発行日;2012/01/10 | ドキュメントご利用ガイド | ダウンロード ; この章 , ドキュメント全体
目次
ソフトウェア、ライセンス、およびコンフィギュレーションの管理
フラッシュ メモリへのソフトウェアまたはコンフィギュレーションのダウンロード
スタートアップ コンフィギュレーションまたは実行コンフィギュレーションへのファイルのダウンロード
ブートするアプリケーション イメージと ASDM イメージの設定
スタートアップ コンフィギュレーションとしてブートするファイルの設定
フェールオーバー ペアのゼロ ダウンタイム アップグレードの実行
Active/Standby フェールオーバー コンフィギュレーションのアップグレード
Active/Active フェールオーバー コンフィギュレーションのアップグレード
シングルモード コンフィギュレーションまたはマルチモードのシステム コンフィギュレーションのバックアップ
コンテキスト コンフィギュレーションのフラッシュ メモリへのバックアップ
コンテキスト内でのコンテキスト コンフィギュレーションのバックアップ
Auto Update Server としてのクライアント アップデートの設定
ソフトウェア、ライセンス、およびコンフィギュレーションの管理
この章では、セキュリティ アプライアンスのソフトウェア、ライセンス、およびコンフィギュレーションの管理について説明します。この章では、次の項目について説明します。
•
「フラッシュ メモリへのソフトウェアまたはコンフィギュレーションのダウンロード」
•
•
ライセンスの管理
ソフトウェアをインストールすると、元のイメージから既存のアクティベーション キーが抽出され、セキュリティ アプライアンス ファイル システムのファイル内に保存されます。
アクティベーション キーの取得
アクティベーション キーを取得するには、シスコの代理店から購入できる Product Authorization Key が必要になります。Product Authorization Key を入手したら Web 上でキーを登録し、次の手順を実行してアクティベーション キーを取得します。
ステップ 1
ステップ 2
Cisco.com の登録ユーザの場合は、次の Web サイトを使用します。
Cisco.com の登録ユーザ以外の場合は、次の Web サイトを使用します。
ステップ 3
アクティベーション キーが自動的に生成され、指定した電子メール アドレスに送信されます。
新しいアクティベーション キーの入力
アクティベーション キーを入力するには、次のコマンドを入力します。
キーは、4 つまたは 5 つのエレメントからなる 16 進文字列です。各エレメントは 1 つのスペースで区切られます。たとえば、正しい形式のキーは次のようになります。
0xe02888da 0x4ba7bed6 0xf1c123ae 0xffd8624e
先頭部分の 0x 指定子は省略できます。値は、すべて 16 進数であると見なされます。
すでにマルチコンテキスト モードに入っている場合は、システム実行スペースにこのコマンドを入力します。
アクティベーション キーを入力する前に、フラッシュ メモリ内のイメージと実行イメージが同一であることを確認します。これは、セキュリティ アプライアンスをリブートしてからアクティベーション キーを入力することで確認できます。
（注） アクティベーション キーは、コンフィギュレーション ファイルには保存されません。キーはデバイスのシリアル番号に結び付けられます。
実行イメージで変更内容を有効にするには、新しいアクティベーション キーを入力した後でセキュリティ アプライアンスをリブートする必要があります。
フラッシュ メモリ内のファイルの表示
フラッシュ メモリ内のファイルを表示して、そのファイルに関する情報を確認できます。
•
flash: キーワードは、PIX 500 シリーズ セキュリティ アプライアンスの内部フラッシュ メモリを表します。ASA 5500 シリーズ適応型セキュリティ アプライアンスの内部フラッシュ メモリの場合は、 flash: または disk0: を使用できます。 disk1: キーワードは、ASA の外部フラッシュ メモリを表します。内部フラッシュ メモリがデフォルトです。
•
フラッシュ メモリへのソフトウェアまたはコンフィギュレーションのダウンロード
アプリケーション イメージ、ASDM イメージ、コンフィギュレーション ファイル、および他のファイルを TFTP、FTP、HTTP、または HTTPS サーバから内部フラッシュ メモリに、あるいは ASA 5500 シリーズ適応型セキュリティ アプライアンスの場合は外部フラッシュ メモリに、ダウンロードできます。
•
特定の場所へのファイルのダウンロード
この項では、アプリケーション イメージ、ASDM ソフトウェア、コンフィギュレーション ファイル、またはフラッシュ メモリへのダウンロードが必要な他のファイルのダウンロード方法について説明します。ファイルを実行コンフィギュレーションまたはスタートアップ コンフィギュレーションにダウンロードする場合は、「スタートアップ コンフィギュレーションまたは実行コンフィギュレーションへのファイルのダウンロード」を参照してください。
Cisco SSL VPN クライアントのインストールの詳細については、「SVC ソフトウェアのインストール」を参照してください。セキュリティ アプライアンスへの Cisco Secure Desktop のインストールについては、『 Cisco Secure Desktop Configuration Guide for Cisco ASA 5500 Series Administrators 』を参照してください。
複数のイメージがインストールされている場合、または外部フラッシュ メモリにイメージがインストールされている場合に特定のアプリケーション イメージまたは ASDM イメージを使用するようにセキュリティ アプライアンスを設定する場合は、「ブートするアプリケーション イメージと ASDM イメージの設定」を参照してください。
（注） ASDM バージョン 5.0(5) をフラッシュ メモリにコピーするには、バージョン 7.0 を実行する必要があります。
特定のコンフィギュレーションをスタートアップ コンフィギュレーションとして使用するようにセキュリティ アプライアンスを設定する場合は、「スタートアップ コンフィギュレーションとしてブートするファイルの設定」を参照してください。
マルチコンテキスト モードの場合は、システム実行スペース内にいる必要があります。
ファイルをフラッシュ メモリにダウンロードするには、各ダウンロード サーバ タイプ用の次のコマンドを参照してください。
•
flash:/ キーワードは、PIX 500 シリーズ セキュリティ アプライアンスの内部フラッシュ メモリを表します。ASA 5500 シリーズ適応型セキュリティ アプライアンスの内部フラッシュ メモリの場合は、 flash:/ または disk0:/ を使用できます。 disk1:/ キーワードは、ASA の外部フラッシュ メモリを表します。
•
hostname# copy ftp://[user[:password]@]server[/path]/filename {flash:/ | disk0:/ | disk1:/}[path/]filename•
hostname# copy http[s]://[user[:password]@]server[:port][/path]/filename {flash:/ | disk0:/ | disk1:/}[path/]filename•
スタートアップ コンフィギュレーションまたは実行コンフィギュレーションへのファイルのダウンロード
TFTP、FTP、または HTTP(S) サーバから、またはフラッシュ メモリから、実行コンフィギュレーションまたはスタートアップ コンフィギュレーションにテキスト ファイルをダウンロードできます。
スタートアップ コンフィギュレーションまたは実行コンフィギュレーションにファイルをコピーするには、適切なダウンロード サーバに対して次のコマンドのいずれかを入力します。
（注） コンフィギュレーションを実行コンフィギュレーションにコピーするには、2 つのコンフィギュレーションをマージします。マージは、新しいコンフィギュレーションから実行コンフィギュレーションに新しいコマンドを追加します。コンフィギュレーションが同じ場合、変更は発生しません。コマンドが衝突する場合、またはコマンドがコンテキストの実行に影響を与える場合、マージの結果はコマンドによって異なります。エラーが発生することも、予期できない結果が生じることもあります。
•
•
•
hostname# copy http[s]://[user[:password]@]server[:port][/path]/filename {startup-config | running-config}•
たとえば、TFTP サーバからコンフィギュレーションをコピーするには、次のコマンドを入力します。
ブートするアプリケーション イメージと ASDM イメージの設定
デフォルトでは、セキュリティ アプライアンスは内部フラッシュ メモリ内で見つけた最初のアプリケーション イメージをブートします。また、内部フラッシュ メモリ内で見つけた最初の ASDM イメージをブートするか、内部フラッシュ メモリ内にない場合は外部フラッシュ メモリ内の ASDM イメージをブートします。複数のイメージがある場合は、ブートするイメージを指定する必要があります。ASDM イメージの場合は、ブートするイメージを指定しないと、インストールされているイメージが 1 つしかなくても、セキュリティ アプライアンスは asdm image コマンドを実行コンフィギュレーションに挿入します。Auto Update（設定されている場合）の問題を避けるため、また起動時ごとのイメージ検索を回避するため、ブートする ASDM イメージをスタートアップ コンフィギュレーションで指定する必要があります。
•
–
flash:/ キーワードは、PIX 500 シリーズ セキュリティ アプライアンスの内部フラッシュ メモリを表します。ASA 5500 シリーズ適応型セキュリティ アプライアンスの内部フラッシュ メモリの場合は、 flash:/ または disk0:/ を使用できます。 disk1:/ キーワードは、ASA の外部フラッシュ メモリを表します。
–
このオプションは、ASA 5500 シリーズ適応型セキュリティ アプライアンスでのみサポートされています。
最大 4 つの boot system コマンド エントリを入力して、ブートする別々のイメージを順番に指定することができます。セキュリティ アプライアンスは、最初に見つけたイメージをブートします。設定できる boot system tftp: コマンドは 1 つだけです。これは、最初に設定する必要があります。
スタートアップ コンフィギュレーションとしてブートするファイルの設定
デフォルトでは、セキュリティ アプライアンスは、隠しファイルであるスタートアップ コンフィギュレーションからブートします。あるいは、次のコマンドを入力して、任意のコンフィギュレーションをスタートアップ コンフィギュレーションとして設定することもできます。
flash:/ キーワードは、PIX 500 シリーズ セキュリティ アプライアンスの内部フラッシュ メモリを表します。ASA 5500 シリーズ適応型セキュリティ アプライアンスの内部フラッシュ メモリの場合は、 flash:/ または disk0:/ を使用できます。 disk1:/ キーワードは、ASA の外部フラッシュ メモリを表します。
フェールオーバー ペアのゼロ ダウンタイム アップグレードの実行
フェールオーバー コンフィギュレーション内の 2 つの装置は、同一のメジャー（最初の番号）およびマイナー（2 番目の番号）ソフトウェア バージョンを持っている必要があります。ただし、アップグレード処理中に装置のバージョン パリティを維持する必要はなく、各装置でそれぞれ異なるバージョンのソフトウェアを実行しても、フェールオーバー サポートを維持することができます。互換性と安定性を長期間確保するためには、両装置をできるだけ早期に同じバージョンにアップグレードすることをお勧めします。
表41-1 に、フェールオーバー ペアのゼロダウンタイム アップグレードの例を示します。
フェールオーバー ペアのソフトウェアのアップグレードについて詳しくは、次の項目を参照してください。
•
•
Active/Standby フェールオーバー コンフィギュレーションのアップグレード
Active/Standby フェールオーバー コンフィギュレーションの 2 つの装置をアップグレードするには、次の手順を実行します。
ステップ 1
ステップ 2
ステップ 3
（注） show failover コマンドを使用して、スタンバイ装置が Standby Ready 状態にあることを確認します。
ステップ 4
ステップ 5
Active/Active フェールオーバー コンフィギュレーションのアップグレード
Active/Active フェールオーバー コンフィギュレーションの 2 つの装置をアップグレードするには、次の手順を実行します。
ステップ 1
ステップ 2
ステップ 3
ステップ 4
（注） show failover コマンドを使用して、両方のフェールオーバー グループがセカンダリ装置で Standby Ready 状態にあることを確認します。
ステップ 5
ステップ 6
コンフィギュレーション ファイルのバックアップ
コンフィギュレーションをバックアップするには、次のいずれかの方法で行います。
•
•
•
シングルモード コンフィギュレーションまたはマルチモードのシステム コンフィギュレーションのバックアップ
シングルコンテキスト モードで、またはマルチモードのシステム コンフィギュレーションから、スタートアップ コンフィギュレーションまたは実行コンフィギュレーションを外部サーバまたはローカルのフラッシュ メモリにコピーできます。
•
•
•
宛先のディレクトリが存在することを確認してください。存在しない場合は、最初に、 mkdir コマンドを使用してディレクトリを作成します。
コンテキスト コンフィギュレーションのフラッシュ メモリへのバックアップ
マルチコンテキスト モードで、システム実行スペースで次のコマンドのいずれかを入力して、ローカルのフラッシュ メモリにあるコンテキスト コンフィギュレーションをコピーします。
•
•
•
hostname# copy {flash:/ | disk0:/ | disk1:/}[path/]filename {flash:/ | disk0:/ | disk1:/}[path/]newfilename宛先のディレクトリが存在することを確認してください。存在しない場合は、最初に、 mkdir コマンドを使用してディレクトリを作成します。
Auto Update サポートの設定
Auto Update は、Auto Update Server がコンフィギュレーションとソフトウェア イメージを多数のセキュリティ アプライアンスにダウンロードすることを許可し、中央からのセキュリティ アプライアンスの基本的なモニタリングを提供するプロトコル仕様です。
セキュリティ アプライアンスは、クライアントまたはサーバとして設定できます。Auto Update クライアントとして設定すると、Auto Update Server を定期的にポーリングして、ソフトウェアのイメージとコンフィギュレーション ファイルのアップデートを要求します。Auto Update Server として設定すると、Auto Update クライアントとして設定されているセキュリティ アプライアンス用のアップデートを発行します。
（注） Auto Update は、シングルコンテキスト モードでのみサポートされます。
•
•
Auto Update Server との通信の設定
セキュリティ アプライアンスを Auto Update クライアントとして設定するには、次の手順に実行します。
ステップ 1
https を指定すると、SSL が使用されます。URL の user 引数と password 引数は、サーバにログインするときの基本認証に使用されます。 write terminal 、 show configuration 、または show tech-support コマンドを使用してコンフィギュレーションを表示した場合、ユーザとパスワードは「********」に置換されます。
HTTP のデフォルト ポートは 80、HTTPS のデフォルト ポートは 443 です。
source interface 引数は、AUS に要求を送信するときに使用するインターフェイスを指定します。 management-access コマンドで指定したインターフェイスと同じインターフェイスを指定すると、Auto Update 要求は管理アクセスに使用されるのと同じ IPSec VPN トンネルを通過します。
verify-certificate キーワードは、AUS によって戻される証明書を確認します。
ステップ 2
hostname(config)# auto-update device-id {hardware-serial | hostname | ipaddress [if-name] | mac-address [if-name] | string text}使用する ID は、次のいずれかのパラメータによって決まります。
•
•
•
•
•
ステップ 3
poll-period 引数は、更新を確認する間隔（分単位）を指定します。デフォルトは 720 分（12 時間）です。
retry-count 引数は、サーバへの最初の接続に失敗した場合に、再試行する回数を指定します。デフォルトは 0 です。
retry-period 引数は、リトライの間の待機時間（分単位）を指定します。デフォルトは 5 です。
ステップ 4
hostname(config)# auto-update poll-at days-of-the-week time [randomize minutes] [retry_count [retry_period]]days-of-the-week には、曜日（Monday、Tuesday、Wednesday、Thursday、Friday、Saturday、Sunday）を 1 つまたは組み合せて指定します。この他にも、daily（月曜日から日曜日まで）、weekdays（月曜日から金曜日まで）、weekend（土曜日と日曜日）を指定できます。
time には、ポーリングを開始する時刻を HH:MM 形式で指定します。たとえば、8:00 は午前 8 時を、20:00 は午後 8 時を示します。
randomize minutes は、指定した開始時刻以降に、ポーリング時間をランダム化する期間を指定します。ポーリングする期間は 1 ～ 1439 分の範囲で指定できます。
retry_count は、Auto Update Server に接続できなかったときに、再試行回数を指定します。デフォルトは 0 です。
retry_period は、再試行する間隔を指定します。デフォルトは 5 分です。1 ～ 35791 分の値を指定できます。
ステップ 5
ここで、 period は 1 ～ 35791 の分単位のタイムアウト期間を指定します。デフォルトはタイムアウトなし（0）です。デフォルトに戻すには、このコマンドの no 形式を使用します。
セキュリティ アプライアンスに最新のイメージとコンフィギュレーションがあることを確認するには、このコマンドを使用します。この状態は、システム ログ メッセージ 201008 で報告されます。
次の例では、セキュリティ アプライアンスが外部インターフェイスから証明書の検証付きで、IP アドレス 209.165.200.224、ポート番号 1742 で AUS をポーリングするように設定されています。
さらに、セキュリティ アプライアンスのホスト名としてデバイス ID を使用し、毎週金曜日と土曜日の午後 10 時から 11 時の間、任意にポーリングし、接続できなかった場合は AUS で 3 分間隔で 10 回再試行するように設定しています。
Auto Update Server としてのクライアント アップデートの設定
client-update コマンドを使用すると、Auto Update クライアントとして設定されているセキュリティ アプライアンスをアップデートできます。アップデートするソフトウェア コンポーネントのタイプ（ADSM またはブート イメージ）、セキュリティ アプライアンスのファミリ、リビジョン番号、およびアップデートの取得先の URL か IP アドレスを指定します。
セキュリティ アプライアンスを Auto Update Server として設定するには、次の手順を実行します。
ステップ 1
ステップ 2
client-update { component { asdm | image } | device-id dev_string | family family_name | type type } url url-string rev-nums rev-nums }
component { asdm | image } では、ソフトウェア コンポーネント（ASDM またはセキュリティ アプライアンスのブート イメージ）を指定します。
device-id dev_string では、アップデートする Auto Update クライアント自体を示す固有の文字列を指定します。最大長は 63 文字です。
family family_name では、アップデートする Auto Update クライアント自体の固有のファミリ名を指定します。asa、pix、または 7 文字以内のテキスト文字列を指定します。
rev-nums rev-nums では、このクライアントのソフトウェアまたはファームウェア イメージを指定します。任意の順番で 4 つまで、カンマで区切って指定できます。
type type では、アップデートを知らせるクライアントのタイプを指定します。このコマンドは、Windows クライアントのアップデートにも使われるので、Windows オペレーティング システムもいくつか指定できます。セキュリティ アプライアンスのタイプは次のとおりです。
•
•
•
•
•
•
•
•
url url-string で、ソフトウェアまたはファームウェアのイメージの URL を指定します。必ず、このクライアントに適したファイルのある URL を指定してください。どの Auto Update クライアントでも、URL のプレフィックスとして http:// または https:// プロトコルを使用する必要があります。
特定のタイプのすべてのセキュリティ アプライアンスに適用するクライアント アップデートのパラメータを設定します。つまり、セキュリティ アプライアンスのタイプ、およびアップデートされたイメージの取得先の URL または IP アドレスを指定します。また、リビジョン番号も指定する必要があります。リモートのセキュリティ アプライアンスのリビジョン番号が、指定したものと同じ場合はアップデートする必要がありません。クライアントは、アップデートを無視します。
次の例は、Cisco 5500 適応型セキュリティ アプライアンスのクライアント アップデートを設定しています。
hostname(config)# client-update type asa5520 component asdm url http://192.168.1.114/aus/asdm501.bin rev-nums 7.2(1)