内容

概要

前提条件

要件

使用するコンポーネント

図

前の動作

新しい動作

DHCPプロキシクライアントの状態

確認

トラブルシュート

概要

このドキュメントでは、複数のDHCPサーバを持つDHCPプロキシクライアントとして機能する新しい適応型セキュリティアプライアンス(ASA)の動作について説明します。

前提条件

要件

このドキュメントに特有の要件はありません。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

- Cisco ASA 5500-Xシリーズ

- 9.2(1)および9.1(4)で導入された動作変更

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

図

前の動作

DHCPサーバのHAセットアップでASAがプロキシクライアントとして動作した場合のDHCP機能の古い設計の例を次に示します。

VPNクライアントに割り当てられたDHCPアドレスは、バックアップサーバーモデル – サーバーリストを使用しました。

- VPNクライアントが接続されると、ASAはリースを受信するか、リストを枯渇するまで、各DHCPサーバをシリアルで試行しました。

- 更新時期になると、レコードのサーバへの更新が試行されました。DHCP更新フェーズが失敗すると、DHCP再バインドフェーズに移行しました。ASAはバックアップアルゴリズムを使用しているため、同じ障害が発生したサーバとの再バインドのみが試行されました。

新しい動作

拡張CSCuc04072により、シスコはアルゴリズムをHAサーバモデル – サーバグループに変更しました。

クライアントの接続時：

- ASAはグループ内のすべてのサーバにDiscoverを送信します。

- ASAは、受信した最初のオファーを選択し、他のオファーをドロップします。

- アドレスを更新する必要がある場合は、リースサーバ（アドレスの取得元のサーバ）との更新を試みます。

- DHCPの更新が特定の回数の再試行の後に失敗すると、ステートマシンは事前に定義された期間の後にDHCPの再バインドフェーズに移行します。

- 再バインドフェーズでは、ASAはグループ内のすべてのサーバに対して要求を並行して送信します。HA環境では、リース情報が共有されるため、他のサーバがリースをACKし、ASAがバインド状態に戻ります。

注：再バインドフェーズでは、サーバリスト内のサーバから応答がない場合、ASAはパージ状態に移行し、その後、サーバが到達可能なインターフェイスに追加されたルールを削除します。

DHCPプロキシクライアントの状態

- DHCP Discover:この状態では、ASAはトンネルグループのサーバリスト内のサーバに検出パケットを送信します（serverは、トンネルグループのサーバリスト内のサーバを参照）。このサーバに到達可能なインターフェイスでクライアントが有効になっています。ルートがなく、クライアントが有効になっていないサーバは、検出パケットを送信しません。

- DHCP Offer:サーバからオファーが送信されます。ASAは、先着順、先着順にオファーを選択します。

- DHCP Request:ASAは、アドレスが選択されたサーバアドレスを含むパケットを生成し、このパケットをサーバに送信します（ルートが使用可能で、クライアントが有効）。 このパケットは、他のサーバが、パケットで指定されたサーバからアドレスが選択され、他のサーバへのNAKとして機能していることを識別するのに役立ちます。

- DHCPバインド：要求されたサーバ（DHCP要求状態のサーバ）からACKを受信すると、ASAはこの状態になります。

- DHCP更新：更新は、リース時間の半分が経過すると発生します。この状態の間、ASAはリースサーバ（クライアントにアドレスを提供したサーバ）に要求を送信します。 何らかの理由でリースサーバがダウンしている場合、ASAはリースサーバに対して4回再試行します。サーバが到達不能または応答しない場合、ASAは再バインド状態に移行します。

- DHCP再バインド：再バインドは、リース時間の7/8 が経過すると発生します。再バインド状態では、リスト内のすべてのサーバ（ルート使用可能およびクライアント使用可能）が要求を送信されます。リース・サーバがこの状態でダウンすると、リース中のサーバがリース・サーバと同期します（サーバ間でリースが同期されるサーバのHAセットアップ）。

確認

リースの詳細を表示するには、拡張showコマンドを使用して、プロキシとサーバのビューをフィルタします。

以前のCLIは次のとおりです。

show ip address <interface> dhcp lease

さらに強化され –

show ip address <interface> dhcp lease [proxy/server] [summary]

構文は次のとおりです。

show ip address <interface> dhcp lease [proxy/server] [summary]

execモードコマンド/オプション：

proxy IPLテーブルにプロキシエントリを表示する

serverIPLテーブルのサーバーエントリを表示する

summaryエントリの概要を表示

|出力修飾子

トラブルシュート

注：debug コマンドを使用する前に、「デバッグ コマンドの重要な情報」を参照してください。

debug dhcpc detail 255

debug dhcpc error 255

debug dhcpc packet 255