Cisco ASA シリーズ コマンド リファレンス、I ～ R コマンド

 

構文の説明

 

デフォルト

デフォルトのキューの制限は 1024 パケットです。

 

コマンド履歴

 

使用上のガイドライン

ASA では、遅延の影響を受けやすい、プライオリティの高いトラフィック（音声およびビデオなど）用の低遅延キューイング（LLQ）と、それ以外のすべてのトラフィック用のベストエフォート（デフォルト）の 2 つのトラフィック クラスを使用できます。ASA は、プライオリティ トラフィックを認識して、適切な Quality of Service（QoS）ポリシーを適用します。プライオリティ キューのサイズと深さを設定して、トラフィック フローを微調整できます。

（注） インターフェイスのプライオリティ キューイングをイネーブルにするには、priority-queue コマンドを設定する必要があります。

1 つの priority-queue コマンドを、 nameif コマンドで定義できるすべてのインターフェイスに対して適用できます。

priority-queue コマンドで、プライオリティ キュー コンフィギュレーション モードを開始します。これはプロンプトに表示されます。プライオリティ キュー コンフィギュレーション モードでは、任意の時点において送信キュー内に存在可能な最大パケット数（ tx-ring-limit コマンド）、および（プライオリティまたはベストエフォートの）いずれかのタイプのパケットのバッファリング可能数（ queue-limit コマンド）を設定できます。バッファリング可能パケット数を超えると、パケットはドロップされます。

指定する tx-ring-limit および queue-limit は、プライオリティの高い低遅延キューとベストエフォート キューの両方に適用されます。tx-ring-limit は、ドライバが許容できる両方のタイプのパケットの数です。このパケット数を超えると、ドライバはインターフェイスの先頭にある複数のキューにパケットを戻し、輻輳が解消するまでそのキューでパケットをバッファしておきます。通常、これらの 2 つのパラメータを調整することで、低遅延トラフィックのフローを最適化できます。

キューは無限大ではないため、いっぱいになってオーバーフローすることがあります。キューがいっぱいになると、以降のパケットはキューに入ることができず、すべてドロップされます。これが、 テール ドロップ です。キューがいっぱいになることを避けるには、 queue-limit コマンドを使用して、キューのバッファ サイズを大きくします。

例

次に、test というインターフェイスのプライオリティ キューを設定して、キュー制限を 234 パケット、送信キュー制限を 3 パケットに指定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルト設定は 0 です。この値は、このコマンドがディセーブルであることを意味しています。

デフォルトのタイムアウトは 4 秒です。

 

コマンド履歴

 

使用上のガイドライン

TCP 正規化をイネーブルにするには、モジュラ ポリシー フレームワークを次のように使用します。

1. tcp-map ：TCP 正規化アクションを指定します。

a. queue-limit ：tcp マップ コンフィギュレーション モードでは、 queue-limit コマンドおよびその他数多くのコマンドを入力できます。

2. class-map ：TCP 正規化を実行するトラフィックを指定します。

3. policy-map ：各クラス マップに関連付けるアクションを指定します。

a. class ：アクションを実行するクラス マップを指定します。

b. set connection advanced-options ：作成した TCP マップを指定します。

4. service-policy ：ポリシー マップをインターフェイスごとに、またはグローバルに割り当てます。

TCP 正規化をイネーブルにしない場合、または queue-limit コマンドがデフォルトの 0 に設定されている場合（つまりコマンドがディセーブルの場合）、トラフィックのタイプに応じてデフォルトのシステム キュー制限が使用されます。

• アプリケーション インスペクション（ inspect コマンド）、IPS（ ips コマンド）、および TCP インスペクション再送信（TCP マップ check-retransmission コマンド）のための接続のキュー制限は、3 パケットです。ASA が異なるウィンドウ サイズの TCP パケットを受信した場合は、アドバタイズされた設定と一致するようにキュー制限がダイナミックに変更されます。
• 他の TCP 接続の場合は、異常なパケットはそのまま通過します。

queue-limit コマンドを 1 以上に設定した場合、すべての TCP トラフィックに対して許可される異常なパケットの数は、この設定と一致します。たとえば、アプリケーション インスペクション、IPS、および TCP check-retransmission のトラフィックの場合、TCP パケットからアドバタイズされたすべての設定が キュー制限 設定を優先して、無視されます。その他の TCP トラフィックについては、異常なパケットはバッファに格納されて、そのまま通過するのではなく、正しい順序に設定されます。

例

次に、すべての Telnet 接続のキュー制限を 8 パケットに、バッファ タイムアウトを 6 秒に設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトでは、IP オプション インスペクションは、クイックスタート IP オプションを含むパケットをドロップします。

IP オプション インスペクション ポリシー マップで default コマンドを使用するとデフォルト値を変更できます。

 

コマンド履歴

 

使用上のガイドライン

このコマンドは、IP オプション インスペクション ポリシー マップで設定できます。

IP オプション インスペクションを設定して、どの IP パケットが所定の IP オプションを持ち、ASA を通過できるかを制御できます。変更せずにパケットを通過させたり、指定されている IP オプションをクリアしてからパケットを通過させたりできます。

例

次に、IP オプション インスペクションのアクションをポリシー マップで設定する例を示します。

 

関連コマンド

 

構文の説明

このコマンドには引数またはキーワードはありません。

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

キー シーケンス Ctrl+Z を使用して、グローバル コンフィギュレーション（および上位の）モードを終了することもできます。このキー シーケンスは、特権 EXEC モードまたはユーザ EXEC モードでは動作しません。

特権 EXEC モードまたはユーザ EXEC モードで quit コマンドを入力すると、ASA からログアウトします。特権 EXEC モードからユーザ EXEC モードに戻るには、 disable コマンドを使用します。

例

次に、 quit コマンドを使用してグローバル コンフィギュレーション モードを終了し、セッションからログアウトする例を示します。

次に、 quit コマンドを使用してグローバル コンフィギュレーション モードを終了し、その後 disable コマンドを使用して特権 EXEC モードを終了する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

（9.12 以降）集約のデフォルト値は 15 です。

SSH、Telnet、HTTP、およびユーザのデフォルト値は 5 です。

（9.10 以前）デフォルト値は 0 で、セッション数の制限はありません。

 

コマンド履歴

 

使用上のガイドライン

割り当て量に達すると、それ以降の管理セッション要求は拒否され、syslog メッセージが生成されます。デバイスのロックアウトを回避するため、管理セッション割り当て量のメカニズムではコンソール セッションはブロックされません。

（注） マルチコンテキストモードでは ASDM セッションの数を設定することはできず、最大セッション数は 5 で固定されています。

（注） また、limit-resource コマンドを使用して最大管理セッション（SSH など）のコンテキストあたりのリソース制限を設定した場合は、小さい方の値が使用されます。

例

次の例では、集約管理セッション クォータを 8 に設定し、個々のセッション制限をさまざまな数量に設定しています。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドは、RADIUS 認可サーバに対してのみ有効です。

RADIUS 認可サーバでは、各接続ユーザに対してパスワードおよびユーザ名が必要です。ASA では、ユーザ名が自動的に指定されます。ここでは、パスワードを入力します。RADIUS サーバ管理者は、この ASA 経由で RADIUS サーバに対して認可を行う各ユーザにこのパスワードが関連付けられるように RADIUS サーバを設定する必要があります。この情報は、RADIUS サーバ管理者に伝えてください。

共通のユーザ パスワードを指定しなかった場合、各ユーザのパスワードはユーザ名になります。共通ユーザ パスワードにユーザ名を使用する場合は、セキュリティ上の予防措置として、ネットワーク上の他のいずれの場所でも RADIUS サーバを認可に使用しないでください。

13-125

（注） string 引数は、実質的には意味がありません。RADIUS サーバはこのフィールドを要求しますが、実際には使用されません。ユーザはこのことを知っている必要はありません。

例

次に、ホスト「1.2.3.4」に「svrgrp1」という名前の RADIUS AAA サーバ グループを設定し、タイムアウト時間を 9 秒に、再試行間隔を 7 秒に、RADIUS 共通パスワードを「allauthpw」に設定する例を示します。

 

関連コマンド

 

デフォルト

デフォルトではディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

リモート ユーザに対して、認証の失敗についての RADIUS メッセージを表示する場合は、このコマンドをイネーブルにします。

例

次に、engineering という名前の接続プロファイルに対して RADIUS 拒否メッセージの表示をイネーブルにする例を示します。

 

構文の説明

このコマンドには引数またはキーワードはありません。

 

デフォルト

このコマンドのデフォルト設定は、ディセーブルです。

 

コマンド履歴

 

使用上のガイドライン

この属性は、IPSec リモート アクセス トンネル グループ タイプに対してのみ適用できます。RADIUS 認証が設定されていない場合、ASA ではこのコマンドは無視されます。

例

次に、設定 ipsec コンフィギュレーション モードで、remotegrp という名前のリモート アクセス トンネル グループに対して radius-with-expiry を設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

既存のネットワーク オブジェクトを異なる IP アドレスを使用して設定すると、新しいコンフィギュレーションが既存のコンフィギュレーションに置き換わります。

例

次に、範囲ネットワーク オブジェクトを作成する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトでは、このオプションは無効になっています。

 

コマンド履歴

 

使用上のガイドライン

ASA には、RegistrationRequest/RegistrationConfirm（RRQ/RCF）メッセージに基づいてコールのピンホールを開くオプションが含まれています。これらの RRQ/RCF メッセージは Gatekeeper との間で送受信されるので、発信側エンドポイントの IP アドレスは不明で、ASA は発信元 IP アドレス/ポート 0/0 を通じてピンホールを開きます。

例

次に、これらのコールのピンホールを開くアクションをポリシー マップに設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

インスペクション ポリシー マップは、1 つ以上の match コマンドと class コマンドで構成されます。インスペクション ポリシー マップで使用できる実際のコマンドは、アプリケーションによって異なります。 match コマンドまたは class コマンドを入力してアプリケーション トラフィックを指定した後（ class コマンドは、 match コマンドを含む既存の class-map type inspect コマンドを参照します）、 rate-limit コマンドを入力して、メッセージのレートを制限できます。

レイヤ 3/4 のポリシー マップ（ policy-map コマンド）で inspect コマンドを使用してアプリケーション インスペクションをイネーブルにすると、このアクションを含むインスペクション ポリシー マップをイネーブルにできます。たとえば、 inspect sip sip_policy_map コマンドを入力します。ここで sip_policy_map はインスペクション ポリシー マップの名前です。

例

次に、invite 要求を 1 秒あたり 100 メッセージに制限する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの再アクティブ化モードは depletion で、デフォルトの deadtime の値は 10 です。

 

コマンド履歴

 

使用上のガイドライン

各サーバ グループには、所属するサーバの再アクティブ化ポリシーを指定する属性があります。

depletion モードでは、あるサーバが非アクティブになった場合、そのサーバは、グループの他のすべてのサーバが非アクティブになるまで非アクティブのままとなります。すべてのサーバが非アクティブになると、グループ内のすべてのサーバが再アクティブ化されます。このアプローチでは、障害が発生したサーバに起因する接続遅延の発生を最小限に抑えられます。 depletion モードが使用されている場合は、 deadtime パラメータも指定できます。 deadtime パラメータは、グループ内の最後のサーバがディセーブルになってから、その後すべてのサーバを再度イネーブルにするまでの時間を分単位で指定します。このパラメータは、サーバ グループがローカル フォールバック機能とともに使用されている場合にのみ意味があります。

timed モードでは、障害が発生したサーバは、30 秒のダウン時間の後に再アクティブ化されます。このモードは、サーバ リスト内の最初のサーバをプライマリ サーバとして使用しており、このサーバを可能な限りオンラインに維持する必要がある場合に役立ちます。このポリシーは、UDP サーバの場合は機能しません。サーバが存在しない場合でも UDP サーバへの接続に障害が発生することはないため、UDP サーバはすぐに再度オンラインになります。サーバ リストに到達不能な複数のサーバが含まれている場合には、接続時間が遅延したり、接続に失敗する場合があります。

同時アカウンティングがイネーブルになっているアカウンティング サーバ グループでは、 timed モードが強制的に使用されます。このことは、特定のリスト内のすべてのサーバが同等に扱われることを意味しています。

（注） SDI サーバ グループには、1 つのサーバしか含まれていないため、このコマンドは SDI サーバ グループに対して無視されます。

例

次に、「svrgrp1」という TACACS+ AAA サーバを設定し、deadtime を 15 分に設定して、depletion の再アクティベーション モードを使用する例を示します。

次に、「svrgrp1」という TACACS+ AAA サーバを設定し、timed の再アクティベーション モードを使用する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

domain-name は、1 つのみ指定できます。CTL ファイルが存在しない場合は、手動でこの証明書を CUCM から ASA にエクスポートします。

このコマンドは、電話プロキシの CTL ファイルを設定していない場合にのみ使用します。すでに CTL ファイルを設定している場合は、このコマンドを使用しないでください。

ip_address 引数に指定する IP アドレスは、トラストポイントの CTL レコードで使用される IP アドレスとなるため、グローバル アドレス、または IP Phone によって認識されるアドレスである必要があります。

CTL ファイルで必要な各エントリに対して、さらに record-entry コンフィギュレーションを追加します。

例

次に、 record-entry コマンドを使用して、CTL ファイルの作成に使用されるトラストポイントを指定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトでは、IP オプション インスペクションは、レコード ルート IP オプションを含むパケットをドロップします。

IP オプション インスペクション ポリシー マップで default コマンドを使用するとデフォルト値を変更できます。

 

コマンド履歴

 

使用上のガイドライン

このコマンドは、IP オプション インスペクション ポリシー マップで設定できます。

IP オプション インスペクションを設定して、どの IP パケットが所定の IP オプションを持ち、ASA を通過できるかを制御できます。変更せずにパケットを通過させたり、指定されている IP オプションをクリアしてからパケットを通過させたりできます。

例

次に、IP オプション インスペクションのアクションをポリシー マップで設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

この動作は、デフォルトではディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

デフォルトで、ASA はロードバランシング リダイレクションの IP アドレスだけをクライアントに送信します。DNS 名に基づく証明書が使用されている場合、セカンダリ デバイスにリダイレクトされるとその証明書は無効になります。

VPN クラスタ マスターとして、ASA は、VPN クライアント接続を別のクラスタ デバイスにリダイレクトする場合に、DNS 逆ルックアップを使用して、そのクラスタ デバイス（クラスタ内の別の ASA）の外部 IP アドレスではなく完全修飾ドメイン名（FQDN）を送信できます。

クラスタ内のロードバランシング デバイスのすべての外部および内部ネットワーク インターフェイスは、同じ IP ネットワーク上に存在する必要があります。

IP アドレスではなく FQDN を使用して WebVPN ロード バランシングを実行するには、次の設定手順を実行する必要があります。

ステップ 1 redirect-fqdn enable コマンドを使用して、ロード バランシングにおける FQDN の使用をイネーブルにします。

ステップ 2 DNS サーバに、各 ASA 外部インターフェイスのエントリを追加します（エントリが存在しない場合）。それぞれの ASA 外部 IP アドレスに、ルックアップ用にそのアドレスに関連付けられた DNS エントリが設定されている必要があります。これらの DNS エントリに対しては、逆ルックアップもイネーブルにする必要があります。

ステップ 3 dns domain-lookup inside コマンドを使用して、ASA で DNS ルックアップをイネーブルにします。inside の部分には、DNS サーバへのルートを持つ任意のインターフェイスを指定します。

ステップ 4 dns name-server 10.2.3.4 のように、ASA に DNS サーバの IP アドレスを定義します（10.2.3.4 は、DNS サーバの IP アドレス）。

例

次に、リダイレクトをディセーブルにする redirect-fqdn コマンドの例を示します。

次に、完全修飾ドメイン名のリダイレクトをイネーブルにし、クラスタのパブリック インターフェイスを「test」と指定し、クラスタのプライベート インターフェイスを「foo」と指定するインターフェイス コマンドを含む、VPN ロード バランシング コマンド シーケンスの例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

コマンドのデフォルトは次のとおりです。

• metric metric-value ： 0
• metric-type type-value ： 2
• match ： internal 、 external 1 、 external 2
• tag tag-value ： 0

 

コマンド履歴

例

次に、スタティック ルートを現在の OSPFv3 プロセスに再配布する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

コマンドのデフォルトは次のとおりです。

• match ： Internal 、 external 1 、 external 2

 

コマンド履歴

 

使用上のガイドライン

EIGRP コンフィギュレーションに default-metric コマンドを設定していない場合は、redistribute コマンドで metric を指定する必要があります。

例

次に、スタティック ルートおよび接続ルートを EIGRP ルーティング プロセスに再配布する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

コマンドのデフォルトは次のとおりです。

• metric metric-value ：0
• metric-type type-value ： 2
• match ： Internal 、 external 1 、 external 2
• tag tag-value ：0

 

コマンド履歴

例

次に、スタティック ルートを現在の OSPF プロセスに再配布する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

コマンドのデフォルトは次のとおりです。

• metric metric-value ：0
• match ： Internal 、 external 1 、 external 2

 

コマンド履歴

例

次に、スタティック ルートを現在の RIP プロセスに再配布する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

このコマンドにデフォルトの動作または値はありません。

 

コマンド履歴

 

使用上のガイドライン

IS-IS では、すべてのエリアがスタブ エリアで、バックボーン（レベル 2）からエリア（レベル 1）へルーティング情報がリークしません。レベル 1 だけのルートは、そのエリア内にある最も近いレベル 1 - レベル 2 ルータへのデフォルト ルートを使用します。このコマンドにより、レベル 2 IP ルートをレベル 1 エリアに再配布することができます。この再配布により、レベル 1 だけのルータが IP プレフィックスのエリア外への最良パスを選択することができるようになります。これは IP のみの機能であり、CLNS ルーティングはまだスタブ ルーティングです。

制御と安定性を増すために、配布リストまたはルート マップを設定して、どのレベル 2 IP ルートをレベル 1 に再配布できるのかを制御できます。これを使用すると、大規模な IS-IS-IP ネットワークは、スケーラビリティを向上させるためにエリアを使用できます。

（注） redistribute isis コマンドが機能するためには、metric-style wide コマンドを指定する必要があります。

例

次の例では、アクセス リスト 100 がレベル 1 からレベル 2 への IS-IS の再配布を制御しています。

次の例では、110 のタグの付いたルートだけが再配布されるように、match-tag という名前のルート マップがレベル 1 からレベル 2 への IS-IS の再配布を制御します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトで、コンフィギュレーション内の最初のメンバー インターフェイスが使用可能な場合、そのインターフェイスがアクティブ インターフェイスとなります。

 

コマンド履歴

 

使用上のガイドライン

どのインターフェイスがアクティブであるかを表示するには、次のコマンドを入力します。

次に例を示します。

例

次に、冗長インターフェイスを作成する例を示します。デフォルトでは、gigabitethernet 0/0 がコンフィギュレーション内の最初のインターフェイスであるため、このインターフェイスがアクティブです。redundant-interface コマンドでは、gigabitethernet 0/1 をアクティブ インターフェイスに設定しています。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

regex コマンドは、テキスト照合が必要なさまざまな機能で使用できます。たとえば、 インスペクション ポリシー マップ を使用して、モジュラ ポリシー フレームワーク を使用したアプリケーション インスペクションの特別なアクションを設定できます（ policy map type inspect コマンドを参照）。インスペクション ポリシー マップでは、1 つ以上の match コマンドを含んだインスペクション クラス マップを作成することで、アクションの実行対象となるトラフィックを識別できます。または、 match コマンドをインスペクション ポリシー マップ内で直接使用することもできます。一部の match コマンドでは、パケット内のテキストを正規表現を使用して識別できます。たとえば、HTTP パケット内の URL 文字列を照合できます。正規表現は、正規表現クラス マップにグループ化できます（ class-map type regex コマンドを参照）。

正規表現は、ストリングそのものとしてテキスト ストリングと文字どおりに照合することも、 metacharacters を使用してテキスト ストリングの複数のバリアントと照合することもできます。正規表現を使用して、特定のアプリケーション トラフィックの内容（HTTP パケット内の本文テキストなど）を照合できます。

（注） 最適化のために、ASA では、難読化解除された URL が検索されます。難読化解除では、複数のスラッシュ（/）が単一のスラッシュに圧縮されます。通常、「http://」のようなダブル スラッシュが使用される文字列では、代わりに「http:/」を検索してください。

表 18-1 に、特別な意味を持つメタ文字の一覧を示します。

正規表現が想定どおりに一致するかどうかをテストするには、 test regex コマンドを入力します。

正規表現のパフォーマンスへの影響は、主に次の 2 つの要因によって決定されます。

• 正規表現照合で検索される必要があるテキストの長さ。

検索長が短い場合は、正規表現エンジンの ASA に対するパフォーマンス上の影響は小さくなります。

• 正規表現照合で検索される必要がある正規表現チェーン テーブルの数。

検索長のパフォーマンスへの影響

正規表現検索を設定すると、通常は、検索対象テキストのすべてのバイトが正規表現データベースに対して検査されて、一致が検索されます。検索対象テキストが長くなるほど、検索時間も長くなります。次に、この現象を表すパフォーマンス テスト ケースを示します。

• ある HTTP トランザクションでは、1 回の 300 バイトの GET 要求と 1 回の 3250 バイトの応答が行われます。
• URI 検索には 445 の正規表現が、要求本文検索には 34 の正規表現が使用されます。
• 応答本文検索には 55 の正規表現が使用されます。

URI および HTTP GET 要求の本文のみを検索するようにポリシーを設定すると、スループットは次のようになります。

• 対応する正規表現データベースが検索されない場合は 420 Mbps。
• 対応する正規表現データベースが検索される場合は 413 Mbps（正規表現を使用するオーバーヘッドが比較的小さいことがわかります）。

ただし、HTTP 応答本文全体も検索するようにポリシーを設定すると、応答本文の検索対象が長いため（3250 バイト）、スループットは 145 Mbps まで低下します。

正規表現検索のテキスト長が長くなる要因は次のとおりです。

• 複数の異なるプロトコル フィールドに対して正規表現検索が設定されている場合。たとえば、HTTP インスペクションでは、URI にのみ正規表現照合が設定されていると、URI フィールドのみが正規表現照合のために検索され、検索長は URI 長に制限されます。ただし、ヘッダーや本文などの他のプロトコル フィールドにも正規表現照合が設定されていると、ヘッダー長や本文長の分だけ検索長が長くなります。
• 検索対象のフィールドが長い場合。たとえば、URI に正規表現検索が設定されている場合、GET 要求内の長い URI の検索長は長くなります。また、現在、HTTP 本文の検索長はデフォルトで 200 バイトまでに制限されています。ただし、本文を検索するようにポリシーを設定し、本文検索長が 5000 バイトに変更されると、本文検索が長くなるため、パフォーマンスに対して大きな影響があります。

正規表現チェーン テーブル数のパフォーマンスへの影響

現在、同じプロトコル フィールドに設定されたすべての正規表現（URI に対するすべての正規表現など）は、1 つ以上の正規表現チェーン テーブルで構成されるデータベースに構築されます。テーブルの数は、必要な合計メモリ量、およびテーブル構築時に使用可能なメモリ量によって決定されます。次のいずれかの条件が満たされる場合、正規表現データベースは複数のテーブルに分割されます。

• 必要な合計メモリが 32 MB を超える場合。これは、最大テーブル サイズが 32 MB に制限されているためです。
• 最大連続メモリ サイズが正規表現データベース全体を構築するのに十分ではない場合、複数の小さなテーブルが構築されて、それらのテーブルにすべての正規表現が格納されます。メモリ フラグメンテーションの程度は、相互に関連する数多くの要因によって左右されるため、フラグメンテーションのレベルを予測することは事実上不可能です。

複数のチェーン テーブルがある場合、正規表現照合において各テーブルが検索される必要があるため、検索時間は検索対象のテーブル数に比例して長くなります。

特定のタイプの正規表現では、テーブル サイズが大幅に増加する傾向があります。可能な限りワイルドカードおよび繰り返し要素を避けるように正規表現を設計することを推奨します。次のメタ文字については、 表 18-1 を参照してください。

• ワイルドカード タイプの指定を伴う正規表現

– ドット（.）

• クラス内の任意の文字に一致するさまざまな文字クラス

– [^a-z]

– [a-z]

– [abc]]

• 繰り返しタイプの指定を伴う正規表現

– *

– +

– {n,}

• 次のようにワイルドカード タイプの正規表現と繰り返しタイプの正規表現を組み合わせると、テーブル サイズが大幅に増加する可能性があります。

– 123.*xyz

– 123.+xyz

– [^a-z]+

– [^a-z]*

–.*123.*（これは、「123」と照合することと同じであるため、このような指定は行わないでください）。

次に、ワイルドカードや繰り返しの有無によって正規表現のメモリ使用量がどのように異なるかについての例を示します。

• 次の 4 つの正規表現のデータベース サイズは 958,464 バイトです。

• 次の 4 つの正規表現のデータベース サイズはわずか 10240 バイトです。

正規表現の数が増えると、正規表現データベースで必要になる合計メモリ量も増え、そのためメモリがフラグメント化されている場合にはより多くのテーブル数が必要になる可能性があります。次に、異なる正規表現数でのメモリ使用量の例を示します。

• 100 サンプル URI：3,079,168 バイト
• 200 サンプル URI：7,156,224 バイト
• 500 サンプル URI：11,198,971 バイト

（注） コンテキストごとの最大正規表現数は 2048 です。

debug menu regex 40 10 コマンドを使用して、各正規表現データベースにおけるチェーン テーブル数を表示できます。

例

次に、インスペクション ポリシー マップで使用する 2 つの正規表現を作成する例を示します。

 

関連コマンド

 

構文の説明

at hh : mm	（任意）ソフトウェアのリロードが（24 時間制で）指定された時刻に行われるようにスケジューリングします。月日を指定しない場合、リロードは、指定時刻が現在時刻よりも後の場合は当日の指定時刻に、指定時刻が現在時刻よりも前の場合は翌日の指定時刻に行われます。00:00 を指定すると、深夜 0 時のリロードが設定されます。リロードは、24 時間以内に実行される必要があります。
cancel	（任意）スケジューリングされているリロードをキャンセルします。
day	（任意）1 ～ 31 の範囲で日付を指定します。
in [ hh : ] mm ]	（任意）指定した分数、または時間および分数が経過したときにソフトウェアがリロードされるようにスケジューリングします。リロードは、24 時間以内に実行される必要があります。
max-hold-time [ hh : ] mm	（任意）シャットダウンまたはリブートの前に他のサブシステムに対して通知するために ASA が待機する最大ホールド タイムを指定します。この時間が経過すると、（強制）クイック シャットダウンまたはリブートが実行されます。
month	（任意）月の名前を指定します。月の名前を表す一意のストリングを作成するために十分な文字を入力します。たとえば、「Ju」は、June または July を表すことができるため一意ではありませんが、「Jul」は一意です。これは、「Jul」で始まる月は「July」しかないためです。
noconfirm	（任意）ユーザの確認なしでリロードすることをASAに許可します。
quick	（任意）通知したり、すべてのサブシステムを正常にシャットダウンしたりすることなく、クイック リロードを強制します。
reason text	（任意）リロードの理由を 1 ～ 255 文字で指定します。理由のテキストは、すべての開いている IPsec VPN クライアント、端末、コンソール、Telnet、SSH、および ASDM 接続またはセッションに送信されます。 （注） ISAKMP などの一部のアプリケーションでは、IPsec VPN クライアントに理由のテキストを送信するために追加のコンフィギュレーションが必要となります。詳細については、VPN CLI 設定ガイドを参照してください。
save-config	（任意）シャットダウンの前に、実行コンフィギュレーションをメモリに保存します。 save-config キーワードを入力しない場合、未保存のコンフィギュレーションの変更はリロード後にすべて失われます。
save-show-tech	（オプション）リロードの実行前に show tech コマンドの出力をファイルに保存します。

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドを使用すると、ASA をリブートして、コンフィギュレーションをフラッシュ メモリからリロードできます。

デフォルトで、 reload コマンドは対話形式です。ASA は、まずコンフィギュレーションが変更されており、未保存であるかどうかをチェックします。変更が未保存の場合、コンフィギュレーションを保存するように求めるプロンプトが ASA によって表示されます。マルチ コンテキスト モードでは、ASA によって、未保存のコンフィギュレーションがある各コンテキストに対してプロンプトが表示されます。 save-config キーワードを指定すると、コンフィギュレーションはプロンプトなしで保存されます。次に、システムのリロードを確認するプロンプトが ASA によって表示されます。 y と入力するか、または Enter キーを押した場合にのみリロードが行われます。確認後、ASA は、遅延キーワード（ in または at ）を指定したかどうかに応じて、リロード プロセスを開始またはスケジューリングします。

デフォルトでは、リロード プロセスは「グレースフル」モードで実行されます。すべての登録されているサブシステムは、リブート実行の前に通知されるため、リブート前に適切にシャットダウンできます。このようなシャットダウンが行われるのを待機しない場合は、 max-hold-time キーワードを指定して、待機する最大時間を指定します。または、 quick キーワードを使用して、影響のあるサブシステムへの通知やグレースフル シャットダウンの待機を行わずに、すぐに強制的にリロード プロセスを開始できます。

noconfirm キーワードを指定すると、 reload コマンドを非対話形式で実行できます。この場合、ASA では、 save-config キーワードを指定していない限り、未保存のコンフィギュレーションがあるかどうかはチェックされません。ASA は、システムをリブートする前に、確認のプロンプトを表示しません。遅延キーワードを指定していない限り、リロード プロセスがすぐに開始またはスケジューリングされます。ただし、 max-hold-time キーワードまたは quick キーワードを指定して、動作またはリロード プロセスを制御できます。

スケジューリングされたリロードをキャンセルするには、 reload cancel コマンドを使用します。すでに進行中のリロードはキャンセルできません。

（注） フラッシュ パーティションに書き込まれていないコンフィギュレーションの変更は、リロード後に失われます。リブートの前に、write memory コマンドを入力して、フラッシュ パーティションに現在のコンフィギュレーションを保存してください。

例

次に、リブートしてコンフィギュレーションをリロードする例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次に、しきい値を 1500 に設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次に、test というクラス マップの名前を test2 に変更する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

rename flash: flash: コマンドを入力すると、元のファイル名および新しいファイル名を入力するように求められます。

ファイル システムにまたがってファイルやディレクトリの名前を変更することはできません。

次に例を示します。

例

次に、「test」というファイルの名前を「test1」に変更する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルト値は 14 日間です。

 

コマンド履歴

 

使用上のガイドライン

通知は全部で 3 種類あります。ユーザ データベースに電子メール アドレスが指定されていれば、3 種類の通知がそれぞれ電子メールで自動的に証明書所有者に送信されます。電子メール アドレスが存在しない場合は、更新を管理者に通知する syslog メッセージが生成されます。

デフォルトでは、証明書が期限切れになる前に、CA サーバから次の 3 種類の電子メール メッセージが指定した順序で送信されます。

1. 証明書の登録案内

2. 確認：証明書の登録案内

3. 最終確認：証明書の登録案内

最初の電子メールは案内で、2 番目の電子メールは確認、3 番目の電子メールは最終確認です。この通知のデフォルトの設定は 14 日です。証明書の有効期限の 14 日前に最初の案内が送信され、有効期限の 7 日前に確認の電子メールが送信され、有効期限の 3 日前に最終確認の電子メールが送信されます。

更新通知の間隔は、 renewal-reminder days コマンドを使用してカスタマイズできます。

例

次に、証明書有効期限の 7 日前に ASA からユーザに対して有効期限通知を送信するように指定する例を示します。

次に、有効期限通知のタイミングをデフォルトである証明書有効期限の 14 日前にリセットする例を示します。

 

関連コマンド

 

構文の説明

このコマンドには引数またはキーワードはありません。

 

デフォルト

ディセーブル

 

コマンド履歴

 

使用上のガイドライン

デフォルトでは、ステートフル フェールオーバーがイネーブルの場合、ASA は HTTP セッション情報を複製しません。HTTP セッションは通常は存続期間が短く、また HTTP クライアントは接続試行が失敗すると通常は再試行するため、HTTP セッションの複製をしないことでシステムのパフォーマンスが向上します。複製をしなくても重要なデータや接続は失われません。 replication http コマンドを使用すると、ステートフル フェールオーバー環境において HTTP セッションのステートフル レプリケーションが可能になりますが、システムのパフォーマンスに悪影響がある可能性があります。

このコマンドを使用できるのは、Active/Active フェールオーバーに対してのみです。このコマンドは、Active/Active フェールオーバー コンフィギュレーションのフェールオーバー グループに対するコマンドであることを除いて、Active/Standby フェールオーバー用の failover replication http コマンドと同じ機能を備えています。

例

次の例では、フェールオーバー グループで可能な設定を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドは、ストリクト FTP インスペクションを使用する場合に、ASA を通過する FTP 要求内で許可されるコマンドを制御するために使用します。

例

次に、 stor 、 stou 、または appe コマンドを含む FTP 要求を ASA でドロップする例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの bytes は 28 です。

 

コマンド履歴

 

使用上のガイドライン

到達可能性を確保するために、デフォルトのデータ サイズを大きくして、送信元と宛先との間の PMTU の変化を検出する必要がある場合があります。PMTU が低いと、セッションのパフォーマンスに影響を与える可能性が高くなります。また、低い PMTU が検出された場合は、セカンダリ パスが使用されることを示している可能性があります。

例

次の例では、ICMP エコー要求/応答時間プローブ動作を使用する、ID が 123 の SLA 動作を設定しています。この例では、エコー要求パケットのペイロード サイズを 48 バイト、SLA 動作中に送信されるエコー要求の数を 5 に設定しています。

 

関連コマンド