CLI ブック 2: Cisco ASA シリーズ 9.6 ファイアウォール CLI コンフィグレーションガイド

オブジェクトの設定

次の各項では、主にアクセスコントロールで使用されるオブジェクトを設定する方法について説明します。

ネットワークオブジェクトとグループの設定

ネットワークオブジェクトおよびグループは、IP アドレスまたはホスト名を特定します。これらのオブジェクトをアクセスコントロールリストで使用して、ルールを簡素化できます。

ネットワークオブジェクトの設定

1 つのネットワークオブジェクトには、1 つのホスト、ネットワーク IP アドレス、IP アドレスの範囲、または完全修飾ドメイン名（FQDN）を入れることができます。

また、オブジェクトに対して NAT ルールをイネーブルにすることもできます（FQDN オブジェクトを除く）。オブジェクト NAT の設定の詳細については、Network Address Translation（NAT）を参照してください。

手順

ステップ 1

オブジェクト名を使用して、ネットワークオブジェクトを作成または編集します： object network object_name

例:


hostname(config)# object network email-server

ステップ 2

次のいずれかのコマンドを使用して、オブジェクトにアドレスを追加します。オブジェクトを削除するには、コマンドの no 形式を使用します。

host {IPv4_address | IPv6_address}：単一のホストの IPv4 または IPv6 アドレス。たとえば、10.1.1.1 または 2001:DB8::0DB8:800:200C:417A。
subnet {IPv4_address IPv4_mask | IPv6_address/IPv6_prefix}：ネットワークのアドレス。IPv4 サブネットの場合、10.0.0.0 255.0.0.0 のように、スペースの後ろにマスクを含めます。IPv6 の場合、2001:DB8:0:CD30::/60 のように、アドレスとプレフィックスを単一のユニット（スペースなし）として含めます。
range start_address end_address：アドレスの範囲。IPv4 または IPv6 の範囲を指定できます。マスクまたはプレフィックスを含めないでください。
fqdn [v4 | v6] fully_qualified_domain_name：完全修飾ドメイン名。つまり、www.example.com のようなホスト名。アドレスを IPv4 に制限するには v4、IPv6 に制限するには v6 を指定します。アドレスタイプを指定しない場合、IPv4 が使用されます。

例:


hostname(config-network-object)# host 10.2.2.2

ステップ 3

（任意）説明を追加します。description string

ネットワークオブジェクトグループの設定

ネットワークオブジェクトグループには、インラインネットワークやホストと同様に複数のネットワークオブジェクトを含めることができます。ネットワークオブジェクトグループは、IPv4 と IPv6 の両方のアドレスの混在を含めることができます。

ただし、IPv4 と IPv6 が混在するオブジェクトグループや、FQDN オブジェクトが含まれているオブジェクトグループを、NAT に使用することはできません。

手順

ステップ 1

オブジェクト名を使用して、ネットワークオブジェクトグループを作成または編集します。object-group network group_name

例:


hostname(config)# object-group network admin

ステップ 2

次のコマンドの 1 つまたは複数を使用して、ネットワークオブジェクトグループにオブジェクトとアドレスを追加します。オブジェクトを削除するには、コマンドの no 形式を使用します。

network-object host {IPv4_address | IPv6_address}：単一のホストの IPv4 または IPv6 アドレス。たとえば、10.1.1.1 または 2001:DB8::0DB8:800:200C:417A。
network-object {IPv4_address IPv4_mask | IPv6_address/IPv6_prefix}：ネットワークまたはホストのアドレス。IPv4 サブネットの場合、10.0.0.0 255.0.0.0 のように、スペースの後ろにマスクを含めます。IPv6 の場合、2001:DB8:0:CD30::/60 のように、アドレスとプレフィックスを単一のユニット（スペースなし）として含めます。
network-object object object_name：既存のネットワークオブジェクトの名前。
group-object object_group_name：既存のネットワークオブジェクトグループの名前。

例:


hostname(config-network-object-group)# network-object 10.1.1.0 255.255.255.0
hostname(config-network-object-group)# network-object 2001:db8:0:cd30::/60
hostname(config-network-object-group)# network-object host 10.1.1.1
hostname(config-network-object-group)# network-object host 2001:DB8::0DB8:800:200C:417A
hostname(config-network-object-group)# network-object object existing-object-1
hostname(config-network-object-group)# group-object existing-network-object-group

ステップ 3

（任意）説明を追加します。description string

例

3 人の管理者の IP アドレスを含むネットワークグループを作成するには、次のコマンドを入力します。


hostname (config)# object-group network admins
hostname (config-protocol)# description Administrator Addresses
hostname (config-protocol)# network-object host 10.2.2.4
hostname (config-protocol)# network-object host 10.2.2.78
hostname (config-protocol)# network-object host 10.2.2.34

次のコマンドを入力して、さまざまな部門に所属する特権ユーザのネットワークオブジェクトグループを作成します。


hostname (config)# object-group network eng
hostname (config-network)# network-object host 10.1.1.5
hostname (config-network)# network-object host 10.1.1.9
hostname (config-network)# network-object host 10.1.1.89

hostname (config)# object-group network hr
hostname (config-network)# network-object host 10.1.2.8
hostname (config-network)# network-object host 10.1.2.12

hostname (config)# object-group network finance
hostname (config-network)# network-object host 10.1.4.89
hostname (config-network)# network-object host 10.1.4.100

その後、3 つすべてのグループを次のようにネストします。


hostname (config)# object-group network admin
hostname (config-network)# group-object eng
hostname (config-network)# group-object hr
hostname (config-network)# group-object finance

サービスオブジェクトとサービスグループの設定

サービスオブジェクトとグループでは、プロトコルおよびポートを指定します。これらのオブジェクトをアクセスコントロールリストで使用して、ルールを簡素化できます。

サービスオブジェクトの設定

サービスオブジェクトには、単一のプロトコル仕様を含めることができます。

手順

ステップ 1

オブジェクト名を使用して、サービスオブジェクトを作成または編集します。object service object_name

例:


hostname(config)# object service web

ステップ 2

次のいずれかのコマンドを使用して、オブジェクトにサービスを追加します。オブジェクトを削除するには、コマンドの no 形式を使用します。

service protocol ：IP プロトコルの名前または番号（0 ～ 255）。ip を指定すると、すべてのプロトコルに適用されます。
service {icmp | icmp6} [icmp-type [icmp_code]] ：ICMP または ICMP バージョン 6 のメッセージ用。ICMP タイプを名前または番号（0 ～ 255）で指定することで、オブジェクトをそのメッセージタイプに制限できます（オプション）。タイプを指定する場合、そのタイプ（1 ～ 255）に対する ICMP コードを任意で指定できます。コードを指定しない場合は、すべてのコードが使用されます。
service {tcp | upd | sctp} [source operator port] [destination operator port] ：TCP、UDP、または SCTP 用。送信元、宛先、またはその両方に対して、任意でポートを指定できます。ポートは、名前または番号で指定できます。operator には次のいずれかを指定できます。
- lt：小なり。
- gt：大なり。
- eq：等しい。
- neq：非同値。
- range：値の包括的な範囲。この演算子を使用する場合は、2 つのポート番号を指定します（例：range 100 200）。

例:


hostname(config-service-object)# service tcp destination eq http

ステップ 3

（任意）説明を追加します。description string

サービスグループの設定

1 つのサービスオブジェクトグループには、さまざまなプロトコルが混在しています。必要に応じて、それらを使用するプロトコルの送信元および宛先ポート、および ICMP のタイプおよびコードを入れることができます。

始める前に

ここで説明する一般的なサービスオブジェクトグループを使用して、すべてのサービスをモデル化できます。ただし、ASA 8.3(1) よりも前に使用可能であったサービスグループオブジェクトのタイプを設定することもできます。こうした従来のオブジェクトには、TCP/UDP/TCP-UDP ポートグループ、プロトコルグループ、および ICMP グループが含まれます。これらのグループのコンテンツは、ICMP6 または ICMP コードをサポートしない ICMP グループを除く、一般的なサービスオブジェクトグループの関連する設定に相当します。これらの従来のオブジェクトを使用したい場合は、object-service コマンドに関する説明を Cisco.com のコマンドリファレンスで確認してください。

手順

ステップ 1

オブジェクト名を使用して、サービスオブジェクトグループを作成または編集します。object-group service object_name

例:


hostname(config)# object-group service general-services

ステップ 2

次のコマンドの 1 つまたは複数を使用して、サービスオブジェクトグループにオブジェクトとサービスを追加します。オブジェクトを削除するには、コマンドの no 形式を使用します。

service-object protocol ：IP プロトコルの名前または番号（0 ～ 255）。ip を指定すると、すべてのプロトコルに適用されます。
service-object {icmp | icmp6} [icmp-type [icmp_code]] ：ICMP または ICMP バージョン 6 のメッセージ用。ICMP タイプを名前または番号（0 ～ 255）で指定することで、オブジェクトをそのメッセージタイプに制限できます（オプション）。タイプを指定する場合、そのタイプ（1 ～ 255）に対する ICMP コードを任意で指定できます。コードを指定しない場合は、すべてのコードが使用されます。
service-object {tcp | upd | tcp-udp | sctp} [source operator port] [destination operator port] ：TCP、UDP、その両方、または SCTP 用。送信元、宛先、またはその両方に対して、任意でポートを指定できます。ポートは、名前または番号で指定できます。operator には次のいずれかを指定できます。
- lt：小なり。
- gt：大なり。
- eq：等しい。
- neq：非同値。
- range：値の包括的な範囲。この演算子を使用する場合は、2 つのポート番号を指定します（例：range 100 200）。
service-object object object_name：既存のサービスオブジェクトの名前。
group-object object_group_name：既存のサービスオブジェクトグループの名前。

例:


hostname(config-service-object-group)# service-object ipsec
hostname(config-service-object-group)# service-object tcp destination eq domain
hostname(config-service-object-group)# service-object icmp echo
hostname(config-service-object-group)# service-object object my-service
hostname(config-service-object-group)# group-object Engineering_groups

ステップ 3

（任意）説明を追加します。description string

例

次の例では、TCP と UDP の両方のサービスを同じサービスオブジェクトグループに追加する方法を示します。


hostname(config)# object-group service CommonApps
hostname(config-service-object-group)# service-object tcp destination eq ftp
hostname(config-service-object-group)# service-object tcp-udp destination eq www
hostname(config-service-object-group)# service-object tcp destination eq h323
hostname(config-service-object-group)# service-object tcp destination eq https
hostname(config-service-object-group)# service-object udp destination eq ntp

次の例では、複数のサービスオブジェクトを同じサービスオブジェクトグループに追加する方法を示します。


hostname(config)# object service SSH
hostname(config-service-object)# service tcp destination eq ssh
hostname(config)# object service EIGRP
hostname(config-service-object)# service eigrp
hostname(config)# object service HTTPS
hostname(config-service-object)# service tcp source range 1 1024 destination eq https
hostname(config)# object-group service Group1
hostname(config-service-object-group)# service-object object SSH
hostname(config-service-object-group)# service-object object EIGRP
hostname(config-service-object-group)# service-object object HTTPS

ローカルユーザグループの設定

作成したローカルユーザグループは、アイデンティティファイアウォールをサポートする機能で使用できます。そのグループを拡張 ACL に入れると、たとえばアクセスルールでも使用できるようになります。

ASA は、Active Directory ドメインコントローラでグローバルに定義されているユーザグループについて、Active Directory サーバに LDAP クエリを送信します。ASA は、そのグループをアイデンティティベースのルール用にインポートします。ただし、ローカライズされたセキュリティポリシーを持つローカルユーザグループを必要とする、グローバルに定義されていないネットワークリソースが ASA によりローカライズされている場合があります。ローカルユーザグループには、Active Directory からインポートされる、ネストされたグループおよびユーザグループを含めることができます。ASA は、ローカルグループおよび Active Directory グループを統合します。

ユーザは、ローカルユーザグループと Active Directory からインポートされたユーザグループに属することができます。

ACL でユーザ名とユーザグループ名を直接使用できるため、次の場合にだけローカルユーザグループを設定する必要があります。

ローカルデータベースで定義されているユーザのグループを作成する。
AD サーバで定義されている単一のユーザグループでキャプチャされなかったユーザまたはユーザグループのグループを作成する。

手順

ステップ 1

オブジェクト名を使用して、ユーザオブジェクトグループを作成または編集します。object-group user group_name

例:


hostname(config)# object-group user admins

ステップ 2

次のコマンドの 1 つまたは複数を使用して、ユーザオブジェクトグループにユーザとグループを追加します。オブジェクトを削除するには、コマンドの no 形式を使用します。

user [domain_NETBIOS_name\]username：ユーザ名。ドメイン名またはユーザ名にスペースが含まれている場合は、ドメイン名とユーザ名を引用符で囲む必要があります。ドメイン名には、LOCAL（ローカルデータベースで定義されているユーザ向け）、または user -identity domain domain_NetBIOS_name aaa -server aaa_server_group_tag コマンドで指定されている Active Directory（AD）のドメイン名を指定できます。AD ドメインに定義されているユーザを追加する場合、user_name には、一意ではない可能性がある Common Name（CN）ではなく、一意の Active Directory sAMAccountName を指定する必要があります。ドメイン名を指定しない場合、デフォルト値が使用されます。デフォルト値は、LOCAL または user-identity default-domain コマンドで定義されている値のいずれかです。
user-group [domain_NETBIOS_name\\]username：ユーザグループ。ドメイン名またはグループ名にスペースが含まれている場合は、ドメイン名とグループ名を引用符で囲む必要があります。ドメイン名とグループ名を区切る二重の \\ に注意してください。
group-object object_group_name：既存のユーザオブジェクトグループの名前。

例:


hostname(config-user-object-group)# user EXAMPLE\admin
hostname(config-user-object-group)# user-group EXAMPLE\\managers
hostname(config-user-object-group)# group-object local-admins

ステップ 3

（任意）説明を追加します。description string

セキュリティグループオブジェクトグループの設定

作成したセキュリティグループオブジェクトグループは、Cisco TrustSec をサポートする機能で使用できます。そのグループを拡張 ACL に入れると、たとえばアクセスルールで使用できるようになります。

Cisco TrustSec と統合されているときは、ASA は ISE からセキュリティグループの情報をダウンロードします。ISE はアイデンティティリポジトリとしても動作し、Cisco TrustSec タグからユーザアイデンティティへのマッピングと、Cisco TrustSec タグからサーバリソースへのマッピングを行います。セキュリティグループ ACL のプロビジョニングおよび管理は、中央集中型で ISE 上で行います。

ただし、ローカライズされたセキュリティポリシーを持つローカルセキュリティグループを必要とする、グローバルに定義されていないネットワークリソースが ASA によりローカライズされている場合があります。ローカルセキュリティグループには、ISE からダウンロードされた、ネストされたセキュリティグループを含めることができます。ASA は、ローカルと中央のセキュリティグループを統合します。

ASA 上でローカルセキュリティグループを作成するには、ローカルセキュリティオブジェクトグループを作成します。1 つのローカルセキュリティオブジェクトグループに、1 つ以上のネストされたセキュリティオブジェクトグループまたはセキュリティ ID またはセキュリティグループ名を入れることができます。ユーザは、ASA 上に存在しない新しいセキュリティ ID またはセキュリティグループ名を作成することもできます。

ASA 上で作成したセキュリティオブジェクトグループは、ネットワークリソースへのアクセスの制御に使用できます。セキュリティオブジェクトグループを、アクセスグループやサービスポリシーの一部として使用できます。

ヒント

ASA にとって不明なタグや名前を使用してグループを作成する場合、そのタグや名前が ISE で解決されるまで、そのグループを使用するすべてのルールが非アクティブになります。

手順

ステップ 1

オブジェクト名を使用して、セキュリティグループオブジェクトグループを作成または編集します。object-group security group_name

例:


hostname(config)# object-group security mktg-sg

ステップ 2

次のコマンドの 1 つまたは複数を使用して、サービスグループオブジェクトグループにオブジェクトを追加します。オブジェクトを削除するには、コマンドの no 形式を使用します。

security-group {tag sgt_number | name sg_name}：セキュリティグループタグ（SGT）または名前。タグは、1 から 65533 までの数字であり、IEEE 802.1X 認証、Web 認証、または ISE による MAC 認証バイパス（MAB）を通じてデバイスに割り当てられます。セキュリティグループの名前は ISE 上で作成され、セキュリティグループをわかりやすい名前で識別できるようになります。セキュリティグループテーブルによって、SGT がセキュリティグループ名にマッピングされます。有効なタグと名前については、ISE の設定を参照してください。
group-object object_group_name：既存のセキュリティグループオブジェクトグループの名前。

例:


hostname(config-security-object-group)# security-group tag 1
hostname(config-security-object-group)# security-group name mgkt
hostname(config-security-object-group)# group-object local-sg

ステップ 3

（任意）説明を追加します。description string

時間範囲の設定

時間範囲オブジェクトは、開始時刻、終了時刻、およびオプションの繰り返しエントリで構成される特定の時刻を定義します。これらのオブジェクトは、特定の機能または資産に時間ベースでアクセスするために ACL ルールで使用されます。たとえば、勤務時間中にのみ特定のサーバへのアクセスを許可するアクセスルールを作成できます。

（注）

時間範囲オブジェクトには複数の定期的エントリを含めることができます。1 つの時間範囲に absolute 値と periodic 値の両方が指定されている場合は、periodic 値は absolute の開始時刻に到達した後にのみ評価され、absolute の終了時刻に到達した後は評価されません。

時間範囲を作成してもデバイスへのアクセスは制限されません。この手順では、時間範囲だけを定義します。その後、アクセスコントロールルールでオブジェクトを使用する必要があります。

手順

ステップ 1

時間範囲を作成します。time-range name

ステップ 2

（任意）時間範囲に開始時刻または終了時刻（または両方）を追加します。

absolute [start time date] [end time date]

開始時刻を指定しない場合、現在の時刻がデフォルトの開始時刻になります。

time は 24 時間形式（hh:mm）で指定します。たとえば、午前 8 時は 8:00、午後 8 時は 20:00 とします。

date は day month year の形式で指定します（たとえば、1 January 2014）。

ステップ 3

（任意）繰り返しの期間を追加します。

periodic days-of-the-week time to [days-of-the-week] time

days-of-the-week には次の値を指定できます。最初の引数に曜日を 1 つ指定した場合にのみ、2 番目の曜日を指定できることに注意してください。

Monday、Tuesday、Wednesday、Thursday、Friday、Saturday、または Sunday。最初の days-of-the-week 引数には、複数の曜日をスペースで区切って指定できます。
daily
weekdays
weekend

time は 24 時間形式（hh:mm）で指定します。たとえば、午前 8 時は 8:00、午後 8 時は 20:00 とします。

このコマンドを繰り返して、複数の繰り返し期間を設定できます。

例

次に、2006 年 1 月 1 日の午前 8 時に始まる絶対的な時間範囲の例を示します。終了時刻も終了日も指定されていないため、時間範囲は事実上無期限になります。


hostname(config)# time-range for2006
hostname(config-time-range)# absolute start 8:00 1 january 2006

次に、平日の午前 8 時～午後 6 時に毎週繰り返される定期的な時間範囲の例を示します。


hostname(config)# time-range workinghours
hostname(config-time-range)# periodic weekdays 8:00 to 18:00

次の例では、時間範囲の終了日を設定し、平日の期間を午前 8 時～午後 5 時に設定し、火曜日、木曜日と比較して月曜日、水曜日、金曜日に対して午後 5 時の後に異なる時間数を加算します。


asa4(config)# time-range contract-A-access
asa4(config-time-range)# absolute end 12:00 1 September 2025
asa4(config-time-range)# periodic weekdays 08:00 to 17:00
asa4(config-time-range)# periodic Monday Wednesday Friday 18:00 to 20:00
asa4(config-time-range)# periodic Tuesday Thursday 17:30 to 18:30

オブジェクトの履歴

機能名

プラットフォーム

リリース

説明

オブジェクトグループ

7.0(1)

オブジェクトグループによって、ACL の作成とメンテナンスが簡素化されます。

object-group protocol 、object-group network 、object-group service 、object-group icmp_type の各コマンドが導入または変更されました。

正規表現およびポリシーマップ

7.2(1)

インスペクションポリシーマップで使用される正規表現およびポリシーマップが導入されました。class-map type regex コマンド、regex コマンド、およびmatch regex コマンドが導入されました。

オブジェクト

8.3(1)

オブジェクトのサポートが導入されました。

次のコマンドが導入または変更されました。object-network 、object-service 、object-group ネットワーク、object-group サービス、network object 、access-list extended 、access-list webtype 、access-list remark 。

アイデンティティファイアウォールでのユーザオブジェクトグループの使用

8.4(2)

アイデンティティファイアウォールのためのユーザオブジェクトグループが導入されました。

object-network user 、user のコマンドが導入されました。

Cisco TrustSec のためのセキュリティグループオブジェクトグループ

8.4(2)

Cisco TrustSec のためのセキュリティグループオブジェクトグループが導入されました。

object-network security および security コマンドが導入されました。

IPv4 および IPv6 の混合ネットワークオブジェクトグループ

9.0(1)

以前は、ネットワークオブジェクトグループに含まれているのは、すべて IPv4 アドレスであるか、すべて IPv6 アドレスでなければなりませんでした。現在では、ネットワークオブジェクトグループが、IPv4 と IPv6 の両方のアドレスの混合をサポートするようになりました。

（注）

混合オブジェクトグループを NAT に使用することはできません。

object-group network コマンドが変更されました。

ICMP コードによって ICMP トラフィックをフィルタリングするための拡張 ACL とオブジェクト機能拡張

9.0(1)

ICMP コードに基づいて ICMP トラフィックの許可または拒否ができるようになりました。

access-list extended、service-object、service の各コマンドが導入または変更されました。

Stream Control Transmission Protocol（SCTP）のサービスオブジェクトのサポート

9.5(2)

特定の SCTP ポートに対するサービスオブジェクトおよびグループを作成できるようになりました。

次のコマンドが変更されました。service-object 、service

偏向のない言語

翻訳について

検索結果

章のタイトル： アクセス制御のオブジェクト

アクセス制御のオブジェクト

オブジェクトのガイドライン

IPv6 のガイドライン

その他のガイドラインと制限事項

オブジェクトの設定

ネットワーク オブジェクトとグループの設定

ネットワーク オブジェクトの設定

手順

例:

例:

ネットワーク オブジェクト グループの設定

手順

例:

例:

例

サービス オブジェクトとサービス グループの設定

サービス オブジェクトの設定

手順

例:

例:

サービス グループの設定

始める前に

手順

例:

例:

例

ローカル ユーザ グループの設定

手順

例:

例:

セキュリティ グループ オブジェクト グループの設定

手順

例:

例:

時間範囲の設定

手順

例

オブジェクトのモニタリング

オブジェクトの履歴

このドキュメントは役に立ちましたか?

シスコに問い合わせ

章のタイトル：アクセス制御のオブジェクト

ネットワークオブジェクトとグループの設定

ネットワークオブジェクトの設定

ネットワークオブジェクトグループの設定

サービスオブジェクトとサービスグループの設定

サービスオブジェクトの設定

サービスグループの設定

ローカルユーザグループの設定

セキュリティグループオブジェクトグループの設定