Cisco Nexus PowerOnの自動プロビジョニング機能を保護するために推奨されるアクション

Cisco Nexusデバイスは、PowerOn Auto Provisioning(POAP)と呼ばれる自動プロビジョニング機能またはゼロタッチ導入機能をサポートします。 この機能は、Nexusスイッチの初期導入と設定を自動化するのに役立ちます。POAPはデフォルトで有効になっており、スタートアップコンフィギュレーションがないデバイス、またはboot poap enableコマンドを使用して永続的POAPが設定されているデバイスでアクティブになります。

Cisco Zero-Touch ProvisioningやCisco Smart Installなどの他の自動プロビジョニングテクノロジーと同様に、初期導入環境に関する基本的な前提条件がいくつかあります。まず、管理者はこの機能が存在することを認識しており、デフォルトで有効になっています。2つ目は、デバイスが最初に接続されるレイヤ2(L2)ネットワークが安全であることです。

設計上、POAP機能は、デバイスの初期設定ファイルを取得するために、いくつかの非認証プロトコルを利用します。POAPを使用するデバイスがブートした後、開梱後の最初の起動時設定や工場出荷時のデフォルトに戻った後など、起動設定を見つけられなかった場合は、デバイスはPOAPモードに入ります。デバイスは、接続された管理インターフェイス¹を介してDHCPサーバの検出を試みます。その後、スイッチは少なくとも次を含むDHCP応答をリッスンします。

• IPアドレス
• デフォルトゲートウェイ
• Option 66（TFTPサーバ名）またはOption 150（TFTPサーバアドレス）
• オプション67（ブートファイル名）

Nexusデバイスがこれらの要件を満たす複数のDHCP応答を受信すると、受信した最初のDHCP応答が受け入れられ、POAPはデバイス設定の次の段階に進みます。これらの要件を満たすDHCP応答がタイムアウト期間前に受信されなかった場合、デバイスはPOAPモードを終了します。

DHCP応答が受け入れられると、Nexusデバイスは提供されたTFTPサーバに接続して、boot fileオプション内で指定されたPythonまたはTool Command Language(Tcl)POAP設定スクリプトを取得しようとします。その後、スイッチはスクリプトを実行して、指定されたソフトウェアとデバイスの設定を取得します。Nexusデバイスのソフトウェアと設定は、Secure Copy Protocol(SCP)、FTP、またはSFTPを使用して取得できます。ダウンロードしたNexusソフトウェアは、デバイスの再起動時に適用されるようにスケジュールされた設定ファイルを使用して、アクティブイメージとして割り当てられます。

POAP設定プロセスのいくつかの手順は、重要な起動情報を取得するためにセキュアなネットワークセグメントに依存しています。POAP機能はデバイス²に設定が適用された後に自動的に無効になりますが、POAPを使用できるネットワークを適切に保護するようお客様を支援することが重要です。一部のお客様は、POAP機能を無効にし、他の方法を使用してNexusデバイスをすぐに設定できます。このため、シスコでは、工場出荷時のデフォルトへのリセットや設定の削除を行っても維持されるPOAPを無効にする複数の新しいコマンドを追加しました。POAP環境のセキュリティ保護に関するガイドライン、およびこの機能を無効にする方法については、「詳細」および「推奨事項」のセクションを参照してください。

¹一部のNexusシャーシベースのデバイスでは、インストールされているルータプロセッサの前面パネルイーサネットインターフェイスを使用してDHCP要請を送信することもできます。

² POAP機能は、Perpetual POAPがboot poap enableコマンドを使用して設定されている場合は無効にはならず、デバイスがリロードされるたびに実行されます。

POAPを実行するNX-OSデバイスのセキュリティ保護が必要な理由

POAPは、応答する最初のDHCPサーバから設定スクリプトを受け入れ、DHCPサーバとの信頼を確立するメカニズムはありません。DHCP応答を送信できる攻撃者は、デバイスに悪意のある設定を提供し、管理者特権レベルでコマンドを実行できるようになる可能性があります。

最初のPOAP実装では、POAPを必要としないお客様に対しても、この機能を無効にするオプションはありませんでした。また、CLIコマンドwrite eraseを発行してユニットを工場出荷時のデフォルトにリセットした場合、お客様はPOAPが再度実行されることを認識していなかったかもしれません。

POAPはシステムに設定がない場合に有効になり、ブートアップの一部として実行されます。ただし、初期設定時にPOAPの有効化をバイパスすることはできます。POAP機能を使用したくない場合は、NX-OSデバイスでPOAPを永続的に無効にすることを推奨します。

POAP機能の永続的な無効化

さらにセキュリティを強化し、POAP機能の現在のステータスを提供するために、次のCLIコマンドオプションが追加されました。

switch# system no poap

switch# show system poap
System-wide POAP is disabled  using exec command 'system no poap'
POAP will be bypassed on write-erase reload. 

POAPを永続的に無効にするには、システムに設定がない場合でも、CLIコマンドsystem no poapを使用できます。このコマンドを使用すると、設定がない場合でも、次回のブート時にPOAPが起動されなくなります。system [no] poap コマンドとshow system poap コマンドは、次のNX-OSソフトウェアリリースで初めて追加されました。

POAP機能の使用方法の詳細、およびPOAPを有効にするCLIコマンドについては、『Cisco NX-OS Fundamentals Configuration Guide』の「Using PowerOn Auto Provisioning」の章を参照してください。

POAP機能は、DHCPを使用してDHCPサーバを検索し、特定のインターフェイスIPアドレス、ゲートウェイ、およびDNSサーバIPアドレスを適用します。POAPが信頼できるDHCPサーバからのみ設定を受信するようにすることが重要です。

DHCPスヌーピングを有効にすると、POAPをより安全な方法で使用できるようになります。DHCPスヌーピングは、信頼できないホストと信頼できるDHCPサーバの間で次のアクティビティを実行することにより、ファイアウォールのように動作します。

• 信頼できない送信元から受信したDHCPメッセージを検証し、無効なメッセージをフィルタリングする
• DHCPスヌーピングバインディングデータベースの構築と維持（DHCPスヌーピングバインディングデータベースには、リースされたIPアドレスを持つ信頼できないホストに関する情報が含まれる）
• DHCPスヌーピングバインディングデータベースを使用して、信頼できないホストからの後続の要求を検証する

さらに、ネットワークファイアウォールルールは、意図しないDHCPサーバや悪意のあるDHCPサーバをブロックするように設定できます。

POAP機能を使用したくない場合は、NX-OSデバイスでPOAPを永続的に無効にすることを推奨します。

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。このドキュメントの情報は、シスコ製品のエンドユーザーを対象としています。