Catalyst 6500 シリーズ スイッチ/Cisco 7600 シリーズ ルータ Network Analysis Module インストレーション コンフィギュレーション ノート Release 3.5(1)

NAM における SPAN の使い方

SPAN セッションでは、パラメータを設定してモニタ対象のネットワーク トラフィックを指定し、宛先ポートを送信元ポートのセットに関連付けます。スイッチド ネットワークには複数の SPAN セッションを設定できます。

WS-SVC-NAM-1 プラットフォームには SPAN セッションの宛先ポートが 1 つあります。WS-SVC-NAM-2 プラットフォームには SPAN および VACL セッションの宛先ポートが 2 つある可能性があります。NAM への複数 SPAN セッションがサポートされていますが、ポートの宛先は別々にする必要があります。SPAN の GUI（グラフィカル ユーザ インターフェイス）で使用するデフォルトの NAM 宛先ポート名は DATA PORT 1 および DATA PORT 2 です。CLI（コマンドライン インターフェイス）の SPAN ポート名を 表1-2 に示します。

ポートはそれぞれ独立しています。1 つのポートのトラフィックだけを読み込んでデータポート集合を作成することも、両方のポートからトラフィックを読み込んでデータポート集合を作成することもできます。また、VLAN ベースの集合も作成できます。その場合は、集合を読み込んだ VLAN に対応するポートのパケットを使用します。

SPAN の詳細および SPAN を Catalyst 6000 および 6500 シリーズ スイッチに設定する方法については、次の URL を参照してください。

http://www.cisco.com/univercd/cc/td/doc/product/lan/cat6000/122sy/swcg/span.htm#1032978

SPAN の詳細および SPAN を Cisco 7600 シリーズ ルータに設定する方法については、次の URL を参照してください。

http://www.cisco.com/univercd/cc/td/doc/product/core/cis7600/software/122sx/swcg/span.htm

NAM は管理ポートの Encapsulated Remote SPAN（ERSPAN）トラフィックをサポートし、このトラフィックをデータ ソースとして使用します。ERSPAN トラフィックのすべての集合タイプがサポートされます。

ERSPAN は SPAN の拡張版で、Generic Routing Encapsulation（GRE; 総称ルーティング カプセル化）パケットにカプセル化されたパケットが ERSPAN の宛先に送信されます。通常、ERSPAN の発信元および宛先は PFC5 以降のリリースの Supervisor Engine 720 です。ERSPAN トラフィックは IP または GRE を使用してルータで送信するパケットをカプセル化し、NAM データ ポートにはカプセル化解除されたトラフィックが送信されます。

NAM における VACL の使い方

VLAN Access Control List（VACL; VLAN アクセス コントロール リスト）とは、WAN インターフェイスまたは VLAN から NAM のデータ ポートにトラフィックを転送する方法です。VACL には SPAN を使用する方法もあります。VACL は IP および IPX プロトコルのレイヤ 3 アドレスに基づいてアクセスを制御することもできます。サポートされていないプロトコルは、MAC アドレスからアクセスが制御されます。MAC VACL を使って IP または IPX アドレスをアクセス制御することはできません。

VACL には、すべてのブリッジド VLAN パケットまたはルーテッド VLAN パケットをキャプチャするタイプと、すべてのブリッジド VLAN パケットまたはルーテッド VLAN パケットのサブセットを指定してキャプチャするタイプの 2 種類があります。Catalyst オペレーティング システムの VACL を使った場合、VLAN パケットしかキャプチャできません。これは、スイッチ上の VLAN に最初からルーティングまたはブリッジされているためです。

VACL は、VLAN 内でブリッジされているすべてのパケット、VLAN または WAN インターフェイスにルーティングされているすべてのパケット、あるいは VLAN または WAN インターフェイスからルーティングされているすべてのパケットにアクセス制御を提供できます。ただし WAN インターフェイスについてはリリース 12.1(13)E 以降しか対応していません。通常の Cisco IOS 規格や拡張 ACL はルータ インターフェイス専用に設定されており、ルーティングされたパケットにだけ適用されますが、VACL はすべてのパケットに適用でき、任意の VLAN または WAN インターフェイスに適用できます。VACL はハードウェアで処理されます。

VACL は Cisco IOS Access Control List（ACL; アクセス コントロール リスト）を使用します。VACLは、ハードウェアでサポートされない Cisco IOS ACL フィールドを無視します。標準および拡張 Cisco IOS ACL は、パケットを分類するために使用します。分類されたパケットは、アクセス コントロール（セキュリティ）、暗号化、Policy-Based Routing（PBR; ポリシー ベース ルーティング）などの機能の対象になります。標準および拡張 Cisco IOS ACL はルータ インターフェイス専用に設定され、ルーティングされたパケットに適用されます。

VLAN 上に VACL が設定されると、VLAN に届くすべてのパケットは、ルーティングされたものであれブリッジされたものであれ、VACL でチェックします。パケットはスイッチ ポートから VLAN に届く場合と、ルーティング後にルータ ポートから届く場合があります。Cisco IOS ACL とは異なり、VACL には入力や出力の方向が定義されていません。

VACL には、順番の決まった Access Control Entry（ACE; アクセス コントロール エントリ）のリストがあります。ACE にはパケットの内容に対応する多数のフィールドがあります。フィールドには関連付けたビット マスクを含めることができ、どのビットが関連しているかがわかります。ACE にはアクションが関連付けられており、一致した場合にシステムからパケットに対して行う内容が指定されています。アクションは機能に依存しています。Catalyst 6000 シリーズ スイッチ、6500 シリーズ スイッチ、および Cisco 7600 シリーズ ルータのハードウェアは次の 3 種類の ACE をサポートします。IP、IPX、MAC レイヤ トラフィックです。WAN インターフェイスに適用される VACL は IP トラフィックだけをサポートします。

VACL を設定して VLAN に適用した場合、VLAN に届くすべてのパケットを VACL でチェックします。VACL を VLAN に適用し、ACL を VLAN のルーテッド インターフェイスに適用した場合、VLAN に届くパケットはまず VACL でチェックされます。結果が permit であれば、次に入力 ACL でチェックされ、その後ルーテッド インターフェイスで処理されます。このパケットが別の VLAN にルーティングされた場合、まずルーテッド インターフェイスに適用された出力 ACL でチェックされ、結果が permit であれば、宛先 VLAN に設定された VACL が適用されます。VACL がパケット タイプに設定され、そのタイプのパケットと VACL が一致しなければ、デフォルトのアクションは deny です。

VACL を設定する場合は、次の項目に注意してください。

• VACL および Context-Based Access Control（CBAC; コンテキストベース アクセス コントロール）を同じインターフェイスに設定することはできません。

• TCP 代行受信とリフレクシブ ACL が同じインターフェイスに設定されている場合、VACL のアクションが優先されます。

• Internet Group Management Protocol（IGMP; インターネット グループ管理プロトコル）パケットはVACLでチェックされません。

Cisco IOS ソフトウェアで VACL を設定する方法の詳細は『 Network Analysis Module for Catalyst 6500 Series and Cisco 7600 Series Command Reference 』を参照してください。Catalyst オペレーティング システムでセキュリティ ACL を設定する方法の詳細は、『 Catalyst 6500 Series Software Configuration Guide 』および『 Catalyst 6500 Series Command Reference 』を参照してください。

NAM における NDE の使い方

NDE は、NAM のポート トラフィックがモニタできるリモート デバイスです。NAM の NDE データ ソースを使用するには、NAM の UDP ポート 3000 に NDE パケットをエクスポートするようにリモート デバイスを設定します。デバイスはインターフェイスごとに設定する必要があります。Web アプリケーション ユーザ インターフェイスに、NDE デバイスを指定するための画面が追加されています（NDE デバイスは IP アドレスで区別できます）。デフォルトでは、スイッチのローカル スーパバイザ エンジンは常に NDE デバイスとして使用できます。

IP アドレスとコミュニティ ストリングを指定すると、追加の NDE デバイスが定義できます。コミュニティ ストリングは省略可能です。コミュニティ ストリングは、インターフェイス用に便利なテキスト形式の文字列をリモート デバイスにアップロードして、NetFlow レコードでモニタするために使用します。

NAM の NDE データ ソースについては、NAM Traffic Analyzer のオンライン ヘルプで Contents > Setting Up the Application > Setting Up Data Sources > Understanding NetFlow Interfaces の順に選択してください。

STATUS LED

STATUS LED は、NAM の動作状態を表します（ 表1-3 を参照）。

SHUTDOWN ボタン

NAM ハードディスクの損傷を防ぐには、NAM を正しくシャットダウンした後にシャーシから NAM を取り外すか、または電源を切断する必要があります。このシャットダウン手順は通常、スーパバイザ エンジン CLI プロンプトまたは NAM CLI プロンプトでコマンドを入力して開始します。

（注） 破損したディスクを復旧するには、--install オプションを使ってアプリケーション イメージをアップグレードします。「Catalyst オペレーティング システム ソフトウェアを使用した NAM アプリケーション ソフトウェアのアップグレード」を参照してください。

NAM がこれらのコマンドに正常に応答しない場合は、前面パネルの SHUTDOWN ボタンを使用してシャットダウン手順を開始します。

シャットダウン手順の完了には、数分かかることがあります。NAM がシャットダウンすると、STATUS LED が消灯します。