説明ASAの各インターフェイスは、1つ以上のブリッジグループにグループ化する必要があります。これらのグループはそれぞれ独立した透過ファイアウォールとして機能します。外部ルータの支援なしに、あるブリッジグループが別のブリッジグループと通信することはできません。8.4(1)以降では、各グループに2～4個のインターフェイスを持つ最大8つのブリッジグループがサポートされています。これ以前は、1つのブリッジグループと2つのインターフェイスのみがサポートされていました。ブリッジグループごとに最大4つのインターフェイスが許可されます（内部、外部、DMZ1、DMZ2）。

スイッチポートのMACアドレスセキュリティ設定で使用すべきなのは、スティッキーです。このオプションを使用すると、スイッチはポートに接続されているデバイスのMACアドレスを動的に学習し、実行中の設定に追加できます。ポートがシャットダウンされたり、スイッチが再起動されたりしても、MACアドレスはポートに関連付けられたままになり、期限切れになりません。このようにして、エンジニアはポートごとのMACアドレスの数を制限し、不正なデバイスがネットワークにアクセスするのを防ぐことができます。スティッキーオプションを使用すると、エンジニアは一部のMACアドレスを手動で設定し、残りはスイッチに学習させることもできます。参考資料:
* ポートセキュリティの設定 - Cisco（セクション：ホストMACアドレスに基づくトラフィックの許可）
* Ciscoスイッチでポートセキュリティを設定する方法 - NetworkLessons.com（セクション：スティッキーMACアドレス）
* Cisco Security Core Technologies (SCOR) v1.0 の実装と運用 (モジュール 5.1.1)

DHCPスヌーピングを理解するには、まずDHCPスプーフィング攻撃について学ぶ必要があります。
DHCPスプーフィングとは、攻撃者がクライアントからのDHCPリクエストを傍受し、正規のDHCP応答がクライアントに届く前に偽のDHCP応答を返す攻撃手法です。偽のDHCP応答では、多くの場合、攻撃者のIPアドレスがクライアントのデフォルトゲートウェイとして指定されます。そのため、クライアントから送信されるすべてのトラフィックは攻撃者のコンピュータを経由することになり、攻撃者は「中間者攻撃」の役割を果たします。
攻撃者は、偽のDHCP応答が最初に届くようにするためのいくつかの方法を持っている。実際、攻撃者がDHCPサーバーよりも「近い」場所にいる場合は、何もする必要はない。あるいは、DHCPサーバーにDoS攻撃を仕掛けて、DHCP応答を送信できないようにすることもできる。
DHCPスヌーピングは、DHCPスプーフィング攻撃を防ぐことができます。DHCPスヌーピングはCisco Catalystの機能で、どのスイッチポートがDHCP要求に応答できるかを判断します。ポートは信頼できるポートと信頼できないポートに分類されます。
認証されたDHCPサーバーに接続されているポートのみが信頼され、あらゆる種類のDHCPメッセージを送信できます。スイッチ上のその他のポートはすべて信頼されておらず、DHCPリクエストのみを送信できます。信頼されていないポートでDHCP応答が検出された場合、そのポートはシャットダウンされます。
DHCPサーバーに接続されているポートは、「ip dhcp snooping trust」コマンドを使用して信頼済みポートとして設定する必要があります。ホストに接続されているその他のポートは、デフォルトでは信頼されていないポートです。
この問題では、以下に示すように、アップリンクを「trust」（インターフェース Gi1/0/1 の下）に設定する必要があります。