ファイアウォール機能

システム定義の NAT ルールの新しいセクション 0。

新しいセクション 0 が NAT ルールテーブルに追加されました。このセクションは、システムの使用に限定されます。システムが正常に機能するために必要なすべての NAT ルールがこのセクションに追加され、これらのルールは作成したルールよりも優先されます。以前は、システム定義のルールがセクション 1 に追加され、ユーザー定義のルールがシステムの適切な機能を妨げる可能性がありました。セクション 0 のルールを追加、編集、または削除することはできませんが、show nat detail コマンド出力に表示されます。

デフォルトの SIP インスペクション ポリシー マップは、非 SIP トラフィックをドロップします。

SIP インスペクションされるトラフィックでは、現在、デフォルトでは非 SIP トラフィックがドロップされます。以前のデフォルトでは、SIP のインスペクション対象ポートで非 SIP トラフィックが許可されていました。

デフォルトの SIP ポリシーマップが変更され、no traffic-non-sip コマンドが追加されました。

GTP インスペクションでドロップされる IMSI プレフィックスを指定する機能です。

GTP インスペクションでは、許可する Mobile Country Code/Mobile Network Code（MCC/MNC）の組み合わせを識別するために、IMSI プレフィックス フィルタリングを設定できます。ドロップする MCC/MNC の組み合わせに対して IMSI フィルタリングを実行できるようになりました。これにより、望ましくない組み合わせをリストにして、デフォルトで他のすべての組み合わせを許可することができます。

次の画面が変更されました：GTP インスペクションマップの [IMSI Prefix Filtering] タブに [Drop] オプションが追加されました。

初期接続の最大セグメントサイズ（MSS）を設定します。

サービスポリシーを設定して、初期接続制限に達したときに初期接続の SYN cookie を生成するためのサーバーの最大セグメントサイズ（MSS）を設定できます。これは、最大初期接続数も設定するサービスポリシーの場合に意味があります。

新規/変更された画面：[Add/Edit Service Policy] ウィザードの [Connection Settings]

多対 1 および 1 対多接続の CPU 使用率とパフォーマンスが向上しました。

ダイナミック NAT / PAT およびスキャン脅威検出とホスト統計情報を含む接続を除き、システムは接続の作成時に、ローカルホストオブジェクトを作成せず、ロックすることもなくなりました。これにより、多数の接続を同じサーバー（ロードバランサや Web サーバーなど）に対して確立する場合や、1 つのエンドポイントが多数のリモートホストに接続する場合に、パフォーマンスと CPU 使用率が向上します。

次のコマンドが変更されました：clear local-host （廃止）、 show local-host

プラットフォーム機能

VMware ESXi 7.0 用の ASAv サポート

ASAv 仮想プラットフォームは、VMware ESXi 7.0 で動作するホストをサポートしています。vi.ovf および esxi.ovf ファイルに新しい VMware ハードウェアバージョンが追加され、ESXi 7.0 で ASAv の最適なパフォーマンスと使いやすさを実現しました。

変更されたコマンドはありません。

変更された画面はありません。

ASAv の Intel® QuickAssist テクノロジー（QAT）

ASAv は、 Intel QuickAssist（QAT）8970 PCI アダプタを使用する ASAv 展開にハードウェア暗号化アクセラレーションを提供します。ASAv を使用した ASAv のハードウェア暗号化アクセラレーションは、VMware ESXi および KVM でのみサポートされます。

変更されたコマンドはありません。

変更された画面はありません。

OpenStack の ASAv

ASAv 仮想プラットフォームに OpenStack のサポートが追加されました。

変更されたコマンドはありません。

変更された画面はありません。

ハイ アベイラビリティとスケーラビリティの各機能

Firepower 4100/9300 でのクラスタリングの PAT ポートブロック割り当てが改善されました

PAT ポートブロック割り当ての改善により、制御ユニットはノードに参加するためにポートを確保し、未使用のポートを積極的に再利用できるようになります。割り当てを最適化するために、cluster-member-limit コマンドを使用して、クラスタ内に配置する予定の最大ノードを設定できます。これにより、制御ユニットは計画されたノード数にポートブロックを割り当てることができ、使用する予定のない追加のノード用にポートを予約する必要がなくなります。デフォルトは 16 ノードです。また、syslog 747046 を監視して、新しいノードに使用できるポートが十分にあることを確認することもできます。

新規/変更された画面：[Configuration] > [Device Management] > [High Availability and Scalability] > [ASA Cluster] > [Cluster Configuration] > [Cluster Member Limit] フィールド

show cluster history コマンドの改善

show cluster history コマンドの出力が追加されました。

新規/変更されたコマンド： show cluster history brief 、show cluster history latest 、show cluster history reverse 、show cluster history time

Firepower 1140 の最大コンテキスト数が 5 から 10 に増加

Firepower 1140 は、最大 10 のコンテキストをサポートするようになりました。

証明書の機能

認定のための Enrollment over Secure Transport（EST）

ASA は、Enrollment over Secure Transport（EST）を使用した証明書の登録をサポートしています。ただし、EST 登録は、RSA キーおよび ECDSA キーとのみ使用するように設定できます。EST 登録用に設定されたトラストポイント用に EdDSA キーペアを使用することはできません。

新規/変更された画面：[Configuration] > [Device Management] > [Certificate Management] > [Identity Certificate] > [Advanced].

新しい EdDSA キーのサポート

新しいキーオプション EdDSA が、既存の RSA および ECDSA オプションに追加されました。

新規/変更された画面：[Configuration] > [Device Management] > [Certificate Management] > [Identity Certificate] > [Add Identity Certificates] > [Add Key Pair]

証明書キーの制限を上書きするコマンド

認定に SHA1with RSA 暗号化アルゴリズムを使用するためのサポート、および RSA キーサイズが 2048 未満の証明書のサポートが削除されました。crypto ca permit-weak-crypto コマンドを使用して、これらの制限を上書きできます。

新規/変更された画面：[Configuration] > [Device Management] > [Certificate Management] > [Identity Certificate]、[Configuration] > [Remote Access VPN] > [Certificate Management] > [Identity Certificate]、および[Configuration] > [Remote Access VPN] > [Certificate Management] > [Code Signer]

管理およびトラブルシューティングの機能

SSH セキュリティの改善

SSH が次の SSH セキュリティの改善をサポートするようになりました。

• ホストキーの形式：crypto key generate {eddsa | ecdsa} 。RSA に加えて、EdDSA および ECDSA ホストキーのサポートが追加されました。ASA は、存在する場合、EdDSA、ECDSA、RSA の順にキーの使用を試みます。ssh key-exchange hostkey rsa コマンドで RSA キーを使用するように ASA を明示的に設定する場合は、2048 ビット以上のキーを生成する必要があります。アップグレードの互換性のために、ASA はデフォルトのホストキー設定が使用されている場合にのみ、より小さい RSA ホストキーを使用します。RSA のサポートは今後のリリースで削除されます。

• キー交換アルゴリズム：ssh key-exchange group {ecdh-sha2-nistp256 | curve25519-sha256}

• 暗号化アルゴリズム：ssh cipher encryption chacha20-poly1305@openssh.com

• SSH バージョン 1 はサポートされなくなりました。ssh version コマンドは削除されました。

新しい/変更された画面：

• [Configuration] > [Device Management] > [Management Access] > [ASDM/HTTPS/Telnet/SSH]

• [Configuration] > [Device Management] > [Certificate Management] > [Identity Certificates]

• [Configuration] > [Device Management] > [Advanced] > [SSH Ciphers]

モニタリング機能

SNMPv3 認証

ユーザー認証に SHA-224 および SHA-384 を使用できるようになりました。ユーザー認証に MD5 を使用できなくなりました。

暗号化に DES を使用できなくなりました。

新規/変更された画面：[構成（Configuration）] > [デバイス管理（Device Management）] > [管理アクセス（Management Access）] > [SNMP]

VPN 機能

スタティック VTI での IPv6 のサポート

ASA は、仮想トンネルインターフェイス（VTI）の設定で IPv6 アドレスをサポートしています。

VTI トンネル送信元インターフェイスには、トンネルエンドポイントとして使用するように設定できる IPv6 アドレスを設定できます。トンネル送信元インターフェイスに複数の IPv6 アドレスがある場合は、使用するアドレスを指定できます。指定しない場合は、リストの最初の IPv6 グローバルアドレスがデフォルトで使用されます。

トンネルモードは、IPv4 または IPv6 のいずれかです。ただし、トンネルをアクティブにするには、VTI で設定されている IP アドレスタイプと同じである必要があります。IPv6 アドレスは、VTI のトンネル送信元インターフェイスまたはトンネル宛先インターフェイスに割り当てることができます。

デバイスあたり 1024 個の VTI インターフェイスのサポート

デバイスに設定できる VTI の最大数が、100 個から 1024 個に増加しました。

プラットフォームが 1024 個を超えるインターフェイスをサポートしている場合でも、VTI の数はそのプラットフォームで設定可能な VLAN の数に制限されます。たとえば、ASA 5510 は 100 個の VLAN をサポートしているため、トンネル数は 100 から設定された物理インターフェイスの数を引いた数になります。

新規/変更された画面：なし

SSL の DH グループ 15 のサポート

SSL 暗号化の DH グループ 15 のサポートが追加されました。

新規/変更されたコマンド： ssl dh-group group15

IPsec 暗号化の DH グループ 31 のサポート

IPsec 暗号化の DH グループ 31 のサポートが追加されました。

新規/変更されたコマンド： set pfs

IKEv2 キューの SA を制限するサポート

SA-INIT パケットのキュー数を制限するサポートが追加されました。

新規/変更されたコマンド： crypto ikev2 limit queue sa_init

IPsec 統計情報をクリアするオプション

IPsec 統計情報をクリアおよびリセットするための CLI が導入されました。

新規/変更されたコマンド：clear crypto ipsec stats およびclear ipsec stats