ネットワークの「門番」を極める：スタティックMACとポートセキュリティの深層
ネットワークエンジニアとして現場を渡り歩いていると、しばしば「なぜこのポートは突然ダウンするのか？」という悲鳴に近い問い合わせを受けることがある。その原因の多くは、実はL2レイヤーの入り口、つまり「MACアドレスの学習と制御」という極めて原始的かつ重要な仕組みへの理解不足にある。
今日は、スイッチの「MACアドレステーブル」という小さな宇宙を支配する、スタティックMAC登録とポートセキュリティについて、現場の泥臭い知見を交えて解説しよう。
—
MACアドレステーブルの「静」と「動」
スイッチは、フレームがどのポートから入ってきたかを見て、送信元MACアドレスを学習する。これが動的（ダイナミック）なMAC学習だ。しかし、ミッションクリティカルなサーバーや、絶対に経路を誤ってはいけない特殊な筐体をつなぐ際、我々は「スタティック（静的）MACアドレス」を登録する。
スタティックMACがもたらす安心感
mac-address-table static で登録されたエントリは、スイッチのCAMテーブル上で永続的な地位を得る。これは単なる固定化ではない。意図しないポートへのフレーム転送（フラッディング）を防ぎ、MACスプーフィング攻撃に対する物理的な防壁としても機能する。
# Cisco Catalyst環境でのスタティックMAC登録例
# 特定のMACアドレスを物理ポートに固定し、VLANを強制する
Switch(config)# mac address-table static 0050.56aa.bbcc vlan 10 interface GigabitEthernet 1/0/1この設定を行うと、スイッチは「このMAC宛の通信は必ずこのポートに出す」と誓う。学習プロセスをスキップするため、コンバージェンス（収束）の安定性が向上するメリットもある。
—
ポートセキュリティ：現場の「最強の門番」
次に、開発者がWeb APIの疎通確認で頭を抱える原因になりがちな「ポートセキュリティ」だ。これは、ポートに接続できるデバイスの数やMACアドレスを厳密に制限する機能である。
なぜポートセキュリティが必要か？
オフィスのフロアスイッチで「PCを外して、勝手にルーターを持ち込んでNAT配下にサブネットを作られたら？」という悪夢を想像してほしい。ポートセキュリティを使えば、許可されていないMACアドレスが接続された瞬間、ポートを即座にシャットダウン（shutdown）できる。
ポートセキュリティの動作モード
ここを誤解すると、現場で大事故になる。
- Protect: 許可外のMACからの通信を破棄する。通知は出ない。
- Restrict: 許可外のMACからの通信を破棄し、SNMPトラップを飛ばす。
- Shutdown: ポートをエラーディセーブル（
err-disable）にする。これこそが、開発者がよく踏む「謎の通信断」の正体だ。
# ポートセキュリティの設定例
Switch(config-if)# switchport port-security
Switch(config-if)# switchport port-security maximum 2
Switch(config-if)# switchport port-security violation shutdown
Switch(config-if)# switchport port-security mac-address sticky
# 'sticky'は、最初に学習したMACを自動的に設定ファイルに書き込む魔法のコマンドだ—
運用中に遭遇する「泥臭い」トラブルシューティング
もしあなたがAPIを叩いていて、突然 Connection Timeout が発生し、pingも通らなくなったとする。物理レイヤーが正常なら、スイッチのログを疑え。
トラブルシューティングの手順
現場では、以下のコマンドで「犯人」を特定する。
1. ポートのステータスを確認する
# ポートが err-disable になっていないか確認
show interfaces status | include err-disabled2. MAC違反の履歴を調べる
# ポートセキュリティの違反状況を詳細に確認
show port-security interface GigabitEthernet 1/0/1もしポートが err-disable になっていたら、原因を取り除いた上で、shutdown → no shutdown を実行してポートを再起動する必要がある。
—
開発現場へのアドバイス：自動化の落とし穴
最近はAnsibleやNetmikoを使ってスイッチ設定を自動化するケースが増えているが、port-security を自動化する際は注意が必要だ。
sticky でMACを学習させる運用の場合、ハードウェア交換が発生すると、以前のMACが設定に残ったままになり、新しい機器が繋がらないという「負のレガシー」が生まれる。APIでスイッチ設定を管理するなら、MACアドレスのリストをデータベース化し、RESTCONF 等を用いて、機器交換時にMAC設定を動的に更新する仕組みを作ることが、真の「インフラ・アズ・コード」への道だ。
# Python (Netmiko) を使ったポートセキュリティ設定の自動削除例
from netmiko import ConnectHandler
device = {'device_type': 'cisco_ios', 'host': '192.168.1.1', 'username': 'admin', 'password': 'password'}
with ConnectHandler(**device) as net_connect:
# 違反状態のポートをリセットするためのコマンド
commands = ['interface Gi1/0/1', 'no switchport port-security', 'switchport port-security']
output = net_connect.send_config_set(commands)
print("ポートセキュリティをリセットしました。")—
まとめ：プロトコルは嘘をつかない
L2の世界は、時に冷徹だ。設定したルールに1ビットでも違反すれば、容赦なく通信は遮断される。しかし、それはネットワークが「正しく守られている」証拠でもある。
スタティックMACとポートセキュリティは、現代の複雑なネットワークにおいても「信頼の基点」として機能する。パケットがどこを通り、誰がその門をくぐろうとしているのか。その視点を常に持ち続けることが、トラブルを未然に防ぐ唯一の近道だ。
さあ、次は君のスイッチで、この「門番」たちを正しく設定してみてほしい。ログが何も語らない静寂こそ、最高のエンジニアリングの結果なのだから。
コメント