[index] CentreCOM x210シリーズ コマンドリファレンス 5.4.7
portX.Y.Z
port1.0.8
saX
poX
awplus(config)# interface port1.0.8 ↓ awplus(config-if)# shutdown ↓
awplus(config)# interface port1.0.8 ↓ awplus(config-if)# no shutdown ↓
awplus(config)# interface port1.0.1 ↓ awplus(config-if)# speed 100 ↓ awplus(config-if)# duplex full ↓
awplus(config)# interface port1.0.8 ↓ awplus(config-if)# polarity mdi ↓
awplus> show interface port1.0.1 ↓
awplus> clear port counter port1.0.1 ↓
NotePAUSEフレームはミラーリングできません。
awplus(config)# interface port1.0.5 ↓
Noteミラーポートはシステム内で1つしか設定できないため、インターフェースモードに入るときは、interfaceコマンドでスイッチポートを1つだけ指定してください。複数ポートを指定してインターフェースモードに入った場合、次の手順でmirror interfaceコマンドを実行したときエラーになります。
Noteトランクグループ（LACPチャンネルグループ、スタティックチャンネルグループ）、および、トランクグループに参加しているポートをミラーポートに設定することはできません。ここでトランクグループやトランクグループに参加しているポートを指定すると、次の手順でmirror interfaceコマンドを実行したときエラーになります。
awplus(config-if)# mirror interface port1.0.1 direction both ↓
Noteミラーポートはシステム内で1つしか設定できないため、すでに他のポートがミラーポートに設定されている場合、mirror interfaceコマンドは失敗します。その場合は、現行ミラーポートの設定を解除してから、もう一度同コマンドを実行してください。
Note複数のポートをミラーしたいときは、ソースポートを「port1.0.1-port1.0.3」のように複数指定することができます。ただし、ミラーリング対象ポートを増やす場合、ミラーポートの帯域を超えてしまう可能性があるため注意が必要です。4ポート以上設定した場合、Warningメッセージが出力されます。
Noteトランクグループ（LACPチャンネルグループ、スタティックチャンネルグループ）をソースポートに指定するときは、「saX」、「poX」ではなく、該当グループの全所属ポートを「port1.0.1-1.0.3」のように一括指定してください。インターフェース名「saX」や「poX」をソースポートに指定することはできません。
Notemirror interfaceコマンドを実行すると、指定ポートはミラーポートとして設定され、どのVLANにも属していない状態となります。
Noteミラーポートに設定されたポートは通常のスイッチポートとしては機能しません。
Noteソースポートを指定する通常のポートミラーリングを使用するときは、ハードウェアパケットフィルターやQoSポリシーマップのcopy-to-mirrorアクションを使用しないでください。
NoteハードウェアパケットフィルターやQoSポリシーマップのcopy-to-mirrorアクションを使用する場合、mirror interfaceコマンドではnoneを指定してください。また、通常のソースポートは指定しないでください。copy-to-mirrorアクションは、access-list(hardware ip)コマンド、access-list(hardware mac)コマンド、default-actionコマンドで設定します。
Noteミラーポートを設定する場合は、デフォルト状態のポートに設定してください（ミラーポートに他のスイッチポート関連機能を設定しないでください）。
awplus# show mirror ↓ Mirror Test Port Name: port1.0.5 Mirror option: Enabled Mirror direction: both Monitored Port Name: port1.0.1
awplus(config)# interface port1.0.5 ↓ awplus(config-if)# no mirror interface port1.0.1 ↓
Noteトランクグループではポートセキュリティーを使用できません。
NoteポートセキュリティーとUDLDは併用できません。
Noteジャンボフレームはポートセキュリティーの対象になりません。
| protect（DISCARD） | 不正なパケットを破棄する。 |
| shutdown（DISABLE） | 不正なパケットを破棄し、該当ポートを無効化する。 |
awplus(config)# interface port1.0.1 ↓
awplus(config-if)# switchport port-security ↓
awplus(config-if)# switchport port-security maximum 20 ↓
awplus(config-if)# switchport port-security violation shutdown ↓
awplus> show mac address-table | include port1.0.1 ↓ 1 port1.0.1 000a.7933.7b43 forward static 1 port1.0.1 000a.7934.0612 forward static
awplus# show port-security interface port1.0.1 ↓ Port Security configuration ------------------------------------------------------------ Security Enabled : YES Port Status : ENABLED Violation Mode : DISCARD Aging : OFF Maximum MAC Addresses : 2 Total MAC Addresses : 2 Lock Status : LOCKED Security Violation Count : 1 Last Violation Source Address : 00-00-cd-08-17-0c
awplus# show port-security intrusion ↓ Port Security Intrusion List ------------------------------------------------------------ Interface: port1.0.1 - 2 intrusion(s) detected 00-0c-29-04-49-46 00-00-cd-08-17-0c Interface: port1.0.2 - no intrusions detected Interface: port1.0.3 - no intrusions detected ...
awplus# clear port-security intrusion interface port1.0.1 ↓
awplus(config)# mac address-table static 0000.f488.8888 forward interface port1.0.1 vlan 1 ↓
awplus(config)# no mac address-table static 0000.f488.8888 forward interface port1.0.1 vlan 1 ↓
awplus(config)# interface port1.0.1 ↓ awplus(config-if)# no switchport port-security ↓ awplus(config-if)# no switchport port-security maximum ↓
Noteポートセキュリティーによって学習されたMACアドレスをエージアウトしないよう設定し、ポートセキュリティーの不正パケット受信時の動作を指定している場合、ポートセキュリティーを無効にしてもスタティックMACアドレスがコンフィグに残ったままになります。コンフィグに残ってしまったスタティックMACアドレスを削除するには、状況に応じて次の(1)、(2)のいずれかを実行してください。(1) 再起動前の場合、clear mac address-tableコマンドを実行してください。(2) 設定を保存し再起動後の場合、mac address-table staticコマンドをno形式で実行するか、clear mac address-tableコマンドで削除してください。
Noteポートセキュリティーにおいて、不正パケット受信時の動作をshutdown（DISABLE）に設定している状態で、ポートセキュリティーを無効にすると、ログが正しく出力されず、show interface statusコマンドでインターフェースのステータスが正しく表示されません。shutdownコマンドでインターフェースを無効にし、その後有効にすることで正しく表示されます。
Note不正パケット受信時のアクションとしてshutdown（DISABLE）が実行されたあと、clear mac address-tableコマンドでスタティックエントリーを削除すると、show port-security interfaceコマンドで表示されるLock StatusがLOCKEDからUNLOCKEDに変わり、ポートがリンクダウンしたままになります。この状態でポートのロックを解除するには、switchport port-securityコマンドをno形式で実行してください。
Noteどちらか一方のコマンドを実行すればポートセキュリティーの動作が無効になり、ポートのロックも解除されますが、片方だけを実行した場合はもう一方の設定がランニングコンフィグに残ります。これでも動作上は問題ありませんが、のちの混乱を避けるため、通常は両方のコマンドを実行することをおすすめします。
awplus(config)# interface port1.0.1 ↓ awplus(config-if)# no shutdown ↓
Noteダイナミックポートセキュリティーを使用しているポート（switchport port-security agingコマンドを実行しているポート）では、学習アドレス数がいったん上限に達しても、エージングにより再度上限を下回ることがありますが、アクションにshutdown（DISABLE）を指定した場合は、学習アドレス数が上限を下回っても該当ポートが自動的に有効化されることはありません。
awplus(config)# log buffered level information ↓
awplus(config)# interface port1.0.1 ↓ awplus(config-if)# storm-control broadcast level 30 ↓
awplus(config)# interface port1.0.1 ↓ awplus(config-if)# storm-control multicast level 50 ↓
awplus(config)# interface port1.0.1 ↓ awplus(config-if)# storm-control dlf level 70 ↓
awplus(config)# interface port1.0.1 ↓ awplus(config-if)# no storm-control broadcast level ↓
Noteまた、本製品では、ループガードのアクション実行中に、ループを検知したポートのLEDの点滅と全てのポートLEDの点滅を繰り返すことで、ループ検知を視覚的に知らせる機能をサポートしています。LED点滅機能の設定はfindme triggerコマンドで行います。EPSRとMACアドレススラッシングプロテクションを併用すると、EPSRのトポロジーチェンジによってループが検出される場合があります。EPSRとループガードを併用する場合はLDF検出機能を使用してください。
NoteLDF検出とMACアドレススラッシングプロテクションは同一装置上で併用（同時使用）できません。初期状態ではMACアドレススラッシング検出時の動作が有効なため、LDF検出を使う場合は、全ポートでMACアドレススラッシング検出時の動作を無効化（thrash-limitingコマンドのactionパラメーターにnoneを指定する）してから、LDF検出を有効化してください。
Note本製品において、RSTPが初期設定で有効化されているため、LDF検出機能を有効にしても、RSTPの動作の影響により、ループが発生せず、LDF検出機能の動作を確認できない場合があります。
Note配下のHUBやスイッチにて輻輳などによりLDFが消失した場合、ループを検出できない場合があります。
NoteMSTPの設定後、LDF検出機能を有効にし、その後MSTPを無効にするかMSTインスタンスに関連付けられたVLANを削除すると、LDFが送出されなくなります。LDFの送出を再開させるには、システムを再起動してください。ただし、MSTインスタンスを作成せずにMSTPを有効にしただけの場合は、本現象は発生しません。また、RSTPでは本現象は発生しません。
NoteLDF検出機能はアクセスリストのエントリーに空きがないと使用できません。
NoteLDF検出機能を有効にした場合、同機能を明示的に無効化していないすべてのポートからVLANごとにLDFが送出されるようになります。これは不要なフラッディングパケットの増加につながるため、必要のないポートではLDF検出機能を明示的に無効化することを推奨します（loop-protection actionコマンドでnoneを指定）。
| port-disable | ポートを無効化する（受信のみ無効化）。リンクはアップ状態のまま。また、ログへの記録とSNMPトラップの送信も行う |
| vlan-disable | ループを検出したVLANに対してのみポートを無効化する（初期値）。また、ログへの記録とSNMPトラップの送信も行う |
| link-down | ポートを物理的にリンクダウンさせる。また、ログへの記録とSNMPトラップの送信も行う |
| log-only | ポートの制御は行わず、ログへの記録とSNMPトラップの送信だけを行う |
| none | LDF検出機能を無効にする |
Noteタグ付きポートでvlan-disableアクション（初期値）を使用する場合は、該当ポートのネイティブVLANをなしに設定してください（switchport trunk native vlanコマンドでnoneを指定）。
awplus(config)# interface port1.0.1-1.0.12 ↓ awplus(config-if)# thrash-limiting action none ↓ awplus(config-if)# exit ↓ awplus(config)# interface sa1,sa2 ↓ awplus(config-if)# thrash-limiting action none ↓ awplus(config-if)# exit ↓
NoteMACアドレススラッシング検出時の動作をすでに無効化している場合、本手順は不要です。また、上記コマンドは一例です。interfaceコマンドで指定するインターフェース名は適宜変更してください。
awplus(config)# loop-protection loop-detect ↓
awplus(config)# interface port1.0.1-1.0.8 ↓ awplus(config-if)# loop-protection action link-down ↓
Noteport-disable、vlan-disable（初期設定）、log-onlyアクションを使用する場合は、LDFの帯域を制限するため、次項のQoSポリシーを必ず適用してください。
NoteすでにQoSの設定を行っている場合は、既存のポリシーマップに下記の設定（LDFの帯域を制限するための設定）を適宜追加してください。その場合、QoS機能の有効化など、すでに完了している設定は適宜省略してください。
awplus(config)# mls qos enable ↓ awplus(config)# exit ↓ awplus# copy running-config startup-config ↓ Building configuration... [OK] awplus# reload ↓ reboot system? (y/n): y ↓ URGENT: broadcast message: System going down IMMEDIATELY! ...
awplus(config)# access-list 4000 permit any 0000.f427.7101 0000.0000.0000 ↓
awplus(config)# class-map LDF ↓ awplus(config-cmap)# match access-group 4000 ↓ awplus(config-cmap)# exit ↓
awplus(config)# policy-map LDFCtrl ↓ awplus(config-pmap)# class LDF ↓ awplus(config-pmap-c)# police single-rate 64 4096 4096 action drop-red ↓ awplus(config-pmap-c)# exit ↓ awplus(config-pmap)# exit ↓
awplus(config)# interface port1.0.1-1.0.12 ↓ awplus(config-if)# service-policy input LDFCtrl ↓
Noteスタティックチャンネルグループ（手動設定のトランクグループ）を設定している場合は、インターフェース名「saX」（Xはスタティックチャンネルグループ番号）にポリシーマップを適用してください。
awplus(config)# interface port1.0.1-1.0.8 ↓ awplus(config-if)# loop-protection timeout 60 ↓
awplus(config)# interface port1.0.1-1.0.8 ↓ awplus(config-if)# loop-protection action-delay-time 10 ↓
awplus# clear loop-protection interface port1.0.1 action ↓
awplus(config)# log buffered level information ↓なお、前記コマンドではLDF検出以外のinformationalログも記録されてしまいます。これを避けるには先ほどのコマンドの代わりに次のようにしてプログラム名loopprotを指定するのがよいでしょう。
awplus(config)# log buffered level informational program loopprot ↓
awplus(config)# snmp-server enable trap loopprot ↓
awplus(config)# interface sa1 ↓ awplus(config-if)# loop-protection action link-down ↓
NotesaXインターフェースに対してLDF検出の設定をしているときは、saX内のメンバーポートに対する個別設定は無視されます。LDF検出のアクションが個別に設定されているポートをsaXから脱退させた場合は、そのポートに対してLDF検出のアクションを再設定してください。
awplus(config)# interface po1 ↓ awplus(config-if)# loop-protection action port-disable ↓
NotepoXインターフェースに対してLDF検出の設定をしているときは、poX内のメンバーポートに対する個別設定は無視されます。LDF検出のアクションが個別に設定されているポートをpoXから脱退させた場合は、そのポートに対してLDF検出のアクションを再設定してください。
awplus# show loop-protection ↓
awplus(config)# no loop-protection loop-detect ↓
awplus(config)# interface port1.0.1-1.0.2 ↓ awplus(config-if)# loop-protection action none ↓
| learn-disable | MACアドレスの学習を停止する（初期値）。また、ログへの記録とSNMPトラップの送信も行う |
| port-disable | ポートを無効化する（受信のみ無効化）。リンクはアップ状態のまま。また、ログへの記録とSNMPトラップの送信も行う |
| vlan-disable | スラッシングを検出したVLANに対してのみポートを無効化する。また、ログへの記録とSNMPトラップの送信も行う |
| link-down | ポートを物理的にリンクダウンさせる。また、ログへの記録とSNMPトラップの送信も行う |
| none | MACアドレススラッシング検出時の動作を無効にする |
NoteMACアドレススラッシングプロテクション設定時は、ループを検出したすべてのポートが、設定した動作を行います。
NoteMACアドレススラッシングプロテクションとLDF検出は同一装置上で併用（同時使用）できません。初期状態では、MACアドレススラッシング検出時の動作が有効、LDF検出が無効に設定されているため、MACアドレススラッシングプロテクションを使う場合はLDF検出を有効化せずにそのままお使いください。すでにLDF検出を使っている場合は、LDF検出を無効化（loop-protectionコマンドをno形式で実行）してからMACアドレススラッシング検出時の動作を有効化してください。
Notelearn-disableアクションを設定していても、MACアドレススラッシング検出後にMACアドレスの学習が停止されないことがあります。
awplus(config)# interface port1.0.1-1.0.8 ↓ awplus(config-if)# thrash-limiting action vlan-disable ↓
awplus(config)# interface port1.0.1-1.0.8 ↓ awplus(config-if)# thrash-limiting timeout 5 ↓
awplus(config)# snmp-server enable trap thrash-limit ↓
awplus(config)# interface sa1 ↓ awplus(config-if)# thrash-limiting action vlan-disable timeout 5 ↓
NotesaXインターフェースに対してMACアドレススラッシングプロテクションの設定をしているときは、saX内のメンバーポートに対する個別設定は無視されます。
awplus(config)# interface po1 ↓ awplus(config-if)# thrash-limiting action vlan-disable timeout 5 ↓
NotepoXインターフェースに対してMACアドレススラッシングプロテクションの設定をしているときは、poX内のメンバーポートに対する個別設定は無視されます。
awplus(config)# mac address-table thrash-limit 5 ↓
Note複数のMACアドレスが同時に移動した場合、1MACアドレス当たりの移動がしきい値に満たない場合でもMACアドレスプロテクションが機能します。
awplus(config)# interface port1.0.1-1.0.12 ↓ awplus(config-if)# thrash-limiting action none ↓
| portdisable | ポートを無効化する（受信のみ無効化）。また、ログへの記録とSNMPトラップの送信も行う |
| vlandisable | 入力VLAN（クラスマップのmatch vlan節で指定したVLAN）に対してのみ受信ポートを無効化する。また、ログへの記録とSNMPトラップの送信も行う。本動作を使用する場合は、対象トラフィッククラスを識別するクラスマップにおいて、match vlan節を指定しておく必要がある。 |
| linkdown | ポートを物理的にリンクダウンさせる。また、ログへの記録とSNMPトラップの送信も行う |
awplus(config)# mls qos enable ↓ awplus(config)# exit ↓ awplus# copy running-config startup-config ↓ Building configuration... [OK] awplus# reload ↓ reboot system? (y/n): y ↓ URGENT: broadcast message: System going down IMMEDIATELY! ...
awplus(config)# policy-map sp ↓ awplus(config-pmap)#
awplus(config-pmap)# class default ↓ awplus(config-pmap-c)#
awplus(config-pmap-c)# storm-protection ↓
awplus(config-pmap-c)# storm-rate 500 ↓
awplus(config-pmap-c)# storm-window 5000 ↓
awplus(config-pmap-c)# storm-action portdisable ↓
awplus(config)# snmp-server enable trap qsp ↓
awplus(config-pmap-c)# storm-downtime 3 ↓ awplus(config-pmap-c)# exit ↓ awplus(config-pmap)# exit ↓ awplus(config)#
awplus(config)# interface port1.0.1-1.0.3 ↓ awplus(config-if)# service-policy input sp ↓ awplus(config-if)# exit ↓
Noteスタティックチャンネルグループと併用する場合は、QoSストームプロテクション機能が有効になっているポリシーマップをスタティックチャンネルグループのメンバーポートに対して適用する必要があります。その場合、static-channel-groupコマンドでグループを作成する際に「member-filters」パラメーターを指定してください。本パラメーターを使用することで、スタティックチャンネルグループの所属ポートにポリシーマップを適用することが可能になります。
awplus(config)# interface port1.0.1-1.0.3 ↓ awplus(config-if)# static-channel-group [1-94] member-filters ↓
awplus(config)# interface port1.0.8 ↓ awplus(config-if)# egress-rate-limit 8m ↓ % Egress rate limit has been set to 8000 Kb
Noteトランクグループ（saX, poX）に対してegress-rate-limitコマンドを実行した場合、送信レート上限値はトランクグループ全体に対してではなく、メンバーポート単位で適用されます。
awplus(config)# interface port1.0.8 ↓ awplus(config-if)# no egress-rate-limit ↓
awplus> show interface port1.0.8 ↓ Interface port1.0.8 Scope: both Link is UP, administrative state is UP Thrash-limiting Status Not Detected, Action learn-disable, Timeout 1(s) Hardware is Ethernet, address is 0000.cd24.0367 (bia 0000.cd24.0367) index 5013 metric 1 mtu 1500 duplex-full speed 100 polarity auto <UP,BROADCAST,RUNNING,MULTICAST> VRF Binding: Not bound Egress Rate Limit 8000 Kb input packets 235512, bytes 16850873, dropped 0, multicast packets 12 output packets 8746698, bytes 9367135608, multicast packets 2007 broadcast p ackets 11
awplus(config)# trigger 1 ↓ awplus(config-trigger)# type interface port1.0.1 down ↓ awplus(config-trigger)# script 1 flash:/p101down.scp ↓ awplus(config-trigger)# exit ↓
awplus(config)# trigger 2 ↓ awplus(config-trigger)# type interface port1.0.1 up ↓ awplus(config-trigger)# script 1 flash:/p101up.scp ↓ awplus(config-trigger)# end ↓
(C) 2012 - 2017 アライドテレシスホールディングス株式会社
PN: 613-001681 Rev.R