境界線を守る最後の砦：ポートセキュリティの「バイオレーション」が真に意味するもの
ネットワークの最前線、L2スイッチのポートという名の「境界線」。ここを通過するフレームが許可されたMACアドレスのものか否かを判断するport-securityは、一見すると古臭い機能に見えるかもしれません。しかし、クラウドネイティブな環境やエッジコンピューティングにおいて、物理層からL2を掌握されることは、すべてのセキュリティレイヤーの崩壊を意味します。
今日は、ポートセキュリティにおけるviolation-modeの挙動を、パケットレベルの観点から深掘りします。なぜ「ただ遮断するだけ」ではないのか、その差異がシステムの可用性にどう直結するのかを、インフラアーキテクトの視点で紐解いていきましょう。
1. 3つのバイオレーションモード：パケットの「行方」を追う
ポートセキュリティが最大MACアドレス数を超過したとき、スイッチのASIC内部では一体何が起きているのでしょうか。
Protect：記録なきサイレント・ドロップ
violation protectは、最も「静かな」モードです。不正な送信元MACアドレスを持つフレームは、ASICのスイッチングテーブル（CAMテーブル）でマッチングに失敗し、即座に破棄されます。重要なのは、SNMPトラップもログ出力も発生しないという点です。
- 用途: 監視ツールが充実しており、ポートの統計情報（
show interfaceのドロップカウンタ）を常時監視している環境。
Restrict：可視化された防御
violation restrictは、パケットをドロップしつつ、SNMPトラップを飛ばし、ログを記録します。さらに、不正フレームの数だけカウンタをインクリメントします。
- 挙動:
Security Violation Counterが加算され、管理者は「誰かが境界を越えようとした」ことをリアルタイムで把握できます。攻撃の兆候検知には最適ですが、ログがあまりに頻繁に出力されると、CPUリソースの浪費や、SIEM側のイベント過多を招くリスクを考慮する必要があります。
Shutdown：物理層の切断（err-disable）
最も強力な防御がこれです。違反を検知した瞬間、ポートはerr-disable状態へ遷移し、リンク自体がダウンします。
- 挙動: 物理的なデータ転送を完全に停止させるため、L3以降のプロトコルスタック（TCPの3ウェイハンドシェイクやTLSのネゴシエーション）は即座に終了します。復旧には管理者の介入（
shutdown->no shutdown）またはerrdisable recoveryの設定が必要です。
2. パフォーマンスとセキュリティの最適化
ポートセキュリティを導入する際、単に「止める」だけでなく、上位層への影響を最小限に抑える設計が求められます。
TCPバッファとRTTへの影響
もしポートセキュリティが中途半端な遅延（例えば、処理が重いフィルタリングによる微小なRTT増加）を発生させると、TCPの輻輳制御アルゴリズムが「パケットロス」と誤認し、cwnd（輻輳ウィンドウサイズ）を縮小させます。高トラフィック環境では、セキュリティ機能自体がボトルネックにならないよう、ASIC処理能力を考慮した設計が必要です。
構成例：現場で使うべき設定の作法
以下の構成例は、不正なアクセスに対してログを残しつつ、特定のトラフィックを保護するための推奨設定です。
! ポートセキュリティを有効化
interface GigabitEthernet0/1
switchport port-security
! 最大MACアドレス数を制限
switchport port-security maximum 2
! 違反時の挙動をRestrictに設定
switchport port-security violation restrict
! 不正なフレームをログに記録するよう設定
switchport port-security aging time 2
switchport port-security aging type inactivity3. なぜ「Shutdown」をデフォルトにすべきなのか
インフラアーキテクトとして提言したいのは、「セキュリティは防御よりも可視化と即時の隔離が重要である」という点です。
Restrictは確かに便利ですが、大量のMACアドレスを偽装するL2フラッディング攻撃（CAMテーブル溢れを狙う攻撃）を受けた場合、スイッチのCPUをログ処理で枯渇させることが可能です。一方、ShutdownはASICレベルで物理的にポートを切り離すため、CPUの負荷を最小限に抑えつつ、攻撃の影響範囲をそのポートのみに限定できます。
脆弱性回避のためのヒント
- パケット解析:
wireshark等でパケットのEtherTypeやOUIを分析し、許可されていないデバイスが接続された瞬間に検知できるパイプラインを構築しておくこと。 - TLSハンドシェイクの保護: L2が突破されると、中間者攻撃（MITM）によるTLSのセッションハイジャックが容易になります。ポートセキュリティは、TLSの証明書検証以前の「物理的な身元確認」として、絶対的な信頼の基盤となるのです。
結論：プロトコルの深淵へ
ポートセキュリティは、決して枯れた古い技術ではありません。ネットワークの末端で「誰が通信を許されているのか」を制御し続ける、極めて現代的なセキュリティ対策です。
パケットがNICを離れ、ケーブルを通り、スイッチのASICに到達するわずかマイクロ秒の間。その瞬間にポートセキュリティが下す判断は、あなたのインフラを守る最後の防波堤です。設定値を一つ決める際も、それがTCPのハンドシェイクにどう影響するか、ログの出力が監視基盤にどう負荷をかけるか――そんな細部への拘りこそが、真のインフラアーキテクトを形作ると私は信じています。
次は、このポートセキュリティと802.1Xを組み合わせた、より動的な認証メカニズムについて深掘りしていきましょう。ネットワークの深淵は、まだまだ続いています。
コメント