ライセンス機能

Smart Transport はスマートライセンスのデフォルトの転送です

スマートライセンスでは現在、デフォルトの転送として Smart Transport を使用しています。必要に応じて、旧タイプの Smart Call Home を任意で有効にできます。

新規/変更された画面：[設定（Configuration）] > [デバイス管理（Device Management）] > [ライセンス（Licensing）] > [スマートライセンス（Smart Licensing）]。

9.22(1) でも同様です。

管理、モニタリング、およびトラブルシューティングの機能

SSH X.509 証明書認証

X.509v3 証明書を使用して SSH のユーザーを認証できるようになりました（RFC 6187）。

新しい/変更された画面：

• [設定（Configuration）] > [デバイス管理（Device Management）] > [ユーザー/AAA（Users/AAA）] > [AAAアクセス（AAA Access）] > [承認（Authorization）]

• [設定（Configuration）] > [デバイス管理（Device Management）] > [証明書管理（Certificate Management）] > [CA証明書（CA Certificates）] > [トラストポイントの追加/編集（Add/Edit Trustpoint）] > [詳細設定（Advanced）]

• [設定（Configuration）] > [デバイス管理（Device Management）] > [管理アクセス（Management Access）] > [ASDM/HTTPS/Telnet/SSH]

AES-256-GCM SSH 暗号

ASA は、SSH の AES-256-GCM 暗号をサポートしています。デフォルトでは、暗号化レベル [すべて（all）] と [高（high）] で有効になっています。

新規/変更された画面：[設定（Configuration）] > [デバイス管理（Device Management）] > [詳細設定（Advanced）] > [SSH暗号（SSH Ciphers）]

プラットフォーム機能

ASA 仮想 AWS IMDSv2 のサポート

AWS Instance Metadata Service バージョン 2（IMDSv2）の API が ASA 仮想でサポートされるようになりました。これにより、インスタンスメタデータを取得して検証できます。IMDSv2 は、インスタンス メタデータ サービスをターゲットにした脆弱性に対して追加のセキュリティを提供します。ASA 仮想 を AWS に展開するときに、ASA 仮想 のメタデータバージョンを次のように設定できるようになりました。

• ASA 仮想 9.20(3) 以降では IMDSv2 のみをサポート（トークンが必要）：IMDSv2 を有効にするには、[V2のみ（トークンが必要）（V2 only (token required)）] を設定します。

• ASA 仮想 の以前のバージョンでは、IMDS オプション [IMDSv1またはIMDSv2（トークンはオプション）（IMDSv1 or IMDSv2 (token optional)）] を介して IMDSv1 API のみをサポート：[V1およびV2（トークンはオプション）（V1 and V2 (token optional)）] を設定します。

既存の ASA 仮想 展開がある場合は、9.20(3) 以降にアップグレードした後で「IMDSv2 必須」モードに移行できます。AWS のドキュメント（https://docs.aws.amazon.com/ja_jp/AWSEC2/latest/UserGuide/configuring-instance-metadata-options.html）を参照してください

詳細については、『Cisco Secure Firewall ASA Virtual Getting Started Guide, 9.20』を参照してください。

ファイアウォール機能

VPN サービスの脅威検出を設定して、IPv4 アドレスからの次のタイプの VPN 攻撃に対して保護できます。

• リモートアクセス VPN への過剰な認証失敗の試行（ユーザー名/パスワードをスキャンするブルートフォース攻撃など）。

• クライアント初期化攻撃。攻撃者は単一のホストからリモートアクセス VPN ヘッドエンドへの接続試行を繰り返し開始しますが、完了しません。

• 無効な VPN サービス、つまり内部専用サービスへのアクセス試行。

アクセスに失敗したとしても、これらの攻撃によってコンピューティングリソースを消費し、場合によってはサービス拒否（DoS）を引き起こす可能性があります。

clear threat-detection service 、show threat-detection service 、shun 、threat-detection service の各コマンドが導入または変更されました。

VPN 機能

webvpn コンフィギュレーションおよび tunnel-group 内の複数の IdP 証明書

webvpn コンフィギュレーションで、トンネルグループ固有の IdP 証明書および複数の IdP 証明書を設定できるようになりました。この機能を使用すると、新しい証明書だけでなく古い証明書も信頼できるようになるため、新しい証明書への移行が容易になります。

新規/変更されたコマンド：saml idp-trustpoint 、trustpoint idp

ASDM サポートはありません

事前認証済み SSL 接続のレート制限

ASA 仮想 は、事前認証された SSL 接続のレートを制限できます。この制限は、デバイスの VPN 接続制限の 3 倍として計算されます。この制限を超えると、新しい SSL 接続は許可されません。デバイスは、事前認証された SSL 接続数がゼロになった後にのみ、新しい SSL 接続を許可します。ただし、この制限は管理接続には適用されません。

新規/変更されたコマンド： show counters

ASDM サポートはありません

プラットフォーム機能

Cisco Secure Firewall 3100 における 100GB ネットワークモジュールのサポート

Cisco Secure Firewall 3100 で 100GB のネットワークモジュールを使用できるようになりました。このモジュールは、Cisco Secure Firewall 4200 でもサポートされています。

Cisco Secure Firewall 4200 の接続制限の引き上げ

最大接続数が引き上げられました。

• 4215：15M → 40M

• 4225：30M → 80M

• 4245：60M → 80M

OCI 上の ASAv：追加のインスタンス

OCI 上の ASA 仮想インスタンスは、最高のパフォーマンスとスループットレベルを達成するために追加のシェイプをサポートするようになりました。

高可用性とスケーラビリティの各機能

Azure 上の ASAv：ゲートウェイ ロード バランシングによるクラスタリング

新しい/変更された画面：

AWS 上の ASAv：ゲートウェイ ロード バランシングによるクラスタリングの復元力

AWS のターゲットグループサービスでターゲット フェールオーバー オプションを設定できます。これにより、仮想インスタンスのフェールオーバーが発生した場合に GWLB が既存のフローを正常なターゲットに転送できます。ASAv クラスタリングでは、各インスタンスがターゲットグループに関連付けられ、ターゲット フェールオーバー オプションが有効になっています。これは、GWLB が異常なターゲットを識別して、ターゲットグループ内のターゲットノードとして識別または登録されている正常なインスタンスにネットワークトラフィックをリダイレクトまたは転送するのに役立ちます。

シャーシハートビート障害後にクラスタに再参加するための設定可能な遅延（Firepower 4100/9300）

デフォルトでは、シャーシハートビート障害から回復すると、ノードはすぐにクラスタに再参加します。ただし、health-check chassis-heartbeat-delay-rejoin コマンドを設定すると、health-check system auto-rejoin コマンドの設定に従って再参加します。

新規/変更された画面：[設定（Configuration）] > [デバイス管理（Device Management）] > [高可用性と拡張性（High Availability and Scalability）] > [ASAクラスタ（ASA Cluster）] > [自動再参加（Auto Rejoin）]

show failover statistics にクライアント統計情報を追加

フェールオーバー クライアントのパケット統計情報が拡張され、デバッグ機能が向上しました。show failover statistics コマンドは、np-clients （データパスクライアント）および cp-clients （コントロールプレーン クライアント）の情報を表示するように拡張されています。

変更されたコマンド：show failover statistics cp-clients 、show failover statistics np-clients

9.18(4) でも同様です。

show failover statistics events に新しいイベントを追加

show failover statistics events コマンドが拡張され、アプリケーション エージェントによって通知されるローカル障害（フェールオーバーリンクの稼働時間、スーパーバイザハートビート障害、およびディスクフルの問題）を表示するようになりました。

変更されたコマンド： show failover statistics events

9.18(4) でも同様です。

プラットフォーム機能

Cisco Secure Firewall 4200

Cisco Secure Firewall 4215、4225、および 4245 向けの ASA を導入しました。Cisco Secure Firewall 4200 は、スパンド EtherChannel クラスタリングで最大 8 ユニットをサポートします。ファイアウォールの電源が入っているときに、再起動することなく、同じタイプのネットワークモジュールをホットスワップできます。他のモジュールの変更を行う場合には、再起動が必要です。Cisco Secure Firewall 4200 の 25 Gbps 以上のインターフェイスは、Forward Error Correction と、インストールされている SFP に基づく速度検出をサポートします。SSD は自己暗号化ドライブ（SED）です。SSD が 2 つある場合、ソフトウェア RAID を形成します。管理インターフェイスが 2 つあります。

ファイアウォール機能

sysopt connection tcp-max-unprocessed-seg コマンドの ASDM サポート

TCP 未処理セグメントの最大数を 6 ～ 24 に設定できます。デフォルト値は 6 です。SIP 電話機が Call Manager に接続していないことを確認したら、未処理の TCP セグメントの最大数を増やすことができます。

新規/変更された画面：[設定（Configuration）] > [ファイアウォール（Firewall）] > [高度（Advanced）] > [TCPオプション（TCP Options）]

データプレーンにオフロードされた ASP ルールエンジンのコンパイル。

デフォルトでは、ルールベースのポリシー（ACL、NAT、VPN など）に 100 を超えるルール更新がある場合、ASP ルールエンジンのコンパイルはコントロールプレーンではなくデータプレーンにオフロードされます。このオフロードにより、コントロールプレーンで他のタスクを実行する時間が長くなります。

次のコマンドが追加または変更されました。asp rule-engine compile-offload 、show asp rule-engine 。

ハイ アベイラビリティとスケーラビリティの各機能

ASA の高可用性のための偽フェールオーバーの削減

ASA 高可用性のデータプレーンに追加のハートビートモジュールが導入されました。このハートビートモジュールは、コントロールプレーンのトラフィックの輻輳や CPU の過負荷が原因で発生する可能性のある、偽フェールオーバーやスプリットブレインシナリオを回避するのに役立ちます。

9.18(4) でも同様です。

フローステータスの設定可能なクラスタキープアライブ間隔

フローオーナーは、キープアライブ（clu_keepalive メッセージ）と更新（clu_update メッセージ）をディレクタおよびバックアップオーナーに送信して、フローの状態を更新します。キープアライブ間隔を設定できるようになりました。デフォルトは 15 秒で、15 ～ 55 秒の範囲で間隔を設定できます。クラスタ制御リンクのトラフィック量を減らすために長い間隔を設定できます。

新規/変更された画面：[設定（Configuration）] > [デバイス管理（Device Management）] > [高可用性と拡張性（High Availability and Scalability）] > [ASAクラスタ（ASA Cluster）] > [クラスタの設定（Cluster Configuration）]

ルーティング機能

EIGRPv6

EIGRP for IPv6 を設定し、それらを個別に管理できるようになりました。各インターフェイスで EIGRP を設定するときは、IPv6 を明示的に有効にする必要があります。

新規/変更された画面：[設定（Configuration）] > [デバイスの設定（Device Setup）] > [ルーティング（Routing）] > [EIGRPv6]、[セットアップ（Setup）]、[フィルタルール（Filter Rules）]、[インターフェイス（Interface）]、[パッシブインターフェイス（Passive Interface）]、[再配布（Redistribution）]、および [スタティックネイバー(Static Neighbor）] タブ。

HTTP クライアントによるパスモニタリング

PBR は、特定の宛先 IP のメトリックではなく、アプリケーションドメインの HTTP クライアントを介したパスモニタリングによって収集されたパフォーマンスメトリック（RTT、ジッター、パケット損失、および MOS）を使用できるようになりました。インターフェイスの HTTP ベースのアプリケーション モニタリング オプションは、デフォルトで有効になっています。HTTP ベースのパスモニタリングは、ネットワーク サービス グループのオブジェクトを使用してインターフェイスで設定できます。モニタリング対象のアプリケーションが搭載され、パスを決定するためのインターフェイスの順序付けを行う一致 ACL を使用して、PBR ポリシーを設定できます。

新規/変更された画面：[設定（Configuration）] > [デバイス設定（Device Setup）] > [インターフェイス設定（Interface Settings）] > [パスモニタリング（Path Monitoring）]

インターフェイス機能

VXLAN VTEP IPv6 のサポート

VXLAN VTEP インターフェイスに IPv6 アドレスを指定できるようになりました。IPv6 では、ASA 仮想 クラスタ制御リンクまたは Geneve カプセル化がサポートされていません。

新しい/変更された画面：

• [構成（Configuration）] > [デバイスの設定（Device Setup）] > [インターフェイスの設定（Interface Settings）] > [VXLAN]

• [構成（Configuration）] > [デバイスの設定（Device Setup）] > [インターフェイスの設定（Interface Settings）] > [インターフェイス（Interfaces）] > [追加（Add）] > [VNIインターフェイス（VNI Interface）]

DNS、HTTP、ICMP、IPsec フローオフロードのループバック インターフェイスのサポート

ループバック インターフェイスを追加して、以下に使用できるようになりました。

• DNS

• HTTP

• ICMP

• IPsec フローのオフロード

ライセンス機能

スマートライセンスや Smart Call Home といったクラウドサービスの IPv6

証明書の機能

OCSP および CRL の IPv6 PKI

新規/変更された画面：[設定（Configuration）] > [サイト間VPN（Site-to-Site VPN）] > [証明書管理（Certificate Management）] > [CA証明書（CA Certificates）] > [追加（Add）]

管理、モニタリング、およびトラブルシューティングの機能

SNMP syslog のレート制限

システム全体のレート制限を設定しない場合、SNMP サーバーに送信される syslog に対して個別にレート制限を設定できるようになりました。

新規/変更されたコマンド： logging history rate-limit

スイッチのパケットキャプチャ

スイッチの出力および入力トラフィックパケットをキャプチャするように設定できるようになりました。このオプションは、Secure Firewall 4200 モデルデバイスに対してのみ使用できます。

新規/変更された画面：[ウィザード（Wizards）] > [パケット キャプチャ ウィザード（Packet Capture Wizard）] > [入力トラフィックセレクタ（Ingress Traffic Selector）] および [ウィザード（Wizards）] > [パケット キャプチャ ウィザード（Packet Capture Wizard）] > [出力トラフィックセレクタ（Egress Traffic Selector）]

VPN 機能

暗号デバッグの機能拡張

暗号デバッグの機能拡張は次のとおりです。

• 暗号アーカイブは、テキスト形式とバイナリ形式の 2 つの形式で使用できるようになりました。

• 追加の SSL カウンタ。

• スタックした暗号化ルールは、デバイスを再起動せずに ASP テーブルから削除できます。

IKEv2 の複数のキー交換

ASA は、量子コンピュータ攻撃から IPsec 通信を保護するために、IKEv2 で複数のキー交換をサポートします。

SAML を使用した セキュアクライアント 接続認証

新規/変更された画面： [設定（Configuration）] > [リモートアクセスVPN（Remote Access VPN）] > [ネットワーク（クライアント）アクセス（Network (Client) Access）] > [安全なクライアント接続プロファイル（Secure Client Connection Profiles）] > [追加/編集（Add/Edit）] > [ベーシック（Basic）] > [SAMLアイデンティティ プロバイダー（SAML Identity Provider）] > [管理（Manage）] > [追加/編集（Add/Edit）]

ASDM 機能

Windows 11 のサポート

ASDM は Windows 11 で動作することが確認されています。