ファイアウォール機能

ルートの収束に対する接続ホールドダウン タイムアウト。

接続で使用されているルートがもう存在していない、または非アクティブになったときに、システムが接続を保持する時間を設定できるようになりました。このホールドダウン期間内にルートがアクティブにならない場合、接続は解放されます。ルートの収束がさらに迅速に行われるようにホールドダウン タイマーを短縮することができます。ただし、ほとんどのネットワークでは、ルートのフラッピングを防止するためにデフォルトの 15 秒が適切です。

次のコマンドが追加されました。timeout conn-holddown

リモート アクセス機能

設定可能な SSH 暗号機能と HMAC アルゴリズム

ユーザは SSH 暗号化を管理するときに暗号化モードを選択し、さまざまなキー交換アルゴリズムに対して HMAC と暗号化を設定できます。

次のコマンドが導入されました。ssh cipher encryption、ssh cipher integrity。

9.1(7) でも使用可能です。

IPv6 の HTTP リダイレクト サポート

ASDM アクセスまたはクライアントレス SSL VPN 用の HTTPS に HTTP リダイレクトを有効にすると、IPv6 アドレスへ送信されるトラフィックもリダイレクトできるようになりました。

次のコマンドに機能が追加されました。http redirect

9.1(7) でも使用可能です。

モニタリング機能

フェールオーバーの SNMP engineID の同期

フェールオーバー ペアでは、一対の ASA の SNMP engineID は両方のユニットで同期されます。ASA ごとに、同期された engineID、ネイティブ engineID、およびリモート engineID による engineID が 3 セット維持されます。

SNMPv3 ユーザは、ローカライズされた snmp-server user 認証とプライバシー オプションを保存するためのプロファイルを作成するときに ASA の engineID も指定できます。ユーザがネイティブ engineID を指定しない場合、show running config 出力に engineID がユーザごとに 2 つずつ表示されます。

次のコマンドが変更されました。snmp-server user

show tech support の強化

show tech support コマンドは現在次のとおりです。

• dir all-filesystems の出力が含まれます。この出力は次の場合に役立つことがあります。

  • SSL VPN コンフィギュレーション：必要なリソースが ASA にあるかどうかを確認します。

  • クラッシュ：クラッシュ ファイルの日付のタイムスタンプと存在を確認します。

• show kernel cgroup-controller detail の出力の削除：このコマンド出力は show tech-support detail の出力内に残されます。

次のコマンドが変更されました。show tech support

9.1(7) でも使用可能です。

CISCO-ENHANCED-MEMPOOL-MIB の cempMemPoolTable のサポート

CISCO-ENHANCED-MEMPOOL-MIB の cempMemPoolTable がサポートされました。これは、管理型システムのすべての物理エンティティのメモリプール モニタリング エントリのテーブルです。

追加または変更されたコマンドはありません。

9.1(7) でも使用可能です。

プラットフォーム機能

Cisco ISA 3000 サポート

Cisco ISA 3000 は、DIN レールにマウントされた高耐久型の産業用セキュリティ アプライアンスです。ギガビット イーサネットと専用管理ポートを備えた、低消費電型ファンレス デバイスです。このモデルには ASA Firepower モジュールが事前にインストールされています。このモデルの特別な機能として、カスタマイズされたトランスペアレント モードのデフォルト設定と、電源喪失時もトラフィックがアプライアンスを通過することを可能にするハードウェア バイパス機能があります。

次のコマンドが導入されました。hardware-bypass、hardware-bypass manual、hardware-bypass boot-delay、show hardware-bypass

この機能は、バージョン 9.5(1) では使用できません。

プラットフォーム機能

Firepower 9300 の ASA セキュリティ モジュール

Firepower 9300 の ASA セキュリティ モジュールに ASA を導入しました。

ハイ アベイラビリティ機能

Firepower 9300 用シャーシ内 ASA クラスタリング

FirePOWER 9300 シャーシ内では、最大 3 つセキュリティ モジュールをクラスタ化できます。シャーシ内のすべてのモジュールは、クラスタに属している必要があります。

次のコマンドを導入しました。cluster replication delay、debug service-module、management-only individual、show cluster chassis

ライセンシング機能

Firepower 9300 の ASA のシスコ スマート ソフトウェア ライセンシング

FirePOWER 9300 に ASA のシスコ スマート ソフトウェア ライセンシングが導入されました。

次のコマンドが導入されました。feature strong-encryption、feature mobile-sp、feature context

プラットフォーム機能

VMware 上の ASAv では vCenter サポートは不要になりました。

vCenter なしで、vSphere クライアントまたは OVFTool のデイゼロ設定を使用して ASAv を VMware 上にインストールできるようになりました。

Amazon Web Services（AWS）の ASAv

Amazon Web Services（AWS）とデイゼロ設定で ASAv を使用できるようになりました。

プラットフォーム機能

ASA 5506W-X、ASA 5506H-X、ASA 5508-X、ASA 5516-X

ワイヤレス アクセス ポイントを内蔵した ASA 5506W-X、強化された ASA 5506H-X、ASA 5508-X、ASA 5516-X の各モデルが導入されました。

hw-module module wlan recover image、hw-module module wlan recover image の各コマンドが導入されました。

認定機能

国防総省（DoD）統一機能規則（UCR）2013 証明書

ASA は、DoD UCR 2013 規則を遵守するように更新されています。この証明書に追加された次の機能については、この表の行を参照してください。

• 定期的な証明書認証

• 証明書有効期限のアラート

• 基本制約 CA フラグの適用

• 証明書コンフィギュレーションの ASDM ユーザ名

• ASDM 管理認証

• IKEv2 無効セレクタの通知設定

• 16 進数の IKEv2 事前共有キー

FIPS 140-2 認証のコンプライアンス更新

ASA で FIPS モードを有効にすると、ASA が FIPS 140-2 に準拠するように追加制限が設定されます。次の制限があります。

• RSA および DH キー サイズの制限：RSA および DH キー 2K（2048 ビット）以上のみが許可されます。DH の場合、これはグループ 1（768 ビット）、2（1024 ビット）、5（1536 ビット）が許可されないことを意味します。

  （注）	キー サイズの制限により、FIPS での IKEv1 の使用が無効になります。

• デジタル署名のハッシュ アルゴリズムの制限：SHA 256 以上のみが許可されます。

• SSH 暗号の制限：許可された暗号は aes128-cbc または aes256-cbc です。MAC は SHA1 です。

ASA の FIPS 認証ステータスを表示するには、次の URL を参照してください。

http://csrc.nist.gov/groups/STM/cmvp/documents/140-1/140InProcess.pdf

この PDF は毎週更新されます。

詳細については、Computer Security Division Computer Security Resource Center のサイトを参照してください。

http://csrc.nist.gov/groups/STM/cmvp/inprocess.html

fips enable コマンドが変更されました。

ファイアウォール機能

複数のコアを搭載した ASA での SIP インスペクションのパフォーマンスが向上。

複数のコアで ASA を通過する SIP シグナリングチングが複数存在する場合の SIP インスペクション パフォーマンスが向上しました。ただし、TLS、電話、または IME プロキシを使用する場合、パフォーマンスの向上は見られません。

変更されたコマンドはありません。

電話プロキシおよび UC-IME プロキシに対する SIP インスペクションのサポートが削除されました。

SIP インスペクションを設定する際、電話プロキシまたは UC-IME プロキシは使用できなくなります。暗号化されたトラフィックを検査するには、TLS プロキシを使用します。

phone-proxy、uc-ime の各コマンドが削除されました。inspect sip コマンドから phone-proxy キーワードと uc-ime キーワードが削除されました。

ISystemMapper UUID メッセージ RemoteGetClassObject opnum3 の DCERPC インスペクションのサポート。

ASA は、リリース 8.3 で EPM 以外の DCERPC メッセージのサポートを開始し、ISystemMapper UUID メッセージ RemoteCreateInstance opnum4 をサポートしています。この変更により、RemoteGetClassObject opnum3 メッセージまでサポートが拡張されます。

変更されたコマンドはありません。

コンテキストごとに無制限の SNMP サーバ トラップ ホスト

ASA では、コンテキストごとに SNMP サーバのトラップ ホスト数の制限がありません。show snmp-server host コマンドの出力には ASA をポーリングしているアクティブなホストと、静的に設定されたホストのみが表示されます。

show snmp-server host コマンドが変更されました。

VXLAN パケット インスペクション

ASA は、標準形式に準拠するために VXLAN ヘッダーを検査できます。

inspect vxlan コマンドが導入されました。

IPv6 の DHCP モニタリング

IPv6 の DHCP 統計情報および DHCP バインディングをモニタできます。

ESMTP インスペクションの TLS セッションでのデフォルトの動作が変更されました。

ESMTP インスペクションのデフォルトが、検査されない、TLS セッションを許可するように変更されました。ただし、このデフォルトは新しい、または再イメージングされたシステムに適用されます。no allow-tls を含むシステムをアップグレードする場合、このコマンドは変更されません。

デフォルトの動作の変更は、古いバージョンでも行われました：8.4（7.25）、8.5（1.23）、8.6（1.16）、8.7（1.15）、9.0（4.28）、9.1（6.1）、9.2（3.2）、9.3（1.2）、9.3（2.2）。

ハイ アベイラビリティ機能

スタンバイ ASA での syslog 生成のブロック

スタンバイ装置で特定の syslog の生成をブロックできます。

no logging message syslog-id standby コマンドが導入されました。

インターフェイスごとに ASA クラスタのヘルス モニタリングをイネーブルまたはディセーブル

ヘルス モニタリングは、インターフェイスごとにイネーブルまたはディセーブルにすることができます。デフォルトでは、ポートチャネル、冗長、および単一のすべての物理インターフェイスでヘルス モニタリングがイネーブルになっています。ヘルス モニタリングは VLAN サブインターフェイス、または VNI　や BVI などの仮想インターフェイスでは実行されません。クラスタ制御リンクのモニタリングは設定できません。このリンクは常にモニタされています。たとえば、管理インターフェイスなど、必須以外のインターフェイスのヘルス モニタリングをディセーブルにすることができます。

health-check monitor-interface コマンドが導入されました。

DHCP リレーの ASA クラスタリングのサポート

ASA クラスタで DHCP リレーを設定できます。クライアントの DHCP 要求は、クライアントの MAC アドレスのハッシュを使用してクラスタ メンバにロードバランスされます。DHCP クライアントおよびサーバ機能はサポートされていません。

debug cluster dhcp-relay コマンドが導入されました。

ASA クラスタリングでの SIP インスペクションのサポート

ASA クラスタで SIP インスペクションを設定できます。制御フローは、任意のユニットで作成できますが（ロード バランシングのため）、その子データ フローは同じユニットに存在する必要があります。TLS プロキシ設定はサポートされていません。

show cluster service-policy コマンドが導入されました。

ルーティング機能

Policy Based Routing：ポリシー ベース ルーティング

ポリシーベース ルーティング（PBR）は、ACL を使用して指定された QoS でトラフィックが特定のパスを経由するために使用するメカニズムです。ACL では、パケットのレイヤ 3 および レイヤ4 ヘッダーの内容に基づいてトラフィックを分類できます。このソリューションにより、管理者は区別されたトラフィックに QoS を提供し、低帯域幅、低コストの永続パス、高帯域幅、高コストのスイッチド パスの間でインタラクティブ トラフィックとバッチ トラフィックを分散でき、インターネット サービス プロバイダーとその他の組織は明確に定義されたインターネット接続を介して一連のさまざまなユーザから送信されるトラフィックをルーティングできます。

set ip next-hop verify-availability、set ip next-hop、set ip next-hop recursive、set interface、set ip default next-hop、set default interface、set ip df、set ip dscp、policy-route route-map、show policy-route、debug policy-route の各コマンドが導入されました。

インターフェイス機能

VXLAN のサポート

VXLAN のサポートが追加されました（VXLAN トンネル エンドポイント（VTEP）のサポートを含む）。ASA またはセキュリティ コンテキストごとに 1 つの VTEP 送信元インターフェイスを定義できます。

次のコマンドが導入されました。debug vxlan、default-mcast-group、encapsulation vxlan、inspect vxlan、interface vni、mcast-group、nve、nve-only、peer ip、segment-id、show arp vtep-mapping、show interface vni、show mac-address-table vtep-mapping、show nve、show vni vlan-mapping、source-interface、vtep-nve、vxlan port

モニタリング機能

EEM のメモリ トラッキング

メモリの割り当てとメモリの使用状況をログに記録してメモリ ロギングのラップ イベントに応答するための新しいデバッグ機能が追加されました。

次のコマンドが導入または変更されました。memory logging、show memory logging、show memory logging include、event memory-logging-wrap

トラブルシューティングのクラッシュ

show tech-support コマンドの出力と show crashinfo コマンドの出力には、生成された syslog の最新 50 行が含まれます。これらの結果を表示できるようにするには、logging buffer コマンドをイネーブルにする必要があります。

リモート アクセス機能

ECDHE-ECDSA 暗号のサポート

TLSv1.2 では、次の暗号のサポートが追加されています。

• ECDHE-ECDSA-AES256-GCM-SHA384

• ECDHE-RSA-AES256-GCM-SHA384

• DHE-RSA-AES256-GCM-SHA384

• AES256-GCM-SHA384

• ECDHE-ECDSA-AES256-SHA384

• ECDHE-RSA-AES256-SHA384

• ECDHE-ECDSA-AES128-GCM-SHA256

• ECDHE-RSA-AES128-GCM-SHA256

• DHE-RSA-AES128-GCM-SHA256

• RSA-AES128-GCM-SHA256

• ECDHE-ECDSA-AES128-SHA256

• ECDHE-RSA-AES128-SHA256

  （注）	優先度が最も高いのは ECDSA 暗号および DHE 暗号です。

ssl ecdh-group コマンドが導入されました。

クライアントレス SSL VPN セッション Cookie アクセスの制限

クライアントレス SSL VPN セッション Cookie が JavaScript などのクライアント側のスクリプトを介してサードパーティからアクセスされないようにすることができます。

http-only-cookie コマンドが導入されました。

この機能は、9.2(3) にもあります。

セキュリティ グループ タギングを使用した仮想デスクトップのアクセス制御

ASA では、内部アプリケーションおよび Web サイトへのクライアントレス SSL リモート アクセス用にセキュリティ グループ タギングベースのポリシー制御をサポートしています。この機能では、配信コントローラおよび ASA のコンテンツ変換エンジンとして XenDesktop による Citrix の仮想デスクトップ インフラストラクチャ（VDI）を使用します。

詳細については、次の Citrix 製品のマニュアルを参照してください。

• XenDesktop および XenApp のポリシー：http://support.citrix.com/proddocs/topic/infocenter/ic-how-to-use.html

• XenDesktop 7 でのポリシーの管理：http://support.citrix.com/proddocs/topic/xendesktop-7/cds-policies-wrapper-rho.html

• XenDesktop 7 のポリシー用のグループ ポリシー エディタの使用：http://support.citrix.com/proddocs/topic/xendesktop-7/cds-policies-use-gpmc.html

クライアントレスSSL VPN に OWA 2013 機能のサポートを追加

クライアントレス SSL VPN では、以下を除き、OWA 2013 の新機能をサポートしています。

• タブレットおよびスマートフォンのサポート

• オフライン モード

• Active Directory Federation Services（AD FS）2.0. ASA および AD FS 2.0 は、暗号化プロトコルをネゴシエートできません。

変更されたコマンドはありません。

クライアントレスSSL VPN に Citrix XenDesktop 7.5 および StoreFront 2.5 のサポートを追加

クライアントレス SSL VPN では、XenDesktop 7.5 および StoreFront 2.5 のアクセスをサポートしています。

XenDesktop 7.5 の機能の完全なリストと詳細については、http://support.citrix.com/proddocs/topic/xenapp-xendesktop-75/cds-75-about-whats-new.html を参照してください。

StoreFront 2.5 の機能の完全なリストと詳細については、http://support.citrix.com/proddocs/topic/dws-storefront-25/dws-about.html を参照してください。

変更されたコマンドはありません。

定期的な証明書認証

定期的な証明書認証を有効にすると、ASA は、VPN クライアントから受信した証明書チェーンを保存し、それらを定期的に再認証します。

periodic-authentication certificate、revocation-check, show vpn-sessiondb の各コマンドが導入または変更されました。

証明書有効期限のアラート

ASA は、トラスト ポイントですべての CA および ID の証明書の有効期限について 24 時間ごとにチェックします。証明書の有効期限がまもなく切れる場合は、syslog がアラートとして発行されます。リマインダおよび繰り返しの間隔を設定できます。デフォルトでは、リマインダは有効期限の 60 日前に開始し、7 日ごとに繰り返されます。

crypto ca alerts expiration コマンドが導入または変更されました。

基本制約 CA フラグの適用

デフォルトでは、CA フラグのない証明書を CA 証明書として ASA にインストールできなくなりました。基本制約拡張は、証明書のサブジェクトが CA で、この証明書を含む有効な認証パスの最大深さかどうかを示すものです。必要に応じて、これらの証明書のインストールを許可するように ASA を設定できます。

ca-check コマンドが導入されました。

IKEv2 無効セレクタの通知設定

現在、ASA が SA 上で着信パケットを受信し、そのパケットのヘッダー フィールドが SA 用のセレクタに適合しなかった場合、ASA はそのパケットを廃棄します。ピアへの IKEv2 通知の送信をイネーブルまたはディセーブルにすることができます。この通知の送信はデフォルトで無効になっています。

crypto ikev2 notify invalid-selectors コマンドが導入されました。

16 進数の IKEv2 事前共有キー

16 進数の IKEv2 事前共有キーを設定できます。

ikev2 local-authentication pre-shared-key hex、ikev2 remote-authentication pre-shared-key hex の各コマンドが導入されました。

管理機能

ASDM 管理認証

HTTP アクセスと Telnet および SSH アクセス別に管理認証を設定できるようになりました。

次のコマンドが導入されました。 aaa authorization http console

証明書コンフィギュレーションの ASDM ユーザ名

ASDM の証明書認証（http authentication-certificate）を有効にすると、ASDM が証明書からユーザ名を抽出する方法を設定できます。また、ログイン プロンプトでユーザ名を事前に入力して表示できます。

次のコマンドが導入されました。http username-from-certificate

CLI で ? の入力時にヘルプを有効または無効にするための terminal interactive コマンド

通常、ASA CLI で ? を入力すると、コマンド ヘルプが表示されます。コマンド内にテキストとして ? を入力できるようにするには（たとえば、URL の一部として ? を含めるには）、no terminal interactive コマンドを使用してインタラクティブなヘルプを無効にします。

次のコマンドが導入されました。terminal interactive

REST API の機能

REST API バージョン 1.1

REST API バージョン 1.1 のサポートが追加されました。

トークンベース認証が（既存の基本認証に加えて）サポートされるようになりました。

クライアントは特定の URL にログイン要求を送信でき、成功すると、（応答ヘッダーに）トークンが返されます。クライアントはさらなる API コールを送信するために、（特別な要求ヘッダー内で）このトークンを使用します。トークンは明示的に無効にするまで、またはアイドル/セッション タイムアウトに到達するまで有効です。

マルチ コンテキスト モードの限定的なサポート

REST API エージェントをマルチ コンテキスト モードで有効にできるようになりました。CLI コマンドはシステム コンテキスト モードでのみ発行できます（シングル コンテキスト モードと同じコマンド）。

次のようにパススルー CLI の API コマンドを使用して、コンテキストを設定できます。

https://<asa_admin_context_ip>/api/cli?context=<context_name>

context パラメータがない場合、要求は admin コンテキストに向けられたものとみなされます。

高度な（粒状の）インスペクション

次のプロトコルの詳細なインスペクションをサポートします。

• DNS over UDP

• HTTP

• ICMP

• ICMP ERROR

• RTSP

• SIP

• FTP

• DCERPC

• IP オプション

• NetBIOS Name Server over IP

• SQL*Net