Cisco ASA シリーズ コマンド リファレンス、I ～ R コマンド

 

構文の説明

 

デフォルト

デフォルトの設定は次のとおりです。

• アクティブ ユニットのデフォルトの MAC アドレス：00a0.c9 physical_port_number. failover_group_id 01
• スタンバイ ユニットのデフォルトの MAC アドレス：00a0.c9 physical_port_number. failover_group_id 02

 

コマンド履歴

 

使用上のガイドライン

仮想 MAC アドレスがフェールオーバー グループに対して定義されていない場合は、デフォルト値が使用されます。

同じネットワーク上にアクティブ/アクティブ フェールオーバー ペアが複数ある場合は、あるペアのインターフェイスに割り当てられているものと同じデフォルト仮想 MAC アドレスが、他のペアのインターフェイスに割り当てられることがあります。これは、デフォルト仮想 MAC アドレスの決定方法に基づいた動作です。ネットワーク上で MAC アドレスが重複することを回避するには、必ず各物理インターフェイスに仮想のアクティブおよびスタンバイ MAC アドレスを割り当てます。

他のコマンドまたは方法を使用して MAC アドレスを設定することもできますが、1 つの方法だけを使用することを推奨します。複数の方法を使用して MAC アドレスを設定した場合は、どの MAC アドレスが使用されるかは多くの可変要素によって決まるため、予測できないことがあります。

例

次の部分的な例では、フェールオーバー グループで可能な設定を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの MAC アドレスは、物理インターフェイスのバーンドイン MAC アドレスです。サブインターフェイスは、物理インターフェイスの MAC アドレスを継承します。一部のコマンド（シングル モードでのこのコマンドを含む）は物理インターフェイスの MAC アドレスを設定するため、継承されるアドレスはその設定によって異なります。

 

コマンド履歴

 

使用上のガイドライン

マルチ コンテキスト モードでは、コンテキスト間でインターフェイスを共有した場合、各コンテキストでそれぞれ固有の MAC アドレスをインターフェイスに割り当てることができます。この機能を使用すると、ASA はパケットを適切なコンテキストに容易に分類できます。固有の MAC アドレスがなくても共有インターフェイスを使用できますが、制限があります。詳細については、CLI 設定ガイド を参照してください。

このコマンドで各 MAC アドレスを手動で割り当てることができます。あるいは mac-address auto コマンドを使用して、コンテキストで共有インターフェイスの MAC アドレスを自動的に生成できます。MAC アドレスを自動的に生成する場合、 mac-address コマンドを使用して、生成されたアドレスを上書きできます。

シングル コンテキスト モード、またはマルチ コンテキスト モードで共有されないインターフェイスの場合は、固有の MAC アドレスをサブインターフェイスに割り当てることを推奨します。たとえば、サービス プロバイダーによっては、MAC アドレスに基づいてアクセス コントロールを実行する場合があります。

他のコマンドまたは方法を使用して MAC アドレスを設定することもできますが、1 つの方法だけを使用することを推奨します。複数の方法を使用して MAC アドレスを設定した場合は、どの MAC アドレスが使用されるかは多くの可変要素によって決まるため、予測できないことがあります。

クラスタリングの場合は、スパンド EtherChannel のグローバル MAC アドレスを設定する必要があります。MAC アドレスが手動設定されている場合、その MAC アドレスは現在のマスター ユニットに留まります。マルチ コンテキスト モードでは、コンテキスト間でインターフェイスを共有した場合、MAC アドレスの自動生成をイネーブルにする必要があります。非共有インターフェイスについては MAC アドレスを手動で設定する必要があることに注意してください。

ルーテッド モードのサイト間クラスタリングの場合は、各サイトのマスター ユニットでサイト固有の MAC アドレスと IP アドレスを設定してから、各ユニットで site-id コマンドを使用してそれをサイトに割り当てます。

例

次に、GigabitEthernet 0/1.1 の MAC アドレスを設定する例を示します。

次に、スパンド EtherChannel ポートチャネル 1のサイト固有 MAC アドレスを設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

自動 MACアドレス 生成はデフォルトでディスエーブルになっています（デフォルトでイネーブルになっている ASASM の場合を除く）。イネーブルにすると、ASA は、インターフェイス（ASA 5500-X）またはバックプレーン（ASASM）MAC アドレスの最後の 2 バイトに基づいてプレフィックスを自動生成します。必要に応じて、プレフィックスをカスタマイズできます。

MAC アドレスの生成をディセーブルにした場合は、デフォルトの MAC アドレスは次のようになります。

• ASA 5500-X シリーズ アプライアンスの場合：物理インターフェイスはバーンドイン MAC アドレスを使用し、1 つの物理インターフェイスのすべてのサブインターフェイスは同じバーンドイン MAC アドレスを使用します。
• ASASM の場合：すべての VLAN インターフェイスが同じ MAC アドレスを使用します。これは、バックプレーンの MAC アドレスから導出されたものです。

 

コマンド履歴

 

使用上のガイドライン

インターフェイスを共有するコンテキストを許可するには、固有の MAC アドレスを各共有コンテキスト インターフェイスに割り当てることを推奨します。MAC アドレスは、コンテキスト内でパケットを分類するために使用されます。インターフェイスを共有するものの、各コンテキストにインターフェイスの固有の MAC アドレスがない場合は、宛先 IP アドレスがパケットの分類に使用されます。宛先アドレスは、コンテキスト NAT コンフィギュレーションと照合されます。この方法には、MAC アドレスの方法に比べるといくつか制限があります。パケットの分類の詳細については、CLI 設定ガイドを参照してください。

生成した MAC アドレスがネットワーク内の別のプライベート MAC アドレスと競合することがまれにあります。この場合は、コンテキスト内のインターフェイスの MAC アドレスを手動で設定できます。MAC アドレスを手動で設定するには、 mac-address コマンドを参照してください。

手動 MAC アドレスとの通信

MAC アドレスを手動で割り当てた場合、自動生成がイネーブルになっていても、手動で割り当てた MAC アドレスが使用されます。後で手動 MAC アドレスを削除すると、自動生成されたアドレスが使用されます。

自動生成されたアドレスは A2 で始まるため、手動 MAC アドレスを A2 で始めることはできません。たとえ自動生成も使用する予定であってもそれは同じです。

フェールオーバー用の MAC アドレス

フェールオーバーで使用できるように、ASA はインターフェイスごとにアクティブとスタンバイの両方の MAC アドレスを生成します。アクティブ ユニットがフェールオーバーしてスタンバイ ユニットがアクティブになると、その新規アクティブ ユニットがアクティブな MAC アドレスの使用を開始して、ネットワークの切断を最小限に抑えます。詳細については、“プレフィックスを使用する場合の MAC アドレス形式”を参照してください。

prefix キーワードが追加される前に従来のバージョンの mac-address auto コマンドを使用してフェールオーバー ユニットをアップグレードする場合は、“プレフィックスを使用しない場合の MAC アドレス形式（従来の方法）”の項を参照してください。

プレフィックスを使用する場合の MAC アドレス形式

ASA は、次の形式を使用して MAC アドレスを生成します。

A2 xx.yyzz.zzzz

xx.yy はユーザ定義プレフィックスまたはインターフェイス（ASA 5500）またはバックプレーン（ASASM）MAC アドレスの最後の 2 バイトに基づいて自動生成されたプレフィックス、 zz.zzzz は ASA によって生成される内部カウンタです。スタンバイ MAC アドレスの場合、内部カウンタが 1 増えることを除けばアドレスは同じです。

プレフィックスの使用方法を示す例の場合、プレフィックス 77 を設定すると、ASA は 77 を 16 進数値 004D（ yyxx ）に変換します。MAC アドレスで使用すると、プレフィックスは ASA ネイティブ形式に一致するように逆にされます（ xxyy ）。

A2 4D.00 zz.zzzz

プレフィックス 1009（03F1）の場合、MAC アドレスは次のようになります。

A2 F1.03 zz.zzzz

プレフィックスを使用しない場合の MAC アドレス形式（従来の方法）

この方法は、フェールオーバーを使用しており、バージョン 8.6 以降にアップグレードした場合に使用できます。この場合、プレフィックス方式を手動でイネーブルにする必要があります。

プレフィックスを指定しないと、MAC アドレスは次の形式で生成されます。

• アクティブ ユニットの MAC アドレス：12_ slot. port _ subid. contextid.
• スタンバイ ユニットの MAC アドレス：02_ slot. port _ subid. contextid.

インターフェイス スロットがないプラットフォームの場合、スロットは常に 0 です。 port はインターフェイス ポートです。 subid は、表示不可能なサブインターフェイスの内部 ID です。 contextid は、 show context detail コマンドで表示可能なコンテキストの内部 ID です。たとえば、ID 1 のコンテキスト内のインターフェイス GigabitEthernet 0/1.200 には、次の生成済み MAC アドレスがあります。サブインターフェイス 200 の内部 ID は 31 です。

• アクティブ：1200.0131.0001
• スタンバイ：0200.0131.0001

この MAC アドレス生成方法では、リロード間で MAC アドレスが持続されず、同じネットワーク セグメントに複数の ASA を配置できず（固有の MAC アドレスが保証されないため）、手動で割り当てた MAC アドレスとの MAC アドレスの重複が回避されません。これらの問題を回避するため、プレフィックスを使用して MAC アドレスを生成することをお勧めします。

MAC アドレスが生成される場合

コンテキストでインターフェイスの nameif コマンドを設定すると、ただちに新規 MAC アドレスが生成されます。コンテキスト インターフェイスを設定した後でこのコマンドをイネーブルにした場合、コマンドを入力するとただちにすべてのインターフェイスの MAC アドレスが生成されます。 no mac-address auto コマンドを使用すると、各インターフェイスの MAC アドレスはデフォルトの MAC アドレスに戻ります。たとえば、GigabitEthernet 0/1 のサブインターフェイスは GigabitEthernet 0/1 の MAC アドレスを使用するようになります。

他の方法を使用した MAC アドレスの設定

他のコマンドまたは方法を使用して MAC アドレスを設定することもできますが、1 つの方法だけを使用することを推奨します。複数の方法を使用して MAC アドレスを設定した場合は、どの MAC アドレスが使用されるかは多くの可変要素によって決まるため、予測できないことがあります。

システム コンフィギュレーションでの MAC アドレスの表示

システム実行スペースから割り当てられた MAC アドレスを表示するには、 show running-config all context コマンドを入力します。

割り当てられた MAC アドレスを表示するには、 all オプションが必要です。このコマンドはグローバル コンフィギュレーション モードでのみユーザによる設定が可能ですが、 mac-address auto コマンドは割り当てられた MAC アドレスとともに各コンテキストのコンフィギュレーションに読み取り専用エントリとして表示されます。コンテキスト内で nameif コマンドで設定される割り当て済みのインターフェイスだけに MAC アドレスが割り当てられます。

（注） MAC アドレスをインターフェイスに手動で割り当てるものの、その際に自動生成がイネーブルになっていると、手動 MAC アドレスが使用中のアドレスとなりますが、コンフィギュレーションには自動生成されたアドレスが引き続き表示されます。後で手動 MAC アドレスを削除すると、表示されている自動生成アドレスが使用されます。

コンテキスト内の MAC アドレスの表示

コンテキスト内の各インターフェイスで使用されている MAC アドレスを表示するには、 show interface | include (Interface)|(MAC) コマンドを入力します。

（注） show interface コマンドは、使用中の MAC アドレスを表示します。MAC アドレスを手動で割り当てた場合に、自動生成がイネーブルになっていたときは、システム コンフィギュレーション内の未使用の自動生成アドレスのみを表示できます。

例

次に、プレフィックス 78 で自動 MAC アドレス生成をイネーブルにする例を示します。

show running-config all context admin コマンドからの次の出力には、Management0/0 インターフェイスに割り当てられたプライマリおよびスタンバイ MAC アドレスが表示されます。

show running-config all context コマンドからの次の出力には、すべてのコンテキスト インターフェイスのすべての MAC アドレス（プライマリおよびスタンバイ）が表示されます。GigabitEthernet0/0 と GigabitEthernet0/1 の各メイン インターフェイスはコンテキスト内部に nameif コマンドで設定されないため、それらのインターフェイスの MAC アドレスは生成されていないことに注意してください。

 

関連コマンド

 

構文の説明

 

コマンド デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

このプールは、インターフェイス コンフィギュレーション モードの mac-address cluster-pool コマンドで使用できます。インターフェイスに MAC アドレスを手動で設定することはあまりありませんが、そのような場合には、このプールを使用して各インターフェイスに一義的な MAC アドレスを割り当てます。

例

次に、8 個の MAC アドレスを含む MAC アドレス プールを追加し、GigabitEthernet 0/0 インターフェイスに割り当てる例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトのタイムアウトは 5 分です。

 

コマンド履歴

 

使用上のガイドライン

使用方法のガイドラインはありません。

例

次に、MAC アドレスのタイムアウトを 10 分に設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次に、スタティック MAC アドレスのエントリを MAC アドレス テーブルに追加する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次に、外部インターフェイスでの MAC アドレス学習をディセーブルにする例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

認証および許可からの MAC アドレスの削除をイネーブルにするには、 aaa mac-exempt コマンドを使用します。1 つの aaa mac-exempt コマンドのみを追加できるため、削除するすべての MAC アドレスが MAC アドレス リストに含まれていることを確認してください。複数の MAC リストを作成できますが、一度に使用できるのは 1 つだけです。

例

次の例では、1 個の MAC アドレスに対する認証をバイパスします。

次のエントリでは、ハードウェア ID が 0003.E3 であるすべての Cisco IP Phone について、認証をバイパスします。

次の例では、00a0.c95d.02b2 以外の MAC アドレス グループの認証をバイパスします。00a0.c95d.02b2 は許可ステートメントにも一致するため、許可ステートメントよりも前に拒否ステートメントを入力します。許可ステートメントが前にある場合、拒否ステートメントには一致しません。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次に、特定のドメインへのメール中継を設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドを使用すると、フル トンネル IPsec VPN または SSL VPN クライアント（AnyConnect 2.x クライアント、SVC 1.x）を使用するときや、サイトツーサイト IPsec トンネルを横断するときには、ASA への通過ルートとなるインターフェイス以外のインターフェイスに接続できます。ASA 管理インターフェイスへの接続には Telnet、SSH、Ping、または ASDM を使用できます。

管理アクセス インターフェイスは 1 つだけ定義できます。

9.5(1) 以降、別個の管理/データ ルーティング テーブルでのルーティングを考慮すると、VPN の端末インターフェイスと管理アクセス インターフェイスは同じ種類である（つまり両方とも管理専用インターフェイスであるか、通常のデータ インターフェイスである）必要があります。したがって、稀に VPN 端末インターフェイスが管理専用である場合を除き、管理専用インターフェイス上には管理アクセスを設定しないでください。

管理アクセス インターフェイスと VPN ネットワークの間でアイデンティティ NAT を使用する場合（VPN トラフィックに共通の NAT コンフィギュレーションを使用する場合）、 nat コマンドの route-lookup キーワードを指定する必要があります。ルート ルックアップがない場合、ASA は、ルーティング テーブルの内容に関係なく、 nat コマンドで指定されたインターフェイスからトラフィックを送信します。たとえば、 management-access inside を設定すると、VPN ユーザが外部から内部インターフェイスを管理できます。アイデンティティ nat コマンドで (inside,outside) を指定した場合、ASA で、内部ネットワークに管理トラフィックを送信しません。これは、内部インターフェイスの IP アドレスには戻りません。ルート ルックアップ オプションを使用すると、ASA は、内部ネットワークの代わりに内部インターフェイスの IP アドレスに直接トラフィックを送信できます。VPN クライアントから内部ネットワーク上のホストへのトラフィックの場合、ルート ルックアップ オプションがあっても正しい出力インターフェイス（内部）になるため、通常のトラフィック フローは影響を受けません。

例

次に、ファイアウォール インターフェイスを管理アクセス インターフェイスとして inside という名前で設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

Management n / n インターフェイス（該当するモデルを使用している場合）は、デフォルトで管理専用モードに設定されます。

 

コマンド履歴

 

使用上のガイドライン

ほとんどのモデルには、Management n / n という専用の管理インターフェイスが含まれ、ASA へのトラフィックをサポートするようになっています。ただし、 management-only コマンドを使用することで、任意のインターフェイスを管理専用インターフェイスとして設定できます。

（注） ASA 5585-X を除くすべてのモデルでは、管理インターフェイスの管理専用モードをディセーブルにすることはできません。このコマンドはデフォルトで常にイネーブルになります。

トランスペアレント ファイアウォール モードでは、許可される最大通過トラフィック インターフェイスに加えて、管理インターフェイス（物理インターフェイス、サブインターフェイス（使用しているモデルでサポートされている場合）、管理インターフェイスからなる EtherChannel インターフェイス（複数の管理インターフェイスがある場合）のいずれか）を個別の管理インターフェイスとして使用できます。他のインターフェイス タイプは管理インターフェイスとして使用できません。

使用しているモデルに管理インターフェイスが含まれていない場合は、データ インターフェイスからトランスペアレント ファイアウォールを管理する必要があります。

マルチ コンテキスト モードでは、どのインターフェイスも（これには管理インターフェイスも含まれます）、コンテキスト間で共有させることはできません。コンテキスト単位で管理を行うには、管理インターフェイスのサブインターフェイスを作成し、管理サブインターフェイスを各コンテキストに割り当てます。ASA 5585-X 以外では、管理インターフェイスがサブインターフェイスを許可しないため、コンテキスト単位で管理を行うにはデータ インターフェイスに接続する必要があることに注意してください。

管理インターフェイスは、通常のブリッジ グループの一部ではありません。動作上の目的から、設定できないブリッジ グループの一部です。

例

次に、管理インターフェイスで管理専用モードをディセーブルにする例を示します。

次に、サブインターフェイスで管理専用モードをイネーブルにする例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルト設定はありません。

 

コマンド履歴

 

使用上のガイドライン

アドレスとポートのマッピング (MAP) は、主にサービスプロバイダー (SP) ネットワークで使用する機能です。サービス プロバイダーは、IPv6 専用ネットワーク、MAP ドメインを稼働でき、同時に、IPv4 専用のサブスクライバをサポートし、パブリック インターネット上の IPv4 専用サイトとの通信ニーズに対応します。MAP は、RFC7597、RFC7598、および RFC7599 で定義されています。

MAP ドメイン内のサービスプロバイダーの場合、NAT46 を介した MAP の利点は、サブスクライバの IPv4 アドレスに対する IPv6 アドレスの代替（および SP ネットワークエッジでの IPv4 への変換）がステートレスであることです。これにより、NAT46 と比較して SP ネットワーク内の効率が向上します。

MAP 変換（MAP-T）と MAP カプセル化（MAP-E）という 2 つのマップ技術があります。ASA は MAP-T をサポートしています。MAP-E はサポートされていません。

MAP-T を設定するには、1 つまたは複数のドメインを作成します。カスタマーエッジ（CE）およびボーダーリレー（BR）デバイスで MAP-T を設定する場合は、各ドメインに参加するデバイスごとに同じパラメータを使用するようにしてください。

最大 25 個の MAP-T ドメインを設定できます。マルチコンテキストモードでは、コンテキストごとに最大 25 のドメインを設定できます。

例

次の例では、1 という名前の MAP-T ドメインを作成して、ドメインの変換ルールを設定しています。

 

関連コマンド

 

構文の説明

 

構文の説明構文の説明

 

デフォルト

デフォルトでは、名前のマッピングはありません。

 

コマンド履歴

 

使用上のガイドライン

map-name コマンドでは、独自の属性名をシスコ属性名にマッピングできます。その後、作成された属性マップを LDAP サーバにバインドできます。一般的な手順には次のものが含まれます。

1. グローバル コンフィギュレーション モードで ldap attribute-map コマンドを使用し、何も入力されていない属性マップを作成します。このコマンドにより、LDAP 属性マップ コンフィギュレーション モードが開始されます。

2. LDAP 属性マップ コンフィギュレーション モードで map-name コマンドと map-value コマンドを使用し、属性マップに情報を入力します。

3. AAA サーバ ホスト モードで ldap-attribute-map コマンドを使用し、属性マップを LDAP サーバにバインドします。このコマンドでは、「ldap」の後にハイフンを入力しないでください。

（注） 属性マッピング機能を正しく使用するには、Cisco LDAP 属性名と値の両方を理解し、さらにユーザ定義属性名と値を理解しておく必要があります。

例

次に、LDAP 属性マップ myldapmap でユーザ定義の属性名 Hours をシスコ属性名 cVPN3000-Access-Hours にマッピングする例を示します。

LDAP 属性マップ コンフィギュレーション モードで「?」を入力すると、シスコのすべての LDAP 属性名を表示できます。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトでは、Cisco Intercompany Media Engine プロキシのオフパス配置のためのマッピング サービスは、TCP ポート 8060 でリッスンします。

 

コマンド履歴

 

使用上のガイドライン

ASA の Cisco Intercompany Media Engine プロキシのオフパス配置の場合、マッピング サービスをプロキシ コンフィギュレーションに追加します。マッピング サービスを設定するには、マッピング要求をリッスンする外部インターフェイス（リモート エンタープライズ側）およびリモートの Cisco UCM に接続するインターフェイスを指定する必要があります。

（注） Cisco Intercompany Media Engine プロキシに対して設定できるマッピング サーバは 1 つだけです。

Cisco Intercompany Media Engine プロキシがオフパス配置に対して設定されたときにマッピング サービスを設定します。

オフ パス配置では、Cisco Intercompany Media Engine のインバウンド コールおよびアウトバウンド コールは、Cisco Intercompany Media Engine プロキシを使用してイネーブルにされた適応型セキュリティ アプライアンスを通過します。適応型セキュリティ アプライアンスは DMZ にあり、主に Cisco Intercompany Media Engine をサポートするように設定されています。通常のインターネットに接続するトラフィックは、この ASA を通過しません。

すべてのインバウンド コールのシグナリングは、宛先の Cisco UCM のグローバル IP アドレスがASA 上に設定されているため、ASA に誘導されます。アウトバウンド コールの場合、着信側はインターネット上の任意の IP アドレスになる可能性があります。そのため、ASA には、インターネット上の着信側のグローバル IP アドレスごとに ASA 上で内部 IP アドレスを動的に提供するマッピング サービスが設定されます。

Cisco UCM は、すべてのアウトバウンド コールを、インターネット上の着信側のグローバル IP アドレスではなく、適応型セキュリティ アプライアンス上のマッピング内部 IP アドレスに直接送信します。その後、ASA によって、それらのコールは着信側のグローバル IP アドレスに転送されます。

例

次に... をする例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトでは、シスコ属性にマッピングされるユーザ定義の値がありません。

 

コマンド履歴

 

使用上のガイドライン

map-value コマンドでは、ユーザ定義の属性値をシスコ属性名および属性値にマッピングできます。その後、作成された属性マップを LDAP サーバにバインドできます。一般的な手順には次のものが含まれます。

1. グローバル コンフィギュレーション モードで ldap attribute-map コマンドを使用し、何も入力されていない属性マップを作成します。このコマンドにより、LDAP 属性マップ コンフィギュレーション モードが開始されます。

2. LDAP 属性マップ コンフィギュレーション モードで map-name コマンドと map-value コマンドを使用し、属性マップに情報を入力します。

3. AAA サーバ ホスト モードで ldap-attribute-map コマンドを使用し、属性マップを LDAP サーバにバインドします。このコマンドでは、「ldap」の後にハイフンを入力しないでください。

（注） 属性マッピング機能を正しく使用するには、Cisco LDAP 属性名と値の両方を理解し、さらにユーザ定義属性名と値を理解しておく必要があります。

例

次に、LDAP 属性マップ コンフィギュレーション モードを開始し、ユーザ定義の属性 Hours のユーザ定義の値をユーザ定義の時間ポリシー workDay とシスコ定義の時間ポリシー Daytime に設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

インスペクション ポリシー マップは、1 つ以上の match コマンドと class コマンドで構成されます。インスペクション ポリシー マップで使用できる実際のコマンドは、アプリケーションによって異なります。 match コマンドまたは class コマンドを入力して、アプリケーション トラフィック（ class コマンドは、 match コマンドが含まれている既存の class-map type inspect コマンドを参照します）を識別した後、 mask コマンドを入力して、 match コマンドまたは class コマンドに一致するパケットの一部をマスクできます。

レイヤ 3/4 のポリシー マップ（ policy-map コマンド）で inspect コマンドを使用してアプリケーション インスペクションをイネーブルにすると、このアクションを含むインスペクション ポリシー マップをイネーブルにできます。たとえば、 inspect dns dns_policy_map コマンドを入力します。ここで dns_policy_map はインスペクション ポリシー マップの名前です。

例

次に、ASA でのトラフィックの通過を許可する前に、DNS ヘッダーで RD フラグおよび RA フラグをマスクする例を示します。

 

関連コマンド

 

構文の説明

このコマンドには引数またはキーワードはありません。

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次に、サーバ バナーをマスクする例を示します。

 

関連コマンド

 

構文の説明

このコマンドには引数またはキーワードはありません。

 

デフォルト

このコマンドは、デフォルトでイネーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

クライアントから FTP サーバ システムを保護するには、厳格な FTP インスペクションで mask-syst-reply コマンドを使用します。このコマンドをイネーブルにすると、 syst コマンドに対するサーバからの応答は一連の X に置き換えられます。

例

次に、ASA で syst コマンドに対する FTP サーバの応答を一連の X に置き換える例を示します。

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

モジュラ ポリシー フレームワークの設定手順は、次の 4 つの作業で構成されます。

1. class-map コマンドを使用して、アクションを適用するレイヤ 3 と 4 のトラフィックを指定します。

class-map コマンドを入力した後、 match access-list コマンドを入力してトラフィックを識別できます。または、別のタイプの match コマンド（ match port コマンドなど）を入力できます。クラス マップには 1 つの match access-list コマンドのみを含めることができ、他のタイプの match コマンドとは組み合わせることができません。ASA でインスペクトできるすべてのアプリケーションが使用するデフォルトの TCP ポートおよび UDP ポートを照合する match default-inspection-traffic コマンドを定義する場合は、例外として match access-list コマンドを使用して照合するトラフィックの範囲を絞り込めます。 match default-inspection-traffic コマンドによって照合するポートが指定されるため、アクセス リストのポートはすべて無視されます。

2. （アプリケーション インスペクションのみ） policy-map type inspect コマンドを使用して、アプリケーション インスペクション トラフィックの特別なアクションを定義します。

3. policy-map コマンドを使用して、レイヤ 3 と 4 のトラフィックにアクションを適用します。

4. service-policy コマンドを使用して、インターフェイスでのアクションをアクティブにします。

例

次に、3 つのアクセス リストに一致する 3 つのレイヤ 3/4 クラス マップを作成する例を示します。

 

関連コマンド

 

構文の説明

このコマンドには引数またはキーワードはありません。

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

モジュラ ポリシー フレームワークの設定手順は、次の 4 つの作業で構成されます。

1. class-map コマンドを使用して、アクションを適用するレイヤ 3 と 4 のトラフィックを指定します。

class-map コマンドを入力した後、 match any コマンドを入力してすべてのトラフィックを識別できます。または、別のタイプの match コマンド（ match port コマンドなど）を入力できます。 match any コマンドは、他のタイプの match コマンドとは組み合わせることができません。

2. （アプリケーション インスペクションのみ） policy-map type inspect コマンドを使用して、アプリケーション インスペクション トラフィックの特別なアクションを定義します。

3. policy-map コマンドを使用して、レイヤ 3 と 4 のトラフィックにアクションを適用します。

4. service-policy コマンドを使用して、インターフェイスでのアクションをアクティブにします。

例

次に、クラス マップおよび match any コマンドを使用して、トラフィック クラスを定義する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドは、GTP ポリシー マップで設定できます。

例

次に、GTP インスペクション ポリシー マップのアクセス ポイント名に関して一致条件を設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

Diameter インスペクションでは、すべてのアプリケーションが許可されます。

 

コマンド履歴

 

使用上のガイドライン

このコマンドは、Diameter インスペクション クラス マップまたは Diameter インスペクション ポリシー マップで設定できます。このコマンドを使用すると、Diameter アプリケーション ID に基づいてトラフィックをフィルタ処理できます。その後、パケットをドロップしたり、接続をドロップしたり、一致するトラフィックをログに記録したりすることができます。

これらのアプリケーションは IANA に登録されます。次のコア アプリケーションがサポートされますが、他のアプリケーションもフィルタ処理できます。アプリケーション名のリストについては、CLI ヘルプを参照してください。

• 3gpp-rx-ts29214 （16777236）
• 3gpp-s6a （16777251）
• 3gpp-s9 （16777267）
• common-message （0）（基本 Diameter プロトコル）

http://www.iana.org/assignments/aaa-parameters/aaa-parameters.xhtml [英語] に IETF の登録済みアプリケーション、コマンド コード、および属性値ペアのリストがありますが、このリストにあるすべての項目が Diameter インスペクションでサポートされているわけではありません。技術仕様については、3GPP Web サイトを参照してください。

例

次に、アプリケーション ID 3gpp-s6a と 3gpp-s13 に関して一致条件を設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

パス リストは定義されません。

 

コマンド履歴

 

使用上のガイドライン

match as-path コマンドおよび set weight コマンドで設定した値はグローバル値よりも優先されます。たとえば、ルート マップ コンフィギュレーションの match as-path コマンドおよび set weight コマンドで割り当てた重みは、neighbor weight コマンドで割り当てた重みよりも優先されます。

ルート マップは、いくつかの部分にわかれている可能性があります。route-map コマンドに関連付けられているどの match ステートメントとも一致しないルートは無視されます。したがって、そのルートは発信ルート マップ用にアドバタイズされることも、着信ルート マップ用に受け入れられることもありません。一部のデータのみを変更したい場合は、別のルートマップ セクションに明示的に match を指定する必要があります。この方法でパス リスト名を複数指定することができます。

例

次に、自律システム（AS）パスと BGP AS パス アクセス リスト as-path-acl を照合する設定の例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

Diameter インスペクションでは、すべての AVP が許可されます。

 

コマンド履歴

 

使用上のガイドライン

このコマンドは、Diameter インスペクション クラス マップまたは Diameter インスペクション ポリシー マップで設定できます。このコマンドを使用すると、Diameter AVP に基づいてトラフィックをフィルタ処理できます。その後、パケットをドロップしたり、接続をドロップしたり、一致するトラフィックをログに記録したりすることができます。

AVP 名のリストについては、CLI ヘルプを参照してください。 http://www.iana.org/assignments/aaa-parameters/aaa-parameters.xhtml [英語] に IETF の登録済みアプリケーション、コマンド コード、および属性値ペアのリストがありますが、このリストにあるすべての項目が Diameter インスペクションでサポートされているわけではありません。技術仕様については、3GPP Web サイトを参照してください。

値の照合を設定する場合は、サポートされているデータ タイプに固有の値オプションの構文は次のとおりです。

• Diameter アイデンティティ、Diameter URI、オクテット文字列：これらのデータ タイプの照合には正規表現または正規表現クラス オブジェクトを使用します。

{ regex regex_name | class regex_class }

• [Address]：照合する IPv4 または IPv6 アドレスを指定します。たとえば、10.100.10.10 または 2001:DB8::0DB8:800:200C:417A。
• [Time]：開始日時と終了日時を指定します。両方を指定する必要があります。時間は 24 時間形式で指定します。

date year month day time hh : mm : ss date year month day time hh : mm : ss

次に例を示します。

date 2015 feb 5 time 12:00:00 date 2015 mar 9 time 12:00:00

• 数値：番号の範囲を指定します。

range number_1 number_2

有効な番号の範囲は、データ タイプによって異なります。

– Integer32：-2147483647 ～ 2147483647

– Integer64：-9223372036854775807 ～ 9223372036854775807

– Unsigned32：0 ～ 4294967295

– Unsigned64：0 ～ 18446744073709551615

– Float32：8 桁の小数点表現

– Float64：16 桁精度の小数点表記

例

次に、機能交換要求/応答コマンド メッセージで host-ip-address AVP に含まれる特定の IP アドレスに関して一致条件を設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次に、ESMTP インスペクション ポリシー マップで本文 1 行の長さに関して一致条件を設定する例を示します。

ciscoasa(config-pmap)# match body line length gt 1000

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次に、H.323 インスペクション クラス マップで着信側に関して一致条件を設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次に、H.323 インスペクション クラス マップで発信側に関して一致条件を設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

PKI 証明書検証プロセスでは、セキュリティを維持するために、ASA によって証明書の失効ステータスがチェックされます。これには、CRL チェックまたはオンライン認証ステータス プロトコル（OCSP）のどちらかが使用されます。CRL チェックを使用すると、ASA によって、無効になった証明書がすべてリストされている CRL が取得、解析、およびキャッシュされます。OCSP は失効ステータスを確認する拡張性の高い方法であり、検証局で証明書ステータスをローカライズします。この検証局が特定の証明書のステータスを問い合わせます。

証明書一致ルールには、OCSP URL オーバーライドを設定できます。このオーバーライドには、リモート ユーザ証明書の AIA フィールドの URL ではなく、失効ステータスを確認するための URL を指定します。一致ルールには、OCSP 応答側証明書の検証に使用するトラストポイントも設定できます。これにより、ASA は自己署名証明書やクライアント証明書の検証パスの外部にある証明書など任意の CA からの応答側証明書を検証できます。

OCSP と同様に、 match certificate コマンドを使用して CDP URL のオーバーライドを設定できます。このコマンドは、証明書マップを介したスタティック CDP URL の識別をサポートします。CRL 検証が必要な証明書ごとに、証明書の CDP 拡張とこの設定にマッピングされている URL に基づいて CRL が取得されます。 config-ca-crl サブモードで policy コマンドを使用すると、証明書またはスタティック CDP から CDP を除外できます。

OCSP を設定するときは、次の要件に注意してください。

• 1 つのトラストポイント コンフィギュレーション内に複数の一致ルールを設定できますが、各クリプト CA 証明書マップに指定できる一致ルールは 1 つだけです。ただし、複数のクリプト CA 証明書マップを設定し、それらを同じトラストポイントに関連付けることができます。
• 一致ルールを設定する前に、証明書マップを設定する必要があります。
• 自己署名 OCSP 応答側証明書を検証するようにトラストポイントを設定するには、自己署名応答側証明書を信頼できる CA 証明書として独自のトラストポイントにインポートします。次に、自己署名 OCSP 応答側証明書が含まれているトラストポイントを使用して応答側証明書を検証するように、トラストポイントを検証するクライアント証明書の match certificate コマンドを設定します。同じことが、クライアント証明書の検証パスの外部にある応答側証明書の検証にも当てはまります。
• クライアント証明書と応答側証明書の両方を同じ CA が発行している場合には、1 つのトラストポイントでどちらも検証できます。しかし、クライアント証明書と応答側証明書を発行している CA が異なる場合は、トラストポイントを証明書ごとに 1 つずつ計 2 つ設定する必要があります。
• OCSP サーバ（応答側）証明書は一般に、OCSP 応答に署名します。ASA が応答を受け取ると、応答側の証明書を検証しようとします。CA は通常、自身の OCSP 応答側証明書のライフタイムを比較的短い期間に設定して、証明書が侵害される可能性を最小限に抑えます。CA は一般に、応答側証明書に ocsp-no-check 拡張を含めて、この証明書では失効ステータス チェックが必要ないことを示します。しかし、この拡張が含まれていない場合、ASA はトラストポイントに指定されているものと同じ方法で自身の失効ステータスをチェックしようとします。応答側証明書が検証可能でない場合、失効チェックは失敗します。この可能性を防ぐには、 revocation-check none コマンドを使用して応答側の証明書を検証するトラストポイントを設定し、 r evocation-check ocsp コマンドを使用してクライアント証明書を設定します。
• ASA は、一致が見つからない場合、 ocsp url コマンドで指定された URL を使用します。 ocsp url コマンドが設定されていない場合、ASA はリモート ユーザ証明書の AIA フィールドを使用します。証明書に AIA 拡張がない場合、失効ステータスのチェックは失敗します。

例

次に、newtrust という名前のトラストポイントの証明書一致ルールを作成する例を示します。ルールには、マップ名 mymap、シーケンス番号 4、トラストポイント mytrust があり、URL として 10.22.184.22 が指定されています。

次に、クリプト CA 証明書マップを設定し、CA 証明書が含まれているトラストポイントを識別して応答側証明書を検証するための一致証明書ルールを設定する例を示します。この証明書が必要になるのは、newtrust トラストポイントで識別した CA が OCSP 応答側証明書を発行していない場合です。

ステップ 1 マップ ルールの適用先のクライアント証明書を識別する証明書マップを設定します。この例では、証明書マップの名前は mymap で、シーケンス番号は 1 です。サブジェクト名に mycert という CN 属性が含まれているクライアント証明書はどれも、mymap エントリに一致します。

ステップ 2 OCSP 応答側証明書の検証に使用する CA 証明書が含まれているトラストポイントを設定します。自己署名証明書の場合、これは自己署名証明書自体であり、インポートされてローカルに信頼できるようになっています。この目的で外部の CA 登録を介して証明書を取得することもできます。CA 証明書に貼り付けるように求められたら貼り付けます。

ステップ 3 OCSP を失効チェック方法にして、元のトラストポイント newtrust を設定します。次に、ステップ 2 で設定した証明書マップ mymap および自己署名トラストポイント mytrust を含めた一致ルールを設定します。

クライアント証明書認証に newtrust トラストポイントを使用する接続はどれも、mymap 証明書マップに指定されている属性ルールにクライアント証明書が一致するかどうかを確認します。一致する場合、ASA は、10.22.184.22 にある OCSP 応答側にアクセスして証明書失効ステータスを確認します。次に、mytrust トラストポイントを使用して、応答側証明書を検証します。

（注） newtrust トラストポイントは、OCSP 経由でクライアント証明書の失効チェックを実行するように設定されます。ただし、mytrust トラストポイントにはデフォルトの失効チェック方法が設定されています。デフォルトは none であるため、OCSP 応答側証明書に対して失効チェックは実行されません。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

トラストプールの match コマンドでは、証明書マップ オブジェクトを利用して、証明書固有の例外やグローバル トラストプール ポリシーに対するオーバーライドを設定します。一致ルールは検証する証明書ごとに記述されます。

 

関連コマンド

 

構文の説明

このコマンドには引数またはキーワードはありません。

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

トラストプールの match コマンドでは、証明書マップ オブジェクトを利用して、証明書固有の例外やグローバル トラストプール ポリシーに対するオーバーライドを設定します。一致ルールは検証する証明書ごとに記述されます。

例

次に、サブジェクト DN の共通名が「mycompany123」である証明書に対する有効性チェックをスキップする例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次に、ESMTP トランザクションで交換される verb（メソッド）NOOP に関して一致条件を ESMTP インスペクション ポリシー マップに設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

Diameter インスペクションでは、すべてのコマンド コードが許可されます。

 

コマンド履歴

 

使用上のガイドライン

このコマンドは、Diameter インスペクション クラス マップまたは Diameter インスペクション ポリシー マップで設定できます。このコマンドを使用すると、Diameter コマンド コードに基づいてトラフィックをフィルタ処理できます。その後、パケットをドロップしたり、接続をドロップしたり、一致するトラフィックをログに記録したりすることができます。

http://www.iana.org/assignments/aaa-parameters/aaa-parameters.xhtml [英語] に IETF の登録済みアプリケーション、コマンド コード、および属性値ペアのリストがありますが、このリストにあるすべての項目が Diameter インスペクションでサポートされているわけではありません。技術仕様については、3GPP Web サイトを参照してください。

例

次に、機能交換要求/応答コマンド メッセージで host-ip-address AVP に含まれる特定の IP アドレスに関して一致条件を設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

ルート マップではコミュニティ リストの照合は行われません。

 

コマンド履歴

 

使用上のガイドライン

ルート マップは、いくつかの部分にわかれている可能性があります。route-map コマンドに関連付けられているどの match コマンドとも一致しないルートは無視されます。したがって、そのルートは発信ルート マップ用にアドバタイズされることも、着信ルート マップ用に受け入れられることもありません。一部のデータのみを変更したい場合は、別のルートマップ セクションに明示的に match を指定する必要があります。

コミュニティ リスト番号に基づく照合は、BGP に適用できる match コマンドのタイプの 1 つです。

例

次に、コミュニティ リスト 1 と一致するルートの重みが 100 に設定される例を示します。コミュニティ 109 を含むすべてのルートの重みが 100 に設定されます。

次に、コミュニティ リスト 1 と一致するルートの重みを 200 に設定する例を示します。コミュニティ 109 を含むすべてのルートの重みが 200 に設定されます。

次の例では、コミュニティ リスト LIST_NAME と一致するルートの重みが 100 に設定されます。コミュニティ 101 を含むすべてのルートの重みが 100 に設定されます。

次の例は、拡張コミュニティ リスト 500 と一致するルートを示しています。拡張コミュニティ 1 のあるルートに、150 に設定されたウェイトがあります。

 

関連コマンド