- はじめに
- コマンドライン インターフェイス（CLI）の 使用
- Catalyst 2960 および 2960-S スイッチ Cisco IOS コマンド-1
- Catalyst 2960 および 2960-S スイッチ Cisco IOS コマンド-2
- Catalyst 2960 および 2960-S スイッチ Cisco IOS コマンド-3
- Catalyst 2960 および 2960-S スイッチ ブー トローダ コマンド
- Catalyst 2960 および 2960-S スイッチ デ バッグ コマンド
- Catalyst 2960 および 2960-S スイッチ show platform コマンド
- オープン ソース ソフトウェアについて
- 索引
Catalyst 2960 および 2960-S スイッチ コマンド リ ファレンス,12.2(53)SE1
偏向のない言語
この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
翻訳について
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
- Updated:
- 2017年6月21日
章のタイトル： Catalyst 2960 および 2960-S スイッチ Cisco IOS コマンド-1
- aaa accounting dot1x
- aaa authentication dot1x
- aaa authorization network
- archive copy-sw
- archive download-sw
- archive tar
- archive upload-sw
- arp access-list
- authentication command bounce-port ignore
- authentication command disable-port ignore
- authentication control-direction
- authentication event
- authentication fallback
- authentication host-mode
- authentication mac-move permit
- authentication open
- authentication order
- authentication periodic
- authentication port-control
- authentication priority
- authentication timer
- authentication violation
- auto qos voip
- boot auto-copy-sw
- boot config-file
- boot enable-break
- boot helper
- boot helper-config-file
- boot manual
- boot private-config-file
- boot system
- channel-group
- channel-protocol
- cisp enable
- class
- class-map
- clear dot1x
- clear eap sessions
- clear errdisable interface
- clear arp inspection log
- clear ip arp inspection statistics
- clear ip dhcp snooping
- clear lacp
- clear logging onboard
- clear mac address-table
- clear mac address-table move update
- clear nmsp statistics
- clear pagp
- clear port-security
- clear spanning-tree counters
- clear spanning-tree detected-protocols
- clear vmps statistics
- clear vtp counters
- cluster commander-address
- cluster discovery hop-count
- cluster enable
- cluster holdtime
- cluster member
- cluster outside-interface
- cluster run
- cluster standby-group
- cluster timer
- copy logging onboard
- define interface-range
- delete
- deny（ARP アクセスリスト コンフィギュレーション）
- deny（MAC アクセス リスト コンフィギュレーション）
- diagnostic monitor
- diagnostic schedule
- diagnostic start
- dot1x
- dot1x auth-fail max-attempts
- dot1x auth-fail vlan
- dot1x control-direction
- dot1x credentials（グローバル コンフィギュレーション）
- dot1x critical（グローバル コンフィギュレーション）
- dot1x critical（インターフェイス コンフィギュレーション）
- dot1x default
- dot1x fallback
- dot1x guest-vlan
- dot1x host-mode
- dot1x initialize
- dot1x mac-auth-bypass
- dot1x max-reauth-req
- dot1x max-req
- dot1x pae
- dot1x port-control
- dot1x re-authenticate
- dot1x reauthentication
- dot1x supplicant force-multicast
- dot1x test eapol-capable
- dot1x test timeout
- dot1x timeout
- dot1x violation-mode
- duplex
- errdisable detect cause
- errdisable detect cause small-frame
- errdisable recovery cause small-frame
- errdisable recovery
- exception crashinfo
- fallback profile
- flowcontrol
- hw-module
- interface port-channel
- interface range
- interface vlan
- ip access-group
- ip address
- ip admission
- ip admission name proxy http
- ip arp inspection filter vlan
- ip arp inspection limit
- ip arp inspection log-buffer
- ip arp inspection trust
- ip arp inspection validate
- ip arp inspection vlan
- ip arp inspection vlan logging
- ip dhcp snooping
- ip dhcp snooping binding
- ip dhcp snooping database
- ip dhcp snooping information option
- ip dhcp snooping information option allow-untrusted
- ip dhcp snooping limit rate
- ip dhcp snooping trust
- ip dhcp snooping verify
- ip dhcp snooping vlan
- ip dhcp snooping vlan information option format-type circuit-id string
- ip igmp filter
- ip igmp max-groups
- ip igmp profile
- ip igmp snooping
- ip igmp snooping last-member-query-interval
- ip igmp snooping querier
- ip igmp snooping report-suppression
- ip igmp snooping tcn
- ip igmp snooping tcn flood
- ip igmp snooping vlan immediate-leave
- ip igmp snooping vlan mrouter
- ip igmp snooping vlan static
- ip source binding
- ip ssh
- ip verify source
- ipv6 mld snooping
- ipv6 mld snooping last-listener-query-count
- ipv6 mld snooping last-listener-query-interval
- ipv6 mld snooping listener-message-suppression
- ipv6 mld snooping robustness-variable
- ipv6 mld snooping tcn
- ipv6 mld snooping vlan
- lacp port-priority
- lacp system-priority
- location（グローバル コンフィギュレーション）
- location（インターフェイス コンフィギュレーション）
- link state group
- link state track
- logging event
- logging event power-inline-status
- logging file
- mab request format attribute 32
- mac access-group
- mac access-list extended
- mac address-table aging-time
- mac address-table learning vlan
- mac address-table move update
- mac address-table notification
- mac address-table static
- mac address-table static drop
- macro apply
- macro auto device
- macro auto execute
- macro auto file
- macro auto global processing
- macro auto mac-address-group
- macro auto sticky
- macro description
- macro global
- macro global description
- macro name
- match（クラスマップ コンフィギュレーション）
- mdix auto
- media-type（インターフェイス コンフィギュレーション）
- media-type rj45（ライン コンフィギュレーション）
- mls qos
- mls qos aggregate-policer
- mls qos cos
- mls qos dscp-mutation
- mls qos map
- mls qos queue-set output buffers
- mls qos queue-set output threshold
- mls qos queue-set buffers
- mls qos rewrite ip dscp
- mls qos srr-queue input bandwidth
- mls qos srr-queue input buffers
- mls qos srr-queue input cos-map
- mls qos srr-queue input dscp-map
- mls qos srr-queue input priority-queue
- mls qos srr-queue input threshold
- mls qos srr-queue output cos-map
- mls qos srr-queue output dscp-map
- mls qos trust
- monitor session
- mvr（グローバル コンフィギュレーション）
- mvr（インターフェイス コンフィギュレーション）
- network-policy
- network-policy profile（グローバル コンフィギュレーション）
- network-policy profile（ネットワーク ポリシー コンフィギュレーション）
- nmsp
- nmsp attachment suppress
- pagp learn-method
- pagp port-priority
- permit（ARP アクセス リスト コンフィギュレーション）
- permit（MAC アクセス リスト コンフィギュレーション）
- police
- police aggregate
- policy-map
- port-channel load-balance
- power inline
- power inline consumption
- power inline police
- priority-queue
- queue-set
- radius-server dead-criteria
- radius-server host
- rcommand
- reload
- remote command
- remote-span
- renew ip dhcp snooping database
- reserved-only
Catalyst 2960 および 2960-S スイッチ Cisco IOS コマンド
aaa accounting dot1x
Authentication, Authorization, and Accounting（AAA; 認証、認可、アカウンティング）アカウンティングをイネーブルにし、回線単位またはインターフェイス単位で IEEE 802.1x セッションに対して特定のアカウンティング方式を定義する方式リストを作成するには、 aaa accounting dot1x グローバル コンフィギュレーション コマンドを使用します。IEEE 802.1x アカウンティングをディセーブルにする場合は、このコマンドの no 形式を使用します。
aaa accounting dot1x { name | default } start-stop { broadcast group { name | radius | tacacs+ } [ group { name | radius | tacacs+ } ... ] | group { name | radius | tacacs+ } [ group { name | radius | tacacs+ }...]}
no aaa accounting dot1x { name | default }
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
このコマンドには、RADIUS サーバへのアクセスが必要です。
インターフェイスに IEEE 802.1x RADIUS アカウンティングを設定する前に、dot1x reauthentication インターフェイス コンフィギュレーション コマンドを入力することを推奨します。
例
次の例では、IEEE 802.1x アカウンティングを設定する方法を示します。
（注） RADIUS 認証サーバは、AAA クライアントからの更新またはウォッチドッグ パケットを受け入れてロギングするように、適切に設定されている必要があります。
関連コマンド
|
|
|
AAA アクセス制御モデルをイネーブルにします。構文情報については、「Cisco IOS Security Command Reference, Release 12.2」>「Authentication, Authorization, and Accounting」>「Authentication Commands」を参照してください。 |
|
aaa authentication dot1x
IEEE 802.1x 認証に準拠するポートで使用する認証、認可、アカウンティング（AAA）方式を指定するには、 aaa authentication dot1x グローバル コンフィギュレーション コマンドを使用します。認証をディセーブルにする場合は、このコマンドの no 形式を使用します。
aaa authentication dot1x { default } method1
no aaa authentication dot1x { default }
シンタックスの説明
（注） 他のキーワードがコマンドラインのヘルプ ストリングに表示されますが、サポートされているのは default および group radius キーワードだけです。
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
method 引数には、認証アルゴリズムがクライアントからのパスワードを確認するために一定の順序で試みる方式を指定します。実際に IEEE 802.1x に準拠している唯一の方式は、クライアント データが RADIUS 認証サーバに対して確認される group radius 方式です。
group radius を指定した場合、 radius-server host グローバル コンフィギュレーション コマンドを使用して RADIUS サーバを設定する必要があります。
設定された認証方式のリストを表示する場合は、 show running-config 特権 EXEC コマンドを使用します。
例
次の例では、AAA をイネーブルにして IEEE 802.1x 準拠の認証リストを作成する方法を示します。この認証は、最初に RADIUS サーバとの交信を試行します。この動作でエラーが返信された場合、ユーザはネットワークへのアクセスが許可されません。
関連コマンド
aaa authorization network
IEEE 802.1x Virtual LAN（VLAN; 仮想 LAN）割り当てなどのすべてのネットワーク関連サービス要求に対してユーザ RADIUS 認証を使用するようにスイッチを設定するには、 aaa authorization network グローバル コンフィギュレーション コマンドを使用します。RADIUS ユーザ認証をディセーブルにする場合は、このコマンドの no 形式を使用します。
aaa authorization network default group radius
no aaa authorization network default
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
スイッチが、デフォルトの認証リスト内にある RADIUS サーバから IEEE 802.1x 認証パラメータをダウンロードできるようにするには、aaa authorization network default group radius グローバル コンフィギュレーション コマンドを使用します。認証パラメータは、VLAN 割り当てなど、RADIUS サーバからパラメータを取得する機能で使用されます。
設定された認証方式リストを表示する場合は、 show running-config 特権 EXEC コマンドを使用します。
例
この例では、すべてのネットワーク関連サービス要求に対してユーザ RADIUS 認証を行うようスイッチを設定する方法を示します。
関連コマンド
|
|
|
|---|---|
現在の動作設定を表示します。構文情報については、「Cisco IOS Configuration Fundamentals Command Reference, Release 12.2」>「File Management Commands」>「Configuration File Management Commands」を選択してください。 |
archive copy-sw
特定のスタック メンバー上のフラッシュ メモリから実行イメージを、別の 1 つまたは複数のメンバー上にあるフラッシュ メモリにコピーするには、スタック マスター上で archive copy-sw 特権 EXEC コマンドを使用します。
archive copy-sw [ /destination-system destination-stack-member-number ] [ /force-reload ] [ leave-old-sw ] [ /no-set-boot ] [ /overwrite ] [ /reload ] [ /safe ] source-stack-member-number
（注） このコマンドは、LAN Base イメージを実行している Catalyst 2960-S スイッチのみでサポートされています。
シンタックスの説明
（任意）新しいソフトウェア イメージのダウンロードが成功したあと、BOOT 環境変数の設定は新しいソフトウェア イメージを示すように変更されません。 |
|
（任意）現在のソフトウェア イメージを保存します。新しいイメージがダウンロードされるまでは、新しいソフトウェア イメージ用の領域を作る目的で現在のソフトウェア イメージを削除しません。ダウンロード終了後に現在のイメージが削除されます。 |
|
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
現行のソフトウェア イメージは、コピーされたイメージで上書きされません。
ソフトウェア イメージと HTML ファイルの両方がコピーされます。
新しいイメージは flash: ファイル システムにコピーされます。
BOOT 環境変数は、flash: ファイル システムの新しいソフトウェア イメージを指定するよう変更されます。
イメージ名では大文字と小文字が区別されます。イメージ ファイルは tar 形式で提供されます。
（注） archive copy-sw 特権 EXEC コマンドを正常に使用するには、追加されるメンバー スイッチおよびマスターの両方のイメージを Trivial File Transfer Protocol（TFTP; 簡易ファイル転送プロトコル）サーバからダウンロードしておく必要があります。ダウンロードを実行するには、archive download-sw 特権 EXEC コマンドを使用します。
互換性のないソフトウェアが搭載されたスイッチにコピーされるイメージは、少なくとも 1 つのメンバーで実行している必要があります。
/destination -system destination-stack-member-number のコマンド オプションを繰り返すことで、イメージのコピー先に複数のメンバーを指定し、各メンバーをアップグレードできます。 destination-stack-member-number を指定しない場合、デフォルト設定で、実行中のイメージ ファイルがすべてのメンバーにコピーされます。
/safe または /leave-old-sw オプションを使用した場合に、十分なフラッシュ メモリがないと、新しいイメージのコピーに失敗する場合があります。ソフトウェアを残すことによってフラッシュ メモリの空き容量が不足し、新しいイメージが入りきらなかった場合にエラーが発生します。
/leave-old-sw オプションを使用したために、新しいイメージをコピーしても古いイメージを上書きしなかった場合、 delete 特権 EXEC コマンドを使用して古いイメージを削除できます。詳細については、「delete」を参照してください。
フラッシュ デバイスのイメージを、コピーされたイメージで上書きする場合は、 /overwrite オプションを使用します。
/overwrite オプション なし でこのコマンドを指定する場合、新しいイメージが、スイッチ フラッシュ デバイスのイメージまたはメンバーで実行中のものと同じではないことが、アルゴリズムによって確認されます。イメージが同じである場合には、コピーは行われません。イメージが異なっている場合、古いイメージは削除され、新しいイメージがコピーされます。
新しいイメージをコピーしたあとで、 reload 特権 EXEC コマンドを入力して新しいイメージの使用を開始するか、 archive copy-sw コマンドで /reload または /force-reload オプションを指定してください。
source-stack-member-number オプションを使用する場合、次のオプションを 1 つ以上入力できます。
•
/destination-system destination-stack-member-number
これらのオプションの前に source-stack-member-number オプションを入力する場合、 archive copy-sw source-stack-member-number コマンドしか入力できません。
次の例では、 archive copy-sw コマンドを入力する方法を示します。
• 実行イメージをメンバーから別のメンバーにコピーして、2 つめのメンバーのフラッシュ メモリのソフトウェア イメージ（すでに存在する場合）をコピーしたイメージで上書きするには、 archive copy-sw/destination destination-stack-member-number /overwrite source-stack-member-number コマンドを入力します。
• 実行イメージをメンバーから別のメンバーにコピーして、現在のソフトウェア イメージを維持しながらイメージのコピー後にシステムをリロードするには、 archive copy-sw/destination destination-stack-member-number /safe/reload source-stack-member-number コマンドを入力します。
例
次の例では、メンバー 6 から実行イメージをメンバー 8 にコピーする方法を示します。
次の例では、メンバー 6 から実行イメージを他のすべてのメンバーにコピーする方法を示します。
次の例では、メンバー 5 から実行イメージをメンバー 7 にコピーする方法を示します。2 つめのメンバーのフラッシュ メモリにイメージがすでに存在する場合は、コピーされたイメージで上書きされます。イメージがコピーされたあと、システムはリロードされます。
関連コマンド
|
|
|
|---|---|
archive download-sw
新しいイメージを Trivial File Transfer Protocol（TFTP; 簡易ファイル転送プロトコル）サーバからスイッチまたはスイッチ スタックにダウンロードして、既存のイメージを上書きまたは保存するには、 archive download-sw 特権 EXEC コマンドを使用します。
archive download-sw { /directory | /force-reload | /imageonly | /leave-old-sw | /no-set-boot | /no-version-check | /destination-system stack-member-number | /only-system-type system-type | /overwrite | /reload | /safe } source-url
シンタックスの説明
デフォルト
現行のソフトウェア イメージは、ダウンロードされたイメージで上書きされません。
ソフトウェア イメージと HTML ファイルの両方がダウンロードされます。
新しいイメージは flash: ファイル システムにダウンロードされます。
BOOT 環境変数は、flash: ファイル システムの新しいソフトウェア イメージを指定するよう変更されます。
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
/imageonly オプションは、既存のイメージが削除または置き換えられている場合に、既存のイメージの HTML ファイルを削除します。（HTML ファイルのない）Cisco IOS イメージだけがダウンロードされます。
/safe または /leave-old-sw オプションを使用した場合に、十分なフラッシュ メモリがないと、新しいイメージのダウンロードに失敗する場合があります。ソフトウェアを残すことによってフラッシュ メモリの空き容量が不足し、新しいイメージが入りきらなかった場合に、エラーが発生します。
/leave-old-sw オプションを使用したために、新しいイメージをダウンロードしても古いイメージを上書きしなかった場合、 delete 特権 EXEC コマンドを使用して古いイメージを削除することができます。詳細については、「delete」を参照してください。
スタックの既存のバージョンとは異なるスタック プロトコルのバージョンのイメージをダウンロードする場合は、 /no-version-check オプションを使用します。このオプションを使用する場合には /destination-system オプションを使用し、イメージでアップグレードする特定のメンバーを指定してください。
（注） スタックは、LAN Base イメージを実行している Catalyst 2960-S スイッチのみでサポートされています。
（注） /no-version-check オプションの使用には注意が必要です。同一のスタックにするためには、マスターを含め、すべてのメンバーは、スタック プロトコルのバージョンを同一にする必要があります。このオプションを指定することで、イメージをダウンロードする場合のスタック プロトコルのバージョンと、スタックのバージョンの互換性の最初の確認をスキップできます。
/destination-system のコマンド オプション繰り返すことで、複数のスタック メンバーを指定し、アップグレードできます。
フラッシュ デバイスのイメージを、ダウンロードされたイメージで上書きする場合は、 /overwrite オプションを使用します。
/overwrite オプション なし でこのコマンドを指定する場合、ダウンロード アルゴリズムは、新しいイメージが、スイッチ フラッシュ デバイスのイメージ、またはスタック メンバーで実行中のものと同じではないことを確認します。イメージが同じである場合には、ダウンロードは行われません。イメージが異なっている場合、古いイメージは削除され、新しいイメージがダウンロードされます。
新しいイメージをダウンロードしたあとで、 reload 特権 EXEC コマンドを入力して新しいイメージの使用を開始するか、 archive download-sw コマンドの /reload または /force-reload オプションを指定してください。
例
次の例では、172.20.129.10 の TFTP サーバから新しいイメージをダウンロードし、スイッチでイメージを上書きする方法を示します。
次の例では、172.20.129.10 の TFTP サーバからソフトウェア イメージだけをスイッチにダウンロードする方法を示します。
次の例では、ダウンロードが成功したあとで古いソフトウェア バージョンを保存する方法を示します。
次の例では、スタック メンバー 6 および 8 をアップグレードする方法を示します。
関連コマンド
|
|
|
|---|---|
archive tar
tar ファイルの作成、tar ファイル内のファイルの一覧表示、tar ファイルからのファイル抽出を実行するには、 archive tar 特権 EXEC コマンドを使用します。
archive tar { /create destination-url flash:/ file-url } | { /table source-url } | { /xtract source-url flash:/ file-ur l [ dir/file ...]}
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、tar ファイルを作成する方法を示します。このコマンドはローカル フラッシュ デバイスの new-configs ディレクトリの内容を、172.20.10.30 の TFTP サーバの saved.tar という名前のファイルに書き込みます。
次の例では、フラッシュ メモリ内のファイルの内容を表示する方法を示します。tar ファイルの内容が画面に表示されます。
次の例では、 /html ディレクトリおよびその内容だけを表示する方法を示します。
次の例では、172.20.10.30 の TFTP サーバの tar ファイルの内容を抽出する方法を示します。ここでは、ローカル フラッシュ ファイル システムのルート ディレクトリに単に new-configs ディレクトリを抽出しています。 saved.tar ファイルの残りのファイルは無視されます。
関連コマンド
|
|
|
|---|---|
| あるスタック メンバーのフラッシュ メモリから実行イメージを、別の 1 つまたは複数のスタック メンバー上のフラッシュ メモリにコピーします。 |
|
archive upload-sw
スイッチの既存のイメージをサーバにアップロードするには、 archive upload-sw 特権 EXEC コマンドを使用します。
archive upload-sw [ /source-system-num stack member number | /version version_string ] destination-url
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
/version オプションを使用するためには、 /source-system-num オプションを指定する必要があります。これらのオプションを同時に使用することで、指定のスタック メンバーの特定のイメージ（実行イメージではない）をアップロードできます。
組み込みデバイス マネージャに関連付けられている HTML ファイルが既存のイメージとともにインストールされている場合にだけ、アップロード機能を使用します。
これらのファイルは、Cisco IOS イメージ、HTML ファイル、info の順序でアップロードされます。これらのファイルがアップロードされると、ソフトウェアは tar ファイルを作成します。
例
次の例では、スタック メンバー 6 で現在実行中のイメージを、172.20.140.2 の TFTP サーバへアップロードする方法を示します。
関連コマンド
|
|
|
|---|---|
| あるスタック メンバーのフラッシュ メモリから実行イメージを、別の 1 つまたは複数のスタック メンバー上のフラッシュ メモリにコピーします。 |
|
arp access-list
Address Resolution Protocol（ARP; アドレス解決プロトコル）Access Control List（ACL; アクセス コントロール リスト）を定義したり、すでに定義済のリストの末尾に句を追加したりするには、arp access-list グローバル コンフィギュレーション コマンドを使用します。指定した ARP アクセス リストを削除する場合は、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
arp access-list コマンドを入力すると、ARP アクセス リスト コンフィギュレーション モードが開始され、これらのコンフィギュレーション コマンドが使用可能になります。
• deny ：拒否するパケットを指定します。詳細については、「deny（ARP アクセスリスト コンフィギュレーション）」を参照してください。
• exit ：ARP アクセス リスト コンフィギュレーション モードを終了します。
• no ：コマンドを無効にするか、またはデフォルト設定に戻します。
• permit ：転送するパケットを指定します。詳細については、「permit（ARP アクセス リスト コンフィギュレーション）」を参照してください。
指定した照合条件に基づいて ARP パケットを転送および廃棄するには、 permit および deny アクセス リスト コンフィギュレーション コマンドを使用します。
ARP ACL を定義したら、 ip arp inspection filter vlan グローバル コンフィギュレーション コマンドを使用してその ACL を VLAN に適用できます。IP-to-MAC アドレス バインディングを含む ARP パケットだけが ACL と比較されます。それ以外のタイプのパケットはすべて検証なしで入力 VLAN でブリッジングされます。パケットが ACL で許可されると、スイッチはそのパケットを転送します。明示的拒否ステートメントによって ACL がパケットを拒否すると、スイッチがパケットを廃棄します。暗黙的な deny 文によってパケットが ACL で拒否されると、スイッチはそのパケットを DHCP バインディングのリストと比較します（ただし、ACL が スタティック の場合を除きます。この場合は、パケットがバインディングと比較されません）。
例
次の例では、ARP アクセス リストを定義し、IP アドレス 1.1.1.1 および MAC アドレス 0000.0000.abcd のホストからの ARP 要求と ARP 応答をいずれも許可する方法を示します。
関連コマンド
|
|
|
|---|---|
authentication command bounce-port ignore
スイッチ スタック上またはスタンドアロン スイッチ上で authentication command bounce-port ignore グローバル コンフィギュレーション コマンドを使用すると、スイッチが一時的にポートをディセーブルにするコマンドを無視するようにできます。デフォルト ステータスに戻すには、このコマンドの no 形式を使用します。
authentication command bounce-port ignore
no authentication command bounce-port ignore
（注） このコマンドを使用するには、スイッチが LAN Base イメージを実行している必要があります。
シンタックスの説明
デフォルト
このスイッチは、RADIUS Change of Authorization（CoA）の bounce port コマンドを受け付けます。
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
CoA の bounce port コマンドは、リンク フラッピングを発生させますが、これによりホストからの DHCP の再ネゴシエーションがトリガーされます。これは、エンドポイントが変更を検出するサプリカントを持たないデバイス（プリンタなど）であって、VLAN 変更した場合に便利です。 bounce port コマンドを無視するようにスイッチを設定するのに、このコマンドを使用します。
例
次の例では、スイッチに CoA の bounce port コマンドを無視するように指示する方法を示します。
関連コマンド
|
|
|
authentication command disable-port ignore
スイッチ スタック上またはスタンドアロン スイッチ上で authentication command disable-port ignore グローバル コンフィギュレーション コマンドを使用すると、スイッチがポートをディセーブルにするコマンドを無視するようにできます。デフォルト ステータスに戻すには、このコマンドの no 形式を使用します。
authentication command disable-port ignore
no authentication command disable-port ignore
（注） このコマンドを使用するには、スイッチが LAN Base イメージを実行している必要があります。
シンタックスの説明
デフォルト
このスイッチは、RADIUS Change of Authorization（CoA）の disable port コマンドを受け付けます。
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
CoA の disable port コマンドは、セッションをホストしているポートを管理のためにシャットダウンします。これにより、セッションは終了します。このコマンドを無視するようにスイッチを設定するのに、このコマンドを使用します。
例
次の例では、スイッチに CoA の disable port コマンドを無視するように指示する方法を示します。
関連コマンド
|
|
|
authentication control-direction
ポート モードを単一方向または双方向として設定するには、authentication control-direction インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
authentication control-direction {both | in}
no authentication control-direction
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、単一方向モードをイネーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
クライアントが IEEE 802.1x 認証をサポートしていない場合のフォールバック方式として Web 認証を使用するようにポートを設定します。 |
|
新しいデバイスがポートに接続された場合、またはすでに最大数のデバイスがポートに接続されている状態で新しいデバイスがそのポートに接続された場合に適用される違反モードを設定します。 |
|
authentication event
ポート上の特定の認証イベントに対するアクションを設定するには、 authentication event インターフェイス コンフィギュレーション コマンドを使用します。
authentication event {fail [action [authorize vlan vlan-id | next-method] {| retry {retry count}]} { no-response action authorize vlan vlan-id} {server {alive action reinitialize} | {dead action [authorize | reinitialize vlan vlan-id]}}
no authentication event {fail [action [authorize vlan vlan-id | next-method] {| retry {retry count}]} {no-response action authorize vlan vlan-id} {server {alive action reinitialize} | {dead action [authorize | reinitialize vlan vlan-id]}}
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
特定のアクションに対するスイッチの応答を設定するには、このコマンドに fail、no-response、または event キーワードを指定します。
• スイッチが critical-authentication ステートに移行すると、認証を実施しようとしている新しいホストが critical-authentication VLAN（クリティカル VLAN）に移行します。これは、ポートがシングル ホスト、マルチ ホスト、複数認証、MDA のいずれのモードの場合にも適用されます。認証済のホストは認証済の VLAN にそのまま残り、再認証タイマーがディセーブルになります。
• クライアントで Windows XP が稼動しており、クライアントの接続先のクリティカル ポートが critical-authentication ステートの場合は、インターフェイスが認証されていないことが Windows XP から通知されることがあります。
Windows XP クライアントが DHCP に設定されており、DHCP サーバから IP アドレスが割り当てられていると、クリティカル ポートが EAP 認証成功メッセージを受信しても、DHCP 設定プロセスで再初期化が実行されない場合があります。
• IEEE 802.1x ポート上でゲスト VLAN をイネーブルにした場合、認証サーバが Extensible Authentication Protocol over LAN（EAPOL）Request/Identity フレームに対する応答を受信しないか、または EAPOL パケットがクライアントから送信されないと、スイッチはクライアントをゲスト VLAN に割り当てます。
• スイッチは、EAPOL パケット履歴を保持します。リンクの有効期間中に別の EAPOL パケットがポート上で検出されると、ゲスト VLAN 機能がディセーブルになります。ポートがすでにゲスト VLAN ステートにある場合、ポートは無許可ステートに戻り、認証が再開されます。EAPOL 履歴がクリアされます。
• スイッチ ポートがゲスト VLAN（マルチホスト モード）に移行すると、複数の IEEE 802.1x 非対応クライアントがアクセスを許可されます。ゲスト VLAN が設定されているポートに IEEE 802.1x 対応クライアントが加入すると、そのポートが RADIUS 設定 VLAN またはユーザ設定アクセス VLAN で無許可ステートに移行し、認証が再開されます。
Remote Switched Port Analyzer（RSPAN; リモート スイッチド ポート アナライザ）VLAN、プライマリ プライベート VLAN、音声 VLAN 以外のアクティブな VLAN をすべて、IEEE 802.1x のゲスト VLAN として設定できます。ゲスト VLAN の機能は、アクセス ポートでのみサポートされています。内部 VLAN（ルーテッド ポート）とトランク ポートではサポートされていません。
• MAC 認証バイパスが IEEE 802.1x ポートでイネーブルになっている場合、EAPOL メッセージ交換の待機中に IEEE802.1x 認証が期限切れになると、スイッチはクライアントの MAC アドレスに基づいてクライアントを許可できます。スイッチは、IEEE 802.1x ポート上のクライアントを検出したあとで、クライアントからのイーサネット パケットを待機します。スイッチは、MAC アドレスに基づいたユーザ名およびパスワードを持つ RADIUS-access/request フレームを認証サーバに送信します。
– 認証に成功すると、スイッチはクライアントにネットワークへのアクセスを許可します。
– 認証に失敗すると、スイッチはポートにゲスト VLAN を割り当てます（指定されていない場合）。
詳細については、ソフトウェア コンフィギュレーション ガイドの「Configuring IEEE 802.1x Port-Based Authentication」の章の「Using IEEE 802.1x Authentication with MAC Authentication Bypass」を参照してください。
• サプリカントが認証に失敗すると、ポートが制限 VLAN に移行し、EAP 認証成功メッセージがサプリカントに送信されます。これは、サプリカントに実際の認証失敗が通知されないためです。
– EAP の成功メッセージが送信されない場合、サプリカントは 60 秒ごと（デフォルト）に EAP 開始メッセージを送信して認証を行おうとします。
– 一部のホスト（たとえば、Windows XP を実行中のデバイス）は、EAP の成功メッセージを受け取るまで Dynamic Host Configuration Protocol（DHCP）を実行できません。
制限 VLAN は、シングルホスト モード（デフォルトのポート モード）でのみサポートされます。ポートが制限 VLAN に配置されると、サプリカントの MAC アドレスが MAC アドレス テーブルに追加されます。ポート上のその他の MAC アドレスはセキュリティ違反として扱われます。
• レイヤ 3 ポート用の内部 VLAN は、制限 VLAN として設定することができません。1 つの VLAN を制限 VLAN と音声 VLAN の両方として指定することはできません。
制限 VLAN での再認証をイネーブルにします。再認証がディセーブルになっていると、制限 VLAN 内のポートは認証要求を受信しません。
再認証プロセスを開始するには、制限 VLAN がポートからリンクダウン イベントまたは Extensible Authentication Protocol（EAP）ログオフ イベントを受け取る必要があります。ホストがハブを介して接続されている場合は、次の動作が発生する可能性があります。
– ホストが切断されているとポートがリンクダウン イベントを受け取らない
– 次の再認証が実行されるまでポートが新しいホストを検出しない
制限 VLAN をタイプの異なる VLAN として再設定すると、制限 VLAN のポートは現在許可されたステートのまま移行します。
例
次の例では、authentication event fail コマンドを設定する方法を示します。
次の例では、no-response アクションを設定する方法を示します。
次の例では、server-response アクションを設定する方法を示します。
次の例では、RADIUS サーバが使用不可な場合に新規、既存双方のホストをクリティカルな VLAN に送信するよう、ポートを設定する方法を示します。このコマンドは、マルチ認証（multiauth）モードのポートに使用するか、またはポートの音声ドメインが MDA モードになっている場合に、次のように使用します。
次の例では、RAIDUS サーバが使用不可な場合に新規、既存双方のホストをクリティカルな VLAN に送信するよう、ポートを設定する方法を示します。このコマンドは、マルチ ホストまたはマルチ認証のポートに、次のように使用します。
関連コマンド
|
|
|
|---|---|
クライアントが IEEE 802.1x 認証をサポートしていない場合のフォールバック方式として Web 認証を使用するようにポートを設定します。 |
|
新しいデバイスがポートに接続された場合、またはすでに最大数のデバイスがポートに接続されている状態で新しいデバイスがそのポートに接続された場合に適用される違反モードを設定します。 |
|
authentication fallback
IEEE 802.1x 認証をサポートしないクライアントに対し、Web 認証をフォールバック方式として使用するようにポートを設定するには、authentication fallback インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
no authentication fallback name
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
フォールバック方式を設定する前に、authentication port-control auto インターフェイス コンフィギュレーション コマンドを入力する必要があります。
Web 認証は、802.1x または MAB フォールバック方式としてのみ設定できます。したがって、これらの認証方式の一方または両方を、イネーブルにするフォールバック方式として設定する必要があります。
例
次の例では、ポート上でフォールバック プロファイルを指定する方法を示します。
関連コマンド
|
|
|
|---|---|
新しいデバイスがポートに接続された場合、またはすでに最大数のデバイスがポートに接続されている状態で新しいデバイスがそのポートに接続された場合に適用される違反モードを設定します。 |
|
authentication host-mode
ポート上で認証マネージャ モードを設定するには、authentication host-mode インターフェイス コンフィギュレーション コマンドを使用します。
authentication host-mode [multi-auth | multi-domain | multi-host | single-host]
no authentication host-mode [multi-auth | multi-domain | multi-host | single-host]
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
1 つのデータ ホストしか接続されていない場合は、単一ホスト モードに設定する必要があります。単一ホスト ポート上での認証用に音声デバイスを接続しないでください。ポート上に音声 VLAN が設定されていないと、音声デバイスの許可が正常に実行されません。
データ ホストが IP Phone を経由してポートに接続されている場合は、複数ドメイン モードに設定する必要があります。音声デバイスを認証する必要がある場合は、複数ドメイン モードに設定する必要があります。
ハブの背後に最大 8 台のデバイスを配置し、それぞれを認証してポート アクセスのセキュリティを確保できるようにするには、複数認証モードに設定する必要があります。音声 VLAN が設定されている場合は、このモードで認証できる音声デバイスは 1 台だけです。
複数ホスト モードでは、ハブの背後にある複数のホストへのポート アクセスに対応していますが、最初のユーザの認証後にこれらのデバイスへのポート アクセスが無制限になります。
例
次の例では、ポート上で multiauth モードをイネーブルにする方法を示します。
次の例では、ポート上で multi-domain モードをイネーブルにする方法を示します。
Switch(config-if)# authentication host-mode multi-domain
次の例では、ポート上で multi-host モードをイネーブルにする方法を示します。
Switch(config)# authentication host-mode multi-host
次の例では、ポート上で single-host モードをイネーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
クライアントが IEEE 802.1x 認証をサポートしていない場合のフォールバック方式として Web 認証を使用するようにポートを設定します。 |
|
新しいデバイスがポートに接続された場合、またはすでに最大数のデバイスがポートに接続されている状態で新しいデバイスがそのポートに接続された場合に適用される違反モードを設定します。 |
|
authentication mac-move permit
スイッチでの MAC 移動をイネーブルにするには、authentication mac-move permit グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
authentication mac-move permit
no authentication mac-move permit
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、認証されたホストがスイッチ上の 802.1x 対応ポート間を移動できるようにします。たとえば、認証されたホストとポートの間にデバイスがあり、そのホストが他のポートに移動する場合、認証セッションが最初のポートから削除され、ホストは新しいポート上で再認証されます。
MAC 移動がディセーブルになっており、認証されたホストが他のポートに移動した場合は、再認証は行われず、違反エラーが発生します。
MAC 移動は、ポートセキュリティ対応 802.1x ポートではサポートされていません。MAC 移動がスイッチ上でグローバルに設定されており、ポート セキュリティ対応ホストが 802.1x 対応ポートに移動すると、違反エラーが発生します。
例
次の例では、スイッチで MAC 移動をイネーブルにする方法を示しています。
関連コマンド
|
|
|
|---|---|
クライアントが IEEE 802.1x 認証をサポートしていない場合のフォールバック方式として Web 認証を使用するようにポートを設定します。 |
|
新しいデバイスがポートに接続された場合、またはすでに最大数のデバイスがポートに接続されている状態で新しいデバイスがそのポートに接続された場合に適用される違反モードを設定します。 |
|
authentication open
ポート上でオープン アクセスをイネーブルまたはディセーブルにするには、authentication open インターフェイス コンフィギュレーション コマンドを使用します。オープン アクセスをディセーブルにする場合は、このコマンドの no 形式を使用します。
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、ポート上でオープン アクセスをイネーブルにする方法を示します。
次の例では、ポート上でオープン アクセスがディセーブルになるようにポートを設定する方法を示します。
関連コマンド
|
|
|
|---|---|
クライアントが IEEE 802.1x 認証をサポートしていない場合のフォールバック方式として Web 認証を使用するようにポートを設定します。 |
|
新しいデバイスがポートに接続された場合、またはすでに最大数のデバイスがポートに接続されている状態で新しいデバイスがそのポートに接続された場合に適用される違反モードを設定します。 |
|
authentication order
ポート上で使用される認証方式の順序を設定するには、authentication order インターフェイス コンフィギュレーション コマンドを使用します。
authentication order [dot1x | mab] {webauth}
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
順序付けでは、ポートに接続される新しいデバイスを認証する場合にスイッチが試行する認証方式の順序を設定します。リスト内の 1 つの認証方式の試行に失敗すると、次の方式が試行されます。
それぞれの認証方式は一度しか入力できません。802.1x と MAB の間でのみ柔軟な順序付けが可能です。
Web 認証は、独立した方式として設定することも、順序内で 802.1x または MAB のあとに配置される最後の方式として設定することもできます。Web 認証は、dot1x または mab のフォールバックとしてのみ設定する必要があります。
例
次の例では、802.1x を最初の認証方式として追加し、MAB を 2 番めの認証方式として追加し、Web 認証を 3 番めの認証方式として追加する方法を示します。
次の例では、MAC 認証バイパス（MAB）を最初の認証方式として追加し、Web 認証を 2 番めの認証方式として追加する方法を示します。
関連コマンド
|
|
|
|---|---|
クライアントが IEEE 802.1x 認証をサポートしていない場合のフォールバック方式として Web 認証を使用するようにポートを設定します。 |
|
新しいデバイスがポートに接続された場合、またはすでに最大数のデバイスがポートに接続されている状態で新しいデバイスがそのポートに接続された場合に適用される違反モードを設定します。 |
|
authentication periodic
ポート上で再認証をイネーブルまたはディセーブルにするには、authentication periodic インターフェイス コンフィギュレーション コマンドを使用します。再認証をディセーブルにする場合は、このコマンドの no 形式を使用します。
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
authentication timer reauthentication インターフェイス コンフィギュレーション コマンドを使用して、定期的な再認証の試行間隔を設定します。
例
次の例では、ポート上で定期的な再認証をイネーブルにする方法を示します。
次の例では、ポート上で定期的な再認証をディセーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
クライアントが IEEE 802.1x 認証をサポートしていない場合のフォールバック方式として Web 認証を使用するようにポートを設定します。 |
|
新しいデバイスがポートに接続された場合、またはすでに最大数のデバイスがポートに接続されている状態で新しいデバイスがそのポートに接続された場合に適用される違反モードを設定します。 |
|
authentication port-control
ポートの許可ステートの手動制御をイネーブルにするには、authentication port-control インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
authentication port-control {auto | force-authorized | force-un authorized}
no authentication port-control {auto | force-authorized | force-un authorized}
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
これらのポート タイプのいずれかでのみ auto キーワードを使用します。
• トランク ポート：トランク ポート上で IEEE 802.1x 認証をイネーブルにしようとすると、エラー メッセージが表示され、IEEE 802.1x はイネーブルになりません。IEEE 802.1x 対応ポートのモードをトランクに変更しようとしても、エラー メッセージが表示され、ポート モードは変更されません。
• ダイナミック ポート：ダイナミック ポートは、ネイバーとネゴシエートしてトランク ポートになる場合があります。ダイナミック ポート上で IEEE 802.1x 認証をイネーブルにしようとすると、エラー メッセージが表示され、IEEE 802.1x 認証はイネーブルになりません。IEEE 802.1x 対応ポートのモードをダイナミックに変更しようとしても、エラー メッセージが表示され、ポート モードは変更されません。
• ダイナミック アクセス ポート：ダイナミック アクセス（VLAN Query Protocol [VQP]）ポートで IEEE 802.1x 認証をイネーブルにしようとすると、エラー メッセージが表示され、IEEE 802.1x 認証はイネーブルになりません。IEEE 802.1x 対応ポートを変更してダイナミック VLAN を割り当てようとしても、エラー メッセージが表示され、VLAN 設定は変更されません。
• EtherChannel ポート：アクティブまたはアクティブでない EtherChannel メンバーを IEEE 802.1x ポートとして設定しないでください。EtherChannel ポートで IEEE 802.1x 認証をイネーブルにしようとすると、エラー メッセージが表示され、IEEE 802.1x 認証はイネーブルになりません。
• Switched Port Analyzer（SPAN; スイッチド ポート アナライザ）および Remote SPAN（RSPAN; リモート SPAN）宛先ポート：SPAN または RSPAN 宛先ポートであるポートの IEEE 802.1x 認証をイネーブルにすることができます。ただし、そのポートが SPAN または RSPAN 宛先として削除されるまで、IEEE 802.1x 認証はディセーブルのままになります。SPAN または RSPAN 送信元ポートでは IEEE 802.1x 認証をイネーブルにすることができます。
スイッチの IEEE 802.1x 認証をグローバルにディセーブルにするには、no dot1x system-auth-control グローバル コンフィギュレーション コマンドを使用します。特定のポート上で IEEE 802.1x 認証をディセーブルにするか、またはデフォルト設定に戻すには、no authentication port-control インターフェイス コンフィギュレーション コマンドを使用します。
例
次の例では、ポート ステートを auto に設定する方法を示します。
次の例では、ポート ステートを force-authorized に設定する方法を示します。
次の例では、ポート ステートを force-unauthorized に設定する方法を示します。
関連コマンド
|
|
|
|---|---|
クライアントが IEEE 802.1x 認証をサポートしていない場合のフォールバック方式として Web 認証を使用するようにポートを設定します。 |
|
新しいデバイスがポートに接続された場合、またはすでに最大数のデバイスがポートに接続されている状態で新しいデバイスがそのポートに接続された場合に適用される違反モードを設定します。 |
|
authentication priority
認証方式をポート プライオリティ リストに追加するには、authentication priority インターフェイス コンフィギュレーション コマンドを使用します。
auth priority [dot1x | mab] {webauth}
no auth priority [dot1x | mab] {webauth}
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
順序付けでは、ポートに接続される新しいデバイスを認証する場合にスイッチが試行する認証方式の順序を設定します。
ポート上で複数のフォールバック方式を設定する場合は、Web 認証（webauth）を最後に設定します。
それぞれの認証方式にプライオリティを割り当てると、プライオリティの低い認証方式の実行中にプライオリティの高い認証方式を割り込ませることができます。
（注） クライアントが認証済の場合にプライオリティの高い認証方式による割り込みが発生すると、そのクライアントの再認証が実行されることがあります。
認証方式のデフォルト プライオリティは、実行リストの順序内の配置と同じになります（つまり、802.1x 認証、MAC 認証バイパス、Web 認証の順になります）。デフォルトの順序を変更するには、dot1x、mab、および webauth キーワードを使用します。
例
次の例では、802.1x を最初の認証方式として設定し、Web 認証を 2 番めの認証方式として設定する方法を示します。
次の例では、MAC 認証バイパス（MAB）を最初の認証方式として設定し、Web 認証を 2 番めの認証方式として設定する方法を示します。
関連コマンド
|
|
|
|---|---|
クライアントが IEEE 802.1x 認証をサポートしていない場合のフォールバック方式として Web 認証を使用するようにポートを設定します。 |
|
新しいデバイスがポートに接続された場合、またはすでに最大数のデバイスがポートに接続されている状態で新しいデバイスがそのポートに接続された場合に適用される違反モードを設定します。 |
|
authentication timer
802.1x 対応ポートのタイムアウトと再認証のパラメータを設定するには、authentication timer インターフェイス コンフィギュレーション コマンドを使用します。
authentication timer {{[inactivity | reauthenticate] [server | am]} {restart value}}
no authentication timer {{[inactivity | reauthenticate] [server | am]} {restart value}}
シンタックスの説明
デフォルト
inactivity、server、および restart キーワードがオフに設定されています。reauthenticate キーワードが 1 時間に設定されています。
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
タイムアウト値を設定しないと、802.1x セッションが無期限に許可された状態になります。この場合は、他のホストがそのポートを使用することも、接続されているホストが同じスイッチ上の別のポートに移動することもできません。
例
次の例では、認証非アクティブ タイマーを 60 秒に設定する方法を示します。
次の例では、再認証タイマーを 120 秒に設定する方法を示します。
関連コマンド
|
|
|
|---|---|
クライアントが IEEE 802.1x 認証をサポートしていない場合のフォールバック方式として Web 認証を使用するようにポートを設定します。 |
|
新しいデバイスがポートに接続された場合、またはすでに最大数のデバイスがポートに接続されている状態で新しいデバイスがそのポートに接続された場合に適用される違反モードを設定します。 |
|
authentication violation
新しいデバイスがポートに接続された場合、またはすでに最大数のデバイスがポートに接続されている状態で新しいデバイスがそのポートに接続された場合に適用される違反モードを設定するには、authentication violation インターフェイス コンフィギュレーション コマンドを使用します。
authentication violation {protect | restrict | shutdown}
no authentication violation {protect | restrict | shutdown}
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
例
次の例では、IEEE 802.1x 対応ポートを errdisable として設定し、新しいデバイスがそのポートに接続された時点でシャットダウンする方法を示します。
次の例では、新しいデバイスがポートに接続された場合にシステム エラー メッセージを生成し、制限モードに切り替わるように IEEE 802.1x 対応ポートを設定する方法を示します。
次の例では、新しいデバイスがポートに接続された場合にそのデバイスを無視するように IEEE 802.1x 対応ポートを設定する方法を示します。
関連コマンド
|
|
|
|---|---|
クライアントが IEEE 802.1x 認証をサポートしていない場合のフォールバック方式として Web 認証を使用するようにポートを設定します。 |
|
auto qos voip
QoS（Quality Of Service）ドメイン内の Voice over IP（VoIP）に対して QoS を自動的に設定するには、 auto qos voip インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
auto qos voip { cisco-phone | cisco-softphone | trust }
no auto qos voip [ cisco-phone | cisco-softphone | trust ]
（注） このコマンドを使用するには、スイッチが LAN Base イメージを実行している必要があります。
シンタックスの説明
デフォルト
Auto-QoS は、ポート上でディセーブルに設定されています。
auto-QoS がイネーブルの場合は、 表 2-1 に示すように、入力パケットのラベルを使用して、トラフィックの分類、パケット ラベルの割り当て、および入力/出力キューの設定を行います。
|
|
|
トラフィック |
|
|
|
|
|
|---|---|---|---|---|---|---|---|
DSCP3 |
|||||||
CoS4 |
|||||||
表 2-2 に、入力キューに対して生成された Auto-QoS の設定を示します。
|
|
|
|
|
|
|---|---|---|---|---|
SRR5共有 |
||||
表 2-3 に、出力キューに対して生成される auto-QoS の設定を示します。
|
|
|
|
|
|
|
|---|---|---|---|---|---|
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
QoS ドメイン内の VoIP トラフィックに適切な QoS を設定する場合は、このコマンドを使用します。QoS ドメインには、スイッチ、ネットワーク内部、QoS の着信トラフィックを分類することのできるエッジ装置などが含まれます。
auto-QoS は、スイッチおよびルーテッド ポート上の Cisco IP Phone を使用した VoIP と、Cisco SoftPhone アプリケーションが動作する装置を使用した VoIP に対してスイッチを設定します。これらのリリースでは、Cisco IP SoftPhone バージョン 1.3(3) 以降のみがサポートされます。接続されたデバイスは、Cisco Call Manager バージョン 4 以降を使用している必要があります。
show auto qos コマンド出力では、Cisco IP Phone のサービス ポリシー情報が表示されます。
Auto-QoS のデフォルトを利用する場合、他の QoS コマンドを設定する前に、Auto-QoS をイネーブルにする必要があります。Auto-QoS をイネーブルにした あとに 、Auto-QoS 設定の調整をすることができます。
（注） スイッチは Auto-QoS で生成されたコマンドを、Command-Line Interface（CLI; コマンドライン インターフェイス）からの入力のように適用します。既存のユーザ設定では、生成されたコマンドの適用が失敗することがあります。また、生成されたコマンドで既存の設定が上書きされることもあります。（これらは警告なしで行われます）。生成されたコマンドが正常に適用された場合、上書きされなかったユーザ入力の設定が、実行中の設定に残っています。上書きされてしまったユーザ入力の設定は、現行の設定をメモリに保存せずにスイッチをリロードすることによって、復旧することができます。生成されたコマンドの適用に失敗した場合は、前の実行コンフィギュレーションが復元されます。
これが auto-QoS をイネーブルにする最初のポートの場合は、auto-QoS によって生成されたグローバル コンフィギュレーション コマンドに続いてインターフェイス コンフィギュレーション コマンドが実行されます。他のポート上で Auto-QoS をイネーブルにした場合、Auto-QoS が生成するインターフェイス コンフィギュレーション コマンドは、そのポート用に実行されます。
最初のポート上で Auto-QoS 機能をイネーブルにした場合、次のアクションが自動的に起こります。
• QoS がグローバルにイネーブルになり（ mls qos グローバル コンフィギュレーション コマンド）、そのあと、他のグローバル コンフィギュレーション コマンドが追加されます。
• Cisco IP Phone に接続されたネットワーク エッジのポートで auto qos voip cisco-phone インターフェイス コンフィギュレーション コマンドを入力すると、スイッチは信頼境界の機能をイネーブルにします。スイッチは、Cisco Discovery Protocol（CDP）を使用して、Cisco IP Phone が存在するかしないかを検出します。Cisco IP Phone が検出されると、ポートの入力分類は、パケットで受け取った QoS ラベルを信頼するように設定されます。また、スイッチはポリシングを使用してパケットがプロファイル内かプロファイル外かを判断し、パケットに対するアクションも指定します。パケットに 24、26、または 46 の DSCP 値がない場合、またはパケットがアウト オブ プロファイルの場合は、スイッチで DSCP 値が 0 に変更されます。Cisco IP Phone が存在しない場合、ポートの入力分類は、パケットで受け取った QoS ラベルを信頼しないように設定されます。スイッチは、 表 2-2 および 表 2-3 の設定値に従ってポートの入力キューと出力キューを設定します。ポリシングは、スイッチが信頼境界機能をイネーブルにする前に、ポリシーマップの分類に一致するトラフィックに適用されます。
スイッチ ポートが Cisco IOS Release 12.2(37)SE かそれよりも前のリリースで auto qos voip cisco-phone インターフェイス コンフィギュレーション コマンドを使用して設定された場合、auto-QoS によって Cisco IOS Release 12.2(40)SE に新しく生成されたコマンドは、ポートに適用されません。このようなコマンドを自動的に適用するには、設定を削除してからポートに再度適用する必要があります。
• Cisco SoftPhone を実行しているデバイスに接続されたネットワークのエッジにあるポート上で、 auto qos voip cisco-softphone インターフェイス コンフィギュレーション コマンドを入力した場合、スイッチはポリシングを使用してパケットがイン プロファイルであるかアウト オブ プロファイルであるかを判別し、パケット上でのアクションを指定します。パケットに 24、26、または 46 の DSCP 値がない場合、またはパケットがアウト オブ プロファイルの場合は、スイッチで DSCP 値が 0 に変更されます。スイッチは、 表 2-2 および 表 2-3 の設定値に従ってポートの入力キューと出力キューを設定します。
• ネットワーク内部に接続されたポート上で auto qos voip trust インターフェイス コンフィギュレーション コマンドを入力すると、スイッチは入力パケットでルーティングされないポートの CoS 値を信頼します（トラフィックが他のエッジ装置ですでに分類されていることが前提条件になります）。スイッチは、 表 2-2 および 表 2-3 の設定値に従ってポートの入力キューと出力キューを設定します。
スタティック ポート、ダイナミック アクセス ポート、音声 VLAN アクセス ポート、およびトランク ポートで auto-QoS をイネーブルにすることができます。ルーテッド ポートにある Cisco IP Phone で auto-QoS をイネーブルにする場合、スタティック IP アドレスを IP Phone に割り当てる必要があります。
（注） Cisco SoftPhone を実行しているデバイスがスイッチ ポートまたはルーテッド ポートに接続されている場合、スイッチがサポートするのはポートあたり 1 つの Cisco SoftPhone アプリケーションのみです。
Auto-QoS をイネーブルにしたあと、名前に AutoQoS を含むポリシーマップまたは集約ポリサーを変更しないでください。ポリシーマップまたは集約ポリサーを変更する必要がある場合は、ポリシーマップまたは集約ポリサーをコピーし、そのコピーを変更します。生成されたポリシーマップの代わりに新しいポリシーマップを使用するには、生成されたポリシーマップをインターフェイスから削除し、新しいポリシーマップを適用します。
auto-QoS がイネーブルのときに自動的に生成される QoS の設定を表示するには、auto-QoS をイネーブルにする前にデバッグをイネーブルにします。Auto-QoS のデバッグをイネーブルにするには、 debug auto qos 特権 EXEC コマンドを使用します。詳細については、 debug auto qos コマンドを参照してください。
ポート上で Auto-QoS をディセーブルにするには、no auto qos voip インターフェイス コンフィギュレーション コマンドを使用します。このポート用に生成された Auto-QoS インターフェイス コンフィギュレーション コマンドのみ削除されます。Auto-QoS がイネーブルである最後のポートで no auto qos voip コマンドを入力した場合、Auto-QoS 生成のグローバル コンフィギュレーション コマンドが残っていたとしても、Auto-QoS はディセーブルになったと認識されます（グローバル コンフィギュレーションに影響を受ける他のポートのトラフィック障害を回避するため）。 no mls qos グローバル コンフィギュレーション コマンドを使用して、Auto-QoS 生成のグローバル コンフィギュレーション コマンドをディセーブルにします。QoS がディセーブルの場合、パケットが修正されなくなるため（パケットの CoS、DSCP、IP precedence の値は変更されない）、ポートの信頼性に関する概念はなくなります。トラフィックは Pass-Through モードでスイッチングされます（パケットは書き換えられることなくスイッチングされ、ポリシングなしのベスト エフォートに分類されます）。
例
次の例では、ポートに接続されているスイッチまたはルータが信頼できる装置である場合に、auto-QoS をイネーブルにし、着信パケットで受信した QoS ラベルを信頼する方法を示します。
設定を確認するには、 show auto qos interface interface-id 特権 EXEC コマンドを入力します。
関連コマンド
boot auto-copy-sw
自動アップグレード プロセスをイネーブルにするには、スタック マスターから boot auto-copy-sw グローバル コンフィギュレーション コマンドを使用します。このコマンドにより、Version-Mismatch（VM）モードのスイッチは、スタック メンバー上で実行中のソフトウェア イメージ、またはスイッチ スタックのフラッシュ メモリの tar ファイル イメージをコピーして、自動的にアップグレードします。自動アップグレード プロセスをディセーブルにするには、このコマンドの no 形式を使用します。
（注） このコマンドは、LAN Base イメージを実行している Catalyst 2960-S スイッチのみでサポートされています。
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
VM モードにあるスイッチは、スタックとは異なるマイナー バージョン番号が適用されています。VM モードのスイッチは、完全に機能しているメンバーとしてはスタックに加入できません。スタックが VM モードのスイッチにコピーできるイメージを保有している場合、自動アップグレード プロセスを使用することで、スタック メンバーからのイメージを VM モードのスイッチに自動的にコピーできます。その場合、スイッチは VM モードを終了し、再起動後にスタックに完全に機能しているメンバーとして加入します。
関連コマンド
|
|
|
|---|---|
boot config-file
システム設定の不揮発性コピーの読み込みおよび書き込みを行うために、Cisco IOS が使用するファイル名を指定するには、スタンドアロン スイッチ上で boot config-file グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
（注） スタックは、Catalyst 2960-S スイッチのみでサポートされています。
boot config-file flash: / file-url
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、スタンドアロン スイッチからだけ正常に動作します。
ファイル名およびディレクトリ名では、大文字と小文字が区別されます。
このコマンドは、CONFIG_FILE 環境変数の設定を変更します。詳細については、 付録 A「Catalyst 2960 および 2960-S スイッチ ブートローダ コマンド」 を参照してください。
関連コマンド
|
|
|
|---|---|
boot enable-break
自動ブート プロセスの中断をイネーブルにするには、スタンドアロン スイッチ上で boot enable-break グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
（注） スタックは、Catalyst 2960-S スイッチのみでサポートされています。
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、スタンドアロン スイッチからだけ正常に動作します。
このコマンドを入力すると、フラッシュ ファイル システムが初期化されたあとで Break キーを押すことにより、自動ブート プロセスを中断することができます。
（注） このコマンドの設定に関係なく、スイッチ前面パネルの MODE ボタンを押せば、いつでも自動ブート プロセスを中断することができます。
このコマンドは、ENABLE_BREAK 環境変数の設定を変更します。詳細については、 付録 A「Catalyst 2960 および 2960-S スイッチ ブートローダ コマンド」 を参照してください。
関連コマンド
|
|
|
|---|---|
boot helper
ブートローダの初期化中にダイナミックにファイルをロードして、ブートローダの機能を拡張するか、またはブートローダの機能にパッチを当てるには、 boot helper グローバル コンフィギュレーション コマンドを使用します。このコマンドをデフォルト設定に戻す場合は、このコマンドの no 形式を使用します。
boot helper filesystem :/ file-url ...
シンタックスの説明
フラッシュ ファイル システムのエイリアスです。システム ボード フラッシュ デバイスに対して flash: を使用します。 |
|
ローダ初期化中に動的にロードするためのパス（ディレクトリ）およびロード可能なファイルのリスト。イメージ名はセミコロンで区切ります。 |
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
ファイル名およびディレクトリ名では、大文字と小文字が区別されます。
このコマンドは、HELPER 環境変数の設定を変更します。詳細については、 付録 A「Catalyst 2960 および 2960-S スイッチ ブートローダ コマンド」 を参照してください。
関連コマンド
|
|
|
|---|---|
boot helper-config-file
Cisco IOS ヘルパー イメージで使用されるコンフィギュレーション ファイルの名前を指定するには、 boot helper-config-file グローバル コンフィギュレーション コマンドを使用します。このコマンドが設定されていない場合は、CONFIG_FILE 環境変数によって指定されたファイルがロードされたすべてのバージョンの Cisco IOS に使用されます。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
boot helper-config-file filesystem :/ file-url
シンタックスの説明
フラッシュ ファイル システムのエイリアスです。システム ボード フラッシュ デバイスに対して flash: を使用します。 |
|
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
ファイル名およびディレクトリ名では、大文字と小文字が区別されます。
このコマンドは、HELPER_CONFIG_FILE 環境変数の設定を変更します。詳細については、 付録 A「Catalyst 2960 および 2960-S スイッチ ブートローダ コマンド」 を参照してください。
関連コマンド
|
|
|
|---|---|
boot manual
次回ブート サイクル中にスイッチの手動起動をイネーブルにするには、スタンドアロン スイッチ上で boot manual グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
（注） スタックは、Catalyst 2960-S スイッチのみでサポートされています。
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、スタンドアロン スイッチからだけ正常に動作します。
次回システムを再起動すると、スイッチはブートローダ モードで起動します。このことは switch: プロンプトで確認できます。システムを起動するには、 boot ブート ローダ コマンドを使用して起動可能なイメージの名前を指定します。
このコマンドは、MANUAL_BOOT 環境変数の設定を変更します。詳細については、 付録 A「Catalyst 2960 および 2960-S スイッチ ブートローダ コマンド」 を参照してください。
関連コマンド
|
|
|
|---|---|
boot private-config-file
プライベート コンフィギュレーションの不揮発性コピーの読み込みおよび書き込みを行うために Cisco IOS が使用するファイル名を指定するには、スタンドアロン スイッチ上で boot private-config-file グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
boot private-config-file filename
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、プライベート コンフィギュレーション ファイルの名前を pconfig と指定する方法を示します。
関連コマンド
|
|
|
|---|---|
boot system
次回のブート サイクル中にロードする Cisco IOS イメージを指定するには、 boot system グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
boot system { filesystem :/ file-url ... | switch { number | all }}
no boot system switch { number | all }
（注） スタックは、Catalyst 2960-S スイッチのみでサポートされています。
シンタックスの説明
フラッシュ ファイル システムのエイリアスです。システム ボード フラッシュ デバイスに対して flash: を使用します。 |
|
デフォルト
スイッチは、BOOT 環境変数内の情報を使用して、自動的にシステムの起動を試みます。この変数が設定されていない場合、スイッチは、フラッシュ ファイル システム全体に再帰的な縦型検索を行って、最初の実行可能イメージをロードして実行しようとします。ディレクトリの縦型検索では、検出した各サブディレクトリを完全に検索してから元のディレクトリでの検索を続けます。
コマンド モード
コマンドの履歴
|
|
|
|---|---|
switch { number | all } キーワードが Catalyst 2960-S スイッチに追加されました。 |
使用上のガイドライン
ファイル名およびディレクトリ名では、大文字と小文字が区別されます。
スタック マスター上で boot system filesystem:/file-url コマンドを入力した場合、次回のブート サイクル中に指定のソフトウェア イメージがスタック マスター上だけでロードされます。
スタック マスター上で、次回のブート サイクル中に指定のスタック メンバーでソフトウェア イメージがロードされるように指定するには、 boot system switch number コマンドを使用します。次回のブート サイクル中にすべてのスタック メンバー上でソフトウェア イメージがロードされるように指定するには、 boot system switch all コマンドを使用します。
boot system switch number コマンドまたは boot system switch all コマンドをスタック マスター上で入力すると、スタック マスターはスタック メンバー上にソフトウェア イメージが存在しているかどうか確認します。スタック メンバー上（スタック メンバー 1 など）にソフトウェア イメージが存在しない場合、次のようなエラー メッセージが表示されます。
archive download-sw 特権 EXEC コマンドを使用してシステム イメージを保存している場合、 boot system コマンドを使用する必要はありません。 boot system コマンドは自動的に処理され、ダウンロードされたイメージがロードされます。
このコマンドは、BOOT 環境変数の設定を変更します。詳細については、 付録 A「Catalyst 2960 および 2960-S スイッチ ブートローダ コマンド」 を参照してください。
関連コマンド
|
|
|
|---|---|
channel-group
EtherChannel グループにイーサネット ポートを割り当てたり、EtherChannel モードをイネーブルにしたりするには、 channel-group インターフェイス コンフィギュレーション コマンドを使用します。イーサネット ポートを EtherChannel グループから削除する場合は、このコマンドの no 形式を使用します。
channel-group channel -group-number mode { active | { auto [ non-silent ]} | { desirable [ non-silent ]} | on | passive }
PAgP modes:
channel-group channel -group-number mode { { auto [ non-silent ]} | { desirable [ non-silent}}
LACP modes:
channel-group channel -group-number mode {active | passive}
On mode:
channel-group channel -group-number mode on
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
レイヤ 2 EtherChannel の場合、物理ポートをチャネル グループに割り当てる前に、先に interface port-channel グローバル コンフィギュレーション コマンドを使用してポートチャネル インターフェイスを作成しておく必要はありません。代わりに、 channel-group インターフェイス コンフィギュレーション コマンドを使用できます。論理インターフェイスがまだ作成されていない場合は、チャネル グループが最初の物理ポートを取得した時点で、自動的にポートチャネル インターフェイスが作成されます。最初にポートチャネル インターフェイスを作成する場合は、 channel-group-number を port - channel-number と同じ番号を使用することもできれば、新しい番号を使用することもできます。新しい番号を使用した場合、 channel-group コマンドは動的に新しいポート チャネルを作成します。
EtherChannel を設定したあと、ポートチャネル インターフェイスに加えられた設定の変更は、そのポートチャネル インターフェイスに割り当てられたすべての物理ポートに適用されます。物理ポートに適用された設定の変更は、設定を適用したポートのみに有効です。EtherChannel 内のすべてのポートのパラメータを変更するには、ポートチャネル インターフェイスに対してコンフィギュレーション コマンドを適用します。たとえば、spanning-tree コマンドを使用して、レイヤ 2 EtherChannel をトランクとして設定します。
auto モードまたは desirable モードとともに non-silent を指定しなかった場合は、サイレントが指定されているものと見なされます。サイレント モードを設定するのは、PAgP 非対応で、かつほとんどパケットを送信しない装置にスイッチを接続する場合です。サイレント パートナーの例は、トラフィックを生成しないファイル サーバ、またはパケット アナライザなどです。この場合、物理ポート上で稼動している PAgP は、そのポートを動作可能にしません。ただし、PAgP は動作可能で、チャネル グループにポートを付与したり、伝送用ポートを使用することができます。リンクの両端はサイレントに設定することはできません。
on モードでは、使用可能な EtherChannel が存在するのは、 on モードのポート グループが、 on モードの別のポート グループに接続する場合だけです。
EtherChannel は、PAgP と LACP の両方のモードには設定しないでください。PAgP および LACP を実行している EtherChannle グループは、同一のスイッチ、またはスタックにある異なるスイッチ（クロススタック設定ではできません）上で共存できます。個々の EtherChannel グループは PAgP または LACP のどちらかを実行できますが、相互運用することはできません。
（注） スタックは、Catalyst 2960-S スイッチのみでサポートされています。
channel-protocol インターフェイス コンフィギュレーション コマンドを使用してプロトコルを設定した場合、設定値は、 channel-group インターフェイス コンフィギュレーション コマンドによっては上書きされません。
アクティブまたはアクティブでない EtherChannel メンバーを 802.1x ポートとして設定しないでください。EtherChannel ポートで IEEE 802.1x 認証をイネーブルにしようとすると、エラー メッセージが表示され、IEEE 802.1x 認証はイネーブルになりません。
セキュア ポートを EtherChannel の一部として、または EtherChannel ポートをセキュア ポートとしては設定しないでください。
設定の注意事項の一覧については、このリリースに対応するソフトウェア コンフィギュレーション ガイドの「Configuring EtherChannels」を参照してください。
例
次の例では、単一のスイッチ上で、EtherChannel を設定する方法を示します。VLAN 10 のスタティックアクセス ポート 2 つを PAgP モード desirable であるチャネル 5 に割り当てます。
次の例では、単一のスイッチ上で、EtherChannel を設定する方法を示します。VLAN 10 のスタティックアクセス ポート 2 つを LACP モード active であるチャネル 5 に割り当てます。
次の例では、クロススタック EtherChannel を設定する方法を示します。LACP パッシブ モードを使用して、VLAN10 内のスタテイックアクセス ポートとしてスタック メンバー 2 のポートを 2 つ、スタック メンバー 3 のポートを 1 つチャネル 5 に割り当てます。
関連コマンド
|
|
|
|---|---|
現在の動作設定を表示します。構文情報については、「Cisco IOS Configuration Fundamentals Command Reference, Release 12.2」>「File Management Commands」>「Configuration File Management Commands」を選択してください。 |
channel-protocol
ポート上で使用されるプロトコルを制限してチャネリングを管理するには、 channel-protocol インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
channel-protocol { lacp | pagp }
シンタックスの説明
Link Aggregation Control Protocol（LACP）で EtherChannel を設定します。 |
|
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
channel-protocol コマンドは、チャネルを LACP または PAgP に制限するためのみに使用します。 channel-protocol コマンドを使用してプロトコルを設定する場合、設定は channel-group インターフェイス コンフィギュレーション コマンドで上書きされることはありません。
channel-group インターフェイス コンフィギュレーション コマンドは、EtherChannel のパラメータ設定に使用してください。また、 channel-group コマンドは、EtherChannel に対しモードを設定することもできます。
例
次の例では、EtherChannel を管理するプロトコルとして LACP を指定する方法を示します。
show etherchannel [ channel-group-number ] protocol 特権 EXEC コマンドを入力すると、設定を確認できます。
関連コマンド
|
|
|
|---|---|
cisp enable
スイッチ上で Client Information Signalling Protocol（CISP）をイネーブルにして、サプリカント スイッチのオーセンティケータとして機能するようにするには、cisp enable グローバル コンフィギュレーション コマンドを使用します。
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
オーセンティケータとサプリカント スイッチ間のリンクはトランクになります。両方のスイッチ上で VTP をイネーブルにする場合は、VTP ドメイン名を同じにして、VTP モードを server にする必要があります。
VTP モードを設定したら、MD5 チェックサム不一致エラーが発生しないようにするために次のことを確認してください。
• 2 つの異なるスイッチ上に VLAN がそれぞれ設定されていない（2 つの VTP サーバが同じドメイン内に存在することが原因と考えられる）
例
関連コマンド
|
|
|
|---|---|
class
指定されたクラス マップ名のトラフィック分類一致条件（ police 、 set 、および trust ポリシー マップ クラス コンフィギュレーション コマンドによる）を定義するには、class ポリシー マップ コンフィギュレーション コマンドを使用します。既存のクラス マップを削除する場合は、このコマンドの no 形式を使用します。
（注） このコマンドを使用するには、スイッチが LAN Base イメージを実行している必要があります。
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
class コマンドを使用する前に、 policy-map グローバル コンフィギュレーション コマンドを使用してポリシー マップを識別し、ポリシーマップ コンフィギュレーション モードを開始する必要があります。ポリシー マップを指定すると、ポリシー マップ内で新規クラスのポリシーを設定したり、既存クラスのポリシーを変更したりすることができます。 service-policy インターフェイス コンフィギュレーション コマンドを使用して、ポリシー マップをポートへ適用できます。
class コマンドを入力すると、ポリシー マップ クラス コンフィギュレーション モードに入り、次のコンフィギュレーション コマンドが使用可能になります。
• exit ：ポリシー マップ クラス コンフィギュレーション モードを終了し、ポリシー マップ コンフィギュレーション モードに戻ります。
• police ：分類したトラフィックにポリサーまたは集約ポリサーを定義します。ポリサーは、帯域幅の限度およびその限度を超過した場合に実行するアクションを指定します。詳細については、 police および police aggregate ポリシー マップ クラス コマンドを参照してください。
• set ：分類したトラフィックに割り当てる値を指定します。詳細については、 set コマンドを参照してください。
• trust ： class コマンドまたは class-map コマンドで分類したトラフィックの信頼状態を定義します。詳細については、 trust コマンドを参照してください。
ポリシーマップ コンフィギュレーション モードに戻るには、 exit コマンドを使用します。特権 EXEC モードに戻るには、 end コマンドを使用します。
class コマンドは、 class-map グローバル コンフィギュレーション コマンドと同じ機能を実行します。他のポートと共有していない新しい分類が必要な場合は、 class コマンドを使用します。多数のポート間でマップを共有する場合には、class-map コマンドを使用します。
例
次の例では、 policy1 という名前のポリシー マップを作成する方法を示します。このコマンドが入力方向に添付された場合、 class1 で定義されたすべての着信トラフィックのマッチングを行い、IP Differentiated Services Code Point（DSCP; DiffServ コード ポイント）を 10 に設定し、平均レート 1 Mbps、バースト 20 KB のトラフィックをポリシングします。プロファイルを超えるトラフィックは、ポリシング設定 DSCP マップから取得した DSCP 値がマークされてから送信されます。
関連コマンド
|
|
|
|---|---|
class ポリシーマップ コンフィギュレーション コマンドまたは class-map グローバル コンフィギュレーション コマンドを使用して分類されたトラフィックの信頼状態を定義します。 |
class-map
パケットと指定したクラス名との照合に使用するクラス マップを作成し、クラス マップ コンフィギュレーション モードを開始するには、 class-map グローバル コンフィギュレーション コマンドを使用します。既存のクラス マップを削除し、グローバル コンフィギュレーション モードに戻る場合は、このコマンドの no 形式を使用します。
class-map [ match-all | match-any ] class-map-name
no class-map [ match-all | match-any ] class-map-name
（注） このコマンドを使用するには、スイッチが LAN Base イメージを実行している必要があります。
シンタックスの説明
（任意）このクラス マップ内のすべての一致ステートメントの論理積をとります。クラス マップ内のすべての基準が一致する必要があります。 |
|
（任意）このクラス マップ内の一致ステートメントの論理和をとります。1 つまたは複数の条件が一致していなければなりません。 |
|
デフォルト
match-all または match-any のどちらのキーワードも指定されていない場合、デフォルトは match-all です。
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
クラス マップ一致基準を作成または変更したいクラスの名前を指定し、クラス マップ コンフィギュレーション モードを開始する場合は、このコマンドを使用します。
ポートごとに適用されるグローバルに名付けられたサービス ポリシーの一部としてパケットの分類、マーキング、および集約ポリシングを定義する場合は、 class-map コマンドおよびそのサブコマンドを使用します。
QoS（Quality Of Service）クラスマップ コンフィギュレーション モードでは、次の設定コマンドを利用できます。
• description ：クラス マップを説明します（最大 200 文字）。 show class-map 特権 EXEC コマンドは、クラスマップの説明と名前を表示します。
• exit ：QoS クラス マップ コンフィギュレーション モードを終了します。
• match ：分類基準を設定します。詳細については、 match（クラスマップ コンフィギュレーション） コマンドを参照してください。
• no ：クラス マップから match 文を削除します。
• rename ：現在のクラス マップの名前を変更します。クラス マップ名をすでに使用されている名前に変更すると、 A class-map with this name already exists が表示されます。
物理ポート単位でパケット分類を定義するため、クラス マップごとに 1 つずつのみ match コマンドがサポートされています。この状況では、 match-all キーワードと match-any キーワードは同じです。
1 つのクラス マップで設定できるアクセス コントロール リスト（ACL）は 1 つだけです。ACL には複数の Access Control Entry（ACE; アクセス コントロール エントリ）を含めることができます。
例
次の例では、クラス マップ class1 に 1 つの一致基準（アクセス リスト 103 ）を設定する方法を示します。
次の例では、クラス マップ class1 を削除する方法を示します。
関連コマンド
|
|
|
|---|---|
指定されたクラスマップ名のトラフィック分類一致条件（ police 、 set 、および trust ポリシーマップ クラス コンフィギュレーション コマンドによる）を定義します。 |
|
clear dot1x
スイッチまたは指定されたポートの IEEE 802.1x 情報をクリアするには、 clear dot1x 特権 EXEC コマンドを使用します。
clear dot1x { all | interface interface-id }
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
clear dot1x all コマンドを使用して、すべての情報をクリアできます。また、 clear dot1x interface interface-id コマンドを使用して、指定されたインターフェイスの情報のみをクリアできます。
例
次の例では、すべての IEEE 802.1x 情報をクリアする方法を示します。
Switch# clear dot1x all
次の例では、指定されたインターフェイスの IEEE 802.1x 情報をクリアする方法を示します。
Switch# clear dot1x interface gigabithethernet0/1
Switch# clear dot1x interface gigabithethernet1/1
関連コマンド
|
|
|
|---|---|
clear eap sessions
スイッチまたは指定されたポートの Extensible Authentication Protocol（EAP）セッション情報をクリアするには、 clear eap sessions 特権 EXEC コマンドを使用します。
clear eap sessions [ credentials name [ interface interface-id ] | interface interface-id | method name | transport name ] [ credentials name | interface interface-id | transport name ] ...
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
clear eap sessions コマンドを使用して、すべてのカウンタをクリアできます。キーワードを指定して、特定の情報のみをクリアできます。
例
次の例では、すべての EAP 情報をクリアする方法を示します。
Switch# clear eap
次の例では、指定されたプロファイルの EAP セッション クレデンシャル情報をクリアする方法を示します。
Switch# clear eap sessions credential type1
関連コマンド
|
|
|
|---|---|
clear errdisable interface
errdisable になった VLAN をもう一度イネーブルにするには、 clear errdisable interface 特権 EXEC コマンドを使用します。
clear errdisable interface interface-id vlan [vlan-list]
シンタックスの説明
（任意）再びイネーブルにする VLAN のリストを指定します。vlan-list を指定しない場合は、すべての VLAN が再びイネーブルになります。 |
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
shutdown および no shutdown のインターフェイス コンフィギュレーション コマンドを使用してポートを再びイネーブルにするか、clear errdisable interface コマンドを使用して VLAN の errdisable をクリアできます。
例
次の例では、errdisable ステートになっているポート 2 上のすべての VLAN を再度イネーブルにする方法を示します。
Switch# clear errdisable interface GigabitEthernet 0/2 vlan
関連コマンド
|
|
|
|---|---|
clear arp inspection log
ダイナミック アドレス解決プロトコル（ARP）インスペクション ログ バッファを消去するには、 clear ip arp inspection log 特権 EXEC コマンドを使用します。
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
例
次の例では、ログ バッファの内容をクリアする方法を示します。
Switch# clear ip arp inspection log
ログがクリアされたかどうかを確認するには、 show ip arp inspection log 特権コマンドを入力します。
関連コマンド
|
|
|
|---|---|
clear ip arp inspection statistics
ダイナミック アドレス解決プロトコル（ARP）インスペクション統計情報をクリアするには、 clear ip arp inspection statistics 特権 EXEC コマンドを使用します。
clear ip arp inspection statistics [ vlan vlan-range ]
シンタックスの説明
（任意）指定された VLAN（1 つまたは複数）の統計情報をクリアします。 VLAN ID 番号で識別された 1 つの VLAN、それぞれをハイフンで区切った VLAN 範囲、またはカンマで区切った一連の VLAN を指定することができます。指定できる範囲は 1 ～ 4094 です。 |
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
例
次の例では、VLAN 1 の統計情報をクリアする方法を示します。
統計情報が削除されたかどうかを確認するには、 show ip arp inspection statistics vlan 1 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
すべての VLAN または指定された VLAN に関して転送されたパケット、廃棄されたパケット、MAC 検証で不合格となったパケット、および IP 検証で不合格となったパケットの統計情報を表示します。 |
clear ip dhcp snooping
DHCP スヌーピング バインディング データベース、DHCP スヌーピング バインディング データベース エージェントの統計情報、または DHCP スヌーピング統計カウンタをクリアするには、 clear ip dhcp snooping 特権 EXEC コマンドを使用します。
clear ip dhcp snooping { binding {* | ip-address | interface interface-id | vlan vlan-id } | database statistics | statistics }
（注） このコマンドを使用するには、スイッチが LAN Base イメージを実行している必要があります。
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
* 、 ip-address 、 interface interface-id 、 および vlan vlan-id キーワードが追加されました。 |
使用上のガイドライン
clear ip dhcp snooping database statistics コマンドを入力すると、スイッチは統計情報をクリアする前にバインディング データベースおよびバインディング ファイル内のエントリを更新しません。
例
次の例では、DHCP スヌーピング バインディング データベース エージェントの統計情報をクリアする方法を示します。
統計情報がクリアされたかどうかを確認するには、 show ip dhcp snooping database 特権 EXEC コマンドを入力します。
次の例では、DHCP スヌーピング統計カウンタをクリアする方法を示します。
Switch# clear ip dhcp snooping statistics
統計情報がクリアされたかどうかを確認するには、 show ip dhcp snooping statistics ユーザ EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
clear lacp
Link Aggregation Control Protocol（LACP）チャネル グループ カウンタをクリアするには、 clear lacp 特権 EXEC コマンドを使用します。
clear lacp { channel-group-number counters | counters }
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
clear lacp counters コマンドを使用することで、カウンタをすべてクリアできます。また、指定のチャネル グループのカウンタのみをクリアする場合には、 clear lacp channel-group-number counters コマンドを使用します。
例
次の例では、すべてのチャネル グループ情報をクリアする方法を示します。
Switch# clear lacp counters
次の例では、グループ 4 の LACP トラフィックのカウンタをクリアする方法を示します。
Switch# clear lacp 4 counters
情報が削除されたかどうかを確認するには、 show lacp counters または show lacp 4 counters 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
clear logging onboard
フラッシュ メモリに保存されている動作時間と CLI コマンド情報以外のすべてのオンボード障害ロギング (OBFL) データを消去するには、スイッチ スタック上またはスタンドアロン スイッチ上で clear logging onboard 特権 EXEC コマンドを使用します。
clear logging onboard [module { switch-number | all }
（注） このコマンドは、LAN Base イメージを実行している Catalyst 2960-S スイッチのみでサポートされています。
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、動作時間と CLI コマンド情報以外のすべての OBFL 情報をクリアする方法を示します。
Switch# clear logging onboard
show logging onboard onboard 特権 EXEC コマンドを入力すると、情報が削除されたかどうかを確認できます。
関連コマンド
|
|
|
|---|---|
clear mac address-table
指定のダイナミック アドレス、特定のインターフェイス上のすべてのダイナミック アドレス、スタック メンバー上のすべてのダイナミック アドレス、または特定の VLAN（仮想 LAN）上のすべてのダイナミック アドレスを MAC（メディア アクセス制御）アドレス テーブルから削除するには、 clear mac-address-table 特権 EXEC コマンドを使用します。このコマンドはまた MAC アドレス通知グローバル カウンタもクリアします。
clear mac address-table { dynamic [ address mac-addr | interface interface-id | vlan vlan-id ] | notification }
（注） このコマンドを使用するには、スイッチが LAN Base イメージを実行している必要があります。
シンタックスの説明
（任意）指定された VLAN のすべてのダイナミック MAC アドレスを削除します。指定できる範囲は 1 ～ 4094 です。 |
|
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
例
次の例では、ダイナミック アドレス テーブルから指定の MAC アドレスを削除する方法を示します。
情報が削除されたかどうかを確認するには、 show mac address-table 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
特定のインターフェイス上の Simple Network Management Protocol（SNMP; 簡易ネットワーク管理プロトコル）MAC アドレス通知トラップをイネーブルにします。 |
clear mac address-table move update
MAC アドレス テーブルの移行更新に関連したカウンタをクリアするには、 clear mac address-table move update 特権 EXEC コマンドを使用します。
clear mac address-table move update
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
例
次の例では、MAC アドレス テーブル移行更新関連カウンタをクリアする方法を示します。
情報がクリアされたかどうかを確認するには、 show mac address-table move update 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
clear nmsp statistics
Network Mobility Services Protocol（NMSP; ネットワーク モビリティ サービス プロトコル）統計情報をクリアするには、 clear nmsp statistics 特権 EXEC コマンドを使用します。このコマンドを使用できるのは、スイッチで暗号化ソフトウェア イメージが実行されている場合だけです。
（注） このコマンドを使用するには、スイッチが LAN Base イメージを実行している必要があります。
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
例
情報が削除されたかどうかを確認するには、 show nmsp statistics 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
clear pagp
ポート集約プロトコル（PAgP）チャネル グループ情報をクリアするには、 clear pagp 特権 EXEC コマンドを使用します。
clear pagp { channel-group-number counters | counters }
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
すべてのカウンタをクリアするには、 clear pagp counters コマンドを使用します。また、 clear pagp channel-group-number counters コマンドを使用すると、指定のチャネル グループのカウンタだけをクリアできます。
例
次の例では、すべてのチャネル グループ情報をクリアする方法を示します。
Switch# clear pagp counters
次の例では、グループ 10 の PAgP トラフィックのカウンタをクリアする方法を示します。
Switch# clear pagp 10 counters
関連コマンド
|
|
|
|---|---|
clear port-security
MAC アドレス テーブルからすべてのセキュア アドレスを削除するか、スイッチまたはインターフェイス上の特定タイプ（設定済み、ダイナミック、スティッキ）のすべてのセキュア アドレスを削除するには、 clear port-security 特権 EXEC コマンドを使用します。
clear port-security { all | configured | dynamic | sticky } [[ address mac-addr | interface interface-id ] [ vlan { vlan-id | { access | voice}}]]
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
例
次の例では、MAC アドレス テーブルからすべてのセキュア アドレスを削除する方法を示します。
次の例では、MAC アドレス テーブルから特定の設定済みセキュア アドレスを削除する方法を示します。
次の例では、特定のインターフェイスで学習されたすべてのダイナミック セキュア アドレスを削除する方法を示します。
次の例では、アドレス テーブルからすべてのダイナミック セキュア アドレスを削除する方法を示します。
関連コマンド
|
|
|
|---|---|
clear spanning-tree counters
スパニングツリー カウンタをクリアするには、 clear spanning-tree counters 特権 EXEC コマンドを使用します。
clear spanning-tree counters [ interface interface-id ]
シンタックスの説明
（任意）指定のインターフェイスのスパニングツリー カウンタをすべてクリアします。有効なインターフェイスとしては、物理ポート、VLAN、およびポート チャネルがあります。指定できる VLAN 範囲は 1 ～ 4094 です。ポート チャネル範囲は 1 ～ 6 です。 |
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
interface-id が指定されていない場合は、すべてのインターフェイスのスパニングツリー カウンタがクリアされます。
例
次の例では、すべてのインターフェイスのスパニングツリー カウンタをクリアする方法を示します。
関連コマンド
|
|
|
|---|---|
clear spanning-tree detected-protocols
すべてのインターフェイスまたは指定されたインターフェイス上でプロトコル移行プロセスを再開する（強制的に近接スイッチと再ネゴシエートする）には、 clear spanning-tree detected-protocols 特権 EXEC コマンドを使用します。
clear spanning-tree detected-protocols [ interface interface-id ]
シンタックスの説明
（任意）指定されたインターフェイスでプロトコル移行プロセスを再開します。有効なインターフェイスとしては、物理ポート、VLAN、およびポート チャネルがあります。指定できる VLAN 範囲は 1 ～ 4094 です。ポート チャネル範囲は 1 ～ 6 です。 |
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
Rapid Per-VLAN Spanning-Tree Plus（Rapid PVST+）プロトコルまたは Multiple Spanning-Tree Protocol（MSTP）が稼動しているスイッチは、組み込みプロトコル移行メカニズムをサポートしているため、レガシー IEEE 802.1D スイッチと相互に動作できます。Rapid PVST+ スイッチまたは MSTP スイッチが、プロトコルのバージョンが 0 に設定されているレガシー IEEE 802.1D コンフィギュレーション Bridge Protocol Data Unit（BPDU; ブリッジ プロトコル データ ユニット）を受信した場合は、そのポートで IEEE 802.1D BPDU だけを送信します。Multiple Spanning-Tree（MST）スイッチが、レガシー BPDU、別のリージョンに関連付けられた MST BPDU（バージョン 3）、または Rapid Spanning-Tree（RST; 高速スパニングツリー）BPDU（バージョン 2）を受信したときは、そのポートがリージョンの境界にあることを検知します。
ただし、スイッチは、IEEE 802.1D BPDU を受信しなくなった場合であっても、自動的には Rapid PVST+ モードまたは MSTP モードには戻りません。これは、レガシー スイッチが指定スイッチでなければ、リンクから削除されたかどうかを学習できないためです。この状況では、 clear spanning-tree detected-protocols コマンドを使用します。
例
次の例では、ポートでプロトコル移行プロセスを再開する方法を示します。
関連コマンド
|
|
|
|---|---|
clear vmps statistics
VLAN Query Protocol（VQP）クライアントが保持する統計情報を消去するには、 clear vmps statistics 特権 EXEC コマンドを使用します。
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
例
次の例では、VLAN Membership Policy Server（VMPS; VLAN メンバシップ ポリシー サーバ）統計情報をクリアする方法を示します。
情報が削除されたかどうかを確認するには、 show vmps statistics 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
VQP バージョン、再確認間隔、再試行回数、VMPS IP アドレス、および現在のサーバとプライマリ サーバを表示します。 |
clear vtp counters
VLAN Trunking Protocol（VTP; VLAN トランキング プロトコル）およびプルーニング カウンタを消去するには、 clear vtp counters 特権 EXEC コマンドを使用します。
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
例
関連コマンド
|
|
|
|---|---|
cluster commander-address
このコマンドは、スタンドアロン クラスタ メンバー スイッチから入力する必要はありません。クラスタ コマンド スイッチは、メンバー スイッチがクラスタに加入した場合に MAC アドレスをこれらのクラスタ メンバー スイッチに自動的に割り当てます。クラスタ メンバー スイッチは、この情報および他のクラスタ情報を実行コンフィギュレーション ファイルに追加します。デバッグまたは回復手順の間だけスイッチをクラスタから削除する場合は、クラスタ メンバー スイッチ コンソール ポートからこのグローバル コンフィギュレーション コマンドの no 形式を使用します。
cluster commander-address mac-address [ member number name name ]
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、クラスタ コマンド スイッチ上でのみ利用できます。
各クラスタ メンバーは、クラスタ コマンド スイッチを 1 つしか持てません。
クラスタ メンバー スイッチは、mac-address パラメータによりシステム リロード中にクラスタ コマンド スイッチの ID を保持します。
特定のクラスタ メンバー スイッチで no 形式を入力すると、デバッグまたはリカバリ手順の間そのクラスタ メンバー スイッチをクラスタから削除できます。通常は、メンバーがクラスタ コマンド スイッチと通信ができなくなった場合にのみ、クラスタ メンバー スイッチ コンソール ポートからこのコマンドを入力することになります。通常のスイッチ構成では、クラスタ コマンド スイッチで no cluster member n グローバル コンフィギュレーション コマンドを入力することによってのみ、クラスタ メンバー スイッチを削除することを推奨します。
スタンバイ クラスタ コマンド スイッチがアクティブになった場合（クラスタ コマンド スイッチになった場合）、このスイッチは cluster commander-address 行をその設定から削除します。
例
次の例では、実行中のクラスタ メンバーの設定から、その出力を一部示します。
次の例では、クラスタ メンバー コンソールでクラスタからメンバーを削除する方法を示します。
関連コマンド
|
|
|
|---|---|
cluster discovery hop-count
候補スイッチの拡張検出用にホップカウントの制限を設定するには、クラスタ コマンド スイッチ上で cluster discovery hop-count グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
cluster discovery hop-count number
no cluster discovery hop-count
シンタックスの説明
クラスタ コマンド スイッチが候補の検出を制限するクラスタ エッジからのホップの数。指定できる範囲は 1 ～ 7 です。 |
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、クラスタ コマンド スイッチ上でのみ利用できます。このコマンドは、クラスタ メンバー スイッチでは機能しません。
ホップ カウントが 1 に設定された場合、拡張検出はディセーブルになります。クラスタ コマンド スイッチは、クラスタのエッジから 1 ホップの候補だけを検出します。クラスタのエッジとは、最後に検出されたクラスタのメンバー スイッチと最初に検出された候補スイッチの間の点です。
例
次の例では、ホップ カウント制限を 4 に設定する方法を示します。このコマンドは、クラスタ コマンド スイッチ上から実行します。
関連コマンド
|
|
|
|---|---|
cluster enable
コマンド対応スイッチをクラスタ コマンド スイッチとしてイネーブルにし、クラスタ名を割り当て、任意でメンバー番号を割り当てるには、そのコマンド対応スイッチ上で cluster enable グローバル コンフィギュレーション コマンドを使用します。すべてのメンバーを削除して、このクラスタ コマンド スイッチを候補スイッチにするには、このコマンドの no 形式を使用します。
cluster enable name [ command-switch-member-number ]
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、どのクラスタにも属していない任意のコマンド対応スイッチ上で入力します。装置がすでにクラスタのメンバーとして設定されている場合、コマンドはエラーとなります。
クラスタ コマンド スイッチをイネーブルにするときには、クラスタに名前を付けてください。スイッチがすでにクラスタ コマンド スイッチとして設定されており、クラスタ名が以前の名前と異なっている場合、コマンドはクラスタ名を変更します。
例
次の例では、クラスタ コマンド スイッチをイネーブルにし、クラスタに名前を付け、クラスタ コマンド スイッチ メンバー番号を 4 に設定する方法を示します。
関連コマンド
|
|
|
|---|---|
cluster holdtime
スイッチ（コマンドまたはクラスタ メンバー スイッチ）が、他のスイッチのハートビート メッセージを受信しなくなってからそのスイッチのダウンを宣言するまでの期間を秒単位で設定するには、クラスタ コマンド スイッチ上で cluster holdtime グローバル コンフィギュレーション コマンドを使用します。期間をデフォルト値に設定する場合は、このコマンドの no 形式を使用します。
cluster holdtime holdtime-in-secs
シンタックスの説明
スイッチ（コマンドまたはクラスタ メンバー スイッチ）が、他のスイッチのダウンを宣言するまでの期間（秒）。指定できる範囲は 1 ～ 300 秒です。 |
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
クラスタ コマンド スイッチ上でのみ、このコマンドと cluster timer グローバル コンフィギュレーション コマンドを入力してください。クラスタ内のすべてのスイッチ間で設定の一貫性が保たれるように、クラスタ コマンド スイッチはこの値をそのすべてのクラスタ メンバーに伝達します。
ホールドタイムは通常インターバル タイマー（ cluster timer ）の倍数として設定されます。たとえば、スイッチのダウンを宣言するまでには、「ホールド タイムをインターバル タイムで割った秒数」回のハートビート メッセージが連続して受信されなかったことになります。
例
次の例では、クラスタ コマンド スイッチでインターバル タイマーおよびホールド タイム時間を変更する方法を示します。
関連コマンド
|
|
|
|---|---|
cluster member
クラスタに候補を追加するには、クラスタ コマンド スイッチ上で cluster member グローバル コンフィギュレーション コマンドを使用します。メンバーをクラスタから削除するには、このコマンドの no 形式を使用します。
cluster member [ n ] mac-address H.H.H [ password enable-password ] [ vlan vlan-id ]
シンタックスの説明
クラスタ メンバー スイッチの Media Access Control（MAC; メディア アクセス制御）アドレス（16 進数） |
|
（任意）クラスタ コマンド スイッチが候補をクラスタに追加するときに使用される VLAN ID。指定できる範囲は 1 ～ 4094 です。 |
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、候補をクラスタに追加したり、メンバーをクラスタから削除したりする場合にクラスタ コマンド スイッチでのみ入力できます。このコマンドをクラスタ コマンド スイッチ以外のスイッチで入力すると、スイッチはコマンドを拒否し、エラー メッセージを表示します。
スイッチをクラスタから削除する場合はメンバー番号を入力してください。ただし、スイッチをクラスタに追加する場合には、メンバー番号を入力する必要はありません。クラスタ コマンド スイッチは、次に利用可能なメンバー番号を選択し、これをクラスタに加入しているスイッチに割り当てます。
候補スイッチがクラスタに加入した場合には、認証を行うためにそのスイッチのイネーブル パスワードを入力してください。パスワードは、実行コンフィギュレーションまたはスタートアップ コンフィギュレーションには保存されません。候補スイッチがクラスタのメンバーになったあと、そのパスワードはクラスタ コマンド スイッチ パスワードと同じになります。
スイッチが、設定されたホスト名を持たない場合、クラスタ コマンド スイッチは、メンバー番号をクラスタ コマンド スイッチ ホスト名に追加し、これをクラスタ メンバー スイッチに割り当てます。
VLAN ID を指定していない場合、クラスタ コマンド スイッチは自動的に VLAN を選択し、候補をクラスタに追加します。
例
次の例では、スイッチをメンバー 2、MAC アドレス 00E0.1E00.2222、パスワード key としてクラスタに追加する方法を示しています。クラスタ コマンド スイッチは、VLAN 3 を経由して候補をクラスタに追加します。
次の例では、MAC アドレス 00E0.1E00.3333 のスイッチをクラスタに追加する方法を示します。このスイッチにはパスワードはありません。クラスタ コマンド スイッチは、次に利用可能なメンバー番号を選択し、これをクラスタに加入しているスイッチに割り当てます。
設定を確認するには、クラスタ コマンド スイッチで show cluster members 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
cluster outside-interface
クラスタの Network Address Translation（NAT; ネットワーク アドレス変換）の外部インターフェイスを設定し、IP アドレスのないメンバーがクラスタの外部にある装置と通信できるようにするには、クラスタ コマンド スイッチ上で cluster outside-interface グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
cluster outside-interface interface-id
シンタックスの説明
外部インターフェイスとして機能するインターフェイス。有効なインターフェイスとしては、物理インターフェイス、ポート チャネル、または VLAN があります。ポート チャネル範囲は 1 ～ 6 です。指定できる VLAN 範囲は 1 ～ 4094 です。 |
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、クラスタ コマンド スイッチ上でのみ入力できます。クラスタ メンバー スイッチでコマンドを入力すると、エラー メッセージが表示されます。
例
次の例では、VLAN 1 に外部インターフェイスを設定する方法を示します。
関連コマンド
|
|
|
|---|---|
現在の動作設定を表示します。構文情報については、「Cisco IOS Configuration Fundamentals Command Reference, Release 12.2」>「File Management Commands」>「Configuration File Management Commands」を選択してください。 |
cluster run
スイッチ上でクラスタリングをイネーブルにするには、 cluster run グローバル コンフィギュレーション コマンドを使用します。スイッチでクラスタリングをディセーブルにする場合は、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
クラスタ コマンド スイッチ上で no cluster run コマンドを入力すると、クラスタ コマンド スイッチはディセーブルになります。クラスタリングはディセーブルになり、スイッチは候補スイッチになることができません。
クラスタ メンバー スイッチで no cluster run コマンドを入力すると、このメンバー スイッチはクラスタから削除されます。クラスタリングはディセーブルになり、スイッチは候補スイッチになることができません。
クラスタに属していないスイッチで no cluster run コマンドを入力すると、クラスタリングはそのスイッチ上でディセーブルになります。このスイッチは候補スイッチになることができません。
例
次の例では、クラスタ コマンド スイッチでクラスタリングをディセーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
cluster standby-group
既存の Hot Standby Router Protocol（HSRP; ホットスタンバイ ルータ プロトコル）にクラスタをバインドしてクラスタ コマンド スイッチの冗長性をイネーブルにするには、 cluster standby-group グローバル コンフィギュレーション コマンドを使用します。routing-redundancy キーワードを入力することで、同一の HSRP グループが、クラスタ コマンド スイッチの冗長性およびルーティングの冗長性に対して使用できるようになります。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
cluster standby-grou p HSRP-group-name [ routing-redundancy ]
シンタックスの説明
（任意）同一の HSRP スタンバイ グループをイネーブルにし、クラスタ コマンド スイッチの冗長性およびルーティングの冗長性に対して使用します。 |
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、クラスタ コマンド スイッチ上でのみ入力できます。クラスタ メンバー スイッチでこれを入力すると、エラー メッセージが表示されます。
クラスタ コマンド スイッチは、クラスタ HSRP バインディング情報をすべてのクラスタ HSRP 対応メンバーに伝播します。各クラスタ メンバー スイッチはバインディング情報を NVRAM（不揮発性 RAM）に保存します。HSRP グループ名は、有効なスタンバイ グループである必要があります。そうでない場合、エラーが発生してコマンドが終了します。
クラスタにバインドする HSRP スタンバイ グループのすべてのメンバーに同じグループ名を使用する必要があります。バインドされる HSRP グループのすべてのクラスタ HSRP 対応メンバーに同じ HSRP グループ名を使用してください （クラスタを HSRP グループにバインドしない場合には、クラスタ コマンダおよびメンバーに異なる名前を使用できます）。
例
次の例では、 my_hsrp という名前の HSRP グループをクラスタにバインドする方法を示します。このコマンドは、クラスタ コマンド スイッチ上から実行します。
次の例では、同じ HSRP グループ名 my_hsrp を使用して、ルーティング冗長とクラスタ冗長を確立する方法を示します。
次の例では、このコマンドがクラスタ コマンド スイッチから実行され、指定された HSRP スタンバイ グループが存在しない場合のエラー メッセージを示します。
次の例では、このコマンドがクラスタ メンバー スイッチで実行された場合のエラー メッセージを示します。
設定を確認するには、 show cluster 特権 EXEC コマンドを入力します。出力は、クラスタ内の冗長性がイネーブルになったかどうかを示します。
関連コマンド
cluster timer
ハートビート メッセージ間の秒単位での間隔を指定するには、クラスタ コマンド スイッチ上で cluster timer グローバル コンフィギュレーション コマンドを使用します。デフォルト値の間隔を設定する場合は、このコマンドの no 形式を使用します。
cluster timer interval-in-secs
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドと cluster holdtime グローバル コンフィギュレーション コマンドは、クラスタ コマンド スイッチ上でのみ入力してください。クラスタ内のすべてのスイッチ間で設定の一貫性が保たれるように、クラスタ コマンド スイッチはこの値をそのすべてのクラスタ メンバーに伝達します。
ホールドタイムは通常ハートビート インターバル タイマー（ cluster timer ）の倍数として設定されます。たとえば、スイッチのダウンを宣言するまでには、「ホールド タイムをインターバル タイムで割った秒数」回のハートビート メッセージが連続して受信されなかったことになります。
例
次の例では、クラスタ コマンド スイッチでハートビート間隔のタイマーおよび期間を変更する方法を示します。
関連コマンド
|
|
|
|---|---|
copy logging onboard
オンボード障害ロギング（OBFL）データをローカル ネットワークまたは指定したファイル システムにコピーするには、スイッチ スタック上またはスタンドアロン スイッチ上で copy logging onboard 特権 EXEC コマンドを使用します。
copy logging onboard module stack-member destination
（注） このコマンドは、LAN Base イメージを実行している Catalyst 2960-S スイッチのみでサポートされています。
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、スタック メンバー 3 の OBFL データ メッセージをフラッシュ ファイル システム上の obfl_file ファイルにコピーする方法を示します。
関連コマンド
|
|
|
|---|---|
define interface-range
インターフェイス範囲マクロを作成するには、 define interface-range グローバル コンフィギュレーション コマンドを使用します。定義されたマクロを削除するには、このコマンドの no 形式を使用します。
define interface-range macro-name interface-range
no define interface-range macro-name interface-range
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
ある範囲内のすべてのインターフェイスは同じタイプ、つまり、すべてがファスト イーサネット ポート、すべてがギガビット イーサネット ポート、すべてが EtherChannel ポート、またはすべてが VLAN のいずれかでなければなりません。ただし、マクロ内では複数のインターフェイス タイプを組み合わせることができます。
interface-range を入力する場合は、次のフォーマットを使用します。
• type { first-interface } - { last-interface }
• interface-range を入力するときは、最初のインターフェイス番号とハイフンの間にスペースを入れます。たとえば、 gigabitethernet 0/1 - 2 であれば範囲は指定されますが、 gigabit ethernet 0/1 -2 では指定されません。
type と interface の有効値は次のとおりです。
• vlan vlan-id 、ここで、VLAN ID の範囲は 1 ～ 4094 です。
（注） コマンドライン インターフェイスには複数の VLAN ID を設定するオプションがありますが、サポートされていません。
VLAN インターフェイスは、 interface vlan コマンドで設定してください（ show running-config 特権 EXEC コマンドは、設定された VLAN インターフェイスを表示します）。 show running-config コマンドで表示されない VLAN インターフェイスは、 interface-range では使用できません。
• port-channel port-channel-number 、ここで、 port-channel-number は 1 ～ 6 です。
• fastethernet module/{ first port } - { last port }
• gigabitethernet stack member/module/{ first port } - { last port }
• stack member は、スタック内のスイッチ識別に使用する番号です。番号に指定できる範囲は 1 ～ 4 で、スタック メンバーの最初の初期化の際に、スイッチに割り当てられます。
（注） スタックは、LAN Base イメージを実行している Catalyst 2960-S スイッチのみでサポートされています。
• 使用可能範囲は、type stack member /0/number - number です（例：gigabitethernet 0/1/1 - 2）。
範囲を定義するときは、ハイフン（-）の前にスペースが必要です。次に例を示します。
複数の範囲を入力することもできます。複数の範囲を定義するときは、カンマ（,）の前の最初のエントリのあとにスペースが必要です。カンマのあとのスペースは任意になります。次に例を示します。
例
次の例では、複数のインターフェイス マクロを作成する方法を示します。
関連コマンド
|
|
|
|---|---|
定義されたマクロを含む現在の動作設定を表示します。構文情報については、「Cisco IOS Configuration Fundamentals Command Reference, Release 12.2」>「File Management Commands」>「Configuration File Management Commands」を選択してください。 |
delete
フラッシュ メモリ デバイス上のファイルまたはディレクトリを削除するには、 delete 特権 EXEC コマンドを使用します。
delete [ /force ] [/ recursive ] filesystem :/ file-url
シンタックスの説明
| スタック メンバーまたはマスターのスタック上のローカル フラッシュ ファイル システムの構文： スタック マスターから、スタック メンバー上のローカル フラッシュ ファイル システムの構文： |
|
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
/force キーワードを使用すると、削除プロセスにおいて削除の確認を要求するプロンプトが、最初の 1 回のみとなります。
/force キーワードを指定せずに /recursive キーワードを使用すると、ファイルごとに削除の確認を要求するプロンプトが表示されます。
プロンプト動作は、 file prompt グローバル コンフィギュレーション コマンドの設定によって異なります。デフォルトでは、スイッチは、破壊的なファイル操作に関する確認をプロンプトで要求します。このコマンドの詳細については、『 Cisco IOS Command Reference Release 12.1 』を参照してください。
例
次の例では、新しいイメージのダウンロードが正常に終了したあとに、古いソフトウェア イメージを含むディレクトリを削除する方法を示します。
ディレクトリが削除されたかどうかを確認するには、 dir filesystem : 特権 EXEC コマンドを使用します。
関連コマンド
|
|
|
|---|---|
deny（ARP アクセスリスト コンフィギュレーション）
DHCP バインディングと一致したアドレス解決プロトコル（ARP）パケットを拒否するには、 deny ARP アクセス リスト コンフィギュレーション コマンドを使用します。指定したアクセス コントロール エントリ（ACE）をアクセス リストから削除する場合は、このコマンドの no 形式を使用します。
deny {[ request ] ip { any | host sender-ip | sender-ip sender-ip-mask } mac { any | host sender-mac | sender-mac sender-mac-mask } | response ip { any | host sender-ip | sender-ip sender-ip-mask } [{ any | host target-ip | target-ip target-ip-mask }] mac { any | host sender-mac | sender-mac sender-mac-mask } [{ any | host target-mac | target-mac target-mac-mask }]} [ log ]
no deny {[ request ] ip { any | host sender-ip | sender-ip sender-ip-mask } mac { any | host sender-mac | sender-mac sender-mac-mask } | response ip { any | host sender-ip | sender-ip sender-ip-mask } [{ any | host target-ip | target-ip target-ip-mask }] mac { any | host sender-mac | sender-mac sender-mac-mask } [{ any | host target-mac | target-mac target-mac-mask }]} [ log ]
シンタックスの説明
（任意）ARP 要求の照合条件を定義します。request を指定しないと、すべての ARP パケットに対して照合が実行されます。 |
|
デフォルト
デフォルト値は設定されていません。ただし、ARP アクセス リストの末尾に暗黙的な deny ip any mac any コマンドが指定されています。
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、ARP アクセス リストを定義し、IP アドレス 1.1.1.1 および MAC アドレス 0000.0000.abcd のホストからの ARP 要求と ARP 応答をいずれも拒否する方法を示します。
関連コマンド
|
|
|
|---|---|
deny（MAC アクセス リスト コンフィギュレーション）
条件が一致した場合に非 IP トラフィックが転送されないようにするには、 deny MAC アクセス リスト コンフィギュレーション コマンドを使用します。拒否条件を名前付き MAC アクセス リストから削除する場合は、このコマンドの no 形式を使用します。
{ deny | permit } { any | host src-MAC-addr | src-MAC-addr mask } { any | host dst-MAC-addr | dst-MAC-addr mask } [ type mask | aarp | amber | cos cos | dec-spanning | decnet-iv | diagnostic | dsm | etype-6000 | etype-8042 | lat | lavc-sca | lsap lsap mask |mop-console | mop-dump | msdos | mumps | netbios | vines-echo | vines-ip | xns-idp ]
no { deny | permit } { any | host src-MAC-addr | src-MAC-addr mask } { any | host dst-MAC-addr | dst-MAC-addr mask } [ type mask | aarp | amber | cos cos | dec-spanning | decnet-iv | diagnostic | dsm | etype-6000 | etype-8042 | lat | lavc-sca | lsap lsap mask | mop-console | mop-dump | msdos | mumps | netbios | vines-echo | vines-ip | xns-idp ]
（注） このコマンドを使用するには、スイッチが LAN Base イメージを実行している必要があります。
シンタックスの説明
（注） appletalk は、コマンドラインのヘルプ ストリングには表示されていますが、一致条件としてはサポートされていません。
IPX トラフィックをフィルタリングするには、使用されている IPX カプセル化のタイプに応じて、 type mask または lsap lsap mask キーワードを使用します。 表 2-4 に、Novell 用語と Cisco IOS 用語での IPX カプセル化タイプに対応するフィルタ条件を一覧表示します。
|
|
|
|
|---|---|---|
|
|
|
|
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
mac access-list extended グローバル コンフィギュレーション コマンドを使用して、MAC アクセス リスト コンフィギュレーション モードを開始します。
host キーワードを使用した場合、アドレス マスクは入力できません。 host キーワードを使用しない場合は、アドレス マスクを入力する必要があります。
アクセス コントロール エントリ（ACE）がアクセス コントロール リストに追加された場合は、リストの末尾に暗黙的な deny - any - any 条件が存在します。つまり、一致がない場合にはパケットは拒否されます。ただし、最初の ACE が追加される前に、リストはすべてのパケットを許可します。
名前付き MAC 拡張アクセス リストの詳細については、このリリースに対応するソフトウェア コンフィギュレーション ガイドを参照してください。
例
次の例では、すべての送信元から MAC アドレス 00c0.00a0.03fa への NETBIOS トラフィックを拒否する名前付き MAC 拡張アクセス リストを定義する方法を示します。このリストに一致するトラフィックは拒否されます。
次の例では、名前付き MAC 拡張アクセス リストから拒否条件を削除する方法を示します。
次の例では、Ethertype 0x4321 のすべてのパケットを拒否します。
関連コマンド
|
|
|
|---|---|
diagnostic monitor
ヘルス モニタリング診断テストを設定するには、 diagnostic monitor グローバル コンフィギュレーション コマンドを使用します。テストをディセーブルにし、デフォルト設定に戻すには、このコマンドの no 形式を使用します。
diagnostic monitor switch { num } test { test-id | test-id-range | all }
diagnostic monitor interval switch { num } test { test-id | test-id-range | all } hh:mm:ss milliseconds day
diagnostic monitor threshold switch { num } test { test-id | test-id-range | all } count failure count
no diagnostic monitor switch { num } test { test-id | test-id-range | all }
no diagnostic monitor interval switch { num } test { test-id | test-id-range | all }
no diagnostic monitor threshold switch { num } test { test-id | test-id-range | all } failure coun t
（注） このコマンドは、LAN Base イメージを実行している Catalyst 2960-S スイッチのみでサポートされています。
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
• test-id ： テスト ID のリストを表示するには、 show diagnostic content 特権 EXEC コマンドを使用します。
• test-id-range ：テスト ID のリストを表示するには、 show diagnostic content コマンドを使用します。カンマおよびハイフンで区切られた整数で範囲を入力します（例：1,3-6 はテスト ID 1、3、4、5 および 6）。
• milliseconds ： ミリ秒（0 ～ 999）を入力します。
diagnostic monitor switch { num } test { test-id | test-id-range | all } コマンドを入力する場合は、次の注意事項に従ってください。
• すべての接続ポートをディセーブルにし、ネットワーク トラフィックを隔離します。テスト中はテスト パケットを送出できません。
• システムまたはテスト済みモジュールをリセットしたあとで、システムを通常の動作モードに戻します。
（注） スタック内のスイッチでリロード属性を持つ診断テストを実行している場合は、ケーブル配線の構成によってはスタックをパーティション化する可能性があります。スタックのパーティション化を回避するには、show switch detail 特権 EXEC コマンドを入力して、スタックの設定を確認します。
例
次の例では、2 分ごとに指定したテストを行うように設定する方法を示します。
Switch(config)# diagnostic monitor interval switch 1 test 1 00:02:00 0 1
次の例では、これまでヘルス モニタリングがイネーブルになっていなかった場合に、指定したスイッチでテストを実行する方法を示します。
Switch(config)# diagnostic monitor switch 1 test 1
次の例では、スイッチのテスト モニタリングの障害しきい値を設定する方法を示します。
Switch(config)# diagnostic monitor threshold switch 1 test 1 failure count 50
次の例では、ヘルス モニタリング テストが失敗した場合に Syslog メッセージの生成をイネーブルにする方法を示します。
Switch(config)# diagnostic monitor syslog
関連コマンド
|
|
|
|---|---|
diagnostic schedule
診断テストをスケジューリングするには、 diagnostic schedule 特権 EXEC コマンドを使用します。スケジューリングを削除し、デフォルト設定に戻す場合は、このコマンドの no 形式を使用します。
diagnostic schedule switch num test { test-id | test-id-range | all | basic | non-disruptive } { daily hh : mm | on mm dd yyyy hh : mm | weekly day-of-week hh : mm }
no diagnostic schedule switch num test { test-id | test-id-range | all | basic | non-disruptive } { daily hh : mm | on mm dd yyyy hh : mm | weekly day-of-week hh : mm }
（注） このコマンドは、LAN Base イメージを実行している Catalyst 2960-S スイッチのみでサポートされています。
シンタックスの説明
テストベースの診断タスクのスケジュール（日単位）を指定します。形式については、「使用上のガイドライン」を参照してください。 |
|
テストベースの診断タスクのスケジュール（週単位）を指定します。形式については、「使用上のガイドライン」を参照してください。 |
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
• test-id ： テスト ID のリストを表示するには、 show diagnostic content コマンドを使用します。
• test-id-range ：テスト ID のリストを表示するには、 show diagnostic content コマンドを使用します。カンマおよびハイフンで区切られた整数で範囲を入力します（例：1,3-6 はテスト ID 1、3、4、5 および 6）。
• hh : mm ： 2 桁の数字（24 時間表記）で時間および分を入力します。コロン（ : ）が必要です。
• mm ： January、February ～ December のように、月を入力します（大文字でも小文字でも可） 。
• day-of-week ： Monday、Tuesday ～ Sunday のように、曜日を入力します（大文字でも小文字でも可） 。
例
次の例では、指定したスイッチに対して指定した日時に診断テストを行うようスケジューリングする方法を示します。
次の例では、指定したスイッチに対して、毎週特定の時間に診断テストを行うようスケジューリングする方法を示します。
関連コマンド
|
|
|
|---|---|
diagnostic start
特定の診断テストを実行するには、 diagnostic start ユーザ コマンドを使用します。
diagnostic start switch num test { test-id | test-id-range | all | basic | non-disruptive }
（注） このコマンドは、LAN Base イメージを実行している Catalyst 2960-S スイッチのみでサポートされています。
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
テスト ID のリストを表示するには、 show diagnostic content コマンドを入力します。
test-id-range をカンマおよびハイフンで区切られた整数で入力します（例：1,3-6 はテスト ID 1、3、4、5、および 6）。
例
次の例では、指定したスイッチの診断テストを開始する方法を示します。
次の例では、通常のシステム動作を中断させる、スイッチの診断テスト 2 を開始する方法を示します。
テストによってスイッチのスタック接続が失われる可能性がある場合には、次のようなメッセージが表示されます。
テストによってスタックのパーティション化が発生する場合には、次のようなメッセージが表示されます。
関連コマンド
|
|
|
|---|---|
dot1x
IEEE 802.1x 認証をグローバルにイネーブルにするには、 dot1x グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
dot1x { critical { eapol | recovery delay milliseconds } | { guest-vlan supplicant } | system-auth-control }
no dot1x { critical { eapol | recovery delay } | { guest-vlan supplicant } | system-auth-control }
（注） credentials name キーワードは、コマンドラインのヘルプ ストリングには表示されますが、サポートされていません。
シンタックスの説明
アクセス不能な認証バイパス パラメータを設定します。詳細については、 dot1x critical（グローバル コンフィギュレーション） コマンドを参照してください。 |
|
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
critical { eapol | recovery delay milliseconds } キーワードが追加されました。 |
使用上のガイドライン
IEEE 802.1x 認証をグローバルにイネーブルにする前に、認証、認可、アカウンティング（AAA）をイネーブルにし、認証方式リストを指定する必要があります。方式リストには、ユーザの認証に使用する、順序と認証方式が記述されています。
スイッチの IEEE 802.1x 認証をグローバルにイネーブルにする前に、IEEE 802.1x 認証および EtherChannel が設定されているインターフェイスから EtherChannel の設定を削除します。
EAP-Transparent LAN Service（TLS）および EAP-MD5 で IEEE 802.1x を認証する Cisco Access Control Server（ACS）アプリケーションが稼動する装置を使用している場合、装置が ACS バージョン 3.2.1 以上で稼動していることを確認します。
スイッチでオプションの IEEE 802.1x ゲスト VLAN 動作をグローバルにイネーブルにするには、 guest-vlan supplicant キーワードを使用することもできます。詳細については、 dot1x guest-vlan コマンドを参照してください。
例
次の例では、スイッチで IEEE 802.1x 認証をグローバルにイネーブルにする方法を示します。
次の例では、スイッチでオプションのゲスト VLAN 動作をグローバルにイネーブルにする方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
dot1x auth-fail max-attempts
ポートが制限 VLAN に移行するまで許容できる最大認証試行回数を設定するには、 dot1x auth-fail max-attempts インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
dot1x auth-fail max-attempts max-attempts
no dot1x auth-fail max-attempts
（注） このコマンドを使用するには、スイッチが LAN Base イメージを実行している必要があります。
シンタックスの説明
ポートが制限 VLAN に移行するまでに許容される最大の認証試行回数を指定します。指定できる範囲は 1 ～ 3 です。デフォルト値は 3 です。 |
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
VLAN で許容される最大の認証試行回数を再設定する場合、変更内容は再認証タイマーが期限切れになったあとで反映されます。
例
次の例では、ポート 3 の制限 VLAN にポートが移行する前に許容される最大の認証試行回数を 2 に設定する方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
dot1x auth-fail vlan
ポートで制限 VLAN をイネーブルにするには、 dot1x auth-fail vlan インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
（注） このコマンドを使用するには、スイッチが LAN Base イメージを実行している必要があります。
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
次のように設定されたポートで制限 VLAN を設定できます。
再認証をイネーブルにする必要があります。ディセーブルになっていると、制限 VLAN のポートは再認証要求を受け取りません。再認証プロセスを開始するには、制限 VLAN がポートからリンクダウン イベントまたは Extensible Authentication Protocol（EAP）ログオフ イベントを受け取る必要があります。ホストがハブを介して接続されている場合、ホストが切断されているとポートがリンクダウン イベントを受け取ることができず、次の再認証試行が行われるまで新しいホストが検出されないことがあります。
サプリカントが認証に失敗すると、ポートは制限 VLAN に移行し、EAP 認証成功 メッセージがサプリカントに送信されます。サプリカントには実際の認証失敗が通知されないため、この制限ネットワーク アクセスに混乱が生じることがあります。EAP の成功メッセージは、次の理由で送信されます。
• EAP の成功メッセージが送信されない場合、サプリカントは 60 秒ごと（デフォルト）に EAP 開始メッセージを送信して認証を行おうとします。
• 一部のホスト（たとえば、Windows XP を実行中のデバイス）は、EAP の成功メッセージを受け取るまで Dynamic Host Configuration Protocol（DHCP）を実行できません。
サプリカントは、認証から EAP 成功メッセージを受け取ったあとに不正なユーザ名とパスワードの組み合わせをキャッシュし、再認証のたびにその情報を使用する可能性があります。サプリカントが正しいユーザ名とパスワードの組み合わせを送信するまで、ポートは制限 VLAN のままになります。
レイヤ 3 ポートに使用する内部 VLAN は、制限 VLAN として設定することはできません。
VLAN を制限 VLAN と音声 VLAN の両方に設定することはできません。そのように設定すると、syslog メッセージが生成されます。
制限 VLAN ポートが無許可ステートに移行すると、認証プロセスが再起動されます。サプリカントが再度認証プロセスに失敗すると、認証は保持ステートで待機します。サプリカントが正常に再認証されたあと、すべての IEEE 802.1x ポートが再初期化され、通常の IEEE 802.1x ポートとして扱われます。
制限 VLAN を異なる VLAN として再設定すると、制限 VLAN のポートも移行し、そのポートは現在認証されたステートのままになります。
制限 VLAN をシャットダウンするか VLAN データベースから削除すると、制限 VLAN のポートはただちに無許可ステートに移行し、認証プロセスが再起動します。制限 VLAN 設定がまだ存在するため、認証は保持ステートで待機しません。制限 VLAN が非アクティブである間も、制限 VLAN がアクティブになったときにポートがただちに制限 VLAN になるように、すべての認証試行がカウントされます。
制限 VLAN は、シングルホスト モード（デフォルトのポート モード）でのみサポートされます。このため、ポートが制限 VLAN に配置されると、サプリカントの MAC アドレスが MAC アドレス テーブルに追加され、ポートに表示される他の MAC アドレスがセキュリティ違反として扱われます。
例
次の例では、ポート 1 で制限 VLAN を設定する方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
dot1x control-direction
Wake-on-LAN（WoL）機能を搭載した IEEE 802.1x 認証をイネーブルにし、ポート制御を単一方向または双方向に設定するには、 dot1x control-direction インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
dot1x control-direction { both | in }
（注） このコマンドを使用するには、スイッチが LAN Base イメージを実行している必要があります。
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
デフォルト設定の双方向モードに戻すには、このコマンドの both キーワードまたは no 形式を使用します。
WoL の詳細については、ソフトウェア コンフィギュレーション ガイドの「Configuring IEEE802.1x Port-Based Authentication」の章の「Using IEEE 802.1x Authentication with Wake-on-LAN」を参照してください。
例
設定を確認するには、 show dot1x all 特権 EXEC コマンドを入力します。
show dot1x all 特権 EXEC コマンド出力は、ポート名とポートのステートを除き、すべてのスイッチで同一です。ホストがポートに接続されていてまだ認証されていない場合、次のように表示されます。
dot1x control-direction in インターフェイス コンフィギュレーション コマンドを入力して単一方向制御をイネーブルにする場合、これが show dot1x all コマンド出力で次のように表示されます。
dot1x control-direction in インターフェイス コンフィギュレーション コマンドを入力しても、設定の競合によりポートでこのモードをサポートできない場合、 show dot1x all コマンド出力で次のように表示されます。
関連コマンド
|
|
|
|---|---|
dot1x credentials（グローバル コンフィギュレーション）
サプリカント スイッチのプロファイルを設定するには、dot1x credentials グローバル コンフィギュレーション コマンドを使用します。
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、スイッチをサプリカントとして設定する方法を示します。
関連コマンド
|
|
|
|---|---|
dot1x critical（グローバル コンフィギュレーション）
アクセス不能な認証バイパス機能（クリティカル認証、または認証、認可、アカウンティング [AAA] 失敗ポリシーと呼ばれることもあります）のパラメータを設定するには、 dot1x critical グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
dot1x critical { eapol | recovery delay milliseconds }
no dot1x critical { eapol | recovery delay }
（注） このコマンドを使用するには、スイッチが LAN Base イメージを実行している必要があります。
シンタックスの説明
スイッチによりクリティカルなポートが critical-authentication ステートに置かれた場合、EAPOL-Success メッセージを送信するようスイッチを指定します。 |
|
デフォルト
クリティカルなポートを critical-authentication ステートに置くことによって認証に成功した場合に、スイッチは EAPOL-Success メッセージをホストに送信しません。
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
クリティカルなポートが critical-authentication ステートに置かれた場合、スイッチが EAPOL-Success メッセージを送信するよう指定するには、 eapol キーワードを使用します。
使用不能な RADIUS サーバが使用可能になった場合にスイッチがクリティカルなポートを再初期化するために待機するリカバリ遅延期間を設定するには、 recovery delay milliseconds キーワードを使用します。デフォルトのリカバリ遅延期間は 1000 ミリ秒です。ポートは、秒単位で再初期化できます。
アクセス不能な認証バイパスをポート上でイネーブルにするには、 dot1x critical インターフェイス コンフィギュレーション コマンドを使用します。スイッチがクリティカルなポートに割り当てるアクセス VLAN を設定するには、 dot1x critical vlan vlan-id インターフェイス コンフィギュレーション コマンドを使用します。
例
次の例では、リカバリ遅延期間として 200 をスイッチに設定する方法を示します。
関連コマンド
|
|
|
|---|---|
dot1x critical（インターフェイス コンフィギュレーション）
アクセス不能な認証バイパス機能（クリティカル認証、または認証、認可、アカウンティング [AAA] 失敗ポリシーと呼ばれることもあります）をイネーブルにするには、 dot1x critical インターフェイス グローバル コンフィギュレーション コマンドを使用します。ポートが critical-authentication ステートに置かれた場合にスイッチがクリティカルなポートに割り当てるアクセス VLAN を設定することもできます。この機能をディセーブルにするか、またはデフォルトに戻すには、このコマンドの no 形式を使用します。
dot1x critical [ recovery action reinitialize | vlan vlan-id ]
no dot1x critical [ recovery | vlan ]
（注） このコマンドを使用するには、スイッチが LAN Base イメージを実行している必要があります。
シンタックスの説明
アクセス不能な認証バイパスのリカバリ機能をイネーブルにし、認証サーバが使用可能になった場合にリカバリ アクションによりポートを認証するよう指定します。 |
|
スイッチがクリティカルなポートに割り当てることのできるアクセス VLAN を指定します。指定できる範囲は 1 ～ 4094 です。 |
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
ポートが critical-authentication ステートに置かれた場合にスイッチがクリティカルなポートに割り当てるアクセス VLAN を指定するには、 vlan vlan-id キーワードを使用します。指定された VLAN タイプは、以下のポート タイプに適合している必要があります。
• クリティカルなポートがアクセス ポートの場合、VLAN はアクセス VLAN でなければなりません。
• クリティカルなポートがプライベート VLAN のホスト ポートである場合、VLAN はセカンダリ プライベート VLAN でなければなりません。
• クリティカルなポートがルーテッド ポートの場合、VLAN を指定できます（指定は任意）。
クライアントで Windows XP を稼動し、クライアントが接続されているクリティカル ポートが critical-authentication ステートである場合、Windows XP はインターフェイスが認証されていないことを報告します。
Windows XP クライアントで DHCP が設定され、DHCP サーバからの IP アドレスがある場合、クリティカル ポートで EAP 認証成功メッセージを受信しても DHCP 設定プロセスを再初期化しません。
アクセス不能認証バイパス機能および制限 VLAN を IEEE802.1x ポート上に設定できます。スイッチが制限付き VLAN でクリティカル ポートの再認証を試行し、RADIUS サーバがすべて使用できない場合、ポートの状態はクリティカル認証ステートに移行し、ポートは制限付き VLAN のままとなります。
例
次の例では、ポートのアクセス不能認証バイパス機能をイネーブルにする方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
dot1x default
IEEE 802.1x パラメータをデフォルト値に戻すには、 dot1x default インターフェイス コンフィギュレーション コマンドを使用します。
シンタックスの説明
デフォルト
• ポート単位の IEEE 802.1x プロトコルのイネーブル ステートはディセーブルです（force-authorized）。
コマンド モード
コマンドの履歴
|
|
|
|---|---|
例
次の例では、ポート上の IEEE 802.1x パラメータをリセットする方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
dot1x fallback
クライアントが IEEE 802.1x 認証をサポートしていない場合のフォールバック方式として Web 認証を使用するようにポートを設定するには、 dot1xfallback インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドを入力する前に、スイッチで dot1x port-control auto インターフェイス コンフィギュレーション コマンドを入力する必要があります。
例
次の例では、IEEE 802.1x 認証用に設定されているスイッチ ポートにフォールバック プロファイルを指定する方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
dot1x guest-vlan
アクティブな VLAN を IEEE 802.1x のゲスト VLAN として指定するには、 dot1x guest-vlan インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
シンタックスの説明
アクティブ VLAN を IEEE 802.1x ゲスト VLAN として指定します。指定できる範囲は 1 ～ 4094 です。 |
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
次のいずれかのスイッチポートにゲスト VLAN を設定できます。
• 非プライベート VLAN に属するスタティックアクセス ポート。
• セカンダリ プライベート VLAN に属するプライベート VLAN ポート。スイッチ ポートに接続されるすべてのホストは、端末状態の妥当性の評価に成功したかどうかにかかわらず、プライベート VLAN に割り当てられます。スイッチが、スイッチのプライマリおよびセカンダリ プライベート VLAN の対応付けを使用してプライマリ プライベート VLAN を判別します。
スイッチの IEEE 802.1x ポートごとにゲスト VLAN を設定して、現在 IEEE 802.1x 認証を実行していないクライアント（スイッチに接続されているデバイスまたはワークステーション）へのサービスを制限できます。こうしたユーザは IEEE 802.1x 認証のためにシステムをアップグレードできますが、Windows 98 システムなどのホストでは IEEE 802.1x に対応できません。
IEEE 802.1x ポートでゲスト VLAN をイネーブルにした場合、認証サーバが Extensible Authentication Protocol over LAN（EAPOL）Request/Identity フレームに対する応答を受信しないと、あるいは EAPOL パケットがクライアントから送信されないと、スイッチではクライアントをゲスト VLAN に割り当てます。
スイッチは、EAPOL パケット履歴を保持します。リンクの存続時間内に別の EAPOL パケットがインターフェイス上で検出された場合、ゲスト VLAN 機能はディセーブルになります。ポートがすでにゲスト VLAN ステートにある場合、ポートは無許可ステートに戻り、認証が再開されます。 EAPOL 履歴はリンクの損失でリセットされます。
スイッチ ポートがゲスト VLAN に移行すると、IEEE 802.1x 非対応クライアントはいくつでもアクセスが許可されます。IEEE 802.1x 対応クライアントが、ゲスト VLAN を設定しているポートと同じポートに加入すると、ポートは RADIUS 設定 VLAN またはユーザ設定アクセス VLAN では無許可ステートに移行し、認証が再開されます。
ゲスト VLAN は、単一ホスト モードおよび複数ホスト モードの IEEE 802.1x ポート上でサポートされます。
リモート スイッチド ポート アナライザ（RSPAN）VLAN、音声 VLAN 以外のアクティブなすべての VLAN は、IEEE 802.1x のゲスト VLAN として設定できます。ゲスト VLAN の機能は、トランク ポート上ではサポートされません。サポートされるのはアクセス ポートのみです。
DHCP クライアントが接続されている IEEE 802.1x ポートのゲスト VLAN を設定したあと、DHCP サーバからホスト IP アドレスを取得する必要があります。クライアント上の DHCP プロセスが時間切れとなり DHCP サーバからホスト IP アドレスを取得しようとする前に、スイッチ上の IEEE 802.1x 認証プロセスを再起動する設定を変更できます。IEEE 802.1x 認証プロセスの設定を減らします（ dot1x timeout quiet-period および dot1x timeout tx-period インターフェイス コンフィギュレーション コマンド）。設定の減少量は、接続された IEEE 802.1x クライアントのタイプによって異なります。
このスイッチは、 MAC 認証バイパスをサポートしています 。MAC 認証バイパスは IEEE 802.1x ポートでイネーブルの場合、スイッチは、EAPOL メッセージ交換を待機している間に IEEE802.1x 認証が期限切れになると、クライアントの MAC アドレスに基づいてクライアントを許可できます。スイッチは、IEEE 802.1x ポート上のクライアントを検出したあとで、クライアントからのイーサネット パケットを待機します。スイッチは、MAC アドレスに基づいたユーザ名およびパスワードを持つ RADIUS-access/request フレームを認証サーバに送信します。認証に成功すると、スイッチはクライアントにネットワークへのアクセスを許可します。認証に失敗すると、スイッチはポートにゲスト VLAN を割り当てます（指定されていない場合）。詳細については、ソフトウェア コンフィギュレーション ガイドの「Configuring IEEE 802.1x Port-Based Authentication」の章の「Using IEEE 802.1x Authentication with MAC Authentication Bypass」を参照してください。
例
次の例では、VLAN 5 を IEEE 802.1x ゲスト VLAN として指定する方法を示します。
次の例では、スイッチの待機時間を 3 秒に設定し、スイッチが EAP-Request/Identity フレームに対するクライアントからの応答を待ち、要求を再送信するまでの秒数を 15 に設定する方法、および IEEE 802.1x ポートが DHCP クライアントに接続されているときに VLAN 2 を IEEE 802.1x ゲスト VLAN としてイネーブルにする方法を示します。
次の例では、オプションのゲスト VLAN の動作をイネーブルにし、VLAN 5 を IEEE 802.1x ゲスト VLAN として指定する方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
dot1x host-mode
IEEE 802.1x 許可ポート上で単一のホスト（クライアント）または複数のホストを許可するには、 dot1x host-mode インターフェイス コンフィギュレーション コマンドを使用します。IEEE 802.1x 許可ポート上で Multidomain Authentication（MDA; マルチドメイン認証）をイネーブルにするには、multi-domain キーワードを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
dot1x host-mode { multi-host | single-host | multi-domain }
no dot1x host-mode [ multi-host | single-host | multi-domain }
シンタックスの説明
スイッチ ポート上で MDA をイネーブルにします。このキーワードを使用できるのは、スイッチが LAN Base イメージを実行している場合だけです。 |
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドを使用すると、IEEE 802.1x 対応ポートを単一のクライアントに限定したり、複数のクライアントを IEEE 802.1x 対応ポートに接続したりすることができます。マルチホスト モードでは、接続されたホストのうち 1 つが許可されれば、すべてのホストのネットワーク アクセスが許可されます。ポートが無許可ステートになった場合（再認証が失敗した場合、または Extensible Authentication Protocol over LAN [EAPOL]-Logoff メッセージを受信した場合）には、接続されたすべてのクライアントがネットワーク アクセスを拒否されます。
ポート上で MDA をイネーブルにするには、multi-domain キーワードを使用します。MDA により、ポートがデータ ドメインと音声ドメインに振り分けられます。MDA では、同じ IEEE 802.1x 対応ポート上でデータ デバイスと IP Phone などの音声デバイス（Cisco 製または他社製）を同時に使用できます。
このコマンドを入力する前に、指定のポートに対して dot1x port-control インターフェイス コンフィギュレーション コマンドが auto に設定されていることを確認します。
例
次の例では、IEEE 802.1x 認証をグローバルにイネーブルにして、ポートの IEEE 802.1x 認証をイネーブルにし、マルチホスト モードをイネーブルにする方法を示します。
次の例では、IEEE 802.1x 認証をグローバルにイネーブルにし、IEEE 802.1x 認証をイネーブルにし、指定したポートで MDA をイネーブルにする方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
dot1x initialize
ポート上で新しく認証セッションを開始する前に、指定の IEEE 802.1x 対応ポートを無許可ステートに手動で戻すには、 dot1x initialize 特権 EXEC コマンドを使用します。
dot1x initialize [ interface interface-id ]
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、IEEE 802.1x ステート マシンを初期化し、新たな認証環境を設定します。このコマンドを入力したあと、ポートの状態は無許可になります。
例
ポート ステータスが無許可になっていることを確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
dot1x mac-auth-bypass
MAC 認証バイパス機能をイネーブルにするには、 dot1x mac-auth-bypass インターフェイス コンフィギュレーション コマンドを使用します。MAC 認証バイパス機能をディセーブルにするには、このコマンドの no 形式を使用します。
dot1x mac-auth-bypass [ eap | timeout inactivity value ]
シンタックスの説明
（任意）認証に Extensible Authentication Protocol（EAP）を使用するようスイッチを設定します。 |
|
（任意）接続されたホストが無許可ステートになる前に非アクティブである秒数を設定します。指定できる範囲は 1 ～ 65535 です。 |
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
特に言及されないかぎり、MAC 認証バイパス機能の使用上のガイドラインは IEEE802.1x 認証の使用上のガイドラインと同じです。
ポートが MAC アドレスで認証されたあとで、ポートから MAC 認証バイパス機能をディセーブルにした場合、ポート ステートには影響ありません。
ポートが未許可ステートであり、クライアント MAC アドレスが認証サーバ データベースにない場合、ポートは未許可ステートのままです。ただし、クライアント MAC アドレスがデータベースに追加されると、スイッチは MAC 認証バイパス機能を使用してポートを再認証できます。
ポートが認証ステートにない場合、再認証が行われるまでポートはこのステートを維持します。
リンクのライフタイム中に EAPOL パケットがインターフェイス上で検出された場合、スイッチは、そのインターフェイスに接続されているデバイスが IEEE 802.1x 対応サプリカントであることを確認し、（MAC 認証バイパス機能ではなく）IEEE 802.1x 認証を使用してインターフェイスを認証します。
MAC 認証バイパスで認証されたクライアントは再認証できます。
MAC 認証バイパスと IEEE 802.lx 認証の相互作用の詳細については、ソフトウェア コンフィギュレーション ガイドの「Configuring IEEE 802.1x Port-Based Authentication」の章の「Understanding IEEE 802.1x Authentication with MAC Authentication Bypass」および「IEEE 802.1x Authentication Configuration Guidelines」を参照してください。
例
次の例では、MAC 認証バイパスをイネーブルにし、認証に EAP を使用するようスイッチを設定する方法を示します。
次の例では、MAC 認証バイパスをイネーブルにし、接続されたホストが 30 秒間非アクティブである場合にタイムアウトを設定する方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
dot1x max-reauth-req
ポートが無許可ステートに変わるまでスイッチが認証プロセスを再起動する上限回数を設定するには、 dot1x max-reauth-req インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドのデフォルト値は、リンクの信頼性が低下した場合や、特定のクライアントおよび認証サーバの動作に問題がある場合など、異常な状況に対する調整を行う必要があるときに限って変更してください。
例
次の例では、ポートが無許可ステートに移行する前に、スイッチが認証プロセスを再起動する回数を 4 に設定する方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
スイッチが認証プロセスを再起動する前に、EAP フレームを認証サーバに送信する最高回数を設定します（応答を受信しないと仮定）。 |
|
スイッチが EAP-Request/Identity フレームに対するクライアントからの応答を待ち、要求を再送信するまでの秒数を設定します。 |
|
dot1x max-req
認証プロセスを再起動するまでスイッチが Extensible Authentication Protocol（EAP）フレームを認証サーバからクライアントに送信する上限回数を設定するには（応答を受信しないと仮定）、 dot1x max-req インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
シンタックスの説明
スイッチが EAPOL DATA パケットの再送信を試みる回数。この回数に達すると、認証プロセスが再起動されます。たとえば、認証プロセスの途中にサプリカントがあって問題が発生した場合、オーセンティケータがデータ要求を 2 回再送信し、応答がなければプロセスを中止します。指定できる範囲は 1 ～ 10 であり、デフォルト値は 2 です。 |
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドのデフォルト値は、リンクの信頼性が低下した場合や、特定のクライアントおよび認証サーバの動作に問題がある場合など、異常な状況に対する調整を行う必要があるときに限って変更してください。
例
次の例では、認証プロセスを再起動する前に、スイッチが EAP フレームを認証サーバからクライアントに送信する回数を 5 回に設定する方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
スイッチが EAP-Request/Identity フレームに対するクライアントからの応答を待ち、要求を再送信するまでの秒数を設定します。 |
|
dot1x pae
IEEE 802.1x Port Access Entity（PAE）オーセンティケータとしてポートを設定するには、 dot1x pae インターフェイス コンフィギュレーション コマンドを使用します。IEEE 802.1x 認証をポート上でディセーブルにするには、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
ポートは IEEE 802.1x PAE オーセンティケータではありません。IEEE 802.1x 認証はポート上でディセーブルです。
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
IEEE 802.1x 認証をポート上でディセーブルにする場合は、このコマンドの no dot1x pae 形式を使用します。
dot1x port-control インターフェイス コンフィギュレーション コマンドを入力するなどしてポート上で IEEE 802.1x 認証を設定した場合、スイッチは自動的にポートを IEEE 802.1x オーセンティケータとして設定します。オーセンティケータの PAE 動作は、 no dot1x pae インターフェイス コンフィギュレーション コマンドを入力したあとでディセーブルになります。
例
次の例では、ポートの IEEE 802.1x 認証をディセーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
dot1x port-control
ポートの許可ステートの手動制御をイネーブルにするには、 dot1x port-control インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
dot1x port-control { auto | force-authorized | force-unauthorized }
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
特定のポートの IEEE 802.1x 認証をイネーブルにする前に、 dot1x system-auth-control グローバル コンフィギュレーション コマンドを使用して、スイッチの IEEE 802.1x 認証をグローバルにイネーブルにする必要があります。
IEEE 802.1x 標準は、レイヤ 2 スタティック アクセス ポートと音声 VLAN ポートでサポートされます。
ポートが、次の項目の 1 つとして設定されていない場合に auto キーワードを使用することができます。
• トランク ポート：トランク ポートで IEEE 802.1x 認証をイネーブルにしようとすると、エラー メッセージが表示され、IEEE 802.1x はイネーブルになりません。IEEE 802.1x 対応ポートのモードをトランクに変更しようとしても、エラー メッセージが表示され、ポート モードは変更されません。
• ダイナミック ポート：ダイナミック モードのポートは、ネイバーとトランク ポートへの変更をネゴシエートする場合があります。ダイナミック ポートで IEEE 802.1x 認証をイネーブルにしようとすると、エラー メッセージが表示され、IEEE 802.1x 認証はイネーブルになりません。IEEE 802.1x 対応ポートのモードをダイナミックに変更しようとしても、エラー メッセージが表示され、ポート モードは変更されません。
• ダイナミック アクセス ポート：ダイナミック アクセス（VLAN Query Protocol [VQP]）ポートで IEEE 802.1x 認証をイネーブルにしようとすると、エラー メッセージが表示され、IEEE 802.1x 認証はイネーブルになりません。IEEE 802.1x 対応ポートを変更してダイナミック VLAN を割り当てようとしても、エラー メッセージが表示され、VLAN 設定は変更されません。
• EtherChannel ポート：アクティブまたはアクティブでない EtherChannel メンバーを IEEE 802.1x ポートとして設定しないでください。EtherChannel ポートで IEEE 802.1x 認証をイネーブルにしようとすると、エラー メッセージが表示され、IEEE 802.1x 認証はイネーブルになりません。
• スイッチド ポート アナライザ（SPAN）およびリモート SPAN（RSPAN）宛先ポート：SPAN または RSPAN 宛先ポートであるポートの IEEE 802.1x 認証をイネーブルにすることができます。ただし、そのポートが SPAN または RSPAN 宛先として削除されるまで、IEEE 802.1x 認証はディセーブルのままです。SPAN または RSPAN 送信元ポートでは IEEE 802.1x 認証をイネーブルにすることができます。
スイッチの IEEE 802.1x 認証をグローバルにディセーブルにするには、 no dot1x system-auth-control グローバル コンフィギュレーション コマンドを使用します。特定のポートの IEEE 802.1x 認証をディセーブルにするには、 no dot1x port-control インターフェイス コンフィギュレーション コマンドを使用します。
例
次の例では、ポートの IEEE 802.1x 認証をイネーブルにする方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
dot1x re-authenticate
指定の IEEE 802.1x 対応ポートの再認証を手動で開始するには、 dot1x re-authenticate 特権 EXEC コマンドを使用します。
dot1x re-authenticate [ interface interface-id ]
（注） スタックは、LAN Base イメージを実行している Catalyst 2960-S スイッチのみでサポートされています。
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドを使用すると、再認証試行間隔（re-authperiod）および自動再認証の設定秒数を待たずにクライアントを再認証できます。
例
次の例では、ポートに接続されたデバイスを手動で再認証する方法を示します。
関連コマンド
|
|
|
|---|---|
dot1x reauthentication
クライアントの定期的な再認証をイネーブルにするには、 dot1x reauthentication インターフェイス コンフィギュレーション コマンドを使用します。 デフォルト設定に戻すには、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
dot1x timeout reauth-period インターフェイス コンフィギュレーション コマンドを使用して、定期的な再認証の試行間隔を設定します。
例
次の例では、クライアントの定期的な再認証をディセーブルにする方法を示します。
次の例では、定期的な再認証をイネーブルにし、再認証の間隔を 4000 秒に設定する方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
dot1x supplicant force-multicast
サプリカント スイッチに、マルチキャストまたはユニキャスト EAPOL パケットを受信したときには必ず強制的にマルチキャスト Extensible Authentication Protocol over LAN（EAPOL）パケットだけを送信させるには、 dot1x supplicant force-multicast グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
dot1x supplicant force-multicast
no dot1x supplicant force-multicast
シンタックスの説明
デフォルト
サプリカント スイッチは、ユニキャスト EAPOL パケットを受信した場合には、ユニキャスト EAPOL パケットを送信します。同様に、マルチキャスト EAPOL パケットを受信した場合には、マルチキャスト EAPOL パケットを送信します。
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
Network Edge Access Topology（NEAT）がすべてのホスト モードで機能するようにするには、サプリカント スイッチ上でこのコマンドをイネーブルにします。
例
次の例では、サプリカント スイッチからオーセンティケータ スイッチに強制的にマルチキャスト EAPOL パケットを送信させる方法を示します。
関連コマンド
|
|
|
|---|---|
スイッチ上での Client Information Signalling Protocol（CISP）をイネーブルにして、スイッチがサプリカント スイッチに対してオーセンティケータとして機能するようにします。 |
|
dot1x test eapol-capable
すべてのスイッチ ポート上の IEEE 802.1x アクティビティを監視し、IEEE 802.1x をサポートしているポートに接続されたデバイスに関する情報を表示するには、 dot1x test eapol-capable 特権 EXEC コマンドを使用します。
dot1x test eapol-capable [ interface interface-id ]
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
スイッチ上のすべてのポートまたは特定のポートに接続された装置の IEEE 802.1x 機能のテストを実行するには、このコマンドを使用します。
例
次の例では、スイッチ上の IEEE 802.1x 準備状態チェックをイネーブルにして、ポートを照会する方法を示します。この例では、接続された装置が IEEE 802.1x 対応であることを確認する（照会したポートから受け取った）応答も示します。
関連コマンド
|
|
|
|---|---|
dot1x test timeout timeout |
dot1x test timeout
IEEE 802.1x 準備状態を照会しているポートからの EAPOL 応答の待機に使用されるタイムアウトを設定するには、 dot1x test timeout グローバル コンフィギュレーション コマンドを使用します。
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、EAPOL 応答に 27 秒間待機するようにスイッチを設定する方法を示します。
関連コマンド
|
|
|
|---|---|
すべてまたは指定した IEEE 802.1x 対応ポートに接続された装置の IEEE 802.1x 準備状態をチェックします。 |
dot1x timeout
IEEE 802.1x タイマーを設定するには、 dot1x timeout インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
dot1x timeout { quiet-period seconds | ratelimit-period seconds | reauth-period { seconds | server } | server-timeout seconds | supp-timeout seconds | tx-period seconds }
no dot1x timeout { quiet-period | reauth-period | server-timeout | supp-timeout | tx-period }
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
tx-period キーワードの範囲が変更され、 reauth-period server キーワードが追加されました。 |
|
使用上のガイドライン
このコマンドのデフォルト値は、リンクの信頼性が低下した場合や、特定のクライアントおよび認証サーバの動作に問題がある場合など、異常な状況に対する調整を行う必要があるときに限って変更してください。
dot1x reauthentication インターフェイス コンフィギュレーション コマンドを使用して定期的な再認証をイネーブルにしただけの場合、 dot1x timeout reauth-period インターフェイス コンフィギュレーション コマンドは、スイッチの動作に影響します。
待機時間の間、スイッチはどのような認証要求も受け付けず、開始もしません。デフォルトよりも小さい値を入力することによって、ユーザへの応答時間を短縮できます。
ratelimit-period が 0（デフォルト）に設定された場合、スイッチは認証に成功したクライアントからの EAPOL パケットを無視し、それらを RADIUS サーバに転送します。
例
次の例では、定期的な再認証をイネーブルにし、再認証の間隔を 4000 秒に設定する方法を示します。
次の例では、定期的な再認証をイネーブルにし、再認証の間隔としてセッションタイムアウト RADIUS 属性の値を指定する方法を示します。
次の例では、スイッチの待機時間を 30 秒に設定する方法を示します。
次の例では、スイッチから認証サーバへの再送信時間を 45 秒に設定する方法を示します。
次の例では、EAP request フレームに対するスイッチからクライアントへの再送信時間を 45 秒に設定する方法を示します。
次の例では、EAP-Request/Identity フレームに対するクライアントからの応答を待ち、要求を再送信するまでの時間を 60 秒に設定する方法を示します。
次の例では、認証に成功したクライアントからの EAPOL パケットをスイッチが無視する秒数を 30 と設定する方法を示します。
関連コマンド
|
|
|
|---|---|
スイッチが、認証プロセスを再始動する前に、EAP-Request/Identity フレームを送信する最高回数を設定します。 |
|
dot1x violation-mode
新しいデバイスがポートに接続された場合、またはすでに最大数のデバイスがポートに接続されている状態で新しいデバイスがそのポートに接続された場合に適用される違反モードを設定するには、 dot1x violation-mode インターフェイス コンフィギュレーション コマンドを使用します。
dot1x violation-mode {shutdown | restrict | protect}
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
例
次の例では、IEEE 802.1x 対応ポートを errdisable として設定し、新しい装置がポートに接続されたときにシャットダウンする方法を示します。
次の例では、新しい装置がポートに接続されるときに、IEEE 802.1x 対応ポートがシステム エラー メッセージを生成し、ポートを制限モードに変更する方法を示します。
次の例では、新しい装置がポートに接続されるときに無視するように、IEEE 802.1x 対応ポートを設定する方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
duplex
ポートがデュプレックス モードで動作するように指定するには、 duplex インターフェイス コンフィギュレーション コマンドを使用します。ポートをデフォルト値に戻すには、このコマンドの no 形式を使用します。
シンタックスの説明
自動によるデュプレックス設定をイネーブルにします（接続されたデバイス モードにより、ポートが自動的に全二重モードか半二重モードかを判断します）。 |
|
半二重モードをイネーブルにします（10 または 100 Mb/s で動作するインターフェイス用のみ）。1000 または 10000 Mb/s で動作するインターフェイスに対して半二重モードを設定できません。 |
デフォルト
ファスト イーサネット ポートおよびギガビット イーサネット ポートに対するデフォルトは auto です。
100BASE- x （- x は -BX、-FX、-FX-FE、または -LX）SFP モジュールのデフォルトは full です。
二重オプションは、1000BASE- x （- x は -BX、-CWDM、-LX、-SX、または -ZX）SFP モジュールではサポートされていません。
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
ファスト イーサネット ポートでは、接続されたデバイスがデュプレックス パラメータの自動ネゴシエーションを実行しない場合、ポートを auto に設定すると、 half を指定するのと同じ効果があります。
ギガビット イーサネット ポートでは、接続装置がデュプレックス パラメータを自動ネゴシエートしないときにポートを auto に設定すると、 full を指定する場合と同じ効果があります。
（注） デュプレックス モードが auto で接続されている装置が半二重で動作している場合、半二重モードはギガビット イーサネット インターフェイスでサポートされます。ただし、これらのインターフェイスを半二重モードで動作するように設定することはできません。
特定のポートを全二重または半二重のどちらかに設定できます。このコマンドの適用可能性は、スイッチが接続されているデバイスによって異なります。
両方のラインの終端が自動ネゴシエーションをサポートしている場合、デフォルトの自動ネゴシエーションを使用することを強く推奨します。片方のインターフェイスが自動ネゴシエーションをサポートし、もう片方がサポートしていない場合、両方のインターフェイス上でデュプレックスと速度を設定し、サポートされている側で auto の設定を使用してください。
速度が auto に設定されている場合、スイッチはリンクの反対側のデバイスと速度設定についてネゴシエートし、速度をネゴシエートされた値に強制的に設定します。デュプレックス設定はリンクの両端での設定が引き継がれますが、これにより、デュプレックス設定に矛盾が生じることがあります。
デュプレックス設定を実行できるのは、速度が auto に設定されている場合です。
スイッチの速度パラメータとデュプレックス パラメータの設定に関する注意事項については、このリリースに対応するソフトウェア コンフィギュレーション ガイドの「Configuring Interface Characteristics」の章を参照してください。
例
次の例では、インターフェイスを全二重動作に設定する方法を示します。
関連コマンド
|
|
|
|---|---|
errdisable detect cause
特定の原因、またはすべての原因に対して、errdisable 検出をイネーブルにするには、 errdisable detect cause グローバル コンフィギュレーション コマンドを使用します。errdisable 検出機能をディセーブルにする場合は、このコマンドの no 形式を使用します。
errdisable detect cause { all | bpduguard | dhcp-rate-limit | dtp-flap | gbic-invalid | inline-power | link-flap | loopback | pagp-flap | security-violation shutdown vlan | sfp-config-mismatch }
no errdisable detect cause { all | bpduguard | dhcp-rate-limit | dtp-flap | gbic-invalid | inline-power | link-flap | loopback | pagp-flap | security-violation shutdown vlan | sfp-config-mismatch }
BPDU ガード機能とポート セキュリティ機能では、このコマンドを使用すると、違反が発生した場合にポート全体をシャットダウンするのではなく、ポートで問題となっている VLAN だけをシャットダウンするようにスイッチをグローバルに設定できます。
VLAN ごとに errdisable 機能をオフにしていて BPDU ガード違反が発生した場合は、ポート全体がディセーブルになります。VLAN ごとに errdisable 機能をディセーブルにするには、このコマンドの no 形式を使用します。
errdisable detect cause bpduguard shutdown vlan
no errdisable detect cause bpduguard shutdown vlan
シンタックスの説明
コマンドのデフォルト
検出はすべての原因に対してイネーブルです。すべての原因について、ポート全体をシャットダウンするよう設定されます（Per-VLAN errdisable の場合を除く）。
コマンド モード
コマンドの履歴
|
|
|
|---|---|
VLAN ごとのエラー検出機能が追加されました。 inline-power キーワードおよび sfp-config-mismatch キーワードが追加されました。 |
|
使用上のガイドライン
原因（link-flap、 dhcp-rate-limit など）は、errdisable ステートが発生した理由です。原因がポートで検出された場合、ポートは errdisable ステート（リンクダウン ステートに類似した動作ステート）となります。
ポートが errdisable になっているときは事実上シャットダウンし、トラフィックはポートで送受信されません。BPDU、音声認識 802.1x セキュリティ、ガード機能およびポートセキュリティ機能の場合は、違反の発生時にポート全体をシャットダウンする代わりに、ポートで問題となっている VLAN のみをシャットダウンするようにスイッチを設定できます。
原因に対して errdisable recovery グローバル コンフィギュレーション コマンドを入力して、原因の回復メカニズムを設定する場合は、すべての原因がタイムアウトになった時点で、ポートは errdisable ステートから抜け出して、処理を再試行できるようになります。回復メカニズムを設定しない場合は、まず shutdown コマンドを入力し、次に no shutdown コマンドを入力して、ポートを手動で errdisable ステートから回復させる必要があります。
例
次の例では、リンクフラップ errdisable 原因の errdisable 検出をイネーブルにする方法を示します。
Switch(config)# errdisable detect cause link-flap
次のコマンドでは、VLAN ごとの errdisable で BPDU ガードをグローバルに設定する方法を示します。
Switch(config)# errdisable detect cause bpduguard shutdown vlan
次のコマンドは、音声認識 802.1x セキュリティを Per-VLAN errdisable に対してグローバルに設定する方法を示します。
Switch(config)# errdisable detect cause security-violation shutdown vlan
関連コマンド
|
|
|
|---|---|
VLAN ごとの errdisable 機能によって errdisable になったポートまたは VLAN から errdisable ステートをクリアします。 |
errdisable detect cause small-frame
着信 VLAN タグ付きパケットが小さいフレーム（67 バイト以下）であり、設定された最小レート（しきい値）で到着した場合にスイッチ ポートを errdisable にするには、errdisable detect cause small-frame グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
errdisable detect cause small-frame
no errdisable detect cause small-frame
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、小さいフレームの着信機能をグローバルにイネーブルにします。各ポートのしきい値を設定するには、small violation-rate インターフェイス コンフィギュレーション コマンドを使用します。
errdisable recovery cause small-frame グローバル コンフィギュレーション コマンドを使用して、ポートが自動的に再びイネーブルになるように設定できます。errdisable recovery interval interval グローバル コンフィギュレーション コマンドを使用して、回復時間を設定します。
例
次の例では、小さい着信フレームが設定されたしきい値で着信する場合に、スイッチ ポートを errdisable にする方法を示します。
関連コマンド
|
|
|
|---|---|
errdisable recovery cause small-frame
小さいフレームの到着によって errdisable になったポートを自動的に再イネーブルにする回復タイマーをイネーブルにするには、スイッチ上で errdisable recovery cause small-frame グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
errdisable recovery cause small-frame
no errdisable recovery cause small-frame
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、errdisable ポートの回復タイマーをイネーブルにします。errdisable recovery interval interval インターフェイス コンフィギュレーション コマンドを使用して、回復時間を設定します。
例
関連コマンド
|
|
|
|---|---|
着信フレームが設定された最小サイズより小さく、指定されたレート（しきい値）で着信する場合に、スイッチ ポートが errdisable ステートになるようにします。 |
|
errdisable recovery
回復メカニズム変数を設定するには、 errdisable recovery グローバル コンフィギュレーション コマンドを設定します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
errdisable recovery { cause { all | bpduguard | channel-misconfig | dhcp-rate-limit | dtp-flap | gbic-invalid | inline-power | link-flap | loopback | pagp-flap | psecure-violation | security-violation | sfp-mismatch | udld | vmps } | { interval interval }
no errdisable recovery { cause { all | bpduguard | channel-misconfig | dhcp-rate-limit | dtp-flap | gbic-invalid | inline-power | link-flap | loopback | pagp-flap | psecure-violation | security-violation | sfp-mismatch | udld | vmps } | { interval interval }
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
VLAN ごとのエラー検出機能が追加されました。inline-power キーワードおよび sfp-mismatch キーワードが追加されました。 |
使用上のガイドライン
原因（ link-flap や bpduguard など）は、errdisable ステートが発生した理由として定義されます。原因がポートで検出された場合、ポートは errdisable ステート（リンクダウン ステートに類似した動作ステート）となります。
ポートが errdisable になっているときは事実上シャットダウンし、トラフィックはポートで送受信されません。BPDU ガード機能およびポートセキュリティ機能の場合は、違反の発生時にポート全体をシャットダウンする代わりに、ポートで問題となっている VLAN のみをシャットダウンするようにスイッチを設定できます。
その原因に対して errdisable の回復をイネーブルにしない場合、ポートは、 shutdown および no shutdown インターフェイス コンフィギュレーション コマンドが入力されるまで errdisable ステートのままです。原因の回復をイネーブルにした場合、ポートは errdisable ステートから回復し、すべての原因がタイムアウトになったときに処理を再開できるようになります。
原因の回復をイネーブルにしない場合、まず shutdown コマンドを入力し、次に no shutdown コマンドを入力して、手動でポートを errdisable ステートから回復させる必要があります。
例
次の例では、BPDU ガード errdisable 原因に対して回復タイマーをイネーブルにする方法を示します。
Switch(config)# errdisable recovery cause bpduguard
次の例では、タイマーを 500 秒に設定する方法を示します。
関連コマンド
|
|
|
|---|---|
VLAN ごとの errdisable 機能によって errdisable になったポートまたは VLAN から errdisable ステートをクリアします。 |
exception crashinfo
Cisco IOS イメージでエラーが発生した場合に拡張クラッシュ情報ファイルを作成するようにスイッチを設定するには、 exception crashinfo グローバル コンフィギュレーション コマンドを使用します。この機能をディセーブルにするには、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|