Perché questi tre servizi contano

DHCP, DNS e NTP sono i servizi IP di base che rendono operativa una rete: assegnano indirizzi automaticamente, traducono nomi in indirizzi e mantengono gli orologi allineati. In esame vengono testati sul piano concettuale (“quale servizio risolve questo scenario?”) e sui default. Un router IOS/IOS-XE può essere sia client sia server di ciascuno di questi servizi: distinguere i due ruoli è centrale.

DHCP e il processo DORA

Il DHCP (Dynamic Host Configuration Protocol) assegna dinamicamente indirizzo IP, subnet mask, default gateway e DNS server. Lo scambio segue quattro messaggi, ricordati con l’acronimo DORA:

Fase Messaggio Chi lo invia Tipo traffico
D DISCOVER Client (0.0.0.0) Broadcast L2/L3
O OFFER Server Unicast/broadcast
R REQUEST Client Broadcast
A ACK Server Unicast/broadcast

Il client parte senza indirizzo, quindi il DISCOVER è un broadcast (destinazione 255.255.255.255, UDP porta sorgente 68, destinazione 67). Il server risponde con un OFFER, il client conferma con REQUEST (in broadcast, così gli altri server sanno che l’offerta è stata declinata) e il server chiude con ACK.

Il router come server DHCP

Un router IOS può ospitare direttamente il pool. Le ip dhcp excluded-address vanno dichiarate prima del pool e servono a proteggere gli indirizzi statici (gateway, server, stampanti).

ip dhcp excluded-address 10.1.1.1 10.1.1.10
ip dhcp pool LAN
 network 10.1.1.0 255.255.255.0
 default-router 10.1.1.1
 dns-server 8.8.8.8
 lease 7

DHCP relay e ip helper-address

Il problema nasce quando client e server sono su subnet diverse: il DISCOVER è un broadcast e i router non inoltrano i broadcast tra subnet. La soluzione è configurare il router (di solito sull’interfaccia/SVI più vicina ai client) come DHCP relay agent con:

interface vlan 10
 ip helper-address 10.1.1.1

Il relay intercetta il broadcast, lo trasforma in unicast verso il server e valorizza il campo giaddr (gateway IP address) con l’indirizzo dell’interfaccia che ha ricevuto il DISCOVER: è così che il server capisce da quale pool attingere. Nota importante: ip helper-address non inoltra solo il DHCP ma un set di 8 servizi UDP di default (tra cui TFTP/69, DNS/53, TACACS, NTP/time, NetBIOS). Va configurato sull’interfaccia lato client, non lato server.

DNS: risoluzione dei nomi

Il DNS (Domain Name System) traduce nomi di dominio in indirizzi IP, su UDP porta 53. Sul router serve soprattutto per far funzionare i nomi negli strumenti operativi (es. ping www.cisco.com):

  • ip domain-lookup — abilita la risoluzione (attiva di default).
  • ip name-server 8.8.8.8 — indica il resolver.
  • ip domain-name azienda.local — suffisso di default.

Trappola operativa nota: con ip domain-lookup attivo, un comando digitato male in modalità EXEC viene interpretato come hostname e il router tenta di risolverlo, generando una lunga attesa. In lab si disabilita spesso con no ip domain-lookup.

NTP: sincronizzazione oraria

Il NTP (Network Time Protocol) mantiene gli orologi allineati su UDP porta 123. Un orario coerente è indispensabile per correlare i log, validare i certificati e leggere gli eventi di sicurezza. NTP usa il concetto di stratum (distanza dalla sorgente autorevole): stratum 1 è direttamente agganciato a una fonte di riferimento; più alto è lo stratum, meno autorevole è la sorgente (stratum 16 = non sincronizzato).

  • ntp server 192.168.1.1 — il dispositivo diventa client e si sincronizza.
  • ntp master 3 — il dispositivo diventa sorgente autorevole (server) con lo stratum indicato, utile in assenza di una fonte esterna.

Si verifica con show ntp status (sincronizzazione e stratum) e show ntp associations (il * indica il peer sincronizzato).

Trappole tipiche d’esame

  • Client su subnet diversa dal server, nessun lease → manca ip helper-address sull’interfaccia lato client: il DISCOVER broadcast non attraversa il router. La risposta è configurare il relay, non spostare il server.
  • ip helper-address sull’interfaccia sbagliata → va messo sull’interfaccia/SVI che riceve il DISCOVER dai client (lato LAN), non su quella verso il server.
  • Confondere ip address dhcp con il ruolo di server → ip address dhcp su un’interfaccia (tipicamente WAN) rende il router client che riceve un IP; non ha nulla a che vedere con ip dhcp pool, che lo rende server.
  • Indirizzi statici in conflitto → se non dichiari ip dhcp excluded-address, il pool può assegnare l’IP del gateway o dei server, causando conflitti. Va sempre esclusa la parte statica.
  • Orari incoerenti nei log → sintomo di NTP assente o non sincronizzato (stratum 16 in show ntp status): la fix è ntp server sui client o ntp master su una sorgente interna.