300シリーズマネージドスイッチでのアドレス解決プロトコル(ARP)アクセスコントロールルールの設定

目的

Address Resolution Protocol(ARP)は、デバイスのIPアドレスを同じデバイスのMACアドレスにマッピングします。ARPインスペクションは、ネットワークをARP攻撃から保護するために使用されます。信頼できないパケットとして定義されたインターフェイス（ポート/LAG）にパケットが到着すると、ARPインスペクションは、パケットのIPアドレスとMACアドレスを、ARPアクセスコントロールルールで事前に定義されたIPアドレスとMACアドレスと比較します。アドレスが一致すると、パケットは有効と見なされ、転送されます。この記事では、ARPアクセスコントロールグループを作成する方法、ARPアクセスコントロールグループにルールを追加する方法、およびSF/SG 300シリーズマネージドスイッチのVLANにARPアクセスコントロールグループを設定する方法について説明します。

ARP攻撃からの保護を作成するには、次の手順に従う必要があります。

・スイッチでARPインスペクションを有効にする必要があります。  詳細については、『300シリーズマネージドスイッチのアドレス解決プロトコル(ARP)インスペクションプロパティの設定』を参照してください。

・ ARPインスペクションは、信頼できないと見なされるインターフェイスでのみ実行できます。インターフェイスを信頼できるスイッチまたは信頼できないインターフェイスとして設定するには、『300シリーズマネージドスイッチのアドレス解決プロトコル(ARP)インスペクションプロパティの設定』を参照してください。

・ ARPアクセスコントロールグループを作成します。ARPアクセスコントロールグループは、信頼できないインターフェイスでアクセスを許可されるさまざまなデバイスのIPアドレスとMACアドレスのリストです。

・ ARPアクセスコントロールグループにデバイスを追加するには、追加のARPアクセスコントロールルールを作成する必要があります。

・ ARPアクセスコントロールグループをVLANに割り当てます。ただし、VLANごとに設定できるARPアクセスコントロールグループは1つだけです。

該当するデバイス

・ SF/SG 300シリーズマネージドスイッチ

[Software Version]

•1.3.0.62

ARPアクセスコントロールの設定

ARPアクセスコントロールグループの作成

ステップ1:Web設定ユーティリティにログインし、[Security] > [ARP Inspection] > [ARP Access Control]を選択します。[ARP Access Control]ページが開きます。

ステップ2:[Add]をクリックします。[Add ARP Access Control]ウィンドウが表示されます。

ステップ3:[ARP Access Control Name]フィールドにアクセスコントロールグループの名前を入力します。

ステップ4：アクセスコントロールに割り当てるIPアドレスを[IP Address]フィールドに入力します。

ステップ5:[MAC Address]フィールドに、アクセスコントロールに割り当てるMACアドレスを入力します。

注：IPアドレスとMACアドレスは、同じデバイスを参照する必要があります。  これは、スイッチがデバイスが信頼されることを確認する方法です。

ステップ6:[Apply]をクリックして変更を適用し、[Close]をクリックして[Add ARP Access Control Name]ウィンドウを終了します。

ARPアクセスコントロールルールの追加

注：ARPアクセスコントロールルールを追加するには、ARPアクセスコントロールグループが必要です。まだ完了していない場合は、前のセクションを完了してください。

ステップ1:Web設定ユーティリティにログインし、[Security] > [ARP Inspection] > [ARP control rules]を選択します。[ARP Access Control Rules]ページが開きます。

注：ARPアクセスコントロール名が多い場合は、フィルタ機能を使用して、不要なARPアクセスコントロール名を除外します。

ステップ2:[Add]をクリックします。[Add ARP Access Control Rules]ウィンドウが表示されます。

ステップ3:[ARP Access Control Name]ドロップダウンリストから、別のルールを追加するアクセスコントロール名を選択します。

ステップ4：アクセスコントロールに割り当てるIPアドレスを[IP Address]フィールドに入力します。

ステップ5:[MAC Address]フィールドに、アクセスコントロールに割り当てるMACアドレスを入力します。

注：入力するアドレスペアは、アクセスコントロールグループに追加する新しいデバイスである必要があります。

ステップ6:[Apply]をクリックして変更を適用し、[Close]をクリックして[Add ARP Access Control Name]ウィンドウを終了します。

VLANへのARPアクセスコントロールの設定 

注：VLANごとに追加できるARPアクセスコントロールグループは1つだけです。  ARPアクセスコントロールルールを使用して、複数のデバイスをARPアクセスコントロールグループに追加し、そのグループをVLANに設定します。

ステップ1:Web設定ユーティリティにログインし、[Security] > [ARP Inspection] > [VLAN Settings]を選択します。[VLAN Settings]ページが開きます。

ステップ2:[Available VLANs]フィールドで、ARP Access Controlグループを追加するVLANをクリックし、[>]ボタンをクリックして[Enabled VLANs]フィールドに移動します。

ステップ3:[Apply] をクリックしてVLANを有効にし、ARPアクセスコントロールを追加します。

ステップ4:[Add] をクリックして、ARPアクセスコントロールをVLANに追加します。  [VLAN Settings]ウィンドウが表示されます。

ステップ5:[VLAN]ドロップダウンリストからVLANを選択します。

ステップ6:[ARP Access Control Name]ドロップダウンリストから、そのVLANに適用するARP Access Control Nameを選択します。

ステップ7:[Apply]をクリックして変更を適用し、[Close]をクリックして[VLAN Settings]ウィンドウを終了します。VLAN設定テーブルに、選択したVLANに適切なARPアクセスコントロールが含まれていることが表示されます。

更新履歴

改定	発行日	コメント
1.0	11-Dec-2018	初版