DHCPショートサイクル保護

DHCP クライアント セッションの失敗または短命の原因となる状態

クライアント セッションの失敗または短時間の存続を引き起こす可能性のある条件には、次のようなものがあります。

• RADIUS データベースに対応するエントリがない、または不適切なログイン試行が原因で、RADIUS や Diameter などの外部 AAA サーバからの認証が拒否される。

• ネットワーク障害または設定ミスにより、ルーターまたは外部認証サーバーに到達できません。

• 動的加入者インターフェイスを作成するためのメモリリソースが不足しています。

• CPE とのプロトコル ネゴシエーションの失敗。

• ログインが成功した直後にクライアントがログアウトします。このアクションにより、セッションが破棄される前に、完全にネゴシエートされ、設定されたクライアントセッションが作成されます。

DHCP ショートサイクル保護のしくみ

DHCP ショートサイクル保護は、デフォルトでルーターで無効になっています。グローバル、グループ、またはインターフェイスレベルで short-cycle-protection ステートメントを含めて有効にすると、ルーターは静的および動的論理インターフェイス上のDHCPセッションに対して次のことを行います。

1. 短期間のクライアント セッション ( 短いサイクル イベントとも呼ばれる) を検出し、次のイベントに基づいてクライアントをロックアウトします。

   • E0: jdhcpd がクライアントセッションをアクティブであると宣言した時刻。

   • E1: jdhcpd がクライアントセッションを破棄する必要があると宣言した時刻。

   • E2: jdhcpd がデータベースからクライアントセッションエントリを削除する時刻。

   E0 と E1 の間の間隔が 60 秒以下の場合、ショート サイクル イベントが発生します。間隔が 60 秒を超えると、ログアウトは正常と見なされます。ルーターがセッションの存続期間が短いと宣言すると、時刻 E2 にクライアントをロックアウト データベースに追加します。

2. ルーターへの接続を阻止することで、指定されたDHCPクライアントを一時的にロックアウトします。

   ロックアウト中、ルーターはロックアウト期間が終了するまで、クライアントからのネゴシエーション パケット(DHCP 検出および送信要求メッセージ)をドロップします。ロックアウト期間が終了すると、クライアントは接続の通常のネゴシエーションを再開できます。

   short-cycle-protection ステートメントで最小長と最大長を指定することで、ロックアウト期間の範囲を設定できます。最小値と最大値の両方を指定する必要があります。

3. クライアントが繰り返す短いサイクル イベント間の時間を追跡して、後続の短いサイクル イベントのロックアウト時間を増やすかどうかを決定します。イベント間の間隔は、 猶予時間のしきい値と比較されます。デフォルトでは、猶予時間のしきい値は 900 秒ですが、その値が 900 秒を超えると、最大ロックアウト時間に自動的に設定されます。

   猶予時間内に後続のネゴシエーションが試行されない場合、クライアントエントリはロックアウトデータベースから削除されます。

   猶予しきい値に達する前に後続のネゴシエーションが試行されると、別の短いサイクル イベントとして扱われ、ロックアウト ペナルティが増加します。ペナルティは、猶予時間内にネゴシエーションが試行されるたびに指数関数的に増加します。

初期ロックアウト期間は、構成された最小値に基づきます。追加のペナルティは以下のように計算されます。ここで、 n は猶予時間内に連続して発生するショートサイクルイベントの数です。

ロックアウト時間 = (ロックアウト最小時間) x [2^(n-1)]

たとえば、最小期間が 1 秒、最大期間が 300 秒の場合、最初のロックアウト期間は 1 秒です。その後のペナルティは、2秒、4秒、8秒、16秒、32秒、64秒、128秒、256秒、最後に300秒に増加します。最終的なロックアウト期間は、ペナルティがロックアウト範囲の最大値を超えることができないため、512 秒ではなく 300 秒です。

ロックアウト時間が最大値に達すると、短いサイクル イベントの間隔が猶予しきい値を超えるまで、後続の各ロックアウト期間でその値にとどまります。

ロックアウト条件の終了

DHCP クライアントがロックアウトされると、ロックアウト状態は、次のいずれかが発生する 場合を除き 、すべてのロックアウト タイマーが終了するまで持続します。

• ロックアウト条件を管理上クリアするには、以下の操作コマンドのいずれかを発行します。

  • clear dhcp relay lockout-entries

  • clear dhcp server lockout-entries

  • clear dhcpv6 relay lockout-entries

  • clear dhcpv6 server lockout-entries

• ロックアウト中のクライアント セッションが設定されている FPC をリセットします。

• ルーティングエンジンをリセットします。

これらのイベントのいずれかが発生すると、jdhcpd はロックアウトを終了し、影響を受けるすべてのクライアントセッションのロックアウト履歴をクリアします。解放されたクライアントは、再度ネゴシエートできます。保持される履歴がないため、これらのクライアントの 1 つで後続の短いサイクル イベントが発生した場合、ロックアウト期間は最小値から開始されます。

remove-when-no-subscribersで設定された基盤となる物理インターフェイスから、動的VLANまたはデモックスVLAN論理インターフェイスが削除された場合、影響を受けるクライアントのロックアウトは、すべてのタイマーが終了するまで持続します。すべてのタイマーが期限切れになる前に論理インターフェイスが再作成された場合、ロックアウト状態は再作成された論理インターフェイスに適用されます。

DHCPショートサイクル保護を使用する利点

• ルーター上のコントロール プレーンの過度な負荷と、外部認証機関サーバーでの認証、許可、プロビジョニングの負荷を軽減します。

• DHCP 制御パケットの処理と、短時間の接続のネゴシエートと終了に必要なリソースを削減します。

• クライアントセッションが失敗した、または存続期間が短いクライアントの後続の試行を一時的に延期し、セッションが正常に完了し、短期間以上続くようにします。

• RADIUS や Diameter などの外部認証サーバー上でこれらの接続を認証および終了するために必要なリソースを削減します。

• 同じインターフェイス上の他のDHCPセッションを中断することなく、単一の障害または短時間のDHCPセッションのロックアウトを有効にします。

  DHCP ショート サイクル保護は、各クライアント セッションを一意のクライアント ID で識別するため、ルーターは問題のある DHCP クライアントのみをロックアウトし、同じインターフェイス上の他の DHCP クライアントが接続を正常にネゴシエートできるようにします。

目的

DHCP の短いサイクル保護操作に関する情報を表示またはクリアします。

サポートされている show コマンドと clear コマンドを使用して、DHCP リレー エージェントと DHCP ローカル サーバーの短いサイクルの保護操作に関する情報を管理および表示します。ロックアウトされたすべてのエントリに関する情報、またはデータベースインデックス番号で識別される個々のエントリのみに関する情報を表示することができます。

アクション

• DHCPv4 または DHCPv6 リレー エージェントのショート サイクル保護情報を表示するには、次の手順を実行します。

• DHCPv4 または DHCPv6 リレー エージェントのショート サイクル保護情報をクリアするには、次の手順に従います。

• DHCPv4 または DHCPv6 ローカル サーバーの短いサイクル保護情報を表示するには、次の手順に従います。

• DHCPv4 または DHCPv6 ローカル サーバーのショート サイクル保護情報をクリアするには、次の手順に従います。

意味

これらの show コマンドに all オプションを含めると、ロックアウト データベース内の各クライアント エントリに関する情報が提供されます。たとえば、データベース内のエントリに対応するインデックス番号、クライアント識別キー、ロックアウトの状態、現在の状態が終了するまでの秒数、現在の状態が有効な期間などです。 クライアントが連続してロックアウトされた回数。

特定のクライアントのロックアウト・データベースから情報を除去する場合は、まず、対応する show コマンドを all オプションを指定して発行し、クライアント・エントリーの索引を決定する必要があります。次に、 clear コマンドでそのインデックスを指定できます。

次の例では、DHCPv4 リレー エージェントが特定のクライアントのインデックス番号を検索するために、ロックアウトされたすべてのクライアント エントリを表示し、そのエントリのみをクリアして、それが削除されたことを確認します。

次の例では、DHCPv6 ローカル サーバーのロックアウトされたクライアント エントリをすべて表示し、すべてのエントリをクリアして、それらが削除されていることを確認します。