Cisco Catalyst Center セキュリティのベストプラクティスガイド

Catalyst Center 強化手順

Catalyst Center は、それ自体とモニターおよび管理対象のホスト/ネットワークデバイス用の多数のセキュリティ機能を提供します。セキュリティ機能は、明確に理解して、正しく設定してください。セキュリティに関する次の推奨事項に従ってください。

Catalyst Center は、プライベート内部ネットワーク内、およびインターネットなどの信頼できないネットワークに対して Catalyst Center を開いていないファイアウォールの背後に導入してください。
Catalyst Center のインターフェイスは個別の管理および企業ネットワークに接続してください。これにより、Catalyst Center を管理するために使用されるサービスと、ネットワークデバイスとの通信に使用されるサービスとが確実に分離されます。
3 ノードクラスタセットアップで Catalyst Center を展開する場合は、クラスタインターフェイスが分離されたネットワークに接続されていることを確認してください。
パッチのアナウンス後、セキュリティパッチを含む重要なアップグレードで Catalyst Center を早急にアップグレードしてください。『Cisco Catalyst Center Upgrade Guide』を参照してください。
HTTPS プロキシサーバーを使用する Catalyst Center によってアクセスされるリモート URL を制限してください。Catalyst Center は、インターネット経由でアクセスして、ソフトウェアアップデート、ライセンス、デバイスソフトウェアをダウンロードしたり、最新のマップ情報やユーザーフィードバックを提供したりするように設定されています。これらの目的でインターネット接続は必須です。ただし、HTTPS プロキシサーバーを介して安全な接続を提供します。詳細については、必要なインターネット URL と完全修飾ドメイン名へのインターネットアクセスの保護を参照してください。
ファイアウォールを使用して、Catalyst Center との間の入出力管理とエンタープライズネットワーク接続を制限します。既知の IP を許可し、未使用のポートへの接続をブロックすることでアクセスを制限します。詳細については、通信ポートを参照してください。
Catalyst Center の自己署名サーバー証明書を、内部認証局（CA）によって署名された証明書に置き換えてください。
可能な場合は、使用しているネットワーク環境で SFTP 互換モードを無効にします。このモードでは、レガシーネットワークデバイスが古い暗号スイートを使用して Catalyst Center に接続できます。詳細については、SFTP 互換モードの有効化または無効化を参照してください。
ブラウザベースのアプライアンス設定ウィザードを無効にします。このウィザードには、自己署名証明書が付属しています。詳細については、ブラウザベースのアプライアンス設定ウィザードを参照してください。
最小 TLS バージョンをアップグレードします。Catalyst Center では、TLSv1.1 および TLSv1.2 がデフォルトで有効になっています。ネットワーク環境の最小 TLS バージョンは 1.2 に設定することをお勧めします。詳細については、最小 TLS バージョンの変更と RC4-SHA の有効化（安全でない）を参照してください。

ユーザーロールの考慮事項

ユーザーには、特定の機能へのアクセスを定義するロールが割り当てられます。

Catalyst Center では、次のユーザーロールがサポートされます。詳細については、『Cisco Catalyst Center Administrator Guide』の「About User Roles」および「Create Local Users」[英語] を参照してください。

管理者（SUPER-ADMIN-ROLE）：このロールを持つユーザーは、Catalyst Center のすべての機能へのフルアクセスが可能です。管理者は、SUPER-ADMIN-ROLE を含むさまざまなロールを持つ他のユーザプロファイルを作成できます。このロールを持つユーザーの数は制限するようにしてください。
ネットワーク管理者（NETWORK-ADMIN-ROLE）：このロールを持つユーザは、Catalyst Center のすべてのネットワーク関連機能へのフルアクセスが可能です。ただし、バックアップと復元など、システム関連の機能へのアクセス権はありません。
オブザーバ（OBSERVER-ROLE）：このロールを持つユーザーは、Catalyst Center の機能への表示専用アクセスが可能です。オブザーバロールを持つユーザーは、Catalyst Center を設定または制御する機能やデバイスを管理する機能にはアクセスできません。

事前設定されたユーザーロールに加えて、Catalyst Center は、きめ細かなカスタムアクセスポリシーを使用したユーザーロールの作成もサポートします。こうしたユーザーロールでは、特定の Catalyst Center 機能およびサイトへのユーザーアクセスを許可または制限するカスタムロールを作成できます。詳細については、『Cisco Catalyst Center Administrator Guide』の「Configure site-based, role-based access control」を参照してください。

（注）

管理者は、重要な機能の設定を制御できます。そのため、管理者ロールを持つユーザーの数は制限することを強くお勧めします。

Catalyst Center では、Cisco Identity Services Engine（ISE）やその他の認証、許可、およびアカウンティング（AAA）サーバーをユーザー認証に使用できます。詳細については、『Cisco Catalyst Center Administrator Guide』の「Configure Authentication and Policy Servers」[英語] を参照してください。

Catalyst Center の展開の保護

Catalyst Center は、それ自体とモニターおよび管理対象のホスト/ネットワークデバイス用の多数のセキュリティ機能を提供します。図に示すように、Catalyst Center と Cisco ISE はローカルデータセンター（キャンパスのヘッド）またはリモートデータセンターのいずれかのファイアウォールの背後に配置します。

この図は、ローカルデータセンターまたはサービスブロックモデルと、MAN/WAN モデルを介したリモートデータセンターの 2 つの展開モデルを示しています。

Catalyst Center に GUI からアクセスし、ネットワークデバイスと対話できるようにするには、ファイアウォールで特定のポートを設定します。Catalyst Center はクラウドと統合し、実際の遅延要件に合わせて世界中に分散されます。

この図は、Catalyst Center に GUI からアクセスし、Catalyst Center がネットワークデバイスと対話できるようにするためのファイアウォール上の特定のポートを示しています。

通信ポート

表に、Catalyst Center が使用するポート、それらのポート上で通信するサービスの名前、およびポート使用における製品の目的を示します。「推奨処置」列は、ネットワークトラフィックを既知の IP アドレスまたは範囲に制限できるかどうか、Catalyst Center のポートやサービスとの間のネットワーク接続を Catalyst Center の機能に影響を与えることなくブロックできるかどうか、ポートを開いておく必要があるかどうかを示します。

（注）

インターネット宛トラフィックをルーティングするように設定されているアプライアンスインターフェイスは、すべての通信の送信元として機能します。

Catalyst Center の宛先ポートは一部重複しています。サブセクションに用途と関連するネットワークサービスを示してあります。ファイアウォールルールで送信元や宛先の IP アドレスまたは範囲を制限できるほか、Catalyst Center の展開で使用していないサービスについてはポートを開かないようにすることができます。

重要	3 ノードクラスタの場合は、各ノードの送信元エンタープライズ IP アドレスが許可されていることを確認します。

表 1. Catalyst Center で使用する通信ポート

Port

サービス名

目的

推奨処置

Catalyst Center の管理または設定

TCP 443

UI、REST、HTTPS

GUI、REST、HTTPS 管理ポート。

ポートを開いておく必要があります。

TCP 2222

Catalyst Center シェル

Catalyst Center シェルに接続します。

ポートを開いておく必要があります。既知の IP アドレスを送信元に制限します。

TCP 9004

Web UI インストール

GUI ベースのインストールページを提供します（Web ベースのオプションを使用して Catalyst Center をインストールする場合にのみ必要です）。

ノードのインストールが完了するまでポートを開いておく必要があります。

TCP 9005

Web UI インストール API サービス

Web ベースのインストール用の API を提供します（ブラウザクライアントによってポート 9004 から接続されます。外部エージェントはアクセスを必要としません）。

クラスタの形成が完了するまでポートを開いておく必要があります。

Cisco IMC の管理または設定

TCP 22

Catalyst Center シェル

Catalyst Center シェルに接続します。

ポートを開いておく必要があります。既知の IP アドレスを送信元として設定します。

UDP と TCP 53

DNS

DNS 名を IP アドレスに解決するために使用されます。

他のサービス（NTP DNS 名など）の IP アドレスの代わりに DNS 名を使用する場合は、ポートを開く必要があります。

UDP と TCP 389

LDAP

Cisco IMC ユーザー管理 LDAP。

LDAP を介した外部ユーザー認証が必要な場合はオプションです。

TCP 443

UI、REST、HTTPS

Web UI、REST、HTTPS 管理ポート。

ポートを開いておく必要があります。

UDP と TCP 636

LDAPS

SSL を介した LDAP による Cisco IMC ユーザー管理。

LDAPS を介した外部ユーザー認証が必要な場合はオプションです。

TCP 2068

HTTPS

リモート KVM コンソールのリダイレクトポート。

ノードのインストールが完了するまでポートを開いておく必要があります。

UDP 123

NTP

NTP サーバーと時刻を同期します。

ポートを開いておく必要があります。

UDP 161

SNMP ポーリング/設定

SNMP サーバーのポーリングと設定。

SNMP サーバーのポーリングおよび設定のオプションです。

UDP 162

SNMP トラップ

SNMP トラップを外部 SNMP サーバーに送信します。

SNMP サーバーコレクタのオプションです。

UDP 514

Syslog

外部サーバーの障害とログを表示します。

メッセージログを外部サーバーに送信する場合のオプションです。

Catalyst Center からデバイスおよび他のシステムへのアウトバウンド

—

ICMP

Catalyst Center では、ネットワークデバイスの検出やネットワーク接続の問題のトラブルシューティングに ICMP メッセージを使用します。

ICMP を有効にします。

TCP 22

SSH

Catalyst Center では、次の目的でネットワークデバイスに接続する際に SSH を使用します。

検出用にデバイス設定を読み取る。
設定を変更する。

Catalyst Center と管理対象ネットワークの間で SSH を開いておく必要があります。

TCP 23

Telnet

Telnet は使用しないことを強く推奨します。

Telnet は推奨されませんが、Catalyst Center では検出用のデバイス設定の読み取りや設定の変更に Telnet を使用できることに注意してください。

Telnet はデバイス管理に使用できますが、SSH のようなセキュリティメカニズムがないため推奨されません。

TCP 49

TACACS+

Cisco ISE などの TACACS+ サーバーを使用した外部認証を使用している場合のみ必要です。

TACACS+ サーバーを使用した外部認証を使用している場合のみ、ポートを開いておく必要があります。

TCP 80

HTTP

Catalyst Center は、トラストプールの更新に HTTP を使用します。

シスコのサポートするトラストプールにアクセスするには、アプライアンスから次の URL に対する発信トラフィックを許可するようにネットワークを設定します。

http://www.cisco.com/security/pki/

TCP 80

OCSP/CRL

Catalyst Center は、OCSP/CRL を使用した SSL/TLS 証明書の失効ステータスを確認します。

上記の URL は、直接でも Catalyst Center で構成されているプロキシサーバー経由でも到達できるようにする必要があります。そうしないと、 Catalyst Center が cisco.com に接続したときに証明書失効チェックがスキップされます。

http://validation.identrust.com

http://commercial.ocsp.identrust.com

UDP 53

DNS

Catalyst Center では、ホスト名の解決に DNS を使用します。

DNS によるホスト名の解決用にポートを開いておく必要があります。

UDP 123

NTP

Catalyst Center では、指定したソースとの時刻の同期に NTP を使用します。

時刻の同期用にポートを開いておく必要があります。

UDP 161

SNMP

Catalyst Center では、ネットワークデバイスの検出、デバイスタイプを含むデバイスインベントリの詳細の読み取り、CPU や RAM などのテレメトリデータの収集に SNMP を使用します。

ネットワークデバイスの管理と検出用にポートを開いておく必要があります。

TCP 443

HTTPS

Catalyst Center は HTTPS をクラウド接続型のアップグレードに使用します。

クラウド接続、テレメトリ、およびソフトウェアアップグレード用にポートを開いておく必要があります。

Cisco ISE 用のポートも開いておく必要があります。

TCP 830

NETCONF

Catalyst Center では、デバイスのインベントリ、検出、および設定に NETCONF を使用します。

NETCONF をサポートするネットワークデバイスの管理と検出用にポートを開いておく必要があります。

UDP 1645、1812

RADIUS

RADIUS サーバーを使用した外部認証を使用する場合のみ必要です。

Catalyst Center へのユーザーログインの認証に外部 RADIUS サーバーを使用している場合のみ、ポートを開いておく必要があります。

TCP 5222、8910

Cisco ISE

Catalyst Center は Cisco ISE XMP（PxGrid 用）を使用します。

Cisco ISE 用にポートを開いておく必要があります。

TCP 9060

Cisco ISE

Catalyst Center は Cisco ISE ERS API トラフィックを使用します。

Cisco ISE 用にポートを開いておく必要があります。

デバイスから Catalyst Center

—

ICMP

デバイスは ICMP メッセージを使用してネットワーク接続の問題を通知します。

ICMP を有効にします。

TCP 22、80、443

HTTPS、SFTP、HTTP

Catalyst Center からのソフトウェアイメージのダウンロードに HTTPS 443、SFTP 22、HTTP 80 を使用します。

Catalyst Center からの証明書のダウンロードに HTTPS 443、HTTP 80（Cisco 9800 ワイヤレスコントローラ、PnP）、センサー/テレメトリを使用します。

Catalyst Center からの JWT（認証トークン）の取得に HTTPS:443（Cisco Catalyst Assurance インテリジェントキャプチャ機能を使用する任意のアクセスポイント）を使用します。

（注）

ポート 80 については、プラグアンドプレイ（PnP）、ソフトウェアイメージ管理（SWIM）、組み込みイベント管理（EEM）、デバイス登録、Cisco 9800 ワイヤレスコントローラを使用しない場合はブロックしてください。

これらのポートでアクセス権限が付与されたホストまたはネットワークデバイスの送信元 IP がファイアウォールルールで制限されていることを確認してください。

UDP 67

BOOTP

ネットワークデバイスと Catalyst Center 間の通信を開始するために使用します。

ポートを開いておく必要があります。

111

NFS

Assurance のバックアップに使用します。

ポートを開いておく必要があります。

UDP 123

NTP

デバイスは時刻の同期に NTP を使用します。

デバイスが時刻を同期できるようにポートを開いておく必要があります。

UDP 162

SNMP

Catalyst Center はデバイスから SNMP ネットワークテレメトリを受信します。

SNMP に基づくデータ分析用にポートを開いておく必要があります。

UDP 514

Syslog

Catalyst Center はデバイスから syslog メッセージを受信します。

syslog に基づくデータ分析用にポートを開いておく必要があります。

2049

NFS

Assurance のバックアップに使用します。

ポートを開いておく必要があります。

UDP 6007

NetFlow

Catalyst Center はデバイスから NetFlow ネットワークテレメトリを受信します。

NetFlow に基づくデータ分析用にポートを開いておく必要があります。

TCP 9991

Wide Area Bonjour サービス

Catalyst Center は、Bonjour 制御プロトコルを使用して、サービス検出ゲートウェイ（SDG）エージェントからマルチキャストドメインネームシステム（mDNS）トラフィックを受信します。

Bonjour アプリケーションがインストールされている場合、Catalyst Center でポートを開いておく必要があります。

20048

NFS

Assurance のバックアップに使用します。

ポートを開いておく必要があります。

UDP 21730

アプリケーション可視性サービス

アプリケーション可視性サービスの CBAR デバイス通信。

ネットワークデバイスで CBAR が有効になっている場合、ポートを開いておく必要があります。

TCP 25103

ストリーミングテレメトリが有効になっている Cisco 9800 ワイヤレスコントローラおよび Cisco Catalyst 9000 スイッチ

テレメトリに使用されます。

Catalyst Center と Catalyst 9000 デバイス間のテレメトリ接続用にポートが開いている必要があります。

TCP 32626

インテリジェントキャプチャ（gRPC）コレクタ

Cisco Catalyst Assurance インテリジェントキャプチャ機能に関連する AP/クライアント統計情報およびパケットキャプチャデータの受信用の gRPC チャネルを確立するために使用します。

Cisco Catalyst Assurance インテリジェントキャプチャ（gRPC）機能を使用する場合、ポートを開いておく必要があります。

TCP および UDP 32767

NFS

Assurance のバックアップに使用します。

ポートを開いておく必要があります。

HTTP ポート 80 例外リスト

表 2. HTTP ポート 80 例外リスト
エリア	HTTP ポート 80 が必要な理由	該当する Catalyst Center/デバイスバージョン	E2E 暗号化がない場合でもセキュリティを実現する方法
SCEP	RFC 8894 - Simple Certificate Enrollment Protocol	すべての Catalyst Center およびデバイスバージョン。	SCEP は、共有秘密と PKCS12 により暗号化された CSR/証明書交換を使用します。
プラグアンドプレイ	PnP Hello は HTTP 経由で実行されますが、デバイスが ios.p7b をダウンロードすると HTTPS に切り替わります。デバイスは、ios.7b トラストバンドルにトラストを固定することで、Catalyst Center との HTTPS を確立します。	すべての Catalyst Center およびデバイスバージョン。	Ios.p7b は、Cisco Manufacturing CA によって署名された暗号化ハッシュで保護されています。
テレメトリ証明書のダウンロード	証明書は HTTP を使用してダウンロードされます。	すべての Catalyst Center およびデバイスバージョン。	ダウンロードされた証明書は PKCS12 で暗号化されます。
SWIM	リモートサーバー（HTTP）から Catalyst Center イメージリポジトリにイメージをインポートすることができます。	すべての Catalyst Center バージョン。	HTTP を介してインポートされたイメージは、ファイルのハッシュをチェックすることによって完全性が検証されます。

Catalyst Center のディザスタリカバリの有効化

Catalyst Center は、Catalyst Center クラスタの損失（またはデータセンターの損失）から回復し、運用の継続性を維持するメカニズムを備えています。ディザスタリカバリアプリケーションは、メイン Catalyst Center クラスタの重要なデータをセカンダリスタンバイクラスタに複製することによって回復を促進します。

セキュリティに関する推奨事項：Catalyst Center クラスタの損失（またはデータセンターの損失）から回復し、運用の継続性を維持するために、Catalyst Center のディザスタリカバリサービスを有効にすることを推奨します。

Catalyst Center リカバリクラスタには、メイン Catalyst Center クラスタから複製されたすべての重要なデータ（MongoDB、Postgresql、クレデンシャルと証明書、ファイルサービスなど）が含まれており、メイン Catalyst Center クラスタが失われた場合に制御します。詳細については、『Cisco Catalyst Center Administrator Guide』の「Set Up Disaster Recovery」を参照してください。

（注）

ディザスタリカバリでは、メインシステム、リカバリシステム、および監視システム間のネットワークトラフィックを保護するために IPsec トンネリングを使用します。ディザスタリカバリシステム間の IPsec トンネリングを設定するための認証は、OpenSSL 証明書を使用した証明書ベースの方法を通じて行われます。

IPsec トンネリングでは、IPsec プロトコルのキー交換フェーズに安全で堅牢な IKE2 プロトコルを使用します。

ディザスタリカバリには別の証明書（HTTPS 接続用の Catalyst Center システム証明書とは別の証明書）を使用します。詳細については、『Cisco Catalyst Center Administrator Guide』の「Add the Disaster Recovery Certificate」[英語] を参照してください。

ディザスタリカバリ証明書の要件のチェック

ディザスタリカバリを使用する場合は、ディザスタリカバリシステムがクラスタ内通信に使用する証明書をインポートします。この方法については、『Cisco Catalyst Center Administrator Guide』の「Add the Disaster Recovery Certificate」のトピックを参照してください。

（注）

メインサイトとリカバリサイトの両方で使用される、エンタープライズポートの仮想 IP アドレスと完全修飾ドメイン名（FQDN）などのすべての IP アドレスがこの証明書に含まれていることを確認してください。また、証明書の [keyUsage] パラメータに [digitalSignature] が指定されていることを確認します。
サードパーティ証明書の生成方法については、「OpenSSL を使用した証明書要求の生成」を参照してください。

ディザスタリカバリに FQDN のみの証明書を使用しているかどうかに基づいて、次のタスクのいずれかを選択します。

FQDN のみの証明書を使用している場合：メインクラスタとリカバリクラスタの両方、およびディザスタリカバリの VIP で同じ cluster_hostname（つまり、Catalyst Center 設定ウィザードで設定した Catalyst Center の FQDN）を使用します。証明書のサブジェクト代替名（alt_names セクション）は、次の例のようになります。
```
[alt_names]
DNS.1 = FQDN-of-Catalyst-Center
```
FQDN のみの証明書を使用していない場合：メインクラスタとリカバリクラスタの両方で、異なる cluster_hostnames（つまり、Catalyst Center 設定ウィザードで設定した企業ネットワーク内の Catalyst Center の FQDN）を使用します。証明書のサブジェクト代替名（alt_names セクション）は、次の例のようになります。
```
[alt_names]
DNS.1 = FQDN-of-Catalyst-Center-Main
DNS.2 = FQDN-of-Catalyst-Center-Recovery
```

（注）

PnP を使用する場合は、PnP 証明書の要件のチェックを参照してください。

ディザスタリカバリポート

実稼働環境でディザスタリカバリを使用している場合は、ディザスタリカバリの設定を保護するファイアウォールとセキュリティポリシーを使用します。表に示されているポートを開き、ネットワークのデータセンター全体でディザスタリカバリを設定するために必要なアクセス権が Catalyst Center にあることを確認します。

重要	3 ノードクラスタの場合は、各ノードの送信元エンタープライズ IP アドレスが許可されていることを確認します。ネットワークのファイアウォールで ICMP を有効にします。Catalyst Center は、ディザスタリカバリシステムのメインサイト、リカバリサイト、および監視サイト間の接続を追跡するために ICMP ping を定期的に送信します。

表 3. Catalyst Center ディザスタリカバリポート

ソースポート

送信元

宛先ポート

接続先

説明

任意