ポートセキュリティ（スイッチ）とは？

ポートセキュリティ（スイッチ）の意味

スイッチの物理ポートごとに、学習できるMACアドレスの数や特定のアドレスを制限する機能。上限を超えたり登録外のアドレスを検知したりした場合、ポートの遮断や警告送出といった動作を行う設定にできる。

ポートセキュリティ（スイッチ）の具体例

執務エリアの各ポートで学習数を1に制限し、違反時はポートを閉塞して管理者へ通知する。無断で持ち込んだスイッチやハブを介した多台数接続や、MACアドレステーブルを溢れさせる攻撃をポート単位で止められる。

ポートセキュリティ（スイッチ）は試験でどう引っ掛けられる？

閉塞後の復旧設計が抜けやすい。手動復旧のままだと、正規利用者の機器入れ替えのたびに現地対応が発生する。またIP電話とPCを数珠つなぎにする構成では学習数が2以上必要で、一律の設定は運用を止める。

ポートセキュリティ（スイッチ）と関連する用語

• MACフラッディング攻撃
• MACアドレスフィルタリング
• IEEE 802.1X

ポートセキュリティ（スイッチ）が出た過去問

• ルータで接続された二つのセグメント間でのコリジョンの伝搬とブロードキャストフレームの中継について，適切な組合せはどれか。

  正解：伝搬しない／中継しない

  要点：ルータはコリジョンもブロードキャストも通さない

  コリジョン（衝突）はCSMA/CDにおける同一コリジョンドメイン内の現象で、ルータはもちろんスイッチでもポートごとにドメインが分かれるため他セグメントへは伝搬しない。またルータはブロードキャストドメインを分割する装置であり、宛先がブロードキャストのフレームは原則として他セグメントへ中継しない。

  出典：平成29年度 秋期 情報処理安全確保支援士試験 am2 問18（IPA）

• PCやスイッチングハブがもつイーサネットインタフェース（物理ポート）の，Automatic MDI/MDI-Xの機能はどれか。

  正解：コネクタの送信端子と受信端子が正しい組合せとなるように，自動で判別して切り替える機能

  要点：送受信端子の対応を自動判別して切り替える機能

  Automatic MDI/MDI-Xは、ケーブルの結線に応じて送信端子と受信端子の対応を自動的に判定し、内部で切り替える機能です。これによりストレートケーブルとクロスケーブルを意識せずに接続できます。

  出典：平成29年度 春期 情報処理安全確保支援士試験 am2 問19（IPA）

• IEEE 802.1QのVLAN機能を有したスイッチにおいて,複数のVLANに所属しているポートを何と呼ぶか。

  正解：トランクポート

  要点：複数VLANをタグ付きで束ねて運ぶのがトランクポート

  IEEE 802.1QのタグVLANでは、スイッチ間やスイッチとサーバの間で複数のVLANの通信を1本の物理リンクにまとめて流す。この用途のポートをトランクポートと呼び、フレームにVLAN IDを含むタグを付けて、どのVLANの通信かを識別できるようにする。これに対し単一のVLANだけに属し、タグなしフレームを扱うポートがアクセスポートである。

  出典：平成30年度 春期 情報処理安全確保支援士試験 am2 問19（IPA）

• VLAN機能をもった1台のレイヤ3スイッチに複数のPCを接続している。スイッチのポートをグループ化して複数のセグメントに分けると，スイッチのポートをセグメントに…

  正解：スイッチが，PCからのブロードキャストパケットの到達範囲を制限するので，アドレス情報の不要な流出のリスクを低減できる。

  要点：VLANはブロードキャスト範囲を分離し情報流出を抑える

  VLANはスイッチのポートを論理的なグループに分け、グループごとに別々のブロードキャストドメインを構成する機能である。ブロードキャストの到達範囲がセグメント内に限られるため、ARP要求などから読み取れるアドレス情報が他セグメントへ漏れず、盗聴による情報収集や不要な通信の広がりを抑えられる。

  出典：令和1年度 春期 情報処理安全確保支援士試験 am2 問12（IPA）

• 複数台のレイヤ2スイッチで構成されるネットワークが複数の経路をもつ場合に、イーサネットフレームのループの発生を防ぐためのTCP/IPネットワークインタフェース層…

  正解：スパニングツリープロトコル

  要点：スパニングツリーは冗長経路を遮断しL2ループを防ぐ

  レイヤ2スイッチを冗長に接続すると、ブロードキャストフレームが経路を巡り続けるブロードキャストストームが起きる。スパニングツリープロトコル（IEEE 802.1D）は、スイッチ間でBPDUを交換してルートブリッジを選び、閉路を作るポートを論理的に遮断して木構造にすることでループを断つ。障害時には遮断していた経路を有効化し、冗長性も確保できる。

  出典：令和2年度 10月 情報処理安全確保支援士試験 am2 問20（IPA）