この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
この章では、VLAN サブインターフェイスを設定する方法について説明します。
 （注） |
マルチコンテキスト モードでは、この項のすべてのタスクをシステム実行スペースで実行してください。コンテキストからシステム実行スペースに切り替えるには、changeto system コマンドを入力します。 |
VLAN サブインターフェイスを使用すると、1 つの物理インターフェイス、冗長インターフェイス、または EtherChannel インターフェイスを、異なる VLAN ID でタグ付けされた複数の論理インターフェイスに分割できます。VLAN サブインターフェイスが 1 つ以上あるインターフェイスは、自動的に 802.1Q トランクとして設定されます。VLAN では、所定の物理インターフェイス上でトラフィックを分離しておくことができるため、物理インターフェイスまたは ASA を追加しなくても、ネットワーク上で使用できるインターフェイスの数を増やすことができます。この機能は、各コンテキストに固有のインターフェイスを割り当てることができるので、マルチ コンテキスト モードで特に便利です。
1 つのプライマリ VLAN と 1 つまたは複数のセカンダリ VLAN を設定できます。ASA はセカンダリ VLAN でトラフィックを受信すると、それをプライマリ VLAN にマップします。
|
モデル |
ライセンス要件 |
|---|---|
|
Firepower 2100 |
標準ライセンス：1024 |
|
Firepower 4100 |
標準ライセンス：1024 |
|
Firepower 9300 |
標準ライセンス：1024 |
|
ASAv5 |
標準ライセンス：25 |
|
ASAv10 |
標準ライセンス：50 |
|
ASAv30 |
標準ライセンス：200 |
|
ASAv50 |
標準ライセンス：1024 |
|
ASA 5506-X ASA 5506W-X ASA 5506H-X |
基本ライセンス：5 Security Plus ライセンス：30 |
|
ASA 5508-X |
基本ライセンス：50 |
|
ASA 5512-X |
基本ライセンス：50 Security Plus ライセンス：100 |
|
ASA 5515-X |
基本ライセンス：100 |
|
ASA 5516-X |
基本ライセンス：50 |
|
ASA 5525-X |
基本ライセンス：200 |
|
ASA 5545-X |
基本ライセンス：300 |
|
ASA 5555-X |
基本ライセンス：500 |
|
ASA 5585-X |
基本ライセンスと Security Plus ライセンス：1024 |
|
ASASM |
サポートしない |
|
ISA 3000 |
基本ライセンス：5 Security Plus ライセンス：25 |
（注） |
VLAN 制限の対象としてカウントするインターフェイスに、VLAN を割り当てます。 たとえば、次のようになります。 |
ASASM：VLAN サブインターフェイスは、ASASM ではサポートされません。ASASM のインターフェイスは、すでにスイッチから割り当てられた VLAN インターフェイスです。
物理インターフェイス上のタグなしパケットの禁止：サブインターフェイスを使用する場合、物理インターフェイスでトラフィックを通過させないようにすることもよくあります。物理インターフェイスはタグのないパケットを通過させることができるためです。この特性は、冗長インターフェイス ペアのアクティブな物理インターフェイスと EtherChannel リンクにも当てはまります。トラフィックがサブ インターフェイスを通過するには、物理インターフェイス、冗長インターフェイス、または EtherChannel インターフェイスがイネーブルになっている必要があるため、トラフィックが物理インターフェイス、冗長インターフェイス、または EtherChannel インターフェイスを通過しないように、nameif コマンドを除外してください。物理インターフェイス、冗長インターフェイス、または EtherChannel インターフェイスでタグのないパケットを通過させる場合は、通常通り nameif コマンドを設定できます。
多くのモデルでは、管理インターフェイスのサブインターフェイスを設定できません。サブインターフェイスのサポートについては、管理スロット/ポート インターフェイスを参照してください。
同じ親インターフェイスのすべてのサブインターフェイスは、ブリッジ グループ メンバーかルーテッド インターフェイスのいずれかである必要があります。混在および一致はできません。
ASA は Dynamic Trunking Protocol（DTP）をサポートしていないため、接続されているスイッチポートを無条件にトランキングするように設定する必要があります。
親インターフェイスの同じ Burned-In MAC Address を使用するので、ASA で定義されたサブインターフェイスに一意の MAC アドレスを割り当てることもできます。たとえば、サービス プロバイダーによっては、MAC アドレスに基づいてアクセス コントロールを実行する場合があります。また、IPv6 リンクローカル アドレスは MAC アドレスに基づいて生成されるため、サブインターフェイスに一意の MAC アドレスを割り当てることで、一意の IPv6 リンクローカル アドレスが可能になり、ASA で特定のインスタンスでのトラフィックの中断を避けることができます。
この項では、工場出荷時のデフォルト コンフィギュレーションが設定されていない場合のインターフェイスのデフォルト設定を示します。
インターフェイスのデフォルトの状態は、そのタイプおよびコンテキスト モードによって異なります。
マルチ コンテキスト モードでは、システム実行スペース内でのインターフェイスの状態にかかわらず、すべての割り当て済みのインターフェイスがデフォルトでイネーブルになっています。ただし、トラフィックがインターフェイスを通過するためには、そのインターフェイスもシステム実行スペース内でイネーブルになっている必要があります。インターフェイスをシステム実行スペースでシャットダウンすると、そのインターフェイスは、それを共有しているすべてのコンテキストでダウンします。
シングル モードまたはシステム実行スペースでは、インターフェイスのデフォルトの状態は次のとおりです。
物理インターフェイス：ディセーブル。
VLAN サブインターフェイス：イネーブル。ただし、トラフィックがサブインターフェイスを通過するためには、物理インターフェイスもイネーブルになっている必要があります。
VLAN サブインターフェイスを物理インターフェイス、冗長インターフェイス、または EtherChannel インターフェイスに追加します。
マルチ コンテキスト モードでは、システム実行スペースで次の手順を実行します。コンテキストからシステム実行スペースに切り替えるには、changeto system コマンドを入力します。
| ステップ 1 |
新しいサブインターフェイスを指定します。 interface {physical_interface | redundant number | port-channel number}.subinterface 例:redundant number 引数には、冗長インターフェイス ID（redundant 1 など）を指定します。 port-channel number 引数は、port-channel 1 などの EtherChannel インターフェイス ID です。 subinterface ID は、1 ～ 4294967293 の整数です。 |
| ステップ 2 |
サブインターフェイスの VLAN を指定します。 vlan vlan_id [ secondary vlan_range] 例:vlan_id は、1 ～ 4094 の整数です。VLAN ID には、接続されているスイッチで予約されているものがあります。詳細については、スイッチのマニュアルを参照してください。 セカンダリ VLAN は、（連続する範囲について）スペース、カンマ、およびダッシュで区切ることができます。ASA はセカンダリ VLAN でトラフィックを受信すると、そのトラフィックをプライマリ VLAN にマップします。 同じ VLAN を複数のサブインターフェイスに関連付けることはできません。VLAN を物理インターフェイスに割り当てることはできません。トラフィックがサブインターフェイスを通過するには、各サブインターフェイスに VLAN ID が必要となります。VLAN ID を変更するために no オプションで古い VLAN ID を削除する必要はありません。別の VLAN ID を指定して vlan コマンドを入力すると、ASA によって古い ID が変更されます。リストからいくつかのセカンダリ VLAN を削除するには、no コマンドを使用して削除する VLAN のみをリストすることができます。リストされた VLAN のみを選択的に削除できます。たとえば、範囲内の 1 つの VLAN を削除することはできません。 |
次に、一連のセカンダリ VLAN を VLAN 200 にマップする例を示します。
interface gigabitethernet 0/6.200
vlan 200 secondary 500 503 600-700
次に、リストからセカンダリ VLAN 503 を削除する例を示します。
no vlan 200 secondary 503
show running-config interface gigabitethernet0/6.200
!
interface GigabitEthernet0/6.200
vlan 200 secondary 500 600-700
no nameif
no security-level
no ip address
次のコマンドを参照してください。
show interface
インターフェイス統計情報を表示します。
show interface ip brief
インターフェイスの IP アドレスとステータスを表示します。
show vlan mapping
マップされるインターフェイス、セカンダリ VLAN およびプライマリ VLAN を表示します。
次に、シングル モードでサブインターフェイスのパラメータを設定する例を示します。
interface gigabitethernet 0/1
no nameif
no security-level
no ip address
no shutdown
interface gigabitethernet 0/1.1
vlan 101
nameif inside
security-level 100
ip address 192.168.6.6 255.255.255.0
no shutdown
次に、Catalyst 6500 でどのように VLAN マッピングが機能するのかを示します。ノードを PVLANS に接続する方法については、Catalyst 6500 の設定ガイドを参照してください。
ASA Configuration
interface GigabitEthernet1/1
description Connected to Switch GigabitEthernet1/5
no nameif
no security-level
no ip address
no shutdown
!
interface GigabitEthernet1/1.70
vlan 70 secondary 71 72
nameif vlan_map1
security-level 50
ip address 10.11.1.2 255.255.255.0
no shutdown
!
interface GigabitEthernet1/2
nameif outside
security-level 0
ip address 172.16.171.31 255.255.255.0
no shutdown
Catalyst 6500 Configuration
vlan 70
private-vlan primary
private-vlan association 71-72
!
vlan 71
private-vlan community
!
vlan 72
private-vlan isolated
!
interface GigabitEthernet1/5
description Connected to ASA GigabitEthernet1/1
switchport
switchport trunk encapsulation dot1q
switchport trunk allowed vlan 70-72
switchport mode trunk
!
|
機能名 |
バージョン |
機能情報 |
|---|---|---|
|
VLAN 数の増加 |
7.0(5) |
次の制限値が増加されました。
|
|
VLAN 数の増加 |
7.2(2) |
VLAN の制限値が変更されました。ASA 5510 の基本ライセンスでは 10 から 50 に、Security Plus ライセンスでは 25 から 100 に、ASA 5520 では 100 から 150 に、ASA 5550 では 200 から 250 に増えています。 |
|
ASA 5580 の VLAN 数の増加 |
8.1(2) |
ASA 5580 上でサポートされる VLAN 数が 100 から 250 に増加されました。 |
|
セカンダリ VLAN のプライマリ VLAN へのマッピングのサポート |
9.5(2) |
サブ インターフェイスで、1 つ以上のセカンダリ VLAN を設定できるようになりました。ASA はセカンダリ VLAN でトラフィックを受信すると、それをプライマリ VLAN にマップします。 次のコマンドを導入または変更しました。vlan secondary、show vlan mapping |
フィードバック