プラットフォーム機能

Cisco Secure Firewall 3100

Cisco Secure Firewall 3110、3120、3130、および 3140 の ASA が導入されました。Cisco Secure Firewall 3100 は、スパンド EtherChannel クラスタリングで最大 8 ユニットをサポートします。ファイアウォールの電源が入っているときに、再起動することなく、同じタイプのネットワークモジュールをホットスワップできます。他のモジュールの変更を行う場合には、再起動が必要です。Secure Firewall 3100 25 Gbps インターフェイスは、Forward Error Correction と、インストールされている SFP に基づく速度検出をサポートします。SSD は自己暗号化ドライブ（SED）です。SSD が 2 つある場合、ソフトウェア RAID を形成します。

新規/変更されたコマンド： fec, netmod, speed sfp-detect, raid, show raid, show ssd

新しい/変更された画面：

• [Configuration] > [Device Management] > [Advanced] > [EPM]

• [Configuration] > [Device Settings] > [Interfaces] > [Edit Interface] > [Configure Hardware Properties]

自動スケールに対する ASAv のサポート

ASAv は、次のパブリッククラウドサービスの自動スケールをサポートするようになりました。

• Google Cloud Platform（GCP）

• Oracle Cloud Infrastrucure（OCI）

自動スケーリングは、キャパシティの要件に基づいて ASAv アプリケーションのインスタンス数を増減します。

AWS の ASAv での拡張インスタンスのサポート

AWS パブリッククラウド上の ASAv は、異なる Nitro インスタンスファミリから AWS Nitro システムインスタンスをサポートするようになりました。

AWS 用 ASAvにより、次のインスタンスのサポートが追加されています。

• c5a.large、c5a.xlarge、c5a.2xlarge、c5a.4xlarge

• c5d.large、c5d.xlarge、c5d.2xlarge、c5d.4xlarge

• c5ad.large、c5ad.xlarge、c5ad.2xlarge、c5ad.4xlarge

• m5n.large、m5n.xlarge、m5n.2xlarge、m5n.4xlarge

• m5zn.large、m5zn.xlarge、m5zn.2xlarge

サポートされているインスタンスの詳細なリストについては、『Cisco Adaptive Security Virtual Appliance (ASAv) Data Sheet』を参照してください。

Azure の ASAv 拡張インスタンスのサポート

Azure パブリッククラウド上の ASAv は、次のインスタンスをサポートするようになりました。

• Standard_D8s_v3

• Standard_D16s_v3

• Standard_F8s_v2

• Standard_F16s_v2

サポートされているインスタンスの詳細なリストについては、『Cisco Adaptive Security Virtual Appliance (ASAv) Data Sheet』を参照してください。

ASAv の Intel® QuickAssist テクノロジー（QAT）

ASAv は、 Intel QuickAssist（QAT）8970 PCI アダプタを使用する ASAv 展開にハードウェア暗号化アクセラレーションを提供します。ASAv を使用した ASAv のハードウェア暗号化アクセラレーションは、VMware ESXi および KVM でのみサポートされます。

OCI 上の ASAv に対する Single Root I/O Virtualization（SR-IOV）のサポート。

OCI 上の ASAv に Single Root Input/Output Virtualization（SR-IOV）を実装できるようになりました。SR-IOV により、ASAv のパフォーマンスを向上させることができます。SR-IOV モードでの vNIC としての Mellanox 5 はサポートされていません。

ファイアウォール機能

変換後（マップ後）の宛先としての完全修飾ドメイン名（FQDN）オブジェクトの Twice NAT サポート

www.example.com を指定する FQDN ネットワークオブジェクトを、Twice NAT ルールの変換後（マップ後）の宛先アドレスとして使用できます。システムでは、DNS サーバーから返された IP アドレスに基づいてルールが設定されます。

ネットワークサービス オブジェクトと、ポリシーベースのルーティングおよびアクセス制御におけるネットワークサービス オブジェクトの使用

ネットワークサービス オブジェクトを設定し、それらを拡張アクセス コントロール リストで使用して、ポリシーベース ルーティング ルート マップおよびアクセス コントロール グループで使用できます。ネットワークサービス オブジェクトには、IP サブネットまたは DNS ドメイン名の仕様が含まれ、オプションでプロトコルとポートの仕様が含まれます。これらは、基本的にネットワークオブジェクトとサービスオブジェクトを結合します。この機能には、信頼できる DNS サーバーを定義して、DNS ドメイン名解決が信頼できる送信元から IP アドレスを確実に取得できるようにする機能も含まれています。

次の画面が追加または変更されました。

• [Configuration] > [Device Setup] > [Routing] > [Route Maps] の順に移動し、[Add/Edit] ダイアログボックスを追加します。

• [Configuration] > [Device Setup] > [Interface Settings] > [Interfaces] の順に移動し、[Add/Edit] ダイアログボックスを追加します。

• [Configuration] > [Firewall] > [Objects] > [Network Services Objects/Groups]

• [Configuration] > [Device Management] > [DNS] > [DNS Client]

ハイ アベイラビリティとスケーラビリティの各機能

VMware および KVM 用の ASAv30、ASAv50、および ASAv 100 クラスタリング

ASAv クラスタリングを使用すると、最大 16 の ASAv を単一の論理デバイスとしてグループ化できます。クラスタは、単一デバイスのすべての利便性（管理、ネットワークへの統合）を備える一方で、複数デバイスによって高いスループットおよび冗長性を達成します。ASAv クラスタリングは、ルーテッド ファイアウォール モードの個別インターフェイスモードをサポートします。 スパンドEtherChannelはサポートされていません。ASAv は、クラスタ制御リンクに VXLAN 仮想インターフェイス（VNI）を使用します。

新しい/変更された画面：

• [Configuration] > [Device Setup] > [Interface Settings] > [Interfaces]

• [Configuration] > [Device Management] > [High Availability and Scalability] > [ASA Cluster]

ハイ アベイラビリティ グループまたはクラスタ内のルートのクリア

インターフェイス機能

ASAv の Geneve インターフェイスサポート

AWS ゲートウェイロードバランサのシングルアームプロキシをサポートするために、ASAv30、ASAv50、および ASAv100 の Geneve カプセル化サポートが追加されました。

新しい/変更された画面：

• [Configuration] > [Device Setup] > [Interface Settings] > [Interfaces] > [Add] > [VNI Interface]

• [Configuration] > [Device Setup] > [Interface Settings] > [VXLAN]

Secure Firewall 3100 の自動ネゴシエーションは、1 ギガビット以上のインターフェイスで有効または無効にすることができます。

Secure Firewall 3100 の自動ネゴシエーションは、1 ギガビット以上のインターフェイスで有効または無効にすることができます。他のモデルの SFP ポートの場合、no speed nonegotiate オプションは速度を 1000 Mbps に設定します。新しいコマンドは、自動ネゴシエーションと速度を個別に設定できることを意味します。

新規/変更された画面：

[Configuration] > [Device Setup] > [Interface Settings] > [Interfaces] > [Advanced]

管理およびトラブルシューティングの機能

起動時間と tmatch コンパイルステータス。

show version コマンドには、システムの起動（ブート）にかかった時間に関する情報が含まれるようになりました。設定が大きいほど、システムの起動に時間がかかることに注意してください。

新しい show asp rule-engine コマンドは、tmatch コンパイルのステータスを表示します。Tmatch コンパイルは、アクセスグループ、NAT テーブル、およびその他のいくつかの項目として使用されるアクセスリストに使用されます。これは、非常に大きな ACL と NAT テーブルがある場合には、CPU リソースを消費し、進行中のパフォーマンスに影響を与える可能性がある内部プロセスです。コンパイル時間は、アクセスリスト、NAT テーブルなどのサイズによって異なります。

show access-list element-count 出力の拡張と show tech-support コンテンツの強化

show access-list element-count の出力は、次のように拡張されています。

• マルチコンテキストモードのシステムコンテキストで使用すると、出力には、すべてのコンテキストのすべてのアクセスリストの要素数が表示されます。

• オブジェクトグループ検索を有効にして使用すると、出力には要素数のオブジェクトグループの数に関する詳細が含まれます。

さらに、show tech-support 出力には show access-list element-count と show asp rule-engine の出力が含まれます。

CiscoSSH スタック

ASA は、SSH 接続に独自の SSH スタックを使用します。代わりに、OpenSSH に基づく CiscoSSH スタックを使用するように選択できるようになりました。デフォルトスタックは引き続き ASA スタックです。Cisco SSH は次をサポートします。

• FIPS の準拠性

• シスコおよびオープンソースコミュニティからの更新を含む定期的な更新

CiscoSSH スタックは次をサポートしないことに注意してください。

• VPN を介した別のインターフェイスへの SSH（管理アクセス）

• EdDSA キーペア

• FIPS モードの RSA キーペア

これらの機能が必要な場合は、引き続き ASA SSH スタックを使用する必要があります。

CiscoSSH スタックでは、SCP 機能に若干の変更があります。ASA copy コマンドを使用して SCP サーバとの間でファイルをコピーするには、ASA で SCP サーバサブネット/ホストの SSH アクセスを有効にする必要があります。

新しい/変更された画面：

• シングルコンテキストモード：[Configuration] > [Device Management] > [Management Access] > [ASDM/HTTPS/Telnet/SSH]

• マルチコンテキストモード：[Configuration] > [Device Management] > [SSH Stack]

パケットトレーサでの PCAP サポート

パケットトレーサツールで PCAP ファイルを再生し、トレース結果を取得できます。pcap および force は、パケットトレーサでの PCAP の使用をサポートするための 2 つの新しいキーワードです。

新規/変更されたコマンド：packet-tracer input およびshow packet-tracer

より強力なローカルユーザーと有効なパスワード要件

ローカルユーザーと有効なパスワードについて、次のパスワード要件が追加されました。

• パスワードの長さ：8 文字以上。以前は、最小値が 3 文字でした。

• 繰り返し文字と連続文字：3 つ以上の連続した ASCII 文字または繰り返しの ASCII 文字は許可されません。たとえば、次のパスワードは拒否されます。

  • abcuser1

  • user543

  • useraaaa

  • user2666

新規/変更された画面：

• [Configuration] > [Device Management] > [Users/AAA] > [User Accounts]

• [Configuration] > [Device Setup] > [Device Name/Password]

ローカルユーザーのロックアウトの変更

設定可能な回数のログイン試行に失敗すると、ASA はローカルユーザーをロックアウトする場合があります。この機能は、特権レベル 15 のユーザーには適用されませんでした。また、管理者がアカウントのロックを解除するまで、ユーザーは無期限にロックアウトされます。管理者がその前に clear aaa local user lockout コマンドを使用しない限り、ユーザーは 10 分後にロック解除されるようになりました。特権レベル 15 のユーザーも、ロックアウト設定が適用されるようになりました。

新規/変更されたコマンド：aaa local authentication attempts max-fail 、show aaa local user

SSH および Telnet パスワード変更プロンプト

ローカルユーザーが SSH または Telnet を使用して ASA に初めてログインすると、パスワードを変更するように求められます。また、管理者がパスワードを変更した後、最初のログインに対してもプロンプトが表示されます。ただし、ASA がリロードすると、最初のログインであっても、ユーザーにプロンプトは表示されません。

VPN などのローカル ユーザー データベースを使用するサービスは、SSH または Telnet ログイン中に変更された場合、新しいパスワードも使用する必要があることに注意してください。

新規/変更されたコマンド： show aaa local user

モニタリング機能

SNMP は、ネットワークオブジェクトの形式で複数のホストをグループ化するときに IPv6 をサポートするようになりました

snmp-server コマンドの host-group コマンドは、IPv6 ホスト、範囲、およびサブネットオブジェクトをサポートするようになりました。

VPN 機能

IKEv2 のローカルトンネル ID のサポート

IKEv2 のローカルトンネルID設定のサポートが追加されました。

新規/変更されたコマンド： set ikev2 local-identity

DAP 制約による SAML 属性のサポート

DAP ポリシーの選択に使用できる SAML アサーション属性のサポートが追加されました。また、cisco_group_policy 属性でグループポリシーを指定する機能も導入されています。

IDP 設定の複数の SAML トラストポイント

この機能は、同じエンティティ ID の複数のアプリケーションをサポートするアプリケーションの SAML IDP 設定ごとに、複数の IDP トラストポイントの追加をサポートします。

新規/変更されたコマンド： saml idp-trustpoint <trustpoint-name>

AnyConnect クライアント VPN SAML 外部ブラウザ

VPN SAML 外部ブラウザを設定して、パスワードなしの認証、WebAuthN、FIDO2、SSO、U2F、Cookie の永続性による SAML エクスペリエンスの向上など、追加の認証の選択肢を有効にできるようになりました。リモートアクセス VPN 接続プロファイルのプライマリ認証方式として SAML を使用する場合は、AnyConnect クライアント クライアントが AnyConnect クライアント 組み込みブラウザではなく、クライアントのローカルブラウザを使用して Web 認証を実行するように選択できます。このオプションは、VPN 認証と他の企業ログインの間のシングルサインオン（SSO）を有効にします。また、生体認証や Yubikeys など、埋め込みブラウザでは実行できない Web 認証方法をサポートする場合は、このオプションを選択します。

新規/変更された画面： [Remote Access VPN connection profile wizard] > [SAML Login Experience]

SAML を使用した VPN ロードバランシング