Cisco ASA 5500 シリーズ/Cisco PIX 500 シリーズ Cisco セキュリティ アプライアンス コマンド リファレンス Software Version 7.0.4

 

シンタックスの説明

 

デフォルト

デフォルト設定は 60 分です。

 

コマンド履歴

例

次の例では、ca-crl コンフィギュレーション モードに入り、トラストポイント central に 10 分のキャッシュ時間のリフレッシュ値を指定します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

このコマンドは、デフォルトではディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

call-agent コマンドは、1 つまたは複数のゲートウェイを管理できるコール エージェントのグループを指定するために使用します。コール エージェントのグループ情報は、どのコール エージェントも応答を送信できるように、グループ内の（ゲートウェイがコマンドを送信する先以外の）コール エージェントに接続を開くために使用されます。 group_id が同じコール エージェントは、同じグループに所属します。1 つのコール エージェントは複数のグループに所属できます。 group_id オプションは 0 ～ 4294967295 の数字です。 ip_address オプションでは、コール エージェントの IP アドレスを指定します。

例

次の例では、コール エージェント 10.10.11.5 と 10.10.11.6 がゲートウェイ 10.10.10.115 を制御できるようにし、コール エージェント 10.10.11.7 と 10.10.11.8 がゲートウェイ 10.10.10.116 と 10.10.10.117 の両方を制御できるようにしています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトは次のとおりです。

• キャプチャ タイプは raw data です。

• buffer size は 512 KB です。

• すべてのイーサネット タイプが選択されます。

• すべての IP パケットが一致します。

• packet-length は 68 バイトです。

 

コマンド履歴

 

使用上のガイドライン

パケットのキャプチャは、接続上の問題のトラブルシューティングや疑わしいアクティビティのモニタリングを行う場合に役立ちます。セキュリティ アプライアンスは、管理トラフィックや検査エンジンを含む、通過するトラフィックのパケット情報を追跡できます。装置を通過するすべてのトラフィックのパケット情報がキャプチャされます。

ISAKMP では、ISAKMP サブシステムは上位レイヤ プロトコルにアクセスできません。キャプチャは、PCAP パーサーを満たすために物理層、IP 層、および UDP 層が組み合された擬似キャプチャです。ピア アドレスは SA 交換から取得され、IP 層に保存されます。

含めるイーサネット タイプをキャプチャから選択する場合、802.1Q タイプまたは VLAN タイプでは例外が発生します。802.1Q タグは自動的にスキップされ、条件に一致しているかどうかの判定には内部イーサネット タイプが使用されます。デフォルトでは、すべてのイーサネット タイプが選択されます。

バッファがいっぱいになると、パケットのキャプチャが停止します。

パケット キャプチャをイネーブルにするには、オプションの引数 interface を使用してキャプチャをインターフェイスに関連付けます。複数の capture コマンド文を使用すると、キャプチャが複数のインターフェイスに関連付けられます。

バッファの内容を TFTP サーバに ASCII 形式でコピーする場合は、パケットの詳細や 16 進ダンプは表示されず、ヘッダーだけが表示されます。詳細や 16 進ダンプを表示するには、バッファを PCAP 形式で伝送し、TCPDUMP または Ethereal を使用して読み取る必要があります。

ethernet-type オプション キーワードと access-list オプション キーワードを使用すると、バッファに保存するパケットを選択できます。イーサネット フィルタとアクセスリスト フィルタの両方を通過したパケットだけがキャプチャ バッファに保存されます。

circular-buffer キーワードを使用すると、キャプチャ バッファがいっぱいになったときに、キャプチャ バッファを先頭部分から上書きできます。

キャプチャが消去されないようにする場合は、 no capture に access-list オプション キーワードまたは interface オプション キーワードのいずれかを付加して入力します。オプション キーワードを付加せずに no capture を入力すると、キャプチャが削除されます。 access-list オプション キーワードを指定した場合は、キャプチャからアクセスリストが削除され、キャプチャは残されます。 interface オプション キーワードを指定した場合は、指定したインターフェイスからキャプチャが分離され、キャプチャは残されます。

（注） capture コマンドはコンフィギュレーションには保存されず、フェールオーバー中にスタンバイ モジュールにコピーされることもありません。

キャプチャ情報をリモートの TFTP サーバにコピーするには、
copy capture : capture_name tftp://server/ path [pcap] コマンドを使用します。

パケット キャプチャ情報を Web ブラウザで表示するには、
https:// securityappliance-ip-address /capture/ capture_name [ / pcap ] コマンドを使用します。

pcap オプション キーワードを指定すると、libpcap 形式のファイルが Web ブラウザにダウンロードされるので、Web ブラウザを使用してファイルを保存できます。libcap ファイルは、TCPDUMP または Ethereal で表示できます。

WebVPN キャプチャをイネーブルにすると、セキュリティ アプライアンスは一致するファイルのペア（ capture name_ ORIGINAL.000 と capture name_ MANGLED.000）を作成します。セキュリティ アプライアンスは後続のキャプチャごとに一致するファイルのペアをさらに生成し、ファイル拡張子を増分します。 url は、データ キャプチャに一致する URL プレフィックスです。サーバへの HTTP トラフィックをキャプチャするには、URL http:// server / path を使用します。サーバへの HTTPS トラフィックをキャプチャするには、https:// server / path を使用します。

（注） WebVPN キャプチャをイネーブルにすると、セキュリティ アプライアンスのパフォーマンスに影響します。トラブルシューティングに必要なキャプチャ ファイルを生成した後は、キャプチャをディセーブルにしてください。

type asp-drop の drop-code

次の表に、 type asp-drop キーワードの後に指定できるオプションの drop-code 引数の有効値を示します。

例

パケット キャプチャをイネーブルにするには、次のように入力します。

「mycapture」という名前のキャプチャの内容を Web ブラウザで表示するには、次のアドレスを入力します。

Internet Explorer や Netscape Navigator などの Web ブラウザで使用される libcap ファイルをローカル マシンにダウンロードするには、次のアドレスを入力します。

次の例では、外部ホスト 171.71.69.234 からキャプチャしたトラフィックが内部 HTTP サーバに伝送されます。

次の例では、ARP パケットをキャプチャする方法を示します。

次の例では、 hr に指定された WebVPN キャプチャが作成されます。このキャプチャは、Web サイト wwwin.abcd.com/hr/people にアクセスする user2 の HTTP トラフィックをキャプチャするように設定されています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

ディレクトリを指定しない場合、ルート ディレクトリに移動します。

 

コマンド履歴

例

次の例では、「config」ディレクトリに移動する方法を示します。

 

関連コマンド

 

シンタックスの説明

 

シンタックスの説明シンタックスの説明

 

デフォルト

このコマンドにデフォルト値はありません。

 

コマンド履歴

 

使用上のガイドライン

認証局（CA）は、ネットワークにおいてセキュリティ クレデンシャルおよびメッセージ暗号化用の公開キーを発行、管理する組織です。公開キー インフラストラクチャの一部として、CA では登録局（RA）とともに、デジタル証明書の要求者から提供された情報を確認するためにチェックを行います。RA で要求者の情報が確認されると、CA は証明書を発行します。

例

次の例では、central という名前のトラストポイントの CA トラストポイント モードに入り、次に central の 暗号 CA 証明書チェーン モードに入り、シリアル番号 29573D5FF010FE25B45 の CA を追加します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

デフォルトでは、このコマンドの設定はディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

すべてのトンネルグループ タイプにこのアトリビュートを適用できます。

例

次の例では、config-ipsec コンフィギュレーション モードに入り、ルート証明書およびすべての下位 CA 証明書を含む IP アドレス 209.165.200.225 の IPSec LAN-to-LAN トンネルグループのチェーンの送信をイネーブルにします。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

システム実行スペースまたは管理コンテキストにログインする場合は、各コンテキスト内でコンテキスト、実行コンフィギュレーション、モニタリング タスクを切り替えることができます。コンフィギュレーション モードで編集、あるいは copy または write コマンドで使用される「実行」コンフィギュレーションは、どの実行スペースにいるかによって異なります。システム実行スペースにいる場合、実行コンフィギュレーションはシステム コンフィギュレーションだけで構成されます。コンテキスト実行スペースにいる場合、実行コンフィギュレーションはそのコンテキストだけで構成されます。たとえば、 show running-config コマンドを入力することで、実行コンフィギュレーションをすべて（システムとすべてのコンテキスト）表示することはできません。現在のコンフィギュレーションだけが表示されます。

例

次の例では、特権 EXEC モードでコンテキストとシステム間の切り替えを行います。

次の例では、インターフェイス コンフィギュレーション モードでシステムと管理コンテキスト間の切り替えを行います。実行スペース間で切り替えを行い、コンフィギュレーション サブモードにいる場合、モードは新しい実行スペースでグローバル コンフィギュレーション モードに変わります。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの間隔はそれぞれ 60 秒です。

 

コマンド履歴

例

次の例では、バッファ割り当ての間隔を 200 秒に設定し、コード スペース チェックサムの間隔を 500 秒に設定します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

デフォルトはディセーブルです。

 

コマンド履歴

 

使用上のガイドライン

tcp-map コマンドは、モジュラ ポリシー フレームワーク インフラストラクチャとともに使用します。 class-map コマンドを使用してトラフィックのクラスを定義し、 tcp-map コマンドで TCP 検査をカスタマイズします。 policy-map コマンドを使用して新しい TCP マップを適用します。
service-policy コマンドで TCP 検査を有効にします。

tcp-map コマンドを使用して、tcp マップ コンフィギュレーション モードに入ります。矛盾する再送信のエンド システムの解釈によって発生する TCP 再送信スタイルの攻撃を防止するには、
check-retransmission コマンドを tcp マップ コンフィギュレーション モードで使用します。

セキュリティ アプライアンスは、再送信内のデータが元のデータと同じであるかどうかを確認しようとします。データが一致しない場合、接続はセキュリティ アプライアンスによってドロップされます。この機能がイネーブルの場合、TCP 接続上のパケットは、順番に許可されます。詳細については、 queue-limit コマンドを参照してください。

例

次の例では、すべての TCP フロー上で、TCP check-retransmission 機能をイネーブルにします。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

チェックサムの確認は、デフォルトではディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

tcp-map コマンドは、モジュラ ポリシー フレームワーク インフラストラクチャとともに使用します。 class-map コマンドを使用してトラフィックのクラスを定義し、 tcp-map コマンドで TCP 検査をカスタマイズします。 policy-map コマンドを使用して新しい TCP マップを適用します。 service-policy コマンドで TCP 検査を有効にします。

tcp-map コマンドを使用して、tcp マップ コンフィギュレーション モードに入ります。
checksum-verification コマンドを tcp マップ コンフィギュレーション モードで使用して、TCP チェックサムの確認をイネーブルにします。チェックが失敗した場合、パケットはドロップされます。

例

次の例では、10.0.0.0 ～ 20.0.0.0 の TCP 接続上で TPC チェックサムの確認をイネーブルにします。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトでは、「class class-default」が常にポリシーマップの最後にあります。

 

コマンド履歴

 

使用上のガイドライン

class-default を含む、最大 63 のクラス コマンドをポリシーマップに設定できます。

「class-default」という名前は、デフォルト クラスに予約されている名前であり、常に存在します。つまり、この名前をコンフィギュレーションに含めることはできますが、CLI を使用して再設定や削除を行うことはできません。詳細については、 class-map コマンドの説明を参照してください。

class コマンドを使用してクラス モードに入り、次のコマンドを入力できます。

set connection

inspect

ips

priority

police

詳細については、個々のコマンドの説明を参照してください。

例

次に、ポリシーマップ モードのクラス コマンドの例を示します。プロンプトの変化に注意してください。

次に、最大 256 の HTTP サーバに接続を制限する接続ポリシー用の policy-map コマンドとその class コマンドの例を示します。

次に、 service-policy コマンドで定義された外部インターフェイス用の policy-map コマンドとその class コマンドの例を示します。 class-map コマンドは、宛先 IP アドレスが 192.168.10.10 のトラフィックのクラスを指定します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルト クラスの class-default は常に存在し、CLI を使用して設定または削除することはできません。デフォルト クラスは、ポリシーマップで使用する場合、「他のすべてのトラフィック」を意味します。class-default の定義は次のとおりです。

 

コマンド履歴

 

使用上のガイドライン

class-map コマンドを使用すると、モジュラ ポリシー フレームワークを使用してセキュリティ機能を設定する場合にトラフィック クラスを定義できます。モジュラ ポリシー フレームワークは、セキュリティ アプライアンスの機能を Cisco IOS ソフトウェア QoS CLI と同様の方法で設定する一貫性のある柔軟な方法です。モジュラ ポリシー フレームワークを使用してセキュリティ機能を設定するには、 class-map 、 policy-map 、および service-policy グローバル コンフィギュレーション コマンドを使用します。

class-map グローバル コンフィギュレーション コマンドを使用してトラフィック クラスを定義します。次に、 policy-map グローバル コンフィギュレーション コマンドを使用して、トラフィック クラスを 1 つまたは複数のアクションに関連付けてポリシーマップを作成します。最後に、 service-policy コマンドを使用して、ポリシーマップを 1 つまたは複数のインターフェイスに関連付けてセキュリティ ポリシーを作成します。

1 つのトラフィック クラスマップには、最大 1 つの match コマンドが含まれます
（ match tunnel-group および match default-inspection-traffic コマンドを除く）。 match コマンドでは、トラフィック クラスに含まれるトラフィックを指定します。パケットをクラスマップと照合した場合、照合の結果は match または no match のいずれかとなります。

class-map コマンドを使用して、クラスマップ コンフィギュレーション モードに入ります。クラスマップ コンフィギュレーション モードから、 match コマンドを使用して、クラスに含めるトラフィックを定義できます。次のコマンドをクラスマップ コンフィギュレーション モードで使用できます。

例

次の例では、クラスマップを使用して、すべての TCP トラフィックのトラフィック クラスをポート 21 に定義する方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

ユーザが数回認証に失敗した場合は、このコマンドを使用します。ただし、たとえば、コンフィギュレーションが最近変更された場合などは、カウンタを 0 にリセットします。

認証試行の失敗が設定された回数を超えると、ユーザはシステムからロックアウトされ、システム管理者がユーザ名をアンロックするか、システムをリブートするまで正常にログインできません。

ユーザが正常に認証されるか、セキュリティ アプライアンスがリブートされると、失敗した試行の回数は 0 にリセットされ、ロックアウト ステータスは No にリセットされます。

ユーザ名のロックまたはアンロックにより、syslog メッセージが生成されます。

特権レベル 15 のシステム管理者は、ロックアウトされません。

例

次の例では、 clear aaa local user authentication fail-attempts コマンドを使用して、ユーザ名 anyuser の失敗試行カウンタを 0 にリセットする方法を示します。

次の例では、 clear aaa local user authentication fail-attempts コマンドを使用して、すべてのユーザの失敗試行カウンタを 0 にリセットする方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

username オプションを使用して単一のユーザを指定することも、 all オプションを使用してすべてのユーザを指定することもできます。

このコマンドは、ロックアウトされているユーザのステータスだけに影響を及ぼします。

管理者は、デバイスからロックアウトされません。

ユーザ名のロックまたはアンロックにより、syslog メッセージが生成されます。

例

次の例では、 clear aaa local user lockout コマンドを使用してロックアウト状態をクリアし、ユーザ名 anyuser の失敗試行カウンタを 0 にリセットする方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

すべてのグループのすべての AAA サーバ統計情報を削除します。

 

コマンド履歴

例

次のコマンドは、グループ内の特定のサーバの AAA 統計情報をリセットする方法を示しています。

次のコマンドは、1 つのサーバ グループ全体の AAA 統計情報をリセットする方法を示しています。

次のコマンドは、すべてのサーバ グループの AAA 統計情報をリセットする方法を示しています。

次のコマンドは、特定のプロトコル（この場合は TACACS+）の AAA 統計情報をリセットする方法を示しています。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

このコマンドにデフォルト設定はありません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドに使用上のガイドラインはありません。

例

次の例では、すべてのアクセス グループを削除する方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

すべてのアクセスリスト カウンタがクリアされます。

 

コマンド履歴

 

使用上のガイドライン

clear access-list コマンドを入力する場合、 id を指定しなければ、すべてのアクセスリスト カウンタがクリアされます。

例

次の例では、特定のアクセスリスト カウンタをクリアする方法を示します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次の例では、ARP 統計情報をすべて消去します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトでは、このコマンドはすべてのドロップ統計情報を消去します。

 

コマンド履歴

 

使用上のガイドライン

プロセス タイプには、次のものがあります。

例

次の例では、ドロップ統計情報をすべて消去します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

最低水準点カウンタを各プール内で現在使用可能なブロックにリセットします。また、前回のバッファ割り当ての失敗時に保存された履歴情報も消去します。

例

次の例では、ブロックを消去します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

このコマンドにデフォルト設定はありません。

 

コマンド履歴

 

使用上のガイドライン

誤ってパケット キャプチャを全消去することを防ぐため、 clear capture の短縮形（ cl cap や clear cap など）は サポートされていません。

例

次の例では、キャプチャ バッファ「trudy」のキャプチャ バッファを消去する方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドをセキュリティ コンテキストで入力する場合は、コンテキスト コンフィギュレーションだけが消去されます。このコマンドをシステム実行スペースで入力する場合は、すべてのコンテキスト実行コンフィギュレーションに加えてシステム実行コンフィギュレーションも消去されます。システム コンフィギュレーション内のすべてのコンテキスト エントリが消去されるため（ context コマンドを参照）、コンテキストは実行されず、コンテキスト実行スペースに移動できなくなります。

コンフィギュレーションを消去する前に、（スタートアップ コンフィギュレーションの場所を指定する） boot config コマンドへのすべての変更をスタートアップ コンフィギュレーションに保存します。スタートアップ コンフィギュレーションの場所を実行コンフィギュレーション内だけで変更した場合は、再起動時にコンフィギュレーションはデフォルト位置からロードされます。

例

次の例では、実行コンフィギュレーション全体を消去します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

また、このコマンドは、AAA パラメータが存在する場合リセットしてデフォルト値にします。

元に戻すことはできません。

例

 

関連コマンド

 

シンタックスの説明

 

デフォルト

すべての AAA サーバ グループを削除します。

 

コマンド履歴

 

使用上のガイドライン

特定の AAA サーバ グループ、またはデフォルトで、すべての AAA サーバ グループを指定できます。

サーバ グループ内の特定のサーバを指定するには、 host キーワードを使用します。

また、このコマンドは、AAA サーバ パラメータが存在する場合リセットしてデフォルト値にします。

例

上記のコンフィギュレーションで、次のコマンドは、グループから特定のサーバを削除する方法を示しています。

次のコマンドは、1 つのサーバ グループを削除する方法を示しています。

次のコマンドは、すべてのサーバ グループを削除する方法を示しています。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次の例では、すべてのアクセス グループを削除する方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

実行コンフィギュレーションからすべてのアクセスリストが消去されます。

 

コマンド履歴

 

使用上のガイドライン

clear configure access-list コマンドを実行すると、 crypto map コマンドまたはインターフェイスからアクセスリストが自動的にアンバインドされます。 crypto map コマンドからアクセスリストをアンバインドすると、パケットがすべて廃棄される状態になる可能性があります。これは、アクセスリストを参照している crypto map コマンドが不完全なものになるためです。この状態を解消するには、別の access-list コマンドを定義して crypto map コマンドを完全なものにするか、 access-list コマンドに関係する crypto map コマンドを削除します。詳細については、 crypto map client コマンドの項を参照してください。

例

次の例では、実行コンフィギュレーションからアクセスリストを消去する方法を示します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次の例では、コンフィギュレーションからすべての alias コマンドを削除する方法を示します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次の例では、ARP 検査のコンフィギュレーションを消去します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴