永続的 MAC 学習の理解と使用

インターフェイス上で永続的 MAC 学習を設定して、以下を行います。

• 再起動後にインターフェイスがイングレストラフィックからアドレスを再学習する必要がないため、信頼できるワークステーションやサーバーのトラフィック損失を防止します。

• スイッチをセキュリティ攻撃から守ります。永続的なMAC学習とMAC制限を組み合わせて使用し、許可されるMACアドレスを制限しながら、指定された数のMACアドレスをインターフェイスが動的に学習できるようにすることで、レイヤー2サービス拒否(DoS)攻撃、イーサネットスイッチングテーブルへのオーバーフロー攻撃、DHCPスターベーション攻撃などの攻撃から保護します。制限に達すると、追加のデバイスがポートに接続できないため、インターフェイスは保護されます。

永続的 MAC 学習と MAC 制限を設定することで、インターフェイスをネットワークに接続してから MAC アドレスの制限に達するまで、インターフェイスが信頼できるワークステーションとサーバーの MAC アドレスを学習できるようにし、この制限に達すると、スイッチが再起動しても新しいデバイスがインターフェイスに接続できないようにします。MAC 制限による永続的 MAC 学習を使用する代わりに、各ポートの各 MAC アドレスを静的に設定するか、再起動またはインターフェイス ダウン イベント後にポートが新しい MAC アドレスを継続的に学習できるようにすることができます。ポートにMACアドレスを継続的に学習させることは、セキュリティ上のリスクとなります。

手記：

• スイッチが再起動中、またはインターフェイスが復旧している間、インターフェイスがより多くのMACアドレスを学習できるようになるまでに少しの遅延が発生する場合があります。この遅延は、システムが以前に学習した永続MACアドレスをインターフェイスの転送データベースに再入力するときに発生します。

• Junos OS リリース 22.4R1 以降では、トランク(VLAN タグ付き)インターフェイスとアクセス インターフェイスの両方で永続的 MAC 学習を有効にできます。

永続的 MAC 学習を設定する際には、次の設定ガイドラインを考慮してください。

• 802.1x認証が設定されているインターフェイスでは、永続的MAC学習を有効にすることはできません。

• 冗長トランク グループの一部であるインターフェイスでは、永続的 MAC 学習を有効にできません。

• no-mac-learningが有効になっているインターフェイスでは、永続的MAC学習を有効にすることはできません。

先端：

スイッチに永続的 MAC アドレス エントリーがあるデバイスをネットワーク内で移動した場合、 clear ethernet-switching table persistent-learning <interface | mac-address> コマンドを使用して、永続 MAC アドレス エントリーをインターフェイスからクリアします。デバイスを移動し、学習された元のポートから永続的MACアドレスをクリアしない場合、新しいポートはデバイスのMACアドレスを学習せず、デバイスは接続できません。デバイスを移動したときに元のポートがダウンしている場合、新しいポートがMACアドレスを学習し、デバイスを接続できます。ただし、元のポートで永続 MAC アドレスをクリアしない場合、ポートが再起動すると、システムはそのポートの転送テーブルに永続 MAC アドレスを再インストールします。この場合、永続的 MAC アドレスは新しいポートから削除され、デバイスは接続を失います。

• 目的
• アクション
• 意味