「管理インターフェース」とは何ですか？

管理用インターフェースとは、デバイスが管理アクセスや監視を行うために使用する、物理的または仮想的な専用のネットワークインターフェースであり、実稼働トラフィックを伝送するインターフェースとは別個に設けられています。通常、SSH、SNMP、および類似のプロトコルをサポートしており、データプレーンのトラフィックが中断された場合でもアクセス可能な状態を維持します。

主なポイント

• 管理インターフェースは、管理用アクセスと本番トラフィックを分離します。
• アウト・オブ・バンド設計では、データプレーンに障害が発生しても通信が可能のままです。
• 一般的な管理プロトコルには、SSH、SNMP、HTTPS、およびTelnetによるアクセスが含まれます。
• VOSデバイスは、SSHおよびSNMPアクセス用に「eth」で始まるインターフェースを提供します。
• 管理トラフィックを分離することで、本番ネットワークの攻撃対象領域を縮小できます。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ 管理インターフェースとVersa · よくある質問

管理インターフェースはなぜ重要なのでしょうか？

ネットワークに接続されたすべてのデバイスには、管理者がログインし、ステータスを確認し、設定変更を適用するための手段が必要です。そのアクセスがユーザートラフィックと同じインターフェースを経由する場合、2つの問題が生じます。1つはセキュリティ上のリスクです。データプレーンにアクセスできる者なら誰でも、SSHやSNMPなどのプロトコルにアクセスできる可能性があるためです。もう1つは可用性の問題です。設定ミス、リンク障害、トラフィックの急増などによるデータプレーンの障害が発生すると、管理者のアクセスも同時に遮断されてしまうためです。

専用の管理インターフェースがあれば、この両方の問題を解決できます。管理トラフィックを専用のポート、VLAN、またはIPアドレスに隔離することで、本番トラフィックとは独立して監視アクセスへの接続を維持できるほか、管理者はどのネットワークから管理プロトコルにアクセスできるかを制限できるようになります。これが、ほとんどのエンタープライズグレードのハードウェアに専用の管理ポートが搭載されている理由であり、セキュリティガイドラインで管理トラフィックを専用のアウトオブバンドネットワークに隔離することが推奨されている理由でもあります。

管理インターフェースとは何ですか？

管理インターフェースとは、デバイスがユーザートラフィックの転送ではなく、管理アクセス用に指定するインターフェース（物理ポート、仮想ポート、またはソフトウェア定義のエンドポイントなど）のことです。通常、独自のIPアドレスを持ち、多くの場合独自のVLANも割り当てられているため、管理セッションはデータプレーンから分離された状態が保たれます。

管理インターフェースは通常、デバイス管理用に構築されたプロトコルの終端として機能します。具体的には、コマンドラインアクセス用のSSHやTelnet、Webコンソール用のHTTPS、管理システムによるステータスポーリングや設定用のSNMPなどです。また、一部のデバイスでは、このインターフェースを使用して、NTP、syslog、RADIUS/TACACS+、DNSサーバーといったサポートインフラストラクチャに接続することもあります。

その決定的な特徴は、物理的な媒体ではなく、その目的にある。つまり、インターフェースは、実際の転送を行うインターフェースとは独立して、デバイスの管理を可能にすることがその役割である場合に、管理用インターフェースとみなされる。

管理インターフェースの種類

管理インターフェースは、一般的にいくつかのパターンに分類されます。アウト・オブ・バンド（OOB）管理では、独自のアドレスを持つ物理的に独立したポート（ほとんどのルーターやスイッチに搭載されている従来の専用イーサネットポートなど）を使用するため、データプレーンが完全に停止した場合でもアクセスが維持されます。イン・バンド管理では、ACLや専用VLANによって制限された通常のデータポートを管理トラフィックに再利用します。配線コストは安くなりますが、監視対象のデータプレーンと同じ運命をたどることになります。仮想管理インターフェースはソフトウェア上にのみ存在し――VLANタグ付きサブインターフェースやループバック形式の構造など――共有ハードウェア上に重ねて実装され、専用ポートなしで管理トラフィックを分離します。ベンダーのWebポータルなどのクラウドホスト型管理インターフェースは、インターフェースをデバイスから切り離し、代わりにインターネット経由でアクセスします。

管理用インターフェース &Versa

Versa オペレーティングシステム（VOS）搭載デバイスにおいて、管理インターフェースは「eth」というプレフィックスが付いたアウトオブバンドインターフェースであり、SSH経由でのログインやSNMP操作を、データトラフィックとは別に実行するために使用されます。これは、WANおよびLANトラフィックを伝送するvniインターフェースとは異なります。デバイスのアクティベーション時、管理者がデバッグ用URLベースのゼロタッチプロビジョニング（ZTP）を実行することで、ポートがeth0インターフェースとして設定されていることを確認してから、ステージングコントローラーノードに到達します。

Versa SD-LANスイッチに対しても同様の分離を適用します。SD-WANブランチエッジデバイス上でスイッチ管理インターフェースを設定することで、SD-LANスイッチは、ネイティブVLAN（デフォルトは4091）およびSwitch-Management-VRルーティングインスタンスを経由して、本番トラフィックと競合することなく、コントローラーノードへの専用パスを確保できます。 同じワークフローテンプレートを使用することで、NTP、syslog、RADIUS、DNS などのグローバルサーバーに、コントローラーを経由するか、管理インターフェースを介してアクセスできるようになります。

よくある質問

インバンド管理とアウトオブバンド管理の違いは何ですか？

インバンド管理では、管理トラフィックのためにデバイスの通常のデータポートを共用しますが、通常はACLやVLANによって隔離されています。アウトオブバンド管理では、物理的に独立したポートとアドレスを使用するため、データプレーンに障害が発生した場合でも、管理者はトラブルシューティングのためにデバイスにアクセスすることができます。

管理用インターフェースには、なぜ独自のIPアドレスが必要なのでしょうか？

固有のIPアドレスを設定することで、管理者は管理トラフィックを別の経路（多くの場合、別のVLAN）にルーティングし、データプレーンのアドレスがたまたま到達可能な場所からではなく、信頼できる管理ネットワークからのみSSHやSNMPなどのプロトコルを許可するファイアウォールルールを適用することができます。

管理インターフェースではどのようなプロトコルが動作していますか？

最も一般的なのは、CLIアクセスにはSSHやTelnet、WebコンソールにはHTTPS、監視や設定にはSNMPが使用されます。また、デバイスはNTP、DNS、syslog、RADIUS、TACACS+、LDAPサーバーに接続するためにこのインターフェースを利用することが多く、これによりサポート関連のトラフィックを本番用リンクから切り離すことができます。

ループバックインターフェースは、管理インターフェースと同じものですか？

いいえ。ループバックインターフェースは仮想的なものであり、物理的なリンクの状態にかかわらず常に稼働状態を維持し、ルーティングプロトコルにおける安定したアドレスとして一般的に使用されます。一方、管理用インターフェースはその目的（管理アクセス）によって定義され、物理インターフェース、VLANベースのインターフェース、あるいはループバック形式のインターフェースのいずれかとなります。

Versa は、そのデバイスで専用の管理インターフェースを使用していますか？

はい。VOSデバイスは、WANおよびLANデータを伝送するvniインターフェースとは別に、SSHログインやSNMP用の「eth」で始まる管理インターフェースを提供しています。SD-LANスイッチも同様に、本番トラフィックとは独立して、コントローラーノードへの経路（スイッチ管理インターフェース）が確保されています。

管理インターフェースについてさらに詳しく

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

管理インターフェースについて調べているなら、次はこれらもぜひチェックしてみてください。