Protección de ciclo corto DHCP

Condiciones que pueden causar sesiones de cliente DHCP fallidas o de corta duración

Entre las condiciones que pueden provocar un error o una breve duración de la sesión de cliente se incluyen las siguientes:

• Denegaciones de autenticación desde servidores AAA externos, como RADIUS o Diameter, debido a la ausencia de una entrada correspondiente en la base de datos de RADIUS o debido a intentos de inicio de sesión incorrectos.

• Inaccesibilidad del enrutador o del servidor de autenticación externo debido a un fallo de la red o a una mala configuración.

• Recursos de memoria insuficientes para crear una interfaz de suscriptor dinámica.

• Errores en la negociación de protocolos con el CPE.

• El cliente cierra la sesión poco después de un inicio de sesión exitoso; Esta acción crea una sesión de cliente completamente negociada y configurada antes de que se desactive la sesión.

Cómo funciona la protección de ciclo corto de DHCP

La protección de ciclo corto de DHCP está deshabilitada en el enrutador de forma predeterminada. Cuando se habilita incluyendo la short-cycle-protection instrucción a nivel global, de grupo o de interfaz, el enrutador hace lo siguiente para las sesiones DHCP en interfaces lógicas estáticas y dinámicas:

1. Detecta sesiones de cliente de corta duración, también conocidas como eventos de ciclo corto, y bloquea el cliente en función de los siguientes eventos:

   • E0: Hora a la que jdhcpd declara que la sesión del cliente está activa.

   • E1: Hora en que jdhcpd declara que la sesión del cliente debe ser demolida.

   • E2: Hora a la que jdhcpd elimina la entrada de sesión de cliente de la base de datos.

   Un evento de ciclo corto ocurre cuando el intervalo entre E0 y E1 es menor o igual a 60 segundos. Cuando el intervalo es superior a 60 segundos, el cierre de sesión se considera normal. Si el enrutador declara que la sesión es de corta duración, agrega el cliente a la base de datos de bloqueo en el momento E2.

2. Bloquea temporalmente el cliente DHCP especificado al impedir la conexión con el enrutador.

   Durante el bloqueo, el enrutador deja caer los paquetes de negociación (mensajes de detección y solicitud de DHCP) del cliente hasta que expira el período de bloqueo. Cuando expira el período de bloqueo, el cliente puede reanudar la negociación normal de la conexión.

   Puede establecer un rango para el período de bloqueo especificando una longitud mínima y máxima con la short-cycle-protection instrucción. Debe especificar un valor mínimo y un valor máximo.

3. Realiza un seguimiento del tiempo entre los eventos repetidos de ciclo corto de un cliente para determinar si se debe aumentar el tiempo de bloqueo para un evento de ciclo corto posterior. El intervalo entre eventos se compara con el umbral de tiempo de gracia. De forma predeterminada, el umbral de tiempo de gracia es de 900 segundos, pero se establece automáticamente en el tiempo de bloqueo máximo si ese valor es mayor que 900 segundos.

   Si no se intenta ninguna negociación posterior dentro del tiempo de gracia, la entrada de cliente se elimina de la base de datos de bloqueo.

   Si se intenta una negociación posterior antes de alcanzar el umbral de gracia, se trata como otro evento de ciclo corto y se aumenta la penalización por bloqueo. La penalización aumenta exponencialmente cada vez que se intenta la negociación dentro del tiempo de gracia.

El período de bloqueo inicial se basa en el valor mínimo configurado. Las penalizaciones adicionales se calculan de la siguiente manera, donde n es el número de eventos consecutivos de ciclo corto que ocurren dentro del tiempo de gracia:

Tiempo de bloqueo = (Tiempo mínimo de bloqueo) x [2^(n-1)]

Por ejemplo, con una duración mínima de 1 segundo y una duración máxima de 300 segundos, el período de bloqueo inicial es de 1 segundo; Las sanciones posteriores aumentan a 2 segundos, luego a 4 segundos, 8 segundos, 16 segundos, 32 segundos, 64 segundos, 128 segundos, 256 segundos y finalmente 300 segundos. El período de bloqueo final es de 300 segundos en lugar de 512 segundos, ya que ninguna penalización puede superar el valor máximo del rango de bloqueo.

Si el tiempo de bloqueo alcanza el máximo, permanece en ese valor para cada período de bloqueo posterior hasta que el tiempo entre eventos de ciclo corto sea mayor que el umbral de gracia.

Terminación de la condición de bloqueo

Cuando se bloquea un cliente DHCP, la condición de bloqueo persiste hasta que expiran todos los temporizadores de bloqueo, excepto cuando ocurre cualquiera de las siguientes situaciones:

• La condición de bloqueo se borra administrativamente mediante la emisión de uno de los siguientes comandos operativos:

  • clear dhcp relay lockout-entries

  • clear dhcp server lockout-entries

  • clear dhcpv6 relay lockout-entries

  • clear dhcpv6 server lockout-entries

• Restablezca la FPC en la que está configurada la sesión de cliente que se está bloqueando.

• Restablecerá el motor de enrutamiento.

Cuando se produce cualquiera de estos eventos, jdhcpd finaliza el bloqueo y borra el historial de bloqueos de todas las sesiones de cliente afectadas. A los clientes liberados se les permite negociar nuevamente. Dado que no hay ningún historial retenido, el período de bloqueo comienza con el valor mínimo si se produce un evento de ciclo corto posterior para uno de estos clientes.

Cuando se elimina una interfaz lógica de VLAN dinámica o VLAN demux de una interfaz física subyacente configurada con remove-when-no-subscribers, el bloqueo de los clientes afectados persiste hasta que expiran todos los temporizadores. Si la interfaz lógica se vuelve a crear antes de que expiren todos los temporizadores, el estado de bloqueo se aplica a las interfaces lógicas recreadas.

Beneficios de usar la protección de ciclo corto DHCP

• Reduce la carga excesiva del plano de control en el enrutador y la carga de autenticación, autorización y aprovisionamiento en el servidor de autoridad externa.

• Reduce los recursos necesarios para procesar paquetes de control DHCP y para negociar y terminar conexiones de corta duración.

• Aplaza temporalmente los intentos posteriores para los clientes con sesiones de cliente fallidas o de corta duración en favor de sesiones que pueden completarse correctamente y durar más de un corto período de tiempo.

• Reduce los recursos necesarios para autenticar y terminar estas conexiones en servidores de autenticación externos, como RADIUS y Diameter.

• Permite el bloqueo de una sola sesión DHCP fallida o de corta duración sin interrumpir otras sesiones DHCP en la misma interfaz.

  Dado que la protección de ciclo corto de DHCP identifica cada sesión de cliente por su ID de cliente único, el enrutador puede bloquear solo el cliente DHCP infractor y, a la vez, permitir que otros clientes DHCP de la misma interfaz negocien correctamente la conexión.

Propósito

Vea u borre información sobre las operaciones de protección de ciclo corto de DHCP.

Utilice los comandos y clear admitidos show para administrar y mostrar información sobre las operaciones de protección de ciclo corto para el agente de retransmisión DHCP y el servidor local DHCP. Puede mostrar información sobre todas las entradas bloqueadas o solo sobre entradas individuales identificadas por su número de índice de base de datos.

Acción

• Para mostrar información de protección de ciclo corto para el agente de retransmisión DHCPv4 o DHCPv6:

• Para borrar la información de protección de ciclo corto para el agente de retransmisión DHCPv4 o DHCPv6:

• Para mostrar información de protección de ciclo corto para el servidor local DHCPv4 o DHCPv6:

• Para borrar la información de protección de ciclo corto para el servidor local DHCPv4 o DHCPv6:

Significado

Cuando se incluye la all opción con estos show comandos, se proporciona información para cada entrada de cliente en la base de datos de bloqueo, como el número de índice que corresponde a la entrada en la base de datos, la clave de identificación de cliente, el estado del bloqueo, cuántos segundos faltan para que finalice el estado actual, cuánto tiempo ha estado en vigor, y cuántas veces consecutivas se ha bloqueado al cliente.

Cuando desee eliminar información de la base de datos de bloqueo para un cliente determinado, primero debe emitir el comando correspondiente show con la all opción de determinar el índice de la entrada de cliente. A continuación, puede especificar ese índice con el clear comando.

En el ejemplo siguiente, se muestran todas las entradas de cliente bloqueadas para el agente de retransmisión DHCPv4 para buscar el número de índice de un cliente determinado y, a continuación, borrar solo esa entrada y comprobar que se ha eliminado:

En el ejemplo siguiente, se muestran todas las entradas de cliente bloqueadas para el servidor local DHCPv6 y, a continuación, se borran todas las entradas y se comprueba que se han eliminado: