Вопрос или проблема
У меня есть две машины на Windows Server 2022, которые находятся в резервной конфигурации отказоустойчивости DHCP.
Кроме того, в конфигурации горячего резервирования есть ряд участков.
Мой вопрос:
1- Мне нужно открыть TCP порт 647 для прослушивания сообщений о сбое между двумя серверами-партнерами. Двунаправленно, правильно?
2 – Какой порт использует IP-Helper для ретрансляции запросов DHCP? Нужно ли открывать UDP-порты 67 и 68 между DHCP-сервером и клиентом DHCP? Другими словами, если между клиентом, получающим IP-адрес от DHCP, и серверами DHCP есть межсетевой экран, нужно ли открывать какие-либо порты? Если да, то какие порты нужно открыть?
У меня тот же вопрос. Я консолидирую диапазоны DHCP на одном сервере в новом дата-центре, ранее построенном кем-то другим, и мне нужно гарантировать, что я подам соответствующий запрос на межсетевой экран. Я вижу, что указано, что сервер слушает на UDP 67, но отвечает на UDP 68. Значит ли это, что Клиент–>Сервер использует UDP 67, а затем Сервер–>Клиент использует UDP 68?
Например, это не двунаправленно. Клиенту нужен только 67 на исходящие.. и DHCP-серверу нужен 68 на исходящие?
.
Ответ или решение
Конфигурация DHCP (Dynamic Host Configuration Protocol) является одной из ключевых задач в управлении сетевой инфраструктурой, в особенности когда речь идет о развертывании Windows Server 2022 с DHCP Failover в режиме горячего резерва. В этом ответе мы рассмотрим важные аспекты, касающиеся портов, которые необходимо открыть для корректной работы DHCP в вашей сетевой среде, особенно с учетом работы через фаерволы.
Теория
DHCP работает на основе модели клиент-сервер, где DHCP-сервер динамически распределяет IP-адреса и другие сетевые параметры (например, DNS-серверы, маршрутизаторы и т.д.) клиентам в локальной сети. Стандартным протоколом для передачи этих данных является UDP (User Datagram Protocol).
Порты, используемые DHCP:
- UDP Порт 67 — используется DHCP-сервером для приема запросов от клиентов. Это порт, на который клиенты отправляют пакеты DISCOVER и REQUEST.
- UDP Порт 68 — используется DHCP-клиентами для получения данных от сервера. Это порт, на который сервер отправляет пакеты OFFER и ACK клиенту.
Обычно порт 67 используется для пакетного переноса от клиента на сервер, тогда как порт 68 — с сервера на клиента.
Пример
Рассмотрим стандартный процесс DHCP:
- DISCOVER: Клиент отправляет пакет DISCOVER на UDP порт 67, чтобы найти DHCP-сервера.
- OFFER: DHCP-сервер отвечает на клиентский запрос через UDP порт 68, предлагая IP-адрес.
- REQUEST: Клиент запрашивает предложенный IP-адрес, отправляя запрос на порт 67.
- ACK: Сервер подтверждает получение на порт 68, и клиент получает IP-адрес.
Применение
Важно понимать, что для корректной работы DHCP и IP Helper (или DHCP Relay), необходимо корректно настроить фаерволы. Функционал подобного рода утилит (например, IP Helper в маршрутизаторах) помогает в передаче пакетов между субсетями, поэтому важно обесnечить корректное открытие портов между клиентскими устройствами и серверами в вашей сети, чтобы избежать потери пакетов и сбоев через фаерволы.
-
Порт 647: Для конфигурации DHCP Failover, использующей Windows Server 2022, необходимо открыть TCP порт 647 для обмена сообщениями между двумя серверами-партнерами. Этот порт должен быть открыт в двустороннем направлении.
-
Порты 67 и 68: Какую важную роль играют UDP порты 67 и 68, мы увидели ранее. Чтобы обеспечить правильную передачу DHCP трафика через сеть, включая сегменты, которые пересекают фаерволы или используют IP Helper, необходимо:
- Открыть UDP порт 67 для телефонных обращений DHCP клиентов к DHCP-серверу.
- Открыть UDP порт 68 для передачи ответов от DHCP-сервера клиенту.
Таким образом, если существует фаервол между клиентами, получающими IP-адреса от DHCP, и самими DHCP-серверами, обязательно должны быть открыты UDP порты 67 и 68.
Дополнительные рекомендации:
- Мониторинг и журналация: Рекомендуется отслеживать журналы DHCP для выявления и устранения потенциальных проблем в конфигурации сети или фаерволов.
- Безопасность: Обычно рекомендуется минимизировать количество открытых портов и реализовать правила безопасности, которые ограничивают трафик только необходимыми назначениями для применения сетевой безопасности.
В итоге, настройка фаерволов в сетевой среде с использованием DHCP — это ключевая часть конфигурации, обеспечивающая её стабильное и безопасное функционирование. В случае вопросов и сложностей эту работу всегда можно доверить квалифицированным сетевым администраторам.