Cisco ME 3400E イーサネット アクセス スイッチ ソ フトウェア コンフィギュレーション ガイド,12.2(52)SE

ストーム制御の概要

ストーム制御は、LAN 上のトラフィックが、いずれかの物理インターフェイスのブロードキャスト、マルチキャスト、またはユニキャストのストームによって混乱しないようにします。LAN ストームは、パケットが LAN にフラッディングした場合に発生するもので、過剰なトラフィックが生み出され、ネットワーク パフォーマンスが低下します。プロトコルスタック実装内またはネットワーク設定内のエラーは、ストームの原因となる場合があります。

ストーム制御（トラフィック抑制）は、インターフェイスからスイッチング バスへ流れるパケットをモニタし、そのパケットがユニキャスト、マルチキャスト、ブロードキャストのいずれであるかを判別します。スイッチは、1 秒のタイム インターバル内で受信した指定されたタイプのパケットの数をカウントして、事前定義されている抑制レベルのしきい値とその測定値を比較します。

ストーム制御では、次のうちいずれかの手法を使用してトラフィック アクティビティを測定します。

• ブロードキャスト、マルチキャスト、ユニキャストのいずれかのトラフィックで使用できる帯域幅で、ポートで利用可能な総帯域幅に対するパーセンテージ

• ブロードキャスト、マルチキャスト、またはユニキャスト パケットが受信されるトラフィック レート（pps）

• ブロードキャスト、マルチキャスト、またはユニキャスト パケットが受信されるトラフィック レート（bps）

それぞれの手法では、上限しきい値に達すると、トラフィックがポートでブロックされます。トラフィック レートが下限しきい値（指定されている場合）未満に下がるまでポートはブロック状態のままとなり、下限しきい値未満に下がると、通常転送が再開されます。下限抑制レベルを指定していない場合、トラフィック レートが上限抑制レベル未満に下がるまで、スイッチではすべてのトラフィックがブロックされます。一般的には、レベルを上げると、ブロードキャスト ストームに対する保護の効果が小さくなります。

（注） マルチキャスト トラフィックのストーム制御しきい値に達した場合、ブリッジ プロトコル データ ユニット（BPDU）および Cisco Discovery Protocol（CDP）フレームなどのコントロール トラフィック以外のマルチキャスト トラフィックすべてがブロックされます。ただし、スイッチでは Open Shortest Path First（OSPF）などのルーティング アップデートと、正規のマルチキャスト データ トラフィックは区別されないため、両方のトラフィック タイプがブロックされます。

図 23-1のグラフは、一定時間におけるインターフェイス上のブロードキャスト トラフィック パターンを示しています。この例は、マルチキャストおよびユニキャスト トラフィックにも適用できます。この例では、転送されているブロードキャスト トラフィックが、タイム インターバル T1 ～ T2 間および T4 ～ T5 間で設定されたしきい値を上回っています。特定のトラフィックの量がしきい値を上回ると、そのタイプのすべてのトラフィックは次の一定時間にわたり、廃棄されます。したがって、ブロードキャスト トラフィックは T2 および T5 のあとのインターバルではブロックされています。次のタイム インターバル（たとえば T3）では、ブロードキャスト トラフィックがしきい値を上回らなければ、再度転送されます。

図 23-1 ブロードキャスト ストーム制御の例

ストーム制御の抑制レベルと 1 秒のタイム インターバルの組み合せにより、ストーム制御アルゴリズムの動作が制御されます。しきい値が高いほど、通過できるパケットが多くなります。しきい値が 100% であれば、トラフィックに対する制限はありません。値が 0.0 であれば、ポートのブロードキャスト、マルチキャスト、またはユニキャスト トラフィックがすべてブロックされます。

（注） パケットは均一の間隔で着信するわけではないため、トラフィック アクティビティを測定する 1 秒のタイム インターバルを設けることによって、ストーム制御の動作に影響を与える可能性があります。

各トラフィック タイプのしきい値を設定するには、 storm-control インターフェイス コンフィギュレーション コマンドを使用します。

ストーム制御のデフォルト設定

デフォルトでは、スイッチ インターフェイスでユニキャスト、ブロードキャスト、およびマルチキャスト ストーム制御はディセーブルです（抑制レベルは 100% です）。

ストーム制御およびしきい値レベルの設定

ポートでストーム制御を設定し、特定タイプのトラフィックで使用するしきい値レベルを入力します。

（注） ME 3400E スイッチでは、ストーム制御機能が小さなフレームを適切に処理できるようにするため、スイッチのストーム制御カウンタが小さいフレームで増加するように追加の設定を行う必要はありません。

ただし、ハードウェアの制約や、さまざまなサイズのパケットがカウントされる動作のため、しきい値の割合には誤差が生じます。着信トラフィックを構成するパケットのサイズによっては、実際のしきい値は、数 % 程度、設定されたレベルと異なる場合があります。

（注） ストーム制御は、物理インターフェイスでサポートされています。また、EtherChannel でもストーム制御を設定できます。ストーム制御を EtherChannel で設定する場合、ストーム制御設定は EtherChannel 物理インターフェイスに伝播します。

ストーム制御およびしきい値レベルを設定するには、特権 EXEC モードで次の手順を実行します。

ストーム制御をディセーブルにするには、 no storm-control { broadcast | multicast | unicast } level インターフェイス コンフィギュレーション コマンドを使用します。

以下は、上限抑制レベルを 87 %、下限抑制レベルを 65 % にしてポートでユニキャスト ストーム制御をイネーブルにする方法の例です。

次の例は、ポートのブロードキャスト アドレス ストーム制御を 20 % のレベルでイネーブルにする方法を示します。ブロードキャスト トラフィックが、トラフィックストーム制御インターバルでポートの使用可能帯域幅全体の 20 % という設定レベルを超えると、トラフィックストーム制御インターバルが終了するまでスイッチはすべてのブロードキャスト トラフィックを廃棄します。

保護ポートのデフォルト設定

デフォルトでは、保護ポートは定義されていません。

保護ポートの設定時の注意事項

保護ポートは、NNI として設定される物理インターフェイス（ギガビット イーサネット ポート 1 など）または EtherChannel グループ（port-channel 5 など）のいずれにも設定できます。特定のポート チャネルについて保護ポートをイネーブルにすると、ポート チャネル グループ内の全ポートで保護ポートがイネーブルになります。

プライベート VLAN（仮想 LAN）ポートを保護ポートとして設定しないでください。保護ポートをプライベート VLAN ポートとして設定しないでください。プライベート VLAN の独立ポートは、他の独立ポートやコミュニティ ポートにトラフィックを転送しません。プライベート VLAN の詳細については、 第 13 章「プライベート VLAN の設定」 を参照してください。

保護ポートの設定

ポートを保護ポートとして定義するには、特権 EXEC モードで次の手順を実行します。

保護ポートをディセーブルにするには、 no switchport protected インターフェイス コンフィギュレーション コマンドを使用します。

次に、保護ポートとしてポートを設定する例を示します。

次に、保護ポートとして FastEthernet ポートを設定する例を示します。

ポート ブロッキングのデフォルト設定

デフォルトでは、ポートから送信される不明のマルチキャストおよびユニキャスト トラフィックのフラッディングはブロックされません。これらのトラフィックは、すべてのポートにフラッディングされます。

インターフェイスでのフラッディング トラフィックのブロック

（注） インターフェイスは物理インターフェイスまたは EtherChannel グループに設定できます。特定のポート チャネルのマルチキャストまたはユニキャスト トラフィックをブロックすると、ポート チャネル グループのすべてのポートでブロックされます。

インターフェイスから送信されるユニキャストおよびレイヤ 2 マルチキャスト パケットのフラッディングをディセーブルにするには、特権 EXEC モードで次の手順を実行します。

トラフィックがブロックされず、ポート上で標準転送が行われるデフォルト状態にインターフェイスを戻すには、 no switchport block { multicast | unicast } インターフェイス コンフィギュレーション コマンドを使用します。

次に、ポート上でユニキャストおよびレイヤ 2 マルチキャスト フラッディングをブロックする例を示します。

ポート セキュリティの概要

• 「セキュア MAC アドレス」

• 「セキュリティ違反」

セキュア MAC アドレス

1 つのポートで許可されるセキュア アドレスの最大数を設定するには、 switchport port-security maximum value インターフェイス コンフィギュレーション コマンドを使用します。

（注） インターフェイスにすでに設定されているセキュア アドレス数よりも小さい値を最大値に設定しようとすると、コマンドは拒否されます。

スイッチは、次のタイプのセキュア MAC アドレスをサポートします。

• スタティック セキュア MAC アドレス ：switchport port-security mac-address mac-address インターフェイス コンフィギュレーションを使用して手動で設定します。これらはアドレス テーブルに格納され、スイッチの実行コンフィギュレーションに追加されます。

• ダイナミック セキュア MAC アドレス：動的に設定されます。これらはアドレス テーブルにだけ格納され、スイッチが再起動するときに削除されます。

• 固定 セキュア MAC アドレス：動的に学習されるか、または手動で設定します。これらはアドレス テーブルに格納され、実行コンフィギュレーションに追加されます。これらのアドレスがコンフィギュレーション ファイルに保存されている場合は、スイッチを再起動するときに、インターフェイスがアドレスを動的に再設定する必要はありません。

固定学習 をイネーブルにすると、ダイナミック MAC アドレスを固定セキュア MAC アドレスに変換し、それらを実行コンフィギュレーションに追加するように、インターフェイスを設定できます。固定学習をイネーブルにするには、 switchport port-security mac-address sticky インターフェイス コンフィギュレーション コマンドを入力します。このコマンドを入力すると、インターフェイスはすべてのダイナミック セキュア MAC アドレス（固定学習がイネーブルになる前に動的に学習されたアドレスを含む）を、固定セキュア MAC アドレスに変換します。すべての固定セキュア MAC アドレスが、実行コンフィギュレーションに追加されます。

固定セキュア MAC アドレスは、コンフィギュレーション ファイル（スイッチの再起動時に使用されるスタートアップ コンフィギュレーション）に、自動的には格納されません。コンフィギュレーション ファイルに固定セキュア MAC アドレスが保存されている場合は、スイッチを再起動するときに、インターフェイスはこれらのアドレスを再学習する必要がありません。スティッキ セキュア アドレスが保存されていない場合は、アドレスは失われます。

スティッキ ラーニングをディセーブルにした場合、スティッキ セキュア MAC アドレスはダイナミック セキュア アドレスに変換され、実行コンフィギュレーションから削除されます。

スイッチに設定できるセキュア MAC アドレスの最大数は、システムで許可されている MAC アドレスの最大数によって設定されます。この数字はアクティブな SDM テンプレートによって決められます。 第 7 章「SDM テンプレートの設定」 を参照してください。この値は、使用可能な MAC アドレス（その他のレイヤ 2 機能やインターフェイスに設定されたその他のセキュア MAC アドレスで使用される MAC アドレスを含む）の総数を表します。

セキュリティ違反

セキュリティ違反とは、次のいずれかの状況が発生したときです。

• セキュア MAC アドレスが最大数までアドレス テーブルに追加され、アドレス テーブルにない MAC アドレスを持つステーションが、インターフェイスにアクセスしようとした場合

• あるセキュア インターフェイスで学習または設定されたアドレスが、同一 VLAN 内の別のセキュア インターフェイスで認識された場合

違反発生時の対処方法に関して、次の 3 つの違反モードのいずれかにインターフェイスを設定できます。

• protect：セキュア MAC アドレスの数がポートに許容された最大限度に達した場合、十分な数のセキュア MAC アドレスを削除して最大限度以下にするか、またはアドレスの最大許容数を増やすまで、不明の送信元アドレスを持つパケットは廃棄されます。セキュリティ違反が起こっても、ユーザには通知されません。

（注） トランク ポートには protect 違反モードを設定しないでください。保護モードでは、ポートが最大制限に達していなくても VLAN が保護モードの最大制限に達すると、ラーニングがディセーブルになります。

• protect：セキュア MAC アドレスの数がポートに許容された最大限度に達した場合、十分な数のセキュア MAC アドレスを削除して最大限度以下にするか、またはアドレスの最大許容数を増やすまで、不明の送信元アドレスを持つパケットは廃棄されます。このモードでは、セキュリティ違反が起こった場合、ユーザに通知されます。SNMP トラップが送信されます。また、Syslog メッセージがロギングされ、違反カウンタが増加します。

• shutdown：ポート セキュリティ違反が発生すると、インターフェイスは errdisable ステートになって、ただちにシャットダウンし、ポート LED が消灯します。SNMP トラップが送信されます。また、Syslog メッセージがロギングされ、違反カウンタが増加します。セキュア ポートが errdisable ステートになった場合は、 errdisable recovery cause psecure-violation グローバル コンフィギュレーション コマンドを入力してこのステートを変更できます。また、 shutdown および no shut down の各インターフェイス コンフィギュレーション コマンドを入力することにより、ポートを手動でイネーブルに戻すこともできます。これがデフォルトのモードです。

表 23-1 に、違反モード、およびポート セキュリティのインターフェイスを設定した場合の動作を示します。

ポート セキュリティのデフォルト設定

表 23-2 に、インターフェイスに対するポート セキュリティのデフォルト設定を示します。

ポート セキュリティ設定時の注意事項

• ポート セキュリティを設定できるのは、スタティック アクセス ポートまたはトランク ポートに限られます。セキュア ポートはダイナミック アクセス ポートにできません。

• セキュア ポートをスイッチド ポート アナライザ（SPAN）の宛先ポートにすることはできません。

• セキュア ポートは、Fast EtherChannel やギガビット EtherChannel ポート グループに属することができません。

• セキュア ポートは、プライベート VLAN ポートにできません。

• トランク ポートにポート セキュリティが設定され、データ トラフィックのアクセス VLAN および音声トラフィックの音声 VLAN に割り当てられている場合、 switchport voice および switchport priority extend の各インターフェイス コンフィギュレーション コマンドは無効です。

接続されたデバイスで同じ MAC アドレスを使用し、アクセス VLAN の IP および音声 VLAN の IP を要求した場合、アクセス VLAN だけに IP アドレスが割り当てられます。

• インターフェイスのセキュア アドレスの最大値として入力した値が古い値よりも大きい場合は、新しい値が古い設定値よりも優先します。新しい値が古い値より小さく、インターフェイスで設定されていたセキュア アドレス数も新しい値より大きい場合、コマンドは拒否されます。

• スイッチはスティッキ セキュア MAC アドレスのポート セキュリティ エージングはサポートしていません。

表 23-3 は、ポート セキュリティとその他のポートベース機能の互換性をまとめたものです。

ポート セキュリティのイネーブル化と設定

ポートへのアクセスが許可されたステーションの MAC アドレスを制限および識別する方法でインターフェイスへの入力を制限するには、特権 EXEC モードで次の手順を実行します。

インターフェイスをデフォルトの非セキュア ポートに戻すには、 no switchport port-security インターフェイス コンフィギュレーション コマンドを使用します。固定学習がイネーブルの場合にこのコマンドを入力すると、固定学習アドレスは実行コンフィギュレーション内に残りますが、アドレス テーブルからは削除されます。ここで、すべてのアドレスが動的に学習されます。

インターフェイスのセキュア MAC アドレス数をデフォルトに戻すには、 no switchport port-security maximum value インターフェイス コンフィギュレーション コマンドを使用します。違反モードをデフォルトの shutdown モードに戻すには、 no switchport port-security violation { protocol | restrict } インターフェイス コンフィギュレーション コマンドを使用します。

固定学習をディセーブルにするには、 no switchport port-security mac-address sticky インターフェイス コンフィギュレーション コマンドを実行します。インターフェイスは固定セキュア MAC アドレスをダイナミック セキュア アドレスに変換します。ただし、固定 MAC アドレスを含む設定がすでに保存されている場合は、 no switchport port-security mac-address sticky コマンドを入力したあとに再び設定を保存する必要があります。保存しない場合スイッチを再起動すると固定アドレスが復元されます。

MAC アドレス テーブルからセキュアなアドレスをすべて削除したり、スイッチまたはインターフェイス上の特定のタイプ（設定済み、ダイナミック、または固定）のセキュア アドレスをすべて削除したりするには、clear port-security { all | configured | dynamic | sticky } 特権 EXEC コマンドを使用します。

アドレス テーブルから特定のセキュア MAC アドレスを削除するには、 no switchport port-security mac-address mac-address インターフェイス コンフィギュレーション コマンドを使用します。

アドレス テーブルから特定のインターフェイスに関するダイナミック セキュア アドレスをすべて削除するには、 no switchport port-security インターフェイス コンフィギュレーション コマンドのあとに、 switchport port-security コマンドを入力して、インターフェイスのポート セキュリティをイネーブルに戻します。 no switchport port-security mac-address sticky インターフェイス コンフィギュレーション コマンドを使用して、固定セキュア MAC アドレスをダイナミック セキュア MAC アドレスに変換してから、 no switchport port-security コマンドを入力すると、手動で設定されたセキュア アドレスを除き、インターフェイス上のすべてのセキュア アドレスが削除されます。

no switchport port-security mac-address mac-address インターフェイス コンフィギュレーション コマンドを使用して、アドレス テーブルから設定済みのセキュア MAC アドレスを削除する必要があります。

次の例では、ポートでポート セキュリティをイネーブルにし、セキュア アドレスの最大数を 50 に設定する方法を示します。デフォルトは違反モードで、スタティック セキュア MAC アドレスは設定されていません。また、固定学習がイネーブルに設定されています。

次に、ポートの VLAN 3 にスタティック セキュア MAC アドレスを設定する例を示します。

次に、ポート上で固定ポート セキュリティをイネーブルにして、データ VLAN に MAC アドレスを手動で設定し、セキュア アドレスの最大合計数を 10 に設定する例を示します。

ポート セキュリティ エージングのイネーブル化と設定

ポート セキュリティ エージングを使用すると、ポート上の全セキュア アドレスにエージング タイムを設定できます。ポートごとに 2 種類のエージングがサポートされています。

• absolute：ポートのセキュア アドレスは、指定のエージング タイムの経過後、削除されます。

• inactivity：ポートのセキュア アドレスが削除されるのは、指定したエージング タイムの間、そのセキュア アドレスが非アクティブであった場合だけです。

この機能を使用すると、既存のセキュア MAC アドレスを手動で削除しなくても、セキュア ポートでデバイスの削除や追加を実行でき、しかもポートのセキュア アドレスの数を制限できます。また、セキュア アドレスのエージングをポート単位でイネーブルまたはディセーブルに設定できます。

ポート セキュリティ エージングを設定するには、特権 EXEC モードで次の手順を実行します。

ポート上のすべてのセキュア アドレスに対してポート セキュリティ エージングをディセーブルにするには、no switchport port-security aging time インターフェイス コンフィギュレーション コマンドを使用します。スタティックに設定されたセキュア アドレスに対してだけエージングをディセーブルにするには、no switchport port-security aging static インターフェイス コンフィギュレーション コマンドを使用します。

次に、ポートのセキュア アドレスのエージング タイムを 2 時間に設定する例を示します。

次に、このインターフェイスに設定されたセキュア アドレスのエージングをイネーブルにし、エージング タイプを inactivity に、エージング タイムを 2 分に設定する例を示します。

設定したコマンドを確認するには、 show port-security interface interface-id 特権 EXEC コマンドを入力します。

ポート セキュリティおよびプライベート VLAN

ポート セキュリティでは、管理者がポートで学習された MAC アドレスの数を制限するか、またはポートで学習できる MAC アドレスを定義できます。

PVLAN ホストおよびプロミスキャス ポートにポート セキュリティを設定するには、特権 EXEC モードで次の手順を実行します。

（注） ポート セキュリティとプライベート VLAN の両方が設定されているポートは、セキュア PVLAN ポートと呼ぶ場合があります。セキュア PVLAN ポートでセキュアなアドレスが学習される場合、同じプライマリ VLAN に属しているほかのセキュア PVLAN ポートでは、同じセキュア アドレスを学習できません。ただし、アンセキュアな PVLAN ポートで学習されるアドレスは、同じプライマリ VLAN に属しているセキュア PVLAN ポートで学習できます。

ホスト ポートで学習されるセキュア アドレスは、対応付けられたプライマリ VLAN に自動的に複製されます。同様に、プロミスキャス ポートで学習されるセキュア アドレスは、対応付けられたすべてのセカンダリ VLAN に自動的に複製されます。スタティック アドレス（mac-address-table static コマンドを使用）は、セキュア ポートではユーザ設定できません。