ネットワーク・通信セキュリティ重要度:★★出題: AM2・PM1

DHCPスヌーピングと Dynamic ARP Inspection (DAI)

でぃーえいちしーぴーすぬーぴんぐ / だい / DHCP Snooping / Dynamic ARP Inspection

L2スイッチ上で不正な偽DHCPサーバからの応答を遮断し、正規のIP・MACアドレス対応表を用いてARPスプーフィング（中間者攻撃）を阻止するL2防御機能。

3行速習ポイント

DHCPスヌーピング：スイッチの各ポートをTrusted（正規DHCPサーバ接続ポート）とUntrusted（端末ポート）に分類し、UntrustedからのDHCP OFFER等を破棄
正常なDHCP割当て通信から「MACアドレス・IPアドレス・VLAN・ポート番号」のバインディングテーブルをスイッチ内部に自動生成
DAI（Dynamic ARP Inspection）：バインディングテーブルと一致しない偽造ARPリプライ（ARPポイズニング）をスイッチで破棄

図DHCPスヌーピング＆ DAI によるL2スイッチなりすまし防御

11. ポート信頼区分の設定 (DHCPスヌーピング)

偽DHCP遮断

Trustedポート（正規DHCP側）とUntrusted（端末側）を分離

端末接続ポート（Untrusted）から送出される偽のDHCP OFFER / ACKパケットをL2スイッチで即座に破棄し、不正DHCPサーバを無力化

22. バインディングテーブルの自動構築

正規台帳の生成

正規DHCP割当から MAC × IP × VLAN × ポート番号を記録

正常なDHCP通信を監視し、どのポートのどのMACアドレスにどのIPアドレスが割り当てられたかの対応表をスイッチ内部に動的生成

33. DAI (Dynamic ARP Inspection) 検査

ARP偽装阻止

バインディングテーブルと不一致の偽造ARP応答を破棄

端末から送られるARPパケットの送信元IP・MACペアをバインディングテーブルと照合し、ARPスプーフィング（中間者攻撃）をL2で完全阻止

💡 DHCPプール枯渇等でIPを取得できないPCはリンクローカルアドレス（169.254.x.x / APIPA）を自動設定するため、障害切り分けの重要指標となる

社内LANのコンセントや無線LANに攻撃者（または設定ミス端末）が接続し、偽のDHCPサーバを立ち上げると、周囲のPCに攻撃者端末をデフォルトゲートウェイやDNSサーバとして割り当てて通信を丸ごと盗聴できます。L2スイッチのDHCPスヌーピングとDAIはこれをネットワーク層の手前で防ぎます。

DHCP枯渇攻撃（Starvation）対策：送信元MACアドレスを次々偽装してDHCP DISCOVERを大量送信しIPプールを枯渇させる攻撃をポートレート制限とMAC検証で阻止
APIPA（169.254.x.x）：DHCPサーバからIPを取得できなかった端末が自動設定するリンクローカルアドレス（DHCP障害の切り分け指標）
IEEE 802.1Xとの組み合わせ：ポート認証とDHCPスヌーピングを併用することでL2レベルのなりすましを多層防御