Ciscoのerr-disabledとは？原因確認・解除・再発防止

err-disabledは、Cisco スイッチがポート-セキュリティ、BPDU Guard、UDLD、リンク-flap等の異常を検知し、保護のためポートを停止した状態です。shutdown/no shutdownで一時復旧する前に、理由、時刻、対象ポート、対向、設定を保存し、原因を解消します。

(出典：https://x.com/yeiquer12/status/1970449238732812476（X：検証環境でerr-disabledの原因を調べる経験がトラブルシューティング力につながると示したポスト。）)

Ciscoのerr-disabledとは？

先に答えると、err-disabledは、Cisco スイッチがポート-セキュリティ、BPDU Guard、UDLD、リンク-flap等の異常を検知し、保護のためポートを停止した状態です。shutdown/no shutdownで一時復旧する前に、理由、時刻、対象ポート、対向、設定を保存し、原因を解消します。

原因をどのコマンドで確認する？

ポート-セキュリティは「MAC違反・上限超過」を担い、実務では「正規端末とsecure MACを確認」を確認します。続く表で各要素の役割と判断点を比べます。

異常検知 → port err-disabled → traffic停止
      ↓ reason/log保存
原因修正 → 手動またはtimer復旧 → link/L2/L3/業務通信を再試験

解除前に何を直す？

最初に「show interface status err-disabledとログを保存」を行い、最後に「リンク、VLAN、MAC、実通信、ログを再確認」を確認します。合格条件は「完了判定」です。

show interfaces status err-disabled
show errdisable detect
show errdisable recovery
show logging | include ERR|DISABLE|Gi1/0/10
show port-security interface Gi1/0/10
show spanning-tree inconsistentports

# 原因修正後の手動復旧例
interface Gi1/0/10
 shutdown
 no shutdown

Port      Name       Status       Reason
Gi1/0/10 User-PC    err-disabled psecure-violation
%PORT_SECURITY-2-PSECURE_VIOLATION: Security violation on Gi1/0/10

errdisable recoveryは使ってよい？

「解除直後に再発」の場合は「原因未解消」を原因候補にし、次に「同じ理由/ログを再確認」を確認します。正常時との差を症状ごとに追います。

再発防止をどう確認する？

errdisable recoveryを有効にすると可用性は上がる場合がありますが、ループやセキュリティ違反を自動で繰り返すリスクもあります。理由ごとに自動復旧可否、回数、アラート、現地対応を決めます。

• 対象機器・インターフェース・VRF/VLAN
• 取得日時・タイムゾーン・software バージョン
• 変更前後の同一コマンド出力
• 期待値・実測値・判定者
• 異常時の停止条件と切り戻し結果

関連する仕組みを次に確認する

次の記事では、今回の確認を隣接するレイヤーや別の観測点へ広げます。

• Ciscoの構成図とconfigを照合する方法｜uplink・対向ポートの確認
• Ciscoでリンクアップを確認する方法｜downの原因と切り分け

まとめ：解除操作より先に理由を特定し、原因修正後に全レイヤーを再試験する

要点は、解除操作より先に理由を特定し、原因修正後に全レイヤーを再試験することです。構成図、設定、確認コマンド、正常時と異常時の結果を同じ条件で保存すると、第三者も判断を再現できます。

この記事の執筆・監修者

けんと＠設計構築チャンネル

ネットワーク設計構築エンジニア／インフラ転職コンパス編集者

30歳未経験からネットワークエンジニアへ。金融系・オフィス系ネットワークの設計構築経験をもとに、工程・技術・求人選びを具体的に解説しています。

YouTube 設計構築チャンネル Xで現場発信を見る