Kiểm thử DHCP Relay Option 82: định danh thuê bao, failover và chống giả mạo

RFC 3046 định nghĩa Relay Agent Information Option như một vùng chứa các suboption do relay thêm vào. Trong triển khai truy nhập, Circuit ID thường biểu diễn mạch hoặc cổng nhận, còn Remote ID nhận diện thiết bị hay thuê bao theo quy ước vận hành. Tiêu chuẩn không thay doanh nghiệp quyết định chuỗi nào là duy nhất, bền vững và có thể đối soát với inventory.

Kiểm thử cần trả lời bốn câu hỏi: relay có thêm đúng thông tin; server có chọn đúng policy/scope; response có quay về đúng client; và hệ thống có từ chối hoặc xử lý an toàn Option 82 đến từ miền không tin cậy. Chỉ thấy client nhận IP chưa chứng minh bốn điều này.

Topology đại diện nên có ít nhất hai VLAN truy nhập, hai relay hoặc hai đường uplink, một cụm DHCP server và một nguồn traffic nền. Mỗi VLAN dùng scope khác nhau để phát hiện ánh xạ sai. Nếu production có DHCP snooping, stacking, EVPN/VXLAN hoặc relay trong firewall, lab phải giữ đúng thứ tự xử lý đó.

Đặt capture trước relay, sau relay và phía server. Đồng bộ thời gian cho packet capture, syslog và lease database. Ghi lại cấu hình giaddr, relay source address, Circuit ID, Remote ID, policy server và route quay về; nếu thiếu một điểm đo, kết luận nguyên nhân dễ bị nhầm giữa relay và server.

Giữ cố định phiên bản phần mềm, cấu hình snooping/trust, MTU, thời gian lease, thuật toán chọn server, route và tải nền khi lấy baseline. Traffic profile phải nêu số client mô phỏng, tốc độ DHCPDISCOVER, tỷ lệ renew/rebind, phân bố MAC/VLAN và mức broadcast nền. Thay nhiều biến cùng lúc sẽ làm mất khả năng quy nguyên.

Các biến cần quét có chủ đích gồm kích thước/định dạng suboption, thay đổi cổng, VLAN, relay, server; request có hoặc không có Option 82; Option 82 trùng hoặc bị sửa; link flap; server timeout; duplicate response và packet reordering. Không giả định các hãng mã hóa Circuit ID giống nhau.

KPI chính không chỉ là DHCP success rate. Cần đo offer latency, ACK latency, completion time từ DISCOVER đến ACK, tỷ lệ retransmission, sai ánh xạ scope, orphan lease, duplicate lease và thời gian phục hồi sau lỗi. Với Option 82, thêm tỷ lệ bản ghi Circuit ID/Remote ID khớp inventory và tỷ lệ log có thể nối từ client đến cổng truy nhập.

Mỗi run nên giữ PCAP gốc, cấu hình đã dùng, lease export, syslog, timestamp sự kiện lỗi và bảng client–VLAN–port–IP mong đợi. Pass/fail phải dựa trên ngưỡng đã phê duyệt, không dựa vào quan sát “có vẻ ổn”.

Ngưỡng cụ thể phải lấy từ SLO của dịch vụ và năng lực thiết bị đã xác nhận. Không sao chép một con số từ lab nhỏ sang mạng truy nhập lớn.

• Cấp mới đúng cổng — Kỳ vọng: Scope và policy đúng; Bằng chứng bắt buộc: PCAP + lease + inventory; Dấu hiệu fail: Sai scope hoặc mất suboption
• Client chuyển cổng — Kỳ vọng: Nhận policy của cổng mới theo thiết kế; Bằng chứng bắt buộc: Hai PCAP trước/sau; Dấu hiệu fail: Giữ nhầm định danh cũ
• Renew qua cùng relay — Kỳ vọng: Lease tiếp tục, latency trong SLO; Bằng chứng bắt buộc: ACK, timer, log; Dấu hiệu fail: NAK bất ngờ hoặc mất lease
• Relay chính mất — Kỳ vọng: Đường dự phòng hoạt động; Bằng chứng bắt buộc: Timeline sự kiện; Dấu hiệu fail: Blackout vượt ngưỡng
• Option 82 từ untrusted edge — Kỳ vọng: Bị loại bỏ/ghi đè theo policy; Bằng chứng bắt buộc: Counter + log + PCAP; Dấu hiệu fail: Server tin dữ liệu giả
• Server quá tải — Kỳ vọng: Retransmission có kiểm soát; Bằng chứng bắt buộc: Rate, CPU, queue; Dấu hiệu fail: Lease sai hoặc collapse dây chuyền

Bắt đầu bằng baseline không lỗi: RELEASE nếu thích hợp, sau đó DISCOVER–OFFER–REQUEST–ACK. Kiểm tra giaddr, Option 82 và các suboption ở từng điểm capture; đối chiếu lease với VLAN/cổng. Lặp đủ mẫu để loại bỏ biến thiên warm-up, ARP/ND lân cận và cache.

Tiếp theo chạy renew T1, rebind T2, lease expiry, NAK hợp lệ và client roam/chuyển cổng. Với mỗi pha, ghi rõ server nào trả lời, relay nào chuyển tiếp, Option 82 có được thêm/giữ/xóa đúng chính sách hay không. Cần kiểm tra cả response vì một số lỗi chỉ xuất hiện trên đường quay về.

Checklist thực hành:

• Khóa cấu hình và đồng bộ thời gian trước run.
• Sinh client có MAC/VLAN/port biết trước.
• So sánh trường gói tin tại ba observation point.
• Đối soát lease, inventory và log bằng cùng correlation key.
• Chạy ít nhất một renew, rebind và expiry.
• Lưu artifact cùng mã test case và phiên bản.

Đưa lỗi có kiểm soát: mất uplink relay, restart tiến trình relay, mất một DHCP server, route blackhole ngắn và tăng request rate theo bậc. Đo service interruption, completion time percentile, queue/drop counter và thời gian trạng thái ổn định trở lại. Tách detection time, switchover time và client recovery time.

Sau phục hồi, tìm lease trùng, lease không còn client, binding snooping không khớp và request tiếp tục đi qua relay dự phòng ngoài ý muốn. Hệ thống “cấp lại được IP” nhưng để lại state sai vẫn chưa pass.

Từ cổng client, gửi request có Option 82 tự chèn, suboption trùng, chuỗi dài/bất thường và Remote ID mạo danh. Mục tiêu là xác minh policy drop, replace hoặc preserve đúng thiết kế; không thực hiện thử nghiệm ngoài lab được ủy quyền. Kiểm tra counter, log và việc server có áp policy nhạy cảm dựa trên dữ liệu giả hay không.

Đồng thời thử đường hợp lệ qua relay tin cậy để bảo đảm biện pháp chống giả mạo không tạo false positive. RFC 8213 mô tả cơ chế bảo vệ thông điệp giữa relay và server; việc có áp dụng hay không phụ thuộc kiến trúc và hỗ trợ phiên bản, cần kiểm chứng riêng.

Kết quả chỉ áp dụng cho topology, phiên bản, license, định dạng Option 82, traffic profile và ngưỡng đã thử. Lab không đại diện được mọi burst, lỗi đồng thời hay hành vi client thực tế. Circuit ID/Remote ID đúng cú pháp cũng chưa chứng minh inventory đúng hoặc quyền truy cập được cấp hợp lệ.

Runbook trước triển khai cần có backup cấu hình, canary VLAN, dashboard success/latency, cảnh báo sai scope, lệnh rollback và người chịu trách nhiệm đối soát lease. Sau thay đổi, so sánh baseline bằng cùng traffic profile và giữ capture cho các case fail.

• DHCP relay: chuyển DHCP giữa các broadcast domain.
• Option 82: vùng chứa thông tin do relay thêm theo RFC 3046.
• Circuit ID: suboption thường nhận diện mạch/cổng truy nhập theo quy ước triển khai.
• Remote ID: suboption thường nhận diện relay hoặc thuê bao theo quy ước triển khai.
• giaddr: địa chỉ relay dùng trong xử lý DHCP/BOOTP.
• T1/T2: mốc renew và rebind của lease.
• Trust boundary: ranh giới quyết định nguồn nào được phép cung cấp thông tin điều khiển.