このページで解説している内容は、以下の YouTube 動画の解説で見ることができます。

ネットワーク構成

ネットワークの構成は、下図のとおりです。

演習ファイルのダウンロード

　ネットワークの構成を Packet Tracer で一から設定していくのは大変かと思います。「ダウンロード」から演習で使用するファイルのダウンロードができます。ファイルは、McAfeeインターネットセキュリティでウイルスチェックをしておりますが、ダウンロードは自己責任でお願いいたします。

ポートセキュリティの設定（スタティック）ダウンロード

ポートセキュリティの種類

ポートセキュリティを設定は、以下の3種類あります。

スタティック
（static）		MAC アドレスをMACアドレステーブルに格納します。スイッチの実行コンフィギュレーションに追加されます。
ダイナミック
（dynamic）		MAC アドレスを動的に学習して、MAC アドレステーブルに追加します。 学習した MACアドレスは、スイッチが再起動するときに削除されます。
スティッキ
（sticky）		MAC アドレスを動的に学習して、MAC アドレステーブルに追加します。学習したMACアドレスは、実行コンフィギュレーションに追加されます。

ポートセキュリティの設定（スタティック）

　ここでは、スタティック セキュアMACアドレスとして、PC1のMACアドレスを登録します。記憶できるMACアドレスを1つに限定することで、PC1以外のMACアドレスを持つ機器との接続を禁止していきます。

ポートセキュリティを有効にする

　ポートセキュリティを有効にするには、スイッチポートのモードを access または trunk とします。ここでは「access」のモードを指定します。次に「switchport port-security」コマンドで、ポートセキュリティの機能を有効にします。

Switch(config)#int f0/1

Switch(config-if)#switchport mode access

Switch(config-if)#switchport port-security

最大接続数を変更する

最大接続数を変更するには、「switchport port-security maximum」コマンドを使用します。

Switch(config-if)#switchport port-security maximum <数>

　ポートごとのセキュアMACアドレスの最大数はデフォルトで1ですが、ここでは、設定する必要はありませんが、あえて、Switchの f0/1 に以下のコマンドを適用します。

Switch(config-if)#switchport port-security maximum 1

スタティック セキュアMACアドレスの指定

　スタティック セキュアMACアドレスを指定するには、「switchport port-security mac-address」コマンドを使用します。

　このコマンドを使用することにより、登録した送信元MACアドレスを持つ端末だけしか、指定したポートに接続できないようにすることができます。

Switch(config-if)#switchport port-security mac-address {送信元MACアドレス}

送信元MACアドレスには、PC1のMACアドレスを登録します。

PC1のMACアドレスを調べます。

C:\>ipconfig /all

PC1のMACアドレスが、「0090.215b.4943」であることが分かります。

送信元MACアドレスを f0/1 に関連付けます。

Switch(config-if)#switchport port-security mac-address 0090.215b.4943

これで、登録したMACアドレス以外からの接続を禁止できるようになりました。

MACアドレステーブルを表示します。

Switch#show mac-address-table

●「show mac-address-table」の出力

Switch#show mac-address-table 
          Mac Address Table
-------------------------------------------

Vlan    Mac Address       Type        Ports
----    -----------       --------    -----

   1    0090.215b.4943    STATIC      Fa0/1

スタティック セキュアMACアドレスが登録されていることが確認できます。

違反モードの指定

　ポートセキュリティの設定を行ったら、最後に、違反モードを指定します。デフォルトの違反モードは 「shutdown」になっています。ここでは、デフォルトのままとしておきます。

　デフォルト値を変更したい場合は、「switchport port-security violation」コマンドを使用します。パラメータは以下のようになります。

セキュリティ違反時のアクションの決定

Switch(config-if)#switchport port-security violation { protect | restrict | shutdown }

違反モードSyslogメッセージの送信エラーメッセージ
の表示		違反カウンター
の増加		ポートの
シャットダウン
protect（保護）NONONONO
restrict（制限）YESNOYESNO
shutdown
（シャットダウン）		NONOYESYES

設定の確認

「show running-config」で設定内容を確認します。

スタティック セキュアMACアドレスが f0/1 に関連図けられていることが確認できます。

●「show running-config」の出力

!
interface FastEthernet0/1
 switchport mode access
 switchport port-security
 switchport port-security mac-address 0090.215B.4943

動作確認

それでは、PC1 から PC2 に ping を行います。

C:\>ping 192.168.1.20

Pingは、成功します。

PC1をスイッチから取り外し、違う端末（PC3）をSwitch の f0/1 に接続します。

PC3 から PC2 に ping を行います。

C:\>ping 192.168.1.20

pingは、失敗します。

登録した送信元MACアドレスを持つ端末だけしか、Switch の f0/1 に接続できないことが確認できます。