Cisco NX-OS デバイスの初回起動時には、DoS 攻撃からスーパーバイザ モジュールを保護するためのデフォルト copp-system-policy が Cisco NX-OS ソフトウェアによってインストールされます。最初のセットアップ ユーティリティで、次のいずれかの CoPP ポリシー オプションを選択することにより、展開シナリオの CoPP ポリシー テンプレートを選択できます。

• Default：レイヤ 2 およびレイヤ 3 ポリシー。CPU にバインドされているスイッチド トラフィックとルーテッド トラフィックの間で適切なポリシング バランスを提供します。

• Layer 2：レイヤ 2 ポリシー。CPU にバインドされているレイヤ 2 トラフィック（たとえば BPDU）により多くのプリファレンスを与ます。

• Layer 3：レイヤ 3 ポリシー。CPU にバインドされているレイヤ 3 トラフィック（たとえば、BGP、RIP、OSPF など）により多くのプリファレンスを与えます。

オプションを選択しなかった場合や、セットアップ ユーティリティを実行しなかった場合には、Cisco NX-OS ソフトウェアにより Default ポリシングが適用されます。最初はこのデフォルト ポリシーを使用し、必要に応じて CoPP ポリシーを変更することを推奨します。

デフォルトの copp-system-policy ポリシーには、基本的なデバイス操作に最も適した値が設定されています。使用する DoS に対する保護要件に適合するよう、特定のクラスやアクセス コントロール リスト（ACL）を追加する必要があります。

default、Layer 2 および Layer 3 テンプレートを切り替えるには、setup コマンドを使って設定ユーティリティを再び入力することができます。

ポリシー内のクラスには、次の 2 つのタイプがあります。

• スタティック：これらのクラスは、各ポリシー テンプレートの一部であり、ポリシーまたは CoPP 設定から削除できません。スタティック クラスには、通常、デバイスの操作上重要と考えられ、ポリシーに必要なトラフィックが含まれます。

• ダイナミック：これらのクラスはポリシーから、作成、追加、または削除できます。ダイナミック クラスを使用して、要件に固有の CPU 行きトラフィック（ユニキャスト）用クラス/ポリシングを作成できます。

（注）	copp-s-x という名前のクラスはスタティック クラスです。ACL は、スタティックとダイナミックの両方のクラスに関連付けることができます。

スイッチ宛ての Protocol-Independent Multicast（PIM）データ登録パケットと一致するように、新しい CoPP クラス「copp-s-pim-datareg」が追加されました。この CoPP クラスは、PIM データ登録パケットを 600 パケット/秒（pps）のポリサー レートで別個のキューに分類するために役立ちます。PIM プロトコルの 3 つの CoPP クラスを以下に示します。

• copp-s-pimreg - PIM hello や join-prune などの、マルチキャスト パケットである PIM プロトコル パケットに一致します。

• copp-s-pimautorp – PIM RP 選択プロトコル パケットに一致します。

• copp-s-pim-datareg - PIM データ登録パケットに一致します。

特定のポリシーの 1 秒間あたりのパケット（PPS）の合計（ポリシーの各クラス部分の PPS の合計）の上限は、PPS のクレジット制限（PCL）の上限になります。特定のクラスの PPS が増加して PCL 超過すると、設定が拒否されます。目的の PPS を増やすには、PCL を超える PPS の分を他のクラスから減少させる必要があります。

CoPP に関する注意事項と制約事項は次のとおりです。

• 導入のシナリオに応じてデフォルト、L2、または L3 ポリシーを選択し、観察された動作に基づいて、CoPP ポリシーを後で変更することを推奨します。

• fast-reload を実行した後、トラフィックが完全に収束してから、トラフィックにおいて +/- 2 ～ 5 % の不規則性が約 30 ～ 40 秒間発生する場合は、ARP パケットに関する CoPP 値を大きくします。

• CoPP のカスタマイズは継続的なプロセスです。CoPP を設定するときには、特定の環境で使用されるプロトコルや機能に加えて、サーバ環境に必要なスーパーバイザ機能を考慮する必要があります。これらのプロトコルや機能が変更されたら、CoPP を変更する必要があります。

• write erase コマンドとリロードにより、copp-s-bfd コマンドに関して、ポリシングの 1 秒間あたりのパケット（PPS）のデフォルト値が 900 に変更されます。

• CoPP を継続的にモニターすることを推奨します。ドロップが発生した場合は、CoPP がトラフィックを誤ってドロップしたのか、または誤動作や攻撃に応答してドロップしたのかを判定してください。どちらの場合も、状況を分析して、別の CoPP ポリシーを使用するか、またはカスタマイズ済み CoPP ポリシーを変更する必要があるかどうかを評価します。

• Cisco NX-OS ソフトウェアは、出力 CoPP とサイレント モードをサポートしません。CoPP は入力だけでサポートされます。service-policy output copp は、コントロール プレーン インターフェイスには適用できません。

• 新しい CoPP ポリシーの作成はサポートされていません。

• アップグレードする際には、デフォルト LLDP CoPP 値が 500 pps 未満であるかどうか確認してください。500 pps 未満である場合は、次のコマンドを使用して、手動で 500 pps に変更してください。

  switch(config)# policy-map type control-plane policy-map-name 
  switch(config-pmap)# class copp-s-lldp
  switch(config-pmap-c)# police pps 500 

• glean（キャッシュ モードのクラス デフォルトのクラス マップ）に関するハードウェア カウンタはありません。

• MTU 障害クラス マップに関するカウンタはありません。

• NAT に関するハードウェア カウンタはありません。

• IPMCMISS に関するハードウェア カウンタはありません。

• スタティック クラス マップには match ACL ステートメントを追加できません。

• トンネルが設定されていない場合、Cisco Nexus 3500 シリーズ スイッチは、すべてのパケットをドロップします。また、トンネルが設定されている場合でも、トンネル インターフェイスが設定されていないか、トンネル インターフェイスがシャットダウン状態のときは、パケットがドロップされます。

  ポイントツーポイント トンネル（送信元と宛先）：Cisco Nexus 3500 シリーズ スイッチは、feature tunnel コマンドが設定されており、着信パケットの外部送信元および宛先アドレスと一致するトンネル送信元および宛先アドレスによって設定されている使用可能なトンネル インターフェイスが存在する場合に、そのスイッチを宛先とするすべての IP-in-IP パケットのカプセル化を解除します。送信元および宛先パケットが一致しない場合またはインターフェイスがシャットダウン状態の場合は、パケットがドロップされます。

  トンネルのカプセル化解除（送信元のみ）：Cisco Nexus 3500 シリーズ スイッチは、feature tunnel コマンドが設定されており、着信パケットの外部宛先アドレスと一致するトンネル送信元アドレスによって設定されている使用可能なトンネル インターフェイスが存在する場合に、そのスイッチを宛先とするすべての IP-in-IP パケットのカプセル化を解除します。送信元パケットが一致しない場合またはインターフェイスがシャットダウン状態の場合は、パケットがドロップされます。

• 前面パネル ポート経由で NXAPI を使用する場合は、パケットがドロップせず、出力が大きい CLI が予定時間内に戻るように、3000 PPS トラフィックを許可するように（http の）CoPP ポリシーを増やす必要があります。

• セットアップ スクリプトを実行すると、「Enter to basic configuration (yes/no)?」というプロンプトが表示されます。

  • no と応答すると、デフォルトの CoPP ポリシー テンプレートはシステムに適用されません。

  • yes と応答すると、稼働バージョンのデフォルトの CoPP ポリシー テンプレートがシステムに適用されます。この操作により、システム CoPP クラスに設定されているデフォルト以外のポリサー レートが上書きされます。

  （注）	スクリプトのセットアップ スクリプトの実行中に Ctrl+C を押すと、デフォルトの CoPP ポリシー テンプレートはシステムに適用されず、既存の CoPP ポリシーは変更されません

• セットアップ スクリプトを実行して基本設定を入力した後に Ctrl+C を押すと、残りのすべてのステップがスキップされ、「Apply and save the config before exiting (yes/no)?」というプロンプトが表示されます。

  • no と応答すると、デフォルトの CoPP ポリシー テンプレートはシステムに適用されません。

  • yes と応答すると、稼働バージョンのデフォルトの CoPP ポリシー テンプレートが適用されます。この操作により、システム CoPP クラスに設定されているデフォルト以外のポリサー レートが上書きされます。

• セットアップ スクリプトは、ユーザー定義の CoPP クラスを変更しません。

• セットアップ スクリプトが正常に実行され、その一環としてデフォルトの CoPP ポリシー テンプレートが適用されると、制御パケットが短時間ドロップされることがあります。この期間中に、コントロール プレーン プロトコルがフラップすることがあります。

• PPS のクレジットが使い果たされると、セットアップ スクリプトがデフォルトの CoPP ポリシー テンプレートの設定に失敗することがあります。これにより、PPS がゼロのシステム CoPP クラスが 1 つ以上生じることがあります。これにより、高い PPS 値を持つユーザー定義クラスがあるときに起こる可能性があります。デフォルトの CoPP ポリシーを適用するには、ユーザー定義の CoPP クラスの PPS 値を再設定して、セットアップ スクリプトを再度実行する必要があります。

• CDP（copp-s-cdp）、LLDP（copp-s-lldp）、LACP（copp-s-lacp）、BPDU（copp-s-bpdu）クラスのハードウェアおよびソフトウェア一致パケット カウンタが、Cisco Nexus 3548 プラットフォーム スイッチで集約されます。同様に、copp-s-dhcpreq および copp-s-dhcpresp クラスのハードウェアおよびソフトウェア一致パケット カウンタも集約されます。

• 変更が COPP ポリシーに適用されると、構成は非アトミック動作としてハードウェアに実装されます。このプロセスにより、制御トラフィックが中断される可能性があります。