Catalyst 6500 シリーズ スイッチ/Cisco 7600 シリーズ ルータ Firewall Services Module コマンド リファレンス 3.1(1)

 

シンタックスの説明

 

デフォルト

デフォルトのプロトコルは 0（任意のプロトコル）です。

 

コマンド履歴

 

使用上のガイドライン

shun コマンドを使用すると、攻撃元ホストからの接続を遮断できます。ブロック機能が手動または Cisco IPS センサによって解除されないかぎり、コマンドに指定された値に一致するパケットは廃棄され、ログに記録され続けます。shun コマンドのブロック機能は、指定されたホスト アドレスによる接続が現在アクティブであるかどうかに関係なく適用されます。

宛先アドレス、送信元/宛先ポート、プロトコルをパラメータとして指定すると、それらのパラメータに一致する接続だけを遮断できます。

1 つの発信元 IP アドレスに関連付けることができる shun コマンドは 1 つだけです。

shun コマンドは攻撃を動的にブロックするために使用されるため、FWSM のコンフィギュレーションには表示されません。

インターフェイスを取り外すと、このインターフェイスに対応するすべての遮断機能も解除されます。新しいインターフェイスを追加するか、または（同名の）同じインターフェイスで置換した場合に、IPS センサでこのインターフェイスをモニタするには、IPS センサにこのインターフェイスを追加する必要があります。

例

次に、攻撃元ホスト（10.1.1.27）が攻撃対象（10.2.2.89）に TCP を使用して接続する例を示します。FWSM 接続テーブル内の接続は、次のようになります。

次のオプションを使用して shun コマンドを適用します。

このコマンドを実行すると、FWSM 接続テーブルから該当する接続が削除され、10.1.1.27:555 から 10.2.2.89:666 への TCP パケットが FWSM を通過することもできなくなります。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数またはキーワードはありません。

 

デフォルト

すべての物理インターフェイスは、デフォルトでシャットダウンしています。セキュリティ コンテキスト内で割り当てられたインターフェイスは、コンフィギュレーション内でシャットダウンしません。

 

コマンド履歴

 

使用上のガイドライン

すべての物理インターフェイスは、デフォルトでシャットダウンしています。イネーブル化されたサブインターフェイスをトラフィックが通過する前に、物理インターフェイスをイネーブルにする必要があります。マルチ コンテキスト モードで、コンテキストに物理インターフェイスまたはサブインターフェイスを割り当てた場合、このコンテキスト内ではインターフェイスがデフォルトでイネーブルです。ただし、コンテキスト インターフェイスをトラフィックが通過する前に、システム コンフィギュレーションでもこのインターフェイスをイネーブルにする必要があります。システム実行スペースでインターフェイスをシャットダウンした場合、このインターフェイスは共有されるすべてのコンテキストでシャットダウンされます。

例

次に、サブインターフェイスをイネーブルにする例を示します。

次に、サブインターフェイスをシャットダウンする例を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

このコマンドには、デフォルトの動作または値はありません。

 

コマンド履歴

 

使用上のガイドライン

IP アドレス プライバシー機能をイネーブルにするために必要な SIP アプリケーション検査マップを識別するには、sip-map コマンドを使用します。このコマンドを入力すると、SIP マップ コンフィギュレーション モードが開始し、 ip-address-privacy コマンドを入力できるようになります。SIP マップを定義したら、inspect sip コマンドを使用して、マップをイネーブルにします。次に、 class-map 、 policy-map 、および service-policy コマンドを使用して、トラフィック クラスを定義したり、このクラスに inspect コマンドを適用したり、1 つまたは複数のインターフェイスにポリシーを適用したりします。

例

次に、SIP トラフィックを識別し、SIP マップを定義し、ポリシーを定義して外部インターフェイスに適用する例を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトでは、SMTP サーバは設定されていません。

 

コマンド履歴

 

使用上のガイドライン

例

次に、IP アドレスが 10.1.1.24 の SMTP サーバ、および IP アドレスが 10.1.1.34 のバックアップ SMTP サーバを設定する例を示します。

 

シンタックスの説明

 

デフォルト

このコマンドには、デフォルトの動作または値はありません。

 

コマンド履歴

 

使用上のガイドライン

SNMP 検査用パラメータを定義するための特定のマップを識別するには、snmp-map コマンドを使用します。このコマンドを入力すると、SNMP マップ コンフィギュレーション モードが開始し、特定のマップを定義するためのさまざまなコマンドを入力できるようになります。SNMP マップを定義したら、inspect snmp コマンドを使用して、マップをイネーブルにします。次に、 class-map 、 policy-map 、および service-policy コマンドを使用して、トラフィック クラスを定義したり、このクラスに inspect コマンドを適用したり、1 つまたは複数のインターフェイスにポリシーを適用したりします。

例

次に、SNMP トラフィックを識別し、SNMP マップを定義し、ポリシーを定義して外部インターフェイスに適用する例を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

このコマンドには、デフォルトの動作または値はありません。

 

コマンド履歴

 

使用上のガイドライン

SNMP コミュニティ ストリングは、SNMP 管理ステーションと管理対象ネットワーク ノード間で共有されるシークレット ストリングです。FWSM はこの鍵を使用して、着信 SNMP 要求が有効かどうかを判別します。たとえば、コミュニティ ストリングを使用してサイトを指定してから、同じストリングを使用してルータ、FWSM、および管理ステーションを設定できます。FWSM はこのストリングを使用し、コミュニティ ストリングが無効な要求には応答しません。

例

次に、コミュニティ ストリングを wallawallabingbang に設定する例を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

このコマンドには、デフォルトの動作または値はありません。

 

コマンド履歴

例

次に、担当者を Pat Johnson に設定する例を示します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数またはキーワードはありません。

 

デフォルト

デフォルトで、SNMP サーバはイネーブルです。

 

コマンド履歴

 

使用上のガイドライン

このコマンドを使用すると、SNMP トラップやその他の設定を行ったり、これらを再設定しなくても、SNMP を簡単にイネーブルまたはディセーブルにすることができます。

例

次に、SNMP をイネーブルにし、SNMP ホストおよびトラップを設定し、トラップをシステム メッセージとして送信する例を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルト設定では、すべての snmp トラップがイネーブルです（ snmp-server enable traps snmp authentication linkup linkdown coldstart ）。これらのトラップをディセーブルにするには、このコマンドの no 形式に snmp キーワードを指定して使用します。ただし、 clear configure snmp-server コマンドを使用すると、デフォルト設定に戻って SNMP トラップがイネーブルになります。

トラップ タイプを指定しないでこのコマンドを入力した場合は、デフォルトで syslog が適用されます（デフォルトの snmp トラップおよび syslog トラップは引き続きイネーブルです）。

 

コマンド履歴

 

使用上のガイドライン

個々のトラップまたは一連のトラップをイネーブルにする場合は、機能タイプごとにこのコマンドを入力します。すべてのトラップをイネーブルにする場合は、 all キーワードを入力します。

NMS にトラップを送信するには、 logging history コマンドを入力します。ロギングをイネーブルにするには、 logging enable コマンドを使用します。

例

次に、SNMP をイネーブルにし、SNMP ホストおよびトラップを設定し、トラップをシステム メッセージとして送信する例を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの UDP ポートは 162 です。

デフォルトのバージョンは 1 です。

 

コマンド履歴

 

使用上のガイドライン

最大 32 個の NMS を指定できます。

例

次に、境界インターフェイスに接続された 10.1.2.42 をホストに設定する例を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルト ポートは 161 です。

 

コマンド履歴

例

次に、待ち受けポートを 192 に設定する例を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

このコマンドには、デフォルトの動作または値はありません。

 

コマンド履歴

例

次に、ロケーションを Building 42、Sector 54 に設定する例を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

スプリット DNS はディセーブルです。

 

コマンド履歴

 

使用上のガイドライン

ドメイン リスト内の各エントリを区切るには、スペースを 1 つ使用します。エントリ数に制限はありませんが、文字列全体が 255 文字を超えることはできません。使用できるのは英数字、ハイフン（-）、およびピリオド（.）のみです。

スプリット トンネリング ドメイン リストをすべて削除するには、引数を指定しないで no split-dns コマンドを使用します。このコマンドは、 split-dns none コマンドを発行して作成されたヌル リストを含めて、設定されたスプリット トンネリング ドメイン リストをすべて削除します。

スプリット トンネリング ドメイン リストがない場合、ユーザはデフォルト グループ ポリシー内のすべてのリストを継承します。ユーザがこのようなスプリット トンネリング ドメイン リストを継承できないようにするには、 split-dns none コマンドを使用します。

例

次に、グループ ポリシー FirstGroup のスプリット トンネリングを介して解決されるように、ドメイン Domain1、Domain2、Domain3、および Domain4 を設定する例を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトでは、スプリット トンネリング ネットワーク リストは存在しません。

 

コマンド履歴

 

使用上のガイドライン

FWSM はネットワーク リストに基づいてスプリット トンネリング判断を行います。ネットワーク リストは、プライベート ネットワークのアドレス リストで構成される標準 ACL（アクセス コントロール リスト）です。

スプリット トンネリング ネットワーク リストをすべて削除するには、引数を指定しないで no split-tunnel-network-list コマンドを使用します。このコマンドは、 split-tunnel-network-list none コマンドを発行して作成されたヌル リストを含めて、設定されたネットワーク リストをすべて削除します。

スプリット トンネリング ネットワーク リストがない場合、ユーザはデフォルト グループ ポリシーまたは指定されたグループ ポリシー内のすべてのネットワーク リストを継承します。ユーザがこのようなネットワーク リストを継承できないようにするには、 split-tunnel-network-list none コマンドを使用します。

スプリット トンネリング ネットワーク リストでは、トンネルを介してトラフィックを送信する必要があるネットワークと、トンネリングが不要なネットワークが区別されます。

例

次に、グループ ポリシー FirstGroup のネットワーク リスト FirstList を設定する例を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの tunnelall では、スプリット トンネリングはディセーブルです。

 

コマンド履歴

 

使用上のガイドライン

スプリット トンネリングの主な機能は、セキュリティ機能でなくトラフィック管理機能です。むしろ、セキュリティを最適化するにはスプリット トンネリングをディセーブルにすることを推奨します。スプリット トンネリングを使用すると、リモートアクセス IPSec クライアントからのパケットを、条件に応じて IPSec トンネルを介して暗号化形式で転送したり、クリアテキスト形式で特定のネットワーク インターフェイスに対して転送できるようになります。スプリットトンネリングがイネーブルの場合、宛先が IPSec トンネルの反対側でないパケットは、暗号化し、トンネルを介して送信し、暗号解除して、最終宛先にルーティングする必要がありません。

このコマンドは、このスプリット トンネリング ポリシーを特定のネットワークに適用します。

例

次に、グループ ポリシー FirstGroup で指定されたネットワークのみをトンネリングするように、スプリット トンネリング ポリシーを設定する例を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

このコマンドには、デフォルトの動作または値はありません。

 

コマンド履歴

 

使用上のガイドライン

ssh ip_address コマンドは、FWSM への SSH 接続を開始することが許可されたホストまたはネットワークを指定します。コンフィギュレーションに複数の ssh コマンドを含めることができます。このコマンドの no 形式を使用すると、コンフィギュレーションから特定の SSH コマンドが削除されます。SSH コマンドをすべて削除するには、 clear configure ssh コマンドを使用します。

FWSM に SSH を開始する前に、 crypto key generate rsa コマンドを使用してデフォルト RSA 鍵を生成する必要があります。

次に、FWSM でサポートされているセキュリティ アルゴリズムおよび暗号を示します。

• 3DES および AES 暗号（データ暗号化用）

• HMAC-SHA および HMAC-MD5 アルゴリズム（パケットの整合性を保つ場合）

• RSA 公開鍵アルゴリズム（ホスト認証用）

• Diffie-Hellman Group 1 アルゴリズム（鍵交換用）

次の SSH Version 2 の機能は FWSM でサポートされていません。

• X11 転送

• ポート転送

• SFTP サポート

• Kerberos および AFS チケットの送受信

• データ圧縮

例

次に、IP アドレスが 10.1.1.1 の管理コンソールからの SSH Version 2 接続を受け入れるように内部インターフェイスを設定する例を示します。アイドル セッション タイムアウトは 60 分に、SCP はイネーブルに設定されています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

このコマンドには、デフォルトの動作または値はありません。

 

コマンド履歴

 

使用上のガイドライン

セッション ID を指定する必要があります。切断する SSH セッションの ID を取得するには、 show ssh sessions コマンドを使用します。

例

次に、切断している SSH セッションを表示する例を示します。

 

関連コマンド

 

シンタックスの説明

このコマンドに引数またはキーワードはありません。

 

デフォルト

このコマンドには、デフォルトの動作または値はありません。

 

コマンド履歴

 

使用上のガイドライン

SCP はサーバにのみ実装されます。サーバは SCP の接続を受け入れたり、終了することができますが、開始することはできません。FWSM には次の制約事項があります。

• この SCP ではディレクトリがサポートされていません。リモート クライアントからのアクセスは FWSM 内部ファイルに限定されます。

• SCP を使用する場合、バナーはサポートされません。

• SCP はワイルドカードをサポートしません。

• FWSM ライセンスには、SSH Version 2 接続をサポートする VPN-3DES-AES 機能が必要です。

例

次に、IP アドレスが 10.1.1.1 の管理コンソールからの SSH Version 2 接続を受け入れるように内部インターフェイスを設定する例を示します。アイドル セッション タイムアウトは 60 分に、SCP はイネーブルに設定されています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトのセッション タイムアウト値は 5 分です。

 

コマンド履歴

 

使用上のガイドライン

ssh timeout コマンドは、セッションが切断されるまでのアイドル期間（分）を指定します。デフォルト期間は 5 分です。

例

次に、IP アドレスが 10.1.1.1 の管理コンソールからの SSH Version 2 接続のみを受け入れるように内部インターフェイスを設定する例を示します。アイドル セッション タイムアウトは 60 分に、SCP はイネーブルに設定されています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトでは、SSH Version 1 と SSH Version 2 が両方ともサポートされます。

 

コマンド履歴

 

使用上のガイドライン

1 および 2 は、FWSM が限定的に使用する SSH のバージョンを指定します。このコマンドの no 形式を使用すると、FWSM はデフォルトの互換モードに戻ります（両方のバージョンを使用できます）。デフォルト値の場合は、FWSM との SSH Version 1 および SSH Version 2 接続を確立できます。

例

次に、IP アドレスが 10.1.1.1 の管理コンソールからの SSH Version 2 接続を受け入れるように内部インターフェイスを設定する例を示します。アイドル セッション タイムアウトは 60 分に、SCP はイネーブルに設定されています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルト値は any です。

 

コマンド履歴

 

使用上のガイドライン

ssl server-version コマンドは、HTTPS クライアントがファイアウォール管理のためファイアウォールに直接接続するとき、受け入れられる SSL のバージョンの指定に使用します。FWSM では、このコマンドは WebVPN 機能をサポートしません。

例

次に、FWSM が SSL サーバとして動作するとき、TLSv1 のみを使用して通信するように設定する例を示します。

 

シンタックスの説明

access-list access_list_name	実際のアドレスおよび宛先アドレス（またはポート）を指定して、NAT の実際のアドレスを識別できます。この機能はポリシー NAT といいます。 アクセス リストで使用されるサブネット マスクは、 mapped_ip でも使用します。 アクセス リストに追加できるのは、 permit ステートメントのみです。 eq 演算子を使用して、アクセス リスト内で実際のポートおよび宛先ポートを指定することもできます。ポリシー NAT は inactive または time-range キーワードを考慮しません。ポリシー NAT 設定では、すべての ACE（アクセス制御エントリ）がアクティブであるとみなされます。
dns	（任意）このスタティック変換と一致する DNS 応答の A レコード（アドレス レコード）を書き替えます。マッピング先のインターフェイスから実際のインターフェイスに DNS 応答が送信される場合、A レコードはマッピング先の値から実際の値に書き替えられます。逆に、実際のインターフェイスからマッピング先のインターフェイスに DNS 応答が送信される場合、A レコードは実際の値からマッピング先の値に書き替えられます。（注）DNS リライトは、PAT には適用されません。各 A レコードには複数の PAT ルールを適用できるので、使用する PAT ルールが明確ではないためです。
emb_lim	（任意）ホストあたりの最大初期接続数を指定します。デフォルト値は 0 で、初期接続数は無制限です。 初期接続数を制限して、DoS 攻撃から保護することができます。FWSM は初期制限を使用して、TCP 代行受信をトリガーします。これにより、TCP SYN パケットがインターフェイスでフラッディングすることによって発生する DoS 攻撃から内部システムが保護されます。初期接続は、送信元と宛先間で必要なハンドシェイクを終了しなかった接続要求です。
interface	マッピング先のアドレスとしてインターフェイスの IP アドレスを使用します。 （注） スタティック PAT エントリにインターフェイスの IP アドレスを追加する場合は、実際の IP アドレスを指定しないで、interface キーワードを使用する必要があります。
mapped_ifc	マッピング先の IP アドレス ネットワークに接続されたインターフェイスの名前を指定します。
mapped_ip	実際のアドレスの変換先アドレスを指定します。
mapped_port	マッピング先の TCP または UDP ポートを指定します。ポートはリテラル名、または 0 ～ 65535 のポート番号で指定できます。 有効なポート番号は、次の Web サイトからオンラインで表示することができます。 http://www.iana.org/assignments/port-numbers
netmask mask	実際のアドレスおよびマッピング アドレスのサブネット マスクを指定します。単一ホストの場合は、255.255.255.255 を使用します。マスクを入力しない場合は、1 つの例外を除いて、IP アドレス クラスのデフォルト マスクが使用されます。マスク後のホストビットがゼロでない場合にかぎり、ホスト マスクには 255.255.255.255 が使用されます。 real_ip ではなく access-list キーワードを使用した場合は、アクセス リストで使用したサブネット マスクが mapped_ip にも使用されます。
norandomseq	（任意）TCP ISN ランダム化の保護機能をディセーブルにします。別のインライン ファイアウォールでTCP シーケンス番号のランダム化をイネーブルにしている場合は、ランダム化をディセーブルにできます。2 つのファイアウォールで同じ動作を実行する必要はないからです。ただし、ISN ランダム化については、両方のファイアウォールでイネーブルのままにしても、トラフィックに影響はありません。 各 TCP 接続には ISN が 2 つあります。1 つはクライアントによって生成され、もう 1 つはサーバによって生成されます。セキュリティ アプライアンスは、発信方向に渡される TCP SYN の ISN をランダム化します。同一セキュリティ レベルの 2 つのインターフェイス間の接続では、SYN の ISN が両方向でランダム化されます。 保護されたホストで ISN をランダム化すると、新規接続の次の ISN を予測して新規セッションをハイジャックする攻撃を阻止できます。 norandomseq キーワードは外部 NAT には適用されません。ファイアウォールがランダム化するのは、セキュリティがより高いインターフェイス上のホスト/サーバで生成される ISN のみです。外部 NAT に norandomseq を設定しても、 norandomseq キーワードは無視されます。
real_ifc	実際の IP アドレス ネットワークに接続されたインターフェイスの名前を指定します。
real_ip	変換する実際のアドレスを指定します。
real_port	実際の TCP または UDP ポートを指定します。ポートはリテラル名、または 0 ～ 65535 のポート番号で指定できます。 有効なポート番号は、次の Web サイトからオンラインで表示することができます。 http://www.iana.org/assignments/port-numbers
tcp	スタティック PAT の場合は、プロトコルに TCP を指定します。
tcp max_conns	各 real_ip 可変ホストが使用を許可される同時 TCP 接続の最大数を指定します。デフォルト値は 0 で、接続数は無制限です（ timeout conn コマンドで指定されたアイドル タイムアウトが経過すると、アイドル接続は終了します）。
udp	スタティック PAT の場合は、プロトコルに UDP を指定します。
udp udp_max_conns	（任意）サブネット全体における同時 UDP 接続の最大数を指定します。デフォルト値は 0 で、接続数は無制限です（ timeout conn コマンドで指定されたアイドル タイムアウトが経過すると、アイドル接続は終了します）。

 

デフォルト

tcp_max_conns 、 emb_limit 、および udp_max_conns のデフォルト値は、使用可能な最大値を示す 0（無制限）です。

 

コマンド履歴

 

使用上のガイドライン

スタティック NAT は、実際のアドレスからマッピング アドレスへの固定的な変換を行います。ダイナミック NAT および PAT は、以降の変換を行うたびに、各ホストは異なるアドレスまたはポートを使用します。スタティック NAT では、連続するどの接続でもマッピング アドレスが同じで、変換ルールは永続的であるため、宛先ネットワークのホストから変換先ホストにトラフィックを送信できます（この処理を許可するアクセス リストがある場合）。

ダイナミック NAT とスタティック NAT のアドレス範囲の主な違いは、スタティック NAT では、リモート ホストから変換先ホストへの接続を開始でき（この処理を許可するアクセス リストがある場合）、ダイナミック NAT ではこれができないことです。スタティック NAT の場合は、実際のアドレスと同数のマッピング アドレスも必要です。

スタティック PAT はスタティック NAT と同じです。ただし、スタティック PAT では、実際のアドレスとマッピング アドレスのプロトコル（TCP または UDP）およびポートを指定することができます。

この機能によって、複数の異なるスタティック ステートメントについて同じマッピング アドレスを指定することができます。ただし、ステートメントごとにポートは異なっている必要があります。

同じ 2 つのインターフェイス間で複数の static コマンドを実行する場合は、実際のアドレスまたはマッピング アドレスに同じ値を使用できません。 global コマンドで定義されたマッピング アドレスを、同じマッピング先のインターフェイスに対する static コマンド内で使用しないでください。

セカンダリ チャネル（FTP［ファイル転送プロトコル］、VoIP など）のアプリケーション検査が必要となるアプリケーションの場合、ポリシー NAT 内でポートを指定すると、セカンダリ ポートが自動的に変換されます。

NAT は、一般に、トランスペアレント ファイアウォール モードで使用できません。トランスペアレント ファイアウォール モードでは、 static コマンドを使用して、最大接続数、最大初期接続数、および TCP シーケンス ランダム化を設定できます。この場合、実際の IP アドレスとマッピング先 IP アドレスは同じです。

Modular Policy Framework を使用して、接続制限を設定することもできます（ただし、初期接続制限は設定できません）。詳細については、 set connection コマンドを参照してください。初期接続制限を設定するには、NAT を使用する必要があります。両方の方法を使用して同じトラフィックにこれらの設定値を設定した場合は、小さい方の値が使用されます。TCP シーケンス ランダム化は、いずれかの方法を使用してディセーブルになっていれば、ディセーブルになります。

変換用ネットワーク（10.1.1.0 255.255.255.0 など）を指定すると、.0 および .255 アドレスが変換されます。これらのアドレスへのアクセスを禁止する場合は、アクセスを拒否するようにアクセス リストを設定してください。

static コマンド ステートメントを変更または削除した場合は、 clear xlate コマンドを使用して、変換を消去します。

例

スタティック NAT の例

たとえば、次のポリシー スタティック NAT の例では、単一の実際のアドレスが、宛先アドレスに応じて 2 つのマッピング アドレスに変換されます。

次のコマンドは、内部 IP アドレス（10.1.1.3）を外部 IP アドレス（209.165.201.12）にマッピングします。

次のコマンドは、外部 IP アドレス（209.165.201.15）を内部 IP アドレス（10.1.1.6）にマッピングします。

次のコマンドは、サブネット全体をスタティックにマッピングします。

次に、Intel Internet Phone、CU-SeeMe、CU-SeeMe Pro、MeetingPoint、または Microsoft NetMeeting を使用して、H.323 を介して無制限のユーザにコールできるようにする例を示します。 static コマンドはアドレス 209.165.201.0 ～ 209.165.201.30 をローカル アドレス 10.1.1.0 ～ 10.1.1.30 にマッピングします（209.165.201.1 は10.1.1.1に、209.165.201.10 は 10.1.1.10 にマッピングします）。

次に、Mail Guard をディセーブルにするために使用されるコマンドの例を示します。

この例では、static コマンドを使用して、外部ホストから dmz1 インターフェイス上の 10.1.1.1 メール サーバ ホストへのアクセスを許可するように、グローバル アドレスを設定できます。209.165.201.1 アドレスを指すように DNS の MX レコードを設定して、メールがこのアドレスに送信されるようにする必要があります。access-list コマンドを使用すると、外部ユーザは SMTP ポート（25）を介してグローバル アドレスにアクセスできます。no fixup protocol コマンドは Mail Guard をディセーブルにします。

スタティック PAT の例

たとえば、10.1.3.0 ネットワーク上のホストから FWSM の外部インターフェイス（10.1.2.14）に送信された Telnet トラフィックを 10.1.1.15 の内部ホストにリダイレクトするには、次のコマンドを使用します。

10.1.3.0 ネットワーク上のホストから FWSM の外部インターフェイス（10.1.2.14）に送信された HTTP トラフィックを 10.1.1.15 の内部ホストにリダイレクトするには、次のコマンドを入力します。

FWSM の外部インターフェイス（10.1.2.14）から 10.1.1.15 の内部ホストに Telnet トラフィックをリダイレクトするには、次のコマンドを入力します。

ただし、上記の実際の Telnet サーバから接続を開始できるようにするには、追加変換を設定する必要があります。たとえば、その他のすべてのタイプのトラフィックを変換するには、次のコマンドを入力します。元の static コマンドはサーバに Telnet 変換を実行しますが、 nat および global コマンドはサーバからの発信接続に PAT を実行します。

すべての内部トラフィックに個別の変換を設定し、内部ホストで Telnet サーバと異なるマッピング アドレスを使用している場合は、サーバへの Telnet トラフィックを許可する static ステートメントと同じマッピング アドレスを使用するように、Telnet サーバから送信されるトラフィックを設定することができます。Telnet サーバに限っては、より限定的な nat ステートメントを作成する必要があります。 nat ステートメントは最適一致を検索するために読み込まれるため、より限定的な nat ステートメントは一般のステートメントよりも先に照合されます。次に、Telnet static ステートメント、Telnet サーバから送信されたトラフィックに対する、より限定的な nat ステートメント、および別のマッピング アドレスを使用するその他の内部ホストのステートメントの例を示します。

既知のポート（80）を別のポート（8080）に変換するには、次のコマンドを入力します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

このコマンドは、デフォルトでイネーブルです。

 

コマンド履歴

 

使用上のガイドライン

厳格な HTTP 検査をディセーブルにすることはできませんが、 strict-http action allow コマンドを実行すると FWSM は準拠しない HTTP トラフィックを転送できるようになります。このコマンドは、準拠しない HTTP トラフィックの転送を禁止するデフォルト動作を無効にします。

例

次に、準拠しない HTTP トラフィックの転送を許可する例を示します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数またはキーワードはありません。

 

デフォルト

このコマンドのデフォルト設定はディセーブルです。

 

コマンド履歴

 

使用上のガイドライン

この属性を適用できるのは、IPSec リモート アクセスおよび L2TP/IPSec トンネルタイプのみです。

例

次に、リモート アクセス トンネル グループ [remotegrp] のタイプを IPSec リモート アクセスに設定し、一般コンフィギュレーション モードを開始し、トンネル グループ [remotegrp] をデフォルト グループ ポリシーに設定し、このトンネル グループに対して strip-group をイネーブルにする例を示します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数またはキーワードはありません。

 

デフォルト

このコマンドのデフォルト設定はディセーブルです。

 

コマンド履歴

 

使用上のガイドライン

この属性を適用できるのは、IPSec リモート アクセス トンネルタイプのみです。

例

次に、リモート アクセス トンネル グループ [remotegrp] のタイプを IPSec リモート アクセスに設定し、一般コンフィギュレーション モードを開始してトンネル グループ [remotegrp] をデフォルト グループ ポリシーに設定し、このトンネル グループに対して strip-realm をイネーブルにする例を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

このコマンドには、デフォルトの動作または値はありません。

 

コマンド履歴

例

次に、証明書マップ 1 に対して CA 証明書マップ モードを開始して、証明書サブジェクト名の組織属性が Central と一致する必要があることを示すルール エントリを作成する例を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルト設定では、サブジェクト名を含めません。

 

コマンド履歴

例

次に、トラストポイント central に対して crypto ca トラストポイント コンフィギュレーション モードを開始して、URL https//:www.example.com に自動登録を設定し、トラストポイント central の登録要求にサブジェクト DN OU cisco.example を追加する例を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの設定は次のとおりです。

• tag_value は 0 です。

• 指定されたプレフィクス/マスクのペアと一致するルートは抑制されません。

 

コマンド履歴

 

使用上のガイドライン

他のルーティング プロトコルから学習したルートをサマライズできます。OSPF にこのコマンドを使用すると、OSPF Autonomous System Boundary Router（ASBR）は、アドレスがカバーするすべての再配信済みルートの集約ルートとして、1 つの外部ルートをアドバタイズできます。このコマンドは、OSPF に再配信されているその他のルーティング プロトコルからのルートのみをサマライズします。OSPF エリア間のルートをサマライズするには、 area range コマンドを使用します。

コンフィギュレーションから summary-address コマンドを削除するには、オプションのキーワードまたは引数を指定しないで、このコマンドの no 形式を使用します。コンフィギュレーションの summary コマンドからオプションを削除するには、削除するオプションを指定して、このコマンドの no 形式を使用します。詳細については、「例」を参照してください。

例

次に、3 に設定された tag 値を使用して、ルート サマライズを設定する例を示します。

次に、オプションを含む summary-address コマンドの no 形式を使用して、このオプションをデフォルト値に戻す例を示します。この例では、上記の例で 3 に設定された tag 値が summary-address コマンドから削除されます。

次に、コンフィギュレーションから summary-address コマンドを削除する例を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

このコマンドには、デフォルトの動作または値はありません。

 

コマンド履歴

 

使用上のガイドライン

SunRPC サービス テーブルは、timeout で指定された期間中に確立された SunRPC セッションに基づいて、FWSM 内の SunRPC トラフィックの通過を許可する場合に使用します。

例

次に、SunRPC サービス テーブルを作成する例を示します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数またはキーワードはありません。

 

デフォルト

デフォルト設定では、ユーザ証明書の検証がサポートされます。

 

コマンド履歴

 

使用上のガイドライン

FWSM には、同じ CA を持つトラストポイントを 2 つ設定できるため、同じ CA から 2 つの異なる ID 証明書が生成されます。トラストポイントの認証先 CA に、この機能がイネーブル化された別のトラストポイントがすでに対応付けられている場合は、このオプションが自動的にディセーブルになります。これにより、パス検証パラメータがあいまいに選択されることがなくなります。トラストポイントの認証先 CA に、この機能がイネーブル化された別のトラストポイントがすでに対応付けられている場合、ユーザがこの機能を実行しようとしてもアクションは許可されません。2 つのトラストポイントでこの設定をイネーブルにして、同じ CA に対して認証することはできません。

例

次に、トラストポイント central に対して crypto ca トラストポイント コンフィギュレーション モードを開始して、トラストポイント central でのユーザ検証をイネーブルにする例を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの最大値は 1380 バイトです。minimum 機能は、デフォルトでディセーブルです（0 に設定）。

 

コマンド履歴

 

使用上のガイドライン

ホストとサーバは両方とも、最初に接続を確立するときに最大セグメント サイズを設定できます。いずれかの最大値が sysopt connection tcpmss コマンドで設定された値よりも大きい場合、FWSM は最大値を無効にして、設定された値を挿入します。いずれかの最大値が sysopt connection tcpmss minimum コマンドで設定された値よりも小さい場合、FWSM は最大値を無効にして、設定された [minimum] 値を挿入します（minimum 値は、実際は使用可能な最小の最大値です）。たとえば、最大サイズに1200 バイト、最小サイズに 400 バイトが設定してある場合に、ホストが最大サイズとして 1300 バイトを要求すると、FWSM は 1200 バイト（最大値）を要求するようにパケットを変更します。別のホストが最大値として 300 バイトを要求した場合、FWSM は 400 バイト（最小値）を要求するようにパケットを変更します。

デフォルトの 1380 バイトは、合計パケット サイズがイーサネットのデフォルト MTU（最大伝送ユニット）である 1500 バイトを超過しないように、ヘッダー情報分のサイズを確保したサイズです。次の計算を参照してください。

1380 データ＋ 20 TCP ＋ 20 IP ＋ 24 AH ＋ 24 ESP_CIPHER ＋ 12 ESP_AUTH ＋ 20 IP ＝ 1500 バイト

ホストまたはサーバが最大セグメント サイズを要求しない場合、FWSM は RFC 793 のデフォルト値である 536 バイトが有効であると想定します。

1380 を超える最大サイズを設定すると、MTU サイズ（デフォルトは 1500）に応じてパケットが分割されることがあります。分割数が多いと、フラグ ガード機能を使用する場合に、FWSM のパフォーマンスが低下することがあります。最小サイズを設定すると、TCP サーバがクライアントに多数の小さな TCP データ パケットを送信することでサーバおよびネットワークのパフォーマンスが低下することがなくなります。

（注） この機能を通常使用することは推奨しませんが、Syslog IPFRAG メッセージ 209001 および 209002 が表示された場合は、bytes 値を大きくすることができます。

例

次に、最大サイズを 1200 に、最小値を 400 に設定する例を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトでは、この機能はディセーブルです（DNS レコード アドレスは変更できます）。

 

コマンド履歴

 

使用上のガイドライン

alias コマンドは NAT を実行して DNS A レコード アドレスを変更します。場合によっては、DNS レコード変更をディセーブルにすることができます。

例

次に、着信パケットの DNS アドレス変更をディセーブルにする例を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

グローバル アドレスのプロキシARPは、デフォルトでイネーブルです。

 

コマンド履歴

 

使用上のガイドライン

まれに、グローバル アドレスのプロキシ ARP をディセーブルにしなければならない場合があります。

同じイーサネット ネットワーク上の別のデバイスに IP トラフィックを送信するホストでは、このデバイスの MAC（メディア アクセス制御）アドレス情報が必要です。ARP は、IP アドレスから MAC アドレスへの変換を解決するレイヤ 2 プロトコルです。ホストが「この IP アドレスの所有者は誰か？」を確認する ARP 要求を送信すると、この IP アドレスを所有するデバイスが「自分がこの IP アドレスを持っていて、MAC アドレスは次のとおりである」と応答します。

プロキシ ARP は、デバイスがこの IP アドレスを所有していない場合でも、ARP 要求に自身の MAC アドレスで応答する場合に使用します。ユーザが NAT を設定し、FWSM インターフェイスと同じネットワーク上のグローバル アドレスを指定した場合、FWSM はプロキシ ARP を使用します。トラフィックがホストに到達するには、FWSM がプロキシ ARP を使用して、FWSM MAC アドレスが宛先グローバル アドレスに割り当てられていることを示す必要があります。

例

次に、内部インターフェイスでプロキシ ARP をディセーブルにする例を示します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数またはキーワードはありません。

 

デフォルト

この機能は、デフォルトでディセーブルです。

 

コマンド履歴

 

使用上のガイドライン

Livingston Version 1.16 など、鍵をアカウンティング確認応答内の認証ハッシュに含めない一部の RADIUS サーバでは、使用時に注意する必要があります。この場合、FWSM がアカウンティング要求を再送信し続けることがあります。アカウンティング確認応答の認証者の鍵を無視して、再送信問題を回避するには、 sysopt radius ignore-secret コマンドを使用します（ここで説明している鍵は、 aaa-server host コマンドで設定された鍵です）。

例

次に、アカウンティング応答内の認証鍵を無視する例を示します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数またはキーワードはありません。