Catalyst 4500 シリーズ スイッチ Cisco IOS ソフトウェア コンフィギュレーション ガイド リリース 12.2(44)SG

NDE バージョン

Catalyst 4500 シリーズ スイッチでは、収集された統計情報用に NDE バージョン 1 および 5 がサポートされます。NetFlow 集計では NDE バージョン 8 が必要です。

現在のフロー マスクによっては、フロー レコードの一部のフィールドに値が入らない場合があります。サポートされないフィールドには、ゼロ（0）が充填されます。

次の表では、NDE バージョン 5 でサポートされているフィールドについて説明します。

• 表 46-1 ：バージョン 5 ヘッダー形式

• 表 46-2 ：バージョン 5 フロー レコード形式

ハードウェアから取得する情報

ハードウェアからの一般的な NetFlow レコードで入手できる情報には、次の内容が含まれます。

• パケットおよびバイト数

• 開始タイムスタンプおよび終了タイムスタンプ

• 送信元 IP アドレスおよび宛先 IP アドレス

• IP プロトコル

• 送信元ポート番号および宛先ポート番号

ソフトウェアから取得する情報

ソフトウェアからの一般的な NetFlow レコードで入手できる情報には、次の内容が含まれます。

• 入力識別子および出力識別子

• ネクストホップ アドレス、始点およびピア AS、送信元および宛先プレフィックス マスクを含むルーティング情報

入力および出力インターフェイス番号と AS 番号の割り当て

ここでは、次の内容について説明します。

• 「予測フィールドの割り当て」

• 「出力インターフェイスおよび出力関連予測フィールドの割り当て」

• 「入力インターフェイスおよび入力関連予測フィールドの割り当て」

予測フィールドの割り当て

Catalyst 4500 シリーズ スイッチでは、ハードウェアで NetFlow フローが収集されます。ハードウェアでは、すべての NetFlow フロー フィールドのサブセットが収集されます。残りのフィールドは、ソフトウェアによってルーティング状態が調査されたとき、ソフトウェアによって入力されます。

Netflow Services Card には、NetFlow Flows に関連する入力インターフェイス、出力インターフェイス、その他のルーティング情報を正確にかつ一貫して判別する情報が十分にありません。Catalyst 4500 シリーズ スイッチには、これを補うソフトウェア メカニズムがあります。このメカニズムについて、次の段落で説明します。

出力インターフェイスおよび出力関連予測フィールドの割り当て

ソフトウェアは、（宛先 IP アドレスに基づいた）デフォルトの Forwarding Information Base（FIB; 転送情報ベース）テーブルの FIB エントリを検索して出力インターフェイス情報を判別します。この FIB エントリから、ソフトウェアはこの宛先 IP アドレスの宛先 AS 番号およびインターフェイス情報を格納する適切な隣接装置へのアクセスができるようになります。したがって、出力インターフェイスは単に宛先 IP アドレスに基づいています。スイッチ上でロード バランシングがイネーブルにされている場合、FIB エントリで隣接装置を検索する代わりに、ロード バランシング ハッシュが適切な FIB パスにアクセスするように適用され、適切な隣接装置にアクセスします。このプロセスは、通常、正しい結果を生成しますが、デフォルトの FIB テーブルで IP アドレスを共有する PBR が使用されている場合、正しい結果が得られない場合があります。このような環境では、同一の宛先 IP アドレスに FIB テーブル エントリおよび関連付けられた隣接装置が複数存在するようになります。

入力インターフェイスおよび入力関連予測フィールドの割り当て

同様に、入力インターフェイスと送信元 IP アドレスの送信元 AS 番号は、送信元 IP アドレスに基づいたデフォルトの FIB テーブルの FIB エントリを検索することによって判別されます。したがって、入力インターフェイスは単に送信元 IP アドレスに基づいており、逆ルックアップが行われて、この IP 宛先アドレスを持つパケットがルーティングされる必要があるインターフェイスが判別されます。このプロセスは、転送パスが対称であると仮定します。ただし、このプロセスが複数の入力インターフェイスを生成する場合、最小の IP アドレスを持つインターフェイスを 1 つ選択するように決定論的なアルゴリズムが適用されます。このプロセスは通常正しい値を生成しますが、値が正確でない場合もあります。

• ロード バランシングがアップストリーム隣接スイッチによって適用されている場合、使用可能な複数の入力インターフェイスから任意の 1 つの入力インターフェイスが選択される必要があります。このアクションが必要とされるのは、使用される入力インターフェイスが、隣接アップストリーム スイッチによって適用されるロードバランシング アルゴリズムのタイプに左右されるためです。そのアルゴリズムを常に知ることができるとはかぎりません。したがって、すべてのフロー統計情報は、1 つの入力インターフェイスによるものとなります。ソフトウェアは、最小の IP サブネット番号を持つインターフェイスを選択します。

• 非対称ルーティング方式では、IP サブネットのトラフィックが、この IP サブネットにパケットを送信するインターフェイスとは別のインターフェイスで受信されることがありますが、逆ルックアップに基づいて入力インターフェイスを選択した予測が、不正確で確認できない可能性があります。

• スイッチ上で PBR または VRF がイネーブルに設定されており、フローが PBR 範囲または VRF 範囲にあるアドレスに送られる場合、または PBR 範囲または VRF 範囲にあるアドレスから送信される場合、この情報は正しくありません。この場合、入力および出力インターフェイスは、デフォルトのルート（設定されている場合）を指定する可能性が高く、そうでない場合は値が得られずヌルの状態となります。

• 一部のインターフェイスのスイッチで VRF がイネーブルになっており、フローが VRF インターフェイスから送信される場合、情報は正しくありません。この場合、入力および出力インターフェイスは、デフォルトのルート（設定されている場合）を指定する可能性が高く、そうでない場合は値が得られずヌルの状態となります。

（注） Supervisor Engine V-10GE はハードウェアからの入力インターフェイス情報を提供して、NetFlow 情報の精度を向上させます。

UBRL およびマイクロフロー ポリシングと Netflow 統計情報の機能の相互作用

Supervisor Engine V-10GE を含むシステムでは、Netflow 統計情報および User Based Rate Limiting（UBRL）の間に機能の相互作用があります。特定インターフェイスで正しく設定している UBRL の一部として、クラスマップではフローマスクを指定する必要があります。このフローマスクは、フローのハードウェアベース NetFlow 統計情報の作成に使用されます。デフォルトの場合、従来の full flow NetFlow 統計情報には、full flow マスクが使用されます。しかし UBRL では、マスクが異なることがあります。特定インターフェイスで UBRL を設定している場合、統計情報は、UBRL 用に設定したマスクに基づいて収集されます。その結果、UBRL で設定されたインターフェイスを通過するトラフィックの full flow 統計情報がシステムで収集されません。詳細については、「User Based Rate Limiting の設定」を参照してください。

VLAN の統計情報

NetFlow がサポートされている場合は、レイヤ 2 出力 VLAN 統計、および VLAN を出入りするルーティング済みトラフィックの VLAN 統計をレポートできます。

次の例は、特定 VLAN の CLI 出力を示しています。

（注） NetFlow のサポートには、プラットフォームのサポートをすべての NetFlow フィールドのサブセットに限定するハードウェア制限があります。具体的には、TCP フラグおよび ToS バイト（DSCP）がサポートされません。

必要なハードウェアの確認

必要なハードウェアがイネーブルであることを確認するためには、次のように show module コマンドを入力します。

（注） この機能をイネーブルにしても、スイッチのハードウェア転送パフォーマンスには影響しません。

ハードウェアのフロー キャッシュ テーブルの有効サイズは 65,000 フローです。Supervisor Engine V-10GE のハードウェア フロー キャッシュは、85,000 フローです。85,000 フローより多いフローが同時にアクティブになると、一部のフローの統計情報が失われます。

ソフトウェアのフロー テーブルの有効サイズは 256,000 フローです。NetFlow ソフトウェアは、ハードウェア テーブルとソフトウェア テーブル間の一貫性を管理します。ソフトウェア テーブルへの非アクティブのハードウェア フローを削除することで、ハードウェア テーブルをオープンのままにします。

ユーザが設定するタイムアウト設定は、フローが削除され、ソフトウェア キャッシュから NDE を通じてエクスポートされる時間を指定します。ハードウェア フロー管理は、ハードウェア フロー削除とユーザが設定するタイムアウト設定との一貫性を保ちます。

また、ソフトウェア転送フローも監視されます。さらに、いずれかのフローが 2 Gbps を超える平均速度でトラフィックを受信すると統計情報がオーバーフローになります。ただし、一般的にポートは 2 Gbps 以上の速度で伝送できないため、このような状態は発生しません。

（注） 設計上、タイムアウト設定が高い場合でも、統計情報の制限に近づくとフローは自動的に「期限切れ」となります。

NetFlow 統計情報収集機能のイネーブル化

（注） デフォルトでは、NetFlow 統計情報はディセーブルです。

NetFlow スイッチングをイネーブルにするには、最初に『 Cisco IOS IP and IP Routing Configuration Guide 』の「IP configuration」にある IP ルーティング用のスイッチ設定を実行してください。IP ルーティングを設定したあと、次のいずれかの作業を行ってください。

スイッチド/ブリッジド IP フローの設定

Netflow は、すべてのルーテッド IP トラフィック用に作成および追跡されるルーテッド IP フローの収集として定義されます。スイッチング環境では、多量の IP トラフィックが VLAN 内でスイッチングされるため、ルーティングはされません。このトラフィックは、スイッチド/ブリッジド IP トラフィックといいます。これに関連するフローをスイッチド/ブリッジド IP フローといいます。NetFlow ハードウェアには、このタイプのフローを作成および追跡する機能があります。NetFlow スイッチド IP フロー機能により、スイッチド IP フローを作成、追跡、およびエクスポートできます（つまり、スイッチングされ、ルーティングされない IP トラフィックのフローを作成および追跡します）。

次のことに注意してください。

• Catalyst 4500 シリーズ スイッチでは、スイッチド IP フロー収集を単独でイネーブルにできません。スイッチド IP フローの収集を開始するには、ルーテッド フロー収集およびスイッチド フロー収集の両方をイネーブルにする必要があります。

• 一般的に、入力および出力インターフェイスの情報はヌルになります。トラフィックが SVI に関連付けられた VLAN 上でスイッチングされる場合、入力および出力インターフェイス情報は同じレイヤ 3 インターフェイスをポイントします。

• スイッチド フローは通常のエクスポート設定に従ってエクスポートされます。個別のエクスポート CLI は存在しません。

• メイン キャッシュでは、ハードウェア制限によりスイッチド IP フローおよびルーテッド IP フローの区別ができません。

（注） すべてのインターフェイス上でスイッチド IP フロー収集をイネーブルにするには、ip flow ingress および ip flow ingress layer2-switched コマンドの両方を入力する必要があります。

（注） スイッチド IP フロー トラフィック上で User Based Rate Limiting ポリシーをイネーブルにするには、ip flow ingress コマンドではなく ip flow ingress layer2-switched コマンドを入力する必要があります。（「User Based Rate Limiting の設定」 を参照）。

NetFlow キャッシュを設定し、スイッチド IP フロー収集をイネーブルにするには、次の作業を行います。

次に、スイッチ IP フローを含む IP フロー キャッシュの内容を表示する例を示します。

NetFlow 統計情報のエクスポート

フローの有効期限が切れたときに NetFlow 統計情報をワークステーションにエクスポートするようにスイッチを設定するには、次のいずれかの作業を行います。

NetFlow 統計情報収集機能の管理

IP フロー スイッチング キャッシュ情報やフロー情報（プロトコル、フロー合計、秒あたりのフローなど）などの NetFlow 統計情報を表示し、クリアできます。また、結果情報を使用してスイッチ トラフィックの情報を得ることもできます。

NetFlow スイッチング統計情報を管理するには、次のいずれかの作業、または両方の作業を行います。

集約キャッシュの設定

NetFlow 統計情報の集約は、通常、管理ワークステーション上の NetFlow 収集ツールによって実行されます。このサポートを Catalyst 4500 シリーズ スイッチに拡張することによって、次のことが可能になります。

• エクスポートされる NDE パケットが少なくなるため、スイッチとワークステーション間で必要な帯域幅が削減されます。

• 必要な収集ワークステーション数が削減されます。

• CLI で集約されたフローの統計情報を表示できます。

集約キャッシュを設定するには、集約キャッシュ コンフィギュレーション モードを開始し、設定する集約方式のタイプ（autonomous system、destination prefix、protocol prefix、または source prefix aggregation cache）を決定する必要があります。集約方式を定義したら、その方式の動作パラメータを定義します。同時に複数の集約キャッシュを設定できます。

集約キャッシュを設定にするには、次の作業を行います。

集約キャッシュ設定およびデータ エクスポートの確認

集約キャッシュ情報を確認するには、次の作業を行います。

データ エクスポートを確認するには、次の作業を行います。

ルータベース集約の NetFlow 最小プレフィックス マスクの設定

最小プレフィックス マスクは、1 つの IP アドレス ベースの集約キャッシュ（source-prefix、destination-prefix、prefix など）内の集約フローに使用される最短のサブネット マスクを指定します。このようなキャッシュでは、フローは IP アドレス（送信元、宛先、またはその両方のそれぞれ）に基づいて集約され、最小プレフィックス マスク、およびスイッチのルーティング テーブルで見つかったフローの送信元/宛先ホストへのルートのサブネット マスクのうち長い方によってマスクされます。

（注） 最小マスクのデフォルト値は 0 です。最小マスクの設定可能範囲は、1 ～ 32 です。トラフィックに応じて適切な値を選択する必要があります。最小マスクの値が高いと、より詳細なネットワーク アドレスが提供できますが、集約キャッシュのフローの数が増加する可能性もあります。

ルータベース集約機能の最小プレフィックス マスクを設定するには、次の項で説明する作業を行います。これらの作業は任意です。

• prefix 集約方式の最小マスクの設定

• destination-prefix 集約方式の最小マスクの設定

• source-prefix 集約方式の最小マスクの設定

• 集約方式の最小マスクのモニタおよび保守

prefix 集約方式の最小マスクの設定

prefix 集約方式の最小マスクを設定するには、次の作業を行います。

destination-prefix 集約方式の最小マスクの設定

destination-prefix 集約方式の最小マスクを設定するには、次の作業を行います。

source-prefix 集約方式の最小マスクの設定

source-prefix 集約方式の最小マスクを設定するには、次の作業を行います。

集約方式の最小マスクのモニタおよび保守

設定された最小マスクの値を表示するには、必要に応じて各集約方式に対して次のコマンドを使用します。

NetFlow エージング パラメータの設定

フローをソフトウェア フロー キャッシュから削除する（また、設定されている場合、NDE を通じてレポートする）時期を、ip flow-cache timeout コマンドの設定エージング パラメータ Active および Inactive を使用して制御できます。

アクティブ エージングは、フローが作成されたあとにフローがソフトウェア フロー キャッシュから削除される時間を指定します。一般的に、このパラメータは外部収集デバイスへアクティブ フローについて定期的に通知するために使用します。このパラメータは、フローの既存のトラフィックから独立して動作します。アクティブ タイムアウト設定は通常、分単位で設定されます（デフォルト設定は 30 分）。

非アクティブ エージングは、最後のパケットが確認されてからフローを削除するまでの時間を指定します。非アクティブ パラメータは、「古い」フローのフロー キャッシュをクリアして、（リソース不足により）新しいフローが長時間停止しないようにします。非アクティブ タイムアウト設定は通常、秒単位で設定されます（デフォルト設定は 15 秒）。

NetFlow イネーブル化方式のサンプル

（注） Catalyst 4500 スイッチ上では、インターフェイス単位の NetFlow のイネーブル化がサポートされていません。

次に、NetFlow をグローバルにイネーブルにする例を示します。

次に、予測フィールドをサポートする NetFlow をイネーブルにする例を示します。

NetFlow 集約設定のサンプル

ここでは、次の集約キャッシュ設定例を示します。

• 「自律システムの設定」

• 「宛先プレフィックスの設定」

• 「プレフィックスの設定」

• 「プロトコル ポートの設定」

• 「送信元プレフィックスの設定」

自律システムの設定

次に、自律システムの集約キャッシュに、200 秒の非アクティブ タイムアウト、45 分のキャッシュ アクティブ タイムアウト、エクスポート宛先 IP アドレス 10.42.42.1、および宛先ポート 9992 を設定する例を示します。

宛先プレフィックスの設定

次に、宛先プレフィックスの集約キャッシュに、200 秒の非アクティブ タイムアウト、45 分のキャッシュ アクティブ タイムアウト、エクスポート宛先 IP アドレス 10.42.42.1、および宛先ポート 9992 を設定する例を示します。

プレフィックスの設定

次に、プレフィックスの集約キャッシュに、200 秒の非アクティブ タイムアウト、45 分のキャッシュ アクティブ タイムアウト、エクスポート宛先 IP アドレス 10.42.42.1、および宛先ポート 9992 を設定する例を示します。

プロトコル ポートの設定

次に、プロトコル ポートの集約キャッシュに、200 秒の非アクティブ タイムアウト、45 分のキャッシュ アクティブ タイムアウト、エクスポート宛先 IP アドレス 10.42.42.1、および宛先ポート 9992 を設定する例を示します。

送信元プレフィックスの設定

次に、送信元プレフィックスの集約キャッシュに、200 秒の非アクティブ タイムアウト、45 分のキャッシュ アクティブ タイムアウト、エクスポート宛先 IP アドレス 10.42.42.1、および宛先ポート 9992 を設定する例を示します。

ルータベース集約方式の NetFlow 最小プレフィックス マスクのサンプル

ここでは、NetFlow 最小プレフィックス マスク集約キャッシュの設定例を示します。

• prefix 集約方式

• destination-prefix 集約方式

• source-prefix 集約方式

prefix 集約方式

次に、prefix 集約キャッシュの設定例を示します。

この例では、次の設定が前提になっています。

両方のルートがスイッチ上のルーティング テーブルに 27 ビットのサブネット マスクを持ちます。

118.42.20.160 サブネットから、送信元 IP アドレスが 27 ビットのマスクに一致し、宛先 IP アドレスが 28 ビットのマスクに一致する 122.16.93.160 サブネットに移動するフローは、キャッシュ統計情報で一緒に集約されます。

destination-prefix 集約方式

次に、destination-prefix 集約キャッシュの設定例を示します。

source-prefix 集約方式

次に、source-prefix 集約キャッシュの設定例を示します。