j – k

java-trustpoint(廃止)

指定したトラストポイントの場所から PKCS12 証明書およびキー関連情報を使用するように WebVPN Java オブジェクト署名機能を設定するには、webvpn コンフィギュレーション モードで java-trustpoint コマンドを使用します。Java オブジェクト署名のトラストポイントを削除するには、このコマンドの no 形式を使用します。

java-trustpointtrustpoint

no java-trustpoint

構文の説明

トラストポイント

crypto ca import コマンドで設定したトラストポイントの場所を指定します。

コマンド デフォルト

デフォルトでは、Java オブジェクト署名のトラストポイントは none に設定されています。

コマンド モード

次の表に、コマンドを入力できるモードを示します。

コマンドモード

ファイアウォールモード

セキュリティコンテキスト

ルーテッド

トランスペアレント

シングル

マルチ

コンテキスト

システム

webvpn コンフィギュレーション

  • 対応

  • 対応

コマンド履歴

リリース

変更内容

7.1(2)

このコマンドが追加されました。

9.17(1)

Web VPN のサポートが終了したため、このコマンドは廃止されました。

使用上のガイドライン

トラストポイントは、認証局(CA)または ID キー ペアを表します。java-trustpoint コマンドの場合、指定したトラストポイントにはアプリケーション署名エンティティの X.509 証明書、その証明書に対応する RSA 秘密鍵、ルート CA までの認証局チェーンを含める必要があります。通常は、crypto ca import コマンドを使用して PKCS12 形式のバンドルをインポートします。PKCS12 バンドルは、信頼できる CA 認証局から入手するか、openssl といったオープン ソース ツールを使用して既存の X.509 証明書と RSA 秘密キーから手動で作成できます。


(注)  


アップロードされた証明書は、パッケージ(CSD パッケージなど)に組み込まれた Java オブジェクトの署名には使用できません。

次に、最初に新しいトラストポイントを設定してから、そのトラストポイントを WebVPN Java オブジェクト署名用に設定する例を示します。


ciscoasa(config)# crypto ca import mytrustpoint pkcs12 mypassphrase
Enter the base 64 encoded PKCS12.
End with the word “quit” on a line by itself.
[ PKCS12 data omitted ]
quit
INFO: Import PKCS12 operation completed successfully.
ciscoasa(config)#

次に、WebVPN Java オブジェクトに署名する新しいトラストポイントを設定する例を示します。


ciscoasa(config)# webvpn
ciscoasa(config)# java-trustpoint mytrustpoint
ciscoasa(config)# 

join-failover-group

コンテキストをフェールオーバーグループに割り当てるには、コンテキスト コンフィギュレーション モードで join-failover-group コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。

join-failover-groupgroup_num

no join-failover-group group_num

構文の説明

group_num

フェールオーバー グループの番号を指定します。

コマンド デフォルト

フェールオーバー グループ 1。

コマンド モード

次の表に、コマンドを入力できるモードを示します。

コマンドモード

ファイアウォールモード

セキュリティコンテキスト

ルーテッド

トランスペアレント

シングル

マルチ

コンテキスト

システム

コンテキスト コンフィギュレーション

  • 対応

  • 対応

  • 対応

コマンド履歴

リリース

変更内容

7.0(1)

このコマンドが追加されました。

使用上のガイドライン

管理コンテキストは、常にフェールオーバー グループ 1 に割り当てられます。フェールオーバーグループとコンテキスト アソシエーションを表示するには、show context detail コマンドを使用できます。

コンテキストをフェールオーバーグループに割り当てる前に、failover group コマンドを使用して、フェールオーバーグループをシステムコンテキスト内に作成する必要があります。このコマンドは、コンテキストがアクティブ状態になっているユニット上で入力します。デフォルトでは、未割り当てのコンテキストは、フェールオーバー グループ 1 のメンバーになっています。そのため、コンテキストがまだフェールオーバー グループに割り当てられていない場合は、フェールオーバー グループ 1 がアクティブ状態になっているユニット上で、このコマンドを入力する必要があります。

システムからフェールオーバーグループを削除するには、事前に no join-failover-group コマンドを使用して、フェールオーバーグループからコンテキストをすべて削除しておく必要があります。

次に、ctx1 というコンテキストをフェールオーバー グループ 2 に割り当てる例を示します。


ciscoasa(config)# context ctx1
ciscoasa(config-context)# join-failover-group 2
ciscoasa(config-context)# exit

jumbo-frame reservation

ジャンボフレームをサポート対象のモデルで有効にするには、グローバル コンフィギュレーション モードで jumbo-frame reservation コマンドを使用します。ジャンボフレームを無効にするには、このコマンドの no 形式を使用します。


(注)  


この設定を変更した場合は、ASA のリブートが必要です。

jumbo-frame reservation

no jumbo-frame reservation

構文の説明

このコマンドには引数またはキーワードはありません。

コマンド デフォルト

ジャンボフレームの予約は、ASA ハードウェア、ASA 仮想、および ISA 3000 では、デフォルトで無効になっています。

ジャンボフレームは、他のモデルではデフォルトでサポートされています。

コマンド モード

次の表に、コマンドを入力できるモードを示します。

コマンドモード

ファイアウォールモード

セキュリティコンテキスト

ルーテッド

トランスペアレント

シングル

マルチ

コンテキスト

システム

グローバル コンフィギュレーション

  • 対応

  • 対応

  • 対応

  • 対応

コマンド履歴

リリース

変更内容

8.1(1)

このコマンドが ASA 5580 に追加されました。

8.2(5)/8.4(1)

ASA 5585-X のサポートが追加されました。

8.6(1)

ASA 5512-X ~ ASA 5555-X のサポートが追加されました。

9.3(2)

ASA 5506-X のサポートが追加されました。

9.3(3)

ASA 5508-X および 5516-X のサポートが追加されました。

使用上のガイドライン

この手順は、ASA ハードウェアモデル、ISA 3000、および ASA 仮想 にのみ適用できます。その他のモデルは、デフォルトでジャンボフレームをサポートしています。

ジャンボフレームは、8GB RAM 未満の ASAv5 および ASAv10 ではサポートされません。

ジャンボ フレームとは、標準的な最大値 1518 バイト(レイヤ 2 ヘッダーおよび VLAN タギングの 18 バイトを含む)より大きく、9216 バイトまでのイーサネット パケットのことです。mtu コマンドは payload 値のみを指定するため、9216 バイトのジャンボフレームについては MTU が 9198(ヘッダーの場合は 9216 ~ 18 バイト)になるように設定する必要があります。

ジャンボ フレームをサポートするには追加のメモリが必要となるため、アクセス リストなどの他の機能の最大使用量が制限される可能性があります。

ジャンボ フレームは管理 n /n インターフェイスではサポートされません。

ジャンボフレームを送信する必要のある各インターフェイスの MTU を、デフォルト値の 1500 より大きい値に設定してください。たとえば、mtu コマンドを使用して値を 9198 に設定します。ASASM では、デフォルトでジャンボフレームがサポートされるため、 jumbo-frame reservation コマンドを設定する必要はありません。MTU の値の設定だけ行ってください。

また、ジャンボ フレームを使用する場合は、TCP の最大セグメント サイズ(MSS)の値を設定してください。MSS は、MTU より 120 バイト小さい値に設定する必要があります。たとえば、MTU を 9000 に設定した場合、MSS は 8880 に設定する必要があります。MSS は、sysopt connection tcpmss コマンドで設定できます。

フェールオーバー ペアでジャンボ フレームがサポートされるようにするには、プライマリ ユニットとセカンダリ ユニットの両方をリブートする必要があります。ダウン時間を回避するには、次の手順を実行します。

  • アクティブ ユニットでコマンドを発行します。

  • アクティブ ユニットで実行コンフィギュレーションを保存します。

  • プライマリ ユニットとセカンダリ ユニットを 1 つずつリブートします。

次に、ジャンボ フレームの予約をイネーブルにし、コンフィギュレーションを保存して ASA をリロードする例を示します。


ciscoasa(config)# jumbo-frame reservation
WARNING: this command will take effect after the running-config is saved
and the system has been rebooted. Command accepted. 
ciscoasa(config)# write memory
Building configuration...
Cryptochecksum: 718e3706 4edb11ea 69af58d0 0a6b7cb5 
70291 bytes copied in 3.710 secs (23430 bytes/sec)
[OK]
ciscoasa(config)# reload
Proceed with reload? [confirm] Y

kcd-server

クライアントレス SSL リモートアクセス VPN の Kerberos Constrained Delegation(KCD)を設定するには、webvpn コンフィギュレーション モードで kcd-server コマンドを使用します。KCD を無効にするには、このコマンドの no 形式を使用します。

kcd-server aaa-server-group_name username user_id password password [ validate-server-certificate ]

no kcd-server

構文の説明

username

管理者またはサービスレベル特権を持つ Active Directory ユーザーを指定して、デバイスをドメインに追加します。

パスワード

ユーザーのパスワードを指定します。

validate-server-certificate

(任意)ドメインを結合するときにサーバー証明書およびサーバーの ID を検証するように ASA に指示します。このオプションを省略すると、システムはドメインコントローラが有効であると見なします。

コマンド デフォルト

デフォルトの動作や値はありません。

コマンド モード

次の表に、コマンドを入力できるモードを示します。

コマンドモード

ファイアウォールモード

セキュリティコンテキスト

ルーテッド

トランスペアレント

シングル

マルチ

コンテキスト

システム

webvpn コンフィギュレーション

  • 対応

  • 対応

コマンド履歴

リリース

変更内容

8.4(1)

このコマンドが追加されました。

9.15(1)

validate-server-certificate キーワードが追加されました。

使用上のガイドライン

Active Directory ドメインに参加できるように ASA を設定するには、webvpn コンフィギュレーション モードで kcd-server コマンドを使用します。ドメインコントローラの名前とレルムは aaa-server-groupname コマンドで指定します。AAA サーバーグループのタイプは Kerberos サーバーにする必要があります。username オプションと password オプションは、管理者特権を持つユーザーには対応しませんが、ドメインコントローラのサービスレベル特権を持つユーザーに対応する必要があります。既存の設定を表示するには、show webvpn kcd コマンドを使用します。

ASA 環境の Kerberos Constrained Delegation(KCD)は、ケルベロスで保護されているすべての Web サービスへのシングルサインオン(SSO)アクセスをクライアントレス SSL リモートアクセス VPN ユーザーに提供します。ユーザーの代わりに ASA でログイン情報(サービスチケット)を管理し、そのチケットを使用してサービスに対してユーザーを認証します。

kcd-server コマンドを機能させるために、ASA はソースドメイン(ASA が常駐するドメイン)とターゲットまたはリソースドメイン(Web サービスが常駐するドメイン)間の信頼関係を確立する必要があります。ASA は、サービスにアクセスするリモートアクセスユーザーの代わりに、ソースから宛先ドメインへの認証パスを横断し、必要なチケットを取得します。

このパスのことをクロスレルム認証と呼びます。クロスレルム認証の各フェーズにおいて、ASA は特定のドメインのクレデンシャルおよび後続ドメインとの信頼関係に依存しています。

また、KCD の設定では、ドメインコントローラを DNS サーバー(たとえば、DefaultDNS グループ)として設定し、ドメインコントローラが到達できるインターフェイスで DNS ルックアップをイネーブルにする必要があります。

次に、KCD の設定例を示します。ドメインコントローラは 10.1.1.10(内部インターフェイスで到達可能)、ドメイン名は PRIVATE.NET です。また、ドメインコントローラのサービスアカウントのユーザー名は dcuser、パスワードは dcuser123! です。


----Enable a DNS lookup by configuring the DNS server and Domain name --------------
ciscoasa
(config)# 
dns domain-lookup inside
ciscoasa
(config)# 
dns server-group DefaultDNS
ciscoasa
(config-dns-server-group)# 
name-server 10.1.1.10
ciscoasa
(config-dns-server-group)# 
domain-name
private.net
----Configure the AAA server group with Server and Realm------------------------------
ciscoasa
(config)# 
aaa-server KerberosGroup protocol Kerberos
ciscoasa
(config-asa-server-group)# 
aaa-server KerberosGroup (inside) host 10.1.1.10
ciscoasa
(config-asa-server-group)# 
kerberos-realm PRIVATE.NET
----Enable KCD------------------------------
ciscoasa
(config)# 
webvpn
ciscoasa
(config-webvpn)# 
kcd-server KerberosGroup username dcuser password dcuser123! 
validate-server-certificate

keepout

(ASA のメンテナンスまたはトラブルシューティングの実行中に)新しいユーザーセッションのログインページではなく、管理者定義のメッセージを表示するには、webvpn コンフィギュレーション モードで keepout コマンドを使用します。以前に設定された立ち入り禁止ページを削除するには、このコマンドの no 形式を使用します。

keepout

no keepout string

構文の説明

string

二重引用符で囲んだ英数字ストリング。

コマンド デフォルト

立ち入り禁止ページはありません。

コマンド モード

次の表に、コマンドを入力できるモードを示します。

コマンドモード

ファイアウォールモード

セキュリティコンテキスト

ルーテッド

トランスペアレント

シングル

マルチ

コンテキスト

システム

webvpn コンフィギュレーション

  • 対応

  • 対応

コマンド履歴

リリース

変更内容

8.0(2)

このコマンドが追加されました。

使用上のガイドライン

このコマンドがイネーブルにされると、クライアントレスの WebVPN ポータル ページが使用不可になります。ポータルのログイン ページではなく、ポータルが使用不可であることを通知する管理者定義メッセージが表示されます。クライアントレスアクセスは無効にし、AnyConnect アクセスは許可するには、keepout コマンドを使用します。また、このコマンドを使用して、メンテナンス中のためポータルが使用不可であることを示すこともできます。


(注)  


HostScan がインストールされている場合、立ち入り禁止機能は、ASA が Cisco Secure Desktop ポータルなどのページを開くことを停止しません。Cisco Secure Desktop ポートを回避するには、HostScan をアンインストールする必要があります。


次に、立ち入り禁止ページを設定する例を示します。


ciscoasa
(config)# 
webvpn
ciscoasa
(config-webvpn)#
 keepout “The system is unavailable until 7:00 a.m. EST.”
ciscoasa(config-webvpn)#

kerberos-realm

このケルベロスサーバーのレルム名を指定するには、AAA サーバー ホスト コンフィギュレーション モードで kerberos-realm コマンドを使用します。レルム名を削除するには、このコマンドの no 形式を使用します。

kerberos-realmstring

no kerberos-realm

構文の説明

string

大文字と小文字が区別される最大 64 文字の英数字ストリング。ストリングにスペースは使用できません。

(注)  

 
Kerberos レルム名では数字と大文字だけを使用します。ASA では、string 引数に小文字のアルファベットを使用できますが、小文字は大文字に変換されません。大文字だけを使用してください。

コマンド デフォルト

デフォルトの動作や値はありません。

コマンド モード

次の表に、コマンドを入力できるモードを示します。

コマンドモード

ファイアウォールモード

セキュリティコンテキスト

ルーテッド

トランスペアレント

シングル

マルチ

コンテキスト

システム

AAA サーバー ホスト コンフィギュレーション

  • 対応

  • 対応

  • 対応

  • 対応

コマンド履歴

リリース

変更内容

7.0(1)

このコマンドが追加されました。

使用上のガイドライン

このコマンドは、Kerberos サーバに対してのみ有効です。

Microsoft Windows の set USERDNSDOMAIN コマンドをケルベロスレルムの Windows 2000 Active Directory サーバー上で実行する場合は、 string 引数の値をこのコマンドの出力と一致させる必要があります。次の例では、EXAMPLE.COM が Kerberos レルム名です。


C:\>set USERDNSDOMAIN
USERDNSDOMAIN=EXAMPLE.COM

string 引数には、数字と大文字のアルファベットのみを使用する必要があります。kerberos-realm コマンドでは、大文字と小文字が区別されます。また、ASA では小文字は大文字に変換されません。

次のシーケンスは、AAA サーバーホストの設定に関するコンテキストでケルベロスレルムを「EXAMPLE.COM」に設定するための kerberos-realm コマンドを示しています。


ciscoasa
(config)# aaa-server svrgrp1 protocol kerberos
ciscoasa
(config-aaa-server-group)# aaa-server svrgrp1 host 1.2.3.4
ciscoasa
(config-aaa-server-host)# timeout 9
ciscoasa
(config-aaa-server-host)# retry 7
ciscoasa
(config-aaa-server-host)# kerberos-realm EXAMPLE.COM
ciscoasa
(config-aaa-server-host)# 
exit
ciscoasa
(config)#

key(AAA サーバー ホスト)

AAA サーバーに対して NAS を認証するために使用されるサーバーシークレットの値を指定するには、AAA サーバー ホスト コンフィギュレーション モードで key コマンドを使用します。AAA サーバー ホスト コンフィギュレーション モードには、AAA サーバー プロトコル コンフィギュレーション モードからアクセスできます。キーを削除するには、このコマンドの no 形式を使用します。

key [ 0 | 8 ] key

no key

構文の説明

key

最大 127 文字の英数字キーワード。オプションで、キーの前に暗号化を示す番号を追加できます。

  • 0 は、キーは暗号化されないことを意味します。これがデフォルトです。

  • 8 は、キーが AES で暗号化された Base64 ハッシュであることを意味します。

コマンド デフォルト

デフォルトの動作や値はありません。

コマンド モード

次の表に、コマンドを入力できるモードを示します。

コマンドモード

ファイアウォールモード

セキュリティコンテキスト

ルーテッド

トランスペアレント

シングル

マルチ

コンテキスト

システム

AAA サーバー ホスト コンフィギュレーション

  • 対応

  • 対応

  • 対応

  • 対応

コマンド履歴

リリース

変更内容

7.0(1)

このコマンドが追加されました。

使用上のガイドライン

key の値は、127 文字までの英数字で構成されているキーワードで、TACACS+ サーバー上のキーと同じ値にします。大文字と小文字は区別されます。127 を超える文字は無視されます。このキーは、クライアントとサーバーの間でやり取りするデータを暗号化するために使用されます。キーは、クライアント システムとサーバー システムの両方で同一である必要があります。キーにスペースは使用できませんが、その他の特殊文字は使用できます。キー(サーバーシークレット)の値で、ASA が AAA サーバーに対して認証されます。

このコマンドは、RADIUS サーバーと TACACS+ サーバーに対してのみ有効です。

次に、ホスト「1.2.3.4」に「srvgrp1」という TACACS+ AAA サーバーを設定し、タイムアウトを 9 秒、再試行間隔を 7 秒、キーを「myexclusivemumblekey」に設定する例を示します。


ciscoasa
(config)# aaa-server svrgrp1 protocol tacacs+
ciscoasa
(config-aaa-server-group)# aaa-server svrgrp1 host 1.2.3.4
ciscoasa
(config-aaa-server-host)# timeout 9
ciscoasa
(config-aaa-server-host)# retry-interval 7
ciscoasa
(config-aaa-server-host)# key myexclusivemumblekey

key(クラスタ グループ)

クラスタ制御リンクの制御トラフィックの認証キーを設定するには、クラスタ グループ コンフィギュレーション モードで key コマンドを使用します。キーを削除するには、このコマンドの no 形式を使用します。

key shared_secret

no key [ shared_secret ]

構文の説明

shared_secret

共有秘密を 1 ~ 63 文字の ASCII 文字列に設定します。共有秘密は、キーを生成するために使用されます。

コマンド デフォルト

デフォルトの動作や値はありません。

コマンド モード

次の表に、コマンドを入力できるモードを示します。

コマンドモード

ファイアウォールモード

セキュリティコンテキスト

ルーテッド

トランスペアレント

シングル

マルチ

コンテキスト

システム

グローバル コンフィギュレーション

  • 対応

  • 対応

  • 対応

  • 対応

コマンド履歴

リリース

変更内容

9.0(1)

このコマンドが追加されました。

使用上のガイドライン

このコマンドは、データパス トラフィック(接続状態アップデートや転送されるパケットなど)には影響しません。データパス トラフィックは、常にクリア テキストとして送信されます。

次に、共有秘密を設定する例を示します。


ciscoasa(config)# cluster group cluster1
ciscoasa(cfg-cluster)# key chuntheunavoidable

key chain

IGP ピアを認証するためのローテーションキーを設定するには、グローバル コンフィギュレーション モードで key chain コマンドを使用します。構成を削除するには、このコマンドの no 形式を使用します。

key chain key-chain-name key key-id key-string { 0 | 8 } key-string-text cryptographic-algorithm md5 [ accept-lifetime [ local | start-time ] [ duration { duration value | infinite | end-time } ]

no key chain key-chain-name key key-id key-string { 0 | 8 } key-string-text cryptographic-algorithm md5 [ accept-lifetime [ local | start-time ] [ duration { duration value | infinite | end-time } ]

構文の説明

key-chain-name

OSPFv2 認証用に設定するキー チェーンの名前。

key-id

キー チェーン内の固有識別子。有効な範囲は 1 ~ 255 です。

0

暗号化されていないパスワードが続くことを指定します。

8

暗号化されたパスワードが後に続くことを指定します。

key-string-text

キー id のパスワード。文字列には、プレーン テキストまたは暗号化された値を使用できます。

md5

サポートされている暗号化アルゴリズム。md5 のみがサポートされています。

accept-lifetime

(任意)別のデバイスとのキー交換時にデバイスがそのキーを受け入れる期間。

send-lifetime

(任意)別のデバイスとのキー交換時にデバイスがそのキーを送信する期間。

コマンド デフォルト

受け入れまたは送信のライフタイムが指定されていない場合は、デフォルトで常にアクティブになります。

コマンド モード

次の表に、コマンドを入力できるモードを示します。

コマンドモード

ファイアウォールモード

セキュリティコンテキスト

ルーテッド

トランスペアレント

シングル

マルチ

コンテキスト

システム

グローバル コンフィギュレーション

  • 対応

  • 対応

  • 対応

  • 対応

  • 非対応

コマンド履歴

リリース

変更内容

9.12(1)

このコマンドが追加されました。

使用上のガイドライン

key chain コマンドを使用して、インターフェイスの OSPFv2 認証で使用されるキーチェーンを設定します。key id key string, 、および cryptographic-algorithm コマンドを入力する必要があります。accept and send lifetimes を入力して、キーのローテーションをスケジュールします。 ライフタイム変数は、セキュアなキー ロールオーバーを処理するのに便利です。デバイスはキーのライフタイムを使用して、特定の期間にキー チェーン内のどのキーがアクティブになるかを判断します。ライフタイムが指定されていない場合、キー チェーン認証は、タイム ラインを使用しない MD5 認証と同様に機能します。キーチェーンの設定を削除するには、no key chain を使用します。

次の例は、キー チェーンの設定コマンドを示しています。


ciscoasa(config)# key chain CHAIN1
ciscoasa(config-keychain)# key 1 
ciscoasa(config-keychain-key)# key-string 0 CHAIN1KEY1STRING
ciscoasa(config-keychain-key)# cryptographic-algorithm md5 
ciscoasa(config-keychain-key)# accept-lifetime 11:22:33 1 SEP 2018 infinite
 
ciscoasa(config-keychain-key)# 

次の例は、実行中のキーチェーン設定の出力を示しています。


ciscoasa# show running key chain 
key chain CHAIN2
 key 1
  key-string KEY1CHAIN2
  cryptographic-algorithm md5
 key 2
  accept-lifetime 11:00:12 Sep 1 2018 11:12:12 Sep 1 2018
  cryptographic-algorithm md5
key chain CHAIN1
 key 1
  key-string CHAIN1KEY1STRING
  accept-lifetime 11:22:33 Sep 1 2018 duration -1
  cryptographic-algorithm md5
ciscoasa# show runing key chain CHAIN1
key chain CHAIN1
 key 1
  key-string CHAIN1KEY1STRING
  accept-lifetime 11:22:33 Sep 1 2018 duration -1
  cryptographic-algorithm md5
ciscoasa# 

key config-key password-encryption

暗号キーの生成に使用するマスターパスフレーズを設定し、プレーンテキストのパスワードを暗号化形式で安全に保存するには、グローバル コンフィギュレーション モードで key config-key password-encryption コマンドを使用します。パスフレーズで暗号化されたパスワードを復号化するには、このコマンドの no 形式を使用します。

key config-key password-encryption passphrase [ old_passphrase ]

no key config-key password-encryption passphrase

構文の説明

passphrase

パスフレーズの長さは、8 ~ 128 文字にする必要があります。パスフレーズには、バックスペースと二重引用符を除くすべての文字を使用できます。コマンドにパスフレーズを入力しないと、入力を求めるプロンプトが表示されます。インタラクティブ プロンプトを使用してパスワードを入力し、パスワードがコマンド履歴バッファに記録されないようにします。

old_passphrase

パスフレーズを変更する場合は、以前のパスフレーズを入力します。

コマンド デフォルト

デフォルトの動作や値はありません。

コマンド モード

次の表に、コマンドを入力できるモードを示します。

コマンドモード

ファイアウォールモード

セキュリティコンテキスト

ルーテッド

トランスペアレント

シングル

マルチ

コンテキスト

システム

グローバル コンフィギュレーション

  • 対応

  • 対応

  • 対応

  • 対応

コマンド履歴

リリース

変更内容

8.3(1)

このコマンドが追加されました。

使用上のガイドライン

マスター パスフレーズを使用する機能としては、次のものがあります。

  • OSPF

  • EIGRP

  • VPN ロード バランシング

  • VPN (リモート アクセスおよびサイトツーサイト)

  • フェールオーバー

  • AAA サーバー

  • Logging

  • 共有ライセンス

パスワードの暗号化をトリガーするには、key config-key password-encrypt コマンドと password encryption aes コマンドの両方を任意の順序で入力する必要があります。write memory と入力して、暗号化されたパスワードをスタートアップ コンフィギュレーションに保存します。そうしないと、スタートアップ コンフィギュレーション内のパスワードが表示されることがあります。マルチコンテキストモードでは、システム実行スペースに write memory all を使用してすべてのコンテキストの設定を保存します。

このコマンドを実行できるのは、コンソール、SSH、HTTPS 経由の ASDM などによるセキュア セッションにおいてのみです。

暗号化されたパスワードがプレーンテキストパスワードに変換されるため、no key config-key password-encrypt コマンドは注意して使用してください。パスワードの暗号化がサポートされていないソフトウェアバージョンにダウングレードするときは、このコマンドの no 形式を使用できる場合があります。

フェールオーバーがイネーブルであっても、フェールオーバー共有キーが設定されていない場合に、マスター パスフレーズを変更すると、エラー メッセージが表示されます。このメッセージには、マスター パスフレーズの変更がプレーン テキストとして送信されないよう、フェールオーバー共有キーを入力する必要があることが示されます。

Active/Standby フェールオーバーでパスワードの暗号化を有効化または変更すると、write standby が実行され、アクティブな構成がスタンバイユニットに複製されます。この複製が行われない場合、スタンバイ ユニットの暗号化されたパスワードは、同じパスフレーズを使用している場合でも異なるものになります。構成を複製することで、構成が同じであることが保証されます。Active/Standby フェールオーバーの場合は、手動で write standby を入力する必要があります。write standby は、Active/Active モードでトラフィックの中断を引き起こす場合があります。これは、新しい構成が同期される前に、セカンダリユニットで構成が消去されるためです。failover active group 1 および failover active group 2 コマンドを使用してプライマリ ASA ですべてのコンテキストをアクティブにし、write standby を入力してから、no failover active group 2 コマンドを使用してセカンダリユニットにグループ 2 コンテキストを復元する必要があります。

write erase コマンドに続いて reload コマンドを使用すると、マスター パスフレーズを紛失した場合はそのマスター パスフレーズとすべての設定が削除されます。

次に、暗号キーの生成に使用するパスフレーズを設定し、パスワード暗号化をイネーブルにする例を示します。


ciscoasa
(config)#
 key config-key password-encryption
Old key: bumblebee
New key: haverford
Confirm key: haverford
ciscoasa(config)# password encryption aes
ciscoasa(config)# write memory

key-hash

オンボードのセキュアコピー(SCP)クライアントのサーバーに対するハッシュ SSH ホストキーを手動で追加するには、サーバー コンフィギュレーション モードで key-hash コマンドを使用します。サーバー コンフィギュレーション モードにアクセスするには、まず ssh pubkey-chain コマンドを入力します。キーを削除するには、このコマンドの no 形式を使用します。

key-hash { md5 | sha256 } fingerprint

no key-hash { md5 | sha256 } fingerprint

構文の説明

fingerprint

ハッシュ キーを入力します。

{md5 | sha256}

使用するハッシュのタイプ(MD5 または SHA-256)を設定します。ASA の構成では、常に SHA-256 が使用されます。

コマンド デフォルト

デフォルトの動作や値はありません。

コマンド モード

次の表に、コマンドを入力できるモードを示します。

コマンドモード

ファイアウォールモード

セキュリティコンテキスト

ルーテッド

トランスペアレント

シングル

マルチ

コンテキスト

システム

サーバー コンフィギュレーション

  • 対応

  • 対応

  • 対応

  • 対応

コマンド履歴

リリース

変更内容

9.1(5)

このコマンドが追加されました。

使用上のガイドライン

オンボードの SCP クライアントを使用して、ASA との間でファイルをコピーすることができます。ASA は接続先の各 SCP サーバーの SSH ホストキーを保存します。必要に応じて、ASA データベースから手動でサーバーとそのキーを追加または削除できます。

各サーバーについて、SSH ホストの key-string (公開キー)または key-hash (ハッシュ値)を指定できます。key-hash では、すでにハッシュされているキーを入力します(MD5 または SHA-256 キーを使用)。たとえば、show コマンドの出力からコピーしたキーを入力します。

次に、10.86.94.170 にあるサーバのすでにハッシュされているホスト キーを追加する例を示します。


ciscoasa(config)# ssh pubkey-chain
ciscoasa(config-ssh-pubkey-chain)# server 10.86.94.170
ciscoasa(config-ssh-pubkey-server)# key-hash sha256 65:d9:9d:fe:1a:bc:61:aa:64:9d:fc:ee:99:87:38:df:a8:8e:d9:e9:ff:42:de:e8:8d:2d:bf:a9:2b:85:2e:19

keypair

証明する公開キーのキーペアを指定するには、クリプト CA トラストポイント コンフィギュレーション モードで keypair コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。

[no] keypair name | [ rsa modulus | 2048 | 4096 ] | [ ecdsa elliptic-curve 256 | 384 | 521 ] | [ eddsa edwards-curve Ed25519  ]

構文の説明

name

CMP 以外の登録用のキー ペアの名前を指定します。

rsa

CMP の手動登録と自動登録用の RSA キーを生成します。

ecdsa

CMP の手動登録と自動登録用の ECDSA キーを生成します。

eddsa

CMP の手動登録と自動登録用の EdDSA キーを生成します。

コマンド デフォルト

デフォルト設定では、キー ペアは含まれません。

コマンド モード

次の表に、コマンドを入力できるモードを示します。

コマンドモード

ファイアウォールモード

セキュリティコンテキスト

ルーテッド

トランスペアレント

シングル

マルチ

コンテキスト

システム

クリプト CA トラストポイント コンフィギュレーション

  • 対応

  • 対応

  • 対応

  • 対応

コマンド履歴

リリース

変更内容

7.0(1)

このコマンドが追加されました。

9.7(1)

新しい EDCSA と RSA のキーペアが追加されました。

9.16(1)

  • 2048 ビットより小さい RSA キーサイズの証明書のサポートが削除されました。したがって、RSA モジュラスオプションは、2048 ビット以上の値を表示するように変更されました。

  • 新しい EdDSA キーペアが追加されました。

次に、central トラストポイントのクリプト CA トラストポイント コンフィギュレーション モードを開始し、central トラストポイント用に証明するキー ペアを指定する例を示します。


ciscoasa(config)# crypto ca trustpoint central
ciscoasa(ca-trustpoint)# keypair exchange

keysize

ユーザー証明書の登録で、ローカルの認証局(CA)サーバーによって生成される公開キーと秘密鍵のサイズを指定するには、CA サーバー コンフィギュレーション モードで keysize コマンドを使用します。キーサイズをデフォルトの 1024 ビットの長さにリセットするには、このコマンドの no 形式を使用します。

keysizesize

no keysize

構文の説明

size

キーのサイズ(ビット単位)。サイズは次のいずれかになります。

  • 512

  • 768

  • 1024

  • 2048

  • 4096

コマンド デフォルト

デフォルトでは、このキー ペアの各キーの長さは 1024 ビットです。

コマンド モード

次の表に、コマンドを入力できるモードを示します。

コマンドモード

ファイアウォールモード

セキュリティコンテキスト

ルーテッド

トランスペアレント

シングル

マルチ

コンテキスト

システム

CA サーバー コンフィギュレーション

  • 対応

  • 対応

コマンド履歴

リリース

変更内容

8.0(2)

このコマンドが追加されました。

9.13(1)

このコマンドは削除されました。

次に、ローカル CA サーバーによってユーザー用に生成される、公開キーと秘密キーのすべてのキー ペアのキーのサイズを 2048 ビットに指定する例を示します。


ciscoasa(config)# crypto ca server
ciscoasa
(config-ca-server)
)# keysize 2048
ciscoasa
(config-ca-server)
# 

次に、ローカル CA サーバーによってユーザー用に生成される、公開キーと秘密キーのすべてのキー ペアのキーのサイズを、デフォルトの 1024 ビットの長さにリセットする例を示します。


ciscoasa(config)# crypto ca server
ciscoasa
(config-ca-server)
# no keysize
ciscoasa
(config-ca-server)
# 

keysize server

ローカルの認証局(CA)サーバーによって生成される公開キーと秘密鍵のサイズを指定し、CA のキーペアのサイズを設定するには、CA サーバー コンフィギュレーション モードで keysize server コマンドを使用します。キーサイズをデフォルトの 1024 ビットの長さにリセットするには、このコマンドの no 形式を使用します。

keysize server size

no keysize server

構文の説明

size

キーのサイズ(ビット単位)。サイズは次のいずれかになります。

  • 512

  • 768

  • 1024

  • 2048

  • 4096

コマンド デフォルト

デフォルトでは、このキー ペアの各キーの長さは 1024 ビットです。

コマンド モード

次の表に、コマンドを入力できるモードを示します。

コマンドモード

ファイアウォールモード

セキュリティコンテキスト

ルーテッド

トランスペアレント

シングル

マルチ

コンテキスト

システム

CA サーバー コンフィギュレーション

  • 対応

  • 対応

コマンド履歴

リリース

変更内容

8.0(2)

このコマンドが追加されました。

9.13(1)

このコマンドは削除されました。

次に、CA 証明書のキー サイズを 2048 ビットに指定する例を示します。


ciscoasa(config)# crypto ca server
ciscoasa
(config-ca-server)
)# keysize server 2048
ciscoasa
(config-ca-server)
# 

次に、CA 証明書のキー サイズをデフォルトの 1024 ビットにリセットする例を示します。


ciscoasa(config)# crypto ca server
ciscoasa
(config-ca-server)
# no keysize server
ciscoasa
(config-ca-server)
# 

key-string

オンボードのセキュア コピー(SCP)クライアントのサーバーに対するパブリック SSH ホストキーを手動で追加するには、サーバー コンフィギュレーション モードで key-string コマンドを使用します。サーバー コンフィギュレーション モードにアクセスするには、まず ssh pubkey-chain コマンドを入力します。このコマンドを入力すると、キー ストリングを入力するプロンプトが表示されます。ストリングが構成に保存されると、SHA-256 を使用してハッシュされ、key-hash コマンドとして保存されます。したがって、ストリングを削除するときは、no key-hash コマンドを使用します。

key-string key_string

構文の説明

key_string

公開キーを入力します。

コマンド デフォルト

デフォルトの動作や値はありません。

コマンド モード

次の表に、コマンドを入力できるモードを示します。

コマンドモード

ファイアウォールモード

セキュリティコンテキスト

ルーテッド

トランスペアレント

シングル

マルチ

コンテキスト

システム

サーバー コンフィギュレーション

  • 対応

  • 対応

  • 対応

  • 対応

コマンド履歴

リリース

変更内容

9.1(5)

このコマンドが追加されました。

使用上のガイドライン

オンボードの SCP クライアントを使用して、ASA との間でファイルをコピーすることができます。ASA は接続先の各 SCP サーバーの SSH ホストキーを保存します。必要に応じて、ASA データベースから手動でサーバーとそのキーを追加または削除できます。

各サーバーについて、SSH ホストの key-string (公開キー)または key-hash (ハッシュ値)を指定できます。key_string はリモート ピアの Base64 で符号化された RSA 公開キーです。オープン SSH クライアントから(言い換えると .ssh/id_rsa.pub ファイルから)公開キー値を取得できます。Base64 で符号化された公開キーを送信した後、SHA-256 によってそのキーがハッシュされます。

次に、10.7.8.9 にあるサーバーのホスト ストリング キーを追加する例を示します。


ciscoasa(config)# ssh pubkey-chain
ciscoasa(config-ssh-pubkey-chain)# server 10.7.8.9
ciscoasa(config-ssh-pubkey-server)# key-string
Enter the base 64 encoded RSA public key.
End with the word "exit" on a line by itself
ciscoasa(config-ssh-pubkey-server-string)# c1:b1:30:29:d7:b8:de:6c:97:77:10:d7:46:41:63:87
ciscoasa(config-ssh-pubkey-server-string)# exit

次に、保存されたハッシュ キーを表示する例を示します。


ciscoasa(config-ssh-pubkey-server)# show running-config ssh
ssh scopy enable
ssh stricthostkeycheck
ssh pubkey-chain
  server 10.7.8.9
    key-hash sha256 65:d9:9d:fe:1a:bc:61:aa:64:9d:fc:ee:99:87:38:df:a8:8e:d9:e9:ff:42:de:e8:8d:2d:bf:a9:2b:85:2e:19

kill

Telnet セッションを終了するには、特権 EXEC モードで kill コマンドを使用します。

killtelnet_id

構文の説明

telnet_id

Telnet セッションの ID を指定します。

コマンド デフォルト

デフォルトの動作や値はありません。

コマンド モード

次の表に、コマンドを入力できるモードを示します。

コマンドモード

ファイアウォールモード

セキュリティコンテキスト

ルーテッド

トランスペアレント

シングル

マルチ

コンテキスト

システム

特権 EXEC

  • 対応

  • 対応

  • 対応

  • 対応

コマンド履歴

リリース

変更内容

7.0(1)

このコマンドが追加されました。

使用上のガイドライン

kill コマンドを使用すると、Telnet セッションを終了できます。Telnet セッションの ID を表示するには、who コマンドを使用します。Telnet セッションを終了すると、ASA は警告を表示することなく、すべてのアクティブなコマンドを終了して接続をドロップします。

次に、ID「2」の Telnet セッションを終了する例を示します。最初に、who コマンドを入力して、アクティブな Telnet セッションのリストを表示します。 次に、kill 2 コマンドを入力して、ID「2」の Telnet セッションを終了します。


ciscoasa# who
2: From 10.10.54.0
 
ciscoasa# kill 2