Cisco ASA シリーズファイアウォール ASDM コンフィギュレーションガイドソフトウェアバージョン 7.3

ASA のインターフェイスへの ping の実行

ASA インターフェイスが起動して動作しているかどうか、および ASA と接続ルータが正しく動作しているかどうかをテストするには、ASA インターフェイスを ping します。

ASA インターフェイスを ping するには、次の手順を実行します。

ステップ 1 インターフェイス名、セキュリティ レベル、および IP アドレスを示すシングル モードの ASA またはセキュリティ コンテキストの図を作成します。

（注） この手順では IP アドレスを使用しますが、ping コマンドでは、DNS 名および name コマンドを使用してローカル IP アドレスに割り当てられた名前もサポートされます。

図には、直接接続されたすべてのルータ、および ASA を ping するルータの反対側にあるホストも含める必要があります。 （図 15-1 を参照）。

図 15-1 インターフェイス、ルータ、およびホストを含むネットワーク図

ステップ 2 直接接続されたルータから各 ASA インターフェイスを ping します。トランスペアレント モードでは、管理 IP アドレスを ping します。このテストは、ASA インターフェイスがアクティブであること、およびインターフェイス コンフィギュレーションが正しいことを確認します。

ASA インターフェイスがアクティブではない場合、インターフェイス コンフィギュレーションが正しくない場合、または ASA とルータの間でスイッチがダウンしている場合、ping は失敗する可能性があります（図 15-2 を参照）。この場合は、パケットが ASA に到達しないので、デバッグ メッセージや syslog メッセージは表示されません。

図 15-2 ASA のインターフェイスへの ping の失敗

ping が ASA に到達し、応答があると、次のようなデバッグ メッセージが表示されます。

ping 応答がルータに戻されない場合は、スイッチ ループまたは冗長 IP アドレスが存在する可能性があります（図 15-3 を参照）。

図 15-3 IP アドレッシングの問題による ping の失敗

ステップ 3 リモート ホストから各 ASA インターフェイスを ping します。トランスペアレント モードでは、管理 IP アドレスを ping します。このテストは、直接接続されたルータがホストと ASA の間でパケットをルーティングできるかどうか、および ASA がパケットを正確にルーティングしてホストに戻せるかどうかを確認します。

中間ルータを通ってホストに戻るルートが ASA にない場合、ping は失敗する可能性があります（図 15-4 を参照）。この場合は、デバッグ メッセージは ping が成功したことを示しますが、ルーティングの失敗を示す syslog メッセージ 110001 が表示されます。

図 15-4 ASA の戻りルート未設定による ping の失敗

ASA のコンフィギュレーションおよび動作の検証、および ping を使用したインターフェイスのテストの実行

ping ツールは、ASA および関係する通信リンクのコンフィギュレーションおよび動作を検証する場合、また他のネットワーク デバイスをテストする場合に便利です。

• 「ping に関する情報」

• 「ASA インターフェイスからの ping の送信」

• 「ASA インターフェイスへの ping の送信」

• 「ASA のインターフェイスを通過する ping」

• 「ping ツールのトラブルシューティング」

• 「ping ツールの使い方」

ping に関する情報

ping が IP アドレスに送信されると、応答が返されます。このプロセスを使用して、ネットワーク デバイスは、相互に検出、識別、およびテストすることができます。

ping ツールでは、ICMP（RFC 777 および RFC 792 に記載）を使用して、2 つのネットワーク デバイス間でのエコー要求とエコー応答のトランザクションを定義します。エコー要求パケットは、ネットワーク デバイスの IP アドレスへ送信されます。受信側のデバイスは送信元と宛先のアドレスを逆にしてから、そのパケットをエコー応答として送り返します。

管理者は、次の方法で ASDM の ping インタラクティブ診断ツールを使用できます。

• 2 つのインターフェイス間のループバック テスト：同じ ASA で一方のインターフェイスから相手側のインターフェイスに ping を外部ループバック テストとして起動すると、双方のインターフェイスの基本的な「アップ」ステータスおよび動作を検証できます。

• ASA への ping 送信：ping ツールにより、別の ASA のインターフェイスに ping を送信し、そのインターフェイスがアップしていて応答することを確認できます。

• ASA を通過する ping 送信：ping ツールの送信 ping パケットがデバイスに到達する途中で、中間の ASA を通過する場合があります。エコー パケットは、返されるときにそのインターフェイスを両方とも通過します。この手順によって、中間にある装置のインターフェイス、動作、応答時間についての基本的なテストができます。

• ネットワーク デバイスの疑わしい動作をテストするための ping 送信：正常に機能していないと思われるネットワーク デバイスに対して、ASA のインターフェイスから ping を送信できます。インターフェイスが正しく設定されているにもかかわらずエコーを受信しない場合は、デバイスに問題があると考えられます。

• 中間の通信状態をテストする場合の ping 送信：正常に機能し、エコー要求を返すことがわかっているネットワーク デバイスに対して、ASA のインターフェイスから ping を送信できます。エコーを受信した場合、中間にあるデバイスがすべて正常に動作し、物理的に正しく接続されていることが確認されたことになります。

ASA インターフェイスからの ping の送信

インターフェイスの基本的なテストを行う場合は、正常に機能し、中間通信パスを経由して応答を返すことがわかっているネットワーク デバイスに対して、ASA のインターフェイスから ping 送信を開始できます。基本的なテストの場合は、次の手順を必ず実行してください。

• 「既知の正常な」デバイスが、ASA のインターフェイスから送信された ping を受信することを確認します。ping を受信しない場合は、送信ハードウェアまたはインターフェイスのコンフィギュレーションに問題がある可能性があります。

• ASA のインターフェイスが正しく設定されているにもかかわらず、「既知の正常な」デバイスからエコー応答を受信しない場合は、インターフェイス ハードウェアの受信機能に問題があると考えられます。「既知の正常な」受信機能を持つ別のインターフェイスで、同じ「既知の正常な」デバイスに対して ping を送信してエコーを受信できる場合、最初のインターフェイスのハードウェアの受信機能に問題があると確認されたことになります。

ASA インターフェイスへの ping の送信

ASA のインターフェイスに ping を送信しようとする場合は、[Tools] > [Ping] の順に選択して、そのインターフェイスで ping 応答（ICMP エコー応答）がイネーブルになっていることを確認してください。ping 機能がディセーブルになっていると、ASA は他のデバイスやソフトウェア アプリケーションから検出されず、ASDM の ping ツールに応答しません。

ASA のインターフェイスを通過する ping

「既知の正常な」送信元からの他のタイプのネットワーク トラフィックが ASA を通過していることを確認するには、[Monitoring] > [Interfaces] > [Interface Graphs] または SNMP 管理ステーションを選択します。

内部ホストから外部ホストへの ping の送信をイネーブルにするには、ICMP インスペクションを設定します。[Configuration] > [Firewall] > [Service Policies] を選択します。

ping ツールのトラブルシューティング

ping を送信してエコーを受信しない場合は、ASA のコンフィギュレーションまたは動作にエラーがあることも原因として考えられます。必ずしも ping を送信した IP アドレスから応答がないことが原因であるとは限りません。ping ツールを使用して、ASA のインターフェイスから、インターフェイスに、またはインターフェイスを通過させて ping を送信する前に、次の基本的な確認を行ってください。

• インターフェイスが設定されていることを確認します。[Configuration] > [Device Setup] > [Interfaces] を選択します。

• スイッチやルータなど通信パスの中間デバイスで、他のタイプのネットワーク トラフィックが正常に配信されていることを確認します。

• 「既知の正常な」送信元からの他のタイプのトラフィックが通過することを確認します。[Monitoring] > [Interfaces] > [Interface Graphs] を選択します。

ping ツールの使い方

ping ツールを使用するには、次の手順を実行します。

ステップ 1 メイン ASDM アプリケーション ウィンドウで、[Tools] > [Ping] の順に選択します。

[Ping] ダイアログボックスが表示されます。

ステップ 2 [IP Address] フィールドに、ICMP エコー要求パケットの宛先 IP アドレスを入力します。

ping は、IPv6 アドレスもサポートします。

（注） [Configuration] > [Firewall] > [Objects] > [Objects/Groups Names] ペインでホスト名が割り当てられている場合は、IP アドレスの代わりにホスト名を使用できます。

ステップ 3 （オプション）ドロップダウン リストから、エコー要求パケットを送信する ASA のインターフェイスを選択します。指定しない場合、ASA はルーティング テーブルを調べ、宛先アドレスを見つけて必要なインターフェイスを使用します。

ステップ 4 [Ping] をクリックして、指定したインターフェイスまたはデフォルトのインターフェイスから、指定した IP アドレスに ICMP エコー要求パケットを送信し、応答タイマーを開始します。

応答は [Ping Output] 領域に表示されます。IP アドレスへの ping は 3 回送信され、結果は次のフィールドに表示されます。

• ping が送信されたデバイスの IP アドレスまたはデバイス名（設定されている場合）。デバイス名が割り当てられている場合、結果が応答なしの場合でもそのデバイス名が表示される場合があります。

• ping が送信されると、指定した最大値つまりタイムアウト値でミリ秒タイマーが作動します。このタイマーは、異なるルートやアクティビティ レベルの相対応答時間をテストするのに便利です。

• ping の実行結果の例：

ping が失敗した場合、実行結果は次のようになります。

ステップ 5 新しい IP アドレスを入力するには、[Clear Screen] をクリックして、[Ping output] 領域から前の応答を削除します。

トレースルートによるパケット ルーティングの決定

Traceroute ツールにより、パケットが宛先に到着するまでのルートを判断できます。このツールは、送信される各プローブの結果を出力します。出力の各行が 1 つの TTL 値に対応します（昇順）。次の表に、このツールによって出力される記号の一覧を示します。

Traceroute ツールを使用するには、次の手順を実行します。

ステップ 1 メイン ASDM アプリケーション ウィンドウで、[Tools] > [Traceroute] の順に選択します。

[Traceroute] ダイアログボックスが表示されます。

ステップ 2 ルートをトレースするホスト名または IP アドレスを入力します。ホスト名が指定されている場合は、[Configuration] > [Firewall] > [Objects] > [Service Objects/Groups] の順に選択して名前を定義するか、またはこのツールをイネーブルにするように DNS サーバを設定して、ホスト名を IP アドレスに解決します。

ステップ 3 応答を待機しているときの接続タイムアウト時間を秒単位で入力します。デフォルトは 3 秒です。

ステップ 4 UDP プローブ メッセージで使用される宛先ポートを入力します。デフォルトは 33434 です。

ステップ 5 各 TTL レベルで送信されるプローブ数を入力します。デフォルトは 3 です。

ステップ 6 最初のプローブの最小および最大 TTL 値を指定します。デフォルトの最小値は 1 です。値を大きくすると、始めに表示される既知のホップが少なくなります。デフォルトの最大値は 30 です。トレースルートは、パケットが宛先に到達するか、または最大値に達すると終了します。

ステップ 7 [Specify source interface or IP address] チェックボックスをオンにします。ドロップダウン リストから、パケット トレースの送信元インターフェイスまたは IP アドレスを選択します。この IP アドレスはいずれかのインターフェイスの IP アドレスにする必要があります。トランスペアレント モードの場合は、ASA の管理 IP アドレスにする必要があります。

ステップ 8 名前解決が設定されている場合、使用されたホップ名を出力結果に表示するには、[Reverse Resolve] チェックボックスをオンにします。出力結果に IP アドレスを表示するには、このチェックボックスをオフにします。

ステップ 9 UDP プローブ パケットの代わりに ICMP プローブ パケットを使用するよう指定するには、[Use ICMP] チェックボックスをオンにします。

ステップ 10 [Trace Route] をクリックしてトレースルートを開始します。

[Traceroute Output] 領域に、トレースルートの結果についての詳細なメッセージが表示されます。

ステップ 11 [Clear Output] をクリックして新しいトレースルートを開始します。

パケット トレーサによるパケットの追跡

パケット トレーサ ツールは、パケット スニフィングとネットワーク障害箇所特定のためのパケット追跡を実現するとともに、パケットに関する詳細情報と ASA によるパケットの処理方法を示します。コンフィギュレーション コマンドがパケット ドロップの原因ではない場合は、パケット トレーサ ツールを実行すると、その原因に関する情報が読みやすい形式で表示されます。

パケット トレーサ ツールでは次のことができます。

• ASA を通過するパケットの寿命をトレースして、パケットが正しく動作しているかどうかを確認する。

• ネットワーク内にドロップするすべてのパケットをデバッグする。

• コンフィギュレーションが意図したとおりに機能しているかを確認する。

• パケットに適用可能なすべてのルール、およびルールが追加される原因となった CLI コマンドを表示する。

• データ パス内でのパケット変化を時系列で表示する。

• データ パスにトレーサ パケットを挿入する。

• ユーザ アイデンティティおよび FQDN に基づいて IPv4 アドレスまたは IPv6 アドレスを検索する。

• 特定のセッションが許可または拒否された原因をデバッグする。

• どのセキュリティ グループ タグ（SGT）の値が使用されているか（つまり、パケットの SGT、IP-SGT Manager、またはインターフェイスに対して設定されている policy static sgt コマンドのいずれから取得したものか）を特定する。

• 適用されているセキュリティ グループ ベースのセキュリティ ポリシーを特定する。

パケット トレーサを使用するには、次の手順を実行します。

ステップ 1 メイン ASDM アプリケーション ウィンドウで、 [Tools] > [Packet Tracer] の順に選択します。

[Cisco ASDM Packet Tracer] ダイアログボックスが表示されます。

ステップ 2 ドロップダウン リストからパケット トレースの送信元インターフェイスを選択します。

ステップ 3 パケット トレースのプロトコル タイプを指定します。指定できるプロトコル タイプは、ICMP、IP、TCP、および UDP です。

ステップ 4 [SGT number] チェックボックスをオンにします。Cisco TrustSec ソリューションに統合されたときに ASA から送信されるセキュリティ グループ タグのパケット トレースをイネーブルにするには、セキュリティ グループ タグ番号を入力します。有効なセキュリティ グループ タグ番号の範囲は 0 ～ 65533 です。

ステップ 5 [Source] ドロップダウン リストで、次のいずれかのオプションを選択します。

• IP Address

• User

• FQDN

• Security Tag

• Security Name

Cisco TrustSec ソリューションに統合されたときに、ASA から送信されたパケットをトレースする場合は [Security Tag] または [Security Name] オプションを選択します。セキュリティ名は Cisco ISE 上で作成され、セキュリティ グループに対応するわかりやすい名前が付けられます。

セキュリティ ポリシーがそのセキュリティ タグまたはセキュリティ名付きで ASA に設定されると、ASA はそのポリシーを実行します （セキュリティ タグまたはセキュリティ名を含む ASA にセキュリティ ポリシーを作成できます。セキュリティ グループの名前に基づいてポリシーを実行するには、ASA はセキュリティ名をセキュリティ タグにマッピングするためにセキュリティ グループ テーブルが必要です）。

ASA を Cisco TrustSec ソリューションに統合するための設定に関する詳細については、『一般的な操作のコンフィギュレーション ガイド』を参照してください。

ステップ 6 ユーザが [Source] ドロップダウン リストで選択したオプションに基づいて、トレースする項目に対応するテキストを入力します。たとえば、[Source IP Address] フィールドに、パケット トレースの送信元 IP アドレスを入力します。

ステップ 7 TCP および UDP の場合のみ、ドロップダウン リストから、パケット トレースの送信元ポートを選択します。

ステップ 8 [Destination] ドロップダウン リストで、次のいずれかのオプションを選択します。

• IP Address

• FQDN

• Security Tag

• Security Name

ステップ 9 [Destination] ドロップダウン リストで選択したオプションに基づいて、トレースする項目に対応するテキストを入力します。たとえば、[Destination IP Address] フィールドに、パケット トレースの送信元 IP アドレスを入力します。

ステップ 10 TCP および UDP の場合のみ、ドロップダウン リストから、パケット トレースの宛先ポートを選択します。

ステップ 11 ICMP の場合のみ、[Type] ドロップダウン リストから、パケット トレースのタイプを選択します。次に、該当するフィールドにトレース コードとトレース ID を入力します。

ステップ 12 IP の場合のみ、[Protocol] フィールドにプロトコル番号を入力します。有効値の範囲は 0 ～ 255 です。

ステップ 13 [Start] をクリックして、パケットをトレースします。

[Information Display Area] に、パケット トレースの結果に関する詳細情報が表示されます。

（注） パケット トレースをグラフィカルに表現するには、[Show animation] チェックボックスをオンにします。

ステップ 14 [Clear] をクリックして新しいパケット トレースを開始します。

ブロック

空きメモリ ブロックおよび使用中のメモリ ブロックを表示するには、次の手順を実行します。

ステップ 1 ASDM メイン ウィンドウで、[Monitoring] > [Properties] > [System Resources Graphs] > [Blocks] の順に選択します。

ステップ 2 [Available Graphs] リストからエントリを 1 つ以上選択し、[Add] をクリックして、それらのエントリを [Selected Graphs] リストに移動します。エントリを [Selected Graphs] リストから削除するには、[Remove] をクリックします。使用可能なオプションは次のとおりです。

• [Blocks Used]：ASA で使用中のメモリ ブロックを表示します。

• [Blocks Free]：ASA の空きメモリ ブロックを表示します。

1 つのグラフ ウィンドウに表示する統計情報のタイプは 4 つまで選択できます。複数のグラフ ウィンドウを同時に開くことができます。

ステップ 3 既存のウィンドウ タイトルを使用するには、ドロップダウン リストからいずれかを選択します。新しいウィンドウにグラフを表示するには、[Graph Window Title] フィールドに新しいウィンドウ タイトルを入力します。

ステップ 4 [Show Graphs] をクリックして、新しいグラフ ウィンドウまたは更新したグラフ ウィンドウにシステム リソース統計情報を表示します。

ステップ 5 [Table] タブをクリックして、同じパフォーマンス統計情報を表形式で表示します。

ステップ 6 いずれかのタブ上の [View] ドロップダウン リストから、情報を更新して表示する期間を [Real-time, data every 10 sec]、[Last 10 minutes, data every 10 sec]、[Last 60 minutes, data every 1 min]、[Last 12 hours, data every 12 minutes]、または [Last 5 days, data every two hours] から選択します。

ステップ 7 （オプション）[Export] をクリックして、[Export Graph Data] ダイアログボックスを表示します。エクスポートするよう選択されたメモリ ブロック統計情報は、すでにオンになっています。

ステップ 8 （オプション）[Export] を再度クリックして、[Save] ダイアログボックスを表示します。

ステップ 9 （オプション）[Save] をクリックして、メモリ ブロック統計情報をローカル ドライブ上のテキスト ファイル（.txt）に保存し、後で参照できるようにします。

ステップ 10 （オプション）[Print] をクリックして、[Print Graph] ダイアログボックスを表示します。

ステップ 11 （オプション）ドロップダウン リストからグラフまたはテーブル名を選択し、[Print] をクリックして、[Print] ダイアログボックスを表示します。

ステップ 12 （オプション）[OK] をクリックして、選択したメモリ ブロック統計情報を印刷します。

CPU

CPU 使用率を表示するには、次の手順を実行します。

ステップ 1 ASDM メイン ウィンドウで、[Monitoring] > [Properties] > [System Resources Graphs] > [CPU] の順に選択します。

ステップ 2 [Available Graphs] リストからエントリを 1 つ以上選択し、[Add] をクリックして、それらのエントリを [Selected Graphs] リストに移動します。エントリを [Selected Graphs] リストから削除するには、[Remove] をクリックします。

1 つのグラフ ウィンドウに表示する統計情報のタイプは 4 つまで選択できます。複数のグラフ ウィンドウを同時に開くことができます。

ステップ 3 既存のウィンドウ タイトルを使用するには、ドロップダウン リストからいずれかを選択します。新しいウィンドウにグラフを表示するには、[Graph Window Title] フィールドに新しいウィンドウ タイトルを入力します。

ステップ 4 [Show Graphs] をクリックして、新しいグラフ ウィンドウまたは更新したグラフ ウィンドウにシステム リソース統計情報を表示します。

ステップ 5 [Table] タブをクリックして、同じパフォーマンス統計情報を表形式で表示します。

ステップ 6 いずれかのタブ上の [View] ドロップダウン リストから、情報を更新して表示する期間を [Real-time, data every 10 sec]、[Last 10 minutes, data every 10 sec]、[Last 60 minutes, data every 1 min]、[Last 12 hours, data every 12 minutes]、または [Last 5 days, data every two hours] から選択します。

ステップ 7 （オプション）[Export] をクリックして、[Export Graph Data] ダイアログボックスを表示します。エクスポートするよう選択された CPU 使用率統計情報は、すでにオンになっています。

ステップ 8 （オプション）[Export] を再度クリックして、[Save] ダイアログボックスを表示します。

ステップ 9 （オプション）[Save] をクリックして、CPU 使用率統計情報をローカル ドライブ上のテキスト ファイル（.txt）に保存し、後で参照できるようにします。

ステップ 10 （オプション）[Print] をクリックして、[Print Graph] ダイアログボックスを表示します。

ステップ 11 （オプション）ドロップダウン リストからグラフまたはテーブル名を選択し、[Print] をクリックして、[Print] ダイアログボックスを表示します。

ステップ 12 （オプション）[OK] をクリックして、選択した CPU 使用率統計情報を印刷します。

メモリ

メモリ使用率を表示するには、次の手順を実行します。

ステップ 1 ASDM メイン ウィンドウで、[Monitoring] > [Properties] > [System Resources Graphs] > [Blocks] の順に選択します。

ステップ 2 [Available Graphs] リストからエントリを 1 つ以上選択し、[Add] をクリックして、それらのエントリを [Selected Graphs] リストに移動します。エントリを [Selected Graphs] リストから削除するには、[Remove] をクリックします。使用可能なオプションは次のとおりです。

• [Free Memory]：ASA の空きメモリを表示します。

• [Used Memory]：ASA の使用中のメモリを表示します。

1 つのグラフ ウィンドウに表示する統計情報のタイプは 4 つまで選択できます。複数のグラフ ウィンドウを同時に開くことができます。

ステップ 3 既存のウィンドウ タイトルを使用するには、ドロップダウン リストからいずれかを選択します。新しいウィンドウにグラフを表示するには、[Graph Window Title] フィールドに新しいウィンドウ タイトルを入力します。

ステップ 4 [Show Graphs] をクリックして、新しいグラフ ウィンドウまたは更新したグラフ ウィンドウにシステム リソース統計情報を表示します。

ステップ 5 [Table] タブをクリックして、同じパフォーマンス統計情報を表形式で表示します。

ステップ 6 いずれかのタブ上の [View] ドロップダウン リストから、情報を更新して表示する期間を [Real-time, data every 10 sec]、[Last 10 minutes, data every 10 sec]、[Last 60 minutes, data every 1 min]、[Last 12 hours, data every 12 minutes]、または [Last 5 days, data every two hours] から選択します。

ステップ 7 （オプション）[Export] をクリックして、[Export Graph Data] ダイアログボックスを表示します。エクスポートするよう選択されたメモリ使用率統計情報は、すでにオンになっています。

ステップ 8 （オプション）[Export] を再度クリックして、[Save] ダイアログボックスを表示します。

ステップ 9 （オプション）[Save] をクリックして、メモリ使用率統計情報をローカル ドライブ上のテキスト ファイル（.txt）に保存し、後で参照できるようにします。

ステップ 10 （オプション）[Print] をクリックして、[Print Graph] ダイアログボックスを表示します。

ステップ 11 （オプション）ドロップダウン リストからグラフまたはテーブル名を選択し、[Print] をクリックして、[Print] ダイアログボックスを表示します。

ステップ 12 （オプション）[OK] をクリックして、選択したメモリ使用率統計情報を印刷します。