〜Yamaha RTX × L3スイッチ構成での正しいアクセス制御〜
はじめに
社内ネットワークや小規模拠点ネットワークにおいて、
「許可した端末以外はネットワークに接続させたくない」
という要件は非常に多くあります。
特に以下のような構成では、思わぬ落とし穴があります。
ONU
↓
Yamaha RTX1300（DHCP + MAC制御）
↓
L3スイッチ
↓
各端末 / NAS
RTX側で
- DHCPのMACバインド
- 手動IPの遮断
まで設定したのに、
L3スイッチ配下の端末同士は通信できてしまう…
本記事では、
- なぜこの現象が起きるのか
- ルーターだけでは防げない理由
- L3スイッチで取るべき正解の対策
- 現実的で運用しやすい構成
を 実務目線で分かりやすく解説します。
想定しているネットワーク構成
ONU
↓
RTX1300
・DHCPサーバ
・MACアドレス固定割当
・DHCP未取得端末は遮断
↓
L3スイッチ
↓
PC / NAS / プリンタ
RTX1300 側では以下のような設定を実施している想定です。
dhcp service server
dhcp scope lease type 1 bind-only
dhcp scope 1 192.168.10.2-192.168.10.254/24
dhcp scope bind 1 192.168.10.2 ethernet XX:XX:XX:XX:XX:XX
dhcp scope bind 1 192.168.10.3 ethernet YY:YY:YY:YY:YY:YY
dhcp scope bind 1 192.168.10.4 ethernet ZZ:ZZ:ZZ:ZZ:ZZ:ZZ
ethernet filter 1 pass dhcp-bind 1
ethernet lan1 filter in 1
この設定により、
- 登録済み MAC のみ IP 割当
- 手動 IP 設定は RTX で遮断
という 一見完璧な制御ができているように見えます。
問題点：なぜ L3スイッチ配下では通信できてしまうのか？
結論から言うと
👉 L3スイッチは「ルーター」だからです。
重要なポイント
- L3スイッチは
- IPルーティング
- ARP応答
- VLAN間通信
を RTXを経由せず 処理できます。
つまり、
PC（手動IP）
↓
L3スイッチ
↓
NAS
という通信は
RTX1300を一切通過しません。
RTX の ethernet filter が効かない理由
RTXの ethernet filter dhcp-bind は、
- RTXを通過するパケットのみ をチェック
するため、
- L3スイッチ内で完結する通信
→ 検知も遮断もできない
というのが正体です。
結論①：L3スイッチでも制御は必要？
答え：YES（必須）
通信が発生する場所で制御しない限り、必ず抜け道ができます。
- 端末同士
- 端末 → NAS
- 端末 → プリンタ
これらが L3スイッチ内で完結する以上、
L3スイッチ側にもアクセス制御は必須です。
結論②：「DHCPを受けた端末だけ許可」は可能？
👉 可能です（ただし機種依存）
最も現実的かつ安全な方法が次です。
最適解：DHCP Snooping + IP Source Guard
これは何か？
L3スイッチ側で、
- DHCPで正しく割り当てられた
- IPアドレス
- MACアドレス
- VLAN
- 接続ポート
の組み合わせだけを 正規端末として許可する仕組みです。
仕組みの流れ
- L3スイッチで DHCP Snooping を有効化
- RTX1300 接続ポートを trusted
- 端末ポートを untrusted
- DHCPで学習した端末情報のみ通信許可
- 手動IP・不正MACは即遮断
結果
| 端末状態 | 通信 |
|---|---|
| DHCP取得済み・登録MAC | ✅ 通信可 |
| 手動IP設定 | ❌ 遮断 |
| 未登録MAC | ❌ 遮断 |
| L3スイッチ内通信 | ❌ 遮断 |
👉 RTX配下・L3スイッチ配下を問わず完全制御できます。
他の方法との比較
① ポートセキュリティ（MAC固定）
メリット
- 設定が単純
デメリット
- 台数が増えると管理不能
- MAC偽装に弱い
👉 小規模・固定構成向け
② VLAN分離
メリット
- 論理的に分離できる
デメリット
- 手動IPは防げない
- DHCP連動不可
👉 セキュリティ用途には不十分
③ 802.1X（認証）
メリット
- セキュリティ最強
デメリット
- RADIUS必須
- 運用が重い
👉 大規模・企業向け
おすすめ構成まとめ（今回の要件）
条件
- 配線変更なし
- DHCP＋MAC制御
- 手動IP禁止
- NASへの直接アクセスも遮断
ベストプラクティス
RTX1300
・DHCP bind-only（現状のままでOK）
L3スイッチ
・DHCP Snooping 有効
・IP Source Guard 有効
・RTX接続ポート：trusted
・端末ポート：untrusted
運用上の注意点（重要）
- NAS・プリンタなど
DHCPを使わない機器は
→ DHCP Snooping の static binding が必要 - L3スイッチによっては
- DHCP Snoopingのみ対応
- IP Source Guard非対応
の場合あり
まとめ
- ❌ RTX1300 だけでは L3スイッチ配下は守れない
- ✅ 制御は必ず通信発生点で行う
- ⭐ 最適解は
DHCP Snooping + IP Source Guard - 「DHCPを受けた端末だけ通信可」は 実現可能
コメント