Catalyst 4500 シリーズ　スイッチ Cisco IOS ソフトウェアコンフィギュレーションガイド リリース IOS-XE 3.1.0 SG

信頼送信元と信頼できない送信元

DHCP スヌーピング機能は、トラフィックの送信元が信頼できるかまたは信頼できないかを判別します。信頼できない送信元は、トラフィック攻撃または他の敵対的アクションを起こすことがあります。これらの攻撃を回避するために、DHCP スヌーピング機能は、信頼できない送信元からのメッセージおよびレート制限トラフィックをフィルタします。

エンタープライズ ネットワークでは、管理制御下のデバイスは信頼できる送信元です。これらのデバイスには、使用ネットワークのスイッチ、ルータ、およびサーバが含まれます。ファイアウォール外またはネットワーク外のデバイスは、信頼できない送信元です。一般的に、ホスト ポートは信頼できない送信元として扱われます。

サービス プロバイダー環境では、サービス プロバイダー ネットワーク内にないデバイス（顧客のスイッチなど）は、信頼できない送信元です。ホスト ポートは、信頼できない送信元です。

Catalyst 4500 シリーズ スイッチでは、接続しているインターフェイスの信頼状態を設定して、送信元が信頼できることを示します。

すべてのインターフェイスのデフォルトは、信頼できない状態です。DHCP サーバ インターフェイスは、信頼できる送信元として設定する必要があります。また、ネットワーク内のデバイス（スイッチまたはルータなど）に接続している場合、他のインターフェイスも信頼できる送信元として設定できます。通常は、ホスト ポート インターフェイスは信頼できる送信元としては設定しません。

（注） DHCP スヌーピングを正しく機能させるためには、すべての DHCP サーバを信頼できるインターフェイス経由でスイッチに接続する必要があります。これは、信頼できない DHCP メッセージが、信頼できるインターフェイスにしか転送されないためです。

DHCP スヌーピング データベース エージェントの概要

スイッチのリロード時にバインディングが失われないようにするには、DHCP スヌーピング データベース エージェントを使用する必要があります。このエージェントがないと、DHCP スヌーピングによって確立されたバインディングがスイッチのリロード時に失われます。接続も同様に失われます。

データベース エージェントのメカニズムでは、設定されたロケーションのファイルにバインディングを格納します。リロード時に、スイッチはファイルを読み取り、バインディングのデータベースを作成します。スイッチは、データベースが変更されるとファイルを書き込み、ファイルを最新の状態に保ちます。

バインディングを含むファイルの形式は、次のようになります。

ファイルの各エントリは、ファイルが読み取られるたびにエントリの確認に使用されるチェックサムでタグ付けされています。最初の行の <initial-checksum> エントリは、以前の書き込みに関連付けられたエントリと最新の書き込みに関連付けられたエントリを区別するのに役立ちます。

次に、バインディング ファイルの例を示します。

各エントリには、IP アドレス、VLAN、MAC アドレス、リース期間（16 進法）、およびバインディングに関連付けられたインターフェイスが含まれます。各エントリの最後には、ファイルの開始からエントリに関連付けられたすべてのバイトの合計を計上するチェックサムがあります。各エントリは、72 バイトのデータで構成され、スペースおよびチェックサムがあとに続きます。

起動時に、算出されたチェックサムが格納されたチェックサムに合致すると、スイッチはファイルからエントリを読み取り、バインディングを DHCP スヌーピング データベースに追加します。算出されたチェックサムが格納されたチェックサムに合致しない場合、ファイルから読み取られたエントリが無視され、失敗したエントリに続くすべてのエントリも無視されます。また、スイッチは、リース時間が期限切れになったファイルのすべてのエントリを無視します（この状況があり得るのは、リース時間が期限切れを示している場合があるためです）。また、エントリ内で参照されているインターフェイスが、すでにシステム内に存在しない場合、または、ルータ ポートや DHCP スヌーピング信頼インターフェイスの場合も、ファイルからのエントリが無視されます。

スイッチが新しいバインディングを学習した場合、または一部のバインディングを失った場合、スイッチはスヌーピング データベースから修正した一連のエントリをファイルに書き込みます。書き込みでは、実際の書き込みが行われるまで、バッチに対して設定可能な遅延時間内で、可能な限り多くの変更を行うことができます。各転送に関連付けられるのは、完了しない場合に、その後転送が中断されるタイムアウトです。これらのタイマーは、書き込み遅延および中断タイムアウトと呼ばれます。

オプション 82 データ挿入

居住、メトロポリタン イーサネット アクセス環境では、DHCP が多数のサブスクライバの IP アドレス割り当てを集中的に管理できます。DHCP オプション 82 機能がスイッチでイネーブルのとき、サブスクライバ デバイスは、（MAC アドレスのほかに）ネットワークへの接続に使用しているスイッチ ポートによって識別されます。サブスクライバ LAN の複数ホストは、アクセス スイッチにある同じポートに接続でき、一意に識別されます。

（注） DHCP オプション 82 機能は、DHCP スヌーピングがグローバルにイネーブルで、この機能を使用しているサブスクライバ デバイスが割り当てられている VLAN 上にある場合にのみサポートされます。

図 38-1 に、アクセス レイヤでスイッチに接続しているサブスクライバに IP アドレスを集中 DHCP サーバが割り当てる、メトロポリタン イーサネット ネットワークの例を示します。DHCP クライアントとその関連 DHCP サーバが同じ IP ネットワークまたはサブネット上にないため、DHCP リレー エージェント（Catalyst スイッチ）は、ブロードキャスト転送をイネーブルにし、クライアントとサーバ間で DHCP メッセージを転送するようにヘルパー アドレスで設定されています。

図 38-1 メトロポリタン イーサネット ネットワークの DHCP リレー エージェント

スイッチでの DHCP スヌーピング情報オプション 82 をイネーブルにすると、次のイベントが順に発生します。

• ホスト（DHCP クライアント）は DHCP 要求を生成し、ネットワーク上でブロードキャストします。

• スイッチが DHCP 要求を受信すると、オプション 82 情報をパケットに追加します。デフォルトでは、リモート ID サブオプションはスイッチの MAC アドレスで、回線 ID サブオプションは、パケットが受信されるポートの識別子 vlan-mod-port です。Cisco IOS Release 12.2(40)SG 以降では、リモート ID および回線 ID を設定できます。これらのサブオプションの設定手順については、「DHCP スヌーピングとオプション 82 のイネーブル化」を参照してください。

• リレー エージェントの IP アドレスが設定されている場合、スイッチはこの IP アドレスを DHCP パケットに追加します。

• スイッチは、オプション 82 フィールドを含む DHCP 要求を DHCP サーバに転送します。

• DHCP サーバがパケットを受信します。サーバがオプション 82 対応である場合、リモート ID、回線 ID、またはその両方を使用して IP アドレスを割り当て、単一リモート ID または回線 ID に割り当て可能な多数の IP アドレスを制限するようなポリシーを実装できます。また、DHCP サーバは、DHCP 応答に含まれるオプション 82 フィールドをエコーします。

• スイッチによって要求がサーバにリレーされた場合、DHCP サーバは応答をスイッチにユニキャストします。スイッチは、リモート ID および場合によっては回線 ID フィールドを検査して、元からオプション 82 データが挿入されたのかどうかを確認します。スイッチはオプション 82 フィールドを削除し、DHCP 要求を送信した DHCP クライアントに接続しているスイッチ ポートにパケットを転送します。

デフォルトのサブオプション設定では、説明したイベントが順に発生すると、図 38-2 にあるフィールドの値は変更されません。

• 回線 ID サブオプション フィールド

– サブオプション タイプ

– サブオプション タイプの長さ

– 回線 ID タイプ

– 回線 ID タイプの長さ

• リモート ID サブオプション フィールド

– サブオプション タイプ

– サブオプション タイプの長さ

– リモート ID タイプ

– リモート ID タイプの長さ

図 38-2 に、デフォルトのサブオプション設定が使用されたときの、リモート ID サブオプションおよび回線 ID サブオプションのパケット形式を示します。回線 ID サブオプションの場合、モジュール番号はスイッチ モジュール番号に対応します。DHCP スヌーピングをグローバルにイネーブルにして、ip dhcp snooping information option グローバル コンフィギュレーション コマンドを開始すると、スイッチはパケット形式を使用します。

図 38-2 サブオプション パケット形式

図 38-3 に、ユーザ設定のリモート ID および回線 ID サブオプションのパケット形式を示します。DHCP スヌーピングがグローバルにイネーブルで、 ip dhcp snooping information option format remote-id グローバル コンフィギュレーション コマンド および ip dhcp snooping vlan information option format-type circuit-id string インターフェイス コンフィギュレーション コマンドが開始されると、スイッチはこれらのパケット形式を使用します。

パケット内のこれらのフィールドの値は、リモート ID および回線 ID サブオプションを設定すると、デフォルト値から変更されます。

• 回線 ID サブオプション フィールド

– 回線 ID タイプは 1 です。

– 長さの値は変数で、設定した文字列の長さによって変わります。

• リモート ID サブオプション フィールド

– リモート ID タイプは 1 です。

– 長さの値は変数で、設定した文字列の長さによって変わります。

図 38-3 ユーザ設定サブオプションのパケット形式

DHCP スヌーピングのデフォルト設定

DHCP スヌーピングは、デフォルトでディセーブルに設定されています。 表 38-1 に DHCP スヌーピングの各オプションのデフォルト設定値を示します。

デフォルト設定値を変更する場合は、「DHCP スヌーピングのイネーブル化」を参照してください。

DHCP スヌーピングのイネーブル化

（注） DHCP スヌーピングがグローバルにイネーブルに設定されている場合、ポートが設定されるまで DHCP 要求がドロップされます。そのため、作成時ではなく、メンテナンス ウィンドウの間に、この機能を設定する必要がある場合があります。

DHCP スヌーピングをイネーブルにするには、次の作業を行います。

DHCP スヌーピングは、単一の VLAN または複数の VLAN に設定できます。単一の VLAN を設定するには、VLAN 番号を 1 つ入力します。VLAN の範囲を設定するには、最初と最後の VLAN 番号、またはダッシュと VLAN 範囲を入力します。

DoS 攻撃を防ぐために、着信 DHCP パケット数がレート制限されます。着信 DHCP パケットのレートが設定された制限を超える場合は、ポートが errdisable ステートに置かれます。ポートのシャットダウンを防ぐには、違反の発生時に、errdisable detect cause dhcp-rate-limit action shutdown vlan グローバル コンフィギュレーション コマンドを使用して、ポート上で問題になっている VLAN のみをシャットダウンします。

errdisable recovery cause dhcp-rate-limit グローバル コンフィギュレーション コマンドを設定すると、セキュア ポートが errdisable ステートの場合に実行してこのステートを自動的に解除できます。また、 shutdown および no shutdown のインターフェイス コンフィギュレーション コマンドを入力すると、手動で再びイネーブルにできます。ポートが VLAN 単位で errdisable モードの場合、 clear errdisable interface name vlan range コマンドを使用すると、ポート上の VLAN を再度イネーブルにすることもできます。

次に、VLAN 500 ～ 555 の DHCP スヌーピングをイネーブルにする例を示します。

次の設定では、ルーティングが別の Catalyst スイッチ（たとえば、Catalyst 6500 シリーズ スイッチ）で定義された場合の DHCP スヌーピング設定手順について説明しています。

（注） アップリンク ギガビット インターフェイスでトランキングがイネーブルであり、Catalyst 6500 シリーズ スイッチに上記ルーティング設定が定義されている場合は、Option 82 を追加する（Catalyst 4500 シリーズ スイッチ上の）ダウンストリーム DHCP スヌーピングとの「信頼」関係を設定する必要があります。Catalyst 6500 シリーズ スイッチでこの作業を実行するには、ip dhcp relay information trusted VLAN コンフィギュレーション コマンドを使用します。

集約スイッチ上での DHCP スヌーピングの設定

集約スイッチ上で DHCP スヌーピングをイネーブルにするには、信頼できないスヌーピング ポートとしてダウンストリーム スイッチに接続するインターフェイスを設定します。ダウンストリーム スイッチ（または集約スイッチと DHCP クライアント間のパスにある DSLAM などのデバイス）が、DHCP パケットに DHCP Option 82 情報を追加すると、信頼できないスヌーピング ポート上に着信した DHCP パケットはドロップされます。ip dhcp snooping information option allow-untrusted グローバル コンフィギュレーション コマンドが設定された集約スイッチは、任意の信頼できないスヌーピング ポートからの Option 82 情報を持つ DHCP 要求を受け入れることができます。

DHCP スヌーピングとオプション 82 のイネーブル化

スイッチで DHCP スヌーピングとオプション 82 をイネーブルにするには、次の手順を実行します。

DHCP スヌーピングをディセーブルにするには、 no ip dhcp snooping グローバル コンフィギュレーション コマンドを使用します。VLAN または VLAN 範囲で DHCP スヌーピングをディセーブルにするには、 no ip dhcp snooping vlan vlan-range グローバル コンフィギュレーション コマンドを使用します。オプション 82 フィールドの挿入および削除をディセーブルにするには、 no ip dhcp snooping information option グローバル コンフィギュレーション コマンドを使用します。集約スイッチがエッジ スイッチからのオプション 82 情報付き着信 DHCP スヌーピング パケットをドロップするように設定するには、 no ip dhcp snooping information option allow-untrusted グローバル コンフィギュレーション コマンドを使用します。

次に、DHCP スヌーピングをグローバルにおよび VLAN 10 でイネーブルにし、ポートで毎秒 100 パケットのレート制限を設定する例を示します。

PVLAN 上での DHCP スヌーピングのイネーブル化

DHCP スヌーピングを Private VLAN（PVLAN）でイネーブルにして、同一 VLAN 内のレイヤ 2 ポートを 分離できます。DHCP スヌーピングがイネーブル（ディセーブル）の場合、設定はプライマリ VLAN および関連付けられたセカンダリ VLAN の両方に伝播します。この設定変更をセカンダリ VLAN に反映させずに、プライマリ VLAN の DHCP スヌーピングをイネーブル（ディセーブル）にすることはできません。

セカンダリ VLAN で DHCP スヌーピングを設定することは可能ですが、関連付けられたプライマリ VLAN で DHCP スヌーピングを設定しないと有効になりません。関連付けられた プライマリ VLANが設定されている場合、対応するプライマリ VLAN によってセカンダリ VLAN の DHCP スヌーピング モードが有効になります セカンダリ VLAN で DHCP スヌーピングを手動で設定すると、スイッチで次の警告メッセージが発行されます。

show ip dhcp snooping コマンドは、DHCP スヌーピングが イネーブルのすべての VLAN（プライマリおよびセカンダリの両方）を表示します。

PVLAN 上での DHCP スヌーピングのイネーブル化

DHCP スヌーピング、IPSG、および DAI は、補助または音声の VLAN を含む個々の VLAN 上でイネーブルおよびディセーブルにできるレイヤ 2 ベースのセキュリティ機能です。これは、Cisco IP 電話機能を適切に動作させるためには、音声 VLAN で DHCP スヌーピングをイネーブルにする必要があることを意味します。

イーサネット チャネル グループでの DHCP スヌーピングの設定

DHCP スヌーピングを設定する場合、物理インターフェイス設定に対して ip dhcp snooping trust を追加することによって、信頼できるインターフェイスとして DHCP パケットを送信するトランク インターフェイスを設定する必要があります。.ただし、イーサネット チャネル グループ上で DHCP パケットを送信する場合は、次のように、論理ポートチャネル インターフェイス上で ip dhcp snooping trust を設定する必要があります。

DHCP スヌーピング データベース エージェントのイネーブル化

データベース エージェントを設定するには、次の作業を 1 つまたは複数行います。

（注） NVRAM（不揮発性 RAM）およびブートフラッシュの保存容量は限られているので、TFTP またはネットワークベースのファイルを使用してください。フラッシュにデータベース ファイルを保存する場合は、エージェントによって新しく更新されると新しいファイルが作成されます（フラッシュがすぐにいっぱいになります）。さらに、フラッシュで使用するファイルシステムの性質上、ファイル数が多いとアクセスが遅くなります。TFTP からアクセス可能なリモート ロケーションにファイルが格納されている場合、RPR/SSO スタンバイ スーパーバイザ エンジンはスイッチオーバーが発生したときにバインディング リストを引き継ぐことができます。

（注） ネットワークベースの URL（TFTP および FTP（ファイル転送プロトコル）など）では、スイッチが最初に一連のバインディングを書き込む前に、設定された URL に空のファイルを作成することが必要です。

着信 DHCP パケットのレート制限

スイッチの CPU によって DHCP 違反チェックが実行されます。したがって、DoS 攻撃を防ぐために着信 DHCP パケット数がレート制限されています。

着信 DHCP パケットのレートが設定された制限を超える場合は、ポートが errdisable ステートに置かれます。ユーザが介入するか、または errdisable 回復をイネーブルにして、指定されたタイムアウト時間の経過後自動的にこのステートから回復するまで、ポートはこの状態のままです。

（注） インターフェイス上のレート制限を明示的に設定しない限り、インターフェイスの信頼状態を変更することは、レート制限を信頼状態のデフォルト値に変更することになります。レート制限を設定すると、インターフェイスはその信頼状態が変更された場合でも設定されたレート制限を維持します。no ip dhcp snooping limit rate インターフェイス コンフィギュレーション コマンドを入力すると、インターフェイスがデフォルトのレート制限に戻ります。

ポートのシャットダウンを防ぐには、違反の発生時に、 errdisable detect cause dhcp-rate-limit action shutdown vlan グローバル コンフィギュレーション コマンドを使用して、ポート上で問題になっている VLAN のみをシャットダウンします。

着信 DHCP パケットのレートを制限するには、次の作業を行います。

デフォルトのレート制限設定に戻すには、 no ip dhcp-rate-limit インターフェイス コンフィギュレーション コマンドを使用します。DHCP 検査のエラー回復をディセーブルにするには、 no errdisable recovery cause dhcp-rate-limit グローバル コンフィギュレーション コマンドを使用します。

次に、着信パケット数の上限（100 pps）を設定し、バースト間隔（1 秒）を指定する例を示します。

データベース エージェントの設定例

次に、前述のコマンドを使用する例を示します。

例 1： データベース エージェントのイネーブル化

次に、DHCP スヌーピング データベース エージェントを設定して、所定のロケーションにバインディングを格納し、設定および動作ステートを表示する例を示します。

出力の最初の 3 行は、設定された URL および関連付けられたタイマー設定値を表示します。次の 3 行は、動作ステートおよび書き込み遅延時間および中断タイマーの残りの時間を表示します。

出力に表示される統計情報のうち、Startup Failures は起動時のファイル読み込みまたは作成に失敗した試行回数を示します。

（注） ロケーションはネットワークに基づいているため、TFTP サーバに一時ファイルを作成する必要があります。TFTP サーバ デーモンが参照できるようにディレクトリ「directory」に 0 バイトのファイル「file」を作成して、標準的な UNIX ワークステーション上に一時ファイルを作成できます。UNIX ワークステーションのサーバ実装の一部では、ファイルへの書き込みに対して完全な（777）許可がファイルに必要です。

DHCP スヌーピング バインディングは、MAC アドレスおよび VLAN の組み合わせに適合しています。したがって、スイッチがすでにバインディングを所有する、所定の MAC アドレスと VLAN の組み合わせのエントリがリモート ファイルにある場合、ファイルが読み取られるときにリモート ファイルからのエントリは無視されます。この状態をバインディング コリジョンといいます。

エントリに指定されたリースが読み取られた時間によって期限切れになった可能性があるので、ファイルのエントリが無効になる可能性があります。Expired leases カウンタは、この状態によって無視されたバインディング数を示します。Invalid interfaces カウンタは読み取りの際に、エントリで指定されたインターフェイスがシステムに存在しない場合、またはインターフェイスが存在する場合は、それがルータ、または DHCP スヌーピングで信頼されたインターフェイスのどちらかであるために無視されたバインディング数を示します。Unsupported vlans は、指定された VLAN がシステムによってサポートされないために無視されたエントリ数を示します。Parse failures カウンタは、スイッチがファイルのエントリの意味を解釈できなかった場合に無視されたエントリ数を示します。

スイッチは、このような無視されたバインディングに対して 2 組のカウンタを維持します。1 つは、このような状態の少なくとも 1 つによって無視されたバインディングを、少なくとも 1 つ持つ読み取りのカウンタを提供します。このようなカウンタは「Last ignored bindings counters」として表示されます。Total ignored bindings counters は、スイッチが起動されて以降のすべての読み取りで無視されたバインディングの総数を表します。この 2 組のカウンタは、clear コマンドによってクリアされます。したがって、総数カウンタは、最後にクリアが行われてから無視されたバインディング数を示す場合があります。

例 2： TFTP ファイルからのバインディング エントリの読み取り

手動で TFTP ファイルのエントリを読み取るには、次の作業を行います。

次に、手動で tftp://10.1.1.1/directory/file からエントリを読み取る例を示します。

例 3： DHCP スヌーピング データベースへの情報の追加

手動で DHCP スヌーピング データベースにバインディングを追加するには、次の作業を行います。

次に、手動で DHCP スヌーピング データベースにバインディングを追加する例を示します。

バインディング テーブルの表示

各スイッチの DHCP スヌーピング バインディング テーブルには、信頼できないポートに関連したバインディング エントリが格納されています。テーブルには、trusted ポートに相互接続するホストに関する情報は収められていません。相互接続した各スイッチは、独自の DHCP スヌーピング バインディング テーブルを持つためです。

次に、スイッチの DHCP スヌーピング バインディング情報を表示する例を示します。

表 38-2 で show ip dhcp snooping binding コマンド出力のフィールドを説明します。

DHCP スヌーピング設定の表示

次に、スイッチの DHCP スヌーピング設定を表示する例を示します。

PVLAN 上での IP ソース ガードの設定

PVLAN ポートでは、IP ソース ガードを有効にするためにプライマリ VLAN 上で DHCP スヌーピングをイネーブルにする必要があります。プライマリ VLAN 上の IP ソース ガードは、自動的にセカンダリ VLAN に伝播されます。セカンダリ VLAN 上にスタティック IP 送信元バインディングを設定することはできますが、有効ではありません。手動でセカンダリ VLAN 上にスタティック IP 送信元バインディングを設定すると、次の意味の警告が表示されます。

警告 IP 送信元フィルタは、IP 送信元バインディングが設定されたセカンダリ VLAN では有効にならない可能性があります。PVLAN 機能がイネーブルになっている場合は、プライマリ VLAN 上の IP 送信元フィルタがすべてのセカンダリ VLAN に自動的に伝播されます。