虛拟化環境中的DHCP Snooping部署注意點掉坑掉坑感想

淩晨2點接到客戶電話，說是生産停線，所有的裝置斷網。當時就懵逼，因為剛剛在客戶環境中有操作，但是完全不涉及到網絡，隻是關于虛拟化環境的。現在發現用戶端裝置都拿不到IP位址，判斷可能是DHCP伺服器（一台虛拟機）問題，但是DHCP伺服器可登陸，服務運作也正常，位址池位址剩餘很多。于是判斷問題出在網絡，要不就是核心交換機沒有把DHCP請求轉發到DHCP伺服器。

開始聯絡網絡工程師查網絡（網絡工程師運氣好一點，早上六點才被我們叫起來）。耗掉幾個小時，沒有什麼結果，臨到撐不住要去吃點東西，稍微休整下的時候。網絡工程師突然問我，DHCP伺服器這台虛拟機有沒有移動過，我說昨天遷移到另外主機上了啊。對方恍然大悟，說是原來為了防止網内有非法的DHCP伺服器接入，在網内設定了DHCP虛拟機連接配接的網絡上設定了DHCP Snooping trust。由于沒有考慮到DHCP是一台虛拟機，會經常遷移，是以設定的時候隻把1台主機的網絡端口做了該設定，當DHCP伺服器遷移到其他主機的時候，由于通信的網絡端口沒有設定DHCP Snooping trust，所有DHCP相關的資料包全部被抛棄了。DHCP伺服器肯定沒法正常工作。

1）單台實體主機上聯端口設定DHCP Snooping trust

<a href="http://s3.51cto.com/wyfs02/M02/9D/AF/wKioL1mD9ini9hWcAAA1ZWykH_8607.png" target="_blank"></a>

2）虛拟機遷移到另外的主機，上聯端口沒有DHCP Snooping trust，DHCP包屏蔽

<a href="http://s3.51cto.com/wyfs02/M02/9D/AF/wKiom1mD9imgu6HEAAA7ccEZGbI936.png" target="_blank"></a>

3）所有主機的上聯端口設定為DHCP Snooping trust，DHCP虛拟機無論遷移到何處都可以正常工作

<a href="http://s3.51cto.com/wyfs02/M00/9D/AF/wKiom1mD9iqg-mQ7AAA6OUDmZ_s710.png" target="_blank"></a>

1）伺服器由傳統的實體主機模式變更到虛拟機化/雲模式，業務伺服器更加彈性和靈活，網絡的邊界也随之進行變化，網絡建構如何更加彈性是一個需要急需解決的問題。

2）伺服器和網絡的邊界更加模糊，IT技術人員的知識更新需要快速更新，更延伸一點考慮，IT部門的職位設定是不是也需要調整？

本文轉自 川流資訊 51CTO部落格，原文連結:http://blog.51cto.com/tech4fei/1953558