第 4 章セキュリティ編

4-1 ACL — 標準・拡張・名前付きとパケットフィルタリングの基礎

標準 / 拡張 / 名前付き ACL の違い、ワイルドカードマスク、暗黙の deny、適用方向を CML 実機の permit / deny 対照とヒットカウンタで整理する。csr1000v 3 台構成で送信元を撃ち分けた検証付き。

4-2 AAA — 認証・認可・アカウンティングとRADIUS / TACACS+

認証 / 認可 / アカウンティングという AAA の 3 本柱、method-list と local fallback、RADIUS と TACACS+ の違いを整理する。RADIUS の単一往復と TACACS+ の多段往復を、外部認証サーバとの debug 出力で対照して実機検証する。

4-3 802.1X — ポートベース認証とEAP / RADIUS

サプリカント / オーセンティケータ / 認証サーバの 3 者で動く IEEE 802.1X を、EAPOL と EAP over RADIUS の往復、未認証ポートの遮断、MAB フォールバックの観点で整理する。Catalyst 9000v の CML 実機で認証成功と遮断を検証する。

4-4 L2 セキュリティ — Port-Security / DHCP Snooping / DAI

L2 で成立する攻撃を止める Port-Security・DHCP Snooping・DAI の 3 つの防御を扱う。DHCP Snooping の binding table が DAI の入力になる縦の連鎖を主役に、CML 実機 (iosvl2) の show 出力で検証する。

4-5 Zone-Based Firewall — ゾーン設計とステートフルインスペクション

ACL のステートレスな限界を起点に、インターフェースをゾーンで束ねてステートフルに検査する ZBF を扱う。ゾーン間は default deny・self は既定 permit という既定挙動と、inspect が戻りを自動許可する非対称性を csr1000v の show 出力で検証する。

4-6 NAT/PAT — プライベートとグローバルを変換する仕組み

inside と outside の向きでアドレスを変換する NAT を扱う。static/dynamic/PAT の 3 方式と、変換テーブルに現れる 4 象限 (inside local/global・outside local/global) を csr1000v で検証し、変換後・変換前の両方に戻り経路が要る勘所を実機で確かめる。

4-7 IPsec VPN 基礎 — IKE がトンネルの鍵を配り SA が通信を守る

通信の中身を暗号で守る IPsec を扱う。IKEv1 の main mode 6 + quick mode 3 = 9 メッセージと、IKEv2 の IKE_SA_INIT + IKE_AUTH = 4 メッセージへの統合を対比し、鍵を安全に配る IKE と方向別の暗号契約 SA の関係を csr1000v の show で検証する。経路に NAT を挟むと UDP500 から UDP4500 へ移る NAT-T まで実機で確かめ、4-6 の伏線を回収する。S2S 実構成は 4-8 に送る。

4-8 Site-to-Site VPN — VTI で暗号トンネルを「線」として持つ

IPsec トンネルの実装方式を扱う。crypto map(policy-based) の crypto ACL に対し、VTI(route-based) は Tunnel0 へ routing された通信を暗号化する違いを csr1000v の show で比較し、VTI over OSPF のコスト設計の落とし穴と PFS の rekey 挙動まで実機で確かめる。第 4 章のまとめと第 5 章 QoS 編への橋渡しも行う。

第 4 章 セキュリティ編