DHCP ショート サイクル保護

DHCP クライアント セッションの失敗または短時間の原因となる可能性のある状態

クライアント セッションの失敗または短時間の原因となる可能性がある状態は次のとおりです。

• RADIUSデータベースに対応するエントリーがない場合や不正なログイン試行が発生した場合に、RADIUSや Diameterなどの外部AAAサーバーからの認証拒否。

• ネットワーク障害や設定ミスによるルーターまたは外部認証サーバーのアリーチ可能性。

• 動的加入者インターフェイスを作成するためのメモリ リソースが不十分。

• CPE によるプロトコル ネゴシエーションの失敗。

• ログインに成功した直後のクライアントログアウト。このアクションにより、セッションが破棄される前に、完全にネゴシエートされ、設定されたクライアントセッションが作成されます。

DHCP ショートサイクル保護の仕組み

DHCP ショートサイクル保護は、デフォルトでルーターで無効になっています。グローバル、グループ、またはインターフェイスレベルで ステートメントを short-cycle-protection 含めることで有効にすると、ルーターは静的および動的論理インターフェイス上のDHCPセッションに対して以下を実行します。

1. 短サイクル イベントとも呼ばれる短命なクライアント セッションを検出し、以下 のイベントに基づいてクライアントをロックアウトします。

   • E0: jdhcpd がクライアント セッションをアクティブに宣言した時刻。

   • E1: jdhcpd がクライアント セッションを宣言した時刻を破棄する必要があります。

   • E2: jdhcpd がクライアント セッションエントリーをデータベースから削除する時間。

   ショート サイクル イベントは、E0 と E1 の間隔が 60 秒以下の場合に発生します。間隔が 60 秒を超えると、ログアウトは正常と見なされます。ルーターがセッションを短命と宣言した場合、時間 E2 時にクライアントがロックアウト データベースに追加されます。

2. ルーターへの接続を防ぐことで、指定されたDHCPクライアントを一時的にロックアウトします。

   ロックアウト中、ルーターは、ロックアウト期間が期限切れになるまで、クライアントからのネゴシエーション パケット(DHCP 検出および要求メッセージ)を破棄します。ロックアウト期間が終了すると、クライアントは接続の通常のネゴシエーションを再開できます。

   ステートメントで最小および最大長を指定することで、ロックアウト期間の範囲を short-cycle-protection 設定することができます。最小値と最大値の両方を指定する必要があります。

3. クライアントの繰り返し短サイクルイベント間の時間を追跡し、後続の短いサイクルイベントのロックアウト時間を増やすかどうかを判断します。イベント間の間隔は、 猶予期間の閾値と比較されます。デフォルトでは、猶予期間の閾値は900秒ですが、その値が900秒を超える場合、自動的に最大ロックアウト時間に設定されます。

   その後のネゴシエーションが猶予期間に試行されない場合、クライアントエントリーはロックアウトデータベースから削除されます。

   グレース閾値に達する前に後続のネゴシエーションが試みられると、それは別の短いサイクルイベントとして扱われ、ロックアウトペナルティが増加します。ペナルティは、猶予期間内にネゴシエーションが試みるたびに指数関数的に増加します。

最初のロックアウト期間は、設定された最小値に基づいています。追加ペナルティは次のように計算されます。 n は、グレースタイム内に発生する連続したショートサイクルイベントの数です。

ロックアウト時間 = (ロックアウト最小時間) x [2^(n-1)]

例えば、最小時間が 1 秒で、最大時間が 300 秒の場合、最初のロックアウト期間は 1 秒です。その後のペナルティは2秒、次に4秒、8秒、16秒、32秒、64秒、128秒、256秒、最後に300秒に増加します。最後のロックアウト期間は、ペナルティがロックアウト範囲の最大値を超えないため、512 秒ではなく 300 秒です。

ロックアウト時間が最大に達した場合、それは、短いサイクル・イベント間の時間が猶予期間の閾値を超えるまで、その後のロックアウト期間ごとにその値のままとなります。

ロックアウト条件の終了

DHCP クライアントがロックアウトされている場合、次のいずれかが発生する場合を 除き 、すべてのロックアウト タイマーが期限切れになるまでロックアウト条件は持続します。

• 次のいずれかの操作コマンドを発行して、ロックアウト条件を管理者がクリアします。

  • clear dhcp relay lockout-entries

  • clear dhcp server lockout-entries

  • clear dhcpv6 relay lockout-entries

  • clear dhcpv6 server lockout-entries

• ロックアウト中のクライアントセッションが設定されているFPCをリセットします。

• ルーティング エンジンをリセットします。

これらのイベントのいずれかが発生すると、jdhcpd はロックアウトを終了し、影響を受けるすべてのクライアント セッションのロックアウト履歴をクリアします。解放されたクライアントは、再びネゴシエートすることができます。保持履歴がないため、ロックアウト期間は、これらのクライアントの 1 つで後続のショート サイクル イベントが発生した場合に最小値から始まります。

動的 VLAN または demux VLAN 論理インターフェイスが で構成されている remove-when-no-subscribers基本的な物理インターフェイスから削除されると、影響を受けるクライアントのロックアウトは、すべてのタイマーが期限切れになるまで持続します。すべてのタイマーが終了する前に論理インターフェイスが再作成された場合、ロックアウト状態は再作成された論理インターフェイスに適用されます。

DHCP ショート サイクル保護を使用するメリット

• ルーターでの過剰な制御プレーンの負荷、および外部権限サーバーでの認証、許可、およびプロビジョニングの負荷を軽減します。

• DHCP 制御パケットの処理や、短時間の接続のネゴシエートと終了に必要なリソースを削減します。

• セッションが失敗したクライアントまたは短命のクライアントセッションに対するその後の試行を一時的に遅くすることで、セッションが正常に完了し、短時間以上続く可能性があります。

• RADIUSや Diameterなどの外部認証サーバーで、これらの接続の認証と終了に必要なリソースを削減します。

• 同じインターフェイス上の他の DHCP セッションを中断せずに、単一の失敗した DHCP セッションまたは短時間の DHCP セッションのロックアウトを有効にします。

  DHCPショートサイクル保護は、それぞれのクライアントIDによって各クライアントセッションを識別するため、ルーターは問題のあるDHCPクライアントのみをロックアウトし、同じインターフェイス上の他のDHCPクライアントが接続を正常にネゴシエートできるようにします。

目的

DHCP の短期保護運用に関する情報を表示またはクリアします。

サポートされている show コマンドおよび clear コマンドを使用して、DHCP リレー エージェントと DHCP ローカル サーバーの短期保護操作に関する情報を管理および表示します。すべてのロックアウト・エントリーに関する情報、またはデータベース・インデックス番号で識別された個々のエントリーに関する情報のみを表示できます。

アクション

• DHCPv4またはDHCPv6リレーエージェントのショートサイクル保護情報を表示するには、

• DHCPv4またはDHCPv6リレーエージェントのショートサイクル保護情報をクリアするには、

• DHCPv4 または DHCPv6 ローカル サーバーの短サイクル保護情報を表示するには、次の手順に示します。

• DHCPv4 または DHCPv6 ローカル サーバーのショート サイクル保護情報をクリアするには、次の手順に示します。

意味

これらのshowコマンドに オプションを含めると、データベース内のallエントリーに対応するインデックス番号、クライアント識別キー、ロックアウトの状態、現在の状態がオーバーするまでの秒数、現在の状態が有効な期間など、ロックアウトデータベース内の各クライアントエントリーに関する情報が提供されます。 クライアントがロックアウトされた回数を示します

特定のクライアントのロックアウト・データベースから情報を除去する場合、クライアント項目の索引を決定するには、まず、 オプションを付けてall対応するshowコマンドを出す必要があります。その後、 コマンドでインデックスをclear指定できます。

次の例では、DHCPv4 リレー エージェントのすべてのロックアウト クライアント エントリーを表示して特定のクライアントのインデックス番号を検索し、そのエントリのみをクリアして、削除されていることを確認します。

次の例では、DHCPv6 ローカル サーバーのすべてのロックアウト されたクライアント エントリーを表示し、すべてのエントリをクリアして、それらが削除されていることを確認します。