Cisco Nexus 7000 シリーズ NX-OS セキュリティ コンフィギュレーション ガイド リリース 6.x

セキュリティ トラフィック フィルタリングには次のタイプの ACL を使用できます。

FCoE ACL

Fibre Channel over Ethernet（FCoE）ACL は、ファイバ チャネル トラフィックだけに適用されます。 FCoE の詳細については、 『Cisco NX-OS FCoE Configuration Guide for Cisco Nexus 7000 and Cisco MDS 9500』を参照してください。

IPv4 ACL

IPv4 トラフィックだけに適用されます。

IPv6 ACL

IPv6 トラフィックだけに適用されます。

MAC ACL

デフォルトでは、IP 以外のトラフィックだけに適用されます。ただし、すべてのトラフィックに MAC ACL を提供するようにレイヤ 2 インターフェイスを設定できます。

セキュリティ グループ ACL（SGACL）

Cisco TrustSec によってタグ付けされたトラフィックに適用されます。

IP ACL および MAC ACL には次のタイプの適用例があります。

ポート ACL

レイヤ 2 トラフィックのフィルタリング

ルータ ACL

レイヤ 3 トラフィックのフィルタリング

VLAN ACL

VLAN トラフィックのフィルタリング

VTY ACL

仮想テレタイプ（VTY）トラフィックのフィルタリング

デバイスは、パケットを処理する際に、そのパケットの転送パスを決定します。 デバイスがトラフィックに適用する ACL はパスによって決まります。 デバイスは、次の順序で ACL を適用します。

1. ポート ACL

2. 入力 VACL

3. 入力ルータ ACL

4. 入力 VTY ACL

5. SGACL

6. 出力 VTY ACL

7. 出力ルータ ACL

8. 出力 VACL

パケットが入力 VLAN 内でブリッジされる場合、ルータ ACL は適用されません。

図 1. ACL の適用順序. 次の図に、デバイスが ACL を適用する順序を示します。

ACL によるネットワーク トラフィックのフィルタリング方法を設定する際に、何を作成、変更、削除するかを決めるのがルールです。 ルールは実行コンフィギュレーション内に表示されます。 ACL をインターフェイスに適用するか、またはインターフェイスにすでに適用されている ACL 内のルールを変更すると、スーパーバイザ モジュールは実行コンフィギュレーション内のルールから ACL のエントリを作成し、それらの ACL エントリを適用可能な I/O モジュールに送信します。 ACL の設定によっては、ルールよりも ACL エントリの方が数が多くなることがあります。特に、ルールを設定するときにオブジェクト グループを使用してポリシーベース ACL を実装する場合などです。

permit コマンドまたは deny コマンドを使用すると、アクセス リスト コンフィギュレーション モードでルールを作成できます。 これにより、デバイスは許可ルール内の基準と一致するトラフィックを許可し、拒否ルール内の基準と一致するトラフィックをブロックします。 ルールに一致するためにトラフィックが満たさなければならない基準を設定するためのオプションが多数用意されています。

ここでは、ルールを設定する際に使用できるオプションをいくつか紹介します。 すべてのオプションの説明については、『Cisco Nexus 7000 Series NX-OS Security Command Reference』の該当する permit および deny コマンドを参照してください。

時間範囲を使用して、ACL ルールが有効になる時期を制御できます。 たとえば、インターフェイスに着信するトラフィックに特定の ACL を適用するとデバイスが判断し、その ACL のあるルールの時間範囲が有効になっていない場合、デバイスは、トラフィックをそのルールと照合しません。 デバイスは、そのデバイスのクロックに基づいて時間範囲を評価します。

時間範囲を使用する ACL を適用すると、デバイスはその ACL で参照される時間範囲の開始時または終了時に影響する I/O モジュールをアップデートします。 時間範囲によって開始されるアップデートはベストエフォート型のプライオリティで実行されます。 時間範囲によってアップデートが生じたときにデバイスの処理負荷が非常に高い場合、デバイスはアップデートを最大数秒間遅らせることがあります。

IPv4、IPv6、および MAC の各 ACL は時間範囲をサポートしています。 デバイスがトラフィックに ACL を適用する場合、有効なルールは次のとおりです。

• 時間範囲が指定されていないすべてのルール

• デバイスがその ACL をトラフィックに適用した時点（秒）が時間範囲に含まれているルール

名前が付けられた時間範囲は再利用できます。多くの ACL ルールを設定する場合は、時間範囲を名前で一度設定すれば済みます。 時間範囲の名前は最大 64 の英文字で指定します。

時間範囲には、1 つまたは複数のルールで構成されます。 これらのルールは次の 2 種類に分類できます。

絶対

特定の開始日時、終了日時、その両方を持つルール、またはそのどちらも持たないルール。 絶対時間範囲のルールがアクティブかどうかは、開始日時または終了日時の有無によって、次のように決まります。

• 開始日時と終了日時が両方指定されている：この時間範囲ルールは、現在の時刻が開始日時よりも後で終了日時よりも前の場合にアクティブになります。

• 開始日時が指定され、終了日時は指定されていない：この時間範囲ルールは、現在の時刻が開始日時よりも後である場合にアクティブになります。

• 開始日時は指定されず、終了日時が指定されている：この時間範囲ルールは、現在の時刻が終了日時よりも前である場合にアクティブになります。

• 開始日時も終了日時も指定されていない：この時間範囲ルールは常にアクティブです。

たとえば、新しいサブネットへのアクセスを許可するようにネットワークを設定する場合、そのサブネットをオンラインにする予定日の真夜中からアクセスを許可するような時間範囲を指定し、 この時間範囲をそのサブネットに適用する ACL ルールに使用します。 デバイスはこのルールを含む ACL を適用する場合、開始日時が過ぎると、この時間範囲を使用するルールの適用を自動的に開始します。

定期

毎週 1 回以上アクティブになるルール。 たとえば、定期時間範囲を使用すると、平日の営業時間中だけ、研究室のサブネットにアクセスできるようにすることができます。 デバイスは、そのルールを含む ACL が適用されていて、時間範囲がアクティブな場合にだけ、この時間範囲を使用する ACL ルールを自動的に適用します。

（注）	デバイスは、時間範囲内のルールの順序に関係なく、時間範囲がアクティブかどうかを判断します。 Cisco NX-OS は、時間範囲を編集できるように時間範囲内にシーケンス番号を入れます。

時間範囲には備考を含めることもできます。備考を使用すると、時間範囲にコメントを挿入できます。 備考は、最大 100 文字の英数字で指定します。

デバイスは次の方法で時間範囲がアクティブかどうかを判断します。

• 時間範囲に絶対ルールが 1 つまたは複数含まれている：現在の時刻が 1 つまたは複数の絶対ルールの範囲内であれば、その時間範囲はアクティブです。

• 時間範囲に定期ルールが 1 つまたは複数含まれている：現在の時刻が 1 つまたは複数の定期ルールの範囲内であれば、その時間範囲はアクティブです。

• 時間範囲に絶対ルールと定期ルールが両方含まれている：現在の時刻が 1 つまたは複数の絶対ルールと 1 つ以上の定期ルールの範囲内にある場合に、その時間範囲はアクティブです。

時間範囲に絶対ルールと定期ルールが両方含まれている場合、定期ルールがアクティブになるのは、最低 1 つの絶対ルールがアクティブな場合だけです。

デバイスはポリシーベース ACL（PBACL）をサポートしています。PBACL を使用すると、オブジェクト グループ全体にアクセス コントロール ポリシーを適用できます。 オブジェクト グループは、IP アドレスのグループまたは TCP ポートもしくは UDP ポートのグループです。 ルール作成時に、IP アドレスやポートを指定するのではなく、オブジェクト グループを指定できます。

IPv4 または IPv6 の ACL の設定にオブジェクト グループを使用すると、ルールの送信元または宛先に対してアドレスまたはポートの追加や削除を行う場合に、ACL を簡単にアップデートできます。 たとえば、3 つのルールが同じ IP アドレス グループ オブジェクトを参照している場合は、3 つのすべてのルールを変更しなくても、オブジェクトに IP アドレスを追加すれば済みます。

PBACL を使用しても、インターフェイスに ACL を適用する際にその ACL が必要とするリソースは減りません。 PBACL の適用時、またはすでに適用されている PBACL のアップデート時には、デバイスはオブジェクト グループを参照する各ルールを展開し、グループ内の各オブジェクトと ACL エントリが 1 対 1 になるようにします。 あるルールに、送信元と宛先が両方ともオブジェクト グループとして指定されている場合、この PBACL を適用する際に I/O モジュールに作成される ACL エントリの数は、送信元グループ内のオブジェクト数に宛先グループ内のオブジェクト数をかけた値になります。

ポート、ルータ、 VLAN の ACL には、次のオブジェクト グループ タイプが適用されます。

IPv4 アドレス オブジェクト グループ

IPv4 ACL ルールで送信元または宛先アドレスの指定に使用できます。 permit コマンドまたは deny コマンドを使用してルールを設定する際に、addrgroup キーワードを使用すると、送信元または宛先のオブジェクト グループを指定できます。

IPv6 アドレス オブジェクト グループ

IPv6 ACL ルールで送信元または宛先アドレスの指定に使用できます。 permit コマンドまたは deny コマンドを使用してルールを設定する際に、addrgroup キーワードを使用すると、送信元または宛先のオブジェクト グループを指定できます。

プロトコル ポート オブジェクト グループ

IPv4 および IPv6 の TCP および UDP ルールで送信元または宛先のポートの指定に使用できます。 permit コマンドまたは deny コマンドを使用してルールを設定する際に、portgroup キーワードを使用すると、送信元または宛先のオブジェクト グループを指定できます。

このデバイスは IPv4 ACL、IPv6 ACL、および MAC ACL に設定した各ルールのグローバル統計を保持できます。 1 つの ACL が複数のインターフェイスに適用される場合、ルール統計には、その ACL が適用されるすべてのインターフェイスと一致する（ヒットする）パケットの合計数が維持されます。

（注）	インターフェイスレベルの ACL 統計はサポートされていません。

設定する ACL ごとに、その ACL の統計情報をデバイスが維持するかどうかを指定できます。これにより、ACL によるトラフィック フィルタリングが必要かどうかに応じて ACL 統計のオン、オフを指定できます。また、ACL 設定のトラブルシューティングにも役立ちます。

デバイスには ACL の暗黙ルールの統計情報は維持されません。 たとえば、すべての IPv4 ACL の末尾にある暗黙の deny ip any any ルールと一致するパケットのカウントはデバイスに維持されません。 暗黙ルールの統計情報を維持する場合は、暗黙ルールと同じルールを指定した ACL を明示的に設定する必要があります。

Atomic ACL のアップデートは、既存の ACL とアップデートした ACL の両方が TCAM メモリにプログラミングされたハードウェア操作です。 これが操作のデフォルト モードです。 このアップデート法の利点は、ACL の変更がサービスに影響しないということです。 ACL を変更するとき、現在の ACL が TCAM にすでにプログラミングされています。 そして Cisco Nexus 7000 シリーズのデバイスは、現在の ACL を取得して、それを変更分とマージして ACL プライムを生成します。 ACL プライムもまた、TCAM にプログラムされます。 その後 Cisco Nexus 7000 シリーズのデバイスは、ポインタを変更して ACL プライムをインターフェイスに関連付けられるようにします。 最後の手順として、TCAM から古い ACL を削除します。 これは機能的には、Atomic ACL のアップデートを使用する場合、ACL TCAM リソースの 50 パーセントを超えることができないということを意味します。 Atomic ACL のアップデートがアクティブなときに ACL リソースの 50 パーセントを超えると、「ERROR: Tcam will be over used, please turn off atomic update」というメッセージを受信し、新しい ACL の変更は適用されません。

Nonatomic ACL のアップデートは、50 パーセント超の ACL TCAM を使用している場合に必要です。 このモードがアクティブな場合、Cisco Nexus 7000 シリーズのデバイスは、早急に TCAM から古い ACL を削除して、それを ACL プライムに置き換えます。 これにより、最大 100 パーセントの ACL TCAM を使用できますが、マイナス面としてサービスの一時中断が起きる場合があります。それは、古い ACL によって許可されたパケットが ACL プライムが ACL TCAM に正常にプログラムされるまでドロップされるためです。

デフォルトでは、Cisco Nexus 7000 シリーズのデバイスのスーパーバイザ モジュールで、ACL の変更を I/O モジュールにアップデートする際には、Atomic ACL のアップデートを実行します。 Atomic アップデートでは、アップデートされる ACL が適用されるトラフィックを中断させることがありません。しかし、Atomic アップデートでは、ACL のアップデートを受け取る I/O モジュールに、関係する ACL の既存のすべてのエントリに加えて、アップデートされた ACL エントリを保存するのに十分なリソースがあることが必要です。 アップデートが行われた後、アップデートに使用されたリソースは開放されます。 I/O モジュールに十分なリソースがない場合は、デバイスからエラー メッセージが出力され、この I/O モジュールに対する ACL のアップデートは失敗します。

I/O モジュールに Atomic アップデートに必要なリソースがない場合は、no hardware access-list update atomic コマンドを使用して Atomic アップデートをディセーブルにすることができますが、デバイスで既存の ACL を削除して、アップデートされた ACL を適用するには、多少の時間がかかります。ACL が適用されるトラフィックは、デフォルトでドロップされます。

ACL が適用されるすべてのトラフィックを許可し、同時に非 Atomic アップデートを受信するようにするには、hardware access-list update default-result permit コマンドを使用してください。

（注）	hardware access-list update コマンドはデフォルトの VDC でだけ使用できます。ただし、すべての VDC に適用されます。

次の例では、ACL に対する Atomic アップデートをディセーブルにする方法を示します。

switch# config t 
switch(config)# no hardware access-list update atomic

次の例では、非 Atomic ACL アップデートの際に、関連するトラフィックを許可する方法を示します。

switch# config t 
switch(config)# hardware access-list update default-result permit

次の例では、Atomic アップデート方式に戻る方法を示します。

switch# config t 
switch(config)# no hardware access-list update default-result permit 
switch(config)# hardware access-list update atomic

ACL Ternary Control Address Memory（TCAM）バンク マッピングにより、TCAM バンクがより予測可能な方法でより多くの機能の組み合わせに対応できるようになります。 機能は、機能グループにあらかじめ分類され、TCAM バンクとの共存が許可される機能に応じてさらに機能クラスに事前定義されます。 たとえば、1 つのポート ACL（ポート ACL）機能と 1 つのレイヤ 2 NetFlow 機能は、1 つの機能クラスとして定義されます。 これらのクラスは、特定のバンクに割り当てられます。 特定の TCAM バンクでサポートされない機能クラスをイネーブルまたはディセーブルにするとエラー メッセージが表示されます。

ACL TCAM バンク マッピングにより、一連の機能を同時に設定したり、共存できない機能の組み合わせが同じ TCAM バンクに設定された場合に蓄積する複数の結果を削減することができます。 この機能を使用すると、領域を最適化し、TCAM バンクの使用率を最大化できます。

Session Manager は IP ACL および MAC ACL の設定をサポートしています。 この機能を使用すると、ACL の設定を調べて、その設定に必要とされるリソースが利用可能であるかどうかを、リソースを実行コンフィギュレーションにコミットする前に確認できます。

仮想デバイス コンテキスト（VDC）で使用される IP ACL および MAC ACL には、次の事項が適用されます。

• ACL は各 VDC に固有です。 ある VDC に作成した ACL は別の VDC に使用できません。

• ACL が複数の VDC に共有されることはないので、ACL 名は他の VDC に再利用できます。

• デバイスは、ACL やルールを VDC 単位では制限しません。

• アトミック ACL 更新の設定は、デフォルト VDC で実行する必要がありますが、すべての VDC に適用されます。

1.    configure terminal


2.    次のいずれかのコマンドを入力します。

• ip access-list name
• ipv6 access-list name

3.    （任意） fragments {permit-all | deny-all}


4.    [sequence-number] {permit | deny} protocol source destination


5.    （任意） statistics per-entry


6.    （任意） 次のいずれかのコマンドを入力します。

• show ip access-lists name
• show ipv6 access-lists name

7.    （任意） copy running-config startup-config

switch# configure terminal
switch(config)#

switch(config)# ip access-list acl-01
switch(config-acl)#

switch(config-acl)# fragments permit-all

switch(config-acl)# permit ip 192.168.2.0/24 any

switch(config-acl)# statistics per-entry

switch(config-acl)# show ip access-lists acl-01

switch(config-acl)# copy running-config startup-config

1.    configure terminal


2.    次のいずれかのコマンドを入力します。

• ip access-list name
• ipv6 access-list name

3.    （任意） [sequence-number] {permit | deny} protocol source destination


4.    （任意） [no] fragments {permit-all | deny-all}


5.    （任意） no {sequence-number | {permit | deny} protocol source destination}


6.    （任意） [no] statistics per-entry


7.    （任意） 次のいずれかのコマンドを入力します。

• show ip access-lists name
• show ipv6 access-lists name

8.    （任意） copy running-config startup-config

switch# configure terminal
switch(config)#

switch(config)# ip access-list acl-01
switch(config-acl)#

switch(config-acl)# 100 permit ip 192.168.2.0/24 any

switch(config-acl)# fragments permit-all

switch(config-acl)# no 80

switch(config-acl)# statistics per-entry

switch(config-acl)# show ip access-lists acl-01

switch(config-acl)# copy running-config startup-config

1.    configure terminal


2.    {ip | ipv6} access-list name

3.    {permit | deny} protocol source destination [log] [time-range time]

4.    exit


5.    line vty


6.    {ip | ipv6} access-class name {in | out}

7.    （任意） show {ip | ipv6} access-lists


8.    （任意） copy running-config startup-config

switch# configure terminal
switch(config)#

switch(config)# ip access-list vtyacl

switch(config-ip-acl)# permit tcp any any

switch(config-ip-acl)# exit
switch(config)#

switch(config)# line vty
switch(config-line)#

switch(config-line)# ip access-class vtyacl out

switch# show ip access-lists

switch# copy running-config startup-config

1.    configure terminal


2.    resequence {ip | ipv6} access-list name starting-sequence-number increment


3.    （任意） show ip access-lists name


4.    （任意） copy running-config startup-config

switch# configure terminal
switch(config)#

switch(config)# resequence access-list ip acl-01 100 10

switch(config)# show ip access-lists acl-01

switch(config)# copy running-config startup-config

1.    configure terminal


2.    次のいずれかのコマンドを入力します。

• no ip access-list name
• no ipv6 access-list name

3.    （任意） 次のいずれかのコマンドを入力します。

• show ip access-lists name summary
• show ipv6 access-lists name summary

4.    （任意） copy running-config startup-config

switch# configure terminal
switch(config)#

switch(config)# no ip access-list acl-01

switch(config)# show ip access-lists acl-01 summary

switch(config)# copy running-config startup-config

1.    switch# configure terminal

2.    次のいずれかのコマンドを入力します。

• switch(config)# interface ethernet slot/port[. number]
• switch(config)# interface port-channel channel-number[. number]
• switch(config)# interface tunnel tunnel-number
• switch(config)# interface vlan vlan-ID
• switch(config)# interface mgmt port

3.    次のいずれかのコマンドを入力します。


• switch(config-if)# ip access-group access-list {in | out}
• switch(config-if)# ipv6 traffic-filter access-list {in | out}

4.    （任意） switch(config-if)# show running-config aclmgr

5.    （任意） switch(config-if)# copy running-config startup-config

はじめる前に

適用する ACL が存在し、目的に応じたトラフィック フィルタリングが設定されていることを確認します。

（注）	インターフェイスを mac packet-classify で設定する場合は、mac packet-classify コマンドをインターフェイス設定から削除するまで、IP ポート ACL をインターフェイスに適用できません。

1.    configure terminal


2.    次のいずれかのコマンドを入力します。

• interface ethernet slot/port
• interface port-channel channel-number

3.    次のいずれかのコマンドを入力します。

• ip port access-group access-list in
• ipv6 port traffic-filter access-list in

4.    （任意） show running-config aclmgr


5.    （任意） copy running-config startup-config

switch# configure terminal
switch(config)#

switch(config)# interface ethernet 2/3
switch(config-if)#

switch(config-if)# ip port access-group acl-l2-marketing-group in

switch(config-if)# show running-config aclmgr

switch(config-if)# copy running-config startup-config

IP ACL は VACL として適用できます。

1.    configure terminal


2.    [no] hardware access-list resource feature bank-mapping


3.    （任意） show system internal access-list feature bank-class map {ingress | egress} [module module]


4.    copy running-config startup-config

switch# configure terminal
switch(config)#

switch(config)# hardware access-list resource feature bank-mapping

switch(config)# show system internal access-list feature bank-class map ingress module 4

Feature Class Definition:
0. CLASS_QOS :
QoS,
1. CLASS_INBAND :
Tunnel Decap, SPM LISP, SPM ERSPAN (termination),
2. CLASS_PACL :
PACL, Netflow,
3. CLASS_DHCP :
DHCP, Netflow, ARP, VACL,
4. CLASS_RACL :
RACL, RACL_STAT, Netflow (SVI), ARP,
5. CLASS_VACL :
VACL, VACL_STAT, ARP, FEX, Netflow,
6. CLASS_RV_ACL :
RACL, PBR, BFD, ARP, SPM WCCP, VACL, SPM OTV, FEX, CTS implicit Tunnel

switch# copy running-config startup-config

1.    configure terminal


2.    [no] hardware access-list capture


3.    （任意） show hardware access-list status module slot


4.    （任意） copy running-config startup-config

switch# configure terminal
switch(config)#

switch(config)# hardware access-list capture

switch(config)# show hardware access-list status module 2

switch(config)# copy running-config startup-config

1.    configure terminal


2.    monitor session session type acl-capture


3.    destination interface interface slot/port


4.    no shut


5.    exit


6.    （任意） show ip access-lists capture session session


7.    （任意） copy running-config startup-config

switch# configure terminal
switch(config)#

switch(config)# monitor session 2 type acl-capture
switch(config-acl-capture)#

switch(config-acl-capture)# destination interface ethernet 2/2
switch#

switch(config-acl-capture)# no shut

switch(config-acl-capture)# exit
switch(config)#

switch(config)# show ip access-lists capture session 2

switch# copy running-config startup-config

1.    configure terminal


2.    ip access-list name


3.    permit protocol source destination capture session session


4.    exit


5.    interface interface slot/port


6.    ip access-group name in


7.    no shut


8.    （任意） show running-config aclmgr


9.    （任意） copy running-config startup-config

switch# configure terminal
switch(config)#

switch(config)# ip access-list acl1
switch(config-acl)#

switch(config-acl)# permit tcp any any capture session 2

switch(config-acl)# exit
switch(config)#

switch(config)# interface ethernet 7/1
switch(config-if)#

switch(config-if)# ip access-group acl1 in

switch(config-if)# no shut

switch(config-if)# show running-config aclmgr

switch(config-if)# copy running-config startup-config

1.    configure terminal


2.    ip access-list name


3.    capture session session


4.    exit


5.    interface interface slot/port


6.    ip access-group name in


7.    no shut


8.    （任意） show running-config aclmgr


9.    （任意） copy running-config startup-config

switch# configure terminal
switch(config)#

switch(config)# ip access-list acl1
switch(config-acl)#

switch(config-acl)# capture session 2

switch(config-acl)# exit
switch(config)#

switch(config)# interface ethernet 7/1
switch(config-if)#

switch(config-if)# ip access-group acl1 in

switch(config-if)# no shut

switch(config-if)# show running-config aclmgr

switch(config-if)# copy running-config startup-config

Session Manager はオブジェクト グループの設定をサポートしています。 この機能を使用すると、設定セッションを作成し、オブジェクト グループの設定変更を実行コンフィギュレーションにコミットする前に確認できます。 Session Manager の詳細については、『Cisco Nexus 7000 Series NX-OS System Management Configuration Guide』を参照してください。

1.    configure terminal


2.    object-group ip address name


3.    次のいずれかのコマンドを入力します。

• [sequence-number] host IPv4-address
• [sequence-number] IPv4-address network-wildcard
• [sequence-number] IPv4-address/prefix-len

4.    次のいずれかのコマンドを入力します。

• no [sequence-number ]
• no host IPv4-address
• no IPv4-address network-wildcard
• no IPv4-address/prefix-len

5.    （任意） show object-group name


6.    （任意） copy running-config startup-config

switch# configure terminal
switch(config)#

switch(config)# object-group ip address ipv4-addr-group-13
switch(config-ipaddr-ogroup)#

switch(config-ipaddr-ogroup)# host 10.99.32.6

switch(config-ipaddr-ogroup)# no host 10.99.32.6

switch(config-ipaddr-ogroup)# show object-group ipv4-addr-group-13

switch(config-ipaddr-ogroup)# copy running-config startup-config

1.    config t


2.    object-group ipv6 address name


3.    次のいずれかのコマンドを入力します。

• [sequence-number] host IPv6-address
• [sequence-number] IPv6-address/prefix-len

4.    次のいずれかのコマンドを入力します。

• no sequence-number
• no host IPv6-address
• no IPv6-address/prefix-len

5.    （任意） show object-group name


6.    （任意） copy running-config startup-config

switch# config t
switch(config)#

switch(config)# object-group ipv6 address ipv6-addr-group-A7
switch(config-ipv6addr-ogroup)#

switch(config-ipv6addr-ogroup)# host 2001:db8:0:3ab0::1

switch(config-ipv6addr-ogroup)# no host 2001:db8:0:3ab0::1

switch(config-ipv6addr-ogroup)# show object-group ipv6-addr-group-A7

switch(config-ipv6addr-ogroup)# copy running-config startup-config

1.    configure terminal


2.    object-group ip port name


3.    [sequence-number] operator port-number [port-number]


4.    no {sequence-number | operator port-number [port-number]}


5.    （任意） show object-group name


6.    （任意） copy running-config startup-config

switch# configure terminal
switch(config)#

switch(config)# object-group ip port NYC-datacenter-ports
switch(config-port-ogroup)#

switch(config-port-ogroup)# eq 80

switch(config-port-ogroup)# no eq 80

switch(config-port-ogroup)# show object-group NYC-datacenter-ports

switch(config-port-ogroup)# copy running-config startup-config

1.    configure terminal


2.    no object-group {ip address | ipv6 address | ip port} name


3.    （任意） show object-group


4.    （任意） copy running-config startup-config

switch# configure terminal
switch(config)#

switch(config)# no object-group ip address ipv4-addr-group-A7

switch(config)# show object-group

switch(config)# copy running-config startup-config

Session Manager は時間範囲の設定をサポートしています。 この機能を使用すると、設定セッションを作成し、時間範囲の設定変更を実行コンフィギュレーションにコミットする前に確認できます。 Session Manager の詳細については、『Cisco Nexus 7000 Series NX-OS System Management Configuration Guide』を参照してください。

1.    configure terminal


2.    time-range name


3.    （任意） [sequence-number] periodic weekday time to [weekday] time


4.    （任意） [sequence-number] periodic list-of-weekdays time to time


5.    （任意） [sequence-number] absolute start time date [end time date]


6.    （任意） [sequence-number] absolute [start time date] end time date


7.    （任意） show time-range name


8.    （任意） copy running-config startup-config

switch# configure terminal
switch(config)#

switch(config)# time-range workday-daytime
switch(config-time-range)#

switch(config-time-range)# periodic monday 00:00:00 to friday 23:59:59

switch(config-time-range)# periodic weekdays 06:00:00 to 20:00:00

switch(config-time-range)# absolute start 1:00 15 march 2008

switch(config-time-range)# absolute end 23:59:59 31 december 2008

switch(config-time-range)# show time-range workday-daytime

switch(config-time-range)# copy running-config startup-config

1.    configure terminal


2.    time-range name


3.    （任意） [sequence-number] periodic weekday time to [weekday] time


4.    （任意） [sequence-number] periodic list-of-weekdays time to time


5.    （任意） [sequence-number] absolute start time date [end time date]


6.    （任意） [sequence-number] absolute [start time date] end time date


7.    （任意） no {sequence-number | periodic arguments . . . | absolute arguments. . .}


8.    （任意） show time-range name


9.    （任意） copy running-config startup-config

switch# configure terminal
switch(config)#

switch(config)# time-range workday-daytime
switch(config-time-range)#

switch(config-time-range)# periodic monday 00:00:00 to friday 23:59:59

switch(config-time-range)# 100 periodic weekdays 05:00:00 to 22:00:00

switch(config-time-range)# absolute start 1:00 15 march 2008

switch(config-time-range)# absolute end 23:59:59 31 december 2008

switch(config-time-range)# no 80

switch(config-time-range)# show time-range workday-daytime

switch(config-time-range)# copy running-config startup-config

1.    configure terminal


2.    no time-range name


3.    （任意） show time-range


4.    （任意） copy running-config startup-config

switch# configure terminal
switch(config)#

switch(config)# no time-range daily-workhours

switch(config-time-range)# show time-range

switch# copy running-config startup-config

1.    configure terminal


2.    resequence time-range name starting-sequence-number increment


3.    （任意） show time-range name


4.    （任意） copy running-config startup-config

switch# configure terminal
switch(config)#

switch(config)# resequence time-range daily-workhours 100 10
switch(config)#

switch(config)# show time-range daily-workhours

switch(config)# copy running-config startup-config