ポートセキュリティ機能とは

　スイッチには、たくさんのインターフェイスが備わっています。それら、すべてのインターフェイスを使い切ってしまうケースは少ないはずです。

　空いているポートに、権限のないユーザが接続してしまえば、ネットワークへの侵入の入口となってしまいます。

　また、すべてのインターフェイスを使い切って、空いているインターフェイスがない場合でも、使用しているインターフェイスの接続を外して、権限のないユーザが接続してしまえば、同様にネットワークへの侵入の入口となってしまいます。

　このような不正侵入を防ぐために、スイッチにはポートセキュリティという機能が用意されています。

　ポートセキュリティは、ポート単位に登録されたMACアドレス以外の送信元のMACアドレスのパケットをブロックします。

ポートセキュリティの設定は、次の3つの方法があります。

インターフェイス設定モードから次のコマンドでMACアドレスを登録します。

Switch(config-if)#switchport port-security
Switch(config-if)#switchport port-security mac-address { mac-address }

　登録したMACアドレスは、スタティックMACアドレスとして、running-configにコマンドとして追加されます。

　MACアドレスを動的に学習させる方法です。16進数で覚えにくく、長いMACアドレスを入力して登録する作業から解放されます。コマンドは、以下の通りです。

Switch(config-if)#switchport port-security

　動的に学習したMACアドレスは、ポートと関連付けられます。学習できるMACアドレスの最大数は、デフォルトでは1となっています。

学習できるMACアドレスの最大数を変更したい場合には、以下のコマンドで指定することができます。

Switch(config-if)#switchport port-security maximum { 最大数 }

最大数は、1～132の範囲で指定できます。

　動的に学習したMACアドレスは、ポートがシャットダウンするか、スイッチを再起動した場合、学習したポートとMACアドレス関連付け消えてしまいます。

ダイナミックと似ていますが、MACアドレスは、running-configにコマンドとして追加されます。

　「copy run start」コマンドで、実行コンフィグをスタートアップコンフィグに保存すれば、スイッチを再起動させてもMACアドレスを学習し直す必要がありません。保存していなければ、学習する前の状態に戻ります。

設定コマンドは、以下の通りです。

Switch(config-if)#switchport port-security
Switch(config-if)#switchport port-security mac-address sticky

スタティック、ダイナミック、スティッキのポートセキュリティの共通の設定は、下記の通りです。

①ポートセキュリティの設定を有効にするインターフェイスへコンフィグモードへ移行する。

Switch(config)# interface { interface-id }

②スイッチポートモードを「access」モードに設定する。

Switch(config-if)#switchport mode access

　モードは、「access」または「trunk」を指定できますが、セキュリティの観点から、ポートセキュリティでは、「access」モードすることが推奨されます。

③ポートセキュリティを有効にする。

Switch(config-if)#switchport port-security

④登録できるMACアドレスの最大数を設定します。デフォルトの最大数は、「1」です。必要に応じて設定します。

⑤セキュリティ違反検出時のアクションを指定する。

　ポートセキュリティを有効にしているインターフェースで、違反が検出された時のアクションを指定します。デフォルトは「shutdown」になっています。

Switch(config-if)#switchport port-security violation { protect | restrict | shutdown }

下表は、違反時のモードの動作内容です。

違反モード	説明
protect	違反時にパケットが破棄され、SNMPトラップやSyslogメッセージは送信されません。違反カウンターも増加しません。
restrict	違反時にパケットが破棄され、SNMPトラップやSyslogメッセージが送信されます。違反カウンターは増加します。
shutdown	違反時にポートは、「err-disable」となりLEDが消灯し、SNMPトラップやSyslogメッセージが送信されます。違反カウンターは増加します。