Catalyst 4500 シリーズ スイッチ Cisco IOS ソフトウェア コンフィギュレーション ガイド リリース 12.2(44)SG

コントロール プレーン ポリシングの設定

---

（注） コントロール プレーン ポリシングは Supervisor Engine 6-E ではサポートされません。

この章では、Control Plane Policing（CoPP; コントロール プレーン ポリシング）を使用して Catalyst 4000 ファミリ スイッチを保護する方法を説明します。この章の内容は Catalyst 4500 シリーズ スイッチに固有であり、「ACL によるネットワーク セキュリティの設定」で説明するネットワーク セキュリティ情報や手順を補足するものです。また、次のマニュアルのネットワーク セキュリティ情報や手順の補足にもなります。

• 次の URL の『 Cisco IOS Security Configuration Guide, Cisco IOS Release 12.4 』

http://www.cisco.com/en/US/docs/ios/security/configuration/guide/12_4/sec_12_4_book.html

• 次の URL の『 Cisco IOS Security Command Reference, Cisco IOS Release 12.4 』

http://www.cisco.com/en/US/docs/ios/security/command/reference/sec_book.html

（注） この章のスイッチ コマンドの構文および使用方法の詳細については、『Catalyst 4500 Series Switch Cisco IOS Command Reference』および次の URL の関連マニュアルを参照してください。

http://www.cisco.com/en/US/products/ps6350/index.html

この章の主な内容は、次のとおりです。

• 「制御プレーン ポリシングの機能概要」

• 「コントロール プレーン ポリシングの注意事項」

• 「CoPP のデフォルト設定」

• 「CoPP の設定」

• 「CoPP の設定時の注意事項および制約事項」

• 「CoPP のモニタ」

制御プレーン ポリシングの機能概要

CoPP 機能は、不要なトラフィックまたは DoS トラフィックから CPU を保護し、重要なコントロール プレーンおよび管理トラフィックを優先させることにより Catalyst 4000 ファミリ スイッチのセキュリティを向上させます。分類 TCAM および QoS（Quality of Service）ポリサーは、CoPP へのハードウェア サポートを提供します。CoPP は、Cisco IOS Release 12.2(31)SG がサポートするすべてのスーパーバイザ エンジンで動作します。

CPU が管理するトラフィックは、次の 3 つの機能コンポーネント（ プレーン ）に分割されます。

• データ プレーン

• 管理プレーン

• 制御プレーン

CoPP を使用することで、大半の CPU 行きトラフィックを保護し、ルーティングの安定性と信頼性を確保し、パケットを確実に配信することができます。特に重要なのは、CoPP を使用して CPU を DoS 攻撃（サービス拒絶攻撃）から保護する場合が多いことです。レイヤ 2 およびレイヤ 3 コントロール プレーン パケットの選択済みセットに一致する、定義済み ACL のリストがあります。必要なポリシング パラメータをこれらのコントロール パケットに定義することはできますが、定義済み ACL の一致基準を変更することはできません。次に、定義済み ACL のリストを示します。

データ プレーンおよび管理プレーン トラフィックの場合、ポリシングするトラフィック クラスと一致するようにユーザの ACL を定義できます。

CoPP は MQC を使用してトラフィック分類基準を定義し、分類されたトラフィックの設定可能ポリシー アクションを指定します。MQC ではクラス マップを使用して特定のトラフィック クラスに対するパケットを定義します。トラフィックを分類したら、識別されたトラフィックにポリシー アクションを実行するための、ポリシー マップを作成できます。コントロール プレーン グローバル コンフィギュレーション コマンドを使用すると、CoPP サービス ポリシーをコントロール プレーンに直接付加できます。

コントロール プレーンに付加できるポリシー マップは system-cpp-policy だけです。ポリシー マップの冒頭には事前に定義されたクラスマップが事前に定義された順番で含まれていることが必要です。system-cpp-policy ポリシー マップを作成するのに最善の方法は、グローバル マクロ system-cpp を使用する方法です。

system-cpp-policy には、コントロール プレーン トラフィックに対する定義済みクラス マップが含まれています。システムで定義されたすべての CoPP クラス マップの名前と、それらの一致 ACL には「system-cpp-」というプレフィックスが付いています。デフォルトでは、トラフィック クラスに対するアクションは指定されていません。CPU 行きデータ プレーンおよび管理プレーン トラフィックに一致するクラス マップを独自に定義できます。定義したクラス マップは system-cpp-policy ポリシー マップに追加できます。

コントロール プレーン ポリシングの注意事項

• ポート セキュリティは、非 IP コントロール パケットに対する効果をキャンセルすることがあります。

Catalyst 4500 シリーズ スイッチでの送信元 MAC ラーニングはソフトウェアで実行されますが、コントロール パケット（IEEE BPDU/CDP/SSTP BPDU/GARP など）からの送信元 MAC アドレスのラーニングは許可されません。このような（範囲から外れた可能性のある）高いレートのコントロール パケットを受信すると見なされるポートでポート セキュリティを設定すると、システムはパケットを転送するのではなく、（送信元アドレスが学習されるまで、ポート セキュリティがどのように実装されるか）パケットのコピーを CPU に生成します。

Catalyst 4500 スイッチング エンジンの現在のアーキテクチャでは、CPU に送信されたパケットのコピーにポリシングを適用できません。ポリシングを適用できるのは、CPU に転送されたパケットに対してだけです。したがって、パケットのコピーは、パケットが到着するレートで CPU に送信され、コントロール パケットからのラーニングが許可されないため、ポート セキュリティはトリガーされません。さらに、元のパケットではなくパケットのコピーが CPU に送信されるため、ポリシングも適用されません。

• Cisco IOS Release 12.2(31)SGA1 と同様に、GARP クラスは、CoPP の一部ではなくなりました （CSCsg08775 に伴う修正のため、system-cpp-garp-range エントリが CPP 設定に引き続き表示されていても、単にアイドリングになっているだけで、その後のリリースでは削除される予定です）。これ以降、ユーザ ACL および QoS で GARP トラフィックを操作できます。GARP パケットに対して CPU を保護する場合、GARP パケットのユーザ クラスを定義したあとで、CoPP を使用して GARP パケットを下方ポリシングすることも可能です （GARP がスタティック CAM 領域の一部ではなくなったため、下方ポリシングが可能になりました）。

IOS とプラットフォーム コードの間での CPP 実装の統合が強固になったため、起動時には常にエラー メッセージが表示され、この注意事項が以前のリリースに統合されている（この修正が存在しない）バージョンから IOS ソフトウェアをダウングレードするときには、CPP が適用されません。

次善策として、次の手順を実行します。

1. ソフトウェアのダウングレードを実行するときは、コンフィギュレーションをバックアップします。

2. コンフィギュレーションからすべての CPP エントリを手動で削除し、macro global apply system-cpp コマンドを再度適用します。

リリース間でアップグレードするときは、この注意事項に関連する問題は発生しないはずです。

CoPP のデフォルト設定

CoPP はデフォルトでディセーブルです。

CoPP の設定

ここでは、次の作業について説明します。

• 「コントロール プレーン トラフィックの CoPP の設定」

• 「データ プレーンおよび管理プレーン トラフィックの CoPP の設定」

CoPP の設定時の注意事項および制約事項

CoPP を設定するときは、次の注意事項および制約事項に従ってください。

• 入力 CoPP だけがサポートされます。つまり、コントロールプレーンに関連する CLI では input キーワードだけがサポートされます。

• コントロール プレーン トラフィックをポリシングする場合はシステム定義クラス マップを使用します。

• コントロール プレーン トラフィックは、CoPP を使用する場合にだけポリシングできます。ポリシー マップをインターフェイスまたは VLAN に付加するとき、コントロール プレーン トラフィックを含むポリシー マップが受け付けられても、入力インターフェイスまたは VLAN のトラフィックはポリシングできません。

• システム定義クラス マップは、通常の QoS のポリシー マップでは使用できません。

• CPU が処理するデータ プレーンおよび管理プレーン トラフィックを識別するには、ACL とクラスマップを使用します。ユーザ定義クラス マップは、CoPP の system-cpp-policy ポリシー マップに追加する必要があります。

• system-cpp-policy という名前のポリシー マップは CoPP 専用です。

• デフォルトの system-cpp-policy マップはシステム定義クラス マップのアクションを定義しません。つまり no policing です。

• system-cpp-policy ポリシー マップがサポートするアクションは police だけです。

• CoPP ポリシー ACL では log キーワードは使用できません。

• データ プレーンおよび管理プレーン トラフィック クラスは、MAC ACL と IP ACL のどちらでも定義できます。パケットがコントロール プレーン トラフィックの事前に定義された ACL にも一致する場合は、コントロール プレーン クラスがサービス ポリシーのユーザ定義クラスの上にあるため、コントロール プレーン クラスの police アクション（または no police アクション）が実行されます。これは同じ MQC セマンティックです。

• 超過アクション policed-dscp-transmit は CoPP ではサポートされません。

• グローバル QoS がイネーブルで、 police アクションが指定されないかぎり、CoPP はイネーブルになりません。

CoPP のモニタ

サイト固有ポリシーを開発して制御プレーン ポリシーの統計をモニタし、CoPP をトラブルシューティングするには、 show policy-map control-plane コマンドを入力できます。このコマンドは、実際に適用されるポリシーのダイナミック情報を表示します。このダイナミック情報には、レート情報と、ハードウェアおよびソフトウェアに設定したポリシーに準拠または超過するバイト数（およびパケット数）が含まれます。

show policy-map control-plane コマンドの出力は次のようになります。

コントロール プレーンのカウンタをクリアするには、 clear control-plane * コマンドを実行します。

すべての CoPP アクセス リスト情報を表示するには、 show access-lists コマンドを実行します。

CoPP アクセス リストを 1 つだけ表示するには、 show access-lists system-cpp-cdp コマンドを実行します。