ISC DHCP serverでDHCPサーバを運用するとき，IPアドレスをリースするタイミングで任意のコマンドを実行したいことがある．例えば，クライアントのMACアドレスとリースしたIPアドレスのペアをデータベースに入れておきたい，といった場合． こういった場合，on commit/on release/on expiryが使える．dhcpd.confに次のような設定を書いておくと，それぞれのタイミングで外部のコマンドが実行される． on commit { execute("/path/to/script", "arg1", "arg2", "arg3"); } on release { execute("/path/to/script", "arg1", "arg2", "arg3"); } on expiry { execute("/path/to/script", "arg1",
番外編 DHCPスヌーピングでよりセキュアな環境を構築する 澁谷 寿夫 AlpHa FACTORY 高鳥 正彦 Infoblox株式会社 Systems Engineer 2008/8/20 DHCPスヌーピングを実現するための設定例 では、実際にスイッチにどのような設定が必要かを説明します。以下に、いくつかの設定例を示します。ここに記載していないスイッチでも、DHCPスヌーピングに対応しているものもありますので、情報を探してみていただければと思います。 ●エクストリームネットワークス製品の場合 DHCPスヌーピングを有効にするコマンド例 # enable ip-security dhcp-snooping vlan VLAN名 ports ポート番号 violation-action drop-packet block-port
◆ IPソースガードとは IPソースガードとは、送信元IPアドレスのなりすましを防止できる機能のことです。IPソースガードでは 以下のテーブルに基づいてトラフィックをフィルタリングすることで、IPのなりますしを防止しています。 ・ DHCPスヌーピングバインディングテーブル ・ 手動で設定されたIPソースバインディングテーブル IPソースガードは、送信元IPアドレス、MACアドレス、着信ポート番号のバインディングを追跡することで 正規のIPアドレスかどうかを判断します。DHCPスヌーピングバインディングテーブル、または手動で作成 したIPソースバインディングテーブルと一致しないトラフィックは拒否されます。IPソースガードが有効な ポートでは、スイッチ内部でバインディングテーブルから自動的にPACLを生成してI/Fに適用されています。 ※ IPソースガード機能を使用するためには、スイッチでD
つまり、DHCPサーバからトラフィックが着信してくるポートのみを「trusted」としておけば、その他の untrustedポートに「正規DHCPクライアント」を接続しても「不正DHCPクライアント」が接続されても、 正規DHCPクライアントは正常にDHCPのやり取りができて、不正DHCPクライアントが不正なDHCP応答 パケットを送信したとしても該当ポートでパケットは破棄されてDHCPスプーフィングの心配はありません。 DHCPスヌーピングではスヌーピングにより、DHCPクライアントのMACアドレス、IPアドレス、リース バインディングタイプ、VLAN、スイッチのポートから構成されるバインディングテーブルを構築します。 スイッチが「Untrusted」ポートでパケットを受信し、そのポートが属するVLANでDHCPスヌーピングが 有効な場合、スイッチは送信元MACアドレスとDHCPクライア
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
