Catalyst 3750-X and Catalyst 3750-X および 3560-X スイッチソフトウェアコンフィギュレーションガイド Cisco IOS Release 15.0(2)EZ

偏向のない言語

この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

マニュアルのコンテンツ

このマニュアル内で検索

ご利用いただける言語

Download Options

Book Title

Catalyst 3750-X and Catalyst 3750-X および 3560-X スイッチソフトウェアコンフィギュレーションガイド Cisco IOS Release 15.0(2)EZ

Chapter Title

Cisco TrustSec

PDF - Complete Book (21.16 MB) PDF - This Chapter (221.0 KB)
View with Adobe Reader on a variety of devices

検索結果

Updated:: 2017年6月12日

章のタイトル： Cisco TrustSec

設定時の注意事項および制限事項

Cisco TrustSec

Cisco TrustSec は、ネットワーク内のユーザ、ホスト、およびネットワークデバイスを強力に識別する機能に基づいた、シスコネットワークデバイスのセキュリティを改善します。TrustSec は、特定のロールについてデータトラフィックを一意に分類することで、トポロジに依存しない、スケーラブルなアクセスコントロールを実現します。TrustSec は、認証されたピアおよびこれらのピアとの暗号化リンク間で信頼を確立することで、データの機密保持および整合性を保証します。

Cisco TrustSec の主要コンポーネントは、 Cisco Identity Services Engine （ISE）です。スイッチ上で手動で設定することもできますが、Cisco ISE は TrustSec ID およびセキュリティグループ ACL（SGACL）でスイッチをプロビジョニングできます。

スイッチ上で Cisco TrustSec を設定するには、次の URL にある『 Cisco TrustSec Switch Configuration Guide 』を参照してください。

http://www.cisco.com/en/US/docs/switches/lan/trustsec/configuration/guide/trustsec.html

Cisco TrustSec General Availability リリースのリリースノートについては、次の URL を参照してください。

http://www.cisco.com/en/US/docs/switches/lan/trustsec/release/notes/rn_cts_crossplat.html

Cisco TrustSec ソリューションの詳細（概要、データシート、およびケーススタディなど）については、次の URL を参照してください。

http://www.cisco.com/en/US/netsol/ns1051/index.html

表 1 に、TrustSec がイネーブルになった Cisco スイッチで実装される TrustSec 機能を示します。継続的な TrustSec の General Availability リリースによって、サポートされるスイッチの数および各スイッチでサポートされる TrustSec 機能の数は増加しています。

Catalyst 3750-X スイッチおよび Catalyst 3560-X スイッチに関する TrustSec 機能の制限事項の詳細については、「設定時の注意事項および制限事項」を参照してください。

表 1 Cisco TrustSec の主要機能
Cisco TrustSec の機能	説明
802.1AE タギング（MACSec）	IEEE 802.1AE に基づくワイヤレートホップ単位レイヤ 2 暗号化のプロトコル。 MACSec 対応デバイス間において、パケットは送信デバイスからの出力で暗号化され、受信デバイスへの入力で復号化されます。デバイス内では平文です。この機能は、TrustSec ハードウェア対応デバイス間だけで利用できます。
エンドポイントアドミッションコントロール（EAC）	EAC は、TrustSec ドメインに接続しているエンドポイントユーザまたはデバイスの認証プロセスです。通常、EAC はアクセスレベルスイッチで実行されます。EAC プロセスの認証および許可に成功すると、ユーザまたはデバイスに対してセキュリティグループタグが割り当てられます。現在、EAC は 802.1X、MAC 認証バイパス（MAB）、および Web 認証プロキシ（WebAuth）とすることができます。
ネットワークデバイスアドミッションコントロール（NDAC）	NDAC は、TrustSec ドメイン内の各ネットワークデバイスがピアデバイスのクレデンシャルおよび信頼性を確認できる認証プロセスです。NDAC は、IEEE 802.1X ポートベースの認証に基づく認証フレームワークを利用し、EAP 方式として EAP-FAST を使用します。NDAC プロセスの認証および許可に成功すると、IEEE 802.1AE 暗号化のセキュリティアソシエーションプロトコルネゴシエーションとなります。
セキュリティグループアクセスコントロールリスト（SGACL）	セキュリティグループアクセスコントロールリスト（SGACL）は、セキュリティグループタグをポリシーと関連付けます。ポリシーは、TrustSec ドメインから出力される SGT タグ付きトラフィックに対して適用されます。
セキュリティアソシエーションプロトコル（SAP）	NDAC 認証のあと、セキュリティアソシエーションプロトコル（SAP）は、その後の TrustSec ピア間の MACSec リンク暗号化のキーおよび暗号スイートについて、自動的にネゴシエーションを行います。SAP は IEEE 802.11i で定義されます。
セキュリティグループタグ（SGT）	SGT は、TrustSec ドメイン内の送信元のセキュリティ分類を示す 16 ビットの単一ラベルです。イーサネットフレームまたは IP パケットに追加されます。
SGT 交換プロトコル（SXP）	Security Group Tag Exchange Protocol（SXP）。SXP を使用すると、TrustSec にハードウェアで対応していないデバイスが、Cisco Secure アクセスコントロールシステム（ACS）からの認証済みユーザまたはデバイスの SGT 属性を受信できます。デバイスは、タグ付けおよび SGACL の適用のために、TrustSec にハードウェアで対応しているデバイスに、sourceIP-to-SGT バインディングを転送できます。

設定時の注意事項および制限事項

次の注意事項と制約事項は、Catalyst 3750-X および Catalyst 3560-X スイッチの Cisco TrustSec SGT と SGACL の設定に適用されます。

• IP サブネットを SGT に静的にマッピングすることはできません。SGT には、IP アドレスだけをマッピングできます。IP アドレスから SGT へのマッピングを設定する場合、IP アドレスプレフィックスは 32 である必要があります。

• ポートがマルチ認証モードに設定されている場合は、そのポートに接続されているすべてのホストを同じ SGT に割り当てる必要があります。ホストが認証を試みると、割り当てられた SGT は以前に認証されたホストに割り当てられた SGT と同じでなければなりません。SGT がすでに認証されているホストの SGT ではない場合にホストが認証を試みると、これらのホストが属する VLAN ポート（VP）は errdisable になります。

• Cisco TrustSec 強制は、VLAN トランクリンクの最大 8 つの VLAN でだけサポートされます。VLAN トランクリンクに 8 つを超える VLAN が設定されている場合、Cisco TrustSec 強制がこれらの VLAN でイネーブルにされると、これらの VLAN トランクリンクのスイッチポートが errdisable になります。

• スイッチは、エンドホストがスイッチに隣接するレイヤ 2 である場合にだけ SGT を割り当て、SXP リスニングに基づいて、対応する SGACL をエンドホストに適用できます。

• ポートから SGT へのマッピングは、Cisco TrustSec リンク（つまり、スイッチ間リンクのスイッチ）でだけ設定できます。ポートから SGT へのマッピングは、ホストからスイッチへのリンクには設定できません。

ポートにポートから SGT へのマッピングが設定されている場合、そのポートのすべての入力トラフィックに SGT が割り当てられます。ポートの出力トラフィックに対する SGACL 強制はありません。

• SGT/SGACL は、すべてのネットワークアップリンクモジュール搭載 Cisco Catalyst 3750-X および 3650-X シリーズスイッチでサポートされます: C3KX-NM-1G、C3KX-NM-10G、C3KX-NM-10GT および C3KX-SM-10G。C3KX-SM-10G はアップリンク MACsec でのみ必要です。