5セキュリティ

• 5.1デバイスアクセス制御（lines・ローカル認証・AAA）

  line vty／line console へのローカルユーザ認証の適用と、AAA（認証／認可／アカウンティング）による集中制御を学びます。TACACS+（TCP 49・AAAを分離・パケット全体を暗号化）とRADIUS（UDP 1812/1813・認証と認可を統合・パスワードのみ暗号化）の違いを、「誰にどのコマンドまで許すか」「サーバ障害時に締め出されないか」という設計判断として整理します。

• 5.2ACL によるインフラ保護

  標準ACL（送信元IPのみで判定）と拡張ACL（送信元/宛先IP・プロトコル・ポートで判定）の違い、順次評価（上から順に最初に一致したエントリで確定）と末尾の暗黙のdeny、そしてどのインタフェースのどちら向きに適用するかという配置判断を扱います。名前付きACLでのシーケンス番号編集や、log による検証も含め、「意図した通信だけを通す」構成を組み立てられるようにします。

• 5.3CoPP（Control Plane Policing）

  CoPP は、装置自身の CPU（コントロールプレーン）宛てに上がるトラフィックを分類しレート制限することで、ルーティングプロトコルや管理アクセスを DoS や過剰な制御トラフィックから守る仕組みです。MQC（class-map／policy-map／service-policy）でクラス分けとレート設計を行い、control-plane に適用します。「なぜ ACL では CPU を守れないのか」「なぜ隣接が落ちたのか」を判断できるようにします。

• 5.4REST API セキュリティ

  Catalyst Center や SD-WAN Manager をはじめとするコントローラの REST API を安全に扱うための要点——HTTPS/TLS による通信路の保護、トークンと OAuth 2.0 による認証・認可、レート制限（HTTP 429）、最小権限のロール設計、そして資格情報をコードに埋め込まない運用——を、自動化スクリプトの設計判断として扱います。

• 5.5ネットワークセキュリティ設計の構成要素

  脅威防御（IPS・サンドボックス・脅威インテリジェンス）、エンドポイントセキュリティ（EDR・ポスチャ評価）、次世代ファイアウォール（NGFW）（アプリ/ユーザ識別を伴う制御）、そして TrustSec（SGT によるグループベースの制御）と MACsec（IEEE 802.1AE のホップ単位 L2 暗号化）を、「この要件をどの層のどの仕組みで満たすか」という設計判断として整理します。