ポート セキュリティを実行するには、デバイスおよびスイッチ ポート インターフェイス（これらを通じて各デバイスまたはスイッチが接続される）を設定し、設定をアクティブにします。

• デバイスごとに Nx ポート接続を指定するには、Port World Wide Name（pWWN）または Node World Wide Name（nWWN）を使用します。
• スイッチごとに xE ポート接続を指定するには、Switch World Wide Name（sWWN）を使用します。

Nx および xE ポートをそれぞれ設定して、単一ポートまたはポート範囲に限定することができます。

ポート セキュリティ ポリシーはポートがアクティブになるたび、およびポートを起動しようとした場合に実行されます。

ポート セキュリティ機能は 2 つのデータベースを使用して、設定の変更を受け入れ、実装します。

• コンフィギュレーション データベース：すべての設定の変更がコンフィギュレーション データベースに保存されます。
• アクティブ データベース：ファブリックが現在実行しているデータベース。ポート セキュリティ機能を実行するには、スイッチに接続されているすべてのデバイスがポート セキュリティ アクティブ データベースに格納されている必要があります。ソフトウェアはこのアクティブ データベースを使用して、認証を行います。

指定期間内にポート セキュリティ設定を自動的に学習するように、スイッチを設定できます。この機能を使用すると、任意の Cisco MDS 9000 ファミリ スイッチで、接続先のデバイスおよびスイッチについて自動的に学習できます。ポート セキュリティ機能を初めてアクティブにするときに、この機能を使用してください。ポートごとに手動で設定する面倒な作業が軽減されます。自動学習は、VSAN 単位で設定する必要があります。この機能をイネーブルにすると、ポート アクセスを設定していない場合でも、スイッチに接続可能なデバイスおよびスイッチが自動学習されます。

自動学習をイネーブルにすると、学習は、すでにスイッチにログインしているデバイスまたはインターフェイス、およびログインする必要がある新しいデバイスまたはインターフェイスで実行されます。ポートでの学習済みエントリは、自動学習がまだイネーブルな場合、そのポートをシャットダウンした後でクリーンアップされます。

学習は、既存の設定済みのポート セキュリティ ポリシーを上書きしません。たとえば、インターフェイスが特定の pWWN を許可するように設定されている場合、自動学習によって、そのインターフェイスに他の pWWN を許可する新しいエントリが追加されることはありません。他のすべての pWWN は、自動学習モードであってもブロックされます。

シャットダウン状態のポートについては、学習エントリは作成されません。

ポート セキュリティ機能をアクティブにすると、自動学習も自動的にイネーブルになります。

（注）	ポート セキュリティ機能をアクティブにすると、自動学習機能はデフォルトで有効になります。自動学習がディセーブルであるか、または非アクティブであり、再度アクティブ化されるまで、ポート セキュリティを再度アクティブ化することはできません。

デフォルトでは、すべての Cisco MDS 9000 ファミリ スイッチで、ポート セキュリティ機能は非アクティブです。

ポート セキュリティ機能をアクティブにすると、次の処理が適用されます。

• 自動学習も自動的にイネーブルになります。つまり、
  • ここから、自動学習はすでにスイッチにログインしたデバイスまたはインタフェース、および今後ログインする新しいデバイスに対して発生します。
  • 自動学習をディセーブルにするまで、データベースをアクティブにできません。
• すでにログインしているすべてのデバイスは学習され、アクティブ データベースに追加されます。
• 設定済みデータベースのすべてのエントリがアクティブ データベースにコピーされます。

データベースをアクティブにすると、以降のデバイスのログインは、自動学習されたエントリを除き、アクティブ化されたポートによってバインドされた WWN ペアの対象になります。自動学習されたエントリがアクティブになる前に、自動学習をディセーブルにする必要があります。

ポート セキュリティ機能をアクティブにすると、自動学習も自動的にイネーブルになります。ポート セキュリティ機能をアクティブにし、自動学習をディセーブルにすることもできます。

ヒント	ポートがログインを拒否されて停止している場合、その後でログインを許可するようにデータベースを設定しても、ポートは自動的に起動しません。そのポートをオンラインに戻すには、no shutdown CLI コマンドを明示的に発行する必要があります。

自動学習設定の状態は、ポート セキュリティ機能の状態によって異なります。

• ポート セキュリティ機能がアクティブでない場合、自動学習はデフォルトでディセーブルです。
• ポート セキュリティ機能がアクティブである場合、自動学習はデフォルトでイネーブルです（このオプションを明示的にディセーブルにしていない場合）。

ヒント	VSAN 上で自動学習がイネーブルの場合、force オプションを使用して、この VSAN のデータベースだけをアクティブにできます。

次の表に、デバイス要求に対して接続が許可される条件をまとめます。

ポート セキュリティ機能がアクティブで、アクティブ データベースに次の条件が指定されていることが前提です。

• pWWN（P1）には、インターフェイス fc1/1（F1）からアクセスできる。
• pWWN（P2）には、インターフェイス fc1/1（F1）からアクセスできる。
• nWWN（N1）には、インターフェイス fc1/2（F2）からアクセスできる。
• 任意の WWN には、インターフェイス fc1/3（F3）からアクセスできる。
• nWWN（N3）には、任意のインターフェイスからアクセスできる。
• pWWN（P3）には、インターフェイス fc1/4（F4）からアクセスできる。
• sWWN（S1）には、インターフェイス fc1/10 ～ 13（F10 ～ F13）からアクセスできる。
• pWWN（P10）には、インターフェイス fc1/11（F11）からアクセスできる。

次の表に、このアクティブ データベースに対するポート セキュリティ許可の結果を要約します。リスト内の条件は、許可される自動学習デバイス要求の表に記載されている条件です。

既存の設定を変更するときの最初のアクションが実行されると、保留中のデータベースが作成され、VSAN 内の機能がロックされます。ファブリックがロックされると、次のような状況になります。

• 他のユーザがこの機能の設定に変更を加えることができなくなります。
• コンフィギュレーション データベースのコピーが保留中のデータベースになります。

CFS のロック情報を表示するには、show cfs lock コマンドを使用します。詳細については、『Cisco MDS 9000 Family Command Reference』を参照してください。

配信モードのアクティベーション設定および自動学習設定は、保留中のデータベースの変更をコミットするときに実行する処理として記憶されます。

学習済みエントリは一時的なもので、ログインを許可するか否かを決定するロールを持ちません。そのため、学習済みエントリは配信に参加しません。学習をディセーブルにし、保留中のデータベースの変更をコミットする場合、学習済みエントリはアクティブ データベース内のスタティック エントリになり、ファブリック内のすべてのスイッチに配信されます。コミット後は、すべてのスイッチのアクティブ データベースは同一です。

変更をコミットする場合、保留中のデータベースに複数のアクティブ化および自動学習の設定が含まれていると、アクティブ化と自動学習の変更が統合され、処理が変更されることがあります（次の表を参照）。

ヒント	各処理の最後にコミットを実行することを推奨します。つまり、ポート セキュリティのアクティブ化の後、および自動学習のイネーブル化の後です。

図 1 の各シナリオは、ポート セキュリティ設定に基づくアクティブ データベースとコンフィギュレーション データベースのステータスを示しています。

アクティブ データベースから設定済みデータベースにコピーするには、port-security database copy vsan コマンドを使用します。アクティブ データベースが空の場合、このコマンドは受け付けられません。

switch# port-security database copy vsan 1

アクティブ データベースとコンフィギュレーション データベースとの相違を表示するには、port-security database diff active vsan コマンドを使用します。このコマンドは、競合を解決する場合に使用できます。

switch# port-security database diff active vsan 1

コンフィギュレーション データベースとアクティブ データベースとの違いに関する情報を取得するには、port-security database diff config vsan コマンドを使用します。

switch# port-security database diff config vsan 1

ヒント	自動学習をディセーブルにしてから、port-security database copy vsan コマンドを発行することを推奨します。これにより、コンフィギュレーション データベースとアクティブ データベースを確実に同期化できます。配信がイネーブルの場合、このコマンドによってコンフィギュレーション データベースの一時的なコピーが作成され、結果としてファブリックがロックされます。ファブリックをロックする場合、すべてのスイッチのコンフィギュレーション データベースに変更をコミットする必要があります。

ヒント	配信がイネーブルの場合、削除によってデータベースのコピーが作成されます。実際にデータベースを削除するには、明示的に port-security commit コマンドを入力する必要があります。

指定された VSAN の設定済みデータベースを削除するには、コンフィギュレーション モードで no port-security database vsan コマンドを使用します

switch(config)# no port-security database vsan 1

指定された VSAN のポート セキュリティ データベースから既存の統計情報をすべてクリアするには、clear port-security statistics vsan コマンドを使用します。

switch# clear port-security statistics vsan 1

VSAN 内の指定したインターフェイスについて、すべての学習済みエントリをアクティブ データベースからクリアするには、clear port-security database auto-learn interface コマンドを使用します。

switch# clear port-security database auto-learn interface fc1/1 vsan 1

VSAN 全体に関するアクティブ データベース内の学習済みエントリをすべてクリアするには、clear port-security database auto-learn vsan コマンドを使用します。

switch# clear port-security database auto-learn vsan 1

（注）	clear port-security database auto-learn と clear port-security statistics コマンドはローカル スイッチにのみ関連するもので、ロックは取得しません。また、学習済みエントリはスイッチにだけローカルで、配信に参加しません。

VSAN 内で、任意のスイッチから VSAN の保留中のセッションをクリアするには、port-security clear vsan コマンドを使用します。

switch# clear port-security session vsan 5

show port-security database コマンドを使用すると、設定されたポート セキュリティ情報が表示されます（次の例を参照）。

switch# show port-security database 

---------------------------------------------------------------------------------------
VSAN    Logging-in Entity               Logging-in Point       (Interface)
----------------------------------------------------------------------------------------
1       21:00:00:e0:8b:06:d9:1d(pwwn)  20:0d:00:05:30:00:95:de(fc1/13)
1       50:06:04:82:bc:01:c3:84(pwwn)  20:0c:00:05:30:00:95:de(fc1/12)
2       20:00:00:05:30:00:95:df(swwn)  20:0c:00:05:30:00:95:de(port-channel 128) 
3       20:00:00:05:30:00:95:de(swwn)  20:01:00:05:30:00:95:de(fc1/1)
[Total 4 entries]

switch# show port-security database vsan 1

--------------------------------------------------------------------------------
Vsan   Logging-in Entity              Logging-in Point        (Interface)
--------------------------------------------------------------------------------
1                  *                  20:85:00:44:22:00:4a:9e (fc3/5)
1      20:11:00:33:11:00:2a:4a(pwwn)  20:81:00:44:22:00:4a:9e (fc3/1)
[Total 2 entries]

switch# show port-security database active

----------------------------------------------------------------------------------------
VSAN    Logging-in Entity               Logging-in Point     (Interface)         Learnt
----------------------------------------------------------------------------------------
1       21:00:00:e0:8b:06:d9:1d(pwwn)   20:0d:00:05:30:00:95:de(fc1/13)           Yes
1       50:06:04:82:bc:01:c3:84(pwwn)   20:0c:00:05:30:00:95:de(fc1/12)           Yes
2       20:00:00:05:30:00:95:df(swwn)   20:0c:00:05:30:00:95:de(port-channel 128) Yes
3       20:00:00:05:30:00:95:de(swwn)   20:01:00:05:30:00:95:de(fc1/1)
[Total 4 entries]

switch# show port-security pending vsan 1

Session Context for VSAN 1
---------------------------
Activation Status: Active
Auto Learn Status: On
Force activate: No
Config db modified: Yes
Activation done: Yes
Session owner: admin(2)
Session database:
--------------------------------------------------------------------------------
VSAN Logging-in Entity Logging-in Point (Interface)
--------------------------------------------------------------------------------
1 20:11:00:33:22:00:2a:4a(pwwn) 20:41:00:05:30:00:4a:1e(fc2/1)
[Total 1 entries]

switch# show port-security pending-diff vsan 1

Session Diff for VSAN: 1
-------------------------
Database will be activated
Learning will be turned ON
Database Diff:
+pwwn 20:11:00:33:22:00:2a:4a fwwn 20:41:00:05:30:00:4a:1e

switch# show port-security database fwwn 20:85:00:44:22:00:4a:9e vsan 1

Any port can login thru' this fwwn

switch# show port-security database fwwn 20:01:00:05:30:00:95:de vsan 1

20:00:00:0c:88:00:4a:e2(swwn)

switch# show port-security database interface fc 1/1 vsan 2

20:00:00:0c:88:00:4a:e2(swwn)

switch# show port-security statistics

Statistics For VSAN: 1
------------------------
Number of pWWN permit: 2
Number of nWWN permit: 2
Number of sWWN permit: 2
Number of pWWN deny  : 0
Number of nWWN deny  : 0
Number of sWWN deny  : 0
Total Logins permitted  : 4
Total Logins denied     : 0
Statistics For VSAN: 2
------------------------
Number of pWWN permit: 0
Number of nWWN permit: 0
Number of sWWN permit: 2
Number of pWWN deny  : 0
Number of nWWN deny  : 0
Number of sWWN deny  : 0
...

switch# show port-security status

Fabric Distribution Enabled
VSAN 1 :No Active database, learning is disabled, Session Lock Taken
VSAN 2 :No Active database, learning is disabled, Session Lock Taken
...

switch# show port-security violations

------------------------------------------------------------------------------------------
VSAN    Interface       Logging-in Entity               Last-Time          [Repeat count]
------------------------------------------------------------------------------------------
1       fc1/13          21:00:00:e0:8b:06:d9:1d(pwwn)   Jul  9 08:32:20 2003    [20]
                        20:00:00:e0:8b:06:d9:1d(nwwn)
1       fc1/12          50:06:04:82:bc:01:c3:84(pwwn)   Jul  9 08:32:20 2003    [1]
                        50:06:04:82:bc:01:c3:84(nwwn)
2       port-channel 1  20:00:00:05:30:00:95:de(swwn)   Jul  9 08:32:40 2003    [1]
[Total 2 entries]