Catalyst 3550 マルチレイヤ スイッチ ソフトウェア コンフィギュレーション ガイド Cisco IOS Release 12.2(25)SEC
DHCP機能の設定
DHCP機能の設定
発行日;2012/02/01 | ドキュメントご利用ガイド | ダウンロード ; この章pdf , ドキュメント全体pdf (PDF - 9MB) | フィードバック

目次

DHCP機能の設定

DHCP機能の概要

DHCPサーバ

DHCPリレー エージェント

DHCPスヌーピング

Option 82データ挿入

Cisco IOS DHCPサーバ データベース

DHCPスヌーピング バインディング データベース

DHCP機能の設定

DHCPのデフォルト設定

DHCPスヌーピング設定時の注意事項

旧ソフトウェア リリースからのアップグレード

DHCPサーバの設定

DHCPリレー エージェントのみのイネーブル化

DHCPリレー エージェントおよびOption 82のイネーブル化

リレー エージェント情報Option 82の検証

再転送ポリシーの設定

パケット転送アドレスの指定

DHCPスヌーピングおよびOption 82のイネーブル化

プライベートVLANでのDHCPスヌーピングのイネーブル化

Cisco IOS DHCPサーバ データベースのイネーブル化

DHCPスヌーピング バインディング データベース エージェントのイネーブル化

DHCP情報の表示

IPソース ガードの概要

送信元IPアドレス フィルタリング

送信元IPおよびMACアドレス フィルタリング

IPソース ガードの設定

IPソース ガードのデフォルト設定

IPソース ガード設定時の注意事項

IPソース ガードのイネーブル化

IPソース ガード情報の表示

DHCP機能の設定

この章では、Catalyst 3550スイッチでDynamic Host Configuration Protocol（DHCP）スヌーピングおよびOption 82データ挿入機能を設定する方法について説明します。

（注） この章で使用されるコマンドの構文および使用方法の詳細については、このリリースのコマンド リファレンス、および『Cisco IOS IP Command Reference, Volume 1 of 3: Addressing and Services』Release 12.2の「DHCP Commands」を参照してください。

この章で説明する内容は、次のとおりです。

• 「DHCP機能の概要」

• 「DHCP機能の設定」

• 「DHCP情報の表示」

DHCP機能の概要

DHCPは、中央のサーバからホストのIPアドレスをダイナミックに割り当てるために、LAN環境で広く使用されています。DHCPを使用するとIPアドレス管理のオーバーヘッドが大幅に軽減します。DHCPを使用すると、IPアドレスをホストに永続的に割り当てる必要がなくなり、IPアドレスを必要とするのはネットワークに接続されているホストだけになるので、DHCPは限られたIPアドレス空間の節約に役立ちます。

スイッチは、次のDHCP機能をサポートします。

• 「DHCPサーバ」

• 「DHCPリレー エージェント」

• 「DHCPスヌーピング」

• 「Option 82データ挿入」

• 「Cisco IOS DHCPサーバ データベース」

• 「DHCPスヌーピング バインディング データベース」

DHCPクライアントの詳細については、『 Cisco IOS IP Configuration Guide 』Release 12.2の「 IP Addressing and Services 」にある「 Configuring DHCP 」を参照してください。

DHCPサーバ

DHCPサーバは、スイッチまたはルータの指定アドレス プールから、IPアドレスをDHCPクライアントに割り当てて、クライアントを管理します。DHCPサーバは、DHCPクライアントに要求された設定パラメータを、自身のデータベースから渡すことができない場合は、ネットワーク管理者によって定義されている1つまたは複数のセカンダリDHCPサーバに、その要求を転送できます。

DHCPリレー エージェント

DHCPリレー エージェントは、クライアント/サーバ間にあるDHCPパケットを転送するレイヤ3のデバイスです。クライアントおよびサーバが同一の物理サブネットにない場合、リレー エージェントは、クライアントとサーバ間で要求と応答を転送します。リレー エージェントの転送は、通常のレイヤ2転送とは異なります。レイヤ2転送では、IPデータグラムがネットワーク間でトランスペアレントに交換されますが、リレー エージェントはDHCPメッセージを受信してから、新しいDHCPメッセージを生成して、出力インターフェイスに送信します。

DHCPスヌーピング

DHCPスヌーピングは、信頼されないDHCPメッセージをフィルタリングし、DHCPスヌーピング バインディング データベース（別名DHCPスヌーピング バインディング テーブル）を構築および維持することで、ネットワーク セキュリティを提供するDHCPセキュリティ機能です。

DHCPスヌーピングは、信頼されないホストとDHCPサーバの間のファイアウォールと同様の機能を果たします。DHCPスヌーピングを使用すると、エンドユーザに接続した信頼されないインターフェイスと、DHCPサーバまたは別のスイッチに接続した信頼されるインターフェイスを区別できます。

（注） DHCPスヌーピングを適切に機能させるには、すべてのDHCPサーバが信頼されるインターフェイスを介してスイッチに接続されている必要があります。

信頼されないメッセージとは、ネットワークまたはファイアウォールの外から受信されたメッセージのことです。DHCPスヌーピングをサービス プロバイダー環境で使用した場合、信頼されないメッセージはカスタマー スイッチのようにサービス プロバイダー ネットワーク外部のデバイスから送信されたことを意味します。不明なデバイスからのメッセージは、トラフィック攻撃の原因になる可能性があるため信頼されません。

DHCPスヌーピングのバインディング データベースには、MAC（メディア アクセス制御）アドレス、IPアドレス、リース期間、バインディング タイプ、VLAN（仮想LAN）番号、および信頼されないローカル スイッチのインターフェイスに対応したインターフェイス情報が含まれています。信頼されるインターフェイスと相互接続されているホストに関する情報は含まれていません。

サービス プロバイダー ネットワーク内で、信頼されるインターフェイスは、同じネットワーク内のデバイスにあるポートと接続されていることを意味します。信頼されないインターフェイスは、ネットワーク内で信頼されないインターフェイスと接続しているか、またはネットワーク外にあるデバイスのインターフェイスと接続していることになります。

スイッチが信頼されないインターフェイスでパケットを受信して、そのインターフェイスがDHCPスヌーピングがイネーブルのVLANに属している場合、スイッチは送信元MACアドレスとDHCPクライアントのハードウェア アドレスを比較します。アドレスがそのデフォルトと一致した場合、スイッチはパケットを転送します。一致しない場合、スイッチはパケットを廃棄します。

スイッチは、次の状況のいずれかが発生した場合、DHCPパケットを廃棄します。

• DHCPサーバからのパケット（DHCPOFFER、DHCPACK、DHCPNAK、またはDHCPLEASEQUERYなど）をネットワークまたはファイアウォール外から受信する。

• 信頼されないインターフェイスでパケットが受信され、さらに送信元MACアドレスとDHCPクライアント ハードウェア アドレスが一致しない。

• スイッチは、DHCPスヌーピング バインディング テーブルのMACアドレスを含む
DHCPRELEASEまたはDHCPDECLINEブロードキャスト メッセージを受信したが、バインディング テーブルのインターフェイス情報がメッセージを受信したインターフェイスと一致しない。

• リレー エージェントのIPアドレスが0.0.0.0でないものを含むDHCPパケットをDHCPリレー エージェントが転送する、または信頼されないポートにOption 82情報を含むパケットをリレー エージェントが転送する。

スイッチがDHCPスヌーピングをサポートする集約スイッチであり、DHCP Option 82情報を挿入するエッジ スイッチに接続されている場合、パケットが信頼されないインターフェイス上で受信されると、スイッチはOption 82情報を持ったパケットを廃棄します。DHCPスヌーピングがイネーブルでパケットが信頼されるポートで受信された場合、集約スイッチは接続したデバイスのDHCPスヌーピング バインディングを学習しないので完全なDHCPスヌーピング バインディング データベースを構築できません。

Option 82情報がCisco IOS Release 12.1(22)EA3より前の、またはCisco IOS Release 12.2(25)SEA以降のソフトウェア リリースが動作するエッジ スイッチによって挿入されている場合、DHCPスヌーピング バインディング データベースが正しく読み込まれないので、DHCPスヌーピングを集約スイッチに設定できません。スタティック バインディングまたはARP Access Control List（ACL;アクセス制御リスト）を使用していない場合、IPソース ガードおよびダイナミックAddress Resolution Protocol（ARP;アドレス解決プロトコル）検査もスイッチに設定できません。

Cisco IOS Release 12.1(22)EA3およびCisco IOS Release 12.2(25)SEA以降では、集約スイッチが信頼されないインターフェイスを通じてエッジ スイッチに接続でき、 ip dhcp snooping information option allow-untrusted グローバル コンフィギュレーション コマンドを入力した場合に、集約スイッチはOption 82情報を持ったパケットをエッジ スイッチから受け付けます。集約スイッチは、信頼されないスイッチ インターフェイスを通じて接続されたホストのバインディングを学習します。ダイナミックARPまたはIPソース ガードなどのDHCPセキュリティ機能は、ホストが接続されている信頼されない入力インターフェイスでOption 82情報を持ったパケットをスイッチが受信している間も、集約スイッチ上でイネーブルにできます。集約スイッチに接続するエッジ スイッチのポートは、信頼されるインターフェイスとして設定する必要があります。

Option 82データ挿入

住宅地のメトロポリタン イーサネットアクセス環境では、DHCPによって多数の加入者のIPアドレス割り当てを中央管理できます。スイッチでDCHP Option 82機能をイネーブルにすると、（MACアドレスのほかに）ネットワークへの接続に使用されているスイッチ ポートで加入者のデバイスを識別できます。加入者LAN上の複数のホストをアクセス スイッチの同じポートに接続し、個別に識別できます。

（注） Cisco IOS Release 12.1(19)EA1以降では、DHCPスヌーピングがグローバルにイネーブルで、この機能を使用している加入者のデバイスが割り当てられているVLANに存在する場合のみ、DHCP Option 82機能がサポートされます。また、スイッチは、DHCPがディセーブルのときにDHCP Option 82機能もサポートします。

図18-1に示すメトロポリタン イーサネット ネットワークの例では、中央集中型DHCPサーバが、アクセス レイヤでスイッチに接続されている加入者にIPアドレスを割り当てています。DHCPクライアントとこれらのクライアントに関連付けられているDHCPサーバは、同じIPネットワークまたはサブネット上にはないので、DHCPリレー エージェント（Catalystスイッチ）にヘルパー アドレスを設定することによって、ブロードキャスト転送、およびクライアント/サーバ間でのDHCPメッセージの伝送を可能にしています。

図18-1 メトロポリタン イーサネット ネットワークのDCHPリレー エージェント

 

スイッチでDHCPスヌーピング情報のOption 82機能をイネーブルにすると、次の順でイベントが発生します。

• ホスト（DHCPクライアント）がDHCP要求を作成して、ネットワーク上にブロードキャストします。

• スイッチがDHCP要求を受信すると、Option 82情報をパケットに追加します。Option 82情報には、スイッチMACアドレス（リモートIDサブオプション）、および vlan-mod-port または snmp-ifindex のポートIDが含まれます。このポートからパケットは受信されます（回線IDサブオプション）。

• リレー エージェントのIPアドレスが設定されている場合、スイッチはDHCPパケットにIPアドレスを追加します。

• スイッチはOption 82フィールドが含まれるDHCP要求をDHCPサーバに転送します。

• DHCPサーバがパケットを受信します。サーバがOption 82対応の場合、そのサーバはリモートID、回線ID、またはその両方を使用してIPアドレスを割り当てるとともに、単一のリモートIDまたは回線IDに割り当て可能なIPアドレス値制限などのポリシーを適用できます。さらにDHCPサーバはDHCP応答内にOption 82フィールドをエコーします。

• 要求がスイッチによってDHCPサーバへリレーされた場合、DHCPサーバはスイッチへの応答をユニキャストします。クライアントおよびサーバが同じサブネットに存在する場合、サーバは応答をブロードキャストします。スイッチは、リモートIDおよび（可能であれば）回線IDフィールドを調べて、本来Option 82データが挿入されていたかを確認します。スイッチはOption 82フィールドを削除してから、そのパケットをDHCPクライアント（DHCP要求の送信元）に接続されているスイッチ ポートに転送します。

前述のイベントが発生したとき、図18-2の次のフィールドの値は変化しません。

• 回線IDサブオプション フィールド

–サブオプション タイプ

–サブオプション タイプの長さ

–回線IDタイプ

–回線IDタイプの長さ

• リモートIDサブオプション フィールド

–サブオプション タイプ

–サブオプション タイプの長さ

–リモートIDタイプ

–リモートIDタイプの長さ

DHCPスヌーピングがグローバルにイネーブルのときに、 ip dhcp snooping information option グローバル コンフィギュレーション コマンドを入力し、SNMP ifIndexフォーマットを設定しない場合、回線IDサブオプションのポート フィールドのポート番号は0から始まります。たとえば、Catalyst 3550-24スイッチでは、ポート0はFastEthernet 0/1ポートで、ポート1がFastEthernet 0/2ポート、ポート2がFastEthernet 0/3ポートと続きます。ポート24はGBIC（ギガビット インターフェイス コンバータ）ベースのギガビット モジュール スロット0/1で、ポート25がGBICベースのギガビット モジュール スロット0/2になります。

図18-2に、リモートIDサブオプションおよび回線IDサブオプションのパケット形式を示します。回線IDサブオプションでは、モジュール フィールドは常に0です。

図18-2 サブオプションのパケット形式

 

 

1

DHCPスヌーピングがグローバルにイネーブルで、 ip dhcp relay information option グローバル コンフィギュレーション コマンドが入力され、さらに ip dhcp snooping information option format snmp-ifindex グローバル コンフィギュレーション コマンドが入力された場合、スイッチはこのフォーマットを使用します。
2

DHCPスヌーピングがグローバルにイネーブルで、 ip dhcp snooping information option グローバル コンフィギュレーション コマンドが入力され、さらにSNMP（簡易ネットワーク管理プロトコル）ifIndexフォーマットが設定されていない場合、スイッチはこのフォーマットを使用します。

Cisco IOS DHCPサーバ データベース

DHCPベースの自動設定プロセスの間、指定DHCPサーバはCisco IOS DHCPサーバ データベースを使用します。これにはIPアドレス、 アドレス バインディング 、ブート ファイルなどの設定パラメータが含まれます。

アドレス バインディングは、Cisco IOS DHCPサーバ データベース内のホストのIPアドレスおよびMACアドレスの間のマッピングです。クライアントIPアドレスを手動で割り当てることも、DHCPサーバがDHCPアドレス プールからIPアドレスを割り当てることもできます。手動および自動アドレス バインディングの詳細については、『 Cisco IOS IP Configuration Guide』Release 12.2 の「Configuring DHCP」の章を参照してください。

DHCPスヌーピング バインディング データベース

DHCPスヌーピングがイネーブルの場合、スイッチはDHCPスヌーピング バインディング データベースを使用して信頼されないインターフェイスに関する情報を保存します。データベースには最大で8192のバインディングを保存できます。

各データベース エントリ（ binding ）には、IPアドレス、関連MACアドレス、リース時間（16進数表記）、バインディングが適用されるインターフェイス、インターフェイスが属するVLANがあります。各エントリの最後にある checksum 値は、ファイルの始まりからエントリの終わりまでのバイト数です。各エントリは72バイトで、そのあとにスペースとチェックサム値が続きます。

スイッチがリロードされるときにバインディングを維持するには、DHCPスヌーピング データベース エージェントを使用する必要があります。エージェントがディセーブル、ダイナミックARPまたはIPソース ガードがイネーブル、DHCPスヌーピング バインディング データベースにダイナミック バインディングがある場合、スイッチはその接続を切断します。エージェントがディセーブルでDHCPスヌーピングのみがイネーブルの場合、スイッチはその接続を切断しませんが、DHCPスヌーピングがDHCPスプーフィング攻撃を防げないことがあります。

データベース エージェントは設定された場所でファイルにバインディングを保存します。リロード時、スイッチはDHCPスヌーピング バインディング データベースを構築するためにバインディング ファイルを読み込みます。スイッチは、データベースの変更時に更新することでファイルを最新のものに保ちます。

スイッチは、新しいバインディングを学習したり、バインディングを消失した場合にはただちにデータベース内のエントリを更新します。また、バインディング ファイル内のエントリも更新します。ファイルを更新する頻度は、設定変更可能な遅延に基づいて更新され、更新はバッチ処理されます。ファイルが（write-delayおよびabort-timeout値によって設定された）指定の時間更新されない場合、更新は停止します。

バインディングのあるファイルのフォーマットは次のとおりです。

<initial-checksum>
TYPE DHCP-SNOOPING
VERSION 1
BEGIN
<entry-1> <checksum-1>
<entry-2> <checksum-1-2>
...
...
<entry-n> <checksum-1-2-..-n>
END
 

ファイル内の各エントリには、スイッチがファイルを読み込んだときにエントリの確認に使用するチェックサム値がタグ付けされます。1行めの initial-checksum エントリは、最新のファイル更新に関連したエントリと前のファイル更新に関連したエントリとを区別します。

次に、バインディング ファイルの例を示します。

2bb4c2a1
TYPE DHCP-SNOOPING
VERSION 1
BEGIN
192.1.168.1 3 0003.47d8.c91f 2BB6488E Fa1/0/4 21ae5fbb
192.1.168.3 3 0003.44d6.c52f 2BB648EB Fa1/0/4 1bdb223f
192.1.168.2 3 0003.47d9.c8f1 2BB648AB Fa1/0/4 584a38f0
END
 

スイッチが開始され、計算されたチェックサム値が保存されているチェックサム値と等しい場合、スイッチはバインディング ファイルからエントリを読み取ってバインディングをDHCPスヌーピング バインディング データベースに追加します。次のいずれかの状況が発生した場合にスイッチはエントリを無視します。

• スイッチがエントリを読み取って計算されたチェックサム値が保存されているチェックサム値と異なる場合。エントリとそのあとのエントリが無視されます。

• エントリに期限切れのリース時間がある場合（リース時間が期限切れになってもスイッチはバインディング エントリを削除しない場合があります）

• エントリ内のインターフェイスがシステムに存在しない場合

• インターフェイスがルーテッド インターフェイスまたはDHCPスヌーピング信頼インターフェイスの場合

DHCP機能の設定

ここでは、スイッチでDHCPスヌーピングおよびOption 82を設定する手順について説明します。

• 「DHCPのデフォルト設定」

• 「DHCPスヌーピング設定時の注意事項」

• 「旧ソフトウェア リリースからのアップグレード」

• 「DHCPサーバの設定」

• 「DHCPリレー エージェントのみのイネーブル化」

• 「DHCPリレー エージェントおよびOption 82のイネーブル化」

• 「リレー エージェント情報Option 82の検証」

• 「再転送ポリシーの設定」

• 「パケット転送アドレスの指定」

• 「DHCPスヌーピングおよびOption 82のイネーブル化」

• 「プライベートVLANでのDHCPスヌーピングのイネーブル化」

• 「Cisco IOS DHCPサーバ データベースのイネーブル化」

• 「DHCPスヌーピング バインディング データベース エージェントのイネーブル化」

DHCPのデフォルト設定

表18-1 に、DHCPのデフォルト設定を示します。

 

表18-1 DHCPのデフォルト設定

機能
デフォルト設定

DHCPサーバ

IOSソフトウェアでイネーブル。設定が必要です。1

DHCPリレー エージェント

イネーブル2

DHCPパケット転送アドレス

設定なし

リレー エージェント情報の確認

イネーブル（無効なメッセージは破棄されます）2

DHCPリレー エージェント転送ポリシー

既存のリレー エージェント情報の置換2

DHCPスヌーピングのグローバルなイネーブル化

ディセーブル

DHCPスヌーピング情報オプション

イネーブル

信頼されない入力インターフェイスでパケットを受信するDHCPスヌーピング オプション3

ディセーブル

DHCPスヌーピング制限レート

設定なし

DHCPスヌーピング信頼状態

信頼できない

DHCPスヌーピングVLAN

ディセーブル

DHCPスヌーピングMACアドレス検証

イネーブル

Cisco IOS DHCPサーバ バインディング データベース

IOSソフトウェアでイネーブル。設定が必要です。

スイッチは、DHCPサーバとして設定されているデバイスからのみネットワーク アドレスおよび設定パラメータを取得します。

DHCPスヌーピング バインディング データベース エージェント

IOSソフトウェアでイネーブル。設定が必要です。

この機能は宛先が設定されている場合にのみ、動作します。

1.スイッチは、DHCPサーバとして設定されている場合のみ、DHCP要求に応答します。

2.スイッチは、DHCPサーバのIPアドレスがDHCPクライアントのSwitch Virtual Interface（SVI;スイッチ仮想インターフェイス）で設定されている場合のみ、DHCPパケットをリレーします。

3.スイッチがエッジ スイッチからOption 82情報を持ったパケットを受信する集約スイッチである場合に、この機能を使用します。

DHCPスヌーピング設定時の注意事項

ここでは、DHCPスヌーピングの設定時の注意事項を説明します。

• DHCPスヌーピングをスイッチでグローバルにイネーブルにする必要があります。

• VLANでDHCPスヌーピングがイネーブルになるまで、DHCPスヌーピングはアクティブになりません。

• スイッチでグローバルにDHCPスヌーピングをイネーブルにする前に、DHCPサーバとして動作しているデバイスと、DHCPリレー エージェントが設定されてイネーブルの状態にあることを確認してください。

• DHCPスヌーピングをスイッチでグローバルにイネーブルにすると、スヌーピングがディセーブルになるまで、次のCisco IOSコマンドは利用できません。これらのコマンドを入力した場合、スイッチがエラー メッセージを戻して、設定は適用されません。

– ip dhcp relay information check グローバル コンフィギュレーション コマンド

– ip dhcp relay information policy グローバル コンフィギュレーション コマンド

– ip dhcp relay information trust-all グローバル コンフィギュレーション コマンド

–ip dhcp relay information option グローバル コンフィギュレーション コマンド

– ip dhcp relay information trusted インターフェイス コンフィギュレーション コマンド

• スイッチにDHCPスヌーピング情報オプションを設定する前に、DHCPサーバとして機能しているデバイスの設定を行う必要があります。たとえば、DHCPサーバが割り当てまたは省略できるIPアドレスを指定する、またはデバイスにDHCPオプションを設定する必要があります。

• スイッチにDHCPリレー エージェントを設定する前に、DHCPサーバとして機能しているデバイスの設定を行う必要があります。たとえば、DHCPサーバが割り当てまたは省略できるIPアドレスを指定する、デバイスにDHCPオプションを設定する、もしくはDHCPデータベース エージェントを設定する必要があります。

• DHCPリレー エージェントがイネーブルでDHCPスヌーピングがディセーブルの場合、DHCP Option 82データ挿入機能はサポートされません。

• スイッチ ポートがDHCPサーバに接続されている場合、 ip dhcp snooping trust インターフェイス コンフィギュレーション コマンドを入力してポートを信頼性のある設定にしてください。

• スイッチ ポートがDHCPクライアントに接続されている場合、 no ip dhcp snooping trust インターフェイス コンフィギュレーション コマンドを入力してポートを信頼性のない設定にしてください。

• ip dhcp snooping information option allow-untrusted コマンドを信頼されないデバイスが接続されている集約スイッチに入力しないでください。このコマンドを入力すると、信頼されないデバイスがOption 82情報をスプーフィングする場合があります。

旧ソフトウェア リリースからのアップグレード

Cisco IOS Release 12.1(19)EA1では、Option 82サブスクライバIDに関する実装が旧リリースから変更されました。新しいOption 82形式では、異なる回線IDおよびリモートIDサブオプションの vlan-mod-port を使用します。旧バージョンでは、 snmp-ifindex 回線IDおよびリモートIDサブオプションを使用します。

スイッチにOption 82が設定され、Cisco IOS Release 12.1(19)EA1以降にアップグレードする場合、Option 82の設定に影響はありません。ただし、 ip dhcp snooping グローバル コンフィギュレーション コマンドを使用してスイッチでDHCPスヌーピングをグローバルにイネーブルにするときは、以前のOption 82の設定は中断され、新しいOption 82形式が適用されます。スイッチでDHCPスヌーピングをグローバルにディセーブルにするとき、以前のOption 82の設定が再びイネーブルになります。

下位互換性を保つには、DHCPスヌーピングをイネーブルにするときに ip dhcp snooping information option format snmp-ifindex グローバル コンフィギュレーション コマンドを使用して、以前のOption 82形式を選択できます。DHCPスヌーピングをグローバルにイネーブルにすると、（選択済み形式の）Option 82情報だけがスヌーピングされたVLANに挿入されます。

DHCPスヌーピングをイネーブルにしないでOption 82の旧バージョンを使用するには、「DHCPリレー エージェントおよびOption 82のイネーブル化」を参照してください。

DHCPサーバの設定

スイッチはDHCPサーバとして動作させることができます。デフォルトでは、Cisco IOS DHCPサーバおよびリレー エージェント機能は、スイッチでイネーブルになっていますが設定されていません。これらの機能は動作可能ではありません。

DHCPサーバとしてスイッチを設定する手順については、『 Cisco IOS IP Configuration Guide 』Release 12.2の「IP addressing and Services」にある「Configuring DHCP」を参照してください。

DHCPリレー エージェントのみのイネーブル化

スイッチでDHCPリレー エージェントをイネーブルにするには、イネーブルEXECモードで次の手順を実行します。

 

コマンド
説明

ステップ 1

configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 2

service dhcp

スイッチでDHCPサーバおよびリレー エージェントをイネーブルにします。デフォルトでは、イネーブルに設定されています。

ステップ 3

end

イネーブルEXECモードに戻ります。

ステップ 4

show running-config

設定を確認します。

ステップ 5

copy running-config startup-config

（任意）コンフィギュレーション ファイルに設定を保存します。

DHCPサーバおよびリレー エージェントをディセーブルにするには、 no service dhcp グローバル コンフィギュレーション コマンドを使用します。

DHCPリレー エージェントおよびOption 82のイネーブル化

Cisco IOS Release 12.1(19)EA1では、Option 82加入者識別に関する実装が旧リリースから変更されました。DHCPスヌーピングを使用するときのリレー エージェントおよびOption 82の設定に関する詳細については、「旧ソフトウェア リリースからのアップグレード」を参照してください。

スイッチでDHCPリレー エージェントおよびOption 82をイネーブルにするには、イネーブルEXECモードで次の手順を行います。

 

コマンド
説明

ステップ 1

configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 2

service dhcp

スイッチでDHCPサーバおよびリレー エージェントをイネーブルにします。デフォルトでは、イネーブルに設定されています。

ステップ 3

ip dhcp relay information option

DHCPサーバへのDHCP要求メッセージ転送時の、DHCPリレー情報（Option 82フィールド）の挿入および削除をイネーブルにします。

デフォルトでは、この機能はディセーブルです。

ステップ 4

end

イネーブルEXECモードに戻ります。

ステップ 5

show running-config

設定を確認します。

ステップ 6

copy running-config startup-config

（任意）コンフィギュレーション ファイルに設定を保存します。

DHCPサーバおよびリレー エージェントをディセーブルにするには、 no service dhcp グローバル コンフィギュレーション コマンドを使用します。Option 82フィールドの挿入および削除をディセーブルにするには、 no ip dhcp relay information option グローバル コンフィギュレーション コマンドを使用します。

リレー エージェント情報Option 82の検証

デフォルトでは、スイッチはDHCPサーバから受信したDHCP応答パケットのOption 82フィールドが有効であるかどうかを確認します。無効なメッセージを受信した場合、スイッチはそのメッセージを廃棄します。有効なメッセージを受信した場合、スイッチはOption 82フィールドを削除してから、そのパケットを転送します。

この機能をディセーブルにするには、 no ip dhcp relay information check グローバル コンフィギュレーション コマンドを使用します。この機能をディセーブルにした場合、スイッチはOption 82フィールドの有効性は検証しませんが、パケットからこのオプションを削除して転送します（スイッチでDHCPスヌーピングがイネーブルのときは、この機能は利用できません）。

（注） スイッチがDHCPクライアントからOption 82フィールドを含むパケットを受信し、スイッチでこの情報の確認機能がイネーブルになっている場合、クライアント側からのこのような情報は無効であるため、スイッチはそのパケットを廃棄します。ただし場合によっては、クライアント側にOption 82フィールドが設定されていることもあります。このような場合は、スイッチがパケットからOption 82フィールドを削除しないように、スイッチの情報確認機能をディセーブルにしなければなりません。ip dhcp relay information policyグローバル コンフィギュレーション コマンドを使用すると、既存のOption 82情報を含むパケットを受信した場合のスイッチの動作を設定できます。詳細については、「再転送ポリシーの設定」を参照してください。（スイッチでDHCPスヌーピングがイネーブルのときは、この機能は利用できません）。

再転送ポリシーの設定

デフォルトの再転送ポリシーでは、スイッチはDHCPクライアントから受信したパケット内の既存のリレー情報をスイッチのDHCPリレー情報に置き換えます。このデフォルトのスイッチ動作がご使用のネットワーク構成に適さない場合は、 ip dhcp relay information policy { drop | keep | replace } グローバル コンフィギュレーション コマンドを使用して、設定を変更できます（スイッチでDHCPスヌーピングがイネーブルのときは、この機能は利用できません）。

（注） 再転送ポリシーを正常に機能させるためには、no ip dhcp relay information checkグローバル コンフィギュレーション コマンドを使用して、リレー エージェント情報の確認機能をディセーブルにする必要があります。

再転送ポリシーの動作を変更するには、イネーブルEXECモードで次の手順を実行します。

 

コマンド
説明

ステップ 1

configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 2

ip dhcp relay information policy { drop | keep | replace }

再転送ポリシーを設定します。デフォルトでは、既存の情報がスイッチのDHCPリレー情報に置き換えられます（上書きされます）。

• 既存のリレー情報にOption 82情報も含まれている場合に、そのメッセージをスイッチが廃棄するように指定するには、 drop キーワードを使用します。

• 既存のリレー情報をスイッチが保持するように指定する場合は、 keep キーワードを使用します。

ステップ 3

end

イネーブルEXECモードに戻ります。

ステップ 4

show running-config

設定を確認します。

ステップ 5

copy running-config startup-config

（任意）コンフィギュレーション ファイルに設定を保存します。

再転送ポリシーをデフォルト設定に戻すには、 no ip dhcp relay information policy グローバル コンフィギュレーション コマンドを使用します。

パケット転送アドレスの指定

DHCPリレー エージェントは、同じ物理サブネット上にないクライアントとサーバ間のDHCPパケットを転送する任意のデバイスです。リレー エージェントの転送は、IPルータによる通常の転送とは異なります。IPルータの転送では、IPデータグラムがネットワーク間でトランスペアレントに交換されますが、リレー エージェントはDHCPメッセージを受信してから、新しいDHCPメッセージを作成して、別のインターフェイスに送信します。

DHCPサーバとDHCPクライアントが異なるネットワークまたはサブネットに存在する場合は、 ip helper-address address インターフェイス コンフィギュレーション コマンドをスイッチに設定する必要があります。通常は、クライアントに最も近いレイヤ3インターフェイスにこのコマンドを設定します。 ip helper-address コマンドには、特定のDHCPサーバのIPアドレスを使用できます。また、宛先のネットワーク セグメントにほかのDHCPサーバがある場合は、ネットワーク アドレスを使用することもできます。ネットワーク アドレスを使用すると、任意のDHCPサーバが要求に応答できるようになります。

パケット転送アドレスを指定するには、イネーブルEXECモードで次の手順を実行します。この手順は任意です。

 

コマンド
説明

ステップ 1

configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 2

interface vlan vlan-id

インターフェイス コンフィギュレーション モードを開始して、スイッチの仮想インターフェイスを作成します。

ステップ 3

ip address ip-address subnet-mask

インターフェイスにIPアドレスとIPサブネットを設定します。

ステップ 4

ip helper-address address

DHCPパケット転送アドレスを指定します。

ヘルパー アドレスには、特定のDHCPサーバのアドレスを使用できます。また、宛先のネットワーク セグメントにほかのDHCPサーバがある場合はネットワーク アドレスを使用することもできます。ネットワーク アドレスを使用すると、ほかのサーバがDHCP要求に応答できるようになります。

複数のサーバがある場合は、各サーバに1つずつヘルパー アドレスを設定することもできます。

ステップ 5

exit

グローバル コンフィギュレーション モードに戻ります。

ステップ 6

interface range port-range

または

interface interface-id

DHCPクライアントに接続されている複数の物理ポートを設定し、インターフェイス レンジ コンフィギュレーション モードを開始します。

または

DHCPクライアントに接続されている単一の物理ポートを設定し、インターフェイス コンフィギュレーション モードを開始します。

ステップ 7

switchport mode access

そのポートのVLANメンバーシップ モードを決定します。

ステップ 8

switchport access vlan vlan-id

ステップ2で設定した同じVLANにポートを割り当てます。

ステップ 9

end

イネーブルEXECモードに戻ります。

ステップ 10

show running-config

設定を確認します。

ステップ 11

copy running-config startup-config

（任意）コンフィギュレーション ファイルに設定を保存します。

DHCPパケット転送アドレスを削除する場合は、 no ip helper-address address インターフェイス コンフィギュレーションコマンドを使用します。

以下の例は、DHCPサーバ、リレー エージェント、DHCPリレー情報（Option 82）の挿入および削除をイネーブルにする方法を示しています。この例では、VLAN ID 10のスイッチ仮想インターフェイスを作成し、これにIPアドレスを割り当てて、30.0.0.2のDHCPパケット転送アドレス（DHCPサーバ アドレス）を指定しています。DHCPクライアントに接続されている2つのインターフェイス（GigabitEthernet 0/1および0/2）はVLAN 10のスタティック アクセス ポートとして設定されています（メトロポリタン イーサネット ネットワークのDCHPリレー エージェントを参照）。

Switch# configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
Switch(config)# service dhcp
Switch(config)# ip dhcp relay information option
Switch(config)# interface vlan 10
Switch(config-if)# ip address 10.0.0.1 255.0.0.0
Switch(config-if)# ip helper-address 30.0.0.2
Switch(config-if)# exit
Switch(config)# interface range gigabitethernet0/1 - 2
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 10
Switch(config-if)# exit
 

DHCPスヌーピングおよびOption 82のイネーブル化

スイッチでDHCPスヌーピングをイネーブルにするには、イネーブルEXECモードで次の手順を実行します。

 

コマンド
説明

ステップ 1

configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 2

ip dhcp snooping

DHCPスヌーピングをグローバルにイネーブルにします。

ステップ 3

ip dhcp snooping vlan vlan-range

VLANまたはVLAN範囲でDHCPスヌーピングをイネーブルにします。指定できる範囲は1～4094です。

VLAN IDは、VLAN ID番号を特定してVLAN IDを単一で入力したり、カンマ区切りで一連のVLAN IDを入力したり、ハイフン区切りでVLAN IDの範囲を入力したり、スペース区切りで開始と終了のVLAN IDを入力してVLAN IDの範囲を入力したりできます。

ステップ 4

ip dhcp snooping information option

DHCPサーバへのDHCP要求メッセージ転送時の、DHCPリレー情報（Option 82フィールド）の挿入および削除をイネーブルにします。

デフォルトはイネーブルです。

ステップ 5

ip dhcp snooping information option format snmp-ifindex

（任意）Option 82機能の回線IDおよびリモートIDサブオプションの代替フォーマットを選択するには、 ip dhcp snooping information option format snmp-ifindex を指定します。詳細については、「旧ソフトウェア リリースからのアップグレード」を参照してください。

デフォルト設定は、 no ip dhcp snooping information option format snmp-ifindex です。

ステップ 6

ip dhcp snooping information option allow-untrusted

（任意）スイッチがエッジ スイッチに接続された集約スイッチの場合、スイッチをイネーブルにして、エッジ スイッチからのOption 82情報を持った着信DHCPスヌーピング パケットを受信します。

デフォルトはディセーブルです。

（注） 集約スイッチが信頼できるデバイスに接続されている場合のみ、このコマンドを入力する必要があります。

ステップ 7

interface interface-id

インターフェイス コンフィギュレーション モードを開始し、設定するインターフェイスを指定します。

ステップ 8

ip dhcp snooping trust

（任意）インターフェイスを信頼される状態または信頼されない状態として設定します。信頼されないクライアントからメッセージを受信するようインターフェイスを設定するには、 no キーワードを使用できます。デフォルトは信頼されない状態です。

ステップ 9

ip dhcp snooping limit rate rate

（任意）インターフェイスが1秒間に受信できるDHCPパケット数を設定します。指定できる範囲は1～4294967294です。デフォルトでは、レート制限は設定されていません。

（注） 100パケット/秒以下の信頼されないレート制限を推奨します。信頼されるインターフェイスにレート制限を設定した場合に、DHCPスヌーピングがイネーブルの複数のVLANにトランク ポートを割り当てると、レート制限の強化が必要なときがあります。

ステップ 10

exit

グローバル コンフィギュレーション モードに戻ります。

ステップ 11

ip dhcp snooping verify mac-address

（任意）信頼されないポートで受信されたDHCPパケットの送信元MACアドレスが、パケット内のクライアント ハードウェア アドレスと一致することを確認するように、スイッチを設定します。デフォルトは、送信元MACアドレスがパケット内のクライアント ハードウェア アドレスと一致することを確認します。

ステップ 12

end

イネーブルEXECモードに戻ります。

ステップ 13

show running-config

設定を確認します。

ステップ 14

copy running-config startup-config

（任意）コンフィギュレーション ファイルに設定を保存します。

DHCPスヌーピングをディセーブルにするには、 no ip dhcp snooping グローバル コンフィギュレーション コマンドを使用します。VLANまたはVLAN範囲のDHCPスヌーピングをディセーブルにするには、 no ip dhcp snooping vlan vlan-id グローバル コンフィギュレーション コマンドを使用します。Option 82フィールドの挿入および削除をディセーブルにするには、 no ip dhcp snooping information option グローバル コンフィギュレーション コマンドを使用します。エッジ スイッチからのOption 82情報を持った着信DHCPスヌーピング パケットを廃棄するように集約スイッチを設定するには、 no ip dhcp snooping information option allow-untrusted グローバル コンフィギュレーション コマンドを使用します。

次に、VLAN 10でDHCPスヌーピングをグローバルにイネーブルにし、ポートFastEthernet 0/1でレート制限を100パケット/秒に設定する例を示します。

Switch(config)# ip dhcp snooping
Switch(config)# ip dhcp snooping vlan 10
Switch(config)# ip dhcp snooping information option
Switch(config)# interface fastethernet0/1
Switch(config-if)# ip dhcp snooping limit rate 100

プライベートVLANでのDHCPスヌーピングのイネーブル化

プライベートVLANでDHCPスヌーピングをイネーブルにできます。DHCPスヌーピングがイネーブルの場合、設定はプライマリVLANおよび関連付けられているセカンダリVLANの両方に伝播します。DHCPスヌーピングがプライマリVLANでイネーブルの場合、セカンダリVLANでもイネーブルに設定されています。

DHCPスヌーピングがすでにプライマリVLANに設定されていてDHCPスヌーピングをセカンダリVLANでは異なるように設定した場合、セカンダリVLANの設定は有効になりません。DHCPスヌーピングをプライマリVLANに設定する必要があります。DHCPスヌーピングがプライマリVLANに設定されておらず、VLAN 200などのセカンダリVLANにDHCPスヌーピングを設定した場合、次のメッセージが表示されます。

2w5d:%DHCP_SNOOPING-4-DHCP_SNOOPING_PVLAN_WARNING:DHCP Snooping configuration may not take effect on secondary vlan 200. DHCP Snooping configuration on secondary vlan is derived from its primary vlan.
 

show ip dhcp snooping イネーブルEXECコマンド出力には、プライマリおよびセカンダリ プライベートVLANを含む、DHCPスヌーピングがイネーブルのすべてのVLANが表示されています。

Cisco IOS DHCPサーバ データベースのイネーブル化

Cisco IOS DHCPサーバ データベースをイネーブルにして設定する手順については『 Cisco IOS IP Configuration Guide』Release 12.2 の「Configuring DHCP」の章にある「DHCP Configuration Task List」を参照してください。

DHCPスヌーピング バインディング データベース エージェントのイネーブル化

スイッチでDHCPスヌーピング バインディング データベース エージェントをイネーブルにして設定するには、イネーブルEXECモードで次の手順を実行します。

 

コマンド
説明

ステップ 1

configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 2

ip dhcp snooping database { flash:/ filename | ftp:// user : password@host / filename |
http:// [[ username : password ]@]
{ hostname | host-ip }[/ directory ]
/ image-name .tar |
rcp:// user@host / filename }

次の形式のいずれかを使用して、データベース エージェントまたはバインディング ファイル用のURLを指定します。

• flash:/ filename

• ftp:// user : password @ host / filename

• http:// [[ username : password ]@]{ hostname | host-ip }[/ directory ] / image-name .tar

• rcp:// user @ host / filename

• tftp:// host / filename

ステップ 3

ip dhcp snooping database timeout seconds

バインディング データベースが変更されたあとに、データベース転送プロセスを停止する時間を指定します。

指定できる範囲は0～86400です。0を設定すると時間は無限になります。デフォルト値は300秒（5分）です。

ステップ 4

ip dhcp snooping database write-delay seconds

バインディング データベースが変更されたあとの転送が遅延する期間を指定します。指定できる範囲は15～86400秒です。デフォルト値は300秒（5分）です。

ステップ 5

end

イネーブルEXECモードに戻ります。

ステップ 6

ip dhcp snooping binding mac-address vlan vlan-id ip-address interface interface-id expiry seconds

（任意）DHCPスヌーピング バインディング データベースにバインディング エントリを追加します。 vlan-id に指定できる範囲は1～4904です。 seconds に指定できる範囲は1～4294967295です。

追加する各エントリに対してこのコマンドを入力します。

（注） スイッチをテストまたはデバッグする場合にこのコマンドを使用します。

ステップ 7

show ip dhcp snooping database [ detail ]

DHCPスヌーピング バインディング データベース エージェントのステータスと統計情報を表示します。

ステップ 8

copy running-config startup-config

（任意）コンフィギュレーション ファイルに設定を保存します。

データベース エージェントおよびバインディング ファイルの使用を停止するには、 no ip dhcp snooping database インターフェイス コンフィギュレーション コマンドを使用します。タイムアウト値または遅延値をリセットするには、 ip dhcp snooping database timeout seconds または ip dhcp snooping database write-delay seconds グローバル コンフィギュレーション コマンドを使用します。

DHCPスヌーピング バインディング データベース エージェントの統計情報をクリアするには、 clear ip dhcp snooping database statistics イネーブルEXECコマンドを使用します。データベースを更新するには、 renew ip dhcp snooping database イネーブルEXECコマンドを使用します。

DHCPスヌーピング バインディング データベースからエントリを削除するには、 no ip dhcp snooping binding mac-address vlan vlan-id ip-address interface interface-id イネーブルEXECコマンドを使用します。削除する各エントリに対してこのコマンドを入力します。

DHCP情報の表示

DHCPスヌーピング情報を表示するには、 表18-2 に示す1つまたは複数のイネーブルEXECコマンドを使用します。

 

表18-2 DHCP情報表示用のコマンド

コマンド
説明

show ip dhcp snooping

スイッチのDHCPスヌーピング設定を表示します。

show ip dhcp snooping binding

DHCPスヌーピング バインディング データベースにダイナミックに設定されたバインディングのみを表示します。4

show ip dhcp snooping database

DHCPスヌーピング バインディング データベースのステータスおよび統計情報を表示します。

show running-config

すべてのインターフェイスでのDHCP Option 82フィールドの挿入と削除のステータスを表示します。

4.DHCPスヌーピングがイネーブルの状態で、インターフェイスがダウン ステートに変わった場合、スイッチは手動設定したバインディングを削除しません。

IPソース ガードの概要

IPソース ガードは、DHCPスヌーピング バインディング データベースと手動で設定されたIPソース バインディングに基づいてトラフィックをフィルタリングすることで、非ルーテッド レイヤ2インターフェイス上のIPトラフィックを制限するセキュリティ機能です。IPソース ガードを使用して、ホストがネイバのIPアドレスを使用しようとした場合のトラフィック攻撃を回避できます。

DHCPスヌーピングが信頼できないインターフェイスでイネーブルの場合にIPソース ガードをイネーブルにできます。IPソース ガードがインターフェイスでイネーブルになったあと、スイッチは、DHCPスヌーピングで許可されたDHCPパケット以外の、インターフェイスで受信されたすべてのIPトラフィックをブロックします。ポートACLはインターフェイスに適用されます。ポートACLにより、IPソース バインディング テーブル内の送信元IPアドレスのIPトラフィックのみを許可し、他のトラフィックをすべて拒否できます。

IPソース バインディング テーブルには、DHCPスヌーピングで学習されたバインディング、または手動で設定されたバインディング（スタティックIPソース バインディング）があります。このテーブルのエントリにはIPアドレスと、関連MACアドレス、関連VLAN番号があります。スイッチは、IPソース ガードがイネーブルの場合にのみIPソース バインディング テーブルを使用します。

IPソース ガードは、アクセス ポートやトランク ポートなどのレイヤ2ポートでのみサポートされます。IPソース ガードを、送信元IPアドレス フィルタリングまたは送信元IPおよびMACアドレス フィルタリングとともに設定できます。

送信元IPアドレス フィルタリング

IPソース ガードがこのオプションでイネーブルの場合、IPトラフィックは送信元IPアドレスに基づいてフィルタリングされます。送信元IPアドレスがDHCPスヌーピング バインディング データベースのエントリまたはIPソース バインディング テーブル内のバインディングと一致した場合、スイッチはIPトラフィックを転送します。

DHCPスヌーピング バインディングまたはスタティックIPソース バインディングがインターフェイス上で追加、変更、または削除された場合、スイッチはIPソース バインディングを変更してポートACLを変更し、ポートACLをインターフェイスに再び適用します。

IPソース バインディング（DHCPスヌーピングでダイナミックに学習または手動で設定）が設定されていないインターフェイスでIPソース ガードをイネーブルにする場合、スイッチはインターフェイス上のすべてのIPトラフィックを拒否するポートACLを作成し、適用します。IPソース ガードをディセーブルにする場合、スイッチはポートACLをインターフェイスから削除します。

送信元IPおよびMACアドレス フィルタリング

IPソース ガードがこのオプションでイネーブルの場合、IPトラフィックは送信元IPアドレスおよびMACアドレスに基づいてフィルタリングされます。スイッチは、送信元IPアドレスおよびMACアドレスがIPソース バインディング テーブルのエントリと一致する場合にのみトラフィックを転送します。

送信元IPおよびMACアドレス フィルタリングがあるIPソース ガードがイネーブルの場合、スイッチはIPおよび非IPトラフィックをフィルタリングします。IPまたは非IPパケットの送信元MACアドレスが有効なIPソース バインディングと一致する場合、スイッチはパケットを転送します。スイッチは、DHCPパケット以外の他のすべてのタイプのパケットを廃棄します。

スイッチは、ポート セキュリティを使用して送信元MACアドレスをフィルタリングします。ポート セキュリティ違反が発生する場合にインターフェイスをシャット ダウンできます。

IPソース ガードの設定

ここでは、スイッチでIPソース ガードを設定する方法について説明します。

• 「IPソース ガードのデフォルト設定」

• 「IPソース ガード設定時の注意事項」

• 「IPソース ガードのイネーブル化」

• 「IPソース ガード情報の表示」

IPソース ガードのデフォルト設定

デフォルトでは、IPソース ガードはディセーブルに設定されています。

IPソース ガード設定時の注意事項

IPソース ガードの設定時の注意事項は次のとおりです

• 非ルーテッド ポートでのみスタティックIPバインディングを設定できます。 ip source binding mac-address vlan vlan-id ip-address interface interface-id グローバル コンフィギュレーション コマンドをルーテッド インターフェイスに入力した場合、次のエラー メッセージが表示されます。

Static IP source binding can only be configured on switch port.
 

• 送信元IPフィルタリングのあるIPソース ガードがVLANでイネーブルの場合、DHCPスヌーピングは、インターフェイスが属するアクセスVLAN上でイネーブルにする必要があります。

• 複数のVLANがあるトランク インターフェイスでIPソース ガードをイネーブルにして、DHCPスヌーピングがすべてのVLANでイネーブルの場合、送信元IPアドレス フィルタがすべてのVLANに適用されます。

（注） IPソース ガードがイネーブルで、トランク インターフェイス上のVLANでDHCPスヌーピングをイネーブルまたはディセーブルにする場合、スイッチが適切にトラフィックをフィルタリングしない場合があります。

• 送信元IPおよびMACアドレス フィルタリングのあるIPソース ガードがイネーブルの場合、DHCPスヌーピングおよびポート セキュリティはインターフェイス上でイネーブルにする必要があります。

• プライベートVLANが設定されているインターフェイスでIPソース ガードを設定する場合、ポート セキュリティはサポートされません。

• IPソース ガードはEtherChannelでサポートされません。

• IEEE 802.1Xポートベース認証がイネーブルである場合、この機能をイネーブルにできます。

• Ternary CAM（TCAM）エントリ数が使用可能な最大数を超えた場合、CPUの使用量が増加します。

IPソース ガードのイネーブル化

インターフェイス上でIPソース ガードをイネーブルにして設定するには、イネーブルEXECモードで次の手順を実行します。

 

コマンド
説明

ステップ 1

configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 2

interface interface-id

インターフェイス コンフィギュレーション モードを開始し、設定するインターフェイスを指定します。

ステップ 3

ip verify source

または

ip verify source port-security

送信元IPアドレス フィルタリングのあるIPソース ガードをイネーブルにします。

送信元IPおよびMACアドレス フィルタリングのあるIPソース ガードをイネーブルにします。

（注） ip verify source port-securityコマンドを使用してIPソース ガードとポート セキュリティ両方をイネーブルにする場合、次の注意事項があります。

• DHCPサーバはOption 82をサポートする必要があります。サポートしない場合、クライアントにはIPアドレスが与えられません。

• DHCPパケットのMACアドレスはセキュア アドレスとして学習されません。スイッチが非DHCPデータ トラフィックを受信した場合にのみ、DHCPクライアントのMACアドレスはセキュア アドレスとして学習されます。

ステップ 4

exit

グローバル コンフィギュレーション モードに戻ります。

ステップ 5

ip source binding mac-address vlan vlan-id ip-address inteface interface-id

スタティックIPソース バインディングを追加します。

各スタティック バインディングに対してこのコマンドを入力します。

ステップ 6

end

イネーブルEXECモードに戻ります。

ステップ 7

show ip verify source [ interface interface-id ]

すべてのインターフェイスまたは特定のインターフェイスに対して、IPソース ガード設定を表示します。

ステップ 8

show ip source binding [ ip-address ] [ mac-address ] [ dhcp-snooping | static ] [ interface interface-id ] [ vlan vlan-id ]

スイッチ、特定のVLAN、または特定のインターフェイス上のIPソース バインディングを表示します。

ステップ 9

copy running-config startup-config

（任意）コンフィギュレーション ファイルに設定を保存します。

送信元IPアドレス フィルタリングのあるIPソース ガードをディセーブルにするには、 no ip verify source インターフェイス コンフィギュレーション コマンドを使用します。

スタティックIPソース バインディング エントリを削除するには、 no ip source global コンフィギュレーション コマンドを使用します。

次に、送信元IPおよびMACフィルタリングのあるIPソース ガードをVLAN 10およびVLAN 11でイネーブルにする例を示します。

Switch# configure terminal

Enter configuration commands, one per line. End with CNTL/Z.

Switch(config)# interface gigabitethernet1/0/1

Switch(config-if)# ip verify source port-security

Switch(config-if)# exit

Switch(config)# ip source binding 0100.0022.0010 vlan 10 10.0.0.2 interface gigabitethernet1/0/1

Switch(config)# ip source binding 0100.0230.0002 vlan 11 10.0.0.4 interface gigabitethernet1/0/1

Switch(config)# end

 

IPソース ガード情報の表示

IPソース ガード情報を表示するには、 表18-3 に示す1つまたは複数のイネーブルEXECコマンドを使用します。

 

表18-3 IPソース ガード情報の表示用コマンド
コマンド
説明

show ip source binding

スイッチのIPソース バインディングを表示します。

show ip verify source

スイッチのIPソース ガード設定を表示します。