内容

概要

前提条件

要件

使用するコンポーネント

ステートフルDHCPv6とステートレスDHCPv6

ネットワーク図

DHCPv6とDHCPv4のメッセージタイプ

ステートレスDHCPv6リレー

コンフィギュレーション

パケット フロー

確認

デバッグ

Wiresharkのスナップショット

ステートフルDHCPv6

コンフィギュレーション

パケット フロー

確認

デバッグ

Wiresharkのスナップショット

トラブルシュート

DHCPリレー出力

リリースアドレス

デバッグ

関連情報

関連するシスコ サポート コミュニティ ディスカッション

概要

このドキュメントでは、Cisco適応型セキュリティアプライアンス(ASA)をDHCPv6リレーエージェントとして設定する方法と、いくつかの基本的なトラブルシューティングについて説明します。ASAコードバージョン9.0以降では、ASAは

前提条件

要件

次の項目に関する知識があることが推奨されます。

- IPv6の基本概念

- IPv6アドレッシングメカニズム

- DHCPv6パケットフロー

- DHCPリレーの概念

使用するコンポーネント

このドキュメントの情報は、ASA 5500バージョン9.1.2に基づくものです。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

ステートフルDHCPv6とステートレスDHCPv6

IPv6のさまざまなアドレス割り当て方法を理解していれば、DHCPv6リレー機能がASAでどのように動作するかを理解するのに役立ちます。ステートレスアドレス自動設定(SLAAC)およびDHCPv6の概要については、「SLAACおよびDHCPを使用したIPv6での動的アドレス割り当て」を参照してください。

ネットワーク図

この設定例では、ASAをDHCPv6リレーエージェントとして設定する方法について説明します。この設定では、CLIENTはIPv6クライアントが接続されているインターフェイスです。SERVERは、DHCPv6サーバ2001:db8:200:2/64に到達できるインターフェイスです。

DHCPv6とDHCPv4のメッセージタイプ

ステートレスDHCPv6リレー

コンフィギュレーション

ASAでのステートレスDHCPv6リレー設定の基本設定を次に示します。

interface GigabitEthernet0/1

nameif CLIENT

security-level 100

ipv6 address 2001:db8:100::1/64

ipv6 enable

ipv6 nd other-config-flag

!

interface GigabitEthernet0/0

nameif SERVER

security-level 0

ipv6 address 2001:db8:200:1/64

ipv6 enable

!

ipv6 dhcprelay server 2001:db8:200:2 inside

ipv6 dhcprelay enable outside

パケット フロー

ステートレスDHCPv6では、クライアントからのパケットフローを次に示します。

ASAはこれらのパケットをインターセプトし、DHCPリレー形式にラップします。

確認

デバッグ

debug ipv6 dhcprelayとdebug ipv6 dhcpを有効にすると、関連する出力が画面に表示されます。次の出力は、動作シナリオから得られたものです。

IPv6 DHCP: Received INFORMATION-REQUEST from fe80::c671:feff:fe93:b51a on CLIENT

IPv6 DHCP: detailed packet contents

src fe80::c671:feff:fe93:b51a (CLIENT)

dst ff02::1:2

type INFORMATION-REQUEST(11), xid 1588088

option ELAPSED-TIME(8), len 2

elapsed-time 0

option CLIENTID(1), len 10

00030001c471fe93b516

option ORO(6), len 6

DNS-SERVERS,DOMAIN-LIST,UNKNOWN

IPv6 DHCP_RELAY: Relaying INFORMATION-REQUEST from fe80::c671:feff:fe93:b51a on CLIENT

IPv6 DHCP_RELAY: Creating relay binding for fe80::c671:feff:fe93:b51a at interface CLIENT

IPv6 DHCP_RELAY:   to 2001:db8:200::2 via 2001:db8:200::2 using SERVER

IPv6 DHCP: Sending RELAY-FORWARD to 2001:db8:200::2 on SERVER

IPv6 DHCP: detailed packet contents

src 2001:db8:200::1

dst 2001:db8:200::2 (SERVER)

type RELAY-FORWARD(12), hop 0

link 2001:db8:100::1

peer fe80::c671:feff:fe93:b51a

option RELAY-MSG(9), len 34

type INFORMATION-REQUEST(11), xid 1588088

option ELAPSED-TIME(8), len 2

elapsed-time 0

option CLIENTID(1), len 10

00030001c471fe93b516

option ORO(6), len 6

DNS-SERVERS,DOMAIN-LIST,UNKNOWN

option INTERFACE-ID(18), len 4

0x00000015

IPv6 DHCP: Received RELAY-REPLY from 2001:db8:200::2 on SERVER

IPv6 DHCP: detailed packet contents

src 2001:db8:200::2 (SERVER)

dst 2001:db8:200::1

type RELAY-REPLY(13), hop 0

link 2001:db8:100::1

peer fe80::c671:feff:fe93:b51a

option RELAY-MSG(9), len 67

type REPLY(7), xid 1588088

option SERVERID(2), len 10

00030001002414a33c94

option CLIENTID(1), len 10

00030001c471fe93b516

option DNS-SERVERS(23), len 16

2001:db8:1000::1

option DOMAIN-LIST(24), len 11

cisco.com

option INTERFACE-ID(18), len 4

0x00000015

IPv6 DHCP_RELAY: Relaying RELAY-REPLY from 2001:db8:200::2 on SERVER

IPv6 DHCP_RELAY:   relayed msg: REPLY

IPv6 DHCP_RELAY:   to fe80::c671:feff:fe93:b51a

IPv6 DHCP: Sending REPLY to fe80::c671:feff:fe93:b51a on CLIENT

IPv6 DHCP: detailed packet contents

src fe80::219:7ff:fe24:2e44

dst fe80::c671:feff:fe93:b51a (CLIENT)

type REPLY(7), xid 1588088

option SERVERID(2), len 10

00030001002414a33c94

option CLIENTID(1), len 10

00030001c471fe93b516

option DNS-SERVERS(23), len 16

2001:db8:1000::1

option DOMAIN-LIST(24), len 11

cisco.com

INFORMATION-REQUEST要求パケットでは、クライアントはDNS-ServerとDomainのみを要求します。これは、クライアントがステートレスDHCPv6用に設定されているために予想されます。

Wiresharkのスナップショット

DHCPクライアント要求

ASAによってリレーされたDHCP要求

サーバからのDHCP応答

クライアントに転送された応答

ステートフルDHCPv6

コンフィギュレーション

ASAでのステートフルDHCPv6リレー設定の基本設定を次に示します。

interface GigabitEthernet0/1

nameif CLIENT

security-level 100

ipv6 address 2001:db8:100::1/64

ipv6 enable

!

interface GigabitEthernet0/0

nameif SERVER

security-level 0

ipv6 address 2001:db8:200:1/64

ipv6 enable

!

ipv6 dhcprelay server 2001:db8:200:2 inside

ipv6 dhcprelay enable outside

パケット フロー

ステートフルDHCPv6では、クライアントからのパケットフローを次に示します。

ASAはこれらのパケットをインターセプトし、DHCPリレー形式にラップします。

確認

デバッグ

IPv6 DHCP: Received SOLICIT from fe80::c671:feff:fe93:b51a on CLIENT

IPv6 DHCP: detailed packet contents

src fe80::c671:feff:fe93:b51a (CLIENT)

dst ff02::1:2

type SOLICIT(1), xid 2490681

option ELAPSED-TIME(8), len 2

elapsed-time 0

option CLIENTID(1), len 10

00030001c471fe93b516

option ORO(6), len 4

DNS-SERVERS,DOMAIN-LIST

option IA-NA(3), len 12

IAID 0x00040001, T1 0, T2 0

IPv6 DHCP_RELAY: Relaying SOLICIT from fe80::c671:feff:fe93:b51a on CLIENT

IPv6 DHCP_RELAY: Creating relay binding for fe80::c671:feff:fe93:b51a at interface CLIENT

IPv6 DHCP_RELAY:   to 2001:db8:200::2 via 2001:db8:200::2 using SERVER

IPv6 DHCP: Sending RELAY-FORWARD to 2001:db8:200::2 on SERVER

IPv6 DHCP: detailed packet contents

src 2001:db8:200::1

dst 2001:db8:200::2 (SERVER)

type RELAY-FORWARD(12), hop 0

link 2001:db8:100::1

peer fe80::c671:feff:fe93:b51a

option RELAY-MSG(9), len 48

type SOLICIT(1), xid 2490681

option ELAPSED-TIME(8), len 2

elapsed-time 0

option CLIENTID(1), len 10

00030001c471fe93b516

option ORO(6), len 4

DNS-SERVERS,DOMAIN-LIST

option IA-NA(3), len 12

IAID 0x00040001, T1 0, T2 0

option INTERFACE-ID(18), len 4

0x00000015

IPv6 DHCP: Received RELAY-REPLY from 2001:db8:200::2 on SERVER

IPv6 DHCP: detailed packet contents

src 2001:db8:200::2 (SERVER)

dst 2001:db8:200::1

type RELAY-REPLY(13), hop 0

link 2001:db8:100::1

peer fe80::c671:feff:fe93:b51a

option RELAY-MSG(9), len 111

type ADVERTISE(2), xid 2490681

option SERVERID(2), len 10

00030001002414a33c94

option CLIENTID(1), len 10

00030001c471fe93b516

option IA-NA(3), len 40

IAID 0x00040001, T1 43200, T2 69120

option IAADDR(5), len 24

IPv6 address 2001:db8:300:0:48ae:5f5d:8290:e926

preferred INFINITY, valid INFINITY

option DNS-SERVERS(23), len 16

2001:db8:1000::1

option DOMAIN-LIST(24), len 11

cisco.com

option INTERFACE-ID(18), len 4

0x00000015

IPv6 DHCP_RELAY: Relaying RELAY-REPLY from 2001:db8:200::2 on SERVER

IPv6 DHCP_RELAY:   relayed msg: ADVERTISE

IPv6 DHCP_RELAY:   to fe80::c671:feff:fe93:b51a

IPv6 DHCP: Sending ADVERTISE to fe80::c671:feff:fe93:b51a on CLIENT

IPv6 DHCP: detailed packet contents

src fe80::219:7ff:fe24:2e44

dst fe80::c671:feff:fe93:b51a (CLIENT)

type ADVERTISE(2), xid 2490681

option SERVERID(2), len 10

00030001002414a33c94

option CLIENTID(1), len 10

00030001c471fe93b516

option IA-NA(3), len 40

IAID 0x00040001, T1 43200, T2 69120

option IAADDR(5), len 24

IPv6 address 2001:db8:300:0:48ae:5f5d:8290:e926

preferred INFINITY, valid INFINITY

option DNS-SERVERS(23), len 16

2001:db8:1000::1

option DOMAIN-LIST(24), len 11

cisco.com

IPv6 DHCP: Received REQUEST from fe80::c671:feff:fe93:b51a on CLIENT

IPv6 DHCP: detailed packet contents

src fe80::c671:feff:fe93:b51a (CLIENT)

dst ff02::1:2

type REQUEST(3), xid 2492842

option ELAPSED-TIME(8), len 2

elapsed-time 0

option CLIENTID(1), len 10

00030001c471fe93b516

option ORO(6), len 4

DNS-SERVERS,DOMAIN-LIST

option SERVERID(2), len 10

00030001002414a33c94

option IA-NA(3), len 40

IAID 0x00040001, T1 0, T2 0

option IAADDR(5), len 24

IPv6 address 2001:db8:300:0:48ae:5f5d:8290:e926

preferred INFINITY, valid INFINITY

IPv6 DHCP_RELAY: Relaying REQUEST from fe80::c671:feff:fe93:b51a on CLIENT

IPv6 DHCP_RELAY:   to 2001:db8:200::2 via 2001:db8:200::2 using SERVER

IPv6 DHCP: Sending RELAY-FORWARD to 2001:db8:200::2 on SERVER

IPv6 DHCP: detailed packet contents

src 2001:db8:200::1

dst 2001:db8:200::2 (SERVER)

type RELAY-FORWARD(12), hop 0

link 2001:db8:100::1

peer fe80::c671:feff:fe93:b51a

option RELAY-MSG(9), len 90

type REQUEST(3), xid 2492842

option ELAPSED-TIME(8), len 2

elapsed-time 0

option CLIENTID(1), len 10

00030001c471fe93b516

option ORO(6), len 4

DNS-SERVERS,DOMAIN-LIST

option SERVERID(2), len 10

00030001002414a33c94

option IA-NA(3), len 40

IAID 0x00040001, T1 0, T2 0

option IAADDR(5), len 24

IPv6 address 2001:db8:300:0:48ae:5f5d:8290:e926

preferred INFINITY, valid INFINITY

option INTERFACE-ID(18), len 4

0x00000015

IPv6 DHCP: Received RELAY-REPLY from 2001:db8:200::2 on SERVER

IPv6 DHCP: detailed packet contents

src 2001:db8:200::2 (SERVER)

dst 2001:db8:200::1

type RELAY-REPLY(13), hop 0

link 2001:db8:100::1

peer fe80::c671:feff:fe93:b51a

option RELAY-MSG(9), len 111

type REPLY(7), xid 2492842

option SERVERID(2), len 10

00030001002414a33c94

option CLIENTID(1), len 10

00030001c471fe93b516

option IA-NA(3), len 40

IAID 0x00040001, T1 43200, T2 69120

option IAADDR(5), len 24

IPv6 address 2001:db8:300:0:48ae:5f5d:8290:e926

preferred INFINITY, valid INFINITY

option DNS-SERVERS(23), len 16

2001:db8:1000::1

option DOMAIN-LIST(24), len 11

cisco.com

option INTERFACE-ID(18), len 4

0x00000015

IPv6 DHCP_RELAY: Relaying RELAY-REPLY from 2001:db8:200::2 on SERVER

IPv6 DHCP_RELAY:   relayed msg: REPLY

IPv6 DHCP_RELAY:   to fe80::c671:feff:fe93:b51a

IPv6 DHCP: Sending REPLY to fe80::c671:feff:fe93:b51a on CLIENT

IPv6 DHCP: detailed packet contents

src fe80::219:7ff:fe24:2e44

dst fe80::c671:feff:fe93:b51a (CLIENT)

type REPLY(7), xid 2492842

option SERVERID(2), len 10

00030001002414a33c94

option CLIENTID(1), len 10

00030001c471fe93b516

option IA-NA(3), len 40

IAID 0x00040001, T1 43200, T2 69120

option IAADDR(5), len 24

IPv6 address 2001:db8:300:0:48ae:5f5d:8290:e926

preferred INFINITY, valid INFINITY

option DNS-SERVERS(23), len 16

2001:db8:1000::1

option DOMAIN-LIST(24), len 11

cisco.com

Wiresharkのスナップショット

SOLICIT(1)

DHCPv6クライアントは、DHCPv6サーバを見つけるためにSolicitメッセージを送信します。

ASAはSolicitメッセージをリレーします。

ADVERTISE(2)

サーバは、クライアントから受信したSolicitメッセージに応答して、DHCPサービスで使用可能であることを示すためにAdvertiseメッセージを送信します。

リクエスト(3)

クライアントは、IPアドレスまたは委任されたプレフィックスを含む設定パラメータを特定のサーバから要求するために、要求メッセージを送信します。

REPLY(7)

サーバは、クライアントから受信したSolicit、Request、Renew、またはRebindメッセージへの応答として、割り当てられたアドレスと設定パラメータを含む応答メッセージを送信します。サーバは、情報要求メッセージへの応答として、設定パラメータを含む応答メッセージを送信します。サーバは、クライアントに割り当てられたアドレスがクライアントが接続されているリンクに適切であることを確認または拒否する確認メッセージに応答して、応答メッセージを送信します。サーバは、ReleaseメッセージまたはDeclineメッセージの受信を確認するためにReplyメッセージを送信します。

トラブルシュート

DHCPv6サーバとの接続を確認します。

ciscoasa# show ipv6 neighbor

IPv6 Address                              Age Link-layer Addr State Interface

2001:db8:200::2                             0 0024.14a3.3c98  REACH SERVER

クライアントがIPv6アドレスを要求するときに、クライアントからパケットを受信したことを確認します。クライアントから送信されるパケットは、アドレス割り当て設定（ステートフルとステートレス）によって異なります。

クライアントはDHCPv6プロセスを開始すると、リンク上のIPv6ルータの存在を検出するためにRouter Solicitメッセージを送信します。IPv6ルータに応答を求めるために、マルチキャストルータ要求メッセージを送信します。ルータ送信要求メッセージのイーサネットヘッダーには、次のフィールドが表示されます。

- [Source Address]フィールドは、IPv6アドレスを要求するホストのMACアドレスです。

- [Destination Address]フィールドは33-33-00-00-00-02に設定されています。

ルータ送信要求メッセージのIPv6ヘッダーに、次のフィールドが表示されます。

- [送信元アドレス(Source Address)]フィールドは、送信元インターフェイスに割り当てられたリンクローカルIPv6アドレスまたはIPv6未指定アドレス(::)のいずれかに設定されます。

- [宛先アドレス(Destination Address)]フィールドは、リンクローカルスコープの全ルータマルチキャストアドレス(FF02::2)に設定されます。

- [Hop Limit]フィールドは255に設定されています。

応答では、IPv6ルータは未承諾のルータアドバタイズメントメッセージを送信します。ルータアドバタイズメントメッセージには、リンクプレフィックス、最大伝送ユニット(MTU)、および特定のルートを決定するためにホストが必要とする情報が含まれます。

ciscoasa(config)# show capture capin detail

fe80::c671:feff:fe93:b51a.546 > ff02::1:2.547:  [udp sum ok] udp 42

[hlim 255] (len 100)---->Request from client

fe80::219:7ff:fe24:2e44.547 > fe80::c671:feff:fe93:b51a.546:  [udp sum ok]

udp 75 [class 0xe0] (len 133, hlim 255)

ciscoasa(config)# show capture capout detail

2 packets captured

1: 12:06:52.700799       2001:db8:200:1.547 > 2001:db8:200:2.547:  udp 88

[class 0xe0]---->ASA forwards request to DHCPv6 router

2: 12:06:53.289047      2001:db8:200:2.547 > 2001:db8:200:1.547:  udp 121

[class 0xe0]----> Reply from DHCPV6 server.

DHCPリレー出力

ciscoasa# show ipv6 dhcprelay binding

1 in use, 1 most used

Client: fe80::c671:feff:fe93:b51a (CLIENT)

DUID: 00030001c471fe93b516, Timeout in 56 seconds

注：バインディングは、短期間でASAによって削除されます。debug ipv6 dhcprelayで確認できます。

IPv6 DHCP_RELAY: Deleting binding for fe80::c671:feff:fe93:b51a at interface CLIENT

ciscoasa# show ipv6 dhcprelay statistics

Relay Messages:

SOLICIT                                       2

ADVERTISE                                     2

REQUEST                                       2

CONFIRM                                       0

RENEW                                         0

REBIND                                        0

REPLY                                         9

RELEASE                                       1

DECLINE                                       0

RECONFIGURE                                   0

INFORMATION-REQUEST                           6

RELAY-FORWARD                                 11

RELAY-REPLY                                   11

Relay Errors:

Malformed message:                            0

Block allocation/duplication failure:         0

Hop count limit exceeded:                     0

Forward binding creation failure:             0

Reply binding lookup failure:                 0

No output route:                              0

Conflict relay server route:                  0

Failed to add server input rule:              0

Unit or context is not active:                0

Total Relay Bindings Created:                   8

リリースアドレス

クライアントは、ネットワークに対してDHCPv6割り当てアドレスを使用した後で、DHCPv6割り当てアドレスを解放できます。次のセクションでは、ステートフルDHCPv6のアドレスリリースに関連するデバッグ出力を示します。

デバッグ

IPv6 DHCP: Received RELEASE from fe80::c671:feff:fe93:b51a on CLIENT

IPv6 DHCP: detailed packet contents

src fe80::c671:feff:fe93:b51a (CLIENT)

dst ff02::1:2

type RELEASE(8), xid 3180815

option ELAPSED-TIME(8), len 2

elapsed-time 0

option CLIENTID(1), len 10

00030001c471fe93b516

option SERVERID(2), len 10

00030001002414a33c94

option IA-NA(3), len 40

IAID 0x00040001, T1 0, T2 0

option IAADDR(5), len 24

IPv6 address 2001:db8:300:0:48ae:5f5d:8290:e926

preferred INFINITY, valid INFINITY

IPv6 DHCP_RELAY: Relaying RELEASE from fe80::c671:feff:fe93:b51a on CLIENT

IPv6 DHCP_RELAY: Creating relay binding for fe80::c671:feff:fe93:b51a at interface CLIENT

IPv6 DHCP_RELAY:   to 2001:db8:200::2 via 2001:db8:200::2 using SERVER

IPv6 DHCP: Sending RELAY-FORWARD to 2001:db8:200::2 on SERVER

IPv6 DHCP: detailed packet contents

src 2001:db8:200::1

dst 2001:db8:200::2 (SERVER)

type RELAY-FORWARD(12), hop 0

link 2001:db8:100::1

peer fe80::c671:feff:fe93:b51a

option RELAY-MSG(9), len 82

type RELEASE(8), xid 3180815

option ELAPSED-TIME(8), len 2

elapsed-time 0

option CLIENTID(1), len 10

00030001c471fe93b516

option SERVERID(2), len 10

00030001002414a33c94

option IA-NA(3), len 40

IAID 0x00040001, T1 0, T2 0

option IAADDR(5), len 24

IPv6 address 2001:db8:300:0:48ae:5f5d:8290:e926

preferred INFINITY, valid INFINITY

option INTERFACE-ID(18), len 4

0x00000015

IPv6 DHCP: Received RELAY-REPLY from 2001:db8:200::2 on SERVER

IPv6 DHCP: detailed packet contents

src 2001:db8:200::2 (SERVER)

dst 2001:db8:200::1

type RELAY-REPLY(13), hop 0

link 2001:db8:100::1

peer fe80::c671:feff:fe93:b51a

option RELAY-MSG(9), len 45

type REPLY(7), xid 3180815

option SERVERID(2), len 10

00030001002414a33c94

option CLIENTID(1), len 10

00030001c471fe93b516

option STATUS-CODE(13), len 9

status code SUCCESS(0)

status message: SUCCESS

option INTERFACE-ID(18), len 4

0x00000015

IPv6 DHCP_RELAY: Relaying RELAY-REPLY from 2001:db8:200::2 on SERVER

IPv6 DHCP_RELAY:   relayed msg: REPLY

IPv6 DHCP_RELAY:   to fe80::c671:feff:fe93:b51a

IPv6 DHCP: Sending REPLY to fe80::c671:feff:fe93:b51a on CLIENT

IPv6 DHCP: detailed packet contents

src fe80::219:7ff:fe24:2e44

dst fe80::c671:feff:fe93:b51a (CLIENT)

type REPLY(7), xid 3180815

option SERVERID(2), len 10

00030001002414a33c94

option CLIENTID(1), len 10

00030001c471fe93b516

option STATUS-CODE(13), len 9

status code SUCCESS(0)

status message: SUCCESS

関連情報

各種 DHCP オプションについて

ASA DHCP リレーの設定例

Ipv6 トラフィックを通過させるための ASA の設定

CLI および ASDM を使用した ASA パケット キャプチャの設定例