Usage Guidelines

使用 name-server 命令添加 DNS 服务器。

该命令替代了该 dnsname-server 命令。

Usage Guidelines

您订用思科 Cloud Web Security 服务后，系统会为您分配主用云网络安全代理服务器和备用代理服务器。

如有任何客户端无法访问主用服务器，ASA 将开始轮询信号塔以确定可用性。（如果没有客户端活动，ASA 将每隔 15 分钟轮询一次。）如果在重试次数达到所配置的次数（默认设置为 5 次；此设置可配置）之后代理服务器不可用，则系统会宣布该服务器无法访问，并且备用代理服务器进入活动状态。

如果在达到重试计数之前，客户端或 ASA 可以至少连续两次访问服务器，则停止轮询并且确定信号塔可访问。

如果启用了应用运行状况检查，重试计数也将适用于该检查。

故障切换到备用服务器后，ASA 将继续轮询主用服务器。如果主用服务器可以访问，ASA 将恢复使用主用服务器。

Usage Guidelines

使用 retry-interval 命令指定或重置 ASA 在连接尝试之间等待的秒数。使用该 timeout 命令指定 ASA 尝试连接到 AAA 服务器的时间长度。

此命令不适用于 RSA SecurID REST API 服务器组中的服务器。

注	对于 RADIUS 协议，如果服务器回复“无法访问 ICMP 端口”消息，则系统会忽略 retry-interval 设置，并且 AAA 服务器会立即进入故障状态。如果这是 AAA 组中的唯一服务器，则会重新激活该服务器并向其发送另一个请求。这是预期行为。

Usage Guidelines

每次成功完成姿态验证后，ASA 都会启动重新验证计时器。此计时器到期会触发下一次无条件的安全状态验证。ASA 在重新验证期间维持姿态验证。如果访问控制服务器在安全状态验证或重新验证期间不可用，则默认组策略会生效。

Usage Guidelines

使用 revertwebvpnall 命令禁用 ASA 的闪存中并从中删除所有与 Web 相关的信息（自定义、插件、转换表、URL 列表和 Web 内容）。删除所有与网络相关的数据将恢复默认设置（如适用）。

Usage Guidelines

有关自定义 Secure Client GUI 的详细程序，请参阅《AnyConnect VPN 客户端管理员指南》。

Usage Guidelines

使用 revertwebvpncustomization 命令删除指定自定义的无客户端 SSL VPN 支持，并将其从 ASA 上的缓存中删除。删除自定义对象会在适用的情况下恢复默认设置。自定义对象包含特定、命名的门户页面的配置参数。

版本 8.0 软件扩展了配置自定义的功能，新进程与以前的版本不兼容。在升级到 8.0 软件期间，安全设备通过使用旧设置生成新的自定义对象来保留当前配置。此过程仅发生一次，并且不仅仅是从旧格式到新格式的简单转换，因为旧值只是新值的部分子集。

注	仅当在升级到版本 8.0 之前，在版本 7.2(x) 配置文件的相应接口上启用了无客户端 SSL VPN (WebVPN) 时，版本 7.2 门户自定义和 URL 列表才可在 Beta 8.0 配置中使用。

Usage Guidelines

使用 revertwebvpnplug-inprotocol 命令禁用和删除对基于 Java 的指定客户端应用的无客户端 SSL VPN 支持，并将其从 ASA 的闪存驱动器中删除。

Usage Guidelines

使用 revertwebvpntranslation-table 命令禁用和删除导入的转换表，并从闪存中删除该转换表。如果适用，删除转换表将恢复默认设置。

Usage Guidelines

使用 revertwebvpnurl-list 命令禁用并从 ASA 的闪存驱动器中删除当前 URL 列表。适用时，删除 url 列表会恢复默认设置。

该命令使用的 revertwebvpnurl-list 模板参数指定先前配置的 URL 列表的名称。要配置这样的列表，请在 url-list 全局配置模式下使用该命令。

Usage Guidelines

使用 revertwebvpncontent 命令禁用和删除包含 Web 内容的文件，并从 ASA 的闪存中删除该文件。如果适用，删除 Web 内容会恢复默认设置。

Usage Guidelines

OCSP 响应的签名者通常是 OCSP 服务器（响应者）证书。收到响应后，设备尝试验证响应方证书。

通常，CA 会将其 OCSP 响应器证书的有效期设置为相对较短的时间段，以最大限度地减少危及其安全性的可能性。CA 在响应者证书中包含一个 ocsp-no-check 扩展，表明它不需要吊销状态检查。但如果此扩展不存在，设备将尝试使用您通过此 revocation-check 命令为信任点配置的吊销方法来检查证书吊销状态。如果 OCSP 响应方证书没有 ocsp-no-check 扩展，则它必须可验证，因为 OCSP 吊销检查会失败，除非您还设置 none 选项以忽略状态检查。

注	对可选参数进行任何排列，最后使用的关键字不得为 none 。

ASA 会按照配置方法的顺序尝试这些方法，并且仅当前一种方法返回错误（例如，服务器关闭）时，才会尝试第二种和第三种方法，而不是发现状态为已撤销。

您可以在客户端证书验证信任点中设置吊销检查方法，也可以在响应方证书验证信任点中配置无吊销检查 (revocation-checknone) ) 。请参阅 matchcertificate 命令。

如果您已使用 revocation-checkcrlnone 命令配置 ASA，则当客户端连接至 ASA 时，客户端会自动开始下载 CRL（因为 CRL 尚未缓存），然后验证证书并完成 CRL 的下载。在此情况下，如果 CRL 没有缓存，ASA 将在下载 CRL 之前验证证书。

以下用于绕过吊销检查的选项（已在 ASA 9.13(1) 中被删除，稍后已恢复）：

当您分配 OCSP URL 进行撤销检查时，您可以指定可从中访问 OCSP 的管理接口。此接口值确定路由决策。

Usage Guidelines

ASA 对应用执行内容重写，以确保它们通过 WebVPN 连接正确呈现。某些应用程序不需要进行此处理，例如外部公共网站。对于这些应用，您可以选择关闭内容重写。

您可以通过使用带有 disable 选项的 rewrite 命令选择性地关闭内容重写，以使用户直接浏览特定站点，而不通过 ASA。这类似于 IPsec VPN 连接中的分割隧道。

您可以多次使用此命令。配置条目的顺序非常重要，因为 ASA 会按顺序编号搜索重写规则并应用匹配的第一个规则。

Usage Guidelines

“IKE 重新生成密钥”仅适用于 IPsec 连接。

如果在 IKE 重新密钥时启用重新身份验证，则 ASA 会在初始第 1 阶段 IKE 协商期间提示用户输入用户名和密码，并且在每次发生 IKE 重新密钥时提示用户进行身份验证。重新身份验证提供额外的安全性。

用户有 30 秒时间输入凭证，在 SA 过期（大约两分钟）并且隧道终止之前最多可进行三次尝试。以允许用户重新输入身份验证凭证 extended ，直至达到所配置的 SA 的最大生存期为止。

要检查配置的重新密钥间隔，请在监控模式下发出命 showcryptoipsecsa 令来查看安全关联的生存期（以秒为单位）和生存期（以千字节为单位）。

注	如果连接的另一端没有用户，则重新认证失败。

Usage Guidelines

如果您指定 RIP 第 2 版，您可以启用邻居身份验证和使用基于 MD5 加密进行身份验证的 RIP 更新。

使用 showinterface 命令可查看接口上的 ripauthentication 命令。

Usage Guidelines

如果您指定 RIP 第 2 版，您可以启用邻居身份验证和使用基于 MD5 加密进行身份验证的 RIP 更新。启用邻居身份验证时，必须确保 key 和 key_id 参数与提供 RIP 版本 2 更新的邻居设备所使用的参数相同。密钥是最多 16 个字符的文本字符串。

使用 showinterface 命令可查看接口上的 ripauthentication 命令。

Usage Guidelines

您可以通过在接口上输入命令来覆盖每个接口的 ripreceiveversion 全局设置。

如果您指定 RIP 第 2 版，您可以启用邻居身份验证和使用基于 MD5 加密进行身份验证的 RIP 更新。

Usage Guidelines

您可以通过在接口上输入命令来覆盖每个接口的ripsendversion 全局 RIP 发送版本设置。

如果您指定 RIP 第 2 版，您可以启用邻居身份验证和使用基于 MD5 加密进行身份验证的 RIP 更新。

Usage Guidelines

如果目录不为空，则 rmdir 命令失败。

Usage Guidelines

使用 route 命令可输入接口的默认路由或静态路由。要输入默认路由，请将 ip_address 和 netmask 设置为 0.0.0.0, 或使用缩写形式0 。在保存配置时，配置中将会存储使用 route 命令输入的所有路由。

您可以为隧道流量定义单独的默认路由以及标准默认路由。当您使用该 tunneled 选项创建默认路由时，来自终止于 ASA 的隧道且无法使用学习或静态路由进行路由的所有流量都将发送到此路由。对于从隧道传出的流量，此路由将覆盖任何其他已配置或学习到的默认路由。

以下限制适用于带 tunneled 选项的默认路由：

• 请勿在隧道路由的传出接口上启用单播 RPF (ipverifyreverse-path )。在隧道路由的传出接口上启用 uRPF 会导致会话失败。

• 不要在隧道路由的出口接口上启用 TCP 拦截，因为会话将会失败。

• 请勿使用带有 VLAN 映射选项或隧道路由的 VoIP 检查引擎（CTIQBE、H.323、GTP、MGCP、RTSP、SIP、SKINNY）、DNS 检查引擎或 DCE RPC 检查引擎。这些检测引擎将忽略 vlan 映射设置，这可能会导致错误地路由数据包。

您不能使用该选项定义多个默认路由；不支持隧道流量的 tunneled ECMP。

创建静态路由，以访问在任何接口上的路由器外部连接的网络。例如，ASA 使用以下静态路由命令发送通过 192.168.1.5 路由器发往 192.168.42.0 网络的所有数据包。

ciscoasa(config)# route dmz 192.168.42.0 255.255.255.0 192.168.1.5 1

输入每个接口的 IP 地址后，ASA 会在路由表中创建一个 CONNECT 路由。当您使用 clearroute 或 clearconfigureroute 命令时，不会删除此条目。

与 ACL 不同，静态 null0 路由不会导致任何性能下降。 null0 配置用于防止路由环路。BGP 利用远程触发黑洞路由的 null0 配置。

Usage Guidelines

使用路由映射重新分发路由

使用 route-map 全局配置命令以及 match 和 set route-map configuration 命令定义将路由从一个路由协议重新分发到另一个路由协议的条件。每个 route-map 命令都有一个与其关联的 match 和 set 命令列表。match 命令指定匹配条件，即允许对当前 route-map 命令进行重新分发的条件。set 命令指定 set 操作 - 当满足 match 命令执行的条件时要执行的特定重新分发操作。no route-map 命令具有此命令即可删除路由映射。

match route-map 配置命令有多种格式。匹配命令可以按任何顺序提供，并且所有匹配命令必须“通过”，以使路由根据使用 set 命令给出的 set 操作重新分发。match 命令的 no 形式将删除指定的匹配条件。

当需要对路由在路由进程之间的重新分发方式进行详细控制时，请使用路由映射。目标路由协议是使用路由器全局配置命令指定的协议。源路由协议是使用 redistribute 路由器配置命令指定的协议。请参阅“示例”部分中有关如何配置路由映射的说明。

通过路由映射传递路由时，路由映射可以有多个部分。不匹配至少一个与 route-map 命令相关的 match 子句的任何路由将被忽略；也就是说，系统将不为出站路由映射通告路由，也不会为入站路由映射接受路由。如果只想修改某些数据，则必须配置第二个路由映射部分，并指定显式匹配项。

序列号参数的工作原理如下：

1. 如果没有定义具有路由映射名称的条目，则会创建一个序列号参数设置为 10 的条目。

2. 如果仅使用路由映射名称定义了一个条目，则该条目将成为以下路由映射命令的默认条目。该条目的序列号参数保持不变。

3. 如果使用路由映射名称定义了多个条目，则会打印一条错误消息，表明需要序列号参数。

4. 如果指定 no route-map name 命令（不带 sequence-number 参数），则删除整个路由图。

Usage Guidelines

当使用该命令标记更高优先级的 routepriorityhigh IS-IS IP前缀以便在全局路由表中更快地处理和安装时，可以实现更快的收敛。例如，您可以帮助 IP 语音 (VoIP) 网关地址首先得到处理，以帮助 VoIP 流量比其他类型的数据包更快地更新。

Usage Guidelines

此命令可配置的 IP 选项检查策略映射中。

您可以配置 IP 选项检查来控制哪些具有特定 IP 选项的 IP 数据包可以通过 ASA。您可以允许数据包通过，而无需更改或清除指定的 IP 选项，然后允许数据包通过。

路由器警报 (RTRALT) 或 IP 选项 20 会通知中转路由器检查数据包的内容，即使数据包不是发往该路由器。当实施 RSVP 和类似协议需要数据包传送路径上的路由器进行相对复杂的处理时，这种检查很有价值。

Usage Guidelines

通过此命令，您可以设置分布式路由核心，自动保证在自主系统之间无环路交换路由信息。

2009 年 1 月之前，分配给公司的 BGP 自主系统编号是 2 个八位组编号，范围介于 1 到 65535 之间，如 RFC 4271 边界网关协议 4 (BGP-4) 中所述。

由于对自治系统编号的需求不断增加，互联网编号分配机构 (IANA) 分配了 65536 到 4294967295 范围内的四个八位组的自治系统编号。

RFC 5396 自治系统 (AS) 编号的文本表示法 (RFC 5396) 介绍了自治系统编号的三种表示方法。Cisco 已实施以下两种方法：

• Asplain - 十进制值表示法，其中 2 字节和 4 字节自治系统编号都按其十进制值表示。例如，65526 是 2 字节的自治系统编号，234567 是 4 字节的自治系统编号。

• Asdot - 自治系统的点表示法，其中 2 字节自治系统编号用十进制值表示，4 字节自治系统编号用点表示法表示。例如，65526 是 2 字节自治系统编号，1.169031 是 4 字节自治系统编号（这是 234567 的十进制数字的点点表示法）。

有关表示自治系统号的第三种方法的详细信息，请参阅 RFC 5396。

Usage Guidelines

该 routereigrp 命令创建一个 EIGRP 路由进程或进入现有 EIGRP 路由进程的路由器配置模式。您只能在 ASA 上创建单个 EIGRP 路由进程。

使用以下路由器配置模式命令来配置 EIGRP 路由进程：

• —启auto-summary 用/禁用自动路由汇总。

• default-information - 启用/禁用接收和发送默认路由信息。

• — 定default-metric 义重新分配到 EIGRP 路由进程的路由的默认指标。

• —distanceeigrp 配置内部和外部 EIGRP 路由的管理距离。

• — 过distribute-list 滤路由更新中接收和发送的网络。

• eigrplog-neighbor-changes - 启用/禁用邻居状态更改的日志记录。

• —启eigrplog-neighbor-warnings 用/禁用邻居警告消息的记录。

• eigrprouter-id - 创建固定路由器 ID。

• eigrpstub - 为末节 EIGRP 路由配置 ASA。

• —neighbor 静态定义 EIGRP 邻居。

• —network 配置参与 EIGRP 路由进程的网络。

• —passive-interface 将接口配置为充当被动接口。

• —redistribute 将其他路由进程的路由重新分配到 EIGRP 中。

使用以下接口配置模式命令来配置特定于接口的 EIGRP 参数：

• authenticationkeyeigrp - 定义用于 EIGRP 消息身份验证的身份验证密钥。

• authenticationmodeeigrp - 定义用于 EIGRP 消息身份验证的身份验证算法。

• —delay 配置接口的延迟度量。

• hello-intervaleigrp - 更改从接口发送出去的 EIGRP 呼叫数据包的间隔。

• hold-timeeigrp - 更改 ASA 通告的保持时间。

• split-horizoneigrp - 在接口上启用/禁用 EIGRP 水平分割。

• summary-addresseigrp - 手动定义汇总地址。

Usage Guidelines

默认情况下，ASA 使用 OSPF 配置中 network 命令涵盖的接口上的最高级别 IP 地址。如果最高级别的 IP 地址是专用地址，则该地址在问候数据包和数据库定义中发送。要使用特定路由器 ID，请使用 router-id 命令指定路由器 ID 的全局地址。

路由器 ID 在 OSPF 路由域中必须是唯一的。如果同一 OSPF 域中的两个路由器使用相同的路由器 ID，则路由可能无法正常工作。

在 OSPF 配置中输入 router-id 命令之前，应输入 network 命令。这可以防止与 ASA 生成的默认路由器 ID 可能发生的冲突。如果有冲突，您将收到以下消息：

ERROR: router-id id  in use by ospf process pid 

要输入存在冲突的 ID，请删除包含导致冲突的 IP 地址的 network 命令，输入 router-id 命令，然后重新输入 network 命令。

集群

在第 2 层集群中，您需要配置 router-id id 命令或者将路由器 ID 留空（前提是所有设备都接收相同的路由器 ID）。

Usage Guidelines

路由器 ID 在集群中的 OSPFv2 或 OSPFv3 路由域中必须是唯一的。如果同一 OSPFv2 或 OSPFv3 域中的两个路由器使用相同的路由器 ID，则集群中的路由可能无法正常工作。

在第 2 层集群中，您需要配置 router-id id 命令或者将路由器 ID 留空（前提是所有设备都接收相同的路由器 ID）。

配置第 3 层集群接口时，每台设备都必须具有唯一的接口 IP 地址。为确保每台设备都有唯一的接口 IP 地址，可以使用 router-id cluster-pool 命令为 OSPFv2 或 OSPFv3 配置本地 IP 地址池。

Usage Guidelines

此命令用于为区域启用 IS-IS 路由。必须配置适当的网络实体标题 (NET)，以指定 区域的区域地址和 ASA 的系统 ID。必须先在一个或多个接口上启用路由，然后才能建立邻接并实现动态路由。有关用于配置 IS-IS 的命令列表，请参阅相关命令表。

Usage Guidelines

routerospf 命令是用于在 ASA 上运行的 OSPF 路由进程的全局配置命令。输入 routerospf 命令后，命令提示符将显示为 (config-router)#，表示当前处于路由器配置模式。

使用 no routerospf 命令时，除非可选参数提供必要的信息，否则无需指定可选参数。 norouterospf 命令终止由其 pid 指定的 OSPF 路由进程。 在 ASA 上本地分配 PID 。必须为每个 OSPF 路由进程分配唯一的值。

routerospf 命令与以下 OSPF 特定命令一起使用，以配置 OSPF 路由进程：

• area - 配置常规 OSPF 区域。

• —compatiblerfc1583 恢复根据 RFC 1583 计算汇总路由成本的方法。

• —default-informationoriginate 在 OSPF 路由域中生成默认外部路由。

• —distance 根据路由类型定义 OSPF 路由管理距离。

• —ignore 当路由器接收到类型 6 多播 OSPF (MOSPF) 数据包的链路状态通告 (LSA) 时，抑制发送系统日志消息。

• —log-adj-changes 配置路由器在 OSPF 邻居启动或关闭时发送系统日志消息。

• —指neighbor 定邻居路由器。用于允许通过 VPN 隧道建立邻接关系。

• — 定network 义运行 OSPF 的接口以及这些接口的区域 ID。

• —redistribute 根据指定的参数配置从一个路由域到另一个路由域的路由重新分配。

• router-id - 创建固定路由器 ID。

• — 为 OSPFsummary-address 创建聚合地址。

• timerlsaarrival - 定义接受来自 OSPF 邻居的相同链路状态通告 (LSA) 的最小间隔（以毫秒为单位）。

• — 定timerpacingflood 义洪泛队列中的 LSA 更新之间的最小间隔（以毫秒为单位）。

• timerpacinglsa-group - 定义 LSA 组被刷新或管理的间隔（以秒为单位）。

• timerpacingretransmission - 定义邻居重新传输的最小间隔（以毫秒为单位）。

• — 定timerthrottlelsa 义生成第一个 LSA 的延迟（以毫秒为单位）。

• timerthrottlespf — 定义接收 SPF 计算更改之间的延迟（以毫秒为单位）。

• timernsfwait - 定义 NSF 重新启动期间的接口等待间隔。默认值为 20 秒。允许的范围是 1 至 65535 秒。

Usage Guidelines

routerrip 命令是用于在 ASA 上配置 RIP 路由进程的全局配置命令。您只能在 ASA 上配置一个 RIP 进程。该 norouterrip 命令终止 RIP 路由进程并删除该进程的所有路由器配置。

输入 routerrip 命令时，命令提示符更改为 ciscoasa(config-router)#，表示当前处于路由器配置模式。

routerrip 命令与以下路由器配置命令一起使用，以配置 RIP 路由进程：

• —启auto-summary 用/禁用路由自动汇总。

• default-informationoriginate - 分发默认路由。

• distribute-listin - 过滤传入路由更新中的网络。

• distribute-listout - 过滤传出路由更新中的网络。

• network - 在路由进程中添加/删除接口。

• passive-interface - 将特定接口设置为被动模式。

• —redistribute 将其他路由进程的路由重新分配到 RIP 路由进程中。

• version - 设置 ASA 使用的 RIP 协议版本。

此外，您可以在接口配置模式下使用以下命令逐个接口配置 RIP 属性：

• —设ripauthenticationkey 置身份验证密钥。

• ripauthenticationmode - 设置 RIP 版本 2 使用的身份验证类型。

• ripsendversion - 设置用于从接口发送更新的 RIP 版本。这会覆盖在全局路由器配置模式下设置的版本（如有）。

• ripreceiveversion - 设置接口接受的 RIP 版本。这会覆盖在全局路由器配置模式下设置的版本（如有）。

透明模式不支持 RIP。默认情况下，ASA 拒绝所有 RIP 广播和组播数据包。要允许这些 RIP 消息通过在透明模式下运行的 ASA，必须定义访问列表条目以允许这些流量。例如，要允许 RIP 版本 2 流量通过 ASA，请创建如下所示的访问列表条目：

ciscoasa(config)# access-listmyriplistextendedpermitipanyhost224.0.0.9

要允许 RIP 版本 1 广播，请创建如下访问列表条目：

ciscoasa(config)# access-listmyriplistextendedpermitudpanyanyeqrip

使用 access-group 命令将这些访问列表条目应用于适当的接口。

您可以在 ASA 上同时启用 RIP 和 OSPF 路由。

Usage Guidelines

需要扩展电话代理支持的呼叫数量时，请配置媒体终端点的 RTP 端口范围。