DHCP スヌーピング
L2 スイッチがもつ DHCP スヌーピング機能の説明として，適切なものはどれか。
- ア信頼するポートとして設定したポート以外から受信した DHCPDISCOVER などのクライアントからのメッセージを破棄し，未登録の端末にアドレスが割り当てられることを防ぐ。
- イDHCP の通信を暗号化することによって，端末に割り当てられる IP アドレスなどの設定情報が盗聴されることを防ぐ。
- ウ信頼するポートとして設定したポート以外から受信した DHCP サーバの応答を破棄し，不正な DHCP サーバによる設定情報の配布を防ぐ。
- エ端末からの DHCP 要求を，ルータを越えて別のサブネットにある DHCP サーバへ中継する。
正解と解説を見る
正解 ウ
この問題の基礎知識
- DHCP では，クライアントの DHCPDISCOVER にサーバが DHCPOFFER で応え，DHCPREQUEST と DHCPACK を経て，IP アドレスやデフォルトゲートウェイ，DNS サーバなどの設定情報が配布される。
- 不正な DHCP サーバが偽のデフォルトゲートウェイや DNS サーバを配布すると，端末の通信を攻撃者の機器に誘導する中間者攻撃が可能になる。
- DHCP スヌーピングは，L2 スイッチが DHCP メッセージを監視し，ポートを信頼ポートと非信頼ポートに分けて検査する機能である。別サブネットの DHCP サーバへメッセージを中継する DHCP リレーエージェントとは別の機能である。
ア信頼するポートとして設定したポート以外から受信した DHCPDISCOVER などのクライアントからのメッセージを破棄し，未登録の端末にアドレスが割り当てられることを防ぐ。
DHCP スヌーピングが信頼ポート以外で破棄するのは，DHCPOFFER などサーバからクライアント宛てのメッセージである。一般の端末が接続されるポートからのクライアントのメッセージは転送しないと，正規の端末もアドレスを取得できない。
イDHCP の通信を暗号化することによって，端末に割り当てられる IP アドレスなどの設定情報が盗聴されることを防ぐ。
DHCP スヌーピングは，スイッチが DHCP メッセージを監視して検査し，不正な応答を破棄したり割当て情報を記録したりする機能であり，DHCP 通信の暗号化は行わない。
ウ信頼するポートとして設定したポート以外から受信した DHCP サーバの応答を破棄し，不正な DHCP サーバによる設定情報の配布を防ぐ。正解
DHCP スヌーピングでは，正規の DHCP サーバが接続されたポートを信頼ポートとし，それ以外のポートからの DHCPOFFER などを破棄する。偽のデフォルトゲートウェイや DNS サーバの配布による中間者攻撃を防げる。
エ端末からの DHCP 要求を，ルータを越えて別のサブネットにある DHCP サーバへ中継する。
異なるサブネットの DHCP サーバへ DHCP メッセージを中継するのは DHCP リレーエージェントの機能であり，DHCP スヌーピングの機能ではない。
検証用の出典出典照合済み
RFC 2131 Dynamic Host Configuration Protocol ／ RFC 7513 Source Address Validation Improvement (SAVI) Solution for DHCP ／ RFC 7610 DHCPv6-Shield: Protecting against Rogue DHCPv6 Servers照合の根拠（5 件）
- ウ（正解）: DHCP スヌーピングは L2 機器での DHCP パケットのフィルタリングによる不正 DHCP サーバ対策として IPv4 で広く導入されている
It is based on DHCPv6 packet filtering at the layer 2 device at which the packets are received. A similar mechanism has been widely deployed in IPv4 networks ('DHCP snooping'); hence, it is desirable that similar functionality be provided for IPv6 networks.
RFC 7610 · Abstract（新しいタブで開きます） - ウ（正解）・ア（誤り）: 破棄するのは指定したポート以外から受信したサーバのメッセージ（クライアント宛て）である
The most basic filtering criterion is that DHCPv6-server messages are discarded by the layer 2 device unless they are received on specific ports of the layer 2 device.
RFC 7610 · Section 1（新しいタブで開きます） - ウ（正解）: 信頼属性のない接続点から来たサーバ→クライアントの DHCP メッセージは破棄する
DHCP Server-to-Client messages not from attachments with the DHCP- Trust attribute or Trust attribute MUST be discarded.
RFC 7513 · Section 8.2（新しいタブで開きます） - ア（誤り）: 信頼しないポートの端末は DHCP でアドレスを取得する前提であり，クライアントのメッセージは破棄しない
By default, the Trust attribute is FALSE, indicating that any device found on that port will seek an address using DHCP and be limited to using such addresses.
RFC 7513 · Section 4.2.1（新しいタブで開きます） - エ（誤り）: DHCP メッセージを中継するのはリレーエージェントの機能
A BOOTP relay agent or relay agent is an Internet host or router that passes DHCP messages between DHCP clients and DHCP servers.
RFC 2131 · Section 1.5（新しいタブで開きます）
DHCP スヌーピング自体はベンダー実装の機能で IETF 標準ではないため，RFC 7610 が「similar mechanism … ('DHCP snooping')」として言及する同等機構（DHCPv6-Shield）と RFC 7513（SAVI-DHCP）の DHCP Server-to-Client メッセージの扱いを根拠とした。イ（暗号化）はいずれの RFC でもフィルタリング・監視機構として説明され暗号化を含まないことから排除される。