same-security-traffic
同じセキュリティレベルのインターフェイス間での通信を許可するか、またはトラフィックが同じインターフェイスに入って同じインターフェイスから出ることを許可するには、グローバル コンフィギュレーション モードで same-security-traffic コマンドを使用します。同じセキュリティレベルのトラフィックをディセーブルにするには、このコマンドの no 形式を使用します。
same-security-traffic permit { inter-interface | intra-interface }
no same-security-traffic permit { inter-interface | intra-interface }
構文の説明
|
inter-interface |
同じセキュリティ レベルを持つ異なるインターフェイス間での通信を許可します。 |
|
intra-interface |
同じインターフェイスに入って同じインターフェイスから出る通信を許可します。 |
コマンド デフォルト
このコマンドは、デフォルトでディセーブルになっています。
コマンド モード
次の表に、コマンドを入力できるモードを示します。
|
コマンドモード |
ファイアウォールモード |
セキュリティコンテキスト |
|||
|---|---|---|---|---|---|
|
ルーテッド |
トランスペアレント |
シングル |
マルチ |
||
|
コンテキスト |
システム |
||||
|
グローバル コンフィギュレーション |
|
|
|
|
— |
コマンド履歴
|
リリース |
変更内容 |
|---|---|
|
7.0(1) |
このコマンドが追加されました。 |
|
7.2(1) |
intra-interface キーワードを使用すると、IPsec トラフィックだけではなく、すべてのトラフィックが同じインターフェイスに出入りできるようになりました。 |
使用上のガイドライン
同じセキュリティレベルのインターフェイス間での通信を許可すると（ same-security-traffic inter-interface コマンドを使用してイネーブルにします）、次の利点があります。
-
101 より多い数の通信インターフェイスを設定できます。各インターフェイスで異なるレベルを使用する場合は、レベルごと（0 ～ 100）に 1 つのインターフェイスのみを設定できます。
-
アクセス リストなしで、すべての同じセキュリティ レベルのインターフェイス間で自由にトラフィックを送受信できます。
same-security-traffic intra-interface コマンドを使用すると、トラフィックが同じインターフェイスに入って同じインターフェイスから出ることができます。この動作は、通常は許可されていません。この機能は、あるインターフェイスに入り、その後同じインターフェイスからルーティングされる VPN トラフィックの場合に役立ちます。この場合、VPN トラフィックは暗号化解除されたり、別の VPN 接続のために再度暗号化されたりする場合があります。たとえば、ハブアンドスポーク VPN ネットワークがあり、Cisco Secure Firewall ASA がハブ、リモート VPN ネットワークがスポークの場合、あるスポークが別のスポークと通信するためには、トラフィックは ASA に入ってから他のスポークに再度ルーティングされる必要があります。
 （注） |
same-security-traffic intra-interface コマンドによって許可されるすべてのトラフィックには、引き続きファイアウォールルールが適用されます。リターン トラフィックが ASA を通過できない原因となるため、非対称なルーティング状態にしないよう注意してください。 |
例
次に、同じセキュリティ レベルのインターフェイス間での通信をイネーブルにする例を示します。
ciscoasa(config)# same-security-traffic permit inter-interface
次に、トラフィックが同じインターフェイスに入って同じインターフェイスから出られるようにする例を示します。
ciscoasa(config)# same-security-traffic permit intra-interface
フィードバック