Cisco ASA 5500 シリーズ/Cisco PIX 500 シリーズ Cisco セキュリティ アプライアンス コマンド リファレンス Software Version 7.0.4

 

シンタックスの説明

 

デフォルト

このコマンドは、デフォルトではディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

gateway コマンドは、特定のゲートウェイを管理しているコール エージェントのグループを指定するために使用します。 ip_address オプションを使用して、ゲートウェイの IP アドレスを指定します。 group_id オプションは 0 ～ 4294967295 の数字です。この数字は、ゲートウェイを管理しているコール エージェントの group_id に対応している必要があります。1 つのゲートウェイは 1 つのグループだけに所属できます。

例

次の例では、コール エージェント 10.10.11.5 と 10.10.11.6 がゲートウェイ 10.10.10.115 を制御できるようにし、コール エージェント 10.10.11.7 と 10.10.11.8 がゲートウェイ 10.10.10.116 と 10.10.10.117 の両方を制御できるようにしています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

ダイナミック NAT および PAT の場合は、最初に、変換対象となるインターフェイス上の実際のアドレスを指定する nat コマンドを設定します。次に、別のインターフェイスの終了時にマッピング アドレスを指定するための global コマンドを別途設定します（PAT の場合、マッピング アドレスは 1 つです）。各 nat コマンドは、各コマンドに割り当てられた番号である NAT ID の比較によって、 global コマンドと一致します。

ダイナミック NAT および PAT の詳細については、 nat コマンドを参照してください。

NAT コンフィギュレーションを変更する場合、既存の変換がタイムアウトするのを待たずに新しい NAT 情報を使用するときは、clear xlate コマンドを使用して変換テーブルを消去してもかまいません。ただし、変換テーブルを消去すると現在の接続がすべて切断されます。

例

たとえば、内部インターフェイス上の 10.1.1.0/24 ネットワークを変換するには、次のコマンドを入力します。

ダイナミック NAT 用のアドレス プールを、NAT プールを使い果たしたときのための PAT アドレスとともに指定するには、次のコマンドを入力します。

ルーティングの簡略化などのために、セキュリティの低い DMZ（非武装地帯）のネットワーク アドレスを変換して内部ネットワーク（10.1.1.0）と同じネットワーク上に表示するには、次のコマンドを入力します。

ポリシー NAT を使用して、1 つの実際のアドレスに 2 つの異なる宛先アドレスを指定するには、次のコマンドを入力します。

ポリシー NAT を使用して、それぞれが異なるポートを使用する、1 つの実際のアドレスと宛先アドレスのペアを指定するには、次のコマンドを入力します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

デフォルトでは、デリミタは指定されておらず、グループ名の解析はディセーブルになっています。

例

次の例は、グループ デリミタを番号記号（#）に変更するための group-delimiter コマンドを示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次の例は、FirstGroup というグループポリシーにグループ ロックを設定する方法を示しています。

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

group-object コマンドは、 object-group コマンドと組み合せることで、自身がオブジェクト グループであるオブジェクトを定義します。このコマンドは、プロトコル、ネットワーク、サービス、および icmp-type コンフィギュレーション モードで使用されます。このサブコマンドを使用すると、同じタイプのオブジェクトを論理的にグループ化することや、構造化コンフィギュレーションの階層型オブジェクト グループを構築することができます。

グループ オブジェクトに限り、オブジェクトをオブジェクト グループ内で重複させることができます。たとえば、オブジェクト 1 がグループ A とグループ B の両方にある場合、A と B を両方含むグループ C を定義できます。ただし、グループ オブジェクトに含めることによってグループ階層が循環型になる場合は、含めることができません。たとえば、グループ A をグループ B に含め、同時にグループ B をグループ A に含めることはできません。

階層型オブジェクト グループの最大許容レベルは 10 です。

例

次の例は、ホストを重複させる必要がなくなるように、ネットワーク コンフィギュレーション モードで group-object コマンドを使用する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。使用上のガイドラインを参照してください。

 

コマンド履歴

 

使用上のガイドライン

「DefaultGroupPolicy」というデフォルトのグループポリシーは、常にセキュリティ アプライアンス上に存在します。ただし、このデフォルトのグループポリシーを有効にするには、このポリシーを使用するようにセキュリティ アプライアンスを設定する必要があります。設定方法については、『 Cisco Security Appliance Command Line Configuration Guide 』を参照してください。

DefaultGroupPolicy には、次の AVP が含まれています。

例

次の例は、「FirstGroup」という内部グループポリシーを作成する方法を示しています。

次の例は、「ExternalGroup」という外部グループポリシー、「BostonAAA」という AAA サーバ グループ、および「12345678」というパスワードを作成する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

アトリビュート モードのコマンドのシンタックスには、共通する次の特性があります。

• no 形式は、アトリビュートを実行コンフィギュレーションから削除し、値を別のグループポリシーから継承できるようにします。

• none キーワードは、実行コンフィギュレーションのアトリビュートをヌル値に設定して、値を継承できないようにします。

• ブール アトリビュートには、イネーブルまたはディセーブルになっている設定のための明示的なシンタックスがあります。

例

次の例は、「FirstGroup」というグループポリシーのグループポリシー アトリビュート モードに入る方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

GPRS は、既存の GSM ネットワークを統合するために設計されたデータ ネットワーク アーキテクチャです。モバイル ユーザに対して、企業ネットワークとインターネットにアクセスするためのパケット スイッチ データ サービスを中断なく提供します。GTP の概要や、セキュリティ アプライアンスがワイヤレス ネットワーク上でセキュアなアクセスを保証する仕組みについては、
『 Cisco Security Appliance Command Line Configuration Guide 』の「Applying Application Layer Protocol Inspection」の章を参照してください。

gtp-map コマンドを使用して、GTP のパラメータの定義に使用する特定のマップを指定します。このコマンドを入力すると、システムがコンフィギュレーション モードに入って、個々のマップを定義するためのさまざまなコマンドを入力できるようになります。GTP マップを定義したら、 inspect gtp コマンドを使用してマップをイネーブルにします。 class-map 、 policy-map 、および service-policy の各コマンドを使用して、トラフィックのクラスを定義し、inspect コマンドをクラスに適用し、ポリシーを 1 つまたはそれ以上のインターフェイスに適用します。

例

次の例は、gtp-map コマンドを使用して、GTP のパラメータの定義に使用する特定のマップ（gtp-policy）を指定する方法を示しています。

次の例は、アクセスリストを使用して GTP トラフィックを識別し、GTP マップを定義し、ポリシーを定義して、そのポリシーを外部インターフェイスに適用する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

help コマンドは、すべてのコマンドについてヘルプ情報を表示します。個々のコマンドについてのヘルプは、 help コマンドの後にコマンド名を入力することで、表示できます。コマンド名を指定しないで ? を代わりに入力を入力すると、現在の特権レベルとモードで使用可能なコマンドがすべて表示されます。

pager コマンドがイネーブルになっている場合は、24 行が表示されたときに、表示が一時停止して次のプロンプトが表示されます。

More プロンプトは UNIX の more コマンドと同様のシンタックスを使用します。このシンタックスを次に示します。

• 次のテキスト画面を表示するには、 Space キーを押す。

• 次の行を表示するには、 Enter キーを押す。

• コマンド ラインに戻るには、q キーを押す。

例

次の例は、 rename コマンドのヘルプを表示する方法を示しています。

次の例は、コマンド名と疑問符を入力してヘルプを表示する方法を示しています。

コア コマンド（show、no、clear 以外のコマンド）についてのヘルプは、コマンド プロンプトで ? を入力します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトのホーム ページはありません。

 

コマンド履歴

例

次の例は、FirstGroup というグループポリシーのホーム ページとして www.example.com を指定する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトのホスト名はプラットフォームによって異なります。

 

コマンド履歴

 

使用上のガイドライン

マルチ コンテキスト モードの場合、システム実行スペースに設定したホスト名は、すべてのコンテキストのコマンドライン プロンプトに表示されます。

コンテキスト内にオプションで設定したホスト名は、コマンドラインに表示されませんが、 banner コマンドの $(hostname) トークンに使用できます。

例

次の例では、ホスト名を firewall1 に設定します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

フィルタリングは行われません。

 

コマンド履歴

 

使用上のガイドライン

コマンドを 2 回使用すると、先行する設定値が上書きされます。

例

次の例は、FirstGroup というグループポリシーに対して、JAVA、ActiveX、クッキー、およびイメージのフィルタリングを設定する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

HTTP サーバにアクセスできるホストは指定されていません。

 

コマンド履歴

例

次の例は、IP アドレス 10.10.99.1 およびサブネット マスク 255.255.255.255 のホストが外部インターフェイス経由で HTTP サーバにアクセスできるようにする方法を示しています。

次の例は、すべてのホストが外部インターフェイス経由で HTTP サーバにアクセスできるようにする方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

HTTP 証明書認証はディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

証明書認証はインターフェイスごとに設定できます。その結果、信頼できるインターフェイスまたは内部インターフェイス上の接続については証明書の提示が不要になります。コマンドを複数回使用すれば、複数のインターフェイス上で証明書認証をイネーブルにできます。

URL は検証後に判明します。そのため、検証は WebVPN と ASDM アクセスの両方に影響します。

ASDM は、この値のほかに、独自の認証方式を使用します。つまり、証明書認証とユーザ名/パスワード認証の両方が設定されている場合は、両方の認証を要求し、証明書認証がディセーブルの場合は、ユーザ名/パスワード認証のみを要求します。

例

次の例は、outside と external というインターフェイスに接続しようとするクライアントに証明書認証を要求する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

HTTP リダイレクトはディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

インターフェイスが、HTTP を許可するアクセスリストを要求します。要求がない場合、セキュリティ アプライアンスは、ポート 80 または HTTP 用に設定した他のポートすべてをリスンしません。

例

次の例は、デフォルト ポート 80 のままで、内部インターフェイスの HTTP リダイレクトを設定する方法を示しています。

 

関連コマンド

 

デフォルト

HTTP サーバはディセーブルになっています。

 

コマンド履歴

例

次の例は、HTTP サーバをイネーブルにする方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

このコマンドは、デフォルトではディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

アプリケーション ファイアウォールとしても知られる高度な HTTP 検査機能は、HTTP メッセージが RFC 2616 に準拠していること、RFC で定義およびサポートされている拡張方式を使用していること、および他のさまざまな基準を満たしていることを確認します。この機能を使用すると、攻撃者が HTTP メッセージを使用してネットワーク セキュリティ ポリシーを回避することを防止できます。

（注） HTTP マップを使用して HTTP 検査をイネーブルにすると、デフォルトでは、アクション reset および log を使用した厳密な HTTP 検査がイネーブルになります。検査に合格しない場合に実行されるアクションは変更できますが、HTTP マップがイネーブルのままである限り、厳密な検査をディセーブルにすることはできません。

多くの場合、基準と、その基準が満たされないときのセキュリティ アプライアンスの応答を設定できます。HTTP メッセージに適用できる基準には、次のものがあります。

• リスト（設定可能）に挙げられているメソッドを含んでいない。

• メッセージ本文のサイズが、制限値（設定可能）以下である。

• 要求と応答のメッセージ ヘッダーのサイズが、制限値（設定可能）以下である。

• URI の長さが制限値（設定可能）以下である。

• メッセージ本文の content-type が、ヘッダーと一致している。

• 応答メッセージの content-type が、要求メッセージの accept-type フィールドと一致している。

• メッセージの content-type が、事前定義済みの内部リストに挙げられている。

• メッセージが、RFC による HTTP 形式の基準を満たしている。

• 選択したサポート可能アプリケーションが存在している（または、存在していない）。

• 選択した符号化タイプが存在している（または、存在していない）。

（注） 基準を満たさないメッセージに対して指定できるアクションは、allow、reset、drop などのさまざまなコンフィギュレーション コマンドを使用して設定します。これらのアクションに加えて、イベントをログに記録するかどうかも指定できます。

表 5-2 は、HTTP マップ コンフィギュレーション モードで使用可能なコンフィギュレーション コマンドを要約しています。エントリをクリックするとコマンドのページが開き、各コマンドの詳細なシンタックスが表示されます。

例

次の出力例は、HTTP トラフィックを識別し、HTTP マップを定義し、ポリシーを定義して、そのポリシーを外部インターフェイスに適用する方法を示しています。

この例では、次のコンテンツを含んでいるトラフィックをセキュリティ アプライアンスが検出したときに、接続をリセットして syslog エントリを作成します。

• 100 バイト未満または 2,000 バイトを超えるメッセージ

• サポートされていないコンテンツ タイプ

• 100 バイトを超える HTTP ヘッダー

• 100 バイトを超える URI

 

関連コマンド

 

シンタックスの説明

 

デフォルト

HTTP プロキシ サーバは、デフォルトでは設定されていません。

 

コマンド履歴

例

次の例は、ポート 80 を使用する IP アドレス 10.10.10.7 の HTTP プロキシ サーバを設定する方法を示しています。

 

シンタックスの説明

 

デフォルト

HTTPS プロキシ サーバは、デフォルトでは設定されていません。

 

コマンド履歴

例

次の例は、ポート 443 を使用する IP アドレス 10.10.10.1 の HTTPS プロキシ サーバを設定する方法を示しています。

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドを使用できるのは、SSM が Up、Down、Unresponsive、または Recovery 状態にある場合のみです。状態については、 show module コマンドを参照してください。

例

次の例では、TFTP サーバからイメージをダウンロードするように SSM を設定します。

次の例では、SSM を回復します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドが有効となるのは、SSM の状態が Up の場合のみです。状態については、 show module コマンドを参照してください。

このコマンドは、同じくハードウェア リセットを実行する hw-module module reset コマンドとは異なります。

例

次の例では、スロット 1 の SSM をリロードします。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドが有効となるのは、SSM の状態が Up、Down、Unresponsive、または Recover の場合のみです。状態については、 show module コマンドを参照してください。

SSM が Up 状態にある場合、 hw-module module reset コマンドを使用すると、リセットする前にソフトウェアをシャットダウンするよう求められます。

インテリジェント SSM（たとえば、AIP SSM）を回復するには、 hw-module module recover コマンドを使用します。SSM が Recover 状態にあるときに hw-module module reset を入力しても、SSM はリカバリ プロセスを中断しません。 hw-module module reset コマンドは、SSM のハードウェア リセットを実行します。ハードウェア リセット後に、SSM のリカバリが続行されます。SSM がハングした場合は、リカバリ中でも SSM をリセットできます。ハードウェア リセットにより、問題が解決する場合があります。

このコマンドは、ソフトウェアのリロードのみを行いハードウェア リセットを行わない hw-module module reload コマンドとは異なります。

例

次の例では、Up 状態にあるスロット 1 の SSM をリセットします。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

SSM ソフトウェアをシャットダウンすると、コンフィギュレーション データを失わずに SSM の電源を安全にオフにできる状態になります。

このコマンドが有効となるのは、SSM の状態が Up または Unresponsive の場合のみです。状態については、 show module コマンドを参照してください。

例

次の例では、スロット 1 の SSM をシャットダウンします。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトでは、セキュリティ アプライアンスは、セキュリティ アプライアンス インターフェイス への ICMP トラフィックをすべて許可します。ただし、デフォルトでは、セキュリティ アプライアンスはブロードキャスト アドレス宛ての ICMP エコー要求には応答しません。また、セキュリティ アプライアンスは、保護されたインターフェイス上の宛先に対する、外部インターフェイスで受信した ICMP メッセージを拒否します。

 

コマンド履歴

 

使用上のガイドライン

icmp コマンドは、すべてのセキュリティ アプライアンス インターフェイスで終端する ICMP トラフィックを制御します。ICMP コントロール リストが設定されていない場合、セキュリティ アプライアンスは、すべてのインターフェイス（外部インターフェイスを含む）で終端する ICMP トラフィックをすべて受け入れます。ただし、デフォルトでは、セキュリティ アプライアンスはブロードキャスト アドレス宛ての ICMP エコー要求には応答しません。

icmp deny コマンドは、インターフェイスへの ping をディセーブルにし、icmp permit コマンドは、インターフェイスへの ping をイネーブルにします。ping をディセーブルにすると、セキュリティ アプライアンスがネットワーク上で検出できなくなります。これは、設定可能なプロキシ ping とも呼ばれます。

保護されたインターフェイス上の宛先に向けてセキュリティ アプライアンス 経由で ルーティングされる ICMP トラフィックについては、 access-list extended コマンドまたは access-group コマンドを使用します。

ICMP 到達不能メッセージ タイプ（タイプ 3）は、許可することを推奨します。ICMP 到達不能メッセージを拒否すると、Path MTU Discovery がディセーブルになるため、IPSec トラフィックと PPTP のトラフィックが停止される場合があります。Path MTU Discovery の詳細については、RFC 1195 と RFC 1435 を参照してください。

ICMP コントロール リストがインターフェイスに設定されている場合、セキュリティ アプライアンスは、指定された ICMP トラフィックと最初に一致したエントリを使用し、それ以外の当該インターフェイス上の ICMP トラフィックをすべて暗黙的に拒否します。つまり、最初に一致したエントリが許可エントリの場合、その ICMP パケットは処理が続けられます。最初に一致したエントリが拒否エントリの場合、またはエントリが一致しなかった場合は、セキュリティ アプライアンスがその ICMP パケットを廃棄し、syslog メッセージを生成します。例外は、ICMP コントロール リストが設定されていない場合で、その場合は、 permit ステートメントがあるものとみなされます。

表 5-3 に、サポートされている ICMP タイプの値を示します。

例

次の例では、外部インターフェイスで、すべての ping 要求を拒否し、すべての到達不能メッセージを許可します。

次の例では、ホスト 172.16.2.15 またはサブネット 172.22.1.0/16 上のホストに、外部インターフェイスへの ping を許可します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

icmp-object コマンドは、 object-group コマンドと組み合せることで、icmp-type オブジェクトを定義します。このコマンドは、icmp-type コンフィギュレーション モードで使用されます。

ICMP タイプの番号と名前には、次のものがあります。

例

次の例は、icmp-type コンフィギュレーション モードで icmp-object コマンドを使用する方法を示しています。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

デフォルト設定はイネーブルです（ID 証明書は受け入れられます）。

 

コマンド履歴

 

使用上のガイドライン

このコマンドは、広く使用されるルート CA の下位 CA から発行された証明書のみを受け入れるようにする場合に使用します。この機能を使用可能にしない場合は、セキュリティ アプライアンスが、この発行者によって署名された IKE ピア証明書をすべて拒否します。

例

次の例では、central トラストポイントの暗号 CA トラストポイント コンフィギュレーション モードに入り、central トラストポイントの発行者によって署名された ID 証明書の受け入れを管理者に許可します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

イネーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

実行コンフィギュレーションに表示されるのは、このコマンドの no 形式のみです。

例

次の例では、選択したインターフェイス上で IGMP 処理をディセーブルにします。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

インターフェイス上ですべてのグループに加入できます。

 

コマンド履歴

例

次の例では、アクセスリスト 1 で許可されたホストだけがグループに加入できるようにします。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドを入力インターフェイス上で入力します。このコマンドはスタブ マルチキャスト ルーティング用であるため、このコマンドに PIM を同時に設定することはできません。

例

次の例では、IGMP ホスト レポートを現在のインターフェイスから指定のインターフェイスに転送します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドは、セキュリティ アプライアンス インターフェイスをマルチキャスト グループのメンバーとして設定します。 igmp join-group コマンドを使用すると、セキュリティ アプライアンスは、指定されたマルチキャスト グループ宛てのマルチキャスト パケットを受け入れて、転送します。

マルチキャスト グループのメンバーにしないで、セキュリティ アプライアンスがマルチキャスト トラフィックを転送するように設定するには、 igmp static-group コマンドを使用します。

例

次の例では、選択したインターフェイスが IGMP グループ 255.2.2.2 に加入するように設定します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトは 500 です。

 

コマンド履歴

例

次の例では、インターフェイス上で加入できるホストの数を 250 に制限します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトのクエリー間隔は 125 秒です。

 

コマンド履歴

 

使用上のガイドライン

マルチキャスト ルータは、ホスト クエリー メッセージを送信して、インターフェイスに接続されたネットワーク上のメンバーを含むマルチキャスト グループを検出します。ホストは、特定のグループ宛てのマルチキャスト パケットを受信する必要があることを示す IGMP レポート メッセージを使用して応答します。ホスト クエリー メッセージは、アドレス 224.0.0.1 および TTL 値 1 の all-hosts マルチキャスト グループに宛先指定されます。

IGMP ホスト クエリー メッセージを送信するルータは、LAN の指定ルータのみです。