クリティカル音声 VLAN のサポート

クリティカル音声 VLAN サポートの制約事項

  • 音声とデータに異なる VLAN を設定する必要があります。

  • デバイスで音声 VLAN を設定する必要があります。

  • クリティカル音声 VLAN のサポート機能は、スイッチポートでは標準のアクセス制御リスト（ACL）をサポートしていません。

クリティカル音声 VLAN サポートに関する情報

マルチドメイン認証でのクリティカル音声 VLAN のサポート

クリティカル音声 VLAN がマルチドメイン認証（MDA）モードのインターフェイスを使用して展開されている場合、ホストモードはマルチホストに変更され、最初の電話機がスタティック転送エントリとしてインストールされます。追加の電話機は、ホストアクセステーブル（HAT）にダイナミック転送エントリとしてインストールされます。


（注）  

  • クリティカルポートが許可済みで、再認証が行われた場合、スイッチは現在の VLAN（事前に RADIUS サーバーにより割り当てられた）でポートをクリティカル認証ステートにします。

  • アクセス不能認証バイパスは、ゲスト VLAN と互換性があります。ゲスト VLAN が 802.1x ポートで有効になっている場合、この機能は次のように相互作用します。すべての RADIUS サーバーが使用できず、クライアントがクリティカルポートに接続されていて、ゲスト VLAN がすでに割り当てられている場合、スイッチはそのポートをゲスト VLAN に保持します。

マルチドメインモードでのクリティカル音声 VLAN のサポート

クリティカル認証機能がマルチ認証モードで展開される場合、1 台の電話機だけが許可され、2 台目の電話機が許可を求めると違反がトリガーされます。

show authentication sessions コマンドは、クリティカル音声クライアントのデータを表示します。マルチ認証ホストモードでクリティカルに承認された音声クライアントは、「authz success」および「authz fail」状態になります。


（注）  

クリティカル音声が必要な場合は、クリティカルデータも設定する必要があります。設定しないと、音声 VLAN が開いている間、クリティカル音声クライアントが「authz fail」状態で表示されます。

サービステンプレートのクリティカル音声 VLAN サポート

エンタープライズエッジ（eEdge）デバイスでは、認証サーバーが到達不能になった場合、クリティカル サービス テンプレートをアクティブ化することによって電話のクリティカルなアクセスが設定されます。音声機能プラグインを使用すると、認証、許可、およびアカウンティング（AAA）音声属性を使用して Enterprise Policy Manager（EPM）に登録され、AAA サービスが利用できない間は音声 VLAN に無条件にアクセスできます。

クリティカル音声 VLAN のサポートを有効にするには、制御ポリシールールとサービステンプレートの組み合わせを使用して電話機のクリティカル認証を設定する必要があります。

認証サーバーが使用できず、ホストが許可されていない場合、AAA 属性の device-traffic-type は入力されません。電話機は不明なドメインとして承認され、その電話機に対してデータ VLAN と音声 VLAN の両方が有効になり、音声トラフィックを処理できるようになります。

クリティカル音声 VLAN サポートの設定方法

サービステンプレートでのクリティカル音声 VLAN の設定

サービステンプレートを使用してクリティカル音声 VLAN のサポートを設定するには、次の作業をポートで実行します。

手順

  コマンドまたはアクション 目的

ステップ 1

enable

例:


Device> enable

特権 EXEC モードを有効にします。

  • パスワードを入力します（要求された場合）。

ステップ 2

configure terminal

例:


Device# configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 3

service-template template-name

例:

Device(config)# service-template CRITICAL-DATA

加入者セッションに適用する一連のサービス ポリシー属性が含まれるテンプレートを定義して、サービス テンプレート コンフィギュレーション モードを開始します。

ステップ 4

vlan vlan-id

例:

Device(config-service-template)# vlan 116

VLAN を加入者セッションに割り当てます。

ステップ 5

exit

例:

Device(config-service-template)# exit

サービス テンプレート コンフィギュレーション モードを終了し、グローバル コンフィギュレーション モードに戻ります。

ステップ 6

service-template template-name

例:

Device(config)# service-template CRITICAL-VOICE

加入者セッションに適用する一連のサービス ポリシー属性が含まれるテンプレートを定義して、サービス テンプレート コンフィギュレーション モードを開始します。

ステップ 7

voice vlan

例:

Device(config-service-template)# voice vlan

クリティカル音声 VLAN を加入者セッションに割り当てます。

ステップ 8

exit

例:

Device(config-service-template)# exit

サービス テンプレート コンフィギュレーション モードを終了し、グローバル コンフィギュレーション モードに戻ります。

ステップ 9

class-map type control subscriber {match-all | match-any | match-none} control-class-name

例:

Device(config)# class-map type control subscriber match-all AAA-SVR-DOWN-UNAUTHD-HOST

制御ポリシーのアクションが実行される条件を定義する制御クラスを作成し、制御クラスマップ フィルタ コンフィギュレーション モードを開始します。

ステップ 10

match result-type [method {dot1x | mab | webauth}] result-type

例:

Device(config-filter-control-classmap)# match result-type aaa-timeout

指定した認証結果に基づいて true と返される条件を作成します。

ステップ 11

match authorization-status {authorized | unauthorized}

例:

Device(config-filter-control-classmap)# match authorization-status unauthorized

セッションの承認ステータスに基づいて true と評価される条件を作成します。

ステップ 12

exit

例:

Device(config-filter-control-classmap)# exit

制御クラスマップ フィルタ コンフィギュレーション モードを終了し、グローバル コンフィギュレーション モードに戻ります。

ステップ 13

class-map type control subscriber {match-all | match-any | match-none} control-class-name

例:

Device(config)# class-map type control subscriber match-all AAA-SVR-DOWN-AUTHD-HOST

制御ポリシーのアクションが実行される条件を定義する制御クラスを作成し、制御クラスマップ フィルタ コンフィギュレーション モードを開始します。

ステップ 14

match result-type [method {dot1x | mab | webauth}] result-type

例:

Device(config-filter-control-classmap)# match result-type aaa-timeout

指定した認証結果に基づいて true と返される条件を作成します。

ステップ 15

match authorization-status {authorized | unauthorized}

例:

Device(config-filter-control-classmap)# match authorization-status authorized

セッションの承認ステータスに基づいて true と評価される条件を作成します。

ステップ 16

end

例:

Device(config-filter-control-classmap)# end

制御クラスマップ フィルタ コンフィギュレーション モードを終了し、特権 EXEC モードに戻ります。

クリティカル 音声 VLAN のアクティブ化

サービステンプレートで設定されているクリティカル音声 VLAN をアクティブにするには、次の作業を実行します。

手順

  コマンドまたはアクション 目的

ステップ 1

enable

例:

Device> enable

特権 EXEC モードを有効にします。

  • パスワードを入力します（要求された場合）。

ステップ 2

configure terminal

例:


Device# configure terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 3

policy-map type control subscriber control-policy-name

例:

Device(config)# policy-map type control subscriber cisco-subscriber

加入者セッションに対して制御ポリシーを定義し、制御ポリシーマップ イベントのコンフィギュレーション モードを開始します。

ステップ 4

event authentication-failure [ match-all | match-first]

例:

Device(config-event-control-policymap)# event authentication-failure match-first

すべての認証イベントが match であり、制御ポリシーマップ クラスのコンフィギュレーション モードが開始された場合に、制御ポリシーのアクションをトリガーするイベントのタイプを指定します。

ステップ 5

priority-number class { control-class-name | always} [do-all | do-until-failure | do-until-success]

例:

Device(config-class-control-policymap)# 10 class AAA-SVR-DOWN-UNAUTHD-HOST do-until-failure

アクションの 1 つが失敗し、制御ポリシーマップ アクションのコンフィギュレーション モードが開始されるまで、制御クラスが制御ポリシー内のアクションを指定された順序で実行するように指定します。

ステップ 6

action-number activate { policy type control subscriber control-policy-name | service-template template-name [aaa-list list-name] [precedence [replace-all]]}

例:

Device(config-action-control-policymap)# 10 activate service-template CRITICAL-DATA

加入者セッションの VLAN に関連付けられている制御ポリシーをアクティブ化します。

ステップ 7

action-number activate { policy type control subscriber control-policy-name | service-template template-name [aaa-list list-name] [precedence [replace-all]]}

例:

Device(config-action-control-policymap)# 20 activate service-template CRITICAL-VOICE

加入者セッションの音声 VLAN に関連付けられている制御ポリシーをアクティブ化します。

ステップ 8

action-number authorize

例:

Device(config-action-control-policymap)# 30 authorize

加入者セッションの承認を開始します。

ステップ 9

action-number pause reauthentication

例:

Device(config-action-control-policymap)# 40 pause reauthentication

認証失敗後、再認証プロセスを一時停止します。

ステップ 10

exit

例:

Device(config-action-control-policymap)# exit

制御ポリシーマップ クラス コンフィギュレーション モードを終了し、ポリシーマップ クラス コンフィギュレーション モードを開始します。

ステップ 11

priority-number class { control-class-name | always} [do-all | do-until-failure | do-until-success]

例:

Device(config-class-control-policymap)# 20 class AAA-SVR-DOWN-AUTHD-HOST

アクションの 1 つが失敗し、制御ポリシーマップ アクションのコンフィギュレーション モードが開始されるまで、制御クラスが制御ポリシー内のアクションを指定された順序で実行するように指定します。

ステップ 12

action-number pause reauthentication

例:

Device(config-action-control-policymap)# 10 pause reauthentication

認証失敗後、再認証プロセスを一時停止します。

ステップ 13

end

例:

Device(config-action-control-policymap)# exit

制御ポリシーマップ アクションのコンフィギュレーション モードを終了し、特権 EXEC モードを開始します。

クリティカル音声 VLAN サポートの設定例

例：サービステンプレートの音声 VLAN の設定

Device> enable
Device# configure terminal
Device(config)# service-template CRITICAL-DATA
Device(config-service-template)# vlan 116
Device(config-service-template)# exit
Device(config)# service-template CRITICAL-VOICE
Device(config-service-template)# voice vlan
Device(config-service-template)# exit
Device(config)# class-map type control subscriber match-all AAA-SVR-DOWN-UNAUTHD-HOST
Device(config-filter-control-classmap)# match result-type aaa-timeout
Device(config-filter-control-classmap)# match authorization-status unauthorized
Device(config-filter-control-classmap)# exit
Device(config)# class-map type control subscriber match-all AAA-SVR-DOWN-AUTHD-HOST
Device(config-filter-control-classmap)# match result-type aaa-timeout
Device(config-filter-control-classmap)# match authorization-status authorized
Device(config-filter-control-classmap)# end

例：サービステンプレートでのクリティカル音声 VAN のアクティブ化 

Device> enable
Device# configure terminal
Device(config)# policy-map type control subscriber cisco-subscriber
Device(config-event-control-policymap)# event authentication-failure match-first
Device(config-class-control-policymap)# 10 class AAA-SVR-DOWN-UNAUTHD-HOST do-until-failure
Device(config-action-control-policymap)# 10 activate service-template CRITICAL-DATA
Device(config-action-control-policymap)# 10 activate service-template CRITICAL-VOICE
Device(config-action-control-policymap)# 30 authorize
Device(config-action-control-policymap)# 40 pause reauthentication
Device(config-action-control-policymap)# exit
Device(config-class-control-policymap)# 20 class AAA-SVR-DOWN-AUTHD-HOST
Device(config-action-control-policymap)# 10 pause reauthentication
Device(config-action-control-policymap)# end

クリティカル音声 VLAN サポートの機能履歴

次の表に、このモジュールで説明する機能のリリースおよび関連情報を示します。

これらの機能は、特に明記されていない限り、導入されたリリース以降のすべてのリリースで使用できます。

表 1. クリティカル音声 VLAN サポートの機能履歴
リリース

機能名

機能情報

Cisco IOS XE Fuji 16.9.2

クリティカル音声 VLAN のサポート

この機能により、クリティカル音声 VLAN のサポートが有効になり、認証サーバーが到達不能になった場合に、ポートの設定済み音声 VLAN に電話トラフィックが送信されます。

Cisco Feature Navigator を使用すると、プラットフォームおよびソフトウェアイメージのサポート情報を検索できます。Cisco Feature Navigator にアクセスするには、https://cfnng.cisco.com に進みます。