インターフェースごとの複数 DHCP スコープ

トピック:

インターフェースごとの複数 DHCP スコープとは

通常、DHCP サーバとクライアントは同じ IP ネットワークまたはサブネット上に存在しますが、DHCPクライアントとそれに関連付けられている DHCP サーバが同じサブネットに存在しない場合もあります。インターフェースごとの複数 DHCP スコープの機能を使用すると、1 台の DHCP サーバで複数のサブネットに存在するクライアントに対する異なるスコープを管理できます。

複数の DHCP スコープの利点

効率的 - 1 台の DHCP サーバで、複数のサブネットに存在するクライアントに IP アドレスを提供できます。

VPN を越えた DHCP との互換性 - リレーされる DHCP メッセージの処理は、メッセージの送信元が VPN トンネルか DHCP リレー エージェントかに関係なく、同じように扱われます。

サイト間 VPN に対する複数のスコープ - 内部 DHCP サーバを使うときは、LAN/DMZ サブネットとは異なるスコープ範囲を使用して、リモート サブネットを設定できます。リモート サブネットのスコープ範囲は、リモート ゲートウェイで設定される「リレー IP アドレス」によって決まります。

グループ VPN に対する複数のスコープ - 内部 DHCP サーバを使うときは、LAN/DMZ サブネットとは異なるスコープ範囲を使用して、SonicWALL GVC クライアントを設定できます。SonicWALL GVC クライアントのスコープ範囲は、セントラル ゲートウェイで設定される「リレー IP アドレス (オプション)」によって決まります。

競合検出との互換性 - この機能が有効の場合、現在、SonicWALL DHCP サーバは、サーバ側の競合検出を実施します。サーバが輪の競合検出の優位点は、DHCP クライアントがクライアント側の競合検出を実行しない場合でも競合を検出することにあります。しかしながら、ネットワーク上に多数の DHCP クライアントがある場合は、サーバ側の競合検出では、完全な IP アドレス割り当てを完了するために、より長い待ち時間を要することがあります。競合検出 (およびネットワーク事前検出) は、"リレーされる"サブネット スコープに属する IP アドレスに対しては実行されません。DHCP サーバはインターフェースに結びついているサブネット範囲に対してのみ、競合検出の ICMP 確認を実行します。

インターフェースごとの複数 DHCP スコープの仕組み

通常、DHCP クライアントは、ブロードキャスト DHCP 検出メッセージを送信することで、アドレスの割り当てを開始します。ほとんどのルートはブロードキャスト パケットを転送しないので、この方法では、DHCP クライアントとサーバが同じ IP ネットワークまたはサブネット上に存在している必要があります。

DHCP クライアントとそれに関連付けられた DHCP サーバが同じサブネット上に存在しない場合、クライアントとサーバの間で DHCP メッセージを転送するために、ある種のサードパーティ エージェント (BOOTP リレー エージェント、IP ヘルパーなど) が必要です。DHCP リレー エージェントは、その受信インターフェースの IP アドレスを giaddr フィールドに設定した後、設定されている DHCP サーバに転送します。DHCP サーバはメッセージを受信すると、giaddr フィールドを調べて、クライアントにIP アドレスのリースを提供するために使用できる DHCP スコープかどうかを判断します。

図 14. 1 つの DHCP サーバを共有する複数のサブネット

インターフェースごとの複数 DHCP スコープの機能は、DHCP サーバへのアクセスを広く許可するとどうしても発生する可能性のある脆弱性を保護するための、セキュリティの拡張を提供します。「DHCP の詳細設定」ページでは、セキュリティに関する設定用に信頼できるエージェントについての新しいタブがあり、このタブでは信頼できる DHCP リレー エージェントを指定できます。DHCP サーバは、リストにないエージェントによってリレーされたメッセージをすべて破棄します。

図 15. 信頼できる DHCP リレー エージェント