試験項目 4.7.a · CCNA-132

DHCP Snooping

ドメイン 4 · Network Services and Security · Layer 2 Security

このページのゴール

DHCP Snoopingを正しいVLAN・Trust境界へ設定し、Binding Databaseと動作を確認して誤設定を判断できるようにする。

このページで学ぶこと

DHCP Snooping Security Role
DHCP Snooping Global Enable
DHCP Snooping VLAN Enable
DHCP Snooping Trust State
DHCP Snooping Trust Boundary
Client-facing Untrusted Behavior
DHCP Snooping Binding Database
DHCP Snooping Rate Limit
DHCP Snooping Verification

DHCP Snoopingの役割

DHCP SnoopingはSwitchがDHCP Messageを検査し、Untrusted Portから受信した不正なDHCP Server Messageを遮断してClientを保護します。DHCP Server自身の機能ではなく、Layer 2 Switch上のFirst-Hop Security機能です。

有効化

まず ip dhcp snooping で機能を有効化し、続けて ip dhcp snooping vlan <vlan> で対象VLANを指定します。Global Enableだけ、またはVLAN指定だけでは対象VLANで完全な保護状態になりません。

Trust境界

Switchportは原則Untrustedとして扱い、正当なDHCP Server Messageを受信するL2 Uplinkなど必要なPortだけに ip dhcp snooping trust を設定します。Trunkであること自体はTrustの根拠ではありません。Client-facing Portは通常Untrustedのままにします。

Binding Database

正常なDHCP割り当てからClientのMAC Address、IP Address、VLAN、InterfaceなどのBindingを学習します。これはDHCP ServerのLease Databaseそのものではありません。DAIなど別機能がこのBindingを利用できますが、その利用SemanticはPage133で扱います。

Rate Limitと確認

Untrusted Portでは ip dhcp snooping limit rate <pps> でDHCP Message Rateを制御できます。show ip dhcp snooping で有効VLANやTrust状態、show ip dhcp snooping binding で学習Bindingを確認します。

理解確認

このページの内容を20問で確認します。

理解確認20問へ →