FortigateのDHCPサーバ設定と通信シーケンスの詳細解説 (FortiOS 6.0.9)

FortiGate はインターフェースごとに DHCP サーバを動かせます。小さな拠点なら、FortiGate だけで端末へのアドレス配布まで済ませられます。

この記事では、FortiGate の internal に DHCP サーバを設定し、端末がアドレスを受け取るまでのやり取りをパケットキャプチャで確認します。後半では、リレー、DHCP オプションの追加、MAC アドレスによるアドレスの予約といった高度な設定も試します。検証時の FortiOS は 6.0.9 です。

検証構成

FortiGate の internal（192.168.100.254/24）に端末を1台つなぎ、192.168.100.100〜192.168.100.200 の範囲でアドレスを配ります。端末は Mac で、MAC アドレスは 04:ab:18:7f:b5:d9 です。

DHCPサーバ設定の手順

設定するインターフェースを開く

DHCP サーバはインターフェース単位で設定します。ネットワーク ›› インターフェース を開き、一覧から internal を選んで編集します。

internal には、あらかじめ 192.168.100.254/24 を設定しています。DHCP サーバの設定は、編集画面の下のほうにあります。

DHCPサーバを有効にして、配る内容を決める

DHCP サーバを ON にすると、配るアドレスの範囲などの設定項目が表示されます。

DNS サーバで「インターフェースIPと同じ」を選ぶと、FortiGate のインターフェースのアドレスが DNS サーバとして配られ、端末は FortiGate に名前解決を問い合わせるようになります。この場合は、FortiGate 側でそのインターフェースの DNS サービスを有効にしておく必要があります。DHCP の設定画面ではこの点はチェックされないので、注意してください。

端末で取得結果を確認する

端末のアドレスを自動取得にして接続すると、DHCP サーバから受け取った設定が反映されます。次は Mac のネットワーク設定の表示です。

アドレス範囲の先頭の 192.168.100.100 が割り当てられ、STEP 2 で決めたサブネットマスク、デフォルトゲートウェイ（ルーター）、DNS サーバもそのまま届いています。

DHCP通信のシーケンス

端末がアドレスを受け取るまでには、Discover、Offer、Request、ACK の4つのメッセージをやり取りします。頭文字をとって DORA と呼ばれることもあります。DHCP にはほかにも NAK や Release などのメッセージがありますが、アドレスを新しく受け取るときの基本はこの4つです。

キャプチャでメッセージの中身を確認する

STEP 3 でアドレスを取得したときのパケットを、Wireshark でキャプチャしました。4つのメッセージが順に並んでいます。

Discover と Request は、端末にまだアドレスがないので、送信元 0.0.0.0、宛先 255.255.255.255（ブロードキャスト）で送られています。一方、Offer と ACK は FortiGate から 192.168.100.100 宛てに送られています。メッセージの Bootp flags のブロードキャストビットが 0（Unicast）なので、サーバはブロードキャストせずに、端末の MAC アドレスと割り当てるアドレス宛てに返しています。

Discover：DHCP サーバを探す

端末がネットワーク上の DHCP サーバを探すために、最初にブロードキャストで送るメッセージです。

▾ Dynamic Host Configuration Protocol (Discover)1    Message type: Boot Request (1)    Hardware type: Ethernet (0x01)    Hardware address length: 6    Hops: 02    Transaction ID: 0xa1d75c1b    Seconds elapsed: 443  ▸ Bootp flags: 0x0000 (Unicast)    Client IP address: 0.0.0.0    Your (client) IP address: 0.0.0.0    Next server IP address: 0.0.0.0    Relay agent IP address: 0.0.0.04    Client MAC address: Elecom_7f:b5:d9 (04:ab:18:7f:b5:d9)    Client hardware address padding: 00000000000000000000    Server host name not given    Boot file name not given    Magic cookie: DHCP  ▾ Option: (53) DHCP Message Type (Discover)      Length: 15      DHCP: Discover (1)

Offer：使えるアドレスを提案する

DHCP サーバが、端末に使えるアドレスを提案するメッセージです。この時点では、端末はまだアドレスを使っていません。

▾ Dynamic Host Configuration Protocol (Offer)1    Message type: Boot Reply (2)    Hardware type: Ethernet (0x01)    Hardware address length: 6    Hops: 0    Transaction ID: 0xa1d75c1b    Seconds elapsed: 44  ▸ Bootp flags: 0x0000 (Unicast)    Client IP address: 0.0.0.02    Your (client) IP address: 192.168.100.100    Next server IP address: 0.0.0.0    Relay agent IP address: 0.0.0.0    Client MAC address: Elecom_7f:b5:d9 (04:ab:18:7f:b5:d9)    Client hardware address padding: 00000000000000000000    Server host name not given    Boot file name not given    Magic cookie: DHCP  ▾ Option: (53) DHCP Message Type (Offer)      Length: 13      DHCP: Offer (2)

Request：提案されたアドレスを要求する

端末が、提案されたアドレスを使いたいとサーバに要求するメッセージです。Discover と同じくブロードキャストで送ります。

▾ Dynamic Host Configuration Protocol (Request)    Message type: Boot Request (1)    Hardware type: Ethernet (0x01)    Hardware address length: 6    Hops: 0    Transaction ID: 0xa1d75c1b    Seconds elapsed: 46  ▸ Bootp flags: 0x0000 (Unicast)    Client IP address: 0.0.0.0    Your (client) IP address: 0.0.0.0    Next server IP address: 0.0.0.0    Relay agent IP address: 0.0.0.0    Client MAC address: Elecom_7f:b5:d9 (04:ab:18:7f:b5:d9)    Client hardware address padding: 00000000000000000000    Server host name not given    Boot file name not given    Magic cookie: DHCP  ▾ Option: (53) DHCP Message Type (Request)      Length: 11      DHCP: Request (3)  ▸ Option: (55) Parameter Request List  ▸ Option: (57) Maximum DHCP Message Size  ▸ Option: (61) Client identifier2  ▸ Option: (50) Requested IP Address (192.168.100.100)3  ▸ Option: (54) DHCP Server Identifier (192.168.100.254)

ACK：割り当てを確定する

DHCP サーバが、要求されたアドレスを正式に割り当てるメッセージです。ACK を受け取ると、端末はそのアドレスを使い始めます。サブネットマスクやデフォルトゲートウェイなどの設定も、ここでオプションとして届きます。

▾ Dynamic Host Configuration Protocol (ACK)    Message type: Boot Reply (2)    Hardware type: Ethernet (0x01)    Hardware address length: 6    Hops: 0    Transaction ID: 0xa1d75c1b    Seconds elapsed: 46  ▸ Bootp flags: 0x0000 (Unicast)    Client IP address: 0.0.0.01    Your (client) IP address: 192.168.100.100    Next server IP address: 0.0.0.0    Relay agent IP address: 0.0.0.0    Client MAC address: Elecom_7f:b5:d9 (04:ab:18:7f:b5:d9)    Client hardware address padding: 00000000000000000000    Server host name not given    Boot file name not given    Magic cookie: DHCP  ▾ Option: (53) DHCP Message Type (ACK)      Length: 12      DHCP: ACK (5)  ▸ Option: (54) DHCP Server Identifier (192.168.100.254)  ▸ Option: (51) IP Address Lease Time3  ▸ Option: (1) Subnet Mask (255.255.255.0)4  ▾ Option: (3) Router      Length: 4      Router: 192.168.100.2545  ▾ Option: (6) Domain Name Server      Length: 8      Domain Name Server: 208.91.112.53      Domain Name Server: 208.91.112.52  ▸ Option: (58) Renewal Time Value

確認コマンド

リースの状態を確認・クリアする

FortiGate が今どのアドレスを配っているかは、execute dhcp lease-list で確認できます。

Fortigate-1

Fortigate-1 # execute dhcp lease-list
internal
  IP                MAC-Address             Hostname      VCI             Expiry
  192.168.100.100   04:ab:18:7f:b5:d9       hirotanopc                    Fri Mar 19 20:51:33 2021

リース情報をクリアするには、execute dhcp lease-clear にオプションを付けて実行します。all ですべてのリースを、アドレスを指定するとそのアドレスのリースだけをクリアします。

Fortigate-1

Fortigate-1 # execute dhcp lease-clear
xxx.xxx.xxx.xxx    Clear lease(s) on this IP address.
all   　　　　　　Clear all leases.
Fortigate-1 # execute dhcp lease-clear all
Fortigate-1 # execute dhcp lease-list
Fortigate-1 #

クリアしたあとに execute dhcp lease-list を実行すると、何も表示されなくなっています。

高度な設定

DHCP サーバの設定で「高度な設定」を開くと、さらに細かい設定ができます。ここでは、実務でよく使うモード、DHCP オプション、MAC アドレスによる予約を試します。

リレーエージェントにする（モード）

ここまでは FortiGate 自身を DHCP サーバにしましたが、モードを「リレー」にすると、端末からの要求を別の DHCP サーバへ転送するリレーエージェントとして動きます。リレーを選ぶと、アドレス範囲などの項目の代わりに、転送先の「DHCPサーバIP」を入力する欄が表示されます。

DHCP サーバを拠点ごとに置かず、センタのサーバにまとめるときなどに使います。DHCP サーバIP には、転送先の DHCP サーバのアドレスを入力します。

DHCPオプションを追加する

DHCP では、IP アドレス以外の情報もオプションとして端末に配れます。よく使う情報にはオプション番号が決まっていて、STEP 4 の ACK（図11）にも次のオプションが入っていました。

決まったオプション以外の情報を配りたいときは、「その他のDHCPオプション」に追加します。たとえば Cisco の IP 電話は、オプション150 で受け取った TFTP サーバから設定ファイルをダウンロードします。このような IP 電話をつなぐときは、オプション150 を追加します。

「その他のDHCPオプション」の「新規作成」をクリックすると行が追加され、オプションコードを選べます。

今回はオプション150 を選び、TFTP サーバとして 10.10.10.10 を設定します。

端末がもう一度アドレスを取得したときの DHCP ACK を見ると、オプション150 が配られています。

  ▸ Option: (3) Router  ▸ Option: (6) Domain Name Server  ▸ Option: (58) Renewal Time Value  ▸ Option: (59) Rebinding Time Value  ▸ Option: (2) Time Offset1  ▾ Option: (150) TFTP Server Address      Length: 4      TFTP Server Address: 10.10.10.10  ▸ Option: (224) Private  ▸ Option: (255) End

また、オプション51 のリース時間は、何も設定しなくても最初から入っていて、端末に配られています。既定値は 604800 秒（7日）で、この値は変更できます。

  ▸ Option: (53) DHCP Message Type (ACK)  ▸ Option: (54) DHCP Server Identifier (192.168.100.254)1  ▾ Option: (51) IP Address Lease Time      Length: 4      IP Address Lease Time: (604800s) 7 days  ▸ Option: (1) Subnet Mask (255.255.255.0)  ▸ Option: (3) Router

MACアドレスでIPアドレスを予約する

特定の端末に、毎回同じアドレスを割り当てることもできます。ここまで MAC アドレス 04:ab:18:7f:b5:d9 の端末には 192.168.100.100 が割り当てられていましたが、これを 192.168.100.150 に固定してみます。

「MAC予約＋アクセス制御」の「新規作成」をクリックし、アクションに「IPを予約」を選んで、MAC アドレスと割り当てるアドレスを入力します。

最後の行の「不明なMACアドレス」は、ここに登録していない端末の扱いです。「IPを割り当て」なので、登録していない端末にもアドレス範囲から割り当てます。

端末でもう一度アドレスを取得すると、192.168.100.150 が割り当てられました。

まとめ

DHCP のやり取りは、Discover と Request がブロードキャスト、Offer と ACK がサーバからの返答、という形で進みます。アドレスがうまく配られないときは、まずキャプチャでこの4つがそろっているか、どこで止まっているかを見ると原因を絞り込めます。

FortiGate の関連記事：【Fortigate】 PPPoE設定と動作確認 ／ 【Fortigate】ハードウェアスイッチ間通信と動作確認