CiscoルータにDHCP ServerとWPADを設定

ネットワーク機器といえばCisco。
Ciscoと言えばIOS。
あ、Appleの「iOS」とは違うよｗ

ITインフラを主に仕事しているので、
サーバだけでなくネットワーク機器も触るのもザラ。
JuniperやYamaha、Ciscoなんでもカカッテコイｗｗ
というわけで、
今回はCiscoルータに有りがちなDHCPサーバを設定し、
DHCPのオプションでWPADも設定してしまおうというお話。

WPADってなんだ？ってのは
↓を参照。
https://blogs.technet.microsoft.com/jpieblog/2014/10/22/wpad/

職場のネットワーク環境だと、インターネット閲覧にプロキシサーバを使っているのもよくある話だし、
社内サーバには直接アクセス、インターネットへはプロキシ経由、
と言った使い分けをするには、
自動構成スクリプト（pacファイル）を定義したほうが楽ちん。
そのpacファイルをWebサーバ上に設置して、
WindowsだとIEオプションでそのPacファイルのURLを指定すればいいんだけれど、
PC単位で設定するのがスゲーめんどくさい。

ADのグループポリシーで展開すればって話もあるんだけど、
Windows ServerのOSバージョンとクライアントのIEバージョンに寄っては上手く反映できないこともしばしば。

もうIE11しか無いので特に意識しなくてもいいんだけど、
Windows Server 2008 R2のADだとIE11のグループポリシーってうまく適用できないんだよなぁ。

そんな時にDHCPがあればいちいちPacファイルのURLを設定しなくても
自動で反映することが可能。
DHCPサーバがWindowsなら上記URLにやり方が載ってます。
Yamahaルータでも実績有り。
（その件についてはまた後ほど記事にします）

今回はCiscoルータでのWPADの設定方法。

設定方法

Ciscoに管理者権限でログイン。
まずはDHCP競合情報をログに残さない設定。（これは任意で）

(config)# no ip dhcp confilict logging

あと機種によってはDHCPサービスが無効になっている場合もあるので、
以下コマンドで有効化する。
※IOSのデフォルトは有効化。

(config)# service dhcp

次にIPアドレス割り当て除外の設定。

(config)# ip dhcp excluded-address (開始IP) (終了IP)

例えば割り当て範囲を192.168.0.100～149にしたい時は以下のようにする。

(config)# ip dhcp excluded-address 192.168.0.1 192.168.0.99
(config)# ip dhcp excluded-address 192.168.0.150 192.168.0.255

複数行書かないといけないのは面倒くさいなｗ
IOSの仕様なので仕方ない。

次にDHCPプールの設定。

(config)# ip dhcp pool (任意の名前)
(dhcp-config)#

続けてネットワークアドレスの設定。
192.168.0.0/24にしたい場合は、

(dhcp-config)# network 192.168.0.0 255.255.255.0

次はデフォルトゲートウェイ。

(dhcp-config)# default-router 192.168.0.254

DNSサーバの設定。（あれば）

(dhcp-config)# dns-server (DNSサーバのIP)

複数あれば続けて書く。

リース期間の設定。
デフォルトは1日。

(dhcp-config)# lease (日数) (時間) (分)

ちなみに無期限にしたい場合は以下のように書く。
※いつかは枯渇するがｗ

(dhcp-config)# lease infinite

以上で一通りのDHCPサーバの設定は終わり。
複数セグメントを1台のルータで制御したい時は
プールと除外アドレスを増やせば良い。

WPAD設定

これも簡単。

(config)# ip dhcp pool (任意の名前)
(dhcp-config)#

からの～

(dhcp-config)# option 252 ascii "(URL) "

PacファイルのURLを「http://192.168.0.1/proxy.pac」とすると以下のようになる。

(dhcp-config)# option 252 ascii "http://192.168.0.1/proxy.pac "

このURLの後に半角スペース

" "

を入れるのがキモ。
半角スペースを入れないと上手く動かないｗｗｗｗｗｗｗｗｗｗｗｗ

そもそもWPADってどうなのよ？

"WPAD 脆弱性"

で検索かければすぐ出てくるんだけど、
WPADの脆弱性を突いたセキュリティホールが存在する。
当然Microsoftは即座に修正パッチを提供しているが、
Windows Updateをロクに実施していないPCもザラなので
WPADの利用は慎重に。


あと、WPADの特性上、
端末側に明示的にプロキシ設定を行わないため、 「インターネットに繋がらない！」というトラブルが発生した時に
切り分けが難しくなるのでご注意を。