ASA SSH スタックが廃止されました

9.23(1)

ASA SSH スタックを使用できなくなります。Cisco SSH スタックが唯一のスタックになりました。

新規/変更されたコマンド： ssh stack ciscossh

CiscoSSH スタックのデフォルト化

9.19(1)

Cisco SSH スタックがデフォルトで使用されるようになりました。

新規/変更されたコマンド： ssh stack ciscossh

SSH と Telnet のループバック インターフェイス サポート

9.18(2)

ループバック インターフェイスを追加して、次の機能に使用できるようになりました。

• SSH

• Telnet

新規/変更されたコマンド：interface loopback 、ssh 、telnet

CiscoSSH スタック

9.17(1)

ASA は、SSH 接続に独自の SSH スタックを使用します。代わりに、OpenSSH に基づく CiscoSSH スタックを使用するように選択できるようになりました。デフォルトスタックは引き続き ASA スタックです。Cisco SSH は次をサポートします。

• FIPS の準拠性

• シスコおよびオープンソースコミュニティからの更新を含む定期的な更新

CiscoSSH スタックは次をサポートしないことに注意してください。

• VPN を介した別のインターフェイスへの SSH（管理アクセス）

• EdDSA キーペア

• FIPS モードの RSA キーペア

これらの機能が必要な場合は、引き続き ASA SSH スタックを使用する必要があります。

CiscoSSH スタックでは、SCP 機能に若干の変更があります。ASA copy コマンドを使用して SCP サーバとの間でファイルをコピーするには、ssh コマンドを使用して、ASA で SCP サーバサブネット/ホストの SSH アクセスを有効にする必要があります。

新規/変更されたコマンド： ssh stack ciscossh

ローカルユーザーのロックアウトの変更

9.17(1)

設定可能な回数のログイン試行に失敗すると、ASA はローカルユーザーをロックアウトする場合があります。この機能は、特権レベル 15 のユーザーには適用されませんでした。また、管理者がアカウントのロックを解除するまで、ユーザーは無期限にロックアウトされます。管理者がその前に clear aaa local user lockout コマンドを使用しない限り、ユーザーは 10 分後にロック解除されるようになりました。特権レベル 15 のユーザーも、ロックアウト設定が適用されるようになりました。

新規/変更されたコマンド：aaa local authentication attempts max-fail 、show aaa local user

SSH および Telnet パスワード変更プロンプト

9.17(1)

ローカルユーザーが SSH または Telnet を使用して ASA に初めてログインすると、パスワードを変更するように求められます。また、管理者がパスワードを変更した後、最初のログインに対してもプロンプトが表示されます。ただし、ASA がリロードすると、最初のログインであっても、ユーザーにプロンプトは表示されません。

VPN などのローカル ユーザー データベースを使用するサービスは、SSH または Telnet ログイン中に変更された場合、新しいパスワードも使用する必要があることに注意してください。

新規/変更されたコマンド： show aaa local user

SSH セキュリティの改善

9.16(1)

SSH が次の SSH セキュリティの改善をサポートするようになりました。

• ホストキーの形式：crypto key generate {eddsa | ecdsa} 。RSA に加えて、EdDSA および ECDSA ホストキーのサポートが追加されました。ASA は、存在する場合、EdDSA、ECDSA、RSA の順にキーの使用を試みます。ssh key-exchange hostkey rsa コマンドで RSA キーを使用するように ASA を明示的に設定する場合は、2048 ビット以上のキーを生成する必要があります。アップグレードの互換性のために、ASA はデフォルトのホストキー設定が使用されている場合にのみ、より小さい RSA ホストキーを使用します。RSA のサポートは今後のリリースで削除されます。

• キー交換アルゴリズム：ssh key-exchange group {ecdh-sha2-nistp256 | curve25519-sha256}

• 暗号化アルゴリズム：ssh cipher encryption chacha20-poly1305@openssh.com

• SSH バージョン 1 はサポートされなくなりました。ssh version コマンドは削除されました。

新規/変更されたコマンド：crypto key generate eddsa 、crypto key zeroize eddsa 、show crypto key mypubkey 、ssh cipher encryption chacha20-poly1305@openssh.com 、ssh key-exchange group {ecdh-sha2-nistp256 | curve25519-sha256} 、ssh key-exchange hostkey 、ssh version

SNMP 向け管理アクセス

9.14(2)

サイト間 VPN 経由のセキュアな SNMP ポーリングを実現するための VPN 設定の一環として、VPN トンネル経由の管理アクセスを設定する際に、外部インターフェイスの IP アドレスを暗号マップアクセスリストに含めます。

HTTPS アイドルタイムアウトの設定

9.14(1)

ASDM、WebVPN、および他のクライアントを含む、ASA へのすべての HTTPS 接続のアイドルタイムアウトを設定できるようになりました。これまでは、http server idle-timeout コマンドを使用して ASDM アイドルタイムアウトを設定することしかできませんでした。両方のタイムアウトを設定した場合は、新しいコマンドによる設定が優先されます。

新規/変更されたコマンド： http connection idle-timeout

事前定義されたリストに応じて最も高いセキュリティから最も低いセキュリティへという順序で SSH 暗号化の暗号を表示

9.13(1)

事前定義されたリストに応じて、SSH 暗号化の暗号が最も高いセキュリティから最も低いセキュリティへという順序（中または高）で表示されるようになりました。以前のリリースでは、最も低いものから最も高いものへの順序でリストされており、セキュリティが高い暗号よりも低い暗号が先に表示されていました。

新規/変更されたコマンド： ssh cipher encryption

SSH キー交換モードの設定は、管理コンテキストに限定されています。

9.12(2)

管理コンテキストでは SSH キー交換を設定する必要があります。この設定は、他のすべてのコンテキストによって継承されます。

新規/変更されたコマンド： ssh key-exchange

enable ログイン時のパスワードの変更が必須に

9.12(1)

デフォルトの enable のパスワードは空白です。ASA で特権 EXEC モードへのアクセスを試行する場合に、パスワードを 3 文字以上の値に変更することが必須となりました。空白のままにすることはできません。no enable password コマンドは現在サポートされていません。

CLI で aaa authorization exec auto-enable を有効にすると、enable コマンド、login コマンド（特権レベル 2 以上のユーザー）、または SSH/Telnet セッションを使用して特権 EXEC モードにアクセスできます。これらの方法ではすべて、イネーブル パスワードを設定する必要があります。

このパスワード変更の要件は、ASDM のログインには適用されません。ASDM のデフォルトでは、ユーザー名を使用せず enable パスワードを使用してログインすることができます。

新規/変更されたコマンド： enable password

管理セッションの設定可能な制限

9.12(1)

集約、ユーザー単位、およびプロトコル単位の管理セッションの最大数を設定できます。これまでは、セッションの集約数しか設定できませんでした。この機能がコンソール セッションに影響を与えることはありません。マルチ コンテキスト モードでは HTTPS セッションの数を設定することはできず、最大セッション数は 5 で固定されています。また、quota management-session コマンドはシステム コンフィギュレーションでは受け入れられず、代わりにコンテキスト コンフィギュレーションで使用できるようになっています。集約セッションの最大数が 15 になりました。0（無制限）または 16 以上に設定してアップグレードすると、値は 15 に変更されます。

新規/変更されたコマンド：quota management-session 、show quota management-session

管理権限レベルの変更通知

9.12(1)

有効なアクセス（aaa authentication enable console） を認証するか、または特権 EXEC への直接アクセス（aaa authorization exec auto-enable ）を許可すると、前回のログイン以降に割り当てられたアクセス レベルが変更された場合に ASA からユーザーへ通知されるようになりました。

新規/変更されたコマンド： show aaa login-history

SSH によるセキュリティの強化

9.12(1)

次の SSH セキュリティの改善を参照してください。

• Diffie-Hellman Group 14 SHA256 キー交換のサポート。この設定がデフォルトになりました。以前のデフォルトは Group 1 SHA1 でした。

• HMAC-SHA256 整合性暗号のサポート。デフォルトは、高セキュリティの暗号セット（hmac-sha2-256 のみ）になりました。以前のデフォルトは中程度のセットでした。

新規/変更されたコマンド：ssh cipher integrity 、ssh key-exchange group dh-group14-sha256

非ブラウザベースの HTTPS クライアントによる ASA へのアクセスの許可

9.12(1)

非ブラウザベースの HTTPS クライアントが ASA 上の HTTPS サービスにアクセスできるようにすることができます。デフォルトでは、ASDM、CSM、および REST API が許可されています。

新規/変更されたコマンド： http server basic-auth-client

RSA キー ペアは 3072 ビット キーをサポートしています

9.9(2)

モジュラス サイズを 3072 に設定できるようになりました。

新規または変更されたコマンド：crypto key generate rsa modulus

ブリッジ型仮想インターフェイス（BVI）の VPN 管理アクセス

9.9(2)

VPN の management-access がその BVI で有効になっている場合、telnet、http、ssh などの管理サービスを BVI で有効にできるようになりました。非 VPN 管理アクセスの場合は、ブリッジ グループ メンバ インターフェイスでこれらのサービスの設定を続行する必要があります。

新規または変更されたコマンド：https、telnet、ssh、management-access

SSH バージョン 1 の廃止

9.9(1)

SSH バージョン 1 は廃止され、今後のリリースで削除される予定です。デフォルト設定が SSH v1 と v2 の両方から SSH v2 のみに変更されました。

新規/変更されたコマンド： ssh version

SSH 公開キー認証を使用するユーザーの認証とパスワードを使用するユーザーの認証を区別します。

9.6(3)/9.8(1)

9.6(2) より前のリリースでは、ローカル ユーザー データベース（ssh authentication ）を使用して AAA SSH 認証を明示的に有効にしなくても、SSH 公開キー認証（aaa authentication ssh console LOCAL ）を有効にすることができました。9.6(2) では、ASA で AAA SSH 認証を明示的に有効にする必要がありました。このリリースでは、AAA SSH 認証を明示的に有効にする必要はありません。ユーザーに対して ssh authentication コマンドを設定すると、このタイプの認証を使用するユーザーのローカル認証がデフォルトで有効になります。さらに、明示的に AAA SSH 認証を設定すると、この設定はパスワード付きのユーザー名にのみ適用されます。また、任意の AAA サーバー タイプ（aaa authentication ssh console radius_1 など）を使用できます。たとえば、一部のユーザーはローカル データベースを使用して公開キー認証を使用し、他のユーザーは RADIUS でパスワードを使用できます。

変更されたコマンドはありません。

ログイン履歴

9.8(1)

デフォルトでは、ログイン履歴は 90 日間保存されます。この機能を無効にするか、期間を最大 365 日まで変更できます。1 つ以上の管理メソッド（SSH、ASDM、Telnet など）でローカル AAA 認証を有効にしている場合、この機能はローカル データベースのユーザー名にのみ適用されます。

次のコマンドが導入されました。aaa authentication login-history、show aaa login-history

パスワードの再利用とユーザー名と一致するパスワードの使用を禁止するパスワード ポリシーの適用

9.8(1)

最大 7 世代にわたるパスワードの再利用と、ユーザー名と一致するパスワードの使用を禁止できるようになりました。

次のコマンドが導入されました。password-history、password-policy reuse-interval、password-policy username-check

ASDM に対する ASA SSL サーバー モード マッチング

9.6(2)

証明書マップと照合するために、証明書で認証を行う ASDM ユーザーに対して証明書を要求できるようになりました。

次のコマンドを変更しました。http authentication-certificate match

SSH 公開キー認証の改善

9.6(2)

以前のリリースでは、ローカル ユーザー データベース（ (aaa authentication ssh console LOCAL )）を使用して AAA SSH 認証を有効にしなくても、SSH 公開キー認証（(ssh authentication )）を有効にすることができました。この設定は修正されたため、AAA SSH 認証を明示的に有効にする必要があります。ユーザーが秘密キーの代わりにパスワードを使用できないよう、パスワード未定義のユーザー名を作成できるようになりました。

次のコマンドが変更されました。ssh authentication、username

ASDM 管理認証

9.4(1)

HTTP アクセスと Telnet および SSH アクセス別に管理認証を設定できるようになりました。

次のコマンドが導入されました。 aaa authorization http console

証明書コンフィギュレーションの ASDM ユーザー名

9.4(1)

ASDM の証明書認証（http authentication-certificate）を有効にすると、ASDM が証明書からユーザー名を抽出する方法を設定できます。また、ログイン プロンプトでユーザー名を事前に入力して表示できます。

次のコマンドが導入されました。http username-from-certificate

改善されたワンタイム パスワード認証

9.2(1)

十分な認可特権を持つ管理者は、認証クレデンシャルを一度入力すると特権 EXEC モードに移行できます。auto-enable オプションが aaa authorization exec コマンドに追加されました。

次のコマンドが変更されました。aaa authorization exec。

HTTP リダイレクトの IPv6 サポート

9.1(7)/9.6(1)

ASDM アクセスまたはクライアントレス SSL VPN 用の HTTPS に HTTP リダイレクトを有効にすると、IPv6 アドレスへ送信されるトラフィックもリダイレクトできるようになりました。

次のコマンドに機能が追加されました。http redirect

設定可能な SSH 暗号機能と整合性アルゴリズム

9.1(7)/9.4(3)/9.5(3)/9.6(1)

ユーザーは SSH 暗号化を管理するときに暗号化モードを選択し、さまざまなキー交換アルゴリズムに対して HMAC と暗号化を設定できます。アプリケーションに応じて、暗号の強度を強くしたり弱くする必要がある場合があります。セキュアなコピーのパフォーマンスは暗号化アルゴリズムに一部依存します。デフォルトで、ASA は 3des-cbc aes128-cbc aes192-cbc aes256-cbc aes128-ctr aes192-ctr aes256-ctr の順にアルゴリズムをネゴシエートします。提示された最初のアルゴリズム（3des-cbc）が選択された場合、aes128-cbc などの一層効率的なアルゴリズムが選択された場合よりも大幅にパフォーマンスが低下します。たとえば、提示された暗号方式に変更するには、ssh cipher encryption custom aes128-cbc を使用します。

次のコマンドが導入されました。ssh cipher encryption、ssh cipher integrity。

SSH の AES-CTR 暗号化

9.1(2)

ASA での SSH サーバの実装が、AES-CTR モードの暗号化をサポートするようになりました。

SSH キー再生成間隔の改善

9.1(2)

SSH 接続は、接続時間 60 分間またはデータ トラフィック 1 GB ごとに再生成されます。

次のコマンドが導入されました。show ssh sessions detail。

マルチ コンテキスト モードの ASASM において、スイッチからの Telnet 認証および仮想コンソール認証をサポートしました。

8.5(1)

マルチ コンテキスト モードのスイッチから ASASM への接続はシステム実行スペースに接続しますが、これらの接続を制御するために管理コンテキストでの認証を設定できます。

ローカル データベースを使用する場合の管理者パスワード ポリシーのサポート

8.4(4.1)、9.1(2)

ローカル データベースを使用して CLI または ASDM アクセスの認証を設定する場合は、指定期間を過ぎるとユーザーにパスワードの変更を要求し、パスワードの最短長と最低変更文字数などのパスワード標準に従うことを要求するパスワード ポリシーを設定できます。

次のコマンドが導入されました。change-password、password-policy lifetime、password-policy minimum changes、password-policy minimum-length、password-policy minimum-lowercase、password-policy minimum-uppercase、password-policy minimum-numeric、password-policy minimum-special、password-policy authenticate enable、clear configure password-policy、show running-config password-policy.

SSH 公開キー認証のサポート

8.4(4.1)、9.1(2)

ASA への SSH 接続の公開キー認証は、ユーザー単位で有効にできます。公開キー ファイル（PKF）でフォーマットされたキーまたは Base64 キーを指定できます。PKF キーは、4096 ビットまで使用できます。ASA がサポートする Base64 形式（最大 2048 ビット）では大きすぎるキーについては、PKF 形式を使用します。

次のコマンドが導入されました。ssh authenticaion。

PKF キー形式のサポートは 9.1(2) 以降のみです。

SSH キー交換の Diffie-Hellman グループ 14 のサポート

8.4(4.1)、9.1(2)

SSH キー交換に Diffie-Hellman グループ 14 が追加されました。これまでは、グループ 1 だけがサポートされていました。

次のコマンドが導入されました。ssh key-exchange。

管理セッションの最大数のサポート

8.4(4.1)、9.1(2)

同時 ASDM、SSH、Telnet セッションの最大数を設定できます。

次のコマンドが導入されました。quota management-session、show running-config quota management-session、show quota management-session。

SSH セキュリティが向上し、SSH デフォルト ユーザー名はサポートされなくなりました。

8.4(2)

8.4(2) 以降、pix または asa ユーザー名とログイン パスワードで SSH を使用して ASA に接続することができなくなりました。SSH を使用するには、aaa authentication ssh console LOCAL コマンド（CLI）または [Configuration] > [Device Management] > [Users/AAA] > [AAA Access] > [Authentication (ASDM)] を使用して AAA 認証を設定してから、ローカル ユーザーを定義する必要があります。定義するには、username コマンド（CLI）を入力するか、[Configuration] > [Device Management] > [Users/AAA] > [User Accounts (ASDM)] を選択します。ローカル データベースの代わりに AAA サーバを認証に使用する場合、ローカル認証もバックアップの手段として設定しておくことをお勧めします。

管理アクセス

7.0(1)

この機能が導入されました。

次のコマンドを導入しました。

show running-config all privilege all、show running-config privilege level、show running-config privilege command、telnet、telnet timeout、ssh、ssh timeout、http、http server enable、asdm image disk、banner、console timeout、icmp、ipv6 icmp、management access、aaa authentication console、aaa authentication enable console、aaa authentication telnet | ssh console、service-type、login、privilege、aaa authentication exec authentication-server、aaa authentication command LOCAL、aaa accounting serial | telnet | ssh | enable console、show curpriv、aaa accounting command privilege。