  |
Virtual Private Network（VPN;仮想私設網）は、共有インフラストラクチャ（イーサネットベースであることが多い）上で、私設網と同じセキュリティ、プライオリティ、信頼性、および管理性で企業規模の接続を行います。トンネリングは、ネットワークで複数のカスタマーのトラフィックを伝送するService Provider（SP;サービス プロバイダー）を対象に設計された機能です。このようなSPは、各カスタマーのVLAN（仮想LAN）およびレイヤ2プロトコル設定をほかのカスタマーのトラフィックに影響を与えずに維持する必要があります。Catalyst 3550スイッチは、IEEE 802.1Qトンネリングおよびレイヤ2プロトコル トンネリングをサポートします。
SPの企業カスタマーは、多くの場合、VLAN IDとサポートするVLAN数について一定の要求を持っています。同じSPネットワークのさまざまなカスタマーが必要とするVLANの範囲は重複する場合があり、インフラストラクチャを介したカスタマーのトラフィックが混合する場合もあります。各カスタマーに固有の範囲のVLAN IDを割り当てると、カスタマーの設定を制限し、802.1Q仕様である4096というVLANの制限を容易に超えてしまいます。
SPは、トンネリング機能を使用することにより、複数のVLANを設定しているカスタマーを1つのVLANでサポートできます。同じVLAN上にあるように見える場合でも、カスタマーのVLAN IDは保持され、さまざまなカスタマーからのトラフィックは、SP内で分離されます。トンネリングは、VLAN内VLAN階層構造を使用し、タグ付きパケットを再びタギングしてVLANスペースを拡張します。802.1Qトンネリングをサポートするように設定されたポートをトンネル ポートと呼びます。トンネリングを設定するとき、トンネリング用のVLAN IDにトンネル ポートを割り当てます。各カスタマーは個別のSP VLAN IDを必要としますが、そのSP VLAN IDはすべてのカスタマーのVLANをサポートします。
適切なVLAN IDを通常の方法でタグ付けされたカスタマー トラフィックは、カスタマー デバイスの802.1Qトランク ポートから送信され、SPエッジ スイッチのトンネル ポートがこれを受信します。カスタマー デバイスとエッジ スイッチ間のリンクは、非対称です。これは、一方の側が802.1Qトランク ポートとして設定されているのに対し、もう一方がトンネル ポートとして設定されているためです。トンネル ポート インターフェイスに、各カスタマーの一意のアクセスVLAN IDを割り当てます（SPネットワークの802.1Qトンネル ポートを参照してください）。
カスタマー トランク ポートから送信され、SPエッジ スイッチのトンネル ポートが受信するパケットには、通常、適切なVLAN IDを持つ802.1Qがタグ付けされています。これらのタグ付きパケットは、トランク ポートを出てSPネットワークに入るとき、カスタマー固有のVLAN IDを含む別のレイヤの802.1Qタグ（メトロ タグ）でカプセル化されます。元のカスタマー802.1Qタグはカプセル化されたパケット内に保存されています。したがって、SPネットワークに入るパケットは二重のタグ付きで、メトロ タグにはカスタマーのアクセスVLAN IDを、内側のタグには着信トラフィックのVLAN IDを格納しています。
二重タグ付きパケットがSPコア スイッチの別のトランク ポートに着信した場合は、スイッチがパケットを処理するときに、メトロ タグが除去されます。同じコア スイッチの別のトランク ポートからパケットが送出された場合は、パケットに同じメトロ タグが再び追加されます。元の（通常の）、802.1Q、二重タグ付きイーサネット パケット形式に、元のフレームまたは通常のフレームで始まるイーサネット パケットの構造を示します。
パケットがSP出力スイッチのトランク ポートに着信した場合は、スイッチがパケットを処理するときに、メトロ タグが再び除去されます。ただし、パケットがエッジ スイッチのトランク ポートからカスタマー ネットワークへ送信されるとき、メトロ タグは追加されません。カスタマー ネットワーク内の元のVLAN番号を保護するため、パケットは通常の802.1Qタグ付きフレームとして送信されます。
エッジ スイッチのトンネル ポート経由でSPネットワークに入るパケットは、タグなしの場合も、802.1Qヘッダー付きのタグ付きの場合も、すべてタグなしパケットとして取り扱われます。これらのパケットは、802.1Qトランク ポートのSPネットワーク経由で送信されるとき、メトロ タグVLAN ID（トンネル ポートのアクセスVLANに設定）でカプセル化されます。メトロ タグのプライオリティ フィールドは、トンネル ポートで設定されたインターフェイスClass of Service（CoS;サービス クラス）プライオリティに設定されます（何も設定されていない場合、デフォルト値は0です）。
SPネットワークの802.1Qトンネル ポートでは、カスタマーAにはVLAN 30が、カスタマーBにはVLAN 40が割り当てられています。802.1Qタグ付きでエッジ スイッチのトンネル ポートに入るパケットは、二重タグ付きになります。この場合、メトロ タグにはVLAN 30またはVLAN 40を格納し、内側のタグには元のカスタマーVLAN番号（たとえば、VLAN 100）を格納して、適宜SPネットワークに入ります。カスタマーAとカスタマーBの両方がネットワークにVLAN 100を持っている場合でも、メトロ タグが異なるため、トラフィックはSPネットワーク内で分離されたままです。各カスタマーは独自のVLAN番号スペースを運用管理します。これは、ほかのカスタマーが使用するVLAN番号スペースや、SPネットワークが使用するVLAN番号スペースとは無関係の独自のものです。
デフォルトでは、802.1Qトンネリングはディセーブルに設定されています。デフォルトのスイッチ ポート モードがdynamic desirableであるためです。802.1QネイティブVLANパケットのタギングも、すべての802.1Qトランク ポートでディセーブルに設定されています。
802.1Qトンネリングを設定する場合、トンネルを通過するトラフィックに対して常に非対称リンクを使用し、トンネルごとに1つのVLANを専用にする必要があります。また、ネイティブVLANの設定要件とMaximum Transmission Unit（MTU;最大伝送ユニット）にも注意する必要があります。MTUの詳細については、システムMTUを参照してください。
エッジ スイッチに802.1Qトンネリングを設定する場合は、SPネットワークへのパケットの送信に802.1Qトランク ポートを使用する必要があります。ただし、SPネットワークの中心を通過するパケットは、802.1Qトランク、ISLトランク、または非トランク リンクを介して搬送されます。802.1Qトランクをこれらのコア スイッチで使用する場合には、802.1QトランクのネイティブVLANを、同じスイッチの非トランク（トンネリング）ポートのどのネイティブVLANにも一致させないでください。ネイティブVLAN上のトラフィックが802.1Q送信トランク ポートでタグ付けされないことがあるためです。
802.1QトンネリングとネイティブVLANで予想される問題を参照してください。VLAN 40は、SPネットワーク（スイッチ2）の入力エッジ スイッチで、カスタマーAから802.1Qトランク ポートのネイティブVLANとして設定されています。カスタマーAのスイッチ1は、タグ付きパケットをVLAN 30上で、アクセスVLAN 40に属するSPネットワークにあるスイッチ2の入力トンネル ポートに送信しています。トンネル ポートのアクセスVLAN（VLAN 40）は、エッジ スイッチ トランク ポート（VLAN 40）のネイティブVLANと同じなので、メトロ タグはトンネル ポートから受信したタグ付きパケットに追加されません。パケットは、SPネットワークを通じてVLAN 30タグだけを出力エッジ スイッチ（スイッチ3）のトランク ポートに搬送し、出力スイッチ トンネル ポートを通じてカスタマーBに誤って転送します。
Catalyst 3550スイッチのトラフィックに対するデフォルトのシステムMTUは、1500バイトです。system mtuグローバル コンフィギュレーション コマンドを使用すると、より大きいフレームをサポートするようにスイッチを設定できます。メトロ タグが追加されたときに、802.1Qトンネリング機能によってフレーム サイズが4バイト増えるので、スイッチのシステムMTUサイズを1504バイト以上に設定して、SPネットワーク内のすべてのスイッチがより大きいサイズのフレームを処理できるようにする必要があります。Catalyst 3550ギガビット イーサネット スイッチの最大許容システムMTUは、2000バイトです。ファスト イーサネット スイッチの最大システムMTUは、1546バイトです。
802.1Qトンネリングは、レイヤ2パケット スイッチングに対しては適切に機能しますが、レイヤ2機能とレイヤ3スイッチングとは一部互換性がありません。
ポートをdynamic desirableのデフォルト ステートに戻すには、no switchport mode dot1q-tunnelインターフェイス コンフィギュレーション コマンドを使用します。ネイティブVLANパケットのタギングをディセーブルにする場合は、no vlan dot1q tag nativeグローバル コンフィギュレーション コマンドを使用します。
次の例は、インターフェイスをトンネル ポートとして設定し、ネイティブVLANパケットのタギングをイネーブルにして、設定を確認する方法を示しています。この設定では、インターフェイスGigabitEthernet 0/7に接続しているカスタマーのVLAN IDはVLAN 22です。
Switch(config)# interface gigabitethernet0/7
Switch(config-if)# switchport access vlan 22
% Access VLAN does not exist. Creating vlan 22
Switch(config-if)# switchport mode dot1q-tunnel
Switch(config)# vlan dot1q tag native
Switch# show dot1q-tunnel interface gigabitethernet0/7
Switch# show vlan dot1q tag native
dot1q native vlan tagging is enabled
SPネットワークで接続されたさまざまなサイトのカスタマーは、各種のレイヤ2プロトコルを使用してトポロジーをスケーリングし、ローカル サイトだけでなくすべてのリモート サイトも組み込む必要があります。STPは正常に実行し、すべてのVLANは、SPネットワーク全体でローカル サイトおよびすべてのリモート サイトを組み込んだ適切なスパニング ツリーを構築する必要があります。CDPは、ローカルおよびリモート サイトから近接するシスコ デバイスを検出する必要があります。VLAN Trunk Protocol（VTP;VLANトランク プロトコル）は、カスタマー ネットワークのすべてのサイトでVLAN設定が一貫するようにする必要があります。
プロトコル トンネリングがイネーブルになると、SPネットワークの着信側のエッジ スイッチは、特殊MACアドレスでレイヤ2プロトコル パケットをカプセル化し、SPネットワークに送信します。ネットワークのコア スイッチはこのようなパケットを処理せずに、通常パケットとして転送します。CDP、STP、またはVTP用のレイヤ2 Protocol Data Unit（PDU;プロトコル データ ユニット）は、SPネットワークを横断し、SPネットワークの発信側にあるカスタマー スイッチに受信されます。同じVLAN上のすべてのカスタマー ポートで同じパケットが受信され、次のような結果となります。
レイヤ2プロトコル トンネリングは単独で使用することも、802.1Qトンネリングを拡張することもできます。プロトコル トンネリングが802.1Qトンネリング ポートでイネーブルになっていない場合は、SPネットワークの受信側にあるリモート スイッチは、PDUを受信せず、STP、CDP、およびVTPを正常に実行できません。プロトコル トンネリングがイネーブルになっている場合は、各カスタマー ネットワークのレイヤ2プロトコルは、SPネットワーク内で実行するプロトコルとは全面的に切り離されます。802.1Qトンネリングを装備したSPネットワークを介してトラフィックを送信するさまざまなサイト上のカスタマー スイッチは、カスタマーVLANのすべてを理解するようになります。802.1Qトンネリングが使用されていない場合は、アクセス ポートを通じてカスタマー スイッチに接続し、SPアクセス ポートでトンネリングをイネーブルにすることで、レイヤ2プロトコル トンネリングをイネーブルにできます。
たとえば、レイヤ2プロトコル トンネリングでは、カスタマーAは、SPネットワークを介して接続された、同じVLANに4つのスイッチを持っています。ネットワークがPDUをトンネリングしない場合は、ネットワークの遠端のスイッチはSTP、CDP、およびVTPを正常に実行できません。たとえば、カスタマーAのサイト1にあるスイッチのVLANに対するSTPは、カスタマーAのサイト2にあるスイッチに基づくコンバージェンス パラメータを考慮しないで、そのサイトのスイッチにスパニングツリーを構築します。この結果、トポロジーは適切なコンバージェンスがないレイヤ2ネットワーク トポロジーのようになります。
SPネットワークでは、ポイントツーポイント ネットワーク トポロジーをエミュレートすることで特定のEtherChannelを作成するには、レイヤ2プロトコル トンネリングを使用できます。SPスイッチでプロトコル トンネリング（PAgPまたはLACP）をイネーブルにすると、リモート カスタマー スイッチがPDUを受信し、EtherChannelの自動作成をネゴシエーションできます。
たとえば、EtherChannelのレイヤ2プロトコル トンネリングでは、カスタマーAは、SPネットワークを介して接続された、同じVLANに2つのスイッチを持っています。ネットワークがPDUをトンネリングすると、ネットワークの遠端のスイッチは専用回線なしでEtherChannelの自動作成をネゴシエーションできます。EtherChannelのレイヤ2プロトコル トンネリングの設定手順については、EtherChannelのレイヤ2トンネリングの設定を参照してください。
SPネットワークのエッジ スイッチのカスタマーに接続したアクセス ポートまたはトンネル ポートで、レイヤ2プロトコル トンネリング（プロトコル別）をイネーブルにできます。カスタマー スイッチに接続したSPエッジ スイッチは、トンネリング プロセスを実行します。エッジ スイッチのトンネル ポートは、カスタマー802.1Qトランク ポートに接続されています。エッジ スイッチのアクセス ポートは、カスタマー アクセス ポートに接続されています。
Catalyst 3550スイッチは、CDP、STP、およびVTPのレイヤ2プロトコル トンネリングをサポートします。エミュレートされたポイントツーポイント ネットワーク トポロジーでは、PAgP、LACP、およびUDLDプロトコルをサポートします。
トンネル ポートまたはアクセス ポートを介してSP着信エッジ スイッチに入ったレイヤ2 PDUが、トランク ポートを介してSPネットワークに入ると、スイッチは、カスタマーPDU宛先MACアドレスを既知のシスコ独自のマルチキャスト アドレス（01-00-0c-cd-cd-d0）で上書きします。ここで、802.1Qトンネリングがイネーブルになっている場合は、パケットは二重タグ付きです。外側のタグはカスタマーのメトロ タグで、内側のタグはカスタマーVLANタグです。コア スイッチは、内側のタグを無視して同じメトロVLANのすべてのトランク ポートにパケットを転送します。発信側のエッジ スイッチは、正しいレイヤ2プロトコルとMACアドレス情報を復元して、同じメトロVLANのすべてのトンネル ポートまたはアクセス ポートにパケットを転送します。したがって、レイヤ2 PDUは完全な状態のままで保持され、SPネットワークを介してカスタマー ネットワークのもう一方の側に配信されます。
レイヤ2プロトコル トンネリングを参照してください。カスタマーAとカスタマーBは、それぞれアクセスVLAN 30とVLAN 40に属しています。非対称リンクは、サイト1のカスタマーをSPネットワークのエッジ スイッチに接続します。サイト1のカスタマーBからスイッチ2に着信するレイヤ2 PDU（たとえば、BPDU）は、宛先MACアドレスとして既知のMACアドレスを持つ二重タグ付きパケットとしてインフラストラクチャに転送されます。この二重タグ付きパケットは、内側のVLANタグ（たとえばVLAN 100）だけでなく、VLAN 40のメトロ VLANタグを備えています。二重タグ付きパケットがスイッチ4に着信すると、VLAN 40のメトロ VLANタグが削除されます。既知のMACアドレスは、各レイヤ2プロトコルMACアドレスに置き換わります。パケットは、VLAN 100のタグ付きフレームとして、サイト2のカスタマーBに送信されます。
カスタマー スイッチのアクセス ポートに接続したエッジ スイッチのアクセス ポートでのレイヤ2プロトコル トンネリングもイネーブルにできます。この場合、カプセル化とカプセル化解除のプロセスは、前に説明したものと同じです。ただし、パケットはSPネットワークで二重タグ付きではありません。一重タグは、カスタマー固有のアクセスVLANタグです。
ここでは、レイヤ2プロトコル トンネリングの設定について説明します。
レイヤ2イーサネット インターフェイスVLANのデフォルト設定に、レイヤ2プロトコル トンネリングのデフォルト設定を示します。
|
データ パケット用のインターフェイスに対してCoS値が設定されている場合、その値がレイヤ2 PDUに使用されるデフォルト。未設定の場合、デフォルトは5です。 |
ここでは、レイヤ2プロトコル トンネリングの設定時の注意事項と動作特性について説明します。
いずれかまたは3つすべてのレイヤ2プロトコルに対してプロトコル トンネリングをディセーブルにするには、 no l2protocol-tunnel[cdp | stp | vtp]インターフェイス コンフィギュレーション コマンドを使用します。シャットダウン スレッシュホールドおよび廃棄スレッシュホールドをデフォルト設定に戻すには、no l2protocol-tunnel shutdown-threshold [cdp | stp | vtp]およびno l2protocol-tunnel drop-threshold [cdp | stp | vtp]コマンドを使用します。
次の例は、CDP、STP、およびVTPに対してレイヤ2プロトコル トンネリングを設定し、その設定を確認する方法を示しています。
Switch(config)# interface FastEthernet0/11
Switch(config-if)# l2protocol-tunnel cdp
Switch(config-if)# l2protocol-tunnel stp
Switch(config-if)# l2protocol-tunnel vtp
Switch(config-if)# l2protocol-tunnel shutdown-threshold 1500
Switch(config-if)# l2protocol-tunnel drop-threshold 1000
Switch(config)# l2protocol-tunnel cos 7
COS for Encapsulated Packets: 7
Port Protocol Shutdown Drop Encapsulation Decapsulation Drop
Threshold Threshold Counter Counter Counter
------- -------- --------- --------- ------------- ------------- -------------
Fa0/11 cdp 1500 1000 2288 2282 0
EtherChannelを自動的に作成するように、レイヤ2ポイントツーポイント トンネリングを設定するには、SPエッジ スイッチおよびカスタマー スイッチの両方を設定する必要があります。
EtherChannelのレイヤ2プロトコル トンネリングのためにSPエッジ スイッチを設定するには、イネーブルEXECモードで次の手順を実行します。
いずれかまたは3つすべてのレイヤ2プロトコルに対してポイントツーポイント プロトコル トンネリングをディセーブルにするには、 no l2protocol-tunnel[point-to-point [pagp |lacp |udld]]インターフェイス コンフィギュレーション コマンドを使用します。シャットダウンおよび廃棄スレッシュホールドをデフォルト設定に戻すには、no l2protocol-tunnel shutdown-threshold[point-to-point [pagp |lacp |udld]]およびno l2protocol-tunnel drop-threshold [[point-to-point [pagp |lacp |udld]]コマンドを使用します。
SPエッジ スイッチを設定したら、イネーブルEXECモードを開始します。次の手順に従ってカスタマー スイッチをEtherChannelのレイヤ2プロトコル トンネリングに設定します。
|
インターフェイス コンフィギュレーション モードを開始します。これは、カスタマー スイッチ ポートである必要があります。 |
||
|
インターフェイスをチャネル グループに割り当て、PAgPモードにdesirableを指定します。EtherChannel設定の詳細については、EtherChannelの設定を参照してください。 |
||
インターフェイスをデフォルト設定に戻すには、 no switchport mode trunk, the no udld enableおよびno channel groupchannel-group-numbermodedesirableインターフェイス コンフィギュレーション コマンドを使用します。
EtherChannelでは、SPエッジ スイッチおよびカスタマー スイッチの両方をレイヤ2プロトコル トンネリングに設定する必要があります（EtherChannelのレイヤ2プロトコル トンネリングを参照してください）。
次に、SPエッジ スイッチ1およびエッジ スイッチ2を設定する例を示します。VLAN 17、18、19、および20はアクセスVLANです。インターフェイスFastEthernet 0/1および0/2は、PAgPおよびUDLDがイネーブルであるポイントツーポイント トンネル ポートで、廃棄スレッシュホールドは1000です。インターフェイスFastEthernet 0/3はトランク ポートです。
Switch(config)# interface fastethernet0/1
Switch(config-if)# switchport access vlan 17
Switch(config-if)# switchport mode dot1q-tunnel
Switch(config-if)# l2protocol-tunnel point-to-point pagp
Switch(config-if)# l2protocol-tunnel point-to-point udld
Switch(config-if)# l2protocol-tunnel drop-threshold point-to-point pagp 1000
Switch(config)# interface fastethernet0/2
Switch(config-if)# switchport access vlan 18
Switch(config-if)# switchport mode dot1q-tunnel
Switch(config-if)# l2protocol-tunnel point-to-point pagp
Switch(config-if)# l2protocol-tunnel point-to-point udld
Switch(config-if)# l2protocol-tunnel drop-threshold point-to-point pagp 1000
Switch(config)# interface fastethernet0/3
Switch(config-if)# switchport trunk encapsulation isl
Switch(config-if)# switchport mode trunk
Switch(config)# interface fastethernet0/1
Switch(config-if)# switchport access vlan 19
Switch(config-if)# switchport mode dot1q-tunnel
Switch(config-if)# l2protocol-tunnel point-to-point pagp
Switch(config-if)# l2protocol-tunnel point-to-point udld
Switch(config-if)# l2protocol-tunnel drop-threshold point-to-point pagp 1000
Switch(config)# interface fastethernet0/2
Switch(config-if)# switchport access vlan 20
Switch(config-if)# switchport mode dot1q-tunnel
Switch(config-if)# l2protocol-tunnel point-to-point pagp
Switch(config-if)# l2protocol-tunnel point-to-point udld
Switch(config-if)# l2protocol-tunnel drop-threshold point-to-point pagp 1000
Switch(config)# interface fastethernet0/3
Switch(config-if)# switchport trunk encapsulation isl
Switch(config-if)# switchport mode trunk
次に、サイト1でカスタマー スイッチを設定する例を示します。インターフェイスFastEthernet 0/1、0/2、0/3、および0/4は、802.1Qトランキング用に設定されます。UDLDはイネーブルです。EtherChannelグループ1はイネーブルです。ポート チャネルはシャットダウンされ、それからイネーブルになってEtherChannel設定を有効にします。
Switch(config)# interface fastethernet0/1
Switch(config-if)# switchport trunk encapsulation dot1q
Switch(config-if)# switchport mode trunk
Switch(config-if)# udld enable
Switch(config-if)# channel-group 1 mode desirable
Switch(config)# interface fastethernet0/2
Switch(config-if)# switchport trunk encapsulation dot1q
Switch(config-if)# switchport mode trunk
Switch(config-if)# udld enable
Switch(config-if)# channel-group 1 mode desirable
Switch(config)# interface fastethernet0/3
Switch(config-if)# switchport trunk encapsulation dot1q
Switch(config-if)# switchport mode trunk
Switch(config-if)# udld enable
Switch(config-if)# channel-group 1 mode desirable
Switch(config)# interface fastethernet0/4
Switch(config-if)# switchport trunk encapsulation dot1q
Switch(config-if)# switchport mode trunk
Switch(config-if)# udld enable
Switch(config-if)# channel-group 1 mode desirable
Switch(config)# interface port-channel 1
Switch(config-if)# no shutdown
トンネリングのモニタおよびメンテナンスのためのコマンドに、802.1Qおよびレイヤ2プロトコル トンネリングのモニタおよびメンテナンス用のイネーブルEXECコマンドを示します。
All contents copyright (C) 1992--2004 Cisco Systems K.K.
