Configuração DHCP para Múltiplas VLANs Cisco

Resumo: O Dynamic Host Configuration Protocol (DHCP) é um protocolo essencial para o gerenciamento de redes modernas, especialmente em ambientes segmentados. Este artigo técnico detalhado aborda a implementação da configuração DHCP para múltiplas VLANs utilizando a arquitetura router-on-a-stick em dispositivos Cisco. Vamos explorar os conceitos de trunking 802.1Q, mecanismos de relay DHCP, análise de fluxo de pacotes e fornecer comandos CLI completos para configuração e troubleshooting. Este guia é projetado para administradores de rede que desejam otimizar o gerenciamento de IP em infraestruturas multi-VLAN de forma eficiente e segura.

Em redes corporativas de médio a grande porte, a segmentação usando VLANs (Redes Locais Virtuais) é um padrão para melhorar a segurança, o desempenho e o gerenciamento de tráfego. No entanto, cada VLAN requer um bloco único de endereços IP (sub-rede). Gerenciar endereços IP manualmente em cada sub-rede é uma tarefa ineficiente e propensa a erros. É aqui que o papel da configuração DHCP para múltiplas VLANs se torna uma solução estratégica.

O DHCP opera na camada de aplicação usando as portas UDP 67 (servidor) e 68 (cliente). Em um cenário multi-VLAN, os broadcasts DHCP de um cliente em uma VLAN não serão encaminhados para outras VLANs por padrão. Portanto, um intermediário—geralmente um roteador ou switch de camada 3—é necessário para atuar como um Agente de Relay DHCP. O roteador encaminhará essas mensagens de broadcast DHCP para o servidor DHCP especificado, que pode estar em uma sub-rede diferente ou integrado ao próprio roteador.

O fluxo de comunicação em uma configuração DHCP para múltiplas VLANs segue o processo DORA (Discover, Offer, Request, Acknowledge), modificado para um ambiente com trunk:

• Descoberta DHCP (Broadcast): Um cliente na VLAN 10 envia uma mensagem DHCPDISCOVER como broadcast de camada 2.
• Tag VLAN: O switch adiciona uma tag 802.1Q (ID da VLAN 10) ao frame Ethernet antes de enviá-lo pela porta trunk.
• Transporte por Trunk: O frame etiquetado é encaminhado através do link trunk para o roteador.
• Processamento na Subinterface: O roteador, baseado no ID da VLAN na tag, recebe e processa o frame na subinterface apropriada (ex: GigabitEthernet0/0.10).
• Oferta DHCP (Unicast): O roteador, atuando como servidor DHCP, responde com um DHCPOFFER contendo um endereço IP do pool 192.168.10.0/24.
• Atribuição de Endereço: O cliente finalmente recebe um pacote DHCPACK contendo o endereço IP, máscara de sub-rede, gateway padrão (192.168.10.1) e informações DNS.

Análise de Encapsulamento e Fluxo de Pacotes

Uma compreensão profunda do encapsulamento é crucial para o troubleshooting. Estas são as camadas de protocolo envolvidas em uma configuração DHCP para múltiplas VLANs:

Implementação da Configuração do Switch

A configuração do switch envolve criar VLANs e definir portas como acesso ou trunk. Uma porta trunk transporta tráfego para múltiplas VLANs com tags 802.1Q.

! Passo 1: Criar VLANs no Banco de Dados do Switch
Switch# configure terminal
Switch(config)# vlan 10
Switch(config-vlan)# name Engenharia
Switch(config-vlan)# exit
Switch(config)# vlan 20
Switch(config-vlan)# name Marketing
Switch(config-vlan)# exit
Switch(config)# vlan 30
Switch(config-vlan)# name Operacoes
Switch(config-vlan)# exit

! Passo 2: Configurar Portas de Acesso (Cliente)
Switch(config)# interface fastEthernet 0/1
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 10
Switch(config-if)# description PC-Engenharia
Switch(config-if)# exit

Switch(config)# interface fastEthernet 0/2
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 20
Switch(config-if)# description PC-Marketing
Switch(config-if)# exit

! Passo 3: Configurar Porta Trunk para o Roteador
Switch(config)# interface gigabitEthernet 0/1
Switch(config-if)# switchport trunk encapsulation dot1q  ! Importante em algumas plataformas
Switch(config-if)# switchport mode trunk
Switch(config-if)# switchport trunk native vlan 999  ! Alterar da VLAN 1 padrão por segurança
Switch(config-if)# description TRUNK-para-Router-G0/0
Switch(config-if)# end

! Verificação: Verificar Status das VLANs e Trunk
Switch# show vlan brief
Switch# show interfaces trunk
Switch# show interfaces gigabitEthernet 0/1 switchport

Configuração do Roteador como Servidor DHCP Central

O roteador é configurado com uma subinterface para cada VLAN. Cada subinterface obtém um endereço IP que serve como gateway padrão para essa VLAN e executa o serviço DHCP.

! Passo 1: Criar Subinterfaces com Encapsulamento 802.1Q
Router# configure terminal
Router(config)# interface gigabitEthernet 0/0
Router(config-if)# no ip address  ! Remover endereço IP da interface física
Router(config-if)# no shutdown
Router(config-if)# exit

! Subinterface para VLAN 10
Router(config)# interface gigabitEthernet 0/0.10
Router(config-subif)# description Servidor-DHCP-para-VLAN10-Engenharia
Router(config-subif)# encapsulation dot1Q 10  ! Deve corresponder ao ID da VLAN no switch
Router(config-subif)# ip address 192.168.10.1 255.255.255.0
! Se usar um servidor DHCP externo, use: ip helper-address <ip-servidor-dhcp>
Router(config-subif)# exit

! Subinterfaces para VLAN 20 e 30 (configuração similar)
Router(config)# interface gigabitEthernet 0/0.20
Router(config-subif)# encapsulation dot1Q 20
Router(config-subif)# ip address 192.168.20.1 255.255.255.0
Router(config-subif)# exit

Router(config)# interface gigabitEthernet 0/0.30
Router(config-subif)# encapsulation dot1Q 30
Router(config-subif)# ip address 192.168.30.1 255.255.255.0
Router(config-subif)# exit

! Passo 2: Configurar Pools DHCP para Cada VLAN
Router(config)# ip dhcp pool VLAN10_POOL
Router(dhcp-config)# network 192.168.10.0 255.255.255.0
Router(dhcp-config)# default-router 192.168.10.1
Router(dhcp-config)# dns-server 8.8.8.8 1.1.1.1  ! DNS primário e secundário
Router(dhcp-config)# domain-name empresa.local
Router(dhcp-config)# lease 8  ! Tempo de concessão de 8 dias
Router(dhcp-config)# option 150 ip 192.168.10.100  ! Exemplo para servidor TFTP (VoIP)
Router(dhcp-config)# exit

! Excluir intervalos de endereços que não devem ser distribuídos (para dispositivos estáticos)
Router(config)# ip dhcp excluded-address 192.168.10.1 192.168.10.10
Router(config)# ip dhcp excluded-address 192.168.10.250 192.168.10.254

! Repetir o mesmo processo para os pools das VLANs 20 e 30
Router(config)# ip dhcp pool VLAN20_POOL
Router(dhcp-config)# network 192.168.20.0 255.255.255.0
Router(dhcp-config)# default-router 192.168.20.1
... (e assim por diante)

! Passo 3: Habilitar Roteamento Inter-VLAN (se necessário)
Router(config)# ip routing  ! Garantir que o roteamento IPv4 esteja ativado globalmente

Troubleshooting e Verificação Detalhada

Após a configuração, é altamente recomendada uma verificação em múltiplos níveis para garantir o sucesso da configuração DHCP para múltiplas VLANs.

! 1. Verificar Status da Interface e VLAN no Roteador
Router# show ip interface brief | include 0/0.  ! Verificar status das subinterfaces
Router# show vlans  ! Mapeamento detalhado de VLAN para subinterface

! 2. Verificar Vinculações e Estatísticas DHCP
Router# show ip dhcp binding  ! Listar todos os endereços alugados com MAC do cliente
Router# show ip dhcp pool  ! Verificar utilização de cada pool (usado/livre)
Router# show ip dhcp server statistics  ! Estatísticas de pacotes e erros

! 3. Depuração em Tempo Real (Usar com cautela em produção)
Router# debug ip dhcp server packet  ! Ver troca de pacotes DHCP (DORA)
Router# debug ip dhcp server events   ! Ver eventos como criação/renovação de concessão

! 4. Verificação do Lado do Cliente e Conectividade
! No cliente PC, use comandos específicos do sistema operacional:
!   Windows:   ipconfig /all
!   Linux:     dhclient -v  ou  journalctl -u systemd-networkd
! Depois teste a conectividade para o gateway e entre VLANs (se o roteamento for permitido):
!   ping 192.168.10.1
!   ping 192.168.20.50

Melhores Práticas de Segurança e Otimização

• Habilitar DHCP Snooping: Recurso de segurança do switch para prevenir ataques de servidores DHCP não autorizados.
  

  Switch(config)# ip dhcp snooping
  Switch(config)# ip dhcp snooping vlan 10,20,30
  Switch(config)# interface gigabitEthernet 0/1
  Switch(config-if)# ip dhcp snooping trust  ! Marcar porta trunk para o roteador como confiável

• Definir Tempo de Concessão Estratégico: VLANs de usuários permanentes (PCs) podem ter concessões mais longas (7-8 dias), enquanto VLANs de convidados devem ser curtas (1-8 horas).
• Usar Endereço Helper para Servidores DHCP Externos: Para maior escalabilidade, direcionar solicitações para um servidor DHCP dedicado (como ISC DHCPd ou Microsoft Server).
  

  Router(config-subif)# ip helper-address 10.0.0.100

• Monitoramento e Registro: Habilitar syslog para registrar eventos DHCP como conflitos de endereço ou pools quase esgotados.

A implementação da configuração DHCP para múltiplas VLANs com o padrão router-on-a-stick é adequada para redes com um número moderado de VLANs (até 50-100 VLANs, dependendo da plataforma do roteador). Para ambientes maiores e mais complexos, considere uma arquitetura baseada em um Switch de Camada 3 como gateway e relay DHCP, ou use um aparelho servidor DHCP dedicado para desempenho e confiabilidade máximos.

Ao compreender os princípios, configuração e troubleshooting descritos acima, você pode projetar e gerenciar a distribuição de endereços IP de forma escalável, segura e eficiente em um ambiente de rede multi-VLAN. Para referência adicional sobre padrões e configuração avançada, visite a documentação oficial da Cisco sobre DHCP e as especificações IEEE 802.1Q.