(管理人)
ネットワーク(特にCisco)が大好きな皆様へCCNA/CCNP/CCIE試験で問われる【お題】をQuiz形式で出題致します。また、本ブログではCiscoさんが無償で提供する【Packet Tracer】【GNS3】【CML Free】を利用しての簡単なシュミレーションと実際の業務で役立つワンポイントなども織り混ぜながら、皆さんが楽しめるコンテンツ(３分でサクッと読める内容)となります。
本日のお題 :
【RT1】と【RT2】はインターネット経由でアクセスが可能なため、外部からの攻撃(DOS)に対するセキュリティ対策を検討しています。管理端末(NMS-PC)以外からのアクセスにはCoPP(コントロールプレーンポリシング)にてトラフィックの流量制限などを実施したいと考えています。本件を実現する方法としてベストアンサーを1つ答えなさい。
- A : service-policy input MGMT-IN
- B : service-policy out MGMT-IN
- C : service-policy MGMT-IN input
- D : service-policy MGMT-IN out
RT1 コンフィグ
hostname RT1
!
class-map match-all MGMT-ACCESS
match access-group 100
!
policy-map MGMT-IN
class MGMT-ACCESS
police 1000000
!
interface Loopback1
ip address 1.1.1.1 255.255.255.255
!
interface Ethernet0/0
ip address 100.0.0.1 255.255.255.0
!
interface Ethernet0/1
ip address 192.168.1.254 255.255.255.0
!
router bgp 100
network 192.168.1.0
neighbor 100.0.0.2 remote-as 200
!
ip access-list extended 100
10 deny tcp host 192.168.1.1 any eq telnet
20 deny tcp host 192.168.1.1 any eq 22
control-plane
*****
!
line con 0
line aux 0
line vty 0 4
login
transport input ssh
!
end
RT2 コンフィグ
hostname RT2
!
class-map match-all MGMT-ACCESS
match access-group 100
!
policy-map MGMT-IN
class MGMT-ACCESS
police 1000000
!
interface Loopback1
ip address 2.2.2.2 255.255.255.255
!
interface Ethernet0/0
ip address 100.0.0.2 255.255.255.0
!
router bgp 200
neighbor 100.0.0.1 remote-as 100
!
ip access-list extended 100
10 deny tcp host 192.168.1.1 any eq telnet
20 deny tcp host 192.168.1.1 any eq 22
!
control-plane
*****
!
line con 0
line aux 0
line vty 0 4
login
transport input ssh
!
!
!
!
end
本日の回答 :
正解は【A】になります。
回答のポイントは「コントロールプレーンの保護・トラフィックの制限」について正しく理解する必要があります。一般的にQOS(ポリシング)はNW機器の I/F にアタッチしますが、CoPPの場合は「コントロールプレーン – control-plane」に直接アタッチして、インプットのトラフィックを制限する事でCPUリソースを守ることが可能です。そのため、今回のケースでは「A」の設定方法が正解となります。
CoPP（コントロールプレーンポリシング）とは、ネットワーク機器のCPUを保護するためのセキュリティ機能で、制御プレーン（コントロールプレーン）への過剰なトラフィックやマルウェアによるDoS攻撃を制限し、ネットワークの安定性を確保します。
また、CoPPは「CCNP試験」でもよく出題されるトピックの１つであり、具体的なアーキテクチャと設定方法までマスターしておく事がとても重要です。初めてはちょっと難しい概念ですが、ここを乗り越えて目指せ1UP!!!(CCNPクラスの試験ではアーキテクチャについても深い知識が求められるよ！)
おすすめの書籍 :
Cisco人気ブログのご紹介 :
本サイトでは皆様からご質問を受け付けております。ご質問には必ずご回答させていただきますので、まずは本ブログサイトの”お問い合わせ“より、ご連絡をお願い致します。
コメント