Cisco ASA 5500 シリーズ/Cisco PIX 500 シリーズ Cisco セキュリティ アプライアンス コマンド リファレンス Software Version 7.0.4
偏向のない言語
この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
翻訳について
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
- Updated:
- 2017年6月16日
章のタイトル： D ～ F のコマンド
- debug aaa
- debug arp
- debug arp-inspection
- debug asdm history
- debug cmgr
- debug context
- debug cplane
- debug crypto ca
- debug crypto engine
- debug crypto ipsec
- debug crypto isakmp
- debug ctiqbe
- debug dhcpc
- debug dhcpd
- debug dhcprelay
- debug disk
- debug dns
- debug entity
- debug fixup
- debug fover
- debug fsm
- debug ftp client
- debug generic
- debug gtp
- debug h323
- debug http
- debug http-map
- debug icmp
- debug igmp
- debug ils
- debug imagemgr
- debug ipsec-over-tcp
- debug ipv6
- debug iua-proxy
- debug kerberos
- debug ldap
- debug mac-address-table
- debug menu
- debug mfib
- debug mgcp
- debug module-boot
- debug mrib
- debug ntdomain
- debug ntp
- debug ospf
- debug parser cache
- debug pim
- debug pix pkt2pc
- debug pix process
- debug pptp
- debug radius
- debug rip
- debug rtsp
- debug sdi
- debug sequence
- debug session-command
- debug sip
- debug skinny
- debug smtp
- debug sqlnet
- debug ssh
- debug ssl
- debug sunrpc
- debug tacacs
- debug tcp-map
- debug timestamps
- debug vpn-sessiondb
- debug xdmcp
- default
- default (crl configure)
- default (time-range)
- default enrollment
- default-domain
- default-group-policy
- default-group-policy (webvpn)
- default-idle-timeout
- default-information originate
- delete
- deny version
- description
- dhcp-network-scope
- dhcp-server
- dhcpd address
- dhcpd auto_config
- dhcpd dns
- dhcpd domain
- dhcpd enable
- dhcpd lease
- dhcpd option
- dhcpd ping_timeout
- dhcpd wins
- dhcprelay enable
- dhcprelay server
- dhcprelay setroute
- dhcprelay timeout
- dir
- disable
- distance ospf
- dns domain-lookup
- dns name-server
- dns retries
- dns timeout
- dns-server
- domain-name
- downgrade
- drop
- duplex
- enable
- enable (webvpn)
- enable password
- enforcenextupdate
- enrollment retry count
- enrollment retry period
- enrollment terminal
- enrollment url
- erase
- established
- exceed-mss
- exit
- failover
- failover active
- failover group
- failover interface ip
- failover interface-policy
- failover key
- failover lan enable
- failover lan interface
- failover lan unit
- failover link
- failover mac address
- failover polltime
- failover reload-standby
- failover replication http
- failover reset
- failover timeout
- filter
- filter activex
- filter ftp
- filter https
- filter java
- filter url
- fips enable
- fips self-test poweron
- firewall transparent
- format
- fqdn
- fragment
- ftp-map
- ftp mode passive
- functions
D ～ F のコマンド
debug aaa
AAA に関するデバッグ メッセージを表示するには、特権 EXEC モードで debug aaa コマンドを使用します。AAA メッセージの表示を停止するには、このコマンドの no 形式を使用します。
debug aaa [ accounting | authentication | authorization | internal | vpn [ level ] ]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
debug aaa コマンドは、AAA アクティビティに関する詳細な情報を表示します。 no debug all コマンドまたは undebug all コマンドは、イネーブルなデバッグをすべてオフにします。
例
次の例では、ローカル データベースでサポートされる AAA 機能のデバッグをイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug arp
ARP に関するデバッグ メッセージを表示するには、特権 EXEC モードで debug arp コマンドを使用します。ARP に関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、ARP に関するデバッグ メッセージをイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug arp-inspection
ARP 検査に関するデバッグ メッセージを表示するには、特権 EXEC モードで debug arp-inspection コマンドを使用します。ARP 検査に関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、ARP 検査に関するデバッグ メッセージをイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug asdm history
ASDM のデバッグ情報を表示するには、特権 EXEC モードで debug asdm history コマンドを使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
このコマンドは、 debug pdm history コマンドから debug asdm history コマンドに変更されました。 |
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次の例では、ASDM に関するレベル 1 のデバッグをイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug cmgr
SSMカード マネージャに関するデバッグ メッセージを表示するには、特権 EXEC モードで debug cmgr コマンドを使用します。カード マネージャに関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、カード マネージャに関するデバッグ メッセージをイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug context
セキュリティ コンテキストを追加または削除する際にデバッグ メッセージを表示するには、特権 EXEC モードで debug context コマンドを使用します。コンテキストに関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、コンテキスト管理に関するデバッグ メッセージをイネーブルにします。
関連コマンド
|
|
|
|---|---|
システム コンフィギュレーションにセキュリティ コンテキストを作成し、コンテキスト コンフィギュレーション モードに入ります。 |
|
debug cplane
SSM に内部的に接続するコントロール プレーンに関するデバッグ メッセージを表示するには、特権 EXEC モードで debug cplane コマンドを使用します。制御プレーンに関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、コントロール プレーンに関するデバッグ メッセージをイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug crypto ca
CA で使用する PKI アクティビティに関するデバッグ メッセージを表示するには、特権 EXEC モードで ebug crypto ca コマンドを使用します。PKI に関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
debug crypto ca [ messages | transactions ] [ level ]
no debug crypto ca [ messages | transactions ] [ level ]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、PKI に関するデバッグ メッセージをイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug crypto engine
暗号化エンジンに関するデバッグ メッセージを表示するには、特権 EXEC モードで debug crypto engine コマンドを使用します。暗号化エンジンに関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
no debug crypto engine [ level ]
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、暗号化エンジンに関するデバッグ メッセージをイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug crypto ipsec
IPSec に関するデバッグ メッセージを表示するには、特権 EXEC モードで debug crypto ipsec コマンドを使用します。IPSec に関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
no debug crypto ipsec [ level ]
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、IPSec に関するデバッグ メッセージをイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug crypto isakmp
ISAKMP に関するデバッグ メッセージを表示するには、特権 EXEC モードで debug crypto isakmp コマンドを使用します。ISAKMP に関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
debug crypto isakmp [ timers ] [ level ]
no debug crypto isakmp [ timers ] [ level ]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、ISAKMP に関するデバッグ メッセージをイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug ctiqbe
CTIQBE アプリケーション検査に関するデバッグ メッセージを表示するには、特権 EXEC モードで debug ctiqbe コマンドを使用します。CTIQBE アプリケーション検査に関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
debug コマンドの現在の設定を表示するには、 show debug コマンドを入力します。デバッグ出力を停止するには、 no debug コマンドを入力します。デバッグ メッセージがすべて表示されないようにするには、 no debug all コマンドを入力します。
（注） debug ctiqbe コマンドをイネーブルにすると、通信量の多いネットワークでは、トラフィックの速度が遅くなります。
例
次の例では、CTIQBE アプリケーション検査に関するデバッグ メッセージをデフォルトのレベル（1）でイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug dhcpc
DHCP クライアントのデバッグをイネーブルにするには、特権 EXEC モードで debug dhcpc コマンドを使用します。デバッグをディセーブルにするには、このコマンドの no 形式を使用します。
debug dhcpc { detail | packet | error } [ level ]
no debug dhcpc { detail | packet | error } [ level ]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次の例では、DHCP クライアントに関するデバッグをイネーブルにする方法を示しています。
関連コマンド
|
|
|
|---|---|
debug dhcpd
DHCP サーバのデバッグをイネーブルにするには、特権 EXEC モードで debug dhcpd コマンドを使用します。デバッグをディセーブルにするには、このコマンドの no 形式を使用します。
debug dhcpd { event | packet } [ level ]
no debug dhcpd { event | packet } [ level ]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
debug dhcpd event コマンドは、DHCP サーバに関するイベント情報を表示します。 debug dhcpd packet コマンドは、DHCP サーバに関するパケット情報を表示します。
debug dhcpd コマンドの no 形式を使用して、デバッグをディセーブルにします。
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次の例では、DHCP イベント デバッグをイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug dhcprelay
DHCP リレー サーバのデバッグをイネーブルにするには、特権 EXEC モードで debug dhcpreleay コマンドを使用します。デバッグをディセーブルにするには、このコマンドの no 形式を使用します。
debug dhcprelay { event | packet | error } [ level ]
no debug dhcprelay { event | packet | error } [ level ]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次の例は、DHCP リレー エージェントのエラー メッセージのデバッグをイネーブルにする方法を示しています。
関連コマンド
|
|
|
|---|---|
debug disk
ファイル システムのデバッグ情報を表示するには、特権 EXEC モードで debug disk コマンドを使用します。デバッグ情報の表示をディセーブルにするには、このコマンドの no 形式を使用します。
debug disk { file | file-verbose | filesystem } [ level ]
no debug disk { file | file-verbose | filesystem }
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次の例では、ファイル レベルでのディスクのデバッグ メッセージをイネーブルにします。 show debug コマンドは、ファイル レベルでのディスク デバッグ メッセージがイネーブルになっていることを示します。 dir コマンドを実行すると、いくつかのデバッグ メッセージが作成されます。
関連コマンド
|
|
|
|---|---|
debug dns
DNS に関するデバッグ メッセージを表示するには、特権 EXEC モードで debug dns コマンドを使用します。DNS に関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
debug dns [ resolver | all ] [ level ]
no debug dns [ resolver | all ] [ level ]
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
|
デフォルト
デフォルトのレベルは、1 です。キーワードを指定しない場合、セキュリティ アプライアンスはすべてのメッセージを表示します。
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では DNS のデバッグ メッセージをイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug entity
管理情報ベース（MIB）のデバッグ情報を表示するには、特権 EXEC モードで debug entity コマンドを使用します。デバッグ情報の表示をディセーブルにするには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次の例では、MIB デバッグ メッセージをイネーブルにします。 show debug コマンドは、MIB デバッグ メッセージがイネーブルになっていることを示します。
関連コマンド
|
|
|
|---|---|
debug fixup
アプリケーション検査に関する詳細情報を表示するには、特権 EXEC モードで debug fixup コマンドを使用します。デバッグをディセーブルにするには、このコマンドの no 形式を使用します。
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
debug fixup コマンドは、アプリケーション検査に関する詳細情報を表示します。no debug all コマンドまたは undebug all コマンドは、イネーブルなデバッグをすべてオフにします。
例
次の例では、アプリケーション検査に関する詳細情報の表示をイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug fover
フェールオーバーのデバッグ情報を表示するには、特権 EXEC モードで debug fover コマンドを使用します。デバッグ情報の表示をディセーブルにするには、このコマンドの no 形式を使用します。
debug fover { cable | fail | fmsg | ifc | open | rx | rxdmp | rxip | switch | sync | tx | txdmp | txip | verify }
no debug fover { cable | fail | fmsg | ifc | open | rx | rxdmp | rxip | switch | sync | tx | txdmp | txip | verify }
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次の例は、フェールオーバー コマンド複製のデバッグ情報を表示する方法を示しています。
関連コマンド
|
|
|
|---|---|
debug fsm
FSM のデバッグ情報を表示するには、特権 EXEC モードで debug fsm コマンドを使用します。デバッグ情報の表示をディセーブルにするには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次の例では、FSM デバッグ メッセージをイネーブルにします。 show debug コマンドは、FSM デバッグ メッセージがイネーブルになっていることを示します。
関連コマンド
|
|
|
|---|---|
debug ftp client
FTP に関するデバッグ メッセージを表示するには、特権 EXEC モードで debug ftp client コマンドを使用します。FTP に関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
debug コマンドの現在の設定を表示するには、 show debug コマンドを入力します。デバッグ出力を停止するには、 no debug コマンドを入力します。デバッグ メッセージがすべて表示されないようにするには、 no debug all コマンドを入力します。
（注） debug ftp client コマンドをイネーブルにすると、通信量の多いネットワークでは、トラフィックの速度が遅くなります。
例
次の例では、FTP のデバッグ メッセージをデフォルトのレベル（1）でイネーブルにします。
関連コマンド
|
|
|
|---|---|
イメージ ファイルまたはコンフィギュレーション ファイルを FTP サーバとの間でアップロードまたはダウンロードします。 |
|
debug generic
その他のデバッグ情報を表示するには、特権 EXEC モードで debug generic コマンドを使用します。その他のデバッグ情報の表示をディセーブルにするには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次の例では、その他のデバッグ メッセージをイネーブルにします。 show debug コマンドは、その他のデバッグ メッセージがイネーブルになっていることを示します。
関連コマンド
|
|
|
|---|---|
debug gtp
GTP 検査に関する詳細情報を表示するには、特権 EXEC モードで debug gtp コマンドを使用します。デバッグをディセーブルにするには、このコマンドの no 形式を使用します。
debug gtp [ error | event | ha | parser ]
no debug gtp [ error | event | ha | parser ]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
debug gtp コマンドは、GTP 検査に関する詳細情報を表示します。no debug all コマンドまたは undebug all コマンドは、イネーブルなデバッグをすべてオフにします。
例
次の例では、GTP 検査に関する詳細情報の表示をイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug h323
H.323 に関するデバッグ メッセージを表示するには、特権 EXEC モードで debug h323 コマンドを使用します。H.323 に関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
debug h323 { h225 | h245 | ras } [ asn | event ]
no debug h323 { h225 | h245 | ras } [ asn | event ]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
debug コマンドの現在の設定を表示するには、 show debug コマンドを入力します。デバッグ出力を停止するには、 no debug コマンドを入力します。デバッグ メッセージがすべて表示されないようにするには、 no debug all コマンドを入力します。
（注） debug h323 コマンドをイネーブルにすると、通信量の多いネットワークでは、トラフィックの速度が遅くなります。
例
次の例では、H.225 シグナリングのデバッグ メッセージをデフォルトのレベル（1）でイネーブルにします。
関連コマンド
|
|
|
|---|---|
スロースタートを使用しているエンドポイントがセキュリティ アプライアンスを越えて確立した H.245 セッションの情報を表示します。 |
|
debug http
HTTP トラフィックに関する詳細情報を表示するには、特権 EXEC モードで debug http コマンドを使用します。デバッグをディセーブルにするには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
debug http コマンドは、HTTP トラフィックに関する詳細情報を表示します。no debug all コマンドまたは undebug all コマンドは、イネーブルなデバッグをすべてオフにします。
例
次の例では、HTTP トラフィックに関する詳細情報の表示をイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug http-map
HTTP アプリケーション検査マップに関するデバッグ メッセージを表示するには、特権 EXEC モードで debug http-map コマンドを使用します。HTTP アプリケーション検査に関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
debug コマンドの現在の設定を表示するには、 show debug コマンドを入力します。デバッグ出力を停止するには、 no debug コマンドを入力します。デバッグ メッセージがすべて表示されないようにするには、 no debug all コマンドを入力します。
（注） debug http-map コマンドをイネーブルにすると、通信量の多いネットワークでは、トラフィックの速度が遅くなります。
例
次の例では、HTTP アプリケーション検査のデバッグ メッセージをデフォルトのレベル（1）でイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug icmp
ICMP 検査に関する詳細情報を表示するには、特権 EXEC モードで debug icmp コマンドを使用します。デバッグをディセーブルにするには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
debug icmp コマンドは、ICMP 検査に関する詳細情報を表示します。no debug all コマンドまたは undebug all コマンドは、イネーブルなデバッグをすべてオフにします。
例
次の例では、ICMP 検査に関する詳細情報の表示をイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug igmp
IGMP のデバッグ情報を表示するには、特権 EXEC モードで debug igmp コマンドを使用します。デバッグ情報の表示を停止するには、このコマンドの no 形式を使用します。
debug igmp [ group group_id | interface if_name ]
no debug igmp [ group group_id | interface if_name ]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
関連コマンド
|
|
|
|---|---|
セキュリティ アプライアンスに直接接続される受信者を保持していて、IGMP を通じてラーニングされたマルチキャスト グループを表示します。 |
|
debug ils
ILS に関するデバッグ メッセージを表示するには、特権 EXEC モードで debug ils コマンドを使用します。ILS に関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
debug コマンドの現在の設定を表示するには、 show debug コマンドを入力します。デバッグ出力を停止するには、 no debug コマンドを入力します。デバッグ メッセージがすべて表示されないようにするには、 no debug all コマンドを入力します。
（注） debug ils コマンドをイネーブルにすると、通信量の多いネットワークでは、トラフィックの速度が遅くなります。
例
次の例では、ILS アプリケーション検査のデバッグ メッセージをデフォルトのレベル（1）でイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug imagemgr
Image Manager のデバッグ情報を表示するには、特権 EXEC モードで debug imagemgr コマンドを使用します。デバッグ情報の表示をディセーブルにするには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次の例では、Image Manager デバッグ メッセージをイネーブルにします。 show debug コマンドは、Image Manager のデバッグ メッセージがイネーブルになっていることを示します。
関連コマンド
|
|
|
|---|---|
debug ipsec-over-tcp
IPSec-over-TCP のデバッグ情報を表示するには、特権 EXEC モードで debug ipsec-over-tcp コマンドを使用します。デバッグ情報の表示をディセーブルにするには、このコマンドの no 形式を使用します。
debug ipsec-over-tcp [ level ]
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次の例では、IPSec-over-TCP のデバッグ メッセージをイネーブルにします。 show debug コマンドは、IPSec-over-TCP のデバッグ メッセージがイネーブルになっていることを示します。
関連コマンド
|
|
|
|---|---|
debug ipv6
ipv6 のデバッグ メッセージを表示するには、特権 EXEC モードで debug ipv6 コマンドを使用します。デバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
debug ipv6 { icmp | interface | nd | packet | routing }
no debug ipv6 { icmp | interface | nd | packet | routing }
シンタックスの説明
ICMPv6 近隣探索トランザクションを除外した、IPv6 ICMP トランザクションに関するデバッグ メッセージを表示します。 |
|
IPv6 のルーティング テーブル アップデートおよびルート キャッシュ アップデートに関するデバッグ情報を表示します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次に、 debug ipv6 icmp コマンドの出力例を示します。
関連コマンド
|
|
|
|---|---|
debug iua-proxy
個々のユーザ認証（IUA）プロキシのデバッグ情報を表示するには、特権 EXEC モードで debug iua-proxy コマンドを使用します。デバッグ情報の表示をディセーブルにするには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次の例では、IUA プロキシのデバッグ メッセージをイネーブルにします。 show debug コマンドは、IUA プロキシのデバッグ メッセージがイネーブルになっていることを示します。
関連コマンド
|
|
|
|---|---|
debug kerberos
Kerberos 認証のデバッグ情報を表示するには、特権 EXEC モードで debug kerberos コマンドを使用します。デバッグ情報の表示をディセーブルにするには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次の例では、Kerberos のデバッグ メッセージをイネーブルにします。 show debug コマンドは、Kerberos のデバッグ メッセージがイネーブルになっていることを示します。
関連コマンド
|
|
|
|---|---|
debug ldap
LDAP のデバッグ情報を表示するには、特権 EXEC モードで debug ldap コマンドを使用します。デバッグ情報の表示をディセーブルにするには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次の例では、LDAP のデバッグ メッセージをイネーブルにします。 show debug コマンドは、LDAP のデバッグ メッセージがイネーブルになっていることを示します。
関連コマンド
|
|
|
|---|---|
debug mac-address-table
MAC アドレス テーブルに関するデバッグ メッセージを表示するには、特権 EXEC モードで debug mac-address-table コマンドを使用します。MAC アドレス テーブルに関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
debug mac-address-table [ level ]
no debug mac-address-table [ level ]
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、MAC アドレス テーブルのデバッグ メッセージをイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug menu
特定機能の詳細なデバッグ情報を表示するには、特権 EXEC モードで debug menu コマンドを使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
関連コマンド
|
|
|
|---|---|
debug mfib
MFIB のデバッグ情報を表示するには、特権 EXEC モードで debug mfib コマンドを使用します。デバッグ情報の表示を停止するには、このコマンドの no 形式を使用します。
debug mfib { db | init | mrib | pak | ps | signal } [ group ]
no debug mfib { db | init | mrib | pak | ps | signal } [ group ]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次の例では、MFIB データベース動作のデバッグ情報を表示します。
関連コマンド
|
|
|
|---|---|
debug mgcp
MGCP アプリケーション検査に関する詳細情報を表示するには、特権 EXEC モードで debug mgcp コマンドを使用します。デバッグをディセーブルにするには、このコマンドの no 形式を使用します。
debug mgcp { messages | parser | sessions }
no debug mgcp { messages | parser | sessions }
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
debug mgcp コマンドは、mgcp 検査に関する詳細情報を表示します。no debug all コマンドまたは undebug all コマンドは、イネーブルなデバッグをすべてオフにします。
例
次の例では、MGCP アプリケーション検査に関する詳細情報の表示をイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug module-boot
SSM ブーティング プロセスに関するデバッグ メッセージを表示するには、特権 EXEC モードで
debug module-boot コマンドを使用します。SSM ブーティング プロセスに関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
no debug module-boot [ level ]
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、SSM ブーティング プロセスに関するデバッグ メッセージをイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug mrib
MRIB のデバッグ情報を表示するには、特権 EXEC モードで debug mrib コマンドを使用します。デバッグ情報の表示を停止するには、このコマンドの no 形式を使用します。
debug mrib { client | io | route [ group ] | table }
no debug mrib { client | io | route [ group ] | table }
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次の例では、MRIB I/O イベントのデバッグをイネーブルにする方法を示しています。
関連コマンド
|
|
|
|---|---|
debug ntdomain
NT ドメイン認証のデバッグ情報を表示するには、特権 EXEC モードで debug ntdomain コマンドを使用します。NT ドメインのデバッグ情報の表示をディセーブルにするには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次の例では、NT ドメインのデバッグ メッセージをイネーブルにします。 show debug コマンドは、NT ドメインのデバッグ メッセージがイネーブルになっていることを示します。
関連コマンド
|
|
|
|---|---|
debug ntp
NTP に関するデバッグ メッセージを表示するには、特権 EXEC モードで debug ntp コマンドを使用します。NTP に関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
debug ntp { adjust | authentication | events | loopfilter | packets | params | select | sync | validity }
no debug ntp { adjust | authentication | events | loopfilter | packets | params | select | sync | validity }
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では NTP に関するデバッグ メッセージをイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug ospf
OSPF ルーティング プロセスのデバッグ情報を表示するには、特権 EXEC モードで debug ospf コマンドを使用します。
debug ospf [ adj | database-timer | events | flood | lsa-generation | packet | retransmission | spf [ external | inter | intra ] | tree ]
no debug ospf [ adj | database-timer | events | flood | lsa-generation | packet | retransmission | spf [ external | inter | intra ] | tree ]
シンタックスの説明
（オプション）OSPF 最短パス優先計算のデバッグをイネーブルにします。SPF デバッグ情報は、 external 、 inter 、および intra のキーワードを使用することで制限できます。 |
|
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次に、 debug ospf events コマンドの出力例を示します。
関連コマンド
|
|
|
|---|---|
debug parser cache
CLI パーサーのデバッグ情報を表示するには、特権 EXEC モードで debug parser cache コマンドを使用します。CLI パーサーのデバッグ情報の表示をディセーブルにするには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次の例では、CLI パーサーのデバッグ メッセージをイネーブルにします。 show debug コマンドは、現在のデバッグ コンフィギュレーションを表示します。CLI パーサーのデバッグ メッセージは、 show debug コマンドの出力の前後に表示されます。
関連コマンド
|
|
|
|---|---|
debug pim
PIM のデバッグ情報を表示するには、特権 EXEC モードで debug pim コマンドを使用します。デバッグ情報の表示を停止するには、このコマンドの no 形式を使用します。
debug pim [ df-election [ interface if_name | rp rp ] | group group | interface if_name | neighbor ]
no debug pim [ df-election [ interface if_name | rp rp ] | group group | interface if_name | neighbor ]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
受信および送信された PIM パケットおよび PIM 関連のイベントを記録します。
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
関連コマンド
|
|
|
|---|---|
debug pix pkt2pc
uauth コードに送信されたパケットをトレースし、uauth プロキシ セッションがデータ パスにカットスルーしたイベントをトレースするデバッグ メッセージを表示するには、特権 EXEC モードで debug pix pkt2pc コマンドを使用します。デバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、uauth コードに送信されたパケットをトレースし、uauth プロキシ セッションがデータ パスにカットスルーしたイベントをトレースするデバッグ メッセージをイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug pix process
xlate およびセカンダリ接続プロセスに関するデバッグ メッセージを表示するには、特権 EXEC モードで debug pix process コマンドを使用します。デバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、xlate およびセカンダリ接続プロセスのデバッグ メッセージをイネーブルにします。
関連コマンド
|
|
|
|---|---|
uauth コードに送信されたパケットをトレースし、uauth プロキシ セッションがデータ パスにカットスルーしたイベントをトレースするデバッグ メッセージを表示します。 |
|
debug pptp
PPTP に関するデバッグ メッセージを表示するには、特権 EXEC モードで debug pptp コマンドを使用します。PPTP に関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
debug コマンドの現在の設定を表示するには、 show debug コマンドを入力します。デバッグ出力を停止するには、 no debug コマンドを入力します。デバッグ メッセージがすべて表示されないようにするには、 no debug all コマンドを入力します。
（注） debug pptp コマンドをイネーブルにすると、通信量の多いネットワークでは、トラフィックの速度が遅くなります。
例
次の例では、PPTP アプリケーション検査に対するデバッグ メッセージをデフォルトのレベル（1）でイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug radius
AAA に関するデバッグ メッセージを表示するには、特権 EXEC モードで debug radius コマンドを使用します。RADIUS メッセージの表示を停止するには、このコマンドの no 形式を使用します。
debug radius [ all | decode | session | user username ] ]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
debug radius コマンドは、セキュリティ アプライアンスと RADIUS AAA サーバの間の RADIUS メッセージに関する詳細情報を表示します。 no debug all コマンドまたは undebug all コマンドは、イネーブルなデバッグをすべてオフにします。
例
次の例は、デコードされた RADIUS メッセージを示しています。これはアカウンティング パケットです。
関連コマンド
|
|
|
|---|---|
debug rip
RIP のデバッグ情報を表示するには、特権 EXEC モードで debug rip コマンドを使用します。デバッグ情報の表示をディセーブルにするには、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次の例では、RIP のレベル 1 デバッグをイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug rtsp
RTSP アプリケーション検査に関するデバッグ メッセージを表示するには、特権 EXEC モードで debug rtsp コマンドを使用します。RTSP アプリケーション検査に関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
debug コマンドの現在の設定を表示するには、 show debug コマンドを入力します。デバッグ出力を停止するには、 no debug コマンドを入力します。デバッグ メッセージがすべて表示されないようにするには、 no debug all コマンドを入力します。
（注） debug rtsp コマンドをイネーブルにすると、通信量の多いネットワークでは、トラフィックの速度が遅くなります。
例
次の例では、RTSP アプリケーション検査のデバッグ メッセージをデフォルトのレベル（1）でイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug sdi
SDI 認証のデバッグ情報を表示するには、特権 EXEC モードで debug sdi コマンドを使用します。SDI デバッグ情報の表示をディセーブルにするには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次の例では、SDI デバッグ メッセージをイネーブルにします。 show debug コマンドは、SDI デバッグ メッセージがイネーブルになっていることを示します。
関連コマンド
|
|
|
|---|---|
debug sequence
すべてのデバッグ メッセージの最初にシーケンス番号を追加するには、特権 EXEC モードで debug sequence コマンドを使用します。デバッグ シーケンス番号の使用をディセーブルにするには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次の例では、デバッグ メッセージのシーケンス番号をイネーブルにします。 debug parser cache コマンドは、CLI パーサー デバッグ メッセージをイネーブルにします。 show debug コマンドは、現在のデバッグ コンフィギュレーションを表示します。表示されている CLI パーサー デバッグ メッセージには、各メッセージの前にシーケンス番号が含まれます。
関連コマンド
|
|
|
|---|---|
debug session-command
SSM へのセッションに対するデバッグ メッセージを表示するには、特権 EXEC モードで debug session-command コマンドを使用します。セッションに関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
debug session-command [ level ]
no debug session-command [ level ]
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、セッションのデバッグ メッセージをイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug sip
SIP アプリケーション検査に関するデバッグ メッセージを表示するには、特権 EXEC モードで
debug sip コマンドを使用します。SIP アプリケーション検査に関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
debug コマンドの現在の設定を表示するには、 show debug コマンドを入力します。デバッグ出力を停止するには、 no debug コマンドを入力します。デバッグ メッセージがすべて表示されないようにするには、 no debug all コマンドを入力します。
（注） debug sip コマンドをイネーブルにすると、通信量の多いネットワークでは、トラフィックの速度が遅くなります。
例
次の例では、SIP アプリケーション検査に対するデバッグ メッセージをデフォルトのレベル（1）でイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug skinny
SCCP（Skinny）アプリケーション検査に関するデバッグ メッセージを表示するには、特権 EXEC モードで debug skinny コマンドを使用します。SCCP アプリケーション検査に関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
debug コマンドの現在の設定を表示するには、 show debug コマンドを入力します。デバッグ出力を停止するには、 no debug コマンドを入力します。デバッグ メッセージがすべて表示されないようにするには、 no debug all コマンドを入力します。
（注） debug skinny コマンドをイネーブルにすると、通信量の多いネットワークでは、トラフィックの速度が遅くなります。
例
次の例では、SCCP アプリケーション検査に関するデバッグ メッセージをデフォルトのレベル（1）でイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug smtp
SMTP/ESMTP アプリケーション検査に関するデバッグ メッセージを表示するには、特権 EXEC モードで debug smtp コマンドを使用します。SMTP/ESMTP アプリケーション検査に関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
debug コマンドの現在の設定を表示するには、 show debug コマンドを入力します。デバッグ出力を停止するには、 no debug コマンドを入力します。デバッグ メッセージがすべて表示されないようにするには、 no debug all コマンドを入力します。
（注） debug smtp コマンドをイネーブルにすると、通信量の多いネットワークでは、トラフィックの速度が遅くなります。
例
次の例では、SMTP/ESMTP アプリケーション検査に対するデバッグ メッセージをデフォルトのレベル（1）でイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug sqlnet
SQL*Net アプリケーション検査に関するデバッグ メッセージを表示するには、特権 EXEC モードで debug sqlnet コマンドを使用します。SQL*Net アプリケーション検査に関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
debug コマンドの現在の設定を表示するには、 show debug コマンドを入力します。デバッグ出力を停止するには、 no debug コマンドを入力します。デバッグ メッセージがすべて表示されないようにするには、 no debug all コマンドを入力します。
（注） debug sqlnet コマンドをイネーブルにすると、通信量の多いネットワークでは、トラフィックの速度が遅くなります。
例
次の例では、SQL*Net アプリケーション検査に対するデバッグ メッセージをデフォルトのレベル（1）でイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug ssh
SSH に関連するデバッグ情報およびエラー メッセージを表示するには、特権 EXEC モードで debug ssh コマンドを使用します。デバッグ情報の表示をディセーブルにするには、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次に、 debug ssh 255 コマンドの出力例を示します。
関連コマンド
|
|
|
|---|---|
debug ssl
SSL のデバッグ情報を表示するには、特権 EXEC モードで debug ssl コマンドを使用します。SSL デバッグ情報の表示をディセーブルにするには、このコマンドの no 形式を使用します。
debug ssl { cipher | device } [ level ]
no debug ssl { cipher | device }
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次の例では、特に暗号ネゴシエーションに対する SSL デバッグ メッセージをイネーブルにします。 show debug コマンドは、SSL デバッグ メッセージがイネーブルになっていることを示します。
関連コマンド
|
|
|
|---|---|
debug sunrpc
RPC アプリケーション検査に関するデバッグ メッセージを表示するには、特権 EXEC モードで debug sunrpc コマンドを使用します。RPC アプリケーション検査に関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
debug コマンドの現在の設定を表示するには、 show debug コマンドを入力します。デバッグ出力を停止するには、 no debug コマンドを入力します。デバッグ メッセージがすべて表示されないようにするには、 no debug all コマンドを入力します。
（注） debug sunrpc コマンドをイネーブルにすると、通信量の多いネットワークでは、トラフィックの速度が遅くなります。
例
次の例では、RPC アプリケーション検査に対するデバッグ メッセージをデフォルトのレベル（1）でイネーブルにします。
関連コマンド
|
|
|
|---|---|
debug tacacs
TACACS+ のデバッグ情報を表示するには、特権 EXEC モードで debug tacacs コマンドを使用します。TACACS+ デバッグ情報の表示をディセーブルにするには、このコマンドの no 形式を使用します。
debug tacacs [ session | user username ]
no debug tacacs [ session | user username ]
シンタックスの説明
ユーザ固有の TACACS+ デバッグ メッセージを表示します。一度に 1 人のユーザの TACACS+ デバッグ メッセージだけ表示できます。 |
|
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次の例では、TACACS+ デバッグ メッセージをイネーブルにします。 show debug コマンドは、TACACS+ デバッグ メッセージがイネーブルになっていることを示します。
関連コマンド
|
|
|
|---|---|
debug tcp-map
TCP アプリケーション検査マップに関するデバッグ メッセージを表示するには、特権 EXEC モードで debug tcp-map コマンドを使用します。TCP アプリケーション検査に関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次の例では、TCP アプリケーション検査マップに対するデバッグ メッセージをイネーブルにします。 show debug コマンドは、TCP アプリケーション検査マップのデバッグ メッセージがイネーブルになっていることを示します。
関連コマンド
|
|
|
|---|---|
debug timestamps
すべてのデバッグ メッセージの最初にタイムスタンプ情報を追加するには、特権 EXEC モードで debug timestamps コマンドを使用します。デバッグ タイムスタンプの使用をディセーブルにするには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次の例では、デバッグ メッセージのタイムスタンプをイネーブルにします。 debug parser cache コマンドは、CLI パーサー デバッグ メッセージをイネーブルにします。 show debug コマンドは、現在のデバッグ コンフィギュレーションを表示します。表示されている CLI パーサー デバッグ メッセージには、各メッセージの前にタイムスタンプが含まれています。
関連コマンド
|
|
|
|---|---|
debug vpn-sessiondb
VPN セッション データベースのデバッグ情報を表示するには、特権 EXEC モードで
debug vpn-sessiondb コマンドを使用します。VPN セッション データベースに関するデバッグ情報の表示をディセーブルにするには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デバッグ出力は CPU プロセスで高優先順位が割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、シスコのテクニカルサポート スタッフとのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用することをお勧めします。このような期間にデバッグを実行すると、 debug コマンドの処理オーバーヘッドの増加によってシステムの使用に影響が生じる可能性が低くなります。
例
次の例では、VPN セッション データベースのデバッグ メッセージをイネーブルにします。
show debug コマンドは、VPN セッション データベースのデバッグ メッセージがイネーブルになっていることを示します。
関連コマンド
|
|
|
|---|---|
debug xdmcp
XDMCP アプリケーション検査に関するデバッグ メッセージを表示するには、特権 EXEC モードで debug xdmcp コマンドを使用します。XDMCP アプリケーション検査に関するデバッグ メッセージの表示を停止するには、このコマンドの no 形式を使用します。
シンタックスの説明
（オプション）表示するデバッグ メッセージのレベル（1 ～ 255）を設定します。デフォルトは 1 です。高レベルの追加メッセージを表示するには、レベルを高い数値に設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
debug コマンドの現在の設定を表示するには、 show debug コマンドを入力します。デバッグ出力を停止するには、 no debug コマンドを入力します。デバッグ メッセージがすべて表示されないようにするには、 no debug all コマンドを入力します。
（注） debug xdmcp コマンドをイネーブルにすると、通信量の多いネットワークでは、トラフィックの速度が遅くなります。
例
次の例では、XDMCP アプリケーション検査に対するデバッグ メッセージをデフォルトのレベル（1）でイネーブルにします。
関連コマンド
|
|
|
|---|---|
default
time-range コマンドの absolute キーワードおよび periodic キーワードのデフォルト設定を復元するには、時間範囲コンフィギュレーション モードで default コマンドを使用します。
default { absolute | periodic days-of-the-week time to [ days-of-the-week ] time }
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
終了の days-of-the-week 値が開始の days-of-the-week 値と同じである場合は、終了の days-of-the-week 値を省略できます。
time-range コマンドに absolute 値と periodic 値の両方が指定されている場合、 periodic コマンドは absolute start 時刻に達した後にだけ評価され、 absolute end 時刻に達した後はそれ以上評価されません。
time-range 機能はセキュリティ アプライアンスのシステム クロックに依存しています。ただし、この機能は、NTP 同期化により最適に動作します。
例
次の例は、 absolute キーワードのデフォルト動作を復元する方法を示しています。
関連コマンド
|
|
|
|---|---|
default (crl configure)
すべての CRL パラメータをシステムのデフォルト値に戻すには、crl 設定コンフィギュレーション モードで default コマンドを使用します。crl 設定コンフィギュレーション モードには、暗号 CA トラストポイント コンフィギュレーション モードからアクセスできます。これらのパラメータは、LDAP サーバが必要とする場合にだけ使用されます。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、ca-crl コンフィギュレーション モードに入り、CRL コマンド値をデフォルトに戻します。
関連コマンド
|
|
|
|---|---|
default (time-range)
absolute および periodic コマンドのデフォルト設定を復元するには、時間範囲コンフィギュレーション モードで default コマンドを使用します。
default { absolute | periodic days-of-the-week time to [ days-of-the-week ] time }
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
終了の days-of-the-week 値が開始の days-of-the-week 値と同じである場合は、終了の days-of-the-week 値を省略できます。
time-range コマンドに absolute 値と periodic 値の両方が指定されている場合、 periodic コマンドは absolute start 時刻に達した後にだけ評価され、 absolute end 時刻に達した後はそれ以上評価されません。
time-range 機能はセキュリティ アプライアンスのシステム クロックに依存しています。ただし、この機能は、NTP 同期化により最適に動作します。
例
次の例は、 absolute キーワードのデフォルト動作を復元する方法を示しています。
関連コマンド
|
|
|
|---|---|
default enrollment
すべての登録パラメータをシステムのデフォルト値に戻すには、暗号 CA トラストポイント コンフィギュレーション モードで default enrollment コマンドを使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、トラストポイント central の暗号 CA トラストポイント コンフィギュレーション モードに入り、すべての登録パラメータをトラストポイント central 内のデフォルト値に戻します。
関連コマンド
|
|
|
|---|---|
default-domain
グループポリシーのユーザに対してデフォルトのドメイン名を設定するには、グループポリシー コンフィギュレーション モードで default-domain コマンドを使用します。ドメイン名を削除するには、このコマンドの no 形式を使用します。
ユーザがドメイン名を継承しないようにするには、 default-domain none コマンドを使用します。
セキュリティ アプライアンスは、ドメイン フィールドを省略した DNS クエリーに付加するために、デフォルト ドメイン名を IPSec クライアントに渡します。このドメイン名は、トンネル パケットにだけ適用されます。デフォルト ドメイン名がない場合、ユーザはデフォルト グループポリシーのデフォルト ドメイン名を継承します。
default-domain {value domain-name | none}
no default-domain [ domain-name ]
シンタックスの説明
デフォルト ドメイン名がないことを指定します。デフォルト ドメイン名にヌル値を設定して、デフォルト ドメイン名を拒否します。デフォルトのグループポリシーまたは指定されているグループポリシーからデフォルトのドメイン名を継承しないようにします。 |
|
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例は、 FirstGroup という名前のグループポリシーに対して FirstDomain のデフォルト ドメイン名を設定する方法を示しています。
関連コマンド
|
|
|
|---|---|
トンネリングが必要なネットワークと不要なネットワークを区別するために、セキュリティ アプライアンスが使用するアクセスリストを指定します。 |
|
IPSec クライアントが、条件に応じて、パケットを暗号化された形式で IPSec トンネルを介して誘導したり、クリアテキスト形式でネットワーク インターフェイスに誘導したりできるようにします。 |
default-group-policy
デフォルトでユーザが継承するアトリビュートのセットを指定するには、トンネルグループ一般アトリビュート コンフィギュレーション モードで default-group-policy コマンドを使用します。デフォルトのグループポリシー名を削除するには、このコマンドの no 形式を使用します。
default-group-policy group-name
no default-group-policy group-name
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デフォルトのグループポリシー DfltGrpPolicy では、セキュリティ アプライアンスが初期設定されています。すべてのトンネルグループ タイプにこのアトリビュートを適用できます。
例
次の例では、Config-general コンフィギュレーション モードに入り、standard-policy という名前の IPSec LAN-to-LAN トンネルグループで、ユーザがデフォルトで継承するアトリビュートのセットを指定します。このコマンドのセットは、アカウンティング サーバ、認証サーバ、認可サーバおよびアドレス プールを定義します。
関連コマンド
|
|
|
|---|---|
crypto ca certificate map コマンドで作成された証明書マップ エントリをトンネルグループに関連付けます。 |
default-group-policy (webvpn)
WebVPN または電子メールのプロキシ コンフィギュレーションがグループポリシーを指定していない場合に、使用するグループポリシー名を指定するには、 default-group-policy コマンドを使用します。WebVPN、IMAP4S、POP3S、および SMTPS セッションは、指定されたグループポリシーまたはデフォルトのグループポリシーのいずれかを必要とします。WebVPN の場合、このコマンドは webvpn モードで使用します。電子メールの場合、このコマンドは、該当する電子メール プロキシ モードで使用します。アトリビュートをコンフィギュレーションから削除するには、このコマンドの no 形式を使用します。
default-group-policy groupname
シンタックスの説明
デフォルトのグループポリシーとして使用する設定済みのグループポリシーを指定します。コンフィギュレーション モードで group-policy コマンドを使用し、グループポリシーを設定します。 |
デフォルト
DfltGrpPolicy という名前のデフォルト グループポリシーは、常にセキュリティ アプライアンスに存在します。 default-group-policy コマンドを使用すると、作成したグループポリシーを、WebVPN および電子メール プロキシ セッション用のデフォルトのグループポリシーとして代用できます。別の方法として、DfltGrpPolicy を編集することもできます。
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
システムの DefaultGroupPolicy は編集できますが、削除できません。DefaultGroupPolicy の AVP は次のとおりです。
|
|
|
|---|---|
例
次の例は、WebVPN に WebVPN7 という名前のデフォルト グループポリシーを指定する方法を示しています。
hostname(config)# webvpn
default-idle-timeout
WebVPN ユーザに対するデフォルトのアイドル タイムアウトを設定するには、webvpn モードで default-idle-timeout コマンドを使用します。デフォルトのアイドル タイムアウト値をコンフィギュレーションから削除してデフォルトにリセットするには、このコマンドの no 形式を使用します。
デフォルトのアイドル タイムアウトを使用すると、古いセッションが発生するのを防ぐことができます。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
ユーザのアイドル タイムアウトが定義されていない場合、値が 0 の場合、または値が有効な範囲外である場合、セキュリティ アプライアンスはここで設定された値を使用します。
このコマンドに、短い時間を設定することをお勧めします。理由は、クッキーがディセーブルにされている（またはクッキーを要求され、それを拒否する）設定のブラウザにより、ユーザが接続していなくてもセッション データベースに表示される場合があるからです。許容する接続の最大数が 1 に設定されている場合は（ vpn-simultaneous-logins コマンド）、すでに接続の最大数に達していることをデータベースが示すため、ユーザはログインし直すことができません。アイドル タイムアウトを低く設定すると、そのような実体のないセッションを迅速に削除し、ユーザは再度ログインできます。
例
次の例は、デフォルトのアイドル タイムアウトを 1,200 秒（20 分）に設定する方法を示しています。
hostname(config)# webvpn
関連コマンド
|
|
|
|---|---|
default-information originate
OSPF ルーティング ドメインへのデフォルトの外部ルートを生成するには、ルータ コンフィギュレーション モードで default-information originate コマンドを使用します。この機能をディセーブルにするには、このコマンドの no 形式を使用します。
default-information originate [ always ] [ metric value ] [ metric-type { 1 | 2 }] [ route-map name ]
no default-information originate [[ always ] [ metric value ] [ metric-type { 1 | 2 }] [ route-map name ]]
シンタックスの説明
（オプション）ソフトウェアでデフォルト ルートが設定されているかどうかかかわらず、常にデフォルト ルートをアドバタイズします。 |
|
（オプション）OSPF ルーティング ドメインにアドバタイズされたデフォルト ルートに関連する外部リンク タイプです。有効な値は次のとおりです。 |
|
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドの no 形式をオプションのキーワードおよび引数と共に使用すると、コマンドからオプションの情報だけが削除されます。たとえば、 no default-information originate metric 3 を入力すると、実行コンフィギュレーションのコマンドから metric 3 オプションが削除されます。実行コンフィギュレーションからコマンド全体を削除するには、このコマンドの no 形式をオプションなしで使用します。つまり no default-information originate となります。
例
次の例は、オプションのメトリックおよびメトリック タイプと共に default-information originate コマンドを使用する方法を示しています。
関連コマンド
|
|
|
|---|---|
delete
ディスク パーティションのファイルを削除するには、特権 EXEC モードで delete コマンドを使用します。
delete [/noconfirm] [/recursive] [disk0: | disk1: | flash:] filename
シンタックスの説明
取り外しできない内部フラッシュを指定して、続けてコロン（:）を入力します。ASA 5500 シリーズでは、 flash キーワードは disk0 のエイリアスです。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
パスを指定しない場合、ファイルは現在の作業ディレクトリから削除されます。ファイルの削除では、ワイルドカードがサポートされています。ファイルを削除する場合、ファイル名のプロンプトが表示され、削除を確認する必要があります。
次の例は、現在の作業ディレクトリにある test.cfg という名前のファイルを削除する方法を示しています。
関連コマンド
|
|
|
|---|---|
deny version
SNMP トラフィックの特定のバージョンを拒否するには、グローバル コンフィギュレーション モードから snmp-map コマンドを入力することによりアクセスできる SNMP マップ コンフィギュレーション モードで deny version コマンドを使用します。このコマンドをディセーブルにするには、このコマンドの no 形式を使用します。
シンタックスの説明
セキュリティ アプライアンスがドロップする SNMP トラフィックのバージョンを指定します。許可される値は 1 、 2 、 2c 、および 3 です。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
deny version コマンドを使用して、SNMP トラフィックを、SNMP の特定のバージョンに制限します。SNMP の以前のバージョンはセキュリティが低いため、セキュリティ ポリシーで SNMP トラフィックを Version 2 に制限することができます。 snmp-map コマンドを使用して設定する SNMP マップ内で deny version コマンドを使用します。SNMP マップを作成した後で、 inspect snmp コマンドを使用してマップをイネーブルにし、次にそれを service-policy コマンドを使用して 1 つまたは複数のインターフェイスに適用します。
例
次の例は、SNMP トラフィックを識別し、SNMP マップを定義し、ポリシーを定義して、そのポリシーを外部インターフェイスに適用する方法を示しています。
関連コマンド
|
|
|
|---|---|
description
指定したコンフィギュレーション ユニット（たとえば、コンテキストまたはオブジェクト グループ）に対する説明を追加するには、さまざまなコンフィギュレーション モードで description コマンドを使用します。この説明を削除するには、このコマンドの no 形式を使用します。説明により、役立つ情報がコンフィギュレーションに追加されます。
シンタックスの説明
説明に、最大 200 文字のテキスト文字列を設定します。文字列に疑問符（?）を含める場合は、不注意から CLI ヘルプを呼び出さないように、疑問符を入力する前に Ctrl+V を入力する必要があります。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
例
次の例は、「アドミニストレーション」コンテキスト コンフィギュレーションに説明を追加したものです。
関連コマンド
|
|
|
|---|---|
システム コンフィギュレーションにセキュリティ コンテキストを作成し、コンテキスト コンフィギュレーション モードに入ります。 |
|
dhcp-network-scope
セキュリティ アプライアンス DHCP サーバが、このグループポリシーのユーザにアドレスを割り当てるために使用する IP アドレスの範囲を指定するには、グループポリシー コンフィギュレーション モードで dhcp-network-scope コマンドを使用します。このアトリビュートを実行コンフィギュレーションから削除するには、このコマンドの no 形式を使用します。このオプションを使用すると、値を別のグループポリシーから継承できます。値を継承しないようにするには、 dhcp-network-scope none コマンドを使用します。
dhcp-network-scope { ip_address } | none
シンタックスの説明
このグループポリシーのユーザに IP アドレスを割り当てるときに使用する、DHCP サーバの IP サブネットワークを指定します。 |
|
DHCP サブネットワークに、ヌル値を設定して IP アドレスを許可しません。デフォルトのグループポリシーまたは指定されているグループポリシーから値を継承しないようにします。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
例
次の例は、First Group という名前のグループポリシーに対して 10.10.85.0 という IP サブネットワークを設定する方法を示しています。
dhcp-server
VPN トンネルが確立されると IP アドレスをクライアントに割り当てる DHCP サーバへのサポートを設定するには、トンネルグループ一般アトリビュート コンフィギュレーション モードで dhcp-server コマンドを使用します。このコマンドをデフォルトに戻すには、このコマンドの no 形式を使用します。
dhcp-server hostname1 [... hostname10 ]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
Config-general コンフィギュレーション モードで入力された次のコマンドは、3 つの DHCP サーバ（dhcp1、dhcp2、および dhcp3）を IPSec リモートアクセス トンネルグループ remotegrp に追加します。
関連コマンド
|
|
|
|---|---|
crypto ca certificate map コマンドで作成された証明書マップ エントリをトンネルグループに関連付けます。 |
dhcpd address
DHCP サーバで使用される IP アドレス プールを定義するには、グローバル コンフィギュレーション モードで dhcpd address コマンドを使用します。既存の DHCP アドレス プールを削除するには、このコマンドの no 形式を使用します。
dhcpd address IP_address 1 [ - IP_address 2 ] interface_name
no dhcpd address interface_name
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
dhcpd address ip1 [ - ip2 ] interface_name コマンドは、DHCP サーバのアドレス プールを指定します。 セキュリティ アプライアンス DHCP サーバのアドレス プールは、それがイネーブルにされたセキュリティ アプライアンス インターフェイスと同じサブネット内にある必要があり、
interface_name を使用して関連する セキュリティ アプライアンス インターフェイスを指定する必要があります。
アドレス プールのサイズは、セキュリティ アプライアンスでプールあたり 256 に制限されています。アドレス プールの範囲が 253 アドレスよりも大きい場合、セキュリティ アプライアンス インターフェイスのネットマスクは、クラス C アドレス（たとえば、255.255.255.0）にはできないため、それよりいくらか大きく、たとえば、255.255.254.0 にする必要があります。
DHCP クライアントは、物理的に セキュリティ アプライアンス DCHP サーバ インターフェイスのサブネットに接続されている必要があります。
dhcpd address コマンドでは、「-」記号がオブジェクト名の一部ではなく範囲指定子と解釈されるため、「-」（ダッシュ）文字を含むインターフェイス名は使用できません。
no dhcpd address interface_name コマンドは、指定されたインターフェイスに設定されている DHCP サーバ アドレス プールを削除します。
DHCP サーバ機能をセキュリティ アプライアンスに実装する方法については、『 Cisco Security Appliance Command Line Configuration Guide 』を参照してください。
例
次の例は、セキュリティ アプライアンスの dmz インターフェイスに DHCP クライアントに対するアドレス プールおよび DNS サーバを設定するため、 dhcpd address 、 dhcpd dns 、および dhcpd enable interface_name コマンドを使用する方法を示しています。
次の例は、内部インターフェイスに DHCP サーバを設定する方法を示しています。内部インターフェイスの DHCP サーバに 10 個の IP アドレスのプールを割り当てるため、 dhcpd address コマンドを使用します。
関連コマンド
|
|
|
|---|---|
dhcpd auto_config
DHCP クライアントで実行されているインターフェイスから取得した値に基づいて、セキュリティ アプライアンスが DHCP サーバに対して DNS、WINS およびドメイン名を自動的に設定することをイネーブルにするには、グローバル コンフィギュレーション モードで dhcpd auto_config コマンドを使用します。DHCP パラメータの自動設定を解除するには、このコマンドの no 形式を使用します。
dhcpd auto_config client_if_name
no dhcpd auto_config client_if_name
シンタックスの説明
DNS、WINS、およびドメイン名パラメータを提供する DHCP クライアントを実行している、インターフェイスを指定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
CLI コマンドを使用して DNS、WINS、またはドメイン名パラメータを指定した場合、自動設定によって取得されたパラメータは、CLI により設定されたパラメータに上書きされます。
例
次の例は、内部インターフェイス上で DHCP を設定する方法を示しています。外部インターフェイス上の DHCP クライアントから取得した DNS、WINS、およびドメイン情報を、内部インターフェイス上の DHCP クライアントに渡すには dhcpd auto_config コマンドを使用します。
関連コマンド
|
|
|
|---|---|
DHCP クライアントとして動作するインターフェイスに DHCP サーバから提供される、DHCP オプションに関する詳細情報を表示します。 |
|
dhcpd dns
DHCP クライアントに対して DNS サーバを定義するには、グローバル コンフィギュレーション モードで dhcpd dns コマンドを使用します。定義されたサーバをクリアするには、このコマンドの no 形式を使用します。
no dhcpd dns [ dnsip1 [ dnsip2 ]]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
dhcpd dns コマンドは、DNS サーバの IP アドレスまたはアドレスを DHCP クライアントに指定します。2 つの DNS サーバを指定できます。 no dhcpd dns コマンドは、コンフィギュレーションから DNS IP アドレスを削除します。
例
次の例は、セキュリティ アプライアンスの dmz インターフェイスに DHCP クライアントに対するアドレス プールおよび DNS サーバを設定するため、 dhcpd address 、 dhcpd dns 、および dhcpd enable interface_name コマンドを使用する方法を示しています。
関連コマンド
|
|
|
|---|---|
dhcpd domain
DHCP クライアントに対して DNS ドメイン名を定義するには、グローバル コンフィギュレーション モードで dhcpd domain コマンドを使用します。DNS ドメイン名をクリアするには、このコマンドの no 形式を使用します。
no dhcpd domain [ domain_name ]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
dhcpd domain コマンドは、DHCP クライアントに対する DNS ドメイン名を指定します。 no dhcpd domain コマンドは、コンフィギュレーションから DNS ドメイン サーバを削除します。
例
次の例は、セキュリティ アプライアンスで DHCP サーバにより DHCP クライアントに提供されるドメイン名を設定するために dhcpd domain コマンドを使用する方法を示しています。
関連コマンド
|
|
|
|---|---|
dhcpd enable
DHCP サーバをイネーブルにするには、グローバル コンフィギュレーション モードで dhcpd enable コマンドを使用します。DHCP サーバをディセーブルにするには、このコマンドの no 形式を使用します。DHCP サーバには、DHCP クライアントへのネットワーク コンフィギュレーション パラメータがあります。セキュリティ アプライアンス内で DHCP サーバをサポートすることは、セキュリティ アプライアンス が DHCP を使用して、接続されているクライアントを設定できることを意味します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
dhcpd enable interface コマンドを使用すると、DHCP デーモンが DHCP イネーブル インターフェイス上で DHCP クライアントの要求のリスンを開始します。 no dhcpd enable コマンドは、指定したインターフェイス上の DHCP サーバ機能をディセーブルにします。
（注） マルチ コンテキスト モードの場合、複数のコンテキストにより使用されているインターフェイス（共有 VLAN）で DHCP サーバをイネーブルにすることはできません。
セキュリティ アプライアンスが DHCP クライアント要求に応答する場合、要求が受信されたインターフェイスの IP アドレスとサブネット マスクを、デフォルト ゲートウェイの IP アドレスとサブネット マスクとして応答で使用します。
（注） セキュリティ アプライアンス DHCP サーバ デーモンは、直接セキュリティ アプライアンス インターフェイスに接続されていないクライアントをサポートしていません。
DHCP サーバ機能をセキュリティ アプライアンスに実装する方法については、『 Cisco Security Appliance Command Line Configuration Guide 』を参照してください。
例
次の例は、DHCP サーバを内部インターフェイス上でイネーブルにするために dhcpd enable コマンドを使用する方法を示しています。
関連コマンド
|
|
|
|---|---|
dhcpd lease
DHCP リース期間を指定するには、グローバル コンフィギュレーション モードで dhcpd lease コマンドを使用します。リースのデフォルト値に戻すには、このコマンドの no 形式を使用します。
no dhcpd lease [ lease_length ]
シンタックスの説明
DHCP サーバから DHCP クライアントに与えられる、秒単位の、IP アドレスのリース期間です。有効値は 300 ～ 1,048,575 秒です。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
dhcpd lease コマンドは、DHCP クライアントに与えたリース期間を秒単位で指定します。このリース期間は、DHCP サーバが割り当てた IP アドレスを DHCP クライアントが使用できる期間を示します。
no dhcpd lease コマンドは、コンフィギュレーションから指定したリース長を削除して、この値をデフォルト値の 3,600 秒に置き換えます。
例
次の例は、DHCP クライアントに対する DHCP 情報のリース期間を指定するために dhcpd lease コマンドを使用する方法を示しています。
関連コマンド
|
|
|
|---|---|
dhcpd option
DHCP オプションを設定するには、グローバル コンフィギュレーション モードで dhcpd option コマンドを使用します。オプションをクリアするには、このコマンドの no 形式を使用します。 dhcpd option コマンドを使用して、TFTP サーバ情報を Cisco IP Phones およびルータに提供することができます。
dhcpd option code { ascii string } | { ip IP_address [ IP_address ]} | { hex hex_string }
シンタックスの説明
オプション パラメータが IP アドレスであることを指定します。最大 2 つの IP アドレスを ip キーワードに指定できます。 |
|
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
DHCP オプション要求がセキュリティ アプライアンス DHCP サーバに到着すると、セキュリティ アプライアンスは dhcpd option コマンドで指定された値を、クライアントに対する応答に入れます。
dhcpd option 66 および dhcpd option 150 コマンドは、Cisco IP Phones およびルータがコンフィギュレーション ファイルをダウンロードするときに使用する TFTP サーバを指定します。次のようにコマンドを使用します。
•
dhcpd option 66 ascii string 。ここで、 string は IP アドレスまたは TFTP サーバのホスト名です。オプション 66 には、TFTP サーバを 1 つだけ指定できます。
• dhcpd option 150 ip IP_address [ IP_address ]。ここで、 IP_address は TFTP サーバの IP アドレスです。オプション 150 には、最大 2 つの IP アドレスを指定できます。
（注） dhcpd option 66 コマンドは ascii パラメータのみ受け付け、dhcpd option 150 コマンドは ip パラメータのみ受け付けます。
dhcpd option 66 | 150 コマンドに IP アドレスを指定するときには、次のガイドラインに従ってください。
• TFTP サーバが DHCP サーバ インターフェイス上にある場合、TFTP サーバのローカル IP アドレスを使用します。
• TFTP サーバが DHCP サーバ インターフェイスよりもセキュリティが低いインターフェイス上にある場合は、一般の発信規則が適用されます。DHCP クライアント用の NAT エントリ、グローバル エントリ、および access-list エントリを作成し、TFTP サーバの実際の IP アドレスを使用します。
• TFTP サーバがよりセキュリティの高いインターフェイス上にある場合は、一般の受信規則が適用されます。TFTP サーバ用のスタティック文と access-list 文のグループを作成し、TFTP サーバのグローバル IP アドレスを使用します。
例
次の例は、DHCP オプション 66 に TFTP サーバを指定する方法を示しています。
関連コマンド
|
|
|
|---|---|
dhcpd ping_timeout
DHCP PING のデフォルト タイムアウトを変更するには、グローバル コンフィギュレーション モードで dhcpd ping_timeout コマンドを使用します。デフォルト値に戻すには、このコマンドの no 形式を使用します。アドレスの競合を避けるため、DHCP サーバは、アドレスを DHCP クライアントに割り当てる前に 2 つの ICMP PING パケットをアドレスに送信します。このコマンドは、PING タイムアウトをミリ秒で指定します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
セキュリティ アプライアンスは、DHCP クライアントに IP アドレスを割り当てる前に、両方の ICMP PING パケットがタイムアウトになるのを待ちます。たとえば、デフォルト値が使用された場合、セキュリティ アプライアンスは IP アドレスを割り当てる前に、1,500 ミリ秒（各 ICMP PING パケットに対して750 ミリ秒）待ちます。
例
次の例は、 dhcpd ping_timeout コマンドを使用して、DHCP サーバの PING タイムアウト値を変更する方法を示しています。
関連コマンド
|
|
|
|---|---|
dhcpd wins
DHCP クライアントに対して WINS サーバを定義するには、グローバル コンフィギュレーション モードで dhcpd wins コマンドを使用します。DHCP サーバから WINS サーバを削除するには、このコマンドの no 形式を使用します。
no dhcpd wins [ server1 [ server2 ]]
シンタックスの説明
（オプション）代替の Microsoft NetBIOS ネーム サーバ（WINS サーバ）の IP アドレスを指定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
dhcpd wins コマンドは、WINS サーバのアドレスを DHCP クライアントに指定します。 no dhcpd wins コマンドは、コンフィギュレーションから WINS サーバの IP アドレスを削除します。
例
次の例は、dhcpd wins コマンドを使用して、DHCP クライアントに送信された WINS サーバ情報を指定する方法を示しています。
関連コマンド
|
|
|
|---|---|
dhcprelay enable
DHCP リレー エージェントをイネーブルにするには、グローバル コンフィギュレーション モードで dhcprelay enable コマンドを使用します。DHCP リレー エージェントをディセーブルにするには、このコマンドの no 形式を使用します。DHCP リレー エージェントを使用すると、指定したセキュリティ アプライアンス インターフェイスから指定した DHCP サーバに DHCP 要求を転送できます。
dhcprelay enable interface_name
no dhcprelay enable interface_name
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
dhcprelay enable interface_name コマンドによってセキュリティ アプライアンスが DHCP リレー エージェントを開始するようにするには、 dhcprelay server コマンドがコンフィギュレーションにすでに存在している必要があります。そのコマンドがなければ、セキュリティ アプライアンスは次に示すようなエラー メッセージを表示します。
• 同じインターフェイス上で DHCP リレーと DHCP リレー サーバをイネーブルにすることはできません。
• 同じインターフェイス上で DHCP リレーと DHCP サーバ（ dhcpd enable ）をイネーブルにすることはできません。
• 1 つのコンテキストの DHCP リレーを、DHCP サーバと同時にイネーブルにすることはできません。
• マルチ コンテキスト モードの場合、複数のコンテキストにより使用されているインターフェイス（共有 VLAN）で DHCP リレーをイネーブルにすることはできません。
no dhcprelay enable interface_name コマンドは、 interface_name で指定されたインターフェイスの DHCP リレー エージェント コンフィギュレーションだけを削除します。
例
次の例は、10.1.1.1 という IP アドレスを持つ DHCP サーバ用の DHCP リレー エージェントをセキュリティ アプライアンスの外部インターフェイス上に設定し、クライアント要求をセキュリティ アプライアンスの内部インターフェイス上に設定して、さらにタイムアウト値を 90 秒に設定する方法を示しています。
次の例は、DHCP リレー エージェントをディセーブルにする方法を示しています。
関連コマンド
|
|
|
|---|---|
DHCP リレー エージェントが、DHCP 応答でデフォルト ルータ アドレスとして使用する IP アドレスを定義します。 |
|
dhcprelay server
DHCP 要求が転送される DHCP サーバを指定するには、グローバル コンフィギュレーション モードで dhcpreplay server コマンドを使用します。DHCP リレー コンフィギュレーションから DHCP サーバを削除するには、このコマンドの no 形式を使用します。DHCP リレー エージェントを使用すると、指定したセキュリティ アプライアンス インターフェイスから指定した DHCP サーバに DHCP 要求を転送できます。
dhcprelay server IP_address interface_name
no dhcprelay server IP_address [ interface_name ]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
インターフェイスあたり最大 4 つの DHCP リレー サーバを追加できます。 dhcprelay enable コマンドを入力する前に、少なくとも 1 つの dhcprelay server コマンドをセキュリティ アプライアンス コンフィギュレーションに追加する必要があります。DHCP リレー サーバが設定されているインターフェイス上に、DHCP クライアントを設定することはできません。
dhcprelay server コマンドは、指定したインターフェイスにある UDP ポート 67 を開き、 dhcprelay enable コマンドがコンフィギュレーションに追加されるとすぐに DHCP リレー タスクを開始します。コンフィギュレーション内に no dhcprelay enable コマンドがあれば、ソケットは開かれず、DHCP リレー タスクは開始しません。
no dhcprelay server IP_address [ interface_name ] コマンドを使用すると、インターフェイスは DHCP パケットのサーバへの転送を停止します。
no dhcprelay server IP_address [ interface_name ] コマンドを使用すると、 IP_address [ interface_name ] で指定された DHCP サーバ用の DHCP リレー エージェント コンフィギュレーションだけが削除されます。
例
次の例は、10.1.1.1 という IP アドレスを持つ DHCP サーバ用の DHCP リレー エージェントをセキュリティ アプライアンスの外部インターフェイス上に設定し、クライアント要求をセキュリティ アプライアンスの内部インターフェイス上に設定して、さらにタイムアウト値を 90 秒に設定する方法を示しています。
関連コマンド
|
|
|
|---|---|
DHCP リレー エージェントが、DHCP 応答でデフォルト ルータ アドレスとして使用する IP アドレスを定義します。 |
|
dhcprelay setroute
DHCP 応答にデフォルト ゲートウェイ アドレスを設定するには、グローバル コンフィギュレーション モードで dhcprelay setroute コマンドを使用します。デフォルト ルータを削除するには、このコマンドの no 形式を使用します。このコマンドを使用すると、DHCP 応答のデフォルト IP アドレスは、指定されたセキュリティ アプライアンス インターフェイスのアドレスに置き換えられます。
no dhcprelay setroute interface
シンタックスの説明
最初のデフォルト IP アドレス（DHCP サーバから送信されるパケット内にある）を interface のアドレスに変更するように DHCP リレー エージェントを設定します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
dhcprelay setroute interface コマンドを使用すると、DHCP リレー エージェントが最初のデフォルト ルータ アドレス（DHCP サーバから送信されるパケット内にある）を interface のアドレスに変更するように設定できます。
パケット内にデフォルトのルータ オプションがなければ、セキュリティ アプライアンスは、 interface アドレスを含んでいるデフォルト ルータを追加します。その結果、クライアントは自分のデフォルト ルートがセキュリティ アプライアンスに向かうように設定できます。
dhcprelay setroute interface コマンドを設定しない場合（かつパケット内にデフォルトのルータ オプションがある場合）、パケットは、ルータ アドレスが変更されないままセキュリティ アプライアンスを通過します。
例
次の例は、 dhcprelay setroute コマンドを使用して、DHCP 応答のデフォルト ゲートウェイを外部 DHCP サーバからセキュリティ アプライアンスの内部インターフェイスに設定する方法を示しています。
関連コマンド
|
|
|
|---|---|
dhcprelay timeout
DHCP リレー エージェントのタイムアウト値を設定するには、グローバル コンフィギュレーション モードで dhcprelay timeout コマンドを使用します。タイムアウト値をデフォルト値に戻すには、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
dhcprelay timeout コマンドは、DHCP サーバからの応答がリレー バインディング構造を通して DHCP クライアントに進むことが許されている時間の合計を秒単位で設定します。
例
次の例は、10.1.1.1 という IP アドレスを持つ DHCP サーバ用の DHCP リレー エージェントをセキュリティ アプライアンスの外部インターフェイス上に設定し、クライアント要求をセキュリティ アプライアンスの内部インターフェイス上に設定して、さらにタイムアウト値を 90 秒に設定する方法を示しています。
関連コマンド
|
|
|
|---|---|
DHCP リレー エージェントが、DHCP 応答でデフォルト ルータ アドレスとして使用する IP アドレスを定義します。 |
|
dir
ディレクトリの内容を表示するには、特権 EXEC モードで dir コマンドを使用します。
dir [ /all ] [ all-filesystems ] [/recursive] [disk0: | disk1: | flash: | system:] [ path]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例は、ファイル システム全体の内容を再帰的に表示する方法を示しています。
次の例は、フラッシュ パーティションの内容を表示する方法を示しています。
関連コマンド
|
|
|
|---|---|
disable
特権 EXEC モードを終了してユーザ EXEC モードに戻るには、特権 EXEC モードで disable コマンドを使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
enable コマンドを使用して、特権モードに入ります。 disable コマンドは、特権モードを終了して、ユーザ モードに戻ります。
例
> enable
disable
>
関連コマンド
|
|
|
|---|---|
distance ospf
ルート タイプに基づいて OSPF ルートの管理ディスタンスを定義するには、ルータ コンフィギュレーション モードで distance ospf コマンドを使用します。デフォルト値に戻すには、このコマンドの no 形式を使用します。
distance ospf [ intra-area d1 ] [ inter-area d2 ] [ external d3 ]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
少なくとも 1 つのキーワードと引数を指定する必要があります。管理ディスタンスのタイプごとにコマンドを個別に入力することができますが、コンフィギュレーションでは 1 つのコマンドとして表示されます。管理ディスタンスを再入力する場合、対象ルート タイプの管理ディスタンスだけが変更されます。その他のルート タイプの管理ディスタンスは影響されません。
コマンドの no 形式には、キーワードも引数もありません。コマンドの no 形式を使用すると、すべてのルート タイプの管理ディスタンスがデフォルトに戻されます。複数のルート タイプを設定している場合、1 つのルートタイプをデフォルトの管理ディスタンスに戻すには、次のいずれかを実行します。
• コマンドの no 形式を使用してコンフィギュレーション全体を削除してから、保持するルート タイプのコンフィギュレーションを再入力します。
例
次の例では、外部ルートの管理ディスタンスを 150 に設定します。
次の例は、各ルート タイプに入力した個別のコマンドが、ルータ コンフィギュレーションで 1 つのコマンドとして表示される方法を示しています。
次の例では、各管理ディスタンスを 105 に設定し、次に外部管理ディスタンスだけを 150 に変更する方法を示しています。 show running-config router ospf コマンドは、どのように外部ルート タイプの値だけが変更され、その他のルート タイプが以前に設定された値を保持するかを示しています。
関連コマンド
|
|
|
|---|---|
dns domain-lookup
サポートされるコマンドに対してネーム ルックアップを実行するために、セキュリティ アプライアンスが DNS サーバに DNS 要求を送信することをイネーブルにするには、グローバル コンフィギュレーション モードで dns domain-lookup コマンドを使用します。DNS lookup をディセーブルにするには、このコマンドの no 形式を使用します。
dns domain-lookup interface_name
no dns domain-lookup interface_name
シンタックスの説明
DNS lookup をイネーブルにするインターフェイスを指定します。このコマンドを入力して、DNS lookup を複数のインターフェイス上でイネーブルにする場合、セキュリティ アプライアンスは応答を受信するまで各インターフェイスを順番に試します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
DNS 要求を送信する DNS サーバ アドレスを設定するには、 dns name-server コマンドを使用します。DNS lookup をサポートするコマンドのリストについては、 dns name-server コマンドを参照してください。
セキュリティ アプライアンスは、ダイナミックにラーニングされたエントリで構成される名前解決のキャッシュを管理します。セキュリティ アプライアンスは、ホスト名から IP アドレスへの変換が必要になるたびに外部 DNS サーバにクエリーする代わりに、外部 DNS 要求から返された情報をキャッシュします。セキュリティ アプライアンスは、キャッシュにない名前に対してのみ要求を実行します。キャッシュのエントリは、DNS レコードの期限切れ、または 72 時間後のいずれか早い方に自動的にタイムアウトします。
例
次の例では、内部インターフェイス上で DNS lookup をイネーブルにします。
関連コマンド
|
|
|
|---|---|
dns name-server
1 つまたは複数の DNS サーバを指定するには、グローバル コンフィギュレーション モードで dns name-server コマンドを使用します。サーバを削除するには、このコマンドの no 形式を使用します。セキュリティ アプライアンスは、WebVPN コンフィギュレーションまたは証明書コンフィギュレーションのサーバ名を解決するために DNS を使用します（サポートされるコマンドのリストについては、「 使用上のガイドライン 」を参照してください）。サーバ名を定義するその他の機能は（AAA など）、DNS 解決をサポートしていません。IP アドレスを入力するか、 name コマンドを使用して手動により名前を IP アドレスに解決する必要があります。
dns name-server ip_address [ ip_address2 ] [...] [ ip_address6 ]
no dns name-server ip_address [ ip_address2 ] [...] [ ip_address6 ]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
DNS lookup をイネーブルにするには、 dns domain-lookup コマンドを設定します。DNS lookup をイネーブルにしない場合、DNS サーバは使用されません。
DNS 解決をサポートする WebVPN コマンドには、次のコマンドが含まれます。
DNS 解決をサポートする certificate コマンドには、次のコマンドが含まれます。
name コマンドを使用すると、名前と IP アドレスを手動で入力できます。
セキュリティ アプライアンスが 一連の DNS サーバを再試行する回数を設定するには、 dns retries コマンドを参照してください。
例
セキュリティ アプライアンスは、次のようにコンフィギュレーションを個別のコマンドとして保存します。
2 つのサーバを追加するには、それらを 1 つのコマンドとして入力できます。
複数のサーバを削除するには、それらのサーバを、次のように複数のコマンドとして、または 1 つのコマンドとして入力できます。
関連コマンド
|
|
|
|---|---|
dns retries
セキュリティ アプライアンスが応答を受信しないときに、一連の DNS サーバへのアクセスを再試行する回数を指定するには、グローバル コンフィギュレーション モードで dns retries コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、再試行の回数を 0 に設定します。セキュリティ アプライアンスは各サーバを 1 回ずつ試します。
関連コマンド
|
|
|
|---|---|
dns timeout
次の DNS サーバを試すまで待機する時間を指定するには、グローバル コンフィギュレーション モードで dns timeout コマンドを使用します。デフォルトのタイムアウトに戻すには、このコマンドの no 形式を使用します。
シンタックスの説明
タイムアウトを 1 ～ 30 の間の秒単位で指定します。デフォルトは 2 秒です。セキュリティ アプライアンスが一連のサーバを試すたびに、このタイムアウトは倍増します。試行回数を設定するには、 dns retries コマンドを参照してください。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
例
関連コマンド
|
|
|
|---|---|
dns-server
プライマリおよびセカンダリの DNS サーバの IP アドレスを設定するには、グループポリシー モードで dns-server コマンドを使用します。このアトリビュートを実行コンフィギュレーションから削除するには、このコマンドの no 形式を使用します。このオプションを使用すると、DNS サーバを別のグループポリシーから継承できます。サーバを継承しないようにするには、 dns-server none コマンドを使用します。
dns-server { value ip_address [ ip_address ] | none }
シンタックスの説明
dns サーバに、ヌル値を設定して DNS サーバを許可しません。デフォルトのグループポリシーまたは指定されているグループポリシーから値を継承しないようにします。 |
|
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
dns-server コマンドを実行するたびに、既存の設定が上書きされます。たとえば、DNS サーバ x.x.x.x を設定し、次に DNS サーバ y.y.y.y を設定した場合、2 番目のコマンドは最初のコマンドを上書きし、y.y.y.y が唯一の DNS サーバになります。サーバを複数設定する場合も同様です。以前に設定された DNS サーバを上書きする代わりにサーバを追加するには、このコマンドを入力するときにすべての DNS サーバの IP アドレスを含めます。
例
次の例は、FirstGroup という名前のグループポリシーで、IP アドレスが 10.10.10.15、10.10.10.30、および 10.10.10.45 の DNS サーバを設定する方法を示しています。
hostname(config)# group-policy FirstGroup attributes
hostname(config-group-policy)# dns-server value 10.10.10.15 10.10.10.30 10.10.10.45
domain-name
デフォルトのドメイン名を設定するには、グローバル コンフィギュレーション モードで
domain-name コマンドを使用します。ドメイン名を削除するには、このコマンドの no 形式を使用します。セキュリティ アプライアンスは、修飾子を持たない名前の拡張子として、ドメイン名を付加します。 たとえば、ドメイン名を「example.com」と設定し、syslog サーバを、修飾子を持たない「jupiter」という名前で 指定した場合、名前は、セキュリティ アプライアンスにより「jupiter.example.com.」と修飾されます。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、ドメインを example.com に設定します。
関連コマンド
|
|
|
|---|---|
downgrade
オペレーティング システム ソフトウェア（ソフトウェア イメージ）の以前のバージョンにダウングレードするには、特権 EXEC モードで downgrade コマンドを使用します。
downgrade image_url [activation-key [flash | 4-part_key | file ]] [config start_config_url ]
シンタックスの説明
デフォルト
activation-key のキーワードが指定されていない場合、セキュリティ アプライアンスは最後に使用された 4 分割アクティベーション キーを試します。セキュリティ アプライアンスがフラッシュで 4 分割アクティベーション キーを検出できなかった場合、コマンドは拒否され、エラー メッセージが表示されます。この場合、次回にコマンドラインで有効な 4 分割アクティベーション キーを指定する必要があります。デフォルトのアクティベーション キーまたはユーザ指定のアクティベーション キーが、現在有効なアクティベーション キーと比較されます。選択されたアクティベーション キーを使用することで、機能を損失する可能性がある場合、ダウングレード後に、損失する可能性のある機能のリストと共に警告が表示されます。
スタートアップ コンフィギュレーション ファイルが指定されていない場合、セキュリティ アプライアンスはデフォルトで downgrade.cfg を使用します。
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、ソフトウェア リリース 7.0 以降を実行している Cisco PIX Firewall シリーズのセキュリティ アプライアンスに限り使用できます。このコマンドは、Cisco ASA 5500 シリーズのセキュリティ アプライアンスではサポートされていません。
破損したフラッシュ メモリを回復するには、コンソールへの直接アクセスが必要です。 詳細については、 format コマンドを参照してください。
例
次の例では、ソフトウェアをリリース 6.3.3 にダウングレードします。
次の例は、無効なアクティベーション キーを入力した場合の結果を示しています。
Enter the file option when there is no actkey in the source image (happens if the source is in tftp server).
次の例は、ソース イメージのアクティベーション キーを指定したときに、それが存在しなかった場合の結果を示しています。
次の例は、最後のプロンプトでダウングレード手順を中止する方法を示しています。
ダウングレードするには、ソフトウェア バージョンが 7.0 未満である必要があります。次の例は、ソフトウェアのダウングレードに失敗した試行を示しています。
次の例は、イメージを指定したときにアクティベーション キーを確認しなかった場合の結果を示しています。
次の例は、4 分割アクティベーション キーに、現在の 5 分割アクティベーション キーのすべての機能が含まれていない場合の結果を示しています。
関連コマンド
|
|
|
|---|---|
drop
指定された GTP メッセージをドロップするには、 gtp-map コマンドを使用してアクセスされる GTP マップ コンフィギュレーション モードで drop コマンドを使用します。コマンドを削除するには、no 形式を使用します。
drop {apn access_point_name | message message_id | version version}
no drop {apn access_point_name | message message_id | version version}
シンタックスの説明
バージョン 0 を識別するには 0 を、バージョン 1 を識別するには 1 を使用します。GTP のバージョン 0 は ポート 2123 を使用し、バージョン 1 はポート 3386 を使用します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
ネットワークで許可しない特定の GTP メッセージをドロップするには、 drop message コマンドを使用します。
指定されたアクセス ポイントの GTP メッセージをドロップするには、 drop apn コマンドを使用します。指定されたバージョンの GTP メッセージをドロップするには、 drop version コマンドを使用します。
例
次の例では、トラフィックをメッセージ ID 20 にドロップします。
関連コマンド
|
|
|
|---|---|
duplex
銅（RJ-45）のイーサネット インターフェイスのデュプレックス方式を設定するには、インターフェイス コンフィギュレーション モードで duplex コマンドを使用します。デュプレックス設定をデフォルトに戻すには、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
このコマンドが、 interface コマンドのキーワードからインターフェイス コンフィギュレーション モードのコマンドに変更されました。 |
使用上のガイドライン
デュプレックス モードは、物理インターフェイス上にだけ設定します。
duplex コマンドは、ファイバ メディアでは使用できません。
ネットワークが自動検出をサポートしていない場合は、デュプレックス モードを特定の値に設定します。
ASA 5500 シリーズ適応型セキュリティ アプライアンスの RJ-45 インターフェイスでは、デフォルトのオートネゴシエーション設定に Auto-MDI/MDIX 機能も含まれています。Auto-MDI/MDIX は、オートネゴシエーション フェーズでストレート ケーブルが検出されると、内部クロスオーバーを実行して、クロス ケーブルによる接続を不要にします。インターフェイスで Auto-MDI/MDIX をイネーブルにするには、速度またはデュプレックス方式のいずれかをオートネゴシエーションに設定する必要があります。速度とデュプレックス方式の両方に明示的に固定値を設定して、両方の設定に関するオートネゴシエーションをディセーブルにすると、Auto-MDI/MDIX もディセーブルになります。
例
関連コマンド
|
|
|
|---|---|
登録中に、指定された電子メール アドレスを証明書のサブジェクト代替名の拡張に含めるには、暗号 CA トラストポイント コンフィギュレーション モードで email コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
例
次の例では、トラストポイント central の暗号 CA トラストポイント コンフィギュレーション モードに入り、トラストポイント central の登録要求に電子メールアドレスの jjh@nhf.net を含めます。
関連コマンド
|
|
|
|---|---|
enable
特権 EXEC モードに入るには、ユーザ EXEC モードで enable コマンドを使用します。
シンタックスの説明
デフォルト
特権レベル 15 を入力します。ただし、コマンドの認可を使用している場合は、デフォルトのレベルはユーザ名に設定されたレベルによって異なります。
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
デフォルトのイネーブル パスワードはブランクです。パスワードを設定するには、 enable password コマンドを参照してください。
デフォルトである 15 以外の特権レベルを使用するには、ローカル コマンド認可を設定し（ aaa authorization コマンドを参照。 LOCAL キーワードを指定する）、 privilege コマンドを使用して、コマンドを別の特権レベルに設定します。ローカル コマンド認可を設定しない場合は、イネーブル レベルが無視され、設定したレベルにかかわらずレベル 15 にアクセスできます。現在の特権レベルを表示するには、 show curpriv コマンドを使用します。
レベル 2 以上は特権 EXEC モードに入ります。レベル 0 およびレベル 1 は、ユーザ EXEC モードに入ります。
例
次の例では、レベル 10 の特権 EXEC モードに入ります。
関連コマンド
|
|
|
|---|---|
enable (webvpn)
WebVPN または電子メール プロキシのアクセスを設定済みのインターフェイス上でイネーブルにするには、enable コマンドを使用します。WebVPN の場合、このコマンドは webvpn モードで使用します。電子メール プロキシ（IMAP4S、POP3S、SMTPS）の場合、このコマンドは適切な電子メール プロキシ モードで使用します。インターフェイスの WebVPN をディセーブルにするには、このコマンドの no バージョンを使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
例
次の例は、Outside という名前のインターフェイス上で WebVPN をイネーブルにする方法を示しています。
hostname(config)# webvpn
次の例は、Outside という名前のインターフェイス上で POP3S 電子メール プロキシを設定する方法を示しています。
hostname(config)# pop3s
enable password
特権 EXEC モードのイネーブル パスワードを設定するには、グローバル コンフィギュレーション モードで enable password コマンドを使用します。15 以外のレベルのパスワードを削除するには、このコマンドの no 形式を使用します。レベル 15 のパスワードは削除できません。
enable password password [level level ] [ encrypted ]
no enable password level level
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
イネーブル レベル 15（デフォルトのレベル） のデフォルトのパスワードは、ブランクです。パスワードをブランクにリセットする場合は、 password にテキストを入力しないでください。
マルチ コンテキスト モードでは、各コンテキストだけでなく、システム コンフィギュレーションにもイネーブル パスワードを作成できます。
デフォルトである 15 以外の特権レベルを使用するには、ローカル コマンド認可を設定し（ aaa authorization コマンドを参照。 LOCAL キーワードを指定する）、 privilege コマンドを使用して、コマンドを別の特権レベルに設定します。ローカル コマンド認可を設定しない場合は、イネーブル レベルが無視され、設定したレベルにかかわらずレベル 15 にアクセスできます。現在の特権レベルを表示するには、 show curpriv コマンドを使用します。
レベル 2 以上は特権 EXEC モードに入ります。レベル 0 およびレベル 1 は、ユーザ EXEC モードに入ります。
例
次の例では、イネーブル パスワードを Pa$$w0rd に設定します。
次の例では、レベル 10 のイネーブル パスワードを Pa$$w0rd10 に設定します。
次の例では、イネーブル パスワードを別のセキュリティ アプライアンスからコピーした暗号化されたパスワードに設定します。
関連コマンド
|
|
|
|---|---|
enforcenextupdate
NextUpdate CRL フィールドの処理方法を指定するには、ca-crl コンフィギュレーション モードで enforcenextupdate コマンドを使用します。これが設定された場合、このコマンドは CRL の NextUpdate フィールドを無効にしないことを要求します。使用されない場合、セキュリティ アプライアンスは、不明または無効な CRL の NextUpdate フィールドを許可します。
無効または不明な NextUpdate フィールドを許可するには、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
例
次の例では、ca-crl コンフィギュレーション モードに入り、CRL の NextUpdate フィールドをトラストポイント central に対して期限切れにしないことを要求します
関連コマンド
|
|
|
|---|---|
enrollment retry count
リトライ回数を指定するには、暗号 CA トラストポイント コンフィギュレーション モードで
enrollment retry count コマンドを使用します。セキュリティ アプライアンスは、証明書を要求した後、CA から証明書を受信するまで待機します。設定されたリトライ期間内にセキュリティ アプライアンスが証明書を受信しない場合、別の証明書要求が送信されます。セキュリティ アプライアンスが応答を受信するか、リトライ回数が設定回数に達するまで、要求は繰り返されます。
リトライ回数のデフォルト設定に戻すには、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、トラストポイント central の暗号 CA トラストポイント コンフィギュレーション モードに入り、トラストポイント central 内で登録のリトライ回数を 20 リトライに設定します。
関連コマンド
|
|
|
|---|---|
enrollment retry period
リトライ期間を指定するには、暗号 CA トラストポイント コンフィギュレーション モードで
enrollment retry period コマンドを使用します。セキュリティ アプライアンスは、証明書を要求した後、CA から証明書を受信するまで待機します。指定されたリトライ期間内にセキュリティ アプライアンスが証明書を受信しない場合、別の証明書要求が送信されます。
リトライ期間のデフォルト設定に戻すには、このコマンドの no 形式を使用します。
enrollment retry period minutes
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例では、トラストポイント central の暗号 CA トラストポイント コンフィギュレーション モードに入り、トラストポイント central 内で登録のリトライ期間を 10 分に設定します。
関連コマンド
|
|
|
|---|---|
enrollment terminal
このトラストポイントでのカット アンド ペースト登録を指定するには（手動登録とも呼ばれる）、暗号 CA トラストポイント コンフィギュレーション モードで enrollment terminal コマンドを使用します。このコマンドのデフォルト設定に戻すには、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
例
次の例では、トラストポイント central の暗号 CA トラストポイント コンフィギュレーション モードに入り、トラストポイント central の CA 登録のカット アンド ペースト方式を指定します。
関連コマンド
|
|
|
|---|---|
enrollment url
このトラストポイントで登録し、登録 URL を設定するために自動登録（SCEP）を指定するには、暗号 CA トラストポイント コンフィギュレーション モードで enrollment url コマンドを使用します。このコマンドのデフォルト設定に戻すには、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
例
次の例では、トラストポイント central の暗号 CA トラストポイント コンフィギュレーション モードに入り、トラストポイント central の SCEP 登録を URL https://enrollsite で指定します。
関連コマンド
|
|
|
|---|---|
erase
ファイル システムを消去して再フォーマットするには、特権 EXEC モードで erase コマンドを使用します。このコマンドは、非表示のシステム ファイルを含むすべてのファイルを上書きし、ファイル システムを消去してからファイル システムを再インストールします。
erase [disk0: | disk1: | flash:]
シンタックスの説明
（オプション）内部フラッシュ メモリを指定し、続けてコロン（:）を入力します。
|
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
erase コマンドは、OxFF パターンを使用してフラッシュ メモリ上のすべてのデータを消去し、空のファイル システム割り当てテーブルをデバイスに書き換えます。
すべての可視ファイル（非表示のシステム ファイルを除く）を削除するには、 erase コマンドではなく、 delete /recursive コマンドを使用します。
（注） Cisco PIX セキュリティ アプライアンスでは、erase コマンドと format コマンドは同じ処理を実行します。ユーザ データを 0xFF パターンを使用して破棄します。
（注） Cisco ASA 5500 シリーズのセキュリティ アプライアンスでは、erase コマンドを実行すると、ディスク上のすべてのユーザ データが 0xFF パターンを使用して破棄されます。一方、format コマンドはファイル システムの制御構造をリセットするだけです。生ディスク読み取りツールを使用すると、この情報はまだ参照できる可能性があります。
例
次の例では、ファイル システムを消去して再フォーマットします。
関連コマンド
|
|
|
|---|---|
established
確立されている接続に基づくポート上のリターン接続を許可するには、グローバル コンフィギュレーション モードで established コマンドを使用します。established 機能をディセーブルにするには、このコマンドの no 形式を使用します。
est ablished est_ protocol dport [sport] [permitto protocol port [-port]] [permitfrom protocol port [-port]]
no est ablished est_ protocol dport [sport] [permitto protocol port [-port]] [permitfrom protocol port [-port]]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
to および from キーワードが、CLI から削除されました。代わりに permitto および permitfrom キーワードを使用してください。 |
使用上のガイドライン
established コマンドは、発信接続がセキュリティ アプライアンスを通してリターン アクセスするのを許可します。このコマンドは、セキュリティ アプライアンスによって保護されているネットワークからの元の接続の発信、および外部ホスト上の同じ 2 つのデバイス間のリターン接続着信と共に動作します。established コマンドを使用すると、接続のルックアップに使用する宛先ポートを指定できます。この追加によって、コマンドをさらに制御できるようになり、宛先ポートは既知であるが、送信元ポートは未知のプロトコルをサポートできます。permitto と permitfrom キーワードは、リターン着信接続を定義します。
次の例は、established コマンドを正しく使用しなかった場合に発生する可能性のあるセキュリティ違反を示しています。
この例は、内部システムがポート 4000 上の外部ホストに TCP 接続を作成した場合、外部ホストは、任意のプロトコルを使用して任意のポート上に戻れることを示しています。
使用するポートをプロトコルが指定しない場合、送信元ポートおよび宛先ポートを 0 に指定できます。必要な場合に限り、ワイルドカード ポート（0）を使用します。
（注） established コマンドが正しく動作するには、クライアントが permitto キーワードで指定したポート上でリスンしている必要があります。
established コマンドは、nat 0 コマンド（global コマンドがない）を付けて使用できます。
（注） established コマンドを、PAT と共に使用することはできません。
セキュリティ アプライアンスは、 established コマンドと連携して XDMCP をサポートしています。
XDMCP は、デフォルトでオンになっていますが、established コマンドを次のように入力するまでセッションは作成されません。
established コマンドを入力すると、内部の XDMCP（UNIX または ReflectionX）搭載ホストが、外部の XDMCP 搭載 XWindows サーバにアクセスできます。UDP/177 ベースの XDMCP が TCP ベースの XWindows セッションをネゴシエートし、それに続く TCP リターン接続が許可されます。リターン トラフィックの送信元ポートが不明であるため、 sport フィールドは 0（ワイルドカード）と指定する必要があります。 dport は、6000 + n である必要があります。ここで、 n は、ローカル ディスプレイ番号です。UNIX コマンドを使用して、この値を変更します。
established コマンドが必要な理由は、多くの TCP 接続が生成され（ユーザとの対話に基づき）、これらの接続に使用される送信元ポートが不明であるためです。宛先ポートだけがスタティックです。セキュリティ アプライアンスは、XDMCP フィックスアップを透過的に行います。設定は不要ですが、TCP セッションに対応するには established コマンドの入力が必要です。
例
この例では、2 つのホスト間の、プロトコル A を使用した SRC ポート B からポート C を宛先とする接続を示しています。セキュリティ アプライアンスおよびプロトコル D（プロトコル A はプロトコル D と異なる可能性がある）を通過するリターン接続を許可するには、送信元ポートはポート F に対応し、宛先ポートはポート E に対応している必要があります。
この例は、内部ホストから外部ホストに対し、TCP 送信元ポート 6060 と任意の宛先ポートを使用して接続を開始する方法を示しています。セキュリティ アプライアンスは、このホスト間に TCP 宛先ポート 6061 と TCP 送信元ポート 6059 を経由するリターン トラフィックを許可します。
この例は、内部ホストから外部ホストに対し、UPD 宛先ポート 6060 と任意の送信元ポートを使用して接続を開始する方法を示しています。セキュリティ アプライアンスは、このホスト間に TCP 宛先ポート 6061 と TCP 送信元ポート 1024-65535 を経由するリターン トラフィックを許可します。
次の例は、ローカル ホスト 10.1.1.1 が外部のホスト 209.165.201.1 に対してポート 9999 上で TCP 接続を開始する方法を示しています。この例では、外部ホスト 209.165.201.1 のポート 4242 からのパケットがローカル ホスト 10.1.1.1 のポート 5454 に戻ることが許可されます。
次の例は、外部ホスト 209.165.201.1 の任意のポートからローカル ホスト 10.1.1.1 のポート 5454 に戻るパケットを許可する方法を示しています。
関連コマンド
|
|
|
|---|---|
exceed-mss
スリーウェイ ハンドシェイクの間にピアによって設定された TCP の最大セグメント サイズを超えるデータ長のパケットを許可またはドロップするには、tcp マップ コンフィギュレーション モードで exceed-mss コマンドを使用します。この指定を削除するには、このコマンドの no 形式を使用します。
no exceed-mss { allow | drop }
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
tcp-map コマンドをモジュラ ポリシー フレームワーク インフラストラクチャとともに使用します。トラフィックのクラスを class-map コマンドを使用して定義し、TCP 検査を tcp-map コマンドを使用してカスタマイズします。その新しい TCP マップを policy-map コマンドを使用して適用します。TCP 検査を service-policy コマンドを使用して有効にします。
tcp-map コマンドを使用して、tcp マップ コンフィギュレーション モードに入ります。スリーウェイ ハンドシェイクの間にピアによって設定された TCP の最大セグメント サイズを超えるデータ長の TCP パケットをドロップするには、tcp マップ コンフィギュレーション モードの exceed-mss コマンドを使用します。
例
次の例では、ポート 21 で MSS を超過するパケットを送信するフローを許可します。
関連コマンド
|
|
|
|---|---|
exit
現在のコンフィギュレーション モードを終了するか、特権 EXEC モードまたはユーザ EXEC モードからログアウトするには、 exit コマンドを使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
キー シーケンス Ctrl+Z を使用しても、グローバル コンフィギュレーション モード（およびそれ以上のモード）を終了できます。このキー シーケンスは、特権 EXEC モードおよびユーザ EXEC モードでは機能しません。
特権 EXEC モードまたはユーザ EXEC モードで exit コマンドを入力すると、セキュリティ アプライアンスからログアウトします。特権 EXEC モードからユーザ EXEC モードに戻るには、 disable コマンドを使用します。
例
次の例は、 exit コマンドを使用して、グローバル コンフィギュレーション モードを終了してセッションからログアウトする方法を示しています。
次の例は、 exit コマンドを使用してグローバル コンフィギュレーション モードを終了する方法と、 disable コマンドを使用して特権 EXEC モードを終了する方法を示しています。
関連コマンド
|
|
|
|---|---|
コンフィギュレーション モードを終了します。または、特権 EXEC モードまたはユーザ EXEC モードからログアウトします。 |
failover
フェールオーバーをイネーブルにするには、グローバル コンフィギュレーション モードで failover コマンドを使用します。フェールオーバーをディセーブルにするには、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
このコマンドは、コンフィギュレーションでフェールオーバーをイネーブルまたはディセーブルにすることに制限されています（ failover active コマンドを参照してください）。 |
使用上のガイドライン
フェールオーバーをディセーブルにするには、このコマンドの no 形式を使用します。
例
関連コマンド
|
|
|
|---|---|
failover active
スタンバイ セキュリティ アプライアンスまたはフェールオーバー グループをアクティブ状態にするには、特権 EXEC モードで failover active コマンドを使用します。スタンバイするアクティブなセキュリティ アプライアンスまたはフェールオーバー グループを切り替えるには、このコマンドの no 形式を使用します。
failover active [ group group_id ]
no failover active [ group group_id ]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
failover active コマンドを使用して、スタンバイ装置からフェールオーバー スイッチを起動します。または、アクティブな装置から no failover active コマンドを起動して、フェールオーバー スイッチを起動します。この機能を使用して、障害が発生した装置をサービスに戻し、メンテナンスのため、アクティブ装置を強制的にオフラインにします。 ステートフル フェールオーバーを使用していない場合、すべてのアクティブな接続はドロップされます。フェールオーバーが発生した後、クライアントはそれらの接続を再度確立する必要があります。
フェールオーバー グループの切り替えは、Active/Active フェールオーバーでのみ利用可能です。フェールオーバー グループを指定せずに Active/Active フェールオーバー装置に failover active コマンドを入力した場合、装置上のすべてのグループがアクティブになります。
例
次の例では、スタンバイ グループ 1 をアクティブにしています。
関連コマンド
|
|
|
|---|---|
failover group
Active/Active フェールオーバー グループを設定するには、グローバル コンフィギュレーション モードで failover group コマンドを使用します。フェールオーバー グループを削除するには、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
最大 2 つのフェールオーバー グループを定義できます。 failover group コマンドは、マルチ コンテキスト モード用に設定されたデバイスのシステム コンテキストにだけ追加できます。フェールオーバー グループの作成と登録は、フェールオーバーがディセーブルにされている場合のみ可能です。
このコマンドを入力すると、フェールオーバー グループ コマンド モードに入ります。 primary 、
secondary 、 preempt 、 replication http 、 interface-policy 、 mac address 、および polltime interface コマンドは、フェールオーバー グループ コンフィギュレーション モードで使用できます。グローバル コンフィギュレーション モードに戻るには、 exit コマンドを使用します。
（注） failover polltime interface、failover interface-policy、failover replication http、および failover mac address コマンドは、Active/Active フェールオーバー コンフィギュレーションに影響を与えません。それらのコマンドは、フェールオーバー コンフィギュレーション モードの polltime interface、interface-policy、replication http、および mac address コマンドによって上書きされます。
フェールオーバー グループを削除するときは、フェールオーバー グループ 1 を最後に削除する必要があります。フェールオーバー グループ 1 には、常に管理コンテキストが含まれています。フェールオーバー グループに割り当てられていないコンテキストは、デフォルトによりフェールオーバー グループ 1 に割り当てられます。コンテキストが明示的に割り当てられているフェールオーバー グループは削除できません。
（注） 同じネットワーク上に Active/Active フェールオーバー ペアが複数ある場合は、あるペアのインターフェイスに割り当てられているものと同じデフォルト仮想 MAC アドレスが、他のペアのインターフェイスに割り当てられることがあります。これは、デフォルト仮想 MAC アドレスの決定方法に基づいた動作です。ネットワーク上の MAC アドレスを重複させないためには、mac address コマンドを使用して、各物理インターフェイスに必ずアクティブとスタンバイの仮想 MAC アドレスを割り当てるようにしてください。
例
次の例（抜粋）は、2 つのフェールオーバー グループに対して適用可能なコンフィギュレーションを示しています。
関連コマンド
|
|
|
|---|---|
failover interface ip
フェールオーバー インターフェイスとステートフル フェールオーバー インターフェイスに対して IP アドレスとマスクを指定するには、グローバル コンフィギュレーション モードで failover interface ip コマンドを使用します。IP アドレスを削除するには、このコマンドの no 形式を使用します。
failover interface ip if_name ip_address mask standby ip_address
no failover interface ip if_name ip_address mask standby ip_address
シンタックスの説明
プライマリ モジュール上のフェールオーバーまたはステートフル フェールオーバー インターフェイスに対して、IP アドレスとマスクを指定します。 |
|
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
フェールオーバーおよびステートフル フェールオーバー インターフェイスは、レイヤ 3 の機能です。そのことは、セキュリティ アプライアンスが透過的なファイアウォール モードで動作していたり、システムにグローバルであったりしても変わりません。
マルチ コンテキスト モードでは、システム コンテキストでフェールオーバーを設定します（ monitor-interface コマンドを除く）。
このコマンドは、セキュリティ アプライアンスを LAN フェールオーバー用にブートストラップするときにコンフィギュレーションに含める必要があります。
例
次の例は、フェールオーバー インターフェイスに対して IP アドレスとマスクを指定する方法を示しています。
関連コマンド
|
|
|
|---|---|
failover interface-policy
モニタリングがインターフェイス障害を検出したときのフェールオーバーのポリシーを指定するには、グローバル コンフィギュレーション モードで failover interface-policy コマンドを使用します。デフォルトに戻すには、このコマンドの no 形式を使用します。
failover interface-policy num [ % ]
no failover interface-policy num [ % ]
シンタックスの説明
パーセンテージとして使用されるときは 1 ～ 100 の数字を指定し、番号として使用されるときは 1 からインターフェイスの最大数の数字を指定します。 |
|
デフォルト
• 物理インターフェイスのモニタリングは、デフォルトでイネーブルになっています。論理インターフェイスのモニタリングは、デフォルトではディセーブルです。
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
num 引数とオプションの % キーワードの間に、スペースはありません。
障害が発生したインターフェイスの数が、設定されたポリシーの条件を満たしており、その他のセキュリティ アプライアンスが正常に機能している場合、セキュリティ アプライアンスは、自らに障害が発生したとマーク付けしてフェールオーバーが発生する可能性があります（アクティブなセキュリティ アプライアンスに障害が発生した場合）。ポリシーでカウントされるのは、
monitor-interface コマンドで監視対象として指定したインターフェイスのみです。
（注） このコマンドが適用されるのは、Active/Standby フェールオーバーのみです。Active/Active フェールオーバーでは、フェールオーバー グループ コンフィギュレーション モードの interface-policy コマンドを使用して、各フェールオーバー グループのインターフェイス ポリシーを設定します。
例
次の例では、フェールオーバー ポリシーを指定する 2 つの方法を示しています。
関連コマンド
|
|
|
|---|---|
failover key
フェールオーバー ペアの装置間で暗号化および認証された通信のキーを指定するには、グローバル コンフィギュレーション モードで failover key コマンドを使用します。キーを削除するには、このコマンドの no 形式を使用します。
failover key { secret | hex key }
シンタックスの説明
英数字の共有秘密を指定します。秘密には 1 ～ 63 文字を設定できます。有効な文字は、番号、文字、または句読点の任意の組み合せです。共有秘密は、暗号キーを生成するために使用します。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
装置間のフェールオーバー通信を暗号化して認証するには、共有秘密または 16 進キーを使用して両方の装置を設定する必要があります。フェールオーバー キーを指定しない場合、フェールオーバー通信はクリアで送信されます。
（注） PIX セキュリティ アプライアンス プラットフォームでは、装置を接続するために専用のシリアル フェールオーバー ケーブルを使用している場合、フェールオーバーが設定されていても、フェールオーバー リンク経由の通信は暗号化されません。フェールオーバー キーは LAN ベースのフェールオーバー通信だけを暗号化します。
例
次の例は、フェールオーバー ペアの装置間のフェールオーバー通信を保護するために共有秘密を指定する方法を示しています。
次の例は、フェールオーバー ペアの装置間のフェールオーバー通信を保護するために 16 進キーを指定する方法を示しています。
関連コマンド
|
|
|
|---|---|
failover lan enable
LAN ベースのフェールオーバーを PIX セキュリティ アプライアンス上でイネーブルにするには、グローバル コンフィギュレーション モードで failover lan enable コマンドを使用します。LAN ベースのフェールオーバーをディセーブルにするには、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドの no 形式を使用して LAN ベースのフェールオーバーをディセーブルにした場合、フェールオーバー ケーブルがインストールされている場合はケーブル ベースのフェールオーバーが使用されます。このコマンドは、PIX セキュリティ アプライアンスでのみ使用できます。
例
次の例では、LAN ベースのフェールオーバーをイネーブルにします。
関連コマンド
|
|
|
|---|---|
failover lan interface
フェールオーバー通信に使用されるインターフェイスを指定するには、グローバル コンフィギュレーション モードで failover lan interface コマンドを使用します。フェールオーバー インターフェイスを削除するには、このコマンドの no 形式を使用します。
failover lan interface if_name phy_if
no failover lan interface if_name phy_if
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
LAN フェールオーバーでは、フェールオーバー トラフィックを送信するための専用のインターフェイスが必要です。ただし、ステートフル フェールオーバー リンクに対しては、LAN フェールオーバー インターフェイスを使用することもできます。
（注） LAN フェールオーバーとステートフル フェールオーバーの両方に対して同じインターフェイスを使用する場合、インターフェイスには LAN ベースのフェールオーバーとステートフル フェールオーバーの両方のトラフィックを処理するための十分な容量が必要です。
デバイス上の使用されていない任意のイーサネット インターフェイスを、フェールオーバー インターフェイスとして使用できます。現在名前で設定されているインターフェイスは指定できません。フェールオーバー インターフェイスは、通常のネットワーク インターフェイスとしては設定されません。フェールオーバー通信専用です。このインターフェイスは、フェールオーバー リンクのために（およびオプションで状態リンクのために）だけ使用する必要があります。LAN ベースのフェールオーバー リンクは、リンクにホストまたはルータのない専用スイッチを使用するか、装置を直接リンクするためのクロスオーバー イーサネット ケーブルを使用して接続できます。
（注） VLAN を使用する場合は、フェールオーバー リンクのための専用 VLAN を使用します。フェールオーバー リンク VLAN を他の VLAN と共有すると、断続的なトラフィック障害や PING および ARP 障害が発生する場合があります。スイッチを使用してフェールオーバー リンクに接続する場合、スイッチ上の専用インターフェイスと、フェールオーバー リンク用のセキュリティ アプライアンスを使用してください。通常のネットワーク トラフィックを伝送するサブインターフェイスを持つインターフェイスを共有しないでください。
マルチ コンテキスト モードを実行しているシステム上では、フェールオーバー リンクはシステム コンテキスト内にあります。このインターフェイスと状態リンク（使用されている場合）が、システム コンテキスト内にある設定可能な唯一のインターフェイスです。他のインターフェイスは、すべてセキュリティ コンテキストに割り当てられ、セキュリティ コンテキスト内から設定されます。
（注） フェールオーバー リンクの IP アドレスおよび MAC アドレスは、フェールオーバー時に変更されません。
このコマンドの no 形式も、フェールオーバー インターフェイスの IP アドレス設定をクリアします。
このコマンドは、セキュリティ アプライアンスを LAN フェールオーバー用にブートストラップするときにコンフィギュレーションに含める必要があります。
例
次の例では、フェールオーバー LAN インターフェイスを設定します。
関連コマンド
|
|
|
|---|---|
failover lan unit
LAN フェールオーバー設定でセキュリティ アプライアンスをプライマリ装置またはセカンダリ装置のいずれかに設定するには、グローバル コンフィギュレーション モードで failover lan unit コマンドを使用します。デフォルト設定に戻すには、このコマンドの no 形式を使用します。
failover lan unit { primary | secondary }
no failover lan unit { primary | secondary }
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
Active/Standby フェールオーバーの場合、フェールオーバー装置のプライマリ宛先およびセカンダリ宛先は、ブート時にどちらの装置がアクティブになるかを指定します。次の状態が発生すると、プライマリ装置がブート時にアクティブ装置になります。
• プライマリ装置およびセカンダリ装置の両方が、最初のフェールオーバー ポーリング チェック内にブート シーケンスを完了した。
プライマリ装置がブートするときにセカンダリ装置がすでにアクティブであった場合、プライマリ装置はアクティブではなくスタンバイ装置になります。この場合、強制的にプライマリ装置をアクティブ ステータスに戻すために、 no failover active コマンドをセカンダリ（アクティブ）装置に発行する必要があります。
Active/Active フェールオーバーに対して、各フェールオーバー グループにはプライマリ装置またはセカンダリ装置のプリファレンスが割り当てられます。このプリファレンスは、両方の装置が同時に起動する場合（フェールオーバー ポーリング期間内で）、フェールオーバー グループのコンテキストのフェールオーバー ペアのどの装置をアクティブにするかを決定します。
このコマンドは、セキュリティ アプライアンスを LAN フェールオーバー用にブートストラップするときにコンフィギュレーションに含める必要があります。
例
次の例では、LAN ベースのフェールオーバーでセキュリティ アプライアンスをプライマリ装置として設定します。
関連コマンド
|
|
|
|---|---|
failover link
ステートフル フェールオーバー インターフェイスを指定するには、グローバル コンフィギュレーション モードで failover link コマンドを使用します。ステートフル フェールオーバー インターフェイスを削除するには、このコマンドの no 形式を使用します。
failover link if_name [ phy_if ]
シンタックスの説明
（オプション）物理インターフェイスまたは論理インターフェイスのポートを指定します。ステートフル フェールオーバー インターフェイスが、フェールオーバー通信に割り当てられたインターフェイスまたは標準ファイアウォール インターフェイスを共有している場合、この引数は必要ありません。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
物理インターフェイスまたは論理インターフェイスの引数は、フェールオーバー通信または標準ファイアウォール インターフェイスを共有していない場合に必要です。
failover link コマンドは、ステートフル フェールオーバーをイネーブルにします。no failover link コマンドを入力して、ステートフル フェールオーバー機能をディセーブルにします。専用のステートフル フェールオーバー インターフェイスを使用している場合、 no failover link コマンドもステートフル フェールオーバー インターフェイス IP アドレス設定をクリアします。
ステートフル フェールオーバーを使用するには、すべての状態情報を渡すようにステートフル フェールオーバー リンクを設定する必要があります。ステートフル フェールオーバー リンクの設定には、3 つのオプションがあります。
• ステートフル フェールオーバー リンク専用のイーサネット インターフェイスを使用できます。
• LAN ベースのフェールオーバーを使用している場合、フェールオーバー リンクを共有できます。
• 内部インターフェイスなどの通常のデータ インターフェイスを共有できます。ただし、このオプションは推奨されていません。
ステートフル フェールオーバー リンク専用のイーサネット インターフェイスを使用している場合、スイッチまたは装置を直接接続するクロスケーブルを使用できます。スイッチを使用する場合、このリンク上に他のホストまたはルータは設定できません。
（注） セキュリティ アプライアンスに直接接続するシスコ スイッチ ポート上で PortFast オプションをイネーブルにします。
フェールオーバー リンクをステートフル フェールオーバー リンクとして使用している場合、利用可能な最速のイーサネット インターフェイスを使用する必要があります。インターフェイス上でパフォーマンスの低下が見られる場合は、別のインターフェイスをステートフル フェールオーバー インターフェイス専用にすることを検討してください。
ステートフル フェールオーバー リンクとしてデータ インターフェイスを使用する場合は、そのインターフェイスをステートフル フェールオーバー リンクとして指定しようとすると次の警告が表示されます。
データ インターフェイスをステートフル フェールオーバー インターフェイスと共有すると、リプレイ アタックを受けやすくなります。さらに、大容量のステートフル フェールオーバー トラフィックがインターフェイスに送信される可能性があり、そのネットワーク セグメントでパフォーマンスが低下する恐れがあります。
（注） ステートフル フェールオーバー インターフェイスとしてデータ インターフェイスを使用することは、シングル コンテキスのルーテッド モードのみでサポートされています。
マルチ コンテキスト モードでは、ステートフル フェールオーバー リンクはシステム コンテキスト内にあります。このインターフェイスとフェールオーバー インターフェイスが、システム コンテキスト内にある唯一のインターフェイスです。他のインターフェイスは、すべてセキュリティ コンテキストに割り当てられ、セキュリティ コンテキスト内から設定されます。
マルチ コンテキスト モードでは、ステートフル フェールオーバー インターフェイスはシステム コンテキスト内にあります。このインターフェイスとフェールオーバー インターフェイスが、システム コンテキスト内にある唯一のインターフェイスです。他のインターフェイスは、すべてセキュリティ コンテキストに割り当てられ、セキュリティ コンテキスト内から設定されます。
（注） ステートフル フェールオーバー リンクが通常のデータ インターフェイスで設定されている場合を除き、ステートフル フェールオーバー リンクの IP アドレスおよび MAC アドレスは、フェールオーバーで変更されません。
例
次の例は、ステートフル フェールオーバー インターフェイスとして専用インターフェイスを指定する方法を示しています。次の例のインターフェイスには、既存のコンフィギュレーションはありません。
関連コマンド
|
|
|
|---|---|
failover mac address
物理インターフェイスのためのフェールオーバー仮想 MAC アドレスを指定するには、グローバル コンフィギュレーション モードで failover mac address コマンドを使用します。仮想 MAC アドレスを削除するには、このコマンドの no 形式を使用します。
failover mac address phy_if active_mac standby_mac
no failover mac address phy_if active_mac standby_mac
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
failover mac address コマンドは、Active/Standby フェールオーバー ペア用の仮想 MAC アドレスを設定します。仮想 MAC アドレスが定義されていない場合、各フェールオーバー装置はブート時にインターフェイスとしてバーンドイン MAC アドレスを使用し、それらのアドレスをフェールオーバー ピアと交換します。プライマリ装置上のインターフェイスの MAC アドレスは、アクティブな装置のインターフェイスに使用されます。
ただし、両方の装置が同時にオンラインにならず、セカンダリ装置が最初にブートしてアクティブになった場合は、独自のインターフェイスとしてバーンドイン MAC アドレスを使用します。プライマリ装置がオンラインになると、セカンダリ装置はプライマリ装置から MAC アドレスを取得します。この変更はネットワーク トラフィックを妨げる可能性があります。インターフェイスに仮想 MAC アドレスを設定すると、セカンダリ装置がプライマリ装置の前にオンラインになる場合でも、セカンダリ装置がアクティブな装置であるときに正しい MAC アドレスが使用されます。
LAN ベースのフェールオーバー用に設定されているインターフェイスには、 failover mac address コマンドは、必要ありません（したがって、このコマンドは使用できません）。 failover lan interface コマンドは、フェールオーバーが発生したときに IP アドレスおよび MAC アドレスのどちらも変更しないためです。セキュリティ アプライアンスが Active/Active フェールオーバーに対して設定されている場合、このコマンドは無効です。
failover mac address コマンドをコンフィギュレーションに追加する場合は、仮想 MAC アドレスを設定し、そのコンフィギュレーションをフラッシュ メモリに保存し、次にフェールオーバー ペアをリロードすることが最も良い方法です。アクティブ接続があるときに仮想 MAC アドレスが追加されると、そのアクティブ接続は停止します。また、 failover mac address コマンドを含む完全なコンフィギュレーションをセカンダリ セキュリティ アプライアンスのフラッシュ メモリに書き込んで、仮想 MAC アドレッシングを有効にする必要があります。
failover mac address がプライマリ装置のコンフィギュレーションで指定された場合、それをセカンダリ装置のブートストラップ コンフィギュレーションでも指定する必要があります。
（注） このコマンドが適用されるのは、Active/Standby フェールオーバーのみです。Active/Active フェールオーバーでは、フェールオーバー グループ コンフィギュレーション モードの mac address コマンドを使用して、フェールオーバー グループのインターフェイスごとに仮想 MAC アドレスを設定します。
例
次の例では、intf2 という名前のインターフェイスに対してアクティブおよびスタンバイ MAC アドレスを設定します。
関連コマンド
|
|
|
|---|---|
failover polltime
フェールオーバー装置とインターフェイス ポーリング回数および装置の保持時間を指定するには、グローバル コンフィギュレーション モードで failover polltime コマンドを使用します。デフォルトのポーリング回数に戻すには、このコマンドの no 形式を使用します。
failover polltime [ unit ] [ msec ] time [ holdtime time ]
failover polltime interface time
no failover polltime [ unit ] [ msec ] time [ holdtime time ]
no failover polltime interface time
シンタックスの説明
（オプション）ピア装置の障害発生が宣言された後に、フェールオーバー リンクで装置が HELLO メッセージを受信する必要のある期間を設定します。有効となる値の範囲は、3 ～ 45 秒です。 |
|
デフォルト
• セキュリティ アプライアンスでの unit poll time は 1 秒です。
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
このコマンドは、 failover poll から failover polltime コマンドに変更され、 unit 、 interface 、および holdtime のキーワードを含むようになりました。 |
使用上のガイドライン
装置のポーリング時間の 3 倍未満の holdtime 値は入力できません。ポーリング時間が短いほど、セキュリティ アプライアンスは、それだけ速く障害を検出して、フェールオーバーを起動できます。ただし、検出が速すぎると、ネットワークが一時的に輻輳したときに不要な切り替えが発生する可能性があります。
unit または interface キーワードが指定されていない場合は、装置のポーリング時間が設定されます。
failover polltime unit および failover polltime interface コマンドの両方をコンフィギュレーションに含めることができます。
（注） failover polltime interface コマンドが適用されるのは、Active/Standby フェールオーバーのみです。Active/Active フェールオーバーの場合、フェールオーバー グループ コンフィギュレーション モードの polltime interface コマンドを、failover polltime interface コマンドの代わりに使用します。
保持時間内にhello パケットがフェールオーバー通信インターフェイスまたはケーブルで受信されない場合、スタンバイ装置がアクティブに切り替わり、ピアに障害が発生したとみなされます。インターフェイスの hello パケットが 5 回連続で検出されなかった場合は、インターフェイスのテストが発生します。
（注） CTIQBE トラフィックがフェールオーバー コンフィギュレーションのセキュリティ アプライアンスを通過するときは、セキュリティ アプライアンスのフェールオーバー保持時間を 30 秒より低く設定する必要があります。CTIQBE キープアライブ タイムアウトは 30 秒で、フェールオーバーの状況ではフェールオーバーが発生する前にタイムアウトする可能性があります。CTIQBE がタイムアウトした場合、Cisco Call Manager への Cisco IP SoftPhone の接続はドロップされ、IP SoftPhone クライアントは Call Manager を使用して再登録する必要があります。
例
関連コマンド
|
|
|
|---|---|
failover reload-standby
スタンバイ装置を強制的にリブートするには、特権 EXEC モードで failover reload-standby コマンドを使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、フェールオーバー装置が同期しない場合に使用します。スタンバイ装置は、ブーティングが終了した後で、再起動してアクティブ装置に再度同期します。
例
次の例は、スタンバイ装置を強制的にリブートするために、アクティブ装置で
failover reload-standby コマンドを使用する方法を示しています。
関連コマンド
|
|
|
|---|---|
failover replication http
HTTP（ポート 80）接続の複製をイネーブルにするには、グローバル コンフィギュレーション モードで failover replication http コマンドを使用します。HTTP 接続の複製をディセーブルにするには、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
このコマンドが、 failover replicate http から failover replication http に変更されました。 |
使用上のガイドライン
デフォルトでは、ステートフル フェールオーバーがイネーブルにされた場合、セキュリティ アプライアンスは HTTP セッション情報を複製しません。HTTP セッションは通常は存続期間が短く、HTTP クライアントは接続試行が失敗すると通常は再試行するため、HTTP セッションの複製をしないことでシステムのパフォーマンスが向上します。複製をしなくても重要なデータや接続は失われません。 failover replication http コマンドは、ステートフル フェールオーバーの環境で HTTP セッションのステートフル複製をイネーブルにしますが、システムのパフォーマンスに悪影響を及ぼす可能性があります。
Active/Active フェールオーバー コンフィギュレーションでは、フェールオーバー グループ コンフィギュレーション モードの replication http コマンドを使用して、各フェールオーバー グループの HTTP セッションの複製を設定します。
例
次の例は、HTTP 接続の複製をイネーブルにする方法を示しています。
関連コマンド
|
|
|
|---|---|
failover reset
障害が発生したセキュリティ アプライアンスを障害が発生する前の状態に戻すには、特権 EXEC モードで failover reset コマンドを使用します。
failover reset [ group group_id ]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
failover reset コマンドにより、障害が発生した装置またはグループを障害が発生する前の状態に変更できます。 failover reset コマンドは、どちらの装置からでも入力できますが、常にアクティブな装置でコマンドを入力することをお勧めします。アクティブな装置で failover reset コマンドを入力すると、スタンバイ装置を「unfail」にします。
装置のフェールオーバー ステータスは、 show failover または show failover state コマンドで表示できます。
Active/Active フェールオーバーで failover reset を入力すると、装置全体がリセットされます。 コマンドでフェールオーバー グループを指定すると、指定されたグループだけがリセットされます。
例
次の例は、障害が発生した装置を、障害が発生する前の状態に変更する方法を示しています。
関連コマンド
|
|
|
|---|---|
failover timeout
非対称ルーテッド セッションのフェールオーバーの再接続タイムアウト値を指定するには、グローバル コンフィギュレーション モードで failover timeout コマンドを使用します。デフォルトのタイムアウト値に戻すには、このコマンドの no 形式を使用します。
failover timeout hh [ : mm :[ : ss ]
no failover timeout [ hh [ : mm :[ : ss ]]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドは、 nailed オプションを使用した static コマンドと友に使用します。 nailed オプションを使用すると、ブートアップ後またはシステムがアクティブになった後に、指定された時間内で接続を再確立できます。 failover timeout コマンドは、その時間を指定します。 設定しない場合は、接続を再確立できません。 failover timeout コマンドは、 asr-group コマンドに影響しません。
（注） nailed オプションを static コマンドに追加すると、その接続について、TCP のステート トラッキングおよびシーケンス チェッキングがスキップされます。
このコマンドの no 形式を入力すると、デフォルト値に戻ります。 failover timeout 0 を入力しても、デフォルト値に戻ります。 デフォルト値に設定されている場合、このコマンドは実行コンフィギュレーション内に表示されません。
例
次の例では、スタンバイ グループ 1 をアクティブにしています。
関連コマンド
|
|
|
|---|---|
ローカル IP アドレスをグローバル IP アドレスにマッピングすることによって、固定の 1 対 1 のアドレス変換規則を設定します。 |
filter
このグループポリシーまたはユーザ名の WebVPN 接続に使用するアクセスリストの名前を指定するには、webvpn モードで filter コマンドを使用します。 filter none コマンドを発行して作成されたヌル値を含むアクセスリストを削除するには、このコマンドの no 形式を使用します。 no オプションを使用すると、値を別のグループポリシーから継承できます。フィルタ値を継承しないようにするには、 filter value none コマンドを使用します。
ACL を設定して、このユーザまたはグループポリシーについて、さまざまなタイプのトラフィックを許可または拒否します。次に、 filter コマンドを使用して、これらの ACL を WebVPN トラフィックに適用します。
filter { value ACLname | none }
シンタックスの説明
webvpntype アクセスリストがないことを示します。ヌル値を設定して、アクセスリストを拒否します。アクセスリストを他のグループポリシーから継承しないようにします。 |
|
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
例
次の例は、 FirstGroup という名前のグループポリシーの acl_in という名前のアクセスリストを呼び出すフィルタを設定する方法を示しています。
hostname(config)# group-policy FirstGroup attributes
hostname(config-group-policy)# webvpn
関連コマンド
|
|
|
|---|---|
グループポリシー コンフィギュレーション モードまたはユーザ名コンフィギュレーション モードで使用します。WebVPN モードに入って、グループポリシーまたはユーザ名に適用するパラメータを設定できるようにします。 |
|
グローバル コンフィギュレーション モードで使用します。WebVPN のグローバル コンフィギュレーション値を設定できます。 |
filter activex
セキュリティ アプライアンスを通過する HTTP トラフィック の ActiveX オブジェクトを削除するには、グローバル コンフィギュレーション モードで filter activex コマンドを使用します。このコンフィギュレーションを削除するには、このコマンドの no 形式を使用します。
filter activex {[ port [ - port ] | except } local_ip local_mask foreign_ip foreign_mask ]
no filter activex {[ port [ - port ] | except } local_ip local_mask foreign_ip foreign_mask ]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
ActiveX オブジェクトは、保護されたネットワーク上のホストやサーバを攻撃することを目的としたコードを含んでいる場合があるため、セキュリティ リスクになる恐れがあります。filter activex コマンドを使用して、ActiveX オブジェクトをディセーブルにできます。
ActiveX コントロールは、以前は OLE コントロールまたは OCX コントロールと呼ばれており、web ページまたは他のアプリケーションに挿入できるコンポーネントです。これらのコントロールには、情報の収集や表示に使用するためのカスタム フォームや、カレンダ、多数のサードパーティ フォームがあります。技術としては、ActiveX には、ネットワーク クライアントに対して起こる可能性のある問題、たとえば、ワークステーション障害の発生、ネットワーク セキュリティ問題の導入、またはサーバへの攻撃というような問題が数多く生じています。
filter activex コマンドは、HTML Web ページ内でコメント アウトすることにより HTML <object> コマンドをブロックします。HTML ファイルの ActiveX フィルタリングは、<APPLET> と </APPLET> および <OBJECT CLASSID> と </OBJECT> タグをコメントで選択的に置き換えることにより実行されます。入れ子タグのフィルタリングは、トップ レベルのタグをコメントに変換することでサポートされています。
<object> タグまたは </object> HTML タグがネットワーク パケット間で分割されている場合、またはタグ内のコードが MTU 内のバイト数よりも長い場合、セキュリティ アプライアンスはタグをブロックできません。
ActiveX blocking does not occur when users access an IP address referenced by the alias command.
例
次の例では、すべての発信接続で Activex オブジェクトがブロックされるように指定します。
このコマンドは、ポート 80 上において、あらゆるローカル ホストから来て、あらゆる外部ホスト接続へ向かう Web トラフィックに ActiveX オブジェクトのブロッキングが適用されることを指定します。
関連コマンド
|
|
|
filter ftp
Websense サーバによりフィルタされる FTP トラフィックを指定するには、グローバル コンフィギュレーション モードで filter ftp コマンドを使用します。このコンフィギュレーションを削除するには、このコマンドの no 形式を使用します。
filter ftp {[ port [ - port ] | except } local_ip local_mask foreign_ip foreign_mask ] [ allow ] [ interact-block ]
no filter ftp {[ port [ - port ] | except } local_ip local_mask foreign_ip foreign_mask ] [ allow ] [ interact-block ]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
filter ftp コマンドは、Websense サーバによってフィルタされる FTP トラフィックを指定します。FTP フィルタリングは、N2H2 サーバではサポートされていません。
この機能をイネーブルにした後で、ユーザが FTP GET 要求をサーバに発行すると、セキュリティ アプライアンスは FTP サーバと Websense サーバに同時に要求を送信します。Websense サーバが接続を許可する場合、セキュリティ アプライアンスは正常な FTP の戻りコードが変更されずにユーザに到達することを許可します。たとえば、正常な戻りコードは「250: CWD command successful」です。
Websense サーバが接続を拒否する場合、セキュリティ アプライアンスは、FTP の戻りコードを接続が拒否されたことを表示するように変更します。たとえば、セキュリティ アプライアンスはコード 250 を「550 Requested file is prohibited by URL filtering policy」に変更します（Websense は FTP GET コマンドだけをフィルタし、PUT コマンドはフィルタしません）。
interactive-block オプションを使用して、ディレクトリ パス全体を提供しない対話型 FTP セッションを防ぎます。対話型 FTP クライアントでは、ユーザはパス全体を入力せずにディレクトリを変更できます。たとえば、ユーザは cd /public/files の代わりに cd ./files を入力する可能性があります。これらのコマンドを使用する前に、URL フィルタリング サーバを指定してイネーブルにする必要があります。
例
次の例は、FTP フィルタリングをイネーブルにする方法を示しています。
関連コマンド
|
|
|
filter https
Websense サーバによりフィルタされる HTTPS トラフィックを指定するには、グローバル コンフィギュレーション モードで filter https コマンドを使用します。このコンフィギュレーションを削除するには、このコマンドの no 形式を使用します。
filter https {[ port [ - port ] | except } local_ip local_mask foreign_ip foreign_mask ] [ allow ]
no filter https {[ port [ - port ] | except } local_ip local_mask foreign_ip foreign_mask ] [ allow ]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
セキュリティ アプライアンスは、外部 Websense フィルタリング サーバを使用して、HTTPS および FTP サイトのフィルタリングをサポートします。
（注） HTTPS は、N2H2 フィルタリング サーバではサポートされていません。
HTTPS フィルタリングは、サイトが許可されない場合に SSL 接続ネゴシエーションの完了を防ぐことにより動作します。ブラウザには、「The Page or the content cannot be displayed」などのエラー メッセージが表示されます。
HTTPS のコンテンツは暗号化されているため、セキュリティ アプライアンスはディレクトリおよびファイル名の情報なしで URL ルックアップを送信します。
例
次の例では、10.0.2.54 ホストからの接続を除く、すべての発信 HTTPS 接続をフィルタリングします。
関連コマンド
|
|
|
filter java
セキュリティ アプライアンスを通過する HTTP トラフィックから Java アプレットを削除するには、グローバル コンフィギュレーション モードで filter java コマンドを使用します。このコンフィギュレーションを削除するには、このコマンドの no 形式を使用します。
filter java {[ port [ - port ] | except } local_ip local_mask foreign_ip foreign_mask ]
no filter java {[ port [ - port ] | except } local_ip local_mask foreign_ip foreign_mask ]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
Java アプレットは、保護されたネットワーク上のホストやサーバを攻撃することを目的としたコードを含んでいる場合があるため、セキュリティ リスクになる恐れがあります。filter java コマンドを使用して、Java アプレットを削除できます。
filter java コマンドは、発信接続からセキュリティ アプライアンスに返る Java アプレットをフィルタリングします。ユーザは、引き続き HTML ページを受信できますが、アプレットに対する Web ページのソースがコメント アウトされるため、アプレットは実行できません。
applet または /applet HTML タグがネットワーク パケット間で分割されている場合、またはタグ内のコードが MTU 内のバイト数よりも長い場合、セキュリティ アプライアンスはタグをブロックできません。Java アプレットは、<object> タグに含まれていることが分かっていれば、 filter activex コマンドを使用して削除します。
例
次の例では、すべての発信接続で Java アプレットがブロックされるように指定します。
このコマンドは、ポート 80 上において、あらゆるローカル ホストから来て、あらゆる外部ホスト接続へ向かう Web トラフィックに Java ブロッキングが適用されることを指定します。
次の例では、保護されたネットワーク上のホストに Java アプレットをダウンロードすることをブロックします。
関連コマンド
|
|
|
filter url
URL フィルタリング サーバにトラフィックを転送するには、グローバル コンフィギュレーション モードで filter url コマンドを使用します。このコンフィギュレーションを削除するには、このコマンドの no 形式を使用します。
filter url {[ port [ - port ] | except } local_ip local_mask foreign_ip foreign_mask ] [ allow ] [ cgi-truncate ] [ longurl-truncate | longurl-deny ] [ proxy-block ]
no filter url {[ port [ - port ] | except } local_ip local_mask foreign_ip foreign_mask ] [ allow ] [ cgi-truncate ] [ longurl-truncate | longurl-deny ] [ proxy-block ]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
filter url コマンドによって、発信ユーザが N2H2 または Websense フィルタリング アプリケーションを使用して、指示した World Wide Web URL にアクセスしないようにします。
（注） filter url コマンドを実行するには、事前に url-server コマンドを設定する必要があります。
filter url コマンドの allow オプションは、N2H2 または Websense サーバがオフラインになった場合のセキュリティ アプライアンスの動作を決定します。filter url コマンドで allow オプションを使用している場合、N2H2 または Websense サーバがオフラインになると、ポート 80 トラフィックはフィルタリングなしでセキュリティ アプライアンスを通過します。allow オプションなしの場合、サーバがオフラインになると、セキュリティ アプライアンスはサーバがオンラインに戻るまで発信ポート 80（Web）のトラフィックを停止するか、または他の URL サーバが利用できる場合は、次の URL サーバに制御を渡します。
（注） allow オプションが設定されている場合、N2H2 または Websense サーバがオフラインになると、セキュリティ アプライアンスは制御を代替サーバに渡します。
N2H2 サーバまたは Websense サーバは、セキュリティ アプライアンスと共に動作して、企業のセキュリティ ポリシーに基づいて、ユーザが Web サイトにアクセスすることを拒否します。
Websense プロトコル Version 4 は、グループとユーザ名の認証を、ホストとセキュリティ アプライアンスの間でイネーブルにします。セキュリティ アプライアンスがユーザ名のルックアップを実行し、次に、Websense サーバが URL フィルタリングとユーザ名ロギングを処理します。
N2H2 サーバは、IFP Server を実行している Windows ワークステーション（2000、NT、または XP）であり、推奨する最小メモリとして 512 MB RAM を搭載している必要があります。また、N2H2 サービス用の長い URL のサポートは、Websense の上限よりも少ない 3 KB に制限されます。
Websense プロトコルの Version 4 には、次の機能拡張があります。
• URL フィルタリングを使用すると、セキュリティ アプライアンスは、発信 URL 要求を Websense サーバ上に定義されているポリシーと照合してチェックします。
• ユーザ名ロギングは、Websense サーバ上のユーザ名、グループ、およびドメイン名を追跡します。
• ユーザ名ルックアップを使用すると、セキュリティ アプライアンスがユーザ認証テーブルを使用して、ホストの IP アドレスをユーザ名にマッピングできます。
Websense に関する情報は、次の Web サイトで利用できます。
ステップ 1 N2H2 サーバまたは Websense サーバに url-server コマンドの適切なベンダー固有のフォームを指示します。
ステップ 2 filter コマンドでフィルタリングをイネーブルにします。
ステップ 3 必要であれば、url-cache コマンドを使用して、スループットを改善します。ただし、このコマンドは Websense ログをアップデートしないため、Websense アカウンティング レポートに影響を与える可能性があります。url-cache コマンドを使用する前に Websense 実行ログを累積します。
ステップ 4 show url-cache statistics コマンドおよび show perfmon コマンドを使用して、実行情報を表示します。
Websense フィルタリング サーバでは最大 4 KB の URL、N2H2 フィルタリング サーバでは最大 1159 バイトの URL がサポートされています。
最大の許可サイズよりも長い URL 要求を処理できるようにするには、 longurl-truncate および cgi-truncate オプションを使用します。
最大サイズよりも URL が長い場合、longurl-truncate または longurl-deny オプションがイネーブルになっていないと、パケットはセキュリティ アプライアンスによりドロップされます。
longurl-truncate オプションを使用すると、許可された最大長よりも URL が長い場合、セキュリティ アプライアンスは URL のホスト名または IP アドレスの部分だけを評価のために送信します。許可された最大長よりもURL が長い場合に発信 URL トラフィックを拒否するには、longurl-deny オプションを使用します。
パラメータなしで CGI スクリプトの場所とスクリプト名だけが含まれるように CGI URL を切り捨てるには、cgi-truncate オプションを使用します。長い HTTP 要求の多くは CGI 要求です。パラメータ リストが非常に長い場合、パラメータ リストを含む完全な CGI 要求を待機および送信すると、メモリ リソースが浪費されてセキュリティ アプライアンスのパフォーマンスに影響します。
デフォルトでは、ユーザが特定の Web サイトに接続する要求を発行すると、セキュリティ アプライアンスは Web サーバとフィルタリング サーバに同時に要求を送信します。フィルタリング サーバが Web コンテンツ サーバの前に応答しない場合、Web サーバからの応答はドロップされます。これが原因で、Web クライアントからは Web サーバの応答が遅れているように見えます。
HTTP 応答バッファをイネーブルにすることにより、Web コンテンツ サーバからの応答はバッファされ、フィルタリング サーバが接続を許可すると、応答は要求したユーザに転送されます。これにより、発生する可能性のある遅延を防ぎます。
HTTP の応答バッファをイネーブルにするには、次のコマンドを入力します。
block-buffer-limit をバッファされるブロックの最大数で置き換えます。許可される値は、0 ～ 128 で、一度にバッファされることが可能な 1,550 バイトのブロック数を指定します。
例
次の例では、10.0.2.54 ホストからの接続を除く、すべての発信 HTTP 接続をフィルタリングします。
次の例では、ポート 8080 上でリスンするプロキシ サーバに向かう発信 HTTP 接続をすべてブロックします。
関連コマンド
|
|
|
フィルタリング サーバからのフィルタリング決定を待っている間に Web サーバの応答に使用される URL バッファを管理します。 |
|
N2H2 サーバまたは Websense サーバからの応答を保留している間の URL キャッシングをイネーブルにし、キャッシュのサイズを設定します。 |
|
fips enable
システムまたはモジュールに対して FIPS 準拠を強制するためのポリシーチェックをイネーブルまたはディセーブルにするには、 fips enable コマンドまたは [no] fips enable コマンドを使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
FIPS 準拠の動作モードで実行するには、fips enable コマンドと、セキュリティ ポリシーで指定された正しい設定の両方を適用する必要があります。内部 API は、実行時に正しい設定を強制するためにデバイスが移行することを許可します。
「fips enable」がスタートアップ コンフィギュレーションにある場合、FIPS POST が実行されて、次のコンソール メッセージが表示されます。
例
関連コマンド
|
|
|
|---|---|
fips self-test poweron
パワーオン セルフテストを実行するには、fips self-test powereon コマンドを使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
このコマンドを実行すると、デバイスは FIPS 140-2 準拠に要求されるすべてのセルフテストを実行します。テストは、暗号アルゴリズム テスト、ソフトウェア整合性テスト、および主要な機能テストで構成されています。
例
関連コマンド
|
|
|
|---|---|
システムまたはモジュールに対して FIPS 準拠を強制するためのポリシーチェックをイネーブルまたはディセーブルにします。 |
|
firewall transparent
ファイアウォール モードを透過モードに設定するには、グローバル コンフィギュレーション モードで firewall transparent コマンドを使用します。ルーテッド モードに戻すには、このコマンドの no 形式を使用します。透過的なファイアウォールは、「回線上の隆起物」または「秘密の防火壁」の機能を果たすレイヤ 2 のファイアウォールで、接続装置に対するルータ ホップとしては見られません。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
マルチ コンテキスト モードでは、すべてのコンテキストに対して 1 つのファイアウォール モードだけを使用できます。 システム コンフィギュレーションでモードを設定する必要があります。このコマンドは、情報提供だけを目的として各コンテキスト コンフィギュレーションでも表示されますが、コンテキストにこのコマンドを入力することはできません。
コマンドの多くは両方のモードでサポートされていないため、モードを変更すると、セキュリティ アプライアンスによりコンフィギュレーションがクリアされます。データが入力されたコンフィギュレーションがある場合、モードを変更する前にコンフィギュレーションをバックアップしてください。新しいコンフィギュレーションを作成するときに、このバックアップを参照として使用できます。
firewall transparent コマンドを使用してモードを変更するように設定されているセキュリティ アプライアンスに、テキスト コンフィギュレーションをダウンロードする場合は、コンフィギュレーションの先頭にコマンドを置くようにしてください。セキュリティ アプライアンスはコマンドを読み込むとすぐにモードを変更し、ダウンロードしたコンフィギュレーションの読み込みを継続します。コマンドがコンフィギュレーションの後ろの方に置かれていると、コンフィギュレーションでコマンドより前に置かれているラインはセキュリティ アプライアンスによりすべてクリアされます。
例
次の例では、ファイアウォール モードを透過的なモードに変更します。
関連コマンド
|
|
|
|---|---|
format
すべてのファイルを消去してファイル システムをフォーマットするには、特権 EXEC モードで format コマンドを使用します。このコマンドは、非表示のシステム ファイルを含むファイル システム上のすべてのファイルを消去し、ファイル システムを再インストールします。
format {disk0: | disk1: | flash:}
シンタックスの説明
内部フラッシュ メモリを指定し、続けてコロン（:）を入力します。ASA 5500 シリーズでは、 flash キーワードは disk0 のエイリアスです。 |
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
format コマンドは、指定されたファイル システム上のすべてのデータを消去し、デバイスに FAT 情報を再度書き込みます。
すべての可視ファイル（非表示のシステム ファイルを除く）を削除するには、 format コマンドではなく、 delete /recursive コマンドを使用します。
（注） Cisco PIX セキュリティ アプライアンスでは、erase コマンドと format コマンドは同じ処理を実行します。ユーザ データを 0xFF パターンを使用して破棄します。
破損したファイル システムを修復するには、format コマンドを入力する前に fsck コマンドを入力してみます。
（注） Cisco ASA 5500 シリーズのセキュリティ アプライアンスでは、erase コマンドを実行すると、ディスク上のすべてのユーザ データが 0xFF パターンを使用して破棄されます。一方、format コマンドはファイル システムの制御構造をリセットするだけです。生ディスク読み取りツールを使用すると、この情報はまだ参照できる可能性があります。
破損したファイル システムを修復するには、format コマンドを入力する前に fsck コマンドを入力してみます。
例
この例は、フラッシュ メモリをフォーマットする方法を示しています。
関連コマンド
|
|
|
|---|---|
fqdn
登録中に、指定された FQDN を証明書のサブジェクト代替名の拡張に含めるには、暗号 CA トラストポイント コンフィギュレーション モードで fqdn コマンドを使用します。fqdn のデフォルト設定に戻すには、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
例
次の例では、トラストポイント central の暗号 CA トラストポイント コンフィギュレーション モードに入り、トラストポイント central の登録要求に FQDN エンジニアリングを含めます。
関連コマンド
|
|
|
|---|---|
fragment
特別なパケット フラグメンント化の管理を提供して NFS との互換性を向上させるには、グローバル コンフィギュレーション モードで fragment コマンドを使用します。
fragment { size | chain | timeout limit } [ interface ]
no fragment { size | chain | timeout limit } interface
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
このコマンドは、 chain 、 size 、または timeout のいずれかの引数を必ず選択するように変更されました。ソフトウェアの以前のリリースでサポートされていた、これらの引数を入力しない fragment コマンドは、入力できなくなりました。 |
使用上のガイドライン
デフォルトでは、セキュリティ アプライアンスは、完全な IP パケットの再構築をするために、最大 24 個のフラグメントを受け入れます。ネットワーク セキュリティ ポリシーに基づいて、各インターフェイスについて fragment chain 1 interface コマンドを入力することで、フラグメント化されたパケットがセキュリティ アプライアンスを通過できなくするようにセキュリティ アプライアンスの設定を検討する必要があります。制限に 1 を設定すると、すべてのパケットが元のまま、つまり、フラグメント化されていない状態である必要があります。
セキュリティ アプライアンスを通過するネットワーク トラフィックのほとんどが NFS である場合、データベースのオーバーフローを防ぐため、さらに調整が必要になる可能性があります。
WAN インターフェイスなどのように NFS サーバとクライアントの間の MTU サイズが小さな環境では、chain キーワードをさらに調整する必要があります。この場合、効率を改善するには NFS over TCP の使用を推奨します。
size limit に大きな値を設定すると、セキュリティ アプライアンスは、さらにフラグメント フラッディングによる DoS 攻撃を受けやすくなります。 size limit に 1550 プールまたは 16384 プール内のブロックの総数以上の値を設定しないでください。
例
次の例は、フラグメント化したパケットを外部および内部のインターフェイスで防ぐ方法を示しています。
パケットのフラグメント化をさせない追加インターフェイスそれぞれに対して、続けて fragment chain 1 interface コマンドを入力します。
次の例では、外部インターフェイスのフラグメント データベースを、最大サイズ 2000、最大チェイン長 45、待ち時間 10 秒に設定する方法を示しています。
関連コマンド
|
|
|
|---|---|
ftp-map
厳密な FTP 検査のパラメータを定義するときに使用する特定のマップを指定するには、グローバル コンフィギュレーション モードで ftp-map コマンドを使用します。マップを削除するには、このコマンドの no 形式を使用します。
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
厳密な FTP 検査のパラメータを定義するときに使用する特定のマップを指定するには、ftp-map コマンドを使用します。このコマンドを入力すると、システムが FTP マップ コンフィギュレーション モードに入って、個々のマップを定義するためのさまざまなコマンドを入力できるようになります。FTP クライアントが特定のコマンドを FTP サーバに送信するのを防ぐには、 request-command deny コマンドを使用します。
FTP マップを定義したら、inspect ftp strict コマンドを使用してマップをイネーブルにします。 class-map 、 policy-map 、および service-policy の各コマンドを使用して、トラフィックのクラスを定義し、inspect コマンドをクラスに適用し、ポリシーを 1 つまたはそれ以上のインターフェイスに適用します。
例
次の例は、FTP トラフィックを識別し、FTP マップを定義し、ポリシーを定義して、そのポリシーを外部インターフェイスに適用する方法を示しています。
関連コマンド
|
|
|
|---|---|
ftp mode passive
FTP モードをパッシブに設定するには、グローバル コンフィギュレーション モードで ftp mode passive コマンドを使用します。FTP クライアントをアクティブ モードにリセットするには、このコマンドの no 形式を使用します。
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
使用上のガイドライン
ftp mode passive コマンドは、FTP モードをパッシブに設定します。セキュリティ アプライアンスは、イメージ ファイルまたはコンフィギュレーション ファイルの FTP サーバへのアップロードや FTP サーバからのダウンロードに FTP を使用できます。 ftp mode passive コマンドは、セキュリティ アプライアンス上の FTP クライアントが FTP サーバと対話する方法を設定します。
パッシブ FTP では、クライアントが制御接続とデータ接続の両方を開始します。パッシブ モードはサーバ状態を参照します。つまり、サーバは、クライアントによって開始された制御接続とデータ接続の両方を受動的に受け入れます。
パッシブ モードでは、宛先ポートと送信元ポートの両方が一時ポートです（1023 より大きい）。クライアントが passive コマンドを発行してパッシブなデータ接続の設定を開始するため、このモードはクライアントにより設定されます。パッシブ モードでのデータ接続の受信者であるサーバは、特定の接続をリスンしているポート番号で応答します。
例
関連コマンド
イメージ ファイルまたはコンフィギュレーション ファイルを FTP サーバとの間でアップロードまたはダウンロードします。 |
|
functions
このユーザまたはグループポリシーに対して、WebVPN 経由でファイル アクセスとファイル ブラウジング、MAPI プロキシ、HTTP プロキシ、および URL エントリを設定するには、グループポリシーまたはユーザ名モードから入力する webvpn モードで functions コマンドを使用します。設定済み機能を削除するには、このコマンドの no 形式を使用します。
functions none コマンドを発行して作成されたヌル値を含むすべての設定済み機能を削除するには、このコマンドの no 形式を引数なしで使用します。 no オプションを使用すると、値を別のグループポリシーから継承できます。機能の値を継承しないようにするには、 functions none コマンドを使用します。
functions { file-access | file-browsing | file-entry | filter | http-proxy | url-entry | mapi | port-forward | none }
no functions [ file-access | file-browsing | file-entry | filter | url-entry | mapi | port-forward ]
シンタックスの説明
デフォルト
コマンドのモード
|
|
|
|
|||
|---|---|---|---|---|---|
|
|
|
|
|
||
|
|
|
||||
コマンド履歴
|
|
|
|---|---|
例
次の例は、FirstGroup という名前のグループポリシーに対してファイル アクセス、ファイル ブラウジング、および MAPI プロキシを設定する方法を示しています。
hostname(config)# group-policy FirstGroup attributes
hostname(config-group-policy)# webvpn
関連コマンド
|
|
|
|---|---|
グループポリシー コンフィギュレーション モードまたはユーザ名コンフィギュレーション モードで使用します。WebVPN モードに入って、グループポリシーまたはユーザ名に適用するパラメータを設定できるようにします。 |
|
グローバル コンフィギュレーション モードで使用します。WebVPN のグローバル コンフィギュレーション値を設定できます。 |
フィードバック