サービスポリシー統計情報を表示するには、特権 EXEC モードで show service-policy コマンドを使用します。
show service-policy [ global | interface intf ][ csc | cxsc | inspect inspection [ arguments ] | ips | police | priority | set connection [ details ] | sfr | shape | user-statistics ]
show service-policy [ global | interface intf ][ flow protocol { host src_host | src_ip src_mask }[ eq src_port ]{ host dest_host | dest_ip dest_mask }[ eq dest_port ][ icmp_number | icmp_control_message ]]
構文の説明
|
csc
|
（任意） csc コマンドを含むポリシーに関する詳細情報を表示します。
|
|
cxsc
|
（任意） cxsc コマンドを含むポリシーに関する詳細情報を表示します。
|
|
dest_ip dest_mask
|
flow キーワードの場合、宛先 IP アドレスおよびトラフィックフローのネットマスク。
|
|
details
|
（任意） set connection キーワードの場合、クライアントごとの接続制限が有効な場合に、クライアントごとの接続情報を表示します。
|
|
eq dest_port
|
（任意） flow キーワードの場合、フローの宛先ポートに相当します。
|
|
eq src_port
|
（任意） flow キーワードの場合、フローの送信元ポートに相当します。
|
|
flow protocol
|
（オプション）5 つのタプル（プロトコル、送信元 IP アドレス、送信元ポート、宛先 IP アドレス、宛先ポート）で識別される特定フローに一致するポリシーを示します。このコマンドを利用すると、サービス ポリシー コンフィギュレーションによって、必要なサービスが特定の接続に提供されることを確認できます。
フローが 5 つのタプルとして示されるため、すべてのポリシーがサポートされるわけではません。次のサポート対象ポリシーが一致します。
|
|
global
|
（オプション）出力をグローバル ポリシーに制限します。
|
|
host dest_host
|
flow キーワードの場合、トラフィックフローのホスト宛先 IP アドレス。
|
|
host src_host
|
flow キーワードの場合、トラフィックフローのホスト送信元 IP アドレス。
|
|
icmp_control_message
|
（任意）プロトコルとして ICMP を指定した場合の flow キーワードに対して、トラフィックフローの ICMP 制御メッセージを指定します。
|
|
icmp_number
|
（任意）プロトコルとして ICMP を指定した場合の flow キーワードに対して、トラフィックフローの ICMP プロトコル番号を指定します。
|
|
inspect inspection [arguments ]
|
（任意） inspect コマンドを含むポリシーに関する詳細情報を表示します。詳細出力では、一部の inspect コマンドはサポートされません。すべてのインスペクションを表示するには、引数を使用せずに show service-policy コマンドを使用します。各インスペクションで使用できる引数は異なります。詳細については、CLI ヘルプを参照してください。
|
|
interface intf
|
（任意） intf 引数で指定したインターフェイスに適用されるポリシーを表示します。 intf は nameif コマンドで定義したインターフェイス名です。
|
|
ips
|
（任意） ips コマンドを含むポリシーに関する詳細情報を表示します。
|
|
police
|
（任意） police コマンドを含むポリシーに関する詳細情報を表示します。
|
|
priority
|
（任意） priority コマンドを含むポリシーに関する詳細情報を表示します。
|
|
set connection
|
（任意） set connection コマンドを含むポリシーに関する詳細情報を表示します。
|
|
sfr
|
（任意） sfr コマンドを含むポリシーに関する詳細情報を表示します。
|
|
shape
|
（任意） shape コマンドを含むポリシーに関する詳細情報を表示します。
|
|
src_ip src_mask
|
flow キーワードの場合、送信元 IP アドレスおよびトラフィックフローで使用されるネットマスク。
|
|
user-statistics
|
（任意） user-statistics コマンドを含むポリシーに関する詳細情報を表示します。このコマンドは、アイデンティティ ファイアウォールに関するユーザー統計情報を表示します。これには、選択したユーザーの、送信パケット数、送信ドロップ数、受信パケット数および送信ドロップ数が含まれます。
|
コマンド デフォルト
引数を指定しない場合、このコマンドはすべてのグローバル ポリシーおよびインターフェイス ポリシーを表示します。
コマンド モード
次の表に、コマンドを入力できるモードを示します。
|
コマンドモード
|
ファイアウォールモード
|
セキュリティコンテキスト
|
|
ルーテッド
|
トランスペアレント
|
シングル
|
マルチ
|
|
コンテキスト
|
システム
|
|
特権 EXEC
|
|
|
|
|
—
|
コマンド履歴
|
リリース
|
変更内容
|
|
7.0(1)
|
このコマンドが追加されました。
|
|
7.1(1)
|
csc キーワードが追加されました。
|
|
7.2(4)/8.0(4)
|
shape キーワードが追加されました。
|
|
8.4(2)
|
アイデンティティ ファイアウォール用の user-statistics キーワードのサポートが追加されました。
|
|
8.4(4.1)
|
ASA CX モジュール用の cxsc キーワードのサポートが追加されました。
|
|
9.2(1)
|
ASA FirePOWER モジュール用の sfr キーワードのサポートが追加されました。
|
|
9.5(2)
|
inspect sctp および inspect diameter キーワードが追加されました。
|
|
9.6(2)
|
inspect stun および inspect m3ua { drops | endpoint ip_address } キーワードが追加されました。
|
|
9.7(1)
|
inspect m3ua session および inspect gtp pdpmcb teid teid キーワードが追加されました。また、表示ルールの制限がクラス マップあたり 64 から 128 に引き上げられました。
|
|
9.10(1)
|
dns を検査する detail キーワードが追加されました。Cisco Umbrella に関する詳細が提供されます。
|
使用上のガイドライン
show service-policy コマンドの出力に表示される初期接続の数は、 class-map コマンドによって定義されたトラフィックマッチングに一致するインターフェイスへの、初期接続の数を示しています。「embryonic-conn-max」フィールドには、モジュラ ポリシー フレームワークを使用するトラフィック クラスに設定された最大初期接続の制限値が表示されます。表示される現在の初期接続数が最大値と等しい場合、または最大値を超えている場合は、新しい
TCP 接続が class-map コマンドによって定義されたトラフィックタイプに一致すると、その接続に対して TCP 代行受信が適用されます。
コンフィギュレーションに対してサービス ポリシーの変更を加えた場合は、すべての新しい接続で新しいサービス ポリシーが使用されます。既存の接続は、接続の確立時に設定されたポリシーを引き続き使用します。 show コマンド出力には古い接続に関するデータは含まれません。たとえば、インターフェイスから QoS サービスポリシーを削除し、変更したバージョンを再度追加した場合、 show service-policy コマンドには、新しいサービスポリシーに一致する新しい接続に関連付けられた QoS カウンタだけが表示されます。古いポリシーの既存の接続はコマンド出力には表示されなくなります。すべての接続が新しいポリシーを確実に使用するように、現在の接続を解除し、新しいポリシーを使用して再度接続できるようにします。 clear conn コマンドまたは clear local-host コマンドを参照してください。
（注）
|
inspect icmp ポリシーと inspect icmp error ポリシーの場合、パケット数にはエコー要求パケットと応答パケットのみが含まれます。
|
例
次に、 show service-policy global コマンドの出力例を示します。
ciscoasa# show service-policy global
Global policy:
Service-policy: inbound_policy
Class-map: ftp-port
Inspect: ftp strict inbound_ftp, packet 0, drop 0, reset-drop 0
次に、 show service-policy priority コマンドの出力例を示します。
ciscoasa# show service-policy priority
Interface outside:
Global policy:
Service-policy: sa_global_fw_policy
Interface outside:
Service-policy: ramap
Class-map: clientmap
Priority:
Interface outside: aggregate drop 0, aggregate transmit 5207048
Class-map: udpmap
Priority:
Interface outside: aggregate drop 0, aggregate transmit 5207048
Class-map: cmap
次に、 show service-policy flow コマンドの出力例を示します。
ciscoasa# show service-policy flow udp host 209.165.200.229 host 209.165.202.158 eq 5060
Global policy:
Service-policy: f1_global_fw_policy
Class-map: inspection_default
Match: default-inspection-traffic
Action:
Input flow: inspect sip
Interface outside:
Service-policy: test
Class-map: test
Match: access-list test
Access rule: permit ip 209.165.200.229 255.255.255.224 209.165.202.158 255.255.255.224
Action:
Input flow: ids inline
Input flow: set connection conn-max 10 embryonic-conn-max 20
次に、 show service-policy inspect http コマンドの出力例を示します。この例では、match-any クラス マップ内の match コマンドごとに統計情報が表示されます。
ciscoasa# show service-policy inspect http
Global policy:
Service-policy: global_policy
Class-map: inspection_default
Inspect: http http, packet 1916, drop 0, reset-drop 0
protocol violations
packet 0
class http_any (match-any)
Match: request method get, 638 packets
Match: request method put, 10 packets
Match: request method post, 0 packets
Match: request method connect, 0 packets
log, packet 648
複数の CPU コアを搭載しているデバイスの場合は、ロック失敗用のカウンタがあります。共有されるデータ構造と変数は複数のコアによって使用可能なため、それらを保護するためにロック メカニズムが使用されます。コアはロックの取得に失敗すると、ロックの取得を再試行します。ロック失敗カウンタは、試行が失敗するごとに増分されます。
ciscoasa# show service-policy
Global policy:
Service-policy: global_policy
Class-map: inspection_default
...
Inspect: esmtp _default_esmtp_map, packet 96716502, lock fail 7, drop 25,
reset-drop 0
Inspect: sqlnet, packet 2526511491, lock fail 21, drop 2362, reset-drop 0
次に、 show service-policy inspect waas コマンドの出力例を示します。この例では、waas の統計情報が表示されます。
ciscoasa# show service-policy inspect waas
Global policy:
Service-policy: global_policy
Class-map: WAAS
Inspect: waas, packet 12, drop 0, reset-drop 0
SYN with WAAS option 4
SYN-ACK with WAAS option 4
Confirmed WAAS connections 4
Invalid ACKs seen on WAAS connections 0
Data exceeding window size on WAAS connections 0
次に、GTP インスペクションの統計情報を表示するコマンドを示します。出力については、表 12-1 で説明されています。
firewall(config)# show service-policy inspect gtp statistics
GPRS GTP Statistics:
version_not_support 0 msg_too_short 0
unknown_msg 0 unexpected_sig_msg 0
unexpected_data_msg 0 ie_duplicated 0
mandatory_ie_missing 0 mandatory_ie_incorrect 0
optional_ie_incorrect 0 ie_unknown 0
ie_out_of_order 0 ie_unexpected 0
total_forwarded 67 total_dropped 1
signalling_msg_dropped 1 data_msg_dropped 0
signalling_msg_forwarded 67 data_msg_forwarded 0
total created_pdp 33 total deleted_pdp 32
total created_pdpmcb 31 total deleted_pdpmcb 30
total dup_sig_mcbinfo 0 total dup_data_mcbinfo 0
no_new_sgw_sig_mcbinfo 0 no_new_sgw_data_mcbinfo 0
pdp_non_existent 1
表 1. GPRS GTP 統計情報
|
カラムのヘッダー
|
説明
|
|
version_not_support
|
サポートされていない GTP バージョン フィールドを持つパケットの数を表示します。
|
|
msg_too_short
|
長さが 8 バイトより短いパケットの数を表示します。
|
|
unknown_msg
|
不明なタイプのメッセージ数を表示します。
|
|
unexpected_sig_msg
|
予期しないシグナリング メッセージ数を表示します。
|
|
unexpected_data_msg
|
予期しないデータ メッセージ数を表示します。
|
|
mandatory_ie_missing
|
必須情報要素（IE）が欠落しているメッセージ数を表示します。
|
|
mandatory_ie_incorrect
|
不正な形式の必須情報要素（IE）を持つメッセージ数を表示します。
|
|
optional_ie_incorrect
|
無効なオプション情報要素（IE）を持つメッセージ数を表示します。
|
|
ie_unknown
|
不明な情報要素（IE）を持つメッセージ数を表示します。
|
|
ie_out_of_order
|
順番どおりでない情報要素（IE）を持つメッセージ数を表示します。
|
|
ie_unexpected
|
予期しない情報要素（IE）を持つメッセージを表示します。
|
|
ie_duplicated
|
重複した情報要素（IE）を持つメッセージ数を表示します。
|
|
optional_ie_incorrect
|
不正な形式のオプション情報要素（IE）を持つメッセージ数を表示します。
|
|
total_dropped
|
ドロップされたメッセージの合計数を表示します。
|
|
signalling_msg_dropped
|
ドロップされた信号メッセージ数を表示します。
|
|
data_msg_dropped
|
ドロップされたデータ メッセージ数を表示します。
|
|
total_forwarded
|
転送されたメッセージの合計数を表示します。
|
|
signalling_msg_forwarded
|
転送された信号メッセージ数を表示します。
|
|
data_msg_forwarded
|
転送されたデータ メッセージ数を表示します。
|
|
total created_pdp
|
作成されたパケット データ プロトコル（PDP）またはベアラー コンテキストの合計数を表示します。
|
|
total deleted_pdp
|
削除されたパケット データ プロトコル（PDP）またはベアラー コンテキストの合計数を表示します。
|
|
total created_pdpmcb
total deleted_pdpmcb
total dup_sig_mcbinfo
total dup_data_mcbinfo
no_new_sgw_sig_mcbinfo
no_new_sgw_data_mcbinfo
|
これらのフィールドは、実装機能である PDP マスター制御ブロックの使用に関連しています。これらのカウンタは、トラブルシューティング向けにシスコ テクニカル サポートによって使用され、エンドユーザーには直接の関係はありません。
|
|
pdp_non_existent
|
存在しない PDP コンテキストに対して受信したメッセージ数を表示します。
|
例
次に、PDP コンテキストに関する情報を表示するコマンドを示します。
ciscoasa# show service-policy inspect gtp pdp-context
1 in use, 32 most used
Version TID MS Addr SGSN Addr Idle Timeout APN
v2 2692026893437055 10.0.0.1 10.0.0.11 0:00:11 0:04:00 gprs.example.com
ASA 9.6.2 以降、GTP PDP コンテキスト情報はテーブルではなく、1 行ずつ示されます。このため、IPv6 アドレスの使用時に、情報が読み取り易くなります。
ciscoasa# show service-policy inspect gtp pdp-context
4 in use, 5 most used
Version v1, TID 050542012151705f, MS Addr 2005:a00::250:56ff:fe96:eec,
SGSN Addr 10.0.203.22, Idle 0:52:01, Timeout 3:00:00, APN ssenoauth146
Version v2, TID 0505420121517056, MS Addr 100.100.100.102,
SGW Addr 10.0.203.24, Idle 0:00:05, Timeout 3:00:00, APN ssenoauth146
Version v2, TID 0505420121517057, MS Addr 100.100.100.103,
SGW Addr 10.0.203.25, Idle 0:00:04, Timeout 3:00:00, APN ssenoauth146
Version v2, TID 0505420121517055, MS Addr 100.100.100.101,
SGW Addr 10.0.203.23, Idle 0:00:06, Timeout 3:00:00, APN ssenoauth146
表 12-2 で、 show service-policy inspect gtp pdp-context コマンドの出力について説明します。
表 2. PDP コンテキスト
|
カラムのヘッダー
|
説明
|
|
バージョン
|
GTP のバージョンを表示します。
|
|
TID
|
トンネル識別子を表示します。
|
|
MS Addr
|
モバイル ステーションのアドレスを表示します。
|
|
SGSN Addr
SGW Addr
|
サービング ゲートウェイ サービス ノード（SGSN）またはサービング ゲートウェイ（SGW）を表示します。
|
|
Idle
|
PDP またはベアラー コンテキストが使用されていない期間を表示します。
|
|
APN
|
アクセス ポイント名を表示します。
|
フィードバック