Зачем нужно разбивать DHCP на классы?

Question

[Ваня Зюзгин]

Часто в конфигах к маршрутизаторам Cisco вижу такие записи:

ip dhcp pool dhcppool
   network a.b.251.0 255.255.255.0
   domain-name namelevel2.namelevel1.com
   netbios-node-type h-node
   default-router a.b.251.254
   option 128 ascii "Nortel-i2004-A,c.d.0.56:4100,1,5;c.d.0.56:4100,1,5."
   dns-server a.b.0.1 c.d.0.44 c.d.0.43
   netbios-name-server a.b.0.1 c.d.0.44 c.d.0.43
   class cd-workstation
      address range a.b.251.10 a.b.251.250
ip dhcp class cd-workstation

Меня мучат вопрос: зачем нужно указывать class cd-workstation и потом его ниже применять для этого же пула (команда ip dhcp class cd-workstation)

Также есть еще сопутствующий вопрос: как я могу назначить нескольким vlan`ам один пул адресов. Возможно, для этого и нужны классы?

Answer 1

[Archangel]

DHCP классы позволяют "фильтровать" DHCP запросы по опциям и привязывать их к разным пулам.
Подробнее, например, тут - www.cisco.com/en/US/docs/ios/12_4t/ip_addr/configu...

P.S. Классы не нужны, чтобы растянуть один пул на 2 vlan-а, да зачем вам один пул на 2 VLAN-а растягивать?

Answer 2

[Ваня Зюзгин]

Ситуация:
Ядро - Cisco 3750
Доступ - Cisco 2960

В бухгалтерии есть 40 компьютеров, из них 12 имеют интернет. Сейчас они все работают в одном vlan и получают IP-адреса от DHCP-сервера, запущенным на Cisco 3750. Пул адресов один.

Я хочу:
Разнести людей у кого есть интернет и у кого его нет на два vlan, с сохранением адресации. Не хотелось бы городить много пулов, так как подобных отделов достаточно много.

Возможно есть более лучшее решение, о котором я не догадываюсь. Подскажите.

Comments

[Archangel]

Вариантов на самом деле не мало, зависит от остальной инфраструктуры.
Самый простой и в реализации и в понимании - сделать два VLan-а, один с доступом в интернет, второй - без. Пулов соответственно тоже два - для каждого VLan-а. Не вижу никакой необходимости плодить кучу пулов. Двух - более чем достаточно.
Второй вариант - добавить DHCP резервы и сделать ACL на маршрутизаторе пускающий в интернет только эти адреса. Но тогда, чтобы "защититься" от смены адреса на машине вручную придется включать DHCP-snooping.
Третий вариант - 802.1x, но в вашем случаи это жесточайший over engineering как мне кажется. И в конечном итоге все равно вернемся к VLan-ам с интернетом и без и разным пулам, т.к. на 2960 (если он конечно не XR) не получится повесить ACL на порт.

P.S.
А по какому критерию в вашем представлении система должна отличать компьютеры с доступом в интернет и без?
Может стоит заморочиться с решением другого уровня. Например купить Cisco ASA, MS UAG, или подобное решение, чтобы просто авторизовывать пользователей средствами AD/LDAP без привязки к ПК и адресам. Или наоборот - какую-нибудь простую проксю запилить.