Cisco IOS IP アドレッシング サービス コンフィギュ レーション ガイド リリース 15.1S

パブリック ワイヤレス LAN での DHCP の動作

PWLAN での DHCP の設定により、ワイヤレス クライアントの設定が簡単になり、ネットワークをメンテナンスするために必要なオーバーヘッドが削減されます。DHCP クライアントは、DHCP サーバから IP アドレスをリースし、その後、Service Selection Gateway（SSG）により認証され、ネットワーク サービスへのアクセスが許可されます。DHCP サーバとクライアントは、IP アドレスの割り当てに関する DHCP メッセージを交換します。DHCP サーバがクライアントに IP アドレスを割り当てると、DHCP バインディングが作成されます。クライアントが明示的に IP アドレスをリリースし、ネットワークから切断するまで、IP アドレスはクライアントにリースされます。クライアントがアドレスをリリースせずに切断すると、サーバは、リース期間が終了した後、リースを終了します。どちらの場合も、DHCP サーバはバインディングを削除し、IP アドレスはプールに戻されます。

パブリック ワイヤレス LAN のセキュリティの脆弱性

PWLAN を使用し始める人が増えているため、セキュリティが重要な懸案事項になっています。ユーザは、ホット スポット（コーヒー店、空港ターミナル、ホテルなど）にいる間、IP アドレスを DHCP サーバから取得し、セッション中、その IP アドレスを使用します。このため、PWLAN の実装の大部分は DHCP に依存します。

IP スプーフィングは、ハッカーが IP アドレスをスプーフするために使用する一般的な方法です。たとえば、お客様 A が DHCP から IP アドレスを取得し、PWLAN を使用するための認証を受けた後、ハッカーがお客様 A の IP アドレスをスプーフし、その IP アドレスを使用してトラフィックを送受信するということがあります。お客様 A は、サービスを使用していないのに、サービスの料金を請求されます。

Address Resolution Protocol（ARP; アドレス解決プロトコル）テーブル エントリは、設計によりダイナミックです。ネットワーク内のすべてのネットワーク デバイスで、要求 ARP パケットおよび応答 ARP パケットが送受信されます。DHCP ネットワークでは、DHCP サーバは、クライアントの MAC アドレスまたはクライアント ID に対してリースした IP アドレスを、DHCP バインディングに保存します。ただし、ARP エントリはダイナミックに学習されるため、DHCP サーバが付与した IP アドレスを、不正なクライアントがスプーフして使用し始めることができます。ARP テーブル内の許可クライアントの MAC アドレスが、この不正クライアントの MAC アドレスに置き換えられ、それにより、不正クライアントが、スプーフした IP アドレスを自由に使用できるようになります。

セキュリティおよびアカウンティング対応の DHCP サービスの概要

DHCP セキュリティおよびアカウンティング機能は、PWLAN のセキュリティ問題を解決するために設計および実装されていますが、他のネットワーク実装でも使用できます。

DHCP アカウンティングは、DHCP 対応の Authentication, Authorization and Accounting（AAA; 認証、許可、アカウンティング）のサポート、および RADIUS のサポートを提供します。AAA および RADIUS のサポートにより、セキュアな START および STOP アカウンティング メッセージを送信することで、セキュリティが強化されます。DHCP アカウンティングの設定により、セキュリティのレイヤが追加されます。このセキュリティのレイヤにより、適切な RADIUS START および STOP アカウンティング レコードに対して、DHCP リースの割り当てと終了がトリガーできるようになり、それにより、SSG などのアップストリーム デバイスが、セッション状態を正しく保持します。この追加セキュリティの支援により、ハッカーや不正クライアントは、許可済みの DHCP リースをスプーフしてネットワークに不正にアクセスすることができなくなります。

PWLAN のセキュリティ問題を解決するために、他に 3 つの機能が設計および実装されています。1 つめの機能では、DHCP データベース内の DHCP リースに対する ARP テーブル エントリを保護します。このセキュアな ARP 機能により、DHCP サーバのデータベースを ARP テーブルと同期させてアドレスのハイジャックを回避することで、IP スプーフィングを防止します。アドレスが割り当てられると、セキュア ARP により、クライアントの ARP テーブルにエントリが追加されます。バインディングが期限切れになった場合に限り、DHCP サーバはこれを削除できます。

2 つめの機能は DHCP 許可 ARP です。この機能では、DHCP が明示的にユーザ ログアウト時を認識する必要性に対応することで完全性の高いソリューションを提供します。DHCP 許可 ARP が登場する前、ユーザがシステムから連絡なしで去ったかどうかを DHCP サーバに通知するメカニズムはありませんでした。このため、お客様がログアウトした一方で、システムがそれを検出できず、その顧客に必要以上の請求が行われる可能性がありました。この問題に対処するために、DHCP 許可 ARP は、1 分ごとに定期 ARP メッセージを送信して、ユーザが現在ログインしているかどうかを確認します。許可ユーザのみが ARP 要求に応答できます。無許可ユーザからの ARP 応答は、DHCP サーバでブロックされるため、1 つ上のレベルのセキュリティが提供されます。

さらに、DHCP 許可 ARP では、インターフェイスにおけるダイナミック ARP 学習がディセーブルになります。アドレス マッピングを組み込むことができるのは、 arp authorized インターフェイス コンフィギュレーション コマンドで指定した許可コンポーネントのみです。DHCP は、ARP エントリの組み込みを許可された唯一の許可コンポーネントです。

3 番めの機能は ARP 自動ログオフで、これにより、許可ユーザがいつログアウトしたかプローブする機能を詳細に制御できます。 arp probe interval コマンドで、プローブをいつ開始するか（timeout）、どれくらいの頻度でピアをプローブするか（interval）、および再試行の最大回数（count）を指定します。

DHCP リース制限

DHCP リース制限を設定することで、リース先の数を、グローバルにまたはインターフェイスごとに制御できます。この機能により、ISP は、クライアントが使用できるリースの数を、世帯ごとまたは接続ごとに制限できます。

DHCP アカウンティング対応の AAA および RADIUS の設定

DHCP アカウンティング対応の AAA および RADIUS を設定するには、この作業を実行します。

RADIUS は、セキュア START および STOP メッセージを転送するためのアカウンティング機能を提供します。AAA および RADIUS は、DHCP アカウンティングを設定する前にイネーブルにしますが、非セキュア DHCP ネットワークを保護するためにイネーブルにすることもできます。新規または既存のネットワークで DHCP アカウンティングを設定する場合、このセクションの設定手順が必要になります。

RADIUS アカウンティング アトリビュート

DHCP アカウンティングでは、 表 1 に示されているアトリビュートが導入されています。DHCP アカウンティングがイネーブルになると、これらのアトリビュートは RADIUS サーバにより直接処理されます。これらのアトリビュートは、 debug radius コマンドの出力で監視できます。この出力では、DHCP リースの状態、およびクライアントに関する特定の設定詳細が示されます。 debug radius コマンドで accounting キーワードを使用することで、出力をフィルタリングし、DHCP アカウンティング メッセージのみ表示できます。

表 1 RADIUS アカウンティング アトリビュート

手順の概要

1. enable

2. configure terminal

3. aaa new-model

4. aaa group server radius group-name

5. server ip-address auth-port port-number acct-port port-number

6. exit

7. aaa accounting { system | network | exec | connection | commands level } { default | list-name } { start-stop | stop-only | none } [ broadcast ] group group-name

8. aaa session-id { common | unique }

9. ip radius source-interface type number [ vrf vrf-name ]

10. radius-server host { hostname | ip-address } [ auth-port port-number ] [ acct-port port-number ]

11. radius-server retransmit number-of-retries

手順の詳細

トラブルシューティングのヒント

RADIUS アカウンティングの設定を監視およびトラブルシューティングするには、次のコマンドを使用します。

debug radius accounting

DHCP アカウンティングの設定

DHCP アカウンティングを設定するには、この作業を実行します。

DHCP アカウンティング

DHCP アカウンティングは、 accounting DHCP プール コンフィギュレーション コマンドを使用してイネーブルにします。このコマンドにより、AAA および RADIUS で DHCP が動作するように設定され、セキュア START および STOP アカウンティング メッセージがイネーブルになります。この設定により、セキュリティのレイヤが追加されます。このセキュリティのレイヤにより、適切な RADIUS START および STOP アカウンティング レコードに対して、DHCP リースの割り当てと終了がトリガーできるようになり、それにより、SSG などのアップストリーム デバイスが、セッション状態を正しく保持します。

DHCP アカウンティングは、クライアント単位またはリース単位で設定します。個別の DHCP アカウンティング処理をプール単位に設定できます。

前提条件

クライアント認証用の SSG を設定する必要があります。DHCP アカウンティングを動作させる前に、AAA および RADIUS をイネーブルにする必要があります。

制約事項

DHCP アカウンティングには、次の制約事項が適用されます。

• DHCP アカウンティングは、DHCP ネットワーク プールに対してのみ設定できます。DHCP ネットワーク プールでは、バインディングが自動的に作成され、リースが終了した時点で、またはクライアントが DHCPRELEASE メッセージを送信した時点で破棄されます。

• DHCP バインディングは、 clear ip dhcp binding コマンドまたは no service dhcp コマンドを入力すると破棄されます。また、これにより、アカウンティング STOP メッセージがトリガーされます。DHCP アカウンティングでプールが設定されている場合にこれらのコマンドを入力すると、警告を受け取ります。これは、これらのコマンドがアクティブなリースをクリアするためです。

手順の概要

1. enable

2. configure terminal

3. ip dhcp pool pool-name

4. accounting method-list-name

手順の詳細

DHCP アカウンティングの確認

DHCP アカウンティング設定を確認するには、この作業を実行します。

debug radius 、 debug radius accounting 、 debug ip dhcp server events 、 debug aaa accounting 、および debug aaa id コマンドを一緒にまたは同じセッションで発行する必要はありません。これは、提供される情報に違いがあるためです。ただし、これらのコマンドを使用して、DHCP アカウンティングの開始および停止イベント、AAA アカウンティング メッセージ、および AAA と DHCP のホストとクライアントに関する情報を表示できます。DHCP アカウンティングで導入された AAA アトリビュートのリストについては、このモジュールの 「RADIUS アカウンティング アトリビュート」 セクションを参照してください。 show running-config | begin dhcp コマンドを使用すると、DHCP アカウンティングの設定など、ローカル DHCP 設定を表示できます。

手順の概要

1. enable

2. debug radius accounting

3. debug ip dhcp server events

4. debug aaa accounting

5. debug aaa id

6. show running-config | begin dhcp

手順の詳細

DHCP リースに対する ARP テーブル エントリの保護

DHCP データベース内にある、DHCP リースに対する ARP テーブル エントリを保護するには、この作業を実行します。

update arp コマンドを使用すると、すべての新規リースおよび DHCP バインディングについて、ARP テーブル エントリおよび対応する DHCP リースが自動的に保護されます。ただし、既存のアクティブ リースは保護されません。これらのリースは更新されるまで非セキュアです。リースが更新されると、そのリースは新規リースとして扱われ、自動的に保護されます。DHCP サーバでこのコマンドがディセーブルの場合、既存のすべてのセキュア ARP テーブル エントリがダイナミック ARP エントリに自動的に変更されます。

手順の概要

1. enable

2. configure terminal

3. ip dhcp pool pool-name

4. update arp

5. renew deny unknown

手順の詳細

トラブルシューティングのヒント

ワイヤレス ホット スポットなど、DHCP とセキュア ARP の両方を設定する一部の使用シナリオでは、接続されるクライアント デバイスが一定期間スリープ状態またはサスペンド状態になる場合があります。サスペンド時間がセキュア ARP タイムアウト（デフォルトは 91 秒）を上回り、DHCP リース時間にはまだ達していない場合、クライアントは有効なリースを使用して起動できますが、クライアントは非アクティブであるため、セキュア ARP タイムアウトによりリース バインディングは削除されます。クライアントが起動したとき、クライアント側ではリースを所有していますが、トラフィックの送信はブロックされます。クライアントは IP アドレスを更新しようとしますが、DHCP サーバは、クライアントのリースを所有していないため、この要求を無視します。クライアントは、リースが期限切れになるのを待つ必要があり、その後で復旧してトラフィックを再び送信できます。

この状況に対処するには、DHCP プール コンフィギュレーション モードで renew deny unknown コマンドを使用します。このコマンドにより、更新要求されたアドレスが DHCP サーバに存在するけれどもリースされていない場合、サーバはクライアントからの更新要求を拒否します。DHCP サーバは DHCPNAK 拒否メッセージをクライアントに送信し、これにより、クライアントは初期状態に戻ります。この後、クライアントは、古いリースが期限切れになるのを待つことなく、ただちに新しいリースについてネゴシエーションできます。

DHCP 許可 ARP の設定

DHCP 許可 ARP を設定して、インターフェイスでのダイナミック ARP 学習をディセーブルにするには、この作業を実行します。

ARP プローブの動作

DHCP 許可 ARP には、正確な 1 分間の課金のサポートに関して制限があります。DHCP 許可 ARP は、30 秒に 1 回または 2 回、許可ユーザをプローブします。ビジー状態のネットワークでは、応答パケットが失われる可能性が高くなり、それにより、予定よりも早くログオフが実行される場合があります。許可ユーザのプローブをより正確および詳細に制御する必要がある場合、 arp probe interval コマンドを設定します。このコマンドでは、プローブを開始する時期、不成功プローブの間隔、および自動ログオフをトリガーするまでの最大試行回数を指定します。

制約事項

スタティック ARP と許可 ARP の両方で同じ ARP エントリを組み込むと、スタティック設定が許可 ARP より優先されます。 arp グローバル コンフィギュレーション コマンドを使用することで、スタティック ARP エントリを組み込むことができます。非ダイナミック ARP エントリを組み込んだのと同じ方法で、非ダイナミック ARP エントリのみ削除できます。

ARP タイムアウト時間は 30 秒未満に設定しないでください。 arp timeout コマンドで指定した ARP タイムアウト時間になる前の最初の 90 秒間に、ARP メッセージを 30 秒間隔で送信するように、この機能は設計されています。この動作により、クライアントが断念する前に、少なくとも 3 回はクライアントのプローブが可能になります。ARP タイムアウトを 60 秒に設定した場合は、ARP メッセージは 2 回送信され、30 秒に設定した場合、ARP メッセージは 1 回送信されます。ARP タイムアウト時間を 30 秒未満に設定した場合、予期しない結果が発生する場合があります。

手順の概要

1. enable

2. configure terminal

3. interface type number

4. ip address ip-address mask

5. arp authorized

6. arp timeout seconds

7. arp probe interval seconds count number

8. end

9. show arp

手順の詳細

リース先の数をグローバルに制御するための DHCP リース制限の設定

ATM Routed Bridged Encapsulation（RBE）アンナンバード インターフェイスまたはシリアル アンナンバード インターフェイスの背後で、クライアントに許可する DHCP リースの数をグローバルに制御するには、この作業を実行します。

この機能により、ISP は、クライアントが使用できるリースの数を、世帯ごとまたは接続ごとにグローバルに制限できます。

アンナンバード インターフェイスを介してクライアントに接続する Cisco IOS DHCP リレー エージェントにおいてこの機能をイネーブルにすると、リレー エージェントは、サブインターフェイスごとにクライアントに提供される DHCP リースについての情報を保持します。DHCPACK メッセージがクライアントに転送されると、リレー エージェントは、そのサブインターフェイスにおいてクライアントに提供されているリースの数をインクリメントします。新しい DHCP クライアントが IP アドレスを取得しようとし、一方で、リースの数が設定済みのリース制限にすでに達している場合、クライアントからの DHCP メッセージはドロップされ、DHCP サーバに転送されません。

アンナンバード インターフェイスを介してクライアントに直接接続する Cisco IOS DHCP サーバでこの機能をイネーブルにすると、サーバは、アドレスを割り当て、サブインターフェイスごとにリースの数をインクリメントします。新しいクライアントが IP アドレスを取得しようとし、一方で、サブインターフェイスでのリースの数が設定済みのリース制限にすでに達している場合、サーバは IP アドレスを提供しません。

DHCP リース制限に関する制約事項

この機能は、ナンバード インターフェイスではサポートされません。リース制限は、RBE アンナンバード インターフェイスまたはシリアル アンナンバード インターフェイスでの ATM に対してのみ適用できます。

手順の概要

1. enable

2. configure terminal

3. ip dhcp limit lease log

4. ip dhcp limit lease per interface lease-limit

5. end

6. show ip dhcp limit lease [ type number ]

手順の詳細

トラブルシューティングのヒント

debug ip dhcp server packet コマンドおよび debug ip server events コマンドを使用して、DHCP リース制限をトラブルシューティングできます。

インターフェイスにおいてリース先の数を制御するための DHCP リース制限の設定

インターフェイスで許可する DHCP リースの数を制限するには、この作業を実行します。

この機能により、ISP は、クライアントが使用できるリースの数を、インターフェイスにおいて世帯ごとまたは接続ごとに制限できます。

アンナンバード インターフェイスを介してクライアントに直接接続する Cisco IOS DHCP サーバでこの機能をイネーブルにすると、サーバは、アドレスを割り当て、サブインターフェイスごとにリースの数をインクリメントします。新しいクライアントが IP アドレスを取得しようとし、一方で、サブインターフェイスでのリースの数が設定済みのリース制限にすでに達している場合、サーバは IP アドレスを提供しません。

制約事項

この機能は、ナンバード インターフェイスではサポートされません。リース制限は、RBE アンナンバード インターフェイスまたはシリアル アンナンバード インターフェイスでの ATM に対してのみ適用できます。

手順の概要

1. enable

2. configure terminal

3. ip dhcp limit lease log

4. interface type number

5. ip dhcp limit lease lease-limit

6. end

7. show ip dhcp limit lease [ type number ]

8. show ip dhcp server statistics [ type number ]

手順の詳細

トラブルシューティングのヒント

debug ip dhcp server packet コマンドおよび debug ip server events コマンドを使用して、DHCP リース制限をトラブルシューティングできます。

例：DHCP アカウンティング対応の AAA および RADIUS の設定

次の例は、DHCP アカウンティング対応の AAA および RADIUS の設定方法を示しています。

例：DHCP アカウンティングの設定

DHCP アカウンティングは、クライアント単位またはリース単位で設定します。個別の DHCP アカウンティング処理をプール単位に設定できます。次の例は、RADIUS-GROUP1 が start-stop グループとして設定された場合に、DHCP アカウンティング START および STOP メッセージが送信されるように設定する方法を示しています。

例：DHCP アカウンティングの確認

DHCP 対応の RADIUS と AAA の両方を設定した後、DHCP アカウンティングをイネーブルにします。DHCP START および STOP アカウンティング生成情報は、 debug radius accounting コマンドおよび debug ip dhcp server events コマンドを使用して監視できます。DHCP アカウンティングで導入された AAA アトリビュートのリストについては、「RADIUS アカウンティング アトリビュート」 を参照してください。

以下は、 debug radius accounting コマンドの出力例です。この出力では、DHCP リース セッション ID、MAC アドレス、およびクライアント インターフェイスの IP アドレスが示されています。

以下は、 debug ip dhcp server events コマンドの出力例です。この出力は、DHCP サーバで生成されたもので、DHCP リースをネゴシエーションするクライアントとサーバの間の DHCP メッセージの交換が示されています。DHCP サーバに送信される、クライアントが割り当てられた IP アドレスを受け入れたことを示す確認応答により、アカウンティング START メッセージがトリガーされます。これは、次の出力では最後の行に示されています。

以下は、 debug ip dhcp server events コマンドの出力例です。この出力は、DHCP サーバで生成されたもので、DHCP クライアントからの明示的なリリース メッセージの受信を示しています。DHCP サーバは、アカウンティング STOP メッセージをトリガーし、次に IP アドレスを DHCP プールに戻します。次の出力の 3 行目に、アカウンティング STOP メッセージに関する情報が示されています。

例：DHCP 許可 ARP の設定

ルータ 1 は、IP アドレスをシークするルータに IP アドレスを割り当てる DHCP サーバで、ルータ 2 は、DHCP サーバを通じて IP アドレスを取得するように設定されている DHCP クライアントです。ルータ 1 では、 update arp DHCP プール コンフィギュレーション コマンドが設定されているため、ルータはセキュア ARP エントリを ARP テーブルに組み込みます。 arp authorized コマンドにより、そのインターフェイスでダイナミック ARP が停止します。ルータ 1 は定期 ARP をルータ 2 に送信して、クライアントが現在アクティブであることを確認します。ルータ 2 は、ARP 応答を使用して応答します。不正クライアントは、これらの定期 ARP に応答できません。不正 ARP 応答は、DHCP サーバでブロックされます。ルータ 1 は、許可クライアントから応答を受け取ると、エントリのタイマーを更新します。

トポロジの例については、図 1 を参照してください。

図 1 DHCP 許可 ARP のトポロジ例

ルータ 1（DHCP サーバ）

ルータ 2（DHCP クライアント）

例：DHCP 許可 ARP の確認

以下は、ルータ 1 での show arp コマンドの出力例です（図 1 を参照）。

以下は、ルータ 2 での show arp コマンドの出力例です（図 1 を参照）。

例：DHCP リース制限の設定

次の例では、4 つ以上のクライアントが ATM インターフェイス 4/0.1 から IP アドレスを取得しようとした場合、DHCPDISCOVER パケットは DHCP サーバに転送されません。DHCP サーバが同じルータに存在する場合、DHCP は 4 つ以上のクライアントに対して応答しません。

次の例では、5 つの DHCP クライアントが IP アドレスを受け取ることを許可されます。6 つめのクライアントが IP アドレスを取得しようとした場合、DHCPDISCOVER メッセージは DHCP サーバに転送されず、トラップが SNMP マネージャに送信されます。

関連資料

規格

MIB

RFC

Cisco and the Cisco Logo are trademarks of Cisco Systems, Inc. and/or its affiliates in the U.S. and other countries. A listing of Cisco's trademarks can be found at www.cisco.com/go/trademarks . Third party trademarks mentioned are the property of their respective owners. The use of the word partner does not imply a partnership relationship between Cisco and any other company. (1005R)

このマニュアルで使用している IP アドレスおよび電話番号は、実際のアドレスおよび電話番号を示すものではありません。マニュアル内の例、コマンド出力、ネットワーク トポロジ図、およびその他の図は、説明のみを目的として使用されています。説明の中に実際のアドレスおよび電話番号が使用されていたとしても、それは意図的なものではなく、偶然の一致によるものです。

© 2005-2010 Cisco Systems, Inc.
All rights reserved.

Copyright © 2005-2011, シスコシステムズ合同会社.
All rights reserved.