内容

概要

前提条件

要件

使用するコンポーネント

表記法

EARL とは

CLI から EARL バージョンを判別する

部品番号マトリクスから EARL バージョンを判別

モジュラスーパバイザCatalyst 5000 シリーズスーパバイザ

設定が固定されている Catalyst 5000 シリーズ スイッチ

SNMP で EARL バージョンを判別

なぜ Catalyst 5000 EARL 1 バージョンだけが脆弱性の影響を受けるのですか？

ネットワークで STP 冗長性がなくても、アップグレードする必要がありますか。

802.1x 脆弱性の影響を受けない Catalyst 4000 と 6000

Windows 2000 の 802.1x への適用

関連情報

概要

この文書では、Catalyst 5000 スイッチの 802.1x 脆弱性問題に関する一般的な質問を取り扱います。また、この文書には、Catalyst 5000 EARL バージョンを判別する方法も含まれます。802.1x 脆弱性に関する詳しい情報については、次のセキュリティ報告をご覧ください。

http://www.cisco.com/warp/public/707/cisco-sa-20010413-cat5k-8021x.shtml

前提条件

要件

このドキュメントに特有の要件はありません。

使用するコンポーネント

このドキュメントの内容は、特定のソフトウェアやハードウェアのバージョンに限定されるものではありません。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

表記法

ドキュメント表記の詳細は、『シスコ テクニカル ティップスの表記法』を参照してください。

EARL とは

EARL（Enhanced Address Recognition Logic）は、MACアドレスと非トランキング・ポートを対応づけるEARLテーブルに要求ホストのMACアドレスが存在すると、EARL転送テーブルにマルチキャスト転送エントリを作成します。そのポートと対応づけられたホストは、以降、そのマルチキャスト・グループ用のマルチキャスト・トラフィックを受信します。このように、EARLはCatalyst 5000 スーパーバイザ エンジンの MACアドレスに基づいてパケットを認識します。これらの関係は、ハードウェアのスイッチングの判別をするために使用されます。

CLI から EARL バージョンを判別する

コマンド ライン インターフェイス (CLI) から EARLのバージョンを判別するために、スーパーバイザから show module コマンドを発行します。次に例を示します。

Console (enable) sh mod

Mod Module-Name Ports Module-Type Model Serial-Num Status

--- ------------------- ----- --------------------- --------- --------- ---- ---

1 2 100BaseFX MM Supervis WS-X5506 005441962 ok

2 48 10BaseT Ethernet WS-X5012A 010308246 ok

3 48 10BaseT Ethernet WS-X5012A 010308178 ok

4 24 3 Segment 100BaseTX E WS-X5223 005389389 ok

5 12 100BaseFX MM Ethernet WS-X5201R 008951252 ok

Mod MAC-Address(es) Hw Fw Sw

--- -------------------------------------- ------ ---------- --------------- --

1 00-e0-f9-d6-64-00 to 00-e0-f9-d6-67-ff 1.0 2.2(2) 4.2(1)

2 00-90-6f-6e-75-c0 to 00-90-6f-6e-75-ef 1.0 4.2(1) 4.2(1)

3 00-90-6f-6e-5a-f0 to 00-90-6f-6e-5b-1f 1.0 4.2(1) 4.2(1)

4 00-e0-b0-fb-0a-29 to 00-e0-b0-fb-0a-2b 1.0 2.2(1) 4.2(1)

5 00-60-2f-39-3d-d4 to 00-60-2f-39-3d-df 1.1 4.1(1) 4.2(1)

Mod Sub-Type Sub-Model Sub-Serial Sub-Hw

--- -------- --------- ---------- ------

1 EARL 1+ WS-F5511 0005442554 1.0

スーパーバイザから発行された上記の show module コマンドは、[Sub-Type] としてEARL ハードウェアのバージョンを示します。スーパーバイザが EARL 1、1.1、または1+、1++であれば、システムは 802.1x 脆弱性の影響を受けます。EARL 1s ではなく、NFFC、NFFC+、または NFFC II などの [Sub-Type] で示される EARL の他のバージョンでは、802.1x の脆弱性の影響を受けません。

注：スーパーバイザ IIG と IIIG は [Sub-Type] を出力しません。スーパーバイザ IIG と IIIG は、EARL 3s なので 802.1x 脆弱性の影響を受けません。

部品番号マトリクスから EARL バージョンを判別

モジュラスーパバイザCatalyst 5000 シリーズスーパバイザ

スーパーバイザ部品番号

スーパーバイザ モデル

EARL バージョン [Sub-Type]

EARL バージョン [Sub-Model Type]

802.1x脆弱性の影響

WS-X5005

スーパーバイザ I

EARL 1

WS-F5510

Yes

WS-X5006

スーパーバイザ I

EARL 1

WS-F5510

Yes

WS-X5009

スーパーバイザ I

EARL 1

WS-F5510

Yes

WS-X5505

スーパーバイザ II

EARL 1+

WS-F5511

Yes

WS-X5506

スーパーバイザ II

EARL 1+

WS-F5511

Yes

WS-X5509

スーパーバイザ II

EARL 1+

WS-F5511

Yes

WS-X5530-E1

スーパーバイザ III

EARL 1++

WS-F5520

Yes

WS-X5530-E2

スーパーバイザ III NFFC

EARL 2 (NFFC)

WS-F5521

No

WS-X5530-E2A

スーパーバイザ III NFFC-A

EARL 2 (NFFC)

WS-F5521

No

WS-X5530-E3

スーパーバイザ III NFFC II

EARL 3 (NFFC II)

WS-F5531

No

WS-X5530-E3A

スーパーバイザ III NFFC II-A

EARL 3 (NFFC II)

WS-F5531

No

WS-X5534

スーパーバイザ III F

EARL 1++

WS-F5520

Yes

WS-X5540

スーパーバイザ II G

EARL 3 (NFFC II)

WS-F5531

No

WS-X5550

スーパーバイザ III G

EARL 3 (NFFC II)

WS-F5531

No

設定が固定されている Catalyst 5000 シリーズ スイッチ

スイッチ部品番号

スーパーバイザ モデル

EARL バージョン [Sub-Type]

EARL バージョン [Sub-Model Type]

802.1x脆弱性の影響

WS-C2901

スーパーバイザ I

EARL 1

WS-F5510

Yes

WS-C2902

スーパーバイザ I

EARL 1

WS-F5510

Yes

WS-C2926T

スーパーバイザ II

EARL 1+

WS-F5511

Yes

WS-C2926G

スーパーバイザ II

EARL 1+

WS-F5511

Yes

WS-C2926GS

スーパーバイザ III NFFC II

EARL 3 (NFFC II)

WS-F5531

No

WS-C2926GL

スーパーバイザ III NFFC II

EARL 3 (NFFC II)

WS-F5531

No

注：初期のソフトウェアリビジョンでは、EARL 3(NFFC II)はNFFC+と呼ばれることがあります。

SNMP で EARL バージョンを判別

簡易ネットワーク管理プロトコル (SNMP:Simple Network Protocol) で EARL ハードウェアのバージョンを判別できます。 Using the .iso.org.dod.internet.private.enterprises.cisco.workgroup.stack.moduleGrp.mo

duleTable.moduleEntry.moduleSubType

.1.3.6.1.4.1.9.5.1.3.1.1.16

リターン値は次のとおりです。

- other(1)

- empty(2)

- wsf5510(3) (EARL1)

- wsf5511(4) (EARL1+)

- wsx5304(6) (スーパーバイザではなく RSM)

- wsf5520(7) (EARL1++)

- wsf5521(8) (EARL2/NFFC)

- wsf5531(9) (EARL3/NFFCII)

スーパーバイザ II G と IIIG は、値を返しません。スーパーバイザ IIG と IIIG は、EARL 3s なので 802.1x 脆弱性の影響を受けません。

なぜ Catalyst 5000 EARL 1 バージョンだけが脆弱性の影響を受けるのですか？

EARL 1s は、エントリごとに MACアドレスを個別にプログラムする必要があるので、EARL 1 バージョンだけが影響を受けます。他のEARL バージョンでは、エントリの範囲でプログラムされるので、その結果802.1x フレームを転送しないので、脆弱性の影響を受けることはありません。

ネットワークで STP 冗長性がなくても、アップグレードする必要がありますか。

Catalyst 5000ソフトウェアは、すべてのポートでパケットを転送しています。スイッチは、これらのフレームを着信で廃棄している必要があります。STP 冗長性がない場合、ネットワークの機能は低下しませんが、スイッチが正しく作動しないので、アップグレードを推奨します。

802.1x 脆弱性の影響を受けない Catalyst 4000 と 6000

EARL 1を搭載したCatalyst 5000シリーズスイッチだけが該当するスイッチです。STP パス内にあれば、Catalyst 4000 と 6000スイッチはフレームを転送せず、実質的に STP ループを止めて 802.1x 脆弱性の影響を受けません。

Windows 2000 の 802.1x への適用

現在、802.1x をサポートする唯一のマイクロソフト オペレーティング システムが、Windows XP (Whistler) です。Microsoftによると、802.1x for Windows 2000は後でソフトウェアアップグレードまたはパッチを通じて追加される可能性があります。現在、Windows XP(Whistler)は802.1xをサポートする唯一のMicrosoftオペレーティングシステムです。Microsoftによると、802.1x for Windows 2000は、後でソフトウェアアップグレードまたはパッチを使用して追加される可能性があります。

関連情報

- Release Notes for Catalyst 5000 Family Software Release 4.x

- テクニカル サポートとドキュメント – Cisco Systems