|
TCP ステート バイパス
|
8.2(1)
|
この機能が導入されました。set connection advanced-options tcp-state-bypass コマンドが導入されました。
|
|
すべてのプロトコルの接続タイムアウト
|
8.2(2)
|
アイドル タイムアウトは、TCP だけでなく、すべてのプロトコルに適用するように変更されました。
次の画面が変更されました。[Configuration] > [Firewall] > [Service Policies] > [Rule Actions] > [Connection Settings]。
|
|
バックアップ スタティック ルートを使用する接続のタイムアウト
|
8.2(5)/8.4(2)
|
同じネットワークへの複数のスタティック ルートが存在しており、それぞれメトリックが異なる場合は、ASA は接続確立時点でメトリックが最良のルートを使用します。より適切なルートが使用可能になった場合は、このタイムアウトによって接続が閉じられるので、その適切なルートを使用して接続を再確立できます。デフォルトは
0 です（接続はタイムアウトしません）。この機能を使用するには、タイムアウトを新しい値に変更します。
次の画面が変更されました。[Configuration] > [Firewall] > [Advanced] > [Global Timeouts]。
|
|
PAT xlate に対する設定可能なタイムアウト
|
8.4(3)
|
PAT xlate がタイムアウトし（デフォルトでは 30 秒後）、ASA が新しい変換用にポートを再使用すると、一部のアップストリーム ルータは、前の接続がアップストリーム デバイスで依然として開いている可能性があるため、この新しい接続を拒否する場合があります。PAT
xlate のタイムアウトを、30 秒～ 5 分の範囲内の値に設定できるようになりました。
次の画面が変更されました。[Configuration] > [Firewall] > [Advanced] > [Global Timeouts]。
この機能は、8.5(1) または 8.6(1) では使用できません。
|
|
サービス ポリシー ルールの最大接続数の引き上げ
|
9.0(1)
|
サービス ポリシー ルールの最大接続数が 65535 から 2000000 に引き上げられました。
次の画面が変更されました。[Configuration] > [Firewall] > [Service Policy Rules] > [Connection Settings]。
|
|
ハーフ クローズ タイムアウト最小値を 30 秒に削減
|
9.1(2)
|
グローバル タイムアウトおよび接続タイムアウトの両方のハーフ クローズド タイムアウトの最小値は、より優れた DoS 保護を提供するために 5 分から 30 秒に短縮されました。
次の画面が変更されました。
[Configuration] > [Firewall] > [Service Policy Rules] > [Connection Settings]、 [Configuration] > [Firewall] > [Advanced] >
[Global Timeouts]
|
|
ルートの収束に対する接続ホールドダウン タイムアウト。
|
9.4(3)
9.6(2)
|
接続で使用されているルートがもう存在していない、または非アクティブになったときに、システムが接続を保持する時間を設定できるようになりました。このホールドダウン期間内にルートがアクティブにならない場合、接続は解放されます。ルートの収束がさらに迅速に行われるようにホールドダウン
タイマーを短縮することができます。ただし、ほとんどのネットワークでは、ルートのフラッピングを防止するためにデフォルトの 15 秒が適切です。
の画面が変更されました。
|
|
SCTP アイドル タイムアウトおよび SCTP ステート バイパス
|
9.5(2)
|
SCTP 接続のアイドル タイムアウトを設定できます。また、SCTP ステート バイパスを有効にして、トラフィックのクラスで SCTP ステートフル インスペクションをオフにできます。
次の画面が変更されました：、 ウィザード、[Connection Settings] タブ。
|
|
Firepower 9300 上の ASA のフロー オフロード。
|
9.5(2.1)
|
ASA からオフロードされ、（Firepower 9300 上の）NIC に直接切り替えられる必要があるフローを特定できます。これにより、データセンターのより大きなデータ フローのパフォーマンスが向上します。
この機能には、FXOS 1.1.3 が必要です。
次の画面が追加または変更されました：、 の下でルールを追加または編集する場合の タブ。
|
|
Firepower 4100 シリーズ 上の ASA のフロー オフロードのサポート。
|
9.6(1)
|
ASA からオフロードされ、Firepower 4100 シリーズ の NIC で直接切り替える必要があるフローを特定できます。
この機能では、FXOS 1.1.4 が必要です。
この機能には、新規のコマンドまたは ASDM 画面はありません。
|
|
トランスペアレント モードでのマルチキャスト接続のフロー オフロードのサポート。
|
9.6(2)
|
トランスペアレント モードの Firepower 4100 および 9300 シリーズ デバイスで、NIC に直接切り替えられるマルチキャスト接続をオフロードできるようになりました。マルチキャスト オフロードは、インターフェイスを 2 つだけ含むブリッジ
グループに使用できます。
この機能には、新規のコマンドまたは ASDM 画面はありません。
|
|
TCP オプション処理の変更。
|
9.6(2)
|
TCP マップを設定する際にパケットの TCP ヘッダー内の TCP MSS および MD5 オプションに対するアクションを指定できるようになりました。さらに、MSS、タイムスタンプ、ウィンドウ サイズ、および選択的確認応答オプションのデフォルトの処理が変更されました。以前は、これらのオプションは、ヘッダーに特定のタイプのオプションが
2 つ以上ある場合でも許可されていました。現在は、パケットに特定のタイプのオプションが 2 つ以上含まれている場合、そのパケットはデフォルトでドロップされます。たとえば、以前は 2 つのタイムスタンプ オプションがあるパケットは許可されていましたが、現在はドロップされます。
MD5、MSS、選択的確認応答、タイムスタンプ、およびウィンドウ サイズに対し、同じタイプの複数のオプションを有効にするための TCP マップを設定できます。MD5 オプションの場合、以前のデフォルトではオプションがクリアされたのに対し、現在のデフォルトでは許可されます。また、MD5
オプションを含むパケットをドロップすることもできます。MSS オプションの場合は、TCP マップで最大セグメント サイズを設定できます（トラフィック クラスごとに）。他のすべての TCP オプションのデフォルトに変更はありません。これらはクリアされます。
次の画面が変更されました：[Add/Edit] ダイアログボックス
|
|
内部ゲートウェイ プロトコルの古いルートのタイムアウト
|
9.7(1)
|
OSPF などの内部ゲートウェイ プロトコルの古いルートを削除するためのタイムアウトを設定できるようになりました。
の画面が変更されました。
|
|
ICMP エラーのグローバル タイムアウト
|
9.8(1)
|
ASA が ICMP エコー応答パケットを受信してから ICMP 接続を削除するまでのアイドル時間を設定できるようになりました。このタイムアウトが無効（デフォルト）で、ICMP インスペクションが有効に設定されている場合、ASA はエコー応答を受信するとすぐに
ICMP 接続を削除します。したがって、終了しているその接続に対して生成されたすべての ICMP エラーは破棄されます。このタイムアウトは ICMP 接続の削除を遅らせるので、重要な ICMP エラーを受信することが可能になります。
の画面が変更されました。
|
|
TCP ステート バイパスのデフォルトのアイドル タイムアウト
|
9.10(1)
|
TCP ステート バイパス接続のデフォルトのアイドル タイムアウトは 1 時間ではなく、2 分になりました。
|
|
デッド接続検出（DCD）の発信側および応答側の情報、およびクラスタ内の DCD のサポート。
|
9.13(1)
|
デッド接続検出（DCD）を有効にした場合は、show conn detail コマンドを使用して発信側と応答側に関する情報を取得できます。デッド接続検出を使用すると、非アクティブな接続を維持できます。show conn の出力は、エンドポイントがプローブされた頻度が示されます。さらに、DCD がクラスタでサポートされるようになりました。
新規/変更された画面：なし。
|
|
初期接続の最大セグメントサイズ（MSS）を設定します。
|
9.16(1)
|
サービスポリシーを設定して、初期接続制限に達したときに初期接続の SYN cookie を生成するためのサーバーの最大セグメントサイズ（MSS）を設定できます。これは、最大初期接続数も設定するサービスポリシーの場合に意味があります。
追加または変更された画面：[Add/Edit Service Policy] ウィザードの [Connection Settings]
|
|
SIP Call Init のアイドル グローバル タイムアウトの設定
|
9.16(x)
|
Call_Init コール状態の SIP セッションが（最初の招待メッセージの受信後）削除されるまでのアイドル時間（つまり、応答を受信しない場合）を 0:0:1 ～ 1193:0:0 の範囲で設定できます。デフォルトは 32 秒（0:00:32）です。
|
|
IPsec フローがオフロードされます。
|
9.18(1)
|
Cisco Secure Firewall 3100 では、IPsec フローはデフォルトでオフロードされます。IPsec サイト間 VPN またはリモートアクセス VPN セキュリティ アソシエーション (SA) の初期設定後、IPsec 接続はデバイスのフィールド プログラマブル ゲート アレイ
(FPGA) にオフロードされるため、デバイスのパフォーマンスが向上します。
次の画面が追加されました。
|
|
DTLS 暗号化アクセラレーション
|
9.22(1)
|
Cisco Secure Firewall 4200 および 3100 シリーズは、DTLS 暗号化アクセラレーションをサポートします。ハードウェアは DTLS 暗号化と復号化を実行し、DTLS 暗号化トラフィックと DTLS 復号化トラフィックのスループットを向上させます。ハードウェアは、遅延を改善するために、出力暗号化パケットの最適化も実行します。
新規/変更された画面：[設定（Configuration）] > [ファイアウォール（Firewall）] > [詳細（Advanced）] > [DTLSオフロード（DTLS Offload）] > [DTLSオフロード（DTLS Offload）]
および [DTLSオフロードの出力最適化（Egress Optimization for DTLS Offload）] チェックボックス。
|
|
Cisco Secure Firewall 3100/4200 の場合、フローオフロードはデフォルトで有効になっています。
|
9.23(1)
|
フローオフロードはデフォルトで有効になっています。
新規/変更された画面：
|
|
クラスターリダイレクト：Cisco Secure Firewall 4200 非対称クラスタートラフィックのフローオフロードのサポート
|
9.23(1)
|
非対称フローの場合、クラスターリダイレクトにより、転送ノードはハードウェアにフローをオフロードできます。この機能は、デフォルトでイネーブルにされています。
既存のフローのトラフィックが別のノードに送信されると、そのトラフィックはクラスター制御リンクを介してオーナーノードにリダイレクトされます。非対称フローはクラスター制御リンクに大量のトラフィックを作成する可能性があるため、フォワーダーにこれらのフローをオフロードさせるとパフォーマンスが向上します。
追加/変更された画面：
|
|
分散型サイト間 VPN モードの Cisco Secure Firewall 4200 におけるクラスター制御リンクでのトラフィックの IPsec フローオフロード
|
9.23(1)
|
分散型サイト間 VPN モードの非対称フローの場合、IPsec フローオフロードにより、フローオーナーはクラスター制御リンクを介して転送されたハードウェア内の IPsec トラフィックを復号できます。この機能は設定可能ではありません。IPsec
フローオフロードを有効にすると常に使用できます。
追加/変更された画面：
|
|
Cisco Secure Firewall 6100 の IPsec フローオフロード、DTLS 暗号化アクセラレーション、およびフローオフロードのサポート
|
9.24(1)
|
IPsec と DTLS の場合、Cisco Secure Firewall 6100 は AES-GCM-128 および AES-GCM-256 暗号のみをサポートします。
|
フィードバック