管理対象デバイス上の 1 つ以上の物理ポートはスイッチ型インターフェイスとして設定できます。トラフィックを処理できるようにするには、その前に、物理スイッチ型インターフェイスを仮想スイッチに割り当てる必要があります。リンク モード設定および MDI/MDIX 設定は、銅線インターフェイスにのみ設定できます。

（注）	8000 シリーズ アプライアンスのインターフェイスは、半二重オプションをサポートしません。

物理スイッチ型インターフェイスごとに、複数の論理スイッチ型インターフェイスを追加できます。物理インターフェイスで受信した VLAN タグ付きのトラフィックは、各論理インターフェイスにその特定のタグが関連付けられていなければ処理されません。トラフィックを処理するには、論理スイッチ型インターフェイスを仮想スイッチに割り当てる必要があります。

スイッチ型インターフェイスを設定する場合、設定可能な MTU の範囲は、Firepower システムのデバイスのモデルとインターフェイスのタイプによって異なる可能性があります。

MTU 値の範囲は管理対象デバイスのモデルとインターフェイス タイプによって異なる場合があります。

注意	デバイス上のすべての非管理インターフェイスの中で最大 MTU 値を変更し、設定変更を展開すると、Snort プロセスが再起動され、トラフィック インスペクションが一時的に中断されます。インスペクションは、変更したインターフェイスだけでなく、すべての非管理インターフェイスで中断されます。この中断によってトラフィックがドロップされるか、それ以上インスペクションが行われずに受け渡されるかは、管理対象デバイスのモデルおよびインターフェイスのタイプに応じて異なります。詳細については、Snort® の再起動によるトラフィックの動作を参照してください。

既存の論理スイッチ型インターフェイスを編集するには、インターフェイスの横にある編集アイコン（[]）をクリックします。

論理スイッチ型インターフェイスを削除すると、それが存在する物理インターフェイスから、および関連付けられている仮想スイッチとセキュリティ ゾーンからそれが削除されます。

仮想スイッチは、[デバイス管理（Device Management）] ページの [仮想スイッチ（Virtual Switches）] タブから追加することができます。[仮想スイッチ（Virtual Switches）] タブには、デバイス上で設定済みのすべての仮想スイッチのリストが表示されます。このページには、各スイッチのサマリ情報が表示されます。

また、スイッチ型インターフェイスを設定するときにスイッチを追加することもできます。仮想スイッチには、スイッチ型インターフェイスだけ割り当てることができます。管理対象デバイス上でスイッチ型インターフェイスを設定する前に仮想スイッチを作成する必要がある場合は、空の仮想スイッチを作成し、後でその仮想スイッチにインターフェイスを追加できます。

ヒント	既存の仮想スイッチを編集するには、スイッチの横にある編集アイコン（）をクリックします。

スタティック MAC エントリを追加する（Adding Static MAC Entries）

仮想スイッチは、ネットワークからのリターン トラフィックにタグを付けることで、時間の経過と共に MAC アドレスを学習します。手動でスタティック MAC エントリを追加できます。そのようにすることで、MAC アドレスが特定のポート上にあることを指定します。そのポートからトラフィックを受信するかどうかに関わらず、MAC アドレスはテーブル内でスタティック アドレスとして保持されます。仮想スイッチごとに 1 つ以上のスタティック MAC アドレスを指定できます。

スパニング ツリー プロトコル（STP）を有効にしてブリッジ プロトコル データ ユニット（BPDU）をドロップする（Enabling Spanning Tree Protocol (STP) and Dropping Bridge Protocol Data Units (BPDU)）

STP は、ネットワーク ループを防止するために使用されるネットワーク プロトコルです。BPDU は、ネットワークを介して交換され、ネットワーク ブリッジに関する情報を伝送します。ネットワーク内に冗長リンクがある場合、プロトコルは BPDU を使用して最も高速なネットワーク リンクを識別し、選択します。ネットワーク リンクで障害が発生した場合、スパニング ツリーは既存の代替リンクにフェールオーバーします。

（注）	Cisco では、高可用性ペアで 7000 または 8000 シリーズ デバイスに展開する予定の仮想スイッチを設定する場合は、STP を有効にすることを強く推奨しています。仮想スイッチが複数のネットワーク インターフェイス間のトラフィックを切り替える場合は、STP のみを有効にします。

仮想スイッチが複数の VLAN 間のトラフィックをルーティングする場合、ルータ オン ア スティックと同様に、BPDU はさまざまな論理スイッチド インターフェイスを介してデバイスを出入りしますが、物理スイッチド インターフェイスは同じです。その結果、STP はデバイスを冗長ネットワーク ループと見なします。特定のレイヤ 2 展開では、これによって問題が発生する場合があります。それを防ぐため、トラフィックのモニタリング時にデバイスが BPDU をドロップするようにドメイン レベルで仮想スイッチを設定することができます。STP を無効にする場合は、BPDU をドロップするしかありません。

（注）	仮想スイッチが 1 つの物理インターフェイス上の VLAN 間でトラフィックをルーティングする場合にのみ、BPDU をドロップしてください。

厳格な TCP 強制を有効にする（Enabling Strict TCP Enforcement）

最大限の TCP セキュリティを実現するため、厳格な強制を有効にすることができます。この機能は、3 ウェイ ハンドシェイクが完了していない接続をブロックします。厳密な適用では次のパケットもブロックされます。

• 3 ウェイ ハンドシェイクが完了していない接続の非 SYN TCP パケット

• 応答側が SYN-ACK を送信する前に TCP 接続の発信側から送信された非 SYN/RST パケット

• SYN の後、セッションの確立前に TCP 接続のレスポンダから送信された非 SYN-ACK/RST パケット

• イニシエータまたはレスポンダから確立された TCP 接続の SYN パケット

仮想スイッチを論理ハイブリッド インターフェイスに関連付けると、そのスイッチでは、論理ハイブリッド インターフェイスに関連付けられている仮想ルータと同じ厳格な TCP 強制設定が使用されることに注意してください。その場合、スイッチで厳格な TCP 強制を指定することはできません。

仮想スイッチを削除すると、そのスイッチに割り当てられたスイッチド インターフェイスを別のスイッチに含めることができるようになります。