内容

概要

前提条件

要件

使用するコンポーネント

表記法

ポートベースのトラフィック制御の概要

設定

ネットワーク図

コンフィギュレーション

確認

関連情報

概要

このドキュメントでは、Catalyst 3550/3560 シリーズ スイッチにポートベースのトラフィック制御機能を設定し、確認する例を紹介します。具体的には、Catalyst 3550 スイッチにポートベースのトラフィック制御機能を設定する方法を説明します。

前提条件

要件

この設定を行う前に、以下の要件を満たしていることを確認してください。

- Cisco Catalyst 3550/3560シリーズスイッチの設定に関する基本的な知識があること。

- ポートベースのトラフィック制御機能に関する基本的な知識があること。

使用するコンポーネント

このドキュメントの情報は、Cisco Catalyst 3550 シリーズ スイッチに基づくものです。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

表記法

ドキュメント表記の詳細については、『シスコ テクニカル ティップスの表記法』を参照してください。

ポートベースのトラフィック制御の概要

Catalyst 3550/3560スイッチは、さまざまな方法で実装できるポートベースのトラフィック制御を提供します。

- ストーム制御

- 保護ポート

- ポートブロッキング

- ポート セキュリティ

ストーム制御は、スイッチの物理インターフェイスの1つでブロードキャスト、マルチキャスト、ユニキャストストームなどのトラフィックを防止します。LANの過剰なトラフィック（LANストームと呼ばれる）は、ネットワークパフォーマンスの低下を引き起こします。ネットワークパフォーマンスの低下を回避するには、ストーム制御を使用します。

ストーム制御は、インターフェイスを通過するパケットを監視し、パケットがユニキャスト、マルチキャスト、またはブロードキャストであるかどうかを判別します。着信トラフィックのしきい値レベルを設定します。スイッチは、受信したパケットの種類に応じてパケット数をカウントします。ブロードキャストトラフィックとユニキャストトラフィックがインターフェイスのしきい値レベルを超えると、特定のタイプのトラフィックだけがブロックされます。マルチキャストトラフィックがインターフェイスのしきい値レベルを超えると、トラフィックレベルがしきい値レベルを下回るまで、すべての着信トラフィックがブロックされます。ストーム制御インターフェース設定コマンドを使用して、インターフェイスで指定されたトラフィックのストーム制御を設定します。

あるネイバーが別のネイバーによって生成されたトラフィックを認識しない場合に使用するスイッチに保護ポートを設定し、あるアプリケーショントラフィックが同じスイッチのポート間で転送されないようにします。スイッチでは、保護ポートはトラフィック（ユニキャスト、マルチキャスト、またはブロードキャスト）を他の保護ポートに転送しませんが、保護ポートは保護ポート以外にトラフィックを転送できます。インターフェイスでswitchport protectedインターフェイス設定コマンドを使用して、レイヤ2のトラフィックを他の保護ポートから分離します。

不明な宛先MACアドレストラフィック（ユニキャストおよびマルチキャスト）がスイッチのすべてのポートにフラッディングされると、セキュリティの問題が発生する可能性があります。あるポートから別のポートに未知のトラフィックが転送されるのを防ぐために、ポートブロッキングを設定します。ポートブロッキングは、未知のユニキャストまたはマルチキャストパケットをブロックします。switchport blockインターフェイス設定コマンドを使用して、不明なトラフィックが転送されるのを防ぎます。

ポートセキュリティを使用して、ポートへのアクセスが許可されているステーションのMACアドレスを特定することによって、インターフェイスへの入力を制限します。セキュアMACアドレスをセキュアポートに割り当て、ポートが定義されたアドレスグループ外の送信元アドレスを持つパケットを転送しないようにします。インターフェイスでスティッキラーニング機能を使用して、ダイナミックMACアドレスをスティッキセキュアMACアドレスに変換します。switchport port-securityインタフェース設定コマンドを使用して、インターフェイスのポートセキュリティ設定を行います。

設定

このセクションでは、このドキュメントで説明する機能を設定するために必要な情報を提供しています。

注：このセクションで使用されるコマンドの詳細を調べるには、Command Lookup Tool(登録ユーザ専用)を使用してください。

ネットワーク図

このドキュメントでは、次のネットワーク セットアップを使用します。

コンフィギュレーション

このドキュメントでは、次の設定を使用しています。

Catalyst 3550 スイッチ

Switch#configure terminal

Switch(config)#interface fastethernet0/3

!--- Configure the Storm control with threshold level.

Switch(config-if)#storm-control unicast level 85 70

Switch(config-if)#storm-control broadcast level 30

!--- Configure the port as Protected port.

Switch(config-if)#switchport protected

!--- Configure the port to block the multicast traffic.

Switch(config-if)#switchport block multicast

!--- Configure the port security.

Switch(config-if)#switchport mode access

Switch(config-if)#switchport port-security

!--- set maximum allowed secure MAC addresses.

Switch(config-if)#switchport port-security maximum 30

!--- Enable sticky learning on the port.

Switch(config-if)#switchport port-security mac-address sticky

!--- To save the configurations in the device.

switch(config)#copy running-config startup-config

Switch(config)#exit

確認

ここでは、設定が正常に機能しているかどうかを確認します。

アウトプット インタープリタ ツール（登録ユーザ専用）（OIT）は、特定の show コマンドをサポートします。show コマンドの出力の解析を表示するには、OIT を使用します。

show interfaces [interface-id] switchportコマンドを使用して、エントリを確認します。

以下に、いくつかの例を示します。

Switch#show interfaces fastEthernet 0/3 switchport

Name: Fa0/3

Switchport: Enabled

Administrative Mode: static access

Operational Mode: static access

Administrative Trunking Encapsulation: negotiate

Operational Trunking Encapsulation: native

Negotiation of Trunking: Off

Access Mode VLAN: 1 (default)

Trunking Native Mode VLAN: 1 (default)

Voice VLAN: none

Administrative private-vlan host-association: none

Administrative private-vlan mapping: none

Administrative private-vlan trunk native VLAN: none

Administrative private-vlan trunk encapsulation: dot1q

Administrative private-vlan trunk normal VLANs: none

Administrative private-vlan trunk private VLANs: none

Operational private-vlan: none

Trunking VLANs Enabled: ALL

Pruning VLANs Enabled: 2-1001

Capture Mode Disabled

Capture VLANs Allowed: ALL

Protected: true

Unknown unicast blocked: disabled

Unknown multicast blocked: enabled

Appliance trust: none

show storm-control [interface-id] [broadcast |マルチキャスト | unicast]コマンドを発行して、指定したトラフィックタイプのインターフェイスに設定されているストーム制御の抑制レベルを確認します。

以下に、いくつかの例を示します。

Switch#show storm-control fastEthernet 0/3 unicast

Interface  Filter State   Upper        Lower        Current

---------  -------------  -----------  -----------  -----------

Fa0/3      Forwarding       85.00%       70.00%        0.00%

Switch#show storm-control fastEthernet 0/3 broadcast

Interface  Filter State   Upper        Lower        Current

---------  -------------  -----------  -----------  -----------

Fa0/3      Forwarding       30.00%       30.00%        0.00%

Switch#show storm-control fastEthernet 0/3 multicast

Interface  Filter State   Upper        Lower        Current

---------  -------------  -----------  -----------  -----------

Fa0/3      inactive        100.00%      100.00%       N/A

show port-security [interface interface-id]コマンドを使用して、指定したインターフェイスのポートセキュリティ設定を確認します。

以下に、いくつかの例を示します。

Switch#show port-security interface fastEthernet 0/3

Port Security              : Enabled

Port Status                : Secure-up

Violation Mode             : Shutdown

Aging Time                 : 0 mins

Aging Type                 : Absolute

SecureStatic Address Aging : Disabled

Maximum MAC Addresses      : 30

Total MAC Addresses        : 4

Configured MAC Addresses   : 0

Sticky MAC Addresses       : 4

Last Source Address        : 0012.0077.2940

Security Violation Count   : 0

show port-security [interface interface-id] addressコマンドを使用して、指定したインターフェイスに設定されているすべてのセキュアMACアドレスを確認します。

以下に、いくつかの例を示します。

Switch#show port-security interface fastEthernet 0/3 address

Secure Mac Address Table

-------------------------------------------------------------------

Vlan    Mac Address       Type                Ports   Remaining Age

(mins)

----    -----------       ----                -----   -------------

1    000d.65c3.0a20    SecureSticky        Fa0/3        -

1    0011.212c.0e40    SecureSticky        Fa0/3        -

1    0011.212c.0e41    SecureSticky        Fa0/3        -

1    0012.0077.2940    SecureSticky        Fa0/3        -

-------------------------------------------------------------------

Total Addresses: 4

関連情報

- Cisco Catalyst 3550 シリーズ スイッチのサポート ページ

- Cisco Catalyst 3650 シリーズ スイッチのサポート ページ

- スイッチ製品に関するサポート ページ

- LAN スイッチング テクノロジーに関するサポート ページ

- テクニカル サポートとドキュメント – Cisco Systems