Cisco cBR コンバージド ブロードバンド ルータ DOCSIS ソフトウェア コンフィギュレーション ガイド（Cisco IOS XE Fuji 16.7.x 用）

偏向のない言語

この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

マニュアルのコンテンツ
このマニュアル内で検索
ご利用いただける言語
Download Options

Book Title

Cisco cBR コンバージド ブロードバンド ルータ DOCSIS ソフトウェア コンフィギュレーション ガイド（Cisco IOS XE Fuji 16.7.x 用）

Chapter Title

動的共有秘密

検索結果

Updated:
2018年2月17日

章のタイトル： 動的共有秘密

動的共有秘密

このマニュアルでは、サービス プロバイダーが Data-over-Cable Service Interface Specifications（DOCSIS）ケーブル ネットワークに高度なセキュリティを提供することを可能にする動的共有秘密機能について説明します。この機能では、各ケーブル モデムにダウンロードされる DOCSIS コンフィギュレーション ファイルを検証するのに、ランダム化された単回使用の共有秘密を使用します。

動的共有秘密機能は、モデムごとに一意の DOCSIS 共有秘密を自動作成して、現在のセッションでのみ有効なワンタイム使用の DOCSIS コンフィギュレーション ファイルを作成します。これにより、1 つのケーブル モデムにダウンロードされた DOCSIS コンフィギュレーション ファイルを他のモデムで使用することはできなくなり、同じモデムが後でこのコンフィギュレーション ファイルを再利用することもできなくなります。

特許取得済みのこの機能は、登録されたすべてのモデムが、モデムの登録時にその特定のモデム用に DOCSIS プロビジョニング システムが指定した Quality of Service（QoS）パラメータのみを使用することを保証するために設計されています。この機能は、承認済みの DOCSIS 標準です。

機能情報の確認

ご使用のソフトウェア リリースでは、このモジュールで説明されるすべての機能がサポートされているとは限りません。最新の機能情報と注意事項については、ご使用のプラットフォームとソフトウェア リリースに対応したリリース ノートを参照してください。このモジュールに記載されている機能の詳細を検索し、各機能がサポートされているリリースのリストを確認する場合は、このマニュアルの最後にある機能情報の表を参照してください。

プラットフォームのサポートおよびシスコ ソフトウェア イメージのサポートに関する情報を検索するには、Cisco Feature Navigator を使用します。Cisco Feature Navigator には、http:/​/​tools.cisco.com/​ITDIT/​CFN/​ からアクセスできます。http:/​/​www.cisco.com/​ のアカウントは必要ありません。

目次

Cisco cBR シリーズ ルータに関するハードウェア互換性マトリクス


（注）  

Cisco IOS-XE の特定のリリースで追加されたハードウェア コンポーネントは、特に明記しない限り、以降のすべてのリリースでもサポートされます。

表 1 Cisco cBR シリーズ ルータに関するハードウェア互換性マトリクス

Cisco CMTS プラットフォーム

プロセッサ エンジン

インターフェイス カード

Cisco cBR-8 コンバージド ブロードバンド ルータ

Cisco IOS-XE リリース 16.5.1 以降のリリース

Cisco cBR-8スーパーバイザ：

  • PID：CBR-CCAP-SUP-160G

  • PID：CBR-CCAP-SUP-60G

  • PID：CBR-SUP-8X10G-PIC

Cisco IOS-XE リリース 16.5.1 以降のリリース

Cisco cBR-8 CCAP ライン カード：

  • PID：CBR-LC-8D30-16U30

  • PID：CBR-LC-8D31-16U30

  • PID：CBR-RF-PIC

  • PID：CBR-RF-PROT-PIC

  • PID：CBR-CCAP-LC-40G-R

Cisco cBR-8 ダウンストリーム PHY モジュール：

  • PID：CBR-D30-DS-MOD

  • PID：CBR-D31-DS-MOD

Cisco cBR-8 アップストリーム PHY モジュール：

  • PID：CBR-D30-US-MOD

  • PID：CBR-D31-US-MOD

動的共有秘密の前提条件

動的共有秘密機能の設定が Cisco CMTS ルータでサポートされていることが必要です。

動的共有秘密機能に必要なその他の重要な前提条件は次のとおりです。

  • Cisco CMTS で Cisco IOS-XE 3.15.0S 以降が実行されている必要があります。

  • 動的共有秘密機能が外部プロビジョニング サーバをサポートしていることが必要です。

  • 動的共有秘密機能をイネーブルにする前に、ケーブル モデムを Cisco CMTS に登録する必要があります。

  • 完全なセキュリティのため、DOCSIS コンフィギュレーション ファイルのファイル名は、少なくとも 5 文字以上の長さにする必要があります。

  • ケーブル モデムのプロビジョニング時に最適なパフォーマンスを得るため、Cisco Network Registrar リリース 3.5 以降を使用することを推奨します。


（注）  
動的共有秘密機能がデフォルト設定の使用によりイネーブルになっている場合、ケーブル モデムの診断 Web ページには DOCSIS コンフィギュレーション ファイルのスクランブルされた名前が表示されます。このファイル名は、ケーブル モデムが CMTS に登録されるたびにランダムに変更します。デフォルトの動作を変更するには、cabledynamic-secret コマンドで nocrypt オプションを使用します。

動的共有秘密の制限事項

動的共有秘密の一般的な制限事項

  • 共有秘密とセカンダリ共有秘密は、動的共有秘密機能を使用して設定できません。

  • マスター ケーブル インターフェイスで動的共有秘密機能を設定する場合は、対応するすべてのスレーブ ケーブル インターフェイスでもこの機能を設定する必要があります。

  • 動的共有秘密機能では、CMTS に登録された各ケーブル モデムが DOCSIS で指定された手順を使用してサービス プロバイダーの認定 Dynamic Host Configuration Protocol（DHCP）および TFTP サーバで指定された DOCSIS コンフィギュレーション ファイルだけを使用できるようにします。

  • 動的共有秘密機能は、すでにオンラインでプロビジョニングされたケーブル モデムに影響しません。ケーブル モデムがオンラインの場合は、リセットして再登録されるようにし、動的共有秘密機能に準拠させる必要があります。

  • DMIC ロック モードは HCCP N+1 冗長性でのスイッチオーバー イベントで次の動作を使用します。過去にロック モードであったすべてのケーブル モデムは、スイッチオーバー イベントでオフラインになり、ロックされたモデムの以前の状態は失われます。過去にロックされたモデムが非準拠のままである場合、登録が 3 回失敗するとロック モードに戻ります。モデムが DOCSIS に準拠すると、通常の方法でオンラインに戻ります。DMIC ロック モードに関する詳細については、SNMP サポートを参照してください。

  • Broadband Access Center for Cable（BACC）プロビジョニング サーバが使用されている場合、デバイス プロビジョニング エンジン（DPE）TFTP サーバは、TFTP クライアントの IP アドレスが DOCSIS ケーブル モデムの IP アドレスと一致することを確認します。一致が検出されない場合は、要求はドロップされます。この機能は、CMTS DMIC 機能と互換性がありません。動的設定 TFTP 要求で要求元 IP アドレスの確認を無効にするには、すべての BACC DPE サーバで no tftp verify-ip コマンドを使用します。詳細については、http:/​/​www.cisco.com/​c/​en/​us/​td/​docs/​net_mgmt/​broadband_access_center_for_cable/​4-0/​command/​reference/​DPECLIRef40.html にある『Cisco Broadband Access Centre DPE CLI Reference』を参照してください。

動的共有秘密のケーブル モデムの制限

Incognito サーバおよび Thomson ケーブル モデムにおける DHCP 制限

Dynamic Host Configuration Protocol（DHCP）は、TCP/IP ネットワーク上の DHCP ホストに構成情報を渡します。構成パラメータとそのほかの制御情報は、DHCP メッセージの options フィールドに保存されます。

Incognito DHCP サーバとともに DMIC を使用する場合、次の 2 つのオプションが DHCP メッセージで送信されないように Incognito サーバを再構成する必要があります。

  • オプション 66：DHCP ヘッダーの sname フィールドが DHCP オプションで使用された場合、TFTP サーバを特定するためにこのオプションが使用されます。オプション 66 は、DHCP メッセージの Options フィールドにおける可変長フィールドです。RFC 2132 によると「DHCP ヘッダーの「sname フィールド」が DHCP オプションで使用された場合に、TFTP サーバを特定するために使用されるオプション」であると説明されています。
  • sname フィールド：sname フィールドは、DHCP メッセージのヘッダーにおける 64 オクテットのフィールドです。RFC2131 によると「オプションのサーバ ホスト名であり、ヌルで終了する文字列」であると説明されています。返されたパラメータがオプションに割り当てられている通常の領域を超えた場合に、DHCP サーバはこのオプションを挿入します。このオプションが存在する場合、クライアントは標準のオプション フィールドの解釈を完了したら、指定された追加のフィールドを解釈します。

（注）  
DHCP メッセージに両方のオプションを含めることは、DOCSIS に準拠していません。

以下に示す問題のあるパケット キャプチャは、sname とオプション 66 の両方が（この順序で）設定されている場合の DHCP オファーです。

0000  00 30 19 47 8f 00 00 d0 b7 aa 95 50 08 00 45 00
0010  01 4a 8f 50 00 00 80 11 46 30 ac 10 02 01 ac 10
0020  0a 01 00 43 00 43 01 36 0c 75 02 01 06 00 b0 a0
0030  25 01 00 00 00 00 00 00 00 00 ac 10 0a 53 00 00
0040  00 00 ac 10 0a 01 00 10 95 25 a0 b0 00 00 00 00
0050  00 00 00 00 00 00 5b 31 37 32 2e 31 36 2e 32 2e  
(sname option immediately above)
0060  31 5d 00 00 00 00 00 00 00 00 00 00 00 00 00 00
0070  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
0080  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
0090  00 00 00 00 00 00 64 65 66 61 75 6c 74 2e 63 66
00a0  67 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
00b0  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
00c0  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
00d0  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
00e0  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
00f0  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
0100  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
0110  00 00 00 00 00 00 63 82 53 63 35 01 02 36 04 ac
0120  10 02 01 33 04 00 06 94 0d 01 04 ff ff ff 00 02
0130  04 ff ff b9 b0 03 08 ac 10 02 fe ac 10 0a 01 04
0140  04 ac 10 02 01 07 04 ac 10 02 01 42 0a 31 37 32 
(option 66 immediately above)
0150  2e 31 36 2e 32 2e 31 ff

Incognito DHCP サーバおよび Thomson ケーブル モデムとともに DMIC を使用する場合、両方のオプションが DHCP オファーで送信されないようにする必要があります。これを実現するには、次の回避策のいずれかを使用します。

  • 上記のように sname オプションが含まれないように Incognito DHCP サーバを変更します。
  • 上記の例で示す問題のあるパケット キャプチャのように sname がオプション 66 よりも優先されないようにケーブル モデム コードを変更します。
  • CNR のような準拠した DHCP および TFTP サーバに移行します。これは、パフォーマンスも大幅に優れています。

追加の DOCSIS DHCP 情報、またはオプションの DHCP MAC 除外については、以下のリソースを参照してください。

  • 『DHCP Options and BOOTP Vendor Extensions』（RFC 2132）

http:/​/​www.ietf.org/​rfc/​rfc2132.txt

  • 『Filtering Cable DHCP Lease Queries on Cisco CMTS Routers』

http:/​/​www.cisco.com/​en/​US/​docs/​cable/​cmts/​feature/​cblsrcvy.html

DOCSIS 準拠

  • ケーブル モデムは、DOCSIS 準拠であると見なされます。ケーブル モデムが完全な DOCSIS 準拠でない場合、まれに登録時に CMTS メッセージ整合性チェック（MIC）障害をトリガーすることがあります。ただし通常運用では、動的共有秘密機能から CMTS MIC チェックに失敗したケーブル モデムは、DOCSIS 準拠ではないか、または DOCSIS のセキュリティ機能を回避するためにエンド ユーザによってハッキングされる可能性があります。

OUI が以下のケーブル モデムの一部には、ハードウェアおよびソフトウェアのリビジョンに応じて、動的共有秘密機能に問題があると認識されています。

    • 00.01.03
    • 00.E0.6F
    • 00.02.B2

これらのケーブル モデムは、init(o) MAC 状態でスタックしたままになることがあり、動的共有秘密機能が無効になるまでオンラインにできません。この問題が発生した場合は、ケーブル モデムのソフトウェアを完全に準拠したソフトウェア リビジョンにアップグレードすることを推奨します。

また、グローバル コンフィギュレーション モードで次のコマンドを使用して、これらのケーブル モデムを動的秘密機能から除外することもできます。

cable dynamic-secret exclude

ケーブル モデムを除外するということは、違反者が除外された OUI を使用するようにケーブル モデムを変更する場合、システムが保護されなくなる、ということです。を参照してください。


ヒント

プロバイダーがネットワーク内の DOCSIS 非準拠モデムを特定できるようにするため、動的共有秘密機能では「マークのみ」オプションをサポートします。マークのみモードでの動作時、ケーブル モデムはプロビジョニングされているサービス クラスよりも上位のクラスを正常に取得できる可能性がありますが、これらのケーブル モデムは、show cable modem コマンド（たとえば !online を指定）の出力で違反としてマークされます。このようなケーブル モデムは、show cable modem rogue コマンドでも表示されます。サービス プロバイダーは、そのケーブル モデムを DOCSIS 準拠ソフトウェアにアップグレードする必要があるかどうか、またはエンドユーザがサービス不正使用攻撃のためにケーブル モデムをハッキングしたかどうかを判断できます。

次に、違反したケーブル モデムが設置されている状態の Cisco CMTS に対する cable dynamic-secret mark コマンドの出力例を示します。これらのケーブル モデムは、!online ステータスに到達するまでの最大 3 回の登録サイクルに対して、簡潔に「reject(m)」として表示される可能性があります。

Router# show cable modem rogue
                                     Spoof TFTP
MAC Address    Vendor     Interface  Count Dnld Dynamic Secret
000f.0000.0133 00.0F.00   C4/0/U1    3     Yes  905B740F906B48870B3A9C5E441CDC67
000f.0000.0130 00.0F.00   C4/0/U1    3     Yes  051AEA93062A984F55B7AAC979D10901
000f.0000.0132 00.0F.00   C4/0/U2    3     Yes  FEDC1A6DA5C92B17B23AFD2BBFBAD9E1
vxr#scm | inc 000f
000f.0000.0133 4.174.4.101     C4/0/U1  !online       1     -7.00 2816    0   N
000f.0000.0130 4.174.4.89      C4/0/U1  !online       2     -6.50 2819    0   N
000f.0000.0132 4.174.4.90      C4/0/U2  !online       18    -7.00 2819    0   N

TFTP の制限事項

  • 次の状況では、ケーブル モデムが TFTP 転送状態のままになる可能性があります（showcablemodem コマンドに init(o) として表示されます）。
    • cabledynamic-secret コマンドにより動的共有秘密機能がケーブル インターフェイスで有効になっている。この機能は、ケーブル モデムが不正なケーブル モデムであるか、ケーブル モデムが更新されていない初期の DOCSIS 1.0 ファームウェアを実行している DOCSIS 1.0 ケーブル モデムである場合に適用されます。この機能はまた、TFTP サーバが Cisco CMTS にケーブル モデムの TFTP コンフィギュレーション ファイルを提供できない場合にも適用されます。これはたとえば、BACC を使用していて、一致しない送信元 IP アドレスからの TFTP 要求を許可するようシステムを設定していない場合があてはまります。この障害は、debugcabledynamic-secret コマンドによっても示されます。
    • 同時に多数のケーブル モデムが登録されている。それらのケーブル モデムの一部またはすべては、Cisco CMTS ルータ上の複数の TFTP ポートを使用する複数の TFTP 転送を使用して DOCSIS コンフィギュレーション ファイルもダウンロードしている可能性があり、TFTP サーバは、システムによって生成される TFTP 要求のレートについて行くことができません。一部の TFTP サーバは、単位時間あたりの同じ送信元 IP アドレスにより開始された同時 TFTP get 要求の数を制限されるか、またはケーブルの動的秘密が設定される前に新しいモデムの登録レートを処理できない可能性があります。debugcabledynamic-secret コマンドは、このような状況で一部のファイルを受信できなかったことを示します。

このスタック ケーブル モデムの状況により TFTP サーバで使用可能なポートが足りなくなり、その結果、TFTP ダウンロードの段階でケーブルが失敗する可能性があります。この状況が発生するのを防ぐには、ケーブル インターフェイス上の動的共有秘密機能を一時的にディセーブルにするか、または DOCSIS コンフィギュレーション ファイルのサイズを軽減します。

動的共有秘密に関する情報

DOCSIS 仕様では、ケーブル モデムが承認済み TFTP サーバから、DOCSIS コンフィギュレーション ファイルをダウンロードする必要があります。この DOCSIS コンフィギュレーション ファイルは、ネットワーク セッションの Quality of Service（QoS）およびその他のパラメータを指定します。サービス不正使用攻撃では、承認済み DOCSIS コンフィギュレーション ファイルを傍受、変更、または置換したり、ローカル TFTP サーバからファイルをダウンロードしたりしようと頻繁に試みます。

サービス不正使用攻撃を防ぐため、DOCSIS 仕様ではサービス プロバイダーが共有秘密パスワードを使用して、すべての DOCSIS コンフィギュレーション ファイルに接続された CMTS メッセージ整合性チェック（MIC）フィールドを計算することを許可しています。CMTS MIC は、コンフィギュレーション ファイルで指定される DOCSIS タイプ/長さ/値（TLV）フィールドにわたって計算された MD5 ダイジェストです。共有秘密が使用されている場合は、共有秘密も MD5 の計算で使用されます。

ケーブル モデムは、登録要求に CMTS MIC の計算と、DOCSIS コンフィギュレーション ファイルのコンテンツを含める必要があります。ユーザが DOCSIS コンフィギュレーション ファイルのいずれかのフィールドを修正するか、または別の共有秘密値を使用する場合、ケーブル モデムの登録時に CMTS は CMTS MIC を確認できません。CMTS は、ケーブル モデムの登録を許可せず、そのケーブル モデムを「reject(m)」状態であるとマークして、CMTS MIC 障害を示します。

ただし、ユーザはこれまでさまざまな手法を使用してこのようなセキュリティ チェックを迂回してきました。そのため、プレミアム サービスを提供するコンフィギュレーション ファイルを取得してから、そのファイルを使用して自分自身により高位のサービス クラスを提供します。サービス プロバイダーは、共有秘密を変更し、DOCSIS タイムスタンプを実装し、モデム固有のコンフィギュレーション ファイルを使用することで、これに対抗してきました。しかしこれは、ネットワークのケーブル モデムごとに DOCSIS コンフィギュレーション ファイルを作成することに他なりません。さらに、このような対抗は、共有秘密が発見されるたびに繰り返さなければなりません。

動的共有秘密機能は、ネットワークのケーブル モデムごとに一意であり動的に生成された共有秘密を実装することで、このようなタイプの攻撃を防ぎます。また、動的共有秘密は現在のセッションに対してのみ有効であり、再利用はできません。こうすることで、「リプレイ アタック」の脅威を取り除き、変更および置換された DOCSIS コンフィギュレーション ファイルの再利用を防ぎます。

動作モード

動的共有秘密機能は、CMTS MIC 検証チェックに失敗したケーブル モデムに対してとるべき処置に応じて、次の 3 つの異なるモードで動作します。

  • マーキング モード：mark オプションを使用すると、CMTS MIC 妥当性チェックに失敗した場合でも、CMTS はケーブル モデムをオンラインにします。ただし、CMTS はこの状況を調査できるようにするために、コンソールに警告メッセージを出力し、show cable modem コマンド内のこのケーブル モデムに感嘆符（!）のマークを付けます。
  • ロッキング モード：lock オプションが使用されていると、CMTS は、2 回連続して MIC 妥当性チェックに失敗した CM に制限付き QoS 設定を割り当てます。ロックされたケーブル モデムに特定の QoS プロファイルを使用するよう指定できます。そうしない場合はデフォルトで、ダウンストリームおよびアップストリーム サービス フローの最大レートを 10 kbps に制限する特別な QoS プロファイルに設定されます。

顧客が CM をリセットするとその CM は再登録されますが、制限付きの QoS プロファイルがそのまま使用されます。ロックされた CM はオフラインになるまで、制限された QoS プロファイルを使い続け、そのまま 24 時間以上オフラインのままになります。その後、有効な DOCSIS コンフィギュレーション ファイルで再登録できるようになります。システム オペレータは、clear cable modem lock コマンドを使用して CM のロックを手動でクリアできます。

このオプションは、共有秘密鍵を推測しようとしたり、動的共有秘密セキュリティ システムの詳細を確認しようとして CMTS に繰り返し再登録するユーザを挫折させます。

  • 拒否モード：拒否モードでは、CMTS は、CMTS MIC 妥当性チェックに失敗した CM がオンラインになることを拒否します。このようなケーブル モデムは、show cable modem コマンドの出力で「reject(m)」（無効な MIC 値）という MAC 状態で示されます。短いタイムアウト期間が経過すると、CM は CMTS に再登録を試みます。CM がオンラインになることを許可されるには、有効な DOCSIS コンフィギュレーション ファイルに登録する必要があります。CM がオンラインになると、CMTS はコンソールに警告メッセージを出力し、show cable modem コマンドでこのケーブル モデムに感嘆符（!）マークが付くので、この状況を調査できます。

（注）  
パケット損失や輻輳など、考えられるネットワークの問題を解明するため、Cisco CMTS はケーブル モデムに対して、動的共有秘密の認証チェックに失敗とマークする前に、2 回の登録試行を許可します。

動的共有秘密の動作

動的共有秘密機能は、モデムごとに一意の DOCSIS 共有秘密を自動作成して、現在のセッションでのみ有効なワンタイム使用の DOCSIS コンフィギュレーション ファイルを作成します。これにより、1 つのケーブル モデムにダウンロードされた DOCSIS コンフィギュレーション ファイルを他のモデムで使用することはできなくなり、同じモデムが後でこのコンフィギュレーション ファイルを再利用することもできなくなります。

特許出願中のこの機能は、登録されたすべてのモデムが、モデムの登録時にその特定のモデム用に DOCSIS プロビジョニング システムが指定した QoS パラメータのみを使用することを保証するために設計されています。

DOCSIS 準拠のケーブル モデムは CMTS への登録時に DHCP 要求を送信します。DHCP サーバは、そのケーブル モデムが指定の TFTP サーバからダウンロードするべき DOCSIS コンフィギュレーション ファイルの名前を含む DHCP 応答を送信します。ケーブル モデムは、DOCSIS コンフィギュレーション ファイルをダウンロードし、そのパラメータを使用して CMTS に登録します。

動的共有秘密機能が有効化されている場合、CMTS は DHCP メッセージを受信したときに次の動作を実行します。

  • CMTS は動的に生成された共有秘密を作成します。
  • デフォルト設定で、CMTS は DOCSIS コンフィギュレーション ファイルの名前を利用して、ランダム化された新しいファイル名を生成します。ランダム化されたこのファイル名はケーブル モデムが登録されるたびに変更され、DOCSIS 仕様に半分しか準拠しないケーブル モデムによる DOCSIS コンフィギュレーション ファイルのキャッシュを防ぎます。cabledynamic-secret コマンドで nocrypt オプションを使用することで、このファイル名のランダム化を無効にできます。
  • CMTS は、ケーブル モデムが使用すべき TFTP サーバの IP アドレスを CMTS の IP アドレスに変更します。これにより、ケーブル モデムは、CMTS からコンフィギュレーション ファイルをダウンロードする必要があることを認識します。
  • CMTS は、新しく生成された動的な秘密を使用するファイルを修正できるよう、当初指定されていた TFTP サーバからのオリジナルの DOCSIS コンフィギュレーション ファイルをダウンロードします。

ケーブル モデムが DOCSIS コンフィギュレーション ファイルをダウンロードする際、CMTS により修正されたファイルを受け取ります。このファイルは動的に生成されたワンタイム使用の共有秘密を使用しているため、CMTS は、ケーブル モデムが CMTS の登録を試みる際にこのコンフィギュレーション ファイルを使用していることを確認できます。


（注）  
動的共有秘密機能は、cable shared-secondary-secret および cable shared-secret コマンドを使って設定されるオリジナルの共有秘密やセカンダリ共有秘密の使用をサポートせず、互換性もありません。

ヒント

ユーザが、ローカルの TFTP サーバから DOCSIS コンフィギュレーション ファイルをダウンロードすることによってこのようなチェックを迂回することは可能ですが、その場合も、ケーブル モデムは CMTS MIC の検証に失敗します。

他のコマンドとのインタラクション

動的共有秘密機能は、ネットワーク セキュリティと整合性を確保するために、他のいくつかのコマンドとともに動作します。

  • cableshared-secret：DOCSIS 仕様では、サービス プロバイダーが共有秘密を使用して、許可された DOCSIS コンフィギュレーション ファイルのみをケーブル モデムが使用するようにすることができます。

    動的共有秘密機能は cable shared-secret と互換性がありません。動的共有秘密機能を使用する場合は、cable shared-secret コマンドを設定しないでください。

  • cableshared-secondary-secret：動的共有秘密機能は cable shared-secret と互換性がありません。動的共有秘密機能を使用する場合は、cable secondary-shared-secret コマンドを設定しないでください。

パフォーマンス情報

動的共有秘密機能により、ケーブル モデムの登録プロセスに新たな手順が加えられたり、現在のプロビジョニング システムにさらなる要件が必要になることはありません。次の要因によっては、この機能がネットワーク プロビジョニング システムのパフォーマンスにわずかにマイナスまたはプラスの影響を及ぼす場合があります。

  • 使用されているプロビジョニング システム（DHCP および TFTP サーバ）
  • オンラインになるケーブル モデムの数
  • ケーブル モデムのベンダーおよびソフトウェア バージョン
  • DOCSIS コンフィギュレーション ファイルの数とサイズ

動的共有秘密機能により、ケーブル モデムがオンラインになるまでの時間が 5% の遅延から 10% 短縮することが大規模な試験により明らかになっています。プロビジョニング プロセスのパフォーマンスに最も大きく影響する要因は、プロビジョニング システム自体です。そのためシスコでは、汎用 DHCP および TFTP サーバで大幅なパフォーマンス向上をもたらす Cisco Network Registrar（CNR）リリース 3.5 以降の使用を推奨します。

ケーブル モデムのプロビジョニング パフォーマンスに 2 番目に影響する要因は、DOCSIS コンフィギュレーション ファイルの数とサイズです。コンフィギュレーション ファイルのサイズは、ファイルをケーブル モデムに送信するまでにかかる時間を決定します。一方、コンフィギュレーション ファイルの数は、同じコンフィギュレーション ファイルを複数モデムで再利用できるようにしながら、システムが内部キャッシュにいかに効率的にファイルを保存するかに影響を与える場合があります。

SNMP サポート

Cisco IOS-XE 3.15.0S 以降のリリースでは、動的共有秘密機能に次の SNMP サポートが追加されています。

  • 次の MIB オブジェクトが CISCO-DOCS-EXT-MIB に追加されています。
    • cdxCmtsCmDMICMode：特定のケーブル モデムの動的共有秘密機能を設定し、その設定を表示します（[not configured]、[mark]、[lock]、または [reject]）。
    • cdxCmtsCmDMICLockQoS：インターフェイスが [lock] モードに設定されていたときに動的共有秘密セキュリティ チェックに失敗したケーブル モデムに割り当てる制限付き QoS プロファイルを指定します。
    • cdxCmtsCmStatusDMICTable：動的共有秘密セキュリティ チェックに失敗したすべてのケーブル モデムを表示します。
  • 動的共有秘密セキュリティ チェックに失敗したためにケーブル モデムがロックされた場合、SNMP トラップ（cdxCmtsCmDMICLockNotification）を送信するよう設定できます。トラップを有効にするには、snmp-serverenabletrapscabledmic-lock コマンドを使用します。

（注）  
DMIC の [lock] モードは、HCCP N+1 冗長性のスイッチオーバー イベントの間、ディセーブルになります。

システム エラー メッセージ

次のシステム エラー メッセージは、動的共有秘密機能がイネーブルのときに CMTS のメッセージ整合性チェック（MIC）に失敗したケーブル モデムに関する情報を提供します。

メッセージ

 %CBR-4-CMLOCKED

ケーブル モデムの DOCSIS コンフィギュレーション ファイルに、メッセージ整合性チェック（MIC）の値を符号化するために使用された適切な動的共有秘密機能に対応する MIC 値が含まれていませんでした。このため、CMTS はこのケーブル モデムにネットワークへのアクセスを制限する制限付き Quality of Service（QoS）設定を割り当てました。さらに、CMTS は、このケーブル モデムが少なくとも 24 時間オフラインになり、24 時間後に通常のサービスの登録および取得が許可される（DOCSIS 準拠であり、有効な DOCSIS コンフィギュレーション ファイルを使用していることが想定される）までは制限付き QoS 設定でロックされたままであるよう、ケーブル モデムをロックしました。

このエラー メッセージは、ケーブル インターフェイスに cable dynamic-secret lock コマンドが適用されて、そのケーブル インターフェイス上の DOCSIS コンフィギュレーション ファイルの動的共有秘密機能が有効になっている場合に表示されます。ケーブル モデムは登録を許可されてオンラインになりますが、QoS 設定により、アップストリーム フローとダウンストリーム フローはともに最大レートが 10 kbps に制限されます。このケーブル モデムが以前に使用したコンフィギュレーション ファイルをキャッシュした古いソフトウェアを実行していないことを確認してください。また、ローカル TFTP サーバから変更された DOCSIS コンフィギュレーション ファイルをダウンロードしようとするユーザにより、サービス不正使用が試みられていないこともチェックしてください。別の QoS プロファイルで CM を再登録するには、その前に、登録を試行することなく CM が 24 時間オフライン状態を保つか、または clear cable modem lock コマンドを使って手動でロックを解除する必要があります。

メッセージ

 %CBR-4-CMMARKED

ケーブル モデムの DOCSIS コンフィギュレーション ファイルに、メッセージ整合性チェック（MIC）の値を符号化するために使用された適切な動的共有秘密機能に対応する MIC 値が含まれていませんでした。CMTS はこのケーブル モデムの登録とオンライン化を許可しましたが、show cable modem 表示でこのモデムに感嘆符（!）が付き、状況を調査する対象となっています。

このエラー メッセージは、ケーブル インターフェイスに cabledynamic-secretmark コマンドが適用されて、そのケーブル インターフェイス上の DOCSIS コンフィギュレーション ファイルの動的共有秘密機能が有効になっている場合に表示されます。このケーブル モデムが以前に使用したコンフィギュレーション ファイルをキャッシュした古いソフトウェアを実行していないことを確認してください。また、ローカル TFTP サーバから変更された DOCSIS コンフィギュレーション ファイルをダウンロードしようとするユーザにより、サービス不正使用が試みられていないこともチェックしてください。

メッセージ

 %CBR-4-NOCFGFILE

CMTS は TFTP サーバからこのケーブル モデムの DOCSIS コンフィギュレーション ファイルを取得できませんでした。 このメッセージは、cable dynamic-secret コマンドにより動的共有秘密機能がケーブル インターフェイスで有効になっている場合に表示されます。

CMTS が TFTP サーバとネットワーク接続されているか、また、指定されている DOCSIS コンフィギュレーション ファイルが TFTP サーバ上で使用可能かどうかを確認してください。ケーブル モデムへの DHCP 応答で適切なコンフィギュレーション ファイル名を送信するよう、DHCP サーバが正しく設定されていることを確認してください。DOCSIS コンフィギュレーション ファイルが正しい形式であることも確認してください。

この問題は、TFTP サーバがオフラインであるか、または新しい要求に迅速に対応できない状況までオーバーロードになると発生する可能性があります。また、CMTS と TFTP サーバ間のインターフェイスが正しく設定されておらず、過度にフラッピングしている場合にも発生する場合があります。


（注）  
このエラーは、Cisco CMTS の外部のプロビジョニング システムの問題を示します。動的共有秘密機能をディセーブルにしても、エラーは解除されず、ケーブル モデムもオンライン化されません。まず最初にプロビジョニング システムの問題を修正する必要があります。

利点

動的共有秘密機能では、ケーブル サービス プロバイダーとそのパートナーおよびカスタマーに次の利点があります。

ネットワーク セキュリティの改善

サービス プロバイダーは、ユーザが共有秘密値を見つけ出し、それを使用して自分自身に高いサービス レベルを与えるように DOCSIS コンフィギュレーション ファイルを変更してしまうといった心配は無用です。仮にユーザが動的に生成された共有秘密の値を見つけ出したとしても、その共有秘密は登録に再度使用できません。

Cisco CMTS ルータにおける汎用 TFTP サーバのパフォーマンスとエラー処理は大幅に改善され、ケーブル モデムを迅速にプロビジョニングするために必要な高いパフォーマンスをサポートします。

可能性のあるサービス不正使用攻撃の対処における柔軟性

サービス プロバイダーでは、DOCSIS コンフィギュレーション ファイルの CMTS MIC チェックに失敗したときの対応を選択することができます。対応は、そのケーブル モデムをマークしてユーザがオンラインになることを許可する、登録要求を拒否して有効な DOCSIS コンフィギュレーション ファイルが使用されるまでユーザがオンラインになることを許可しない、または、ケーブル モデムを制限された QoS 構成にロックしてモデムを 24 時間オフライン状態にする、の中から選択できます。サービス不正使用攻撃を試みるユーザにとって、悪意のあるモデムをロックする方法は代償が大きい割に得るものが少ないため、ハッカーに対して最も効果の高い抑止力になります。

プロビジョニング システムへの変更は不要

サービス プロバイダーは、認証システムのプロビジョニングを変更せずに動的共有秘密機能を使用できます。既存の DOCSIS コンフィギュレーション ファイルは変更せずに使用でき、既存の共有秘密を変更する必要はありません。


ヒント

CMTS ルータだけが TFTP サーバから DOCSIS コンフィギュレーション ファイルのダウンロードを許可するようなアクセス コントロールを設定していない場合は、そのように設定することも可能です。

ケーブル モデムへの変更は不要

動的共有秘密機能では、エンドユーザ側の変更やケーブル モデム構成への変更は不要です。この機能は、DOCSIS 準拠のあらゆるケーブル モデムをサポートします。


（注）  
動的共有秘密機能は、すでにオンラインでプロビジョニングされたケーブル モデムに影響しません。この機能が有効または無効になったときにすでにオンラインであるケーブル モデムは、オンライン状態が維持されます。

ネットワーク管理のシンプル化

サービス プロバイダーは、プレミアム サービスを提供するファイルが広く使用可能になるたびにケーブル インターフェイス上の共有秘密を更新し続ける必要はありません。代わりに、動的共有秘密機能がケーブル モデムごとに提供する一意で単一用途の共有秘密を信頼することで、長期にわたって同じ共有秘密をケーブル インターフェイス上で使用できます。

また、サービス プロバイダーは、ケーブル モデムごとに一意の DOCSIS コンフィギュレーション ファイルを管理する必要がありません。同じコンフィギュレーション ファイルを同じサービス クラス内のすべてのユーザに対して使用でき、ネットワーク セキュリティに影響を与えません。

関連機能

次の機能を動的共有秘密機能と併用して、ケーブル ネットワークの全体的なセキュリティを強化できます。

  • ベースライン プライバシー インターフェイス プラス（BPI+）認証と暗号化：ケーブル モデムと CMTS 間にセキュア リンクを提供し、ケーブル インターフェイス上で送信されるパケットをユーザが傍受したり変更したりするのを防ぎます。BPI+ はさらに、X.509 デジタル証明書の使用によるケーブル モデムの安全な承認、およびソフトウェア アップグレードをスプーフィングや傍受、変更から確実に保護するセキュアなソフトウェア ダウンロード機能を提供します。

動的共有秘密機能の設定方法

ここでは、動的共有秘密機能をイネーブルにして設定する方法、ディセーブルにする方法、ケーブル モデムのロックを手動で解除する方法、ケーブル モデムのファームウェアを動的にアップグレードする方法について説明します。


（注）  
すべての手順は、特権 EXEC プロンプト（「Router#」）で開始、終了します。

動的共有秘密機能の有効化と設定

ここでは、ケーブル インターフェイスで動的共有秘密機能を有効化および設定する方法について説明します。

手順
     コマンドまたはアクション目的
    ステップ 1configureterminal


    例： 
    Router# configure terminal


    例： 
    Router(config)#
     

    グローバル コンフィギュレーション モードを開始します。

     
    ステップ 2cableqospermissioncreate


    例： 
    Router(config)# cable qos permission create


    例： 
    Router(config)#
     

    （任意）ステップ 6 で lock オプションを使用する場合、および特定の QoS プロファイルを指定しない場合は、ケーブル モデムが独自の QoS プロファイルを作成できるようにする必要があります。

     
    ステップ 3cableqospermissionupdate


    例： 
    Router(config)# cable qos permission update


    例： 
    Router(config)#
     

    （任意）ステップ 6 で lock オプションを使用する場合、および特定の QoS プロファイルを指定しない場合は、ケーブル モデムが独自の QoS プロファイルを更新できるようにする必要があります。

     
    ステップ 4snmp-serverenabletrapscabledmic-lock


    例： 
    Router(config)# snmp-server enable traps cable dmic-lock


    例： 
    Router(config)#
     

    （任意）ケーブル モデムが動的共有秘密のセキュリティ チェックに失敗した場合、SNMP トラップを送信できるようにすることができます。

     
    ステップ 5interfacecable interface


    例： 
    Router(config)# interface cable 3/0


    例： 
    Router(config-if)#
     

    指定したケーブル インターフェイスに対してインターフェイス コンフィギュレーション モードを開始します。

     
    ステップ 6cabledynamic-secret {lock[lock-qos ] | mark | reject} [nocrypt

    例： 
    Router(config-if)# cable dynamic-secret lock


    例： 
    Router(config-if)# cable dynamic-secret lock 90


    例： 
    Router(config-if)# cable dynamic-secret mark


    例： 
    Router(config-if)# cable dynamic-secret reject


    例： 
    Router(config-if)#
     

    ケーブル インターフェイスで動的共有秘密機能を有効にして、適切なオプションを設定します。

    • nocrypt：（任意）Cisco CMTS は DOCSIS コンフィギュレーション ファイルのファイル名を暗号化しませんが、元のファイル名を使用して CM にファイルを送信します。
    • lock：MIC の検証に失敗したケーブル モデムは、制限付き QoS プロファイルを使用してオンラインになることができます。異なる QoS プロファイルを使用してケーブル モデムを再登録できるようにするには、24 時間オフラインにする必要があります。
    • lock-qos：（任意）ロックされたケーブル モデムに割り当てる必要のある QoS プロファイルを指定します。有効な範囲は 1 ～ 256 であり、プロファイルをあらかじめ作成しておく必要があります。特に指定しない限り、ロックされたケーブル モデムには、サービス フローを 10 kbps（ステップ 2 と 3 で必要）に制限した QoS プロファイルが割り当てられます。
    • mark：MIC 検証に失敗したケーブル モデムはオンライン状態を許可されますが、その状況を調査できるように showcablemodem 表示にマークが付きます。
    • reject：MIC の検証に失敗したケーブル モデムは登録できません。
    （注）      設定する各ケーブル インターフェイスでステップ 5 およびステップ 6 を繰り返します。
     
    ステップ 7end


    例： 
    Router(config-if)# end


    例： 
    Router#
     

    インターフェイス コンフィギュレーション モードを終了し、特権 EXEC モードに戻ります。

     
    次の作業


    （注）  
    ケーブル インターフェイス バンドルのインターフェイスで動的共有秘密機能を設定する場合、それと同じバンドル内のすべてのインターフェイスでこの機能を設定する必要があります。

    ケーブル インターフェイスでの動的共有秘密の無効化

    ここでは、ケーブル インターフェイスで動的共有秘密機能を無効化する方法について説明します。ケーブル モデムは、ケーブル インターフェイスで定義された共有秘密またはセカンダリ共有秘密と比較して継続的に検証されます。

    手順
       コマンドまたはアクション目的
      ステップ 1configureterminal


      例： 
      Router# configure terminal


      例： 
      Router(config)#
       

      グローバル コンフィギュレーション モードを開始します。

       
      ステップ 2interfacecable interface


      例： 
      Router(config)# interface cable 3/0


      例： 
      Router(config-if)#
       

      指定したケーブル インターフェイスに対してインターフェイス コンフィギュレーション モードを開始します。

       
      ステップ 3nocabledynamic-secret


      例： 
      Router(config-if)# no cable dynamic-secret


      例： 
      Router(config-if)#
       

      ケーブル インターフェイスで動的共有秘密機能を無効にします。

      （注）      設定する各ケーブル インターフェイスでステップ 2 およびステップ 3 を繰り返します。
       
      ステップ 4end


      例： 
      Router(config-if)# end


      例： 
      Router#
       

      インターフェイス コンフィギュレーション モードを終了し、特権 EXEC モードに戻ります。

       

      動的共有秘密機能からのケーブル モデムの除外

      ここでは、動的共有秘密機能の処理から 1 つ以上のケーブル モデムを除外する方法について説明します。ケーブル モデムは、ケーブル インターフェイスで定義された共有秘密またはセカンダリ共有秘密と比較して継続的に検証されます。

      手順
         コマンドまたはアクション目的
        ステップ 1configure terminal


        例： 
        Router# configure terminal
         

        グローバル コンフィギュレーション モードを開始します。

         
        ステップ 2cable dynamic-secret exclude {oui oui-id | modem mac-address}


        例： 
        Router(config)# cable dynamic-secret exclude oui 00.01.B4 
Router(config)# cable dynamic-secret exclude modem 00d0.45ba.b34b
         

        MAC アドレスまたは OUI に基づいて、動的共有秘密セキュリティ チェックの処理から 1 つ以上のケーブル モデムを除外します。

        • modem mac-address：動的共有秘密機能から除外する、1 つの具体的な個別のケーブル モデムのハードウェア（MAC）アドレスを指定します（マルチキャスト MAC アドレスは指定できません。）

        • oui oui-id：特定のベンダーのケーブル モデム グループが動的共有秘密機能から除外されるように、そのベンダーの組織固有識別子（OUI）を指定します。OUI は、3 個の 16 進数バイトをピリオドまたはコロンで区切って指定する必要があります。

        （注）     

        除外するケーブル モデム MAC アドレスまたは OUI ベンダーのそれぞれに対してこのコマンドを繰り返します。

         
        ステップ 3exit


        例： 
        Router(config)# exit
                  		インターフェイス コンフィギュレーション モードを終了し、特権 EXEC モードに戻ります。 

        1 つ以上のケーブル モデムのロック削除

        ここでは、1 つ以上のケーブル モデムのロックを手動で解除する方法について説明します。これにより、ケーブル モデムの再初期化が強制的に行われます。ケーブル モデムをオンライン状態にするには、有効な DOCSIS コンフィギュレーション ファイルで再登録する必要があります。（clearcablemodemlock コマンドを使用して）手動でロックを解除しない場合、ケーブル モデムは現在の制限付き QoS プロファイルにロックされるため、オフライン状態で 24 時間以上経過するまでは、異なるプロファイルで再登録できません。

        手順
           コマンドまたはアクション目的
          ステップ 1clearcablemodem {mac-addr | ip-addr | all | ouistring | reject} lock

          例： 
          Router# clear cable modem 0001.0203.0405 lock


          例： 
          Router# clear cable modem all lock


          例： 
          Router# clear cable modem oui 00.00.0C lock


          例： 
          Router#
           

          次のオプションを指定して、ケーブル モデムのロックを解除します。

          • mac-addr：解除する 1 つの特定のケーブル モデムの MAC アドレスを指定します。
          • ip-addr：解除する 1 つの特定のケーブル モデムの IP アドレスを指定します。
          • all：ロックされたすべてのケーブル モデムのロックを解除します。
          • oui string：指定した組織固有識別子（OUI）文字列と一致するベンダー ID を持つすべてのケーブル モデムのロックを解除します。
          • reject：現在拒否状態にあるすべてのケーブル モデムのロックを解除します（これは、ロックしたケーブル モデムがオフライン状態に移行し、24 時間が経過する前に再登録しようとすると発生します）。
           
          次の作業


          ヒント

          また、clearcablemodemdelete コマンドを使用してすべての CMTS 内部データベースからケーブル モデムを手動で削除するという方法で、ケーブル モデムのロックを解除することもできます。

          ケーブル モデムのファームウェアのアップグレード

          ここでは、ケーブル モデムでダウンロードした DOCSIS コンフィギュレーション ファイルに正しい TLV 値を動的に挿入して、ケーブル モデムのファームウェアをアップグレードする方法について説明します。DOCSIS コンフィギュレーション ファイルには次の TLV 値が含まれます。

          • ソフトウェア アップグレード ファイル名（TLV 9）：ファームウェアのファイル名を指定します。
          • アップグレード IPv4 TFTP サーバ（TLV21）：モデムが DOCSIS コンフィギュレーション ファイルをダウンロードする TFTP サーバの IPv4 アドレスを指定します。
          • アップグレード IPv6 TFTP サーバ（TLV58）：モデムが DOCSIS コンフィギュレーション ファイルをダウンロードする TFTP サーバの IPv6 アドレスを指定します。

          （注）  
          ソフトウェア アップグレード ファイル名（TLV9）が指定された場合、および TFTP サーバ アドレス（TLV21/TLV58）が指定されていないか、0 に設定されていない場合のみ、TFTP サーバ アドレスが挿入されます。
          はじめる前に

          ケーブル モデムのファームウェアをアップグレードするには、まず動的共有秘密機能を有効にする必要があります。詳細については、動的共有秘密機能の有効化と設定を参照してください。


          （注）  
          動的共有秘密機能を有効または無効にするコマンドは、MAC ドメイン レベルで使用できます。ただし、ケーブル モデムのファームウェアをアップグレードするコマンドを使用できるのはグローバル レベルです。

          手順
             コマンドまたはアクション目的
            ステップ 1configureterminal


            例： 
            Router# configure terminal


            例： 
            Router(config)#
             

            グローバル コンフィギュレーション モードを開始します。

             
            ステップ 2cable dynamic-secret tftp insert-upgrade-server

            例： 
            Router(config)# cable dynamic-secret tftp insert-upgrade-server
             

            DOCSIS コンフィギュレーション ファイルに特定の IPv4 または IPv6 TLV 値を動的に挿入し、ケーブル モデムでファームウェア アップグレードを完了します。

             
            ステップ 3end


            例： 
            Router(config)# end


            例： 
            Router#
             

            コンフィギュレーション モードを終了し、特権 EXEC モードに戻ります。

             
            次の作業


            （注）  
            ケーブル インターフェイス バンドルのインターフェイスで動的共有秘密機能を設定する場合、そのバンドルのすべてのインターフェイスでこの機能を設定する必要があります。

            動的共有秘密機能のモニタリング方法

            ここでは、動的共有秘密機能に関する情報をモニタリングおよび表示するのに使用できる次の手順について説明します。

            マーク付きケーブル モデムの表示

            cabledynamic-secretmark コマンドを使用してケーブル インターフェイスを設定した場合、動的に生成される CMTS MIC の検証に失敗してもケーブル モデムはオンラインになります。ただし、showcablemodem コマンドの出力で MAC 状態列に感嘆符（!）マークが表示されます。また、この感嘆符は、cabledynamic-secretreject コマンドを使って最初に拒否された後、有効な DOCSIS コンフィギュレーション ファイルを使って再登録されたケーブル モデムを識別するためにも使用されます。

            たとえば、次に、4 つのケーブル モデムで CMTS MIC の検証に失敗してマークが付けられても、オンラインが許可された例を示します。

            Router# show cable modems
 
MAC Address    IP Address      I/F       MAC         Prim RxPwr  Timing  Num BPI
                                         State       Sid  (db)   Offset  CPE Enb
0010.9507.01db 144.205.151.130 C5/1/0/U5 online(pt)  1     0.25    938   1    N 
0080.37b8.e99b 144.205.151.131 C5/1/0/U5 online      2     -0.25   1268  0    N 
0002.fdfa.12ef 144.205.151.232 C6/1/0/U0 online(pt)  13    -0.25   1920  1    N 
0002.fdfa.137d 144.205.151.160 C6/1/0/U0 !online     16    -0.50   1920  1    N 
0003.e38f.e9ab 144.205.151.237 C6/1/0/U0 !online     3     -0.50   1926  1    N 
0003.e3a6.8173 144.205.151.179 C6/1/1/U2 offline     4     0.50    1929  0    N 
0003.e3a6.8195 144.205.151.219 C6/1/1/U2 !online(pt) 22    -0.50   1929  1    N 
0006.28dc.37fd 144.205.151.244 C6/1/1/U2 online(pt)  61    0.00    1925  2    N 
0006.28e9.81c9 144.205.151.138 C6/1/1/U2 online(pt)  2     0.75    1925  1    N 
0006.28f9.8bbd 144.205.151.134 C6/1/1/U2 online      25    -0.25   1924  1    N 
0006.28f9.9d19 144.205.151.144 C6/1/1/U2 online(pt)  28    0.25    1924  1    N 
0010.7bed.9b6d 144.205.151.228 C6/1/1/U2 online(pt)  59    0.25    1554  1    N 
0002.fdfa.12db 144.205.151.234 C7/0/0/U0 online      15    -0.75   1914  1    N 
0002.fdfa.138d 144.205.151.140 C7/0/0/U5 online      4     0.00    1917  1    N 
0003.e38f.e85b 144.205.151.214 C7/0/0/U5 !online     17    0.25    1919  1    N 
0003.e38f.f4cb 144.205.151.238 C7/0/0/U5 online(pt)  16    0.00   !2750  1    N 
0003.e3a6.7fd9 144.205.151.151 C7/0/0/U5 online      1     0.25    1922  0    N 
0020.4005.3f06 144.205.151.145 C7/0/0/U0 online(pt)  2     0.00    1901  1    N 
0020.4006.b010 144.205.151.164 C7/0/0/U5 online(pt)  3     0.00    1901  1    N 
0050.7302.3d83 144.205.151.240 C7/0/0/U0 online(pt)  18    -0.25   1543  1    N 
00b0.6478.ae8d 144.205.151.254 C7/0/0/U5 online(pt)  44    0.25    1920  21   N 
00d0.bad3.c0cd 144.205.151.149 C7/0/0/U5 online      19    0.25    1543  1    N 
00d0.bad3.c0cf 144.205.151.194 C7/0/0/U0 online      13    0.00    1546  1    N 
00d0.bad3.c0d5 144.205.151.133 C7/0/0/U0 online      12    0.50    1546  1    N 
Router#

            また、showcablemodemrogue コマンドを使用すると、動的な共有秘密の認証チェックに失敗して拒否されたケーブル モデムだけを表示することもできます。

            Router# show cable modem rogue 
                                     Spoof TFTP
MAC Address    Vendor     Interface  Count Dnld Dynamic Secret
AAAA.7b43.aa7f Vendor1    C4/0/U5       2  Yes  45494DC933F8F47A398F69EE6361B017 
AAAA.7b43.aa7f Vendor1    C4/0/U5       2  Yes  D47BCBB5494E9936D51CB0EB66EF0B0A 
BBBB.7b43.aa7f Vendor2    C4/0/U5       2  No   8EB196423170B26684BF6730C099D271 
AAAA.7b43.aa7f Vendor1    C4/0/U5       2  No   DF8FE30203010001A326302430120603 
BBBB.7b43.aa7f Vendor2    C4/0/U5       2  No   300E0603551D0F0101FF040403020106 
AAAA.7b43.aa7f Vendor1    C4/0/U5       2  Yes  820101002D1A264CE212A1BB6C1728B3 
DDDD.7b43.aa7f Vendor4    C4/0/U5       2  Yes  7935B694DCA90BC624AC92A519C214B9 
AAAA.7b43.aa7f Vendor1    C4/0/U5       2  No   3AB096D00D56ECD07D9B7AB662451CFF 
Router#

            現在の動的秘密の表示

            Cisco IOS XE Everest 16.5.1 では、verbose オプションを showcablemodem コマンドで使用すると、ケーブル モデルの前回の登録サイクルで使用された、動的に生成された共有秘密（16 バイトの 16 進数）が表示されます。また、ケーブル モデムが動的共有秘密の確認に失敗したか、または TFTP サーバから DOCSIS コンフィギュレーション ファイルをダウンロードしたかどうかも表示します。ケーブル モデムがオフラインの場合、動的秘密はすべてゼロと表示されます。

            たとえば、次に、動的供給秘密の確認に失敗した単一ケーブル モデムの一般的な表示例を示します。

            Router# show cable modem 00c0.73ee.bbaa verbose
 
MAC Address                         : 00c0.73ee.bbaa 
IP Address                          : 3.18.1.6
Prim Sid                            : 2
QoS Profile Index                   : 6
Interface                           : C3/0/U0
Upstream Power                      : 0.00 dBmV (SNR = 26.92 dBmV)
Downstream Power                    : 0.00 dBmV (SNR = ----- dBmV)
Timing Offset                       :  2812  
Initial Timing Offset               : 2812
Received Power                      :  0.00
MAC Version                         : DOC1.0
Provisioned Mode                    : DOC1.0
Capabilities                        : {Frag=N, Concat=N, PHS=N, Priv=BPI}
Sid/Said Limit                      : {Max Us Sids=0, Max Ds Saids=0}
Optional Filtering Support          : {802.1P=N, 802.1Q=N}
Transmit Equalizer Support          : {Taps/Symbol= 0, Num of Taps= 0}
Number of CPE IPs                   : 0(Max CPE IPs = 1)
CFG Max-CPE                         : 1
Flaps                               : 26(Feb 14 02:35:39)
Errors                              : 0 CRCs, 0 HCSes
Stn Mtn Failures                    : 6 aborts, 0 exhausted
Total US Flows                      : 1(1 active)
Total DS Flows                      : 1(1 active)
Total US Data                       : 0 packets, 0 bytes
Total US Throughput                 : 0 bits/sec, 0 packets/sec
Total DS Data                       : 0 packets, 0 bytes
Total DS Throughput                 : 0 bits/sec, 0 packets/sec
Active Classifiers                  : 0 (Max = NO LIMIT) 
Dynamic Secret                      : A3D1028F36EBD54FDCC2F74719664D3F
Router#

            次に、現在オフライン（[Dynamic Secret] フィールドはすべてゼロ）の単一ケーブル モデムの一般的な表示を示します。

            Router# show cable modem 00C0.6914.8601 verbose
 
MAC Address                         : 00C0.6914.8601
IP Address                          : 10.212.192.119
Prim Sid                            : 6231
QoS Profile Index                   : 2
Interface                           : C5/1/0/U3
Upstream Power                      : 0.00 dBmV (SNR = 30.19 dBmV)
Downstream Power                    : 0.00 dBmV (SNR = ----- dBmV)
Timing Offset                       : 1831
Initial Timing Offset               : 1831
Received Power                      : !-2.25
MAC Version                         : DOC1.0
Provisioned Mode                    : DOC1.0
Capabilities                        : {Frag=N, Concat=Y, PHS=N, Priv=BPI}
Sid/Said Limit                      : {Max Us Sids=0, Max Ds Saids=0}
Optional Filtering Support          : {802.1P=N, 802.1Q=N}
Transmit Equalizer Support          : {Taps/Symbol= 0, Num of Taps= 0}
Number of CPE IPs                   : 4(Max CPE IPs = 4)
CFG Max-CPE                         : 4
Flaps                               : 20638(Feb 10 16:04:10)
Errors                              : 0 CRCs, 0 HCSes
Stn Mtn Failures                    : 108 aborts, 161 exhausted
Total US Flows                      : 1(1 active)
Total DS Flows                      : 1(1 active)
Total US Data                       : 236222 packets, 146630868 bytes
Total US Throughput                 : 0 bits/sec, 0 packets/sec
Total DS Data                       : 9 packets, 1114 bytes
Total DS Throughput                 : 0 bits/sec, 0 packets/sec
Active Classifiers                  : 0 (Max = NO LIMIT)
Dynamic Secret                      : 00000000000000000000000000000000
Router#


            （注）  
            上記の [Dynamic Secret] フィールドはすべてゼロ（“00000000000000000000000000000000”）で、このケーブル モデムがオフラインであることを示します。

            また、次のコマンドを使用して、使用中の動的に生成された共有秘密をすべて表示することもできます。

            Router# show cable modem verbose | include Dynamic Secret
 
Dynamic Secret                      : 43433036434644344643303841313237
Dynamic Secret                      : 308203E0308202C8A003020102021058
Dynamic Secret                      : 0D06092A864886F70D01010505003081 
Dynamic Secret                      : 3037060355040A133044617461204F76 
Dynamic Secret                      : 20496E74657266616365205370656369 
Dynamic Secret                      : 00000000000000000000000000000000
Dynamic Secret                      : 040B130C4361626C65204D6F64656D73 
Dynamic Secret                      : 53204361626C65204D6F64656D20526F 
Dynamic Secret                      : 7574686F72697479301E170D30313032 
Dynamic Secret                      : 313233353935395A308197310B300906 
Dynamic Secret                      : 0A133044617461204F76657220436162 
Dynamic Secret                      : 66616365205370656369666963617469 
Dynamic Secret                      : 626C65204D6F64656D73313630340603 
Dynamic Secret                      : 65204D6F64656D20526F6F7420436572 
Dynamic Secret                      : 747930820122300D06092A864886F70D 
Dynamic Secret                      : 010100C0EF369D7BDAB0A938E6ED29C3 
Dynamic Secret                      : DA398BF619A11B3C0F64912D133CFFB6 
Dynamic Secret                      : FFAD6CE01590ABF5A1A0F50AC05221F2 
Dynamic Secret                      : 73504BCA8278D41CAD50D9849B56552D 
Dynamic Secret                      : 05F4655F2981E031EB76C90F9B3100D1 
Dynamic Secret                      : F4CB0BF4A13EA9512FDE4A2A219C27E9 
Dynamic Secret                      : D47BCBB5494E9936D51CB0EB66EF0B0A 
Dynamic Secret                      : 8EB196423170B26684BF6730C099D271 
Dynamic Secret                      : DF8FE30203010001A326302430120603 
Dynamic Secret                      : 300E0603551D0F0101FF040403020106 
Dynamic Secret                      : 820101002D1A264CE212A1BB6C1728B3 
Dynamic Secret                      : 7935B694DCA90BC624AC92A519C214B9 
Dynamic Secret                      : 3AB096D00D56ECD07D9B7AB662451CFF 
Dynamic Secret                      : 92E68CFD8783D58557E3994F23A8140F 
Dynamic Secret                      : 225A3B01DB67AF0C3637A765E1E7C329 
Dynamic Secret                      : 2BB1E6221B6D5596F3D6F506804C995E 
Dynamic Secret                      : 45494DC933F8F47A398F69EE6361B017 
Router#

            動的共有秘密を持つケーブル モデムのトラブルシューティング

            ケーブル モデムが動的共有秘密に違反しているとマーキングされた場合は、次のデバッグを有効にすると、発生中のイベントのシーケンスに関する詳細な情報を取得できます。

            • debug cable mac-address cm-mac-addr verbose：特定の MAC アドレスを持つケーブル モデムの詳細なデバッグを有効にします。
            • debug cable tlv：登録プロセス中に送信されるタイプ/長さ/値メッセージの内容が表示されます。
            • debug cable dynamic-secret：動的共有秘密の動作に関するデバッグ メッセージを表示します。
            • debug tftp server events：Cisco CMTS ルータのオンボード TFTP サーバで発生する主要なイベントのデバッグ メッセージを表示します。
            • debug tftp server packets：TFTP サーバがケーブル モデムにダウンロードする DOCSIS コンフィギュレーション ファイルのパケット ダンプを表示します。

            ヒント

            これらのデバッグ コマンドの詳細は、下記の URL にある『Cisco Broadband Cable Command Reference Guide』の「Cisco CMTS Debugging Commands」の章を参照してください。http:/​/​www.cisco.com/​en/​US/​docs/​ios/​cable/​command/​reference/​cbl_​book.html

            また、ルータのログ バッファ内のメッセージを確認すると有用な情報が得られます。これらのメッセージを表示するためにルータのロギング バッファの内容を表示するには、show logging コマンドを使用します。begin 出力修飾子を使用すると、特定の時間/分に出力を制限できます。たとえば、12:10 に記録されたメッセージだけを表示するには、次のコマンドを入力します。

            Router# show logging | begin 12:10

            （注）  
            begin 出力修飾子の適切な形式は、ロギング バッファで使用しているタイムスタンプによって異なります。

            動的共有秘密の設定例

            ここでは、動的共有秘密機能の一般的な設定を示します。


            （注）  
            これらの設定では、ケーブル インターフェイスで設定する共有秘密と二次的秘密も示します。この設定はオプションですが、ケーブル モデムの登録時のセキュリティを一層向上させるので、強く推奨します。

            マーク設定：例

            次に示す Cisco CMTS ルータのケーブル インターフェイス設定からの抜粋では、CMTS MIC チェックに失敗したケーブル モデムにもオンラインになることを許可するものの、showcablemodem の表示で感嘆符（!）マークが付くようにケーブル インターフェイスが設定されており、後でこの状態を調査できます。

            interface cable c5/1/0 
 cable dynamic-secret mark 
 ...

            ロックの設定例

            Cisco CMTS ルータのケーブル インターフェイスの設定からの抜粋では、CMTS MIC の確認に失敗したケーブル モデムがオンラインになることはできますが、アップストリームとダウンストリームのサービス フローを最大 10 kbps に制限する限定的な QoS 設定にロックできるようにケーブル インターフェイスを設定しています。ロックされたケーブル モデムは、24 時間を超えてオフラインになるか、clearcablemodemlock コマンドを使用して手動でモデムをクリアするまで、限定的な QoS 設定にロックされたままになります。

            cable qos permission create 
cable qos permission update 
...
interface cable c3/0 
 cable dynamic-secret lock 
 ...


            （注）  
            特定の QoS プロファイルを指定せずに lock オプションを使用する場合、cableqospermission コマンドを使用して、ケーブル モデムで QoS プロファイルを作成および更新できるようにする必要があります。これを実行せず、特定の QoS プロファイルを指定しないまま lock オプションを使用し続けると、ロックされたケーブル モデムは、ロックがクリアされるか期限が切れるまで登録できなくなります。

            次の同様の抜粋例では、ロックされたケーブル モデムに QoS プロファイル 90 を割り当てる必要があることを示しています。ケーブル モデムは、24 時間を超えてオフラインになるか、clearcablemodemlock コマンドを使って手動でモデムをクリアするまで、この QoS プロファイルにロックされたままになります。特定の QoS プロファイルが指定されているため、cableqospermission コマンドを使用する必要はありません。

            interface cable c3/0 
 cable dynamic-secret lock 90 
 ...


            （注）  
            ロックされたモデムをクリアすると、CMTS に再登録するように自動的にリセットされます。動的共有秘密の確認に合格した有効な DOCSIS 設定に登録すると、必要な QoS パラメータが設定された状態でオンラインになります。ただし、モデムが DOCSIS 仕様に再び違反すると、再度ロックされます。

            拒否の設定例

            次の抜粋は、Cisco CMTS でのケーブル インターフェイスの設定例で、CMTS MIC チェックに失敗したケーブル モデムを拒否し、登録を許可しないようケーブル インターフェイスを設定します。ケーブル モデムは、共有秘密または二次的な共有秘密のいずれかの値に一致する CMTS MIC を含む DOCSIS コンフィギュレーション ファイルを使用して登録する必要があります。CM がオンラインになると、CMTS はコンソールに警告メッセージを出力し、show cable modem コマンドでこのケーブル モデムに感嘆符（!）マークが付くので、この状況を調査できます。

            interface cable c3/0 
 cable dynamic-secret reject 
 ...

            無効の設定例

            次の抜粋は、Cisco uBR7100 シリーズ ルータのケーブル インターフェイスの設定例で、動的共有秘密機能を無効にしています。この設定では、各 DOCSIS コンフィギュレーション ファイルの CMTS MIC 値を確認する場合、CMTS は、未変更の共有秘密と二次的な共有秘密の値を使用します。

            interface cable c1/0 
 no cable dynamic-secret 
 ...

            その他の参考資料

            動的共有秘密に関連する詳細情報については、次の参考資料を参照してください。

            標準

            標準1

            タイトル

            SP-RFIv1.1-I09-020830

            『Data-over-Cable Service Interface Specifications Radio Frequency Interface Specification, version 1.1』
            1 サポートされている標準がすべて記載されているわけではありません。

            MIB

            MIB 2

            MIB のリンク

            動的共有秘密機能によってサポートされる新しい MIB オブジェクトまたは変更された MIB オブジェクトはありません。

            • CISCO-DOCS-EXT-MIB には、動的共有秘密機能を設定し、ケーブル モデムが共有秘密セキュリティ チェックに失敗した場合にトラップを生成する属性が含まれます。

            選択したプラットフォーム、Cisco IOS リリース、およびフィーチャ セットに関する MIB を探してダウンロードするには、次の URL にある Cisco MIB Locator を使用します。

            http:/​/​www.cisco.com/​go/​mibs
            2 サポートされている MIB がすべて記載されているわけではありません。

            RFC

            RFC3

            タイトル

            RFC 2233

            『DOCSIS OSSI Objects Support』

            RFC 2665

            『DOCSIS Ethernet MIB Objects Support』

            RFC 2669

            『Cable Device MIB』
            3 サポートされている RFC がすべて記載されているわけではありません。

            動的共有秘密に関する機能情報

            Cisco Feature Navigator を使用すると、プラットフォームおよびソフトウェア イメージのサポート情報を検索できます。Cisco Feature Navigator を使用すると、ソフトウェア イメージがサポートする特定のソフトウェア リリース、フィーチャ セット、またはプラットフォームを確認できます。Cisco Feature Navigator には、http:/​/​www.cisco.com/​go/​cfn からアクセスします。Cisco.com のアカウントは必要ありません。


            （注）  

            次の表は、特定のソフトウェア リリース トレインで各機能のサポートが導入されたときのソフトウェア リリースのみを示しています。その機能は、特に断りがない限り、それ以降の一連のソフトウェア リリースでもサポートされます。

            表 2 ダウンストリーム インターフェイスの設定に関する機能情報

            機能名

            リリース

            機能情報

            動的共有秘密

            Cisco IOS XE Everest 16.6.1

            この機能が Cisco cBR シリーズ コンバージド ブロードバンド ルータ上の Cisco IOS XE Everest 16.6.1 に統合されました。

            このドキュメントは役に立ちましたか?

            Feedbackフィードバック

            シスコに問い合わせ