こ のマス ク では、 パケ ッ ト ヘ ッ ダーでチ ェ ッ ク する フ ィ ール ド を定義 し ます。
コ マ ン ド の使用
ACL ルールをポー ト にバイ ン ド する前に、 ルールのマス ク を構成する必要があ り ます。
コ マ ン ド 属性
• 「Source/Destination MAC」 – すべてのア ド レ スに合致 さ せるには 「Any」、 単一 ノ ー ド の ホス ト ア ド レ ス を指定するには 「Host」 、 ア ド レ ス範囲を指定するには 「MAC」 を使用 し ます （オプ シ ョ ン: 「Any」、 「Host」、 「MAC」、 デ フ ォル ト: 「Any」）。
• 「Source/Destination MAC Bitmask」 – ルールのア ド レ スが こ のビ ッ ト マス ク に合致する 必要があ り ます。
• 「VID Bitmask」 – ルールの VLAN ID が このビ ッ ト マ ス ク に合致する必要があ り ます。
• 「Ethernet Type Bitmask」 – ルールのイ ーサネ ッ ト タ イ プが こ のビ ッ ト マス ク に合致する 必要があ り ます。
• 「Packet Format Bitmask」 – ルールでパケ ッ ト 形式が指定 さ れている必要があ り ます。
ウ ェ ブ – MAC イ ン グ レ ス ま たはイ グ レ ス ACL で必要なルールに合致 さ せる マ ス ク を構成 し ます。 送信元または宛先ア ド レ ス、 ホス ト ア ド レ ス、 またはア ド レ ス範囲を チ ェ ッ ク する マ ス ク を設定 し ます。 特定の VLAN ID やイ ーサネ ッ ト タ イ プ を検索するには、 ビ ッ ト マ ス ク を 使用 し ます。 ま たは、 パケ ッ ト 形式が指定 さ れたルールを チ ェ ッ ク し ます。 次に、 「Add」 を ク リ ッ ク し ます。
図3-37. ACL マス クの構成 - MAC
3
ア ク セ ス制御 リ ス ト
CLI – こ の例には、 イ ング レ ス MAC ACL を作成 し 、 ポー ト にバイ ン ド する方法が示 さ れてい ます。 その後、 マス ク に よ っ てルールの順序が変更 さ れた こ と が示 さ れています。
ア ク セス制御 リ ス ト へのポー ト のバイ ン ド
ア ク セ ス制御 リ ス ト （ACL） を構成 し た ら 、 ト ラ フ ィ ッ ク を フ ィ ル タ リ ン グす る必要のあ る ポー ト を適切な ACL にバイ ン ド で き ます。 各ポー ト にバイ ン ド で き る ACL は、 基本 タ イ プ
（IP イ ング レ ス、IP イ グ レ ス、MAC イ ン グ レ ス、および MAC イ グ レ ス） ご と に 1 つのみです。
コ マ ン ド の使用
• ACL ルールをポー ト にバイ ン ド する前に、 ルールのマス ク を構成する必要があ り ます。
• こ のス イ ッ チでは、 イ ング レ スおよび イ グ レ ス フ ィ ル タ リ ング用の ACL がサポー ト さ れ ます。 ただ し 、 イ ング レ ス フ ィ ル タ リ ング用に各ポー ト にバイ ン ド で き る IP ACL と MAC ACL はそれぞれ 1 つのみです。 また、 イ グ レ ス フ ィ ル タ リ ン グ用に各ポー ト にバイ ン ド で き る IP ACL と MAC ACL はそれぞれ 1 つのみです。 すなわち、1 つのイ ン タ ー フ ェ ースに は、 イ ング レ ス IP ACL、 イ グ レ ス IP ACL、 イ ング レ ス MAC ACL、 および イ グ レ ス MAC ACL の 4 つの ACL のみをバイ ン ド で き ます。
• ACL を イ グ レ ス フ ィ ル タ と し て イ ン タ ー フ ェ ースにバイ ン ド する場合、ACL のすべてのエ ン ト リ は拒否ルールであ る必要があ り ます。 そ う でない場合、 バイ ン ド オペ レーシ ョ ンが 失敗する場合があ り ます。
• ス イ ッ チでは、 イ グ レ ス IP ACL またはイ グ レ ス MAC ACL において明示的な 「deny any any」 ルールはサポー ト さ れません。 このよ う なルールが ACL に含まれている場合、 イ グ レ ス チ ェ ッ クのために ACL を イ ン タ ー フ ェ ースにバイ ン ド し よ う と する と 、 バイ ン ド オ ペ レーシ ョ ンが失敗する場合があ り ます。
Console(config)#access-list mac M4 4-100
Console(config-mac-acl)#permit any any 4-101
Console(config-mac-acl)#deny tagged-eth2 00-11-11-11-11-11
ff-ff-ff-ff-ff-ff any vid 3 4-101
Console(config-mac-acl)#end
Console#show access-list 4-109
MAC access-list M4:
permit any any
deny tagged-eth2 host 00-11-11-11-11-11 any vid 3
Console(config)#access-list mac mask-precedence in 4-103 Console(config-mac-mask-acl)#mask pktformat ff-ff-ff-ff-ff-ff any vid 4-104 Console(config-mac-mask-acl)#exit
Console(config)#interface ethernet 1/12 4-124
Console(config-if)#mac access-group M4 in 4-106
Console(config-if)#end Console#show access-list MAC access-list M4:
deny tagged-eth2 host 00-11-11-11-11-11 any vid 3 permit any any
MAC ingress mask ACL:
mask pktformat host any vid Console#
コ マ ン ド 属性
• 「Port」 – 固定ポー ト または SFP モ ジ ュ ール （範囲: 1 ～ 24、1 ～ 48）
• 「IP」 – ポー ト にバイ ン ド する IP ACL を指定 し ます。
• 「MAC」 – ポー ト にバイ ン ド する MAC ACL を指定 し ます。
• 「IN」 – イ ング レ ス パケ ッ ト の ACL
• 「OUT」 – イ グ レ ス パケ ッ ト の ACL
• 「ACL Name」 – ACL の名前
ウ ェ ブ – 「Security」 、 「ACL」 、 「Port Binding」 の順に ク リ ッ ク し ます。 イ ン グ レ ス またはイ グ レ ス ト ラ フ ィ ッ ク の ACL にバ イ ン ド す る ポー ト の 「Enable」 フ ィ ール ド を オ ン に し 、 ド ロ ッ プ ダウ ン リ ス ト から 必要な ACL を選択 し て、 「Apply」 を ク リ ッ ク し ます。
図3-38. ポー ト への ACL のバイ ン ド
CLI – こ の例では、IP および MAC イ ング レ ス ACL をポー ト 1 に、IP イ ン グ レ ス ACL をポー ト 2 に割 り 当て ています。
Console(config)#interface ethernet 1/1 4-124
Console(config-if)#ip access-group david in 4-96 Console(config-if)#mac access-group jerry in 4-106 Console(config-if)#exit
Console(config)#interface ethernet 1/2 Console(config-if)#ip access-group david in Console(config-if)#
3
ポー ト コ ン フ ィ ギ ュ レーシ ョ ン
ポー ト コ ン フ ィ ギ ュ レーシ ョ ン
接続ス テー タ スの表示
ス ピー ド/二重モー ド 、 フ ロー制御、 自動ネゴ シ エーシ ョ ン な ど、 現在の接続ス テー タ ス を表 示するには、 「Port Information」 または 「Trunk Information」 ページ を使用 し ます。
フ ィ ール ド 属性 （ウ ェ ブ）
• 「Name」 – イ ン タ ー フ ェ ース ラ ベル
• 「Type」 – ポー ト タ イ プが示 さ れます （「1000BASE-T」 または 「SFP」）。
• 「Admin Status 」 – イ ン タ ー フ ェ ースが有効に さ れているか無効に さ れているかが示 さ れ ます。
• 「Oper Status」 – リ ン ク が確立 さ れているか切断 さ れているかが示 さ れます。
• 「Speed Duplex Status」 – 現在のス ピー ド および二重モー ド が示 さ れます
（「Auto」 または固定選択）。
• 「Flow Control Status」 – 現在使用中のフ ロー制御の タ イ プが示 さ れます
（「IEEE 802.3x」、 「Back-Pressure」、 または 「None」）。
• 「Autonegotiation」 – 自動ネゴ シ エーシ ョ ンが有効に さ れているか無効に さ れているかが 示 さ れます。
• 「Forced Mode」1 – コ ンボ ポー ト 21 ～ 24 または 45 ～ 48 に使用 さ れる強制/優先ポー ト タ イ プが示 さ れます
（「Copper-Forced」、 「Copper-Preferred-Auto」、 「SFP-Forced」、 「SFP-Preferred-Auto」）。
• 「Trunk Member」1 – ポー ト が ト ラ ン ク メ ンバーかど う かが示 さ れます。
• 「Creation」2 – ト ラ ン クが手動で構成 さ れたか LACP によ っ て動的に設定 さ れたかが示 さ れます。
1: 「Port Information」 のみ 2: 「Trunk Information」 のみ
ウ ェ ブ – 「Port」、 「Port Information」 または 「Trunk Information」 の順に ク リ ッ ク し ます。
図3-39. ポー ト - ポー ト 情報
フ ィ ール ド 属性 （CLI）
Basic information:
• 「Port type」 – ポー ト タ イ プが示 さ れます （「1000BASE-T」 ま たは 「SFP」）。
• 「MAC address」 – こ のポー ト の物理レ イ ヤー ア ド レ ス （ウ ェ ブ で こ の項目にア ク セスす るには、3-13ページの 「ス イ ッ チの IP ア ド レ スの設定」 を参照）
Configuration:
• 「Name」 – イ ン タ ー フ ェ ース ラ ベル
• 「Port admin」 – イ ン タ ー フ ェ ースが有効に さ れているか無効に さ れているか （稼動中か非 稼動か） が示 さ れます。
• 「Speed-duplex」 – 現在のス ピー ド および二重モー ド が示 さ れます
（「Auto」 または固定選択）。
• 「Capabilities」 – 自動ネゴ シ エーシ ョ ン中にア ド バ タ イ ズするポー ト の能力を指定 し ます
（ウ ェ ブ で こ の項目にア ク セスするには、3-68ページの 「イ ン タ ー フ ェ ース接続の構成」 を 参照）。 次の能力がサポー ト さ れます。
• 10half - 10 Mbps 半二重動作をサポー ト し ます。
• 10full - 10 Mbps 全二重動作をサポー ト し ます。
• 100half - 100 Mbps 半二重動作をサポー ト し ます。
• 100full - 100 Mbps 全二重動作をサポー ト し ます。
• 1000full - 1000 Mbps 全二重動作をサポー ト し ます。
• Sym - フ ロー制御用のポーズ フ レームを送受信 し ます。
• FC - フ ロー制御をサポー ト し ます。
• 「Broadcast storm」 – ブ ロー ド キ ャ ス ト ス ト ーム制御が有効に さ れているか無効に さ れて いるかが示 さ れます。
• 「Broadcast storm limit」 – ブ ロー ド キ ャ ス ト ス ト ーム し き い値が示 さ れます
（500 ～ 262143 パケ ッ ト/秒）。
• 「Flow control」 – フ ロー制御が有効に さ れているか無効に さ れているかが示 さ れます。
• 「LACP」 – LACP が有効に さ れているか無効に さ れているかが示 さ れます。
• 「Port Security」 – ポー ト セキ ュ リ テ ィ が有効に さ れているか無効に さ れているかが示 さ れます。
• 「Max MAC count」 – ポー ト が学習で き る最大 MAC ア ド レ ス数が示 さ れます
（0 ～ 20 ア ド レ ス）。
• 「Port security action」 – セキ ュ リ テ ィ 違反が検知 さ れた場合の対応が示 さ れます
（「shutdown」、 「trap」、 「trap-and-shutdown」）。
• 「Combo forced mode」 – コ ンボ ポー ト 21 ～ 24 または 45 ～ 48 に使用 さ れる強制/優先 ポー ト タ イ プが示 さ れます
（「copper forced」、 「copper preferred auto」、 「SFP forced」、 「SFP preferred auto」）。
Current Status:
• 「Link Status」 – リ ン ク が確立 さ れているか切断 さ れているかが示 さ れます。
• 「Operation speed-duplex」 – 現在のス ピー ド および二重モー ド が示 さ れます。
• 「Flow control type」 – 現在使用中の フ ロー制御の タ イ プが示 さ れます
（「IEEE 802.3x」、 「Back-Pressure」、 または 「none」）。
3
ポー ト コ ン フ ィ ギ ュ レーシ ョ ン
CLI – こ の例では、 ポー ト 5 の接続ス テー タ ス を表示 し ています。
Console#show interfaces status ethernet 1/5 4-131 Information of Eth 1/13
Basic information:
Port type: 1000T
Mac address: 00-30-f1-47-58-46 Configuration:
Name:
Port admin: Up Speed-duplex: Auto
Capabilities: 10half, 10full, 100half, 100full, 1000full, Broadcast storm: Enabled
Broadcast storm limit: 500 packets/second Flow control: Disabled
Lacp: Disabled
Port security: Disabled Max MAC count: 0
Port security action: None Combo forced mode: None Current status:
Link status: Down
Operation speed-duplex: 100full Flow control type: None
Console#
イ ン タ ー フ ェ ース接続の構成
イ ン タ ー フ ェ ー スの有効 / 無効、 自動ネ ゴ シ エ ー シ ョ ン お よ び ア ド バ タ イ ズす る イ ン タ ー フ ェ ース能力の設定、 ま たは手動に よ る ス ピー ド 、 二重モー ド 、 お よび フ ロ ー制御の設定を 行 う には、 「Port Configuration」 または 「Trunk Configuration」 ページ を使用 し ます。
コ マ ン ド 属性
• 「Name」 – イ ン タ ー フ ェ ースに ラ ベルを付ける こ と がで き ます （範囲: 1 ～ 64 文字）。
• 「Admin」 – 手動で イ ン タ ー フ ェ ース を無効にで き ます。 異常動作 （過剰な コ リ ジ ョ ン な ど）
が発生 し た場合に イ ン タ ー フ ェ ース を無効に し 、 問題解決後に再度有効にする こ と がで き ます。 セキ ュ リ テ ィ 上の理由で イ ン タ ー フ ェ ース を無効にする こ と も可能です。
• 「Speed/Duplex」 – 手動でポー ト ス ピー ド および二重モー ド を設定で き ます。
• 「Flow Control」 – フ ロー制御を自動または手動で選択で き ます。
• 「Autonegotiation」 （ポー ト 能力） – 自動ネゴ シ エーシ ョ ン を有効/無効にで き ます。 自動 ネゴ シ エーシ ョ ン を有効にする場合、ア ド バ タ イ ズする能力を指定する必要があ り ます。自 動ネ ゴ シ エーシ ョ ン を無効にする場合、 ス ピー ド 、 モー ド 、 お よび フ ロー制御を強制的に 設定で き ます。 次の能力がサポー ト さ れます。
- 10half - 10 Mbps 半二重動作をサポー ト し ます。
- 10full - 10 Mbps 全二重動作をサポー ト し ます。
- 100half - 100 Mbps 半二重動作をサポー ト し ます。
- 100full - 100 Mbps 全二重動作をサポー ト し ます。
- 1000full - 1000 Mbps 全二重動作をサポー ト し ます。
- Sym（ギガ ビ ッ ト のみ） - こ の項目は、 ポーズ フ レームを送受信する場合はオ ンに し 、 送 信側 と 受信側で非対称ポーズ フ レ ームの自動ネ ゴ シ エーシ ョ ン を行 う 場合はオ フ に し ます （現在のス イ ッ チ チ ッ プは対称ポーズ フ レームのみをサポー ト ）。
- FC - フ ロー制御をサポー ト し ます。
フ ロ ー制御では、 バ ッ フ ァ が一杯に な っ た場合に ス イ ッ チに直接接続 さ れた エ ン ド ス テーシ ョ ン またはセグ メ ン ト か らの ト ラ フ ィ ッ ク を 「ブ ロ ッ ク」 する こ と に よ り 、 フ レー ムの損失を防止で き ます。 有効に し た場合、 半二重動作時にはバ ッ ク プ レ ッ シ ャが、 全 二重動作時には IEEE 802.3x が使用 さ れます （実際に問題を解決する必要があ る場合を 除き、 ハブに接続 さ れたポー ト で フ ロー制御を使用 し ない こ と 。 バ ッ ク プ レ ッ シ ャ に よ る妨害信号に よ っ て、 ハブに接続 さ れたセグ メ ン ト の全体的な性能が低下する可能性が ある）。
（デ フ ォル ト: 自動ネゴ シ エーシ ョ ンは有効、 ア ド バ タ イ ズする能力は
100BASE-TX – 10half、10full、100half、100full、1000full、1000BASE-SX/LX/LH – 1000full）
• 「Forced Mode」 – コ ンボ ポー ト 21 ～ 24 または 45 ～ 48 に使用 さ れる強制/優先ポー ト タ イ プが示 さ れます。
- 「Copper-Forced」 - 常に組込み RJ-45 ポー ト を使用 し ます。
- 「Copper-Preferred-Auto」 - 両方の コ ンボ タ イ プが機能 し 、RJ-45 ポー ト に有効な リ ン クが存在する場合、 組込み RJ-45 ポー ト を使用 し ます。
- 「SFP-Forced」 - 常に SFP ポー ト を使用 し ます （モ ジ ュ ールがイ ン ス ト ール さ れていな い場合 も含む）。
- 「SFP-Preferred-Auto」 - 両方の コ ンボ タ イ プが機能 し 、SFP ポー ト に有効な リ ン クが存 在する場合、SFP ポー ト を使用 し ます。