ポート セキュリティの概要

Junos OS は、制御転送プレーンとサービス プレーンを分離することで強化され、各機能は保護されたメモリで実行されます。制御プレーン CPU は、レート制限、ルーティング ポリシー、ファイアウォール フィルターによって保護され、重大な攻撃を受けてもスイッチのアップタイムを確保します。

Junos OS は、デバイス上のセキュアなポートを支援する機能を提供します。ポートは、信頼できるポートまたは信頼できないポートのいずれかに分類できます。各カテゴリに適したポリシーを適用して、さまざまなタイプの攻撃からポートを保護します。

動的アドレス解決プロトコル(ARP)インスペクション、DHCP スヌーピング、MAC 制限などのアクセス ポート セキュリティ機能は、1 つの Junos OS CLI コマンドを使用して制御されます。基本的なポート セキュリティ機能は、デバイスのデフォルト設定で有効になっています。最小限の設定手順で追加機能を設定できます。特定の機能に応じて、VLAN またはブリッジ ドメイン インターフェイスで機能を設定できます。

Junos OS リリース 18.4R1 以降、DHCP スヌーピングは、次のジュニパー シリーズ スイッチ、EX2300、EX4600、QFX5K の信頼できるポートで実行されます。Junos OS リリース 18.4R1 より前のデバイスでは、これは DHCPv6 スヌーピングに対してのみ当てはめていました。さらに、DHCP スヌーピングは、Junos OS リリース 19.1R1 以降を実行している EX9200 シリーズ スイッチおよび Fusion Enterprise の信頼できるポートで発生します。

ジュニパーネットワークス EX シリーズ イーサネット スイッチは、以下のハードウェアおよびソフトウェア セキュリティー機能を提供します。

Console Port—コンソール ポートを使用して、RJ-45 ケーブルを介してルーティング エンジンに接続できます。次に、CLI(コマンドライン インターフェイス)を使用してスイッチを設定します。

Out-of-Band Management—背面パネルの専用管理イーサネット ポートにより、アウトオブバンド管理が可能になります。

Software Images—すべての Junos OS イメージは、公開鍵基盤(PKI)を使用してジュニパーネットワークスの証明機関(CA)によって署名されています。

User Authentication, Authorization, and Accounting (AAA)—機能は次のとおりです。

• パスワードの暗号化と認証を使用したユーザー アカウントとグループ アカウント。

• ログイン クラスとユーザー テンプレートに対して設定可能なアクセス権限レベル。

• スイッチへのアクセスを試みるユーザーを認証するための RADIUS 認証、TACACS+ 認証、またはその両方。

• システム ロギングまたは RADIUS/TACACS+ による設定変更の監査。

802.1X Authentication—ネットワーク アクセス コントロールを提供します。サプリカント(ホスト)は、最初に LAN に接続したときに認証されます。DHCP サーバーから IP アドレスを受信する前にサプリカントを認証することで、許可されていないサプリカントが LAN にアクセスするのを防ぎます。EX シリーズ スイッチは、EAP-MD5、EAP-TLS、EAP-TTLS、EAP-PEAP などの EAP(Extensible Authentication Protocol)方式をサポートしています。

Port Securityスイッチング デバイスでサポートされるアクセス ポート セキュリティ機能は次のとおりです。

• DHCP スヌーピング:信頼できないポート上のイングレス DHCP(Dynamic Host Configuration Protocol)サーバー メッセージをフィルターおよびブロックし、DHCP スヌーピング データベースと呼ばれる DHCP リース情報のデータベースを構築および維持します。

  メモ：

  スイッチング デバイスのデフォルト設定では、DHCP スヌーピングは有効になっていません。DHCP スヌーピングは、VLAN またはブリッジ ドメインで有効になっています。DHCP スヌーピングの有効化の詳細は、特定のデバイスによって異なります。

• 信頼できる DHCP サーバー — 信頼できるポートで DHCP サーバーを構成すると、リースを送信する不正な DHCP サーバーから保護されます。インターフェイス(ポート)でこの機能を有効にするとします。デフォルトでは、アクセス ポートは信頼できなく、トランク ポートは信頼されます。(アクセス ポートは、ユーザー PC、ラップトップ、サーバー、プリンターなどのイーサネット エンドポイントに接続するスイッチ ポートです。トランク ポートとは、イーサネット スイッチを他のスイッチまたはルーターに接続するスイッチ ポートです)。

• DHCPv6 スヌーピング:IPv6 用 DHCP スヌーピング。

• DHCP オプション 82 — DHCP リレー エージェント情報オプションとも呼ばれます。この DHCPv4 機能は、IP アドレスや MAC アドレスのスプーフィングや DHCP IP アドレス不足などの攻撃からスイッチング デバイスを保護するのに役立ちます。オプション 82 は、DHCP クライアントのネットワーク位置に関する情報を提供し、DHCP サーバーはこの情報を使用して、クライアントに IP アドレスやその他のパラメーターを実装します。

• DHCPv6 オプション 37 —オプション 37 は DHCPv6 のリモート ID オプションで、リモート ホストのネットワーク位置に関する情報を DHCPv6 パケットに挿入するために使用されます。VLAN でオプション 37 を有効にするとします。

  メモ：

  オプション 37 を使用した DHCPv6 スヌーピングは、MX シリーズではサポートされていません。

• DHCPv6 オプション 18 —オプション 18 は DHCPv6 の回線 ID オプションで、クライアント ポートに関する情報を DHCPv6 パケットに挿入するために使用されます。このオプションには、プレフィックスやインターフェイスの説明など、オプションで設定できるその他の詳細も含まれています。

• DHCPv6 オプション 16 —オプション 16 は DHCPv6 のベンダー ID オプションで、クライアント ハードウェアのベンダーに関する情報を DHCPv6 パケットに挿入するために使用されます。

• DAI(Dynamic ARP Inspection):ARP(アドレス解決プロトコル)スプーフィング攻撃を防止します。ARP 要求と応答は、DHCP スヌーピング データベース内のエントリーと比較され、それらの比較の結果に基づいてフィルタリングが決定されます。VLAN で DAI を有効にするとします。

• IPv6 ネイバー検出インスペクション:IPv6 アドレス スプーフィング攻撃を防止します。ネイバー検出要求と応答は、DHCPv6 スヌーピング データベース内のエントリーと比較され、それらの比較結果に基づいてフィルタリングが決定されます。VLAN でネイバー検出インスペクションを有効にするとします。

• IP ソース ガード:イーサネット LAN に対する IP アドレス スプーフィング攻撃の影響を緩和します。IP ソース ガードが有効になっている場合、信頼できないアクセス インターフェイスから送信されたパケット内の送信元 IP アドレスが、DHCP スヌーピング データベースに対して検証されます。パケットが検証できない場合、パケットは破棄されます。VLAN またはブリッジ ドメインで IP ソース ガードを有効にするとします。

• IPv6 ソース ガード:IPv6 の IP ソース ガード。

• MAC 制限:イーサネット スイッチング テーブル(MAC 転送テーブルまたはレイヤー 2 転送テーブルとしても知られる)のフラッディングから保護します。インターフェイスで MAC 制限を有効にできます。

• MAC 移動制限 — MAC の移動を追跡し、アクセス ポートで MAC スプーフィングを検知します。VLAN またはブリッジ ドメインでこの機能を有効にするとします。

• 永続的な MAC 学習—スティッキー MAC とも呼ばれます。永続的なMAC学習により、インターフェイスはスイッチの再起動時に動的に学習したMACアドレスを保持できます。インターフェイスでこの機能を有効にするとします。

• 無制限のプロキシARP:スイッチは、独自のMACアドレスですべてのARPメッセージに応答します。スイッチのインターフェイスに接続されているホストは、他のホストと直接通信できません。代わりに、ホスト間のすべての通信がスイッチを通過します。

• 制限付きプロキシARP:ARPリクエストの送信元とターゲットの物理ネットワークが同じ場合、スイッチはARPリクエストに応答しません。宛先ホストが受信インターフェイスと同じ IP アドレスを持っているか、別の(リモート)IP アドレスを持っているかどうかは関係ありません。ブロードキャスト アドレスの ARP 要求は応答を引き出しません。

Device Security—ストーム制御により、スイッチは不明なユニキャストおよびブロードキャスト トラフィックを監視し、パケットをドロップしたり、シャットダウンしたり、指定したトラフィック レベルを超えた場合にインターフェイスを一時的に無効にしたりできるため、パケットが増殖して LAN を劣化させるのを防ぐことができます。アクセス インターフェイスまたはトランク インターフェイスでストーム制御を有効にできます。

Encryption Standardsサポート対象の標準は次のとおりです。

• 128 ビット、192 ビット、256 ビット AES(Advanced Encryption Standard)

• 56 ビット DES(データ暗号化標準)および 168 ビット 3DES

• イーサネット スイッチング テーブル オーバーフロー攻撃の緩和
• 不正な DHCP サーバー攻撃の緩和
• ARP スプーフィング攻撃に対する保護(QFX10000 シリーズ スイッチには適用されません)
• DHCP スヌーピング データベース変更攻撃に対する保護(QFX10000 シリーズ スイッチには適用されません)
• DHCP 飢餓攻撃からの保護

DHCP スヌーピング、DAI(Dynamic ARP Inspection)、MAC 制限、永続的 MAC 学習、MAC 移動制限をスイッチの信頼できないポートで設定し、アドレス スプーフィングやレイヤー 2 サービス拒否(DoS)攻撃からスイッチとイーサネット LAN を保護できます。また、信頼できる DHCP サーバーと、スイッチ インターフェイスの特定の(許可された)MAC アドレスを設定することもできます。

この例では、スイッチで基本的なポート セキュリティ機能を設定する方法について説明します。