[index] CentreCOM 8700SLシリーズ コマンドリファレンス 2.9

# スイッチング/ポート

      - ポートの指定方法
      - 基本コマンド
      - ポートトランキング
      - ポートミラーリング
       - 基本設定
       - ハードウェアIPフィルターによるミラーリング
      - ポートセキュリティー
      - パケットストームプロテクション
      - ループガード
       - LDF検出
        - 併用可能な機能と注意事項
      - ポート帯域制限機能
      - トリガー

本製品のスイッチポートは、ご購入時の状態ですべてイネーブルに設定されており、互いに通信可能な状態にあります。スタンドアローンのレイヤー2スイッチとして使うのであれば、特別な設定は必要ありません。設置・配線を行うだけで使用できます。

ポートの指定方法

スイッチポートに対する設定コマンドには、複数のポートを一度に指定できるものがあります。以下、指定するときの例を示します。
■ 1つのポートを指定

`ENABLE SWITCH PORT=2 ↓`

■ 連続する複数のポートをハイフンで指定

`ADD VLAN=black PORT=3-7 ↓`

■ 連続していない複数のポートをカンマで指定

`SHOW SWITCH PORT=2,4,8 ↓`

■ カンマとハイフンの組み合わせで指定

`SHOW SWITCH PORT=2,4-7 ↓`

■ すべてのポートを意味する特殊なキーワードALLを指定

`RESET SWITCH PORT=ALL COUNTER ↓`

基本コマンド

スイッチポートに対して操作を行う基本的な設定コマンドを紹介します。詳細はコマンドリファレンスをご覧ください。
■ ポートをイネーブルにするにはENABLE SWITCH PORTコマンドを使います。

`ENABLE SWITCH PORT=8 ↓`

■ ポートをディセーブルにするにはDISABLE SWITCH PORTコマンドを使います。

`DISABLE SWITCH PORT=8 ↓`

■ ポートの通信モード（通信速度とデュプレックスモード）を変更するにはSET SWITCH PORTコマンドのSPEEDパラメーターを使います。デフォルトはAUTONEGOTIATE（オートネゴシエーション）です。

`SET SWITCH PORT=2 SPEED=100MHALF ↓`

■ 強制的にオートネゴシエーションを行わせるにはACTIVATE SWITCH PORT AUTONEGOTIATEコマンドを使います。通信モードがAUTONEGOTIATEのポートでのみ有効です。

`ACTIVATE SWITCH PORT=8 AUTONEGOTIATE ↓`

■ ポートをハードウェア的にリセットするにはRESET SWITCH PORTコマンドを使います。

`RESET SWITCH PORT=3,6 ↓`

■ ポートの状態を確認するにはSHOW SWITCH PORTコマンドを使います。

`SHOW SWITCH PORT ↓`

■ ポートの送受信統計を見るにはSHOW SWITCH PORT COUNTERコマンドを使います。

`SHOW SWITCH PORT=4 COUNTER ↓`

■ ポートの統計カウンターをクリアするにはRESET SWITCH PORTコマンドにCOUNTERオプションをつけて実行します。COUNTERオプションをつけないと、ポートがハードウェア的にリセットされてしまうので注意してください（カウンターもクリアされる）。

`RESET SWITCH PORT=ALL COUNTER ↓`

ポートトランキング

ポートトランキングは複数の物理ポートを束ねてスイッチ間の帯域幅を拡大する機能です。束ねたポートはトランクグループと呼ばれ、論理的に1本のポートとして扱われます。また、トランクグループ内のポートに障害が発生しても残りのポートで通信が継続できるため、信頼性の向上にも貢献します。

> Note - 本製品はトランクグループを動的に設定するLACP（IEEE 802.3ad Link Aggregation Control Protocol）にも対応しています。LACPについては、「スイッチング」/「LACP（IEEE 802.3ad）」をご覧ください。

本製品ではトランクグループを6つまで作成できます。それぞれのトランクグループには、最大8ポートまで所属させることが可能です。ポートは隣接していなくてもかまいません。ただし、同一グループ内に10/100Mポートと1000Mポートを混在させることはできません。
ポートトランキングを使用するために最低限必要な設定について説明します。ここでは、ポート1〜4を束ねて使用するものとします。

1. トランクグループ「aggr1」を作成します。グループ名は自由につけられますが、「LACP」で始まる名前は、LACP（Link Aggregation Control Protocol）によって自動生成されたトランクグループ用に予約されているため使用できません。

   `CREATE SWITCH TRUNK=aggr1 ↓`
2. トランクグループにポートを追加します。束ねるポートはこの時点で同じVLANに所属していなくてはなりません。

   `ADD SWITCH TRUNK=aggr1 PORT=1-4 ↓`

基本設定は以上です。

> Note - 8748SLでは、1000Mポートのトランキングはできません（8724SLは可能）。

> Note - 8748SLでは、トランクグループがポートグループ「1〜24」と「25〜48」をまたぐような設定はできません。トランクポートが「1〜24」または「25〜48」のどちらかのポートグループにすべて入るよう設定してください。

> Note - トランクグループの所属ポートは、すべて同一のVLAN設定である必要があります。すべての所属ポートは、同一VLANの所属で、同一のタグ設定（TAGGEDかUNTAGGED）にする必要があります。VLANへの追加・削除は、トランクグループの所属ポートすべてを一単位として行ってください。所属ポートのタグ設定を変更するときも同様です。

> Note - トランクグループは、すべて同一メディアタイプのポートで構成してください。たとえば、トランクグループ内に1000BASE-SXポートと1000BASE-LXポートを混在させるような構成はサポート対象外です。

> Note - トランクグループにポートを追加したあとで、グループ全体あるいはグループ内のポートを所属VLANから削除することはできません。VLANから削除するには、DELETE SWITCH TRUNKコマンドを使ってあらかじめポートをトランクグループから外しておく必要があります。トランクグループにポートを割り当てた後で、別のVLANにグループ全体あるいはグループ内のポートを追加することは可能です。

> Note - ポートトランキングの設定は、トランクポートによって接続される両方のスイッチで行う必要があります。

> Note - ポートトランキングとポート認証は併用できません（トランクポートではポート認証を使用できません）。

■ トランクグループの情報はSHOW SWITCH TRUNKコマンドで確認できます。

`SHOW SWITCH TRUNK=aggr1 ↓`

■ 送信時のポート選択基準はCREATE SWITCH TRUNKコマンド、SET SWITCH TRUNKコマンドのSELECTパラメーターで指定できます。次の例ではトランクグループ「aggr1」のポート選択基準を、送信元MACアドレスに変更しています。デフォルトでは、送信元MACアドレスと宛先MACアドレスの両方（MACBOTH）を使って、トランク内のどのポートを使用するかが決定されます。

`SET SWITCH TRUNK=aggr1 SELECT=MACSRC ↓`

■ ルーティング後トランクグループから送信されるIPパケットの送出ポートは、SELECTパラメーターの設定とは関係なく、常に終点IPアドレス（IPDEST）に基づいて決定されます（負荷分散されます）。

> Note - ただし、8748SLでは、受信ポートとトランクポートがポートグループ「1〜24」と「25〜48」をまたいだ場合（たとえば、受信ポート（VLAN1とします）がポート47で、トランクポート（VLAN2とします）がポート1〜4の場合）、トランクポートから送信されるパケットの負荷分散が行われません（冗長機能は動作します）。

> Note - ソフトウェアルーティングされたパケットは負荷分散の対象になりません。

■ フラッディングパケットは、トランクグループ内で一番最初にリンクが確立されたポートから送出されます。
■ トランクグループに追加されたポートの通信モードは、SPEEDパラメーターで指定した速度のオートネゴシエーション（AUTONEGOTIATE）となります。個別ポートの設定はトランクグループに参加した時点で上書きされますが、内部的には保持されており、グループから抜けると元の設定に戻ります。
■ トランクグループからポートを削除するにはDELETE SWITCH TRUNKコマンドを使います。

`DELETE SWITCH TRUNK=aggr1 PORT=4 ↓`

■ トランクグループを削除するにはDESTROY SWITCH TRUNKコマンドを使います。所属ポートがあるときは削除できません。その場合は、先にDELETE SWITCH TRUNKコマンドで所属ポートを削除してください。

`DELETE SWITCH TRUNK=aggr1 PORT=ALL ↓
DESTROY SWITCH TRUNK=aggr1 ↓
`

ポートミラーリング

ポートミラーリングは、特定のポートを通過するトラフィックをあらかじめ指定したミラーポートにコピーする機能です。パケットを必要なポートにだけ出力するスイッチではパケットキャプチャーなどが困難ですが、ポートミラーリングを利用すれば、任意のポートのトラフィックをミラーポートでキャプチャーすることができます。
また、ハードウェアIPフィルターを併用することで、IP/TCP/UDPヘッダー情報をもとに特定のトラフィックだけをミラーポートにコピーするよう設定することも可能です。
なお、ポートミラーリング機能の仕様は以下のようになっています。

- L3スイッチング（ハードウェアルーティング）されるIPパケット（ハードウェアIPフィルターによってミラーリングされたパケットを含む）は、すべてタグ付き状態でミラーポートに出力されます。
- L3スイッチング（ハードウェアルーティング）されるIPパケットは、ルーティング処理後にミラーポートから出力されます。
- ソースポートを複数設定している場合で、かつソースポートにタグ付きとタグなしが混在している場合、送信パケットはすべてタグなし状態でミラーポートに出力されます。
- ソースポートを複数設定している状態で、あるソースポートから入力されたパケットが、L2スイッチングされて別のソースポートから出力された場合、ミラーポートにはパケットが1個だけ出力されます。
- ソースポートを複数設定している状態で、あるソースポートから入力されたパケットが、L3スイッチング（ハードウェアルーティング）されて別のソースポートから出力された場合、ミラーポートにはルーティング処理後のパケットが1個だけ出力されます。
- ソースポートを複数設定している状態で、あるソースポートから入力されたパケットが、ソフトウェアルーティングされて別のソースポートから出力された場合、ミラーポートにはルーティング処理前のパケットとルーティング処理後のパケットの両方が出力されます。また、ルーティング処理後のパケットは、実際の出力ポートのタグ設定にかかわらず、つねにタグなし状態でミラーポートに出力されます。

基本設定

ここではポート1をミラーポートに設定し、ポート5から送受信されるトラフィックがミラーポートにコピーされるようにします。

1. ミラーポートを指定します。指定できるのはVLAN default所属のポートだけです。ミラーポートに指定したいポートがVLAN default以外に所属している場合は、最初に現在所属のVLANから削除しVLAN defaultの所属に戻した上で、SET SWITCH MIRRORコマンドを実行します。

   `DELETE VLAN=somevlan PORT=1 ↓`
   SET SWITCH MIRRORコマンドを実行すると、指定ポートはミラーポートとして設定され、どのVLANにも属していない状態となります。

   `SET SWITCH MIRROR=1 ↓`
   すでにミラーポートとして設定されているポートがあった場合、本コマンド実行によりそのポートはVLAN default所属のタグなしポートとなります。

   > Note - トランクグループに参加しているポートをミラーポートに設定することはできません。

   > Note - ミラーポートに設定されたポートは通常のスイッチポートとしては機能しません。

2. ポートミラーリング機能を有効にします。

   `ENABLE SWITCH MIRROR ↓`
3. ソースポートとトラフィックの向きを指定します。ここではポート5から送受信されるトラフィックをミラーポートにコピーします。

   `SET SWITCH PORT=5 MIRROR=BOTH ↓`

   > Note - 複数のポートをミラーしたいときは、SET SWITCH PORTコマンドを複数回実行してください。ただし、ミラーリング対象ポートを増やすことはパフォーマンス低下につながりますのでご注意ください。また、複数のソースポートを指定した場合で、かつ指定ポートにタグ付きとタグなしが混在している場合、送信パケットはすべてタグなしとしてミラーリングされます。

設定は以上です。
■ ポートミラーリングの設定を確認するにはSHOW SWITCHコマンドを実行します。ミラーポートはSHOW VLANコマンドの「Mirror Port」欄でも確認できます。また、ソースポートとミラー対象トラフィックはSHOW SWITCH PORTコマンドの「Mirroring」欄でも確認できます。
■ ポートミラーリング機能を無効にするにはDISABLE SWITCH MIRRORコマンドを実行します。

`DISABLE SWITCH MIRROR ↓`

■ ミラーポートの設定を解除するにはSET SWITCH MIRRORコマンドにNONEを指定します。設定を解除されたポートはVLAN default所属のタグなしポートに戻ります。

`SET SWITCH MIRROR=NONE ↓`

■ ソースポートでのミラーリングをやめるにはSET SWITCH PORTコマンドのMIRRORパラメーターにNONEを指定します。

`SET SWITCH PORT=5 MIRROR=NONE ↓`

■ ミラーポートに設定されたポートは通常のスイッチポートとしては機能しません。SET SWITCH MIRRORコマンドを実行した時点で、ミラーポートはいずれのVLANにも所属していない状態となります。

ハードウェアIPフィルターによるミラーリング

ポートミラーリング機能とハードウェアIPフィルターを併用すると、IPアドレスやTCP/UDPのポート番号を基準に、特定のIPトラフィックだけをミラーポートに送るよう設定することができます。
なお、仕様によりハードウェアIPフィルター経由でミラーリングされたパケットは、VLANタグが付いた状態でミラーポートに出力されます。キャプチャーソフトがVLANタグを識別できない場合、IPパケットがプロトコルタイプ0x8100（802.1Qタグ）として表示される場合がありますのでご注意ください。
ここでは、ハードウェアIPフィルターを使って、サーバー192.168.10.5に出入りするIPトラフィックだけをミラーポート（ポート1）にコピーする設定例を示します。

1. ミラーポートを指定します。指定できるのはVLAN default所属のポートだけです。ミラーポートに指定したいポートがVLAN default以外に所属している場合は、最初に現在所属のVLANから削除しVLAN defaultの所属に戻した上で、SET SWITCH MIRRORコマンドを実行します。

   `DELETE VLAN=somevlan PORT=1 ↓`
   SET SWITCH MIRRORコマンドを実行すると、指定ポートはミラーポートとして設定され、どのVLANにも属していない状態となります。

   `SET SWITCH MIRROR=1 ↓`
   すでにミラーポートとして設定されているポートがあった場合、本コマンド実行によりそのポートはVLAN default所属のタグなしポートとなります。

   > Note - トランクグループに参加しているポートをミラーポートに設定することはできません。

   > Note - ミラーポートに設定されたポートは通常のスイッチポートとしては機能しません。

2. ポートミラーリング機能を有効にします。

   `ENABLE SWITCH MIRROR ↓`
3. ミラーリングするパケットの条件を指定するため、ハードウェアIPフィルターを作成します。ここでは2つのフィルターを作成し、マッチ条件としてそれぞれ始点IPアドレスと終点IPアドレスを指定します。

   `ADD SWITCH L3FILTER MATCH=SIPADDR SCLASS=HOST ↓
   ADD SWITCH L3FILTER MATCH=DIPADDR DCLASS=HOST ↓
   `
4. 各フィルターにフィルターエントリーを追加して、実際のフィルタリング条件を指定します。ここでの対象パケットは「192.168.10.5（サーバー）が始点となるIPパケット」と「192.168.10.5が終点となるIPパケット」であり、対象パケットに対するアクションは「SENDMIRROR（ミラーポートに送る）」となります。

   `ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.5 ACTION=SENDMIRROR ↓
   ADD SWITCH L3FILTER=2 ENTRY DIPADDR=192.168.10.5 ACTION=SENDMIRROR ↓
   `

設定は以上です。
■ ミラーリング対象パケットに対して他のアクション（TOS優先度書き換え、プライオリティータグ付与など）を並行して適用したい場合は、手順4のACTIONパラメーターにカンマ区切りで複数のアクションを指定してください。

`ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.5 PRIORITY=7 ACTION=SENDMIRROR,SETPRIORITY ↓
ADD SWITCH L3FILTER=2 ENTRY DIPADDR=192.168.10.5 PRIORITY=7 ACTION=SENDMIRROR,SETPRIORITY ↓
`

このように同一エントリーで複数のアクションを指定せず、別のエントリーで他のアクションを指定すると、エントリー番号の大きいエントリー（通常あとから追加したエントリー）で指定されたアクションだけが適用されます。たとえば、上記の手順1〜5を実行したあとで下のコマンドを入力すると、プライオリティー付与だけが行われミラーポートへの出力は行われなくなります。

`ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.5 PRIORITY=7 ACTION=SETPRIORITY ↓
ADD SWITCH L3FILTER=2 ENTRY DIPADDR=192.168.10.5 PRIORITY=7 ACTION=SETPRIORITY ↓
`

また、一致するエントリーにDENYアクションが含まれている場合は、エントリーの順序に関係なくDENYアクション（破棄）が実行されます。これはハードウェアIPフィルターの仕様です。
ハードウェアIPフィルターの詳細については、「ハードウェアIPフィルター」をご覧ください。

ポートセキュリティー

ポートセキュリティーは、MACアドレスに基づき、ポートごとに通信を許可するデバイスを制限する機能です。許可していないデバイスからパケットを受信したときには、パケットを破棄する、SNMPトラップを上げるなどのアクションを実行させることができます。
本機能は、SET SWITCH PORTコマンドのLEARNパラメーターで、ポートごとに学習可能なMACアドレス数の上限（1〜256個）を設定することによって有効になります。学習済みのMACアドレスが制限値に達すると、それ以降に受信した未学習の送信元MACアドレスを持つパケットを不正なものとみなし、あらかじめ指定されたアクションを実行します。
アクションには次の種類があります（SET SWITCH PORTコマンドのINTRUSIONACTIONパラメーターで指定）

表 1
アクション名 | 動作
DISCARD | 不正なパケットを破棄する。
TRAP | 不正なパケットを破棄し、SNMPトラップを送信する（トラップは各MACアドレスに対して最初の一回だけ送信）。
DISABLE | 不正なパケットを破棄し、SNMPトラップを送信した後、該当ポートをディセーブルにする。

> Note - ポートセキュリティーとVRRPの併用は可能ですが、VRRPパケットを送受信するポートではポートセキュリティーを有効にしないでください。有効にすると、VRRPが正しく動作しないことがあります。

■ ポートに学習可能なMACアドレスの最大数と不正パケット受信時のアクションを設定するには、SET SWITCH PORTコマンドを使います。たとえば、ポート3のMACアドレス学習数の上限を20個、アクションをDISABLEに設定するには次のようにします。

`SET SWITCH PORT=3 LEARN=20 INTRUSIONACTION=DISABLE ↓`

SET SWITCH PORTコマンドでLEARNパラメーターを設定すると、すでに同ポートで学習していたアドレスエントリー（ダイナミックエントリー）がフォワーディングデータベースから削除され、エントリーなしの状態からアドレス学習が開始されます。
上限が設定されているときに学習したMACアドレスの扱いは、SET SWITCH PORTコマンドのRELEARNパラメーターの設定によって異なります。

- RELEARNパラメーターがONのとき（ダイナミックポートセキュリティー）、学習したMACアドレスはダイナミックMACアドレスとして扱われ、エージングによって削除されます（Dynamic Limitedモード）。
- RELEARNパラメーターがOFFのとき（通常のポートセキュリティー）は、学習したMACアドレスはスタティックMACアドレスとして扱われ、エージングによって削除されません（Limitedモード）。

> Note - ポートセキュリティーが有効なポートでは、ポート認証を使用できません。

デフォルトでは、RELEARNパラメーターはOFFで、学習したMACアドレスはスタティックMACアドレスとして扱われ、エージングによって削除されません。
学習アドレス数が上限に達すると、それ以降に受信した未知のアドレスからのパケットは「不正」なものと見なされ、INTRUSIONACTIONで指定したアクションが実行されます。
たとえば、アクションが「DISABLE」に設定されているときに不正パケットを受信すると、トラップ送信とポートのディセーブルが実行され、コンソール画面に次のように表示されます。

    Manager >
    Intrusion TRAP for 00-05-02-69-a0-49 port 3

    Intrusion event.  Disabling port 3

■ 学習済みのアドレスを確認するには、SHOW SWITCH FILTERコマンドを使います。ポートセキュリティーがオンのポートで学習されたアドレスは、Source欄に「learn」と表示されます。

`SHOW SWITCH FILTER ↓
SHOW SWITCH FILTER PORT=3 ↓
`

■ ポートセキュリティーの設定状況はSHOW SWITCH PORTコマンドで確認できます。「Learn limit」欄には現在設定されている上限が、「Intrusion action」欄には不正フレーム受信時のアクションが表示されます。また、「Current learned, lock state」欄には、現在までに学習したアドレスの数と、ポートがロック（これ以上学習しない状態のこと）されているかどうかが表示されます。「Relearn」欄には、LEARNパラメーターを設定した場合に、学習したMACアドレスがエージングの対象であるかどうかが表示されます。

`SHOW SWITCH PORT ↓
SHOW SWITCH PORT=3 ↓
`

■ 不正とみなされたMACアドレスはSHOW SWITCH PORT INTRUSIONコマンドで確認できます。

`SHOW SWITCH PORT INTRUSION ↓
SWOW SWITCH PORT=3 INTRUSION ↓
`

■ 学習済みアドレス数が上限に達する前に手動でポートをロックするにはACTIVATE SWITCH PORT LOCKコマンドを使います。あらかじめSET SWITCH PORTコマンドで上限とアクションを設定した上で、ポートをロックします。

`SET SWITCH PORT=ALL LEARN=256 INTRUSIONACTION=DISCARD ↓
ACTIVATE SWITCH PORT=ALL LOCK ↓
`

■ ポートセキュリティーがオンのポート（学習可能アドレスに上限が設定されているポート）に対して、通信を許可するアドレスを手動登録するには、ADD SWITCH FILTERコマンドにLEARNオプションを付けて実行します。すでに上限に達している場合であっても、本コマンドで手動追加した場合は上限値が引き上げられます。

`ADD SWITCH FILTER DESTADDR=00-00-f4-88-88-88 PORT=3 ACTION=FORWARD LEARN ↓`

> Note - LEARNオプションを付け忘れると通常のスタティックエントリーとなり、ポートセキュリティー機能における「学習済みアドレス」としてはカウントされませんのでご注意ください。

■ スタティックエントリーの削除はDELETE SWITCH FILTERコマンドで行います。ENTRY番号はSHOW SWITCH FILTERコマンドで確認してください。

`DELETE SWITCH FILTER ENTRY=3 PORT=3 ↓`

■ ポートのロックを解除する、あるいはポートセキュリティー機能をオフにするには、SET SWITCH PORTコマンドでアドレス学習の上限値（LEARNパラメーター）に0（無制限）を設定します。ポートセキュリティーがオンのときに学習されたエントリーは、システムの再起動とともにデータベースから削除されます。

`SET SWITCH PORT=3 LEARN=0 ↓`

■ ポートセキュリティー機能のアクションによってディセーブルにされたポートはENABLE SWITCH PORTコマンドではイネーブルに戻せません。この場合は、SET SWITCH PORTコマンドのLEARNパラメーターに0を指定してポートセキュリティーをオフにすると、イネーブルに戻ります。

    Manager > enable switch port=3

    Error (387312): Port 3 has been disabled by the Port Security feature.

> Note - RELEARNパラメーターがONのときは、学習アドレス数がいったん上限に達しても、エージングにより再度上限を下回ることがありますが、INTRUSIONACTIONにDISABLEを指定した場合は、学習アドレス数が上限を下回っても、ポートが自動的にイネーブルになることはありません。

■ ポートセキュリティーの状態（学習済みアドレスやポートの状態）はCREATE CONFIGコマンドによって保存されます（SET SWITCH PORTコマンドのRELEARNパラメーターがOFFの場合）。

パケットストームプロテクション

パケットストームプロテクションは、ポートグループごとにブロードキャスト/マルチキャスト/未学習のユニキャストフレームの受信レートに上限を設定し、パケットストームを防止するための機能です。設定値を上回るレートでこれらのフレームを受信した場合、フレームは破棄されます。本機能はデフォルトではオフになっています。
受信レートは、下記のポートグループ単位で設定します。

表 2：ポートグループ
機種 | ポートグループ
8724SL | ポート1〜8
ポート9〜16
ポート17〜24
ポート25（GBICモジュール）
ポート26（GBICモジュール）
8748SL | ポート1〜8
ポート9〜16
ポート17〜24
ポート25〜32
ポート33〜40
ポート41〜48
ポート49（GBICモジュール）
ポート50（GBICモジュール）

制限できるのは以下のフレームです。かっこ内は設定パラメーターの名前です。

- ブロードキャストフレーム（BCLIMIT）
- マルチキャストフレーム（MCLIMIT）
- 未学習のユニキャストフレーム（DLFLIMIT）

受信レートの上限値は、1ポートグループあたり1つだけ設定できます。たとえば、ブロードキャストフレームの受信レートを1000個/秒に設定した場合、マルチキャストフレームと未学習のユニキャストフレームには、同じ値（1000個/秒）を設定するか、上限を設定しないかのどちらかの選択となります。
■ 受信レートの設定はSET SWITCH PORTコマンドで行います。ここでは、ポートグループ1-8に対して、ブロードキャストフレームの受信レートを1秒あたり1000個に制限します。

`SET SWITCH PORT=1-8 BCLIMIT=1000 ↓`

■ 受信レートの制限を解除するには値としてNONEを指定します。

`SET SWITCH PORT=1-8 BCLIMIT=NONE ↓`

■ パケットストームプロテクションの設定状況はSHOW SWITCH PORTコマンドで確認できます。「Broadcast rate limit」、「Multicast rate limit」、「DLF rate limit」をご覧ください。

ループガード

本製品ではループガードとして以下の機能をサポートしています。

- LDF検出

LDF検出

LDF検出は、LDF（Loop Detection Frame）と呼ぶ特殊フレームを利用してネットワーク上のループを検出し、これに対応するための動作を自動的に行う機能です。
LDFは、特殊な宛先MACアドレス（FE-FF-FF-xx-xx-xx。xx-xx-xxはスイッチのMACアドレス下位3オクテット）を持った試験フレームです。
LDF検出機能を有効にしたポートでは、一定時間ごとにLDFを送出します。
送出したLDFが他の接続機器を経由するなどして戻ってきた場合（受信したLDFの送信元MACアドレスが自身のMACアドレスと一致した場合）、ループ状態と判断し、受信ポートで次のいずれかの動作を行います。

> Note - SET SWITCH LOOPDETECTIONコマンドでSECURE=ONに設定した場合は、LDFに含まれるIDのチェックも行います。

表 3：LDFによるループ検出時の動作
DISABLEPORT | ポートをディセーブルにする（物理的なリンクはアップ状態のまま）。また、ループ検出時と動作実行時にログ記録を行う。
LINKDOWN | ポートを物理的にリンクダウンさせる。また、ループ検出時と動作実行時にログ記録を行う。
NONE | ループ検出時のログ記録だけを行う。

アクション実行後はタイマーが起動し、指定した時間が経過すると動作実行前の状態に戻ります。

> Note - ループ検出後のアクションの副次的な作用として、アクションが実行されるときと実行前の状態に戻るときにSNMPのリンクトラップが出力されます。

■ LDF検出機能を有効化するには、ENABLE SWITCH LOOPDETECTIONコマンドを実行します。
PORTパラメーターを省略した場合は、すべてのポートでLDF検出機能が有効になります。

`ENABLE SWITCH LOOPDETECTION=LDF ↓
`

PORTパラメーターを指定した場合は、指定したポートでのみLDF検出機能が有効になります。

`ENABLE SWITCH LOOPDETECTION=LDF PORT=1-8 ↓
`

■ ループ検出時の動作設定はSET SWITCH LOOPDETECTIONコマンドのACTIONパラメーターで行います。デフォルトはNONE（ログへの記録のみ）ですが、これをDISABLEPORT（LDF受信ポートのディセーブル）に変更するには次のようにします。

`SET SWITCH LOOPDETECTION=LDF ACTION=DISABLEPORT ↓
`

> Note - ループ検出時の動作はシステム全体で1つしか設定できません（ポートごとに異なる動作をさせる設定はできません）。ENABLE SWITCH LOOPDETECTIONコマンドにもACTIONパラメーターがありますが、同コマンドでACTIONパラメーターを指定した場合、PORTパラメーターで対象スイッチポートを限定していても、ACTIONパラメーターの設定はシステム全体に適用されますのでご注意ください。

■ ループ検出後のアクションの持続時間（ループ検出によって動作が実行された後、自動的に実行前の状態に戻るまでの時間）は、SET SWITCH LOOPDETECTIONコマンドのPDTO（Port Disable Time Out）パラメーターで変更できます（デフォルトは300秒）。たとえば、持続時間を60秒に変更するには次のようにします。

`SET SWITCH LOOPDETECTION=LDF PDTO=60 ↓
`

■ LDFの送信間隔は、SET SWITCH LOOPDETECTIONコマンドのLDFINTERVALパラメーターで変更できます（デフォルトは120秒）。たとえば、送信間隔を90秒に変更するには、次のようにします。

`SET SWITCH LOOPDETECTION=LDF LDFINTERVAL=90 ↓
`

■ LDF検出機能を無効化するには、DISABLE SWITCH LOOPDETECTIONコマンドを実行します。
PORTパラメーターを省略した場合は、すべてのポートでLDF検出機能が無効になります。

`DISABLE SWITCH LOOPDETECTION=LDF ↓
`

PORTパラメーターを指定した場合は、指定したポートでのみLDF検出機能が無効になります。

`DISABLE SWITCH LOOPDETECTION=LDF PORT=1-8 ↓
`

■ LDF検出機能の設定や状態、統計情報はSHOW SWITCH LOOPDETECTIONコマンド、SHOW SWITCH LOOPDETECTION COUNTERコマンドで確認できます。

#### 併用可能な機能と注意事項

スイッチポート単位で設定する機能のうち、同一ポート上でLDF検出と併用できるのは次の機能に限定されます。

- ポートトランキング・LACP
- タグVLAN
- スパニングツリープロトコル（STP/RSTP）
- ポート認証（802.1X認証、MACベース認証）

なお、併用可能な機能についても下記の注意事項があります。

- ポートトランキング・LACP
  - ポートトランキング・LACPを併用するときは、トランクグループの所属ポートすべてに同じLDF検出の設定を行ってください。なお、一部の所属ポートにだけLDF検出の設定を行っても、すべての所属ポートに同じLDF検出設定が自動的に適用されます。
- ポート認証（802.1X認証、MACベース認証）
  - 802.1X認証を併用するときは、デフォルトのSingle-Supplicantモードを使ってください。Multi-Supplicantモードは使えません。
    （MACベース認証にはSingle-Supplicantモード、Multi-Supplicantモードの区別がないため、本制限は適用されません）

ポート帯域制限機能

本製品は、スイッチポートごとに送信レート、受信レートを制限することができます。
帯域制限の設定はSET SWITCH PORTコマンドのINGRESSLIMIT（受信レート）、EGRESSLIMIT（送信レート）パラメーターで行います。ポートの速度（10/100Mか1000Mか）によって指定できる値の範囲と単位が異なるので注意してください。
■ ポート1の受信レートを20480Kbps（20Mbps）に制限するには、次のようにします。受信レートの上限値は、10/100Mポートの場合は64〜127000（Kbps）、1000Mポートの場合は8〜1016（Mbps）の範囲で指定します。

`SET SWITCH PORT=1 INGRESSLIMIT=20480 ↓`

> Note - 10/100Mポートで指定値が1000Kbps未満のとき、実際の受信レート上限値は64Kbpsの倍数になるように切り捨てられます。10/100Mポートで指定値が1000Kbps以上のときは、1000Kbpsの倍数になるように切り捨てられます。1000Mポートの場合は、8Mbpsの倍数になるように切り捨てられます。

■ ポート25（GBICモジュールを装着しているものと仮定）の送信レートを500Mbpsに制限するには、次のように指定します。送信レートの上限値は、10/100Mポートの場合は1000〜127000（Kbps）、1000Mポートの場合は8〜1016（Mbps）の範囲で指定します。

`SET SWITCH PORT=25 EGRESSLIMIT=500 ↓`

> Note - 10/100Mポートの場合、送信レート上限値の有効範囲（1000〜127000Kbps）と受信レート上限値の有効範囲（64〜127000Kbps）が異なるので注意してください。

> Note - 10/100Mポートで指定値が1000Kbpsの倍数でないとき、実際の送信レート上限値は1000Kbpsの倍数になるように切り捨てられます。1000Mポートの場合は、8Mbpsの倍数になるように切り捨てられます。

■ ポートの帯域制限を解除するには値としてNONEか0を指定します。

`SET SWITCH PORT=25 EGRESSLIMIT=NONE ↓`

■ ポート帯域制限機能の設定状況はSHOW SWITCH PORTコマンドで確認できます。「Ingress rate limit」、「Egress rate limit」をご覧ください。

トリガー

トリガー機能を使用すると、スイッチポートのリンクアップ、リンクダウン時に任意のスクリプトを実行させることができます。
スイッチポートのリンクアップ、リンクダウンは、スイッチングモジュール固有のモジュールトリガーを使って捕捉します。
CREATE TRIGGER MODULEコマンド、SET TRIGGER MODULEコマンドに、スイッチングモジュール固有のパラメーターを加えたコマンド構文は次のようになります。

`CREATE TRIGGER=trigger-id MODULE=SWITCH EVENT={LINKDOWN|LINKUP} PORT=port [AFTER=time] [BEFORE=time] [{DATE=date|DAYS=day-list}] [NAME=string] [REPEAT={YES|NO|ONCE|FOREVER|count}] [SCRIPT=filename...] [STATE={ENABLED|DISABLED}] [TEST={YES|NO|ON|OFF}]
`

`SET TRIGGER=trigger-id PORT=port [AFTER=time] [BEFORE=time] [{DATE=date|DAYS=day-list}] [NAME=string] [REPEAT={YES|NO|ONCE|FOREVER|count}] [TEST={YES|NO|ON|OFF}]
`

PORTパラメーターにはスイッチポートの番号を、EVENTパラメーターにはLINKDOWN（リンクダウン）かLINKUP（リンクアップ）のいずれかを指定します。
このトリガーは、PORTパラメーターで指定したスイッチポートがリンクアップするか（EVENT=LINKUPのとき）、リンクダウンするか（EVENT=LINKDOWNのとき）したときに起動されます。
トリガーから実行されるスクリプトには、特殊な引数として%D（日付）、%T（時刻）、%N（システム名）、%S（シリアル番号）が渡されます。また、引数%1としてスイッチポートの番号も渡されます。
次に例を示します。ここでは、スイッチポート3がリンクダウンしたらlinkdown.scpを、リンクアップしたらlinkup.scpを実行するように設定します。これらのスクリプトでは、MAILコマンドを使って管理者にメールで通知するようにします。
なお、IPやメールの設定はすんでいるものと仮定します。IPの設定については「IP」の章をご覧ください。また、メールの設定については「運用・管理」/「メール送信」をご覧ください。

1. トリガー機能を有効にします。

   `ENABLE TRIGGER ↓
   `
2. リンクダウン時にlinkdown.scpを実行するトリガー「1」を作成します。

   `CREATE TRIGGER=1 MODULE=SWITCH EVENT=LINKDOWN PORT=3 SCRIPT=linkdown.scp ↓
   `
3. リンクアップ時にlinkup.scpを実行するトリガー「2」を作成します。

   `CREATE TRIGGER=2 MODULE=SWITCH EVENT=LINKUP PORT=3 SCRIPT=linkup.scp ↓
   `

スクリプト「linkdown.scp」

    MAIL TO=admin@is.example.com SUBJECT="%N #%1 linkdown" MESSAGE="%D %T %N(SN:%S) Port %1 linkdown"

スクリプト「linkup.scp」

    MAIL TO=admin@is.example.com SUBJECT="%N #%1 linkup" MESSAGE="%D %T %N(SN:%S) Port %1 linkup"

ここではトリガースクリプト起動時に渡される特別な引数を使って、スイッチのシステム名（%N）やシリアル番号（%S）、日時（%D、%T）をメールのサブジェクトと本文に埋め込んでいます。次に、メールメッセージの例を示します。

    Subject: ud-sw #3 linkdown
    From: manager@ud-sw.example.com
    To: <admin@is.example.com>
    Date: Thu, 23 May 2002 19:02:41

    23-May-2002 19:02:41 ud-sw(SN:40896093) Port 3 linkdown

(C) 2003 - 2010 アライドテレシスホールディングス株式会社

PN: J613-M0019-01 Rev.P