第5章 · セキュリティの基礎·v1.0.0·更新 2026/7/17·読了目安 約16分
変更要約: 初版
5.4レイヤ2セキュリティ
この節の要点
スイッチポートに接続できるMACを制限するポートセキュリティ（違反モードprotect/restrict/shutdown・スティッキMAC）、不正なDHCPサーバを排除するDHCPスヌーピング（信頼/非信頼ポートとバインディングテーブル）、そのバインディング情報を使ってARPなりすましを防ぐDynamic ARP Inspection（DAI）を、攻撃シナリオから「どのL2対策を組み合わせるか」を判断できるように学びます。
ファイアウォールやACLでL3以上を固めても、社内LANのスイッチポートに攻撃者が機器を差し込めば、MACフラッディング・不正DHCPサーバ・ARPなりすましといったレイヤ2の攻撃が成立します。L2の攻撃は「同一セグメント内」で起こるためL3の対策では防げません。この節では、アクセススイッチで有効化すべき3つの代表的なL2セキュリティ機能を、それぞれが「何の攻撃を、どういう仕組みで止めるか」に注目して学びます。
5.4.1ポートセキュリティ
- ポートセキュリティ＝アクセスポートに接続できるMACアドレスの数や種類を制限する機能。許可数を超える、または許可外のMACが現れると「違反」として対処する。基本設定は
switchport mode access→switchport port-security→switchport port-security maximum N（最大数）。既定の最大数は1。 - 許可MACの登録は手動（
switchport port-security mac-address アドレス）のほか、スティッキMAC（switchport port-security mac-address sticky）で最初に学習したMACを動的に許可リストへ取り込み、running-configに保存できる。これにより手入力なしに「今つながっている正規端末」を固定できる。 - 違反時の動作＝
switchport port-security violationで3種から選ぶ。protect＝違反フレームを黙って破棄（ログ/カウンタ増加なし）。restrict＝違反フレームを破棄しSNMPトラップ/Syslogで通知しカウンタを増やす。shutdown（既定）＝ポートをerr-disabled状態にして遮断し通知する。復旧にはshutdown→no shutdownかerrdisable recoveryが必要。