DHCPサーバとDHCPリレーエージェントの設定及びセキュリティを考慮したマニュアルバインディングの設定

youhei_i13a · ‎2015-01-13

●目次
-はじめに
 -DHCPサーバ設定方法
 -DHCPリレーエージェントの設定
 -マニュアルバインディングの設定
 -各ルータの設定確認
 -動作確認
 -参考情報

●はじめに
DHCP サーバ機能を用いる事で、DHCPを用い、IPアドレスの他にサブネットマスク、デフォルトゲートウェイ、DNSサーバアドレス等をクライアントに自動割り当てできます。DHCPサーバ側で、あらかじめクライアント用にIPアドレスをいくつか用意しておき(IPアドレスのプール)、どのくらいの期間クライアントにIPアドレスを割り当てるのか(リース期間)を定義する事ができます。

中継レイヤー3装置でDHCPリレーエージェント機能を用いる事で、複数の異なるセグメントのDHCP割り当て要求を、1つのDHCPサーバに集約、応答が可能です。

DHCPサーバのマニュアルバインディング機能を用いる事で、クライアントのMACアドレスに応じた、任意IPアドレスなどの割り当てが可能です。

このドキュメントでは、CiscoルータにおけるDHCPサーバとDHCPリレーエージェントの設定及びセキュリティを考慮したマニュアルバインディングの設定について説明しています。
このドキュメントでは、Cisco1841ルータ　IOSバージョン12.4　ホスト名：Router , Router-srvを使用しています。

●DHCPサーバ設定方法
DHCPを用い、クライントに自動でIPアドレス等のネットワーク接続情報を割り当てるためのCiscoルータ設定方法を以下に記述します。
本例では、以下構成図の、ホスト名：Router-srvの設定例を記します。

[設定の流れ]
・DHCPアドレスプールを作成する
・ネットワークを指定する
・DNSサーバのIPアドレスを指定する
・デフォルトゲートウェイを指定する
・IPアドレスを除外する
・設定を確認する

1.DHCPアドレスプールを作成する
特権EXECモードに移行し、要求された場合はパスワードを入力してグローバル設定モードに入ります。DHCPアドレスプールの名前を作成します。1台のルータに複数のアドレスプールが存在してもかまいません。
この例では、「CISCO」という名前のアドレスプールを作成します。

Router-srv>enable
Router-srv#configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
Router-srv(config)#ip dhcp pool CISCO

2.ネットワークを指定する
DHCPアドレスプールのネットワークと、サブネットマスクを設定します。

Router-srv(dhcp-config)#network 192.168.1.0 255.255.255.0

3.DNSサーバのIPアドレスを指定する
クライアントが使用できるDNSサーバのIPアドレスを設定します。少なくとも1つのIPアドレスを設定する必要があります。複数のDNSサーバを指定する場合は、重要性が高い順にサーバを指定します。
この例では、クライアントが使用できるDNSサーバとして、プライマリサーバの1つを指定しています。ネットワーク上のサービスにアクセスするためにホスト名を解決するには、少なくとも1つのDNSサーバをDHCPサーバに対して設定する必要があります。

Router-srv(dhcp-config)#dns-server 172.16.0.253

4.デフォルトゲートウェイを指定する
パケットの送信先が同じネットワーク上のホストの場合、パケットは直接そのホストへと送信されますが、別のネットワークへ送信する場合、クライアントはとりあえずルータへとパケットを転送します。後はルータが処理をします。その時に指定するルータのIPアドレスの事を、デフォルトゲートウェイと言います。
この例では、デフォルトゲートウェイとしてルータインターフェイス「192.168.1.254」を指定します。

Router-srv(dhcp-config)#default-router 192.168.1.254

5.IPアドレスを除外する
DHCP サーバはDHCPアドレスプールネットワーク内のすべてのIPアドレスをクライアントへの割り当てに使用できるものとみなします。通常、ネットワーク内には、ルータや各種サーバが存在します。それらのIPアドレスとDHCPで割り当てるIPアドレスが重複するとネットワークが正常に機能しなくなってしまいます。それを防ぐ為、DHCPアドレスプールからアドレスを除外し、DHCPサーバがそのIPアドレスを割り当てないようにします。
この例では、1つのアドレス「192.168.1.254」をDHCPサーバによるクライアントへの割り当てから除外しています。

Router-srv(config)#ip dhcp excluded-address 192.168.1.254

6.設定を確認する
実行コンフィギュレーションを表示して、設定を確認します。

Router-srv#show running-config
        ----------略----------
!
ip dhcp excluded-address 192.168.1.254
!
ip dhcp pool CISCO
   network 192.168.1.0 255.255.255.0
   default-router 192.168.1.254
   dns-server 172.16.0.253
!

●DHCPリレーエージェントの設定
ネットワーク接続情報を取得するため、クライアントはDHCPサーバにDHCP Discover要求をしますが、DHCP Discover要求はブロードキャストなのでネットワークを越えて通信出来ません。そうなるとネットワーク毎にDHCPサーバが必要となり、このままでは管理が困難です。そのような場合にDHCPリレーエージェント機能を利用する事で、ネットワーク内のDHCP Discover要求がルータでユニキャストに変換され、異なるネットワークに転送が可能となり、複数ネットワークのIPアドレス割り当てを1台の DHCPサーバで行う事が出来ます。

しかしDHCPリレーエージェント機能を有効にすることで、DHCPのブロードキャストだけではなく、デフォルトで他のUDPブロードキャストもユニキャストに変換されて転送されることになり、想定外のUDP転送により問題を起こす可能性があります。それを防ぐため「no ip forward-protocol」コマンドを使用し、デフォルトのUDPブロードキャストを無効にすることができます。

[デフォルトで変換されるUDPブロードキャスト]
・Time service [ポート37]

・IEN-116 Name Service [ポート42]

・Terminal Access Controller Access Control System(TACACS) [ポート49]

・Domain Name Server(DNS) [ポート53]

・Bootstrap Protocol Server [ポート67]

・Bootstrap Protocol Client [ポート68]

・Trivial File Transfer Protocol(TFTP) [ポート69]

・NETBIOS Name Service [ポート137]

・NETBIOS Datagram Service [ポート138]

この例では、クライアント側「192.168.1.0」ネットワークのルータインターフェイスfastethernet 0/1に、DHCPリレーエージェント機能を有効化します。および、DHCPで利用するBootstrap Protocol以外のUDPブロードキャスト転送を禁止しています。
本例では、構成図の、ホスト名：Routerの設定例を記します。

Router(config)#interface fastethernet 0/1
Router(config-if)#ip helper-address 172.16.0.254

Router(config)#no ip forward-protocol udp time
Router(config)#no ip forward-protocol udp nameserver
Router(config)#no ip forward-protocol udp tacacs
Router(config)#no ip forward-protocol udp domain
Router(config)#no ip forward-protocol udp tftp
Router(config)#no ip forward-protocol udp netbios-ns
Router(config)#no ip forward-protocol udp netbios-dgm

●マニュアルバインディングの設定
DHCPサーバは自動でIPアドレスを割り当てますが、サーバなどは固定IPアドレスを設定するのが一般的です。そのような場合にマニュアルバインディングを使用し、MACアドレスに対して固定IPアドレスを割り当てる事が可能です。
この例では、クライアントには動的IPアドレス、サーバには固定IPアドレス「192.168.1.100」を割り当てます。
本例では、構成図の、ホスト名：Router-srvの設定例を記します。

1.新しくDHCPアドレスプールを作成する

Router-srv(config)#ip dhcp pool Server

2.固定に割り当てるIPアドレス、サブネットマスクを設定する
マニュアルバインディングの数に制限はありませんが、1つのプールに設定できるマニュアルバインディングは1つだけです。

Router-srv(dhcp-config)#host 192.168.1.100 255.255.255.0

3.割り当てるサーバのMACアドレスを指定する
サーバのMACアドレスを、先頭に01を付けた上で、ドット付き16進表記で設定します。01がイーサネットのメディアタイプを表します。
たとえば、a1-b2-c3-d4-e5-f6のMACアドレスサーバの場合は、01a1.b2c3.d4e5.f6と指定します。

Router-srv(dhcp-config)#client-identifier 01a1.b2c3.d4e5.f6

4.固定に割り当てるデフォルトゲートウェイを指定する

Router-srv(dhcp-config)#default-router 192.168.1.254

●各ルータの設定確認
・Router-srvで、DHCPサーバとマニュアルバインディングの設定が適切に行われているのかを実行コンフィギュレーションを表示して確認します。設定が正しい場合は、スタートアップコンフィギュレーションにコピーします。

Router-srv#show running-config
        ----------略----------
!
ip dhcp excluded-address 192.168.1.254
!
ip dhcp pool CISCO
   network 192.168.1.0 255.255.255.0
   default-router 192.168.1.254
   dns-server 172.16.0.253
!
ip dhcp pool Server
   host 192.168.1.100 255.255.255.0
   client-identifier 01a1.b2c3.d4e5.f6
   default-router 192.168.1.254
!
        ----------略----------
!
interface FastEthernet0/0
 ip address 172.16.0.254 255.255.0.0
 duplex auto
 speed auto
!

Router-srv#copy running-config startup-config
Destination filename [startup-config]?
Building configuration...
[OK]

・Routerで、DHCPリレーエージェントの設定が適切に行われているのかを実行コンフィギュレーションを表示して確認します。設定が正しい場合は、スタートアップコンフィギュレーションにコピーします。

Router#show running-config
        ----------略----------
!
interface FastEthernet0/0
 ip address 172.16.0.1 255.255.0.0
 duplex auto
 speed auto
!
interface FastEthernet0/1
 ip address 192.168.1.254 255.255.255.0
 ip helper-address 172.16.0.254
 duplex auto
 speed auto
!
       ----------略-----------
no ip forward-protocol udp time
no ip forward-protocol udp nameserver
no ip forward-protocol udp tacacs
no ip forward-protocol udp domain
no ip forward-protocol udp tftp
no ip forward-protocol udp netbios-ns
no ip forward-protocol udp netbios-dgm
!

Router#copy running-config startup-config
Destination filename [startup-config]?
Building configuration...
[OK]

●動作確認
・クライアントでの動作確認

1.「ipconfig /release」コマンドを入力しIPアドレス情報を開放します。

C:\>ipconfig /release

2.「ipconfig /renew」コマンドを入力しIPアドレス情報を取得します。

C:\>ipconfig /renew

3.「ipconfig /all」コマンドを入力しすべての構成情報を表示。
適切にDHCPの設定が反映されているかを確認します。※一部省略しています

C:\>ipconfig /all

IPv4 アドレス...........................: 192.168.1.1
サブネット マスク.......................: 255.255.255.0
デフォルト ゲートウェイ.................: 192.168.1.254
DHCP サーバー...........................: 172.16.0.254
DNS サーバー............................: 172.16.0.253

・サーバでの動作確認

クライアントでの動作確認方法と同様です。

C:\>ipconfig /all

IPv4 アドレス...........................: 192.168.1.100
サブネット マスク.......................: 255.255.255.0
デフォルト ゲートウェイ.................: 192.168.1.254
DHCP サーバー...........................: 172.16.0.254
DNS サーバー............................: 172.16.0.253

・DHCPサーバでの動作確認

この例のコマンドで、IPアドレスの割当状況を確認します。

Router-srv#show ip dhcp binding

IP address          Client-ID/              Lease expiration        Type
                    Hardware address/
                    User name
192.168.1.1         013c.970e.7afa.6b       Dec 27 2014 03:44 AM    Automatic
192.168.1.100       01a1.b2c3.d4e5.f6       Infinite                Manual

●参考情報
[Cisco IOS DHCP サーバの設定]
http://www.cisco.com/cisco/web/support/JP/docs/CIAN/IOS/IOSSWRels15_1/CG/001/iad_dhcp_svr_cfg.html?bid=0900e4b1825ae5ce