Catalyst 3750 スイッチ ソフトウェア コンフィギュレーション ガイド Cisco IOS Release 12.1(19)EA1

DHCPスヌーピング

DHCPスヌーピングは、信頼できないDHCPメッセージのフィルタリングおよびDHCPスヌーピング バインディング テーブルの構築および維持により、ネットワーク セキュリティを提供するDHCPのセキュリティ機能です。信頼できないメッセージとは、ネットワークまたはファイアウォール外部から受信したメッセージで、ネットワーク内でのトラフィック攻撃の原因となるものを指します。

DHCPスヌーピング バインディング テーブルには、MAC（メディア アクセス制御）アドレス、IPアドレス、リース時間、バインディング タイプ、VLAN番号、およびスイッチ上の信頼できないローカル インターフェイスに対応するインターフェイス情報が格納されています。信頼できるインターフェイスに相互接続しているホストに関連する情報は格納されていません。信頼できないインターフェイスとは、ネットワークまたはファイアウォール外部からメッセージを受信するように設定されたインターフェイスを指します。信頼できるインターフェイスとは、ネットワーク内からのメッセージのみを受信するように設定されたインターフェイスです。

DHCPスヌーピングは、信頼できないホストとDHCPサーバ間でファイアウォールに似た機能を果たします。また、エンドユーザに接続する信頼できないインターフェイスと、DHCPサーバまたは他のスイッチに接続する信頼できるインターフェイスとを区別する方法も提供します。

Option 82データ挿入

住宅地のメトロポロタン イーサネットアクセス環境では、DHCPにより、多数の加入者へのIPアドレスの割り当てを集中管理することができます。スイッチでDHCP Option 82機能がイネーブルの場合は、（MACアドレスのほかに）ネットワークへの接続に使用されるスイッチ ポートにより、加入者を識別します。加入者LANの複数のホストは、アクセス スイッチ上の同一ポートに接続することができ、一意に識別されます。

図 19-1は、中央集中型DHCPサーバが、アクセス レイヤでスイッチに接続している加入者にIPアドレスの割り当てを行うメトロポリタン イーサネット ネットワークの例です。DHCPクライアントおよびこれに対応するDHCPサーバは、同じIPネットワークまたはサブネット上には存在しないため、DHCPリレー エージェント（Catalystスイッチ）は、ブロードキャスト転送をイネーブルにし、クライアントとサーバ間のDHCPメッセージを伝送するように、ヘルパー アドレスを使用して設定されます。

図 19-1 メトロポリタン イーサネット ネットワークのDHCPリレー エージェント

スイッチでDHCPスヌーピング情報Option 82をイネーブルにすると、次の一連のイベントが発生します。

• ホスト（DHCPクライアント）は、DHCP要求を生成して、ネットワーク上にブロードキャストします。

• スイッチがDHCP要求を受信すると、パケットにOption 82情報を追加します。Option 82情報には、スイッチのMACアドレス（リモートIDサブオプション）およびパケットの受信ポートの識別子である vlan-mod-port （回線IDサブオプション）が含まれます。

• スイッチは、Option 82フィールドを含むDHCP要求を、DHCPサーバに転送します。

• DHCPサーバで、パケットを受信します。サーバがOption 82対応の場合は、リモートID、回線ID、またはその両方を使用して、IPアドレスを割り当てて、単一のリモートIDまたは回線IDに割り当てることができるIPアドレス数を制限するなど、ポリシーの実装を行います。さらにDHCPサーバは、DHCP応答内にOption 82フィールドをそのまま含めます。

• スイッチにより要求がサーバにリレーされた場合、DHCPサーバはこれに対する応答をスイッチにユニキャストします。スイッチでは、リモートIDあるいは回線IDフィールドを調べて、自分が挿入したOption 82データであることを確認します。スイッチはOption 82フィールドを削除して、DHCP要求を送信したDHCPクライアントに接続するスイッチ ポートにパケットを転送します。

DHCPスヌーピングおよびスイッチ スタック

DHCPスヌーピングは、スタック マスターで管理されます。新しいスイッチがスタックに参加すると、スイッチはスタック マスターからDHCPスヌーピング設定を受信します。メンバーがスタックから脱退した場合は、スイッチに関連付けられたすべてのDHCPスヌーピング バインディングが無効になります。

スタック マージが発生し、スタック マスターがもはやスタック マスターでなくなると、そのスタック マスター内のすべてのDHCPスヌーピング バインディング（スタック マスターは除く）が失われます。スタック分割により、既存のスタック マスターは変更されませんが、分割されたスイッチに所属するバインディングは、無効になります。分割されたスタックの新しいマスターは、新たに着信するDHCPパケットの処理を開始します。スイッチ スタックの詳細については、 第5章「スイッチ スタックの管理」 を参照してください。

DHCPのデフォルト設定

表 19-1 に、DHCPのデフォルト設定を示します。

DHCPスヌーピング設定時の注意事項

ここでは、DHCPスヌーピングの設定時の注意事項を説明します。

• スイッチでは、DHCPスヌーピングをグローバルにイネーブルにする必要があります。

• DHCPスヌーピングは、VLAN上でイネーブルになるまで、アクティブではありません。

• スイッチでDHCPスヌーピングをグローバルにイネーブルにすると、スヌーピングがディセーブルになるまで、次のCisco IOSコマンドを使用できません。次のコマンドを入力すると、スイッチはエラー メッセージを返し、設定は適用されません。

– ip dhcp relay information check グローバル コンフィギュレーション コマンド

– ip dhcp relay information check グローバル コンフィギュレーション コマンド

– ip dhcp relay information trust-all グローバル コンフィギュレーション コマンド

– ip dhcp relay information trusted インターフェイス コンフィギュレーション コマンド

• スイッチにDHCPオプション情報を設定する前に、DHCPサーバとして機能するデバイスが設定されていることを確認します。たとえば、DHCPサーバが割り当てたり排除したりすることができるIPアドレスを指定する、またはデバイスにDHCPオプションを設定する必要があります。

–ご使用のスイッチがDHCPサーバである場合、詳細に関しては、「DHCPサーバの設定」を参照してください。

–DHCPサーバがシスコ デバイスである場合は、『 Cisco IOS IP and IP Routing Configuration Guide for Release 12.1 』の「Configuring DHCP」の章の「IP Addressing and Services」を参照してください。それ以外の場合は、サーバに付属のマニュアルを参照してください。

DHCPスヌーピングおよびOption 82のイネーブル化

スイッチ上でDHCPスヌーピングをイネーブルにするには、イネーブルEXECモードで次の手順を実行します。

	コマンド	説明
ステップ 1	configure terminal	グローバル コンフィギュレーション モードを開始します。
ステップ 2	ip dhcp snooping	DHCPスヌーピングをグローバルにイネーブルにします。
ステップ 3	ip dhcp snooping vlan vlan-id [ vlan-id ]	VLANまたはVLAN範囲で、DHCPスヌーピングをイネーブルにします。VLAN ID番号を使用して単一のVLANを指定することも、また、先頭および最後のVLAN IDを使用してVLAN範囲を指定することもできます。指定できる範囲は1～4094です。
ステップ 4	ip dhcp snooping information option	スイッチをイネーブルにして、DHCPサーバへのDHCP要求メッセージのDHCPリレー情報（Option 82フィールド）を挿入または削除します。 デフォルトではイネーブルです。
ステップ 5	interface interface-id	インターフェイス コンフィギュレーション モードを開始し、設定するインターフェイスを指定します。
ステップ 6	ip dhcp snooping trust	（任意）インターフェイスをtrustedまたはuntrustedと設定します。信頼されないクライアントからメッセージを受信するようにインターフェイスを設定するには、 no キーワードを使用します。デフォルトではuntrustedです。
ステップ 7	ip dhcp snooping limit rate rate	（任意）インターフェイスが受信できる毎秒ごとのDHCPパケット数を設定します。指定できる範囲は1～4294967294です。デフォルトでは、レート制限は設定されていません。 （注） 信頼されないレート制限を毎秒100パケット以下にすることを推奨します。通常、レート制限は、信頼されないインターフェイスに適用されます。信頼されるインターフェイスにレート制限を設定する場合、信頼されるインターフェイスはDHCPトラフィックをスイッチに集約する可能性があるため、レート制限をより大きな値に調整する必要があります。
ステップ 8	end	イネーブルEXECモードに戻ります。
ステップ 9	show running-config	設定を確認します。
ステップ 10	copy running-config startup-config	（任意）コンフィギュレーション ファイルに設定を保存します。

DHCPスヌーピングをディセーブルにするには、 no ip dhcp snooping グローバル コンフィギュレーション コマンドを使用します。VLANまたはVLAN範囲でDHCPスヌーピングをディセーブルにするには、 no ip dhcp snooping vlan vlan-id グローバル コンフィギュレーション コマンドを使用します。Option 82フィールドの挿入および削除をディセーブルにするには、 no ip dhcp snooping information option グローバル コンフィギュレーション コマンドを使用します。

次に、VLAN 10でDHCPスヌーピングをグローバルにイネーブルにし、ポート上でレート制限を毎秒100パケットに設定する方法を示します。

バインディング テーブルの表示

各スイッチのDHCPスヌーピング バインディング テーブルには、信頼されないポートに対応するバインディング エントリがあります。このテーブルには、信頼されるポートと相互接続するホストに関する情報はありません。相互接続されたスイッチには、それぞれ固有のDHCPスヌーピング バインディング テーブルがあるためです。

次に、スイッチのDHCPスヌーピング バインディング エントリを表示する例を示します。

表 19-2 には、 show ip dhcp snooping binding コマンド出力のフィールドを示します。

DHCPスヌーピング設定の表示

次に、スイッチのDHCPスヌーピング設定を表示する例を示します。