Cisco CGS 2520 コマンド リファレンス Cisco IOS Release 12.2(53)EX

 

構文の説明

 

デフォルト

AAA アカウンティングはディセーブルです。

 

コマンド履歴

 

使用上のガイドライン

このコマンドは、RADIUS サーバへのアクセスが必要です。

（注） インターフェイスに IEEE 802.1x RADIUS アカウンティングを設定する前に、authentication periodic インターフェイス コンフィギュレーション コマンドを入力することを推奨します。

例

次の例では、IEEE 802.1x アカウンティングを設定する方法を示します。

（注） RADIUS 認証サーバは、AAA クライアントから更新パケットやウォッチドッグ パケットを受け入れて記録するよう、適切に設定する必要があります。

 

関連コマンド

 

構文の説明

（注） 他のキーワードがコマンドラインのヘルプ ストリングに表示されますが、サポートされているのは default および group radius キーワードだけです。

 

デフォルト

認証は実行されません。

 

コマンド履歴

 

使用上のガイドライン

method 引数には、認証アルゴリズムがクライアントからのパスワードを確認するために一定の順序で試みる方式を指定します。実際に IEEE 802.1x に準拠している唯一の方式は、クライアント データが RADIUS 認証サーバに対して確認される group radius 方式です。

group radius を指定した場合、 radius-server host グローバル コンフィギュレーション コマンドを使用して RADIUS サーバを設定する必要があります。

設定された認証方式のリストを表示するには、 show running-config 特権 EXEC コマンドを使用します。

例

次の例では AAA をイネーブルにして IEEE 802.1x 準拠の認証リストを作成する方法を示します。この認証は、最初に RADIUS サーバとの交信を試みます。この動作でエラーが返信された場合、ユーザはネットワークへのアクセスが許可されません。

設定を確認するには、 show running-config 特権 EXEC コマンドを入力します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトのアクションは、パケットの転送です。

 

コマンド履歴

 

使用上のガイドライン

vlan access-map グローバル コンフィギュレーション コマンドを使用して、アクセスマップ コンフィギュレーション モードを開始します。

アクションが drop の場合は、一致条件に Access Control List（ACL; アクセス コントロール リスト）名を設定後、そのマップを VLAN に適用してアクセス マップを定義する必要があります。定義しない場合、すべてのパケットがドロップされることがあります。

アクセス マップ コンフィギュレーション モードでは、 match アクセス マップ コンフィギュレーション コマンドを使用して、VLAN マップの一致条件を定義できます。 action コマンドを使用すると、パケットが条件に一致したときに実行するアクションを設定できます。

drop パラメータおよび forward パラメータは、このコマンドの no 形式では使用されません。

例

次の例では、VLAN アクセス マップ vmap4 を指定し VLAN 5 と VLAN 6 に適用する方法を示します。このアクセス マップは、パケットがアクセス リスト al2 に定義された条件に一致する場合に、VLAN がその IP パケットを転送するように指定します。

設定を確認するには、 show vlan access-map 特権 EXEC コマンドを入力します。

 

関連コマンド

 

デフォルト

アラームは設定されていません。

 

コマンド履歴

 

使用上のガイドライン

no alarm contact contact-number description は、説明を空の文字列に設定します。

no alarm contact { contact-number | all } severity は、アラーム接点の重大度をマイナーに設定します。

no alarm contact { contact-number | all } trigger は、外部アラーム接点のトリガーをクローズに設定します。

例

次の例は、接点がオープンのときにクリティカル アラームを報告するようにアラーム接点番号 1 を設定する方法を示します。

show env alarm-contact または show running-config 特権 EXEC コマンドを入力すると、設定を確認できます。

次の例は、クリア アラーム接点番号 1 と show のコマンド出力を設定する方法を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトのしきい値は 10% です。

 

コマンド履歴

 

使用上のガイドライン

ヒステリシスしきい値を設定すると、設定されたレートの近くまで FCS ビットエラー レートが変動した場合にアラームがトリガーされます。

FCS ヒステリシスしきい値はスイッチすべてのポートで設定します。ポートごとに FCS エラー レートを設定するには、fcs-threshold インターフェイス コンフィギュレーション コマンドを使用します。

しきい値がデフォルト値ではない場合、 show running-config 特権 EXEC コマンドの出力に表示されます。

例

次の例では、FCS エラー ヒステリシスを 5% に設定する方法を示します。ビット エラー レートが設定した FCS ビットエラー レートを 5% 超過するとアラームがトリガーされます。

 

関連コマンド

 

構文の説明

 

デフォルト

電源アラーム メッセージは保存されますが、SNMP サーバ、リレー、または syslog サーバに送信されません。

 

コマンド履歴

 

使用上のガイドライン

電源アラームは、システムがデュアル電源モードの場合にのみ生成されます。2 つ目の電源が接続された場合、 power-supply dual グローバル コンフィギュレーション コマンドを使用してデュアル電源モードの動作を設定します。

キーワード notifies を使用してアラーム トラップを SNMP ホストに送信する前に、snmp-server enable traps グローバル コンフィギュレーション コマンドを使用して SNMP サーバを設定してください。

例

次の例では、電源モニタリング アラームをマイナー リレー回路に送信する設定方法を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

プライマリ温度アラームは -4 ～ 203 ºF（-20 ～ 95 ºC）の範囲でイネーブルになっており、ディセーブルにできません。アラームはメジャー リレーに関連付けられています。セカンダリ温度アラームはデフォルトでディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

プライマリ温度アラームは自動的にイネーブルになります。アラームはディセーブルにできませんが、アラーム オプションを設定できます。

プライマリ温度アラームの範囲は、high および low キーワードを使用して設定できます。

温度が最大プライマリ温度のしきい値よりも小さいしきい値に達した場合に高温アラームをトリガーするには、セカンダリ温度アラームを使用します。温度しきい値とアラーム オプションを設定できます。

notifies キーワードを使用してアラーム トラップを SNMP ホストに送信する前に、snmp-server enable traps グローバル コンフィギュレーション コマンドを使用して SNMP サーバを設定してください。

例

次の例では、セカンダリ温度の高温しきい値に 113 ºF（45 ºC）とアラームを設定し、トラップをマイナー リレー回路、syslog、および SNMP サーバに送信する方法を示します。

次の例では、セカンダリ温度アラームをディセーブルにする方法を示します。

次の例では、プライマリ温度アラームを設定し、syslog とメジャー リレー回路にアラームとトラップを送信する方法を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

アラーム プロファイルは作成されません。

プロファイルを作成しても、アラームは 1 つもイネーブルになりません。

 

コマンド履歴

 

使用上のガイドライン

アラームプロファイル モードの使用可能なコマンド：

• alarm alarm-id ：特定のアラームがイネーブルになります。

• exit ：アラームプロファイル コンフィギュレーション モードを終了します。

• help ：インタラクティブ ヘルプ システムの説明が表示されます。

• no： コマンドを無効にするか、デフォルトに設定します。

• notifies alarm-id： アラームの通知がイネーブルになり、Simple Network Management Protocol（SNMP;簡易ネットワーク管理プロトコル）トラップが SNMP サーバに送信されます。

• relay-major alarm-id ：アラームがメジャー リレー回路に送信されます。

• relay-minor alarm-id： アラームがマイナー リレー回路に送信されます。

• syslog alarm-id： アラームが syslog ファイルに送信されます。

alarm-id には、アラーム ID を 1 つまたはスペースで区切って複数入力します。

キーワード notifies を使用してアラーム トラップを SNMP ホストに送信する前に、snmp-server enable traps グローバル コンフィギュレーション コマンドを使用して SNMP サーバを設定してください。

インターフェイスにはすべて、デフォルト プロファイルが存在します。 show alarm profile ユーザ EXEC コマンドを入力して defaultPort の出力を確認してください。

アラーム プロファイルを作成すると、 alarm-profile インターフェイス コンフィギュレーション コマンドを使用して、プロファイルをインターフェイスに関連付けられます。

デフォルトでは、 defaultPort プロファイルはすべてのインターフェイスに適用されます。このプロファイルによって、ポートが動作していない（3）アラームのみがイネーブルになります。このプロファイルは、 alarm profile defaultPort グローバル コンフィギュレーション コマンドを使用し、アラーム プロファイル コンフィギュレーション モードを開始して変更できます。

例

次の例では、ポートのリンク障害（アラーム 1）とポートでフォワーディングされない（アラーム 2）アラームがイネーブルのアラーム プロファイル fastE を作成する方法を示します。リンク障害アラームはマイナー リレー回路に関連付けられており、ポートでフォワーディングされないアラームはメジャーリレー回路に関連付けられてます。このアラームは SNMP サーバに送信され、システム ログ ファイル（syslog）に書き込まれます。

次の例では、my-profile という名前のアラーム リレー プロファイルを削除する方法を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

アラーム プロファイル defaultPort がすべてのインターフェイスに適用されています。このプロファイルでは、ポートが動作していないアラームのみがイネーブルです。

 

コマンド履歴

 

使用上のガイドライン

アラーム プロファイルを作成して、アラームを 1 つ以上イネーブルにし、アラーム オプションを指定するには、 alarm profile グローバル コンフィギュレーション コマンドを使用します。

インターフェイスに関連付けられるアラーム プロファイルは 1 つのみです。

アラーム プロファイルをインターフェイスに関連付けると、そのインターフェイスにすでに関連付けられていたアラーム プロファイルは上書きされます（ defaultPort プロファイルを含む）。

例

次の例では、ポートにアラーム プロファイル fastE を関連付ける方法を示します。

次の例では、ポートからアラーム プロファイルの関連付けを解除して、 defaultPort プロファイルに戻す方法を示します。

 

関連コマンド.

 

構文の説明

 

デフォルト

デフォルトでは、アラーム リレーがオープンされると、ポジティブ モードに設定されます。スイッチの電源がオフの場合、アラーム リレーはすべてオープンです。アラーム イベントが 1 つ以上検出されると、アラーム リレーはクローズされます。

 

コマンド履歴

 

使用上のガイドライン

アラーム リレーの動作を元に戻すには、このコマンドを使用します。アラーム リレー モードがネガティブに設定されている場合、アラーム リレーは通常クローズされています。アラーム イベントが 1 つ以上検出されると、該当するアラーム リレーがオープンされます。

例

次の例では、アラーム リレーをネガティブ モードに設定する方法を示します。

Switch(config)# alarm relay-mode negative

 

関連コマンド

 

構文の説明

 

デフォルト

現行のソフトウェア イメージは、ダウンロードされたイメージで上書きされません。

ソフトウェア イメージと HTML ファイルの両方がダウンロードされます。

新しいイメージは flash: ファイル システムにダウンロードされます。

BOOT 環境変数は、flash: ファイル システムの新しいソフトウェア イメージを示すよう変更されます。

イメージ名では大文字と小文字が区別されます。イメージ ファイルは tar フォーマットで提供されます。

ダウンロードするイメージでのバージョンの互換性がチェックされます。

 

コマンド履歴

 

使用上のガイドライン

/imageonly オプションは、既存のイメージが削除または置き換えられている場合に、既存のイメージの HTML ファイルを削除します。（HTML ファイルのない）Cisco IOS イメージだけがダウンロードされます。

/safe または /leave-old-sw オプションを指定すると、十分なフラッシュ メモリがない場合には新しいイメージのダウンロードが行われないようにすることができます。ソフトウェアを残すことによってフラッシュ メモリの空き容量が不足し、新しいイメージが入りきらなかった場合に、エラーが発生します。

/leave-old-sw オプションを使用し、新しいイメージをダウンロードしたときに古いイメージが上書きされなかった場合、 delete 特権 EXEC コマンドを使用して古いイメージを削除することができます。詳細については、「delete」を参照してください。

（注） /no-version-check オプションの使用には注意が必要です。このオプションを使用すると、最初にイメージにスイッチとの互換性があることを確認せずにイメージをダウンロードできます。

フラッシュ デバイスのイメージをダウンロードされたイメージで上書きする場合は、 /overwrite オプションを使用します。

/overwrite オプション なし でこのコマンドを指定する場合、ダウンロード アルゴリズムは、新しいイメージが、スイッチ フラッシュ デバイスのイメージと同じではないことを確認します。イメージが同じである場合は、ダウンロードは行われません。イメージが異なっている場合、古いイメージは削除され、新しいイメージがダウンロードされます。

新しいイメージをダウンロードした後で、 reload 特権 EXEC コマンドを入力して新しいイメージの使用を開始するか、または archive download-sw コマンドの /reload オプションか /force-reload オプションを指定してください。

例

次の例では、172.20.129.10 の TFTP サーバから新しいイメージをダウンロードし、スイッチでイメージを上書きする方法を示します。

次の例では、172.20.129.10 の TFTP サーバからソフトウェア イメージだけをスイッチにダウンロードする方法を示します。

次の例では、ダウンロードに成功した後で古いソフトウェア バージョンを保存する方法を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

なし

 

コマンド履歴

 

使用上のガイドライン

ファイル名およびディレクトリ名は、大文字と小文字を区別します。

イメージ名では、大文字と小文字が区別されます。

例

次の例では、tar ファイルを作成する方法を示します。このコマンドはローカル フラッシュ デバイスの new-configs ディレクトリの内容を、172.20.10.30 の TFTP サーバの saved.tar という名前のファイルに書き込みます。

次の例では、フラッシュ メモリに含まれるファイルの内容を表示する方法を示します。tar ファイルの内容が画面に表示されます。

次の例は、 html ディレクトリおよびその内容だけを表示する方法を示します。

次の例では、172.20.10.30 のサーバにある tar ファイルの内容を抽出する方法を示します。ここでは、ローカル フラッシュ ファイル システムのルート ディレクトリに単に new-configs ディレクトリを抽出しています。 saved.tar ファイルの残りのファイルは無視されます。

 

関連コマンド

 

構文の説明

 

デフォルト

flash: ファイル システムから現在稼動中のイメージをアップロードします。

 

コマンド履歴

 

使用上のガイドライン

組み込みデバイス マネージャに関連付けられている HTML ファイルが既存のイメージとともにインストールされている場合にだけ、アップロード機能を使用します。

ファイルは、Cisco IOS イメージ、HTML ファイル、info の順序でアップロードされます。これらのファイルがアップロードされると、ソフトウェアは tar ファイルを作成します。

イメージ名では、大文字と小文字が区別されます。

例

次の例では、現在実行中のイメージを、172.20.140.2 の TFTP サーバへアップロードする方法を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

ARP アクセス リストは定義されていません。

 

コマンド履歴

 

使用上のガイドライン

arp access-list コマンドを入力すると、ARP アクセス リスト コンフィギュレーション モードに入り、次のコンフィギュレーション コマンドが使用可能になります。

• default ：コマンドをデフォルト設定に戻します。

• deny ：パケットを拒否するように指定します。詳細については、「deny（ARP アクセス リスト コンフィギュレーション）」を参照してください。

• exit ：ARP アクセス リスト コンフィギュレーション モードを終了します。

• no ：コマンドを無効にするか、デフォルト設定に戻します。

• permit ：パケットを転送するように指定します。詳細については、「permit（ARP アクセス リスト コンフィギュレーション）」を参照してください。

指定された一致条件に基づいて ARP パケットを転送またはドロップするには、 permit または deny アクセス リスト コンフィギュレーション コマンドを使用します。

ARP ACL が定義されると、 ip arp inspection filter vlan グローバル コンフィギュレーション コマンドを使用して VLAN に ARP ACL を適用できます。IP/MAC アドレス バインディングだけを含む ARP パケットが ACL と比較されます。それ以外のすべてのパケット タイプは、検証されずに、入力 VLAN 内でブリッジングされます。ACL がパケットを許可すると、スイッチがパケットを転送します。明示的拒否ステートメントによって ACL がパケットを拒否すると、スイッチがパケットをドロップします。暗黙拒否ステートメントによって ACL がパケットを拒否すると、スイッチはパケットを DHCP バインディングのリストと比較します。ただし、ACL が スタティック （パケットがバインディングと比較されない）である場合を除きます。

例

次の例では、ARP アクセス リストを定義し、IP アドレスが 1.1.1.1 で MAC アドレスが 0000.0000.abcd のホストからの ARP 要求と ARP 応答の両方を許可する方法を示します。

設定を確認するには、 show arp access-list 特権 EXEC コマンドを入力します。

 

関連コマンド

 

構文の説明

 

デフォルト

ポートは双方向モードに設定されています。

 

コマンド履歴

 

使用上のガイドライン

デフォルト設定の双方向モードに戻すには、このコマンドの both キーワードまたは no 形式を使用します。

例

次の例では、双方向モードをイネーブルにする方法を示します。

次の例では、単一方向モードをイネーブルにする方法を示します。

show authentication 特権 EXEC コマンドを入力することにより、設定を確認できます。

 

関連コマンド

 

構文の説明

 

コマンド デフォルト

デフォルト遅延は 1000 ミリ秒です。

 

コマンド履歴

例

次の例は、クリティカルな回復遅延時間を 1500 ミリ秒に設定する方法を示します。

 

構文の説明

イベント応答はポートに設定されません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドに fail 、 no-response 、または event キーワードを付けて使用して、特定のアクションのスイッチ応答を設定します。

server-dead イベントの場合：

• スイッチが critical-authentication ステートに移ると、認証を試行している新しいホストが critical-authentication VLAN（またはクリティカル VLAN）に移動されます。ポートがシングルホスト モード、マルチホスト モード、マルチ認証モード、または MDA モードの場合、これが適用されます。認証済みホストは認証済み VLAN に残り、再認証タイマーはディセーブルになります。

• クライアントで Windows XP を稼動し、クライアントが接続されているクリティカル ポートが critical-authentication ステートである場合、Windows XP はインターフェイスが認証されていないことを報告します。

Windows XP クライアントに DHCP が設定されており、DHCP サーバからの IP アドレスが設定されている場合に、クリティカル ポートで EAP 認証成功メッセージを受信しても、DHCP 設定プロセスは再初期化できません。

no-response イベントの場合：

• IEEE 802.1x ポートでゲスト VLAN をイネーブルにした場合、認証サーバが Extensible Authentication Protocol over LAN（EAPOL）Request/Identity フレームに対する応答を受信しないか、EAPOL パケットがクライアントから送信されないと、スイッチではクライアントをゲスト VLAN に割り当てます。

• スイッチは EAPOL パケット履歴を保持します。リンクの存続時間内に別の EAPOL パケットがポート上で検出された場合、ゲスト VLAN 機能はディセーブルになります。ポートがすでにゲスト VLAN ステートにある場合、ポートは無許可ステートに戻り、認証が再開されます。EAPOL 履歴はクリアされます。

• スイッチ ポートがゲスト VLAN（マルチホスト モード）に移動されると、IEEE 802.1x 対応でないクライアントに、アクセスが許可されます。IEEE 802.1x 対応クライアントが、ゲスト VLAN を設定しているポートと同じポートに加わると、ポートは RADIUS 設定 VLAN またはユーザ設定アクセス VLAN の無許可ステートに移行し、認証が再開されます。

Remote Switched Port Analyzer（RSPAN; リモート スイッチド ポート アナライザ）VLAN、プライマリ プライベート VLAN、または音声 VLAN 以外のアクティブなすべての VLAN は、IEEE 802.1x のゲスト VLAN として設定できます。ゲスト VLAN 機能は、アクセス ポートでだけサポートされます。内部 VLAN（ルーテッド ポート）またはトランク ポートではサポートされません。

• MAC 認証バイパスが IEEE 802.1x ポートでイネーブルの場合に、EAPOL メッセージ交換を待機している間に IEEE802.1x 認証が期限切れになると、スイッチでは、クライアントの MAC アドレスに基づいてクライアントを許可できます。スイッチは、IEEE 802.1x ポート上のクライアントを検出した後で、クライアントからのイーサネット パケットを待機します。スイッチは、MAC アドレスに基づいたユーザ名およびパスワードを持つ RADIUS-access/request フレームを認証サーバに送信します。

– 認証に成功すると、スイッチはクライアントにネットワークへのアクセスを許可します。

– 認証に失敗すると、スイッチはポートにゲスト VLAN を割り当てます（指定されていない場合）。

詳細については、ソフトウェア コンフィギュレーション ガイドの「Configuring IEEE 802.1x Port-Based Authentication」の章の「Using IEEE 802.1x Authentication with MAC Authentication Bypass」の項を参照してください。

authentication-fail イベントの場合：

• サプリカントが認証に失敗すると、ポートは制限 VLAN に移動され、EAP 成功メッセージがサプリカントに送信されます。これは、サプリカントには実際の認証の失敗が通知されないためです。

– EAP の成功メッセージが送信されない場合、サプリカントは 60 秒ごと（デフォルト）に EAP 開始メッセージを送信して認証を行おうとします。

– 一部のホスト（たとえば、Windows XP を実行中のデバイス）は、EAP の成功メッセージを受け取るまで DHCP を実装できません。

制限 VLAN は、シングルホスト モード（デフォルトのポート モード）でだけサポートされます。ポートが制限 VLAN に配置されると、サプリカントの MAC アドレスが MAC アドレス テーブルに追加されます。ポート上の他の MAC アドレスはすべてセキュリティ違反として扱われます。

• レイヤ 3 ポートの内部 VLAN を制限 VLAN として設定することはできません。同じ VLAN を制限 VLAN としておよび音声 VLAN として指定することはできません。

制限 VLAN による再認証をイネーブルにしてください。再認証がディセーブルにされていると、制限 VLAN に含まれているポートでは、ディセーブルにされている場合に再認証要求を受け取りません。

再認証プロセスを開始するには、制限 VLAN がポートからリンクダウン イベントまたは Extensible Authentication Protocol（EAP）ログオフ イベントを受け取る必要があります。ホストがハブ経由で接続されている場合：

– ホストが切断された場合にポートではリンクダウン イベントを受け取らないことがあります。

– ポートでは、次の再認証試行が行われるまで、新しいホストを検出しないことがあります。

制限 VLAN を異なるタイプの VLAN として再設定すると、制限 VLAN のポートも移行され、それらは現在認証されたステートのままになります。

例

次の例では、authentication event fail コマンドの設定方法を示します。

次の例では、応答なしアクションの設定方法を示します。

次の例では、サーバ応答アクションの設定方法を示します。

次の例では、RADIUS サーバが使用できない場合に、新規および既存のホストをクリティカル VLAN に送信するようポートを設定する方法を示します。

次の例では、RADIUS サーバが使用できない場合に、新規および既存のホストをクリティカル VLAN に送信するようポートを設定する方法を示します。ポートをマルチホスト モードまたはマルチ認証モードにするには、このコマンドを使用します。

show authentication 特権 EXEC コマンドを入力することにより、設定を確認できます。

 

関連コマンド

 

構文の説明

 

デフォルト

フォールバックはイネーブルではありません。

 

コマンド履歴

 

使用上のガイドライン

フォールバック方式を設定する前に authentication port-control auto インターフェイス コンフィギュレーション コマンドを入力する必要があります。

Web 認証をフォールバック方式として設定できるのは、802.1x または MAB に対してだけです。したがってフォールバックできるようにするには、この認証方式の 1 つまたは両方を設定する必要があります。

例

次の例では、ポートのフォールバック プロファイルを指定する方法を示します。

show authentication 特権 EXEC コマンドを入力することにより、設定を確認できます。

 

関連コマンド

 

構文の説明

 

デフォルト

シングルホスト モードがイネーブルにされています。

 

コマンド履歴

 

使用上のガイドライン

接続されているデータ ホストが 1 つだけの場合は、シングルホスト モードを設定する必要があります。シングルホスト ポートでの認証のために音声デバイスを接続しないでください。ポートで音声 VLAN が設定されていないと、音声デバイスの許可が失敗します。

ハブ越しの 8 台までのデバイスに、個別の認証を通じて保護されたポート アクセスの取得を許可するには、マルチ認証モードを設定する必要があります。音声 VLAN が設定されている場合は、このモードで認証できる音声デバイスは 1 つだけです。

マルチホスト モードでも、ハブ越しの複数ホストのためのポート アクセスが提供されますが、マルチホスト モードでは、最初のユーザが認証された後でデバイスに対して無制限のポート アクセスが与えられます。

例

次の例では、ポートのマルチ認証モードをイネーブルにする方法を示します。

次の例では、ポートのマルチホスト モードをイネーブルにする方法を示します。

次の例では、ポートのシングルホスト モードをイネーブルにする方法を示します。

show authentication 特権 EXEC コマンドを入力することにより、設定を確認できます。

 

関連コマンド

 

構文の説明

このコマンドには、引数またはキーワードはありません。

 

デフォルト

MAC 移動はイネーブルです。

 

コマンド履歴

 

使用上のガイドライン

このコマンドを使用すると、スイッチの 802.1x 対応ポート間で認証ホストを移動できます。たとえば、認証されたホストとポートの間にデバイスがあり、そのホストが別のポートに移動した場合、認証セッションは最初のポートから削除され、ホストは新しいポート上で再認証されます。

MAC 移動がディセーブルで、認証されたホストが別のポートに移動した場合、そのホストは再認証されず、違反エラーが発生します。

MAC 移動は、ポート セキュリティ対応の 802.1x ポートではサポートされません。MAC 移動がスイッチ上でグローバルに設定され、ポート セキュリティ対応ホストが 802.1x 対応ポートに移動した場合、違反エラーが発生します。

例

次の例では、スイッチ上で MAC 移動をイネーブルにする方法を示します。

 

関連コマンド

 

デフォルト

オープン アクセスはディセーブルにされています。

 

コマンド履歴

 

使用上のガイドライン

認証の前にネットワーク アクセスを必要とするデバイスでは、オープン認証がイネーブルにされている必要があります。

オープン認証をイネーブルにしてあるときは、ポート ACL を使用してホスト アクセスを制限する必要があります。

例

次の例では、ポートのオープン アクセスをイネーブルにする方法を示します。

次の例では、ポートのオープン アクセスをディセーブルにするようポートを設定する方法を示します。

 

関連コマンド

 

構文の説明

 

コマンド デフォルト

デフォルトの認証順序は dot1x 、 mab 、および webauth の順です。

 

コマンド履歴

 

使用上のガイドライン

順序付けでは、スイッチがポートに接続された新しいデバイスを認証しようとするときに試行する方式の順序を設定します。リスト内の方式の 1 つで成功しないと、次の方式が試行されます。

各方式は一度だけ試行できます。弾力的順序付けは、802.1x と MAB の間でだけ可能です。

Web 認証は、スタンドアロン方式として設定するか、順序において 802.1x または MAB のいずれかの後で最後の方式として設定することができます。Web 認証は dot1x または mab に対するフォールバックとしてだけ設定する必要があります。

例

次の例では、最初の認証方式として 802.1x を、2 番めの方式として MAB を、3 番めの方式として Web 認証を追加する方法を示します。

次の例では、最初の認証方式として MAC 認証バイパス（MAB）を、2 番めの認証方式として Web 認証を追加する方法を示します。

show authentication 特権 EXEC コマンドを入力することにより、設定を確認できます。

 

関連コマンド

 

コマンド デフォルト

再認証はディセーブルにされています。

 

コマンド履歴

 

使用上のガイドライン

定期的に再認証を行う間隔の時間を設定するには、 authentication timer reauthentication インターフェイス コンフィギュレーション コマンドを使用します。

例

次の例では、ポートの定期的再認証をイネーブルにする方法を示します。

次の例では、ポートの定期的再認証をディセーブルにする方法を示します。

show authentication 特権 EXEC コマンドを入力することにより、設定を確認できます。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの設定は force-authorized です。

 

コマンド履歴

 

使用上のガイドライン

auto キーワードは、次のいずれかのポート タイプでだけ使用してください。

• トランク ポート：トランク ポートで IEEE 802.1x 認証をイネーブルにしようとすると、エラー メッセージが表示され、IEEE 802.1x はイネーブルになりません。IEEE 802.1x 対応ポートのモードをトランクに変更しようとしても、エラー メッセージが表示され、ポート モードは変更されません。

• ダイナミック ポート：ダイナミック ポートは、ネイバーとネゴシエートして、トランク ポートになることができます。ダイナミック ポートで IEEE 802.1x 認証をイネーブルにしようとすると、エラー メッセージが表示され、IEEE 802.1x 認証はイネーブルになりません。IEEE 802.1x 対応ポートのモードをダイナミックに変更しようとすると、エラー メッセージが表示され、ポート モードは変更されません。

• ダイナミック アクセス ポート：ダイナミック アクセス（VLAN Query Protocol（VQP））ポートで IEEE 802.1x 認証をイネーブルにしようとすると、エラー メッセージが表示され、IEEE 802.1x 認証はイネーブルになりません。IEEE 802.1x 対応ポートをダイナミック VLAN に変更しようとすると、エラー メッセージが表示され、VLAN 設定は変更されません。

• EtherChannel ポート：アクティブまたはアクティブでない EtherChannel メンバであるポートを IEEE 802.1x ポートとして設定しないでください。EtherChannel ポートで IEEE 802.1x 認証をイネーブルにしようとすると、エラー メッセージが表示され、IEEE 802.1x 認証はイネーブルになりません。

• Switched Port Analyzer（SPAN; スイッチド ポート アナライザ）および Remote SPAN（RSPAN）宛先ポート：SPAN または RSPAN 宛先ポートであるポートの IEEE 802.1x 認証をイネーブルにすることができます。ただし、そのポートが SPAN または RSPAN 宛先として削除されるまで、IEEE 802.1x 認証はディセーブルのままです。SPAN または RSPAN 送信元ポートでは IEEE 802.1x 認証をイネーブルにすることができます。

スイッチで IEEE 802.1x 認証をグローバルにディセーブルにするには、no dot1x system-auth-control グローバル コンフィギュレーション コマンドを使用します。特定のポートで IEEE 802.1x 認証をディセーブルにするか、デフォルト設定に戻すには、no authentication port-control インターフェイス コンフィギュレーション コマンドを使用します。

例

次の例では、ポート ステートを自動に設定する方法を示します。

次の例では、ポート ステートを force- authorized ステートに設定する方法を示します。

次の例では、ポート ステートを force-unauthorized ステートに設定する方法を示します。

show authentication 特権 EXEC コマンドを入力することにより、設定を確認できます。

 

関連コマンド

 

構文の説明

 

コマンド デフォルト

デフォルトのプライオリティは、802.1x 認証、MAC 認証バイパス、Web 認証の順です。

 

コマンド履歴

 

使用上のガイドライン

順序付けでは、スイッチがポートに接続された新しいデバイスを認証しようとするときに試行する方式の順序を設定します。

ポートにフォールバック方式を複数設定するときは、Web 認証（webauth）を最後に設定してください。

異なる認証方式にプライオリティを割り当てることにより、プライオリティの高い方式を、プライオリティの低い進行中の認証方式に割り込ませることができます。

（注） クライアントがすでに認証されている場合に、プライオリティの高い方式の割り込みが発生すると、再認証されることがあります。

認証方式のデフォルトのプライオリティは、実行リストの順序におけるその位置と同じで、802.1x 認証、MAC 認証バイパス、Web 認証の順です。このデフォルトの順序を変更するには、キーワード dot1x、mab、および webauth を使用します。

例

次の例では、802.1x を最初の認証方式、Web 認証を 2 番めの認証方式として設定する方法を示します。

次の例では、MAC 認証バイパス（MAB）を最初の認証方式、Web 認証を 2 番めの認証方式として設定する方法を示します。

show authentication 特権 EXEC コマンドを入力することにより、設定を確認できます。

 

関連コマンド

 

構文の説明

 

デフォルト

キーワード inactivity および restart は、オフに設定されています。reauthenticate キーワードは 1 時間に設定されます。

 

コマンド履歴

 

使用上のガイドライン

タイムアウト値を設定しないと、802.1x セッションは、無期限で認証されたままになります。他のホストではそのポートを使用できず、接続されているホストは、同じスイッチの別のポートに移動できません。

例

次の例では、認証非アクティビティ タイマーを 60 秒に設定する方法を示します。

次の例では、再認証タイマーを 120 秒に設定する方法を示します。

show authentication 特権 EXEC コマンドを入力することにより、設定を確認できます。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトでは、authentication violation shutdown モードはイネーブルです。

 

コマンド履歴

例

次の例では、新しいデバイスがポートに接続する場合に、errdisable になり、シャットダウンするように IEEE 802.1x 対応ポートを設定する方法を示します。

次の例では、新しいデバイスがポートに接続された場合にシステム エラー メッセージを生成し、制限モードに切り替わるように IEEE 802.1x 対応ポートを設定する方法を示します。

次の例では、新しいデバイスがポートに接続された場合にそのデバイスを無視するように IEEE 802.1x 対応ポートを設定する方法を示します。

次の例は、新しいデバイスがポートに接続された場合に、古いセッションを切断して、新しいデバイスを認証する単一ホスト モードである IEEE 802.1x 対応ポートを設定する方法を示します。

show authentication 特権 EXEC コマンドを入力することにより、設定を確認できます。

 

関連コマンド

 

構文の説明

 

デフォルト

帯域幅は定義されていません。

 

コマンド履歴

 

使用上のガイドライン

出力トラフィックを制御するには、 bandwidth ポリシーマップ クラス コマンドを使用します。 bandwidth コマンドは、そのクラス内のトラフィックの帯域幅を指定します。CBWFQ はクラスに割り当てられた帯域幅から、クラスに属するパケットの重み付けを取得し、この重み付けを使用して、このクラスのキューが適正に処理されるようにします。帯域幅設定は、入力ポリシー マップでサポートされません。

トラフィックのクラスの帯域幅を絶対レート（kb/s）または帯域幅に対する割合（ percent value ）として設定すると、その帯域幅はそのトラフィック クラスの最小帯域幅保証または認定情報レート（CIR）を表します。つまり、トラフィック クラスは最低でもコマンドにより指定された帯域幅を取得しますが、その帯域幅に制限されるわけではありません。ポートの超過帯域幅はすべて、設定済み CIR レートと同じ比率で各クラスに割り当てられます。

bandwidth remaining percent コマンドを入力すると、絶対帯域幅が保証されず、相対帯域幅のみが確認されます。クラスの帯域幅は、常に、ポートに設定された指定帯域幅の割合に比例します。

出力ポリシーで帯域幅を設定する場合、各帯域幅設定で同じ単位を指定する必要があります。つまり、すべての絶対値（レート）にするか、またはパーセントにします。

ポリシーの各キューにおける最小帯域幅保証の合計速度は、インターフェイスの合計速度を上回ることはできません。 percent キーワードが使用されている場合、クラスの帯域幅の割合の合計が 100% を超えることはできません。

queue-limit コマンドを使用してデフォルトのキュー制限を変更すると、インターフェイスに必要な最小帯域幅保証を満たすことができるため、高速のインターフェイスで特に重要です。

bandwidth ポリシーマップ クラス コンフィギュレーション コマンドを使用して CBWFQ を設定したり、 shape average コマンドを使用してポリシー マップの同じクラスのクラスベース シェーピングを設定したりすることはできません。

プライオリティ キューイング（ priority ポリシーマップ クラス コンフィギュレーション コマンドを使用して設定）を含むクラスの帯域幅は設定できません。

例

次に、帯域幅（kbps）を設定することにより、出力キューの優先順位を設定する例を示します。クラス outclass1 、 outclass2 、および outclass3 は、それぞれ 50000、20000、および 10000 kb/s の最小帯域幅を取得します。クラス class-default は、最低限として、残りの帯域幅を取得します。

次に、各トラフィック クラスに、使用可能な合計帯域幅の割合を割り当てることで、出力キューの優先順位を設定する例を示します。クラス outclass1 、 outclass2 および outclass3 は、それぞれ 50、20、および 10% の最小帯域幅を取得します。クラス class-default は、最低限 20% の帯域幅を取得します。

次に、プライオリティ キューとして outclass1 を設定し、プライオリティ キューが処理された後に outclass2 および outclass3 がそれぞれ残りの帯域幅の 50% および 20% を取得するように設定する例を示します。クラス class-default は、保証なしで、残りの 30% を取得します。

設定を確認するには、 show policy-map 特権 EXEC コマンドを入力します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトのコンフィギュレーション ファイルは、flash:config.text です。

 

コマンド履歴

 

使用上のガイドライン

ファイル名およびディレクトリ名は、大文字と小文字を区別します。

このコマンドは、CONFIG_FILE 環境変数の設定を変更します。詳細については、 付録 A「Cisco CGS 2520 スイッチのブート ローダー コマンド」 を参照してください。

 

関連コマンド

 

構文の説明

このコマンドには、引数またはキーワードはありません。

 

デフォルト

ディセーブル。コンソール上でブレーク キーを押しても自動ブート プロセスを中断することはできません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドを入力すると、フラッシュ ファイル システムが初期化された後にブレーク キーを押して、自動ブート プロセスを中断できます。ブレーク キーは、オペレーティング システムごとに異なります。

• UNIX を実行している SUN ワークステーションでは、Ctrl+C が ブレーク キーです。

• Windows 2000 を実行する PC では、Ctrl+Break がブレーク キーとなります。

このコマンドは、ENABLE_BREAK 環境変数の設定を変更します。詳細については、 付録 A「Cisco CGS 2520 スイッチのブート ローダー コマンド」 を参照してください。

 

関連コマンド

 

構文の説明

 

デフォルト

ヘルパー ファイルはロードされません。

 

コマンド履歴

 

使用上のガイドライン

この変数は、内部開発およびテスト専用です。

ファイル名およびディレクトリ名は、大文字と小文字を区別します。

このコマンドは、HELPER 環境変数の設定を変更します。詳細については、 付録 A「Cisco CGS 2520 スイッチのブート ローダー コマンド」 を参照してください。

 

関連コマンド

 

構文の説明

 

デフォルト

ヘルパー コンフィギュレーション ファイルは指定されません。

 

コマンド履歴

 

使用上のガイドライン

この変数は、内部開発およびテスト専用です。

ファイル名およびディレクトリ名は、大文字と小文字を区別します。

このコマンドは、HELPER_CONFIG_FILE 環境変数の設定を変更します。詳細については、 付録 A「Cisco CGS 2520 スイッチのブート ローダー コマンド」 を参照してください。

 

関連コマンド

 

構文の説明

このコマンドには、引数またはキーワードはありません。

 

デフォルト

手動による起動はディセーブルです。

 

コマンド履歴

 

使用上のガイドライン

システムを次回リブートすると、スイッチはブート ローダー モードで起動します。これは switch: プロンプトによってわかります。システムを起動するには、 boot ブート ローダ コマンドを使用して、起動可能なイメージの名前を指定します。

このコマンドは、MANUAL_BOOT 環境変数の設定を変更します。詳細については、 付録 A「Cisco CGS 2520 スイッチのブート ローダー コマンド」 を参照してください。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトのコンフィギュレーション ファイルは、 private-config です。

 

コマンド履歴

 

使用上のガイドライン

ファイル名は、大文字と小文字を区別します。

例

次の例では、プライベート コンフィギュレーション ファイルの名前を pconfig と指定する方法を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

スイッチは、BOOT 環境変数内の情報を使用して、自動的にシステムをブートしようとします。この変数が設定されていない場合、スイッチは、フラッシュ ファイル システム全体に再帰的に縦型検索し、最初の実行可能イメージをロードして実行しようとします。ディレクトリの縦型検索では、検出した各サブディレクトリを完全に検索してから元のディレクトリでの検索を続けます。

 

コマンド履歴

 

使用上のガイドライン

ファイル名およびディレクトリ名は、大文字と小文字を区別します。

archive download-sw 特権 EXEC コマンドを使用してシステム イメージを保存している場合、 boot system コマンドを使用する必要はありません。 boot system コマンドは自動的に処理され、ダウンロードされたイメージがロードされます。

このコマンドは、BOOT 環境変数の設定を変更します。詳細については、 付録 A「Cisco CGS 2520 スイッチのブート ローダー コマンド」 を参照してください。

 

関連コマンド

 

構文の説明

 

デフォルト

チャネル グループは割り当てることができません。

モードは設定されていません。

 

コマンド履歴

 

使用上のガイドライン

レイヤ 2 EtherChannel の場合、物理ポートをチャネル グループに割り当てる前に、先に interface port-channel グローバル コンフィギュレーション コマンドを使用してポートチャネル インターフェイスを作成しておく必要はありません。代わりに、 channel-group インターフェイス コンフィギュレーション コマンドを使用できます。論理インターフェイスがまだ作成されていない場合は、チャネル グループが最初の物理ポートを取得した時点で、自動的にポートチャネル インターフェイスが作成されます。最初にポートチャネル インターフェイスを作成する場合は、 channel-group-number を port - channel-number と同じ番号にしても、新しい番号にしてもかまいません。新しい番号を使用した場合、 channel-group コマンドは動的に新しいポート チャネルを作成します。

ポートが UNI または ENI の場合、 channel-group コマンドを使用する前に、no shutdown インターフェイス コンフィギュレーション コマンドを使用してポートをイネーブルにする必要があります。UNI と ENI は、デフォルトでディセーブルに設定されています。NNI はデフォルトでイネーブルです。

チャネル グループの一部である物理ポートに割り当てられた IP アドレスをディセーブルにする必要はありませんが、これをディセーブルにすることを強く推奨します。

interface port-channel コマンドの次に no switchport インターフェイス コンフィギュレーション コマンドを使用して、レイヤ 3 のポート チャネルを作成できます。インターフェイスをチャネル グループに適用する前に、ポート チャネルの論理インターフェイスを手動で設定してください。

EtherChannel を設定した後、ポートチャネル インターフェイスに加えられた設定の変更は、そのポートチャネル インターフェイスに割り当てられたすべての物理ポートに適用されます。物理ポートに適用された設定の変更は、設定を適用したポートだけに有効です。EtherChannel 内のすべてのポートのパラメータを変更するには、ポートチャネル インターフェイスに対してコンフィギュレーション コマンドを適用します。たとえば、spanning-tree コマンドを使用して、レイヤ 2 EtherChannel をトランクとして設定します。

auto モードまたは desirable モードとともに non-silent を指定しなかった場合は、サイレントが指定されているものと見なされます。サイレント モードを設定するのは、PAgP 非対応で、かつほとんどパケットを送信しない装置にスイッチを接続する場合です。サイレント パートナーの例は、トラフィックを生成しないファイル サーバ、またはパケット アナライザなどです。この場合、物理ポート上で稼動している PAgP は、そのポートを動作可能にしません。ただし、PAgP は動作可能で、チャネル グループにポートを付与したり、伝送用ポートを使用したりできます。リンクの両端はサイレントに設定することはできません。

on モードでは、使用可能な EtherChannel が存在するのは、 on モードのポート グループが、 on モードの別のポート グループに接続する場合だけです。

EtherChannel は、PAgP と LACP の両方のモードには設定しないでください。PAgP および LACP が稼動している複数の EtherChannel グループは、同じスイッチ上で共存できます。個々の EtherChannel グループは PAgP または LACP のいずれかを実行できますが、相互運用することはできません。

（注） PAgP および LACP は、NNI および ENI 上でだけ使用できます。

channel-protocol インターフェイス コンフィギュレーション コマンドを使用してプロトコルを設定した場合、設定値は、 channel-group インターフェイス コンフィギュレーション コマンドによっては上書きされません。

アクティブまたはアクティブでない EtherChannel メンバであるポートを IEEE 802.1x ポートとして設定しないでください。EtherChannel ポートで IEEE 802.1x をイネーブルにしようとすると、エラー メッセージが表示され、IEEE 802.1x はイネーブルになりません。

セキュア ポートを EtherChannel の一部として、または EtherChannel ポートをセキュア ポートとしては設定しないでください。

設定の注意事項の一覧については、このリリースに対応するソフトウェア コンフィギュレーション ガイドの「Configuring EtherChannels」の章を参照してください。

例

次に、EtherChannel を設定する例を示します。VLAN 10 のスタティックアクセス ポート 2 つを PAgP モード desirable であるチャネル 5 に割り当てます。

次に、EtherChannel を設定する例を示します。VLAN 10 のスタティックアクセス ポート 2 つを LACP モード active であるチャネル 5 に割り当てます。

設定を確認するには、 show running-config 特権 EXEC コマンドを入力します。

 

関連コマンド

 

構文の説明