DHCP Snooping

O Protocolo dinâmico de configuração de host (DHCP) é um protocolo de gerenciamento de rede usado em redes TCP/IP para atribuir dinamicamente endereços IP e outras informações de configuração relacionadas a dispositivos de rede.

• Como o DHCP Snooping funciona
• Benefícios do DHCP Snooping

Como o DHCP Snooping funciona

O Protocolo dinâmico de configuração de host (DHCP) aloca dinamicamente endereços IP para dispositivos, alugando endereços que podem ser reutilizados quando não são mais necessários. Hosts ou dispositivos finais que exijam endereços IP por meio de DHCP devem se comunicar com um servidor DHCP em toda a LAN.

A ilustração a seguir mostra o processo de espionagem do DHCP.

Figura 1: DhCP Snooping

Na topologia, um dispositivo de usuário final se conecta a um dispositivo Junos OS (roteador, switch ou firewall). O dispositivo Junos OS se conecta ao cliente DHCP e ao servidor DHCP. O dispositivo Junos OS configurado como um agente de retransmissão DHCP opera como a interface entre clientes DHCP e o servidor DHCP. Este dispositivo Junos OS inspeciona pacotes DHCP. O servidor DHCP atribui endereços IP aos clientes.

O recurso de espionagem DHCP em um dispositivo Junos OS executa as seguintes ações:

• Valida as mensagens DHCP recebidas de fontes não confiáveis e filtra mensagens inválidas.
• Extrai o endereço IP alugado para cada cliente e cria um banco de dados. O banco de dados de espionagem DHCP (ou tabela de vinculação) inclui informações sobre o endereço IP, endereço MAC e VLAN de cada cliente DHCP.
• Usa a tabela de vinculação de espionagem DHCP para validar solicitações subseqüentes de hosts não confiáveis. Ao verificar se as solicitações de DHCP vêm de fontes confiáveis, o dispositivo da Juniper pode garantir que apenas as solicitações de DHCP válidas sejam processadas.

Dessa forma, a espionagem do DHCP atua como guardiã da segurança da rede, mantendo o controle de endereços IP válidos que um servidor DHCP confiável (um servidor conectado a uma porta de rede confiável) atribui a dispositivos de rede downstream.

Agente de retransmissão DHCPv6 Snooping

O agente de retransmissão DHCPv6 melhora o agente de retransmissão DHCP fornecendo suporte em uma rede IPv6. O agente de transmissão DHCPv6 passa mensagens entre o cliente DHCPv6 e o servidor DHCPv6, semelhante à forma como o agente de transmissão DHCP oferece suporte a uma rede IPv4. Em uma topologia multitransmissão que tem vários agentes de transmissão DHCPv6 entre o cliente e o servidor, a espionagem permite que os agentes de retransmissão intervenientes processem corretamente o tráfego unicast do cliente e o encaminhem para o servidor. Bisbilhotar essa topologia envolve essas ações:

• O agente de retransmissão DHCPv6 bisbilhota pacotes DHCPv6 unicast de entrada usando um filtro com porta UDP 547, que é a porta de servidor DHCPv6 UDP, em uma tabela por encaminhamento.
• O agente de transmissão DHCPv6 então processa os pacotes interceptados pelo filtro e encaminha os pacotes para o servidor DHCPv6.

Este exemplo mostra como configurar o suporte de espionagem DHCP para agente de retransmissão DHCP.

Em um dispositivo Junos OS, o recurso de espionagem DHCP é habilitado automaticamente quando você configura segurança DHCP, transmissão DHCP, configurações de servidor DHCP para uma VLAN específica ou instância de roteamento.

Observe que em um dispositivo Junos OS, você não pode configurar a espionagem DHCP como um recurso independente.

O Junos OS permite a espionagem de DHCP em um switch, roteador ou firewall quando você configura qualquer um ou todos os seguintes recursos:

• Opções de servidor local de DHCP ou DHCP nos seguintes níveis de hierarquia:
  • A dhcp-relay declaração no [edit forwarding-options] nível ou [edit routing-instances routing-instance-name forwarding-options] hierarquia.
  • A dhcp-local-server declaração no [edit system services] nível ou [edit routing-instances routing-instance-name system services] hierarquia.
    Nota:

    Ao configurar o retransmissão DHCP, use a forward-only declaração a menos que precise de gerenciamento de assinantes ou classe de serviço (CoS). A forward-only configuração encaminha pacotes de clientes DHCP especificados, sem criar uma sessão de assinantes.

• A segurança DHCP em uma VLAN específica ativa a espionagem DHCP para aquela VLAN:

  A declaração de segurança dhcp no [edit vlans vlan-name forwarding-options] nível hierárquico para switches.

• A dhcp-security declaração no nível de [edit bridge-domains bridge-domain-name forwarding-options dhcp-security] hierarquia para roteadores.

• Você pode configurar o servidor local DHCP para encaminhar ou soltar pacotes bisbilhotados para todas as interfaces, apenas interfaces configuradas ou apenas interfaces não configuradas. Consulte a configuração do suporte de encaminhamento de pacotes snooped DHCP para o servidor local DHCP para obter mais detalhes.

Você pode refinar ainda mais o controle sobre o comportamento de espionagem DHCP usando a forward-snooped-clients declaração.

Você pode usar a forward-snooped-clients declaração para decidir se o tráfego monitorado deve ser encaminhado ou descartado com base na configuração da interface.

1. Para avaliar o tráfego bisbilhotado e depois decidir se deve encaminhar ou soltar o tráfego, configure a forward-snooped-clients declaração no [edit forwarding-options dhcp-relaynível ] hierarquia.

   Você pode definir a opção forward-snooped-clients para os seguintes cenários:

   • Todas as interfaces: aplica a ação a todas as interfaces.
   • Interfaces configuradas: aplica a ação apenas às interfaces configuradas como parte de um grupo de interface.
   • Interfaces não configuradas: aplica a ação apenas às interfaces que não fazem parte de um grupo de interface.
2. Encaminhar ou soltar os pacotes bisbilhotados, configurar allow-snooped-clients ou no-allow-snooped-clients, respectivamente, com a opção forward-snooped-clients .
   • Quando você configura allow-snooped-clients, os pacotes bisbilhotados são encaminhados se um assinante válido estiver associado a eles.
   • Quando você configura no-allow-snooped-clients, os pacotes bisbilhotados são descartados mesmo se um assinante válido estiver associado a eles.

Para saber mais sobre a ação que o dispositivo toma em pacotes bisbilhotados de DHCP com base na combinação de allow-snooped-clients ou no-allow-snooped-clients com forward-snooped-clients, veja Tabela 1 e Tabela 2.

A Tabela 1 mostra a ação que o dispositivo assume nos pacotes bisbilhotados pelo agente de retransmissão DHCP quando você configura allow-snooped-clients com forward-snooped-clients a opção.

A Tabela 2 mostra a ação que o dispositivo assume nos pacotes bisbilhotados pelo agente de retransmissão DHCP quando você configura no-allow-snooped-clients com forward-snooped-clients.

Durante a espionagem do agente de transmissão DHCP, o dispositivo conta com sua configuração global para decidir se deve encaminhar ou descartar pacotes BOOTREPLY. Além disso, durante uma renovação de locação, um pacote BOOTPREQUEST pode ser unicast diretamente para o servidor DHCP, e este pacote também está sujeito a espionagem.

A Tabela 3 mostra a ação que o dispositivo toma nos pacotes bisbilhotados BOOTREPLY .

Tanto na configuração padrão quanto nas configurações que usam a forward-snooped-clients declaração, o dispositivo encaminha todo o tráfego DHCP no plano de controle de hardware para o plano de roteamento da instância de roteamento para interceptação de pacotes DHCP.

Você pode usar a opção de não bisbilhotar para desativar o filtro de espionagem para tráfego DHCP.

Quando você configura a opção, o no-snoop tráfego DHCP vai para o plano de controle de hardware, mas ignora o plano de roteamento, evitando a interceptação lá.