第5章 · セキュリティ·v1.0.0·更新 2026/7/20·読了目安 約18分
変更要約: 初版
5.3CoPP（Control Plane Policing）
この節の要点
CoPP は、装置自身の CPU（コントロールプレーン）宛てに上がるトラフィックを分類しレート制限することで、ルーティングプロトコルや管理アクセスを DoS や過剰な制御トラフィックから守る仕組みです。MQC（class-map／policy-map／service-policy）でクラス分けとレート設計を行い、control-plane に適用します。「なぜ ACL では CPU を守れないのか」「なぜ隣接が落ちたのか」を判断できるようにします。
ルータやスイッチの転送はハードウェア（データプレーン）で行われますが、OSPF の Hello、BGP の更新、ARP、ICMP、SNMP、SSH といった装置自身が処理すべきパケットはソフトウェア処理のために CPU へパント（punt）されます。攻撃者がこの経路に大量のパケットを流し込むと、CPU が飽和して隣接がタイムアウトし、経路が落ち、管理アクセスすらできなくなる——転送は無傷でもネットワークは崩壊します。インタフェースACLは通過するトラフィックを落とせても、装置宛てに正当に見えるパケットの量は制御できません。ここを守る専用の仕組みが CoPP です。
5.3.1コントロールプレーンを守る理由
- コントロールプレーン＝経路計算や隣接維持、装置管理を担う CPU 上の処理。ここへ到達するパケットは ASIC の高速転送を離れソフトウェアで1つずつ処理されるため、単位時間あたりの処理能力がデータプレーンより桁違いに小さい。少量の攻撃トラフィックでも装置を機能不全にできるのはこのためである。
- CoPP は
control-planeという仮想インタフェースにサービスポリシーを適用し、CPU へ向かうトラフィックをクラスごとにポリシングする。重要なのは「拒否」ではなくレート制限である点＝正当なプロトコルは通しつつ、異常な量だけを落とすことで、装置が最も忙しいとき（＝攻撃時）にも隣接と管理を生かすことを狙う。 - CoPP と混同されやすいものに CPPr（Control Plane Protection）（コントロールプレーンをさらに host/transit/CEF-exception のサブインタフェースに細分）や、
access-class（管理平面の到達制御）がある。面（データ／管理／コントロール）と道具の対応を取り違えないこと。