La période finale de verrouillage est de 300 secondes au lieu de 512 secondes car aucune pénalité ne peut dépasser la valeur maximale de la plage de cadenassage.

Si le temps de verrouillage atteint le maximum, il reste à cette valeur pour chaque période de verrouillage suivante jusqu’à ce que le temps entre les événements à cycle court soit supérieur au seuil de grâce.

Fin de la condition de verrouillage

Lorsqu’un client DHCP est verrouillé, la condition de verrouillage persiste jusqu’à l’expiration de tous les délais de verrouillage, sauf dans l’un des cas suivants :

• Vous désactivez administrativement la condition de verrouillage en exécutant l’une des commandes opérationnelles suivantes :

  • clear dhcp relay lockout-entries

  • clear dhcp server lockout-entries

  • clear dhcpv6 relay lockout-entries

  • clear dhcpv6 server lockout-entries

• Vous réinitialisez le FPC sur lequel la session client en cours de verrouillage est configurée.

• Vous réinitialisez le moteur de routage.

Lorsque l’un de ces événements se produit, jdhcpd met fin au verrouillage et efface l’historique de verrouillage de toutes les sessions client concernées. Les clients libérés sont autorisés à négocier à nouveau. Comme il n’y a pas d’historique conservé, la période de verrouillage commence avec la valeur minimale si un événement à cycle court ultérieur se produit pour l’un de ces clients.

Lorsqu’un VLAN dynamique ou une interface logique VLAN démultiplexé est supprimé d’une interface physique sous-jacente configurée avec remove-when-no-subscribers, le verrouillage des clients affectés persiste jusqu’à l’expiration de tous les temporisateurs. Si l’interface logique est recréée avant l’expiration de tous les temporisateurs, l’état de verrouillage est appliqué aux interfaces logiques recréées.

Avantages de l’utilisation de la protection DHCP contre les cycles courts

• Réduit la charge excessive du plan de contrôle sur le routeur et la charge d’authentification, d’autorisation et de provisionnement sur le serveur d’autorité externe.

• Réduit les ressources nécessaires pour traiter les paquets de contrôle DHCP et pour négocier et résilier les connexions de courte durée.

• Reporte temporairement les tentatives ultérieures pour les clients dont les sessions client ont échoué ou de courte durée en faveur des sessions qui peuvent se terminer avec succès et durer plus d’une courte durée.

• Réduit les ressources nécessaires pour authentifier et mettre fin à ces connexions sur les serveurs d’authentification externes, tels que RADIUS et Diameter.

• Permet de verrouiller une session DHCP unique ayant échoué ou de courte durée sans interrompre les autres sessions DHCP sur la même interface.

  Étant donné que la protection DHCP des cycles courts identifie chaque session client par son ID client unique, le routeur peut verrouiller uniquement le client DHCP incriminé tout en permettant à d’autres clients DHCP sur la même interface de négocier correctement la connexion.

Objet

Afficher ou effacer des informations sur les opérations de protection DHCP à cycle court.

Utilisez les commandes supported show and pour clear gérer et afficher des informations sur les opérations de protection à cycle court pour l’agent de relais DHCP et le serveur local DHCP. Vous pouvez afficher des informations sur toutes les entrées verrouillées ou uniquement sur les entrées individuelles identifiées par leur numéro d’index de base de données.

Mesures à prendre

• Pour afficher des informations de protection contre les cycles courts pour l’agent de relais DHCPv4 ou DHCPv6 :

• Pour effacer les informations de protection contre les cycles courts pour l’agent de relais DHCPv4 ou DHCPv6 :

• Pour afficher les informations de protection contre les cycles courts pour le serveur local DHCPv4 ou DHCPv6 :

• Pour effacer les informations de protection contre les cycles courts pour le serveur local DHCPv4 ou DHCPv6 :

Signification

Lorsque vous incluez l’option all avec ces show commandes, des informations sont fournies pour chaque entrée client dans la base de données de verrouillage, telles que le numéro d’index correspondant à l’entrée dans la base de données, la clé d’identification du client, l’état du verrouillage, le nombre de secondes avant la fin de l’état actuel, la durée de l’état actuel, et le nombre de fois consécutives que le client a été verrouillé.

Lorsque vous souhaitez supprimer des informations de la base de données de verrouillage pour un client particulier, vous devez d’abord exécuter la commande correspondante show avec l’option all permettant de déterminer l’index de l’entrée client. Ensuite, vous pouvez spécifier cet index avec la clear commande.

Dans l’exemple suivant, vous affichez toutes les entrées client verrouillées pour que l’agent de relais DHCPv4 recherche le numéro d’index d’un client particulier, puis vous effacez uniquement cette entrée et vérifiez qu’elle est supprimée :

Dans l’exemple suivant, vous affichez toutes les entrées client verrouillées pour le serveur local DHCPv6, puis vous effacez toutes les entrées et vérifiez qu’elles sont supprimées :