Catalyst 2960-X スイッチセキュリティコマンドリファレンス、Cisco IOS Release 15.0(2)EX

(1)

Catalyst 2960-X スイッチセキュリティコマンドリファレンス、

Cisco IOS Release 15.0(2)EX

初版：2013 年 07 月 10 日

シスコシステムズ合同会社

〒107-6227 東京都港区赤坂9-7-1 ミッドタウン・タワー http://www.cisco.com/jp お問い合わせ先：シスココンタクトセンター 0120-092-255 （フリーコール、携帯・PHS含む）電話受付時間：平日 10:00～12:00、13:00～17:00 http://www.cisco.com/jp/go/contactcenter/

(2)

【注意】シスコ製品をご使用になる前に、安全上の注意（ www.cisco.com/jp/go/safety_warning/ ） をご確認ください。本書は、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきま しては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更され ている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。また、契約等の記述については、弊社販売パートナー、または、弊社担当者にご確認ください。このマニュアルに記載されている仕様および製品に関する情報は、予告なしに変更されることがあります。このマニュアルに記載されている表現、情報、および推奨事項は、すべて正確であると考えていますが、明示的であれ黙示的であれ、一切の保証の責任を負わないものとします。このマニュアルに記載されている製品の使用は、すべてユーザ側の責任になります。対象製品のソフトウェアライセンスおよび限定保証は、製品に添付された『Information Packet』に記載されています。添付されていない場合には、代理店にご連絡ください。

The Cisco implementation of TCP header compression is an adaptation of a program developed by the University of California, Berkeley (UCB) as part of UCB's public domain version of the UNIX operating system. All rights reserved. Copyright©_{1981, Regents of the University of California.}

ここに記載されている他のいかなる保証にもよらず、各社のすべてのマニュアルおよびソフトウェアは、障害も含めて「現状のまま」として提供されます。シスコおよびこれら各社は、商品性の保証、特定目的への準拠の保証、および権利を侵害しないことに関する保証、あるいは取引過程、使用、取引慣行によって発生する保証をはじめとする、明示されたまたは黙示された一切の保証の責任を負わないものとします。いかなる場合においても、シスコおよびその供給者は、このマニュアルの使用または使用できないことによって発生する利益の損失やデータの損傷をはじめとする、間接的、派生的、偶発的、あるいは特殊な損害について、あらゆる可能性がシスコまたはその供給者に知らされていても、それらに対する責任を一切負わないものとします。このマニュアルで使用している IP アドレスおよび電話番号は、実際のアドレスおよび電話番号を示すものではありません。マニュアル内の例、コマンド出力、ネットワークトポロジ図、およびその他の図は、説明のみを目的として使用されています。説明の中に実際のアドレスおよび電話番号が使用されていたとしても、それは意図的なものではなく、偶然の一致によるものです。

Cisco and the Cisco logo are trademarks or registered trademarks of Cisco and/or its affiliates in the U.S. and other countries. To view a list of Cisco trademarks, go to this URL:http:// www.cisco.com/go/trademarks. Third-party trademarks mentioned are the property of their respective owners. The use of the word partner does not imply a partnership relationship between Cisco and any other company. (1110R)

(3)

目次はじめに vii 表記法 vii 関連資料 ix マニュアルの入手方法およびテクニカルサポート ix コマンドラインインターフェイスの使用 1 コマンドラインインターフェイスの使用に関する情報 1 コマンドモード 1 ヘルプシステムの使用 5 コマンドの省略形 6 コマンドの no 形式および default 形式 6 CLI のエラーメッセージ 6 コンフィギュレーションロギング 7 CLI を使用して機能を設定する方法 8 コマンド履歴の設定 8 コマンド履歴バッファサイズの変更 8 コマンドの呼び出し 8 コマンド履歴機能のディセーブル化 9 編集機能のイネーブル化およびディセーブル化 9 キーストロークによるコマンドの編集 11 画面幅よりも長いコマンドラインの編集 12 show および more コマンド出力の検索およびフィルタリング 13 コンソール接続または Telnet による CLI アクセス 14 セキュリティコマンド 15

aaa accounting dot1x 18 aaa accounting identity 20

(4)

aaa authorization network 24 authentication host-mode 25 authentication mac-move permit 27 authentication priority 28

authentication violation 31 cisp enable 33

clear errdisable interface vlan 35 clear mac address-table 37

deny（MAC アクセスリストコンフィギュレーション） 39 device-role（IPv6 スヌーピング） 43

device-role（IPv6 ND 検査） 44

dot1x critical（グローバルコンフィギュレーション） 46 dot1x pae 47

dot1x supplicant force-multicast 48 dot1x test eapol-capable 50 dot1x test timeout 52 dot1x timeout 54

epm access-control open 57 ip admission 59

ip admission name 60

ip device tracking maximum 63 ip device tracking probe 64 ip dhcp snooping database 66

ip dhcp snooping information option format remote-id 68 ip dhcp snooping verify no-relay-agent-address 70 ip source binding 71

ip verify source 73 ipv6 snooping policy 75 limit address-count 77

mab request format attribute 32 79

match（アクセスマップコンフィギュレーション） 81 no authentication logging verbose 83

no dot1x logging verbose 85

(5)

protocol（IPv6 スヌーピング） 93 security level（IPv6 スヌーピング） 95 show aaa acct-stop-cache 96

show aaa clients 97

show aaa command handler 98 show aaa local 99

show aaa servers 100 show aaa sessions 102

show authentication sessions 103 show cisp 106

show dot1x 108 show eap pac peer 110

show ip dhcp snooping statistics 111 show radius server-group 114 show vlan group 116

tracking（IPv6 スヌーピング） 117 trusted-port 119 vlan access-map 121 vlan filter 123 vlan group 125 目次

(6)

(7)

はじめに

ここでは、次のトピックを扱います。 • 表記法, vii ページ • 関連資料, ix ページ • マニュアルの入手方法およびテクニカルサポート, ix ページ

表記法

このマニュアルでは、次の表記法を使用しています。説明表記法 ^ 記号と Ctrl は両方ともキーボードの Control（Ctrl）キーを表し ます。たとえば、^D または Ctrl+D というキーの組み合わせは、 Ctrl キーを押しながら D キーを押すことを意味します（ここではキーを大文字で表記していますが、小文字で入力してもかまいません）。 ^ または Ctrl コマンド、キーワード、およびユーザが入力したテキストは、太字フォントで示しています。 bold フォント ドキュメント名、新規用語または強調する用語、値を指定するた めの引数は、italic フォントで示しています。 Italic フォント システムが表示するターミナルセッションおよび情報は、courier フォントで示しています。 courier フォント太字の courier フォントは、ユーザが入力しなければならないテキストを示します。 太字の courier フォント 角カッコの中の要素は、省略可能です。 [x]

(8)

説明表記法構文要素の後の省略記号（3 つの連続する太字ではないピリオドでスペースを含まない）は、その要素を繰り返すことができることを示します。 ... パイプと呼ばれる縦棒は、一連のキーワードまたは引数の選択肢であることを示します。 | どれか 1 つを選択できる省略可能なキーワードは、角カッコで囲み、縦棒で区切って示しています。 [x | y] 必ずいずれか 1 つを選択しなければならない必須キーワードは、波カッコで囲み、縦棒で区切って示しています。 {x | y} 角カッコまたは波カッコが入れ子になっている箇所は、任意または必須の要素内の任意または必須の選択肢であることを表します。角カッコ内の波カッコと縦棒は、省略可能な要素内で選択すべき必須の要素を示しています。 [x {y | z}] 引用符を付けない一組の文字。 string の前後には引用符を使用しません。引用符を使用すると、その引用符も含めて string とみなされます。 string パスワードのように出力されない文字は、山カッコで囲んで示しています。 < > システムプロンプトに対するデフォルトの応答は、角カッコで囲んで示しています。 [ ] コードの先頭に感嘆符（!）またはポンド記号（#）がある場合には、コメント行であることを示します。 !、# 読者への警告の表記法このマニュアルでは、読者への警告に次の表記法を使用しています。「注釈」です。役立つ情報や、このマニュアル以外の参照資料などを紹介しています。（注）「問題解決に役立つ情報」です。ヒントはじめに表記法

(9)

「要注意」の意味です。機器の損傷またはデータ損失を予防するための注意事項が記述されています。注意時間を節約する方法です。ここに紹介している方法で作業を行うと、時間を短縮できます。ワンポイントアドバイス「警告」の意味です。人身事故を予防するための注意事項が記述されています。警告

マニュアルの入手方法およびテクニカルサポート

マニュアルの入手方法、テクニカルサポート、その他の有用な情報について、次の URL で、毎 月更新される『What's New in Cisco Product Documentation』を参照してください。シスコの新規お よび改訂版の技術マニュアルの一覧も示されています。

http://www.cisco.com/en/US/docs/general/whatsnew/whatsnew.html

『What's New in Cisco Product Documentation』は RSS フィードとして購読できます。また、リー ダーアプリケーションを使用してコンテンツがデスクトップに直接配信されるように設定することもできます。 RSS フィードは無料のサービスです。シスコは現在、RSS バージョン 2.0 をサポートしています。

はじめに

(10)

はじめにマニュアルの入手方法およびテクニカルサポート

(11)

コマンドラインインターフェイスの使用

この章は次のトピックで構成されています。

• コマンドラインインターフェイスの使用に関する情報, 1 ページ

• CLI を使用して機能を設定する方法, 8 ページ

コマンドラインインターフェイスの使用に関する情報

ここでは、Cisco IOS コマンドラインインターフェイス（CLI）、および CLI を使用してスイッチを設定する方法について説明します。

コマンドモード

Cisco IOS ユーザインターフェイスは、いくつかのモードに分かれています。使用できるコマンドの種類は、現在のモードによって異なります。システムプロンプトに疑問符（?）を入力すると、各コマンドモードで使用できるコマンドの一覧が表示されます。 CLI セッションはコンソール接続、Telnet、SSH、またはブラウザを使用することによって開始できます。セッションを開始すると、ユーザモード（別名ユーザ EXEC モード）から始まります。ユーザ EXEC モードでは、限られた一部のコマンドしか使用できません。たとえばユーザ EXEC コマン ドの大部分は、show コマンド（現在のコンフィギュレーションステータスを表示する）、clear コマンド（カウンタまたはインターフェイスをクリアする）などのように、1 回限りのコマンドです。ユーザ EXEC コマンドは、スイッチをリブートするときには保存されません。すべてのコマンドにアクセスするには、特権 EXEC モードを開始する必要があります。特権 EXEC モードを開始するには、通常、パスワードが必要です。このモードでは、任意の特権 EXEC コマンドを入力でき、また、グローバルコンフィギュレーションモードを開始することもできます。コンフィギュレーションモード（グローバル、インターフェイス、およびライン）を使用して、実行コンフィギュレーションを変更できます。設定を保存した場合はこれらのコマンドが保存され、スイッチをリブートするときに使用されます。各種のコンフィギュレーションモードにアク

(12)

セスするには、まずグローバルコンフィギュレーションモードを開始する必要があります。グローバルコンフィギュレーションモードから、インターフェイスコンフィギュレーションモードおよびラインコンフィギュレーションモードに移行できます。次の表に、主要なコマンドモード、各モードへのアクセス方法、各モードで表示されるプロンプト、およびモードの終了方法を示します。コマンドラインインターフェイスの使用コマンドモード

(13)

表 1：コマンドモードの概要 モードの用途終了方法プロンプトアクセス方法モードこのモードを使用して次の作業を行います。 •端末の設定変更 •基本テストの実行 •システム情報の表示 logout または quit を入力します。 Switch> Telnet、SSH、またはコンソールを使用してセッションを開始します。ユーザ EXEC このモードを使用して、入力したコマンドを確認します。パスワードを使用して、このモードへのアクセスを保護します。 disable を入力して 終了します。 Switch# ユーザ EXEC モー ドで、enable コマ ンドを入力します。特権 EXEC このモードは、スイッチ全体に適用するパラメータを設定する場合に使用します。終了して特権 EXEC モードに戻 るには、exit また は end コマンドを 入力するか、 Ctrl+Z を押します。 Switch(config)# 特権 EXEC モード で、configure コマ ンドを入力します。グローバルコンフィギュレーショングローバルコンフィギュレーションモードに戻る場 合は、exit コマン ドを入力します。特権 EXEC モードに戻るには、 Ctrl+Z を押すか、 end を入力しま す。 Switch(config-vlan)# グローバルコンフィギュレーショ ンモードで、vlan vlan-id コマンドを 入力します。 VLAN コンフィギュレーションコマンドラインインターフェイスの使用コマンドモード

(14)

モードの用途終了方法プロンプトアクセス方法モードこのモードを使用して、VLAN（仮想LAN）パラメータを設定します。 VTP モードがトランスペアレントであるときは、拡張範囲 VLAN （VLAN ID が 1006 以上）を作成してスイッチのスタートアップコンフィギュレーションファイルに設定を保存できます。このモードを使用して、イーサネットポートのパラメータを設定します。終了してグローバルコンフィギュレーションモード に戻るには、exit を入力します。特権 EXEC モードに戻るには、 Ctrl+Z を押すか、 end を入力しま す。 Switch(config-if)# グローバルコンフィギュレーションモードで、 interface コマンド を入力し、インターフェイスを指定します。インターフェイスコンフィギュレーションこのモードを使用して、端末回線のパラメータを設定します。終了してグローバルコンフィギュレーションモード に戻るには、exit を入力します。特権 EXEC モードに戻るには、 Ctrl+Z を押すか、 end を入力しま す。 Switch(config-line)# グローバルコンフィギュレーションモードで、

line vty または line console コマンド を使用して回線を指定します。ラインコンフィギュレーションコマンドラインインターフェイスの使用コマンドモード

(15)

ヘルプシステムの使用

システムプロンプトで疑問符（?）を入力すると、各コマンドモードに使用できるコマンドのリストが表示されます。また、任意のコマンドについて、関連するキーワードおよび引数の一覧を表示することもできます。手順の概要 1. help 2. abbreviated-command-entry ? 3. abbreviated-command-entry <Tab> 4. ? 5. command ? 6. command keyword ? 手順の詳細目的コマンドまたはアクションコマンドモードのヘルプシステムの簡単な説明を表示します。 help 例： Switch# help ステップ 1 特定のストリングで始まるコマンドのリストを表示します。 abbreviated-command-entry ? 例： Switch# di?

dir disable disconnect

ステップ 2

特定のコマンド名を補完します。

abbreviated-command-entry <Tab>

例：

Switch# sh conf<tab>

Switch# show configuration ステップ 3 特定のコマンドモードで使用可能なすべてのコマンドをリストします。 ? 例： Switch> ? ステップ 4 コマンドに関連するキーワードを一覧表示します。 command ? 例： Switch> show ? ステップ 5 コマンドラインインターフェイスの使用ヘルプシステムの使用

(16)

目的コマンドまたはアクションキーワードに関連する引数を一覧表示します。 command keyword ? 例： Switch(config)# cdp holdtime ?

<10-255> Length of time (in sec) that

ステップ 6

receiver must keep this packet

コマンドの省略形

スイッチでコマンドが一意に認識される長さまでコマンドを入力します。

show configuration 特権 EXEC コマンドを省略形で入力する方法を次に示します。

Switch# show conf

コマンドの no 形式および default 形式

大部分のコンフィギュレーションコマンドに、no 形式があります。 no 形式は一般に、特定の機 能または動作をディセーブルにする場合、あるいはコマンドの動作を取り消す場合に使用します。 たとえば、no shutdown インターフェイスコンフィギュレーションコマンドを使用すると、イン ターフェイスのシャットダウンが取り消されます。 no キーワードなしでコマンドを使用すると、 ディセーブルにされた機能を再度イネーブルにしたり、デフォルトでディセーブルになっている機能をイネーブルにすることができます。 コンフィギュレーションコマンドには、default 形式もあります。コマンドの default 形式は、コ マンドの設定値をデフォルトに戻します。大部分のコマンドはデフォルトでディセーブルに設定 されているので、default 形式は no 形式と同じになります。ただし、デフォルトでイネーブルに 設定されていて、なおかつ変数が特定のデフォルト値に設定されているコマンドもあります。こ れらのコマンドについては、default コマンドを使用すると、コマンドがイネーブルになり、変数 がデフォルト値に設定されます。

CLI のエラーメッセージ

次の表に、CLI を使用してスイッチを設定するときに表示される可能性のあるエラーメッセージの一部を紹介します。コマンドラインインターフェイスの使用コマンドの省略形

(17)

表 2：CLI の代表的なエラーメッセージ ヘルプの表示方法意味エラーメッセージコマンドを再入力し、最後に疑問符（?）を入力します。コマンドと疑問符の間にはスペースを 1 つ入れます。コマンドとともに使用できるキーワードが表示されます。スイッチがコマンドとして認識できるだけの文字数が入力されていません。

% Ambiguous command: "show con" コマンドを再入力し、最後に疑問符（?）を入力します。コマンドと疑問符の間にはスペースを 1 つ入れます。コマンドとともに使用できるキーワードが表示されます。コマンドに必須のキーワードまたは値が、一部入力されていません。 % Incomplete command. 疑問符（?）を入力すると、そのコマンドモードで使用できるすべてのコマンドが表示されます。コマンドとともに使用できるキーワードが表示されます。コマンドの入力ミスです。間違っている箇所をキャレット（^）記号で示しています。

% Invalid input detected at ‘^’ marker.

コンフィギュレーションロギング

スイッチの設定変更を記録して表示させることができます。 Configuration Change Logging and Notification 機能を使用することで、セッションまたはユーザベースごとに変更内容をトラッキングできます。ログに記録されるのは、適用された各コンフィギュレーションコマンド、コマンドを入力したユーザ、コマンドの入力時間、コマンドに対するパーサからのリターンコードです。この機能には、登録しているアプリケーションの設定が変更されるときに通知される非同期通知方式もあります。 Syslog へこの通知を送信することも選択できます。 CLI または HTTP の変更のみがログとして記録されます。（注）コマンドラインインターフェイスの使用コンフィギュレーションロギング

(18)

CLI を使用して機能を設定する方法

コマンド履歴の設定

入力したコマンドは、ソフトウェア側にコマンド履歴として残されます。コマンド履歴機能は、アクセスコントロールリストの設定時など、長い複雑なコマンドまたはエントリを何度も入力しなければならない場合、特に便利です。必要に応じて、この機能をカスタマイズできます。

コマンド履歴バッファサイズの変更

デフォルトでは、スイッチは履歴バッファにコマンドライン 10 行を記録します。現在の端末セッションまたは特定回線のすべてのセッションで、この数を変更できます。この手順は任意です。手順の概要

1. terminal history [size number-of-lines]

手順の詳細目的コマンドまたはアクション特権 EXEC モードで現在のターミナルセッション中にスイッチが記録するコマンドラインの数を変更します。サイズは 0 から 256 までの間で設定できます。

terminal history [size number-of-lines]

例：

Switch# terminal history size 200 ステップ 1

コマンドの呼び出し

履歴バッファにあるコマンドを呼び出すには、次の表に示すいずれかの操作を行います。これらの操作は任意です。矢印キーが使用できるのは、VT100 などの ANSI 互換端末に限られます。（注）手順の概要 1. Ctrl+P または上矢印キー 2. Ctrl+N または下矢印キー 3. show history コマンドラインインターフェイスの使用 CLI を使用して機能を設定する方法

(19)

手順の詳細目的コマンドまたはアクション履歴バッファ内のコマンドを呼び出します。最後に実行したコマンドが最初に呼び出されます。キーを押すたびに、より古いコマンドが順次表示されます。 Ctrl+P または上矢印キー ステップ 1 Ctrl+P または上矢印キーでコマンドを呼び出した後で、履歴バッファ 内のより新しいコマンドに戻ります。キーを押すたびに、より新しいコマンドが順次表示されます。 Ctrl+N または下矢印キー ステップ 2 特権 EXEC モードで、直前に入力したコマンドをいくつか表示しま す。表示されるコマンドの数は、terminal history グローバルコンフィ show history 例：

Switch# show history ステップ 3 ギュレーションコマンドおよび history ラインコンフィギュレーショ ンコマンドの設定値によって指定されます。

コマンド履歴機能のディセーブル化

コマンド履歴機能は、自動的にイネーブルになっています。現在の端末セッションまたはコマンドラインでディセーブルにできます。この手順は任意です。手順の概要 1. terminal no history 手順の詳細目的コマンドまたはアクション特権 EXEC モードで現在のターミナルセッションにおけるこの機能をディセーブルにします。 terminal no history 例：

Switch# terminal no history ステップ 1

編集機能のイネーブル化およびディセーブル化

拡張編集モードは自動的に有効に設定されますが、ディセーブルにして再びイネーブルにできます。コマンドラインインターフェイスの使用編集機能のイネーブル化およびディセーブル化

(20)

手順の概要 1. terminal editing 2. terminal no editing 手順の詳細目的コマンドまたはアクション特権 EXEC モードで現在のターミナルセッションにおける拡張編集モードを再びイネーブルにします。 terminal editing 例：

Switch# terminal editing ステップ 1

特権 EXEC モードで現在のターミナルセッションにおける拡張編集モードをディセーブルにします。

terminal no editing

例：

Switch# terminal no editing ステップ 2

コマンドラインインターフェイスの使用編集機能のイネーブル化およびディセーブル化

(21)

キーストロークによるコマンドの編集

キーストロークは、コマンドラインの編集に役立ちます。これらのキーストロークは任意です。矢印キーが使用できるのは、VT100 などの ANSI 互換端末に限られます。（注） 表 3：編集コマンド 説明編集コマンドカーソルを 1 文字後退させます。 Ctrl-B または左矢印キー カーソルを 1 文字前進させます。 Ctrl-F または右矢印キー コマンドラインの先頭にカーソルを移動します。 Ctrl+A カーソルをコマンドラインの末尾に移動します。 Ctrl+E カーソルを 1 単語後退させます。 Esc B カーソルを 1 単語前進させます。 Esc F カーソルの左にある文字を、カーソル位置の文字と置き換えます。 Ctrl+T カーソルの左にある文字を消去します。 Delete キーまたは Backspace キー カーソル位置にある文字を削除します。 Ctrl+D カーソル位置からコマンドラインの末尾までのすべての文字を削除します。 Ctrl+K カーソル位置からコマンドラインの先頭までのすべての文字を削除します。 Ctrl+U または Ctrl+X カーソルの左にある単語を削除します。 Ctrl+W カーソルの位置から単語の末尾までを削除します。 Esc D カーソル位置のワードを大文字にします。 Esc C コマンドラインインターフェイスの使用編集機能のイネーブル化およびディセーブル化

(22)

カーソルの場所にある単語を小文字にします。 Esc L カーソルの位置から単語の末尾までを大文字にします。 Esc U 特定のキーストロークを実行可能なコマンド（通常はショートカット）として指定します。 Ctrl+V または Esc Q 1 行または 1 画面下へスクロールして、端末画面に収まりきらない表示内容を表示させます。 show コマンドの出力など、端末画面 に一度に表示できない長い出力では、 More プロンプトが使用されます。 More プロンプトが表示された場合は、Return キーおよび Space キーを使用してスクロールできます。（注） Return キー 1 画面分下にスクロールします。 Space バー スイッチから画面に突然メッセージが出力された場合に、現在のコマンドラインを再表示します。 Ctrl+L または Ctrl+R

画面幅よりも長いコマンドラインの編集

画面上で 1 行分を超える長いコマンドラインについては、コマンドのラップアラウンド機能を使用できます。カーソルが右マージンに達すると、そのコマンドラインは 10 文字分だけ左へシフトされます。コマンドラインの先頭から 10 文字までは見えなくなりますが、左へスクロールして、コマンドの先頭部分の構文をチェックできます。これらのキー操作は任意です。コマンドの先頭にスクロールして入力内容をチェックするには、Ctrl+B キーまたは←キーを繰り返し押します。コマンドラインの先頭に直接移動するには、Ctrl+A を押します。矢印キーが使用できるのは、VT100 などの ANSI 互換端末に限られます。（注）次に、画面上で 1 行分を超える長いコマンドラインを折り返す例を示します。手順の概要 1. access-list 2. Ctrl+A 3. Return キー コマンドラインインターフェイスの使用編集機能のイネーブル化およびディセーブル化

(23)

手順の詳細目的コマンドまたはアクション 1 行分を超えるグローバルコンフィギュレーションコマンド入力を表示します。 access-list 例：

Switch(config)# access-list 101 permit ステップ 1 最初にカーソルが行末に達すると、その行は 10 文字分だけ左へシフトされ、再表示されます。ドル記号（$）は、その行が tcp 10.15.22.25 255.255.255.0 左へスクロールされたことを表します。カーソルが行末に達するたびに、その行は再び10文字分だけ左へシフトされます。 10.15.22.35 Switch(config)# $ 101 permit tcp 10.15.22.25 255.255.255.0 10.15.22.35 255.25 Switch(config)# $t tcp 10.15.22.25 255.255.255.0 131.108.1.20 255.255.255.0 eq Switch(config)# $15.22.25 255.255.255.0 10.15.22.35 255.255.255.0 eq 45 完全な構文をチェックします。 Ctrl+A 例：

Switch(config)# access-list 101 permit tcp 10.15.22.25 255.255.255.0 10.15.2$ ステップ 2 行末に表示されるドル記号（$）は、その行が右へスクロールされたことを表します。コマンドを実行します。 Return キー ステップ 3 ソフトウェアでは、端末画面は 80 カラム幅であると想定され ています。画面の幅が異なる場合は、terminal width 特権 EXEC コマンドを使用して端末の幅を設定します。ラップアラウンド機能とコマンド履歴機能を併用すると、前に入力した複雑なコマンドエントリを呼び出して変更できます。

show および more コマンド出力の検索およびフィルタリング

show および more コマンドの出力を検索およびフィルタリングできます。この機能は、大量の出 力をソートする場合や、出力から不要な情報を除外する場合に役立ちます。これらのコマンドの使用は任意です。手順の概要

1. {show | more} command | {begin | include | exclude} regular-expression

コマンドラインインターフェイスの使用

(24)

手順の詳細

目的コマンドまたはアクション

出力を検索およびフィルタリングします。 {show | more} command | {begin | include | exclude}

regular-expression

ステップ 1

文字列では、大文字と小文字が区別されます。た とえば、| exclude output と入力した場合、output 例：

Switch# show interfaces | include protocol

Vlan1 is up, line protocol is up

を含む行は表示されませんが、Output を含む行は 表示されます。

Vlan10 is up, line protocol is down

GigabitEthernet1/0/1 is up, line protocol is down GigabitEthernet1/0/2 is up, line protocol is up

コンソール接続または Telnet による CLI アクセス

CLI にアクセスするには、スイッチのハードウェアインストレーションガイドに記載されている手順で、スイッチのコンソールポートに端末または PC を接続するか、または PC をイーサネット管理ポートに接続して、スイッチの電源をオンにする必要があります。スイッチがすでに設定されている場合は、ローカルコンソール接続またはリモート Telnet セッションによって CLI にアクセスできますが、このタイプのアクセスに対応できるように、先にスイッチを設定しておく必要があります。次のいずれかの方法で、スイッチとの接続を確立できます。 •スイッチコンソールポートに管理ステーションまたはダイヤルアップモデムを接続するか、またはイーサネット管理ポートに PC を接続します。コンソールポートまたはイーサネット管理ポートへの接続については、スイッチのハードウェアインストレーションガイドを参照してください。

•リモート管理ステーションから任意の Telnet TCP/IP または暗号化 Secure Shell（SSH; セキュアシェル）パッケージを使用します。スイッチは Telnet または SSH クライアントとのネットワーク接続が可能でなければなりません。また、スイッチにイネーブルシークレットパスワードを設定しておくことも必要です。 •スイッチは同時に最大 16 の Telnet セッションをサポートします。 1 人の Telnet ユーザによって行われた変更は、他のすべての Telnet セッションに反映されます。 •スイッチは最大 5 つの安全な SSH セッションを同時にサポートします。コンソールポート、イーサネット管理ポート、Telnet セッション、または SSH セッションを通じて接続すると、管理ステーション上にユーザ EXEC プロンプトが表示されます。コマンドラインインターフェイスの使用 コンソール接続または Telnet による CLI アクセス

(25)

セキュリティコマンド

• aaa accounting dot1x, 18 ページ • _{aaa accounting identity, 20 ページ} • _{aaa authentication dot1x, 22 ページ} • _{aaa authorization network, 24 ページ} • authentication host-mode, 25 ページ • authentication mac-move permit, 27 ページ • _{authentication priority, 28 ページ}

• _{authentication violation, 31 ページ} • cisp enable, 33 ページ

• clear errdisable interface vlan, 35 ページ • _{clear mac address-table, 37 ページ}

• _{deny（MAC アクセスリストコンフィギュレーション）, 39 ページ} • device-role（IPv6 スヌーピング）, 43 ページ

• device-role（IPv6 ND 検査）, 44 ページ

• _{dot1x critical（グローバルコンフィギュレーション）, 46 ページ} • _{dot1x pae, 47 ページ}

• dot1x supplicant force-multicast, 48 ページ • dot1x test eapol-capable, 50 ページ • _{dot1x test timeout, 52 ページ} • _{dot1x timeout, 54 ページ}

• epm access-control open, 57 ページ • ip admission, 59 ページ

(26)

• ip admission name, 60 ページ

• ip device tracking maximum, 63 ページ • _{ip device tracking probe, 64 ページ} • _{ip dhcp snooping database, 66 ページ}

• ip dhcp snooping information option format remote-id, 68 ページ • ip dhcp snooping verify no-relay-agent-address, 70 ページ • _{ip source binding, 71 ページ}

• _{ip verify source, 73 ページ} • ipv6 snooping policy, 75 ページ • limit address-count, 77 ページ

• _{mab request format attribute 32, 79 ページ}

• _{match（アクセスマップコンフィギュレーション）, 81 ページ} • no authentication logging verbose, 83 ページ

• no dot1x logging verbose, 85 ページ • _{no mab logging verbose, 87 ページ}

• _{permit（MAC アクセスリストコンフィギュレーション）, 89 ページ} • protocol（IPv6 スヌーピング）, 93 ページ

• security level（IPv6 スヌーピング）, 95 ページ • _{show aaa acct-stop-cache, 96 ページ}

• _{show aaa clients, 97 ページ}

• show aaa command handler, 98 ページ • show aaa local, 99 ページ

• _{show aaa servers, 100 ページ} • _{show aaa sessions, 102 ページ}

• show authentication sessions, 103 ページ • show cisp, 106 ページ

• show dot1x, 108 ページ • _{show eap pac peer, 110 ページ}

• _{show ip dhcp snooping statistics, 111 ページ} • show radius server-group, 114 ページ

(27)

• tracking（IPv6 スヌーピング）, 117 ページ • trusted-port, 119 ページ • _{vlan access-map, 121 ページ} • _{vlan filter, 123 ページ} • vlan group, 125 ページセキュリティコマンド

(28)

aaa accounting dot1x

認証、許可、アカウンティング（AAA）アカウンティングをイネーブルにして、IEEE 802.1x セッションの特定のアカウンティング方式を、回線単位またはインターフェイス単位で定義する方式 リストを作成するには aaa accounting dot1x グローバルコンフィギュレーションコマンドを使用 します。 IEEE 802.1x アカウンティングをディセーブルにするには、このコマンドの no 形式を使 用します。

aaa accounting dot1x {name | default } start-stop {broadcast group {name | radius | tacacs+} [group

{name | radius | tacacs+} ... ] | group {name | radius | tacacs+} [group {name | radius | tacacs+}... ]}

no aaa accounting dot1x {name | default }

___________________

構文の説明 _{サーバグループ名。これは、broadcast group および group キーワードの後に}

入力する場合に使用するオプションです。

name

デフォルトリストにあるアカウンティング方式を、アカウンティングサービス用に指定します。

default

プロセスの開始時に start accounting 通知を送信し、プロセスの終了時に stop accounting 通知を送信します。 start アカウンティングレコードはバックグラウンドで送信されます。アカウンティングサーバが start accounting 通知を受け取ったかどうかには関係なく、要求されたユーザプロセスが開始されます。 start-stop 複数の AAA サーバに送信されるアカウンティングレコードをイネーブルにして、アカウンティングレコードを各グループの最初のサーバに送信します。最初のサーバが利用できない場合、スイッチはバックアップサーバのリストを使用して最初のサーバを識別します。 broadcast アカウンティングサービスに使用するサーバグループを指定します。有効なサーバグループ名は次のとおりです。 • name：サーバグループ名 • radius：すべての RADIUS ホストのリスト • tacacs+：全 TACACS+ ホストのリスト

broadcast group および group キーワードの後に入力する場合、group キーワー

ドはオプションです。オプションの group キーワードより多くのキーワードを 入力できます。 group （任意）RADIUS アカウンティングをイネーブルにします。 radius （任意）TACACS+ アカウンティングをイネーブルにします。 tacacs+ ___________________ コマンドデフォルト _{AAA アカウンティングはディセーブルです。} ___________________ コマンドモードグローバルコンフィギュレーションセキュリティコマンド

(29)

___________________

コマンド履歴 _リリース _変更内容

このコマンドが導入されました。 Cisco IOS 15.0(2)EX

___________________

使用上のガイドラインこのコマンドは、RADIUS サーバへのアクセスが必要です。

インターフェイスに IEEE 802.1x RADIUS アカウンティングを設定する前に、dot1x reauthentication インターフェイスコンフィギュレーションコマンドを入力することを推奨します。

___________________

例 _{次の例では、IEEE 802.1x アカウンティングを設定する方法を示します。}

Switch(config)# aaa new-model

Switch(config)# aaa accounting dot1x default start-stop group radius

セキュリティコマンド

(30)

aaa accounting identity

IEEE 802.1x、MAC 認証バイパス（MAB）および Web 認証セッションの認証、許可、およびアカ ウンティング（AAA）アカウンティングをイネーブルにするには、aaa accounting identity グロー バルコンフィギュレーションコマンドを使用します。 IEEE 802.1x アカウンティングをディセー ブルにするには、このコマンドの no 形式を使用します。

aaa accounting identity {name | default } start-stop {broadcast group {name | radius | tacacs+} [group

{name | radius | tacacs+} ... ] | group {name | radius | tacacs+} [group {name | radius | tacacs+}... ]}

no aaa accounting identity {name | default }

___________________

構文の説明

サーバグループ名。これは、broadcast group および group キーワードの後に 入力する場合に使用するオプションです。

name

デフォルトリストにあるアカウンティング方式を、アカウンティングサービス用に使用します。

default

プロセスの開始時に start accounting 通知を送信し、プロセスの終了時に stop accounting 通知を送信します。 start アカウンティングレコードはバックグラウンドで送信されます。アカウンティングサーバが start アカウンティング通知を受け取ったかどうかには関係なく、要求されたユーザプロセスが開始されます。 start-stop 複数の AAA サーバに送信されるアカウンティングレコードをイネーブルにして、アカウンティングレコードを各グループの最初のサーバに送信します。最初のサーバが利用できない場合、スイッチはバックアップサーバのリストを使用して最初のサーバを識別します。 broadcast アカウンティングサービスに使用するサーバグループを指定します。有効なサーバグループ名は次のとおりです。 • name：サーバグループ名 • radius：すべての RADIUS ホストのリスト • tacacs+：全 TACACS+ ホストのリスト

broadcast group および group キーワードの後に入力する場合、group キーワー

ドはオプションです。オプションの group キーワードより多くのキーワードを 入力できます。 group （任意）RADIUS 認証をイネーブルにします。 radius （任意）TACACS+ アカウンティングをイネーブルにします。 tacacs+ ___________________ コマンドデフォルト _{AAA アカウンティングはディセーブルです。} ___________________ コマンドモードグローバルコンフィギュレーションセキュリティコマンド

(31)

___________________

使用上のガイドライン AAA アカウンティングアイデンティティをイネーブルにするには、ポリシーモードをイネーブルにする必要があります。ポリシーモードをイネーブルにするには、特権 EXEC モードで

authentication display new-style コマンドを入力します。

___________________

例 _{次の例では、IEEE 802.1x アカウンティングアイデンティティを設定する方法を示します。}

Switch# authentication display new-style

Please note that while you can revert to legacy style configuration at any time unless you have explicitly entered new-style configuration, the following caveats should be carefully read and understood.

(1) If you save the config in this mode, it will be written to NVRAM in NEW-style config, and if you subsequently reload the router without reverting to legacy config and saving that, you will no longer be able to revert. (2) In this and legacy mode, Webauth is not IPv6-capable. It

will only become IPv6-capable once you have entered new-style config manually, or have reloaded with config saved in 'authentication display new' mode.

Switch# configure terminal

Switch(config)# aaa accounting identity default start-stop group radius

(32)

aaa authentication dot1x

IEEE 802.1x 認証に準拠するポートで認証、許可、アカウンティング（AAA）方式を使用するよう に指定するには、スイッチスタックまたはスタンドアロンスイッチ上で aaa authentication dot1x グローバルコンフィギュレーションコマンドを使用します。認証をディセーブルにするには、 このコマンドの no 形式を使用します。

aaa authentication dot1x {default} method1 no aaa authentication dot1x {default} method1

___________________ 構文の説明 _{ユーザがログインするときのデフォルトの方式。この引数の後に続く、リスト} された認証方式を使用します。 default サーバ認証を指定します。認証用にすべての RADIUS サーバのリストを使用す るには、group radius キーワードを入力します。 他のキーワードがコマンドラインのヘルプストリングに表示されま すが、サポートされているのは default および group radius キーワー ドだけです。（注） method1 ___________________ コマンドデフォルト認証は実行されません。 ___________________ コマンドモード _{グローバルコンフィギュレーション} ___________________ コマンド履歴 _リリース _変更内容このコマンドが導入されました。 Cisco IOS 15.0(2)EX

___________________

使用上のガイドライン method 引数には、認証アルゴリズムがクライアントからのパスワードを確認するために特定の順 序で試みる方式を指定します。実際に 802.1x に準拠している唯一の方式は、クライアントデー タが RADIUS 認証サーバに対して確認される group radius 方式です。

group radius を指定した場合、radius-server host グローバルコンフィギュレーションコマンドを

使用して RADIUS サーバを設定する必要があります。

設定された認証方式のリストを表示するには、show running-config 特権 EXEC コマンドを使用し ます。

(33)

___________________

例 _{次の例では AAA をイネーブルにして IEEE 802.1x 準拠の認証リストを作成する方法を示します。}

この認証は、最初に RADIUS サーバとの交信を試みます。この動作でエラーが返信された場合、ユーザはネットワークへのアクセスが許可されません。

Switch(config)# aaa new-model

Switch(config)# aaa authentication dot1x default group radius

(34)

aaa authorization network

IEEE 802.1x VLAN 割り当てなどのすべてのネットワーク関連サービス要求に対してユーザ RADIUS 認証を使用するようにスイッチを設定するには、aaa authorization network グローバルコンフィ ギュレーションコマンドを使用します。 RADIUS ユーザ認証をディセーブルにするには、このコ マンドの no 形式を使用します。

aaa authorization network default group radius no aaa authorization network default

___________________

構文の説明 _{デフォルトの認証リストとして、サーバグループ内のすべての}

RADIUS ホストのリストを使用します。

default group radius

___________________ コマンドデフォルト認証はディセーブルです。 ___________________ コマンドモードグローバルコンフィギュレーション ___________________ コマンド履歴 _リリース _変更内容このコマンドが導入されました。 Cisco IOS 15.0(2)EX

___________________

使用上のガイドラインスイッチが、デフォルトの認証リスト内にある RADIUS サーバから IEEE 802.1x 認証パラメータ をダウンロードできるようにするには、aaa authorization network default group radius グローバル コンフィギュレーションコマンドを使用します。認証パラメータは、VLAN 割り当てなど、 RADIUS サーバからパラメータを取得する機能で使用されます。

設定された認証方式リストを表示するには、show running-config 特権 EXEC コマンドを使用しま す。

___________________

例 _{この例では、すべてのネットワーク関連サービス要求に対してユーザ RADIUS 認証を行うようス}

イッチを設定する方法を示します。

Switch(config)# aaa authorization network default group radius

(35)

authentication host-mode

ポートで認証マネージャモードを設定するには、authentication host-mode インターフェイスコン フィギュレーションコマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形 式を使用します。

authentication host-mode {multi-auth | multi-domain | multi-host | single-host} no authentication host-mode ___________________ 構文の説明 _{ポートのマルチ認証モード（multi-authモード）をイネー} ブルにします。 multi-auth ポートのマルチドメインモードをイネーブルにします。 multi-domain ポートのマルチホストモードをイネーブルにします。 multi-host ポートのシングルホストモードをイネーブルにします。 single-host ___________________ コマンドデフォルトシングルホストモードがイネーブルにされています。 ___________________ コマンドモードインターフェイスコンフィギュレーション ___________________ コマンド履歴 _リリース _変更内容このコマンドが導入されました。 Cisco IOS 15.0(2)EX

___________________ 使用上のガイドライン接続されているデータホストが 1 つだけの場合は、シングルホストモードを設定する必要があります。シングルホストポートでの認証のために音声デバイスを接続しないでください。ポートで音声 VLAN が設定されていないと、音声デバイスの許可が失敗します。データホストが IP フォン経由でポートに接続されている場合は、マルチドメインモードを設定する必要があります。音声デバイスを認証する必要がある場合は、マルチドメインモードを設定する必要があります。ハブの背後にデバイスを配置し、それぞれを認証してポートアクセスのセキュリティを確保できるようにするには、マルチ認証モードに設定する必要があります。音声 VLAN が設定されている場合は、このモードで認証できる音声デバイスは 1 つだけです。セキュリティコマンド authentication host-mode

(36)

マルチホストモードでも、ハブ越しの複数ホストのためのポートアクセスが提供されますが、マルチホストモードでは、最初のユーザが認証された後でデバイスに対して無制限のポートアクセスが与えられます。

___________________

例次の例では、ポートのマルチ認証モードをイネーブルにする方法を示します。

Switch(config-if)# authentication host-mode multi-auth

次の例では、ポートのマルチドメインモードをイネーブルにする方法を示します。

Switch(config-if)# authentication host-mode multi-domain

次の例では、ポートのマルチホストモードをイネーブルにする方法を示します。

Switch(config-if)# authentication host-mode multi-host

次の例では、ポートのシングルホストモードをイネーブルにする方法を示します。

Switch(config-if)# authentication host-mode single-host

設定を確認するには、show authentication sessions interface interface details 特権 EXEC コマンドを 入力します。

(37)

authentication mac-move permit

スイッチ上での MAC 移動をイネーブルにするには、authentication mac-move permit グローバル コンフィギュレーションコマンドを使用します。 MAC 移動をディセーブルにするには、このコ マンドの no 形式を使用します。

authentication mac-move permit no authentication mac-move permit

___________________ 構文の説明このコマンドには、引数またはキーワードはありません。 ___________________ コマンドデフォルト _{MAC 移動はイネーブルです。} ___________________ コマンドモードグローバルコンフィギュレーション ___________________ コマンド履歴 _リリース _変更内容このコマンドが導入されました。 Cisco IOS 15.0(2)EX

___________________ 使用上のガイドラインこのコマンドを使用すると、スイッチ上の 802.1x 対応のポート間で認証ホストを移動できます。たとえば、認証されたホストとポートの間にデバイスがあり、そのホストが別のポートに移動した場合、認証セッションは最初のポートから削除され、ホストは新しいポート上で再認証されます。 MAC 移動がディセーブルで、認証されたホストが別のポートに移動した場合、そのホストは再認証されず、違反エラーが発生します。 MAC 移動は、ポートセキュリティ対応の 802.1x ポートではサポートされません。 MAC 移動がスイッチ上でグローバルに設定され、ポートセキュリティ対応ホストが 802.1x 対応ポートに移動した場合、違反エラーが発生します。 ___________________ 例 _{次の例では、スイッチ上で MAC 移動をイネーブルにする方法を示します。}

Switch(config)# authentication mac-move permit

(38)

authentication priority

プライオリティリストに認証方式を追加するには、インターフェイスコンフィギュレーション モードで authentication priority コマンドを使用します。デフォルトに戻るには、no 形式のコマ ンドを使用します。

authentication priority [dot1x | mab] {webauth} no authentication priority [dot1x | mab] {webauth}

___________________ 構文の説明 _dot1x _{（任意）認証方式の順序に 802.1x を追加します。} （任意）認証方式の順序に MAC 認証バイパス（MAB）を追加します。 mab 認証方式の順序に Web 認証を追加します。 webauth ___________________ コマンドデフォルト _{デフォルトのプライオリティは、802.1x 認証、MAC 認証バイパス、Web 認証の順です。} ___________________ コマンドモードインターフェイスコンフィギュレーション ___________________ コマンド履歴 _リリース _変更内容このコマンドが導入されました。 Cisco IOS 15.0(2)EX

___________________ 使用上のガイドライン順序付けでは、スイッチがポートに接続された新しいデバイスを認証しようとするときに試行する方式の順序を設定します。ポートにフォールバック方式を複数設定するときは、Web 認証（webauth）を最後に設定してください。異なる認証方式にプライオリティを割り当てることにより、プライオリティの高い方式を、プライオリティの低い進行中の認証方式に割り込ませることができます。セキュリティコマンド authentication priority

(39)

クライアントがすでに認証されている場合に、プライオリティの高い方式の割り込みが発生すると、再認証されることがあります。（注）認証方式のデフォルトのプライオリティは、実行リストの順序におけるその位置と同じで、802.1x 認証、MAC 認証バイパス（MAB）、Web 認証の順です。このデフォルトの順序を変更するには、 キーワード dot1x、mab、および webauth を使用します。 ___________________ 例 _{次の例では、802.1x を最初の認証方式、Web 認証を 2 番めの認証方式として設定する方法を示し} ます。

Switch(config-if)# authentication priority dotx webauth

次の例では、MAB を最初の認証方式、Web 認証を 2 番めの認証方式として設定する方法を示します。

Switch(config-if)# authentication priority mab webauth

___________________ 関連コマンド _コマンド _説明ポートモードを単一方向または双方向に設定します。 authentication control-direction 認証マネージャが認証エラーを認識されないユーザクレデンシャルの結果として処理する方法を指定します。

authentication event fail

認証マネージャが認証エラーを応答のないホストの結果として処理する方法を指定します。 authentication event no-response action 以前に到達不能であった認証、許可、アカウンティングサーバが使用可能になったときに認証マネージャセッションを再初期化します。

authentication event server alive action reinitialize

認証、許可、アカウンティングサーバが到達不能になったときに認証マネージャセッションを許可します。

authentication event server dead action authorize

Web 認証のフォールバック方式をイネーブルにします。 authentication fallback ホストの制御ポートへのアクセスを許可します。 authentication host-mode ポートでオープンアクセスをイネーブルにします。 authentication open セキュリティコマンド authentication priority

(40)

説明コマンド認証マネージャがポート上のクライアントの認証を試みる順序を指定します。 authentication order ポートの自動再認証をイネーブルにします。 authentication periodic 制御ポートの許可ステートを設定します。 authentication port-control 機能しない認証マネージャセッションを強制終了するまでの時間を設定します。

authentication timer inactivity

認証マネージャが許可ポートの再認証を試みる間隔を指定します。

authentication timer reauthenticate

認証マネージャが無許可ポートの認証を試みる間隔を指定します。

authentication timer restart

ポート上でセキュリティ違反が生じた場合に取るアクションを指定します。 authentication violation ポートの MAC 認証バイパスをイネーブルにします。 mab 認証マネージャに登録されている認証方式に関する情報を表示します。 show authentication registrations 現在の認証マネージャセッションに関する情報を表示します。

show authentication sessions

特定のインターフェイスの認証マネージャに関する情報を表示します。

show authentication sessions interface

(41)

authentication violation

新しいデバイスがポートに接続するとき、または最大数のデバイスがポートに接続されている状 態で新しいデバイスがポートに接続するときに発生する違反モードを設定するには、authentication

violation インターフェイスコンフィギュレーションコマンドを使用します。

authentication violation{ protect|replace|restrict|shutdown } no authentication violation{ protect|replace|restrict|shutdown }

___________________ 構文の説明 _{予期しない着信 MAC アドレスをドロップします。 syslog エ} ラーは生成されません。 protect 現在のセッションを削除し、新しいホストによる認証を開始します。 replace 違反エラーの発生時に Syslog エラーを生成します。 restrict エラーによって、予期しない MAC アドレスが発生するポートまたは仮想ポートがディセーブルになります。 shutdown ___________________

コマンドデフォルト _{authentication violation shutdown モードがイネーブルにされています。}

___________________

コマンドモード _{インターフェイスコンフィギュレーション}

___________________

使用上のガイドラインポート上でセキュリティ違反が発生したときに実行するアクションを指定するには、authentication

violation コマンドを使用します。

(42)

___________________

例 _{次の例では、新しいデバイスがポートに接続する場合に、errdisable になり、シャットダウンする}

ように IEEE 802.1x 対応ポートを設定する方法を示します。

Switch(config-if)# authentication violation shutdown

次の例では、新しいデバイスがポートに接続する場合に、システムエラーメッセージを生成して、ポートを制限モードに変更するように 802.1x 対応ポートを設定する方法を示します。

Switch(config-if)# authentication violation restrict

次の例では、新しいデバイスがポートに接続するときに、そのデバイスを無視するように 802.1x 対応ポートを設定する方法を示します。

Switch(config-if)# authentication violation protect

次の例では、新しいデバイスがポートに接続するときに、現在のセッションを削除し、新しいデバイスによる認証を開始するように 802.1x 対応ポートを設定する方法を示します。

Switch(config-if)# authentication violation replace

show authentication 特権 EXEC コマンドを入力することにより、設定を確認できます。

(43)

cisp enable

スイッチ上で Client Information Signalling Protocol（CISP）をイネーブルにして、サプリカントス イッチのオーセンティケータとして機能するようにするには、cisp enable グローバルコンフィギュ レーションコマンドを使用します。 cisp enable no cisp enable ___________________ 構文の説明このコマンドには、引数またはキーワードはありません。 ___________________ コマンドデフォルトデフォルト設定はありません。 ___________________ コマンドモードグローバルコンフィギュレーション ___________________ コマンド履歴 _リリース _変更内容このコマンドが導入されました。 Cisco IOS 15.0(2)EX

___________________ 使用上のガイドラインオーセンティケータとサプリカントスイッチの間のリンクはトランクです。両方のスイッチで VTP をイネーブルにする場合は、VTP ドメイン名が同一であり、VTP モードがサーバである必要があります。 VTP モードを設定する場合に MD5 チェックサムの不一致エラーにならないようにするために、次の点を確認してください。 • VLAN が異なる 2 台のスイッチに設定されていないこと。同じドメインに VTP サーバが 2 台存在することがこの状態の原因になることがあります。 •両方のスイッチで、設定のリビジョン番号が異なっていること。 ___________________ 例 _{次の例では、CISP をイネーブルにする方法を示します。}

Switch(config)# cisp enable

(44)

___________________ 関連コマンド _コマンド _説明プロファイルをサプリカントスイッチに設定します。 dot1x credentialsprofile 802.1X サプリカントがマルチキャストパケットを送信するように強制します。

dot1x supplicant force-multicast

802.1X サプリカントによる制御アクセスを設定します。

dot1x supplicant controlled transient

指定されたインターフェイスの CISP 情報を表示します。

show cisp

Catalyst 2960-X スイッチ セキュリティ コマンド リファレンス、Cisco IOS Release 15.0(2)EX