ポートセキュリティ

この単元で学ぶこと

ポートセキュリティは、スイッチのアクセスポートへ接続できる端末をMACアドレスにもとづいて制限する機能です。会議室や執務席など、原則として1台の端末だけを接続させたいポートで、不正な端末の接続を抑止する目的で使います。

許可するMACアドレスの登録方法、学習できるアドレス数、違反を検出したときの動作を理解すると、基本的な有線LANのアクセス制御を設計できます。

ポートセキュリティの基本動作

ポートセキュリティを有効にしたアクセスポートでは、許可されたMACアドレスだけが通信できます。設定した最大数を超えるMACアドレスを学習しようとした場合や、許可されていないMACアドレスのフレームを受信した場合は、違反として扱われます。

初期設定では、許可するMACアドレス数は1台分として扱う構成が基本です。電話機とPCを同じポートへ接続する場合などは、必要な台数に合わせて最大数を調整します。

MACアドレスの登録方法

許可するMACアドレスは、静的に設定する方法、動的に学習する方法、スティッキー学習を使う方法があります。

静的登録

静的登録では、許可するMACアドレスを設定へ明示的に書きます。接続を許可する端末が固定されている場合に使います。

動的学習

動的学習では、最初に接続した端末のMACアドレスをスイッチが学習します。通常は設定ファイルへ保存されないため、再起動後の扱いを考慮する必要があります。

スティッキー学習

スティッキー学習では、スイッチが学習したMACアドレスを設定として扱える形にします。学習結果を設定へ保存すれば、再起動後も同じ端末を許可する構成にできます。

違反時の動作

違反を検出したときの動作は、主に保護、制限、遮断の3種類です。

保護

保護では、許可されていない端末からのフレームを破棄します。ポート自体は動作を続け、違反の通知やカウンタの扱いは限定的です。

制限

制限では、許可されていない端末からのフレームを破棄し、違反カウンタを増やして通知を出します。ポート自体は動作を続けます。

遮断

遮断では、違反を検出したポートをエラー状態にして通信を止めます。不正端末の接続を強く抑止できますが、復旧には原因確認とポートの復旧操作が必要になります。

基本設定例

次の例では、GigabitEthernet0/10をアクセスポートとして設定し、最大1台までのMACアドレスをスティッキー学習で許可します。違反時は遮断する設定です。

interface GigabitEthernet0/10
 switchport mode access
 switchport port-security
 switchport port-security maximum 1
 switchport port-security mac-address sticky
 switchport port-security violation shutdown

機種やソフトウェアの世代により、利用できるコマンドや初期値が異なることがあります。実機では対象機種の設定ガイドも確認します。

確認コマンド

show port-security interface GigabitEthernet0/10
show port-security address

インターフェースごとの有効状態、最大数、学習済みアドレス数、違反数などを確認できます。

設計時の注意

ポートセキュリティは、MACアドレスをもとに接続端末を制限する機能です。MACアドレスは偽装される可能性があるため、これだけで強固な認証を実現するものではありません。より厳格な利用者・端末認証が必要な場合は、802.1Xなどと組み合わせて考えます。

まず覚えたいポイント

ポートセキュリティはアクセスポートへ接続できる端末をMACアドレスで制限します。静的登録、動的学習、スティッキー学習の違いと、保護・制限・遮断の違反時動作を区別して覚えましょう。