Cisco Nexus 5000 シリーズ コマンド リファレンス
偏向のない言語
この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
翻訳について
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
- Updated:
- 2017年6月5日
章のタイトル： セキュリティ コマンド
- aaa accounting default
- aaa authentication login console
- aaa authentication login default
- aaa authentication login error-enable
- aaa authentication login mschap enable
- aaa group server radius
- action
- clear access-list counters
- clear accounting log
- deadtime
- deny（IPv4）
- deny（IPv6）
- deny（MAC）
- description（ユーザ ロール）
- feature
- interface policy deny
- ip access-list
- ip port access-group
- ipv6 access-list
- ipv6 port traffic-filter
- mac access-list
- mac port access-group
- match
- permit（IPv4）
- permit（IPv6）
- permit（MAC）
- permit interface
- permit vlan
- permit vrf
- radius-server deadtime
- radius-server directed-request
- radius-server host
- radius-server key
- radius-server retransmit
- radius-server timeout
- remark
- resequence
- role feature-group name
- role name
- rule
- server
- show aaa accounting
- show aaa authentication
- show aaa groups
- show access-lists
- show accounting log
- show ip access-lists
- show ipv6 access-lists
- show mac access-lists
- show radius-server
- show role
- show role feature
- show role feature-group
- show running-config aaa
- show running-config radius
- show running-config security
- show ssh key
- show ssh server
- show startup-config aaa
- show startup-config radius
- show startup-config security
- show tacacs-server
- show telnet server
- show user-account
- show users
- show vlan access-list
- show vlan access-map
- show vlan filter
- ssh
- ssh6
- ssh key
- ssh server enable
- storm-control level
- tacacs-server deadtime
- tacacs-server directed-request
- tacacs-server host
- tacacs-server key
- tacacs-server timeout
- telnet
- telnet server enable
- telnet6
- use-vrf
- username
- vlan access-map
- vlan filter
- vlan policy deny
- vrf policy deny
セキュリティ コマンド
この章では、Cisco Nexus 5000 シリーズ スイッチで使用できる Cisco NX-OS セキュリティ コマンドについて説明します。
aaa accounting default
アカウンティングの Authentication, Authorization, and Accounting（AAA; 認証、許可、アカウンティング）メソッドを設定するには、 aaa accounting default コマンドを使用します。デフォルトの設定に戻すには、このコマンドの no 形式を使用します。
aaa accounting default { group { group-list } | local }
no aaa accounting default { group { group-list } | local }
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
group group-list メソッドは、RADIUS サーバまたは TACACS+ サーバの既定のセットを参照します。 radius-server host コマンドを使用してホスト サーバを設定します。 aaa group server コマンドを使用して、サーバの名前付きグループを作成します。
例
次に、AAA アカウンティングの RADIUS サーバを設定する例を示します。
関連コマンド
|
|
|
|---|---|
aaa authentication login console
コンソール ログインの AAA 認証メソッドを設定するには、 aaa authentication login console コマンドを使用します。デフォルトの設定に戻すには、このコマンドの no 形式を使用します。
aaa authentication login console { group group-list } [ none ] | local | none }
no aaa authentication login console { group group-list [ none ] | local | none }
シンタックスの説明
RADIUS サーバまたは TACACS+ サーバ グループのスペースで区切られたリストを指定します。リストには次の内容が含まれます。 • |
|
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
group radius、group tacacs+ 、および group group-list メソッドでは、定義済みの RADIUS サーバまたは TACACS+ サーバのセットが参照されます。 radius-server host コマンドまたは tacacs-server host コマンドを使用してこれらのホスト サーバを設定します。 aaa group server コマンドを使用して、サーバの名前付きグループを作成します。
group メソッドまたは local メソッドを指定してそれが失敗した場合は、認証も失敗します。 none メソッドを単体または group メソッドの後に指定すると、認証は常に成功します。
例
次に、AAA 認証コンソール ログイン メソッドを設定する例を示します。
次に、デフォルトの AAA 認証コンソール ログイン メソッドに戻す例を示します。
関連コマンド
|
|
|
|---|---|
aaa authentication login default
デフォルトの AAA 認証メソッドを設定するには、 aaa authentication login default コマンドを使用します。デフォルトの設定に戻すには、このコマンドの no 形式を使用します。
aaa authentication login default { group group-list } [ none ] | local | none }
no aaa authentication login default { group group-list } [ none ] | local | none }
シンタックスの説明
次の内容を含む RADIUS サーバまたは TACACS+ サーバ グループのスペースで区切られたリストを指定します。 • |
|
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
group radius、group tacacs+ 、および group group-list メソッドでは、定義済みの RADIUS サーバまたは TACACS+ サーバのセットが参照されます。 radius-server host コマンドまたは tacacs-server host コマンドを使用してこれらのホスト サーバを設定します。 aaa group server コマンドを使用して、サーバの名前付きグループを作成します。
group メソッドまたは local メソッドを指定してそれが失敗した場合は、認証も失敗します。 none メソッドを単体または group メソッドの後に指定すると、認証は常に成功します。
例
次に、AAA 認証コンソール ログイン メソッドを設定する例を示します。
次に、デフォルトの AAA 認証コンソール ログイン メソッドに戻す例を示します。
関連コマンド
|
|
|
|---|---|
aaa authentication login error-enable
AAA 認証失敗メッセージをコンソールに表示するよう設定するには、 aaa authentication login error-enable コマンドを使用します。デフォルトの設定に戻すには、このコマンドの no 形式を使用します。
aaa authentication login error-enable
no aaa authentication login error-enable
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
ログイン時にリモート AAA サーバが応答しない場合、そのログインは、ローカル ユーザ データベースにロール オーバーして処理されます。このような状況では、ログイン失敗メッセージの表示がイネーブルに設定されている場合、次のメッセージが表示されます。
Remote AAA servers unreachable; local authentication failed.
例
次に、AAA 認証失敗メッセージのコンソールでの表示をイネーブルにする例を示します。
次に、AAA 認証失敗メッセージのコンソールでの表示をディセーブルにする例を示します。
関連コマンド
|
|
|
|---|---|
aaa authentication login mschap enable
ログイン時に Microsoft Challenge Handshake Authentication Protocol（MSCHAP）をイネーブルにするには、 aaa authentication login mschap enable コマンドを使用します。デフォルトの設定に戻すには、このコマンドの no 形式を使用します。
aaa authentication login mschap enable
no aaa authentication login mschap enable
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
例
関連コマンド
|
|
|
|---|---|
aaa group server radius
RADIUS サーバ グループを作成し、RADIUS サーバ グループ コンフィギュレーション モードを開始するには、 aaa group server radius コマンドを使用します。RADIUS サーバ グループを削除するには、このコマンドの no 形式を使用します。
aaa group server radius group-name
no aaa group server radius group-name
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
例
次に、RADIUS サーバ グループを作成し、RADIUS サーバ グループ コンフィギュレーション モードを開始する例を示します。
switch(config-radius)#
次に、RADIUS サーバ グループを削除する例を示します。
関連コマンド
|
|
|
|---|---|
action
パケットが VLAN Access Control List（VACL）の permit コマンドに一致するときのスイッチの動作を指定するには、 action コマンドを使用します。 action コマンドを削除するには、このコマンドの no 形式を使用します。
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
action コマンドは、パケットが match コマンドで指定された ACL の条件に一致する場合に、デバイスが実行するアクションを指定します。
例
次に、vlan-map-01 という名前で VLAN アクセス マップを作成して、そのマップに ip-acl-01 という名前の Internet Protocol Version 4（IPv4; インターネット プロトコル バージョン 4）ACL を割り当て、スイッチが ACL に一致するパケットを転送するよう指定し、マップに一致するトラフィックの統計情報をイネーブルにする例を示します。
switch(config-access-map)# match ip address ip-acl-01
switch(config-access-map)# action forward
switch(config-access-map)# statistics
関連コマンド
|
|
|
|---|---|
clear access-list counters
すべての IPv4 Access Control List（ACL; アクセス コントロール リスト）または単独の IPv4 ACL のカウンタを消去するには、 clear access-list counters コマンドを使用します。
clear access-list counters [ access-list-name ]
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
例
次に、すべての IPv4 ACL のカウンタを消去する例を示します。
次に、acl-ipv4-01 という名前の IPv4 ACL のカウンタを消去する例を示します。
関連コマンド
|
|
|
|---|---|
1 つまたはすべての IPv4、Internet Protocol Version 6（IPv6; インターネット プロトコル バージョン 6）、MAC ACL に関する情報を表示します。 |
|
clear accounting log
アカウンティング ログを消去するには、 clear accounting log コマンドを使用します。
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
例
関連コマンド
|
|
|
|---|---|
deadtime
RADIUS または TACACS+ サーバ グループのデッド タイムの時間間隔を設定するには、 deadtime コマンドを使用します。デフォルトの設定に戻すには、このコマンドの no 形式を使用します。
シンタックスの説明
時間間隔の分です。有効な範囲は 0 ～ 1440 分です。デッド タイムの設定をゼロにすると、タイマーがディセーブルになります。 |
コマンドのデフォルト
コマンド モード
RADIUS サーバ グループ コンフィギュレーション
TACACS+ サーバ グループ コンフィギュレーション
コマンドの履歴
|
|
|
使用上のガイドライン
例
次に、RADIUS サーバ グループのデッド タイムを 2 分に設定する例を示します。
次に、TACACS+ サーバ グループのデッド タイムを 5 分に設定する例を示します。
次に、デッド タイムの時間間隔をデフォルトに戻す例を示します。
関連コマンド
|
|
|
|---|---|
deny（IPv4）
条件に一致するトラフィックを拒否する IPv4 ACL ルールを作成するには、 deny コマンドを使用します。ルールを削除するには、このコマンドの no 形式を使用します。
[ sequence-number ] deny protocol source destination {[ dscp dscp ] | [ precedence precedence ]} [ fragments ] [ log ] [ time-range time-range-name ]
no deny protocol source destination {[ dscp dscp ] | [ precedence precedence ]} [ fragments ] [ log ] [ time-range time-range-name ]
Internet Control Message Protocol（ICMP; インターネット制御メッセージ プロトコル）
[ sequence-number ] deny icmp source destination [ icmp-message ] {[ dscp dscp ] | [ precedence precedence ]} [ fragments ] [ log ] [ time-range time-range-name ]
Internet Group Management Protocol（インターネット グループ管理プロトコル）
[ sequence-number ] deny igmp source destination [ igmp-message ] {[ dscp dscp ] | [ precedence precedence ]} [ fragments ] [ log ] [ time-range time-range-name ]
[ sequence-number ] deny ip source destination {[ dscp dscp ] | [ precedence precedence ]} [ fragments ] [ log ] [ time-range time-range-name ]
Transmission Control Protocol（TCP; 伝送制御プロトコル）
[ sequence-number ] deny tcp source [ operator port [ port ] | portgroup portgroup ] destination [ operator port [ port ] | portgroup portgroup ] {[ dscp dscp ] | [ precedence precedence ]} [ fragments ] [ log ] [ time-range time-range-name ] [ flags ] [ established ]
User Datagram Protocol（UDP; ユーザ データグラム プロトコル）
[ sequence-number ] deny udp source [ operator port [ port ] | portgroup portgroup ] destination [ operator port [ port ] | portgroup portgroup ] {[ dscp dscp ] | [ precedence precedence ]} [ fragments ] [ log ] [ time-range time-range-name ]
シンタックスの説明
コマンドのデフォルト
新しく作成された IPv4 ACL にはルールは含まれません。
シーケンス番号を指定しない場合は、スイッチにより ACL の最後のルールのシーケンス番号に 10 を足したシーケンス番号がルールに割り当てられます。
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
スイッチが IPv4 ACL をパケットに適用する場合、ACL のすべてのルールについてパケットを評価します。スイッチは、パケットによって満たされた最初の条件を採用します。複数の条件が満たされる場合は、スイッチは最も小さいシーケンス番号のルールを採用します。
source 引数と destination 引数はいくつかの方法で指定できます。それぞれのルールで、これらの引数の 1 つを指定するのに使用するメソッドは、他の引数の指定方法には影響しません。ルールを設定する場合は、次のメソッドを使用して source 引数と destination 引数を指定します。
•
IP アドレス グループ オブジェクト：IPv4 アドレス グループ オブジェクトを使用して、 source 引数または destination 引数を指定できます。 object-group ip address コマンドを使用して、IPv4 ポート グループの作成と変更を行います。構文は次のようになります。
次に、lab-gateway-svrs という名前の IPv4 アドレス オブジェクト グループを使用して、 destination 引数を指定する例を示します。
• アドレスおよびネットワーク ワイルドカード：IPv4 アドレスの後にネットワーク ワイルドカードを使用して、ホストまたはネットワークを送信元または宛先として指定できます。構文は次のようになります。
次に、IPv4 アドレスとサブネット 192.168.67.0 のネットワーク ワイルドカードを持つ source 引数を指定する例を示します。
• アドレスおよび Variable-Length Subnet Mask（VLSM; 可変長サブネット マスク）：IPv4 アドレスの後に VLSM を使用して、ホストまたはネットワークを送信元または宛先として指定できます。構文は次のようになります。
次に、IPv4 アドレスとサブネット 192.168.67.0 の VLSM を持つ source 引数を指定する例を示します。
• ホスト アドレス： host キーワードと IPv4 アドレスを使用して、送信元または宛先としてホストを指定できます。構文は次のようになります。
これは、 IPv4-address /32、および IPv4-address 0.0.0.0 と等しい構文です。
次に、 host 192.168.67.132 の IPv4 アドレスを持つ source 引数を指定する例を示します。
• 任意のアドレス： any キーワードを使用して、送信元または宛先が任意の IPv4 アドレスであることを指定します。 any キーワードを使用する例については、このセクションの例を参照してください。それぞれの例で、 any キーワードを使用して送信元または宛先を指定する方法が示されています。
icmp-message 引数には、ICMP メッセージ番号を 0 ～ 255 の整数で指定できます。また、次のキーワードのいずれかを指定することもできます。
• administratively-prohibited ：管理上禁止
• general-parameter-problem ：パラメータの問題
• host-precedence-unreachable ：プレシデンスが到達不可能なホスト
• host-tos-redirect ：ToS ホスト リダイレクト
• host-tos-unreachable ：ToS が到達不可能なホスト
• mobile-redirect ：モバイル ホスト リダイレクト
• net-tos-redirect ：ToS ネット リダイレクト
• net-tos-unreachable ：ToS が到達不可能なネットワーク
• no-room-for-option ：パラメータが必要であるが空きスペースがない
• option-missing ：パラメータが必要であるが存在しない
• packet-too-big ：フラグメント化と DF セットが必要
• parameter-problem ：すべてのパラメータの問題
• precedence-unreachable ：プレシデンス カットオフ
• protocol-unreachable ：到達不可能なプロトコル
• reassembly-timeout ：再アセンブリ タイムアウト
• router-advertisement ：ルータ ディスカバリ アドバタイズメント
• router-solicitation ：ルータ ディスカバリ要求
• source-route-failed ：送信元ルート失敗
• time-exceeded ：すべての time-exceeded メッセージ
• timestamp-request ：タイムスタンプ要求
tcp として protocol 引数を指定すると、 port 引数には 0 ～ 65535 の整数で TCP ポート番号を指定できます。また、次のキーワードのいずれかを指定することもできます。
drip ：ダイナミック ルーティング情報プロトコル（3949）
nntp ：Network News Transport Protocol（119）
pop2 ：Post Office Protocol v2（19）
pop3 ：Post Office Protocol v3（11）
smtp ：Simple Mail Transport Protocol（25）
sunrpc ：Sun Remote Procedure Call（111）
tacacs ：TAC Access Control System（49）
uucp ：Unix-to-Unix Copy Program（54）
udp として protocol 引数を指定すると、 port 引数には 0 ～ 65535 の整数で UDP ポート番号を指定できます。また、次のキーワードのいずれかを指定することもできます。
bootpc ：Bootstrap Protocol（BOOTP; ブートストラップ プロトコル）クライアント（68）
bootps ：ブートストラップ プロトコル（BOOTP）サーバ（67）
dnsix ：DNSIX セキュリティ プロトコル監査（195）
isakmp ：Internet Security Association および Key Management Protocol（5）
nameserver ：IEN116 ネーム サービス（廃止、42）
netbios-dgm ：NetBIOS データグラム サービス（138）
netbios-ns ：NetBIOS ネーム サービス（137）
netbios-ss ：NetBIOS セッション サービス（139）
non500-isakmp ：Internet Security Association および Key Management Protocol（45）
rip ：ルーティング情報プロトコル（ルータ、in.routed、52）
sunrpc ：Sun Remote Procedure Call（111）
tacacs ：TAC Access Control System（49）
例
次に、10.23.0.0 および 192.168.37.0 ネットワークから 10.176.0.0 ネットワークへのすべての TCP および UDP トラフィックを拒否するルールと、他のすべての IPv4 トラフィックを許可する最終ルールを使用して、acl-lab-01 という名前で IPv4 ACL を設定する例を示します。
switch(config-acl)# deny tcp 10.23.0.0/16 10.176.0.0/16
switch(config-acl)# deny udp 10.23.0.0/16 10.176.0.0/16
switch(config-acl)# deny tcp 192.168.37.0/16 10.176.0.0/16
switch(config-acl)# deny udp 192.168.37.0/16 10.176.0.0/16
switch(config-acl)# permit ip any any
関連コマンド
|
|
|
|---|---|
deny（IPv6）
条件に一致するトラフィックを拒否する IPv6 ACL ルールを作成するには、 deny コマンドを使用します。ルールを削除するには、このコマンドの no 形式を使用します。条件に一致するトラフィックを拒否する IPv6 ACL ルールを作成するには、 deny コマンドを使用します。ルールを削除するには、このコマンドの no 形式を使用します。
[ sequence-number ] deny protocol source destination [ dscp dscp ] [ flow-label flow-label-value ] [ fragments ] [ log ] [ time-range time-range-name ]
no deny protocol source destination [ dscp dscp ] [ flow-label flow-label-value ] [ fragments ] [ log ] [ time-range time-range-name ]
Internet Control Message Protocol（ICMP; インターネット制御メッセージ プロトコル）
[ sequence-number | no ] deny icmp source destination [ icmp-message ] [ dscp dscp ] [ flow-label flow-label-value ] [ fragments ] [ log ] [ time-range time-range-name ]
[ sequence-number ] deny ipv6 source destination [ dscp dscp ] [ flow-label flow-label-value ] [ fragments ] [ log ] [ time-range time-range-name ]
Stream Control Transmission Protocol（SCTP）
[ sequence-number | no ] deny sctp source [ operator port [ port ] | portgroup portgroup ] destination [ operator port [ port ] | portgroup portgroup ] [ dscp dscp ] [ flow-label flow-label-value ] [ fragments ] [ log ] [ time-range time-range-name ]
Transmission Control Protocol（TCP; 伝送制御プロトコル）
[ sequence-number ] deny tcp source [ operator port [ port ] | portgroup portgroup ] destination [ operator port [ port ] | portgroup portgroup ] [ dscp dscp ] [ flow-label flow-label-value ] [ fragments ] [ log ] [ time-range time-range-name ] [ flags ] [ established ]
User Datagram Protocol（UDP; ユーザ データグラム プロトコル）
[ sequence-number | no ] deny udp source [ operator port [ port ] | portgroup portgroup ] destination [ operator port [ port ] | portgroup portgroup ] [ dscp dscp ] [ flow-label flow-label-value ] [ fragments ] [ log ] [ time-range time-range-name ]
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
新しく作成された IPv6 ACL にはルールは含まれません。
デバイスが IPv6 ACL をパケットに適用する場合、ACL のすべてのルールについてパケットを評価します。デバイスは、パケットによって満たされた最初の条件を採用します。複数の条件が満たされる場合は、デバイスは最も小さいシーケンス番号のルールを採用します。
source 引数と destination 引数はいくつかの方法で指定できます。それぞれのルールで、これらの引数の 1 つを指定するのに使用するメソッドは、他の引数の指定方法には影響しません。ルールを設定する場合は、次のメソッドを使用して source 引数と destination 引数を指定します。
• IPv6 アドレス グループ オブジェクト：IPv6 アドレス グループ オブジェクトを使用して、 source 引数または destination 引数を指定できます。 object-group ipv6 address コマンドを使用して、IPv6 アドレス グループ オブジェクトの作成と変更を行います。構文は次のようになります。
次に、lab-svrs-1301 という名前の IPv6 アドレス オブジェクト グループを使用して、 destination 引数を指定する例を示します。
• アドレスおよび可変長サブネット マスク（VLSM）：IPv6 アドレスの後に VLSM を使用して、ホストまたはネットワークを送信元または宛先として指定できます。構文は次のようになります。
次に、IPv6 アドレスとネットワーク 2001:0db8:85a3:: の VLSM を持つ source 引数を指定する例を示します。
• ホスト アドレス： host キーワードと IPv6 アドレスを使用して、送信元または宛先としてホストを指定できます。構文は次のようになります。
この構文は、 IPv6-address /128 に相当します。
次に、 host キーワードと 2001:0db8:85a3:08d3:1319:8a2e:0370:7344 IPv6 アドレスで source 引数を指定する例を示します。
• 任意のアドレス： any キーワードを使用して、送信元または宛先が任意の IPv6 アドレスであることを指定します。 any キーワードを使用する例については、このセクションの例を参照してください。それぞれの例で、 any キーワードを使用して送信元または宛先を指定する方法が示されています。
icmp-message 引数には、ICMPv6 メッセージ番号を 0 ～ 255 の整数で指定できます。また、次のキーワードのいずれかを指定することもできます。
• destination-unreachable ：宛先アドレスが到達不能
• mld-query ：Multicast Listener Discovery クエリー
• mld-reduction ：Multicast Listener Discovery リダクション
• mld-report ：Multicast Listener Discovery レポート
• nd-na ：ネイバー ディスカバリのネイバー アドバタイズメント
• next-header ：パラメータ ネクスト ヘッダーの問題
• parameter-option ：パラメータ オプションの問題
• parameter-problem ：すべてのパラメータの問題
• reassembly-timeout ：再アセンブリ タイムアウト
• renum-command ：ルータの再番号付けコマンド
• renum-seq-number ：ルータの再番号付けのシーケンス番号リセット
• router-advertisement ：ネイバー ディスカバリのルータ アドバタイズメント
• router-renumbering ：すべてのルータの再番号付け
• router-solicitation ：ネイバー ディスカバリのルータ要求
• time-exceeded ：すべての時間超過メッセージ
tcp として protocol 引数を指定すると、 port 引数には 0 ～ 65535 の整数で TCP ポート番号を指定できます。また、次のキーワードのいずれかを指定することもできます。
drip ：ダイナミック ルーティング情報プロトコル（3949）
nntp ：Network News Transport Protocol（119）
pop2 ：Post Office Protocol v2（19）
pop3 ：Post Office Protocol v3（11）
smtp ：Simple Mail Transport Protocol（25）
sunrpc ：Sun Remote Procedure Call（111）
tacacs ：TAC Access Control System（49）
uucp ：Unix-to-Unix Copy Program（54）
udp として protocol 引数を指定すると、 port 引数には 0 ～ 65535 の整数で UDP ポート番号を指定できます。また、次のキーワードのいずれかを指定することもできます。
bootpc ：ブートストラップ プロトコル（BOOTP）クライアント（68）
bootps ：ブートストラップ プロトコル（BOOTP）サーバ（67）
dnsix ：DNSIX セキュリティ プロトコル監査（195）
isakmp ：Internet Security Association および Key Management Protocol（5）
nameserver ：IEN116 ネーム サービス（廃止、42）
netbios-dgm ：NetBIOS データグラム サービス（138）
netbios-ns ：NetBIOS ネーム サービス（137）
netbios-ss ：NetBIOS セッション サービス（139）
non500-isakmp ：Internet Security Association および Key Management Protocol（45）
rip ：ルーティング情報プロトコル（ルータ、in.routed、52）
sunrpc ：Sun Remote Procedure Call（111）
tacacs ：TAC Access Control System（49）
例
次に、2001:0db8:85a3:: および 2001:0db8:69f2:: のネットワークから 2001:0db8:be03:2112:: ネットワークへ送信されるすべての TCP および UDP トラフィックを拒否するルールで、acl-lab13-ipv6 という名前の IPv6 ACL を設定する例を示します。
switch(config)# ipv6 access-list acl-lab13-ipv6
switch(config-ipv6-acl)# deny tcp 2001:0db8:85a3::/48 2001:0db8:be03:2112::/64
switch(config-ipv6-acl)# deny udp 2001:0db8:85a3::/48 2001:0db8:be03:2112::/64
switch(config-ipv6-acl)# deny tcp 2001:0db8:69f2::/48 2001:0db8:be03:2112::/64
switch(config-ipv6-acl)# deny udp 2001:0db8:69f2::/48 2001:0db8:be03:2112::/64
次に、IPv6 アドレス オブジェクト グループ eng_ipv6 から IPv6 アドレス オブジェクト グループ marketing_group へ送信されるすべての IPv6 トラフィックを拒否するルールで、ipv6-eng-to-marketing という名前の IPv6 ACL を設定する例を示します。
switch(config)# ipv6 access-list ipv6-eng-to-marketing
switch(config-ipv6-acl)# deny ipv6 addrgroup eng_ipv6 addrgroup marketing_group
関連コマンド
|
|
|
|---|---|
deny（MAC）
条件に一致するトラフィックを拒否する Media Access Control（MAC; メディア アクセス制御）アクセス コントロール リスト（ACL）を作成するには、 deny コマンドを使用します。ルールを削除するには、このコマンドの no 形式を使用します。
[ sequence-number ] deny source destination [ protocol ] [ cos cos-value ] [ vlan vlan-id ]
no deny source destination [ protocol ] [ cos cos-value ] [ vlan vlan-id ]
シンタックスの説明
コマンドのデフォルト
新しく作成された MAC ACL にはルールは含まれません。
シーケンス番号を指定しない場合は、スイッチにより ACL の最後のルールのシーケンス番号に 10 を足したシーケンス番号がルールに割り当てられます。
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
スイッチが MAC ACL をパケットに適用する場合、ACL のすべてのルールについてパケットを評価します。スイッチは、パケットによって満たされた最初の条件を採用します。複数の条件が満たされる場合は、スイッチは最も小さいシーケンス番号のルールを採用します。
source 引数と destination 引数は 2 つの方法で指定できます。それぞれのルールで、これらの引数の 1 つを指定するのに使用するメソッドは、他の引数の指定方法には影響しません。ルールを設定する場合は、次のメソッドを使用して source 引数と destination 引数を指定します。
• アドレスとマスク：MAC アドレスの後にマスクを使用して、1 つのアドレスまたはアドレスのグループを指定できます。構文は次のようになります。
次に、MAC アドレス 00c0.4f03.0a72 を持つ source 引数を指定する例を示します。
次に、MAC ベンダー コードが 00603e のすべての MAC アドレスを持つ destination 引数を指定する例を示します。
• 任意のアドレス： any キーワードを使用して、送信元または宛先が任意の MAC アドレスであることを指定できます。 any キーワードを使用する例については、このセクションの例を参照してください。それぞれの例で、 any キーワードを使用して送信元または宛先を指定する方法が示されています。
protocol 引数は、MAC プロトコル番号またはキーワードを指定します。プロトコル番号は、先頭に 0x が付く 4 バイトの 16 進数です。有効なプロトコル番号の範囲は 0x0 から 0xffff です。有効なキーワードは、次のとおりです。
• appletalk ：Appletalk（0x809b）
• decnet-iv ：DECnet Phase IV（0x6003）
• diagnostic ：DEC Diagnostic Protocol（0x6005）
• etype-6000 ：EtherType 0x6000（0x6000）
• etype-8042 ：EtherType 0x8042（0x8042）
• ip ：Internet Protocol v4（0x0800）
• lavc-sca ：DEC LAVC、SCA（0x6007）
• mop-console ：DEC MOP リモート コンソール（0x6002）
例
次に、mac-ip-filter という名前で、2 つの MAC アドレスのグループ間ですべての非 IPv4 トラフィックを許可する MAC ACL を設定する例を示します。
switch(config-mac-acl)# deny 00c0.4f00.0000 0000.00ff.ffff 0060.3e00.0000 0000.00ff.ffff ip
switch(config-mac-acl)# permit any any
関連コマンド
|
|
|
|---|---|
description（ユーザ ロール）
ユーザ ロールの説明を設定するには、 description コマンドを使用します。デフォルトの設定に戻すには、このコマンドの no 形式を使用します。
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
例
switch(config-role)# description User role for my user account.
switch(config-role)# no description
feature
ユーザ ロール機能グループの機能を設定するには、 feature コマンドを使用します。ユーザ ロール機能グループの機能を削除するには、このコマンドの no 形式を使用します。
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
例
次に、機能をユーザ ロール機能グループに追加する例を示します。
switch(config-role-featuregrp)# feature aaa
switch(config-role-featuregrp)# feature radius
switch(config-role-featuregrp)# feature tacacs
次に、ユーザ ロール機能グループから機能を削除する例を示します。
switch(config-role-featuregrp)# no feature callhome
関連コマンド
|
|
|
|---|---|
interface policy deny
ユーザ ロールのインターフェイス ポリシー コンフィギュレーション モードを開始するには、 interface policy deny コマンドを使用します。ユーザ ロールのインターフェイス ポリシーをデフォルトに戻すには、このコマンドの no 形式を使用します。
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
例
次に、ユーザ ロールのインターフェイス ポリシー コンフィギュレーション モードを開始する例を示します。
switch(config-role)# interface policy deny
switch(config-role-interface)#
次に、ユーザ ロールのインターフェイス ポリシーをデフォルトに戻す例を示します。
switch(config-role)# no interface policy deny
関連コマンド
|
|
|
|---|---|
ip access-list
IPv4 アクセス コントロール リスト（ACL）を作成するか、特定の ACL の IP アクセス リスト コンフィギュレーション モードを開始するには、 ip access-list コマンドを使用します。IPv4 ACL を削除するには、このコマンドの no 形式を使用します。
ip access-list access-list-name
no ip access-list access-list-name
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
IPv4 ACL を使用して IPv4 トラフィックのフィルタリングを行います。
ip access-list コマンドを使用すると、スイッチは IP アクセス リスト コンフィギュレーション モードを開始します。そこで IPv4 deny コマンドおよび permit コマンドを使用して ACL のルールを設定できます。指定された ACL が存在しない場合は、このコマンドを入力したときにスイッチが ACL を作成します。
ACL をインターフェイスに適用するには、 ip access-group コマンドを使用します。
どの IPv4 ACL にも、最後のルールとして次の暗黙のルールがあります。
この暗黙のルールによって、どの条件にも一致しない IP トラフィックは拒否されます。
IPv4 ACL には、ネイバー ディスカバリ プロセスを可能にする追加の暗黙のルールはありません。IPv6 ネイバー ディスカバリ プロセスに相当する IPv4 のプロセスである Address Resolution Protocol（ARP; アドレス解決プロトコル）は、個別のデータ リンク レイヤ プロトコルを使用します。デフォルトでは、IPv4 ACL はインターフェイス上での ARP パケットの送受信を暗黙的に許可します。
例
次に、ip-acl-01 という名前の IPv4 ACL の IP アクセス リスト コンフィギュレーション モードを開始する例を示します。
switch(config-acl)#
関連コマンド
|
|
|
|---|---|
ip port access-group
IPv4 アクセス コントロール リスト（ACL）をポート ACL としてインターフェイスに適用するには、 ip port access-group コマンドを使用します。IPv4 ACL をインターフェイスから削除するには、このコマンドの no 形式を使用します。
ip port access-group access-list-name in
no ip port access-group access-list-name in
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
デフォルトでは、インターフェイスには IPv4 ACL は適用されません。
ip port access-group コマンドを使用して、IPv4 ACL をポート ACL として次のインターフェイス タイプに適用できます。
IPv4 ACL を VLAN ACL として適用することもできます。詳細については、 match コマンドを参照してください。
スイッチは、ポート ACL を着信トラフィックにだけ適用します。スイッチは、着信パケットを ACL のルールに対してチェックします。最初の一致ルールによりパケットが許可された場合、スイッチはそのパケットの処理を継続します。最初の一致ルールによりパケットが拒否された場合、スイッチはそのパケットをドロップし、ICMP ホスト到達不能メッセージを返します。
インターフェイスから削除されていない ACL をスイッチから削除すると、削除された ACL はそのインターフェイス上のトラフィックに影響しなくなります。
例
次に、ip-acl-01 という名前の IPv4 ACL をポート ACL としてイーサネット インターフェイス 1/2 に適用する例を示します。
switch(config-if)# ip port access-group ip-acl-01 in
次に、ip-acl-01 という名前の IPv4 ACL をイーサネット インターフェイス 1/2 から削除する例を示します。
switch(config-if)# no ip port access-group ip-acl-01 in
関連コマンド
|
|
|
|---|---|
ipv6 access-list
IPv6 アクセス コントロール リスト（ACL）を作成するか、特定の ACL の IP アクセス リスト コンフィギュレーション モードを開始するには、 ipv6 access-list コマンドを使用します。IPv6 ACL を削除するには、このコマンドの no 形式を使用します。
ipv6 access-list access-list-name
no ipv6 access-list access-list-name
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
IPv6 ACL を使用して IPv6 トラフィックのフィルタリングを行います。
ipv6 access-list コマンドを使用すると、スイッチは IP アクセス リスト コンフィギュレーション モードを開始します。そこで IPv6 deny コマンドおよび permit コマンドを使用して ACL のルールを設定できます。指定された ACL が存在しない場合は、このコマンドを入力したときにスイッチが ACL を作成します。
どの IPv6 ACL にも、最後のルールとして次の暗黙のルールがあります。
例
次に、ipv6-acl-01 という名前の IPv6 ACL の IP アクセス リスト コンフィギュレーション モードを開始する例を示します。
switch(config-ipv6-acl)#
関連コマンド
|
|
|
|---|---|
ipv6 port traffic-filter
IPv6 アクセス コントロール リスト（ACL）をポート ACL としてインターフェイスに適用するには、 ipv6 port traffic-filter コマンドを使用します。IPv6 ACL をインターフェイスから削除するには、このコマンドの no 形式を使用します。
ipv6 port traffic-filter access-list-name in
no ipv6 port traffic-filter access-list-name in
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
デフォルトでは、インターフェイスに適用される IPv6 ACL はありません。
ipv6 port traffic-filter コマンドを使用して、IPv6 ACL をポート ACL として次のインターフェイス タイプに適用できます。
また、 ipv6 port traffic-filter コマンドを使用して、IPv6 ACL をポート ACL として次のインターフェイス タイプに適用することもできます。
（注） VLAN インターフェイスを設定するには、先に VLAN インターフェイスをグローバルにイネーブルにする必要があります。詳細については、 feature interface-vlan コマンドを参照してください。
スイッチは、ポート ACL を着信トラフィックにだけ適用します。スイッチは、着信パケットを ACL のルールに対してチェックします。最初の一致ルールによりパケットが許可された場合、スイッチはそのパケットの処理を継続します。最初の一致ルールによりパケットが拒否された場合、スイッチはそのパケットをドロップし、ICMP ホスト到達不能メッセージを返します。
インターフェイスから削除されていない ACL をデバイスから削除すると、削除された ACL はそのインターフェイス上のトラフィックに影響しなくなります。
例
次に、ipv6-acl という名前の IPv6 ACL をイーサネット インターフェイス 1/3 に適用する例を示します。
switch(config)# interface ethernet 1/3
switch(config-if)# ipv6 port traffic-filter ipv6-acl in
次に、ipv6-acl という名前の IPv6 ACL をイーサネット インターフェイス 1/3 から削除する例を示します。
switch(config)# interface ethernet 1/3
switch(config-if)# no ipv6 port traffic-filter ipv6-acl in
関連コマンド
|
|
|
|---|---|
mac access-list
メディア アクセス制御（MAC）アクセス コントロール リスト（ACL）を作成するか、特定の ACL の MAC アクセス リスト コンフィギュレーション モードを開始するには、 mac access-list コマンドを使用します。MAC ACL を削除するには、このコマンドの no 形式を使用します。
mac access-list access-list-name
no mac access-list access-list-name
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
MAC ACL を使用して、非 IP トラフィックのフィルタリングを行います。パケット分類をディセーブルにしている場合は、MAC ACL を使用してすべてのトラフィックのフィルタリングを行うことができます。
mac access-list コマンドを使用すると、スイッチは MAC アクセス リスト コンフィギュレーション モードを開始します。そこで MAC deny コマンドおよび permit コマンドを使用して ACL のルールを設定できます。指定された ACL が存在しない場合は、このコマンドを入力したときにスイッチが ACL を作成します。
ACL をインターフェイスに適用するには、 mac access-group コマンドを使用します。
どの MAC ACL にも、最後のルールとして次の暗黙のルールがあります。
この暗黙のルールにより、トラフィックのレイヤ 2 ヘッダーで指定されているプロトコルに関係なく、一致しないパケットは確実に拒否されます。
例
次に、mac-acl-01 という名前の MAC ACL の MAC アクセス リスト コンフィギュレーション モードを開始する例を示します。
switch(config-acl)#
関連コマンド
|
|
|
|---|---|
mac port access-group
MAC アクセス コントロール リスト（ACL）をインターフェイスに適用するには、 mac port access-group コマンドを使用します。MAC ACL をインターフェイスから削除するには、このコマンドの no 形式を使用します。
mac port access-group access-list-name
no mac port access-group access-list-name
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
デフォルトでは、インターフェイスには MAC ACL は適用されません。
MAC ACL を非 IP トラフィックに適用します。パケット分類がディセーブルの場合、MAC ACL はすべてのトラフィックに適用されます。
mac port access-group コマンドを使用して、MAC ACL をポート ACL として次のインターフェイス タイプに適用できます。
MAC ACL を VLAN ACL として適用することもできます。詳細については、「match」を参照してください。
スイッチは、MAC ACL を着信トラフィックにだけ適用します。スイッチが MAC ACL を適用する場合、ACL のルールについてパケットを評価します。最初の一致ルールによりパケットが許可された場合、スイッチはそのパケットの処理を継続します。最初の一致ルールによりパケットが拒否された場合、スイッチはそのパケットをドロップし、ICMP ホスト到達不能メッセージを返します。
インターフェイスから削除されていない ACL をスイッチから削除すると、削除された ACL はそのインターフェイス上のトラフィックに影響しなくなります。
例
次に、mac-acl-01 という名前の MAC ACL をイーサネット インターフェイス 1/2 に適用する例を示します。
switch(config-if)# mac port access-group mac-acl-01
次に、mac-acl-01 という名前の MAC ACL をイーサネット インターフェイス 1/2 から削除する例を示します。
switch(config-if)# no mac port access-group mac-acl-01
関連コマンド
|
|
|
|---|---|
match
VLAN アクセス マップのトラフィック フィルタリングにアクセス コントロール リスト（ACL）を指定するには、 match コマンドを使用します。VLAN アクセス マップから match コマンドを削除するには、このコマンドの no 形式を使用します。
match {ip | ipv6 | mac} address access-list-name
no match {ip | ipv6 | mac} address access-list-name
シンタックスの説明
コマンドのデフォルト
デフォルトでは、スイッチはトラフィックを分類して、IPv4 ACL を IPv4 トラフィックに、MAC ACL を他のすべてのトラフィックに適用します。
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
例
次に、vlan-map-01 という名前で VLAN アクセス マップを作成して、そのマップに ip-acl-01 という名前の IPv4 ACL を割り当て、スイッチが ACL に一致するパケットを転送するよう指定し、マップに一致するトラフィックの統計情報をイネーブルにする例を示します。
switch(config-access-map)# match ip address ip-acl-01
switch(config-access-map)# action forward
switch(config-access-map)# statistics
関連コマンド
|
|
|
|---|---|
permit（IPv4）
条件に一致するトラフィックを許可する IPv4 アクセス コントロール リスト（ACL）ルールを作成するには、 permit コマンドを使用します。ルールを削除するには、このコマンドの no 形式を使用します。
[ sequence-number ] permit protocol source destination {[ dscp dscp ] | [ precedence precedence ]} [ fragments ] [ log ] [ time-range time-range-name ]
no permit protocol source destination {[ dscp dscp ] | [ precedence precedence ]} [ fragments ] [ log ] [ time-range time-range-name ]
Internet Control Message Protocol（ICMP; インターネット制御メッセージ プロトコル）
[ sequence-number ] permit icmp source destination [ icmp-message ] {[ dscp dscp ] | [ precedence precedence ]} [ fragments ] [ log ] [ time-range time-range-name ]
Internet Group Management Protocol（インターネット グループ管理プロトコル）
[ sequence-number ] permit igmp source destination [ igmp-message ] {[ dscp dscp ] | [ precedence precedence ]} [ fragments ] [ log ] [ time-range time-range-name ]
[ sequence-number ] permit ip source destination {[ dscp dscp ] | [ precedence precedence ]} [ fragments ] [ log ] [ time-range time-range-name ]
Transmission Control Protocol（TCP; 伝送制御プロトコル）
[ sequence-number ] permit tcp source [ operator port [ port ] | portgroup portgroup ] destination [ operator port [ port ] | portgroup portgroup ] {[ dscp dscp ] | [ precedence precedence ]} [ fragments ] [ log ] [ time-range time-range-name ] [ flags ] [ established ]
User Datagram Protocol（UDP; ユーザ データグラム プロトコル）
[ sequence-number ] permit udp source [ operator port [ port ] | portgroup portgroup ] destination [ operator port [ port ] | portgroup portgroup ] {[ dscp dscp ] | [ precedence precedence ]} [ fragments ] [ log ] [ time-range time-range-name ]
シンタックスの説明
コマンドのデフォルト
新しく作成された IPv4 ACL にはルールは含まれません。
シーケンス番号を指定しない場合は、デバイスにより ACL の最後のルールのシーケンス番号に 10 を足したシーケンス番号がルールに割り当てられます。
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
スイッチが IPv4 ACL をパケットに適用する場合、ACL のすべてのルールについてパケットを評価します。スイッチは、パケットによって満たされた最初の条件を採用します。複数の条件が満たされる場合は、スイッチは最も小さいシーケンス番号のルールを採用します。
source 引数と destination 引数はいくつかの方法で指定できます。それぞれのルールで、これらの引数の 1 つを指定するのに使用するメソッドは、他の引数の指定方法には影響しません。ルールを設定する場合は、次のメソッドを使用して source 引数と destination 引数を指定します。
• IP アドレス グループ オブジェクト：IPv4 アドレス グループ オブジェクトを使用して、 source 引数または destination 引数を指定できます。 object-group ip address コマンドを使用して、IPv4 ポート グループの作成と変更を行います。構文は次のようになります。
次に、lab-gateway-svrs という名前の IPv4 アドレス オブジェクト グループを使用して、 destination 引数を指定する例を示します。
• アドレスおよびネットワーク ワイルドカード：IPv4 アドレスの後にネットワーク ワイルドカードを使用して、ホストまたはネットワークを送信元または宛先として指定できます。構文は次のようになります。
次に、IPv4 アドレスとサブネット 192.168.67.0 のネットワーク ワイルドカードを持つ source 引数を指定する例を示します。
• アドレスおよび可変長サブネット マスク（VLSM）：IPv4 アドレスの後に VLSM を使用して、ホストまたはネットワークを送信元または宛先として指定できます。構文は次のようになります。
次に、IPv4 アドレスとサブネット 192.168.67.0 の VLSM を持つ source 引数を指定する例を示します。
• ホスト アドレス： host キーワードと IPv4 アドレスを使用して、送信元または宛先としてホストを指定できます。構文は次のようになります。
これは、 IPv4-address /32、および IPv4-address 0.0.0.0 と等しい構文です。
次に、 host 192.168.67.132 の IPv4 アドレスを持つ source 引数を指定する例を示します。
• 任意のアドレス： any キーワードを使用して、送信元または宛先が任意の IPv4 アドレスであることを指定します。 any キーワードを使用する例については、このセクションの例を参照してください。それぞれの例で、 any キーワードを使用して送信元または宛先を指定する方法が示されています。
icmp-message 引数には、ICMP メッセージ番号を 0 ～ 255 の整数で指定できます。また、次のキーワードのいずれかを指定することもできます。
• administratively-prohibited ：管理上禁止
• general-parameter-problem ：パラメータの問題
• host-precedence-unreachable ：プレシデンスが到達不可能なホスト
• host-tos-redirect ：ToS ホスト リダイレクト
• host-tos-unreachable ：ToS が到達不可能なホスト
• mobile-redirect ：モバイル ホスト リダイレクト
• net-tos-redirect ：ToS ネット リダイレクト
• net-tos-unreachable ：ToS が到達不可能なネットワーク
• no-room-for-option ：パラメータが必要であるが空きスペースがない
• option-missing ：パラメータが必要であるが存在しない
• packet-too-big ：フラグメント化と DF セットが必要
• parameter-problem ：すべてのパラメータの問題
• precedence-unreachable ：プレシデンス カットオフ
• protocol-unreachable ：到達不可能なプロトコル
• reassembly-timeout ：再アセンブリ タイムアウト
• router-advertisement ：ルータ ディスカバリ アドバタイズメント
• router-solicitation ：ルータ ディスカバリ要求
• source-route-failed ：送信元ルート失敗
• time-exceeded ：すべての time-exceeded メッセージ
• timestamp-request ：タイムスタンプ要求
tcp として protocol 引数を指定すると、 port 引数には 0 ～ 65535 の整数で TCP ポート番号を指定できます。また、次のキーワードのいずれかを指定することもできます。
drip ：ダイナミック ルーティング情報プロトコル（3949）
nntp ：Network News Transport Protocol（119）
pop2 ：Post Office Protocol v2（19）
pop3 ：Post Office Protocol v3（11）
smtp ：Simple Mail Transport Protocol（25）
sunrpc ：Sun Remote Procedure Call（111）
tacacs ：TAC Access Control System（49）
uucp ：Unix-to-Unix Copy Program（54）
udp として protocol 引数を指定すると、 port 引数には 0 ～ 65535 の整数で UDP ポート番号を指定できます。また、次のキーワードのいずれかを指定することもできます。
bootpc ：ブートストラップ プロトコル（BOOTP）クライアント（68）
bootps ：ブートストラップ プロトコル（BOOTP）サーバ（67）
dnsix ：DNSIX セキュリティ プロトコル監査（195）
isakmp ：Internet Security Association および Key Management Protocol（5）
nameserver ：IEN116 ネーム サービス（廃止、42）
netbios-dgm ：NetBIOS データグラム サービス（138）
netbios-ns ：NetBIOS ネーム サービス（137）
netbios-ss ：NetBIOS セッション サービス（139）
non500-isakmp ：Internet Security Association および Key Management Protocol（45）
rip ：ルーティング情報プロトコル（ルータ、in.routed、52）
sunrpc ：Sun Remote Procedure Call（111）
tacacs ：TAC Access Control System（49）
例
次に、10.23.0.0 および 192.168.37.0 ネットワークから 10.176.0.0 ネットワークへのすべての TCP および UDP トラフィックを許可するルールを使用して、acl-lab-01 という名前で IPv4 ACL を設定する例を示します。
switch(config-acl)# permit tcp 10.23.0.0/16 10.176.0.0/16
switch(config-acl)# permit udp 10.23.0.0/16 10.176.0.0/16
switch(config-acl)# permit tcp 192.168.37.0/16 10.176.0.0/16
switch(config-acl)# permit udp 192.168.37.0/16 10.176.0.0/16
関連コマンド
|
|
|
|---|---|
permit（IPv6）
条件に一致するトラフィックを許可する IPv6 ACL ルールを作成するには、 permit コマンドを使用します。ルールを削除するには、このコマンドの no 形式を使用します。
[ sequence-number ] permit protocol source destination [ dscp dscp ] [ flow-label flow-label-value ] [ fragments ] [ log ] [ time-range time-range-name ]
no permit protocol source destination [ dscp dscp ] [ flow-label flow-label-value ] [ fragments ] [ log ] [ time-range time-range-name ]
Internet Control Message Protocol（ICMP; インターネット制御メッセージ プロトコル）
[ sequence-number | no ] permit icmp source destination [ icmp-message ] [ dscp dscp ] [ flow-label flow-label-value ] [ fragments ] [ log ] [ time-range time-range-name ]
[ sequence-number ] permit ipv6 source destination [ dscp dscp ] [ flow-label flow-label-value ] [ fragments ] [ log ] [ time-range time-range-name ]
Stream Control Transmission Protocol（SCTP）
[ sequence-number | no ] permit sctp source [ operator port [ port ] | portgroup portgroup ] destination [ operator port [ port ] | portgroup portgroup ] [ dscp dscp ] [ flow-label flow-label-value ] [ fragments ] [ log ] [ time-range time-range-name ]
Transmission Control Protocol（TCP; 伝送制御プロトコル）
[ sequence-number ] permit tcp source [ operator port [ port ] | portgroup portgroup ] destination [ operator port [ port ] | portgroup portgroup ] [ dscp dscp ] [ flow-label flow-label-value ] [ fragments ] [ log ] [ time-range time-range-name ] [ flags ] [ established ]
User Datagram Protocol（UDP; ユーザ データグラム プロトコル）
[ sequence-number | no ] permit udp source [ operator port [ port ] | portgroup portgroup ] destination [ operator port [ port ] | portgroup portgroup ] [ dscp dscp ] [ flow-label flow-label-value ] [ fragments ] [ log ] [ time-range time-range-name ]
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
新しく作成された IPv6 ACL にはルールは含まれません。
デバイスが IPv6 ACL をパケットに適用する場合、ACL のすべてのルールについてパケットを評価します。デバイスは、パケットによって満たされた最初の条件を採用します。複数の条件が満たされる場合は、デバイスは最も小さいシーケンス番号のルールを採用します。
source 引数と destination 引数はいくつかの方法で指定できます。それぞれのルールで、これらの引数の 1 つを指定するのに使用するメソッドは、他の引数の指定方法には影響しません。ルールを設定する場合は、次のメソッドを使用して source 引数と destination 引数を指定します。
• IPv6 アドレス グループ オブジェクト：IPv6 アドレス グループ オブジェクトを使用して、 source 引数または destination 引数を指定できます。 object-group ipv6 address コマンドを使用して、IPv6 アドレス グループ オブジェクトの作成と変更を行います。構文は次のようになります。
次に、lab-svrs-1301 という名前の IPv6 アドレス オブジェクト グループを使用して、 destination 引数を指定する例を示します。
• アドレスおよび可変長サブネット マスク（VLSM）：IPv6 アドレスの後に VLSM を使用して、ホストまたはネットワークを送信元または宛先として指定できます。構文は次のようになります。
次に、IPv6 アドレスとネットワーク 2001:0db8:85a3:: の VLSM を持つ source 引数を指定する例を示します。
• ホスト アドレス： host キーワードと IPv6 アドレスを使用して、送信元または宛先としてホストを指定できます。構文は次のようになります。
この構文は、 IPv6-address /128 に相当します。
次に、 host キーワードと 2001:0db8:85a3:08d3:1319:8a2e:0370:7344 IPv6 アドレスで source 引数を指定する例を示します。
• 任意のアドレス： any キーワードを使用して、送信元または宛先が任意の IPv6 アドレスであることを指定します。 any キーワードを使用する例については、このセクションの例を参照してください。それぞれの例で、 any キーワードを使用して送信元または宛先を指定する方法が示されています。
icmp-message 引数には、ICMPv6 メッセージ番号を 0 ～ 255 の整数で指定できます。また、次のキーワードのいずれかを指定することもできます。
• destination-unreachable ：宛先アドレスが到達不能
• mld-query ：Multicast Listener Discovery クエリー
• mld-reduction ：Multicast Listener Discovery リダクション
• mld-report ：Multicast Listener Discovery レポート
• nd-na ：ネイバー ディスカバリのネイバー アドバタイズメント
• next-header ：パラメータ ネクスト ヘッダーの問題
• parameter-option ：パラメータ オプションの問題
• parameter-problem ：すべてのパラメータの問題
• reassembly-timeout ：再アセンブリ タイムアウト
• renum-command ：ルータの再番号付けコマンド
• renum-seq-number ：ルータの再番号付けのシーケンス番号リセット
• router-advertisement ：ネイバー ディスカバリのルータ アドバタイズメント
• router-renumbering ：すべてのルータの再番号付け
• router-solicitation ：ネイバー ディスカバリのルータ要求
• time-exceeded ：すべての時間超過メッセージ
tcp として protocol 引数を指定すると、 port 引数には 0 ～ 65535 の整数で TCP ポート番号を指定できます。また、次のキーワードのいずれかを指定することもできます。
drip ：ダイナミック ルーティング情報プロトコル（3949）
nntp ：Network News Transport Protocol（119）
pop2 ：Post Office Protocol v2（19）
pop3 ：Post Office Protocol v3（11）
smtp ：Simple Mail Transport Protocol（25）
sunrpc ：Sun Remote Procedure Call（111）
tacacs ：TAC Access Control System（49）
uucp ：Unix-to-Unix Copy Program（54）
udp として protocol 引数を指定すると、 port 引数には 0 ～ 65535 の整数で UDP ポート番号を指定できます。また、次のキーワードのいずれかを指定することもできます。
bootpc ：ブートストラップ プロトコル（BOOTP）クライアント（68）
bootps ：ブートストラップ プロトコル（BOOTP）サーバ（67）
dnsix ：DNSIX セキュリティ プロトコル監査（195）
isakmp ：Internet Security Association および Key Management Protocol（5）
nameserver ：IEN116 ネーム サービス（廃止、42）
netbios-dgm ：NetBIOS データグラム サービス（138）
netbios-ns ：NetBIOS ネーム サービス（137）
netbios-ss ：NetBIOS セッション サービス（139）
non500-isakmp ：Internet Security Association および Key Management Protocol（45）
rip ：ルーティング情報プロトコル（ルータ、in.routed、52）
sunrpc ：Sun Remote Procedure Call（111）
tacacs ：TAC Access Control System（49）
例
次に、2001:0db8:85a3:: および 2001:0db8:69f2:: のネットワークから 2001:0db8:be03:2112:: ネットワークへ送信されるすべての TCP および UDP トラフィックを許可するルールで、acl-lab13-ipv6 という名前の IPv6 ACL を設定する例を示します。
switch(config)# ipv6 access-list acl-lab13-ipv6
switch(config-ipv6-acl)# permit tcp 2001:0db8:85a3::/48 2001:0db8:be03:2112::/64
switch(config-ipv6-acl)# permit udp 2001:0db8:85a3::/48 2001:0db8:be03:2112::/64
switch(config-ipv6-acl)# permit tcp 2001:0db8:69f2::/48 2001:0db8:be03:2112::/64
switch(config-ipv6-acl)# permit udp 2001:0db8:69f2::/48 2001:0db8:be03:2112::/64
次に、IPv6 アドレス オブジェクト グループ eng_ipv6 から IPv6 アドレス オブジェクト グループ marketing_group へ送信されるすべての IPv6 トラフィックを許可するルールで、ipv6-eng-to-marketing という名前の IPv6 ACL を設定する例を示します。
switch(config)# ipv6 access-list ipv6-eng-to-marketing
switch(config-ipv6-acl)# permit ipv6 addrgroup eng_ipv6 addrgroup marketing_group
関連コマンド
|
|
|
|---|---|
permit（MAC）
条件に一致するトラフィックを許可する MAC ACL ルールを作成するには、 permit コマンドを使用します。ルールを削除するには、このコマンドの no 形式を使用します。
[ sequence-number ] permit source destination [ protocol ] [ cos cos-value ] [ vlan vlan-id ]
no permit source destination [ protocol ] [ cos cos-value ] [ vlan vlan-id ]
シンタックスの説明
コマンドのデフォルト
新しく作成された MAC ACL にはルールは含まれません。
シーケンス番号を指定しない場合は、スイッチにより ACL の最後のルールのシーケンス番号に 10 を足したシーケンス番号がルールに割り当てられます。
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
スイッチが MAC ACL をパケットに適用する場合、ACL のすべてのルールについてパケットを評価します。スイッチは、パケットによって満たされた最初の条件を採用します。複数の条件が満たされる場合は、スイッチは最も小さいシーケンス番号のルールを採用します。
source 引数と destination 引数は 2 つの方法で指定できます。それぞれのルールで、これらの引数の 1 つを指定するのに使用するメソッドは、他の引数の指定方法には影響しません。ルールを設定する場合は、次のメソッドを使用して source 引数と destination 引数を指定します。
アドレスとマスク：MAC アドレスの後にマスクを使用して、1 つのアドレスまたはアドレスのグループを指定できます。構文は次のようになります。
次に、MAC アドレス 00c0.4f03.0a72 を持つ source 引数を指定する例を示します。
次に、MAC ベンダー コードが 00603e のすべての MAC アドレスを持つ destination 引数を指定する例を示します。
• 任意のアドレス： any キーワードを使用して、送信元または宛先が任意の MAC アドレスであることを指定できます。 any キーワードを使用する例については、このセクションの例を参照してください。それぞれの例で、 any キーワードを使用して送信元または宛先を指定する方法が示されています。
protocol 引数は、MAC プロトコル番号またはキーワードを指定します。プロトコル番号は、先頭に 0x が付く 4 バイトの 16 進数です。有効なプロトコル番号の範囲は 0x0 から 0xffff です。有効なキーワードは、次のとおりです。
• appletalk ：Appletalk（0x809b）
• decnet-iv ：DECnet Phase IV（0x6003）
• diagnostic ：DEC Diagnostic Protocol（0x6005）
• etype-6000 ：Ethertype 0x6000（0x6000）
• etype-8042 ：Ethertype 0x8042（0x8042）
• ip ：Internet Protocol v4（0x0800）
• lavc-sca ：DEC LAVC、SCA（0x6007）
• mop-console ：DEC MOP リモート コンソール（0x6002）
例
次に、mac-ip-filter という名前で、2 つの MAC アドレスのグループ間ですべての非 IPv4 トラフィックを許可する MAC ACL を設定する例を示します。
switch(config-mac-acl)# permit 00c0.4f00.0000 0000.00ff.ffff 0060.3e00.0000 0000.00ff.ffff ip
関連コマンド
|
|
|
|---|---|
permit interface
ユーザ ロールのインターフェイス ポリシー のインターフェイスを追加するには、 permit interface コマンドを使用します。インターフェイスを削除するには、このコマンドの no 形式を使用します。
permit interface interface-list
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
permit interface 文を機能させるには、次の例にあるように、コマンド ルールを設定してインターフェイス アクセスを許可する必要があります。
例
次に、ユーザ ロール インターフェイス ポリシーのインターフェイスの範囲を設定する例を示します。
switch(config-role)# interface policy deny
switch(config-role-interface)# permit interface ethernet 1/2 - 8
次に、ユーザ ロール インターフェイス ポリシーのインターフェイスのリストを設定する例を示します。
switch(config-role)# interface policy deny
switch(config-role-interface)# permit interface ethernet 1/1, ethernet 1/3, ethernet 1/5
次に、ユーザ ロール インターフェイス ポリシーからインターフェイスを削除する例を示します。
switch(config-role)# interface policy deny
switch(config-role-interface)# no permit interface ethernet 1/2
関連コマンド
|
|
|
|---|---|
permit vlan
ユーザ ロール VLAN ポリシー に VLAN を追加するには、 permit vlan コマンドを使用します。VLAN を削除するには、このコマンドの no 形式を使用します。
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
permit vlan 文を機能させるには、次の例にあるように、コマンド ルール を設定して VLAN アクセスを許可する必要があります。
例
次に、ユーザ ロール VLAN ポリシーの VLAN の範囲を設定する例を示します。
switch(config-role)# vlan policy deny
switch(config-role-vlan)# permit vlan 1-8
次に、ユーザ ロール VLAN ポリシーの VLAN のリストを設定する例を示します。
switch(config-role)# vlan policy deny
switch(config-role-vlan)# permit vlan 1, 10, 12, 20
次に、ユーザ ロール VLAN ポリシーから VLAN を削除する例を示します。
switch(config-role)# vlan policy deny
switch(config-role-vlan)# no permit vlan 2
関連コマンド
|
|
|
|---|---|
permit vrf
ユーザ ロール VRF ポリシーに Virtual Routing and Forwarding Instance（VRF; 仮想ルーティング/転送インスタンス）を追加するには、 permit vrf コマンドを使用します。VRF を削除するには、このコマンドの no 形式を使用します。
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
例
次に、ユーザ ロール VRF ポリシーの VRF 範囲を設定する例を示します。
switch(config-role)# vrf policy deny
switch(config-role-vrf)# permit vrf management
関連コマンド
|
|
|
|---|---|
radius-server deadtime
Cisco Nexus 5000 シリーズ スイッチですべての RADIUS サーバのデッドタイム インターバルを設定するには、 radius-server deadtime コマンドを使用します。デフォルトの設定に戻すには、このコマンドの no 形式を使用します。
radius-server deadtime minutes
no radius-server deadtime minutes
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
デッドタイム インターバルは、以前応答しなかった RADIUS サーバをスイッチがチェックする前の分数です。
（注） アイドル タイム インターバルが 0 分の場合、RADIUS サーバの定期的なモニタリングは実行されません。
例
次に、すべての RADIUS サーバのグローバル デッドタイム インターバルを設定して、定期的なモニタリングを実行する例を示します。
次に、すべての RADIUS サーバのグローバル デッドタイム インターバルをデフォルトに戻して、定期的なサーバ モニタリングをディセーブルにする例を示します。
関連コマンド
|
|
|
|---|---|
radius-server directed-request
ログイン時にユーザが認証要求を特定の RADIUS サーバに送信できるようにするには、 radius-server directed request コマンドを使用します。デフォルトの設定に戻すには、このコマンドの no 形式を使用します。
radius-server directed-request
no radius-server directed-request
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
ログイン中に username @ vrfname : hostname を指定できます。vrfname は使用する VRF で hostname は設定された RADIUS サーバです。ユーザ名が認証用に RADIUS サーバに送信されます。
例
次に、ログイン時にユーザが認証要求を特定の RADIUS サーバに送信できるようにする例を示します。
次に、ログイン時にユーザが認証要求を特定の RADIUS サーバに送信できないようにする例を示します。
関連コマンド
|
|
|
|---|---|
radius-server host
RADIUS サーバ パラメータを設定するには、 radius-server host コマンドを使用します。デフォルトの設定に戻すには、このコマンドの no 形式を使用します。
radius-server host { hostname | ipv4-address | ipv6-address }
[ key [ 0 | 7 ] shared-secret [ pac ]] [ accounting ]
[ acct-port port-number ] [ auth-port port-number ] [ authentication ] [ retransmit count ]
[ test { idle-time time | password password | username name }]
[ timeout seconds [ retransmit count ]]
no radius-server host { hostname | ipv4-address | ipv6-address }
[ key [ 0 | 7 ] shared-secret [ pac ]] [ accounting ]
[ acct-port port-number ] [ auth-port port-number ] [ authentication ] [ retransmit count ]
[ test { idle-time time | password password | username name }]
[ timeout seconds [ retransmit count ]]
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
例
次に、RADIUS サーバ認証とアカウンティング パラメータを設定する例を示します。
switch(config)# radius-server host 10.10.2.3 auth-port 2003
switch(config)# radius-server host 10.10.2.3 acct-port 2004
switch(config)# radius-server host 10.10.2.3 accounting
switch(config)# radius-server host radius2 key 0 abcd
switch(config)# radius-server host radius3 key 7 1234
switch(config)# radius-server host 10.10.2.3 test idle-time 10
switch(config)# radius-server host 10.10.2.3 test username tester
switch(config)# radius-server host 10.10.2.3 test password 2B9ka5
関連コマンド
|
|
|
|---|---|
radius-server key
RADIUS 共有秘密鍵を設定するには、 radius-server key コマンドを使用します。共有秘密鍵を削除するには、このコマンドの no 形式を使用します。
radius-server key [ 0 | 7 ] shared-secret
no radius-server key [ 0 | 7 ] shared-secret
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
RADIUS 事前共有鍵を設定して、RADIUS サーバに対してスイッチを認証する必要があります。鍵の長さは 65 文字に制限されており、出力可能な ASCII 文字の使用が可能です（空白文字は使用できません）。グローバル鍵は、スイッチにあるすべての RADIUS サーバ コンフィギュレーションで使用するよう設定できます。 radius-server host コマンドで key キーワードを使用することでこのグローバル鍵の割り当てを上書きできます。
例
次に、さまざまなシナリオを提供して RADIUS 認証を設定する例を示します。
switch(config)# radius-server key 0 AnyWord
switch(config)# radius-server key 7 public pac
関連コマンド
|
|
|
|---|---|
radius-server retransmit
スイッチが RADIUS サーバで要求を試行する回数を指定するには、 radius-server retransmit コマンドを使用します。デフォルトの設定に戻すには、このコマンドの no 形式を使用します。
radius-server retransmit count
no radius-server retransmit count
シンタックスの説明
スイッチがローカル認証に戻る前に RADIUS サーバ（複数可）への接続試行を行う回数です。有効値は 1 ～ 5 回です。 |
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
例
次に、RADIUS サーバへの再送信回数を設定する例を示します。
次に、RADIUS サーバへの再送信回数をデフォルトに戻す例を示します。
関連コマンド
|
|
|
|---|---|
radius-server timeout
RADIUS サーバへの再送信間隔を指定するには、 radius-server timeout コマンドを使用します。デフォルトの設定に戻すには、このコマンドの no 形式を使用します。
no radius-server timeout seconds
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
例
関連コマンド
|
|
|
|---|---|
remark
コメントを IPv4 または MAC アクセス コントロール リスト（ACL）に入力するには、 remark コマンドを使用します。remark コマンドを削除するには、このコマンドの no 形式を使用します。
[ sequence-number ] remark remark
no { sequence-number | remark remark }
シンタックスの説明
コマンドのデフォルト
コマンド モード
IPv4 ACL コンフィギュレーション
MAC ACL コンフィギュレーション
コマンドの履歴
|
|
|
使用上のガイドライン
remark 引数は、最大 100 文字まで可能です。 remark 引数に 101 文字以上を入力した場合、スイッチは最初の 100 文字を受け入れ、それ以外の文字はドロップします。
例
次に、IPv4 ACL でリマークを作成して結果を表示する例を示します。
switch(config-acl)# 100 remark this ACL denies the marketing department access to the lab
switch(config-acl)# show access-list acl-ipv4-01
関連コマンド
|
|
|
|---|---|
resequence
シーケンス番号をアクセス コントロール リスト（ACL）またはタイム レンジのすべてのルールに再割り当てするには、 resequence コマンドを使用します。
resequence access-list-type access-list access-list-name starting-number increment
resequence time-range time-range-name starting-number increment
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
resequence コマンドを使用すると、ACL のルールまたはタイム レンジにシーケンス番号を再割り当てすることができます。最初のルールの新しいシーケンス番号は、 starting-number 引数によって決定されます。追加される各ルールは、 increment 引数が決定する新しいシーケンス番号を受け取ります。最も大きいシーケンス番号が使用可能な最大シーケンス番号を超える場合は、シーケンシングが発生せず、次のメッセージが表示されます。
例
次に、開始シーケンス番号が 100 で番号が 10 ずつ増えていく ip-acl-01 という名前の IPv4 ACL のリシーケンスを行い、 show ip access-lists コマンドを使用して、 resequence コマンドの使用の前後でシーケンス番号を確認する例を示します。
IP access list ip-acl-01
7 permit tcp 128.0.0/16 any eq www
10 permit udp 128.0.0/16 any
13 permit icmp 128.0.0/16 any eq echo
17 deny igmp any any
switch(config)# resequence ip access-list ip-acl-01 100 10
switch(config)# show ip access-lists ip-acl-01
IP access list ip-acl-01
100 permit tcp 128.0.0/16 any eq www
110 permit udp 128.0.0/16 any
120 permit icmp 128.0.0/16 any eq echo
130 deny igmp any any
関連コマンド
|
|
|
|---|---|
role feature-group name
ユーザ ロール機能グループを作成または指定して、ユーザ ロール機能グループ コンフィギュレーション モードを開始するには、 role feature-group name コマンドを使用します。ユーザ ロール機能グループを削除するには、このコマンドの no 形式を使用します。
role feature-group name group-name
no role feature-group name group-name
シンタックスの説明
ユーザ ロール機能グループ名です。 group-name は最大 32 文字までの英数字が可能で、大文字小文字が区別されます。 |
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
例
次に、ユーザ ロール機能グループを作成してユーザ ロール機能グループ コンフィギュレーション モードを開始する例を示します。
switch(config-role-featuregrp)#
関連コマンド
|
|
|
|---|---|
ユーザ ロール機能グループを作成または指定して、ユーザ ロール機能グループ コンフィギュレーション モードを開始します。 |
|
role name
ユーザ ロールを作成または指定して、ユーザ ロール コンフィギュレーション モードを開始するには、 role name コマンドを使用します。ユーザ ロールを削除するには、このコマンドの no 形式を使用します。
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
Cisco Nexus 5000 シリーズ スイッチは、次のデフォルト ユーザ ロールを提供します。
例
次に、ユーザ ロールを作成してユーザ ロール コンフィギュレーション モードを開始する例を示します。
switch(config-role)#
関連コマンド
|
|
|
|---|---|
rule
ユーザ ロールのルールを設定するには、 rule コマンドを使用します。ルールを削除するには、このコマンドの no 形式を使用します。
rule number { deny | permit } { command command-string | { read | read-write } [ feature feature-name | feature-group group-name ]}
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
指定したルール番号は、ルールが適用される順番を決定します。ルールは降順で適用されます。たとえば、ロールに 3 つのルールがある場合、ルール 3、ルール 2、ルール 1 の順に適用されます。
例
switch(config-role)# rule 1 deny command clear users
switch(config-role)# rule 1 permit read-write feature-group L3
switch(config-role)# no rule 10
関連コマンド
|
|
|
|---|---|
server
RADIUS または TACACS+ サーバ グループにサーバを追加するには、 server コマンドを使用します。サーバ グループからサーバを削除するには、このコマンドの no 形式を使用します。
server { ipv4-address | ipv6-address | hostname }
no server { ipv4-address | ipv6-address | hostname }
シンタックスの説明
コマンドのデフォルト
コマンド モード
RADIUS サーバ グループ コンフィギュレーション
TACACS+ サーバ グループ コンフィギュレーション
コマンドの履歴
|
|
|
使用上のガイドライン
aaa group server radius コマンドを使用して RADIUS サーバ グループ コンフィギュレーション モードを開始するか、または aaa group server tacacs+ コマンドを使用して TACACS+ サーバ グループ コンフィギュレーション モードを開始します。
サーバが見つからない場合は、 radius-server host コマンドまたは tacacs-server host コマンドを使用してサーバを設定します。
（注） TACACS+ を設定する前に、feature tacacs+ コマンドを使用する必要があります。
例
次に、RADIUS サーバ グループにサーバを追加する例を示します。
switch(config-radius)# server 10.10.1.1
次に、RADIUS サーバ グループからサーバを削除する例を示します。
switch(config-radius)# no server 10.10.1.1
次に、TACACS+ サーバ グループにサーバを追加する例を示します。
switch(config)# aaa group server tacacs+ TacServer
switch(config-tacacs+)# server 10.10.2.2
次に、TACACS+ サーバ グループからサーバを削除する例を示します。
switch(config)# aaa group server tacacs+ TacServer
switch(config-tacacs+)# no server 10.10.2.2
関連コマンド
|
|
|
|---|---|
show aaa accounting
AAA アカウンティング コンフィギュレーションを表示するには、 show aaa accounting コマンドを使用します。
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
例
show aaa authentication
AAA 認証コンフィギュレーョン情報を表示するには、 show aaa authentication コマンドを使用します。
show aaa authentication login [ error-enable | mschap ]
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
例
次に、認証ログイン エラー イネーブル コンフィギュレーションを表示する例を示します。
次に、認証ログイン MSCHAP コンフィギュレーションを表示する例を示します。
show aaa groups
AAA サーバ グループ コンフィギュレーションを表示するには、 show aaa groups コマンドを使用します。
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
例
show access-lists
すべての IPv4 および MAC アクセス コントロール リスト（ACL）または特定の ACL を表示するには、 show access-lists コマンドを使用します。
show access-lists [ access-list-name ]
シンタックスの説明
コマンドのデフォルト
access-list-name 引数を使用して ACL を指定しないかぎり、スイッチはすべての ACL を表示します。
コマンド モード
コマンドの履歴
|
|
|
例
次に、スイッチのすべての IPv4 および MAC ACL を表示する例を示します。
関連コマンド
|
|
|
|---|---|
show accounting log
アカウンティングのログ内容を表示するには、 show accounting log コマンドを使用します。
show accounting log [ size ] [ start-time year month day HH : MM : SS ] [ end-time year month day HH : MM : SS ]
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
例
次に、400 バイトのアカウンティング ログを表示する例を示します。
次に、2008 年 2 月 16 日 16:00:00 に開始するアカウンティング ログを表示する例を示します。
次に、2008 年 2 月 1 日 15:59:59 に開始し、2008 年 2 月 29 日 16:00:00 に終了するアカウンティング ログを表示する例を示します。
関連コマンド
|
|
|
|---|---|
show ip access-lists
すべての IPv4 ACL または特定の IPv4 ACL を表示するには、 show ip access-lists コマンドを使用します。
show ip access-lists [ access-list-name ]
シンタックスの説明
コマンドのデフォルト
access-list-name 引数を使用して ACL を指定しないかぎり、スイッチはすべての IPv4 ACL を表示します。
コマンド モード
コマンドの履歴
|
|
|
例
次に、スイッチのすべての IPv4 ACL を表示する例を示します。
関連コマンド
|
|
|
|---|---|
show ipv6 access-lists
すべての IPv6 ACL または特定の IPv6 ACL を表示するには、 show ipv6 access-lists コマンドを使用します。
show ipv6 access-lists [ access-list-name ] [ expanded | summary ]
シンタックスの説明
（任意）オブジェクト グループの名前だけでなく、IPv6 アドレス グループやポート グループの内容も表示することを指定します。 |
|
（任意）ACL 設定ではなく、ACL に関する情報を表示することを指定します。詳細については、「使用上のガイドライン」セクションを参照してください。 |
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
access-list-name 引数を使用して ACL を指定しないかぎり、すべての IPv6 ACL が表示されます。
summary キーワードを使用すると、ACL 設定ではなく、ACL に関する情報を表示できます。表示される情報には、以下のものがあります。
• エントリ単位の統計情報が ACL に設定されているかどうか
• ACL 設定内のルールの数。この数は、デバイスにより ACL がインターフェイスに適用されるときのエントリの数を反映してはいません。ACL 内のルールでオブジェクト グループが使用されていると、適用時の ACL 内のエントリの数は、ルールの数よりも多くなる可能性があります。
show ipv6 access-lists コマンドでは、次の条件の両方が満たされていると、ACL 内のエントリごとに統計情報が表示されます。
例
次に、スイッチ上のすべての IPv6 ACL を表示する例を示します。
関連コマンド
|
|
|
|---|---|
show mac access-lists
すべてのメディア アクセス制御（MAC）ACL または特定の MAC ACL を表示するには、 show access-lists コマンドを使用します。
show mac access-lists [ access-list-name ]
シンタックスの説明
コマンドのデフォルト
access-list-name 引数を使用して ACL を指定しないかぎり、スイッチはすべての MAC ACL を表示します。
コマンド モード
コマンドの履歴
|
|
|
例
次に、スイッチのすべての MAC ACL を表示する例を示します。
関連コマンド
|
|
|
|---|---|
show radius-server
RADIUS サーバ情報を表示するには、 show radius-server コマンドを使用します。
show radius-server [ hostname | ipv4-address | ipv6-address ] [ directed-request | groups [ group-name ] | sorted | statistics hostname | ipv4-address | ipv6-address ]
シンタックスの説明
（任意）設定されている RADIUS サーバ グループに関する情報を表示します。 group-name を入力して、特定の RADIUS サーバ グループに関する情報を表示します。 |
|
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
RADIUS 事前共有鍵は、 show radius-server コマンド出力には表示されません。 show running-config radius コマンドを使用して RADIUS 事前共有鍵を表示します。
例
次に、すべての RADIUS サーバの情報を表示する例を示します。
次に、指定した RADIUS サーバの情報を表示する例を示します。
次に、RADIUS サーバ グループの情報を表示する例を示します。
次に、指定した RADIUS サーバ グループの情報を表示する例を示します。
次に、ソートされたすべての RADIUS サーバの情報を表示する例を示します。
次に、指定した RADIUS サーバの統計情報を表示する例を示します。
関連コマンド
|
|
|
|---|---|
show role
ユーザ ロール コンフィギュレーションを表示するには、 show role コマンドを使用します。
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
例
関連コマンド
|
|
|
|---|---|
show role feature
ユーザ ロール機能を表示するには、 show role feature コマンドを使用します。
show role feature [ detail | name feature-name ]
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
例
次に、すべてのユーザ ロール機能の詳細情報を表示する例を示します。
次に、特定のユーザ ロール機能の詳細情報を表示する例を示します。
関連コマンド
|
|
|
|---|---|
show role feature-group
ユーザ ロール機能グループを表示するには、 show role feature-group コマンドを使用します。
show role feature-group [ detail | name group-name ]
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
例
次に、すべてのユーザ ロール機能グループに関する詳細情報を表示する例を示します。
次に、特定のユーザ ロール機能グループの情報を表示する例を示します。
関連コマンド
|
|
|
|---|---|
show running-config aaa
実行コンフィギュレーションの認証、許可、アカウンティング（AAA）コンフィギュレーション情報を表示するには、 show running-config aaa コマンドを使用します。
show running-config aaa [ all ]
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
例
次に、設定された実行コンフィギュレーションの AAA 情報を表示する例を示します。
show running-config radius
実行コンフィギュレーションの RADIUS サーバ情報を表示するには、 show running-config radius コマンドを表示します。
show running-config radius [ all ]
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
例
次に、実行コンフィギュレーションの RADIUS 情報を表示する例を示します。
関連コマンド
|
|
|
|---|---|
show running-config security
実行コンフィギュレーションのユーザ アカウント、SSH サーバ、Telnet サーバ情報を表示するには、 show running-config security コマンドを表示します。
show running-config security [ all ]
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
例
次に、実行コンフィギュレーションのユーザ アカウント、SSH サーバ、Telnet サーバを表示する例を示します。
show ssh key
Secure Shell（SSH; セキュア シェル）サーバ鍵を表示するには、 show ssh key コマンドを使用します。
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
このコマンドは、 ssh server enable コマンドを使用して SSH をイネーブルにしている場合にだけ使用できます。
例
関連コマンド
|
|
|
|---|---|
show ssh server
セキュア シェル（SSH）サーバ ステータスを表示するには、 show ssh server コマンドを使用します。
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
例
関連コマンド
|
|
|
|---|---|
show startup-config aaa
スタートアップ コンフィギュレーションの認証、許可、アカウンティング（AAA）コンフィギュレーション情報を表示するには、 show startup-config aaa コマンドを使用します。
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
例
次に、スタートアップ コンフィギュレーションの AAA 情報を表示する例を示します。
show startup-config radius
スタートアップ コンフィギュレーションの RADIUS コンフィギュレーション情報を表示するには、 show startup-config radius コマンドを使用します。
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
例
次に、スタートアップ コンフィギュレーションの RADIUS 情報を表示する例を示します。
show startup-config security
スタートアップ コンフィギュレーションのユーザ アカウント、SSH サーバ、Telnet サーバ設定情報を表示するには、 show startup-config security コマンドを表示します。
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
例
次に、スタートアップ コンフィギュレーションのユーザ アカウント、SSH サーバ、Telnet サーバを表示する例を示します。
show tacacs-server
TACACS+ サーバ情報を表示するには、 show tacacs-server コマンドを表示します。
show tacacs-server [hostname | ip4-address | ip6-address] [directed-request | groups | sorted | statistics]
シンタックスの説明
（任意）TACACS+ サーバの Domain Name Server（DNS）名です。最大文字サイズは 256 です。 |
|
デフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
TACACS+ 事前共有鍵は、 show tacacs-server コマンド出力には表示されません。 show running-config tacacs+ コマンドを使用して TACACS+ 事前共有鍵を表示します。
例
次に、すべての TACACS+ サーバの情報を表示する例を示します。
次に、指定した TACACS+ サーバの情報を表示する例を示します。
次に、TACACS+ サーバ グループの情報を表示する例を示します。
次に、指定した TACACS+ サーバ グループの情報を表示する例を示します。
次に、ソートされたすべての TACACS+ サーバの情報を表示する例を示します。
次に、指定した TACACS+ サーバの統計情報を表示する例を示します。
関連コマンド
|
|
|
|---|---|
show telnet server
Telnet サーバ ステータスを表示するには、 show telnet server コマンドを使用します。
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
例
次に、Telnet サーバ ステータスを表示する例を示します。
関連コマンド
|
|
|
|---|---|
show user-account
スイッチのユーザ アカウントに関する情報を表示するには、 show user-account コマンドを使用します。
show show user-account [ name ]
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
例
スイッチで定義されているすべてのユーザ アカウントに関する情報を表示する例を示します。
次に、特定のユーザ アカウントに関する情報を表示する例を示します。
show users
現在スイッチにログオンしているユーザを表示するには、 show users コマンドを使用します。
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
|---|---|
例
現在スイッチにログオンしているすべてのユーザを表示する例を示します。
関連コマンド
|
|
|
|---|---|
show vlan access-list
特定の VLAN アクセス マップに関連付けられた IPv4 ACL または MAC ACL の内容を表示するには、 show vlan access-list コマンドを使用します。
show vlan access-list map-name
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
指定した VLAN アクセス マップについて、スイッチはアクセス マップ名とマップに関連付けられた ACL の内容を表示します。
例
次に、指定した VLAN アクセス マップに関連付けられた ACL の内容を表示する例を示します。
関連コマンド
|
|
|
|---|---|
show vlan access-map
すべての VLAN アクセス マップまたは 1 つの VLAN アクセス マップを表示するには、 show vlan access-map コマンドを使用します。
show vlan access-map [ map-name ]
シンタックスの説明
コマンドのデフォルト
map-name 引数を使用して特定のアクセス マップを選択しないかぎり、スイッチはすべての VLAN アクセス マップを表示します。
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
表示される各 VLAN アクセス マップについて、スイッチはアクセス マップ名、 match コマンドで指定された ACL、 action コマンドで指定されたアクションを表示します。
show vlan filter コマンドを使用して、どの VLAN に VLAN アクセス マップが適用されるかを表示します。
例
次に、特定の VLAN アクセス マップを表示する例を示します。
次に、すべての VLAN アクセス マップを表示する例を示します。
関連コマンド
|
|
|
|---|---|
show vlan filter
VLAN アクセス マップ、コマンドの影響を受ける VLAN ID など、 vlan filter コマンドのインスタンスに関する情報を表示するには、 show vlan filter コマンドを使用します。
show vlan filter [ access-map map-name | vlan vlan-id ]
シンタックスの説明
コマンドのデフォルト
access-map キーワードを使用してアクセス マップを指定するか、 vlan キーワードを使用して VLAN ID を指定しないかぎり、VLAN に適用される VLAN アクセス マップのすべてのインスタンスが表示されます。
コマンド モード
コマンドの履歴
|
|
|
例
次に、スイッチのすべての VLAN アクセス マップ情報を表示する例を示します。
関連コマンド
|
|
|
|---|---|
ssh
IPv4 を使用してセキュア シェル（SSH）セッションを作成するには、 ssh コマンドを使用します。
ssh [ username@ ]{ ipv4-address | hostname } [ vrf vrf-name ]
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
例
IPv4 を使用して SSH セッションを開始する例を示します。
関連コマンド
|
|
|
|---|---|
ssh6
IPv6 を使用してセキュア シェル（SSH）セッションを作成するには、 ssh6 コマンドを使用します。
ssh6 [ username@ ]{ ipv6-address | hostname } [ vrf vrf-name ]
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
例
IPv6 を使用して SSH セッションを開始する例を示します。
関連コマンド
|
|
|
|---|---|
ssh key
セキュア シェル（SSH）サーバ鍵を作成するには、 ssh key コマンドを使用します。SSH サーバ鍵を削除するには、このコマンドの no 形式を使用します。
ssh key { dsa [ force ] | rsa [ length [ force ]]}
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
Cisco NX-OS ソフトウェアは SSH バージョン 2 をサポートしています。
SSH サーバ鍵を削除または交換する場合は、 no ssh server enable コマンドを使用して最初に SSH サーバ鍵をディセーブルにする必要があります。
例
次に、デフォルトのキー長を使用して RSA サーバ鍵を作成する例を示します。
次に、指定したキー長を使用して RSA サーバ鍵を作成する例を示します。
次に、強制オプションを使用して RSA サーバ鍵を交換する例を示します。
switch(config)# ssh key dsa force
switch(config)# ssh server enable
switch(config)# no ssh key dsa
switch(config)# ssh server enable
switch(config)# no ssh key
switch(config)# ssh server enable
関連コマンド
|
|
|
|---|---|
ssh server enable
セキュア シェル（SSH）サーバをイネーブルにするには、 ssh server enable コマンドを使用します。SSH サーバをディセーブルにするには、このコマンドの no 形式を使用します。
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
例
関連コマンド
|
|
|
|---|---|
storm-control level
トラフィック ストーム コントロールの抑制レベルを設定するには、 storm-control level コマンドを使用します。抑制モードをオフにするかデフォルトの設定に戻すには、このコマンドの no 形式を使用します。
storm-control { broadcast | multicast | unicast } level percentage [ . fraction ]
no storm-control {broadcast | multicast | unicast} level
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
storm-control level コマンドを入力して、インターフェイスの抑制レベルをイネーブルにして、トラフィック ストーム コントロール レベルを設定し、インターフェイスでイネーブルにされているすべてのトラフィック ストーム コントロール モードにトラフィック ストーム コントロール レベルを適用します。
フラクショナル抑制レベルを入力する場合には、ピリオド（.）が必要です。
抑制レベルは、総帯域幅のパーセンテージです。100 パーセントのしきい値は、トラフィックに制限がないことを意味します。0 または 0.0（フラクショナル）パーセントのしきい値は、指定したトラフィックがポートでブロックされることを意味します。
show interfaces counters storm-control コマンドを使用して、廃棄カウントを表示します。
次のメソッドの 1 つを使用して、指定したトラフィック タイプの抑制をオフにします。
例
次に、ブロードキャスト トラフィックの抑制をイネーブルにして、抑制しきい値レベルを設定する例を示します。
マルチキャスト トラフィックの抑制モードをディセーブルにする例を示します。
関連コマンド
|
|
|
|---|---|
tacacs-server deadtime
応答性について到達不能（非応答）TACACS+ サーバを監視する定期的な時間間隔を設定するには、 tacacs-server deadtime コマンドを使用します。非応答 TACACS+ サーバのモニタリングをディセーブルにするには、このコマンドの no 形式を使用します。
tacacs -server deadtime minutes
no tacacs -server deadtime minutes
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
時間間隔の設定をゼロにすると、タイマーがディセーブルになります。個別の TACACS+ サーバのデッド時間間隔がゼロ（0）よりも大きい場合は、サーバ グループに設定された値よりもその値が優先されます。
デッド時間間隔が 0 分の場合、TACACS+ サーバがサーバ グループの一部でグループのデッド時間間隔が 0 分を超えていないかぎり、TACACS+ サーバ モニタリングは実行されません。
例
次に、デッド タイムの時間間隔を設定し、定期的なモニタリングをイネーブルにする例を示します。
次に、デッド タイムの時間間隔をデフォルトに戻し、定期的なモニタリングをディセーブルにする例を示します。
関連コマンド
|
|
|
|---|---|
tacacs-server directed-request
ログイン時にユーザが認証要求を特定の TACACS+ サーバに送信できるようにするには、 tacacs-server directed request コマンドを使用します。デフォルトの設定に戻すには、このコマンドの no 形式を使用します。
tacacs -server directed-request
no tacacs -server directed-request
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
TACACS+ を設定する前に、 feature tacacs+ コマンドを使用する必要があります。
ログイン中に username@vrfname : hostname を指定できます。vrfname は使用する VRF、hostname は設定された TACACS+ サーバです。ユーザ名が認証用にサーバに送信されます。
例
次に、ログイン時にユーザが認証要求を特定の TACACS+ サーバに送信できるようにする例を示します。
次に、ログイン時にユーザが認証要求を特定の TACACS+ サーバに送信できないようにする例を示します。
関連コマンド
|
|
|
|---|---|
tacacs-server host
TACACS+ サーバ ホスト パラメータを設定するには、 tacacs-server host コマンドを使用します。デフォルトの設定に戻すには、このコマンドの no 形式を使用します。
tacacs-server host { hostname | ipv4-address | ipv6-address } [ key [ 0 | 7 ] shared-secret ] [ port port-number ] [ test { idle-time time | password password | username name }] [ timeout seconds ]
no tacacs-server host { hostname | ipv4-address | ipv6-address } [ key [ 0 | 7 ] shared-secret ] [ port port-number ] [ test { idle-time time | password password | username name }] [ timeout seconds ]
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
例
次に、TACACS+ サーバ ホスト パラメータを設定する例を示します。
switch(config)# tacacs-server host tacacs2 key 0 abcd
switch(config)# tacacs-server host tacacs3 key 7 1234
switch(config)# tacacs-server host 10.10.2.3 test idle-time 10
switch(config)# tacacs-server host 10.10.2.3 test username tester
switch(config)# tacacs-server host 10.10.2.3 test password 2B9ka5
関連コマンド
|
|
|
|---|---|
tacacs-server key
グローバル TACACS+ 共有秘密鍵を設定するには、 tacacs-server key コマンドを使用します。共有秘密鍵を削除するには、このコマンドの no 形式を使用します。
tacacs-server key [ 0 | 7 ] shared-secret
no tacacs-server key [ 0 | 7 ] shared-secret
シンタックスの説明
（任意）TACACS+ クライアントおよびサーバ間の通信を認証する、平文で指定された事前共有鍵を設定します。これはデフォルトです。 |
|
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
TACACS+ サーバに対してスイッチを認証するには、TACACS+ 事前共有鍵を設定する必要があります。鍵の長さは 65 文字に制限されており、出力可能な ASCII 文字の使用が可能です（空白文字は使用できません）。グローバル鍵を設定して、スイッチにあるすべての TACACS+ サーバ コンフィギュレーションで使用するようにできます。 tacacs-server host コマンドで key キーワードを使用することでこのグローバル鍵の割り当てを上書きできます。
例
switch(config)# tacacs-server key 0 AnyWord
switch(config)# tacacs-server key 7 public
関連コマンド
|
|
|
|---|---|
tacacs-server timeout
TACACS+ サーバへの再送信間隔を指定するには、 tacacs-server timeout コマンドを使用します。デフォルトの設定に戻すには、このコマンドの no 形式を使用します。
no tacacs-server timeout seconds
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
例
次に、TACACS+ サーバ タイムアウト値を設定する例を示します。
次に、TACACS+ サーバ タイムアウト値をデフォルトに戻す例を示します。
関連コマンド
|
|
|
|---|---|
telnet
Cisco Nexus 5000 シリーズ スイッチで IPv4 を使用して Telnet セッションを作成するには、 telnet コマンドを使用します。
telnet { ipv4-address | hostname } [ port-number ] [ vrf vrf-name ]
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
例
IPv4 を使用して Telnet セッションを開始する例を示します。
関連コマンド
|
|
|
|---|---|
telnet server enable
Telnet サーバをイネーブルにするには、 telnet server enable コマンドを使用します。Telnet サーバをディセーブルにするには、このコマンドの no 形式を使用します。
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
例
次に、Telnet サーバをディセーブルにする例を示します。
関連コマンド
|
|
|
|---|---|
telnet6
NX-OS デバイス上で IPv6 を使用して Telnet セッションを作成するには、 telnet6 コマンドを使用します。
telnet6 { ipv6-address | hostname } [ port-number ] [ vrf vrf-name ]
シンタックスの説明
（任意）Telnet セッションで使用する Virtual Routing and Forwarding（VRF; 仮想ルーティングおよびフォワーディング）名を指定します。大文字と小文字が区別されます。 |
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
このコマンドを使用するには、 telnet server enable コマンドを使用して Telnet サーバをイネーブルにしておく必要があります。
例
IPv6 アドレスを使用して Telnet セッションを開始する例を示します。
関連コマンド
|
|
|
|---|---|
use-vrf
RADIUS サーバ グループまたは TACACS+ サーバ グループの仮想ルーティングおよびフォワーディング（VRF）インスタンスを指定するには、 use-vrf コマンドを使用します。VRF インスタンスを削除するには、このコマンドの no 形式を使用します。
シンタックスの説明
コマンドのデフォルト
コマンド モード
RADIUS サーバ グループ コンフィギュレーション
TACACS+ サーバ グループ コンフィギュレーション
コマンドの履歴
|
|
|
使用上のガイドライン
1 つのサーバ グループには、1 つの VRF インスタンスしか設定できません。
aaa group server radius コマンドを使用して RADIUS サーバ グループ コンフィギュレーション モードを開始するか、または aaa group server tacacs+ コマンドを使用して TACACS+ サーバ グループ コンフィギュレーション モードを開始します。
サーバが見つからない場合は、 radius-server host コマンドまたは tacacs-server host コマンドを使用してサーバを設定します。
例
次に、RADIUS サーバ グループの VRF インスタンスを指定する例を示します。
switch(config-radius)# use-vrf management
次に、TACACS+ サーバ グループの VRF インスタンスを指定する例を示します。
switch(config-tacacs+)# use-vrf management
次に、TACACS+ サーバ グループから VRF インスタンスを削除する例を示します。
switch(config-tacacs+)# no use-vrf management
関連コマンド
|
|
|
|---|---|
username
ユーザ アカウントを作成し、設定するには、 username コマンドを使用します。ユーザ アカウントを削除するには、このコマンドの no 形式を使用します。
username user-id [ expire date ] [ password password ] [ role role-name ]
username user-id sshkey { key | filename filename }
シンタックスの説明
ユーザ アカウントのユーザ ID です。 user-id 引数は、最大 28 文字の英数字で、大文字と小文字が区別されます。 |
|
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
スイッチは強力なパスワードしか受け入れません。強力なパスワードの特性には次のものがあります。
• 複数の同じ文字の繰返し（「aaabbb」など）を含んでいない
例
次に、パスワードを使用してユーザ アカウントを作成する例を示します。
次に、ユーザ アカウントの SSH 鍵を設定する例を示します。
関連コマンド
|
|
|
|---|---|
vlan access-map
新しい VLAN アクセス マップを作成するか、または既存の VLAN アクセス マップを設定するには、 vlan access-map コマンドを使用します。VLAN アクセス マップを削除するには、このコマンドの no 形式を使用します。
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
各 VLAN アクセス マップには、1 つの match コマンドと 1 つの action コマンドを含めることができます。
例
次に、vlan-map-01 という名前で VLAN アクセス マップを作成して、そのマップに ip-acl-01 という名前の IPv4 ACL を割り当て、スイッチが ACL に一致するパケットを転送するよう指定し、マップに一致するトラフィックの統計情報をイネーブルにする例を示します。
switch(config-access-map)# match ip address ip-acl-01
switch(config-access-map)# action forward
switch(config-access-map)# statistics
関連コマンド
|
|
|
|---|---|
vlan filter
VLAN アクセス マップを 1 つまたは複数の VLAN に適用するには、 vlan filter コマンドを使用します。VLAN アクセス マップの適用を解除するには、このコマンドの no 形式を使用します。
vlan filter map-name vlan-list VLAN-list
no vlan filter map-name [ vlan-list VLAN-list ]
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
使用上のガイドライン
VLAN アクセス マップを 1 つまたは複数の VLAN に適用できます。
1 つの VLAN には、1 つの VLAN アクセス マップしか適用できません。
このコマンドの no 形式を使用すると、アクセス マップの適用時に指定した VLAN リストのすべてまたは一部に対して、VLAN アクセス マップの適用を解除できます。アクセス マップが適用されているすべての VLAN から適用を解除するには、 VLAN-list 引数を省略します。現在アクセス マップが適用されている VLAN のサブセットに対して、アクセス マップの適用を解除するには、 VLAN-list 引数を使用してアクセス マップを削除する VLAN を指定します。
例
次に、vlan-map-01 という名前の VLAN アクセス マップを 20 ～ 45 の VLAN に適用する例を示します。
関連コマンド
|
|
|
|---|---|
vlan policy deny
ユーザ ロールの VLAN ポリシー コンフィギュレーション モードを開始するには、 vlan policy deny コマンドを使用します。ユーザ ロールの VLAN ポリシーをデフォルトに戻すには、このコマンドの no 形式を使用します。
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
例
次に、ユーザ ロールの VLAN ポリシー コンフィギュレーション モードを開始する例を示します。
switch(config-role)# vlan policy deny
switch(config-role-vlan)#
次に、ユーザ ロールの VLAN ポリシーをデフォルトに戻す例を示します。
switch(config)# role name MyRole
switch(config-role)# no vlan policy deny
関連コマンド
|
|
|
|---|---|
vrf policy deny
ユーザ ロールの仮想転送およびルーティング インスタンス（VRF）ポリシー コンフィギュレーション モードを開始するには、 vrf policy deny コマンドを使用します。ユーザ ロールの VRF ポリシーをデフォルトに戻すには、このコマンドの no 形式を使用します。
シンタックスの説明
コマンドのデフォルト
コマンド モード
コマンドの履歴
|
|
|
例
次に、ユーザ ロールの VRF ポリシー コンフィギュレーション モードを開始する例を示します。
switch(config-role)# vrf policy deny
switch(config-role-vrf)#
次に、ユーザ ロールの VRF ポリシーをデフォルトに戻す例を示します。
switch(config-role)# no vrf policy deny
関連コマンド
|
|
|
|---|---|
フィードバック