Cisco NX-OS Security コンフィギュレーション ガイド Release 4.0

Numerics

802.1X

AAA アカウンティング方式の設定　　7-30

Cisco TrustSec　　9-13

MAC アドレス認証バイパスのイネーブル化　　7-22

MIB　　7-34

RADIUS アカウンティングのイネーブル化　　7-29

インターフェイスでのシングル ホストのイネーブル化　　7-21

インターフェイスでのマルチ ホストのイネーブル化　　7-21

サポートされるトポロジ　　7-7

シングル ホスト サポート　　7-6

ステータスの表示　　7-32

制限事項　　7-8

設定　　7-9‐7-32

設定の確認　　7-32

設定プロセス　　7-9

設定例　　7-33

説明　　7-2‐7-7

前提条件　　7-8

装置上のディセーブル化　　7-24

装置上の認証のディセーブル化　　7-23

注意事項　　7-8

デフォルト設定　　7-33

同一ポート上のポート セキュリティ　　7-7

バーチャライゼーション サポート　　7-7

マルチ ホスト サポート　　7-6

ライセンス要件　　7-8

802.1X 機能

イネーブル化　　7-10

装置上のディセーブル化　　7-24

802.1X 再認証

インターフェイスでのリトライ回数の設定　　7-31

インターフェイスの定期処理のイネーブル化　　7-15

グローバル定期処理　　7-13

手動　　7-16

802.1X サプリカント

手動での再認証　　7-16

手動による初期化　　7-17

802.1X タイマー

インターフェイス タイマーの変更　　7-19

グローバル タイマーの変更　　7-17

802.1X デフォルト値

インターフェイス上のリセット　　7-26

グローバルなリセット　　7-25

802.1X 認証

インターフェイス上での制御　　7-12

開始　　7-3

装置上のディセーブル化　　7-23

ポートの許可ステート　　7-4

802.1X リトライ回数

インターフェイスでの設定　　7-28

グローバルな設定　　7-27

A

AAA

　　9-15

MIB　　2-19

MSCHAP 認証のイネーブル化　　2-12

TACACS+ サーバ グループ　　4-12

TACACS+ サーバのモニタリング　　4-3

アカウンティング　　2-2

規格　　2-19

制限事項　　2-7

設定　　2-8‐2-16

設定の確認　　2-18

設定プロセス　　2-8

設定例　　2-18

説明　　2-2‐2-6

前提条件　　2-7

注意事項　　2-7

デフォルト設定　　2-18

認可　　2-2

認証　　2-2

バーチャライゼーション サポート　　2-6

ユーザ ログイン プロセス　　2-5

ライセンス要件　　2-7

利点　　2-3

AAA アカウンティング

802.1X に対する方式の設定　　7-30

デフォルト方式の設定　　2-13

AAA アカウンティング ログ

表示　　2-17

リセット　　2-17

AAA サーバ

FreeRADIUS VSA 形式　　3-4

SNMPv3 パラメータの指定　　2-15, 2-16

VSA のユーザ ロールの指定　　2-15

ユーザ ロールノシテイ　　2-16

AAA サーバ グループ

説明　　2-3

AAA サービス

セキュリティ　　2-2

設定オプション　　2-3

リモート　　2-3

AAA プロトコル

RADIUS　　2-2

TACACS+　　2-2

AAA ログイン

認証エラー メッセージのイネーブル化　　2-11

AAA ログイン認証

コンソール方式の設定　　2-8

デフォルト方式の設定　　2-10

ARP ACL

ARP ACL および DHCP スヌーピング エントリのプライオリティ　　15-5

VLAN への適用　　15-10

削除　　15-26

作成　　15-23

説明　　15-23

変更　　15-24

ARP 検査

ダイナミック ARP 検査を参照

Authentication, Authorization, and Accounting。AAA を参照

B

BGP

ユニキャスト RPF との併用　　19-3

C

Cisco TrustSec

IEEE 802.1AE のサポート　　9-4

RADIUS リレー　　9-11

SAP 動作モードの設定　　9-22

SGACL　　9-7‐9-9, 9-27‐9-36

SGT　　9-7‐9-9, 9-30

SXP　　9-37‐9-43

アーキテクチャ　　9-2

イネーブル化　　9-13

イネーブル化（例）　　9-44

環境データのダウンロード　　9-10

許可　　9-10

手動　　9-25

制約　　9-12

設定　　9-13‐9-43

設定の確認　　9-43

設定例　　9-44‐9-47

説明　　9-2‐9-11

前提条件　　9-12

注意事項　　9-12

データパス リプレイ保護　　9-21

デフォルト値　　9-47

認証　　9-19

バーチャライゼーション サポート　　9-11

ポリシーの取得　　9-10

ライセンス　　9-11

Cisco TrustSec シード デバイス

設定　　9-15

設定例　　9-44

説明　　9-10, 9-15

Cisco TrustSec デバイスのアイデンティティ

設定　　9-14

説明　　9-6

Cisco TrustSec の環境データ

ダウンロード　　9-10

Cisco TrustSec の許可　　9-10

設定　　9-15

Cisco TrustSec の手動モード

設定　　9-25

Cisco TrustSec デバイスの証明書

設定　　9-14

説明　　9-7

Cisco TrustSec ノデータパス リプレイ保護

設定　　9-21

Cisco TrustSec の認証

設定　　9-15, 9-19

説明　　9-4‐9-7

Cisco TrustSec 非シード デバイス

設定　　9-18

説明　　9-18

Cisco TrustSec ユーザの証明書

説明　　9-7

cisco-av-pair

AAA ユーザ パラメータの指定　　2-15, 2-16

CoPP

ステータスの表示　　20-13

制限事項　　20-6

設定　　20-7‐20-13

設定の確認　　20-14

設定例　　20-15

説明　　20-2‐20-5

注意事項　　20-6

デフォルト設定　　20-16

統計情報のクリア　　20-14

バーチャライゼーション サポート　　20-5

ライセンス　　20-5

CTS 認証

インターフェイスのキーの再作成　　9-24

CTS。Cisco TrustSec を参照

D

DHCP Option 82

説明　　14-4

DHCP スヌーピング

DHCP バインディングの表示　　14-16

MAC アドレス検証　　14-10

Option 82　　14-4

VLAN でのイネーブル化　　14-9

インターフェイスの信頼状態　　14-13

概要　　14-2

機能のイネーブル化　　14-8

グローバルなイネーブル化　　14-8

最小設定　　14-7

説明　　14-1

バインディング データベース

DHCP スヌーピング バインディング データベースを参照

メッセージ交換プロセス　　14-4

リレー エージェント　　14-13

DHCP スヌーピング バインディング データベース

エントリ　　14-3

概要　　14-3

DHCP バインディング データベース

DHCP スヌーピング バインディング データベースを参照

DoS 攻撃

ユニキャスト RPF の配布　　19-5

Dynamic Host Configuration Protocol（DHCP）スヌーピング

DHCP スヌーピングを参照

F

FreeRADIUS

ロール アトリビュートの VSA 形式　　2-16, 3-4

G

Galois/Counter Mode。GCM を参照

GCM

Cisco TrustSec SAP 暗号化　　9-4

GCM 認証。GMAC を参照

GMAC

Cisco TrustSec SAP 認証　　9-4

I

ID

シスコのベンダー ID　　2-15, 3-4, 4-4

IP ACL

IP ACL の削除　　10-14

IP ACL の作成　　10-12

IP ACL の変更　　10-13

制約　　10-11

設定　　10-12‐10-18

設定の確認　　10-19

前提条件　　10-11

注意事項　　10-11

デフォルト設定　　10-30

バーチャライゼーション サポート　　10-10

ライセンス　　10-11

IP ソース ガード

イネーブル化　　16-4

スタティック IP ソース エントリ　　16-5

説明　　16-1

M

MAC ACL

MAC ACL の削除　　11-5

MAC ACL の作成　　11-3

MAC ACL の変更　　11-4

バーチャライゼーション サポート　　10-10

MAC アドレス

802.1X の認証バイパスのイネーブル化　　7-22

mgmt0 インターフェイス

デフォルト設定　　5-15, 8-43

MIB

802.1X　　7-34

AAA　　2-19

Microsoft Challenge Handshake Authentication Protocol。MSCHAP を参照

MSCHAP

認証のイネーブル化　　2-12

N

Network Admission Control

NAC を参照

network-admin ユーザ ロール

説明　　6-3

network-operator ユーザ ロール

説明　　6-3

R

RADIUS

VSA　　3-4

グローバル事前共有鍵の設定　　3-7

サーバの設定　　3-6‐3-17

設定の確認　　3-19

設定例　　3-20

説明　　3-2‐3-5

前提条件　　3-5

送信リトライ回数の設定　　3-12

タイムアウト間隔の設定　　3-12

デフォルト設定　　3-20

動作　　3-2

ネットワーク環境　　3-2

バーチャライゼーション サポート　　3-5

ライセンス　　3-5

ログイン時のサーバの指定　　3-11

RADIUS アカウンティング

802.1X に対するイネーブル化　　7-29

RADIUS サーバ

アカウンティング アトリビュートの設定　　3-14

事前共有鍵の設定　　3-8

手動でのモニタリング　　3-18

ステータスの表示　　3-19

設定の確認　　3-19

設定プロセス　　3-6

設定例　　3-20

送信リトライ回数の設定　　3-13

タイムアウト間隔の設定　　3-13

定期モニタリングの設定　　3-15

デット タイム間隔の設定　　3-17

認証アトリビュートの設定　　3-14

ホストの設定　　3-7

モニタリング　　3-3

RADIUS サーバ グループ

設定　　3-9

RBAC

設定　　6-8‐6-14

設定の確認　　6-15

設定例　　6-15

説明　　6-3

デフォルト設定　　6-16

ユーザ ロールも参照

Reverse Path Forwarding。RPF を参照　　19-1

RPF。ユニキャスト RPF を参照　　19-1

S

SAP

動作モードの設定　　9-22

Security Association Protocol。SAP を参照

SGACL

SGT の手動でのマッピング　　9-31

設定　　9-27‐9-36

説明　　9-7‐9-9

SGACL ポリシー

VLAN に対する強制のイネーブル化　　9-28

VRF に対する強制のイネーブル化　　9-29

手動設定　　9-33‐9-35

取得　　9-10

設定プロセス　　9-28

ダウンロードの表示　　9-36

SGT

手動設定　　9-30

手動でのマッピング　　9-31

説明　　9-7‐9-9

SGT Exchange Protocol。SXP を参照

SNMPv3

AAA サーバのパラメータの指定　　2-16

AAA パラメータの指定　　2-15

SSH

サーバの鍵ペアの生成　　1-3, 5-2

superuser ロール。network-admin ユーザ ロールを参照

SXP

イネーブル化　　9-37

設定　　9-37‐9-43

設定プロセス　　9-37

送信元 IP アドレス　　9-40

デフォルト パスワード　　9-39

ピア接続の設定　　9-38

復帰期間　　9-41

リトライ期間　　9-42

T

TACACS+

RADIUS と比べた利点　　4-2

VSA　　4-4

イネーブル化　　4-8

グローバル タイムアウト間隔の設定　　4-14

グローバル事前共有鍵　　4-3

グローバル事前共有鍵の設定　　4-10

事前共有鍵　　4-3

ステータスの表示　　4-21

制限事項　　4-6

設定　　4-7‐4-21

設定の確認　　4-22

設定例　　4-22

説明　　4-2‐4-5

前提条件　　4-6

注意事項　　4-6

ディセーブル化　　4-20

デフォルト設定　　4-22

バーチャライゼーション　　4-5

ユーザ ログインの動作　　4-2

ライセンス要件　　4-6

ログイン時の TACACS+ サーバの指定　　4-13

TACACS+ サーバ

TCP ポートの設定　　4-16

サーバ グループの設定　　4-12

事前共有鍵の設定　　4-11

手動でのモニタリング　　4-20

ステータスの表示　　4-21

設定の確認　　4-22

設定プロセス　　4-7

タイムアウト間隔の設定　　4-15

定期モニタリングの設定　　4-17

デット タイム間隔の設定　　4-19

特権レベル　　4-5

ホストの設定　　4-9

モニタリング　　4-3

TCP ポート

TACACS+ サーバ　　4-16

V

vdc-admin ユーザ ロール

説明　　6-3

vdc-operator ユーザ ロール

説明　　6-3

Vendor-Specific Attribute。VSA を参照

VLAN

SGACL ポリシーの強制のイネーブル化　　9-28

VLAN ACL

VACL の削除　　12-6

VACL の作成および変更　　12-5

VACL の適用　　12-7

説明　　12-1

定義　　10-2

VRF

SGACL ポリシーの強制のイネーブル化　　9-29

VSA

形式　　2-15

サポートの説明　　2-15

プロトコル オプション　　2-15, 3-4, 4-4

あ

アカウンティング

VDC サポート　　2-6

説明　　2-2

アクセス コントロール リスト

ARP ACL を参照

IP ACL を参照

MAC ACL を参照

VLAN ACL

説明　　10-2‐10-10

タイプ　　10-2

適用順序　　10-3

ポート ACL を参照

ポリシーベースの ACL を参照

ルータ ACL を参照

い

インターフェイス

802.1X 再送信リトライ回数の設定　　7-28

802.1X 再認証リトライ回数の設定　　7-31

802.1X 定期再認証のイネーブル化　　7-15

802.1X 認証の制御　　7-12

デフォルト設定　　5-15, 8-43

お

オブジェクト グループ

確認　　10-23

設定　　10-20

説明　　10-9

か

管理インターフェイス

デフォルト設定　　5-15, 8-43

関連資料　　xxiv

き

キーチェーン

開始時　　17-2

終了時　　17-2

ライフタイム　　17-2

キーチェーン管理

キーチェーンの作成　　17-4

キーの設定　　17-5

キーのテキストの設定　　17-6

説明　　17-1

ライフタイムの設定　　17-8

機能グループ

設定　　6-10

こ

コンソール

AAA ログイン認証方式の設定　　2-8

コントロール プレーン クラス マップ

設定　　20-7

設定の確認　　20-14

設定例　　20-15

コントロール プレーン サービス ポリシー

設定　　20-12

コントロール プレーン ポリシー マップ

設定　　20-9

設定の確認　　20-14

設定例　　20-15

コントロール プレーン ポリシング。CoPP を参照

さ

サーバ グループ。AAA サーバ グループを参照

サービス拒絶攻撃

IP アドレス スプーフィングの軽減　　19-5

し

時間範囲

時間範囲の削除　　10-27

時間範囲の作成　　10-24

時間範囲の変更　　10-25

絶対　　10-8

設定　　10-24‐10-29

設定の確認　　10-29

説明　　10-8

定期　　10-9

シスコ

ベンダー ID　　2-15, 3-4, 4-4

事前共有鍵

TACACS+　　4-3

資料

追加資料　　xxiv

シングル ホスト

802.1X に対するイネーブル化　　7-21

せ

セキュリティ グループ アクセス リスト。SGACL を参照

セキュリティ グループ タグ。SGT を参照

た

ダイナミック ARP 検査

ARP ACL および DHCP スヌーピング エントリのプライオリティ　　15-5

ARP ACL の適用　　15-10

ARP キャッシュ ポイズニング　　15-2

ARP スプーフィング攻撃　　15-2

ARP 要求　　15-2

DHCP スヌーピング バインディング データベース　　15-3

error-disabled 回復　　15-11

man-in-the-middle 攻撃　　15-3

VLANでのイネーブル化　　15-8

インターフェイスの信頼状態　　15-4

機能　　15-3

信頼状態の設定　　15-9

説明　　15-1

追加検証　　15-11

ドロップされたパケットのロギング　　15-5

ネットワーク セキュリティ問題とインターフェイスの信頼状態　　15-4

ログ バッファ サイズの設定　　15-13

て

デフォルト設定

802.1X　　7-33

AAA　　2-18

CoPP　　20-16

RBAC　　6-16

TACACS+　　4-22

トラフィック ストーム制御　　18-7

レート制限　　21-7

と

統計情報

802.1X　　7-32

RADIUS サーバ　　3-19

TACACS+　　4-21

トラフィック ストーム制御　　18-6

トラフィック ストーム制御

ステータスの表示　　18-6

制約　　18-4

設定　　18-5

設定の確認　　18-6

設定例　　18-7

説明　　18-2

注意事項　　18-4

デフォルト設定　　18-7

バーチャライゼーション サポート　　18-3

ライセンス　　18-4

に

認可

説明　　2-2

ユーザ ログイン　　2-5

認証

802.1X　　7-3

説明　　2-2

方式　　2-4

ユーザ ログイン　　2-5

リモート　　2-2

ローカル　　2-2

は

バーチャライゼーション

802.1X　　7-7

AAA　　2-6

Cisco TrustSec　　9-11

CoPP　　20-5

RADIUS　　3-5

TACACS+　　4-5

トラフィック ストーム制御　　18-3

ユーザ アカウント　　6-4

ユーザ ロール　　6-4

レート制限　　21-2

パスワード

強力な特性　　6-2

ふ

ファイバ チャネル インターフェイス

デフォルト設定　　5-15, 8-43

ブロードキャスト ストーム。トラフィック ストーム制御を参照

ほ

ポート

802.1X の許可ステート　　7-4

ポート ACL

定義　　10-2

適用　　10-17

ポート セキュリティ

MAC の移行　　13-4

違反　　13-4

インターフェイスでのイネーブル化　　13-9

概要　　13-2

グローバルなイネーブル化　　13-8

スタティック MAC アドレス　　13-11

説明　　13-1

同一ポート上の 802.1X　　7-7

ポートベースの認証

カプセル化　　7-3

設定

クライアントの手動での再認証　　7-16

ポリシーベース ACL

オブジェクト グループの確認　　10-23

オブジェクト グループの作成　　10-20

説明　　10-9

ま

マルチ ホスト

802.1X に対するイネーブル化　　7-21

マルチキャスト ストーム。トラフィック ストーム制御を参照

ゆ

ユーザ アカウント

設定　　6-6

設定の確認　　6-15

設定例　　6-15

説明　　6-2

注意事項　　6-5

バーチャライゼーション サポート　　6-4

パスワードの特性　　6-2

ユーザ アカウントの制限　　6-5

ユーザ ロール

AAA サーバでの指定　　2-15, 2-16

VLAN ポリシーの変更　　6-12

VRF ポリシーの変更　　6-13

インターフェイス ポリシーの変更　　6-11

機能グループの作成　　6-10

制限事項　　6-5

設定　　6-8

設定の確認　　6-15

設定例　　6-15

説明　　6-3

注意事項　　6-5

デフォルト　　6-3

バーチャライゼーション サポート　　6-4

ユーザ ロールのルール

説明　　6-4

ユーザ ログイン

AAA ログイン認証方式の設定　　2-10

認可プロセス　　2-5

認証プロセス　　2-5

ユニキャスト Reverse Path Forwarding。ユニキャスト RPF を参照

ユニキャスト RPF

BGP アトリビュート　　19-3

BOOTP　　19-5

DHCP　　19-5

FIB　　19-2

緩和モード　　19-6

厳格モード　　19-6

実装　　19-2

制約　　19-5

設定　　19-6

設定の確認　　19-7

設定例　　19-8

説明　　19-2

注意事項　　19-5

デフォルト設定　　19-8

統計情報　　19-3

トンネリング　　19-5

バーチャライゼーション サポート　　19-4

配布　　19-5

ライセンス　　19-4

ユニキャスト ストーム。トラフィック ストーム制御を参照

ら

ライセンス

802.1X　　7-8

AAA　　2-7

Cisco TrustSec　　9-11

CoPP　　20-5

IP ACL　　10-11

RADIUS　　3-5

TACACS+　　4-6

トラフィック ストーム制御　　18-4

ユニキャスト RPF　　19-4

レート制限　　21-2

る

ルータ ACL

定義　　10-2

適用　　10-16

ルール。ユーザ ロールのルールを参照

れ

例

AAA 設定　　2-18

レート制限

ステータスの表示　　21-5

制限事項　　21-2

設定　　21-3

設定の確認　　21-6

設定例　　21-7

説明　　21-2

注意事項　　21-2

デフォルト設定　　21-7

統計情報のクリア　　21-6

バーチャライゼーション サポート　　21-2

ライセンス　　21-2