リファレンス編 / Security

スイッチポートごとのパケットストームプロテクション設定を行います。

パケットストームプロテクション機能は、ブロードキャストパケット、未学習のマルチキャストパケット、または未学習のユニキャストパケットの受信レートに上限を設定し、設定値を上回るレートで該当トラフィックのパケットを受信した場合に、設定値以上のパケットを破棄することで、正常なトラフィックを保護します。

Global Settings

表 1：Global Settings

項目名	説明
Unit	受信レート上限値の単位を「pps」または「bps」から選択します。
Preamble & IFG	プリアンブルおよびフレーム間ギャップ（IFG）を、「Excluded」（除外する）または「Included」（含む）から選択します。

表 2：コマンドボタン

項目名	説明
Apply	設定の変更をランニングコンフィグに保存し、動作に反映します。

Port Settings

表 3：Port Settings

項目名	説明
Port	スイッチポートを選択します。
Port State	パケットストームプロテクションの「Disabled」（無効）または「Enabled」（有効）を選択します。
Action	受信レートの上限を超えたポートのアクションを選択します。・Drop：設定値以上のパケットを破棄する・Shutdown：ポートを無効化する
Type Enable	ブロードキャストパケットの受信レートの上限を設定する場合は、「Broadcast」のチェックボックスを「チェックあり」にし、kbps単位で上限値を設定します。未学習のマルチキャストパケットの受信レートに上限を設定する場合は、「Unknown Multicast」のチェックボックスを「チェックあり」にし、kbps単位で上限値を設定します。未学習のユニキャストパケットの受信レートに上限を設定する場合は、「Unknown Unicast」のチェックボックスを「チェックあり」にし、kbps単位で上限値を設定します。

表 4：コマンドボタン

項目名	説明
Apply	設定の変更をランニングコンフィグに保存し、動作に反映します。

Port Security

ポートセキュリティーは、MACアドレスに基づき、ポートごとに通信を許可するデバイスを制限する機能です。

表 5：Port Security

項目名	説明
Port Select	スイッチポートを選択します。
Enabled	ポートセキュリティーの「Enabled」（有効）または「Disabled」（無効）を選択します。デフォルトは「Disabled」です。
FDB Learn Limit (0-64)	対象ポートで学習可能なMACアドレスの最大数を、0～64の数値で設定します。デフォルトは「0」です。
Violation MAC Notification	不正なMACアドレスを通知するか否かを、「Enabled」（通知する）または「Disabled」（通知しない）から選択します。

表 6：コマンドボタン

項目名	説明
Apply	設定の変更をランニングコンフィグに保存し、動作に反映します。

Protected Ports

保護ポートの設定を行います。

表 7：Protected Ports

項目名	説明
Port List	スイッチポートまたはトランクグループを選択します。
Port Type	「Unprotected」（保護しない）または「Protected」（保護する）を選択します。「Protected」に設定されたスイッチポートまたはトランクグループは、「Protected」に設定された別のスイッチポートまたはトランクグループとは、通信できなくなります。「Protected」に設定されたスイッチポートまたはトランクグループと、「Unprotected」に設定されたスイッチポートまたはトランクグループとは、通信できます。

表 8：コマンドボタン

項目名	説明
Apply	設定の変更をランニングコンフィグに保存し、動作に反映します。

DoS Prevention

攻撃検出機能は、スイッチポートでDoS（サービス妨害）攻撃と思われるトラフィックを検出したときに、該当ポートを一定時間シャットダウンして、本製品と配下のネットワークを保護する機能です。

DoS Global Settings

攻撃検出機能で検出する攻撃の種類を設定します。

表 9：DoS Global Settings

項目名	説明
DMAC = SMAC	送信元MACアドレスと宛先MACアドレスが同じパケットによるDoS攻撃を検出するか否かを、「Enabled」（有効）または「Disabled」（無効）から選択します。
LAND	Land攻撃（送信元IPアドレスと宛先IPアドレスが同じパケットによるDoS攻撃）を検出するか否かを、「Enabled」（有効）または「Disabled」（無効）から選択します。
UDP Blat	UDP Blat攻撃を検出するか否かを、「Enabled」（有効）または「Disabled」（無効）から選択します。
TCP Blat	TCP Blat攻撃を検出するか否かを、「Enabled」（有効）または「Disabled」（無効）から選択します。
POD	Ping of Death攻撃（不正に大きなPingパケットによるDoS攻撃）を検出するか否かを、「Enabled」（有効）または「Disabled」（無効）から選択します。
IPv6 Min Fragment	小さなIPv6フラグメントによるDoS攻撃を検出するか否かを、「Enabled」（有効）または「Disabled」（無効）から選択します。 IPv6フラグメントの最小サイズを、0～65535の数値（単位：バイト）で設定します。
ICMP Fragments	ICMPフラグメントによるDoS攻撃を検出するか否かを、「Enabled」（有効）または「Disabled」（無効）から選択します。
IPv4 Ping Max Size	大きなIPv4 PingパケットによるDoS攻撃を検出するか否かを、「Enabled」（有効）または「Disabled」（無効）から選択します。
IPv6 Ping Max Size	大きなIPv6 PingパケットによるDoS攻撃を検出するか否かを、「Enabled」（有効）または「Disabled」（無効）から選択します。
Ping Max Size Setting	受信可能なIPv4/IPv6 Pingパケットの最大サイズを、0～65535の数値（単位：バイト）で設定します。
Smurf Attack	Smurf攻撃（送信元として標的のIPアドレスを、宛先として標的の属するディレクテッドブロードキャストアドレスを指定したICMP EchoパケットによるDoS攻撃）を検出するか否かを、「Enabled」（有効）または「Disabled」（無効）から選択します。 Smurf攻撃と見なすディレクテッドブロードキャストアドレスのネットマスク長を0～32の数値（単位：ビット）で設定します。
TCP Min Hdr Size	小さなTCPヘッダーを持つパケットによる攻撃を検出するか否かを、「Enabled」（有効）または「Disabled」（無効）から選択します。受信可能なTCPヘッダーの最小サイズを0～31の数値（単位：バイト）で設定します。
TCP-SYN (SPORT < 1024)	TCPポート番号0～1023のいずれかを送信元TCPポートとするTCP SYNパケットによる攻撃を検出するか否かを、「Enabled」（有効）または「Disabled」（無効）から選択します。
Null Scan Attack	Nullスキャン（シーケンス番号が0かつ、すべてのフラグがセットされていないTCPパケットを利用したポートスキャン）による攻撃を検出するか否かを、「Enabled」（有効）または「Disabled」（無効）から選択します。
X-Mas Scan Attack	X-Masスキャン（シーケンス番号が0かつ、FIN/URG/PSHの3つの矛盾するフラグがセットされたTCPパケットを利用したポートスキャン）による攻撃を検出するか否かを、「Enabled」（有効）または「Disabled」（無効）から選択します。
TCP SYN-FIN Attack	SYN/FINの2つの矛盾するフラグがセットされたTCPパケットによる攻撃を検出するか否かを、「Enabled」（有効）または「Disabled」（無効）から選択します。
TCP SYN-RST Attack	SYN/RSTの2つの矛盾するフラグがセットされたTCPパケットによる攻撃を検出するか否かを、「Enabled」（有効）または「Disabled」（無効）から選択します。
TCP Fragment (Offset = 1)	フラグメント化されたTCPパケットによる攻撃を検出するか否かを、「Enabled」（有効）または「Disabled」（無効）から選択します。

表 10：コマンドボタン

項目名	説明
Apply	設定の変更をランニングコンフィグに保存し、動作に反映します。

DoS Port Settings

各スイッチポートでの攻撃検出機能の動作を設定します。

表 11：DoS Port Settings

項目名	説明
Port	スイッチポートまたはトランクポートを選択します。
DoS Protection	攻撃検出機能の「Enabled」（有効）または「Disabled」（無効）を選択します。デフォルトは「Disabled」です。

表 12：コマンドボタン

項目名	説明
Apply	設定の変更をランニングコンフィグに保存し、動作に反映します。

Applications

TELNET

Telnetサーバー機能の設定を行います。

表 13：TELNET

項目名	説明
Telnet Service	Telnetサーバー機能の「Enabled」（有効）または「Disabled」（無効）を選択します。デフォルトは「Enabled」です。

表 14：コマンドボタン

項目名	説明
Apply	設定の変更をランニングコンフィグに保存し、動作に反映します。

SSH

Secure Shell（SSH）サーバー機能の設定を行います。

表 15：SSH

項目名	説明
SSH Service	SSHサーバー機能の「Enabled」（有効）または「Disabled」（無効）を選択します。デフォルトは「Disabled」です。

表 16：コマンドボタン

項目名	説明
Apply	設定の変更をランニングコンフィグに保存し、動作に反映します。

HTTP

HTTPサーバー機能の設定を行います。

表 17：HTTP

項目名	説明
HTTP Service	HTTPサーバー機能の「Enabled」（有効）または「Disabled」（無効）を選択します。
Session Timeout	HTTPサーバーにログイン時、無操作状態でのセッションタイムアウト時間を、0～86400の数値（単位：分）で設定します。「0」に設定した場合、無操作時のセッションタイムアウトを行いません。

表 18：コマンドボタン

項目名	説明
Apply	設定の変更をランニングコンフィグに保存し、動作に反映します。

HTTPS

HTTPSサーバー機能の設定を行います。

表 19：HTTPS

項目名	説明
HTTPS Service	HTTPSサーバー機能の「Enabled」（有効）または「Disabled」（無効）を選択します。
Session Timeout	HTTPSサーバーにログイン時、無操作状態でのセッションタイムアウト時間を、0～86400の数値（単位：分）で設定します。「0」に設定した場合、無操作時のセッションタイムアウトを行いません。

表 20：コマンドボタン

項目名	説明
Apply	設定の変更をランニングコンフィグに保存し、動作に反映します。

802.1x

本製品は、スイッチポート単位でLAN上のユーザーや機器を認証する、IEEE 802.1Xポート認証機能を実装しています。

802.1X認証機能を使用すると、スイッチポートに接続された機器やその利用者（ユーザー）を認証し、認証に成功したときだけ同機器からの通信、および同機器への通信を許可するよう設定できます。

802.1x Global Settings

802.1X認証を使用するための一般設定を行います。

表 21：802.1x Global Settings

項目名	説明
State	802.1X認証機能の「Disabled」（無効）または「Enabled」（有効）を選択します。デフォルトは「Disabled」です。
Server IP	RADIUSサーバーのIPアドレスを指定します。
Server Port	RADIUSサーバーとの通信に使用するUDPポート番号を、0～65535の数値で設定します。デフォルトは「1812」です。
Accounting Port	RADIUSのアカウンティング用UDPポート番号を、0～65535の数値で設定します。デフォルトは「1813」です。
Security Key	RADIUSサーバーとの通信に使う共有パスワードを、1～128文字で入力します。
Reauth Period	認証間隔を、0～65535の数値（単位：秒）で設定します。デフォルトは「3600」です。

表 22：コマンドボタン

項目名	説明
Apply	設定の変更をランニングコンフィグに保存し、動作に反映します。

802.1x Port Configuration

各スイッチポートでの802.1X認証の動作を設定します。この場合、認証ホストモードはマルチプルホストの動作となります。

表 23：802.1x Port Configuration

項目名	説明
Authentication based	認証に成功した機器のMACアドレステーブルへの登録方法を設定します。 Port：ダイナミックエントリーとして登録する（エージングされる） Mac：スタティックエントリーとして登録する（エージングされない）
Port Select	スイッチポートを選択します。
State	802.1X認証の「Authorize」（有効）または「Disabled」（無効）を選択します。

表 24：コマンドボタン

項目名	説明
Apply	設定の変更をランニングコンフィグに保存し、動作に反映します。

IP Security

Global Settings

IPセキュリティー設定を行います。指定したIPアドレスからのみ、指定したサービス（本製品の管理機能）へのアクセスができるように制限します。

表 25：Global Settings

項目名	説明
Status	IPセキュリティー設定の「Enabled」（有効）または「Disabled」（無効）を選択します。「Enabled」を選択した場合、「IP Security」/「Entry Settings」画面で条件を指定します。

表 26：コマンドボタン

項目名	説明
Apply	設定の変更をランニングコンフィグに保存し、動作に反映します。

Entry Settings

アクセスを許可するIPアドレス、サービスを設定します。

表 27：Entry Settings

項目名	説明
IP Address	IPアドレスを設定します。
IP Mask	サブネットマスクを設定します。
Services	サービスを選択します。

表 28：コマンドボタン

項目名	説明
Apply	設定の変更をランニングコンフィグに保存し、動作に反映します。

Security Login

ログイン時のユーザー認証機構として、RADIUSサーバー、TACACS+サーバーへの問い合わせを使用することができます。

Global Settings

Security Loginの一般設定を行います。

表 29：Global Settings

項目名	説明
State	ログイン時のユーザー認証機構として、RADIUSサーバー、TACACS+サーバーへの問い合わせを使用するには「Enabled」を、使用しない場合は「Disabled」を選択します。

表 30：RADIUS Settings

項目名	説明
Server IP	RADIUSサーバーのIPアドレスを指定します。
Server Port	RADIUSサーバーとの通信に使用するUDPポート番号を、1～65535の数値で設定します。
Security Key	RADIUSサーバーとの通信に使う共有パスワードを、1～128文字で入力します。

表 31：TACACS Settings

項目名	説明
Server IP	TACACS+サーバーのIPアドレスを指定します。
Server Port	TACACS+サーバーとの通信に使用するUDPポート番号を、1～65535の数値で設定します。
Security Key	TACACS+サーバーとの通信に使う共有パスワード、1～128文字で入力します。

表 32：コマンドボタン

項目名	説明
Apply	設定の変更をランニングコンフィグに保存し、動作に反映します。

Access Control Settings

ログイン時のユーザー認証機構と、使用できるサーバー機能を設定します。

表 33：Access Control Settings

項目名	説明
Login Type	ログイン時に使用するユーザー認証を選択します。・None Used： RADIUSサーバーおよびTACACS+サーバーを使用しません・RADIUS Only： RADIUSサーバーのみを使用します・TACACS Only： TACACS+サーバーのみを使用します・RADIUS & TACACS： RADIUSサーバーおよびTACACS+サーバーを使用します・RADIUS & TACACS & WEB： RADIUSサーバー、TACACS+サーバー、およびHTTPサーバーを使用します
HTTP	HTTPサーバー機能を使用してログインする場合は「Enabled」を、使用しない場合は「Disabled」を選択します。
TELNET	Telnetサーバー機能を使用してログインする場合は「Enabled」を、使用しない場合は「Disabled」を選択します。
SSH	SSHサーバー機能を使用してログインする場合は「Enabled」を、使用しない場合は「Disabled」を選択します。

表 34：コマンドボタン

項目名	説明
Apply	設定の変更をランニングコンフィグに保存し、動作に反映します。

MAC ACL

MACアクセスリスト（MAC ACL）機能の設定を行います。

Entry Settings

MACアクセスリストエントリーを作成します。
MACアクセスリストエントリーは、本製品が受信したパケット（Ethernetフレーム）の宛先MACアドレス、送信元MACアドレスなどの条件と、条件に合致した場合のアクション（許可/破棄）を定義します。

表 35：Entry Settings

項目名	説明
Entry ID	エントリー番号を、1～250の数値で入力します。
Destination MAC Address	宛先MACアドレスを、xx:xx:xx:xx:xx:xxの形式で入力します。xxは1オクテット（2桁）の16進数です。0～9、a～f、A～Fが使用できます。
Destination MAC Mask	宛先MACアドレスに対するマスクを、xx:xx:xx:xx:xx:xxの形式で指定します。受信パケットの宛先MACアドレスと「Destination MAC Address」に指定されたMACアドレスの比較時に無視したい部分を「00」、比較したい部分を「FF」のどちらかを用いて8ビット（2桁）単位で指定します。受信パケットの宛先MACアドレスと「Destination MAC Address」に指定されたMACアドレスを完全一致で比較したいときは、「FF:FF:FF:FF:FF:FF」を指定します。受信パケットの宛先MACアドレスと「Destination MAC Address」に指定されたMACアドレスの最下位8ビット（2桁）を比較しない場合は、「FF:FF:FF:FF:FF:00」を指定します。
Source MAC Address	送信元MACアドレスをxx:xx:xx:xx:xx:xxの形式で入力します。xxは1オクテット（2桁）の16進数です。0～9、a～f、A～Fが使用できます。
Source MAC Mask	送信元MACアドレスに対するマスクを、xx:xx:xx:xx:xx:xxの形式で指定します。受信パケットの送信元MACアドレスと「Source MAC Address」に指定されたMACアドレスの比較時に無視したい部分を「00」、比較したい部分を「FF」のどちらかを用いて8ビット（2桁）単位で指定します。受信パケットの送信元MACアドレスと「Source MAC Address」に指定されたMACアドレスを完全一致で比較したいときは「FF:FF:FF:FF:FF:FF」を指定します。受信パケットの送信元MACアドレスと「Source MAC Address」に指定されたMACアドレスの最下位8ビット（2桁）を比較しない場合は「FF:FF:FF:FF:FF:00」を指定します。
Ether Type	受信パケットのEthertypeを、1～65535の数値（10進数）で入力します。 Ethertypeは、Ethernetで伝送する通信プロトコルの種類を示す識別子です。
VLAN ID	受信パケットのVLAN IDを1～4094の数値で設定します。
Portlist	クリックしてエントリーの対象にするポートを選択します。対象から外すには、ポート名の横にある×印をクリックします。
Action	該当のエントリーの条件に合致した場合のアクションを、「Permit」または「Drop」から選択します。「Permit」を選択すると、条件に合致した受信パケットを許可（転送）します。「Drop」を選択すると、条件に合致した受信パケットを破棄します。
Status	該当のエントリーを有効にする場合は「Active」を、無効にする場合は「Inactive」を選択します。

表 36：コマンドボタン

項目名	説明
Add	エントリーを追加します。

Entry List

MACアクセスリストエントリーの一覧を表示します。

表 37：コマンドボタン

項目名	説明
Edit	選択したエントリーの設定を変更します。
Delete	選択したエントリーを削除します。

IP ACL

IPアクセスリスト（IP ACL）機能の設定を行います。

Entry Settings

IPアクセスリストエントリーを作成します。
IPアクセスリストエントリーは、本製品が受信したパケット（Ethernetフレーム）の宛先IPアドレス、送信元IPアドレスなどの条件と、条件に合致した場合のアクション（許可/破棄）を定義します。

表 38：Entry Settings

項目名	説明
Entry ID	エントリー番号を、1～250の数値で入力します。
Destination IP Address	宛先IPアドレスを指定します。
Destination IP Mask	宛先IPアドレスのサブネットマスクを指定します。
Source IP Address	送信元IPアドレスを指定します。
Source IP Mask	送信元IPアドレスのサブネットマスクを指定します。
IP Protocol	プロトコルの種類を「ICMP」、「TCP」、「UDP」から選択します。
L4 Destination Port	「IP Protocol」で「TCP」または「UDP」を選択した場合に、TCP/UDP宛先ポート番号を0～65535の数値で入力します。
L4 Source Port	「IP Protocol」で「TCP」または「UDP」を選択した場合に、TCP/UDP送信元ポート番号を0～65535の数値で入力します。
Portlist	クリックしてエントリーの対象にするポートを選択します。対象から外すには、ポート名の横にある×印をクリックします。
Action	該当のエントリーの条件に合致した場合のアクションを、「Permit」または「Drop」から選択します。「Permit」を選択すると、条件に合致した受信パケットを許可（転送）します。「Drop」を選択すると、条件に合致した受信パケットを破棄します。
Status	該当のエントリーを有効にする場合は「Active」を、無効にする場合は「Inactive」を選択します。

Entry List

IPアクセスリストエントリーの一覧を表示します。

表 39：コマンドボタン

項目名	説明
Edit	選択したエントリーの設定を変更します。
Delete	選択したエントリーを削除します。

IP Source Guard

IPソースガード（IP Source Guard）は、手動で設定されたIPソースバインディングテーブル、またはDHCPスヌーピングバインディングテーブルに基づいてトラフィックをフィルタリングする機能です。

Global Settings

IPソースガードの一般設定を行います。

表 40：Global Settings

項目名	説明
Portlist	クリックしてIPソースガードの対象にするポートを選択します。

表 41：コマンドボタン

項目名	説明
Modify	選択したポートにIPソースガードを設定します。

Entry Settings

IPソースガードのエントリーを作成します。

表 42：Entry Settings

項目名	説明
Source MAC Address	送信元MACアドレスをxx:xx:xx:xx:xx:xxの形式で入力します。xxは1オクテット（2桁）の16進数です。0～9、a～f、A～Fが使用できます。
Source IP Address	送信元IPアドレスを入力します。
Port	対象にするポートを選択します。

表 43：コマンドボタン

項目名	説明
Add	エントリーを追加します。
Delete	選択したエントリーを削除します。

DHCP Snooping

DHCP Snoopingは、DHCPサーバー・クライアント間でやりとりされるDHCPメッセージを監視して、動的なIPソースフィルタリングを行う機能です。本機能を利用すれば、DHCPサーバーを用いたネットワーク環境において、正当なDHCPクライアントにだけIP通信を許可することができます。

Global Settings

DHCP Snoopingの一般設定を行います。

表 44：Global Settings

項目名	説明
DHCP Snooping State	DHCP Snoopingの「Enabled」（有効）または「Disabled」（無効）を選択します。
DHCP Snooping Port Select	DHCP Snoopingによるフィルタリングが行われるポートを選択します。
Enabled	選択したポートについて、DHCP Snoopingの「Enabled」（有効）または「Disabled」（無効）を選択します。
DHCP Snooping Binding Port Select	DHCP Snoopingテーブル（バインディングデータベース）にダイナミックエントリーを追加するポートを設定します。
Enabled	選択したポートについて、DHCP Snoopingテーブルの「Enabled」（有効）または「Disabled」（無効）を選択します。

表 45：コマンドボタン

項目名	説明
Apply	設定の変更をランニングコンフィグに保存し、動作に反映します。

Entry Settings

DHCP Snoopingの情報を表示します。

ARP Spoofing

ARPスプーフィングは、スタティックに設定されたIPアドレスとMACアドレスの関連付けテーブルに基づいて正規のARP応答パケットのみを転送する機能です。

表 46：ARP Spoofing

項目名	説明
Source MAC Address	正規の送信元MACアドレスを入力します。
Source IP Address	正規の送信元IPアドレスを入力します。

表 47：コマンドボタン

項目名	説明
Add	送信元IPアドレスと送信元MACアドレスの組み合わせを登録します。

PN: 613-002598 Rev.D