DHCP Snooping（ディーエイチシーピースヌーピング）
Cisco 開発のスイッチセキュリティ機能。不正DHCP サーバを検出+遮断+IP-MAC 結合テーブル作成・大学/企業ネットワークセキュリティ標準。
概要
DHCP Snooping は Cisco が開発したスイッチレベルセキュリティ機能。スイッチが DHCP メッセージを監視し不正な DHCP サーバ (Rogue DHCP) からのDHCP Offer/ACK を遮断 + 正規 DHCP サーバ専用ポートを設定 + IP-MAC 結合テーブル作成。大学/企業ネットワークセキュリティ標準で、Cisco Catalyst・HP ProCurve・Aruba CX 等の業務スイッチで標準対応。学校 Wi-Fi + 大規模オフィス + ホテル等の中規模-大規模ネットワークで必須機能。Rogue DHCP 攻撃 (悪意ユーザが DHCP サーバを偽装してネットワーク内の他クライアントの IP/DNS 設定を奪取する Layer 2 攻撃) に対する第一線防御。DHCP Snooping + Dynamic ARP Inspection (DAI) + IP Source Guard の3点セットでLayer 2 攻撃 (DHCP Spoofing + ARP Spoofing + IP Spoofing) を完全防御するのが業務ネットワーク標準セキュリティ構成。
主な特徴・仕組み
- 開発: Cisco・1990年代後半 (IOS DHCP Snooping)
- 方式: Layer 2 スイッチで DHCP メッセージ監視+フィルタリング
- Trusted Port: 正規 DHCP サーバ接続ポート (DHCP メッセージ通過)
- Untrusted Port: クライアント接続ポート (DHCP Offer/ACK 遮断)
- DHCP Snooping Binding Database: IP-MAC-Port-VLAN 結合テーブル
- Rate Limiting: DHCP メッセージ過剰送信攻撃対策
- DAI 連携: Dynamic ARP Inspection・ARP 偽造防止
- IP Source Guard 連携: Binding テーブルベース IP-MAC 検証
- 対応スイッチ: Cisco Catalyst・HP ProCurve・Aruba CX・Juniper EX・Dell N シリーズ
- 対応プロトコル: DHCPv4 + DHCPv6 (DHCPv6 Snooping は SAVI/RFC 7039)
- 設定難度: 中レベル・基本設定 + Trust ポート指定 + Rate Limit 微調整
- 業務用途: 大学・企業・ホテル・空港・公共施設の中規模 Wi-Fi 必須
スペック比較表
| 機能 | 攻撃防御 | 主な用途 |
|---|---|---|
| DHCP Snooping | Rogue DHCP Server | 第一線防御 |
| Dynamic ARP Inspection (DAI) | ARP Spoofing | ARP 偽造防止 |
| IP Source Guard | IP Spoofing | IP 偽造防止 |
| Port Security | MAC Flooding | スイッチング攻撃防止 |
| 802.1X | 不正クライアント | ユーザ認証 |
具体例・対応製品
- Cisco Catalyst 9300/9400/9500 (現行業務 Switch・$5,000+): DHCP Snooping 標準
- HP ProCurve 2920 (中堅企業向け・$2,000-$5,000): DHCP Snooping 対応
- Aruba CX 6300 (現行 Aruba・$3,000+): DHCP Snooping + DAI + IP Source Guard
- Juniper EX シリーズ (Junos OS): DHCP Snooping 完全対応
- Dell N1500/N1700 (廉価業務): DHCP Snooping 対応
自作PCでの選び方・注意点
DHCP Snooping は2026年現在 業務ネットワークセキュリティ標準機能。家庭+自作 PC ユーザには直接無関係で、TP-Link Deco/Asus AiMesh 等の家庭ルータには未実装 (大学/企業向け業務スイッチに限定)。注意点として、自作 PC ユーザがホームラボ + ネットワークセキュリティ学習目的で DHCP Snooping 実機学習する場合、Cisco Catalyst 2960 中古 ($100-$300 eBay) + Cisco IOS 学習版で本格的 DHCP Snooping 設定を試行可能。Ubiquiti UniFi Cloud Key Gen2 + UniFi Switch 24 PoE Pro ($600) は DHCP Snooping を簡易 GUI で設定可能で、ホームラボ学習者+小規模オフィス向け代替選択肢。DHCP Snooping + DAI + IP Source Guard の3点セットは CCNA + CCNP Security 資格試験定番出題項目で、ネットワークエンジニア + セキュリティエンジニアになりたい自作 PC ホビイストには必須学習ポイント。実用効果: 大学 Wi-Fi (1万人接続)・企業オフィス (1000+ 端末)・ホテル Wi-Fi (500+ 部屋) でRogue DHCP 攻撃 (悪意学生 + 内部社員 + ホテル滞在者) を完全遮断し、ネットワーク全体のセキュリティ + 安定性を確保する。自宅 IoT ネットワーク隔離用途では VLAN + Firewall + 別 SSID 構成の方が一般的で、DHCP Snooping は中規模以上で活躍。
関連用語との違い
- Dynamic ARP Inspection (DAI): ARP Spoofing 防御・DHCP Snooping と組合せ標準。
- IP Source Guard: IP Spoofing 防御・Binding Database ベース・3点セット完成。
- Port Security: MAC アドレス制限・スイッチング攻撃防御・別系統セキュリティ。
よくある質問（FAQ）
Q1: 家庭で必要？ A: 家庭ルータには未実装+不要。家庭ネットワーク (10台以下) ではWPA2/WPA3 Personal + 強パスワードで十分セキュリティ確保可能。
Q2: Rogue DHCP 攻撃とは？ A: 悪意ユーザが ネットワーク内に偽の DHCP サーバを立て、他クライアントに偽の DNS サーバ + ゲートウェイを配布してトラフィック傍受+リダイレクト攻撃を行う Layer 2 攻撃。
Q3: 学習する方法？ A: Cisco Catalyst 2960 中古 ($100-$300 eBay) + Cisco IOS 学習版 + GNS3 シミュレーション + CCNA Security 教材で実機+理論学習可能。