DHCP スヌーピング

DHCPスヌーピングとは

DHCPは、IPアドレスを動的に割り当て、アドレスをデバイスにリースして、アドレスが割り当てられたデバイスで不要になったときにアドレスを再利用できるようにします。DHCP 経由で取得した IP アドレスを必要とするホストおよびエンド デバイスは、LAN 経由で DHCP サーバーと通信する必要があります。

DHCP スヌーピングは、着信 DHCP パケットを調べ、DHCP メッセージを検査します。クライアントに割り当てられたIPアドレスとリース情報を抽出し、データベースを構築します。このデータベースを使用して、到着したパケットが有効なクライアントからのものかどうか、つまりクライアントの IP アドレスが DHCP サーバーによって割り当てられたかどうかを判断できます。このように、DHCPスヌーピングは、信頼できるDHCPサーバによってダウンストリームネットワークデバイスに割り当てられた有効なIPアドレスを追跡することにより、ネットワークセキュリティのガーディアンとして機能します(サーバは信頼できるネットワークポートに接続されています)。

DHCPスヌーピングのメリット

• DHCPスヌーピングは、動的IPソースフィルタリングを介してセキュリティの追加レイヤーを提供します。

• DHCPスヌーピングは、間違ったポートに到着しているDHCPパケットや不正な内容のDHCPパケットをフィルタリングすることで、ネットワーク内の不正なDHCPアクティビティを防ぐことができます。

DHCPスヌーピングのアクティブ化

DHCP スヌーピング機能を使用する場合は、DHCP スヌーピング機能の有効化について理解しておくことが重要です。

Junos OS デバイスでは、DHCP スヌーピング機能を独立した機能として設定することはできません。デバイスの特定のVLAN、インターフェイス、またはルーティングインスタンスにDHCPセキュリティ、DHCPリレー、またはDHCPサーバーを設定するたびに、そのVLAN/インターフェイス/ルーティングインスタンスでDHCPスヌーピングが自動的に有効になり、タスクを実行できます。

例えば：

• 特定のルーティングインスタンスのインターフェイスの特定のリストでDHCPリレーを有効にした場合
• DHCPスヌーピングは、そのルーティングインスタンスのインターフェイスで自動的に有効になります。
• 特定のVLANでDHCPセキュリティを有効化すると、そのVLANでDHCPスヌーピングが自動的に有効になります。

Junos OSは、次の場所でスイッチ/ルーター/ファイアウォールでDHCPスヌーピングを有効にします。

• ルーティングインスタンスで以下のオプションを設定した場合のルーティングインスタンス:

  • dhcp-relay ステートメントを [edit forwarding-options] 階層レベルに配置します。
  • dhcp-local-server ステートメントを [edit system services] 階層レベルに配置します。

• ポート セキュリティ機能に対して次のオプションを設定する場合のスイッチ。

  • dhcp-security ステートメントを [edit vlans vlan-name forwarding-options] 階層レベルに配置します。

DHCP スヌーピングの設定

デフォルトの DHCP スヌーピング設定では、すべてのトラフィックがスヌーピングされます。

Junos OS デバイスでは、ルーティングインスタンスで次のオプションを設定すると、ルーティングインスタンスで DHCP スヌーピングが有効になります。

• dhcp-relay[edit forwarding-options]階層レベルのステートメント

• dhcp-local-server[edit system services]階層レベルのステートメント

• オプションで ステートメント forward-snooped-clients を使用して、スヌーピングされたトラフィックを評価し、インターフェイスがグループの一部として設定されているかどうかに基づいて、トラフィックが転送されるかドロップされるかを判断できます。

パケットに関連付けられた加入者がいない場合、ルーターはデフォルトでスヌーピングされたパケットを廃棄します。スヌーピングされたパケットの通常の処理を有効にするには、 階層レベルで ステートメントを[edit forwarding-options dhcp-relay]明示的に設定allow-snooped-clientsする必要があります。

次の特定のルーティング インスタンスに対して DHCP スヌーピング サポートを設定できます。

• DHCPv4 リレー エージェント:ルータ(またはスイッチ)のデフォルト スヌーピング設定を上書きし、DHCP スヌーピングをグローバルに、名前付きインターフェイス グループに対して、または名前付きグループ内の特定のインターフェイスに対して有効または無効に指定します。

  別の手順では、グローバル設定を設定して、DHCPv4 リレー エージェントがすべてのインターフェイス、設定済みインターフェイスのみ、または非設定インターフェイスに対してスヌープ パケットを転送またはドロップするかどうかを指定できます。また、ルータはグローバル DHCP リレー エージェント スヌーピング設定を使用して、スヌーピングされた BOOTREPLY パケットを転送するかドロップするかを決定します。更新要求は、DHCP サーバーに直接ユニキャストできます。これは BOOTPREQUEST パケットであり、スヌーピングされています。

• DHCPv6 リレー エージェント:DHCPv4 リレー エージェントのスヌーピング サポートと同様に、ルータのデフォルトの DHCPv6 リレー エージェント スヌーピング設定を上書きして、グローバルに、指定されたインターフェイス グループに対して、または名前付きインターフェイス グループを持つ特定のインターフェイスに対して、スヌーピング サポートを明示的に有効または無効にすることができます。

  DHCPv6 クライアントと DHCPv6 サーバの間に複数の DHCPv6 リレー エージェントが存在するマルチリレー トポロジーでは、スヌーピングにより、クライアントとサーバの間に介在する DHCPv6 リレー エージェントが、クライアントからのユニキャスト トラフィックを正しく受信して処理し、サーバに転送できます。DHCPv6 リレー エージェントは、UDP ポート 547(DHCPv6 UDP サーバー ポート)でフィルターを転送テーブルごとに設定することで、受信ユニキャスト DHCPv6 パケットをスヌーピングします。次に、DHCPv6 リレー エージェントは、フィルターによって傍受されたパケットを処理し、そのパケットを DHCPv6 サーバーに転送します。

  DHCPv4 リレー エージェントとは異なり、DHCPv6 リレー エージェントは、DHCPv6 スヌーピング パケットの転送サポートのグローバル設定をサポートしていません。

• DHCPローカルサーバー:DHCPローカルサーバーが、すべてのインターフェイス、設定済みインターフェイスのみ、または未設定インターフェイスのみのスヌーピングパケットを転送するかドロップするかを設定します。

• スヌーピング フィルタを無効にすることもできます。前述の設定では、すべての DHCP トラフィックは、転送またはドロップされる前に、ルーティング インスタンスの遅いルーティング プレーンに転送されます。スヌーピング フィルタを無効にすると、より高速なハードウェア コントロール プレーンから直接転送できる DHCP トラフィックがルーティング コントロール プレーンをバイパスします。