Cisco IOS ソフトウェアが稼働する Cisco Catalyst 6000/6500 による詳細なトラフィック分析用 VACL キャプチャ

ダウンロードオプション

PDF (261.9 KB)
Adobe Reader を使ってさまざまなデバイスで表示
ePub (94.7 KB)
iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
Mobi (Kindle) (96.6 KB)
Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示

Updated: 2007 年 3 月 22 日

Document ID:89962

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポートコンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

内容

概要

前提条件

要件

使用するコンポーネント

概要

このドキュメントでは、ネットワークトラフィック分析に VLAN ACL（VACL）キャプチャポート機能を使用するための設定例についてさらに詳しく説明します。また、VLAN ベース SPAN（VSPAN）を使用するのではなく、VACL キャプチャポートを使用する利点も示します。

Catalyst OS ソフトウェアが稼働する Cisco Catalyst 6000/6500 での VACL キャプチャポート機能の設定については、『CatOS ソフトウェアが稼働する Cisco Catalyst 6000/6500 を使用した VACL キャプチャのきめ細かなトラフィック分析』を参照してください。

前提条件

要件

この設定を行う前に、次の要件が満たされていることを確認します。

IP アクセスリスト：詳細は、『IP アクセスリストの設定』を参照してください。
仮想 LAN：詳細については、『バーチャル LAN と VLAN トランキングプロトコル（VLAN/VTP）- イントロダクション』を参照してください。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。Cisco IOS® ソフトウェアリリース 12.2(18)SXF8 が稼働する Cisco Catalyst 6506 シリーズスイッチ

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

表記法

ドキュメント表記の詳細は、『シスコテクニカルティップスの表記法』を参照してください。

背景説明

VLAN-based SPAN

SPAN（スイッチドポートアナライザ）は、任意の VLAN 上の 1 つまたは複数の送信元ポートからのトラフィック、あるいは 1 つまたは複数の VLAN からのトラフィックを分析するために宛先ポートへコピーします。ローカル SPAN は、同じ Catalyst 6500 シリーズスイッチ上の送信元ポート、送信元 VLAN、および宛先ポートをサポートします。

送信元 VLAN は、ネットワークトラフィック分析のためにモニタ対象になる VLAN です。VLAN-based SPAN（VSPAN）は、VLAN を SPAN 送信元として使用します。送信元 VLAN にあるすべてのポートが、送信元ポートになります。送信元ポートは、ネットワークトラフィック分析のためにモニタ対象になるポートです。トランクポートを、送信元ポートとして設定したり、非トランク送信元ポートと混在させたりすることができますが、SPAN は、送信元トランクポートからのカプセル化をコピーしません。

入力および出力の両方が設定されている VSPAN セッションについては、2 つのパケットが同じ VLAN でスイッチングされている場合、それらは宛先ポートから（1 つは入力ポートからの入力トラフィックとして、もう 1 つは出力ポートからの出力トラフィックとして）転送されます。

VSPAN は、VLAN 中のレイヤ 2 ポートから出入りするトラフィックだけをモニタします。

ある VLAN を入力送信元として設定し、トラフィックがそのモニタ対象の VLAN にルーティングされる場合、ルーティングされたトラフィックは、その VLAN 内のレイヤ 2 ポートに着信した入力トラフィックと見なされないため、モニタされません。
ある VLAN を出力送信元として設定し、トラフィックがそのモニタ対象の VLAN からルーティングされる場合、ルーティングされたトラフィックは、その VLAN 内のレイヤ 2 ポートから発信された出力トラフィックと見なされないため、モニタされません。

送信元 VLAN の詳細については、『ソース VLAN の特性』を参照してください。

VLAN ACL

VACL は、VLAN 内でブリッジされるか、VLAN または VACL キャプチャの WAN インターフェイスとの間でルーティングされているすべてのパケットのアクセスコントロールを行います。ルータインターフェイスでのみ設定され、ルーティング対象パケットだけに適用される通常の Cisco IOS 標準または拡張 ACL と異なり、VACL はすべてのパケットに適用され、どの VLAN または WAN インターフェイスにも適用できます。VACL は、ハードウェアで処理されます。VACL は Cisco IOS ACL を使用します。VACL は、ハードウェアでサポートされていないすべての Cisco IOS ACL フィールドを無視します。

IP、IPX、および MAC レイヤトラフィックの場合は、VACL を設定できます。WAN インターフェイスに適用される VACL は、VACL キャプチャの IP トラフィックだけをサポートします。

VACL を設定して VLAN に適用すると、その VLAN に着信するすべてのパケットが、この VACL と照合されます。VACL を VLAN に適用し、その VLAN 内のルーテッドインターフェイスに ACL を適用すると、その VLAN に着信したパケットは最初に VACL と照合されます。そこで許可されると、次に入力 ACL と照合され、その後ルーテッドインターフェイスで処理されます。別の VLAN にルーティングされるパケットは、最初に、ルーテッドインターフェイスに適用されている出力 ACL と照合されます。そこで許可されると、宛先 VLAN 用に設定された VACL が適用されます。VACL があるパケットタイプ用に設定されていて、VACL と該当タイプのパケットとが一致しない場合、デフォルト動作ではパケットが拒否されます。VACL のキャプチャオプションを使用する際は、次のガイドラインに留意してください。

キャプチャポートは、非同期転送モード（ATM）ポートとして使用できません。
キャプチャポートは、VLAN のスパニングツリーフォワーディングステートに設定する必要があります。
スイッチのキャプチャポート数に制限はありません。
キャプチャポートでキャプチャされるのは、設定されている ACL で許可されたパケットだけです。
キャプチャポートから送出されるのは、そのキャプチャポートの VLAN に属しているトラフィックだけです。多数の VLAN へのトラフィックをキャプチャするために、必要な VLAN のトラフィックを伝送できるトランクとしてキャプチャポートを設定してください。

caution 注意： ACL を正しく組み合わせないと、トラフィックフローが混乱する可能性があります。デバイスで ACL を設定する場合は、細心の注意を払う必要があります。

注：VACLは、Catalyst 6000シリーズスイッチのIPv6ではサポートされていません。VLAN ACL リダイレクトと IPv6 の両方を同時に使用することはできないため、IPv6 トラフィックの照合に ACL は使用されません。

VSPAN ではなく VACL を使用する利点

トラフィックの分析に VSPAN を使用する場合は、いくつかの制約があります。

対象の VLAN 内を流れるすべてのレイヤ 2 トラフィックがキャプチャされます。そのため、分析するデータ量が増大します。
Catalyst 6500 シリーズスイッチに設定できる SPAN セッション数に制限があります。詳細については、『ローカル SPAN および RSPAN セッションの制限』を参照してください。
宛先ポートは、モニタ対象になっているすべての送信元ポートの送受信トラフィックのコピーを受け取ります。宛先ポートがオーバーサブスクライブされている場合、輻輳状態になる可能性があります。この輻輳により、1 つ以上の送信元ポートのトラフィックの転送が影響を受ける可能性があります。

VACL キャプチャポート機能は、これらの制限の克服に役立ちます。VACL はトラフィックのモニタを主目的として設計された訳ではありませんが、トラフィックを分類する広範な機能とともにキャプチャポート機能が導入されているため、これを使用することで、ネットワークトラフィックの分析がシンプルになります。VSPAN ではなく VACL キャプチャポートを使用する利点は、次のとおりです。

きめ細かなトラフィック分析

VACL では、送信元 IP アドレス、宛先 IP アドレス、レイヤ 4 プロトコルタイプ、送信元と宛先のレイヤ 4 ポートなどの情報に基づいて照合できます。この機能により、VACL はきめ細かなトラフィックの識別とフィルタリングに効果を発揮します。
セッションの数

VACL はハードウェアで処理されます。作成できるアクセスコントロールエントリ（ACE）の数は、スイッチで使用可能な TCAM によって異なります。
宛先ポートのオーバーサブスクリプション

きめ細かなトラフィックの識別によって宛先ポートに転送されるフレームの数が減少するため、オーバーサブスクリプションの可能性が軽減されます。
パフォーマンス

VACL はハードウェアで処理されます。Cisco Catalyst 6500 シリーズスイッチの VLAN に VACL を適用しても、パフォーマンスが低下することはありません。

設定

このセクションでは、このドキュメントで説明する機能を設定するために必要な情報を提供しています。

VLAN-based SPAN を使用する場合の設定
VACL を使用する場合の設定

注：このドキュメントで使用されているコマンドの詳細を調べるには、Command Lookup Tool（登録ユーザ専用）を使用してください。

ネットワーク図

このドキュメントでは、次のネットワークセットアップを使用します。

VLAN-based SPAN を使用する場合の設定

この設定例では、VLAN 100 と VLAN 200 のすべてのレイヤ 2 トラフィックフローをキャプチャし、これをネットワークアナライザデバイスに送信するために必要な手順を説明します。

対象トラフィックを指定します。この例では、VLAN 100 と VLAN 200 のトラフィックです。

Cat6K-IOS#conf t
Cat6K-IOS(config)#monitor session 50 source vlan  100 , 200 ?
  ,     Specify another range of VLANs
  -     Specify a range of VLANs
  both  Monitor received and transmitted traffic
  rx    Monitor received traffic only
  tx    Monitor transmitted traffic only
  <cr>


!--- Default is to monitor both received and transmitted traffic

Cat6K-IOS(config)#monitor session 50 source vlan  100 , 200

Cat6K-IOS(config)#

キャプチャしたトラフィックの宛先ポートを指定します。

Cat6K-IOS(config)#monitor session 50 destination  interface Fa3/30

Cat6K-IOS(config)#

これにより、VLAN 100およびVLAN 200に属するすべてのレイヤ2トラフィックがコピーされ、ポートFa3/30に送信されます。宛先ポートがトラフィックを監視する同じVLANの一部である場合、宛先ポートから出るトラフィックはキャプチャされません。

show monitor コマンドを使用して SPAN の設定を確認します。

Cat6K-IOS#show monitor detail
Session 50
----------
Type              : Local Session
Source Ports      :
    RX Only       : None
    TX Only       : None
    Both          : None
Source VLANs      :
    RX Only       : None
    TX Only       : None
    Both          : 100,200
Source RSPAN VLAN : None
Destination Ports : Fa3/30
Filter VLANs      : None
Dest RSPAN VLAN   : None

VACL を使用する場合の設定

この設定例では、ネットワーク管理者から次のような要件が提示されています。

VLAN 200 の一定範囲のホスト（10.20.20.128/25）からの HTTP トラフィックをキャプチャする必要がある
グループアドレス 239.0.0.100 を宛先とする送信方向のマルチキャストユーザデータグラムプロトコル（UDP）トラフィックを VLAN 100 からキャプチャする必要がある

分析対象としてキャプチャおよび送信するトラフィックを定義します。

Cat6K-IOS(config)#ip access-list extended HTTP_UDP_TRAFFIC

Cat6K-IOS(config-ext-nacl)#permit tcp 10.20.20.128 0.0.0.127 host  10.10.10.101 eq www
Cat6K-IOS(config-ext-nacl)#permit udp any host 239.0.0.100

Cat6K-IOS(config-ext-nacl)#exit

他のすべてのトラフィックをマッピングする包括的な ACL を定義します。

Cat6K-IOS(config)#ip access-list extended ALL_TRAFFIC

Cat6K-IOS(config-ext-nacl)#permit ip any any
Cat6K-IOS(config-ext-nacl)#exit

VLAN アクセスマップを定義します。

Cat6K-IOS(config)#vlan access-map HTTP_UDP_MAP 10

Cat6K-IOS(config-access-map)#match ip address HTTP_UDP_TRAFFIC

Cat6K-IOS(config-access-map)#action forward capture
Cat6K-IOS(config)#vlan access-map HTTP_UDP_MAP 20

Cat6K-IOS(config-access-map)#match ip address ALL_TRAFFIC

Cat6K-IOS(config-access-map)#action forward
Cat6K-IOS(config-access-map)#exit

VLAN アクセスマップを適切な VLAN にマッピングします。

Cat6K-IOS(config)#vlan filter HTTP_UDP_MAP vlan-list  100


!--- Here 100 is the ID of VLAN on which the VACL is applied.

キャプチャポートを設定します。

Cat6K-IOS(config)#int fa3/30
Cat6K-IOS(config-if)#switchport capture allowed vlan ?

  WORD    VLAN IDs of the allowed VLANs when this po
  add     add VLANs to the current list
  all     all VLANs
  except  all VLANs except the following
  remove  remove VLANs from the current list

Cat6K-IOS(config-if)#switchport capture allowed vlan 100

Cat6K-IOS(config-if)#switchport capture
Cat6K-IOS(config-if)#exit

確認

ここでは、設定が正常に機能しているかどうかを確認します。

アウトプットインタープリタツール（登録ユーザ専用）（OIT）は、特定の show コマンドをサポートします。OIT を使用して、show コマンドの出力の分析を表示します。

show vlan access-map — VLAN アクセスマップの内容を表示します。

Cat6K-IOS#show vlan access-map HTTP_UDP_MAP

Vlan access-map "HTTP_UDP_MAP"  10
        match: ip address HTTP_UDP_TRAFFIC
        action: forward capture
Vlan access-map "HTTP_UDP_MAP"  20
        match: ip address ALL_TRAFFIC
        action: forward

show vlan filter — VLAN フィルタについての情報を表示します。

Cat6K-IOS#show vlan filter
VLAN Map HTTP_UDP_MAP:
        Configured on VLANs:  100
            Active on VLANs:  100

トラブルシュート

現在、この設定に関する特定のトラブルシューティング情報はありません。

Cisco IOS ソフトウェアが稼働する Cisco Catalyst 6000/6500 による詳細なトラフィック分析用 VACL キャプチャ

ダウンロードオプション

偏向のない言語

翻訳について

内容

概要

前提条件

要件

使用するコンポーネント

関連製品

表記法

背景説明

VLAN-based SPAN

VLAN ACL

VSPAN ではなく VACL を使用する利点

設定

ネットワーク図

VLAN-based SPAN を使用する場合の設定

VACL を使用する場合の設定

確認

トラブルシュート

関連情報

このドキュメントは役に立ちましたか?

シスコに問い合わせ

このドキュメントは次の製品に対応しています

Cisco IOS ソフトウェアが稼働する Cisco Catalyst 6000/6500 による詳細なトラフィック分析用 VACL キャプチャ

ダウンロード オプション

偏向のない言語

翻訳について

内容

このドキュメントは役に立ちましたか?

シスコに問い合わせ

このドキュメントは次の製品に対応しています

ダウンロードオプション