Cisco TrustSec は、セキュリティ グループ タグ（SGT）キャッシングを使用して、SGT でタグ付けされたトラフィックを、SGT を認識していないサービスを通じても渡すことができるようにします。SGT を伝播できないサービスには、WAN の高速化または最適化、侵入防御システム（IPS）、およびアップストリーム ファイアウォールがあります。ワンアーム モードでは、SGT でタグ付けされたパケットはデバイス（タグがキャッシュされた場所）に入力され、サービスにリダイレクトされます。そのサービスが完了した後、パケットはデバイスに戻されるか、別のデバイスにリダイレクトされます（図を参照）。このようなシナリオでは、次のようになります。

1. Cisco TrustSec SGT キャッシング 機能により、デバイスは、着信パケットからの IP-SGT バインド情報を特定し、この情報をキャッシュします。

2. デバイスは、SGT を伝播できないサービスにパケットをリダイレクトします。

3. サービスが完了した後、パケットはデバイスに返されます。

4. サービスの出力ポイントで、適切な SGT がパケットに再適用されます。

5. サービスからデバイスに返されたパケットには、ロールベースの強制が適用されます。

6. SGT のパケットは、他の Cisco TrustSec 対応デバイスのダウンストリームに転送されます。

特定のインスタンスでは、Bump-In-The-Wire（BITW）トポロジに導入されるサービスがあります。このようなシナリオでは、次のようになります。

1. サービスを通過するパケットはデバイスに返されません。

2. シングルホップ SGT Exchange Protocol（SXP）を使用して、IP-SGT バインドを特定し、特定されたバインドをエクスポートします。

3. ネットワーク内のアップストリーム デバイスは、SXP を通じて IP-SGT バインドを特定し、適切なタグを再適用するか、それらを SGT ベース強制に使用します。出力キャッシング中、元のネットワーク アドレス移動（NAT）前の送信元 IP アドレスは、特定された IP-SGT バインド情報の一部としてキャッシュされます。

4. 300 秒間トラフィックを受信しない IP-SGT バインドは、キャッシュから削除されます。

IPv6 トラフィックの SGT キャッシングに関する考慮事項は次のとおりです。

• グローバルユニキャスト IPv6 パケット：IPv6-SGT キャッシングは、IPv6 パケットの入力方向および出力方向で着信するトラフィックに対して実行されます。SGT タグは、パケット（イーサネットヘッダー、IPSec ヘッダー、GRE ヘッダー）にインラインで含まれます。ただし、IPSec パケットのタグの SGT キャッシングは、ISR4K ベースのプラットフォームではサポートされていません。

• マルチキャスト IPv6 アドレス：SGT キャッシングは、IPv6 マルチキャストトラフィックおよびリンクローカル IPv6 アドレスではサポートされません。

• キャッシュされた IPv6-SGT バインディングの SXP を介したエクスポート：データプレーンで学習された IPv6-SGT バインディングは、IOS の RBM（ロールベースマネージャ）データベースに通知されます。その後、これらのバインディングは、SXP を使用して他の TrustSec デバイスにエクスポートできます。

データプレーンで学習された IP と SGT のバインドを表示します。

Device# show cts role-based sgt-map all
Active IPv4-SGT Bindings Information

IP Address              SGT     Source
============================================
10.104.33.219           300     INTERNAL

IP-SGT Active Bindings Summary
============================================
Total number of INTERNAL bindings = 1
Total number of active   bindings = 1

Active IPv6-SGT Bindings Information

IP Address                                  SGT     Source
================================================================
100::/64                                    124     CLI
200::2                                      300     INTERNAL
300::1                                      300     INTERNAL
1000::2                                     300     INTERNAL

IP-SGT Active Bindings Summary
============================================
Total number of CLI      bindings = 1
Total number of INTERNAL bindings = 3
Total number of active   bindings = 4