この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
この章は、次の項で構成されています。
IP ソース ガードは、インターフェイス単位のトラフィック フィルタです。各パケットの IP アドレスと MAC アドレスが、IP と MAC のアドレス バインディングのうち、次に示す 2 つの送信元のどちらかと一致する場合だけ、IP トラフィックを許可します。
DHCP スヌーピングで信頼状態になっていないレイヤ 2 インターフェイスの IP ソース ガードをイネーブルにできます。IP ソース ガードは、アクセス モードとトランク モードで動作するように設定されているインターフェイスをサポートしています。IP ソース ガードを最初にイネーブルにすると、次のトラフィックを除いて、そのインターフェイス上のインバウンド IP トラフィックがすべてブロックされます。
DHCP パケット。DHCP パケットは、DHCP スヌーピングによって検査が実行され、その結果に応じて転送またはドロップされます。
スタティック IP エントリが Cisco Nexus 1000V で設定されているソースからの IP トラフィック。
デバイスが IP トラフィックを許可するのは、DHCP スヌーピングによって IP パケットの IP アドレスと MAC アドレスのバインディング テーブル エントリが追加された場合、またはユーザが DHCP バインディング テーブルでスタティック IP ソース エントリを設定した場合です。
パケットの IP アドレスと MAC アドレスがバインディング テーブル エントリにも、スタティック IP ソース エントリにもない場合、その IP パケットはドロップされます。たとえば、show ip dhcp snooping binding コマンドによって次のバインディング テーブル エントリが表示されるとします。
MacAddress IpAddress LeaseSec Type VLAN Interface ---------- ---------- --------- ------ ------- --------- 00:02:B3:3F:3B:99 10.5.5.2 6943 dhcp-snooping 10 vEthernet3
IP アドレスが 10.5.5.2 の IP パケットをデバイスが受信した場合、IP ソース ガードによってこのパケットが転送されるのは、このパケットの MAC アドレスが 00:02:B3:3F:3B:99 のときだけです。
IP ソース ガードは、インターフェイス上の IP トラフィックを、IP-MAC アドレス バインディング テーブル エントリまたはスタティック IP ソース エントリに送信元が含まれているトラフィックだけに制限します。インターフェイス上の IP ソース ガードを初めてイネーブルにする際には、そのインターフェイス上のホストが DHCP サーバから新しい IP アドレスを受信するまで、IP トラフィックが中断されることがあります。
IP ソース ガード(IPSG)機能が Cisco Nexus 1000V スイッチでイネーブルになっている場合は、重複 IP アドレスがポートで検出されるたびに、errdisable になります。
IP ソース ガードの機能は、DHCP スヌーピング(IP-MAC アドレス バインディング テーブルの構築および維持に関して)、またはスタティック IP ソース エントリの手動での維持に依存しています。
IP ソース ガードをシームレスにするために、仮想サービス ドメイン(VSD)サービス VM ポートは、デフォルトで信頼できるポートとなっています。これらのポートを「信頼できない」と設定しても、その設定は無視されます。
パラメータ |
デフォルト |
---|---|
IP ソース ガード |
各インターフェイスでディセーブル |
IP ソース エントリ |
なし。デフォルトではスタティック IP ソース エントリはありません。デフォルトの IP ソース エントリもありません。 |
デフォルトでは、すべてのインターフェイスに対して IP ソース ガードはディセーブル。インターフェイスまたはポート プロファイルに IP ソース ガードを設定できます。
DHCP スヌーピングがイネーブルになっていることを確認してください。
次に、レイヤ 2 インターフェイスの IP ソース ガードをイネーブルにする例を示します。
switch# configure terminal switch(config)# interface vethernet 3 switch(config-if)# ip verify source dhcp-snooping-vlan switch (config-if)# show ip verify source interface vethernet 3 IP source guard is enabled on this interface. Interface Filter-mode IP-address Mac-address Vlan ---------- ----------- ---------- ----------- ---- Vethernet3 active 1.182.56.137 00:50:56:82:56:3e 1053
次のいずれかのコマンドを使用して、設定を確認します。
コマンド |
目的 |
---|---|
show running-config dhcp |
IP ソース ガード設定を含む、DHCP スヌーピング設定を表示します。 |
show ip verify source |
IP-MAC アドレス バインディングを表示します。 |
IP ソース ガード バインディングをモニタするには、次のコマンドを使用します。
コマンド |
目的 |
---|---|
show ip verify source |
IP アドレスと MAC アドレスのバインディングを表示します。 |
スタティック IP ソース エントリを作成し、インターフェイスの IP ソース ガードをイネーブルにする例を示します。
switch# configure terminal switch(config)# ip source binding 10.5.22.17 001f.28bd.0013 vlan 100 interface vethernet 3 switch(config)# interface Vethernet 3 switch(config)# ip verify source dhcp-snooping-vlan switch(config-port-prof)# show ip verify source interface vethernet 3 Filter Mode (for static bindings): IP-MAC IP source guard is enabled on this interface. Interface Filter-mode IP-address Mac-address Vlan ------ ----------- ---------- -------------- ---- Vethernet3 active 10.5.22.17 00:1f:28:bd:00:13 100
この表には、機能の追加によるリリースの更新内容のみが記載されています。
機能名 |
リリース |
機能情報 |
---|---|---|
IP ソース ガード |
5.2(1)SM1(5.1) |
この機能が導入されました。 |