Cisco ASA シリーズ コマンドリファレンス、A ～ H コマンド

 

構文の説明

 

デフォルト

このコマンドは、デフォルトでディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

特定のゲートウェイを管理しているコール エージェントのグループを指定するには、 gateway コマンドを使用します。 ip_address オプションを使用して、ゲートウェイの IP アドレスを指定します。 group_id オプションには 0 ～ 4294967295 の数字を指定します。この数字は、ゲートウェイを管理しているコール エージェントの group_id に対応している必要があります。1 つのゲートウェイは 1 つのグループだけに所属できます。

例

次に、コール エージェント 10.10.11.5 および 10.10.11.6 にゲートウェイ 10.10.10.115 の制御を許可し、コール エージェント 10.10.11.7 および 10.10.11.8 にゲートウェイ 10.10.10.116 および 10.10.10.117 の制御を許可する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルト FQDN 名は、デフォルトのグループ ポリシーで設定されていません。新しいグループ ポリシーは、この値を継承するように設定されます。

 

コマンド履歴

 

使用上のガイドライン

ASA 間にロード バランシングを設定した場合は、VPN セッションの再確立に使用される ASA IP アドレスを解決するために、ASA の FQDN を指定します。この設定は、さまざまな IP プロトコルのネットワーク間のクライアント ローミングをサポートするうえで重要です（IPv4 から IPv6 など）。

AnyConnect プロファイルにある ASA FQDN を使用してローミング後に ASA IP アドレスを取得することはできません。アドレスがロード バランシング シナリオの正しいデバイス（トンネルが確立されているデバイス）と一致しない場合があります。

ASA の FQDN がクライアントにプッシュされない場合、クライアントは、以前にトンネルが確立されている IP アドレスへの再接続を試みます。異なる IP プロトコル（IPv4 から IPv6）のネットワーク間のローミングをサポートするには、AnyConnect は、トンネルの再確立に使用する ASA アドレスを決定できるように、ローミング後にデバイス FQDN の名前解決を行う必要があります。クライアントは、初期接続中にプロファイルに存在する ASA FQDN を使用します。以後のセッション再接続では、使用可能な場合は常に、ASA によってプッシュされた（また、グループ ポリシーで管理者が設定した）デバイス FQDN を使用します。FQDN が設定されていない場合、ASA は、ASDM の [Device Setup] > [Device Name/Password and Domain Name] の設定内容からデバイス FQDN を取得（およびクライアントに送信）します。

デバイス FQDN が ASA によってプッシュされていない場合、クライアントは、異なる IP プロトコルのネットワーク間のローミング後に VPN セッションを再確立できません。

例

次に、ASA の FQDN を ASAName.example.cisco.com として定義する例を示します。

次に、グループ ポリシーから ASA の FQDN を削除する例を示します。グループ ポリシーは、デフォルト グループ ポリシーからこの値を継承します。

次に、FQDN を値なしとして定義する例を示します。ciscoasa コマンドおよび domain-name コマンドを使用して設定されたグローバル FQDN が使用されます（使用可能な場合）。

 

構文の説明

 

デフォルト

OSPFv3 グレースフル リスタートはデフォルトでディセーブルです。

 

コマンド履歴

 

使用上のガイドライン

graceful-restart コマンドを使用し、OSPFv3 がプロセス再起動によりデータ フォワーディング パスに留まるようにします。

（注） ASA の一般的なリブート サイクルを許可するには、再起動間隔を十分長く設定します。ネットワークが古いルート情報に依存することを回避するために、再起動間隔を過度に長く設定しないでください。

例

次に、OSPFv3 のグレースフル リスタートをイネーブルにする例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

OSPFv3 グレースフル リスタート ヘルパー モードは、デフォルトでイネーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

ASA が NSF をイネーブルにしている場合、ASA は NSF 対応であると考えられ、グレースフル リスタート モードで動作します。OSPF プロセスは、ルート プロセッサ（RP）スイッチオーバーのため、ノンストップ フォワーディングの復帰を実行します。デフォルトでは、NSF 対応 ASA に隣接する ASA は NSF 認識となり、NSF ヘルパー モードで動作します。NSF 対応 ASA がグレースフル リスタートを実行しているときは、ヘルパーの ASA はそのノンストップ フォワーディングの復帰プロセスを支援します。再起動するネイバーのノンストップ フォワーディングの復帰を ASA が支援しないようにする場合は、no nsf ietf helper コマンドを入力します。

NSF 認識 ASA および NSF 対応 ASA の両方で厳密な LSA チェックをイネーブルにするには、graceful-restart helper strict-lsa-checking コマンドを入力します。ただし、グレースフル リスタート プロセス時に ASA がヘルパー ASA になるまでは厳密な LSA チェックは有効になりません。厳密な LSA チェックをイネーブルにすると、ヘルパー ASA は、LSA の変更があるために再起動 ASA にフラッディングされる場合、または、グレースフル リスタート プロセスが開始されたときに再起動 ASA の再送リスト内の LSA に変更があると検出された場合、再起動 ASA のプロセスの支援を終了します。

例

次に、厳密な LSA チェックを行うグレースフル リスタート ヘルパーをイネーブルにする例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの Diffie-Hellman グループはグループ 14 です。

 

使用上のガイドライン

IKEv2 SA は、IKEv2 ピアがフェーズ 2 で安全に通信できるようにするためにフェーズ 1 で使用されるキーです。crypto ikev2 policy コマンドを入力すると、group コマンドを使用して SA の Diffie-Hellman グループを設定できます。ASA および AnyConnect クライアントは、グループ ID を使用して、共有秘密を相互に転送することなく共有秘密を取得します。Diffie-Hellman グループ番号が小さいほど、実行に必要な CPU 時間も少なくなります。Diffie-Hellman グループ番号が大きいほど、セキュリティも高くなります。

AnyConnect クライアントが非 FIPS モードで動作している場合、ASA は Diffie-Hellman グループ 1、2、および 5 をサポートします。FIPS モードでは、サポート グループ 2 および 5 をサポートします。したがって、グループ 1 だけを使用するように ASA を設定する場合、FIPS モードの AnyConnect クライアントは接続に失敗します。

 

コマンド履歴

例

次に、ikev2 ポリシー コンフィギュレーション モードを開始して、Diffie-Hellman グループをグループ 5 に設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトのグループ エイリアスはありませんが、グループ エイリアスを指定すると、そのエイリアスがデフォルトでイネーブルになります。

 

コマンド履歴

 

使用上のガイドライン

指定したグループ エイリアスが、ログイン ページのドロップダウン リストに表示されます。各グループに複数のエイリアスを指定することも、エイリアスを指定しないことも可能です。このコマンドは、同じグループが「Devtest」や「QA」などの複数の一般名で知られている場合に役立ちます。

例

次に、「devtest」という名前のトンネル グループを設定し、そのグループに対してエイリアス「QA」および「Fra-QA」を確立するコマンドの例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトで、デリミタは指定されていないため、グループ名解析はディセーブルです。

 

コマンド履歴

 

使用上のガイドライン

デリミタは、トンネルがネゴシエートされるときに、ユーザ名からトンネル グループ名を解析するために使用されます。デフォルトで、デリミタは指定されていないため、グループ名解析はディセーブルです。

例

次に、グループ デリミタをハッシュ マスク（#）に変更する group-delimiter コマンドの例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

使用上のガイドライン

グループ ロックをディセーブルにするには、 group-lock none コマンドを使用します。 no group-lock コマンドは、別のグループ ポリシーからの値の継承を許可します。

グループロックは、仮想プライベート ネットワーク（VPN）クライアントに設定されているグループが、ユーザが割り当てられたトンネル グループと一致しているかどうかを確認することにより、ユーザを制約します。同一ではなかった場合、ASA はユーザによる接続を禁止します。グループ ロックを設定しなかった場合、ASA は、割り当てられているグループに関係なくユーザを認証します。

 

コマンド履歴

例

次に、FirstGroup という名前のグループ ポリシーにグループ ロックを設定する例を示します。

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

group-object コマンドは、それ自身がオブジェクト グループであるオブジェクトを追加するために、 object-group コマンドとともに使用します。このサブコマンドを使用すると、同じタイプのオブジェクトを論理グループ化して、構造化されたコンフィギュレーションの階層オブジェクト グループを構築できます。

オブジェクト グループ内でのオブジェクトの重複は、それらのオブジェクトがグループ オブジェクトの場合は許可されます。たとえば、オブジェクト 1 がグループ A とグループ B の両方に存在する場合、A と B の両方を含むグループ C を定義することができます。ただし、グループ階層を循環型にするグループ オブジェクトを含めることはできません。たとえば、グループ A にグループ B を含め、さらにグループ B にグループ A を含めることはできません。

階層オブジェクト グループは 10 レベルまで許可されています。

（注） ASA は、ネストされた IPv6 ネットワーク オブジェクト グループはサポートしません。したがって、IPv6 エントリが含まれるオブジェクトを別の IPv6 オブジェクト グループの下でグループ化することはできません。

例

次に、ホストを重複させる必要性を排除するために group-object コマンドを使用する方法の例を示します。

次に、ローカル ユーザ グループをユーザ グループ オブジェクトに追加するために group-object コマンドを使用する方法の例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

ASA には、「DefaultGroupPolicy」という名前のデフォルト グループ ポリシーが常に存在しています。ただし、このデフォルト グループ ポリシーは、これを使用するように ASA を設定しない限り、有効ではありません。設定手順については、CLI 設定ガイドを参照してください。

group-policy attributes コマンドを使用してグループ ポリシー コンフィギュレーション モードを開始します。このモードでは、グループ ポリシーのあらゆる属性と値のペアを設定できます。DefaultGroupPolicy には、次の属性と値のペアがあります。

また、グループ ポリシー コンフィギュレーション モードで webvpn コマンドを入力するか、 group-policy attributes コマンドを入力してから、グループ webvpn コンフィギュレーション モードで webvpn コマンドを入力することで、グループ ポリシーの webvpn コンフィギュレーション モード属性を設定できます。詳細については、 group-policy attributes コマンドの説明を参照してください。

例

次に、「FirstGroup」という名前の内部グループ ポリシーを作成する例を示します。

次に、AAA サーバ グループに「BostonAAA」、パスワードに「12345678」を指定し、「ExternalGroup」という名前の外部グループ ポリシーを作成する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

グループ ポリシー コンフィギュレーション モードでは、指定したグループ ポリシーの属性と値のペアを設定したり、グループ ポリシー webvpn コンフィギュレーション モードを開始してグループの WebVPN 属性を設定したりできます。

属性モードのコマンド構文には、一般的に、次のような特徴があります。

• no 形式は実行コンフィギュレーションから属性を削除し、別のグループ ポリシーからの値の継承をイネーブルにします。
• none キーワードは実行コンフィギュレーションの属性をヌル値に設定し、これによって継承を禁止します。
• ブール型属性には、イネーブルおよびディセーブルの設定用に明示的な構文があります。

ASA には、DefaultGroupPolicy という名前のデフォルト グループ ポリシーが常に存在しています。ただし、このデフォルト グループ ポリシーは、これを使用するように ASA を設定しない限り、有効ではありません。設定手順については、CLI 設定ガイドを参照してください。

group-policy attributes コマンドを使用してグループ ポリシー コンフィギュレーション モードを開始します。このモードでは、グループ ポリシーのあらゆる属性と値のペアを設定できます。DefaultGroupPolicy には、次の属性と値のペアがあります。

また、 group-policy attributes コマンドを入力してから、グループ ポリシー コンフィギュレーション モードで webvpn コマンドを入力することで、グループ ポリシーの webvpn モード属性を設定できます。詳細については、 webvpn コマンド（グループ ポリシー属性モードおよびユーザ名属性モード）の説明を参照してください。

例

次に、FirstGroup という名前のグループ ポリシーのグループ ポリシー属性モードを開始する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

グループ プロンプトのデフォルト テキストは「GROUP:」です。

グループ プロンプトのデフォルト スタイルは、color:black;font-weight:bold;text-align:right です。

 

コマンド履歴

 

使用上のガイドライン

style オプションは、任意の有効な CSS パラメータとして表されます。これらのパラメータについては、このマニュアルでは説明しません。CSS パラメータの詳細については、World Wide Web Consortium（W3C）の Web サイト（www.w3.org）の CSS 仕様を参照してください。『CSS 2.1 Specification』の「Appendix F」には、CSS パラメータの使いやすいリストがあります。この付録は www.w3.org/TR/CSS21/propidx.html で入手できます。

ここでは、WebVPN ページに対する変更で最もよく行われるページの配色を変更するためのヒントを紹介します。

• カンマ区切りの RGB 値、HTML の色値、または色の名前（HTML で認識される場合）を使用できます。
• RGB 形式は 0,0,0 で、各色（赤、緑、青）を 0 ～ 255 の範囲の 10 進数値で入力します。このカンマ区切りのエントリは、他の 2 色と組み合わせる各色の明度レベルを示します。
• HTML 形式は #000000 で、16 進形式の 6 桁の数値です。先頭と 2 番めは赤を、3 番めと 4 番めは緑を、5 番めと 6 番めは青を表しています。

（注） WebVPN ページを簡単にカスタマイズするには、ASDM を使用することを推奨します。ASDM には、色見本やプレビュー機能など、スタイルの要素を設定するための便利な機能があります。

例

次に、テキストを「Corporate Group:」に変更し、デフォルト スタイルのフォント ウェイトを bolder に変更する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトは 10 秒です。

 

コマンド履歴

 

使用上のガイドライン

show ad-groups コマンドは LDAP を使用している Active Directory サーバにのみ適用され、Active Directory サーバでリストされているグループが表示されます。 group-search-timeout コマンドを使用して、サーバからの応答を待機する時間を調整します。

例

次に、タイムアウトを 20 秒に設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの URL または IP アドレスはありませんが、URL または IP アドレスを指定すると、これがデフォルトでイネーブルになります。

 

コマンド履歴

 

使用上のガイドライン

グループの URL または IP アドレスを指定すると、ユーザがログイン時にグループを選択する必要がなくなります。ユーザがログインすると、ASA はトンネル グループ ポリシー テーブル内でユーザの着信 URL/アドレスを検索します。URL/アドレスが見つかり、さらにトンネル グループでこのコマンドがイネーブルになっている場合、ASA は関連するトンネル グループを自動的に選択して、ユーザ名およびパスワード フィールドだけをログイン ウィンドウでユーザに表示します。これによりユーザ インターフェイスが簡素化され、グループ リストがユーザに表示されなくなるという利点が追加されます。ユーザに表示されるログイン ウィンドウでは、そのトンネル グループ用に設定されているカスタマイゼーションが使用されます。

URL/アドレスがディセーブルで、 group-alias コマンドが設定されている場合は、グループのドロップダウン リストも表示され、ユーザによる選択が必要になります。

1 つのグループに対して複数の URL/アドレスを設定する（または、1 つも設定しない）ことができます。URL/アドレスごとに個別にイネーブルまたはディセーブルに設定できます。指定した URL/アドレスごとに個別の group-url コマンドを使用する必要があります。HTTP または HTTPS プロトコルを含めて、URL/アドレス全体を指定する必要があります。

複数のグループに同じ URL/アドレスを関連付けることはできません。ASA では、URL/アドレスの一意性を検証してから、これをトンネル グループに対して受け入れます。

例

次に、「test」という名前の WebVPN トンネル グループを設定し、そのグループに対して 2 つのグループ URL「http://www.cisco.com 」および「https://supplier.example.com 」を確立するコマンドの例を示します。

次に、RadiusServer という名前のトンネル グループに対して、グループ URL、http://www.cisco.com および http://192.168.10.10 をイネーブルにする例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

このコマンドは、デフォルトでディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

このコマンドを使用して、アンチスプーフィングを実装できます。GTP-C を通じて割り当てたものではない別の IP アドレスを使用してハッカーが別の顧客であるように装う（スプーフィング）可能性があります。アンチスプーフィングは、使用されている GTP-U アドレスが実際に GTP-C を使用して割り当てたものであるかどうかを確認します。

例

次に、デフォルトの動作でアンチスプーフィングを有効にする例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次に、H.323 コールで H.245 トンネリングをブロックする例を示します。

 

関連コマンド

 

構文の説明

 

コマンド デフォルト

ハードウェア バイパスは、デフォルトでイネーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

ハードウェア バイパスがアクティブな場合はファイアウォール機能が設定されていません。したがって、トラフィックの通過を許可しているリスクをご自身が理解していることを確認してください。ハードウェア バイパスを非アクティブ化すると、ASA がフローを引き継ぐため、接続が短時間中断されます。

（注） ISA 3000 への電源が切断され、ハードウェア バイパス モードに移行すると、通信できるのは上記のインターフェイス ペアのみになります。つまり、デフォルトの設定を使用している場合は、inside1 <---> inside2 および outside1 <---> outside2 は通信できなくなります。これらのインターフェイス間の既存の接続がすべて失われます。

例

次に、GigabitEthernet 1/1 および 1/2 のハードウェア バイパスをディセーブルにし、1/3 および 1/4 をイネーブルにする例を示します。

 

関連コマンド

 

構文の説明

 

コマンド デフォルト

ブート遅延はデフォルトでディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

hardware-bypass boot-delay コマンドが動作するようにするには、 sticky オプションを設定せずに hardware-bypass コマンドを使用してハードウェア バイパスをイネーブルにする必要があります。 hardware-bypass boot-delay を使用しないと、ASA FirePOWER モジュールが起動を完了する前にハードウェア バイパスが非アクティブになる可能性があります。たとえば、モジュールをフェール クローズに設定していた場合、このような状況では、トラフィックがドロップされる可能性があります。

例

次に、（ sticky オプションを 設定せずに ）ハードウェア バイパスをイネーブルにし、ブート遅延をイネーブルにする例を示します。

 

関連コマンド

 

構文の説明

 

コマンド デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

hardware-bypass コマンドの sticky オプションを設定してバイパスをイネーブルに維持する場合は、 hardware-bypass manual コマンドを使用して電源回復後にハードウェア バイパスを非アクティブ化する必要があります。

このコマンドによって、現在のハードウェア バイパスの状態が変更されます。電源障害が発生した場合は、 hardware-bypass コンフィギュレーション コマンドのアクションが優先されます。たとえば、 hardware-bypass がディセーブルに設定されている場合にハードウェア バイパスを手動でイネーブルにした後で電源障害が発生したときは、ハードウェア バイパスは設定に従ってディセーブルになります。

例

次に、手動で GigabitEthernet 1/2 および 1/2 のハードウェア バイパスを非アクティブ化する例を示します。

 

関連コマンド

 

構文の説明

 

コマンド デフォルト

デフォルトでは、ヘルス チェックがイネーブルで、holdtime が 3 秒です。

デフォルトでは、すべてのインターフェイスでインターネット ヘルス モニタリングがイネーブルになっています。

デバウンス時間は 500 ms です。

 

コマンド履歴

 

使用上のガイドライン

何らかのトポロジ変更を行うとき（たとえば、データ インターフェイスの追加または削除、またはスイッチ上のインターフェイスのイネーブル化またはディセーブル化、VSS または vPC を形成するスイッチの追加）は、ヘルス チェック機能をディセーブルにし、ディセーブルにしたインターフェイスのモニタリングもディセーブルにしてください（ no health-check monitor-interface ）。トポロジの変更が完了して、コンフィギュレーション変更がすべてのユニットに同期されたら、ヘルス チェック機能を再度イネーブルにできます。

メンバー間のキープアライブ メッセージによって、メンバーのヘルス状態が特定されます。ユニットが holdtime 期間内にピア ユニットからキープアライブ メッセージを受信しない場合は、そのピア ユニットは応答不能またはデッド状態と見なされます。インターフェイス ステータス メッセージによって、リンク障害が検出されます。あるインターフェイスが、特定のユニット上では障害が発生したが、別のユニットではアクティブの場合は、そのユニットはクラスタから削除されます。

（注） 9.8(1) では、ユニット ヘルス チェック メッセージング スキームが、コントロール プレーンのキープアライブからデータ プレーンのハートビートに変更されました。データ プレーンを使用しると、CPU の使用率および信頼性が向上します。

ユニットがホールド時間内にインターフェイス ステータス メッセージを受信しない場合に、ASA がメンバをクラスタから削除するまでの時間は、インターフェイスのタイプと、そのユニットが確立済みメンバであるか、またはクラスタに参加しようとしているかによって異なります。EtherChannel の場合（スパニングかどうかを問わない）は、確立済みメンバーのインターフェイスがダウン状態のときに、ASA はそのメンバーを 9 秒後に削除します。ユニットが新しいメンバーとしてクラスタに参加しようとしているときは、ASA は 45 秒待機してからその新しいユニットを拒否します。非 EtherChannel の場合は、メンバー状態に関係なく、ユニットは 500 ミリ秒後に削除されます。

このコマンドは、ブートストラップ コンフィギュレーションの一部ではなく、マスター ユニットからスレーブ ユニットに複製されます。

例

次に、ヘルス チェックをディセーブルにする例を示します。

ciscoasa(cfg-cluster)# no health-check

 

関連コマンド

 

構文の説明

 

コマンド デフォルト

健全性チェックは、デフォルトでディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

Cisco Cloud Web Security サービスに登録すると、プライマリ クラウド Web セキュリティ プロキシ サーバとバックアップ プロキシ サーバが割り当てられます。これらのサーバは、アベイラビリティをチェックするために定期的にポーリングされます。ASA がクラウド Web セキュリティ プロキシ サーバに到達することができない場合（SYN/ACK パケットがプロキシ サーバから到着しない場合など）、プロキシ サーバは TCP スリーウェイ ハンドシェイクを介してポーリングされて、アベイラビリティがチェックされます。設定した試行回数（デフォルトは 5）後に、プロキシ サーバが使用不可の場合、サーバは到達不能として宣言され、バックアップ プロキシ サーバがアクティブになります。

クラウド Web セキュリティ アプリケーションの状態をチェックすることで、フェールオーバーをさらに改善することができます。場合によっては、サーバが TCP スリーウェイ ハンドシェイクを完了できても、サーバ上のクラウド Web セキュリティ アプリケーションが正しく機能していないことがあります。アプリケーション健全性チェックを有効にすると、スリーウェイ ハンドシェイクが完了しても、アプリケーション自体が応答しない場合、システムはバックアップ サーバにフェールオーバーできます。これにより、より信頼性の高いフェールオーバー設定が確立されます。この追加のチェックを有効にするには、 health-check application コマンドを使用します。

ヘルス チェックでは、クラウド Web セキュリティ アプリケーションにテストの URL を使用して GET リクエストが送信されます。設定されているタイムアウト期限とリトライ限度内で応答に失敗すると、サーバはダウンとしてマーキングされ、システムはフェールオーバーを開始します。バックアップ サーバもまた、アクティブ サーバとしてマーキングされる前に、正しく機能していることを確認するためにテストされます。フェールオーバーの後、プライマリ サーバのアプリケーションは、オンラインに戻り再度アクティブ サーバとしてマーキングされるまで 30 秒ごとに再テストされます。

継続ポーリングによってプライマリ サーバが連続する 2 回の再試行回数の期間にアクティブであることが示されると、ASA はバックアップ サーバからプライマリ クラウド Web セキュリティ プロキシ サーバに自動的にフォール バックします。このポーリング間隔を変更するには、 retry-count コマンドを使用します。

例

次に、プライマリ サーバとバックアップ サーバを設定し、デフォルトの URL とタイムアウトを使用して健全性チェックをイネーブルにする例を示します。健全性チェックをイネーブルにし、デフォルト以外のタイムアウトを設定するには、 health-check application コマンドを別個に入力する必要があります。

 

関連コマンド

 

構文の説明

 

コマンド デフォルト

• 失敗したクラスタ制御リンクのクラスタ再結合機能が 5 分おきに無制限に試行されます。
• 失敗したデータインターフェイスのクラスタ自動再結合機能は、5 分後と、2 に設定された増加間隔で合計で 3 回試行されます。
• 内部システム エラーの場合のクラスタ自動再結合機能は、5 分後と、2 に設定された増加間隔で、合計で 3 回試行されます。

 

コマンド履歴

 

使用上のガイドライン

このコマンドで、ネットワークの状態に合うように自動再結合オプションをカスタマイズできます。

例

次に、両方のインターフェイス タイプについて 10 回の試行を設定する例を示します。データ インターフェイスについては再結合間隔を 10 分、間隔の延長は 3 倍に設定し、クラスタ制御リンクについては再結合間隔を 7 分、間隔の延長は 2 倍に設定します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトは 5 秒です。

 

コマンド履歴

 

使用上のガイドライン

hello 間隔を小さくするほど、トポロジの変更が速く検出されますが、より多くのルーティング トラフィックが発生します。この値は、特定のネットワーク上のすべてのルータおよびアクセス サーバで同じにする必要があります。

例

次の例では、EIGRP hello 間隔を 10 秒に、ホールド タイムを 30 秒に設定します。

 

関連コマンド

 

構文の説明

このコマンドには引数またはキーワードはありません。

 

デフォルト

hello パディングは、デフォルトでイネーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

このコマンドを使用すると、最大伝送ユニット（MTU）サイズになるまで IS-IS hello をパディングできます。IS-IS hello をフル MTU に埋め込む利点は、大きなフレームに関連した送信問題によるエラーや隣接インターフェイスの MTU 不一致によるエラーを検出できることです。

両方のインターフェイスの MTU が同じである場合やトランスレーショナル ブリッジングの場合には、ネットワーク帯域幅の無駄を省くため、hello パディングをディセーブルにできます。hello パディングがディセーブルになっても、ASA は、MTU 不一致検出の利点を維持するために、最初の 5 回の IS-IS hello を最大 MTU にパディングして送信します。

IS-IS ルーティング プロセスに関して、ASA 上のすべてのインターフェイスの hello パディングをディセーブルにするには、ルータ コンフィギュレーション モードで no hello padding コマンドを入力します。特定のインターフェイスの hello パディングを選択的にディセーブルにするには、インターフェイス コンフィギュレーション モードで no isis hello padding コマンドを入力します。

例

次に、 no hello padding コマンドを使用して、ルータ レベルの hello パディングをオフにする例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

help コマンドを使用すると、すべてのコマンドのヘルプ情報が表示されます。 help コマンドの後にコマンド名を入力することによって、個々のコマンドのヘルプを参照できます。コマンド名を指定せず、その代わりに ? と入力した場合、現在の特権レベルおよびモードで使用可能なすべてのコマンドを表示します。

pager コマンドがイネーブルの場合、24 行表示されると、リスト表示が一時停止して次のプロンプトが表示されます。

More プロンプトでは、次のように、UNIX の more コマンドに類似した構文が使用されます。

• 次のテキスト画面を表示するには、Space バーを押します。
• 次の行を表示するには、Enter キーを押します。
• コマンドラインに戻るには、q キーを押します。

例

次に、 rename コマンドのヘルプを表示する例を示します。

次に、コマンド名と疑問符を入力して、ヘルプを表示する例を示します。

コマンド プロンプトで ? を入力すると、主要コマンド（show、no、または clear コマンド以外）に関するヘルプが表示されます。

 

関連コマンド

 

構文の説明

 

構文の説明構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

これは HTTP フォームのコマンドを使用した SSO です。

ASA の WebVPN サーバは、認証 Web サーバに SSO 認証要求を送信するときに HTTP POST 要求を使用します。その要求では、ユーザには表示されない SSO HTML フォームの特定の非表示パラメータ（ユーザ名およびパスワード以外）が必要になることがあります。Web サーバから受信したフォームに対して HTTP ヘッダー アナライザを使用することで、Web サーバが POST 要求で想定している非表示パラメータを検出できます。

hidden-parameter コマンドを使用すると、Web サーバが認証 POST 要求で必要としている非表示パラメータを指定できます。ヘッダー アナライザを使用する場合は、エンコーディング済みの URL パラメータを含む非表示パラメータ文字列全体をコピーして貼り付けることができます。

入力を簡単にするために、複数の連続行で非表示パラメータを入力できます。ASA では、その複数行を連結して単一の非表示パラメータにします。非表示パラメータ 1 行ごとの最大文字数は 255 文字ですが、各行にはそれより少ない文字しか入力できません。

（注） 文字列に疑問符を含める場合は、疑問符の前に Ctrl+V のエスケープ シーケンスを使用する必要があります。

例

次に、& で区切られた 4 つのフォーム エントリとその値で構成される非表示パラメータの例を示します。POST 要求から抜き出された 4 つのエントリおよびその値は、次のとおりです。

• SMENC、値は ISO-8859-1
• SMLOCALE、値は US-EN
• ターゲット、値は https%3A%2F%2Ftools.cisco.com%2Femco%2Fappdir%2FAreaRoot.do

%3FEMCOPageCode%3DENG

• smauthreason、値は 0

SMENC=ISO-8859-1&SMLOCALE=US-EN&target=https%3A%2F%2Ftools.cisco.com%2Femco%2Fappdir%2FAreaRoot.do%3FEMCOPageCode%3DENG&smauthreason=0

 

関連コマンド

 

構文の説明

 

デフォルト

このコマンドのデフォルト動作は none です。

 

コマンド履歴

 

使用上のガイドライン

非表示共有は、共有名の末尾のドル記号（$）で識別されます。たとえば、ドライブ C は C$ として共有されます。非表示共有では、共有フォルダは表示されず、ユーザはこれらの非表示リソースを参照またはアクセスすることを禁止されます。

hidden-shares コマンドの no 形式を使用すると、コンフィギュレーションからオプションが削除され、グループ ポリシー属性として非表示共有がディセーブルになります。

例

次に、GroupPolicy2 に関連する WebVPN CIFS 非表示共有を可視にする例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトは 15 秒です。

 

コマンド履歴

 

使用上のガイドライン

この値は、ASA によって EIGRP hello パケットでアドバタイズされます。そのインターフェイスの EIGRP ネイバーは、この値を使用してASAの可用性を判断します。アドバタイズされたホールド タイム中に ASA から hello パケットを受信しなかった場合、EIGRP ネイバーは ASA が使用不可であると見なします。

非常に混雑した大規模ネットワークでは、一部のルータおよびアクセス サーバが、デフォルト ホールド タイム内にネイバーから hello パケットを受信できない可能性があります。この場合、ホールド タイムを増やすこともできます。

ホールド タイムは、少なくとも hello 間隔の 3 倍にすることを推奨します。指定したホールド タイム内に ASA で hello パケットを受信しなかった場合、このネイバーを通過するルートは使用不可であると見なされます。

ホールド タイムを増やすと、ネットワーク全体のルート収束が遅くなります。

例

次の例では、EIGRP hello 間隔を 10 秒に、ホールド タイムを 30 秒に設定します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトのホームページはありません。

 

コマンド履歴

 

使用上のガイドライン

グループ ポリシーに関連付けられているユーザのホームページ URL を指定するには、このコマンドで URL 文字列値を入力します。デフォルト グローバル ポリシーからホームページを継承するには、このコマンドの no 形式を使用します。 no オプションを使用すると、値を別のグループ ポリシーから継承できるようになります。ホームページの継承を禁止するには、 homepage none コマンドを使用します。

クライアントレス ユーザには、認証の成功後すぐにこのページが表示されます。AnyConnect は、VPN 接続が正常に確立されると、この URL に対してデフォルトの Web ブラウザを起動します。Linux プラットフォームでは、AnyConnect が現在このコマンドをサポートしていないため、コマンドは無視されます。

例

次に、FirstGroup という名前のグループ ポリシーのホームページとして www.example.com を指定する例を示します。

 

関連コマンド

 

構文の説明

 

コマンド履歴

 

使用上のガイドライン

ブラウザ セッションをモニタし、スマート トンネルが WebVPN 接続中に開始されたことを確認するために HTTP キャプチャ ツールを使用できます。ブラウザ キャプチャの表示内容により、要求が制限されることなく Web ページに転送されるかどうか、またスマート トンネルが使用されているかどうかが判断されます。https://172.16.16.23/+CSCOE+portal.html などが表示された場合、 +CSCO* はコンテンツが ASA によって制限されていることを示しています。スマート トンネルが開始されると、+CSCO* がない特定の URL に対する http get コマンドが表示されます（GET 200 html http://mypage.example.com など）。

例

ベンダー V がパートナー P に自社内部の在庫サーバ ページへのクライアントレス アクセスを提供する場合を考えます。この場合、ベンダー V の管理者は、次の事項を決定する必要があります。

• ユーザは、クライアントレス SSL VPN にログインした後、クライアントレス ポータルを経由するかどうかに関係なく、在庫ページアクセスできますか。
• ページに Microsoft Silverlight コンポーネントが含まれていますが、アクセスするのにスマート トンネルは適切な選択肢ですか。
• ブラウザがトンネリングされると、すべてのトンネル ポリシーによりすべてのブラウザ トラフィックがベンダー V の ASA を経由するように強制され、パートナー P のユーザは内部リソースにアクセスできなくなりますが、すべてをトンネリングするポリシーは適切ですか。

在庫ページが inv.example.com（10.0.0.0）でホストされると仮定すると、次の例では、1 つのホストだけを含むトンネル ポリシーが作成されます。

次に、トンネル指定トンネル ポリシーをパートナーのグループ ポリシーに適用する例を示します。

次に、グループ ポリシーのホーム ページを指定し、そこでスマート トンネルをイネーブルにする例を示します。

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

既存のネットワーク オブジェクトを異なる IP アドレスを使用して設定すると、新しいコンフィギュレーションが既存のコンフィギュレーションに置き換わります。

例

次に、ホスト ネットワーク オブジェクトを作成する例を示します。

 

関連コマンド