- このマニュアルについて
- CLI の使用方法
- aaa accounting ～ accounting-server-group コマンド
- activation-key ～ auto-update timeout コマンド
- backup-servers ～ bridge-group コマンド
- cache-time ～ clear capture コマンド
- clear configure ～ clear configure virtual コマンド
- clear console-output ～ clear xlate コマンド
- client-access-rule ～ crl-configure コマンド
- crypto ca authenticate ～ crypto map set trustpoint コマンド
- debug aaa ～ debug sip コマンド
- default ～ drop コマンド
- email ～ ftp-map コマンド
- gateway ～ http-map コマンド
- icmp ～ ignore lsa mospf コマンド
- inspect ctiqbe ～ inspect xdmcp コマンド
- interface ～ issuer-name コマンド
- join-failover-group ～ kill コマンド
- ldap-base-dn ～ log-adj-changes コマンド
- logging asdm ～ logout コマンド
- mac-address-table aging-time ～ multicast-routing コマンド
- name ～ ospf transmit-delay コマンド
- pager ～ pwd コマンド
- quit ～ router-id コマンド
- same-security-traffic ～ show asdm sessions コマンド
- show asp drop ～ show curpriv コマンド
- show debug ～ show ipv6 traffic コマンド
- show isakmp sa ～ show route コマンド
- show running-config ～ show running-config isakmp コマンド
- show running-config logging ～ show running-config vpn-sessiondb コマンド
- show service-policy ～ show xlate コマンド
- shun ～ sysopt uauth allow-http-cache コマンド
- telnet ～ tunnel-limit コマンド
- upgrade-mp ～ write terminal コマンド
- 索引
Catalyst 6500 シリーズ スイッチ/Cisco 7600 シリーズ ルータ Firewall Services Module コマンド リファレンス 3.1(1)
偏向のない言語
この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
翻訳について
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
- Updated:
- 2017年5月26日
章のタイトル： crypto ca authenticate ～ crypto map set trustpoint コマンド
- crypto ca authenticate
- crypto ca certificate chain
- crypto ca certificate map
- crypto ca crl request
- crypto ca enroll
- crypto ca export
- crypto ca import
- crypto ca trustpoint
- crypto dynamic-map match address
- crypto dynamic-map set peer
- crypto dynamic-map set pfs
- crypto dynamic-map set reverse route
- crypto dynamic-map set security-association lifetime
- crypto dynamic-map set transform-set
- crypto ipsec df-bit
- crypto ipsec fragmentation
- crypto ipsec security-association lifetime
- crypto ipsec transform-set
- crypto key generate dsa
- crypto key generate rsa
- crypto key zeroize
- crypto map interface
- crypto map ipsec-isakmp dynamic
- crypto map match address
- crypto map set connection-type
- crypto map set peer
- crypto map set pfs
- crypto map set phase1 mode
- crypto map set reverse-route
- crypto map set security-association lifetime
- crypto map set transform-set
- crypto map set trustpoint
crypto ca authenticate ～
crypto map set trustpoint コマンド
crypto ca authenticate
トラストポイントに関連付けられた CA 証明書をインストールして認証するには、グローバル コンフィギュレーション モードで crypto ca authenticate コマンドを使用します。CA 証明書を削除するには、このコマンドの no 形式を使用します。
crypto ca authenticate trustpoint [ fingerprint hexvalue ] [ nointeractive]
no crypto ca authenticate trustpoint
シンタックスの説明
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
トラストポイントに SCEP エンロールメントが設定されている場合、CA 証明書は SCEP によりダウンロードされます。設定されていない場合、FWSM は、base-64 形式の CA 証明書を端末にペーストするように要求します。
例
次に、FWSM で CA の証明書を要求する例を示します。CA から証明書が送信されると、FWSM は管理者に対して、CA 証明書のフィンガープリントを調べ、CA の証明書を確認するように要求します。FWSM の管理者は、表示されたフィンガープリントの値が、既知の正しい値と一致しているかどうかを確認する必要があります。FWSM により表示されたフィンガープリントが正しい値と一致していれば、有効な証明書として受け入れます。
次の例では、トラストポイント tp9 に端末ベース（手動）エンロールメントが設定されています。この場合、FWSM は管理者に対し、CA 証明書を端末にペーストするように要求します。証明書のフィンガープリントが表示されたあと、FWSM により、証明書を保持するかの確認プロンプトが表示されます。
関連コマンド
|
|
|
|---|---|
手動エンロールメント要求に対する応答として CA から戻された証明書をインストールします。また、トラストポイントに PKS12 データをインポートします。 |
|
crypto ca certificate chain
指定したトラストポイントの証明書チェーン コンフィギュレーション モードを開始するには、グローバル コンフィギュレーション モードで crypto ca certificate chain コマンドを使用します。グローバル コンフィギュレーション モードに戻るには、このコマンドの no 形式を使用するか、 exit コマンドを使用します。
crypto ca certificate chain trustpoint
[no] crypto ca certificate chain trustpoint
シンタックスの説明
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
例
次に、トラストポイント central の CA 証明書チェーン サブモードを開始する例を示します。
hostname<config># crypto ca certificate chain central
hostname<config-cert-chain>#
関連コマンド
|
|
|
|---|---|
crypto ca certificate map
CA 証明書マップ モードを開始するには、グローバル コンフィギュレーション モードで、 crypto ca configuration map コマンドを使用します。このコマンドを実行すると、ca 証明書マップ モードになります。このグループのコマンドを使用して、証明書マッピング ルールの優先順位リストを保守します。シーケンス番号により、マッピング ルールの順序を指定します。
crypto CA コンフィギュレーション マップ ルールを削除するには、このコマンドの no 形式を使用します。
crypto ca certificate map sequence-number
no crypto ca certificate map [ sequence-number ]
シンタックスの説明
作成する証明書マップ ルールの番号を指定します。範囲は、1 ～ 65535 です。この番号は、証明書マップ ルールにトンネル グループをマップするトンネル グループ マップの作成時に使用できます。 |
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドを発行すると、FWSM は CA 証明書マップ コンフィギュレーション モードになり、証明書の発行者およびサブジェクトの Distinguished Name（DN; 識別名）に基づいてルールを設定できます。これらのルールの一般的な形式は、次のとおりです。
DN は、 subject-name または issuer-name です。DN は、ITU-T X.509 標準規格に定義されています。証明書フィールドのリストについては、関連コマンドを参照してください。
match-criteria は、次の式または演算子で構成されます。
例
次に、シーケンス番号 1 （ルール # 1）で CA 証明書マップ モードを開始し、サブジェクト名の CN 属性が pat と一致する必要があることを指定する例を示します。
次に、シーケンス番号 1 で CA 証明書マップ モードを開始し、サブジェクト名のどこかに値 cisco が含まれていることを指定する例を示します。
関連コマンド
|
|
|
|---|---|
crypto ca certificate map コマンドを使用して作成された証明書マップ エントリにトンネル グループを対応付けます。 |
crypto ca crl request
指定したトラストポイントの設定パラメータに基づいて CRL を要求するには、crypto ca トラストポイント コンフィギュレーション モードで crypto ca crl request コマンドを使用します。
crypto ca crl request trustpoint
シンタックスの説明
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次に、central という名前のトラストポイントに基づいて CRL を要求する例を示します。
関連コマンド
|
|
|
|---|---|
crypto ca enroll
CA のエンロールメント プロセスを開始するには、グローバル コンフィギュレーション モードで crypto ca enroll コマンドを使用します。このコマンドを正しく実行するには、トラストポイントが正しく設定されている必要があります。
crypto ca enroll trustpoint [ noconfirm ]
シンタックスの説明
（任意）すべてのプロンプトを抑制します。プロンプトを表示するエンロールメント オプションは、トラストポイントに事前設定されている必要があります。このオプションは、スクリプト、ASDM、または同様の他の非対話モード用です。 |
|
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
トラストポイントに SCEP エンロールメントが設定されている場合、FWSM はすぐに CLI プロンプトを表示し、コンソールにはステータス メッセージが非同期で表示されます。トラストポイントに手動エンロールメントが設定されている場合、FWSM は base-64 コード化 PKCS10 証明書要求をコンソールに書き込み、CLI プロンプトを表示します。
例
次に、SCEP エンロールメントを使用して、トラストポイント tp1 で ID 証明書をエンロールする例を示します。FWSM により、トラストポイント設定に保管されていない情報が要求されます。
次に、CA 証明書の手動エンロールメントのコマンド例を示します。
hostname(config)# crypto ca enroll tp1
関連コマンド
|
|
|
|---|---|
手動エンロールメント要求に対する応答として CA から戻された証明書をインストールします。また、トラストポイントに PKS12 データをインポートします。 |
|
crypto ca export
トラストポイント設定に関連付けられた鍵および証明書を PKCS12 形式でエクスポートするには、グローバル コンフィギュレーション モードで crypto ca export コマンドを使用します。
crypto ca export trustpoint pkcs12 passphrase
シンタックスの説明
証明書および鍵をエクスポートするトラストポイントの名前を指定します。トラストポイントが RSA 鍵を使用している場合、エクスポートされた鍵のペアには、トラストポイントと同じ名前が割り当てられます。 |
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドの起動は、アクティブ コンフィギュレーションの一部にはなりません。PKCS12 データは、端末に書き込まれます。
例
次に、パスコードとして xxyyzz を使用し、トラストポイント central の PKCS12 データをエクスポートする例を示します。
hostname(config)# crypto ca export central pkcs12 xxyyzz
関連コマンド
|
|
|
|---|---|
手動エンロールメント要求に対する応答として CA から戻された証明書をインストールします。また、トラストポイントに PKS12 データをインポートします。 |
|
crypto ca import
手動エンロールメント要求の応答として CA から受信した証明書をインストールするか、PKCS12 データを使用してトラストポイントの証明書および鍵のペアをインポートするには、グローバル コンフィギュレーション モードで crypto ca import コマンドを使用します。FWSM は、base-64 形式でテキストを端末にペーストするよう要求します。
crypto ca import trustpoint certificate [ nointeractive ]
crypto ca import trustpoint pkcs12 passphrase [ nointeractive ]
シンタックスの説明
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
例
次に、トラストポイント Main の証明書を手動でインポートする例を示します。
hostname(config)# crypto ca import Main certificate
次に、トラストポイント central に PKCS12 データを手動でインポートする例を示します。
hostname(config)# crypto ca import central pkcs12
関連コマンド
|
|
|
|---|---|
crypto ca trustpoint
トラストポイントを追加して、トラストポイント コンフィギュレーション モードを開始するには、グローバル コンフィギュレーション モードで crypto ca trustpoint コマンドを使用します。指定したトラストポイントを削除するには、このコマンドの no 形式を使用します。このコマンドは、トラストポイント情報を管理します。トラストポイントは、CA が発行した証明書に基づいて CA 識別情報を提示し、可能な場合にはデバイスの識別情報も提示します。trustpoint コマンドは、FWSM が CA 証明書を取得する方法、FWSM が自己の証明書を CA から取得する方法、および CA が発行するユーザ証明書の認証ポリシーなど、CA 特有の設定パラメータを管理します。
crypto ca trustpoint trustpoint-name
no crypto ca trustpoint trustpoint-name [ noconfirm ]
シンタックスの説明
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
トラストポイントは、CA が発行した証明書に基づいて CA 識別情報を提示し、可能な場合にはデバイスの識別情報も提示します。trustpoint コマンドは、FWSM が CA 証明書を取得する方法、FWSM が自己の証明書を CA から取得する方法、および CA が発行するユーザ証明書の認証ポリシーなど、CA 特有の設定パラメータを管理します。
例
次に、トラストポイント central を管理するために CA トラストポイント モードを開始する例を示します。
関連コマンド
|
|
|
|---|---|
手動エンロールメント要求に対する応答として CA から戻された証明書をインストールします。また、トラストポイントに PKS12 データをインポートします。 |
crypto dynamic-map match address
ダイナミック暗号マップ エントリを定義するには、グローバル コンフィギュレーション モードで crypto dynamic-map match address コマンドを使用します。暗号マップ エントリからアクセス リストを削除するには、このコマンドの no 形式を使用します。このコマンドの追加情報については、 crypto map match address コマンドを参照してください。
crypto dynamic-map dynamic-map-name dynamic-seq-num match address acl_name
no crypto dynamic-map dynamic-map-name dynamic-seq-num match address acl_name
シンタックスの説明
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
例
次に、aclist1 という名前のアクセス リストのアドレスと照合する crypto dynamic-map コマンドの使用例を示します。
関連コマンド
|
|
|
|---|---|
crypto dynamic-map set peer
ダイナミック暗号マップ エントリを定義するには、グローバル コンフィギュレーション モードで crypto dynamic-map set peer コマンドを使用します。暗号マップ エントリからアクセス リストを削除するには、このコマンドの no 形式を使用します。このコマンドの追加情報については、 crypto map set peer コマンドを参照してください。
crypto dynamic-map dynamic-map-name dynamic-seq-num set peer ip_address | hostname
no crypto dynamic-map dynamic-map-name dynamic-seq-num set peer ip_address | hostname
シンタックスの説明
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
例
次に、IP アドレス 10.0.0.1 を、mymap という名前のダイナミック マップのピアとして設定する例を示します。
関連コマンド
|
|
|
|---|---|
crypto dynamic-map set pfs
ダイナミック暗号マップ エントリを定義するには、グローバル コンフィギュレーション モードで crypto dynamic-map set pfs コマンドを使用します。暗号マップ エントリからアクセス リストを削除するには、このコマンドの no 形式を使用します。このコマンドの追加情報については、 crypto map set pfs コマンドを参照してください。
crypto dynamic-map dynamic-map-name dynamic-seq-num set pfs [group1 | group2 | group5 | group 7]
no crypto dynamic-map dynamic-map-name dynamic-seq-num set pfs [group1 | group2 | group5 | group 7]
シンタックスの説明
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
match address 、 set peer 、および set pfs などの crypto dynamic-map コマンドは、 crypto map コマンドの項目で説明されています。ピアのネゴシエーション開始時にローカル コンフィギュレーションに PFS が指定されている場合、ピアは PFS 交換を実行する必要があります。実行しない場合、ネゴシエーションに失敗します。ローカル コンフィギュレーションにグループが指定されていない場合、FWSM はデフォルトの group2 を使用します。ローカル コンフィギュレーションに PFS が指定されていない場合、ピアからの PFS のオファーはすべて受け入れられます。
Cisco VPN クライアントと通信する場合、FWSM は PFS 値を使用せず、フェーズ 1 の実行中にネゴシエートされた値を使用します。
例
次に、mymap 10 というダイナミック暗号マップについて新しいセキュリティ アソシエーションをネゴシエートする場合、必ず PFS を使用するように指定する例を示します。指定グループは、group2 です。
関連コマンド
|
|
|
|---|---|
crypto dynamic-map set reverse route
ダイナミック暗号マップ エントリを定義するには、グローバル コンフィギュレーション モードで crypto dynamic-map set reverse route コマンドを使用します。暗号マップ エントリからアクセス リストを削除するには、このコマンドの no 形式を使用します。このコマンドの追加情報については、 crypto map set reverse-route コマンドを参照してください。
crypto dynamic-map dynamic-map-name dynamic-seq-num set reverse route
no crypto dynamic-map dynamic-map-name dynamic-seq-num set reverse route
シンタックスの説明
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
例
次に、mymap というダイナミック暗号マップの RRI をイネーブルにする例を示します。
関連コマンド
|
|
|
|---|---|
crypto dynamic-map set security-association lifetime
ダイナミック暗号マップ エントリを定義するには、グローバル コンフィギュレーション モードで crypto dynamic-map set security-association lifetime コマンドを使用します。暗号マップ エントリからアクセス リストを削除するには、このコマンドの no 形式を使用します。このコマンドの追加情報については、 crypto map set security-association lifetime コマンドを参照してください。
crypto dynamic-map dynamic-map-name dynamic-seq-num set security-association lifetime seconds seconds | kilobytes kilobytes
no crypto dynamic-map dynamic-map-name dynamic-seq-num set security-association lifetime seconds seconds | kilobytes kilobytes
シンタックスの説明
セキュリティ アソシエーションが期限切れになる前に、そのセキュリティ アソシエーションを使用してピア間で通信できるトラフィック量（キロバイト）を指定します。デフォルトは、4,608,000 KB です。 |
|
デフォルト
kilobytes のデフォルト値は 4,608,000 KB、seconds のデフォルト値は 28,800 秒です。
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
例
次に、mymap というダイナミック暗号マップのセキュリティ アソシエーションのライフタイムを秒数で指定する例を示します。
関連コマンド
|
|
|
|---|---|
crypto dynamic-map set transform-set
ダイナミック暗号マップ エントリを定義するには、グローバル コンフィギュレーション モードで crypto dynamic-map set transform-set コマンドを使用します。暗号マップ エントリからアクセス リストを削除するには、このコマンドの no 形式を使用します。このコマンドの追加情報については、 crypto map set transform-set コマンドを参照してください。
crypto dynamic-map dynamic-map-name dynamic-seq-num set transform-set transform-set-name1 [... transform-set-name9 ]
no crypto dynamic-map dynamic-map-name dynamic-seq-num set transform-set transform-set-name1 [... transform-set-name9 ]
シンタックスの説明
ダイナミック暗号マップ エントリに使用するトランスフォーム セット（ crypto ipsec コマンドで定義したトランスフォーム セットの名前）を指定します。 |
（注） ダイナミック暗号マップ エントリには、crypto map set transform-set コマンド が必要です。エントリに必要なのは、トランスフォーム セットだけです。
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
例
次に、mymap というダイナミック暗号マップに、2 つのトランスフォーム セット（tfset1 および tfset2）を指定する例を示します。
関連コマンド
|
|
|
|---|---|
crypto ipsec df-bit
IPSec パケットの Don't Fragment（DF）ビット ポリシーを設定するには、グローバル コンフィギュレーション モードで crypto ipsec df-bit コマンドを使用します。
crypto ipsec df-bit [ clear-df | copy-df | set-df ] interface
シンタックスの説明
（任意）外側の IP ヘッダーの DF ビットをクリアするように指定します。この場合、FWSM は、パケットを分割して、IPSec カプセル化に追加できます。 |
|
（任意）外側の IP ヘッダーの DF ビットを設定するように指定します。ただし、元のパケットの DF ビットがクリアされている場合、FWSM はパケットを分割することがあります。 |
|
デフォルト
このコマンドは、デフォルトではディセーブルです。このコマンドを、設定を指定せずにイネーブルにすると、FWSM は、デフォルトの copy-df 設定を使用します。
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
IPSec トンネルを使用した DF ビット機能により、FWSM で、カプセル化されたヘッダーの DF ビットをクリア、設定、またはコピーするかどうかを指定できます。IP ヘッダーの DF ビットは、デバイスによるパケット分割を許可するかどうかを決定します。
グローバル コンフィギュレーション モードで crypto ipsec df-bit コマンドを使用すると、FWSM で、カプセル化ヘッダー内の DF ビットを指定できます。
トンネル モードの IPSec トラフィックをカプセル化する場合には、DF ビットに clear-df 設定を使用します。この設定により、デバイスが使用可能な MTU（最大伝送ユニット）サイズより大きなパケットを送信できます。また、この設定は、使用可能な MTU サイズが不明な場合にも適しています。
例
次に、グローバル コンフィギュレーション モードで、IPSec DF ポリシーを clear-df に指定する例を示します。
関連コマンド
|
|
|
|---|---|
crypto ipsec fragmentation
IPSec パケットの分割ポリシーを設定するには、グローバル コンフィギュレーション モードで crypto ipsec fragmentation コマンドを使用します。
crypto ipsec fragmentation { after-encryption | before-encryption } interface
シンタックスの説明
FWSM が、カプセル化の実行後に IPSec パケットを最大 MTU（最大伝送ユニット）サイズに近いサイズに分割するように指定します（事前分割をディセーブルにします）。 |
|
FWSM が、カプセル化の実行前に IPSec パケットを最大 MTU サイズに近いサイズに分割するように指定します（事前分割をイネーブルにします）。 |
|
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
パケットが、暗号化するFWSMの発信リンクの MTU に近いサイズの場合、IPSec ヘッダーを付けてカプセル化すると、発信リンクの MTU サイズを超えることがあります。この場合、暗号化のあとでパケットが分割されるので、複号化するデバイスはプロセス パスを再構成する必要があります。IPSec VPN の事前分割を使用すると、複号化デバイスは、プロセス パスではなく高性能 CEF パスで動作するので、複号化デバイスのパフォーマンスが向上します。
IPSec VPN の事前分割では、暗号化デバイスは、IPSec SA の一部として設定されるトランスフォーム セットの情報から、カプセル化したあとのパケット サイズを事前に判別できます。パケットが出力インターフェイスの MTU を超えると判別した場合、デバイスは、暗号化する前にパケットを分割します。これにより、複号化する前のプロセス レベルの再構成が不要になるので、複号化のパフォーマンスが向上し、IPSec トラフィックの全般的なスループットも向上します。
例
次に、グローバル コンフィギュレーション モードで、インターフェイス上の IPSec パケットの事前分割をイネーブルにする例を示します。
次に、グローバル コンフィギュレーション モードで、インターフェイス上の IPSec パケットの事前分割をディセーブルにする例を示します。
関連コマンド
|
|
|
|---|---|
crypto ipsec security-association lifetime
グローバル ライフタイムの値を設定するには、グローバル コンフィギュレーション モードで、 crypto ipsec security-association lifetime コマンドを使用します。暗号 IPSec エントリのライフタイム値をデフォルト値にリセットするには、このコマンドの no 形式を使用します。
crypto ipsec security-association lifetime { seconds seconds | kilobytes kilobytes }
no crypto ipsec security-association lifetime { seconds seconds | kilobytes kilobytes }
シンタックスの説明
デフォルト
kilobytes のデフォルト値は 4,608,000 KB、seconds のデフォルト値は 28,800 秒です。
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
crypto ipsec security-association lifetime コマンドでは、IPSec セキュリティ アソシエーションのネゴシエーションに使用するグローバル ライフタイム値を変更します。
IPSecセキュリティ アソシエーションでは、共有秘密鍵を使用します。これらの鍵とセキュリティ アソシエーションは、同時にタイムアウトになります。
特定の暗号マップ エントリにライフタイム値が設定されていない場合、FWSM はネゴシエーション実行中に新しいセキュリティ アソシエーションを要求するときに、ピアへの要求にグローバル ライフタイム値を指定し、この値を新しいセキュリティ アソシエーションのライフタイムとして使用します。FWSMは、ピアからネゴシエーション要求を受信すると、ピアが指定したライフタイム値またはローカル設定のライフタイム値のうち、どちらか小さい値を新しいセキュリティ アソシエーションのライフタイムとして使用します。
ライフタイムは、2 種類あります。「期間」のライフタイム、および「トラフィック量」のライフタイムです。セキュリティ アソシエーションは、いずれかのライフタイムに到達した時点で期限切れになります。
FWSM では、暗号マップ、ダイナミック マップ、および IPSec 設定を、オンザフライで変更できます。この場合、FWSM は、変更によって影響を受ける接続だけをダウンします。たとえば、アクセス リスト内のエントリを削除して、暗号マップに関連付けられた既存のアクセス リストを変更した場合、関連する接続だけがダウンします。アクセス リスト内の他のエントリに基づく接続は、影響を受けません。
グローバル期間ライフタイムを変更するには、 crypto ipsec security-association lifetime seconds コマンドを使用します。期間ライフタイムを使用すると、指定した秒数が経過した時点で、セキュリティ アソシエーションがタイムアウトになります。
グローバル トラフィック量ライフタイムを変更するには、 crypto ipsec security-association lifetime kilobytes コマンドを使用します。トラフィック量ライフタイムを使用すると、指定したトラフィック量（キロバイト）がセキュリティ アソシエーションの鍵によって保護された時点で、セキュリティ アソシエーションがタイムアウトになります。
ライフタイムが短いほど、同じ鍵で暗号化されるデータ量は少なくなるので、攻撃者による鍵再現攻撃の可能性は低くなります。ただし、ライフタイムを短くするほど、新しいセキュリティ アソシエーションを確立するための CPU 処理時間は長くなります。
セキュリティ アソシエーション（および対応する鍵）は、指定された秒数またはトラフィック量（KB）のどちらかが先に経過した時点で、期限切れになります。
例
次に、セキュリティ アソシエーションのグローバル期間ライフタイムを指定する例を示します。
関連コマンド
|
|
|
|---|---|
crypto ipsec transform-set
トランスフォーム セットを定義するには、グローバル コンフィギュレーション モードで、 crypto ipsec transform-set コマンドを使用します。このコマンドを使用して、トランスフォーム セットが使用する IPSec 暗号化およびハッシュ アルゴリズムを指定します。トランスフォーム セットを削除するには、このコマンドの no 形式を使用します。
crypto ipsec map-name seq-num transform-set transform-set-name transform1 [transform2]
no crypto ipsec map-name seq-num transform-set transform-set-name
シンタックスの説明
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
トランスフォーム セットには、1 つまたは 2 つの IPSec セキュリティ プロトコルと、これらのセキュリティ プロトコルと併用するアルゴリズムを指定します。IPSec セキュリティ アソシエーションのネゴシエーション中に、両ピアは、特定のデータ フローを保護するときに特定のトランスフォーム セットを使用することに同意します。
IPSec メッセージは、128 ビット鍵、192 ビット鍵、または 256 ビット鍵の AES を使用するトランスフォーム セットによって保護できます。
AES により提供される鍵のサイズは大きいので、ISAKMP ネゴシエーションには、group 1 または group 2 ではなく、Diffie-Hellman group 5 を使用すべきです。この設定には、 isakmp policy priority group 5 コマンドを使用します。
複数のトランスフォーム セットを設定すると、暗号マップ エントリに 1 つ以上のトランスフォーム セットを指定できます。IPSec セキュリティ アソシエーションのネゴシエーションでは、暗号マップ エントリに定義されているトランスフォーム セットにより、その暗号マップ エントリのアクセス リストにより指定されたデータ フローが保護されます。ネゴシエーションの実行中に、2つのピアは、両ピアで一致しているトランスフォーム セットを検索します。同じトランスフォーム セットが検出されると、FWSM は、両ピアの IPSec セキュリティ アソシエーションの一環として、保護されるトラフィックにそのトランスフォーム セットを適用します。
各トランスフォーム セットには、暗号化または認証に使用するアルゴリズムが設定されています。IPSecセキュリティ アソシエーションのネゴシエーション中に特定のトランスフォーム セットを使用する場合には、トランスフォーム セット全体（プロトコル、アルゴリズム、およびその他の設定値の組み合わせ）が、リモート ピアのトランスフォーム セットと一致している必要があります。
トランスフォーム セットには、ESP 暗号化トランスフォームだけ、または ESP 暗号化トランスフォームと ESP 認証トランスフォームの両方を指定できます。
指定できるトランスフォームの組み合わせ例は、次のとおりです。
既存のトランスフォーム セットに対して、 crypto ipsec transform-set コマンドで 1 つまたは複数のトランスフォームを指定すると、既存のトランスフォームは、新しく指定したトランスフォームに置き換えられます。
例
次に、2 つのトランスフォーム セットを設定する例を示します。暗号化に DES、ハッシュ アルゴリズムとして SHA/HMAC-160 を使用する t1 というトランスフォーム セット、および暗号化に AES 192、ハッシュ アルゴリズムとして MD5/HMAC-128 を使用する standard というトランスフォーム セットです。
関連コマンド
|
|
|
|---|---|
crypto key generate dsa
ID 証明書用の DSA 鍵のペアを生成するには、グローバル コンフィギュレーション モードで、 crypto key generate dsa コマンドを使用します。
crypto key generate dsa { label key-pair-label } [ modulus size ] [ noconfirm ]
シンタックスの説明
（任意）鍵のペアに関連付けるモジュラ サイズ（512、768、1024）を指定します。デフォルトのモジュラス サイズは、1024 です。 |
|
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
crypto key generate dsa コマンドでは、SSL、SSH、および IPSec 接続をサポートする DSA 鍵のペアを生成します。生成した鍵のペアは、コマンド構文で指定したラベルによって識別されます。ラベルを指定しないと、FWSM によりエラー メッセージが表示されます。
例
次に、グローバル コンフィギュレーション モードで、mypubkey というラベルの DSA 鍵のペアを生成する例を示します。
次に、グローバル コンフィギュレーション モードで、mypubkey というラベルの DSA 鍵のペアを重複して生成しようとした場合の例を示します。
関連コマンド
|
|
|
|---|---|
crypto key generate rsa
ID 証明書用の RSA 鍵のペアを生成するには、グローバル コンフィギュレーション モードで、 crypto key generate rsa コマンドを使用します。
crypto key generate rsa [ usage-keys | general-keys ] [ label key-pair-label ] [ modulus size ] [ noconfirm ]
シンタックスの説明
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
crypto key generate rsa コマンドでは、SSL、SSH、および IPSec 接続をサポートする RSA 鍵のペアを生成します。生成した鍵のペアは、コマンド構文で指定したラベルによって識別されます。鍵のペアを参照しないトラストポイントには、デフォルトの <Default-RSA-Key> を使用できます。SSH 接続は、常にこの鍵を使用します。これは、SSL には影響しません。トラストポイントに設定されていない限り、SSL は独自の証明書/鍵をダイナミックに生成するからです。
例
次に、グローバル コンフィギュレーション モードで、mypubkey というラベルの RSA 鍵のペアを生成する例を示します。
次に、グローバル コンフィギュレーション モードで、mypubkey というラベルの RSA 鍵のペアを重複して生成しようとした場合の例を示します。
次に、グローバル コンフィギュレーション モードで、デフォルト ラベルの RSA 鍵のペアを生成する例を示します。
関連コマンド
|
|
|
|---|---|
crypto key zeroize
指定したタイプ（rsa または dsa）の鍵のペアを削除するには、グローバル コンフィギュレーション モードで、 crypto key zeroize コマンドを使用します。
crypto key zeroize { rsa | dsa } [ label key-pair-label ] [ default ] [ noconfirm ]
シンタックスの説明
（任意）指定したタイプ（rsa または dsa）の鍵のペアを削除します。ラベルを指定しない場合、FWSM は、指定されたタイプのすべての鍵のペアを削除します。 |
|
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
例
次に、グローバル コンフィギュレーション モードで、すべての RSA 鍵のペアを削除する例を示します。
関連コマンド
|
|
|
|---|---|
crypto map interface
定義済みの暗号マップ セットをインターフェイスに適用するには、グローバル コンフィギュレーション モードで、 crypto map interface コマンドを使用します。インターフェイスから暗号マップ セットを削除するには、このコマンドの no 形式を使用します。
crypto map map-name interface interface-name
no crypto map map-name interface interface-name
シンタックスの説明
FWSM が VPN ピアとトンネルを確立するために使用するインターフェイスを指定します。ISAKMP がイネーブルで、認証局を使用して証明書を取得している場合には、CA 証明書に指定されているアドレスのインターフェイスを指定する必要があります。 |
|
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、任意のアクティブなFWSM インターフェイスに、暗号マップ セットを割り当てます。FWSM は、任意またはすべてのアクティブ インターフェイス上で IPSec ターミネーションをサポートします。インターフェイスで IPSec サービスを提供するには、事前にインターフェイスに暗号マップ セットを割り当てる必要があります。
1 つのインターフェイスに割り当てることができる暗号マップ セットは、1 つだけです。 map-name が同じで、 seq-num が異なる複数の暗号マップ エントリがある場合、これらのエントリは同じセットに属し、すべてのエントリがインターフェイスに割り当てられます。FWSM は、 seq-num が最も小さい暗号マップ エントリを最初に評価します。
（注） FWSM では、暗号マップ、ダイナミック マップ、および IPSec 設定を、オンザフライで変更できます。この場合、FWSM は、変更によって影響を受ける接続だけをダウンします。たとえば、アクセス リスト内のエントリを削除して、暗号マップに関連付けられた既存のアクセス リストを変更した場合、関連する接続だけがダウンします。アクセス リスト内の他のエントリに基づく接続は、影響を受けません。
スタティックな暗号マップはすべて、アクセス リスト、トランスフォーム セット、および IPSec ピアの 3 つを定義している必要があります。いずれか 1 つが欠落していると、暗号マップは不完全であるとみなされ、FWSM は次のエントリに移動します。ただし、暗号マップがアクセス リストと一致し、他の 2 つの要件のいずれか、または両方と一致しない場合には、FWSM はトラフィックを廃棄します。
すべての暗号マップが完全であるかどうかを確認するには、show running-config crypto map コマンドを使用します。不完全な暗号マップを修正するには、その暗号マップを削除し、欠落しているエントリを追加してから、再び割り当てます。
例
次に、グローバル コンフィギュレーション モードで、外部インターフェイスに mymap という暗号マップ セットを割り当てる例を示します。FWSM は、この外部インターフェイスを通過するトラフィックを、mymap セット内のすべての暗号マップ エントリに対して評価します。発信トラフィックが、いずれかの mymap 暗号マップ エントリのアクセス リストと一致すると、FWSMは、その暗号マップ エントリの設定を使用してセキュリティ アソシエーションを形成します。
次に、最小限必要な暗号マップ コンフィギュレーションの例を示します。
関連コマンド
|
|
|
|---|---|
crypto map ipsec-isakmp dynamic
特定の暗号マップ エントリが、既存のダイナミック暗号マップを参照するように設定するには、グローバル コンフィギュレーション モードで、 crypto map ipsec-isakmp dynamic コマンドを使用します。クロス リファレンスを削除するには、このコマンドの no 形式を使用します。
[no] crypto map map-name seq-num ipsec-isakmp dynamic dynamic-map-name
シンタックスの説明
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
ダイナミック暗号マップ エントリを作成するには、 crypto dynamic-map コマンドを使用します。ダイナミック暗号マップ セットの作成後に、 crypto map ipsec-isakmp dynamic コマンドを使用して、ダイナミック暗号マップ セットをスタティック暗号マップに追加します。
暗号マップ エントリを定義したら、 crypto map interface コマンドを使用して、ダイナミック暗号マップ セットをインターフェイスに割り当てることができます。
ダイナミック暗号マップには、2 つの機能があります。保護対象トラフィックのフィルタリングと分類、およびトラフィックに適用するポリシーの定義です。最初の機能はインターフェイス上のトラフィック フローに影響して、2 つめの機能はトラフィックに対して実行される（IKE による）ネゴシエーションに影響します。
IPSec ダイナミック暗号マップには、次の内容を設定します。
•
セキュリティ アソシエーションを確立する IPSec ピア
• 鍵およびセキュリティ アソシエーションの使用または管理方法
暗号マップ セットは、マップ名が同じで、シーケンス番号（seq-num）が異なる暗号マップ エントリの集合です。したがって、特定のインターフェイス上で、指定のセキュリティを適用した特定のトラフィックを 1 つのピアに転送し、異なる IPSec セキュリティを適用した他のトラフィックを同じ、または異なるピアに転送できます。これを実行するには、マップ名が同じで、シーケンス番号が異なる 2 つの暗号マップ エントリを作成します。
seq-num 引数に割り当てる番号は、任意の値ではありません。この番号により、暗号マップ セット内の複数の暗号マップ エントリがランク付けされます。暗号マップ エントリは、シーケンス番号が低いものから順番に評価されます。つまり、番号の低いマップ エントリのほうが優先順位が高くなります。
（注） ダイナミック暗号マップに暗号マップをリンクする場合には、ダイナミック暗号マップを指定する必要があります。暗号マップは、crypto dynamic-map コマンドによって定義された既存のダイナミック暗号マップにリンクされます。変換後に行った暗号マップ エントリの変更は、反映されません。たとえば、ピア設定を変更しても、反映されません。ただし、FWSM がアップのあいだは、変更内容が保管されています。ダイナミック暗号マップを暗号マップに戻すと、変更が反映され、show running-config crypto map コマンドの出力に表示されます。これらの設定は、FWSM がリブートされるまで保持されます。
例
次に、グローバル コンフィギュレーション モードで、mymap という暗号マップが test というダイナミック暗号マップを参照するように設定する例を示します。
関連コマンド
|
|
|
|---|---|
crypto map match address
暗号マップ エントリにアクセス リストを割り当てるには、グローバル コンフィギュレーション モードで、 crypto map match address コマンドを使用します。暗号マップ エントリからアクセス リストを削除するには、このコマンドの no 形式を使用します。
crypto map map-name seq-num match address acl_name
no crypto map map-name seq-num match address acl_name
シンタックスの説明
暗号化アクセス リストの名前を指定します。この名前は、照合する暗号化アクセス リストの name 引数の名前と一致している必要があります。 |
|
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、すべてのスタティック暗号マップ エントリに必要です。 crypto dynamic-map コマンドを使用してダイナミック暗号マップ エントリを定義する場合には、このコマンドは必須ではありませんが、使用することを強く推奨します。アクセス リストを定義するには、 access-list コマンドを使用します。
IPSec は、アクセス リストを使用して、IPSec 暗号により保護するトラフィックと、保護が不要なトラフィックとを判別します（アクセスリストにより許可されたトラフィックは、保護されます。アクセス リストにより拒否されたトラフィックは、対応する暗号マップ エントリに関しては保護されません）。
（注） 暗号アクセス リストは、トラフィックのインターフェイス通過を許可するか、拒否するかは判別しません。この判別を行うのは、access-group コマンドにより、インターフェイスに直接割り当てるアクセス リストです。
透過モードでは、宛先アドレスは、FWSM の IP アドレス（管理アドレス）でなければなりません。透過モードで許可されるのは、FWSM へのトンネルだけです。
関連コマンド
|
|
|
|---|---|
crypto map set connection-type
暗号マップ エントリの Backup Site-to-Site（サイト間バックアップ）機能の接続タイプを指定するには、グローバル コンフィギュレーション モードで、 crypto map set connection-type コマンドを使用します。デフォルトの設定に戻すには、このコマンドの no 形式を使用します。
crypto map m ap-name seq-num set connection-type {answer-only | originate-only | bidirectional}
no crypto map map-name seq-num set connection-type {answer-only | originate-only | bidirectional}
シンタックスの説明
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
例
次に、グローバル コンフィギュレーション モードで、mymap という暗号マップを設定して接続タイプを双方向に設定する例を示します。
関連コマンド
|
|
|
|---|---|
crypto map set peer
暗号マップ エントリの IPSec ピアを指定するには、グローバル コンフィギュレーション モードで、 crypto map set peer コマンドを使用します。暗号マップ エントリから IPSec ピアを削除するには、このコマンドの no 形式を使用します。
crypto map map-name seq-num set peer { ip_address | hostname }{... ip_address | hostname10 }
no crypto map map-name seq-num set peer { ip_address | hostname }{... ip_address | hostname10 }
シンタックスの説明
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、すべてのスタティック暗号マップに必要です。 crypto dynamic-map コマンドを使用してダイナミック暗号マップを定義する場合には、このコマンドは必須ではありません。通常、ピアは不明なので、ほとんどの場合、このコマンドを使用しません。
LAN と LAN を接続する場合には、originator-only 接続タイプに限り、複数のピアを指定できます。複数ピアを設定することは、フォールバック リストを提供することと同じです。各トンネルについて、FWSM は、リストの最初のピアとネゴシエーションを試みます。そのピアが応答しない場合、FWSM は、いずれかのピアが応答するか、リストの最後のピアに到達するまで、リストされている順序でピアとのネゴシエーションを試みます。複数のピアを設定できるのは、LAN-to-LAN バックアップ機能（originate-only タイプの暗号マップ）を使用する場合だけです。
例
次に、グローバル コンフィギュレーション モードで、セキュリティ アソシエーションの確立に IKE を使用し、暗号マップを設定する例を示します。この例では、ピア 10.0.0.1 またはピア 10.0.0.2 のどちらかと、セキュリティ アソシエーションを確立できます。
関連コマンド
|
|
|
|---|---|
crypto map set pfs
暗号マップ エントリの新しいセキュリティ アソシエーションを要求する場合、または新しいセキュリティ アソシエーションの要求を受信する場合に、IPSec が Perfect Forward Secrecy（PFS）を要求するように設定するには、グローバル コンフィギュレーション モードで、 crypto map set pfs コマンドを使用します。IPSec が PFS を要求しないようにするには、このコマンドの no 形式を使用します。
crypto map map-name seq-num set pfs [group1 | group2 | group5 | group7]
no crypto map map-name seq-num set pfs [group1 | group2 | group5 | group7]
シンタックスの説明
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
PFSを使用すると、新しいセキュリティ アソシエーションをネゴシエートするごとに新しい
Diffie-Hellman 交換が実行されるので、処理時間が長くなります。また、PFS を使用すると、1 つの鍵が攻撃者によって破壊されても、影響を受けるのは、その鍵によって送信されたデータだけなので、セキュリティ レベルが高くなります。
このコマンドを使用すると、ネゴシエーションの実行中、暗号マップ エントリの新しいセキュリティ アソシエーションを要求するときに、IPSec は PFS を要求します。 set pfs ステートメントにグループを指定しない場合、FWSM は、デフォルトの group2 を使用します。
ピアのネゴシエーション開始時にローカル コンフィギュレーションに PFS が指定されている場合、ピアは PFS 交換を実行する必要があります。実行しない場合、ネゴシエーションに失敗します。ローカル コンフィギュレーションにグループが指定されていない場合、FWSM はデフォルトの group2 を使用します。ローカル コンフィギュレーションに group2、group5、group7 が指定されている場合、そのグループがピアのオファーに含まれている必要があります。含まれていない場合、ネゴシエーションに失敗します。
ネゴシエーションを成功させるには、両端に PFS が設定されている必要があります。また、設定されている場合、グループが正確に一致している必要があります。FWSM は、ピアからの PFS オファーをすべて受け入れるわけではありません。
1536 ビット Diffie-Hellman プライム モジュラス グループ（group5）は、group1 または group2 よりも高いセキュリティを提供しますが、処理時間は他のグループよりも長くなります。
Diffie-Hellman Group7 は、楕円曲線フィールドのサイズが 163 ビットの IPSec SA 鍵を生成します。このオプションは、任意の暗号化アルゴリズムと併用できます。このオプションは、movian VPN クライアントを対象としたものですが、Group7（ECC）をサポートする任意のピアを併用できます。
Cisco VPN クライアントと通信する場合、FWSM は PFS 値を使用せず、フェーズ 1 の実行中にネゴシエートされた値を使用します。
例
次に、グローバル コンフィギュレーション モードで、暗号マップ mymap 10 の新しいセキュリティ アソシエーションをネゴシエートするときに、必ず PFS を使用するように設定する例を示します。
関連コマンド
|
|
|
|---|---|
crypto map set phase1 mode
接続開始時のフェーズ 1 の IKE モードを main または aggressive のどちらかに指定するには、グローバル コンフィギュレーション モードで、 crypto map set phase1mode コマンドを使用します。フェーズ 1 IKE ネゴシエーションの設定を削除するには、このコマンドの no 形式を使用します。aggressive モードでの Diffie-Hellman グループの指定は、任意です。指定しない場合、FWSM は group2 を使用します。
crypto map map-name seq-num set phase1mode {main | aggressive [group1 | group2 | group5 | group7]}
no crypto map map-name seq-num set phase1mode {main | aggressive [group1 | group2 | group5 | group7]}
シンタックスの説明
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次に、グローバル コンフィギュレーション モードで、暗号マップ mymap のフェーズ 1 モードを aggressive に設定し、group2 を使用するように指定する例を示します。
関連コマンド
|
|
|
|---|---|
crypto map set reverse-route
暗号マップ エントリに基づくすべての接続に対して、Reverse Route Injection（RRI）をイネーブルにするには、グローバル コンフィギュレーション モードで、 crypto map set reverse-route コマンドを使用します。暗号マップ エントリに基づくすべての接続について、RRI をディセーブルにするには、このコマンドの no 形式を使用します。
crypto map map-name seq-num set reverse-route
no crypto map map-name seq-num s et reverse-route
シンタックスの説明
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
FWSM では、ルーティング テーブルにスタティック ルートを自動的に追加し、OSPF を使用して、これらのルートをプライベート ネットワークまたは境界ルータに通知できます。
例
次に、グローバル コンフィギュレーション モードで、mymap という暗号マップの RRI をイネーブルに設定する例を示します。
関連コマンド
|
|
|
|---|---|
crypto map set security-association lifetime
（特定の暗号マップ エントリについて）IPSec セキュリティ アソシエーションをネゴシエートするときに使用するグローバル ライフタイム値を上書きするには、グローバル コンフィギュレーション モードで crypto map set security-association lifetime コマンドを使用します。暗号マップ エントリのライフタイム値をグローバル値にリセットするには、このコマンドの no 形式を使用します。
crypto map map-name seq-num set security-association lifetime { seconds seconds | kilobytes kilobytes }
no crypto map map-name seq-num set security-association lifetime { seconds seconds | kilobytes kilobytes }
シンタックスの説明
セキュリティ アソシエーションが期限切れになる前に、そのセキュリティ アソシエーションを使用してピア間で通信できるトラフィック量（キロバイト）を指定します。 |
|
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
暗号マップのセキュリティ アソシエーションは、グローバル ライフタイム値に基づいてネゴシエートされます。
IPSecセキュリティ アソシエーションでは、共有秘密鍵を使用します。これらの鍵とセキュリティ アソシエーションは、同時にタイムアウトになります。
特定の暗号マップ エントリにライフタイム値が設定されている場合、FWSM は、セキュリティ アソシエーションのネゴシエーション中に新しいセキュリティ アソシエーションを要求するときに、ピアへの要求にその暗号マップのライフタイム値を指定し、この値を新しいセキュリティ アソシエーションのライフタイムとして使用します。FWSM は、ピアからネゴシエーション要求を受信すると、ピアが指定したライフタイム値またはローカル設定のライフタイム値のうち、どちらか小さい値を新しいセキュリティ アソシエーションのライフタイムとして使用します。
ライフタイムは、2 種類あります。「期間」のライフタイム、および「トラフィック量」のライフタイムです。セッション鍵およびセキュリティ アソシエーションは、どちらかのライフタイムが先に到達した時点で期限切れになります。1 つのコマンドで、両方のライフタイムを指定できます。
（注） FWSM では、暗号マップ、ダイナミック マップ、および IPSec 設定を、オンザフライで変更できます。この場合、FWSM は、変更によって影響を受ける接続だけをダウンします。たとえば、アクセス リスト内のエントリを削除して、暗号マップに関連付けられた既存のアクセス リストを変更した場合、関連する接続だけがダウンします。アクセス リスト内の他のエントリに基づく接続は、影響を受けません。
期間ライフタイムを変更するには、 crypto map set security-association lifetime seconds コマンドを使用します。期間ライフタイムを使用すると、指定した秒数が経過した時点で、鍵およびセキュリティ アソシエーションがタイムアウトになります。
例
次に、グローバル コンフィギュレーション モードで、暗号マップ mymap のセキュリティ アソシエーション ライフタイムを秒数およびキロバイトで指定する例を示します。
関連コマンド
|
|
|
|---|---|
crypto map set transform-set
暗号マップ エントリに使用するトランスフォーム セットを指定するには、グローバル コンフィギュレーション モードで、 crypto map set transform-set コマンドを使用します。指定したトランスフォーム セットを暗号マップ エントリから削除するには、このコマンドの no 形式を使用します。
crypto map map-name seq-num set transform-set transform-set-name1 [... transform-set-name9 ]
no crypto map map-name seq-num set transform-se t transform-set-name1 [... transform-set-name9 ]
シンタックスの説明
暗号マップに使用するトランスフォーム セットを、 crypto ipsec |
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
ローカルFWSM がネゴシエーションを開始する場合、トランスフォーム セットは crypto map コマンド ステートメントで指定した順序でピアに提示されます。ピアがネゴシエーションを開始する場合、ローカル FWSM は、暗号マップ エントリに指定されているトランスフォーム セットのいずれかに最初に一致したトランスフォーム セットを受け入れます。
両方のピアで最初に一致したトランスフォーム セットが、セキュリティ アソシエーションに使用されます。一致するトランスフォーム セットがない場合、IPSec はセキュリティ アソシエーションを確立しません。トラフィックを保護するセキュリティ アソシエーションが存在しないので、トラフィックは廃棄されます。
トランスフォーム セットのリストを変更する場合には、新しいトランスフォーム セットのリストを再指定し、既存のリストを置換します。変更が適用されるのは、そのトランスフォーム セットを参照する crypto map コマンド ステートメントだけです。
crypto map コマンド ステートメントに含めるトランスフォーム セットはすべて、 crypto ipsec transform-set コマンドを使用して事前に定義しておく必要があります。
例
次に、グローバル コンフィギュレーション モードで、暗号マップ mymap に 2 つのトランスフォーム セット（tfset1 および tfset2）を指定する例を示します。
次に、グローバル コンフィギュレーション モードを開始して、FWSM が IKE を使用してセキュリティ アソシエーションを確立するときに最小限必要な暗号マップ コンフィギュレーションを示します。
関連コマンド
|
|
|
|---|---|
crypto map set trustpoint
暗号マップ エントリのフェーズ 1 ネゴシエーションの実行中に、認証用として送信する証明書を識別するトラストポイントを指定するには、グローバル コンフィギュレーション モードで、 crypto map set trustpoint コマンドを使用します。暗号マップ エントリからトラストポイントを削除するには、このコマンドの no 形式を使用します。
crypto map map-name seq-num set trustpoint trustpoint-name [ chain]
nocrypto map map-name seq-num set trustpoint trustpoint-name [chain]
シンタックスの説明
（任意）証明書チェーンを送信します。CA 証明書チェーンには、ルート証明書から ID 証明書までの証明書階層における、すべての CA 証明書が含まれます。デフォルトの値はディセーブル（チェーンなし）です。 |
|
デフォルト
コマンド モード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
この crypto map コマンドは、接続の開始に対してのみ有効です。応答側の情報については、 tunnel-group コマンドを参照してください。
例
次に、グローバル コンフィギュレーション モードで、暗号マップ mymap にトラストポイント tpoint 1 を指定し、証明書チェーンを含める例を示します。
関連コマンド
|
|
|
|---|---|
フィードバック