グローバル構成モードの aaa tacacs+ コマンドの noconsole キーワードは、コンソール回線での TACACS+ 認証を無効にします。

configure 
  aaa tacacs+ noconsole 
  exit 

デフォルトでは、TACACS+ サーバー認証は、コンソールまたは vty 回線からのログインに対して実行されます。noconsole を有効にすると、コンソール回線のローカルデータベース認証を優先して TACACS+ 認証がバイパスされます。vty 回線では、TACACS+ は有効のままになります。

重要	aaa tacacs+ noconsole が設定されている場合は、有効なログイン情報を持つローカルユーザーがコンソールポートにログインできます。on-authen-fail stop と on-unknown-user stop が TACACS+ 構成モードでイネーブルになっている場合でも、コンソールポートにログイン可能です。ユーザーが TACACS+ ユーザーでない場合、vty 回線でログインできません。

グローバル構成モードの local-user allow-aaa-authentication コマンドの noconsole キーワードは、コンソール回線での AAA ベースの認証を無効にします。

configure 
  local-user allow-aaa-authentication noconsole 
  exit 

ローカルユーザー認証は、AAA ベースの認証と local-user allow-aaa-authentication noconsole が有効になる前に常に実行されるため、no local-user allow-aaa-authentication が設定されている場合と同じに動作します。VTY 回線には影響しません。

重要	このコマンドは、ローカルで使用されているデータベースが使用できないため、信頼できるビルドには適用されません。

グローバル構成モードで aaa tacacs+を有効にすると、TACACS+ 認証はすべてのコンテキスト（ローカルおよび非ローカル）に自動的に適用されます。一部のネットワーク展開では、特定のコンテキストに対して TACACS+ サービスを無効にすることができます。

コンテキスト内で TACACS+ サービスを無効にするには、no aaa tacacs+ コンテキスト設定コマンドを使用します。

configure 
  context ctx_name 
    no aaa tacacs+ 

以前に無効にされていたコンテキスト内で TACACS+ サービスを有効にするには、aaa tacacs+ コンテキスト設定コマンドを使用します。

重要	コンテキストレベルでサービスを選択的に無効にするには、その前に、グローバル構成モード（すべてのコンテキスト）で AAA TACACS+ サービスを有効にする必要があります。グローバルに有効になっていない場合は、コンテキストレベルで TACACS+ サービスを選択的に有効にすることはできません。

StarOS ユーザーを作成するときのセキュリティ管理者は、そのユーザーがコンソールを使用してログインするか、または VTY 回線を使用してログインするかを指定できます。グローバル構成モードの local-user username コマンドの [ noconsole | novty ] キーワードはこれらのオプションをサポートしています。

configure 
  local-user username <username> [ noconsole | novty ] 
  exit 

noconsole キーワードを指定すると、ユーザーはコンソールポートにログインできなくなります。novty キーワードを指定すると、ユーザーは SSH または telnet セッションを介してログインできなくなります。どちらのキーワードも指定されていない場合は、コンソールと VTY 回線の両方へのアクセスが許可されます。

重要	noconsole キーワードまたは novtyキーワードの使用は、新しいローカルユーザーデータベース形式でのみサポートされています。update local-user database を実行していない場合は、これらのキーワードを有効にする前に実行する必要があります。そうしないと、noconsole キーワードと novty キーワードはローカルユーザーデータベースに保存されません。システムの再起動後も、すべてのユーザーがコンソールと VTY 回線にアクセスできます。詳細については、ローカルユーザーデータベースの更新とダウングレードを参照してください。

重要	このコマンドは、ローカルで使用されているデータベースが使用できないため、信頼できるビルドには適用されません。

AAA ベースのユーザーは、通常、VTY 回線を介してログインします。ただし、一部のユーザーはコンソール回線にだけアクセスするように制限することもできます。ローカルユーザーデータベースを使用しない場合（または信頼できるビルドを実行している場合）は、他の AAA ベースのユーザーについてはコンソール回線へのアクセスを制限することでこれを行う必要があります。コンソール回線にアクセスできないすべてのレベルの管理者ユーザーに対して noconsole キーワードを有効にします。

noconsole キーワードは、次に示すコンテキスト構成モード コマンドで使用できます。

configure 
  context <ctx_name> 
    administrator <username> { encrypted | nopassword | password } noconsole 
    config-administrator <username> { encrypted | nopassword | password } noconsole 
    inspector <username> { encrypted | nopassword | password } noconsole 
    operator <username> { encrypted | nopassword | password } noconsole 
    exit 

noconsole キーワードを指定すると、コンソール回線へのユーザーアクセスが無効になります。デフォルトでは、noconsole は有効になっていないため、すべての AAA ベースのユーザーがコンソール回線にアクセスできます。

重要	local-user allow-aaa-authentication noconsole コマンドが優先されます。この場合、すべての AAA ベースのユーザーがコンソール回線にアクセスできません。

Exec モードの show configuration コマンドを使用して、認証方式の分離に関連した変更を確認できます。設定変更を保存した後、show configuration | grep noconsole および show configuration | grep novty を実行します。これらのコマンドの出力には、実行したすべての変更が示されます。

シャーシキーは、設定ファイル内の暗号化されたパスワードを暗号化および復号するために使用されます。2 つ以上のシャーシが同じシャーシキー値で設定されている場合、暗号化されたパスワードは、同じシャーシキー値を共有するシャーシのいずれかで復号できます。そのため、特定のシャーシキー値は、異なるシャーシキー値で暗号化されたパスワードは復号できません。

シャーシキーは、ファイルに保存され、設定ファイル内の機密データ（パスワードや秘密など）を保護するためのマスターキーとして使用されるシャーシ ID を生成するために使用されます。

シャーシ ID はシャーシキーの SHA256 ハッシュです。シャーシキーは、CLI コマンドまたはクイック セット アップウィザードを使用してユーザーが設定できます。シャーシ ID が存在しない場合、シャーシ ID を生成するにはローカル MAC アドレスを使用します。

ユーザーはクイック セットアップ ウィザードまたは CLI コマンドを使用して、シャーシキーを明示的に設定する必要があります。設定されていない場合、ローカル MAC アドレスを使用してもデフォルトのシャーシ ID は生成されません。シャーシキー（つまり、シャーシ ID）がない場合、機密データは保存された設定ファイルには表示されません。シャーシ ID は、ユーザーが入力したシャーシキーおよび 32 バイトのセキュアな乱数による SHA256 ハッシュ（base36 形式で暗号化）です。これにより、キーセキュリティを得るためにシャーシキーとシャーシ ID には 32 バイトのエントロピーが確保されます。

シャーシ ID を使用できない場合、設定ファイル内の機密データの暗号化と復号は機能しません。

ポートの自動リカバリ機能を設定できます。ポート障害が発生し、優先ポートがサービスに戻された場合（リンクが稼働している場合）、制御が自動的にそのポートに戻されます。デフォルトでは、ポートは非リバーティブ状態になっています。これは、ポートが優先されないことを意味します。元のポートへの使用を戻すには、手動のポートスイッチが必要です。

重要	この機能は、（preferred slot キーワードを介して）ポート単位で適用されます。これにより、個々の MIO カードで使用する特定のポートを設定することができます。たとえば、スロット 5 の MIO/UMIO の優先ポートとしてポート 10 ～ 19 を設定し、スロット 6 の MIO/UMIO の優先ポートとしてポート 20 ～ 29 を設定できます。

次の例を使用して、復元する優先ポートを設定し、問題が解消された場合のサービスへの自動復帰を設定します。

configure 
   port ethernet slot#/port# 
      preferred slot slot# 
      end 

「設定の確認と保存」の章の説明に従って、設定を保存します。

設定が正しかったことを確認します。次のコマンドを入力します。

show card table 

アクティブにしたすべての DPC/UDPC または DPC2/UDPC2 の動作ステータスが [Active] になっている必要があります。

論理ポートの設定（VLAN およびバインド）は、LAG のマスターポートで定義されます。カードの削除や障害が原因でマスターポートが削除された場合、使用可能な冗長マスターポートがない限り、別のメンバーポートがマスターポートになります（結果として、VPN バインドの変更および停止が発生します）。

重要	VPN バインドに対して VLAN を作成できるマスターポートは、常にアクティブ/マスター MIO/UMIOで設定する必要があります。スロット 5 の MIO/UMIO とスロット 6 の MIO/UMIO の間の冗長性により、両方のポートが自動的にマスターになり、同じ VLAN が設定されてアクティブになります。

LAG 内のすべてのポートは、特定のアクティブポート数または帯域幅のしきい値を超えたときに、別の MIO/UMIO に自動切り替えできます。

この機能は、MIO 上のサブスクライバ トラフィック ポートをイーサネットスイッチ上のポートに接続します。ポート障害/スイッチは、指定されたしきい値を超えたときに、LAG 内のすべてのポートを他の MIO/UMIOに切り替えるよう強制します。これは、ポートの冗長性を得るために自動スイッチ機能と同様に動作します。LACP は ASR 5500 とイーサネットスイッチの間で動作し、正常性ステータスなどの情報に関連する部分を交換します。

次の表に、MIO/UMIO カードの一般的な LAG 機能の概要を示します。

MIO/UMIO//MIO2 リンク集約は、同じ MIO/UMIO/MIO2 上のドーターカードポート間で行われます。

集約グループ内の 1 つのポートがマスターとして設定されるため、集約グループ内のすべてのトラフィック（制御トラフィックを除く）が論理的にこのポートを通過します。LAG を有効にするときは、まずマスターポートでリンク集約を設定し、LAG を無効にするときにマスターポートの設定を解除することを推奨します。

次のコマンドは、マスターとしてポート slot#/port# を使用して、リンクアグリゲーショングループ N を作成します。1 つのグループに対して許可されるマスターポートは 1 つだけです。N は [1 ～ 255] の範囲内である必要があります。

configure 
   port ethernet slot#/port# 
      link-aggregation master group N 
      exit 

重要	Link Aggregation Control Protocol（LACP）は、マスターポートが有効になっている場合にのみ実行を開始します。

マスターポートが割り当てられている場合にのみ、リンクアグリゲーショングループ番号 N のメンバとしてポートを追加するには、次のコマンドを使用します。それ以外の場合は、マスターポートが割り当てられたときにグループに追加されます。

   port ethernet slot#/port# 
      link-aggregation member group N 
      exit 

重要	VPN はマスターポートのみをバインドでき、VLAN はマスターポートでのみ作成できます。リンク集約メンバポートにバインドしようとすると、エラーメッセージが生成されます。

リンクアグリゲーションに参加する各システムには、2 バイトのプライオリティ（最小番号 [0] が最も高いプライオリティを持つ）と、最初のポートの MAC アドレスから取得した 6 バイトの MAC アドレスで構成される一意のシステム ID があります。次のコマンドは、システム ID を形成するために使用されるシステムプライオリティを設定します。P は、[0x0000..0xFFFF] の 16 進数です。デフォルトは 0x8000 です。

   card slot# 
      link-aggregation system-priority P 

システム内のポートにはキーが割り当てられています。グループ番号は、キーに直接マッピングされ、同じキーを持つポートだけを集約できます。リンクの両側のポートは、異なるアグリゲーションキーを使用します。

2 つのピアのシステム ID、ポートキー、およびポート ID は、リンクアグリゲーショングループ識別子（LAGID）を形成します。同じ LAGID を持つリンクを集約できます。システムは、最初に各ポートを独自の集約（ポートごとに個別のキーを必要とする）、または同じ集約内のすべてのポート（すべてのポートに対して 1 つのキー）で設定することがよくあります。LACP によるネゴシエーションでは、実際の集約が適用されます。

システムは、システム ID、ポートキー、およびポート ID に関する情報を、LACP を使用して物理リンクを介してピアと交換します。

LACP パケットは、低速プロトコル形式で定義されます。各システムは、自身の（「アクター」）情報と、そのピア（「パートナー」）に関する最後に受信した情報を、物理リンクを介して送信します。

LACP パラメータを設定するには、次のコマンドを使用します。LACP は、アクティブモードで動作して LACP パケットを定期的に送信するか、またはパッシブモードで、受信した LACP パケットにのみ応答することができます。

LACP は、auto（30s）または fast（1s）レートのいずれかでパケットを送信できます。このリリースのデフォルトは、[Active] と [Auto) です。次の設定例を参照してください。

config 
   port ethernet slot#/port# 
      link-aggregation lacp { active | passive } [ rate { auto | fast } | timeout { long | short } ] 

ピアは、状態が変化したとき、または受信した LACP パケットから自身の状態に関する差異が検出された場合に、LACP パケットを送信します。

MIO/UMIO 冗長ペアの対応するポートは、同時にアクティブにすることはできません。冗長ポートは同じ MAC アドレスを共有するため、フェールオーバーが解決されると、元のポートはリンクアグリゲーショングループに再参加します。

最小リンクオプションでは、集約に使用可能な最小数のリンクがある場合にのみ、リンク集約グループ（LAG）が作動状態（使用可能）になることを指定します。これにより、最小量の帯域幅が使用可能であることが保証されます。

この機能を有効にした場合、LAG 内のリンクの数が設定された最小リンク値を下回ると LAG は使用できなくなります。現在アクティブなバンドル内のリンク数が設定された最小リンク値を下回ると、別の LAG バンドルへのスイッチオーバー（使用可能な場合）が自動的に発生します。

この機能を有効にするには、グローバル構成モードの link-aggregation コマンド内に min-link キーワードオプションを使用します。

configure 
   port ethernet slot/port 
      link-aggreagation master ( global | group } number 
         min-link number_links 
         end 

L2 冗長性では、グループ全体で使用するために、マスターポートで次のオプションを設定します。

link-aggregation redundancy standard [hold-time sec ] [preferred slot { card_number | none }  

標準の冗長性では、グループ内のすべてのカードが 1 つのグループとして扱われます。

LAG に異なるスイッチにそれぞれ接続するポートセットが 2 つ含まれている場合、オペレータはポートを切り替えるときに、（接続先スイッチに接続されている）スロット/ポートを指定できます。

Exec モードの link aggregation port switch to slot/port コマンドは、このオプションを設定します。slot/port は、接続先スイッチに接続されている有効なポートです。このオプションの設定には、次の基準が適用されます。

LAG は、両方の MIO/UMIO カードのポートが同じスイッチに接続されている非冗長モードで展開できます。

次の図に示すように、両方のカードで使用されている LAG 内のすべてのポートは、非冗長モード（アクティブ/アクティブ）で機能します。

上記の設定では、単一のプライマリ LAG があります。すべてのポートは、トラフィックを分散するポートの単一のバンドルとして機能します。

重要	イーサネット ポート構成モードの shutdown コマンドを使用して、この LAG 設定で MIO/UMIO カードのいずれかのポートをシャットダウンする場合、デフォルトでは、他の MIO/UMIO カードのペアリングされたポートもシャットダウンされます。Exec モードの port { disable | enable } ethernet slot/port コマンドを使用して、この LAG 設定で MIO/UMIO のポートを選択的に無効にすることができます。

重要	この動作モードでは、自動の ASR 5500 ポートの冗長性が失われます。

冗長性を実現するには、2 つ目の非冗長 LAG を設定する必要があります。ECMP（等コストマルチパス）のルーティングなど上位層のロード バランシング メカニズムを使用して、2 つの LAG グループにトラフィックを均等に分散させることができます。

1 つの MIO/UMIO に障害が発生した場合、両方の LAG グループからの半分のポートが、他の MIO/UMIO からのトラフィックの流通に使用できるようになります。

2 番目の LAG グループの設定は必須ではありませんが、このモードの LAG で冗長性を実現するための通常のアプローチです。

ただし、集約ポートがキャパシティの 50% を超えてロードされ、MIO/UMIO の障害とスイッチオーバーが発生した場合、ASR 5500 で設定されたポート容量がオーバーサブスクライブされ、不確定な数量のセッションがドロップされ、トラフィックが失われます。

グローバル構成モードの fast-data-plane-convergence コマンドを使用すると、アグレッシブ MicroBFD タイマーを使用したアクティブ/アクティブ LAG 設定での既存のセッションを迅速にリカバリできます。この機能は、アクティブ/スタンバイ LAG 設定で有効にすることができますが、スイッチオーバー時間の短縮は保証できません。

この機能により、外部スイッチでの障害の誤検出と、別の ASR 5500 での誤検出 ICSR フェールオーバーがなくなります。

configure 
  fast-data-plane-convergence 

重要

アクティブ/アクティブ LAG グループは、アグレッシブ microBFD タイマー（150 * 3 など）とともに設定する必要があります。MIO カードのリカバリ時に、BGP セッションが設定に基づいてフラップする場合があります。これらのイベント時のトラフィック損失を回避するには、適切なホールド/キープアライブタイマーと再起動タイマーを使用して BGP グレースフルリスタートを設定する必要があります。『Command Line Interface Reference』の「BGP Configuration Mode Commands」の章に記載されている bgp graceful-restart コマンドの説明を参照してください。

リンク集約のステータスを確認するには、次のコマンドを使用します。

show port table コマンドの出力で LAG の物理ポートのステータスを表示するには、1 文字を使用します。次の表を参照してください。

DPC/UDPC または DPC2/UDPC2、または MIO/UMIO をデマルチプレクサカードとして指定すると、セッション処理のためのリソースが解放され、システムのスループットが向上する可能性があります。ただし、他のシステムリソースの制限により、サブスクライバの総キャパシティのサポートが増加することはありません。

この機能はデフォルトでは無効になっていますが、グローバル構成モードの require demux を使用して有効にすることができます。これは、限られた数の製品でのみサポートされています。詳細については製品のアドミニストレーションガイドを参照してください。

また、この機能をサポートするには、グローバル構成モードの require session recovery コマンドを使用してセッションリカバリを有効にする必要もあります。

重要	デマルチプレクサカードとセッションリカバリを有効にした後にこの機能を有効にするには、設定を保存し、ASR 5500 を再起動する必要があります。

MIO/UMIO がデマルチプレクサカードとして機能するようにすると、show card table コマンドの出力に示すように、セカンダリ MIO/UMIO の新しいステータスに移行します。

注意	MIO/UMIO 機能でデマルチプレクサを有効にすると、システム内のリソース割り当てが変更されます。これは、ICSR 設定内の StarOS バージョン間のアップグレードまたはダウングレードに直接影響を与えます。ICSR 展開をアップグレードまたはダウングレードする前に、Cisco TAC に連絡して手順についてのサポートを受けてください。

MIO/UMIO を demux カードとして有効にする場合は、次の制約事項が適用されます。

• サービスまたはコンテキストがシステム上で作成される前に、require demux management-card コマンドを設定する必要があります。このコマンドは、シャーシに対して動作モードが選択された後は実行されません。

• 現在、demux 機能の MIO/UMIO カードの指定をサポートしているのは、次のサービスのみです。ePDG（StarOS リリース 21.2 以降）、GGSN、 HeNBGW（StarOS リリース 21.2 以降、SaMOG（StarOS リリース 21.2 以降）、SGW、PGW、HA、SAE-GW、および L2TP LNS. これらのサービスは、コンシューマゲートウェイとして展開されている場合にのみサポートされます。

• SGSN、MME、HNBGW、HeNBGW（StarOS リリース 21.1 以前）、SaMOG（StarOS リリース 21.1 以前）、 PDG、PDIF、ePDG（StarOS リリース 21.1 以前）、IPSG、PDSN、HSGW、L2TP LAC、NEMO、FA、および WSG はサポートされていません。企業ゲートウェイまたは社内ゲートウェイ（GGSN、HA、PGW など）もサポートされていません。

• 多数のトンネルを必要とする設定については、MIO/UMIO で demux 機能を有効にしないでください。

• MIO/UMIO で実行されている demux 機能を使用して ASR 5500 を起動した後、サポートされていないサービスを設定することはできません。最大 8 つの Demux マネージャがサポートされます。8 つを超える Demux マネージャを追加しようとすると、すべてブロックされます。

• 多数の VPN マネージャ、VRF、および/または Demux マネージャを必要とするサービスや製品では、MIO/UMIO で Demux 機能を有効にしないでください。

• MIO/UMIO で実行されている demux 機能では、ASR 5500 は最大 10 のコンテキスト、コンテキストごとに 64 のインターフェイス、およびシステムごとに 250 の VRF をサポートします。

• ICSR のアップグレードには、互換性のある設定と Method of Procedure（MOP）が必要です。

この機能を実装するには、CEPS（1 秒あたりのコールイベント）とサブスクライバの数が一定のままで、データレートだけが増加することを前提としています。これにより、CPU 要求が MIO/UMIO で増加しないことが保証されます。

（注）	demux カードのバックグラウンドでプロセスのクラッシュが発生した場合、カードの計画済み移行または未計画の移行が失敗します。

重要	MIO/UMIO 機能の Demux を有効にする場合のシステム設定への影響を評価する際に追加のサポートが必要な場合は、Cisco TAC にお問い合わせください。

DPC/UDPC を demux カードとして設定するには、次の CLI コマンドを入力します。

config 
  require demux processing-card 
  end 

DPC/2UDPC2 を demux カードとして設定するには、次の CLI コマンドを入力します。

config 

  require demux processing-card 

  end 

MIO/UMIO を demux カードとして設定するには、次の CLI コマンドを入力します。

config 

  require demux management-card 

  end