[index] CentreCOM 8948XL コマンドリファレンス 2.9

スイッチング/DHCP Snooping

  - 概要
   - 登録できるクライアントの数
  - 基本設定

DHCP Snoopingは、DHCPサーバー・クライアント間でやりとりされるDHCPメッセージを監視して動的なIPソースフィルタリングを行う機能です。本機能を利用すれば、DHCPサーバーを用いたネットワーク環境において、正当なDHCPクライアントにだけIP通信を許可することができます。

Note - 本機能はレイヤー2の機能であるため、IPの設定などをしていなくても使用できます。

Note - DHCPクライアント機能とDHCP Snoopingは併用できません。

Note - DHCPサーバー機能とDHCP Snoopingは併用できません。

概要

• Trustedポート：DHCP Snoopingによるフィルタリングが無効なポート。Trustedポートでは、パケットに対して特別な処理を行わず、すべてのパケットを通過させます。ネットワーク機器やサーバーのように常時接続で信頼のおける装置を接続するポートは通常Trustedポートに設定します。DHCPサーバーを接続するポートもTrustedポートに設定してください。
  
  
• Untrustedポート：DHCP Snoopingによるフィルタリングが有効なポート。Untrustedポートでは、DHCPサーバーからIPアドレスの割り当てを受けたクライアントからのIPパケットだけを通過させ、その他のIPパケットは破棄します（DHCPのクライアントパケットを除く）。クライアントPCのように不特定多数の必ずしも信頼のおけない装置を接続するポートはUntrustedポートに設定します（デフォルトではすべてのポートがUntrustedになります）。
  

Note - デフォルト設定では、UntrustedポートにはDHCPクライアントを1台しか接続できません。クライアントを複数接続した場合、最初にIPアドレスを割り当てられたクライアントだけが通信できます。

登録できるクライアントの数

基本設定

1. DHCP Snoopingを有効にします。
   
   ENABLE DHCPSNOOPING ↓

   
   
2. DHCPサーバーが接続されているポートをTrustedポートに設定します。
   
   SET DHCPSNOOPING PORT=1 TRUSTED=YES ↓

   
   
3. 正当なクライアントにだけIP通信を許可するため、次のクラシファイアを作成します。
   
   CREATE CLASSIFIER=1 MACSADDR=DHCPSNOOPING PROTOCOL=IP IPSADDR=DHCPSNOOPING ↓
CREATE CLASSIFIER=9999 PROTOCOL=IP ↓

   
   
   • クラシファイア「1」は、送信元MACアドレスと始点IPアドレスの両方がバインディングデータベースに登録されているIPパケットにマッチします。
     
   • クラシファイア「9999」はすべてのIPパケットにマッチします。
     
   
   
4. DHCPクライアントが接続されているポート2〜24にパケットフィルタリングのためのQoSポリシー「1」を割り当て、前項で作成したクラシファイアを関連付けます。
   
   CREATE QOS POLICY=1 ↓
SET QOS PORT=2-24 POLICY=1 ↓
CREATE QOS TRAFFICCLASS=1 ↓
CREATE QOS TRAFFICCLASS=2 ↓
CREATE QOS FLOWGROUP=1 ACTION=FORWARD ↓
CREATE QOS FLOWGROUP=2 ACTION=DISCARD ↓
ADD QOS POLICY=1 TRAFFICCLASS=1,2 ↓
ADD QOS FLOWGROUP=1 CLASSIFIER=1 ↓
ADD QOS FLOWGROUP=2 CLASSIFIER=9999 ↓
ADD QOS TRAFFICCLASS=1 FLOWGROUP=1 ↓
ADD QOS TRAFFICCLASS=2 FLOWGROUP=2 ↓


Note - DHCPサーバーを接続するポートはTrustedポートに設定してください。

SET DHCPSNOOPING PORT=1 TRUSTED=YES ↓


SET DHCPSNOOPING PORT=1 MAXLEASES=5 ↓


ADD DHCPSNOOPING BINDING=00-00-00-00-00-01 INTERFACE=vlan-default IP=192.168.10.5 PORT=5 ↓


Note - MACアドレスは省略できますが、MACアドレス無指定のスタティックエントリーを追加する場合は、DHCP Snoopingのオプション機能であるARPセキュリティーを有効化しないでください（デフォルトは無効。有効時はDISABLE DHCPSNOOPING ARPSECURITYコマンドで無効化できます）。また、クラシファイアの設定も変更が必要です（次項をご覧ください）。

Note - デフォルト設定では、ポートあたり1つしかスタティックエントリーを登録できません。1つのポートに複数のスタティックエントリーを登録したいときは、SET DHCPSNOOPING PORTコマンドのMAXLEASESパラメーターの値を増やす必要があります。

CREATE CLASSIFIER=1 MACSADDR=DHCPSNOOPING PROTOCOL=IP IPSADDR=DHCPSNOOPING ↓


CREATE CLASSIFIER=1 PROTOCOL=IP IPSADDR=DHCPSNOOPING ↓


ENABLE DHCPSNOOPING ARPSECURITY ↓
CREATE CLASSIFIER=2 PROTOCOL=ARP ETHFORMAT=ETHII-UNTAGGED ↓
ADD SWITCH HWFILTER CLASSIFIER=2 ACTION=COPY,DISCARD ↓


Note - 本機能は、DHCP Snoopingが有効になっていないと動作しません。

Note - バインディングデータベースにMACアドレス無指定のスタティックエントリーを追加している場合は、ARPセキュリティーを有効化しないでください。

Note - ENABLE DHCPSNOOPING ARPSECURITYコマンドはブロードキャストのARPパケットだけをフィルタリングします。マルチキャストやユニキャストのARPパケットをフィルタリングするには、すべてのARPパケットを通常の転送動作から除外してCPUにだけ転送するハードウェアパケットフィルターを設定します。このように設定すると、Trustedポートとバインディングデータベースに登録されている送信元からのARPパケットだけがCPU経由で転送され、その他のARPパケットは破棄されます。なお、ハードウェアパケットフィルターのアクション「COPY,DISCARD」はARPセキュリティーと組み合わせて使うときだけサポートの対象となります。それ以外の用途ではサポート対象外となりますのでご注意ください。

ENABLE DHCPSNOOPING OPTION82 ↓


SET DHCPSNOOPING PORT=5 SUBSCRIBERID="ud-mahahiha" ↓


Note - 本機能は、DHCP Snoopingが有効になっていないと動作しません。

Note - 本機能は、DHCP/BOOTPリレーの同種機能（ENABLE BOOTP RELAY OPTION82コマンド）とは併用できません。

Note - スタティック登録したクライアントの情報は削除されません。

SET DHCPSNOOPING CHECKINTERVAL=120 ↓


SHOW DHCPSNOOPING ↓


SHOW DHCPSNOOPING PORT ↓
SHOW DHCPSNOOPING PORT=1 ↓


SHOW DHCPSNOOPING DATABASE ↓


(C) 2004 - 2014 アライドテレシスホールディングス株式会社

PN: J613-M0021-12 Rev.M