Cisco ASA 5500 シリーズ/Cisco PIX 500 シリーズ Cisco セキュリティ アプライアンス コマンド リファレンス Software Version 7.2(2)

 

シンタックスの説明

 

デフォルト

デフォルト値は設定されていません。

 

コマンド履歴

例

次の例では、トラストポイント central の暗号 CA トラストポイント コンフィギュレーション モードに入り、トラストポイント central の登録要求に電子メールアドレスの jjh@nhf.net を含めます。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

特権レベル 15 を入力します。ただし、コマンドの認可を使用している場合は、デフォルトのレベルはユーザ名に設定されたレベルによって異なります。

 

コマンド履歴

 

使用上のガイドライン

デフォルトのイネーブル パスワードはブランクです。パスワードを設定するには、 enable password コマンドを参照してください。

デフォルトである 15 以外の特権レベルを使用するには、ローカル コマンド認可を設定し（ aaa authorization command コマンドを参照。 LOCAL キーワードを指定する）、 privilege コマンドを使用して、コマンドを別の特権レベルに設定します。ローカル コマンド認可を設定しない場合は、イネーブル レベルが無視され、設定したレベルにかかわらずレベル 15 にアクセスできます。現在の特権レベルを表示するには、 show curpriv コマンドを使用します。

レベル 2 以上は特権 EXEC モードに入ります。レベル 0 およびレベル 1 は、ユーザ EXEC モードに入ります。

disable コマンドを入力して、特権 EXEC モードを終了します。

例

次の例では、特権 EXEC モードに入ります。

次の例では、レベル 10 の特権 EXEC モードに入ります。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次の例では、RADIUS アカウンティングにより GPRS をイネーブルにする方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトのパスワードはブランクです。デフォルトのレベルは 15 です。

 

コマンド履歴

 

使用上のガイドライン

イネーブル レベル 15（デフォルトのレベル）のデフォルトのパスワードは、ブランクです。パスワードをブランクにリセットする場合は、 password にテキストを入力しないでください。

マルチ コンテキスト モードでは、各コンテキストだけでなく、システム コンフィギュレーションにもイネーブル パスワードを作成できます。

デフォルトである 15 以外の特権レベルを使用するには、ローカル コマンド認可を設定し（ aaa authorization command コマンドを参照。 LOCAL キーワードを指定する）、 privilege コマンドを使用して、コマンドを別の特権レベルに設定します。ローカル コマンド認可を設定しない場合は、イネーブル レベルが無視され、設定したレベルにかかわらずレベル 15 にアクセスできます。現在の特権レベルを表示するには、 show curpriv コマンドを使用します。

レベル 2 以上は特権 EXEC モードに入ります。レベル 0 およびレベル 1 は、ユーザ EXEC モードに入ります。

例

次の例では、イネーブル パスワードを Pa$$w0rd に設定します。

次の例では、レベル 10 のイネーブル パスワードを Pa$$w0rd10 に設定します。

次の例では、イネーブル パスワードを別のセキュリティ アプライアンスからコピーした暗号化されたパスワードに設定します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの ISAKMP ポリシー暗号化は 3des です。

 

コマンド履歴

例

次の例は、グローバル コンフィギュレーション モードで、 encryption コマンドを使用する方法を示しています。この例では、優先順位番号 25 の IKE ポリシーに 128 ビット キーの AES 暗号化アルゴリズムを使用するように設定します。

次の例では、グローバル コンフィギュレーション モードで、優先順位番号 40 の IKE ポリシーに 3DES アルゴリズムを使用するように設定します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次の例では、H.323 検査ポリシー マップでエンドポイントを HSI グループに追加する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次の例では、DCERPC ポリシー マップにエンドポイント マッパーを設定する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルト設定は実行（オン）です。

 

コマンド履歴

例

次の例では、ca-crl コンフィギュレーション モードに入り、CRL の NextUpdate フィールドをトラストポイント central に対して期限切れにしないことを要求します

 

関連コマンド

 

シンタックスの説明

 

デフォルト

number のデフォルト設定は、0（無制限）です。

 

コマンド履歴

 

使用上のガイドライン

このコマンドはオプションであり、自動登録を設定している場合のみ適用されます。

例

次の例では、トラストポイント central の暗号 CA トラストポイント コンフィギュレーション モードに入り、トラストポイント central 内で登録のリトライ回数を 20 リトライに設定します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルト設定は 1 分です。

 

コマンド履歴

 

使用上のガイドライン

このコマンドはオプションであり、自動登録を設定している場合のみ適用されます。

例

次の例では、トラストポイント central の暗号 CA トラストポイント コンフィギュレーション モードに入り、トラストポイント central 内で登録のリトライ期間を 10 分に設定します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルト設定はオフです。

 

コマンド履歴

例

次の例では、トラストポイント central の暗号 CA トラストポイント コンフィギュレーション モードに入り、トラストポイント central の CA 登録のカット アンド ペースト方式を指定します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルト設定はオフです。

 

コマンド履歴

例

次の例では、トラストポイント central の暗号 CA トラストポイント コンフィギュレーション モードに入り、トラストポイント central の SCEP 登録を URL https://enrollsite で指定します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

クライアントレス認証はデフォルトでイネーブルになります。

 

コマンド履歴

 

使用上のガイドライン

このコマンドは EAPoUDP 要求に応答しないホストにのみ適用されます。このコマンドが有効になるのは、次の条件をすべて満たしている場合だけです。

• クライアントレス認証をサポートするために、ネットワーク上にアクセス コントロール サーバが設定されている。

• セキュリティ アプライアンス上にネットワーク アドミッション コントロールが設定されている。

例

次の例はクライアントレス認証をイネーブルにします。

次の例はクライアントレス認証をディセーブルにします。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

ユーザ名およびパスワード アトリビュートのデフォルト値は clientless です。

 

コマンド履歴

 

使用上のガイドライン

このコマンドが有効になるのは、次の条件をすべて満たしている場合のみです。

• クライアントレス認証をサポートするために、ネットワーク上にアクセス コントロール サーバが設定されている。

• セキュリティ アプライアンス上でクライアントレス認証がイネーブルになっている。

• セキュリティ アプライアンス上にネットワーク アドミッション コントロールが設定されている。

例

次の例はクライアントレス認証のユーザ名を sherlock に変更します。

次の例はクライアントレス認証のユーザ名をデフォルト値である clientless に変更します。

次の例はクライアントレス認証のパスワードを secret に変更します。

次の例はクライアントレス認証のパスワードをデフォルト値である clientless に変更します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

リモート ピアのポスチャが変更されたり、割り当てられたアクセス ポリシー（ダウンロードされた ACL）が変更された場合に、セッションに割り当てられたリソースを消去するには、このコマンドを使用します。このコマンドを入力すると、EAPoUDP アソシエーションとポスチャ確認に使用するアクセス ポリシー（ダウンロードされた ACL）が消去されます。NAC デフォルト ACL は再確認時には有効です。そのためセッションを初期化すると、ユーザのトラフィックが妨げられる可能性があります。このコマンドは、ポスチャ確認から免除されているピアには作用しません。

例

次の例では、すべての NAC セッションを初期化します。

次の例では、tg1 というトンネル グループに割り当てられたすべての NAC セッションを初期化します。

次の例では、IP アドレス 209.165.200.225 が設定されているエンドポイントの NAC セッションを初期化します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルト値は 3 です。

 

コマンド履歴

 

使用上のガイドライン

このコマンドが有効になるのは、次の条件をすべて満たしている場合のみです。

• クライアントレス認証をサポートするために、ネットワーク上にアクセス コントロール サーバが設定されている。

• セキュリティ アプライアンス上でクライアントレス認証がイネーブルになっている。

• セキュリティ アプライアンス上にネットワーク アドミッション コントロールが設定されている。

例

次の例では、EAP over UDP 再送信の回数を 1 回に制限します。

次の例では、EAP over UDP 再送信の回数をデフォルト値の 3 回に変更します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルト値は 21862 です。

 

コマンド履歴

例

次の例では、EAP over UDP 通信用ポート番号を 62445 に変更します。

次の例では、EAP over UDP 通信用ポート番号をデフォルト値に変更します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

ピアのポスチャまたは割り当てられたアクセス ポリシー（ダウンロードされた ACL）が変更された場合、このコマンドを使用します。このコマンドは新しい、無条件のポスチャ確認を開始します。コマンドを入力する前に有効であったポスチャ確認と割り当てられたアクセス ポリシーは、新しいポスチャ確認が成功するか失敗するまで有効のままです。このコマンドは、ポスチャ確認から免除されているピアには作用しません。

例

次の例では、すべての NAC セッションを再確認します。

次の例では、tg-1 というトンネル グループに割り当てられたすべての NAC セッションを再確認します。

次の例では、IP アドレス 209.165.200.225 が設定されているエンドポイントの NAC セッションを再確認します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

hold-period アトリビュートのデフォルト値は 180 です。

retransmit アトリビュートのデフォルト値は 3 です。

 

コマンド履歴

例

次の例では、新しい EAP over UDP アソシエーションを開始するまでの待機時間を 120 秒に変更します。

次の例では、新しい EAP over UDP アソシエーションを開始するまでの待機時間をデフォルト値に変更します。

次の例では、再送待機時間を 6 秒に変更します。

次の例では、再送待機時間をデフォルト値に変更します。

 

関連コマンド

 

シンタックスの説明

disk0 :	（オプション）内蔵フラッシュ メモリを指定し、続けてコロン（:）を入力します。
disk1:	（オプション）外部のコンパクト フラッシュ メモリ カードを指定し、続けてコロン（:）を入力します。
flash:	（オプション）内蔵フラッシュ メモリを指定し、続けてコロン（:）を入力します。 注意 フラッシュ メモリを消去すると、フラッシュ メモリに保存されているライセンス情報も削除されます。フラッシュ メモリを消去する前に、ライセンス情報を保存してください。 ASA 5500 シリーズでは、 flash キーワードは disk0 のエイリアスです。

 

デフォルト

このコマンドにデフォルト設定はありません。

 

コマンド履歴

 

使用上のガイドライン

erase コマンドは、OxFF パターンを使用してフラッシュ メモリ上のすべてのデータを消去し、空のファイル システム割り当てテーブルをデバイスに書き直します。

すべての可視ファイル（非表示のシステム ファイルを除く）を削除するには、 erase コマンドではなく、 delete /recursive コマンドを使用します。

（注） Cisco PIX セキュリティ アプライアンスでは、erase コマンドと format コマンドは同じ処理を実行します。ユーザ データを 0xFF パターンを使用して破棄します。

（注） Cisco ASA 5500 シリーズのセキュリティ アプライアンスでは、erase コマンドを実行すると、ディスク上のすべてのユーザ データが 0xFF パターンを使用して破棄されます。一方、format コマンドはファイル システムの制御構造をリセットするだけです。生ディスク読み取りツールを使用すると、この情報はまだ参照できる可能性があります。

例

次の例では、ファイル システムを消去して再フォーマットします。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

このコマンドは、デフォルトではディセーブルになっています。

 

コマンド履歴

例

次の例では、UDP 500 トラフィックを許可する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトは次のとおりです。

• dport ：0（ワイルドカード）

• sport ：0（ワイルドカード）

 

コマンド履歴

 

使用上のガイドライン

established コマンドは、発信接続に対するリターン アクセスがセキュリティ アプライアンスを通るのを許可します。このコマンドは、ネットワークからの発信で、セキュリティ アプライアンスによって保護されている元の接続、および外部ホスト上の同じ 2 つのデバイス間の着信であるリターン接続を扱います。established コマンドを使用すると、接続のルックアップに使用する宛先ポートを指定できます。この追加によって、コマンドをさらに制御できるようになり、宛先ポートは既知であるが、送信元ポートは未知のプロトコルをサポートできます。permitto キーワードと permitfrom キーワードは、リターン着信接続を定義します。

次の例は、established コマンドを正しく使用しなかった場合に発生する可能性のあるセキュリティ違反を示しています。

この例は、内部システムがポート 4000 上の外部ホストに TCP 接続を作成した場合、外部ホストは、任意のプロトコルを使用して任意のポート上に戻れることを示しています。

使用するポートをプロトコルが指定しない場合、送信元ポートおよび宛先ポートを 0 に指定できます。必要な場合に限り、ワイルドカード ポート（0）を使用します。

（注） established コマンドが正しく動作するには、クライアントが permitto キーワードで指定したポート上でリッスンしている必要があります。

established コマンドは、nat 0 コマンド（global コマンドがない）を付けて使用できます。

（注） established コマンドを、PAT と共に使用することはできません。

セキュリティ アプライアンスは、 established コマンドと連携して XDMCP をサポートしています。

XDMCP は、デフォルトでオンになっていますが、established コマンドを次のように入力するまでセッションは確立されません。

established コマンドを入力すると、内部の XDMCP（UNIX または ReflectionX）搭載ホストが、外部の XDMCP 搭載 XWindows サーバにアクセスできます。UDP/177 ベースの XDMCP が TCP ベースの XWindows セッションをネゴシエートし、それに続く TCP リターン接続が許可されます。リターン トラフィックの送信元ポートが不明であるため、 sport フィールドは 0（ワイルドカード）と指定する必要があります。 dport は、6000 + n である必要があります。ここで、 n は、ローカル ディスプレイ番号です。UNIX コマンドを使用して、この値を変更します。

established コマンドが必要な理由は、多くの TCP 接続が生成され（ユーザとの対話に基づき）、これらの接続に使用される送信元ポートが不明であるためです。宛先ポートだけがスタティックです。セキュリティ アプライアンスは、XDMCP フィックスアップを透過的に行います。設定は不要ですが、TCP セッションに対応するには established コマンドの入力が必要です。

例

次の例では、2 つのホスト間の、プロトコル A を使用した SRC ポート B からポート C を宛先とする接続を示しています。セキュリティ アプライアンスを通過するリターン接続でプロトコル D（プロトコル A はプロトコル D と異なる可能性がある）を許可するには、送信元ポートはポート F に対応し、宛先ポートはポート E に対応している必要があります。

この例は、内部ホストから外部ホストに対し、TCP 送信元ポート 6060 と任意の宛先ポートを使用して接続を開始する方法を示しています。セキュリティ アプライアンスは、このホスト間に TCP 宛先ポート 6061 と TCP 送信元ポート 6059 を経由するリターン トラフィックを許可します。

この例は、内部ホストから外部ホストに対し、UPD 宛先ポート 6060 と任意の送信元ポートを使用して接続を開始する方法を示しています。セキュリティ アプライアンスは、このホスト間に TCP 宛先ポート 6061 と TCP 送信元ポート 1024-65535 を経由するリターン トラフィックを許可します。

次の例は、ローカル ホスト 10.1.1.1 が外部のホスト 209.165.201.1 に対してポート 9999 上で TCP 接続を開始する方法を示しています。この例では、外部ホスト 209.165.201.1 のポート 4242 からのパケットがローカル ホスト 10.1.1.1 のポート 5454 に戻ることが許可されます。

次の例は、外部ホスト 209.165.201.1 の任意のポートからローカル ホスト 10.1.1.1 のポート 5454 に戻るパケットを許可する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトでは、パケットはドロップされます。

 

コマンド履歴

 

使用上のガイドライン

tcp-map コマンドをモジュラ ポリシー フレームワーク インフラストラクチャと共に使用します。トラフィックのクラスを class-map コマンドを使用して定義し、TCP 検査を tcp-map コマンドを使用してカスタマイズします。その新しい TCP マップを policy-map コマンドを使用して適用します。TCP 検査を service-policy コマンドを使用して有効にします。

tcp-map コマンドを使用して、tcp マップ コンフィギュレーション モードに入ります。スリーウェイ ハンドシェイクの間にピアによって設定された TCP の最大セグメント サイズを超えるデータ長の TCP パケットをドロップするには、tcp マップ コンフィギュレーション モードの exceed-mss コマンドを使用します。

例

次の例では、ポート 21 で MSS を超過するパケットを送信するフローを許可します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

キー シーケンス Ctrl+Z を使用しても、グローバル コンフィギュレーション（およびそれより上位の）モードを終了できます。このキー シーケンスは、特権 EXEC モードおよびユーザ EXEC モードでは機能しません。

特権 EXEC モードまたはユーザ EXEC モードで exit コマンドを入力すると、セキュリティ アプライアンスからログアウトします。特権 EXEC モードからユーザ EXEC モードに戻るには、 disable コマンドを使用します。

例

次の例は、 exit コマンドを使用して、グローバル コンフィギュレーション モードを終了してセッションからログアウトする方法を示しています。

次の例は、 exit コマンドを使用してグローバル コンフィギュレーション モードを終了する方法と、 disable コマンドを使用して特権 EXEC モードを終了する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

1 分。

 

コマンド履歴

 

使用上のガイドライン

有効期限は、セキュリティ アプライアンスがオブジェクトを再確認せずにキャッシュする場合に必要な時間を分単位で表したものです。再確認は、コンテンツを再び確認することによって行われます。

例

次の例では、有効期限を 13 分に設定する方法を示します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

フェールオーバーはディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

フェールオーバーをディセーブルにするには、このコマンドの no 形式を使用します。

ASA 5505 デバイスではステートレス フェールオーバーのみ許可されます。さらに、Easy VPN ハードウェア クライアントとして機能していない場合に限ります。

例

次の例では、フェールオーバーをディセーブルにします。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

failover active コマンドを使用して、スタンバイ装置からフェールオーバー スイッチを起動します。または、アクティブ装置から no failover active コマンドを使用して、フェールオーバー スイッチを起動します。この機能を使用して、障害が発生した装置をサービスに戻し、メンテナンスのため、アクティブ装置を強制的にオフラインにします。ステートフル フェールオーバーを使用していない場合、すべてのアクティブな接続はドロップされます。フェールオーバーが発生した後、クライアントはそれらの接続を再度確立する必要があります。

フェールオーバー グループの切り替えは、Active/Active フェールオーバーでのみ利用可能です。フェールオーバー グループを指定せずに Active/Active フェールオーバー装置に failover active コマンドを入力した場合、装置上のすべてのグループがアクティブになります。

例

次の例では、スタンバイ グループ 1 をアクティブにしています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

最大 2 つのフェールオーバー グループを定義できます。 failover group コマンドは、マルチ コンテキスト モード用に設定されたデバイスのシステム コンテキストにだけ追加できます。フェールオーバー グループの作成と登録は、フェールオーバーがディセーブルにされている場合のみ可能です。

このコマンドを入力すると、フェールオーバー グループ コマンド モードに入ります。 primary 、 secondary 、 preempt 、 replication http 、 interface-policy 、 mac address 、および polltime interface コマンドは、フェールオーバー グループ コンフィギュレーション モードで使用できます。グローバル コンフィギュレーション モードに戻るには、 exit コマンドを使用します。

（注） failover polltime interface、failover interface-policy、failover replication http、および failover mac address コマンドは、Active/Active フェールオーバー コンフィギュレーションに影響を与えません。それらのコマンドは、フェールオーバー コンフィギュレーション モードの polltime interface、interface-policy、replication http、および mac address コマンドによって上書きされます。

フェールオーバー グループを削除するときは、フェールオーバー グループ 1 を最後に削除する必要があります。フェールオーバー グループ 1 には、常に管理コンテキストが含まれています。フェールオーバー グループに割り当てられていないコンテキストは、デフォルトによりフェールオーバー グループ 1 に割り当てられます。コンテキストが明示的に割り当てられているフェールオーバー グループは削除できません。

（注） 同じネットワーク上に Active/Active フェールオーバー ペアが複数ある場合は、あるペアのインターフェイスに割り当てられているものと同じデフォルト仮想 MAC アドレスが、他のペアのインターフェイスに割り当てられることがあります。これは、デフォルト仮想 MAC アドレスの決定方法に基づいた動作です。ネットワーク上の MAC アドレスを重複させないためには、mac address コマンドを使用して、各物理インターフェイスに必ずアクティブとスタンバイの仮想 MAC アドレスを割り当てるようにしてください。

例

次の例（抜粋）は、2 つのフェールオーバー グループに対して適用可能なコンフィギュレーションを示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

フェールオーバーおよびステートフル フェールオーバー インターフェイスは、レイヤ 3 の機能です。そのことは、セキュリティ アプライアンスが透過的なファイアウォール モードで動作していても、インターフェイスがシステムにグローバルであっても変わりません。

マルチ コンテキスト モードでは、システム コンテキストでフェールオーバーを設定します（ monitor-interface コマンドを除く）。

このコマンドは、セキュリティ アプライアンスを LAN フェールオーバー用にブートストラップするときにコンフィギュレーションに含める必要があります。

例

次の例は、フェールオーバー インターフェイスに対して IP アドレスとマスクを指定する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトは次のとおりです。

• num は 1 です。

• 物理インターフェイスのモニタリングは、デフォルトでイネーブルになっています。論理インターフェイスのモニタリングは、デフォルトではディセーブルです。

 

コマンド履歴

 

使用上のガイドライン

num 引数とオプションの % キーワードの間にスペースを含めないでください。

障害が発生したインターフェイスの数が設定済みポリシーの基準を満たした場合、他のセキュリティ アプライアンスが正常に機能しているときは、セキュリティ アプライアンスは自身を障害としてマークし、場合によってはフェールオーバーが発生します（アクティブなセキュリティ アプライアンスに障害が発生した場合）。ポリシーでカウントされるのは、 monitor-interface コマンドで監視対象として指定したインターフェイスのみです。

（注） このコマンドが適用されるのは、Active/Standby フェールオーバーのみです。Active/Active フェールオーバーでは、フェールオーバー グループ コンフィギュレーション モードの interface-policy コマンドを使用して、各フェールオーバー グループのインターフェイス ポリシーを設定します。

例

次の例では、フェールオーバー ポリシーを指定する 2 つの方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

装置間のフェールオーバー通信を暗号化して認証するには、共有秘密または 16 進キーを使用して両方の装置を設定する必要があります。フェールオーバー キーを指定しない場合、フェールオーバー通信はクリアで送信されます。

（注） PIX セキュリティ アプライアンス プラットフォームでは、装置を接続するために専用のシリアル フェールオーバー ケーブルを使用している場合、フェールオーバー キーが設定されていても、このフェールオーバー リンク経由の通信は暗号化されません。フェールオーバー キーは LAN ベースのフェールオーバー通信だけを暗号化します。

例

次の例は、フェールオーバー ペアの装置間のフェールオーバー通信を保護するために共有秘密を指定する方法を示しています。

次の例は、フェールオーバー ペアの装置間のフェールオーバー通信を保護するために 16 進キーを指定する方法を示しています。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

イネーブルになっていません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドの no 形式を使用して LAN ベースのフェールオーバーをディセーブルにした場合、フェールオーバー ケーブルがインストールされている場合はケーブル ベースのフェールオーバーが使用されます。このコマンドは、PIX セキュリティ アプライアンスでのみ使用できます。

例

次の例では、LAN ベースのフェールオーバーをイネーブルにします。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

設定されていません。

 

コマンド履歴

 

使用上のガイドライン

LAN フェールオーバーでは、フェールオーバー トラフィックを送信するための専用のインターフェイスが必要です。ただし、ステートフル フェールオーバー リンクに対しては、LAN フェールオーバー インターフェイスを使用することもできます。

（注） LAN フェールオーバーとステートフル フェールオーバーの両方に対して同じインターフェイスを使用する場合、インターフェイスには LAN ベースのフェールオーバーとステートフル フェールオーバーの両方のトラフィックを処理するための十分な容量が必要です。

デバイス上の使用されていない任意のイーサネット インターフェイスを、フェールオーバー インターフェイスとして使用できます。現在名前で設定されているインターフェイスは指定できません。フェールオーバー インターフェイスは、通常のネットワーク インターフェイスとしては設定されません。フェールオーバー通信専用です。このインターフェイスは、フェールオーバー リンクのために（およびオプションで状態リンクのために）だけ使用する必要があります。LAN ベースのフェールオーバー リンクは、リンクにホストまたはルータのない専用スイッチを使用するか、装置を直接リンクするためのクロスオーバー イーサネット ケーブルを使用して接続できます。

（注） VLAN を使用する場合は、フェールオーバー リンクのための専用 VLAN を使用します。フェールオーバー リンク VLAN を他の VLAN と共有すると、断続的なトラフィック障害や PING および ARP 障害が発生する場合があります。スイッチを使用してフェールオーバー リンクに接続する場合、スイッチ上の専用インターフェイスと、セキュリティ アプライアンス上の専用インターフェイスをフェールオーバー リンク用に使用してください。通常のネットワーク トラフィックを伝送するサブインターフェイスを持つインターフェイスを共有しないでください。

マルチ コンテキスト モードを実行しているシステム上では、フェールオーバー リンクはシステム コンテキスト内にあります。このインターフェイスと状態リンク（使用されている場合）が、システム コンテキスト内にある設定可能な唯一のインターフェイスです。他のインターフェイスは、すべてセキュリティ コンテキストに割り当てられ、セキュリティ コンテキスト内から設定されます。

（注） フェールオーバー リンクの IP アドレスおよび MAC アドレスは、フェールオーバー時に変更されません。

このコマンドの no 形式では、フェールオーバー インターフェイスの IP アドレス設定も消去されます。

このコマンドは、セキュリティ アプライアンスを LAN フェールオーバー用にブートストラップするときにコンフィギュレーションに含める必要があります。

例

次の例では、PIX 500 シリーズセキュリティ アプライアンス上にフェールオーバー LAN インターフェイスを設定します。

次の例では、ASA 5500 シリーズ適応型セキュリティ アプライアンス（ASA 5505 適応型セキュリティ アプライアンスを除く）上にサブインターフェイスを使用してフェールオーバー LAN インターフェイスを設定します。

次の例では、ASA 5505 適応型セキュリティ アプライアンス上にフェールオーバー LAN インターフェイスを設定します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

セカンダリです。

 

コマンド履歴

 

使用上のガイドライン

Active/Standby フェールオーバーの場合、フェールオーバー装置のプライマリ宛先およびセカンダリ宛先は、ブート時にどちらの装置がアクティブになるかを指定します。次の状態が発生すると、プライマリ装置がブート時にアクティブ装置になります。

• プライマリ装置およびセカンダリ装置の両方が、最初のフェールオーバー ポーリング チェック内にブート シーケンスを完了した。

• プライマリ装置がセカンダリ装置の前にブートした。

プライマリ装置がブートするときにセカンダリ装置がすでにアクティブであった場合、プライマリ装置はアクティブではなくスタンバイ装置になります。この場合、強制的にプライマリ装置をアクティブ ステータスに戻すために、 no failover active コマンドをセカンダリ（アクティブ）装置に発行する必要があります。

Active/Active フェールオーバーに対して、各フェールオーバー グループにはプライマリ装置またはセカンダリ装置のプリファレンスが割り当てられます。このプリファレンスは、両方の装置が同時に起動する場合（フェールオーバー ポーリング期間内で）、フェールオーバー グループのコンテキストのフェールオーバー ペアのどの装置をアクティブにするかを決定します。

このコマンドは、セキュリティ アプライアンスを LAN フェールオーバー用にブートストラップするときにコンフィギュレーションに含める必要があります。

例

次の例では、LAN ベースのフェールオーバーでセキュリティ アプライアンスをプライマリ装置として設定します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドはステートフル フェールオーバーをサポートしない ASA 5505 シリーズ適応型セキュリティ アプライアンスでは利用できません。

物理インターフェイスまたは論理インターフェイスの引数は、フェールオーバー通信または標準ファイアウォール インターフェイスを共有していない場合に必要です。

failover link コマンドは、ステートフル フェールオーバーをイネーブルにします。ステートフル フェールオーバーをディセーブルにするには、no failover link コマンドを入力します。専用のステートフル フェールオーバー インターフェイスを使用している場合、 no failover link コマンドを実行すると、ステートフル フェールオーバー インターフェイスの IP アドレス設定も消去されます。

ステートフル フェールオーバーを使用するには、すべての状態情報を渡すようにステートフル フェールオーバー リンクを設定する必要があります。ステートフル フェールオーバー リンクの設定には、次の 3 つのオプションがあります。

• ステートフル フェールオーバー リンク専用のイーサネット インターフェイスを使用できます。

• LAN ベースのフェールオーバーを使用している場合、フェールオーバー リンクを共有できます。

• 内部インターフェイスなどの通常のデータ インターフェイスを共有できます。ただし、このオプションは推奨されていません。

ステートフル フェールオーバー リンク専用のイーサネット インターフェイスを使用している場合、スイッチまたは装置を直接接続するクロスケーブルを使用できます。スイッチを使用する場合、このリンク上に他のホストまたはルータは設定できません。

（注） セキュリティ アプライアンスに直接接続するシスコ スイッチ ポート上で PortFast オプションをイネーブルにします。

フェールオーバー リンクをステートフル フェールオーバー リンクとして使用している場合、利用可能な最速のイーサネット インターフェイスを使用する必要があります。インターフェイス上でパフォーマンスの低下が見られる場合は、別のインターフェイスをステートフル フェールオーバー インターフェイス専用にすることを検討してください。

ステートフル フェールオーバー リンクとしてデータ インターフェイスを使用する場合は、そのインターフェイスをステートフル フェールオーバー リンクとして指定しようとすると次の警告が表示されます。

データ インターフェイスをステートフル フェールオーバー インターフェイスと共有すると、リプレイ アタックを受けやすくなります。さらに、大容量のステートフル フェールオーバー トラフィックがインターフェイスに送信される可能性があり、そのネットワーク セグメントでパフォーマンスが低下する恐れがあります。

（注） ステートフル フェールオーバー インターフェイスとしてデータ インターフェイスを使用することは、シングル コンテキスのルーテッド モードのみでサポートされています。

マルチ コンテキスト モードでは、ステートフル フェールオーバー リンクはシステム コンテキスト内にあります。このインターフェイスとフェールオーバー インターフェイスが、システム コンテキスト内にある唯一のインターフェイスです。他のインターフェイスは、すべてセキュリティ コンテキストに割り当てられ、セキュリティ コンテキスト内から設定されます。

マルチ コンテキスト モードでは、ステートフル フェールオーバー インターフェイスはシステム コンテキスト内にあります。このインターフェイスとフェールオーバー インターフェイスが、システム コンテキスト内にある唯一のインターフェイスです。他のインターフェイスは、すべてセキュリティ コンテキストに割り当てられ、セキュリティ コンテキスト内から設定されます。

（注） ステートフル フェールオーバー リンクが通常のデータ インターフェイスで設定されている場合を除き、ステートフル フェールオーバー リンクの IP アドレスおよび MAC アドレスは、フェールオーバーで変更されません。

例

次の例は、ステートフル フェールオーバー インターフェイスとして専用インターフェイスを指定する方法を示しています。次の例のインターフェイスには、既存のコンフィギュレーションはありません。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

設定されていません。