DHCP 스누핑

DHCP(Dynamic Host Configuration Protocol)는 TCP/IP 네트워크에서 IP 주소 및 기타 관련 구성 정보를 네트워크 디바이스에 동적으로 할당하는 데 사용되는 네트워크 관리 프로토콜입니다.

• DHCP 스누핑 작동 방식
• DHCP 스누핑의 이점

DHCP 스누핑 작동 방식

DHCP(Dynamic Host Configuration Protocol)는 디바이스에 IP 주소를 동적으로 할당하여 더 이상 필요하지 않을 때 재사용할 수 있는 주소를 임대합니다. DHCP를 통해 IP 주소가 필요한 호스트 또는 엔드 디바이스는 LAN을 통해 DHCP 서버와 통신해야 합니다.

다음 그림에서는 DHCP 스누핑 프로세스를 보여 줍니다.

그림 1: DHCP 스누핑

토폴로지에서 최종 사용자 디바이스는 Junos OS 디바이스(라우터, 스위치 또는 방화벽)에 연결됩니다. Junos OS 디바이스는 DHCP 클라이언트 및 DHCP 서버에 모두 연결됩니다. DHCP 릴레이 에이전트로 구성된 Junos OS 디바이스는 DHCP 클라이언트와 DHCP 서버 간의 인터페이스로 작동합니다. 이 Junos OS 디바이스는 DHCP 패킷을 검사합니다. DHCP 서버는 클라이언트에 IP 주소를 할당합니다.

Junos OS 디바이스의 DHCP 스누핑 기능은 다음 작업을 수행합니다.

• 신뢰할 수 없는 소스에서 수신된 DHCP 메시지를 검증하고 잘못된 메시지를 필터링합니다.
• 각 클라이언트에 임대된 IP 주소를 추출하고 데이터베이스를 구축합니다. DHCP 스누핑 데이터베이스(또는 바인딩 테이블)에는 각 DHCP 클라이언트의 IP 주소, MAC 주소 및 VLAN에 대한 정보가 포함됩니다.
• DHCP 스누핑 바인딩 테이블을 사용하여 신뢰할 수 없는 호스트의 후속 요청을 검증합니다. 주니퍼 디바이스는 DHCP 요청이 신뢰할 수 있는 출처에서 오는 것임을 확인함으로써 유효한 DHCP 요청만 처리되도록 할 수 있습니다.

이러한 방식으로 DHCP 스누핑은 신뢰할 수 있는 DHCP 서버(신뢰할 수 있는 네트워크 포트에 연결된 서버)가 다운스트림 네트워크 디바이스에 할당하는 유효한 IP 주소를 추적하여 네트워크 보안의 수호자 역할을 합니다.

DHCPv6 릴레이 에이전트 스누핑

DHCPv6 릴레이 에이전트는 IPv6 네트워크에서 지원을 제공하여 DHCP 릴레이 에이전트를 향상시킵니다. DHCPv6 릴레이 에이전트는 DHCP 릴레이 에이전트가 IPv4 네트워크를 지원하는 방식과 유사하게 DHCPv6 클라이언트와 DHCPv6 서버 간에 메시지를 전달합니다. 클라이언트와 서버 사이에 여러 DHCPv6 릴레이 에이전트가 있는 다중 릴레이 토폴로지에서 스누핑을 사용하면 중간 릴레이 에이전트가 클라이언트의 유니캐스트 트래픽을 올바르게 처리하여 서버로 전달할 수 있습니다. 이 토폴로지의 스누핑에는 다음 작업이 포함됩니다.

• DHCPv6 릴레이 에이전트는 포워딩 테이블별로 DHCPv6 UDP 서버 포트인 UDP 포트 547이 있는 필터를 사용하여 들어오는 유니캐스트 DHCPv6 패킷을 스누핑합니다.
• 그런 다음 DHCPv6 릴레이 에이전트는 필터가 가로챈 패킷을 처리하여 DHCPv6 서버로 전달합니다.

이 예는 DHCP 릴레이 에이전트에 대한 DHCP 스누핑 지원을 구성하는 방법을 보여줍니다.

Junos OS 디바이스에서는 DHCP 보안, DHCP 릴레이, 특정 VLAN 또는 라우팅 인스턴스에 대한 DHCP 서버 설정을 구성할 때 DHCP 스누핑 기능이 자동으로 활성화됩니다.

Junos OS 디바이스에서는 DHCP 스누핑을 독립적인 기능으로 구성할 수 없습니다.

Junos OS는 다음 기능 중 하나 또는 모두를 구성할 때 스위치, 라우터 또는 방화벽에서 DHCP 스누핑을 활성화합니다.

• DHCP 릴레이 또는 DHCP 로컬 서버 옵션을 추가할 수 있습니다.
  • 또는 [edit routing-instances routing-instance-name forwarding-options] 계층 수준의 문 [edit forwarding-options] 입니다dhcp-relay.
  • 또는 [edit routing-instances routing-instance-name system services] 계층 수준의 문 [edit system services] 입니다dhcp-local-server.
    메모:

    DHCP 릴레이를 구성할 때 가입자 관리 또는 CoS(class-of-service)가 필요하지 않은 한 문을 사용합니다 forward-only . 구성은 forward-only 가입자 세션을 생성하지 않고 지정된 DHCP 클라이언트 패킷을 전달합니다.

• 특정 VLAN의 DHCP 보안은 해당 VLAN에 대한 DHCP 스누핑을 활성화합니다.

  스위치의 계층 수준에 있는 [edit vlans vlan-name forwarding-options] dhcp-security 명령문입니다.

• 라우터의 계층 수준에 있는 [edit bridge-domains bridge-domain-name forwarding-options dhcp-security] 문입니다dhcp-security.

• 모든 인터페이스, 구성된 인터페이스만 또는 구성되지 않은 인터페이스에 대해 스누핑된 패킷을 포워딩하거나 드롭하도록 DHCP 로컬 서버를 구성할 수 있습니다. 자세한 내용은 DHCP 로컬 서버에 대한 DHCP 스누핑 패킷 전달 지원 구성을 참조하십시오.

문을 사용하여 forward-snooped-clients DHCP 스누핑 동작에 대한 제어를 더욱 구체화할 수 있습니다.

인터페이스를 기반으로 모니터링되는 트래픽을 포워딩 또는 드롭할지 여부를 결정할 때 명령문을 사용할 forward-snooped-clients 수 있습니다.

1. 스누핑된 트래픽을 평가하고 나중에 트래픽을 포워딩 또는 드롭할지 결정하려면 ] 계층 수준에서 문을 [edit forwarding-options dhcp-relay구성합니다forward-snooped-clients.

   다음 시나리오에 대해 옵션을 설정할 forward-snooped-clients 수 있습니다.

   • 모든 인터페이스: 모든 인터페이스에 작업을 적용합니다.
   • 구성된 인터페이스: 인터페이스 그룹의 일부로 구성된 인터페이스에만 작업을 적용합니다.
   • 구성되지 않은 인터페이스: 인터페이스 그룹의 일부가 아닌 인터페이스에만 작업을 적용합니다.
2. 스누핑된 패킷을 포워딩하거나 삭제하려면 옵션으로 forward-snooped-clients 또는 no-allow-snooped-clients을(를) 각각 구성합니다allow-snooped-clients.
   • 을 구성 allow-snooped-clients하면 유효한 가입자가 연결된 경우 스누핑된 패킷이 전달됩니다.
   • 을 구성 no-allow-snooped-clients하면 유효한 가입자가 연결되어 있더라도 스누핑된 패킷이 누락됩니다.

또는 no-allow-snooped-clients 의 forward-snooped-clients조합을 allow-snooped-clients 기반으로 디바이스가 DHCP 스누핑 패킷에 수행하는 작업에 대한 자세한 내용은 표 1 및 표 2를 참조하십시오.

표 1 은 옵션으로 forward-snooped-clients 구성할 allow-snooped-clients 때 DHCP 릴레이 에이전트에 의해 스누핑된 패킷에 대해 디바이스가 수행하는 작업을 보여줍니다.

표 2 는 로 forward-snooped-clients구성할 no-allow-snooped-clients 때 DHCP 릴레이 에이전트에 의해 스누핑된 패킷에 대해 디바이스가 수행하는 작업을 보여줍니다.

DHCP 릴레이 에이전트 스누핑 중 디바이스는 전역 구성에 의존하여 BOOTREPLY 패킷을 포워딩할지 또는 폐기할지 결정합니다. 또한 임대 갱신 중에 BOOTPREQUEST 패킷이 DHCP 서버에 직접 유니캐스트될 수 있으며 이 패킷도 스누핑의 대상이 됩니다.

표 3 은 디바이스가 스누핑 BOOTREPLY 된 패킷에 대해 수행하는 작업을 보여줍니다.

기본 구성과 문을 사용하는 forward-snooped-clients 구성 모두에서 디바이스는 DHCP 패킷 가로채기 위해 하드웨어 컨트롤 플레인의 모든 DHCP 트래픽을 라우팅 인스턴스의 라우팅 플레인으로 전달합니다.

옵션을 no-snoop하여 DHCP 트래픽에 대한 스누핑 필터를 비활성화할 수 있습니다.

옵션을 구성하면 DHCP 트래픽은 no-snoop 하드웨어 컨트롤 플레인으로 이동하지만 라우팅 플레인을 우회하여 가로채기를 피합니다.