CiscoスイッチへのアクセスをIPアドレスで制限する方法【SG300-10の設定手順】

セキュリティを強化するため、Cisco SG300-10スイッチへの管理アクセスをローカルサブネット内の特定の1つのIPアドレスのみに限定したいと考えました。数週間前に新しいスイッチの初期設定を行った際、LANやWLANに接続している誰もがデバイスのIPアドレスさえ知っていればログインページに到達できてしまう状況に不安を感じていました。

そこで500ページにも及ぶマニュアルを読み込み、許可したいIPアドレス以外をすべてブロックする方法を調べました。何度もテストを繰り返し、Ciscoフォーラムに投稿しながら試行錯誤した結果、ついにその方法を見つけることができました。この記事では、Ciscoスイッチにおける「アクセスプロファイル」と「プロファイルルール」の設定手順を詳しく解説します。

補足: ここで紹介する方法は、スイッチ上で有効化されている任意のサービスへのアクセス制限にも応用できます。例えば、SSH、HTTP、HTTPS、Telnetなど、特定のサービスだけをIPアドレスで制限したり、これらすべてをまとめて制限することも可能です。

管理アクセスプロファイルとルールの作成

まず、スイッチのWebインターフェースにログインし、セキュリティ(Security)メニューを展開して、Mgmt Access Method(管理アクセス方式)を開きます。続いてAccess Profiles(アクセスプロファイル)をクリックしてください。

最初に行うのは、新しいアクセスプロファイルの作成です。初期状態では「Console Only」というプロファイルしか表示されていないはずです。また、画面上部のActive Access Profile(アクティブアクセスプロファイル)の欄に「None」が選択されていることにも注目してください。プロファイルとルールを作成した後、ここで作成したプロファイル名を選択することで初めて有効化されます。

Add(追加)ボタンをクリックするとダイアログボックスが表示され、そこで新しいプロファイルに名前を付けるとともに、最初のルールを追加できます。

まず上部で新しいプロファイルに名前を付けます。それ以外のフィールドはすべて、新規プロファイルに追加される最初のルールに関する設定項目です。Rule Priority(ルール優先度)には1〜65535の値を指定します。Ciscoの仕様では、優先度の数値が最も小さいルールから順に適用され、一致しなければ次に小さい優先度のルールが評価されます。

今回の例では、このルールを最初に処理させたいため優先度に1を選択しました。このルールは、スイッチへのアクセスを許可したいIPアドレスを通すためのものです。Management Method(管理方式)では、特定のサービスを選ぶことも、すべてを対象とする選択肢を選ぶこともできます。今回はSSHとHTTPSしか有効化しておらず、両方のサービスを同じPCから管理しているため、「All」を選択しました。

なお、SSHとHTTPSだけを個別に保護したい場合は、2つの別々のルールを作成する必要があります。Action(アクション)には「Deny(拒否)」または「Permit(許可)」のいずれかのみ指定可能です。この例では許可用のルールなので「Permit」を選びます。次に、ルールをデバイス上の特定のインターフェースに適用するか、Allのままにしてすべてのポートに適用するかを選択します。

Applies to Source IP Address(送信元IPアドレス)の項目では「User Defined」を選択し、IPv6環境で作業している場合を除き「Version 4」を選びます。その後、アクセスを許可するIPアドレスを入力し、評価対象となるビットに対応したネットワークマスクを入力します。

例えば、私のIPアドレスが192.168.1.233の場合、IPアドレス全体を評価対象とする必要があるため、ネットワークマスクは255.255.255.255となります。もしサブネット全体にルールを適用したいのであれば、マスクを255.255.255.0にします。そうすれば192.168.1.xのアドレスを持つ全員が許可されます。もちろんそれは私の意図するところではありませんが、ネットワークマスクの使い方はこれで理解できるでしょう。注意点として、このネットワークマスクはネットワークのサブネットマスクとは異なります。ネットワークマスクは、ルール適用時にCiscoがどのビットを評価対象とするかを指定するものにすぎません。

Apply(適用)をクリックすれば、新しいアクセスプロファイルとルールが作成されます。左側のメニューからProfile Rules(プロファイルルール)をクリックすると、新しいルールが一覧の先頭に表示されているはずです。

次に、2つ目のルールを追加します。Profile Rule Tableの下にあるAddボタンをクリックしてください。

2つ目のルールは非常にシンプルです。まず、Access Profile Nameが先ほど作成したプロファイルと同じであることを確認します。次に、ルールの優先度を2に設定し、Actionで「Deny」を選択します。その他の項目はすべて「All」のままにしてください。これにより、すべてのIPアドレスがブロック対象になります。ただし、1つ目のルールが先に処理されるため、許可したIPアドレスは問題なく通過します。一度ルールが一致すると、以降のルールは無視されます。1つ目のルールに一致しなかったIPアドレスは、この2つ目のルールで一致し、ブロックされるという仕組みです。

最後に、新しいアクセスプロファイルを有効化します。Access Profiles画面に戻り、上部のドロップダウンリスト(Active Access Profile)から作成したプロファイルを選択してください。Applyをクリックすれば設定完了です。

重要な注意点として、現時点での設定はランニングコンフィグに保存されているだけです。Administration(管理)-File Management(ファイル管理)-Copy/Save Configurationから、ランニングコンフィグをスタートアップコンフィグにコピーして保存することを忘れないでください。

複数のIPアドレスからのアクセスを許可したい場合は、1つ目と同様のルールを追加し、それぞれ異なる優先度を割り当てるだけでOKです。その際、「Deny」ルールの優先度がすべての「Permit」ルールよりも低い数値にならないよう(=必ず最後に評価されるよう)調整してください。設定で困ったことがあれば、コメントでお気軽に質問してください。できる範囲でお手伝いします。