Configuração de DHCP option 82: guia prático para provedores
Configuração de DHCP option 82: é ativar no switch ou na OLT a inserção, em cada pedido de IP, de um dado que diz onde o cliente está ligado, como equipamento, placa e porta. Com isso, o servidor identifica o assinante pelo lugar físico, e não pelo endereço MAC, que muda quando o roteador é trocado.
Resumo
- [object Object]
- Ela só é confiável quando o equipamento do provedor insere o dado e descarta qualquer option 82 vinda do cliente.
- [object Object]
- No PPPoE, a mesma identificação chega ao concentrador pelo agente intermediário, e dali segue para o RADIUS.
Como funciona a configuração de DHCP option 82?
O equipamento de acesso intercepta o pedido DHCP do cliente, acrescenta a option 82 com a identificação da porta e repassa ao servidor. O servidor lê esse dado, decide qual IP entregar e devolve a opção na resposta, que o equipamento retira antes de entregar ao cliente.
A option 82 se chama oficialmente informação do agente relay, e foi definida para que o equipamento no meio do caminho conte ao servidor algo que o cliente não sabe dizer: por onde ele entrou na rede. O cliente nunca vê essa informação.
Em redes com PPPoE, a mesma ideia existe com outro nome, e o concentrador recebe a identificação da porta na abertura da sessão. Esse desenho faz parte da implantação de um concentrador PPPoE para provedores, que precisa ler e repassar o dado.
| Subopção | Nome | O que costuma levar |
|---|---|---|
| 1 | Circuit ID | Equipamento, placa, porta e VLAN |
| 2 | Remote ID | Identificação do equipamento de acesso |
Por que a porta identifica melhor que o MAC
Endereço MAC muda quando o cliente troca o roteador, e pode ser copiado por qualquer aparelho. A porta da OLT ou do switch não muda enquanto o contrato estiver no mesmo endereço.
Com a option 82, o servidor sabe de onde veio cada pedido e pode amarrar o IP ao contrato. Na troca de roteador, o técnico de campo não precisa mais ligar para o escritório pedindo para cadastrar um MAC novo.
Quem insere e quem retira a opção
O primeiro equipamento do provedor, a OLT ou o switch de acesso, insere a opção no pedido. O servidor copia a opção na resposta, e o mesmo equipamento a remove antes de o pacote chegar à casa do cliente.
Esse vaivém explica um sintoma comum: se o servidor não devolve a opção, alguns equipamentos descartam a resposta, e o cliente fica pedindo IP sem nunca receber.
Option 82 no IPoE ou no PPPoE: quando vale cada um?
No IPoE, a option 82 é a própria identificação do cliente e pode substituir usuário e senha. No PPPoE, ela vira um dado extra que o concentrador repassa ao RADIUS, ao lado do login.
A escolha entre os dois modos de acesso muda o papel da identificação da porta. A tabela resume o que cada arranjo entrega ao provedor regional.
| Arranjo | Como o cliente é identificado | Ponto de atenção |
|---|---|---|
| IPoE com option 82 | Pela porta, sem usuário e senha | Cadastro da porta precisa estar sempre certo |
| PPPoE com agente intermediário | Pelo login, com a porta como dado extra | Concentrador precisa repassar o dado ao RADIUS |
| PPPoE sem identificação da porta | Só pelo login e senha | Login compartilhado passa sem ser notado |
Muitos provedores usam o PPPoE e só acrescentam a identificação da porta para cruzar login e lugar. Quem estuda migrar para IPoE encontra na option 82 a peça que substitui a senha, e o BNG passa a autenticar pela porta.
O equivalente da option 82 no PPPoE
No PPPoE, o agente intermediário da OLT ou do switch insere a identificação da linha na descoberta da sessão, num campo definido pelo Broadband Forum. O concentrador lê esse campo e o envia ao RADIUS junto com o pedido de autenticação.
No RADIUS, o dado costuma chegar nos atributos Agent-Circuit-Id e Agent-Remote-Id [CONFIRMAR no manual do concentrador]. Com isso, o sistema de gestão consegue recusar um login usado fora da porta do contrato.
E no IPv6, existe option 82?
No DHCPv6 não existe option 82, mas o papel é parecido: um agente relay leve na borda de acesso acrescenta o identificador da interface e o do equipamento [CONFIRMAR na RFC 6221].
Para quem entrega IPv6 por delegação de prefixo dentro do PPPoE, a identificação da porta já vem pela sessão, e o prefixo fica amarrado ao login no RADIUS.
Configuração de DHCP option 82 passo a passo
A configuração de DHCP option 82 exige padronizar o formato antes de ligar a inserção, porque mudar depois obriga a refazer o cadastro de todas as portas. A ordem segura vai do desenho ao teste com um cliente.
- Formato do Circuit ID: defina um padrão único para todas as OLTs e switches.
- Ponto de inserção: ative a opção no primeiro equipamento do provedor, a OLT ou o switch de acesso.
- Portas confiáveis: marque como confiável só o uplink que leva ao servidor.
- Descarte do cliente: recuse qualquer option 82 que chegue pela porta do assinante.
- Servidor preparado: configure reservas de IP ou autenticação pela porta.
- PPPoE: ligue o agente intermediário para levar a mesma identificação ao concentrador.
O exemplo ativa DHCP snooping com inserção da option 82 num switch de acesso, com o servidor DHCP depois do uplink. A porta 10 recebe um Circuit ID em texto, que aponta a caixa de atendimento e a porta.
ip dhcp snooping
ip dhcp snooping vlan 200
ip dhcp snooping information option
ip dhcp snooping information option format remote-id hostname
!
interface GigabitEthernet1/0/10
description CLIENTE-PORTA-10
switchport access vlan 200
ip dhcp snooping vlan 200 information option format-type circuit-id string CTO-12-P10
!
interface TenGigabitEthernet1/0/49
description UPLINK-SERVIDOR-DHCP
ip dhcp snooping trustNo RouterOS 7
Na bridge, ative dhcp-snooping e add-dhcp-option82. O servidor DHCP do RouterOS pode usar o valor recebido em option-82 para escolher a faixa de IP, por meio de scripts ou do RADIUS.
Quer amarrar o login do assinante à porta?
Na implantação do concentrador PPPoE, um Especialista integra a identificação da porta ao RADIUS e ao sistema de gestão, com o mesmo formato em toda a rede.
Como padronizar o formato do Circuit ID
Nas OLTs, a inserção é ativada no perfil de serviço da porta PON, e o formato do Circuit ID muda por fabricante. Por isso, o padrão precisa ser decidido pelo provedor, e não aceito como vem de fábrica.
- Conteúdo mínimo: nome do equipamento, placa, porta PON e, quando houver, a ONU.
- Separador fixo: sempre o mesmo caractere, para o servidor e os scripts lerem sem exceção.
- Nome do equipamento: igual ao usado no monitoramento e na documentação da rede.
O que precisa estar pronto antes
A option 82 depende do DHCP snooping, que marca quais portas podem responder pedidos de IP. Sem ele, o switch não sabe onde inserir nem onde confiar.
Veja a configuração de DHCP snooping antes de ativar a inserção. Em redes com VLAN por cliente, a configuração de QinQ também identifica a porta, pelo par de VLANs.
O que o servidor faz com a identificação da porta
O servidor usa o Circuit ID para escolher a faixa de IP, reservar um endereço fixo para a porta ou autenticar o cliente sem senha. Sem essa configuração, a opção chega e é simplesmente ignorada.
Os usos mais comuns num provedor regional vão do mais simples ao mais completo. Cada um exige um nível diferente de cuidado com o cadastro das portas.
- Faixa por região: clientes de uma OLT recebem IPs de um pool próprio, o que facilita o roteamento.
- Reserva por porta: o mesmo IP volta para o contrato mesmo depois da troca do roteador.
- Autenticação por porta: no IPoE, a porta do contrato libera a navegação sem login.
- Registro de acesso: o log do servidor guarda IP, horário e porta de cada concessão.
Identificação da porta nos registros
Guardar a porta junto com o IP ajuda a responder quem usava um endereço num dado momento. Quando o IP passa depois pelo CGNAT, o registro do NAT completa a cadeia até o IP público.
A forma e o prazo de guarda desses registros seguem a regra aplicável aos provedores [CONFIRMAR na norma]. O importante é que o Circuit ID e o relógio dos equipamentos sejam os mesmos em todos os logs.
Erros comuns na option 82
Os erros mais comuns fazem o servidor recusar pedidos legítimos ou, pior, aceitar uma identificação falsa. Quase todos aparecem logo no primeiro teste, se o teste for feito.
Evite
- Equipamento intermediário descartando pacotes que já chegam com option 82.
- Servidor DHCP sem configuração para aceitar ou devolver o dado.
- Formato de Circuit ID diferente entre OLTs de fabricantes diferentes.
- Porta do cliente marcada como confiável no snooping.
- Trocar o formato sem atualizar o cadastro das portas.
A porta do cliente marcada como confiável é o erro mais grave, porque abre caminho para alguém inserir uma option 82 falsa e se passar por outra porta. Os outros erros derrubam o serviço; esse deixa a rede aberta.
O caso do giaddr zerado
Quando o switch insere a option 82 sem ser relay, o pedido segue com o campo giaddr zerado. Alguns relays e servidores descartam esse pacote por padrão, por considerá-lo suspeito [CONFIRMAR no manual do equipamento].
O sintoma é o cliente sem IP logo depois de ligar a inserção, com o servidor sem nenhum registro do pedido. A correção é configurar o relay ou o servidor para confiar na informação vinda do switch de acesso.
Checklist de validação da option 82
Teste com um cliente de laboratório numa porta conhecida antes de ampliar para a OLT inteira. A validação cobre a ida do dado, a resposta do servidor e a tentativa de falsificação.
Confira numa porta de teste antes de ampliar
- O servidor recebe o Circuit ID esperado para aquela porta.
- O cliente recebe o IP reservado para a porta.
- Trocar o roteador do cliente mantém o mesmo IP.
- Pedidos com option 82 vinda do cliente são descartados.
- No PPPoE, o RADIUS recebe a identificação da porta junto com o login.
- O log do servidor guarda IP, horário e Circuit ID de cada concessão.
Se a troca de roteador mudar o IP ou se a opção falsa passar, pare a ampliação. Os dois indicam porta confiável demais ou servidor lendo o dado errado.
A Táquion Tech configura a option 82 na OLT, nos switches e no servidor com o mesmo formato em toda a rede, e testa cada perfil numa porta de laboratório antes de ligar a base.
Perguntas frequentes sobre configuração de DHCP option 82
Option 82 substitui a autenticação PPPoE?
Pode substituir em redes IPoE, autenticando o cliente pela porta em vez de usuário e senha. No PPPoE, ela costuma complementar o login, sem tomar o lugar dele.
O cliente consegue falsificar a option 82?
Não, se o equipamento de acesso descarta a opção vinda do cliente e insere a própria. Se a porta do assinante estiver marcada como confiável, a falsificação passa a ser possível.
A option 82 funciona com qualquer OLT?
A maioria das OLTs suporta a inserção no perfil de serviço da porta PON. O formato do Circuit ID muda por fabricante, por isso o padrão precisa ser definido pelo provedor.
Tem equivalente da option 82 para PPPoE?
Sim. O agente intermediário PPPoE insere a identificação da porta na negociação da sessão, e o concentrador repassa o dado ao RADIUS.
Trocar o formato do Circuit ID derruba clientes?
Pode derrubar, se o servidor ou o RADIUS usam o valor antigo para reservar IP ou autenticar. Atualize o cadastro das portas antes da troca e mude uma OLT por vez.
Serviços ligados a este guia
- Implantação de BNG para provedores IPv6, CGNAT e BNG
- Migração de PPPoE para IPoE para provedores IPv6, CGNAT e BNG
- Automação de ativação de clientes para provedores Sistemas para provedores
- Integração com ERP de provedor Sistemas para provedores
- Integração com SGP para provedores Sistemas para provedores
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- RFC 3046, DHCP Relay Agent Information Option: especificação da option 82 e das subopções.
- Broadband Forum, TR-101 Migration to Ethernet-Based Broadband Aggregation: agente intermediário PPPoE e identificação de linha.
