スイッチ構成オプション

ユーザーが提供するユーザー名とパスワード、証明書、またはその他の認証要素を検証するための認証サーバーを選択します。

• Mist Auth—Mistのクラウドベース認証サービスであるJuniper Mist Access Assuranceをスイッチで設定する場合は、このオプションを選択します。このオプションを機能させるには、dot1x または MAB 認証でポートを使用する必要もあります。詳細については、この 製品アップデートページの「Mist Access Assuranceの紹介」セクションを参照してください。

  手記：

  有線スイッチでのMist Authを使用するには、Junos 20.4R3-S7以上、22.3R3以上、22.4R2以上、または23.1R1以上が必要です。

  認証ポリシー、ポリシーラベル、証明書、IDプロバイダなどのMist Access Assurance機能を設定するには、[ 組織 > アクセス]に移動します。

• RADIUS:スイッチ レベルで dot1x ポート認証を有効にするために、RADIUS 認証サーバーとアカウンティング サーバーを設定するには、このオプションを選択します。dot1x ポート認証を機能させるには、dot1x 認証を使用するポート プロファイルを作成し、そのプロファイルをスイッチのポートに割り当てる必要があります。

  デフォルトのポート番号は次のとおりです。

  • 認証サーバーのポート 1812

  • アカウンティング サーバーのポート 1813

set system authentication-order radius
set system radius-server radius-server-IP port 1812
set system radius-server radius-server-IP secret secret-code
set system radius-server radius-server-IP source-address radius-Source-IP
set system login user remote class class

set system login user RO class read-only
set system login user OP class operator
set system login user SU class super-user
set system login user remote full-name "default remote access user template"
set system login user remote class read-only

TACACS+ およびアカウンティング サーバーでサポートされているポート範囲は、1 から 65535 です。

ドメイン ネーム サーバー (DNS) 設定を構成します。最大 3 つの DNS IP アドレスとサフィックスをカンマ区切り形式で設定できます。

ネットワーク管理とモニタリングをサポートするために、スイッチで簡易ネットワーク管理プロトコル(SNMP)を設定します。SNMPv2 または SNMPv3 を設定できます。設定できるSNMPオプションは次のとおりです。

• SNMPv2(V2)のオプション

  • 一般—システムの名前、場所、管理上の連絡先情報、および管理下システムの簡単な説明を指定します。SNMPv2 を使用する場合、デバイスから送信される SNMP トラップ パケットの送信元アドレスを指定するオプションがあります。送信元アドレスを指定しない場合、デフォルトで発信インターフェイスのアドレスが使用されます。

  • クライアント:SNMP クライアントのリストを定義します。複数のクライアント リストを追加できます。この設定には、クライアント リストの名前とクライアントの IP アドレス(カンマ区切り形式)が含まれます。各クライアント・リストには、複数のクライアントを含めることができます。クライアントは、/32 マスクが付いたプレフィックスです。

  • トラップグループ:指定されたトラップ通知を受信するホストの名前付きグループを作成します。SNMP トラップを送信するには、少なくとも 1 つのトラップ グループを設定する必要があります。設定には、次のフィールドが含まれます。

    • グループ名—トラップグループの名前を指定します。

    • [カテゴリ] - 次のカテゴリのリストから選択します。複数の値を選択できます。

      • 認証

      • シャシ

      • 構成

      • リンク

      • リモート操作

      • ルーティング

      • サービス

      • スタートアップ

      • VRRP イベント

    • ターゲット:ターゲット IP アドレスを指定します。複数のターゲットを指定できます。

    • バージョン—SNMPトラップのバージョン番号を指定します。

  • コミュニティ—SNMPコミュニティを定義します。SNMP コミュニティは、送信元 IP アドレスによって SNMP クライアントを承認するために使用されます。また、ビューで定義された特定の MIB オブジェクトに対するアクセシビリティとパーミッション(読み取り専用または読み取り/書き込み)も決定します。コミュニティ設定には、クライアントリスト、認証情報、およびビューを含めることができます。

  • ビュー(SNMPv2 と SNMPv3 の両方に適用)—MIB ビューを定義して、MIB オブジェクトのグループを識別します。ビュー内の各オブジェクトは、共通のオブジェクト識別子 (OID) プレフィックスを共有します。MIBビューにより、エージェントはMIBツリー内の特定のブランチとオブジェクトへのアクセスをより詳細に制御できます。ビューは、名前とSNMP OIDのコレクションで構成され、明示的に含めたり除外したりできます。

• SNMPv3(V3)のオプション

  • 一般—システムの名前、場所、管理上の連絡先情報、および管理下システムの簡単な説明を指定します。SNMPv2 を使用する場合は、SNMPv3 エンティティの一意の識別子として機能するエンジン ID を設定します。

  • USM:ユーザーベースセキュリティモデル(USM)設定を行います。この設定には、ユーザー名、認証タイプ、および暗号化タイプが含まれます。USM 用にローカル エンジンまたはリモート エンジンを設定できます。リモートエンジンを選択する場合は、エンジン識別子を16進形式で指定します。このIDは、リモートホストでユーザーに送信されたパケットを認証して暗号化するためのセキュリティダイジェストの計算に使用されます。[ローカル エンジン] オプションを指定すると、[全般] タブで指定したエンジン ID が考慮されます。エンジンIDを指定しない場合、 ローカルミスト がデフォルト値として設定されます。

  • VACM - ビューベースアクセス制御モデル(VACM)を定義します。VACM を使用すると、グループのアクセス権限を設定できます。定義済みのビューを使用して、読み取り、書き込み、および通知操作に使用できるMIBオブジェクトをフィルタリングすることで、アクセスを制御できます(最初に[ビュー]タブから必要なビューを定義する必要があります)。各ビューは、特定のセキュリティ モデル(v1、v2c、または usm)とセキュリティ レベル(認証、プライバシー、またはなし)に関連付けることができます。また、[セキュリティ] から [グループ] 設定からアクセス グループにセキュリティ設定を適用することもできます (ここでは定義済みの USM 設定を使用するオプションがあります)。

  • 通知:通知用の SNMPv3 管理ターゲットを選択し、通知タイプを指定します。これを設定するには、通知に名前を割り当て、通知を受信するターゲットまたはタグを選択し、トラップ(未確認)通知かインフォーム(確認済み)通知かを指定します。

  • [ターゲット(Target)]:特定の管理ターゲットに通知を送信するためのメッセージ処理およびセキュリティ パラメータを設定します。ここでターゲット IP アドレスを指定することもできます。

  • ビュー(SNMPv2 と SNMPv3 の両方に適用)—MIB ビューを定義して、MIB オブジェクトのグループを識別します。ビュー内の各オブジェクトは、共通のオブジェクト識別子 (OID) プレフィックスを共有します。MIBビューにより、エージェントはMIBツリー内の特定のブランチとオブジェクトへのアクセスをより詳細に制御できます。ビューは、名前とSNMP OIDのコレクションで構成され、明示的に含めたり除外したりできます。

詳細については、次を参照してください: スイッチで SNMP を構成する。

スタティックルートを設定します。スイッチは、以下の場合にスタティック ルートを使用します。

• より良い(より低い)プリファレンス値を持つルートはありません。

• 宛先へのルートは決定できません。

• ルーティングできないパケットを転送する必要があります。

サポートされるスタティックルートのタイプ:

• [サブネット(Subnet)]:このオプションを選択した場合は、宛先ネットワークとネクストホップのIPアドレスを指定します。

• ネットワーク - このオプションを選択した場合は、VLAN(VLAN ID とサブネットを含む)とネクストホップ IP アドレスを指定します。

• メトリック—スタティック ルートのメトリック値。この値は、宛先への複数のルートの中から最適なルートを決定するのに役立ちます。範囲: 0 から 4294967295。

• 優先—優先値は、外部自律システム(AS)またはルーティングドメイン内の宛先へのルートを選択するために使用されます。AS内のルートはIGPによって選択され、そのプロトコルのメトリックまたはコスト値に基づきます。範囲: 0 から 4294967295。

• [破棄(Discast)]:このチェックボックスをオンにすると、この宛先宛てのパケットはドロップされます。破棄は、他のパラメーターよりも優先されます。

詳細を指定したら、[ Add Static Route](スタティックルートの追加 )ウィンドウの右上にあるチェックマーク(✓)をクリックして、設定をテンプレートに追加します。

テンプレートの GUI で使用できない追加設定を構成するには、 set CLI コマンドを使用できます。

例えば、カスタムログインメッセージを設定して、ユーザーに警告を表示し、スイッチ上で直接CLI変更を行わないようにアドバイスすることができます。これを行う方法の例を次に示します。

set system login message \n\n Warning! This switch is managed by Mist. Do not make any CLI changes.

すでに追加されている CLI コマンドを削除するには、次の例に示すように、 delete コマンドを使用します。

delete system login message \n\n Warning! This switch is managed by Mist. Do not make any CLI changes.

• オープン最短パスファースト(OSPF)エリアを定義します。OSPFは、IPネットワーク内でIPパケットを転送するための最適なパスを決定するために使用されるリンクステート型ルーティングプロトコルです。OSPFは、ネットワークをエリアに分割して拡張性を向上させ、ルーティング情報の流れを制御します。OSPFエリアの詳細については、このJunosのドキュメント「 OSPFエリアの設定」を参照してください。

• スイッチの OSPF 設定を有効または無効にします。

DHCP スヌーピング オプションを有効にして、スイッチに接続された信頼できないデバイスからの DHCP メッセージをモニタします。DHCP スヌーピングは、これらのメッセージを追跡するためのデータベースを作成します。これにより、許可されていないDHCPサーバーから発信されたと仮定して、信頼できないポートでのDHCPOFFERパケットの受け入れを防ぐことができます。

DHCP 構成には、次のオプションがあります。

• すべてのネットワーク:すべてのVLANでDHCPスヌーピングを有効にするには、[すべてのネットワーク]チェックボックスをオンにします。

• ネットワーク:特定のネットワークでのみDHCPスヌーピングを有効にする場合は、[ネットワーク]ボックスの[追加(+)]をクリックして、必要なVLANを追加します。

• アドレス解決プロトコル(ARP)インスペクション:この機能を有効にして、中間者攻撃をブロックします。ARP インスペクションは、信頼できないポートで受信した ARP パケットの送信元 MAC アドレスを検査します。DHCP スヌーピング データベースに対してアドレスを検証します。送信元 MAC アドレスに一致するエントリ(IP-MAC バインディング)がデータベース内にない場合、パケットはドロップされます。

  ARP 統計を確認するには、次の CLI コマンド show dhcp-security arp inspection statistics および show log messages | match DAI を使用します。

  デバイスは、各インターフェイスで受信した無効なARPパケットの数を、送信者のIPアドレスとMACアドレスとともに記録します。これらのログ メッセージを使用して、ネットワーク上の ARP スプーフィングを発見できます。

• IP ソース ガード:IP ソース ガードは、信頼できないポートで受信した送信元 IP アドレスと MAC アドレスを DHCP スヌーピング データベースのエントリと照合します。送信元アドレスに一致するエントリがデータベース内にない場合、IP ソース ガードはパケットを破棄します。

  手記：

  IPソース ガードは、シングル サプリカント 802.1X ユーザー認証モードでのみ動作します。

スイッチ上の信頼できないポートにデバイスを接続している場合、スタティック IP アドレスを持つデバイスは、DHCP スヌーピング データベースに一致する MAC-IP バインディングを持たない可能性があります。スイッチのDHCPスヌーピングデータベースを確認し、バインディングを表示するには、CLIコマンド show dhcp-security bindingを使用します。このコマンドは、スヌーピング データベースに記録された DHCP バインディングに関する情報を提供します。

SYSLOG 設定を構成して、システム ログ メッセージの処理方法を設定します。システム・ログ・メッセージをファイル、リモート宛先、ユーザー端末、またはシステム・コンソールに送信する設定ができます。SYSLOG 設定に使用できる設定オプションを次に示します。

• ファイル - 指定されたファイルにログ メッセージを送信します。

• ホスト - ログメッセージをリモートロケーションに送信します。これは、これらのログメッセージが生成されるたびに通知されるデバイスのIPアドレスまたはホスト名である可能性があります。

• ユーザー - 特定のユーザーにログイベントを通知します。

• コンソール:指定されたクラスと重大度のログメッセージをコンソールに送信します。ログ メッセージには、ログ メッセージのファシリティと重大度レベルに関する詳細を提供する優先度情報が含まれます。

• アーカイブ:ログメッセージをアーカイブするためのパラメータを定義します。

• [General]:ログ メッセージの時間形式、ルーティング インスタンス、送信元アドレスなどの一般情報を指定します。

ポートミラーリング

ポートミラーリングを設定します。

ポート ミラーリングとは、分析のためにパケットのコピーを外部のホスト アドレスまたはパケット アナライザに送信するルーターの機能です。ポートミラーリング設定では、以下を指定できます。

• 入力:監視するトラフィックの送信元(インターフェイスまたはネットワーク)。入力に加えて、Mistがインターフェイスのイングレストラフィックまたはエグレストラフィックのどちらを監視するかを指定できます。イングレスとエグレスの両方のトラフィックを監視する場合は、同じインターフェイスに 2 つの入力エントリを追加します。1 つは ingress フラグ、もう 1 つは egress フラグです。

• 出力:トラフィックをミラーリングする宛先インターフェイス。入力フィールドと出力フィールドの両方に同じインターフェースまたはネットワークを指定することはできません。

ルーティングポリシー

組織全体(組織>スイッチテンプレート)またはサイト(サイト>スイッチ設定)のルーティングポリシーを設定します。これらのルーティング ポリシーは、BGP ルーティング プロトコルに関連付けられている場合にのみスイッチ構成にプッシュされます。スイッチの「BGP」タブ内ですでに定義されているルーティング・ポリシーが、「ルーティング・ポリシー」タブに表示されます。ルーティング ポリシーは、BGP や OSPF などのプロトコルに関連付けられています。ルーティングポリシーフレームワークは、各ルーティングプロトコルのデフォルトルールで構成されています。これらのルールは、プロトコルがルーティング テーブルに配置し、ルーティング テーブルからアドバタイズするルートを決定します。ルーティング ポリシーの設定では、一致条件と、一致するルートに適用するアクションで構成される用語を定義します。

ルーティングポリシーを設定するには:

1. [ルーティング ポリシー] タイルの [ ルーティング ポリシーの追加 ] をクリックします。

2. ポリシーに名前を指定し、[ 用語の追加] をクリックします。

3. 用語に名前を指定し、次のようなその他の一致の詳細を指定します。

   • 接頭辞

   • ASパス

   • 議定書

   • コミュニティ—BGPが類似プロパティを持つルートを管理上グループ化するために使用するルート属性。

   • その後:一致するルートに適用されるアクション(承認または拒否)。

   • アクションの追加 - ASパスを先頭に追加する、コミュニティを設定する、ローカルプリファレンスを設定するなどの追加のアクション。

4. [用語の追加] タイトルの右側にあるチェック マーク (✓) をクリックして、用語を保存します。複数の用語を追加できます。

5. [ 追加(Add )] をクリックして、ルーティング ポリシーを保存します。

ユーザがスイッチにログインしたときに表示されるテキストを入力します。例: "警告!このスイッチはJuniper Mistによって管理されます。CLIは変更しないでください。最大 2048 文字まで入力できます。

VRFでは、EXシリーズスイッチを複数の仮想ルーティングインスタンスに分割し、ネットワーク内のトラフィックを効果的に分離できます。VRF の名前を定義し、VRF に関連するネットワークを指定し、必要な追加ルートを含めることができます。

ポートを識別して有効にするための基本設定。

• トランク:トランク インターフェイスは通常、LAN 上の他のスイッチ、AP、およびルーターに接続します。このモードでは、インターフェイスを複数の VLAN にすることができ、異なる VLAN 間のトラフィックを多重化できます。ポート ネットワーク、VoIP ネットワーク (該当する場合)、およびトランク ネットワークを指定します。

• アクセス - デフォルト モード。通常、アクセス インターフェイスは、PC、プリンター、IP 電話、IP カメラなどのネットワーク デバイスに接続します。このモードでは、インターフェイスは単一のVLANにのみ存在できます。ポートネットワークとVoIPネットワーク(該当する場合)を指定します。

• ポートネットワークとVoIPネットワーク:このポートのVLANを選択します。

ポートベースのネットワークアクセス制御でIEEE 802.1X認証を有効にするには、このオプションを選択します。802.1X 認証は、プライベート VLAN(PVLAN)のメンバーであるインターフェイスでサポートされています。

ポートでdot1x認証を有効にすると、次のオプションを使用できます。

• [複数のサプリカントを許可]:複数のエンド デバイスがポートに接続できるようにするには、このオプションを選択します。各デバイスは個別に認証されます。

• ダイナミックVLAN—RADIUSサーバー属性の「トンネルプライベートグループID」または「Egress-VLAN-Name」から返されるダイナミックVLANを指定します。この設定により、ポートで動的VLAN割り当てを実行できます。

• MAC 認証:ポートの MAC 認証を有効にするには、このオプションを選択します。このオプションを選択すると、 認証プロトコルを指定することもできます。プロトコルを指定する場合、サプリカントが認証クレデンシャルを提供するためにそのプロトコルを使用する必要があります。

• [ゲスト ネットワークを使用(Use Guest Network)]:認証にゲスト ネットワークを使用するには、このオプションを選択します。次に、ドロップダウンリストから ゲストネットワーク を選択します。

• [サーバーがダウンしている場合、認証をバイパスする] - このオプションを選択すると、サーバーがダウンしていても、クライアントは認証なしでネットワークに参加できます。

dot1x 認証を機能させるには、次の操作も行う必要があります。

• テンプレートの すべてのスイッチ設定 セクションの認証サーバー タイルから、dot1x 認証用の RADIUS サーバーを設定します。

• RADIUS 設定をスイッチにプッシュするために、dot1x ポート プロファイルをスイッチ ポートに割り当てます。これは、テンプレートの スイッチ構成の選択 セクションの ポート構成 タブから実行できます。

速度

デフォルト設定の[自動]をそのまま使用するか、速度を選択します

二連式

既定の設定である [自動] をそのまま使用するか、[半分] または [完全] を選択します。

デフォルト値: 0

サポートされている範囲: 0 から 16383

ポートがPoE(パワーオーバーイーサネット)をサポートできるようにします。

ポートでブリッジプロトコルデータユニット(BPDU)ガードを有効にする場合は、ポートをスパニングツリープロトコル(STP)エッジポートとして設定します。この設定により、ポートがエッジ ポートとして扱われ、STP の制御メッセージである BPDU の受信が保護されます。STP Edge で設定されたポートに非エッジ デバイスを接続すると、ポートは無効になります。さらに、[スイッチ インサイト(Switch Insights)] ページでは、ポート BPDU ブロック イベントが生成されます。 スイッチの詳細 のフロントパネルにも、このポートのBPDUエラーが表示されます。

BPDU エラーのポートをクリアするには、フロント パネルでポートを選択し、[ BPDU エラーのクリア] をクリックします。

STP Edge は、スイッチの詳細ページの ポート プロファイル セクションから、スイッチ レベルで設定することもできます。

STPの詳細については、 スパニングツリープロトコルの仕組みを参照してください。

ポートのサービス品質(QoS)を有効にして、音声などの遅延の影響を受けやすいトラフィックを、ポート上の他のトラフィックよりも優先します。

WLAN 設定ページで QoS 設定を上書きするオプションがあります(サイト > WLAN > WLAN 名)。QoS 設定を上書きするには、 QoS を上書き する チェックボックスを選択し、ワイヤレス アクセス クラスを選択します。ダウンストリームトラフィック(AP>クライアント)は、指定された上書きアクセスクラス値でマークされます。オーバーライド構成では、アップストリーム トラフィック(クライアント> AP)はサポートされていません。

「 QoS 構成」も参照してください。

詳細については、「 ストーム制御について」を参照してください。

永続的(スティッキー)MACを有効にして、許可されていないデバイスがネットワークに接続できないようにします。有効にすると、スイッチはポートに到着したデバイスのMACアドレスを学習してメモリに保存します。学習されたMACアドレスの数が上記で指定された「MAC制限」を超えると、ポートはフレームをドロップします。また、[分析情報] ページに [MAC 制限を超えました] イベントが表示されます。

スイッチの詳細ページのフロントパネルからポートにカーソルを合わせると、MAC制限とMACカウント(ポートが動的に学習したMACアドレスの数)を確認できます。

Juniper Mistポータルには、インターフェイスが学習したMACアドレスは表示されません。最大MACアドレス数のみが表示されます。インターフェイスが学習した MAC アドレスを表示するには、スイッチの詳細ページで ユーティリティ > リモート シェル オプションを選択し、次のコマンドを実行します。

• show ethernet-switching table persistent-learning
• show ethernet-switching table persistent-learning interface

MACカウント値は、スイッチの詳細のフロントパネルからクリアするか、永続的(スティッキー)MAC学習機能を無効にするまでポートに残ります。ポートが学習した MAC アドレスをクリアするには、スイッチのフロント パネルでポートを選択し、[ MAC のクリア (動的/永続的)] をクリックします。このアクションにより、[スイッチ インサイト(Switch Insights)] ページに MAC 制限リセット イベントが生成されます。フロントパネルの詳細については 、スイッチの詳細をご覧ください。

同じモデルのすべてのスイッチにこのルールを適用する場合は、このオプションを有効にします。次に、モデルを選択します。

サブネットまたはサイト変数を入力します。

ホスト発信パケットの値またはGBPソースタグを入力します(範囲:1〜65535)。

[ + ] をクリックし、選択したユーザーまたはグループにマップする必要があるリソースを追加します。GBT タグをすでに定義している場合は、ここでも使用できます。

既定では、ユーザーには追加されたリソースへのアクセス権が付与されます。特定のリソースへのユーザー アクセスを拒否する場合は、追加した [リソース] ラベルをクリックし、アクセス を拒否に設定します。