[index] CentreCOM x610シリーズ コマンドリファレンス 5.4.1

インターフェース / スイッチポート

  - ポートの指定
   - スイッチポート
   - トランクグループ
  - ポートとインスタンス
  - 基本コマンド
  - ポートミラーリング
   - 基本設定
  - ポートセキュリティー
  - パケットストームプロテクション
  - ループガード
   - LDF検出
   - MACアドレススラッシングプロテクション
  - ポート帯域制限機能
  - トリガー

portX.Y.Z


• XはスタックメンバーID（1〜8）です。スタックしていない場合はつねに「1」を指定します
  
• Yは拡張モジュールベイの番号です。本製品ではつねに「0」を指定します。
  
• Zはポート番号です。
  

port1.0.21


saX


• Xはスタティックチャンネルグループ番号（1〜96）です。これはstatic-channel-groupコマンドで指定した番号です
  

poX


• XはLACPチャンネルグループ番号（1〜32）です。これはchannel-groupコマンドで指定した番号です
  

• QoSポリシーマップ
  スタティックチャンネルグループ（手動設定のトランクグループ）、LACPチャンネルグループ（自動設定のトランクグループ）ともに、所属ポートが複数のインスタンスにわたっている場合、該当トランクグループではQoSのメータリングが動作しません。複数インスタンスにまたがるトランクグループに対しては、メータリング（ポリサー）設定（police single-rateコマンド、police twin-rateコマンド）を含むポリシーマップを適用しないでください（適用してもメータリングが動作しません）。
  

awplus(config)# interface port1.0.8 ↓ awplus(config-if)# shutdown ↓

awplus(config)# interface port1.0.8 ↓ awplus(config-if)# no shutdown ↓

awplus(config)# interface port1.0.1 ↓ awplus(config-if)# speed 100 ↓ awplus(config-if)# duplex full ↓

awplus(config)# interface port1.0.24 ↓ awplus(config-if)# polarity mdi ↓

awplus> show interface port1.0.1 ↓

awplus> clear port counter port1.0.1 ↓

Note - 本製品のポートミラーリング機能では、受信パケットはタグなし、送信パケットはタグ付きでミラーポートに出力されます。

1. ミラーポートとして設定するポートを指定してインターフェースモードに入ります。ここでは、ポート1.0.5をミラーポートに設定します。
   

   awplus(config)# interface port1.0.5 ↓

   
   

   Note - ミラーポートはシステム内で1つしか設定できないため、インターフェースモードに入るときは、interfaceコマンドでスイッチポートを1つだけ指定してください。複数ポートを指定してインターフェースモードに入った場合、次の手順でmirror interfaceコマンドを実行したときエラーになります。

   
   

   Note - トランクグループ（LACPチャンネルグループ、スタティックチャンネルグループ）、および、トランクグループに参加しているポートをミラーポートに設定することはできません。ここでトランクグループやトランクグループに参加しているポートを指定すると、次の手順でmirror interfaceコマンドを実行したときエラーになります。

   
   
2. ソースポートとトラフィックの向きを指定します。ここではポート1.0.1から送受信されるトラフィックをミラーポートにコピーします。
   

   awplus(config-if)# mirror interface port1.0.1 direction both ↓

   
   

   Note - ミラーポートはシステム内で1つしか設定できないため、すでに他のポートがミラーポートに設定されている場合、mirror interfaceコマンドは失敗します。その場合は、現行ミラーポートの設定を解除してから、もう一度同コマンドを実行してください。

   
   

   Note - 複数のポートをミラーしたいときは、ソースポートを「port1.0.1-port1.0.3」のように複数指定することができます。ただし、ミラーリング対象ポートを増やす場合、ミラーポートの帯域を超えてしまう可能性があるため注意が必要です。4ポート以上設定した場合、Warningメッセージが出力されます。

   
   

   Note - トランクグループ（LACPチャンネルグループ「poX」、スタティックチャンネルグループ「saX」）、および、トランクグループに参加しているポートをソースポートに指定することはできません。

   
   

   Note - mirror interfaceコマンドを実行すると、指定ポートはミラーポートとして設定され、どのVLANにも属していない状態となります。

   
   

   Note - ミラーポートに設定されたポートは通常のスイッチポートとしては機能しません。

   
   

   Note - ソースポートを指定する通常のポートミラーリングを使用するときは、ハードウェアパケットフィルターやQoSポリシーマップのcopy-to-mirrorアクションを使用しないでください。

   
   

   Note - ハードウェアパケットフィルターやQoSポリシーマップのcopy-to-mirrorアクションを使用する場合、mirror interfaceコマンドではダミーポート（リンクダウンさせたままで使用しないポート）を1ポートだけ指定してください（トラフィックの向きは無視されるのでどのように指定してもかまいません）。また、通常のソースポートは指定しないでください。copy-to-mirrorアクションは、access-list(hardware ip)コマンド、access-list(hardware mac)コマンド、default-actionコマンドで設定します。

awplus# show mirror ↓ Mirror Test Port Name: port1.0.5 Mirror option: Enabled Mirror direction: both Monitored Port Name: port1.0.1

awplus(config)# interface port1.0.5 ↓ awplus(config-if)# no mirror interface port1.0.1 ↓

Note - トランクグループではポートセキュリティーを使用できません。

表 1

アクション名	動作
protect（DISCARD）	不正なパケットを破棄する。
restrict（TRAP）	不正なパケットを破棄し、SNMPトラップを送信する（トラップは各MACアドレスに対して最初の一回だけ送信）。
shutdown（DISABLE）	不正なパケットを破棄し、該当ポートを無効化する。

1. 対象ポートを指定してインターフェースモードに入ります。
   

   awplus(config)# interface port1.0.1 ↓

   
   
2. 対象ポートでポートセキュリティーを有効にします。これには、switchport port-securityコマンドを使います。同コマンドを実行しただけでは、学習可能なMACアドレス数の上限が設定されていないため、まだポートセキュリティーの動作はしません。
   

   awplus(config-if)# switchport port-security ↓

   
   
3. 対象ポートで学習可能なMACアドレスの最大数を設定します（初期値は0。これは制限なしの意）。これには、switchport port-security maximumコマンドを使います。
   

   awplus(config-if)# switchport port-security maximum 20 ↓

   
   
4. 不正パケット受信時のアクションを指定します（初期値はprotect）。これには、switchport port-security violationコマンドを使います。
   

   awplus(config-if)# switchport port-security violation shutdown ↓

• switchport port-security agingコマンドが実行されているとき（ダイナミックポートセキュリティー）、学習したMACアドレスはダイナミックMACアドレスとして扱われ、エージングによって削除されます（Dynamic Limitedモード）。
  
  
• switchport port-security agingコマンドが実行されていないとき（通常のポートセキュリティー）は、学習したMACアドレスはスタティックMACアドレスとして扱われ、エージングによって削除されません（Limitedモード）。
  

awplus> show mac address-table | include port1.0.1 ↓ 1 port1.0.1 000a.7933.7b43 forward static 1 port1.0.1 000a.7934.0612 forward static

awplus# show port-security interface port1.0.1 ↓ Port Security configuration ------------------------------------------------------------ Security Enabled : YES Port Status : ENABLED Violation Mode : DISCARD Aging : OFF Maximum MAC Addresses : 2 Current Learned Addresses : 2 Lock Status : LOCKED Security Violation Count : 1 Last Violation Source Address : 00-00-cd-08-17-0c

awplus# show port-security intrusion ↓ Port Security Intrusion List ------------------------------------------------------------ Interface: port1.0.1 - 2 intrusion(s) detected 00-0c-29-04-49-46 00-00-cd-08-17-0c Interface: port1.0.2 - no intrusions detected Interface: port1.0.3 - no intrusions detected ...

awplus(config)# mac address-table static 0000.f488.8888 forward interface port1.0.1 vlan 1 ↓

awplus(config)# no mac address-table static 0000.f488.8888 forward interface port1.0.1 vlan 1 ↓

awplus(config)# interface port1.0.1 ↓ awplus(config-if)# no switchport port-security ↓ awplus(config-if)# no switchport port-security maximum ↓

Note - どちらか一方のコマンドを実行すればポートセキュリティーの動作が無効になり、ポートのロックも解除されますが、片方だけを実行した場合はもう一方の設定がランニングコンフィグに残ります。これでも動作上は問題ありませんが、のちの混乱を避けるため、通常は両方のコマンドを実行することをおすすめします。

awplus(config)# interface port1.0.1 ↓ awplus(config-if)# no shutdown ↓

Note - ダイナミックポートセキュリティーを使用しているポート（switchport port-security agingコマンドを実行しているポート）では、学習アドレス数がいったん上限に達しても、エージングにより再度上限を下回ることがありますが、アクションにshutdown（DISABLE）を指定した場合は、学習アドレス数が上限を下回っても該当ポートが自動的に有効化されることはありません。

awplus(config)# interface port1.0.1 ↓ awplus(config-if)# storm-control broadcast level 30 ↓

awplus(config)# interface port1.0.1 ↓ awplus(config-if)# storm-control multicast level 50 ↓

awplus(config)# interface port1.0.1 ↓ awplus(config-if)# storm-control dlf level 70 ↓

awplus(config)# interface port1.0.1 ↓ awplus(config-if)# no storm-control broadcast level ↓

• LDF検出
  
• MACアドレススラッシングプロテクション
  

Note - LDF検出とMACアドレススラッシングプロテクションは同一装置上で併用（同時使用）できません。初期状態ではMACアドレススラッシングプロテクションが有効なため、LDF検出を使う場合は、全ポートでMACアドレススラッシングプロテクションを無効化（thrash-limitingコマンドのactionパラメーターにnoneを指定する）してから、LDF検出を有効化してください。

Note - EPSRのマスターノードでLDF機能を使用する場合、EPSRのプライマリーポート、セカンダリーポートでは、LDF検出機能を無効にしてください（loop-protection actionコマンドでnoneを指定）。EPSRのプライマリーポート、セカンダリーポート以外のポートではLDF検出機能が使用できます。

表 2：LDFによるループ検出時の動作

port-disable	ポートを無効化する。リンクはアップ状態のまま。また、ログへの記録とSNMPトラップの送信も行う
vlan-disable	ループを検出したVLANに対してのみポートを無効化する（初期値）。また、ログへの記録とSNMPトラップの送信も行う
link-down	ポートを物理的にリンクダウンさせる。また、ログへの記録とSNMPトラップの送信も行う
log-only	ポートの制御は行わず、ログへの記録とSNMPトラップの送信だけを行う
none	LDF検出機能を無効にする

1. すべてのポート（トランクグループを含む）でMACアドレススラッシングプロテクションを無効化します。これは、thrash-limitingコマンドのactionパラメーターにnoneを指定することで行います。
   たとえば、ポート1.0.1〜1.0.24とスタティックチャンネルグループsa1、sa2でMACアドレススラッシングプロテクションを無効化するには次のようにします。
   

   awplus(config)# interface port1.0.1-1.0.24 ↓ awplus(config-if)# thrash-limiting action none ↓ awplus(config-if)# exit ↓ awplus(config)# interface sa1,sa2 ↓ awplus(config-if)# thrash-limiting action none ↓ awplus(config-if)# exit ↓

   Note - MACアドレススラッシングプロテクションをすでに無効化している場合、本手順は不要です。また、上記コマンドは一例です。interfaceコマンドで指定するインターフェース名は適宜変更してください。

   
   
2. LDF検出機能を有効化します。
   

   awplus(config)# loop-protection loop-detect ↓

   
   
3. ポート単位での動作設定はloop-protection actionコマンドで行います。初期状態では各ポートにvlan-disableアクションが設定されていますが、ここでは、ポートグループ1.0.1〜1.0.8に対してlink-downアクションを設定し、LDFによるループ検出時にポートを物理的にリンクダウンするよう設定を変更してみます。
   

   awplus(config)# interface port1.0.1-1.0.8 ↓ awplus(config-if)# loop-protection action link-down ↓

   Note - port-disable、vlan-disable（初期設定）アクションを使用する場合は、LDFの帯域を制限するため、次項のQoSポリシーを必ず適用してください。

Note - すでにQoSの設定を行っている場合は、既存のポリシーマップに下記の設定（制御パケットを優先するための設定）を追加してください。

1. QoS機能を有効にします。
   QoS関連コマンドの多くは、QoS機能を有効にしておかないと実行できないので、最初にmls qos enableコマンドを実行してQoS機能を有効化しておいてください。
   

   awplus(config)# mls qos enable ↓

   
   
2. LDFを識別するハードウェアMACアクセスリストを作成します。これにはaccess-list(hardware mac)コマンドを使います。0000.f427.7101はLDF用の特殊な宛先MACアドレスです。
   

   awplus(config)# access-list 4000 permit any 0000.f427.7101 0000.0000.0000 ↓

   
   
3. LDFをトラフィッククラスに分類するためのクラスマップを作成します。
   

   awplus(config)# class-map LDF ↓ awplus(config-cmap)# match access-group 4000 ↓ awplus(config-cmap)# exit ↓

   
   
4. クラスマップをポリシーマップに関連付け、帯域制限のパラメーターを指定します。
   

   awplus(config)# policy-map LDFCtrl ↓ awplus(config-pmap)# class LDF ↓ awplus(config-pmap-c)# police single-rate 512 1024 2048 action drop-red ↓ awplus(config-pmap-c)# exit ↓ awplus(config-pmap)# exit ↓

   
   
5. port-disable、vlan-disableアクションを使用するすべてのポートにポリシーマップを適用します。
   

   awplus(config)# interface port1.0.1-1.0.24 ↓ awplus(config-if)# service-policy input LDFCtrl ↓

   Note - スタティックチャンネルグループ（手動設定のトランクグループ）を設定している場合は、インターフェース名「saX」（Xはスタティックチャンネルグループ番号）にポリシーマップを適用してください。

awplus(config)# interface port1.0.1-1.0.8 ↓ awplus(config-if)# loop-protection timeout 60 ↓

• ただし、LDF検出のログメッセージはinformationalレベルなので、メモリー上に保存されるbufferedログ、permanentログの初期設定では記録されません。LDF検出のログメッセージをこれらのログに記録するためには、log(filter)コマンドを使ってログフィルターの設定を変更する必要があります。たとえば、bufferedログにinformationalレベルのログを記録したいときは次のようにします。
  

  awplus(config)# log buffered level information ↓

  なお、前記コマンドではLDF検出以外のinformationalログも記録されてしまいます。これを避けるには先ほどのコマンドの代わりに次のようにしてプログラム名loopprotを指定するのがよいでしょう。
  

  awplus(config)# log buffered level informational program loopprot ↓

  
  
• また、実際にSNMPトラップを送信するには、トラップ送信先などのSNMP基本設定に加え、snmp-server enable trapコマンドで「loopprot」を有効にしておく必要があります。SNMPの基本設定については「運用・管理」/「SNMP」をご覧ください。
  

  awplus(config)# snmp-server enable trap loopprot ↓

awplus(config)# interface sa1 ↓ awplus(config-if)# loop-protection action link-down ↓

Note - saXインターフェースに対してLDF検出の設定をしているときは、saX内のメンバーポートに対する個別設定は無視されます。

awplus(config)# interface po1 ↓ awplus(config-if)# loop-protection action port-disable ↓

Note - poXインターフェースに対してLDF検出の設定をしているときは、poX内のメンバーポートに対する個別設定は無視されます。

awplus# show loop-protection ↓

awplus(config)# no loop-protection loop-detect ↓

awplus(config)# interface port1.0.1-1.0.2 ↓ awplus(config-if)# loop-protection action none ↓

表 3：MACアドレススラッシング検出時の動作

learn-disable	MACアドレスの学習を停止する（初期値）
port-disable	ポートを無効化する。リンクはアップ状態のまま
vlan-disable	スラッシングを検出したVLANに対してのみポートを無効化する
link-down	ポートを物理的にリンクダウンさせる
none	何もしない

Note - MACアドレススラッシングプロテクションとLDF検出は同一装置上で併用（同時使用）できません。初期状態では、MACアドレススラッシングプロテクションが有効、LDF検出が無効に設定されているため、MACアドレススラッシングプロテクションを使う場合はLDF検出を有効化せずにそのままお使いください。すでにLDF検出を使っている場合は、LDF検出を無効化（loop-protectionコマンドをno形式で実行）してからMACアドレススラッシングプロテクションを有効化してください。

awplus(config)# interface port1.0.1-1.0.8 ↓ awplus(config-if)# thrash-limiting action vlan-disable ↓

awplus(config)# interface port1.0.1-1.0.8 ↓ awplus(config-if)# thrash-limiting timeout 5 ↓

awplus(config)# interface sa1 ↓ awplus(config-if)# thrash-limiting action vlan-disable timeout 5 ↓

Note - saXインターフェースに対してMACアドレススラッシングプロテクションの設定をしているときは、saX内のメンバーポートに対する個別設定は無視されます。

awplus(config)# interface po1 ↓ awplus(config-if)# thrash-limiting action vlan-disable timeout 5 ↓

Note - poXインターフェースに対してMACアドレススラッシングプロテクションの設定をしているときは、poX内のメンバーポートに対する個別設定は無視されます。

awplus(config)# mac address-table thrash-limit 5 ↓

awplus(config)# interface port1.0.1-1.0.24 ↓ awplus(config-if)# thrash-limiting action none ↓

awplus(config)# interface port1.0.13 ↓ awplus(config-if)# egress-rate-limit 8m ↓ % Egress rate limit has been set to 8000 Kb

awplus(config)# interface port1.0.13 ↓ awplus(config-if)# no egress-rate-limit ↓

awplus> show interface port1.0.13 ↓ Interface port1.0.13 Scope: both Link is UP, administrative state is UP Thrash-limiting Status Not Detected, Action learn-disable, Timeout 1(s) Hardware is Ethernet, address is 0000.cd24.0367 (bia 0000.cd24.0367) index 5013 metric 1 mtu 1500 duplex-full speed 100 polarity auto <UP,BROADCAST,RUNNING,MULTICAST> VRF Binding: Not bound Egress Rate Limit 8000 Kb input packets 235512, bytes 16850873, dropped 0, multicast packets 12 output packets 8746698, bytes 9367135608, multicast packets 2007 broadcast p ackets 11

1. リンクダウン時にflash:/p101down.scpを実行するインターフェーストリガー「1」を作成します。
   

   awplus(config)# trigger 1 ↓ awplus(config-trigger)# type interface port1.0.1 down ↓ awplus(config-trigger)# script 1 flash:/p101down.scp ↓ awplus(config-trigger)# exit ↓

   
   
2. リンクアップ時にflash:/p101up.scpを実行するインターフェーストリガー「2」を作成します。
   

   awplus(config)# trigger 2 ↓ awplus(config-trigger)# type interface port1.0.1 up ↓ awplus(config-trigger)# script 1 flash:/p101up.scp ↓ awplus(config-trigger)# end ↓

(C) 2011 アライドテレシスホールディングス株式会社

PN: 613-001613 Rev.A