1. [NMS-2] IOS/IOS-XE運用管理機能テクニカルアップデート
PSU Week 2016 May
[NMS-2] IOS/IOS-XE運用管理機能テクニカルアップデート
エンタープライズシステムエンジニアリング
シニアシステムズエンジニア
岡本　京

2. [NMS-2] IOS/IOS-XE運用管理機能テクニカルアップデート
Cisco IOS/IOS-XEには、運用コストの削減に利用できる高度な管理機能 が実装されております。
本セッションではこれらの技術を比較的新しくサポートされたものを中心に 解説し、実際の設定や使用方法をご紹介いたします。基本的なネットワー ク管理技術やIOSの運用を理解されたうえで、さらに踏み込んだ活用に関 心のある方に有用なセッションです。
レベル 3
今回はCatalyst 2k/3kを取扱います

3. 最近の主な新機能 – 運用管理関連 ■ IOS-XE 16, 3E （Catalyst 3850/3650）
Interface templates
16.2.1
Embedded Event Manager (EEM) 4.0
2/release_notes/ol html#pgfId
MediaTrace 1.0
Local Policies
Source Group Tag (SGT) and Destination Group Tag (DGT) over Flexible NetFlow
Flexible Netflow Enhancement (IPFIX Export)
16.1.1
1/release_notes/ol html#pgfId
■ IOS 15.2E （Catalyst 2960-X）
Embedded Packet Capture (EPC) and Enhanced EPC with Wireshark
15.2.4E
Web User Interface
2_3_e/release_notes/rn-2523e-2960x-xr.html
3.7.0E
tes/rn-3dot7e-3850.html#pgfId
Embedded Event Manager (EEM)
15.2.3E
AutoQoS Compact
Netflow IPv6 Exporter/IPv6 Extended Host Mode
3.6.0E
FnF Egress IF Export
tes/OL html#pgfId
AN Infra
15.2.2E
Medianet Support (MSP, Metadata (no QoS), Perfmon, Mediatrace)
2_2_e/release_notes/OL html
Open Plug-N-Play Agent
Role-Based CLI Inclusive Views
HTTP Gleaning
Secure CDP
Auto configuration

4. 本日ご紹介する内容 Catalyst 3k/2kのNetFlow Interface Template
ネットワーク可視化のためのキーテクノロジー
従来からのネットワーク管理、障害対応に加えてセキュリティ用途でも注目
Interface Template
Auto Configuration; autoconf
Embedded Event Manager 4.0

5. Catalyst 3850/3650のNetFlow Flow Record Flow Monitor Interface
As of
IOS-XE
3.6.4E
Catalyst 3850/3650のNetFlow
Flow Record
Flow Exporter
Flow Monitor
Sampler
Interface
収集する情報を指定する
Flow Recordの作成
C3650(config)#flow record fr1
C3650(config-flow-record)# match ipv4 source address
C3650(config-flow-record)# match ipv4 destination address
C3650(config-flow-record)# collect counter bytes long
C3650(config-flow-record)# collect counter packets long
C3650(config-flow-record)# collect timestamp absolute first
C3650(config-flow-record)# collect timestamp absolute last

6. Catalyst 3850/3650のNetFlow サポートされるキー(match)/ノンキー(Collect) フィールドの設定
Key Field
match application name
match datalink {dot1q | ethertype | mac | vlan }
match flow {direction | cts {source | destination} group-tag}
match interface {input | output}
match ipv4 {destination | protocol | source | tos | ttl | version}
match ipv6 {destination | hop-limit | protocol | source | traffic-class | version }
match transport {destination-port | igmp | icmp | source-port}
match wireless ssid
Non-Key Field
collect counter { bytes { layer2 { long } | long } | packets { long } }
collect interface {input | output}
collect timestamp absolute {first | last}
collect transport tcp flags
collect wireless ap mac address
※ Wireless LANのみ
※ Wireless LANのみ
※ Wireless LANのみ

7. Catalyst 3850/3650のNetFlow (Cont.)
Flow Record
Flow Exporter
Flow Monitor
Sampler
Interface
NetFlow Cacheの出力先を指定する
Flow Exporterの作成
C3650(config)#flow exporter fe1
C3650(config-flow-exporter)#destination vrf Mgmt
C3650(config-flow-exporter)#transport udp 2055

8. Catalyst 3850/3650のNetFlow (Cont.)
Flow Record
Flow Exporter
Flow Monitor
Sampler
Interface
Destination（Flow Collectorのアドレス）はIPv4/IPv6をサポート
Export ProtocolはNetFlow v9又はIPFIX（NetFlow v5は無し）
Data Template, Option TemplateのTimeout（再送間隔）はFlow Exporter内で設定

9. Catalyst 3850/3650のNetFlow (Cont.)
Flow Record
Flow Exporter
Flow Monitor
Sampler
Interface
Record, Exporterを紐づけMonitorを作成する
Flow Monitorの作成
C3650(config)#flow monitor fm1
C3650(config-flow-monitor)#record fr1
C3650(config-flow-monitor)#exporter fe1

10. Catalyst 3850/3650のNetFlow (Cont.)
Flow Record
Flow Exporter
Flow Monitor
Sampler
Interface
Flow Exporterは複数エントリの設定が可能
Flow CacheのActive Timeout, Inactive TimeoutはFlow Monitor内で設定する。デフォルトは 下記の通り
Active Timeout: 1800 sec
Inactive Timeout: 15 sec

11. Catalyst 3850/3650のNetFlow (Cont.)
Flow Record
Flow Exporter
Flow Monitor
Sampler
Interface
サンプリングポリシーを作成する
Flow Samplerの作成
C3650(config)#sampler sa1
C3650(config-sampler)#mode random 1 out-of 32

12. Catalyst 3850/3650のNetFlow (Cont.)
Flow Record
Flow Exporter
Flow Monitor
Sampler
Interface
Samplerの作成及び使用はオプション（使用しない場合Full Packetが対象）
サンプリングレートが高いほど機器や回線の負荷を削減できるが、情報の精度が下がる

13. Catalyst 3850/3650のNetFlow (Cont.)
Flow Record
Flow Exporter
Flow Monitor
Sampler
Interface
Flow Monitor及びSamplerをインターフェースに適用する
インターフェースへの適用
C3650(config)#interface gigabitEthernet 1/0/1
C3650(config-if)#ip flow monitor fm1 input
C3650(config)#interface gigabitEthernet 1/0/5
C3650(config-if)#ip flow monitor fm2 sampler sa1 input
C3650(config-if)#ip flow monitor fm2 sampler sa1 output

14. Catalyst 3850/3650のNetFlow (Cont.)
Flow Record
Flow Exporter
Flow Monitor
Sampler
Interface
Input, OutputそれぞれにFlow Monitorを適用可能
Samplerの適用はオプション
Flow Monitorは下記に対して適用可能
Layer 3 Interface
Layer 2 Interface (switchport)
WLAN

15. Catalyst 3850/3650のNetFlow (Cont.)
設定の確認
C3650#show flow record fr1
flow record fr1:
Description: User defined
No. of users:
Total field space: 44 bytes
Fields:
match ipv4 source address
match ipv4 destination address
collect counter bytes long
collect counter packets long
collect timestamp absolute first
collect timestamp absolute last

16. Catalyst 3850/3650のNetFlow (Cont.)
設定の確認
C3650#show flow exporter fe1
Flow Exporter fe1:
Description: User defined
Export protocol: NetFlow Version 9
Transport Configuration:
Destination IP address:
VRF label: Mgmt
Source IP address:
Transport Protocol: UDP
Destination Port:
Source Port:
DSCP: x0
TTL:
Output Features: Used

17. Catalyst 3850/3650のNetFlow (Cont.)
設定の確認
C3650#show sampler sa1
Sampler sa1:
ID:
export ID:
Description: User defined
Type: random
Rate: out of 2
Samples:
Requests:
Users (0):

18. Catalyst 3850/3650のNetFlow (Cont.)
設定の確認
C3650#show flow monitor fm1
Flow Monitor fm1:
Description: User defined
Flow Record: fr1
Flow Exporter: fe1
Cache:
Type: normal (Platform cache)
Status: allocated
Size: Unknown
Inactive Timeout: secs
Active Timeout: secs
Update Timeout: secs
Synchronized Timeout: 600 secs

19. Catalyst 3850/3650のNetFlow (Cont.)
設定の確認
C3650#show flow interface
Interface GigabitEthernet1/0/1
FNF: monitor: fm1
direction: Input
traffic(ip): on

20. Catalyst 3850/3650のNetFlow (Cont.)
デバイス上のFlow Cacheの内容確認 – Table表示
C3650#show flow monitor fm1 cache format table
Cache type: Normal (Platform cache)
Cache size: Unknown
Current entries:
Flows added:
Flows aged:
- Inactive timeout ( secs)
IPV4 SRC ADDR IPV4 DST ADDR bytes long pkts long time abs first time abs last
=============== =============== ==================== ==================== ============== =============
:31: :31:36.000
:31: :31:25.000
:31: :31:35.000
:31: :31:33.000
:31: :31:39.000
:31: :31:38.000
<snip>
前ページの下記設定により定義された収集項目

21. Catalyst 3850/3650のNetFlow (Cont.)
デバイス上のFlow Cacheの内容確認 – CSV表示
C3650#show flow monitor fm1 cache format csv
<snip>
IPV4 SRC ADDR,IPV4 DST ADDR,bytes long,pkts long,time abs first,time abs last
, ,480,3,06:31:32.000,06:31:44.000
, ,136,2,06:31:33.000,06:31:35.000
, ,151,1,06:31:33.000,06:31:33.000
, ,384,6,06:31:33.000,06:31:44.000
, ,806,3,06:31:38.000,06:31:43.000
, ,28336,92,06:24:08.000,06:31:43.000

22. Catalyst 2960-XのNetFlow Lite
As of
IOS
15.2(4)E
Catalyst 2960-XのNetFlow Lite
Flow Record
Flow Exporter
Flow Monitor
Sampler
Interface
収集する情報を指定する
Flow Recordの作成
C2960X(config)#flow record fr1
C2960X(config-flow-record)#match ipv4 source address
C2960X(config-flow-record)#match ipv4 destination address
C2960X(config-flow-record)#collect counter bytes long
C2960X(config-flow-record)#collect counter packets long
C2960X(config-flow-record)#collect timestamp sys-uptime first
C2960X(config-flow-record)#collect timestamp sys-uptime last

23. Catalyst 2960-XのNetFlow Lite
サポートされるキー(match)/ノンキー(Collect) フィールドの設定
Key Field
match datalink {ethertype | mac {destination address input | source address input}}
match ipv4 {destination {address} | protocol | source {address} | tos}
match ipv6 {destination {address} | flow-label | protocol | source {address} | traffic-class}
match transport {destination-port | source-port}
Non-Key Field
collect counter {bytes {long | permanent } | packets { long | permanent}}
collect flow {sampler}
collect interface {input}
collect timestamp sys-uptime {first | last}
collect transport tcp flags

24. Catalyst 2960-XのNetFlow Lite (Cont.)
Flow Record
Flow Exporter
Flow Monitor
Sampler
Interface
NetFlow Cacheの出力先を指定する
Flow Exporterの作成
C2960X(config)#flow exporter fe1
C2960X(config-flow-exporter)#destination
C2960X(config-flow-exporter)#transport udp 2055

25. Catalyst 2960-XのNetFlow Lite (Cont.)
Flow Record
Flow Exporter
Flow Monitor
Sampler
Interface
Destination（Flow Collectorのアドレス）はIPv4のみ
Export ProtocolはNetFlow v9のみ（NetFlow v5、IPFIXは無し）
Data Template, Option TemplateのTimeout（再送間隔）はFlow Exporter内で設定

26. Catalyst 2960-XのNetFlow Lite (Cont.)
Flow Record
Flow Exporter
Flow Monitor
Sampler
Interface
Record, Exporterを紐づけMonitorを作成する
Flow Monitorの作成
C2960X(config)#flow monitor fm1
C2960X(config-flow-monitor)#record fr1
C2960X(config-flow-monitor)#exporter fe1

27. Catalyst 2960-XのNetFlow Lite (Cont.)
Flow Record
Flow Exporter
Flow Monitor
Sampler
Interface
Flow Exporterは複数エントリの設定が可能
Flow CacheのActive Timeout, Inactive TimeoutはFlow Monitor内で設定する。デフォルトは 下記の通り
Active Timeout: 1800 sec
Inactive Timeout: 15 sec

28. Catalyst 2960-XのNetFlow Lite (Cont.)
Flow Record
Flow Exporter
Flow Monitor
Sampler
Interface
サンプリングポリシーを作成する
Flow Samplerの作成
C3650(config)#sampler sa1
C3650(config-sampler)#mode random 1 out-of 32

29. Catalyst 2960-XのNetFlow Lite (Cont.)
NetFlow LiteではSamplerは必須　レートは1/1022～1/32
Catalyst 2960-Xは筐体あたり4つのSampler ハードウェアリソースを保持しており、下記のモードに応じて使用 される
Deterministic:
同一のSamplerを複数のインターフェースに適用した場合、それぞれのインターフェースが別のSampler ハードウェアリソース を使用する
上記により4インターフェースでの有効化が最大となる
それぞれのインターフェースで正確にレート通りのサンプリングが実行される
Random:
同一のSamplerを複数のインターフェースに適用した場合、全てのインターフェースが同一のSamplerハードウェアリソースを 使用する
上記により多くのインターフェースでの有効化も可能
同一のSamplerを適用した全てのインターフェースを対象にサンプリングが実行されるため、個々のインターフェース単位では 設定と異なるレートでサンプリングが実行されている場合がある

30. Catalyst 2960-XのNetFlow Lite (Cont.)
Flow Record
Flow Exporter
Flow Monitor
Sampler
Interface
Flow Monitor及びSamplerをインターフェースに適用する
インターフェースへの適用
C2960X(config)#interface gigabitEthernet 1/0/1
C2960X(config-if)#ip flow monitor fm1 input
% Flow Monitor: Flow Monitor 'fm1' couldn't be added. Please associate a sampler with the monitor
C2960X(config-if)#ip flow monitor fm1 sampler sa1 input

31. Catalyst 2960-XのNetFlow Lite (Cont.)
Flow Record
Flow Exporter
Flow Monitor
Sampler
Interface
Input方向にFlow Monitorを適用可能
Samplerの適用は必須

32. Catalyst 2960-XのNetFlow Lite (Cont.)
設定の確認
C2960X#show flow record fr1
flow record fr1:
Description: User defined
No. of users:
Total field space: 32 bytes
Fields:
match ipv4 source address
match ipv4 destination address
collect counter bytes long
collect counter packets long
collect timestamp sys-uptime first
collect timestamp sys-uptime last

33. Catalyst 2960-XのNetFlow Lite (Cont.)
設定の確認
C2960X#show flow exporter fe1
Flow Exporter fe1:
Description: User defined
Export protocol: NetFlow Version 9
Transport Configuration:
Destination IP address:
Source IP address:
Transport Protocol: UDP
Destination Port:
Source Port:
DSCP: x0
TTL:
Output Features: Not Used

34. Catalyst 2960-XのNetFlow Lite (Cont.)
設定の確認
C2960X#show sampler sa1
Sampler sa1:
ID:
export ID:
Description: User defined
Type: random
Rate: out of 32
Samples:
Requests:
Users (1):
flow monitor fm1 (ip,Gi1/0/1,Input) 0 out of 0

35. Catalyst 2960-XのNetFlow Lite (Cont.)
設定の確認
C2960X#show flow monitor fm1
Flow Monitor fm1:
Description: User defined
Flow Record: fr1
Flow Exporter: fe1
Cache:
Type: normal
Status: allocated
Size: entries / bytes
Inactive Timeout: secs
Active Timeout: secs
Update Timeout: secs
Synchronized Timeout: 600 secs

36. Catalyst 2960-XのNetFlow Lite (Cont.)
設定の確認
C2960X#show flow interface
Interface GigabitEthernet1/0/1
FNF: monitor: fm1
direction: Input
traffic(ip): sampler sa1

37. Catalyst 2960-XのNetFlow Lite (Cont.)
デバイス上のFlow Cacheの内容確認 – Table表示
C2960X#show flow monitor fm1 cache format table
Cache type: Normal
Cache size:
Current entries:
High Watermark:
Flows added:
Flows aged:
- Active timeout ( secs)
- Inactive timeout ( secs)
- Event aged
- Watermark aged
- Emergency aged
IPV4 SRC ADDR IPV4 DST ADDR bytes long pkts long time first time last
=============== =============== ==================== ==================== ============ ============
:29: :29:23.302
:29: :29:23.302
:29: :29:23.302
<snip>
前ページの下記設定により定義された収集項目

38. Catalyst 2960-XのNetFlow Lite (Cont.)
デバイス上のFlow Cacheの内容確認 – CSV表示
C2960X#show flow monitor fm1 cache format csv
<snip>
IPV4 SRC ADDR,IPV4 DST ADDR,bytes long,pkts long,time first,time last
, ,72,1,17:29:23.301,17:29:23.301
, ,179,1,17:29:23.301,17:29:23.301
, ,70,1,17:29:23.301,17:29:23.301

39. Interface Template Builtin Template一覧 IOS-XE 3.6.0E IOS 15.2.2E
インターフェース設定をテンプレートベースで管理しメンテナンス性を向上
定義済みのBuiltin Templateと自由に作成可能なUser Template
インターフェースへの適用はStaticの他に自動識別によるDynamic Bindingも可能（autoconf; 後述）
Builtin Template一覧
AP_INTERFACE_TEMPLATE (Access Point)
DMP_INTERFACE_TEMPLATE (Digital Media Player)
IP_CAMERA_INTERFACE_TEMPLATE
IP_PHONE_INTERFACE_TEMPLATE
LAP_INTERFACE_TEMPLATE (Lightweight Access Point)
MSP_CAMERA_INTERFACE_TEMPLATE
MSP_VC_INTERFACE_TEMPLATE (Video Conferencing)
PRINTER_INTERFACE_TEMPLATE
ROUTER_INTERFACE_TEMPLATE
SWITCH_INTERFACE_TEMPLATE
TP_INTERFACE_TEMPLATE (TelePresence)

40. Interface Template (Cont.)
User Templateの作成
C3650(config)#template USER_PC_TEMPLATE_01
C3650(config-template)#switchport mode access
C3650(config-template)#load-interval 30
C3650(config-template)#end

41. Interface Template (Cont.)
C3650#show template interface all
Building configuration...
User-defined templates:
=======================
Template Name : USER_PC_TEMPLATE_01
Template Definition :
switchport mode access
load-interval 30 !
end
この後Builtin Templateの表示が続く

42. Interface Template (Cont.)
TemplateのStatic Binding
C3650(config)#int gi1/0/5
C3650(config-if)#source template USER_PC_TEMPLATE_01
C3650(config-if)#end
C3650#show template binding target gi1/0/5
Interface Templates
===================
Interface: Gi1/0/5
Method Source Template-Name
static User USER_PC_TEMPLATE_01

43. Interface Template (Cont.)
C3650#show run int gi1/0/5
Building configuration...
Current configuration : 75 bytes !
interface GigabitEthernet1/0/5
source template USER_PC_TEMPLATE_01
end
C3650#show derived-config int g1/0/5
Building configuration...
Derived configuration : 80 bytes !
interface GigabitEthernet1/0/5
switchport mode access
load-interval 30
end
show running-configでは適用しているTemplateが表示される
Templateにより適用された設定はshow derived-configにより確認

44. Auto Configuration; autoconf
IOS-XE
3.6.0E
IOS
15.2.2E
Auto Configuration; autoconf
デバイスが接続されたら、ポリシーに応じて設定を自動投入
自動化による設定や管理の工数削減、人的ミスの削減、ガバナンスの向上
デバイスレベル
インターフェースレベル
autoconf
Built-in policy
autoconf enable
Gi1/0/1
グローバルで有効化すると、
全てのインターフェースでBuilt-in Policyに基づいた
デバイス識別とテンプレート割り当てが有効化
Gi1/0/2
autoconf
Built-in policy ・
autoconf
Built-in policy
Gi1/0/24
access-session inherit disable autoconf
disable
識別が不要なインターフェースでは無効化

45. Auto Configuration; autoconf (Cont.)
設定と確認
C3650(config)#autoconf enable
C3650(config)#exit
C3650#show device classifier attached
Summary:
MAC_Address Port_Id Profile Name Device Name
============== ========== ================== ===================
0026.0bd9.7bbb Gi3/0/ Cisco-IP-Phone Cisco IP Phone 7962
C3650#show template binding target GigabitEthernet 3/0/26
Interface Templates
===================
Interface: Gi3/0/26
Method Source Template-Name
dynamic Built-in IP_PHONE_INTERFACE_TEMPLATE
デバイスタイプやOUIなどの分類基準に応じて
Interface Templateが割り当てられる

46. Auto Configuration; autoconf (Cont.)
Builtin Policyの確認
C3650#show policy-map type control subscriber
BUILTIN_AUTOCONF_POLICY
event identity-update match-all
10 class always do-until-failure
10 map attribute-to-service table BUILTIN_DEVICE_TO_TEMPLATE
C3650#show parameter-map type subscriber attribute-to-service all
Parameter-map name: BUILTIN_DEVICE_TO_TEMPLATE
Map: 10 map device-type regex "Cisco-IP-Phone"
Action(s):
20 interface-template IP_PHONE_INTERFACE_TEMPLATE
Map: 20 map device-type regex "Cisco-IP-Camera"
20 interface-template IP_CAMERA_INTERFACE_TEMPLATE
<snip>
前ページのTemplateはこのエントリにより選択

47. Auto Configuration; autoconf (Cont.)
Device Classification Profileの確認
C3650#show device classifier profile type all
Valid Type Profile Name min Conf ID
=========== ========= ================== ======== ====
Valid Default Android
Valid Default Apple-Device
Valid Default Intel-Device
Valid Default Apple-MacBook
Valid Default Apple-iPad
Valid Default Apple-iPhone
Valid Default Apple-iPod
Valid Default Aruba-Device
Valid Default Avaya-Device
Valid Default Avaya-IP-Phone
Valid Default BlackBerry
<snip>
290個の様々なProfileを保持

48. Auto Configuration; autoconf (Cont.)
カスタムのPolicy-map/Parameter-mapを使用する場合は、service-policyコマンドを使用する
Gi1/0/1
autoconf
Built-in policy
Gi1/0/2
Gi1/0/24 ・
C3650(config)#autoconf enable
C3650(config)#autoconf enable
C3650(config)#int gi1/0/2
C3650(config-if)#access-session inherit disable autoconf
C3650(config-if)#service-policy type control subscriber CUSTOM_POLICY
Gi1/0/1
autoconf
service-policy
Built-in policy
Custom policy
Gi1/0/2
Gi1/0/24 ・
Gi1/0/1
service-policy
Custom policy
Gi1/0/2
Gi1/0/24 ・
C3650(config)#service-policy type control subscriber CUSTOM_POLICY

49. Embedded Event Manager 4.0
IOS-XE
3.6.0E
IOS
15.2.4E
Embedded Event Manager 4.0
ネットワーク機器単体で、プログラミングスキル無しに 使用可能なイベントドリブン スクリプト
スケジュールや機器の挙動に基づいた自動アクション により効率的な運用を支援
ルータ、Catalyst 6k, 4k, 3k, Nexus 7k, 5kに加えて Catalyst 2960-Xでも使用可能に

50. Embedded Event Manager 4.0
IOS-XE
3.6.0E
IOS
15.2.4E
Embedded Event Manager 4.0
(3) 実行するポリシーはCLIベースで定義可能なEEM AppletやTclスクリプトなど
(2) EDがイベントを検出すると、IOS上で動作するEEMサーバによりポリシー（スクリプト）が実行
(1) Event Detector（ED）によりデバイス内のコンポーネントの状態変化（イベント）が監視される
※ 使用できるEDはEEM 4.0であってもデバイスやOS種別によって差異がございます

51. Embedded Event Manager 4.0 (Cont.)
EEM Versionと使用可能なEvent Detectorの確認
C2960X#show event manager version
Embedded Event Manager Version 4.00
Component Versions:
eem: (rel9)1.2.8
eem-gold: (rel1)1.0.2
eem-call-home: (rel2)1.0.4
Event Detectors:
Name Version Node Type
application node0/0 RP
identity node0/0 RP
mat node0/0 RP
neighbor-discovery node0/0 RP
generic node0/0 RP
routing node0/0 RP
syslog node0/0 RP
cli node0/0 RP
<snip>
EDの例
syslog Syslogメッセージから正規表現でパターンを検出
timer スケジュールに従って定期的にEventを実行
CLI 特定のコマンドの実行を検出
MAT MAC Address Tableのエントリの変化を検出
Interface Interfaceの状態やカウンタの変化を検出

52. Embedded Event Manager 4.0 (Cont.)
Event Detectorの詳細確認
C2960X#show event manager detector syslog detailed
<snip>
Applet Configuration Syntax:
[ no ] event [tag <tag-val>] syslog
[pattern <pattern-val>]
[sequence <sequence-val>]
[timestamp <timestamp-val>]
[facility <facility-val>]
[mnemonic <mnemonic-val>]
Applet Built-in Environment Variables:
$_event_id
$_job_id
$_event_type
$_event_type_string
EEM Applet作成時のコマンドシンタックスと定義済み変数の一覧

53. Embedded Event Manager 4.0 (Cont.)
Event Detectorの詳細確認
C2960X(config)#event manager applet DetectBroadcastIncrease
C2960X(config-applet)#event interface name GigabitEthernet1/0/1 parameter receive_broadcasts entry-op gt entry-val 5 entry-type increment poll-interval 10
C2960X(config-applet)#action 1.0 syslog msg "Broadcast storm detected on $_interface_name“
C2960X#
Apr 28 12:55:23.943: %HA_EM-6-LOG: DetectBroadcastIncrease: Broadcast storm detected on GigabitEthernet1/0/1
Applet名
CLI上の他、ActionでSyslogを出力した時などに使用される
Event
何が起こった時にAppletを起動するかを定義する
この例ではInterface Event Detectorを使用しトリガを定義
name: 監視するインターフェースの名前
parameter: 監視するパラメータ
entry-xx: イベントを発生させる条件
op: 比較演算子(gt: ＞)
val: 値
type: 絶対値、差分などの値の評価方法
poll-interval: EDのポーリング間隔
Action
Eventが検出された際に実行される動作を定義する
show event manager detector syslog detailedコマンドで確認できる定義済み変数を使用可能
EEM Appletは定義されると自動的に有効化
Cronタイマーに基づきActionで定義したフォーマットでSyslogが出力されていることを確認

54. Embedded Event Manager 4.0 (Cont.)
EEM Appletの設定確認
C2960X#show run | sec applet
event manager applet DetectBroadcastIncrease
event interface name GigabitEthernet1/0/1 parameter receive_broadcasts entry-op gt entry-val 5 entry-type increment poll-interval 10
action 1.0 syslog msg "Broadcast storm detected on $_interface_name“
C2960X#show event manager policy registered
No. Class Type Event Type Trap Time Registered Name
1 applet user interface Off Thu Apr 28 12:57: DetectBroadcastIncrease
name {GigabitEthernet1/0/1} parameter {receive_broadcasts} entry_op gt entry_val 5 entry_type increment poll_interval
maxrun
action 1.0 syslog msg "Broadcast storm detected on $_interface_name"

55. Embedded Event Manager 4.0 (Cont.)
EEM Appletの例
C2960X#show run | sec applet
event manager applet BroadcastsPerMin
event timer cron cron-entry "* * * * *"
action 1.0 cli command "show int g1/0/1 | inc broadcasts"
action 2.0 syslog msg ">> Broadcasts: $_cli_result“
1分ごとにshow interfaceコマンドを実行し、Interface G1/0/1のBroadcast受信量の値に関するSyslogを生成する

56. Embedded Event Manager 4.0 (Cont.)
EEM Appletの例
C2960X#show run | sec applet
event manager applet DetectBroadcastIncrease
event interface name GigabitEthernet1/0/1 parameter receive_broadcasts entry-op gt entry-val 5 entry-type increment poll-interval 10
action 1.0 syslog msg "Broadcast storm detected on $_interface_name“
10秒ごとにIntetrface G1/0/1のBroadcast受信量の値を監視し、値が5より大きく増加していた場合にBroadcast Stormが検出された旨のSyslogを生成する

57. Embedded Event Manager 4.0 (Cont.)
EEM Appletの例
C2960X#show run | sec applet
event manager applet RoutingTableMonitor
event routing network /0 type all ge 1
action 1.0 syslog msg "The route for $_routing_network / $_routing_mask was $_routing_type ; Protocol: $_routing_protocol , Gateway: $_routing_lastgateway , Interface: $_routing_lastinterface"
Routing Tableを監視し、何らかの経路が追加/変更/削除された際に変化があった経路情報についてのSyslogを生成する

58. Embedded Event Manager 4.0 (Cont.)
Reference
EEM Scripting Community
EEM Best Practices

59. まとめ Catalyst 3k/2kのNetFlow 本日ご紹介した新機能 ネットワーク管理やセキュリティのデータソースとしてご活用ください
Interface Template
Auto Configuration; autoconf
Embedded Event Manager 4.0