ポートセキュリティとは ― MACアドレスの制限

ポートセキュリティとは、スイッチのポートごとに、接続を許可するMACアドレスの数と相手を制限する機能です。登録した数を超えるMACアドレスのフレーム（イーサネットで送るデータの単位）が届くと、違反として扱います。

空いているポートに知らない機器をつながれても、通信させずに止められます。登録のしかた、違反したときの動作、防げる攻撃と防げない攻撃を順に説明します。

スイッチは、受信したフレームの送信元MACアドレスと、受信したポートの組を、MACアドレステーブルに記録します。この学習の仕組みは、ハブ・スイッチ・ルータの違いの記事で説明しています。

通常、1つのポートで学習するMACアドレスの数に上限はありません。ただし、テーブル全体に記録できる数には限りがあります。悪意のある機器が、送信元MACアドレスを次々に変えたフレームを大量に送ると、テーブルが満杯になります。

満杯になると、スイッチは新しいMACアドレスを学習できなくなります。宛先がテーブルにないフレームは、受信したポート以外の全ポートへ転送（フラッディング）されます。その結果、本来は届かない相手にも通信を読まれるようになります。このようにテーブルをあふれさせる攻撃を、MACアドレスフラッディング攻撃と呼びます。

ポートセキュリティは、ポートごとに学習できるMACアドレスの数に上限を設けて、テーブルがあふれるのを防ぎます。

ポートに接続を許可するMACアドレスは、3つの方式のどれかで登録します。

スティッキーは、ダイナミックと同じように自動で学習しますが、学習した内容を設定に書き加える点が違います。設定を保存すれば、スイッチを再起動してもそのMACアドレスは残ります。管理者が1台ずつ入力する手間を省きながら、設定として確定させたい場合に使います。

1ポートに登録できるMACアドレスの数には上限があります。既定値は1台で、管理者が変更できます。

1つのポートの先に複数の機器をつなぐ構成では、上限をその台数に合わせて増やします。設定できる上限の最大値は、スイッチの機種によって異なります。

上限を超えるMACアドレスからのフレームが届くと、ポートセキュリティは違反として扱います。違反が起きたときの動作は、3つのモードから選べます。

既定値はshutdownです。protectとrestrictは、登録外のフレームを破棄するだけでポートは止まりません。2つの違いは通知の有無だけです。shutdownは、ポート全体を止める点がほかの2つと大きく異なります。

表のSNMPトラップは、機器が異常を管理用のサーバへ自分から知らせる通知です。仕組みはSNMPの記事で説明しています。

次の図では、同じ場面で3つのモードを切り替えて違いを比べられます。

shutdownモードで違反が起きると、ポートはerr-disabledという状態になります。リンクが切断された状態になり、そのポートを通る通信はすべて止まります。

既定では、err-disabled状態は、違反の原因を取り除いても自動的には戻りません。管理者がそのポートをいったん無効にしてから有効にし直して、手動で復旧させます。一定時間後に自動で復旧する設定もあり、あらかじめ設定しておけば、管理者が毎回操作しなくても済みます。

ポートセキュリティで防げるのは、ここまで説明したMACアドレスフラッディング攻撃です。送信元MACアドレスを次々に変える攻撃を、台数の上限で止めます。

一方、防げない攻撃もあります。ポートセキュリティが見ているのは、届いたフレームの送信元MACアドレスが登録と一致するかどうかだけだからです。

1つはMACアドレスのなりすましで、登録を許可された機器のMACアドレスを偽って名乗る攻撃です。MACアドレスが登録と一致するので、ポートセキュリティは通してしまいます。

2つ目はARPスプーフィング（偽のARP応答で通信を横取りする攻撃）です。ポートセキュリティは送信元MACアドレスだけを見ており、ARPの中身までは確認しません。ARPスプーフィングの仕組みはARPの記事で説明しています。

3つ目として、不正なDHCPサーバからの応答も、ポートセキュリティでは防げません。防ぐには、DHCPスヌーピングという別の仕組みが必要です。