LAN スイッチングについて（エキスパートに質問）

CiscoJapanModerator · ‎2016-01-13

シスコのサポートエンジニアに質問して疑問を解決できる「エキスパートに質問」へようこそ！
シスコのエキスパートから、アドバイスや最新の情報が得られる場として気軽にご質問ください。

開催期間: 2016年2月1日～2月29日
担当エキスパート: LAN スイッチング担当エンジニア

テクニカルアシスタンスセンター(TAC) で、LAN スイッチングに関するテクニカルサポートを担当するエンジニア達が、1か月間ご質問に回答いたします。

[質問方法]
・サポートコミュニティへ Cisco.com ID でログインすると、この説明の右下に「返信」ボタンが表示されます。「返信」ボタンのクリック後に表示される投稿欄に質問をご記入ください。「Submit」ボタンをクリックすると質問が投稿されます。
・個別のディスカッションが進行している場合でも、新規質問の投稿は可能です。
※期間終了後の投稿は、事務局より通常コミュニティへの再投稿をご案内させて頂きます。

[エキスパートからの回答について]
・ご質問の投稿から原則数日以内に回答できるよう努めますが、内容によっては、確認に時間をいただく場合もありますのでご了承ください。
・ご質問の内容がエキスパートの担当範囲外の場合は、サポートコミュニティ事務局から適切な投稿先をご案内させて頂きます。
・エキスパートからの回答が参考になった場合は、コメント及び評価機能にてエキスパートにお伝えください。

[制限事項]
・ソフトウェアの不具合に関するご質問は、本ディスカッションの対象外とさせて頂きます。
・ご質問の内容がソフトウェアの不具合に該当するか、詳細な調査が必要と判断した場合は、サービスリクエストでのお問い合わせをご案内させて頂きます。

ＭＪ · ‎2016-02-01

いつもお世話になっております。

Catalyst 6800シリーズでは40G QSFPが搭載できる製品が発売されておりますが、QSFPの表現で「QSFP」と「QSFP+」があります。この「+」の有り無しで何が異なるのかお教え頂けませんでしょうか。

不勉強で申し訳ありませんが、よろしくお願い致します。

Yasuhiro Nakajima · ‎2016-02-05

MJ様

内容を確認させて頂きます。

宜しくお願い致します。

Yasuhiro Nakajima · ‎2016-02-08

MJ様

CCOでは同義で使用されているので、その差は意識されなくても良いと思います。

宜しくお願いします。

ＭＪ · ‎2016-02-08

Nakajima様

御社製品では QSFP も QSFP+ も同義と認識して問題ないとのこと、承知致しました。

お忙しいところご教示頂きまして、ありがとうございました。

ＭＪ · ‎2016-02-02

いつもお世話になっております。

Catalyst 3850のPrivate VLANですが「Private VLAN portはEtherChannelポートではサポートされない」という認識でよろしいでしょうか。

Config Guide には、LACPとPAgPについては明言されているのですが、mode onについては記載がなかったので、念のため確認させて頂ければと思い質問させて頂きました。

Configuration Guide, 3.7E and Later (3850)＞Configuring Private VLANs

Do not configure ports that belong to a PAgP or LACP EtherChannel as private VLAN ports. While a port is part of the private VLAN configuration, any EtherChannel configuration for it is inactive.
Do not configure private-VLAN ports on interfaces configured for these other features:

Port Aggregation Protocol (PAgP)
Link Aggregation Control Protocol (LACP)

Catalyst 3750-Xでは、Config GuideのEtherChannelの章にも「Do not configure a private-VLAN port as part of an EtherChannel.」と記載があるのですが、Catalyst 3850 では EtherChannel の章に特に記載はありませんでした。(Private VLANがVersion 3.7.0Eからのサポートなので、更新されていないだけかもしれません。)

Configuration Guide, 3.7E and Later (3850)＞Configuring EtherChannels

Nobuhiko Suzuki · ‎2016-02-07

こんにちは。

ご指摘の通り、C3850においてもC3750Xと同様に、EtherChannel(ON/LACP/PAgP)ではPVLANはサポートされておりません。

よろしくお願いいたします。

ＭＪ · ‎2016-02-08

Suzuki様

Catalyst 3850 においても、EtherChannel では mode に関わらず、PVLANをサポートしないとのこと承知致しました。

お忙しいところご確認頂きまして、ありがとうございました。

cja56910tf · ‎2016-02-09

Catalyst 6500/4500 シリーズの IOS のアップグレードについての質問です。

２台の筐体にスーパバイザエンジンが各１枚ずつ搭載されVSLが構成されています。（ePAgPやMECが動作中です)

このような環境においてIOSのアップグレードを行う場合、どのような手順で行うのが推奨または一般的でしょうか？

サービス停止が許容される場合とされない場合で、それぞれの詳細手順をご教授いただけると助かります。（可能であればサンプルコマンドも回答いただけると嬉しいです)

詳細手順のご教授が難しい場合は、Cisco.comの該当/参考ページ(リンク/URL)だけでもご教授いただきたく思っております。

お手数をお掛けしますが、ご回答の程どうぞよろしくお願い致します。

Yoshitaka Yanomori · ‎2016-02-10

こんにちは、cja56910tf様

Catalyst6500/4500シリーズ VSS構成において、IOSのアップグレード方法は ISSU (In Service Software Upgrade) と 通常のアップグレードの２パターンがあります。
VSS構成においては １台ずつを通常のアップグレードを実施する方法でも サービス停止は基本的には発生しない構成 (構成によってはサービス停止が生じます) であるため どちらが推奨ということはなく、一般的には 構成、作業メンテナンス等の観点から お客様に選択頂いております。

以下、参考に弊社URLをご案内させていただきますのでご確認ください。


■ISSU

※ ISSU においては、ステートフルスイッチオーバー(SSO)、Nonstop Forwarding(NSF) が設定されていることが前提となります。

# Catalyst 6500 シリーズ

Performing a Fast Software Upgrade of a VSS
http://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst6500/ios/12-2SX/configuration/guide/book/vss.html#wp1169499

Configuring and Performing an eFSU Upgrade
http://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst6500/ios/12-2SX/configuration/guide/book/vss.html#wp1140400

# Catalyst 4500 シリーズ
http://www.cisco.com/cisco/web/support/JP/docs/SW/CampusLANSWT-Access/CAT4500SWT/CG/001/issu.html?bid=0900e4b1831edaef


■通常のアップグレード

# Catalyst 6500 シリーズ (Sup720)
http://www.cisco.com/cisco/web/support/JP/100/1003/1003647_161.html#sup720

# Catalyst 4500 シリーズ
http://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst4500/release/note/OL_2170.html#wp457685

cja56910tf · ‎2016-02-10

ご回答ありがとうございます。

いただいた内容を基に手順書を作成し、お客様に説明の上、作業実施したいと思います。

cja56910tf · ‎2016-02-09

Catalyst シリーズでの StormControl機能を使用した場合の質問です。

StormControl設定を行った後にループ等でstormが発生すると、1回目はstormcontrolが正常に働き、そのポートはerr-disabledになります。

しかしながら、ループ発生状態はそのままにして、shut→no shutやrecovery xxを行い、err-disabledポートを開放すると、2回目はstormを検出できません。
（※再度stormを検出してまたerr-disabledになることを期待していました）
(※show stormで見ると2～3%に見えますが、実際はループによりLEDは激しく点灯し、通信不可の状態となっています。）

機種やIOSバージョンに依存するのか？と思い、2960/3750/4500等で異なるIOS Verで試してみましたが、動作したりしなかったりとマチマチです。

StormControlはユーザー環境に依存することから、閾値の推奨設定値がなく、動作も不安定なため、あまり使い勝手がよくありません。

それでも当該機能を使用しなければいけないような場合も存在しますので、CiscoTAC様の方で保有しておられる以下の情報の開示をお願いできませんでしょうか。

・どのような構成で使用されるか？

・設定する閾値はどのくらいが一般的か？

・複数回のループ発生があっても動作するか？

・正常に動作しない/バグがある等の問い合わせが頻繁にCiscoTACに寄せられるか？

開示できるものだけ、または、一般的な情報・非公式見解・個人的意見でも構いませんので、ご教授いただけると助かります。

（実際に現場でエンドユーザー様に説明をしなければなりませんので・・・）

難しいお願いで恐縮ですが、ご回答の程よろしくお願い致します。

athashim · ‎2016-02-11

こんにちわ。

まず、２回目の検知についてですが、通常は検出できますので、もしかしたら何かのS/W不具合などになるのかもしれないですが、通信不可となっている症状も合わせて、ご確認いただいてる状況を調査する必要がありますので、その場合はサービスリクエストでお問い合わせいただければと思います。

せっかくご質問いただきましたが、ご認識いただいているように、
この機能はお使いの環境がどのような状況にあって、不要な通信（ストーム対象）に対応したアクションを設定するもので、何を不要かどうかは残念ながらこちらでは判断できないです。そのため、閾値などの推奨を出すことはしておりません。

関連する不具合情報につきましても、製品、バージョン、環境によって様々となりますので、この場でお答えできる内容ではありません。お力になれなくて申し訳ありません。

cja56910tf · ‎2016-02-11

ご回答ありがとうございます。

つまり、Cisco社のStormControlというのは、設定した流量（単位時間当たりの)を超える通信が発生した場合にそれを制御（破棄）するものであって、ループの発生有無を検知するもの（できるもの）ではないということですね。※実際に他社のような検知フレームを流している訳ではありませんしね・・・

そのため、実際はループの発生による大量のトラフィック（ストーム）が発生していたとしても、(CPUが高負荷になっていたとしても）、StormControlの機能として閾値を超えたと判断できない場合は正常に動作しないということであると理解しました。

では、Cisco社としてはループ検知と発生時の防御に対して、STP以外の対処方法が事実上存在しないのでしょうか？「ｘｘｘといった方法・構成をお客様に提案することがよくあります」といった例があれば可能な範囲でご教授いただけると助かります。

また、少々話は逸れますがサービスリクエストについて質問したいのですが、実際に現地で発生している事象や装置構成、IOSのバージョン等の詳細をお伝えすれば、CiscoTACの方では再現試験をしていただけるものなのでしょうか？

CiscoTACの方で検証していただける条件等がありましたら、ご提示いただけると助かります。

athashim · ‎2016-02-12

>Cisco社としてはループ検知と発生時の防御に対して、STP以外の対処方法が事実上存在しないのでしょうか？
他機器については言及いたしかねますが、Catalyst製品においてはそうかもしれないですね。
ループ検知の観点で言いますと、keepaliveパケットのループバックを検知し該当インターフェースをErrDisableとする機能がございます。
単一インターフェースが送信しているkeepaliveパケットを同インターフェースで受けることでループの検出となります。
ハブなどが接続してあり、そこでループが発生してしまった場合に有効かと思いますが、MAC学習をするネットワーク機器構成によるL2ループの検出はできないと思います。

TACでは製品単位（S/N単位）でご契約いただいているものに対して、H/W、S/WのEOL(サポート終了)ではない場合、
実際に現地で発生している事象内容や装置構成、IOSのバージョン等の詳細を頂戴いただければ、問題解決に向けたサポートさせていただきます。
基本的には問題が発生している環境でのログ取得等、問題の切り分けの方法をご案内させていただき、調査させていただきます。
再現試験はその過程で必要な場合に行います。

cja56910tf · ‎2016-02-15

ご回答ありがとうございます。

keepaliveパケットについては、ご回答の通りL2ループの検出が出来ないのが難点だと思っておりました。ループ対策については、StormControlに過度な期待をせず、その他の方法で検知・防御する設計としたいと思います。

また、再現試験の件について了解しました。

まずは現地の実機で再現することを確認しますが、ご回答いただいていますように、問題の切り分け方法についてもご指導いただければ助かります。

本質問はこれで完了としたいと思います。

迅速かつ丁寧なご回答をいただきましてありがとうございました。

ＭＪ · ‎2016-02-09

いつもお世話になっております。

Catalyst 2960-CX の IPv6 Port ACL について確認させて下さい。

Config Guide を拝見すると、IPv6 Port ACL (PACL) は「inbound, outbound ともにサポートする」という記載と、「ipv6 traffic-filter XXX out はサポートしない」という記載があるように見受けられます。

Config Guide, 15.2(4)E (Cat3560-CX & 2960-CX) ＞ Configuring IPv6 ACLs

IPv6 port ACLs are supported on inbound and outbound Layer 2 interfaces.
ipv6 traffic-filter access-list-name {in | out}
Note The out keyword is not supported for Layer 2 interfaces (port ACLs).

IPv6 Port ACL は、IN のみでしょうか。それとも、IN でも OUT でも使用できますでしょうか。

yukiyosh · ‎2016-02-09

こんにちわ、M J様

ご質問については、後者の"Note The out keyword is not supported for Layer 2 interfaces (port ACLs)."の記載が正でございます。

宜しくお願いします。

ＭＪ · ‎2016-02-09

Yoshida様

IPv6 Port ACL は IN のみの対応とのこと承知いたしました。

早々のご回答、とても助かります！ありがとうございました。

kazu-ando · ‎2016-02-12

こんにちわ。

IOS-XEのリリースポリシーについて確認させてください。

昨年、バージョン16.1.xがリリースされたかと思います。

今後IOS-XEは3.x.xの表記ではなく、16.x.xの表記でリリースされていくのでしょうか。

ご教示の程お願い致します。