Port Security

このページで学ぶこと

• Port Security Purpose
• Port Security Supported Switchport Mode
• Port Security Enable
• Port Security Default Maximum
• Port Security Maximum Configuration
• Dynamic Secure MAC
• Static Secure MAC
• Sticky Secure MAC
• Sticky Persistence
• Port Security Violation Trigger
• Port Security Violation Modes
• Port Security Default Violation Mode
• Port Security Verification

Port Securityの目的

Port SecurityはSwitchportで許可するSource MAC Addressを制御し、未許可Deviceや想定以上のMAC学習を抑止します。単なるMAC Address Table学習とは異なり、Secure MACとViolation Policyを持ちます。

対応Portと有効化

Static Access PortまたはStatic Trunk Portで利用できます。Dynamic Access Portでは利用しません。対象Interfaceを適切なSwitchport Modeにしたうえで switchport port-security を設定します。

MaximumとSecure MAC

デフォルトMaximumは1です。switchport port-security maximum <n> で変更できます。Secure MACにはDynamic、Static、Stickyがあります。Staticは明示設定、DynamicはSecure Port上で学習、Stickyは学習結果をrunning-configへ反映します。

Stickyの永続性

Stickyで学習したMACはrunning-configに追加されますが、それだけで再起動後の永続保存が保証されるわけではありません。startup-configへ設定を保存して保持します。

Violation TriggerとMode

Maximum到達後に未知Source MACを受信した場合などにSecurity Violationとなります。また、同一VLANで別Secure Portに登録済みのSecure MACが別Portで観測される場合もViolationになります。protectはDrop、restrictはDropに加えて通知/Counter、shutdownはPortをerror-disableにします。デフォルトModeはshutdownです。

確認

show port-security や show port-security interface でMaximum、Secure MAC、Violation Count、Security Stateなどを確認し、原因と設定状態を対応付けます。