[index] CentreCOM x510シリーズ・AT-IX5-28GPX コマンドリファレンス 5.4.3

# L2スイッチング / DHCP Snooping

概要
基本設定

DHCP Snoopingは、DHCPサーバー・クライアント間でやりとりされるDHCPメッセージを監視して動的なIPソースフィルタリングを行う機能です。本機能を利用すれば、DHCPサーバーを用いたネットワーク環境において、正当なDHCPクライアントにだけIP通信を許可することができます。

> Note - DHCP SnoopingとWeb認証（auth-web enable）、DHCP Snoopingとローミング認証（auth roaming enable）、DHCP SnoopingとゲストVLAN（auth guest-vlan）は併用できません。

## 概要

DHCP Snoopingでは、DHCPメッセージのやりとりを監視してDHCPクライアントがどのポート配下に存在するかを追跡し、その情報に基づいてIPパケットのフィルタリングを行います。
DHCP Snoopingを利用する場合は、次の図のように本製品をDHCPサーバーとDHCPクライアントの間に配置します。このとき、本製品がDHCP/BOOTPリレーエージェントとして動作していてもかまいません。

DHCP Snoopingでは、スイッチポートを次の2つに分類・設定します。デフォルトではすべてのポートがUntrustedポートとして設定されています。

- Trustedポート：DHCP Snoopingによるフィルタリングが無効なポート。Trustedポートでは、パケットに対して特別な処理を行わず、すべてのパケットを通過させます。ネットワーク機器やサーバーのように常時接続で信頼のおける装置を接続するポートは通常Trustedポートに設定します。DHCPサーバーを接続するポートもTrustedポートに設定してください。
- Untrustedポート：DHCP Snoopingによるフィルタリングが有効なポート。Untrustedポートでは、DHCPサーバーからIPアドレスの割り当てを受けたクライアントからのIPパケットだけを通過させ、その他のIPパケットは破棄します（DHCPのクライアントパケットを除く）。クライアントPCのように不特定多数の必ずしも信頼のおけない装置を接続するポートはUntrustedポートに設定します（デフォルトではすべてのポートがUntrustedになります）。

DHCP Snoopingを有効にすると、本製品はDHCPサーバー・クライアント間で交換されるDHCPメッセージを監視するようになります。
Untrustedポートに接続されているクライアントがDHCPサーバーからIPアドレスの割り当てを受けると、本製品はクライアントのIPアドレスやMACアドレス、ポート番号などをDHCP Snoopingテーブル（バインディングデータベース）に登録します。
Untrustedポートでは、バインディングデータベースに登録されているクライアントからのIPパケットだけを許可し、その他のIPパケットは破棄します。これにより、不正に接続されたクライアントがポートを越えてネットワークにアクセスすることを防ぐことができます。
一方、Trustedポートでは特別な処理を行いません。Trustedポートで受信したパケットは（他のフィルタリング機能によって破棄されないかぎり）通常どおり転送されます。

## 基本設定

DHCP Snoopingを使用するための基本的な設定手順は次のとおりです。
ここでは、ポート1.0.1にDHCPサーバーが接続されており、ポート1.0.5には不特定多数のDHCPクライアントが接続されるものと仮定します。

1. グローバルコンフィグモードに入ります。

       awplus# configure terminal ↓

2. DHCP Snoopingを有効にします。

       awplus(config)# service dhcp-snooping ↓

3. vlan1を指定してインターフェースモードに入ります。

       awplus(config)# interface vlan1 ↓

4. VLANでDHCP Snoopingを有効にします。

       awplus(config-if)# ip dhcp snooping ↓

5. グローバルコンフィグモードに戻ります。

       awplus(config-if)# exit ↓

6. Trustedポートに設定するポート1.0.1を指定してインターフェースモードに入ります。

       awplus(config)# interface port1.0.1 ↓

7. ポートをTrustedポートに設定します。

       awplus(config-if)# ip dhcp snooping trust ↓

8. グローバルコンフィグモードに戻ります。

       awplus(config-if)# exit ↓

9. ポートに対して複数のDHCPリースを許可するように、設定対象のポート1.0.5を指定してインターフェースモードに入ります。

       awplus(config)# interface port1.0.5 ↓

10. ポートに対して許可するDHCPリースの最大数を、ここでは50に設定します。

        awplus(config-if)# ip dhcp snooping max-bindings 50 ↓

11. グローバルコンフィグモードに戻ります。

        awplus(config-if)# exit ↓

12. 新しい名前ds1を指定して、ハードウェアアクセスリストモードに入ります。

        awplus(config)# access-list hardware ds1 ↓

13. DHCP Snoopingテーブル（バインディングデータベース）の有効なエントリーに含まれる送信IPアドレスの通信のみを許可するハードウェアアクセスリストを設定します（access-list hardware(seq entry)コマンド）。コマンドの先頭には優先順位を示すシーケンス番号を指定し、permit、denyの順になるよう設定します。

        awplus(config-ip-hw-acl)# 2 permit ip dhcpsnooping any ↓
        awplus(config-ip-hw-acl)# 100 deny ip any any ↓

14. グローバルコンフィグモードに戻ります。

        awplus(config-ip-hw-acl)# exit ↓

15. ハードウェアアクセスリストを設定するポートを指定して、インターフェースモードに入ります。

        awplus(config)# interface port1.0.5 ↓

16. 手順13で設定したハードウェアアクセスリストを設定します。

        awplus(config-if)# access-group ds1 ↓

17. グローバルコンフィグモードに戻ります。

        awplus(config-if)# exit ↓

18. 以上で設定は完了です。

■ DHCP Snoopingの全般的な情報を確認するには、show ip dhcp snoopingコマンドを使います。

    awplus# show ip dhcp snooping ↓

■ ポートごとのDHCP Snooping設定を確認するには、show ip dhcp snooping interfaceコマンドを使います。

    awplus# show ip dhcp snooping interface ↓

■ バインディングデータベースの内容を確認するには、show ip dhcp snooping bindingコマンドを使います。

    awplus# show ip dhcp snooping binding ↓

> Note - バインディングデータベースにエントリーが存在しない場合、DHCPリリースパケットを受信すると、その受信したポートにおいてviolationが動作します。

(C) 2012 - 2014 アライドテレシスホールディングス株式会社

PN: 613-001763 Rev.F