FortigateはDHCPサーバとして動作させることができます。
今回の記事では、FortigateのDHCP基本設定、およびパケットキャプチャによるDHCP通信シーケンスを確認します。また、高度な設定として、オプション指定やMACアドレスベースでの予約アドレス設定も確認します。
基本設定
今回はInternalインタフェースに接続された端末にDHCPで192.168.100.100〜200の範囲のアドレスを割り当てるものとします。
![](https://hirotanoblog.com/wp-content/uploads/2021/03/F7A1E45C-72F4-4B51-8F05-177AFF2F6CDD-1024x343.png)
DHCPサーバはインタフェース単位で設定します。
ネットワーク >> インタフェース でinternalをクリックします。
![](https://hirotanoblog.com/wp-content/uploads/2021/03/FEE098CA-3EBC-449E-A022-225140A6B500-1024x338.png)
予めIPアドレスは、192.168.100.254/24を設定しているものとします。
このインタフェースでDHCPサーバを有効にします。
![](https://hirotanoblog.com/wp-content/uploads/2021/03/7C8753BF-D17C-4AEA-9578-45999D0A6732-1024x726.png)
以下のような設定画面が表示されます。
![](https://hirotanoblog.com/wp-content/uploads/2021/03/29C1D9DA-F4B7-4D69-9B35-BFEC4551ED71-1024x543.png)
- アドレス範囲:端末に割り当てるIPアドレスの範囲(最初のIPアドレス、終了IP)を設定します。新規作成 をクリックすることで、設定を追加できます。今回は、192.168.100.100から192.168.100.200を割り当てるものとします。
- ネットマスク:端末に割り当てるサブネットマスクです。Fortigateに割り当てているサブネットと同一で、255.255.255.0とします。
- デフォルトゲートウェイ:端末に割り当てるデフォルトゲートウェイ。インタフェースIPと同じを選択すると、Fortigateのインタフェースのアドレスがデフォルトゲートウェイとして配信されます。別のアドレスを指定することもできますが、今回は、FortigateのIPアドレス(192.168.100.254)を配信します。
- DNSサーバ:端末に割り当てるDNSサーバ。システムDNSと同じとすると、Fortigateに設定されているDNSサーバが配信されます。Fortigateでは、デフォルトで、208.91.112.53(プライマリ)と208.91.112.52(セカンダリ)が設定されています。 DNSフィルタなどを使用するため、Fortigate自身をDNSサーバに設定する場合は、インタフェースIPと同じを設定してください。別にアドレスを指定することもできます。今回は、システムDNSと同じとします。
端末のIPアドレスを自動取得にし接続すると、ネットワーク接続情報が取得されていることが確認できます。(以下、MAC端末での出力です)
![](https://hirotanoblog.com/wp-content/uploads/2021/03/668F4655-62B2-490F-A026-C19961CF0CB8.png)
DHCP通信のシーケンス
DHCPは、Discover / Offer / Request / ACK の4種類のパケットを用いて、アドレスの配信をします。基本設定の環境におけるDHCP通信のキャプチャをもとに、シーケンスを確認します。
![](https://hirotanoblog.com/wp-content/uploads/2021/03/30B0B893-C401-47A5-8D0C-BD0EFA46A1CB-1024x179.png)
Discover
端末がブロードキャストを使用して、DHCPサーバを探索します。まだ、IPアドレスは付与されていませんので、送信元IPアドレスは0.0.0.0です。
![](https://hirotanoblog.com/wp-content/uploads/2021/03/55CC98FB-29EA-4AEC-B3FD-9310252EEC17-1024x758.png)
Offer
DHCPサーバから端末へ割り当てするIPアドレスが提案されます。
![](https://hirotanoblog.com/wp-content/uploads/2021/03/1766F65E-E5EC-4276-BEFC-0D00176CC45F-1024x805.png)
Request
端末は提案されたIPアドレスに対して、割り当てを要求します。
![](https://hirotanoblog.com/wp-content/uploads/2021/03/F0CB3D3B-E13B-4979-B5CB-CA897209200F-1024x942.png)
ACK
DHCPサーバが割り当てを許可します。
![](https://hirotanoblog.com/wp-content/uploads/2021/03/CB36E82F-64E0-4A2B-A7C2-14FFB3A96A5F-903x1024.png)
確認コマンド
Fortigate上で、配信(リース)されているアドレスは execute dhcp lease-list で確認することができます。
Fortigate-1 # execute dhcp lease-list internal IP MAC-Address Hostname VCI Expiry 192.168.100.100 04:ab:18:7f:b5:d9 hirotanopc Fri Mar 19 20:51:33 2021
このリース情報をクリアするには、execute dhcp lease-clear にオプションをつけて実行します。オプションにallを選択すると、すべてのリース情報がクリアされます。特定IPアドレスのみ選択しクリアも可能です。
Fortigate-1 # execute dhcp lease-clear xxx.xxx.xxx.xxx Clear lease(s) on this IP address. all Clear all leases. Fortigate-1 # execute dhcp lease-clear all Fortigate-1 # execute dhcp lease-list Fortigate-1 #
高度な設定
DHCPサーバ設定の高度な設定を展開すると、さらに細かいDHCPサーバの設定ができます。
![](https://hirotanoblog.com/wp-content/uploads/2021/03/7B428EB3-1541-433E-94F5-BBA93C93586C-1024x973.png)
この中で、比較的、実務で使われる部分を確認していきます。
モード
基本設定では、Fortigate自身をDHCPサーバとして設定しましたが、他のDHCPサーバへ要求を転送するリレーエージェントとしても設定できます。その場合は、リレーを選択します。以下のように画面になり、DHCPサーバIPにリレー先のDHCPサーバのIPアドレスを設定します。
![](https://hirotanoblog.com/wp-content/uploads/2021/03/4789A439-7136-476B-BC18-A995978B1608.png)
その他DHCPオプション
DHCPでは、端末に付与されるIPアドレス以外の情報もオプションとして配信することができます。
基本設定で確認したDHCP ACKのパケットからも確認できるように、よく使われるパラメータはオプション番号が規定されています。
- オプション1:サブネットマスク
- オプション3:デフォルトゲートウェイ
- オプション6:DNSサーバ
![](https://hirotanoblog.com/wp-content/uploads/2021/03/CB36E82F-64E0-4A2B-A7C2-14FFB3A96A5F-2-903x1024.png)
例えば、CiscoのIP電話では、オプション150でTFTPサーバのアドレスを配信し、設定情報をダウンロードさせます。このようなIP電話を接続する場合は、オプション150をカスタム追加します。
設定方法を確認します。新規作成をクリックすると新しい行が追加され、以下のとおりオプションコードが設定できます。
![](https://hirotanoblog.com/wp-content/uploads/2021/03/824F306B-4608-4817-9CAB-11F4EC0DF269-1024x542.png)
今回は、オプション150を選択し、TFTPサーバとして10.10.10.10を設定します。
![](https://hirotanoblog.com/wp-content/uploads/2021/03/5DF81FD7-443C-43CD-808E-D22AE407B692.png)
再度、DHCP ACKを確認すると、オプション150が配信されていることを確認できます。
![](https://hirotanoblog.com/wp-content/uploads/2021/03/7969E5ED-A4F8-4541-A4A4-6603FF9D164F.png)
また、デフォルトでオプション51として割り当てIPアドレスのリース時間が設定されており、端末に配信されています。デフォルトでは、604800秒(7日)です。この値も変更することができます。
![](https://hirotanoblog.com/wp-content/uploads/2021/03/E588F4AD-ADDC-4241-96A2-E30D5367CAE2-1024x288.png)
MACアドレスによるIPアドレス予約
MACアドレスに応じて、固定されたIPアドレスを割り当てることができます。
今まで、端末(MACアドレス 04:ab:18:7f:b5:d9)は、192.168.100.100が割り当てられていましたが、192.168.100.150にアドレスを固定して割り当てたいとします。
以下の画面より新規作成をクリックし、IPを予約 として、MACアドレス(04:ab:18:7f:b5:d9)とIPアドレス(192.168.100.150)を設定します。
![](https://hirotanoblog.com/wp-content/uploads/2021/03/19FB7236-F64E-4F99-AD63-BA0BD073BCBB-1024x240.png)
再度、DHCPでアドレス取得すると、192.168.100.150 が割り当てられていることが確認できます。
![](https://hirotanoblog.com/wp-content/uploads/2021/03/A6B69925-97DD-4D42-B888-0E94F7899C67.png)
コメント