Cisco トラブルシューティングコマンドをあなたのために

トラブルシューティングは大きく3つのことに集約されます。何が起こり得るかを予測し、異常（アノマリー）を特定し、その異常がなぜ発生したのかを調査することです。多くのネットワーク管理者は、ネットワーク全体を通る Layer 3 の経路を、両方向に対してホップ（hop）ごとに分析することで、ネットワーク基盤の問題を分解します。このプロセスにより問題を切り分けられます。レイヤパス上でどのホップが失敗しているかを特定できれば、その後はさらに詳細を掘り下げて確認できます。

ネットワークのトラブルシューティングに役立つさまざまなツールがあります。では、それらを見ていき、どのような問題の調査に役立つのか確認しましょう。

Cisco Discovery Protocol (CDP)

Cisco Discovery Protocol (CDP) は、隣接するルーターやスイッチに関する基本情報を、これらの Cisco ネットワーク機器 のパスワードを知っている必要なしに検出します。これは、Cisco のルーターやスイッチが、自分自身に関する情報を知らせる CDP メッセージを日常的に送信しているためです。そのため、CDP をサポートする Cisco のハードウェアは、これらのメッセージを待ち受けて（傾聴して）他の機器を把握できます。CDP は、隣接する Cisco 機器からいくつかの有用な詳細を次のように検出します：

• デバイス識別子：ホスト名
• アドレス一覧：ネットワークおよびデータリンクのアドレス
• ポート識別子：CDP アドバタイズメントを送信したリモートデバイス上のインターフェース
• 機能一覧：デバイスの種類（例：ルーターまたはスイッチ）
• プラットフォーム：デバイスで実行されている IOS のバージョン

この情報を表示するには、show cdp コマンドを使用します：

      show cdp neighbors 
      

このコマンドは、隣接する各デバイスを1行につき1台ずつ一覧表示します。各行には、その隣接デバイスに関する最も重要なトポロジ情報が含まれます。つまり、ホスト名（デバイスID）、ローカルデバイスのインターフェース、そしてそのインターフェース（Portの見出しの下）です。さらに、このインターフェースコマンドはプラットフォームも表示し、隣接するルーターまたはスイッチの具体的な機種を特定します。

スイッチのモデルの正式名称や、隣接デバイスに設定されているIPアドレスなど、追加の詳細を取得するには、次のように detail パラメータを追加します:

      show cdp neighbors detail
      

もちろん、隣接デバイスに関する多くの情報を検出できることは、ネットワークセキュリティ上の露出（リスク）になります。Cisco は、必要のない IP インターフェースでは CDP を無効にすることを推奨しています。デバイス全体で CDP をオフ／オンに切り替えるには、次の no cdp run と cdp run のグローバルコマンドを使用します。特定のインターフェースで切り替えるには、次の no cdp enable と cdp enable のインターフェースサブコマンドを使用します。

バージョンを表示

Cisco IOS のコマンド show version を特権 exec モードで使用して、Cisco デバイス上で動作している IOS ソフトウェアの Cisco IOS バージョンおよびリリース番号を確認できます。次の情報が出力されます：

• Cisco IOS ソフトウェアのバージョン — Cisco ソフトウェアの名称とバージョン番号
• スイッチの稼働時間 — デバイスが最後に起動されてからの経過時間
• スイッチのプラットフォーム — リビジョンや RAM 容量を含むハードウェア プラットフォーム情報
• プロセッサ ボード ID — デバイスのシリアル番号

Ping

ping の基本的な目的は、到達可能性、往復時間（RTT）、およびパケット損失を確認することです。これらの特性についてデバイスをトラブルシューティングするには、そのデバイスの IP アドレスを指定する必要があります。たとえば ping 172.17.4.6. このコマンドは、インターネット制御メッセージプロトコル（ICMP）のエコー要求を送信し、次のいずれかを表示します：

! — タイムアウト期間内（デフォルトでは 2 秒）に ICMP エコー応答パケットを受信しました

. — タイムアウト期間内に応答がありませんでした。

コマンドの末尾に、インターフェイス名と一緒に source パラメータを追加することで、特定のインターフェイスから ping を実行できます。たとえば ping 172.17.4.6 source Ethernet 0/0.

Traceroute

Traceroute は、あるネットワークから別のネットワークまでの経路をたどるための機能であり、多くの問題の原因を診断するのに役立ちます。Traceroute は、IP ヘッダーの TTL を 1 に設定した UDP データグラムを 3 つ、リモートホストに順に送信することで動作します。これにより、データグラムは経路上の最初のルーターに到達した時点でタイムアウトし、ルーターは「ICMP time exceeded（ICMP タイムアウト超過）」メッセージで応答します。次に traceroute は、TTL 2 に設定した UDP データグラムを 3 つ送信します。これらは経路上の 2 番目のルーターに到達するとタイムアウトし、ルーターがタイムアウトメッセージで応答するようになります。この処理は、パケットが最終的な宛先に到達して「port unreachable（ポート到達不能）」という ICMP メッセージを受信するまで続きます。

そのため、traceroute を使用して、パケットが目的地に向かうために選択した経路をテストできます。

指定した送信元からの接続性をテストするために、拡張 traceroute コマンドを使うこともできます。たとえば traceroute 10.10.60.6 source Loopback0.

Telnet

Telnet を使用してリモート デバイスに接続する場合、デフォルト ポート（23）を使用します。たとえば telnet 172.17.5.74 8080 のように、1〜65535 の任意のポート番号を指定して、リモート デバイスが特定のポートをリッスンしているかどうかをテストできます。

Show Interfaces コマンドとインターフェイス状態コード

Cisco スイッチは、2 つの異なるインターフェイス状態コード セットを使用します。どちらのセットの状態コードも、インターフェイスが動作しているかどうかを判断できます。

• Show interfaces と show interfaces description — これらのコマンドは ライン状態 と プロトコル状態 を一覧表示します。これらは一般に、Layer 1 が動作しているかどうか（ライン状態）と、Layer 2 が動作しているかどうか（プロトコル状態）を示します。LAN スイッチのインターフェイスでは、通常どちらのコードも同じ値になり、どちらも「up」または「down」です。
• show interfaces status — インターフェイス状態 を一覧表示します。この単一の状態コードは、下の表に示すとおり ライン状態 と プロトコル状態 のさまざまな組み合わせに対応します。たとえば、「connected」のインターフェイス状態は、他の2つの状態が up/up の状態に相当します。

以下はステータスコードの一覧と、それらが示し得る問題です：

Cisco Shutdown Command

configure terminal モードで最初にインターフェースを設定する場合、ルーターがそのインターフェースを使用してパケットを送受信できるようになる前に、管理上そのインターフェースを有効にしておく必要があります。IOS ソフトウェアがインターフェースを使用できるようにするには、Cisco no shutdown コマンドを使用します。

その後、特定のインターフェースに対して、あるいはネットワークの一部セグメントに対してハードウェア保守を行うために、特定のインターフェースを無効化したい場合があります。特定のネットワークセグメントで問題が発生しており、そのセグメントをネットワークの他の部分から切り離す必要がある場合も、インターフェースを無効化したいことがあります。 shutdown コマンドは管理上、インターフェースを有効にします。インターフェースを再起動するには、no shutdown コマンドを使用します。

IP ルートを表示

ほとんどのルーティングテーブルには、静的ルートと動的ルートの組み合わせが含まれています。ただし、静的または動的ルーティングを使用する前に、ルーティングテーブルには、リモートネットワークにアクセスするために使用される直接接続ネットワークが含まれている必要があります。ルーティングテーブルの静的ルートを確認するには、次の show ip route コマンドを使用し、ネットワークアドレス、サブネットマスク、および次ホップルータまたは出接口の IP アドレスを指定します。

Cisco デバイスでよくある問題

インターフェイスの速度およびデュプレックスの問題

UTP ベースの多くのイーサネットインターフェイスは、複数の速度（全二重または半二重）と、IEEE 標準のオートネゴシエーションをサポートしています。これらのインターフェイスは speed {10 | 100 | 1000} インターフェイスサブコマンドを使って特定の速度に設定でき、duplex {half | full} インターフェイスサブコマンドを使って特定のデュプレックスに設定することもできます。これらの両方が同一のインターフェイスに対して設定されている場合、スイッチまたはルータはそのインターフェイスで IEEE 標準のオートネゴシエーション処理を無効にします。

次の show interfaces と show interfaces status コマンドは、インターフェイスの速度およびデュプレックス設定を一覧表示しますが、show interfaces status コマンドだけが、スイッチが速度とデュプレックス設定をどのように決定したかを示します。これは、接頭辞 a- を付けて、すべての自動ネゴシエーション(autonegotiated)設定を列挙します。たとえば a-full は、自動ネゴシエーションによって決定された全二重(full-duplex)を意味し、一方 full は、手動で構成された全二重(full-duplex)を意味します。自動ネゴシエーションはうまく機能するものの、デフォルト値によって duplex mismatch と呼ばれる問題が起きる可能性があります。この問題では、デバイスはリンクがアップしていると考える一方で、一方は半二重(half-duplex)を使い、もう一方は全二重(full-duplex)を使うことになります。

入力エラー数と CRC エラー数は、show interfaces コマンド出力にあるカウンタのうちのほんの2つにすぎません。課題は、どのカウンタを見ればよいか、どれが問題の発生を示しているか、そしてどれが正常であり問題ではないかを判断することです。以下に、問題を示すものと、問題ではない通常のイベントを単に数えているだけのものを理解し始めるためのカウンタ一覧を示します：

• Runts: 最小フレームサイズ要件を満たさなかったフレーム（64 バイト。18 バイトの宛先 MAC、送信元 MAC、タイプを含む）。Runts は衝突によって発生することがあります。
• Giants: 最大フレームサイズ要件を超えたフレーム（1518 バイト。18 バイトの宛先 MAC、送信元 MAC、タイプを含む）。
• Input Errors: runts、giants、no buffer、CRC、frame、overrun、ignored のカウントを含むカウンタの合計数です。
• CRC：FCS の計算を通過しなかった受信フレームです。これは衝突によって発生することがあります。
• フレーム：不正な形式を持つ受信フレームです（たとえば、部分バイトで終わっている場合）。衝突によって発生することがあります。
• パケット出力：インターフェイスから転送された総パケット（フレーム）数です。
• 出力エラー：スイッチポートが送信しようとしたものの、何らかの問題が発生した総パケット（フレーム）数です。
• 衝突：インターフェイスがフレームを送信しているときに発生したすべての衝突のカウントです。
• Late Collisions: フレームの64バイト目が送信された後に発生する、すべての衝突のうちの一部を指します。正しく動作しているイーサネットLANでは、衝突は最初の64バイト以内に発生するはずです。現在の「レイト（遅延）な衝突」は、多くの場合デュプレックスの不一致を示唆します。

MACアドレステーブルの内容を予測する

スイッチはMACアドレスを学習し、その後、MACアドレステーブルのエントリを使って各フレームを転送／フィルタリングするかを判断します。特定のスイッチがイーサネットフレームをどのように転送するかを正確に把握するには、Ciscoスイッチ上のMACアドレステーブルを調べる必要があります。

show mac address-table exec コマンドは、スイッチのMACアドレステーブルの内容を表示します。このコマンドは、スイッチが現在把握しているすべてのMACアドレスを一覧表示します。出力には、スイッチが使用するいくつかの静的なオーバーヘッドMACアドレスと、ポートセキュリティ機能で設定されているものなど、静的に設定されたMACアドレスが含まれます。また、このコマンドは、動的に学習されたすべてのMACアドレスも一覧表示します。動的に学習されたMACアドレステーブルのエントリだけを見たい場合は、単に show mac address-table dynamic EXECコマンドを使用してください。

MACアドレステーブルのエントリを予測するには、LANの反対側にある別のデバイスへ、あるデバイスが送信するフレームを想像し、そのフレームがLANを通過する際にどのスイッチポートへ入っていくことになるかを判断する必要があります。

ポートセキュリティとフィルタリング

LAN スイッチを通過するフレームの経路を追跡するときは、すべてのインターフェイスが稼働していても、さまざまな種類のフィルタによってフレームが破棄されることがある点に注意してください。たとえば、LAN スイッチは、送信元および宛先の MAC アドレスに基づいてフィルタし、一部のフレームを破棄するアクセス制御リスト（access control lists: ACLs）と呼ばれるフィルタを使用できます。さらにルーターは、IP ACL を使って IP パケットをフィルタリングできます。場合によっては、ポート セキュリティがインターフェイスをシャットダウンしたため、ポート セキュリティが動作したことを簡単に判別できます。

しかし別のケースでは、ポート セキュリティはインターフェイスをアップ状態のままにしますが、不正な（問題のある）トラフィックだけを単に破棄します。トラブルシューティングの観点では、インターフェイスをアップ状態のままにしつつもフレームを破棄するポート セキュリティ設定では、インターフェイスや MAC アドレス テーブルを眺めるだけでは不十分で、ポート セキュリティの状態を注意深く確認する必要があります。ポート セキュリティは 3 つの違反モード（shutdown, protect と restrict）を許可しますが、shutdown のデフォルト設定だけがスイッチにそのインターフェイスを err-disable にさせます。

ポート セキュリティが稼働していることの証拠を見つけるには、次を実行する必要があります。show port-security interface コマンドです。 また、MAC アドレス テーブルは、ポート セキュリティが有効になっている可能性を示すいくつかのヒントも与えます。ポート セキュリティは MAC アドレスを管理するため、ポート セキュリティが有効になっているポートに関連付けられた MAC アドレスは、静的 MAC アドレスとして表示されます。その結果、show mac address-table dynamic コマンドでは、ポート セキュリティが有効になっているインターフェイスの MAC アドレスは一覧表示されません。 しかし、show mac address-table および show mac address-table static コマンドでは、これらの静的 MAC アドレスが一覧表示されます。

適切なアクセス インターフェイスが適切な VLAN にあることを確認する

各アクセス（access）インターフェイスが正しい VLAN に割り当てられていることを確認するには、エンジニアは単に、どのスイッチのインターフェイスがトランク（trunk）ではなくアクセス・インターフェイスであるかを特定し、各インターフェイスに割り当てられているアクセス VLAN を確認したうえで、その情報をドキュメントと照合するだけで構いません。可能であれば、まず show vlan および show vlan brief コマンドから始めてください。これらの show コマンドは、すべての既知の VLAN と、各 VLAN に割り当てられたアクセス・インターフェイスを一覧表示します。ただし注意点として、これら 2 つのコマンドでは稼働中のトランク（operational trunks）は一覧に出ません。出力には、その他のすべてのインターフェイス（現在トランク動作していないもの）が含まれます。インターフェイスが動作中か、動作していない状態かは問いません。

もし show vlan および show interface switchport コマンドが利用できない場合は、show mac address-table コマンドでもアクセス VLAN の特定に役立ちます。このコマンドは MAC アドレス・テーブルを一覧表示し、各エントリには MAC アドレス、インターフェイス、VLAN ID が含まれます。インターフェイスが誤った VLAN に割り当てられている場合は、switchport access vlan vlan-id インターフェイスのサブコマンドを使用して、正しい VLAN ID を割り当ててください。

アクセス VLAN が定義されていない

スイッチは、設定されていない VLAN、または設定されているものの無効化（shutdown）されている VLAN のフレームを転送しません。show vlan コマンドは常にスイッチが認識しているすべての VLAN を一覧表示しますが、show running-config コマンドはそうではありません。VTP サーバーおよびクライアントとして設定されたスイッチでは、現在の running-config または startup-config ファイル内に vlan コマンドが一覧表示されません。これらのスイッチでは show vlan コマンドを使用する必要があります。VTP 透明モードを使用するように設定された、または VTP を無効化しているスイッチでは、設定ファイル内に vlan の設定コマンドが一覧表示されます。（スイッチの現在の VTP モードを調べるには show vtp status コマンドを使用します。）VLAN が存在しないことを確認した後は、その VLAN が単に定義される必要があるだけである可能性があります。

アクセス VLAN が無効化されている

トラブルシューティングの次の手順として、各 VLAN がアクティブであることを確認します。 show vlan コマンドは、次の 2 つの状態のいずれかを表示します： active または act/lshut。後者は、その VLAN がシャットダウンされていることを意味します。VLAN をシャットダウンすると、そのスイッチ上でのみ VLAN が無効化されるため、スイッチはその VLAN のフレームを転送しません。Cisco IOS では、VLAN を無効化する（shutdown）および有効化する（no shutdown）ための、よく似た 2 つの設定方法が用意されています。

トランクの両端で許可された VLAN リストを確認する

トランクの両端で許可された VLAN リストが一致していない場合、そのトランクはその VLAN のトラフィックを通過させられません。各側で show interfaces trunk コマンドの出力はまったく正常に見えますが、問題を見つけるにはトランク両端の許可リストを比較する必要があります。

トランクの運用状態が一致していない

トランクが正しく設定されていれば、両方のスイッチが同じ VLAN セットのフレームを転送します。トランクが誤って設定されていると、いくつか異なる結果になることがあります。場合によっては、両方のスイッチが「自分のインターフェイスはトランクになっていない」と結論づけます。別の場合には、一方のスイッチは自分のインターフェイスが正しくトランク化されていると考えているのに、もう一方のスイッチはそう考えていないことがあります。

最もよくある誤った設定（その結果、両方のスイッチがトランキングしません）では、リンク上の両方のスイッチに switchport mode dynamic auto コマンドを使用します。“auto”という言葉から、リンクが自動的にトランク化されると思ってしまいがちですが、実際には両方のスイッチが、リンク上の相手デバイスが交渉（ネゴシエーション）を開始するのを待ちます。この誤った設定を見つけるには、 show interfaces switchport コマンドを使って、両方のスイッチで管理状態が「auto」になっており、さらに両方が「static access」ポートとして動作していることを確認してください。

結論

これで、ネットワーク管理者が毎日直面する問題を調査するための基本的なトラブルシューティングコマンドを理解できました。さらに、トラブルシューティングコマンドとその説明を手元ですぐ確認できる Cisco Commands Cheat Sheet をダウンロードすることもできます。