ポート セキュリティの概要

Junos OSは、制御転送プレーンとサービスプレーンを分離することで強化されており、各機能は保護されたメモリで実行されます。コントロールプレーンCPUは、レート制限、ルーティングポリシー、ファイアウォールフィルターによって保護され、厳しい攻撃下でもスイッチの稼働時間を確保します。

Junos OS には、デバイスのポートを保護するのに役立つ機能が用意されています。ポートは、信頼できるポートまたは信頼できないポートに分類できます。各カテゴリに適したポリシーを適用して、さまざまな種類の攻撃からポートを保護します。

動的アドレス解決プロトコル(ARP)インスペクション、DHCPスヌーピング、MAC制限などのアクセスポートのセキュリティ機能を、1つのJunos OS CLIコマンドで制御します。基本的なポート セキュリティ機能は、デバイスのデフォルト設定で有効になっています。最小限の構成手順で追加機能を構成できます。特定の機能に応じて、VLAN またはブリッジ ドメイン インターフェイスで機能を設定できます。

Junos OS Release 18.4R1以降、DHCPスヌーピングは、次のジュニパーシリーズスイッチ、EX2300、EX4600、およびQFX5Kの信頼できるポートで発生します。Junos OS リリース 18.4R1 以前では、これらのデバイスでは、DHCPv6 スヌーピングにのみ当てはまりました。さらに、DHCP スヌーピングは、Junos OS リリース 19.1R1 以降を実行している EX9200 シリーズ スイッチおよび Fusion Enterprise の信頼できるポートでも発生します。

ジュニパーネットワークスEXシリーズイーサネットスイッチは、次のハードウェアおよびソフトウェアセキュリティ機能を提供します。

Console Port- コンソール ポートを使用して、RJ-45 ケーブルを介してルーティング エンジンに接続できます。その後、CLI(コマンドライン インターフェイス)を使用してスイッチを設定します。

Out-of-Band Management—背面パネルの専用の管理イーサネットポートにより、アウトオブバンド管理が可能です。

Software Images—すべてのJunos OSイメージは、ジュニパーネットワークス認証局(CA)により公開鍵基盤(PKI)を使用して署名されています。

User Authentication, Authorization, and Accounting (AAA)—特長:

• パスワードの暗号化と認証を使用するユーザー アカウントとグループ アカウント。

• ログインクラスとユーザーテンプレートで設定可能なアクセス権限レベル。

• スイッチへのアクセスを試みるユーザーを認証するためのRADIUS認証、TACACS+認証、またはその両方。

• システム ロギングまたは RADIUS/TACACS+ による設定変更の監査。

802.1X Authentication- ネットワークアクセス制御を提供します。サプリカント(ホスト)は、最初にLANに接続するときに認証されます。サプリカントがDHCPサーバーからIPアドレスを受信する前に認証しておくと、承認されていないサプリカントがLANにアクセスすることを防ぐことができます。EX シリーズ スイッチは、EAP-MD5、EAP-TLS、EAP-TTLS、EAP-PEAP などの拡張認証プロトコル(EAP)方式をサポートしています。

Port Security—スイッチング デバイスでサポートされているアクセス ポート セキュリティ機能は次のとおりです。

• DHCP スヌーピング - 信頼できないポートで入力ダイナミック ホスト コンフィギュレーション プロトコル(DHCP)サーバー メッセージをフィルタリングおよびブロックし、DHCP スヌーピング データベースと呼ばれる DHCP リース情報のデータベースを構築および維持します。

  手記：

  DHCP スヌーピングは、スイッチング デバイスのデフォルト設定で有効になっていません。DHCP スヌーピングは、VLAN またはブリッジ ドメインでイネーブルになっています。DHCP スヌーピングのイネーブル化の詳細は、デバイスによって異なります。

• 信頼できるDHCPサーバー:信頼できるポートにDHCPサーバーを設定すると、リースを送信する不正なDHCPサーバーから保護します。インターフェイス(ポート)でこの機能を有効にします。デフォルトでは、アクセス ポートは信頼できず、トランク ポートは信頼されます。(アクセスポートとは、ユーザーのPCやラップトップ、サーバー、プリンターなどのイーサネットエンドポイントに接続するスイッチポートです。トランク ポートとは、イーサネット スイッチを他のスイッチまたはルーターに接続するスイッチ ポートです。)

• DHCPv6スヌーピング—IPv6のDHCPスヌーピング。

• DHCP オプション 82:DHCP リレー エージェント情報オプションとも呼ばれます。この DHCPv4 機能は、IP アドレスや MAC アドレスのスプーフィング、DHCP IP アドレスのスターベーションなどの攻撃からスイッチング デバイスを保護するのに役立ちます。オプション 82 は、DHCP クライアントのネットワーク ロケーションに関する情報を提供し、DHCP サーバーはこの情報を使用して、クライアントの IP アドレスまたはその他のパラメーターを実装します。

• DHCPv6 オプション 37:オプション 37 は DHCPv6 のリモート ID オプションで、リモート ホストのネットワーク ロケーションに関する情報を DHCPv6 パケットに挿入するために使用されます。VLAN でオプション 37 を有効にします。

  手記：

  オプション37を使用したDHCPv6スヌーピングは、MXシリーズではサポートされていません。

• DHCPv6 オプション 18:オプション 18 は DHCPv6 の回線 ID オプションで、クライアント ポートに関する情報を DHCPv6 パケットに挿入するために使用されます。このオプションには、プレフィックスやインターフェイスの説明など、オプションで設定できるその他の詳細が含まれます。

• DHCPv6 オプション 16:オプション 16 は DHCPv6 のベンダー ID オプションで、クライアント ハードウェアのベンダーに関する情報を DHCPv6 パケットに挿入するために使用されます。

• 動的ARPインスペクション(DAI)—アドレス解決プロトコル(ARP)スプーフィング攻撃を防止します。ARP 要求と応答は DHCP スヌーピング データベースのエントリと比較され、フィルタリングの決定はそれらの比較の結果に基づいて行われます。VLAN で DAI を有効にします。

• IPv6 近隣探索インスペクション - IPv6 アドレス スプーフィング攻撃を防止します。ネイバー探索要求と応答は DHCPv6 スヌーピング データベースのエントリと比較され、フィルタリングの決定はそれらの比較の結果に基づいて行われます。VLAN で近隣探索インスペクションを有効にするとします。

• IPソース ガード - イーサネット LAN に対する IP アドレス スプーフィング攻撃の影響を軽減します。IP ソース ガードをイネーブルにすると、信頼できないアクセス インターフェイスから送信されたパケットの送信元 IP アドレスが DHCP スヌーピング データベースに対して検証されます。パケットを検証できない場合、パケットは破棄されます。VLAN またはブリッジ ドメインで IP ソース ガードを有効にします。

• IPv6 ソース ガード—IPv6 の IP ソース ガード。

• MAC 制限 - イーサネット スイッチング テーブル(MAC 転送テーブルまたはレイヤー 2 転送テーブルとも呼ばれる)のフラッディングから保護します。インターフェイスで MAC 制限を有効にすることができます。

• MAC 移動制限 - MAC 移動を追跡し、アクセス ポートで MAC スプーフィングを検出します。VLAN またはブリッジ ドメインでこの機能を有効にします。

• 永続的 MAC 学習 - スティッキー MAC とも呼ばれます。永続的MAC学習により、インターフェイスはスイッチの再起動後も動的に学習したMACアドレスを保持できます。インターフェイスでこの機能を有効にします。

• 無制限プロキシ ARP—スイッチは、独自のMACアドレスを持つすべてのARPメッセージに応答します。スイッチのインターフェイスに接続されているホストは、他のホストと直接通信できません。代わりに、ホスト間のすべての通信はスイッチを経由します。

• 制限付きプロキシARP:ARP要求の送信元とターゲットの物理ネットワークが同じ場合、スイッチはARP要求に応答しません。宛先ホストの IP アドレスが着信インターフェイスと同じか、異なる(リモート)IP アドレスかは関係ありません。ブロードキャスト アドレスの ARP 要求は応答を引き出しません。

Device Security- ストーム制御により、スイッチは不明なユニキャストおよびブロードキャスト トラフィックを監視し、指定されたトラフィック レベルを超えたときにパケットをドロップしたり、シャットダウンしたり、インターフェイスを一時的に無効にしたりして、パケットの増殖や LAN の低下を防ぐことができます。アクセス インターフェイスまたはトランク インターフェイスでストーム制御を有効化できます。

Encryption Standards—サポートされている標準は次のとおりです。

• 128、192、256ビットの高度暗号化標準(AES)

• 56 ビット データ暗号化標準 (DES) および 168 ビット 3DES

• イーサネットスイッチングテーブルオーバーフロー攻撃の緩和
• 不正なDHCPサーバー攻撃の緩和
• ARPスプーフィング攻撃からの保護(QFX10000シリーズスイッチには適用されません)
• DHCPスヌーピングデータベース改ざん攻撃に対する保護(QFX10000シリーズスイッチには適用されません)
• DHCPスターベーション攻撃に対する保護

スイッチの信頼できないポートでDHCPスヌーピング、DAI(Dynamic ARP Inspection)、MAC制限、永続的MAC学習、およびMAC移動制限を設定することで、アドレススプーフィングやレイヤー2サービス拒否(DoS)攻撃からスイッチとイーサネットLANを保護することができます。また、スイッチ インターフェイスに信頼できる DHCP サーバーと特定の(許可された)MAC アドレスを設定することもできます。

この例では、スイッチの基本的なポート セキュリティ機能を設定する方法について説明します。