Cisco Fabric Manager セキュリティ コンフィギュ レーション ガイド

ライセンスの要件

ファブリック バインディングを使用するには、スイッチ上に MAINFRAME_PKG ライセンスまたは ENTERPRISE_PKG ライセンスのどちらかをインストールする必要があります。

ライセンス機能のサポートとインストールの詳細については、『Cisco MDS 9000 Family NX-OS Licensing Guide』を参照してください。

ポート セキュリティとファブリック バインディングの比較

ポート セキュリティとファブリック バインディングは、相互に補完するように設定できる 2 つの独立した機能です。 表 10-1 に、2 つの機能の比較を示します。

xE ポートのポート レベル チェックは、次のように実行されます。

• スイッチのログインは、特定の VSAN に対して、ポート セキュリティ バインディングとファブリック バインディングの両方を使用します。

• バインディング チェックは、ポート VSAN 上で次のように実行されます。

– ポート VSAN 上での E ポート セキュリティ バインディング チェック

– 許可された各 VSAN での TE ポート セキュリティ バインディング チェック

ポート セキュリティはファブリック バインディングを補完する関係にありますが、これらの機能は互いに独立していて、個別にイネーブルまたはディセーブルにできます。

ファブリック バインディングの実行

ファブリック バインディングを実行するには、スイッチ WWN（sWWN）を設定して、各スイッチに xE ポート接続を指定します。ファブリック バインディング ポリシーは、ポートがアクティブになるたびに、およびポートを起動しようとした場合に実行されます。Fibre Connection（FICON）VSAN でファブリック バインディング機能を実行するには、すべての sWWN をスイッチに接続し、永続的ドメイン ID をファブリック バインディング アクティブ データベースに格納する必要があります。ファイバ チャネル VSAN では、sWWN だけが必要で、ドメイン ID はオプションです。

（注） ファブリック バインディングを使用するファイバ チャネル VSAN の全スイッチで、Cisco MDS SAN-OS Release 3.0(1) および NX-OS Release 4.1(1b) 以降を実行している必要があります。

ファブリック バインディングのイネーブル化

ファブリック バインディングに参加させるファブリック内の各スイッチで、ファブリック バインディング機能をイネーブルにする必要があります。デフォルトでは、この機能は Cisco MDS 9000 ファミリのすべてのスイッチでディセーブルになっています。ファブリック バインディング機能の設定および確認コマンドを使用できるのは、スイッチ上でファブリック バインディングがイネーブルに設定されている場合だけです。この設定をディセーブルにすると、関連するすべてのコンフィギュレーションが自動的に廃棄されます。

スイッチ WWN リストの設定

ユーザ指定のファブリック バインディング リストには、ファブリック内のスイッチ WWN（sWWN）のリストが含まれています。sWWN がファブリックへの参加を試みたとき、その sWWN がリストに含まれていない場合、またはその sWWN が許可リストで指定されたドメイン ID と異なるドメイン ID を使用していた場合には、その VSAN 内でスイッチとファブリック間の ISL が自動的に隔離され、スイッチのファブリックへの参加は拒否されます。

sWWN とともに永続的ドメイン ID を指定できます。FICON VSAN では、ドメイン ID 許可が必要です。FICON VSAN では、ドメインがスタティックに設定されているので、エンド デバイスにより、ファブリック内のすべてのスイッチでドメイン ID の変更が拒否されます。ファイバ チャネル VSAN の場合には、ドメイン ID 許可は不要です。

ファブリック バインディングのアクティブ化

ファブリック バインディング機能では、コンフィギュレーション データベース（config-database）およびアクティブ データベースが保持されます。コンフィギュレーション データベースは、実行された設定を収集する読み書きデータベースです。これらの設定を実行するには、データベースをアクティブにする必要があります。データベースがアクティブになると、アクティブ データベースにコンフィギュレーション データベースの内容が上書きされます。アクティブ データベースは、ログインを試みる各スイッチをチェックする読み取り専用データベースです。

デフォルトでは、ファブリック バインディング機能は非アクティブです。設定したデータベース内の既存のエントリがファブリックの現在の状態と矛盾していると、スイッチ上のファブリック バインディング データベースをアクティブにできません。たとえば、ログイン済みのスイッチの 1 つが、コンフィギュレーション データベースによってログインを拒否されている場合などです。これらの状態は、強制的に上書きすることができます。

（注） データベースをアクティブにすると、現在のアクティブ データベースに違反するログイン済みのスイッチはログアウトされ、ファブリック バインディング制限によって以前にログインを拒否されたすべてのスイッチが、再初期化されます。

ファブリック バインディング設定の保存

ファブリック バインディング設定を保存すると、コンフィギュレーション データベースが実行コンフィギュレーションに保存されます。