- はじめに
- コマンドライン インターフェイスの使用
-
- セキュリティ機能の概要
- 不正アクセスの防止
- パスワードおよび権限レベルによるスイッチ アクセスの制御
- TACACS+ の設定
- RADIUS の設定
- Kerberos の設定
- ローカル認証および許可の設定
- セキュア シェル（SSH）の設定
- Secure Socket Layer HTTP の設定
- IPv4 ACL の設定
- IPv6 ACL の設定
- DHCP の設定
- IP ソース ガードの設定
- ダイナミック ARP インスペクションの設定
- IEEE 802.1x ポートベースの認証の設定
- Web ベース認証の設定
- ポート単位のトラフィック制御の設定
- IPv6 ファースト ホップ セキュリティの設定
- FIPS の設定
- 重要な通知
統合プラットフォーム コンフィギュレーション ガイド、Cisco IOS Release 15.2(3) E（Catalyst 3560-CX および 2960 CX スイッチ）
偏向のない言語
この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
翻訳について
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
- Updated:
- 2017年6月13日
章のタイトル： ポート単位のトラフィック制御の設定
目次
- ポート単位のトラフィック制御の設定
- ポートベースのトラフィック制御の概要
- 機能情報の確認
- ストーム制御に関する情報
- ストーム制御
- トラフィック アクティビティの測定方法
- トラフィック パターン
- ストーム制御の設定方法
- ストーム制御およびしきい値レベルの設定
- スモール フレーム到着レートの設定
- 保護ポートに関する情報
- 保護ポート
- 保護ポートのデフォルト設定
- 保護ポートのガイドライン
- 保護ポートの設定方法
- 保護ポートの設定
- 保護ポートのモニタリング
- 次の作業
- ポート ブロッキングに関する情報
- ポート ブロッキング
- ポート ブロッキングの設定方法
- インターフェイスでのフラッディング トラフィックのブロッキング
- ポート ブロッキングのモニタリング
- ポート セキュリティの前提条件
- ポート セキュリティの制約事項
- ポート セキュリティの概要
- ポート セキュリティ
- セキュア MAC アドレスのタイプ
- スティッキ セキュア MAC アドレス
- セキュリティ違反
- ポート セキュリティ エージング
- デフォルトのポート セキュリティ設定
- ポート セキュリティの設定時の注意事項
- ポートベースのトラフィック制御の概要
- ポート セキュリティの設定方法
- ポート セキュリティのイネーブル化および設定
- ポート セキュリティ エージングのイネーブル化および設定
- 機能情報の確認
- ストーム制御に関する情報
- ストーム制御
- トラフィック アクティビティの測定方法
- トラフィック パターン
- ストーム制御の設定方法
- ストーム制御およびしきい値レベルの設定
- スモール フレーム到着レートの設定
- 保護ポートに関する情報
- 保護ポート
- 保護ポートのデフォルト設定
- 保護ポートのガイドライン
- 保護ポートの設定方法
- 保護ポートの設定
- 保護ポートのモニタリング
- 次の作業
- ポート ブロッキングに関する情報
- ポート ブロッキング
- ポート ブロッキングの設定方法
- インターフェイスでのフラッディング トラフィックのブロッキング
- ポート ブロッキングのモニタリング
- ポート セキュリティの設定例
- プロトコル ストーム プロテクションに関する情報
- プロトコル ストーム プロテクション
- デフォルトのプロトコル ストーム プロテクションの設定
- プロトコル ストーム プロテクションの設定方法
- プロトコル ストーム プロテクションのイネーブル化
- プロトコル ストーム プロテクションのモニタリング
ポートベースのトラフィック制御の概要
ポート ベースのトラフィック制御は、特定トラフィック状態に応じてポート レベルでパケットをフィルタまたはブロックするために使用する Cisco Catalyst スイッチ上のレイヤ 2 機能の組み合わせです。 次のポート ベースのトラフィック制御機能が、このガイドの記述対象の Cisco IOS リリースでサポートされます。
機能情報の確認
ご使用のソフトウェア リリースでは、このモジュールで説明されるすべての機能がサポートされているとは限りません。 最新の機能情報および警告については、使用するプラットフォームおよびソフトウェア リリースの Bug Search Tool およびリリース ノートを参照してください。 このモジュールに記載されている機能の詳細を検索し、各機能がサポートされているリリースのリストを確認する場合は、このモジュールの最後にある機能情報の表を参照してください。
プラットフォームのサポートおよびシスコ ソフトウェア イメージのサポートに関する情報を検索するには、Cisco Feature Navigator を使用します。 Cisco Feature Navigator には、http://www.cisco.com/go/cfn からアクセスします。 Cisco.com のアカウントは必要ありません。
ストーム制御に関する情報
ストーム制御
ストーム制御は、物理インターフェイスの 1 つで発生したブロードキャスト、マルチキャスト、またはユニキャスト ストームによって LAN 上のトラフィックが混乱することを防ぎます。 LAN ストームは、LAN にパケットがフラッディングした場合に発生します。その結果、トラフィックが極端に増えてネットワーク パフォーマンスが低下します。 プロトコルスタックの実装エラー、ネットワーク構成の間違い、またはユーザによって引き起こされる DoS 攻撃もストームの原因になります。
ストーム制御（またはトラフィック抑制）は、インターフェイスからスイッチング バスを通過するパケットをモニタし、パケットがユニキャスト、マルチキャスト、またはブロードキャストのいずれであるかを判別します。 スイッチは、1 秒間に受け取った特定のタイプのパケットの数をカウントして、事前に定義された抑制レベルのしきい値とその測定結果を比較します。
トラフィック アクティビティの測定方法
ストーム制御は、次のうちのいずれかをトラフィック アクティビティの測定方法に使用します。
上記の方法のいずれを使用しても、しきい値に到達すると、ポートはトラフィックをブロックします。 トラフィック レートが下限しきい値（指定されている場合）を下回らない限り、ポートはブロックされたままになり、その後、通常の転送が再開されます。 下限抑制レベルが指定されていない場合、トラフィック レートが上限抑制レベルを下回らない限り、スイッチはすべてのトラフィックをブロックします。 一般に、そのレベルが高ければ高いほど、ブロードキャスト ストームに対する保護効果は薄くなります。
トラフィック パターン
T1 から T2、T4 から T5 のタイム インターバルで、転送するブロードキャスト トラフィックが設定されたしきい値を上回っています。 指定のトラフィック量がしきい値を上回ると、次のインターバルで、そのタイプのトラフィックがすべてドロップされます。 したがって、T2 と T5 の後のインターバルの間、ブロードキャスト トラフィックがブロックされます。 その次のインターバル（たとえば、T3）では、しきい値を上回らない限り、ブロードキャスト トラフィックが再び転送されます。
ストーム制御抑制レベルと 1 秒間のインターバルを組み合わせて、ストーム制御アルゴリズムの動作を制御します。 しきい値が高いほど、通過できるパケット数が多くなります。 しきい値が 100% であれば、トラフィックに対する制限はありません。 値を 0.0 にすると、そのポート上ではすべてのブロードキャスト、マルチキャスト、またはユニキャスト トラフィックがブロックされます。
 （注） |
パケットは一定の間隔で届くわけではないので、トラフィック アクティビティを測定する 1 秒間のインターバルがストーム制御の動作を左右する可能性があります。 |
各トラフィック タイプのしきい値を設定するには、 storm-control インターフェイス コンフィギュレーション コマンドを使用します。
ストーム制御の設定方法
ストーム制御およびしきい値レベルの設定
ポートにストーム制御を設定し、特定のトラフィック タイプで使用するしきい値レベルを入力します。
ただし、ハードウェアの制約とともに、さまざまなサイズのパケットをどのように数えるかという問題があるので、しきい値の割合はあくまでも近似値です。 着信トラフィックを形成するパケットのサイズによって、実際に適用されるしきい値は設定されたレベルに対して、数 % の差異が生じる可能性があります。
（注） |
ストーム制御は、物理インターフェイスでサポートされています。 また、EtherChannel でもストーム制御を設定できます。 ストーム制御を EtherChannel で設定する場合、ストーム制御設定は EtherChannel 物理インターフェイスに伝播します。 |
ストーム制御としきい値レベルを設定するには、次の手順を実行します。
ストーム制御は、物理インターフェイスでサポートされています。 また、EtherChannel でもストーム制御を設定できます。 ストーム制御を EtherChannel で設定する場合、ストーム制御設定は EtherChannel 物理インターフェイスに伝播します。
1. enable
4.
storm-control {
broadcast |
multicast |
unicast}
level {
level [
level-low] |
bps
bps [
bps-low] |
pps
pps [
pps-low]}
5.
storm-control action {
shutdown |
trap}
7.
show storm-control [
interface-id] [
broadcast |
multicast |
unicast]
手順の詳細
スモール フレーム到着レートの設定
67 バイト未満の着信 VLAN タグ付きパケットは、小さいフレームと見なされます。 このパケットはスイッチにより転送されますが、スイッチ ストーム制御カウンタを増加させません。
スイッチ上の小さいフレームの着信機能をグローバルにイネーブルにして、各インターフェイスのパケットの小さいフレームのしきい値を設定します。 最小サイズよりも小さく、指定されたレート（しきい値）で着信するパケットは、ポートがディセーブルにされた後はドロップされます。
1. enable
3.
errdisable detect cause small-frame
4.
errdisable recovery interval
interval
5.
errdisable recovery cause small-frame
7.
small-frame violation-rate
pps
9.
show interfaces
interface-id
11. copy running-config startup-config
手順の詳細
保護ポートに関する情報
保護ポート
アプリケーションによっては、あるネイバーが生成したトラフィックが別のネイバーにわからないように、同一スイッチ上のポート間でレイヤ 2 トラフィックが転送されないように設定する必要があります。 このような環境では、保護ポートを使用すると、スイッチ上のポート間でユニキャスト、ブロードキャスト、またはマルチキャスト トラフィックの交換が確実になくなります。
-
保護ポートは、同様に保護ポートになっている他のポートに対して、ユニキャスト、マルチキャスト、またはブロードキャスト トラフィックを転送しません。 データ トラフィックはレイヤ 2 の保護ポート間で転送されません。PIM パケットなどは CPU で処理されてソフトウェアで転送されるため、このような制御トラフィックだけが転送されます。 保護ポート間を通過するすべてのデータ トラフィックは、レイヤ 3 デバイスを介して転送されなければなりません。
スイッチ スタックは論理的には 1 つのスイッチを表しているため、レイヤ 2 トラフィックは、スタック内の同一スイッチか異なるスイッチかにかかわらず、スイッチ スタックの保護ポート間では転送されません。
保護ポートのデフォルト設定
保護ポートのガイドライン
保護ポートは、物理インターフェイス（GigabitEthernet ポート 1 など）または EtherChannel グループ（port-channel 5 など）に設定できます。 ポート チャネルで保護ポートをイネーブルにした場合は、そのポート チャネル グループ内のすべてのポートでイネーブルになります。
保護ポートの設定方法
保護ポートの設定
手順の詳細
保護ポートのモニタリング
コマンド |
目的 |
|---|---|
すべてのスイッチング（非ルーティング）ポートまたは指定されたポートの管理ステータスまたは動作ステータスを、ポート ブロッキングおよびポート保護の設定を含めて表示します。 |
次の作業
ポート ブロッキング
デフォルトでは、スイッチは未知の宛先 MAC アドレスが指定されたパケットをすべてのポートからフラッディングします。 未知のユニキャストおよびマルチキャスト トラフィックが保護ポートに転送されると、セキュリティ上、問題になる可能性があります。 未知のユニキャストおよびマルチキャスト トラフィックがあるポートから別のポートに転送されないようにするために、（保護または非保護）ポートをブロックし、未知のユニキャストまたはマルチキャスト パケットが他のポートにフラッディングされないようにします。
（注） |
マルチキャスト トラフィックでは、ポート ブロッキング機能は純粋なレイヤ 2 パケットだけをブロックします。 ヘッダーに IPv4 または IPv6 の情報を含むマルチキャスト パケットはブロックされません。 |
インターフェイスでのフラッディング トラフィックのブロッキング
インターフェイスは物理インターフェイスまたは EtherChannel グループのいずれも可能です。 ポート チャネルのマルチキャストまたはユニキャスト トラフィックをブロックすると、ポート チャネル グループのすべてのポートでブロックされます。
手順の詳細
ポート ブロッキングのモニタリング
コマンド |
目的 |
|---|---|
すべてのスイッチング（非ルーティング）ポートまたは指定されたポートの管理ステータスまたは動作ステータスを、ポート ブロッキングおよびポート保護の設定を含めて表示します。 |
ポート セキュリティの前提条件
（注） |
最大値をインターフェイス上ですでに設定されているセキュア アドレスの数より小さい値に設定しようとすると、コマンドが拒否されます。 |
ポート セキュリティの制約事項
スイッチまたはスイッチ スタックに設定できるセキュア MAC アドレスの最大数は、システムで許可されている MAC アドレスの最大数によって決まります。 この数は、アクティブ スイッチ データベース管理（SDM）テンプレートによって決まります。この数は使用可能な MAC アドレスの合計で、他のレイヤ 2 機能で使用されるものや、インターフェイスで設定されたその他のセキュアな MAC アドレスが含まれています。
ポート セキュリティの概要
ポート セキュリティ
ポート セキュリティ機能を使用すると、ポートへのアクセスを許可するステーションの MAC アドレスを制限および識別して、インターフェイスへの入力を制限できます。 セキュア ポートにセキュア MAC アドレスを割り当てると、ポートは定義されたアドレス グループ以外の送信元アドレスを持つパケットを転送しません。 セキュア MAC アドレス数を 1 つに制限し、単一のセキュア MAC アドレスを割り当てると、そのポートに接続されたワークステーションに、ポートの帯域幅全体が保証されます。
セキュア ポートとしてポートを設定し、セキュア MAC アドレスが最大数に達した場合、ポートにアクセスを試みるステーションの MAC アドレスが識別されたセキュア MAC アドレスのいずれとも一致しないので、セキュリティ違反が発生します。 また、あるセキュア ポート上でセキュア MAC アドレスが設定または学習されているステーションが、別のセキュア ポートにアクセスしようとしたときにも、違反のフラグが立てられます。
セキュア MAC アドレスのタイプ
スイッチは、次のセキュア MAC アドレス タイプをサポートします。
-
スタティック セキュア MAC アドレス： switchport port-security mac-address mac-address インターフェイス コンフィギュレーション コマンドを使用して手動で設定され、アドレス テーブルに保存されたのち、スイッチの実行コンフィギュレーションに追加されます。
-
ダイナミック セキュア MAC アドレス：動的に設定されてアドレス テーブルにのみ保存され、スイッチの再起動時に削除されます。
-
スティッキー セキュア MAC アドレス：動的に学習することも、手動で設定することもできます。アドレス テーブルに保存され、実行コンフィギュレーションに追加されます。 このアドレスがコンフィギュレーション ファイルに保存されていると、スイッチの再起動時にインターフェイスはこれらを動的に再設定する必要がありません。
スティッキ セキュア MAC アドレス
スティッキー ラーニングをイネーブルにすると、ダイナミック MAC アドレスをスティッキー セキュア MAC アドレスに変換して実行コンフィギュレーションに追加するようにインターフェイスを設定できます。 インターフェイスはスティッキ ラーニングがイネーブルになる前に学習したものを含め、すべてのダイナミック セキュア MAC アドレスをスティッキー セキュア MAC アドレスに変換します。 すべてのスティッキー セキュア MAC アドレスは実行コンフィギュレーションに追加されます。
スティッキー セキュア MAC アドレスは、コンフィギュレーション ファイル（スイッチが再起動されるたびに使用されるスタートアップ コンフィギュレーション）に、自動的には反映されません。 スティッキー セキュア MAC アドレスをコンフィギュレーション ファイルに保存すると、スイッチの再起動時にインターフェイスはこれらを再び学習する必要がありません。 スティッキ セキュア アドレスを保存しない場合、アドレスは失われます。
スティッキ ラーニングがディセーブルの場合、スティッキ セキュア MAC アドレスはダイナミック セキュア アドレスに変換され、実行コンフィギュレーションから削除されます。
セキュリティ違反
次のいずれかの状況が発生すると、セキュリティ違反になります。
-
最大数のセキュア MAC アドレスがアドレス テーブルに追加されている状態で、アドレス テーブルに未登録の MAC アドレスを持つステーションがインターフェイスにアクセスしようとした場合。
-
あるセキュア インターフェイスで学習または設定されたアドレスが、同一 VLAN 内の別のセキュア インターフェイスで使用された場合。
違反が発生した場合の対処に基づいて、次の 3 種類の違反モードのいずれかにインターフェイスを設定できます。
-
protect（保護）：セキュア MAC アドレスの数がポートで許可されている最大限度に達すると、最大値を下回るまで十分な数のセキュア MAC アドレスを削除するか、許可アドレス数を増やさないかぎり、未知の送信元アドレスを持つパケットはドロップされます。 セキュリティ違反が起こっても、ユーザには通知されません。
（注）
トランク ポートに protect 違反モードを設定することは推奨しません。 保護モードでは、ポートが最大数に達していなくても VLAN が保護モードの最大数に達すると、ラーニングがディセーブルになります。
-
restrict（制限）：セキュア MAC アドレスの数がポートで許可されている最大限度に達すると、最大値を下回るまで十分な数のセキュア MAC アドレスを削除するか、許可アドレス数を増やさないかぎり、未知の送信元アドレスを持つパケットはドロップされます。 このモードでは、セキュリティ違反が発生したことが通知されます。 SNMP トラップが送信されます。Syslog メッセージがロギングされ、違反カウンタが増加します。
-
shutdown（シャットダウン）：ポート セキュリティ違反により、インターフェイスが error-disabled になり、ただちにシャットダウンされます。そのあと、ポートの LED が消灯します。 セキュア ポートが error-disabled ステートの場合は、 errdisable recovery cause psecure-violation グローバル コンフィギュレーション コマンドを入力してこのステートを解除するか、 shutdown および no shut down インターフェイス コンフィギュレーション コマンドを入力して手動で再びイネーブルにできます。 これは、デフォルトのモードです。
-
shutdown vlan（VLAN シャットダウン）：VLAN 単位でセキュリティ違反モードを設定するために使用します。 このモードで違反が発生すると、ポート全体ではなく、VLAN が errdisable になります。
| 1 | 2 | |||||
|---|---|---|---|---|---|---|
| 3 |
ポート セキュリティ エージング
ポート上のすべてのセキュア アドレスにエージング タイムを設定するには、ポート セキュリティ エージングを使用します。 ポートごとに 2 つのタイプのエージングがサポートされています。
デフォルトのポート セキュリティ設定
ポート セキュリティの設定時の注意事項
-
ポート セキュリティを設定できるのは、スタティック アクセス ポートまたはトランク ポートに限られます。 セキュア ポートをダイナミック アクセス ポートにすることはできません。
-
（注）
音声 VLAN はアクセス ポートでのみサポートされており、設定可能であってもトランク ポートではサポートされていません。
-
音声 VLAN が設定されたインターフェイス上でポート セキュリティをイネーブルにする場合は、ポートの最大セキュア アドレス許容数を 2 に設定します。 ポートを Cisco IP Phone に接続する場合は、IP Phone に MAC アドレスが 1 つ必要です。 Cisco IP Phone のアドレスは音声 VLAN 上で学習されますが、アクセス VLAN 上では学習されません。 1 台の PC を Cisco IP Phone に接続する場合、MAC アドレスの追加は必要ありません。 複数の PC を Cisco IP Phone に接続する場合、各 PC と IP Phone に 1 つずつ使用できるように、十分な数のセキュア アドレスを設定する必要があります。
-
トランク ポートがポート セキュリティで設定され、データ トラフィックのアクセス VLAN および音声トラフィックのアクセス VLAN に割り当てられている場合は、 switchport voice および switchport priority extend インターフェイス コンフィギュレーション コマンドを入力しても効果はありません。
接続装置が同じ MAC アドレスを使用してアクセス VLAN の IP アドレス、音声 VLAN の IP アドレスの順に要求すると、アクセス VLAN だけが IP アドレスに割り当てられます。
-
インターフェイスの最大セキュア アドレス値を入力したときに、新しい値がそれまでの値より大きいと、それまで設定されていた値が新しい値によって上書きされます。 新しい値が前回の値より小さく、インターフェイスで設定されているセキュア アドレス数が新しい値より大きい場合、コマンドは拒否されます。
| ダイナミックアクセス ポート6 |
|
| 音声 VLAN ポート7 |
|
ポートベースのトラフィック制御の概要
ポート ベースのトラフィック制御は、特定トラフィック状態に応じてポート レベルでパケットをフィルタまたはブロックするために使用する Cisco Catalyst スイッチ上のレイヤ 2 機能の組み合わせです。 次のポート ベースのトラフィック制御機能が、このガイドの記述対象の Cisco IOS リリースでサポートされます。
ポート セキュリティの設定方法
- ポート セキュリティのイネーブル化および設定
- ポート セキュリティ エージングのイネーブル化および設定
- 機能情報の確認
- ストーム制御に関する情報
- ストーム制御の設定方法
- 保護ポートに関する情報
- 保護ポートの設定方法
- 保護ポートのモニタリング
- 次の作業
- ポート ブロッキングに関する情報
- ポート ブロッキングの設定方法
- ポート ブロッキングのモニタリング
ポート セキュリティのイネーブル化および設定
このタスクは、ポートにアクセスできるステーションの MAC アドレスを制限および識別して、インターフェイスへの入力を制約します。
1. enable
3. port-security mac-address forbiddenmac address
5.
switchport mode {
access |
trunk}
6.
switchport voice vlan
vlan-id
8.
switchport port-security [maximum
value [
vlan {
vlan-list | {
access |
voice}}]]
9.
switchport port-security violation {
protect |
restrict |
shutdown |
shutdown vlan}
10.
switchport port-security [mac-address
mac-address [
vlan {
vlan-id | {
access |
voice}}]
11.
switchport port-security mac-address sticky
12.
switchport port-security mac-address sticky [
mac-address |
vlan {
vlan-id | {
access |
voice}}]
13. switchport port-security mac-address forbiddenmac address
17. copy running-config startup-config
手順の詳細
| コマンドまたはアクション | 目的 | |||||
|---|---|---|---|---|---|---|
| ステップ 1 | enable 例：
Switch> enable
|
特権 EXEC モードをイネーブルにします。 パスワードを入力します（要求された場合）。 |
||||
| ステップ 2 |
configureterminal 例： Switch# configure terminal |
|||||
| ステップ 3 | port-security mac-address forbiddenmac address 例：
Switch(config)# port-security mac-address forbidden 2.2.2
|
すべてのインターフェイスのポート セキュリティで禁止する MAC アドレスを指定します。 |
||||
| ステップ 4 |
interface
interface-id 例： Switch(config)# interface gigabitethernet1/0/1 |
|||||
| ステップ 5 |
switchport mode {
access |
trunk} 例： Switch(config-if)# switchport mode access |
インターフェイス スイッチポート モードを access または trunk に設定します。デフォルト モード（dynamic auto）のインターフェイスは、セキュア ポートとして設定できません。 |
||||
| ステップ 6 |
switchport voice vlan
vlan-id 例： Switch(config-if)# switchport voice vlan 22 |
|||||
| ステップ 7 |
switchport port-security 例： Switch(config-if)# switchport port-security |
|||||
| ステップ 8 |
switchport port-security [maximum
value [
vlan {
vlan-list | {
access |
voice}}]] 例： Switch(config-if)# switchport port-security maximum 20 |
（任意）インターフェイスの最大セキュア MAC アドレス数を設定します。 スイッチまたはスイッチ スタックに設定できるセキュア MAC アドレスの最大数は、システムで許可されている MAC アドレスの最大数によって決まります。 この値は、アクティブなスイッチング データベース管理（SDM）テンプレートによって決まります。この値は、使用可能な MAC アドレス（その他のレイヤ 2 機能やインターフェイスに設定されたその他のセキュア MAC アドレスで使用される MAC アドレスを含む）の総数を表します。 vlan キーワードを入力後、次のいずれかのオプションを入力します。
|
||||
| ステップ 9 |
switchport port-security violation {
protect |
restrict |
shutdown |
shutdown vlan} 例： Switch(config-if)# switchport port-security violation restrict |
（任意）違反モードを設定します。セキュリティ違反が発生した場合に、次のいずれかのアクションを実行します。
|
||||
| ステップ 10 |
switchport port-security [mac-address
mac-address [
vlan {
vlan-id | {
access |
voice}}] 例： Switch(config-if)# switchport port-security mac-address 00:A0:C7:12:C9:25 vlan 3 voice |
（任意）インターフェイスのセキュア MAC アドレスを入力します。 このコマンドを使用すると、最大数のセキュア MAC アドレスを入力できます。 設定したセキュア MAC アドレスが最大数より少ない場合、残りの MAC アドレスは動的に学習されます。
vlan キーワードを入力後、次のいずれかのオプションを入力します。
|
||||
| ステップ 11 |
switchport port-security mac-address sticky 例： Switch(config-if)# switchport port-security mac-address sticky |
|||||
| ステップ 12 |
switchport port-security mac-address sticky [
mac-address |
vlan {
vlan-id | {
access |
voice}}] 例： Switch(config-if)# switchport port-security mac-address sticky 00:A0:C7:12:C9:25 vlan voice |
（任意）スティッキー セキュア MAC アドレスを入力し、必要な回数だけコマンドを繰り返します。 設定したセキュア MAC アドレスの数が最大数より少ない場合、残りの MAC アドレスは動的に学習されてスティッキー セキュア MAC アドレスに変換され、実行コンフィギュレーションに追加されます。
vlan キーワードを入力後、次のいずれかのオプションを入力します。
|
||||
| ステップ 13 | switchport port-security mac-address forbiddenmac address 例：
Switch(config-if)# switchport port-security mac-address forbidden 2.2.2
|
特定のインターフェイスのポート セキュリティで禁止する MAC アドレスを指定します。 |
||||
| ステップ 14 |
end 例： Switch(config)# end |
|||||
| ステップ 15 |
show port-security 例： Switch# show port-security |
|||||
| ステップ 16 |
show running-config 例： Switch# show running-config |
|||||
| ステップ 17 | copy running-config startup-config 例：
Switch# copy running-config startup-config
|
（任意）コンフィギュレーション ファイルに設定を保存します。 |
ポート セキュリティ エージングのイネーブル化および設定
この機能を使用すると、既存のセキュア MAC アドレスを手動で削除しなくても、セキュア ポート上のデバイスを削除および追加し、なおかつポート上のセキュア アドレス数を制限できます。 セキュア アドレスのエージングは、ポート単位でイネーブルまたはディセーブルにできます。
1. enable
4.
switchport port-security aging {
static |
time
time |
type {
absolute |
inactivity}}
6.
show port-security [
interface
interface-id] [
address]
8. copy running-config startup-config
手順の詳細
| コマンドまたはアクション | 目的 | |||
|---|---|---|---|---|
| ステップ 1 | enable 例：
Switch> enable
|
特権 EXEC モードをイネーブルにします。 パスワードを入力します（要求された場合）。 |
||
| ステップ 2 |
configureterminal 例： Switch# configure terminal |
|||
| ステップ 3 |
interface
interface-id 例： Switch(config)# interface gigabitethernet1/0/1 |
|||
| ステップ 4 |
switchport port-security aging {
static |
time
time |
type {
absolute |
inactivity}} 例： Switch(config-if)# switchport port-security aging time 120 |
セキュア ポートのスタティック エージングをイネーブルまたはディセーブルにします。またはエージング タイムやタイプを設定します。
このポートに、スタティックに設定されたセキュア アドレスのエージングをイネーブルにする場合は、 static を入力します。 |
||
| ステップ 5 |
end 例： Switch(config)# end |
|||
| ステップ 6 |
show port-security [
interface
interface-id] [
address] 例： Switch# show port-security interface gigabitethernet1/0/1 |
|||
| ステップ 7 |
show running-config 例： Switch# show running-config |
|||
| ステップ 8 | copy running-config startup-config 例：
Switch# copy running-config startup-config
|
（任意）コンフィギュレーション ファイルに設定を保存します。 |
機能情報の確認
ご使用のソフトウェア リリースでは、このモジュールで説明されるすべての機能がサポートされているとは限りません。 最新の機能情報および警告については、使用するプラットフォームおよびソフトウェア リリースの Bug Search Tool およびリリース ノートを参照してください。 このモジュールに記載されている機能の詳細を検索し、各機能がサポートされているリリースのリストを確認する場合は、このモジュールの最後にある機能情報の表を参照してください。
プラットフォームのサポートおよびシスコ ソフトウェア イメージのサポートに関する情報を検索するには、Cisco Feature Navigator を使用します。 Cisco Feature Navigator には、http://www.cisco.com/go/cfn からアクセスします。 Cisco.com のアカウントは必要ありません。
ストーム制御に関する情報
ストーム制御
ストーム制御は、物理インターフェイスの 1 つで発生したブロードキャスト、マルチキャスト、またはユニキャスト ストームによって LAN 上のトラフィックが混乱することを防ぎます。 LAN ストームは、LAN にパケットがフラッディングした場合に発生します。その結果、トラフィックが極端に増えてネットワーク パフォーマンスが低下します。 プロトコルスタックの実装エラー、ネットワーク構成の間違い、またはユーザによって引き起こされる DoS 攻撃もストームの原因になります。
ストーム制御（またはトラフィック抑制）は、インターフェイスからスイッチング バスを通過するパケットをモニタし、パケットがユニキャスト、マルチキャスト、またはブロードキャストのいずれであるかを判別します。 スイッチは、1 秒間に受け取った特定のタイプのパケットの数をカウントして、事前に定義された抑制レベルのしきい値とその測定結果を比較します。
トラフィック アクティビティの測定方法
ストーム制御は、次のうちのいずれかをトラフィック アクティビティの測定方法に使用します。
上記の方法のいずれを使用しても、しきい値に到達すると、ポートはトラフィックをブロックします。 トラフィック レートが下限しきい値（指定されている場合）を下回らない限り、ポートはブロックされたままになり、その後、通常の転送が再開されます。 下限抑制レベルが指定されていない場合、トラフィック レートが上限抑制レベルを下回らない限り、スイッチはすべてのトラフィックをブロックします。 一般に、そのレベルが高ければ高いほど、ブロードキャスト ストームに対する保護効果は薄くなります。
（注） |
マルチキャスト トラフィックのストーム制御しきい値に達した場合、ブリッジ プロトコル データ ユニット（BPDU）および Cisco Discovery Protocol（CDP）フレームなどの制御トラフィック以外のマルチキャスト トラフィックはすべてブロックされます。 ただし、スイッチでは Open Shortest Path First（OSPF）などのルーティング アップデートと、正規のマルチキャスト データ トラフィックは区別されないため、両方のトラフィック タイプがブロックされます。 |
トラフィック パターン
T1 から T2、T4 から T5 のタイム インターバルで、転送するブロードキャスト トラフィックが設定されたしきい値を上回っています。 指定のトラフィック量がしきい値を上回ると、次のインターバルで、そのタイプのトラフィックがすべてドロップされます。 したがって、T2 と T5 の後のインターバルの間、ブロードキャスト トラフィックがブロックされます。 その次のインターバル（たとえば、T3）では、しきい値を上回らない限り、ブロードキャスト トラフィックが再び転送されます。
ストーム制御抑制レベルと 1 秒間のインターバルを組み合わせて、ストーム制御アルゴリズムの動作を制御します。 しきい値が高いほど、通過できるパケット数が多くなります。 しきい値が 100% であれば、トラフィックに対する制限はありません。 値を 0.0 にすると、そのポート上ではすべてのブロードキャスト、マルチキャスト、またはユニキャスト トラフィックがブロックされます。
（注） |
パケットは一定の間隔で届くわけではないので、トラフィック アクティビティを測定する 1 秒間のインターバルがストーム制御の動作を左右する可能性があります。 |
各トラフィック タイプのしきい値を設定するには、 storm-control インターフェイス コンフィギュレーション コマンドを使用します。
ストーム制御の設定方法
ストーム制御およびしきい値レベルの設定
ポートにストーム制御を設定し、特定のトラフィック タイプで使用するしきい値レベルを入力します。
ただし、ハードウェアの制約とともに、さまざまなサイズのパケットをどのように数えるかという問題があるので、しきい値の割合はあくまでも近似値です。 着信トラフィックを形成するパケットのサイズによって、実際に適用されるしきい値は設定されたレベルに対して、数 % の差異が生じる可能性があります。
（注） |
ストーム制御は、物理インターフェイスでサポートされています。 また、EtherChannel でもストーム制御を設定できます。 ストーム制御を EtherChannel で設定する場合、ストーム制御設定は EtherChannel 物理インターフェイスに伝播します。 |
ストーム制御としきい値レベルを設定するには、次の手順を実行します。
ストーム制御は、物理インターフェイスでサポートされています。 また、EtherChannel でもストーム制御を設定できます。 ストーム制御を EtherChannel で設定する場合、ストーム制御設定は EtherChannel 物理インターフェイスに伝播します。
1. enable
4.
storm-control {
broadcast |
multicast |
unicast}
level {
level [
level-low] |
bps
bps [
bps-low] |
pps
pps [
pps-low]}
5.
storm-control action {
shutdown |
trap}
7.
show storm-control [
interface-id] [
broadcast |
multicast |
unicast]
手順の詳細
| コマンドまたはアクション | 目的 | |
|---|---|---|
| ステップ 1 | enable 例：
Switch> enable
|
特権 EXEC モードをイネーブルにします。 パスワードを入力します（要求された場合）。 |
| ステップ 2 |
configureterminal 例： Switch# configure terminal |
|
| ステップ 3 |
interface
interface-id 例： Switch(config)# interface gigabitethernet1/0/1 |
|
| ステップ 4 |
storm-control {
broadcast |
multicast |
unicast}
level {
level [
level-low] |
bps
bps [
bps-low] |
pps
pps [
pps-low]} 例： Switch(config-if)# storm-control unicast level 87 65 |
ブロードキャスト、マルチキャスト、またはユニキャスト ストーム制御を設定します。 デフォルトでは、ストーム制御はディセーブルに設定されています。
BPS および PPS の設定には、しきい値の数値を大きく設定できるように、サフィックスに測定記号（k、m、g など）を使用できます。 |
| ステップ 5 |
storm-control action {
shutdown |
trap} 例： Switch(config-if)# storm-control action trap |
ストーム検出時に実行するアクションを指定します。 デフォルトではトラフィックにフィルタリングを実行し、トラップは送信しない設定です。 |
| ステップ 6 |
end 例： Switch(config-if)# end |
|
| ステップ 7 |
show storm-control [
interface-id] [
broadcast |
multicast |
unicast] 例： Switch# show storm-control gigabitethernet1/0/1 unicast |
指定したトラフィック タイプについて、インターフェイスで設定したストーム制御抑制レベルを確認します。 トラフィック タイプを入力しなかった場合は、ブロードキャスト ストーム制御の設定が表示されます。 |
| ステップ 8 |
copy running-config startup-config 例： Switch# copy running-config startup-config |
スモール フレーム到着レートの設定
67 バイト未満の着信 VLAN タグ付きパケットは、小さいフレームと見なされます。 このパケットはスイッチにより転送されますが、スイッチ ストーム制御カウンタを増加させません。
スイッチ上の小さいフレームの着信機能をグローバルにイネーブルにして、各インターフェイスのパケットの小さいフレームのしきい値を設定します。 最小サイズよりも小さく、指定されたレート（しきい値）で着信するパケットは、ポートがディセーブルにされた後はドロップされます。
1. enable
3.
errdisable detect cause small-frame
4.
errdisable recovery interval
interval
5.
errdisable recovery cause small-frame
7.
small-frame violation-rate
pps
9.
show interfaces
interface-id
11. copy running-config startup-config
手順の詳細
| コマンドまたはアクション | 目的 | |
|---|---|---|
| ステップ 1 | enable 例：
Switch> enable
|
特権 EXEC モードをイネーブルにします。 パスワードを入力します（要求された場合）。 |
| ステップ 2 |
configureterminal 例： Switch# configure terminal |
|
| ステップ 3 |
errdisable detect cause small-frame 例： Switch(config)# errdisable detect cause small-frame |
|
| ステップ 4 |
errdisable recovery interval
interval 例： Switch(config)# errdisable recovery interval 60 |
|
| ステップ 5 |
errdisable recovery cause small-frame 例： Switch(config)# errdisable recovery cause small-frame |
（任意）小さいフレームの着信によりポートが errdisable になった後、そのポートを自動的に再イネーブルにするリカバリ時間を設定します。 ストーム制御は、物理インターフェイスでサポートされています。 また、EtherChannel でもストーム制御を設定できます。 ストーム制御を EtherChannel で設定する場合、ストーム制御設定は EtherChannel 物理インターフェイスに伝播します。 |
| ステップ 6 |
interface
interface-id 例： Switch(config)# interface gigabitethernet1/0/2 |
|
| ステップ 7 |
small-frame violation-rate
pps 例： Switch(config-if)# small-frame violation rate 10000 |
インターフェイスが着信パケットをドロップしてポートを errdisable にするようにしきい値レートを設定します。 範囲は、1 ～ 10,000 パケット/秒（pps）です。 |
| ステップ 8 |
end 例： Switch(config)# end |
|
| ステップ 9 |
show interfaces
interface-id 例： Switch# show interfaces gigabitethernet1/0/2 |
|
| ステップ 10 |
show running-config 例： Switch# show running-config |
|
| ステップ 11 | copy running-config startup-config 例：
Switch# copy running-config startup-config
|
（任意）コンフィギュレーション ファイルに設定を保存します。 |
保護ポートに関する情報
保護ポート
アプリケーションによっては、あるネイバーが生成したトラフィックが別のネイバーにわからないように、同一スイッチ上のポート間でレイヤ 2 トラフィックが転送されないように設定する必要があります。 このような環境では、保護ポートを使用すると、スイッチ上のポート間でユニキャスト、ブロードキャスト、またはマルチキャスト トラフィックの交換が確実になくなります。
-
保護ポートは、同様に保護ポートになっている他のポートに対して、ユニキャスト、マルチキャスト、またはブロードキャスト トラフィックを転送しません。 データ トラフィックはレイヤ 2 の保護ポート間で転送されません。PIM パケットなどは CPU で処理されてソフトウェアで転送されるため、このような制御トラフィックだけが転送されます。 保護ポート間を通過するすべてのデータ トラフィックは、レイヤ 3 デバイスを介して転送されなければなりません。
スイッチ スタックは論理的には 1 つのスイッチを表しているため、レイヤ 2 トラフィックは、スタック内の同一スイッチか異なるスイッチかにかかわらず、スイッチ スタックの保護ポート間では転送されません。
保護ポートのデフォルト設定
保護ポートのガイドライン
保護ポートは、物理インターフェイス（GigabitEthernet ポート 1 など）または EtherChannel グループ（port-channel 5 など）に設定できます。 ポート チャネルで保護ポートをイネーブルにした場合は、そのポート チャネル グループ内のすべてのポートでイネーブルになります。
保護ポートの設定方法
保護ポートの設定
手順の詳細
| コマンドまたはアクション | 目的 | |
|---|---|---|
| ステップ 1 | enable 例：
Switch> enable
|
特権 EXEC モードをイネーブルにします。 パスワードを入力します（要求された場合）。 |
| ステップ 2 |
configureterminal 例： Switch# configure terminal |
|
| ステップ 3 |
interface
interface-id 例： Switch(config)# interface gigabitethernet1/0/1 |
|
| ステップ 4 |
switchport protected 例： Switch(config-if)# switchport protected |
|
| ステップ 5 |
end 例： Switch(config)# end |
|
| ステップ 6 |
show interfaces
interface-id
switchport 例： Switch# show interfaces gigabitethernet1/0/1 switchport |
|
| ステップ 7 |
show running-config 例： Switch# show running-config |
|
| ステップ 8 | copy running-config startup-config 例：
Switch# copy running-config startup-config
|
（任意）コンフィギュレーション ファイルに設定を保存します。 |
保護ポートのモニタリング
コマンド |
目的 |
|---|---|
すべてのスイッチング（非ルーティング）ポートまたは指定されたポートの管理ステータスまたは動作ステータスを、ポート ブロッキングおよびポート保護の設定を含めて表示します。 |
次の作業
ポート ブロッキング
デフォルトでは、スイッチは未知の宛先 MAC アドレスが指定されたパケットをすべてのポートからフラッディングします。 未知のユニキャストおよびマルチキャスト トラフィックが保護ポートに転送されると、セキュリティ上、問題になる可能性があります。 未知のユニキャストおよびマルチキャスト トラフィックがあるポートから別のポートに転送されないようにするために、（保護または非保護）ポートをブロックし、未知のユニキャストまたはマルチキャスト パケットが他のポートにフラッディングされないようにします。
（注） |
マルチキャスト トラフィックでは、ポート ブロッキング機能は純粋なレイヤ 2 パケットだけをブロックします。 ヘッダーに IPv4 または IPv6 の情報を含むマルチキャスト パケットはブロックされません。 |
インターフェイスでのフラッディング トラフィックのブロッキング
インターフェイスは物理インターフェイスまたは EtherChannel グループのいずれも可能です。 ポート チャネルのマルチキャストまたはユニキャスト トラフィックをブロックすると、ポート チャネル グループのすべてのポートでブロックされます。
手順の詳細
| コマンドまたはアクション | 目的 | |||
|---|---|---|---|---|
| ステップ 1 | enable 例：
Switch> enable
|
特権 EXEC モードをイネーブルにします。 パスワードを入力します（要求された場合）。 |
||
| ステップ 2 |
configureterminal 例： Switch# configure terminal |
|||
| ステップ 3 |
interface
interface-id 例： Switch(config)# interface gigabitethernet1/0/1 |
|||
| ステップ 4 |
switchport block multicast 例： Switch(config-if)# switchport block multicast |
|
||
| ステップ 5 |
switchport block unicast 例： Switch(config-if)# switchport block unicast |
|||
| ステップ 6 |
end 例： Switch(config)# end |
|||
| ステップ 7 |
show interfaces
interface-id
switchport 例： Switch# show interfaces gigabitethernet1/0/1 switchport |
|||
| ステップ 8 |
show running-config 例： Switch# show running-config |
|||
| ステップ 9 | copy running-config startup-config 例：
Switch# copy running-config startup-config
|
（任意）コンフィギュレーション ファイルに設定を保存します。 |
ポート ブロッキングのモニタリング
コマンド |
目的 |
|---|---|
すべてのスイッチング（非ルーティング）ポートまたは指定されたポートの管理ステータスまたは動作ステータスを、ポート ブロッキングおよびポート保護の設定を含めて表示します。 |
ポート セキュリティの設定例
次に、ポート上でポート セキュリティをイネーブルにし、セキュア アドレスの最大数を 50 に設定する例を示します。 違反モードはデフォルトです。スタティック セキュア MAC アドレスは設定せず、スティッキー ラーニングはイネーブルです。
Switch(config)# interface gigabitethernet1/0/1 Switch(config-if)# switchport mode access Switch(config-if)# switchport port-security Switch(config-if)# switchport port-security maximum 50 Switch(config-if)# switchport port-security mac-address sticky
次に、ポートの VLAN 3 上にスタティック セキュア MAC アドレスを設定する例を示します。
Switch(config)# interface gigabitethernet1/0/2 Switch(config-if)# switchport mode trunk Switch(config-if)# switchport port-security Switch(config-if)# switchport port-security mac-address 0000.0200.0004 vlan 3
次に、ポートのスティッキー ポート セキュリティをイネーブルにする例を示します。データ VLAN および音声 VLAN の MAC アドレスを手動で設定し、セキュア アドレスの総数を 20 に設定します（データ VLAN に 10、音声 VLAN に 10 を割り当てます）。
Switch(config)# interface tengigabitethernet1/0/1 Switch(config-if)# switchport access vlan 21 Switch(config-if)# switchport mode access Switch(config-if)# switchport voice vlan 22 Switch(config-if)# switchport port-security Switch(config-if)# switchport port-security maximum 20 Switch(config-if)# switchport port-security violation restrict Switch(config-if)# switchport port-security mac-address sticky Switch(config-if)# switchport port-security mac-address sticky 0000.0000.0002 Switch(config-if)# switchport port-security mac-address 0000.0000.0003 Switch(config-if)# switchport port-security mac-address sticky 0000.0000.0001 vlan voice Switch(config-if)# switchport port-security mac-address 0000.0000.0004 vlan voice Switch(config-if)# switchport port-security maximum 10 vlan access Switch(config-if)# switchport port-security maximum 10 vlan voice
プロトコル ストーム プロテクションに関する情報
プロトコル ストーム プロテクション
スイッチがアドレス解決プロトコル（ARP）または制御パケットでフラッドされると、CPU の高い使用率により CPU のオーバーロードが発生する可能性があります。 これらの問題は、次のように発生します。
-
プロトコル制御パケットが受信されず、ネイバーの隣接がドロップされるため、ルーティング プロトコルがフラップする場合があります。
-
スパニングツリー プロトコル（STP）ブリッジ プロトコル データ ユニット（BPDU）が送受信されないため、STP が再収束します。
プロトコル ストーム プロテクションを使用すると、パケットのフロー レートの上限しきい値を指定して、制御パケットが送信されるレートを制御できます。 サポートされるプロトコルは、ARP、ARP スヌーピング、Dynamic Host Configuration Protocol（DHCP）v4、DHCP スヌーピング、インターネット グループ管理プロトコル（IGMP）、および IGMP スヌーピングです。
パケットのレートが定義されたしきい値を超えると、スイッチは指定されたポートに着信したすべてのトラフィックを 30 秒間ドロップします。 パケット レートが再度計測され、必要な場合はプロトコル ストーム プロテクションが再度適用されます。
より強力な保護が必要な場合は、仮想ポートを手動で errdisable にし、その仮想ポートのすべての着信トラフィックをブロックできます。 また、手動で仮想ポートをイネーブルにしたり、仮想ポートの自動再イネーブル化の時間間隔を設定することもできます。
（注） |
超過したパケットは、2 つ以下の仮想ポートにおいてドロップされます。 仮想ポートのエラー ディセーブル化は、EtherChannel インターフェイスと Flexlink インターフェイスではサポートされません。 |
デフォルトのプロトコル ストーム プロテクションの設定
プロトコル ストーム プロテクションはデフォルトでディセーブルです。 これがイネーブルになると、仮想ポートの自動リカバリがデフォルトでディセーブルになります。
プロトコル ストーム プロテクションの設定方法
プロトコル ストーム プロテクションのイネーブル化
1. enable
3. psp { arp | dhcp | igmp} pps value
4.
errdisable detect cause psp
手順の詳細
| コマンドまたはアクション | 目的 | |
|---|---|---|
| ステップ 1 | enable 例：
Switch> enable
|
特権 EXEC モードをイネーブルにします。 パスワードを入力します（要求された場合）。 |
| ステップ 2 |
configureterminal 例： Switch# configure terminal |
|
| ステップ 3 |
psp {
arp |
dhcp |
igmp} pps
value 例： Switch(config)# psp dhcp pps 35 |
ARP、IGMP、または DHCP に対してプロトコル ストーム プロテクションを設定します。 value には、1 秒あたりのパケット数のしきい値を指定します。 トラフィックがこの値を超えると、プロトコル ストーム プロテクションが適用されます。 範囲は毎秒 5 ～ 50 パケットです。 |
| ステップ 4 |
errdisable detect cause psp 例： Switch(config)# errdisable detect cause psp |
（任意）プロトコル ストーム プロテクションの errdisable 検出をイネーブルにします。 この機能がイネーブルになると、仮想ポートが errdisable になります。 この機能がディセーブルになると、そのポートは、ポートを errdisable にせずに超過したパケットをドロップします。 |
| ステップ 5 |
errdisable recovery interval
time 例：
Switch
|
（任意）errdisable の仮想ポートの自動リカバリ時間を秒単位で設定します。 仮想ポートが errdisable の場合、この時間を過ぎるとスイッチは自動的にリカバリします。 指定できる範囲は 30 ～ 86400 秒です。 |
| ステップ 6 |
end 例： Switch(config)# end |
|
| ステップ 7 |
show psp config {
arp |
dhcp |
igmp} 例： Switch# show psp config dhcp |
プロトコル ストーム プロテクションのモニタリング
| コマンド | 目的 |
|---|---|
| show psp config {arp | dhcp | igmp} | 入力内容を確認します。 |
目次
- ポート単位のトラフィック制御の設定
- ポートベースのトラフィック制御の概要
- 機能情報の確認
- ストーム制御に関する情報
- ストーム制御
- トラフィック アクティビティの測定方法
- トラフィック パターン
- ストーム制御の設定方法
- ストーム制御およびしきい値レベルの設定
- スモール フレーム到着レートの設定
- 保護ポートに関する情報
- 保護ポート
- 保護ポートのデフォルト設定
- 保護ポートのガイドライン
- 保護ポートの設定方法
- 保護ポートの設定
- 保護ポートのモニタリング
- 次の作業
- ポート ブロッキングに関する情報
- ポート ブロッキング
- ポート ブロッキングの設定方法
- インターフェイスでのフラッディング トラフィックのブロッキング
- ポート ブロッキングのモニタリング
- ポート セキュリティの前提条件
- ポート セキュリティの制約事項
- ポート セキュリティの概要
- ポート セキュリティ
- セキュア MAC アドレスのタイプ
- スティッキ セキュア MAC アドレス
- セキュリティ違反
- ポート セキュリティ エージング
- デフォルトのポート セキュリティ設定
- ポート セキュリティの設定時の注意事項
- ポートベースのトラフィック制御の概要
- ポート セキュリティの設定方法
- ポート セキュリティのイネーブル化および設定
- ポート セキュリティ エージングのイネーブル化および設定
- 機能情報の確認
- ストーム制御に関する情報
- ストーム制御
- トラフィック アクティビティの測定方法
- トラフィック パターン
- ストーム制御の設定方法
- ストーム制御およびしきい値レベルの設定
- スモール フレーム到着レートの設定
- 保護ポートに関する情報
- 保護ポート
- 保護ポートのデフォルト設定
- 保護ポートのガイドライン
- 保護ポートの設定方法
- 保護ポートの設定
- 保護ポートのモニタリング
- 次の作業
- ポート ブロッキングに関する情報
- ポート ブロッキング
- ポート ブロッキングの設定方法
- インターフェイスでのフラッディング トラフィックのブロッキング
- ポート ブロッキングのモニタリング
- ポート セキュリティの設定例
- プロトコル ストーム プロテクションに関する情報
- プロトコル ストーム プロテクション
- デフォルトのプロトコル ストーム プロテクションの設定
- プロトコル ストーム プロテクションの設定方法
- プロトコル ストーム プロテクションのイネーブル化
- プロトコル ストーム プロテクションのモニタリング
機能情報の確認
ご使用のソフトウェア リリースでは、このモジュールで説明されるすべての機能がサポートされているとは限りません。 最新の機能情報および警告については、使用するプラットフォームおよびソフトウェア リリースの Bug Search Tool およびリリース ノートを参照してください。 このモジュールに記載されている機能の詳細を検索し、各機能がサポートされているリリースのリストを確認する場合は、このモジュールの最後にある機能情報の表を参照してください。
プラットフォームのサポートおよびシスコ ソフトウェア イメージのサポートに関する情報を検索するには、Cisco Feature Navigator を使用します。 Cisco Feature Navigator には、http://www.cisco.com/go/cfn からアクセスします。 Cisco.com のアカウントは必要ありません。
ストーム制御に関する情報
ストーム制御
ストーム制御は、物理インターフェイスの 1 つで発生したブロードキャスト、マルチキャスト、またはユニキャスト ストームによって LAN 上のトラフィックが混乱することを防ぎます。 LAN ストームは、LAN にパケットがフラッディングした場合に発生します。その結果、トラフィックが極端に増えてネットワーク パフォーマンスが低下します。 プロトコルスタックの実装エラー、ネットワーク構成の間違い、またはユーザによって引き起こされる DoS 攻撃もストームの原因になります。
ストーム制御（またはトラフィック抑制）は、インターフェイスからスイッチング バスを通過するパケットをモニタし、パケットがユニキャスト、マルチキャスト、またはブロードキャストのいずれであるかを判別します。 スイッチは、1 秒間に受け取った特定のタイプのパケットの数をカウントして、事前に定義された抑制レベルのしきい値とその測定結果を比較します。
トラフィック アクティビティの測定方法
ストーム制御は、次のうちのいずれかをトラフィック アクティビティの測定方法に使用します。
上記の方法のいずれを使用しても、しきい値に到達すると、ポートはトラフィックをブロックします。 トラフィック レートが下限しきい値（指定されている場合）を下回らない限り、ポートはブロックされたままになり、その後、通常の転送が再開されます。 下限抑制レベルが指定されていない場合、トラフィック レートが上限抑制レベルを下回らない限り、スイッチはすべてのトラフィックをブロックします。 一般に、そのレベルが高ければ高いほど、ブロードキャスト ストームに対する保護効果は薄くなります。
（注） |
マルチキャスト トラフィックのストーム制御しきい値に達した場合、ブリッジ プロトコル データ ユニット（BPDU）および Cisco Discovery Protocol（CDP）フレームなどの制御トラフィック以外のマルチキャスト トラフィックはすべてブロックされます。 ただし、スイッチでは Open Shortest Path First（OSPF）などのルーティング アップデートと、正規のマルチキャスト データ トラフィックは区別されないため、両方のトラフィック タイプがブロックされます。 |
トラフィック パターン
T1 から T2、T4 から T5 のタイム インターバルで、転送するブロードキャスト トラフィックが設定されたしきい値を上回っています。 指定のトラフィック量がしきい値を上回ると、次のインターバルで、そのタイプのトラフィックがすべてドロップされます。 したがって、T2 と T5 の後のインターバルの間、ブロードキャスト トラフィックがブロックされます。 その次のインターバル（たとえば、T3）では、しきい値を上回らない限り、ブロードキャスト トラフィックが再び転送されます。
ストーム制御抑制レベルと 1 秒間のインターバルを組み合わせて、ストーム制御アルゴリズムの動作を制御します。 しきい値が高いほど、通過できるパケット数が多くなります。 しきい値が 100% であれば、トラフィックに対する制限はありません。 値を 0.0 にすると、そのポート上ではすべてのブロードキャスト、マルチキャスト、またはユニキャスト トラフィックがブロックされます。
（注） |
パケットは一定の間隔で届くわけではないので、トラフィック アクティビティを測定する 1 秒間のインターバルがストーム制御の動作を左右する可能性があります。 |
各トラフィック タイプのしきい値を設定するには、 storm-control インターフェイス コンフィギュレーション コマンドを使用します。
ストーム制御の設定方法
ストーム制御およびしきい値レベルの設定
ポートにストーム制御を設定し、特定のトラフィック タイプで使用するしきい値レベルを入力します。
ただし、ハードウェアの制約とともに、さまざまなサイズのパケットをどのように数えるかという問題があるので、しきい値の割合はあくまでも近似値です。 着信トラフィックを形成するパケットのサイズによって、実際に適用されるしきい値は設定されたレベルに対して、数 % の差異が生じる可能性があります。
（注） |
ストーム制御は、物理インターフェイスでサポートされています。 また、EtherChannel でもストーム制御を設定できます。 ストーム制御を EtherChannel で設定する場合、ストーム制御設定は EtherChannel 物理インターフェイスに伝播します。 |
ストーム制御としきい値レベルを設定するには、次の手順を実行します。
はじめる前に
手順の概要
ストーム制御は、物理インターフェイスでサポートされています。 また、EtherChannel でもストーム制御を設定できます。 ストーム制御を EtherChannel で設定する場合、ストーム制御設定は EtherChannel 物理インターフェイスに伝播します。
1. enable
4.
storm-control {
broadcast |
multicast |
unicast}
level {
level [
level-low] |
bps
bps [
bps-low] |
pps
pps [
pps-low]}
5.
storm-control action {
shutdown |
trap}
7.
show storm-control [
interface-id] [
broadcast |
multicast |
unicast]
手順の詳細
| コマンドまたはアクション | 目的 | |
|---|---|---|
| ステップ 1 | enable 例：
Switch> enable
|
特権 EXEC モードをイネーブルにします。 パスワードを入力します（要求された場合）。 |
| ステップ 2 |
configureterminal 例： Switch# configure terminal |
|
| ステップ 3 |
interface
interface-id 例： Switch(config)# interface gigabitethernet1/0/1 |
|
| ステップ 4 |
storm-control {
broadcast |
multicast |
unicast}
level {
level [
level-low] |
bps
bps [
bps-low] |
pps
pps [
pps-low]} 例： Switch(config-if)# storm-control unicast level 87 65 |
ブロードキャスト、マルチキャスト、またはユニキャスト ストーム制御を設定します。 デフォルトでは、ストーム制御はディセーブルに設定されています。
BPS および PPS の設定には、しきい値の数値を大きく設定できるように、サフィックスに測定記号（k、m、g など）を使用できます。 |
| ステップ 5 |
storm-control action {
shutdown |
trap} 例： Switch(config-if)# storm-control action trap |
ストーム検出時に実行するアクションを指定します。 デフォルトではトラフィックにフィルタリングを実行し、トラップは送信しない設定です。 |
| ステップ 6 |
end 例： Switch(config-if)# end |
|
| ステップ 7 |
show storm-control [
interface-id] [
broadcast |
multicast |
unicast] 例： Switch# show storm-control gigabitethernet1/0/1 unicast |
指定したトラフィック タイプについて、インターフェイスで設定したストーム制御抑制レベルを確認します。 トラフィック タイプを入力しなかった場合は、ブロードキャスト ストーム制御の設定が表示されます。 |
| ステップ 8 |
copy running-config startup-config 例： Switch# copy running-config startup-config |
スモール フレーム到着レートの設定
67 バイト未満の着信 VLAN タグ付きパケットは、小さいフレームと見なされます。 このパケットはスイッチにより転送されますが、スイッチ ストーム制御カウンタを増加させません。
スイッチ上の小さいフレームの着信機能をグローバルにイネーブルにして、各インターフェイスのパケットの小さいフレームのしきい値を設定します。 最小サイズよりも小さく、指定されたレート（しきい値）で着信するパケットは、ポートがディセーブルにされた後はドロップされます。
1. enable
3.
errdisable detect cause small-frame
4.
errdisable recovery interval
interval
5.
errdisable recovery cause small-frame
7.
small-frame violation-rate
pps
9.
show interfaces
interface-id
11. copy running-config startup-config
手順の詳細
| コマンドまたはアクション | 目的 | |
|---|---|---|
| ステップ 1 | enable 例：
Switch> enable
|
特権 EXEC モードをイネーブルにします。 パスワードを入力します（要求された場合）。 |
| ステップ 2 |
configureterminal 例： Switch# configure terminal |
|
| ステップ 3 |
errdisable detect cause small-frame 例： Switch(config)# errdisable detect cause small-frame |
|
| ステップ 4 |
errdisable recovery interval
interval 例： Switch(config)# errdisable recovery interval 60 |
|
| ステップ 5 |
errdisable recovery cause small-frame 例： Switch(config)# errdisable recovery cause small-frame |
（任意）小さいフレームの着信によりポートが errdisable になった後、そのポートを自動的に再イネーブルにするリカバリ時間を設定します。 ストーム制御は、物理インターフェイスでサポートされています。 また、EtherChannel でもストーム制御を設定できます。 ストーム制御を EtherChannel で設定する場合、ストーム制御設定は EtherChannel 物理インターフェイスに伝播します。 |
| ステップ 6 |
interface
interface-id 例： Switch(config)# interface gigabitethernet1/0/2 |
|
| ステップ 7 |
small-frame violation-rate
pps 例： Switch(config-if)# small-frame violation rate 10000 |
インターフェイスが着信パケットをドロップしてポートを errdisable にするようにしきい値レートを設定します。 範囲は、1 ～ 10,000 パケット/秒（pps）です。 |
| ステップ 8 |
end 例： Switch(config)# end |
|
| ステップ 9 |
show interfaces
interface-id 例： Switch# show interfaces gigabitethernet1/0/2 |
|
| ステップ 10 |
show running-config 例： Switch# show running-config |
|
| ステップ 11 | copy running-config startup-config 例：
Switch# copy running-config startup-config
|
（任意）コンフィギュレーション ファイルに設定を保存します。 |
保護ポートに関する情報
保護ポート
アプリケーションによっては、あるネイバーが生成したトラフィックが別のネイバーにわからないように、同一スイッチ上のポート間でレイヤ 2 トラフィックが転送されないように設定する必要があります。 このような環境では、保護ポートを使用すると、スイッチ上のポート間でユニキャスト、ブロードキャスト、またはマルチキャスト トラフィックの交換が確実になくなります。
-
保護ポートは、同様に保護ポートになっている他のポートに対して、ユニキャスト、マルチキャスト、またはブロードキャスト トラフィックを転送しません。 データ トラフィックはレイヤ 2 の保護ポート間で転送されません。PIM パケットなどは CPU で処理されてソフトウェアで転送されるため、このような制御トラフィックだけが転送されます。 保護ポート間を通過するすべてのデータ トラフィックは、レイヤ 3 デバイスを介して転送されなければなりません。
スイッチ スタックは論理的には 1 つのスイッチを表しているため、レイヤ 2 トラフィックは、スタック内の同一スイッチか異なるスイッチかにかかわらず、スイッチ スタックの保護ポート間では転送されません。
保護ポートの設定方法
保護ポートの設定
手順の概要
手順の詳細
手順の詳細
| コマンドまたはアクション | 目的 | |
|---|---|---|
| ステップ 1 | enable 例：
Switch> enable
|
特権 EXEC モードをイネーブルにします。 パスワードを入力します（要求された場合）。 |
| ステップ 2 |
configureterminal 例： Switch# configure terminal |
|
| ステップ 3 |
interface
interface-id 例： Switch(config)# interface gigabitethernet1/0/1 |
|
| ステップ 4 |
switchport protected 例： Switch(config-if)# switchport protected |
|
| ステップ 5 |
end 例： Switch(config)# end |
|
| ステップ 6 |
show interfaces
interface-id
switchport 例： Switch# show interfaces gigabitethernet1/0/1 switchport |
|
| ステップ 7 |
show running-config 例： Switch# show running-config |
|
| ステップ 8 | copy running-config startup-config 例：
Switch# copy running-config startup-config
|
（任意）コンフィギュレーション ファイルに設定を保存します。 |
ポート ブロッキング
デフォルトでは、スイッチは未知の宛先 MAC アドレスが指定されたパケットをすべてのポートからフラッディングします。 未知のユニキャストおよびマルチキャスト トラフィックが保護ポートに転送されると、セキュリティ上、問題になる可能性があります。 未知のユニキャストおよびマルチキャスト トラフィックがあるポートから別のポートに転送されないようにするために、（保護または非保護）ポートをブロックし、未知のユニキャストまたはマルチキャスト パケットが他のポートにフラッディングされないようにします。
（注） |
マルチキャスト トラフィックでは、ポート ブロッキング機能は純粋なレイヤ 2 パケットだけをブロックします。 ヘッダーに IPv4 または IPv6 の情報を含むマルチキャスト パケットはブロックされません。 |
インターフェイスでのフラッディング トラフィックのブロッキング
はじめる前に
手順の概要
インターフェイスは物理インターフェイスまたは EtherChannel グループのいずれも可能です。 ポート チャネルのマルチキャストまたはユニキャスト トラフィックをブロックすると、ポート チャネル グループのすべてのポートでブロックされます。
手順の詳細
| コマンドまたはアクション | 目的 | |||
|---|---|---|---|---|
| ステップ 1 | enable 例：
Switch> enable
|
特権 EXEC モードをイネーブルにします。 パスワードを入力します（要求された場合）。 |
||
| ステップ 2 |
configureterminal 例： Switch# configure terminal |
|||
| ステップ 3 |
interface
interface-id 例： Switch(config)# interface gigabitethernet1/0/1 |
|||
| ステップ 4 |
switchport block multicast 例： Switch(config-if)# switchport block multicast |
|
||
| ステップ 5 |
switchport block unicast 例： Switch(config-if)# switchport block unicast |
|||
| ステップ 6 |
end 例： Switch(config)# end |
|||
| ステップ 7 |
show interfaces
interface-id
switchport 例： Switch# show interfaces gigabitethernet1/0/1 switchport |
|||
| ステップ 8 |
show running-config 例： Switch# show running-config |
|||
| ステップ 9 | copy running-config startup-config 例：
Switch# copy running-config startup-config
|
（任意）コンフィギュレーション ファイルに設定を保存します。 |
ポート セキュリティの概要
ポート セキュリティ
ポート セキュリティ機能を使用すると、ポートへのアクセスを許可するステーションの MAC アドレスを制限および識別して、インターフェイスへの入力を制限できます。 セキュア ポートにセキュア MAC アドレスを割り当てると、ポートは定義されたアドレス グループ以外の送信元アドレスを持つパケットを転送しません。 セキュア MAC アドレス数を 1 つに制限し、単一のセキュア MAC アドレスを割り当てると、そのポートに接続されたワークステーションに、ポートの帯域幅全体が保証されます。
セキュア ポートとしてポートを設定し、セキュア MAC アドレスが最大数に達した場合、ポートにアクセスを試みるステーションの MAC アドレスが識別されたセキュア MAC アドレスのいずれとも一致しないので、セキュリティ違反が発生します。 また、あるセキュア ポート上でセキュア MAC アドレスが設定または学習されているステーションが、別のセキュア ポートにアクセスしようとしたときにも、違反のフラグが立てられます。
関連タスク
関連資料
セキュア MAC アドレスのタイプ
スイッチは、次のセキュア MAC アドレス タイプをサポートします。
-
スタティック セキュア MAC アドレス： switchport port-security mac-address mac-address インターフェイス コンフィギュレーション コマンドを使用して手動で設定され、アドレス テーブルに保存されたのち、スイッチの実行コンフィギュレーションに追加されます。
-
ダイナミック セキュア MAC アドレス：動的に設定されてアドレス テーブルにのみ保存され、スイッチの再起動時に削除されます。
-
スティッキー セキュア MAC アドレス：動的に学習することも、手動で設定することもできます。アドレス テーブルに保存され、実行コンフィギュレーションに追加されます。 このアドレスがコンフィギュレーション ファイルに保存されていると、スイッチの再起動時にインターフェイスはこれらを動的に再設定する必要がありません。
スティッキ セキュア MAC アドレス
スティッキー ラーニングをイネーブルにすると、ダイナミック MAC アドレスをスティッキー セキュア MAC アドレスに変換して実行コンフィギュレーションに追加するようにインターフェイスを設定できます。 インターフェイスはスティッキ ラーニングがイネーブルになる前に学習したものを含め、すべてのダイナミック セキュア MAC アドレスをスティッキー セキュア MAC アドレスに変換します。 すべてのスティッキー セキュア MAC アドレスは実行コンフィギュレーションに追加されます。
スティッキー セキュア MAC アドレスは、コンフィギュレーション ファイル（スイッチが再起動されるたびに使用されるスタートアップ コンフィギュレーション）に、自動的には反映されません。 スティッキー セキュア MAC アドレスをコンフィギュレーション ファイルに保存すると、スイッチの再起動時にインターフェイスはこれらを再び学習する必要がありません。 スティッキ セキュア アドレスを保存しない場合、アドレスは失われます。
スティッキ ラーニングがディセーブルの場合、スティッキ セキュア MAC アドレスはダイナミック セキュア アドレスに変換され、実行コンフィギュレーションから削除されます。
セキュリティ違反
次のいずれかの状況が発生すると、セキュリティ違反になります。
-
最大数のセキュア MAC アドレスがアドレス テーブルに追加されている状態で、アドレス テーブルに未登録の MAC アドレスを持つステーションがインターフェイスにアクセスしようとした場合。
-
あるセキュア インターフェイスで学習または設定されたアドレスが、同一 VLAN 内の別のセキュア インターフェイスで使用された場合。
違反が発生した場合の対処に基づいて、次の 3 種類の違反モードのいずれかにインターフェイスを設定できます。
-
protect（保護）：セキュア MAC アドレスの数がポートで許可されている最大限度に達すると、最大値を下回るまで十分な数のセキュア MAC アドレスを削除するか、許可アドレス数を増やさないかぎり、未知の送信元アドレスを持つパケットはドロップされます。 セキュリティ違反が起こっても、ユーザには通知されません。
（注）
トランク ポートに protect 違反モードを設定することは推奨しません。 保護モードでは、ポートが最大数に達していなくても VLAN が保護モードの最大数に達すると、ラーニングがディセーブルになります。
-
restrict（制限）：セキュア MAC アドレスの数がポートで許可されている最大限度に達すると、最大値を下回るまで十分な数のセキュア MAC アドレスを削除するか、許可アドレス数を増やさないかぎり、未知の送信元アドレスを持つパケットはドロップされます。 このモードでは、セキュリティ違反が発生したことが通知されます。 SNMP トラップが送信されます。Syslog メッセージがロギングされ、違反カウンタが増加します。
-
shutdown（シャットダウン）：ポート セキュリティ違反により、インターフェイスが error-disabled になり、ただちにシャットダウンされます。そのあと、ポートの LED が消灯します。 セキュア ポートが error-disabled ステートの場合は、 errdisable recovery cause psecure-violation グローバル コンフィギュレーション コマンドを入力してこのステートを解除するか、 shutdown および no shut down インターフェイス コンフィギュレーション コマンドを入力して手動で再びイネーブルにできます。 これは、デフォルトのモードです。
-
shutdown vlan（VLAN シャットダウン）：VLAN 単位でセキュリティ違反モードを設定するために使用します。 このモードで違反が発生すると、ポート全体ではなく、VLAN が errdisable になります。
1 十分な数のセキュア MAC アドレスを削除するまで未知の送信元アドレスを持つパケットがドロップされます。
2 セキュリティ違反を引き起こすアドレスを手動で設定した場合、スイッチがエラー メッセージを返します。
3 違反が発生した VLAN のみシャットダウンします。
ポート セキュリティ エージング
ポート セキュリティの設定時の注意事項
-
ポート セキュリティを設定できるのは、スタティック アクセス ポートまたはトランク ポートに限られます。 セキュア ポートをダイナミック アクセス ポートにすることはできません。
-
（注）
音声 VLAN はアクセス ポートでのみサポートされており、設定可能であってもトランク ポートではサポートされていません。
-
音声 VLAN が設定されたインターフェイス上でポート セキュリティをイネーブルにする場合は、ポートの最大セキュア アドレス許容数を 2 に設定します。 ポートを Cisco IP Phone に接続する場合は、IP Phone に MAC アドレスが 1 つ必要です。 Cisco IP Phone のアドレスは音声 VLAN 上で学習されますが、アクセス VLAN 上では学習されません。 1 台の PC を Cisco IP Phone に接続する場合、MAC アドレスの追加は必要ありません。 複数の PC を Cisco IP Phone に接続する場合、各 PC と IP Phone に 1 つずつ使用できるように、十分な数のセキュア アドレスを設定する必要があります。
-
トランク ポートがポート セキュリティで設定され、データ トラフィックのアクセス VLAN および音声トラフィックのアクセス VLAN に割り当てられている場合は、 switchport voice および switchport priority extend インターフェイス コンフィギュレーション コマンドを入力しても効果はありません。
接続装置が同じ MAC アドレスを使用してアクセス VLAN の IP アドレス、音声 VLAN の IP アドレスの順に要求すると、アクセス VLAN だけが IP アドレスに割り当てられます。
-
インターフェイスの最大セキュア アドレス値を入力したときに、新しい値がそれまでの値より大きいと、それまで設定されていた値が新しい値によって上書きされます。 新しい値が前回の値より小さく、インターフェイスで設定されているセキュア アドレス数が新しい値より大きい場合、コマンドは拒否されます。
| ダイナミックアクセス ポート6 |
|
| 音声 VLAN ポート7 |
|
4 DTP = Dynamic Trunking Protocol
5
switchport mode dynamic インターフェイス コンフィギュレーション コマンドで設定されたポート。
6
switchport access vlan-dynamic インターフェイス コンフィギュレーション コマンドで設定される Vlan Query Protocol（VQP）ポート。
7 ポートに最大限可能なセキュアなアドレスを設定します（アクセス VLAN で可能なセキュアなアドレスの最大数に 2 を加えた数）。
ポート セキュリティの設定方法
- ポート セキュリティのイネーブル化および設定
- ポート セキュリティ エージングのイネーブル化および設定
- 機能情報の確認
- ストーム制御に関する情報
- ストーム制御の設定方法
- 保護ポートに関する情報
- 保護ポートの設定方法
- 保護ポートのモニタリング
- 次の作業
- ポート ブロッキングに関する情報
- ポート ブロッキングの設定方法
- ポート ブロッキングのモニタリング
ポート セキュリティのイネーブル化および設定
手順の概要
手順の詳細
1. enable
3. port-security mac-address forbiddenmac address
5.
switchport mode {
access |
trunk}
6.
switchport voice vlan
vlan-id
8.
switchport port-security [maximum
value [
vlan {
vlan-list | {
access |
voice}}]]
9.
switchport port-security violation {
protect |
restrict |
shutdown |
shutdown vlan}
10.
switchport port-security [mac-address
mac-address [
vlan {
vlan-id | {
access |
voice}}]
11.
switchport port-security mac-address sticky
12.
switchport port-security mac-address sticky [
mac-address |
vlan {
vlan-id | {
access |
voice}}]
13. switchport port-security mac-address forbiddenmac address
17. copy running-config startup-config
手順の詳細
| コマンドまたはアクション | 目的 | |||||
|---|---|---|---|---|---|---|
| ステップ 1 | enable 例：
Switch> enable
|
特権 EXEC モードをイネーブルにします。 パスワードを入力します（要求された場合）。 |
||||
| ステップ 2 |
configureterminal 例： Switch# configure terminal |
|||||
| ステップ 3 | port-security mac-address forbiddenmac address 例：
Switch(config)# port-security mac-address forbidden 2.2.2
|
すべてのインターフェイスのポート セキュリティで禁止する MAC アドレスを指定します。 |
||||
| ステップ 4 |
interface
interface-id 例： Switch(config)# interface gigabitethernet1/0/1 |
|||||
| ステップ 5 |
switchport mode {
access |
trunk} 例： Switch(config-if)# switchport mode access |
インターフェイス スイッチポート モードを access または trunk に設定します。デフォルト モード（dynamic auto）のインターフェイスは、セキュア ポートとして設定できません。 |
||||
| ステップ 6 |
switchport voice vlan
vlan-id 例： Switch(config-if)# switchport voice vlan 22 |
|||||
| ステップ 7 |
switchport port-security 例： Switch(config-if)# switchport port-security |
|||||
| ステップ 8 |
switchport port-security [maximum
value [
vlan {
vlan-list | {
access |
voice}}]] 例： Switch(config-if)# switchport port-security maximum 20 |
（任意）インターフェイスの最大セキュア MAC アドレス数を設定します。 スイッチまたはスイッチ スタックに設定できるセキュア MAC アドレスの最大数は、システムで許可されている MAC アドレスの最大数によって決まります。 この値は、アクティブなスイッチング データベース管理（SDM）テンプレートによって決まります。この値は、使用可能な MAC アドレス（その他のレイヤ 2 機能やインターフェイスに設定されたその他のセキュア MAC アドレスで使用される MAC アドレスを含む）の総数を表します。 vlan キーワードを入力後、次のいずれかのオプションを入力します。
|
||||
| ステップ 9 |
switchport port-security violation {
protect |
restrict |
shutdown |
shutdown vlan} 例： Switch(config-if)# switchport port-security violation restrict |
（任意）違反モードを設定します。セキュリティ違反が発生した場合に、次のいずれかのアクションを実行します。
|
||||
| ステップ 10 |
switchport port-security [mac-address
mac-address [
vlan {
vlan-id | {
access |
voice}}] 例： Switch(config-if)# switchport port-security mac-address 00:A0:C7:12:C9:25 vlan 3 voice |
（任意）インターフェイスのセキュア MAC アドレスを入力します。 このコマンドを使用すると、最大数のセキュア MAC アドレスを入力できます。 設定したセキュア MAC アドレスが最大数より少ない場合、残りの MAC アドレスは動的に学習されます。
vlan キーワードを入力後、次のいずれかのオプションを入力します。
|
||||
| ステップ 11 |
switchport port-security mac-address sticky 例： Switch(config-if)# switchport port-security mac-address sticky |
|||||
| ステップ 12 |
switchport port-security mac-address sticky [
mac-address |
vlan {
vlan-id | {
access |
voice}}] 例： Switch(config-if)# switchport port-security mac-address sticky 00:A0:C7:12:C9:25 vlan voice |
（任意）スティッキー セキュア MAC アドレスを入力し、必要な回数だけコマンドを繰り返します。 設定したセキュア MAC アドレスの数が最大数より少ない場合、残りの MAC アドレスは動的に学習されてスティッキー セキュア MAC アドレスに変換され、実行コンフィギュレーションに追加されます。
vlan キーワードを入力後、次のいずれかのオプションを入力します。
|
||||
| ステップ 13 | switchport port-security mac-address forbiddenmac address 例：
Switch(config-if)# switchport port-security mac-address forbidden 2.2.2
|
特定のインターフェイスのポート セキュリティで禁止する MAC アドレスを指定します。 |
||||
| ステップ 14 |
end 例： Switch(config)# end |
|||||
| ステップ 15 |
show port-security 例： Switch# show port-security |
|||||
| ステップ 16 |
show running-config 例： Switch# show running-config |
|||||
| ステップ 17 | copy running-config startup-config 例：
Switch# copy running-config startup-config
|
（任意）コンフィギュレーション ファイルに設定を保存します。 |
関連資料
ポート セキュリティ エージングのイネーブル化および設定
この機能を使用すると、既存のセキュア MAC アドレスを手動で削除しなくても、セキュア ポート上のデバイスを削除および追加し、なおかつポート上のセキュア アドレス数を制限できます。 セキュア アドレスのエージングは、ポート単位でイネーブルまたはディセーブルにできます。
1. enable
4.
switchport port-security aging {
static |
time
time |
type {
absolute |
inactivity}}
6.
show port-security [
interface
interface-id] [
address]
8. copy running-config startup-config
手順の詳細
| コマンドまたはアクション | 目的 | |||
|---|---|---|---|---|
| ステップ 1 | enable 例：
Switch> enable
|
特権 EXEC モードをイネーブルにします。 パスワードを入力します（要求された場合）。 |
||
| ステップ 2 |
configureterminal 例： Switch# configure terminal |
|||
| ステップ 3 |
interface
interface-id 例： Switch(config)# interface gigabitethernet1/0/1 |
|||
| ステップ 4 |
switchport port-security aging {
static |
time
time |
type {
absolute |
inactivity}} 例： Switch(config-if)# switchport port-security aging time 120 |
セキュア ポートのスタティック エージングをイネーブルまたはディセーブルにします。またはエージング タイムやタイプを設定します。
このポートに、スタティックに設定されたセキュア アドレスのエージングをイネーブルにする場合は、 static を入力します。 |
||
| ステップ 5 |
end 例： Switch(config)# end |
|||
| ステップ 6 |
show port-security [
interface
interface-id] [
address] 例： Switch# show port-security interface gigabitethernet1/0/1 |
|||
| ステップ 7 |
show running-config 例： Switch# show running-config |
|||
| ステップ 8 | copy running-config startup-config 例：
Switch# copy running-config startup-config
|
（任意）コンフィギュレーション ファイルに設定を保存します。 |
関連コンセプト
機能情報の確認
ご使用のソフトウェア リリースでは、このモジュールで説明されるすべての機能がサポートされているとは限りません。 最新の機能情報および警告については、使用するプラットフォームおよびソフトウェア リリースの Bug Search Tool およびリリース ノートを参照してください。 このモジュールに記載されている機能の詳細を検索し、各機能がサポートされているリリースのリストを確認する場合は、このモジュールの最後にある機能情報の表を参照してください。
プラットフォームのサポートおよびシスコ ソフトウェア イメージのサポートに関する情報を検索するには、Cisco Feature Navigator を使用します。 Cisco Feature Navigator には、http://www.cisco.com/go/cfn からアクセスします。 Cisco.com のアカウントは必要ありません。
ストーム制御に関する情報
ストーム制御
ストーム制御は、物理インターフェイスの 1 つで発生したブロードキャスト、マルチキャスト、またはユニキャスト ストームによって LAN 上のトラフィックが混乱することを防ぎます。 LAN ストームは、LAN にパケットがフラッディングした場合に発生します。その結果、トラフィックが極端に増えてネットワーク パフォーマンスが低下します。 プロトコルスタックの実装エラー、ネットワーク構成の間違い、またはユーザによって引き起こされる DoS 攻撃もストームの原因になります。
ストーム制御（またはトラフィック抑制）は、インターフェイスからスイッチング バスを通過するパケットをモニタし、パケットがユニキャスト、マルチキャスト、またはブロードキャストのいずれであるかを判別します。 スイッチは、1 秒間に受け取った特定のタイプのパケットの数をカウントして、事前に定義された抑制レベルのしきい値とその測定結果を比較します。
トラフィック アクティビティの測定方法
ストーム制御は、次のうちのいずれかをトラフィック アクティビティの測定方法に使用します。
上記の方法のいずれを使用しても、しきい値に到達すると、ポートはトラフィックをブロックします。 トラフィック レートが下限しきい値（指定されている場合）を下回らない限り、ポートはブロックされたままになり、その後、通常の転送が再開されます。 下限抑制レベルが指定されていない場合、トラフィック レートが上限抑制レベルを下回らない限り、スイッチはすべてのトラフィックをブロックします。 一般に、そのレベルが高ければ高いほど、ブロードキャスト ストームに対する保護効果は薄くなります。
（注） |
マルチキャスト トラフィックのストーム制御しきい値に達した場合、ブリッジ プロトコル データ ユニット（BPDU）および Cisco Discovery Protocol（CDP）フレームなどの制御トラフィック以外のマルチキャスト トラフィックはすべてブロックされます。 ただし、スイッチでは Open Shortest Path First（OSPF）などのルーティング アップデートと、正規のマルチキャスト データ トラフィックは区別されないため、両方のトラフィック タイプがブロックされます。 |
トラフィック パターン
T1 から T2、T4 から T5 のタイム インターバルで、転送するブロードキャスト トラフィックが設定されたしきい値を上回っています。 指定のトラフィック量がしきい値を上回ると、次のインターバルで、そのタイプのトラフィックがすべてドロップされます。 したがって、T2 と T5 の後のインターバルの間、ブロードキャスト トラフィックがブロックされます。 その次のインターバル（たとえば、T3）では、しきい値を上回らない限り、ブロードキャスト トラフィックが再び転送されます。
ストーム制御抑制レベルと 1 秒間のインターバルを組み合わせて、ストーム制御アルゴリズムの動作を制御します。 しきい値が高いほど、通過できるパケット数が多くなります。 しきい値が 100% であれば、トラフィックに対する制限はありません。 値を 0.0 にすると、そのポート上ではすべてのブロードキャスト、マルチキャスト、またはユニキャスト トラフィックがブロックされます。
（注） |
パケットは一定の間隔で届くわけではないので、トラフィック アクティビティを測定する 1 秒間のインターバルがストーム制御の動作を左右する可能性があります。 |
各トラフィック タイプのしきい値を設定するには、 storm-control インターフェイス コンフィギュレーション コマンドを使用します。
ストーム制御の設定方法
ストーム制御およびしきい値レベルの設定
ポートにストーム制御を設定し、特定のトラフィック タイプで使用するしきい値レベルを入力します。
ただし、ハードウェアの制約とともに、さまざまなサイズのパケットをどのように数えるかという問題があるので、しきい値の割合はあくまでも近似値です。 着信トラフィックを形成するパケットのサイズによって、実際に適用されるしきい値は設定されたレベルに対して、数 % の差異が生じる可能性があります。
（注） |
ストーム制御は、物理インターフェイスでサポートされています。 また、EtherChannel でもストーム制御を設定できます。 ストーム制御を EtherChannel で設定する場合、ストーム制御設定は EtherChannel 物理インターフェイスに伝播します。 |
ストーム制御としきい値レベルを設定するには、次の手順を実行します。
はじめる前に
手順の概要
ストーム制御は、物理インターフェイスでサポートされています。 また、EtherChannel でもストーム制御を設定できます。 ストーム制御を EtherChannel で設定する場合、ストーム制御設定は EtherChannel 物理インターフェイスに伝播します。
1. enable
4.
storm-control {
broadcast |
multicast |
unicast}
level {
level [
level-low] |
bps
bps [
bps-low] |
pps
pps [
pps-low]}
5.
storm-control action {
shutdown |
trap}
7.
show storm-control [
interface-id] [
broadcast |
multicast |
unicast]
手順の詳細
| コマンドまたはアクション | 目的 | |
|---|---|---|
| ステップ 1 | enable 例：
Switch> enable
|
特権 EXEC モードをイネーブルにします。 パスワードを入力します（要求された場合）。 |
| ステップ 2 |
configureterminal 例： Switch# configure terminal |
|
| ステップ 3 |
interface
interface-id 例： Switch(config)# interface gigabitethernet1/0/1 |
|
| ステップ 4 |
storm-control {
broadcast |
multicast |
unicast}
level {
level [
level-low] |
bps
bps [
bps-low] |
pps
pps [
pps-low]} 例： Switch(config-if)# storm-control unicast level 87 65 |
ブロードキャスト、マルチキャスト、またはユニキャスト ストーム制御を設定します。 デフォルトでは、ストーム制御はディセーブルに設定されています。
BPS および PPS の設定には、しきい値の数値を大きく設定できるように、サフィックスに測定記号（k、m、g など）を使用できます。 |
| ステップ 5 |
storm-control action {
shutdown |
trap} 例： Switch(config-if)# storm-control action trap |
ストーム検出時に実行するアクションを指定します。 デフォルトではトラフィックにフィルタリングを実行し、トラップは送信しない設定です。 |
| ステップ 6 |
end 例： Switch(config-if)# end |
|
| ステップ 7 |
show storm-control [
interface-id] [
broadcast |
multicast |
unicast] 例： Switch# show storm-control gigabitethernet1/0/1 unicast |
指定したトラフィック タイプについて、インターフェイスで設定したストーム制御抑制レベルを確認します。 トラフィック タイプを入力しなかった場合は、ブロードキャスト ストーム制御の設定が表示されます。 |
| ステップ 8 |
copy running-config startup-config 例： Switch# copy running-config startup-config |
スモール フレーム到着レートの設定
67 バイト未満の着信 VLAN タグ付きパケットは、小さいフレームと見なされます。 このパケットはスイッチにより転送されますが、スイッチ ストーム制御カウンタを増加させません。
スイッチ上の小さいフレームの着信機能をグローバルにイネーブルにして、各インターフェイスのパケットの小さいフレームのしきい値を設定します。 最小サイズよりも小さく、指定されたレート（しきい値）で着信するパケットは、ポートがディセーブルにされた後はドロップされます。
1. enable
3.
errdisable detect cause small-frame
4.
errdisable recovery interval
interval
5.
errdisable recovery cause small-frame
7.
small-frame violation-rate
pps
9.
show interfaces
interface-id
11. copy running-config startup-config
手順の詳細
| コマンドまたはアクション | 目的 | |
|---|---|---|
| ステップ 1 | enable 例：
Switch> enable
|
特権 EXEC モードをイネーブルにします。 パスワードを入力します（要求された場合）。 |
| ステップ 2 |
configureterminal 例： Switch# configure terminal |
|
| ステップ 3 |
errdisable detect cause small-frame 例： Switch(config)# errdisable detect cause small-frame |
|
| ステップ 4 |
errdisable recovery interval
interval 例： Switch(config)# errdisable recovery interval 60 |
|
| ステップ 5 |
errdisable recovery cause small-frame 例： Switch(config)# errdisable recovery cause small-frame |
（任意）小さいフレームの着信によりポートが errdisable になった後、そのポートを自動的に再イネーブルにするリカバリ時間を設定します。 ストーム制御は、物理インターフェイスでサポートされています。 また、EtherChannel でもストーム制御を設定できます。 ストーム制御を EtherChannel で設定する場合、ストーム制御設定は EtherChannel 物理インターフェイスに伝播します。 |
| ステップ 6 |
interface
interface-id 例： Switch(config)# interface gigabitethernet1/0/2 |
|
| ステップ 7 |
small-frame violation-rate
pps 例： Switch(config-if)# small-frame violation rate 10000 |
インターフェイスが着信パケットをドロップしてポートを errdisable にするようにしきい値レートを設定します。 範囲は、1 ～ 10,000 パケット/秒（pps）です。 |
| ステップ 8 |
end 例： Switch(config)# end |
|
| ステップ 9 |
show interfaces
interface-id 例： Switch# show interfaces gigabitethernet1/0/2 |
|
| ステップ 10 |
show running-config 例： Switch# show running-config |
|
| ステップ 11 | copy running-config startup-config 例：
Switch# copy running-config startup-config
|
（任意）コンフィギュレーション ファイルに設定を保存します。 |
保護ポートに関する情報
保護ポート
アプリケーションによっては、あるネイバーが生成したトラフィックが別のネイバーにわからないように、同一スイッチ上のポート間でレイヤ 2 トラフィックが転送されないように設定する必要があります。 このような環境では、保護ポートを使用すると、スイッチ上のポート間でユニキャスト、ブロードキャスト、またはマルチキャスト トラフィックの交換が確実になくなります。
-
保護ポートは、同様に保護ポートになっている他のポートに対して、ユニキャスト、マルチキャスト、またはブロードキャスト トラフィックを転送しません。 データ トラフィックはレイヤ 2 の保護ポート間で転送されません。PIM パケットなどは CPU で処理されてソフトウェアで転送されるため、このような制御トラフィックだけが転送されます。 保護ポート間を通過するすべてのデータ トラフィックは、レイヤ 3 デバイスを介して転送されなければなりません。
スイッチ スタックは論理的には 1 つのスイッチを表しているため、レイヤ 2 トラフィックは、スタック内の同一スイッチか異なるスイッチかにかかわらず、スイッチ スタックの保護ポート間では転送されません。
保護ポートの設定方法
保護ポートの設定
手順の概要
手順の詳細
手順の詳細
| コマンドまたはアクション | 目的 | |
|---|---|---|
| ステップ 1 | enable 例：
Switch> enable
|
特権 EXEC モードをイネーブルにします。 パスワードを入力します（要求された場合）。 |
| ステップ 2 |
configureterminal 例： Switch# configure terminal |
|
| ステップ 3 |
interface
interface-id 例： Switch(config)# interface gigabitethernet1/0/1 |
|
| ステップ 4 |
switchport protected 例： Switch(config-if)# switchport protected |
|
| ステップ 5 |
end 例： Switch(config)# end |
|
| ステップ 6 |
show interfaces
interface-id
switchport 例： Switch# show interfaces gigabitethernet1/0/1 switchport |
|
| ステップ 7 |
show running-config 例： Switch# show running-config |
|
| ステップ 8 | copy running-config startup-config 例：
Switch# copy running-config startup-config
|
（任意）コンフィギュレーション ファイルに設定を保存します。 |
ポート ブロッキング
デフォルトでは、スイッチは未知の宛先 MAC アドレスが指定されたパケットをすべてのポートからフラッディングします。 未知のユニキャストおよびマルチキャスト トラフィックが保護ポートに転送されると、セキュリティ上、問題になる可能性があります。 未知のユニキャストおよびマルチキャスト トラフィックがあるポートから別のポートに転送されないようにするために、（保護または非保護）ポートをブロックし、未知のユニキャストまたはマルチキャスト パケットが他のポートにフラッディングされないようにします。
（注） |
マルチキャスト トラフィックでは、ポート ブロッキング機能は純粋なレイヤ 2 パケットだけをブロックします。 ヘッダーに IPv4 または IPv6 の情報を含むマルチキャスト パケットはブロックされません。 |
インターフェイスでのフラッディング トラフィックのブロッキング
はじめる前に
手順の概要
インターフェイスは物理インターフェイスまたは EtherChannel グループのいずれも可能です。 ポート チャネルのマルチキャストまたはユニキャスト トラフィックをブロックすると、ポート チャネル グループのすべてのポートでブロックされます。
手順の詳細
| コマンドまたはアクション | 目的 | |||
|---|---|---|---|---|
| ステップ 1 | enable 例：
Switch> enable
|
特権 EXEC モードをイネーブルにします。 パスワードを入力します（要求された場合）。 |
||
| ステップ 2 |
configureterminal 例： Switch# configure terminal |
|||
| ステップ 3 |
interface
interface-id 例： Switch(config)# interface gigabitethernet1/0/1 |
|||
| ステップ 4 |
switchport block multicast 例： Switch(config-if)# switchport block multicast |
|
||
| ステップ 5 |
switchport block unicast 例： Switch(config-if)# switchport block unicast |
|||
| ステップ 6 |
end 例： Switch(config)# end |
|||
| ステップ 7 |
show interfaces
interface-id
switchport 例： Switch# show interfaces gigabitethernet1/0/1 switchport |
|||
| ステップ 8 |
show running-config 例： Switch# show running-config |
|||
| ステップ 9 | copy running-config startup-config 例：
Switch# copy running-config startup-config
|
（任意）コンフィギュレーション ファイルに設定を保存します。 |
ポート セキュリティの設定例
次に、ポート上でポート セキュリティをイネーブルにし、セキュア アドレスの最大数を 50 に設定する例を示します。 違反モードはデフォルトです。スタティック セキュア MAC アドレスは設定せず、スティッキー ラーニングはイネーブルです。
Switch(config)# interface gigabitethernet1/0/1 Switch(config-if)# switchport mode access Switch(config-if)# switchport port-security Switch(config-if)# switchport port-security maximum 50 Switch(config-if)# switchport port-security mac-address sticky
次に、ポートの VLAN 3 上にスタティック セキュア MAC アドレスを設定する例を示します。
Switch(config)# interface gigabitethernet1/0/2 Switch(config-if)# switchport mode trunk Switch(config-if)# switchport port-security Switch(config-if)# switchport port-security mac-address 0000.0200.0004 vlan 3
次に、ポートのスティッキー ポート セキュリティをイネーブルにする例を示します。データ VLAN および音声 VLAN の MAC アドレスを手動で設定し、セキュア アドレスの総数を 20 に設定します（データ VLAN に 10、音声 VLAN に 10 を割り当てます）。
Switch(config)# interface tengigabitethernet1/0/1 Switch(config-if)# switchport access vlan 21 Switch(config-if)# switchport mode access Switch(config-if)# switchport voice vlan 22 Switch(config-if)# switchport port-security Switch(config-if)# switchport port-security maximum 20 Switch(config-if)# switchport port-security violation restrict Switch(config-if)# switchport port-security mac-address sticky Switch(config-if)# switchport port-security mac-address sticky 0000.0000.0002 Switch(config-if)# switchport port-security mac-address 0000.0000.0003 Switch(config-if)# switchport port-security mac-address sticky 0000.0000.0001 vlan voice Switch(config-if)# switchport port-security mac-address 0000.0000.0004 vlan voice Switch(config-if)# switchport port-security maximum 10 vlan access Switch(config-if)# switchport port-security maximum 10 vlan voice
関連コンセプト
関連タスク
プロトコル ストーム プロテクションに関する情報
プロトコル ストーム プロテクション
スイッチがアドレス解決プロトコル（ARP）または制御パケットでフラッドされると、CPU の高い使用率により CPU のオーバーロードが発生する可能性があります。 これらの問題は、次のように発生します。
-
プロトコル制御パケットが受信されず、ネイバーの隣接がドロップされるため、ルーティング プロトコルがフラップする場合があります。
-
スパニングツリー プロトコル（STP）ブリッジ プロトコル データ ユニット（BPDU）が送受信されないため、STP が再収束します。
プロトコル ストーム プロテクションを使用すると、パケットのフロー レートの上限しきい値を指定して、制御パケットが送信されるレートを制御できます。 サポートされるプロトコルは、ARP、ARP スヌーピング、Dynamic Host Configuration Protocol（DHCP）v4、DHCP スヌーピング、インターネット グループ管理プロトコル（IGMP）、および IGMP スヌーピングです。
パケットのレートが定義されたしきい値を超えると、スイッチは指定されたポートに着信したすべてのトラフィックを 30 秒間ドロップします。 パケット レートが再度計測され、必要な場合はプロトコル ストーム プロテクションが再度適用されます。
より強力な保護が必要な場合は、仮想ポートを手動で errdisable にし、その仮想ポートのすべての着信トラフィックをブロックできます。 また、手動で仮想ポートをイネーブルにしたり、仮想ポートの自動再イネーブル化の時間間隔を設定することもできます。
（注） |
超過したパケットは、2 つ以下の仮想ポートにおいてドロップされます。 仮想ポートのエラー ディセーブル化は、EtherChannel インターフェイスと Flexlink インターフェイスではサポートされません。 |
プロトコル ストーム プロテクションの設定方法
プロトコル ストーム プロテクションのイネーブル化
手順の概要
手順の詳細
1. enable
3. psp { arp | dhcp | igmp} pps value
4.
errdisable detect cause psp
手順の詳細
| コマンドまたはアクション | 目的 | |
|---|---|---|
| ステップ 1 | enable 例：
Switch> enable
|
特権 EXEC モードをイネーブルにします。 パスワードを入力します（要求された場合）。 |
| ステップ 2 |
configureterminal 例： Switch# configure terminal |
|
| ステップ 3 |
psp {
arp |
dhcp |
igmp} pps
value 例： Switch(config)# psp dhcp pps 35 |
ARP、IGMP、または DHCP に対してプロトコル ストーム プロテクションを設定します。 value には、1 秒あたりのパケット数のしきい値を指定します。 トラフィックがこの値を超えると、プロトコル ストーム プロテクションが適用されます。 範囲は毎秒 5 ～ 50 パケットです。 |
| ステップ 4 |
errdisable detect cause psp 例： Switch(config)# errdisable detect cause psp |
（任意）プロトコル ストーム プロテクションの errdisable 検出をイネーブルにします。 この機能がイネーブルになると、仮想ポートが errdisable になります。 この機能がディセーブルになると、そのポートは、ポートを errdisable にせずに超過したパケットをドロップします。 |
| ステップ 5 |
errdisable recovery interval
time 例：
Switch
|
（任意）errdisable の仮想ポートの自動リカバリ時間を秒単位で設定します。 仮想ポートが errdisable の場合、この時間を過ぎるとスイッチは自動的にリカバリします。 指定できる範囲は 30 ～ 86400 秒です。 |
| ステップ 6 |
end 例： Switch(config)# end |
|
| ステップ 7 |
show psp config {
arp |
dhcp |
igmp} 例： Switch# show psp config dhcp |
フィードバック