DHCPスヌーピングは何を防御するのですか？

DHCPスヌーピングは、主に誤ったゲートウェイやDNS設定を配布する不正なDHCPサーバーから保護するものです。また、クライアントのアドレスチェックやレート制限を通じて、DHCPスターベーションの試みを抑制することもできます。DHCPスヌーピングによって構築されるバインディングテーブルは、その他のレイヤ2防御策をサポートします。

DHCPスヌーピングとは何ですか？

この用語は、スイッチがDHCPトラフィックを監視（スヌーピング）し、どのポートがサーバーとして機能できるかを制御することを指します。スイッチ自体はDHCPサーバーとして機能しません。メッセージの許可または拒否を行い、リースを記録するのみです。

DHCPスヌーピングはDHCPリレーエージェントでも機能しますか？

はい、クライアントがリレーエージェントを経由してサーバーに到達する場合でも、スヌーピングは機能します。リレーまたはサーバーへのポートは信頼対象として設定する必要があります。リレー情報オプションの処理は、パス全体を通じて一貫している必要があります。

DHCPスヌーピングにおいて、どのポートを信頼すべきですか？

アップリンクなど、正規のDHCPサーバーまたはリレーエージェントにつながるポートのみを信頼してください。クライアントに面したポートは信頼しないままにしておいてください。余分なポートを信頼すると、保護機能が弱まります。

用語集
DHCPスヌーピングとは？

セキュリティ用語集

DHCPスヌーピングとは？

DHCPスヌーピングは、スイッチ上でDHCPメッセージをフィルタリングし、不正なDHCPサーバーによるIPアドレスの割り当てをブロックするレイヤ2のセキュリティ制御です。ポートを「信頼済み」または「信頼不可」に分類し、クライアントのMACアドレスをリースされたIPアドレス、VLAN、およびポートにマッピングするバインディングテーブルを構築します。

DDIをシンプルにしましょう

Abstract isometric UI showing network ranges, usage bars, region names (EMEA/APAC), and a purple "Deploy" button

主なポイント

DHCPスヌーピングは、ネットワークスイッチ上でDHCPメッセージをフィルタリングし、不正なDHCPサーバーがクライアントに誤ったゲートウェイやDNS設定を配布するのを阻止する、レイヤー2のセキュリティ制御です。この機能は、スイッチポートを「信頼済み」または「信頼不可」に分類し、DHCPトラフィックを検査するとともに、クライアントのMACアドレスを割り当てられたIPアドレス、リース時間、VLAN、およびポートにマッピングするバインディングテーブルを維持します。このバインディングテーブルにより、動的ARP検査やIPソースガードなどの関連するレイヤー2保護機能が有効になりますが、アップリンクを「信頼できない」状態に放置したり、リロード後にバインディングテーブルが失われたり、リレーオプションの処理に一貫性がなかったりするといった一般的な設定ミスが原因で、正当なクライアントがアドレスを取得できなくなる可能性があります。

DHCPスヌーピングは、信頼できないポートに到着するサーバーメッセージをフィルタリングし、DHCPリクエスト内のクライアントのハードウェアアドレスがフレームの送信元MACアドレスと一致することを検証することで、偽造アドレスを用いた枯渇攻撃を制限することができます。
DHCPスヌーピングによって生成されるバインディングテーブルには、クライアントのMACアドレス、割り当てられたIPアドレス、リース時間、VLAN、およびポートが記録されます。動的ARP検査やIPソースガードなどの他のレイヤー2保護機能は、このテーブルに依存して、有効なリースと一致しないトラフィックをドロップします。
静的IPアドレスのホストおよびDHCPリレーの展開には手動設定が必要です。静的デバイスにはバインディングエントリを手動で追加する必要があり、また、正当なクライアントのリース失敗を防ぐために、リレーパスはすべてのスイッチでDHCPオプション82を一貫して処理する必要があります。

DHCPスヌーピングの概要

Attribute	Value
Category	Security control
Protocol and port	Inspects DHCP messages, which use UDP ports 67 and 68
OSI layer	Layer 2, with inspection of Layer 3 and 4 DHCP fields
Primary use	Blocking rogue DHCP servers and building a table of valid lease bindings
Related terms	DHCP, Rogue DHCP server, Dynamic ARP inspection, IP source guard, DHCP relay, DHCP option 82

DHCPスヌーピングの仕組み

DHCPスヌーピングが有効になっているスイッチは、この機能が有効になっているVLAN内のDHCPパケットを検査します。管理者は各ポートを「信頼済み」または「信頼不可」として指定し、スイッチはそれぞれに異なるルールを適用します。

信頼済みポートの指定：管理者は、正規のDHCPサーバーまたはリレーエージェントにつながるポートを「信頼済み」としてマークします。それ以外のすべてのポート（通常はクライアントデバイスに面しているポート）は、信頼されていないままとなります。
サーバーメッセージのフィルタリング：スイッチは、信頼されていないポートに到達したオファーや確認応答などのDHCPサーバーメッセージを破棄します。これにより、アクセスポート上の不正なサーバーがクライアントに応答することを防ぎます。
クライアントメッセージの検査：信頼されていないポートでは、スイッチはDHCPリクエスト内のクライアントのハードウェアアドレスが、フレームの送信元MACアドレスと一致しているかどうかを確認できます。これにより、偽造アドレスを使用する一部の枯渇攻撃を制限できます。
バインディングテーブルの構築：クライアントが有効なリースを受信すると、スイッチはクライアントのMACアドレス、割り当てられたIPアドレス、リース時間、VLAN、およびポートをバインディングテーブルに記録します。
バインディングの適用：バインディングテーブルは、動的ARP検査やIPソースガードなどの関連機能によって使用され、既知のリースと一致しないトラフィックをドロップします。

スヌーピングでは、クライアントや正規のサーバーの認証は行われません。レート制限、オプション82の挿入、バインディングテーブルの永続化などの動作は、スイッチのベンダーや設定によって異なります。

企業ネットワークにおいてDHCPスヌーピングが重要な理由

不正なDHCPサーバーとは、設定ミスのあるルーター、オフィスのジャックに接続された家庭用ゲートウェイ、あるいは意図的な攻撃などです。そのオファーを受け入れたクライアントは、誤ったゲートウェイやDNSサーバーを割り当てられる可能性があり、これがサービス停止を引き起こしたり、攻撃者によるトラフィックのリダイレクトや傍受を許すことになります。DHCPはブロードキャストベースであり、クライアントは最初に受信した適切なオファーを受け入れるため、ネットワークはクライアントが正しいサーバーを選択することを期待することはできません。

DHCPスヌーピングは、問題の発生源であるアクセス層でこの課題に対処します。また、他のレイヤ2保護機能が依存するバインディングテーブルも生成します。ダイナミックARPインスペクションやIPソースガードは、これらのレコードを使用してARPスプーフィングや偽造された送信元アドレスをブロックするため、適切に管理された単一のテーブルで複数の制御機能を実現できます。

設定の不備は、それ自体が障害の原因となります。実際のサーバーや中継装置へのアップリンクが信頼対象外のまま放置されると、正当なオファーが破棄され、クライアントはアドレスを取得できなくなります。また、スイッチの再起動後にバインディングテーブルが失われ、復元されない場合、それに依存する保護機能が有効なホストをブロックしてしまう可能性があります。静的アドレスを持つホストには手動でのバインディングエントリが必要であり、リレーを展開する場合は、スイッチ間でオプション82の処理を統一する必要があります。

DHCPスヌーピングと関連用語との比較

DHCPスヌーピングと不正DNSサーバー

DHCPスヌーピングは、不正なDHCPサーバーをブロックするスイッチの制御機能です。一方、不正DNSサーバーとは、名前解決のクエリに応答する不正なリゾルバーのことで、多くの場合、攻撃者によってインストールされるか、不正なDHCPサーバーを介してクライアントに押し付けられます。不正DNSサーバーとは？

Attribute	DHCP snooping	Rogue DNS server
Type	Preventive control on a switch	Unauthorized server or threat
Protocol involved	DHCP	DNS
Where it acts	Access layer ports and VLANs	Anywhere clients can reach it
Relationship	Can stop clients from receiving a rogue DNS address in a DHCP offer	Can be delivered to clients through a rogue DHCP server

DHCPスヌーピングとACL（アクセス制御リスト）の比較

DHCPスヌーピングはDHCPメッセージの種類を認識し、バインディングテーブルでリースを追跡しますが、ACLはアドレスやポートなどの静的なヘッダーフィールドに基づいてパケットを照合します。ACLとは何ですか？

Attribute	DHCP snooping	ACL (Access Control List)
Awareness of DHCP	Inspects DHCP messages and tracks leases	Matches fixed header fields only
State	Builds a binding table	Stateless in its basic form
Configuration unit	Trusted and untrusted ports per VLAN	Ordered permit and deny rules

DHCPスヌーピングの一般的な問題

DHCP サーバーまたはリレーへのポートが「信頼済み」としてマークされていない場合、スイッチは正当なオファーや確認応答を破棄します。その結果、クライアントは IP アドレスを取得できなくなりますが、これは多くの場合、スヌーピングが新たに有効化された VLAN でのみ発生します。

バインディングテーブルがメモリ内のみで保持されている場合、スイッチの再起動によってテーブルがクリアされ、それに依存する機能は、有効なクライアントが更新を行うまでそのクライアントをブロックしてしまう可能性があります。プラットフォームがサポートしている場合は、テーブルを永続ストレージに保存することで、この問題を軽減できます。

一部のスイッチでは、デフォルトでクライアントのリクエストに中継情報が挿入されます。上流の中継サーバーやサーバーが、一致する中継アドレスを持たないパケットを拒否すると、クライアントはリースに失敗します。スイッチと中継経路全体でオプション設定を統一してください。

静的IPアドレスを持つデバイスは、バインディングテーブルに決して表示されません。ARPインスペクションやソースガードがそのテーブルに依存している場合、静的エントリが追加されない限り、それらのトラフィックは破棄されます。

信頼されていないポートで DHCP パケットのレート制限を低く設定しすぎると、多数のクライアントが同時に起動するなどの正当なトラフィックの急増時に、そのポートがエラー無効状態になる可能性があります。ポートは、手動またはタイマーによって回復されるまでダウンしたままになります。

統合型DDIがネットワーク運用をいかに簡素化するかを参照

自動化、可視性、制御機能が組み込まれた単一のプラットフォームから、DNS、DHCP、IPアドレスを管理できます。

お問い合わせ

インテリジェント・ネットワーク

DHCPスヌーピングとは？

DDIの簡素化を始めませんか？

DHCPスヌーピングの概要

DHCPスヌーピングの仕組み

企業ネットワークにおいてDHCPスヌーピングが重要な理由

DHCPスヌーピングと関連用語との比較

DHCPスヌーピングと不正DNSサーバー

DHCPスヌーピングとACL（アクセス制御リスト）の比較

DHCPスヌーピングの一般的な問題

統合型DDIがネットワーク運用をいかに簡素化するかを参照

DHCPスヌーピングに関するよくある質問

関連用語

組織のネットワーク向けに、ガバナンスが確立され、監査対応可能なIPAMワークフローおよび承認モデルを構築する

OSIモデルの理解：7層構造におけるDNSとIPアドレスの位置づけ

IPv6 およびデュアルスタック企業ネットワーク向けの DNS および IPAM のスケーリング

Embedding DNS, DHCP, and IPAM into Ansible and Git-based infrastructure-as-code pipelines

ポッドキャスト：AIがエンタープライズソフトウェア開発をどう変えているか

ポッドキャスト：ネットワーク運用においてオープンプラットフォームが重要な理由

LiveAssistを活用して、すでに保有しているLiveNXのデータから答えを引き出しましょう

関連記事