Cisco ASDM ユーザ ガイド バージョン 6.0(3)

はじめる前に

---

この項では、ASDM を使用する前に実行する必要があるタスクについて説明します。次の項目を取り上げます。

• 「工場出荷時のデフォルト コンフィギュレーション」

• 「ASDM アクセスに対するセキュリティ アプライアンスの設定」

• 「CLI によるトランスペアレント ファイアウォール モードまたはルーテッド ファイアウォール モードの設定」

• 「ASDM の起動」

• 「設定の概要」

工場出荷時のデフォルト コンフィギュレーション

工場出荷時のデフォルト コンフィギュレーションは、PIX 525 および PIX 535 モデルを除き、すべてのセキュリティ アプライアンスでサポートされています。

ASA 5505 モデルの場合、すぐに適応型セキュリティ アプライアンスをネットワークで利用できるように、工場出荷時のデフォルト コンフィギュレーションに事前定義済みのインターフェイスと NAT が含まれています。

PIX 515、PIX 515E、および ASA 5510 以降のバージョンのモデルの場合、工場出荷時のデフォルト コンフィギュレーションで管理インターフェイスが提供されており、ASDM を使用してセキュリティ アプライアンスに接続し、設定を完了できます。

工場出荷時のデフォルト コンフィギュレーションは、ルーテッド ファイアウォール モードおよびシングルコンテキスト モードでだけ利用可能です。マルチ コンテキスト モードの詳細については、 セキュリティ コンテキストの設定を参照してください。ルーテッドおよびトランスペアレント ファイアウォール モードの詳細については、 ファイアウォール モードの概要を参照してください。

この項では、次のトピックについて取り上げます。

• 「工場出荷時のデフォルト コンフィギュレーションの復元」

• 「ASA 5505 のデフォルト コンフィギュレーション」

• 「ASA 5510 以降のバージョンのデフォルト コンフィギュレーション」

• 「PIX 515/515E のデフォルト コンフィギュレーション」

工場出荷時のデフォルト コンフィギュレーションの復元

工場出荷時のデフォルト コンフィギュレーションを復元するには、次の手順を実行します。

---

ステップ 1 [File] > [Reset Device to the Factory Default Configuration] の順に選択します。

ステップ 2 デフォルトの IP アドレスを変更するには、次のいずれかの操作を実行します。

• ASA 5500 シリーズの場合、[Use this address for the Management 0/0 interface that will be named as management] チェックボックスをオンにし、[Management IP Address] フィールドに新しい IP アドレスを入力して、[Management Subnet Mask] ドロップダウン リストから新しいサブネット マスクを選択します。

• PIX シリーズの場合、[Use this address for the Ethernet 1 interface, which will be named inside] チェックボックスをオンにし、[Inside IP Address] フィールドに新しい内部 IP アドレスを入力して、[Inside Subnet Mask] ドロップダウン リストから新しい内部サブネット マスクを選択します。

ステップ 3 [OK] をクリックします。

---

（注） 工場出荷時のデフォルト コンフィギュレーションを復元すると、適応型セキュリティ アプライアンスは次にリロードするときに、内部フラッシュ メモリの最初のイメージを使用してブートします。内部フラッシュ メモリにイメージがない場合、適応型セキュリティ アプライアンスはブートしません。

---

---

 

ASDM アクセスに対するセキュリティ アプライアンスの設定

CLI ではなく ASDM を使用してセキュリティ アプライアンスを設定する場合、工場出荷時のデフォルト設定があれば、ブラウザで https://192.168.1.1 に移動するとデフォルトの管理アドレスに接続できます。または、Cisco ASDM Launcher がインストールされていれば、それを使用して ASDM に接続できます。詳細については、「工場出荷時のデフォルト コンフィギュレーション」を参照してください。

ASA 5505 適応型セキュリティ アプライアンスでは、ASDM への接続に使用するスイッチ ポートは Ethernet 0/0 以外であればどのポートでもかまいません。ASA 5510 以降のバージョンの適応型セキュリティ アプライアンスでは、ASDM に接続するインターフェイスは Management 0/0 です。PIX 515/515E セキュリティ アプライアンスでは、ASDM に接続するインターフェイスは Ethernet 1 です。

工場出荷時のデフォルト設定でない場合、CLI にアクセスする手順については、『 Cisco Security Appliance Command Line Configuration Guide 』を参照してください。

CLI によるトランスペアレント ファイアウォール モードまたはルーテッド ファイアウォール モードの設定

デフォルトのルーテッド ファイアウォール モードまたはトランスペアレント ファイアウォール モードで稼働するように、適応型セキュリティ アプライアンスを設定できます。ファイアウォール モードの詳細については、 ファイアウォール モードの概要を参照してください。マルチ コンテキスト モードでは、すべてのコンテキストに対して 1 つのファイアウォール モードのみを使用できます。モードの設定は、システム実行スペースで行う必要があります。

モードを変更すると、適応型セキュリティ アプライアンスは設定をクリアします。これは、多くのコマンドが両方のモードでサポートされていないためです。すでにデータが入力された設定が用意されている場合、モードを変更する前に必ずその設定をバックアップしてください。新しい設定を作成する際に、このバックアップ設定を参照用に使用できます。

マルチ コンテキスト モードの場合は、システム設定が消去され、どのコンテキストも削除されます。誤ったモード用に作成された既存の設定を含むコンテキストを再度追加する場合、コンテキスト設定は正しく動作しません。

（注） 必ず正しいモード用のコンテキスト設定を作成してから、再追加を行ってください。そうしない場合は、新しい設定用の新しいパスを使用して新しいコンテキストを追加します。

firewall transparent コマンドを使用してモードを変更するテキスト コンフィギュレーションをセキュリティ アプライアンスにダウンロードする場合は、このコマンドをコンフィギュレーションの先頭に配置します。先頭に配置することによって、適応型セキュリティ アプライアンスでこのコマンドが読み込まれるとすぐにモードが変更され、その後引き続きダウンロードされたコンフィギュレーションが読み込まれます。このコマンドがコンフィギュレーションの後ろの方にあると、適応型セキュリティ アプライアンスはそれ以前に記述されているコンフィギュレーションの行をすべてクリアします。

ファイアウォール モードを設定するには、次の手順を実行します。

（注） マルチ コンテキスト モードの場合は、システム実行スペースでこれらの手順を実行する必要があります。

ステップ 1 新しいコンフィギュレーションを作成する前に、必ずスタートアップ コンフィギュレーション ファイルまたは実行コンフィギュレーション ファイルをバックアップして後で参照できるようにしてください。次のいずれかのコマンドを使用して、シングルコンテキスト モードまたはマルチモードのシステム コンフィギュレーションから、スタートアップ コンフィギュレーション ファイルまたは実行コンフィギュレーション ファイルを外部サーバやローカル フラッシュ メモリにコピーできます。

• TFTP サーバにコピーするには、次のコマンドを入力します。

ここで、 server は TFTP サーバの名前、 path はコンフィギュレーション ファイルへのディレクトリ パス、 filename はコンフィギュレーション ファイルの名前です。

• FTP サーバにコピーするには、次のコマンドを入力します。

ここで、 user は使用するユーザ名、 password は FTP サーバへのパスワード、 server は FTP サーバの名前、 path はコンフィギュレーション ファイルへのディレクトリ パス、 filename はコンフィギュレーション ファイルの名前です。

• ローカル フラッシュ メモリにコピーするには、次のコマンドを入力します。

ここで、 path はコンフィギュレーション ファイルへのディレクトリ パス、 filename はコンフィギュレーション ファイルの名前です。

（注） 宛先ディレクトリが存在することを確認してください。存在しない場合は、mkdir コマンドを使用して宛先ディレクトリを作成します。

ステップ 2 モードを変更するには、次のコマンドのいずれかを入力します。

• モードをトランスペアレントに設定するには、次のコマンドを入力します。

このコマンドは、各コンテキストのコンフィギュレーションにも情報提供の目的で表示されますが、このコマンドをコンテキストで入力することはできません。

• モードをルーテッドに設定するには、次のコマンドを入力します。

ASDM の起動

この項では、ASDM を起動する方法について説明します。起動するには次の方法があります。

• 「ASDM ランチャのダウンロード」

• 「ASDM ランチャによる ASDM の起動」

• 「デモ モードでの ASDM の使用」

• 「Web ブラウザによる ASDM の起動」

ASDM ランチャのダウンロード

ASDM ランチャは Windows 専用です。重複する認証と証明書ダイアログボックスがなくなり、起動が高速化して、入力済みの IP アドレスとユーザ名をキャッシュします。

ASDM ランチャをダウンロードするには、次の手順を実行します。

---

ステップ 1 [ASDM Welcome] 画面で、適切なボタンをクリックして ASDM ランチャのインストール ファイルをダウンロードします。

ステップ 2 asdm-launcher.exe ファイルをダブルクリックします。

---

（注） トランスペアレント ファイアウォール モードで、管理 IP アドレスを入力します。必ず https を入力してください。http ではありません。

---

ステップ 3 すべてのプロンプトで [OK] または [Yes] をクリックします。名前とパスワードのプロンプトでも同様です。名前とパスワードは空白にします。

インストーラがコンピュータにダウンロードされます。

ステップ 4 インストーラを実行して ASDM ランチャをインストールします。

---

 

Web ブラウザによる ASDM の起動

Web ブラウザから ASDM を起動するには、次の手順を実行します。

---

ステップ 1 セキュリティ アプライアンス ネットワーク上のサポートされる Web ブラウザで、次の URL を入力します。

https://interface_ip_address

 

ここで、 interface_ip_address は、適応型セキュリティ アプライアンス ネットワーク上の ASDM の IP アドレスです。

---

（注） トランスペアレント ファイアウォール モードで、管理 IP アドレスを入力します。必ず https を入力してください。http ではありません。

---

ステップ 2 すべてのブラウザのプロンプトで [OK] または [Yes] をクリックします。ユーザ名とパスワードのプロンプトでも同様です（空白のままにします）。

[Cisco ASDM 6.0(3) Welcome] ページに次のボタンが表示されます。

• Install ASDM Launcher and Run ASDM

• Run ASDM

• Run Startup Wizard

ステップ 3 [Run ASDM] をクリックします。

ステップ 4 すべてのブラウザのプロンプトで [OK] または [Yes] をクリックします。

---

 

設定の概要

適応型セキュリティ アプライアンスを設定および監視するには、次の手順を実行します。

ステップ 1 Startup Wizard の使用による初期設定を行うには、[Wizards] > [Startup Wizard] を選択します。

ステップ 2 IPSec VPN Wizard を使用して IPSec VPN 接続を設定するには、[Wizards] > [IPSec VPN Wizard] を選択して、表示される各画面で設定を行います。

ステップ 3 SSL VPN Wizard を使用して SSL VPN 接続を設定するには、[Wizards] > [SSL VPN Wizard] を選択して、表示される各画面で設定を行います。

ステップ 4 高可用性とスケーラビリティに関する設定値を設定するには、[Wizards] > [High Availability and Scalability Wizard] を選択します。詳細については、「 High Availability and Scalability Wizard を使用したフェールオーバーの設定」を参照してください。

ステップ 5 Packet Capture Wizard を使用してパケット キャプチャを設定するには、[Wizards] > [Packet Capture Wizard] を選択します。

ステップ 6 ASDM GUI で使用できるさまざまな色とスタイルを表示するには、[View] > [Office Look and Feel] を選択します。

ステップ 7 機能を設定するには、ツールバーで [Configuration] ボタンをクリックし、[Device Setup]、[Device Management]、[Firewall]、[Remote Access VPN]、[Site-to-Site VPN]、[IPS]、[Trend Micro Content Security] のいずれかのボタンをクリックして関連する設定ペインを表示します。

（注） [Configuration] 画面が空白の場合は、ツールバーで [Refresh] をクリックして、画面のコンテンツを表示します。

• [Device Setup] ペインでは次の操作を実行できます。

– [Startup Wizard] を起動してセキュリティ ポリシーを作成する。

– IP アドレス、名前、セキュリティ レベル、トランスペアレント モードのブリッジ グループなど、インターフェイスの基本パラメータを設定する。詳細については、「 インターフェイスの設定」を参照してください。

– OSPF、RIP、スタティック ルーティング、非対称ルーティングを設定する（シングル モードのみ）。詳細については、「 ダイナミック ルーティングおよびスタティック ルーティングの設定」を参照してください。

– AAA サービスを設定する。

– デジタル証明書を設定する。

– デバイス名とデバイス パスワードを設定する。

– DHCP サービスを設定する。

– DNS サービスを設定する。

• [Firewall] ペインでは、アクセス ルール、AAA ルール、フィルタ ルール、サービス ポリシー ルールなどのセキュリティ ポリシーと共に、NAT ルール、URL フィルタリング サーバ、グローバル オブジェクトを設定できます。また、次の高度な設定を行うこともできます。

– アクセス ルールでは、IP トラフィックがセキュリティ アプライアンスにアクセスできるかどうかを決定します。トランスペアレント ファイアウォール モードでは、非 IP トラフィックを許可するための EtherType アクセス リストも適用できます。

– Ethertype ルール（トランスペアレント モードのみ）では、非 IP トラフィックがセキュリティ アプライアンスにアクセスできるかどうかを決定します。

– アクセス ルールでは、HTTP など特定のタイプのトラフィックに対して、認証と許可のいずれか、または両方を行うかどうかを決定します。セキュリティ アプライアンスは、RADIUS サーバまたは TACACS+ サーバにアカウンティング情報を送信することもあります。

– 「 Filter Rules」では、特定の Web サイトまたは FTP サーバへの発信アクセスを禁止します。セキュリティ アプライアンスは、Websense Enterprise または Sentian を N2H2 で実行する別のサーバと連携して動作します。[Configuration] > [Properties] > [URL Filtering] を選択して URL フィルタリング サーバを設定してから、ルールを追加する必要があります。

– 「 サービス ポリシー ルールの設定」により、アプリケーション インスペクション、接続の制限、TCP 正規化を適用します。インスペクション エンジンは、ユーザのデータ パケット内に IP アドレッシング情報を埋め込むサービスや、ダイナミックに割り当てられるポート上でセカンダリ チャネルを開くサービスに必要です。これらのプロトコルは、適応型セキュリティ アプライアンスが詳細なパケット インスペクションを行うことを要求します。TCP 接続、UDP 接続、および初期接続を制限することもできます。接続と初期接続の数を制限することで、DoS 攻撃（サービス拒絶攻撃）から保護されます。初期接続とは、送信元と宛先の間で必要になるハンドシェイクを完了していない接続要求のことです。TCP 正規化は、正常に見えないパケットをドロップします。

– 「NAT」 は、保護されたネットワークで使用するアドレスをパブリック インターネットで使用するアドレスに変換します。この設定によって、プライベート アドレスを内部ネットワークで使用できます。プライベート アドレスは、インターネットにルーティングできません。

– 「 グローバル オブジェクトの追加」では、適用型セキュリティ アプライアンスにポリシーを組み込む際に不可欠な再利用可能コンポーネントの設定、表示、修正がすべてできます。再利用可能コンポーネントまたはオブジェクトには、次のものがあります。

ネットワーク オブジェクト/グループ

サービス グループ

クラス マップ

インスペクション マップ

正規表現

TCP マップ

グローバル プール

時間範囲

• [Remote Access VPN] ペインでは、ネットワーク クライアント アクセス、クライアントレス SSL VPN ブラウザ アクセスと高度な Web 関連の設定値、AAA 設定、証明書管理、ロードバランシングを設定できます。また、次のような高度な追加の設定を実行できます。

– VPN トンネルの IPSec 接続を設定する。

– クライアントレス SSL VPN 接続の設定。「 クライアントレス SSL VPN」によりユーザは、Web ブラウザを使用してセキュリティ アプライアンスへのセキュアなリモートアクセス VPN トンネルを確立できます。

– 「 IKE」で、クライアントが VPN トンネルから接続した後にクライアントの IP アドレスを設定する。

– 「 Load Balancing」で VPN 接続のロードバランシングを設定する。

– 「 電子メール プロキシ」で電子メール プロキシを設定する。電子メール プロキシを設定すると、リモート電子メール機能をクライアントレス SSL VPN ユーザに拡張できます。

• [Site-to-Site VPN] ペインでは、サイト間 VPN 接続、グループ ポリシー、証明書管理を設定できます。また、次のような高度な設定を実行できます。

– IKE ポリシーと IKE パラメータ（ISAKMP とも呼ばれる）。2 台のホストで IPSec セキュリティ アソシエーションの構築方法を一致させるためのネゴシエーション プロトコルを提供します。

• [Device Management] ペインでは、次のようなアクセスと管理のための設定を実行できます。

– ASDM と HTTP over SSL の管理セッション。

– FTP および TFTP クライアント。

– CLI。

– SNMP および ICMP。

– 電子メール、イベント リスト、フィルタ、レート制限、syslog サーバ、SMTP などのロギング。詳細については、 「ロギングの設定」 を参照してください。

– ユーザおよび AAA 認証。

– High Availability and Scalability Wizard およびフェールオーバー。

– 高度な設定。

（注） CSC SSM カードまたは IPS ソフトウェアがインストールされている場合、[Trend Micro Content Security] または [IPS] 機能ボタンも表示されます。

• [IPS] ペインでは、IPS センサーを設定できます。詳細については、「 IPS の設定」を参照してください。

• [Trend Micro Content Security] ペインでは、CSC SSM を設定できます（ASA 5500 シリーズ適応型セキュリティ アプライアンスで使用可能）。詳細については、「 Trend Micro Content Security の設定」を参照してください。

ステップ 8 適応型セキュリティ アプライアンスを監視するには、ツールバーの [Monitoring] ボタンをクリックし、続いて [Interfaces]、[VPN]、[Trend Micro Content Security]、[Routing]、[Properties]、[Logging] のいずれかの機能ボタンをクリックして関連する監視ペインを表示します。

• [Interfaces] ペインでは、ARP テーブル、DHCP サービス、ダイナミック アクセス リスト、PPPoE クライアント、接続ステータス、およびインターフェイスの統計情報を監視できます。詳細については、「 インターフェイスのモニタリング」を参照してください。

• [VPN] ペインでは、VPN 接続を監視できます。詳細については、 「VPN のモニタリング」 を参照してください。

• [Routing] ペインでは、ルート、OSPF LSA、および OSPF ネイバーを監視できます。詳細については、「 ルーティングのモニタリング」を参照してください。

• [Properties] ペインでは、管理セッション、AAA サーバ、フェールオーバー、CRL、DNS キャッシュ、システムの統計情報を監視できます。詳細については、「 プロパティのモニタリング」を参照してください。

• [Logging] ペインでは、システム ログ メッセージ、Real-Time Log Viewer、およびログ バッファを監視できます。詳細については、「 ロギングのモニタリング」を参照してください。

• [Trend Micro Content Security] ペインでは、CSC SSM 接続を監視できます。詳細については、 「Trend Micro Content Security のモニタリング」 を参照してください。