DHCPリレーおよびパケットフローとしてのASA-PIX

[mbrunett]

• イントロダクション
• トポロジー
• DHCPリレーエージェント利用の際の制約事項について

イントロダクション

ASA/PIXにおけるDHCPリレーとパケットフロー

トポロジー

 

 

コンフィギュレーション

 最小構成：

dhcprelay server 192.168.17.49 outside

dhcprelay enable inside

本機能とコンフィギュレーションの詳細については、下記のリンクを参照してください。

http://www.cisco.com/en/US/products/ps6120/products_configuration_example09186a008075fcfb.shtml

 上記の文書に従って：

DHCPプロトコルは、サブネットマスク、デフォルトゲートウェイ、DNSサーバアドレス、およびホストへのWINSアドレスを含むIPアドレスなどのネットワークパラメータを自動的に提供します。最初DHCPクライアントには、これらのネットワークパラメータがありません。これらの情報はDHCPのブロードキャストリクエストを送信することによって取得します。 DHCPサーバがこのリクエストを受け取ると、DHCPサーバは必要な情報を提供します。これらのブロードキャストリクエストの性質上、DHCPクライアントとサーバは同じサブネット上になければなりません。ルータやファイアウォールなどのレイヤ3デバイスは、通常これらのブロードキャストリクエストをデフォルトで転送しません。

DHCPクライアントとDHCPサーバを同じサブネット上に配置しようとすると、不便が生じる場合があります。このような時は、DHCPリレーを使う事ができます。ASA/PIXのDHCPリレーエージェントは、内部イインタフェース上のホストからDHCPリクエストを受信すると、そのリクエストを外部インタフェース上の指定されたDHCPサーバの1つに転送します。 DHCPサーバがクライアントに応答すると、ASA/PIXはその応答をクライアントに転送します。したがって、DHCPリレーエージェントは、DHCPサーバとの通信でDHCPクライアントのプロキシとしての役割を果たします。

DHCPリレーエージェントを使用すると、ASA/PIXはクライアントからのDHCPリクエストをルータまたは別のインタフェースに接続された他のDHCPサーバに転送する事ができます。

DHCPリレーエージェント利用の際の制約事項について

• DHCPサーバ機能が有効な場合は、リレーエージェントを有効にすることはできません。
• クライアントはASA/PIXに直接接続される必要があり、別のリレーエージェントまたはルータ経由でリクエストを送信することはできません。
• マルチコンテキストモードの場合、DHCPリレーを有効にすることはできません。また、複数のコンテキストで使用されるインタフェース上でDHCPリレーサーバを設定することもできません。
  
  
  

注：DHCPリレーサービスはトランスペアレントファイアウォールモードでは使用できません。トランスペアレントファイアウォールモードのASA/PIXでは、ARPトラフィックのみが許可されます。他のすべてのトラフィックにはアクセスコントロールリスト（ACL）が必要です。 DHCPリクエストを許可し、トランスペアレントモードでセASA/PIXを介して応答するには、以下の2つのACLを設定する必要があります:

-内部インタフェースから外部へのDHCPリクエストを許可するACL
-反対方向のDHCPサーバからの応答を許可するACL

次に、ASA/PIXの内部及び外部インタフェースのパケットキャプチャを使用して、DHCPリレーの動作を簡単に説明します。

ASA/PIXが変更する様々なフィールドを赤枠で記しました:

1. クライアントが起動し、ブロードキャストDHCP discoveryメッセージを255.255.255.255（UDP 67 ポート）宛に送信する事でDHCPプロセスを開始します。

 

2. 通常、ASA/PIXはこのブロードキャストをドロップしますが、DHCPリレーとして機能するように設定されているため、ユニキャストパケットとしてDHCP discoveryメッセージをDHCPサーバのIPアドレス宛に送信します。この時の送信元アドレスは外部インタフェースのIPアドレスになります。 IPヘッダーとリレーエージェントフィールドの変更に注目ください。

3. DHCPサーバは、ユニキャストパケットとしてDHCP offerメッセージを、UDPポート67でASA/PIXが設定するDHCPリレーエージェントIPアドレス宛に返します。この場合、宛先IPアドレスは内部インタフェースでDHCPリレーを有効にしたものです。レイヤ3ヘッダーの宛先IPアドレスにも注目してください。

4. ASA/PIXはこのパケットを内部インタフェース（UDPポート68）から送信します。パケットがインタフェース内から出ていく際の、IPヘッダーの変化に注目してください。

 

5.クライアントは、offerを受け入れると示されたDHCP offerメッセージを受信すると、DHCP requestメッセージをサーバに送信します。

6. ASA/PIXはこのDHCP requestをDHCPサーバに送ります。

7.サーバはDHCP requestを取得すると、DHCP ACKをクライアントに送り返します。

8. ASA/PIXはこのDHCP ACKをDHCPサーバからクライアントに送ります。

 クライアントはDHCP ACKを受信すると、ネットワーク上での通信を開始します。

*Thanks to the original author, Sourav Kakkar.  This document is translated from the below article.
https://supportforums.cisco.com/t5/security-documents/asa-pix-as-dhcp-relay-and-packet-flow/ta-p/3144277#toc-hId--765039721