目的

IPソースガードは、ホストがネイバーホストのIPアドレスを使用しようとしたときに発生するトラフィック攻撃を防止するために使用できるセキュリティ機能です。IP Source Guardが有効な場合、スイッチはクライアントIPトラフィックをDHCPスヌーピングバインディングデータベースに含まれるIPアドレスにのみ送信します。ホストが送信するパケットがデータベース内のエントリと一致すると、スイッチはそのパケットを転送します。パケットがデータベース内のエントリと一致しない場合は、ドロップされます。

リアルタイムシナリオでは、IPソースガードを使用する1つの方法は、信頼できないサードパーティが本物のユーザになりすまそうとする中間者攻撃を防止することです。

注：IPソースガードが機能するには、DHCPスヌーピングを有効にする必要があります。DHCPスヌーピングを有効にする方法の詳細については、『Sx500シリーズスタッカブルスイッチでのDHCPスヌーピングバインディングデータベースの設定』を参照してください。また、許可するIPアドレスを指定するようにバインディングデータベースを設定する必要もあります。

この記事では、Sx500シリーズスタッカブルスイッチでIPソースガードのバインディングデータベースを設定する方法について説明します。

該当するデバイス

・ Sx500シリーズスタッカブルスイッチ

[Software Version]

・ v1.2.7.76

IPソースガードバインディングデータベースの設定

バインディングデータベース

ステップ1:Web構成ユーティリティにログインし、[Security] > [IP Source Guard] > [Binding Database]を選択します。「バインド・データベース」ページが開きます。

ステップ2:[Insert Inactive（非アクティブの挿入）]フィールドの次のオプションから該当するエントリをクリックして、スイッチが非アクティブなエントリをアクティブにする頻度を選択します。DHCPスヌーピングバインディングデータベースは、Ternary Content Addressable Memory(TCAM)を使用してデータベースを維持します。

・ Retry Frequency:TCAMリソースがチェックされる頻度を指定します。デフォルト値は 60 です。

・ Never – 非アクティブなアドレスをアクティブにしません。

ステップ3:[Apply]をクリックして、実行コンフィギュレーションファイルを更新します。

バインドデータベースエントリの追加

ステップ1:Web設定ユーティリティにログインし、[IP Configuration] > [DHCP] > [DHCP Snooping Binding Database]の順に選択して、[DHCP Snooping Binding Database]ページを開きます。

ステップ2:[Add]をクリックし、[Add DHCP Snooping Entry]ページにエントリを入力します。

ステップ3:[VLAN ID]フィールドで、パケットが想定されるドロップダウンリストからVLAN IDを選択します。

ステップ4：一致するMACアドレスを[MAC Address]フィールドに入力します。

ステップ5:[IP Address]フィールドに、一致するIPアドレスを入力します。

ステップ6:[Interface]ドロップダウンリストからインターフェイスを選択し、パケットが予想されるポートまたはLAGを表示するかどうかを示します。

ステップ7：タイプをクリックして、[Type]フィールドにエントリが[Dynamic]か[Static]かを表示します。

・動的：エントリのリース時間は制限されています。

・静的：エントリは静的に構成されています。

ステップ8:[Lease time]フィールドにリース時間を入力します。エントリが動的な場合は、エントリがアクティブのままになる時間を入力します。リース時間がない場合は、[無限]をクリックします。

インターフェイスがアクティブでない理由が[Reason]フィールドに表示されます。理由は次のとおりです。

・問題なし：インターフェイスがアクティブです。

・ No Snoop VLAN — DHCPスヌーピングがVLANで有効になっていません。

・信頼できるポート：ポートは信頼できる。

・リソースの問題：TCAMリソースが消費されます。

ステップ9：エントリのサブセットを表示するには、バインディングデータベーステーブルに適切な検索条件を入力し、「Go」をクリックします。フィルタチェックボックスは、DHCPバインディングデータベーステーブルから特定のエントリを除外するために使用されます。

ステップ10:（オプション）入力した値を削除し、新しい値を入力するには、「動的の消去」をクリックします。

ステップ11:[Apply]をクリックし、実行構成ファイルを更新します。