セキュリティ コンフィギュレーション ガイド、Cisco IOS XE リリース 3E(Cisco WLC 5700 シリーズ)
Cisco TrustSec の設定
Cisco TrustSec の設定

Cisco TrustSec の設定

Cisco TrustSec の設定

Cisco TrustSec は、ネットワーク内のユーザ、ホスト、およびネットワーク デバイスを強力に識別する機能に基づいた、シスコ ネットワーク デバイスのセキュリティを改善します。 TrustSec は、特定のロールについてデータ トラフィックを一意に分類することで、トポロジに依存しない、スケーラブルなアクセス コントロールを実現します。 TrustSec は、認証されたピアおよびこれらのピアとの暗号化リンク間で信頼を確立することで、データの機密保持および整合性を保証します。

Cisco TrustSec の主要コンポーネントは、Cisco Identity Services Engine(ISE)です。 スイッチ上で手動で設定することもできますが、Cisco ISE は TrustSec ID およびセキュリティ グループ ACL(SGACL)でスイッチをプロビジョニングできます。

機能情報の確認

スイッチ上で Cisco TrustSec を設定するには、次の URL にある『Cisco TrustSec Switch Configuration Guide』を参照してください。

http:/​/​www.cisco.com/​en/​US/​docs/​switches/​lan/​trustsec/​configuration/​guide/​trustsec.html

Cisco TrustSec General Availability リリースのリリース ノートについては、次の URL を参照してください。

http:/​/​www.cisco.com/​en/​US/​docs/​switches/​lan/​trustsec/​release/​notes/​rn_​cts_​crossplat.html

概要、データ シート、プラットフォーム マトリクスごとの機能、およびケース スタディを含む Cisco TrustSec ソリューションの詳細については、次の URL を参照してください。

http:/​/​www.cisco.com/​en/​US/​netsol/​ns1051/​index.html

Cisco TrustSec に関する情報

次の表に、TrustSec がイネーブルになった Cisco スイッチで実装される TrustSec 機能を示します。 継続的な TrustSec の General Availability リリースによって、サポートされるスイッチの数および各スイッチでサポートされる TrustSec 機能の数は増加しています。

Cisco TrustSec の機能 説明
802.1AE タギング(MACSec)

IEEE 802.1AE に基づくワイヤレート ホップ単位レイヤ 2 暗号化のプロトコル。

MACSec 対応デバイス間において、パケットは送信デバイスからの出力で暗号化され、受信デバイスへの入力で復号化されます。デバイス内では平文です。

この機能は、TrustSec ハードウェア対応デバイス間だけで利用できます。

エンドポイント アドミッション コントロール(EAC)

EAC は、TrustSec ドメインに接続しているエンドポイント ユーザまたはデバイスの認証プロセスです。 通常、EAC はアクセス レベル スイッチで実行されます。 EAC プロセスの認証および許可に成功すると、ユーザまたはデバイスに対してセキュリティ グループ タグが割り当てられます。 現在、EAC は 802.1X、MAC 認証バイパス(MAB)、および Web 認証プロキシ(WebAuth)とすることができます。

ネットワーク デバイス アドミッション コントロール(NDAC)

NDAC は、TrustSec ドメイン内の各ネットワーク デバイスがピア デバイスのクレデンシャルおよび信頼性を確認できる認証プロセスです。 NDAC は、IEEE 802.1X ポート ベースの認証に基づく認証フレームワークを利用し、EAP 方式として EAP-FAST を使用します。 NDAC プロセスの認証および許可に成功すると、IEEE 802.1AE 暗号化のセキュリティ アソシエーション プロトコル ネゴシエーションとなります。

セキュリティ グループ アクセス コントロール リスト(SGACL)

セキュリティ グループ アクセス コントロール リスト(SGACL)は、セキュリティ グループ タグをポリシーと関連付けます。 ポリシーは、TrustSec ドメインから出力される SGT タグ付きトラフィックに対して適用されます。

セキュリティ アソシエーション プロトコル(SAP)

NDAC 認証のあと、セキュリティ アソシエーション プロトコル(SAP)は、その後の TrustSec ピア間の MACSec リンク暗号化のキーおよび暗号スイートについて、自動的にネゴシエーションを行います。 SAP は IEEE 802.11i で定義されます。

セキュリティ グループ タグ(SGT)

SGT は、TrustSec ドメイン内の送信元のセキュリティ分類を示す 16 ビットの単一ラベルです。 イーサネット フレームまたは IP パケットに追加されます。

SGT Exchange Protocol(SXP)

Security Group Tag Exchange Protocol(SXP)。 SXP を使用すると、TrustSec にハードウェアで対応していないデバイスが Cisco Identity Services Engine(ISE)または Cisco Secure アクセス コントロール システム(ACS)から認証されたユーザとデバイスの SGT 属性を受信できます。 デバイスは、次にセキュリティ グループ アクセス コントロール リスト(SGACL)強制のために、送信元トラフィックをタグ付けする TrustSec にハードウェアで対応しているデバイスに、sourceIP-to-SGT バインディングを転送できます。

リンクの両端で 802.1AE MACsec をサポートしている場合、SAP ネゴシエーションが実行されます。 サプリカントとオーセンティケータの間で EAPOL-Key が交換され、暗号スイートのネゴシエーション、セキュリティ パラメータの交換、およびキーの管理が実行されます。 これらの作業が正常に完了すると、セキュリティ アソシエーション(SA)が確立します。

ソフトウェア バージョンとライセンスおよびリンク ハードウェア サポートに応じて、SAP ネゴシエーションは次の動作モードの 1 つを使用できます。
  • Galois Counter Mode(GCM):認証と暗号化
  • GCM 認証(GMAC):GCM 認証、暗号化なし
  • カプセル化なし:カプセル化なし(クリア テキスト)
  • null:カプセル化、認証または暗号化なし

Cisco TrustSec は、AES-128 GCM および GMAC を使用し、802.1AE 規格に準拠しています。 GCM は、NPE または LAN ベース イメージを実行しているスイッチではサポートされません。

Cisco TrustSec SAP NDAC は、ネットワーク デバイスからネットワーク デバイスへのリンク、つまりスイッチ間リンクのみで使用することを意図しているため、トランク ポートでサポートされます。 次のものではサポートされません。

  • ホスト側のアクセス ポート(これらのポートは、MKA MACsec をサポートします)
  • スイッチ仮想インターフェイス(SVI)
  • SPAN 宛先ポート

スイッチは、セキュリティ グループ ACL もサポートしません。

Cisco TrustSec ネットワークを作成するために Cisco TrustSec クレデンシャルを設定する必要があります。

802.1x モードまたは手動モードで Cisco TrustSec リンク層セキュリティを設定できます。

Cisco TrustSec の制約事項

Cisco TrustSec SGT および SGACL 設定には、次の注意事項と制限事項が適用されます。

  • IP サブネットを SGT に静的にマッピングすることはできません。 SGT には、IP アドレスだけをマッピングできます。 IP アドレスから SGT へのマッピングを設定する場合、IP アドレス プレフィックスは 32 である必要があります。

  • ポートがマルチ認証モードに設定されている場合は、そのポートに接続されているすべてのホストを同じ SGT に割り当てる必要があります。 ホストが認証を試みると、割り当てられた SGT は以前に認証されたホストに割り当てられた SGT と同じでなければなりません。 SGT がすでに認証されているホストの SGT ではない場合にホストが認証を試みると、これらのホストが属する VLAN ポート(VP)は errdisable になります。

  • Cisco TrustSec 強制は、VLAN トランク リンクの最大 8 つの VLAN でだけサポートされます。 VLAN トランク リンクに 8 つを超える VLAN が設定されている場合、Cisco TrustSec 強制がこれらの VLAN でイネーブルにされると、これらの VLAN トランク リンクのスイッチ ポートが errdisable になります。

  • スイッチは、エンドホストがスイッチに隣接するレイヤ 2 である場合にだけ SGT を割り当て、SXP リスニングに基づいて、対応する SGACL をエンドホストに適用できます。

  • ポートから SGT へのマッピングは、Cisco TrustSec リンク(つまり、スイッチ間リンクのスイッチ)でだけ設定できます。 ポートから SGT へのマッピングは、ホストからスイッチへのリンクには設定できません。

  • ポートにポートから SGT へのマッピングが設定されている場合、そのポートのすべての入力トラフィックに SGT が割り当てられます。 ポートの出力トラフィックに対する SGACL 強制はありません。

Cisco TrustSec の機能情報

表 1 Cisco TrustSec の機能情報

機能名

リリース

機能情報

  • NDAC
  • SXPv1、SXPv2
  • SGT
  • SGACL レイヤ 2 の適用
  • SGT および VLAN から SGT へのマッピングのインターフェイス
  • サブネットと SGT のマッピング
  • レイヤ 3 ポート マッピング(PM)
  • レイヤ 3 アイデンティティ ポート マッピング(IPM)
  • セキュリティグループ名のダウンロード
  • SXP ループ検出
  • ポリシーベースの CoA

Cisco IOS XE 3.3SE

これらの機能は、Catalyst 3850 および 3650 スイッチ、Cisco 5700 シリーズ Wireless LAN コントローラで追加されました。

SXPv1 および SXPv2

Cisco IOS XE 15.0(2)EX

SXP は Catalyst 2960-X スイッチで追加されています。

SXPv1 および SXPv2

Cisco IOS XE 15.0(2)EX1

SXP は Catalyst 2960-XR スイッチで追加されています。

その他の関連資料

関連資料

関連項目 マニュアル タイトル
さまざまな TrustSec Featurette 設定と例

『Cisco TrustSec コンフィギュレーション ガイド、Cisco IOS Release 15SY』

http:/​/​www.cisco.com/​en/​US/​docs/​ios-xml/​ios/​sec_usr_cts/​configuration/​15-sy/​sec-cts-15-sy-book.html

『Cisco TrustSec コンフィギュレーション ガイド、Cisco IOS XE Release 3S』

http:/​/​www.cisco.com/​en/​US/​docs/​ios-xml/​ios/​sec_usr_cts/​configuration/​xe-3s/​cts-sgt-handling-imp-fwd.html

エラー メッセージ デコーダ

説明 Link

このリリースのシステム エラー メッセージを調査し解決するために、エラー メッセージ デコーダ ツールを使用します。

https:/​/​www.cisco.com/​cgi-bin/​Support/​Errordecoder/​index.cgi

MIB

MIB MIB のリンク
CISCO-TRUSTSEC-POLICY-MIB

選択したプラットフォーム、Cisco IOS リリース、およびフィーチャ セットに関する MIB を探してダウンロードするには、次の URL にある Cisco MIB Locator を使用します。

http:/​/​www.cisco.com/​go/​mibs

テクニカル サポート

説明 Link

シスコのサポート Web サイトでは、シスコの製品やテクノロジーに関するトラブルシューティングにお役立ていただけるように、マニュアルやツールをはじめとする豊富なオンライン リソースを提供しています。

お使いの製品のセキュリティ情報や技術情報を入手するために、Cisco Notification Service(Field Notice からアクセス)、Cisco Technical Services Newsletter、Really Simple Syndication(RSS)フィードなどの各種サービスに加入できます。

シスコのサポート Web サイトのツールにアクセスする際は、Cisco.com のユーザ ID およびパスワードが必要です。

http:/​/​www.cisco.com/​support