Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

DHCP スヌーピング

デバイスの DHCP スヌーピングJunos OS DHCP メッセージを検証し、無効なトラフィックをドロップします。DHCP リレー エージェントが DHCP スヌーピング パケットを処理する方法を設定できます。設定に応じて、DHCP リレー エージェントは、受信したスヌーピング パケットを転送またはドロップします。詳細については、このトピックをお読みください。

DHCP スヌーピングのサポート

DHCP スヌーピングにより、受信した DHCP パケットを識別し、ネットワーク内の信頼できないデバイスから許容できないと判定された DHCP トラフィックを拒否することで、セキュリティが強化されます。

DHCP スヌーピングとは

DHCP は IP アドレスを動的に割り当て、アドレスをデバイスにリースすることで、アドレスが割り当てられたデバイスによって不要になったときにアドレスを再利用できます。DHCP によって取得される IP アドレスを必要とするホストおよびエンド デバイスは、LAN 全体の DHCP サーバーと通信する必要があります。

DHCP スヌーピングは、受信した DHCP パケットを調査し、DHCP メッセージを検証します。IP アドレスを抽出し、クライアントに割り当てられた情報をリースし、データベースを構築します。このデータベースを使用して、到着するパケットが有効なクライアントからのものか、つまり、クライアントの IP アドレスが DHCP サーバーによって割り当てられたかどうかを判断できます。この方法で、DHCP スヌーピングは、信頼できる DHCP サーバー(サーバーが信頼できるネットワーク ポートに接続されている)によってダウンストリーム ネットワーク デバイスに割り当てられた有効な IP アドレスを追跡することで、ネットワーク セキュリティの後見人として機能します。

DHCP スヌーピングのメリット

  • DHCP スヌーピングは、動的 IP ソース フィルタリングによってセキュリティ レイヤーを強化します。

  • DHCP スヌーピングにより、間違ったポートに到着する DHCP パケットや正しくないコンテンツを持つ DHCP パケットをフィルタリングすることで、ネットワーク内の不正な DHCP アクティビティを回避できます。

DHCP スヌーピングの設定

デフォルトの DHCP スヌーピング設定では、すべてのトラフィックがスヌーピングされます。

デバイスJunos OSでは、ルーティング インスタンスで次のオプションを設定すると、ルーティング インスタンスで DHCP スヌーピングが有効になります。

  • dhcp-relay 階層レベル [edit forwarding-options] でのステートメント

  • dhcp-local-server 階層レベル [edit system services] でのステートメント

  • 必要に応じてステートメントを使用して、スヌーピングされたトラフィックを評価し、インターフェイスがグループの一部として設定されているかどうかを基に、トラフィックが転送またはドロップされるかどうかを判断 forward-snooped-clients できます。

ルーターは、パケットに関連付けられた加入者がない場合、スヌーピングされたパケットをデフォルトで破棄します。スヌーピングされたパケットの通常の処理を有効にするには、階層レベルでステートメントを明示的 allow-snooped-clients[edit forwarding-options dhcp-relay] 設定する必要があります。

特定のルーティング インスタンスに対して DHCP スヌーピングのサポートを設定するには、以下の手順に従います。

  • DHCPv4 リレー エージェント —ルーター(またはスイッチ)のデフォルト スヌーピング設定を上書きし、指定したインターフェイス グループまたは指定グループ内の特定のインターフェイスについて、DHCP スヌーピングがグローバルで有効または無効になっていると指定します。

    別の手順では、グローバル設定を設定して、DHCPv4 リレー エージェントが、すべてのインターフェイス、設定済みインターフェイスのみ、または設定されていないインターフェイスに対してスヌーピングされたパケットを転送またはドロップするかどうかを指定できます。ルーターはまた、グローバル DHCP リレー エージェント スヌーピング設定を使用して、スヌーピングされた BOOTREPLY パケットを転送またはドロップするかどうかを決定します。更新要求は、DHCP サーバーに直接ユニキャストである場合があります。これは BOOTPREQUEST パケットで、スヌーピングされています。

  • DHCPv6 リレー エージェント : DHCPv4 リレー エージェントのスヌーピングサポートを使用して、ルーターのデフォルト DHCPv6 リレー エージェント スヌーピング設定を上書きし、指定したインターフェイス グループまたは指定したインターフェイス グループの特定のインターフェイスに対して、スヌーピング サポートをグローバルで明示的に有効または無効にできます。

    マルチリレー トポロジでは、DHCPv6 クライアントと DHCPv6 サーバーの間に複数の DHCPv6 リレー エージェントが存在する場合、スヌーピングにより、クライアントとサーバー間に DHCPv6 リレー エージェントを介入して、ユニキャスト トラフィックをクライアントから正しく受信および処理し、サーバーに転送できます。DHCPv6 リレー エージェントは、転送テーブルごとに UDP ポート 547(DHCPv6 UDP サーバー ポート)でフィルタを設定することで、受信するユニキャスト DHCPv6 パケットをスヌーピングします。次に、DHCPv6 リレー エージェントは、フィルターによって傍受されたパケットを処理し、パケットを DHCPv6 サーバーに転送します。

    DHCPv4 リレー エージェントとは異なり、DHCPv6 リレー エージェントは DHCPv6 スヌーピング パケットに対する転送サポートのグローバル設定をサポートしません。

  • DHCP ローカル サーバー—すべてのインターフェイス、設定済みインターフェイスのみ、または設定されていないインターフェイスに対して、DHCP ローカル サーバーがスヌーピングされたパケットを転送またはドロップするかどうかを設定します。

  • スヌーピング フィルターを無効にすることもできます。前の設定では、すべての DHCP トラフィックは、転送またはドロップされる前に、ルーティング インスタンスルーティング プレーン時間の遅いデバイスに転送されます。スヌーピング フィルターを無効にすると、DHCP トラフィックは高速のハードウェア スイッチから直接転送され、コントロール プレーンバイパスコントロール プレーン。

例: DHCP リレー エージェントの DHCP スヌーピングサポートの設定

この例では、DHCP リレー エージェントの DHCP スヌーピングサポートを設定する方法を示しています。

要件

概要

この例では、次の操作を実行して DHCP リレー エージェントの DHCP スヌーピングのサポートを設定します。

  • デフォルトの DHCP スヌーピング設定を上書きし、グループ内のインターフェイスに対する DHCP スヌーピングのサポートを有効にします frankfurt

  • スヌーピングされたパケットを設定されたインターフェイスにのみ転送するように DHCP リレー エージェントを設定します。

メモ:

デフォルトでは、DHCP スヌーピングはグローバルで無効になっています。

構成

手順

手順

DHCP スヌーピングに対応した DHCP リレー サポートを設定するには、次の手順に示します。

  1. DHCP リレー エージェントを設定する設定を行います。

  2. DHCP スヌーピングがサポートされているインターフェイスの名前付きグループを指定します。

  3. グループに含めるインターフェイスを指定します。DHCP リレー エージェントは、トラフィックを転送またはドロップするかどうかを決定する際に、これらの情報を設定されたインターフェイスと見なします。

  4. グループのデフォルト設定を上書きする設定を指定します。

  5. グループの DHCP スヌーピングのサポートを有効にします。

  6. 階層レベルに戻り、転送アクションを設定し、設定済みのインターフェイスでのみ DHCP リレー エージェント転送スヌーピング パケット [edit forwarding-options dhcp-relay] を指定します。

  7. DHCP リレー エージェントの DHCP スヌーピング パケット転送を有効にします。

  8. スヌーピングされたパケットが設定されたインターフェイス(グループのインターフェイス)でのみ転送するように指定します frankfurt

結果

設定モードから、 コマンドを入力して設定を確認 show forwarding-options します。出力結果に意図した設定が表示されない場合は、この例の手順を繰り返して設定を修正します。次の出力は、グループ フランクフルトで設定されたインターフェイスの範囲も示しています。

デバイスの設定が完了したら、設定モード commit から を入力します。

DHCP リレー エージェントの DHCP スヌーピング パケット転送サポートの設定

DHCP リレー エージェントが DHCP スヌーピング パケットを処理する方法を設定できます。設定に応じて、DHCP リレー エージェントは、受信したスヌーピング パケットを転送またはドロップします。

DHCP リレーは、2 部構成を使用して DHCP スヌーピング パケットの処理方法を決定します。このトピックでは、ステートメントを使用して、パケットがスヌーピングされているインターフェイスのタイプに応じて、DHCP リレー エージェントがスヌーピングされたパケットを転送またはドロップするかどうかを管理する方法について説明します forward-snooped-clients 。DHCP リレー エージェント スヌーピング設定のもう 1 つの部分では、DHCP リレー スヌーピング機能を有効または無効にします。

表 1 は 、ステートメントによって DHCP スヌーピングが有効になっている場合に、ルーターまたはスイッチがスヌーピングされたパケットで実行するアクションを示 allow-snooped-clients しています。

ルーターまたはスイッチは、DHCP リレー エージェント転送サポートの設定も使用して、スヌーピングされた BOOTREPLY パケットを処理する方法を決定します。

有効になっている場合の DHCP リレー エージェント スヌーピング パケットのアクション
表 1:DHCPスヌーピングが

forward-snooped-clients 構成

設定済みインターフェイスでのアクション

非設定インターフェイスでのアクション

forward-snooped-clients 設定されていません

スヌーピングされたパケットの結果、加入者(DHCP クライアント)が作成される

削除

all-interfaces

転送

転送

configured-interfaces

転送

削除

non-configured-interfaces

スヌーピングされたパケットの結果、加入者(DHCP クライアント)が作成される

転送

表 2は、ステートメントによって DHCP スヌーピングが無効になっている場合に、ルーター(またはスイッチ)がスヌーピング パケットで実行するアクションを示 no-allow-snooped-clients しています。

無効になっている場合の DHCP リレー エージェント スヌーピング パケットのアクション
表 2: DHCP スヌーピングが

forward-snooped-clients 構成

設定済みインターフェイスでのアクション

非設定インターフェイスでのアクション

forward-snooped-clients 設定されていません

削除

削除

all-interfaces

削除

転送

configured-interfaces

削除

削除

non-configured-interfaces

削除

転送

表 3 は 、スヌーピングされた BOOTREPLY パケットに対してルーター(またはスイッチ)が実行するアクションを示しています。

表 3:スヌーピングされた BOOTREPLY パケットに対するアクション

forward-snooped-clients 構成

アクション

forward-snooped-clients 設定されていません

クライアントが見 BOOTREPLY つからなかった場合、スヌーピングされたパケットが破棄された

forward-snooped-clients すべての構成

クライアントが BOOTREPLY 見つからなかった場合に転送されるスヌーピングパケット

設定されたインターフェイスは、階層内 group のステートメントを使用して設定 [edit forwarding-options dhcp-relay] されています。設定されていないインターフェイスは論理システム/ルーティング インスタンス内にいますが、ステートメントによって設定 group されていません。

DHCP スヌーピング パケット転送と BOOTREPLY スヌーピング パケット転送を DHCP リレー エージェントに設定するには、次の手順に示します。

  1. DHCP リレー エージェントを設定する設定を行います。
  2. DHCP スヌーピングパケット転送を有効にします。
  3. スヌーピングパケット転送でサポートされるインターフェイスを指定します。

たとえば、DHCP リレー エージェントが設定されたインターフェイスでのみ DHCP スヌーピング パケットを転送するように設定するには、次の手順に示します。