第5章 · セキュリティの基礎·v1.0.0·更新 2026/7/17·読了目安 約16分
変更要約: 初版
5.2デバイスアクセス制御とAAA
この節の要点
ルータ/スイッチへのアクセスを守るローカルパスワード（enable secret・ラインパスワード・username secret）とTelnetより安全なSSH、パスワードポリシー（複雑性・管理・MFA・証明書・生体認証）、そして認証・認可・アカウンティングを集中管理するAAAと外部サーバプロトコルTACACS+（TCP49・Cisco独自・コマンド単位認可）／RADIUS（UDP・標準・認証認可統合）の使い分けを、実機設定と要件から判断できるように学びます。
ネットワーク機器そのものが乗っ取られれば、その機器が守っていたトラフィックはすべて危険にさらされます。だからこそ、ルータ/スイッチへの管理アクセスを堅牢にすることは最優先の対策です。この節では、単体機器のローカルパスワード設定から、多数の機器を集中管理するAAA（外部サーバによる認証・認可・アカウンティング）まで、「小規模なら何で足りるか」「大規模・監査要件があるなら何が必要か」を判断できるようにします。
5.2.1ローカルパスワードとSSH
- 特権EXECモード（
enable）はenable secretで保護する。enable secretはハッシュ（既定でtype5、より新しいIOSではtype8/9のscrypt）で保存され、平文が復元できない。旧来のenable passwordは暗号化されず脆弱なので使わない。ラインパスワードやtype7表示を弱く隠すservice password-encryptionは可逆で本質的な保護にはならない点に注意。 - コンソール（
line console 0）とVTY（line vty 0 4＝Telnet/SSH用の仮想回線）にはそれぞれpassword＋login、あるいはlogin local（ローカルDBのusername/secretで認証）を設定する。username 名前 secret パスワードでユーザ単位のアカウントを作れる（passwordよりsecret＝ハッシュ保存が安全）。 - TelnetはIDもパスワードもコマンドも平文で流れるため、リモート管理には必ずSSHを使う。SSH有効化には（1）ホスト名とドメイン名の設定、（2）
crypto key generate rsaによるRSA鍵生成、（3）ローカルユーザ作成、（4）line vtyでtransport input sshを指定、が必要。SSHv2の使用が推奨される。