ロック アンド キーは、IP プロトコル トラフィックを動的にフィルタするトラフィック フィルタリング セキュリティ機能です。ロック アンド キーは、IP ダイナミック拡張アクセス リストを使用して設定されます。ロック アンド キーは、その他の標準アクセス リストとスタティック拡張アクセス リストと共に使用できます。

ロック アンド キーが設定されると、IP トラフィックが通常ルータではブロックされる指定されたユーザーは、ルータ経由で一時的なアクセスを得ることができます。起動されると、ロック アンド キーは、指定されたユーザーに指定されたホストに到達することを許可するよう、インターフェイスの既存の IP アクセス リストを再設定します。その後、ロック アンド キーは、インターフェイスを元の状態に戻すよう、再設定します。

ユーザーがロック アンド キーが設定されたルータを介してホストへのアクセスできるようにするため、ユーザーは、最初にルータに Telnet セッションを開く必要があります。ユーザーがルータに標準 Telnet セッションを開始すると、ロック アンド キーは、自動的にユーザーを認証しようとします。ユーザーが認証されると、ルータを通じて、一時的なアクセスを取得し、宛先ホストに到達できます。

ロック アンド キーは、標準およびスタティック拡張アクセス リストと同じ利点があります（これらの利点については、「アクセス コントロール リスト：概要および指針」で説明します）。ただし、ロック アンド キーには、標準およびスタティック拡張アクセス リストに比べ、次の利点もあります。

• ロック アンド キーは、個々のユーザーを認証するために実験機能を使用します。

• ロック アンド キーは、より大きなインターネットワークにおけるより簡素な管理を提供します。

• 多くの場合、ロック アンド キーは、アクセス リストに必要なルータ処理の量を減らします。

• ロック アンド キーは、ネットワーク ハッカーが、ネットワークへの侵入する可能性を減らします。

ロック アンド キーを使用すると、送信元および宛先がホストとなるアクセスをどのユーザーに許可するかを指定できます。これらのユーザーは、指定されたホストへのアクセスが許可される前に、ユーザー認証プロセスをパスする必要があります。ロック アンド キーは、その他の設定されたセキュリティ制約事項を損なうことなく、ファイアウォールを通じてダイナミック ユーザー アクセスを作成します。

ロック アンド キーを使用するタイミングの 2 つの例を以下に示します。

• 特定のリモート ユーザー（またはリモート ユーザーのグループに）が、インターネットを介して、そのリモート ホストから接続して、ネットワーク内のホストへのアクセスを必要とする場合。ロック アンド キーは、ユーザーを認証し、次に、個々のホストまたはサブネットに対して、限られた時間の間、ファイアウォールを介した限られたアクセスを許可します。

• ローカル ネットワーク上のホストのサブセットがファイアウォールによって保護されたリモート ネットワーク上のホストにアクセスする必要がある場合。ロック アンド キーを使用すると、ローカル ユーザーが必要とするホストのセットに対してのみリモート ホストへのアクセスを有効にすることができます。ロック アンド キーは、ホストがリモート ホスト リモートへアクセスすることを許可する前に、ユーザーが TACACS+ サーバー、もしくはその他のサーバーを通じて、認証を行うことを必要とします。

次のプロセスは、ロック アンド キー アクセスの動作を説明します。

1. ユーザーは、ロック アンド キー用に設定された境界（ファイアウォール）ルータへの Telnet セッションを開きます。ユーザーは、ルータ上の仮想端末ポートを介して接続します。

2. Cisco IOS ソフトウェアは、Telnet パケットを受信し、Telnet セッションを開いてパスワードを要求し、ユーザー認証プロセスを実行します。ユーザーは、ルータを介したアクセスが許可される前に、認証をパスする必要があります。認証プロセスは、ルータ、または TACACS+ または RADIUS サーバーなどの中央アクセス セキュリティ サーバーで実行することもできます。

3. ユーザーが認証をパスすると、Telnet セッションからログアウトし、ソフトウェアがダイナミック アクセス リストに一時的なエントリを作成します。（設定ごとに、この一時エントリは、ユーザーが一時的なアクセスを与えられるネットワークの範囲を制限できます。）

4. ユーザーは、ファイアウォール経由でのデータを交換します。

5. ソフトウェアは、設定されているタイムアウトに到達するか、システム管理者が手動でクリアした場合に、一時的なアクセス リスト エントリを削除します。設定されているタイムアウトは、アイドル タイムアウトまたは絶対タイムアウトのいずれかになることがあります。

Note	ユーザーがセッションを終了させた場合、一時アクセス リスト エントリは、自動的に削除されません。一時アクセス リストのエントリは、設定されているタイムアウトに到達するか、システム管理者がクリアされるまで保持されます。

access-list コマンドの拡張機能は、ロック アンド キーに使用されます。これらの機能拡張は、下位互換性があります。Cisco IOS リリース 11.1 以前のリリースから新しいリリースに移行する場合、アクセス リストは、機能拡張を反映するために、自動的に変換されます。ただし、次の注意の項で説明されているように、Cisco IOS リリース 11.1 以前のリリースでロック アンド キーを使用しようとすると、問題が発生する可能性があります。

Caution

Cisco IOS リリース 11.1 以前のリリースは、ロック アンド キー アクセス リスト拡張機能と互換性がありません。そのため、リリース 11.1 以前のソフトウェアでアクセス リストを保存し、このソフトウェアを使用する場合、作成されたアクセス リストは、正しく解釈されません。これによって、深刻なセキュリティ上の問題が発生する可能性があります。これらのファイルと共に画像をブートする前に、Cisco IOS リリース 11.1 以降のソフトウェアを使用して、古い設定ファイルを保存する必要があります。

Caution

ロック アンド キー アクセスを使用すると、外部イベント（Telnet セッション）がファイアウォールに穴を開けることができます。この穴がある間、ルータは、送信元アドレスのスプーフィングを受ける可能性があります。

ロック アンド キー が起動されると、ユーザー アクセスを許可するインターフェイスを一時的に再設定することで、ファイアウォール内に動的な穴が作成されます。この穴がある間は、別のホストが認証済みのユーザーのアドレスを偽装し、ファイアウォールの裏でのアクセスを獲得する可能性があります。ロック アンド キーは、アドレス スプーフィングの問題を発生させません。この問題は、ユーザーの関心事としてここに特定されるだけです。スプーフィングは、すべてのアクセス リストに伴う問題であり、ロック アンド キーは、この問題に具体的に対処していません。

スプーフィングを防ぐには、リモート ホストからのトラフィックがセキュアなリモート ルータで暗号化され、ロック アンド キーを提供するルータ インターフェイス上でローカルで復号化されるように暗号化を設定します。ルータの入力時に、ロック アンド キーを使用して、すべてのトラフィックを暗号化したい場合、ハッカーは、それらが暗号化を複製できないか、暗号化のセットアップ プロセスの必要な部分として認証できないため、送信元アドレスをスプーフィングすることはできません。

ロック アンド キーを設定すると、ルータのパフォーマンスは、次のように影響を受ける場合があります。

• ロック アンド キーが起動されると、ダイナミック アクセス リストは、シリコン スイッチング エンジン（SSE）上でのアクセス リストの再構成が強制されます。これによって、SSE スイッチング パスが一瞬低速になります。

• ダイナミック アクセス リストは、アイドル タイムアウト機能（タイムアウトがデフォルトになったとしても）を必要とし、SSE スイッチングにすることはできません。これらのエントリは、プロトコル ファスト スイッチング パスで処理する必要があります。

• リモート ユーザーが境界ルータでロック アンド キーを起動すると、追加のアクセス リスト エントリが境界ルータ インターフェイスで作成されます。インターフェイスのアクセス リストが動的に拡大および縮小します。エントリは、アイドル タイムアウトまたは最大タイムアウト期間が経過すると、動的に削除されます。アクセス リストが大きくなると、パケット交換のパフォーマンスが低下し、パフォーマンスの問題の劣化を通知する場合、ロック アンド キーによって生成された一時アクセス リスト エントリを削除するかどうかを確認するために、境界ルータの設定を確認する必要があります。

ロック アンド キーを使用中の場合、ダイナミック アクセス リストは、認証エントリの追加および削除に伴って動的に増減します。エントリが存在しても、スプーフィング攻撃のリスクがあるため、タイムリーにエントリが削除されていることを確認する必要があります。また、エントリの数が増えれば、ルータのパフォーマンスへの影響も大きくなります。

アイドルまたは絶対タイムアウトを設定していない場合、エントリは、ダイナミック アクセス リスト エントリを手動で削除するまで維持されます。この場合、エントリの削除について配慮してください。

ダイナミック アクセス リストを設定する場合は、次のガイドラインを参照してください。

• いずれか 1 つのアクセス リストに対して複数のダイナミック アクセス リストを作成しないで下さい。ソフトウェアは、定義された最初のダイナミック アクセス リストだけを参照します。

• 別のアクセス リストに 同じ名前を割り当てないで下さい。そうすることで、既存のリストを再利用するように、ソフトウェアに指示します。すべての名前付きエントリは、設定内でグローバルに一意である必要があります。

• スタティック アクセス リストに属性を割り当てるのと同じ方法で、ダイナミック アクセス リストに属性を割り当てます。一時アクセス リスト エントリは、このリストに割り当てられているアトリビュートを継承します。

• ルータ経由でのアクセスが許可される前に、ユーザーが認証する必要があるルータに対する Telnet セッションを開く必要があるよう、プロトコルとして Telnet を設定します。

• 今度は、autocommand 内の access-enable コマンド内の timeout キーワードで、アイドルタイムアウトを定義するか、後で、access-list コマンドで絶対タイムアウト値を定義します。アイドル タイムアウトまたは絶対タイムアウトを定義する必要があります。そうしないと、一時的なアクセス リスト エントリは、管理者が手動でエントリを削除するまで（ユーザーがセッションを終了した後でも）、インターフェイスで永久に設定されたままになります。（必要に応じて、アイドル タイムアウトと絶対タイムアウトの両方を設定することもできます）。

• アイドル タイムアウトを設定する場合、アイドル タイムアウト値は、WAN アイドル タイムアウト値と等しくなる必要があります。

• アイドル タイムアウトと絶対タイムアウトの両方を設定する場合、アイドル タイムアウト値は、絶対タイムアウト値未満である必要があります。

• ジョブが ACL の絶対タイマーを超えて動作していることを認識した場合、access-list dynamic-extend コマンドを使用して、6 分ほどダイナミック ACL の絶対タイマーを拡張します。このコマンドにより、ロック アンド キーを使用して、自身を再認証するため、ルータに新しい Telnet セッションを開くことができます。

• 一時的なエントリで置換される唯一の値は、入力アクセス リストまたは出力アクセス リスト内にアクセス リストがあったかどうかに応じて、送信元または宛先アドレスになります。ポートなどの他の属性はすべて、メインのダイナミック アクセス リストから引き継がれます。

• ダイナミック リストへの追加はそれぞれ、ダイナミック リストの先頭に常に配置されます。一時アクセス リスト エントリの順序を指定することはできません。

• 一時アクセス リスト エントリが NVRAM には書き込まれません。

• ダイナミック アクセス リストを手動でクリアまたは表示するには、この章で後述される「ロック アンド キーの維持」を参照して下さい。

認証問い合せプロセスを設定するには、3 つの方法があります。この項では、これら 3 つの方法について説明します。

Note	Cisco は、認証問い合せプロセスには、TACACS+ サーバーを使用することを推奨します。TACACS+ は、認証、許可、アカウンティング サービスを提供します。また、プロトコル サポート、プロトコル仕様、および中央集中型セキュリティ データベースも提供します。TACACS+ サーバーの使用については、次項「方法 1 -- セキュリティ サーバーの設定」で説明します。

TACACS+ サーバーなどのネットワーク アクセス セキュリティ サーバーを使用します。この方法には、TACACS+ サーバーでの追加設定手順が必要になりますが、より厳しい認証問い合わせとより高度な追跡機能が可能になります。

Router(config-line)# login tacacs

username コマンドを使用します。この方法では、認証はユーザー単位で決定するため、効果的です。

Router(config)# username
 
name
 {nopassword
 | 
password
 {
mutual-password
 | 
encryption-type
 
encryption-password
}}

password および login コマンドを使用します。この方法は、パスワードがユーザーではなく、このポートに設定されているため、有効でありません。そのため、パスワードを知っているすべてのユーザーが正常に認証できます。

R
outer(config-line)# password
 
password
Router(config-line)# login local

autocommand コマンドは、ユーザーが特定の回線に接続する際に、システムが指定されている特権 EXEC コマンドを自動的に実行するように設定します。autocommand コマンドの設定のための次のガイドラインを使用します。

• ユーザーを認証するために TACACS+ サーバーを使用する場合、TACACS+ サーバー上で、ユーザーごとの autocommand として、autocommand コマンドを設定する必要があります。ローカル認証を使用する場合、回線上で autocommand コマンドを使用します。

• 同じ autocommand コマンドで、すべての仮想端末（VTY）ポートを設定します。VYT ポートで autocommand コマンドを省略すると、任意のホストがルータの特権 EXEC モードへのアクセスを許可し、ダイナミック アクセス リスト内の一時アクセス リスト エントリを作成しません。

• autocommand access-enable コマンドでアイドル タイムアウトを定義しない場合、access-list コマンドで絶対タイムアウトを定義する必要があります。アイドル タイムアウトまたは絶対タイムアウトを定義する必要があります。そうしないと、一時的なアクセス リスト エントリは、エントリが管理者によって手動で削除されるまで（ユーザーがセッションを終了した後も）インターフェイスで永久に設定されたままになります。（必要に応じて、アイドル タイムアウトと絶対タイムアウトの両方を設定することもできます）。

• アイドル タイムアウトと絶対タイムアウトの両方を設定する場合、絶対タイムアウト値は、アイドル タイムアウト値よりも大きくする必要があります。

ユーザーに接続をテストするように求めることで、ロック アンド キーがルータで正しく設定されていることを確認できます。ユーザーは、ダイナミック アクセス リストで許可されるホストである必要があり、ユーザーは、AAA 認証および許可を設定する必要があります。

接続をテストするには、ユーザーは、ルータへの Telnet 接続を行い、Telnet セッションを閉じる許可をし、ルータの反対側のホストへのアクセスを試みる必要があります。このホストは、ダイナミック アクセス リストによって許可されているものである必要があります。ユーザーは、IP プロトコルを使用するアプリケーションのあるホストにアクセスする必要があります。

次の例は、エンドユーザーが正常に認証された場合に、何が見えるかを示しています。パスワードが入力され、認証された後に、Telnet 接続は閉じられます。一時アクセス リスト エントリが作成され、Telnet セッションを開始したホストがファイアウォールの内側のホストにアクセスします。

Router% telnet corporate
Trying 172.21.52.1 ...
Connected to corporate.example.com.
Escape character is ‘^]’.
User Access Verification
Password:Connection closed by foreign host.

ユーザーは、ルータで show access-lists コマンドを使用して、ルータを介して、ユーザーのアクセスを許可する別のエントリを含む、ダイナミック アクセス リストを表示できます。

一時アクセス リスト エントリは、使用中に表示できます。一時アクセス リスト エントリがユーザーまたは絶対またはアイドル タイムアウト パラメータによってクリアされた後は表示されなくなります。表示される一致の数は、アクセス リスト エントリがヒットした回数を示します。

現在確立されているダイナミック アクセス リスト エントリ リストおよび一時アクセス リスト エントリ リストを表示するには、特権 EXEC モードで次のコマンドを使用します。

Router# show access-lists  [access-list-number ] 

一時アクセス リスト エントリを手動で削除するには、特権 EXEC モードで次のコマンドを使用します。

Router# clear access-template  [access-list-number  | name ] [dynamic-name ] [source ] [destination ]