Cisco ASA シリーズ コマンド リファレンス、S コマンド

disable

開発キー署名付きイメージのロードをディセーブルにします。

enable

開発キー署名付きイメージのロードをイネーブルにします。

9.3(2)

このコマンドが追加されました。

show software authenticity keys

開発キーを表示します。

show software authenticity file disk0:asa932-1fbff.SSA

開発キー ファイルの内容を表示します。

show software authenticity running

現在実行中のファイルに関連したデジタル署名情報を表示します。

software authenticity key add special

SPI フラッシュに新しい開発キーを追加します。

software authenticity key revoke special

SPI フラッシュから古い開発キーを削除します。

9.3(2)

このコマンドが追加されました。

software authenticity key revoke special

SPI フラッシュから古い開発キーを削除します。

show software authenticity keys

SPI フラッシュの開発キーを表示します。

show software authenticity file disk0:asa932-1fbff.SSA

開発キー ファイルの内容を表示します。

show software authenticity running

現在実行中のファイルに関連したデジタル署名情報を表示します。

9.3(2)

このコマンドが追加されました。

software authenticity key add special

SPI フラッシュに新しい開発キーを追加します。

show software authenticity keys

SPI フラッシュの開発キーを表示します。

show software authenticity file disk0:asa932-1fbff.SSA

開発キー ファイルの内容を表示します。

show software authenticity running

現在実行中のファイルに関連したデジタル署名情報を表示します。

ログ

違反が発生した場合、スタンドアロンまたは追加のログを記録することを指定します。

mask

SIP メッセージ内のソフトウェア バージョンをマスクします。

7.2(1)

このコマンドが追加されました。

class

ポリシー マップのクラス マップ名を指定します。

class-map type inspect

アプリケーション固有のトラフィックを照合するためのインスペクション クラス マップを作成します。

policy-map

レイヤ 3/4 のポリシー マップを作成します。

show running-config policy-map

現在のポリシー マップ コンフィギュレーションをすべて表示します。

interface_name

VTEP 送信元インターフェイス名を設定します。

9.4(1)

このコマンドが追加されました。

debug vxlan

VXLAN トラフィックをデバッグします。

default-mcast-group

VTEP 送信元インターフェイスに関連付けられているすべての VNI インターフェイスのデフォルトのマルチキャスト グループを指定します。

encapsulation vxlan

NVE インスタンスを VXLAN カプセル化に設定します。

inspect vxlan

標準 VXLAN ヘッダー形式に強制的に準拠させます。

interface vni

VXLAN タギング用の VNI インターフェイスを作成します。

mcast-group

VNI インターフェイスのマルチキャスト グループ アドレスを設定します。

nve

ネットワーク仮想化エンドポイント インスタンスを指定します。

nve-only

VXLAN 送信元インターフェイスが NVE 専用であることを指定します。

peer ip

ピア VTEP の IP アドレスを手動で指定します。

segment-id

VNI インターフェイスの VXLAN セグメント ID を指定します。

show arp vtep-mapping

リモート セグメント ドメインにある IP アドレスとリモート VTEP IP アドレス用の VNI インターフェイスにキャッシュされた MAC アドレスを表示します。

show interface vni

VNI インターフェイスのパラメータ、ステータス、および統計情報と、ブリッジされているインターフェイス（設定されている場合）のステータス、ならびに関連付けられている NVE インターフェイスを表示します。

show mac-address-table vtep-mapping

リモート VTEP IP アドレスが設定された VNI インターフェイス上のレイヤ 2 転送テーブル（MAC アドレス テーブル）を表示します。

show nve

NVE インターフェイスのパラメータ、ステータス、および統計情報とキャリア インターフェイス（送信元インターフェイス）のステータス、この NVE を VXLAN VTEP として使用する VNI、ならびにこの NVE インターフェイスに関連付けられているピア VTEP IP アドレスを表示します。

show vni vlan-mapping

VNI セグメント ID と、VLAN インターフェイスまたはトランスペアレント モードの物理インターフェイス間のマッピングを表示します。

vtep-nve

VNI インターフェイスを VTEP 送信元インターフェイスに関連付けます。

vxlan port

VXLAN UDP ポートを設定します。デフォルトでは、VTEP 送信元インターフェイスは UDP ポート 4789 への VXLAN トラフィックを受け入れます。

10

速度を 10BASE-T に設定します。

100

速度を 100BASE-T に設定します。

1000

速度を 1000BASE-T に設定します。銅線ギガビット イーサネット専用。

[auto]

速度を自動検出します。

nonegotiate

ファイバ インターフェイスの場合は、速度を 1000 Mbps に設定し、リンク パラメータをネゴシエートしません。ファイバ インターフェイスに対して使用できる設定は、このコマンドとこのコマンドの no 形式だけです。値を no speed nonegotiate （デフォルト）に設定すると、インターフェイスでリンク ネゴシエーションがイネーブルになり、フロー制御パラメータとリモート障害情報が交換されます。

7.0(1)

このコマンドは、 interface コマンドのキーワードからインターフェイス コンフィギュレーション モード コマンドに移されました。

9.14(1)

Firepower 1000 および 2100 の 1GB ファイバインターフェイスで、 speed nonegotiate コマンドを使用して速度の自動ネゴシエーションを無効にできるようになりました。

clear configure interface

インターフェイスのコンフィギュレーションをすべてクリアします。

duplex

デュプレックス モードを設定します。

interface

インターフェイスを設定し、インターフェイス コンフィギュレーション モードを開始します。

show interface

インターフェイスの実行時ステータスと統計情報を表示します。

show running-config interface

インターフェイス コンフィギュレーションを表示します。

level-1

（任意）レベル 1 エリアだけに間隔を適用します。

level-2

（任意）レベル 2 エリアだけに間隔を適用します。

spf-max-wait

連続する 2 つの SPF 計算の最大間隔（秒単位）を示します。指定できる範囲は 1 ～ 120 秒です。デフォルトは 10 秒です。

spf-initial-wait

（任意）トポロジが変更された後の初期 SPF 計算遅延（ミリ秒単位）を示します。有効な範囲は 1 ～ 120000 ミリ秒です。デフォルト値は 5500 ミリ秒（5.5 秒）です。

spf-second-wait

（任意）最初と 2 番目の SPF 計算の間のホールド タイム（ミリ秒単位）を示します。有効な範囲は 1 ～ 120000 ミリ秒です。デフォルト値は 5500 ミリ秒（5.5 秒）です。

9.6(1)

このコマンドが追加されました。

advertise passive-only

パッシブ インターフェイスをアドバタイズするように ASA を設定します。

area-password

IS-IS エリア認証パスワードを設定します。

認証キー

IS-IS の認証をグローバルで有効にします。

authentication mode

グローバルな IS-IS インスタンスに対して IS-IS パケットで使用される認証モードのタイプを指定します。

authentication send-only

グローバルな IS-IS インスタンスでは、送信される（受信ではなく）IS-IS パケットでのみ認証が実行されるように設定します。

clear isis

IS-IS データ構造をクリアします。

default-information originate

IS-IS ルーティング ドメインへのデフォルト ルートを生成します。

distance

IS-IS プロトコルにより発見されたルートに割り当てられるアドミニストレーティブ ディスタンスを定義します。

domain-password

IS-IS ドメイン認証パスワードを設定します。

fast-flood

IS-IS LSP がフルになるように設定します。

hello padding

IS-IS hello をフル MTU サイズに設定します。

hostname dynamic

IS-IS ダイナミック ホスト名機能を有効にします。

ignore-lsp-errors

内部チェックサム エラーのある IS-IS LSP を受信した場合に LSP をパージするのではなく無視するように ASA を設定します。

isis adjacency-filter

IS-IS 隣接関係の確立をフィルタ処理します。

isis advertise-prefix

IS-IS インターフェイスで、LSP アドバタイズメントを使用して接続中のネットワークの IS-IS プレフィックスをアドバタイズします。

isis authentication key

インターフェイスに対する認証を有効にします。

isis authentication mode

インターフェイスごとに、インスタンスに対して IS-IS パケットで使用される認証モードのタイプを指定します。

isis authentication send-only

送信される（受信ではなく）IS-IS パケットに対してのみ認証を実行するように、インターフェイスごとの IS-IS インスタンスを設定します。

isis circuit-type

IS-IS で使用される隣接関係のタイプを設定します。

isis csnp-interval

ブロードキャスト インターフェイス上で定期的に CSNP パケットが送信される間隔を設定します。

isis hello-interval

IS-IS が連続して hello パケットを送信する時間の長さを指定します。

isis hello-multiplier

ネイバーが見落とすことができる IS-IS hello パケット数の最大値を指定します。見落とされたパケット数がこの値を超えると、ASA は隣接がダウンしていると宣言します。

isis hello padding

IS-IS hello をインターフェイスごとのフル MTU サイズに設定します。

isis lsp-interval

インターフェイスごとの連続する IS-IS LSP 送信間の遅延時間を設定します。

isis metric

IS-IS メトリックの値を設定します。

isis password

インターフェイスの認証パスワードを設定します。

isis priority

インターフェイスでの指定された ASA のプライオリティを設定します。

isis protocol shutdown

インターフェイスごとに IS-IS プロトコルを無効にします。

isis retransmit-interval

インターフェイス上の各 IS-IS LSP の再送信間の時間を設定します。

isis retransmit-throttle-interval

インターフェイス上の各 IS-IS LSP の再送信間の時間を設定します。

isis tag

IP プレフィックスが LSP に挿入されたときに、インターフェイスに設定された IP アドレスにタグを設定します。

is-type

IS-IS ルーティング プロセスのルーティング レベルを割り当てます。

log-adjacency-changes

NLSP IS-IS 隣接関係がステートを変更（アップまたはダウン）する際に、ASA がログ メッセージを生成できるようにします。

lsp-full suppress

PDU がフルになったときに、抑制されるルートを設定します。

lsp-gen-interval

LSP 生成の IS-IS スロットリングをカスタマイズします。

lsp-refresh-interval

LSP の更新間隔を設定します。

max-area-addresses

IS-IS エリアの追加の手動アドレスを設定します。

max-lsp-lifetime

LSP が更新されずに ASA のデータベース内で保持される最大時間を設定します。

maximum-paths

IS-IS のマルチパス ロード シェアリングを設定します。

metric

すべての IS-IS インターフェイスのメトリック値をグローバルに変更します。

metric-style

新規スタイル、長さ、および値オブジェクト（TLV）を生成し、TLV のみを受け入れるように、IS-IS を稼働している ASA を設定します。

net

ルーティング プロセスの NET を指定します。

passive-interface

パッシブ インターフェイスを設定します。

prc-interval

PRC の IS-IS スロットリングをカスタマイズします。

protocol shutdown

インターフェイス上で隣接関係を形成して LSP データベースをクリアすることができないように、IS-IS プロトコルをグローバルで無効にします。

redistribute isis

特にレベル 1 からレベル 2 へ、またはレベル 2 からレベル 1 へ、IS-IS ルートを再配布します。

route priority high

IS-IS IP プレフィックスにハイ プライオリティを割り当てます。

router isis

IS-IS ルーティングをイネーブルにします。

set-attached-bit

レベル 1 と レベル 2 間のルータが Attach ビットを設定する必要がある場合の制約を指定します。

set-overload-bit

SPF 計算の中間ホップとして使用できないことを他のルータに通知するように ASA を設定します。

show clns

CLNS 固有の情報を表示します。

show isis

IS-IS の情報を表示します。

show route isis

IS-IS ルートを表示します。

summary-address

IS-IS の集約アドレスを作成します。

value domain-name

スプリット トンネルを介して ASA が解決するドメイン名を指定します。

none

スプリット DNS リストがないことを指定します。スプリット DNS リストをヌル値で設定して、スプリット DNS リストを拒否します。デフォルトのグループ ポリシーまたは指定したグループ ポリシーのスプリット DNS リストを継承しません。

7.0(1)

このコマンドが追加されました。

default-domain

ドメイン フィールドが除かれた DNS クエリーに IPSec クライアントが使用するデフォルト ドメイン名を指定します。

split-dns

スプリット トンネルを介して解決されるドメインのリストを提供します。

split-tunnel-network-list

トンネリングが必要なネットワークを区別するために、ASA が使用するアクセス リストを指定します。

split-tunnel-policy

IPsec クライアントが、条件に応じてパケットを暗号化形式で IPsec トンネルを経由して転送したり、クリアテキスト形式でネットワーク インターフェイスに転送したりできるようにします。

as-number

EIGRP ルーティング プロセスの自律システム番号です。

8.0(2)

このコマンドが追加されました。

9.0(1)

マルチ コンテキスト モードはサポートされます。

router eigrp

EIGRP ルーティング プロセスを作成し、このプロセスのコンフィギュレーション モードを開始します。

disable （デフォルト）

AnyConnect クライアントは、スプリット トンネル ポリシーに従ってトンネル経由で DNS クエリーを送信します。ポリシーは、すべてのネットワークをトンネリング、ネットワーク リストで指定されたネットワークをトンネリング、ネットワーク リストで指定されたネットワークを除外、のいずれかです。

enable

AnyConnect クライアントは、VPN トンネルを経由するすべての DNS アドレスを解決します。

8.2(5)

このコマンドが追加されました。

default-domain

ドメイン フィールドが省略された DNS クエリーに対してレガシー IPsec（IKEv1）VPN クライアントまたは AnyConnect VPN Client（SSL）が使用するデフォルトのドメイン名を指定します。

split-dns

スプリット トンネルを介して解決されるドメインのリストを提供します。

split-tunnel-network-list

トンネリングが必要なネットワークと不要なネットワークを区別するために、ASA が使用するアクセス リストを指定します。

split-tunnel-policy

レガシー VPN クライアント（IPsec/IKEv1）または AnyConnect VPN クライアント（SSL）が、条件に応じてパケットを暗号化形式でトンネルを経由して転送したり、クリア テキスト形式でネットワーク インターフェイスに転送したりできるようにします。

none

スプリット トンネリングのネットワーク リストがないことを指定します。ASA によって、すべてのトラフィックがトンネリングされます。

スプリット トンネリング ネットワーク リストをヌル値で設定して、スプリット トンネリングを拒否します。デフォルトのグループ ポリシーまたは指定したグループ ポリシーのデフォルトのスプリット トンネリング ネットワーク リストを継承しません。

value access-list name

トンネリングするネットワークまたはトンネリングしないネットワークを列挙するアクセス リストを指定します。

7.0(1)

このコマンドが追加されました。

access-list

アクセス リストを作成するか、ダウンロード可能なアクセス リストを使用します。

default-domain

ドメイン フィールドが除かれた DNS クエリーに IPSec クライアントが使用するデフォルト ドメイン名を指定します。

split-dns

スプリット トンネルを介して解決されるドメインのリストを提供します。

split-tunnel-policy

IPSec クライアントが、条件に応じてパケットを暗号化形式で IPSec トンネルを経由して転送したり、クリアテキスト形式でネットワーク インターフェイスに転送したりできるようにします。

excludespecified

トラフィックを暗号化しないで送信する先となるネットワークのリストを定義します。この機能は、社内ネットワークにトンネルを介して接続しながら、ローカル ネットワーク上のデバイス（プリンタなど）にアクセスするリモート ユーザにとって役立ちます。

split-tunnel-policy

トラフィックのトンネリングのルールを設定することを指定します。

tunnelall

トラフィックを暗号化しないで送信しないこと、または ASA 以外の宛先に送信しないことを指定します。リモート ユーザは企業ネットワークを経由してインターネットにアクセスしますが、ローカル ネットワークにはアクセスできません。

tunnelspecified

指定したネットワークから、または指定したネットワークへのすべてのトラフィックをトンネリングします。このオプションによって、スプリット トンネリングが有効になります。トンネリングするアドレスのネットワーク リストを作成できるようになります。その他のすべてのアドレスへのデータは暗号化しないで送信され、リモート ユーザのインターネット サービス プロバイダーによってルーティングされます。

7.0(1)

このコマンドが追加されました。

default-domain

ドメイン フィールドが除かれた DNS クエリーに IPSec クライアントが使用するデフォルト ドメイン名を指定します。

split-dns

スプリット トンネルを介して解決されるドメインのリストを提供します。

split-tunnel-network-list none

スプリット トンネリングのアクセス リストがないことを指定します。トラフィックはすべてトンネルを通過します。

split-tunnel-network-list value

トンネリングが必要なネットワークと不要なネットワークを区別するために、ASA が使用するアクセス リストを指定します。

string

サーバ ヘッダー フィールドを置き換えるストリング。最大 82 文字です。

7.2(1)

このコマンドが追加されました。

class

ポリシー マップのクラス マップ名を指定します。

class-map type inspect

アプリケーション固有のトラフィックを照合するためのインスペクション クラス マップを作成します。

policy-map

レイヤ 3/4 のポリシー マップを作成します。

show running-config policy-map

現在のポリシー マップ コンフィギュレーションをすべて表示します。

seconds

正常に完了した各ポスチャ確認の間隔の秒数。指定できる範囲は 30 ～ 1800 です。

7.3(0)

コマンド名から「nac-」が削除されました。コマンドが、グループ ポリシー コンフィギュレーション モードから nac ポリシー nac フレームワーク コンフィギュレーション モードに移動されました。

7.2(1)

このコマンドが追加されました。

nac-policy

Cisco NAC ポリシーを作成してアクセスし、そのタイプを指定します。

nac-settings

NAC ポリシーをグループ ポリシーに割り当てます。

eou timeout

NAC フレームワーク コンフィギュレーションで EAP over UDP メッセージをリモート ホストに送信した後に待機する秒数を変更します。

reval-period

NAC フレームワーク セッションでの成功したポスチャ確認の間隔を指定します。

debug eap

NAC フレームワーク メッセージのデバッグのための拡張認証プロトコル イベントのロギングをイネーブルにします。

value

各参照 ID の値。

srv-id

RFC 4985 に定義されている SRVName 形式の名前をもつ、otherName タイプの subjectAltName エントリ。SRV-ID 識別子には、ドメイン名とアプリケーション サービス タイプの両方を含めることができます。たとえば、「_imaps.example.net」の SRV-ID は、DNS ドメイン名部分の「example.net」と、アプリケーション サービス タイプ部分の「imaps」に分けられます。

9.6(2)

このコマンドが追加されました。

crypto ca reference-identity

参照 ID オブジェクトを設定します。

cn-id

参照 ID オブジェクトのコモン ネーム ID を設定します。

dns-id

参照 ID オブジェクトの DNS ドメイン名 ID を設定します。

uri-id

参照 ID オブジェクトの URI ID を設定します。

logging host

セキュアな接続のために参照 ID オブジェクトを使用できるロギング サーバを設定します。

call-home profile destination address http

安全な接続のために参照 ID オブジェクトを使用できる Smart Call Home サーバを設定します。

国際電気通信連合（ITU）

ITU のバリエーション。これはデフォルトです。

ANSI

ANSI のバリエーション。

Japan

日本のバリエーション。

中国

中国のバリエーション。

9.6(2)

このコマンドが追加されました。

inspect m3ua

M3UA インスペクションをイネーブルにします。

match dpc

M3UA 宛先ポイント コードと一致させます。

match opc

M3UA 発信ポイント コードと一致させます。

policy-map type inspect

インスペクション ポリシー マップを作成します。

interface

SSH をイネーブルにする ASA インターフェイス。名前付きインターフェイスを指定します。ブリッジ グループの場合、ブリッジ グループ メンバ インターフェイスを指定します。VPN 管理アクセスのみ（ management-access コマンドを参照）の場合、名前付き BVI インターフェイスを指定します。

ip_address

ASA への SSH 接続を開始することを認可されるホストまたはネットワークの IPv4 アドレス。

ipv6_address / prefix

ASA への SSH 接続を開始することを認可されるホストまたはネットワークの IPv6 アドレスとプレフィックス。

mask

ip_address のネットワーク マスク。

7.0(1)

このコマンドが追加されました。

8.4(2)

pix または asa ユーザ名とログイン パスワードで SSH を使用して ASA に接続することができなくなりました。SSH を使用するには、 aaa authentication ssh console LOCAL コマンド（CLI）または [Configuration] > [Device Management] > [Users/AAA] > [AAA Access] > [Authentication (ASDM)] を使用して AAA 認証を設定してから、ローカル ユーザを定義する必要があります。ローカル ユーザを定義するには、 username コマンド（CLI）を入力するか、[Configuration] > [Device Management] > [Users/AAA] > [User Accounts (ASDM)] を選択します。ローカル データベースの代わりに AAA サーバを認証に使用する場合、ローカル認証もバックアップの手段として設定しておくことをお勧めします。

8.4(4.1)、9.1(2)

ssh authentication コマンドを使用すると、ユーザ単位で、ASA への SSH 接続の公開キー認証を有効にすることができます。

9.1(2)

ASA での SSH サーバの実装が、AES-CTR モードの暗号化をサポートするようになりました。

9.1(7)/9.4(3)/9.5(3)/9.6(1)

ssh cipher encryption コマンドおよび ssh cipher integrity コマンドを使用して、SSH アクセスの暗号化と整合性の方式を設定できます。

9.6(2)

ssh authentication には、 aaa authentication ssh console LOCAL コマンドが必須です。バージョン 9.6(2) 以降では、パスワードを定義せずに ユーザ名 を作成できるため、公開キー認証のみが必要となります。

9.7(1)

直接接続された SSH 管理ステーションがある場合、ASA およびホストの /31 サブネットを使用してポイントツーポイント接続を作成できます。

9.6(3)/9.8(1)

SSH 公開キー認証を使用するユーザの認証とパスワードを使用するユーザの認証を区別します。AAA SSH 認証（ aaa authentication ssh console ）を明示的にイネーブルにする必要がなくなりました。ユーザに ssh authentication コマンドを設定すると、このタイプの認証を使用するユーザのローカル認証がデフォルトでイネーブルになります。さらに、明示的に AAA SSH 認証を設定すると、パスワードを持つユーザ名のみにこの認証が適用されます。また、AAA サーバ タイプを使用できます。

9.9(2)

仮想インターフェイスが指定可能になりました。

clear configure ssh

実行コンフィギュレーションからすべての SSH コマンドをクリアします。

crypto key generate rsa

アイデンティティ証明書用の RSA キー ペアを生成します。

debug ssh

SSH コマンドのデバッグ情報とエラー メッセージを表示します。

show running-config ssh

実行コンフィギュレーションの現在の SSH コマンドを表示します。

ssh scopy enable

ASA でセキュア コピー サーバをイネーブルにします。

ssh version

SSH バージョン 1 と SSH バージョン 2 のいずれかを使用するよう、ASA を制限します。

hashed

show running-config username コマンドを使用して ASA 上でキーを表示した場合、キーは、SHA-256 ハッシュを使用して暗号化されます。キーを pkf として入力した場合でも、ASA はキーをハッシュし、ハッシュ化された publickey として表示します。 show の出力からキーをコピーする必要がある場合、 hashed キーワードを使って、 publickey タイプを指定します。

キー

key 引数の値は次のいずれかになります。

• key 引数が指定され、ハッシュされたタグが指定されていない場合、キーの値は、SSH-RSA の未処理キーを生成することのできる SSH キー生成ソフトウェアによって生成される Base 64 で符号化された公開キーである必要があります（つまり、証明書は使用しません）。Base 64 エンコード公開キーを送信すると、そのキーは SHA-256 によりハッシュ化され、それ以降のすべての比較では対応する 32 バイト ハッシュが使用されます。
• key 引数が指定され、ハッシュされたタグを指定した場合は、キーの値は、SHA-256 で事前にハッシュされている必要があります。長さは 32 バイトで、各バイトはコロンで区切られている必要があります（解析のため）。

nointeractive

nointeractive オプションは、SSH 公開キー ファイル形式のキーをインポートするときにすべてのプロンプトを抑制します。この非インタラクティブ データ入力モードは ASDM での使用のみを目的としています。

pkf

pkf キーの場合、PKF でフォーマットされたキーを最大 4096 ビット貼り付けるよう求められます。Base64 形式では大きすぎてインラインで貼り付けることができないキーにはこのフォーマットを使用します。たとえば、ssh keygen を使って4096 ビットのキーを生成してから PKF に変換し、そのキーに対して pkf キーワードが求められるようにすることができます。

（注） フェールオーバーで pkf オプションを使用できますが、PKF キーは、スタンバイ システムに自動的に複製されません。PKF キーを同期するには、write standby コマンドを入力する必要があります。

publickey

publickey の場合、 key は Base64 でエンコードされた公開キーです。SSH-RSA raw キー（証明書なし）を生成可能な任意の SSH キー生成ソフトウェア（ssh keygen など）を使用して、キーを生成できます。

8.4(4.1)、9.1(2)

このコマンドが追加されました。

この機能は、8.5（1）、8.6（1）、8.7（1）、9.0（1）、9.0(2)、9.1(1) では、利用できません。

9.1(2)

pkf キーワードと最大 4096 ビットのキーのサポートが追加されました。

9.6(2)

ssh authentication には、 aaa authentication ssh console LOCAL コマンドが必須です。バージョン 9.6(2) 以降では、パスワードを定義せずに ユーザ名 を作成できるため、公開キー認証のみが必要となります。

9.6(3)/9.8(1)

SSH 公開キー認証を使用するユーザの認証とパスワードを使用するユーザの認証を区別します。AAA SSH 認証（ aaa authentication ssh console ）を明示的にイネーブルにする必要がなくなりました。ユーザに ssh authentication コマンドを設定すると、このタイプの認証を使用するユーザのローカル認証がデフォルトでイネーブルになります。さらに、明示的に AAA SSH 認証を設定すると、パスワードを持つユーザ名のみにこの認証が適用されます。また、AAA サーバ タイプを使用できます。

clear configure ssh

実行コンフィギュレーションからすべての SSH コマンドをクリアします。

debug ssh

SSH コマンドのデバッグ情報とエラー メッセージを表示します。

show running-config ssh

実行コンフィギュレーションの現在の SSH コマンドを表示します。

ssh version

SSH バージョン 1 と SSH バージョン 2 のいずれかを使用するよう、ASA を制限します。

all

すべての暗号化アルゴリズムを受け入れるように指定します。

custom encryption_1 [ : encryption_2 [ :... encryption_n ]]

暗号化アルゴリズムのカスタム セットを指定します。 show ssh ciphers コマンドを入力すると、使用可能なすべての暗号化アルゴリズムを表示できます。次に例を示します。

custom 3des-cbc:aes192-cbc:aes256-ctr

fips

FIPS 準拠の暗号化アルゴリズムのみを指定します。

high

高強度の暗号化アルゴリズムのみを指定します。

low

低、中、および高強度の暗号化アルゴリズムを指定します。

medium

中および高強度の暗号化アルゴリズムを指定します。

9.1(7)/9.4(3)/9.5(3)/9.6(1)

このコマンドが追加されました。

show ssh

設定されている暗号方式を表示します。

show ssh ciphers

使用可能な暗号アルゴリズムを表示します。

ssh cipher integrity

設定されている SSH 暗号の整合性アルゴリズムを指定します。

all

すべての整合性アルゴリズムを受け入れるように指定します。

custom algorithm_1 [ : algorithm_2 [ :... algorithm_n ]]

整合性アルゴリズムのカスタム セットを指定します。 show ssh ciphers コマンドを入力すると、使用可能なすべての整合性アルゴリズムを表示できます。次に例を示します。

custom hmac-sha1:hmac-sha1-96:hmac-md5-96

fips

FIPS 準拠の整合性アルゴリズムを指定します。

high

高強度の整合性アルゴリズムのみを指定します。

low

低、中、および高強度の整合性アルゴリズムを指定します。

medium

中および高強度の整合性アルゴリズムを指定します。

9.1(7)/9.4(3)/9.5(3)/9.6(1)

このコマンドが追加されました。

9.12(1)

HMAC-SHA256 整合性暗号のサポートが追加されました。デフォルトは、高セキュリティの暗号セット（hmac-sha1 および hmac-sha2-256）になりました。以前のデフォルトは中程度のセットでした。

9.13(1)

次の整合性アルゴリズムの値は、安全ではないと見なされ、廃止されます。

• all：hmac-sha1-96、hmac-md5、hmac-md5-96、hmac-sha2-256
• low：hmac-sha1-96、hmac-md5、hmac-md5-96、hmac-sha2-256
• medium：hmac-sha1-96

上記の値は、以降のリリースから削除されます。

show ssh

設定されている暗号方式を表示します。

show ssh ciphers

使用可能な暗号アルゴリズムを表示します。

ssh cipher encryption

設定されている SSH 暗号の暗号化アルゴリズムを指定します。

session_id

ID 番号で指定した SSH セッションを切断します。

7.0(1)

このコマンドが追加されました。

show ssh sessions

ASA とのアクティブ SSH セッションに関する情報を表示します。

ssh timeout

アイドル状態の SSH セッションのタイムアウト値を設定します。

dh-group1-sha1

キー交換に DH グループ 1 SHA1 を使用します。

dh-group14-sha1

キー交換に DH グループ 14 SHA1 を使用します。

dh-group14-sha256

キー交換に DH グループ 14 SHA256 を使用します。

group

使用する DH グループを指定します。

8.4(4.1)、9.1(2)

このコマンドが追加されました。

この機能は、8.5（1）、8.6（1）、8.7（1）、9.0（1）、9.0(2)、9.1(1) では、利用できません。

9.12(1)

Diffie-Hellman グループ 14 SHA256 キー交換が追加され、デフォルトになっています。

9.12(2)

SSH キー交換モードの設定が、管理コンテキストに限定されました。

9.13(1)

dh-group1-sha1- Diffie-Hellman group 2 コマンド オプションは廃止され、以降のリリースで削除されました。

clear configure ssh

実行コンフィギュレーションからすべての SSH コマンドをクリアします。

crypto key generate rsa

アイデンティティ証明書用の RSA キー ペアを生成します。

debug ssh

SSH コマンドのデバッグ情報とエラー メッセージを表示します。

show running-config ssh

実行コンフィギュレーションの現在の SSH コマンドを表示します。

ssh scopy enable

ASA でセキュア コピー サーバをイネーブルにします。

ssh version

SSH バージョン 1 と SSH バージョン 2 のいずれかを使用するよう、ASA を制限します。

9.1(5)

このコマンドが追加されました。

copy

ASA との間でファイルをコピーします。

key-hash

ハッシュ SSH ホスト キーを入力します。

key-string

公開 SSH ホスト キーを入力します。

サーバ

SSH サーバとホスト キーを ASA データベースに追加します。

ssh stricthostkeycheck

オンボードのセキュア コピー（SCP）クライアントの SSH ホスト キーのチェックをイネーブルにします。

7.0(1)

このコマンドが追加されました。

9.1(7)/9.4(3)/9.5(3)/9.6(1)

ssh cipher encryption コマンドおよび ssh cipher integrity コマンドを使用して、SSH アクセスの暗号化と整合性の方式を設定できます。

clear configure ssh

実行コンフィギュレーションからすべての SSH コマンドをクリアします。

debug ssh

SSH コマンドのデバッグ情報とエラー メッセージを表示します。

show running-config ssh

実行コンフィギュレーションの現在の SSH コマンドを表示します。

ssh

指定したクライアントまたはネットワークから ASA への SSH 接続を許可します。

ssh version

SSH バージョン 1 と SSH バージョン 2 のいずれかを使用するよう、ASA を制限します。

9.1(5)

このコマンドが追加されました。

copy

ASA との間でファイルをコピーします。

key-hash

ハッシュ SSH ホスト キーを入力します。

key-string

公開 SSH ホスト キーを入力します。

サーバ

SSH サーバとホスト キーを ASA データベースに追加します。

ssh pubkey-chain

ASA のデータベースに格納されるサーバとそのキーを手動で追加または削除します。

number

SSH セッションが切断される前に非アクティブである時間を分単位で指定します。有効な値は、1 ～ 60 分です。

7.0(1)

このコマンドが追加されました。

clear configure ssh

実行コンフィギュレーションからすべての SSH コマンドをクリアします。

show running-config ssh

実行コンフィギュレーションの現在の SSH コマンドを表示します。

show ssh sessions

ASA とのアクティブ SSH セッションに関する情報を表示します。

ssh disconnect

アクティブな SSH セッションを切断します。

2

SSH バージョン 2 接続のみがサポートされることを指定します。

7.0(1)

このコマンドが追加されました。

9.12(1)

Version 1 キーワードが削除されました。

clear configure ssh

実行コンフィギュレーションからすべての SSH コマンドをクリアします。

debug ssh

SSH コマンドのデバッグ情報とエラー メッセージを表示します。

show running-config ssh

実行コンフィギュレーションの現在の SSH コマンドを表示します。

ssh

指定したクライアントまたはネットワークから ASA への SSH 接続を許可します。

interface-name

選択したインターフェイスの名前。inside、management、outside などです。

port-number

TCP ポート番号。1 ～ 65535 の範囲の整数です。

8.0(3)

このコマンドが追加されました。

8.2(1)

このコマンドは不要になりましたが、以前のバージョンにダウングレードする場合に備えて、ASA で保持されています。

show running-config ssl

現在設定されている一連の SSL コマンドを表示します。

custom string

OpenSSL 暗号定義文字列を使用して暗号スイートの完全な制御権限を付与します。

level

暗号強度を指定し、サポートされる暗号の最低レベルを示します。次に、強度の有効な値を強度の低い順に示します。

• all ：NULL-SHA を含むすべての暗号が含まれます。
• low ：NULL-SHA を除くすべての暗号が含まれます。
• medium ：NULL-SHA、DES-CBC-SHA、および RC4-MD5 を除くすべての暗号が含まれます。
• fips ：FIPS 準拠の暗号がすべて含まれます（NULL-SHA、DES-CBC-SHA、RC4-MD5、RC4-SHA、および DES-CBC3-SHA を除く）。
• high （TLSv1.2 にのみ適用）：SHA-2 暗号を使用する AES-256 のみが含まれます。

version

SSL、DTLS、TLS プロトコルのバージョンを指定します。サポートされているバージョンは次のとおりです。

• default ：発信接続用の暗号セット。
• dtlsv1 ：DTLSv1 着信接続用の暗号。
• dtlsv1.2：DTLSv1.2 着信接続用の暗号。
• tlsv1 ：TLSv1 着信接続用の暗号。
• tlsv1.1 ：TLSv1.1 着信接続用の暗号。
• tlsv1.2 ：TLSv1.2 着信接続用の暗号。

9.3(2)

このコマンドが追加されました。

9.4(1)

すべての SSLv3 設定とサポートが ASA から削除されました。

9.10(1)

dtls 1.2 オプションが追加されました。

9.12(1)

lina で tlv1 でサポートされている暗号から NULL-SHA を削除しました。ssl cipher tlsv1 all および ssl cipher tlsv1 custom NULL-SHA コマンドが廃止され削除されました。

show running-config ssl

現在設定されている一連の SSL コマンドを表示します。

show ssl ciphers

サポートされている暗号のリストを表示します。

任意

SSLv3 クライアントの hello を送信し、SSLv3（以降）をネゴシエートします。

sslv3

SSLv3 クライアントの hello を送信し、SSLv3（以降）をネゴシエートします。

sslv3-only

SSLv3 クライアントの hello を送信し、SSLv3（以降）をネゴシエートします。

（注） このオプションは、バージョン 9.3(2) で廃止されました。

tlsv1

TLSv1 クライアントの hello を送信し、TLSv1（以降）をネゴシエートします。

tlsv1.1

TLSv1.1 クライアントの hello を送信し、TLSv1.1（以降）をネゴシエートします。

tlsv1.2

TLSv1.2 クライアントの hello を送信し、TLSv1.2（以降）をネゴシエートします。

tlsv1-only

TLSv1 クライアントの hello を送信し、TLSv1（以降）をネゴシエートします。

（注） このオプションは、バージョン 9.3(2) で廃止されました。

7.0(1)

このコマンドが追加されました。

9.3(2)

SSLv3 は廃止されました。現在のデフォルトは [any] ではなく [tlsv1] です。[any] キーワードは廃止されました。

clear config ssl

コンフィギュレーションからすべての SSL コマンドを削除し、デフォルト値に戻します。

ssl encryption

SSL/TLS プロトコルで使用する暗号化アルゴリズムを指定します。

show running-config ssl

現在設定されている一連の SSL コマンドを表示します。

ssl server-version

ASA が SSL/TLS 接続をネゴシエートする最小プロトコル バージョンを指定します。

ssl trust-point

インターフェイスの SSL 証明書を表す証明書トラストポイントを指定します。

group1

DH グループ 1（768 ビット モジュラス）を設定します。

group2

DH グループ 2（1024 ビット モジュラス）を設定します。

group5

DH グループ 5（1536 ビット モジュラス）を設定します。

group14

DH グループ 14（2048 ビット モジュラス、224 ビット素数位数サブグループ）を設定します。

group24

DH グループ 24（2048 ビット モジュラス、256 ビット素数位数サブグループ）を設定します。