MACアドレスの「聖域」：静的エントリとセキュアMACで構築するL2の鉄壁
ネットワークエンジニアにとって、スイッチのMACアドレステーブルは単なる「ポートとMACの対応表」ではない。それは、そのスイッチが観測した「物理世界との唯一の接点」である。
多くの現場では、show mac address-table で流れる動的な学習エントリを眺めて満足しがちだ。しかし、ミッションクリティカルな環境や、ゼロトラストの思想がL2まで染み渡る現場では、このテーブルを「制御」することがセキュリティの第一歩となる。今回は、あえて動的学習を捨て、あるいは制限することで、ネットワークの堅牢性を極限まで高めるアプローチについて深く掘り下げていこう。
—
1. 静的MAC（Static MAC）：絶対的な正解を書き込む
スタティックMACアドレスエントリとは、管理者が能動的に「このポートには、このMACを持つデバイスしか存在しない」とスイッチに教え込む行為だ。
なぜ今さら静的登録なのか？
現代のネットワークでは「MACアドレスは偽装可能（MAC Spoofing）」というのが定説だ。しかし、特定の産業用制御ネットワークや、極めて強固な境界防御が必要なセグメントにおいては、動的学習によるMACテーブルの書き換えを防ぐことが重要な防御壁となる。
静的エントリを登録すると、スイッチのASIC（Application Specific Integrated Circuit）は、そのMAC宛のパケットを受信した際、MACアドレステーブルの検索をバイパス、あるいは優先的に処理する。これにより、CPU負荷の低減と、予期せぬデバイスによるARPスプーフィングの阻止を同時に達成できる。
# Cisco Catalyst環境での設定例
# 特定のポートにMACを固定し、他のMACを一切受け付けない設定
interface GigabitEthernet0/1
switchport mode access
switchport port-security
# 最大学習数を1に制限し、特定のMACのみを許可する
switchport port-security maximum 1
switchport port-security mac-address 00aa.bbcc.dd11
# 違反時は即座にポートをシャットダウンして封じ込める
switchport port-security violation shutdown—
2. セキュアMACの真髄：動的学習と永続化の狭間で
sticky（スティッキー）MACアドレスという機能は、一見すると「利便性のための自動化」に見える。しかし、本質は「初回学習時のMACを不揮発性メモリ（NVRAM）に書き込み、再起動後も構成を維持する」というセキュリティの自動化だ。
運用上の隠れた落とし穴
この設定の恐ろしいところは、設定変更時のスイッチの挙動にある。switchport port-security mac-address sticky を有効にした状態で、デバイスを交換するとどうなるか？
ポートは即座に err-disable 状態へ遷移する。これはインフラエンジニアとしては「事故」だが、セキュリティ的には「正常な挙動」だ。もし、あなたが24時間365日の稼働が求められるシステムを担当しているなら、この「勝手に止まる」挙動を許容するための運用フロー（自動的なポート復旧 errdisable recovery の併用など）を設計しなければならない。
# 障害からの自動復旧ポリシーの設定
# ポートセキュリティによるシャットダウンから300秒後に自動復旧を試みる
errdisable recovery cause psecure-violation
errdisable recovery interval 300—
3. パフォーマンスとセキュリティの最適化：L2の先を見据えて
L2レベルでの防御を強固にした先には、パケットの転送効率と、その上で動作するトランスポート層の最適化が待っている。
ネットワークスタックのチューニングとRTT削減
MACアドレス制限を厳格化すると、スイッチの処理負荷は微減するが、それ以上に重要なのは「不正なパケットを早期にドロップする（Early Drop）」ことによる帯域の無駄遣い防止だ。
特に、TCPのハンドシェイクにおいて、L2で不正なノードを遮断できれば、SYNパケットに対するSYN-ACKの無駄な送出を防げる。これは、サーバ側のTCPバックログを保護することに直結する。
- TCPバッファチューニング:
現代の高帯域・高遅延環境では、sysctlによるnet.ipv4.tcp_rmemやnet.ipv4.tcp_wmemの調整が必須だが、L2のポートセキュリティが不安定だと、再送制御（Retransmission）が頻発し、バッファが常に埋まった状態になる。まずは物理層に近いMACアドレスレベルで「正しい通信だけが流れる」環境を作ることこそが、究極のTCPパフォーマンスチューニングの前提条件となる。
- ヘッダー圧縮とセキュリティ:
TLS 1.3によるハンドシェイクの高速化（0-RTT）を最大限に活かすためには、ネットワークのジッター（揺らぎ）を最小限にする必要がある。MACアドレスの固定化は、スイッチングテーブルの更新に伴うフラッディング（Unknown Unicast Flooding）を物理的に排除するため、結果として通信の安定性が向上する。
—
最後に：ネットワークは「生き物」である
スタティックMACやセキュアMACの設定は、一見すると保守的な「縛り」に思えるかもしれない。しかし、複雑なトラフィックが飛び交う現代のデータセンターにおいて、どこに、誰が、何のために存在しているのかを「動的」に委ねることは、運任せの運用に近い。
君たちが構築するそのスイッチの背後には、必ず人間が使うデバイスや、無言でデータを運ぶサーバーが存在する。その一つひとつの「点」をMACアドレスレベルで管理し、鉄壁のガードを固めること。それこそが、プロトコルの深淵を知るエンジニアに課せられた矜持である。
さあ、次はARPテーブルの静的登録とDHCP Snoopingを組み合わせて、さらに内側から固めていくとしようか。ネットワークの旅に、終わりはない。
コメント