前回は、Security Fundamentals の第2回として、パスワードポリシー と 認証要素 の基本を整理しました。
今回はそこから少し進めて、Layer 2 セキュリティ機能 について学んだ内容をまとめます。
普段、スイッチは端末同士をつなぐための機器として考えることが多いですが、実際には「ただつなぐだけ」ではなく、不正な端末を防ぐ、偽のDHCPサーバを防ぐ、ARPのなりすましを防ぐ といった役割も持たせることができます。
今回の学習では、Port Security、DHCP Snooping、DAI（Dynamic ARP Inspection） の3つが中心でした。
それぞれが何を防ぐのかを順番に整理すると、かなり理解しやすい内容だと感じました。
Port Security は何を防ぐか
まず最初に出てくるのが Port Security です。
これは、接続してよい端末を制限する機能 です。
考え方としてはとてもシンプルで、スイッチのポートに対して「このMACアドレスの端末なら通してよい」「想定していない端末は通さない」という制御を行います。
つまり Port Security が防ぎたいのは、想定外の端末が勝手に接続されること です。
オフィスの空いているポートに知らない端末をつながれてしまうような状況を、そのまま許さないための基本機能だと考えると分かりやすいです。 キャプチャ1
DHCP Snooping は何を防ぐか
次に重要なのが DHCP Snooping です。
これは、不正なDHCPサーバを防ぐ機能 です。
DHCPは、IPアドレスを自動で配る仕組みですが、もしネットワーク内に正規ではないDHCPサーバが存在すると、端末に間違ったIP設定を配ってしまう可能性があります。
Ciscoは DHCP Snooping を、untrusted hosts と trusted DHCP servers の間で動くファイアウォールのような機能 と説明しています。DHCPメッセージを検査し、不正なものを落とし、さらにバインディング情報も保持します。
今回の学習のイメージとしては、
正規のDHCPサーバ側は trusted、
ユーザ端末側は untrusted、
と分けて考えるのがポイントです。
そして、正規でないDHCPサーバからの応答を通さない のが DHCP Snooping の役割です。
Trusted / Untrusted port の意味
DHCP Snooping や DAI を理解するうえで大事なのが、Trusted / Untrusted port という考え方です。
trusted port は、信頼できる機器がつながっているポートです。今回の文脈では、主に 正規のDHCPサーバ側 を指します。
一方の untrusted port は、通常の端末が接続されるポートです。こちらは、利用者が使うPCなどがつながる側なので、不正なメッセージが来る可能性も考えて監視対象になります。
つまり、Trusted / Untrusted の意味は、単に「安全そう」「危なそう」という感覚的な区別ではなく、どのポートを信頼して、どのポートの通信を厳しく検査するか を決めるための重要な考え方です。
DAI は何を防ぐか
3つ目が DAI（Dynamic ARP Inspection） です。
これは、ARPなりすましを防ぐ機能 です。
ARPは、同じLANの中で「このIPアドレスを持っている機器のMACアドレスは何か」を調べるための仕組みです。
つまり、通信を始める前に IPからMACを調べる ために使われます。
ただし、このARPは仕組み上、偽の応答を送りつけることで なりすまし に悪用されることがあります。
DAI はそのARPパケットを検査し、正しくない IP-MAC 対応を持つパケットを破棄する機能 です。つまり、ARPをそのまま信じるのではなく、本当に正しい対応関係なのかを確認してから通す というわけです。
今回の学習ポイントをシンプルに言うと、
ARPはIPからMACを調べる仕組み、
DAIはそのARPのなりすましを防ぐ仕組み、
という関係になります。
DAI が DHCP Snooping とどう関係するか
DAI を理解するうえで、今回いちばん大事なのがこの関係です。
DAI は単独で動くというより、DHCP Snooping の情報を使って ARP を検査する という流れで理解すると分かりやすいです。
つまり DHCP Snooping が「正しいIPアドレスとMACアドレスの対応表」を持っていて、DAI はその表を見ながら「このARPは本物か？」をチェックする、という役割分担です。 Cisco
この関係があるので、今回のテーマは
Port Security → DHCP Snooping → DAI
の順で理解するとかなり整理しやすいです。
まず端末を制限し、次に偽DHCPを防ぎ、最後にARPなりすましを防ぐことになります。
トラブル時の確認ポイント
今回の内容は、機能ごとの役割を順番に確認すると混乱しにくいです。
まず Port Security が何を守っているのか を確認する。
次に DHCP Snooping が不正DHCPを防ぐ役割 を持っていることを確認する。
そのうえで DAI はARPを検査する機能 だと整理する。
そして最後に、DAI は DHCP Snooping の情報と関係している ことを押さえる。
この順番で見ていくと、「それぞれ別の機能」に見えていたものが、実は 役割を分担しながら連携している ことが分かりやすくなります。
まとめ
今回は、Security Fundamentals の第3回として、Layer 2 セキュリティ機能の基礎 を整理しました。
特に大事なのは、
Port Security は想定外の端末接続を防ぐこと、
DHCP Snooping は不正なDHCPサーバを防ぐこと、
Trusted / Untrusted port はどの通信を信頼するかを決める考え方であること、
DAI はARPなりすましを防ぐこと、
そして DAI は DHCP Snooping の情報を利用して動くこと です。
セキュリティ機能は用語だけ並ぶと少し難しそうに見えますが、今回の内容は
端末制限 → 偽DHCP防止 → ARPなりすまし防止
という順で考えると、かなり整理しやすいと感じました。
まずはそれぞれが何を防ぐ機能なのかをしっかり押さえて、次の学習につなげていきたいと思います。
コメント