ネットワークを整える
専門L2セキュリティ（ポートセキュリティ・DAI）を整える。
＝ 知らないPCをつないでも通さない
ネットワークのどこの話？ 家や会社の中（LAN）で、PC がつながるスイッチのポート（入口）の話です。
① ポートセキュリティ：知らない PC をつないだら
1つのポートに、つないでよい MAC アドレスの数と、守れなかったときの動作を決めます。設定を選んで、下のボタンで PC をつないでみてください。
ポートの状態：—
登録済みの MAC：—
違反カウンタ：0
ボタンを押すと、ここに結果が出ます。
| 動作 | 知らない MAC のフレーム | ログ | 違反カウンタ | ポート |
|---|---|---|---|---|
| protect | 捨てる | 出ない | 増えない | 動き続ける |
| restrict | 捨てる | 出る | 増える | 動き続ける |
| shutdown | 捨てる（ポートごと止まる） | 出る | 増える | err-disabled で停止 |
ポートセキュリティは、アクセスポートまたはトランクとして固定したポートで使います（ダイナミックなポートでは有効にできません）。
② DHCP スヌーピング：偽の案内係を止める
PC に IP アドレスを配る DHCP サーバーの「なりすまし」を、ポートごとの信頼・非信頼で止めます。しくみの詳細は DHCP のページへ。
スヌーピングは、通った DHCP のやりとりを見張って「どの IP をどの MAC に、どのポートで貸したか」の束縛表を作ります。この表が、次の DAI の名簿になります。DHCP そのものの流れは DHCP のページで見られます。
③ DAI：ARP のなりすましを名簿と照らして捨てる
ARP は「この IP の持ち主は、この MAC です」と名乗る仕組みで、嘘を言われても疑いません。攻撃者が「ゲートウェイは私」と言うと、通信が盗み見られます（ARP スプーフィング）。
| IP | MAC | ポート |
|---|---|---|
| 10.0.0.10 | aaaa.aaaa.0001 | Fa0/1（PC1） |
| 10.0.0.11 | aaaa.aaaa.0002 | Fa0/2（PC2） |
ゲートウェイ 10.0.0.1（MAC bbbb.bbbb.00ff）は固定 IP で、信頼ポート Gi0/24 の先にいます。攻撃者は Fa0/3 の機器（MAC cccc.cccc.0003）です。
CCNA ではここが問われる
- ポートセキュリティの既定値は、最大 MAC 数 1・違反時の動作 shutdown・sticky は無効（Cisco IOS／IOS XE の場合）。
- shutdown の違反では err-disabled になります。復旧は、ポートで
shutdownのあとno shutdown（またはerrdisable recovery cause psecure-violationで自動復旧）。確認はshow port-security interface。 - 設定の流れ：
switchport mode access→switchport port-security→maximum 2/mac-address sticky/violation restrictをswitchport port-security …として入れる。 - DHCP スヌーピング：
ip dhcp snoopingとip dhcp snooping vlan 10で有効にし、サーバー側・上位側のポートにip dhcp snooping trust。既定ではすべて非信頼。 - DAI：
ip arp inspection vlan 10で有効にし、上位側にip arp inspection trust。DHCP スヌーピングの束縛表を名簿に使うので、先に DHCP スヌーピングが要ります。
MAC アドレスの学習は MAC アドレステーブル、DHCP の流れは DHCP、VLAN ごとの設定は VLAN のページで確かめられます。
🏢 たとえると
会社のビルの受付です。ポートセキュリティは「登録した社員証の人だけ入れる入口ゲート」、DHCP スヌーピングは「案内係を名乗る偽者を入口で止める」、DAIは「『私は〇〇さんです』と名乗った人が、名簿と合っているか確かめる」役目です。
このツールは、ネットワーク全体図のここ
- 自分の端末
- 家・会社の中
- 出入口
- 建物の外
- 相手のサーバー
- データセンター
- 見る・動かす
家・会社の中（LAN）— スイッチの差込口に、知らない機器をつながせない話です。
家・会社の中は、同じ建物の中の廊下と部屋割りのような場所です。OSI では第2層（データリンク）。
このページに出てくる略語（8語）
- DAI （Dynamic ARP Inspection） — 偽の ARP を見つけて捨てる、スイッチの守りの機能
- DHCP Snooping （Dynamic Host Configuration Protocol Snooping） — 偽の DHCP サーバーの返事を捨てる、スイッチの守りの機能
- 802.1X （IEEE 802.1X） — 接続した機器を認証してから、ポートを使わせる規格
- MAB （MAC Authentication Bypass） — 認証の仕組みを持たない機器を、MAC アドレスだけで認証する方法
- MAC （Media Access Control address） — 機器の差込口ごとに付いた 48 ビットの背番号。建物の中の配達に使う
- ARP （Address Resolution Protocol） — IP アドレスから、相手の MAC アドレスを聞いて調べる決まりごと
- EAP （Extensible Authentication Protocol） — ID・パスワードや証明書で認証するための、認証方式の入れ物
- RADIUS （Remote Authentication Dial-In User Service） — 認証を専用のサーバーにまとめる標準の決まりごと（Wi-Fi の認証に多い）
このツールについて
オフィスの壁のLANポートに、知らない人が持ち込んだ PC をつないでも勝手に使わせない。スイッチのポートで入口を見張る3つの仕組みを、ボタンで動かして確かめます。
ポートセキュリティの既定は最大1台・違反で shutdown（err-disabled）。偽の DHCP サーバーは DHCP スヌーピング、ARP のなりすましは DAI で止めます。
主な機能
- 最大 MAC 数・sticky・違反時の動作を選んで、知らない PC をつなぐ体験
- protect・restrict・shutdown の違いを表とボタンで比較
- err-disabled からの復旧（shutdown→no shutdown）
- DHCP スヌーピングの信頼／非信頼ポートの判定
- ARP スプーフィングを DAI が束縛表と照らして捨てる図
よくある質問
Q. ポートセキュリティとは何ですか？
A. スイッチのポートごとに、つないでよい機器の MAC アドレスの数や顔ぶれを制限し、守られなかったら通信を捨てる・ポートを止めるなどの動作をさせる機能です。
Q. 知らない PC をつなぐと、なぜポートが止まるのですか？
A. 違反時の動作の既定が shutdown だからです。ポートが err-disabled になり、登録済みの機器もつながらなくなります。
Q. err-disabled からはどう復旧しますか？
A. ポートで shutdown のあとに no shutdown を入れます。errdisable recovery cause psecure-violation を設定すれば自動復旧もできます。
Q. sticky とは何ですか？
A. 学習した MAC アドレスを running-config に書き込む設定です。write memory で保存すれば、再起動後も登録が残ります。
Q. DAI を使うのに、なぜ DHCP スヌーピングが必要ですか？
A. DAI は ARP の IP と MAC の組を、DHCP スヌーピングが作る束縛表と照らして検査するためです。固定 IP の機器は ARP ACL で許可します。
入力値はURLの「#」以降に入るためサーバーには送信されません。リンクを開くと同じ状態を復元します。
続けて整える
この内容は、研修でも扱っています
totonoe.tech を運営する株式会社Koinobori は、法人向けの研修サービス「NOBORIBA®」も運営しています。 ここで手を動かした内容を、講師から教わる形の研修です。このページの道具は無料のまま、登録もいりません。
