[index] CentreCOM x900シリーズ・SwitchBlade x908 コマンドリファレンス 5.3.2

インターフェース / スイッチポート

  - ポートの指定
   - スイッチポート
   - トランクグループ
  - ポートとインスタンス
  - 基本コマンド
  - ポートミラーリング
   - 基本設定
  - ポートセキュリティー
  - パケットストームプロテクション
  - ループガード
   - LDF検出
   - MACアドレススラッシングプロテクション
  - ポート帯域制限機能
  - トリガー

portX.Y.Z


• XはスタックメンバーID（1〜8）です。スタックしていない場合はつねに「1」を指定します
  
• Yは拡張モジュールベイの番号です。ベイの数や番号の振り方は機種によって異なりますので取扱説明書で確認してください。また、本体内蔵ポートの場合は「0」を指定します。
  
• Zはポート番号です。
  

port1.0.21


port3.1.11


saX


• Xはスタティックチャンネルグループ番号（1〜31）です。これはstatic-channel-groupコマンドで指定した番号です
  

poX


• XはLACPチャンネルグループ番号（1〜99）です。これはchannel-groupコマンドで指定した番号です
  

• QoSポリシーマップ
  スタティックチャンネルグループ（手動設定のトランクグループ）、LACPチャンネルグループ（自動設定のトランクグループ）ともに、所属ポートが複数のインスタンスにわたっている場合、該当トランクグループではQoSのメータリングが動作しません。複数インスタンスにまたがるトランクグループに対しては、メータリング（ポリサー）設定（police aggregateコマンド、police single-rateコマンド、police twin-rateコマンド）を含むポリシーマップを適用しないでください（適用してもメータリングが動作しません）。
  

awplus(config)# interface port1.0.8 ↓ awplus(config-if)# shutdown ↓

awplus(config)# interface port1.0.8 ↓ awplus(config-if)# no shutdown ↓

awplus(config)# interface port1.0.1 ↓ awplus(config-if)# speed 100 ↓ awplus(config-if)# duplex full ↓

awplus> show interface port1.0.1 ↓

awplus> clear port counter port1.0.1 ↓

Note - 本製品のポートミラーリング機能では、すべてのパケットがタグなしでミラーポートに出力されます。

1. ミラーポートとして設定するポートを指定してインターフェースモードに入ります。ここでは、ポート1.0.5をミラーポートに設定します。
   

   awplus(config)# interface port1.0.5 ↓

   
   

   Note - ミラーポートはシステム内で1つしか設定できないため、インターフェースモードに入るときは、interfaceコマンドでスイッチポートを1つだけ指定してください。複数ポートを指定してインターフェースモードに入った場合、次の手順でmirror interfaceコマンドを実行したときエラーになります。

   
   

   Note - トランクグループ（LACPチャンネルグループ、スタティックチャンネルグループ）、および、トランクグループに参加しているポートをミラーポートに設定することはできません。ここでトランクグループやトランクグループに参加しているポートを指定すると、次の手順でmirror interfaceコマンドを実行したときエラーになります。

   
   
2. ソースポートとトラフィックの向きを指定します。ここではポート1.0.1から送受信されるトラフィックをミラーポートにコピーします。
   

   awplus(config-if)# mirror interface port1.0.1 direction both ↓

   
   

   Note - ミラーポートはシステム内で1つしか設定できないため、すでに他のポートがミラーポートに設定されている場合、mirror interfaceコマンドは失敗します。その場合は、現行ミラーポートの設定を解除してから、もう一度同コマンドを実行してください。

   
   

   Note - 複数のポートをミラーしたいときは、ソースポートを「port1.0.1-port1.0.3」のように複数指定することができます。ただし、ミラーリング対象ポートを増やすことはパフォーマンス低下につながりますのでご注意ください。なお、送信パケットのミラーリングは8ポートまでに制限されます。

   
   

   Note - トランクグループ（LACPチャンネルグループ「poX」、スタティックチャンネルグループ「saX」）、および、トランクグループに参加しているポートをソースポートに指定することはできません。

   
   

   Note - mirror interfaceコマンドを実行すると、指定ポートはミラーポートとして設定され、どのVLANにも属していない状態となります。

   
   

   Note - ミラーポートに設定されたポートは通常のスイッチポートとしては機能しません。

   
   

   Note - ポートミラーリングを使用するときは、ハードウェアパケットフィルターやQoSポリシーマップのcopy-to-mirrorアクションを使用しないでください。copy-to-mirrorアクションを使用している場合、mirror interfaceコマンドで指定したソースポートとトラフィックの向きは無視され、copy-to-mirrorアクションによってコピーされたパケットだけがミラーポートに出力されます。copy-to-mirrorアクションは、access-list(hardware ip)コマンド、access-list(hardware mac)コマンド、default-actionコマンドで設定します。

awplus> show mirror ↓ Mirror Test Port Name: port1.0.5 Mirror option: Enabled Mirror direction: both Monitored Port Name: port1.0.1

awplus(config)# interface port1.0.5 ↓ awplus(config-if)# no mirror interface port1.0.1 ↓

Note - トランクグループではポートセキュリティーを使用できません。

表 1

アクション名	動作
protect（DISCARD）	不正なパケットを破棄する。
restrict（TRAP）	不正なパケットを破棄し、SNMPトラップを送信する（トラップは各MACアドレスに対して最初の一回だけ送信）。
shutdown（DISABLE）	不正なパケットを破棄し、該当ポートを無効化する。

1. 対象ポートを指定してインターフェースモードに入ります。
   

   awplus(config)# interface port1.0.1 ↓

   
   
2. 対象ポートでポートセキュリティーを有効にします。これには、switchport port-securityコマンドを使います。同コマンドを実行しただけでは、学習可能なMACアドレス数の上限が設定されていないため、まだポートセキュリティーの動作はしません。
   

   awplus(config-if)# switchport port-security ↓

   
   
3. 対象ポートで学習可能なMACアドレスの最大数を設定します（初期値は0。これは制限なしの意）。これには、switchport port-security maximumコマンドを使います。
   

   awplus(config-if)# switchport port-security maximum 20 ↓

   
   
4. 不正パケット受信時のアクションを指定します（初期値はprotect）。これには、switchport port-security violationコマンドを使います。
   

   awplus(config-if)# switchport port-security violation shutdown ↓

• switchport port-security agingコマンドが実行されているとき（ダイナミックポートセキュリティー）、学習したMACアドレスはダイナミックMACアドレスとして扱われ、エージングによって削除されます（Dynamic Limitedモード）。
  
  
• switchport port-security agingコマンドが実行されていないとき（通常のポートセキュリティー）は、学習したMACアドレスはスタティックMACアドレスとして扱われ、エージングによって削除されません（Limitedモード）。
  

awplus> show mac address-table | include port1.0.1 ↓ 1 port1.0.1 000a.7933.7b43 forward static 1 port1.0.1 000a.7934.0612 forward static

awplus> show port-security interface port1.0.1 ↓ Port Security configuration ------------------------------------------------------------ Security Enabled : YES Port Status : ENABLED Violation Mode : DISCARD Aging : OFF Maximum MAC Addresses : 2 Current Learned Addresses : 2 Lock Status : LOCKED Security Violation Count : 1 Last Violation Source Address : 00-00-cd-08-17-0c

awplus# show port-security intrusion ↓ Port Security Intrusion List ------------------------------------------------------------ Interface: port1.0.1 - 2 intrusion(s) detected 00-0c-29-04-49-46 00-00-cd-08-17-0c Interface: port1.0.2 - no intrusions detected Interface: port1.0.3 - no intrusions detected ...

awplus(config)# mac address-table static 0000.f488.8888 forward interface port1.0.1 vlan 1 ↓

awplus(config)# no mac address-table static 0000.f488.8888 forward interface port1.0.1 vlan 1 ↓

awplus(config)# interface port1.0.1 ↓ awplus(config-if)# no switchport port-security ↓ awplus(config-if)# no switchport port-security maximum ↓

Note - どちらか一方のコマンドを実行すればポートセキュリティーの動作が無効になり、ポートのロックも解除されますが、片方だけを実行した場合はもう一方の設定がランニングコンフィグに残ります。これでも動作上は問題ありませんが、のちの混乱を避けるため、通常は両方のコマンドを実行することをおすすめします。

awplus(config)# interface port1.0.1 ↓ awplus(config-if)# no shutdown ↓

Note - ダイナミックポートセキュリティーを使用しているポート（switchport port-security agingコマンドを実行しているポート）では、学習アドレス数がいったん上限に達しても、エージングにより再度上限を下回ることがありますが、アクションにshutdown（DISABLE）を指定した場合は、学習アドレス数が上限を下回っても該当ポートが自動的に有効化されることはありません。

awplus(config)# interface port1.0.1 ↓ awplus(config-if)# storm-control broadcast level 30 ↓

awplus(config)# interface port1.0.1 ↓ awplus(config-if)# storm-control multicast level 50 ↓

awplus(config)# interface port1.0.1 ↓ awplus(config-if)# storm-control dlf level 70 ↓

awplus(config)# interface port1.0.1 ↓ awplus(config-if)# no storm-control broadcast level ↓

• LDF検出
  
• MACアドレススラッシングプロテクション
  

Note - LDF検出とMACアドレススラッシングプロテクションは同一装置上で併用（同時使用）できません。初期状態ではMACアドレススラッシングプロテクションが有効なため、LDF検出を使う場合は、全ポートでMACアドレススラッシングプロテクションを無効化（thrash-limitingコマンドのactionパラメーターにnoneを指定する）してから、LDF検出を有効化してください。

表 2：LDFによるループ検出時の動作

port-disable	ポートを無効化する。リンクはアップ状態のまま。また、ログへの記録とSNMPトラップの送信も行う
vlan-disable	ループを検出したVLANに対してのみポートを無効化する（初期値）。また、ログへの記録とSNMPトラップの送信も行う
link-down	ポートを物理的にリンクダウンさせる。また、ログへの記録とSNMPトラップの送信も行う
log-only	ポートの制御は行わず、ログへの記録とSNMPトラップの送信だけを行う
none	何もしない

1. すべてのポートでMACアドレススラッシングプロテクションを無効化します。これは、thrash-limitingコマンドのactionパラメーターにnoneを指定することで行います。
   たとえば、ポート1.0.1〜1.0.24でMACアドレススラッシングプロテクションを無効化するには次のようにします。
   

   awplus(config)# interface port1.0.1-1.0.24 ↓ awplus(config-if)# thrash-limiting action none ↓ awplus(config-if)# exit ↓

   
   

   Note - MACアドレススラッシングプロテクションをすでに無効化している場合、本手順は不要です。また、上記コマンドは一例です。interfaceコマンドで指定するインターフェース名は適宜変更してください。

   
   
2. LDF検出機能を有効化します。
   

   awplus(config)# loop-protection loop-detect ↓

awplus(config)# interface port1.0.1-1.0.8 ↓ awplus(config-if)# loop-protection action link-down ↓

awplus(config)# interface port1.0.1-1.0.8 ↓ awplus(config-if)# loop-protection timeout 60 ↓

• ただし、LDF検出のログメッセージはinformationalレベルなので、メモリー上に保存されるbufferedログ、permanentログの初期設定では記録されません。LDF検出のログメッセージをこれらのログに記録するためには、log(filter)コマンドを使ってログフィルターの設定を変更する必要があります。たとえば、bufferedログにinformationalレベルのログを記録したいときは次のようにします。
  

  awplus(config)# log buffered level information ↓

  なお、前記コマンドではLDF検出以外のinformationalログも記録されてしまいます。これを避けるには先ほどのコマンドの代わりに次のようにしてプログラム名loopprotを指定するのがよいでしょう。
  

  awplus(config)# log buffered level informational program loopprot ↓

  
  
• また、実際にSNMPトラップを送信するには、トラップ送信先などのSNMP基本設定に加え、snmp-server enable trapコマンドで「loopprot」を有効にしておく必要があります。SNMPの基本設定については「運用・管理」/「SNMP」をご覧ください。
  

  awplus(config)# snmp-server enable trap loopprot ↓

awplus(config)# interface sa1 ↓ awplus(config-if)# loop-protection action link-down ↓

Note - saXインターフェースに対してLDF検出の設定をしているときは、saX内のメンバーポートに対する個別設定は無視されます。

awplus(config)# interface po1 ↓ awplus(config-if)# loop-protection action port-disable ↓

Note - poXインターフェースに対してLDF検出の設定をしているときは、poX内のメンバーポートに対する個別設定は無視されます。

awplus> show loop-protection ↓

awplus(config)# no loop-protection loop-detect ↓

awplus(config)# interface port1.0.1-1.0.2 ↓ awplus(config-if)# loop-protection action none ↓

Note - トランクグループではMACアドレススラッシングプロテクションが機能しません。LACPチャンネルグループ「poX」、スタティックチャンネルグループ「saX」、および、トランクグループのメンバーポートに対して、MACアドレススラッシングプロテクションの設定をしないでください（設定しても動作しません）。

表 3：MACアドレススラッシング検出時の動作

learn-disable	MACアドレスの学習を停止する（初期値）
port-disable	ポートを無効化する。リンクはアップ状態のまま
vlan-disable	スラッシングを検出したVLANに対してのみポートを無効化する
link-down	ポートを物理的にリンクダウンさせる
none	何もしない

Note - MACアドレススラッシングプロテクションとLDF検出は同一装置上で併用（同時使用）できません。初期状態では、MACアドレススラッシングプロテクションが有効、LDF検出が無効に設定されているため、MACアドレススラッシングプロテクションを使う場合はLDF検出を有効化せずにそのままお使いください。すでにLDF検出を使っている場合は、LDF検出を無効化（loop-protectionコマンドをno形式で実行）してからMACアドレススラッシングプロテクションを有効化してください。

awplus(config)# interface port1.0.1-1.0.8 ↓ awplus(config-if)# thrash-limiting action vlan-disable ↓

awplus(config)# interface port1.0.1-1.0.8 ↓ awplus(config-if)# thrash-limiting timeout 5 ↓

awplus(config)# mac address-table thrash-limit 5 ↓

awplus(config)# interface port1.0.1-1.0.24 ↓ awplus(config-if)# thrash-limiting action none ↓

awplus(config)# interface port1.0.13 ↓ awplus(config-if)# egress-rate-limit 8m ↓ % Egress rate limit has been set to 8463 Kb

Note - egress-rate-limitコマンドに指定できる値の範囲は1〜10000000Kbpsですが、実際に使用できるのは1〜2665845Kbpsです。また、帯域制限の粒度は651Kbpsなので、指定値が651Kbpsの倍数でない場合は倍数になるよう丸められる点にもご注意ください。上記例でも指定値が651Kbpsの倍数（8463Kbps = 651Kbps x 13）に丸められています。

awplus(config)# interface port1.0.13 ↓ awplus(config-if)# no egress-rate-limit ↓

awplus> show interface port1.0.13 ↓ Interface port1.0.13 Scope: both Link is UP, administrative state is UP Thrash-limiting Status Not Detected, Action learn-disable, Timeout 1(s) Hardware is Ethernet, address is 0000.cd24.0367 (bia 0000.cd24.0367) index 5013 metric 1 mtu 1500 duplex-full speed 100 polarity auto <UP,BROADCAST,RUNNING,MULTICAST> VRF Binding: Not bound Egress Rate Limit 8463 Kb input packets 235512, bytes 16850873, dropped 0, multicast packets 12 output packets 8746698, bytes 9367135608, multicast packets 2007 broadcast p ackets 11

1. リンクダウン時にflash:/p101down.scpを実行するインターフェーストリガー「1」を作成します。
   

   awplus(config)# trigger 1 ↓ awplus(config-trigger)# type interface port1.0.1 down ↓ awplus(config-trigger)# script 1 flash:/p101down.scp ↓ awplus(config-trigger)# exit ↓

   
   
2. リンクアップ時にflash:/p101up.scpを実行するインターフェーストリガー「2」を作成します。
   

   awplus(config)# trigger 2 ↓ awplus(config-trigger)# type interface port1.0.1 up ↓ awplus(config-trigger)# script 1 flash:/p101up.scp ↓ awplus(config-trigger)# end ↓

(C) 2007 - 2009 アライドテレシスホールディングス株式会社

PN: 613-000751 Rev.H