Catalyst 9000 シリーズ:「Loop Detection Guard」の機能紹介/サポートについて

ykai · ‎2021-01-19

はじめに
「Loop Detection Guard」機能の紹介
サポート範囲
参考情報

はじめに

本ドキュメントでは、「Loop Detection Guard」機能の紹介及びコマンドのサポートについて記載します。
*** Catalyst 9000 シリーズのスイッチ全般が対象となります。

「Loop Detection Guard」機能の紹介

「Loop Detection Guard」は STP 機能が利用されていないスイッチ、若しくは STP を認識しない管理外のスイッチにおける、ネットワーク環境上 Loop を検知/回避する機能となります。

「Loop Detection Guard」はデフォルトで無効にしています。下記コマンドで有効にすることができます。

コマンド

cat9k(config-if)#loopdetect ?
  <1-10>       Time in seconds between sending of loopdetect frames
  action       Select the action to be performed upon loopdetection
  source-port  Source Port will be err disabled
  <cr>         <cr>

※「Loop Detection Guard」は Layer 2 の物理ポートのみサポートしています。
Layer 3 ポートや Port-channel、Switch Virtual Interfaces (SVIs) などの Virtual ポートはサポートしていません。


実行例/出力例

switch#configure terminal
switch (config)# interface gigabitEthernet 1/0/1
switch (config-if)# loopdetect
Warning: Enabling this feature might put the port(s) of switch to err-disable if loopdetect frame is received on it. It is not recommended to enable this when STP is already enabled and on trunk ports as it is VLAN un-aware.
switch (config-if)# end
switch# show loopdetect
Loopdetect is enabled
Interface  Interval   Elapsed-Time   Port-to-Errdisbale 　 ACTION
--------- -------    -----------   -------------------  -------------
Gi1/0/1　　　 5 　　　　　0 　　　　errdisable Dest Port  ERRDISABLE

※ 下記の理由で、STP 有効のポート若しくは Trunk ポートに「Loop Detection Guard」を設定することは推奨しません。

・STP 有効のポートに「Loop Detection Guard」機能が設定される場合、STP が優先的に動作しますので、Blocking になったポートに loopdetect パケットの送受信はありません。
・Trunk ポートには通常複数の Vlan を許容しています。もし一つの Vlan 内にloopdetect パケットの受信があり、物理ポートが Err-disable になると、他 Vlan の Traffic 転送に影響が出ます。

動作例

条件:

SW1: STP 無効、Gi0/1 ポートに loopdetect のみ設定

unmanaged switch: 管理外の機器、STP が認識しない

動作の流れ:

- Gi0/1 ポートからデフォルトで 5 秒間おきに loopdetect パケットを送出する

- Gi0/1 から送出した loopdetect パケットは Gi0/2 ポートで受信する

- 「Loop Detection Guard」の Action 動作により Gi0/2 ポートを Err-disableにする

※ 異なる設定の場合、loopdetect パケットの送出間隔や Loop を検知した際の Action 動作が違います。

- time <1-10> : loopdetect パケットの送出間隔です。デフォルトでは 5 秒です。

- ポートに「loopdetect」のみを設定し、action 及び source-port の設定がなければ(デフォルト設定)、Loop を検知した際に、 loopdetect パケットを受信しているポートが Error-disable 状態になります。

- source-port の設定がある場合、Error-disable 状態になるポートは loopdetect パケットを送信するポートになります。

- Error-disable になるポートに、loopdetect action syslog を設定する場合、ポートの Error-disable がなく、 Loop を検知した際に単なる Syslog の出力があります。

Err-disable 例:
%PM-4-ERR_DISABLE: loopdetect error detected on x/x/x, putting x/x/x in err-disable state
%LOOPDETECT-4-ERR_DISABLE: loopdetect frame sent on x/x/x is received on x/x/x, err-disabling x/x/x　　

Syslog例:
%LOOPDETECT-4-SYSLOG: loopdetect frame sent on x/x/x is received on x/x/x, loopdetection on port x/x/x

他の制限や機能詳細などについては、参考情報にある Configuration Guide を参照してください。

サポート範囲

「Loop Detection Guard」は network-essentials / network-advantage のライセンスに関わらず、17.2.1 からサポートされています。但し、CSCvw53152 の影響により、C9300 / C9300L / C9400 / C9500 / C9600 の network-essentials ライセンスでは、17.3.3 、17.4.1 からのサポートです。纏めますと、下記となります。

C9200 / C9200L の network-essentials と network-advantage では、17.2.1 から本コマンドが実行できます。
C9300 / C9300L / C9400 / C9500 / C9600 の network-advantage では、17.2.1 から本コマンドが実行できます。
C9300 / C9300L / C9400 / C9500 / C9600 の network-essentials では、17.3.3、17.4.1 から本コマンドが実行できます。

※17.3.3 のリリースに関して、予告なし変更される可能性がありますが、現在は 2021 年 2 月末頃リリース予定です。

参考情報

CSCvw53152
loopdetect feature not working on C9300 with Network Essentials
※ 17.3.3、17.4.1 で改修

Layer 2 Configuration Guide, Cisco IOS XE Amsterdam 17.2.x (Catalyst 9300 Switches)
https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst9300/software/release/17-2/configuration_guide/lyr2/b_172_lyr2_9300_cg/configuring_loop_detection_guard.html

mhiyoshi · ‎2024-07-11

本記事について質問です。認証ポート(IEEE802.1X/MAB)にLoopdetectの機能を持たせたいと考えておりますが可能でしょうか？上記のLoopdetectのマニュアルには制約情報(restriction)が書いてあるかと思います。実機で確認したところI/F STP Portfastの設定有無によってloopdetectのフレームの送出可否が変わってくるようですが以下の制約情報には特に記載がないようです。関連情報があればご教授いただけますでしょうか。

Restrictions for Loop Detection Guard

Loop detection guard can be configured only on Layer 2 physical interfaces. Layer 3 ports and virtual interfaces, such as port channels, switch virtual interfaces (SVIs), and tunnels, are not supported.

cja56910tf · ‎2024-07-13

こんにちは。

"認証ポート"とは802.1X認証の事だと推察しますが、当社のCatalyst 1Kにおいては、PC等が接続されるダウンリンクポートにおいて802.1X認証を有効にすると同時にLoopDetectコマンドも適用して機能する事を確認しています。

あと、STPとの併用やTrunkポートでの利用は推奨されていませんのでご注意下さい。ただ、設定時にWarningが出ますが機能としては動作します。なので、STPを無効化しておくかPortFastを適用されておく方が良いと思います。

また、Catalyst 2960 / 1000 においては loopdetect source-port コマンドが非対応です。当該コマンドはCatalyst 9Kシリーズのみに対応しているようです。

その他制約事項については情報を持ちあわせていませんので、実機にて検証されることをお勧めします。