Cisco Broadband Access Center DPE CLI リファレンス Release 3.0

モード

イネーブル

ディセーブル

イネーブル

ディセーブル

認証

ダイジェスト

ダイジェスト

ダイジェスト

ダイジェスト

ポート番号

7547

7548

7549

7550

SSL/TLS 上での HTTP

ディセーブル

イネーブル

ディセーブル

イネーブル

service cwmp num allow-unknown-cpe

no service cwmp num allow-unknown-cpe

DPE で不明なデバイスに対して DPE が RDU に構成要求することをイネーブルまたはディセーブルにします。

（注） この機能をイネーブル化すると、RDU に対する DoS 攻撃が可能になる場合があります。
このコマンドを有効にするために、DPE を再起動する必要はありません。

service cwmp num client-auth mode

DPE 上の CWMP サービスに対して HTTP を使用することにより、クライアント認証をイネーブルまたはディセーブルにします。

BAC の認証オプションのリストについては、『 Cisco Broadband Access Center
Administrator’s Guide, Release 3.0 』を参照してください。

• num ：CWMP サービス（1 または 2）を表します。

• mode ：CWMP サービスのクライアント認証モードを表します。クライアント認証モードには、次のようなものがあります。

– basic ：基本 HTTP 認証をイネーブルにします。

– digest ：ダイジェスト HTTP 認証をイネーブルにします。これがデフォルトの設定です。

– none ：基本およびダイジェスト認証をディセーブルにします。このモードでは、CWMP サービスは Inform メッセージ内の Device ID を使用して CPE を認証します。

（注） クライアント認証中のセキュリティ リスクを制限するため、ダイジェストモード（デフォルト設定）を使用することをお勧めします。基本モードでクライアント認証を許可したり、基本およびダイジェスト認証を完全にディセーブルにしたりすることは推奨されていません。

service cwmp num enable {true | false}

DPE 上で実行されている CWMP サービスをイネーブルまたはディセーブルにします。

• num： CWMP サービス（1 または 2）を表します。

デフォルトでは、CWMP サービスは次のようになっています。

–サービス 1 ではイネーブル。

–サービス 2 ではディセーブル。

• true ：CWMP サービスをイネーブルにします。

• false ：CWMP サービスをディセーブルにします。

service cwmp num port port

CWMP サービスが CPE と通信するポートを表します。異なるポート番号を指定することにより、DPE が、他のアプリケーションによって使用されるポート間の共有違反を回避できるようになります。

• num： CWMP サービス（1 または 2）を表します。

• port ：サービスが使用するポート番号を表します。

デフォルトでは、CWMP サービスは次のポートで受信するように設定されています。

–サービス 1 の場合はポート 7547。

–サービス 2 の場合はポート 7548。

service cwmp session timeout value

CWMP セッションのタイムアウト期間を設定します。

（注） このコマンドを有効にするために、DPE を再起動する必要はありません。

value： CWMP セッションのタイムアウト期間をミリ秒（ms）で表します。タイムアウト期間は、1000 ms（1 秒）から 3000000 ms（50 分）までの任意の値です。

デフォルトでは、タイムアウト期間は 60000 ms（60 秒）に設定されています。

service cwmp num ssl client-auth mode

DPE 上で実行されている CWMP サービスに対して HTTP over SSL/TLS を使用することにより、クライアント証明書認証をイネーブルまたはディセーブルにします。

BAC の認証オプションのリストについては、『 Cisco Broadband Access Center
Administrator’s Guide, Release 3.0 』を参照してください。

• num： CWMP サービス（1 または 2）を表します。

デフォルトでは、SSL/TLS でのクライアント証明書認証は次のようになっています。

–サービス 1 ではディセーブル。

–サービス 2 ではディセーブル。

• mode ：CWMP サービスのクライアント証明書認証モードを表します。BAC のサポート対象は、次のとおりです。

– client-cert-generic ：すべての CPE または CPE の大きなサブセットに共通の汎用証明書を使用して、SSL/TLS でクライアント証明書認証をイネーブルにします。クライアント証明書は、署名認証局の公開鍵を使用して認証されます。この鍵は、DPE キーストアで事前設定されます。この証明書認証プロセスにより、証明書が有効であることが確認されますが、特定デバイスの ID は確立されません。したがって、デバイスの識別情報は、クライアント証明書の CN フィールド内のデータを使用することによっては生成されません。その代わり、デバイスの識別情報は基本またはダイジェスト認証経由で提供されたデータ、または CWMP Inform メッセージ内のデータを使用することによって生成されます。

– client-cert-unique ：各 CPE が提供する一意の証明書を使用して、SSL/TLS でクライアント証明書認証をイネーブルにします。署名認証局の公開鍵を使用してクライアント証明書が認証されると、クライアント証明書の CN フィールドを使用してデバイスの固有識別情報が生成されます。

– none ：CWMP サービスに対して HTTP over SSL/TLS を使用して、クライアント証明書認証をディセーブルにします。

例 1

例 2

service cwmp num ssl client-auth client-cert-css-ext

HTTP over SSL/TLS を使用する接続が
Cisco CSS 11500 シリーズ Content
Services Switch（CSS 11500）で終端している CPE の、認証をイネーブルにします。下流 CSS は、CPE デバイスから SSL セッションに関する情報（特にクライアント証明書フィールド）を取り出し、そのデータをさまざまな HTTP ヘッダーに挿入します。その後 BAC は、CSS ヘッダーの ClientCert-Subject-CN から CN
フィールドを取得して、固有のデバイス識別情報を作成します。

（注） このコマンドをイネーブルにする前に、必ず CSS を設定して、クライアント証明書フィールドを HTTP ヘッダーに挿入してください。詳細については、『Cisco Content Services Switch SSL Configuration Guide (Software Version 7.40)』を参照してください。

BAC の認証オプションのリストについては、『 Cisco Broadband Access Center
Administrator’s Guide, Release 3.0 』を参照してください。

num： CWMP サービス（1 または 2）を表します。

デフォルトでは、CWMP サービスに対して HTTP over SSL/TLS を使用するクライアント証明書認証は、次のようになっています。

• サービス 1 ではディセーブル。

• サービス 2 ではディセーブル。

service cwmp num ssl cipher {all-cipher-suites | value }

no service cwmp num ssl cipher {all-cipher-suites | value }

暗号アルゴリズムまたは暗号を使用して、DPE サーバと CPE の間の認証をイネーブルまたはディセーブルにします。これらの暗号アルゴリズムまたは暗号は、証明書管理およびセッション管理用に、HTTP over SSL/TLS によってサポートされています。SSL ハンドシェイク中、DPE サーバと CPE デバイスは、これら両方でイネーブルになっている最も強い暗号スイートを特定し、SSL セッションでそのスイートを使用します。

（注） BAC は、DPE のコマンドライン インターフェイスから設定可能な暗号スイートのリストをサポートします。BAC でサポートされる暗号スイートのリストについては、表4-5 を参照してください。

• num： CWMP サービス（1 または 2）を表します。

• all-cipher-suites ：CWMP サービスに対して HTTP over SSL/TLS を使用して、すべての暗号スイートがセッションを認証するのをイネーブルにします。これがデフォルトの設定です。

（注） service cwmp ssl cipher all-cipher-suites コマンドは、個々の暗号を設定していない場合にのみ動作します。個々の暗号スイートをディセーブルにするには、no service cwmp ssl cipher value コマンドを使用します。すべての暗号をディセーブルにするには、no service cwmp ssl cipher all-cipher-suites コマンドを使用します。

• value ：CWMP サービスに対して HTTP over SSL/TLS を使用して、セッションを認証するためにイネーブルにする、個々の暗号を表します。任意の暗号スイートをイネーブルまたはディセーブルにできます。

各暗号スイートは、特定の暗号法の機能に関連付けられている一連のアルゴリズムを指定します。BAC でサポートされる暗号法アルゴリズムのリストについては、 表4-4 を参照してください。

例 1

例 2

service cwmp num ssl enable {true | false}

DPE 上の CWMP サービスに対して、SSL/TLS 上での HTTP の使用をイネーブルまたはディセーブルにします。

（注） DPE を再起動する前にキーストア ファイルおよびキーストア パスワードを設定しないと、
CWMP サービスが起動しなくなります。キーストア ファイルおよびキーストア パスワードの設定方法については、『Cisco
Broadband Access Center
Administrator’s Guide, Release
3.0』を参照してください。

• num： CWMP サービス（1 または 2）を表します。

• true ：SSL/TLS トランスポートをイネーブルにします。サービス 2 でのデフォルト設定です。

• false ：SSL/TLS トランスポートをディセーブルにします。サービス 1 でのデフォルト設定です。

service cwmp num ssl keystore keystore-filename keystore-password key-password

プロビジョニング サーバ証明書が含まれるキーストア ファイルを設定します。この証明書は、HTTP over SSL/TLS を使用して、デバイスに対してプロビジョニング サーバを認証するのに使用されます。

（注） この設定は、サービスのインスタンスがイネーブルになっており（service cwmp 2 の場合と同様、デフォルトではディセーブルになっている）、このサービスに対して SSL/TLS プロトコルがイネーブルになっている場合にのみ関連します。SSL/TLS トランスポートをイネーブルにするには、service cwmp num ssl enable true コマンドを使用します。

• num： CWMP サービス（1 または 2）を表します。

• keystore-filename ：以前に作成したキーストア ファイルを表します。

• keystore-password ：キーストア ファイルの作成時に使用したキーストア パスワードを表します。キーストア パスワードの文字数は、6 ～ 30 文字にする必要があります。

• key-password ：キーストア ファイルの作成時に使用した秘密鍵パスワードを表します。秘密鍵パスワードの文字数は、6 ～ 30 文字にする必要があります。

DPE は、自己署名証明書が含まれるデフォルトのサンプル キーストアとともに出荷されます。ただし、CWMP デバイスは自己署名証明書を信頼しないので、このキーストアを使用して HTTP over SSL/TLS にデバイスをプロビジョニングさせることはできません。代わりに、署名済みのサービス プロバイダー証明書およびキーストアを取得する必要があります。詳細については、『 Cisco Broadband Access Center Administrator’s Guide, Release 3.0 』を参照してください。

service http num client-auth mode

DPE 上の HTTP ファイル サービスに対するクライアント認証をイネーブルまたはディセーブルにします。

BAC の認証オプションのリストについては、『 Cisco Broadband Access Center
Administrator’s Guide, Release 3.0 』を参照してください。

• num ：HTTP サービス（1 または 2）を表します。

• mode ：HTTP ファイル サービスのクライアント認証モードを表します。クライアント認証モードには、次のようなものがあります。

– basic ：基本 HTTP ファイル サービス認証をイネーブルにします。

– digest ：ダイジェスト HTTP ファイル サービス認証をイネーブルにします。これがデフォルトの設定です。

– none ：基本およびダイジェスト認証をディセーブルにします。このモードでは、HTTP ファイル サービスは Inform メッセージ内の Device ID を使用して CPE を認証します。

（注） クライアント認証中のセキュリティ リスクを制限するため、ダイジェストモード（デフォルト設定）を使用することをお勧めします。基本モードでクライアント認証を許可したり、基本およびダイジェスト認証をディセーブルにしたりすることは推奨されていません。

service http num enable {true | false}

DPE 上で実行されている HTTP ファイル サービスをイネーブルまたはディセーブルにします。

• num ：HTTP ファイル サービス（1 または 2）を表します。

デフォルトでは、HTTP ファイル サービスは次のようになっています。

–サービス 1 ではイネーブル。

–サービス 2 ではディセーブル。

• true ：HTTP ファイル サービスをイネーブルにします。

• false ：HTTP ファイル サービスをディセーブルにします。

service http num port port

HTTP ファイル サービスが CPE デバイスと通信するポートを表します。異なるポート番号を指定することにより、DPE が、他のアプリケーションによって使用されるポート間の共有違反を回避できるようになります。

• num ：HTTP ファイル サービス（1 または 2）を表します。

デフォルトでは、HTTP ファイル サービスは次のポートをリスニングするように設定されています。

–サービス 1 の場合はポート 7549。

–サービス 2 の場合はポート 7550。

• port ：サービスが使用するポート番号を表します。

（注） service http port コマンドは、指定されたポート番号が別のアプリケーションまたはシステム ユーティリティによって使用されているかどうかはチェックしません。

service http num ssl client-auth mode

DPE 上で実行されている HTTP ファイル サービスに対して HTTP over SSL/TLS を使用することにより、クライアント証明書認証をイネーブルまたはディセーブルにします。

BAC の認証オプションのリストについては、『 Cisco Broadband Access Center Administrator’s Guide, Release 3.0 』を参照してください。

• num ：HTTP ファイル サービス（1 または 2）を表します。

デフォルトでは、HTTP ファイル サービスに対して HTTP over SSL/TLS を使用するクライアント証明書認証は、次のようになっています。

–サービス 1 ではディセーブル。

–サービス 2 ではディセーブル。

• mode ：HTTP ファイル サービスのクライアント証明書認証モードを表します。BAC のサポート対象は、次のとおりです。

– client-cert-generic ：すべての CPE または CPE の大きなサブセットに共通の汎用証明書を使用して、SSL/TLS でクライアント証明書認証をイネーブルにします。署名認証局の公開鍵は、クライアント証明書を認証するために使用されます。この鍵は、DPE キーストアで事前設定されます。この証明書認証プロセスにより、証明書が有効であることが確認されますが、特定デバイスの ID は確立されません。したがって、デバイスの識別情報は、クライアント証明書の CN フィールド内のデータを使用することによっては生成されません。その代わり、デバイスの識別情報は基本またはダイジェスト認証経由で提供されたデータ、または CWMP Inform メッセージ内のデータを使用することによって生成されます。

– client-cert-unique ：各 CPE が提供する一意の証明書を使用して、SSL/TLS でクライアント証明書認証をイネーブルにします。署名認証局の公開鍵を使用してクライアント証明書が認証されると、クライアント証明書の CN
フィールドを使用してデバイスの固有識別情報が生成されます。

– none ：HTTP over SSL/TLS を使用して、クライアント証明書認証をディセーブルにします。

例 1

例 2

service http num ssl client-auth client-cert-css-ext

HTTP over SSL/TLS を使用する接続が Cisco CSS 11500 シリーズ Content Services Switch（CSS 11500）で終端している CPE の、認証をイネーブルにします。下流 CSS は、CPE デバイスから SSL セッションに関する情報（特にクライアント証明書フィールド）を取り出し、そのデータをさまざまな HTTP ヘッダーに挿入します。その後 BAC は、CSS ヘッダーの
ClientCert-Subject-CN から CN フィールドを取得して、固有のデバイス識別情報を作成します。

（注） このコマンドをイネーブルにする前に、必ず CSS を設定して、クライアント証明書フィールドを HTTP ヘッダーに挿入してください。詳細については、『Cisco Content Services Switch SSL Configuration Guide (Software Version 7.40)』を参照してください。

BAC の認証オプションのリストについては、『 Cisco Broadband Access Center
Administrator’s Guide, Release 3.0 』を参照してください。

num ：HTTP ファイル サービス（1 または 2）を表します。

デフォルトでは、HTTP ファイル サービスに対して HTTP over SSL/TLS を使用するクライアント証明書認証は、次のようになっています。

• サービス 1 ではディセーブル。

• サービス 2 ではディセーブル。

service http num ssl cipher {all-cipher-suites | value }

no service http num ssl cipher {all-cipher-suites | value }

暗号アルゴリズムまたは暗号を使用して、DPE サーバと CPE の間の認証をイネーブルまたはディセーブルにします。これらの暗号アルゴリズムまたは暗号は、証明書管理およびセッション管理用に HTTP over SSL/TLS によってサポートされています。SSL ハンドシェイク中、DPE サーバと CPE デバイスは、これら両方でイネーブルになっている最も強い暗号スイートを特定し、SSL セッションでそのスイートを使用します。

（注） BAC は、DPE のコマンドライン インターフェイスから設定可能な暗号スイートのリストをサポートします。BAC がサポートする暗号スイートのリストについては、表4-5 を参照してください。

• num ：HTTP ファイル サービス（1 または 2）を表します。

• all-cipher-suites ：HTTP ファイル サービスに対して HTTP over SSL/TLS を使用して、すべての暗号スイートがセッションを認証するのをイネーブルにします。これがデフォルトの設定です。

（注） service http ssl cipher all-cipher-suites コマンドは、個々の暗号を設定していない場合にのみ動作します。個々の暗号スイートをディセーブルにするには、no service http ssl cipher value コマンドを使用します。すべての暗号をディセーブルにするには、no service http ssl cipher all-cipher-suites コマンドを使用します。

• value ：HTTP ファイル サービスに対して HTTP over SSL/TLS を使用してセッションを認証する際に、イネーブルにする個々の暗号を表します。任意の暗号スイートをイネーブルまたはディセーブルにできます。

各暗号スイートは、特定の暗号法の機能に関連付けられている一連のアルゴリズムを指定します。BAC がサポートする暗号法アルゴリズムのリストについては、 表4-4 を参照してください。

例 1

例 2

service http num ssl enable {true | false}

DPE 上の HTTP ファイル サービスに対して、SSL/TLS 上での HTTP の使用をイネーブルまたはディセーブルにします。

（注） DPE を再起動する前にキーストア ファイルおよびキーストア パスワードを設定しないと、HTTP ファイル サービスが起動しなくなります。キーストア ファイルおよびキーストア パスワードの設定方法については、『Cisco Broadband
Access Center Administrator’s Guide, Release 3.0』を参照してください。

• num ：HTTP ファイル サービス（1 または 2）を表します。

• true ：SSL/TLS トランスポートをイネーブルにします。サービス 2 でのデフォルト設定です。

• false ：SSL/TLS トランスポートをディセーブルにします。サービス 1 でのデフォルト設定です。

service http num ssl keystore keystore-filename keystore-password key-pasword

プロビジョニング サーバ証明書が含まれるキーストア ファイルを設定します。この証明書は、HTTP over SSL/TLS を使用して、デバイスに対してプロビジョニング サーバを認証するのに使用されます。

（注） この設定は、サービスのインスタンスがイネーブルになっており（service http 2 の場合と同様、デフォルトではディセーブルになっている）、このサービスに対して HTTP over SSL/TLS がイネーブルになっている場合にのみ関連します。SSL/TLS トランスポートをイネーブルにするには、service http num ssl enable true コマンドを使用します。

• num ：HTTP ファイル サービス（1 または 2）を表します。

• keystore-filename ：以前に作成したキーストア ファイルを表します。

• keystore-password ：キーストア ファイルの作成時に使用したキーストア パスワードを表します。キーストア パスワードの文字数は、6 ～ 30 文字にする必要があります。

• key-password ：キーストア ファイルの作成時に使用した秘密鍵パスワードを表します。秘密鍵パスワードの文字数は、6 ～ 30 文字にする必要があります。

DPE は、自己署名証明書が含まれるデフォルトのサンプル キーストアとともに出荷されます。ただし、CWMP デバイスは自己署名証明書を信頼しないので、このキーストアを使用して HTTP over SSL/TLS にデバイスをプロビジョニングさせることはできません。代わりに、署名済みのサービス プロバイダー証明書およびキーストアを取得する必要があります。署名済みのサービス プロバイダー証明書、およびキーストアの取得方法に関する詳細については、『 Cisco Broadband Access Center Administrator’s Guide, Release 3.0 』を参照してください。

SSL のバージョン

SSL バージョン 3.0、および Transport Layer Security（TLS）バージョン 1.0

公開鍵の交換および鍵共有アルゴリズム

• RSA（鍵交換およびキー合意アルゴリズム）
暗号化およびデジタル署名に使用される Rivest、Shamir、Adelman アルゴリズム。
- 512 ビット、768 ビット、1024 ビット、および 2048 ビット

• DSA（証明書署名アルゴリズム）
Digital Signature Standard（DSS; デジタル シグニチャ規格）の一部として使用されるデジタル署名アルゴリズム。
- 512 ビット、768 ビット、および 1024 ビット

• Diffie-Hellman（鍵交換アルゴリズム）
- 512 ビット、768 ビット、1024 ビット、および 2048 ビット

暗号化タイプ

• DES
データ暗号規格（Data Encryption Standard）は、56 ビットのキーを 64 ビットの各データ ブロックに適用します。このキーは、暗号化と復号化に使用されます。

• 3DES またはトリプル DES
DES が 3 つのキーで使用されている場合のための、トリプル データ暗号規格（Triple-Strength Data Encryption Standard）。

• RC4
Rivest Cipher 4。ファイル暗号化に使用される、可変キー サイズのストリーム暗号。

メッセージ認証アルゴリズム

• Message Digest 5（MD5; メッセージ ダイジェスト 5）
128 ビットのメッセージ ダイジェストを作成するデジタル署名アプリケーションで使用されるアルゴリズム。このメッセージ ダイジェストは、メッセージに対して一意であり、データ整合性を確認するために使用されます。

• Secure Hash Algorithm（SHA）
160 ビットのハッシュ値を作成するデジタル シグニチャ規格で使用されるアルゴリズム。

all-cipher-suites

不可

EDH *

ssl_dh_anon_export_with_des40_cbc_sha

可

DH **

ssl_dh_anon_with_des_cbc_sha

不可

DH **

ssl_dh_anon_export_with_rc4_40_md5

可

DH **

ssl_dh_anon_with_3des_ede_cbc_sha

不可

DH **

ssl_dhe_dss_with_des_cbc_sha

不可

DH **

ssl_dh_anon_with_rc4_128_md5

不可

DH **

ssl_dhe_dss_export_with_des40_cbc_sha

可

EDH *

ssl_dhe_dss_with_3des_ede_cbc_sha

不可

EDH *

ssl_dhe_rsa_export_with_des40_cbc_sha

可

EDH *

ssl_dhe_rsa_with_3des_ede_cbc_sha

不可

EDH *

ssl_dhe_rsa_with_des_cbc_sha

不可

EDH *

ssl_rsa_export_with_des40_cbc_sha

可

RSA

ssl_rsa_export_with_rc4_40_md5

可

RSA

ssl_rsa_with_3des_ede_cbc_sha

不可

RSA

ssl_rsa_with_des_cbc_sha

不可

RSA

ssl_rsa_with_null_md5

不可

RSA

ssl_rsa_with_null_sha

不可

RSA

ssl_rsa_with_rc4_128_md5

不可

RSA

ssl_rsa_with_rc4_128_sha

不可

RSA

tls_dh_anon_with_aes_128_cbc_sha

不可

DH **

tls_dhe_dss_with_aes_128_cbc_sha

不可

EDH *

tls_dhe_rsa_with_aes_128_cbc_sha

不可

EDH *

tls_rsa_with_aes_128_cbc_sha

不可

RSA