DHCPファイアウォールフィルターのポート番号要件

適切なDHCPパケットのみを許可してルーティングエンジンを保護するなど、ルーティングエンジンでDHCPパケットに対して何らかのアクションを実行するように ファイアウォールフィルター を設定する場合、送信元と宛先の両方でポート67(bootps)とポート68(bootpc)の両方を指定する必要があります。ファイアウォールフィルターは、ラインカードとルーティングエンジンの両方で動作します。

この要件はDHCPローカルサーバーとDHCPリレーの両方に適用されますが、jdhcpdプロセスがDHCPを提供する場合にのみ適用されます。MXシリーズルーターはjdhcpdを使用します。つまり、DHCP リレーでは、設定は [edit forwarding-options dhcp-relay] 階層レベルでのみ必要で、 [edit forwarding-options helpers bootp] 階層レベルでは必要ありません。

ラインカードで受信されたDHCPパケットは、jdhcpdによって新しいUDPヘッダーでカプセル化され、送信元アドレスと宛先アドレスはルーティングエンジンに転送される前にポート68に設定されます。

DHCPリレーとDHCPプロキシでは、ルーターからDHCPサーバーに送信されたパケットの送信元と宛先のUDPポートの両方が67に設定されます。DHCP サーバーは同じポートを使用して応答します。ただし、ラインカードがこれらのDHCP応答パケットを受信すると、パケットをルーティングエンジンに渡す前に、両方のポート番号を67から68に変更します。そのため、フィルターは、クライアントからサーバーにリレーされたパケットではポート67を受け入れ、サーバーからクライアントにリレーされたパケットではポート68を受け入れる必要があります。

ここで説明したとおりにポート67とポート68の両方を含めないと、ほとんどのDHCPパケットが受け入れられない結果となります。

ファイアウォールフィルターの一般的な設定の詳細については、 ルーティングデバイス用Junos OSルーティングポリシー、ファイアウォールフィルター、およびトラフィックポリサーユーザーガイドを参照してください。