Cisco Systems, Inc. www.cisco.com

シスコは世界各国 200 箇所にオフ ィ スを開設し ています。 各オフ ィ スの住所、電話番号、FAX 番号は 当社の Web サイ ト をご覧 く だ さい。 www.cisco.com/go/offices

Cisco Catalyst 3850 シ リーズ スイ ッ チおよび Cisco Catalyst 3650 シ リーズ スイ ッ チのベス ト プ ラ ク テ ィ ス ガイ ド

初版：2015 年 11 月 30 日

最終更新日：2016 年 7 月 18 日

こ のマニ ュ アルに記載さ れている仕様および製品に関する情報は、予告な し に変更される こ と があ り ます。こ のマニ ュ アルに記載さ れている表現、情報、および

推奨事項は、すべて正確であ る と 考えていますが、明示的であれ黙示的であれ、一切の保証の責任を負わない も の と し ます。こ のマニ ュ アルに記載さ れている製

品の使用は、すべてユーザ側の責任にな り ます。

対象製品の ソ フ ト ウ ェ ア ラ イ セン スおよび限定保証は、製品に添付 された『Information Packet』に記載さ れています。添付さ れていない場合には、代理店にご連絡

く だ さ い。

The Cisco implementation of TCP header compression is an adaptation of a program developed by the University of California, Berkeley (UCB) as part of UCB’s public

domain version of the UNIX operating system. All rights reserved. Copyright © 1981, Regents of the University of California.

こ こ に記載さ れている他のいかな る保証に も よ らず、各社のすべてのマニ ュ アルおよびソ フ ト ウ ェ アは、障害も含めて「現状のま ま」 と し て提供さ れます。シ ス コ

およびこ れ ら各社は、商品性の保証、特定目的への準拠の保証、および権利を侵害し ない こ と に関する保証、あ る いは取引過程、使用、取引慣行に よ って発生する

保証をはじ め と する、明示 された ま たは黙示 された一切の保証の責任を負わない も の と し ます。

いかな る場合において も、シ ス コおよびその供給者は、こ のマニ ュ アルの使用ま たは使用で き ない こ と に よ っ て発生する利益の損失やデータ の損傷をはじ め と

する、間接的、派生的、偶発的、あ る いは特殊な損害について、あ ら ゆ る可能性がシ ス コ ま たはその供給者に知ら されていて も、それ ら に対する責任を一切負わな

い も の と し ます。

Cisco and the Cisco logo are trademarks or registered trademarks of Cisco and/or its affiliates in the U.S. and other countries. To view a list of Cisco trademarks, go to this

URL: www.cisco.com/go/trademarks. Third-party trademarks mentioned are the property of their respective owners. The use of the word partner does not imply a partnership

relationship between Cisco and any other company. (1110R)

こ のマニ ュ アルで使用し ている IP ア ド レ スおよび電話番号は、実際のア ド レ スおよび電話番号を示すも のではあ り ません。マニ ュ アル内の例、コ マン ド 出力、

ネ ッ ト ワー ク ト ポ ロ ジ図、およびその他の図は、説明のみを目的 と し て使用 されています。説明の中に実際のア ド レ スおよび電話番号が使用さ れていた と し て

も、それは意図的な も のではな く 、偶然の一致に よ る も のです。

© 2015 Cisco Systems, Inc. All rights reserved.

iCisco Catalyst 3850 シ リ ーズ スイ ッ チおよび Cisco Catalyst 3650 シ リーズ スイ ッ チのベス ト プ ラ ク テ ィ ス ガイ ド

C O N T E N T S

はじめに vii

対象読者 iii-vii

表記法 vii

マニュアルの入手方法およびテ クニカル サポー ト viii

容易な導入 1-1

設定ツール 1-1

LAN アクセス スイ ッ チ ト ポロジ 1-2

Cisco Catalyst スイ ッ チ設定のワーク フ ロー 1-3

スイ ッ チのア ド レス計画 1-5

スイ ッ チ ス タ ッ クの更新 2-7

前提条件 2-7

設定値の確認 2-8

設定済みの TFTP サーバを使用し た LAN アクセス スイ ッ チの ト ポロジ 2-8

ス タ ッ ク更新の実行 2-9

スイ ッ チのソ フ ト ウ ェ ア イ メ ージの取得 2-9

ス タ ッ ク メ ンバーのソ フ ト ウ ェ ア バージ ョ ンの確認 2-10

イ ンス ト ール モー ド で実行するためのスイ ッ チの設定 2-10

ローカルの TFTP/FTP サーバからの IOS イ メ ージのイ ンス ト ール 2-11

スイ ッ チ ス タ ッ ク イ メ ージの更新 2-14

スイ ッ チ イ メ ージの自動ア ッ プグレー ドの有効化 2-15

スイ ッ チの初期設定 3-17

スイ ッ チの初期設定の前提条件 3-17

設定値の確認 3-17

初期管理情報の割り当て 3-18

スイ ッ チを識別するためのホス ト 名の設定 3-19

セキュアな LAN 管理のためのセキュア HTTPS およびセキュア シ ェルの設定 3-19

リ モー ト 管理用の SNMP の設定 3-20

スイ ッ チ アクセス用のローカル ログイ ン とパスワー ドの設定 3-20

TACACS+ を使用し た一元化されたユーザ認証の設定 3-20

スイ ッ チへの IP ア ド レスの割り当て 3-21

アウ ト オブバン ド イ ン ターフ ェ イスでの管理 IP ア ド レスの設定 3-22

目次

iiCisco Catalyst 3850 シ リ ーズ スイ ッ チおよび Cisco Catalyst 3650 シ リ ーズ スイ ッ チのベス ト プ ラ ク テ ィ ス ガイ ド

イ ンバン ド イ ン ターフ ェ イスでの管理 IP ア ド レスの設定 3-23

ハー ド ウ ェ アでの管理 VLAN の作成 3-24

グローバル システム設定 4-27

グローバル システム設定の前提条件 4-27

設定値の確認 4-27

グローバル設定情報の割り当て 4-29

スイ ッ チ ス タ ッ クでの高可用性の設定 4-29

VTP ト ラ ンスペアレン ト モー ド で実行するためのスイ ッ チの設定 4-30

Rapid Per-VLAN Spanning Tree Plus の有効化 4-30

スパニング ツ リー PortFast イ ン ターフ ェ イス用の BPDU Guard の設定 4-31

リ ン ク障害を検出するための UDLD の設定 4-31

スイ ッ チ アクセスを制限するためのアクセス リ ス ト の設定 4-32

システム ク ロ ッ ク と コ ン ソール タ イムス タ ンプの設定 4-32

DHCP スヌーピングのセキュ リ テ ィ 機能の設定 4-32

ARP イ ンスペクシ ョ ンの設定 4-33

EtherChannel ロー ド バラ ンシングの設定 4-33

アクセス レ イヤ VLAN の作成 4-33

IPv6 フ ァース ト ホ ッ プ セキュ リ テ ィ ポ リ シーの作成 4-34

TFTP ブロ ッ ク サイズの拡大 4-35

スイ ッ チ ス タ ッ ク イ メ ージへの自動更新のための新規メ ンバーの設定 4-35

ア ッ プ リ ン ク イ ン ターフ ェ イス接続 5-37

ア ッ プ リ ン ク イ ン ターフ ェ イス接続の前提条件 5-37

ア ッ プ リ ン ク イ ン ターフ ェ イス接続の制限 5-37

設定値の確認 5-38

デ ィ ス ト リ ビ ューシ ョ ン スイ ッ チまたはデ ィ ス ト リ ビ ューシ ョ ン ルータへのア ッ プリ ン ク を持つ LAN アクセス スイ ッ チの ト ポロジ 5-39

ア ッ プ リ ン ク イ ン ターフ ェ イス接続の設定 5-40

ルータ またはスイ ッ チへのア ッ プ リ ン ク イ ン ターフ ェ イスを設定するための推奨事項 5-40

ア ッ プ リ ン ク EtherChannel イ ン ターフ ェ イスでの QoS の設定 5-41

EtherChannel および ト ラ ン ク と し てのア ッ プ リ ン ク イ ン ターフ ェ イスの設定 5-42

VSS または VPC デ ィ ス ト リ ビ ューシ ョ ン スイ ッ チに接続するためのア ッ プ リン ク イ ン ターフ ェ イスの設定 5-42

デ ィ ス ト リ ビ ューシ ョ ン ルータ （または、 ス タ ン ド アロン デ ィ ス ト リビ ューシ ョ ン スイ ッ チ） に接続するためのア ッ プ リ ン ク イ ン ターフ ェ イスの設定 5-43

ア ッ プ リ ン ク EtherChannel イ ン ターフ ェ イスでのセキュ リ テ ィ 機能の設定 5-44

目次

iiiCisco Catalyst 3850 シ リ ーズ スイ ッ チおよび Cisco Catalyst 3650 シ リーズ スイ ッ チのベス ト プ ラ ク テ ィ ス ガイ ド

デ ィ ス ト リ ビ ューシ ョ ン スイ ッ チに接続するア ッ プ リ ン ク イ ン ターフ ェ イスのスパニング ツ リーの推奨事項 5-45

ア ッ プ リ ン ク イ ン ターフ ェ イス設定の確認 5-46

スイ ッ チのア ッ プ リ ン ク イ ン ターフ ェ イス接続の表示 5-47

アクセス イ ン ターフ ェ イス接続 6-49

アクセス イ ン ターフ ェ イス接続の前提条件 6-49

設定値の確認 6-49

エン ド デバイスに接続する LAN アクセス スイ ッ チの ト ポロジ 6-51

アクセス イ ン ターフ ェ イス接続の設定 6-51

アクセス イ ン ターフ ェ イスを設定するための推奨事項 6-51

アクセス モー ドのイ ン ターフ ェ イスの設定 6-53

VLAN メ ンバーシ ッ プの設定 6-53

イ ン ターフ ェ イスの説明の作成 6-53

アクセス イ ン ターフ ェ イスのセキュ リ テ ィ 機能の設定 6-54

アクセス イ ン ターフ ェ イスでの QoS の設定 6-55

アクセス イ ン ターフ ェ イス設定の確認 6-55

アクセス イ ン ターフ ェ イス接続の実行コ ン フ ィ ギュ レーシ ョ ンの表示 6-58

有線ネ ッ ト ワークのアクセス制御 7-63

有線ネ ッ ト ワークのアクセス制御の前提条件 7-63

有線ネ ッ ト ワークのアクセス制御の制限 7-63

設定値の確認 7-64

IEEE 802.1x のセキュアなアクセス制御を使用し た LAN アクセス スイ ッ チのト ポロジ 7-65

有線 LAN 上での 802.1x を使用し たアクセスの保護 7-65

有線 LAN でセキュ リ テ ィ を設定するための推奨事項 7-65

共通の有線セキュ リ テ ィ アクセスのプロビジ ョ ニング 7-67

モニ タ モー ド でのプロビジ ョ ニング 7-70

ロー イ ンパク ト モー ド でのプロビジ ョ ニング 7-70

ハイ イ ンパク ト モー ド でのプロビジ ョ ニング 7-71

プロビジ ョ ニング モー ドの実行コ ン フ ィ ギュ レーシ ョ ンの表示 7-73

IEEE 802.1x のステータ ス と統計情報のモニ タ リ ング 7-76

有線およびワイヤレスのコ ンバージ ド アクセス 8-79

前提条件 8-79

機能制限 8-80

設定値の確認 8-80

ワイヤレス接続を使用し た LAN アクセス スイ ッ チの ト ポロジ 8-81

目次

ivCisco Catalyst 3850 シ リ ーズ スイ ッ チおよび Cisco Catalyst 3650 シ リ ーズ スイ ッ チのベス ト プ ラ ク テ ィ ス ガイ ド

ワイヤレス コ ン ト ローラ と し てのスイ ッ チの有効化 8-82

スイ ッ チでのアクセス ポイ ン ト ラ イセンスのイ ンス ト ール 8-82

AP-Count ラ イセンスのイ ンス ト ールの確認 8-83

ワイヤレス管理 VLAN の設定 8-84

サービス接続の設定 8-84

ワイヤレス コ ン ト ローラ機能の有効化 8-85

モビ リ テ ィ コ ン ト ローラ モー ド で実行するスイ ッ チの変更 8-85

アクセス ポイ ン ト 接続の有効化 8-86

ク ラ イアン ト VLAN の有効化 8-87

小規模ブ ラ ンチ WLAN のプロビジ ョ ニング 8-87

Easy-RADIUS でのプロビジ ョ ニング 8-88

Easy-RADIUS を有効にするための認証の無効化 8-88

WLAN をセキュアにするための QoS の設定 8-89

RADIUS のク ラ イアン ト 接続の確認 8-89

セキュア モー ド でのプロビジ ョ ニング 8-91

AAA RADIUS サーバの有効化 8-91

IEEE 802.1x 認証を使用し た WLAN の設定 8-91

オープン WLAN の QoS サービス ポリ シーの設定 8-92

DHCP スヌーピング 8-92

無線周波数およびチャネル設定の管理 8-93

低データ レー ト の無効化 8-93

Clean Air の有効化 8-95

動的チャネル割り当ての有効化 8-96

WLAN ク ラ イアン ト の関連付け 8-96

WLAN ク ラ イアン ト 接続の確認 8-96

無線 LAN コ ンバージ ド アクセスの実行コ ン フ ィ ギュ レーシ ョ ンの表示 8-97

システム ヘルス モニ タ リ ング 9-99

システム ヘルス モニ タ リ ングの前提条件 9-99

実行ステータ スの表示 9-99

コ ア リ ソースのシステム基準の実行 9-100

CPU と コ ア プロセ ッサの使用率の取得 9-100

スイ ッ チのメ モ リ使用率の取得 9-102

フ ァ イル システム使用率のモニ タ 9-102

環境リ ソースのシステム基準の実行 9-103

システム モニ タ リ ングのその他の考慮事項 9-104

スパニング ツ リー モニ タ リ ング 9-104

I N D E X

viiCatalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

はじめに

対象読者こ の ド キ ュ メ ン ト では、Cisco Catalyst 3850 シ リ ーズ ス イ ッ チ、Cisco 3650 シ リ ーズ ス イ ッ チ、およびそのネ ッ ト ワーク内のス イ ッ チ ス タ ッ ク の管理について説明し ます。イーサネ ッ ト ネ ッ トワーク の基礎知識が求め られます。Cisco Certified Network Associate（CCNA）レベルの知識は有用ですが、必須ではあ り ません。

表記法こ のマニ ュ アルでは、次の表記法を使用し ています。

表記法 説明

イ タ リ ッ ク体の青色のフ ォ ン ト

実際の値に置き換え られる設定値の例。

太字 コ マン ド 、キーワー ド 、およびユーザが入力する CLI は、太字フ ォ ン ト で示し ています。

イ タ リ ッ ク体 文書の タ イ ト ル、新規用語、強調する用語、およびユーザが値を指定する引数は、イ タ リ ッ ク体で示し ています。

[ ] • シ ス テム プ ロ ンプ ト に対するデフ ォル ト の応答は、角カ ッ コ で囲んで示し ています。

• 角カ ッ コ の中の要素は、省略可能です。

{x | y | z} 必ずいずれか 1 つを選択し なければな ら ない必須キーワー ド は、波カ ッ コ で囲み、縦棒で区切って示し ています。

[x | y | z] いずれか 1 つを選択で き る省略可能なキーワー ド は、角カ ッ コ で囲み、縦棒で区切って示し ています。

string 引用符を付けない一組の文字。string の前後には引用符を使用し ません。引用符を使用する と 、その引用符も含めて string と 見な さ れます。

courier フ ォ ン ト シ ス テムが表示する端末セ ッ シ ョ ンおよび情報は、courier フ ォ ン ト で示し ています。

< > パス ワー ド の よ う に出力さ れない文字は、山カ ッ コ で囲んで示し ています。

!、# コー ド の先頭に感嘆符（!）ま たはポン ド 記号（#）があ る場合には、コ メ ン ト 行であ る こ と を示します。

viiiCatalyst 3850 および Catalyst 3650 スイ ッ チ シ リーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

対象読者

（注） 「注釈」です。役立つ情報やこ のマニ ュ アルに記載さ れていない参照資料を紹介し ています。

ヒ ン ト ヒ ン ト には、ト ラ ブルシ ューテ ィ ン グや操作方法ではな く 、ワ ンポ イ ン ト ア ド バイ ス と 同様に知ってお く と 役立つ情報が記述さ れる場合も あ り ます。

ワンポイ ン ト ア ド バイス 記述さ れている操作を実行する と 時間を節約で き ます。

マニュアルの入手方法およびテクニカル サポー トマニ ュ アルの入手方法、テ ク ニカル サポー ト 、その他の有用な情報について、次の URL で、毎月更新さ れる『What’s New in Cisco Product Documentation』を参照し て く だ さ い。シ ス コ の新規および改訂版の技術マニ ュ アルの一覧も示さ れています。http://www.cisco.com/c/en/us/td/docs/general/whatsnew/whatsnew.html

『What's New in Cisco Product Documentation』は、シ ス コ の新規および改訂版の技術マニ ュ アルの一覧も示し、RSS フ ィ ー ド と し て購読でき ます。また、リ ーダー アプ リ ケーシ ョ ン を使用し て コ ンテン ツ をデス ク ト ッ プに配信する こ と も で き ます。RSS フ ィ ー ド は無料のサービ スです。

Cisco Systems, Inc.www.cisco.com

容易な導入

こ の ド キ ュ メ ン ト では、Cisco Catalyst 3850 シ リ ーズおよび Cisco Catalyst 3650 シ リ ーズのスイ ッ チを導入する ためのベス ト プ ラ ク テ ィ スについて説明し ます。

（注） 特に明記し ない限 り 、ス イ ッ チ と い う 用語はス タ ン ド ア ロ ン Catalyst 3850 ス イ ッ チ、 Catalyst 3650 ス イ ッ チ、ま たはス イ ッ チ ス タ ッ ク を指し ます。

シ ス コ ス イ ッ チの導入におけ るベス ト プ ラ ク テ ィ スは、Catalyst ス イ ッ チで使用さ れる推奨設定方法です。こ の方法は、ネ ッ ト ワーク のセキ ュ リ テ ィ 、パフ ォーマン ス、可用性を向上させる、テ ス ト および実証済みの方法です。

ベス ト プ ラ ク テ ィ ス設定では、指定さ れた タ ス ク を実行する理由について説明し ます。ま た、特定のシナ リ オ用の設定を予測で き る完全な実行コ ン フ ィ ギ ュ レーシ ョ ンのサンプル スナ ッ プシ ョ ッ ト を提供し ます。

ヒ ン ト こ の ド キ ュ メ ン ト の推奨設定を ス イ ッ チ導入用のテンプレー ト と し て使用し て く だ さ い。

（注） さ ま ざ ま な機能 と ソ リ ューシ ョ ンのベス ト プ ラ ク テ ィ ス を解説し た多数のシ ス コ ド キ ュ メ ント が提供さ れています。こ のガ イ ド に記載さ れた情報 と その他のベス ト プ ラ ク テ ィ スおよび導入ガ イ ド の情報は一部重複し ます。こ の ド キ ュ メ ン ト では、読者が 3850 の操作の特定の側面について よ り 深い理解が得られる よ う に、関連があ る場合は他の既存の ド キ ュ メ ン ト を参照し ます。それ以外の箇所では、こ の ド キ ュ メ ン ト は単独で使用する こ と がで き、完全なベス ト プ ラ クテ ィ ス設定を提供し ます。

設定ツールこ の ド キ ュ メ ン ト の設定例では、ス イ ッ チの設定に使用する も一般的なツールであ る Cisco IOS CLI 設定ツールを使用し ます。

ただ し、異な る ツールを使用し て ス イ ッ チの設定を行 う こ と も で き ます。その他の設定ツール とし て、Express Setup、デバイ ス マネージ ャ、および Cisco Prime を使用で き ます。

容易な導入

LAN ア クセス スイ ッ チ ト ポロジ

2Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

こ の ド キ ュ メ ン ト で紹介さ れている例では、ス イ ッ チで実行する必要があ る CLI コ マン ド を示し ます。青色の斜体で示さ れた値の例を実際の値に置き換えて く だ さ い。

LAN アクセス スイ ッ チ ト ポロジこ の ド キ ュ メ ン ト で説明さ れている ワーク フ ローでは、ス イ ッ チが LAN ア ク セス ス イ ッ チ と して導入さ れている こ と が前提 と な り ます。特に断 り のない限 り 、LAN ア ク セス レ イ ヤ内のスイ ッ チはレ イ ヤ 2 ス イ ッ チ と し て設定さ れ、すべてのレ イ ヤ 3 サービ スは、直接接続さ れたデ ィス ト リ ビ ューシ ョ ン ス イ ッ チま たはルータ に よ り 提供さ れます。

こ の ド キ ュ メ ン ト では、ス イ ッ チがス タ ッ ク さ れて ス イ ッ チ ス タ ッ ク（共通のス イ ッ チン グ ユニ ッ ト ）が形成さ れている こ と が前提 と な り ます。組み込みの冗長性が得られる ため、ス イ ッ チ ス タ ッ ク を使用する こ と をお勧め し ます。ま た、コ ンバージ ド ア ク セス モー ド （ワ イ ヤレ ス モード ）でのス イ ッ チの導入時、および各種ス タ ッ ク メ ンバーへのア ク セス ポ イ ン ト の接続時にスイ ッ チ ス タ ッ ク を使用する こ と も推奨し ます。

LAN ア ク セス レ イ ヤで導入さ れる ス イ ッ チは、ギガビ ッ ト と 10 ギガビ ッ ト の両方のア ッ プ リン ク接続オプシ ョ ン を備えた 10/100/1000 イーサネ ッ ト 経由で、デバイ スへの高帯域幅接続を提供し ます。

ス イ ッ チがア ク セス モー ド で導入さ れる と 、IP フ ォ ン、ワ イ ヤレ ス ア ク セス ポ イ ン ト 、デス クト ッ プなどのエン ド デバイ スがネ ッ ト ワーク にア ク セスで き る よ う にな り ます。Power over Ethernet（PoE）ス イ ッ チ モデルは、IP フ ォ ン、ワ イ ヤレ ス ア ク セス ポ イ ン ト 、および IP カ メ ラ に電力を供給する ために PoE+（30 W）および UPoE（60 W）をサポー ト し ています。ス イ ッ チの現場交換可能なア ッ プ リ ン ク モジ ュールに よ り 、さ ま ざ ま なア ッ プ リ ン ク接続タ イ プを使用する こと がで き ます。

図 1 に、企業のキ ャ ンパス導入環境を示し ます。こ こ では、ス イ ッ チがデ ィ ス ト リ ビ ューシ ョ ン レ イヤ ス イ ッチ（Catalyst 6500、6800、4500、または Nexus 7000 ス イ ッチなど）に接続されています。

図 1 デ ィ ス ト リ ビ ューシ ョ ン スイ ッ チを使用し た LAN アクセス スイ ッ チの ト ポロジ

set system location Building 1, San Jose, CA

Dual redundant switchesin distribution layer runningVSS (Cat6500/6800/4500),or VPC (Nexus 7000)

Desktop userdirect connect

Desktop user

Printer

Wireless access

Catalyst 3850 stack in access

Voice VLAN 11Data VLAN 10

Data VLAN 10

Data VLAN 10

Switch managementVLAN 100

Access point VLAN 12

3916

37

Trunk linkNative VLAN 999All VLANs included

容易な導入

Cisco Catalyst スイ ッ チ設定のワーク フ ロー

3Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

図 2 は、ス イ ッ チがルータ（ISR）に接続さ れたブ ラ ンチ導入を示し ています。ス イ ッ チはレ イ ヤ 2 ス イ ッ チ と し て動作する ため、キ ャ ンパス導入の場合も ブ ラ ンチの導入の場合も設定に大き な違いはあ り ません。設定の違いについては、ベス ト プ ラ ク テ ィ スの手順に記載し ます。

図 2 デ ィ ス ト リ ビ ューシ ョ ン ルータ を使用し た LAN アクセス スイ ッ チの ト ポロジ

Cisco Catalyst スイ ッ チ設定のワーク フ ロー こ の ド キ ュ メ ン ト は、主にス イ ッ チ ネ ッ ト ワーク の設定について説明し てお り 、ワーク フ ロー パターンで構成さ れています。こ のワーク フ ローは、ス イ ッ チが ラ ッ ク に収容され、マ ウ ン ト および接続さ れ、電源が投入さ れた後の初期設定か ら始ま り 、シ ス テム ヘルスのモニ タ リ ン グで終了し ます。

図 3 に、こ の ド キ ュ メ ン ト で説明し ているベス ト プ ラ ク テ ィ ス設定を示し ます。

ス イ ッ チを イ ン ス ト ールする方法については、『Switch Hardware Installation Guide』を参照し て くだ さ い。

Dual redundantrouters running HSRP

Desktop userdirect connect

Desktop userbehind IP phone

Printer

Wireless access

Catalyst 3850 stack in access

Voice VLAN 11Data VLAN 10

Data VLAN 10

Data VLAN 10

Switch managementVLAN 100

Access point VLAN 12

3916

38

Trunk linkNative VLAN 999All VLANs included

容易な導入

Cisco Catalyst スイ ッ チ設定のワーク フ ロー

4Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

図 3 Cisco Catalyst スイ ッ チ：設定のワーク フ ロー

Install a switch

Complete initial switch configurationon the first day of deploying the switch

Are switch stack members

running the same image?

Update the image on switch stack members

Yes No

Configure global switch settings to define common configuration

Configure QoS on wired and wireless traffic to guarantee network performance

Configure switch connections todistribution switches or routers

Configure switch connections to end devices (such as access points,

IP phones, laptops, printers)

Configure secure access on the switch and on

connected devices

Configure wireless LAN access on the switch to enable converged access functionality

Monitor switch health to maintainnetwork stability and performance

3537

33

容易な導入

スイ ッ チのア ド レス計画

5Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

スイ ッ チのア ド レス計画こ の ド キ ュ メ ン ト でス イ ッ チに指定さ れ、使用さ れている VLAN ID と IP ア ド レ スはベス ト プラ ク テ ィ スの構成要素ではな く 、設定例に指定さ れた値にすぎ ません。実際の導入では、特定のネ ッ ト ワーク に適し た IP ア ド レ ス計画が立て られます。

こ の ド キ ュ メ ン ト では、説明を簡単にする ために、すべての IP ア ド レ ス範囲を /24 と し ています。導入さ れたア ク セス ス イ ッ チ全体で VLAN ID を再使用する こ と をお勧め し ます。

た と えば、ア ク セス レ イ ヤでは、VLAN 10 は常にデータ に使用さ れ、VLAN 11 は常に音声に使用さ れます。こ れら の VLAN の IP サブネ ッ ト はア ク セス ス イ ッ チで異な り ますが、VLAN ID は同一です。こ の タ イ プのア ド レ ス計画では、同じ VLAN ID が一貫し て使用さ れる ため、ネ ッ ト ワーク の運用が容易にな り ます。

表 1 IP ア ド レス計画

VLAN ID IP ア ド レス サーバ 説明

100 192.168.1.0/24 — ス イ ッ チの イ ンバン ド 管理 VLAN。

10 192.168.10.0/24 ア ッ プス ト リ ーム デバイ ス

エン ド デバイ ス用データ ア ク セス VLAN およびサブネ ッ ト 。

11 192.168.11.0/24 ア ッ プス ト リ ーム デバイ ス

IP フ ォ ン用音声ア ク セ ス VLAN およびサブネ ッ ト 。

12 192.168.12.0/24 Catalyst 3850 ス イ ッ チ ア ク セス ポ イ ン ト VLAN およびサブネ ッ ト 。

200 192.168.13.0/24 ア ッ プス ト リ ーム デバイ ス

ワ イ ヤレ ス ク ラ イ アン ト VLAN およびサブネ ッ ト 。

— 192.168.254.0 — すべての中央サービ スの IP ア ドレ ス範囲。各サービ スはス イ ッ チに物理的に隣接し ていません。

容易な導入

スイ ッ チのア ド レス計画

6Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

Cisco Systems, Inc.www.cisco.com

スイ ッ チ ス タ ッ クの更新

こ のワーク フ ローでは、同じ ソ フ ト ウ ェ ア イ メ ージを使用し て ス イ ッ チ ス タ ッ ク のすべてのメ ンバーを更新する方法について説明し ます。

ス イ ッ チ ス タ ッ ク のグ ローバル コ ン フ ィ ギ ュ レーシ ョ ンおよび詳細設定に進む前に、リ リ ースの不一致に よ る問題が発生し ない よ う に、すべてのス タ ッ ク メ ンバーで同じ Cisco IOS XE リリ ースが稼働し ている よ う に し て く だ さ い。ま た、ス イ ッ チ ス タ ッ ク に追加する必要のあ る新しいス イ ッ チで も同じ Cisco IOS XE リ リ ースが稼働し ている必要があ り ます。非稼動の]場合、スイ ッ チ ス タ ッ ク は統合さ れず、新し いス イ ッ チはス タ ン ド ア ロ ン状態のま まにな り ます。

（注） Catalyst 3850 ま たは 3650 ス イ ッ チ ス タ ッ ク の更新は、Catalyst 3750 ス イ ッ チ ス タ ッ ク の更新 とは異な り ます。単に boot ス テー ト メ ン ト を目的の .bin フ ァ イルに変更する方法は、Catalyst 3850 および 3650 ス イ ッ チ ス タ ッ ク では推奨さ れません。Catalyst 3850 および 3650 ス イ ッ チ ス タ ック の更新プ ロ セスには、.bin フ ァ イルか ら抽出さ れ、フ ラ ッ シ ュ に ロー ド さ れる一連のパ ッ ケージ フ ァ イルが含まれています。

前提条件 • 資格のあ る ク レデンシ ャルを持つ有効な Cisco Connection Online（CCO）のアカ ウ ン ト を取得

し ます。

• 新し い IOS バージ ョ ン を イ ン ス ト ールする プ ロ セスでは、FTP ま たは TFTP を使用し ます。そのため、FTP ま たは TFTP サーバで 3850 IOS ソ フ ト ウ ェ アを ホ ス ト する こ と がで き、当該サーバに IP ネ ッ ト ワーク経由で到達可能であ る必要があ り ます。

• 作業を開始する前に、TFTP ま たは FTP を イ ン ス ト ールし て設定し ます。

• 「TFTP ブ ロ ッ ク サ イ ズの拡大」の項で説明し ている よ う に、TFTP ブ ロ ッ ク サ イ ズが 大値の 8192 に設定さ れてい る こ と を確認し ます。

スイ ッ チ ス タ ッ クの更新

設定値の確認

8Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

設定値の確認中断せずに こ のセ ク シ ョ ンの手順を進める こ と がで き る よ う に、特定のス イ ッ チ設定値を事前に確認し てお く こ と をお勧め し ます。手順に従って設定を進める際に、列 B の値を列 C に記載した実際の値で置き換えて く だ さ い。

（注） 設定例では、青色の斜体で示さ れた値の例を実際の値に置き換えて く だ さ い。

（注） 特に断 り のない限 り 、設定例はグ ローバル コ ン フ ィ ギ ュ レーシ ョ ン モー ド で開始されます。

設定済みの TFTP サーバを使用した LAN アクセス スイ ッチの ト ポロジ

図 4 設定済みの TFTP サーバを使用し た LAN アクセス スイ ッ チの ト ポロジ

表 2 スイ ッ チ ス タ ッ ク更新の設定値

A. 値の名前 B. 値の例 C. 実際の値

ホ ス ト 名 3850-access-Bld1Flr1

TFTP サーバ 192.168.254.12

フ ラ ッ シ ュ フ ァ イル cat3k_caa-universalk9.SSA.16.1.0.EFT3-1.bin

Dual redundant switchesin distribution layer runningVSS (Cat6500/6800/4500),or VPC (Nexus 7000)

Desktop userdirect connect

Desktop user

Printer

Wireless access

Catalyst 3850 stack in access

Voice VLAN 11Data VLAN 10

Data VLAN 10

Data VLAN 10

Switch managementVLAN 100

FTP SERVER172.18.121.121

Access point VLAN 12

3917

00

Trunk linkNative VLAN 999All VLANs included

スイ ッ チ ス タ ッ クの更新

ス タ ッ ク更新の実行

9Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

ス タ ッ ク更新の実行 • ス イ ッ チの ソ フ ト ウ ェ ア イ メ ージの取得

• ス タ ッ ク メ ンバーの ソ フ ト ウ ェ ア バージ ョ ンの確認

• イ ン ス ト ール モー ド で実行する ためのス イ ッ チの設定

• ローカルの TFTP/FTP サーバか ら の IOS イ メ ージの イ ン ス ト ール

• ス イ ッ チ ス タ ッ ク イ メ ージの更新

（注） 次の タ ス ク を リ ス ト さ れた順序で実行し ます。

スイ ッ チのソ フ ト ウェ ア イ メージの取得

ご使用のネ ッ ト ワーク ト ポ ロ ジ と の互換性を保つために、イ ン ス ト ールの前に該当する ス イ ッチの リ リ ース ノ ー ト を参照する こ と をお勧め し ます。Cisco.com の各プ ラ ッ ト フ ォームには、ソフ ト ウ ェ アの品質、安定性、および長期利用性に基づ く シ ス コ推奨 リ リ ースがあ り ます。こ の リリ ースは、付録 2「Cisco Catalyst 3850-48P-S ス イ ッ チ」に表示さ れてい る よ う に、 記号で示されます。

ステ ッ プ 1 必要な .bin フ ァ イルを Cisco.com か ら ス イ ッ チのフ ラ ッ シ ュ ス ト レージにダ ウ ン ロー ド し ます。

（注） こ の例は、シ ス コ推奨 リ リ ース を示す記号がどの よ う に表示される かを示すための も ので、推奨さ れる リ リ ース バージ ョ ン を示すも のではあ り ません（推奨 リ リ ース バージ ョ ンは時間 と と もに変化し ます）。

図 5 Cisco Catalyst 3850-48P-S スイ ッ チ .

スイ ッ チ ス タ ッ クの更新

ス タ ッ ク更新の実行

10Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

ス タ ッ ク メ ンバーのソ フ ト ウェ ア バージ ョ ンの確認

ステ ッ プ 2 実行中の ソ フ ト ウ ェ ア バージ ョ ン を確認し ます。

インス ト ール モー ド で実行するためのスイ ッ チの設定

実稼働環境ではス イ ッ チを イ ン ス ト ール モー ド で実行する必要があ り ます。こ のモー ド は必須ではあ り ませんが、ス イ ッ チが イ ン ス ト ール モー ド 以外のモー ド で実行される場合は、更新手順が異な り ます。

（注） イ ン ス ト ール モー ド と バン ド ル イ ン ス ト ール モー ド の違いについては、『Cisco IOS File System,

Configuration Files, and Bundle Files Appendix, Cisco IOS XE Release 3SE (Catalyst 3850 Switches)』の「Working with the Cisco IOS File System, Configuration File, and Software Bundle Files」の章を参照し て く だ さ い。

ステ ッ プ 3 ス イ ッ チ ス タ ッ ク がバン ド ル モー ド で実行されている場合、request platform software package expand switch file to flash コ マン ド を使用し て、イ ン ス ト ール モー ド に変換し ます。

ステ ッ プ 4 .bin フ ァ イルがフ ラ ッ シ ュ に正常に抽出さ れた ら、boot ス テー ト メ ン ト を変更し、packages.conf フ ァ イルを使用し て起動する よ う に し ます。

（注） pacakges.conf フ ァ イルのフ ォーマ ッ ト が Cisco IOS XE リ リ ース Denali 16.1 で変更さ れたため、古い packages.conf フ ァ イルを新し い packages.conf フ ァ イルで上書き し ます。ス タ ッ ク内のスイ ッ チご と に上記の手順を実行し ます。3 つの メ ンバーのス タ ッ ク の場合、flash:、flash-2:、および flash-3: で実行する必要があ り ます。

（注） TFTP サーバが到達可能であ る こ と を確認し ます。パフ ォーマン ス を向上させる には、TFTP ブロ ッ ク サ イ ズを 8192 に増やし ます。グ ローバル コ ン フ ィ ギ ュ レーシ ョ ン モー ド で ip tftp blocksize bytes コ マン ド を使用し ます。

Switch Ports Model SW Version SW Image Mode------ ----- ----- ---------- ---------- ----* 1 32 WS-C3850-24P Denali 16.1.1 CAT3K_CAA-UNIVERSALK9 BUNDLE 2 32 WS-C3850-24P Denali 16.1.1 CAT3K_CAA-UNIVERSALK9 BUNDLE 3 32 WS-C3850-24P Denali 16.1.1 CAT3K_CAA-UNIVERSALK9

request platform software package expand switch 1 fileflash:cat3k_caa-universalk9.BLD_V161_0_THROTTLE_LATEST_20151116_230450.SSA.bin to flash::

no boot systemboot system switch all flash:packages.confexitwrite memoryreload

スイ ッ チ ス タ ッ クの更新

ス タ ッ ク更新の実行

11Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

ステ ッ プ 5 ス イ ッ チ ス タ ッ ク が イ ン ス ト ール モー ド で実行さ れている こ と を確認し ます。

ローカルの TFTP/FTP サーバからの IOS イ メ ージのインス ト ール

使い慣れたフ ァ イル転送方式を使用で き ますが、TFTP ま たは FTP を使用する こ と をお勧め します。

ステ ッ プ 6 次の コ マン ド を使用し てブ ロ ッ ク サ イ ズの設定を確認し ます。

TFTP ま たは FTP を使用し て ス イ ッ チへのフ ァ イル転送を試みる前に、TFTP ブ ロ ッ ク サ イ ズに 8192（ 大許容値）を使用する こ と をお勧め し ます。詳細については、「グ ローバル シ ス テム設定」ワーク フ ローの「TFTP ブ ロ ッ ク サ イ ズの拡大」の項を参照し て く だ さ い。

ステ ッ プ 7 TFTP サーバに接続で き る こ と を確認し ます。

こ の例では、イ ンバン ド ネ ッ ト ワーク経由でア ク セス可能な TFTP サーバを使用し ています。

ステ ッ プ 8 接続を確認し た後、すべてのス イ ッ チ ス タ ッ ク メ ンバーのフ ラ ッ シ ュ に十分な空き領域があ るこ と を確認し ます。

ステ ッ プ 9 フ ァ イルを フ ラ ッ シ ュ か ら消去する必要があ る と 判断し た場合、request platform clean switch コ マン ド を実行し て、すべてのス タ ッ ク メ ンバーのフ ラ ッ シ ュ内にあ る不要なフ ァ イルを削除し ます。

Switch# show versionCisco IOS Software, Catalyst L3 Switch Software (CAT3K_CAA-UNIVERSALK9-M), Version Denali 16.1.1, RELEASE SOFTWARE (fc1)Technical Support: http://www.cisco.com/techsupportCopyright (c) 1986-2015 by Cisco Systems, Inc.Compiled Thu 12-Nov-15 16:23 by mcpre

Switch Ports Model SW Version SW Image Mode------ ----- ----- ---------- ---------- ----* 1 32 WS-C3850-24P Denali 16.1.1 CAT3K_CAA-UNIVERSALK9 BUNDLE 2 32 WS-C3850-24P Denali 16.1.1 CAT3K_CAA-UNIVERSALK9 BUNDLE 3 32 WS-C3850-24P Denali 16.1.1 CAT3K_CAA-UNIVERSALK9 BUNDLE

# show run | inc blockip tftp blocksize 8192

ping 192.168.254.12

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.254.12, timeout is 2 seconds: !!!!

スイ ッ チ ス タ ッ クの更新

ス タ ッ ク更新の実行

12Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

フ ァ イルを個々に削除する のではな く 、request platform clean switch コ マン ド を使用する こ とをお勧め し ます。削除の確認時に削除さ れる フ ァ イルがわかる よ う に、消去される フ ァ イルの一覧が コ マン ド で表示さ れます。

（注） ス タ ッ ク内のすべてのス イ ッ チを ク リ ーンア ッ プする には、switch all オプシ ョ ン を使用し ます。

（注） request platform clean switch コ マン ド は、新し い Cisco IOS ソ フ ト ウ ェ アの イ ン ス ト ールに使用さ れる .bin フ ァ イル も削除し ます。.bin は抽出処理後に必要にな る こ と はあ り ません。

Device# request platform software package clean switch all file flash:Running command on switch 1Cleaning up unnecessary package filesScanning boot directory for packages ... done.Preparing packages list to delete ...done.Running command on switch 2Cleaning up unnecessary package filesScanning boot directory for packages ... done.Preparing packages list to delete ...done.The following files will be deleted:[1]:/flash/cat3k_caa-rpbase.BLD_V161_0_THROTTLE_LATEST_20151116_230450.SSA.pkg/flash/cat3k_caa-srdriver.BLD_V161_0_THROTTLE_LATEST_20151116_230450.SSA.pkg/flash/cat3k_caa-universalk9.BLD_V161_0_THROTTLE_LATEST_20151116_230450.SSA.bin/flash/cat3k_caa-wcm.BLD_V161_0_THROTTLE_LATEST_20151116_230450.SSA.pkg/flash/cat3k_caa-webui.BLD_V161_0_THROTTLE_LATEST_20151116_230450.SSA.pkg/flash/packages.conf/flash/packages.conf.00-/flash/packages.conf.01-/flash/packages.conf.02-[2]:

スイ ッ チ ス タ ッ クの更新

ス タ ッ ク更新の実行

13Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

/flash/cat3k_caa-rpbase.BLD_V161_0_THROTTLE_LATEST_20151116_230450.SSA.pkg/flash/cat3k_caa-srdriver.BLD_V161_0_THROTTLE_LATEST_20151116_230450.SSA.pkg/flash/cat3k_caa-universalk9.BLD_V161_0_THROTTLE_LATEST_20151116_230450.SSA.bin/flash/cat3k_caa-wcm.BLD_V161_0_THROTTLE_LATEST_20151116_230450.SSA.pkg/flash/cat3k_caa-webui.BLD_V161_0_THROTTLE_LATEST_20151116_230450.SSA.pkg/flash/packages.conf/flash/packages.conf.00-/flash/packages.conf.01-/flash/packages.conf.02-Do you want to proceed?[y/n]y[1]:Deleting file flash:cat3k_caa-rpbase.BLD_V161_0_THROTTLE_LATEST_20151116_230450.SSA.pkg ...done.Deleting file flash:cat3k_caa-srdriver.BLD_V161_0_THROTTLE_LATEST_20151116_230450.SSA.pkg... done.Deleting file flash:cat3k_caa-universalk9.BLD_V161_0_THROTTLE_LATEST_20151116_230450.SSA.bin... done.Deleting file flash:cat3k_caa-wcm.BLD_V161_0_THROTTLE_LATEST_20151116_230450.SSA.pkg ...done.Deleting file flash:cat3k_caa-webui.BLD_V161_0_THROTTLE_LATEST_20151116_230450.SSA.pkg ...done.

Deleting file flash:packages.conf ... done.Deleting file flash:packages.conf.00- ... done.Deleting file flash:packages.conf.01- ... done.Deleting file flash:packages.conf.02- ... done.SUCCESS: Files deleted.[2]:Deleting file flash:cat3k_caa-rpbase.BLD_V161_0_THROTTLE_LATEST_20151116_230450.SSA.pkg ...done.Deleting file flash:cat3k_caa-srdriver.BLD_V161_0_THROTTLE_LATEST_20151116_230450.SSA.pkg... done.Deleting file flash:cat3k_caa-universalk9.BLD_V161_0_THROTTLE_LATEST_20151116_230450.SSA.bin... done.Deleting file flash:cat3k_caa-wcm.BLD_V161_0_THROTTLE_LATEST_20151116_230450.SSA.pkg ...done.Deleting file flash:cat3k_caa-webui.BLD_V161_0_THROTTLE_LATEST_20151116_230450.SSA.pkg ...done.Deleting file flash:packages.conf ... done.Deleting file flash:packages.conf.00- ... done.Deleting file flash:packages.conf.01- ... done.Deleting file flash:packages.conf.02- ... done.SUCCESS: Files deleted.

スイ ッ チ ス タ ッ クの更新

ス タ ッ ク更新の実行

14Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

ステ ッ プ 10 copy tftp://flash コ マン ド を使用し て、ス イ ッ チ イ メ ージを TFTP サーバに コ ピーし ます。

次の例は、TFTP サーバ（192.168.254.12）でユーザ名（admin） と パス ワー ド （cisco）が必要にな る こと を示し ています。こ れら は、copy コ マン ド に容易に含め る こ と がで き ます。

スイ ッ チ ス タ ッ ク イ メージの更新

ステ ッ プ 11 イ メ ージを ス タ ッ ク メ ンバーにア ッ プ ロー ド し、ス イ ッ チを リ ロー ド し ます。

イ メ ージのダ ウ ン ロー ド と イ ン ス ト ールはス タ ッ ク の稼働中に実行で き ますが、更新イ ン スト ールを完了する には、ス イ ッ チの リ ロー ド を実行する必要があ る ため、サービ スの停止が発生し ます。

ステ ッ プ 12 リ ロー ド が完了し た ら、request platform software package clean switch all file flash コ マン ド を実行し ます。

ス タ ッ ク メ ンバーが同じ ソ フ ト ウ ェ アを使用し ている こ と を確認する には、ス イ ッ チ ス タ ッ クのすべての メ ンバーで show version コ マン ド を使用し ます。

copy tftp://admin:cisco@192.168.254.12/IOS/3850/cat3k_caa-universalk9.SSA.16.1.0.EFT3-1.bin flash:

software install file flash: cat3k_caa-universalk9.SSA.16.1.0.EFT3-1.bin

[1 2]: Do you want to proceed with reload?[yes/no]

request platform software package clean switch all file flashDevice# request platform software package clean switch all file flash:Running command on switch 1Cleaning up unnecessary package filesScanning boot directory for packages ... done.Preparing packages list to delete ...

done.Running command on switch 2Cleaning up unnecessary package filesScanning boot directory for packages ... done.Preparing packages list to delete ...

done.

スイ ッ チ ス タ ッ クの更新

ス タ ッ ク更新の実行

15Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

スイ ッ チ イ メージの自動ア ッ プグレー ドの有効化

ステ ッ プ 13 新規ま たは代替のス タ ッ ク メ ンバーが、ス イ ッ チ ス タ ッ ク で実行さ れている ソ フ ト ウ ェ アに自動的にア ッ プグ レー ド さ れる よ う に、自動ア ッ プグ レー ド を有効に し ます。

新し い メ ンバーを追加し た り 、ス タ ッ ク メ ンバーを置き換えた り する場合、ス タ ッ ク内で自動ア ッ プグ レー ド 機能を有効にする こ と をお勧め し ます。こ の機能は、ス タ ッ ク の不一致に よ る問題を回避し、すべての新規ス イ ッ チが、ス タ ッ ク で現在実行中のバージ ョ ンにア ッ プグ レー ド される よ う に し ます。ま た、バン ド ル モー ド の メ ンバーを イ ン ス ト ール モー ド に変換し ます。

自動ア ッ プグ レー ド 機能は、互換性のない ソ フ ト ウ ェ アを稼働し ている ス タ ッ ク メ ンバーに、ソフ ト ウ ェ ア パ ッ ケージを既存のス タ ッ ク メ ンバーか ら自動的に イ ン ス ト ールし ます。

（注） 自動ア ッ プグ レー ド はデフ ォル ト でデ ィ セーブルになっています。

（注） ロー リ ン グ ア ッ プグ レー ド 機能はサポー ト さ れていません。

software auto-upgrade enable end

スイ ッ チ ス タ ッ クの更新

ス タ ッ ク更新の実行

16Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

Cisco Systems, Inc.www.cisco.com

スイ ッ チの初期設定

次のワーク フ ローでは、ス イ ッ チ上で基本設定を行 う 方法について説明し ます。

ス イ ッ チの設定を一度に導入する場合も段階的に導入する場合も、ス イ ッ チの基本設定を 初に行 う 必要があ り ます。初期管理設定には、IP ア ド レ ス、パス ワー ド 、および VLAN の設定が含まれ、こ れら は以降の機能設定の前提条件 と な り ます。

スイ ッ チの初期設定の前提条件次の タ ス ク を実行する には、ス イ ッ チの『Hardware Installation Guide』を参照し て く だ さ い。

1. ス イ ッ チを ラ ッ ク マ ウ ン ト し ます。

2. StackWise ケーブルを接続し ます。

3. ス イ ッ チ ポー ト を接続し ます。

4. 電源をオンに し ます。

5. 上流に位置する ス イ ッ チをプ ロ ビジ ョ ニン グ し ます。

6. ス イ ッ チのア ッ プ リ ン ク イ ン ターフ ェ イ ス と 上流に位置する ス イ ッ チま たはルータ を、少な く と も 1 つの イーサネ ッ ト ケーブルで接続し ます。

設定値の確認中断せずに こ のセ ク シ ョ ンの手順を進める こ と がで き る よ う に、特定のス イ ッ チ設定値を事前に確認し てお く こ と をお勧め し ます。表 2 を印刷する こ と をお勧め し ます。ま た、手順に従って設定を進める際に、列 B の値を列 C に記載し た実際の値で置き換えて く だ さ い。

（注） 青色の斜体で示さ れた値の例を実際の値に置き換えて く だ さ い。

スイ ッ チの初期設定

初期管理情報の割り当て

18Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

（注） 特に断 り のない限 り 、こ の ド キ ュ メ ン ト で説明さ れている設定例はグ ローバル コ ン フ ィ ギ ュレーシ ョ ン モー ド で開始さ れます。

初期管理情報の割り当て • （注）以下の設定は、リ ス ト さ れている順序で実行する必要があ り ます。

• （注）次に、ユーザは「セキ ュ アな LAN 管理のためのセキ ュ ア HTTPS およびセキ ュ ア シ ェルの設定」に進むこ と がで き ます。

• リ モー ト 管理用の SNMP の設定

• ス イ ッ チ ア ク セス用の ローカル ロ グ イ ン と パス ワー ド の設定

• TACACS+ を使用し た一元化されたユーザ認証の設定

• ア ウ ト オブバン ド イ ン ターフ ェ イ スでの管理 IP ア ド レ スの設定

• イ ンバン ド イ ン ターフ ェ イ スでの管理 IP ア ド レ スの設定

• ハー ド ウ ェ アでの管理 VLAN の作成

• （注）ス イ ッ チの初期管理情報を表示するには、show running-configuration コ マン ド を入力します。

表 3 初期設定値

A. 値の名前 B. 値の例 C. 実際の値

ホ ス ト 名 3850-access-Bld1Flr1

読み取 り 専用ア ク セス と 読み書き ア ク セス用の SNMP コミ ュ ニテ ィ 文字列

my-SNMP-RO-name

my-SNMP-RW-name

管理 VLAN ID 100

イ ンバン ド 管理 IP ア ド レ スおよびマス ク

192.168.1.2 255.255.255.0

デフ ォル ト ゲー ト ウ ェ イ 192.168.1.1

シーク レ ッ ト パス ワー ド my-secret-password

TACAS サーバの IP ア ド レ ス 192.168.254.10

TACAS サーバの秘密キー cisco123

ア ッ プ リ ン ク イ ン ターフ ェ イス ID

GigabitEthernet 1/1/1

ア ウ ト オブバン ド イ ン ターフ ェ イ スの管理 VRF IP ア ドレ ス

Mgmt-vrf 192.168.128.5

255.255.255.0

Mgmt-VRF のデフ ォル ト ルート のネ ク ス ト ホ ッ プ

192.168.128.1

ネ イ テ ィ ブ VLAN 999、ダ ミ ー

スイ ッ チの初期設定

初期管理情報の割り当て

19Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

（注） 以下の設定は、リ ス ト さ れている順序で実行する必要があ り ます。

スイ ッ チを識別するためのホス ト 名の設定

ステ ッ プ 1 ネ ッ ト ワーク内でス イ ッ チを識別する ためにス イ ッ チでホ ス ト 名を設定し ます。デフ ォル ト では、シ ス テム名およびプ ロ ンプ ト は Switch です。

ス イ ッ チ製品フ ァ ミ リ のホ ス ト 名、ネ ッ ト ワーク内のス イ ッ チの役割、およびス イ ッ チの場所を設定し ます。

シ ス テム名は、シ ス テム プ ロ ンプ ト と し て も使用さ れる こ と に注意し て く だ さ い。

シ ス テム プ ロ ンプ ト を設定し ていない場合は、シ ス テム名の 初の 20 文字がシ ス テム プ ロ ンプト と し て使用さ れます。大な り 記号（>）が付加さ れます。シ ス テム名が変更さ れる と 、プ ロ ンプ トは更新さ れます。

以下に、ビルデ ィ ン グ 1 の 1 階に設置されたア ク セス レ イ ヤ ス イ ッ チ と し て機能し ている スイ ッ チの例を示し ます。

.

（注） 次に、ユーザは「セキ ュ アな LAN 管理のためのセキ ュ ア HTTPS およびセキ ュ ア シ ェルの設定」に進むこ と がで き ます。

セキュアな LAN 管理のためのセキュア HTTPS およびセキュア シ ェルの設定

ステ ッ プ 2 ス イ ッ チの HTTP および Telnet の非暗号化プ ロ ト コルを無効に し ます。

ステ ッ プ 3 ス イ ッ チのセキ ュ アな管理を可能にする ために、セキ ュ ア HTTP（HTTPS）およびセキ ュ ア シ ェル（SSH）を設定し ます。

HTTPS を有効にする と 、サービ ス を使用する ための暗号キーが自動的に生成さ れます。HTTPS の後に SSH を設定する場合、デフ ォル ト キー サ イ ズを変更する必要があ る場合を除き、SSH で必要にな る暗号キーを明示的に生成する必要はあ り ません。

VTY 回線で transport preferred none コ マン ド を使用し て、CLI プ ロ ンプ ト か ら の接続試行エラーが発生し ない よ う にする こ と をお勧め し ます。こ の コ マン ド を使用し ない と 、IP ネーム サーバが到達不能にな り 、長い タ イ ムア ウ ト 遅延が発生する こ と があ り ます。

hostname 3850-access-Bld1Flr1

no ip http server

ip http secure-serverip ssh version 2!line vty 0 15 transport input ssh transport preferred none

スイ ッ チの初期設定

初期管理情報の割り当て

20Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

（注） ス イ ッ チが Web 認証サーバま たは認証プ ロ キシ と し て機能し し ている場合は、no ip http server コ マン ド を実行し て HTTP サーバを無効に し ないで く だ さ い。

リ モー ト 管理用の SNMP の設定

ステ ッ プ 4 ネ ッ ト ワーク イ ン フ ラ ス ト ラ ク チャ デバイ ス を リ モー ト ネ ッ ト ワーク管理シ ス テム（NMS）で管理で き る よ う に Simple Network Management Protocol（SNMP）を設定し ます。次の例に示すよ うに、SNMPv2c の読み取 り 専用および読み書き用の コ ミ ュ ニテ ィ 文字列を設定し ます。SNMP コミ ュ ニテ ィ 文字列を設定する と 、SNMP ツールを使用し て、3850 を（統計情報を含めて）モニ タ でき る よ う にな り ます。

スイ ッ チ アクセス用のローカル ログイン とパスワー ドの設定

ステ ッ プ 5 ス イ ッ チへのア ク セス を保護する ために ローカル ユーザ ID と パス ワー ド を設定し ます。

デバイ ス設定モー ド へのア ク セス を保護する ためにパス ワー ド を暗号化し、コ ン フ ィ ギ ュ レーシ ョ ン フ ァ イルに平文のパス ワー ド が表示さ れない よ う にする こ と をお勧め し ます。

TACACS+ を使用した一元化されたユーザ認証の設定

（注） TACACS+ プ ロ ト コルの設定はオプシ ョ ンで、TACACS を使用し てすべてのネ ッ ト ワーク デバイ ス を管理する場合にのみ推奨さ れます。

ステ ッ プ 6 TACACS+ プ ロ ト コルを使用し て一元化されたユーザ認証を設定し ます。

ネ ッ ト ワーク上の保守対象デバイ スの数が増え る と 、すべてのデバイ スの ローカル ユーザ アカウ ン ト を維持する ための運用上の負担が発生し ます。一元化された認証、認可、およびアカ ウ ンテ ィ ン グ（AAA）サービ スに よ り 、各デバイ スの運用タ ス ク が削減さ れ、セキ ュ リ テ ィ コ ンプ ライ アン ス と 根本原因分析のためのユーザ ア ク セスの監査ロ グが得られます。AAA のア ク セス制御が有効化さ れる と 、ネ ッ ト ワーク イ ン フ ラ ス ト ラ ク チャ デバイ スへのすべての管理ア ク セス（SSH および HTTPS）が AAA サービ スに よ って制御さ れます。

TACACS+ は、AAA サーバに対する ア ク セスが許可さ れる かど う かを判別する ための管理イ ンフ ラ ス ト ラ ク チャ デバイ スの認証に使用さ れる プ ラ イ マ リ プ ロ ト コルです。一元化された TACACS+ サーバが使用で き ない場合にフ ォールバ ッ ク認証ソース を提供する ために、ネ ッ トワーク イ ン フ ラ ス ト ラ ク チャ デバイ ス ご と に ローカル AAA ユーザ データベースが定義されています。

snmp-server community my-SNMP-RO-name ROsnmp-server community my-SNMP-RW-name RW

username admin privilege 15 secret my-passwordenable secret my-secret-passwordservice password-encryption

スイ ッ チの初期設定

初期管理情報の割り当て

21Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

次の例は、TACACS 管理ア ク セス用にス イ ッ チを設定する方法を示し ています。

ステ ッ プ 7 設定を保存する には、特権モー ド で write memory EXEC コ マン ド を使用し ます。

スイ ッ チへの IP ア ド レスの割り当て

IP ア ド レ ス を ス イ ッ チに割 り 当て る こ と に よ り 、コ ン ソール ポー ト への直接接続を介し た スイ ッ チの管理だけではな く 、ス イ ッ チを リ モー ト か ら管理で き る よ う に し ます。

ス イ ッ チでは、ス イ ッ チ管理用に複数の IP ア ド レ スがサポー ト さ れますが、プ ラ イ マ リ IP ア ドレ スのみがス イ ッ チ管理を担当し ます。

ス イ ッ チ管理には、イ ンバン ド と ア ウ ト オブバン ド の 2 種類の IP ア ド レ ス を使用し ます。

イ ンバン ド IP ア ド レ スは、実稼働ネ ッ ト ワーク を経由し て到達する イ ン ターフ ェ イ スに割 り 当て られる ア ド レ スです。IP ア ド レ スが割 り 当て られた イ ンバン ド イ ン ターフ ェ イ スには、VLAN、イーサネ ッ ト 、ループバ ッ ク イ ン ターフ ェ イ ス などがあ り ます。

ア ウ ト オブバン ド IP ア ド レ スは、実稼働ネ ッ ト ワーク を介し て到達で き ない イ ン ターフ ェ イ スに割 り 当て られる ア ド レ スです。ア ウ ト オブバン ド ネ ッ ト ワーク は大規模なネ ッ ト ワーク導入で一般的です。ア ウ ト オブバン ド ネ ッ ト ワーク がない場合は、イ ンバン ド ネ ッ ト ワーク のみ管理に使用し ます。

ス イ ッ チでは、ア ウ ト オブバン ド イ ン ターフ ェ イ スは GigabitEthernet 0/0 です。GigabitEthernet 0/0 イ ン ターフ ェ イ スは、内部のス イ ッ チング ハー ド ウ ェ アには接続さ れず、直接 CPU に接続されます。GigabitEthernet 0/0 の IP ト ラ フ ィ ッ ク は、運用中のネ ッ ト ワーク を使用し ません。ス イ ッチ導入環境の物理 ト ポ ロ ジでア ウ ト オブバン ド をサポー ト し ていない場合、当該ス イ ッ チはインバン ド IP ア ド レ スで管理で き ます。

高可用性を確保する ためにス イ ッ チに複数の IP ア ド レ ス を割 り 当て る こ と をお勧め し ます。アウ ト オブバン ド イ ン ターフ ェ イ スで 1 つ、イ ンバン ド イ ン ターフ ェ イ スで 1 つの IP ア ド レ ス を割 り 当てて く だ さ い。可用性の高いス イ ッ チ管理を実現する こ と に よ り 、ス イ ッ チ ス タ ッ ク でも可用性が高いス イ ッ チがア ク テ ィ ブ ス イ ッ チにな り 、そのス イ ッ チに管理 IP ア ド レ スが割 り当て られる ため、すべてのス タ ッ ク メ ンバーに管理のためのア ク セスがで き ます。同じ サブネ ット にない限 り 、イ ンバン ド と ア ウ ト オブバン ド の両方の IP ア ド レ ス を設定で き ます。管理に推奨さ れる方法はア ウ ト オブバン ド です。こ れは、ア ウ ト オブバン ド は可用性が高 く 、DoS やブ ロード キ ャ ス ト ス ト ームの影響を受け る可能性が低いためです。ス イ ッ チ上の GigabitEthernet 0/0 イン ターフ ェ イ スは、ア ウ ト オブバン ド 管理用に使用さ れます。

aaa new-modeltacacs server TACACS-SERVER-1 address ipv4 192.168.254.10 key cisco123 exit!aaa group server tacacs+ TACACS-SERVERS server name TACACS-SERVER-1 exit!aaa authentication login default group TACACS-SERVERS local aaa authorization exec default group TACACS-SERVERS local ip http authentication local

write memory

スイ ッ チの初期設定

初期管理情報の割り当て

22Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

次の項に記載さ れている説明に従って、管理 IP ア ド レ ス を設定し ます。

• ア ウ ト オブバン ド イ ン ターフ ェ イ スでの管理 IP ア ド レ スの設定

• イ ンバン ド イ ン ターフ ェ イ スでの管理 IP ア ド レ スの設定

• ハー ド ウ ェ アでの管理 VLAN の作成

アウ ト オブバン ド イン ターフ ェ イスでの管理 IP ア ド レスの設定

ステ ッ プ 8 IP ア ド レ ス をア ウ ト オブバン ド イ ン ターフ ェ イ スに割 り 当て ます。

ア ウ ト オブバン ド 管理は、エン ド ユーザ ト ラ フ ィ ッ ク を伝送する実稼働ネ ッ ト ワーク か ら分離し ている物理ネ ッ ト ワーク を介し て、ス イ ッ チおよび他のすべてのネ ッ ト ワーク デバイ ス を管理し ます。ア ウ ト オブバン ド ネ ッ ト ワーク でス イ ッ チを管理する ために、ス イ ッ チは GigabitEthernet 0/0 イ ン ターフ ェ イ ス を使用し ます。GigabitEthernet0/0 イ ン ターフ ェ イ スは、スイ ッ チの背面の、青いコ ン ソール ポー ト の隣に物理的に配置さ れています。

GigabitEthernet 0/0 イ ン ターフ ェ イ スの利点は次の と お り です。

• こ の イ ン ターフ ェ イ スはデータ プレーンか ら分離さ れている ため、実稼働ネ ッ ト ワーク におけ る ブ ロー ド キ ャ ス ト ス ト ームなどの潜在的な問題に よ る ネ ッ ト ワーク の停止が発生しに く い と い う 利点があ り ます。

• イ ン ターフ ェ イ スはア ウ ト オブバン ド イ ン ターフ ェ イ スであ り 、ス イ ッ チおよび他のすべてのネ ッ ト ワーク デバイ ス を常に管理可能な状態に し てお く こ と がで き る ため、ネ ッ トワーク の問題が発生する たびに迅速に対応で き ます。

ステ ッ プ 9 Virtual Routing and Forwarding（VRF）イ ン ス タ ン ス を設定し ます。

ア ウ ト オブバン ド 管理イ ン ターフ ェ イ スは、独自の VRF イ ン ス タ ン ス内にあ り ます。こ の こ とは、こ の イ ン ターフ ェ イ スのルーテ ィ ン グ データベース と プ ロ ト コル交換も、他のデータ ネ ット ワーク イ ン ターフ ェ イ スか ら分離し ている こ と を意味し ます。

GigabitEthernet 0/0 イ ン ターフ ェ イ スの制限事項は次の と お り です。

• ス イ ッ チか ら発信さ れる管理 ト ラ フ ィ ッ ク は、GigabitEthernet 0/0 の VRF イ ン ス タ ン スに関連付け る必要があ り ます。ス イ ッ チのグ ローバル ルーテ ィ ン グ テーブルか ら管理 ト ラフ ィ ッ ク をセグ メ ン ト 化する ために Mgmt-vrf が使用さ れます。

• Mgmt-vrf のデフ ォル ト ルー ト が必要です。

• こ の イ ン ターフ ェ イ スは、SNMP ト ラ ッ プを送信する ための送信元イ ン ターフ ェ イ ス と し て使用する こ と はで き ません。SNMP ト ラ ッ プ サーバに ト ラ ッ プを送信する には、VLAN イ ンターフ ェ イ スの IP ア ド レ スが必要にな り ます。「イ ンバン ド イ ン ターフ ェ イ スでの管理 IP ア ド レ スの設定」の項を参照し て く だ さ い。

（注） ア ウ ト オブバン ド 管理設定用に リ ス ト に書き出し た（表 3）IP ア ド レ ス値を使用し ます。

interface GigabitEthernet 0/0 ip address 192.168.128.5 255.255.255.0 exit

ip default-gateway 192.168.2.1

スイ ッ チの初期設定

初期管理情報の割り当て

23Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

次の例では、GigabitEthernet 0/0 イ ン ターフ ェ イ スは、ス イ ッ チのデータ プレーン上にあ り ません。こ の イ ン ターフ ェ イ ス（サービ ス ポー ト と も呼ばれる）は、転送 ASIC の論理イ ン ターフ ェ イス と は対照的に、ス イ ッ チの CPU で終端し ます。GigabitEthernet 0/0 は、レ イ ヤ 3 イ ン ターフ ェ イス（ルーテ ィ ン グ可能イ ン ターフ ェ イ ス と も呼ばれる）であ る ため、ス イ ッ チの前面にあ る イーサネ ッ ト イ ン ターフ ェ イ ス と は異な り ます。ス イ ッ チの前面の イーサネ ッ ト イ ン ターフ ェ イ スは、デフ ォル ト でレ イ ヤ 2 モー ド に設定さ れ、ブ リ ッ ジングに使用さ れます。

no switchport イ ン ターフ ェ イ ス コ マン ド を使用し て、前面の イーサネ ッ ト イ ン ターフ ェ イ ス をルーテ ィ ン グ可能な イ ン ターフ ェ イ ス と し て設定で き ます。IP ア ド レ スが割 り 当て られていない GigabitEthernet 0/0 イ ン ターフ ェ イ スは機能し ません。

Mgmt-vrf が組み込まれている ため、ア ウ ト オブバン ド 管理用に Mgmt-vrf を作成する必要はあ りません。

ステ ッ プ 10 次に、show ip route vrf コ マン ド の例を示し ます。

インバン ド イン ターフ ェ イスでの管理 IP ア ド レスの設定

ステ ッ プ 11 管理のみに使用し、他のネ ッ ト ワーク ト ラ フ ィ ッ ク の伝送には使用し ない VLAN イ ン ターフ ェイ スに管理 IP ア ド レ ス を割 り 当て ます。

VLAN イ ン ターフ ェ イ スは、対応する VLAN に割 り 当て られたサブネ ッ ト 上にあ る レ イ ヤ 3 のエン ド ポ イ ン ト です。

（注） セキ ュ リ テ ィ 上の理由で、VLAN 1 を管理 VLAN と し て使用し ないで く だ さ い。

ip route vrf Mgmt-vrf 192.168.128.5 255.255.255.0 192.168.128.1 exit

show ip route vrf Mgmt-vrf

Routing Table: Mgmt-vrfC- IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2 ia - IS-IS inter area, * - candidate default, U - per-user static route o - ODR, P - periodic downloaded static route, H - NHRP, l - LISP + - replicated route, % - next hop override

Gateway of last resort is not set

192.168.128.5/16 is variably subnetted, 3 subnets, 2 masksS 192.168.128.5/24 [1/0] via 192.168.128.1C 192.168.128.5/24 is directly connected, GigabitEthernet0/0L 192.168.128.2/32 is directly connected, GigabitEthernet0/0

ping vrf Mgmt-vrf 192.168.128.1Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to 192.168.128.1, timeout is 2 seconds:!!!!!Success rate is 100 percent (5/5), round-trip min/avg/max = 1/2/10 msodes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2 i

スイ ッ チの初期設定

初期管理情報の割り当て

24Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

管理 VLAN は、同じ サブネ ッ ト 内のス イ ッ チなどのすべてのネ ッ ト ワーク デバイ ス を管理するために分離し た VLAN です。IP ア ド レ スがア ウ ト オブバン ド イ ン ターフ ェ イ スに割 り 当て られている かど う かに関係な く 、VLAN イ ン ターフ ェ イ スに イ ンバン ド IP ア ド レ ス を割 り 当て る必要があ り ます。

イ ンバン ド 管理の場合、IP ア ド レ スには実稼働ネ ッ ト ワーク を介し て到達で き ます。管理に使用する場合、イ ンバン ド IP ア ド レ スはア ウ ト オブバン ド IP ア ド レ ス と 同じ よ う に使用で き ます。機能上の違いはあ り ません。ただ し、イ ンバン ド IP ア ド レ スは、ス イ ッ チか ら発信さ れる自動生成 ト ラ フ ィ ッ ク の一部の送信元 IP ア ド レ スであ る ため、よ り 多 く の機能を備えています。た と えば、SNMP ト ラ ッ プはイ ンバン ド IP ア ド レ ス を使用し ます。

ス イ ッ チで VLAN を設定する前に、VLAN イ ン ターフ ェ イ スに IP ア ド レ ス を割 り 当て る こ と がで き ます。VLAN がハー ド ウ ェ アで作成され、VLAN の メ ンバーであ る 1 つ以上の物理イ ン ターフ ェ イ スがフ ォ ワーデ ィ ン グ ス テー ト になった と き に初めて、VLAN イ ン ターフ ェ イ スは動作可能な状態にな り ます。

次の例は、管理用に作成さ れた VLAN の例で、IP ア ド レ スが到達可能であ る こ と が示さ れています。

（注） ス イ ッ チでは、レ イ ヤ 3 モー ド で動作する よ う に設定さ れた物理イーサネ ッ ト イ ン ターフ ェ イスへの IP ア ド レ スの割 り 当てをサポー ト し ています。

ステ ッ プ 12 次の例に示すよ う に、デフ ォル ト ゲー ト ウ ェ イ を設定し ます。こ のゲー ト ウ ェ イは、デフ ォル ト ルー ト と し て機能し ます。

VLAN イ ン ターフ ェ イ ス を使用する場合、デフ ォル ト ルー ト は不要です。

ハー ド ウェ アでの管理 VLAN の作成

前述の項で、VLAN 100 の イ ン ターフ ェ イ スに IP ア ド レ ス を割 り 当て ま し た。付録 3「イ ンバン ド イ ン ターフ ェ イ スでの管理 IP ア ド レ スの設定」の項を参照し、イ ン ターフ ェ イ スに IP ア ド レ スを割 り 当て ます。ただ し、単に VLAN 100 に IP ア ド レ ス を割 り 当て る だけでは、ハー ド ウ ェ アで VLAN は作成さ れません。次の手順を実行し て、割 り 当て られた IP ア ド レ ス を介し て ス イ ッ チをア ク セス可能に し ます。

ステ ッ プ 13 ハー ド ウ ェ アで管理 VLAN を設定し、その VLAN の メ ンバー と し てア ッ プ リ ン ク イ ン ターフ ェイ ス を設定し ます。

（注） こ の手順は、SSH ま たは HTTPS、およびコ ン ソールま たは Express Setup か ら レ イ ヤ 3 で到達可能および管理可能にな る よ う ス イ ッ チを設定する ためにのみ必要な中間ス テ ッ プです。引き続き コ ン ソールを使用し て こ の設定を行 う 場合は、こ の手順を省略で き ます。ただ し、別のツールを使用し て ス イ ッ チの設定を行 う 場合は、こ の手順を実行し て く だ さ い。ア ッ プ リ ン ク接続用の完全なベス ト プ ラ ク テ ィ ス設定は、「ア ッ プ リ ン ク イ ン ターフ ェ イ ス接続」ワーク フ ローで説明し ています。

interface vlan 100

ip address 192.168.1.2 255.255.255.0

no shutdown exit

ip default-gateway 192.168.1.1

スイ ッ チの初期設定

初期管理情報の割り当て

25Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

ト ラ ン ク イ ン ターフ ェ イ ス上のネ イ テ ィ ブ VLAN には、デフ ォル ト の VLAN 1 ではな く 、ダ ミ ーの VLAN を使用する こ と をお勧め し ます。ス イ ッ チ上のすべての イ ン ターフ ェ イ スはデフ ォルト で VLAN 1 に割 り 当て られている ため、こ の手順では、ト ラ ン ク上に伝達さ れる ユーザ設定エラーおよび接続エ ラーが発生する可能性があ る ト ラ フ ィ ッ ク を制限し ます。

ア ッ プ リ ン ク イ ン ターフ ェ イ ス上の他のすべての VLAN は、フ レーム パケ ッ ト のレ イ ヤ 2 ヘ ッダーを カプセル化する IEEE 802.1q の タ グが付け られます。

次の例に、ハー ド ウ ェ アで VLAN ID を設定し、名前を割 り 当て る方法を示し ます。ス イ ッ チま たはルータへのア ッ プス ト リ ーム イ ン ターフ ェ イ スは、新し い VLAN の メ ンバーにな る よ う に変更さ れています。ハー ド ウ ェ アで管理 VLAN を正し く 設定する には、イーサネ ッ ト リ ン ク の両端で同じ VLAN ID が必要にな り ます。「ダ ミ ー」の VLAN は、ト ラ ン ク イ ン ターフ ェ イ スのネ イテ ィ ブ VLAN と し て使用さ れます。ダ ミ ーの VLAN は、データ ト ラ フ ィ ッ ク に も管理 ト ラフ ィ ッ ク に も使用さ れません。

（注） こ の例で使用さ れる 短パス ツ リ ー（SPT）および ping コ マン ド では、ア ッ プス ト リ ーム レ イ ヤ デバイ ス（ス イ ッ チま たはルータ）を実稼働ネ ッ ト ワーク で動作する よ う に設定する必要があ ります。それ以外の設定変更は必要あ り ません。

vlan 100

name switch_mgmt

exit vlan 999

name dummy

exit!!The next step assumes the uplink interface is GigabitEthernet 1/1/1, but! your uplink interface may be different.! interface GigabitEthernet 1/1/1

Switchport mode trunk Switchport trunk native vlan 999

スイ ッ チの初期設定

初期管理情報の割り当て

26Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

（注） ス イ ッ チの初期管理情報を表示する には、show running-configuration コ マン ド を入力し ます。

!Use “show spanning-tree vlan 100” to confirm VLAN 100 FWD on the uplink ! interface. !Use “show interface trunk” to confirm GigabitEthernet 1/1/1 is! operating in Trunk mode correctly.

show spanning-tree vlan 100

VLAN0100 Spanning tree enabled protocol rstp Root ID Priority 32868 Address 0022.bdd9.4c00 Cost 4 Port 49 (GigabitEthernet1/1/1) Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec

Bridge ID Priority 32868 (priority 32768 sys-id-ext 100) Address 20bb.c05f.b300 Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec Aging Time 300 sec

Interface Role Sts Cost Prio.Nbr Type------------------- ---- --- --------- -------- --------------------------------Gi1/1/1 Root FWD 4 128.49 P2p Gi1/1/2 Altn BLK 4 128.50 P2p

show interfaces trunk

Port Mode Encapsulation Status Native vlanGi1/1/1 on 802.1q trunking 999Gi1/1/2 on 802.1q trunking 999

Port Vlans allowed on trunkGi1/1/1 1-4094Gi1/1/2 1-4094

Port Vlans allowed and active in management domainGi1/1/1 1,100,999Gi1/1/2 1,100,999

Port Vlans in spanning tree forwarding state and not prunedGi1/1/1 1,100,999Gi1/1/2 none! !Now the default gateway will respond to pings!ping 182.168.1.1

Cisco Systems, Inc.www.cisco.com

グローバル システム設定

こ のワーク フ ローでは、ア ク セス レ イ ヤにおけ るすべてのス イ ッ チ導入環境で共通のグ ローバル設定について説明し ます。

グローバル システム設定の前提条件 • 「ス イ ッ チの初期設定」ワーク フ ローで説明さ れている タ ス ク を完了し ます。

• 「ア ッ プ リ ン ク イ ン ターフ ェ イ ス接続」ワーク フ ローで説明されている タ ス ク を完了し ていない場合、ス イ ッ チが IP 到達可能な状態になっていない可能性があ り ます。こ の よ う な場合は、ス イ ッ チ コ ン ソールのみ使用し て、グ ローバル シ ス テム設定のワーク フ ローを実行し ます。

「ア ッ プ リ ン ク イ ン ターフ ェ イ ス接続」ワーク フ ローが完了し ている場合は、ス イ ッ チ コ ンソール、SSH、ま たは任意の管理ツールを使用し て、グ ローバル シ ス テム設定のワーク フ ローを実行で き ます。「ス イ ッ チの初期設定」ワーク フ ローの項で説明し た よ う に、コ ン ソール以外のツールを使用する場合は、設定し たユーザ名 と パス ワー ド を使用し て ロ グ イ ンする必要があ り ます。

設定値の確認中断せずに こ のワーク フ ローの手順を進める こ と がで き る よ う に、特定のス イ ッ チ設定値を事前に確認し てお く こ と をお勧め し ます。表 4 を印刷する こ と をお勧め し ます。ま た、手順に従って設定を進める際に、列 B の値を列 C に記載し た実際の値で置き換えて く だ さ い。

（注） 青色の斜体で示さ れた値の例を実際の値に置き換えて く だ さ い。

グローバル システム設定

設定値の確認

28Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

（注） 特に断 り のない限 り 、設定例はグ ローバル コ ン フ ィ ギ ュ レーシ ョ ン モー ド で開始されます。

表 4 グローバル システム：設定値

A. 値の名前 B. 値の例 C. 実際の値

許可する管理サブネ ッ ト 192.168.128.5/0.0.0.255192.168.0.0/0.0.0.255192.168.254.0/0.0.0.255

NTP サーバの IP ア ド レ ス 192.168.254.11

データ VLAN 10

音声 VLAN 11

ア ク セス ポ イ ン ト VLAN 12

管理 VLAN ID 100

ワ イ ヤレ ス ク ラ イ アン ト VLAN

200

データ の VLAN 名 Data

音声の VLAN 名 Voice

ア ク セス ポ イ ン ト の VLAN 名 Access_Points

ワ イ ヤレ ス ク ラ イ アン ト の VLAN 名

Wireless_Client

読み取 り 専用ア ク セス と 読み書き ア ク セス用の SNMP コミ ュ ニテ ィ 文字列

my-SNMP-RO-name,

my-SNMP-RW-name

ア ク セス イ ン ターフ ェ イ スの IPv6 ルータ ア ド バタ イ ズ メ ント ガー ド ポ リ シー

endhost_ipv6_raguard

上流に位置するルータ イ ンターフ ェ イ スの IPv6 ルータ ア ド バタ イ ズ メ ン ト ガー ド ポリ シー

router_ipv6_raguard

上流に位置する ス イ ッ チ イ ンターフ ェ イ スの IPv6 ルータ ア ド バタ イ ズ メ ン ト ガー ド ポリ シー

switch_ipv6_raguard

ア ク セス イ ン ターフ ェ イ スの IPv6 DHCP ガー ド ポ リ シー

endhost_ipv6_dhcp_guard

ア ッ プ リ ン ク イ ン ターフ ェ イスの IPv6 DHCP ガー ド ポ リシー

uplink_ipv6_dhcp_guard

グローバル システム設定

グローバル設定情報の割り当て

29Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

グローバル設定情報の割り当て

（注） 以下の タ ス ク は、リ ス ト さ れている順序で実行する必要があ り ます。

• ス イ ッ チ ス タ ッ ク での高可用性の設定

• VTP ト ラ ン スペア レ ン ト モー ド で実行する ためのス イ ッ チの設定

• Rapid Per-VLAN Spanning Tree Plus の有効化

• スパニン グ ツ リ ー PortFast イ ン ターフ ェ イ ス用の BPDU Guard の設定

• リ ン ク障害を検出する ための UDLD の設定

• ス イ ッ チ ア ク セス を制限する ためのア ク セス リ ス ト の設定

• シ ス テム ク ロ ッ ク と コ ン ソール タ イ ム ス タ ンプの設定

• DHCP ス ヌーピ ングのセキ ュ リ テ ィ 機能の設定

• ARP イ ン スペク シ ョ ンの設定

• EtherChannel ロー ド バラ ンシングの設定

• ア ク セス レ イ ヤ VLAN の作成

• IPv6 フ ァース ト ホ ッ プ セキ ュ リ テ ィ ポ リ シーの作成

• TFTP ブ ロ ッ ク サ イ ズの拡大

• ス イ ッ チ ス タ ッ ク イ メ ージへの自動更新のための新規 メ ンバーの設定

スイ ッ チ ス タ ッ クでの高可用性の設定

ステ ッ プ 1 高いス タ ッ ク メ ンバー プ ラ イ オ リ テ ィ 値を使用し て、ア ク テ ィ ブ ス イ ッ チ と ス タ ンバイ ス イ ッチを割 り 当てて、ス タ ッ ク メ ンバーの障害時にネ ッ ト ワーク の運用が影響を受けない よ う に します。

推奨事項：一貫性を確保する ために、ア ク テ ィ ブ ス タ ッ ク メ ンバーの決定に使用される ス タ ック メ ンバー プ ラ イ オ リ テ ィ を設定し ます。1 つの メ ンバーをア ク テ ィ ブ ス タ ッ ク メ ンバー と して設定する こ と に よ り 、ス タ ッ ク の ラ イ フ タ イ ム期間中、ス タ ッ ク を選択する際に必ずこ の メ ンバーがア ク テ ィ ブな メ ンバーにな る こ と が保証さ れます。 も高いプ ラ イ オ リ テ ィ が設定された メ ンバーがア ク テ ィ ブ メ ンバーにな り ます。

ス イ ッ チ ス タ ッ ク では、障害が発生する可能性が も高い メ ンバーはア ク テ ィ ブ メ ンバーです。し たがって、3 つ以上の メ ンバーを持つス イ ッ チ ス タ ッ ク では、複数のス タ ッ ク メ ンバーでア ッ プ リ ン ク接続を設定し、ア ク テ ィ ブ メ ンバーではア ッ プ リ ン ク接続を設定し ない こ と をお勧め し ます。こ の よ う にする こ と で、ア ク テ ィ ブ メ ンバーに障害が発生し て も ア ッ プ リ ン ク接続は影響を受けな く な り ます。

こ の ド キ ュ メ ン ト では、ス タ ッ ク は 2 つの メ ンバーを持つス タ ッ ク を指し、以下の例では、メ ンバー 1 に も高いプ ラ イ オ リ テ ィ を割 り 当て る方法を示し ます。若干低いプ ラ イ オ リ テ ィ を付与する こ と で、セカンダ リ メ ンバーを割 り 当て ます。デフ ォル ト のプ ラ イ オ リ テ ィ は 1 です。

switch 1 priority 15switch 2 priority 14

グローバル システム設定

グローバル設定情報の割り当て

30Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

（注） ス イ ッ チ ス タ ッ ク の管理、およびス イ ッ チでの高可用性機能の設定の詳細については、『Stack

Manager and High Availability Configuration Guide, Cisco IOS XE Release』を参照し て く だ さ い。

VTP ト ラ ンスペアレン ト モー ド で実行するためのスイ ッ チの設定

ステ ッ プ 2 ネ ッ ト ワーク か ら送信さ れる VLAN 設定の更新を防止する ために、VTP ト ラ ン スペア レ ン ト モー ド で実行さ れる よ う にス イ ッ チを設定し ます。その よ う な更新が生じ る と 、エ ラー動作が原因で予期し ない動作が発生する可能性があ る ためです。

通常、VLAN はス イ ッ チの初期設定時に一度定義さ れ、ス イ ッ チの稼働後は継続的な VTP 更新を必要 と し ません。

VTP ト ラ ン スペア レ ン ト モー ド のス イ ッ チは、（VTP サーバ と 同じ方法で）VLAN を作成、変更、および削除で き ます。ただ し、こ のモー ド のス イ ッ チはネ ッ ト ワーク上で VLAN 情報を動的に伝達せず、受信し たア ド バタ イ ズ メ ン ト に基づ く VLAN 設定の同期も行いません。ス イ ッ チが こ のモー ド の と き に設定を変更する と 、変更内容がス イ ッ チの実行コ ン フ ィ ギ ュ レーシ ョ ンに保存さ れます。こ の変更はス イ ッ チのス ター ト ア ッ プ コ ン フ ィ ギ ュ レーシ ョ ン フ ァ イルに保存するこ と も で き ます。

（注） ス イ ッ チのデフ ォル ト の VTP モー ド は、VTP サーバ モー ド です。こ のモー ド では、VLAN の作成、変更、削除がで き ます。ま た、VTP ド メ イ ン全体に対し て他の設定パラ メ ータ を指定で き ます。VTP サーバは、同一 VTP ド メ イ ン内の他のス イ ッ チに、自分の VLAN 設定をア ド バタ イ ズ メン ト し、ま た、ト ラ ン ク リ ン ク を介し て受信し たア ド バタ イ ズ メ ン ト に基づいて、自分の VLAN 設定を他のス イ ッ チ と 同期させます。

Rapid Per-VLAN Spanning Tree Plus の有効化

ステ ッ プ 3 Rapid Per-VLAN Spanning Tree Plus（PVST+）を有効に し て、従来のスパニン グ ツ リ ーでの間接的な障害や リ ン ク ア ッ プ回復イベン ト の検出を向上させます。

Rapid PVST+ は、VLAN ご と に RSTP（IEEE 802.1w）の イ ン ス タ ン ス を提供し、PVST+ は、従来のスパニン グ ツ リ ー（IEEE 802.1D）上の間接的な障害や リ ン ク ア ッ プ回復イベン ト の検出を向上させます。

推奨事項：レ イ ヤ 2 ループな し で導入環境を作成し た場合で も、スパニング ツ リ ーを有効に し てく だ さ い。スパニン グ ツ リ ーを有効にする こ と で、物理的ま たは論理的なループが誤って設定された場合に、実際のレ イ ヤ 2 ループが発生し ない よ う にする こ と がで き ます。

vtp mode transparent

spanning-tree mode rapid-pvst

グローバル システム設定

グローバル設定情報の割り当て

31Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

スパニング ツ リー PortFast イン ターフ ェ イス用の BPDU Guard の設定

ステ ッ プ 4 Bridge protocol data unit（BPDU）Guard をグ ローバルに設定し て、すべてのスパニン グ ツ リ ー PortFast 対応イ ン ターフ ェ イ ス を保護し ます。

BPDU Guard は、検出されない致命的な スパニング ツ リ ー ループを引き起こす可能性があ る、アク セ ス ポー ト へのス イ ッ チの接続か ら ネ ッ ト ワーク を保護し ます。

スパニング ツ リ ー PortFast 設定イ ン ターフ ェ イ スが BPDU を受信する場合、許可さ れていないデバイ スの接続など、無効な設定が存在し ます。BPDU Guard 機能は、STPF が有効な場合に非 トラ ンキング イ ン ターフ ェ イ スで BPDU が受信さ れた と き に、その イ ン ターフ ェ イ ス を errdisable ス テー ト に移行させる こ と に よ り 、ループを防止し ます。

BPDU 設定は、別のス イ ッ チがポー ト に接続さ れた場合にポー ト を無効にする こ と に よ り 、STPF 対応イ ン ターフ ェ イ ス を保護し ます。

こ の コ マン ド は、イ ン ターフ ェ イ ス レベルではな く 、グ ローバルに設定する必要があ り ます。

リ ン ク障害を検出するための UDLD の設定

ステ ッ プ 5 単方向 リ ン ク検出（UDLD）を、通常モー ド ではな く 、アグ レ ッ シブ モー ド で設定し ます。

UDLD は、単方向 リ ン ク を検出し、対象 と な る イ ン ターフ ェ イ ス を無効に し てユーザにア ラー トを送信し ます。単方向 リ ン ク が存在する と 、スパニング ツ リ ー ループ、ブ ラ ッ ク ホール、非決定論的な転送など、さ ま ざ ま な問題が発生する こ と があ り ます。ま た、UDLD を使用する と 、リ ン ク障害を よ り すばや く 検出し、イ ン ターフ ェ イ ス ト ラ ン ク を高速に再コ ンバージ ェ ン スする こ とがで き ます。単方向に よ る障害が発生しやすい光フ ァ イバの場合は特にそ う です。

アグ レ ッ シブ モー ド では、ポー ト の リ ン ク ス テー ト が双方向 と 判断さ れ、ポー ト 上の リ ン ク がまだ UP 状態の間に UDLD 情報が タ イ ムア ウ ト し た場合、UDLD はポー ト の状態を再確立し よう と し ます。こ の試行に失敗する と 、ポー ト は errdisable ス テー ト にな り ます。通常モー ド では、UDLD のポー ト 状態は未確定にマーク さ れ、スパニング ツ リ ー プ ロ ト コルの状態に応じ て動作し ます。

UDLD アグ レ ッ シブ タ イ マーは変更し ないで く だ さ い。

（注） ア ッ プス ト リ ーム デバイ スが VSS モー ド で動作し てい る ス イ ッ チの場合、アグ レ ッ シブ モー ドの UDLD は必要あ り ません。

VSS 対応のキ ャ ンパス設計の詳細については、『Campus 3.0 Virtual Switching System Design

Guide』を参照し て く だ さ い。

spanning-tree portfast bpduguard default

udld aggressive

グローバル システム設定

グローバル設定情報の割り当て

32Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

スイ ッ チ アクセスを制限するためのアクセス リ ス ト の設定

ステ ッ プ 6 ネ ッ ト ワーク運用サポー ト が一元化さ れている場合、ア ク セス リ ス ト を使用し て、ス イ ッ チにアク セスで き る ネ ッ ト ワーク を制限する こ と に よ り 、ネ ッ ト ワーク セキ ュ リ テ ィ を強化で き ます。

ア ク セス リ ス ト を使用し て、既知の送信元管理場所か ら の IP ア ド レ ス を許可する こ と をお勧めし ます。

次の例では、192.168.128.0、192.168.0.0、および 192.168.254.0 のネ ッ ト ワーク上のホ ス ト のみ、SSH ま たは SNMP を使用し て ス イ ッ チにア ク セスで き ます。こ の例では、3 つのサブネ ッ ト を許可する ACL を示し ます。実際のネ ッ ト ワーク のサブネ ッ ト は こ れよ り 多い場合も少ない場合もあ り ます。貴社のネ ッ ト ワーク に 適な ACL を設定し て く だ さ い。ネ ッ ト ワーク を導入する際に、必要に応じ て さ ら にサブネ ッ ト を リ ス ト に追加で き ます。

システム ク ロ ッ ク と コ ン ソール タ イムス タ ンプの設定

ステ ッ プ 7 ネ ッ ト ワーク デバイ ス をネ ッ ト ワーク内の ローカル NTP サーバに同期する よ う プ ロ グ ラ ムする こ と に よ り 、同期ク ロ ッ ク を設定し ます。

ローカル NTP サーバは通常、外部ソースか ら の よ り 正確な ク ロ ッ ク供給を参照し ます。

ステ ッ プ 8 出力に タ イ ム ス タ ンプが示さ れる よ う に コ ン ソール メ ッ セージ、ロ グ、およびデバ ッ グ出力を設定し、ネ ッ ト ワーク内の イベン ト を相互参照で き る よ う に し ます。

DHCP スヌーピングのセキュ リ テ ィ 機能の設定

ステ ッ プ 9 データ、音声、およびワ イ ヤレ ス AP VLAN で Dynamic Host Configuration Protocol（DHCP）ス ヌーピ ン グ を有効に し ます。

ス イ ッ チは、VLAN 内の DHCP メ ッ セージを イ ン ターセプ ト し て保護し ます。こ の設定に よ り 、許可さ れていない DHCP サーバがエン ド ユーザのデバイ スにア ド レ ス を割 り 当て る こ と がで きな く な り ます。

access-list 55 permit 192.168.128.0 0.0.0.255access-list 55 permit 192.168.0.0 0.0.0.255access-list 55 permit 192.168.254.0 0.0.0.255line vty 0 15 access-class 55 in vrf-also exitsnmp-server community sample-READONLY RO 55snmp-server community sampe-READWRITE RW 55!

ntp server 192.168.0.10!clock timezone PST -8clock summer-time PDT recurring

service timestamps debug datetime msec localtimeservice timestamps log datetime msec localtime

グローバル システム設定

グローバル設定情報の割り当て

33Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

ARP インスペクシ ョ ンの設定

ARP イ ン スペク シ ョ ンは、ARP スプーフ ィ ング を防止する セキ ュ リ テ ィ 機能です。

ステ ッ プ 10 データ、音声、および管理 VLAN で Address Resolution Protocol（ARP）イ ン スペク シ ョ ン を有効にし ます。

EtherChannel ロー ド バランシングの設定

ステ ッ プ 11 ト ラ フ ィ ッ ク の送信先の リ ン ク を計算する際に、ト ラ フ ィ ッ ク の送信元 と 宛先の IP ア ド レ ス を使用する よ う に、EtherChannel を設定し ます。

EtherChannel ト ラ フ ィ ッ ク は、すべての物理イ ン ターフ ェ イ スでバラ ン ス を取る必要があ り ます。EtherChannel のデフ ォル ト の ロー ド バラ ンシング ス キームは、送信元 MAC ア ド レ スに基づいています。

こ の設定に よ り 、EtherChannel の メ ンバー リ ン ク間で ト ラ フ ィ ッ ク を負荷共有する方法が標準化さ れます。EtherChannel は復元力が優れている ため、こ の設計では広 く 使用されます。

アクセス レイヤ VLAN の作成

ステ ッ プ 12 VLAN を作成し て、エン ド ユーザのデバイ スに基づいて ト ラ フ ィ ッ ク を分離し ます。

VLAN が作成さ れる と 、その VLAN は、ト ラ ン ク モー ド 用に設定された任意の イ ン ターフ ェ イスに自動的に参加し ます。前述の項で、ア ッ プ リ ン ク イ ン ターフ ェ イ ス を ト ラ ン ク モー ド 用に設定し ま し た。し たがって、ア ッ プ リ ン ク イ ン ターフ ェ イ スは こ れ ら の VLAN の メ ンバーになっているはずです。

ア ク セス レ イ ヤで一貫性のあ る VLAN ID と VLAN 名を使用し ます。一貫性のあ る ID と 名前によ り 整合性が向上し、ネ ッ ト ワーク運用が よ り 効率的にな り ます。

（注） VLAN 1 を使用し ないで く だ さ い。

（注） ス イ ッ チが コ ンバージ ド ア ク セス モー ド のワ イ ヤレ ス コ ン ト ローラ と し て動作する場合にのみ、ワ イ ヤレ ス ク ラ イ アン ト に VLAN 200 を使用し ます。

ip dhcp snooping vlan 10,11,12,100no ip dhcp snooping information option ip dhcp snooping ip dhcp snooping wireless bootp-broadcast enable

ip arp inspection vlan 10,11,100

port-channel load-balance src-dst-ip

グローバル システム設定

グローバル設定情報の割り当て

34Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

IPv6 フ ァース ト ホ ッ プ セキュ リ テ ィ ポリ シーの作成

ステ ッ プ 13 ア ッ プ リ ン ク イ ン ターフ ェ イ スでグ ローバル IPv6 セキ ュ リ テ ィ ポ リ シーを作成し て適用し、接続さ れたデ ィ ス ト リ ビ ューシ ョ ン ス イ ッ チま たはルータ で信頼性 と 役割を定義し ます。

ルータ ア ド バタ イ ズ メ ン ト ガー ド に よ るルータ ア ド バタ イ ズ メ ン ト のブ ロ ッ ク、および信頼でき ない送信元か ら の DHCP 応答は、IPv6 で特に頻繁に生じ る問題か ら ネ ッ ト ワーク を保護するための簡単な方法です。

（注） エン ド デバイ スへのア ク セス イ ン ターフ ェ イ スでは、ルータ ア ド バタ イ ズ メ ン ト と IPv6 DHCP 応答を信頼で き ません。

次の設定例に、「有線ネ ッ ト ワーク のア ク セス制御」ワーク フ ローで説明し ている イ ン ターフ ェイ スに適用さ れる グ ローバル ポ リ シーの作成方法を示し ます。

vlan 10 name Datavlan 11 name Voicevlan 12 name Access_Pointsvlan 200 name Wireless_Client

ipv6 nd raguard policy endhost_ipv6_raguard device-role host!ipv6 nd raguard policy router_ipv6_raguard device-role router trusted-port

!ipv6 nd raguard policy switch_ipv6_raguard device-role switch trusted-port!ipv6 dhcp guard policy endhost_ipv6_dhcp_guard device-role client!ipv6 dhcp guard policy uplink_ipv6_dhcp_guard device-role server trusted-port

グローバル システム設定

グローバル設定情報の割り当て

35Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

TFTP ブロ ッ ク サイズの拡大

ステ ッ プ 14 TFTP ブ ロ ッ ク サ イ ズを 大許容値の 8192 に増やし ます。

デフ ォル ト では、ス イ ッ チは TFTP ブ ロ ッ ク サ イ ズの 小許容値であ る 512 を使用し ます。こ のグ ローバル値を増やす と 、TFTP フ ァ イル転送時間が大幅に短縮し ます。

スイ ッ チ ス タ ッ ク イ メージへの自動更新のための新規メ ンバーの設定

ステ ッ プ 15 新し いス イ ッ チ メ ンバーがス イ ッ チ ス タ ッ ク で実行さ れている Cisco IOS バージ ョ ンに自動的に更新さ れる よ う に、自動ア ッ プグ レー ド 機能を有効に し ます。

新し い メ ンバーが既存のス イ ッ チ ス タ ッ ク に追加さ れる と き、新し い メ ンバーの Cisco IOS バージ ョ ンは既存の メ ンバーの Cisco IOS バージ ョ ン と 一致する必要があ り ます。自動ア ッ プグ レード 機能に よ り 、新し い メ ンバーの追加時に、その新規 メ ンバーを自動的に更新する こ と がで き ます。ただ し、こ の機能は、デフ ォル ト では有効になっていません。

（注） ス イ ッ チ ス タ ッ ク では、Cisco IOS XE リ リ ース 3.3.1 以降が イ ン ス ト ール モー ド で実行さ れている必要があ り ます。

自動ア ッ プグ レー ド 機能の詳細については、『Using the Auto-Upgrade feature on the Cisco Catalyst

3850』の ド キ ュ メ ン ト を参照し て く だ さ い。

ip tftp blocksize 8192

software auto-upgrade enable

グローバル システム設定

グローバル設定情報の割り当て

36Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

Cisco Systems, Inc.www.cisco.com

ア ッ プ リ ン ク イン ターフ ェ イス接続

こ のワーク フ ローでは、ス イ ッ チま たはス イ ッ チ ス タ ッ ク をデ ィ ス ト リ ビ ューシ ョ ン ス イ ッ チま たはルータ に接続する イーサネ ッ ト イ ン ターフ ェ イ スの設定方法を説明し ます。これ ら の イン ターフ ェ イ スはア ッ プ リ ン ク イ ン ターフ ェ イ スです。こ の イ ン ターフ ェ イ スは、IP フ ォ ン、パーソ ナル コ ン ピ ュータ、ワ イ ヤレ ス ア ク セス ポ イ ン ト 、プ リ ン タ、IP カ メ ラ などの非ネ ッ トワーク エン ド デバイ スに接続する ア ク セス イ ン ターフ ェ イ ス と は異な り ます。

ス イ ッ チ イ ン ターフ ェ イ スの推奨設定は、ア ク セス レ イ ヤのキ ャ ンパス ま たはブ ラ ンチに導入さ れた ス イ ッ チ ス タ ッ ク に基づいています。

複数の物理ス イ ッ チを 1 つの論理ス イ ッ チにス タ ッ クする場合、ア ッ プ リ ン ク イ ン ターフ ェ イス を物理 メ ンバー上に設定し、ア ク テ ィ ブなア ッ プ リ ン ク イ ン ターフ ェ イ スがス イ ッ チ ス タ ック メ ンバーで常に使用で き る よ う にする こ と をお勧め し ます。

ア ッ プ リ ン ク イン ターフ ェ イス接続の前提条件グ ローバル シ ス テム設定ワーク フ ローの説明に従って、ベス ト プ ラ ク テ ィ ス設定が実行されている こ と を確認し ます。

ア ッ プ リ ン ク イン ターフ ェ イス接続の制限 • 単一の EtherChannel グループでは、 大で 8 個の物理 リ ン ク し かア ク テ ィ ブにで き ません。

• EtherChannel のすべてのポー ト は同じ VLAN に割 り 当て る か、ま たは ト ラ ン ク ポー ト と して設定する必要があ り ます。

• EtherChannel のすべての イ ン ターフ ェ イ スは、同じ タ イ プであ る必要があ り ます。た と えば、ギガビ ッ ト イーサネ ッ ト イ ン ターフ ェ イ スは 10 Gbps イ ン ターフ ェ イ ス と 混在させる こ とはで き ません。

ア ッ プ リ ン ク イ ン ターフ ェ イス接続

設定値の確認

38Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

設定値の確認中断せずに こ のワーク フ ローの手順を進める こ と がで き る よ う に、特定のス イ ッ チ設定値を事前に確認し てお く こ と をお勧め し ます。表 5 を印刷する こ と をお勧め し ます。ま た、手順に従って設定を進める際に、列 B の値を列 C に記載し た実際の値で置き換えて く だ さ い。

（注） 青色の斜体で示さ れた値の例を実際の値に置き換えて く だ さ い。

（注） 特に断 り のない限 り 、設定例はグ ローバル コ ン フ ィ ギ ュ レーシ ョ ン モー ド で開始されます。

表 5 ア ッ プ リ ン ク接続の値

A. 値の名前 B. 値の例 C. 実際の値

ア ッ プ リ ン ク イ ン ターフ ェ イ ス GigabitEthernet 1/1/1GigabitEthernet 1/1/2GigabitEthernet 2/1/1GigabitEthernet 2/1/2

データ VLAN 10

音声 VLAN 11

ア ク セス ポ イ ン ト VLAN 12

ワ イ ヤレ ス ク ラ イ アン ト VLAN 200

管理 VLAN ID 100

ダ ミ ーの VLAN 999

IPv6 ルータ ア ド バタ イ ズ メ ン ト ガー ド のポ リ シー名

switch_ipv6_raguard router_ipv6_raguard

IPv6 ルータ ア ド バタ イ ズ メ ン ト ガー ド のポ リ シー名

uplink_ipv6__quard

QoS サービ ス ポ リ シーの input 名 AutoQos-4.0-Trust-Dscp-Input-Policy

QoS サービ ス ポ リ シーの output 名 AutoQos-4.0-Output-Policy

ア ッ プ リ ン ク イ ン ターフ ェ イス接続

デ ィ ス ト リ ビ ューシ ョ ン スイ ッ チまたはデ ィ ス ト リ ビ ューシ ョ ン ルータへのア ッ プ リ ン ク を持つ LAN アクセス スイ ッ チの ト ポロジ

39Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

デ ィ ス ト リ ビューシ ョ ン スイ ッ チまたはデ ィ ス ト リビューシ ョ ン ルータへのア ッ プ リ ン ク を持つ LAN アクセス スイ ッ チの ト ポロジ

次の図に、デ ィ ス ト リ ビ ューシ ョ ン ス イ ッ チま たはデ ィ ス ト リ ビ ューシ ョ ン ルータへのア ッ プリ ン ク を持つ LAN ア ク セス ス イ ッ チの ト ポ ロ ジを示し ます。

図 6 デ ィ ス ト リ ビ ューシ ョ ン スイ ッ チへのア ッ プ リ ン ク を持つ LAN アクセス スイ ッ チのト ポロジ

Dual redundant switchesin distribution layer runningVSS (Cat6500/6800/4500),or VPC (Nexus 7000)

Desktop userdirect connect

Desktop user

Printer

Wireless access

Catalyst 3850 stack in access

Voice VLAN 11Data VLAN 10

Data VLAN 10

Data VLAN 10

Switch managementVLAN 100

Access point VLAN 12

3919

35

Trunk linkNative VLAN 999All VLANs included

ア ッ プ リ ン ク イ ン ターフ ェ イス接続

ア ッ プ リ ン ク イ ン ターフ ェ イス接続の設定

40Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

図 7 デ ィ ス ト リ ビ ューシ ョ ン ルータ用のア ッ プ リ ン ク

ア ッ プ リ ン ク イン ターフ ェ イス接続の設定 • ルータ ま たはス イ ッ チへのア ッ プ リ ン ク イ ン ターフ ェ イ ス を設定する ための推奨事項

• ア ッ プ リ ン ク EtherChannel イ ン ターフ ェ イ スでの QoS の設定

• EtherChannel および ト ラ ン ク と し てのア ッ プ リ ン ク イ ン ターフ ェ イ スの設定

• ア ッ プ リ ン ク EtherChannel イ ン ターフ ェ イ スでのセキ ュ リ テ ィ 機能の設定

• デ ィ ス ト リ ビ ューシ ョ ン ス イ ッ チに接続する ア ッ プ リ ン ク イ ン ターフ ェ イ スのスパニング ツ リ ーの推奨事項

• ア ッ プ リ ン ク イ ン ターフ ェ イ ス設定の確認

ルータ またはスイ ッ チへのア ッ プ リ ン ク イン ターフ ェ イスを設定するための推奨事項

ア ッ プ リ ン ク イ ン ターフ ェ イ ス を設定する場合、イ ン ターフ ェ イ スか ら上流に位置するルータま たはス イ ッ チへ設定をガ イ ド する以下の推奨事項に従って く だ さ い。

• ス イ ッ チ ス タ ッ ク か らデ ィ ス ト リ ビ ューシ ョ ン ス イ ッ チへのア ッ プ リ ン ク接続に、ス イ ッチ ス タ ッ ク上のすべてのア ク セス イ ン ターフ ェ イ スに関連する ト ラ フ ィ ッ ク を伝送する ための十分な帯域幅があ る こ と を確認し ます。

• EtherChannel を使用し て、ア ッ プ リ ン ク イ ン ターフ ェ イ スに障害が発生し た場合の復元力を向上させます。

• EtherChannel では、IEEE 802.3ad 標準規格に準拠する、Link Aggregation Control Protocol（LACP）ア ク テ ィ ブ-ア ク テ ィ ブ モー ド を使用し ます。ア ク テ ィ ブ-ア ク テ ィ ブ モー ド は、EtherChannel のス イ ッ チ ス タ ッ ク と デ ィ ス ト リ ビ ューシ ョ ン ス イ ッ チ サ イ ド の両方が LACP ア ク テ ィ ブ モー ド で構成さ れている必要があ る こ と を意味し ます。

Dual redundantrouters running HSRP

Desktop userdirect connect

Desktop userbehind IP phone

Printer

Wireless access

Catalyst 3850 stack in access

Voice VLAN 11Data VLAN 10

Data VLAN 10

Data VLAN 10

Switch managementVLAN 100

Access point VLAN 12

3919

36

Trunk linkNative VLAN 999All VLANs included

ア ッ プ リ ン ク イ ン ターフ ェ イス接続

ア ッ プ リ ン ク イ ン ターフ ェ イス接続の設定

41Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

• デ ィ ス ト リ ビ ューシ ョ ン ス イ ッ チへのバ ッ ク接続には、ス イ ッ チ ス タ ッ ク内の異な る スイ ッ チのア ッ プ リ ン ク ポー ト を使用し ます。こ の設定に よ り 、ス イ ッ チ ス タ ッ ク に単一の障害発生源が存在し な く な り ます。ア ッ プ リ ン ク接続の 1 つを所有する ス タ ッ ク内のス イ ッ チが故障し て も、デ ィ ス ト リ ビ ューシ ョ ン ス イ ッ チに接続する ス イ ッ チ ス タ ッ ク の残 り の メンバーか ら ア ッ プ リ ン ク ポー ト に接続で き ます。

• デフ ォル ト では、すべての イ ン ターフ ェ イ スが VLAN 1 に割 り 当て られます。ト ラ ン ク で VLAN 1 を設定し ないで く だ さ い。こ れは、ユーザ接続エ ラーが発生する可能性のあ る ト ラフ ィ ッ ク が ト ラ ン ク上に伝達さ れない よ う にする ためです。

ア ッ プ リ ン ク EtherChannel イン ターフ ェ イスでの QoS の設定

（注） こ の設定は、EtherChannel に追加する前の物理ア ッ プ リ ン ク イ ン ターフ ェ イ スに適用する必要があ り ます。

ステ ッ プ 1 入力方向の イ ン ターフ ェ イ スで ト ラ ス ト DiffServ コー ド ポ イ ン ト （DSCP）サービ ス ポ リ シーを適用し ます。続いて、2P6Q3T ポ リ シーを適用し、出力方向の イ ン ターフ ェ イ スで適切な輻輳管理と 出力帯域幅の分散が確実に行われる よ う に し ます。

上流に位置する ス イ ッ チま たはルータ か ら受信し た イーサネ ッ ト ト ラ フ ィ ッ ク は、信頼された QoS を示すマーキングが付け られ、タ イ プ オブ サービ ス（ToS）が保証される よ う 分類さ れます。

追加のサービ ス ポ リ シーは、輻輳を軽減する ために、ト ラ フ ィ ッ ク が送信された後に適用し ます。詳細については、以下を参照し て く だ さ い。 「ア ク セス イ ン ターフ ェ イ スでの QoS の設定」（55 ページ）

interface GigabitEthernet 1/1/1 auto qos trust dscp service-policy input AutoQos-4.0-Trust-Dscp-input-Policy service-policy output 2P6Q3T exit

interface GigabitEthernet 1/1/2 auto qos trust dscp service-policy input AutoQos-4.0-Trust-Dscp-input-Policy service-policy output 2P6Q3T exit

interface GigabitEthernet 2/1/1 auto qos trust dscp service-policy input AutoQos-4.0-Trust-Dscp-input-Policy service-policy output 2P6Q3T exit

interface GigabitEthernet 2/1/2 auto qos trust dscp service-policy input AutoQos-4.0-Trust-Dscp-input-Policy service-policy output 2P6Q3T

ア ッ プ リ ン ク イ ン ターフ ェ イス接続

ア ッ プ リ ン ク イ ン ターフ ェ イス接続の設定

42Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

EtherChannel および ト ラ ン ク と し てのア ッ プ リ ン ク イン ターフ ェ イスの設定

ステ ッ プ 1 ネ ッ ト ワーク ト ポ ロ ジに基づいて次のいずれかの設定を選択し ます。

• 「VSS ま たは VPC デ ィ ス ト リ ビ ューシ ョ ン ス イ ッ チに接続する ためのア ッ プ リ ン ク イ ンターフ ェ イ スの設定」

• 「デ ィ ス ト リ ビ ューシ ョ ン ルータ（ま たは、ス タ ン ド ア ロ ン デ ィ ス ト リ ビ ューシ ョ ン ス イ ッチ）に接続する ためのア ッ プ リ ン ク イ ン ターフ ェ イ スの設定」

VSS または VPC デ ィ ス ト リ ビューシ ョ ン スイ ッ チに接続するためのア ッ プ リ ン ク インターフ ェ イスの設定

1. 分散仮想ス イ ッ チ シ ス テム（VSS）ま たはバーチャル ポー ト チャ ネル（VPC）のス イ ッ チの接続が同じ方法で設定さ れ、EtherChannel が LACP ア ク テ ィ ブ モー ド で設定されている こ と を確認し ます。

2. 復元力を高める ために、ア ッ プ リ ン ク イ ン ターフ ェ イ ス を ス イ ッ チ ス タ ッ ク の異な る スイ ッ チに配置する よ う に し ます。

図 6 に、VSS ま たは VPC のデ ィ ス ト リ ビ ューシ ョ ン ス イ ッ チ ペアに対する単一の EtherChannel 接続を持つス イ ッ チ ス タ ッ ク を示し ます。

VSS および VPC シ ス テムでは、デ ィ ス ト リ ビ ューシ ョ ン ス イ ッ チ ペア間で明示的な設定が使用さ れます。こ の設定に よ り 、こ れら のス イ ッ チが EtherChannel に接続さ れた と き に単一の論理スイ ッ チ と し て動作で き る よ う にな り ます。EtherChannel は、VLAN 10、11、12、および 100 を持つ トラ ン ク と し て設定し、ネ イ テ ィ ブ VLAN は 999 に設定し ます。

（注） ス イ ッ チ ス タ ッ ク ア ッ プ リ ン ク イ ン ターフ ェ イ ス設定は、ス イ ッ チ ス タ ッ ク を VSS ま たは VPC のデ ィ ス ト リ ビ ューシ ョ ン ス イ ッ チ ペアに接続する場合にのみ使用し て く だ さ い。デ ィ スト リ ビ ューシ ョ ン ス イ ッ チ ペアを 2 つのス タ ン ド ア ロ ン ス イ ッ チ と し て構成する場合は使用し ないで く だ さ い。

ア ッ プ リ ン ク イ ン ターフ ェ イス接続

ア ッ プ リ ン ク イ ン ターフ ェ イス接続の設定

43Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

デ ィ ス ト リ ビューシ ョ ン ルータ（または、ス タ ン ド アロン デ ィ ス ト リ ビ ューシ ョ ン スイ ッ チ）に接続するためのア ッ プ リ ン ク イン ターフ ェ イスの設定

（注） こ の設定は、ス イ ッ チ ス タ ッ ク を 2 つのス タ ン ド ア ロ ン デ ィ ス ト リ ビ ューシ ョ ン ス イ ッ チ（VSS ま たは VPC ペア と し て設定さ れていない も の）に接続する と き に使用し ます。ただ し、スイ ッ チ設定に spanning-tree portfast trunk コ マン ド は使用し ないで く だ さ い。

• 接続の VSS ま たは VPC デ ィ ス ト リ ビ ューシ ョ ン ルータ サ イ ド が同様に設定さ れ、EtherChannel が LACP ア ク テ ィ ブ モー ド で設定さ れている こ と を確認し ます。

• 復元力を高める ために、設定さ れたア ッ プ リ ン ク イ ン ターフ ェ イ ス を ス イ ッ チ ス タ ッ ク の異な る ス イ ッ チに配置し ます。

• ルータはスパニン グ ツ リ ーに参加し ないので、spanning-tree portfast trunk コ マン ド を使用し て、リ ン ク が使用可能になった と き に、ア ッ プ リ ン ク のス イ ッ チ サ イ ド がスパニン グ ツリ ーのフ ォ ワーデ ィ ン グ ス テー ト に即座に遷移で き る よ う に し ます。

interface GigabitEthernet 1/1/1 description connection to Distribution VSS or VPC switch 1 switchport mode trunk switchport trunk native vlan 999 switchport trunk allowed vlan 10,11,12,100,200 channel-protocol lacp channel-group 1 mode active! interface GigabitEthernet 2/1/1 description connection to Distribution VSS or VPC switch 1 switchport mode trunk switchport trunk native vlan 999 switchport trunk allowed vlan 10,11,12,100,200 channel-protocol lacp channel-group 1 mode active!interface GigabitEthernet 1/1/2 description connection to Distribution VSS or VPC switch 2 switchport mode trunk switchport trunk native vlan 999 switchport trunk allowed vlan 10,11,12,100,200 channel-protocol lacp channel-group 1 mode active! interface GigabitEthernet 2/1/2 description connection to Distribution VSS or VPC switch 2 switchport mode trunk switchport trunk native vlan 999 switchport trunk allowed vlan 10,11,12,100,200 channel-protocol lacp channel-group 1 mode active

ア ッ プ リ ン ク イ ン ターフ ェ イス接続

ア ッ プ リ ン ク イ ン ターフ ェ イス接続の設定

44Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

図 7 に、各デ ィ ス ト リ ビ ューシ ョ ン ルータ に対し て別々の EtherChannel を持つス イ ッ チ ス タ ック を示し ます。各 EtherChannel は、VLAN 10、11、12、100、200、および 999 を持つ ト ラ ン ク と し て設定さ れ、ネ イ テ ィ ブ VLAN は 999 に設定さ れます。

ルータ 1 への EtherChannel 接続

ルータ 2 への EtherChannel 接続

interface GigabitEthernet 1/1/1 description connection to Distribution router 1 switchport mode trunk switchport trunk native vlan 999 switchport trunk allowed vlan 10,11,12,100,200 spanning-tree portfast trunk channel-protocol lacp channel-group 1 mode active interface GigabitEthernet 2/1/1 description connection to Distribution router 1 switchport mode trunk switchport trunk native vlan 999 switchport trunk allowed vlan 10,11,12,100,200 spanning-tree portfast trunk channel-protocol lacp channel-group 1 mode active

interface GigabitEthernet 1/1/2 description connection to Distribution router 2 switchport mode trunk switchport trunk native vlan 999 switchport trunk allowed vlan 10,11,12,100,200 spanning-tree portfast trunk channel-protocol lacp channel-group 2 mode active interface GigabitEthernet 2/1/2 description connection to Distribution router 2 switchport mode trunk switchport trunk native vlan 999 switchport trunk allowed vlan 10,11,12,100,200 spanning-tree portfast trunk channel-protocol lacp channel-group 2 mode active

ア ッ プ リ ン ク イ ン ターフ ェ イス接続

ア ッ プ リ ン ク イ ン ターフ ェ イス接続の設定

45Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

ア ッ プ リ ン ク EtherChannel イン ターフ ェ イスでのセキュ リ テ ィ 機能の設定

ステ ッ プ 2 ア ッ プ リ ン ク EtherChannel イ ン ターフ ェ イ スで IPv4 と IPv6 のセキ ュ リ テ ィ 機能を設定し ます。

デ ィ ス ト リ ビ ューシ ョ ン ルータ と ス イ ッ チへのア ッ プ リ ン ク EtherChannel イ ン ターフ ェ イ スは、ルータ ア ド バタ イ ズ メ ン ト と IP 応答を信頼する よ う に設定する必要があ り ます。こ れは、レイ ヤ 3 のルーテ ィ ングおよびサーバ機能がデ ィ ス ト リ ビ ューシ ョ ン ス イ ッ チおよびルータ にある ためです。こ の手順は、信頼で き ない設定であ る、エン ド デバイ スへのア ク セス イ ン ターフ ェイ ス設定（「ア ク セス イ ン ターフ ェ イ ス接続」ワーク フ ローで指定） と は異な り ます。

適用する ポ リ シーは、「グ ローバル シ ス テム設定」ワーク フ ローで定義されています。

次の例では、VPC、VSS、ま たはス タ ン ド ア ロ ン ス イ ッ チに接続する ア ッ プ リ ン ク イ ン ターフ ェイ スにセキ ュ リ テ ィ が適用さ れます。

次の例では、ルータ に接続する ア ッ プ リ ン ク イ ン ターフ ェ イ スにセキ ュ リ テ ィ を適用し ます。

デ ィ ス ト リ ビューシ ョ ン スイ ッ チに接続するア ッ プ リ ン ク イン ターフ ェ イスのスパニング ツ リーの推奨事項

（注） こ の設定は、ス イ ッ チではな く 、デ ィ ス ト リ ビ ューシ ョ ン ス イ ッ チで実行し ます。次の推奨事項は、ルータ がデ ィ ス ト リ ビ ューシ ョ ン レ イ ヤで使用さ れる場合は適用されません。

ステ ッ プ 3 デ ィ ス ト リ ビ ューシ ョ ン ス イ ッ チへのア ッ プ リ ン ク イ ン ターフ ェ イ スで（図 6）、ス イ ッ チ スタ ッ ク VLAN のスパニン グ ツ リ ー ルー ト がデ ィ ス ト リ ビ ューシ ョ ン ス イ ッ チ ペアに設定さ れている こ と を確認し ます。

VSS ま たは VPC シ ス テムではな く 、ス タ ン ド ア ロ ン デ ィ ス ト リ ビ ューシ ョ ン ス イ ッ チを使用する場合は、次の推奨事項に従って く だ さ い。

• VLAN のスパニン グ ツ リ ー ルー ト が、2 つのス タ ン ド ア ロ ン デ ィ ス ト リ ビ ューシ ョ ン スイ ッ チ間で均等に分散さ れる よ う に し ます。た と えば、一方のス イ ッ チをすべての偶数 VLAN 用のスパニン グ ツ リ ー ルー ト と し て設定し、も う 一方のス イ ッ チをすべての奇数

interface Port-channel 1 ip arp inspection trust ip snooping trust ipv6 nd raguard attach-policy switch_ipv6_raguard ipv6 guard attach-policy uplink_ipv6__guard

interface Port-channel 1 ip arp inspection trust ip snooping trust ipv6 nd raguard attach-policy router_ipv6_raguard ipv6 guard attach-policy uplink_ipv6__guard exit!interface Port-channel 2 ip arp inspection trust ip snooping trust ipv6 nd raguard attach-policy router_ipv6_raguard ipv6 guard attach-policy uplink_ipv6__guard

ア ッ プ リ ン ク イ ン ターフ ェ イス接続

ア ッ プ リ ン ク イ ン ターフ ェ イス接続の設定

46Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

VLAN 用のスパニン グ ツ リ ー ルー ト と し て設定し ます。こ の分散構成に よ り 、スパニング ツ リ ーで単一のア ッ プ リ ン ク イ ン ターフ ェ イ ス上のすべての VLAN がブ ロ ッ ク される こ とがな く な り 、ア ッ プ リ ン ク イ ン ターフ ェ イ ス上の ト ラ フ ィ ッ ク フ ローが均一にな り ます。

• ス タ ン ド ア ロ ン デ ィ ス ト リ ビ ューシ ョ ン ス イ ッ チにあ る VLAN に、Hot Standby Router Protocol（HSRP）ま たは Virtual Router Redundancy Protocol（VRRP）が設定さ れてい る場合、アク テ ィ ブ ス イ ッ チの VLAN 設定が、その VLAN のスパニン グ ツ リ ー ルー ト であ る ス イ ッ チと 同一にな る よ う に し ます。

• arp timeout イ ン ターフ ェ イ ス設定コ マン ド を設定し て、ト ラ フ ィ ッ ク フ ローの非対称ルーテ ィ ン グに よ り 発生する ト ラ フ ィ ッ ク のフ ラ ッ デ ィ ン グ を防止し ます。こ の コ マン ド は、ARP エージン グ タ イ マーを、デ ィ ス ト リ ビ ューシ ョ ン ス イ ッ チのレ イ ヤ 3 VLAN イ ン ターフ ェ イ スの MAC ア ド レ ス テーブルのエージング タ イ マーよ り も小さ い値に調整し ます。デフ ォル ト では、MAC ア ド レ ス テーブルのエージン グ タ イ マーは、ス イ ッ チ上で 5 分（300 秒）に設定さ れます。

VSS のスパニング ツ リ ー ルー ト の設定の詳細については、『VSS Enabled Campus Design Guide』の「Spanning Tree Configuration Best Practice with VSS」の項を参照し て く だ さ い。

デ ィ ス ト リ ビ ューシ ョ ン ス イ ッ チのスパニン グ ツ リ ー ルー ト の詳細については、『Campus

Network for High Availability Design Guide』の「Spanning VLANs across Access Layer Switches」の項を参照し て く だ さ い。

スパニン グ ツ リ ー ルー ト の設定 と 非対称ルーテ ィ ン グの詳細については、『Campus Network for

High Availability Design Guide』の「Spanning VLANs Across Access Layer Switches」を参照し て く ださ い。

ア ッ プ リ ン ク イン ターフ ェ イス設定の確認

以下の コ マン ド を使用し て、こ のワーク フ ローの設定がア ッ プ リ ン ク イ ン ターフ ェ イ スに正しく 適用さ れている かど う かを確認し ます。

• show etherchannel summary

• show interface

• show interface trunk

• show cdp neighbors

• show auto qos interface

• show policy-map interface

ア ッ プ リ ン ク イ ン ターフ ェ イス接続

スイ ッ チのア ッ プ リ ン ク イ ン ターフ ェ イス接続の表示

47Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

スイ ッ チのア ッ プ リ ン ク イン ターフ ェ イス接続の表示

ステ ッ プ 1 show running-configuration コ マン ド を入力し て、ス イ ッ チのア ッ プ リ ン ク イ ン ターフ ェ イ ス接続を表示し ます。

Switch#sh int te2/1/3TenGigabitEthernet2/1/3 is up, line protocol is up (connected) Hardware is Ten Gigabit Ethernet, address is 381c.1a24.d537 (bia

381c.1a24.d537) MTU 1500 bytes, BW 10000000 Kbit/sec, DLY 10 usec, reliability 255/255, txload 1/255, rxload 1/255 Encapsulation ARPA, loopback not set Keepalive not set Full-duplex, 10Gb/s, link type is auto, media type is SFP-10GBase-SR input flow-control is off, output flow-control is unsupported ARP type: ARPA, ARP Timeout 04:00:00 Last input never, output 0:00:19, output hang never Last clearing of "show interface" counters never Input queue: 0/2000/0/0 (size/max/drops/flushes); Total output drops: 0 Queueing strategy: fifo Output queue: 0/40 (size/max) 5 minute input rate 1000 bits/sec, 1 packets/sec 5 minute output rate 0 bits/sec, 0 packets/sec 2596461 packets input, 426179392 bytes, 0 no buffer Received 2596461 broadcasts (2596461 multicasts) 0 runts, 0 giants, 0 throttles 0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored 0 watchdog, 2596461 multicast, 0 pause input 0 input packets with dribble condition detected 303459 packets output, 45794121 bytes, 0 underruns 0 output errors, 0 collisions, 2 interface resets 0 unknown protocol drops 0 babbles, 0 late collision, 0 deferred 0 lost carrier, 0 no carrier, 0 pause output 0 output buffer failures, 0 output buffers swapped out

ア ッ プ リ ン ク イ ン ターフ ェ イス接続

スイ ッ チのア ッ プ リ ン ク イ ン ターフ ェ イス接続の表示

48Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

Cisco Systems, Inc.www.cisco.com

アクセス イン ターフ ェ イス接続

こ のワーク フ ローでは、ス イ ッ チのエン ド デバイ スに接続する イーサネ ッ ト イ ン ターフ ェ イ スを設定する方法を説明し ます。エン ド デバイ ス と は、IP フ ォ ン、パーソ ナル コ ン ピ ュータ、ワ イヤレ ス ア ク セス ポ イ ン ト 、プ リ ン タ、IP カ メ ラ など、ネ ッ ト ワーク に接続する非ネ ッ ト ワーク デバイ スです。エン ド デバイ スに接続する イーサネ ッ ト イ ン ターフ ェ イ スは、ア ク セス イ ン ターフ ェ イ ス と 呼ばれます。ア ク セス イ ン ターフ ェ イ スは、他のネ ッ ト ワーク デバイ スに リ ン クする ア ッ プ リ ン ク イ ン ターフ ェ イ ス と は異な り ます。

ア ク セス イ ン ターフ ェ イ ス を設定する ためのワーク フ ローは、キ ャ ンパス ネ ッ ト ワークやブ ランチ ネ ッ ト ワーク内のア ク セス レ イ ヤに導入さ れた ス イ ッ チに基づき ます（図 8 を参照）。エンド デバイ スに接続さ れている ス イ ッ チ イ ン ターフ ェ イ スは、ネ ッ ト ワーク セキ ュ リ テ ィ および QoS の処理が開始される ネ ッ ト ワーク エ ッ ジです。

アクセス イン ターフ ェ イス接続の前提条件 • グ ローバル シ ス テム設定ワーク フ ローで説明さ れている手順を実行し ます。こ のワーク フ

ローには、ア ク セス イ ン ターフ ェ イ ス設定に必要な設定情報が記載されています。

• 「ア ッ プ リ ン ク EtherChannel イ ン ターフ ェ イ スでの QoS の設定」ワーク フ ローで説明されている手順を実行し ます。こ のワーク フ ローには、エン ド デバイ スの入力サービ ス ポ リ シーの作成方法が記載さ れています。

設定値の確認中断せずに こ のセ ク シ ョ ンの手順を進める こ と がで き る よ う に、特定のス イ ッ チ設定値を事前に確認し てお く こ と をお勧め し ます。表 6 を印刷する こ と もお勧め し ます。ま た、手順に従って設定を進める際に、列 B の値を列 C に記載し た実際の値で置き換えて く だ さ い。

（注） 青色の斜体で示さ れた値の例を実際の値に置き換えて く だ さ い。

ア クセス イ ン ターフ ェ イス接続

設定値の確認

50Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

（注） 特に断 り のない限 り 、設定例はグ ローバル コ ン フ ィ ギ ュ レーシ ョ ン モー ド で開始されます。

表 6 アクセス イ ン ターフ ェ イス接続の値

A. 値の名前 B. 値の例 C. 実際の値

ア ク セス イ ン ターフ ェ イ スの範囲

interface range GigabitEthernet1/0/1-48

interface range GigabitEthernet2/0/1-48

データ VLAN 10

音声 VLAN 11

ア ク セス ポ イ ン ト VLAN 12

管理 VLAN ID 100

ワ イ ヤレ ス ク ラ イ アン ト VLAN

200

IPv6 ルータ ア ド バタ イ ズ メ ント ガー ド ポ リ シーの名前

endhost_ipv6_raguard

IPv6 ルータ ア ド バタ イ ズ メ ント ガー ド ポ リ シーの名前

endhost_ipv6__guard

QoS サービ ス ポ リ シーの input 名

（「ア ッ プ リ ン ク EtherChannel イ ン ターフ ェ イ スでの QoS の設定」の項を参照）。

IPPhone-Input-Policy

Classify-Police-Input-Policy

Classify-Police-Input-Policy

Trust-Dscp-Input-Policy

SoftPhone-Input-Policy

Trust-Dscp-Input-Policy

Trust-Dscp-Input-Policy

Trust-COS-Input-Policy

No-Trust-Input-Policy

QoS サービ ス ポ リ シーの output 名

2P6Q3T

アクセス イ ン ターフ ェ イス接続

エン ド デバイスに接続する LAN アクセス スイ ッ チの ト ポロジ

51Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

エン ド デバイスに接続する LAN アクセス スイ ッ チの トポロジ

次の図に、エン ド デバイ スへの LAN ア ク セス ス イ ッ チの ト ポ ロ ジを示し ます。

図 8 エン ド デバイスに接続する LAN アクセス スイ ッ チの ト ポロジ

アクセス イン ターフ ェ イス接続の設定 • ア ク セス イ ン ターフ ェ イ ス を設定する ための推奨事項

• ア ク セス モー ド の イ ン ターフ ェ イ スの設定

• VLAN メ ンバーシ ッ プの設定

• イ ン ターフ ェ イ スの説明の作成

• ア ク セス イ ン ターフ ェ イ スのセキ ュ リ テ ィ 機能の設定

• ア ク セス イ ン ターフ ェ イ スでの QoS の設定

• ア ク セス イ ン ターフ ェ イ ス設定の確認

アクセス イン ターフ ェ イスを設定するための推奨事項

エン ド デバイ スの中には以下のア ク セス イ ン ターフ ェ イ ス設定を必要 と し ない も の も あ り ますが、一貫性を保つために以下の設定を行 う こ と をお勧め し ます。これ ら の設定は、ネ ッ ト ワーク ま たは接続さ れたエン ド デバイ スの動作に干渉せず、安全に使用で き る と 判断されます。

ア ク セス イ ン ターフ ェ イ ス を設定する際には、次の タ ス ク を実行する必要があ り ます。

• ア ク セス モー ド の イ ン ターフ ェ イ スの設定

• VLAN メ ンバーシ ッ プの設定

Desktop userdirect connect

Desktop user

Printer

Wireless access point

Catalyst 3850 stack in access

Voice VLAN 11Data VLAN 10

Data VLAN 10

Switch managementVLAN 100

3916

89

Access point VLAN 12Data VLAN 10

ア クセス イ ン ターフ ェ イス接続

ア クセス イ ン ターフ ェ イス接続の設定

52Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

• イ ン ターフ ェ イ スの説明の作成

• ア ク セス イ ン ターフ ェ イ スのセキ ュ リ テ ィ 機能の設定

• ア ク セス イ ン ターフ ェ イ スでの QoS の設定

• ア ク セス イ ン ターフ ェ イ ス設定の確認

IP デバイス ト ラ ッキング

注意 IP デバイ ス ト ラ ッ キング（IPDT）機能では、ス イ ッ チの通常の日常業務に影響を与え る こ と がある副次的な悪影響が発生する可能性があ り ます。

（注） IPDT の問題に よ り 、い く つかの症状がエン ド デバイ スで発生し ます。た と えば、Windows PC では、重複 IP ア ド レ ス 0.0.0.0 についてのエ ラー メ ッ セージ レポー ト が表示されます。

IPDT はグ ローバルに有効化さ れますが、グ ローバルに無効にする こ と はで き ません。IPDT を無効にする には、イ ン ターフ ェ イ ス レベルで無効にする必要があ り ます。

（注） ポー ト チャ ネルで IPDT を無効にする には、 初に、ポー ト チャ ネルか ら物理イーサネ ッ ト イ ンターフ ェ イ ス をアンバン ド ルする必要があ り ます。

すべてのア ク セス イ ン ターフ ェ イ スで IPDT を無効にする こ と をお勧め し ます。ただ し、次のケースの よ う に、機能で IPDT が明示的に有効化さ れてい る場合は除き ます。

• IPDT は、Identity Services Engine（ISE）を使用し た中央 Web 認証に必要です。

• Network Mobility Services は、位置を ト ラ ッ キングする ために Mobility Services Engine と 通信し ます。

• デバイ ス センサーは、接続さ れたエン ド デバイ スか ら入力さ れる制御パケ ッ ト を監視し、接続さ れているデバイ ス タ イ プを判別し ます。デバイ ス センサーはデバイ ス タ イ プを決定する ために複数の ソース（IPDT など）を使用し ます。デバイ ス センサーは、Auto Smartports や AutoConf など、その他の機能に不可欠です。

• Auto Smartports と AutoConf はデバイ ス センサーの ク ラ イ アン ト であ る ため、間接的に影響を受け ます。デバイ ス センサー機能は、接続さ れたデバイ ス タ イ プの検出に IPDT を使用します。

• IPDT が無効な場合、Address Resolution Protocol（ARP）ス ヌーピ ングが影響を受けます。

イ ン ターフ ェ イス レベルで IPDT を無効にするための推奨方法

ま たは、次の方法を使用で き ます。

interface GigabitEthernet1/0/1|

nmsp attach suppress

interface GigabitEthernet1/0/1|

ip device tracking maximum 0

アクセス イ ン ターフ ェ イス接続

アクセス イ ン ターフ ェ イス接続の設定

53Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

アクセス モー ドのイン ターフ ェ イスの設定

ステ ッ プ 1 switchport host コ マン ド を使用し て、ス イ ッ チ上でエン ド デバイ ス用の以下の設定を行います。

• 静的ア ク セス モー ド （ネゴシエーシ ョ ンな し の単一 VLAN モー ド ）用のア ク セス イ ン ターフ ェ イ ス を設定し ます。

• Spanning Tree PortFast（STPF）用の イ ン ターフ ェ イ ス を設定し ます。STPF に よ り 、イ ン ターフ ェ イ スが転送モー ド に移行する ための所要時間が短縮されます。他のブ リ ッ ジン グ デバイ ス（イーサネ ッ ト ス イ ッ チ）に接続し ない イ ン ターフ ェ イ スでは STPF を推奨し ます。

ス イ ッ チ上の イーサネ ッ ト イ ン ターフ ェ イ スのデフ ォル ト の管理モー ド は dynamic auto です。ダ イナ ミ ッ ク モー ド では、リ ン ク側のネ ッ ト ワーク デバイ スが ト ラ ン ク にな る ためのネゴシエーシ ョ ン を開始する（「dynamic desirable」管理モー ド ）場合に、イ ン ターフ ェ イ スは ト ラ ン ク モー ド にな る ためのネゴシエーシ ョ ン を行います。

VLAN メ ンバーシ ッ プの設定

ステ ッ プ 2 音声およびデータ ト ラ フ ィ ッ ク用の VLAN を設定し ます。

イ ン ターフ ェ イ スの VLAN 設定は、使用し ている エン ド デバイ スに よ って異な り ます。

• 一般的に、IP フ ォ ン、IP カ メ ラ、およびア ク セス ポ イ ン ト は別個の VLAN に設定さ れます。

• VLAN 10 はデータ VLAN と し て、VLAN 11 は音声 VLAN と し てそれぞれ定義さ れます。

推奨事項：データおよび音声用に VLAN 1 を使用し ないで く だ さ い。VLAN 1 は 3850 のデフ ォルト の VLAN です。こ の VLAN は、経験豊富なネ ッ ト ワーク担当者に よ って詳し く 解説されており 、十分に理解さ れています。そのため、VLAN 1 は攻撃を受け る可能性が高 く な り ます。イーサネ ッ ト ス イ ッ チングに関し て、従来よ り 、VLAN ID を VLAN1 以外の値に変更する こ と を推奨しています。

イン ターフ ェ イスの説明の作成

ステ ッ プ 3 エン ド デバイ スの タ イ プを特定する ために イ ン ターフ ェ イ スの説明を作成し ます。

ヒ ン ト イ ン ターフ ェ イ スの説明を作成する際、イ ン ターフ ェ イ スの長い リ ス ト を素早 く ス キ ャ ン し て、ネ ッ ト ワーク内でのそれら の使用方法を確認で き ます。

switchport access vlan 10 switchport voice vlan 11

description IP Phone

ア クセス イ ン ターフ ェ イス接続

ア クセス イ ン ターフ ェ イス接続の設定

54Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

アクセス イン ターフ ェ イスのセキュ リ テ ィ 機能の設定

ステ ッ プ 4 ポー ト セキ ュ リ テ ィ 機能に よ り 、悪意のあ る エン ド デバイ スや問題のあ る エン ド デバイ スか らネ ッ ト ワー ク を保護し ます。

ポー ト セキ ュ リ テ ィ の主な目的は、エン ド デバイ スの送信元 MAC ア ド レ スが多すぎ る こ と によ り ス イ ッ チが過負荷にな る こ と を防ぐ こ と です。ポー ト セキ ュ リ テ ィ は、接続さ れたネ ッ トワー ク デバイ スで記憶さ れる MAC ア ド レ ス を制御し ます。ポー ト セキ ュ リ テ ィ は、記憶さ れる MAC ア ド レ スの数、それら が記憶さ れる期間、および記憶さ れる MAC ア ド レ スの数が多すぎ る場合に発生する動作を制御し ます。

MAC ア ド レ スの制限数は 11 です。エン ド デバイ スの送信元 MAC ア ド レ ス数が 11 を超え る と 、超過後の送信元 MAC ア ド レ スでのス イ ッ チへの入力 ト ラ フ ィ ッ ク は廃棄さ れます。

（注） ポー ト セキ ュ リ テ ィ が有効になってい る イ ン ターフ ェ イ スに記憶さ れる MAC ア ド レ スは、ダイナ ミ ッ ク MAC ア ド レ ス テーブルには表示されません。これら は静的 MAC ア ド レ ス テーブルに表示さ れます。

ステ ッ プ 5 イ ン ターフ ェ イ スで、IP ARP イ ン スペ ク シ ョ ンおよびス ヌーピ ング（DHCP、IGMP など）を 100 p/s に設定し ます（100 p/s を超え る入力 ARP パケ ッ ト は通常のパケ ッ ト ではな く 、悪意があ る と見な さ れます。こ れら のパケ ッ ト は廃棄さ れ、syslog メ ッ セージが生成さ れます）。

ステ ッ プ 6 イ ン ターフ ェ イ スで IP ア ド レ ス スプーフ ィ ング を防止する よ う に IP ソース ガー ド を設定します。

ステ ッ プ 7 イ ン ターフ ェ イ ス上のブ ロー ド キ ャ ス ト パケ ッ ト およびマルチキ ャ ス ト パケ ッ ト に対し て スト ーム制御を有効化する こ と に よ り 、ブ ロー ド キ ャ ス ト パケ ッ ト やマルチキ ャ ス ト パケ ッ ト のフ ラ ッデ ィ ングか ら ネ ッ ト ワーク を保護し ます。

switchport port-security maximum 11 switchport port-security switchport port-security aging time 2 switchport port-security aging type inactivity switchport port-security violation restrict

ip arp inspection limit rate 100 ip snoopping limit rate 100

ip verify source

storm-control broadcast level pps 1k

storm-control multicast level pps 2k

storm-control action trap

switchport block unicast

アクセス イ ン ターフ ェ イス接続

アクセス イ ン ターフ ェ イス接続の設定

55Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

設定さ れた レベルを超え る と 、ス イ ッ チは SNMP ト ラ ッ プを送信し ます。イ ン ターフ ェ イ スは無効状態にはな り ません。

ユニキ ャ ス ト パケ ッ ト は出力 ト ラ フ ィ ッ ク でブ ロ ッ ク さ れますが、入力 ト ラ フ ィ ッ ク ではブロ ッ ク さ れません。ス イ ッ チは、エン ド デバイ スに送られない よ う に不明なユニキ ャ ス ト パケ ッ ト を廃棄し、エン ド デバイ ス宛てのパケ ッ ト のみ送信さ れる よ う に し ます。

ステ ッ プ 8 イ ン ターフ ェ イ ス上で IPv6 セキ ュ リ テ ィ を設定し、エン ド デバイ スが IPv6 ルータ ア ド バタ イズ メ ン ト や IPv6 応答を送信し ない よ う にする こ と で、悪意のあ る操作や予期し ない操作か ら エン ド デバイ ス を保護し ます。

適用さ れる ポ リ シーは、「グ ローバル シ ス テム設定」ワーク フ ローで定義されます。

アクセス イン ターフ ェ イスでの QoS の設定

Quality of Service（QoS）を使用する と 、特定の ト ラ フ ィ ッ ク を他の ト ラ フ ィ ッ ク タ イ プ よ り も優先的に処理で き ます。QoS を使用し なかった場合、ス イ ッ チはパケ ッ ト の内容やサ イ ズに関係なく 、各パケ ッ ト にベス ト エフ ォー ト 型のサービ ス を提供し ます。信頼性、遅延限度、ま たはスループ ッ ト に関し て保証する こ と な く 、ス イ ッ チはパケ ッ ト を送信し ます。

ス イ ッ チの Auto QoS に よ り 、さ ま ざ ま なエン ド デバイ スの複数のサービ ス ポ リ シーが生成さ れます。生成さ れる サービ ス ポ リ シーはエン ド デバイ スの タ イ プに よ って異な り ます。

ステ ッ プ 9 単一のア ク セス イ ン ターフ ェ イ スにサービ ス ポ リ シーを適用し ます。

ス イ ッ チは、ア ク セスに必要なモジ ュ ラ QoS コ マン ド ラ イ ン イ ン ターフ ェ イ ス（MQC）サービ ス ポ リ シーを自動的に生成し ます。

次の例に、サービ ス ポ リ シー設定の一部を示し ます。

ステ ッ プ 10 入力 と 出力のサービ ス ポ リ シーを適用し ます。

エン ド デバイ ス固有の設定にマーク を付けて、エン ド デバイ スに推奨さ れる サービ ス ポ リ シーが分か る よ う に し ます。

アクセス イン ターフ ェ イス設定の確認

こ の項では、こ のワーク フ ローの設定がス イ ッ チに正し く 適用されている こ と を確認する ために使用する コ マン ド について説明し ます。

ステ ッ プ 11 ア ク セス イ ン ターフ ェ イ スの動作設定を確認する には、show running-configuration コ マン ド を使用し ます。

ipv6 nd raguard attach-policy endhost_ipv6_raguard

ipv6 guard attach-policy endhost_ipv6__guard

auto qos voip cisco-phone service-policy input AutoQos-4.0-CiscoPhone-Input-Policy service-policy output 2P6Q3T

ア クセス イ ン ターフ ェ イス接続

ア クセス イ ン ターフ ェ イス接続の設定

56Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

イ ン ターフ ェ イ スでス ト ーム制御が設定さ れている こ と を確認する には、show storm-control コマン ド を使用し ます。

イ ン ターフ ェ イ スでス ヌーピ ン グが設定さ れている こ と を確認する には、show ip snooping コ マン ド を使用し ます。

show storm-controlKey: U - Unicast, B - Broadcast, M - MulticastInterface Filter State Upper Lower Current Action Type--------- ------------- ----------- ----------- ---------- --------- ----Gi1/0/1 Link Down 1k pps 1k pps 0 pps Trap B

Gi1/0/1 Link Down 2k pps 2k pps 0 pps Trap M

Gi1/0/2 Link Down 1k pps 1k pps 0 pps Trap B

Gi1/0/2 Link Down 2k pps 2k pps 0 pps Trap M

Gi1/0/3 Link Down 1k pps 1k pps 0 pps Trap B

Gi1/0/3 Link Down 2k pps 2k pps 0 pps Trap M

Gi1/0/4 Link Down 1k pps 1k pps 0 pps Trap B

Gi1/0/4 Link Down 2k pps 2k pps 0 pps Trap M

show ip snooping Switch snooping is enabledSwitch gleaning is disabled snooping is configured on following VLANs:10-13,100 snooping is operational on following VLANs:10-13,100 snooping is configured on the following L3 Interfaces:

Insertion of option 82 is disabled circuit-id default format: vlan-mod-port remote-id: 2037.0653.c800 (MAC)Option 82 on untrusted port is not allowedVerification of hwaddr field is enabledVerification of giaddr field is enabled snooping trust/rate is configured on the following Interfaces:

Interface Trusted Allow option Rate limit (pps)----------------------- ------- ------------ ---------------- GigabitEthernet1/0/1 no no 100 Custom circuit-ids:GigabitEthernet1/0/2 no no 100 Custom circuit-ids:GigabitEthernet1/0/3 no no 100 Custom circuit-ids:GigabitEthernet1/0/4 no no 100 Custom circuit-ids:

アクセス イ ン ターフ ェ イス接続

アクセス イ ン ターフ ェ イス接続の設定

57Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

IP ソース ガー ド が設定さ れ、動作し ている こ と を確認する には、show ip verify source コ マン ドを使用し ます。

ア ク セス イ ン ターフ ェ イ スでポー ト セキ ュ リ テ ィ が設定さ れている こ と を確認する には、show port-security コ マン ド を使用し ます。

ア ク セス イ ン ターフ ェ イ スのレー ト および untrusted（信頼で き ない）状態を確認する には、show ip arp inspection interfaces コ マン ド を使用し ます。

ア ク セス イ ン ターフ ェ イ スに特定のポ リ シーを持つルータ ア ド バタ イ ズ メ ン ト ガー ド が設定さ れている こ と を確認する には、show ipv6 nd raguard policy コ マン ド を使用し ます。

show ip verify source Interface Filter-type Filter-mode IP-address Mac-address Vlan--------- ----------- ----------- --------------- ----------------- ----Gi1/0/1 ip active deny-all 10-11Gi1/0/2 ip active deny-all 10Gi1/0/3 ip active deny-all 12Gi1/0/4 ip active deny-all 10

show port-securitySecure Port MaxSecureAddr CurrentAddr SecurityViolation Security Action (Count) (Count) (Count)--------------------------------------------------------------------------- Gi1/0/1 11 1 0 Restrict Gi1/0/2 11 1 0 Restrict Gi1/0/3 11 1 0 Restrict Gi1/0/4 11 1 0 Restrict---------------------------------------------------------------------------Total Addresses in System (excluding one mac per port) : 0Max Addresses limit in System (excluding one mac per port) : 4096

show ip arp inspection interfaces

Interface Trust State Rate (pps) Burst Interval --------------- ----------- ---------- -------------- Gi1/0/1 Untrusted 100 1 Gi1/0/2 Untrusted 100 1 Gi1/0/3 Untrusted 100 1 Gi1/0/4 Untrusted 100 1

show ipv6 nd raguard policy endhost_ipv6_raguardPolicy endhost_ipv6_raguard configuration: device-role hostPolicy endhost_ipv6_raguard is applied on the following targets: Target Type Policy Feature Target rangeGi1/0/1 PORT endhost_ipv6_raguard RA guard vlan allGi1/0/2 PORT endhost_ipv6_raguard RA guard vlan allGi1/0/3 PORT endhost_ipv6_raguard RA guard vlan allGi1/0/4 PORT endhost_ipv6_raguard RA guard vlan all

ア クセス イ ン ターフ ェ イス接続

ア クセス イ ン ターフ ェ イス接続の実行コ ン フ ィ ギュ レーシ ョ ンの表示

58Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

ア ク セス イ ン ターフ ェ イ スのガー ド を確認する には、show ipv6 guard policy コ マン ド を使用します。

ア ク セス イ ン ターフ ェ イ スに適用さ れる入力および出力のサービ ス ポ リ シーを確認する には、show policy-map interface コ マン ド を使用し ます。

アクセス イン ターフ ェ イス接続の実行コ ン フ ィ ギュ レーシ ョ ンの表示

ステ ッ プ 1 こ のワーク フ ローの 初に説明し た各エン ド デバイ ス タ イ プの推奨設定を表示し ます。

ヒ ン ト ス イ ッ チ上の複数の イ ン ターフ ェ イ スで同じ イ ン ターフ ェ イ ス設定を使用する には、interface range コ マン ド を使用し ます。こ の コ マン ド を使用する と 、コ マン ド を 1 回発行し、それを多数のイ ン ターフ ェ イ スに適用する こ と がで き ます。ア ク セス レ イ ヤのほ と んどの イ ン ターフ ェ イ スでは同一の設定が使用さ れる ため、こ の コ マン ド を使用する こ と に よ り 、設定に費やす時間を大幅に節約で き ます。た と えば、次の コ マン ド では、48 個のすべての イ ン ターフ ェ イ ス（GigabitEthernet 1/0/1 か ら GigabitEthernet 1/0/48）に コ マン ド を同時に入力する こ と がで き ます。

.

（注） すべてのス イ ッ チ ス タ ッ ク メ ンバーに interface range コ マン ド を適用し ます。こ の range コ マン ド は、1 つのス イ ッ チ メ ンバー上のすべての イ ン ターフ ェ イ スに対し て有効です。メ ンバーごと に range コ マン ド を入力し ます。

show ipv6 guard policy endhost_ipv6__guard guard policy: endhost_ipv6__guard Device Role: client Target: Gi1/0/1 Gi1/0/2 Gi1/0/3 Gi1/0/4

show policy-map interface GigabitEthernet1/0/1 GigabitEthernet1/0/1

Service-policy input: AutoQos-4.0-CiscoPhone-Input-Policy

<省略> Service-policy output: AutoQos-4.0-Output-Policy

interface range GigabitEthernet 1/0/1-1/0/48

アクセス イ ン ターフ ェ イス接続

アクセス イ ン ターフ ェ イス接続の実行コ ン フ ィ ギュ レーシ ョ ンの表示

59Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

IP フ ォ ンのアクセス イ ン ターフ ェ イス

次に、IP フ ォ ンのア ク セ ス イ ン ターフ ェ イ ス情報を表示する例を示し ます。

show running-configuration...

Description IP Phoneswitchport hostswitchport access vlan 10switchport voice vlan 11switchport port-security maximum 11switchport port-security switchport port-security aging time 2switchport port-security aging type inactivityswitchport port-security violation restrictip arp inspection limit rate 100ip snooping limit rate 100 ip verify sourceswitchport block unicaststorm-control broadcast level pps 1kstorm-control multicast level pps 2kstorm-control action trapipv6 nd raguard attach-policy endhost_ipv6_raguardipv6 guard attach-policy endhost_ipv6__guardauto qos voip cisco-phoneservice-policy input AutoQos-4.0-CiscoPhone-Input-Policyservice-policy output 2P6Q3T

ア クセス イ ン ターフ ェ イス接続

ア クセス イ ン ターフ ェ イス接続の実行コ ン フ ィ ギュ レーシ ョ ンの表示

60Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

パーソナル コ ンピ ュータ アクセス イ ン ターフ ェ イス

次に、パーソ ナル コ ン ピ ュータ のア ク セス イ ン ターフ ェ イ ス情報を表示する例を示し ます。

Lightweight アクセス ポイ ン ト のアクセス イ ン ターフ ェ イス

次に、Lightweight ア ク セス ポ イ ン ト のア ク セス イ ン ターフ ェ イ ス情報を表示する例を示し ます。

show running-configuration...Description Personal Computerswitchport hostswitchport access vlan 10switchport port-security maximum 11switchport port-security switchport port-security aging time 2switchport port-security aging type inactivityswitchport port-security violation restrictip arp inspection limit rate 100ip snooping limit rate 100 ip verify sourceswitchport block unicaststorm-control broadcast level pps 1kstorm-control multicast level pps 2kstorm-control action trapipv6 nd raguard attach-policy endhost_ipv6_raguardipv6 guard attach-policy endhost_ipv6__guardauto qos trust dscpservice-policy input AutoQos-4.0-Classify-Input-Policyservice-policy output 2P6Q3T

show running-configuration...Description Lightweight Access Pointswitchport hostswitchport access vlan 12switchport port-security maximum 11switchport port-security switchport port-security aging time 2switchport port-security aging type inactivityswitchport port-security violation restrictip snooping limit rate 100 switchport block unicaststorm-control broadcast level pps 1kstorm-control multicast level pps 2kstorm-control action trap

アクセス イ ン ターフ ェ イス接続

アクセス イ ン ターフ ェ イス接続の実行コ ン フ ィ ギュ レーシ ョ ンの表示

61Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

プ リ ン タのアクセス イ ン ターフ ェ イス

次に、プ リ ン タ のア ク セス イ ン ターフ ェ イ ス情報を表示する例を示し ます。

show running-configuration...Description Printerswitchport hostswitchport access vlan 10switchport port-security maximum 11switchport port-security switchport port-security aging time 2switchport port-security aging type inactivityswitchport port-security violation restrictip arp inspection limit rate 100ip snooping limit rate 100 ip verify sourceswitchport block unicaststorm-control broadcast level pps 1kstorm-control multicast level pps 2kstorm-control action trapipv6 nd raguard attach-policy endhost_ipv6_raguardipv6 guard attach-policy endhost_ipv6__guardauto qos classify police service-policy input AutoQos-4.0-Classify-Police-Input-Policyservice-policy output 2P6Q3T

ア クセス イ ン ターフ ェ イス接続

ア クセス イ ン ターフ ェ イス接続の実行コ ン フ ィ ギュ レーシ ョ ンの表示

62Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

Cisco Systems, Inc.www.cisco.com

有線ネ ッ ト ワークのアクセス制御

こ のワーク フ ローでは、ス イ ッ チ ス タ ッ ク ネ ッ ト ワーク のエ ッ ジでア イデンテ ィ テ ィ に基づ くセキ ュ アなア ク セス制御を提供する ために、IEEE 802.1x ポー ト ベースの認証を導入する際の段階的アプ ローチについて説明し ます。

有線ネ ッ ト ワークのアクセス制御の前提条件 • IEEE 802.1x 認証を グ ローバルに有効にする前に、すべての イ ン ターフ ェ イ スか ら

EtherChannel 設定を削除し ます。

• RADIUS サーバ通信に対する オーセンテ ィ ケータ（ス イ ッ チ）を定義し ます。

• エン ド デバイ ス（サプ リ カン ト ）を正し く 認証する ために、Extensible Authentication Protocol（EAP）over LAN（EAPoL） メ ッ セージング を開始し ます。

• 要件に基づいて、適切な EAP 方式を選択し ます。詳細については、『Wired 802.1x Deployment

Guide』を参照し て く だ さ い。

• 『Certificate Autoenrollment in Windows Server 2003』の説明に従って、サプ リ カ ン ト の証明書の登録プ ロ セス を自動化し ます。

• エン ド ポ イ ン ト （プ リ ン タ など）でのマシン認証を有効に し て、ユーザ ロ グ イ ンがサポー トさ れる よ う に し ます。

有線ネ ッ ト ワークのアクセス制御の制限 • EtherChannel の メ ンバーであ る IEEE 802.1x ポー ト は設定で き ません。

• ス イ ッ チ ド ポー ト アナ ラ イ ザ（SPAN）および リ モー ト SPAN（RSPAN）を使用し て設定さ れた宛先ポー ト で IEEE 802.1x 認証を有効にする こ と はで き ません。

• ト ラ ン ク ポー ト ま たはダ イナ ミ ッ ク ポー ト で IEEE 802.1x ポー ト を有効にする こ と はで きません。ダ イナ ミ ッ ク ポー ト は、ネ イバー と ネゴシエー ト し て、ト ラ ン ク ポー ト にな る こ とがで き ます。

• IEEE 802.1x と と も にポー ト セキ ュ リ テ ィ を使用し ないで く だ さ い。IEEE 802.1x が有効な場合、ポー ト セキ ュ リ テ ィ が重複し、IEEE 802.1x の機能を妨げる可能性があ り ます。

有線ネ ッ ト ワークのア クセス制御

設定値の確認

64Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

設定値の確認中断せずに手順を進める こ と がで き る よ う に、特定のス イ ッ チ設定値を事前に確認し てお く こと をお勧め し ます。表 7 を印刷する こ と をお勧め し ます。ま た、手順に従って設定を進める際に、列 B の値を列 C に記載し た実際の値で置き換えて く だ さ い。

（注） 認証サーバの設定に応じ て、認証ポー ト と アカ ウ ンテ ィ ン グ ポー ト に、それぞれ 1812 と 1813 の値を割 り 当て る こ と がで き ます。

（注） 青色の斜体で示さ れた値の例を実際の値に置き換えて く だ さ い。

（注） 特に断 り のない限 り 、設定例はグ ローバル コ ン フ ィ ギ ュ レーシ ョ ン モー ド で開始されます。

表 7 有線ネ ッ ト ワークのセキュアなアクセス制御の値

A. 値の名前 B. 値の例 C. 実際の値

イ ン ターフ ェ イ ス範囲 GigabitEthernet 1/0/1-1/0/24

RADIUS サーバ AuthServer

RADIUS サーバの IPv4 ア ド レ ス 192.168.254.14

認証ポー ト 1656

Acct ポー ト 1646

RADIUS サーバの暗号キー cisco123

データ VLAN 10

音声 VLAN 11

認証サーバ デ ッ ド VLAN 20

拡張 IP ACL LowImpactSecurity-acl

有線ネ ッ ト ワークのア クセス制御

IEEE 802.1x のセキュアなア クセス制御を使用し た LAN アクセス スイ ッ チの ト ポロジ

65Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

IEEE 802.1x のセキュアなアクセス制御を使用した LAN アクセス スイ ッ チの ト ポロジ

図 9 IEEE 802.1x のセキュアなアクセス制御を使用し た LAN アクセス スイ ッ チの ト ポロジ

有線 LAN 上での 802.1x を使用したアクセスの保護次の タ ス ク を リ ス ト さ れた順序で実行し ます。

• 有線 LAN でセキ ュ リ テ ィ を設定する ための推奨事項

• 共通の有線セキ ュ リ テ ィ ア ク セスのプ ロ ビジ ョ ニン グ

• モニ タ モー ド でのプ ロ ビジ ョ ニン グ

• ロー イ ンパ ク ト モー ド でのプ ロ ビジ ョ ニン グ

• ハイ イ ンパ ク ト モー ド でのプ ロ ビジ ョ ニン グ

有線 LAN でセキュ リ テ ィ を設定するための推奨事項

IEEE 802.1x は、ユーザおよびデバイ スのア イデンテ ィ テ ィ に基づいてネ ッ ト ワーク接続を許可ま たは拒否し ます。IEEE 802.1x は、ユーザ名 と 、ス イ ッ チの IP ア ド レ ス、MAC ア ド レ ス、ポー トと の間の リ ン ク を提供し ます。ま た、エン ド デバイ ス ま たはユーザのア イデンテ ィ テ ィ に基づいてカ ス タ マ イ ズ さ れたネ ッ ト ワーク ア ク セス を提供し ます。

IEEE 802.1x の主な コ ンポーネン ト は次の と お り です。

• サプ リ カン ト （エン ド デバイ ス）

• オーセンテ ィ ケータ（ス イ ッ チ）

• 認証サーバ（RADIUS ま たは ISE）

Desktop userdirect connect

Desktop user

Printer

Catalyst 3850 stack in access

Voice VLAN 11Data VLAN 10

Data VLAN 10

Switch managementVLAN 100

3917

03

Data VLAN 10

AuthenticationServer

有線ネ ッ ト ワークのア クセス制御

有線 LAN 上での 802.1x を使用したア クセスの保護

66Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

有線ス イ ッ チ ネ ッ ト ワークへのセキ ュ アなア ク セス を提供する には、まず、共通の有線セキ ュ リテ ィ 機能をプ ロ ビジ ョ ニン グする こ と をお勧め し ます。IEEE 802.1x 認証 と MAC 認証バイパス（MAB）の段階的な導入（モニ タ モー ド か ら高セキ ュ リ テ ィ モー ド へ）に よ り 、セキ ュ リ テ ィ の各モー ド をプ ロ ビジ ョ ニン グ し ます。MAC 認証バイパス（MAB）は、エン ド デバイ ス（サプ リ カ ント ）の MAC ア ド レ ス を使用し てア ク セ スに関する決定を行 う 機能です。

（注） 段階的導入の各フ ェーズは、時間をかけてネ ッ ト ワーク が次のセキ ュ リ テ ィ モー ド への遷移の準備がで き た こ と を確認し た後、実施し ます。

表 8 に、ネ ッ ト ワーク ア ク セ スの影響が限定的な IEEE 802.1x の推奨される導入シナ リ オの説明を示し ます。モニ タ モー ド 中にネ ッ ト ワーク イ ン フ ラ ス ト ラ ク チャ をテ ス ト し ます。問題がない こ と を確認し た ら、ロー イ ンパ ク ト モー ド に遷移し、一部のネ ッ ト ワーク ト ラ フ ィ ッ ク がパス スルーで き る よ う に し ます。 後に、すべてのエン ド デバイ スか ら の認証を必要 と する高セキ ュ リ テ ィ モー ド に遷移し ます。

参照先

有線モー ド の導入の詳細については、『TrustSec Phased Deployment Configuration Guide』を参照して く だ さ い。

IEEE 802.1x プ ロ ト コルの詳細については、『Wired 802.1X Deployment Guide』の「8021X Protocols」の項を参照し て く だ さ い。

表 8 IEEE 802.1x 導入モー ド

モニ タ モー ド ロー イ ンパク ト モー ド高セキュ リ テ ィ モー ド（ク ローズ モー ド ）

• 許可さ れていないサプリ カ ン ト の場合はオープン ア ク セス。

• 許可さ れていないサプ リカ ン ト の場合は制限付きア ク セス。

• 許可されていないサプ リ カン ト の場合はア ク セスな し。

• 広範囲にわた る ネ ッ トワーク可視性。

• ダ イナ ミ ッ ク ACL を使用し た差別化さ れたア ク セス制御。

• サプ リ カ ン ト への大き な影響。

• ネ ッ ト ワーク のモニ タ。 • エン ド デバイ スへの限定的な影響。

• エン ド デバイ スへの影響な し。

有線ネ ッ ト ワークのア クセス制御

有線 LAN 上での 802.1x を使用し たア クセスの保護

67Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

共通の有線セキュ リ テ ィ アクセスのプロビジ ョ ニング

IEEE 802.1x ポー ト のホ ス ト モー ド では、ポー ト 上で複数の ク ラ イ アン ト が認証可能かど う かが判断さ れ、認証の実行方法が決定さ れます。

特に明記し ない限 り 、セキ ュ リ テ ィ 強化のために、単一ホ ス ト モー ド ではな く 、複数認証モー ドを設定する こ と をお勧め し ます。

• 複数認証モー ド は、単一のス イ ッ チ ポー ト を介し てネ ッ ト ワーク にア ク セスするすべてのデバイ ス（た と えば、IP フ ォ ン を介し て接続さ れるデバイ ス など）を認証し ます。

• 複数認証モー ド は、ネ ッ ト ワークへのア ク セス を試みるすべてのデバイ ス を認証する ため、複数ホ ス ト モー ド （こ のモー ド も複数のデータ デバイ ス を許可し ます）よ り も安全です。

ステ ッ プ 1 ス イ ッ チ上で show run コ マン ド を実行し て、ア ク セス イ ン ターフ ェ イ ス接続がセ ッ ト ア ッ プ されている こ と を確認し ます。

次に、IP フ ォ ンに接続さ れた イ ン ターフ ェ イ スに対し て「ア ク セス イ ン ターフ ェ イ ス接続」ワーク フ ロー設定を実行し た後に得られる出力を示し ます。

表 9 IEEE 802.1x ポー ト のホス ト モー ドのタ イプ

単一ホス ト 複数ホス ト マルチ ド メ イ ン 複数認証

IEEE 802.1x が有効化された ス イ ッ チ ポー ト に対し て 1 つのエン ド デバイ スのみ許可し ます。

初の MAC ア ド レ スを認証し た後、他の MAC ア ド レ スは無制限に許可し ます。

ポー ト 上で 2 つのエン ド ポ イ ン ト（データ エン ド ポ イン ト と 音声エン ドポ イ ン ト をそれぞれ 1 つずつ）を許可し ます。

音声エン ド デバイ スは 1 つし か許可し ませんが、データ エンド デバイ スは複数許可し ます。こ のモードでは、すべてのデバイ スが認証されます。

有線ネ ッ ト ワークのア クセス制御

有線 LAN 上での 802.1x を使用したア クセスの保護

68Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

ステ ッ プ 2 （オプシ ョ ン）過度に長い タ イ ムア ウ ト が確認さ れた場合、IEEE 802.1x タ イ マー と 変数を微調整し ます。タ イ マー と 変数は、ス イ ッ チの IEEE 802.1x オーセンテ ィ ケータ プ ロ セス を制御する ために重要です。

IEEE 802.1x タ イ マーおよび変数のデフ ォル ト 設定は、必要な場合以外は変更し ない こ と をお勧め し ます。

イ ン ターフ ェ イ ス コ ン フ ィ ギ ュ レーシ ョ ン モー ド で開始し ます。

ステ ッ プ 3 適切な イ ン ターフ ェ イ スに タ イ マーを設定し ます。

エン ド デバイ スの機能が認証中に停止する と 、こ れら の タ イ マー と 変数に よ り IEEE 802.1x オーセンテ ィ ケータ の動作が制御さ れます。

イ ン ターフ ェ イ ス コ ン フ ィ ギ ュ レーシ ョ ン モー ド で開始し ます。

Switch#show running-config int Te3/0/12Building configuration... Current configuration : 766 bytes!interface TenGigabitEthernet3/0/12switchport mode accessswitchport block unicastswitchport voice vlan 2switchport port-security maximum 3switchport port-security maximum 2 vlan accessswitchport port-security violation restrictswitchport port-security aging time 1switchport port-security aging type inactivityswitchport port-securityload-interval 30trust device cisco-phonestorm-control broadcast level pps 1kstorm-control multicast level pps 2kstorm-control action trapauto qos voip cisco-phone macro description CISCO_PHONE_EVENTspanning-tree portfastspanning-tree bpduguard enableservice-policy input AutoQos-4.0-CiscoPhone-Input-Policyservice-policy output AutoQos-4.0-Output-Policyip dhcp snooping limit rate 15end

dot1x timeout tx-period 30 dot1x max-reauth-req 2 authentication timer restart 60 dot1x timeout quiet-period 60

dot1x timeout supp-timeout 30 dot1x max-req 2

有線ネ ッ ト ワークのア クセス制御

有線 LAN 上での 802.1x を使用し たア クセスの保護

69Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

参照先

IEEE 802.1x タ イ マー と 変数の詳細については、『Wired 802.1x Deployment Guide』を参照し て く ださ い。

ステ ッ プ 4 IEEE 802.1x 認証をサポー ト し ないサプ リ カ ン ト を認証する よ う に、イ ン ターフ ェ イ ス コ ン フ ィギ ュ レーシ ョ ン モー ド で MAC 認証バイパス（MAB）を有効化し ます。

MAB を有効にする と 、ス イ ッ チは ア イデンテ ィ テ ィ と し てデバイ スの MAC ア ド レ ス を使用します。認証には、ネ ッ ト ワーク ア ク セス を許可さ れた MAC ア ド レ スのデータベースが使用さ れます。

802.1x 非対応デバイ ス をサポー ト する ため MAB を設定する こ と をお勧め し ます。MAB は、ACL に よ る ア ク セス制限が原因でエン ド デバイ スが IEEE 802.1x 認証に失敗し た と き の代替認証方式 と し て も使用さ れます。

イ ン ターフ ェ イ ス コ ン フ ィ ギ ュ レーシ ョ ン モー ド で開始し ます。

ステ ッ プ 5 該当する イ ン ターフ ェ イ スに IEEE 802.1x を設定し ます。

ポー ト で IEEE 802.1x パ ラ メ ータ を設定する と 、dot1x オーセンテ ィ ケータ がポー ト 上に自動的に作成さ れます。その場合、dot1x 認証がレガシー構成で機能する よ う に、dot1x pae authenticator コ マン ド も設定する必要があ り ます。

イ ン ターフ ェ イ ス コ ン フ ィ ギ ュ レーシ ョ ン モー ド で開始し ます。

ステ ッ プ 6 ア ク セス制御 と IEEE 802.1x 認証を有効に し ます。

グ ローバル コ ン フ ィ ギ ュ レーシ ョ ン モー ド で開始し ます。

ステ ッ プ 7 RADIUS サーバは、認証およびアカ ウ ンテ ィ ング サーバの IP ア ド レ ス、UDP ポー ト 、およびサーバの暗号キーを使用し て設定し ます。

mab

authentication port-control auto dot1x pae authenticator

!Enable new access control!aaa new-model!!Set authentication list for 802.1x!aaa authentication dot1x default group radius!!Enable 802.1x authentication!dot1x system-auth-control

radius server AuthServeraddress ipv4 192.168.254.14 auth-port 1656 acct-port 1646key cisco123

有線ネ ッ ト ワークのア クセス制御

有線 LAN 上での 802.1x を使用したア クセスの保護

70Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

モニ タ モー ド でのプロビジ ョ ニング

モニ タ モー ド は、ス イ ッ チ（オーセンテ ィ ケータ）へのエン ド デバイ ス（サプ リ カン ト ）のア ク セスに影響を与えずに、IEEE 802.1x 認証を有効化し ます。こ のモー ド では、ネ ッ ト ワーク に接続されたすべてのデバイ スについて、次の種類のデータ を継続的に収集する こ と がで き ます。

• IEEE 802.1x 対応デバイ スの リ ス ト

• IEEE 802.1x に対応し ていないデバイ スの リ ス ト

• 適切な ク レデンシ ャルを持つデバイ ス

• 不適切な ク レデンシ ャルを持つデバイ ス

• 有効な MAC ア ド レ スの リ ス ト （MAB 用）

• 認識で き ないか無効な MAC ア ド レ スの リ ス ト （MAB 用）

IEEE 802.1x を使用し てセキ ュ アなア ク セス を提供する ための第 1 フ ェーズのアプ ローチ と して、モニ タ モー ド を推奨し ます。こ のモー ド ではエン ド デバイ ス と ユーザ（サプ リ カン ト ）を認証し ますが、認証に失敗し て も ト ラ フ ィ ッ ク は影響を受け ません。

モニ タ モー ド では、IEEE 802.1x および MAB が有効ですが、すべてのユーザにア ク セスが許可されます。

ステ ッ プ 8 制御ポー ト にホ ス ト がア ク セスで き る よ う にする には、複数認証ホ ス ト モー ド およびオープン認証を設定し ます。

ステ ッ プ 9 ポー ト セキ ュ リ テ ィ 機能を無効に し ます。IEEE 802.1x が有効な場合、ポー ト セキ ュ リ テ ィ が重複し、IEEE 802.1x 機能を妨げる可能性があ る ためです。

イ ン ターフ ェ イ ス コ ン フ ィ ギ ュ レーシ ョ ン モー ド で開始し ます。

ロー インパク ト モー ド でのプロビジ ョ ニング

ネ ッ ト ワーク のセキ ュ リ テ ィ 確保のための次の導入フ ェーズは、ロー イ ンパ ク ト モー ド でのプロ ビジ ョ ニン グです。こ のモー ド では、認証済みユーザに差別化されたネ ッ ト ワーク ア ク セス を許可する と同時に、すべてのユーザが基本的なネ ッ ト ワーク サービ ス を使用でき る よ う にし ます。

（注） IEEE 802.1x ポー ト での複数認証モー ド の設定の詳細については、「共通の有線セキ ュ リ テ ィ アク セスのプ ロ ビジ ョ ニン グ」を参照し て く だ さ い。

authentication host-mode multi-authauthentication open

no switchport port-security no switchport port-security violation no switchport port-security aging type no switchport port-security aging time no switchport port-security maximum

有線ネ ッ ト ワークのア クセス制御

有線 LAN 上での 802.1x を使用し たア クセスの保護

71Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

ネ ッ ト ワーク ア ク セスの初期設定への影響を 小化し、ロー イ ンパ ク ト モー ド のプ ロ ビジ ョ ニン グに よ り 、認証済みユーザに差別化さ れたネ ッ ト ワーク ア ク セス を許可し ます。ロー イ ンパク ト モー ド では、認証はオープン認証であ り 、ネ ッ ト ワーク ア ク セスは制限が緩和されたポート ACL を使用し て行われます。認証後に、エン ド デバイ スへの完全なネ ッ ト ワーク ア ク セス を許可する ために dACL が使用さ れます。

ステ ッ プ 10 許可さ れたユーザが認証さ れた後、無許可のユーザが イ ン ターフ ェ イ スにア ク セス し ない よ うマルチ ド メ イ ン モー ド を設定し ます。

ステ ッ プ 11 基本的なネ ッ ト ワーク ア ク セス を許可する ためのス タ テ ィ ッ ク ACL を追加し ます。

設定用ア ク セスおよび Configured Trust List（CTL：設定さ れた信頼 リ ス ト ）を許可する制限さ れたポー ト ACL を設定し ます。

グ ローバル コ ン フ ィ ギ ュ レーシ ョ ン モー ド で開始し ます。

ハイ インパク ト モー ド でのプロビジ ョ ニング 有線ネ ッ ト ワーク のセキ ュ リ テ ィ 確保の 終導入フ ェーズは、ハイ イ ンパ ク ト モー ド です。

こ のフ ェーズでは、ロー イ ンパ ク ト モー ド よ り 高度なセキ ュ リ テ ィ を提供し、差別化されたアク セス を可能にする ためのダ イナ ミ ッ ク VLAN を使用し てデフ ォル ト の IEEE 802.1x 認証モード を設定する こ と で、ネ ッ ト ワーク ポー ト 上で厳密なア ク セス制御をプ ロ ビジ ョ ニン グ し ます。

ステ ッ プ 12 複数認証ホ ス ト モー ド およびオープン認証を設定し ます。

ステ ッ プ 13 こ の導入フ ェーズでは RADIUS を無効に し ます。

ハイ イ ンパ ク ト モー ド では、認証に失敗し たデバイ ス と ユーザはネ ッ ト ワーク にア ク セスで きません。モニ タ モー ド と ロー イ ンパ ク ト モー ド で、認証に失敗し たデバイ スおよびユーザ アカウ ン ト を特定し、認証の問題を解決する こ と をお勧め し ます。エン ド デバイ ス（ネ ッ ト ワーク アク セスが必要）の認証は成功し、ア ク セスが不要なデバイ ス と ユーザの認証は失敗する こ と が確認で き た段階で、ハイ イ ンパ ク ト モー ド に移行し ます。

グ ローバル コ ン フ ィ ギ ュ レーシ ョ ン モー ド で開始し ます。

authentication host-mode multi-domain

ip access-list extended LowImpactSecurity-acl permit tcp any any established permit udp any any eq bootps permit udp any any eq tftp permit udp any any eq domain exitinterface GigabitEthernet1/0/1 ip access-group LowImpactSecurity-acl in

authentication host-mode multi-authauthentication open

有線ネ ッ ト ワークのア クセス制御

有線 LAN 上での 802.1x を使用したア クセスの保護

72Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

ステ ッ プ 14 認証サーバが使用で き ない状況に対応する ために、ク リ テ ィ カル VLAN 割 り 当てを行います。

次の コ マン ド は、RADIUS サーバが使用で き ない場合に、新規および既存の両方のホ ス ト を ク リテ ィ カル VLAN に送信する よ う ポー ト を設定する際に使用し ます。マルチ認証（multiauth）モード のポー ト の場合、ま たはポー ト の音声 ド メ イ ンが MDA モー ド であ る場合に、こ の コ マン ド を使用し ます。

ステ ッ プ 15 認証サーバが応答し ない場合、音声を許可し ます。

interface GigabitEthernet 1/0/1-1/0/24 no authentication open

authentication event server dead action authorize vlan 20

authentication dead action authorize voice

有線ネ ッ ト ワークのア クセス制御

プロビジ ョ ニング モー ドの実行コ ン フ ィ ギュ レーシ ョ ンの表示

73Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

プロビジ ョ ニング モー ドの実行コ ン フ ィ ギュ レーシ ョ ンの表示

ステ ッ プ 1 show running-configuration コ マン ド を入力し て、ス イ ッ チのプ ロ ビジ ョ ニング モー ド を表示します。

図 10 モニ タ モー ドのプロビジ ョ ニングに対する show running-configuration コ マン ド

show running-configuration

hostname 3850-access-Bld1Flr1!!aaa new-model!aaa authentication dot1x default group radius!ip device tracking!!dot1x system-auth-control!!interface GigabitEthernet1/0/1 switchport access vlan 10 switchport mode accessswitchport block unicast switchport voice vlan 11 ip arp inspection limit rate 100 trust device cisco-phone authentication host-mode multi-auth authentication open authentication port-control auto mab dot1x pae authenticator storm-control broadcast level pps 1k storm-control multicast level pps 2k storm-control action trap Ipv6 nd raguard attach-policy endhost_ipv6_raguard Ipv6 guard attach-policy endhost_ipv6__guard auto qos voip cisco-phone service-policy input AutoQos-4.0-CiscoPhone-Input-Policy service-policy output AutoQos-4.0-Output-Policy ip verify source ip snooping limit rate 100!!radius server AuthServer address ipv4 192.168.254.14 auth-port 1645 acct-port 1646 key cisco123!

有線ネ ッ ト ワークのア クセス制御

プロビジ ョ ニング モー ドの実行コ ン フ ィ ギュ レーシ ョ ンの表示

74Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

図 11 ロー イ ンパク ト モー ドのプロビジ ョ ニングに対する show running-configuration コマン ド

show running-configuration

hostname 3850-access-Bld1Flr1!!aaa new-model!aaa authentication dot1x default group radius!ip device tracking!!dot1x system-auth-control!!aaa session-id commoninterface GigabitEthernet1/0/1 switchport access vlan 10 switchport mode accessswitchport block unicast switchport voice vlan 11 ip arp inspection limit rate 100 trust device cisco-phone ip access-group LowImpactSecurity-acl in authentication event fail action next-method authentication host-mode multi-domain authentication open authentication port-control auto mab dot1x pae authenticatorstorm-control broadcast level pps 1k storm-control multicast level pps 2k storm-control action trap Ipv6 nd raguard attach-policy endhost_ipv6_raguard Ipv6 guard attach-policy endhost_ipv6__guard auto qos voip cisco-phone service-policy input AutoQos-4.0-CiscoPhone-Input-Policy service-policy output AutoQos-4.0-Output-Policy ip verify source ip snooping limit rate 100!! ip access-group LowImpactSecurity-acl in permit tcp any any established permit udp any any eq bootps permit udp any any eq tftp permit udp any any eq domain!radius server AuthServer address ipv4 192.168.254.14 auth-port 1645 acct-port 1646 key cisco123

有線ネ ッ ト ワークのア クセス制御

プロビジ ョ ニング モー ドの実行コ ン フ ィ ギュ レーシ ョ ンの表示

75Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

図 12 ハイ イ ンパク ト モー ドのプロビジ ョ ニングに対する show running-configuration コマン ド

show running-configuration

hostname 3850-access-Bld1Flr1!!aaa new-model!aaa authentication dot1x default group radius!ip device tracking!!dot1x system-auth-control!!aaa session-id commoninterface GigabitEthernet1/0/1 switchport access vlan 10 switchport mode accessswitchport block unicast switchport voice vlan 11 ip arp inspection limit rate 100 trust device cisco-phone authentication event server dead action authorize vlan 20 authentication event server dead action authorize voice authentication host-mode multi-auth authentication port-control auto mab dot1x pae authenticator storm-control broadcast level pps 1k storm-control multicast level pps 2k storm-control action trap Ipv6 nd raguard attach-policy endhost_ipv6_raguard Ipv6 guard attach-policy endhost_ipv6__guard auto qos voip cisco-phone service-policy input AutoQos-4.0-CiscoPhone-Input-Policy service-policy output AutoQos-4.0-Output-Policy ip verify source ip snooping limit rate 100!!radius server AuthServer address ipv4 192.168.254.14 auth-port 1645 acct-port 1646 key cisco123

有線ネ ッ ト ワークのア クセス制御

IEEE 802.1x のステータ ス と統計情報のモニ タ リ ング

76Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

IEEE 802.1x のステータ ス と統計情報のモニ タ リ ング

ステ ッ プ 1 show dot1x statistics コ マン ド を使用し て、ス イ ッ チ関連およびポー ト 関連の IEEE 802.1x 統計情報を表示し ます。

エ ラーを検出する には、デフ ォル ト で有効になっている dot1x 冗長 メ ッ セージを フ ィ ルタ処理します。

ステ ッ プ 2 show dot1x interface statistics コ マン ド を使用し て、特定のポー ト の IEEE 802.1x 統計情報を表示し ます。

show dot1x statistics

Dot1x Global Statistics for--------------------------------------------RxStart = 7 RxLogoff = 0 RxResp = 0 RxRespID = 8RxReq = 0 RxInvalid = 0 RxLenErr = 0RxTotal = 29

TxStart = 0 TxLogoff = 0 TxResp = 0TxReq = 0 ReTxReq = 0 ReTxReqFail = 0TxReqID = 8 ReTxReqID = 0 ReTxReqIDFail = 0TxTotal = 8

show dot1x interface g1/0/1 statistics

Dot1x Authenticator Port Statistics for GigabitEthernet1/0/1--------------------------------------------RxStart = 10 RxLogoff = 0 RxResp = 0 RxRespID = 10RxInvalid = 0 RxLenErr = 0 RxTotal = 37

TxReq = 0 TxReqID = 11 TxTotal = 11

RxVersion = 1 LastRxSrcMAC = 0023.33db.e970

有線ネ ッ ト ワークのア クセス制御

IEEE 802.1x のステータ ス と統計情報のモニ タ リ ング

77Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

ステ ッ プ 3 show dot1x all コ マン ド を使用し て、ス イ ッ チの IEEE 802.1x 管理ス テータ スおよび動作ス テータ ス を表示し ます。

.

ステ ッ プ 4 show dot1x interface コ マン ド を使用し て、特定のポー ト の IEEE 802.1x 管理ス テータ スおよび動作ス テータ ス を表示し ます。

.

show dot1x all

Sysauthcontrol EnabledDot1x Protocol Version 3

Dot1x Info for GigabitEthernet1/0/1-----------------------------------PAE = AUTHENTICATORQuietPeriod = 60ServerTimeout = 0SuppTimeout = 30ReAuthMax = 2MaxReq = 2TxPeriod = 30

show dot1x interface g1/0/1

Dot1x Info for GigabitEthernet1/0/1-----------------------------------PAE = AUTHENTICATORQuietPeriod = 60ServerTimeout = 0SuppTimeout = 30ReAuthMax = 2MaxReq = 2TxPeriod = 30

有線ネ ッ ト ワークのア クセス制御

IEEE 802.1x のステータ ス と統計情報のモニ タ リ ング

78Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

Cisco Systems, Inc.www.cisco.com

有線およびワイヤレスのコ ンバージ ド アクセス

こ のワーク フ ローでは、ス イ ッ チの コ ンバージ ド ア ク セス機能を有効にする方法を説明する とと も に、ス イ ッ チが小規模ブ ラ ンチ導入内のワ イ ヤレ ス モビ リ テ ィ コ ン ト ローラ（MC）およびワ イ ヤレ ス モビ リ テ ィ アン カー（MA） と し てどの よ う に動作する かについて説明し ます。

同じ プ ラ ッ ト フ ォーム内で有効化さ れた有線およびワ イ ヤレ ス機能は、コ ンバージ ド ア ク セスと 呼ばれます。有線およびワ イ ヤレ スの機能が単一の Cisco IOS ソ フ ト ウ ェ ア イ メ ージに統合されている ため、ネ ッ ト ワーク内でそれら の機能を有効にする前に、ユーザが認定および認証し なければな ら ない ソ フ ト ウ ェ ア イ メ ージの数を削減で き ます。

コ ンバージ ド ア ク セスに よ り 、ネ ッ ト ワーク全体のワ イ ヤレ ス帯域幅が改善され、ワ イ ヤレ スの導入規模が拡大さ れます。た と えば、48 ポー ト の Catalyst 3850 ス イ ッ チは、40 Gbps のワ イ ヤレ ス スループ ッ ト を提供し ます。こ のワ イ ヤレ ス容量は、ス タ ッ ク内の メ ンバー数 と と も に増加し ます。こ れに よ り 、IEEE 802.11n ベースのア ク セ ス ポ イ ン ト に よ る現在のワ イ ヤレ ス帯域幅要件、および IEEE 802.11ac などの将来のワ イ ヤレ ス標準規格に も対応し たネ ッ ト ワークへ拡張で きます。

前提条件ワ イ ヤレ スの設定手順を進める前に、次の タ ス ク を実行し ます。

• ス イ ッ チ ス タ ッ ク はス テー ト フル ス イ ッ チオーバー（SSO）モー ド で動作する必要があ ります。

• 「ア ク セス イ ン ターフ ェ イ ス接続」ワーク フ ローの説明に従って、イ ン ターフ ェ イ スの設定を完了し ます。

• Lightweight ア ク セス ポ イ ン ト を使用し ます。

• 「グ ローバル シ ス テム設定」ワーク フ ローの説明に従って、NTP を設定し、動作可能な状態になっている必要があ り ます。

• ワ イ ヤレ ス サ イ ト 調査が完了し ている必要があ り ます。サ イ ト 調査に よ り 、 適なカバレ ッジを提供する ためのワ イ ヤレ ス ア ク セス ポ イ ン ト の適切な配置を確認し ます。サ イ ト 調査のプ ロ セスおよび使用する ツールの詳細については、『Wireless Site Survey FAQ』を参照し てく だ さ い。

• QoS のワーク フ ローを実行し ます。

有線およびワイヤレスのコ ンバージ ド アクセス

機能制限

80Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

機能制限 • AP-Count ラ イ セン スは、IP Base ラ イ セン スおよび IP Services ラ イ セン スでのみサポー ト さ

れます。『Cisco Catalyst 3850 Switch Right-to-Use Licensing Model』を参照し て く だ さ い。

• Catalyst 3850 ス イ ッ チ ス タ ッ ク は 大 50 個のア ク セス ポ イ ン ト をサポー ト で き ます。

• Cisco Catalyst 3650 ス タ ッ ク は 大 25 個のア ク セス ポ イ ン ト をサポー ト で き ます。

• WLAN は ク ラ イ アン ト VLAN 0 を使用で き ません。

設定値の確認中断せずに こ のセ ク シ ョ ンの手順を進める こ と がで き る よ う に、特定のス イ ッ チ設定値を事前に確認し てお く こ と をお勧め し ます。手順に従って設定を進める際に、列 B の値を列 C に記載した実際の値で置き換えて く だ さ い。

（注） こ のワーク フ ローでは、ア ク セス ポ イ ン ト 用の VLAN と ワ イ ヤレ ス ク ラ イ アン ト 用の VLAN を含む 2 つの別々の IP サブネ ッ ト を使用し ます。ア ク セス ポ イ ン ト は VLAN 12 にあ り 、IP サブネ ッ ト 192.168.12.x を使用し ます。ワ イ ヤレ ス ク ラ イ アン ト は VLAN 200 にあ り 、IP サブネ ッ ト 192.168.13.x を使用し ます。

（注） 設定例では、青色の斜体で示さ れた値の例を実際の値に置き換えて く だ さ い。

表 10 ワイヤレス LAN コ ン ト ローラの値

A. 値の名前 B. 値の例 C. 実際の値

ア ク セス ポ イ ン ト カ ウ ン ト ライ セン スおよびス ロ ッ ト の数

10/1•15/2

管理 VLAN wireless-management-vlan

管理 VLAN ア ク セス ポ イ ン トおよび説明

Wireless VLAN

Wireless Management VLAN Interface

ア ク セス ポ イ ン ト を管理する VLAN イ ン ターフ ェ イ スの IP ア ド レ ス

192.168.12.2 255.255.255.0

ア ク セス ポ イ ン ト プール APVlan10-Pool

ア ク セス ポ イ ン ト ク ラ イ アント プール

192.168.12.0 255.255.255.0

ク ラ イ アン ト 用のデフ ォル ト ルータ

10.1.1.1

除外ア ド レ ス 192.168.12.1

ワ イ ヤレ ス管理イ ン ターフ ェイ ス

vlan12

ア ク セス イ ン ターフ ェ イ ス GigabitEthernet1/0/3

有線およびワイヤレスのコ ンバージ ド アクセス

ワイヤレス接続を使用し た LAN アクセス スイ ッ チの ト ポロジ

81Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

（注） 特に断 り のない限 り 、設定例はグ ローバル コ ン フ ィ ギ ュ レーシ ョ ン モー ド で開始さ れます。

ワイヤレス接続を使用した LAN アクセス スイ ッ チのト ポロジ

こ の ト ポ ロ ジは、複数のルータ に接続さ れた ス イ ッ チ ス タ ッ ク を示し ています。コ ンバージ ド ア ク セスの も一般的な導入シナ リ オはブ ラ ンチへの適用ですが、こ のワーク フ ローはキ ャ ンパス環境に も適用さ れます。

ス イ ッ チはス タ ッ ク構成に さ れ、MA と MC の両方 と し て機能し ます。単一ス タ ッ ク コ ンバージド ア ク セスの導入では、 大 50 個の直接接続さ れたア ク セス ポ イ ン ト をサポー ト で き ます。コンバージ ド ア ク セスでは、少な く と も 1 つの Lightweight ア ク セス ポ イ ン ト が必要です。1 つのス イ ッ チ ス タ ッ ク で 大 50 個のア ク セ ス ポ イ ン ト をサポー ト で き ます。

信頼性を確保する ためにア ク セス ポ イ ン ト を ス タ ッ ク全体に均等に分散する こ と をお勧め し ます。こ れに よ り 、ス イ ッ チオーバーの発生時に、メ ンバー ス イ ッ チま たはス タ ンバイ ス イ ッ チに接続さ れたア ク セス ポ イ ン ト への接続が失われる こ と を防止で き ます。

説明 Lightweight Access Point

ク ラ イ アン ト VLAN 用の WLAN イ ン ターフ ェ イ ス

200

WLAN のプ ロ フ ァ イル と ID Wireless_Client

ワ イ ヤレ ス ク ラ イ アン ト VLAN の IP ア ド レ ス

192.168.13.2 255.255.254.0

Easy-RADIUS 用の WLAN および ID

OPEN_WLAN 1 open_wlan

RADIUS サーバ AuthServer

RADIUS 用の IPv4 ア ド レ ス 192.168.254.14

認証ポー ト 1645

Acct ポー ト 1646

AAA グループ RADIUS-GROUP

RADIUS サーバのデ ッ ド 基準時間/試行数

10/3

RADIUS サーバのデッ ド タ イ ム 1

WPA2 および IEEE 802.1x が有効な WLAN

Secure_WLAN1 CISCO_WLAN

入力サービ ス ポ リ シー wlan-Guest-Client-Input-Policy

出力サービ ス ポ リ シー wlan-Guest-SSID-Output-Policy

表 10 ワイヤレス LAN コ ン ト ローラの値（続き）

A. 値の名前 B. 値の例 C. 実際の値

有線およびワイヤレスのコ ンバージ ド アクセス

ワイヤレス コ ン ト ローラ と し てのスイ ッ チの有効化

82Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

図 13 ワイヤレス接続を使用し た LAN アクセス スイ ッ チの ト ポロジ

ワイヤレス コ ン ト ローラ と し てのスイ ッ チの有効化 • ス イ ッ チでのア ク セス ポ イ ン ト ラ イ セン スの イ ン ス ト ール

• ワ イ ヤレ ス管理 VLAN の設定

• サービ ス接続の設定

• ワ イ ヤレ ス コ ン ト ローラ機能の有効化

• モビ リ テ ィ コ ン ト ローラ モー ド で実行する ス イ ッ チの変更

• ア ク セス ポ イ ン ト 接続の有効化

スイ ッ チでのアクセス ポイン ト ラ イセンスのインス ト ール

すぐにご利用いだけ る よ う に、評価ラ イ セン スがス イ ッ チにプ リ イ ン ス ト ール されています。ただ し、90 日間の有効期限が切れる前にエン ド ユーザ ラ イ セン ス契約（EULA）に同意する必要があ り ます。

IP Base および IP Services の イ メ ージ ベース ラ イ セン スは、ワ イ ヤレ ス機能をサポー ト し ています。IP Base はワ イ ヤレ ス機能の 小の ラ イ セン ス レベルです。

ス イ ッ チ ス タ ッ ク の AP-Count ラ イ セン スの総数は、 大 50 AP-Count ラ イ セン ス までで、すべての個別 メ ンバーの AP-Count ラ イ セン スの合計 と 等し く な り ます。

ス タ ッ ク の AP-Count ラ イ セン スの総数は、ス タ ッ ク メ ンバーが追加ま たは取 り 除かれた と き に影響を受け ます。

• 新し い メ ンバーが既存の AP-Count ラ イ セン ス を持つス タ ッ ク に追加さ れる と 、ス イ ッ チ スタ ッ ク の使用可能な AP-Count ラ イ セン ス総数は自動的に再計算さ れます。

• メ ンバーがス タ ッ ク か ら取 り 除かれる と 、AP-Count ラ イ セン スの合計はス タ ッ ク の使用可能な AP-Count ラ イ セン ス総数か ら減算さ れます。

Dual redundantrouters running HSRP

Desktop userdirect connect

Desktop userbehind IP phone

Printer

Wireless access

Catalyst 3850 stack in access DHCP Server ISE

Voice VLAN 11Data VLAN 10

Data VLAN 10

Data VLAN 10

Switch managementVLAN 100

Access point VLAN 12

3917

01

Trunk linkNative VLAN 999All VLANs included

有線およびワイヤレスのコ ンバージ ド アクセス

ワイヤレス コ ン ト ローラ と し てのスイ ッ チの有効化

83Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

• 承認さ れた AP-Count ラ イ セン スの総数よ り 多いア ク セス ポ イ ン ト が接続さ れる と 、syslog 警告 メ ッ セージが送信さ れます。こ の場合、ス タ ッ ク が リ ロー ド される までは、新し く 接続されたア ク セス ポ イ ン ト は切断さ れません。

• ス タ ッ ク の リ ロー ド 後に、新し く 接続さ れたア ク セス ポ イ ン ト が合計のア ク セス ポ イ ン トか ら削除さ れます。

EULA に同意する と 、永続 RTU ラ イ セン ス を有効にで き ます。EULA は、永続ラ イ セン ス を購入し た こ と を前提 と し ています。Adder AP-Count タ イ プの ラ イ セン ス を使用し て、ア ク セス ポ イ ント の ラ イ セン ス を有効化し ます。Adder AP-Count ラ イ セン スは、「増えた分を追加する」ラ イ センスです。ネ ッ ト ワーク の成長に応じ てア ク セス ポ イ ン ト ラ イ セン ス を追加で き ます。Adder AP-Count ラ イ セン スは EXEC コ マン ド で有効化し、ス イ ッ チを リ ロー ド する こ と な く ア ク テ ィブ化さ れます。

ステ ッ プ 1 永続ア ク セス ポ イ ン ト ラ イ セン ス を有効化し、EULA に同意し ます。

ア ク セス ポ イ ン ト ラ イ セン スは、永続ラ イ セン ス ま たは評価目的ラ イ セン ス と し て設定されます。操作の中断を避け る ために、ス イ ッ チは、評価ラ イ セン スの有効期限が切れて も ラ イ セン スを変更し ません。評価ラ イ セン スの期限が も う すぐ切れる こ と を示す警告が表示された ら、評価ラ イ セン ス を無効に し て、永続ラ イ セン ス を購入する必要があ り ます。

タ イ ミ ン グが悪い と き に有効期限が切れる事態を避け る ために、永続ラ イ セン ス を購入し て有効化し、EULA に同意する こ と をお勧め し ます。

次の例では、メ ンバー 1 で 10 個のア ク セス ポ イ ン ト ラ イ セン ス を、メ ンバー 2 で 15 個のア ク セス ポ イ ン ト ラ イ セン ス を有効化し ます。

RTU ラ イ セン スの詳細については、『System Management Configuration Guide, Cisco IOS SE

Release 3E』の「Configuring Right-To-Use Licenses」の章を参照し て く だ さ い。

AP-Count ラ イセンスのインス ト ールの確認

ステ ッ プ 2 ス イ ッ チ上のア ク セス ポ イ ン ト ラ イ セン スの割 り 当てを確認し ます。

次の例は、ス タ ッ ク内の 2 つの メ ンバーを示し ています。

license right-to-use activate apcount 10 slot 1 acceptEULAlicense right-to-use activate apcount 15 slot 2 acceptEULA

show license right-to-use

Slot# License name Type Count Period left----------------------------------------------------------1 ipbase permanent N/A Lifetime1 lanbase permanent N/A Lifetime1 apcount adder 10 LifetimeLicense Level on Reboot: ipbase Slot# License name Type Count Period left----------------------------------------------------------2 ipbase permanent N/A Lifetime2 lanbase permanent N/A Lifetime2 apcount adder 15 LifetimeLicense Level on Reboot: ipbase

有線およびワイヤレスのコ ンバージ ド アクセス

ワイヤレス コ ン ト ローラ と し てのスイ ッ チの有効化

84Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

ステ ッ プ 3 RTU ラ イ セン スの要約についての詳細を確認し ます。

次の例は、ス イ ッ チの リ ブー ト 時に永続 IP Services ラ イ セン スが イ ン ス ト ール さ れて使用可能にな り 、5 つの AP-Count ラ イ セン スが使用さ れてい る こ と を示し ています。

ワイヤレス管理 VLAN の設定

ステ ッ プ 4 VLAN および SVI を設定し て IP ア ド レ ス を割 り 当て ます。

ワ イ ヤレ ス管理 VLAN は、ア ク セス ポ イ ン ト CAPWAP およびその他の CAWAP モビ リ テ ィ トンネルに使用さ れます。ワ イ ヤレ ス管理 VLAN の作成は必須です。まず、ハー ド ウ ェ アで VLAN を設定し、次に SVI を作成し て IP ア ド レ ス を割 り 当て ます（ス イ ッ チの初期設定ワーク フ ローの「ハー ド ウ ェ アでの管理 VLAN の作成」の項を参照し て く だ さ い）。

サービス接続の設定

ステ ッ プ 5 サーバ ア ド レ ス プールの名前を作成し、ア ド レ ス プール ク ラ イ アン ト のサブネ ッ ト ネ ッ トワーク番号 と マス ク、およびク ラ イ アン ト のデフ ォル ト ルータ を指定し ます。

ス イ ッ チで IP ア ド レ ス情報を受信で き る よ う にする場合、ク ラ イ アン ト の IP ア ド レ ス と サブネ ッ ト マス ク、およびルータ の IP ア ド レ ス を使用し て、ス イ ッ チのデフ ォル ト ゲー ト ウ ェ イ を提供する よ う にサーバを設定する必要があ り ます。サーバは、DNS サーバを使用し て TFTP サーバ名を IP ア ド レ スに解決し ますが、DNS サーバの IP ア ド レ スの設定はオプシ ョ ンです。

MC と MA を組み合わせて使用し ている小規模ブ ラ ンチ導入では、Lightweight ア ク セス ポ イ ント 用のサーバ と し て ス イ ッ チを使用する こ と を推奨し ます。こ の導入では、ス イ ッ チはレ イ ヤ 2 モー ド で動作し、上流に位置するルータ がすべてのルーテ ィ ン グ機能を提供し ます。

show license right-to-use summary

License Name Type Count Period left----------------------------------------------- ipservices permanent N/A Lifetime apcount base 0 Lifetime apcount adder 25 Lifetime

--------------------------------------------

License Level In Use: ipservicesLicense Level on Reboot: ipservicesEvaluation AP-Count: DisabledTotal AP Count Licenses: 25AP Count Licenses In-use: 5AP Count Licenses Remaining: 20

!To activate the VLAN in the database if it does not exist.interface vlan 12 name Wireless VLAN description Wireless Management VLAN Interface ip address 192.168.12.2 255.255.255.0 no shutdown end

有線およびワイヤレスのコ ンバージ ド アクセス

ワイヤレス コ ン ト ローラ と し てのスイ ッ チの有効化

85Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

デフ ォル ト ルータおよび使用中のワ イ ヤレ ス管理 SVI ア ド レ スですでに使用さ れてい る IP アド レ ス を除外し て、上流に位置するルータ がその よ う な IP ア ド レ ス をア ク セス ポ イ ン ト に割 り当てない よ う にする こ と をお勧め し ます。

ワイヤレス コ ン ト ローラ機能の有効化

ステ ッ プ 6 管理 VLAN と し て（物理イ ン ターフ ェ イ スではな く ）SVI を設定し ます。

wireless management interface コ マン ド は、ア ク セス ポ イ ン ト CAPWAP およびその他の CAPWAP モビ リ テ ィ ト ンネルのために使用さ れます。

ワ イ ヤレ ス コ ン ト ローラ を有効にする前に、SVI に IP ア ド レ ス を設定する必要があ り ます。

モビ リ テ ィ コ ン ト ローラ モー ド で実行するスイ ッ チの変更

ステ ッ プ 7 AP-Count ラ イ セン ス を イ ン ス ト ールする前に MC と し て ス イ ッ チを有効に し ます。

ワ イ ヤレ ス ラ イ セン ス モデルでは、MA はア ク セ ス ポ イ ン ト のエン フ ォーサであ り 、MC はア クセス ポ イ ン ト のゲー ト キーパーです。MC に よ り ア ク セス ポ イ ン ト のス イ ッ チへの接続を制御で き ます。起動後のス イ ッ チのデフ ォル ト 役割は MA です。

MC の役割を有効にする には、設定を保存し、ス イ ッ チを リ ロー ド する必要があ り ます。

ステ ッ プ 8 ス イ ッ チの リ ブー ト 後、ス イ ッ チの役割がモビ リ テ ィ コ ン ト ローラ に変更された こ と を確認します。

ip pool APVlan10-Poolnetwork 192.168.12.0 255.255.255.0default-router 192.168.12.1ip excluded-address 192.168.12.1 192.168.12.2

wireless management interface vlan12

wireless mobility controller% Mobility role changed to Mobility Controller.Please save config and reboot the whole stack. endwrite memoryreloadproceed with reload?[confirm] y

有線およびワイヤレスのコ ンバージ ド アクセス

ワイヤレス コ ン ト ローラ と し てのスイ ッ チの有効化

86Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

アクセス ポイン ト 接続の有効化

ステ ッ プ 9 ア ク セス ポ イ ン ト を ス イ ッ チ ポー ト に直接接続し、イ ン ス ト ールを完了し ます。

ア ク セス ポ イ ン ト の接続ポー ト はア ク セス ポー ト と し て設定する必要があ り ます。ア ク セス ポイ ン ト は、ポー ト が ト ラ ン ク と し て設定さ れている場合は登録されません。

（注） ス イ ッ チ ポー ト のア ク セス VLAN は こ のワーク フ ローのス テ ッ プ 4 で設定し た ワ イ ヤレ ス管理 VLAN と 同じ も のであ る必要があ り ます。

show wireless mobility summary

Mobility Controller Summary:

Mobility Role : Mobility ControllerMobility Protocol Port : 16666Mobility Group Name : defaultMobility Oracle IP Address : 0.0.0.0DTLS Mode : EnabledMobility Domain ID for 802.11r : 0xac34Mobility Keepalive Interval : 10Mobility Keepalive Count : 3Mobility Control Message DSCP Value : 48Mobility Domain Member Count : 3

Link Status is Control Link Status : Data Link Status

Controllers configured in the Mobility Domain:

IP Public IP Group Name Multicast IP Link Status--------------------------------------------------------------------------192.168.102.210 -N/A default 0.0.0.0 UP : UP

有線およびワイヤレスのコ ンバージ ド アクセス

小規模ブ ラ ンチ WLAN のプロビジ ョ ニング

87Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

ク ラ イアン ト VLAN の有効化

ステ ッ プ 10 ク ラ イ アン ト の IP ア ド レ ス を割 り 当て る よ う に外部サーバを設定し ます。ク ラ イ アン ト VLAN を定義し、データベース内の VLAN を有効化し ます。

すべての WLAN プ ロ フ ァ イルは、ク ラ イ アン ト VLAN と 関連付け る必要があ り ます。

小規模ブラ ンチ WLAN のプロビジ ョ ニング • Easy-RADIUS でのプロ ビジ ョ ニング— も設定が容易であ り 、外部サービ スは使用し ません。

• セキ ュ ア モー ド でのプ ロ ビジ ョ ニング—エン ド ユーザは外部の RADIUS サーバま たは ISE に よ って認証さ れます。

• 無線周波数およびチャ ネル設定の管理

interface GigabitEthernet1/0/3 description Lightweight Access Point switchport host switchport access vlan 12 switchport port-security maximum 11 switchport port-security switchport port-security aging time 2 switchport port-security aging type inactivity switchport port-security violation restrict ip snooping limit rate 100 switchport block unicast storm-control broadcast level pps 1k storm-control multicast level pps 2k storm-control action trap

!Activate the client VLAN in the VLAN database.!Configure VLAN 200 if not already configured.!vlan 200name Wireless_Clientend!interface vlan 200 description Client VLAN ip address 192.168.13.2 255.255.254.0 no shutdown end

有線およびワイヤレスのコ ンバージ ド アクセス

小規模ブ ラ ンチ WLAN のプロビジ ョ ニング

88Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

セキ ュ リ テ ィ 上の観点か ら、セキ ュ ア モー ド のプ ロ ビジ ョ ニン グ を強 く お勧め し ます。ただ し、ネ ッ ト ワーク の設計上必要な場合は、両方の WLAN モー ド を共存させる こ と がで き ます。た とえば、単一のス イ ッ チに両方の WLAN をプ ロ ビジ ョ ニン グ し、それぞれの WLAN に独自の目的をネ ッ ト ワーク内に設定する こ と がで き ます。

（注） ネ ッ ト ワーク でワ イ ヤレ ス デバイ ス用のオープン ア ク セスが許可さ れていない場合、「セキ ュア モー ド でのプ ロ ビジ ョ ニン グ」の項に進み、セキ ュ ア モー ド でワ イ ヤレ ス ネ ッ ト ワーク をプロ ビジ ョ ニン グ し ます。

（注） ゲス ト ア ク セス ネ ッ ト ワーク の導入については、こ のマニ ュ アルでは説明し ません。詳細については、『Security Configuration Guide, Cisco IOS XE Release 3E, (Catalyst 3850 Switches)』の「Configuring Wireless Guest Access」の章を参照し て く だ さ い。

Easy-RADIUS でのプロビジ ョ ニング

Easy-RADIUS では、認証せずにネ ッ ト ワー ク にア ク セスで き る ため、セキ ュ アではあ り ません。

• Easy-RADIUS を有効にする ための認証の無効化

• WLAN をセキ ュ アにする ための QoS の設定

• RADIUS の ク ラ イ アン ト 接続の確認

（注） ネ ッ ト ワーク でワ イ ヤレ ス デバイ ス用のオープン ア ク セスが許可さ れていない場合、「セキ ュア モー ド でのプ ロ ビジ ョ ニン グ」の項に進み、セキ ュ ア モー ド でワ イ ヤレ ス ネ ッ ト ワーク をプロ ビジ ョ ニン グ し ます。

Easy-RADIUS を有効にするための認証の無効化

ステ ッ プ 1 Easy-RADIUS をプ ロ ビジ ョ ニングする には、no security EXEC コ マン ド を使用し て、WLAN の認証を無効に し ます。

デフ ォル ト では、WLAN は Wi-Fi Protected Access（WPA）および Wi-Fi Protected Access II（WPA2）に よ る セキ ュ リ テ ィ が有効になっています。WLAN をオープンにする には、no security wpa wpa2 コ マン ド を使用し ます。

wlan OPEN_WLAN 1 open_wlanclient vlan 200no security wpano security wpa akm dot1xno security wpa wpa2no security wpa wpa2 ciphers aesno shutdown

有線およびワイヤレスのコ ンバージ ド アクセス

小規模ブ ラ ンチ WLAN のプロビジ ョ ニング

89Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

（注） デフ ォル ト では、ブ ロー ド キ ャ ス ト SSID が有効になってお り 、WLAN/SSID 情報はビーコ ンで送られます。no broadcast-ssid コ マン ド を使用し て、ブ ロー ド キ ャ ス ト で SSID を非表示に し た り 、エン ド ク ラ イ アン ト か ら見え る よ う に し た り する こ と がで き ます。SSID ブ ロー ド キ ャ ス ト を無効に し た場合で も、エン ド ユーザは、ワ イ ヤレ ス ク ラ イ アン ト ネ ッ ト ワーク のプ ロパテ ィ で SSID 情報を明示的に手動で入力する こ と に よ り 、SSID に接続する こ と がで き ます。

WLAN をセキュアにするための QoS の設定

ステ ッ プ 2 ト ラ フ ィ ッ ク を適切に分類する ために、入力方向でのサービ ス ポ リ シーを設定し ます。

すべての入力 ト ラ フ ィ ッ ク は、有線 ト ラ フ ィ ッ ク と 同様に分類されます。出力では、使用可能な帯域幅の大半が安全な WLAN に割 り 当て られます。

セキ ュ アな WLAN の QoS 設定では、優先度の低い他の WLAN（ゲス ト WLAN やオープン WLAN など）が存在する こ と を前提 と し ています。セキ ュ アな WLAN 上のエン ド ユーザが、他の WLAN 上の重要性の低い ト ラ フ ィ ッ ク の影響を受けない よ う にする必要があ り ます。

すべての WLAN は、デフ ォル ト の port_child_policy 出力サービ ス ポ リ シーを共有し ます。こ のポリ シーはデフ ォル ト で設定さ れ、WLAN 上に明示的に設定する必要はあ り ません。

RADIUS のク ラ イアン ト 接続の確認

ステ ッ プ 3 ク ラ イ アン ト を関連付けて、接続を確認し ます。

ク ラ イ アン ト は、適切な SSID を選択する こ と に よ り WLAN のエン ド デバイ スに関連付け られます。

ク ラ イ アン ト 接続は、状態 と 認証の情報を表示する ワ イ ヤレ ス show コ マン ド を使用し て確認でき ます。

wlan secure_WLAN 2 CISCO_WLANshutdownservice-policy client input wlan-Entr-Client-Input-Policyservice-policy output wlan-Entr-SSID-Output-policyno shutdownexit

有線およびワイヤレスのコ ンバージ ド アクセス

小規模ブ ラ ンチ WLAN のプロビジ ョ ニング

90Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

pol-edu-3850-mc-12#show wireless client summary Number of Local Clients : 2

MAC Address AP Name WLAN State Protocol --------------------------------------------------------------------------------0000.3a40.0001 pol-edu-tsim-40-6 4 UP 11a 0000.3a40.0002 pol-edu-tsim-40-1 4 UP 11a

pol-edu-3850-mc-12#show wcdb database all Total Number of Wireless Clients = 2 Clients Waiting to Join = 0 Local Clients = 2 Anchor Clients = 0 Foreign Clients = 0 MTE Clients = 0

Mac Address VlanId IPv4 Address Src If Mob -------------- ------ --------------- ------------------ -------0000.3a40.0001 340 153.40.125.100 0x00000000800000E2 LOCAL0000.3a40.0002 340 153.40.125.101 0x00000000800000A1 LOCAL

!!Look for client open auth state.

pol-edu-3850-mc-12#show access-session mac 0000.3a40.0001 details Interface: Capwap33 MAC Address: 0000.3a40.0001 IPv6 Address: fe80::200:3aff:fe40:1 IPv4 Address: 153.40.125.100 User-Name: cisco Status: Authorized Domain: DATA Oper host mode: multi-auth Oper control dir: both Session timeout: N/A Common Session ID: 000000000000002D000B81FD Acct Session ID: Unknown Handle: 0xe9000023 Current Policy: (No Policy) Blocked On:

Server Policies: Vlan Group: Name: 340, Vlan: 340

Method status list: Method State dot1x Authc Success

!

有線およびワイヤレスのコ ンバージ ド アクセス

小規模ブ ラ ンチ WLAN のプロビジ ョ ニング

91Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

セキュア モー ド でのプロビジ ョ ニング

セキ ュ ア モー ド ではセキ ュ アな ワ イ ヤレ ス接続が可能にな り ます。エン ド ユーザは、外部の RADIUS サーバま たは ISE に よ って認証さ れます。ネ ッ ト ワーク でワ イ ヤレ ス デバイ ス用のオープン ア ク セスが許可さ れていない場合、セキ ュ ア モー ド でプ ロ ビジ ョ ニン グ を行います。

• AAA RADIUS サーバの有効化

• IEEE 802.1x 認証を使用し た WLAN の設定

• オープン WLAN の QoS サービ ス ポ リ シーの設定

• DHCP ス ヌーピ ング

AAA RADIUS サーバの有効化

RADIUS サーバの設定は、選択し た RADIUS サービ スに よ って異な り ます。

ステ ッ プ 1 AAA RADIUS サーバを有効に し ます。

以下の設定を RADIUS サーバ上の同じ設定 と 一致させる必要があ り ます。

IEEE 802.1x 認証を使用した WLAN の設定

ステ ッ プ 2 WPA2 および IEEE 802.1x を有効に し て WLAN を作成し ます。

コ ン ト ローラおよびア ク セス ポ イ ン ト では、WPA と WPA2 を同時に使用し た SSID を持つ WLAN をサポー ト し ますが、ワ イ ヤレ ス ク ラ イ アン ト ド ラ イバの中には、複雑な SSID 設定をサポー ト で き ない も の も あ り ます。

可能な限 り 、Advanced Encryption Standard（AES）に従って WPA2 のみ設定する こ と をお勧め します。

aaa new-modelaaa session-id commonaaa authentication dot1x default group RADIUSaaa authorization network default group RADIUSaaa accounting dot1x default start-stop group RADIUS!!Enable 802.1X authentication globally on the switch!dot1x system-auth-control!Radius Server definition (adds ISE to the Radius Group)!RADIUS server AuthServer address ipv4 192.168.254.14 auth-port 1645 acct-port 1646 key cisco123!!aaa group server RADIUS RADIUS-GROUPserver name AuthServer

有線およびワイヤレスのコ ンバージ ド アクセス

小規模ブ ラ ンチ WLAN のプロビジ ョ ニング

92Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

（注） AES 暗号化および IEEE 802.1x キー管理を使用し た WPA2 は、ス イ ッ チの WLAN でデフ ォル トで有効になっている ため、こ れら のセキ ュ リ テ ィ 設定を明示的に行 う 必要はあ り ません。

オープン WLAN の QoS サービス ポリ シーの設定

ステ ッ プ 3 オープン WLAN の入出力 ト ラ フ ィ ッ ク のサービ ス ポ リ シーを設定し ます。

すべての入力 ト ラ フ ィ ッ ク は有線 ト ラ フ ィ ッ ク と 同様に分類されますが、出力 ト ラ フ ィ ッ ク には使用可能な帯域幅の 30 % し か割 り 振られません。

オープン WLAN の QoS を設定する際、ゲス ト 用に優先度の低い WLAN を作成する必要があ ります。オープン WLAN のエン ド ユーザは制限されてお り 、セキ ュ アな企業 WLAN のビジネ ス クリ テ ィ カルな ト ラ フ ィ ッ ク に影響を及ぼさ ない よ う にする必要があ り ます。

すべての WLAN は、port_child_policy イーグ レ ス ポ リ シーを共有し ます。ポ リ シーはデフ ォル トで設定さ れ、WLAN で明示的に設定する こ と はあ り ません。

DHCP スヌーピング

ステ ッ プ 4 ク ラ イ アン ト の参加機能を適切に処理するために、コ ン ト ローラ上で DHCP ス ヌーピングを設定する必要があ り ます。DHCP ス ヌーピングは各ク ラ イ アン ト VLAN 上で有効にする必要があ り ます。WLAN でオーバーラ イ ド が適用される場合は、オーバラ イ ド VLAN も対象と な り ます。

bootp-broadcast コ マン ド を有効に し ます。こ れは、ブ ロー ド キ ャ ス ト ア ド レ ス を使用し て DHCP メ ッ セージを送信する ク ラ イ アン ト に必要で、DHCP メ ッ セージでブ ロー ド キ ャ ス ト ビ ッ ト が送信さ れます。

イ ン ターフ ェ イ ス上で、次の よ う に設定し ます。

（注） ア ッ プス ト リ ームがポー ト チャ ネル経由で行われる場合、ポー ト チャ ネル イ ン ターフ ェ イ スでも trust 構成が必要にな り ます。

wlan Secure_WLAN1 CISCO_WLANclient vlan 200no shutdown

wlan OPEN_WLAN 1 open_wlanshutdownservice-policy client input wlan-Guest-Client-Input-Policyservice-policy output wlan-Guest-SSID-Output-Policyno shutdownexit

ip dhcp snooping ip dhcp snooping vlan 100

ip dhcp snooping wireless bootp-broadcast enable

有線およびワイヤレスのコ ンバージ ド アクセス

小規模ブ ラ ンチ WLAN のプロビジ ョ ニング

93Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

（注） ゲス ト ア ク セス用のゲス ト アン カー コ ン ト ローラ で、上記の構成 と 同様に DHCP ス ヌーピ ングを設定する必要があ り ます。

ネ ッ ト ワーク上で入出力 ト ラ フ ィ ッ ク を許可する には、WLAN と の関連付けが行われる たびに、WLAN 設定で -required オプシ ョ ン を使用し て、ク ラ イ アン ト がア ド レ ス要求を実行し、操作を再開する よ う 強制し ます。こ のオプシ ョ ンは、使用さ れる IP ア ド レ ス を厳格に制御で き ます。

無線周波数およびチャネル設定の管理

無線 リ ソース管理（RRM）は Auto-RF と も呼ばれ、チャ ネルや電力の設定管理に有効です。ただし、無線周波数設計の不備を Auto-RF で修正する こ と はで き ません。

• 低データ レー ト の無効化

• Clean Air の有効化

• 動的チャ ネル割 り 当ての有効化

• WLAN ク ラ イ アン ト の関連付け

• WLAN ク ラ イ アン ト 接続の確認

すべてのワ イ ヤレ ス導入で、ワ イ ヤレ ス ク ラ イ アン ト に適し た高品質サービ ス設計を実現するために、サ イ ト 調査を推奨し ます。

低データ レー ト の無効化

ステ ッ プ 1 5 GHz および 2.4 GHz ネ ッ ト ワーク を無効に し て、ワ イ ヤレ ス スペク ト ルのレー ト を適切に変更し ます。

十分な無線周波数カバレ ッ ジが確保さ れ、適切に設計された無線ネ ッ ト ワーク では、低いデータ レー ト を無効にで き ます。低いデータ レー ト は無線通信時間を も の多 く 消費し ます。

ク ラ イ アン ト が再送時にレー ト を よ り 早 く ダ ウ ンシフ ト で き る よ う に、サポー ト するデータ レー ト の数を制限し て く だ さ い。ワ イ ヤレ ス ク ラ イ アン ト は 速のデータ レー ト での送信を試みます。フ レームの送信が失敗する と 、ワ イ ヤレ ス ク ラ イ アン ト は次に低い使用可能なデータ レー ト で再送信し ます。サポー ト さ れるデータ レー ト の一部を削除する こ と は、フ レーム を再送する必要があ る ク ラ イ アン ト が複数のデータ レー ト を直接ダ ウ ンシフ ト する こ と を意味し、2 回目の試行でフ レームが届 く 可能性が高ま り ます。IEEE 802.11b 専用デバイ スは設置する必要がな く な り ま し た。IEEE 802.11b 専用デバイ スで使用さ れる速度を無効に し ます。

interface TenGigabitEthernet1/0/1 switchport trunk allowed vlan 100 switchport mode trunk ip dhcp snooping trust

有線およびワイヤレスのコ ンバージ ド アクセス

小規模ブ ラ ンチ WLAN のプロビジ ョ ニング

94Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

ステ ッ プ 2 ワ イ ヤレ ス スペク ト ルを有効に し ます。

Lightweight ア ク セス ポ イ ン ト では、5 GHz と 2.4 GHz の 2 つのワ イ ヤレ ス スペ ク ト ルをサポート し ます。各スペク ト ルの速度を有効化/無効化する必要があ り ますが、速度が一致する必要はあり ません。

• 5 GHz スペク ト ルでは、IEEE 802.11n および IEEE 802.11ac を有効に し ます。

• 2.4 GHz スペク ト ルでは、IEEE 802.11n および IEEE 802.11g を有効に し ます。

（注） ビーコ ンは 低の必須レー ト で送信さ れ、セル サ イ ズを定義し ます。

コ ンバージ ド ア ク セス モー ド でス イ ッ チを ホ ッ ト スポ ッ ト と し て導入する際、速度ではな く カバレ ッ ジの達成を向上させる ために、 低のデータ レー ト を有効にする必要があ り ます。ま た、十分な無線周波数カバレ ッ ジが確保さ れた ワ イ ヤレ ス ネ ッ ト ワーク で、推奨されるデータ レート が使用さ れます。データ レー ト は、無線周波数の導入状況に よ って異な り ます。

!Shutdown 5ghz network.!ap dot11 5ghz shutdown !!Enable 802.11n and 802.11ac for the 5Ghz spectrum.!ap dot11 5ghz dot11n ap dot11 5ghz rate RATE_6M disable ap dot11 5ghz rate RATE_9M disable ap dot11 5ghz rate RATE_12M mandatory ap dot11 5ghz rate RATE_18M supported ap dot11 5ghz rate RATE_24M mandatory ap dot11 5ghz rate RATE_36M supported ap dot11 5ghz rate RATE_48M supported ap dot11 5ghz rate RATE_54M supported no ap dot11 5ghz shutdown !!Shutdown 2.4Ghz network!ap dot11 24ghz shutdown !

有線およびワイヤレスのコ ンバージ ド アクセス

小規模ブ ラ ンチ WLAN のプロビジ ョ ニング

95Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

Clean Air の有効化

ステ ッ プ 3 導入環境で一般的に使用さ れる ス イ ッ チおよびデバイ スで Clean Air を有効に し ます。

Clean Air が有効な場合、ス イ ッ チは無線周波数干渉を検出し て軽減し ます。周波数干渉の原因は、妨害装置、電子レ ンジ、Bluetooth デバイ ス などです。

.

ステ ッ プ 4 Clean Air がデバイ スで有効になってい る こ と を確認し ます。

.

!Enable 802.11n and 802.11g for the 2.4Ghz spectrum.!ap dot11 24ghz dot11g ap dot11 24ghz dot11n ap dot11 24ghz rate RATE_24M mandatory ap dot11 24ghz rate RATE_1M disable ap dot11 24ghz rate RATE_2M disable ap dot11 24ghz rate RATE_5_5M disable ap dot11 24ghz rate RATE_6M disable ap dot11 24ghz rate RATE_9M disable ap dot11 24ghz rate RATE_11M disable ap dot11 24ghz rate RATE_12M mandatory ap dot11 24ghz rate RATE_18M supported ap dot11 24ghz rate RATE_36M supported ap dot11 24ghz rate RATE_48M supported ap dot11 24ghz rate RATE_54M supported no ap dot11 24ghz shutdown

ap dot11 24ghz cleanair ap dot11 5ghz cleanair ap dot11 24ghz cleanair device jammerap dot11 24ghz cleanair device cont-txap dot11 24ghz cleanair device dect-likeap dot11 24ghz cleanair device mw-ovenap dot11 24ghz cleanair device video!ap dot11 5ghz cleanair device jammerap dot11 5ghz cleanair device cont-txap dot11 5ghz cleanair device dect-likeap dot11 5ghz cleanair device video

show ap dot11 24ghz cleanair configshow ap dot11 5ghz cleanair config

有線およびワイヤレスのコ ンバージ ド アクセス

小規模ブ ラ ンチ WLAN のプロビジ ョ ニング

96Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

動的チャネル割り当ての有効化

ステ ッ プ 5 「低データ レー ト の無効化」の説明に従って、ワ イ ヤレ ス 2.4 GHz および 5 GHz ネ ッ ト ワーク がシ ャ ッ ト ダ ウ ン さ れている こ と を確認し ます。

ステ ッ プ 6 2.4 GHz および 5 GHz の両方のワ イ ヤレ ス スペク ト ルで動的チャ ネル割 り 当て（DCA）を有効にし て、無線でのチャ ネルの割 り 当てを 適化し、干渉のない動作を可能に し ます。5 GHz スペク トルでは、スループ ッ ト を向上させる ためにチャ ネル ボンデ ィ ン グ を有効に し ます。

DCA は、各無線に よ ってで き る限 り 多 く のチャ ネルについて報告さ れた Over-the-Air メ ト リ ック を使用し て、チャ ネルの帯域幅を 大化し、すべての原因（当該ネ ッ ト ワーク（信号）、他のネ ット ワーク（外部干渉）、ノ イ ズ（その他すべて））か ら の無線周波数干渉を 小化する解決策を提供し ます。

.

WLAN ク ラ イアン ト の関連付け

WLAN ク ラ イ アン ト の関連付けは、適切な SSID を選択し、認証に必要な ク レデンシ ャルを提供する こ と に よ り 、エン ド ク ラ イ アン ト デバイ スで行われます。ク ラ イ アン ト 接続は、使用中のデバイ スの タ イ プに よ って異な り ます。どのデバイ ス タ イ プが使用さ れている かは、ワ イ ヤレ ス ネ ッ ト ワーク イ ン ターフ ェ イ スの詳細で確認で き ます。

WLAN ク ラ イアン ト 接続の確認

ステ ッ プ 7 ク ラ イ アン ト 接続を確認し ます。

ap dot11 24ghz rrm channel dca global auto ap dot11 5ghz rrm channel dca global auto

ap dot11 5ghz shutdown ap dot11 5ghz rrm channel dca chan-width 80no ap dot11 5ghz shutdown

show authentication sessions mac ec55.f9c6.266b detail Interface: Capwap4 IIF-ID: 0x506280000033A0 MAC Address: ec55.f9c6.266b IPv6 Address: Unknown IPv4 Address: 121.1.0.253 User-Name: Employee1 Status: Authorized Domain: DATA Oper host mode: multi-auth Oper control dir: both Session timeout: N/A Common Session ID: 64010101539f285900003353 Acct Session ID: Unknown Handle: 0xDB000467 Current Policy: (No Policy)

Server Policies (priority 100)

Method status list: Method State dot1x Authc Success

有線およびワイヤレスのコ ンバージ ド アクセス

無線 LAN コ ンバージ ド ア クセスの実行コ ン フ ィ ギュ レーシ ョ ンの表示

97Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

無線 LAN コ ンバージ ド アクセスの実行コ ン フ ィ ギュ レーシ ョ ンの表示

ステ ッ プ 1 ス イ ッ チのワ イ ヤレ ス構成設定を表示する には、show running-configuration コ マン ド を入力します。

show wcb database all!Need to look for the output of ‘AUTH’ equals to ‘RUN’.!

Total Number of Wireless Clients = 1Clients Waiting to Join = 0Local Clients = 1Anchor Clients = 0Foreign Clients = 0MTE Clients = 0

Mac Address VlanId IP Address Src If Auth Mob -------------- ------ --------------- ------------------ -------- -------ec55.f9c6.266b 200 121.1.0.253 0x006B2F4000002844 RUN LOCAL

show running configuration

ip arp inspection vlan 10-11,100!ip device trackingip snooping vlan 10-13,100,200no ip snooping information optionip snooping wireless bootp-broadcast enable!! the default router for subnet 192.168.12.x /24 is the upstream router!192.168.12.2 is the layer 3 address of the 3850 vlan interface on vlan 12!ip excluded-address 192.168.12.1ip excluded-address 192.168.12.2!!!Access Point IP pool defined locally on the 3850!ip pool APVlan12-poolnetwork 192.168.12.0 255.255.255.0default-router 192.168.12.1 !!Vlan 200 for wireless clients, and the subnet 192.168.13.x /23!the server is external to the 3850. vlan 200 name Wireless_Client!

<省略>!

有線およびワイヤレスのコ ンバージ ド アクセス

無線 LAN コ ンバージ ド ア クセスの実行コ ン フ ィ ギュ レーシ ョ ンの表示

98Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

（続き）!remember to exclude 192.168.13.2 on the server.Its statically defined on the vlan 200 intfinterface Vlan200description wireless Clientsip address 192.168.13.2 255.255.255.0!wireless mobility controllerwireless management interface Vlan12!! this is copied from the “show run” output.wlan OPEN_WLAN 1 WiFi_Openclient vlan 200no security wpano security wpa akm dot1xno security wpa wpa2no security wpa wpa2 ciphers aesno shutdown!!Radio Resource management featuresap dot11 24ghz shutdownap dot11 24ghz cleanairap dot11 24ghz rate RATE_1M disableap dot11 24ghz rate RATE_2M disableap dot11 24ghz rate RATE_5_5M disableap dot11 24ghz rate RATE_6M disableap dot11 24ghz rate RATE_9M disableap dot11 24ghz rate RATE_11M disableap dot11 24ghz rate RATE_12M supportedap dot11 24ghz rate RATE_18M supportedap dot11 24ghz rate RATE_24M mandatoryap dot11 24ghz rate RATE_36M supportedap dot11 24ghz rate RATE_48M supportedap dot11 24ghz rate RATE_54M supportedno ap dot11 24ghz shutdown!ap dot11 5ghz shutdownap dot11 5ghz rrm channel dca chan-width 80ap dot11 5ghz cleanairap dot11 5ghz rate RATE_6M disableap dot11 5ghz rate RATE_9M disableap dot11 5ghz rate RATE_12M disableap dot11 5ghz rate RATE_18M disableap dot11 5ghz rate RATE_24M mandatoryap dot11 5ghz rate RATE_36M supportedap dot11 5ghz rate RATE_48M supportedap dot11 5ghz rate RATE_54M supportedno ap dot11 5ghz shutdownap group default-groupend

Cisco Systems, Inc.www.cisco.com

システム ヘルス モニタ リ ング

重要なシ ス テム リ ソース をモニ タする こ と は、ネ ッ ト ワーク の安定性を維持する ために非常に重要です。ス イ ッ チの CPU、メ モ リ 、フ ァ イル シ ス テム、および環境 リ ソース を定期的にモニ タする こ と をお勧め し ます。

こ のワーク フ ローでは、シ ス テム ヘルス をモニ タおよび保守する ための一般的な コ マン ド と 手順について説明し ます。

システム ヘルス モニ タ リ ングの前提条件実行中の ソ フ ト ウ ェ ア リ リ ース、ス イ ッ チの実行時間、および 新の リ ロー ド の原因など、スイ ッ チに関する情報を取得し ます。こ れら の情報を取得する には、show version コ マン ド を使用し ます。コ マン ド にパイ プ機能を使用し て、稼働時間、およびあ ら ゆ る リ ロー ド 情報を取得で きます。

実行ステータ スの表示稼働時間 と リ ロー ド の原因を特定し ます。時間の経過に伴い、気付かない う ちにス イ ッ チが クラ ッ シ ュ し て リ ロー ド さ れる こ と があ り ます。

ステ ッ プ 1 show version コ マン ド を使用し て、ス イ ッ チ全体の状況を取得し ます。

ス イ ッ チの稼働時間 と 後の リ ロー ド に関する情報のみ必要な場合は、Cisco IOS XE（および Cisco IOS）ソ フ ト ウ ェ アに組み込まれてい るパイ プ「|」機能を使用し て、よ り 直接的な コ マン ドを実行で き ます。

show version|inc software|uptime|LastCisco IOS Software, IOS-XE Software, Catalyst L3 Switch Software (CAT3K_CAA-UNIVERSALK9-M), Version 03.03.02.SE RELEASE SOFTWARE (fc2)3850-access-Bld1Flr1 uptime is 5 weeks, 3 days, 2 hours, 59 minutesLast reload reason: reload

システム ヘルス モニ タ リ ング

コ ア リ ソースのシステム基準の実行

100Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

こ の例では、Cisco IOS XE リ リ ース 3.3.2 SE が 5 週間実行さ れた後、特権ユーザがス イ ッ チの リロー ド を開始し た こ と を示し ています。

コア リ ソースのシステム基準の実行通常の実稼働時間中のシ ス テムの基準使用率を設定し、予想される リ ソース値か ら変更がないかど う か確認し ます。使用率の増加が正当だ と 説明で き ない場合は、原因について調べます。何ら かの タ イ プのネ ッ ト ワーク モニ タ リ ン グ シ ス テム（NMS）をセ ッ ト ア ッ プ し て、こ れら の値を自動的にモニ タする のが理想的ですが、こ の よ う な値を手動でポー リ ン グする方法を知っておく こ と も重要です。

ス イ ッ チの実行状況が分かった ら、コ ア リ ソースがすべて 適な値になっている こ と を確認します。

CPU と コア プロセ ッサの使用率の取得

ステ ッ プ 2 CPU と コ ア プ ロ セ ッ サの使用率を表示する には、show process cpu コ マン ド を使用し ます。

特定のプ ロ セスで実行さ れている サブプ ロ セス と タ ス ク に よ る CPU 使用率を確認する には、show process cpu detailed コ マン ド を使用し ます。ア ク テ ィ ビテ ィ 使用率の高さ で ソー ト する には、show process cpu sorted コ マン ド を使用し ます。

CPU 使用率は、ス タ ッ ク環境内でス イ ッ チ単位でモニ タ で き ます。

show process cpu コ マン ド の以下のバ リ エーシ ョ ン を定期的に実行する こ と をお勧め し ます。

（注） こ のス イ ッ チは、従来のス イ ッ チ と は異な り 、マルチコ ア プ ラ ッ ト フ ォームです。シン グル コ アでは CPU 使用率が高 く な る こ と があ る ため、こ れら の コ マン ド の実行時に各コ アをモニ タするこ と が重要です。

次の出力には、各 CPU コ アの 5 秒、1 分、および 5 分間の使用率が示さ れています。ま た、

フ ォ ワーデ ィ ン グ エンジン ド ラ イバ（FED）、IOS デーモン IOSd、およびワ イ ヤレ ス コ ン ト ローラ モジ ュール（WCM）のプ ロ セスの CPU 使用率が特に高い こ と も示さ れています。

show version|inc software|uptime|LastCisco IOS Software, IOS-XE Software, Catalyst L3 Switch Software (CAT3K_CAA-UNIVERSALK9-M), Version 03.03.02.SE RELEASE SOFTWARE (fc2)

3850-access-Bld1Flr1 uptime is 5 weeks, 3 days, 2 hours, 59 minutes

Last reload reason: reload

システム ヘルス モニ タ リ ング

コ ア リ ソースのシステム基準の実行

101Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

ステ ッ プ 3 history コ マン ド を使用し て、継続的な CPU 使用率のグ ラ フ を表示し ます。

こ のグ ラ フはパターンの形成に役立ち ます。た と えば、30 分ご と に 100 パーセン ト の急上昇が確認さ れる場合、何かが定期的にス イ ッ チをポー リ ン グ し ている可能性があ る と 結論付け る こ とがで き ます。原因の特定のため、SNMP 設定を調べます。

参考資料:

CPU 高使用率の問題の ト ラ ブルシ ュー ト に役立つ詳細情報については、『Catalyst 3850 Series

Switch High CPU Usage Troubleshooting』の ド キ ュ メ ン ト を参照し て く だ さ い。

show process cpu sorted | ex 0.00Core 0: CPU utilization for five seconds: 4%; one minute: 5%; five minutes: 5%Core 1: CPU utilization for five seconds: 2%; one minute: 1%; five minutes: 1%Core 2: CPU utilization for five seconds: 0%; one minute: 0%; five minutes: 0%Core 3: CPU utilization for five seconds: 1%; one minute: 2%; five minutes: 1%PID Runtime(ms) Invoked uSecs 5Sec 1Min 5Min TTY Process5639 1598657 15898882 68 0.98 1.06 1.08 1088 fed8503 1554112 10180648 52 0.54 0.50 0.44 0 iosd8499 982266 14501353 18 0.20 0.15 0.15 0 wcm5640 427135 54197163 16 0.05 0.10 0.11 0 platform_mgr6170 502150 9040937 55 0.05 0.01 0.01 0 obfld6177 2057130 87345912 23 0.05 0.01 0.03 0 pdsd

show process cpu history

History information for system:

1111122222222222222222222 111111111111111111111111111111222225555588888888886666666666100 90 80 70 60 50 40 30 ******************** 20 ************************* 10 ************************* 0....5....1....1....2....2....3....3....4....4....5....5.... 0 5 0 5 0 5 0 5 0 5 CPU% per second (last 60 seconds)

システム ヘルス モニ タ リ ング

コ ア リ ソースのシステム基準の実行

102Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

スイ ッ チのメ モ リ使用率の取得

ステ ッ プ 4 show process memory コ マン ド を使用し て、ス イ ッ チの メ モ リ 使用率の状態を表示し ます。

特定のプ ロ セスで実行さ れている サブプ ロ セス と タ ス ク に よ る メ モ リ 使用率を確認する には、show process cpu detailed コ マン ド を使用し ます。ア ク テ ィ ビテ ィ 使用率の高さ で ソー ト する には、show process memory detailed sorted コ マン ド を使用し ます。

メ モ リ 使用率は、ス タ ッ ク環境内でス イ ッ チ単位でモニ タ で き ます。

フ ァ イル システム使用率のモニ タ

ステ ッ プ 5 show file systems コ マン ド を定期的に使用し て、ス イ ッ チ内のフ ァ イル シ ス テム をモニ タ し、常に十分な空き容量があ る こ と を確認し ます。

以前のプ ラ ッ ト フ ォーム と は異な り 、ス イ ッ チは別のデ ィ レ ク ト リ に ク ラ ッ シ ュ フ ァ イルを作成し ます。た と えば、show file systems コ マン ド の出力には、crashinfo フ ォルダにフ ァ イルが作成さ れる こ と が示さ れています。使用可能な空き領域 と フ ォルダのサ イ ズを比較し ます。

ス イ ッ チには各種フ ァ イル シ ス テムが用意さ れてお り 、show file systems コ マン ド を使用し て これら のフ ァ イル シ ス テム を リ ス ト で き ます。

（注） ア ス タ リ ス ク（*）はデフ ォル ト のフ ァ イル シ ス テム を示し ます。フ ァ イル シ ス テムで Size(b) フ ィ ール ド にダ ッ シ ュ（-）かゼ ロ（0）が表示さ れる場合、そのフ ァ イル シ ス テムは存在し ないか、認識さ れていない こ と を意味し ます。

ステ ッ プ 6 dir filesystem コ マン ド ま たは show filesystem コ マン ド を使用し て、特定のフ ァ イル シ ス テムにあ る フ ァ イルを リ ス ト し ます。

ク ラ ッ シ ュ フ ァ イルを見つけた ら、直ちにそれら を取得し て、シ ス テム障害や予期せぬク ラ ッシ ュ を診断する こ と が重要です。

show process memory sortedSystem memory : 3930840K total, 1487028K used, 2443812K free, 222004K kernel reservedLowest(b) : 1915568076PID Text Data Stack Heap RSS Total Process5681 9988 269088 92 476 233060 584844 fed10162 72268 34364 104 288 206548 343980 iosd10158 24260 519732 88 10628 108612 662328 wcm

show file systemsFile Systems:

Size(b) Free(b) Type Flags Prefixes 248354816 148799488 disk rw crashinfo: crashinfo-1: 248512512 178782208 disk rw crashinfo-2: stby-crashinfo:* 1621966848 346673152 disk rw flash: flash-1: 1622147072 350224384 disk rw flash-2: stby-flash:

システム ヘルス モニ タ リ ング

環境リ ソースのシステム基準の実行

103Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

次の例は、ク ラ ッ シ ュ フ ァ イルがデ ィ レ ク ト リ に作成さ れた こ と を示し ています。

環境リ ソースのシステム基準の実行ステ ッ プ 7 ス イ ッ チ ヘルスに関する概要を表示する には、show environment コ マン ド を使用し ます。

フ ァ ンの障害などの小さ な問題が重大なハー ド ウ ェ ア問題の原因 と な る可能性があ る ため、環境 リ ソース値をモニ タする こ と が重要です。ス イ ッ チに Power Over Ethernet（POE）が備え られている場合、show environment コ マン ド に よ り 電源の状況が表示さ れ、給電が期待どお り に実行されている かど う かが示さ れます。

ステ ッ プ 8 ス イ ッ チがス タ ッ ク さ れている場合、show environment stack コ マン ド を実行し て、ス タ ッ ク全体のすべての環境出力を表示し ます。

設定の一部は調整可能ですが、設定はデフ ォル ト 値のま まに し てお く こ と をお勧め し ます。

dir crashinfo Directory of crashinfo:/

6073 drwx 1024 Jul 17 2013 17:53:48 +00:00 ap_crash 12 -rwx 0 Jan 1 1970 00:00:06 +00:00 koops.dat 11 -rwx 357 Jun 1 2014 13:05:15 +00:00 last_systemreport_log 13 -rwx 1128623 Nov 22 2013 12:33:27 +00:00 system-report_2_20131122-123229-UTC.gz 14 -rwx 39 Jun 1 2014 13:05:15 +00:00 last_systemreport 15 -rwx 657766 Jun 5 2013 09:17:03 +00:00 system-report_1_20130605-091616-UTC.gz 16 -rwx 737390 Jun 26 2013 22:48:22 +00:00 system-report_1_20130626-224726-UTC.gz

show environment allSwitch 1 FAN 1 is OKSwitch 1 FAN 2 is OKSwitch 1 FAN 3 is OKFAN PS-1 is OKFAN PS-2 is OKSwitch 1: SYSTEM TEMPERATURE is OKSW PID Serial# Status Sys Pwr PoE Pwr Watts-- ------------------ ---------- --------------- ------- ------- -----1A PWR-C1-715WAC LIT171310MT OK Good Good 7151B PWR-C1-715WAC LIT171310PS OK Good Good 715

システム ヘルス モニ タ リ ング

システム モニ タ リ ングのその他の考慮事項

104Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

システム モニ タ リ ングのその他の考慮事項

スパニング ツ リー モニ タ リ ング

スパニン グ ツ リ ーの設計は こ の ド キ ュ メ ン ト の範囲外ですが、こ の手順では簡単な スパニン グ ツ リ ー モニ タ リ ング コ マン ド について紹介し ます。ネ ッ ト ワーク内のスパニング ツ リ ー ト ポ ロジを常に把握し てお く こ と が重要です。スパニン グ ツ リ ーの期待さ れる役割を ス イ ッ チが実行し ている こ と を確認する ためのい く つかの簡単な コ マン ド があ り ます。

show environment stackSWITCH: 1Switch 1 FAN 1 is OKSwitch 1 FAN 2 is OKSwitch 1 FAN 3 is OKFAN PS-1 is OKFAN PS-2 is OKSwitch 1: SYSTEM TEMPERATURE is OKInlet Temperature Value: 34 Degree CelsiusTemperature State: GREENYellow Threshold : 41 Degree CelsiusRed Threshold : 56 Degree CelsiusHotspot Temperature Value: 45 Degree CelsiusTemperature State: GREENYellow Threshold : 105 Degree CelsiusRed Threshold : 125 Degree CelsiusSWITCH: 2Switch 2 FAN 1 is OKSwitch 2 FAN 2 is OK...

システム ヘルス モニ タ リ ング

システム モニ タ リ ングのその他の考慮事項

105Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

ステ ッ プ 9 スパニン グ ツ リ ー環境の安定性を定期的にモニ タ し て、ループフ リ ー環境を確保する には、show spanning-tree summary コ マン ド を使用し ます。

次の出力例は、ス イ ッ チがすべての VLAN のルー ト ブ リ ッ ジ と し て動作し ている こ と を示し ています。こ れが誤って設定さ れた場合、ネ ッ ト ワーク パフ ォーマン スの極度の低下を引き起こす可能性があ り ます。

show spanning-tree summarySwitch is in pvst modeRoot bridge for: VLAN0001, VLAN0011, VLAN0015, VLAN0100-VLAN0101 VLAN0881-VLAN0883Extended system ID is enabledPortfast Default is disabledPortFast BPDU Guard Default is disabledPortfast BPDU Filter Default is disabledLoopguard Default is disabledEtherChannel misconfig guard is enabledUplinkFast is disabledBackboneFast is disabledConfigured Pathcost method used is short

Name Blocking Listening Learning Forwarding STP Active---------------------- -------- --------- -------- ---------- ----------VLAN0001 0 0 0 2 2VLAN0011 0 0 0 1 1VLAN0015 0 0 0 1 1VLAN0100 0 0 0 1 1VLAN0101 0 0 0 1 1VLAN0777 0 0 0 2 2VLAN0881 0 0 0 1 1

Name Blocking Listening Learning Forwarding STP Active---------------------- -------- --------- -------- ---------- ----------VLAN0882 0 0 0 1 1VLAN0883 0 0 0 1 1---------------------- -------- --------- -------- ---------- ----------9 vlans 0 0 0 11 11

システム ヘルス モニ タ リ ング

システム モニ タ リ ングのその他の考慮事項

106Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

ステ ッ プ 10 頻繁に STP の安定性を確認する には、show spanning-tree detail コ マン ド を使用し ます。

こ の コ マン ド は、各 VLAN 内の ト ポ ロ ジ変更回数や TCN が 後に受信された時刻などに関するネ ッ ト ワーク の安定性情報を表示し ます。ス イ ッ チ と ネ ッ ト ワーク の全体的なヘルス を維持する には、こ の情報を頻繁にモニ タする こ と が不可欠です。

show spanning-tree detail |inc ieee|occur|from|is|exec VLAN0001 is executing the ieee compatible Spanning Tree protocol Number of topology changes 55 last change ed 4d07h ago from GigabitEthernet1/0/1 VLAN0011 is executing the ieee compatible Spanning Tree protocol Number of topology changes 7 last change ed 4d07h ago from GigabitEthernet1/0/1 VLAN0015 is executing the ieee compatible Spanning Tree protocol Number of topology changes 7 last change ed 4d07h ago from GigabitEthernet1/0/1 VLAN0100 is executing the ieee compatible Spanning Tree protocol Number of topology changes 7 last change ed 4d07h ago from GigabitEthernet1/0/1 VLAN0101 is executing the ieee compatible Spanning Tree protocol Number of topology changes 7 last change ed 4d07h ago from GigabitEthernet1/0/1 VLAN0777 is executing the ieee compatible Spanning Tree protocol Number of topology changes 12 last change ed 4d07h ago from GigabitEthernet1/0/1 VLAN0881 is executing the ieee compatible Spanning Tree protocol Number of topology changes 7 last change ed 4d07h ago from GigabitEthernet1/0/1

107Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

I N D E X

A

AP ラ イ セン ス 83

auto-upgrade 15, 35

D

DHCP サーバ 84

DHCP ス ヌーピ ング 32

E

Easy-open モー ド 88

EtherChannel 33, 40

H

HSRP （ホ ッ ト ス タ ンバイ ルータ プ ロ ト コル） 45

HTTP （HTTPS） 19

I

IPv6 セキ ュ リ テ ィ ポ リ シー 34

IP デバイ ス ト ラ ッ キング （IPDT） 52

L

LACP （Link Aggregation Control Protocol） 40

M

MAC 認証バイパス （MAB） 66

N

NTP サーバ 32

P

password 20

R

Rapid Per-VLAN Spanning-Tree （PVST+） 30

Rapid PVST+ 30

S

show environment コ マン ド 103

show process cpu コ マン ド 100

show version コ マン ド 99

software clean 11, 12, 14

T

TACACS+ 20

TFTP および FTP サーバ 11

TFTP のブ ロ ッ ク サ イ ズ 7, 35

V

VLAN 1 41

VLAN 管理イ ン ターフ ェ イ ス 24

VRRP （仮想ルータ冗長プ ロ ト コル） 45

VTP ト ラ ン スペア レ ン ト モー ド 30

索引

108Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

W

Wi-Fi Protected Access （WPA） 88

Wi-Fi Protected Access II （WPA2） 88

あ

ア ウ ト オブバン ド 管理 22

ア ク テ ィ ブな ス タ ッ ク メ ンバー 29

い

イ ン ス ト ール モー ド 10

イ ンバン ド IP ア ド レ ス 24

え

エン ド ユーザ ラ イ セン ス契約 （EULA） 82

か

管理 IP ア ド レ ス 23

く

グ ローバル管理割 り 当ての実行コ ン フ ィ ギ ュ レーシ ョ ンの表示 35

し

初期管理割 り 当ての実行コ ン フ ィ ギ ュ レーシ ョ ンの表示 26

す

ス タ ッ ク メ ンバーのプ ラ イ オ リ テ ィ 29

ス タ ン ド ア ロ ン デ ィ ス ト リ ビ ューシ ョ ン ス イ ッ チ 45

スパニン グ ツ リ ー モニ タ リ ン グ コ マン ド 104

せ

セキ ュ ア シ ェル （SSH） 19

セキ ュ ア モー ド 91

そ

ソ フ ト ウ ェ アの展開 10

た

単一方向 リ ン ク検出 （UDLD） 31

段階的な導入に よ る プ ロ ビジ ョ ニング 66

て

デ ィ ス ト リ ビ ューシ ョ ン ス イ ッ チへのア ッ プリ ン ク 45

と

同期された ク ロ ッ ク 32

動的チャ ネル割 り 当て （DCA） 96

は

ハイ イ ンパ ク ト モー ド 71

バン ド ル モー ド 10

ひ

評価ラ イ セン ス 82

ふ

ブ リ ッ ジ プ ロ ト コル データ ユニ ッ ト （BPDU） 31

索引

109Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド

も

モニ タ モー ド 70

ゆ

ユーザ ID 20

る

ルータ ア ド バタ イ ズ メ ン ト 34, 55

ルータ ア ド バタ イ ズ メ ン ト ガー ド 34

ろ

ロー イ ンパ ク ト モー ド 70

索引

110Catalyst 3850 および Catalyst 3650 スイ ッ チ シ リ ーズのベス ト プ ラ ク テ ィ ス ユーザ ガイ ド