Cisco ASA シリーズ コマンド リファレンス、I ~ R のコマンド
queue-limit コマンド~ reset コマンド
queue-limit コマンド~ reset コマンド
発行日;2015/05/12 | ドキュメントご利用ガイド | ダウンロード ; この章pdf , ドキュメント全体pdf (PDF - 10MB) | フィードバック

目次

queue-limit コマンド~ reset コマンド

queue-limit(プライオリティ キュー)

queue-limit(tcp マップ)

quit

quota management-session

radius-common-pw

radius-reject-message

radius-with-expiry(削除)

range

ras-rcf-pinholes

rate-limit

reactivation-mode

record-entry

redirect-fqdn

redistribute

redistribute(EIGRP)

redistribute(OSPF)

redistribute(OSPFv3)

redistribute(RIP)

redundant-interface

regex

reload

remote-access threshold session-threshold-exceeded

rename

rename(クラス マップ)

renewal-reminder

replication http

request-command deny

request-data-size

request-queue

request-timeout

reserve-port-protect

reserved-bits

reset

queue-limit コマンド~ reset コマンド

queue-limit(プライオリティ キュー)

プライオリティ キューの深さを指定するには、プライオリティ キュー コンフィギュレーション モードで queue-limit コマンドを使用します。この指定を削除するには、このコマンドの no 形式を使用します。


) このコマンドは、ASA 5580 10 ギガビット イーサネット インターフェイスではサポートされません (10 ギガビット イーサネットインターフェイスは、ASA 5585-X のプライオリティ キューでサポートされます)。また、ASA 5512-X ~ ASA 5555-X の管理インターフェイスでもサポートされません。

このコマンドは、ASA サービス モジュールではサポートされません。


queue-limit number-of-packets

no queue-limit number-of-packets

 
構文の説明

number-of-packets

キューイング(バッファリング)可能な低遅延または通常のプライオリティのパケットの最大数を指定します。この最大数を超えると、インターフェイスでパケットのドロップが開始されます。値の範囲の上限は、実行時にダイナミックに決定されます。この制限を表示するには、コマンド ラインに help または ? と入力します。主な決定要素は、キューをサポートするために必要なメモリと、デバイス上で使用可能なメモリです。キューは、使用可能なメモリを超えることはできません。理論的な最大パケット数は、2147483647 です。

 
デフォルト

デフォルトのキューの制限は 1024 パケットです。

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

プライオリティ キュー コンフィギュレーション

Yes

Yes

Yes

Yes

--

 
コマンド履歴

リリース
変更内容

7.0(1)

このコマンドが導入されました。

 
使用上のガイ ド ライン

ASA では、遅延の影響を受けやすい、プライオリティの高いトラフィック(音声およびビデオなど)用の低遅延キューイング(LLQ)と、それ以外のすべてのトラフィック用のベストエフォート(デフォルト)の 2 つのトラフィック クラスを使用できます。ASA は、プライオリティ トラフィックを認識して、適切な Quality of Service(QoS)ポリシーを適用します。プライオリティ キューのサイズと深さを設定して、トラフィック フローを微調整できます。


) インターフェイスのプライオリティ キューイングをイネーブルにするには、priority-queue コマンドを設定する必要があります


1 つの priority-queue コマンドを、 nameif コマンドで定義できるすべてのインターフェイスに対して適用できます。

priority-queue コマンドで、プライオリティ キュー コンフィギュレーション モードを開始します。これはプロンプトに表示されます。プライオリティ キュー コンフィギュレーション モードでは、任意の時点において送信キュー内に存在可能な最大パケット数( tx-ring-limit コマンド)、および(プライオリティまたはベストエフォートの)いずれかのタイプのパケットのバッファリング可能数( queue-limit コマンド)を設定できます。バッファリング可能パケット数を超えると、パケットはドロップされます。

指定する tx-ring-limit および queue-limit は、プライオリティの高い低遅延キューとベストエフォート キューの両方に適用されます。tx-ring-limit は、ドライバが許容できる両方のタイプのパケットの数です。このパケット数を超えると、ドライバはインターフェイスの先頭にある複数のキューにパケットを戻し、輻輳が解消するまでそのキューでパケットをバッファしておきます。通常、これらの 2 つのパラメータを調整することで、低遅延トラフィックのフローを最適化できます。

キューは無限大ではないため、いっぱいになってオーバーフローすることがあります。キューがいっぱいになると、以降のパケットはキューに入ることができず、すべてドロップされます。これが、 テール ドロップ です。キューがいっぱいになることを避けるには、 queue-limit コマンドを使用して、キューのバッファ サイズを大きくします。

次に、test というインターフェイスのプライオリティ キューを設定して、キュー制限を 234 パケット、送信キュー制限を 3 パケットに指定する例を示します。

ciscoasa(config)# priority-queue test
ciscoasa(priority-queue)# queue-limit 234
ciscoasa(priority-queue)# tx-ring-limit 3
 

 
関連コマンド

コマンド
説明

clear configure priority-queue

指定したインターフェイスの現在のプライオリティ キュー コンフィギュレーションを削除します。

priority-queue

インターフェイスにプライオリティ キューイングを設定します。

show priority-queue statistics

指定されたインターフェイスのプライオリティ キュー統計情報を表示します。

show running-config [all] priority-queue

現在のプライオリティ キュー コンフィギュレーションを表示します。 all キーワードを指定すると、このコマンドは現在のすべてのプライオリティ キュー、queue-limit、および tx-ring-limit コンフィギュレーションの値を表示します。

tx-ring-limit

イーサネット送信ドライバのキューに任意のタイミングで入れることができるパケットの最大数を設定します。

queue-limit(tcp マップ)

TCP 接続において、正しい順序に整列し直すことができる、順序が不正なパケットのバッファリング可能最大数を設定するには、tcp マップ コンフィギュレーション モードで queue-limit コマンドを使用します。値をデフォルトに戻すには、このコマンドの no 形式を使用します。このコマンドは、 set connection advanced-options コマンドを使用してイネーブルにされる TCP 正規化ポリシーの一部です。

queue-limit pkt_num [ timeout seconds ]

no queue-limit

 
構文の説明

pkt_num

TCP 接続において、正しい順序に整列し直すことができる、順序が不正なパケットのバッファリング可能最大数を 1 ~ 250 の範囲で指定します。デフォルトは 0 です。この値は、この設定がディセーブルであり、トラフィックのタイプに応じてデフォルトのシステム キュー制限が使用されることを意味しています。詳細については、「使用上のガイドライン」の項を参照してください。

timeout seconds

(オプション)順序が不正なパケットをバッファ内に保持可能な最大時間を 1 ~ 20 秒の範囲で設定します。デフォルトは 4 秒です。パケットの順序が不正であり、このタイムアウト期間内に渡されなかった場合、それらのパケットはドロップされます。 pkt_num 引数を 0 に設定した場合は、どのトラフィックのタイムアウトも変更できません。 timeout キーワードを有効にするには、制限を 1 以上に設定する必要があります。

 
デフォルト

デフォルト設定は 0 です。この値は、このコマンドがディセーブルであることを意味しています。

デフォルトのタイムアウトは 4 秒です。

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

TCP マップ コンフィギュレーション

Yes

Yes

Yes

Yes

--

 
コマンド履歴

リリース
変更内容

7.0(1)

このコマンドが導入されました。

7.2(4)/8.0(4)

timeout キーワードが追加されました。

 
使用上のガイ ド ライン

TCP 正規化をイネーブルにするには、モジュラ ポリシー フレームワークを次のように使用します。

1. tcp-map :TCP 正規化アクションを指定します。

a. queue-limit :tcp マップ コンフィギュレーション モードでは、 queue-limit コマンドおよびその他数多くのコマンドを入力できます。

2. class-map :TCP 正規化を実行するトラフィックを指定します。

3. policy-map :各クラス マップに関連付けるアクションを指定します。

a. class :アクションを実行するクラス マップを指定します。

b. set connection advanced-options :作成した TCP マップを指定します。

4. service-policy :ポリシー マップをインターフェイスごとに、またはグローバルに割り当てます。

TCP 正規化をイネーブルにしない場合、または queue-limit コマンドがデフォルトの 0 に設定されている場合(つまりコマンドがディセーブルの場合)、トラフィックのタイプに応じてデフォルトのシステム キュー制限が使用されます。

アプリケーション インスペクション( inspect コマンド)、IPS( ips コマンド)、および TCP インスペクション再送信(TCP マップ check-retransmission コマンド)のための接続のキュー制限は、3 パケットです。ASA が異なるウィンドウ サイズの TCP パケットを受信した場合、キュー制限は、アドバタイズされた設定に合うようにダイナミックに変更されます。

他の TCP 接続の場合は、異常なパケットはそのまま通過します。

queue-limit コマンドを 1 以上に設定した場合、すべての TCP トラフィックに対して許可される異常なパケットの数は、この設定と一致します。たとえば、アプリケーション インスペクション、IPS、および TCP check-retransmission のトラフィックの場合、TCP パケットからアドバタイズされたすべての設定が キュー制限 設定を優先して、無視されます。その他の TCP トラフィックについては、異常なパケットはバッファに格納されて、そのまま通過するのではなく、正しい順序に設定されます。

次に、すべての Telnet 接続のキュー制限を 8 パケットに、バッファ タイムアウトを 6 秒に設定する例を示します。

ciscoasa(config)# tcp-map tmap
ciscoasa(config-tcp-map)# queue-limit 8 timeout 6
ciscoasa(config)# class-map cmap
ciscoasa(config-cmap)# match port tcp eq telnet
ciscoasa(config)# policy-map pmap
ciscoasa(config-pmap)# class cmap
ciscoasa(config-pmap)# set connection advanced-options tmap
ciscoasa(config)# service-policy pmap global
ciscoasa(config)#
 

 
関連コマンド

コマンド
説明

class-map

サービス ポリシーに対してトラフィックを指定します。

policy-map

サービス ポリシー内でトラフィックに適用するアクションを指定します。

set connection advanced-options

TCP 正規化をイネーブルにします。

service-policy

サービス ポリシーをインターフェイスに適用します。

show running-config tcp-map

TCP マップ コンフィギュレーションを表示します。

tcp-map

TCP マップを作成して、TCP マップ コンフィギュレーション モードにアクセスできるようにします。

quit

現在のコンフィギュレーション モードを終了したり、特権 EXEC モードやユーザ EXEC モードからログアウトするには、 quit コマンドを使用します。

quit

 
構文の説明

このコマンドには、引数またはキーワードはありません。

 
デフォルト

デフォルトの動作や値はありません。

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

ユーザ EXEC

Yes

Yes

Yes

Yes

Yes

 
コマンド履歴

リリース
変更内容

7.0(1)

このコマンドが導入されました。

 
使用上のガイ ド ライン

キー シーケンス Ctrl+Z を使用して、グローバル コンフィギュレーション(および上位の)モードを終了することもできます。このキー シーケンスは、特権 EXEC モードまたはユーザ EXEC モードでは動作しません。

特権 EXEC モードまたはユーザ EXEC モードで quit コマンドを入力すると、ASA からログアウトします。特権 EXEC モードからユーザ EXEC モードに戻るには、 disable コマンドを使用します。

次に、 quit コマンドを使用してグローバル コンフィギュレーション モードを終了し、セッションからログアウトする例を示します。

ciscoasa(config)# quit
ciscoasa# quit
 
Logoff
 

次に、 quit コマンドを使用してグローバル コンフィギュレーション モードを終了し、その後 disable コマンドを使用して特権 EXEC モードを終了する例を示します。

ciscoasa(config)# quit
ciscoasa# disable
ciscoasa>
 

 
関連コマンド

コマンド
説明

exit

コンフィギュレーション モードを終了するか、または特権 EXEC モードやユーザ EXEC モードからログアウトします。

quota management-session

ASA で許可する ASDM、SSH、および Telnet の最大同時セッション数を設定するには、グローバル コンフィギュレーション モードで q uota management-session コマンドを使用します。割り当て量をデフォルト値に設定するには、このコマンドの no 形式を使用します。

quota management-session number

no quota management-session number

 
構文の説明

number

実行を許可する ASDM、SSH、および Telnet の最大同時セッション数を指定します。有効な値の範囲は 0 ~ 10,000 です。

 
デフォルト

デフォルトは 0 で、セッション数の制限はありません。

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

グローバル コンフィギュレーション

Yes

Yes

Yes

--

--

 
コマンド履歴

リリース
変更内容

9.1(2)

このコマンドが導入されました。

 
使用上のガイ ド ライン

割り当て量に達すると、それ以降の管理セッション要求は拒否され、syslog メッセージが生成されます。デバイスのロックアウトを回避するため、管理セッション割り当て量のメカニズムではコンソール セッションはブロックされません。

次に、管理セッション割り当て量を 100 に設定する例を示します。

ciscoasa(config)# quota management-session 100
 

 
関連コマンド

コマンド
説明

show run quota management-session

管理セッション割り当て量の現在の値を表示します。

show quota management-session

管理セッションの統計情報を表示します。

radius-common-pw

ASA 経由で RADIUS 認可サーバにアクセスするすべてのユーザが使用する共通のパスワードを指定するには、AAA サーバ ホスト モードで radius-common-pw コマンドを使用します。この指定を削除するには、このコマンドの no 形式を使用します。

radius-common-pw string

no radius-common-pw

 
構文の説明

string

RADIUS サーバにおけるすべての認可トランザクションで共通パスワードとして使用される最大 127 文字の英数字キーワード。大文字と小文字は区別されます。

 
デフォルト

デフォルトの動作や値はありません。

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

AAA サーバ ホスト

Yes

Yes

Yes

Yes

--

 
コマンド履歴

リリース
変更内容

7.0(1)

このコマンドが導入されました。

 
使用上のガイ ド ライン

このコマンドは、RADIUS 認可サーバに対してのみ有効です。

RADIUS 認可サーバでは、各接続ユーザに対してパスワードおよびユーザ名が必要です。ASA では、ユーザ名が自動的に指定されます。ここでは、パスワードを入力します。RADIUS サーバ管理者は、この ASA 経由で RADIUS サーバに対して認可を行う各ユーザにこのパスワードが関連付けられるように RADIUS サーバを設定する必要があります。この情報は、RADIUS サーバ管理者に伝えてください。

共通のユーザ パスワードを指定しなかった場合、各ユーザのパスワードはユーザ名になります。共通ユーザ パスワードにユーザ名を使用する場合は、セキュリティ上の予防措置として、ネットワーク上の他のいずれの場所でも RADIUS サーバを認可に使用しないでください。

13-125


string 引数は、実質的には意味がありません。RADIUS サーバはこのフィールドを要求しますが、実際には使用されません。ユーザはこのことを知っている必要はありません。


次に、ホスト「1.2.3.4」に「svrgrp1」という名前の RADIUS AAA サーバ グループを設定し、タイムアウト時間を 9 秒に、再試行間隔を 7 秒に、RADIUS 共通パスワードを「allauthpw」に設定する例を示します。

ciscoasa(config)# aaa-server svrgrp1 protocol radius
ciscoasa(config-aaa-server-group)# aaa-server svrgrp1 host 1.2.3.4
ciscoasa(config-aaa-server-host)# timeout 9
ciscoasa(config-aaa-server-host)# retry 7
ciscoasa(config-aaa-server-host)# radius-common-pw allauthpw
ciscoasa(config-aaa-server-host)# exit
ciscoasa(config)#
 

 
関連コマンド

コマンド
説明

aaa-server host

AAA サーバ ホスト コンフィギュレーション モードを開始して、ホスト固有の AAA サーバ パラメータを設定できるようにします。

clear configure aaa-server

すべての AAA コマンド ステートメントをコンフィギュレーションから削除します。

show running-config aaa-server

すべての AAA サーバ、特定のサーバ グループ、特定のグループ内の特定のサーバ、または特定のプロトコルの AAA サーバ統計情報を表示します。

radius-reject-message

認証が拒否された場合のログイン画面での RADIUS 拒否メッセージの表示をイネーブルにするには、トンネル グループ webvpn 属性コンフィギュレーション モードで radius-eject-message コマンドを使用します。コンフィギュレーションからコマンドを削除するには、このコマンドの no 形式を使用します。

radius-reject-message

no radius-reject-message

 
デフォルト

デフォルトではディセーブルになっています。

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

トンネル グループ webvpn コンフィギュレーション

Yes

--

Yes

--

--

 
コマンド履歴

リリース
変更内容

8.0(2)

このコマンドが導入されました。

 
使用上のガイ ド ライン

リモート ユーザに対して、認証の失敗についての RADIUS メッセージを表示する場合は、このコマンドをイネーブルにします。

次に、engineering という名前の接続プロファイルに対して RADIUS 拒否メッセージの表示をイネーブルにする例を示します。

ciscoasa(config)# tunnel-group engineering webvpn-attributes
ciscoasa(config-tunnel-webvpn)# radius-reject-message

radius-with-expiry(削除)

認証中に MS-CHAPv2 を使用してユーザとパスワード アップデートをネゴシエートするように ASA を設定するには、トンネル グループ ipsec 属性コンフィギュレーション モードで radius-with-expiry コマンドを使用します。デフォルト値に戻すには、このコマンドの no 形式を使用します。

radius-with-expiry

no radius-with-expiry

 
構文の説明

このコマンドには、引数またはキーワードはありません。

 
デフォルト

このコマンドのデフォルト設定は、ディセーブルです。

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

トンネル グループ ipsec 属性コンフィギュレーション

Yes

--

Yes

--

--

 
コマンド履歴

リリース
変更内容

7.0(1)

このコマンドが導入されました。

7.1(1)

このコマンドは廃止されました。 password-management コマンドに置き換えられました。 radius-with-expiry コマンドの no 形式はサポートされなくなりました。

8.0(2)

このコマンドは廃止されました。

 
使用上のガイ ド ライン

この属性は、IPSec リモート アクセス トンネル グループ タイプに対してのみ適用できます。RADIUS 認証が設定されていない場合、ASA ではこのコマンドは無視されます。

次に、設定 ipsec コンフィギュレーション モードで、remotegrp という名前のリモート アクセス トンネル グループに対して radius-with-expiry を設定する例を示します。

ciscoasa(config)# tunnel-group remotegrp type ipsec_ra
ciscoasa(config)# tunnel-group remotegrp ipsec-attributes
ciscoasa(config-tunnel-ipsec)# radius-with-expiry
 

 
関連コマンド

コマンド
説明

clear configure tunnel-group

設定されているすべてのトンネル グループをクリアします。

password-management

パスワード管理をイネーブルにします。 radius-with-expiry コマンドは、トンネル グループ一般属性コンフィギュレーション モードのこのコマンドに置き換えられました。

show running-config tunnel-group

指定した証明書マップ エントリを表示します。

tunnel-group ipsec-attributes

このグループのトンネル グループ ipsec 属性を設定します。

range

ネットワーク オブジェクトのアドレスの範囲を設定するには、オブジェクト コンフィギュレーション モードで range コマンドを使用します。コンフィギュレーションからオブジェクトを削除するには、このコマンドの no 形式を使用します。

range ip_addr_1 ip_addr2

no range ip_addr_1 ip_addr2

 
構文の説明

ip_addr_1

範囲の最初の IP アドレス(IPv4 または IPv6)を指定します。

ip_addr_2

範囲の最後の IP アドレスを指定します。

 
デフォルト

デフォルトの動作や値はありません。

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

オブジェクト ネットワーク コンフィギュレーション

Yes

Yes

Yes

Yes

--

 
コマンド履歴

リリース
変更内容

8.3(1)

このコマンドが導入されました。

9.0(1)

IPv6 アドレスのサポートが追加されました。

 
使用上のガイ ド ライン

既存のネットワーク オブジェクトを異なる IP アドレスを使用して設定すると、新しいコンフィギュレーションが既存のコンフィギュレーションに置き換わります。

次に、範囲ネットワーク オブジェクトを作成する例を示します。

ciscoasa (config)# object network OBJECT_RANGE
ciscoasa (config-network-object)# range 10.1.1.1 10.1.1.8
 

 
関連コマンド

コマンド
説明

clear configure object

作成されたすべてのオブジェクトをクリアします。

description

ネットワーク オブジェクトに説明を追加します。

fqdn

完全修飾ドメイン名のネットワーク オブジェクトを指定します。

host

ホストのネットワーク オブジェクトを指定します。

nat

ネットワーク オブジェクトに対して NAT をイネーブルにします。

object network

ネットワーク オブジェクトを作成します。

object-group network

ネットワーク オブジェクト グループを作成します。

show running-config object network

ネットワーク オブジェクトのコンフィギュレーションを表示します。

subnet

サブネットのネットワーク オブジェクトを指定します。

ras-rcf-pinholes

ゲートキーパーがネットワーク内にある場合に、H.323 エンドポイント間でのコール設定をイネーブルにするには、パラメータ コンフィギュレーション モードで ras-rcf-pinholes コマンドを使用します。この機能をディセーブルにするには、このコマンドの no 形式を使用します。

ras-rcf-pinholes enable

no ras-rcf-pinholes enable

 
構文の説明

enable

H.323 エンドポイント間でのコール設定をイネーブルにします。

 
デフォルト

デフォルトでは、このオプションは無効になっています。

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

パラメータ コンフィギュレーション

Yes

Yes

Yes

Yes

--

 
コマンド履歴

リリース
変更内容

8.0(5)

このコマンドが導入されました。

 
使用上のガイ ド ライン

ASA には、RegistrationRequest/RegistrationConfirm(RRQ/RCF)メッセージに基づいてコールのピンホールを開くオプションが含まれています。これらの RRQ/RCF メッセージは Gatekeeper との間で送受信されるので、発信側エンドポイントの IP アドレスは不明で、ASA は発信元 IP アドレス/ポート 0/0 を通じてピンホールを開きます。

次に、これらのコールのピンホールを開くアクションをポリシー マップに設定する例を示します。

ciscoasa(config)# policy-map type inspect h323 h323_map
ciscoasa(config-pmap)# parameters
ciscoasa(config-pmap-p)# ras-rcf-pinholes enable
 
 
 
 

 
関連コマンド

コマンド
説明

class

ポリシー マップのクラス マップ名を指定します。

class-map type inspect

アプリケーション固有のトラフィックを照合するためのインスペクション クラス マップを作成します。

policy-map

レイヤ 3/4 のポリシー マップを作成します。

show running-config policy-map

現在のポリシー マップ コンフィギュレーションをすべて表示します。

rate-limit

モジュラ ポリシー フレームワークを使用する場合は、一致またはクラス コンフィギュレーション モードで rate-limit コマンドを使用して、 match コマンドまたはクラス マップに一致するパケットのメッセージのレートを制限します。このレート制限アクションは、インスペクション ポリシー マップ( policy-map type inspect コマンド)でアプリケーション トラフィックに対して使用できますが、すべてのアプリケーションでこのアクションが可能なわけではありません。このアクションをディセーブルにするには、このコマンドの no 形式を使用します。

rate-limit messages_per_second

no rate-limit messages_per_second

 
構文の説明

messages_per_second

1 秒あたりのメッセージ数を制限します。

 
デフォルト

デフォルトの動作や値はありません。

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

一致コンフィギュレーションおよびクラス コンフィギュレーション

Yes

Yes

Yes

Yes

--

 
コマンド履歴

リリース
変更内容

7.2(1)

このコマンドが導入されました。

 
使用上のガイ ド ライン

インスペクション ポリシー マップは、1 つ以上の match コマンドと class コマンドで構成されます。インスペクション ポリシー マップで使用できる実際のコマンドは、アプリケーションによって異なります。 match コマンドまたは class コマンドを入力してアプリケーション トラフィックを指定した後( class コマンドは、 match コマンドを含む既存の class-map type inspect コマンドを参照します)、 rate-limit コマンドを入力して、メッセージのレートを制限できます。

レイヤ 3/4 のポリシー マップ( policy-map コマンド)で inspect コマンドを使用してアプリケーション インスペクションをイネーブルにすると、このアクションを含むインスペクション ポリシー マップをイネーブルにできます。たとえば、 inspect dns dns_policy_map コマンドを入力します。ここで dns_policy_map はインスペクション ポリシー マップの名前です。

次に、invite 要求を 1 秒あたり 100 メッセージに制限する例を示します。

ciscoasa(config-cmap)# policy-map type inspect sip sip-map1
ciscoasa(config-pmap-c)# match request-method invite
ciscoasa(config-pmap-c)# rate-limit 100
 

 
関連コマンド

コマンド
説明

class

ポリシー マップのクラス マップ名を指定します。

class-map type inspect

アプリケーション固有のトラフィックを照合するためのインスペクション クラス マップを作成します。

policy-map

レイヤ 3/4 のポリシー マップを作成します。

policy-map type inspect

アプリケーション インスペクションの特別なアクションを定義します。

show running-config policy-map

現在のポリシー マップ コンフィギュレーションをすべて表示します。

reactivation-mode

グループ内の障害が発生したサーバを再アクティブ化する方法を指定するには、AAA サーバ プロトコル モードで reactivation-mode コマンドを使用します。この指定を削除するには、このコマンドの no 形式を使用します。

reactivation-mode { depletion [ deadtime minutes ] | timed }

no reactivation-mode [ depletion [ deadtime minutes ] | timed ]

 
構文の説明

deadtime minutes

(オプション)グループ内の最後のサーバがディセーブルになってから、その後すべてのサーバを再度イネーブルにするまでの時間を 0 ~ 1440 分の範囲で指定します。デフォルトは 10 分です。

depletion

グループ内のすべてのサーバが非アクティブになった後でのみ、障害が発生したサーバを再アクティブ化します。

timed

30 秒のダウン時間の後、障害が発生したサーバを再アクティブ化します。

 
デフォルト

デフォルトの再アクティブ化モードは depletion で、デフォルトの deadtime の値は 10 です。

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

AAA サーバ プロトコル コンフィギュレーション

Yes

Yes

Yes

Yes

--

 
コマンド履歴

リリース
変更内容

7.0(1)

このコマンドが導入されました。

 
使用上のガイ ド ライン

各サーバ グループには、所属するサーバの再アクティブ化ポリシーを指定する属性があります。

depletion モードでは、あるサーバが非アクティブになった場合、そのサーバは、グループの他のすべてのサーバが非アクティブになるまで非アクティブのままとなります。すべてのサーバが非アクティブになると、グループ内のすべてのサーバが再アクティブ化されます。このアプローチでは、障害が発生したサーバに起因する接続遅延の発生を最小限に抑えられます。 depletion モードが使用されている場合は、 deadtime パラメータも指定できます。 deadtime パラメータは、グループ内の最後のサーバがディセーブルになってから、その後すべてのサーバを再度イネーブルにするまでの時間を分単位で指定します。このパラメータは、サーバ グループがローカル フォールバック機能とともに使用されている場合にのみ意味があります。

timed モードでは、障害が発生したサーバは、30 秒のダウン時間の後に再アクティブ化されます。このモードは、サーバ リスト内の最初のサーバをプライマリ サーバとして使用しており、このサーバを可能な限りオンラインに維持する必要がある場合に役立ちます。このポリシーは、UDP サーバの場合は機能しません。UDP サーバへの接続は、たとえそのサーバが存在しない場合でも失敗しないため、UDP サーバは無条件にオンラインに戻ります。サーバ リストに到達不能な複数のサーバが含まれている場合には、接続時間が遅延したり、接続に失敗する場合があります。

同時アカウンティングがイネーブルになっているアカウンティング サーバ グループでは、 timed モードが強制的に使用されます。このことは、特定のリスト内のすべてのサーバが同等に扱われることを意味しています。

次に、「svrgrp1」という TACACS+ AAA サーバを設定し、deadtime を 15 分に設定して、depletion の再アクティベーション モードを使用する例を示します。

ciscoasa(config)# aaa-server svrgrp1 protocol tacacs+
ciscoasa(config-aaa-sersver-group)# reactivation-mode depletion deadtime 15
ciscoasa(config-aaa-server)# exit
ciscoasa(config)#
 

次に、「svrgrp1」という TACACS+ AAA サーバを設定し、timed の再アクティベーション モードを使用する例を示します。

ciscoasa(config)# aaa-server svrgrp2 protocol tacacs+
ciscoasa(config-aaa-server)# reactivation-mode timed
ciscoasa(config-aaa-server)#
 

 
関連コマンド

accounting-mode

アカウンティング メッセージが単一のサーバに送信されるか、またはグループ内のすべてのサーバに送信されるかを示します。

aaa-server protocol

AAA サーバ グループ コンフィギュレーション モードを開始して、グループ内のすべてのホストに共通する、グループ固有の AAA サーバ パラメータを設定できるようにします。

max-failed-attempts

サーバ グループ内の所定のサーバが非アクティブ化されるまでに、そのサーバで許容される接続試行の失敗数を指定します。

clear configure aaa-server

AAA サーバ コンフィギュレーションをすべて削除します。

show running-config aaa-server

すべての AAA サーバ、特定のサーバ グループ、特定のグループ内の特定のサーバ、または特定のプロトコルの AAA サーバ統計情報を表示します。

record-entry

CTL ファイルの作成に使用されるトラストポイントを指定するには、CTL ファイル コンフィギュレーション モードで record-entry コマンドを使用します。CTL からレコード エントリを削除するには、このコマンドの no 形式を使用します。

record-entry [ capf | cucm | cucm-tftp | tftp ] trustpoint trustpoint address ip_address [ domain-name domain_name ]

no record-entry [ capf | cucm | cucm-tftp | tftp ] trustpoint trust_point address ip_address [ domain-name domain_name ]

 
構文の説明 

capf

このトラストポイントのロールを CAPF に指定します。1 つの CAPF トラストポイントのみを設定できます。

cucm

このトラストポイントのロールを CCM に指定します。複数の CCM トラストポイントを設定できます。

cucm-tftp

このトラストポイントのロールを CCM+TFTP に指定します。複数の CCM+TFTP トラストポイントを設定できます。

domain-name domain_name

(オプション)トラストポイントの DNS フィールドの作成に使用されるトラストポイントのドメイン名を指定します。この名前は、サブジェクト DN の一般名フィールドに追加されて、DNS 名が作成されます。トラストポイントに FQDN が設定されていない場合は、ドメイン名を設定する必要があります。

address ip_address

トラストポイントの IP アドレスを指定します。

tftp

このトラストポイントのロールを TFTP に指定します。複数の TFTP トラストポイントを設定できます。

trustpoint trust_point

インストールされているトラストポイントの名前を設定します。

 
デフォルト

デフォルトの動作や値はありません。

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

CTL ファイル コンフィギュレーション

Yes

--

Yes

--

--

 
コマンド履歴 

リリース
変更内容

8.0(4)

このコマンドが追加されました。

 
使用上のガイ ド ライン

domain-name は、1 つのみ指定できます。CTL ファイルが存在しない場合は、手動でこの証明書を CUCM から ASA にエクスポートします。

このコマンドは、電話プロキシの CTL ファイルを設定していない場合にのみ使用します。すでに CTL ファイルを設定している場合は、このコマンドを使用しないでください。

ip_address 引数に指定する IP アドレスは、トラストポイントの CTL レコードで使用される IP アドレスとなるため、グローバル アドレス、または IP Phone によって認識されるアドレスである必要があります。

CTL ファイルで必要な各エントリに対して、さらに record-entry コンフィギュレーションを追加します。

次に、 record-entry コマンドを使用して、CTL ファイルの作成に使用されるトラストポイントを指定する例を示します。

ciscoasa(config-ctl-file)# record-entry cucm-tftp trustpoint cucm1 address 192.168.1.2
 

 
関連コマンド 

コマンド
説明

ctl-file(グローバル)

電話プロキシ コンフィギュレーション用に作成する CTL ファイル、またはフラッシュ メモリから解析するための CTL ファイルを指定します。

ctl-file(Phone-Proxy)

電話プロキシ コンフィギュレーションで使用する CTL ファイルを指定します。

phone-proxy

電話プロキシ インスタンスを設定します。

redirect-fqdn

VPN ロードバランシング モードで完全修飾ドメイン名を使用したリダイレクトをイネーブルまたはディセーブルにするには、グローバル コンフィギュレーション モードで redirect-fqdn enable コマンドを使用します。

redirect-fqdn {enable | disable}

no redirect-fqdn {enable | disable}


) VPN ロード バランシングを使用するには、Plus ライセンスを備えた ASA モデル 5510、または ASA モデル 5520 以降が必要です。また、VPN ロード バランシングには、アクティブな 3DES/AES ライセンスも必要です。セキュリティ アプライアンスは、ロード バランシングをイネーブルにする前に、この暗号ライセンスが存在するかどうかをチェックします。アクティブな 3DES または AES のライセンスが検出されない場合、セキュリティ アプライアンスはロード バランシングをイネーブルにせず、ライセンスでこの使用方法が許可されていない場合には、ロード バランシング システムによる 3DES の内部コンフィギュレーションも抑止します。


 
構文の説明

disable

完全修飾ドメイン名を使用したリダイレクトをディセーブルにします。

enable

完全修飾ドメイン名を使用したリダイレクトをイネーブルにします。

 
デフォルト

この動作は、デフォルトではディセーブルになっています。

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

VPN ロード バランシング モード

Yes

--

Yes

--

--

 
コマンド履歴

リリース
変更内容

8.0(2)

このコマンドが導入されました。

 
使用上のガイ ド ライン

デフォルトで、ASA はロードバランシング リダイレクションの IP アドレスだけをクライアントに送信します。DNS 名に基づく証明書が使用されている場合、セカンダリ デバイスにリダイレクトされるとその証明書は無効になります。

VPN クラスタ マスターとして、ASA は、VPN クライアント接続を別のクラスタ デバイスにリダイレクトする場合に、DNS 逆ルックアップを使用して、そのクラスタ デバイス(クラスタ内の別の ASA)の外部 IP アドレスではなく完全修飾ドメイン名(FQDN)を送信できます。

クラスタ内のロードバランシング デバイスのすべての外部および内部ネットワーク インターフェイスは、同じ IP ネットワーク上に存在する必要があります。

IP アドレスではなく FQDN を使用して WebVPN ロード バランシングを実行するには、次の設定手順を実行する必要があります。


ステップ 1 redirect-fqdn enable コマンドを使用して、ロード バランシングにおける FQDN の使用をイネーブルにします。

ステップ 2 DNS サーバに、各 ASA 外部インターフェイスのエントリを追加します(エントリが存在しない場合)。それぞれの ASA 外部 IP アドレスに、ルックアップ用にそのアドレスに関連付けられた DNS エントリが設定されている必要があります。これらの DNS エントリに対しては、逆ルックアップもイネーブルにする必要があります。

ステップ 3 dns domain-lookup inside コマンドを使用して、ASA で DNS ルックアップをイネーブルにします。inside の部分には、DNS サーバへのルートを持つ任意のインターフェイスを指定します。

ステップ 4 dns name-server 10.2.3.4 のように、ASA に DNS サーバの IP アドレスを定義します(10.2.3.4 は、DNS サーバの IP アドレス)。


 

次に、リダイレクトをディセーブルにする redirect-fqdn コマンドの例を示します。

ciscoasa(config)# vpn load-balancing
ciscoasa(config-load-balancing)# redirect-fqdn disable
ciscoasa(config-load-balancing)#
 

次に、完全修飾ドメイン名のリダイレクトをイネーブルにし、クラスタのパブリック インターフェイスを「test」と指定し、クラスタのプライベート インターフェイスを「foo」と指定するインターフェイス コマンドを含む、VPN ロード バランシング コマンド シーケンスの例を示します。

ciscoasa(config)# interface GigabitEthernet 0/1
ciscoasa(config-if)# ip address 209.165.202.159 255.255.255.0
ciscoasa(config)# nameif test
ciscoasa(config)# interface GigabitEthernet 0/2
ciscoasa(config-if)# ip address 209.165.201.30 255.255.255.0
ciscoasa(config)# nameif foo
ciscoasa(config)# vpn load-balancing
ciscoasa(config-load-balancing)# nat 192.168.10.10
ciscoasa(config-load-balancing)# priority 9
ciscoasa(config-load-balancing)# interface lbpublic test
ciscoasa(config-load-balancing)# interface lbprivate foo
ciscoasa(config-load-balancing)# cluster ip address 209.165.202.224
ciscoasa(config-load-balancing)# cluster key 123456789
ciscoasa(config-load-balancing)# cluster encryption
ciscoasa(config-load-balancing)# cluster port 9023
ciscoasa(config-load-balancing)# redirect-fqdn enable
ciscoasa(config-load-balancing)# participate
 
 
 
 
 

 
関連コマンド

コマンド
説明

clear configure vpn load-balancing

ロード バランシングの実行時コンフィギュレーションを削除し、ロード バランシングをディセーブルにします。

show running-config vpn load-balancing

現在の VPN ロード バランシング仮想クラスタのコンフィギュレーションを表示します。

show vpn load-balancing

VPN ロード バランシング実行時の統計情報を表示します。

vpn load-balancing

VPN ロード バランシング モードを開始します。

redistribute

あるルーティング ドメインから別のルーティング ドメインにルートを再配布するには、該当するコンフィギュレーション モードで redistribute コマンドを使用します。再配布をディセーブルにするには、このコマンドの no 形式を使用します。

redistribute protocol [ process-id ] [autonomous-system-number][ metric {metric-value | transparent}][metric-type type-value] [match {internal | external 1 | external 2}] [tag tag-value] [route-map map-tag] [subnets] [nssa-only]

no redistribute protocol [ process-id ] [autonomous-system-number][ metric {metric-value | transparent}][metric-type type-value] [match {internal | external 1 | external 2}] [tag tag-value] [route-map map-tag] [subnets] [nssa-only]

 
構文の説明

protocol

ルートの再配布元のプロトコルです。次のキーワードのいずれかを指定できます。 

bgp、connected、eigrp、ospf、static、または rip

static キーワードは、IP スタティック ルートを再配布する場合に使用します。

connected キーワードは、インターフェイス上で IP アドレスをイネーブルにすることによって自動的に確立されるルートを示します。Open Shortest Path First(OSPF)などのルーティング プロトコルの場合、これらのルートは自律システムに対して外部として再配布されます。

process-id

(オプション)bgp キーワードまたは eigrp キーワードの場合、16 ビットの 10 進数の自律システム番号です。

ospf キーワードの場合、ルートの再配布元の該当する OSPF プロセス ID です。この値でルーティング プロセスが識別されます。ゼロ以外の 10 進数の値を指定します。

rip キーワードの場合、process-id の値は必要ありません。

デフォルトでは、プロセス ID は定義されません。

autonomous-system-number

(オプション)再配布ルートの自律システム番号です。番号の範囲は 1 ~ 65535 です。

Cisco IOS リリース 12.0(32)SY8、12.0(33)S3、12.2(33)SRE、12.2(33)XNE、12.2(33)SXI1、Cisco IOS XE リリース 2.4、およびそれ以降のリリースでは、4 バイト自律システム番号の形式として asplain 表記(65536 ~ 4294967295)と asdot 表記(1.0 ~ 65535.65535)がサポートされています。

Cisco IOS リリース 12.0(32)S12、12.4(24)T、および Cisco IOS XE リリース 2.3 では、4 バイト自律システム番号の形式として asdot 表記(1.0 ~ 65535.65535)のみがサポートされています。

自律システムの番号形式の詳細については、router bgp コマンドの説明を参照してください。

metric metric-value

(オプション)同じルータ上の一方の OSPF プロセスから他方の OSPF プロセスに再配布する場合、メトリック値を指定しないと、メトリックは一方のプロセスから他方のプロセスへ存続します。他のプロセスを OSPF プロセスに再配布するときに、メトリック値を指定しない場合、デフォルトのメトリックは 20 です。デフォルト値は 0 です。

metric transparent

(オプション)再配布ルートのルーティング テーブル メトリックを RIP メトリックとして使用します。

metric-type type-value

(オプション)OSPF ルーティング ドメインにアドバタイズされるデフォルトのルートに関連付けられる外部リンク タイプを指定します。次の 2 つの値のいずれかにすることができます。

1:タイプ 1 外部ルート

2:タイプ 2 外部ルート

metric-type を指定しない場合、Cisco IOS ソフトウェアではタイプ 2 外部ルートが採用されます。

match { internal | external 1 | external 2}

(オプション)OSPF ルートを他のルーティング ドメインに再配布する条件を指定します。次のいずれかを指定できます。

internal:特定の自律システムの内部のルート。

external 1:自律システムの外部だが、OSPF にタイプ 1 外部ルートとしてインポートされるルート。

external 2:自律システムの外部だが、OSPF にタイプ 2 外部ルートとしてインポートされるルート。

デフォルトは internal と external 1 です。

tag tag-value

(オプション)各外部ルートに付加する 32 ビットの 10 進値を指定します。これは OSPF 自体には使用されません。自律システム境界ルータ(ASBR)間で情報を通信するために使用できます。何も指定しない場合、ボーダー ゲートウェイ プロトコル(BGP)および外部ゲートウェイ プロトコル(EGP)からのルートにはリモート自律システムの番号が使用され、その他のプロトコルには 0 が使用されます。

route-map 

(オプション)この送信元ルーティング プロトコルから現在のルーティング プロトコルへのルートのインポートをフィルタリングするために照会するルート マップを指定します。指定しない場合は、すべてのルートが再配布されます。このキーワードを指定し、ルート マップ タグを 1 つも指定しないと、いずれのルートもインポートされません。

map-tag

(オプション)設定されているルート マップの ID。

subnets

(オプション)OSPF へのルートの再配布において、指定したプロトコルの再配布の範囲を指定します。デフォルトでは、サブネットは定義されません。

nssa-only

(オプション)OSPF に再配布されるすべてのルートに対する nssa-only 属性を設定します。

 
デフォルト

ルートの再配布はディセーブルです。

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

アドレスファミリ コンフィギュレーション

Yes

--

Yes

Yes

--

 
コマンド履歴

リリース
変更内容

9.2(1)

このコマンドが導入されました。

 
使用上のガイ ド ライン

キーワードを変更またはディセーブルにしても、他のキーワードの状態には影響しません。

内部メトリックが指定されたリンクステート プロトコルを受信するルータの場合、ルートのコストには、そのルータから再配布するルータまでのコストと宛先に達するまでのアドバタイズされたコストの合計が考慮されます。外部メトリックでは、宛先に達するまでのアドバタイズされたコストだけを考慮します。

再配布されるルーティング情報は、distribute-list out ルータ コンフィギュレーション コマンドでフィルタリングする必要があります。これにより、管理者が意図するルートだけが、受信側のルーティング プロトコルに転送されます。

ルータ コンフィギュレーション コマンドの redistribute または default-information を使用して OSPF ルーティング ドメインにルートを再配布した場合、ルータは必ず自動で ASBR になります。ただし、デフォルトでは、ASBR はデフォルト ルートを OSPF ルーティング ドメインに生成しません。

OSPF または BGP 以外のプロトコルから OSPF にルートを再配布する場合、metric-type キーワードと type-value 引数でメトリックを指定していなければ、デフォルト メトリックとして 20 が使用されます。BGP から OSPF にルートを再配布する場合は、デフォルト メトリックとして 1 が使用されます。OSPF プロセスから別の OSPF プロセスにルートを再配布する場合、自律システム(AS)の外部および Not-So-Stubby Area(NSSA)のルートではデフォルト メトリックとして 20 が使用されます。OSPF プロセス間でエリア内およびエリア間のルートを再配布する場合は、再配布元プロセスの内部 OSPF メトリックが再配布先プロセスの外部メトリックとしてアドバタイズされます (この場合にのみ、OSPF へのルートの再配布時にルーティング テーブルのメトリックが維持されます)。

OSPF にルートを再配布する際、subnets キーワードを指定していない場合は、サブネット化されていないルートだけが再配布されます。

NSSA エリアの内部のルータでは、nssa-only キーワードを指定すると、生成されるタイプ 7 NSSA LSA の伝播(P)ビットがゼロに設定されます。これらの LSA については、エリア境界ルータでタイプ 5 外部 LSA に変換されません。NSSA エリアおよび標準エリアに接続されているエリア境界ルータでは、nssa-only キーワードを指定した場合、ルートが NSSA エリアにのみ再配布されます。

connected キーワードが設定されたルートでこの redistribute コマンドの影響を受けるのは、network ルータ コンフィギュレーション コマンドで指定されていないルートです。

default-metric コマンドでメトリックを指定しても、接続ルートのアドバタイズに使用するメトリックには影響しません。


) redistribute コマンドで指定した metric の値は、default-metric コマンドで指定した metric の値よりも優先されます。


BGP への IGP または EGP のデフォルトの再配布は、default-information originate ルータ コンフィギュレーション コマンドが指定されていない場合は許可されません。

redistribute コマンドの no 形式の使用

redistribute コマンドに設定したオプションを削除するには、期待する結果が得られるように redistribute コマンドの no 形式を慎重に使用する必要があります。詳細については、「例」を参照してください。

4 バイト自律システム番号のサポート

シスコが採用している 4 バイト自律システム番号では、自律システム番号の正規表現のマッチングおよび出力表示のデフォルトの形式として asplain(たとえば、65538)を使用していますが、RFC 5396 で定義されているとおり、4 バイト自律システム番号を asplain 形式および asdot 形式の両方で設定できます。4 バイト自律システム番号の正規表現マッチングと出力表示のデフォルトを asdot 形式に変更するには、bgp asnotation dot コマンドを使用します。

EIGRP コンフィギュレーションに default-metric コマンドを設定していない場合は、redistribute コマンドで metric を指定する必要があります。

次に、OSPF ルートを BGP ドメインに再配布する例を示します。

ciscoasa(config)# router bgp 109
ciscoasa(config-router)# redistribute ospf

 

次に、EIGRP ルートを OSPF ドメインに再配布する例を示します。

ciscoasa(config)# router ospf 110
ciscoasa(config-router)# redistribute eigrp
 

次に、指定した EIGRP プロセス ルートを OSPF ドメインに再配布する例を示します。EIGRP 派生メトリックは 100 に再マッピングされ、RIP ルートは 200 に再マッピングされます。

ciscoasa(config)# router ospf 109
ciscoasa(config-router)# redistribute eigrp 108 metric 100 subnets
ciscoasa(config-router)# redistribute rip metric 200 subnets

 

次に、ネットワーク 172.16.0.0 を OSPF 1 の外部リンクステート アドバタイズメント(LSA)として設定する例を示します。コストは 100 で維持されます。

ciscoasa(config)# interface ethernet 0
ciscoasa(config-if)# ip address 172.16.0.1 255.0.0.0
ciscoasa(config)#  ospf cost 100
ciscoasa(config)# interface ethernet 1
ciscoasa(config-if)#ip address 10.0.0.1 255.0.0.0
!
ciscoasa(config)# router ospf 1
ciscoasa(config-router)# network 10.0.0.0 0.255.255.255 area 0
ciscoasa(config-router)# redistribute ospf 2 subnet
ciscoasa(config)# router ospf 2
ciscoasa(config-router)# network 172.16.0.0 0.255.255.255 area 0

次に、BGP ルートを OSPF に再配布し、asplain 形式のローカルの 4 バイト自律システム番号を割り当てる例を示します。

ciscoasa(config)# router ospf 2
ciscoasa(config-router)# redistribute bgp 65538

 

次に、redistribute connected metric 1000 subnets コマンドから connected metric 1000 subnets オプションを削除する例を示します。redistribute connected コマンドはコンフィギュレーションに残ります。

ciscoasa(config-router)# no redistribute connected metric 1000 subnets

 

次に、redistribute connected metric 1000 subnets コマンドから metric 1000 オプションを削除する例を示します。redistribute connected subnets コマンドはコンフィギュレーションに残ります。

ciscoasa(config-router)# no redistribute connected metric 1000

 

次に、redistribute connected metric 1000 subnets コマンドから subnets オプションを削除する例を示します。redistribute connected metric 1000 コマンドはコンフィギュレーションに残ります。

ciscoasa(config-router)# no redistribute connected subnets

 

次に、redistribute connected コマンドを削除する例を示します。redistribute connected コマンドに設定されたオプションもコンフィギュレーションからすべて削除されます。

ciscoasa(config-router)# no redistribute connected
 

redistribute(EIGRP)

1 つのルーティング ドメインから EIGRP ルーティング プロセスにルートを再配布するには、ルータ コンフィギュレーション モードで redistribute コマンドを使用します。再配布を削除するには、このコマンドの no 形式を使用します。

redistribute {{ eigrp pid [ match { internal | external [ 1 | 2 ] | nssa-external [ 1 | 2 ]}]} | rip | static | connected } [ metric bandwidth delay reliability load mtu ] [ route-map map_name ]

no redistribute {{ eigrp pid [ match { internal | external [ 1 | 2 ] | nssa-external [ 1 | 2 ]}]} | rip | static | connected } [ metric bandwidth delay reliability load mtu ] [ route-map map_name ]

 
構文の説明

bandwidth

EIGRP 帯域幅メトリック(キロビット/秒)。有効な値は、1 ~ 4294967295 です。

connected

インターフェイスに接続されているネットワークを EIGRP ルーティング プロセスに再配布することを指定します。

delay

EIGRP 遅延メトリック(10 マイクロ秒単位)。有効な値は、0 ~ 4294967295 です。

external type

指定した自律システムの外部にある EIGRP メトリック ルートを指定します。有効な値は、 1 または 2 です。

internal type

指定した自律システムの内部にある EIGRP メトリック ルートを指定します。

load

EIGRP 有効帯域幅(負荷)メトリック。有効な値は、1 ~ 255 です(255 は 100% の負荷を示します)。

match

(オプション)OSPF から EIGRP にルートを再配布する条件を指定します。

metric

(オプション)EIGRP ルーティング プロセスに再配布されるルートの EIGRP メトリックの値を指定します。

mtu

パスの MTU。有効な値は 1 ~ 65535 です。

nssa-external type

NSSA の外部にあるルートの EIGRP メトリック タイプを指定します。有効な値は、 1 または 2 です。

eigrp pid

EIGRP ルーティング プロセスに EIGRP ルーティング プロセスを再配布するために使用します。 pid では、EIGRP ルーティング プロセス内部で使用される識別パラメータを指定します。有効値は 1 ~ 65535 です。

reliability

EIGRP 信頼性メトリック。有効な値は、0 ~ 255 です(255 は 100% の信頼性を示します)。

rip

RIP ルーティング プロセスから EIGRP ルーティング プロセスへのネットワークの再配布を指定します。

route-map map_name

(オプション)送信元ルーティング プロトコルから EIGRP ルーティング プロセスにインポートされるルートをフィルタリングするために使用されるルート マップの名前。指定しない場合は、すべてのルートが再配布されます。

static

EIGRP ルーティング プロセスにスタティック ルートを再配布するために使用します。

 
デフォルト

コマンドのデフォルトは次のとおりです。

match Internal external 1 external 2

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

ルータ コンフィギュレーション

Yes

--

Yes

Yes

--

 
コマンド履歴

リリース
変更内容

8.0(2)

このコマンドが導入されました。

9.0(1)

マルチ コンテキスト モードがサポートされます。

 
使用上のガイ ド ライン

EIGRP コンフィギュレーションに default-metric コマンドを設定していない場合は、redistribute コマンドで metric を指定する必要があります。

次に、スタティック ルートおよび接続ルートを EIGRP ルーティング プロセスに再配布する例を示します。

ciscoasa(config)# router eigrp 100
ciscoasa(config-router)# redistribute static
ciscoasa(config-router)# redistribute connected
 

 
関連コマンド

コマンド
説明

router eigrp

EIGRP ルーティング プロセスを作成し、このプロセスのコンフィギュレーション モードを開始します。

show running-config router

グローバル ルータ コンフィギュレーションのコマンドを表示します。

redistribute(OSPF)

1 つのルーティング ドメインから OSPF ルーティング プロセスにルートを再配布するには、ルータ コンフィギュレーション モードで redistribute コマンドを使用します。再配布を削除するには、このコマンドの no 形式をオプションなしで使用します。このコマンドの no 形式でオプションを指定した場合、そのオプションのコンフィギュレーションだけが削除されます。

redistribute {{ ospf pid [ match { internal | external [ 1 | 2 ] | nssa-external [ 1 | 2 ]}]} | rip | static | connected | eigrp as-number } [ metric metric_value ] [ metric-type metric_type ] [ route-map map_name ] [ tag tag_value ] [ subnets ]

no redistribute {{ ospf pid [ match { internal | external [ 1 | 2 ] | nssa-external [ 1 | 2 ]}]} | rip | static | connected } [ metric metric_value ] [ metric-type metric_type ] [ route-map map_name ] [ tag tag_value ] [ subnets ]

 
構文の説明

connected

インターフェイスに接続されているネットワークを OSPF ルーティング プロセスに再配布することを指定します。

eigrp as-number

OSPF ルーティング プロセスに EIGRP ルートを再配布するために使用します。 as-number は、EIGRP ルーティング プロセスの自律システム番号を指定します。有効な値は 1 ~ 65535 です。

external type

指定した自律システムの外部にある OSPF メトリック ルートを指定します。有効な値は、 1 または 2 です。

internal type

指定した自律システムの内部にある OSPF メトリック ルートを指定します。

match

(オプション)あるルーティング プロトコルから別のルーティング プロトコルにルートを再配布するための条件を指定します。

metric metric_value

(オプション)OSPF のデフォルト メトリック値を、0 ~ 16777214 の範囲で指定します。

metric-type metric_type

(オプション)OSPF ルーティング ドメインにアドバタイズされるデフォルト ルートに関連付けられている外部リンク タイプ。 1 (タイプ 1 外部ルート)または 2 (タイプ 2 外部ルート)を指定できます。

nssa-external type

NSSA の外部にあるルートの OSPF メトリック タイプを指定します。有効な値は、 1 または 2 です。

ospf pid

現在の OSPF ルーティング プロセスに OSPF ルーティング プロセスを再配布するために使用します。 pid は OSPF ルーティング プロセス用に内部で使用される ID パラメータを指定します。有効な値は 1 ~ 65535 です。

rip

RIP ルーティング プロセスから現在の OSPF ルーティング プロセスへのネットワークの再配布を指定します。

route-map map_name

(オプション)送信元ルーティング プロトコルから現在の OSPF ルーティング プロセスにインポートされるルートをフィルタリングするために使用されるルート マップの名前。指定しない場合は、すべてのルートが再配布されます。

static

スタティック ルートを OSPF プロセスに再配布するために使用されます。

subnets

(オプション)OSPF へのルートの再配布において、指定したプロトコルの再配布の範囲を指定します。使用しない場合は、クラスフル ルートのみが再配布されます。

tag tag_value

(オプション)各外部ルートに付けられた 32 ビットの 10 進値。この値は OSPF 自体には使用されません。ASBR 間での情報通信に使用されることはあります。何も指定しない場合、BGP および EGP からのルートにはリモート自律システムの番号が使用され、その他のプロトコルには 0 が使用されます。有効値の範囲は、0 ~ 4294967295 です。

 
デフォルト

コマンドのデフォルトは次のとおりです。

metric metric-value :0

metric-type type-value 2

match Internal external 1 external 2

tag tag-value :0

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

ルータ コンフィギュレーション

Yes

--

Yes

Yes

--

 
コマンド履歴

リリース
変更内容

7.0(1)

このコマンドが導入されました。

7.2(1)

このコマンドは、 rip キーワードを含むように変更されました。

8.0(2)

このコマンドが、 eigrp キーワードを含めるように修正されました。

9.0(1)

マルチ コンテキスト モードがサポートされます。

次に、スタティック ルートを現在の OSPF プロセスに再配布する例を示します。

ciscoasa(config)# router ospf 1
ciscoasa(config-rtr)# redistribute static
 

 
関連コマンド

コマンド
説明

redistribute(RIP)

RIP ルーティング プロセスにルートを再配布します。

router ospf

ルータ コンフィギュレーション モードを開始します。

show running-config router

グローバル ルータ コンフィギュレーションのコマンドを表示します。

redistribute(OSPFv3)

OSPFv3 ルーティング ドメインから別の OSPFv3 ルーティング ドメインに IPv6 ルートを再配布するには、IPv6 ルータ コンフィギュレーション モードで redistribute コマンドを使用します。再配布をディセーブルにするには、このコマンドの no 形式を使用します。

redistribute source-protocol [ process-id ] [ include-connected { level-1 | level-1-2 | level-2 }] [ as-number ] [ metric { metric-value | transparent }] [ metric-type type-value ] [ match { external [ 1 | 2 ] | internal | nssa-external [ 1 | 2 ]}] [ tag tag-value ] [ route-map map-tag ]

no redistribute source-protocol [ process-id ] [ include-connected { level-1 | level-1-2 | level-2 }] [ as-number ] [ metric { metric-value | transparent }] [ metric-type type-value ] [ match { external [ 1 | 2 ] | internal | nssa-external [ 1 | 2 ]}] [ tag tag-value ] [ route-map map-tag ]

 
構文の説明

as-number

ルーティング プロセスの自律システム番号を指定します。有効な値の範囲は 1 ~ 65535 です。

external

指定した自律システムの外部にあり、タイプ 1 またはタイプ 2 の外部ルートとして OSPFv3 にインポートされる OSPFv3 メトリック ルートを指定します。有効な値は、1 または 2 です。

include-connected

(オプション)ソース プロトコルから学習したルートと、ソース プロトコルが動作しているインターフェイス上の接続先プレフィックスを、ターゲット プロトコルで再配布できるようにします。

internal

指定した自律システムの内部にある OSPFv3 メトリック ルートを指定します。

level-1

Intermediate System-to-Intermediate System(IS-IS)用に、レベル 1 ルートが他の IP ルーティング プロトコルに個別に再配布されることを指定します。

level-1-2

IS-IS 用に、レベル 1 とレベル 2 の両方のルートが他の IP ルーティング プロトコルに個別に再配布されることを指定します。

level-2

IS-IS 用に、レベル 2 ルートが他の IP ルーティング プロトコルに個別に再配布されることを指定します。

map-tag

設定したルート マップの識別情報を指定します。

match

(オプション)他のルーティング ドメインにルートを再配布します。

metric metric_value

(オプション)OSPFv3 のデフォルト メトリック値を指定します。有効な値の範囲は、0 ~ 16777214 です。

metric-type metric_type

(オプション)OSPFv3 ルーティング ドメインにアドバタイズされるデフォルトのルートに関連付けられる外部リンク タイプを指定します。1(タイプ 1 外部ルート)または 2(タイプ 2 外部ルート)を指定できます。

nssa-external

自律システムの外部にあり、タイプ 1 またはタイプ 2 の外部ルートとして IPv6 用の Not-So-Stubby Area(NSSA)の OSPFv3 にインポートされるルートを指定します。

process-id

(オプション)OSPFv3 ルーティング プロセスをイネーブルにする場合に管理目的で割り当てる番号を指定します。

route-map map_name

(オプション)送信元ルーティング プロトコルから現在の OSPFv3 ルーティング プロトコルにインポートするルートをフィルタリングするために使用するルート マップの名前を指定します。このキーワードを指定し、ルート マップ タグを 1 つも指定しないと、いずれのルートもインポートされません。指定しない場合は、すべてのルートが再配布されます。

source-protocol

ルートの再配布元のプロトコルを指定します。有効な値は、connected、ospf、または static です。

tag tag_value

(オプション)各外部ルートに付加する 32 ビットの 10 進値を指定します。この値は OSPFv3 自身には使用されませんが、ASBR 間の情報伝達に使用できます。何も指定しない場合、BGP および EGP からのルートにはリモート自律システムの番号が使用され、その他のプロトコルには 0 が使用されます。有効値の範囲は、0 ~ 4294967295 です。

transparent

(オプション)再配布ルートのルーティング テーブル メトリックを RIP メトリックとして使用します。

 
デフォルト

コマンドのデフォルトは次のとおりです。

metric metric-value 0

metric-type type-value 2

match internal external 1 external 2

tag tag-value 0

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

IPv6 ルータ コンフィギュレーション

Yes

--

Yes

--

--

 
コマンド履歴

リリース
変更内容

9.0(1)

このコマンドが導入されました。

次に、スタティック ルートを現在の OSPFv3 プロセスに再配布する例を示します。

ciscoasa(config-if)# ipv6 router ospf 1
ciscoasa(config-rtr)# redistribute static
 
 
 
 
 

 
関連コマンド

コマンド
説明

ipv6 router ospf

OSPFv3 のルータ コンフィギュレーション モードを開始します。

show running-config ipv6 router

OSPFv3 のルータ コンフィギュレーションのコマンドを表示します。

redistribute(RIP)

別のルーティング ドメインから RIP ルーティング プロセスにルートを再配布するには、ルータ コンフィギュレーション モードで redistribute コマンドを使用します。再配布を削除するには、このコマンドの no 形式を使用します。

redistribute {{ ospf pid [ match { internal | external [ 1 | 2 ] | nssa-external [ 1 | 2 ]}]} | static | connected | eigrp as-number } [ metric { metric_value | transparent }] [ route-map map_name ]

no redistribute {{ ospf pid [ match { internal | external [ 1 | 2 ] | nssa-external [ 1 | 2 ]}]} | static | connected | eigrp as-number } [ metric { metric_value | transparent }] [ route-map map_name ]

 
構文の説明

connected

インターフェイスに接続されているネットワークを RIP ルーティング プロセスに再配布することを指定します。

eigrp as-number

RIP ルーティング プロセスに EIGRP ルートを再配布するために使用します。 as-number は、EIGRP ルーティング プロセスの自律システム番号を指定します。有効な値は 1 ~ 65535 です。

external type

指定した自律システムの外部にある OSPF メトリック ルートを指定します。有効な値は、 1 または 2 です。

internal type

指定した自律システムの内部にある OSPF メトリック ルートを指定します。

match

(オプション)OSPF から RIP にルートを再配布する条件を指定します。

metric { metric_value | transparent }

(オプション)再配布するルートの RIP メトリック値を指定します。 metric_value の有効な値は、0 ~ 16 です。メトリックを transparent に設定すると、現在のルート メトリックが使用されます。

nssa-external type

Not-So-Stubby Area(NSSA)の外部にあるルートの OSPF メトリック タイプを指定します。有効な値は、 1 または 2 です。

ospf pid

RIP ルーティング プロセスに OSPF ルーティング プロセスを再配布するために使用します。 pid は OSPF ルーティング プロセス用に内部で使用される ID パラメータを指定します。有効な値は 1 ~ 65535 です。

route-map map_name

(オプション)送信元ルーティング プロトコルから RIP ルーティング プロセスにインポートされるルートをフィルタリングするために使用されるルート マップの名前。指定しない場合は、すべてのルートが再配布されます。

static

スタティック ルートを OSPF プロセスに再配布するために使用されます。

 
デフォルト

コマンドのデフォルトは次のとおりです。

metric metric-value :0

match Internal external 1 external 2

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

ルータ コンフィギュレーション

Yes

--

Yes

Yes

--

 
コマンド履歴

リリース
変更内容

7.2(1)

このコマンドが導入されました。

8.0(2)

このコマンドが、 eigrp キーワードを含めるように修正されました。

9.0(1)

マルチ コンテキスト モードがサポートされます。

次に、スタティック ルートを現在の RIP プロセスに再配布する例を示します。

ciscoasa(config)# router rip
ciscoasa(config-rtr)# network 10.0.0.0
ciscoasa(config-rtr)# redistribute static metric 2
 

 
関連コマンド

コマンド
説明

redistribute(EIGRP)

他のルーティング ドメインから EIGRP にルートを再配布します。

redistribute(OSPF)

他のルーティング ドメインから OSPF にルートを再配布します。

router rip

RIP ルーティング プロセスをイネーブルにして、そのプロセスのルータ コンフィギュレーション モードを開始します。

show running-config router

グローバル ルータ コンフィギュレーションのコマンドを表示します。

redundant-interface

冗長インターフェイスのうちのどのメンバー インターフェイスをアクティブにするかを設定するには、特権 EXEC モードで redundant-interface コマンドを使用します。

redundant-interface redundant number active-member physical_interface

 
構文の説明

active-member physical_interface

アクティブ メンバーを設定します。有効値については、 interface コマンドを参照してください。両方のメンバー インターフェイスが同じ物理タイプである必要があります。

redundant number

冗長インターフェイス ID( redundant1 など)を指定します。

 
デフォルト

デフォルトで、コンフィギュレーション内の最初のメンバー インターフェイスが使用可能な場合、そのインターフェイスがアクティブ インターフェイスとなります。

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

特権 EXEC

Yes

Yes

Yes

--

Yes

 
コマンド履歴

リリース
変更内容

8.0(2)

このコマンドが導入されました。

 
使用上のガイ ド ライン

どのインターフェイスがアクティブであるかを表示するには、次のコマンドを入力します。

ciscoasa# show interface redundantnumber detail | grep Member
 

次に例を示します。

ciscoasa# show interface redundant1 detail | grep Member
      Members GigabitEthernet0/3(Active), GigabitEthernet0/2
 

次に、冗長インターフェイスを作成する例を示します。デフォルトでは、gigabitethernet 0/0 がコンフィギュレーション内の最初のインターフェイスであるため、このインターフェイスがアクティブです。redundant-interface コマンドでは、gigabitethernet 0/1 をアクティブ インターフェイスに設定しています。

ciscoasa(config-if)# interface redundant 1
ciscoasa(config-if)# member-interface gigabitethernet 0/0
ciscoasa(config-if)# member-interface gigabitethernet 0/1
 
ciscoasa(config-if)# redundant-interface redundant1 active-member gigabitethernet0/1

 
関連コマンド

コマンド
説明

clear interface

show interface コマンドのカウンタをクリアします。

debug redundant-interface

冗長インターフェイスのイベントまたはエラーに関するデバッグ メッセージを表示します。

interface redundant

冗長インターフェイスを作成します。

member-interface

冗長インターフェイス ペアにメンバー インターフェイスを割り当てます。

show interface

インターフェイスの実行時ステータスと統計情報を表示します。

regex

テキストを照合する正規表現を作成するには、グローバル コンフィギュレーション モードで regex コマンドを使用します。正規表現を削除するには、このコマンドの no 形式を使用します。

regex name regular_expression

no regex name [ regular_expression ]

 
構文の説明

name

正規表現名を最大 40 文字で指定します。

regular_expression

最大 100 文字の正規表現を指定します。正規表現で使用できるメタ文字のリストについては、「使用上のガイドライン」を参照してください。

 
デフォルト

デフォルトの動作や値はありません。

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

グローバル コンフィギュレーション

Yes

Yes

Yes

Yes

--

 
コマンド履歴

リリース
変更内容

7.2(1)

このコマンドが導入されました。

 
使用上のガイ ド ライン

regex コマンドは、テキスト照合が必要なさまざまな機能で使用できます。たとえば、 インスペクション ポリシー マップ を使用して、モジュラ ポリシー フレームワークを使用したアプリケーション インスペクションの特別なアクションを設定できます( policy map type inspect コマンドを参照)。インスペクション ポリシー マップでは、1 つ以上の match コマンドを含んだインスペクション クラス マップを作成することで、アクションの実行対象となるトラフィックを識別できます。または、 match コマンドをインスペクション ポリシー マップ内で直接使用することもできます。一部の match コマンドでは、パケット内のテキストを正規表現を使用して識別できます。たとえば、HTTP パケット内の URL 文字列を照合できます。正規表現は、正規表現クラス マップにグループ化できます( class-map type regex コマンドを参照)。

正規表現は、ストリングそのものとしてテキスト ストリングと文字どおりに照合することも、 metacharacters を使用してテキスト ストリングの複数のバリアントと照合することもできます。正規表現を使用して、特定のアプリケーション トラフィックの内容(HTTP パケット内の本文テキストなど)を照合できます。


) 最適化のために、ASA では、難読化解除された URL が検索されます。難読化解除では、複数のスラッシュ(/)が単一のスラッシュに圧縮されます。「http://」など、一般的に 2 つのスラッシュが使用されるストリングでは、代わりに「http:/」を検索してください。


表 18-1 に、特別な意味を持つメタ文字の一覧を示します。

 

表 18-1 regex メタ文字

文字
説明
注意

.

ドット

任意の単一文字と一致します。たとえば、 d.g は、dog、dag、dtg、およびこれらの文字を含む任意の単語(doggonnit など)に一致します。

( exp )

サブ表現

サブ表現は、文字を周囲の文字から分離して、サブ表現に他のメタ文字を使用できるようにします。たとえば、 d(o|a)g は dog および dag に一致しますが、 do|ag は do および ag に一致します。また、サブ表現を繰り返し限定作用素とともに使用して、繰り返す文字を区別できます。たとえば、 ab(xy){3}z は、abxyxyxyz に一致します。

|

代替

このメタ文字によって区切られている複数の表現のいずれかと一致します。たとえば、 dog|cat は、dog または cat に一致します。

?

疑問符

直前の表現が 0 または 1 個存在することを示す修飾子。たとえば、 lo?se は、lse または lose に一致します。

を入力してから疑問符を入力しないと、ヘルプ機能が呼び出されます。

*

アスタリスク

直前の表現が 0、1、または任意の個数存在することを示す修飾子。たとえば、 lo*se は、lse、lose、loose などに一致します。

+

プラス

直前の表現が少なくとも 1 個存在することを示す修飾子。たとえば、 lo+se は、lose および loose に一致しますが、lse には一致しません。

{ x } または { x ,}

最小繰り返し限定作用素

少なくとも x 回繰り返します。たとえば、 ab(xy){2,}z は、abxyxyz や abxyxyxyz などに一致します。

[ abc ]

文字クラス

カッコ内の任意の文字と一致します。たとえば、 [abc] は、a、b、または c に一致します。

[^ abc ]

否定文字クラス

角カッコに含まれていない単一文字と一致します。たとえば、 [^abc] は、a、b、c 以外の任意の文字に一致します。 [^A-Z] は、大文字のアルファベット文字以外の任意の単一の文字に一致します。

[ a - c ]

文字範囲クラス

範囲内の任意の文字と一致します。 [a-z] は、任意の小文字のアルファベット文字に一致します。文字と範囲を組み合わせて使用することもできます。 [abcq-z] および [a-cq-z] は、a、b、c、q、r、s、t、u、v、w、x、y、z に一致します。

ダッシュ(-)文字は、角カッコ内の最初の文字または最後の文字である場合にのみリテラルとなります( [abc-] [-abc] )。

""

引用符

文字列の末尾または先頭のスペースを保持します。たとえば、 " test" は、一致を検索する場合に先頭のスペースを保持します。

^

キャレット

行の先頭を指定します。

\

エスケープ文字

メタ文字とともに使用すると、リテラル文字と一致します。たとえば、 \[ は左角カッコに一致します。

char

文字

文字がメタ文字でない場合は、リテラル文字と一致します。

\r

復帰

復帰 0x0d と一致します。

\n

改行

改行 0x0a と一致します。

\t

タブ

タブ 0x09 と一致します。

\f

改ページ

フォーム フィード 0x0c と一致します。

\x NN

エスケープされた 16 進数

16 進数(厳密に 2 桁)を使用した ASCII 文字と一致します。

\ NNN

エスケープされた 8 進数

8 進数(厳密に 3 桁)としての ASCII 文字と一致します。たとえば、文字 040 はスペースを表します。

正規表現が想定どおりに一致するかどうかをテストするには、 test regex コマンドを入力します。

正規表現のパフォーマンスへの影響は、主に次の 2 つの要因によって決定されます。

正規表現照合で検索される必要があるテキストの長さ。

検索長が短い場合は、正規表現エンジンの ASA に対するパフォーマンス上の影響は小さくなります。

正規表現照合で検索される必要がある正規表現チェーン テーブルの数。

検索長のパフォーマンスへの影響

正規表現検索を設定すると、通常は、検索対象テキストのすべてのバイトが正規表現データベースに対して検査されて、一致が検索されます。検索対象テキストが長くなるほど、検索時間も長くなります。次に、この現象を表すパフォーマンス テスト ケースを示します。

ある HTTP トランザクションでは、1 回の 300 バイトの GET 要求と 1 回の 3250 バイトの応答が行われます。

URI 検索には 445 の正規表現が、要求本文検索には 34 の正規表現が使用されます。

応答本文検索には 55 の正規表現が使用されます。

URI および HTTP GET 要求の本文のみを検索するようにポリシーを設定すると、スループットは次のようになります。

対応する正規表現データベースが検索されない場合は 420 mbps。

対応する正規表現データベースが検索される場合は 413 mbps(正規表現を使用するオーバーヘッドが比較的小さいことがわかります)。

ただし、HTTP 応答本文全体も検索するようにポリシーを設定すると、応答本文の検索対象が長いため(3250 バイト)、スループットは 145 mbps まで低下します。

正規表現検索のテキスト長が長くなる要因は次のとおりです。

複数の異なるプロトコル フィールドに対して正規表現検索が設定されている場合。たとえば、HTTP インスペクションでは、URI にのみ正規表現照合が設定されていると、URI フィールドのみが正規表現照合のために検索され、検索長は URI 長に制限されます。ただし、ヘッダーや本文などの他のプロトコル フィールドにも正規表現照合が設定されていると、ヘッダー長や本文長の分だけ検索長が長くなります。

検索対象のフィールドが長い場合。たとえば、URI に正規表現検索が設定されている場合、GET 要求内の長い URI の検索長は長くなります。また、現在、HTTP 本文の検索長はデフォルトで 200 バイトまでに制限されています。ただし、本文を検索するようにポリシーを設定し、本文検索長が 5000 バイトに変更されると、本文検索が長くなるため、パフォーマンスに対して大きな影響があります。

正規表現チェーン テーブル数のパフォーマンスへの影響

現在、同じプロトコル フィールドに設定されたすべての正規表現(URI に対するすべての正規表現など)は、1 つ以上の正規表現チェーン テーブルで構成されるデータベースに構築されます。テーブルの数は、必要な合計メモリ量、およびテーブル構築時に使用可能なメモリ量によって決定されます。次のいずれかの条件が満たされる場合、正規表現データベースは複数のテーブルに分割されます。

必要な合計メモリが 32 MB を超える場合。これは、最大テーブル サイズが 32 MB に制限されているためです。

最大連続メモリ サイズが正規表現データベース全体を構築するのに十分ではない場合、複数の小さなテーブルが構築されて、それらのテーブルにすべての正規表現が格納されます。メモリ フラグメンテーションの程度は、相互に関連する数多くの要因によって左右されるため、フラグメンテーションのレベルを予測することは事実上不可能です。

複数のチェーン テーブルがある場合、正規表現照合において各テーブルが検索される必要があるため、検索時間は検索対象のテーブル数に比例して長くなります。

特定のタイプの正規表現では、テーブル サイズが大幅に増加する傾向があります。可能な限りワイルドカードおよび繰り返し要素を避けるように正規表現を設計することを推奨します。次のメタ文字については、 表 18-1 を参照してください。

ワイルドカード タイプの指定を伴う正規表現

ドット(.)

クラス内の任意の文字に一致するさまざまな文字クラス

[^a-z]

[a-z]

[abc]]

繰り返しタイプの指定を伴う正規表現

*

+

{n,}

次のようにワイルドカード タイプの正規表現と繰り返しタイプの正規表現を組み合わせると、テーブル サイズが大幅に増加する可能性があります。

123.*xyz

123.+xyz

[^a-z]+

[^a-z]*

.*123.*(これは、「123」と照合することと同じであるため、このような指定は行わないでください)

次に、ワイルドカードや繰り返しの有無によって正規表現のメモリ使用量がどのように異なるかについての例を示します。

次の 4 つの正規表現のデータベース サイズは 958,464 バイトです。

regex r1 "q3rfict9(af.*12)*ercvdf"
regex r2 "qtaefce.*qeraf.*adasdfev"
regex r3 "asdfdfdfds.*wererewr0e.*aaaxxxx.*xxx"
regex r4 "asdfdfdfds.*wererewr0e.*afdsvcvr.*aefdd"
 

次の 4 つの正規表現のデータベース サイズはわずか 10240 バイトです。

regex s1 "abcde"
regex s2 "12345"
regex s3 "123xyz"
regex s4 "xyz123"
 

正規表現の数が増えると、正規表現データベースで必要になる合計メモリ量も増え、そのためメモリがフラグメント化されている場合にはより多くのテーブル数が必要になる可能性があります。次に、異なる正規表現数でのメモリ使用量の例を示します。

100 サンプル URI:3,079,168 バイト

200 サンプル URI:7,156,224 バイト

500 サンプル URI:11,198,971 バイト


) コンテキストごとの最大正規表現数は 2048 です。

debug menu regex 40 10 コマンドを使用して、各正規表現データベースにおけるチェーン テーブル数を表示できます。


次に、インスペクション ポリシー マップで使用する 2 つの正規表現を作成する例を示します。

ciscoasa(config)# regex url_example example\.com
ciscoasa(config)# regex url_example2 example2\.com
 
 
 
 
 
 
 

 
関連コマンド

コマンド
説明

class-map type inspect

アプリケーション固有のトラフィックと照合するインスペクション クラス マップを作成します。

policy-map

トラフィック クラスを 1 つ以上のアクションと関連付けることによって、ポリシー マップを作成します。

policy-map type inspect

アプリケーション インスペクションの特別なアクションを定義します。

class-map type regex

正規表現クラス マップを作成します。

test regex

正規表現をテストします。

reload

リブートしてコンフィギュレーションをリロードするには、特権 EXEC モードで reload コマンドを使用します。

reload [ at hh : mm [ month day | day month ]] [ cancel ] [ in [ hh : ] mm ] [ max-hold-time [ hh : ] mm ] [ noconfirm ] [ quick ] [ reason text ] [ save-config ]

 
構文の説明

at hh : mm

(オプション)ソフトウェアのリロードが(24 時間制で)指定された時刻に行われるようにスケジューリングします。月日を指定しない場合、リロードは、指定時刻が現在時刻よりも後の場合は当日の指定時刻に、指定時刻が現在時刻よりも前の場合は翌日の指定時刻に行われます。00:00 を指定すると、深夜 0 時のリロードが設定されます。リロードは、24 時間以内に実行される必要があります。

cancel

(オプション)スケジューリングされているリロードをキャンセルします。

day

(オプション)1 ~ 31 の範囲で日付を指定します。

in [ hh : ] mm ]

(任意)指定した分数、または時間および分数が経過したときにソフトウェアがリロードされるようにスケジューリングします。リロードは、24 時間以内に実行される必要があります。

max-hold-time [ hh : ] mm

(オプション)シャットダウンまたはリブートの前に他のサブシステムに対して通知するために ASA が待機する最大ホールド時間を指定します。この時間が経過すると、(強制)クイック シャットダウンまたはリブートが実行されます。

month

(オプション)月の名前を指定します。月の名前を表す一意のストリングを作成するために十分な文字を入力します。たとえば、「Ju」は、June または July を表すことができるため一意ではありませんが、「Jul」は一意です。これは、「Jul」で始まる月は「July」しかないためです。

noconfirm

(オプション)ユーザの確認なしでリロードすることを ASA に許可します。

quick

(オプション)通知したり、すべてのサブシステムを正常にシャットダウンしたりすることなく、クイック リロードを強制します。

reason text

(オプション)リロードの理由を 1 ~ 255 文字で指定します。理由のテキストは、すべての開いている IPsec VPN クライアント、端末、コンソール、Telnet、SSH、および ASDM 接続またはセッションに送信されます。


) ISAKMP などの一部のアプリケーションでは、IPsec VPN クライアントに理由のテキストを送信するために追加のコンフィギュレーションが必要となります。詳細については、VPN CLI 設定ガイドを参照してください。


save-config

(オプション)シャットダウンの前に、実行コンフィギュレーションをメモリに保存します。 save-config キーワードを入力しない場合、未保存のコンフィギュレーションの変更はリロード後にすべて失われます。

save-show-tech

(オプション)リロードの実行前に show tech コマンドの出力をファイルに保存します。

 
デフォルト

デフォルトの動作や値はありません。

 
コマンド モード

次の表は、このコマンドを入力できるモードを示しています。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

特権 EXEC

Yes

Yes

Yes

--

Yes

 
コマンド履歴

リリース
変更内容

7.0(1)

このコマンドが変更されて、 day hh mm month quick save-config 、および text という新しい引数およびキーワードが追加されました。

9.1(3)

save-show-tech キーワードが追加されました。

 
使用上のガイ ド ライン

このコマンドを使用すると、ASA をリブートして、コンフィギュレーションをフラッシュ メモリからリロードできます。

デフォルトで、 reload コマンドは対話形式です。ASA は、まずコンフィギュレーションが変更されており、未保存であるかどうかをチェックします。変更が未保存の場合、コンフィギュレーションを保存するように求めるプロンプトが ASA によって表示されます。マルチ コンテキスト モードでは、ASA によって、未保存のコンフィギュレーションがある各コンテキストに対してプロンプトが表示されます。 save-config キーワードを指定すると、コンフィギュレーションはプロンプトなしで保存されます。次に、システムのリロードを確認するプロンプトが ASA によって表示されます。 y と入力するか、または Enter キーを押した場合にのみリロードが行われます。確認後、ASA は、遅延キーワード( in または at )を指定したかどうかに応じて、リロード プロセスを開始またはスケジューリングします。

デフォルトでは、リロード プロセスは「グレースフル」モードで実行されます。すべての登録されているサブシステムは、リブート実行の前に通知されるため、リブート前に適切にシャットダウンできます。このようなシャットダウンが行われるのを待機しない場合は、 max-hold-time キーワードを指定して、待機する最大時間を指定します。または、 quick キーワードを使用して、影響のあるサブシステムへの通知やグレースフル シャットダウンの待機を行わずに、すぐに強制的にリロード プロセスを開始できます。

noconfirm キーワードを指定すると、 reload コマンドを非対話形式で実行できます。この場合、ASA では、 save-config キーワードを指定していない限り、未保存のコンフィギュレーションがあるかどうかはチェックされません。ASA は、システムをリブートする前に、確認のプロンプトを表示しません。遅延キーワードを指定していない限り、リロード プロセスがすぐに開始またはスケジューリングされます。ただし、 max-hold-time キーワードまたは quick キーワードを指定して、動作またはリロード プロセスを制御できます。

スケジューリングされたリロードをキャンセルするには、 reload cancel コマンドを使用します。すでに進行中のリロードはキャンセルできません。


フラッシュ パーティションに書き込まれていないコンフィギュレーションの変更は、リロード後に失われます。リブートの前に、write memory コマンドを入力して、フラッシュ パーティションに現在のコンフィギュレーションを保存してください。


次に、リブートしてコンフィギュレーションをリロードする例を示します。

ciscoasa# reload
Proceed with ? [confirm] y
 
Rebooting...
 
XXX Bios VX.X
...

 
関連コマンド

コマンド
説明

show reload

ASA のリロード ステータスを表示します。

remote-access threshold session-threshold-exceeded

しきい値を設定するには、グローバル コンフィギュレーション モードで remote-access threshold コマンドを使用します。しきい値を削除するには、このコマンドの no 形式を使用します。このコマンドは、アクティブなリモート アクセス セッションの数を指定します。この数を超えると、ASA によってトラップが送信されます。

remote-access threshold session-threshold-exceeded { threshold-value }

no remote-access threshold session-threshold-exceeded

 
構文の説明

threshold-value

ASA でサポートされるセッションの制限数以下の整数を指定します。

 
デフォルト

デフォルトの動作や値はありません。

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

グローバル コンフィギュレーション

Yes

Yes

--

--

Yes

 
コマンド履歴

リリース
変更内容

7.0 (1)

このコマンドが導入されました。

次に、しきい値を 1500 に設定する例を示します。

ciscoasa# remote-access threshold session-threshold-exceeded 1500
 

 
関連コマンド

コマンド
説明

snmp-server enable trap remote-access

しきい値によるトラッピングをイネーブルにします。

rename

ファイルまたはディレクトリの名前をある名前から別の名前に変更するには、特権 EXEC モードで rename コマンドを使用します。

rename [ /noconfirm ] [ disk0 : | disk1 : | flash: ] source-path [ disk0 : | disk1 : | flash: ] destination-path

 
構文の説明

/ noconfirm

(オプション)確認プロンプトを表示しないようにします。

destination-path

新しいファイル名のパスを指定します。

disk0 :

(オプション)内部フラッシュ メモリを指定し、続けてコロンを入力します。

disk1 :

(オプション)外部フラッシュ メモリ カードを指定し、続けてコロンを入力します。

flash:

(オプション)内部フラッシュ メモリを指定し、続けてコロンを入力します。

source-path

元のファイル名のパスを指定します。

 
デフォルト

デフォルトの動作や値はありません。

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

特権 EXEC

Yes

Yes

Yes

--

Yes

 
コマンド履歴

リリース
変更内容

7.0(1)

このコマンドが導入されました。

 
使用上のガイ ド ライン

rename flash: flash: コマンドを入力すると、元のファイル名および新しいファイル名を入力するように求められます。

ファイル システムにまたがってファイルやディレクトリの名前を変更することはできません。

次に例を示します。

ciscoasa# rename flash: disk1:
Source filename []? new-config
Destination filename []? old-config
%Cannot rename between filesystems

次に、「test」というファイルの名前を「test1」に変更する例を示します。

ciscoasa# rename flash: flash:
Source filename [running-config]? test
Destination filename [n]? test1

 
関連コマンド

コマンド
説明

mkdir

新しいディレクトリを作成します。

rmdir

ディレクトリを削除します。

show file

ファイル システムに関する情報を表示します。

rename(クラス マップ)

クラス マップの名前を変更するには、クラス マップ コンフィギュレーション モードで rename コマンドを入力します。

rename new_name

 
構文の説明

new_name

クラス マップの新しい名前を最大 40 文字で指定します。「class-default」という名前は予約されています。

 
デフォルト

デフォルトの動作や値はありません。

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

クラスマップ コンフィギュレーション

Yes

Yes

Yes

Yes

--

 
コマンド履歴

リリース
変更内容

7.0(1)

このコマンドが導入されました。

次に、test というクラス マップの名前を test2 に変更する例を示します。

ciscoasa(config)# class-map test
ciscoasa(config-cmap)# rename test2
 

 
関連コマンド

コマンド
説明

class-map

クラス マップを作成します。

renewal-reminder

ユーザ証明書が期限切れになる何日前に証明書所有者に対して再登録の初回リマインダを送信するかを指定するには、CA サーバ コンフィギュレーション モードで renewal-reminder コマンドを使用します。期間をデフォルトの 14 日にリセットするには、このコマンドの no 形式を使用します。

renewal-reminder days

no renewal-reminder

 
構文の説明

days

発行されている証明書が期限切れになる何日前に証明書所有者に対して再登録の初回リマインダを送信するかを指定します。有効な値の範囲は、1 ~ 90 日です。

 
デフォルト

デフォルト値は 14 日間です。

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

CA サーバ コンフィギュレーション

Yes

--

Yes

--

--

 
コマンド履歴

リリース
変更内容

8.0(2)

このコマンドが導入されました。

 
使用上のガイ ド ライン

通知は全部で 3 種類あります。ユーザ データベースに電子メール アドレスが指定されていれば、3 種類の通知がそれぞれ電子メールで自動的に証明書所有者に送信されます。電子メール アドレスが存在しない場合は、更新を管理者に通知する syslog メッセージが生成されます。

デフォルトでは、証明書が期限切れになる前に、CA サーバから次の 3 種類の電子メール メッセージが指定した順序で送信されます。

1. 証明書の登録案内

2. 確認:証明書の登録案内

3. 最終確認:証明書の登録案内

最初の電子メールは案内で、2 番目の電子メールは確認、3 番目の電子メールは最終確認です。この通知のデフォルトの設定は 14 日です。証明書の有効期限の 14 日前に最初の案内が送信され、有効期限の 7 日前に確認の電子メールが送信され、有効期限の 3 日前に最終確認の電子メールが送信されます。

更新通知の間隔は、 renewal-reminder days コマンドを使用してカスタマイズできます。

次に、証明書有効期限の 7 日前に ASA からユーザに対して有効期限通知を送信するように指定する例を示します。

ciscoasa(config)# crypto ca server
ciscoasa(config-ca-server)# renewal-reminder 7
ciscoasa(config-ca-server)#
 

次に、有効期限通知のタイミングをデフォルトである証明書有効期限の 14 日前にリセットする例を示します。

ciscoasa(config)# crypto ca server
ciscoasa(config-ca-server)# no renewal-reminder
ciscoasa(config-ca-server)#

 
関連コマンド

コマンド
説明

crypto ca server

CA サーバ コンフィギュレーション モードのコマンド セットへのアクセスを提供し、ローカル CA の設定と管理ができるようにします。

lifetime

CA 証明書、すべての発行されている証明書、および CRL のライフタイムを指定します。

show crypto ca server

ローカル CA サーバのコンフィギュレーション詳細を表示します。

replication http

フェールオーバー グループに対して HTTP 接続のレプリケーションをイネーブルにするには、フェールオーバー グループ コンフィギュレーション モードで replication http コマンドを使用します。HTTP 接続の複製をディセーブルにするには、このコマンドの no 形式を使用します。

replication http

no replication http

 
構文の説明

このコマンドには、引数またはキーワードはありません。

 
デフォルト

ディセーブル

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

フェールオーバー グループ コンフィギュレーション

Yes

Yes

--

--

Yes

 
コマンド履歴

リリース
変更内容

7.0(1)

このコマンドが導入されました。

 
使用上のガイ ド ライン

デフォルトでは、ステートフル フェールオーバーがイネーブルの場合、ASA は HTTP セッション情報を複製しません。HTTP セッションは通常は存続期間が短く、また HTTP クライアントは接続試行が失敗すると通常は再試行するため、HTTP セッションの複製をしないことでシステムのパフォーマンスが向上します。複製をしなくても重要なデータや接続は失われません。 replication http コマンドを使用すると、ステートフル フェールオーバー環境において HTTP セッションのステートフル レプリケーションが可能になりますが、システムのパフォーマンスに悪影響がある可能性があります。

このコマンドを使用できるのは、Active/Active フェールオーバーに対してのみです。このコマンドは、Active/Active フェールオーバー コンフィギュレーションのフェールオーバー グループに対するコマンドであることを除いて、Active/Standby フェールオーバー用の failover replication http コマンドと同じ機能を備えています。

次の例では、フェールオーバー グループで可能な設定を示します。

ciscoasa(config)# failover group 1
ciscoasa(config-fover-group)# primary
ciscoasa(config-fover-group)# preempt 100
ciscoasa(config-fover-group)# replication http
ciscoasa(config-fover-group)# exit
 

 
関連コマンド

コマンド
説明

failover group

Active/Active フェールオーバーのためのフェールオーバー グループを定義します。

failover replication http

HTTP 接続を複製するためのステートフル フェールオーバーを設定します。

request-command deny

FTP 要求内の特定のコマンドを禁止するには、FTP マップ コンフィギュレーション モードで request-command deny コマンドを使用します。FTP マップ コンフィギュレーション モードには、 ftp-map コマンドを使用してアクセスできます。設定を削除するには、このコマンドの no 形式を使用します。

request-command deny { appe | cdup | dele | get | help | mkd | put | rmd | rnfr | rnto | site | stou }

no request-command deny { appe | cdup | help | retr | rnfr | rnto | site | stor | stou }

 
構文の説明

appe

ファイルへの追加を行うコマンドを拒否します。

cdup

現在の作業ディレクトリの親ディレクトリに移動するコマンドを拒否します。

dele

サーバのファイルを削除するコマンドを拒否します。

get

サーバからファイルを取得するクライアント コマンドを拒否します。

help

ヘルプ情報を提供するコマンドを拒否します。

mkd

サーバ上にディレクトリを作成するコマンドを拒否します。

put

サーバにファイルを送信するクライアント コマンドを拒否します。

rmd

サーバ上のディレクトリを削除するコマンドを拒否します。

rnfr

変更元ファイル名を指定するコマンドを拒否します。

rnto

変更先ファイル名を指定するコマンドを拒否します。

site

サーバ システムに固有のコマンドを禁止します。通常、リモート管理に使用します。

stou

固有のファイル名を使用してファイルを保存するコマンドを拒否します。

 
デフォルト

デフォルトの動作や値はありません。

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

FTP マップ コンフィギュレーション

Yes

Yes

Yes

Yes

--

 
コマンド履歴

リリース
変更内容

7.0(1)

このコマンドが導入されました。

 
使用上のガイ ド ライン

このコマンドは、ストリクト FTP インスペクションを使用する場合に、ASA を通過する FTP 要求内で許可されるコマンドを制御するために使用します。

次に、 stor stou 、または appe コマンドを含む FTP 要求を ASA でドロップする例を示します。

ciscoasa(config)# ftp-map inbound_ftp
ciscoasa(config-ftp-map)# request-command deny put stou appe
 

 
関連コマンド

コマンド
説明

class-map

セキュリティ アクションを適用するトラフィック クラスを定義します。

ftp-map

FTP マップを定義し、FTP マップ コンフィギュレーション モードをイネーブルにします。

inspect ftp

アプリケーション インスペクションに使用する特定の FTP マップを適用します。

mask-syst-reply

FTP サーバ応答をクライアントに対して非表示にします。

policy-map

特定のセキュリティ アクションにクラス マップを関連付けます。

request-data-size

SLA 動作要求パケットのペイロードのサイズを設定するには、SLA モニタ プロトコル コンフィギュレーション モードで request-data-size コマンドを使用します。デフォルト値に戻すには、このコマンドの no 形式を使用します。

request-data-size bytes

no request-data-size

 
構文の説明

bytes

要求パケットのペイロードのサイズ(バイト単位)。有効な値は、0 ~ 16384 です。最小値は、使用するプロトコルに応じて異なります。エコー タイプでは、最小値は 28 バイトです。プロトコルまたは PMTU で許可されている最大値よりも大きい値を設定しないでください。

+ 8 バイトになります。

 
デフォルト

デフォルトの bytes は 28 です。

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

SLA モニタ プロトコル コンフィギュレーション

Yes

--

Yes

--

--

 
コマンド履歴

リリース
変更内容

7.2(1)

このコマンドが導入されました。

 
使用上のガイ ド ライン

到達可能性を確保するために、デフォルトのデータ サイズを大きくして、送信元と宛先との間の PMTU の変化を検出する必要がある場合があります。PMTU が低いと、セッションのパフォーマンスに影響を与える可能性が高くなります。また、低い PMTU が検出された場合は、セカンダリ パスが使用されることを示している可能性があります。

次の例では、ICMP エコー要求/応答時間プローブ動作を使用する、ID が 123 の SLA 動作を設定しています。この例では、エコー要求パケットのペイロード サイズを 48 バイト、SLA 動作中に送信されるエコー要求の数を 5 に設定しています。

ciscoasa(config)# sla monitor 123
ciscoasa(config-sla-monitor)# type echo protocol ipIcmpEcho 10.1.1.1 interface outside
ciscoasa(config-sla-monitor-echo)# num-packets 5
ciscoasa(config-sla-monitor-echo)# request-data-size 48
ciscoasa(config-sla-monitor-echo)# timeout 4000
ciscoasa(config-sla-monitor-echo)# threshold 2500
ciscoasa(config-sla-monitor-echo)# frequency 10
ciscoasa(config)# sla monitor schedule 123 life forever start-time now
ciscoasa(config)# track 1 rtr 123 reachability
 

 
関連コマンド

コマンド
説明

num-packets

SLA 動作中に送信する要求パケットの数を指定します。

sla monitor

SLA モニタリング動作を定義します。

type echo

SLA 動作をエコー応答時間プローブ動作として設定します。

request-queue

応答を待機する GTP 要求のキューイング可能最大数を指定するには、GTP マップ コンフィギュレーション モードで request-queue コマンドを使用します。このモードには、 gtp-map コマンドを使用してアクセスします。この数字をデフォルトの 200 に戻すには、このコマンドの no 形式を使用します。

request-queue max_requests

no request-queue max_requests

 
構文の説明

max_requests

応答を待機する GTP 要求のキューイング可能最大数。値の範囲は、1 ~ 4294967295 です。

 
デフォルト

max_requests のデフォルトは 200 です。

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

GTP マップ コンフィギュレーション

Yes

Yes

Yes

Yes

--

 
コマンド履歴

リリース
変更内容

7.0(1)

このコマンドが導入されました。

 
使用上のガイ ド ライン

gtp request-queue コマンドは、応答を待機する GTP 要求のキューイング可能最大数を指定します。この上限に達した後に新しい要求が到着すると、最も長い時間キューに入っていた要求が削除されます。「Error Indication」、「Version Not Supported」および「SGSN Context Acknowledge」というメッセージは、要求と見なされないため、応答待ち要求のキューに入れられません。

次に、300 バイトの最大要求キュー サイズを指定する例を示します。

ciscoasa(config)# gtp-map qtp-policy
ciscoasa(config-gtpmap)# request-queue-size 300
 
 
 
 
 
 
 

 
関連コマンド

コマンド
説明

clear service-policy inspect gtp

グローバルな GTP 統計情報をクリアします。

debug gtp

GTP インスペクションの詳細情報を表示します。

gtp-map

GTP マップを定義し、GTP マップ コンフィギュレーション モードをイネーブルにします。

inspect gtp

アプリケーション インスペクションに使用する特定の GTP マップを適用します。

show service-policy inspect gtp

GTP コンフィギュレーションを表示します。

request-timeout

失敗した SSO 認証試行がタイムアウトになるまでの秒数を設定するには、webvpn コンフィギュレーション モードで request-timeout コマンドを使用します。

デフォルト値に戻すには、このコマンドの no 形式を使用します。

request-timeout seconds

no request-timeout

 
構文の説明

 
構文の説明構文の説明

seconds

失敗した SSO 認証の試行がタイムアウトするまでの秒数。指定できる範囲は 1 ~ 30 秒です。小数の値はサポートされていません。

 
デフォルト

このコマンドのデフォルト値は 5 秒です。

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

webvpn コンフィギュレーション

Yes

--

Yes

--

--

 
コマンド履歴

リリース
変更内容

7.1.1

このコマンドが導入されました。

 
使用上のガイ ド ライン

シングル サインオンは、WebVPN でのみサポートされています。これにより、ユーザはユーザ名とパスワードを一度だけ入力すれば、別のサーバでさまざまなセキュアなサービスにアクセスできます。現在、ASA では、SiteMinder-type および SAML POST-type の SSO サーバがサポートされています。

このコマンドは SSO サーバの両タイプに適用されます。

SSO 認証をサポートするように ASA を設定した後、2 つのタイムアウト パラメータを調整できます。

失敗した SSO 認証試行がタイムアウトになるまでの秒数( request-timeout コマンドを使用)。

失敗した SSO 認証に対して、ASA が認証を再試行する回数 ( max-retry-attempts コマンドを参照)。

次に、webvpn 設定 sso siteminder モードで、SiteMinder-type SSO サーバ「example」の認証タイムアウトを 10 秒に設定する例を示します。

ciscoasa(config-webvpn)# sso-server example type siteminder
ciscoasa(config-webvpn-sso-siteminder)# request-timeout 10
 

 
関連コマンド

コマンド
説明

max-retry-attempts

ASA が、失敗した SSO 認証を再試行する回数を設定します。

policy-server-secret

SiteMinder SSO サーバへの認証要求の暗号化に使用する秘密キーを作成します。

show webvpn sso-server

セキュリティ デバイスに設定されているすべての SSO サーバの運用統計情報を表示します。

sso-server

シングル サインオン サーバを作成します。

test sso-server

テスト認証要求で SSO サーバをテストします。

web-agent-url

ASA が SiteMinder SSO 認証を要求する SSO サーバの URL を指定します。

reserve-port-protect

メディア ネゴシエーション中の予約ポートの使用を制限するには、パラメータ コンフィギュレーション モードで reserve-port-protect コマンドを使用します。パラメータ コンフィギュレーション モードには、ポリシー マップ コンフィギュレーション モードからアクセスできます。この機能をディセーブルにするには、このコマンドの no 形式を使用します。

reserve-port-protect

no reserve-port-protect

 
構文の説明

このコマンドには、引数またはキーワードはありません。

 
デフォルト

デフォルトの動作や値はありません。

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

パラメータ コンフィギュレーション

Yes

Yes

Yes

Yes

--

 
コマンド履歴

リリース
変更内容

8.0(2)

このコマンドが導入されました。

次に、RTSP インスペクション ポリシー マップで予約ポートを保護する例を示します。

ciscoasa(config)# policy-map type inspect rtsp rtsp_map
ciscoasa(config-pmap)# parameters
ciscoasa(config-pmap-p)# reserve-port-protect
 

 
関連コマンド

コマンド
説明

class

ポリシー マップのクラス マップ名を指定します。

class-map type inspect

アプリケーション固有のトラフィックを照合するためのインスペクション クラス マップを作成します。

policy-map

レイヤ 3/4 のポリシー マップを作成します。

show running-config policy-map

現在のポリシー マップ コンフィギュレーションをすべて表示します。

reserved-bits

TCP ヘッダーの予約ビットをクリアしたり、予約ビットが設定されているパケットをドロップしたりするには、tcp マップ コンフィギュレーション モードで reserved-bits コマンドを使用します。この指定を削除するには、このコマンドの no 形式を使用します。

reserved-bits { allow | clear | drop }

no reserved-bits { allow | clear | drop }

 
構文の説明

allow

TCP ヘッダーの予約ビットが設定されているパケットを許可します。

clear

TCP ヘッダーの予約ビットをクリアして、パケットを許可します。

drop

TCP ヘッダーの予約ビットが設定されているパケットをドロップします。

 
デフォルト

デフォルトで、予約ビットは許可されます。

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

TCP マップ コンフィギュレーション

Yes

Yes

Yes

Yes

--

 
コマンド履歴

リリース
変更内容

7.0(1)

このコマンドが導入されました。

 
使用上のガイ ド ライン

tcp-map コマンドはモジュラ ポリシー フレームワーク インフラストラクチャと一緒に使用されます。 class-map コマンドを使用してトラフィックのクラスを定義し、 tcp-map コマンドで TCP インスペクションをカスタマイズします。 policy-map コマンドを使用して、新しい TCP マップを適用します。 service-policy コマンドで、TCP インスペクションをアクティブにします。

tcp-map コマンドを使用して、TCP マップ コンフィギュレーション モードを開始します。末端のホストにおける予約ビットが設定されているパケットの処理方法を明確に指定するには、tcp マップ コンフィギュレーション モードで reserved-bits コマンドを使用します。処理方法が明確に指定されていないと、ASA が同期化されていない状態になる可能性があります。TCP ヘッダーの予約ビットをクリアしたり、予約ビットが設定されているパケットをドロップしたりできます。

次に、すべての TCP フローにおいて、予約ビットが設定されているパケットをクリアする例を示します。

ciscoasa(config)# access-list TCP extended permit tcp any any
ciscoasa(config)# tcp-map tmap
ciscoasa(config-tcp-map)# reserved-bits clear
ciscoasa(config)# class-map cmap
ciscoasa(config-cmap)# match access-list TCP
ciscoasa(config)# policy-map pmap
ciscoasa(config-pmap)# class cmap
ciscoasa(config-pmap)# set connection advanced-options tmap
ciscoasa(config)# service-policy pmap global
 

 
関連コマンド

コマンド
説明

class

トラフィック分類に使用するクラス マップを指定します。

policy-map

ポリシーを設定します。これは、1 つのトラフィック クラスと 1 つ以上のアクションのアソシエーションです。

set connection

接続値を設定します。

tcp-map

TCP マップを作成して、TCP マップ コンフィギュレーション モードにアクセスできるようにします。

reset

モジュラ ポリシー フレームワークを使用する場合は、一致またはクラス コンフィギュレーション モードで reset コマンドを使用して、 match コマンドまたはクラス マップに一致するトラフィックに対してパケットをドロップし、接続を閉じて、TCP リセットを送信します。このリセット アクションは、インスペクション ポリシー マップ( policy-map type inspect コマンド)でアプリケーション トラフィックに対して使用できますが、すべてのアプリケーションでこのアクションが可能なわけではありません。このアクションをディセーブルにするには、このコマンドの no 形式を使用します。

reset [ log ]

no reset [ log ]

 
構文の説明

log

一致をログに記録します。システム ログ メッセージの番号は、アプリケーションによって異なります。

 
デフォルト

デフォルトの動作や値はありません。

 
コマンド モード

次の表に、コマンドを入力できるモードを示します。

 

コマンド モード
ファイアウォール モード
セキュリティ コンテキスト
ルーテッド
トランスペアレント
シングル
マルチ
コンテキスト
システム

一致コンフィギュレーションおよびクラス コンフィギュレーション

Yes

Yes

Yes

Yes

--

 
コマンド履歴

リリース
変更内容

7.2(1)

このコマンドが導入されました。

 
使用上のガイ ド ライン

インスペクション ポリシー マップは、1 つ以上の match コマンドと class コマンドで構成されます。インスペクション ポリシー マップで使用できる実際のコマンドは、アプリケーションによって異なります。 match コマンドまたは class コマンドを入力してアプリケーション トラフィックを指定した後( class コマンドは、 match コマンドを含む既存の class-map type inspect コマンドを参照します)、 reset コマンドを入力して、 match コマンドまたは class コマンドに一致するトラフィックに対してパケットをドロップし、接続を閉じることができます。

接続をリセットした後は、インスペクション ポリシー マップのアクションは実行されません。たとえば、最初のアクションが接続のリセットである場合、それ以降の match コマンドまたは class コマンドとの照合は行われません。最初のアクションがパケットのログへの記録である場合、接続のリセットなどの 2 番目のアクションは実行されます。同じ match または class コマンドに対して reset アクションと log アクションの両方を設定できます。この場合、パケットは、特定の一致において、ログに記録されてからリセットされます。

レイヤ 3/4 ポリシー マップ( policy-map コマンド)で inspect コマンドを使用してアプリケーション インスペクションをイネーブルにする場合、このアクションを含むインスペクション ポリシー マップをイネーブルにできます。たとえば、 inspect http http_policy_map コマンドを入力します。http_policy_map は、インスペクション ポリシー マップの名前です。

次に、http-traffic クラス マップに一致した場合に、接続をリセットして、ログを送信する例を示します。同じパケットが 2 番めの match コマンドにも一致する場合、そのパケットはすでにドロップされているため、処理されません。

ciscoasa(config-cmap)# policy-map type inspect http http-map1
ciscoasa(config-pmap)# class http-traffic
ciscoasa(config-pmap-c)# reset log
ciscoasa(config-pmap-c)# match req-resp content-type mismatch
ciscoasa(config-pmap-c)# reset log
 

 
関連コマンド

コマンド
説明

class

ポリシー マップのクラス マップ名を指定します。

class-map type inspect

アプリケーション固有のトラフィックを照合するためのインスペクション クラス マップを作成します。

policy-map

レイヤ 3/4 のポリシー マップを作成します。

policy-map type inspect

アプリケーション インスペクションの特別なアクションを定義します。

show running-config policy-map

現在のポリシー マップ コンフィギュレーションをすべて表示します。