スイッチ設定オプション

ユーザーから提供されたユーザー名とパスワード、証明書、またはその他の認証要素を検証するための認証サーバーを選択します。

• Mist認証—スイッチ上でクラウドベースの認証サービスであるジュニパー Mist Access Assuranceを設定します。このオプションを機能させるには、dot1xまたはMAB認証のポートを使用する必要があります。詳細については、 ジュニパー Mist Access Assurance ガイドをご覧ください。

• RADIUS—スイッチレベルでdot1xポート認証を有効にするために、RADIUS認証サーバーとアカウンティングサーバーを設定するには、このオプションを選択します。dot1xポート認証を機能させるには、dot1x認証を使用するポートプロファイルも作成する必要があり、そのプロファイルをスイッチ上のポートに割り当てる必要があります。

  デフォルトのポート番号は次のとおりです。

  • 認証サーバーのポート1812

  • アカウンティングサーバーのポート1813

認証サーバーを選択した後、必要に応じて選択したサーバーの追加詳細を設定します。以下を含む情報を設定できます。

• タイムアウト—認証要求がタイムアウトするまでの秒単位。

• 再試行数—許可された再試行回数。

• 拡張タイマー—デフォルトでは、EXシリーズスイッチには、スイッチとクライアントデバイス間のさまざまな通信タイマーの範囲が30〜60秒あります。このオプションを有効にすると、これらのタイマーが2〜10秒の間で強化されます。認証サーバーのタイムアウトと再試行を変更することで、さらに変更できます。

• 負荷分散(RADIUSにのみ適用可能)—デフォルトでは、EXシリーズスイッチは最初のRADIUSサーバーを使用します。このオプションは、スイッチごとにサーバーの順序の設定をランダムにします。これにより、複数の RADIUS サーバー間でのロードバランシングが確保されます。

• 中間間隔—アクティブなユーザーセッションに関する情報で認証サーバーが更新される頻度(秒)を指定します。

• 送信元アドレス(Mist Authにのみ適用可能)—送信元ネットワークを選択します。このネットワークは、静的 IP アドレスで作成されたレイヤー 3 または IRB インターフェイスの一部である必要があります。

• 動的リクエストポート—認証(CoA)ポートの変更を指定します。

set system authentication-order radius
set system radius-server radius-server-IP port 1812
set system radius-server radius-server-IP secret secret-code
set system radius-server radius-server-IP source-address radius-Source-IP
set system login user remote class class

set system login user RO class read-only
set system login user OP class operator
set system login user SU class super-user
set system login user remote full-name "default remote access user template"
set system login user remote class read-only

デバイス上でTACACS+認証を使用するには、ネットワーク上の1台以上のTACACS+サーバーの情報を設定する必要があります。また、デバイス上でTACACS+アカウンティングを設定し、LANにログインまたはログアウトするユーザーに関する統計データを収集し、TACACS+アカウンティングサーバーにデータを送信することもできます。

さらに、スイッチ設定内でTACACS+ 認証ユーザーのユーザーロールを指定することができます。ユーザーロールは、なし、管理者、読み取り、ヘルプデスクです。TACACs+ 認証されたユーザーにローカルデバイスにユーザーアカウントが設定されていない場合、Junosはデフォルトで「remote」という名前のユーザーアカウントを割り当てます。

TACACS+ およびアカウンティング サーバーでサポートされているポート範囲は 1 から 65535 です。

ドメインネームサーバー(DNS)設定を構成します。最大3つのDNS IPアドレスとサフィックスをカンマ区切り形式で設定できます。

スイッチ上でSNMP(簡易ネットワーク管理プロトコル)を設定して、ネットワークの管理と監視をサポートします。SNMPv2 または SNMPv3 を設定できます。設定できるSNMPオプションは次のとおりです。

• SNMPv2(v2)のオプション

  • 一般—システムの名前、場所、管理上の連絡先情報、および管理対象システムの簡単な説明を指定します。SNMPv2を使用する場合、デバイスから送信されるSNMPトラップパケットの送信元アドレスを指定するオプションがあります。送信元アドレスを指定しない場合、デフォルトで発信インターフェイスのアドレスが使用されます。

  • クライアント—SNMPクライアントのリストを定義します。複数のクライアントリストを追加できます。この設定には、クライアントリストの名前とクライアントのIPアドレス(カンマ区切り形式)が含まれます。各クライアントリストには複数のクライアントを含めることができます。クライアントは、/32マスクが付いたプレフィックスです。

  • トラップグループ—指定されたトラップ通知を受信するためのホストの名前付きグループを作成します。SNMPトラップを送信するには、少なくとも1つのトラップグループを設定する必要があります。設定には、以下のフィールドが含まれます。

    • グループ名—トラップグループの名前を指定します。

    • カテゴリ—以下のカテゴリのリストから選択します。複数の値を選択できます。

      • 認証

      • シャシ

      • 構成

      • リンク

      • リモート操作

      • ルーティング

      • サービス

      • スタートアップ

      • VRRP イベント

    • ターゲット—ターゲットIPアドレスを指定します。複数のターゲットを指定できます。

    • バージョン—SNMPトラップのバージョン番号を指定します。

  • コミュニティ—SNMPコミュニティを定義します。SNMP コミュニティは、送信元 IP アドレスによって SNMP クライアントを認証するために使用されます。また、ビューで定義された特定の MIB オブジェクトのアクセシビリティと権限 (読み取り専用または読み取り/書き込み) も決定します。コミュニティ設定には、クライアントリスト、認証情報、ビューを含めることができます。

  • ビュー(SNMPv2とSNMPv3の両方に適用可能)—MIBオブジェクトのグループを識別するためのMIBビューを定義します。ビュー内の各オブジェクトは、共通のオブジェクト識別子(OID)プレフィックスを共有します。MIBビューにより、エージェントはMIBツリー内の特定のブランチとオブジェクトへのアクセスをより細かく制御できます。ビューは、名前とSNMP OIDの集合で構成され、明示的に含めたり除外したりすることができます。

• SNMPv3(v3)のオプション

  • 一般—システムの名前、場所、管理上の連絡先情報、および管理対象システムの簡単な説明を指定します。SNMPv2を使用する場合は、SNMPv3エンティティの一意の識別子として機能するエンジンIDを設定します。デバイスのMACアドレスをエンジンIDとして使用するオプションがあります。MACアドレスを使用することで、手動による操作をあまり必要とせずに、エンジンIDの一意性と安定性を確保できます。

  • USM—ユーザーベースのセキュリティモデル(USM)設定を構成します。この設定には、ユーザー名、認証タイプ、暗号化タイプが含まれます。USM 用にローカル エンジンまたはリモート エンジンを設定できます。リモートエンジンを選択する場合は、エンジン識別子を16進形式で指定します。このIDは、リモートホスト上のユーザーに送信されたパケットを認証して暗号化するためのセキュリティダイジェストの計算に使用されます。ローカルエンジンオプションを指定した場合、一般タブで指定されたエンジンIDが考慮されます。エンジンIDが指定されていない場合、 ローカルミスト がデフォルト値として設定されます。

  • VACM—ビューベースのアクセス制御モデル(VACM)を定義します。VACMでは、グループのアクセス権限を設定できます。定義済みのビューを使用して、読み取り、書き込み、および通知の操作に利用可能な MIB オブジェクトをフィルタリングすることで、アクセスを制御できます(まず [ビュー] タブから必要なビューを定義する必要があります)。各ビューは、特定のセキュリティモデル(v1、v2c、またはusm)とセキュリティレベル(認証、プライバシー、またはなし)に関連付けることができます。また、セキュリティからグループ設定へアクセスグループにセキュリティ設定(ここで定義済みのUSM設定を使用するオプションがあります)を適用することもできます。

  • 通知—通知のSNMPv3管理ターゲットを選択し、通知タイプを指定します。これを設定するには、通知に名前を割り当て、通知を受信するターゲットまたはタグを選択し、それがトラップ(未確認)またはインフォーム(確認)通知のどちらであるかを指定します。

  • ターゲット—特定の管理ターゲットに通知を送信するためのメッセージ処理およびセキュリティパラメーターを設定します。ここでターゲットIPアドレスを指定することもできます。

  • ビュー(SNMPv2とSNMPv3の両方に適用可能)—MIBオブジェクトのグループを識別するためのMIBビューを定義します。ビュー内の各オブジェクトは、共通のオブジェクト識別子(OID)プレフィックスを共有します。MIBビューにより、エージェントはMIBツリー内の特定のブランチとオブジェクトへのアクセスをより細かく制御できます。ビューは、名前とSNMP OIDの集合で構成され、明示的に含めたり除外したりすることができます。

詳細については、「 スイッチでの SNMP の設定」を参照してください。

スタティックルートを設定します。スイッチは、次の場合にスタティックルートを使用します。

• より良い(低い)優先値を持つルートがありません。

• 宛先までのルートを決定できません。

• ルーティングできないパケットを転送する必要があります。

Mistは、スタティックルートのIPv4およびIPv6アドレスをサポートしています。IPv6サポートは、宛先アドレスとネクストホップアドレスで使用できます。

サポートされるスタティックルートのタイプ:

• サブネット—このオプションを選択した場合、宛先ネットワークとネクストホップのIPアドレスを指定します。

• ネットワーク—このオプションを選択した場合、VLAN(VLAN IDとサブネットを含む)とネクストホップIPアドレスを指定します。

• メトリック—静的ルートのメトリック値。この値は、宛先への複数のルートの中から最適なルートを決定するのに役立ちます。範囲:0〜4294967295

• 優先度—優先度は、外部自律システム(AS)またはルーティングドメイン内の宛先へのルートを選択するために使用されます。AS内のルートはIGPによって選択され、そのプロトコルのメトリックまたはコスト値に基づきます。範囲:0〜4294967295

• 破棄—このチェックボックスをオンにすると、この宛先宛てのパケットは破棄されます。破棄は他のパラメーターよりも優先されます。

詳細を指定した後、 静的ルートの追加 ウィンドウの右上にあるチェックマーク(✓)をクリックして、テンプレートに設定を追加します。

テンプレートのGUIでは使用できない追加設定を構成するには、 set CLIコマンドを使用できます。

例えば、カスタムログインメッセージを設定して、スイッチ上で直接CLIを変更しないように警告をユーザーに表示することができます。その方法の例を次に示します。

set system login message \n\n Warning! This switch is managed by Mist. Do not make any CLI changes.

すでに追加されているCLIコマンドを削除するには、次の例に示すように、 delete コマンドを使用します。

delete system login message \n\n Warning! This switch is managed by Mist. Do not make any CLI changes.

• Open Shortest Path First(OSPF)領域を定義します。OSPFは、IPネットワーク内でIPパケットを転送するための最適なパスを決定するために使用されるリンクステートルーティングプロトコルです。OSPF は、ネットワークをエリアに分割して、拡張性を向上させ、ルーティング情報のフローを制御します。OSPFエリアの詳細については、Junosドキュメント「 OSPFエリアの設定」を参照してください。

• スイッチ上の OSPF 設定を(スイッチ レベルで)有効または無効にします。

Mist経由でOSPFを設定する方法については、 スイッチのOSPF設定を参照してください。

ジュニパーのEXシリーズとQFXシリーズスイッチは、DHCPスヌーピング、アドレス解決プロトコル(ARP)インスペクション、IPソースガードなど、優れたポートセキュリティを提供します。これらのオプションは、Mistポータルからスイッチ上のすべてのVLANまたは選択したVLANに対して有効にできます。 DHCP の問題が有線接続成功SLEに含まれるには、DHCPスヌーピングを有効にするSLEが必要です。

DHCP スヌーピングは、スイッチに接続されている信頼できないデバイスからの DHCP メッセージを監視します。有効にすると、DHCP スヌーピングは DHCP パケットから IP アドレスとリース情報を抽出し、スヌーピング データベースに保存します。EXスイッチのポートセキュリティは、この情報を使用してDHCPリクエストを検証し、信頼できないポートで受信したDHCPOFFERをブロックします(DHCP DISCOVERとDHCP REQUESTは影響を受けません)。

• IPソースガード は、シングルサプリカント802.1Xユーザー認証モードでのみ動作します。DHCP データベースを使用して、信頼できないポートで受信した送信元 IP アドレスと MAC アドレスを検証し、データベースに一致するエントリーを持たないパケットをドロップします。

• ARPインスペクション は、信頼できないポートで受信したARPパケットの送信元MACアドレスを調べます。DHCP スヌーピング データベースとアドレスを検証し、MACアドレスが見つからない場合はパケットをドロップします。CLIシェルに以下のコマンドを入力することで、CLIを使用して、各インターフェイスで受信した無効なARPパケットの数や送信者のIPアドレス、MACアドレスなどのARP統計情報を確認できます。 show dhcp-security arp inspection statistics、および show log messages | match DAI

デフォルトでは、DHCP プロトコルはすべてのトランク ポートを信頼できるものとみなし、すべてのアクセス ポートを信頼できないものとみなします。トランク ポートのみを使用して DHCP サーバーをスイッチに接続することをお勧めします。また、アクセス ポートを使用する必要がある場合は、ポート プロファイルでそのポートを信頼できるものとして明示的に設定しないと、DHCP は機能しません。

静的IPアドレスで設定されたデバイスをスイッチ上の信頼できないポートに接続した場合、MAC-IPバインディングがDHCPスヌーピングデータベースに存在しない可能性があることに注意してください。パケットは破棄されます。CLIシェルでこのコマンドを show dhcp-security binding してDHCPの問題をトラブルシューティングし、スイッチのDHCPスヌーピングデータベースにどのバインディングがリストされているかを確認できます。

SYSLOG設定を構成して、システムログメッセージの処理方法を設定します。システムログメッセージをファイル、リモート宛先、ユーザー端末、またはシステムコンソールに送信するように設定できます。

設定オプションの詳細については、 システムログの設定を参照してください。

ポートミラーリング

ポートミラーリングを設定します。

ポートミラーリングとは、分析のためにパケットのコピーを外部ホストアドレスまたはパケットアナライザに送信するルーターの機能です。

Mistは、ローカルポートミラーリングとリモートポートミラーリングの両方をサポートしています。ローカルポートミラーリングでは、送信元ポートと宛先ポート(モニターポート)が同じネットワークスイッチ上に配置されます。リモートポートミラーリングでは、送信元ポートと宛先ポートが同じスイッチ上にありません。この場合、送信元ポートは、2 つのスイッチ間のポートによって実現される接続を介して、パケット コピーをリモート宛先ポートに転送します。

ポートミラーリング設定では、以下を指定できます。

• 入力:監視対象のトラフィックの送信元(インターフェイスまたはネットワーク)。入力とともに、Mistがインターフェイスのイングレストラフィックとエグレストラフィックのどちらを監視するかを指定できます。イングレスとエグレスの両方のトラフィックを監視する場合は、同じインターフェイスに2つの入力エントリを追加します。1つはイングレスフラグ、もう1つはエグレスフラグを使用します。

• 出力: トラフィックをミラーリングする宛先。インターフェイス、ネットワーク、またはIPアドレスを指定できます(リモート宛先の場合)。入力フィールドと出力フィールドの両方に同じインターフェイスまたはネットワークを指定することはできません。

ルーティングポリシー

組織全体(組織>スイッチテンプレート)またはサイト(サイト>スイッチ設定)のルーティングポリシーを設定します。これらのルーティングポリシーは、BGPルーティングプロトコルに関連付けられている場合にのみ、スイッチ設定にプッシュされます。スイッチの BGP タブ内で既に定義されているルーティングポリシーが、ルーティングポリシータブに表示されます。ルーティングポリシーは、BGPやOSPFなどのプロトコルに関連付けられています。ルーティングポリシーフレームワークは、各ルーティングプロトコルのデフォルトルールで構成されています。これらのルールは、プロトコルがルーティングテーブルに配置し、ルーティングテーブルからアドバタイズするルートを決定します。ルーティングポリシーの設定には、一致するルートに適用する一致条件とアクションで構成される用語の定義が含まれます。

ルーティングポリシーを設定するには:

1. ルーティングポリシータイルで ルーティングポリシーを追加 をクリックします。

2. ポリシーに名前を付け、[ Add Terms]をクリックします。

3. 用語に名前を付け、その他の一致の詳細を指定します。

   • 接頭辞

   • ASパス

   • 議定書

   • コミュニティ—類似プロパティを持つルートを管理上グループ化するためにBGPが使用するルート属性。

   • その後—一致するルートに適用するアクション(承認または拒否)。

   • アクションの追加—ASパスの先頭に追加、コミュニティの設定、ローカルプリファレンスの設定などの追加アクション。

4. 用語を追加タイトルの右側にあるチェックマーク(✓)をクリックして、用語を保存します。複数の用語を追加できます。

5. 追加をクリックしてルーティングポリシーを保存します。

DHCP オプション 81 をサポートするスイッチを有効にします。スイッチでこのオプションを有効にすると、そのスイッチに接続されたクライアントは、IPアドレスを要求しながら、完全修飾ドメイン名(FQDN)をDHCPサーバーに送信できます。これにより、DHCP サーバーはそれに応じて DNS レコードを更新できます。

DHCP オプション 81 は、サイト レベル(サイト > スイッチ設定)とデバイス レベル(スイッチ > スイッチ名)でも有効にできます。

VRF を使用すると、EXシリーズ スイッチを複数の仮想ルーティング インスタンスに分割し、ネットワーク内のトラフィックを効果的に分離できます。VRF の名前を定義し、それに関連付けられたネットワークを指定し、必要な追加ルートを含めることができます。追加ルートにIPv4またはIPv6アドレスを指定できます。

ポートを識別して有効にするための基本設定

• トランク—トランクインターフェイスは通常、LAN上の他のスイッチ、AP、ルーターに接続します。このモードでは、インターフェイスを複数のVLANに含めることができ、異なるVLAN間のトラフィックを多重化できます。ポートネットワーク、VoIPネットワーク(該当する場合)、およびトランクネットワークを指定します。

• アクセス—デフォルトモード。通常、アクセスインターフェイスは、PC、プリンター、IP電話、IPカメラなどのネットワークデバイスに接続します。このモードでは、インターフェイスは1つのVLAN内にのみ存在できます。

ポートベースのネットワークアクセス制御用のIEEE 802.1X認証を有効にするには、このオプションを選択します。802.1X認証は、プライベートVLAN(PVLAN)のメンバーであるインターフェイスでサポートされています。

ポートでdot1x認証を有効にした場合、以下のオプションが利用可能になります。

• 複数のサプリカントを許可—複数のエンドデバイスがポートに接続できるようにするには、このオプションを選択します。各デバイスは個別に認証されます。

• 動的VLAN—RADIUSサーバー属性「トンネルプライベートグループID」または「Egress-VLAN-Name」によって返される動的VLANを指定します。この設定により、ポートは動的なVLAN割り当てを実行できます。

• MAC認証—ポートのMAC認証を有効にするには、このオプションを選択します。このオプションを選択すると、 認証プロトコルを指定することもできます。プロトコルを指定した場合、サプリカントはそのプロトコルを使用して認証資格情報を提供する必要があります。

• ゲストネットワークを使用—認証にゲストネットワークを使用する場合は、このオプションを選択します。次に、ドロップダウンリストから ゲストネットワーク を選択します。

• サーバーがダウンしている場合に認証をバイパス—このオプションを選択すると、サーバーがダウンしている場合にクライアントは認証なしでネットワークに参加できます。

• 再認証間隔—dot1x認証を使用するスイッチポートプロファイルでは、クライアントがRADIUSサーバーで自身を再認証する頻度を制御するタイマーを設定できます。推奨値は6〜12時間(21600〜43200秒)です。デフォルト値は65000秒です。

• サーバー拒否ネットワーク—このオプションを選択すると、認証サーバーがユーザー認証の試みを拒否した場合に、指定された認証認証の試みを拒否した場合に、ユーザーを指定されたVLAN(ゲストネットワークなど)に接続します。このオプションは、スイッチレベル、サイトテンプレートレベル、または組織テンプレートレベルで設定できます。

• サーバー障害ネットワーク—このオプションを選択すると、認証サーバーに到達できない場合や応答しない場合に、ユーザーを指定されたVLAN(ゲストネットワークなど)に接続します。このオプションは、スイッチレベル、サイトテンプレートレベル、または組織テンプレートレベルで設定できます。

dot1x認証を機能させるには、以下も行う必要があります。

• テンプレートのすべてのスイッチ設定セクションにある認証サーバータイルから、dot1x認証用のRADIUSサーバーを設定します。

• スイッチにプッシュするRADIUS設定用のスイッチポートにdot1xポートプロファイルを割り当てます。これは、テンプレートの[スイッチ設定の選択]セクションの[ポート設定]タブから実行できます。

  ポートにマウスを合わせると、RADIUSに割り当てられたVLANフィールドが表示されます。dot1xが有効になっているポートには、802.1x認証に成功すると、RADIUSサーバーによって新しいVLANが割り当てられます。このビューは、dot1x認証後にポート上の特定のVLANが変更されたかどうかを確認する場合に特に役立ちます。

  図1:dot1xポートでのRadius割り当てVLAN

速度

デフォルト設定の「自動」を維持するか、速度を選択します

二連式

デフォルト設定の「自動」を維持するか、「ハーフ」または「フル」を選択します。

デフォルト値:0

サポートされている範囲:0〜16383

ポートがPower over Ethernet(PoE)をサポートできるようにします。

VLANスパニングツリープロトコル(VSTP)またはVLAN単位のスパニングツリーでスイッチを設定します。VSTPは、VLAN単位でレイヤー2ネットワークのループを防止するのに役立ちます。VLANごとに1つのスパニングツリーにより、きめ細かいロードバランシングが可能になります。Mistでは、デフォルトでVLAN単位のスパニングツリーが動作する他のベンダーのデバイス(Ciscoなど)に対して、この機能を有効にすることを推奨しています。

この設定は、サイトレベルとスイッチレベルでも使用できます。

ポートでBPDU(ブリッジプロトコルデータユニット)ガードを有効にする場合は、ポートをSTP(スパニングツリープロトコル)エッジポートとして設定します。STPエッジは、STPに参加していないクライアントが接続されているポートで有効になります。この設定により、ポートがエッジポートとして扱われ、BPDUの受信を防止されます。STP Edgeで設定されたポートに非エッジデバイスを接続すると、ポートは無効になります。さらに、スイッチインサイトページでは、ポートBPDUブロックイベントが生成されます。 スイッチの詳細 のフロントパネルにも、このポートのBPDUエラーが表示されます。

フロントパネルでポートを選択し、[ BPDU エラーのクリア(Clear BPDU Errors)] をクリックすると、BPDU エラーのポートをクリアできます。

アップリンクポートでSTPエッジを有効にしないでください。

スイッチの詳細ページのポートプロファイルセクションから、スイッチレベルでSTPエッジを設定することもできます。

STPポイントツーポイント

この設定により、インターフェイスモードがポイントツーポイントに変更されます。ポイントツーポイントリンクは、1つのポートを別のポートに接続する2つのネットワークノードまたはスイッチ間の専用リンクです。

STPルートポートなし

この設定では、インターフェイスがルートポートになるのを防ぎます。

STP BPDUのブロック

通常、BPDUが想定されないエッジポートまたはアクセスポートで有効になります。このオプションを有効にすると、BPDUを受信するとポートが直ちにシャットダウンされるため、ループや設定ミスを防ぐことができます。

STPエッジが有効になっている場合、STP BPDUのブロックは自動的に無効になります。ただし、BPDUライブ性チェックは引き続き設定できます。STP BPDUのブロックが有効になっている場合、STPエッジとBPDUライブ性チェックの両方が自動的に無効になります。

ポートのサービス品質(QoS)を有効にして、音声などの遅延の影響を受けやすいトラフィックを、ポート上の他のトラフィックよりも優先します。

WLAN設定ページ(サイト>WLAN>WLAN名)でQoS設定を上書きするオプションがあります。QoS設定を上書きするには、QoSを上書きチェックボックスを選択し、無線アクセスクラスを選択します。ダウンストリームトラフィック(>クライアントAP)は、指定されたオーバーライドアクセスクラス値でマークされます。上書き設定は、アップストリームトラフィック(クライアント>AP)をサポートしていません。

「 QoS設定」も参照してください。

ストーム制御を有効にしてトラフィックレベルを監視し、トラフィックがトラフィックレベル(パーセンテージで指定)を超えた場合、ブロードキャスト、マルチキャスト、不明なユニキャストパケットを自動的にドロップします。この指定されたトラフィックレベルは、ストーム制御レベルと呼ばれます。この機能は、パケットの増殖を積極的に防止し、LANのパフォーマンスを維持します。

ストーム制御を有効にすると、ブロードキャスト、マルチキャスト、不明なユニキャストパケットを監視から除外することもできます。

また、トラフィックがユーザー定義のストーム制御しきい値を超えた場合に、ポートを自動的にシャットダウンするようにスイッチを設定することもできます。しきい値に対するアクションの下にある シャットダウンポート チェックボックスを選択します。

詳細については、「 ストーム制御について」を参照してください。

デバイスの再起動後も、 永続(スティッキー)MAC を有効にすると、インターフェイスによって学習された信頼できるワークステーションとサーバーのMACアドレスが保持されます。静的有線クライアント用にスティッキーMACを設定できます。スティッキーMACは、ジュニパー Mist APインターフェイスでの使用を意図しておらず、トランクポートや802.1X認証で設定されたポートでもサポートされていません。

MAC制限(前述)と組み合わせて使用すると、スティッキーMACは、レイヤー2サービス拒否(DoS)攻撃、イーサネットスイッチングテーブルに対するオーバーフロー攻撃、DHCPスターベーション攻撃から保護すると同時に、インターフェイスがMACアドレスを動的に学習できるようにします。Mistポータルのインサイトページでは、これらのイベントが MAC Limit Exceeded として報告されます。

スイッチのポートプロファイルの一部として、スティッキーMACとMAC制限の両方を設定します。このビデオでは、一般的な手順について説明します。

ポートプロファイル設定ブロックの下部にある 永続的(スティッキー)MAC学習 オプションを明示的に有効にして、インターフェイスに関連付けるポートプロファイルの一部としてスティッキーMACを含める必要があります。MAC制限の場合、デフォルト値は0(無制限、つまり無効)ですが、最大16383個の一意のMACアドレスを許可する値を設定することで有効にすることができます。

MistポータルでMAC制限またはMACカウントに設定されている値を確認するには、スイッチページからスイッチを選択し、スイッチポートにマウスを置きます。どの(ポート)プロファイルがインターフェイスに適用されているかを確認し、ひいてはそのスティッキーMACステータスを知ることができます。

図2:スティッキーMACを示すポートの詳細

設定されたMAC制限と学習されたMACの数は、インターフェイス上での動的学習が進むにつれて、数分後に表示されます。Mistダッシュボードには、最大MACアドレス数のみが表示されます。ただし、スイッチへの リモートシェル を開き、以下のJunos CLIコマンドを実行することで、特定のインターフェイスが学習したすべてのMACアドレスを確認できます。

show ethernet-switching table persistent-learning
show ethernet-switching table persistent-learning interface

MACカウントは永続的な値であり、MACアドレスがクリアされるまで(またはポートプロファイルで無効になり、その設定がスイッチにプッシュされるまで)。

Mistダッシュボードから特定のインターフェイスのMACアドレスをクリアするには、ネットワーク管理者またはスーパーユーザーとしてログインする必要があります。次に、スイッチのフロントパネルから目的のポートを選択し(図1を参照)、表示される Clear MAC [Dynamic/Persistent] ボタンをクリックします。

スイッチインサイトページには、イベントが MAC Limit Reset イベントとして表示されます。

フロントパネルの詳細については、「 スイッチの詳細」を参照してください。

このルールを同じモデルを持つすべてのスイッチに適用する場合は、このオプションを有効にします。次に、モデルを選択します。

サブネットまたはサイト変数を入力します。