[index] CentreCOM 9600/8600シリーズ コマンドリファレンス 2.2

スイッチング/ポート

対象機種：8624、9606

  - ポートの指定方法
  - 基本コマンド
  - ポートトランキング
  - ポートミラーリング
   - 基本設定
   - ハードウェアIPフィルターによるミラーリング
  - ポートセキュリティー
  - パケットストームプロテクション
  - トリガー

本製品のスイッチポートは、ご購入時の状態ですべてイネーブルに設定されており、互いに通信可能な状態にあります。スタンドアローンのレイヤー2スイッチとして使うのであれば、特別な設定は必要ありません。設置・配線を行うだけで使用できます。

 

ポートの指定方法

スイッチポートに対する設定コマンドには、複数のポートを一度に指定できるものがあります。

■ 1つのポートを指定


■ 連続するポート番号をハイフン区切りで指定


■ 連続していないポート番号をカンマ区切りで指定


■ カンマとハイフンの組み合わせ指定


■ すべてのポートを意味する特殊なキーワードALLを指定



 

基本コマンド

スイッチポートに対して操作を行う基本的な設定コマンドを紹介します。詳細はコマンドリファレンスをご覧ください。

■ ポートをイネーブルにするにはENABLE SWITCH PORTコマンドを使います。


■ ポートをディセーブルにするにはDISABLE SWITCH PORTコマンドを使います。


■ ポートの通信モード（通信速度とデュプレックスモード）を変更するにはSET SWITCH PORTコマンドのSPEEDパラメーターを使います。デフォルトはAUTONEGOTIATEです。


■ 強制的にオートネゴシエーションを行わせるにはACTIVATE SWITCH PORT AUTONEGOTIATEコマンドを使います。通信モードがAUTONEGOTIATEのポートでのみ有効です。


■ ポートをハードウェア的にリセットするにはRESET SWITCH PORTコマンドを使います。


■ ポートの状態を確認するにはSHOW SWITCH PORTコマンドを使います。


■ ポートの送受信統計を見るにはSHOW SWITCH PORT COUNTERコマンドを使います。


■ ポートの統計カウンターをクリアするにはRESET SWITCH PORTコマンドにCOUNTERオプションをつけて実行します。COUNTERオプションをつけないと、ポートがハードウェア的にリセットされてしまうので注意してください（カウンターもクリアされる）。



 

ポートトランキング

ポートトランキングは複数の物理ポートを束ねてスイッチ間の帯域幅を拡大する機能です。束ねたポートはトランクグループと呼ばれ、論理的に1本のポートとして扱われます。トランクグループは、VLAN内でも単一ポートとして認識されます。また、トランクグループ内のポートに障害が発生しても残りのポートで通信が継続できるため、信頼性の向上にも貢献します。

本製品ではトランクグループを6つまで作成できます。それぞれのトランクグループには、最大8ポートまで所属させることが可能です。ポートは隣接していなくてもかまいません。ただし、同一グループ内に10/100Mポートと1000Mポートを混在させることはできません。

ポートトランキングを使用するために最低限必要な設定について説明します。ここでは、ポート1-4を束ねて使用するものとします。

Note - ポートトランキングの設定は、トランクポートによって接続される両方のスイッチで行う必要があります。

Note - ポートトランキングとスパニングツリーを同一ポートに設定することはできません。

  1. トランクグループ「uplink」を作成します。グループ名は自由につけられます。


  2. トランクグループにポートを追加します。束ねるポートはこの時点で同じVLANに所属していなくてはなりません。


基本設定は以上です。


Note - トランクグループにポートを追加したあとで、グループ全体あるいはグループ内のポートを所属VLANから削除することはできません。VLANから削除するには、DELETE SWITCH TRUNKコマンドを使ってあらかじめポートをトランクグループから外しておく必要があります。トランクグループにポートを割り当てた後で、別のVLANにグループ全体あるいはグループ内のポートを追加することは可能です。


■ トランクグループの情報はSHOW SWITCH TRUNKコマンドで確認できます。


■ 送信時のポート選択基準はCREATE SWITCH TRUNKコマンド、SET SWITCH TRUNKコマンドのSELECTパラメーターで指定できます。次の例ではトランクグループ「uplink」のポート選択基準を、送信元MACアドレスに変更しています。デフォルトでは、送信元MACアドレスと宛先MACアドレスの両方（MACBOTH）を使って、トランク内のどのポートを使用するかが決定されます。


■ ルーティング後トランクグループから送信されるIPパケットの送出ポートは、SELECTパラメーターの設定とは関係なく、常に終点IPアドレス（IPDEST）に基づいて決定されます（負荷分散されます）。

■ フラッディングパケットは、トランクグループ内で一番最初にリンクが確立されたポートから送出されます。

■ トランクグループに追加されたポートの通信モードは、SPEEDパラメーターで指定した速度のAuto-Negotiateとなります。個別ポートの設定はトランクグループに参加した時点で上書きされますが、内部的には保持されており、グループから抜けると元の設定に戻ります。

■ トランクグループからポートを削除するにはDELETE SWITCH TRUNKコマンドを使います。


■ トランクグループを削除するにはDESTROY SWITCH TRUNKコマンドを使います。所属ポートがあるときは削除できません。その場合は、先にDELETE SWITCH TRUNKコマンドで所属ポートを削除します。



 

ポートミラーリング

ポートミラーリングは、特定のポートを通過するトラフィックをあらかじめ指定したミラーポートにコピーする機能です。パケットを必要なポートにだけ出力するスイッチではパケットキャプチャーなどが困難ですが、ポートミラーリングを利用すれば、任意のポートのトラフィックをミラーポートでキャプチャーすることができます。

また、ハードウェアIPフィルターを併用することで、IP/TCP/UDPヘッダー情報を元に特定のトラフィックだけをミラーポートにコピーするよう設定することも可能です。

なお、ポートミラーリング機能の仕様は以下のようになっています。



 

基本設定

ここではポート1をミラーポートに設定し、ポート5から送受信されるトラフィックがミラーポートにコピーされるようにします。

  1. ミラーポートを指定します。指定できるのはVLAN default所属のポートだけです。ミラーポートに指定したいポートがVLAN default以外に所属している場合は、最初に現在所属のVLANから削除しVLAN defaultの所属に戻した上で、SET SWITCH MIRRORコマンドを実行します。


    SET SWITCH MIRRORコマンドを実行すると、指定ポートはミラーポートとして設定され、どのVLANにも属していない状態となります。


    すでにミラーポートとして設定されているポートがあった場合、本コマンド実行によりそのポートはVLAN default所属のタグなしポートとなります。

    Note - トランクグループに参加しているポートをミラーポートに設定することはできません。

    Note - ミラーポートに設定されたポートは通常のスイッチポートとしては機能しません。

  2. ポートミラーリング機能を有効にします。あらかじめミラーポートが設定されていないと本コマンドは失敗します。手順1にしたがってミラーポートを指定してから本コマンドを実行してください。


  3. ソースポートとトラフィックの向きを指定します。ここではポート5から送受信されるトラフィックをミラーポートにコピーします。


    Note - 複数のポートをミラーしたいときは、SET SWITCH PORTコマンドを複数回実行してください。ただし、ミラーリング対象ポートを増やすことはパフォーマンス低下につながりますのでご注意ください。また、複数のソースポートを指定した場合で、かつ指定ポートにタグ付きとタグなしが混在している場合、送信パケットはすべてタグなしとしてミラーリングされます。

設定は以上です。


■ ポートミラーリングの設定を確認するにはSHOW SWITCHコマンドを実行します。ミラーポートはSHOW VLANコマンドの「Mirror Port」欄でも確認できます。また、ソースポートとミラー対象トラフィックはSHOW SWITCH PORTコマンドの「Mirroring」欄でも確認できます。

■ ポートミラーリング機能を無効にするにはDISABLE SWITCH MIRRORコマンドを実行します。

■ ミラーポートの設定を解除するにはSET SWITCH MIRRORコマンドにNONEを指定します。設定を解除されたポートはVLAN default所属のタグなしポートに戻ります。


■ ソースポートでのミラーリングをやめるにはSET SWITCH PORTコマンドのMIRRORパラメーターにNONEを指定します。


■ ミラーポートに設定されたポートは通常のスイッチポートとしては機能しません。SET SWITCH MIRRORコマンドを実行した時点で、ミラーポートはいずれのVLANにも所属していない状態となります。


 

ハードウェアIPフィルターによるミラーリング

ポートミラーリング機能とハードウェアIPフィルターを併用すると、IPアドレスやTCP/UDPのポート番号を基準に、特定のIPトラフィックだけをミラーポートに送るよう設定することができます。

なお、仕様によりハードウェアIPフィルター経由でミラーリングされたパケットは、VLANタグが付いた状態でミラーポートに出力されます。キャプチャーソフトがVLANタグを識別できない場合、IPパケットがプロトコルタイプ0x8100（802.1Qタグ）として表示される場合がありますのでご注意ください。

ここでは、ハードウェアIPフィルターを使って、サーバー192.168.10.5に出入りするIPトラフィックだけをミラーポート（ポート1）にコピーする設定例を示します。

  1. ミラーポートを指定します。指定できるのはVLAN default所属のポートだけです。ミラーポートに指定したいポートがVLAN default以外に所属している場合は、最初に現在所属のVLANから削除しVLAN defaultの所属に戻した上で、SET SWITCH MIRRORコマンドを実行します。


    SET SWITCH MIRRORコマンドを実行すると、指定ポートはミラーポートとして設定され、どのVLANにも属していない状態となります。


    すでにミラーポートとして設定されているポートがあった場合、本コマンド実行によりそのポートはVLAN default所属のタグなしポートとなります。

    Note - トランクグループに参加しているポートをミラーポートに設定することはできません。

    Note - ミラーポートに設定されたポートは通常のスイッチポートとしては機能しません。

  2. ポートミラーリング機能を有効にします。あらかじめミラーポートが設定されていないと本コマンドは失敗します。手順1にしたがってミラーポートを指定してから本コマンドを実行してください。


  3. ミラーリングするパケットの条件を指定するため、ハードウェアIPフィルターを作成します。ここでは2つのフィルターを作成し、マッチ条件としてそれぞれ始点IPアドレスと終点IPアドレスを指定します。


  4. 各フィルターにフィルターエントリーを追加して、実際のフィルタリング条件を指定します。ここでの対象パケットは「192.168.10.5（サーバー）が始点となるIPパケット」と「192.168.10.5が終点となるIPパケット」であり、対象パケットに対するアクションは「SENDMIRROR（ミラーポートに送る）」となります。


  5. ハードウェアIPフィルターを有効にします。


設定は以上です。

■ ミラーリング対象パケットに対して他のアクション（TOS優先度書き換え、プライオリティータグ付与など）を並行して適用したい場合は、手順4のACTIONパラメーターにカンマ区切りで複数のアクションを指定してください。


このように同一エントリーで複数のアクションを指定せず、別のエントリーで他のアクションを指定すると、エントリー番号の大きいエントリー（通常あとから追加したエントリー）で指定されたアクションだけが適用されます。たとえば、上記の手順1〜5を実行したあとで下のコマンドを入力すると、プライオリティー付与だけが行われミラーポートへの出力は行われなくなります。


また、一致するエントリーにDENYアクションが含まれている場合は、エントリーの順序に関係なくDENYアクション（破棄）が実行されます。これはハードウェアIPフィルターの仕様です。

ハードウェアIPフィルターの詳細については、「ハードウェアIPフィルター」をご覧ください。



 

ポートセキュリティー

ポートセキュリティーは、MACアドレスに基づき、ポートごとに通信を許可するデバイスを制限する機能です。許可していないデバイスからフレームを受信したときには、パケットを破棄する、SNMPトラップを上げるなどのアクションを実行させることができます。

本機能は、SET SWITCH PORTコマンドのLEARNパラメーターで、ポートごとに学習可能なMACアドレス数の上限（1〜256個）を設定することによって有効になります。学習済みのMACアドレスが制限値に達すると、それ以降に受信した未学習の送信元MACアドレスを持つフレームを不正なものとみなし、あらかじめ指定されたアクションを実行します。

アクションには次の種類があります（SET SWITCH PORTコマンドのINTRUSIONACTIONパラメーターで指定）

表 1
アクション名
動作
DISCARD 不正なフレームを破棄する。
TRAP 不正なフレームを破棄し、SNMPトラップを送信する。
DISABLE 不正なフレームを破棄し、SNMPトラップを送信した後、該当ポートをディセーブルにする。


■ ポートに学習可能なMACアドレスの最大数と不正フレーム受信時のアクションを設定するには、SET SWITCH PORTコマンドを使います。たとえば、ポート11のMACアドレス学習数の上限を20個、アクションをDISABLEに設定するには次のようにします。


SET SWITCH PORTコマンドでLEARNパラメーターを設定すると、すでに同ポートで学習していたアドレスエントリー（ダイナミックエントリー）がフォワーディングデータベースから削除され、エントリーなしの状態からアドレス学習が開始されます。上限が設定されているときに学習したMACアドレスは、スタティックエントリーとして登録されるためエージアウトされません。学習アドレス数が上限に達すると、それ以降に受信した未知のアドレスからのフレームは「不正」なものと見なされ、INTRUSIONACTIONで指定したアクションが実行されます。

たとえば、アクションが「DISABLE」に設定されているときに不正フレームを受信すると、トラップ送信とポートのディセーブルが実行され、コンソール画面に次のように表示されます。



■ 学習済みのアドレスを確認するには、SHOW SWITCH FILTERコマンドを使います。ポートセキュリティーがオンのポートで学習されたアドレスは、Source欄に「learn」と表示されます。


■ ポートセキュリティーの設定状況はSHOW SWITCH PORTコマンドで確認できます。「Learn limit」欄には現在設定されている上限が、「Intrusion action」欄には不正フレーム受信時のアクションが表示されます。また、「Current learned, lock state」欄には、現在までに学習したアドレスの数と、ポートがロック（これ以上学習しない状態のこと）されているかどうかが表示されます。


■ 不正とみなされたMACアドレスはSHOW SWITCH PORT INTRUSIONコマンドで確認できます。


■ 学習済みアドレス数が上限に達する前に手動でポートをロックするにはACTIVATE SWITCH PORT LOCKコマンドを使います。あらかじめSET SWITCH PORTコマンドで上限とアクションを設定した上で、ポートをロックします。


■ ポートセキュリティーがオンのポート（学習可能アドレスに上限が設定されているポート）に対して、通信を許可するアドレスを手動登録するには、ADD SWITCH FILTERコマンドにLEARNオプションを付けて実行します。すでに上限に達している場合であっても、本コマンドで手動追加した場合は上限値が引き上げられます。


Note - LEARNオプションを付け忘れると通常のスタティックエントリーとなり、ポートセキュリティー機能における「学習済みアドレス」としてはカウントされませんのでご注意ください。

■ スタティックエントリーの削除はDELETE SWITCH FILTERコマンドで行います。ENTRY番号はSHOW SWITCH FILTERコマンドで確認してください。


■ ポートのロックを解除する、あるいはポートセキュリティー機能をオフにするには、SET SWITCH PORTコマンドでアドレス学習の上限値（LEARNパラメーター）に0（無制限）を設定します。ポートセキュリティーがオンのときに学習されたエントリーは、システムの再起動とともにデータベースから削除されます。


■ ポートセキュリティー機能のアクションによってディセーブルにされたポートはENABLE SWITCH PORTコマンドではイネーブルに戻せません。この場合は、SET SWITCH PORTコマンドのLEARNパラメーターに0を指定してポートセキュリティーをオフにすると、イネーブルに戻ります。


■ ポートセキュリティーの設定（学習済みアドレスやポートの状態）はCREATE CONFIGコマンドによって保存されます。


 

パケットストームプロテクション

パケットストームプロテクションは、ポートグループごとにブロードキャスト/マルチキャスト/未学習のユニキャストフレームの受信レートに上限を設定し、パケットストームを防止するための機能です。設定値を上回るレートでこれらのフレームを受信した場合、フレームは破棄されます。本機能はデフォルトではオフになっています。

受信レートは、下記のポートグループ単位で設定します。

表 2：ポートグループ
機種
ポートグループ
8624XL ポート1〜8
ポート9〜16
ポート17〜24
ポート25（拡張モジュール）
ポート26（拡張モジュール）
9606SX/SC、9606T ポート1
ポート2
ポート3
ポート4
ポート5
ポート6
ポート7（拡張モジュール）
ポート8（拡張モジュール）



制限できるのは以下のフレームです。かっこ内は設定パラメーターの名前です。

Note - 8624XLでは、マルチキャストフレームの制限（MCLIMITパラメーター）はサポート対象外です。

受信レートの上限値は、1ポートグループあたり1つだけ設定できます。たとえば、ブロードキャストフレームの受信レートを1000個/秒に設定した場合、マルチキャストフレームと未学習のユニキャストフレームには、同じ値（1000個/秒）を設定するか、上限を設定しないかのどちらかの選択となります。


■ 受信レートの設定はSET SWITCH PORTコマンドで行います。ここでは、ポートグループ1-8に対して、ブロードキャストフレームの受信レートを1秒あたり1000個に制限します。


■ 受信レートの制限を解除するには値としてNONEを指定します。


■ パケットストームプロテクションの設定状況はSHOW SWITCH PORTコマンドで確認できます。「Broadcast rate limit」、「Multicast rate limit」、「DLF rate limit」をご覧ください。


 

トリガー

トリガー機能を使用すると、スイッチポートのリンクアップ、リンクダウン時に任意のスクリプトを実行させることができます。

スイッチポートのリンクアップ、リンクダウンは、スイッチングモジュール固有のモジュールトリガーを使って捕捉します。

CREATE TRIGGER MODULEコマンド、SET TRIGGER MODULEコマンドに、スイッチングモジュール固有のパラメーターを加えたコマンド構文は次のようになります。



PORTパラメーターにはスイッチポートの番号を、EVENTパラメーターにはLINKDOWN（リンクダウン）かLINKUP（リンクアップ）のいずれかを指定します。

このトリガーは、PORTパラメーターで指定したスイッチポートがリンクアップするか（EVENT=LINKUPのとき）、リンクダウンするか（EVENT=LINKDOWNのとき）したときに起動されます。

トリガーから実行されるスクリプトには、特殊な引数として%D（日付）、%T（時刻）、%N（システム名）、%S（シリアル番号）が渡されます。また、引数%1としてスイッチポートの番号も渡されます。

次に例を示します。ここでは、スイッチポート3がリンクダウンしたらlinkdown.scpを、リンクアップしたらlinkup.scpを実行するように設定します。これらのスクリプトでは、MAILコマンドを使って管理者でメールで通知するようにします。

なお、IPやメールの設定はすんでいるものと仮定します。IPの設定については「IP」の章を、メールの設定については「運用・管理」の「メール送信」をご覧ください。

  1. トリガー機能を有効にします。


  2. リンクダウン時にlinkdown.scpを実行するトリガー「1」を作成します。


  3. リンクアップ時にlinkup.scpを実行するトリガー「2」を作成します。


スクリプト「linkdown.scp」

スクリプト「linkup.scp」

ここではトリガースクリプト起動時に渡される特別な引数を使って、スイッチのシステム名（%N）やシリアル番号（%S）、日時（%D、%T）をメールのサブジェクトと本文に埋め込んでいます。次に、メールメッセージの例を示します。










Copyright (C) 2000-2002 アライドテレシス株式会社

PN: J613-M0522-00 Rev.C