新しいCiscoスイッチを接続した後に行うべき5つの初期設定

数ヶ月前にCisco SG300の10ポートギガビットイーサネット管理型スイッチを購入しましたが、自宅の小規模ネットワークにとって最高の投資の一つとなりました。Ciscoスイッチには豊富な機能とオプションが搭載されており、ネットワークをきめ細かく制御できます。特にセキュリティ面では、他社製品よりも際立った存在です。

しかしその一方で、箱から出したばかりのCiscoスイッチがいかに無防備であるかは興味深い点です。電源を入れると、DHCPサーバーからIPアドレスを取得するか、自分自身にIPアドレス(通常は192.168.1.254)を割り当て、ユーザー名とパスワードの両方にciscoを使用します。これは非常に危険な状態です。

多くのネットワークが192.168.1.xのネットワークIDを使用しているため、初期状態のスイッチはネットワーク上の誰でもアクセスできてしまいます。この記事では、スイッチを接続した直後に実行すべき5つのステップについて解説します。これにより、デバイスのセキュリティを確保し、適切に設定できるようになります。

注：この記事は、Ciscoスイッチを使い始めたばかりの家庭や小規模オフィスのユーザー向けです。Ciscoエンジニアの方には、内容が非常に基本的に感じられるかもしれません。

ステップ1 – デフォルトのユーザー名とパスワードを変更する

まず最初に、そして最も重要なのがこの作業です。スイッチにログインしたら、Administration(管理)を展開し、User Accounts(ユーザーアカウント)をクリックします。

最初に行うべきは、別のユーザーアカウントを追加することです。そうすることで、元のciscoアカウントを削除できるようになります。新しいアカウントにはフルアクセス権限(Ciscoの用語ではRead/Write Management Access (15))を付与してください。強力なパスワードを設定したら、ciscoアカウントからログアウトし、新しいアカウントで再度ログインします。これでデフォルトアカウントを削除できるようになります。

また、万が一設定したパスワードを忘れた場合に備えて、Password Recovery Service(パスワード回復サービス)を有効にしておくのも良いでしょう。パスワードをリセットするには、デバイスへのコンソールアクセスが必要になるためです。

ステップ2 – 静的IPアドレスを割り当てる

デフォルトでは、スイッチにはすでに静的IPアドレスが設定されているはずですが、設定されていない場合は手動で設定しましょう。192.168.1以外のネットワークIDを使用している場合にも、この設定が必要です。設定するには、Administration(管理)-Management Interface(管理インターフェース)-IPv4 Interface(IPv4インターフェース)を展開します。

IP Address Type(IPアドレスタイプ)でStatic(静的)を選択し、静的IPアドレスを入力します。これにより、スイッチの管理が格段に容易になります。ネットワークのデフォルトゲートウェイがわかっている場合は、Administrative Default Gateway欄にも入力しておきましょう。

なお、IPアドレスは仮想LANインターフェースに割り当てられる点にも注目です。つまり、上部で選択したManagement VLAN(管理VLAN)にポートが割り当てられている限り、どのポートが接続されていてもIPアドレス経由でデバイスにアクセスできます。デフォルトではVLAN 1が選択されており、すべてのポートもVLAN 1に属しています。

ステップ3 – ファームウェアを更新する

安価なNetgearのルーターでさえインターネットからソフトウェアアップデートを確認し、自動的にダウンロード・インストールできるのだから、高機能なCiscoスイッチも同じことができると思うでしょう。しかし、それは間違いです!セキュリティ上の理由からこの自動更新機能がないのかもしれませんが、やはり不便に感じます。

Ciscoスイッチのファームウェアを更新するには、Ciscoの公式サイトからファームウェアをダウンロードし、それをスイッチにアップロードする必要があります。さらに、アクティブイメージを新しいファームウェアバージョンに切り替える作業も必要です。とはいえ、万一問題が発生した場合に旧バージョンへ戻せるという保護機能があるため、この仕組みは個人的には気に入っています。

新しいファームウェアを見つけるには、スイッチのモデル名に「firmware」を付けてGoogleで検索するだけです。例えば私の場合は「Cisco SG300-10 firmware」と検索しました。

Ciscoルーターのファームウェアアップグレード方法については、作業前に知っておくべき注意点がいくつかあるため、別の記事で詳しく解説する予定です。

ステップ4 – セキュアなアクセスを設定する

次にお勧めしたいのは、スイッチへの安全なアクセスのみを許可する設定です。コマンドライン操作に慣れている方は、Web GUIを完全に無効化し、SSHアクセスのみを有効にすべきです。ただし、GUIが必要な場合は、少なくともHTTPではなくHTTPSを使用するように設定してください。

スイッチでSSHアクセスを有効にする方法については以前の記事を参照し、puTTYなどのツールを使ってログインしてください。さらにセキュリティを高めるには、SSHで公開鍵認証を有効にし、秘密鍵を使ってログインすることも可能です。また、IPアドレスによる管理インターフェースへのアクセス制限も設定できます。これについては今後の記事で取り上げる予定です。

ステップ5 – 実行中のコンフィグをスタートアップコンフィグにコピーする

Ciscoデバイスを扱う上で最後に覚えておきたいのが、running config(実行コンフィグ)をstartup config(スタートアップコンフィグ)にコピーする操作です。基本的に、加えたすべての変更はRAMにのみ保存されるため、デバイスを再起動するとすべての設定が失われてしまいます。

設定を永続的に保存するには、running configをstartup configにコピーする必要があります。後者はNVRAM(不揮発性RAM)に保存されます。操作するには、Administration(管理)を展開し、File Management(ファイル管理)をクリックして、Copy/Save Configuration(コピー/設定の保存)を選択します。

デフォルト設定のままで問題ないので、あとはApply(適用)をクリックするだけです。繰り返しになりますが、スイッチに何らかの変更を加えた際は、必ずこの保存操作を行う習慣をつけてください。

以上が、スイッチの初期セットアップとセキュリティ確保のための基本的な設定手順でした。今後、スイッチのその他の機能に関するより高度なチュートリアルも公開していく予定です。ご質問があれば、お気軽にコメントください。