「スイッチ」の記事 - Crieit

【セキュリティ】スイッチのポートセキュリティ

2021-07-12T13:59:06+09:00

まず、ポートセキュリティとは

ポートセキュリティとは、その名の通り、スイッチに接続するポートに対してのセキュリティです。

知らない機器がスイッチポートに繋がってLAN接続するのを防ぎます。
インターフェースコンフィギュレーションモードにて
switchport port-security
で有効にします

ここで、

switchport port-security maximum 3
とか設定すると、このスイッチには最大３台までしか接続できなくなる。

これを超えて6台とか繋いだら、
セキュリティ違反モードが作動します。

セキュリティ違反モードとは

違反すると何が起こるかというと、

セキュアなMACアドレス以外のパケットを破棄する
SNMPトラップやSyslogメッセージの送信と、違反カウンタの増加
ポートのシャットダウン

です。。。が。

これは違反モードがshutdown（デフォルト）の時の話。

違反モードは3つ（shutdown、restrict、protect）あって

restrictにすると、
3. ポートのシャットダウンがなくなり

protectにすると、
2. SNMPトラップやSyslogメッセージの送信と、違反カウンタの増加がさらになくなります。

DTPについて

2021-07-05T16:34:54+09:00

DTPについて

DTP（Dynamic Trunking Protocol）とは、
スイッチとスイッチを接続したポートで、トランクポート接続をするのか、アクセスポート接続をするのかを動的に決めるためのプロトコル。
（Cisco独自）

・スイッチポートモードの変更方法
(config-if)#switchport mode {access | trunk | dynamic {auto | desirable}}

desirableでは、DTPを送信してみて、対向ポートがtrunk、dynamic desirable、dynamic autoのいずれかの場合、トランクポートになる。

autoでは、DTPを受信したときにtrunkかdesirableのときにトランスポートになる。

・DTPの無効化
(config-if)#switchport nonegotiate

アクセスポートとトランクポートの違い

2021-07-05T15:52:01+09:00

アクセスポートとトランクポートの違い

スイッチを設定するときに、アクセスポートとトランクポートの違いをいまいち理解できていなかったので。

スイッチのポートは、「どのVLANに対応しているか」で、アクセスポートとトランクポートに分類される

・アクセスポート
1つのVLANに対応。エンドユーザーのPCを接続するポートなどに利用される。（デフォルトはVLAN1）

・トランクポート
複数のVLANに対応。スイッチ同士やスイッチとルータを接続（VLAN間通信の際に利用）するポートなどに利用される。

アクセスポートの設定例

・Fa0/2をアクセスポートにして、VLAN20を割り当てる
Switch(config)#interface FastEthernet 0/2
Switch(config-if)#switchport mode access
Switch(config-if)#switchport access vlan 20

・Fa0/5をアクセスポートにして、VLAN30を割り当てる
Switch(config)#interface FastEthernet 0/5
Switch(config-if)#switchport mode access
Switch(config-if)#switchport access vlan 30

・Fa0/1のカプセル化方式を802.1Qにしてdynamic desirableモードにする
（対向とのネゴシエーションの結果トランクポートになる）
Switch(config)#interface FastEthernet 0/1
Switch(config-if)#switchport trunk encapsulation dot1q
Switch(config-if)#switchport mode dynamic desirable

・Fa0/6のカプセル化方式を802.1Qにしてトランクポートにする
Switch(config)#interface FastEthernet 0/6
Switch(config-if)#switchport trunk encapsulation dot1q
Switch(config-if)#switchport mode trunk

アクセスポートとトランクポートの確認方法

アクセスポートになっているのか、トランクポートになっているのかは「show vlan」「show interfaces trunk」「show interfaces status」「show interfaces switchport」などのコマンドで確認できます。
各コマンドの表示は以下のようになります。なお、いずれもFa0/1とFa0/6がトランクポートになっている場合の表示例です。

・show vlan
「Ports」の項目に表示されるポートがアクセスポート
「Ports」の項目に表示されないポートがトランクポート

・show interfaces trunk
「Port」の項目に表示されないポートがアクセスポート
「Port」の項目に表示されるポートがトランクポート

・show interfaces status
「VLAN」の項目がVLAN番号になっているポートがアクセスポート
「VLAN」の項目がtrunkとなっているポートがトランクポート

・show interfaces switchport
「Operational Mode」の項目がaccessとなっているポートがアクセスポート
「Operational Mode」の項目がtrunkとなっているポートがトランクポート

ネットワーク基礎３章で使用したコマンド一覧

2021-04-30T11:36:36+09:00

コマンドプロンプトにて、ARPテーブルの削除コマンド

arp-d
管理者として起動することを忘れない

コマンドプロンプトでARPテーブルを確認するためのコマンド

arp-a

ciscoスイッチにおいて、MACアドレステーブルの確認コマンド

Switch#show mac-address-table

ネットワーク基礎３章　用語メモ

2021-04-30T11:29:04+09:00

コマンドプロンプトを管理者権限がある状態で起動する場合

「Windowsキー」＋「R」(ショートカットキー)で「ファイル名を指定して実行」を表示し、「cmd」と入力し、
Ctrl＋Shift＋Enterで起動する。

MACアドレステーブル

・・・スイッチがMACアドレスをもとにデータ中継するときに参照するもの。

ARP(Address Resolution Protocol)

・・・アドレス解決するためのプロトコルで、IPアドレスから指定されたインターフェースのMACアドレスを調べることができる。
データ送信には、アドレス解決が必要。そのためのARPである。
宛先のMACアドレスがわからないとデータが送信できない(フレームが完成しない)
※通信したことのない機器のMACアドレスがわからないときは、宛先のIPアドレスから調べる。
ARP要求(Request)に対してARP応答(Reply)が返ってくると、宛先のMACアドレスを知ることができる。
→ARPテーブルに登録される。
※cisco社のルータは独自のパケットを出してARPテーブルを自動作成してしまう。PC１からpingコマンドを打つ前にARPテーブルを作ってしまうので、PC1からPC２にpingコマンドを打つ前に、ルータにはそれぞれのMACアドレスがARPテーブルに入った状態で始まってしまっているから、すんなりとエコー要求をPC2に送ることができてしまう。
なので、ルータを介して２台のPCを接続した場合の8~13の手順が通常と変わってくる。

L2スイッチ

・・・L2スイッチは、データを受け取ると、そのデータに付加されているEthernetヘッダから、送信元のMACアドレスをMACアドレステーブルに学習する。また、宛先のMACアドレスがMACアドレステーブルに載っている場合は該当するポートからデータを転送し、載っていない場合は、データをフラッディングする。