DHCP ショート サイクル保護

DHCP クライアント セッションの失敗または短寿命を引き起こす可能性のある状態

クライアントセッションの失敗や短命を引き起こす可能性のある条件には、以下のものがあります。

• RADIUSデータベースに対応するエントリーがない場合や、不適切なログイン試行により、RADIUSやDiameterなどの外部AAAサーバーからの認証拒否。

• ネットワーク障害または設定ミスにより、ルーターまたは外部認証サーバーに到達できない。

• 動的な加入者インターフェイスを作成するためのメモリリソースが不足しています。

• CPE とのプロトコル ネゴシエーションに失敗します。

• ログインに成功した直後にクライアントがログアウトします。このアクションにより、セッションが破棄される前に、完全にネゴシエートされ設定されたクライアントセッションが作成されます。

DHCPショートサイクル保護の仕組み

DHCP ショートサイクル保護は、デフォルトでルーターで無効になっています。グローバル、グループ、またはインターフェイスレベルで short-cycle-protection ステートメントを含めて有効にすると、ルーター静的および動的論理インターフェイス上のDHCPセッションに対して以下を実行します。

1. 短時間のクライアントセッション( 短サイクルイベントとも呼ばれます)を検出し、以下のイベントに基づいてクライアントをロックアウトします。

   • E0: jdhcpd がクライアント セッションをアクティブとして宣言した時間。

   • E1: jdhcpd がクライアント セッションを破棄する必要があると宣言した時刻。

   • E2: jdhcpdがデータベースからクライアントセッションエントリを削除した時間。

   短周期イベントは、E0 と E1 の間隔が 60 秒以下の場合に発生します。間隔が60秒を超える場合、ログアウトは正常と見なされます。ルーターがセッションを短命であると宣言した場合、E2の時点でクライアントをロックアウトデータベースに追加します。

2. ルーターへの接続を阻止して、指定されたDHCPクライアントを一時的にロックアウトします。

   ロックアウト中、ルーターはロックアウト期間が終了するまでクライアントからネゴシエーションパケット(DHCPディスカバーとメッセージ送信請求)をドロップします。ロックアウト期間が終了すると、クライアントは通常の接続ネゴシエーションを再開できます。

   short-cycle-protectionステートメントで最小長と最大長を指定することで、ロックアウト期間の範囲を設定できます。最小値と最大値の両方を指定する必要があります。

3. クライアントの短サイクルイベントが繰り返される間の時間を追跡して、後続の短サイクルイベントのロックアウト時間を増やすかどうかを判断します。イベント間の間隔は、 猶予時間のしきい値と比較されます。デフォルトでは、猶予時間のしきい値は900秒ですが、その値が900秒を超えると、最大ロックアウト時間に自動的に設定されます。

   猶予時間内に後続のネゴシエーションが試行されない場合、クライアントエントリはロックアウトデータベースから削除されます。

   猶予しきい値に達する前に後続のネゴシエーションが試みられた場合、それは別のショートサイクルイベントとして扱われ、ロックアウトペナルティが増加します。ペナルティは、猶予時間内にネゴシエーションが試行されるたびに指数関数的に増加します。

初期ロックアウト期間は、設定された最小値に基づきます。追加のペナルティは次のように計算されます。 ここで、n は猶予時間内に発生した連続した短いサイクルイベントの数です。

ロックアウト時間 = (ロックアウト最小時間) x [2^(n-1)]

例えば、最小時間が 1 秒、最大時間が 300 秒の場合、初期ロックアウト期間は 1 秒です。その後のペナルティは2秒に増加し、その後4秒、8秒、16秒、32秒、64秒、128秒、256秒、最後に300秒に増加します。最終的なロックアウト期間は、ロックアウト範囲の最大値を超えるペナルティがないため、512秒ではなく300秒です。

ロックアウト時間が最大値に達すると、短いサイクルイベント間の時間が猶予しきい値よりも長くなるまで、その後のロックアウト期間ごとにその値が維持されます。

ロックアウト条件の終了

DHCP クライアントがロックアウトされると、以下のいずれかが発生した場合を 除き 、すべてのロックアウト タイマーが期限切れになるまでロックアウト条件が持続します。

• 以下の操作コマンドのいずれかを発行することで、ロックアウト条件を管理上クリアします。

  • clear dhcp relay lockout-entries

  • clear dhcp server lockout-entries

  • clear dhcpv6 relay lockout-entries

  • clear dhcpv6 server lockout-entries

• ロックアウト中のクライアントセッションが設定されているFPCをリセットします。

• ルーティングエンジンをリセットします。

これらのイベントのいずれかが発生すると、jdhcpd はロックアウトを終了し、影響を受けるすべてのクライアント・セッションのロックアウト履歴をクリアします。リリースされたクライアントは、再度ネゴシエートすることができます。保持履歴がないため、これらのクライアントのいずれかで後続の短サイクル・イベントが発生した場合、ロックアウト期間は最小値から開始されます。

remove-when-no-subscribersで設定された基盤となる物理インターフェイスから動的VLANまたはdemux VLAN論理インターフェイスが削除されると、影響を受けるクライアントのロックアウトは、すべてのタイマーが期限切れになるまで持続します。すべてのタイマーが期限切れになる前に論理インターフェイスが再作成された場合、再作成された論理インターフェイスにロックアウト状態が適用されます。

DHCPショートサイクル保護を使用するメリット

• ルーターへのコントロールプレーンの過度の負荷と、外部権限サーバーへの認証、許可、プロビジョニングの負荷を軽減します。

• DHCP制御パケットの処理や、短時間の接続のネゴシエーションと終了に必要なリソースを削減します。

• クライアントセッションが失敗した、または短命なクライアントのその後の試行を一時的に延期し、セッションが正常に完了し、短期間以上続くことができるようにします。

• RADIUSやDiameterなどの外部認証サーバーでこれらの接続を認証して終了するために必要なリソースを削減します。

• 同じインターフェイス上の他のDHCPセッションを中断することなく、失敗した単一のDHCPセッションまたは短命のDHCPセッションのロックアウトを有効にします。

  DHCP ショートサイクル保護は、固有のクライアント ID によって各クライアント セッションを識別するため、ルーターは問題のある DHCP クライアントのみをロックアウトし、同じインターフェイス上の他の DHCP クライアントが接続のネゴシエーションに成功できるようにします。

目的

DHCPのショートサイクル保護操作に関する情報を表示またはクリアします。

サポートされている show および clear コマンドを使用して、DHCPリレーエージェントとDHCPローカルサーバーのショートサイクル保護操作に関する情報を管理および表示します。ロックアウトされたすべてのエントリーの情報、またはデータベースインデックス番号で識別される個々のエントリーのみの情報を表示できます。

アクション

• DHCPv4 または DHCPv6 リレーエージェントのショートサイクル保護情報を表示するには:

• DHCPv4またはDHCPv6リレーエージェントのショートサイクル保護情報をクリアするには:

• DHCPv4 または DHCPv6 ローカルサーバーのショートサイクル保護情報を表示するには:

• DHCPv4またはDHCPv6ローカルサーバーのショートサイクル保護情報をクリアするには:

意味

これらの show コマンドに all オプションを含めると、データベース内のエントリに対応するインデックス番号、クライアント識別キー、ロックアウトの状態、現在の状態が終了するまでの秒数、現在の状態が有効であった時間、 クライアントがロックアウトされた連続回数。

特定のクライアントのロックアウトデータベースから情報を削除する場合は、まず、対応する show コマンドを all オプションとともに発行して、クライアントエントリのインデックスを決定する必要があります。次に、 clear コマンドでそのインデックスを指定できます。

次の例では、特定のクライアントのインデックス番号を見つけるためにDHCPv4リレーエージェントにロックアウトされたクライアントエントリーをすべて表示し、そのエントリーのみをクリアして、それが削除されたことを確認します。

次の例では、DHCPv6ローカルサーバーでロックアウトされたクライアントエントリをすべて表示してから、すべてのエントリをクリアして、それらが削除されたことを確認します。