ファーストホップ セキュリティについて
レイヤ 2 およびレイヤ 3 スイッチは、サーバ仮想化、オーバーレイトランスポート仮想化(OTV)、レイヤ 2 モビリティなどのテクノロジーを使用して、レイヤ 2 ドメインで動作します。これらのデバイスは、特にエンドノードに面している場合に、「ファーストホップ」と呼ばれることがあります。ファーストホップ セキュリティ機能は、エンド ノードを保護し、IPv6 またはデュアルスタック ネットワークでのリンク操作を最適化します。
ファーストホップ セキュリティ(FHS)は、IPv6 リンクの動作を最適化し、大規模な L2 ドメインの拡張に役立つ一連の機能です。これらの機能は、さまざまな不正ユーザや設定ミスのユーザから保護します。拡張 FHS 機能は、さまざまな展開シナリオまたは攻撃ベクトルに使用できます。
次の FHS 機能がサポートされています。
-
IPv6 RA ガード
-
DHCPv6 ガード
-
IPv6 スヌーピング
![]() (注) |
この機能のイネーブル化の詳細については、ファーストホップ セキュリティの注意事項と制約事項を参照してください。 |
![]() (注) |
FHS 機能をイネーブルにするには、feature dhcp コマンドを使用します。 |
IPv6 グローバル ポリシー
IPv6 グローバル ポリシーは、ストレージおよびアクセス ポリシー データベースのサービスを提供します。IPv6 スヌーピング、DHCPv6 ガード、および IPv6 RA ガードは、IPv6 グローバル ポリシーの機能です。IPv6 スヌーピング、DHCPv6 ガード、および IPv6 RA ガードをグローバルに設定するたびに、ポリシーの属性が、ソフトウェア ポリシー データベースに保存されます。その後ポリシーはインターフェイスに適用され、ポリシーが適用されたこのインターフェイスを含めるためにソフトウェア ポリシー データベース エントリが更新されます。
すべてのポート レベルの FHS ポリシーは ifacl リージョンでプログラミングされますが、VLAN レベルのポリシーは FHS リージョンでプログラミングされます。ハードウェア プロファイルを設定するには、tcam regionfhs tcam_size コマンドを使用します。TCAM サイズの範囲は 0 〜 4096 です。
-
Cisco Nexus 9200、9300-EX、および9300-FX/FX2プラットフォームスイッチでは、FHS パケットはソフトウェア処理のために copp-s-dhcpreq キューを使用します。
-
Cisco Nexus 9300、9500 プラットフォーム スイッチ、Cisco Nexus 3164Q スイッチ、N9K-X9432C-S ライン カード、および Cisco Nexus 3232C および 3264Q スイッチは、クラス デフォルトを使用します。
![]() (注) |
In-Service Software Upgrades(ISSU)を使用して Cisco Nexus シリーズスイッチを Cisco NX-OS Release 7.0(3)I7(1) にアップグレードする場合は、ポート レベルの FHS ポリシーを設定する前に Cisco NX-OS ボックスをリロードする必要があります。 |
IPv6 ファーストホップ セキュリティ バインディング テーブル
デバイスに接続されている IPv6 ネイバーのデータベース テーブルは、IPv6 スヌーピングなどの情報源から作成されます。このデータベース(またはバインディング)テーブルは、スプーフィングやリダイレクト攻撃を防止するために、リンク層アドレス(LLA)、IPv6 アドレス、およびネイバーのプレフィックス バインディングを検証するためにさまざまな IPv6 ガード機能によって使用されます。