Catalyst 2960 および 2960-S スイッチ ソフトウェア コンフィギュレーション ガイド Cisco IOS Release 15.0(2)SE 以降

IPv6 形式のアドレス

スイッチがサポートするのは、IPv6 ユニキャスト アドレスだけです。スイッチはサイトローカルなユニキャスト アドレス、エニキャスト アドレス、またはマルチキャスト アドレスをサポートしません。

IPv6 の 128 ビット アドレスは、コロンで区切られた一連の 8 つの 16 進フィールド（n:n:n:n:n:n:n:n. の形式）で表されます。次に、IPv6 アドレスの例を示します。

2031:0000:130F:0000:0000:09C0:080F:130B

実装を容易にするために、各フィールドの先行ゼロは省略可能です。上記アドレスは、先行ゼロを省略した次のアドレスと同じです。

2031:0:130F:0:0:9C0:80F:130B

2 つのコロン（::）を使用して、ゼロが連続する 16 進フィールドを表すことができます。ただし、この短縮形を使用できるのは、各アドレス内で 1 回のみです。

2031:0:130F::09C0:080F:130B

IPv6 アドレス フォーマット、アドレス タイプ、および IPv6 パケット ヘッダーの詳細については、Cisco.com の『 Cisco IOS IPv6 Configuration Library 』の「Implementing IPv6 Addressing and Basic Connectivity」の章を参照してください。

「Implementing Addressing and Basic Connectivity」の章にある次の項の内容は、Catalyst 2960、2960-S、または 2960-C スイッチに適用されます。

• IPv6 アドレス形式

• IPv6 アドレスの出力表示

• 簡易 IPv6 パケット ヘッダー

サポート対象の IPv6 ホスト機能

ここでは、スイッチでサポートされている IPv6 プロトコル機能について説明します。

• 「128 ビット幅のユニキャスト アドレス」

• 「IPv6 の DNS」

• 「ICMPv6」

• 「ネイバー探索」

• 「IPv6 でのファーストホップ セキュリティ」

• 「IPv6 のステートレス自動設定および重複アドレス検出」

• 「IPv6 アプリケーション」

• 「デュアル IPv4/IPv6 プロトコル スタック」

• 「OSPFv3 での IPSec の設定 IPv6 による SNMP および Syslog」

• 「IPv6 による HTTP（S）」

スイッチでは、拡張アドレス機能、ヘッダー フォーマットの単純化、拡張子およびオプションのサポートの改善、および拡張ヘッダーのハードウェア解析などがサポートされています。また、ホップ単位の拡張ヘッダー パケットもサポートし、これらをソフトウェアでルーティングまたはブリッジングします。

128 ビット幅のユニキャスト アドレス

スイッチは集約可能なグローバル ユニキャスト アドレスおよびリンクに対してローカルなユニキャスト アドレスをサポートします。サイトに対してローカルなユニキャスト アドレスはサポートされていません。

• 集約可能なグローバル ユニキャスト アドレスは、集約可能グローバル ユニキャスト プレフィックスの付いた IPv6 アドレスです。このアドレス構造を使用すると、ルーティング プレフィックスを厳格に集約することができ、グローバル ルーティング テーブル内のルーティング テーブル エントリ数が制限されます。これらのアドレスは、組織を経由して最終的にインターネット サービス プロバイダーに至る集約リンク上で使用されます。

これらのアドレスはグローバル ルーティング プレフィックス、サブネット ID、およびインターフェイス ID によって定義されます。現在のグローバル ユニキャスト アドレス割り当てには、バイナリ値 001（2000::/3）で開始するアドレス範囲が使用されます。プレフィックスが 2000::/3（001）～ E000::/3（111）のアドレスには、Extended Unique Identifier（EUI）64 フォーマットの 64 ビット インターフェイス ID を設定する必要があります。

• リンクに対してローカルなユニキャスト アドレスをすべてのインターフェイスに自動的に設定するには、修飾 EUI フォーマット内で、リンクに対してローカルなプレフィックス FE80::/10（1111 1110 10）およびインターフェイス ID を使用します。ネイバー探索プロトコル（NDP）およびステートレス自動設定プロセスでは、リンクに対してローカルなアドレスが使用されます。ローカル リンク上のノードは、リンクに対してローカルなアドレスを使用します。通信する場合に、グローバルに一意なアドレスは不要です。IPv6 ルータは、リンクに対してローカルな送信元または宛先アドレスを持つパケットをその他のリンクに転送しません。

詳細については、Cisco.com の『 Cisco IOS IPv6 Configuration Library 』の「Implementing IPv6 Addressing and Basic Connectivity」の章にある IPv6 ユニキャスト アドレスに関する項を参照してください。

IPv6 の DNS

IPv6 は、ドメイン ネーム システム（DNS）のレコード タイプを、DNS 名前/アドレスおよびアドレス/名前の検索プロセスでサポートします。DNS AAAA リソース レコード タイプは IPv6 アドレスをサポートし、IPv4 の A アドレス レコードと同等です。スイッチは IPv4 および IPv6 の DNS 解決をサポートします。

ICMPv6

IPv6 のインターネット制御メッセージ プロトコル（ICMP）は、ICMP 宛先到達不能メッセージなどのエラー メッセージを生成して、処理中に発生したエラーや、その他の診断機能を報告します。IPv6 では、ネイバー探索プロトコルおよびパス MTU ディスカバリに ICMP パケットも使用されます。

ネイバー探索

スイッチは、IPv6 対応の NDP、ICMPv6 の最上部で稼働するプロトコル、および NDP をサポートしない IPv6 ステーション対応のスタティック ネイバー エントリをサポートします。IPv6 ネイバー探索プロセスは ICMP メッセージおよび送信請求ノード マルチキャスト アドレスを使用して、同じネットワーク（ローカル リンク）上のネイバーのリンク層アドレスを判別し、ネイバーに到達できるかどうかを確認し、近接ルータを追跡します。

スイッチは、マスク長が 64 未満のルートに対して ICMPv6 リダイレクトをサポートしています。マスク長が 64 ビットを超えるホスト ルートまたは集約ルートでは、ICMP リダイレクトがサポートされません。

ネイバー探索スロットリングにより、IPv6 パケットをルーティングするためにネクスト ホップ転送情報を取得するプロセス中に、スイッチ CPU に不必要な負荷がかかりません。IPv6 パケットのネクスト ホップがスイッチによってアクティブに解決しようとしている同じネイバーである場合は、そのようなパケットが追加されると、スイッチはそのパケットをドロップします。このドロップにより、CPU に余分な負荷がかからないようになります。

IPv6 でのファーストホップ セキュリティ

ここでは、IPv6 でのファーストホップ セキュリティ（FHS）機能を構成する機能の設定について説明します。

FHS の下で使用可能な機能は、IPv6 ポリシーとも呼ばれます。ポリシーは、インターフェイスまたは VLAN レベルで適用できます。IPv6 ポリシーは、これらのポリシーの保存とアクセスに関する機能にポリシー データベース サービスを提供します。ポリシーが設定されるたびに、そのポリシーの属性がソフトウェア ポリシー データベース内に保存されます。その後ポリシーはインターフェイスに適用され、ポリシーが適用されたこのインターフェイスを含めるためにソフトウェア ポリシー データベース エントリが更新されます。次の IPv6 ポリシーを使用できます。

• 「IPv6 スヌーピング」

• 「IPv6 ファーストホップ セキュリティ バインディング テーブル」

• 「NDP アドレス グリーニング」

• 「IPv6 DHCP アドレス グリーニング」

• 「IPv6 DHCP アドレス グリーニング」

• 「IPv6 ND 検査」

• 「IPv6 デバイス トラッキング」

• 「IPv6 ポートベースのアクセス リスト サポート」

• 「IPv6 ルータ アドバタイズメント ガード」

• 「IPv6 デバイス トラッキング」

• 「IPv6 ソース ガード」

（注） IPv6 でファーストホップ セキュリティを実装するための前提条件：

• IPv6 がイネーブルになった必要な SDM テンプレートが設定されていること。

• IPv6 ネイバー探索機能についての知識が必要です。詳細については、Cisco.com の『Cisco IOS IPv6 Configuration Library』の「 Implementing IPv6 Addressing and Basic Connectivity 」の章を参照してください。

（注） IPv6 でファーストホップ セキュリティを実装するための制約事項：

• この機能は、ギガビット イーサネット スイッチでのみサポートされています。

• Catalyst 2960-S LAN Lite イメージは、IPv6 RA ガードのみをサポートしています。さらに、スイッチで IPv6 ACL がサポートされていないため、RA ガード ポリシーに IPv6 ACL を付加できません。

• ファーストホップ セキュリティは、Catalyst 2960-CG シリーズ スイッチでのみサポートされています。

• VLAN ターゲットは、スタックが混在した状況ではサポートされません。

IPv6 スヌーピング

IPv6 スヌーピングは、IPv6 での FHS で使用可能なほとんどの機能を可能にするコンテナ ポリシーとして機能します。詳細については、「IPv6 スヌーピング ポリシーの設定」を参照してください。

IPv6 ファーストホップ セキュリティ バインディング テーブル

スイッチに接続された IPv6 ネイバーのデータベース テーブルは、ネイバー探索プロトコル（NDP）スヌーピングやダイナミック ホスト コンフィギュレーション プロトコル（DHCP）スヌーピングなどの複数の情報ソースから作成されます。このデータベースまたはバインディング テーブルは、IPv6 ネイバー探索（ND）検査（リンク層アドレス（LLA）を検証するため）、ポート単位のアドレス制限（IPv4 または IPv6 アドレスを検証するため）、IPv6 デバイス トラッキング（スプーフィングやリダイレクト攻撃を防止するためにネイバーのバインディングを付加するため）などの、さまざまな IPv6 ガード機能によって使用されます。

次のトラフィックのカテゴリは、バインディング テーブルのスヌーピング対象の情報を伝送します。

• ND トラフィック：詳細については、「NDP アドレス グリーニング」を参照してください。

• DHCP トラフィック：詳細については、「IPv6 DHCP アドレス グリーニング」を参照してください。

• データ トラフィック：詳細については、「IPv6 DHCP アドレス グリーニング」を参照してください。

NDP アドレス グリーニング

NDP アドレス グリーニング機能は、 ipv6 snooping policy グローバル コンフィギュレーション コマンドを設定するとデフォルトでイネーブルになります。この機能をディセーブルにするには、no protocol ndp グローバル コンフィギュレーション コマンドを入力し、このポリシーをターゲット ポートまたは VLAN に適用します。

IPv6 DHCP アドレス グリーニング

IPv6 DHCP アドレス グリーニング機能は、DHCP メッセージからアドレスを抽出し、バインディング テーブルに入力する機能を提供します。スイッチは、次のタイプの DHCPv6 交換からアドレス バインディング情報を抽出します（ユーザ データグラム プロトコル（UDP）、ポート 546 および 547 を使用）。

• DHCP-REQUEST

• DHCP-CONFIRM

• DHCP-RENEW

• DHCP-REBIND

• DHCP-REPLY

• DHCP-RELEASE

• DHCP-DECLINE

スイッチがクライアントから DHCP-REQUEST メッセージを受信した後、次のいずれかが発生することがあります。

• スイッチが DHCP サーバから DHCP-REPLY メッセージを受信し、バインディング テーブル エントリが REACHABLE ステートで作成されて完成されます。この応答の Layer 2 (L2) DMAC フィールドには、IP アドレスと MAC アドレスが含まれています。

バインディング テーブル内にエントリを作成すると、スイッチは DHCP によって割り当てられたアドレスを学習できるようになります。バインディング テーブルは、次のいずれかのステートになります。

– INCOMPLETE：アドレス解決中であり、リンク層アドレスはまだ不明です。

– REACHABLE：このテーブルは、最後の到達可能時間間隔内で到達可能であることがわかっています。

– STALE：このテーブルには再解決が必要です。

– SEARCH：エントリを作成している機能には L2 アドレスが存在せず、バインディング テーブルが L2 アドレスを検索するよう要求しています。

– VERIFY：L2 およびレイヤ 3（L3）アドレスが既知であり、そのアドレスを確認するために L2 および L3 宛先に重複アドレス検出（DAD）ネイバー送信要求（NS）ユニキャストが送信されます。

– DOWN：エントリを学習する元のインターフェイスがダウンしており、検証を行えません。

• DHCP サーバは DHCP-DECLINE メッセージまたは DHCP-RELEASE メッセージを送信し、エントリが削除されます。

• クライアントが、アドレスを割り当てたサーバに DHCP-RENEW メッセージを送信するか、または任意のサーバに DHCP-REBIND メッセージを送信し、そのエントリの有効期限が延長されます。

• サーバが応答せず、セッションがタイムアウトします。

この機能をイネーブルにするには、 ipv6 snooping policy policy-name グローバル コンフィギュレーション コマンドを使用してポリシーを設定します。詳細については、「IPv6 スヌーピング ポリシーの設定」を参照してください。

ポリシーを設定し、それを DHCP ガードに適用することにより、偽造された DHCP メッセージがバインディング テーブルに入力されることを防止できます。 詳細については、「IPv6 DHCP ガード」および 「IPv6 DHCP ガードの設定」を参照してください。

IPv6 データ アドレス グリーニング

IPv6 データ アドレス グリーニング機能は、リダイレクトされたデータ トラフィックからアドレスを抽出し、ネイバーを探索して、バインディング テーブルに入力する機能を提供します。

ポートが、バインディングが不明なデータ パケットを受信した場合、つまり、ネイバーが INCOMPLETE ステートにあり、リンク層アドレスがまだ不明な場合、スイッチはそのデータ パケットが受信された元のポートに DAD NS NDP ユニキャスト メッセージを送信します。

ホストが DAD ネイバー アドバタイズメント（NA）NDP メッセージで応答した後、バインディング テーブルが更新され、プライベート VLAN ACL（PVACL）がこのバインディングのためのハードウェアにインストールされます。

ホストが DAD NA で応答しない場合は、バインディング テーブル タイマーが期限切れになった後にハードウェアに通知され、そのバインディングに関連付けられたリソースがすべて解放されます。

この機能をイネーブルにするには、 data-glean を使用してポリシーを設定し、そのポリシーをターゲット ポートに適用します。ポリシーをデバッグするには、debug ipv6 snooping 特権 EXEC コマンドを使用します。

IPv6 ND 検査

IPv6 ND 検査は、L2 ネイバー テーブル内のステートレス自動設定アドレスのバインディングを学習し、保護します。IPv6 ND 検査は、信頼できるバインディング テーブル データベースを構築するためにネイバー探索メッセージを分析します。準拠していない IPv6 ネイバー探索メッセージはドロップされます。SA ND メッセージは、その IPv6 からメディア アクセス コントロール（MAC）へのマッピングが検証可能な場合に信頼できると見なされます。

この機能によって、DAD、アドレス解決、ルータ ディスカバリ、ネイバー キャッシュに対する攻撃などの、ND メカニズムに固有の脆弱性のいくつかが軽減されます。

IPv6 デバイス トラッキング

IPv6 デバイス トラッキング機能は、IPv6 ホストが非表示になったときにネイバー テーブルを更新できるように、IPv6 ホストの活性トラッキングを提供します。この機能は、ネットワーク アクセス権限が非アクティブになったときに取り消すために、L2 スイッチ経由で接続されたネイバーの活性を定期的に追跡します。

IPv6 ポートベースのアクセス リスト サポート

IPv6 ポートベースのアクセス リスト（PACL）機能は、IPv6 トラフィック用の L2 スイッチ ポートでアクセス コントロール（許可または拒否）を提供する機能を備えています。IPv6 PACL は、IPv4 トラフィック用の L2 スイッチ ポートでアクセス コントロールを提供する IPv4 PACL と似ています。

Catalyst 3750-E、3750X、3560E、3560-X、3750v2、および 3560 v2 スイッチでは、この機能はハードウェアで、かつ入力方向だけでサポートされています。IPv6 FHS をサポートしていないスイッチがスタックに含まれている、スタックが混在した状況では、セキュリティのために、VLAN ターゲットはスイッチ全体でディセーブルになります。スイッチの IPv6 FHS 対応ポートでは、ポート ターゲットが許可されます。サポートしていないスイッチがスタック マスターになった場合、IPv6 FHS 機能は引き続き、スイッチの IPv6 FHS 対応ポートでサポートされます。

アクセス リストによって、スイッチ インターフェイスでどのトラフィックがブロックされ、どのトラフィックが転送されるかが決定され、送信元アドレスと宛先アドレスに基づいて、特定のインターフェイスへの着信と発信をフィルタリングできます。各アクセス リストの末尾には、暗黙的な deny 文があります。IPv6 PACL を設定するには、IPv6 アクセス リストを作成した後、指定した IPv6 L2 インターフェイスで PACL モードを設定する必要があります。

PACL は、L3 およびレイヤ 4（L4）ヘッダー情報または非 IP L2 情報に基づいて L2 インターフェイスで入力トラフィックをフィルタリングできます。

IPv6 ルータ アドバタイズメント ガード

IPv6 ルータ アドバタイズメント（RA）ガード機能を使用すると、ネットワーク管理者は、ネットワーク スイッチ プラットフォームに到着した不要または不正な RA ガード メッセージをブロックまたは拒否できます。RA は、リンクで自身をアナウンスするためにルータによって使用されます。RA ガード機能は、これらの RA を分析して、未承認のルータによって送信された偽の RA をフィルタリングして除外します。ホスト モードでは、ポートではルータ アドバタイズメントとルータ リダイレクト メッセージはすべて許可されません。RA ガード機能は、L2 デバイスの設定情報を、受信した RA フレームで検出された情報と比較します。L2 デバイスは、RA フレームとルータ リダイレクト フレームの内容を設定と照らし合わせて検証した後で、RA をユニキャストまたはマルチキャストの宛先に転送します。RA フレームの内容が検証されない場合は、RA はドロップされます。

IPv6 DHCP ガード

DHCP ガードを使用すると、偽造されたメッセージがバインディング テーブルに入力されることを防止できます。DHCP ガードは、DHCP サーバまたは DHCP リレー側であることが明示的に設定されていないポートで DHCP サーバ メッセージが受信されると、それらのメッセージをブロックします。

この機能を使用するには、ポリシーを設定し、それを DHCP ガードに適用します。DHCP ガード パケットをデバッグするには、debug ipv6 snooping dhcp-guard 特権 EXEC コマンドを使用します。

IPv6 ソース ガード

ソース ガードでは、送信元または宛先アドレスに基づいてトラフィックを許可または拒否するようにハードウェアをプログラムします。ここでは、データ パケットのトラフィックのみを処理します。

IPv6 ソース ガード機能は、ホストが無効な IPv6 送信元アドレスを含むパケットを送信しないように、IPv6 バインディング テーブルを使用して PACL をインストールする機能を提供します。

ソース ガード パケットをデバッグするには、 debug ipv6 snooping source-guard 特権 EXEC コマンドを使用します。

（注） IPv6 PACL 機能は、入力方向だけでサポートされ、出力方向ではサポートされません。

次の制約事項が適用されます。

• IPv6 ソース ガードがスイッチポートでイネーブルになっている場合は、そのスイッチポートが属するインターフェイスで NDP または DHCP スヌーピングをイネーブルにする必要があります。そうしないと、このポートからのすべてのデータ トラフィックがブロックされます。

• IPv6 ソース ガード ポリシーを VLAN に適用することはできません。

• EtherChannels では、IPv6 ソース ガードはサポートされません。

IPv6 アクセス リストの設定については、Cisco.com の『Cisco IOS IPv6 Configuration Library』の「 Implementing Traffic Filters and Firewalls for IPv6 Security 」の章を参照してください。

IPv6 のステートレス自動設定および重複アドレス検出

スイッチではステートレス自動設定が使用されているため、ホストやモバイル IP アドレスの管理のような、リンク、サブネット、およびサイト アドレス指定の変更を管理することができます。ホストはリンクに対してローカルな独自アドレスを自動的に設定します。起動元ノードはルータに送信請求を送信して、インターフェイス設定をアドバタイズするようルータに要求します。

自動設定および重複アドレス検出の詳細については、Cisco.com の『 Cisco IOS IPv6 Configuration Library 』の「Implementing IPv6 Addressing and Basic Connectivity」の章を参照してください。

IPv6 アプリケーション

スイッチは、次のアプリケーションについて IPv6 をサポートします。

• ping、traceroute、および Telnet

• IPv6 トランスポートによるセキュア シェル（SSH）

• IPv6 トランスポートによる HTTP サーバ アクセス

• IPv4 トランスポートによる AAAA の DNS レゾルバ

• IPv6 アドレスの Cisco Discovery Protocol（CDP）サポート

これらのアプリケーションの管理の詳細については、Cisco.com の『 Cisco IOS IPv6 Configuration Library 』の「Managing Cisco IOS Applications over IPv6」の章および「Implementing IPv6 Addressing and Basic Connectivity」の章を参照してください。

デュアル IPv4/IPv6 プロトコル スタック

Catalyst 2960 スイッチで、IPv4 および IPv6 プロトコルの両方で Ternary Content Addressable Memory（TCAM）の使用を割り当てるには、デュアル IPv4/IPv6 テンプレートを使用する必要があります。

図 36-1 に、IP パケットおよび宛先アドレスに基づいて、同じインターフェイスを介して IPv4 および IPv6 トラフィックを転送するルータを示します。

図 36-1 インターフェイス上での IPv4/IPv6 のデュアル サポート

Catalyst 2960 スイッチでデュアル IPv4/IPv6 スイッチング データベース管理（SDM）テンプレートを使用すると、（IPv4 と IPv6 の両方をサポートする）デュアル スタック環境をイネーブルにできます。デュアル IPv4/IPv6 SDM テンプレートについての詳細は、「SDM テンプレートの設定」を参照してください。

Catalyst 2960 スイッチで IPv4/IPv6 テンプレートを使用することにより、デュアル スタック環境でスイッチを使用できるようになります。

• デュアル IPv4/IPv6 テンプレートを最初に選択しないで IPv6 を設定しようとすると、警告メッセージが表示されます。

• IPv4 専用環境で、スイッチは Ipv4 QoS および ACL をハードウェアで適用します。IPv6 パケットはサポートされません。

• デュアル IPv4/IPv6 環境で、スイッチは IPv4 QoS および ACL をハードウェアで適用します。

• IPv6 QoS および ACL はサポートされていません。

• デュアル スタック テンプレートを使用すると各リソースの TCAM 容量が少なくなるので、IPv6 を使用しない場合はデュアル スタック テンプレートを使用しないでください。

IPv4/IPv6 プロトコル スタックの詳細については、Cisco.com の『 Cisco IOS IPv6 Configuration Library 』の「Implementing IPv6 Addressing and Basic Connectivity」の章を参照してください。

OSPFv3 での IPSec の設定 IPv6 による SNMP および Syslog

IPv4 と IPv6 の両方をサポートするには、IPv6 のネットワーク管理で IPv4 および IPv6 のトランスポートが必要になります。IPv6 による Syslog は、このトランスポートのアドレス データ タイプをサポートします。

IPv6 による SNMP および Syslog は、次の機能を提供します。

• IPv4 と IPv6 両方のサポート

• SNMP に対する IPv6 トランスポート、および SNMP 変更による IPv6 ホストのトラップのサポート

• IPv6 アドレス指定をサポートするための SNMP および Syslog に関連する MIB

• IPv6 ホストをトラップ レシーバとして設定

IPv6 に関連するサポートでは、SNMP は既存の IP トランスポート マッピングを変更して、IPv4 と IPv6 を同時にサポートします。次の SNMP 動作は、IPv6 トランスポート管理をサポートします。

• デフォルト設定のユーザ データグラム プロトコル（UDP）SNMP ソケットを開く

• SR_IPV6_TRANSPORT と呼ばれる新しいトランスポート メカニズムを提供

• IPv6 トランスポートによる SNMP 通知の送信

• IPv6 トランスポートの SNMP 名のアクセス リストのサポート

• IPv6 トランスポートを使用した SNMP プロキシ転送のサポート

• SNMP マネージャ機能と IPv6 トランスポートの連動確認

設定手順を含む、IPv6 による SNMP については、Cisco.com から『 Cisco IOS IPv6 Configuration Library 』の「Managing Cisco IOS Applications over IPv6」の章を参照してください。

設定手順を含む、IPv6 による Syslog については、Cisco.com の『 Cisco IOS IPv6 Configuration Library 』の「Implementing IPv6 Addressing and Basic Connectivity」の章を参照してください。

IPv6 による HTTP（S）

HTTP クライアントは要求を IPv4 HTTP サーバと IPv6 HTTP サーバの両方に送信し、これらのサーバは IPv4 HTTP クライアントと IPv6 HTTP クライアントの両方からの要求に応答します。IPv6 アドレスを含む URL は、16 ビット値をコロンで区切った 16 進数で指定する必要があります。

受信ソケット コールは、IPv4 アドレス ファミリまたは IPv6 アドレス ファミリを選択します。受信ソケットは、IPv4 ソケットまたは IPv6 ソケットのいずれかです。リスニング ソケットは、接続を示す IPvv4 と IPv6 の両方の信号を待ち受け続けます。IPv6 リスニング ソケットは、IPv6 ワイルドカード アドレスにバインドされています。

基本 TCP/IP スタックは、デュアル スタック環境をサポートします。HTTP には、TCP/IP スタック、およびネットワーク層相互作用を処理するためのソケットが必要です。

HTTP 接続が確立するためには、基本ネットワーク接続（ping）がクライアントとサーバ ホストとの間に存在する必要があります。

詳細については、Cisco.com の『 Cisco IOS IPv6 Configuration Library 』の「Managing Cisco IOS Applications over IPv6」の章を参照してください。

IPv6 とスイッチ スタック

スイッチにより、スタック全体で IPv6 転送がサポートされ、スタック マスターで IPv6 ホスト機能がサポートされます。スタック マスターにより、IPv6 ホスト機能および IPv6 アプリケーションが実行されます。

新しいスタック マスターが選択中およびリセット中の間には、スイッチ スタックによる IPv6 パケットの転送は行われません。スタック MAC アドレスが変更され、これによって IPv6 アドレスが変更されます。 ipv6 address ipv6-prefix/prefix length eui-64 インターフェイス コンフィギュレーション コマンドを使用して、拡張固有識別子（EUI）でスタック IPv6 アドレスを指定する場合、アドレスは、インターフェイス MAC アドレスに基づきます。「IPv6 アドレス指定の設定および IPv6 ホスト のイネーブル化」を参照してください。

スタック上で永続的な MAC アドレスを設定し、スタック マスターが変更された場合、スタック MAC アドレスは、約 4 分間、変更されません。詳細については、「スイッチ スタックの管理」の「永続的 MAC アドレスのイネーブル化」を参照してください。

IPv6 のデフォルト設定

表 36-1 に IPv6 のデフォルト設定を示します。

IPv6 アドレス指定の設定および IPv6 ホスト のイネーブル化

ここでは、IPv6 アドレスを各レイヤ 3 インターフェイスに割り当てて、IPv6 トラフィックをスイッチ上でグローバル転送する方法を説明します。

スイッチ上の IPv6 を設定する前に、次の注意事項に従ってください。

• 必ずデュアル IPv4/IPv6 SDM テンプレートを選択してください。

• ipv6 address インターフェイス コンフィギュレーション コマンドでは、16 ビット値を使用したコロン区切りの 16 進形式で指定したアドレスで指定した ipv6-address 変数および ipv6-prefix 変数を入力する必要があります。 prefix-length 変数（スラッシュ（/）で始まる）は、プレフィックス（アドレスのネットワーク部分）を構成するアドレスの上位連続ビット数を示す 10 進値です。

インターフェイス上の IPv6 トラフィックを転送するには、そのインターフェイス上でグローバル IPv6 アドレスを設定する必要があります。インターフェイス上で IPv6 アドレスを設定すると、リンクに対してローカルなアドレスの設定、およびそのインターフェイスに対する IPv6 のアクティブ化が自動的に行われます。設定されたインターフェイスは、次に示す、該当リンクの必須マルチキャスト グループに自動的に参加します。

• インターフェイスに割り当てられた各ユニキャスト アドレスの送信要求ノード マルチキャスト グループ FF02:0:0:0:0:1:ff00::/104（このアドレスはネイバー探索プロセスで使用される）

• すべてのノードを含む、ルータリンクに対してローカルなマルチキャスト グループ FF02::1

• すべてのルータを含む、リンクに対してローカルなマルチキャスト グループ FF02::2

IPv6 の設定の詳細については、Cisco.com の『 Cisco IOS IPv6 Configuration Library 』の「Implementing Addressing and Basic Connectivity for IPv6」の章を参照してください。

レイヤ 3 インターフェイスに IPv6 アドレスを割り当てて、IPv6 転送をイネーブルにするは、特権 EXEC モードで次の手順を実行します。

インターフェイスから IPv6 アドレスを削除するには、 no ipv6 address ipv6-prefix/prefix length eui-64 または no ipv6 address ipv6-address link-local インターフェイス コンフィギュレーション コマンドを使用します。インターフェイスから手動で設定したすべての IPv6 アドレスを削除するには、 no ipv6 address インターフェイス コンフィギュレーション コマンドを引数なしで使用します。IPv6 アドレスで明示的に設定されていないインターフェイスで IPv6 処理をディセーブルにするには、 no ipv6 enable インターフェイス コンフィギュレーション コマンドを使用します。IPv6 ルーティングをグローバルにディセーブルにするには、 no ipv6 unicast-routing グローバル コンフィギュレーション コマンドを使用します。

次に、IPv6 プレフィックス 2001:0DB8:c18:1::/64 に基づく、リンクに対してローカルなアドレスおよびグローバル アドレスを使用して、IPv6 をイネーブルにする例を示します。EUI-64 インターフェイス ID が、両方のアドレスの下位 64 ビットで使用されます。 show ipv6 interface EXEC コマンドの出力は、インターフェイスのリンクに対してローカルなプレフィックス FE80::/64 にインターフェイス ID（20B:46FF:FE2F:D940）を付加する方法を示しています。

IPv6 でのファーストホップ セキュリティの設定

• 「IPv6 スヌーピング ポリシーの設定」

• IPv6 バインディング テーブルの内容の設定

• IPv6 デバイス トラッキングの設定

• IPv6 ND 検査の設定

• IPv6 RA ガードの設定

• IPv6 PACL の設定

• 「IPv6 DHCP ガードの設定」

• 「IPv6 ソース ガードの設定」

• 「IPv6 でファーストホップ セキュリティを実装するための設定例」

IPv6 スヌーピング ポリシーの設定

スヌーピング ポリシーをインターフェイスまたは VLAN に適用するには、次の手順を実行します。

	アクションまたはコマンド	目的
ステップ 1	enable	特権 EXEC モードをイネーブルにします。パスワードを入力します（要求された場合）。
ステップ 2	configure terminal	グローバル コンフィギュレーション モードを開始します。
ステップ 3	interface type number	インターフェイスのタイプおよび番号を指定し、インターフェイス コンフィギュレーション モードを開始します。
ステップ 4	switchport ipv6 snooping attach-policy policy-name または vlan configuration vlan list ipv6 snooping attach-policy policy-name	スヌーピング ポリシー（データ グリーニングがイネーブル）をインターフェイスに適用します。ポートと、そのポートに適用されるポリシーを指定します。 （注） スヌーピング ポリシーで data-glean をイネーブルにした場合は、そのポリシーを VLAN ではなく、インターフェイスに適用する必要があります。
ステップ 5	show ipv6 snooping policy policy-name	スヌーピング ポリシー設定を表示します。
ステップ 6	show ipv6 neighbors binding	スヌーピング ポリシーによって入力されたバインディング テーブル エントリを表示します。

IPv6 DHCP ガードの設定

	アクションまたはコマンド	目的
ステップ 1	enable	特権 EXEC モードをイネーブルにします。パスワードを入力します（要求された場合）。
ステップ 2	configure terminal	グローバル コンフィギュレーション モードを開始します。
ステップ 3	ipv6 dhcp guard policy policy-name	グローバル コンフィギュレーション モードでポリシーを作成し、DHCP ガード ポリシー グローバル コンフィギュレーション モードを開始します。
ステップ 4	[ default | device-role [ client | server ] | no | exit | trusted-port ]	DHCP ガード ポリシーのパラメータを設定します。 • （任意） default ：コマンドをそのデフォルトに設定します。 • （任意） device-role [ client | server ]：ポートに接続されたデバイスのロールを認定します。 – client ：適用されたデバイスがクライアントであることを指定します。これはデフォルトです。このポートでは、すべてのサーバ メッセージがドロップされます。 – server ：適用されたデバイスが DHCP サーバであることを指定します。このポートでは、サーバ メッセージが許可されます。 • （任意） no ：設定されたポリシー パラメータを削除します。 • （任意） exit ：DHCP ガード ポリシー グローバル コンフィギュレーション モードを終了します。 • （任意） trusted-port ：ポートを信頼モードに設定します。このポートでは、これ以上のポリシングは実行されません。 （注） 信頼できるポートを設定した場合、device-role オプションは使用できません。
ステップ 5	exit	DHCP ガード ポリシー グローバル コンフィギュレーション モードを終了します。
ステップ 6	interface type number	インターフェイスのタイプおよび番号を指定し、インターフェイス コンフィギュレーション モードを開始します。
ステップ 7	ipv6 dhcp guard attach-policy policy-name または vlan configuration vlan-id	DHCP ガード ポリシーをインターフェイスまたは VLAN に適用します。
ステップ 8	show ipv6 dhcp guard policy policy-name	DHCP ガード ポリシー設定を表示します。

IPv6 ソース ガードの設定

IPv6 でファーストホップ セキュリティを実装するための設定例

次に、スヌーピング ポリシーを VLAN に適用する例と、信頼できる RA ルータ ポートおよび信頼できる DHCP サーバ ポートを設定する例を示します。

ここで、2/1/2 はルータ側のポートです。

ここで、1/0/17 は DHCP サーバ側のポートです。

次に、Test という名前のスヌーピング ポリシーを作成し、そのポリシーでデータ アドレス グリーニングをイネーブルにする例を示します。

次に、スヌーピング ポリシー Test を設定し、そのポリシーでデータ アドレス グリーニングをイネーブルにした後、リンクローカル アドレスが許可され、グローバルな自動設定アドレスが拒否されるソース ガードをイネーブルにする例を示します。

次に、ソース ガードを含むスヌーピング ポリシーをインターフェイスに適用する例を示します。

次に、DHCP ガード ポリシー Test を設定し、それをインターフェイスに適用する例を示します。

または

次に、ポリシーを作成せずに、インターフェイスまたは VLAN で FHS 機能をイネーブルにする例を示します。

（注） ポリシーを作成すると、ニーズに応じて設定する柔軟性が得られます。ポリシーを作成せずにこの機能をイネーブルにした場合は、デフォルトのポリシー設定が適用されます。

または

（注） ソース ガード ポリシーを VLAN に適用することはできません。

この他の例については、Cisco.com の『Cisco IOS IPv6 Configuration Library』の「 Configuration Examples for Implementing First Hop Security in IPv6 」を参照してください。

IPv6 ICMP レート制限の設定

ICMP レート制限はデフォルトでイネーブルです。エラー メッセージのデフォルト間隔は 100 ミリ秒、デフォルト バケット サイズ（バケットに格納される最大トークン数）は 10 です。

ICMP レート制限パラメータを変更するには、特権 EXEC モードで次の手順を実行します。

デフォルト設定に戻すには、 no ipv6 icmp error-interval グローバル コンフィギュレーション コマンドを使用します。

次に、IPv6 ICMP エラー メッセージ間隔を 50 ミリ秒に、バケット サイズを 20 トークンに設定する例を示します。

IPv6 のスタティック ルートの設定

IPv6 スタティック ルートを設定するには、特権 EXEC モードで次の手順を実行します。

設定されたスタティック ルートを削除するには、 no ipv6 route ipv6-prefix/prefix length { ipv6-address | interface-id [ ipv6-address ]} [ administrative distance ] グローバル コンフィギュレーション コマンドを使用します。

次に、アドミニストレーティブ ディスタンスが 130 のフローティング スタティック ルートをインターフェイスに設定する例を示します。

スタティック IPv6 ルーティングの設定の詳細については、Cisco.com の『 Cisco IOS IPv6 Configuration Library 』の「Implementing Static Routes for IPv6」の章を参照してください。