許可された BPDU リストの宛先 MAC アドレスを使用してカスタムのセグメント セキュリティ セグメント プロファイルを作成し、レートの制限を構成することができます。

前提条件

セグメント セキュリティ セグメント プロファイルの概念を理解します。スイッチ セキュリティのスイッチング プロファイルの理解 を参照してください。

手順

  1. ブラウザから、NSX Manager (https://<nsx-manager-ip-address>) に管理者権限でログインします。
  2. [ネットワーク] > [セグメント] > [セグメント プロファイル] の順に選択します。
  3. [セグメント プロファイルの追加] をクリックして、[セグメント セキュリティ] を選択します。
  4. セグメント セキュリティ プロファイルの詳細を入力します。
    オプション 説明
    名前 プロファイルの名前です。
    BPDU フィルタ

    [BPDU フィルタ] ボタンを切り替えて BPDU フィルタを有効にします。デフォルトは無効です。

    BPDU フィルタを有効にすると、BPDU の宛先の MAC アドレスに対するすべてのトラフィックがブロックされます。また、BPDU フィルタを有効にすると、論理スイッチ ポートの STP が無効になります。これらのポートが STP に参加することは想定されていないためです。

    BPDU フィルタ許可リスト BPDU の宛先の MAC アドレス リストから宛先の MAC アドレスをクリックし、宛先を承認してトラフィックの送信を許可します。このリストから選択できるようにするには、[BPDU フィルタ] を有効にする必要があります。
    DHCP フィルタ

    [サーバ ブロック] ボタンおよび [クライアント ブロック] ボタンを切り替えて、DHCP フィルタを有効にします。どちらもデフォルトは無効です。

    DHCP サーバのブロックにより、DHCP サーバから DHCP クライアントへのトラフィックがブロックされます。DHCP サーバから DHCP リレー エージェントへのトラフィックはブロックされないことに注意してください。

    DHCP クライアントのブロックでは DHCP 要求がブロックされるため、仮想マシンによる DHCP IP アドレスの取得を防止できます。

    DHCPv6 フィルタ

    [サーバ ブロック - IPv6] ボタンおよび [クライアント ブロック - IPv6] ボタンを切り替えて、DHCP フィルタを有効にします。どちらもデフォルトは無効です。

    DHCPv6 サーバのブロックにより、DHCPv6 サーバから DHCPv6 クライアントへのトラフィックがブロックされます。DHCP サーバから DHCP リレー エージェントへのトラフィックはブロックされないことに注意してください。UDP 送信元ポート番号が 547 のパケットがフィルタされます。

    DHCPv6 クライアントのブロックでは DHCP 要求がブロックされるため、仮想マシンによる DHCP IP アドレスの取得を防止できます。UDP 送信元ポート番号が 546 のパケットがフィルタされます。

    非 IP トラフィックをブロック

    [非 IP トラフィックをブロック] ボタンを切り替えて、IPv4、IPv6、ARP および BPDU トラフィックのみを許可します。

    それ以外のトラフィックはブロックされます。IPv4、IPv6、ARP、GARP および BPDU トラフィックは、アドレスの割り当ておよび SpoofGuard に構成されたその他のポリシーに基づいて許可されます。

    デフォルトではこのオプションは無効で、非 IP トラフィックは通常のトラフィックとして処理されます。

    RA ガード 入力方向の IPv6 ルーター アドバタイズを除外するには、[RA ガード] ボタンを切り替えます。ICMPv6 タイプ 134 パケットが除外されます。このオプションはデフォルトで有効です。
    レート制限

    ブロードキャスト トラフィックとマルチキャスト トラフィックのレート制限を設定します。このオプションはデフォルトで有効です。

    レート制限は、ブロードキャストの大量発生などのイベントから論理スイッチや仮想マシンを保護するために使用できます。

    接続の問題を回避するため、レートの制限の最小値は 10 pps 以上にする必要があります。

  5. [保存] をクリックします。