この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
この章の内容は、次のとおりです。
コントロール プレーン ポリシング(CoPP)はコントロール プレーンを保護し、それをデータ プレーンから分離することによって、ネットワークの安定性、到達可能性、およびパケット配信を保証します。
この機能により、コントロール プレーンにポリシー マップを適用できるようになります。このポリシー マップは通常の QoS ポリシーのように見え、非管理ポートからスイッチに入力されるすべてのトラフィックに適用されます。ネットワーク デバイスへの一般的な攻撃ベクトルは、過剰なトラフィックがデバイス インターフェイスに転送されるサービス拒絶(DoS)攻撃です。
Cisco NX-OS デバイスは、DoS 攻撃がパフォーマンスに影響しないようにするために CoPP を提供します。このような攻撃は誤って、または悪意を持って実行される場合があり、通常は、スーパーバイザ モジュールまたは CPU 自体に宛てられた大量のトラフィックが含まれます。
スーパーバイザ モジュールは、管理対象のトラフィックを次の 3 つの機能コンポーネント(プレーン)に分類します。
スーパーバイザ モジュールには、マネージメント プレーンとコントロール プレーンの両方が搭載され、ネットワークの運用にクリティカルなモジュールです。スーパーバイザ モジュールの動作が途絶したり、スーパーバイザ モジュールが攻撃されたりすると、重大なネットワークの停止につながります。たとえばスーパーバイザに過剰なトラフィックが加わると、スーパーバイザ モジュールが過負荷になり、NX-OS デバイス全体のパフォーマンスが低下する可能性があります。またたとえば、スーパーバイザ モジュールに対する DoS 攻撃は、コントロール プレーンに対して非常に高速に IP トラフィック ストリームを生成することがあります。これにより、コントロール プレーンは、これらのパケットを処理するために大量の時間を費やしてしまい、本来のトラフィックを処理できなくなります。
次に、DoS 攻撃の例を示します。
これらの攻撃によりデバイスのパフォーマンスが影響を受け、次のようなマイナスの結果をもたらします。
サービス品質の低下(音声、ビデオ、または重要なアプリケーション トラフィックの低下など)
ルート プロセッサまたはスイッチ プロセッサの高い CPU 使用率
ルーティング プロトコルのアップデートまたはキープアライブの消失によるルート フラップ
不安定なレイヤ 2 トポロジ
CLI との低速な、または応答を返さない対話型セッション
メモリやバッファなどのプロセッサ リソースの枯渇
着信パケットの無差別のドロップ
![]() 注意 | コントロール プレーンの保護策を講じることで、スーパーバイザ モジュールを偶発的な攻撃や悪意ある攻撃から確実に保護することが重要です。 |
コントロール プレーンを保護するために、Cisco NX-OS デバイスはコントロール プレーンに向かうさまざまなパケットを異なるクラスに分離します。クラスの識別が終わると、Cisco NX-OS デバイスはパケットをポリシングします。これにより、スーパーバイザ モジュールに過剰な負担がかからないようになります。
コントロール プレーンには、次のような異なるタイプのパケットが到達します。
これらのさまざまなパケットはすべて、コントロール プレーンへの悪意ある攻撃に利用され、Cisco NX-OS デバイスに過剰な負荷をかける可能性があります。CoPP は、これらのパケットを異なるクラスに分類し、これらのパケットをスーパーバイザが受信する速度を個別に制御するメカニズムを提供します。
効果的に保護するために、Cisco NX-OS デバイスはスーパーバイザ モジュールに到達するパケットを分類して、パケット タイプに基づいた異なるレート制御ポリシーを適用できるようにします。たとえば、Hello メッセージなどのプロトコル パケットには厳格さを緩め、IP オプションがセットされているためにスーパーバイザ モジュールに送信されるパケットには厳格さを強めることが考えられます。
パケットの分類が終わると、Cisco NX-OS デバイスにはスーパーバイザ モジュールに到達するパケットのレートを制御する 2 つの異なるメカニズム(ポリシングおよびレート制限)があります。
ハードウェア ポリサーを使用すると、トラフィックが所定の条件に一致する場合、または違反する場合について異なるアクションを定義できます。このアクションには、パケットの送信、パケットのマーク付け、およびパケットのドロップがあります。
ポリシングには、次のパラメータを設定できます。
Cisco NX-OS Release 7.1(1)N1(1) 以降では、カスタマイズされた各 CoPP プロファイルに対して、最大 61,440 Kbps の拡張 CoPP 設定情報レート(CIR)制限を設定できます。
クラス マップ |
設定(Configuration) |
説明 |
---|---|---|
class-map type control-plane match-any copp-system-class-arp |
match protocol arp match protocol nd |
クラスは、すべての ARP パケットに一致します。 クラスは、すべての ARP パケットおよび ND(NA、NS、RA および RS)パケットに一致します。 |
class-map type control-plane match-any copp-system-class-bgp |
match protocol bgp |
クラスはすべての BGP パケットに一致します。 |
class-map type control-plane match-any copp-system-class-bridging |
match protocol bridging |
クラスはすべての STP および RSTP フレームに一致します。 |
class-map type control-plane match-any copp-system-class-cdp |
match protocol cdp |
クラスはすべての CDP フレームに一致します。 |
class-map type control-plane match-any copp-system-class-default |
match protocol default |
クラスはすべてのフレームに一致します。デフォルト ポリサーに使用します。 |
class-map type control-plane match-any copp-system-class-dhcp |
match protocol dhcp |
クラスは、すべての IPv4 DHCP パケットに一致します クラスは、すべての両方の IPv4 DHCP パケットに一致します |
class-map type control-plane match-any copp-system-class-eigrp |
match protocol eigrp match protocol eigrp6 |
クラスは、すべての IPv4 EIGRP パケットに一致します。 クラスは、IPv4 EIGRP パケットと IPv6 EIGRP パケットの両方に一致します。 |
class-map type control-plane match-any copp-system-class-exception |
match protocol exception |
Martian 宛先アドレスを持つパケットまたは MTU エラーが発生したパケットなど、クラスは IP ルーティングの目的で例外パケットとして扱われるすべての IP パケットに一致します(TTL 例外、IP フラグメント例外、および同一インターフェイス例外のパケットを除く)。 |
class-map type control-plane match-any copp-system-class-excp-ip-frag |
match protocol ip_frag |
クラスはフラグメント化したすべての IP パケットに一致します。(これらのパケットは、IP ルーティングの観点から例外パケットとして扱われます)。 |
class-map type control-plane match-any copp-system-class-excp-same-if |
match protocol same-if |
クラスは、IP ルーティングの例外パケットとして扱われるすべての IP パケットに一致します。パケットが一致するのは、宛先とすべきインターフェイスから受信したためです。 |
class-map type control-plane match-any copp-system-class-excp-ttl |
match protocol ttl |
クラスは、IP ルーティングの観点から TTL 例外パケットとして扱われる(TTL が 0 の場合)すべてのパケットに一致します。 |
class-map type control-plane match-any copp-system-class-fip |
match protocol fip |
クラスは FCoE Initialization Protocol に属するすべてのパケットに一致します。 |
class-map type control-plane match-any copp-system-class-glean |
match protocol glean |
クラスは、宛先の MAC 情報が使用不可能であるためにネクスト ホップにルーティングできないすべての IP パケットに一致します。 |
class-map type control-plane match-any copp-system-class-hsrp-vrrp |
match protocol hsrp_vrrp match protocol hsrp6 |
クラスは、HSRP パケットおよび VRRP パケットに一致します。 クラスは、IPv4 HSRP、VRRP、および IPv6 HSRP パケットに一致します |
class-map type control-plane match-any copp-system-class-icmp-echo |
match protocol icmp_echo |
クラスは、すべての ICMP エコー(ping)パケットに一致します。 |
class-map type control-plane match-any copp-system-class-igmp |
match protocol igmp |
クラスはすべての IGMP パケットに一致します。 |
class-map type control-plane match-any copp-system-class-isis |
match protocol isis_dce |
クラスは Fabricpath ISIS パケットに一致し、ルータ ISIS パケットを無視します。 |
class-map type control-plane match-any copp-system-class-l3dest-miss |
match protocol unicast |
クラスは FIB で宛先が見つからなかったすべてのユニキャスト ルーティングされたパケットに一致します。 |
class-map type control-plane match-any copp-system-class-lacp |
match protocol lacp |
クラスは、すべてのリンク アグリゲーション制御プロトコル(LACP)フレームに一致します。 |
class-map type control-plane match-any copp-system-class-lldp |
match protocol lldp_dcx |
クラスはすべての LLDP フレームに一致します。 |
class-map type control-plane match-any-copp-system-class-mcast-last-hop |
match protocol mcast_last_hop |
クラスは、すべての IP マルチキャストのラストホップ パケットに一致します。 |
class-map type control-plane match-any copp-system-class-mcast-miss |
match protocol multicast |
クラスは、FIB にエントリがないためにルーティングできなかったすべての IP マルチキャスト フレームに一致します。 |
class-map type control-plane match-any copp-system-class-mgmt |
match protocol mgmt |
クラスは、SNMP、HTTP、NTP、Telnet、SSH など、管理に関連するすべてのフレームに一致します。 |
class-map type control-plane match-any copp-system-class-msdp |
match protocol msdp |
クラスは MSDP パケットに一致します。 |
class-map type control-plane match-any copp-system-class-ospf |
match protocol ospf match protocol ospfv3 |
クラスは、OSPF パケットおよび OSPFv3 プロトコル パケットに一致します。 |
class-map type control-plane match-any copp-system-class-pim-hello |
match protocol pim |
クラスはすべての PIM Hello パケットに一致します。 |
class-map type control-plane match-any copp-system-class-pim-register |
match protocol reg |
クラスはすべての PIM 登録パケットに一致します。 |
class-map type control-plane match-any copp-system-class-rip |
match protocol rip |
クラスはすべての RIP パケットに一致します。 |
class-map type control-plane match-any copp-system-class-rpf-fail |
match protocol rpf_fail |
クラスは、すべての RPF 障害パケットに一致します。 |
class-map type control-plane match-any copp-system-class-udld |
match protocol udld |
クラスはすべての UDLD フレームに一致します。 |
Cisco NX-OS デバイスの初回起動時には、DoS 攻撃からスーパーバイザ モジュールを保護するためのデフォルト copp-system-policy が Cisco NX-OS ソフトウェアによってインストールされます。最初のセットアップ ユーティリティで、次のいずれかの CoPP ポリシー オプションを選択することにより、展開シナリオの CoPP ポリシー テンプレートを選択できます。
デフォルト CoPP ポリシー(copp-system-policy-default)
拡張レイヤ 2 CoPP ポリシー(copp-system-policy-scaled-l2)
拡張レイヤ 3 CoPP ポリシー(copp-system-policy-scaled-l3)
カスタマイズされた CoPP ポリシー(copp-system-policy-customized)
オプションを選択しなかった場合や、セットアップ ユーティリティを実行しなかった場合には、Cisco NX-OS ソフトウェアにより Default ポリシングが適用されます。最初はこのデフォルト ポリシーを使用し、必要に応じて CoPP ポリシーを変更することを推奨します。
デフォルトの copp-system-policy-default ポリシーには、基本的なデバイス操作に最も適した値が設定されています。
コントロール プレーン コンフィギュレーション モードで service-policy inputpolicy-name コマンドを使用して、使用する CoPP ポリシーを変更できます。
copp-system-policy-default ポリシーがスイッチにデフォルトで適用されます。これには、ほとんどのネットワーク導入に適したポリサー レートを持つクラスが含まれています。このポリシー、またはこれに関連付けられたクラス マップを変更することはできません。また、このポリシーのクラス マップ設定も変更できません。
このポリシーの設定は次のとおりです。
policy-map type control-plane copp-system-policy-default class copp-system-class-igmp police cir 1024 kbps bc 65535 bytes class copp-system-class-pim-hello police cir 1024 kbps bc 4800000 bytes class copp-system-class-bridging police cir 20000 kbps bc 4800000 bytes class copp-system-class-arp police cir 1024 kbps bc 3600000 bytes class copp-system-class-dhcp police cir 1024 kbps bc 4800000 bytes class copp-system-class-mgmt police cir 12000 kbps bc 4800000 bytes class copp-system-class-lacp police cir 1024 kbps bc 4800000 bytes class copp-system-class-lldp police cir 2048 kbps bc 4800000 bytes class copp-system-class-udld police cir 2048 kbps bc 4800000 bytes class copp-system-class-isis police cir 1024 kbps bc 4800000 bytes class copp-system-class-msdp police cir 9600 kbps bc 4800000 bytes class copp-system-class-cdp police cir 1024 kbps bc 4800000 bytes class copp-system-class-fip police cir 1024 kbps bc 4800000 bytes class copp-system-class-bgp police cir 9600 kbps bc 4800000 bytes class copp-system-class-eigrp police cir 9600 kbps bc 4800000 bytes class copp-system-class-exception police cir 64 kbps bc 4800000 bytes class copp-system-class-glean police cir 1024 kbps bc 4800000 bytes class copp-system-class-hsrp-vrrp police cir 1024 kbps bc 256000 bytes class copp-system-class-icmp-echo police cir 64 kbps bc 3600000 bytes class copp-system-class-ospf police cir 9600 kbps bc 4800000 bytes class copp-system-class-pim-register police cir 9600 kbps bc 4800000 bytes class copp-system-class-rip police cir 9600 kbps bc 4800000 bytes class copp-system-class-l3dest-miss police cir 64 kbps bc 256000 bytes class copp-system-class-mcast-miss police cir 256 kbps bc 3200000 bytes class copp-system-class-excp-ip-frag police cir 64 kbps bc 3200000 bytes class copp-system-class-excp-same-if police cir 64 kbps bc 3200000 bytes class copp-system-class-excp-ttl police cir 64 kbps bc 3200000 bytes class copp-system-class-default police cir 512 kbps bc 6400000 bytes
copp-system-policy-scaled ポリシーには、デフォルト ポリシーと同じポリサー レートのほとんどのクラスがあります。ただし、IGMP と ISIS に対しては、より高いポリサー レートが設定されています。このポリシー、またはこれに関連付けられたクラス マップを変更することはできません。また、このポリシーのクラス マップ設定も変更できません。
このポリシーの設定は次のとおりです。
policy-map type control-plane copp-system-policy-scaled-l2 class copp-system-class-igmp police cir 4096 kbps bc 264000 bytes class copp-system-class-pim-hello police cir 1024 kbps bc 4800000 bytes class copp-system-class-bridging police cir 20000 kbps bc 4800000 bytes class copp-system-class-arp police cir 1024 kbps bc 3600000 bytes class copp-system-class-dhcp police cir 1024 kbps bc 4800000 bytes class copp-system-class-mgmt police cir 12000 kbps bc 4800000 bytes class copp-system-class-lacp police cir 1024 kbps bc 4800000 bytes class copp-system-class-lldp police cir 2048 kbps bc 4800000 bytes class copp-system-class-udld police cir 2048 kbps bc 4800000 bytes class copp-system-class-isis police cir 2048 kbps bc 4800000 bytes class copp-system-class-msdp police cir 9600 kbps bc 4800000 bytes class copp-system-class-cdp police cir 1024 kbps bc 4800000 bytes class copp-system-class-fip police cir 1024 kbps bc 4800000 bytes class copp-system-class-bgp police cir 9600 kbps bc 4800000 bytes class copp-system-class-eigrp police cir 9600 kbps bc 4800000 bytes class copp-system-class-exception police cir 64 kbps bc 4800000 bytes class copp-system-class-glean police cir 1024 kbps bc 4800000 bytes class copp-system-class-hsrp-vrrp police cir 1024 kbps bc 4800000 bytes class copp-system-class-icmp-echo police cir 64 kbps bc 3600000 bytes class copp-system-class-ospf police cir 9600 kbps bc 4800000 bytes class copp-system-class-pim-register police cir 9600 kbps bc 4800000 bytes class copp-system-class-rip police cir 9600 kbps bc 4800000 bytes class copp-system-class-l3dest-miss police cir 64 kbps bc 3200000 bytes class copp-system-class-mcast-miss police cir 256 kbps bc 3200000 bytes class copp-system-class-excp-ip-frag police cir 64 kbps bc 3200000 bytes class copp-system-class-excp-same-if police cir 64 kbps bc 3200000 bytes class copp-system-class-excp-ttl police cir 64 kbps bc 3200000 bytes class copp-system-class-default police cir 512 kbps bc 6400000 bytes
copp-system-policy-scaled-l3 ポリシーには、デフォルト ポリシーと同じポリサー レートのほとんどのクラスがあります。ただし、IGMP、ICMP エコー、ISIS、マルチキャスト欠落、および Glean に関連するクラスに対しては、より高いポリサー レートが設定されています。このポリシー、またはこれに関連付けられたクラス マップを変更することはできません。また、このポリシーのクラス マップ設定も変更できません。
このポリシーの設定は次のとおりです。
policy-map type control-plane copp-system-policy-scaled-l3 class copp-system-class-igmp police cir 4096 kbps bc 264000 bytes class copp-system-class-pim-hello police cir 1024 kbps bc 4800000 bytes class copp-system-class-bridging police cir 20000 kbps bc 4800000 bytes class copp-system-class-arp police cir 4000 kbps bc 3600000 bytes class copp-system-class-dhcp police cir 1024 kbps bc 4800000 bytes class copp-system-class-mgmt police cir 12000 kbps bc 4800000 bytes class copp-system-class-lacp police cir 1024 kbps bc 4800000 bytes class copp-system-class-lldp police cir 2048 kbps bc 4800000 bytes class copp-system-class-udld police cir 2048 kbps bc 4800000 bytes class copp-system-class-isis police cir 2048 kbps bc 4800000 bytes class copp-system-class-msdp police cir 9600 kbps bc 4800000 bytes class copp-system-class-cdp police cir 1024 kbps bc 4800000 bytes class copp-system-class-fip police cir 1024 kbps bc 4800000 bytes class copp-system-class-bgp police cir 9600 kbps bc 4800000 bytes class copp-system-class-eigrp police cir 9600 kbps bc 4800000 bytes class copp-system-class-exception police cir 64 kbps bc 4800000 bytes class copp-system-class-glean police cir 4000 kbps bc 4800000 bytes class copp-system-class-hsrp-vrrp police cir 1024 kbps bc 4800000 bytes class copp-system-class-icmp-echo police cir 4000 kbps bc 3600000 bytes class copp-system-class-ospf police cir 9600 kbps bc 4800000 bytes class copp-system-class-pim-register police cir 9600 kbps bc 4800000 bytes class copp-system-class-rip police cir 9600 kbps bc 4800000 bytes class copp-system-class-l3dest-miss police cir 64 kbps bc 3200000 bytes class copp-system-class-mcast-miss police cir 4000 kbps bc 3200000 bytes class copp-system-class-excp-ip-frag police cir 64 kbps bc 3200000 bytes class copp-system-class-excp-same-if police cir 64 kbps bc 3200000 bytes class copp-system-class-excp-ttl police cir 64 kbps bc 3200000 bytes class copp-system-class-default police cir 512 kbps bc 6400000 bytes
copp-system-policy-customized ポリシーは、デフォルト ポリシーと同様に設定され、別のクラス マップ情報のレートとバースト サイズ向けにカスタマイズできます。
このポリシーに設定されているクラス マップを追加または削除することはできません。
このポリシーは上級ユーザ用です。このポリシーを設定する場合は細心の注意を払い、実稼働ネットワークに導入する前に幅広いテストを行うことを推奨します。
このポリシーの設定は次のとおりです。
policy-map type control-plane copp-system-policy-customized class copp-system-class-igmp police cir 1024 kbps bc 65535 bytes class copp-system-class-pim-hello police cir 1024 kbps bc 4800000 bytes class copp-system-class-bridging police cir 20000 kbps bc 4800000 bytes class copp-system-class-arp police cir 1024 kbps bc 3600000 bytes class copp-system-class-dhcp police cir 1024 kbps bc 4800000 bytes class copp-system-class-mgmt police cir 12000 kbps bc 4800000 bytes class copp-system-class-lacp police cir 1024 kbps bc 4800000 bytes class copp-system-class-lldp police cir 2048 kbps bc 4800000 bytes class copp-system-class-udld police cir 2048 kbps bc 4800000 bytes class copp-system-class-isis police cir 1024 kbps bc 4800000 bytes class copp-system-class-msdp police cir 9600 kbps bc 4800000 bytes class copp-system-class-cdp police cir 1024 kbps bc 4800000 bytes class copp-system-class-fip police cir 1024 kbps bc 4800000 bytes class copp-system-class-bgp police cir 9600 kbps bc 4800000 bytes class copp-system-class-eigrp police cir 9600 kbps bc 4800000 bytes class copp-system-class-exception police cir 64 kbps bc 4800000 bytes class copp-system-class-glean police cir 1024 kbps bc 4800000 bytes class copp-system-class-hsrp-vrrp police cir 1024 kbps bc 4800000 bytes class copp-system-class-icmp-echo police cir 64 kbps bc 3600000 bytes class copp-system-class-ospf police cir 9600 kbps bc 4800000 bytes class copp-system-class-pim-register police cir 9600 kbps bc 4800000 bytes class copp-system-class-rip police cir 9600 kbps bc 4800000 bytes class copp-system-class-l3dest-miss police cir 64 kbps bc 3200000 bytes class copp-system-class-mcast-miss police cir 256 kbps bc 3200000 bytes class copp-system-class-excp-ip-frag police cir 64 kbps bc 3200000 bytes class copp-system-class-excp-same-if police cir 64 kbps bc 3200000 bytes class copp-system-class-excp-ttl police cir 64 kbps bc 3200000 bytes class copp-system-class-default police cir 512 kbps bc 6400000 bytes
Cisco NX-OS デバイスは、管理インターフェイス(mgmt0)をサポートしないハードウェア ベースの CoPP だけをサポートします。アウトオブバンド mgmt0 インターフェイスは CPU に直接接続するため、CoPP が実装されているインバンド トラフィック ハードウェアは通過しません。
mgmt0 インターフェイスで、ACL を設定して、特定タイプのトラフィックへのアクセスを許可または拒否することができます。
この機能には、ライセンスは必要ありません。ライセンス パッケージに含まれていない機能はすべて Cisco NX-OS システム イメージにバンドルされており、追加費用は一切発生しません。NX-OS ライセンス方式の詳細については、『Cisco NX-OS Licensing Guide』を参照してください。
CoPP は、スイッチではデフォルトでイネーブルになっている機能です。CoPP をイネーブルまたはディセーブルにすることはできません。
一度に 1 つのコントロール プレーン ポリシーだけを適用できます。
CoPP ポリシーを削除すると、デフォルト CoPP ポリシーが適用されます。このようにして、CoPP ポリシーが常に適用されます。
クラスまたはポリシーの追加や削除はできません。
クラスの順序の変更や、ポリシーのクラスの削除はできません。
デフォルト、拡張レイヤ 2、または拡張レイヤ 3 ポリシーは変更できません。ただし、カスタマイズされたポリシー内のクラスの情報レートやバースト サイズを変更することは可能です。
カスタマイズされたポリシーが変更されていない限り、カスタマイズされたポリシー設定はデフォルトのポリシー設定と同じです。
以前のリリースからアップグレードしている場合は、デフォルト CoPP ポリシーがスイッチ上でデフォルトでイネーブルになります。
カスタマイズされたポリシーを変更するか、または適用されたポリシーを変更すると、統計情報カウンタがリセットされます。
ISSU を実行すると、統計情報カウンタがリセットされます。
最初にデフォルト CoPP ポリシーを使用した後、データセンターおよびアプリケーションの要件に基づいて、どの CoPP ポリシーを使用するかを後で決定することを推奨します。
CoPP のカスタマイズは継続的なプロセスです。CoPP を設定するときには、特定の環境で使用されるプロトコルや機能に加えて、サーバ環境に必要なスーパーバイザ機能を考慮する必要があります。これらのプロトコルや機能が変更されたら、CoPP を変更する必要があります。
CoPP を継続的にモニタすることを推奨します。ドロップが発生した場合は、CoPP がトラフィックを誤ってドロップしたのか、または誤動作や攻撃に応答してドロップしたのかを判定してください。どちらの場合も、状況を分析して、別の CoPP ポリシーを使用するか、またはカスタマイズ済み CoPP ポリシーを変更する必要があるかどうかを評価します。
他のクラス マップで指定しないトラフィックはすべて、最後のクラス(デフォルト クラス)に配置されます。
Cisco NX-OS ソフトウェアは、出力 CoPP とサイレント モードをサポートしません。CoPP は、入力でのみサポートされます(コントロール プレーン インターフェイスに対して service-policy output copp コマンドは使用できません)。
![]() (注) | Cisco IOS の CLI に慣れている場合、この機能に対応する Cisco NX-OS コマンドは通常使用する Cisco IOS コマンドと異なる場合があるので注意してください。 |
パラメータ(Parameters) |
デフォルト |
||
---|---|---|---|
デフォルト ポリシー |
copp-system-policy-default |
||
デフォルト ポリシー |
9 ポリシー エントリ
|
||
スケール ファクタ値 |
1.00 |
CoPP の設定
次に、デバイスに CoPP ポリシーを適用する例を示します。
switch# configure terminal switch(config)# control-plane switch(config-cp) # service-policy input copp-system-policy-default switch(config-cp) # copy running-config startup-config
このポリシーに設定されたクラス マップの情報レートおよびバースト サイズだけを変更できます。
次に、カスタマイズされた CoPP ポリシーを変更する例を示します。
switch(config)# policy-map type control-plane copp-system-policy-customized switch(config-pmap)# class copp-system-class-bridging switch(config-pmap-c)# police cir 10000 kbps bc 2400000 bytes
次の例では、CoPP 拡張レートを設定する方法を示します。
switch(config)# control-plane switch(config-cp)# ingress-copp switch(config-cp)# policy-map type control-plane copp-system-policy-customized switch(config-pmap)# class copp-system-class-lacp switch(config-pmap-c)# police cir 51200 kbps bc 4800000 bytes
次のいずれかのコマンドを使用して、設定を確認します。
コマンド |
目的 |
---|---|
show policy-map type control-plane [expand] [name policy-map-name] |
関連するクラス マップのあるコントロール プレーン ポリシー マップを表示します。 |
show policy-map interface control-plane |
ポリシーの値と関連するクラス マップ、およびポリシーごとまたはクラス マップごとのドロップが表示されます。 |
show class-map type control-plane [class-map-name] |
このクラス マップにバインドされている ACL を含め、コントロール プレーン クラス マップの設定を表示します。 |
コマンドまたはアクション | 目的 |
---|
次に、CoPP 設定ステータスを表示する例を示します。
switch# show copp status
コマンドまたはアクション | 目的 |
---|
次に、CoPP をモニタする例を示します。
switch# show policy-map interface control-plane Control Plane service-policy input: copp-system-policy-default class-map copp-system-class-igmp (match-any) match protocol igmp police cir 1024 kbps , bc 65535 bytes conformed 0 bytes; action: transmit violated 0 bytes; class-map copp-system-class-pim-hello (match-any) match protocol pim police cir 1024 kbps , bc 4800000 bytes conformed 0 bytes; action: transmit violated 0 bytes; ....
Cisco NX-OS Release 7.1(1)N1(1) 以降、CoPP はシスコ クラスベースの QoS MIB(cbQoSMIB)をサポートします。CoPP 要素はすべて、SNMP を使用してモニタできるようになりました(ただし変更は不可)。この機能は、コントロール プレーンにアタッチされたポリシーとサブ要素(クラス、一致ルール、セット アクションなど)にのみ適用されます。コントロール プレーンで使用されていないポリシーの要素は、SNMP では見えません。
次の cbQoSMIB テーブルがサポートされます。
cbQoSMIB テーブルと要素の詳細情報は、次の URL で入手できます。
コマンドまたはアクション | 目的 |
---|
次に、インターフェース環境で、CoPP 統計情報をクリアする例を示します。
switch# show policy-map interface control-plane switch# clear copp statistics
ここでは、CoPP の実装に関する追加情報について説明します。
関連項目 |
マニュアル タイトル |
---|---|
ライセンス |
|
コマンド リファレンス |