透過モードでの ARP 検査およびブリッジングパラメータの設定 - Cisco

CHAPTER
24
透過モードでの ARP 検査およびブリッジン
グパラメータの設定
この章では、ARP 検査をイネーブルにする方法と、透過ファイアウォールモードで adaptive security
appliance のブリッジングオペレーションをカスタマイズする方法について説明します。マルチコンテ
キストモードでは、この章のコマンドはシステムではなくセキュリティコンテキストで入力します。
この章は、次の項で構成されています。
• 「ARP 検査の設定」（P.24-1）
• 「MAC アドレステーブルのカスタマイズ」（P.24-3）
ARP 検査の設定
この項では、ARP 検査について説明し、これをイネーブルにする方法について説明します。次の事項
を取り上げます。
• 「ARP 検査の概要」（P.24-1）
• 「スタティック ARP エントリの追加」（P.24-2）
• 「ARP 検査のイネーブル化」（P.24-2）
ARP 検査の概要
デフォルトでは、すべての ARP パケットが adaptive security appliance を通過できます。ARP パケッ
トのフローを制御するには、ARP 検査をイネーブルにします。
ARP 検査をイネーブルにすると、adaptive security appliance はすべての ARP パケットの MAC アドレ
ス、IP アドレス、および発信元インターフェイスを ARP テーブルのスタティックエントリと比較し、
次のアクションを実行します。
• IP アドレス、MAC アドレス、および発信元インターフェイスが ARP エントリと一致した場合、
パケットは通過します。
• MAC アドレス、IP アドレス、またはインターフェイス間でミスマッチがある場合、adaptive
security appliance はパケットをドロップします。
• ARP パケットがスタティック ARP テーブルのどのエントリとも一致しない場合は、パケットをす
べてのインターフェイスに転送するか（フラッド）、パケットをドロップするように adaptive
security appliance を設定できます。
Cisco ASA 5580 適応型セキュリティアプライアンスコマンドラインコンフィギュレーションガイド
OL-12908-01-J
24-1
第 24 章
透過モードでの ARP 検査およびブリッジングパラメータの設定
ARP 検査の設定
（注）
専用の管理インターフェイスがある場合、このインターフェイスは、このパラメータがフ
ラッドに設定されていてもパケットをフラッドしません。
ARP 検査は、悪意のあるユーザが他のホストまたはルータになりすますこと（ARP スプーフィング）
を防ぎます。ARP スプーフィングは、「man-in-the-middle」攻撃（中間者攻撃）を可能にすることが
あります。たとえば、ホストは ARP 要求をゲートウェイルータに送信し、ゲートウェイルータは
ゲートウェイルータ MAC アドレスで応答します。ただし、攻撃者は、ルータの MAC アドレスの代わ
りに攻撃者の MAC アドレスで別の ARP 応答をホストに送信します。これによって、攻撃者は、すべ
てのホストトラフィックを傍受してからルータに転送できます。
ARP 検査を行うと、正しい MAC アドレスとそれに関連付けられている IP アドレスがスタティック
ARP テーブルにある限り、攻撃者は、攻撃者の MAC アドレスで ARP 応答を送信することができなく
なります。
スタティック ARP エントリの追加
ARP 検査は、ARP パケットを ARP テーブルのスタティック ARP エントリと比較します。ホストは、
パケットの宛先を IP アドレスで識別しますが、イーサネット上でパケットが実際に配信される場所は、
イーサネットの MAC アドレスで決まります。ルータやホストが直接接続されているネットワークにパ
ケットを配信する場合は、そのパケットの IP アドレスに関連付けられている MAC アドレスを尋ねる
ARP 要求を送信します。次に、ARP 応答に従って、MAC アドレスにパケットを配信します。ホスト
やルータは、パケットを配信するたびに ARP 要求を送信しなくてもよいように、ARP テーブルを保持
しています。ARP テーブルは、ARP 応答がネットワークに送信されるたびにダイナミックに更新さ
れ、一定の期間使用されなかったエントリはタイムアウトになります。エントリが正しくなくなった場
合（IP アドレスに関連付けられていた MAC アドレスが変更された場合など）は、更新される前にタ
イムアウトになります。
（注）
透過ファイアウォールは、adaptive security appliance との間のトラフィック（管理トラフィックなど）
に、ARP テーブルのダイナミック ARP エントリを使用します。
スタティック ARP エントリを追加するには、次のコマンドを入力します。
hostname(config)# arp interface_name ip_address mac_address
たとえば、外部インターフェイスで、IP アドレスが 10.1.1.1、MAC アドレスが 0009.7cbe.2100 の
ルータからの ARP 応答を許可するには、次のコマンドを入力します。
hostname(config)# arp outside 10.1.1.1 0009.7cbe.2100
ARP 検査のイネーブル化
ARP 検査をイネーブルにするには、次のコマンドを入力します。
hostname(config)# arp-inspection interface_name enable [flood | no-flood]
flood は、一致しない ARP パケットをすべてのインターフェイスに転送し、no-flood は、一致しない
パケットをドロップします。
（注）
デフォルト設定では、一致しないパケットはフラッドします。スタティックエントリにある ARP だけ
が adaptive security appliance を通過するように制限するには、このコマンドを no-flood に設定します。
Cisco ASA 5580 適応型セキュリティアプライアンスコマンドラインコンフィギュレーションガイド
24-2
OL-12908-01-J
第 24 章
透過モードでの ARP 検査およびブリッジングパラメータの設定
MAC アドレステーブルのカスタマイズ
たとえば、外部インターフェイスで ARP 検査をイネーブルにして、一致しないすべての ARP パケッ
トをドロップするには、次のコマンドを入力します。
hostname(config)# arp-inspection outside enable no-flood
すべてのインターフェイスについて、ARP 検査の現在の設定を表示するには、show arp-inspection コ
マンドを入力します。
MAC アドレステーブルのカスタマイズ
この項では、MAC アドレステーブルについて説明します。次の事項を取り上げます。
• 「MAC アドレステーブルの概要」（P.24-3）
• 「スタティック MAC アドレスの追加」（P.24-3）
• 「MAC アドレスタイムアウトの設定」（P.24-4）
• 「MAC アドレスラーニングのディセーブル化」（P.24-4）
• 「MAC アドレステーブルの表示」（P.24-4）
MAC アドレステーブルの概要
adaptive security appliance は、通常のブリッジやスイッチと同様の方法で、MAC アドレステーブルを
ラーニングし、構築します。デバイスが adaptive security appliance 経由でパケットを送信すると、
adaptive security appliance はこの MAC アドレスをテーブルに追加します。テーブルで MAC アドレス
と発信元インターフェイスが関連付けられているため、adaptive security appliance は、パケットが正
しいインターフェイスからデバイスにアドレス指定されていることがわかります。
adaptive security appliance はファイアウォールなので、パケットの宛先 MAC アドレスがテーブルにな
い場合、adaptive security appliance は通常のブリッジとは異なり、元のパケットをすべてのインター
フェイスにフラッドすることはありません。代わりに、直接接続されたデバイスまたはリモートデバ
イスに対して次のパケットを生成します。
• 直接接続されたデバイスへのパケット：adaptive security appliance は宛先 IP アドレスに対して
ARP 要求を生成し、adaptive security appliance は ARP 応答を受信したインターフェイスをラーニ
ングします。
• リモートデバイスへのパケット：adaptive security appliance は宛先 IP アドレスへの ping を生成
し、adaptive security appliance は ping 応答を受信したインターフェイスをラーニングします。
元のパケットはドロップされます。
スタティック MAC アドレスの追加
通常、MAC アドレスは、特定の MAC アドレスからのトラフィックがインターフェイスに入ったとき
に、MAC アドレステーブルに動的に追加されます。必要に応じて、スタティック MAC アドレスを
MAC アドレステーブルに追加できます。スタティックエントリを追加する利点の 1 つとして、MAC
スプーフィングの防止があります。スタティックエントリと同じ MAC アドレスを持つクライアント
が、スタティックエントリと一致しないインターフェイスにトラフィックを送信しようとした場合、
adaptive security appliance はトラフィックをドロップし、システムメッセージを生成します。ARP の
スタティックエントリを追加すると（「スタティック ARP エントリの追加」（P.24-2）を参照）、スタ
ティック MAC アドレスエントリが MAC アドレステーブルに自動的に追加されます。
Cisco ASA 5580 適応型セキュリティアプライアンスコマンドラインコンフィギュレーションガイド
OL-12908-01-J
24-3
第 24 章
透過モードでの ARP 検査およびブリッジングパラメータの設定
MAC アドレステーブルのカスタマイズ
スタティック MAC アドレスを MAC アドレステーブルに追加するには、次のコマンドを入力します。
hostname(config)# mac-address-table static interface_name mac_address
interface_name は、発信元インターフェイスです。
MAC アドレスタイムアウトの設定
ダイナミック MAC アドレステーブルのデフォルトのタイムアウト値は 5 分ですが、タイムアウトは
変更できます。タイムアウトを変更するには、次のコマンドを入力します。
hostname(config)# mac-address-table aging-time timeout_value
timeout_value（分）は、5 ～ 720（12 時間）です。5 分がデフォルトです。
MAC アドレスラーニングのディセーブル化
デフォルトでは、各インターフェイスは入ってきたトラフィックの MAC アドレスを自動的にラーニン
グして、adaptive security appliance は対応するエントリを MAC アドレステーブルに追加します。必
要に応じて MAC アドレスラーニングをディセーブルにできますが、この場合、MAC アドレスをテー
ブルにスタティックに追加しないと、トラフィックが adaptive security appliance を通過できなくなり
ます。
MAC アドレスラーニングをディセーブルにするには、次のコマンドを入力します。
hostname(config)# mac-learn interface_name disable
このコマンドの no 形式を使用すると、MAC アドレスラーニングが再度イネーブルになります。clear
configure mac-learn コマンドは、すべてのインターフェイスで MAC アドレスラーニングを再度イ
ネーブルにします。
MAC アドレステーブルの表示
すべての MAC アドレステーブル（両方のインターフェイスのスタティックエントリとダイナミック
エントリ）を表示できます。または、あるインターフェイスの MAC アドレステーブルを表示できま
す。MAC アドレステーブルを表示するには、次のコマンドを入力します。
hostname# show mac-address-table [interface_name]
すべてのテーブルを表示する show mac-address-table コマンドの出力例を示します。
hostname# show mac-address-table
interface
mac address
type
Time Left
----------------------------------------------------------------------outside
0009.7cbe.2100
static
inside
0010.7cbe.6101
static
inside
0009.7cbe.5101
dynamic
10
内部インターフェイスのテーブルを表示する show mac-address-table コマンドの出力例を示します。
hostname# show mac-address-table inside
interface
mac address
type
Time Left
----------------------------------------------------------------------inside
0010.7cbe.6101
static
inside
0009.7cbe.5101
dynamic
10
Cisco ASA 5580 適応型セキュリティアプライアンスコマンドラインコンフィギュレーションガイド
24-4
OL-12908-01-J

Download Report