マニュアル 3：Cisco ASA シリーズ VPN CLI コンフィギュレーション ガイド バージョン 9.1

ステップ 1

show running-config nac-policy

ASA 上ですでに設定されている NAC ポリシーを表示します。

nac-framework1 という名前の NAC ポリシーのコンフィギュレーションを表示します。

ステップ 2

• default-acl：NAC デフォルト ACL がポスチャ検証の前に適用されます。セキュリティ アプライアンスは、ポスチャ検証の後、リモート ホストの Access Control Server から取得した ACL でデフォルト ACL を置き換えます。ポスチャ検証が失敗した場合、ASAにはデフォルト ACL が残ります。

• reval-period：NAC フレームワーク セッション内でのポスチャ検証が正常に完了してから次回の検証までの間隔（秒）。

• sq-period：NAC フレームワーク セッション内でのポスチャ検証が正常に完了してから、ホスト ポスチャの変化を調べる次回のクエリーまでの間隔（秒）。

• exempt-list：ポスチャ検証を免除されるオペレーティング システム名。リモート コンピュータのオペレーティング システムがこの名前に一致する場合は、トラフィックをフィルタリングするオプションの ACL も表示されます。

• authentication-server-group：NAC ポスチャ検証に使用される認証サーバ グループの名前。

nac-framework の属性を表示します。

ステップ 3

show nac-policy

グループ ポリシーへの NAC ポリシーの割り当てを表示します。

どの NAC ポリシーが未割り当てであるかと、各 NAC ポリシーの使用回数を表示します。

ステップ 4

• applied session count：この ASA が NAC ポリシーを適用した VPN セッションの累積数。

• applied group-policy count：この ASA が NAC ポリシーを適用したグループ ポリシーの累積数。

• group-policy list：この NAC ポリシーが割り当てられているグループ ポリシーのリスト。この場合、グループ ポリシーの使用状況によってこのリストに表示されるかどうかは決まりません。NAC ポリシーが実行コンフィギュレーションのグループ ポリシーに割り当てられている場合は、このリストにグループ ポリシーが表示されます。

show nac-policy コマンドのフィールドの説明です。

ステップ 1

global

グローバル コンフィギュレーション モードに切り替えます。

ステップ 2

nac-policy nac-policy-name nac-framework

hostname(config-nac-policy-nac-framework)

NAC ポリシーを追加または変更します。

nac-policy-name は、新しい NAC ポリシーまたはすでに存在するポリシーの名前です。名前は最大 64 文字の文字列です。

nac-framework は、NAC Framework コンフィギュレーションで、リモート ホスト用のネットワーク アクセス ポリシーを提供することを指定します。ASAの NAC フレームワーク サービスを提供するには、シスコ アクセス コントロール サーバがネットワークに存在している必要があります。このタイプを指定すると、プロンプトは nac-policy-nac-framework コンフィギュレーション モードにいることを示します。このモードでは、NAC フレームワーク ポリシーを設定できます。

NAC フレームワーク ポリシーを nac-framework1 という名前で作成し、アクセスします。

ステップ 3

（任意）

[ no ] nac-policy nac-policy-name nac-framework

NAC ポリシーをコンフィギュレーションから削除します。ポリシーの名前とタイプの両方を指定する必要があります。

ステップ 4

（任意）

clear configure nac-policy

グループ ポリシーに割り当てられているものを除き、すべての NAC ポリシーをコンフィギュレーションから削除します。

ステップ 5

show running-config nac-policy

セキュリティ アプライアンスにすでに存在する各 NAC ポリシーの名前およびコンフィギュレーションを表示します。

ステップ 1

aaa-server host

Access Control Server グループに名前を付けます（グループに含まれているサーバが 1 つだけであっても）。

ステップ 2

（任意）

show running-config aaa-server

hostname(config)#

AAA サーバの設定を表示します。

ステップ 3

nac-policy-nac-framework

nac-policy-nac-framework コンフィギュレーション モードに切り替えます。

ステップ 4

authentication-server-group server-group

hostname(config-nac-policy-nac-framework)

NAC ポスチャ検証に使用されるグループを指定します。

server-group は、 aaa-server host コマンドで指定した server-tag 変数と一致する必要があります。このコマンドの no バージョンを使用している場合は、一致していなくてもかまいません。

NAC ポスチャ検証に使用される認証サーバ グループとして acs-group1 を指定します。

ステップ 5

（任意）

[ no ] authentication-server-group server-group

コマンドを NAC ポリシーから削除します。

ステップ 1

nac-policy-nac-framework

nac-policy-nac-framework コンフィギュレーション モードに切り替えます。

ステップ 2

sq-period seconds

hostname(config-group-policy)

ステータス クエリーの間隔を変更します。

seconds は、30 ～ 1800 秒（5 ～ 30 分）の範囲で指定する必要があります。

クエリー タイマーを 1800 秒に変更します。

ステップ 3

（任意）

[ no ] sq-period seconds

ステータス クエリー タイマーをオフにします。

ステップ 4

show running-config nac-policy

sq-period 属性の隣に 0 が表示されます。これは、タイマーがオフであることを意味します。

ステップ 1

nac-policy-nac-framework

nac-policy-nac-framework に切り替えます。

ステップ 2

reval-period seconds

hostname(config-nac-policy-nac-framework)

ポスチャ検証が正常に完了してから次回の検証までの間隔を変更します。

seconds は、300 ～ 86400 秒（5 分～ 24 時間）の範囲で指定する必要があります。

ステップ 3

（任意）

[ no ] reval-period seconds

ステータス クエリー タイマーをオフにします。

ステップ 4

show running-config nac-policy

sq-period 属性の隣に 0 が表示されます。これは、タイマーがオフであることを意味します。

ステップ 1

nac-policy-nac-framework

nac-policy-nac-framework コンフィギュレーション モードに切り替えます。

ステップ 2

default-acl acl-name

hostname(config-nac-policy-nac-framework)

NAC セッションのデフォルト ACL として使用される ACL を指定します。

acl-name は、セッションに適用されるアクセス コントロール リストの名前です。

ポスチャ検証成功の前に適用される ACL として ac1-2 を指定します。

ステップ 3

（任意）

[ no ] default-acl acl-name

コマンドを NAC フレームワーク ポリシーから削除します。 acl-name の指定は任意です。

ステップ 1

nac-policy-nac-framework

nac-policy-nac-framework コンフィギュレーション モードに切り替えます。

ステップ 2

exempt-list os " os-name " [ disable | filter acl-name [ disable ]

hostname(config-group-policy)

hostname(config-nac-policy-nac-framework)

hostname(config-nac-policy-nac-framework)

NAC ポスチャ検証を免除されるリモート コンピュータ タイプのリストにエントリを追加します。

• os-name は、オペレーティング システムの名前です。引用符は、名前にスペースが含まれている場合に使用します（たとえば "Windows XP"）。

• filter を指定すると、コンピュータのオペレーティング システムが os name と一致する場合、トラフィックをフィルタリングするために ACL が適用されます。filter/ acl-name のペアはオプションです。

• disable を指定すると、次の 2 つの機能のいずれかが実行されます。

– "os-name" の後に入力した場合、ASAは、指定したオペレーティング システムを実行するリモート ホストで免除を行わず、NAC ポスチャ検証を適用します。

– このキーワードを acl-name の後に入力すると、ASAはそのオペレーティング システムを免除しますが、関連のトラフィックには ACL を適用しません。

• acl-name は、ASA コンフィギュレーションにある ACL の名前です。指定する場合は、 filter キーワードの後に指定する必要があります。

ポスチャ検証を免除するコンピュータのリストに、Windows XP を実行するすべてのホストを追加します。

Windows XP を実行するすべてのホストを免除し、そのホストからのトラフィックに ACL acl-2 を適用します。

同じエントリを免除リストから削除します。

ステップ 3

（任意）

[ no ] exempt-list os " os-name " [ disable | filter acl-name [ disable ] ]

hostname(config-nac-policy-nac-framework)

NAC フレームワーク ポリシーからすべての免除を削除します。エントリを指定してこのコマンドの no 形式を発行すると、そのエントリが免除リストから削除されます。

免除リストからすべてのエントリを削除します。

ステップ 1

group-policy

グループ ポリシー コンフィギュレーション モードに切り替えます。

ステップ 2

nac-settings { value nac-policy-name | none }

hostname(config-group-policy)

NAC ポリシーをグループ ポリシーに割り当てます。

• nac-settings none は、グループ ポリシーから nac-policy-name を削除し、このグループ ポリシーに対する NAC ポリシーの使用をディセーブルにします。グループ ポリシーは、デフォルト グループ ポリシーから nac-settings 値を継承しません。

• nac-settings value は、指定した NAC ポリシーをグループ ポリシーに割り当てます。

framework1 という名前の NAC ポリシーをグループ ポリシーに割り当てます。

ステップ 3

（任意）

[ no ] nac-settings { value nac-policy-name | none }

nac-policy-name をグループ ポリシーから削除します。グループ ポリシーは、デフォルト グループ ポリシーから nac-settings 値を継承します。

ステップ 4

（任意）

show running-config nac-policy

各 NAC ポリシーの名前およびコンフィギュレーションを表示します。

ステップ 1

global

グローバル コンフィギュレーション モードに切り替えます。

ステップ 2

eou allow { audit | clientless | none }

hostname(config)#

NAC フレームワーク コンフィギュレーションに対してクライアントレス認証をイネーブルにします。

• audit を指定すると、クライアントレス認証の実行に監査サーバを使用します。

• clientless を指定すると、クライアントレス認証の実行に Cisco Access Control Server を使用します。

• none は、クライアントレス認証をディセーブルにします。

監査サーバを使用してクライアントレス認証を実行するように ASA を設定する方法を示します。

ステップ 3

[ no ] eou allow { audit | clientless | none }

hostname(config)#

コマンドをコンフィギュレーションから削除します。

監査サーバの使用をディセーブルにします。

ステップ 1

global

グローバル コンフィギュレーション モードに切り替えます。

ステップ 2

eou clientless username username

hostname(config)#

クライアントレス認証に使用するユーザ名を変更します。

username は、クライアントレス ホストをサポートする Access Control Server に設定されているユーザ名に一致する必要があります。先頭および末尾のスペース、シャープ記号（#）、疑問符（?）、引用符（"）、アスタリスク（*）、山カッコ（< および >）を除く、1 ～ 64 文字の ASCII 文字を入力します。

クライアントレス認証のユーザ名を sherlock に、パスワードを 221B-baker に変更します。ユーザ名だけ、パスワードだけ、または両方を指定できます。

ステップ 3

eou clientless password password

クライアントレス認証に使用するパスワードを変更します。

password は、クライアントレス ホストをサポートする Access Control Server に設定されているパスワードに一致する必要があります。4 ～ 32 文字の ASCII 文字を入力します。

ステップ 4

（任意）

no eou clientless username

hostname(config)#

ユーザ名をデフォルト値に変更します。

ステップ 5

（任意）

no eou clientless password

hostname(config)# no eou clientless password

hostname(config)#

パスワードをデフォルト値に変更します。

ステップ 1

global

グローバル コンフィギュレーション モードに切り替えます。

ステップ 2

eou port port_number

hostname(config)# eou port 62445
hostname(config)#

デフォルト ポート番号は、21862 です。このコマンドは、ポスチャ エージェントとの EAP over UDP 通信に使用されるポート番号（クライアント エンドポイントの）を変更します。

port_number は、CTA で設定されているポート番号に一致する必要があります。値は 1024 ～ 65535 の範囲で入力します。

EAP over UDP 通信用のポート番号を 62445 に変更します。

ステップ 3

（任意）

no eou port

hostname(config)# no eou port
hostname(config)#

ポート番号をデフォルト値に変更します。

ステップ 4

eou timeout retransmit seconds

hostname(config)# eou timeout retransmit 6

hostname(config)#

再送信リトライ タイマーを変更します。ASAは EAP over UDP メッセージをリモート ホストに送信する場合、応答を待ちます。 n 秒以内に応答を受信できない場合、EAP over UDP メッセージを再送信します。デフォルトでは、再送信タイマーは 3 秒です。

seconds は、1 ～ 60 の範囲の値です。

再送信タイマーを 6 秒に変更します。

ステップ 5

（任意）

no eou timeout retransmit

hostname(config)# no eou timeout retransmit
hostname(config)#

再送信リトライ タイマーをデフォルト値に変更します。

ステップ 6

eou max-retry retries

hostname(config)# eou max-retry 1

hostname(config)#

再送信リトライ回数を変更します。ASAは EAP over UDP メッセージをリモート ホストに送信する場合、応答を待ちます。応答を受信できない場合、EAP over UDP メッセージを再送信します。デフォルトでは、3 回まで再送信されます。

retries は、1 ～ 3 の範囲の値です。

EAP over UDP 再送回数の上限を 1 に設定します。

ステップ 7

（任意）

no eou max-retry

hostname(config)# no eou max-retry
hostname(config)#

再送信リトライの最大回数をデフォルト値に変更します。

ステップ 8

eou timeout hold-period seconds

hostname(config)# eou timeout hold-period 120
hostname(config)#

セッション再初期化タイマーを変更します。再送信リトライ カウンタと max-retry 値が一致すると、ASAはリモート ホストとの EAP over UDP セッションを終了し、保持タイマーを起動します。保持タイマーが n 秒になると、ASAは、リモート ホストとの新しい EAP over UDP セッションを確立します。デフォルトでは、新規セッションを確立するまでの最大待機秒数は 180 秒です。

seconds は、60 ～ 86400 の範囲の値です。

新しい EAP over UDP アソシエーションを開始する前の待機期間を 120 秒に変更します

ステップ 9

（任意）

no eou timeout hold-period

hostname(config)# no eou timeout hold-period
hostname(config)#

セッション再初期化をデフォルト値に変更します。