管理フレーム保護について
デフォルトでは、802.11 管理フレームは認証されないため、スプーフィングから保護されません。インフラストラクチャ管理フレーム保護（MFP）および 802.11w の保護された管理フレーム（PMF）は、このような攻撃に対する保護を提供します。
インフラストラクチャ MFP
インフラストラクチャ MFP は、DoS 攻撃を引き起こしたり、ネットワーク上で過剰なアソシエーションやプローブを生じさせたり、不正な AP として介入したり、QoS と無線測定フレームへの攻撃によりネットワークパフォーマンスを低下させたりする敵対者を検出することにより、管理フレームを保護します。インフラストラクチャ MFP は、フィッシング インシデントを検出および報告するための迅速かつ効果的な手段を提供するグローバル設定です。
インフラストラクチャ MFP は特に、（クライアントによって送信されたのではなく）AP によって送信され、次にネットワーク内の他の AP によって検証される管理フレームにメッセージ整合性チェック情報要素（MIC IE）を追加することによって、802.11 セッション管理機能を保護します。インフラストラクチャ MFP はパッシブで、侵入を検知し報告しますが、それを止めることはできません。
インフラストラクチャ MFP は次の 3 つの主要なコンポーネントで構成されます。
-
管理フレーム保護：AP は、各フレームに MIC IE を追加することで、送信される管理フレームを保護します。フレームのコピー、変更、再送が試みられた場合、MIC は無効となり、MFP フレームを検出するよう設定された受信 AP は不具合を報告します。MFP は、Cisco Aironet Lightweight AP での使用がサポートされています。
-
管理フレーム検証：インフラストラクチャ MFP では、AP によって、ネットワーク内の他の AP から受信する各管理フレームが検証されます。MIC IE が存在しており（送信側が MFP フレームを送信するよう設定されている場合）、管理フレームの中身に一致していることを確認します。MFP フレームを送信するよう設定されている AP に属する BSSID からの正当な MIC IE が含まれていないフレームを受信した場合、不具合をネットワーク管理システムに報告します。タイムスタンプが適切に機能するように、すべてのコントローラでネットワーク タイム プロトコル（NTP）が同期されている必要があります。
-
イベント報告：AP で異常が検出されるとコントローラに通知されます。コントローラでは、受信した異常イベントが集計され、その結果が SNMP トラップを使用してネットワーク管理システムに報告されます。
インフラストラクチャ MFP はデフォルトで無効になっていて、グローバルに有効にできます。以前のソフトウェアリリースからアップグレードする場合、AP 認証を有効にしていると、インフラストラクチャ MFP はグローバルに無効になります。これら 2 つの機能は相互に排他的であるためです。インフラストラクチャ MFP をグローバルに有効にすると、選択した WLAN に対して署名の生成（送信フレームへの MIC の追加）を無効にでき、選択した AP に対して検証を無効にできます。
 （注） |
CCXv5 クライアント MFP はサポートされなくなりました。クライアント MFP は、WPA2 に対して設定された WLAN 上でデフォルトでオプションとして有効にされています。ただし、クライアント MFP は Wave 2 AP または 802.11ax Wi-Fi6 AP ではサポートされておらず、CCXv5 をサポートしているクライアントはありません。 |
サポートされるアクセスポイントモデル
Cisco MFP は、次の AP モデルでサポートされています。
-
Cisco Aironet 2802、3802、および 4802 シリーズ アクセスポイント
-
Cisco Aironet 2800、3800、4800、1560 シリーズ アクセスポイント
サポートされないアクセスポイントモデル
Cisco MFP は、次の AP モデルではサポートされていません。
-
Cisco Aironet 1800 シリーズ アクセスポイント
-
Cisco 802.11ax アクセスポイント
-
すべての Cisco IOS アクセスポイント
フィードバック