ルータでセッションを開始するときは、通常、EXEC モードの 2 つあるアクセス レベルの 1 つであるユーザ EXEC モードから始めます。セキュリティのために、ユーザー EXEC モードで使用できる EXEC コマンドは制限されています。このアクセス レベルは、ルータのステータスを確認するなど、ルータの設定を変更しない作業のために予約されています。

デバイスの設定で、ユーザのログインが必須の場合、そのログイン プロセスはユーザ名とパスワードが必須になります。接続が拒否されるまでにパスワードを 3 回入力できます。

ユーザ EXEC モードは、デフォルトで特権レベル 1 に設定されています。特権 EXEC モードは、デフォルトで特権レベル 15 に設定されています。ユーザ EXEC モードでネットワーキング デバイスにログインしている場合、システムは特権レベル 1 で実行されます。デフォルトで、特権レベル 1 の EXEC コマンドは、特権レベル 15 で使用できるコマンドのサブセットです。特権 EXEC モードでネットワーキング デバイスにログインしている場合、システムは特権レベル 15 で実行されます。privilege コマンドを使用すると、1 ～ 15 の任意の特権レベルにコマンドを移動できます。

一般に、ユーザ EXEC コマンドでは、リモート デバイスへの接続、端末回線の一時的な設定変更、基本的なテストの実行、システム情報の表示を行うことができます。

使用可能なユーザ EXEC コマンドの一覧を表示するには、次のコマンドを使用します。

Device(config)# ? 

ユーザ EXEC モード プロンプトは、デバイスのホスト名と、それに続く山カッコ（>）で構成されます。次に例を示します。

Device>

setup EXEC コマンドで初期設定時に変更していなければ、通常はデフォルトのホスト名は Router です。また、ホスト名の変更には、 hostname グローバル コンフィギュレーション コマンドを使用します。

Note	Cisco IOS XE のドキュメントの例では、「デバイス」のデフォルト名を使用することを想定しています。さまざまなデバイス（アクセス サーバ）が異なるデフォルト名を使用できます。デバイス（ルータ、アクセスサーバー、またはスイッチ）に、hostname コマンドで名前が設定されている場合、デフォルトの名前の代わりにその名前がプロンプトに表示されます。

ユーザー EXEC モードで使用できるコマンドの一覧を表示するには、次の例に示すように疑問符（? ）を入力します。

Device> ?
 
Exec commands:
 <1-99>           Session number to resume
 connect          Open a terminal connection
 disconnect       Disconnect an existing telnet session
 enable           Turn on privileged commands
 exit             Exit from Exec mode
 help             Description of the interactive help system
 lat              Open a lat connection
 lock             Lock the terminal
 login            Log in as a particular user
 logout           Exit from Exec mode and log out
 menu             Start a menu-based user interface
 mbranch          Trace multicast route for branch of tree
 mrbranch         Trace reverse multicast route to branch of tree
 mtrace           Trace multicast route to group
 name-connection  Name an existing telnet connection
 pad              Open a X.29 PAD connection
 ping             Send echo messages
 resume           Resume an active telnet connection
 show             Show running system information
 systat           Display information about terminal lines
 telnet           Open a telnet connection
 terminal         Set terminal line parameters
 tn3270           Open a tn3270 connection
 trace            Trace route to destination
 where            List active telnet connections
 x3               Set X.3 parameters on PAD

コマンドの一覧は、使用しているソフトウェア機能セットおよびプラットフォームによって異なります。

Note	コマンドは、大文字、小文字、または大文字と小文字を混在させて入力できます。大文字と小文字の区別があるのはパスワードだけです。ただし、Cisco IOS XE のマニュアルの表記法では、コマンドは常に小文字になっています。

すべてのコマンドにアクセスするには、EXEC モードの第 2 レベルのアクセスである特権 EXEC モードを開始する必要があります。特権 EXEC モードを開始するには、通常、パスワードが必要です。特権 EXEC モードでは、任意の EXEC コマンドを入力できます。これは、特権 EXEC モードが、ユーザー EXEC モード コマンドのスーパーセットであるためです。

多くの特権 EXEC モード コマンドは操作パラメータを設定するため、不正使用を防ぐために、特権 EXEC レベル アクセスをパスワードで保護する必要があります。特権 EXEC コマンド セットには、ユーザ EXEC モードに含まれているこれらのコマンドが含まれます。また、特権 EXEC モードでは、configure コマンドを使用することで各種コンフィギュレーション モードにアクセスでき、debug などの高度なテストコマンドも含まれています。

特権 EXEC モードは、デフォルトで特権レベル 15 に設定されています。ユーザ EXEC モードは、デフォルトで特権レベル 1 に設定されています。詳細については、ユーザ EXEC モードを参照してください。特権 EXEC モードでネットワーキング デバイスにログインしている場合、システムは特権レベル 15 で実行されます。ユーザ EXEC モードでネットワーキング デバイスにログインしている場合、システムは特権レベル 1 で実行されます。デフォルトで、特権レベル 15 の EXEC コマンドは、特権レベル 1 で使用できるコマンドのスーパーセットです。privilege コマンドを使用すると、1 ～ 15 の任意の特権レベルにコマンドを移動できます。特権レベルおよび privilege コマンドの詳細については、Cisco IOS XE の特権レベル を参照してください。

特権 EXEC モード プロンプトは、デバイスのホスト名と、それに続くポンド記号（#）で構成されます。次に例を示します。

Device#

特権 EXEC モードにアクセスするには、次のコマンドを使用します。

Device> enable 

Password

Device# exit 

Device>

Note	特権 EXEC モードは、モードの開始に、enable コマンドを使用するため、「イネーブルモード」とも呼ばれます。

システムでパスワードが設定されている場合、特権 EXEC モードへのアクセスが許可される前にパスワードを入力するよう求められます。パスワードは画面には表示されません。また、大文字と小文字が区別されます。イネーブル パスワードが設定されていない場合、特権 EXEC モードには、ローカル CLI セッション（コンソール ポートに接続された端末）からしかアクセスできません。

Telnet 接続など、リモート接続上のルータで特権 EXEC モードへのアクセスを試行しても、特権 EXEC モードのパスワードを設定していない場合は、% No password set エラーメッセージが表示されます。リモート接続の詳細については、リモート CLI セッションを参照してくださいシステム管理者は、enable secret または enable password グローバル コンフィギュレーション コマンドを使用して、特権 EXEC モードへのアクセスを制限するパスワードを設定します。特権 EXEC モードのパスワード設定の詳細については、特権 EXEC モードへのアクセスの保護 を参照してください。

ユーザ EXEC モードに戻るには、次のコマンドを使用します。

Device# disable 

次に、特権 EXEC モードにアクセスするプロセスの例を示します。

Device> enable
Password:<letmein>
Device# 

入力してもパスワードが表示されませんが、ここでは説明のために表示しています。特権 EXEC モードで使用できるコマンドの一覧を表示するには、プロンプトで ? コマンドを発行します。次の項で説明するように、特権 EXEC モードからグローバル コンフィギュレーション モードにアクセスできます。

Note	特権 EXEC コマンド セットには、ユーザ EXEC モードで使用できるすべてのコマンドが含まれているため、一部のコマンドはどちらのモードでも実行できます。Cisco IOS XE のドキュメントでは、ユーザ EXEC モードまたは特権 EXEC モードで入力できるコマンドは、EXEC モード コマンドと呼ばれます。ユーザまたは特権とドキュメントに特記されていない場合、どちらのモードでもそのコマンドを入力できることを示します。

「グローバル」という言葉は、システム全体に影響する特性や機能を示すために使用されています。グローバル コンフィギュレーション モードは、システムをグローバルに設定したり、インターフェイスやプロトコルなどの特定の要素を設定したりする目的で、特定のコンフィギュレーション モードを開始するために使用します。グローバル コンフィギュレーション モードを開始するには、configure terminal 特権 EXEC コマンドを使用します。

グローバル コンフィギュレーション モードにアクセスするには、特権 EXEC モードで次のコマンドを入力します。

Device#
 configure terminal 

次に、特権 EXEC モードからグローバル コンフィギュレーション モードを開始するプロセスの例を示します。

Device# configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
Device(config)#

システム プロンプトが変わり、グローバル コンフィギュレーション モードに入ったことが示されることに注意してください。グローバル コンフィギュレーション モードのプロンプトは、デバイスのホスト名と、それに続く（config）およびポンド記号（#）で構成されます。特権 EXEC モードで使用できるコマンドの一覧を表示するには、プロンプトで ? コマンドを発行します。

グローバル コンフィギュレーション モードでコマンドを入力すると、すぐに実行コンフィギュレーション ファイルが更新されます。つまり、設定に対する変更は、有効なコマンドの後で Enter キーまたは Return キーを押すたびに有効になります。ただし、これらの変更は、copy running-config startup-config EXEC モードコマンドを発行するまで、スタートアップ コンフィギュレーション ファイルに保存されません。この動作は、このマニュアルの後の項で詳しく説明します。

上記の例のように、コントロール（Ctrl）キーと「z」キーを同時に押すと、システムダイアログでコンフィギュレーション セッションを終了するプロンプトが表示されます。これらのキー操作で、^Z が画面に出力されます。実際にコンフィギュレーション セッションを終了するには、Ctrl+Z キーの組み合わせ、end コマンド、または Ctrl+C キーの組み合わせを使用できます。現在のコンフィギュレーション セッションを終了することをシステムに示すための方法としては、end コマンドが推奨されます。

Caution

有効なコマンドを入力してから、コマンド ラインの最後で Ctrl+Z キーを使用すると、そのコマンドが実行コンフィギュレーション ファイルに追加されます。つまり、Ctrl+Z キーを使用することは、終了前に Enter（復帰）キーを押すことと同じです。このような理由から、end コマンドを使用してコンフィギュレーション セッションを終了するほうが安全です。また、改行信号を送信せずにコンフィギュレーション セッションを終了するには、Ctrl+C キーの組み合わせを使用できます。

また、exit コマンドを使用して、グローバル コンフィギュレーション モードから EXEC モードに戻ることもできますが、使用できるのはグローバル コンフィギュレーション モードだけです。Ctrl+Z キーを押すか end コマンドを入力することにより、どのコンフィギュレーション モードまたはコンフィギュレーション サブモードにいるかにかかわらず、常に EXEC モードに戻ることができます。

グローバル コンフィギュレーション コマンド モードを終了して特権 EXEC モードに戻るには、次のいずれかのコマンドを使用します。

Device(config)# end 

Device(config)# ^Z 

Device(config)# exit 

グローバル コンフィギュレーション モードから、いくつかのプロトコル固有、プラットフォーム固有、機能固有のコンフィギュレーション モードを開始できます。

次のセクションで説明されているインターフェイス コンフィギュレーション モードは、グローバル コンフィギュレーション モードから入ることができるコンフィギュレーション モードの例です。

グローバル コンフィギュレーション モードから開始する特定のコンフィギュレーション モードの一例が、インターフェイス コンフィギュレーション モードです。

多くの機能は、インターフェイスごとにイネーブルになります。インターフェイス コンフィギュレーション コマンドは、イーサネット、FDDI、シリアル ポートなど、インターフェイスの動作を変更します。インターフェイス コンフィギュレーション コマンドは常に、インターフェイスタイプを定義する interface グローバル コンフィギュレーション コマンドの後に指定します。

帯域幅やクロック レートなど、一般的なインターフェイス パラメータに影響があるインターフェイス コンフィギュレーション コマンドの詳細については、Release 12.2 の『Cisco IOS Interface Configuration Guide』を参照してください。プロトコル固有のコマンドについては、該当する Cisco IOS XE ソフトウェア コマンド リファレンスを参照してください。

インターフェイス コンフィギュレーション コマンドにアクセスし、その一覧を表示するには、次のコマンドを使用します。

Device(config)# interface  type number

次に、シリアル インターフェイス 0 についてユーザがインターフェイス コンフィギュレーション モードを開始する例を示します。新しいプロンプト、hostname（config-if）# は、インターフェイス コンフィギュレーション モードを示しています。

Device(config)# interface serial 0
Device(config-if)#

インターフェイス コンフィギュレーション モードを終了してグローバル コンフィギュレーション モードに戻るには、exit コマンドを入力します。

コンフィギュレーション サブモードは、他のコンフィギュレーション モード（グローバル コンフィギュレーション モード以外）から開始されるコンフィギュレーション モードです。コンフィギュレーション サブモードは、コンフィギュレーション モード内の特定の要素を設定するためにあります。コンフィギュレーション サブモードの 1 つの例は、次の項で説明するサブインターフェイス コンフィギュレーション モードです。

インターフェイス コンフィギュレーション モードから、サブインターフェイス コンフィギュレーション モードに入ることができます。サブインターフェイス コンフィギュレーション モードは、インターフェイス コンフィギュレーション モードのサブモードの 1 つです。サブインターフェイス コンフィギュレーション モードでは、1 つの物理インターフェイスに複数の仮想インターフェイス（別名サブインターフェイス）を設定できます。サブインターフェイスは、さまざまなプロトコルにとって個別の物理インターフェイスのように見えます。

サブインターフェイスの設定方法の詳細については、Cisco IOS XE ソフトウェア マニュアル セットの特定のプロトコルの該当するドキュメンテーション モジュールを参照してください。

サブインターフェイス コンフィギュレーション モードにアクセスするには、インターフェイス コンフィギュレーション モードで次のコマンドを使用します。

Device(config-if)# interface  type  number 

次の例では、シリアル ライン 2 のサブインターフェイスで、フレーム リレー カプセル化を設定します。シリアル インターフェイス 2 のサブインターフェイス 1 であることを示すため、サブインターフェイスは「2.1」として識別されます。新しいプロンプトの hostname（config-subif）# は、サブインターフェイス コンフィギュレーション モードを示します。サブインターフェイスは、1 つ以上のフレーム リレー PVC をサポートするように設定できます。

Device(config)# interface serial 2
Device(config-if)# encapsulation frame-relay
Device(config-if)# interface serial 2.1
Device(config-subif)#

サブインターフェイス コンフィギュレーション モードを終了しインターフェイス コンフィギュレーション モードに戻るには、exit コマンドを入力します。コンフィギュレーション セッションを終了し特権 EXEC モードに戻るには、Ctrl+Z キーを押すか、end コマンドを入力します。

ローカル CLI セッションでは、ネットワーク デバイスのコンソール ポートへの直接アクセスが要求されます。ローカル CLI セッションは、ユーザ EXEC モードで開始されます。ネットワーキング デバイスの設定とおよび管理に必要なすべてのタスクは、ローカル CLI セッションを使用して実行できます。ローカル CLI セッションを確立する最も一般的な方式は、PC 上のシリアル ポートを、ネットワーキング デバイスのコンソール ポートに接続し、PC で端末エミュレーション アプリケーションを起動する方法です。必要とされるケーブルとコネクタの種類および PC 上の端末エミュレーション アプリケーションの設定は、設定しているネットワーク デバイスの種類によって異なります。ローカル CLI セッションでネットワーキング デバイスを設定する方法の詳細については、そのデバイスのマニュアルを参照してください。

リモート CLI セッションは、PC などのホストとネットワーク上のルータなどのネットワーク デバイス間で、Telnet やセキュア シェル（SSH）などのリモート端末アクセス アプリケーションを使用して作成されます。ローカル CLI セッションは、ユーザ EXEC モードで開始されます。ネットワーク デバイスの設定とおよび管理に必要なほとんどのタスクは、リモート CLI セッションを使用して実行できます。例外は、ROM モニタ モードのときのネットワーク デバイスとの通信や、（コンソール ポートで新しい OS イメージをアップロードすることによる、破壊されたオペレーティング システム（OS）の復元など）、コンソール ポートと直接的に通信するタスクです。

このドキュメントでは、リモート Telnet セッションのセキュリティを設定する方法について説明します。Telnet は、ネットワーキング デバイスでリモート CLI セッションにアクセスする際に最も一般的な方式です。

Note	ただし、SSH の方が Telnet よりも安全な方式です。SSH には、PC などのローカル管理デバイスと、管理しているネットワーキング デバイスとの間のセッション トラフィックを暗号化する機能があります。SSH を使用してセッション トラフィックを暗号化すると、ハッカーがトラフィックを傍受しても、トラフィックをデコードできなくなります。SSH を使用する詳細については、「Secure Shell Version 2 Support」フィーチャ モジュールを参照してください。

シスコ ネットワーク デバイスでは、ローカルおよびリモート CLI セッションを管理するソフトウェア コンポーネントを参照するため語線を使用します。line console 0 グローバル コンフィギュレーション コマンドを使用してライン コンフィギュレーション モードを開始し、パスワードなど、コンソールポートのオプションを設定します。

Device# configure terminal
Device(config)# line console 0
Device(config-line)# password password-string 

リモート CLI セッションでは、仮想テレタイプ（VTY）の行である回線を使用しています。line vty line-number [ending-line-number ] グローバル コンフィギュレーション コマンドを使用してライン コンフィギュレーション モードを開始し、パスワードなど、リモート CLI セッションのオプションを設定します。

Device# configure terminal
Device(config)# line vty 0 4 
Device(config-line)# password password-string 

ネットワーク デバイスの安全な環境の構築に向けた第一歩は、ローカルおよびリモート CLI セッションのパスワードを設定することで、ユーザ EXEC モードへのアクセスを保護することです。

ローカル CLI セッションでユーザ EXEC モードに対するアクセスを保護するには、コンソール ポートでパスワードを設定します。ローカル CLI セッションのパスワードの設定と確認を参照してください。

リモート CLI セッションでユーザ EXEC モードに対するアクセスを保護するには、仮想端末回線（VTY）でパスワードを設定します。リモート CLI セッションのパスワード設定方法の手順については、「リモート CLI セッションのパスワードの設定と確認」を参照してください。

ネットワーキング デバイスのセキュア環境を作成するための第 2 段階は、特権 EXEC モードに対するアクセスをパスワードで保護することです。特権 EXEC モードに対するアクセスを保護する方式は、ローカルおよびリモートの CLI セッションと同じです。

特権 EXEC モードに対するアクセスを保護するには、そのモード用のパスワードを設定します。特権 EXEC モードを開始するコマンドが enable なので、このパスワードもイネーブルパスワードと呼ばれることがあります。

Device> enable

Password 

Device#

ローカル CLI セッションの忘失パスワードまたは誤設定パスワードを復元する最速の方式は、ネットワーキング デバイスとリモート CLI セッションを確立し、ローカル CLI セッションのパスワードの設定と確認を繰り返す方法です。この手順を実行するには、リモート CLI セッションを許可するようにネットワーキング デバイスを設定し、さらにリモート CLI セッションのパスワードを知っている必要があります。

• ネットワーキング デバイスに対するリモート セッションを確立できず、誤設定したローカル CLI セッション パスワードをスタートアップ コンフィギュレーションに保存していない場合、ネットワーキング デバイスを再起動できます。ネットワーキング デバイスを再起動すると、スタートアップ コンフィギュレーション ファイルが読み込まれます。以前のローカル CLI セッション パスワードが復元されます。

Caution

ネットワーキング デバイスの再起動によって、トラフィックの転送が停止されます。また、DHCP サーバ サービスなど、ネットワーキング デバイスで実行されているすべてのサービスが中断されます。必要な操作は、ネットワークのメンテナンスに割り当てられた期間中に、ネットワーキング デバイスを再起動することだけです。

リモート CLI セッションの忘失パスワードまたは誤設定パスワードを復元する最速の方式は、ネットワーキング デバイスとローカル CLI セッションを確立し、リモート CLI セッションのパスワードの設定と確認を繰り返す方法です。この手順を実行するには、ローカル CLI セッションを許可するようにネットワーキング デバイスを設定し、さらにローカル CLI セッションのパスワードを知っている必要があります。

• ネットワーキング デバイスに対するローカル CLI セッションを確立できず、誤設定したリモート CLI セッション パスワードをスタートアップ コンフィギュレーションに保存していない場合、ネットワーキング デバイスを再起動できます。ネットワーキング デバイスを再起動すると、スタートアップ コンフィギュレーション ファイルが読み込まれます。以前のリモート CLI セッション パスワードが復元されます。

Caution

ネットワーキング デバイスの再起動によって、トラフィックの転送が停止されます。また、DHCP サーバ サービスなど、ネットワーキング デバイスで実行されているすべてのサービスが中断されます。必要な操作は、ネットワークのメンテナンスに割り当てられた期間中に、ネットワーキング デバイスを再起動することだけです。

• 誤設定した特権 EXEC モード パスワードをスタートアップ コンフィギュレーションに保存していない場合、ネットワーキング デバイスを再起動できます。ネットワーキング デバイスを再起動すると、スタートアップ コンフィギュレーション ファイルが読み込まれます。以前の特権 EXEC モード パスワードが復元されます。

Caution

ネットワーキング デバイスの再起動によって、トラフィックの転送が停止されます。また、DHCP サーバ サービスなど、ネットワーキング デバイスで実行されているすべてのサービスが中断されます。必要な操作は、ネットワークのメンテナンスに割り当てられた期間中に、ネットワーキング デバイスを再起動することだけです。