シスコの合法的傍受は、RFC3924 アーキテクチャと SNMPv3 プロビジョニング アーキテクチャに基づいています。SNMPv3 は、データの送信元を認証し、ルータから仲介デバイス（MD）への接続がセキュアであることを保証する要件に対応します。これにより、認可されていないパーティが傍受のターゲットを偽造できないようにします。

合法的傍受は、次の機能を提供します。

• SNMPv3 合法的傍受プロビジョニング インターフェイス

• 合法的傍受 MIB：CISCO-TAP2-MIB バージョン 2

• CISCO-IP-TAP-MIB は、IP 用のシスコの傍受機能を管理し、CISCO-TAP2-MIB とともに IP トラフィックの傍受に使用されます。

• IPv4 ユーザ データグラム プロトコル（UDP）の MD へのカプセル化

• 傍受されたパケットの MD への複製および転送

次の図に、音声とデータの両方の傍受のための、合法的傍受トポロジでの傍受アクセス ポイントとインターフェイスを示します。

（注）	ルータは、コンテンツ傍受アクセスポイント（IAP）ルータ、または合法的傍受オペレーションにおける傍受ネットワーク要素（INE）として使用されます。 傍受制御要素（ICE）は、シスコ機器またはサード パーティ機器のいずれかになります。

合法的傍受には、次の利点があります。

• 複数の LEA が相互に知られることなく同じルータに対して合法的傍受を実行できます。

• ルータでの加入者サービスには影響しません。

• 入力と出力の両方向の傍受をサポートします。

• レイヤ 3 トラフィックの傍受をサポートしています。

• ターゲットに気付かれません。

• 簡易ネットワーク管理プロトコル バージョン 3（SNMPv3）および View-based Access Control Model（SNMP-VACM-MIB）や User-based Security Model（SNMP-USM-MIB）などのセキュリティ機能を使用して、合法的傍受情報およびコンポーネントへのアクセスを制限します。

• 合法的傍受に関する情報を、最高特権を持つユーザ以外のユーザから秘匿します。管理者は、特権ユーザが法的傍受情報にアクセスできるアクセス権を設定する必要があります。

LI はデフォルトで Cisco IOS XR イメージの一部ではないため、別途インストールする必要があります。

合法的傍受を有効化する目的で SNMPv3 を設定するには、次の手順を実行します。

合法的傍受は、グローバル LI モードで動作します。

このモードでは、タップはすべてのライン カードで入力方向に取り付けられます。合法的傍受は、QoS ピアリングが有効になっているライン カードで利用できます。グローバル タップを使用すると、入力点に関係なく、ターゲットのトラフィックを傍受できます。インターフェイス フィールドにワイルド カードを持つタップだけがサポートされています。

データは、次の方法で傍受されます。

• MD は SNMPv3 を使用して、コンテンツ IAP ルータに通信内容の傍受要求を開始します。

• コンテンツ IAP ルータは通信内容を傍受し複製して、IPv4 UDP 形式で MD に送信します。

• 傍受されたデータ セッションは、サポートされている合法的傍受の提供規格を使用して、MD から司法当局の収集機能へ送信されます。

ルータは、合法的傍受に対し次のスケーラビリティおよびパフォーマンスの値をサポートしています。

• IPv4、IPv6、または IPv4 と IPv6 の組み合わせでは、合法的傍受のタップ制限は最大 500 タップまでです。

• ポート範囲がタップで使用されている場合、スケールは減少します。

• IPv6 エントリは、IPv4 エントリのメモリを 2 倍消費します。したがって、IPv6 のスケールは IPv4 のスケールの半分に縮小されます。

• 最大 250 の IPv4 MD がサポートされます。

• 傍受率は、ラインカード NPU あたり 1 Gbps のベスト エフォートです。

ここでは、ルータでサポートされる IPv4 および IPv6 パケットの傍受の詳細について説明します。

合法的傍受のハイ アベイラビリティでは、タップ フローおよびプロビジョニングされた MD テーブルの継続的な運用を実現し、ルート プロセッサ フェールオーバー（RPFO）による情報の喪失を低減します。

ストリームの継続的な傍受を実現するには、RP フェールオーバーが検出された際に、MD が CISCO-TAP2-MIB および CISCO-IP-TAP-MIB に関連するすべての行を再プロビジョニングし、RP および MD にまたがるデータベース ビューを同期する必要があります。