Cisco ルータで BGP のルート情報を他の peer に広報する際に、以下のような tag によるフィルタリングを含む route-map を neighbor route-map outbound コマンドで使用することはサポートされていません。 route-map OUT permit 10 match tag 65000 set as-path prepend 10 ! route-map OUT permit 20 match ip address prefix-list PLIST set as-path prepend 20 また、このような route-map を含む設定を行った際には以下のようなメッセージが出力されます。 % "OUT" used as BGP outbound route-map, tag match not supported % not supported match will behave as route-map with no match ... View more

Cisco ルータで IGP のルートを BGP に再配布時に as-path に変更を加えることはできません。 例えば、以下の設定は OSPF のルート情報を BGP へ再配布する際に as-path に変更を加えることを意図したものですが、サポートされていません。   router bgp 65000 neighbor 10.0.0.1 remote-as 65001 redistribute ospf 1 route-map REDIST route-map REDIST permit 10 match ip address 100 set as-path prepend 65010 65020 特に route-map が set as-path prepend のみを含む場合は、上述のような設定はサポートされていない旨のメッセージが出力されます。 Router(config-router)#redist ospf 1 route-map REDIST % "as_path" used as redistribute eigrp into bgp route-map, set as-path prepend not supported IGP から再配布されたルート情報の as-path を変更する場合は、neighbor route-map outbound コマンドなどで、BGP への再配布を行った後に改めて advertise する際に変更を加えるようにして下さい。 ... View more

Cisco 4000 シリーズルータでは、以下のような SVI での netflow はサポートしておりません。 interface Vlan1 ip address 10.1.1.1 255.255.255.0 ip flow monitor FNF input ip flow monitor FNF output 設定することは可能ですが正常には動作しませんのでご注意ください。 また、現時点で SVI での netflow をサポートする予定はありません。 ... View more

IOS、及び、IOSXE ルータで以下のような network 単位での NAT 変換の設定（以下、network NAT エントリ）を削除、または追加する場合、後述するような通信障害に繋がる事象が発生することがあります。  ip nat inside source static network 10.0.0.0 10.100.0.0 /24  削除、追加を行う network NAT エントリ以外の NAT ルールを使用して NAT 変換されるパケットが影響を受けるため、通信中にこのような操作を行った場合、通信影響が発生する可能性があります。 IOS ルータと IOSXE ルータでは問題の表れ方が異なり、それぞれ以下のようになります。 IOS ルータでは NAT 変換対象となるパケットが drop する（NAT 変換の対象ではないパケットはこの限りではない） IOSXE ルータでは NAT 変換対象となるパケットが NAT 変換されずに送信される。   この状態が継続する時間は一度に削除する network NAT エントリの数、network で指定した subnet の大きさ、ルータの使用条件、などに依存して変わりますが、だいたい数秒から数十秒の影響があると考えて下さい。 この症状はルータ製品における network NAT の実装上の制限になりますので、上述のような操作を実施する際にはご注意下さい。   なお、以下のような network 単位ではない NAT エントリ削除時にはこのような問題は発生しません。 ip nat inside source static 10.0.0.1 20.0.0.1   ... View more

  はじめに IOS-XE ではリリースを大きく 2 つのカテゴリ、 Standard Maintenance(SM) リリースと、Extended Maintenance(EM) リリースに分類し、それぞれ異なるポリシーによりメンテナンスを行っています。SM リリースはメンテナンス期間が 短くユーザに新機能をいち早く試してもらうことを前提としています。一方、EM リリースはメンテナンス期間が長く計画されており安定したリリースの提供を目的としており、マイナーバージョンが 3 つ繰り上がる毎に EM リリースとしています。 IOS-XE 16.x 系列は IOS-XE 3.x 系列の後継のため、SM, EM リリースの概念も踏襲しています。具体的には 16.1, 16.2, 16.4, 16.5 などが SM、16.3, 16.6 などが EM となります。   IOS-XE 16.x 系列での Standard Maintenance のメンテナンスポリシー IOS-XE 16.x 系列は IOS-XE 3.x 系列の後継ではありますが、SM リリースに関してはポリシーが以下のように変更されています。 最初のリリース（FCS）から 6 ヶ月後に 1 回、通常の不具合修正を実施 更にその 6 ヶ月後に脆弱性の不具合修正を実施（必要がある場合） IOS-XE 3.x 系列の SM リリースと比較して、メンテナンスを行う機会と期間がいずれも減少していますのでご注意下さい。 上述の内容を以下に図示します（参考までに XE 3.10 以降で適用されているメンテナンスポリシーも併せて図示します）。 なお、EM リリースのメンテナンス期間については IOS-XE 3.10 以降から適用されているポリシーと同じです（参考情報を参照）。 また、上記のポリシーは 16.2 以降の SM リリースから適用されています。    参考情報 Cisco IOS XE Software Support Timeline Starting with Cisco IOS XE Software Release 3.10S ... View more

ASR903 では現状の実装では GRE Tunnel がサポートされていません。 設定することはできますが正常に動作しませんので注意してください。 ... View more

    概要 このドキュメントでは IP SLA の基本的な設定を紹介します。 IP SLA はリモートの機器に対して ICMP echo request など何らかのプローブパケットを送信し応答時間などを計測する機能です。IP SLA で収集した情報を元に object tracking, static routing などの他の機能と連携しルーティングを変更したり機器に何らかのアクションを取らせることができます。   ネットワーク構成 このドキュメントでは以下のようなネットワーク構成を想定しています。   設定例 R1 の設定例です。R2はIPアドレス以外の設定は必要ありません。 また、この例は object tracking 機能との併用になっています。 ip sla 1  icmp-echo 192.168.1.2 source-ip 192.168.1.1  frequency 10 ip sla schedule 1 life forever start-time now ! track 10 ip sla 1 reachability  delay down 30 ! ip route 0.0.0.0 0.0.0.0 192.168.1.2 track 10   設定の説明 それぞれのコマンドについて説明します。 ip sla 1   IP SLA 設定を定義しています。識別子として 1 を割り当てています。  icmp-echo 192.168.1.2 source-ip 192.168.1.1     プローブパケットとして ICMP echo request を 192.168.1.2 宛に  192.168.1.1 をソースアドレスとして送信します。 デフォルトでは 5 秒以内に返答がない場合は timeout と解釈されます。  frequency 10    プローブパケットの送信間隔です。10秒毎に送信します。 ip sla schedule 1 life forever start-time now   上で定義した IP SLA のオペレーションを開始します。 track 10 ip sla 1 reachability   上で設定した 1 番の IP SLA を利用した object tracking の設定です。10 を識別子として割り当てています。 object tracking は UP, DOWN の２つの状態を取り、IP SLA のプローブパケットに返答があれば UP、timeout になると DOWN, となります。  delay down 30    IP SLA が timeout してから object tracking が DOWN 状態に遷移するまでに 30 秒の遅延を追加しています。 ip route 0.0.0.0 0.0.0.0 192.168.1.2 track 10   object tracking 10 番が UP 状態で 192.168.1.2 を next hop とするデフォルトルートを設定します。   動作確認 show ip sla summary コマンドで IP SLA の設定が反映されていることを確認して下さい。 R1# show ip sla summary IPSLAs Latest Operation Summary Codes: * active, ^ inactive, ~ pending ID Type      Destination  Stats Return Last                           (ms)  Code   Run ----------------------------------------------------------------------- *1 icmp-echo 192.168.1.2  RTT=1 OK     3 seconds ago show ip sla statistics コマンドにより IP SLA の状態を確認してください。 R1# show ip sla statistics IPSLAs Latest Operation Statistics IPSLA operation id: 1 Latest RTT: 1 milliseconds Latest operation start time: 21:06:49 JST Sun Mar 5 2017 Latest operation return code: OK Number of successes: 81 Number of failures: 13 Operation time to live: Forever       トラブルシューティング   IP SLA が正常に機能しない場合は以下のような点に問題がないか確認してください。 プローブパケットがターゲットの機器に到達していない インタフェースがターゲット機器へのルーティング情報が登録されていることを確認して下さい。 プローブパケットへの返答がない ターゲットの機器が正常に動作しているか確認してください。    関連情報 IP SLA コンフィギュレーション ガイド、Cisco IOS Release 15.1S 拡張オブジェクト トラッキングの設定 ルータ (IOS / IOS-XE): 設定例 ... View more

    概要   このドキュメントでは PPPoE クライアントの設定例を提示します。   ネットワーク構成   このドキュメントでは以下のような構成を想定しており、図中の PPPoE クライアントの設定を紹介します。   設定例 interface Ethernet0/0 pppoe enable pppoe-client dial-pool-number 1 interface Dialer1 ip address negotiated ip mtu 1492 encapsulation ppp dialer pool 1 dialer-group 1 ppp authentication chap callin ppp chap password cisco dialer-list 1 protocol ip permit ip route 0.0.0.0 0.0.0.0 Dialer1   設定の説明 概要としては、PPPoEの通信に使用する物理インターフェイスと、セッションを開始するためのDialerインターフェイスとを関連付けるという内容になります。  interface Ethernet0/0   pppoe enable   pppoe-client dial-pool-number 1     PPPoE の通信に使用する物理インターフェイスを指定します。  interface Dialer1     セッションを開始するための論理インターフェイスです。割り当てる番号は任意です。   ip address negotiated        PPPoEサーバから IP アドレスを取得する設定です。      予めIPアドレスがある場合は固定設定もできます。     ip mtu 1492      PPPoE ヘッダ(6byte)、PPPヘッダ(2byte)を差し引いた値を設定します。    NTT B-flet's へ接続する場合は ip mtu 1454（L2TPサービスが動いているため） とします。   dialer pool 1       物理インターフェイスとの関連付けを行います。プール番号は物理インターフェイスの pppoe-client dial-pool-number コマンドで指定した番号と同じものを指定します。    dialer-group 1    Dialerインターフェイスで通信できるプロトコルを指定します。以下の dialer-list コマンドと同じ番号を指定します.   ppp chap hostname <hostname>   ppp chap password <password>       PPPoEサーバと接続するためのユーザ名、パスワードを指定します。 dialer-list 1 protocol ip permit   Dialerインタフェースで使用するプロトコルを指定します。   動作確認   show pppoe session コマンドの出力が以下のようになっていることを確認してください。この状態になっていれば通信ができる状態になっているはずです。   Router# show pppoe session 1 client session Uniq ID  PPPoE  RemMAC        Port   VT  VA     State          SID    LocMAC                   VA-st  Type     N/A    2    aabb.cc00.1900 Et0/0 Di1 Vi2     UP                 aabb.cc00.1600           UP    事前に用意した他拠点、または外部サイト等の通信対象に対して ping が行ったり、ルータ配下の PC で webブラウジングが可能かなど試し通信ができることを確認してください。    トラブルシューティング 始めに以下の点を確認してください。 物理インターフェイスの状態が up/up であることを確認して下さい。 Router# show interfaces ethernet 0/0 Ethernet0/0 is up, line protocol is up Hardware is AmdP2, address is aabb.cc00.1600 (bia aabb.cc00.1600) MTU 1500 bytes, BW 10000 Kbit/sec, DLY 1000 usec, reliability 255/255, txload 1/255, rxload 1/255 Encapsulation ARPA, loopback not set （後略）   DialerインターフェイスにIPアドレスが割り振られていることを確認して下さい。 Router# show interfaces dialer1 Dialer1 is up, line protocol is up (spoofing) Hardware is Unknown Internet address is 192.168.17.2/24 MTU 1500 bytes, BW 56 Kbit/sec, DLY 20000 usec, reliability 255/255, txload 1/255, rxload 1/255 Encapsulation PPP, LCP Closed, loopback not set （後略）   ルーティング情報が正しいことを確認してください。 多くの場合は上の設定例のようにデフォルトゲートウェイの設定を行うと思いますが、そのように設定しない場合でも相当するルーティング情報があることを確認してください。 Router# show ip route  （中略） Gateway of last resort is 0.0.0.0 to network 0.0.0.0 S* 0.0.0.0/0 is directly connected, Dialer1 （後略）   その他、よくあるトラブルとして ppp の認証パスワードの誤りにより接続できない場合が挙げられます。接続できない場合は設定したパスワードに間違いがないか今いちど確認してください。 また特定のwebサイトが閲覧できない、という問題も散見されますが、以下の設定を追加し状況が改善するか確認してください。   Router# conf t Router(config)# interface dialer1 Router(config-if)# ip tcp adjust-mss 1300     トラブルシューティングに使用するコマンドとしては以下のドキュメントも 参照してください。    PPPoE Troubleshooting Commands   関連情報 PPPoE 接続に失敗する場合のトラブルシューティング -その１- PPPoE 接続に失敗する場合のトラブルシューティング -その２- PPPoE 接続に失敗する場合のトラブルシューティング -その３- ルータ (IOS / IOS-XE): 設定例   ... View more

    概要   このドキュメントでは logging discriminator の基本的な設定を紹介します。 logging discriminator は logging メッセージのフィルタリングを行う機能です。特定の不要なメッセージが出力されるのを抑制したり、特定のメッセージのみ取得するようにできます。 logging メッセージは以下の形式ですが、それぞれに対して作用すようにフィルタの指定ができます。 　　%(facility)-(severity)-(mnemonic): (msg-body)     設定例 ここでは例として  %SYS-5-CONFIG_I  をフィルタリングして表示されないようにする例を提示します。 logging discriminator FLTR1 mnemonics drops CONFIG_I logging discriminator FLTR2 msg-body drops console logging console discriminator FLTR1 logging monitor discriminator FLTR1 logging buffered discriminator FLTR2 logging host 192.168.0.100 discriminator FLTR2     設定の説明 logging discriminator FLTR1 mnemonics drops CONFIG_I logging discriminator FLTR2 msg-body drops console    フィルタリングの対象となるメッセージを指定します。フィルタは複数設定できます。 FLTR1, FLTR2  : discriminator に対する名前で任意の文字列を指定します。 mnemonic, msg-body  : logging メッセージのどの箇所をフィルタリングの対象とするか指定します。 mnemonic, msg-body 以外にも、冒頭で述べたメッセージ形式に沿った指定が可能ですが、具体的には関連情報に挙げたドキュメントを参照してください。 drops : フィルタリングを行った結果、メッセージを無視する選択をしています。 drop 以外に include が指定でき、この場合はメッセージを取り込む動作になります。 CONFIG_I : フィルタリング対象の文字列を指定します。正規表現が指定できます。 logging console discriminator FLTR1 logging buffered discriminator FLTR2 logging monitor discriminator FLTR1 　バッファ、コンソール、及び、telnet などの VTY ラインのターミナルでの logging に対し、上で定義したフィルタを適用しています。 logging host 192.168.0.100 discriminator FLTR2 　syslogサーバへの logging に対してフィルタを適用しています。   動作確認   show logging コマンドの出力が以下のようになり、設定したフィルタリングが登録されていることを確認してください。 Router# show logging Syslog logging: enabled (0 messages dropped, 3 messages rate-limited, 0 flushes, 0 overruns, xml disabled, filtering disabled) Active Message Discriminator: FLTR1    mnemonics   drops   CONFIG_I FLTR2    msg-body    drops   console     Console logging : level debugging, 45 messages logged, xml disabled, filtering disabled, discriminator(FLTR1) , 0 messages rate-limited, 1 messages dropped-by-MD Monitor logging : level debugging, 12 messages logged, xml disabled, filtering disabled, discriminator(FLTR1) , 0 messages rate-limited, 5 messages dropped-by-MD Buffer logging : level debugging, 5 messages logged, xml disabled, filtering disabled, discriminator(FLTR2) , 0 messages rate-limited, 10 messages dropped-by-MD Exception Logging: size (4096 bytes) Count and timestamp logging messages: disabled Persistent logging: disabled No active filter modules. Trap logging : level informational, 54 message lines logged Logging to 192.168.0.100 (udp port 514, audit disabled, link up), 1 message lines logged, 3 message lines rate-limited, 1 message lines dropped-by-MD, xml disabled, sequence number disabled filtering enabled, discriminator (FLTR2) また、フィルタリングの対象となるメッセージが出力されるイベントが発生した際にメッセージが出力されない（または、される）ことを確認して下さい。   トラブルシューティング   まずは必要な設定に漏れがないか確認してください。 logging discriminator コマンドで設定した、フィルタ対象となるメッセージの箇所やマッチングさせる文字列の設定に誤りがないか確認してください。   関連情報 syslog の信頼性の高い伝送およびフィルタリング ルータ (IOS / IOS-XE): 設定例 ... View more

  概要 このドキュメントでは logging の基本的な設定を紹介します。 logging はIOS/IOS-XE のシステムが検知したイベントをメッセージとして出力する機能です。メッセージが送られる宛先はコンソール、バッファ、syslog サーバなどを指定できます。   設定例 service timestamps log datetime msec service timestamps debug datetime msec logging console informational logging buffered 128000 debugging logging host 192.168.0.100 logging trap informational   設定の説明 service timestamps log datetime msec service timestamps debug datetime msec    メッセージに付与されるタイムスタンプの形式を指定します。 logging console informational    コンソールでの logging を有効にします。オプションで logging レベルを指定することで表示するメッセージのレベルが指定できます。ここでは informational(=6) としています。 logging buffered 128000 debugging    バッファでの logging を有効に、同時にバッファのサイズも指定（128kbyte）しています。コンソール logging 同様に level 指定ができます。ここでは debugging(=7) としています。 logging host 192.168.0.100 logging trap informational    syslog サーバへの logging を有効にしています。 logging レベルは logging trap コマンドにより指定します。   また、コンフィグモードでの設定ではありませんが、exec モードで terminal monitor コマンドを投入することにより telnet, ssh などの VTY ラインのターミナルでの logging も可能です。   動作確認 　インターフェイスのケーブルの抜き差しやコンフィグモードから exec モードへの復帰など、何らかのイベントを発生させ、それぞれの logging メッセージの宛先にメッセージが出力されるか確認してください。またメッセージのレベルが指定した値以上のものが送られるかも併せて確認してください。   トラブルシューティング    まずは必要な設定に漏れや誤りがないか確認してください。 syslog サーバへの logging を行う場合は、サーバへの到達性があるか show ip route コマンドの出力などから確認してください。   関連情報 システム メッセージ logging の設定 ルータ (IOS / IOS-XE): 設定例 ... View more

ASR1000 シリーズルータ、及び ISR4400,4300 シリーズルータでは、fragment パケットが分類される class をもつ policy-map を作成し CoPP (Control Plane Policing) を設定しても、fragment パケットはその class に分類されません。 具体例を用いて説明します。 以下のような fragment オプションを伴う access-list から作成した class を含む policy-map により CoPP を設定します。 class-map match-all IP  match access-group name IP class-map match-all IP_frag  match access-group name IP_frag policy-map CoPP  class IP    police 100000  class IP_frag    police 10000 ip access-list extended IP  permit ip host 2.2.2.2 host 1.1.1.1 ip access-list extended IP_frag  permit ip host 2.2.2.2 host 1.1.1.1 fragments control-plane  service-policy input CoPP   上記を設定し fragment パケットを送信しながら、 show policy-map control-plane の出力を確認すると class IP_frag に分類されるパケット数が 0 となり上昇しない様子が見えます。 代わって class IP のカウントが上昇していることが分かります。 ASR1000# show policy-map control-plane Control Plane   Service-policy input: CoPP       Class-map: IP (match-all)         31587 packets, 31749958 bytes        5 minute offered rate 82000 bps, drop rate 0000 bps        Match: access-group name IP        police:            cir 100000 bps, bc 3125 bytes            conformed 31601 packets, 31750434 bytes; actions:              transmit            exceeded 0 packets, 0 bytes; actions:              drop            conformed 82000 bps, exceeded 0000 bps       Class-map: IP_frag (match-all)         0 packets, 0 bytes        5 minute offered rate 0000 bps, drop rate 0000 bps        Match: access-group name IP_frag        police:            cir 10000 bps, bc 1500 bytes            conformed 0 packets, 0 bytes; actions:              transmit            exceeded 0 packets, 0 bytes; actions:              drop            conformed 0000 bps, exceeded 0000 bps      Class-map: class-default (match-any)        9814 packets, 1059993 bytes        5 minute offered rate 0000 bps, drop rate 0000 bps        Match: any ASR1000、及び ISR4400, 4300 では fragment パケットを受信後、CoPP の処理を行う前に QFP において reassemble が行われます。 このため受信したパケットに CoPP の処理を適用する際には既に reassemble したパケットを扱うことになり、上述のような動作となります。 ... View more

EEM のトラブルシューティングに役立つ show/debug コマンドを載せています。 問題が発生した場合に、どのようなコマンドがあるかという意味で作成したドキュメントとなり、 詳細な情報は記載せず、コマンドのみとしています。 また、ログの取得に当たっては以下を参照してください。 IOS/IOS-XE Router でログ取得前に事前に設定頂きたいコマンド ※IOSバージョンによりサポートしていないコマンドが含まれている場合があります。 ※Platformに依存したコマンドは載っていない場合があります。 ※一部Hiddenコマンドとなり、補完されないコマンドが含まれている場合があります。 ※debug取得は設定/環境によりCPU高負荷を引き起こす可能性があるため、実環境で取得する場合には事前に影響を検証の上、取得をご検討ください。 show commands show event manager version show event manager detector all show event manager environment all show event manager history events show event manager history events detailed show event manager statistics detector show event manager statistics policy show event manager statistics server show event manager scheduler thread show event manager policy registered show event manager policy active show event manager policy pending show event manager trace debug commands debug event manager all   ... View more

Cisco 841M J シリーズルータでサポートしている機能で、データシートに記述のないもの、判断が難しいものを以下にまとめます。 実際には動作する機能もありますが Cisco841M J 上でのテストが完了していない機能は未サポートとしています。 機能 サポート状況 IGMP Snooping サポート Private VLAN Edge 未サポート SIP-NAT 未サポート H323-NAT 未サポート IP-SLA サポート 設定可能項目 dhcp/dns/ftp/http/voip/icmp echo, jitter/icmp path echo, jitter/udp echo, jitter/tcp-connect/ethernet echo, jitter/ethernet-monitor リンクアグリーゲーション 未サポート SUITE B 暗号化 サポート PPTP サポート(ms-chap-v2 のみ) IPIP 未サポート L2TP over IPSec サポート Dynamic DNS サーバ機能 サポート Dynamic DNS クライアント機能 サポート   その他の機能はCisco 841M J シリーズルータのデータシートをご確認ください。 ... View more

不具合、または、制限事項等の影響により不要なログが出力され続けるような場合、以下の設定を追加することでそれらが出力されないようにすることができます。   使用するコマンドは以下の２つです。 logging discriminator <name> mnemonics drops <string> logging <destination> discriminator <name> 上記の内容で <> はそれぞれ以下となります。 < name >：フィルタの名前で任意の文字列を指定 < string >：フィルタリングの対象となるメッセージに含まれる文字列を指定 < destination >：syslog の送信先、console, buffer などを指定 ここで実施している内容は logging discriminator コマンドでフィルタするメッセージを指定し logging <destination> コマンドでそのルールを適用する syslog メッセージの送信先を指定する、という内容です。   例えば、以下のメッセージ、 Jul 27 2016 10:26:50 JST: %SFF8472-3-THRESHOLD_VIOLATION: Te0/0/27: Rx power low warning; Operating value: -23.7 dBm, Threshold value: -23.0 dBm. これを logging buffer に出力されないようにするための設定例として以下が挙げられます。   logging discriminator FILTER mnemonics drops THRESHOLD_VIOLATION logging buffered discriminator FILTER 上記の設定例以外にも以下の syslog メッセージのフォーマットに沿ってフィルタリングの対象となる箇所を様々に指定することもできます。 %<facility>-<severity>-<mnemonic>: <message-text>   詳しくは以下のドキュメントを参照して下さい。 Reliable Delivery and Filtering for Syslog ... View more

ASR1001, 1002-X などのボックス型（一体型）の ASR1000シリーズルータ、及び、ISR4400, 4300 シリーズルータなど、ライセンスを使用するルータではライセンス発行の際に UDI が必要になりますが、UDI を構成するシリアル番号はシャーシのものではなく Route Processor のものになります。   例えば ASR1001 の UDI は以下のようになります。 ASR1001# show license udi SlotID  PID         SN                         UDI -------------------------------------------------------------------------------- *6      ASR1001     JAE17370C12        ASR1001: JAE17370C12    ここで表示されているシリアル番号は show inventory で確認すると Route Processor のものであることが分かります。     ASR1001# show inventory NAME: "Chassis", DESCR: "Cisco ASR1001 Chassis w/o IDC" PID: ASR1001 , VID: V03, SN: SSI173401LX (中略) NAME: "module R0", DESCR: "Cisco ASR1001 Route Processor " PID: ASR1001 , VID: V03, SN: JAE17370C12   なお、ASR1002 は一体型ですがライセンスは使用しないため上記の内容は当てはまりません。 ... View more