Catalyst 3560 スイッチ コマンド リファレンス Cisco IOS Release 12.2(55)SE
偏向のない言語
この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
翻訳について
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
- Updated:
- 2017年6月21日
章のタイトル： Catalyst 3560 スイッチ Cisco IOS コマンド-1
- aaa accounting dot1x
- aaa authentication dot1x
- aaa authorization network
- action
- archive download-sw
- archive tar
- archive upload-sw
- arp access-list
- authentication command bounce-port ignore
- authentication command disable-port ignore
- authentication control-direction
- authentication event
- authentication fallback
- authentication host-mode
- authentication mac-move permit
- authentication open
- authentication order
- authentication periodic
- authentication port-control
- authentication priority
- authentication timer
- authentication violation
- auto qos classify
- auto qos trust
- auto qos voip
- boot auto-download-sw
- boot buffersize
- boot config-file
- boot enable-break
- boot helper
- boot helper-config-file
- boot manual
- boot private-config-file
- boot system
- cdp forward
- channel-group
- channel-protocol
- cisp enable
- class
- class-map
- clear dot1x
- clear eap sessions
- clear errdisable interface
- clear arp inspection log
- clear ip arp inspection statistics
- clear ip dhcp snooping
- clear ipc
- clear ipv6 dhcp conflict
- clear l2protocol-tunnel counters
- clear lacp
- clear mac address-table
- clear mac address-table move update
- clear nmsp statistics
- clear pagp
- clear port-security
- clear spanning-tree counters
- clear spanning-tree detected-protocols
- clear vmps statistics
- clear vtp counters
- cluster commander-address
- cluster discovery hop-count
- cluster enable
- cluster holdtime
- cluster member
- cluster outside-interface
- cluster run
- cluster standby-group
- cluster timer
- define interface-range
- delete
- deny（ARP アクセス リスト コンフィギュレーション）
- deny（IPv6 アクセス リスト コンフィギュレーション）
- deny（MAC アクセス リスト コンフィギュレーション）
- diagnostic monitor
- diagnostic schedule
- diagnostic start
- dot1x
- dot1x auth-fail max-attempts
- dot1x auth-fail vlan
- dot1x control-direction
- dot1x credentials（グローバル コンフィギュレーション）
- dot1x critical（グローバル コンフィギュレーション）
- dot1x critical（インターフェイス コンフィギュレーション）
- dot1x default
- dot1x fallback
- dot1x guest-vlan
- dot1x host-mode
- dot1x initialize
- dot1x mac-auth-bypass
- dot1x max-reauth-req
- dot1x max-req
- dot1x multiple-hosts
- dot1x pae
- dot1x port-control
- dot1x re-authenticate
- dot1x re-authentication
- dot1x reauthentication
- dot1x supplicant force-multicast
- dot1x test eapol-capable
- dot1x test timeout
- dot1x timeout
- dot1x violation-mode
- duplex
- epm access-control open
- errdisable detect cause
- errdisable detect cause small-frame
- errdisable recovery cause small-frame
- errdisable recovery
- exception crashinfo
- fallback profile
- flowcontrol
- interface port-channel
- interface range
- interface vlan
- ip access-group
- ip address
- ip admission
- ip admission name proxy http
- ip arp inspection filter vlan
- ip arp inspection limit
- ip arp inspection log-buffer
- ip arp inspection trust
- ip arp inspection validate
- ip arp inspection vlan
- ip arp inspection vlan logging
- ip device tracking probe
- ip device tracking
- ip dhcp snooping
- ip dhcp snooping binding
- ip dhcp snooping database
- ip dhcp snooping information option
- ip dhcp snooping information option allow-untrusted
- ip dhcp snooping information option format remote-id
- ip dhcp snooping limit rate
- ip dhcp snooping trust
- ip dhcp snooping verify
- ip dhcp snooping vlan
- ip dhcp snooping vlan information option format-type circuit-id string
- ip igmp filter
- ip igmp max-groups
- ip igmp profile
- ip igmp snooping
- ip igmp snooping last-member-query-interval
- ip igmp snooping querier
- ip igmp snooping report-suppression
- ip igmp snooping tcn
- ip igmp snooping tcn flood
- ip igmp snooping vlan immediate-leave
- ip igmp snooping vlan mrouter
- ip igmp snooping vlan static
- ip source binding
- ip ssh
- ip sticky-arp（グローバル コンフィギュレーション）
- ip sticky-arp（インターフェイス コンフィギュレーション）
- ip verify source
- ipv6 access-list
- ipv6 address dhcp
- ipv6 dhcp client request vendor
- ipv6 dhcp ping packets
- ipv6 dhcp pool
- ipv6 dhcp server
- ipv6 mld snooping
- ipv6 mld snooping last-listener-query-count
- ipv6 mld snooping last-listener-query-interval
- ipv6 mld snooping listener-message-suppression
- ipv6 mld snooping robustness-variable
- ipv6 mld snooping tcn
- ipv6 mld snooping vlan
- ipv6 traffic-filter
- l2protocol-tunnel
- l2protocol-tunnel cos
- lacp port-priority
- lacp system-priority
- link state group
- link state track
- location（グローバル コンフィギュレーション）
- location（インターフェイス コンフィギュレーション）
- logging event
- logging event power-inline-status
- logging file
- mab request format attribute 32
- mac access-group
- mac access-list extended
- mac address-table aging-time
- mac address-table learning vlan
- mac address-table move update
- mac address-table notification
- mac address-table static
- mac address-table static drop
- match（アクセスマップ コンフィギュレーション）
- match（クラスマップ コンフィギュレーション）
- mdix auto
- media-type（インターフェイス コンフィギュレーション）
- mls qos
- mls qos aggregate-policer
- mls qos cos
- mls qos dscp-mutation
- mls qos map
- mls qos queue-set output buffers
- mls qos queue-set output threshold
- mls qos rewrite ip dscp
- mls qos srr-queue input bandwidth
- mls qos srr-queue input buffers
- mls qos srr-queue input cos-map
- mls qos srr-queue input dscp-map
- mls qos srr-queue input priority-queue
- mls qos srr-queue input threshold
- mls qos srr-queue output cos-map
- mls qos srr-queue output dscp-map
- mls qos trust
- mls qos vlan-based
- monitor session
- mvr（グローバル コンフィギュレーション）
- mvr（インターフェイス コンフィギュレーション）
- network-policy
- network-policy profile（グローバル コンフィギュレーション）
- network-policy profile（ネットワーク ポリシー コンフィギュレーション）
- nmsp
- nmsp attachment suppress
- no authentication logging verbose
- no dot1x logging verbose
- no mab logging verbose
- pagp learn-method
- pagp port-priority
- permit（ARP アクセス リスト コンフィギュレーション）
- permit（IPv6 アクセス リスト コンフィギュレーション）
- permit（MAC アクセス リスト コンフィギュレーション）
- police
- police aggregate
- policy-map
- port-channel load-balance
- power inline
- power inline consumption
- power rps
- priority-queue
- private-vlan
- private-vlan mapping
- queue-set
- radius-server dead-criteria
- radius-server host
- rcommand
- remote-span
- renew ip dhcp snooping database
- reserved-only
Catalyst 3560 スイッチ Cisco IOS コマンド
aaa accounting dot1x
Authentication, Authorization, and Accounting（AAA; 認証、許可、アカウンティング）アカウンティングをイネーブルにして、回線単位またはインターフェイス単位で IEEE 802.1x セッションの特定のアカウンティング方式を定義する方式リストを作成するには、 aaa accounting dot1x グローバル コンフィギュレーション コマンドを使用します。IEEE 802.1x アカウンティングをディセーブルにするには、このコマンドの no 形式を使用します。
aaa accounting dot1x { name | default } start-stop { broadcast group { name | radius | tacacs+ } [ group { name | radius | tacacs+ } ... ] | group { name | radius | tacacs+ } [ group { name | radius | tacacs+ }...]}
no aaa accounting dot1x { name | default }
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
使用上のガイドライン
このコマンドは、RADIUS サーバへのアクセスが必要です。
インターフェイスに IEEE 802.1x RADIUS アカウンティングを設定する前に、dot1x reauthentication インターフェイス コンフィギュレーション コマンドを入力することを推奨します。
例
次の例では、IEEE 802.1x アカウンティングを設定する方法を示します。
（注） RADIUS 認証サーバは、AAA クライアントから更新パケットやウォッチドッグ パケットを受け入れて記録するよう、適切に設定する必要があります。
関連コマンド
|
|
|
dot1x timeout reauth-period |
aaa authentication dot1x
IEEE 802.1x 認証に準拠するポートで使用する認証、認可、アカウンティング（AAA）方式を指定するには、 aaa authentication dot1x グローバル コンフィギュレーション コマンドを使用します。認証をディセーブルにするには、このコマンドの no 形式を使用します。
aaa authentication dot1x { default } method1
no aaa authentication dot1x { default }
構文の説明
（注） 他のキーワードがコマンドラインのヘルプ ストリングに表示されますが、サポートされているのは default および group radius キーワードだけです。
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
method 引数には、認証アルゴリズムがクライアントからのパスワードを確認するために一定の順序で試みる方式を指定します。実際に IEEE 802.1x に準拠している唯一の方式は、クライアント データが RADIUS 認証サーバに対して確認される group radius 方式です。
group radius を指定した場合、 radius-server host グローバル コンフィギュレーション コマンドを使用して RADIUS サーバを設定する必要があります。
設定された認証方式のリストを表示するには、 show running-config 特権 EXEC コマンドを使用します。
例
次の例では、AAA をイネーブルにして IEEE 802.1x 準拠の認証リストを作成する方法を示します。この認証は、最初に RADIUS サーバとの交信を試行します。この動作でエラーが返信された場合、ユーザはネットワークへのアクセスが許可されません。
関連コマンド
|
|
|
|---|---|
aaa authorization network
IEEE 802.1x aaa-user Access Control List（ACL; アクセス コントロール リスト）や VLAN 割り当てなどのすべてのネットワーク関連サービス要求に対してユーザ RADIUS 認証を使用するようにスイッチを設定するには、 aaa authorization network グローバル コンフィギュレーション コマンドを使用します。RADIUS ユーザ認証をディセーブルにするには、このコマンドの no 形式を使用します。
aaa authorization network default group radius
no aaa authorization network default
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
スイッチが、デフォルトの認証リスト内にある RADIUS サーバから IEEE 802.1x 認証パラメータをダウンロードできるようにするには、aaa authorization network default group radius グローバル コンフィギュレーション コマンドを使用します。認証パラメータは、ユーザごとの ACL または VLAN 割り当てなど、RADIUS サーバからパラメータを取得する機能で使用されます。
設定された認証方式リストを表示するには、 show running-config 特権 EXEC コマンドを使用します。
例
この例では、すべてのネットワーク関連サービス要求に対してユーザ RADIUS 認証を行うようスイッチを設定する方法を示します。
関連コマンド
|
|
|
|---|---|
action
VLAN アクセス マップ エントリのアクションを設定するには、 action アクセスマップ コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
vlan access-mapグローバル コンフィギュレーション コマンド を使用して、アクセスマップ コンフィギュレーション モードを開始します。
アクションが drop の場合は、一致条件にアクセス コントロール リスト（ACL）名を設定後、そのマップを VLAN に適用してアクセス マップを定義する必要があります。定義しない場合、すべてのパケットがドロップされることがあります。
アクセス マップ コンフィギュレーション モードでは、 match アクセス マップ コンフィギュレーション コマンドを使用して、VLAN マップの一致条件を定義できます。 action コマンドを使用すると、パケットが条件に一致したときに実行するアクションを設定できます。
例
次の例では、VLAN アクセス マップ vmap4 を指定し VLAN 5 と VLAN 6 に適用する方法を示します。このアクセス マップは、パケットがアクセス リスト al2 に定義された条件に一致する場合に、VLAN がその IP パケットを転送するように指定します。
関連コマンド
|
|
|
|---|---|
archive download-sw
新しいイメージを TFTP サーバからスイッチにダウンロードし、既存のイメージを上書きまたは保持するには、 archive download-sw 特権 EXEC コマンドを使用します。
archive download-sw {/ allow-feature-upgrade | /directory | /force-reload | /imageonly | /leave-old-sw | /no-set-boot | /no-version-check | /overwrite | /reload | /safe } source-url
構文の説明
デフォルト
現在のソフトウェア イメージは、ダウンロードされたイメージでは上書きされません。
ソフトウェア イメージと HTML ファイルの両方がダウンロードされます。
新しいイメージは flash: ファイル システムにダウンロードされます。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
/allow-feature-upgrade オプションを使用すると、異なるフィーチャ セットを持つイメージをインストールできます（たとえば、IP ベース イメージから IP サービス イメージへのアップグレード）。
一度に 1 つずつのディレクトリを指定するには、 archive download-sw /directory コマンドを使用します 。
/imageonly オプションは、既存のイメージが削除または置き換えられている場合に、既存のイメージの HTML ファイルを削除します。（HTML ファイルのない）Cisco IOS イメージだけがダウンロードされます。
/safe または /leave-old-sw オプションを指定すると、十分なフラッシュ メモリがない場合には新しいイメージのダウンロードが行われないようにすることができます。ソフトウェアを残すことによってフラッシュ メモリの空き容量が不足し、新しいイメージが入りきらなかった場合に、エラーが発生します。
/leave-old-sw オプションを使用し、新しいイメージをダウンロードしたときに古いイメージが上書きされなかった場合、 delete 特権 EXEC コマンドを使用して古いイメージを削除できます。詳細については、「delete」を参照してください。
フラッシュ デバイスのイメージを、ダウンロードされたイメージで上書きするには、 /overwrite オプションを使用します。
/overwrite オプション なし でこのコマンドを指定する場合、ダウンロード アルゴリズムは、新しいイメージが、スイッチ フラッシュ デバイスのイメージと同じではないことを確認します。イメージが同じである場合は、ダウンロードは行われません。イメージが異なっている場合、古いイメージは削除され、新しいイメージがダウンロードされます。
新しいイメージをダウンロードしたあとで、 reload 特権 EXEC コマンドを入力して新しいイメージの使用を開始するか、または archive download-sw コマンドの /reload オプションか /force-reload オプションを指定してください。
例
次の例では、172.20.129.10 の TFTP サーバから新しいイメージをダウンロードし、スイッチでイメージを上書きする方法を示します。
次の例では、172.20.129.10 の TFTP サーバからソフトウェア イメージだけをスイッチにダウンロードする方法を示します。
次の例では、ダウンロードに成功したあとで古いソフトウェア バージョンを保存する方法を示します。
関連コマンド
|
|
|
|---|---|
archive tar
tar ファイルの作成、tar ファイル内のファイル一覧表示、tar ファイルからのファイル抽出を実行するには、 archive tar 特権 EXEC コマンドを使用します。
archive tar { /create destination-url flash:/ file-url } | { /table source-url } | { /xtract source-url flash:/ file-ur l [ dir/file ...]}
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、tar ファイルを作成する方法を示します。このコマンドはローカル フラッシュ デバイスの new-configs ディレクトリの内容を、172.20.10.30 の TFTP サーバの saved.tar という名前のファイルに書き込みます。
次の例では、フラッシュ メモリ内にあるファイルの内容を表示する方法を示します。tar ファイルの内容が画面に表示されます。
次に、 /html ディレクトリおよびその内容のみを表示する例を示します。
次に、172.20.10.30 にある TFTP サーバ上の tar ファイルの内容を抽出する例を示します。このコマンドは、 new-configs ディレクトリだけを、ローカル フラッシュ ファイル システムのルート（root）ディレクトリに抽出します。 saved.tar ファイルの残りのファイルは無視されます。
関連コマンド
|
|
|
|---|---|
archive upload-sw
スイッチの既存のイメージをサーバにアップロードするには、 archive upload-sw 特権 EXEC コマンドを使用します。
archive upload-sw [ /version version_string ] destination-url
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
組み込みデバイス マネージャに関連付けられている HTML ファイルが既存のイメージとともにインストールされている場合にだけ、アップロード機能を使用します。
ファイルは、Cisco IOS イメージ、HTML ファイル、info の順にアップロードされます。これらのファイルがアップロードされると、ソフトウェアは tar ファイルを作成します。
例
次の例では、現在実行中のイメージを、172.20.140.2 の TFTP サーバへアップロードする方法を示します。
関連コマンド
|
|
|
|---|---|
arp access-list
Address Resolution Protocol（ARP; アドレス解決プロトコル）アクセス コントロール リスト（ACL）を定義する場合、または以前に定義したリストの末尾にコマンドを追加する場合は、arp access-list グローバル コンフィギュレーション コマンドを使用します。指定された ARP アクセス リストを削除するには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
arp access-list コマンドを入力すると、ARP アクセス リスト コンフィギュレーション モードに入り、次のコンフィギュレーション コマンドが使用可能になります。
•
deny ：パケットを拒否するように指定します。詳細については、「deny（ARP アクセス リスト コンフィギュレーション）」を参照してください。
• exit ：ARP アクセス リスト コンフィギュレーション モードを終了します。
• no ：コマンドを無効にするか、またはデフォルト設定に戻します。
• permit ：パケットを転送するように指定します。詳細については、「permit（ARP アクセス リスト コンフィギュレーション）」を参照してください。
指定された一致条件に基づいて ARP パケットを転送またはドロップするには、 permit または deny アクセス リスト コンフィギュレーション コマンドを使用します。
ARP ACL が定義されると、 ip arp inspection filter vlan グローバル コンフィギュレーション コマンドを使用して VLAN に ARP ACL を適用できます。IP/MAC アドレス バインディングだけを含む ARP パケットが ACL と比較されます。それ以外のすべてのパケット タイプは、検証されずに、入力 VLAN 内でブリッジングされます。ACL がパケットを許可すると、スイッチがパケットを転送します。明示的拒否ステートメントによって ACL がパケットを拒否すると、スイッチがパケットをドロップします。暗黙拒否ステートメントによって ACL がパケットを拒否すると、スイッチはパケットを DHCP バインディングのリストと比較します。ただし、ACL が スタティック （パケットがバインディングと比較されない）である場合を除きます。
例
次の例では、ARP アクセス リストを定義し、IP アドレスが 1.1.1.1 で MAC アドレスが 0000.0000.abcd のホストからの ARP 要求と ARP 応答の両方を許可する方法を示します。
関連コマンド
|
|
|
|---|---|
authentication command bounce-port ignore
スイッチ スタック上またはスタンドアロン スイッチ上で authentication command bounce-port ignore グローバル コンフィギュレーション コマンドを使用すると、スイッチが一時的にポートをディセーブルにするコマンドを無視するようにできます。デフォルト ステータスに戻すには、このコマンドの no 形式を使用します。
authentication command bounce-port ignore
no authentication command bounce-port ignore
構文の説明
デフォルト
このスイッチは、RADIUS Change of Authorization（CoA）の bounce port コマンドを受け付けます。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
CoA の bounce port コマンドは、リンク フラッピングを発生させますが、これによりホストからの DHCP の再ネゴシエーションがトリガーされます。これは、エンドポイントが変更を検出するサプリカントを持たないデバイス（プリンタなど）であって、VLAN 変更した場合に便利です。 bounce port コマンドを無視するようにスイッチを設定するのに、このコマンドを使用します。
例
次の例では、スイッチに CoA の bounce port コマンドを無視するように指示する方法を示します。
関連コマンド
|
|
|
authentication command disable-port ignore
スイッチ スタック上またはスタンドアロン スイッチ上で authentication command disable-port ignore グローバル コンフィギュレーション コマンドを使用すると、スイッチがポートをディセーブルにするコマンドを無視するようにできます。デフォルト ステータスに戻すには、このコマンドの no 形式を使用します。
authentication command disable-port ignore
no authentication command disable-port ignore
構文の説明
デフォルト
このスイッチは、RADIUS Change of Authorization（CoA）の disable port コマンドを受け付けます。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
CoA の disable port コマンドは、セッションをホストしているポートを管理のためにシャットダウンします。これにより、セッションは終了します。このコマンドを無視するようにスイッチを設定するのに、このコマンドを使用します。
例
次の例では、スイッチに CoA の disable port コマンドを無視するように指示する方法を示します。
関連コマンド
|
|
|
authentication control-direction
ポート モードを単一方向または双方向として設定するには、authentication control-direction インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
authentication control-direction {both | in}
no authentication control-direction
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、単一方向モードをイネーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
IEEE 802.1x 認証をサポートしないクライアント用のフォールバック メカニズムとして Web 認証を使用するようポートを設定します。 |
|
新しいデバイスがポートに接続された場合、またはすでに最大数のデバイスが接続されているポートに新しいデバイスが接続された場合に発生する違反モードを設定します。 |
|
authentication event
ポートの特定の認証イベントに対するアクションを設定するには、 authentication event インターフェイス コンフィギュレーション コマンドを使用します。
authentication event {fail [action [authorize vlan vlan-id | next-method] {| retry {retry count}]} { no-response action authorize vlan vlan-id} {server {alive action reinitialize} | {dead action [authorize | reinitialize vlan vlan-id]}}
no authentication event {fail [action [authorize vlan vlan-id | next-method] {| retry {retry count}]} {no-response action authorize vlan vlan-id} {server {alive action reinitialize} | {dead action [authorize | reinitialize vlan vlan-id]}}
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
特定のアクションのスイッチ応答を設定するには、このコマンドに fail、no-response、event のいずれかのキーワードを指定します。
• スイッチが critical-authentication ステートに移行すると、認証を実施しようとしている新しいホストが critical-authentication VLAN（クリティカル VLAN）に移行します。これは、ポートがシングル ホスト、マルチ ホスト、複数認証、MDA のいずれのモードの場合にも適用されます。認証されたホストは認証された VLAN に残り、再認証タイマーはディセーブルになります。
• クライアントで Windows XP が稼動し、クライアントの接続先のクリティカル ポートが critical-authentication ステートである場合、Windows XP はインターフェイスが認証されていないことを報告します。
Windows XP クライアントが DHCP に対応し、DHCP サーバからの IP アドレスを保持している場合、クリティカル ポートで EAP 認証成功メッセージを受信しても、DHCP 設定プロセスは再初期化されません。
• IEEE 802.1x ポートでゲスト VLAN をイネーブルにした場合、認証サーバが Extensible Authentication Protocol over LAN（EAPOL）Request/Identity フレームに対する応答を受信しないか、または EAPOL パケットがクライアントから送信されないと、スイッチはクライアントをゲスト VLAN に割り当てます。
• スイッチでは、EAPOL パケット履歴が維持されます。リンクの存続中にポートで別の EAPOL パケットが検出されると、ゲスト VLAN の機能がディセーブルになります。ポートがすでにゲスト VLAN ステートにある場合、ポートは無許可ステートに戻り、認証が再開されます。EAPOL 履歴は消去されます。
• スイッチ ポートがゲスト VLAN（マルチホスト モード）に移行すると、複数の IEEE 802.1x 非対応クライアントがアクセスを許可されます。IEEE 802.1x 対応クライアントが、ゲスト VLAN を設定しているポートと同じポートに加入すると、ポートは RADIUS 設定 VLAN またはユーザ設定アクセス VLAN では無許可ステートに移行し、認証が再開されます。
Remote Switched Port Analyzer（RSPAN; リモート スイッチド ポート アナライザ）VLAN、プライマリ プライベート VLAN、または音声 VLAN 以外のアクティブなすべての VLAN は、IEEE 802.1x のゲスト VLAN として設定できます。ゲスト VLAN 機能は、アクセス ポートでだけサポートされます。内部 VLAN（ルーテッド ポート）とトランク ポートではサポートされません。
• MAC 認証バイパスは IEEE 802.1x ポートでイネーブルの場合、スイッチは、EAPOL メッセージ交換を待機している間に IEEE 802.1x 認証が期限切れになると、クライアントの MAC アドレスに基づいてクライアントを許可できます。スイッチは、IEEE 802.1x ポート上のクライアントを検出したあとで、クライアントからのイーサネット パケットを待機します。スイッチは、MAC アドレスに基づいたユーザ名およびパスワードを持つ RADIUS-access/request フレームを認証サーバに送信します。
– 認証に成功すると、スイッチはクライアントにネットワークへのアクセスを許可します。
– 認証に失敗すると、スイッチはポートにゲスト VLAN を割り当てます（指定されていない場合）。
詳細については、ソフトウェア コンフィギュレーション ガイドの「Configuring IEEE 802.1x Port-Based Authentication」の章の「Using IEEE 802.1x Authentication with MAC Authentication Bypass」を参照してください。
• サプリカントが認証に失敗すると、ポートは制限 VLAN に移行し、EAP 認証成功メッセージがサプリカントに送信されます。これは、サプリカントには、実際の認証失敗が通知されないためです。
– EAP の成功メッセージが送信されない場合、サプリカントは 60 秒ごと（デフォルト）に EAP 開始メッセージを送信して認証を行おうとします。
– 一部のホスト（たとえば、Windows XP を実行中のデバイス）は、EAP の成功メッセージを受け取るまで DHCP を実行できません。
制限 VLAN は、シングルホスト モード（デフォルトのポート モード）でのみサポートされます。ポートを制限 VLAN に配置すると、サプリカントの MAC アドレスが MAC アドレス テーブルに追加されます。ポートのそれ以外の MAC アドレスは、セキュリティ違反として扱われます。
• レイヤ 3 ポートの内部 VLAN は制限 VLAN として設定できません。制限 VLAN と音声 VLAN に同じ VLAN を指定できません。
制限 VLAN での再認証をイネーブルにします。再認証がディセーブルになっている場合、制限 VLAN のポートは再認証要求を受け取りません。
再認証プロセスを開始するには、制限 VLAN がポートからリンクダウン イベントまたは Extensible Authentication Protocol（EAP）ログオフ イベントを受け取る必要があります。ホストがハブ経由で接続されている場合は、次のようになります。
– ポートは、そのホストが切断されると、リンクダウン イベントを受け取らなくなります。
– 次に再認証が試行されるまで、ポートは新しいホストを検出しなくなります。
制限 VLAN を異なるタイプの VLAN として再設定すると、制限 VLAN のポートも、現在認証されたステートに移行し、そのステートのままになります。
例
次の例では、authentication event fail コマンドを設定する方法を示します。
次の例では、RADIUS サーバが使用不可な場合に新規、既存双方のホストをクリティカルな VLAN に送信するよう、ポートを設定する方法を示します。このコマンドは、マルチ認証（multiauth）モードのポートに使用するか、またはポートの音声ドメインが MDA モードになっている場合に、次のように使用します。
次の例では、RADIUS サーバが使用不可な場合に新規、既存双方のホストをクリティカルな VLAN に送信するよう、ポートを設定する方法を示します。このコマンドは、マルチ ホストまたはマルチ認証モードのポートに使用します。
関連コマンド
|
|
|
|---|---|
IEEE 802.1x 認証をサポートしないクライアント用のフォールバック メカニズムとして Web 認証を使用するようポートを設定します。 |
|
新しいデバイスがポートに接続された場合、または最大数のデバイスがポートに接続されたあとに新しいデバイスがそのポートに接続された場合に発生する違反モードを設定します。 |
|
authentication fallback
IEEE 802.1x 認証をサポートしないクライアントに対し、Web 認証をフォールバック方式として使用するようにポートを設定するには、authentication fallback インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
no authentication fallback name
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
フォールバック方式を設定する前に、authentication port-control auto インターフェイス コンフィギュレーション コマンドを入力する必要があります。
Web 認証をフォールバック方式として設定できるのは 802.1x または MAB に限られるため、フォールバックをイネーブルにするには、これらの認証方式のいずれかまたは両方を設定する必要があります。
例
次の例では、ポートのフォールバック プロファイルを指定する方法を示します。
関連コマンド
|
|
|
|---|---|
新しいデバイスがポートに接続された場合、または最大数のデバイスがポートに接続されたあとに新しいデバイスがそのポートに接続された場合に発生する違反モードを設定します。 |
|
authentication host-mode
ポートに認証マネージャ モードを設定するには、authentication host-mode インターフェイス コンフィギュレーション コマンドを使用します。
authentication host-mode [multi-auth | multi-domain | multi-host | single-host]
no authentication host-mode [multi-auth | multi-domain | multi-host | single-host]
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
接続されているデータ ホストが 1 つだけである場合は、シングルホスト モードを設定する必要があります。認証する音声デバイスをシングルホスト ポートに接続しないでください。そのポートに音声 VLAN が設定されていないと、音声デバイス認証は失敗します。
データ ホストが IP Phone 経由でポートに接続されている場合は、マルチドメイン モードを設定する必要があります。音声デバイスを認証する必要がある場合は、マルチドメイン モードを設定する必要があります。
ハブの背後に最大 8 台のデバイスを配置して個々の認証でポート アクセスのセキュリティを確保するには、マルチ認証モードを設定する必要があります。音声 VLAN が設定されている場合、このモードでは 1 台の音声デバイスだけを認証できます。
また、マルチホスト モードでは、ハブの背後にある複数のホストからポートにアクセスできるようになりますが、最初のユーザが認証されたあと、それらのホストからポートへのアクセスが無制限になります。
例
次の例では、ポートのマルチ認証モードをイネーブルにする方法を示します。
次の例では、ポートのマルチドメイン モードをイネーブルにする方法を示します。
Switch(config-if)# authentication host-mode multi-domain
次の例では、ポートのマルチホスト モードをイネーブルにする方法を示します。
Switch(config)# authentication host-mode multi-host
次の例では、ポートのシングルホスト モードをイネーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
IEEE 802.1x 認証をサポートしないクライアント用のフォールバック メカニズムとして Web 認証を使用するようポートを設定します。 |
|
新しいデバイスがポートに接続された場合、または最大数のデバイスがポートに接続されたあとに新しいデバイスがそのポートに接続された場合に発生する違反モードを設定します。 |
|
authentication mac-move permit
スイッチでの MAC 移動をイネーブルにするには、authentication mac-move permit グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
authentication mac-move permit
no authentication mac-move permit
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、認証されたホストがスイッチ上の 802.1x 対応ポート間を移動できるようにします。たとえば、認証されたホストとポートの間にデバイスがあり、そのホストが他のポートに移動する場合、認証セッションが最初のポートから削除され、ホストは新しいポート上で再認証されます。
MAC 移動がディセーブルになっており、認証されたホストが他のポートに移動した場合は、再認証は行われず、違反エラーが発生します。
MAC 移動はポート セキュリティ対応 802.1x ポートではサポートされません。MAC 移動がスイッチでグローバルに設定されていて、ポート セキュリティ対応ホストが 802.1x 対応のポートに移動されると、違反エラーが発生します。
例
次の例では、スイッチで MAC 移動をイネーブルにする方法を示しています。
関連コマンド
|
|
|
|---|---|
IEEE 802.1x 認証をサポートしないクライアント用のフォールバック メカニズムとして Web 認証を使用するようポートを設定します。 |
|
新しいデバイスがポートに接続された場合、またはすでに最大数のデバイスが接続されているポートに新しいデバイスが接続された場合に発生する違反モードを設定します。 |
|
authentication open
ポートのオープン アクセスをイネーブルまたはディセーブルにするには、authentication open インターフェイス コンフィギュレーション コマンドを使用します。オープン アクセスをディセーブルにするには、このコマンドの no 形式を使用します。
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバイスを認証するのにそのデバイスからネットワークへのアクセスが必要になる場合は、オープン認証をイネーブルにする必要があります。
例
次の例では、ポートのオープン アクセスをイネーブルにする方法を示します。
次の例では、オープン アクセスをディセーブルにするようにポートを設定する方法を示します。
関連コマンド
|
|
|
|---|---|
IEEE 802.1x 認証をサポートしないクライアント用のフォールバック メカニズムとして Web 認証を使用するようポートを設定します。 |
|
新しいデバイスがポートに接続された場合、または最大数のデバイスがポートに接続されたあとに新しいデバイスがそのポートに接続された場合に発生する違反モードを設定します。 |
|
authentication order
ポートで使用する認証方式の順序を設定するには、authentication order インターフェイス コンフィギュレーション コマンドを使用します。
authentication order [dot1x | mab] {webauth}
構文の説明
コマンド デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
順序付けによって、スイッチのポートに新しいデバイスを接続した場合に試行される認証方式の順序が決まります。認証方式リストのある方式が失敗した場合は、その次にある方式が試行されます。
どの方式も、1 回だけ入力できます。順序を柔軟に設定できるのは、802.1x と MAB との間に限られます。
Web 認証は、スタンドアロン方式か、または 802.1x や MAB よりも後の最後の方式として設定できます。Web 認証は、dot1x または mab に対するフォールバックとしてだけ設定してください。
例
次の例では、802.1x を最初の認証方式として、MAB を 2 番目の認証方式として、Web 認証を 3 番目の認証方式として追加する方法を示します。
次の例では、MAB を最初の認証方式として、Web 認証を 2 番目の認証方式として追加する方法を示します。
関連コマンド
|
|
|
|---|---|
IEEE 802.1x 認証をサポートしないクライアント用のフォールバック メカニズムとして Web 認証を使用するようポートを設定します。 |
|
新しいデバイスがポートに接続された場合、または最大数のデバイスがポートに接続されたあとに新しいデバイスがそのポートに接続された場合に発生する違反モードを設定します。 |
|
authentication periodic
ポートの再認証をイネーブルまたはディセーブルにするには、authentication periodic インターフェイス コンフィギュレーション コマンドを使用します。再認証をディセーブルにする場合は、このコマンドの no 形式を入力します。
コマンド デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
定期的に再認証を試行する間隔を設定するには、authentication timer reauthentication インターフェイス コンフィギュレーション コマンドを使用します。
例
次の例では、ポートの定期的な再認証をイネーブルにする方法を示します。
次の例では、ポートの定期的な再認証をディセーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
IEEE 802.1x 認証をサポートしないクライアント用のフォールバック メカニズムとして Web 認証を使用するようポートを設定します。 |
|
新しいデバイスがポートに接続された場合、または最大数のデバイスがポートに接続されたあとに新しいデバイスがそのポートに接続された場合に発生する違反モードを設定します。 |
|
authentication port-control
ポートの許可ステートを手動で制御するには、authentication port-control インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
authentication port-control {auto | force-authorized | force-un authorized}
no authentication port-control {auto | force-authorized | force-un authorized}
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
次のポート タイプのいずれか 1 つに対してだけ auto キーワードを使用します。
• トランク ポート：トランク ポートで IEEE 802.1x 認証をイネーブルにしようとすると、エラー メッセージが表示され、IEEE 802.1x はイネーブルになりません。IEEE 802.1x 対応ポートのモードをトランクに変更しようとしても、エラー メッセージが表示され、ポート モードは変更されません。
• ダイナミック ポート：ダイナミック ポートは、トランク ポートへの変更をネイバーとネゴシエートする場合があります。ダイナミック ポートで IEEE 802.1x 認証をイネーブルにしようとすると、エラー メッセージが表示され、IEEE 802.1x 認証はイネーブルになりません。IEEE 802.1x 対応ポートのモードをダイナミックに変更しようとしても、エラー メッセージが表示され、ポート モードは変更されません。
• ダイナミック アクセス ポート：ダイナミック アクセス（VLAN Query Protocol（VQP））ポートで IEEE 802.1x 認証をイネーブルにしようとすると、エラー メッセージが表示され、IEEE 802.1x 認証はイネーブルになりません。IEEE 802.1x 対応ポートをダイナミック VLAN に変更しようとしても、エラー メッセージが表示され、VLAN 設定は変更されません。
• EtherChannel ポート：アクティブまたはアクティブでない EtherChannel メンバーを IEEE 802.1x ポートとして設定しないでください。EtherChannel ポートで IEEE 802.1x 認証をイネーブルにしようとすると、エラー メッセージが表示され、IEEE 802.1x 認証はイネーブルになりません。
• Switched Port Analyzer（SPAN; スイッチド ポート アナライザ）および Remote SPAN（RSPAN）宛先ポート：SPAN または RSPAN 宛先ポートであるポートの IEEE 802.1x 認証をイネーブルにできます。ただし、そのポートが SPAN または RSPAN 宛先として削除されるまで、IEEE 802.1x 認証はディセーブルのままです。SPAN または RSPAN 送信元ポートでは IEEE 802.1x 認証をイネーブルにできます。
スイッチの IEEE 802.1x 認証をグローバルにディセーブルにするには、no dot1x system-auth-control グローバル コンフィギュレーション コマンドを使用します。特定のポートの IEEE 802.1x 認証をディセーブルにするには、no authentication port-control インターフェイス コンフィギュレーション コマンドを使用します。
例
次の例では、ポート ステートを自動に設定する方法を示します。
次の例では、ポート ステートを force-authorized ステートに設定する方法を示します。
次の例では、ポート ステートを force-unauthorized ステートに設定する方法を示します。
関連コマンド
|
|
|
|---|---|
IEEE 802.1x 認証をサポートしないクライアント用のフォールバック メカニズムとして Web 認証を使用するようポートを設定します。 |
|
新しいデバイスがポートに接続された場合、または最大数のデバイスがポートに接続されたあとに新しいデバイスがそのポートに接続された場合に発生する違反モードを設定します。 |
|
authentication priority
認証方式をポート プライオリティ リストに追加するには、authentication priority インターフェイス コンフィギュレーション コマンドを使用します。
auth priority [dot1x | mab] {webauth}
no auth priority [dot1x | mab] {webauth}
構文の説明
コマンド デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
順序付けによって、スイッチのポートに新しいデバイスを接続した場合に試行される認証方式の順序が決まります。
ポートに複数のフォールバック方式を設定するときは、Web 認証（webauth）を最後にします。
それぞれの認証方式にプライオリティを割り当てると、プライオリティの低い認証方式の実行中にプライオリティの高い認証方式を割り込ませることができます。
（注） クライアントがすでに認証されている場合でも、プライオリティの高い方式による割り込みが発生したときに再認証することが可能です。
認証方式のデフォルトのプライオリティは、実行順序に占める認証方式の位置に等しく、802.1x 認証、MAC 認証バイパス、Web 認証の順となります。このデフォルトの順序を変更するには、dot1x、mab、webauth の各キーワードを使用します。
例
次の例では、802.1x を最初の認証方式として、Web 認証を 2 番目の認証方式として設定する方法を示します。
次の例では、MAB を最初の認証方式として、Web 認証を 2 番目の認証方式として設定する方法を示します。
関連コマンド
|
|
|
|---|---|
IEEE 802.1x 認証をサポートしないクライアント用のフォールバック メカニズムとして Web 認証を使用するようポートを設定します。 |
|
新しいデバイスがポートに接続された場合、または最大数のデバイスがポートに接続されたあとに新しいデバイスがそのポートに接続された場合に発生する違反モードを設定します。 |
|
authentication timer
802.1x 対応ポートのタイムアウトと再認証のパラメータを設定するには、authentication timer インターフェイス コンフィギュレーション コマンドを使用します。
authentication timer {{[inactivity | reauthenticate] [server | am]} {restart value}}
no authentication timer {{[inactivity | reauthenticate] [server | am]} {restart value}}
構文の説明
デフォルト
inactivity、server、restart の各キーワードはオフに設定されています。reauthenticate キーワードは 1 時間に設定されています。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
タイムアウト値を設定しないと、802.1x セッションを許可した状態が続くことになります。他のどのホストもそのポートを使用できなくなり、そのポートに接続されたホストは同じスイッチの別のポートに移動させることができません。
例
次の例では、認証非アクティビティ タイマーを 60 秒に設定する方法を示します。
次の例では、再認証タイマーを 120 秒に設定する方法を示します。
関連コマンド
|
|
|
|---|---|
IEEE 802.1x 認証をサポートしないクライアント用のフォールバック メカニズムとして Web 認証を使用するようポートを設定します。 |
|
新しいデバイスがポートに接続された場合、または最大数のデバイスがポートに接続されたあとに新しいデバイスがそのポートに接続された場合に発生する違反モードを設定します。 |
|
authentication violation
新しいデバイスがポートに接続された場合、または最大数のデバイスがポートに接続されたあとに新しいデバイスがそのポートに接続された場合に発生する違反モードを設定するには、authentication violation インターフェイス コンフィギュレーション コマンドを使用します。
authentication violation {protect | replace | restrict | shutdown}
no authentication violation {protect | replace | restrict | shutdown}
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
例
次の例では、IEEE 802.1x 対応ポートを errordisable として設定し、新しいデバイスがそのポートに接続されたときにシャットダウンする方法を示します。
次の例では、新しいデバイスが接続されたら、システム エラー メッセージを生成し、制限モードに遷移するように、802.1x 対応ポートを設定する方法を示します。
次の例では、新しいデバイスが接続されたら、そのデバイスを無視するように、802.1x 対応ポートを設定する方法を示します。
次の例では、新しいデバイスが接続されたら、現在のセッションを終了して、そのデバイスによる認証を開始するように 802.1x 対応ポートを設定する方法を示します。
関連コマンド
|
|
|
|---|---|
802.1x 認証をサポートしていないクライアント用のフォールバック方式として Web 認証を使用するようにポートを設定します。 |
|
auto qos classify
Quality of Service（QoS）ドメイン内の信頼できないデバイスに関する QoS 分類を自動的に設定するには、 auto qos classify インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
no auto qos classify [ police ]
構文の説明
デフォルト
|
|
|
|
|
|
|---|---|---|---|---|
SRR1 共有 |
||||
| 1.SRR = Shaped Round Robin（シェイプド ラウンド ロビン）。入力キューは共有モードのみサポートします。 |
表 2-2 に、出力キューに対して生成される auto-QoS の設定を示します。
|
|
|
|
|
|
|
|---|---|---|---|---|---|
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
QoS ドメイン内の信頼できるインターフェイスに関する QoS を設定するには、このコマンドを使用します。QoS ドメインには、スイッチ、ネットワーク内部、および QoS に関する着信トラフィックを分類可能なエッジ デバイスが含まれています。
Auto-QoS は、スイッチの信頼できるインターフェイスとの接続を設定します。着信パケットの QoS ラベルは信頼されます。非ルーテッド ポートの場合は、着信パケットの CoS 値が信頼されます。ルーテッド ポートでは、着信パケットの DSCP 値が信頼されます。
auto-QoS のデフォルトを利用するには、auto-QoS をイネーブルにしてから、その他の QoS コマンドを設定する必要があります。auto-QoS をイネーブルにした あと に、auto-QoS を調整できます。
auto qos classify コマンドが設定されている場合のポリシー マップを次に示します。
auto qos classify police コマンドが設定されている場合のポリシー マップを次に示します。
（注） スイッチは、Command-Line Interface（CLI; コマンドライン インターフェイス）からコマンドが入力された場合と同じように、auto-QoS によって生成されたコマンドを適用します。既存のユーザ設定では、生成されたコマンドの適用に失敗することがあります。また、生成されたコマンドで既存の設定が上書きされることもあります。これらのアクションは、警告を表示せずに実行されます。生成されたコマンドがすべて正常に適用された場合、上書きされなかったユーザ入力の設定は実行コンフィギュレーション内に残ります。上書きされたユーザ入力の設定は、現在の設定をメモリに保存せずに、スイッチをリロードすると復元できます。生成されたコマンドの適用に失敗した場合は、前の実行コンフィギュレーションが復元されます。
auto-QoS をイネーブルにしたあと、名前に AutoQoS を含むポリシー マップや集約ポリサーを変更しないでください。ポリシー マップや集約ポリサーを変更する必要がある場合、そのコピーを作成し、コピーしたポリシー マップやポリサーを変更します。生成されたポリシー マップの代わりに新しいポリシー マップを使用するには、生成したポリシー マップをインターフェイスから削除して、新しいポリシー マップを適用します。
auto-QoS がイネーブルのときに自動的に生成される QoS の設定を表示するには、auto-QoS をイネーブルにする前にデバッグをイネーブルにします。 debug auto qos 特権 EXEC コマンドを使用すると、auto-QoS のデバッギングがイネーブルになります。詳細については、 debug auto qos コマンドを参照してください。
ポート上の auto-QoS をディセーブルにするには、 no auto qos voip インターフェイス コンフィギュレーション コマンドを使用します。このポートに対して、auto-QoS によって生成されたインターフェイス コンフィギュレーション コマンドだけが削除されます。auto-QoS をイネーブルにした最後のポートで、 no auto qos trust コマンドを入力すると、auto-QoS によって生成されたグローバル コンフィギュレーション コマンドが残っている場合でも、auto-QoS はディセーブルとみなされます（グローバル コンフィギュレーションによって影響を受ける他のポートでのトラフィックの中断を避けるため）。 no mls qos グローバル コンフィギュレーション コマンドを使用して、auto-QoS によって生成されたグローバル コンフィギュレーション コマンドをディセーブルにできます。QoS がディセーブルの場合は、パケットが変更されないため、信頼できるポートや信頼できないポートという概念はなくなります。パケット内の CoS、DSCP、および IP precedence の値は変更されません。トラフィックは Pass-Through モードでスイッチングされます。パケットは書き換えられることなくスイッチングされ、ポリシングなしのベスト エフォートに分類されます。
例
次の例では、信頼できないデバイスの auto-QoS 分類をイネーブルにし、トラフィックをポリシングする方法を示します。
設定を確認するには、 show auto qos interface interface-id 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
auto qos trust
QoS ドメイン内の信頼できないインターフェイスに関する QoS を自動的に設定するには、スイッチ スタックまたはスタンドアロン スイッチ上で auto qos trust インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
no auto qos trust { cos | dscp }
構文の説明
デフォルト
auto-QoS がイネーブルの場合は、入力パケット ラベルを使用して、トラフィックの分類、パケット ラベルの割り当て、および入力/出力キューの設定を行います。
|
|
|
トラフィック |
|
|
|
|
|
|---|---|---|---|---|---|---|---|
DSCP4 |
|||||||
CoS5 |
|||||||
| 2.STP = Spanning-Tree Protocol（スパニング ツリー プロトコル） 3.BPDU = Bridge Protocol Data Unit（ブリッジ プロトコル データ ユニット） 4.DSCP = Differentiated Service Code Point（Diffserv コード ポイント） |
|
|
|
|
|
|
|---|---|---|---|---|
SRR6 共有 |
||||
| 6.SRR = Shaped Round Robin（シェイプド ラウンド ロビン）。入力キューは共有モードのみサポートします。 |
|
|
|
|
|
|
|
|---|---|---|---|---|---|
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
QoS ドメイン内の信頼できるインターフェイスに関する QoS を設定するには、このコマンドを使用します。QoS ドメインには、スイッチ、ネットワーク内部、および QoS に関する着信トラフィックを分類可能なエッジ デバイスが含まれています。
Auto-QoS は、スイッチの信頼できるインターフェイスとの接続を設定します。着信パケットの QoS ラベルは信頼されます。非ルーテッド ポートの場合は、着信パケットの CoS 値が信頼されます。ルーテッド ポートでは、着信パケットの DSCP 値が信頼されます。
auto-QoS のデフォルトを利用するには、auto-QoS をイネーブルにしてから、その他の QoS コマンドを設定する必要があります。auto-QoS をイネーブルにした あと に、auto-QoS を調整できます。
ポートが auto-QoS 信頼を使用して設定されている場合は、ポート上のすべてのパケットが信頼されます。パケットが DSCP または CoS 値でマークされていない場合は、デフォルト マーキングが使用されます。
（注） スイッチは、Command-Line Interface（CLI; コマンドライン インターフェイス）からコマンドが入力された場合と同じように、auto-QoS によって生成されたコマンドを適用します。既存のユーザ設定では、生成されたコマンドの適用に失敗することがあります。また、生成されたコマンドで既存の設定が上書きされることもあります。これらのアクションは、警告を表示せずに実行されます。生成されたコマンドがすべて正常に適用された場合、上書きされなかったユーザ入力の設定は実行コンフィギュレーション内に残ります。上書きされたユーザ入力の設定は、現在の設定をメモリに保存せずに、スイッチをリロードすると復元できます。生成されたコマンドの適用に失敗した場合は、前の実行コンフィギュレーションが復元されます。
auto-QoS をイネーブルにしたあと、名前に AutoQoS を含むポリシー マップや集約ポリサーを変更しないでください。ポリシー マップや集約ポリサーを変更する必要がある場合、そのコピーを作成し、コピーしたポリシー マップやポリサーを変更します。生成されたポリシー マップの代わりに新しいポリシー マップを使用するには、生成したポリシー マップをインターフェイスから削除して、新しいポリシー マップを適用します。
auto-QoS がイネーブルのときに自動的に生成される QoS の設定を表示するには、auto-QoS をイネーブルにする前にデバッグをイネーブルにします。 debug auto qos 特権 EXEC コマンドを使用すると、auto-QoS のデバッギングがイネーブルになります。詳細については、 debug auto qos コマンドを参照してください。
ポート上の auto-QoS をディセーブルにするには、 no auto qos voip インターフェイス コンフィギュレーション コマンドを使用します。このポートに対して、auto-QoS によって生成されたインターフェイス コンフィギュレーション コマンドだけが削除されます。auto-QoS をイネーブルにした最後のポートで、 no auto qos trust コマンドを入力すると、auto-QoS によって生成されたグローバル コンフィギュレーション コマンドが残っている場合でも、auto-QoS はディセーブルと見なされます（グローバル コンフィギュレーションの影響を受ける他のポート上のトラフィックを中断させないため）。 no mls qos グローバル コンフィギュレーション コマンドを使用して、auto-QoS によって生成されたグローバル コンフィギュレーション コマンドをディセーブルにできます。QoS がディセーブルの場合は、パケットが変更されない（パケット内の CoS、DSCP、および IP precedence 値は変更されない）ため、信頼できるポートまたは信頼できないポートといった概念はありません。トラフィックは Pass-Through モードでスイッチングされます（パケットは書き換えられることなくスイッチングされ、ポリシングなしのベスト エフォートに分類されます）。
例
次の例では、特定の cos 分類を使用して信頼できるインターフェイスに関する auto-QoS をイネーブルにする方法を示します。
設定を確認するには、 show auto qos interface interface-id 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
auto qos voip
QoS（Quality of Service）ドメイン内の Voice over IP（VoIP）に対し、QoS を自動的に設定するには、 auto qos voip インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
auto qos voip { cisco-phone | cisco-softphone | trust }
no auto qos voip [ cisco-phone | cisco-softphone | trust ]
構文の説明
デフォルト
auto-QoS がイネーブルの場合は、入力パケット ラベルを使用して、トラフィックの分類、パケット ラベルの割り当て、および入力/出力キューの設定を行います。
|
|
|
トラフィック |
|
|
|
|
|
|---|---|---|---|---|---|---|---|
DSCP[DSCP]9 |
|||||||
CoS10 |
|||||||
| 7.STP = Spanning-Tree Protocol（スパニング ツリー プロトコル） 8.BPDU = Bridge Protocol Data Unit（ブリッジ プロトコル データ ユニット） 9.DSCP = Differentiated Service Code Point（Diffserv コード ポイント） |
|
|
|
|
|
|
|---|---|---|---|---|
SRR11 共有 |
||||
| 11.SRR = Shaped Round Robin（シェイプド ラウンド ロビン）。入力キューは共有モードのみサポートします。 |
|
|
|
|
|
|
|
|---|---|---|---|---|---|
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
QoS ドメイン内の VoIP トラフィックに適切な QoS を設定する場合は、このコマンドを使用します。QoS ドメインには、スイッチ、ネットワーク内部、QoS の着信トラフィックを分類することのできるエッジ装置などが含まれます。
auto-QoS はスイッチとルーテッド ポート上の Cisco IP Phone を使用した VoIP と、Cisco SoftPhone アプリケーションが動作する装置を使用した VoIP に対してスイッチを設定します。これらのリリースは Cisco IP SoftPhone バージョン 1.3(3)以降のみをサポートします。接続される装置は Cisco CallManager バージョン 4 以降を使用する必要があります。
show auto qos コマンドの出力には、Cisco IP Phone のサービス ポリシー情報が表示されます。
auto-QoS のデフォルトを利用するには、auto-QoS をイネーブルにしてから、その他の QoS コマンドを設定する必要があります。auto-QoS をイネーブルにした あと に、auto-QoS を調整できます。
（注） スイッチは、Command-Line Interface（CLI; コマンドライン インターフェイス）からコマンドが入力された場合と同じように、auto-QoS によって生成されたコマンドを適用します。既存のユーザ設定では、生成されたコマンドの適用に失敗することがあります。また、生成されたコマンドで既存の設定が上書きされることもあります。これらのアクションは、警告を表示せずに実行されます。生成されたコマンドがすべて正常に適用された場合、上書きされなかったユーザ入力の設定は実行コンフィギュレーション内に残ります。上書きされたユーザ入力の設定は、現在の設定をメモリに保存せずに、スイッチをリロードすると復元できます。生成されたコマンドの適用に失敗した場合は、前の実行コンフィギュレーションが復元されます。
これが auto-QoS をイネーブルにする最初のポートの場合は、auto-QoS によって生成されたグローバル コンフィギュレーション コマンドに続いてインターフェイス コンフィギュレーション コマンドが実行されます。別のポートで auto-QoS をイネーブルにすると、そのポートに対して auto-QoS によって生成されたインターフェイス コンフィギュレーション コマンドだけが実行されます。
最初のポートで auto-QoS 機能をイネーブルにすると、次の自動アクションが実行されます。
• QoS はグローバルにイネーブル化され（ mls qos グローバル コンフィギュレーション コマンド）、その他のグローバル コンフィギュレーション コマンドが追加されます。
スイッチ ポートが Cisco IOS Release 12.2(37)SE かそれよりも前のリリースで auto qos voip cisco-phone インターフェイス コンフィギュレーション コマンドを使用して設定された場合、auto-QoS によって Cisco IOS Release 12.2(40)SE に新しく生成されたコマンドは、ポートに適用されません。このようなコマンドを自動的に適用するには、設定を削除してからポートに再度適用する必要があります。
• Cisco SoftPhone が動作する装置に接続されたネットワーク エッジにあるポートに auto qos voip cisco-softphone インターフェイス コンフィギュレーション コマンドを入力した場合、スイッチはポリシングを使用してパケットがプロファイル内かプロファイル外かを判断し、パケットに対するアクションを指定します。パケットに 24、26、または 46 という DSCP 値がない場合、またはパケットがプロファイル外にある場合、スイッチは DSCP 値を 0 に変更します。スイッチは、ポートの入力キューと出力キューを、 表 2-7 および 表 2-8 の設定値に従って設定します。
• ネットワーク内部に接続されたポート上で、 auto qos voip trust インターフェイス コンフィギュレーション コマンドを入力した場合、スイッチは、入力パケットでルーティングされないポートの CoS 値、またはルーテッド ポートの DSCP 値を信頼します（トラフィックが他のエッジ装置ですでに分類されていることが前提条件になります）。スイッチは、ポートの入力キューと出力キューを、 表 2-7 および 表 2-8 の設定値に従って設定します。
スタティック ポート、ダイナミック アクセス ポート、音声 VLAN アクセス ポート、およびトランク ポートで auto-QoS をイネーブルにできます。ルーテッド ポートにある Cisco IP Phone で auto-QoS をイネーブルにする場合、スタティック IP アドレスを IP Phone に割り当てる必要があります。
（注） Cisco SoftPhone が動作する装置がスイッチまたはルーテッド ポートに接続されている場合、スイッチはポートごとに 1 つの Cisco SoftPhone アプリケーションのみをサポートします。
auto-QoS をイネーブルにしたあと、名前に AutoQoS を含むポリシー マップや集約ポリサーを変更しないでください。ポリシー マップや集約ポリサーを変更する必要がある場合、そのコピーを作成し、コピーしたポリシー マップやポリサーを変更します。生成されたポリシー マップの代わりに新しいポリシー マップを使用するには、生成したポリシー マップをインターフェイスから削除して、新しいポリシー マップを適用します。
auto-QoS がイネーブルのときに自動的に生成される QoS（Quality of Service）の設定を表示するには、auto-QoS をイネーブルにする前にデバッグをイネーブルにします。 debug auto qos 特権 EXEC コマンドを使用すると、auto-QoS のデバッギングがイネーブルになります。
ポートの auto-QoS をディセーブルにするには、no auto qos voip インターフェイス コンフィギュレーション コマンドを使用します。このポートに対して、auto-QoS によって生成されたインターフェイス コンフィギュレーション コマンドだけが削除されます。auto-QoS をイネーブルにした最後のポートで、 no auto qos voip コマンドを入力すると、auto-QoS によって生成されたグローバル コンフィギュレーション コマンドが残っている場合でも、auto-QoS はディセーブルとみなされます（グローバル コンフィギュレーションによって影響を受ける他のポートでのトラフィックの中断を避けるため）。 no mls qos グローバル コンフィギュレーション コマンドを使用して、auto-QoS によって生成されたグローバル コンフィギュレーション コマンドをディセーブルにできます。QoS がディセーブルの場合は、パケットが変更されない（パケット内の CoS、DSCP、および IP precedence 値は変更されない）ため、信頼できるポートまたは信頼できないポートといった概念はありません。トラフィックは Pass-Through モードでスイッチングされます（パケットは書き換えられることなくスイッチングされ、ポリシングなしのベスト エフォートに分類されます）。
auto qos voip コマンドがイネーブルになっているポート上では、生成される queue-set ID がインターフェイスによって異なります。
• ファスト イーサネット インターフェイスの場合は、auto-QoS によって queue-set 1（デフォルト）が生成されます。
• ギガビット イーサネット インターフェイスの場合は、auto-QoS によって queue-set 2 が生成されます。
auto qos voip cisco-phone コマンドの拡張設定を次に示します。
auto qos voip cisco-softphone コマンドの拡張設定を次に示します。
例
次の例では、ポートに接続されているスイッチまたはルータが信頼できる装置である場合に、auto-QoS をイネーブルにし、着信パケットで受信した QoS ラベルを信頼する方法を示します。
設定を確認するには、 show auto qos interface interface-id 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
デフォルトのポート CoS 値を定義するか、あるいはポートのすべての着信パケットにデフォルトの CoS 値を割り当てます。 |
|
boot auto-download-sw
ソフトウェアの自動アップグレードで使用する URL パス名を指定するには、 boot auto-download-sw グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
boot auto-download-sw source-url
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
関連コマンド
|
|
|
|---|---|
boot buffersize
NVRAM サイズを設定するには、スイッチ スタックまたはスタンドアロン スイッチ上で boot buffersize グローバル コンフィギュレーション コマンドを使用します。このコマンドをデフォルト設定に戻すには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
NVRAM バッファ サイズのデフォルトは 512 KB です。コンフィギュレーション ファイルが大きくなりすぎて NVRAM に保存できない場合があります。通常、この現象はスイッチ スタック内のスイッチが多い場合に発生します。より大きなコンフィギュレーション ファイルをサポートするように NVRAM バッファのサイズを設定することができます。新しい NVRAM バッファ サイズは既存のメンバー スイッチと新しいメンバー スイッチのすべてに同期されます。
NVRAM バッファ サイズを設定したら、スイッチまたはスイッチ スタックをリロードします。
スイッチをスタックに追加して、NVRAM サイズと一致しなかった場合は、新しいスイッチがスタックに同期され、自動的にリロードされます。
例
次の例では、NVRAM バッファ サイズを設定する方法を示します。
Switch(config)# boot buffersize 524288
Switch(config)# end
関連コマンド
|
|
|
|---|---|
boot config-file
Cisco IOS がシステム設定の不揮発性コピーの読み書きに使用するファイル名を指定するには、 boot config-file グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
boot config-file flash: / file-url
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
ファイル名およびディレクトリ名は、大文字と小文字を区別します。
このコマンドは、CONFIG_FILE 環境変数の設定を変更します。詳細は、 付録 A「Catalyst 3560 スイッチ ブートローダ コマンド」 を参照してください。
関連コマンド
|
|
|
|---|---|
boot enable-break
自動ブート プロセスの中断をイネーブルにするには、 boot enable-break グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドを入力すると、フラッシュ ファイル システムが初期化されたあとで Break キーを押して、自動ブート プロセスを中断できます。
（注） このコマンドの設定に関係なく、スイッチ前面パネルの MODE ボタンを押すと、いつでも自動ブート プロセスを中断できます。
このコマンドは、ENABLE_BREAK 環境変数の設定を変更します。詳細は、 付録 A「Catalyst 3560 スイッチ ブートローダ コマンド」 を参照してください。
関連コマンド
|
|
|
|---|---|
boot helper
ブート ローダ初期化中にダイナミックにファイルをロードして、ブート ローダの機能を拡張するかまたは機能にパッチを当てるには、 boot helper グローバル コンフィギュレーション コマンドを使用します。このコマンドをデフォルト設定に戻すには、このコマンドの no 形式を使用します。
boot helper filesystem :/ file-url ...
構文の説明
フラッシュ ファイル システムのエイリアスです。システム ボード フラッシュ デバイスには flash: を使用します。 |
|
ローダ初期化中に動的にロードするためのパス（ディレクトリ）およびロード可能なファイルのリストです。イメージ名はセミコロンで区切ります。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
ファイル名およびディレクトリ名は、大文字と小文字を区別します。
このコマンドは、HELPER 環境変数の設定を変更します。詳細は、 付録 A「Catalyst 3560 スイッチ ブートローダ コマンド」 を参照してください。
関連コマンド
|
|
|
|---|---|
boot helper-config-file
Cisco IOS ヘルパー イメージが使用するコンフィギュレーション ファイルの名前を指定するには、 boot helper-config-file グローバル コンフィギュレーション コマンドを使用します。このコマンドが設定されていない場合は、CONFIG_FILE 環境変数によって指定されたファイルが、ロードされたすべてのバージョンの Cisco IOS に使用されます。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
boot helper-config-file filesystem :/ file-url
構文の説明
フラッシュ ファイル システムのエイリアスです。システム ボード フラッシュ デバイスには flash: を使用します。 |
|
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
ファイル名およびディレクトリ名は、大文字と小文字を区別します。
このコマンドは、HELPER_CONFIG_FILE 環境変数の設定を変更します。詳細は、 付録 A「Catalyst 3560 スイッチ ブートローダ コマンド」 を参照してください。
関連コマンド
|
|
|
|---|---|
boot manual
次回ブート サイクル中にスイッチの手動起動をイネーブルにするには、 boot manual グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
次回システムを再起動すると、スイッチはブート ローダ モードで起動します。これは switch: プロンプトによってわかります。システムを起動するには、 boot ブート ローダ コマンドを使用して起動可能なイメージの名前を指定します。
このコマンドは、MANUAL_BOOT 環境変数の設定を変更します。詳細は、 付録 A「Catalyst 3560 スイッチ ブートローダ コマンド」 を参照してください。
関連コマンド
|
|
|
|---|---|
boot private-config-file
Cisco IOS がプライベート設定の不揮発性コピーの読み書きに使用するファイル名を指定するには、 boot private-config-file グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
boot private-config-file filename
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、プライベート コンフィギュレーション ファイルの名前を pconfig と指定する方法を示します。
関連コマンド
|
|
|
|---|---|
boot system
次回のブート サイクル中にロードする Cisco IOS イメージを指定するには、 boot system グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
boot system filesystem :/ file-url ...
構文の説明
フラッシュ ファイル システムのエイリアスです。システム ボード フラッシュ デバイスには flash: を使用します。 |
|
デフォルト
スイッチは、BOOT 環境変数内の情報を使用して、自動的にシステムを起動しようとします。この変数が設定されていない場合、スイッチは、フラッシュ ファイル システム全体に再帰的な縦型検索を行って、最初の実行可能イメージをロードして実行しようとします。ディレクトリの縦型検索では、検出した各サブディレクトリを完全に検索してから元のディレクトリでの検索を続けます。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
ファイル名およびディレクトリ名は、大文字と小文字を区別します。
archive download-sw 特権 EXEC コマンドを使用してシステム イメージを保存している場合、 boot system コマンドを使用する必要はありません。 boot system コマンドは自動的に処理され、ダウンロードされたイメージがロードされます。
このコマンドは、BOOT 環境変数の設定を変更します。詳細は、 付録 A「Catalyst 3560 スイッチ ブートローダ コマンド」 を参照してください。
関連コマンド
|
|
|
|---|---|
cdp forward
CDP トラフィック用の入力/出力スイッチ ポートを指定するには、 cdp forward グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
cdp forward ingress port-id egress port-id
no cdp forward ingress port-id
構文の説明
デフォルト
スイッチを通過する CDP パケットのデフォルト パスは、任意の入力ポートから Cisco TelePresence System に接続された出力ポートの方向です。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
TelePresence E911 IP Phone のサポートでは CDP 対応の電話機だけを使用する必要があります。
スイッチ スタックの 2 つのポートを介して IP 電話と Cisco TelePresence System のコーデックを接続できます。
例
関連コマンド
|
|
|
|---|---|
channel-group
EhterChannel グループにイーサネット ポートを割り当てたり、EtherChannel モードをイネーブルにしたりするには、 channel-group インターフェイス コンフィギュレーション コマンドを使用します。イーサネット ポートを EtherChannel グループから削除する場合は、このコマンドの no 形式を使用します。
channel-group channel -group-number mode { active | { auto [ non-silent ]} | { desirable [ non-silent ]} | on | passive }
PAgP モード:
channel-group channel -group-number mode { { auto [ non-silent ]} | { desirable [ non-silent}}
LACP モード:
channel-group channel -group-number mode {active | passive}
On モード:
channel-group channel -group-number mode on
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
レイヤ 2 EtherChannel の場合、物理ポートをチャネル グループに割り当てる前に、先に interface port-channel グローバル コンフィギュレーション コマンドを使用してポートチャネル インターフェイスを作成しておく必要はありません。代わりに、 channel-group インターフェイス コンフィギュレーション コマンドを使用できます。論理インターフェイスがまだ作成されていない場合は、チャネル グループが最初の物理ポートを取得した時点で、自動的にポートチャネル インターフェイスが作成されます。最初にポートチャネル インターフェイスを作成する場合は、 channel-group-number を port - channel-number と同じ番号にしても、新しい番号にしてもかまいません。新しい番号を使用した場合、 channel-group コマンドは動的に新しいポート チャネルを作成します。
チャネル グループの一部である物理ポートに割り当てられた IP アドレスをディセーブルにする必要はありませんが、これをディセーブルにすることを強く推奨します。
interface port-channel コマンドの次に no switchport インターフェイス コンフィギュレーション コマンドを使用して、レイヤ 3 のポート チャネルを作成できます。インターフェイスをチャネル グループに適用する前に、ポートチャネルの論理インターフェイスを手動で設定してください。
EtherChannel を設定したあと、ポートチャネル インターフェイスに加えられた設定の変更は、そのポートチャネル インターフェイスに割り当てられたすべての物理ポートに適用されます。物理ポートに適用された設定の変更は、その設定を適用しているポートだけに影響します。EtherChannel 内のすべてのポートのパラメータを変更するには、ポートチャネル インターフェイスに対してコンフィギュレーション コマンドを適用します。たとえば、spanning-tree コマンドを使用して、レイヤ 2 EtherChannel をトランクとして設定します。
auto モードまたは desirable モードとともに non-silent を指定しなかった場合は、サイレントが指定されているものとみなされます。サイレント モードを設定するのは、PAgP 非対応で、かつほとんどパケットを送信しない装置にスイッチを接続する場合です。サイレント パートナーの例は、トラフィックを生成しないファイル サーバ、またはパケット アナライザなどです。この場合は、物理ポートで PAgP を稼動して、ポートが動作可能にならないようにします。ただし、PAgP によって、ポートは動作可能となり、そのポートをチャネル グループへ接続したり、伝送用として使用したりすることができます。リンクの両端はサイレントに設定することはできません。
on モードでは、使用可能な EtherChannel が存在するのは、 on モードのポート グループが、 on モードの別のポート グループに接続する場合だけです。
EtherChannel は、PAgP と LACP の両方のモードには設定しないでください。PAgP と LACP が稼動している EtherChannel グループは同じスイッチ上に共存できます。個々の EtherChannel グループは PAgP または LACP のどちらかを稼動できますが、それらを相互に稼動することはできません。
channel-protocol インターフェイス コンフィギュレーション コマンドを使用してプロトコルを設定した場合、設定値は、 channel-group インターフェイス コンフィギュレーション コマンドによっては上書きされません。
アクティブまたはアクティブでない EtherChannel メンバーを IEEE 802.1x ポートとして設定しないでください。EtherChannel ポートで IEEE 802.1x 認証をイネーブルにしようとすると、エラー メッセージが表示され、IEEE 802.1x 認証はイネーブルになりません。
セキュア ポートを EtherChannel の一部として、または EtherChannel ポートをセキュア ポートとしては設定しないでください。
設定の注意事項の一覧については、このリリースに対応するソフトウェア コンフィギュレーション ガイドの「Configuring EtherChannels」を参照してください。
例
次の例では、単一のスイッチ上で、EtherChannel を設定する方法を示します。VLAN 10 のスタティックアクセス ポート 2 つを PAgP モード desirable であるチャネル 5 に割り当てます。
次の例では、単一のスイッチ上で、EtherChannel を設定する方法を示します。VLAN 10 のスタティックアクセス ポート 2 つを LACP モード active であるチャネル 5 に割り当てます。
関連コマンド
|
|
|
|---|---|
channel-protocol
チャネリングを管理するポート上で使用されるプロトコルを制限するには、 channel-protocol インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
channel-protocol { lacp | pagp }
構文の説明
Link Aggregation Control Protocol（LACP）で EtherChannel を設定します。 |
|
Port Aggregation Protocol（PAgP; ポート集約プロトコル）EtherChannel を設定します。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
LACP または PAgP に制限する場合にだけ、 channel-protocol コマンドを使用してください。 channel-protocol コマンドを使用してプロトコルを設定した場合、設定値は、 channel-group インターフェイス コンフィギュレーション コマンドによっては上書きされません。
EtherChannel パラメータを設定するには、 channel-group インターフェイス コンフィギュレーション コマンドを使用する必要があります。 channel-group コマンドを使用して、EtherChannel のモードを設定することもできます。
例
次の例では、EtherChannel を管理するプロトコルとして LACP を指定する方法を示します。
設定を確認するには、 show etherchannel [ channel-group-number ] protocol 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show etherchannel protocol |
cisp enable
サプリカント スイッチに対するオーセンティケータとして機能するようにスイッチで Client Information Signaling Protocol（CISP）をイネーブルにするには、cisp enable グローバル コンフィギュレーション コマンドを使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
オーセンティケータとサプリカント スイッチ間のリンクはトランクです。どちらのスイッチでも VTP をイネーブルにするときは、VTP ドメイン名が同じであり、VTP モードがサーバである必要があります。
VTP モードを設定するときは、MD5 チェックサムのミスマッチ エラーを避けるため、次の点を確認してください。
• VLAN が 2 台の異なるスイッチに設定されていないこと。設定すると、同じドメインに VTP サーバが 2 台存在することになります。
例
関連コマンド
|
|
|
|---|---|
class
指定のクラス マップ名のトラフィックを分類する一致条件を（ police 、 set 、および trust ポリシーマップ クラス コンフィギュレーション コマンドを使用して）定義するには、class ポリシーマップ コンフィギュレーション コマンドを使用します。既存のクラス マップを削除する場合は、このコマンドの no 形式を使用します。
class { class-map-name | class-default }
no class { class-map-name | class-default }
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
class コマンドを使用する前に、 policy-map グローバル コンフィギュレーション コマンドを使用してポリシー マップを識別し、ポリシーマップ コンフィギュレーション モードを開始する必要があります。ポリシー マップを指定すると、ポリシー マップ内で新規クラスのポリシーを設定したり、既存クラスのポリシーを変更したりすることができます。 service-policy インターフェイス コンフィギュレーション コマンドを使用して、ポリシー マップをポートへ添付できます。
class コマンドを入力すると、ポリシー マップ クラス コンフィギュレーション モードに入り、次のコンフィギュレーション コマンドが使用可能になります。
• exit ：ポリシーマップ クラス コンフィギュレーション モードを終了し、ポリシーマップ コンフィギュレーション モードに戻ります。
• police ：分類したトラフィックにポリサーまたは集約ポリサーを定義します。ポリサーは、帯域幅の限度およびその限度を超過した場合に実行するアクションを指定します。詳細については、 police および police aggregate ポリシーマップ クラス コマンドを参照してください。
• set ：分類したトラフィックに割り当てる値を指定します。詳細については、 set コマンドを参照してください。
• trust ： class コマンドまたは class-map コマンドで分類したトラフィックの信頼状態を定義します。詳細については、 trust コマンドを参照してください。
ポリシーマップ コンフィギュレーション モードに戻るには、 exit コマンドを使用します。特権 EXEC モードに戻るには、 end コマンドを使用します。
class コマンドは、 class-map グローバル コンフィギュレーション コマンドと同じ機能を実行します。他のポートと共有していない新しい分類が必要な場合は、 class コマンドを使用します。多数のポート間でマップを共有する場合には、class-map コマンドを使用します。
デフォルト クラスは、 class class-default ポリシー マップ コンフィギュレーション コマンドを使用して設定することができます。未分類トラフィック（トラフィック クラスで指定された一致基準を満たさないトラフィック）はデフォルト トラフィックとして処理されます。
例
次の例では、 policy1 という名前のポリシー マップを作成する方法を示します。このコマンドが入力方向に添付された場合、 class1 で定義されたすべての着信トラフィックのマッチングを行い、IP Differentiated Service Code Point（DSCP; DiffServ コード ポイント）を 10 に設定し、平均レート 1 Mb/s、バースト 20 KB のトラフィックをポリシングします。プロファイルを超えるトラフィックは、ポリシング設定 DSCP マップから取得した DSCP 値がマークされてから送信されます。
次の例では、デフォルト トラフィック クラスをポリシー マップに設定する方法を示します。
設定を確認するには、 show policy-map 特権 EXEC コマンドを入力します。
次の例では、 class-default が先に設定されていた場合でも、デフォルト トラフィック クラスが自動的にポリシー マップ pm3 の最後に配置される方法を示します。
関連コマンド
|
|
|
|---|---|
class ポリシーマップ コンフィギュレーション コマンドまたは class-map グローバル コンフィギュレーション コマンドを使用して分類されたトラフィックの信頼状態を定義します。 |
class-map
パケットと名前を指定したクラスとの照合に使用するクラス マップを作成し、クラスマップ コンフィギュレーション モードを開始するには、 class-map グローバル コンフィギュレーション コマンドを使用します。既存のクラス マップを削除し、グローバル コンフィギュレーション モードに戻るには、このコマンドの no 形式を使用します。
class-map [ match-all | match-any ] class-map-name
no class-map [ match-all | match-any ] class-map-name
構文の説明
（任意）このクラス マップ内のすべての一致ステートメントの論理積をとります。クラス マップ内のすべての基準が一致する必要があります。 |
|
（任意）このクラス マップ内の一致ステートメントの論理和をとります。1 つまたは複数の条件が一致していなければなりません。 |
|
デフォルト
match-all または match-any のどちらのキーワードも指定されていない場合、デフォルトは match-all です。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
クラス マップ一致基準を作成または変更したいクラスの名前を指定し、クラス マップ コンフィギュレーション モードを開始するには、このコマンドを使用します。
グローバルに名前が付けられたポートごとに適用されるサービス ポリシーの一部としてパケットの分類、マーキング、および集約ポリシングを定義するには、 class-map コマンドおよびそのサブコマンドを使用します。
QoS（Quality of Service）クラスマップ コンフィギュレーション モードでは、次のコンフィギュレーション コマンドを使用できます。
• description ：クラス マップを説明します（最大 200 文字）。 show class-map 特権 EXEC コマンドは、クラスマップの説明と名前を表示します。
• exit ：QoS クラスマップ コンフィギュレーション モードを終了します。
• match ：分類基準を設定します。詳細については、 match（クラスマップ コンフィギュレーション） コマンドを参照してください。
• no ：クラス マップから一致ステートメントを削除します。
• rename ：現在のクラス マップの名前を変更します。クラス マップ名をすでに使用されている名前に変更すると、「 A class-map with this name already exists 」というメッセージが表示されます。
物理ポート単位でパケット分類を定義するため、クラス マップごとに 1 つずつのみ match コマンドがサポートされています。この状況では、 match-all キーワードと match-any キーワードは同じです。
1 つのクラス マップで設定できるアクセス コントロール リスト（ACL）は 1 つだけです。ACL には複数の Access Control Entry（ACE; アクセス コントロール エントリ）を含めることができます。
例
次の例では、クラス マップ class1 に 1 つの一致基準（アクセス リスト 103 ）を設定する方法を示します。
次の例では、クラス マップ class1 を削除する方法を示します。
関連コマンド
|
|
|
|---|---|
指定されたクラスマップ名のトラフィック分類一致条件（ police 、 set 、および trust ポリシーマップ クラス コンフィギュレーション コマンドによる）を定義します。 |
|
clear dot1x
スイッチまたは指定されたポートの IEEE 802.1x 情報を消去するには、 clear dot1x 特権 EXEC コマンドを使用します。
clear dot1x { all | interface interface-id }
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
clear dot1x all コマンドを使用して、すべての情報を消去できます。また、 clear dot1x interface interface-id コマンドを使用して、指定されたインターフェイスの情報のみを消去することもできます。
例
次の例では、すべての IEEE 802.1x 情報を消去する方法を示します。
Switch# clear dot1x all
次の例では、指定されたインターフェイスの IEEE 802.1x 情報を消去する方法を示します。
Switch# clear dot1x interface gigabithethernet0/1
Switch# clear dot1x interface gigabithethernet1/1
関連コマンド
|
|
|
|---|---|
clear eap sessions
スイッチまたは指定されたポートの Extensible Authentication Protocol（EAP）セッション情報を消去するには、 clear eap sessions 特権 EXEC コマンドを使用します。
clear eap sessions [ credentials name [ interface interface-id ] | interface interface-id | method name | transport name ] [ credentials name | interface interface-id | transport name ] ...
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
clear eap sessions コマンドを使用すると、すべてのカウンタを消去できます。キーワードを指定すると、特定の情報だけを消去できます。
例
次の例では、すべての EAP 情報を消去する方法を示します。
Switch# clear eap
次の例では、指定されたプロファイルの EAP セッション クレデンシャル情報を消去する方法を示します。
Switch# clear eap sessions credential type1
関連コマンド
|
|
|
|---|---|
clear errdisable interface
errdisable になった VLAN を再びイネーブルにするには clear errdisable interface 特権 EXEC コマンドを使用します。
clear errdisable interface interface-id vlan [vlan-list]
構文の説明
（任意）再びイネーブルにする VLAN のリストを指定します。vlan-list を指定しない場合は、すべての VLAN が再びイネーブルになります。 |
コマンド デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
shutdown および no shutdown のインターフェイス コンフィギュレーション コマンドを使用してポートを再びイネーブルにするか、clear errdisable interface コマンドを使用して VLAN の errdisable を消去します。
例
次の例では、errdisable ステートになっているポート 2 上のすべての VLAN を再度イネーブルにする方法を示します。
Switch# clear errdisable interface GigabitEthernet 0/2 vlan
関連コマンド
|
|
|
|---|---|
show interfaces status err-disabled |
clear arp inspection log
ダイナミック アドレス解決プロトコル（ARP）インスペクション ログ バッファを消去するには、 clear ip arp inspection log 特権 EXEC コマンドを使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
例
Switch# clear ip arp inspection log
ログが消去されたかどうかを確認するには、 show ip arp inspection log 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show inventory log |
clear ip arp inspection statistics
ダイナミック アドレス解決プロトコル（ARP）インスペクション ログ バッファを消去するには、 clear ip arp inspection log 特権 EXEC コマンドを使用します。
clear ip arp inspection statistics [ vlan vlan-range ]
構文の説明
（任意）指定された 1 つまたは複数の VLAN の統計情報を消去します。 VLAN ID 番号で識別された 1 つの VLAN、それぞれをハイフンで区切った VLAN 範囲、またはカンマで区切った一連の VLAN を指定できます。指定できる範囲は 1 ～ 4094 です。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
例
次の例では、VLAN 1 の統計情報を消去する方法を示します。
統計情報が削除されたかどうかを確認するには、 show ip arp inspection statistics vlan 1 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show inventory statistics |
すべての VLAN または指定された VLAN の転送済みパケット、ドロップ済みパケット、MAC 検証に失敗したパケット、および IP 検証に失敗したパケットの統計情報を表示します。 |
clear ip dhcp snooping
DHCP スヌーピング バインディング データベース、DHCP スヌーピング バインディング データベース エージェントの統計情報、または DHCP スヌーピング統計カウンタを消去するには、 clear ip dhcp snooping 特権 EXEC コマンドを使用します。
clear ip dhcp snooping { binding {* | ip-address | interface interface-id | vlan vlan-id } | database statistics | statistics }
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
* 、 ip-address 、 interface interface-id 、 および vlan vlan-id キーワードが追加されました。 |
使用上のガイドライン
clear ip dhcp snooping database statistics コマンドを入力すると、スイッチは統計情報を消去する前にバインディング データベースおよびバインディング ファイル内のエントリを更新しません。
例
次の例では、DHCP スヌーピング バインディング データベース エージェントの統計情報を消去する方法を示します。
統計情報が消去されたかどうかを確認するには、 show ip dhcp snooping database 特権 EXEC コマンドを入力します。
次の例では、DHCP スヌーピング統計カウンタを消去する方法を示します。
Switch# clear ip dhcp snooping statistics
統計情報が消去されたかどうかを確認するには、 show ip dhcp snooping statistics ユーザ EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show ip dhcp snooping statistics |
clear ipc
Interprocess Communications Protocol（IPC）統計情報を消去するには、 clear ipc 特権 EXEC コマンドを使用します。
clear ipc { queue-statistics | statistics }
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
clear ipc statistics コマンドを使用してすべての統計情報を消去できますが、 clear ipc queue-statistics コマンドを使用してキューの統計情報だけを消去することもできます。
例
Switch# clear ipc statistics
Switch# clear ipc queue-statistics
統計情報が削除されたかどうかを確認するには、 show ipc rpc または show ipc session 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show ipc { rpc | session } |
clear ipv6 dhcp conflict
DHCP for IPv6（DHCPv6）サーバ データベースからのアドレスの衝突を消去するには、 clear ipv6 dhcp conflict 特権 EXEC コマンドを使用します。
clear ipv6 dhcp conflict {* | IPv6-address}
（注） このコマンドは、スイッチでデュアル IPv4/IPv6 SDM テンプレートが設定されている場合にだけ使用可能です。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デュアル IPv4/IPv6 テンプレートを設定するには、 sdm prefer dual-ipv4-and-ipv6 { default | vlan } グローバル コンフィギュレーション コマンドを入力し、スイッチをリロードします。
衝突を削除するよう DHCPv6 サーバを設定する際、ping を使用します。クライアントはネイバー探索を使用してクライアントを検出し、DECLINE メッセージを通じてサーバに報告します。アドレスの衝突が検出されると、アドレスはプールから削除されます。管理者が衝突リストからアドレスを削除するまでアドレスは割り当てられません。
例
次の例では、DHCPv6 サーバ データベースからすべてのアドレスの衝突を消去する方法を示します。
関連コマンド
|
|
|
|---|---|
DHCPv6 サーバが検出したアドレスの衝突、またはクライアントからの DECLINE メッセージを通じて報告されたアドレスの衝突を表示します。 |
clear l2protocol-tunnel counters
プロトコル トンネル ポートのプロトコル カウンタを消去するには、 clear l2protocol-tunnel counters 特権 EXEC コマンドを使用します。
clear l2protocol-tunnel counters [ interface-id ]
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、インターフェイスのレイヤ 2 プロトコル トンネル カウンタを消去する方法を示します。
Switch# clear l2protocol-tunnel counters gigabitethernet0/3
関連コマンド
|
|
|
|---|---|
clear lacp
Link Aggregation Control Protocol（LACP）チャネル グループ カウンタを消去するには、 clear lacp 特権 EXEC コマンドを使用します。
clear lacp { channel-group-number counters | counters }
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
clear lacp counters コマンドを使用すると、すべてのカウンタを消去できます。また、 clear lacp channel-group-number counters コマンドを使用すると、指定のチャネル グループのカウンタだけを消去できます。
例
次の例では、すべてのチャネル グループ情報を消去する方法を示します。
Switch# clear lacp counters
次の例では、グループ 4 の LACP トラフィックのカウンタを消去する方法を示します。
Switch# clear lacp 4 counters
情報が消去されたかどうかを確認するには、 show lacp counters または show lacp 4 counters 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
clear mac address-table
MAC アドレス テーブルから特定のダイナミック アドレス、特定のインターフェイス上のすべてのダイナミック アドレス、または特定の VLAN 上のすべてのダイナミック アドレスを削除するには、 clear mac address-table 特権 EXEC コマンドを使用します。このコマンドはまた MAC アドレス通知グローバル カウンタも消去します。
clear mac address-table { dynamic [ address mac-addr | interface interface-id | vlan vlan-id ] | notification }
構文の説明
（任意）指定された VLAN のすべてのダイナミック MAC アドレスを削除します。指定できる範囲は 1 ～ 4094 です。 |
|
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
例
次の例では、ダイナミック アドレス テーブルから指定の MAC アドレスを削除する方法を示します。
情報が削除されたかどうかを確認するには、 show mac address-table 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
特定のインターフェイス上の SNMP（簡易ネットワーク管理プロトコル）MAC アドレス通知トラップをイネーブルにします。 |
clear mac address-table move update
MAC アドレス テーブルの移行更新関連カウンタを消去するには、 clear mac address-tablemove update 特権 EXEC コマンドを使用します。
clear mac address-table move update
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
例
次の例では、MAC アドレス テーブル移行更新関連カウンタを消去する方法を示します。
情報が消去されたかどうかを確認するには、 show mac address-table move update 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
clear nmsp statistics
Network Mobility Services Protocol（NMSP; ネットワーク モビリティ サービス プロトコル）統計情報を消去するには、 clear nmsp statistics 特権 EXEC コマンドを使用します。このコマンドは、スイッチが暗号化ソフトウェア イメージを実行している場合にだけ使用できます。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
例
情報が削除されたかどうかを確認するには、 show nmsp statistics 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
clear pagp
Port Aggregation Protocol（PAgP; ポート集約プロトコル）チャネル グループ情報を消去するには、 clear pagp 特権 EXEC コマンドを使用します。
clear pagp { channel-group-number counters | counters }
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
すべてのカウンタを消去するには、 clear pagp counters コマンドを使用します。また、 clear pagp channel-group-number counters コマンドを使用すると、指定のチャネル グループのカウンタだけを消去できます。
例
次の例では、すべてのチャネル グループ情報を消去する方法を示します。
Switch# clear pagp counters
次の例では、グループ 10 の PAgP トラフィックのカウンタを消去する方法を示します。
Switch# clear pagp 10 counters
関連コマンド
|
|
|
|---|---|
clear port-security
MAC アドレス テーブルからすべてのセキュア アドレスを削除するか、またはスイッチかインターフェイス上の特定のタイプ（設定済み、ダイナミック、スティッキ）のすべてのセキュア アドレスを削除するには、 clear port-security 特権 EXEC コマンドを使用します。
clear port-security { all | configured | dynamic | sticky } [[ address mac-addr | interface interface-id ] [ vlan { vlan-id | { access | voice}}]]
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
例
次の例では、MAC アドレス テーブルからすべてのセキュア アドレスを削除する方法を示します。
次の例では、MAC アドレス テーブルから特定の設定済みセキュア アドレスを削除する方法を示します。
次の例では、特定のインターフェイスで学習されたすべてのダイナミック セキュア アドレスを削除する方法を示します。
次の例では、アドレス テーブルからすべてのダイナミック セキュア アドレスを削除する方法を示します。
関連コマンド
|
|
|
|---|---|
switchport port-security mac-address mac-address |
|
switchport port-security maximum value |
|
clear spanning-tree counters
スパニングツリー カウンタを消去するには、 clear spanning-tree counters 特権 EXEC コマンドを使用します。
clear spanning-tree counters [ interface interface-id ]
構文の説明
（任意）指定のインターフェイスのスパニング ツリー カウンタをすべて消去します。有効なインターフェイスとしては、物理ポート、VLAN、およびポート チャネルがあります。指定できる VLAN 範囲は 1 ～ 4094 です。ポート チャネル範囲は 1 ～ 48 です。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
interface-id が指定されていない場合は、すべてのインターフェイスのスパニング ツリー カウンタが消去されます。
例
次の例では、すべてのインターフェイスのスパニング ツリー カウンタを消去する方法を示します。
関連コマンド
|
|
|
|---|---|
clear spanning-tree detected-protocols
すべてのインターフェイス、または指定されたインターフェイスでプロトコル移行プロセスを再開する（強制的にネイバー スイッチと再度ネゴシエートさせる）には、 clear spanning-tree detected-protocols 特権 EXEC コマンドを使用します。
clear spanning-tree detected-protocols [ interface interface-id ]
構文の説明
（任意）指定されたインターフェイスでプロトコル移行プロセスを再開します。有効なインターフェイスとしては、物理ポート、VLAN、およびポート チャネルがあります。指定できる VLAN 範囲は 1 ～ 4094 です。ポート チャネル範囲は 1 ～ 48 です。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
Rapid Per-VLAN Spanning-Tree Plus（rapid PVST+）プロトコルまたは Multiple Spanning-Tree Protocol（MSTP）が稼動するスイッチは、組み込み済みのプロトコル移行メカニズムをサポートしています。それによって、スイッチはレガシー IEEE 802.1D スイッチと相互に動作できるようになります。rapid PVST+ スイッチまたは MSTP スイッチが、プロトコルのバージョンが 0 に設定されているレガシー IEEE 802.1D コンフィギュレーション Bridge Protocol Data Unit（BPDU; ブリッジ プロトコル データ ユニット）を受信した場合は、そのポートで IEEE 802.1D BPDU だけを送信します。Multiple Spanning-Tree（MST）スイッチが、レガシー BPDU、別のリージョンに関連付けられた MST BPDU（バージョン 3）、または Rapid Spanning-Tree（RST; 高速スパニング ツリー）BPDU（バージョン 2）を受信したときは、そのポートがリージョンの境界にあることを検知します。
ただし、スイッチは、IEEE 802.1D BPDU を受信しなくなった場合であっても、自動的には rapid PVST+ モードまたは MSTP モードには戻りません。これは、レガシー スイッチが指定スイッチでなければ、リンクから削除されたかどうかを学習できないためです。この状況では、 clear spanning-tree detected-protocols コマンドを使用します。
例
次の例では、ポートでプロトコル移行プロセスを再開する方法を示します。
関連コマンド
|
|
|
|---|---|
clear vmps statistics
VLAN Query Protocol（VQP）クライアントが保持する統計情報を消去するには、 clear vmps statistics 特権 EXEC コマンドを使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
例
次の例では、VLAN Membership Policy Server（VMPS; VLAN メンバシップ ポリシー サーバ）統計情報を消去する方法を示します。
情報が削除されたかどうかを確認するには、 show vmps statistics 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
VQP バージョン、再確認間隔、再試行回数、VMPS IP アドレス、および現在のサーバとプライマリ サーバを表示します。 |
clear vtp counters
VLAN Trunking Protocol（VTP; VLAN トランキング プロトコル）およびプルーニング カウンタを消去するには、 clear vtp counters 特権 EXEC コマンドを使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
例
関連コマンド
|
|
|
|---|---|
cluster commander-address
このコマンドは、スタンドアロン クラスタ メンバー スイッチから 入力する必要はありません。クラスタ コマンド スイッチは、メンバー スイッチがクラスタに加入した場合に、MAC アドレスをそのメンバー スイッチに自動的に提供します。クラスタ メンバー スイッチは、この情報および他のクラスタ情報をその実行コンフィギュレーション ファイルに追加します。デバッグまたはリカバリ手順の間だけスイッチをクラスタから削除する場合は、クラスタ メンバー スイッチ コンソール ポートから、 この グローバル コンフィギュレーション コマンドの no 形式を使用します。
cluster commander-address mac-address [ member number name name ]
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、クラスタ コマンド スイッチ上でのみ利用できます。
各クラスタ メンバーは、クラスタ コマンド スイッチを 1 つしか持てません。
クラスタ メンバー スイッチは、mac-address パラメータによりシステム リロード中にクラスタ コマンド スイッチの ID を保持します。
特定のクラスタ メンバー スイッチで no 形式を入力すると、デバッグまたはリカバリ手順の間、そのクラスタ メンバー スイッチをクラスタから削除できます。通常、メンバーがクラスタ コマンド スイッチと通信ができなくなった場合にだけ、クラスタ メンバー スイッチ コンソール ポートからこのコマンドを入力します。通常のスイッチ構成では、クラスタ コマンド スイッチで no cluster member n グローバル コンフィギュレーション コマンドを入力することによってのみ、クラスタ メンバー スイッチを削除することを推奨します。
スタンバイ クラスタ コマンド スイッチがアクティブになった場合（クラスタ コマンド スイッチになった場合）、このスイッチは cluster commander-address 行をその設定から削除します。
例
次の例は、クラスタ メンバーの実行コンフィギュレーションの出力の一部です。
次の例では、クラスタ メンバー コンソールでクラスタからメンバーを削除する方法を示します。
関連コマンド
|
|
|
|---|---|
cluster discovery hop-count
候補スイッチの拡張検出用にホップカウントの制限を設定するには、クラスタ コマンド スイッチ上で cluster discovery hop-count グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
cluster discovery hop-count number
no cluster discovery hop-count
構文の説明
クラスタ コマンド スイッチが候補の検出を制限するクラスタ エッジからのホップの数。指定できる範囲は 1 ～ 7 です。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、クラスタ コマンド スイッチ上でのみ利用できます。このコマンドは、クラスタ メンバー スイッチでは機能しません。
ホップ カウントが 1 に設定された場合、拡張検出はディセーブルになります。クラスタ コマンド スイッチは、クラスタのエッジから 1 ホップの候補だけを検出します。クラスタのエッジとは、最後に検出されたクラスタ メンバー スイッチと最初に検出された候補スイッチの間のポイントです。
例
次の例では、ホップ カウント制限を 4 に設定する方法を示します。このコマンドは、クラスタ コマンド スイッチで実行します。
関連コマンド
|
|
|
|---|---|
cluster enable
コマンド対応スイッチをクラスタ コマンド スイッチとしてイネーブルにし、クラスタ名を割り当て、任意でメンバー番号を割り当てるには、そのコマンド対応スイッチ上で cluster enable グローバル コンフィギュレーション コマンドを使用します。すべてのメンバーを削除して、このクラスタ コマンド スイッチを候補スイッチにするには、このコマンドの no 形式を使用します。
cluster enable name [ command-switch-member-number ]
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、どのクラスタにも属していない任意のコマンド対応スイッチで入力します。装置がすでにクラスタのメンバーとして設定されている場合、コマンドはエラーとなります。
クラスタ コマンド スイッチをイネーブルにするときには、クラスタに名前を付けてください。スイッチがすでにクラスタ コマンド スイッチとして設定されており、クラスタ名が以前の名前と異なっている場合、コマンドはクラスタ名を変更します。
例
次の例では、クラスタ コマンド スイッチをイネーブルにし、クラスタに名前を付け、クラスタ コマンド スイッチ メンバー番号を 4 に設定する方法を示します。
関連コマンド
|
|
|
|---|---|
cluster holdtime
スイッチ（コマンドまたはクラスタ メンバー スイッチ）が、他のスイッチのハートビート メッセージを受信しなくなってからそのスイッチのダウンを宣言するまでの期間を秒単位で設定するには、クラスタ コマンド スイッチ上で cluster holdtime グローバル コンフィギュレーション コマンドを使用します。デフォルト設定時間に戻すには、このコマンドの no 形式を使用します。
cluster holdtime holdtime-in-secs
構文の説明
スイッチ（コマンドまたはクラスタ メンバー スイッチ）が、他のスイッチのダウンを宣言するまでの期間（秒）。指定できる範囲は 1 ～ 300 秒です。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、 cluster timer グローバル コンフィギュレーション コマンドとともにクラスタ コマンド スイッチでのみ使用します。クラスタ内のすべてのスイッチ間で設定の一貫性が保たれるように、クラスタ コマンド スイッチはこの値をそのすべてのクラスタ メンバーに伝播します。
ホールドタイムは通常インターバル タイマー（ cluster timer ）の倍数として設定されます。たとえば、スイッチのダウンを宣言するまで、「ホールド タイムをインターバル タイムで割った秒数」回の一連のハートビート メッセージが受信されない必要があります。
例
次の例では、クラスタ コマンド スイッチでインターバル タイマーおよびホールド タイム時間を変更する方法を示します。
関連コマンド
|
|
|
|---|---|
cluster member
クラスタに候補を追加するには、クラスタ コマンド スイッチ上で cluster member グローバル コンフィギュレーション コマンドを使用します。メンバーをクラスタから削除するには、このコマンドの no 形式を使用します。
cluster member [ n ] mac-address H.H.H [ password enable-password ] [ vlan vlan-id ]
構文の説明
（任意）クラスタ コマンド スイッチが候補をクラスタに追加するときに使用される VLAN ID。指定できる範囲は 1 ～ 4094 です。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、候補をクラスタに追加したり、メンバーをクラスタから削除したりする場合にクラスタ コマンド スイッチでのみ入力できます。このコマンドをクラスタ コマンド スイッチ以外のスイッチで入力すると、スイッチはコマンドを拒否し、エラー メッセージを表示します。
スイッチをクラスタから削除する場合はメンバー番号を入力してください。ただし、スイッチをクラスタに追加する場合には、メンバー番号を入力する必要はありません。クラスタ コマンド スイッチは、次に利用可能なメンバー番号を選択し、これをクラスタに加入しているスイッチに割り当てます。
候補スイッチがクラスタに加入した場合には、認証を行うためにそのスイッチのイネーブル パスワードを入力してください。パスワードは、実行コンフィギュレーションまたはスタートアップ コンフィギュレーションには保存されません。候補スイッチがクラスタのメンバーになったあと、そのパスワードはクラスタ コマンド スイッチ パスワードと同じになります。
スイッチにホスト名が設定されていない場合、クラスタ コマンド スイッチは、メンバー番号をクラスタ コマンド スイッチ ホスト名に追加し、これをクラスタ メンバー スイッチに割り当てます。
VLAN ID を指定していない場合、クラスタ コマンド スイッチは自動的に VLAN を選択し、候補をクラスタに追加します。
例
次の例では、スイッチをメンバー 2、MAC アドレス 00E0.1E00.2222、パスワード key としてクラスタに追加する方法を示します。クラスタ コマンド スイッチは、VLAN 3 を経由して候補をクラスタに追加します。
次の例では、MAC アドレス 00E0.1E00.3333 のスイッチをクラスタに追加する方法を示します。このスイッチにはパスワードはありません。クラスタ コマンド スイッチは、次に利用可能なメンバー番号を選択し、これをクラスタに加入しているスイッチに割り当てます。
設定を確認するには、クラスタ コマンド スイッチで show cluster members 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
cluster outside-interface
クラスタの Network Address Translation（NAT; ネットワーク アドレス変換）の外部インターフェイスを設定し、IP アドレスのないメンバーがクラスタの外部にある装置と通信できるようにするには、クラスタ コマンド スイッチ上で cluster outside-interface グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
cluster outside-interface interface-id
構文の説明
外部インターフェイスとして機能するインターフェイス。有効なインターフェイスとしては、物理インターフェイス、ポート チャネル、または VLAN があります。ポート チャネル範囲は 1 ～ 48 です。指定できる VLAN 範囲は 1 ～ 4094 です。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドを入力できるのは、クラスタ コマンド スイッチだけです。クラスタ メンバー スイッチでコマンドを入力すると、エラー メッセージが表示されます。
例
次の例では、VLAN 1 に外部インターフェイスを設定する方法を示します。
関連コマンド
|
|
|
|---|---|
cluster run
スイッチでクラスタ処理をイネーブルにするには、 cluster run グローバル コンフィギュレーション コマンドを使用します。スイッチでクラスタ処理をディセーブルにするには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
クラスタ コマンド スイッチ上で no cluster run コマンドを入力すると、クラスタ コマンド スイッチはディセーブルになります。クラスタリングはディセーブルになり、スイッチは候補スイッチにはなれません。
クラスタ メンバー スイッチで no cluster run コマンドを入力すると、このメンバー スイッチはクラスタから削除されます。クラスタリングはディセーブルになり、スイッチは候補スイッチにはなれません。
クラスタに属していないスイッチで no cluster run コマンドを入力すると、クラスタ処理はそのスイッチでディセーブルになります。このスイッチは候補スイッチにはなれません。
例
次の例では、クラスタ コマンド スイッチでクラスタ処理をディセーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
cluster standby-group
既存の Hot Standby Router Protocol（HSRP; ホットスタンバイ ルータ プロトコル）にクラスタをバインドして、クラスタ コマンド スイッチ冗長をイネーブルにするには、 cluster standby-group グローバル コンフィギュレーション コマンドを使用します。routing-redundancy キーワードを入力すると、同じ HSRP グループを使用して、クラスタ コマンド スイッチ冗長とルーティング冗長を確立できます。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
cluster standby-grou p HSRP-group-name [ routing-redundancy ]
構文の説明
（任意）同じ HSRP スタンバイ グループを使用して、クラスタ コマンド スイッチ冗長とルーティング冗長を確立できます。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドが入力できるのは、クラスタ コマンド スイッチだけです。クラスタ メンバー スイッチでこれを入力すると、エラー メッセージが表示されます。
クラスタ コマンド スイッチは、クラスタ HSRP バインディング情報をすべてのクラスタ HSRP 対応メンバーに伝播します。各クラスタ メンバー スイッチはバインディング情報を NVRAM（不揮発性 RAM）に保存します。HSRP グループ名は、有効なスタンバイ グループである必要があります。そうでない場合、エラーが発生してコマンドが終了します。
クラスタにバインドする HSRP スタンバイ グループのすべてのメンバーに同じグループ名を使用してください。バインドされる HSRP グループのすべてのクラスタ HSRP 対応メンバーに同じ HSRP グループ名を使用してください（クラスタを HSRP グループにバインドしない場合には、クラスタ コマンダおよびメンバーに異なる名前を使用できます）。
例
次の例では、 my_hsrp という名前の HSRP グループをクラスタにバインドする方法を示します。このコマンドは、クラスタ コマンド スイッチで実行します。
次の例では、同じ HSRP グループ名 my_hsrp を使用して、ルーティング冗長とクラスタ冗長を確立する方法を示します。
次の例では、このコマンドがクラスタ コマンド スイッチから実行され、指定された HSRP スタンバイ グループが存在しない場合のエラー メッセージを示します。
次の例では、このコマンドがクラスタ メンバー スイッチで実行された場合のエラー メッセージを示します。
設定を確認するには、 show cluster 特権 EXEC コマンドを入力します。出力は、クラスタ内の冗長性がイネーブルになったかどうかを示します。
関連コマンド
|
|
|
|---|---|
cluster timer
ハートビート メッセージ間の秒単位での間隔を指定するには、クラスタ コマンド スイッチ上で cluster timer グローバル コンフィギュレーション コマンドを使用します。デフォルト設定の間隔に戻すには、このコマンドの no 形式を使用します。
cluster timer interval-in-secs
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、 cluster holdtime グローバル コンフィギュレーション コマンドとともにクラスタ コマンド スイッチでのみ使用します。クラスタ内のすべてのスイッチ間で設定の一貫性が保たれるように、クラスタ コマンド スイッチはこの値をそのすべてのクラスタ メンバーに伝播します。
ホールドタイムは通常ハートビート インターバル タイマー（ cluster timer ）の倍数として設定されます。たとえば、スイッチのダウンを宣言するまで、「ホールド タイムをインターバル タイムで割った秒数」回の一連のハートビート メッセージが受信されない必要があります。
例
次の例では、クラスタ コマンド スイッチでハートビート間隔のタイマーおよび期間を変更する方法を示します。
関連コマンド
|
|
|
|---|---|
define interface-range
インターフェイス範囲マクロを作成するには、 define interface-range グローバル コンフィギュレーション コマンドを使用します。定義されたマクロを削除するには、このコマンドの no 形式を使用します。
define interface-range macro-name interface-range
no define interface-range macro-name interface-range
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
1 つの範囲内ではすべてのインターフェイスが同じタイプ、つまり、すべてがファスト イーサネット ポート、すべてがギガビット イーサネット ポート、すべてが EtherChannel ポート、またはすべてが VLAN のいずれかでなければなりません。ただし、マクロ内では複数のインターフェイス タイプを組み合わせることができます。
interface-range を入力する場合は、次のフォーマットを使用します。
• type { first-interface } - { last-interface }
• interface-range を入力するときは、最初のインターフェイス番号とハイフンの間にスペースを入れます。たとえば、 gigabitethernet 0/1 - 2 であれば範囲は指定されますが、 gigabit ethernet 0/1 -2 では指定されません。
type および interface の有効値は次のとおりです。
• vlan vlan-id - vlan-id （vlan-id の範囲は 1 ～ 4094）
VLAN インターフェイスは、 interface vlan コマンドで設定してください（ show running-config 特権 EXEC コマンドは、設定された VLAN インターフェイスを表示します）。 show running-config コマンドで表示されない VLAN インターフェイスは、 interface-range では使用できません。
• port-channel port-channel-number 、ここで、 port-channel-number は 1 ～ 48 です。
• fastethernet stack member/module/{ first port } - { last port }
• gigabitethernet module/{ first port } - { last port }
• 範囲は type 0/number - number（例：gigabitethernet 0/1/1 - 2）です。
範囲を定義するときは、ハイフン（-）の前にスペースが必要です。次に例を示します。
複数の範囲を入力することもできます。複数の範囲を定義するときは、最初のエントリとカンマ（,）の間にスペースが必要です。カンマの後ろのスペースは任意です。次に例を示します。
例
次の例では、複数のインターフェイス マクロを作成する方法を示します。
関連コマンド
|
|
|
|---|---|
定義されたマクロを含む現在の動作設定を表示します。構文情報については、[Cisco IOS Configuration Fundamentals Command Reference, Release 12.2] > [File Management Commands] > [Configuration File Management Commands] を選択してください。 |
delete
フラッシュ メモリ デバイスのファイルまたはディレクトリを削除するには、 delete 特権 EXEC コマンドを使用します。
delete [ /force ] [/ recursive ] filesystem :/ file-url
構文の説明
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
/force キーワードを使用すると、削除プロセスの最初に 1 回だけ削除の確認を要求するプロンプトが表示されます。
/force キーワードを指定せずに /recursive キーワードを使用すると、ファイルごとに削除の確認を要求するプロンプトが表示されます。
プロンプト動作は、 file prompt グローバル コンフィギュレーション コマンドの設定によって異なります。デフォルトでは、スイッチは、破壊的なファイル操作に関する確認をプロンプトで要求します。このコマンドの詳細については、『 Cisco IOS Command Reference for Release 12.1 』を参照してください。
例
次の例では、新しいイメージが正常にダウンロードされたあとに、古いソフトウェア イメージを含むディレクトリを削除する方法を示します。
ディレクトリが削除されたかどうかを確認するには、 dir filesystem : 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
deny（ARP アクセス リスト コンフィギュレーション）
DHCP バインディングとの照合に基づいて Address Resolution Protocol（ARP; アドレス解決プロトコル）パケットを拒否するには、 deny ARP アクセス リスト コンフィギュレーション コマンドを使用します。アクセス リストから指定された Access Control Entry（ACE; アクセス コントロール エントリ）を削除するには、このコマンドの no 形式を使用します。
deny {[ request ] ip { any | host sender-ip | sender-ip sender-ip-mask } mac { any | host sender-mac | sender-mac sender-mac-mask } | response ip { any | host sender-ip | sender-ip sender-ip-mask } [{ any | host target-ip | target-ip target-ip-mask }] mac { any | host sender-mac | sender-mac sender-mac-mask } [{ any | host target-mac | target-mac target-mac-mask }]} [ log ]
no deny {[ request ] ip { any | host sender-ip | sender-ip sender-ip-mask } mac { any | host sender-mac | sender-mac sender-mac-mask } | response ip { any | host sender-ip | sender-ip sender-ip-mask } [{ any | host target-ip | target-ip target-ip-mask }] mac { any | host sender-mac | sender-mac sender-mac-mask } [{ any | host target-mac | target-mac target-mac-mask }]} [ log ]
構文の説明
（任意）ARP 要求との一致を定義します。request を指定しない場合は、すべての ARP パケットに対して照合が行われます。 |
|
デフォルト
デフォルト設定はありません。ただし、ARP アクセス リストの末尾に暗黙の deny ip any mac any コマンドがあります。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、ARP アクセス リストを定義し、IP アドレスが 1.1.1.1 で MAC アドレスが 0000.0000.abcd のホストからの ARP 要求と ARP 応答の両方を拒否する方法を示します。
関連コマンド
|
|
|
|---|---|
deny（IPv6 アクセス リスト コンフィギュレーション）
Ipv6 アクセス リストに拒否条件を設定するには、Ipv6 アクセス リスト コンフィギュレーション モードで deny コマンドを使用します。拒否条件を削除するには、このコマンドの no 形式を使用します。
deny { protocol } { source-ipv6-prefix / prefix-length | any | host source-ipv6-address } [ operator [ port-number ]] { destination-ipv6-prefix/prefix-length | any | host destination-ipv6-address } [ operator [ port-number ]] [ dscp value ] [ fragments ] [ log ] [ log-input ] [ sequence value ] [ time-range name ]
no deny { protocol } { source-ipv6-prefix / prefix-length | any | host source-ipv6-address } [ operator [ port-number ]] { destination-ipv6-prefix/prefix-length | any | host destination-ipv6-address } [ operator [ port-number ]] [ dscp value ] [ fragments ] [ log ] [ log-input ] [ sequence value ] [ time-range name ]
Internet Control Message Protocol（ICMP; インターネット制御メッセージ プロトコル）
deny icmp { source-ipv6-prefix / prefix-length | any | host source-ipv6-address } [ operator [ port-number ]] { destination-ipv6-prefix/prefix-length | any | host destination-ipv6-address } [ operator [ port-number ]] [ icmp-type [ icmp-code ] | icmp-message ] [ dscp value ] [ log ] [ log-input ] [ sequence value ] [ time-range name ]
Transmission Control Protocol（TCP; 伝送制御プロトコル）
deny tcp { source-ipv6-prefix / prefix-length | any | host source-ipv6-address } [ operator [ port-number ]] { destination-ipv6-prefix/prefix-length | any | host destination-ipv6-address } [ operator [ port-number ]] [ ack ] [ dscp value ] [ established ] [ fin ] [ log ] [ log-input ] [ neq { port | protocol }] [ psh ] [ range { port | protocol }] [ rst ] [ sequence value ] [ syn ] [ time-range name ] [ urg ]
User Datagram Protocol（UDP; ユーザ データグラム プロトコル）
deny udp { source-ipv6-prefix / prefix-length | any | host source-ipv6-address } [ operator [ port-number ]] { destination-ipv6-prefix/prefix-length | any | host destination-ipv6-address } [ operator [ port-number ]] [ dscp value ] [ log ] [ log-input ] [ neq { port | protocol }] [ range { port | protocol }] [ sequence value ] [ time-range name ]
（注） このコマンドは、スイッチでデュアル IPv4/IPv6 SDM テンプレートが設定されている場合にだけ使用可能です。
構文の説明
（注） flow-label, routing および undetermined-transport キーワードはコマンドラインのヘルプ ストリングに表示されますが、サポートされていません。
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
deny （IPv6 アクセス リスト コンフィギュレーション モード）コマンドは、IPv6 固有である点を除き、 deny （IPv4 アクセス リスト コンフィギュレーション モード）コマンドと類似しています。
IPv6 アクセス リスト コンフィギュレーション モードを開始し、パケットがアクセス リストを通過する条件を定義するには、 ipv6 access-list コマンドの後ろに deny （IPv6）コマンドを使用します。
protocol 引数に IPv6 を指定すると、パケットの IPv6 ヘッダーに対して照合を行います。
デフォルトでは、アクセス リストの最初のステートメントは 10 で、その次のステートメントからは 10 ずつ増加します。
リスト全体を再入力しないで、 permit 、 deny 、または remark ステートメントを既存のアクセス リストに追加できます。リストの最後以外の場所に新しいステートメントを追加するには、挿入する場所を示す、既存の 2 つのエントリ番号の間にある適切なエントリ番号を持った新しいステートメントを作成します。
（注） 各 IPv6 ACL には最後の一致条件として、暗黙の permit icmp any any nd-na、permit icmp any any nd-ns、および deny ipv6 any any ステートメントがあります。このうち 2 つの permit 条件は、ICMPv6 ネイバー探索を許可します。ICMPv6 ネイバー探索を許可しないで icmp any any nd-na または icmp any any nd-ns を拒否するには、明示的な拒否エントリが ACL 内にある必要があります。暗黙的な deny ipv6 any any ステートメントを有効にするには、IPv6 ACL に 1 つまたは複数のエントリを含める必要があります。
IPv6 ネイバー探索プロセスでは、IPv6 ネットワーク レイヤ サービスを使用します。したがって、デフォルトでは IPv6 ACL により、IPv6 ネイバー探索パケットのインターフェイス上での送受信が暗黙に許可されます。IPv4 では、IPv6 ネイバー探査プロセスと同等のアドレス解決プロトコル（ARP）は、別のデータリンク レイヤ プロトコルを使用します。したがってデフォルトでは、IPv4 ACL により、ARP パケットのインターフェイス上での送受信が暗黙に許可されます。
source-ipv6-prefix / prefix-length と destination-ipv6-prefix / prefix-length の両方の引数をトラフィック フィルタリングに使用します（送信元プレフィクスはトラフィックの送信元に基づいて、宛先プレフィクスはトラフィックの宛先に基づいてトラフィックをフィルタリングします）。
スイッチは集約可能なグローバル ユニキャストおよびリンク ローカル ホスト アドレスの /0 ～ /64 のプレフィクスと EUI ベースの /128 プレフィクスのみをサポートします。
プロトコルが ipv6 で operator [ port-number ] 引数が指定されていない場合にのみ、 fragments キーワードは任意で指定できます。
例
次の例では、CISCO という名の IPv6 アクセス リストを設定し、そのアクセス リストをレイヤ 3 インターフェイス上の発信トラフィックに適用する方法を示します。リストの最初の拒否エントリは、5000 より大きい宛先 TCP ポート番号を持ったパケットすべてがインターフェイスで送信されるのを防ぎます。リストの 2 番目の拒否エントリは、5000 未満の送信元 UDP ポート番号を持ったパケットすべてがインターフェイスで送信されるのを防ぎます。また、この 2 番目の拒否エントリは、すべての一致をコンソールに表示します。リストの最初の許可エントリは、すべての ICMP パケットのインターフェイスでの送信を許可します。リストの 2 番目の許可エントリは、その他すべてのトラフィックのインターフェイスでの送信を許可します。すべてのパケットを拒否する暗黙の条件が各 IPv6 アクセス リストの末尾にあるので、この 2 番目の許可エントリが必要となります。
関連コマンド
|
|
|
|---|---|
deny（MAC アクセス リスト コンフィギュレーション）
条件が一致した場合に、非 IP トラフィックの転送を回避するには、 deny MAC アクセス リスト コンフィギュレーション コマンドを使用します。拒否条件を名前付き MAC アクセス リストから削除するには、このコマンドの no 形式を使用します。
{ deny | permit } { any | host src-MAC-addr | src-MAC-addr mask } { any | host dst-MAC-addr | dst-MAC-addr mask } [ type mask | aarp | amber | cos cos | dec-spanning | decnet-iv | diagnostic | dsm | etype-6000 | etype-8042 | lat | lavc-sca | lsap lsap mask |mop-console | mop-dump | msdos | mumps | netbios | vines-echo | vines-ip | xns-idp ]
no { deny | permit } { any | host src-MAC-addr | src-MAC-addr mask } { any | host dst-MAC-addr | dst-MAC-addr mask } [ type mask | aarp | amber | cos cos | dec-spanning | decnet-iv | diagnostic | dsm | etype-6000 | etype-8042 | lat | lavc-sca | lsap lsap mask | mop-console | mop-dump | msdos | mumps | netbios | vines-echo | vines-ip | xns-idp ]
構文の説明
（注） appletalk は、コマンドラインのヘルプ ストリングには表示されますが、一致条件としてはサポートされていません。
IPX トラフィックをフィルタリングするには、使用されている IPX カプセル化のタイプに応じて、 type mask または lsap lsap mask キーワードを使用します。 表 2-9 に、Novell 用語と Cisco IOS 用語での IPX カプセル化タイプに対応するフィルタ条件を一覧表示します。
|
|
|
|
|---|---|---|
|
|
|
|
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
mac access-list extended グローバル コンフィギュレーション コマンドを使用して、MAC アクセス リスト コンフィギュレーション モードを開始します。
host キーワードを使用した場合、アドレス マスクは入力できません。 host キーワードを使用しない場合は、アドレス マスクを入力する必要があります。
アクセス コントロール エントリ（ACE）が ACL に追加された場合、リストの最後には暗黙の deny - any - any 条件が存在します。つまり、一致がない場合にはパケットは拒否されます。ただし、最初の ACE が追加される前に、リストはすべてのパケットを許可します。
名前付き MAC 拡張アクセス リストの詳細については、このリリースに対応するソフトウェア コンフィギュレーション ガイドを参照してください。
例
次の例では、すべての送信元から MAC アドレス 00c0.00a0.03fa への NETBIOS トラフィックを拒否する名前付き MAC 拡張アクセス リストを定義する方法を示します。このリストに一致するトラフィックは拒否されます。
次の例では、名前付き MAC 拡張アクセス リストから拒否条件を削除する方法を示します。
次の例では、Ethertype 0x4321 のすべてのパケットを拒否します。
関連コマンド
|
|
|
|---|---|
diagnostic monitor
ヘルス モニタリング診断テストを設定するには、 diagnostic monitor グローバル コンフィギュレーション コマンドを使用します。テストをディセーブルにし、デフォルト設定に戻すには、このコマンドの no 形式を使用します。
diagnostic monitor test { test-id | test-id-range | all }
diagnostic monitor interval test { test-id | test-id-range | all } hh:mm:ss milliseconds day
diagnostic monitor threshold test { test-id | test-id-range | all } count failure count
no diagnostic monitor test { test-id | test-id-range | all }
no diagnostic monitor interval test { test-id | test-id-range | all }
no diagnostic monitor threshold test { test-id | test-id-range | all } failure coun t
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
• test-id ：テスト ID リストを表示するには、 show diagnostic content 特権 EXEC コマンドを 使用 します 。
• test-id-range ：テスト ID リストを表示するには、 show diagnostic content コマンドを 使用 します 。カンマおよびハイフンで区切られた整数で範囲を入力します（例：1,3-6 はテスト ID 1、3、4、5 および 6）。
• milliseconds： ミリ秒（0 ～ 999）を入力します。
diagnostic monitor test { test-id | test-id-range | all } コマンドを入力する場合は、次の注意事項に従ってください。
• すべての接続ポートをディセーブルにし、ネットワーク トラフィックを隔離します。テスト中はテスト パケットを送出できません。
例
次の例では、2 分ごとに指定したテストを行うように設定する方法を示します。
Switch(config)# diagnostic monitor interval test 1 00:02:00 0 1
次の例では、ヘルス モニタリング テストが失敗した場合に Syslog メッセージの生成をイネーブルにする方法を示します。
Switch(config)# diagnostic monitor syslog
関連コマンド
|
|
|
|---|---|
diagnostic schedule
診断テストをスケジューリングするには、 diagnostic schedule 特権 EXEC コマンドを使用します。スケジューリングを削除し、デフォルト設定に戻す場合は、このコマンドの no 形式を使用します。
diagnostic schedule test { test-id | test-id-range | all | basic | non-disruptive } { daily hh : mm | on mm dd yyyy hh : mm | weekly day-of-week hh : mm }
no diagnostic schedule test { test-id | test-id-range | all | basic | non-disruptive } { daily hh : mm | on mm dd yyyy hh : mm | weekly day-of-week hh : mm }
構文の説明
テストベースの診断タスクのスケジュール（日単位）を指定します。形式については、「使用上のガイドライン」を参照してください。 |
|
テストベースの診断タスクのスケジュール（週単位）を指定します。形式については、「使用上のガイドライン」を参照してください。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
• test-id ：テスト ID リストを表示するには、 show diagnostic content コマンドを 使用 します 。
• test-id-range ：テスト ID リストを表示するには、 show diagnostic content コマンドを 使用 します 。カンマおよびハイフンで区切られた整数で範囲を入力します（例：1,3-6 はテスト ID 1、3、4、5 および 6）。
• hh : mm ： 2 桁の数字（24 時間表記）で時間および分を入力します。コロン（ : ）が必要です。
• mm： January、February ～ December のように、月を入力します（大文字でも小文字でも可） 。
• day-of-week ： Monday、Tuesday ～ Sunday のように、曜日を入力します（大文字でも小文字でも可） 。
例
次に、特定のスイッチに対して、特定の日時にオンデマンド診断テストを実行するようにスケジューリングする例を示します。
次の例では、毎週特定の時間に診断テストを行うようスケジューリングする方法を示します。
関連コマンド
|
|
|
|---|---|
diagnostic start
特定の診断テストを実行するには、 diagnostic start ユーザ コマンドを使用します。
diagnostic start test { test-id | test-id-range | all | basic | non-disruptive }
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
テスト ID リストを表示するには、 show diagnostic content コマンドを 使用 します 。
test-id-range をカンマおよびハイフンで区切られた整数で入力します（例：1,3-6 はテスト ID 1、3、4、5、および 6）。
例
次の例では、スイッチですべての診断テストを実行する方法を示します。
関連コマンド
|
|
|
|---|---|
dot1x
IEEE 802.1x 認証をグローバルにイネーブルにするには、 dot1x グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
dot1x { critical { eapol | recovery delay milliseconds } | { guest-vlan supplicant } | system-auth-control }
no dot1x { critical { eapol | recovery delay } | { guest-vlan supplicant } | system-auth-control }
（注） credentials name キーワードは、コマンドラインのヘルプ ストリングには表示されますが、サポートされていません。
構文の説明
アクセス不能な認証バイパス パラメータを設定します。詳細については、 dot1x critical（グローバル コンフィギュレーション） コマンドを参照してください。 |
|
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
critical { eapol | recovery delay milliseconds } キーワードが追加されました。 |
使用上のガイドライン
IEEE 802.1x 認証をグローバルにイネーブルにする前に、Authentication, Authorization and Accounting（AAA; 認証、許可、アカウンティング）をイネーブルにし、認証方式リストを指定する必要があります。方式リストには、ユーザの認証に使用する順序と認証方式が記述されています。
スイッチの IEEE 802.1x 認証をグローバルにイネーブルにする前に、IEEE 802.1x 認証および EtherChannel が設定されているインターフェイスから EtherChannel の設定を削除します。
EAP-Transparent LAN Service（TLS; 透過型 LAN サービス）および EAP-MD5 で IEEE 802.1x を認証する Cisco Access Control Server（ACS）アプリケーションが稼動する装置を使用している場合、装置が ACS バージョン 3.2.1 以降で稼動していることを確認します。
スイッチで任意の IEEE 802.1x ゲスト VLAN 動作をグローバルにイネーブルにするには、 guest-vlan supplicant キーワードを使用できます。詳細については、 dot1x guest-vlan コマンドを参照してください。
例
次の例では、スイッチで IEEE 802.1x 認証をグローバルにイネーブルにする方法を示します。
次の例では、スイッチで任意のゲスト VLAN 動作をグローバルにイネーブルにする方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show dot1x [ interface interface-id ] |
dot1x auth-fail max-attempts
ポートが制限 VLAN に移行するまでに許容可能な最大認証試行回数を設定するには、 dot1x auth-fail max-attempts インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
dot1x auth-fail max-attempts max-attempts
no dot1x auth-fail max-attempts
構文の説明
ポートが制限 VLAN に移行するまでに許容される最大の認証試行回数を指定します。指定できる範囲は 1 ～ 3 です。デフォルト値は 3 です。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
VLAN で許容される最大の認証試行回数を再設定する場合、変更内容は再認証タイマーが期限切れになったあとで反映されます。
例
次の例では、ポート 3 の制限 VLAN にポートが移行する前に許容される最大の認証試行回数を 2 に設定する方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
dot1x auth-fail vlan [ vlan id] |
|
dot1x max-reauth-req [ count] |
|
show dot1x [ interface interface-id ] |
dot1x auth-fail vlan
ポートで制限 VLAN をイネーブルにするには、 dot1x auth-fail vlan インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
次のように設定されたポートで制限 VLAN を設定できます。
再認証をイネーブルにする必要があります。ディセーブルになっていると、制限 VLAN のポートは再認証要求を受け取りません。再認証プロセスを開始するには、制限 VLAN がポートからリンクダウン イベントまたは Extensible Authentication Protocol（EAP）ログオフ イベントを受け取る必要があります。ホストがハブを介して接続されている場合、ホストが切断されているとポートがリンクダウン イベントを受け取ることができず、次の再認証試行が行われるまで新しいホストが検出されないことがあります。
サプリカントが認証に失敗すると、ポートは制限 VLAN に移行し、EAP 認証成功 メッセージがサプリカントに送信されます。サプリカントには実際の認証失敗が通知されないため、この制限ネットワーク アクセスに混乱が生じることがあります。EAP の成功メッセージは、次の理由で送信されます。
• EAP の成功メッセージが送信されない場合、サプリカントは 60 秒ごと（デフォルト）に EAP 開始メッセージを送信して認証を行おうとします。
• 一部のホスト（たとえば、Windows XP を実行中のデバイス）は、EAP の成功メッセージを受け取るまで DHCP を実行できません。
サプリカントは、認証から EAP 成功メッセージを受け取ったあとに不正なユーザ名とパスワードの組み合わせをキャッシュし、再認証のたびにその情報を使用する可能性があります。サプリカントが正しいユーザ名とパスワードの組み合わせを送信するまで、ポートは制限 VLAN のままになります。
レイヤ 3 ポートに使用する内部 VLAN は、制限 VLAN として設定することはできません。
VLAN を制限 VLAN と音声 VLAN の両方に設定することはできません。そのように設定すると、Syslog メッセージが生成されます。
制限 VLAN ポートが無許可ステートに移行すると、認証プロセスが再起動されます。サプリカントが再度認証プロセスに失敗すると、認証は保持ステートで待機します。サプリカントが正常に再認証されたあと、すべての IEEE 802.1x ポートが再初期化され、通常の IEEE 802.1x ポートとして扱われます。
制限 VLAN を異なる VLAN として再設定すると、制限 VLAN のポートも移行し、そのポートは現在認証されたステートのままになります。
制限 VLAN をシャットダウンするか VLAN データベースから削除すると、制限 VLAN のポートはただちに無許可ステートに移行し、認証プロセスが再起動します。制限 VLAN 設定がまだ存在するため、認証は保持ステートで待機しません。制限 VLAN が非アクティブである間も、制限 VLAN がアクティブになったときにポートがただちに制限 VLAN になるように、すべての認証試行がカウントされます。
制限 VLAN は、シングルホスト モード（デフォルトのポート モード）でのみサポートされます。そのため、ポートが制限 VLAN になると、サプリカントの MAC アドレスが MAC アドレス テーブルに追加され、ポートに表示される他の MAC アドレスは、セキュリティ違反として扱われます。
例
次の例では、ポート 1 で制限 VLAN を設定する方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
dot1x auth-fail max-attempts [ max-attempts] |
|
show dot1x [ interface interface-id ] |
dot1x control-direction
WoL 機能を搭載した IEEE 802.1x 認証をイネーブルにし、ポート制御を単一方向または双方向に設定するには、 dot1x control-direction インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
dot1x control-direction { both | in }
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デフォルト設定の双方向モードに戻すには、このコマンドの both キーワードまたは no 形式を使用します。
WoL の詳細については、ソフトウェア コンフィギュレーション ガイドの「Configuring IEEE 802.1x Port-Based Authentication」の章の「Using IEEE 802.1x Authentication with Wake-on-LAN」を参照してください。
例
設定を確認するには、 show dot1x all 特権 EXEC コマンドを入力します。
show dot1x all 特権 EXEC コマンド出力は、ポート名とポートのステートを除き、すべてのスイッチで同一です。ホストがポートに接続されていてまだ認証されていない場合、次のように表示されます。
dot1x control-direction in インターフェイス コンフィギュレーション コマンドを入力して単一方向制御をイネーブルにする場合、これが show dot1x all コマンド出力で次のように表示されます。
dot1x control-direction in インターフェイス コンフィギュレーション コマンドを入力しても、設定の競合によりポートでこのモードをサポートできない場合、 show dot1x all コマンド出力で次のように表示されます。
関連コマンド
|
|
|
|---|---|
show dot1x [ all | interface interface-id ] |
dot1x credentials（グローバル コンフィギュレーション）
サプリカント スイッチにプロファイルを設定するには、dot1x credentials グローバル コンフィギュレーション コマンドを使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、スイッチをサプリカントとして設定する方法を示します。
関連コマンド
|
|
|
|---|---|
dot1x critical（グローバル コンフィギュレーション）
アクセス不能な認証バイパス機能（クリティカル認証または Authentication, Authorization and Accounting（AAA; 認証、許可、アカウンティング）失敗ポリシーとも言う）のパラメータを設定するには、 dot1x critical グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
dot1x critical { eapol | recovery delay milliseconds }
no dot1x critical { eapol | recovery delay }
構文の説明
スイッチによりクリティカルなポートが critical-authentication ステートに置かれた場合、EAPOL-Success メッセージを送信するようスイッチを指定します。 |
|
デフォルト
クリティカルなポートを critical-authentication ステートに置くことによって認証に成功した場合に、スイッチは EAPOL-Success メッセージをホストに送信しません。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
クリティカルなポートが critical-authentication ステートに置かれた場合、スイッチが EAPOL-Success メッセージを送信するよう指定するには、 eapol キーワードを使用します。
使用不能な RADIUS サーバが使用可能になった場合に、スイッチがクリティカルなポートを再初期化するために待機するリカバリ遅延期間を設定するには、 recovery delay milliseconds キーワードを使用します。デフォルトのリカバリ遅延期間は 1000 ミリ秒です。ポートは、秒単位で再初期化できます。
アクセス不能な認証バイパスをポート上でイネーブルにするには、 dot1x critical インターフェイス コンフィギュレーション コマンドを使用します。スイッチがクリティカルなポートに割り当てるアクセス VLAN を設定するには、 dot1x critical vlan vlan-id インターフェイス コンフィギュレーション コマンドを使用します。
例
次の例では、リカバリ遅延期間として 200 をスイッチに設定する方法を示します。
関連コマンド
|
|
|
|---|---|
dot1x critical（インターフェイス コンフィギュレーション）
アクセス不能な認証バイパス機能（クリティカル認証または Authentication, Authorization and Accounting（AAA; 認証、許可、アカウンティング）失敗ポリシーとも言う）をイネーブルにするには、 dot1x critical インターフェイス コンフィギュレーション コマンドを使用します。ポートが critical-authentication ステートに置かれた場合に、スイッチがクリティカルなポートに割り当てるアクセス VLAN を設定することもできます。この機能をディセーブルにするか、またはデフォルトに戻すには、このコマンドの no 形式を使用します。
dot1x critical [ recovery action reinitialize | vlan vlan-id ]
no dot1x critical [ recovery | vlan ]
構文の説明
アクセス不能な認証バイパスのリカバリ機能をイネーブルにし、認証サーバが使用可能になった場合にリカバリ アクションによりポートを認証するよう指定します。 |
|
スイッチがクリティカルなポートに割り当てることのできるアクセス VLAN を指定します。指定できる範囲は 1 ～ 4094 です。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
ポートが critical-authentication ステートに置かれた場合にスイッチがクリティカルなポートに割り当てるアクセス VLAN を指定するには、 vlan vlan-id キーワードを使用します。指定された VLAN タイプは、次のポート タイプに適合している必要があります。
• クリティカルなポートがアクセス ポートの場合、VLAN はアクセス VLAN でなければなりません。
• クリティカルなポートがプライベート VLAN のホスト ポートである場合、VLAN はセカンダリ プライベート VLAN でなければなりません。
• クリティカルなポートがルーテッド ポートの場合、VLAN を指定できます（指定は任意）。
クライアントで Windows XP を稼動し、クライアントが接続されているクリティカル ポートが critical-authentication ステートである場合、Windows XP はインターフェイスが認証されていないことを報告します。
Windows XP クライアントで DHCP が設定され、DHCP サーバからの IP アドレスがある場合、クリティカル ポートで EAP 認証成功メッセージを受信しても DHCP 設定プロセスを再初期化しません。
アクセス不能認証バイパス機能および制限 VLAN を IEEE 802.1x ポート上に設定できます。スイッチが制限付き VLAN でクリティカル ポートの再認証を試行し、RADIUS サーバがすべて使用できない場合、ポートの状態はクリティカル認証ステートに移行し、ポートは制限付き VLAN のままとなります。
例
次の例では、ポートのアクセス不能認証バイパス機能をイネーブルにする方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show dot1x [ interface interface-id ] |
dot1x default
IEEE 802.1x パラメータをデフォルト値にリセットするには、 dot1x default インターフェイス コンフィギュレーション コマンドを使用します。
構文の説明
デフォルト
• ポート単位の IEEE 802.1x プロトコルのイネーブル ステートはディセーブルです（force-authorized）。
コマンド モード
コマンド履歴
|
|
|
|---|---|
例
次の例では、ポート上の IEEE 802.1x パラメータをリセットする方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show dot1x [ interface interface-id ] |
dot1x fallback
IEEE 802.1x 認証をサポートしないクライアントに対し、Web 認証をフォールバック方式として使用するようにポートを設定するには、 dot1xfallback インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドを入力する前に、スイッチで dot1x port-control auto インターフェイス コンフィギュレーション コマンドを入力する必要があります。
例
次の例では、IEEE 802.1x 認証用に設定されているスイッチ ポートにフォールバック プロファイルを指定する方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show dot1x [ interface interface-id ] |
|
dot1x guest-vlan
アクティブな VLAN を IEEE 802.1x のゲスト VLAN として指定するには、 dot1x guest-vlan インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
構文の説明
アクティブ VLAN を IEEE 802.1x ゲスト VLAN として指定します。指定できる範囲は 1 ～ 4094 です。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
次のいずれかのスイッチポートにゲスト VLAN を設定できます。
• 非プライベート VLAN に属するスタティックアクセス ポート。
• セカンダリ プライベート VLAN に属するプライベート VLAN ポート。スイッチ ポートに接続されるすべてのホストは、端末状態の妥当性の評価に成功したかどうかにかかわらず、プライベート VLAN に割り当てられます。スイッチが、スイッチのプライマリおよびセカンダリ プライベート VLAN の対応付けを使用してプライマリ プライベート VLAN を判別します。
スイッチの IEEE 802.1x ポートごとにゲスト VLAN を設定して、現在 IEEE 802.1x 認証を実行していないクライアント（スイッチに接続されているデバイスまたはワークステーション）へのサービスを制限できます。こうしたユーザは IEEE 802.1x 認証のためにシステムをアップグレードできますが、Windows 98 システムなどのホストでは IEEE 802.1x に対応できません。
IEEE 802.1x ポートでゲスト VLAN をイネーブルにした場合、認証サーバが Extensible Authentication Protocol over LAN（EAPOL）Request/Identity フレームに対する応答を受信しないと、あるいは EAPOL パケットがクライアントから送信されないと、スイッチではクライアントをゲスト VLAN に割り当てます。
スイッチでは、EAPOL パケット履歴が維持されます。リンクの存続中にインターフェイスで別の EAPOL パケットが検出されると、ゲスト VLAN の機能がディセーブルになります。ポートがすでにゲスト VLAN ステートにある場合、ポートは無許可ステートに戻り、認証が再開されます。EAPOL 履歴はリンクの損失でリセットされます。
Cisco IOS Release 12.2(25)SE より前のスイッチでは、EAPOL パケット履歴を保持していなかったため、インターフェイスで EAPOL パケットが検出されたかどうかに関係なく、ゲスト VLAN への認証アクセスに失敗したクライアントを許可しました。Cisco IOS Release 12.2(25)SE で、このオプションの動作をイネーブルにするには、 dot1x guest-vlan supplicant グローバル コンフィギュレーション コマンドを使用します。
ただし、Cisco IOS Release 12.2(25)SEE では、 dot1x guest-vlan supplicant グローバル コンフィギュレーション コマンドはすでにサポートされていません。 dot1x auth-fail vlan vlan-id インターフェイス コンフィギュレーション コマンドを入力すると、制限 VLAN を使用して、認証に失敗したクライアントにネットワーク アクセスを与えることができます。
スイッチ ポートがゲスト VLAN に移行すると、IEEE 802.1x 非対応クライアントはいくつでもアクセスが許可されます。IEEE 802.1x 対応クライアントが、ゲスト VLAN を設定しているポートと同じポートに加入すると、ポートは RADIUS 設定 VLAN またはユーザ設定アクセス VLAN では無許可ステートに移行し、認証が再開されます。
ゲスト VLAN は、シングルホスト モードとマルチホスト モードの IEEE 802.1x ポートでサポートされます。
Remote Switched Port Analyzer（RSPAN）VLAN、プライマリ プライベート VLAN、または音声 VLAN 以外のアクティブなすべての VLAN は、IEEE 802.1x のゲスト VLAN として設定できます。ゲスト VLAN の機能は、内部 VLAN（ルーテッド ポート）またはトランク ポート上ではサポートされません。サポートされるのはアクセス ポートのみです。
DHCP クライアントが接続されている IEEE 802.1x ポートのゲスト VLAN を設定したあと、DHCP サーバからホスト IP アドレスを取得する必要があります。クライアント上の DHCP プロセスが時間切れとなり DHCP サーバからホスト IP アドレスを取得しようとする前に、スイッチ上の IEEE 802.1x 認証プロセスを再起動する設定を変更できます。IEEE 802.1x 認証プロセスの設定を減らします（ dot1x timeout quiet-period および dot1x timeout tx-period インターフェイス コンフィギュレーション コマンド）。設定の減少量は、接続された IEEE 802.1x クライアントのタイプによって異なります。
スイッチは MAC 認証バイパス をサポートします。MAC 認証バイパスは IEEE 802.1x ポートでイネーブルの場合、スイッチは、EAPOL メッセージ交換を待機している間に IEEE 802.1x 認証が期限切れになると、クライアントの MAC アドレスに基づいてクライアントを許可できます。スイッチは、IEEE 802.1x ポート上のクライアントを検出したあとで、クライアントからのイーサネット パケットを待機します。スイッチは、MAC アドレスに基づいたユーザ名およびパスワードを持つ RADIUS-access/request フレームを認証サーバに送信します。認証に成功すると、スイッチはクライアントにネットワークへのアクセスを許可します。認証に失敗すると、スイッチはポートにゲスト VLAN を割り当てます（指定されていない場合）。詳細については、ソフトウェア コンフィギュレーション ガイドの「Configuring IEEE 802.1x Port-Based Authentication」の章の「Using IEEE 802.1x Authentication with MAC Authentication Bypass」を参照してください。
例
次の例では、VLAN 5 を IEEE 802.1x ゲスト VLAN として指定する方法を示します。
次の例では、スイッチの待機時間を 3 秒に設定し、スイッチが EAP-Request/Identity フレームに対するクライアントからの応答を待ち、要求を再送信するまでの秒数を 15 に設定する方法、および IEEE 802.1x ポートが DHCP クライアントに接続されているときに VLAN 2 を IEEE 802.1x ゲスト VLAN としてイネーブルにする方法を示します。
次の例では、オプションのゲスト VLAN の動作をイネーブルにし、VLAN 5 を IEEE 802.1x ゲスト VLAN として指定する方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show dot1x [ interface interface-id ] |
dot1x host-mode
IEEE 802.1x 許可ポート上で、単一ホスト（クライアント）または複数のホストを許可するには、 dot1x host-mode インターフェイス コンフィギュレーション コマンドを使用します。IEEE 802.1x 許可ポート上で、マルチドメイン認証（MDA）をイネーブルにするには、multi-domain キーワードを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
dot1x host-mode { multi-host | single-host | multi-domain }
no dot1x host-mode [ multi-host | single-host | multi-domain }
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドを使用すると、IEEE 802.1x 対応ポートを単一のクライアントに限定したり、複数のクライアントを IEEE 802.1x 対応ポートに接続したりすることができます。マルチホスト モードでは、接続されたホストの 1 つが許可されるだけで、すべてのホストのネットワーク アクセスが許可されます。ポートが無許可ステートになった場合（再認証が失敗した場合、または Extensible Authentication Protocol over LAN [EAPOL]-logoff メッセージを受信した場合）には、接続されたすべてのクライアントがネットワーク アクセスを拒否されます。
ポートで MDA をイネーブルにするには、multi-domain キーワードを使用します。MDA はポートをデータ ドメインと音声ドメインの両方に分割します。MDA により、データ装置と IP Phone などの音声装置（シスコ製品またはシスコ以外の製品）の両方が同じ IEEE 802.1x 対応ポート上で許可されます。
このコマンドを入力する前に、指定のポートで dot1x port-control インターフェイス コンフィギュレーション コマンドが auto に設定されていることを確認します。
例
次の例では、IEEE 802.1x 認証をグローバルにイネーブルにして、ポートの IEEE 802.1x 認証をイネーブルにし、マルチホスト モードをイネーブルにする方法を示します。
次の例では、IEEE 802.1x 認証をグローバルにイネーブルにし、IEEE 802.1x 認証をイネーブルにし、指定したポートで MDA をイネーブルにする方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show dot1x [ interface interface-id ] |
dot1x initialize
ポート上で新しく認証セッションを開始する前に、指定の IEEE 802.1x 対応ポートを手動で無許可ステートに戻すには、 dot1x initialize 特権 EXEC コマンドを使用します。
dot1x initialize [ interface interface-id ]
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、IEEE 802.1x ステート マシンを初期化し、新たな認証環境を設定します。このコマンドを入力したあと、ポートの状態は無許可になります。
例
ポート ステータスが無許可になっていることを確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show dot1x [ interface interface-id ] |
dot1x mac-auth-bypass
MAC 認証バイパス機能をイネーブルにするには、 dot1x mac-auth-bypass インターフェイス コンフィギュレーション コマンドを使用します。MAC 認証バイパス機能をディセーブルにするには、このコマンドの no 形式を使用します。
dot1x mac-auth-bypass [ eap | timeout inactivity value ]
構文の説明
（任意）認証に Extensible Authentication Protocol（EAP）を使用するようスイッチを設定します。 |
|
（任意）接続されたホストが無許可ステートになる前に非アクティブである秒数を設定します。指定できる範囲は 1 ～ 65535 です。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
特に記載がない限り、MAC 認証バイパス機能の使用上のガイドラインは IEEE 802.1x 認証の使用上のガイドラインと同じです。
ポートが MAC アドレスで認証されたあとで、ポートから MAC 認証バイパス機能をディセーブルにした場合、ポート ステートには影響ありません。
ポートが未許可ステートであり、クライアント MAC アドレスが認証サーバ データベースにない場合、ポートは未許可ステートのままです。ただし、クライアント MAC アドレスがデータベースに追加されると、スイッチは MAC 認証バイパス機能を使用してポートを再認証できます。
ポートが認証ステートにない場合、再認証が行われるまでポートはこのステートを維持します。
リンクのライフタイム中に EAPOL パケットがインターフェイス上で検出された場合、スイッチは、そのインターフェイスに接続されているデバイスが IEEE 802.1x 対応サプリカントであることを確認し、（MAC 認証バイパス機能ではなく）IEEE 802.1x 認証を使用してインターフェイスを認証します。
MAC 認証バイパスで認証されたクライアントは再認証できます。
MAC 認証バイパスおよび IEEE 802.lx 認証の相互作用の詳細については、ソフトウェア コンフィギュレーション ガイドの「Configuring IEEE 802.1x Port-Based Authentication」の章の「Understanding IEEE 802.1x Authentication with MAC Authentication Bypass」および「IEEE 802.1x Authentication Configuration Guidelines」を参照してください。
例
次の例では、MAC 認証バイパスをイネーブルにし、認証に EAP を使用するようスイッチを設定する方法を示します。
次の例では、MAC 認証バイパスをイネーブルにし、接続されたホストが 30 秒間非アクティブである場合にタイムアウトを設定する方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show dot1x [ interface interface-id ] |
dot1x max-reauth-req
ポートが無許可ステートに変わるまでに、スイッチが認証プロセスを再起動する上限回数を設定するには、 dot1x max-reauth-req インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドのデフォルト値は、リンクの信頼性が低下した場合や、特定のクライアントおよび認証サーバの動作に問題がある場合など、異常な状況に対する調整を行う必要があるときに限って変更してください。
例
次の例では、ポートが無許可ステートに移行する前に、スイッチが認証プロセスを再起動する回数を 4 に設定する方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
スイッチが認証プロセスを再起動する前に、EAP フレームを認証サーバに送信する最高回数を設定します（応答を受信しないと仮定）。 |
|
dot1x timeouttx-period |
スイッチが EAP-Request/Identity フレームに対するクライアントからの応答を待ち、要求を再送信するまでの秒数を設定します。 |
show dot1x [ interface interface-id ] |
dot1x max-req
スイッチが認証プロセスを再始動する前に、Extensible Authentication Protocol（EAP）フレームを認証サーバからクライアントに送信する最大回数を設定するには（応答を受信しないことが前提） dot1x max-req インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
構文の説明
スイッチが EAPOL DATA パケットの再送信を試みる回数。この回数に達すると、認証プロセスが再起動されます。たとえば、認証プロセスの途中にサプリカントがあって問題が発生した場合、オーセンティケータがデータ要求を 2 回再送信し、応答がなければプロセスを中止します。指定できる範囲は 1 ～ 10 であり、デフォルト値は 2 です。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドのデフォルト値は、リンクの信頼性が低下した場合や、特定のクライアントおよび認証サーバの動作に問題がある場合など、異常な状況に対する調整を行う必要があるときに限って変更してください。
例
次の例では、認証プロセスを再起動する前に、スイッチが EAP フレームを認証サーバからクライアントに送信する回数を 5 回に設定する方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
dot1x timeouttx-period |
スイッチが EAP-Request/Identity フレームに対するクライアントからの応答を待ち、要求を再送信するまでの秒数を設定します。 |
show dot1x [ interface interface-id ] |
dot1x multiple-hosts
過去のリリースで、dot1x multiple-hosts インターフェイス コンフィギュレーション コマンドは、IEEE 802.1x の許可ポートで複数のホスト（クライアント）を設定するために使用されていました。
コマンド履歴
|
|
|
|---|---|
関連コマンド
|
|
|
|---|---|
dot1x pae
IEEE 802.1x Port Access Entity（PAE）オーセンティケータとしてポートを設定するには、 dot1x pae インターフェイス コンフィギュレーション コマンドを使用します。IEEE 802.1x 認証をポート上でディセーブルにするには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
ポートは IEEE 802.1x PAE オーセンティケータではありません。IEEE 802.1x 認証はポート上でディセーブルです。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
IEEE 802.1x 認証をポート上でディセーブルにする場合は、このコマンドの no dot1x pae 形式を使用します。
dot1x port-control インターフェイス コンフィギュレーション コマンドを入力するなどしてポート上で IEEE 802.1x 認証を設定した場合、スイッチは自動的にポートを IEEE 802.1x オーセンティケータとして設定します。オーセンティケータの PAE 動作は、 no dot1x pae インターフェイス コンフィギュレーション コマンドを入力したあとでディセーブルになります。
例
次の例では、ポートの IEEE 802.1x 認証をディセーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
dot1x port-control
ポートの許可ステートを手動で制御するには、 dot1x port-control インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
dot1x port-control { auto | force-authorized | force-unauthorized }
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
特定のポートの IEEE 802.1x 認証をイネーブルにする前に、 dot1x system-auth-control グローバル コンフィギュレーション コマンドを使用して、スイッチの IEEE 802.1x 認証をグローバルにイネーブルにする必要があります。
IEEE 802.1x 標準は、レイヤ 2 のスタティック アクセス ポート、音声 VLAN のポート、およびレイヤ 3 のルーテッド ポート上でサポートされます。
ポートが、次の項目の 1 つとして設定されていない場合に auto キーワードを使用できます。
• トランク ポート：トランク ポートで IEEE 802.1x 認証をイネーブルにしようとすると、エラー メッセージが表示され、IEEE 802.1x はイネーブルになりません。IEEE 802.1x 対応ポートのモードをトランクに変更しようとしても、エラー メッセージが表示され、ポート モードは変更されません。
• ダイナミック ポート：ダイナミック モードのポートは、ネイバーとトランク ポートへの変更をネゴシエートする場合があります。ダイナミック ポートで IEEE 802.1x 認証をイネーブルにしようとすると、エラー メッセージが表示され、IEEE 802.1x 認証はイネーブルになりません。IEEE 802.1x 対応ポートのモードをダイナミックに変更しようとしても、エラー メッセージが表示され、ポート モードは変更されません。
• ダイナミック アクセス ポート：ダイナミック アクセス（VLAN Query Protocol（VQP））ポートで IEEE 802.1x 認証をイネーブルにしようとすると、エラー メッセージが表示され、IEEE 802.1x 認証はイネーブルになりません。IEEE 802.1x 対応ポートを変更してダイナミック VLAN を割り当てようとしても、エラー メッセージが表示され、VLAN 設定は変更されません。
• EtherChannel ポート：アクティブまたはアクティブでない EtherChannel メンバーを IEEE 802.1x ポートとして設定しないでください。EtherChannel ポートで IEEE 802.1x 認証をイネーブルにしようとすると、エラー メッセージが表示され、IEEE 802.1x 認証はイネーブルになりません。
• スイッチド ポート アナライザ（SPAN）および Remote SPAN（RSPAN）宛先ポート：SPAN または RSPAN 宛先ポートであるポートの IEEE 802.1x 認証をイネーブルにできます。ただし、そのポートが SPAN または RSPAN 宛先として削除されるまで、IEEE 802.1x 認証はディセーブルのままです。SPAN または RSPAN 送信元ポートでは IEEE 802.1x 認証をイネーブルにできます。
スイッチの IEEE 802.1x 認証をグローバルにディセーブルにするには、 no dot1x system-auth-control グローバル コンフィギュレーション コマンドを使用します。特定のポートの IEEE 802.1x 認証をディセーブルにするには、 no dot1x port-control インターフェイス コンフィギュレーション コマンドを使用します。
例
次の例では、ポートの IEEE 802.1x 認証をイネーブルにする方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show dot1x [ interface interface-id ] |
dot1x re-authenticate
指定の IEEE 802.1x 対応ポートの再認証を手動で開始するには、 dot1x re-authenticate 特権 EXEC コマンドを使用します。
dot1x re-authenticate [ interface interface-id ]
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドを使用すると、再認証試行間隔（re-authperiod）および自動再認証の設定秒数を待たずにクライアントを再認証できます。
例
次の例では、ポートに接続されたデバイスを手動で再認証する方法を示します。
関連コマンド
|
|
|
|---|---|
dot1x timeout reauth-period |
dot1x re-authentication
過去のリリースで、 dot1x re-authentication グローバル コンフィギュレーション コマンドは、定期的な再認証の試行間隔を設定するために使用されていました。
コマンド履歴
|
|
|
|---|---|
関連コマンド
|
|
|
|---|---|
dot1x reauthentication
クライアントの定期的な再認証をイネーブルにするには、 dot1x reauthentication インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
dot1x timeout reauth-period インターフェイス コンフィギュレーション コマンドを使用して、定期的再認証の試行間隔の時間を設定します。
例
次の例では、クライアントの定期的な再認証をディセーブルにする方法を示します。
次の例では、定期的な再認証をイネーブルにし、再認証の間隔を 4000 秒に設定する方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
dot1x timeout reauth-period |
|
show dot1x [ interface interface-id ] |
dot1x supplicant force-multicast
サプリカント スイッチが、マルチキャストまたはユニキャスト EAPOL パケットを受信したときには必ず強制的にマルチキャスト Extensible Authentication Protocol over LAN（EAPOL）パケット だけ を送信するようにするには、 dot1x supplicant force-multicast グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
dot1x supplicant force-multicast
no dot1x supplicant force-multicast
構文の説明
デフォルト
サプリカント スイッチは、ユニキャスト EAPOL パケットを受信した場合には、ユニキャスト EAPOL パケットを送信します。同様に、マルチキャスト EAPOL パケットを受信した場合には、マルチキャスト EAPOL パケットを送信します。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
Network Edge Access Topology（NEAT）がすべてのホスト モードで機能するようにするには、サプリカント スイッチ上でこのコマンドをイネーブルにします。
例
次の例では、サプリカント スイッチからオーセンティケータ スイッチに強制的にマルチキャスト EAPOL パケットを送信させる方法を示します。
関連コマンド
|
|
|
|---|---|
スイッチ上での Client Information Signalling Protocol（CISP）をイネーブルにして、スイッチがサプリカント スイッチに対してオーセンティケータとして機能するようにします。 |
|
dot1x test eapol-capable
すべてのスイッチ ポート上の IEEE 802.1x アクティビティをモニタし、IEEE 802.1x をサポートするポートに接続されたデバイスに関する情報を表示するには、 dot1x test eapol-capable 特権 EXEC コマンドを使用します。
dot1x test eapol-capable [ interface interface-id ]
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
スイッチ上のすべてのポートまたは特定のポートに接続されたデバイスの IEEE 802.1x 機能をテストするには、このコマンドを使用します。
例
次の例では、スイッチ上の IEEE 802.1x 状態チェックをイネーブルにしてポートを照会する方法を示します。また、照会済みポートから受信した応答も示し、接続しているデバイスが IEEE 802.1x 対応であることを確認します。
関連コマンド
|
|
|
|---|---|
dot1x test timeout timeout |
dot1x test timeout
IEEE 802.1x 状態について照会されるポートからの EAPOL 応答を待つのに使用するタイムアウトを設定するには、 dot1x test timeout グローバル コンフィギュレーション コマンドを使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、スイッチが EAPOL 応答を待つ時間を 27 秒に設定する方法を示します。
関連コマンド
|
|
|
|---|---|
dot1x test eapol-capable [ interface interface-id ] |
すべてのまたは指定された IEEE 802.1x 対応ポートに接続されたデバイス上の IEEE 802.1x 状態をチェックします。 |
dot1x timeout
IEEE 802.1x タイマーを設定するには、 dot1x timeout インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
dot1x timeout { quiet-period seconds | ratelimit-period seconds | reauth-period { seconds | server } | server-timeout seconds | supp-timeout seconds | tx-period seconds }
no dot1x timeout { quiet-period | reauth-period | server-timeout | supp-timeout | tx-period }
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
server-timeout 、 supp-timeout 、および tx-period キーワードの範囲が変更されました。 |
|
tx-period キーワードの範囲が変更され、 reauth-period server キーワードが追加されました。 |
|
使用上のガイドライン
このコマンドのデフォルト値は、リンクの信頼性が低下した場合や、特定のクライアントおよび認証サーバの動作に問題がある場合など、異常な状況に対する調整を行う必要があるときに限って変更してください。
dot1x reauthentication インターフェイス コンフィギュレーション コマンドを使用して定期的な再認証をイネーブルにした場合のみ、 dot1x timeout reauth-period インターフェイス コンフィギュレーション コマンドは、スイッチの動作に影響します。
待機時間の間、スイッチはどのような認証要求も受け付けず、開始もしません。デフォルトよりも小さい値を入力することによって、ユーザへの応答時間を短縮できます。
ratelimit-period が 0（デフォルト）に設定された場合、スイッチは認証に成功したクライアントからの EAPOL パケットを無視し、それらを RADIUS サーバに転送します。
例
次の例では、定期的な再認証をイネーブルにし、再認証の間隔を 4000 秒に設定する方法を示します。
次の例では、定期的な再認証をイネーブルにし、再認証の間隔としてセッションタイムアウト RADIUS 属性の値を指定する方法を示します。
次の例では、スイッチの待機時間を 30 秒に設定する方法を示します。
次の例では、スイッチから認証サーバへの再送信時間を 45 秒に設定する方法を示します。
次の例では、EAP request フレームに対するスイッチからクライアントへの再送信時間を 45 秒に設定する方法を示します。
次の例では、EAP-Request/Identity フレームに対するクライアントからの応答を待ち、要求を再送信するまでの時間を 60 秒に設定する方法を示します。
次の例では、認証に成功したクライアントからの EAPOL パケットをスイッチが無視する秒数を 30 と設定する方法を示します。
関連コマンド
|
|
|
|---|---|
スイッチが、認証プロセスを再始動する前に、EAP-Request/Identity フレームを送信する最高回数を設定します。 |
|
dot1x violation-mode
新しいデバイスがポートに接続された場合、または最大数のデバイスがポートに接続されたあとに新しいデバイスがそのポートに接続された場合に発生する違反モードを設定するには、 dot1x violation-mode インターフェイス コンフィギュレーション コマンドを使用します。
dot1x violation-mode {shutdown | restrict | protect}
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
例
次の例では、IEEE 802.1x 対応ポートを errordisable として設定し、新しいデバイスがポートに接続されたときにシャットダウンする方法を示します。
次の例では、新しいデバイスがポートに接続されたときにシステム エラー メッセージを生成し、ポートを制限モードに変更するよう IEEE 802.1x 対応ポートを設定する方法を示します。
次の例では、新しいデバイスがポートに接続されたときにデバイスを無視するよう IEEE 802.1x 対応ポートを設定する方法を示します。
設定を確認するには、 show dot1x [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show dot1x [ interface interface-id ] |
duplex
ポートがデュプレックス モードで動作するよう指定するには、 duplex インターフェイス コンフィギュレーション コマンドを使用します。ポートをデフォルト値に戻すには、このコマンドの no 形式を使用します。
構文の説明
自動デュプレックス設定をイネーブルにします。ポートは、接続する装置のモードに応じて、全二重または半二重のどちらのモードで稼動する必要があるかを自動的に検出します。 |
|
半二重モードをイネーブルにします（10 または 100 Mb/s で動作するインターフェイス用のみ）。1000 または 10000 Mb/s で動作するインターフェイスに対して半二重モードを設定できません。 |
デフォルト
ファスト イーサネット ポートおよびギガビット イーサネット ポートに対するデフォルトは auto です。
デフォルトは、100BASE-x（-x は -BX、-FX、-FX-FE、または -LX）Small Form-factor Pluggable（SFP）モジュール用の half です。
二重オプションは、1000BASE- x （- x は -BX、-CWDM、-LX、-SX、または -ZX）SFP モジュールではサポートされていません。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
ファスト イーサネット ポートでは、接続された装置がデュプレックス パラメータの自動ネゴシエーションを行わない場合にポートを auto に設定すると、 half を指定するのと同じ効果があります。
ギガビット イーサネット ポートでは、接続装置がデュプレックス パラメータを自動ネゴシエートしない場合にポートを auto に設定すると、 full を指定するのと同じ効果があります。
（注） デュプレックス モードが auto で接続されている装置が半二重で動作している場合、半二重モードはギガビット イーサネット インターフェイスでサポートされます。ただし、これらのインターフェイスを半二重モードで動作するように設定することはできません。
特定のポートを全二重または半二重のどちらかに設定できます。このコマンドの適用可能性は、スイッチが接続されているデバイスによって異なります。
回線の両方のエンドが自動ネゴシエーションをサポートしている場合は、デフォルトの自動ネゴシエーション設定を使用することを強く推奨します。片方のインターフェイスが自動ネゴシエーションをサポートし、もう片方がサポートしていない場合、両方のインターフェイス上でデュプレックスと速度を設定し、サポートされている側で auto の設定を使用してください。
速度が auto に設定されている場合、スイッチはリンクの反対側のデバイスと速度設定についてネゴシエートし、速度をネゴシエートされた値に強制的に設定します。デュプレックス設定はリンクの両端での設定が引き継がれますが、これにより、デュプレックス設定に矛盾が生じることがあります。
速度が auto に設定されている場合、デュプレックス設定を行うことができます。
スイッチの速度およびデュプレックスのパラメータの設定に関する注意事項は、このリリースに対応するソフトウェア コンフィギュレーション ガイドの「Configuring Interface Characteristics」の章を参照してください。
例
次の例では、インターフェイスを全二重動作に設定する方法を示します。
関連コマンド
|
|
|
|---|---|
epm access-control open
ACL が設定されていないポートに関するオープン ディレクティブを設定するには、スイッチ スタックまたはスタンドアロン スイッチ上で epm access-control open グローバル コンフィギュレーション コマンドを使用します。オープン ディレクティブをディセーブルにするには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
使用上のガイドライン
認証ポリシーを使用せずにホストから静的 ACL で設定されたポートにアクセスできるようにするには、このコマンドを使用します。このコマンドを設定していない場合は、ポートによって、設定された ACL のポリシーがトラフィックに適用されます。ポート上に静的 ACL が設定されていない場合は、デフォルト ディレクティブとオープン ディレクティブの両方でポートにアクセスできます。
例
次の例では、オープン ディレクティブを設定する方法を示します。
関連コマンド
|
|
|
|---|---|
動作設定を表示します。構文情報については、次の Cisco IOS Release 12.2 Command Reference リスティング ページへのリンクを使用します。 http://www.cisco.com/en/US/products/sw/iosswrel/ps1835/prod_command_reference_list.html |
errdisable detect cause
特定の原因、またはすべての原因に対して、errdisable 検出をイネーブルにするには、 errdisable detect cause グローバル コンフィギュレーション コマンドを使用します。errdisable 検出機能をディセーブルにする場合は、このコマンドの no 形式を使用します。
errdisable detect cause { all | arp-inspection | bpduguard | dhcp-rate-limit | dtp-flap | gbic-invalid | inline-power | l2ptguard | link-flap | loopback | pagp-flap | security-violation shutdown vlan | sfp-config-mismatch }
no errdisable detect cause { all | arp-inspection | bpduguard | dhcp-rate-limit | dtp-flap | gbic-invalid | inline-power | l2ptguard | link-flap | loopback | pagp-flap | security-violation shutdown vlan | sfp-config-mismatch }
BPDU ガード機能およびポートセキュリティ機能の場合はこのコマンドを使用し、違反の発生時にポート全体をシャットダウンする代わりに、ポートで問題となっている VLAN だけをシャットダウンするようにスイッチをグローバルに設定できます。
VLAN ごとに errdisable 機能をオフにしていて BPDU ガード違反が発生した場合は、ポート全体がディセーブルになります。VLAN ごとに errdisable 機能をディセーブルにするには、このコマンドの no 形式を使用します。
errdisable detect cause bpduguard shutdown vlan
no errdisable detect cause bpduguard shutdown vlan
構文の説明
コマンド デフォルト
検出はすべての原因に対してイネーブルです。すべての原因（VLAN 単位の errordisable を除く）により、ポート全体をシャットダウンするよう設定されています。
コマンド モード
コマンド履歴
|
|
|
|---|---|
VLAN ごとのエラー検出機能が追加されました。 inline-power キーワードおよび sfp-config-mismatch キーワードが追加されました。 |
|
使用上のガイドライン
原因（link-flap、 dhcp-rate-limit など）は、errdisable ステートが発生した理由です。原因がポートで検出された場合、ポートは errdisable ステート（リンクダウン ステートに類似した動作ステート）となります。
ポートが errdisable になっているときは事実上シャットダウンし、トラフィックはポートで送受信されません。BPDU 機能、音声対応 802.1x セキュリティ機能、ガード機能、およびポートセキュリティ機能の場合は、違反の発生時にポート全体をシャットダウンする代わりに、ポートで問題となっている VLAN のみをシャットダウンするようにスイッチを設定できます。
原因に対して errdisable recovery グローバル コンフィギュレーション コマンドを入力し、原因の回復メカニズムが設定されている場合は、すべての原因がタイムアウトになった時点で、ポートは errdisable ステートから抜け出し、動作を再試行できます。回復メカニズムが設定されていない場合は、手動でポートを errdisable ステートから回復するために、まず shutdown コマンドを入力し、次に no shutdown コマンドを入力する必要があります。
例
次の例では、リンクフラップ errdisable 原因の errdisable 検出をイネーブルにする方法を示します。
Switch(config)# errdisable detect cause link-flap
次のコマンドでは、VLAN ごとの errdisable で BPDU ガードをグローバルに設定する方法を示します。
Switch(config)# errdisable detect cause bpduguard shutdown vlan
次のコマンドでは、音声対応 802.1x セキュリティを VLAN ごとにグローバルに errordisable に設定する方法を示します。
Switch(config)# errdisable detect cause security-violation shutdown vlan
関連コマンド
|
|
|
|---|---|
show interfaces status err-disabled |
|
VLAN ごとの errdisable 機能によって errdisable になったポートまたは VLAN から errdisable ステートを消去します。 |
errdisable detect cause small-frame
着信 VLAN タグ付きパケットが小さなフレーム（67 バイト以下）かつ最小設定レート（しきい値）で着信する場合にスイッチ ポートを errordisable にするには、errdisable detect cause small-frame グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
errdisable detect cause small-frame
no errdisable detect cause small-frame
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、小さなフレームの着信機能をグローバルにイネーブルにします。ポートごとにしきい値を設定するには、small violation-rate インターフェイス コンフィギュレーション コマンドを使用します。
errdisable recovery cause small-frame グローバル コンフィギュレーション コマンドを使用して、ポートを自動的に再イネーブルにするよう設定できます。errdisable recovery interval グローバル コンフィギュレーション コマンド を使用して、リカバリ時間を設定します。
例
次の例では、小さな着信フレームが設定されたしきい値で着信した場合にスイッチ ポートを errordisable にできる方法を示します。
関連コマンド
|
|
|
|---|---|
errdisable recovery cause small-frame
小さなフレームの着信によりポートが errordisable になったあと、ポートを自動的に再イネーブルにするリカバリ タイマーをイネーブルにするには、スイッチで errdisable recovery cause small-frame グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
errdisable recovery cause small-frame
no errdisable recovery cause small-frame
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、errordisable であるポートのリカバリ タイマーをイネーブルにします。errdisable recovery interval interval インターフェイス コンフィギュレーション コマンド を使用して、リカバリ時間を設定します。
例
関連コマンド
|
|
|
|---|---|
着信フレームが設定された最小サイズよりも小さく、指定のレート（しきい値）で着信する場合、スイッチ ポートを errordisable ステートにできます。 |
|
errdisable recovery
回復メカニズム変数を設定するには、 errdisable recovery グローバル コンフィギュレーション コマンドを設定します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
errdisable recovery { cause { all | arp-inspection | bpduguard | channel-misconfig | dhcp-rate-limit | dtp-flap | gbic-invalid | inline-power | l2ptguard | link-flap | loopback | pagp-flap | psecure-violation | security-violation | sfp-mismatch | udld | vmps } | { interval interval }
no errdisable recovery { cause { all | arp-inspection | bpduguard | channel-misconfig | dhcp-rate-limit | dtp-flap | gbic-invalid | inline-power | l2ptguard | link-flap | loopback | pagp-flap | psecure-violation | security-violation | sfp-mismatch | udld | vmps } | { interval interval }
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
VLAN ごとのエラー検出機能が追加されました。inline-power キーワードおよび sfp-mismatch キーワードが追加されました。 |
使用上のガイドライン
原因（ link-flap 、 bpduguard など）は、errdisable ステートが発生した理由として定義されます。原因がポートで検出された場合、ポートは errdisable ステート（リンクダウン ステートに類似した動作ステート）となります。
ポートが errdisable になっているときは事実上シャットダウンし、トラフィックはポートで送受信されません。BPDU ガード機能およびポートセキュリティ機能の場合は、違反の発生時にポート全体をシャットダウンする代わりに、ポートで問題となっている VLAN のみをシャットダウンするようにスイッチを設定できます。
その原因に対して errdisable の回復をイネーブルにしない場合、ポートは、 shutdown および no shutdown インターフェイス コンフィギュレーション コマンドが入力されるまで errdisable ステートのままです。原因の回復をイネーブルにした場合、ポートは errdisable ステートから回復し、すべての原因がタイムアウトになったときに処理を再開できるようになります。
原因の回復をイネーブルにしない場合、まず shutdown コマンドを入力し、次に no shutdown コマンドを入力して、手動でポートを errdisable ステートから回復させる必要があります。
例
次の例では、BPDU ガード errdisable 原因に対して回復タイマーをイネーブルにする方法を示します。
Switch(config)# errdisable recovery cause bpduguard
次の例では、タイマーを 500 秒に設定する方法を示します。
関連コマンド
|
|
|
|---|---|
show interfaces status err-disabled |
|
VLAN ごとの errdisable 機能によって errdisable になったポートまたは VLAN から errdisable ステートを消去します。 |
exception crashinfo
Cisco IOS イメージのエラー時にスイッチで拡張クラッシュ情報ファイルが作成されるよう設定するには、 exception crashinfo グローバル コンフィギュレーション コマンドを使用します。この機能をディセーブルにするには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
基本 crashinfo ファイルには、失敗した Cisco IOS のイメージ名とバージョン、およびプロセッサ レジスタのリストが含まれます。拡張 crashinfo ファイルには、スイッチの障害の原因を判別するのに役立つその他の追加情報が含まれます。
スイッチが拡張 crashinfo ファイルを作成しないように設定するには、 no exception crashinfo グローバル コンフィギュレーション コマンドを使用します。
例
次の例では、スイッチが拡張 crashinfo ファイルを作成しないように設定する方法を示します。
関連コマンド
|
|
|
|---|---|
fallback profile
Web 認証用にフォールバック プロファイルを作成するには、fallback profile グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
フォールバック プロファイルは、サプリカントを持たない IEEE 802.1x ポートの IEEE 802.1x フォールバック動作を定義するために使用されます。サポートされる動作は、Web 認証へのフォールバックのみです。
fallback profile コマンドを入力すると、プロファイル コンフィギュレーション モードが開始され、次のコンフィギュレーション コマンドが使用可能になります。
• access-group：まだ認証されていないホストによって送信されたパケットのアクセス コントロールを指定します。
例
次の例では、Web 認証で使用されるフォールバック プロファイルの作成方法を示します。
Switch(config-if)# end
設定を確認するには、 show running-configuration [ interface interface-id ] 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
IEEE 802.1x 認証をサポートしないクライアント用のフォールバック メカニズムとして Web 認証を使用するようポートを設定します。 |
|
show dot1x [ interface interface-id ] |
|
flowcontrol
インターフェイスの受信フロー制御ステート を設定するには、 flowcontrol インターフェイス コンフィギュレーション コマンドを使用します。ある装置に対して send が動作可能でオンになっていて、接続のもう一方の側で輻輳が検出された場合、休止フレームを送信することによって、リンクの相手側またはリモート装置に輻輳を通知します。ある装置に対してフロー制御 receive がオンで、休止フレームを受信した場合、データ パケットの送信は停止します。こうすることにより、輻輳期間中にデータ パケットの損失を防ぎます。
フロー制御をディセーブルにするには、 receive off キーワードを使用します。
flowcontrol receive { desired | off | on }
（注） スイッチは、ポーズ フレームを受信できますが、送信はできません。
構文の説明
インターフェイスを、フロー制御パケットを送信する必要がある接続装置またはフロー制御パケットを送信する必要はないが送信することのできる接続装置とともに稼動させることができます。 |
|
インターフェイスを、フロー制御パケットを送信する必要がある接続装置またはフロー制御パケットを送信する必要はないが送信することのできる接続装置とともに稼動させることができます。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このスイッチでは、送信フロー制御の休止フレームはサポートされません。
on および desired キーワードは同一の結果になることに注意してください。
flowcontrol コマンドを使用してポートが輻輳中にトラフィック レートを制御するよう設定する場合、フロー制御はポート上で次の条件のうちの 1 つに設定されます。
• receive on または desired ： ポートはポーズ フレームを送信できませんが、ポーズ フレームを送信する必要がある装置、または送信可能な接続装置と連動できます。ポートはポーズ フレームを受信できます。
• receive off ：フロー制御はどちらの方向にも動作しません。輻輳が生じても、リンクの相手側に通知はなく、どちら側の装置も休止フレームの送受信を行いません。
表 2-10 は、各設定の組み合わせによるローカル ポートおよびリモート ポート上のフロー制御の結果を示したものです。表は receive desired キーワードの使用時と receive on キーワードの使用時の結果が同一になることを前提としています。
|
|
|
||
|---|---|---|---|
|
|
|
|
|
例
次の例では、リモート ポートによってフロー制御がサポートされないようにローカル ポートを設定する方法を示します。
関連コマンド
|
|
|
|---|---|
interface port-channel
ポート チャネルの論理インターフェイスへのアクセス、または作成を行うには 、 interface port-channel グローバル コンフィギュレーション コマンドを使用します。ポート チャネルを削除する場合は、このコマンドの no 形式を使用します。
interface port-channel port - channel-number
no interface port-channel port - channel-number
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
レイヤ 2 EtherChannel では、物理ポートをチャネル グループに割り当てる前にポートチャネル インターフェイスを作成する必要はありません。代わりに、 channel-group インターフェイス コンフィギュレーション コマンドを使用できます。チャネル グループが最初の物理ポートを獲得すると、ポートチャネル インターフェイスは自動的に作成されます。最初にポートチャネル インターフェイスを作成する場合は、 channel-group-number を port - channel-number と同じ番号にしても、新しい番号にしてもかまいません。新しい番号を使用した場合、 channel-group コマンドは動的に新しいポート チャネルを作成します。
interface port-channel コマンドの次に no switchport インターフェイス コンフィギュレーション コマンドを使用して、レイヤ 3 のポート チャネルを作成できます。インターフェイスをチャネル グループに適用する前に、ポートチャネルの論理インターフェイスを手動で設定してください。
チャネル グループ内の 1 つのポート チャネルだけが許可されます。
interface port-channel コマンドを使用する場合は、次の注意事項に従ってください。
• Cisco Discovery Protocol（CDP; シスコ検出プロトコル）を使用する場合には、物理ポートのみでこれを設定してください。ポート チャネル インターフェイスでは設定できません。
• EtherChannel のアクティブ メンバーであるポートを IEEE 802.1x ポートとして設定しないでください。まだアクティブになっていない EtherChannel のポートで IEEE 802.1x をイネーブルにしても、そのポートは EtherChannel に加入しません。
設定の注意事項の一覧については、このリリースに対応するソフトウェア コンフィギュレーション ガイドの「Configuring EtherChannels」を参照してください。
例
次の例では、ポート チャネル番号 5 でポートチャネル インターフェイスを作成する方法を示します。
設定を確認するには、 show running-config 特権 EXEC コマンドまたは show etherchannel channel-group-number detail 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
interface range
インターフェイス レンジ コンフィギュレーション モードの開始、および複数のポートでコマンドを同時に実行するには、 interface range グローバル コンフィギュレーション コマンドを使用します。インターフェイス範囲を削除する場合は、このコマンドの no 形式を使用します。
interface range { port-range | macro name }
no interface range { port-range | macro name }
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
インターフェイス範囲コンフィギュレーション モードを開始して入力した、すべてのインターフェイスのパラメータは、その範囲内のすべてのインターフェイスに対する属性になります。
VLAN については、既存の VLAN Switch Virtual Interface（SVI; スイッチ仮想インターフェイス）でだけ interface range コマンドを使用できます。VLAN の SVI を表示する場合は、 show running-config 特権 EXEC コマンドを入力します。表示されない VLAN は、 interface range コマンドで使用することはできません。 interface range コマンドのもとで入力したコマンドは、この範囲のすべての既存の VLAN SVI に適用されます。
あるインターフェイス範囲に対して行われた設定変更は、すべて NVRAM（不揮発性 RAM）に保存されますが、 インターフェイス範囲 自体は NVRAM に保存されません。
範囲内のすべてのインターフェイスは同じタイプ、つまり、すべてがファスト イーサネット ポート、すべてがギガビット イーサネット ポート、すべてが EtherChannel ポート、またはすべてが VLAN のいずれかでなければなりません。ただし、各範囲をカンマ（,）で区切ることにより、1 つのコマンドで最大 5 つのインターフェイス範囲を定義できます。
port-range タイプおよびインターフェイスの有効値は次のとおりです。
• vlan vlan-ID - vlan-ID （vlan ID の範囲は 1 ～ 4094）
• fastethernet module/{ first port } - { last port }（module は常に 0 ）
• gigabitethernet module/{ first port } - { last port }（module は常に 0 ）
– 指定できる範囲は、type 0/number - number です（例：gigabitethernet0/1 - 2）。
• port-channel port-channel-number - port-channel-number 、 port-channel-number は 1 ～ 48 です。
（注） ポート チャネルの interface range コマンドを使用した場合、範囲内の最初と最後のポート チャネル番号はアクティブなポート チャネルである必要があります。
範囲を定義するときは、最初の入力とハイフン（-）の間にスペースが必要です。
複数の範囲を定義するときは、最初のエントリとカンマ（,）の間にスペースが必要です。
同じコマンドでマクロとインターフェイス範囲の両方を指定することはできません。
また、 port-range で単一インターフェイスを指定することもできます。つまりこのコマンドは、 interface interface-id グローバル コンフィギュレーション コマンドに類似しています。
インターフェイスの範囲の設定に関する詳細は、このリリースに対応するソフトウェア コンフィギュレーション ガイドを参照してください。
例
次の例では、 interface range コマンドを使用して、インターフェイス範囲コンフィギュレーション モードを開始し、2 つのポートにコマンドを入力する方法を示します。
次の例では、同じ機能に対して 1 つのポート範囲マクロ macro1 を使用する方法を示します。この利点は、 macro1 を削除するまで再利用できることです。
関連コマンド
|
|
|
|---|---|
interface vlan
動的な Switch Virtual Interface（SVI; スイッチ仮想インターフェイス）を作成、またはこれにアクセスし、インターフェイス コンフィギュレーション モードを開始するには、 interface vlan グローバル コンフィギュレーション コマンドを使用します。SVI を削除するには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
SVI は、特定の VLAN に対して、初めて interface vlan vlan-id コマンドを入力したときに作成されます。 vlan-id は、Inter Switch Link（ISL; スイッチ間リンク）または IEEE 802.1Q カプセル化トランクのデータ フレームに関連付けられた VLAN タグ、またはアクセス ポートに設定された VLAN ID に相当します。
（注） 物理ポートと関連付けられていない場合、SVI を作成してもアクティブにはなりません。
no interface vlan vlan -id コマンドで SVI を削除すると、削除されたインターフェイスは、それ以降、 show interfaces 特権 EXEC コマンドの出力には表示されません。
（注） VLAN 1 インターフェイスを削除することはできません。
削除した SVI は、削除したインターフェイスに対して interface vlan vlan-id コマンドを入力することで、元に戻すことができます。インターフェイスはバックアップとなりますが、それまでの設定は削除されます。
スイッチ上で設定された SVI の数と、設定された他の機能の数の相互関係によっては、ハードウェア制限により、CPU 使用率に影響がでる可能性もあります。 sdm prefer グローバル コンフィギュレーション コマンドを使用し、システムのハードウェア リソースを、テンプレートおよび機能テーブルに基づいて再度割り当てることができます。詳細については、 sdm prefer コマンドを参照してください。
例
次の例では、VLAN ID 23 の新しい SVI を作成し、インターフェイス コンフィギュレーション モードを開始する方法を示します。
設定を確認するには、 show interfaces
および show interfaces vlan vlan-id 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show interfaces vlan vlan-id |
ip access-group
レイヤ 2 またはレイヤ 3 インターフェイスへのアクセスを制御するには、 ip access-group インターフェイス コンフィギュレーション コマンドを使用します。インターフェイスからすべてまたは指定のアクセス グループを削除するには、このコマンドの no 形式を使用します。
ip access-group { access-list-number | name } { in | out }
no ip access-group [ access-list-number | name ] { in | out }
構文の説明
IP アクセス コントロール リスト（ACL）の番号です。指定できる範囲は、1 ～ 199 または 1300 ～ 2699 です。 |
|
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
名前付きまたは番号付きの標準/拡張 IP アクセス リストをインターフェイスに適用できます。名前を付けてアクセス リストを定義するには、 ip access-list グローバル コンフィギュレーション コマンドを使用します。番号付きアクセス リストを定義するには、 access list グローバル コンフィギュレーション コマンドを使用します。1 ～ 99 および 1300 ～ 1999 の範囲の番号付き標準アクセス リスト、または 100 ～ 199 および 2000 ～ 2699 の範囲の番号付き拡張アクセス リストを使用できます。
このコマンドを使用し、アクセス リストをレイヤ 2 またはレイヤ 3 のインターフェイスに適用できます。ただし、レイヤ 2 インターフェイス（ポート ACL）には、次のような制限があることに注意してください。
• レイヤ 2 ポートへの ACL は、受信方向に対してのみ適用できます。
• インターフェイスごとに 1 つの IP ACL と 1 つの MAC（メディア アクセス制御）ACL のみを適用できます。
• レイヤ 2 のインターフェイスはロギングをサポートしていません。 log キーワードが IP ACL で指定された場合、無視されます。
• レイヤ 2 のインターフェイスに適用された IP ACL は、IP パケットのみをフィルタにかけます。非 IP パケットをフィルタリングするには、MAC 拡張 ACL とともに mac access-group インターフェイス コンフィギュレーション コマンドを使用します。
ユーザは同一のスイッチ上で、ルータ ACL、入力ポート ACL、VLAN マップを使用できます。ただし、ポートの ACL は、ルータの ACL または VLAN マップより優先されます。
• 入力ポートの ACL がインターフェイスに適用され、さらにインターフェイスがメンバーとなっている VLAN に VLAN マップが適用された場合、ACL のポート上で受信した着信パケットは、そのポート ACL でフィルタリングされます。その他のパケットは、VLAN マップによってフィルタリングされます。
• 入力ルータの ACL および入力ポートの ACL が SVI に存在している場合、ポートの ACL が適用されたポート上で受信された着信パケットには、ポート ACL のフィルタが適用されます。他のポートで受信した着信のルーティング IP パケットには、ルータ ACL のフィルタが適用されます。他のパケットはフィルタリングされません。
• 出力ルータの ACL および入力ポートの ACL が SVI に存在している場合、ポートの ACL が適用されたポート上で受信された着信パケットには、ポート ACL のフィルタが適用されます。発信するルーティング IP パケットには、ルータ ACL のフィルタが適用されます。他のパケットはフィルタリングされません。
• VLAN マップ、入力ルータの ACL、および入力ポートの ACL が SVI に存在している場合、ポートの ACL が適用されたポート上で受信された着信パケットには、ポート ACL のフィルタのみが適用されます。他のポートで受信した着信のルーティング IP パケットには、VLAN マップおよびルータ ACL のフィルタが適用されます。他のパケットには、VLAN マップのフィルタのみ適用されます。
• VLAN マップ、出力ルータの ACL、および入力ポートの ACL が SVI に存在している場合、ポートの ACL が適用されたポート上で受信された着信パケットには、ポート ACL のフィルタのみが適用されます。発信するルーティング IP パケットには、VLAN マップおよびルータ ACL のフィルタが適用されます。他のパケットには、VLAN マップのフィルタのみ適用されます。
IP ACL は、送信側と受信側のレイヤ 3 インターフェイスの両方に適用できます。
レイヤ 3 のインターフェイスでは、IP の ACL を各方向に 1 つ適用できます。
VLAN インターフェイス上の各方向（入力および出力）に VLAN マップおよびルータの ACL を 1 つずつのみ設定できます。
標準入力アクセス リストでは、スイッチは、パケットを受信すると、パケットの送信元アドレスをアクセス リストに比較して検査します。IP 拡張アクセス リストでは、任意で、宛先 IP アドレス、プロトコル タイプ、ポート番号などのパケット内の他のフィールドを検査できます。アクセス リストがパケットを許可する場合に、スイッチはパケットの処理を続行します。アクセス リストがパケットを拒否する場合は、スイッチはそのパケットをドロップします。アクセス リストがレイヤ 3 のインターフェイスに適用された場合、パケットのドロップにともない（デフォルト設定）、インターネット制御メッセージ プロトコル（ICMP）の Host Unreachable のメッセージが生成されます。ICMP Host Unreachable メッセージは、レイヤ 2 インターフェイスでドロップされたパケットに対しては生成されません。
通常の発信アクセス リストでは、パケットを受信して、それを制御されたインターフェイスへ送信したあと、スイッチがアクセス リストと照合することでパケットを確認します。アクセス リストがパケットを許可した場合、スイッチはパケットを送信します。アクセス リストがパケットを拒否した場合、スイッチはパケットをドロップし、デフォルトの設定では、ICMP Host Unreachable メッセージが生成されます。
例
次の例では、ポートの入力パケットに IP アクセス リスト 101 を適用する方法を示します。
設定を確認するには、 show ip interface, show access-lists, または show ip access-lists 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
ip address
レイヤ 2 スイッチの IP アドレス、またはレイヤ 3 スイッチの各スイッチ仮想インターフェイス（SVI）またはルーテッド ポートの IP アドレスを設定するには、 ip address インターフェイス コンフィギュレーション コマンドを使用します。IP アドレスを削除したり、IP 処理をディセーブルにしたりするには、このコマンドの no 形式を使用します。
ip address ip-address subnet-mask [ secondary ]
no ip address [ ip-address subnet-mask ] [ secondary ]
構文の説明
（任意）設定されたアドレスをセカンダリ IP アドレスに指定します。このキーワードが省略された場合、設定されたアドレスはプライマリ IP アドレスになります。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
Telnet のセッションで、スイッチの IP アドレスを削除した場合、スイッチの接続が切断されます。
ホストは、インターネット制御メッセージ プロトコル（ICMP）Mask Request メッセージを使用して、サブネット マスクを判別できます。ルータは、この要求に対して ICMP Mask Reply メッセージで応答します。
no ip address コマンドを使って IP アドレスを削除することで、特定のインターフェイス上の IP プロセスをディセーブルにできます。スイッチが、その IP アドレスのうちの 1 つを使用している他のホストを検出した場合、コンソールにエラー メッセージを送信します。
オプションで secondary キーワードを使用することで、セカンダリ アドレスの番号を無制限に指定できます。システムがセカンダリの送信元アドレスのルーティングの更新以外にデータグラムを生成しないということを除けば、セカンダリ アドレスはプライマリ アドレスのように処理されます。IP ブロードキャストとアドレス解決プロトコル（ARP）要求は、IP ルーティング テーブル内のインターフェイス ルートと同様に、適切に処理されます。
（注） ネットワーク セグメント上のすべてのルータがセカンダリのアドレスを使用した場合、同一のセグメント上にある他のデバイスも、同一のネットワークまたはサブネットからセカンダリ アドレスを使用しなければなりません。ネットワーク セグメント上のセカンダリ アドレスの使用に矛盾があると、ただちにルーティング ループが引き起こされる可能性があります。
OSPF のルーティングの場合、インターフェイスのすべてのセカンダリ アドレスが、プライマリ アドレスと同一の OSPF 領域にあることを確認してください。
スイッチが、Bootstrap Protocol（BOOTP）または DHCP サーバから IP アドレスを受信し、そのスイッチ IP アドレスを no ip address コマンドで削除した場合、IP 処理はディセーブルとなり、BOOTP サーバまたは DHCP サーバが再びアドレスを割り当てることはできません。
レイヤ 3 スイッチは、各ルーテッド ポートおよび SVI に割り当てられた IP アドレスを持つことができます。設定するルーテッド ポートおよび SVI の数はソフトウェアでは制限されていません。ただし、この番号と設定された他の機能との相互関係によっては、ハードウェア制限により、CPU 使用率に影響がでる可能性があります。 sdm prefer グローバル コンフィギュレーション コマンドを使用し、システムのハードウェア リソースを、テンプレートおよび機能テーブルに基づいて再度割り当てることができます。詳細については、 sdm prefer コマンドを参照してください。
例
次の例では、サブネット ネットワークでレイヤ 2 スイッチの IP アドレスを設定する方法を示します。
次の例では、レイヤ 3 スイッチ上のポートに IP アドレスを設定する方法を示します。
関連コマンド
|
|
|
|---|---|
ip admission
Web 認証をイネーブルにするには、 ip admission インターフェイス コンフィギュレーション コマンドを使用します。このコマンドは、fallback-profile モードでも使用できます。Web 認証をディセーブルにするには、このコマンドの no 形式を使用します。
構文の説明
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、スイッチ ポートに Web 認証ルールを適用する方法を示します。
次の例では、IEEE 802.1x 対応のスイッチ ポートで使用するフォールバック プロファイルに Web 認証ルールを適用する方法を示します。
関連コマンド
|
|
|
|---|---|
IEEE 802.1x 認証をサポートしないクライアント用のフォールバック メカニズムとして Web 認証を使用するようポートを設定します。 |
|
NAC のキャッシュされたエントリまたは NAC 設定についての情報を表示します。 詳細については、Cisco.com で『 Network Admission Control Software Configuration Guide 』を参照してください。 |
ip admission name proxy http
Web 認証をイネーブルにするには、 ip admission name proxy http グローバル コンフィギュレーション コマンドを使用します。Web 認証をディセーブルにするには、このコマンドの no 形式を使用します。
no ip admission name proxy htt p
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
ip admission name proxy http コマンドにより、Web 認証がスイッチ上でグローバルにイネーブルになります。
スイッチで Web 認証をグローバルにイネーブルにしてから、ip access-group in および ip admission web-rule インターフェイス コンフィギュレーション コマンドを使用して、特定のインターフェイスで Web 認証をイネーブルにします。
例
次の例では、スイッチポートで Web 認証のみを設定する方法を示します。
次の例では、スイッチポートでのフォールバック メカニズムとして、Web 認証とともに IEEE 802.1x 認証を設定する方法を示します。
関連コマンド
|
|
|
|---|---|
IEEE 802.1x 認証をサポートしないクライアント用のフォールバック メカニズムとして Web 認証を使用するようポートを設定します。 |
|
NAC のキャッシュされたエントリまたは NAC 設定についての情報を表示します。詳細については、Cisco.com で『 Network Admission Control Software Configuration Guide 』を参照してください。 |
ip arp inspection filter vlan
ダイナミック アドレス解決プロトコル（ARP）インスペクションがイネーブルの場合、スタティック IP アドレスが設定されたホストからの ARP 要求および応答を許可または拒否するには、ip arp inspection filter vlan グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
ip arp inspection filter arp-acl-name vlan vlan-range [ static ]
no ip arp inspection filter arp-acl-name vlan vlan-range [ static ]
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
ARP ACL を VLAN に適用してダイナミック ARP インスペクションを行う場合は、IP/MAC バインディングを含む ARP パケットのみが ACL と比較されます。ACL がパケットを許可すると、スイッチがパケットを転送します。それ以外のすべてのパケット タイプは、検証されずに、入力 VLAN 内でブリッジングされます。
スイッチが ACL 内の明示的な拒否ステートメントによってパケットを拒否すると、パケットがドロップされます。スイッチが暗黙の拒否ステートメントによってパケットを拒否すると、パケットは DHCP バインディングのリストと照合されます。ただし、ACL が スタティック （パケットがバインディングと比較されない）である場合を除きます。
ARP ACL を定義、または定義済みのリストの末尾に句を追加するには、 arp access-list acl-name グローバル コンフィギュレーション コマンドを使用します。
例
次の例では、ダイナミック ARP インスペクション用に ARP ACL static-hosts を VLAN 1 に適用する方法を示します。
設定を確認するには、 show ip arp inspection vlan 1 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show inventoryvlan vlan-range |
ip arp inspection limit
インターフェイス上の着信アドレス解決プロトコル（ARP）要求および応答のレートを制限するには、ip arp inspection limit インターフェイス コンフィギュレーション コマンドを使用します。DoS 攻撃（サービス拒絶攻撃）が発生した場合にダイナミック ARP インスペクションによってスイッチ リソースのすべてが消費されないようにします。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
ip arp inspection limit { rate pps [ burst interval seconds ] | none }
構文の説明
（任意）インターフェイスで高速 ARP パケットをモニタするインターバルを秒単位で指定します。範囲は 1 ～ 15 秒です。 |
|
デフォルト
1 秒間に 15 台の新規ホストに接続するホストが配置されたスイッチド ネットワークの場合、信頼できないインターフェイスのレートは 15 pps に設定されます。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
レートは、信頼できるインターフェイスおよび信頼できないインターフェイスの両方に適用されます。複数のダイナミック ARP インスペクション対応 VLAN でパケットを処理するようにトランクに適切なレートを設定するか、none キーワードを使用してレートを無制限にします。
スイッチがバースト期間中に設定されたレートを超えるレートでパケットを継続して受信すると、インターフェイスが errdisable ステートになります。
インターフェイス上のレート制限を明示的に設定しない限り、インターフェイスの信頼状態を変更することは、レート制限を信頼状態のデフォルト値に変更することになります。レート制限を設定すると、信頼状態が変更された場合でもインターフェイスはレート制限を保ちます。 no ip arp inspection limit インターフェイス コンフィギュレーション コマンドを入力すると、インターフェイスはデフォルトのレート制限に戻ります。
トランク ポートは、集約が反映されるように、より大きなレートに設定する必要があります。着信パケットのレートがユーザの定義したレートを超えると、スイッチはインターフェイスを errdisable ステートにします。errdisable 回復機能は、回復の設定に従ってポートを errdisable ステートから自動的に移行させます。
EtherChannel ポートの着信 ARP パケットのレートは、すべてのチャネル メンバーの着信 ARP パケット レートの合計と同じです。EtherChannel ポートのレート制限は、必ずすべてのチャネル メンバーの着信 ARP パケットのレートを調べてから設定してください。
例
次の例では、ポート上の着信 ARP 要求のレートを 25 pps に制限し、インターフェイスのモニタリング インターバルを 5 秒間に設定する方法を示します。
設定を確認するには、 show ip arp inspection interfaces interface-id 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show inventory interfaces |
ip arp inspection log-buffer
ダイナミック アドレス解決プロトコル（ARP）インスペクション ロギング バッファを設定するには、ip arp inspection log-buffer グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
ip arp inspection log-buffer { entries number | logs number interval seconds }
no ip arp inspection log-buffer { entries | logs }
構文の説明
デフォルト
ダイナミック ARP がイネーブル化されると、拒否またはドロップされた ARP パケットが記録されます。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
0 の値は、 logs および interval キーワードの両方で許可されていません。
logs および interval の設定は、相互に作用します。 logs number X が interval seconds Y より大きい場合、X ÷ Y（X/Y）のシステム メッセージが毎秒送信されます。そうでない場合、1 つのシステム メッセージが Y ÷ X（Y/X）秒ごとに送信されます。たとえば、 logs number が 20 で、 interval seconds が 4 の場合、スイッチはログ バッファにエントリがある間、5 エントリのシステム メッセージを毎秒生成します。
ログ バッファ エントリは、2 つ以上のパケットを表すことができます。たとえば、インターフェイスが同一の VLAN 上のパケットを同一の ARP パラメータで多数受信すると、スイッチは、ログ バッファ内の 1 つのエントリとしてパケットを結合し、1 つのエントリとしてシステム メッセージを生成します。
ログ バッファがオーバーフローする場合は、ログ イベントがログ バッファに収まらないことを意味しており、 show ip arp inspection log 特権 EXEC コマンドの出力が影響を受けます。パケット数および時間以外のすべてのデータの代わりに [--] が表示されます。このエントリには、これ以外の統計情報が提供されません。出力にこのようなエントリが表示される場合、ログ バッファ内のエントリ数を増やすか、ロギング レートを増やします。
例
次の例では、最大 45 のエントリを保持できるようにロギング バッファを設定する方法を示します。
次の例では、ロギング レートを 4 秒あたり 20 のログ エントリに設定する方法を示します。この設定では、スイッチはログ バッファにエントリがある間、5 エントリのシステム メッセージを毎秒生成します。
関連コマンド
|
|
|
|---|---|
show inventory log |
ip arp inspection trust
検査される着信アドレス解決プロトコル（ARP）パケットを決定する信頼状態をインターフェイスに設定するには、ip arp inspection trust インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
スイッチは、信頼できるインターフェイス上で受信した ARP パケットを確認せず、単純にパケットを転送します。
信頼できないインターフェイスでは、スイッチはすべての ARP 要求と応答を代行受信します。ローカル キャッシュを更新し、該当する宛先にパケットを転送する前に、代行受信したパケットが有効な IP/MAC アドレス バインディングを持つかどうかを検証します。スイッチは、無効なパケットをドロップし、 ip arp inspection vlan logging グローバル コンフィギュレーション コマンドで指定されたロギング設定に従ってログ バッファに記録します。
例
次の例では、ポートを信頼できる状態に設定する方法を示します。
設定を確認するには、 show ip arp inspection interfaces interface-id 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show inventory interfaces |
|
show inventory log |
ip arp inspection validate
ダイナミック アドレス解決プロトコル（ARP）インスペクションの特定の確認を行うには、ip arp inspection validate グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
ip arp inspection validate {[ src-mac ] [ dst-mac ] [ ip [ allow zeros ]]}
no ip arp inspection validate [ src-mac ] [ dst-mac ] [ ip [ allow zeros ]]
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
少なくとも 1 つのキーワードを指定する必要があります。コマンドを実行するたびに、その前のコマンドの設定は上書きされます。つまり、コマンドが src-mac および dst-mac の検証をイネーブルにし、2 番目のコマンドが IP 検証のみをイネーブルにすると、2 番目のコマンドによって src-mac および dst-mac の検証がディセーブルになります。
allow-zeros キーワードは、次の方法で ARP アクセス コントロール リスト（ACL）と連動します。
• ARP ACL が ARP プローブを拒否するように設定されている場合は、 allow-zero キーワードが指定されていても、ARP プローブはドロップされます。
• ARP プローブを明確に許可する ARP ACL を設定し、 ip arp inspection validate ip コマンドを設定する場合、 allow-zeros キーワードを入力しない限り、ARP プローブはドロップされます。
このコマンドの no 形式を使用すると、指定されたチェックのみがディセーブルになります。どのオプションもイネーブルにしない場合は、すべてのチェックがディセーブルになります。
例
次の例では、送信元 MAC の検証をイネーブルにする方法を示します。
設定を確認するには、 show ip arp inspection vlan vlan-range 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show inventory vlan vlan-range |
ip arp inspection vlan
VLAN 単位でダイナミック アドレス解決プロトコル（ARP）インスペクションをイネーブルにするには、ip arp inspection vlan グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
ip arp inspection vlan vlan-range
no ip arp inspection vlan vlan-range
構文の説明
| VLAN ID 番号で識別された 1 つの VLAN、それぞれをハイフンで区切った VLAN 範囲、またはカンマで区切った一連の VLAN を指定できます。指定できる範囲は 1 ～ 4094 です。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
ダイナミック ARP インスペクションをイネーブルにする VLAN を指定する必要があります。
ダイナミック ARP インスペクションは、アクセス ポート、トランク ポート、EtherChannel ポートおよびプライベート VLAN ポートでサポートされます。
例
次の例では、ダイナミック ARP インスペクションを VLAN 1 でイネーブルにする方法を示します。
設定を確認するには、 show ip arp inspection vlan vlan-range 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show inventoryvlan vlan-range |
ip arp inspection vlan logging
VLAN 単位でロギングされるパケット タイプを制御するには、ip arp inspection vlan logging グローバル コンフィギュレーション コマンドを使用します。このロギング制御をディセーブルにするには、このコマンドの no 形式を使用します。
ip arp inspection vlan vlan-range logging { acl-match { matchlog | none } | dhcp-bindings { all | none | permit } | arp-probe }
no ip arp inspection vlan vlan-range logging { acl-match | dhcp-bindings | arp-probe }
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
logged の用語は、エントリがログ バッファに置かれ、システム メッセージが生成されることを意味します。
acl-match キーワードと dhcp-bindings キーワードは連携しています。ACL の一致を設定すると、DHCP バインディングの設定はディセーブルになりません。ロギング基準をデフォルトにリセットするには、このコマンドの no 形式を使用します。いずれのオプションも指定しない場合は、ARP パケットが拒否されたときに、すべてのロギング タイプが記録されるようにリセットされます。使用できるオプションは、次の 2 つです。
• acl-match：拒否されたパケットが記録されるように、ACL との一致に関するロギングがリセットされます。
• dhcp-bindings：拒否されたパケットが記録されるように、DHCP バインディングとの一致に関するロギングがリセットされます。
acl-match キーワードと dhcp-bindings キーワードのどちらも指定されないと、拒否されたすべてのパケットが記録されます。
ACL の末尾にある暗黙の拒否には、 log キーワードが含まれません。つまり、 ip arp inspection filter vlan グローバル コンフィギュレーション コマンドで static キーワードを使用した場合、ACL は DHCP バインディングを上書きします。ARP ACL の末尾で明示的に deny ip any mac any log ACE を指定しない限り、拒否された一部のパケットが記録されない場合があります。
例
次の例では、ACL 内の permit コマンドと一致するパケットを記録するように、VLAN 1 の ARP インスペクションを設定する方法を示します。
設定を確認するには、 show ip arp inspection vlan vlan-range 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show inventory log |
|
show inventory vlan vlan-range |
ip device tracking probe
ARP プローブに関する IP デバイス トラッキング テーブルを設定するには、 ip device tracking probe グローバル コンフィギュレーション コマンドを使用します。ARP プローブをディセーブルにするには、このコマンドの no 形式を使用します。
ip device tracking probe { count | interval | use-svi }
no ip device tracking probe { count | interval | use-svi }
構文の説明
スイッチが ARP プローブを再送信するまでに応答を待機する時間（秒単位）を設定します。指定できる範囲は 30 ～ 1814400 秒です。 |
|
コマンド デフォルト
ARP プローブ デフォルト ソース IP アドレスは、スイッチ ポート用のレイヤ 3 インターフェイスと 0.0.0.0 です。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
スイッチが ARP プローブを送信する回数を設定するには、 count キーワード オプションを使用します。指定できる範囲は 1 ～ 255 です。
スイッチが ARP プローブを再送する前に応答を待つ秒数を設定するには、 interval キーワード オプションを使用します。指定できる範囲は 30 ～ 1814400 秒です。
スイッチ ポート用のデフォルト ソース IP アドレス 0.0.0.0 が使用されており、ARP プローブがドロップした場合に ARP プローブ用の SVI IP アドレスを使用するように IP デバイス トラッキング テーブルを設定するには、 use-svi キーワード オプションを使用します。
IP デバイス トラッキング テーブル内のエントリに関する情報を表示するには、 show ip device tracking all コマンドを使用します。このコマンドの詳細については、『Cisco IOS Command Reference, Release 12.4T』を参照してください。
例
次の例では、SVI を ARP プローブのソースとして設定する方法を示します。
関連コマンド
|
|
|
|---|---|
ip device tracking
IP デバイス トラッキングをイネーブルにするには、 ip device tracking グローバル コンフィギュレーション コマンドを使用します。この機能をディセーブルにするには、このコマンドの no 形式を使用します。
構文の説明
コマンド デフォルト
コマンド モード
コマンド履歴
使用上のガイドライン
IP デバイス トラッキングがイネーブルになっている場合は、 ip device tracking probe コマンドを使用して、IP デバイス トラッキング プローブ間隔、カウント、および ARP プローブ アドレスを設定することができます。
IP デバイス トラッキング テーブル内のエントリに関する情報を表示するには、 show ip device tracking all コマンドを使用します。このコマンドの詳細については、『Cisco IOS Command Reference, Release 12.4T』を参照してください。
例
次の例では、デバイス トラッキングをイネーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
ip dhcp snooping
DHCP スヌーピングをグローバルにイネーブルにするには、 ip dhcp snooping グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
DHCP スヌーピング設定を有効にするには、DHCP スヌーピングをグローバルにイネーブルにする必要があります。
ip dhcp snooping vlan vlan-id グローバル コンフィギュレーション コマンドを使用して VLAN 上でスヌーピングをイネーブルにするまで DHCP スヌーピングはアクティブになりません。
例
次の例では、DHCP スヌーピングをイネーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
ip dhcp snooping binding
DHCP スヌーピング バインディング データベースを設定して、バインディング エントリをデータベースに追加するには、 ip dhcp snooping binding 特権 EXEC コマンドを使用します。バインディング データベースからエントリを削除するには、このコマンドの no 形式を使用します。
ip dhcp snooping binding mac-address vlan vlan-id ip-address interface interface-id expiry seconds
no ip dhcp snooping binding mac-address vlan vlan-id ip-address interface interface-id
構文の説明
バインディング エントリが無効になるまでのインターバル（秒）を指定します。指定できる範囲は 1 ～ 4294967295 です。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、スイッチをテストまたはデバッグするときに使用します。
DHCP スヌーピング バインディング データベースでは、各データベース エントリ（別名、バインディング）には、IP アドレス、関連付けられた MAC アドレス、リース時間（16 進数）、バインディングが適用されるインターフェイス、およびインターフェイスが所属する VLAN が含まれます。データベースには、8192 のバインディングを含めることができます。
設定されたバインディングだけを表示するには、 show ip dhcp snooping binding 特権 EXEC コマンドを使用します。動的および静的に設定されたバインディングを表示するには、 show ip source binding 特権 EXEC コマンドを使用します。
例
次の例では、VLAN 1 のポートに、有効期限が 1000 秒の DHCP バインディング設定を生成する方法を示します。
設定を確認するには、 show ip dhcp snooping binding または show ip dhcp source binding 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
ip dhcp snooping database
DHCP スヌーピング バインディング データベース エージェントを設定するには、 ip dhcp snooping database グローバル コンフィギュレーション コマンドを使用します。エージェントのディセーブル化、タイムアウト値のリセット、または書き込み遅延値のリセットを行うには、このコマンドの no 形式を使用します。
ip dhcp snooping database {{ flash:/ filename | ftp:// user:password @host/filename | http: //[[username:password]@]{hostname | host-ip}[/directory]/image-name .tar | rcp:// user @host/filename | tftp:// host/filename } | timeout seconds | write-delay seconds }
no ip dhcp snooping database [ timeout | write-delay ]
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
DHCP スヌーピング バインディング データベースには、8192 のバインディングを含めることができます。
データベース内のリース時間を正確な時間にするには、Network Time Protocol（NTP; ネットワーク タイム プロトコル）をイネーブルにし、次の機能を設定することを強く推奨します。
NTP が設定されている場合、スイッチのシステム クロックが NTP と同期化されたときにだけ、スイッチがバインディングの変更内容を書き込みます。
NVRAM（不揮発性 RAM）とフラッシュ メモリの両方のストレージ容量には限りがあるため、バインディング ファイルを TFTP サーバ上に保存することを推奨します。スイッチがネットワークベースの URL（TFTP や FTP など）の設定済み URL 内のバインディング ファイルにバインディングを書き込む前に、この URL に空のファイルを作成しておく必要があります。
DHCP スヌーピング バインディング データベースを NVRAM に保存するには、ip dhcp snooping database flash:/ filename コマンドを使用します。 ip dhcp snooping database timeout コマンドに 0 秒を指定し、データベースを TFTP ファイルに書き込んでいるときに、TFTP サーバがダウンした場合、データベース エージェントは転送を無期限に続けようとします。この転送が進行中の間、他の転送は開始されません。サーバがダウンしている場合、ファイルを書き込むことができないので、これはあまり重要ではありません。
エージェントをディセーブルにするには、no ip dhcp snooping database コマンドを使用します。
タイムアウト値をリセットするには、no ip dhcp snooping database timeout コマンドを使用します。
書き込み遅延値をリセットするには、no ip dhcp snooping database write-delay コマンドを使用します。
例
次の例では、IP アドレス 10.1.1.1 の directory という名前のディレクトリ内にバインディング ファイルを保存する方法を示します。TFTP サーバに file という名前のファイルが存在しなければなりません。
次の例では、NVRAM に file01.txt というバインディング ファイルを保存する方法を示します。
設定を確認するには、 show ip dhcp snooping database 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
ip dhcp snooping information option
DHCP オプション 82 データ挿入をイネーブルにするには、 ip dhcp snooping information option グローバル コンフィギュレーション コマンドを使用します。DHCP オプション 82 データ挿入をディセーブルにするには、このコマンドの no 形式を使用します。
ip dhcp snooping information option
no ip dhcp snooping information option
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
DHCP スヌーピング設定を有効にするには、 ip dhcp snooping グローバル コンフィギュレーション コマンドを使用して DHCP スヌーピングをグローバルにイネーブルにする必要があります。
オプション 82 機能がイネーブルの場合、スイッチがホストからの DHCP 要求を受信すると、オプション 82 情報がパケットに追加されます。オプション 82 情報には、スイッチ MAC アドレス（リモート ID サブオプション）、およびパケットが受信された vlan-mod-port （回線 ID サブオプション）のポート ID が含まれます。スイッチは、オプション 82 フィールドを含む DHCP 要求を DHCP サーバに転送します。
DHCP サーバがパケットを受信する場合、リモート ID、回線 ID、または両方を使用して IP アドレスを割り当てるとともに、単一リモート ID または回線 ID に割り当てることができる IP アドレス値制限などのポリシーを適用できます。さらに DHCP サーバは、DHCP 応答内にオプション 82 フィールドをエコーします。
スイッチによって要求がサーバにリレーされた場合、DHCP サーバは応答をスイッチにユニキャストします。クライアントとサーバが同一サブネットにある場合、サーバは応答をブロードキャストします。スイッチは、リモート ID または回線 ID フィールドを検査し、オプション 82 データが最初から挿入されていたかを確認します。スイッチは、オプション 82 フィールドを削除し、DHCP 要求を送信した DHCP ホストに接続するスイッチ ポートにパケットを転送します。
例
次の例では、DHCP オプション 82 データ挿入をイネーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
ip dhcp snooping information option allow-untrusted
エッジ スイッチに接続されている信頼できないポートで受信するか、オプション 82 情報を持つ DHCP パケットを受け入れるようにアグリゲーション スイッチを設定するには、アグリゲーション スイッチで ip dhcp snooping information option allow-untrusted グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
ip dhcp snooping information option allow-untrusted
no ip dhcp snooping information option allow-untrusted
構文の説明
デフォルト
スイッチ は、エッジ スイッチに接続されている信頼できないポートで受信する、オプション 82 情報を持つ DHCP パケットをドロップします。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
ホストに接続されたエッジ スイッチが、ネットワークのエッジで DHCP オプション 82 情報を挿入するように設定したい場合があります。また集約スイッチでは、DHCP スヌーピング、IP ソース ガード、またはダイナミック Address Resolution Protocol（ARP; アドレス解決プロトコル）インスペクションなどの DHCP セキュリティ機能をイネーブルにすることもできます。ただし、アグリゲーション スイッチで DHCP スヌーピングをイネーブルにすると、スイッチは信頼できないポートで受信されたオプション 82 情報を持つパケットをドロップし、信頼できるインターフェイスに接続されたデバイスの DHCP スヌーピング バインディングを学習しません。
ホストに接続されたエッジ スイッチがオプション 82 情報を挿入する場合に、アグリゲーション スイッチで DHCP スヌーピングを使用するには、アグリゲーション スイッチで ip dhcp snooping information option allow-untrusted コマンドを入力します。アグリゲーション スイッチは信頼できないポートで DHCP スヌーピング パケットを受信しますが、ホストのバインディングを学習できます。アグリゲーション スイッチで DHCP セキュリティ機能をイネーブルにすることも可能です。アグリゲーション スイッチが接続されているエッジ スイッチ上のポートは、信頼できるポートとして設定する必要があります。
（注） 信頼できないデバイスが接続されたアグリゲーション スイッチに ip dhcp snooping information option allow-untrusted コマンドを入力しないでください。このコマンドを入力すると、信頼できないデバイスがオプション 82 情報をスプーフィングする可能性があります。
例
次の例では、アクセス スイッチが、エッジ スイッチからの信頼できないパケットのオプション 82 情報を確認せずに、パケットを受け入れるように設定する方法を示します。
関連コマンド
|
|
|
|---|---|
ip dhcp snooping information option format remote-id
オプション 82 リモート ID サブオプションを設定するには、 ip dhcp snooping information option format remote-id グローバル コンフィギュレーション コマンドを使用します。デフォルトのリモート ID サブオプションを設定するには、このコマンドの no 形式を使用します。
ip dhcp snooping information option format remote-id [string ASCII-string | hostname]
no ip dhcp snooping information option format remote-id
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
DHCP スヌーピング設定を有効にするには、 ip dhcp snooping グローバル コンフィギュレーション コマンドを使用して DHCP スヌーピングをグローバルにイネーブルにする必要があります。
オプション 82 機能がイネーブルの場合、デフォルトのリモート ID サブオプションはスイッチの MAC アドレスです。このコマンドにより、スイッチのホスト名または 63 文字までの ASCII 文字列（スペースは不可）のいずれかをリモート ID に設定できます。
（注） ホスト名が 63 文字を超える場合、リモート ID 設定では 63 文字以降は省略されます。
例
次の例では、オプション 82 リモート ID サブオプションを設定する方法を示します。
関連コマンド
|
|
|
|---|---|
ip dhcp snooping vlan information option format-type circuit-id string |
|
ip dhcp snooping limit rate
インターフェイスが 1 秒あたりに受信可能な DHCP メッセージの数を設定するには、 ip dhcp snooping limit rate インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
ip dhcp snooping limit rate rate
no ip dhcp snooping limit rate
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
通常、レート制限は信頼できないインターフェイスに適用されます。信頼できるインターフェイスのレート制限を設定する場合、信頼できるインターフェイスはスイッチ内の複数の VLAN 上（一部はスヌーピングされない場合があります）の DHCP トラフィックを集約するので、インターフェイス レート制限を高い値に調整する必要があることに注意してください。
レート制限を超えた場合、インターフェイスが errdisable になります。 errdisable recovery dhcp-rate-limit グローバル コンフィギュレーション コマンドを入力してエラー回復をイネーブルにした場合、インターフェイスはすべての原因が時間切れになった際に動作を再試行します。エラー回復メカニズムがイネーブルでない場合、 shutdown および no shutdown インターフェイス コンフィギュレーション コマンドを入力するまでインターフェイスは errdisable ステートのままです。
例
次の例は、インターフェイス上でメッセージ レート制限を 1 秒あたり 150 メッセージに設定する方法を示します。
関連コマンド
|
|
|
|---|---|
ip dhcp snooping trust
DHCP スヌーピングを実行するためにポートを信頼できるポートとして設定するには、 ip dhcp snooping trust インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
DHCP サーバ、その他のスイッチ、またはルータに接続されたポートを信頼できるポートとして設定します。DHCP クライアントに接続されたポートを信頼できないポートとして設定します。
例
次の例では、ポート上に DHCP スヌーピング信頼をイネーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
ip dhcp snooping verify
スイッチが、信頼性のないポート上で DHCP パケットの送信元 MAC アドレスがクライアントのハードウェア アドレスと一致することを確認するよう設定するには、 ip dhcp snooping verify グローバル コンフィギュレーション コマンドを使用します。スイッチが MAC アドレスを確認しないように設定するには、このコマンドの no 形式を使用します。
ip dhcp snooping verify mac-address
no ip dhcp snooping verify mac-address
構文の説明
デフォルト
スイッチは、パケットのクライアント ハードウェア アドレスと一致する信頼されないポートで受信した DHCP パケットの送信元 MAC アドレスを確認します。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
サービスプロバイダー ネットワークで、スイッチが信頼できないポートの DHCP クライアントからパケットを受信した場合、スイッチは自動的に送信元 MAC アドレスと DHCP クライアント ハードウェア アドレスが一致するかを確認します。アドレスが一致する場合、スイッチはパケットを転送します。アドレスが一致しない場合、スイッチはパケットをドロップします。
例
次の例では、MAC アドレス確認をディセーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
ip dhcp snooping vlan
DHCP スヌーピングを VLAN でイネーブルにするには、 ip dhcp snooping vlan グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
ip dhcp snooping vlan vlan-range
no ip dhcp snooping vlan vlan-range
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
VLAN 上で DHCP スヌーピングをイネーブルにする前に、まず DHCP スヌーピングをグローバルにイネーブルにする必要があります。
例
次の例では、DHCP スヌーピングを VLAN 10 でイネーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
ip dhcp snooping vlan information option format-type circuit-id string
オプション 82 回線 ID サブオプションを設定するには、 ip dhcp snooping vlan information option format-type circuit-id string インターフェイス コンフィギュレーション コマンドを使用します。デフォルトのサーキット ID サブオプションを設定するには、このコマンドの no 形式を使用します。
ip dhcp snooping vlan vlan-id information option format-type circuit-id [override] string ASCII-string
no ip dhcp snooping vlan vlan-id information option format-type circuit-id [override] string
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
DHCP スヌーピング設定を有効にするには、 ip dhcp snooping グローバル コンフィギュレーション コマンドを使用して DHCP スヌーピングをグローバルにイネーブルにする必要があります。
オプション 82 機能がイネーブルの場合、デフォルトのサーキット ID サブオプションは、 vlan-mod-port 形式のスイッチ VLAN およびポート ID です。このコマンドを使用すると、サーキット ID となる ASCII 文字列を設定できます。vlan-mod-port 形式タイプを上書きして、回線 ID を使用して加入者情報を定義する場合は、override キーワードを使用します。
（注） スイッチ上で文字数の多いサーキット ID を設定する場合、NVRAM（不揮発性 RAM）またはフラッシュ メモリに長い文字列が与える影響を考慮してください。サーキット ID 設定がその他のデータと組み合わされた場合、NVRAM またはフラッシュ メモリの容量を超えてしまい、エラー メッセージが表示されます。
例
次の例では、オプション 82 サーキット ID サブオプションを設定する方法を示します。
次の例では、オプション 82 サーキット ID 上書きサブオプションを設定する方法を示します。
設定を確認するには、 show ip dhcp snooping ユーザ EXEC コマンドを入力します。
（注） リモート ID 設定を含むグローバル コマンド出力だけを表示するには、show ip dhcp snooping ユーザ EXEC コマンドを使用します。サーキット ID として設定したインターフェイス単位または VLAN 単位の文字列は表示されません。
関連コマンド
|
|
|
|---|---|
ip igmp filter
インターフェイスに Internet Group Management Protocol（IGMP; インターネット グループ管理プロトコル）を適用することで、レイヤ 2 インターフェイス上のすべてのホストが 1 つまたは複数の IP マルチキャスト グループに加入できるかどうかを制御するには、 ip igmp filter インターフェイス コンフィギュレーション コマンドを使用します。インターフェイスから指定されたプロファイルを削除するには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
IGMP フィルタはレイヤ 2 の物理インターフェイスのみに適用できます。ルーテッド ポート、スイッチ仮想インターフェイス（SVI）、または EtherChannel グループに属するポートに対して IGMP フィルタを適用することはできません。
IGMP のプロファイルは 1 つまたは複数のポート インターフェイスに適用できますが、1 つのポートに対して 1 つのプロファイルのみ適用できます。
例
次の例では、IGMP プロファイル 22 をポートに適用する方法を示します。
設定を確認するには、 show running-config 特権 EXEC コマンドを使用してインターフェイスを指定します。
関連コマンド
|
|
|
|---|---|
スイッチのインターフェイス上の実行コンフィギュレーションを（インターフェイスに適用している IGMP プロファイルがある場合はそれを含め）表示します。 |
ip igmp max-groups
レイヤ 2 インターフェイスが加入可能なインターネット グループ管理プロトコル（IGMP）グループの最大数を設定したり、転送テーブル内でエントリが最大数に達する場合の IGMP スロットリング動作を設定したりするには、 ip igmp max-groups インターフェイス コンフィギュレーション コマンドを使用します。最大数をデフォルト値（無制限）に戻すか、デフォルトのスロットリング アクション（レポートをドロップ）に戻すには、このコマンドの no 形式を使用します。
ip igmp max-groups { number | action { deny | replace }}
no ip igmp max-groups { number | action }
構文の説明
デフォルト
インターフェイス上に IGMP グループ エントリの最大数があることをスイッチが学習したあとの、デフォルトのスロットリング アクションでは、インターフェイスが受信する次の IGMP レポートをドロップし、インターフェイスに IGMP グループのエントリを追加しません。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、レイヤ 2 物理インターフェイスおよび論理 EtherChannel インターフェイスでのみ使用できます。ルーテッド ポート、スイッチ仮想インターフェイス（SVI）、または EtherChannel グループに属するポートに対して IGMP 最大グループ数を設定することはできません。
IGMP スロットリング アクションを設定する場合には、次の注意事項に従ってください。
• スロットリング アクションを deny として設定して最大グループ制限を設定する場合、以前転送テーブルにあったエントリは、削除されませんが期限切れになります。これらのエントリの期限が切れたあとで、エントリの最大数が転送テーブルにある場合は、インターフェイス上で受信された次の IGMP レポートをスイッチがドロップします。
• スロットリング アクションを replace として設定して最大グループ制限を設定する場合、以前転送テーブルにあったエントリは削除されます。最大数のエントリが転送テーブルにある場合、スイッチはランダムに選択したマルチキャスト エントリを受信した IGMP レポートと置き換えます。
• 最大グループ制限がデフォルト（制限なし）に設定されている場合、 ip igmp max-groups { deny | replace } コマンドを入力しても無効です。
例
次の例では、ポートが加入できる IGMP グループ数を 25 に制限する方法を示します。
次の例では、転送テーブル内でエントリが最大数に達した場合に IGMP レポートが受信された既存のグループを新規のグループに置換するようにスイッチを設定する方法を示します。
設定を確認するには、 show running-config 特権 EXEC コマンドを使用してインターフェイスを指定します。
関連コマンド
|
|
|
|---|---|
インターフェイスが参加できる IGMP グループの最大数やスロットリング アクションなど、スイッチのインターフェイス上で実行コンフィギュレーションを表示します。 |
ip igmp profile
インターネット グループ管理プロトコル（IGMP）プロファイルを作成し、IGMP プロファイル コンフィギュレーション モードを開始するには、 ip igmp profile グローバル コンフィギュレーション コマンドを使用します。このモードで、スイッチポートからの IGMP メンバシップ レポートをフィルタリングするための IGMP プロファイルの設定を指定できます。IGMP プロファイルを削除するには、このコマンドの no 形式を使用します。
ip igmp profile profile number
no ip igmp profile profile number
構文の説明
デフォルト
IGMP プロファイルは定義されていません。設定された場合、デフォルトの IGMP プロファイルとの一致機能は、一致するアドレスを拒否する設定になります。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
IGMP プロファイル コンフィギュレーション モードでは、次のコマンドを使用することでプロファイルを作成できます。
• deny ：一致するアドレスを拒否します（デフォルト設定の状態）。
• exit ：IGMP プロファイル コンフィギュレーション モードを終了します。
• no ：コマンドを無効にする、またはデフォルトにリセットします。
• range ：プロファイルに対する IP アドレスの範囲を指定します。1 つの IP アドレス、またはアドレスの最初と最後で範囲を指定することもできます。
範囲を入力する場合、低い方の IP マルチキャスト アドレスを入力してからスペースを入力し、次に高い方の IP マルチキャスト アドレスを入力します。
IGMP のプロファイルを、1 つまたは複数のレイヤ 2 インターフェイスに適用できますが、各インターフェイスに適用できるプロファイルは 1 つのみです。
例
次の例では、IP マルチキャスト アドレスの範囲を指定した IGMP プロファイル 40 の設定方法を示します。
関連コマンド
|
|
|
|---|---|
ip igmp snooping
インターネット グループ管理プロトコル（IGMP）スヌーピングをスイッチ上でグローバルにイネーブルにするか、または VLAN 単位でイネーブルにするには、 ip igmp snooping グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
ip igmp snooping [ vlan vlan-id ]
no ip igmp snooping [ vlan vlan-id ]
構文の説明
（任意）指定された VLAN で IGMP スヌーピングをイネーブルにします。指定できる範囲は 1 ～ 1001 または 1006 ～ 4094 です。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
IGMP スヌーピングがグローバルにイネーブルである場合は、すべての既存 VLAN インターフェイスでイネーブルになります。IGMP スヌーピングがグローバルにディセーブルである場合、すべての既存 VLAN インターフェイスで IGMP スヌーピングがディセーブルになります。
VLAN ID 1002 ～ 1005 は、トークンリングおよび FDDI VLAN に予約されていて、IGMP スヌーピングでは使用できません。
例
次の例では、IGMP スヌーピングをグローバルにイネーブルにする方法を示します。
次の例では、IGMP スヌーピングを VLAN 1 でイネーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
ip igmp snooping last-member-query-interval
インターネット グループ管理プロトコル（IGMP）の設定可能脱退タイマーをグローバルにまたは VLAN 単位でイネーブルにするには、 ip igmp snooping last-member-query-interval グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
ip igmp snooping [ vlan vlan-id ] last-member-query-interval time
no ip igmp snooping [ vlan vlan-id ] last-member-query-interval
構文の説明t
（任意）指定された VLAN で IGMP スヌーピングおよび Leave タイマーをイネーブルにします。指定できる範囲は 1 ～ 1001 または 1006 ～ 4094 です。 |
|
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
IGMP スヌーピングがグローバルにイネーブルである場合は、IGMP スヌーピングはすべての既存 VLAN インターフェイスでイネーブルになります。IGMP スヌーピングがグローバルにディセーブルである場合は、IGMP スヌーピングはすべての既存 VLAN インターフェイスでディセーブルになります。
VLAN ID 1002 ～ 1005 は、トークンリングおよび FDDI VLAN に予約されていて、IGMP スヌーピングでは使用できません。
VLAN 上に Leave タイマーを設定すると、グローバル設定を上書きします。
例
次の例では、IGMP Leave タイマーを 2000 ミリ秒でグローバルにイネーブルにする方法を示します。
次の例では、VLAN 1 上で IGMP Leave タイマーを 3000 ミリ秒に設定する方法を示します。
関連コマンド
|
|
|
|---|---|
ip igmp snooping querier
レイヤ 2 ネットワークの Internet Group Management Protocol（IGMP; インターネット グループ管理プロトコル）クエリア機能をグローバルにイネーブルにするには、 ip igmp snooping querier グローバル コンフィギュレーション コマンドを使用します。キーワードとともにコマンドを入力すると、VLAN インターフェイスの IGMP クエリア機能をイネーブルにし、設定できます。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
ip igmp snooping querier [ vlan vlan-id ] [ address ip-address | max-response-time response-time | query-interval interval-count | tcn query [ count count | interval interval ] | timer expiry | version version ]
no ip igmp snooping querier [ vlan vlan-id ] [ address | max-response-time | query-interval | tcn query { count count | interval interval } | timer expiry | version ]
構文の説明
デフォルト
IGMP スヌーピング クエリア機能は、スイッチでグローバルにイネーブルです。
イネーブルになっている場合、マルチキャスト対応デバイスから IGMP トラフィックを検出すると、IGMP スヌーピング クエリアはディセーブルになります。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
クエリア とも呼ばれる IGMP クエリー メッセージを送信するデバイスの IGMP バージョンおよび IP アドレスを検出するために IGMP スヌーピングをイネーブルにするには、このコマンドを使用します。
デフォルトでは、IGMP スヌーピング クエリアは、IGMP バージョン 2 （IGMPv2）を使用するデバイスを検出するよう設定されていますが、IGMP バージョン 1 （IGMPv1）を使用しているクライアントは検出しません。デバイスが IGMPv2 を使用している場合、 max-response-time 値を手動で設定できます。デバイスが IGMPv1 を使用している場合は、 max-response-time を設定できません（値を設定できず、0 に設定されています）。
IGMPv1 を実行している RFC に準拠していないデバイスは、 max-response-time 値としてゼロ以外の値を持つ IGMP 一般クエリー メッセージを拒否することがあります。デバイスで IGMP 一般クエリー メッセージを受け入れる場合、IGMP スヌーピング クエリアが IGMPv1 を実行するように設定します。
VLAN ID 1002 ～ 1005 は、トークンリングおよび FDDI VLAN に予約されていて、IGMP スヌーピングでは使用できません。
例
次の例では、IGMP スヌーピング クエリア機能をグローバルにイネーブルにする方法を示します。
次の例では、IGMP スヌーピング クエリアの最大応答時間を 25 秒に設定する方法を示します。
次の例では、IGMP スヌーピング クエリアの時間間隔を 60 秒に設定する方法を示します。
次の例では、IGMP スヌーピング クエリアの TCN クエリー カウントを 25 に設定する方法を示します。
次の例では、IGMP スヌーピング クエリアのタイムアウトを 60 秒に設定する方法を示します。
次の例では、IGMP スヌーピング クエリア機能をバージョン 2 に設定する方法を示します。
関連コマンド
|
|
|
|---|---|
ip igmp snooping report-suppression
Internet Group Management Protocol（IGMP; インターネット グループ管理プロトコル）レポート抑制をイネーブルにするには、 ip igmp snooping report-suppression グローバル コンフィギュレーション コマンドを使用します。IGMP レポート抑制をディセーブルにして、すべての IGMP レポートをマルチキャスト ルータへ転送するには、このコマンドの no 形式を使用します。
ip igmp snooping report-suppression
no ip igmp snooping report-suppression
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
IGMP レポート抑制は、マルチキャスト クエリーに IGMPv1 レポートと IGMPv2 レポートがある場合にだけサポートされます。この機能は、クエリーに IGMPv3 レポートが含まれている場合はサポートされません。
スイッチは IGMP レポート抑制を使用して、マルチキャスト ルータ クエリーごとに IGMP レポートを 1 つだけマルチキャスト デバイスに転送します。IGMP ルータ抑制がイネーブル（デフォルト）である場合、スイッチは最初の IGMP レポートをグループのすべてのポートからすべてのマルチキャスト ルータに送信します。スイッチは、グループの残りの IGMP レポートをマルチキャスト ルータに送信しません。この機能により、マルチキャスト デバイスにレポートが重複して送信されることを防ぎます。
マルチキャスト ルータ クエリーに IGMPv1 および IGMPv2 レポートに対する要求のみが含まれている場合、スイッチは最初の IGMPv1 レポートまたは IGMPv2 レポートのみを、グループのすべてのホストからすべてのマルチキャスト ルータに送信します。マルチキャスト ルータ クエリーに IGMPv3 レポートの要求も含まれる場合は、スイッチはグループのすべての IGMPv1、IGMPv2、および IGMPv3 レポートをマルチキャスト デバイスに転送します。
no ip igmp snooping report-suppression コマンドを入力して IGMP レポート抑制をディセーブルにした場合、すべての IGMP レポートがすべてのマルチキャスト ルータに送信されます。
例
次の例では、レポート抑制をディセーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
ip igmp snooping tcn
Internet Group Management Protocol（IGMP; インターネット グループ管理プロトコル）Topology Change Notification（TCN; トポロジ変更通知）の動作を設定するには、 ip igmp snooping tcn グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
ip igmp snooping tcn { flood query count count | query solicit }
no ip igmp snooping tcn { flood query count | query solicit }
構文の説明
マルチキャスト トラフィックがフラッディングする IGMP の一般的クエリー数を指定します。指定できる範囲は 1 ～ 10 です。 |
|
TCN イベント中に発生したフラッド モードから回復するプロセスの速度を上げるために、IGMP Leave メッセージ（グローバル脱退）を送信します。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
TCN イベント後にマルチキャスト トラフィックがフラッディングする時間を制御するには、 ip igmp snooping tcn flood query count グローバル コンフィギュレーション コマンドを使用します。 ip igmp snooping tcn flood query count コマンドを使用して TCN フラッド クエリー カウントを 1 に設定した場合、1 つの一般的クエリーの受信後にフラッディングが停止します。カウントを 7 に設定すると、TCN イベントによるマルチキャスト トラフィックのフラッディングは、7 つの一般的クエリーを受信するまで継続します。グループは、TCN イベント中に受信した一般的クエリーに基づいて学習されます。
スパニング ツリー ルートかどうかにかかわらず、グローバル Leave メッセージを送信するようにスイッチをイネーブルにするには、 ip igmp snooping tcn query solicit グローバル コンフィギュレーション コマンドを使用します。また、このコマンドは、TCN イベント中に発生したフラッド モードから回復するプロセスの速度を上げます。
例
次の例では、マルチキャスト トラフィックがフラッディングする IGMP の一般的クエリー数を 7 に指定する方法を示します。
関連コマンド
|
|
|
|---|---|
ip igmp snooping tcn flood
マルチキャスト フラッディングを Internet Group Management Protocol（IGMP; インターネット グループ管理プロトコル）スヌーピング スパニングツリー Topology Change Notification（TCN; トポロジ変更通知）の動作として設定するには、 ip igmp snooping tcn flood インターフェイス コンフィギュレーション コマンドを使用します。マルチキャスト フラッディングをディセーブルにするには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
スイッチが TCN を受信すると、2 つの一般的なクエリーが受信されるまで、マルチキャスト トラフィックはすべてのポートに対してフラッディングします。異なるマルチキャスト グループに加入している接続ホストを持つポートがスイッチに多数ある場合、フラッディングがリンクの容量を超過し、パケット損失を招くことがあります。
ip igmp snooping tcn flood query count count グローバル コンフィギュレーション コマンドを使用して、フラッディング クエリー カウントを変更できます。
例
次の例では、インターフェイス上でマルチキャスト フラッディングをディセーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
ip igmp snooping vlan immediate-leave
VLAN 単位で Internet Group Management Protocol（IGMP; インターネット グループ管理プロトコル）スヌーピング即時脱退処理をイネーブルにするには、 ip igmp snooping immediate-leave グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
ip igmp snooping vlan vlan-id immediate-leave
no ip igmp snooping vlan vlan-id immediate-leave
構文の説明
（任意）指定された VLAN で IGMP スヌーピングおよび即時脱退機能をイネーブルにします。指定できる範囲は 1 ～ 1001 または 1006 ～ 4094 です。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
VLAN ID 1002 ～ 1005 は、トークンリングおよび FDDI VLAN に予約されていて、IGMP スヌーピングでは使用できません。
VLAN の各ポート上で 1 つのレシーバーの最大値が設定されている場合のみ、即時脱退処理の機能を設定してください。設定は、NVRAM（不揮発性 RAM）に保存されます。
例
次の例では、VLAN 1 で即時脱退処理をイネーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
ip igmp snooping vlan mrouter
マルチキャスト ルータ ポートを追加するか、またはマルチキャスト学習方式を設定するには、 ip igmp snooping mrouter グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
ip igmp snooping vlan vlan-id mrouter { interface interface-id | learn { cgmp | pim-dvmrp }}
no ip igmp snooping vlan vlan-id mrouter { interface interface-id | learn { cgmp | pim-dvmrp }}
構文の説明
デフォルト
デフォルトでは、マルチキャスト ルータ ポートはありません。
デフォルトの学習方式は pim-dvmrp です。IGMP クエリーおよび PIM-DVMRP パケットをスヌーピングします。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
VLAN ID 1002 ～ 1005 は、トークンリングおよび FDDI VLAN に予約されていて、IGMP スヌーピングでは使用できません。
例
次の例では、ポートをマルチキャスト ルータ ポートとして設定する方法を示します。
次の例では、マルチキャスト ルータの学習方式を CGMP として指定する方法を示します。
関連コマンド
|
|
|
|---|---|
ip igmp snooping vlan static
Internet Group Management Protocol（IGMP; インターネット グループ管理プロトコル）スヌーピングをイネーブルにし、レイヤ 2 ポートをマルチキャスト グループのメンバーとしてスタティックに追加するには、 ip igmp snooping static グローバル コンフィギュレーション コマンドを使用します。スタティックなマルチキャスト グループのメンバーとして指定されたポートを削除するには、このコマンドの no 形式を使用します。
ip igmp snooping vlan vlan-id static ip-address interface interface-id
no ip igmp snooping vlan vlan-id static ip-address interface interface-id
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
VLAN ID 1002 ～ 1005 は、トークンリングおよび FDDI VLAN に予約されていて、IGMP スヌーピングでは使用できません。
例
次の例では、インターフェイス上のホストをスタティックに設定する方法を示します。
関連コマンド
|
|
|
|---|---|
ip source binding
スイッチ上のスタティック IP 送信元バインディングを設定するには、 ip source binding グローバル コンフィギュレーション コマンドを使用します。スタティック バインディングを削除するには、このコマンドの no 形式を使用します。
ip source binding mac-address vlan vlan-id ip-address interface interface-id
no source binding mac-address vlan vlan-id ip-address interface interface-id
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
スタティック IP 送信元バインディング エントリには、IP アドレス、関連付けられた MAC アドレス、および関連付けられた VLAN 番号が含まれます。エントリは、MAC アドレスおよび VLAN 番号に基づいています。IP アドレスのみの変更でエントリを変更する場合は、スイッチは新しいエントリを作成せずに、エントリを更新します。
例
次の例では、スタティック IP 送信元バインディングを追加する方法を示します。
次の例では、スタティック バインディングを追加してから、その IP アドレスを変更する方法を示します。
関連コマンド
|
|
|
|---|---|
ip ssh
Secure Shell（SSH; セキュア シェル）version 1（SSHv1）または SSH version 2（SSHv2）を実行するようにスイッチを設定するには、 ip ssh グローバル コンフィギュレーション コマンドを使用します。このコマンドは、スイッチが暗号化ソフトウェア イメージを実行している場合にだけ使用できます。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドを入力しない場合、またはキーワードを指定しないときは、SSH サーバは SSH クライアントがサポートする最新の SSH バージョンを選択します。たとえば、SSH クライアントが SSHv1 および SSHv2 をサポートする場合、SSH サーバは SSHv2 を選択します。
スイッチは、SSHv1 または SSHv2 サーバをサポートします。また、SSHv1 クライアントもサポートします。SSH サーバおよび SSH クライアントの詳細については、このリリースに対応するソフトウェア コンフィギュレーション ガイドを参照してください。
例
次の例では、スイッチが SSH バージョン 2 を実行するように設定する方法を示します。
関連コマンド
|
|
|
|---|---|
ip sticky-arp（グローバル コンフィギュレーション）
プライベート VLAN に属しているスイッチ仮想インターフェイス（SVI）でスティッキ ARP をイネーブルにするには、 ip sticky-arp グローバル コンフィギュレーション コマンドを使用します。スティッキ ARP をディセーブルにするには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
スティッキ ARP エントリは、プライベート VLAN SVI で学習されるエントリです。これらのエントリは、期限切れになりません。
ip sticky-arp グローバル コンフィギュレーション コマンドは、プライベート VLAN に属している SVI でだけサポートされます。
• プライベート VLAN を設定すると、スイッチでスティッキ ARP がイネーブルになります（デフォルト）。
ip sticky-arp インターフェイス コンフィギュレーション コマンドを入力しても、スティッキ ARP は有効になりません。
no ip sticky-arp インターフェイス コンフィギュレーション コマンドを入力しても、インターフェイスでスティッキ ARP はディセーブルになりません。
（注） show arp 特権 EXEC コマンドを使用して、プライベート VLAN インターフェイス ARP エントリを表示し、確認することを推奨します。
• あるデバイスからスイッチを切断したあと、MAC アドレスは異なるものの IP アドレスが同じ別のデバイスにそのスイッチを接続した場合、ARP エントリは作成されず、次のメッセージが表示されます。
20.6.2.1, hw: 0000.0602.0001 by hw: 0000.0503.0001
• デバイスの MAC アドレスが変わった場合は、 no arp ip-address グローバル コンフィギュレーション コマンドを使用して、プライベート VLAN インターフェイス ARP エントリを手動で削除する必要があります。
• プライベート VLAN ARP エントリを追加するには、 arp ip-address hardware-address type グローバル コンフィギュレーション コマンドを使用します。
• スイッチのスティッキ ARP をディセーブルにするには、 no sticky-arp グローバル コンフィギュレーション コマンドを使用します。
• スイッチのスティッキ ARP をディセーブルにするときに、インターフェイスのスティッキ ARP をディセーブルにするには、 no sticky-arp インターフェイス コンフィギュレーション コマンドを使用します。
例
スティッキ ARP をディセーブルにするには、次のコマンドを入力します。
関連コマンド
|
|
|
|---|---|
ip sticky-arp（インターフェイス コンフィギュレーション）
SVI またはレイヤ 3 インターフェイスでスティッキ ARP をイネーブルにするには、 ip sticky-arp インターフェイス コンフィギュレーション コマンドを使用します。スティッキ ARP をディセーブルにするには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
スティッキ ARP エントリは、SVI およびレイヤ 3 インターフェイスで学習されるエントリです。これらのエントリは、期限切れになりません。
ip sticky-arp インターフェイス コンフィギュレーション コマンドは、次のものでだけサポートされます。
レイヤ 3 インターフェイスまたは通常の VLAN に属している SVI では、次のようにします。
• スティッキ ARP をイネーブルにするには、 sticky-arp インターフェイス コンフィギュレーション コマンドを使用します。
• スティッキ ARP をディセーブルにするには、 no sticky-arp インターフェイス コンフィギュレーション コマンドを使用します。
• プライベート VLAN を設定すると、スイッチでスティッキ ARP がイネーブルになります（デフォルト）。
ip sticky-arp インターフェイス コンフィギュレーション コマンドを入力しても、スティッキ ARP は有効になりません。
no ip sticky-arp インターフェイス コンフィギュレーション コマンドを入力しても、インターフェイスでスティッキ ARP はディセーブルになりません。
（注） show arp 特権 EXEC コマンドを使用して、プライベート VLAN インターフェイス ARP エントリを表示し、確認することを推奨します。
• あるデバイスからスイッチを切断したあと、MAC アドレスは異なるものの IP アドレスが同じ別のデバイスにそのスイッチを接続した場合、ARP エントリは作成されず、次のメッセージが表示されます。
20.6.2.1, hw: 0000.0602.0001 by hw: 0000.0503.0001
• デバイスの MAC アドレスが変わった場合は、 no arp ip-address グローバル コンフィギュレーション コマンドを使用して、プライベート VLAN インターフェイス ARP エントリを手動で削除する必要があります。
• プライベート VLAN ARP エントリを追加するには、 arp ip-address hardware-address type グローバル コンフィギュレーション コマンドを使用します。
• スイッチのスティッキ ARP をディセーブルにするには、 no sticky-arp グローバル コンフィギュレーション コマンドを使用します。
• インターフェイスのスティッキ ARP をディセーブルにするには、 no sticky-arp インターフェイス コンフィギュレーション コマンドを使用します。
例
通常の SVI でスティッキ ARP をイネーブルにするには、次のようにします。
レイヤ 3 インターフェイスまたは SVI でスティッキ ARP をディセーブルにするには、次のようにします。
関連コマンド
|
|
|
|---|---|
ip verify source
インターフェイスで IP ソース ガードをイネーブルにするには、 ip verify source インターフェイス コンフィギュレーション コマンドを使用します。IP ソース ガードをディセーブルにするには、このコマンドの no 形式を使用します。
ip verify source [ port-security ]
構文の説明
（任意）IP および MAC アドレス フィルタリングによる IP ソース ガードをイネーブルにします。 port-security キーワードを入力しない場合、IP アドレス フィルタリングによる IP ソース ガードがイネーブルになります。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
送信元 IP アドレス フィルタリングによる IP ソース ガードをイネーブルにするには、 ip verify source インターフェイス コンフィギュレーション コマンドを使用します。
送信元 IP および MAC アドレス フィルタリングによる IP ソース ガードをイネーブルにするには、 ip verify source port-security インターフェイス コンフィギュレーション コマンドを使用します。
送信元 IP および MAC アドレス フィルタリングによる IP ソース ガードをイネーブルにするには、インターフェイスのポート セキュリティをイネーブルにする必要があります。
例
次の例では、送信元 IP アドレス フィルタリングによる IP ソース ガードをイネーブルにする方法を示します。
次の例では、送信元 IP および MAC アドレス フィルタリングによる IP ソース ガードをイネーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
ipv6 access-list
IPv6 アクセス リストを定義し、スイッチを IPv6 アクセス リスト コンフィギュレーション モードにするには、 ipv6 access-list グローバル コンフィギュレーション コマンドを使用します。アクセス リストを削除するには、このコマンドの no 形式を使用します。
ipv6 access-list access-list-name
no ipv6 access-list access-list-name
（注） このコマンドは、スイッチでデュアル IPv4/IPv6 SDM テンプレートが設定されている場合にだけ使用可能です。
構文の説明
IPv6 アクセス リスト名。名前にはスペースまたは引用符を含めることはできません。また、数字で開始することもできません。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デュアル IPv4/IPv6 テンプレートを設定するには、 sdm prefer dual-ipv4-and-ipv6 グローバル コンフィギュレーション コマンドを入力し、スイッチをリロードします。
IPv6 固有である点を除くと、 ipv6 access-list コマンドは ip access-list コマンドと類似しています。
（注） IPv6 ACL は一意な名前によって定義されます（IPv6 は番号付けされた ACL をサポートしません）。IPv4 ACL と IPv6 ACL は同じ名前を共有できません。
IPv6 オプション ヘッダーに基づいた IPv6 トラフィックのフィルタリングに関する情報と任意の上位層プロトコル タイプ情報の詳細については、 ipv6 access-list および permit（IPv6 アクセス リスト コンフィギュレーション） コマンドを参照してください。変換された IPv6 ACL の設定例については、「例」を参照してください。
（注） 各 IPv6 ACL には最後の一致条件として、暗黙の permit icmp any any nd-na、permit icmp any any nd-ns、および deny ipv6 any any ステートメントがあります。このうち 2 つの permit 条件は、ICMPv6 ネイバー探索を許可します。ICMPv6 ネイバー探索を許可しないで icmp any any nd-na または icmp any any nd-ns を拒否するには、明示的な拒否エントリが ACL 内にある必要があります。暗黙的な deny ipv6 any any ステートメントを有効にするには、IPv6 ACL に 1 つまたは複数のエントリを含める必要があります。
IPv6 ネイバー探索プロセスでは、IPv6 ネットワーク レイヤ サービスを使用します。したがって、デフォルトでは IPv6 ACL により、IPv6 ネイバー探索パケットのインターフェイス上での送受信が暗黙に許可されます。IPv4 では、IPv6 ネイバー探索プロセスと同等のアドレス解決プロトコル（ARP）は、別のデータリンク レイヤ プロトコルを使用します。したがってデフォルトでは、IPv4 ACL により、ARP パケットのインターフェイス上での送受信が暗黙に許可されます。
IPv6 ACL を IPv6 インターフェイスに適用するには、 access-list-name 引数を指定して ipv6 traffic-filter インターフェイス コンフィギュレーション コマンドを使用します。着信および発信 IPv6 ACL をレイヤ 3 物理インターフェイス、またはルーテッド ACL のスイッチ仮想インターフェイスに適用することはできますが、ポート ACL のレイヤ 2 インターフェイスに適用できるのは着信 IPv6 ACL のみです。
（注） ipv6 traffic-filter コマンドでインターフェイスに適用された IPv6 ACL は、スイッチによって転送されるトラフィックはフィルタリングしますが、スイッチによって生成されたトラフィックはフィルタリングしません。
例
次の例では、スイッチを IPv6 アクセス リスト コンフィギュレーション モードにし、list2 という名の IPv6 ACL を設定し、その ACL をインターフェイス上の発信トラフィックに適用します。最初の ACL エントリは、ネットワーク FE80:0:0:2::/64 からのすべてのパケット（送信元 IPv6 アドレスの最初の 64 ビットとして、リンクローカル プレフィクス FE80:0:0:2 のあるパケット）がインターフェイスから送信されるのを防ぎます。ACL の 2 番目のエントリは、その他すべてのトラフィックがインターフェイスから送信されるのを許可します。すべてのパケットを拒否する暗黙の条件が各 IPv6 ACL の末尾にあるので、この 2 番目のエントリが必要となります。
（注） 暗黙の拒否条件に依存するか、または deny any any ステートメントを指定してトラフィックをフィルタリングする IPv6 ACL には、プロトコル パケットのフィルタリングを避けるため、リンクローカル アドレスに対する permit ステートメントを含める必要があります。また、deny ステートメントを使用してトラフィックをフィルタリングする IPv6 ACL では、permit any any ステートメントをリストの最後のステートメントとして使用する必要があります。
関連コマンド
|
|
|
|---|---|
ipv6 address dhcp
Dynamic Host Configuration Protocol for IPv6（DHCPv6）サーバからインターフェイスの IPv6 アドレスを取得するには、 ipv6 address dhcp インターフェイス コンフィギュレーション コマンドを使用します。インターフェイスからアドレスを削除するには、このコマンドの no 形式を使用します。
ipv6 address dhcp [rapid-commit]
no ipv6 address dhcp [rapid-commit]
（注） このコマンドは、スイッチでデュアル IPv4/IPv6 SDM テンプレートが設定されている場合にだけ使用可能です。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デュアル IPv4/IPv6 テンプレートを設定するには、 sdm prefer dual-ipv4-and-ipv6 グローバル コンフィギュレーション コマンドを入力し、スイッチをリロードします。
ipv6 address dhcp インターフェイス コンフィギュレーション コマンドを使用すると、すべてのインターフェイスは DHCP プロトコルを使用して IPv6 アドレスを動的に学習できます。
rapid-commit キーワードを使用すると、アドレス割り当てや他の設定用に 2 つのメッセージ交換方式を使用できます。キーワードがイネーブルの場合、クライアントでは送信請求メッセージに rapid-commit オプションが含まれます。
例
次の例では、IPv6 アドレスを取得し、rapid-commit オプションをイネーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
ipv6 dhcp client request vendor
DHCP for IPv6（DHCPv6）サーバからオプションを要求するよう IPv6 クライアントを設定するには、 ipv6 dhcp client request インターフェイス コンフィギュレーション コマンドを使用します。要求を削除するには、このコマンドの no 形式を使用します。
ipv6 dhcp client request vendor
no ipv6 dhcp client request vendor
（注） このコマンドは、スイッチでデュアル IPv4/IPv6 SDM テンプレートが設定されている場合にだけ使用可能です。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デュアル IPv4/IPv6 テンプレートを設定するには、 sdm prefer dual-ipv4-and-ipv6 グローバル コンフィギュレーション コマンドを入力し、スイッチをリロードします。
ベンダー固有のオプションを要求するには、 ipv6 dhcp client request vendor インターフェイス コンフィギュレーション コマンドを使用します。このコマンドがイネーブルの場合、コマンドは IPv6 アドレスが DHCP から取得されたときのみチェックされます。インターフェイスが IPv6 アドレスを取得したあとでコマンドを入力した場合、次にクライアントが DHCP から IPv6 アドレスを取得するまでこのコマンドは有効になりません。
例
次の例では、要求ベンダー固有のオプションをイネーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
ipv6 dhcp ping packets
DHCP for IPv6（DHCPv6）サーバが、ping 動作の一部としてプール アドレスに送信するパケットの数を指定するには、 ipv6 dhcp ping packets グローバル コンフィギュレーション コマンドを使用します。サーバがプール アドレスに ping を実行するのを回避するには、このコマンドの no 形式を使用します。
（注） このコマンドは、スイッチでデュアル IPv4/IPv6 SDM テンプレートが設定されている場合にだけ使用可能です。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デュアル IPv4/IPv6 テンプレートを設定するには、 sdm prefer dual-ipv4-and-ipv6 グローバル コンフィギュレーション コマンドを入力し、スイッチをリロードします。
DHCPv6 サーバは、アドレスを要求クライアントに割り当てる前にプール アドレスの ping を実行します。ping に応答がない場合、サーバはより高い確率でアドレスが使用されていないものと仮定し、アドレスを要求クライアントに割り当てます。
例
次の例では、ping 試行を停止するまで DHCPv6 サーバが実行する 2 つの ping 試行を指定します。
関連コマンド
|
|
|
|---|---|
DHCPv6 サーバが検出したアドレスの衝突、またはクライアントからの DECLINE メッセージを通じて報告されたアドレスの衝突を表示します。 |
ipv6 dhcp pool
DHCP for IPv6（DHCPv6）プール コンフィギュレーション モードを開始するには、 ipv6 dhcp pool グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
（注） このコマンドは、スイッチでデュアル IPv4/IPv6 SDM テンプレートが設定されている場合にだけ使用可能です。
構文の説明
DHCPv6 プール用にユーザ定義された名前。プール名は、記号文字列（ Engineering など）または整数（0 など）です。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
コマンドが導入され、 address prefix 、 lifetime 、 link-address 、および vendor-specific キーワードがコマンド サブモードに追加されました。 |
使用上のガイドライン
デュアル IPv4/IPv6 テンプレートを設定するには、 sdm prefer dual-ipv4-and-ipv6 グローバル コンフィギュレーション コマンドを入力し、スイッチをリロードします。
ipv6 dhcp pool コマンドを使用すると、DHCPv6 プール コンフィギュレーション モードをイネーブルにします。使用できるコンフィギュレーション コマンドは、次のとおりです。
• address prefix IPv6-prefix： アドレスの割り当てにアドレス プレフィクスを設定します。このアドレスは、16 ビット値をコロンで区切った 16 進数にする必要があります。
• lifetime t1 t2：IPv6 アドレスの valid および preferred の時間間隔（秒単位）を設定します。指定できる範囲は 5 ～ 4294967295 秒です。valid のデフォルトは 2 日です。preferred のデフォルトは 1 日です。有効期間は、preferred ライフタイム以上にする必要があります。時間間隔を指定しない場合は 無制限 になります。
• link-address IPv6-prefix： リンクアドレス IPv6 プレフィクスを設定します。着信インターフェイスのアドレスまたはパケット内のリンクアドレスが指定の IPv6 プレフィクスと一致した場合、サーバは構成情報プールを使用します。このアドレスは、16 ビット値をコロンで区切った 16 進数にする必要があります。
• vendor-specific ：DHCPv6 ベンダー固有のコンフィギュレーション モードをイネーブルにします。使用できるコンフィギュレーション コマンドは、次のとおりです。
– vendor-id ：ベンダー固有の ID 番号を入力します。この番号はベンダーの IANA 民間企業番号です。指定できる範囲は 1 ～ 4294967295 です。
– suboption number：ベンダー固有のサブオプション番号を設定します。指定できる範囲は 1 ～ 65535 です。IPv6 アドレス、ASCII テキスト、または 16 進数の文字列をサブオプション パラメータによって定義されたものとして入力します。
DHCPv6 構成情報プールを作成したあと、プールとインターフェイス上のサーバを関連付けるには、 ipv6 dhcp server インターフェイス コンフィギュレーション コマンドを使用します。ただし、情報プールを設定していない場合、 ipv6 dhcp server インターフェイス コンフィギュレーション コマンドを使用して、インターフェイスで DHCPv6 サーバ機能をまだイネーブルにする必要があります。
DHCPv6 プールをインターフェイスに関連付けると、そのプールのみが関連付けられたインターフェイスの要求を処理します。プールは他のインターフェイスも処理します。DHCPv6 プールをインターフェイスに関連付けていない場合、プールは任意のインターフェイスの要求を処理できます。
IPv6 アドレス プレフィクスを使用しないと、プールは設定されたオプションを戻すことだけを行います。
link-address キーワードを使用すると、必ずしもアドレスを割り当てることなくリンクアドレスを照合します。プール内で複数のリンクアドレス コンフィギュレーション コマンドを使用して、複数のリレーからプールを照合できます。
アドレス プール情報またはリンク情報に関して最長一致が実行されるので、アドレスを割り当てるようプールを設定し、設定されたオプションのみを戻すサブプレフィクス上に別のプールを設定できます。
例
次の例では、 engineering with an IPv6 address prefix というプールを設定する方法を示します。
次の例では、3 つのリンクアドレス プレフィクスと 1 つの IPv6 アドレス プレフィクスを持った testgroup というプールを設定する方法を示します。
次の例では、ベンダー固有のオプションのある 350 というプールを設定する方法を示します。
関連コマンド
|
|
|
|---|---|
ipv6 dhcp server
インターフェイスで DHCP for IPv6（DHCPv6）サービスをイネーブルにするには、 ipv6 dhcp server インターフェイス コンフィギュレーション コマンドを使用します。インターフェイスで DHCPv6 サービスをディセーブルにするには、このコマンドの no 形式を使用します。
ipv6 dhcp server [poolname | automatic ] [ rapid-commit ] [ preference value] [ allow-hint ]
no ipv6 dhcp server [poolname | automatic ] [ rapid-commit ] [ preference value] [ allow-hint ]
（注） このコマンドは、スイッチでデュアル IPv4/IPv6 SDM テンプレートが設定されている場合にだけ使用可能です。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
ipv6 dhcp server インターフェイス コンフィギュレーション コマンドを使用すると、指定のインターフェイスで DHCPv6 サービスをイネーブルにします。
automatic キーワードを使用すると、システムはクライアントにアドレスを割り当てる際に使用するプールを自動的に決定できます。サーバが IPv6 DHCP パケットを受信すると、サーバはパケットを DHCP リレーから受信したか、クライアントから直接受信したかを判断します。パケットをリレーから受信した場合、サーバはクライアントに最も近い最初のリレーに関連したパケットの内部のリンクアドレス フィールドを検証します。サーバは、最長プレフィクス一致を検出するため、IPv6 DHCP プール内のすべてのアドレス プレフィクス設定とリンクアドレス設定について、このリンクアドレスを照合します。サーバは最長一致に関連したプールを選択します。
パケットをクライアントから直接受信した場合、サーバは同じ照合を行いますが、照合を行う際、着信インターフェイス上に設定されたすべての IPv6 アドレスを使用します。もう一度、サーバは最長プレフィクス一致を選択します。
rapid-commit キーワードを使用すると、2 つのメッセージ交換をイネーブルにします。
preference キーワードに 0 以外の値が設定されている場合、サーバは preference オプションを追加してアドバタイズ メッセージ用に preference 値を伝送します。このアクションは、クライアントによるサーバの選択に影響します。preference オプションを含まないアドバタイズ メッセージでは、preference 値は 0 であるとみなされます。クライアントが preference 値 255 のあるアドバタイズ メッセージを受信した場合、クライアントはメッセージの受信元であるサーバに要求メッセージをただちに送信します。
allow-hint キーワードが指定されている場合、サーバは有効なクライアント提案アドレスを送信請求メッセージと要求メッセージに割り当てます。プレフィクス アドレスが関連するローカル プレフィクス アドレス プールにあり、デバイスに割り当てられていない場合、このプレフィクス アドレスは有効です。 allow-hint キーワードが指定されていない場合、サーバはクライアントのヒントを無視し、アドレスはプール内のフリー リストから割り当てられます。
DHCPv6 クライアント、サーバ、およびリレー機能は、1 つのインターフェイスでは同時に指定できません。これらの機能のいずれかがすでにイネーブルであり、同じインターフェイスに別の機能を設定しようとすると、スイッチは次のいずれかのメッセージを戻します。
例
次の例では、testgroup というプール用に DHCPv6 をイネーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
ipv6 mld snooping
IP version 6（IPv6）Multicast Listener Discovery（MLD）スヌーピングをグローバルまたは VLAN 単位でイネーブルにするには、キーワードを指定せずに ipv6 mld snooping グローバル コンフィギュレーション コマンドを使用します。MLD スヌーピングを、スイッチ、スイッチスタック、または VLAN 上でディセーブルにする場合は、このコマンドの no 形式を使用します。
ipv6 mld snooping [ vlan vlan-id ]
no ipv6 mld snooping [ vlan vlan-id ]
（注） このコマンドは、スイッチでデュアル IPv4/IPv6 SDM テンプレートが設定されている場合にのみ使用可能です。
構文の説明
（任意）指定の VLAN で IPv6 MLD スヌーピングをイネーブルまたはディセーブルにします。指定できる VLAN ID 範囲は 1 ～ 1001 および 1006 ～ 4094 です。 |
デフォルト
スイッチ上で、MLD スヌーピングはグローバルにディセーブルです。
すべての VLAN で MLD スヌーピングはイネーブルです。ただし、VLAN スヌーピングが実行される前に、MLD スヌーピングをグローバルにイネーブルにする必要があります。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デュアル IPv4/IPv6 テンプレートを設定するには、 sdm prefer dual-ipv4-and-ipv6 グローバル コンフィギュレーション コマンドを入力し、スイッチをリロードします。
MLD スヌーピングがグローバルにディセーブルである場合、すべての既存の VLAN インターフェイスで MLD スヌーピングがディセーブルになります。MLD スヌーピングをグローバルにイネーブルにすると、デフォルトの状態（イネーブル）であるすべての VLAN インターフェイス上で MLD スヌーピングがイネーブルになります。VLAN 設定は、MLD スヌーピングがディセーブルのインターフェイス上のグローバル コンフィギュレーションを上書きします。
MLD スヌーピングがグローバルにディセーブルである場合、VLAN 上で MLD スヌーピングをイネーブルにできません。MLD スヌーピングがグローバルにイネーブルである場合、個々の VLAN 上で MLD スヌーピングをディセーブルにできます。
IPv6 マルチキャスト ルータが Catalyst 6500 スイッチであり、拡張 VLAN（範囲 1006 ～ 4094）を使用する場合、スイッチが VLAN 上でクエリーを受信できるようにするため、IPv6 MLD スヌーピングを Catalyst 6500 スイッチの拡張 VLAN でイネーブルにする必要があります。標準範囲 VLAN（1 ～ 1005）の場合、IPv6 MLD スヌーピングを Catalyst 6500 スイッチの VLAN でイネーブルにする必要はありません。
1002 ～ 1005 の VLAN 番号は、トークンリング VLAN および FDDI VLAN のために予約されているため、MLD スヌーピングには使用できません。
例
次の例では、MLD スヌーピングをグローバルにイネーブルにする方法を示します。
次の例では、MLD スヌーピングを VLAN でディセーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
ipv6 mld snooping last-listener-query-count
- クライアントがエージング アウトになる前に送信される IP version 6（IPv6）Multicast Listener Discovery（MLD）Multicast Address Specific Queries（MASQ）を設定するには、 ipv6 mld snooping last-listener-query-count グローバル コンフィギュレーション コマンドを使用します。クエリー カウントをデフォルト設定にリセットするには、このコマンドの no 形式を使用します。
ipv6 mld snooping [ vlan vlan-id ] last-listener-query-count integer_value
no ipv6 mld snooping [ vlan vlan-id ] last-listener-query-count
（注） このコマンドは、スイッチでデュアル IPv4/IPv6 SDM テンプレートが設定されている場合にのみ使用可能です。
構文の説明
（任意）指定の VLAN で last-listener クエリー カウントを設定します。指定できる VLAN ID 範囲は 1 ～ 1001 および 1006 ～ 4094 です。 |
|
コマンド デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デュアル IPv4/IPv6 テンプレートを設定するには、 sdm prefer dual-ipv4-and-ipv6 グローバル コンフィギュレーション コマンドを入力し、スイッチをリロードします。
MLD スヌーピングでは、IPv6 マルチキャスト ルータはマルチキャスト グループに所属するホストにクエリーを定期的に送信します。ホストがマルチキャスト グループを脱退する場合、ホストは静かに脱退する、または Multicast Listener Done メッセージでクエリーに応答できます（IGMP Leave メッセージに相当）。即時脱退が設定されていない場合（1 つのグループに対し複数のクライアントが同じポート上に存在する場合は設定しない）、設定された last-listener クエリー カウントにより、MLD クライアントが期限切れになる前に送信する MASQ の数が決定します。
last-listener クエリー カウントが VLAN 用に設定されている場合、このカウントはグローバルに設定された値より優先されます。VLAN カウントが設定されていない（デフォルトの 0 に設定されている）場合は、グローバル カウントが使用されます。
1002 ～ 1005 の VLAN 番号は、トークンリング VLAN および FDDI VLAN のために予約されているため、MLD スヌーピングには使用できません。
例
次の例では、last-listener クエリー カウントをグローバルに設定する方法を示します。
次の例では、last-listener クエリー カウントを VLAN 10 に設定する方法を示します。
設定を確認するには、 show ipv6 mld snooping [ vlan vlan-id ] ユーザ EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
ipv6 mld snooping last-listener-query-interval
スイッチまたは VLAN で IP version 6（IPv6）Multicast Listener Discovery（MLD）スヌーピングの last-listener クエリー間隔を設定するには、 ipv6 mld snooping last-listener-query-interval グローバル コンフィギュレーション コマンドを使用します。この時間間隔は、Mulitcast Address Specific Query（MASQ）マルチキャスト グループからポートを削除する前にマルチキャスト ルータが待機する最大時間です。クエリー時間をデフォルト設定にリセットするには、このコマンドの no 形式を使用します。
ipv6 mld snooping [ vlan vlan-id ] last-listener-query-interval integer_value
no ipv6 mld snooping [ vlan vlan-id ] last-listener-query-interval
（注） このコマンドは、スイッチでデュアル IPv4/IPv6 SDM テンプレートが設定されている場合にのみ使用可能です。
構文の説明
コマンド デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デュアル IPv4/IPv6 テンプレートを設定するには、 sdm prefer dual-ipv4-and-ipv6 グローバル コンフィギュレーション コマンドを入力し、スイッチをリロードします。
MLD スヌーピングでは、IPv6 マルチキャスト ルータが MLD Leave メッセージを受信すると、マルチキャスト グループに所属するホストにクエリーを送信します。一定の時間、ポートから MASQ への応答がない場合、ルータはマルチキャスト アドレスのメンバシップ データベースからそのポートを削除します。last listener クエリー間隔は、応答のないポートをマルチキャスト グループから削除する前にルータが待機する最大時間です。
VLAN クエリー間隔が設定されていると、グローバル クエリー間隔より優先されます。VLAN 間隔が 0 に設定されていると、グローバル値が使用されます。
1002 ～ 1005 の VLAN 番号は、トークンリング VLAN および FDDI VLAN のために予約されているため、MLD スヌーピングには使用できません。
例
次の例では、last-listener クエリー間隔を 2 秒にグローバルに設定する方法を示します。
次の例では、VLAN 1 用の last-listener クエリー間隔を 5.5 秒に設定する方法を示します。
設定を確認するには、 show ipv6 MLD snooping [ vlan vlan-id ] ユーザ EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
ipv6 mld snooping listener-message-suppression
IP version 6（IPv6）Multicast Listener Discovery（MLD）スヌーピング リスナー メッセージ抑制をイネーブルにするには、 ipv6 mld snooping listener-message-suppression グローバル コンフィギュレーション コマンドを使用します。MLD スヌーピング リスナー メッセージ抑制をディセーブルにするには、このコマンドの no 形式を使用します。
ipv6 mld snooping listener-message-suppression
no ipv6 mld snooping listener-message-suppression
（注） このコマンドは、スイッチでデュアル IPv4/IPv6 SDM テンプレートが設定されている場合にのみ使用可能です。
コマンド デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デュアル IPv4/IPv6 テンプレートを設定するには、 sdm prefer dual-ipv4-and-ipv6 グローバル コンフィギュレーション コマンドを入力し、スイッチをリロードします。
MLD スヌーピング リスナー メッセージ抑制は、IGMP レポート抑制に相当します。イネーブルの場合、グループに対する受信 MLDv1 レポートはレポート転送時間ごとに 1 回だけ IPv6 マルチキャスト ルータに転送されます。これにより、重複レポートの転送を避けられます。
例
次の例では、MLD スヌーピング リスナー メッセージ抑制をイネーブルにする方法を示します。
次の例では、MLD スヌーピング リスナー メッセージ抑制をディセーブルにする方法を示します。
設定を確認するには、 show ipv6 mld snooping [ vlan vlan-id ] ユーザ EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
ipv6 mld snooping robustness-variable
応答のないリスナーを削除するまでにスイッチが送信する IP version 6（IPv6）Multicast Listener Discovery（MLD）クエリーの数を設定するには、 ipv6 mld snooping robustness-variable グローバル コンフィギュレーション コマンドを使用します。VLAN ごとに設定するには、VLAN ID を入力します。変数をデフォルト設定にリセットするには、このコマンドの no 形式を使用します。
ipv6 mld snooping [ vlan vlan-id ] robustness-variable integer_value
no ipv6 mld snooping [ vlan vlan-id ] robustness-variable
（注） このコマンドは、スイッチでデュアル IPv4/IPv6 SDM テンプレートが設定されている場合にのみ使用可能です。
構文の説明
（任意）指定の VLAN にロバストネス変数を設定します。指定できる VLAN ID 範囲は 1 ～ 1001 および 1006 ～ 4094 です。 |
|
コマンド デフォルト
デフォルトのグローバル ロバストネス変数（リスナーを削除する前のクエリー数）は、2 です。
デフォルトの VLAN ロバストネス変数（マルチキャスト アドレスが期限切れになる前のクエリー数）は 0 です。リスナーの期限の判断には、グローバル ロバストネス変数が使用されます。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デュアル IPv4/IPv6 テンプレートを設定するには、 sdm prefer dual-ipv4-and-ipv6 グローバル コンフィギュレーション コマンドを入力し、スイッチをリロードします。
ロバストネスは、ポートをマルチキャスト グループから削除する前に送信された応答がなかった MLDv1 クエリー数の点から測定されます。設定された回数送信された MLDv1 クエリーに対して受信した MLDv1 レポートがない場合、ポートが削除されます。グローバル値により、スイッチが応答しないリスナーを削除する前に待機するクエリー数が決定し、VLAN 値が設定されていない VLAN すべてに適用します。
VLAN に設定されたロバストネス値はグローバル値より優先されます。VLAN ロバストネス値が 0（デフォルト）の場合、グローバル値が使用されます。
1002 ～ 1005 の VLAN 番号は、トークンリング VLAN および FDDI VLAN のために予約されているため、MLD スヌーピングには使用できません。
例
次の例では、スイッチが応答しないリスナー ポートを削除する前に 3 つのクエリーを送信するようグローバル ロバストネス変数を設定する方法を示します。
次の例では、VLAN 1 にロバストネス変数を設定する方法を示します。この値は VLAN のグローバル コンフィギュレーションより優先されます。
設定を確認するには、 show ipv6 MLD snooping [ vlan vlan-id ] ユーザ EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
ipv6 mld snooping tcn
IP version 6（IPv6）Multicast Listener Discovery（MLD）Topology Change Notifications（TNC; トポロジ変更通知）を設定するには、 ipv6 mld snooping tcn グローバル コンフィギュレーション コマンドを使用します。デフォルト設定にリセットするには、このコマンドの no 形式を使用します。
ipv6 mld snooping tcn { flood query count integer_value | query solicit }
no ipv6 mld snooping tcn { flood query count integer_value | query solicit }
（注） このコマンドは、スイッチでデュアル IPv4/IPv6 SDM テンプレートが設定されている場合にのみ使用可能です。
構文の説明
フラッディング クエリー カウントを設定します。これは、クエリーの受信を要求したポートに対しマルチキャスト データを転送する前に送信されるクエリー数です。指定できる範囲は 1 ～ 10 です。 |
|
コマンド デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デュアル IPv4/IPv6 テンプレートを設定するには、 sdm prefer dual-ipv4-and-ipv6 グローバル コンフィギュレーション コマンドを入力し、スイッチをリロードします。
例
次の例では、TCN クエリー送信請求をイネーブルにする方法を示します。
次の例では、フラッディング クエリー カウントを 5 に設定する方法を示します。
設定を確認するには、 show ipv6 MLD snooping [ vlan vlan-id ] ユーザ EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
ipv6 mld snooping vlan
VLAN インターフェイスで IP version 6（IPv6）Multicast Listener Discovery（MLD）スヌーピング パラメータを設定するには、 ipv6 mld snooping vlan グローバル コンフィギュレーション コマンドを使用します。パラメータをデフォルト設定にリセットするには、このコマンドの no 形式を使用します。
ipv6 mld snooping vlan vlan-id [ immediate-leave | mrouter interface interface-id | static ipv6-multicast-address interface interface-id ]
no ipv6 mld snooping vlan vlan-id [ immediate-leave | mrouter interface interface-id | static ip-address interface interface-id ]
（注） このコマンドは、スイッチでデュアル IPv4/IPv6 SDM テンプレートが設定されている場合にのみ使用可能です。
構文の説明
（任意）VLAN インターフェイス上で、MLD の即時脱退処理をイネーブルにします。この機能をインターフェイス上でディセーブルにするには、このコマンドの no 形式を使用します。 |
|
レイヤ 2 ポートをグループに追加します。マルチキャスト ルータまたはスタティック インターフェイスは、物理ポートまたはインターフェイス範囲 1 ～ 48 の ポートチャネル インターフェイスにすることができます。 |
コマンド デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デュアル IPv4/IPv6 テンプレートを設定するには、 sdm prefer dual-ipv4-and-ipv6 グローバル コンフィギュレーション コマンドを入力し、スイッチをリロードします。
VLAN の各ポート上に 1 つのレシーバーだけが存在する場合、即時脱退処理の機能だけを設定してください。設定は、NVRAM（不揮発性 RAM）に保存されます。
static キーワードは MLD メンバー ポートを静的に設定するために使用されます。
設定およびスタティック ポートとグループは、NVRAM に保存されます。
IPv6 マルチキャスト ルータが Catalyst 6500 スイッチであり、拡張 VLAN（範囲 1006 ～ 4094）を使用する場合、Catalyst 3750 または Catalyst 3560 スイッチが VLAN 上でクエリーを受信できるようにするため、IPv6 MLD スヌーピングを Catalyst 6500 スイッチの拡張 VLAN でイネーブルにする必要があります。標準範囲 VLAN（1 ～ 1005）の場合、IPv6 MLD スヌーピングを Catalyst 6500 スイッチの VLAN でイネーブルにする必要はありません。
1002 ～ 1005 の VLAN 番号は、トークンリング VLAN および FDDI VLAN のために予約されているため、MLD スヌーピングには使用できません。
例
次の例では、VLAN 1 で MLD 即時脱退処理をイネーブルにする方法を示します。
次の例では、VLAN 1 で MLD 即時脱退処理をディセーブルにする方法を示します。
次の例では、ポートをマルチキャスト ルータ ポートとして設定する方法を示します。
次の例では、スタティック マルチキャスト グループを設定する方法を示します。
設定を確認するには、 show ipv6 mld snooping vlan vlan-id ユーザ EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
ipv6 traffic-filter
インターフェイスで IPv6 トラフィックをフィルタリングするには、 ipv6 traffic-filter インターフェイス コンフィギュレーション コマンドを使用します。フィルタリングできるトラフィックのタイプと方向は、スイッチで稼動するイメージによって異なります。インターフェイスでの IPv6 トラフィックのフィルタリングをディセーブルにするには、このコマンドの no 形式を使用します。
ipv6 traffic-filter access-list-name { in | out }
no ipv6 traffic-filter access-list-name { in | out }
（注） このコマンドは、スイッチでデュアル IPv4/IPv6 SDM テンプレートが設定されている場合にだけ使用可能です。
構文の説明
| キーワードはレイヤ 2 インターフェイス（ポート ACL）ではサポートされません。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
IP サービスおよび IP ベース イメージの着信レイヤ 3 管理トラフィック（ルータ ACL）のサポートが追加されました。 |
使用上のガイドライン
デュアル IPv4/IPv6 テンプレートを設定するには、 sdm prefer dual-ipv4-and-ipv6 グローバル コンフィギュレーション コマンドを入力し、スイッチをリロードします。
物理インターフェイス（レイヤ 2 またはレイヤ 3 ポート）、レイヤ 3 ポート チャネル、またはスイッチ仮想インターフェイス（SVI）で ipv6 traffic-filter コマンドを使用できます。
ACL は、レイヤ 3 インターフェイス（ポート ACL）の発信または着信トラフィックに、あるいはレイヤ 2 インターフェイス（ルータ ACL）の着信トラフィックに適用できます。
いずれか のポート ACL（IPv4、IPv6、または MAC）がインターフェイスに適用された場合、そのポート ACL を使用してパケットをフィルタリングし、ポート VLAN の SVI に適用されたルータ ACL は無視されます。
例
次の例では、 cisco という名のアクセス リストの定義に従って、IPv6 設定のインターフェイスで着信 IPv6 トラフィックをフィルタリングする方法を示します。
関連コマンド
|
|
|
|---|---|
l2protocol-tunnel
アクセス ポート、IEEE 802.1Q トンネル ポート、またはポート チャネルでレイヤ 2 プロトコルのトンネリングをイネーブルにするには、 l2protocol-tunnel インターフェイス コンフィギュレーション コマンドを使用します。シスコ検出プロトコル（CDP）、Spanning Tree Protocol（STP; スパニング ツリー プロトコル）、または VLAN トランキング プロトコル（VTP）パケットのトンネリングをイネーブルにできます。また、Port Aggregation Protocol（PAgP; ポート集約プロトコル）、Link Aggregation Control Protocol（LACP）、または UniDirectional Link Detection（UDLD; 単方向リンク検出）パケットのポイントツーポイント トンネリングをイネーブルにできます。インターフェイスでトンネリングをディセーブルにする場合は、このコマンドの no 形式を使用します。
l2protocol-tunnel [ cdp | stp | vtp ] [ point-to-point [ pagp | lacp | udld ]] | [ shutdown-threshold
[ cdp | stp | vtp ] [ point-to-point [ pagp | lacp | udld ]]] value ] | [ drop-threshold [ cdp | stp | vtp ] [ point-to-point [ pagp | lacp | udld ]] value ]
no l2protocol-tunnel [ cdp | stp | vtp ] [ point-to-point [ pagp | lacp | udld ]] | [ shutdown-threshold
[ cdp | stp | vtp ] [ point-to-point [ pagp | lacp | udld ]]] | [ drop-threshold [ cdp | stp | vtp ] [ point-to-point [ pagp | lacp | udld ]]]
構文の説明
デフォルト
デフォルトでは、レイヤ 2 プロトコルのトンネリングは設定されていません。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
レイヤ 2 パケットをトンネリングするには、このコマンドを入力する必要があります（必要な場合は、プロトコル タイプを指定）。
このコマンドをポート チャネルで入力する場合、チャネル内のすべてのポートが同じ設定になる必要があります。
サービス プロバイダー ネットワーク内のレイヤ 2 プロトコル トンネリングは、レイヤ 2 の情報が確実にネットワーク内のすべての顧客に伝播するようにします。プロトコル トンネリングがイネーブルになると、ネットワーク内の伝送用に、プロトコル パケットがシスコの既知のマルチキャスト アドレスでカプセル化されます。パケットが宛先に到着すると、既知の MAC アドレスがレイヤ 2 プロトコル MAC アドレスに置き換えられます。
CDP、STP、および VTP のレイヤ 2 プロトコル トンネリングは、個別にまたは 3 つすべてのプロトコルに対してイネーブルにできます。
サービス プロバイダー ネットワークでは、ポイントツーポイント ネットワーク トポロジをエミュレートして EtherChannel の作成を強化するのに、レイヤ 2 プロトコル トンネルを使用できます。PAgP または LACP のプロトコル トンネリングがサービス プロバイダーのスイッチでイネーブルにされている場合、リモート カスタマー スイッチは、Protocol Data Unit（PDU; プロトコル データ ユニット）を受信し、EtherChannel の自動作成をネゴシエートできます。
PAgP、LACP、および UDLD パケットのトンネリングをイネーブルにするには、ポイントツーポイント ネットワーク トポロジが必要になります。リンクダウン検出時間を減らすには、PAgP または LACP パケットのトンネリングをイネーブルにするときにインターフェイスで UDLD もイネーブルにする必要があります。
PAgP、LACP、および UDLD のポイントツーポイント プロトコル トンネリングは、個別にまたは 3 つすべてのプロトコルに対してイネーブルにできます。
shutdown-threshold キーワードを入力して、シャットダウンするまでにインターフェイスで受信されるプロトコルの pps（パケット/秒）数を制御します。このキーワードにプロトコル オプションが指定されていない場合は、しきい値が各トンネリング レイヤ 2 プロトコル タイプに適用されます。インターフェイスにドロップしきい値も設定する場合は、シャットダウンしきい値がドロップしきい値以上でなければなりません。
シャットダウンしきい値に到達すると、インターフェイスが errdisable になります。 errdisable recovery cause l2ptguard グローバル コンフィギュレーション コマンドを入力し、エラー回復をイネーブルにした場合、インターフェイスは errdisable ステートから抜け出し、すべての原因がタイムアウトになったときに動作を再開します。 l2ptguard でエラー回復メカニズムをイネーブルにしない場合、インターフェイスは、 shutdown および no shutdown インターフェイス コンフィギュレーション コマンドが入力されるまで errdisable ステートのままになります。
drop-threshold キーワードを入力して、インターフェイスがパケットをドロップするまでにインターフェイスで受信されるプロトコルの pps（パケット/秒）数を制御します。このキーワードにプロトコル オプションが指定されていない場合は、しきい値が各トンネリング レイヤ 2 プロトコル タイプに適用されます。インターフェイスにシャットダウンしきい値も設定する場合は、ドロップしきい値がシャットダウンしきい値以下でなければなりません。
ドロップしきい値に到達すると、受信されるレートがドロップしきい値を下回るまでインターフェイスがレイヤ 2 プロトコル パケットをドロップします。
レイヤ 2 プロトコル トンネリングに関する詳細については、このリリースに対応するソフトウェア コンフィギュレーション ガイドを参照してください。
例
次の例では、CDP パケットのプロトコル トンネリングをイネーブルにし、シャットダウンしきい値を 50 pps に設定する方法を示します。
Switch(config-if)# l2protocol-tunnel cdp
Switch(config-if)# l2protocol-tunnel shutdown-threshold cdp 50
次の例では、STP パケットのプロトコル トンネリングをイネーブルにし、ドロップしきい値を 400 pps に設定する方法を示します。
Switch(config-if)# l2protocol-tunnel stp
Switch(config-if)# l2protocol-tunnel drop-threshold stp 400
次の例では、PAgP および UDLD パケットのポイントツーポイント プロトコル トンネリングをイネーブルにし、PAgP ドロップしきい値を 1000 pps に設定する方法を示します。
Switch(config-if)# l2protocol-tunnel point-to-point pagp
Switch(config-if)# l2protocol-tunnel point-to-point udld
Switch(config-if)# l2protocol-tunnel drop-threshold point-to-point pagp 1000
関連コマンド
|
|
|
|---|---|
すべてのトンネリング レイヤ 2 プロトコル パケットに対して Class of Service（CoS; サービス クラス）値を設定します。 |
|
レイヤ 2 プロトコル トンネリングが設定されたポートに関する情報（ポート、プロトコル、CoS、およびしきい値を含む）を表示します。 |
l2protocol-tunnel cos
トンネリングされたレイヤ 2 プロトコル パケットすべてに、Class of Service（CoS; サービス クラス）値を設定するには、 l2protocol-tunnel cos グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
構文の説明
トンネリング レイヤ 2 プロトコル パケットの CoS プライオリティ値を指定します。CoS 値がインターフェイスのデータ パケットに対して設定されている場合、デフォルトでこの CoS 値が使用されます。インターフェイスに CoS 値が設定されていない場合、デフォルトは 5 です。指定できる範囲は 0 ～ 7 です。7 が最も高いプライオリティです。 |
デフォルト
デフォルトでは、インターフェイス上のデータに対して設定された CoS 値が使用されます。CoS 値が設定されていない場合は、すべてのトンネリング レイヤ 2 プロトコル パケットのデフォルトは 5 です。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、レイヤ 2 プロトコル トンネルの CoS 値を 7 に設定する方法を示します。
Switch(config)# l2protocol-tunnel cos 7
関連コマンド
|
|
|
|---|---|
lacp port-priority
Link Aggregation Control Protocol（LACP）のポート プライオリティを設定するには、 lacp port-priority インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
lacp port-priority インターフェイス コンフィギュレーション コマンドは、LACP チャネル グループに 9 つ以上のポートがある場合、バンドルされるポートと、ホット スタンバイ モードに置かれるポートを判別します。
LACP チャネル グループは、同じタイプのイーサネット ポートを 16 まで保有できます。最大 8 つをアクティブに、最大 8 つをスタンバイ モードにできます。
ポート プライオリティの比較では、数値が 小さい ほどプライオリティが 高く なります。LACP チャネル グループに 9 つ以上のポートがある場合、LACP ポート プライオリティの数値が小さい（つまり、高いプライオリティ値の）9 つのポートがチャネル グループにバンドルされ、それより低いプライオリティのポートはホットスタンバイ モードに置かれます。LACP ポート プライオリティが同じポートが 2 つ以上ある場合（たとえば、そのいずれもデフォルト設定の 65535 に設定されている場合）、ポート番号の内部値によりプライオリティが決定します。
（注） LACP リンクを制御するスイッチ上にポートがある場合のみ、LACP ポート プライオリティは有効です。リンクを制御するスイッチの判別については、lacp system-priority グローバル コンフィギュレーション コマンドを参照してください。
LACP ポート プライオリティおよび内部ポート番号値を表示するには、 show lacp internal 特権 EXEC コマンド を使用します。
物理ポート上の LACP の設定に関する情報については、このリリースに対応するソフトウェア コンフィギュレーション ガイドの「Configuring EtherChannels」の章を参照してください。
例
次の例では、ポートで LACP ポート プライオリティを設定する方法を示します。
設定を確認するには、 show lacp [ channel-group-number ] internal 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show lacp [ channel-group-number ] internal |
lacp system-priority
Link Aggregation Control Protocol（LACP）のシステム プライオリティを設定するには、 lacp system-priority グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
lacp system-priority コマンドでは、ポート プライオリティを制御する LACP リンクのスイッチが判別されます。
LACP チャネル グループは、同じタイプのイーサネット ポートを 16 まで保有できます。最大 8 つをアクティブに、最大 8 つをスタンバイ モードにできます。LACP チャネルグループに 9 つ以上のポートがある場合、リンクの制御側終端にあるスイッチは、ポート プライオリティを使用して、チャネルにバンドルするポートおよびホットスタンバイ モードに置くポートを判別します。他のスイッチ上のポート プライオリティ（リンクの非制御側終端）は無視されます。
プライオリティの比較においては、数値が小さいほどプライオリティが高くなります。したがって、LACP システム プライオリティの数値が小さい（プライオリティ値の高い）システムが制御システムとなります。どちらのスイッチも同じ LACP システム プライオリティである場合（たとえば、どちらもデフォルト設定の 32768 が設定されている場合）、LACP システム ID（スイッチの MAC アドレス）により制御するスイッチが判別されます。
lacp system-priority コマンドは、スイッチ上のすべての LACP EtherChannel に適用されます。
ホットスタンバイ モード（ポート ステート フラグの H で出力に表示）にあるポートを判断するには 、 show etherchannel summary 特権 EXEC コマンドを 使用します 。
物理ポート上の LACP の設定の詳細については、このリリースに対応するソフトウェア コンフィギュレーション ガイドの「Configuring EtherChannels」の章を参照してください。
例
次の例では、LACP のシステム プライオリティを設定する方法を示します。
関連コマンド
|
|
|
|---|---|
show lacp sys-id |
link state group
リンクステート グループのメンバーとしてポートを設定するには、 link state group インターフェイス コンフィギュレーション コマンドを使用します。リンクステート グループからポートを削除するには、このコマンドの no 形式を使用します。
link state group [ number ] { upstream | downstream }
no link state group [ number ] { upstream | downstream }
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
指定されたリンク ステート グループのアップストリームまたはダウンストリーム インターフェイスとしてポートを設定するには、 link state group インターフェイス コンフィギュレーション コマンドを使用します。グループ番号が省略されている場合、デフォルトのグループ番号は 1 です。
リンクステート トラッキングをイネーブルにするには、 link-state group を作成し、リンクステート グループに割り当てるインターフェイスを指定します。ポートの集合（EtherChannel）、アクセス モードまたはトランク モードの単一の物理ポート、またはルーテッド ポートをインターフェイスに指定できます。リンクステート グループでは、これらのインターフェイスはまとめてバンドルされます。 ダウンストリーム インターフェイス は、 アップストリーム インターフェイス にバインドされます。サーバに接続されたインターフェイスはダウンストリーム インターフェイスと呼ばれ、ディストリビューション スイッチおよびネットワーク装置に接続されたインターフェイスはアップストリーム インターフェイスと呼ばれます。
ダウンストリーム インターフェイスとアップストリーム インターフェイスの相互運用の詳細については、このリリースに対応するソフトウェア コンフィギュレーション ガイドの「Configuring EtherChannels and Link-State Tracking」の章を参照してください。
設定上の問題を回避するために、次の注意事項に従ってください。
• アップストリーム インターフェイスとして定義されているインターフェイスを、同じまたは異なるリンクステート グループ内でダウンストリーム インターフェイスとして定義することはできません。その逆も同様です。
例
次の例では、group 2 でインターフェイスを upstream として設定する方法を示します。
関連コマンド
|
|
|
|---|---|
link state track
リンクステート グループをイネーブルにするには、 link state track ユーザ EXEC コマンドを使用します。リンクステート グループをディセーブルにするには、このコマンドの no 形式を使用します。
no link state track [ number ]
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
リンクステート グループをイネーブルにするには、 link state track グローバル コンフィギュレーション コマンドを使用します。
例
次の例では、リンクステート グループの group 2 をイネーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
location（グローバル コンフィギュレーション）
エンドポイントのロケーション情報を設定するには、 location グローバル コンフィギュレーション コマンドを使用します。ロケーション情報を削除する場合は、このコマンドの no 形式を使用します。
location { admin-tag string | civic-location identifier id | elin-location string identifier id}
no location { admin-tag string | civic-location identifier id | elin-location string identifier id}
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
location civic-location identifier id グローバル コンフィギュレーション コマンドを入力後、都市ロケーション コンフィギュレーション モードが開始されます。このモードでは、都市ロケーションおよび郵便ロケーション情報を入力できます。
都市ロケーション ID は、250 バイトを超えてはなりません。
ロケーション TLV をディセーブルにするには、no lldp med-tlv-select location 情報インターフェイス コンフィギュレーション コマンドを使用します。デフォルトでは、ロケーション TLV はイネーブルに設定されています。詳細情報については、このリリースに対応するソフトウェア コンフィギュレーション ガイドの「Configuring LLDP and LLDP-MED」の章を参照してください。
例
次の例では、スイッチに都市ロケーション情報を設定する方法を示します。
Switch(config-civic)# number 3550
Switch(config-civic)# primary-road-name "Cisco Way"
Switch(config-civic)# city "San Jose"
Switch(config-civic)# state CA
Switch(config-civic)# building 19
Switch(config-civic)# room C6
Switch(config-civic)# county "Santa Clara"
Switch(config-civic)# country US
Switch(config-civic)# end
設定を確認するには、 show location civic-location 特権 EXEC コマンドを入力します。
次の例では、スイッチ上で 緊急ロケーション情報を設定する方法を示します。
関連コマンド
|
|
|
|---|---|
location（インターフェイス コンフィギュレーション）
インターフェイスのロケーション情報を設定するには、 location インターフェイス コマンドを使用します。インターフェイスのロケーション情報を削除するには、このコマンドの no 形式を使用します。
location { additional-location-information word | civic-location-id id | elin-location-id id}
no location { additional-location-information word | civic-location-id id | elin-location-id id}
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
location civic-location-id id インターフェイス コンフィギュレーション コマンドを入力すると、都市ロケーション コンフィギュレーション モードに入ります。このモードでは、追加のロケーション情報を入力できます。
例
次の例では、インターフェイスに都市ロケーション情報を入力する方法を示します。
設定を確認するには、show location civic interface 特権 EXEC コマンドを入力します。
次の例では、インターフェイスに緊急ロケーション情報を入力する方法を示します。
関連コマンド
|
|
|
|---|---|
logging event
インターフェイス リンク ステータス変更の通知をイネーブルにするには、 logging event インターフェイス コンフィギュレーション コマンドを使用します。通知をディセーブルにするには、このコマンドの no 形式を使用します。
logging event { bundle-status | link-status | spanning-tree | status | trunk status }
no logging event { bundle-status | link-status | spanning-tree | status | trunk status }
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
例
次の例では、スパニングツリー ロギングをイネーブルにする方法を示します。
logging event power-inline-status
Power over Ethernet（PoE）イベントのロギングをイネーブルにするには、 logging event power-inline-status インターフェイス コンフィギュレーション コマンドを使用します。PoE 状態イベントのロギングをディセーブルにする場合は、このコマンドの no 形式を使用しますが、このコマンドの no 形式を使用しても、PoE エラー イベントはディセーブルになりません。
logging event power-inline-status
no logging event power-inline-status
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
logging event power-inline-status コマンドは、PoE インターフェイスでのみ使用できます。
例
次の例では、ポート上で PoE イベントのロギングをイネーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
logging file
ロギング ファイル パラメータを設定するには、 logging file グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
logging file filesystem : filename [ max-file-size | nomax [ min-file-size ]] [ severity-level-number | type ]
no logging file filesystem: filename [ severity-level-number | type ]
構文の説明
（任意）ログ ファイルの重大度のレベルを指定します。指定できる範囲は 0 ～ 7 です。各レベルの意味については、 type オプションを参照してください。 |
|
（任意）ログ タイプを指定します。次のキーワードが有効です。 • |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
ログ ファイルはスイッチの内部バッファに ASCII テキスト形式で保存されます。ロギングされたシステム メッセージにアクセスするには、スイッチの Command-Line Interface（CLI; コマンドライン インターフェイス）を使用するか、または適切に設定された Syslog サーバにこれらのシステム メッセージを保存します。スイッチに障害が生じた場合は、それ以前に logging file flash: filename グローバル コンフィギュレーション コマンドを使用してフラッシュ メモリにログを保存していない限り、ログは失われます。
logging file flash: filename グローバル コンフィギュレーション コマンドで、ログをフラッシュ メモリに保存したあとは、 more flash: filename 特権 EXEC コマンドを使用してその内容を表示できます。
最小ファイル サイズが、最大ファイル サイズから 1024 引いた数より大きい場合、コマンドはその最小ファイルを拒否し、最大ファイル サイズから 1024 引いたサイズで設定されます。
例
次の例では、フラッシュ メモリに情報レベルのログを保存する方法を示します。
関連コマンド
|
|
|
|---|---|
mab request format attribute 32
スイッチ上での VLAN ID ベースの MAC 認証をイネーブルにするには、mab request format attribute 32 vlan access-vlan グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
mab request format attribute 32 vlan access-vlan
no mab request format attribute 32 vlan access-vlan
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、RADIUS サーバがホストの MAC アドレスと VLAN に基づいて新しいユーザを認証できるようにするために使用します。
この機能は、Microsoft IAS RADIUS サーバを持つネットワークで使用してください。Cisco ACS は、このコマンドを無視します。
例
次の例では、スイッチで VLAN ID ベースの MAC 認証をイネーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
IEEE 802.1x 認証をサポートしないクライアント用のフォールバック メカニズムとして Web 認証を使用するようポートを設定します。 |
|
新しいデバイスがポートに接続された場合、またはすでに最大数のデバイスが接続されているポートに新しいデバイスが接続された場合に発生する違反モードを設定します。 |
|
mac access-group
MAC アクセス コントロール リスト（ACL）をレイヤ 2 インターフェイスに適用するには、 mac access-group インターフェイス コンフィギュレーション コマンドを使用します。インターフェイスからすべてまたは指定の MAC ACL を削除するには、このコマンドの no 形式を使用します。MAC ACL を作成するには、 mac access-list extended グローバル コンフィギュレーション コマンドを使用します。
構文の説明
ACL が入力方向に適用されるように指定します。出力 ACL はレイヤ 2 インターフェイスではサポートされていません。 |
デフォルト
コマンド モード
インターフェイス コンフィギュレーション（レイヤ 2 インターフェイスのみ）
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
MAC ACL は入力レイヤ 2 インターフェイスにだけ適用できます。レイヤ 3 インターフェイスには適用できません。
レイヤ 2 インターフェイスでは、IP アクセス リストを使用して IP トラフィックをフィルタリングし、MAC アクセス リストを使用して非 IP トラフィックをフィルタリングできます。インターフェイスに IP ACL と MAC ACL の両方を適用すると、同じレイヤ 2 インターフェイスで IP トラフィックと非 IP トラフィックの両方をフィルタリングできます。同じレイヤ 2 インターフェイスには、IP アクセス リストと MAC アクセス リストを 1 つずつしか適用できません。
MAC ACL がすでにレイヤ 2 インターフェイスに設定されており、新しい MAC ACL をインターフェイスに適用した場合、以前に設定されていた ACL は新しい ACL で置換されます。
スイッチ上でレイヤ 2 インターフェイスに ACL を適用する場合に、そのスイッチに対してレイヤ 3 ACL が適用されているか、またはインターフェイスがメンバーである VLAN に VLAN マップが適用されていれば、レイヤ 2 インターフェイスに適用された ACL が有効になります。
スイッチは、MAC ACL が適用されたインターフェイス上で入力パケットを受信すると、その ACL 内の一致条件を調べます。条件が一致すると、スイッチは ACL に従ってパケットを転送またはドロップします。
指定された ACL が存在しない場合、スイッチはすべてのパケットを転送します。
MAC 拡張 ACL を設定する方法の詳細については、このリリースのソフトウェア コンフィギュレーション ガイドの「Configuring Network Security with ACLs」の章を参照してください。
例
次の例では、macacl2 と名付けられた MAC 拡張 ACL をインターフェイスに適用する方法を示します。
設定を確認するには、 show mac access-group 特権 EXEC コマンドを入力します。スイッチに設定された ACL を表示するには、 show access-lists 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
mac access-list extended
非 IP トラフィックの MAC アドレスに基づいたアクセス リストを作成するには、 mac access-list extended グローバル コンフィギュレーション コマンドを使用します。このコマンドを使用すると、拡張 MAC アクセス リスト コンフィギュレーション モードに入ります。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
no mac access-list extended name
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
MAC 名前付き拡張リストは、VLAN マップおよびクラス マップとともに使用されます。
名前付き MAC 拡張 ACL は、VLAN マップまたはレイヤ 2 インターフェイスに適用できます。レイヤ 3 インターフェイスには適用できません。
mac access-list extended コマンドを入力すると、MAC アクセス リスト コンフィギュレーション モードがイネーブルになります。使用できるコンフィギュレーション コマンドは、次のとおりです。
• default ：コマンドをそのデフォルトに設定します。
• deny ：パケットを拒否するように指定します。詳細については、deny（MAC アクセス リスト コンフィギュレーション） MAC アクセス リスト コンフィギュレーション コマンドを参照してください。
• exit ：MAC アクセス リスト コンフィギュレーション モードを終了します。
• no ：コマンドを無効にするか、デフォルト値を設定します。
• permit ：パケットを転送するように指定します。詳細については、permit（MAC アクセス リスト コンフィギュレーション） コマンドを参照してください。
MAC 拡張アクセス リストの詳細については、このリリースに対応するソフトウェア コンフィギュレーション ガイドを参照してください。
例
次の例では、名前付き MAC 拡張アクセス リスト mac1 を作成し、拡張 MAC アクセス リスト コンフィギュレーション モードを開始する方法を示します。
次の例では、名前付き MAC 拡張アクセス リスト mac1 を削除する方法を示します。
関連コマンド
|
|
|
|---|---|
VLAN マップを定義し、アクセスマップ コンフィギュレーション モードに入ります。このモードでは、マッチングする MAC ACL と実行するアクションを指定できます。 |
mac address-table aging-time
ダイナミック エントリが使用または更新されたあと、MAC アドレス テーブル内に維持される時間を設定するには、 mac address-table aging-time グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。エージング タイムはすべての VLAN、または指定の VLAN に対して適用されます。
mac address-table aging-time { 0 | 10-1000000 } [ vlan vlan-id ]
no mac address-table aging-time { 0 | 10-1000000 } [ vlan vlan-id ]
構文の説明
この値はエージングをディセーブルにします。スタティック アドレスは、期限切れになることもテーブルから削除されることもありません。 |
|
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
ホストが継続して送信しない場合、エージング タイムを長くして、より長い時間ダイナミック エントリを記録してください。時間を長くすることで、ホストが再送信した場合にフラッディングが起こりにくくなります。
例
次の例では、すべての VLAN にエージング タイムを 200 秒に設定する方法を示します。
設定を確認するには、 show mac address-table aging-time 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
mac address-table learning vlan
VLAN で MAC アドレス学習をイネーブルにするには、 mac address-table learning グローバル コンフィギュレーション コマンドを使用します。これがデフォルトの状態になります。VLAN で MAC アドレス学習をディセーブルにして、MAC アドレスを学習できる VLAN を制御するには、このコマンドの no 形式を使用します。
mac address-table learning vlan vlan-id
no mac address-table learning vlan vlan-id
構文の説明
1 つの VLAN ID、またはハイフンかカンマで区切ったいくつかの VLAN ID を指定します。有効な VLAN ID は 1 ～ 4094 です。VLAN を内部 VLAN にすることはできません。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
VLAN で MAC アドレス学習を制御する場合、MAC アドレスを学習できる VLAN、さらにポートを制御することで、利用可能な MAC アドレス テーブル スペースを管理できます。
1 つの VLAN ID で学習される MAC アドレスをディセーブルにしたり（たとえば、 no mac address-table learning vlan 223 ）、いくつかの VLAN ID で学習される MAC アドレスをディセーブルにしたり（たとえば、 no mac address-table learning vlan 1-20, 15 ）できます。
ネットワーク トポロジとスイッチ システム設定について理解してから、MAC アドレス学習をディセーブルにしてください。VLAN で MAC アドレス学習をディセーブルにすると、ネットワークでフラッディングを引き起こす可能性があります。たとえば、スイッチ仮想インターフェイス（SVI）を設定済みの VLAN で MAC アドレス学習をディセーブルにした場合、スイッチはレイヤ 2 ドメインにすべての IP パケットをフラッディングします。3 つ以上のポートを含む VLAN で MAC アドレス学習をディセーブルにした場合、スイッチに着信するすべてのパケットは、その VLAN ドメインでフラッディングします。MAC アドレス学習のディセーブル化はポートを 2 つ含む VLAN のみで行い、SVI のある VLAN で MAC アドレス学習をディセーブルにする場合は十分注意してください。
スイッチが内部的に使用する VLAN で MAC アドレス学習はディセーブルにできません。 no mac address-table learning vlan vlan-id コマンドに入力する VLAN ID が内部 VLAN である場合、スイッチはエラーメッセージを生成してコマンドを拒否します。使用している内部 VLAN を表示するには、 show vlan internal usage 特権 EXEC コマンドを入力します。
プライベート VLAN のプライマリまたはセカンダリ VLAN として設定された VLAN で MAC アドレス学習をディセーブルにする場合、MAC アドレスは、そのプライベート VLAN に属する別の VLAN（プライマリまたはセカンダリ）上で引き続き学習されます。
RSPAN VLAN で MAC アドレス学習はディセーブルにできません。設定すること自体できません。
セキュア ポートを含む VLAN で MAC アドレス学習をディセーブルにする場合、セキュア ポートで MAC アドレス学習はディセーブルになりません。あとでインターフェイスのポート セキュリティをディセーブルにすると、ディセーブルになった MAC アドレス学習の状態がイネーブルになります。
すべての VLAN、または指定した VLAN の MAC アドレス学習のステータスを表示するには、 show mac-address-table learning [ vlan vlan-id ] コマンドを入力します。
例
次の例では、VLAN 2003 で MAC アドレス学習をディセーブルにする方法を示します。
すべての VLAN、または指定した VLAN の MAC アドレス学習のステータスを表示するには、 show mac-address-table learning [ vlan vlan-id ] コマンドを入力します。
関連コマンド
|
|
|
|---|---|
mac address-table move update
MAC アドレス テーブル移行更新機能をイネーブルにするには、 mac address-table move update グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
mac address-table move update { receive | transmit }
no mac address-table move update { receive | transmit }
構文の説明
プライマリ リンクがダウンし、スタンバイ リンクが起動した場合、スイッチが MAC アドレステーブル移行更新メッセージをネットワークの他のスイッチに送信するよう指定します。 |
コマンド モード
デフォルト
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
MAC アドレステーブル移行更新機能により、プライマリ（フォワーディング）リンクがダウンし、スタンバイ リンクがトラフィックのフォワーディングを開始した場合、スイッチは高速双方向コンバージェンスを提供できます。
プライマリ リンクがダウンし、スタンバイ リンクが起動した場合、アクセス スイッチが MAC アドレステーブル移行更新メッセージを送信するように設定できます。アップリンク スイッチが、MAC アドレステーブル移行更新メッセージを受信および処理するように設定できます。
例
次の例では、アクセス スイッチが MAC アドレス テーブル移行更新メッセージを送信するように設定する方法を示します。
次の例では、アップリンク スイッチが MAC アドレス テーブル移行更新メッセージを取得および処理するように設定する方法を示します。
設定を確認するには、 show mac address-table move update 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
mac address-table notification
スイッチで MAC アドレス通知機能をイネーブルにするには、 mac address-table notification グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
mac address-table notification { change [ history-size value | interval value ] | mac-move | threshold [[ limit percentage ] interval time ]}
no mac address-table notification { change [ history-size value | interval value ] | mac-move | threshold [[ limit percentage ] interval time ]}
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
change キーワード、 mac-move キーワード、および threshold [[ limit percentage ] interval time ] キーワードが追加されました。 |
使用上のガイドライン
MAC アドレス通知変更機能は、新しい MAC アドレスが転送テーブルに追加されたり、古いアドレスがそこから削除されたりするたびに、SNMP（簡易ネットワーク管理プロトコル）トラップを Network Management System（NMS; ネットワーク管理システム）に送信します。MAC 変更通知は、ダイナミックなセキュア MAC アドレスについてのみ生成され、自己アドレス、マルチキャスト アドレス、およびその他のスタティック アドレスには生成されません。
history-size オプションを設定している場合、既存の MAC アドレス履歴テーブルが削除され、新しいテーブルが作成されます。
mac address-table notification change コマンドを使用すると、MAC アドレス通知変更機能がイネーブルになります。また、 snmp trap mac-notification change インターフェイス コンフィギュレーション コマンドでインターフェイスの MAC アドレス通知トラップをイネーブルにし、 snmp-server enable traps mac-notification change グローバル コンフィギュレーション コマンドでスイッチが MAC アドレス トラップを NMS に送信するよう設定する必要があります。
mac address-table notification mac-move コマンドおよび snmp-server enable traps mac-notification move グローバル コンフィギュレーション コマンドを入力することにより、MAC アドレスが同一 VLAN 内のポート間を移動すると必ずトラップがイネーブルになるようにすることもできます。
MAC アドレス テーブルしきい値制限に達するかその値を超えるたびにトラップが生成されるようにするには、 mac address-table notification threshold [ limit percentage ] | [ interval time ] コマンドおよび snmp-server enable traps mac-notification threshold グローバル コンフィギュレーション コマンドを入力します。
例
次の例では、MAC アドレス テーブル変更通知機能をイネーブルにし、間隔を 60 秒、履歴テーブルのサイズを 100 エントリに設定する方法を示します。
設定を確認するには、 show mac address-table notification 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
clear mac address-table notification |
|
mac address-table static
MAC アドレス テーブルにスタティック アドレスを追加するには、 mac address-table static グローバル コンフィギュレーション コマンドを使用します。スタティック エントリをテーブルから削除するには、このコマンドの no 形式を使用します。
mac address-table static mac-addr vlan vlan-id interface interface-id
no mac address-table static mac-addr vlan vlan-id [ interface interface-id ]
構文の説明
アドレス テーブルに追加する宛先 MAC アドレス（ユニキャストまたはマルチキャスト）。この宛先アドレスを持つパケットが指定した VLAN に着信すると、指定したインターフェイスに転送されます。 |
|
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
例
次の例では、MAC アドレス テーブルにスタティック アドレス c2f3.220a.12f4 を追加する方法を示します。VLAN 4 でこの MAC アドレスを宛先としてパケットを受信すると、パケットは指定されたインターフェイスに転送されます。
関連コマンド
|
|
|
|---|---|
mac address-table static drop
ユニキャスト MAC アドレス フィルタリングをイネーブルにして、特定の送信元または宛先 MAC アドレスのトラフィックをドロップするようにスイッチを設定するには、 mac address-table static drop グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
mac address-table static mac-addr vlan vlan-id drop
no mac address-table static mac-addr vlan vlan-id
構文の説明
指定した MAC アドレスを持つパケットを受信する VLAN を指定します。指定できる VLAN ID は、1 ～ 4094 です。 |
デフォルト
ユニキャスト MAC アドレス フィルタリングはディセーブルです。スイッチは、特定の送信元または宛先 MAC アドレスのトラフィックをドロップしません。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
• マルチキャスト MAC アドレス、ブロードキャスト MAC アドレス、およびルータ MAC アドレスはサポートされません。CPU に転送されるパケットもサポートされません。
• ユニキャスト MAC アドレスをスタティック アドレスとして追加し、ユニキャスト MAC アドレス フィルタリングを設定する場合は、最後に入力されたコマンドに応じて、スイッチは MAC アドレスをスタティック アドレスとして追加するか、またはその MAC アドレスを持つパケットをドロップします。2 番目に入力したコマンドは、最初のコマンドを上書きします。
たとえば、 mac address-table static mac-addr vlan vlan-id interface interface-id グローバル コンフィギュレーション コマンドのあとに mac address-table static mac-addr vlan vlan-id drop コマンドを入力した場合は、スイッチは送信元または宛先として指定された MAC アドレスを持つパケットをドロップします。
mac address-table static mac-addr vlan vlan-id drop グローバル コンフィギュレーション コマンドのあとに mac address-table static mac-addr vlan vlan-id interface interface-id コマンドを入力した場合は、スイッチがその MAC アドレスをスタティック アドレスとして追加します。
例
次の例では、ユニキャスト MAC アドレス フィルタリングをイネーブルにし、c2f3.220a.12f4 の送信元または宛先アドレスを持つパケットをドロップするようにスイッチを設定する方法を示します。送信元または宛先としてこの MAC アドレスを持つパケットが VLAN4 上で受信された場合、パケットがドロップされます。
次の例では、ユニキャスト MAC アドレス フィルタリングをディセーブルにする方法を示します。
設定を確認するには、 show mac address-table static 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
match（アクセスマップ コンフィギュレーション）
VLAN マップを設定して、パケットを 1 つまたは複数のアクセス リストと照合するには、 match アクセスマップ コンフィギュレーション コマンドを使用します。一致パラメータを削除するには、このコマンドの no 形式を使用します。
match { ip address { name | number } [ name | number ] [ name | number ]...} | { mac address { name } [ name ] [ name ]...}
no match { ip address { name | number } [ name | number ] [ name | number ]...} | { mac address { name } [ name ] [ name ]...}
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
vlan access-map グローバル コンフィギュレーション コマンド を使用して、アクセスマップ コンフィギュレーション モードを開始します。
1 つのアクセス リストの名前または番号を入力する必要があります。その他は任意です。パケットは、1 つまたは複数のアクセス リストに対してマッチングできます。いずれかのリストに一致すると、エントリの一致としてカウントされます。
アクセスマップ コンフィギュレーション モードでは、 match コマンドを使用して、VLAN に適用される VLAN マップの一致条件を定義できます。 action コマンドを使用すると、パケットが条件に一致したときに実行するアクションを設定できます。
パケットは、同じプロトコル タイプのアクセス リストに対してのみマッチングされます。IP パケットは、IP アクセス リストに対してマッチングされ、その他のパケットはすべて MAC アクセス リストに対してマッチングされます。
例
次の例では、VLAN アクセス マップ vmap4 を定義し VLAN 5 と VLAN 6 に適用する方法を示します。このアクセス マップでは、パケットがアクセス リスト al2 に定義された条件に一致すると、インターフェイスはそのパケットをドロップします。
関連コマンド
|
|
|
|---|---|
match（クラスマップ コンフィギュレーション）
トラフィックを分類するための一致条件を定義するには、match クラスマップ コンフィギュレーション コマンドを使用します。一致基準を削除するには、このコマンドの no 形式を使用します。
match { access-group acl-index-or-name | input-interface interface-id-list | ip dscp dscp-list | ip precedence ip-precedence-list }
no match { access-group acl-index-or-name | input-interface interface-id-list | ip dscp dscp-list | ip precedence ip-precedence-list }
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
パケットを分類するために着信パケットのどのフィールドを調べるのかを指定する場合は、 match コマンドを使用します。IP アクセス グループまたは MAC アクセス グループの Ether Type/Len のマッチングのみがサポートされています。
物理ポート単位でパケット分類を定義するため、クラス マップごとに 1 つずつのみ match コマンドがサポートされています。この状況では、 match-all キーワードと match-any キーワードは同じです。
match ip dscp dscp-list コマンドまたは match ip precedence ip-precedence-list コマンドの場合は、よく使用される値のニーモニック名を入力できます。たとえば、 match ip dscp af11 コマンドを入力できます。このコマンドは、 match ip dscp 10 コマンドを入力した場合と同じ結果になります。また、 match ip precedence critical コマンドを入力できます。このコマンドは、 match ip precedence 5 コマンドを入力した場合と同じ結果になります。サポートされているニーモニック名のリストについては、 match ip dscp ? または match ip precedence ?
階層ポリシー マップ内にインターフェイス レベルのクラス マップを設定するときには、 input-interface interface-id-list キーワードを使用します。 interface-id-list には、最大 6 つのエントリを指定できます。
例
次の例では、クラス マップ class2 を作成する方法を示します。このマップは、DSCP 値 10、11、および 12 を持つすべての着信トラフィックに一致します。
次の例では、クラス マップ class3 を作成する方法を示します。このマップは、IP precedence 値 5、6、および 7 を持つすべての着信トラフィックに一致します。
次の例では、IP precedence 一致基準を削除し、 acl1 を使用してトラフィックを分類する方法を示します。
次の例では、階層ポリシー マップでインターフェイス レベルのクラス マップが適用する物理ポートのリストの指定方法を示しています。
次の例では、階層ポリシー マップでインターフェイス レベルのクラス マップが適用する物理ポートの範囲の指定方法を示しています。
関連コマンド
|
|
|
|---|---|
mdix auto
インターフェイス上で Auto-MDIX 機能をイネーブルにするには、 mdix auto インターフェイス コンフィギュレーション コマンドを使用します。Auto MDIX がイネーブルな場合、インターフェイスは自動的に必要なケーブル接続タイプ（ストレートまたはクロス）を検出し、接続を適切に設定します。Auto MDIX をディセーブルにするには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
インターフェイスの Auto MDIX をイネーブルにする場合は、機能が正常に動作するように、インターフェイス速度とデュプレックスも auto に設定する必要があります。
Auto MDIX が（速度とデュプレックスの自動ネゴシエーションとともに）接続するインターフェイスの一方または両方でイネーブルの場合は、ケーブル タイプ（ストレートまたはクロス）が不正でもリンクがアップします。
Auto-MDIX は、すべての 10/100 および 10/100/1000 Mbps インターフェイス上および 10/100/1000BASE-T/TX Small Form-factor Pluggable（SFP）モジュール インターフェイス上でサポートされます。1000BASE-SX または 1000BASE-LX SFP モジュール インターフェイスではサポートされません。
例
次の例では、ポートの Auto MDIX をイネーブルにする方法を示します。
インターフェイス上の auto-MDIX の動作可能状態を確認するには、 show controllers ethernet-controller interface-id phy 特権 EXEC コマンド を入力します。
media-type（インターフェイス コンフィギュレーション）
デュアルパーパス アップリンク ポートのインターフェイス タイプを手動で選択したり、最初にリンクが確立されたタイプをスイッチで動的に選択するように設定したりするには、 media-type インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
media-type { auto-select | rj45 | sfp }
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デュアルパーパス アップリンクを冗長リンクとして使用することはできません。
デュアルパーパス アップリンクの速度とデュプレックスを設定するには、インターフェイス タイプを選択する必要があります。タイプを変更すると、速度とデュプレックスの設定は削除されます。スイッチはいずれのタイプも、速度とデュプレックスの両方の自動ネゴシエーションに基づいて設定します（デフォルト）。
auto-select を選択した場合、スイッチは最初にリンクが確立されたタイプを動的に選択します。リンクの確立が完了すると、スイッチはアクティブ リンクが終了するまでの間、もう一方のタイプをディセーブルにします。アクティブ リンクが終了すると、スイッチはいずれかのリンクが確立されるまでの間、両方のタイプをイネーブルにします。auto-select モードでは、スイッチは両方のタイプの、速度とデュプレックスの両方を自動ネゴシエーション（デフォルト）に設定します。
rj45 を選択した場合、スイッチは SFP モジュール インターフェイスをディセーブルにします。このポートにケーブルを接続した場合、RJ-45 側がダウン、または接続されていなくても、リンクアップすることはできません。このモードでは、dual-purpose ポートは 10/100/1000BASE-TX インターフェイスのように動作します。このインターフェイス タイプに合った速度とデュプレックスが設定できます。
sfp を選択した場合、スイッチは RJ-45 インターフェイスをディセーブルにします。このポートにケーブルを接続した場合、SFP モジュール側がダウン、または SFP モジュールが存在しなくても、リンクアップすることはできません。搭載された SFP モジュール タイプに応じて、このインターフェイス タイプに合った速度とデュプレックスが設定できます。
スイッチの電源投入時、または shutdown および no shutdown インターフェイス コンフィギュレーション コマンドでデュアルパーパス アップリンク ポートをイネーブルにした場合は、SFP モジュール インターフェイスを優先します。その他の場合は、最初にリンクが確立されたタイプを動的に選択します。
auto-select を設定した場合、 speed および duplex インターフェイス コンフィギュレーション コマンドは設定できません。
例
次の例では、SFP インターフェイスを選択するよう設定する方法を示します。
設定を確認するには、 show interfaces interface-id capabilities または show interfaces interface-id transceiver properties 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show interfaces capabilities |
|
show interfaces transceiver properties |
mls qos
スイッチ全体で QoS（Quality of Service）をイネーブルにするには、mls qos グローバル コンフィギュレーション コマンドを使用します。mls qos コマンドを入力すると、システム内のすべてのポートでデフォルト パラメータが使用されて QoS がイネーブルになります。スイッチ全体のすべての QoS 関連の統計をリセットし、QoS 機能をディセーブルにするには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
QoS はディセーブルです。パケットが変更されない（パケット内の CoS、DSCP、および IP precedence 値は変更されない）ため、信頼できるポートまたは信頼できないポートといった概念は存在しません。トラフィックは Pass-Through モードでスイッチングされます（パケットは書き換えられることなくスイッチングされ、ポリシングなしのベスト エフォートに分類されます）。
mls qos グローバル コンフィギュレーション コマンドによって QoS がイネーブル化され、その他のすべての QoS 設定値がデフォルト値に設定されている場合、トラフィックはポリシングされず、ベストエフォート（DSCP 値と CoS 値は 0 に設定される）として分類されます。ポリシー マップは設定されません。すべてのポート上のデフォルト ポートの信頼性は、信頼性なし（untrusted）の状態です。デフォルトの入力キューおよび出力キューの設定値が有効となります。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
QoS 分類、ポリシング、マークダウンまたはドロップ、キューイング、トラフィック シェーピング機能を使用するには、QoS をグローバルにイネーブルにする必要があります。mls qos コマンドを入力する前に、ポリシーマップを作成しそれをポートに適用できます。ただし、mls qos コマンドを入力していない場合、QoS 処理はディセーブルになります。
no mls qos コマンドを入力しても、QoS を設定するために使用したポリシーマップとクラスマップは設定から削除されません。ただし、システム リソースを節約するため、ポリシーマップに対応するエントリはスイッチ ハードウェアから削除されます。以前の設定で QoS を再度イネーブルにする場合、mls qos コマンドを使用します。
このコマンドでスイッチの QoS 状態を切り替えることで、キューのサイズが修正（再割り当て）されます。キュー サイズの変更時には、ハードウェアを再設定する期間中キューは一時的にシャットダウンされ、スイッチはこのキューに新たに到着したパケットをドロップします。
例
次の例では、スイッチ上で QoS をイネーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
mls qos aggregate-policer
ポリサー パラメータを定義するには、mls qos aggregate-policer グローバル コンフィギュレーション コマンドを使用します。これは、同一のポリシー マップ内の複数のクラスで共有できます。ポリサーは、最大許容伝送速度、最大バースト伝送サイズ、およびいずれかの最大値を超過した場合の対処法を定義します。集約ポリサーを削除するには、このコマンドの no 形式を使用します。
mls qos aggregate-policer aggregate-policer-name rate-bps burst-byte exceed-action { drop | policed-dscp-transmit }
no mls qos aggregate-policer aggregate-policer-name
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
ポリサーが複数のクラスによって共有されている場合は、集約ポリサーを定義します。
あるポートのポリサーを別のポートの他のポリサーと共有することはできません。2 つの異なるポートからのトラフィックは、ポリシング目的では集約できません。
2 つ以上の物理ポートを制御するポート ASIC デバイスは、256 のポリサー（255 のユーザ設定可能なポリサーと 1 つの内部使用向けに予約されたポリサー）をサポートします。ポートごとにサポートされるユーザ設定可能なポリサーの最大数は 63 です。ポリサーはソフトウェアによってオンデマンドで割り振られ、ハードウェアおよび ASIC の限界によって制約されます。ポートごとにポリサーを予約することはできません（ポートがいずれかのポリサーに割り当てられるとは保証されていません）。
集約ポリサーは同じポリシー マップ内の複数のクラスに適用されます。異なるポリシー マップにまたがって集約ポリサーを使用することはできません。
ポリシー マップ内で使用中の場合、集約ポリサーは削除できません。最初に、 no police aggregate aggregate-policer-name ポリシーマップ クラス コンフィギュレーション コマンドを使用してすべてのポリシー マップから集約ポリサーを削除してから、 no mls qos aggregate-policer aggregate-policer-name コマンドを使用する必要があります。
ポリシングはトークンバケット アルゴリズムを使用します。バケットの深さ（バケットがオーバーフローするまでの許容最大バースト）を設定するには、 police ポリシーマップ クラス コンフィギュレーション コマンドの burst-byte オプションまたは mls qos aggregate-policer グローバル コンフィギュレーション コマンドを使用します。トークンがバケットから削除される速度（平均速度）を設定するには、 police ポリシーマップ クラス コンフィギュレーション コマンドの rate-bps オプションまたは mls qos aggregate-policer グローバル コンフィギュレーション コマンドを使用します。詳細については、このリリースに対応するソフトウェア コンフィギュレーション ガイドを参照してください。
例
次の例では、集約ポリサー パラメータを定義する方法と、ポリシー マップ内の複数のクラスにそのポリサーを適用する方法を示します。
設定を確認するには、 show mls qos aggregate-policer 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
mls qos cos
デフォルトのポート Class of Service（CoS; サービス クラス）値を定義したり、ポート上のすべての着信パケットにデフォルトの CoS 値を割り当てたりするには、mls qos cos インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
mls qos cos { default-cos | override }
no mls qos cos { default-cos | override }
構文の説明
デフォルト CoS 値をポートに割り当てます。パケットがタグ付けされていない場合、デフォルトの CoS 値がパケットの CoS 値になります。指定できる CoS 範囲は 0 ～ 7 です。 |
|
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デフォルト値を使用して、タグなし（着信パケットが CoS 値を持たない場合）で着信したすべてのパケットに CoS 値と DiffServ コード ポイント（DSCP）値を割り当てることができます。また、 override キーワードを使用すると、デフォルトの CoS 値と DSCP 値をすべての着信パケットに割り当てることができます。
特定のポートに届くすべての着信パケットに、他のポートからのパケットより高いプライオリティを与える場合には、 override キーワードを使用します。たとえポートがすでに DSCP、CoS、または IP precedence を信頼するように設定されていても、このコマンドは以前に設定済みの信頼状態を無効にし、すべての着信 CoS 値に mls qos cos コマンドで設定されたデフォルトの CoS 値が割り当てられます。着信パケットがタグ付きの場合、パケットの CoS 値は、出力ポートで、ポートのデフォルト CoS を使用して変更されます。
例
次の例では、ポートでデフォルト ポート CoS を 4 に設定する方法を示します。
次の例では、ポート上で、すべての着信パケットをデフォルト ポート CoS 値の 4 に割り当てる方法を示します。
関連コマンド
|
|
|
|---|---|
mls qos dscp-mutation
DiffServ コード ポイント（DSCP）の信頼性のあるポートに対して、DSCP/DSCP 変換マップを適用するには、mls qos dscp-mutation インターフェイス コンフィギュレーション コマンドを使用します。マップをデフォルト設定（DSCP 変換なし）に戻すには、このコマンドの no 形式を使用します。
mls qos dscp-mutation dscp-mutation-name
no mls qos dscp-mutation dscp-mutation-name
構文の説明
DSCP/DSCP 変換マップの名前。このマップは、以前は mls qos map dscp-mutation グローバル コンフィギュレーション コマンドで定義されていました。 |
デフォルト
デフォルトの DSCP/DSCP 変換マップは、着信 DSCP 値を同じ DSCP 値にマッピングするヌル マップです。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
2 つの QoS（Quality of Service）ドメインが異なる DSCP 定義を持つ場合は、DSCP/DSCP 変換マップを使用して、一方の DSCP 値のセットをもう一方のドメインの定義に適合するように変換します。DSCP/DSCP 変換マップは、QoS 管理ドメインの境界にある受信ポートに適用します（入力変換）。
入力変換では、新しい DSCP 値がパケット内の値を上書きし、QoS はこの新しい値を持つパケットを処理します。スイッチは、新しい DSCP 値とともにそのパケットをポートへ送出します。
入力ポートには複数の DSCP/DSCP 変換マップを設定できます。
マップは、DSCP の信頼性のあるポートにのみ適用します。DSCP 変換マップを信頼できないポート、Class of Service（CoS; サービス クラス）または IP precedence の信頼できるポートに適用すると、コマンドはすぐには影響せず、そのポートが DSCP の信頼できるポートになってから有効になります。
例
次の例では、DSCP/DSCP 変換マップ dscpmutation1 を定義し、そのマップをポートに適用する方法を示します。
次の例では、DSCP/DSCP 変換マップ名の dscpmutation1 をポートから削除し、そのマップをデフォルトにリセットする方法を示します。
関連コマンド
|
|
|
|---|---|
mls qos map dscp-mutation |
|
mls qos map
Class of Service（CoS; サービス クラス）（DSCP）マップ、DSCP/CoS マップ、DSCP/DSCP 変換マップ、IP precedence/DSCP マップ、およびポリシングされた DSCP のマップを定義するには、mls qos map グローバル コンフィギュレーション コマンドを使用します。デフォルトのマップに戻すには、このコマンドの no 形式を使用します。
mls qos map { cos-dscp dscp1...dscp8 | dscp-cos dscp-list to cos | dscp-mutation dscp-mutation- name in-dscp to out-dscp | ip-prec-dscp dscp1...dscp8 | policed-dscp dscp-list to mark-down-dscp }
no mls qos map { cos-dscp | dscp-cos | dscp-mutation dscp-mutation-name | ip-prec-dscp | policed-dscp }
構文の説明
デフォルト
表 2-11 に、デフォルトの CoS/DSCP マップを示します。
|
|
|
|---|---|
表 2-12 に、デフォルトの DSCP/CoS マップを示します。
|
|
|
|---|---|
表 2-13 に、デフォルトの IP precedence/DSCP マップを示します。
|
|
|
|---|---|
デフォルトの DSCP/DSCP 変換マップは、着信 DSCP 値を同じ DSCP 値にマッピングするヌル マップです。
デフォルトのポリシング設定 DSCP マップは、着信 DSCP 値を同じ DSCP 値にマッピングするヌル マップです。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
マップはすべてグローバルに定義されています。DSCP/DSCP 変換マップを除くすべてのマップは、すべてのポートに適用されます。DSCP/DSCP 変換マップは、特定のポートに適用されます。
例
次の例では、IP precedence/DSCP マップを定義し、IP precedence 値 0 ～ 7 を DSCP 値 0、10、20、30、40、50、55、および 60 にマッピングする方法を示します。
次の例では、ポリシング設定 DSCP マップを定義する方法を示します。DSCP 値 1、2、3、4、5、および 6 は DSCP 値 0 にマークダウンされます。明示的に設定されていないマークされた DSCP 値は変更されません。
次の例では、DSCP/CoS マップを定義する方法を示します。DSCP 値 20、21、22、23、および 24 は、CoS 1 にマッピングされます。DSCP 値 10、11、12、13、14、15、16、および 17 は CoS 0 にマッピングされます。
次の例では、CoS/DSCP マップを定義する方法を示します。CoS 値 0 ～ 7 は、DSCP 値 0、5、10、15、20、25、30、および 35 にマッピングされます。
次の例では、DSCP/DSCP 変換マップを定義する方法を示します。明示的に設定されていないエントリはすべて変更されません（ヌル マップ内の指定のままです）。
関連コマンド
|
|
|
|---|---|
mls qos queue-set output buffers
キューセット（各ポートの 4 つの出力キュー）にバッファを割り当てるには、 mls qos queue-set output buffers グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
mls qos queue-set output qset-id buffers allocation1 ... allocation4
no mls qos queue-set output qset-id buffers
構文の説明
デフォルト
すべての割り当て値は、4 つのキューに均等にマッピングされます（25、25、25、25）。各キューがバッファ スペースの 1/4 を持ちます。
コマンド モード
コマンド履歴
|
|
|
|---|---|
allocation1 、 allocation3 、 allocation4 の範囲が 0 ～ 100 から 0 ～ 99 に変更されました。 allocation2 の範囲が 20 ～ 100 から 1 ～ 100 に変更されました。 |
使用上のガイドライン
4 つの割り当て値を指定します。各値はスペースで区切ります。
トラフィックの重要度に応じてバッファを割り当てます。たとえば、最高プライオリティのトラフィックを持つキューには多くの割合のバッファを与えます。
異なる特性を持つ異なるクラスのトラフィックを設定するには、 mls qos queue-set output qset-id threshold グローバル コンフィギュレーション コマンドとともに、このコマンドを使用します。
（注） 出力キューのデフォルト設定は、ほとんどの状況に適しています。出力キューについて十分理解した場合のみ、設定を変更してください。QoS の詳細については、ソフトウェア コンフィギュレーション ガイドの「Configuring QoS」の章を参照してください。
例
次の例では、ポートをキューセット 2 にマッピングする方法を示します。出力キュー 1 にバッファ スペースの 40 % を、出力キュー 2、3、および 4 にはそれぞれ 20 % ずつ割り当てます。
設定を確認するには、 show mls qos interface [ interface-id ] buffers または show mls qos queue-set 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
Weighted Tail-Drop（WTD）しきい値を設定し、バッファのアベイラビリティを保証し、キューセットに対する最大メモリ割り当てを設定します。 |
|
show mls qos interface buffers |
|
mls qos queue-set output threshold
Weighted Tail-drop（WTD）しきい値を設定することで、バッファの可用性を保証し、キューセット（各ポートの 4 つの出力キュー）に対して最大のメモリ割り当てを設定するには、 mls qos queue-set output threshold グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
mls qos queue-set output qset-id threshold queue-id drop-threshold1 drop-threshold2 reserved-threshold maximum-threshold
no mls qos queue-set output qset-id threshold [ queue-id ]
構文の説明
デフォルト
QoS（Quality of Service）がイネーブルなときは、WTD もイネーブルです。
表 2-14 は、デフォルトの WTD しきい値の設定値を示しています。
|
|
|
|
|
|
|---|---|---|---|---|
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
mls qos queue-set output qset-id buffers グローバル コンフィギュレーション コマンドは、キューセット内の 4 つのキューに固定量のバッファを割り当てます。
ドロップしきい値（%）は 100 % を超過でき、最大値まで指定できます（最大しきい値が 100 % を超える場合）。
バッファ範囲により、キューセット内の個々のキューが共通のプールをさらに利用できる場合でも、各キューの最大パケット数は内部で 400 %、つまりバッファに割り当てられた数の 4 倍に制限されます。1 つのパケットは 1 つまたは複数のバッファを使用できます。
Cisco IOS Release 12.2(25)SEE1 以降で、drop-threshold、drop-threshold2、maximum-threshold パラメータの範囲が増加しました。
（注） 出力キューのデフォルト設定は、ほとんどの状況に適しています。出力キューについて十分理解したうえで、この設定がユーザの QoS ソリューションを満たさないと判断した場合のみ、設定を変更してください。
スイッチは、バッファ割り当て方式を使用して、出力キューごとに最小バッファ量を予約し、いずれかのキューまたはポートがすべてのバッファを消費しその他のキューがバッファを使用できなくなるのを防ぎ、バッファ スペースを要求元のキューに許可するかどうかを決定します。スイッチは、ターゲット キューが予約量を超えるバッファを消費していないかどうか（アンダーリミット）、その最大バッファをすべて消費したかどうか（オーバーリミット）、共通のプールが空（空きバッファがない）か空でない（空きバッファ）かを判断します。キューがオーバーリミットでない場合は、スイッチは予約済みプールまたは共通のプール（空でない場合）からバッファ スペースを割り当てることができます。共通のプールに空きバッファがない場合や、キューがオーバーリミットの場合、スイッチはフレームをドロップします。
例
次の例では、ポートをキューセット 2 にマッピングする方法を示します。キュー 2 のドロップしきい値を割り当てられたメモリの 40 % と 60 % に設定し、割り当てられたメモリの 100 % を保証（予約）して、このキューがパケットをドロップせずに保持可能な最大メモリを 200 % に設定します。
設定を確認するには、 show mls qos interface [ interface-id ] buffers または show mls qos queue-set 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show mls qos interface buffers |
|
mls qos rewrite ip dscp
着信 IP パケットの DiffServ コード ポイント（DSCP）フィールドを変更する（書き換える）ようスイッチを設定するには、 mls qos rewrite ip dscp グローバル コンフィギュレーション コマンドを使用します。スイッチがパケットの DSCP フィールドを変更（書き換え）しないように設定し、DSCP 透過をイネーブルにするには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
DSCP 透過は、出力でのパケットの DSCP フィールドにのみ影響を与えます。 no mls qos rewrite ip dscp コマンドを使用して DSCP 透過がイネーブルになっている場合、スイッチは着信パケットの DSCP フィールドは変更せず、送信パケットの DSCP フィールドも着信パケットのものと同じになります。
（注） DSCP 透過性をイネーブルにしても、IEEE 802.1Q トンネリング ポート上のポート信頼性の設定には影響しません。
デフォルトでは、DSCP 透過性はディセーブルです。スイッチでは着信パケットの DSCP フィールドが変更され、発信パケットの DSCP フィールドは、ポートの信頼設定、ポリシングとマーキング、DSCP/DSCP 変換マップを含めて QoS（Quality of Service）に基づきます。
DSCP 透過の設定に関係なく、スイッチは、トラフィックのプライオリティを表す Class of Service（CoS; サービス クラス）値の生成に使用するパケットの内部 DSCP 値を変更します。また、スイッチは内部 DSCP 値を使用して、出力キューおよびしきい値を選択します。
たとえば、QoS がイネーブルになっていて、着信パケットの DSCP 値が 32 である場合、スイッチは、ポリシーマップ設定に基づいて内部 DSCP 値を 16 に変更します。DSCP 透過がイネーブルになっている場合、送信 DSCP 値は 32（着信の値と同じ）です。DSCP 透過がディセーブルになっている場合、内部 DSCP 値に基づいて、送信 DSCP 値は 16 になります。
例
次の例では、DSCP 透過性をイネーブルにして、スイッチで着信 IP パケットの DSCP 値を変更しないように設定する方法を示しています。
次の例では、DSCP 透過性をディセーブルにして、スイッチで着信 IP パケットの DSCP 値を変更するように設定する方法を示しています。
設定を確認するには、 show running config | include rewrite 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
mls qos srr-queue input bandwidth
入力キューにシェイプド ラウンド ロビン（SRR）ウェイトを割り当てるには、 mls qos srr-queue input bandwidth グローバル コンフィギュレーション コマンドを使用します。重みの比率は、SRR スケジューラがパケットを各キューから送り出す頻度の比率です。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
mls qos srr-queue input bandwidth weight1 weight2
no mls qos srr-queue input bandwidth
構文の説明
weight1 および weight2 の比率により、SRR スケジューラがパケットを入力キュー 1 およびキュー 2 から送り出す頻度の比率が決まります。指定できる範囲は 1 ～ 100 です。各値はスペースで区切ります。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
SRR は、 mls qos srr-queue input priority-queue queue-id bandwidth weight グローバル コンフィギュレーション コマンドの bandwidth キーワードで指定されたとおり、設定済みの重みに従いプライオリティ キューにサービスを提供します。SRR は、両方の入力キューで残りの帯域幅を共有し、 mls qos srr-queue input bandwidth weight1 weight2 グローバル コンフィギュレーション コマンドで設定されたウェイトで指定したサービスを実行します。
どの入力キューがプライオリティ キューであるかを指定するには、 mls qos srr-queue input priority-queue グローバル コンフィギュレーション コマンドを使用します。
例
次の例では、キューの入力帯域幅を割り当てる方法を示します。プライオリティ キューイングはディセーブルです。割り当てられる共有帯域幅の比率は、キュー 1 が 25/（25+75）、キュー 2 が 75/（25+75）です。
次の例では、キュー 2 はキュー 1 の 3 倍の帯域幅を持っています。キュー 2 には、キュー 1 の 3 倍の頻度でサービスが提供されます。
次の例では、キューの入力帯域幅を割り当てる方法を示します。キュー 1 は割り当てられた帯域幅の 10 % を持つプライオリティ キューです。キュー 1 とキュー 2 に割り当てられた帯域幅の比率は、4/（4+4）です。SRR は最初、設定された 10 % の帯域幅をキュー 1（プライオリティ キュー）にサービスします。そのあと、SRR は残りの 90 % の帯域幅をキュー 1 とキュー 2 にそれぞれ 45 % ずつ均等に分配します。
設定を確認するには、 show mls qos interface [ interface-id ] queueing または show mls qos input-queue 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
Class of Service（CoS; サービス クラス）値を入力キューにマッピング、または CoS 値をキューおよびしきい値 ID にマッピングします。 |
|
show mls qos interface queueing |
mls qos srr-queue input buffers
入力キュー間にバッファを割り当てるには、 mls qos srr-queue input buffers グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
mls qos srr-queue input buffers percentage1 percentage2
no mls qos srr-queue input buffers
構文の説明
入力キュー 1 およびキュー 2 に割り当てられるバッファの割合（%）です。指定できる範囲は 0 ～ 100 です。各値はスペースで区切ります。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、入力キュー 1 にバッファ スペースの 60 % を、入力キュー 2 にバッファ スペースの 40 % を割り当てる方法を示します。
設定を確認するには、 show mls qos interface [ interface-id ] buffers または show mls qos input-queue 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
Shaped Round Robin（SRR; シェイプド ラウンド ロビン）の重みを入力の重みを入力キューに割り当てます。 |
|
Class of Service（CoS; サービス クラス）値を入力キューにマッピング、または CoS 値をキューおよびしきい値 ID にマッピングします。 |
|
show mls qos interface buffers |
mls qos srr-queue input cos-map
Class of Service（CoS; サービス クラス）値を入力キューにマッピング、または CoS 値をキューおよびしきい値 ID にマッピングするには、 mls qos srr-queue input cos-map グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
mls qos srr-queue input cos-map queue queue-id { cos1...cos8 | threshold threshold-id cos1...cos8 }
no mls qos srr-queue input cos-map
構文の説明
デフォルト
表 2-15 では、デフォルトの CoS 入力キューのしきい値のマッピングを示します。
|
|
|
|---|---|
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
入力ポートに割り当てられた CoS によって、入力または出力のキューおよびしきい値が選択されます。
しきい値 3 のドロップしきい値（%）は事前に定義されています。パーセンテージはキューが満杯の状態に対して設定されます。 mls qos srr-queue input threshold グローバル コンフィギュレーション コマンドを使用すると、入力キューに 2 つの Weighted Tail-Drop（WTD）しきい値（%）を割り当てることができます。
各 CoS 値を、異なるキューおよびしきい値の組み合わせに対してマッピングできます。これによりフレームを異なる動作に従わせることができます。
例
次の例では、CoS 値 0 ～ 3 を、入力キュー 1 とドロップしきい値 50 % のしきい値 ID 1 にマッピングする方法を示します。CoS 値 4 と 5 は、入力キュー 1 とドロップしきい値 70 % のしきい値 ID 2 に割り当てます。
関連コマンド
|
|
|
|---|---|
mls qos srr-queue input dscp-map
DiffServ コード ポイント（DSCP）値を入力キューにマッピング、または DSCP 値をキューおよびしきい値 ID にマッピングするには、 mls qos srr-queue input dscp-map グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
mls qos srr-queue input dscp-map queue queue-id { dscp1...dscp8 | threshold threshold-id dscp1...dscp8 }
no mls qos srr-queue input dscp-map
構文の説明
| dscp1...dscp8 には、最大 8 つの値をスペースで区切って入力します。指定できる範囲は 0 ～ 63 です。 |
|
| threshold-id で指定できる範囲は 1 ～ 3 です。 dscp1...dscp8 には、最大 8 つの値をスペースで区切って入力します。指定できる範囲は 0 ～ 63 です。 |
デフォルト
表 2-16 は、デフォルトの DSCP 入力キューしきい値マップを示しています。
|
|
|
|---|---|
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
入力ポートに割り当てられた DSCP によって、入力または出力のキューおよびしきい値が選択されます。
しきい値 3 のドロップしきい値（%）は事前に定義されています。パーセンテージはキューが満杯の状態に対して設定されます。 mls qos srr-queue input threshold グローバル コンフィギュレーション コマンドを使用すると、入力キューに 2 つの Weighted Tail-Drop（WTD）しきい値（%）を割り当てることができます。
各 DSCP 値を異なるキューおよびしきい値の組み合わせにマッピングして、フレームが別の方法で処理されるようにすることができます。
例
次の例では、DSCP 値 0 ～ 6 を、入力キュー 1 とドロップしきい値 50 % のしきい値 1 にマッピングする方法を示します。DSCP 値 20 と 26 は、入力キュー 1 とドロップしきい値 70 % のしきい値 2 にマッピングします。
関連コマンド
|
|
|
|---|---|
Class of Service（CoS; サービス クラス）値を入力キューにマッピングするか、CoS 値をキューおよびしきい値 ID にマッピングします。 |
|
mls qos srr-queue input priority-queue
リングが輻輳している場合、入力プライオリティ キューを設定して、内部リング上で帯域幅を保証するには、 mls qos srr-queue input priority-queue グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
mls qos srr-queue input priority-queue queue-id bandwidth weight
no mls qos srr-queue input priority-queue queue-id
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
プライオリティ キューは、優先して進める必要があるトラフィックにのみ使用してください（遅延とジッタを最小限にとどめる必要のある音声トラフィックなど）。
プライオリティ キューは内部リング上で帯域幅の一部が保証されており、オーバーサブスクライブ型のリング上でネットワーク トラフィックが多い場合（バックプレーンが送達できる量よりもトラフィックが多い場合、およびキューが満杯でフレームをドロップしている場合）に、遅延とジッタを軽減します。
シェイプド ラウンド ロビン（SRR）は、 mls qos srr-queue input priority-queue queue-id bandwidth weight グローバル コンフィギュレーション コマンドの bandwidth キーワードで指定されたとおりに、設定済みの重みに従いプライオリティ キューにサービスを提供します。SRR は、両方の入力キューで残りの帯域幅を共有し、 mls qos srr-queue input bandwidth weight1 weight2 グローバル コンフィギュレーション コマンドで設定されたウェイトで指定したサービスを実行します。
プライオリティ キューイングをディセーブルにするには、帯域幅の重みを 0 に設定します。たとえば、 mls qos srr-queue input priority-queue queue-id bandwidth 0 と入力します。
例
次の例では、キューの入力帯域幅を割り当てる方法を示します。キュー 1 は割り当てられた帯域幅の 10 % を持つプライオリティ キューです。キュー 1 とキュー 2 に割り当てられた帯域幅の比率は、4/（4+4）です。SRR は最初、設定された 10 % の帯域幅をキュー 1（プライオリティ キュー）にサービスします。そのあと、SRR は残りの 90 % の帯域幅をキュー 1 とキュー 2 にそれぞれ 45 % ずつ均等に分配します。
設定を確認するには、 show mls qos interface [ interface-id ] queueing または show mls qos input-queue 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
Class of Service（CoS; サービス クラス）値を入力キューにマッピング、または CoS 値をキューおよびしきい値 ID にマッピングします。 |
|
show mls qos interface queueing |
mls qos srr-queue input threshold
入力キューに Weighted Tail-Drop（WTD）しきい値（%）を割り当てるには、 mls qos srr-queue input threshold グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
mls qos srr-queue input threshold queue-id threshold-percentage1 threshold-percentage2
no mls qos srr-queue input threshold queue-id
構文の説明
2 つの WTD しきい値（%）です。各しきい値は、キューに割り当てられたキュー記述子の総数に対する割合です。各値はスペースで区切ります。指定できる範囲は 1 ～ 100 です。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
QoS は、CoS/しきい値マップまたは DSCP/しきい値マップを使用して、どの Class of Service（CoS; サービス クラス）値または DiffServ コード ポイント（DSCP）値をしきい値 1 としきい値 2 にマッピングするかを判別します。しきい値 1 を超えた場合は、しきい値を超えなくなるまで、このしきい値に割り当てられた CoS または DSCP を持つパケットがドロップされます。ただし、しきい値 2 に割り当てられたパケットは、2 番目のしきい値を超えることがない限り、引き続きキューに入れられ送信されます。
各キューには、2 つの設定可能な（明示）ドロップしきい値と 1 つの事前設定された（暗黙）ドロップしきい値（フル）があります。
CoS/しきい値マップを設定するには、 mls qos srr-queue input cos-map グローバル コンフィギュレーション コマンドを使用します。DSCP/しきい値マップを設定するには、 mls qos srr-queue input dscp-map グローバル コンフィギュレーション コマンドを使用します。
例
次の例では、2 つのキューにテールドロップしきい値を設定する方法を示します。キュー 1 のしきい値は 50 % と 100 %、キュー 2 のしきい値は 70 % と 100 % です。
設定を確認するには、 show mls qos interface [ interface-id ] buffers または show mls qos input-queue 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
Class of Service（CoS; サービス クラス）値を入力キューにマッピング、または CoS 値をキューおよびしきい値 ID にマッピングします。 |
|
show mls qos interface buffers |
mls qos srr-queue output cos-map
Class of Service（CoS; サービス クラス）値を出力キューにマッピング、または CoS 値をキューおよびしきい値 ID にマッピングするには、 mls qos srr-queue output cos-map グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
mls qos srr-queue output cos-map queue queue-id { cos1...cos8 | threshold threshold-id cos1...cos8 }
no mls qos srr-queue output cos-map
構文の説明
デフォルト
表 2-17 では、デフォルトの CoS 出力キューのしきい値のマッピングを示します。
|
|
|
|---|---|
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
しきい値 3 のドロップしきい値（%）は事前に定義されています。パーセンテージはキューが満杯の状態に対して設定されます。
（注） 出力キューのデフォルト設定は、ほとんどの状況に適しています。出力キューについて十分理解したうえで、これらの設定がユーザの QoS（Quality of Service）ソリューションを満たさないと判断した場合のみ、設定を変更できます。
mls qos queue-set output qset-id threshold グローバル コンフィギュレーション コマンドを使用すると、出力キューに 2 つの Weighted Tail-Drop（WTD）しきい値（%）を割り当てることができます。
各 CoS 値を、異なるキューおよびしきい値の組み合わせに対してマッピングできます。これによりフレームを異なる動作に従わせることができます。
例
次の例では、ポートをキューセット 1 にマッピングする方法を示します。CoS 値 0 ～ 3 を出力キュー 1 としきい値 ID 1 にマッピングします。キュー 1 のドロップしきい値を割り当てられたメモリの 50 % と 70 % に設定し、割り当てられたメモリの 100 % を保証（予約）して、このキューがパケットをドロップせずに保持可能な最大メモリを 200% に設定します。
設定を確認するには、 show mls qos maps 、 show mls qos interface [ interface-id ] buffers 、 または show mls qos queue-set 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show mls qos interface buffers |
|
mls qos srr-queue output dscp-map
DiffServ コード ポイント（DSCP）値を出力キューにマッピング、または DSCP 値をキューおよびしきい値 ID にマッピングするには、 mls qos srr-queue output dscp-map グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
mls qos srr-queue output dscp-map queue queue-id { dscp1...dscp8 | threshold threshold-id dscp1...dscp8 }
no mls qos srr-queue output dscp-map
構文の説明
| dscp1...dscp8 には、最大 8 つの値をスペースで区切って入力します。指定できる範囲は 0 ～ 63 です。 |
|
| threshold-id で指定できる範囲は 1 ～ 3 です。 dscp1...dscp8 には、最大 8 つの値をスペースで区切って入力します。指定できる範囲は 0 ～ 63 です。 |
デフォルト
表 2-18 は、デフォルトの DSCP 出力キューしきい値マップを示しています。
|
|
|
|---|---|
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
しきい値 3 のドロップしきい値（%）は事前に定義されています。パーセンテージはキューが満杯の状態に対して設定されます。
（注） 出力キューのデフォルト設定は、ほとんどの状況に適しています。出力キューについて十分理解したうえで、この設定がユーザの QoS ソリューションを満たさないと判断した場合のみ、設定を変更してください。
mls qos queue-set output qset-id threshold グローバル コンフィギュレーション コマンドを使用すると、出力キューに 2 つの Weighted Tail-Drop（WTD）しきい値（%）を割り当てることができます。
各 DSCP 値を異なるキューおよびしきい値の組み合わせにマッピングして、フレームが別の方法で処理されるようにすることができます。
例
次の例では、ポートをキューセット 1 にマッピングする方法を示します。DSCP 値 0 ～ 3 を出力キュー 1 としきい値 ID 1 にマッピングします。キュー 1 のドロップしきい値を割り当てられたメモリの 50 % と 70 % に設定し、割り当てられたメモリの 100 % を保証（予約）して、このキューがパケットをドロップせずに保持可能な最大メモリを 200 % に設定します。
設定を確認するには、 show mls qos maps 、 show mls qos interface [ interface-id ] buffers 、 または show mls qos queue-set 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
Class of Service（CoS; サービス クラス）値を出力キュー、またはキューとしきい値 ID にマッピングします。 |
|
show mls qos interface buffers |
|
mls qos trust
ポート信頼状態を設定するには、mls qos trust インターフェイス コンフィギュレーション コマンドを使用します。入トラフィックを信頼できるようになり、パケットの DiffServ コード ポイント（DSCP）、Class of Service（CoS; サービス クラス）、または IP precedence のフィールドを調べることにより分類が実行されます。ポートを信頼できない状態に戻すには、このコマンドの no 形式を使用します。
mls qos trust [ cos | device cisco-phone | dscp | ip-precedence ]
no mls qos trust [ cos | device | dscp | ip-precedence ]
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドラインが改訂されて、Cisco IP Phone がスイッチまたはルーテッド ポートに接続された場合のスイッチの信頼状態の設定方法が説明されています。 |
使用上のガイドライン
QoS（Quality of Service）ドメインに着信するパケットは、ドメインのエッジで分類されます。パケットがエッジで分類されると、QoS ドメイン内の各スイッチでパケットを分類する必要がないので、QoS ドメイン内のスイッチ ポートはいずれか 1 つの信頼状態に設定できます。ポートが信頼されているかどうか、またどのパケットのフィールドがトラフィックの分類に使用されるのかを指定する場合に、このコマンドを使用します。
ポートに信頼 DSCP または信頼 IP precedence が設定され、着信パケットが非 IP パケットの場合は、CoS/DSCP マップを使用して、CoS 値から対応する DSCP 値が導き出されます。CoS は、トランク ポートの場合はパケット CoS、非トランク ポートの場合はデフォルトのポート CoS となります。
DSCP が信頼されている場合、IP パケットの DSCP フィールドは変更されません。ただし、パケットの CoS 値を（DSCP/CoS マップに基づいて）変更することは可能です。
CoS が信頼されている場合、パケットの CoS フィールドは変更されませんが、IP パケットである場合には（CoS/DSCP マップに基づいて）DSCP を変更することはできます。
信頼境界機能は、ユーザがネットワーク化された Cisco IP Phone から PC を切断し、これをスイッチ ポートに接続して信頼された CoS または DSCP 設定を利用する場合のセキュリティ問題の発生を防止します。スイッチおよび IP Phone に接続されたポートでシスコ検出プロトコル（CDP）をグローバルにイネーブルにする必要があります。IP Phone が検出されなかった場合、信頼境界機能はスイッチまたはルーテッド ポートの信頼設定をディセーブルにし、高プライオリティ キューが誤って使用されないようにします。
DSCP または IP precedence の信頼設定を行うと、着信パケットの DSCP 値または IP precedence 値が信頼されます。IP Phone に接続するスイッチ ポートで mls qos cos override インターフェイス コンフィギュレーション コマンドを設定すると、スイッチは着信音声およびデータパケットの CoS を無効にし、デフォルトの CoS 値をそれらに割り当てます。
QoS ドメイン間境界の場合は、ポートを DSCP 信頼状態に設定し、DSCP 値が QoS ドメイン間で異なる場合は DSCP/DSCP 変換マップを適用できます。
ポート信頼状態を使用した分類（たとえば、 mls qos trust [ cos | dscp | ip-precedence ]）とポリシー マップ（たとえば、 service-policy input policy-map-name ）は同時に指定できません。最後に行われた設定により、前の設定が上書きされます。
（注） Cisco IOS リリース 12.2(52)SE 以降では、デュアル IPv4/IPv6 Switch Database Management（SDM）テンプレートを使用する IPv6 ポートベースの信頼性をサポートします。IPv6 を実行するスイッチでは、デュアル IPv4/IPv6 テンプレートを使用してスイッチをリロードする必要があります。
例
次の例では、着信パケットの IP precedence フィールドを信頼するようにポートを設定する方法を示します。
次の例では、ポート上で接続されている Cisco IP Phone が信頼できるデバイスであることを指定する方法を示します。
関連コマンド
|
|
|
|---|---|
デフォルトのポート CoS 値を定義するか、あるいはポートのすべての着信パケットにデフォルトの CoS 値を割り当てます。 |
|
CoS/DSCP マップ、DSCP/CoS マップ、DSCP/DSCP 変換マップ、IP precedence/DSCP マップ、およびポリシング設定 DSCP マップを定義します。 |
|
mls qos vlan-based
物理ポート上で VLAN ベースの QoS（Quality of Service）をイネーブルにするには、mls qos vlan-based インターフェイス コンフィギュレーション コマンドを使用します。この機能をディセーブルにするには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
階層ポリシー マップをスイッチ仮想インターフェイス（SVI）に適用するには、階層ポリシー マップのセカンダリ インターフェイス レベルでポートを指定するときに、物理ポートで mls qos vlan-based インターフェイス コンフィギュレーション コマンドを使用します。
階層ポリシングを設定すると、階層ポリシー マップは SVI に適用され、VLAN に属するすべてのトラフィックに反映されます。インターフェイス レベルのトラフィック分類における個々のポリサーは、分類に従って指定された物理ポートだけに反映されます。
階層型ポリシー マップを設定する詳細な手順については、このリリースに対応するソフトウェア コンフィギュレーション ガイドの「Classifying, Policing, and Marking Traffic by Using Hierarchical Policy Maps」を参照してください。
例
次の例では、物理ポート上で VLAN ベースのポリシングをイネーブルにする方法を示します。
関連コマンド
|
|
|
|---|---|
monitor session
新規に Switched Port Analyzer（SPAN; スイッチド ポート アナライザ）セッションまたは Remote SPAN（RSPAN）の送信元または宛先セッションを開始するには、 monitor session グローバル コンフィギュレーション コマンドを使用します。これにより、ネットワーク セキュリティ デバイス（Cisco Intrusion Detection System（IDS; 侵入検知システム）センサー アプライアンスなど）の宛先ポート上にある入トラフィックをイネーブルにして、既存の SPAN または RSPAN セッションでのインターフェイスまたは VLAN の追加または削除を実行し、SPAN 送信元トラフィックを特定の VLAN に制限（フィルタリング）します。SPAN または RSPAN セッションを削除したり、SPAN または RSPAN セッションから送信元/宛先インターフェイスまたはフィルタを削除したりするには、このコマンドの no 形式を使用します。宛先インターフェイスに対してこのコマンドの no 形式を使用すると、 カプセル化 オプションは無視されます。
monitor session session_number destination { interface interface-id [, | -] [ encapsulation replicate] [ ingress { dot1q vlan vlan-id | isl | untagged vlan vlan-id | vlan vlan-id }]} | { remote vlan vlan-id }
monitor session session_number filter vlan vlan-id [, | -]
monitor session session_number source { interface interface-id [, | -] [ both | rx | tx ]} | { vlan vlan-id [, | -] [ both | rx | tx ]}| { remote vlan vlan-id }
no monitor session { session_number | all | local | remote }
no monitor session session_number destination { interface interface-id [, | -] [ encapsulation replicate] [ ingress { dot1q vlan vlan-id | isl | untagged vlan vlan-id | vlan vlan-id }]} | { remote vlan vlan-id }
no monitor session session_number filter vlan vlan-id [, | -]
no monitor session session_number source { interface interface-id [, | -] [ both | rx | tx ]} | { vlan vlan-id [, | -] [ both | rx | tx ]} | { remote vlan vlan-id }
構文の説明
デフォルト
送信元インターフェイスのデフォルトでは、受信トラフィックと送信トラフィックの両方をモニタします。
送信元ポートとして使用されるトランク インターフェイス上では、すべての VLAN がモニタされます。
ローカル SPAN の宛先ポートで encapsulation replicate が指定されなかった場合、パケットはカプセル化のタグなしのネイティブ形式で送信されます。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
送信元ポートまたは送信元 VLAN を出入りするトラフィックは、SPAN または RSPAN を使用してモニタできます。送信元ポートまたは送信元 VLAN にルーティングされるトラフィックはモニタできません。
2 つのローカル SPAN セッションおよび RSPAN 送信元セッションを組み合わせた最大値を設定できます。スイッチ上で、合計 66 の SPAN および RSPAN セッションを保有できます。
各セッションには複数の入力または出力の送信元ポートまたは VLAN を含めることができますが、1 つのセッション内で送信元ポートと送信元 VLAN を組み合わせることはできません。各セッションは複数の宛先ポートを保有できます。
VLAN-based SPAN（VSPAN）を使用して、VLAN または一連の VLAN 内のネットワーク トラフィックを解析する場合、送信元 VLAN のすべてのアクティブ ポートが SPAN または RSPAN セッションの送信元ポートになります。トランク ポートは VSPAN の送信元ポートとして含まれ、モニタされた VLAN ID のパケットのみが宛先ポートに送信されます。
1 つのポート、1 つの VLAN、一連のポート、一連の VLAN、ポート範囲、VLAN 範囲でトラフィックをモニタできます。[ , | - ] オプションを使用することにより、一連のインターフェイスまたはインターフェイス範囲、一連の VLAN または VLAN 範囲を指定します。
一連の VLAN またはインターフェイスを指定するときは、カンマ（,）の前後にスペースが必要です。VLAN またはインターフェイスの範囲を指定するときは、ハイフン（ - ）の前後にスペースが必要です。
EtherChannel ポートは、SPAN または RSPAN 宛先ポートとして設定することはできません。EtherChannel グループのメンバーである物理ポートは、宛先ポートとして使用できます。ただし、SPAN の宛先として機能する間は、EtherChannel グループに参加できません。
プライベート VLAN ポートは、SPAN 宛先ポートには設定できません。
個々のポートはそれらが EtherChannel に参加している間もモニタできます。また、RSPAN 送信元インターフェイスとして port-channel 番号を指定することで EtherChannel バンドル全体をモニタできます。
宛先ポートとして使用しているポートは、SPAN または RSPAN 送信元ポートにすることはできません。また、同時に複数のセッションの宛先ポートにすることはできません。
SPAN または RSPAN 宛先ポートであるポート上で IEEE 802.1x 認証をイネーブルにすることはできますが、ポートが SPAN 宛先として削除されるまで IEEE 802.1x 認証はディセーブルです。IEEE 802.1x 認証がポート上で使用できない場合、スイッチはエラー メッセージを返します。SPAN または RSPAN 送信元ポートでは IEEE 802.1x 認証をイネーブルにできます。
VLAN のフィルタリングは、トランクの送信元ポート上で選択された一連の VLAN のネットワーク トラフィック解析を参照します。デフォルトでは、すべての VLAN がトランクの送信元ポートでモニタされます。 monitor session session_number filter vlan vlan-id コマンドを使用すると、トランク送信元ポートの SPAN トラフィックを指定された VLAN だけに限定できます。
VLAN のモニタリングおよび VLAN のフィルタリングは相互に排他的な関係です。VLAN が送信元の場合、VLAN のフィルタリングはイネーブルにできません。VLAN のフィルタリングが設定されている場合、VLAN は送信元になることができません。
入トラフィック転送がネットワーク セキュリティ デバイスでイネーブルの場合、宛先ポートはレイヤ 2 でトラフィックを転送します。
• 他のキーワードなしで、 monitor session session_number destination interface interface-id を入力した場合、出力のカプセル化はタグなしとなり、入力転送はイネーブルになりません。
• monitor session session_number destination interface interface-id ingress を入力した場合は、出力カプセル化はタグなしで、入力カプセル化はそのあとに続くキーワードが dot1q 、 isl 、または untagged のいずれであるかによって決まります。
• その他のキーワードを指定せずに、 monitor session session_number destination interface interface-id encapsulation replicate を入力した場合は、出力カプセル化は送信元インターフェイス カプセル化を複製し、入トラフィック転送はイネーブルにはなりません（これはローカル SPAN のみに適用されます。RSPAN では、カプセル化の複製はサポートされません）。
• monitor session session_number destination interface interface-id encapsulation replicate ingress を入力した場合は、出力カプセル化は送信元インターフェイスのカプセル化を複製し、入力カプセル化はそのあとに続くキーワードが、 dot1q 、 isl 、または untagged のいずれであるかによって決まります（これはローカル SPAN のみに適用されます。RSPAN では、カプセル化の複製はサポートされません）。
例
次の例では、ローカル SPAN セッション 1 を作成し、送信元ポート 1 から宛先ポート 2 に送受信するトラフィックをモニタする方法を示します。
次の例では、宛先ポートを既存のローカル SPAN セッションから削除する方法を示します。
次の例では、既存のセッション内の SPAN トラフィックを特定の VLAN に限定する方法を示します。
次の例では、複数の送信元インターフェイスをモニタする RSPAN 送信元セッション 1 を設定し、さらに宛先 RSPAN VLAN 900 を設定する方法を示します。
次の例では、モニタ対象トラフィックが受信されるスイッチで RSPAN 宛先セッション 10 を設定する方法を示します。
次の例では、IEEE 802.1Q カプセル化をサポートするセキュリティ装置を使用して、VLAN 5 の入力トラフィックに対応する宛先ポートを設定する方法を示します。出トラフィックは送信元のカプセル化を複製します。入トラフィックは IEEE 802.1Q カプセル化を使用します。
次の例では、カプセル化をサポートしないセキュリティ デバイスを使用して、VLAN 5 上の入トラフィックの宛先ポートを設定する方法を示します。出トラフィックおよび入トラフィックはタグ付けされません。
設定を確認するには、 show monitor 特権 EXEC コマンドを入力します。 show running-config 特権 EXEC コマンドを入力すると、スイッチの SPAN および RSPAN 設定を表示できます。SPAN 情報は出力の最後付近に表示されます。
関連コマンド
|
|
|
|---|---|
mvr（グローバル コンフィギュレーション）
スイッチで Multicast VLAN Registration（MVR; マルチキャスト VLAN レジストレーション）機能をイネーブルにするには、キーワードを指定せずに mvr グローバル コンフィギュレーション コマンドを使用します。このコマンドをキーワードとともに使用すると、スイッチの MVR モードの設定、MVR IP マルチキャスト アドレスの設定、またはグループ メンバシップからのポートの削除を行う前に、クエリーの返答を待つ最大時間の設定、または MVR マルチキャスト VLAN の指定が行われます。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
mvr [ group ip-address [ count ] | mode [ compatible | dynamic ] | querytime value | vlan vlan-id ]
no mvr [ group ip-address | mode [ compatible | dynamic ] | querytime value | vlan vlan-id ]
構文の説明
デフォルト
デフォルトの MVR モードは、compatible モードです。
IP マルチキャスト アドレスは、デフォルトではスイッチで設定されます。
デフォルトのグループ IP アドレス カウントは 0 です。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
1 つのスイッチに最大 256 個の MVR マルチキャスト グループを設定できます。
MVR に属するすべての IP マルチキャスト アドレスをスタティックに設定する場合は、 mvr group コマンドを使用します。設定したマルチキャスト アドレスに送信されたマルチキャスト データは、スイッチのすべての送信元ポートおよびその IP マルチキャスト アドレスでデータを受信するよう登録されたすべてのレシーバー ポートに送信されます。
MVR はスイッチのエイリアス IP マルチキャスト アドレスをサポートします。ただし、スイッチが Catalyst 3550 または Catalyst 3500 XL スイッチと連携動作している場合は、それらの間でエイリアスとして使用される IP アドレスや予約済みの IP マルチキャスト アドレス（224.0.0.xxx 範囲内）を設定する必要はありません。
mvr querytime コマンドはレシーバー ポートだけに適用されます。
スイッチ MVR が、Catalyst 2900 XL または Catalyst 3500 XL スイッチと相互動作している場合は、マルチキャスト モードを compatible に設定してください。
compatible モードで動作している場合は、MVR は MVR 送信元ポートでの IGMP ダイナミック加入をサポートしません。
MVR はスイッチで IGMP スヌーピングと共存できます。
マルチキャスト ルーティングおよび MVR はスイッチ上で共存できません。MVR がイネーブルになっている状態で、マルチキャスト ルーティングおよびマルチキャスト ルーティング プロトコルをイネーブルにした場合、MVR はディセーブルになり、警告メッセージが表示されます。マルチキャスト ルーティングおよびマルチキャスト ルーティング プロトコルがイネーブルの状態で、MVR をイネーブルにしようとすると、MVR をイネーブルにする操作はキャンセルされ、エラー メッセージが表示されます。
例
show mvr 特権 EXEC コマンドを使用すると、最大のマルチキャスト グループの現在の設定を表示できます。
次の例では、228.1.23.4 を IP マルチキャスト アドレスとして設定する方法を示します。
次の例では、228.1.23.1 ～ 228.1.23.10 のマルチキャスト アドレスとともに 10 の連続 IP マルチキャスト グループを設定する方法を示します。
スイッチで設定された IP マルチキャスト グループ アドレスを表示する場合は、 show mvr members 特権 EXEC コマンドを使用します。
次の例では、最大クエリー応答時間を 1 秒（10/10）に設定する方法を示します。
次の例では、VLAN 2 をマルチキャスト VLAN として設定する方法を示します。
関連コマンド
|
|
|
|---|---|
設定された MVR インターフェイスをそのタイプ、ステータス、および即時脱退設定とともに表示します。インターフェイスがメンバーであるすべての MVR グループを表示します。 |
|
MVR マルチキャスト グループのメンバーであるすべてのポートを表示します。グループにメンバーがない場合、そのステータスは Inactive として表示されます。 |
mvr（インターフェイス コンフィギュレーション）
レイヤ 2 のポートをマルチキャスト VLAN レジストレーション（MVR）のレシーバーまたは送信元ポートとして設定し、即時脱退機能を設定し、IP マルチキャスト VLAN と IP アドレスにポートをスタティックに割り当てるには、 mvr インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
mvr [ immediate | type { receiver | source } | vlan vlan-id group [ ip-address ]]
no mvr [ immediate | type { source | receiver } | vlan vlan-id group [ ip-address ]]
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
ポートが設定されたマルチキャスト グループ向けマルチキャスト データを送受信できるようにする場合は、ポートを送信元ポートとして設定します。マルチキャスト データは送信元ポートとして設定されているすべてのポートで受信されます。
レシーバー ポートはトランク ポートになることはできません。スイッチのレシーバー ポートは異なる VLAN に属していてもかまいませんが、マルチキャスト VLAN に属することはできません。
MVR に参加していないポートは、MVR レシーバー ポートまたは送信元ポートとして設定しないでください。非 MVR ポートは通常のスイッチ ポートであり、通常のスイッチ動作でマルチキャスト データを送受信できます。
即時脱退機能がイネーブルの場合、レシーバー ポートはより短時間でマルチキャスト グループから脱退します。即時脱退機能がなく、スイッチがレシーバー ポートのグループから IGMP Leave メッセージを受信した場合、スイッチは、そのポートに IGMP MAC ベースのクエリーを送信し、IGMP グループ メンバシップ レポートを待ちます。設定された時間内にレポートが届かないと、レシーバー ポートがマルチキャスト グループ メンバシップから削除されます。即時脱退機能では、IGMP Leave を受信したレシーバー ポートから IGMP MAC ベースのクエリーは送信されません。Leave メッセージの受信後ただちに、マルチキャスト グループ メンバシップからレシーバー ポートが削除されるので、脱退のための待ち時間が短縮されます。
即時脱退機能をイネーブルにするのは、レシーバー装置が 1 つだけ接続されているレシーバー ポートに限定してください。
mvr vlan group コマンドは、IP マルチキャスト アドレスに送信されたマルチキャスト トラフィックを受信するようにポートをスタティックに設定します。グループのメンバーとしてスタティックに設定されたポートは、スタティックに削除されるまではそのグループのメンバーのままです。compatible モードでは、このコマンドはレシーバー ポートだけに適用されます。dynamic モードでは送信元ポートにも適用されます。レシーバー ポートは、IGMP Join メッセージを使用してダイナミックにマルチキャスト グループに加入することもできます。
compatible モードで動作している場合は、MVR は MVR 送信元ポートでの IGMP ダイナミック加入をサポートしません。
例
次の例では、MVR レシーバー ポートとしてポートを設定する方法を示します。
設定済みのレシーバー ポートと送信元ポートを表示するには、 show mvr interface 特権 EXEC コマンドを使用します。
次の例では、ポートの即時脱退機能をイネーブルにする方法を示します。
次の例では、VLAN 1 上のポートを IP マルチキャスト グループ 228.1.23.4 のスタティック メンバーとして追加する方法を示します。
関連コマンド
|
|
|
|---|---|
設定済みの MVR インターフェイスを表示するか、またはレシーバー ポートが所属するマルチキャスト グループを表示します。インターフェイスがメンバーであるすべての MVR グループを表示します。 |
|
network-policy
インターフェイスにネットワーク ポリシー プロファイルを適用するには、 network-policy インターフェイス コンフィギュレーション コマンドを使用します。ポリシーを削除する場合は、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
インターフェイスにプロファイルを適用するには、 network-policy profile number インターフェイス コンフィギュレーション コマンドを使用します。
ネットワーク ポリシー プロファイルを初めて設定したインターフェイスには、 switchport voice vlan コマンドを適用できません。 switchport voice vlan vlan-id がすでに設定されているインターフェイスには、ネットワーク ポリシー プロファイルを適用できます。そのインターフェイスにはその後、音声または音声シグナリング VLAN ネットワーク ポリシー プロファイルが適用されます。
例
次の例では、インターフェイスにネットワーク ポリシー プロファイル 60 を適用する方法を示します。
関連コマンド
|
|
|
|---|---|
network-policy profile（グローバル コンフィギュレーション）
ネットワーク ポリシー プロファイルを作成し、ネットワーク ポリシー コンフィギュレーション モードに入るには、 network-policy profile グローバル コンフィギュレーション コマンドを使用します。ポリシーを削除し、グローバル コンフィギュレーション モードに戻るには、このコマンドの no 形式を使用します。
network-policy profile profile number
no network-policy profile profile number
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
プロファイルを作成し、ネットワーク ポリシー コンフィギュレーション モードに入るには、 network-policy profile グローバル コンフィギュレーション コマンドを使用します。
ネットワーク ポリシー プロファイル コンフィギュレーション モードから特権 EXEC モードに戻る場合は、 exit コマンドを入力します。
ネットワーク ポリシー プロファイル コンフィギュレーション モードに入ると、VLAN の値、Class of Service（CoS; サービス クラス）、DiffServ コード ポイント（DSCP）、およびタギング モードを指定して、音声および音声シグナリングのプロファイルを作成できます。
これらのプロファイル属性はその後、Link Layer Discovery Protocol for Media Endpoint Devices（LLDP-MED） network-policy Type-Length-Value（TLV）に含められます。
例
次の例では、ネットワーク ポリシー プロファイル 60 を作成する方法を示します。
関連コマンド
|
|
|
|---|---|
network-policy profile（ネットワーク ポリシー コンフィギュレーション）
network-policy profile グローバル コンフィギュレーション コマンドで作成したネットワーク ポリシー プロファイルを設定するには、 network-policy profile コンフィギュレーション モード コマンドを使用します。プロファイルを削除する場合は、追加パラメータなしでこのコマンドの no 形式を使用します。設定された属性を変更する場合は、パラメータとともにこのコマンドの no 形式を使用します。
network-policy profile profile number {voice | voice-signaling} vlan [ vlan-id {cos cvalue | dscp dvalue } ] | [[dot1p {cos cvalue | dscp dvalue }] | none | untagged]
no network-policy profile profile number {voice | voice-signaling} vlan [ vlan-id | {cos cvalue } | {dscp dvalue } ] | [[dot1p {cos cvalue } | {dscp dvalue }] | none | untagged]
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
ネットワーク ポリシー プロファイルの属性を設定するには、 network-policy profile コマンドを使用します。
音声 アプリケーション タイプは、インタラクティブ音声サービスをサポートする専用の IP Phone および同種のデバイス向けのものです。これらのデバイスは通常、独立した VLAN に配置されます。デバイスがデータ アプリケーションから切り離されるため、配置およびセキュリティ拡張が容易になります。
音声シグナリング アプリケーション タイプは、音声メディアとは異なる音声シグナリング用のポリシーが必要になるネットワーク トポロジ向けのものです。 音声ポリシー TLV でアドバタイズされるものとまったく同じネットワーク ポリシーを適用する場合は、このアプリケーション タイプをアドバタイズしないでください。
次の例では、CoS のプライオリティを 4 として VLAN 100 に音声アプリケーション タイプを設定する方法を示します。
次の例では、DSCP 値を 34 として VLAN 100 に音声アプリケーション タイプを設定する方法を示します。
次の例では、プライオリティ タギングを使用したネイティブ VLAN に音声アプリケーション タイプを設定する方法を示します。
関連コマンド
|
|
|
|---|---|
nmsp
スイッチでネットワーク モビリティ サービス プロトコル（NMSP）をイネーブルにするには、 nmsp グローバル コンフィギュレーション コマンドを使用します。このコマンドは、スイッチが暗号化ソフトウェア イメージを実行している場合にだけ使用できます。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
nmsp { enable | { notification interval { attachment | location } interval-seconds}}
no nmsp { enable | { notification interval { attachment | location } interval-seconds}}
構文の説明
スイッチが MSE にロケーションまたはアタッチメントの更新を送信するまでの期間（秒単位）。指定できる範囲は 1 ～ 30 です。デフォルト値は 30 です。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
スイッチで NMSP のロケーション通知とアタッチメント通知を Cisco Mobility Services Engine（MSE）に送信できるようにするには、 nmsp グローバル コンフィギュレーション コマンドを使用します。
例
次の例では、スイッチで NMSP をイネーブルにし、ロケーション通知時間を 10 秒に設定する方法を示します。
関連コマンド
|
|
|
|---|---|
nmsp attachment suppress
指定のインターフェイスからアタッチメント情報のレポーティングを抑制するには、 nmsp attachment suppress インターフェイス コンフィギュレーション モード コマンドを使用します。このコマンドは、スイッチが暗号化ソフトウェア イメージを実行している場合にだけ使用できます。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
ロケーション通知およびアタッチメント通知を Cisco MSE に送信しないようにインターフェイスを設定するには、 nmsp attachment suppress インターフェイス コンフィギュレーション コマンドを使用します。
例
次の例では、アタッチメント情報を MSE に送信しないようにインターフェイスを設定する方法を示します。
関連コマンド
|
|
|
|---|---|
no authentication logging verbose
認証システム メッセージから詳細情報をフィルタするには、スイッチ スタックまたはスタンドアロン スイッチ上で no authentication logging verbose グローバル コンフィギュレーション コマンドを使用します。
no authentication logging verbose
デフォルト
構文の説明
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
冗長な認証システム メッセージをフィルタするには、次のコマンドを入力します。
関連コマンド
|
|
|
|---|---|
no dot1x logging verbose
802.1x システム メッセージから詳細情報をフィルタするには、スイッチ スタックまたはスタンドアロン スイッチ上で no dot1x logging verbose グローバル コンフィギュレーション コマンドを使用します。
デフォルト
構文の説明
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
冗長な 802.1x システム メッセージをフィルタするには、次のコマンドを入力します。
関連コマンド
|
|
|
|---|---|
no mab logging verbose
MAB システム メッセージから詳細情報をフィルタするには、スイッチ スタックまたはスタンドアロン スイッチ上で no mab logging verbose グローバル コンフィギュレーション コマンドを使用します。
デフォルト
構文の説明
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
冗長な MAB システム メッセージをフィルタするには、次のコマンドを入力します。
関連コマンド
|
|
|
|---|---|
pagp learn-method
EtherChannel ポートから受信する着信パケットの送信元アドレスを学習するには、 pagp learn-method インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
pagp learn-method { aggregation-port | physical-port }
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
（注） Command-Line Interface（CLI; コマンドライン インターフェイス）を経由して physical-port キーワードが指定された場合でも、スイッチがサポートするのは、集約ポートでのアドレスの学習のみです。スイッチ ハードウェアでは、pagp learn-method および pagp port-priority インターフェイス コンフィギュレーション コマンドは無効ですが、Catalyst 1900 スイッチなどの物理ポートによるアドレス学習だけをサポートするデバイスとの PAgP の相互運用にはこれらのコマンドが必要です。
スイッチへのリンク パートナーが物理ラーナーである場合 pagp learn-method physical-port インターフェイス コンフィギュレーション コマンドを使用してスイッチを物理ポート ラーナーとして設定し port-channel load-balance src-mac グローバル コンフィギュレーション コマンドを使用して送信元 MAC アドレスに基づいた負荷分散方式を設定することを推奨します。この状況でのみ、pagp learn-method インターフェイス コンフィギュレーション コマンドを使用します。
例
次の例では、学習方式を設定し、EtherChannel 内の物理ポート上のアドレスを学習する方法を示します。
次の例では、EtherChannel 内のポート チャネルでアドレスを学習するように学習方式を設定する方法を示します。
設定を確認するには、 show running-config 特権 EXEC コマンドまたは show pagp channel-group-number internal 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
pagp port-priority
EtherChannel を経由するすべてのポート集約プロトコル（PAgP）トラフィックが送信されるポートを選択するには、 pagp port-priority インターフェイス コンフィギュレーション コマンドを使用します。EtherChannel で使用されていないすべてのポートがホットスタンバイ モードにあり、現在選択されているポートやリンクに障害が発生した場合、これらのポートは稼動状態にできます。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
同じ EtherChannel 内で動作可能でメンバシップを持つ物理ポートの中で最も高いプライオリティを持つポートが、PAgP 送信用として選択されます。
（注） Command-Line Interface（CLI; コマンドライン インターフェイス）を経由して physical-port キーワードが指定された場合でも、スイッチがサポートするのは、集約ポートでのアドレスの学習のみです。スイッチ ハードウェアでは、pagp learn-method および pagp port-priority インターフェイス コンフィギュレーション コマンドは無効ですが、Catalyst 1900 スイッチなどの物理ポートによるアドレス学習だけをサポートするデバイスとの PAgP の相互運用にはこれらのコマンドが必要です。
スイッチへのリンク パートナーが物理ラーナーである場合、pagp learn-method physical-port インターフェイス コンフィギュレーション コマンドを使用してスイッチを物理ポート ラーナーとして設定し、port-channel load-balance src-mac グローバル コンフィギュレーション コマンドを使用して送信元 MAC アドレスに基づいた負荷分散方式を設定することを推奨します。この状況でのみ、pagp learn-method インターフェイス コンフィギュレーション コマンドを使用します。
例
次の例では、ポート プライオリティを 200 に設定する方法を示します。
設定を確認するには、 show running-config 特権 EXEC コマンドまたは show pagp channel-group-number internal 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
permit（ARP アクセス リスト コンフィギュレーション）
permit ARP アクセス リスト コンフィギュレーション コマンドを使用してDynamic Host Configuration Protocol (DHCP) バインディングとの照合に基づいてアドレス解決プロトコル（ARP）パケットを許可します。アクセス コントロール リストから指定されたアクセス コントロール エントリ（ACE）を削除するには、このコマンドの no 形式を使用します。
permit {[ request ] ip { any | host sender-ip | sender-ip sender-ip-mask } mac { any | host sender-mac | sender-mac sender-mac-mask } | response ip { any | host sender-ip | sender-ip sender-ip-mask } [{ any | host target-ip | target-ip target-ip-mask }] mac { any | host sender-mac | sender-mac sender-mac-mask } [{ any | host target-mac | target-mac target-mac-mask }]} [ log ]
no permit {[ request ] ip { any | host sender-ip | sender-ip sender-ip-mask } mac { any | host sender-mac | sender-mac sender-mac-mask } | response ip { any | host sender-ip | sender-ip sender-ip-mask } [{ any | host target-ip | target-ip target-ip-mask }] mac { any | host sender-mac | sender-mac sender-mac-mask } [{ any | host target-mac | target-mac target-mac-mask }]} [ log ]
構文の説明
（任意）ARP 要求の照合を要求します。request を指定しない場合は、すべての ARP パケットに対して照合が行われます。 |
|
（任意）ACE と一致するパケットを記録します。 ip arp inspection vlan logging グローバル コンフィギュレーション コマンドで matchlog キーワードも設定している場合は、一致するパケットはロギングされます。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、ARP アクセス リストを定義し、IP アドレスが 1.1.1.1 で MAC アドレスが 0000.0000.abcd のホストからの ARP 要求と ARP 応答の両方を許可する方法を示します。
関連コマンド
|
|
|
|---|---|
permit（IPv6 アクセス リスト コンフィギュレーション）
IPv6 アクセス リストに許可条件を設定するには、 permit IPv6 アクセス リスト コンフィギュレーション コマンドを使用します。許可条件を削除するには、このコマンドの no 形式を使用します。
permit { protocol } { source-ipv6-prefix / prefix-length | any | host source-ipv6-address } [ operator [ port-number ]] { destination-ipv6-prefix/prefix-length | any | host destination-ipv6-address } [ operator [ port-number ]] [ dscp value ] [ fragments ] [ log ] [ log-input ] [ sequence value ] [ time-range name ]
no permit { protocol } { source-ipv6-prefix / prefix-length | any | host source-ipv6-address } [ operator [ port-number ]] { destination-ipv6-prefix/prefix-length | any | host destination-ipv6-address } [ operator [ port-number ]] [ dscp value ] [ fragments ] [ log ] [ log-input ] [ sequence value ] [ time-range name ]
（注） flow-label、reflect、および routing キーワードはコマンドラインのヘルプ ストリングに表示されますが、サポートされていません。
permit icmp { source-ipv6-prefix / prefix-length | any | host source-ipv6-address } [ operator [ port-number ]] { destination-ipv6-prefix/prefix-length | any | host destination-ipv6-address } [ operator [ port-number ]] [ icmp-type [ icmp-code ] | icmp-message ] [ dscp value ] [ log ] [ log-input ] [ sequence value ] [ time-range name ]
permit tcp { source-ipv6-prefix / prefix-length | any | host source-ipv6-address } [ operator [ port-number ]] { destination-ipv6-prefix/prefix-length | any | host destination-ipv6-address } [ operator [ port-number ]] [ ack ] [ dscp value ] [ established ] [ fin ] [ log ] [ log-input ] [ neq { port | protocol }] [ psh ] [ range { port | protocol }] [ rst ] [ sequence value ] [ syn ] [ time-range name ] [ urg ]
permit udp { source-ipv6-prefix / prefix-length | any | host source-ipv6-address } [ operator [ port-number ]] { destination-ipv6-prefix/prefix-length | any | host destination-ipv6-address } [ operator [ port-number ]] [ dscp value ] [ log ] [ log-input ] [ neq { port | protocol }] [ range { port | protocol }] [ sequence value ] [ time-range name ]
（注） flow-label、reflect、および routing キーワードはコマンドラインのヘルプ ストリングに表示されますが、サポートされていません。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
permit （IPv6 アクセス リスト コンフィギュレーション モード）コマンドは、IPv6 専用である点を除き permit （IPv4 アクセス リスト コンフィギュレーション モード）コマンドと類似しています。
IPv6 アクセス リスト コンフィギュレーション モードを開始し、パケットがアクセス リストを通過する条件を定義するには、 ipv6 access-list コマンドの後ろに permit （IPv6）コマンドを使用します。
protocol 引数に IPv6 を指定すると、パケットの IPv6 ヘッダーに対して照合を行います。
デフォルトでは、アクセス リストの最初のステートメントは 10 で、その次のステートメントからは 10 ずつ増加します。
リスト全体を再入力しないで、 permit 、 deny 、または remark ステートメントを既存のアクセス リストに追加できます。リストの最後以外の場所に新しいステートメントを追加するには、挿入する場所を示す、既存の 2 つのエントリ番号の間にある適切なエントリ番号を持った新しいステートメントを作成します。
IPv6 ACL の定義の詳細については、 ipv6 access-list コマンドを参照してください。
（注） 各 IPv6 ACL には最後の一致条件として、暗黙の permit icmp any any nd-na、permit icmp any any nd-ns、および deny ipv6 any any ステートメントがあります。このうち 2 つの permit 条件は、ICMPv6 ネイバー探索を許可します。ICMPv6 ネイバー探索を許可しないで icmp any any nd-na または icmp any any nd-ns を拒否するには、明示的な拒否エントリが ACL 内にある必要があります。暗黙的な deny ipv6 any any ステートメントを有効にするには、IPv6 ACL に 1 つまたは複数のエントリを含める必要があります。
IPv6 ネイバー探索プロセスでは、IPv6 ネットワーク レイヤ サービスを使用します。したがって、デフォルトでは IPv6 ACL により、IPv6 ネイバー探索パケットのインターフェイス上での送受信が暗黙に許可されます。IPv4 では、IPv6 ネイバー探索プロセスと同等のアドレス解決プロトコル（ARP）は、別のデータリンク レイヤ プロトコルを使用します。したがってデフォルトでは、IPv4 ACL により、ARP パケットのインターフェイス上での送受信が暗黙に許可されます。
source-ipv6-prefix / prefix-length と destination-ipv6-prefix / prefix-length の両方の引数をトラフィックのフィルタリングに使用します（送信元プレフィクスはトラフィックの送信元に基づいて、宛先プレフィクスはトラフィックの宛先に基づいてトラフィックをフィルタリングします）。
スイッチは集約可能なグローバル ユニキャストおよびリンク ローカル ホスト アドレスの /0 ～ /64 のプレフィクスと EUI ベースの /128 プレフィクスのみをサポートします。
fragments キーワードは、 operator [ port-number ] 引数が指定されていない場合にのみ、任意で指定できます。
例
次の例では、OUTBOUND および INBOUND という名の IPv6 アクセス リスト 2 つを設定し、そのアクセス リストをレイヤ 3 インターフェイス上の発信および着信トラフィックに適用する方法を示します。OUTBOUND リストの最初と 2 番目の許可エントリは、ネットワーク 2001:ODB8:0300:0201::/64 からの TCP および UDP パケットすべてがインターフェイスで送信されるのを許可します。OUTBOUND リストの拒否エントリは、ネットワーク FE80:0:0:0201::/64 でのすべてのパケット（送信元 IPv6 アドレスの最初の 64 ビットとして、リンクローカル プレフィクス FE80:0:0:0201 のあるパケット）がインターフェイスで送信されるのを防ぎます。OUTBOUND リストの 3 番目の許可エントリは、すべての ICMP パケットがインターフェイスで送信されるのを許可します。
INBOUND リストの許可エントリは、すべての ICMP パケットをインターフェイスで受信するのを許可します。
（注） permit any any ステートメントが OUTBOUND または INBOUND アクセス リストの最後のエントリとして含まれていない場合、TCP、UDP、および ICMP パケットはインターフェイスの双方向（着信および発信）で許可されます（アクセス リストの末尾にある、暗黙の条件によりインターフェイス上のその他のパケット タイプはすべて拒否されます）。
関連コマンド
|
|
|
|---|---|
permit（MAC アクセス リスト コンフィギュレーション）
条件が一致した場合に非 IP トラフィックの転送を許可するには、 permit MAC アクセス リスト コンフィギュレーション コマンドを使用します。許可条件を拡張 MAC アクセス リストから削除するには、このコマンドの no 形式を使用します。
{ permit | deny } { any | host src-MAC-addr | src-MAC-addr mask } { any | host dst-MAC-addr | dst-MAC-addr mask } [ type mask | cos cos | aarp | amber | dec-spanning | decnet-iv | diagnostic | dsm | etype-6000 | etype-8042 | lat | lavc-sca | lsap lsap mask | mop-console | mop-dump | msdos | mumps | netbios | vines-echo | vines-ip | xns-idp ]
no { permit | deny } { any | host src-MAC-addr | src-MAC-addr mask } { any | host dst-MAC-addr | dst-MAC-addr mask } [ type mask | cos cos | aarp | amber | dec-spanning | decnet-iv | diagnostic | dsm | etype-6000 | etype-8042 | lat | lavc-sca | lsap lsap mask | mop-console | mop-dump | msdos | mumps | netbios | vines-echo |vines-ip | xns-idp ]
（注） appletalk は、コマンドラインのヘルプ ストリングには表示されますが、一致条件としてはサポートされていません。
構文の説明
IPX トラフィックをフィルタリングするには、使用されている IPX カプセル化のタイプに応じて、 type mask または lsap lsap mask キーワードを使用します。 表 2-19 に、Novell 用語と Cisco IOS 用語での IPX カプセル化タイプに対応するフィルタ条件を一覧表示します。
|
|
|
|
|---|---|---|
|
|
|
|
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
mac access-list extended グローバル コンフィギュレーション コマンドを使用して、MAC アクセス リスト コンフィギュレーション モードを開始します。
host キーワードを使用した場合、アドレス マスクは入力できません。 any キーワードまたは host キーワードを使用しない場合は、アドレス マスクを入力する必要があります。
Access Control Entry（ACE; アクセス コントロール エントリ）が ACL に追加された場合、リストの最後には暗黙の deny - any - any 条件が存在します。つまり、一致がない場合にはパケットは拒否されます。ただし、最初の ACE が追加される前に、リストはすべてのパケットを許可します。
名前付き MAC 拡張アクセス リストの詳細については、このリリースに対応するソフトウェア コンフィギュレーション ガイドを参照してください。
例
次の例では、あらゆる送信元から MAC アドレス 00c0.00a0.03fa への NETBIOS トラフィックを許可する名前付き MAC 拡張アクセス リストを定義する方法を示します。このリストに一致するトラフィックは許可されます。
次の例では、名前付き MAC 拡張アクセス リストから許可条件を削除する方法を示します。
次の例では、Ethertype 0x4321 のすべてのパケットを許可します。
関連コマンド
|
|
|
|---|---|
police
分類したトラフィックにポリサーを定義するには、police ポリシーマップ コンフィギュレーション コマンドを使用します。ポリサーは、最大許容伝送速度、最大バースト伝送サイズ、およびいずれかの最大値を超過した場合の対処法を定義します。既存のポリサーを削除するには、このコマンドの no 形式を使用します。
police rate-bps burst-byte [ exceed-action { drop | policed-dscp-transmit }]
no police rate-bps burst-byte [ exceed-action { drop | policed-dscp-transmit }]
構文の説明
平均トラフィック伝送速度をビット/秒（b/s）で指定します。指定できる範囲は 8000 ～ 1000000000 です。 |
|
（任意）指定された伝送速度を超えた場合、スイッチがパケットの DiffServ コード ポイント（DSCP）をポリシング設定 DSCP マップに指定された値に変え、パケットを送信するように指定します。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
階層ポリシーマップを設定する場合、セカンダリ インターフェイス レベルのポリシーマップで使用できるのは police ポリシーマップ コマンドだけです。
2 つ以上の物理ポートを制御するポート ASIC デバイスは、256 のポリサー（255 のユーザ設定可能なポリサーと 1 つの内部使用向けに予約されたポリサー）をサポートします。ポートごとにサポートされるユーザ設定可能なポリサーの最大数は 63 です。ポリサーはソフトウェアによってオンデマンドで割り振られ、ハードウェアおよび ASIC の限界によって制約されます。ポートごとにポリサーを予約することはできません。ポートがいずれかのポリサーに割り当てるという保証はありません。
ポリシーマップ コンフィギュレーション モードに戻るには、 exit コマンドを使用します。特権 EXEC モードに戻るには、 end コマンドを使用します。
ポリシングはトークンバケット アルゴリズムを使用します。バケットの深さ（バケットがオーバーフローするまでの許容最大バースト）を設定するには、 police ポリシーマップ クラス コンフィギュレーション コマンドの burst-byte オプションまたは mls qos aggregate-policer グローバル コンフィギュレーション コマンドを使用します。トークンがバケットから削除される速度（平均速度）を設定するには、 police ポリシーマップ クラス コンフィギュレーション コマンドの rate-bps オプションまたは mls qos aggregate-policer グローバル コンフィギュレーション コマンドを使用します。詳細については、このリリースに対応するソフトウェア コンフィギュレーション ガイドを参照してください。
例
次の例では、トラフィックがバースト サイズ 20 KB で平均伝送速度 1 Mb/秒を超えた場合に、ポリサーがパケットをドロップするように設定する方法を示します。着信パケットの DSCP が信頼され、パケットは変更されません。
次の例では、DSCP 値をポリシング設定 DSCP マップに定義された値でマークダウンしてパケットを送信するポリサーを設定する方法を示します。
関連コマンド
|
|
|
|---|---|
指定されたクラスマップ名のトラフィック分類一致条件（ police 、 set 、および trust ポリシーマップ クラス コンフィギュレーション コマンドによる）を定義します。 |
|
mls qos map policed-dscp |
|
class ポリシーマップ コンフィギュレーション コマンドまたは class-map グローバル コンフィギュレーション コマンドを使用して分類されたトラフィックの信頼状態を定義します。 |
police aggregate
同一のポリシー マップにある複数のクラスにアグリゲート ポリサーを適用するには、police aggregate ポリシーマップ クラス コンフィギュレーション コマンドを使用します。ポリサーは、最大許容伝送速度、最大バースト伝送サイズ、およびいずれかの最大値を超過した場合の対処法を定義します。指定されたポリサーを削除するには、このコマンドの no 形式を使用します。
police aggregate aggregate-policer-name
no police aggregate aggregate-policer-name
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
2 つ以上の物理ポートを制御するポート ASIC デバイスは、256 のポリサー（255 のユーザ設定可能なポリサーと 1 つの内部使用向けに予約されたポリサー）をサポートします。ポートごとにサポートされるユーザ設定可能なポリサーの最大数は 63 です。ポリサーはソフトウェアによってオンデマンドで割り振られ、ハードウェアおよび ASIC の限界によって制約されます。ポートごとにポリサーを予約することはできません。ポートがいずれかのポリサーに割り当てるという保証はありません。
集約ポリサー パラメータを設定するには、mls qos aggregate-policer グローバル コンフィギュレーション コマンドを使用します。集約ポリサーは同じポリシー マップ内の複数のクラスに適用されます。異なるポリシー マップにまたがって集約ポリサーを使用することはできません。
ポリシーマップ コンフィギュレーション モードに戻るには、 exit コマンドを使用します。特権 EXEC モードに戻るには、 end コマンドを使用します。
例
次の例では、集約ポリサー パラメータを定義する方法と、ポリシー マップ内の複数のクラスにそのポリサーを適用する方法を示します。
設定を確認するには、 show mls qos aggregate-policer 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
policy-map
複数の物理ポートまたはスイッチ仮想インターフェイス（SVI）に適用可能なポリシーマップを作成または変更し、ポリシーマップ コンフィギュレーション モードを開始するには、policy-map グローバル コンフィギュレーション コマンドを使用します。既存のポリシー マップを削除し、グローバル コンフィギュレーション モードに戻るには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
デフォルトの動作は、パケットが IP パケットの場合には DiffServ コード ポイント（DSCP）を 0 に設定し、パケットがタグ付きの場合には Class of Service（CoS; サービス クラス）を 0 に設定します。ポリシングは実行されません。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
policy-map コマンドを入力すると、ポリシーマップ コンフィギュレーション モードに入り、次のコンフィギュレーション コマンドが使用可能になります。
• class ：指定したクラス マップの分類一致基準を定義します。詳細については、「class」を参照してください。
• description ：ポリシー マップを説明します（最大 200 文字）。
• exit ：ポリシーマップ クラス コンフィギュレーション モードを終了し、グローバル コンフィギュレーション モードに戻ります。
• rename ：現在のポリシー マップの名前を変更します。
グローバル コンフィギュレーション モードに戻る場合は、 exit コマンドを使用します。特権 EXEC モードに戻るには、 end コマンドを使用します。
一致基準がクラス マップに定義されているクラスのポリシーを設定する前に、 policy-map コマンドを使用して作成、追加または変更するポリシー マップの名前を指定します。 policy-map コマンドを入力した場合も、ポリシーマップ コンフィギュレーション モードがイネーブルになり、このモードでポリシー マップのクラス ポリシーを設定または変更できます。
クラス ポリシーをポリシー マップ内で設定できるのは、クラスに一致基準が定義されている場合だけです。クラスの一致基準を設定するには、 class-map グローバル コンフィギュレーション コマンドおよび match クラスマップ コンフィギュレーション コマンドを使用します。物理ポート単位でパケット分類を定義します。
1 つの入力ポートまたは SVI では、1 つのポリシー マップだけがサポートされています。同じポリシー マップを複数の物理ポートまたは SVI に適用できます。
非階層ポリシー マップは、物理ポートまたは SVI に適用できます。ただし、階層ポリシー マップを適用できるのは SVI だけです。
階層ポリシー マップには 2 つのレベルがあります。1 つは VLAN レベルで、SVI のトラフィック フローに対して実行するアクションを指定します。もう 1 つはインターフェイス レベルで、インターフェイス レベルのポリシー マップに指定されていて、SVI に属する物理ポートのトラフィックに対して実行するアクションを指定します。
プライマリ VLAN レベル ポリシー マップでは、信頼状態の設定、あるいはパケットでの DSCP または IP precedence 値の設定のみが可能です。セカンダリ インターフェイス レベル ポリシー マップでは、SVI に属する物理ポートの個々のポリサーの設定のみが可能です。
階層ポリシー マップを SVI に適用すると、インターフェイス レベル ポリシー マップを変更したり、階層ポリシー マップから削除することはできません。階層ポリシー マップに、新しいインターフェイス レベル ポリシー マップを追加することもできません。このような変更を行いたい場合は、まず階層ポリシー マップを SVI から削除する必要があります。
階層ポリシー マップの詳細については、このリリースに対応するソフトウェア コンフィギュレーション ガイドで「Configuring QoS」の章の「Policing on SVIs」を参照してください。
例
次の例では、 policy1 という名前のポリシー マップを作成する方法を示します。入力ポートに適用した場合、 class1 で定義されたすべての着信トラフィックのマッチングを行い、IP DSCP を 10 に設定し、平均伝送速度 1 Mb/s、バースト 20 KB のトラフィックをポリシングします。プロファイルを超えるトラフィックは、ポリシング設定 DSCP マップから取得した DSCP 値がマークされてから送信されます。
次の例では、ポリシー マップ policymap2 に複数のクラスを設定する方法を示します。
次の例は、階層ポリシー マップを作成し、SVI に適用する方法を示しています。
次の例では、 policymap2 を削除する方法を示します。
関連コマンド
|
|
|
|---|---|
指定のクラスマップ名のトラフィック分類の一致基準を定義します（ police 、 set 、および trust ポリシーマップ クラス コンフィギュレーション コマンドを使用）。 |
|
port-channel load-balance
EtherChannel のポート間で負荷分散方式を設定するには、 port-channel load-balance グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
port-channel load-balance { dst-ip | dst-mac | src-dst-ip | src-dst-mac | src-ip | src-mac }
構文の説明
宛先ホストの MAC アドレスに基づいた負荷分散。同一の宛先に対するパケットは同一のポートに送信され、異なる宛先のパケットはチャネルの異なるポートに送信されます。 |
|
送信元 MAC アドレスに基づいた負荷分散。異なるホストからのパケットは、チャネルで異なるポートを使用し、同一のホストからのパケットは同一のポートを使用します。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
これらの転送方式をどのような場合に使用するかについての詳細は、このリリースに対応するソフトウェア コンフィギュレーション ガイドの「Configuring EtherChannels」の章を参照してください。
例
次の例では、負荷分散方式を dst-mac に設定する方法を示します。
設定を確認するには、 show running-config 特権 EXEC コマンドまたは show etherchannel load-balance 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
power inline
Power over Ethernet（PoE）ポート上で電源管理モードを設定にするには、power inline インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
power inline { auto [ max max-wattage ] | never | police [action log] | static [ max max-wattage ]}
no power inline { auto | never | police | static }
構文の説明
受電装置の検出をイネーブルにします。十分な電力がある場合は、装置の検出後に PoE ポートに電力を自動的に割り当てます。 |
|
（任意） ポートに供給される電力を制限します。範囲は 4000 ～ 15400 ミリワットです。値を指定しない場合は、最大電力が供給されます。 |
|
受電装置の検出をイネーブルにします。スイッチが受電装置を検出する前に、ポートへの電力を事前に割り当てます（確保します）。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、PoE 対応ポートのみでサポートされています。PoE がサポートされていないポートでこのコマンドを入力すると、次のエラー メッセージが表示されます。
スイッチ スタックでは、このコマンドは PoE をサポートしているスタックの全ポートでサポートされます。
PoE 対応スイッチ ポートはすべて IEEE 802.3 af 互換です。
max max-wattage オプションを使用して、受電装置の電力が制限を超えないようにします。この設定によって、受電装置が最大ワット数より多い電力を要求するシスコ検出プロトコル（CDP）メッセージを送信すると、スイッチはポートへ電力を供給しません。受電装置の IEEE クラスの最大値が最大ワット数を超えると、スイッチは装置に電力を供給しません。電力は、グローバル パワー バジェットに送られます。
（注） power inline max max-wattage コマンドが 15.4 W 未満に設定されている場合は、スイッチが Class 0 または Class 3 デバイスに電力を供給しません。
スイッチが受電装置への電力供給を拒否する場合（受電装置が CDP メッセージを通じて制限を超えた電力を要求する場合、または IEEE クラスの最大値が最大ワット数を超えている場合）、PoE ポートは power-deny ステートになります。スイッチはシステム メッセージを生成し、 show power inline ユーザ EXEC コマンド出力の Oper カラムに power-deny が表示されます。
ポートに高いプライオリティを与えるには、 power inline static max max-wattage コマンドを使用します。スイッチは、auto モードに設定されたポートに電力を割り当てる前に、static モードに設定されたポートに PoE を割り当てます。スイッチは、装置検出より優先的に設定されている場合に、スタティック ポートの電力を確保します。接続された装置がない場合は、ポートがシャットダウン状態か否かに関係なく、スタティック ポートの電力が確保されます。スイッチは、設定された最大ワット数をポートに割り当てます。その値は、IEEE クラスまたは受電装置からの CDP メッセージによって調節されることはありません。電力が事前割り当てされているので、最大ワット数以下の電力を使用する受電装置は、スタティック ポートに接続されていれば電力が保証されます。ただし、受電装置の IEEE クラスが最大ワット数を超えると、スイッチは装置に電力を供給しません。CDP メッセージを通じて受電装置が最大ワット数を超えた量を要求していることをスイッチが認識すると、受電装置がシャットダウンします。
ポートが static モードの場合にスイッチが電力を事前割り当てできない場合（たとえば、パワー バジェット全体がすでに別の自動ポートまたはスタティック ポートに割り当てられているなど）、「 Command rejected: power inline static: pwr not available 」というメッセージが表示されます。ポートの設定は、そのまま変更されません。
power inline auto または power inline static インターフェイス コンフィギュレーション コマンドを使用してポートを設定すると、ポートは設定された速度とデュプレックス設定を使用して自動ネゴシエーションします。これは、受電装置であるかどうかに関係なく、接続された装置の電力要件を判別するのに必要です。電力要件が判別されたあと、スイッチはインターフェイスをリセットすることなく、設定された速度とデュプレックス設定を使用してインターフェイスをハードコードします。
power inline never コマンドを使用してポートを設定する場合、ポートは設定された速度とデュプレックス設定に戻ります。
ポートにシスコ製の受電装置が接続されている場合は、 power inline never コマンドでポートを設定しないでください。ポートで不正なリンクアップが生じ、errdisable ステートになる可能性があります。
例
次の例では、受電装置の検出をイネーブルにし、PoE ポートに自動的に電力を供給する方法を示します。
次の例では、Class 1 または Class 2 の受電装置を受け入れるように PoE ポートを設定する方法を示します。
次の例では、受電装置の検出をディセーブルにし、PoE ポートへの電力供給を停止する方法を示します。
関連コマンド
|
|
|
|---|---|
power inline consumption
各受電装置が使用するワット数を指定することにより、デバイスの IEEE 分類によって指定された電力量を無効にするには、power inline consumption グローバルまたはインターフェイス コンフィギュレーション コマンドを使用します。デフォルトの電力設定に戻すには、このコマンドの no 形式を使用します。
power inline consumption default wattage
no power inline consumption default
（注） デフォルトのキーワードはグローバル コンフィギュレーション コマンドでだけ表示されます。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
シスコの受電装置が PoE ポートに接続されている場合、スイッチはシスコ検出プロトコル（CDP）を使用して 実際に 装置が消費する電力量を決定して、それに応じてパワー バジェットを調整します。この機能は、IEEE サードパーティの受電装置には適用されません。この装置の場合、スイッチが電力要求を許可したときに、受電装置の IEEE 分類に応じてパワー バジェットを調整します。受電装置が Class 0（クラス ステータスは不明）または Class 3 である場合、実際に必要な電力量に関係なく、スイッチはポート用に 15400 ミリワットの電力を確保します。受電装置が実際の電力消費量よりも高いクラスであるか、または電力分類（デフォルトで Class 0）をサポートしない場合、スイッチは IEEE クラス情報を使用してグローバル パワー バジェットを追跡するので、少しの装置にしか電力を供給しません。
power inline consumption wattage コンフィギュレーション コマンドを使用することで、IEEE 分類で指定されたデフォルトの電力要件を無効にできます。IEEE 分類で指定された電力と実際に装置が必要とする電力の差は、追加の装置が使用するためグローバル パワー バジェットに入れられます。したがって、スイッチのパワー バジェットを拡張してもっと効率的に使用できます。
たとえば、スイッチが各 PoE ポートで 15400 ミリワットの電力を確保した場合、Class0 の受電装置を 24 台だけしか接続できません。Class0 の装置の電力要件が実際には 5000 ミリワットである場合、消費ワット数を 5000 ミリワットに設定すると、最大 48 台の装置を接続できます。24 ポートまたは 48 ポート スイッチで利用できる PoE 総出力電力は 370,000 ミリワットです。
power inline consumption default wattage または no power inline consumption default グローバル コンフィギュレーション コマンドを入力する、あるいは power inline consumption wattage または no power inline consumption インターフェイス コンフィギュレーション コマンドを入力すると、次の注意メッセージが表示されます。
（注） 手動でパワー バジェットを設定する場合、スイッチと受電装置の間のケーブルでの電力消失を考慮する必要があります。
IEEE 分類の詳細については、このリリースに対応するソフトウェア コンフィギュレーション ガイドの「Configuring Interface Characteristics」を参照してください。
このコマンドは、PoE 対応ポートのみでサポートされています。PoE をサポートしていないスイッチまたはポートでこのコマンドを入力すると、エラー メッセージが表示されます。
例
次の例では、グローバル コンフィギュレーション コマンドを使用して、各 PoE ポートに 5000 ミリワットの電力を確保するようスイッチを設定する方法を示します。
次の例では、インターフェイス コンフィギュレーション コマンドを使用して、特定の PoE ポートに接続された受電装置に 12000 ミリワットの電力を確保するようスイッチを設定する方法を示します。
関連コマンド
|
|
|
|---|---|
power rps
スイッチ スタックまたはスタンドアロン スイッチに接続された RPS 2300 とも呼ばれる Cisco Redundant Power System 2300 を設定して管理するには、スイッチ スタックまたはスタンドアロン スイッチ上で power rps ユーザ EXEC コマンドを使用します。
power rps switch-number { name { string | serialnumber } | port rps-port-id { mode { active | standby} {priority priority }
（注） この power rps コマンドは、Catalyst 3560v2 スイッチ上でのみサポートされます。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
power rps コマンドは、Catalyst 3560v2 スイッチに接続された RPS 2300 にのみ適用されます。
RPS から、指定された RPS ポートに接続されたスイッチに電源を供給しないが、スイッチと冗長電源システム間の RPS ケーブルを外さない場合は、 power rps switch-number port rps-port-id mode standby コマンドを使用します。
RPS 2300 ポートのプライオリティは 1 ～ 6 の範囲で設定できます。値 1 は、ポートとそのポートに接続されているデバイスに対して、最高のプライオリティを割り当てます。値 6 は、ポートとそのポートに接続されているデバイスに対して、最低のプライオリティを割り当てます。
RPS 2300 に接続されている複数のスイッチが電力を必要としている場合、RPS 2300 ではそれらのスイッチに対して最高のプライオリティで電力を供給します。利用可能な他の電力がプライオリティの低いスイッチに割り当てられます。
no power rps ユーザ EXEC コマンドはサポートされていません。
• デフォルトの名前設定（名前が設定されていない）に戻すには、引用符の間にスペースを入れずに、 power rps switch-number port rps-port-id name グローバル コンフィギュレーション コマンドを使用します。
• デフォルトの RPS ポート モードに戻すには、 power rps switch-number port rps-port-id active コマンドを使用します。
• デフォルトの RPS ポート プライオリティに戻すには、 power rps switch-number port rps-port-id priority コマンドを使用します。
例
次の例では、スイッチに接続された RPS 2300 の名前を string として設定する方法を示します。
次の例では、スイッチに接続された RPS 2300 の名前をシリアル番号として設定する方法を示します。
次の例では、RPS ポート 1 をスイッチ上のスタンバイとして設定する方法を示します。
次の例では、スイッチ上で、RPS ポート 3 のプライオリティをプライオリティ値の 4 に設定する方法を示します。
設定を確認するには、show env power または show env rps 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show env power |
|
show env rps |
priority-queue
ポート上で出力緊急キューをイネーブルにするには、priority-queue インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
priority-queue out コマンドを設定する場合、シェイプド ラウンド ロビン（SRR）に参加するキューが 1 つ少ないため、SRR の重み比が影響を受けます。これは、 srr-queue bandwidth shape 内の weight1 または srr-queue bandwidth shape インターフェイス コンフィギュレーション コマンドが無視されることを意味します（比率計算に使用されません）。緊急キューはプライオリティ キューであり、他のキューのサービスが提供される前に空になるまでサービスを提供します。
緊急キューがイネーブルにされているとき、または SRR の重みに基づいて出力キューのサービスが提供されるときには、次の注意事項に従ってください。
• 出力緊急キューがイネーブルにされている場合は、キュー 1 に対して SRR のシェーピングおよび共有された重みが無効にされます。
• 出力緊急キューがディセーブルにされており、SRR のシェーピングおよび共有された重みが設定されている場合は、キュー 1 に対して shaped モードは shared モードを無効にし、SRR はこのキューに shaped モードでサービスを提供します。
• 出力緊急キューがディセーブルにされており、SRR のシェーピングされた重みが設定されていない場合は、SRR はキューに対して shared モードでサービスを提供します。
例
次の例では、SRR の重みが設定されている場合、出力緊急キューをイネーブルにする方法を示します。出力緊急キューは、設定された SRR ウェイトを上書きします。
次の例では、SRR のシェーピングおよび共有された重みが設定されたあと、出力緊急キューをディセーブルにする方法を示します。シェーピング モードは、共有モードを無効にします。
show mls qos interface interface-id queueing または show running-config 特権 EXEC コマンドを入力すれば、設定を確認することができます。
関連コマンド
|
|
|
|---|---|
show mls qos interface queueing |
（任意）キューイング方法（SRR、プライオリティ キューイング）、キューに相応する重み、および Class of Service（CoS; サービス クラス）から出力キューへのマップを表示します。 |
private-vlan
プライベート VLAN を設定して、プライベート VLAN のプライマリおよびセカンダリ VLAN 間のアソシエーションを設定するには、 private-vlan VLAN コンフィギュレーション コマンドを使用します。通常の VLAN 設定に VLAN を戻すには、このコマンドの no 形式を使用します。
private-vlan { association [ add | remove ] secondary-vlan-list | community | isolated | primary }
no private-vlan { association | community | isolated | primary }
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
プライベート VLAN を設定する前に、VLAN トランキング プロトコル（VTP）をディセーブル（VTP 透過モード）にする必要があります。プライベート VLAN を設定したあとで、VTP モードをクライアントまたはサーバに変更できません。
VTP は、プライベート VLAN の設定を伝播しません。レイヤ 2 ネットワーク内のすべてのスイッチにプライベート VLAN を手動で設定して、レイヤ 2 データベースを結合し、プライベート VLAN トラフィックのフラッディングを防ぐ必要があります。
プライベート VLAN には、VLAN 1 または VLAN 1002 ～ 1005 を設定できません。拡張 VLAN（VLAN ID 1006 ～ 4094）はプライベート VLAN に設定できます。
セカンダリ（隔離またはコミュニティ）VLAN を 1 つのプライマリ VLAN だけに 関連付ける ことができます。プライマリ VLAN には、1 つの隔離 VLAN および複数のコミュニティ VLAN を関連付けることができます。
• セカンダリ VLAN をプライマリ VLAN として設定できません。
• secondary_vlan_list パラメータには、スペースを含めないでください。複数のカンマ区切りの項目を含めることができます。各項目として入力できるのは、単一のプライベート VLAN ID またはハイフンで連結したプライベート VLAN ID です。リストには、1 つの隔離 VLAN と複数のコミュニティ VLAN を含めることができます。
• プライマリまたはセカンダリ VLAN のどちらかを削除すると、VLAN に関連付けられたポートが非アクティブになります。
コミュニティ VLAN は、コミュニティ ポート間、およびコミュニティ ポートから対応するプライマリ VLAN の混合ポートにトラフィックを伝送します。
隔離 VLAN は、混合ポートと通信を行うために隔離ポートによって使用されます。同一のプライマリ VLAN ドメインで他のコミュニティ ポートまたは隔離ポートにトラフィックを伝送しません。
プライマリ VLAN は、ゲートウェイからプライベート ポートのカスタマー エンド ステーションにトラフィックを伝送する VLAN です。
レイヤ 3 VLAN インターフェイス（SVI）はプライマリ VLAN にだけ設定してください。セカンダリ VLAN には、レイヤ 3 VLAN インターフェイスを設定できません。VLAN がセカンダリ VLAN として設定されている間、セカンダリ VLAN の SVI は非アクティブになります。
VLAN コンフィギュレーション モードを終了するまで、 private-vlan コマンドは作用しません。
プライベート VLAN ポートを EtherChannel として設定しないでください。ポートがプライベート VLAN 設定に含まれていると、ポートの EtherChannel 設定が非アクティブになります。
プライベート VLAN を Remote Switched Port Analyzer（RSPAN）VLAN として設定しないでください。
プライベート VLAN を音声 VLAN として設定しないでください。
プライベート VLAN が設定されたスイッチにフォールバック ブリッジングを設定しないでください。
プライベート VLAN には複数の VLAN が含まれますが、プライベート VLAN 全体で実行されるのは 1 つの STP インスタンスだけです。セカンダリ VLAN がプライマリ VLAN に関連付けられている場合、プライマリ VLAN の STP パラメータがセカンダリ VLAN に伝播されます。
ホスト ポートおよび混合ポートの設定については、 switchport mode private-vlan コマンドを参照してください。
プライベート VLAN の他の機能との相互作用に関する詳細については、このリリースに対応するソフトウェア コンフィギュレーション ガイドを参照してください。
例
次の例では、VLAN 20 をプライマリ VLAN に、VLAN 501 を隔離 VLAN に、VLAN 502 および 503 をコミュニティ VLAN に設定し、プライベート VLAN に関連付ける方法を示します。
設定を確認するには、 show vlan private-vlan または show interfaces status 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show interfaces status |
|
show vlan private-vlan |
|
private-vlan mapping
プライベート VLAN のプライマリ VLAN とセカンダリ VLAN 間でマッピングを作成して、両方の VLAN で同じプライマリ VLAN スイッチ仮想インターフェイス（SVI）を共有できるようにするには、SVI で private-vlan mapping インターフェイス コンフィギュレーション コマンドを使用します。SVI からプライベート VLAN のマッピングを削除するには、このコマンドの no 形式を使用します。
private-vlan mapping {[ add | remove ] secondary-vlan-list }
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
プライベート VLAN を設定する場合は、スイッチが VTP 透過モードになっている必要があります。
プライマリ VLAN の SVI は、レイヤ 3 で作成されます。
レイヤ 3 VLAN インターフェイス（SVI）はプライマリ VLAN にだけ設定してください。セカンダリ VLAN には、レイヤ 3 VLAN インターフェイスを設定できません。VLAN がセカンダリ VLAN として設定されている間、セカンダリ VLAN の SVI は非アクティブになります。
secondary_vlan_list パラメータには、スペースを含めないでください。複数のカンマ区切りの項目を含めることができます。各項目として入力できるのは、単一のプライベート VLAN ID またはハイフンで連結したプライベート VLAN ID です。リストには、1 つの隔離 VLAN と複数のコミュニティ VLAN を含めることができます。
セカンダリ VLAN で受信されたトラフィックは、プライマリ VLAN の SVI によってルーティングされます。
セカンダリ VLAN は、1 つのプライマリ SVI だけにマッピングできます。プライマリ VLAN がセカンダリ VLAN として設定されると、このコマンドで指定されたすべての SVI はダウンします。
有効なレイヤ 2 プライベート VLAN のアソシエーションがない 2 つの VLAN 間のマッピングを設定する場合、マッピングの設定は作用しません。
例
次の例では、VLAN 20 のインターフェイスを VLAN 18 の SVI にマッピングする方法を示します。
次の例では、セカンダリ VLAN 303 ～ 305、および 307 からのセカンダリ VLAN トラフィックのルーティングを VLAN 20 SVI を介して許可する方法を示します。
設定を確認するには、 show interfaces private-vlan mapping 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
show interfaces private-vlan mapping |
queue-set
ポートをキューセットにマッピングするには、 queue-set インターフェイス コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
構文の説明
キューセットの ID です。各ポートはキューセットに属し、ポート単位で出力キュー 4 つの特性すべてを定義します。指定できる範囲は 1 ～ 2 です。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
auto qos voip コマンドを使用した queue-set ID の自動生成の詳細については、 auto qos voip コマンドに関する「使用上のガイドライン」の項を参照してください。
例
次の例では、ポートをキューセット 2 にマッピングする方法を示します。
設定を確認するには、 show mls qos interface [ interface-id ] buffers 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
Weighted Tail-Drop（WTD）しきい値を設定し、バッファのアベイラビリティを保証し、キューセットに対する最大メモリ割り当てを設定します。 |
|
show mls qos interface buffers |
radius-server dead-criteria
RADIUS サーバが使用不能または デッド 状態であるとみなすための条件を設定するには、 radius-server dead-criteria グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
radius-server dead-criteria [ time seconds [ tries number ] | tries number ]
no radius-server dead-criteria [ time seconds [ tries number ] | tries number ]
構文の説明
（任意）RADIUS サーバからの有効な応答をスイッチが取得するのに必要としない時間（秒）を設定します。指定できる範囲は 1 ～ 120 秒です。 |
|
（任意）サーバが使用不可とみなされる前に RADIUS サーバから有効な応答をスイッチが取得するのに必要としない回数を指定します。指定できる範囲は 1 ～ 100 です。 |
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
次の seconds および number パラメータを設定することを推奨します。
• IEEE 802.1x 認証が期限切れになる前に RADIUS サーバへの応答を待機する時間（秒）を指定するには、 radius-server timeout seconds グローバル コンフィギュレーション コマンドを使用します。スイッチは、10 ～ 60 秒のデフォルトの seconds 値を動的に決定します。
• RADIUS サーバが使用不能とみなされる前に RADIUS サーバへの送信を試行する時間（秒）を指定するには、 radius-server retransmit retries グローバル コンフィギュレーション コマンドを使用します。スイッチは、10 ～ 100 のデフォルトの tries 値を動的に決定します。
• seconds パラメータは、IEEE 802.1x 認証が期限切れになる前に再送信を試行する秒数以下か、または同じです。
例
次の例では、RADIUS サーバが使用不可とみなされた場合に決定する条件として、 時間 に 60 を設定し、 試行 回数に 10 を設定する方法を示します。
関連コマンド
|
|
|
|---|---|
アクセス不能な認証バイパス機能をインターフェイス上でイネーブルにし、ポートが critical-authentication ステートに置かれた場合にスイッチがクリティカルなポートに割り当てるアクセス VLAN を設定します。 |
|
IEEE 802.1x 認証が期限切れになる前にスイッチが RADIUS サーバへの応答を待機する時間（秒）を指定します。 |
|
radius-server host
RADIUS アカウンティングおよび RADIUS 認証を含む RADIUS サーバのパラメータを設定するには、 radius-server host グローバル コンフィギュレーション コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
radius-server host ip-address [acct-port udp-port ] [ auth-port udp-port ] [ test username name [ idle-time time ] [ ignore-acct-port ] [ ignore-auth-port ]] [ key string ]
no radius-server host ip-address
構文の説明
デフォルト
RADIUS アカウンティング サーバの UDP ポートは 1646 です。
RADIUS 認証サーバの UDP ポートは 1645 です。
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
RADIUS アカウンティング サーバおよび RADIUS 認証サーバの UDP ポートをデフォルト以外の値に設定することを推奨します。
RADIUS サーバ ステータスの自動サーバ テストをイネーブルにし、使用されるユーザ名を指定するには、 test username name キーワードを使用します。
radius-server host ip-address key string または radius-server key { 0 string | 7 string | string } グローバル コンフィギュレーション コマンドを使用して認証鍵および暗号鍵を設定できます。必ずこのコマンドの最終項目として key を設定してください。
例
次の例では、アカウンティング サーバの UDP ポートを 1500、認証サーバの UDP ポートを 1510 に設定する例を示します。
次の例では、アカウンティング サーバおよび認証サーバの UDP ポートを設定し、RADIUS サーバ ステータスの自動テストをイネーブルにし、使用されるユーザ名を指定し、キー ストリングを設定する例を示します。
関連コマンド
|
|
|
|---|---|
アクセス不能な認証バイパス機能をインターフェイス上でイネーブルにし、ポートが critical-authentication ステートに置かれた場合にスイッチがクリティカルなポートに割り当てるアクセス VLAN を設定します。 |
|
rcommand
Telnet セッションを開始し、クラスタ コマンド スイッチからクラスタ メンバー スイッチのコマンドを実行するには、クラスタ コマンド スイッチで rcommand ユーザ EXEC コマンドを使用します。セッションを終了するには、 exit コマンドを入力します。
rcommand { n | commander | mac-address hw-addr }
構文の説明
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、クラスタ コマンド スイッチ上でのみ利用できます。
スイッチがクラスタ コマンド スイッチで、クラスタ メンバー スイッチ n が存在していない場合、エラー メッセージが表示されます。スイッチ番号を得るには、クラスタ コマンド スイッチで show cluster members 特権 EXEC コマンドを入力します。
このコマンドを使用してクラスタ コマンド スイッチ プロンプトからクラスタ メンバー スイッチにアクセスしたり、メンバー スイッチ プロンプトからクラスタ コマンド スイッチにアクセスしたりすることができます。
Catalyst 2900 XL、Catalyst 3500 XL、Catalyst 2950、Catalyst 2960、Catalyst 2970、Catalyst 3550、Catalyst 3560、および Catalyst 3750 スイッチの場合、Telnet セッションは、クラスタ コマンド スイッチと同じ権限レベルでメンバー スイッチ Command-Line Interface（CLI; コマンドライン インターフェイス）にアクセスします。たとえば、このコマンドをクラスタ コマンド スイッチからユーザ レベルで入力した場合、メンバー スイッチはユーザ レベルでアクセスされます。このコマンドをクラスタ コマンド スイッチからイネーブル レベルで使用した場合、コマンドはイネーブル レベルでリモート デバイスにアクセスします。 権限レベル よりも低い中間イネーブル レベルを使用した場合、クラスタ メンバー スイッチはユーザ レベルとなります。
Standard Edition ソフトウェアが稼動している Catalyst 1900 および Catalyst 2820 スイッチの場合、クラスタ コマンド スイッチの権限レベルが 15 であれば、Telnet セッションはメニュー コンソール（メニュー方式インターフェイス）にアクセスします。クラスタ コマンド スイッチの権限レベルが 1 であれば、パスワードの入力を要求するプロンプトが表示され、入力後にメニュー コンソールにアクセスできます。クラスタ コマンド スイッチの権限レベルは、Standard Edition ソフトウェアが稼動しているクラスタ メンバー スイッチに次のようにマッピングします。
• クラスタ コマンド スイッチの権限レベルが 1 ～ 14 である場合、クラスタ メンバー スイッチへのアクセスは権限レベル 1 で行われます。
• クラスタ コマンド スイッチの権限レベルが 15 である場合、クラスタ メンバー スイッチへのアクセスは権限レベル 15 で行われます。
Catalyst 1900 および Catalyst 2820 の CLI が利用できるのは、スイッチで Enterprise Edition ソフトウェアが稼動している場合に限られます。
クラスタ コマンド スイッチの vty ラインにアクセス クラス コンフィギュレーションがある場合、このコマンドは機能しません。
クラスタ メンバー スイッチはクラスタ コマンド スイッチのパスワードを継承するため、クラスタ メンバー スイッチがクラスタに加入してもパスワードを要求するプロンプトは表示されません。
例
次の例では、メンバー 3 でセッションを開始する方法を示します。 exit コマンドを入力するか、またはセッションを閉じるまで、このコマンドに続くすべてのコマンドは、メンバー 3 へ向けられます。
関連コマンド
|
|
|
|---|---|
remote-span
VLAN を Remote Switched Port Analyzer（RSPAN）VLAN として設定するには、remote-span VLAN コンフィギュレーション コマンドを使用します。RSPAN 指定を VLAN から削除するには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
RSPAN VLAN を設定できるのは config-VLAN モードの場合だけです（このモードは、 vlan グローバル コンフィギュレーション コマンドで開始します）。 vlan database 特権 EXEC コマンドを使用して開始された VLAN コンフィギュレーション モードでは設定できません。
VLAN トランキング プロトコル（VTP）がイネーブルで、VLAN ID が 1005 未満の場合、RSPAN 機能は VTP によって伝達されます。RSPAN VLAN ID が拡張範囲内の場合は、手動で中間スイッチを設定する必要があります（送信元スイッチと宛先スイッチの間の RSPAN VLAN 内に設定）。
RSPAN remote-span コマンドを設定する前に、 vlan （グローバル コンフィギュレーション） コマンドで VLAN を作成してください。
• トランク ポートでは RSPAN VLAN トラフィックのみが流れます。
• スパニング ツリー プロトコル（STP）は RSPAN VLAN 内では稼動できますが、RSPAN 宛先ポートでは稼動しません。
既存の VLAN が RSPAN VLAN として設定されている場合は、その VLAN が最初に削除され、RSPAN VLAN として再作成されます。アクセス ポートは、RSPAN 機能がディセーブルになるまでは非アクティブです。
例
次の例では、RSPAN VLAN として VLAN を設定する方法を示します。
次の例では、VLAN から RSPAN 機能を削除する方法を示します。
関連コマンド
|
|
|
|---|---|
ポートでスイッチド ポート アナライザ（SPAN）および RSPAN モニタリングをイネーブルにし、ポートを送信元ポートまたは宛先ポートとして設定します。 |
|
renew ip dhcp snooping database
DHCP スヌーピング バインディング データベースを更新するには、 renew ip dhcp snooping database 特権 EXEC コマンドを使用します。
renew ip dhcp snooping database [{ flash :/filename | ftp: //user:password@host/filename | nvram: /filename | rcp: //user@host/filename | tftp: //host/filename }] [ validation none ]
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、ファイル内の CRC 値のチェックを省略して、DHCP スヌーピング バインディング データベースを更新する方法を示します。
Switch# renew ip dhcp snooping database validation none
設定を確認するには、 show ip dhcp snooping database 特権 EXEC コマンドを入力します。
関連コマンド
|
|
|
|---|---|
reserved-only
DHCP アドレス プールに予約済みのアドレスだけを割り当てるには、 reserved-only DHCP プール コンフィギュレーション モード コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
構文の説明
デフォルト
コマンド モード
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
reserved-only コマンドを入力すると、DHCP プールからの割り当てが事前に予約済みのものに制限されます。ネットワークに含まれているアドレスやプール範囲にあるアドレスでも、予約されていないアドレスはクライアントに提供されず、他のクライアントには DHCP プールのサービスが提供されません。
ユーザはこのコマンドを入力することによって、ひとまとまりのスイッチに DHCP プールを設定して、よく使用される IP サブネットを共有し、他のスイッチのクライアントからの要求を無視するようにすることができます。
DHCP プール コンフィギュレーション モードにアクセスするには、 ip dhcp pool name グローバル コンフィギュレーション コマンドを入力します。
例
次の例では、予約済みのアドレスだけを割り当てるように DHCP プールを設定する方法を示します。
Switch# config t
関連コマンド
|
|
|
|---|---|
フィードバック