Cisco ASA 5500 シリーズ/Cisco PIX 500 シリーズ Cisco セキュリティ アプライアンス コマンド リファレンス Software Version 7.2(2)

 

シンタックスの説明

 

デフォルト

デフォルトは次のとおりです。

• アクティブ装置のデフォルト MAC アドレス：00a0.c9 physical_port_number . failover_group_id 01

• スタンバイ装置のデフォルト MAC アドレス：00a0.c9 physical_port_number . failover_group_id 02

 

コマンド履歴

 

使用上のガイドライン

フェールオーバー グループに仮想 MAC アドレスが定義されていない場合、デフォルト値が使用されます。

同じネットワーク上に Active/Active フェールオーバー ペアが複数ある場合は、あるペアのインターフェイスに割り当てられているものと同じデフォルト仮想 MAC アドレスが、他のペアのインターフェイスに割り当てられることがあります。これは、デフォルト仮想 MAC アドレスの決定方法に基づいた動作です。ネットワーク上の MAC アドレスを重複させないためには、各物理インターフェイスに必ずアクティブとスタンバイの仮想 MAC アドレスを割り当てるようにしてください。

例

次の例（抜粋）は、フェールオーバー グループに対して適用可能なコンフィギュレーションを示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの MAC アドレスは、物理インターフェイスのバーンドイン MAC アドレスです。サブインターフェイスは、物理インターフェイスの MAC アドレスを継承します。物理インターフェイスの MAC アドレスを設定するコマンドもある（シングル モードのこのコマンドを含む）ので、継承されるアドレスはそのコンフィギュレーションによって決定されます。

 

コマンド履歴

 

使用上のガイドライン

マルチ コンテキスト モードで、コンテキスト間のインターフェイスを共有する場合、一意の MAC アドレスを各コンテキストのインターフェイスに割り当てることができます。この機能により、セキュリティ アプライアンスではパケットを適切なコンテキストに分類しやすくなります。一意の MAC アドレスなしに共有インターフェイスを使用することは可能ですが、いくつかの制限があります。詳細については、『 Cisco Security Appliance Command Line Configuration Guide 』を参照してください。

このコマンドを使用して各 MAC アドレスを手作業で割り当てるか、 mac-address auto コンドを使用してコンテキストの共有インターフェイスの MAC アドレスを自動的に生成することができます。MAC アドレスを自動的に生成する場合、 mac-address コマンドを使用して生成されたアドレスを上書きします。

シングル コンテキスト モードの場合、またはマルチ コンテキスト モードで共有されないインターフェイスの場合、一意の MAC アドレスをサブインターフェイスに割り当てることもできます。たとえば、サービス プロバイダーは MAC アドレスに基づいてアクセスを制御する場合もあります。

MAC アドレスは、他のコマンドや方法を使用して設定することもできます。MAC アドレスの設定方法には、次のような優先順位があります。

1. インターフェイス コンフィギュレーション モードの mac-address コマンド。

このコマンドは、物理インターフェイスおよびサブインターフェイスに対して作用します。マルチ コンテキスト モードの場合は、各コンテキスト内で MAC アドレスを設定します。この機能を利用すると、同じインターフェイスに対して、複数のコンテキストでそれぞれ別の MAC アドレスを設定できます。

2. グローバル コンフィギュレーション モードの failover mac address コマンド（Active/Standby フェールオーバーの場合）。

このコマンドは物理インターフェイスに適用されます。サブインターフェイスは、 mac-address コマンドまたは mac-address auto コマンドを使用して個別に設定しない限り、物理インターフェイスの MAC アドレスを継承します。

3. フェールオーバー グループ コンフィギュレーション モードの mac address コマンド（Active/Active フェールオーバーの場合）。

このコマンドは物理インターフェイスに適用されます。サブインターフェイスは、 mac-address コマンドまたは mac-address auto コマンドを使用して個別に設定しない限り、物理インターフェイスの MAC アドレスを継承します。

4. グローバル コンフィギュレーション モードの mac-address auto コマンド（マルチ コンテキスト モードのみ）。

このコマンドは、コンテキスト内の共有インターフェイスに適用されます。

5. Active/Active フェールオーバーにおける、物理インターフェイスのアクティブ MAC アドレスとスタンバイ MAC アドレスの自動生成。

この方法は物理インターフェイスに適用されます。サブインターフェイスは、 mac-address コマンドまたは mac-address auto コマンドを使用して個別に設定しない限り、物理インターフェイスの MAC アドレスを継承します。

6. バーンドイン MAC アドレス。この方法は物理インターフェイスに適用されます。

サブインターフェイスは、 mac-address コマンドまたは mac-address auto コマンドを使用して個別に設定しない限り、物理インターフェイスの MAC アドレスを継承します。

例

次の例では、GigabitEthernet 0/1.1 の MAC アドレスを設定します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

自動生成はデフォルトではディセーブルです。

 

コマンド履歴

 

使用上のガイドライン

コンテキストでインターフェイスを共有するには、一意の MAC アドレスを各コンテキストのインターフェイスに割り当てることをお勧めします。MAC アドレスを使用してコンテキスト内のパケットを分類します。インターフェイスを共有する場合に、各コンテキストのインターフェイス用の MAC アドレスがないときには、宛先 IP アドレスを使用してパケットを分類します。宛先アドレスは、コンテキスト NAT コンフィギュレーションと照合されます。MAC アドレス方式と比較すると、この方式にはいくつかの制限があります。パケットの分類については、『 Cisco Security Appliance Command Line Configuration Guide 』を参照してください。

デフォルトでは、物理インターフェイスはバーンドイン MAC アドレスを使用し、物理インターフェイスのサブインターフェイスはすべて同一のバーンドイン MAC アドレスを使用します。

フェールオーバーで使用する場合、セキュリティ アプライアンスは各インターフェイスに対してアクティブとスタンバイの両方の MAC アドレスを生成します。アクティブ装置がフェールオーバーし、スタンバイ装置がアクティブになる場合、この新たにアクティブになった装置はアクティブな MAC アドレスの使用を開始してネットワーク障害を最小限にします。 mac-address auto コマンドは共有インターフェイスのみを設定するため、 mac-address コマンドまたは failover mac address コマンドを使用して、Active/Standby コンフィギュレーションで非共有インターフェイスに仮想 MAC アドレスを依然として設定する必要があります（Active/Active フェールオーバーは仮想 MAC アドレスを物理インターフェイスに自動的に割り当てます）。

インターフェイスをコンテキストに割り当てると、新しい MAC アドレスがただちに生成されます。コンテキスト インターフェイスを生成した後にこのコマンドをイネーブルにした場合、このコマンドを入力するとただちに MAC アドレスがすべてのインターフェイスに生成されます。 no mac-address auto コマンドを使用すると、各インターフェイスの MAC アドレスはデフォルトの MAC アドレスに戻ります。たとえば、GigabitEthernet 0/1 のサブインターフェイスは GigabitEthernet 0/1 の MAC アドレスを再度使用します。

MAC アドレスは次の形式を使用して生成します。

• アクティブ装置の MAC アドレス：12_ slot . port _ subid . contextid .

• スタンバイ装置の MAC アドレス：02_ slot . port _ subid . contextid .

インターフェイス スロットのないプラットフォームの場合、スロットは常に 0 です。 port はインターフェイス ポートです。 subid はサブインターフェイスの内部 ID です。この ID は表示されません。 contextid はコンテキストの内部 ID です。 show context detail コマンドを使用して表示します。たとえば、ID 1 を持つコンテキストのインターフェイス GigabitEthernet 0/1.200 には次の生成された MAC アドレスが設定されています。サブインターフェイス 200 の内部 ID は 31 です。

• アクティブ：1200.0131.0001

• スタンバイ：0200.0131.0001

まれなケースですが、生成された MAC アドレスがネットワーク内の別のプライベート MAC アドレスと競合した場合は、コンテキスト内でインターフェイスの MAC アドレスを手作業で設定します。MAC アドレスを手作業で設定するには、 mac-address コマンドを参照してください。

MAC アドレスは、他のコマンドや方法を使用して設定することもできます。MAC アドレスの設定方法には、次のような優先順位があります。

1. インターフェイス コンフィギュレーション モードの mac-address コマンド。

このコマンドは、物理インターフェイスおよびサブインターフェイスに対して作用します。マルチ コンテキスト モードの場合は、各コンテキスト内で MAC アドレスを設定します。この機能を利用すると、同じインターフェイスに対して、複数のコンテキストでそれぞれ別の MAC アドレスを設定できます。

2. グローバル コンフィギュレーション モードの failover mac address コマンド（Active/Standby フェールオーバーの場合）。

このコマンドは物理インターフェイスに適用されます。サブインターフェイスは、 mac-address コマンドまたは mac-address auto コマンドを使用して個別に設定しない限り、物理インターフェイスの MAC アドレスを継承します。

3. フェールオーバー グループ コンフィギュレーション モードの mac address コマンド（Active/Active フェールオーバーの場合）。

このコマンドは物理インターフェイスに適用されます。サブインターフェイスは、 mac-address コマンドまたは mac-address auto コマンドを使用して個別に設定しない限り、物理インターフェイスの MAC アドレスを継承します。

4. グローバル コンフィギュレーション モードの mac-address auto コマンド（マルチ コンテキスト モードのみ）。

このコマンドは、コンテキスト内の共有インターフェイスに適用されます。

5. Active/Active フェールオーバーにおける、物理インターフェイスのアクティブ MAC アドレスとスタンバイ MAC アドレスの自動生成。

この方法は物理インターフェイスに適用されます。サブインターフェイスは、 mac-address コマンドまたは mac-address auto コマンドを使用して個別に設定しない限り、物理インターフェイスの MAC アドレスを継承します。

6. バーンドイン MAC アドレス。この方法は物理インターフェイスに適用されます。

サブインターフェイスは、 mac-address コマンドまたは mac-address auto コマンドを使用して個別に設定しない限り、物理インターフェイスの MAC アドレスを継承します。

例

次の例では、MAC アドレスの自動生成をイネーブルにします。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトのタイムアウトは 5 分です。

 

コマンド履歴

 

使用上のガイドライン

使用上のガイドラインはありません。

例

次の例では、MAC アドレスのタイムアウトを 10 分に設定します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次の例では、MAC アドレス テーブルにスタティック MAC アドレス エントリを追加します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次の例では、外部インターフェイスの MAC ラーニングをディセーブルにします。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

MAC アドレスを認証と認可の対象から免除するには、 aaa mac-exempt コマンドを使用します。追加できる aaa mac-exempt コマンドのインスタンスは 1 つだけです。そのため、MAC リストに免除する MAC アドレスがすべて確実に含まれるようにしてください。複数の MAC リストを作成できますが、使用できるのは一度に 1 つだけです。

例

次の例では、1 つの MAC アドレスについて認証をバイパスします。

次のエントリでは、ハードウェア ID が 0003.E3 であるすべての Cisco IP Phone について、認証をバイパスしています。

次の例では、00a0.c95d.02b2 を除く MAC アドレスのグループについて認証をバイパスします。permit 文の前に deny 文を入力してください。00a0.c95d.02b2 は permit 文にも一致するため、permit 文が最初に来ると、deny 文には一致しないためです。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次の例は、特定のドメインにメール リレーを設定する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドを使用すると、IPSec VPN の使用時にセキュリティ アプライアンスに入ったインターフェイス以外のインターフェイスに接続できます。たとえば、外部インターフェイスからセキュリティ アプライアンスに入った場合、このコマンドにより Telnet を使用して内部インターフェイスに接続できます。あるいは、外部インターフェイスから入ったときに、内部インターフェイスに対して ping を実行することができます。

定義できる管理アクセス用のインターフェイスは 1 つだけです。

例

次の例は、「inside」という名前のファイアウォール インターフェイスを管理アクセス インターフェイスとして設定する方法を示しています。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

ASA 5510 以降の適応型セキュリティ アプライアンスの Management 0/0 インターフェイスは、デフォルトで管理専用モードに設定されています。

 

コマンド履歴

 

使用上のガイドライン

ASA 5510 以降の適応型セキュリティ アプライアンスには、Management 0/0 と呼ばれる管理専用インターフェイスが含まれており、このインターフェイスによってセキュリティ アプライアンスへのトラフィックをサポートします。ただし、 management-only コマンドを使用することで、任意のインターフェイスを管理専用インターフェイスとして設定できます。また、Management 0/0 の管理専用モードをディセーブルにして、他のインターフェイスと同様にトラフィックを通過させることもできます。

透過ファイアウォール モードでは、2 つのインターフェイスだけがトラフィックを通過できます。ただし、ASA 5510 以降の適応型セキュリティ アプライアンスでは、Management 0/0 インターフェイス（物理インターフェイスまたはサブインターフェイス）を管理トラフィック用の第 3 のインターフェイスとして使用できます。モードはこの場合設定不能であり、常に管理専用にする必要があります。このインターフェイスを管理 IP アドレスから異なるサブネット上に移行させる場合、透過モードでこのインターフェイスの IP アドレスを設定することもできます。個々のインターフェイスではなく、セキュリティ アプライアンスまたはコンテキストに対して割り当てます。

例

次の例では、管理インターフェイスの管理専用モードをディセーブルにします。

次の例では、サブインターフェイスの管理専用モードをイネーブルにします。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトでは、名前のマッピングは存在しません。

 

コマンド履歴

 

使用上のガイドライン

map-name コマンドを使用して、独自のアトリビュート名を作成し、それを Cisco アトリビュート名にマッピングできます。作成されたアトリビュート マップは、LDAP サーバにバインドすることができます。通常の手順は、次のとおりです。

1. グローバル コンフィギュレーション モードで ldap attribute-map コマンドを使用して、何も入力されていないアトリビュート マップを作成します。このコマンドにより、LDAP アトリビュート マップ コンフィギュレーション モードに入ります。

2. LDAP アトリビュート マップ コンフィギュレーション モードで map-name コマンドおよび map-value コマンドを使用して、アトリビュート マップに情報を入力します。

3. AAA サーバ ホスト モードで ldap-attribute-map コマンドを使用して、LDAP サーバにアトリビュート マップをバインドします。このコマンドでは、「ldap」の後にハイフンを入力してください。

（注） アトリビュート マッピング機能を正しく使用するには、Cisco LDAP アトリビュートの名前と値、およびユーザ定義アトリビュートの名前と値を理解しておく必要があります。

例

次のコマンド例では、LDAP アトリビュート マップ「myldapmap」内で、ユーザ定義のアトリビュート名「Hours」を、Cisco アトリビュート名「cVPN3000-Access-Hours」にマッピングします。

LDAP アトリビュート マップ コンフィギュレーション モードでは、次の例に示すように、「?」を入力して Cisco LDAP アトリビュート名の完全なリストを表示できます。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトでは、Cisco アトリビュートにマッピングされているユーザ定義の値はありません。

 

コマンド履歴

 

使用上のガイドライン

map-value コマンドを使用して、Cisco アトリビュート名と値に対して独自のアトリビュート値をマッピングできます。作成されたアトリビュート マップは、LDAP サーバにバインドすることができます。通常の手順は、次のとおりです。

1. グローバル コンフィギュレーション モードで ldap attribute-map コマンドを使用して、何も入力されていないアトリビュート マップを作成します。このコマンドにより、LDAP アトリビュート マップ コンフィギュレーション モードに入ります。

2. LDAP アトリビュート マップ コンフィギュレーション モードで map-name コマンドおよび map-value コマンドを使用して、アトリビュート マップに情報を入力します。

3. AAA サーバ ホスト モードで ldap-attribute-map コマンドを使用して、LDAP サーバにアトリビュート マップをバインドします。このコマンドでは、「ldap」の後にハイフンを入力してください。

（注） アトリビュート マッピング機能を正しく使用するには、Cisco LDAP アトリビュートの名前と値、およびユーザ定義アトリビュートの名前と値を理解しておく必要があります。

例

次の例は、LDAP アトリビュート マップ コンフィギュレーション モードで入力され、ユーザ アトリビュート「Hours」のユーザ定義値を、workDay というユーザ定義の時間ポリシーと Daytime というシスコ定義の時間ポリシーに設定します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

検査ポリシー マップは、1 つ以上の match コマンドと class コマンドで構成されます。検査ポリシー マップで使用できるコマンド自体は、アプリケーションによって異なります。アプリケーション トラフィックを識別する match コマンドまたは class コマンド（ class コマンドは、 match コマンドを含む既存の class-map type inspect コマンドを指す）を入力してから、 mask コマンドを使用して match コマンドまたは class コマンドに一致するパケットの一部をマスクします。

レイヤ 3/4 ポリシー マップ（ policy-map コマンド）で inspect コマンドを使用してアプリケーション検査をイネーブルにするときは、このアクションを含んでいる検査ポリシー マップをイネーブルにします。たとえば、 inspect dns dns_policy_map コマンドを入力します。dns_policy_map は検査ポリシー マップの名前です。

例

次の例では、セキュリティ アプライアンス経由でトラフィックを許可する前に、DNS ヘッダーの RD フラグと RA フラグをマスクします。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次の例は、サーバのバナーを隠す方法を示しています。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

このコマンドは、デフォルトではイネーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

mask-syst-reply コマンドは、クライアントから FTP サーバ システムを保護するため、厳密な FTP 検査と併せて使用します。このコマンドをイネーブルにすると、 syst コマンドへのサーバ応答は X の連続に置き換えられます。

例

次の例では、セキュリティ アプライアンスが syst コマンドへの FTP サーバ応答を X の連続に置き換えます。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

モジュラ ポリシー フレームワークの設定手順は、次の 4 つの作業で構成されます。

1. class-map コマンドを使用して、アクションの適用対象となるレイヤ 3 と 4 のトラフィックを指定します。

class-map コマンドを入力してから、 match access-list コマンドを入力してトラフィックを識別します。また、 match port コマンドなどの別のタイプの match コマンドを入力することもできます。クラス マップには match access-list コマンドを 1 つだけ含めることができます。それを別の種類の match コマンドと組み合せることはできません。例外としては、セキュリティ アプライアンスで検査可能なすべてのアプリケーションが使用するデフォルトの TCP ポートと UDP ポートに一致する match default-inspection-traffic コマンドを定義する場合、 match access-list コマンドを使用してトラフィックを絞り込んで一致させることができます。 match default-inspection-traffic コマンドは一致するポートを指定するため、アクセス リストに含まれるポートは無視されます。

2. （アプリケーション検査のみ） policy-map type inspect コマンドを使用して、アプリケーション検査トラフィックのための特別なアクションを定義します。

3. policy-map コマンドを使用して、レイヤ 3 と 4 のトラフィックにアクションを適用します。

4. service-policy コマンドを使用して、インターフェイスに対するアクションを有効にします。

例

次の例では、3 つのアクセス リストに一致する 3 つのレイヤ 3/4 クラス マップを作成します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

モジュラ ポリシー フレームワークの設定手順は、次の 4 つの作業で構成されます。

1. class-map コマンドを使用して、アクションの適用対象となるレイヤ 3 と 4 のトラフィックを指定します。

class-map コマンドの入力後には、 match any コマンドを入力してすべてのトラフィックを識別します。また、 match port コマンドなどの別のタイプの match コマンドを入力することもできます。 match any コマンドを別のタイプの match コマンドと組み合せることはできません。

2. （アプリケーション検査のみ） policy-map type inspect コマンドを使用して、アプリケーション検査トラフィックのための特別なアクションを定義します。

3. policy-map コマンドを使用して、レイヤ 3 と 4 のトラフィックにアクションを適用します。

4. service-policy コマンドを使用して、インターフェイスに対するアクションを有効にします。

例

次の例は、クラス マップおよび match any コマンドを使用して、トラフィック クラスを定義する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドは、GTP クラス マップまたは GTP ポリシー マップ内で設定できます。GTP クラス マップでは、入力できるエントリは 1 つのみです。

例

次の例では、GTP 検査クラス マップのアクセス ポイント名に関する一致条件を設定する方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次の例では、ESMTP 検査ポリシー マップで、特定の本文の行の長さに関して一致条件を設定する方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次の例では、H.323 検査クラス マップで着信側に関する一致条件を設定する方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次の例では、H.323 検査クラス マップで発信側に関する一致条件を設定する方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

OCSP を設定する際には、次のヒントに留意してください。

• トラストポイント コンフィギュレーション内に複数の一致規則を設定できますが、暗号 CA 証明書マップごとに設定できる一致規則は 1 つだけです。ただし、複数の暗号 CA 証明書マップを設定し、それらを同一のトラストポイントに関連付けることができます。

• 証明書マップを設定してから一致規則を設定する必要があります。

• 自己署名の OCSP レスポンダ証明書を検証するトラストポイントを設定するには、自己署名のレスポンダ証明書をそれ自体のトラストポイントに、信頼できる CA 証明書としてインポートします。次に、レスポンダ証明書の検証に、自己署名の OCSP レスポンダ証明書を含むトラストポイントを使用できるよう、トラストポイントを検証するクライアント証明書に match certificate コマンドを設定します。クライアント証明書の検証パスに含まれないレスポンダ証明書を検証する場合にも、同じように設定します。

• 同一の CA がクライアント証明書とレスポンダ証明書を発行する場合、トラストポイントは両方の証明書を検証できます。ただし、異なる CA がクライアント証明書とレスポンダ証明書を発行する場合は、各証明書に 1 つずつ、計 2 つのトラストポイントを設定する必要があります。

• OCSP サーバ（レスポンダ）証明書は通常、OCSP 応答に署名します。応答の受信後、セキュリティ アプライアンスはレスポンダ証明書を検証しようとします。CA は通常、OCSP レスポンダ証明書の期限を比較的短期間に設定して、その信用が失われる危険を最小限にします。また、CA のレスポンダ証明書には、証明書の失効ステータス確認が不要であることを示す ocsp-no-check 拡張も一般に含まれます。ただし、この拡張が含まれていない場合、セキュリティ アプライアンスはトラストポイントに指定したのと同じ方法で失効ステータスを確認します。レスポンダ証明書が検証できない場合は、失効チェックに失敗します。失効チェックが失敗しないようにするには、トラストポイントを検証するレスポンダ証明書に revocation-check none を設定すると同時に、クライアント証明書に revocation-check ocsp を設定します。

• セキュリティ アプライアンスは、一致しない場合に、 ocsp url コマンドの URL を使用します。 ocsp url コマンドを設定していない場合は、リモート ユーザ証明書の AIA フィールドが使用されます。証明書に AIA 拡張が含まれていない場合、失効ステータスのチェックは失敗します。

例

次の例では、newtrust というトラストポイントに証明書一致規則を作成する方法を示します。規則には mymap というマップ名、シーケンス番号 4、mytrust というトラストポイントが含まれ、URL 10.22.184.22 を指定します。

次の例では、暗号 CA 証明書マップを設定後、一致証明書規則を設定して、CA 証明書が含まれるトラストポイントを指定し、レスポンダ証明書を検証する方法を段階的に示します。newtrust トラストポイントに指定された CA が OCSP レスポンダ証明書を発行しない場合に、この方法が必要になります。

ステップ 1 マップ規則が適用されるクライアント証明書を識別する証明書マップを設定します。次の例では、証明書マップの名前は mymap、シーケンス番号は 1 です。mycert と一致する CN アトリビュートが含まれるサブジェクト名を持つクライアント証明書は mymap エントリと一致します。

ステップ 2 OCSP レスポンダ証明書を検証するための CA 証明書が含まれるトラストポイントを設定します。自己署名証明書の場合、これは自己署名証明書自体であり、インポート後にローカルに信頼されます。この目的で、外部の CA 登録を介して証明書を入手することもできます。プロンプトが表示されたら、CA 証明書に貼り付けます。

ステップ 3 失効チェック方法として OCSP を使用して元のトラストポイント newtrust を設定します。次に、証明書マップ mymap、およびステップ 2 で設定した自己署名トラストポイント mytrust を含む一致規則を設定します。

クライアント証明書の認証に newtrust トラストポイントを使用する接続では、クライアント証明書が mymap 証明書マップで指定したアトリビュート規則と一致するかどうかがチェックされます。その場合、セキュリティ アプライアンスは OCSP レスポンダ（10.22.184.22）にアクセスして、証明書の失効ステータスをチェックします。次に、mytrust トラストポイントを使用して、レスポンダ証明書が検証されます。

（注） newtrust トラストポイントを設定して、OCSP を介してクライアント証明書の有効性をチェックします。ただし、mytrust トラストポイントは失効チェックなし（デフォルト）に設定されているので、OCSP レスポンダ証明書に対して失効チェックは実行されません。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次の例では、ESMTP 検査ポリシー マップに、ESMTP トランザクションで交換されるバーブ（メソッド）NOOP についての一致条件を設定する方法を示します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

各検査のデフォルトのトラフィックについては、「使用上のガイドライン」を参照してください。

 

コマンド履歴

 

使用上のガイドライン

各種の match コマンドを使用して、クラス マップのトラフィック クラスに含まれるトラフィックを指定します。これらのコマンドは、クラス マップに含まれるトラフィックを定義するためのさまざまな基準を保持しています。トラフィック クラスは、モジュラ ポリシー フレームワークを使用したセキュリティ機能を設定するときに、その一環として class-map グローバル コンフィギュレーション コマンドを使用して定義します。クラス マップ コンフィギュレーション モードから、 match コマンドを使用して、クラスに含めるトラフィックを定義できます。

トラフィック クラスをインターフェイスに適用すると、そのインターフェイス上で受信したパケットは、クラス マップの match 文で定義した基準と比較されます。指定した基準にパケットが一致すると、パケットはトラフィック クラスに包含され、そのトラフィック クラスに関連付けられているアクションの対象になります。どのトラフィック クラスのどの基準にも一致しないパケットは、デフォルトのトラフィック クラスに割り当てられます。

match default-inspection-traffic コマンドを使用すると、個々の inspect コマンドのデフォルト トラフィックを一致させることができます。 match default-inspection-traffic コマンドはその他の match コマンドの 1 つと併せて使用できます。このコマンドは、通常、 permit ip src-ip dst-ip 形式のアクセス リストです。

2 番目の match コマンドを match default-inspection-traffic コマンドと組み合せる際、 match
default-inspection-traffic コマンドを使用してプロトコルとポート情報を指定し、2 番目の match コマンドを使用して他のすべての情報（IP アドレスなど）を指定するという規則があります。2 番目の match コマンドで指定したプロトコルまたはポート情報は、 inspect コマンドでは無視されます。

たとえば、次の例で指定するポート 65535 は無視されます。

検査用のデフォルトのトラフィックは次のとおりです。

例

次の例は、クラス マップおよび match default-inspection-traffic コマンドを使用して、トラフィック クラスを定義する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

このコマンドは、デフォルトではディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

デフォルトでは、このコマンドは DNS メッセージのすべてのフィールド（クエスチョンと RR）を検査し、指定したクラスと照合します。DNS クエリーと DNS 応答の両方が確認されます。

一致対象は、match not header-flag QR と match question の 2 つのコマンドによって、DNS クエリーのクエスチョン部分にまで絞ることができます。

このコマンドは、DNS クラス マップまたは DNS ポリシー マップ内で設定できます。DNS クラス マップでは、入力できるエントリは 1 つのみです。

例

次の例では、DNS 検査ポリシー マップで、DNS クラスについての一致条件を設定する方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

このコマンドは、デフォルトではディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

デフォルトでは、このコマンドは DNS メッセージ（クエスチョンと RR）のすべてのセクションを検査し、指定したタイプと照合します。DNS クエリーと DNS 応答の両方が確認されます。

一致対象は、match not header-flag QR と match question の 2 つのコマンドによって、DNS クエリーのクエスチョン部分にまで絞ることができます。

このコマンドは、DNS クラス マップまたは DNS ポリシー マップ内で設定できます。DNS クラス マップでは、入力できるエントリは 1 つのみです。

例

次の例では、DNS 検査ポリシー マップで、DNS タイプの一致条件を設定する方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

このコマンドは、デフォルトではディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

このコマンドは DNS メッセージのドメイン名と定義済みリストを照合します。圧縮されているドメイン名は拡張後、照合されます。他の DNS match コンドと組み合せて一致条件を特定のフィールドに絞り込みます。

このコマンドは、DNS クラス マップまたは DNS ポリシー マップ内で設定できます。DNS クラス マップでは、入力できるエントリは 1 つのみです。

例

次の例では、DNS 検査ポリシー マップの DNS ドメイン名を照合する方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

各種の match コマンドを使用して、クラス マップのトラフィック クラスに含まれるトラフィックを指定します。これらのコマンドは、クラス マップに含まれるトラフィックを定義するためのさまざまな基準を保持しています。トラフィック クラスは、モジュラ ポリシー フレームワークを使用したセキュリティ機能を設定するときに、その一環として class-map グローバル コンフィギュレーション コマンドを使用して定義します。クラス マップ コンフィギュレーション モードから、 match コマンドを使用して、クラスに含めるトラフィックを定義できます。

トラフィック クラスをインターフェイスに適用すると、そのインターフェイス上で受信したパケットは、クラス マップの match 文で定義した基準と比較されます。指定した基準にパケットが一致すると、パケットはトラフィック クラスに包含され、そのトラフィック クラスに関連付けられているアクションの対象になります。どのトラフィック クラスのどの基準にも一致しないパケットは、デフォルトのトラフィック クラスに割り当てられます。

match dscp コマンドを使用すると、IP ヘッダー内の IETF 定義の DSCP 値を一致させることができます。

例

次の例は、クラス マップおよび match dscp コマンドを使用して、トラフィック クラスを定義する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次の例では、ESMTP 検査ポリシー マップで、ehlo 応答パラメータに関する一致条件を設定する方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドは、FTP クラス マップまたは FTP ポリシー マップ内で設定できます。FTP クラス マップでは、入力できるエントリは 1 つのみです。

例

次の例では、FTP 検査クラス マップで、FTP 転送ファイル名に関する一致条件を設定する方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドは、FTP クラス マップまたは FTP ポリシー マップ内で設定できます。FTP クラス マップでは、入力できるエントリは 1 つのみです。

例

次の例は FTP 検査ポリシー マップで FTP 転送ファイル タイプに関する一致条件を設定する方法を示します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

各種の match コマンドを使用して、クラス マップのトラフィック クラスに含まれるトラフィックを指定します。これらのコマンドは、クラス マップに含まれるトラフィックを定義するためのさまざまな基準を保持しています。トラフィック クラスは、モジュラ ポリシー フレームワークを使用したセキュリティ機能を設定するときに、その一環として class-map グローバル コンフィギュレーション コマンドを使用して定義します。クラス マップ コンフィギュレーション モードから、 match コマンドを使用して、クラスに含めるトラフィックを定義できます。

トラフィック クラスをインターフェイスに適用すると、そのインターフェイス上で受信したパケットは、クラス マップの match 文で定義した基準と比較されます。指定した基準にパケットが一致すると、パケットはトラフィック クラスに包含され、そのトラフィック クラスに関連付けられているアクションの対象になります。どのトラフィック クラスのどの基準にも一致しないパケットは、デフォルトのトラフィック クラスに割り当てられます。

トンネル グループでフローベースのポリシー アクションをイネーブルにするには、 match flow ip destination-address と match tunnel-group コマンドを class-map 、 policy-map 、および service-policy コマンドと併せて使用します。フローを定義する基準は、宛先 IP アドレスです。一意の IP 宛先アドレスに向かうトラフィックは、すべてフローと見なされます。ポリシーのアクションは、トラフィック クラス全体ではなく各フローに適用されます。 match flow ip destination-address コマンドを使用すると、QoS アクション ポリシングが適用されます。トンネル グループ内の各トンネルを、指定したレートにポリシングするには、 match tunnel-group を使用します。

例

次の例は、トンネル グループ内でフロー ベースのポリシングをイネーブルにして、各トンネルを指定したレートに制限する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次の例では、ESMTP 検査ポリシー マップで、ヘッダーに関して一致条件を設定する方法を示します。