スイッチ構成オプション

ユーザー名とパスワード、証明書、またはユーザーから提供されたその他の認証要素を検証するための認証サーバーを選択します。

• Mist Auth—スイッチ上のクラウドベースの認証サービスであるJuniper Mist Access Assuranceを設定します。このオプションを機能させるには、dot1x または MAB 認証でポートを使用する必要があります。詳細については、『 Juniper Mist Access Assuranceガイド』を参照してください。

• RADIUS—スイッチレベルでdot1xポート認証を有効にするために、RADIUS認証サーバーとアカウンティングサーバーを設定するには、このオプションを選択します。dot1x ポート認証を機能させるには、dot1x 認証を使用するポート プロファイルも作成し、そのプロファイルをスイッチのポートに割り当てる必要があります。

  デフォルトのポート番号は次のとおりです。

  • 認証サーバーのポート1812

  • アカウンティングサーバーのポート1813

set system authentication-order radius
set system radius-server radius-server-IP port 1812
set system radius-server radius-server-IP secret secret-code
set system radius-server radius-server-IP source-address radius-Source-IP
set system login user remote class class

set system login user RO class read-only
set system login user OP class operator
set system login user SU class super-user
set system login user remote full-name "default remote access user template"
set system login user remote class read-only

デバイス上でTACACS+ 認証を使用するには、ネットワーク上の 1 台以上の TACACS+ サーバーの情報を構成する必要があります。また、デバイス上でTACACS+アカウンティングを構成して、LANにログインまたはログアウトするユーザーに関する統計データを収集し、TACACS+アカウンティングサーバーにデータを送信することもできます。

さらに、スイッチ設定内でTACACS+ 認証済みユーザーのユーザーロールを指定できます。使用可能なユーザーロールは、なし、管理者、読み取り、ヘルプデスクです。TACACs+が認証したユーザーに、ローカルデバイスでユーザーアカウントが設定されていない場合、Junosはデフォルトで「remote」という名前のユーザーアカウントを割り当てます。

TACACS+ およびアカウンティングサーバーでサポートされているポート範囲は 1 〜 65535 です。

ドメイン ネーム サーバー (DNS) の設定を構成します。最大 3 つの DNS IP アドレスとサフィックスをカンマ区切り形式で設定できます。

スイッチでSNMP(簡易ネットワーク管理プロトコル)を設定し、ネットワークの管理とモニタリングをサポートします。SNMPv2 または SNMPv3 を設定できます。設定可能なSNMPオプションは次のとおりです。

• SNMPv2(V2)でのオプション

  • 一般 - システムの名前、場所、管理連絡先情報、および管理対象システムの簡単な説明を指定します。SNMPv2を使用する場合、デバイスから送信されたSNMPトラップパケットの送信元アドレスを指定するオプションがあります。送信元アドレスを指定しない場合は、デフォルトで発信インターフェイスのアドレスが使用されます。

  • [クライアント(Client)]:SNMP クライアントのリストを定義します。複数のクライアントリストを追加できます。この構成には、クライアントリストの名前とクライアントのIPアドレス(カンマ区切り形式)が含まれます。各クライアントリストには、複数のクライアントを含めることができます。クライアントは、/32 マスクのプレフィックスです。

  • [トラップ グループ(Trap Group)]:指定されたトラップ通知を受信するホストの名前付きグループを作成します。SNMP トラップが送信されるには、少なくとも 1 つのトラップ グループが設定されている必要があります。設定には、次のフィールドが含まれます。

    • [グループ名(Group Name)]:トラップ グループの名前を指定します。

    • [カテゴリ(Categories)]:次のカテゴリのリストから選択します。複数の値を選択できます。

      • 認証

      • シャシ

      • 構成

      • リンク

      • リモート操作

      • ルーティング

      • サービス

      • スタートアップ

      • VRRP-イベント

    • [ターゲット(Targets)]:ターゲットの IP アドレスを指定します。複数のターゲットを指定できます。

    • バージョン—SNMPトラップのバージョン番号を指定します。

  • コミュニティ—SNMP コミュニティを定義します。SNMP コミュニティは、送信元 IP アドレスによって SNMP クライアントを認証するために使用されます。また、ビューで定義された特定のMIBオブジェクトのアクセシビリティとパーミッション(読み取り専用または読み取り書き込み)も決定します。コミュニティ設定に、クライアントリスト、認証情報、ビューを含めることができます。

  • ビュー(SNMPv2とSNMPv3の両方に適用可能)—MIBオブジェクトのグループを識別するMIBビューを定義します。ビュー内の各オブジェクトは、共通のオブジェクト識別子(OID)プレフィックスを共有します。MIBビューにより、エージェントはMIBツリー内の特定のブランチおよびオブジェクトへのアクセスをより詳細に制御できます。ビューは、名前と SNMP OID の集合で構成され、明示的に含めたり除外したりできます。

• SNMPv3(V3)でのオプション

  • 一般 - システムの名前、場所、管理連絡先情報、および管理対象システムの簡単な説明を指定します。SNMPv2を使用する場合は、SNMPv3エンティティの一意の意のとして機能するエンジンIDを設定します。

  • USM—ユーザーベースのセキュリティモデル(USM)設定を行います。この構成には、ユーザー名、認証タイプ、および暗号化タイプが含まれます。USMには、ローカルエンジンまたはリモートエンジンを設定することができます。リモートエンジンを選択した場合は、エンジン識別子を16進形式で指定します。このIDは、リモートホスト上のユーザーに送信されたパケットを認証および暗号化するためのセキュリティダイジェストの計算に使用されます。「ローカル・エンジン」オプションを指定した場合は、「一般」タブで指定したエンジンIDが考慮されます。エンジンIDが指定されていない場合、 ローカルmist がデフォルト値として設定されます。

  • VACM—VACM(ビューベースのアクセス制御モデル)を定義します。VACM では、グループのアクセス権限を設定できます。定義済みのビューを使用して、読み取り、書き込み、および通知操作に利用可能なMIBオブジェクトをフィルタリングすることで、アクセスを制御することができます(最初に[ビュー]タブから必要なビューを定義する必要があります)。各ビューは、特定のセキュリティ モデル(v1、v2c、または usm)およびセキュリティ レベル(認証、プライバシー、またはなし)に関連付けることができます。また、セキュリティ設定(ここでは定義済みの USM 設定を使用するオプションがあります)を [セキュリティ] から [グループ] 設定からアクセス グループに適用することもできます。

  • [通知(Notify)]:通知の SNMPv3 管理ターゲットを選択し、通知タイプを指定します。これを設定するには、通知に名前を割り当て、通知を受信するターゲットまたはタグを選択し、トラップ(未確認)または通知(確認済み)のどちらにするかを指定します。

  • [ターゲット(Target)]:特定の管理ターゲットに通知を送信するためのメッセージ処理およびセキュリティ パラメーターを設定します。ここでターゲットIPアドレスを指定することもできます。

  • ビュー(SNMPv2とSNMPv3の両方に適用可能)—MIBオブジェクトのグループを識別するMIBビューを定義します。ビュー内の各オブジェクトは、共通のオブジェクト識別子(OID)プレフィックスを共有します。MIBビューにより、エージェントはMIBツリー内の特定のブランチおよびオブジェクトへのアクセスをより詳細に制御できます。ビューは、名前と SNMP OID の集合で構成され、明示的に含めたり除外したりできます。

詳細については、 スイッチで SNMP を設定するを参照してください。

スタティックルートを設定します。スイッチは、次の場合にスタティック ルートを使用します。

• 優先値が良い(低い)ルートがない。

• 目的地までのルートを特定できません。

• ルーティングできないパケットを転送する必要があります。

Mistは、スタティック ルートの IPv4 および IPv6 アドレスをサポートします。IPv6 は、宛先アドレスとネクストホップアドレスで利用できます。

サポートされるスタティックルートのタイプ:

• [サブネット(Subnet)]:このオプションを選択した場合は、宛先ネットワークとネクストホップの IP アドレスを指定します。

• [ネットワーク(Network)]:このオプションを選択した場合は、VLAN(VLAN ID とサブネットを含む)とネクストホップ IP アドレスを指定します。

• メトリック—静的ルートのメトリック値。この値は、宛先への複数のルートの中から最適なルートを決定するのに役立ちます。範囲: 0 から 4294967295。

• [Preference]:優先値は、外部自律システム(AS)またはルーティングドメイン内の宛先へのルートを選択するために使用されます。AS内のルートはIGPによって選択され、そのプロトコルのメトリック値またはコスト値に基づきます。範囲: 0 から 4294967295。

• [Discard]:このチェックボックスをオンにすると、この宛先宛てのパケットがドロップされます。破棄は他のパラメーターよりも優先されます。

詳細を指定したら、[ Add Static Route ] ウィンドウの右上にあるチェックマーク(✓)をクリックし、テンプレートに設定を追加します。

テンプレートの GUI で使用できない追加設定を行うには、 set CLI コマンドを使用します。

例えば、カスタムログインメッセージを設定して、ユーザーに警告を表示し、スイッチ上で直接CLIを変更しないようにアドバイスすることができます。以下はその方法の一例です。

set system login message \n\n Warning! This switch is managed by Mist. Do not make any CLI changes.

すでに追加されているCLIコマンドを削除するには、次の例に示すように、 delete コマンドを使用します。

delete system login message \n\n Warning! This switch is managed by Mist. Do not make any CLI changes.

• OSPF(Open Shortest Path First)エリアを定義します。OSPF は、IP ネットワーク内で IP パケットを転送するための最適なパスを決定するために使用されるリンクステート ルーティング プロトコルです。OSPFは、ネットワークをエリアに分割することで、拡張性を向上させ、ルーティング情報のフローを制御します。OSPF エリアの詳細については、Junos ドキュメント「 OSPF エリアの設定」を参照してください。

• スイッチの OSPF 設定を有効または無効にします。

DHCPスヌーピングオプションを有効にして、スイッチに接続されている信頼できないデバイスからのDHCPメッセージを監視します。DHCP スヌーピングは、これらのメッセージを追跡するためのデータベースを作成します。これにより、DHCPOFFERパケットが不正なDHCPサーバから発信されたと仮定して、信頼できないポートでDHCPOFFERパケットが受け入れられるのを防ぐことができます。

DHCP 構成には、次のオプションがあります。

• [すべてのネットワーク(All Networks)]:[すべてのネットワーク(All Networks)] チェックボックスをオンにして、すべての VLAN で DHCP スヌーピングを有効にします。

• [ネットワーク(Networks)]:特定のネットワークでのみ DHCP スヌーピングを有効にする場合は、[ネットワーク(Networks)] ボックスの [追加(Add)](+)をクリックし、必要な VLAN を追加します。

• アドレス解決プロトコル(ARP)インスペクション:この機能を有効にすると、中間者攻撃がブロックされます。ARP インスペクションは、信頼できないポートで受信した ARP パケットの送信元 MAC アドレスを調べます。DHCP スヌーピング データベースと照合してアドレスを検証します。送信元MACアドレスの一致するエントリ(IP-MACバインディング)がデータベースにない場合、パケットはドロップされます。

  次の CLI コマンドを使用して、ARP 統計情報を確認できます。 show dhcp-security arp inspection statistics、および show log messages | match DAI。

  デバイスは、各インターフェイスで受信した無効なARPパケットの数を、送信者のIPアドレスおよびMACアドレスとともに記録します。これらのログ メッセージを使用して、ネットワーク上の ARP スプーフィングを検出できます。

• IPソースガード:IPソースガードは、DHCPスヌーピングデータベースのエントリに対して、信頼できないポートで受信した送信元IPおよびMACアドレスを検証します。送信元アドレスのデータベース内に一致するエントリがない場合、IPソースガードはパケットを破棄します。

  手記：

  IPソース ガードは、シングル サプリカントの802.1Xユーザー認証モードでのみ機能します。

スイッチ上の信頼できないポートにデバイスを接続している場合、静的IPアドレスを持つデバイスは、DHCPスヌーピングデータベースで一致するMAC-IPバインディングを持たない可能性があります。スイッチのDHCPスヌーピングデータベースを確認し、バインディングを表示するには、CLIコマンド show dhcp-security bindingを使用します。このコマンドは、スヌーピング データベースに記録された DHCP バインディングに関する情報を提供します。

SYSLOG設定を構成して、システムログメッセージの処理方法を設定します。システムログメッセージをファイル、リモート接続先、ユーザー端末、またはシステムコンソールに送信するように設定することができます。

設定オプションの詳細については、「 システムログの設定」を参照してください。

ポートミラーリング

ポートミラーリングを設定します。

ポートミラーリングは、分析のためにパケットのコピーを外部のホストアドレスまたはパケットアナライザに送信するルーターの機能です。ポートミラーリング設定では、以下を指定できます。

• 入力: 監視するトラフィックの送信元 (インターフェイスまたはネットワーク)。入力とともに、インターフェイスのイングレストラフィックとエグレストラフィックのどちらを監視するかMist指定できます。イングレスとエグレスの両方のトラフィックを監視する場合は、同じインターフェイスに2つの入力エントリーを追加します。1つはイングレスフラグ、もう1つはエグレスフラグです。

• 出力: トラフィックをミラーリングする宛先インターフェイス。入力フィールドと出力フィールドの両方に同じインターフェイスまたはネットワークを指定することはできません。

ルーティングポリシー

組織全体(組織>スイッチテンプレート)またはサイト(サイト>スイッチ設定)のルーティングポリシーを設定します。これらのルーティングポリシーは、BGPルーティングプロトコルに関連付けられている場合にのみ、スイッチ設定にプッシュされます。スイッチの「BGP」タブ内ですでに定義されているルーティング・ポリシーが、「ルーティング・ポリシー」タブに表示されます。ルーティングポリシーは、BGPやOSPFなどのプロトコルに関連付けられています。ルーティングポリシーフレームワークは、各ルーティングプロトコルのデフォルトルールで構成されています。これらのルールは、プロトコルがどのルートをルーティングテーブルに配置し、ルーティングテーブルからアドバタイズするかを決定します。ルーティングポリシーの設定では、一致ルートに適用する整合条件とアクションで構成される項を定義する必要があります。

ルーティングポリシーを設定するには、次の手順に従います。

1. [ルーティング ポリシー] タイルの [ ルーティング ポリシーの追加 ] をクリックします。

2. ポリシーに名前を付け、[ 用語の追加] をクリックします。

3. 条件に名前を付け、次のような他の一致の詳細を指定します。

   • 接頭辞

   • ASパス

   • 議定書

   • コミュニティ—BGPが類似プロパティを持つルートを管理上グループ化するために使用するルート属性。

   • Then—一致するルートに適用されるThenアクション(AcceptまたはReject)。

   • [アクションの追加(Add Action)]:AS パスを先頭に追加する、コミュニティを設定する、ローカル設定を設定するなどの追加アクション。

4. 用語の追加タイトルの右側にあるチェックマーク(✓)をクリックして、用語を保存します。用語は複数追加できます。

5. 「追加」をクリックして、ルーティングポリシーを保存します。

ユーザーがスイッチにログインするときに表示するテキストを入力します。例: 「警告!このスイッチはJuniper Mistによって管理されます。CLI は変更しないでください。最大 2048 文字まで入力できます。

VRF を使用すると、EXシリーズスイッチを複数の仮想ルーティングインスタンスに分割し、ネットワーク内のトラフィックを効果的に分離できます。VRF の名前を定義し、VRF に関連付けられているネットワークを指定し、必要な追加ルートを含めることができます。追加ルートの IPv4 または IPv6 アドレスを指定できます。

ポートを識別して有効にするための基本設定。

• トランク—トランク インターフェイスは通常、LAN 上の他のスイッチ、AP、およびルーターに接続します。このモードでは、インターフェイスを複数のVLANに配置でき、異なるVLAN間でトラフィックを多重化できます。ポート ネットワーク、VoIP ネットワーク (該当する場合)、トランク ネットワークを指定します。

• [アクセス(Access)]:デフォルト モード。通常、アクセス インターフェイスは、PC、プリンター、IP 電話、IP カメラなどのネットワーク デバイスに接続します。このモードでは、インターフェイスは 1 つの VLAN のみにすることができます。ポートネットワークとVoIPネットワークを指定します(該当する場合)。

• [ポート ネットワーク(Port Network)] および [VoIP ネットワーク(VoIP Network)]:このポートの VLAN を選択します。

ポートベースのネットワーク アクセス コントロールの IEEE 802.1X 認証を有効にするには、このオプションを選択します。802.1X認証は、PVLAN(プライベートVLAN)のメンバーであるインターフェイスでサポートされています。

ポートでdot1x認証を有効にした場合、以下のオプションを使用できます。

• [複数のサプリカントを許可(Allow Multiple Supplicants)]:複数のエンド デバイスにポートへの接続を許可するには、このオプションを選択します。各デバイスは個別に認証されます。

• ダイナミックVLAN—RADIUSサーバー属性「tunnel-private-group-ID」または「Egress-VLAN-Name」から返されるダイナミックVLANを指定します。この設定により、ポートでダイナミックVLAN割り当てができるようになります。

• [MAC 認証(MAC authentication)]:ポートの MAC 認証を有効にするには、このオプションを選択します。このオプションを選択すると、 認証プロトコルを指定することもできます。プロトコルを指定する場合、サプリカントはそのプロトコルを使用して認証資格情報を提供する必要があります。

• [ゲスト ネットワークを使用(Use Guest Network)]:認証にゲスト ネットワークを使用するには、このオプションを選択します。次に、ドロップダウンリストから ゲストネットワーク を選択します。

• [サーバーがダウンしているときに認証をバイパスする] - このオプションを選択すると、サーバーがダウンしている場合、クライアントは認証なしでネットワークに参加できます。

• 再認証間隔—dot1x認証を使用するスイッチポートプロファイルでは、クライアントがRADIUSサーバーで自身を再認証する頻度を制御するタイマーを設定できます。推奨値は 6 から 12 時間 (21600 から 43200 秒) です。デフォルト値は65000秒です。

dot1x 認証を機能させるには、以下のことも行う必要があります。

• テンプレートの [All Switches Configuration] セクションにある [Authentication Servers] タイルから、dot1x 認証用の RADIUS サーバーを設定します。

• RADIUS 設定がスイッチにプッシュされるように、dot1x ポート プロファイルをスイッチ ポートに割り当てます。これは、テンプレートの [Select Switches Configuration] セクションにある [Port Config] タブから実行できます。

  ポートの上にマウスを置くと、[RADIUS-assigned VLAN]フィールドが表示されます。dot1x が有効になっているポートには、802.1x 認証が成功すると、RADIUS サーバーによって新しい VLAN が割り当てられます。このビューは、dot1x 認証後にポート上の特定の VLAN が変更されたかどうかを確認する場合に特に役立ちます。

  図 1: dot1x ポート で割り当てられた VLAN

速度

デフォルト設定の[自動]をそのまま使用するか、速度を選択します

二連式

デフォルト設定の [自動] をそのまま使用するか、[ハーフ] または [フル] を選択します。

デフォルト値は 0 です

サポート範囲: 0 から 16383

ポートが PoE(Power over Ethernet)をサポートできるようにします。

ポートでBridge Protocol Data Unit(BPDU)ガードを有効にする場合は、ポートを Rapid Spanning Tree Protocol(RSTP)エッジ ポートとして設定します。RSTP は、RSTP に参加しないクライアントが接続されているポートで有効です。この設定により、ポートがエッジ ポートとして扱われ、BPDU の受信から保護されます。RSTP Edge で設定されたポートに非エッジ デバイスを接続すると、ポートは無効になります。さらに、[Switch Insights] ページでは [Port BPDU Blocked] イベントが生成されます。 [Switch Details ] のフロント パネルにも、このポートの [BPDU Error] が表示されます。

BPDU エラーのポートをクリアするには、フロント パネルでポートを選択し、[ BPDU エラーのクリア(Clear BPDU Errors)] をクリックします。

アップリンク ポートで RSTP Edge を有効にしないでください。

また、スイッチの詳細ページの [ポート プロファイル (Port Profile)] セクションから、スイッチ レベルで RSTP エッジを設定することもできます。

RSTP ポイントツーポイント

この設定により、インターフェイスモードがポイントツーポイントに変更されます。ポイントツーポイントリンクは、1つのポートと別のポートを接続する2つのネットワークノードまたはスイッチ間の専用リンクです。

RSTP ルート ポートなし

この設定では、インターフェイスがルート ポートになることはありません。

ポートのサービス品質(QoS)を有効にして、音声などの遅延の影響を受けやすいトラフィックをポート上の他のトラフィックよりも優先します。

WLAN 設定ページ(サイト > WLAN > WLAN 名)で QoS 設定を上書きするオプションがあります。QoS 設定を上書きするには、[ QoS の上書き(Override QoS)] チェックボックスをオンにして、ワイヤレス アクセス クラスを選択します。ダウンストリーム トラフィック(AP > クライアント)は、指定されたオーバーライド アクセス クラス値でマークされます。オーバーライド構成では、アップストリーム トラフィック (クライアント > AP) はサポートされていません。

「 QoS 設定」も参照してください。

詳細については、「 ストーム制御について」を参照してください。

永続的(スティッキー)MAC を有効にして、デバイスの再起動後も、インターフェイスによって学習された信頼できるワークステーションとサーバーの MAC アドレスを保持します。スタティック有線クライアント用にスティッキーMACを設定できます。スティッキー MAC は、Juniper Mist AP インターフェイスでの使用を意図しておらず、トランク ポートや 802.1X 認証で設定されたポートではサポートされていません。

スティッキーMACは、MAC制限(上記で説明)と組み合わせて使用することで、レイヤー2サービス拒否(DoS)攻撃、イーサネットスイッチングテーブルへのオーバーフロー攻撃、DHCPスターベーション攻撃から保護すると同時に、インターフェイスがMACアドレスを動的に学習できるようにします。Mist ポータルの [分析情報] ページでは、これらのイベントが MAC Limit Exceeded として報告されます。

スティッキーMACとMAC制限の両方を、スイッチのポートプロファイルの一部として設定します。一般的な手順は、次のビデオで説明されています。

インターフェイスに関連付けるポートプロファイルの一部としてスティッキーMACを含めるには、ポートプロファイル設定ブロックの下部にある [永続的(スティッキー)MAC学習 ]オプションを明示的に有効にする必要があります。MAC 制限の場合、デフォルト値は 0(無制限、つまり無効)ですが、最大 16383 個の一意の MAC アドレスを許可する値を設定することで有効にできます。

Mist ポータルで [MAC Limit] または [MAC Count] に設定されている値を確認するには、[Switches] ページからスイッチを選択し、スイッチ ポートの上にマウスを置きます。インターフェイスに適用されている(ポート)プロファイルを確認し、拡張によってそのスティッキーMACステータスを知ることができます。

図2:スティッキーMACを示すポートの詳細

インターフェイスでの動的学習が進むにつれて、設定されたMAC制限と学習されたMACの数が数分後に表示されます。Mist ダッシュボードには、最大 MAC アドレス数のみが表示されます。ただし、スイッチへの リモートシェル を開き、以下のJunos CLIコマンドを実行することで、特定のインターフェイスが学習したすべてのMACアドレスを確認できます。

show ethernet-switching table persistent-learning
show ethernet-switching table persistent-learning interface

MACカウントは、MACアドレスがクリアされるまで(またはポートプロファイルで無効になり、その設定がスイッチにプッシュされるまで)残る永続的な値です。

Mistダッシュボードから特定のインターフェイスのMACアドレスをクリアするには、ネットワーク管理者またはスーパーユーザーとしてログインする必要があります。次に、スイッチのフロントパネル(図1を参照)から必要なポートを選択し、表示される [Clear MAC [Dynamic/Persistent] ボタンをクリックします。

[Switch Insights] ページに、イベントが MAC Limit Reset イベントとして表示されます。

フロントパネルの詳細については、 スイッチの詳細を参照してください。

同じモデルのすべてのスイッチにこのルールを適用する場合は、このオプションを有効にします。次に、モデルを選択します。

サブネットまたはサイトの変数を入力します。

ホスト発信パケットの値または GBP 送信元タグを入力します(範囲: 1〜65535)。

[+] をクリックし、選択したユーザーまたはグループにマップする必要があるリソースを追加します。GBTタグをすでに定義している場合は、ここでも使用できます。

既定では、ユーザーには追加されたリソースへのアクセス権が付与されます。特定のリソースへのユーザー アクセスを拒否する場合は、追加した [リソース] ラベルをクリックし、アクセス を [拒否] に設定します。