メッセージ 101001 ～ 109104
この項では、101001 から 109104 までのメッセージについて説明します。
101001
エラー メッセージ %ASA-1-101001: (Primary) Failover cable OK.
説明 フェールオーバー ケーブルが接続され、正常に機能しています。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。
推奨アクション 不要。
101002
エラー メッセージ %ASA-1-101002: (Primary) Bad failover cable.
説明 フェールオーバー ケーブルが接続されていますが、正常に機能していません。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。
推奨アクション フェールオーバー ケーブルを交換します。
101003、101004
エラー メッセージ %ASA-1-101003: (Primary) Failover cable not connected (this unit).
エラー メッセージ %ASA-1-101004: (Primary) Failover cable not connected (other unit).
説明 フェールオーバー モードがイネーブルになっていますが、フェールオーバー ケーブルがフェールオーバー ペアの一方の装置に接続されていません。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。
推奨アクション フェールオーバー ケーブルをフェールオーバー ペアの両方の装置に接続します。
101005
エラー メッセージ %ASA-1-101005: (Primary) Error reading failover cable status.
説明 フェールオーバー ケーブルが接続されていますが、プライマリ装置が自分のステータスを判断できません。
推奨アクション ケーブルを交換します。
103001
エラー メッセージ %ASA-1-103001: (Primary) No response from other firewall (reason code = code).
説明 プライマリ装置がフェールオーバー ケーブル経由でセカンダリ装置と通信できません。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。次の表に、フェールオーバーが発生した原因を判断するための原因コードおよび説明を示します。
|
原因コード |
説明 |
|---|---|
|
1 |
ローカル装置が、LAN フェールオーバーが発生した場合はフェールオーバー LAN インターフェイス上で、シリアルフェールオーバーが発生した場合はシリアル フェールオーバー ケーブル上で、hello パケットを受信しておらず、ピアがダウンしたと宣言しています。 |
|
2 |
インターフェイスが 4 つのフェールオーバー テストのうちのいずれか 1 つを通過させませんでした。4 つのテストは、1）Link Up、2）Monitor for Network Traffic、3）ARP、および 4）Broadcast Ping です。 |
|
3 |
シリアル ケーブルでコマンドが送信された後 15 秒以上適切な ACK が受信されません。 |
|
4 |
フェールオーバー LAN インターフェイスがダウンし、他のデータ インターフェイスは、別のインターフェイスのテストに応答していません。また、ローカル装置はピアがダウンしていることを宣言しています。 |
|
5 |
コンフィギュレーション同期化プロセス中に、スタンバイ ピアがダウンしました。 |
|
6 |
複製が完了していません。フェールオーバー ユニットは同期されません。 |
推奨アクション フェールオーバー ケーブルが正しく接続され、両方の装置が同じハードウェア、ソフトウェア、およびコンフィギュレーションになっていることを確認します。問題が解決しない場合、Cisco TAC にお問い合わせください。
103002
エラー メッセージ %ASA-1-103002: (Primary) Other firewall network interface interface_number OK.
説明 セカンダリ装置のネットワーク インターフェイスが正常であることをプライマリ装置が検出しました。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。
推奨アクション 不要。
103003
エラー メッセージ %ASA-1-103003: (Primary) Other firewall network interface interface_number failed.
説明 プライマリ装置がセカンダリ装置で不良ネットワーク インターフェイスを検出しました。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。
推奨アクション セカンダリ装置のネットワーク接続とネットワーク ハブ接続を確認します。必要に応じて、障害の発生したネットワーク インターフェイスを交換します。
103004
エラー メッセージ %ASA-1-103004: (Primary) Other firewall reports this firewall failed.Reason: reason-string
説明 プライマリ装置に障害が発生していることを示すメッセージをプライマリ装置がセカンダリ装置から受信しました。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。理由は、次のいずれかになります。
- フェールオーバー コマンド インターフェイスのポーリング パケット失敗がしきい値を超過しました。
- LAN フェールオーバー インターフェイスが失敗しました。
- ピアが Standby Ready 状態への移行に失敗しました。
- コンフィギュレーションの完全なレプリケーションに失敗しました。このファイアウォールのコンフィギュレーションが同期していない可能性があります。
- フェールオーバー メッセージの送信に失敗し、受信使用状態の ACK が受信されません。
推奨アクション プライマリ装置のステータスを確認します。
103005
エラー メッセージ %ASA-1-103005: (Primary) Other firewall reporting failure.Reason: SSM card failure
説明 セカンダリ装置がプライマリ装置に SSM カードの障害を報告しました。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。
推奨アクション セカンダリ装置のステータスを確認します。
103006
エラー メッセージ %ASA-1-103006: (Primary|Secondary) Mate version ver_num is not compatible with ours ver_num
説明 ローカル装置と異なるバージョンを実行している、HA Hitless Upgrade 機能と互換性がないピア装置を ASA が検出しました。
- ver_num：バージョン番号
推奨アクション 両方の装置に、同じバージョンまたは互換性のあるバージョンのイメージをインストールします。
103007
エラー メッセージ %ASA-1-103007: (Primary|Secondary) Mate version ver_num is not identical with ours ver_num
説明 ピア装置で実行されているバージョンがローカル装置と異なるが、Hitless Upgrade をサポートしており、ローカル装置と互換性があることを ASA が検出しました。イメージのバージョンが異なるために、システムのパフォーマンスが低下するおそれがあります。また、異なるイメージを長期間実行すると、ASA で安定性の問題が発生する可能性があります。
- ver_num：バージョン番号
推奨アクション できるだけ早く、両方の装置に同じバージョンのイメージをインストールします。
103008
エラー メッセージ %ASA-1-103008: Mate hwdib index is not compatible
説明 アクティブ装置とスタンバイ装置でインターフェイスの数が異なります。
推奨アクション 同じ数のインターフェイスがユニットにあることを確認します。追加のインターフェイス モジュールを取り付けるか、または別のデバイスを使用する必要があるかもしれません。物理インターフェイスを照合した後、<asa>write standby コマンドを入力して</asa><ftd>HA を一時停止してから再起動して</ftd>設定を適用します。
104001、104002
エラー メッセージ %ASA-1-104001: (Primary) Switching to ACTIVE (cause: string ).
エラー メッセージ %ASA-1-104002: (Primary) Switching to STANDBY (cause: string ).
説明 スタンバイ装置で failover active コマンドを入力するか、またはアクティブ装置で no failover active コマンドを入力することによって強制的にフェールオーバー ペアの役割が切り替えられました。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。string 変数の値は次のとおりです。
- state check
- bad/incomplete config
- ifc [interface] check, mate is healthier
- the other side wants me to standby
- in failed state, cannot be active
- switch to failed state
- other unit set to active by CLI config command fail active
推奨アクション 手作業による介入が原因でメッセージが表示される場合は、処置は不要です。それ以外の場合は、セカンダリ装置から報告された原因を使用して、ペアの装置両方のステータスを確認します。
104003
エラー メッセージ %ASA-1-104003: (Primary) Switching to FAILED.
説明 プライマリ装置に障害が発生しました。
推奨アクション プライマリ装置のメッセージを確認して、問題の内容を示す表示がないかどうかを調べます（メッセージ 104001 を参照）。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。
104004
エラー メッセージ %ASA-1-104004: (Primary) Switching to OK.
説明 前に障害が生じた装置が再び動作していることを報告しています。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。
推奨アクション 不要。
104500
エラー メッセージ %ASA-1-104500: (Primary|Secondary) Switching to ACTIVE (cause: reason)
説明
この HA 装置はクラウド HA のペアでアクティブな役割を担います。reason 文字列の考えられる値は次のとおりです。
-
no existing Active unit present
-
unable to send message to Active unit
-
no response to Hello message received from Active unit
-
user initiated failover on this unit
-
user initiated failover on peer unit
-
invalid message received on failover connection
推奨アクション 不要。
104501
エラー メッセージ %ASA-1-104501: (Primary|Secondary) Switching to BACKUP (cause: reason).
説明 この HA 装置はクラウド HA のペアでバックアップの役割を担います。reason 文字列の考えられる値は次のとおりです。
-
existing Active unit present
-
user initiated failover on this unit
-
user initiated failover on peer unit
推奨アクション 不要。
104502
エラー メッセージ %ASA-1-104502: (Primary|Secondary) Becoming Backup unit failed.
説明 この HA 装置はクラウド HA のペアでバックアップの役割を担えませんでした。理由は 104500 および 104501 の場合と同じです。
推奨アクション 不要。
105001
エラー メッセージ %ASA-1-105001: (Primary) Disabling failover.
説明 バージョン 7.x 以降では、このメッセージは、モードのミスマッチ（シングルまたはマルチ）、ライセンスのミスマッチ（暗号化またはコンテキスト）、またはハードウェアの相違（一方の装置には IPS SSM がインストールされ、そのピアには CSC SSM がインストールされている）が原因でフェールオーバーが自動的にディセーブルになったことを示す場合があります。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。
推奨アクション 不要。
105002
エラー メッセージ %ASA-1-105002: (Primary) Enabling failover.
説明 これまでフェールオーバーをディセーブルにしていたコンソールで引数を指定せずに failover コマンドが使用されました。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。
推奨アクション 不要。
105003
エラー メッセージ %ASA-1-105003: (Primary) Monitoring on interface interface_name waiting
説明 ASA が指定されたネットワーク インターフェイス（フェールオーバー ペアの相手装置とのインターフェイス）をテストしています。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。
推奨アクション 不要。ASA は、正常動作中に自分のネットワーク インターフェイスを頻繁にモニタします。
105004
エラー メッセージ %ASA-1-105004: (Primary) Monitoring on interface interface_name normal
説明 指定されたネットワーク インターフェイスのテストが成功しました。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。
推奨アクション 不要。
105005
エラー メッセージ %ASA-1-105005: (Primary) Lost Failover communications with mate on interface interface_name.
説明 フェールオーバー ペアの一方の装置がペアの相手装置と通信できなくなりました。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。
推奨アクション 指定されたインターフェイスに接続されているネットワークが正しく機能していることを確認します。
105006、105007
エラー メッセージ %ASA-1-105006: (Primary) Link status Up on interface interface_name.
エラー メッセージ %ASA-1-105007: (Primary) Link status Down on interface interface_name.
説明 指定されたインターフェイスのリンク ステータスのモニタリング結果が報告されました。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。
推奨アクション リンク ステータスがダウンである場合は、指定されたインターフェイスに接続されているネットワークが正しく動作していることを確認します。
105008
エラー メッセージ %ASA-1-105008: (Primary) Testing interface interface_name.
説明 指定されたネットワーク インターフェイスのテストが発生しました。このテストは、想定された間隔後にASAがそのインターフェイス上でスタンバイ装置からメッセージを受け取ることができなかった場合に限って実行されます。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。
推奨アクション 不要。
105009
エラー メッセージ %ASA-1-105009: (Primary) Testing on interface interface_name {Passed|Failed}.
説明 前のインターフェイス テストの結果（Passed または Failed）が報告されました。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。
推奨アクション 結果が Passed であれば不要です。結果が Failed の場合は、両方のフェールオーバー装置へのネットワーク ケーブル接続、およびネットワーク自体が正しく機能していることをチェックし、スタンバイ装置のステータスを確認します。
105010
エラー メッセージ %ASA-3-105010: (Primary) Failover message block alloc failed.
説明 ブロック メモリが枯渇しています。これは一時メッセージで、ASAは回復する必要があります。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。
推奨アクション show blocks コマンドを使用して、現在のブロック メモリをモニタします。
105011
エラー メッセージ %ASA-1-105011: (Primary) Failover cable communication failure
説明 フェールオーバー ケーブルがプライマリ装置とセカンダリ装置間の通信を許可していません。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。
推奨アクション ケーブルが正しく接続されていることを確認します。
105020
エラー メッセージ %ASA-1-105020: (Primary) Incomplete/slow config replication
説明 フェールオーバーが実行されると、アクティブな ASA によってメモリ内の設定の一部が検出されます。通常、これは複製サービスの中断が原因となっています。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。
推奨アクション ASA がフェールオーバーを検出した後、ASA は自動的にリブートして、フラッシュ メモリからコンフィギュレーションをロードするか、または別の ASA と再同期化します（両方行うこともあります）。フェールオーバーが引き続き発生する場合は、フェールオーバー コンフィギュレーションを調べて、両方の ASA 装置が互いに通信できることを確認します。
105021
エラー メッセージ %ASA-1-105021: (failover_unit ) Standby unit failed to sync due to a locked context_name config.Lock held by lock_owner_name
説明 コンフィギュレーションの同期化中に、他の何らかのプロセスが 5 分を超えてコンフィギュレーションをロックして、フェールオーバー プロセスが新しいコンフィギュレーションを適用するのを妨げている場合、スタンバイ装置は自身をリロードします。これは、コンフィギュレーション同期化の進行中に、管理者がスタンバイ装置で実行コンフィギュレーションに目を通している場合に発生することがあります。『Cisco ASA 5500 Series Command Reference』で、特権 EXEC モードの show running-config コマンドと、グローバル コンフィギュレーション モードの pager lines num コマンドも参照してください。
推奨アクション スタンバイ装置が最初にブートし、アクティブ装置とのフェールオーバー接続を確立している間は、スタンバイ装置でコンフィギュレーションを表示または修正しないでください。
105031
エラー メッセージ %ASA-1-105031: Failover LAN interface is up
説明 LAN のフェールオーバー インターフェイスのリンクは稼働しています。
推奨アクション 不要。
105032
エラー メッセージ %ASA-1-105032: LAN Failover interface is down
説明 LAN のフェールオーバー インターフェイスのリンクはダウンしています。
推奨アクション LAN のフェールオーバー インターフェイスの接続を確認します。速度または二重通信の設定が正しいことを確認します。
105033
エラー メッセージ %ASA-1-105033: LAN FO cmd Iface down and up again
説明 フェールオーバーの LAN インターフェイスがダウンしています。
推奨アクション フェールオーバー リンクを確認します。通信の問題の可能性があります。
105034
エラー メッセージ %ASA-1-105034: Receive a LAN_FAILOVER_UP message from peer.
説明 ピアがブートされて、初期コンタクト メッセージが送信されました。
推奨アクション 不要。
105035
エラー メッセージ %ASA-1-105035: Receive a LAN failover interface down msg from peer.
説明 ピア LAN のフェールオーバー インターフェイスのリンクはダウンしています。装置がスタンバイ モードになっている場合、アクティブ モードに切り替わります。
推奨アクション ピア LAN のフェールオーバー インターフェイスの接続を確認します。
105036
エラー メッセージ %ASA-1-105036: dropped a LAN Failover command message.
説明 ASA は無応答の LAN フェールオーバー コマンド メッセージを廃棄しました。これは LAN フェールオーバー インターフェイスに接続障害が存在することを示します。
推奨アクション LAN インターフェイス ケーブルが接続されていることを確認します。
105037
エラー メッセージ %ASA-1-105037: The primary and standby units are switching back and forth as the active unit.
説明 プライマリ装置およびスタンバイ装置がアクティブ装置として交互に切り替わっています。これは、LAN フェールオーバー接続障害またはソフトウェアのバグが存在することを示します。
推奨アクション LAN インターフェイス ケーブルが接続されていることを確認します。
105038
エラー メッセージ %ASA-1-105038: (Primary) Interface count mismatch
説明 フェールオーバーが実行されると、アクティブな ASA によってメモリ内の設定の一部が検出されます。通常、これは複製サービスの中断が原因となっています。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。
推奨アクション ASA によってフェールオーバーが検出されると、ASA は自動的にリブートして、フラッシュ メモリからコンフィギュレーションをロードするか、または別の ASA と再同期化します（両方行うこともあります）。フェールオーバーが引き続き発生する場合は、フェールオーバー コンフィギュレーションを調べて、両方の ASA 装置が互いに通信できることを確認します。
105039
エラー メッセージ %ASA-1-105039: (Primary) Unable to verify the Interface count with mate.Failover may be disabled in mate.
説明 フェールオーバーは最初にプライマリおよびセカンダリの ASA で設定されているインターフェイスの数が同じであることを確認します。このメッセージは、セカンダリのASAで設定されているインターフェイスの数をプライマリのASAが確認できないことを示します。このメッセージは、プライマリ ASA がフェールオーバー インターフェイス経由でセカンダリ ASA と通信できないことを示します。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。
推奨アクション プライマリおよびセカンダリの ASA のフェールオーバー LAN、インターフェイス設定、ステータスを確認します。セカンダリの ASA が ASA アプリケーションを実行しており、フェールオーバーがイネーブルであることを確認します。
105040
エラー メッセージ %ASA-1-105040: (Primary) Mate failover version is not compatible.
説明 プライマリおよびセカンダリの ASA は、フェールオーバー ペアとして動作するために同じフェールオーバー ソフトウェアのバージョンを実行する必要があります。このメッセージは、セカンダリのASA フェールオーバー ソフトウェアのバージョンがプライマリのASAと互換性がないことを示します。フェールオーバーがプライマリのASAでディセーブルになっています。Primary は、セカンダリの ASA の場合は Secondary と示されることもあります。
推奨アクション フェールオーバーをイネーブルにするために、プライマリおよびセカンダリの ASA 間で一致したソフトウェア バージョンを使用します。
105041
エラー メッセージ %ASA-1-105041: cmd failed during sync
説明 nameif コマンドの複製に失敗しました。アクティブ装置とスタンバイ装置でインターフェイスの数が一致していないことが原因です。
推奨アクション 同じ数のインターフェイスがユニットにあることを確認します。追加のインターフェイス モジュールを取り付けるか、または別のデバイスを使用する必要があるかもしれません。物理インターフェイスを照合した後、<asa>write standby コマンドを入力して</asa><ftd>HA を一時停止してから再起動して</ftd>設定を適用します。
105042
エラー メッセージ %ASA-1-105042: (Primary) Failover interface OK
説明 LAN のフェールオーバー インターフェイスのリンクは稼働しています。
セカンダリのASAにフェールオーバー メッセージを送信するために使用されるインターフェイスが機能しています。Primary は、セカンダリの ASA の場合は Secondary と示されることもあります。
推奨アクション 不要。
105043
エラー メッセージ %ASA-1-105043: (Primary) Failover interface failed
説明 LAN のフェールオーバー インターフェイスのリンクはダウンしています。
推奨アクション LAN のフェールオーバー インターフェイスの接続を確認します。速度または二重通信の設定が正しいことを確認します。
105044
エラー メッセージ %ASA-1-105044: (Primary) Mate operational mode mode is not compatible with my mode mode.
説明 動作モード（シングルまたはマルチ）がフェールオーバー ピア間で一致しない場合、フェールオーバーはディセーブルになります。
推奨アクション 同じ動作モードになるようにフェールオーバー ピアを設定してから、フェールオーバーを再度イネーブルにします。
105045
エラー メッセージ %ASA-1-105045: (Primary) Mate license (number contexts) is not compatible with my license (number contexts).
説明 フィーチャ ライセンスがフェールオーバー ピア間で一致しない場合、フェールオーバーはディセーブルになります。
推奨アクション 同じフィーチャ ライセンスになるようにフェールオーバー ピアを設定してから、フェールオーバーを再度イネーブルにします。
105046
エラー メッセージ %ASA-1-105046 (Primary|Secondary) Mate has a different chassis
説明 2 つのフェールオーバー装置が異なるタイプのシャーシを持っています。たとえば、一方が 3 スロットのシャーシを持ち、もう一方が 6 スロットのシャーシを持つ場合です。
推奨アクション 2 つのフェールオーバー装置が同じであることを確認します。
105047
エラー メッセージ %ASA-1-105047: Mate has a io_card_name1 card in slot slot_number which is different from my io_card_name2
説明 2 つのフェールオーバー装置は、対応するスロットに異なるタイプのカードが実装されています。
推奨アクション フェールオーバー装置のカード コンフィギュレーションが同じであることを確認します。
105048
エラー メッセージ %ASA-1-105048: (unit ) Mate’s service module (application ) is different from mine (application )
説明 アクティブ装置とスタンバイ装置のサービス モジュールで異なるアプリケーションが動作していることをフェールオーバー プロセスが検出しました。異なるサービス モジュールが使用されている場合、2 つのフェールオーバー装置は互換性がありません。
- unit：プライマリまたはセカンダリ
- application：アプリケーションの名前（たとえば、InterScan Security Card）
推奨アクション フェールオーバーを再度イネーブルにする前に、両方の装置が同じサービス モジュールを装備していることを確認します。
105050
エラー メッセージ %ASA-3-105050: ASAv ethernet interface mismatch
説明 スタンバイ装置のイーサネット インターフェイスの数がアクティブ装置よりも少なくなっています。
推奨アクション インターフェイスの数が同じ ASA を互いにペアにしてください。装置のインターフェイスの数が同じであることを確認します。追加のインターフェイス モジュールを取り付けるか、または別のデバイスを使用する必要があるかもしれません。物理インターフェイスを照合した後、<asa>write standby コマンドを入力して</asa><ftd>HA を一時停止してから再起動して</ftd>設定を適用します。
105500
エラー メッセージ %ASA-5-105500: (Primary|Secondary) Started HA.
説明 この ASAv でクラウド HA はイネーブルにされています。
推奨アクション 不要。
105501
エラー メッセージ %ASA-5-105501: (Primary|Secondary) Stopped HA.
説明 この ASAv のクラウドの HA が無効にされています。
推奨アクション 不要。
105502
エラー メッセージ %ASA-1-105502: (Primary|Secondary) Restarting Cloud HA on this unit, reason: string.
説明 エラーが発生したため、この HA 装置でクラウド HA が再起動しました。reason 文字列の考えられる値は次のとおりです。
-
failed to become Backup unit
-
unable to create failover connection
推奨アクション 不要。
105503
エラー メッセージ %ASA-5-105503: (Primary|Secondary) Internal state change from previous_state to new_state
説明 HA の内部状態に変更がありました。
推奨アクション 不要。
105504
エラー メッセージ %ASA-5-105504: (Primary|Secondary) Connected to peer peer-ip:port
説明 この HA 装置は HA ピアとの通信を確立しています。
推奨アクション 不要。
105505
エラー メッセージ %ASA-4-105505: (Primary|Secondary) Failed to connect to peer unit peer-ip:port
説明 この HA 装置は HA ピアとの接続を確立できませんでした。
推奨処置
これは、HA ピアが存在がない場合に発生することがあります。フェールオーバーがイネーブルの HA ピアが存在している場合は、ピア間の接続に問題がある可能性があります。show failover コマンドを使用して以下を確認します。
-
各装置に設定されているピア IP アドレスがピア上のインターフェイス IP アドレスと一致している
-
各装置のピアのポート番号がピア上のフェールオーバー制御（サーバ）ポートと一致している
-
ピア接続に使用するインターフェイスがシャットダウンしていない
-
IP 接続に必要なすべての IP ルートが存在している
105506
エラー メッセージ %ASA-2-105506: (Primary|Secondary) Unable to create socket on port port for (failover connection | load balancer probes),
error: error_string
説明 フェールオーバー接続に必要なソケットを作成しようとしているとき、または Azure ロード バランサ プローブに応答しているときに内部エラーが発生しました。
推奨アクション エラー メッセージ、設定、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。
105507
エラー メッセージ %ASA-2-105507: (Primary|Secondary) Unable to bind socket on port port for (failover connection | load balancer probes), error:
error_string
説明 フェールオーバー接続に必要なソケットを開始しようとしているときに、または Azure ロード バランサ プローブに応答しているときに内部エラーが発生しました。
推奨アクション エラー メッセージ、設定、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。
105508
エラー メッセージ %ASA-2-105508: (Primary|Secondary) Error creating failover connection socket on port port
説明 フェールオーバー制御メッセージをバックアップ装置と交換するために、アクティブ装置でソケットを作成しようとしているときに内部エラーが発生しました。
推奨アクション このメッセージは 104509 または 104510 メッセージの後に続きます。このメッセージの前のメッセージの推奨アクションに従います。
105509
エラー メッセージ %ASA-3-105509: (Primary|Secondary) Error sending message_name message to peer unit peer-ip, error: error_string
説明 ピア ユニットへのフェールオーバー制御メッセージを送信しようとしているときにエラーが発生しました。
推奨アクション エラーの原因がピア ユニットの障害でなかった場合は、エラー メッセージ、設定、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。
105510
エラー メッセージ %ASA-3-105510: (Primary|Secondary) Error receiving message from peer unit peer-ip, error: error_string
説明 ピア ユニットへのフェールオーバー制御メッセージを受信しようとしているときにエラーが発生しました。
推奨アクション エラーの原因がピア ユニットの障害でなかった場合は、エラー メッセージ、設定、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。
105511
エラー メッセージ %ASA-3-105511: (Primary|Secondary) Incomplete read of message header of message from peer unit peer-ip: bytes bytes read of
expected header_length header bytes.
説明 ピア ユニットへのフェールオーバー制御メッセージを受信しようとしているときにエラーが発生しました。
推奨アクション エラーの原因がピア ユニットの障害でなかった場合は、エラー メッセージ、設定、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。
105512
エラー メッセージ %ASA-3-105512: (Primary|Secondary) Error receiving message body of message from peer unit peer-ip, error: error_string
説明 ピア ユニットへのフェールオーバー制御メッセージを受信しようとしているときにエラーが発生しました。
推奨アクション エラーの原因がピア ユニットの障害でなかった場合は、エラー メッセージ、設定、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。
105513
エラー メッセージ %ASA-3-105513: (Primary|Secondary) Incomplete read of message body of message from peer unit peer-ip: bytes bytes read of
expected message_length message body bytes
説明 ピア ユニットへのフェールオーバー制御メッセージを受信しようとしているときにエラーが発生しました。
推奨アクション エラーの原因がピア ユニットの障害でなかった場合は、エラー メッセージ、設定、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。
105514
エラー メッセージ %ASA-3-105514: (Primary|Secondary) Error occurred when responding to message_name message received from peer unit peer-ip,
error: error_string
説明 ピア ユニットへのフェールオーバー制御メッセージを受信しようとしているときにエラーが発生しました。
推奨アクション エラーの原因がピア ユニットの障害でなかった場合は、エラー メッセージ、設定、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。
105515
エラー メッセージ %ASA-3-105515: (Primary|Secondary) Error receiving message_name message from peer unit peer-ip, error: error_string
説明 ピア ユニットへのフェールオーバー制御メッセージを受信しようとしているときにエラーが発生しました。
推奨アクション エラーの原因がピア ユニットの障害でなかった場合は、エラー メッセージ、設定、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。
105516
エラー メッセージ %ASA-3-105516: (Primary|Secondary) Incomplete read of message header of message_name message from peer unit peer-ip: bytes
bytes read of expected header_length header bytes
説明 ピア ユニットへのフェールオーバー制御メッセージを受信しようとしているときにエラーが発生しました。
推奨アクション エラーの原因がピア ユニットの障害でなかった場合は、エラー メッセージ、設定、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。
105517
エラー メッセージ %ASA-3-105517: (Primary|Secondary) Error receiving message body of message_name message from peer unit peer-ip, error: error_string
説明 ピア ユニットへのフェールオーバー制御メッセージを受信しようとしているときにエラーが発生しました。
推奨アクション エラーの原因がピア ユニットの障害でなかった場合は、エラー メッセージ、設定、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。
105518
エラー メッセージ %ASA-3-105518: (Primary|Secondary) Incomplete read of message body of message_name message from peer unit peer-ip: bytes bytes
read of expected message_length message body bytes
説明 ピア ユニットへのフェールオーバー制御メッセージを受信しようとしているときにエラーが発生しました。
推奨アクション エラーの原因がピア ユニットの障害でなかった場合は、エラー メッセージ、設定、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。
105519
エラー メッセージ %ASA-3-105519: (Primary|Secondary) Invalid response to message_name message received from peer unit peer-ip: type message_type,
version message_version, length message_length
説明 フェールオーバー制御メッセージに対する応答で予期しないメッセージを受け取りました。
推奨アクション エラー メッセージ、設定、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。
105520
エラー メッセージ %ASA-5-105520: (Primary|Secondary) Responding to Azure Load Balancer probes
説明 アクティブ装置が Azure ロード バランサ プローブに対する応答を開始しました。
推奨アクション 不要。
105521
エラー メッセージ %ASA-5-105521: (Primary|Secondary) No longer responding to Azure Load Balancer probes
説明 バックアップ装置が Azure ロード バランサ プローブに対する応答を停止しました。
推奨アクション 不要。
105522
エラー メッセージ %ASA-5-105522: (Primary|Secondary) Updating route route_table_name
説明 アクティブ装置は Azure ルートテーブルの更新プロセスを開始しました。
推奨アクション 不要。
105523
エラー メッセージ %ASA-5-105523: (Primary|Secondary) Updated route route_table_name
説明 アクティブ装置は Azure ルートテーブルの更新プロセスを完了しました。
推奨アクション 不要。
105524
エラー メッセージ %ASA-4-105524: (Primary|Secondary) Transitioning to Negotiating state due to the presence of another Active HA unit.
説明 別のアクティブ HA 装置が検出されたため、装置はネゴシエーション状態に移行しています。
推奨アクション 不要。
105524
エラー メッセージ %ASA-4-105524: (Primary|Secondary) Transitioning to Negotiating state due to the presence of another Active HA unit.
説明 別のアクティブ HA 装置が検出されたため、装置はネゴシエーション状態に移行しています。
推奨アクション 不要。
105525
エラー メッセージ %ASA-2-105525: (Primary|Secondary) Incomplete configuration to initiate access token change request.
説明 アクセス トークンを取得しようとしましたが、要求を開始するために必要な設定情報が不十分でした。
推奨アクション Azure 認証クライアント ID、テナント ID、秘密キーのすべてが ASA の設定にあることを確認します。
105526
エラー メッセージ %ASA-2-105526: (Primary|Secondary) Unexpected status in response to access token request: status_string.
説明 Azure アクセス トークン要求に対する応答を受け取りましたが、応答に含まれる HTTP ステータス コードが 200（OK）ではありませんでした。
推奨アクション ASA の設定にある Azure 認証クライアント ID、テナント ID、秘密キーのすべてが正しいことを確認します。
105527
エラー メッセージ %ASA-2-105527: (Primary|Secondary) Failure reading response to access token request
説明 Azure アクセス トークン要求に対する応答を受け取っているときに内部エラーが発生しました。
推奨アクション エラー メッセージ、設定、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。
105528
エラー メッセージ %ASA-2-105528: (Primary|Secondary) No access token in response to access token request
説明 Azure ルート変更の要求に対する応答を受け取りましたが、access_token 値が含まれていませんでした。
推奨アクション ASA の設定にある Azure 認証クライアント ID、テナント ID、秘密キーのすべてが正しいことを確認します。
105529
エラー メッセージ %ASA-2-105529: (Primary|Secondary) Error creating authentication header from access token
説明 Azure ルートの変更に必要な認証ヘッダーを作成しようとしているときに内部エラーが発生しました。
推奨アクション エラー メッセージ、設定、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。
105530
エラー メッセージ %ASA-2-105530: (Primary|Secondary) No response to access token request url
説明 Azure ルートテーブルの変更に関する Azure ルートテーブルの情報を取得できませんでした。
推奨アクション ルートテーブル 名が正しく、Azure に存在していることを ASA の設定で確認します。
105531
エラー メッセージ %ASA-2-105531: (Primary|Secondary) Failed to obtain route-table information needed for change request for route-table route_table_name
説明 Azure ルートテーブルの変更に関する Azure ルートテーブルの情報を取得できませんでした。
推奨アクション ルートテーブル 名が正しく、Azure に存在していることを ASA の設定で確認します。
105532
エラー メッセージ %ASA-2-105532: (Primary|Secondary) Unexpected status in response to route-table change request for route-table route_table_name:
status_string
説明 Azure ルートテーブル変更の要求に対する応答を受け取りましたが、応答に含まれる HTTP ステータス コードが 200（OK）ではありませんでした。
推奨アクション 設定されている Azure サブスクリプション ID、ルートテーブル名、ルートテーブルのリソース グループが正しいことを確認します。
105533
エラー メッセージ %ASA-2-105533: (Primary|Secondary) Failure reading response to route-table change request for route-table route_table_name
説明 Azure ルートテーブル変更の要求に対する応答を受け取っているときに内部エラーが発生しました。
推奨アクション エラー メッセージ、設定、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。
105534
エラー メッセージ %ASA-2-105534: (Primary|Secondary) No provisioning state in response to route-table change request route-table route_table_name
説明 Azure ルートテーブル変更の要求に対する応答を受け取りましたが、ルートテーブルの変更ステータスを含む provisioningState 値が含まれていませんでした。
推奨アクション エラー メッセージ、設定、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。
105535
エラー メッセージ %ASA-2-105535: (Primary|Secondary) No response to route-table change request for route-table route_table_name from url
説明 Azure ルートテーブル変更の要求に対する応答を受け取りませんでした。
推奨アクション ASAv から management.azure.com に到達できることを確認します。
105536
エラー メッセージ %ASA-2-105536: (Primary|Secondary) Failed to obtain Azure authentication header for route status request for route route_name
説明 Azure ルート ステータス クエリーで Azure アクセス トークンを取得できませんでした。
推奨アクション このメッセージの前のアクセス トークンに関連したメッセージの推奨アクションを参照してください。
105537
エラー メッセージ %ASA-2-105537: (Primary|Secondary) Unexpected status in response to route state request for route route_name: status_string
説明 Azure ルート状態要求に対する応答を受け取りましたが、応答に含まれる HTTP ステータス コードが 200（OK）ではありませんでした。
推奨アクション 設定されている Azure サブスクリプション ID、ルートテーブル名、ルートテーブルのリソース グループが正しいことを確認します。
105538
エラー メッセージ %ASA-2-105538: (Primary|Secondary) Failure reading response to route state request for route route_name
説明 Azure ルート状態要求に対する応答を受け取っているときに内部エラーが発生しました。
推奨アクション エラー メッセージ、設定、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。
105539
エラー メッセージ %ASA-2-105539: (Primary|Secondary) No response to route state request for route route_name from url
説明 Azure ルート状態要求への応答を受け取りませんでした。
推奨アクション ASAv から management.azure.com に到達できることを確認します。
105540
エラー メッセージ %ASA-2-105540: (Primary|Secondary) No route-tables configured
説明 変更する Azure ルートテーブルが検出されませんでした。
推奨アクション ASA の設定にルートテーブルが正しく設定されていることを確認してください。
105541
エラー メッセージ %ASA-2-105541: (Primary|Secondary) Failed to update route-table route_table_name, provisioning state: state_string
説明 Azure ルートテーブルの状態要求に対する応答を受け取りましたが、ルートテーブルの更新に失敗したことを示す provisioningState が含まれていました。
推奨アクション アクティブ装置は Azure ルートテーブルの更新を 3 回試します。3 回とも失敗する場合、エラー メッセージ、コンフィギュレーション、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。
105542
エラー メッセージ %ASA-5-105542: (Primary|Secondary) Enabling load balancer probe responses
説明 アクティブ装置は Azure ロード バランサからのプローブに応答するようになります。
推奨アクション 不要。
105543
エラー メッセージ %%ASA-5-105543: (Primary|Secondary) Disabling load balancer probe responses
説明 アクティブ装置は Azure ロード バランサからのプローブに応答しなくなります。
推奨アクション 不要。
105544
エラー メッセージ %ASA-2-105544: (Primary|Secondary) Error creating load balancer probe socket on port port
説明 Azure ロード バランサのプローブに応答するためにソケットを作成しようとしているときに内部エラーが発生しました。
推奨アクション このメッセージは 104509 または 104510 メッセージの後に続きます。このメッセージの前のメッセージの推奨アクションに従います。
105545
エラー メッセージ %ASA-3-105545: (Primary|Secondary) Error starting load balancer probe socket on port port, error code: error_code
説明 Azure ロード バランサのプローブの受信を開始しようとしているときに内部エラーが発生しました。アクティブ装置はプローブの受信をイネーブルにする操作を続けます。
推奨アクション この状態が続く場合は、エラー メッセージ、設定、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。
105546
エラー メッセージ %ASA-3-105546: (Primary|Secondary) Error starting load balancer probe handler
説明 Azure ロード バランサのプローブを受信するプロセスを作成しようとしているときに内部エラーが発生しました。
推奨アクション エラー メッセージ、設定、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。
105547
エラー メッセージ %ASA-3-105547: (Primary|Secondary) Error generating encryption key for Azure secret key
説明 設定で Azure 秘密キーの暗号化に使用する暗号キーを生成しようとしているときに内部エラーが発生しました。
推奨アクション エラー メッセージ、設定、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。
105548
エラー メッセージ %ASA-3-105548: (Primary|Secondary) Error storing encryption key for Azure secret key
説明 設定で Azure 秘密キーの暗号化に使用する暗号キーを保存しようとしているときに内部エラーが発生しました。
推奨アクション エラー メッセージ、設定、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。
105549
エラー メッセージ %ASA-3-105549: (Primary|Secondary) Error retrieving encryption key for Azure secret key
説明 設定で Azure 秘密キーの暗号化に使用する暗号キーを取得しようとしているときに内部エラーが発生しました。
推奨アクション エラー メッセージ、設定、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。
105550
エラー メッセージ %ASA-3-105550: (Primary|Secondary) Error encrypting Azure secret key
説明 設定で Azure 秘密キーを暗号化しているときに内部エラーが発生しました。
推奨アクション エラー メッセージ、設定、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。
105551
エラー メッセージ %ASA-3-105551: (Primary|Secondary) Error encrypting Azure secret key
説明 設定で Azure 秘密キーを復号化しているときに内部エラーが発生しました。
推奨アクション エラー メッセージ、設定、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。
105552
エラー メッセージ %ASA-5-105552: (Primary|Secondary) Stopped HA
説明 この ASAv のクラウドの HA が無効にされています。
推奨アクション 不要。
105553
エラー メッセージ %ASA-4-105553: (Primary|Secondary) Detected another Active HA unit
説明 別のアクティブ HA 装置が検出されました。
推奨アクション 不要。
106001
エラー メッセージ %ASA-2-106001: Inbound TCP connection denied fromIP_address/port to IP_address/port flags tcp_flags on interface interface_name
説明 内部アドレスへの接続の試行が、指定されたトラフィック タイプに定義されたセキュリティ ポリシーによって拒否されました。表示される IP アドレスは、NAT によって表示される IP アドレスではなく実際の IP アドレスです。表示される tcp_flags 値は、接続が拒否されたときに存在していた TCP ヘッダーのフラグに対応します。たとえば、ASAに接続状態が存在しない TCP パケットが到着し、それが廃棄された場合です。このパケットの tcp_flags は FIN および ACK です。
tcp_flags を次に示します。
- ACK：肯定応答番号が受信されました。
- FIN：データが送信されました。
- PSH：受信者がデータをアプリケーションに渡しました。
- RST：接続がリセットされました。
- SYN：シーケンス番号が接続を開始するために同期化されました。
- URG：緊急ポインタが有効であると宣言されました。
推奨アクション 不要。
106002
エラー メッセージ %ASA-2-106002: protocol Connection denied by outbound list acl_ID src inside_address dest outside_address
説明 指定された接続は、outbound deny コマンドが原因で失敗しました。protocol 変数は ICMP、TCP、または UDP になります。
推奨アクション show outbound コマンドを使用して、発信リストを確認します。
106006
エラー メッセージ %ASA-2-106006: Deny inbound UDP from outside_address/outside_port to inside_address/inside_port on interface interface_name.
説明 着信 UDP パケットが、指定されたトラフィック タイプに定義されているセキュリティ ポリシーによって拒否されました。
推奨アクション 不要。
106007
エラー メッセージ %ASA-2-106007: Deny inbound UDP from outside_address/outside_port to inside_address/inside_port due to DNS {Response|Query}.
説明 DNS クエリーまたは応答を含んでいる UDP パケットが拒否されました。
推奨アクション 内部ポート番号が 53 の場合、内部ホストはキャッシング ネーム サーバとして設定されていると考えられます。access-list コマンド文を追加して、UDP ポート 53 のトラフィックおよび内部ホストの変換エントリを許可します。外部ポート番号が 53 の場合、DNS サーバの応答が遅かったため、クエリーには別のサーバが応答したと考えられます。
106010
エラー メッセージ %ASA-3-106010: Deny inbound protocol src [interface_name : source_address/source_port ] [([idfw_user | FQDN_string ], sg_info )] dst [interface_name : dest_address /dest_port }[([idfw_user | FQDN_string ], sg_info )]
説明 着信接続は、セキュリティ ポリシーによって拒否されました。
推奨アクション トラフィックを許可する必要がある場合は、セキュリティ ポリシーを修正します。このメッセージが繰り返し表示される場合は、リモート ピアの管理者にお問い合わせください。
106011
エラー メッセージ %ASA-3-106011: Deny inbound (No xlate) string
説明 このメッセージは、Web ブラウザ経由でインターネットにアクセスしている内部ユーザが存在する場合、通常のトラフィック条件で表示されます。接続がリセットされた場合は常に、ASA が接続リセットを受信した後にその接続の端にあるホストがパケットを送信すると、このメッセージが表示されます。これは通常、無視してかまいません。
推奨アクション no logging message 106011 コマンドを入力して、このメッセージが syslog サーバに記録されないようにします。
106012
エラー メッセージ %ASA-6-106012: Deny IP from IP_address to IP_address , IP options hex.
説明 IP パケットが IP オプションとともに表示されました。IP オプションはセキュリティ リスクと見なされるので、パケットは廃棄されました。
推奨アクション リモート ホスト システムの管理者に問い合わせて、問題を判別します。ローカル サイトを確認して、あいまいなソース ルーティングや厳密なソース ルーティングがないかどうかを調べます。
106013
エラー メッセージ %ASA-2-106013: Dropping echo request from IP_address to PAT address IP_address
説明 ASA は、PAT グローバル アドレスに対応する宛先アドレスを持つ着信 ICMP エコー要求パケットを廃棄しました。着信パケットは、そのパケットを受信するべき PAT ホストを指定できないので廃棄されます。
推奨アクション 不要。
106014
エラー メッセージ %ASA-3-106014: Deny inbound icmp src interface_name : IP_address [([idfw_user | FQDN_string ], sg_info )] dst interface_name : IP_address [([idfw_user | FQDN_string ], sg_info )] (type dec , code dec )
説明 ASA は、着信 ICMP パケット アクセスをすべて拒否しました。デフォルトで、ICMP パケットはすべて、特に許可されている場合を除き、アクセスを拒否されます。
推奨アクション 不要。
106015
エラー メッセージ %ASA-6-106015: Deny TCP (no connection) from IP_address /port to IP_address /port flags tcp_flags on interface interface_name.
説明 ASA は、関連付けられている接続が ASA 接続テーブルにない TCP パケットを廃棄しました。ASA は、新しい接続の確立要求を示す SYN フラグをパケットで探します。SYN フラグがセットされておらず、既存の接続がない場合、ASA はそのパケットを廃棄します。
推奨アクション ASA がこれらの無効な TCP パケットを大量に受信する場合を除き、不要です。大量に受信する場合は、パケットを送信元までトレースして、これらのパケットが送信された原因を判別します。
106016
エラー メッセージ %ASA-2-106016: Deny IP spoof from (IP_address ) to IP_address on interface interface_name.
説明 宛先 IP アドレスが 0.0.0.0 で、宛先 MAC アドレスが ASA インターフェイスのアドレスのパケットが、ASA インターフェイスに到着しました。また、このメッセージは、ASA が無効な送信元アドレス（たとえば、次に示すアドレスなどの無効アドレス）を持つパケットを廃棄した場合にも生成されます。
- ループバック ネットワーク（127.0.0.0）
- ブロードキャスト（limited、net-directed、subnet-directed、および all-subnets-directed）
- 宛先ホスト（land.c）
スプーフィング パケット検出をさらに強化するには、icmp コマンドを使用して、内部ネットワークに属する送信元アドレスを持つパケットを廃棄するように ASA を設定します。現在、access-list コマンドは推奨されておらず、正しく動作することも保証されていません。
推奨アクション 外部ユーザが保護されているネットワークを危険にさらそうとしていないかどうかを判別します。設定に誤りのあるクライアントをチェックします。
106017
エラー メッセージ %ASA-2-106017: Deny IP due to Land Attack from IP_address to IP_address
説明 IP 送信元アドレスと IP 宛先が同一で、かつ宛先ポートと送信元ポートが同一のパケットを ASA が受信しました。このメッセージは、システムの攻撃を目的としてスプーフィングされたパケットを示します。この攻撃は、Land 攻撃と呼ばれます。
推奨アクション このメッセージが引き続き表示される場合は、攻撃が進行中である可能性があります。パケットは、攻撃の起点を決定するのに十分な情報を提供しません。
106018
エラー メッセージ %ASA-2-106018: ICMP packet type ICMP_type denied by outbound list acl_ID src inside_address dest outside_address
説明 ローカル ホスト（inside_address）から外部ホスト（outside_address）への発信 ICMP パケット（指定された ICMP のパケット）が発信 ACL リストによって拒否されました。
推奨アクション 不要。
106020
エラー メッセージ %ASA-2-106020: Deny IP teardrop fragment (size = number, offset = number) from IP_address to IP_address
説明 ASA が、小さなオフセットまたはフラグメントの重複が含まれる teardrop シグニチャを持つ IP パケットを廃棄しました。これは、ASA または侵入検知システムを欺く敵対イベントです。
推奨アクション リモート ピアの管理者に連絡するか、またはセキュリティ ポリシーに従ってこの問題の危険度を高くします。
106021
エラー メッセージ %ASA-1-106021: Deny protocol reverse path check from source_address to dest_address on interface interface_name
説明 攻撃が進行中です。インバウンド接続上の IP アドレスのスプーフィングが試みられています。逆ルート ルックアップとも呼ばれる Unicast RPF は、ルートによって表される送信元アドレスを持たないパケットを検出し、そのパケットをASAへの攻撃の一部であると想定します。
このメッセージは、ip verify reverse-path コマンドで Unicast RPF をイネーブルにしている場合に表示されます。この機能は、インターフェイスに入力されるパケットについて動作します。外側で設定されている場合、ASAは、外部から到達するパケットを確認します。
ASAは、source_address に基づいてルートを検索します。エントリが検出されず、ルートが定義されない場合は、このメッセージが表示され、接続は廃棄されます。
ルートがある場合、ASAは対応するインターフェイスを確認します。パケットが別のインターフェイスに到達している場合、スプーフィングであるか、または宛先への複数パスが存在する非対称ルーティング環境であるかのどちらかです。ASAは、非対称ルーティングをサポートしていません。
ASA は内部インターフェイスに設定されている場合、スタティック ルート コマンド文または RIP をチェックします。source_address が見つからない場合、内部ユーザはアドレスをスプーフィングしています。
推奨アクション 攻撃が進行中であっても、この機能がイネーブルになっていれば、ユーザによる処置は不要です。ASA により、攻撃が阻止されます。
106022
エラー メッセージ %ASA-1-106022: Deny protocol connection spoof from source_address to dest_address on interface interface_name
説明 接続と一致するパケットが、その接続が開始されたインターフェイスとは異なるインターフェイスに到着しました。また、ip verify reverse-path コマンドが設定されていません。
たとえば、ユーザが内部インターフェイスで接続を開始したが、ASAが境界インターフェイスに到着する同じ接続を検出する場合、ASAは宛先へのパスを複数持っていることになります。これは非対称ルーティングと呼ばれ、ASAではサポートされていません。
攻撃者は、ASAに侵入する方法として、1 つの接続から別の接続にパケットを付加しようと試みることもあります。どちらの場合も、ASA はこのメッセージを表示して、接続を廃棄します。
推奨アクション ルーティングが非対称でないことを確認します。
106023
エラー メッセージ %ASA-4-106023: Deny protocol src [interface_name :source_address /source_port ] [([idfw_user |FQDN_string ], sg_info )] dst interface_name :dest_address /dest_port [([idfw_user |FQDN_string ], sg_info )] [type {string }, code {code }] by access_group acl_ID [0x8ed66b60, 0xf8852875]
説明 実際の IP パケットが ACL によって拒否されました。このメッセージは、ACL に対して log オプションをイネーブルにしていない場合でも表示されます。IP アドレスは、NAT によって表示される値ではなく実際の IP アドレスです。一致するものが見つかった場合、IP アドレスに対応するユーザ ID 情報と FQDN 情報の両方が出力されます。ASA は、識別情報（ドメイン\ユーザ）または FQDN（ユーザ名が使用できない場合）のいずれかをログに記録します。識別情報または FQDN が使用可能な場合、ASA は、この情報を送信元と宛先の両方のログに記録します。
推奨アクション 同じ送信元アドレスからのメッセージが引き続き表示される場合は、フットプリンティングまたはポート スキャンが行われている可能性があります。リモート ホストの管理者にお問い合わせください。
106024
エラー メッセージ %ASA-2-106024: Access rules memory exhausted
説明 アクセス リストのコンパイル プロセスで、メモリが不足しています。最後の正常なアクセス リスト以降に追加されたコンフィギュレーション情報はすべて、ASA から削除されました。最新のコンパイル済みアクセス リストのセットが引き続き使用されます。
推奨アクション Access Lists、AAA、ICMP、SSH、Telnet、および他の規則タイプは、アクセス リストの規則タイプとして格納され、コンパイルされます。これらの規則タイプの一部を削除して、他の規則タイプを追加できるようにします。
106025、106026
エラー メッセージ %ASA-6-106025: Failed to determine the security context for the packet:sourceVlan:source_address dest_address source_port
dest_port protocol
エラー メッセージ %ASA-6-106026: Failed to determine the security context for the packet:sourceVlan:source_address dest_address source_port
dest_port protocol
説明 マルチコンテキスト モードのパケットのセキュリティ コンテキストを判定できません。どちらのメッセージも、ルータまたはトランスペアレント モードで廃棄される IP パケットに対して生成されることがあります。
推奨アクション 不要。
106027
エラー メッセージ %ASA-4-106027:acl_ID: Deny src [source address] dst [destination address] by access-group “access-list name"
説明 非 IP パケットが ACL によって拒否されました。このメッセージは、たとえ拡張 ACL に対して log オプションがイネーブルになっていない場合でも表示されます。
推奨アクション 同じ送信元アドレスからのメッセージが引き続き表示される場合は、フットプリンティングまたはポート スキャンが行われようとしていることを示している可能性があります。リモート ホストの管理者にお問い合わせください。
106100
エラー メッセージ %ASA-6-106100: access-list acl_ID {permitted | denied | est-allowed} protocol interface_name /source_address (source_port ) (idfw_user , sg_info ) interface_name /dest_address (dest_port ) (idfw_user , sg_info ) hit-cnt number ({first hit | number -second interval}) hash codes
説明 最初の出現か、またはある期間の合計出現数を示します。このメッセージは、拒否されたパケットだけを記録して、ヒット数も設定可能なレベルも含まないメッセージ 106023 よりも多くの情報を提供します。
アクセス リストの行に log 引数が含まれている場合、非同期パケットが ASA に到達し、アクセス リストによって評価されることによって、このメッセージ ID がトリガーされる可能性があると想定されます。たとえば、ASA で（接続テーブルに TCP 接続が存在しない）ACK パケットを受信した場合、ASA によってメッセージ 106100 が生成される可能性があります。このメッセージは、パケットは許可されたが、一致する接続が存在しないために後で正しく廃棄されることを示します。
メッセージの値は次のとおりです。
- permitted | denied | est-allowed：これらの値は、パケットが ACL によって許可されたか拒否されたかを指摘します。値が est-allowed の場合、パケットは ACL によって拒否されましたが、すでに確立されているセッションで許可されました（たとえば、内部ユーザがインターネットへのアクセスを許可され、通常は ACL によって拒否される応答パケットが許可されます）。
- protocol：TCP、UDP、ICMP、または IP プロトコル番号。
- interface_name：ログ フローの送信元または宛先のインターフェイス名。VLAN インターフェイスがサポートされています。
- source_address：ログ フローの送信元 IP アドレス。IP アドレスは、NAT によって表示される値ではなく実際の IP アドレスです。
- dest_address：ログ フローの宛先 IP アドレス。IP アドレスは、NAT によって表示される値ではなく実際の IP アドレスです。
- source_port：ログ フローの送信元ポート（TCP または UDP）。ICMP の場合、送信元ポートの後の数字は、メッセージ タイプです。
- idfw_user：ASA が当該 IP アドレスのユーザ名を見つけた場合に既存の syslog に追加される、ドメイン名を含むユーザ識別用ユーザ名。
- sg_info：ASA によって当該 IP アドレスのセキュリティ グループ タグが検出された場合に syslog に追加されるセキュリティ グループ タグ。セキュリティ グループ名は、セキュリティ グループ タグがあればそれとともに表示されます。
- dest_port：ログ フローの宛先ポート（TCP または UDP）。ICMP の場合、宛先ポートの後の数字は ICMP メッセージ コードです。これは一部のメッセージ タイプに使用可能です。タイプ 8 の場合、これは常に 0 です。ICMP メッセージ タイプのリストについては、次の URL を参照してください。http://www.iana.org/assignments/icmp-parameters/icmp-parameters.xml
- hit-cnt number：設定した期間に、このフローが ACL エントリによって許可または拒否された回数。ASA がこのフローに対して最初のメッセージを生成するときの値は 1 です。
- first hit：このフローに対して生成された最初のメッセージ。
- number-second interval：ヒット数を累算する対象期間。この期間は、access-list コマンドで interval オプションを使用して設定します。
- hash codes：オブジェクト グループ ACE および構成要素の通常の ACE には、必ず 2 が表示されます。値は、パケットがヒットする ACE 上で決定されます。これらのハッシュ コードを表示するには show-access list コマンドを入力します。
推奨アクション 不要。
106101
エラー メッセージ %ASA-1-106101 Number of cached deny-flows for ACL log has reached limit (number ).
説明 ACL deny 文（access-list id deny コマンド）に log オプションを設定してあり、トラフィック フローが ACL 文と一致する場合、ASA はフロー情報をキャッシュします。このメッセージは、ASAでキャッシュされる一致フローの数がユーザが設定した制限（access-list deny-flow-max コマンドを使用）を超えたことを示します。このメッセージは、サービス拒絶（DoS）攻撃の結果生成される可能性があります。
- number：access-list deny-flow-max コマンドを使用して設定された制限
推奨アクション 不要。
106102
エラー メッセージ %ASA-6-106102: access-list acl_ID {permitted|denied} protocol for user username interface_name /source_address source_port interface_name /dest_address dest_port hit-cnt number {first hit|number -second interval} hash codes
説明 VPN フィルタを通じて適用されるアクセス リストによってパケットが許可または拒否されました。このメッセージは、メッセージ 106100 に相当する VPN/AAA フィルタのメッセージです。
推奨アクション 不要。
106103
エラー メッセージ %ASA-4-106103: access-list acl_ID denied protocol for user username interface_name /source_address source_port interface_name /dest_address dest_port hit-cnt number first hit hash codes
説明 VPN フィルタを通じて適用されるアクセス リストによってパケットが拒否されました。このメッセージは、メッセージ 106023 に相当する VPN/AAA フィルタのメッセージです。
推奨アクション 不要。
107001
エラー メッセージ %ASA-1-107001: RIP auth failed from IP_address : version=number, type=string, mode=string, sequence=number on interface interface_name
説明 ASAは不正な認証を持つ RIP 応答メッセージを受信しました。このメッセージは、ルータまたはASAの設定の誤り、またはASAのルーティング テーブルへの攻撃の失敗が原因となることもあります。
推奨アクション このメッセージは攻撃の可能性を示しているため、モニタする必要があります。このメッセージに示されている送信元 IP アドレスを熟知していない場合は、信頼できるエンティティ間で RIP 認証キーを交換します。攻撃者が既存のキーを判別しようと試みている可能性もあります。
107002
エラー メッセージ %ASA-1-107002: RIP pkt failed from IP_address : version=number on interface interface_name
説明 このメッセージは、ルータのバグ、非 RFC 値を内部に持つパケット、または形式が誤っているエントリが原因で表示される可能性があります。これは発生してはならないもので、ASA のルーティング テーブルを利用しようとする試みの可能性もあります。
推奨アクション このメッセージは攻撃の可能性を示しているため、モニタする必要があります。パケットは認証を渡しましたが（イネーブルの場合）、不良データがパケット内にあります。パケットの発信者について疑わしい点があれば、状況を監視してキーを変更します。
108002
エラー メッセージ %ASA-2-108002: SMTP replaced string: out source_address in inside_address data: string
説明 Mail Guard（SMTP）メッセージが inspect esmtp コマンドによって生成されました。ASA は、電子メール アドレスの無効な文字をスペースで置き換えました。
推奨アクション 不要。
108003
エラー メッセージ %ASA-2-108003: Terminating ESMTP/SMTP connection; malicious pattern detected in the mail address from source_interface:source_address/source_port to dest_interface:dest_address/dset_port .Data:string
説明 ASA は、電子メール アドレスに悪意のあるパターンを検出して、接続をドロップしました。攻撃が進行中です。
推奨アクション 不要。
108004
エラー メッセージ %ASA-4-108004: action_class: action ESMTP req_resp from src_ifc:sip |sport to dest_ifc:dip |dport;further_info
説明 ESMTP メッセージで ESMTP 分類が実行され、指定した基準は満たされています。設定済みのアクションが実行されます。
- action_class：アクションのクラス（ESMTP の match コマンドの場合は ESMTP Classification、パラメータ コマンドの場合は ESMTP Parameter）
- action：実行されるアクション（Dropped、Dropped connection for、Reset connection for、または Masked header flags for）
- req_resp：要求または応答
- src_ifc：送信元インターフェイス名
- sip|sport：送信元 IP アドレスまたは送信元ポート
- dest_ifc：宛先インターフェイス名
- dip|dport：宛先 IP アドレスまたは宛先ポート
- further info：次のいずれか
1 つの match コマンドの場合：matched Class id: match_command（たとえば、matched Class 1234: match body length 100）。
パラメータ コマンドの場合：parameter-command: descriptive-message（たとえば、mail-relay: No Mail Relay allowed）
推奨アクション 不要。
108005
エラー メッセージ %ASA-6-108005: action_class: Received ESMTP req_resp from src_ifc:sip |sport to dest_ifc:dip |dport;further_info
説明 ESMTP メッセージで ESMTP 分類が実行され、指定した基準は満たされています。スタンドアロンのログ アクションが実行されます。
- action_class：アクションのクラス（ESMTP の match コマンドの場合は ESMTP Classification、パラメータ コマンドの場合は ESMTP Parameter）
- req_resp：要求または応答
- src_ifc：送信元インターフェイス名
- sip|sport：送信元 IP アドレスまたは送信元ポート
- dest_ifc：宛先インターフェイス名
- dip|dport：宛先 IP アドレスまたは宛先ポート
- further info：次のいずれか
1 つの match コマンドの場合：matched Class id: match_command（たとえば、matched Class 1234: match body length 100）。
パラメータ コマンド（パラメータ セクションのコマンド）の場合：parameter-command: descriptive-message（たとえば、mail-relay: No Mail Relay allowed）
推奨アクション 不要。
108006
エラー メッセージ %ASA-7-108006: Detected ESMTP size violation from src_ifc:sip |sport to dest_ifc:dip |dport; declared size is:decl_size, actual size is act_size.
説明 このイベントは、ESMTP メッセージのサイズが RCPT コマンドで宣言されたサイズを超えている場合に生成されます。
- src_ifc：送信元インターフェイス名
- sip|sport：送信元 IP アドレスまたは送信元ポート
- dest_ifc：宛先インターフェイス名
- dip|dport：宛先 IP アドレスまたは宛先ポート
- decl_size：宣言されたサイズ
- act_size：実際のサイズ
推奨アクション 不要。
108007
エラー メッセージ %ASA-6-108007: TLS started on ESMTP session between client client-side interface-name : client IP address /client port and server server-side interface-name : server IP address /server port
説明 ESMTP 接続でサーバがクライアントの STARTTLS コマンドに対して 220 応答コードで応答しました。ESMTP インスペクション エンジンでは、この接続のトラフィックは検査されなくなります。
- client-side interface-name：クライアント側に向かうインターフェイスの名前
- client IP address：クライアントの IP アドレス
- client port：クライアントの TCP ポート番号
- server-side interface-name：サーバ側に向かうインターフェイスの名前
- server IP address：サーバの IP アドレス
- server port：サーバの TCP ポート番号
推奨アクション メッセージを記録して確認します。この接続に関連付けられている ESMTP ポリシー マップに「allow-tls action log」が設定されていることを確認します。設定されていない場合は、Cisco TAC にお問い合わせください。
109001
エラー メッセージ %ASA-6-109001: Auth start for user user from inside_address/inside_port to outside_address/outside_port
説明 ASA が AAA 用に設定されており、指定されたユーザによる認証要求を検出しました。
推奨アクション 不要。
109002
エラー メッセージ %ASA-6-109002: Auth from inside_address/inside_port to outside_address/outside_port failed (server IP_address failed) on interface interface_name.
説明 指定された認証サーバにモジュールがアクセスできないために認証要求が失敗しました。
推奨アクション 指定された認証サーバ上で認証デーモンが動作していることを確認します。
109003
エラー メッセージ %ASA-6-109003: Auth from inside_address to outside_address/outside_port failed (all servers failed) on interface interface_name,
so marking all servers ACTIVE again.
説明 認証サーバが見つかりません。
推奨アクション ASA から認証サーバに ping を実行します。デーモンが動作していることを確認します。
109005
エラー メッセージ %ASA-6-109005: Authentication succeeded for user user from inside_address/inside_port to outside_address/outside_port on interface
interface_name.
説明 指定された認証要求が成功しました。
推奨アクション 不要。
109006
エラー メッセージ %ASA-6-109006: Authentication failed for user user from inside_address/inside_port to outside_address/outside_port on interface
interface_name.
説明 おそらくパスワードが誤っているために、指定された認証要求が失敗しました。ユーザ名は無効な場合や不明な場合は表示されませんが、有効な場合または no logging hide username コマンドが設定されている場合は表示されます。
推奨アクション 不要。
109007
エラー メッセージ %ASA-6-109007: Authorization permitted for user user from inside_address/inside_port to outside_address/outside_port on interface
interface_name.
説明 指定された認証要求が成功しました。
推奨アクション 不要。
109008
エラー メッセージ %ASA-6-109008: Authorization denied for user user from outside_address/outside_port to inside_address/ inside_port on interface
interface_name.
説明 おそらくパスワードが誤っているために、指定されたアドレスへのアクセスをユーザが許可されませんでした。
推奨アクション 不要。
109010
エラー メッセージ %ASA-3-109010: Auth from inside_address/inside_port to outside_address/outside_port failed (too many pending auths) on interface
interface_name.
説明 サーバで多くの要求が保留中であるために、認証要求が処理できませんでした。
推奨アクション 認証サーバが遅すぎるために認証要求に応答できないのかどうかを確認します。Flood Defender 機能を floodguard enable コマンドでイネーブルにします。
109011
エラー メッセージ %ASA-2-109011: Authen Session Start: user 'user ', sid number
説明 認証セッションがホストと ASA の間で開始されましたが、まだ完了していません。
推奨アクション 不要。
109012
エラー メッセージ %ASA-5-109012: Authen Session End: user 'user', sid number, elapsed number seconds
説明 認証キャッシュがタイムアウトになっています。ユーザは、次の接続で再認証が必要になります。timeout uauth コマンドを使用して、このタイマーのタイムアウト時間を変更できます。
推奨アクション 不要。
109013
エラー メッセージ %ASA-3-109013: User must authenticate before using this service
説明 ユーザは、サービスを使用する前に認証を受ける必要があります。
推奨アクション サービスを使用する前に FTP、Telnet、または HTTP を使用して認証します。
109014
エラー メッセージ %ASA-7-109014: A non-Telnet connection was denied to the configured virtual Telnet IP address.
説明 認証の要求に、対応する認可の要求がありませんでした。
推奨アクション aaa authentication および aaa authorization コマンド文がコンフィギュレーションに含まれていることを確認します。
109016
エラー メッセージ %ASA-3-109016: Can't find authorization ACL acl_ID for user 'user '
説明 このユーザの AAA サーバで指定された ACL が、ASA に存在しません。このエラーは、ASAを設定する前に AAA サーバを設定した場合に発生することがあります。AAA サーバでベンダー固有の属性（VSA）が次の値のいずれかになっている可能性があります。
- acl=acl_ID
- shell:acl=acl_ID
- ACS:CiscoSecured-Defined-ACL=acl_ID
推奨アクション ASA に ACL を追加し、AAA サーバで指定したものと同じ名前を必ず使用します。
109017
エラー メッセージ %ASA-4-109017: User at IP_address exceeded auth proxy connection limit (max)
説明 ユーザが、ユーザ認証のプロキシ制限を超えて、プロキシに多くの接続を開きました。
推奨アクション proxy-limit proxy_limit コマンドを入力してプロキシ制限を増やすか、または未使用の接続を閉じるようユーザに要求します。引き続きエラーが表示される場合は、DoS 攻撃の可能性を示していることもあります。
109018
エラー メッセージ %ASA-3-109018: Downloaded ACL acl_ID is empty
説明 ダウンロードされた ACL に ACE がありません。この状況は、属性文字列 ip:inacl# のつづりの誤り、または access-list コマンドの省略が原因となっている可能性があります。
junk:junk# 1=permit tcp any any eq junk ip:inacl#1=”
推奨アクション 指摘されたエラーのある ACL コンポーネントを AAA サーバ上で修正します。
109019
エラー メッセージ %ASA-3-109019: Downloaded ACL acl_ID has parsing error; ACE string
説明 ダウンロードした ACL の属性文字列 ip:inacl#NNN= のシーケンス番号 NNN を解析中にエラーが発生しました。= の欠落、数字以外の文字やスペース以外の文字が # と = の間にある、NNN が 999999999 より大きい、などの原因が考えられます。
ip:inacl# 1 permit tcp any any
ip:inacl# 1junk2=permit tcp any any
ip:inacl# 1000000000=permit tcp any any
推奨アクション 指摘されたエラーのある ACL コンポーネントを AAA サーバ上で修正します。
109020
エラー メッセージ %ASA-3-109020: Downloaded ACL has config error; ACE
説明 ダウンロードした ACL のコンポーネントの 1 つにコンフィギュレーション エラーがあります。要素のテキスト全体がメッセージに含まれています。このメッセージは通常、無効な access-list コマンド文が原因となっています。
推奨アクション 指摘されたエラーのある ACL コンポーネントを AAA サーバ上で修正します。
109021
エラー メッセージ %ASA-7-109021: Uauth null proxy error
説明 内部ユーザ認証エラーが発生しました。
推奨アクション 不要。ただし、このエラーが繰り返し表示される場合は、Cisco TAC にお問い合わせください。
109022
エラー メッセージ %ASA-4-109022: exceeded HTTPS proxy process limit
説明 ASA は、各 HTTPS 認証に対して 1 つの専用プロセスで認証要求を処理します。同時に動作しているプロセスの数がシステムによって課せられた制限を超えると、ASA は認証を実行せず、このメッセージが表示されます。
推奨アクション 不要。
109023
エラー メッセージ %ASA-3-109023: User from source_address /source_port to dest_address /dest_port on interface outside_interface must authenticate before using this service.
説明 このサービス ポートは、設定されたポリシーに基づいて認証を受けてから、使用する必要があります。
推奨アクション このサービス ポートを使用しようとするときは、事前に Telnet、FTP、または HTTP を使用して認証します。
109024
エラー メッセージ %ASA-6-109024: Authorization denied from source_address /source_port to dest_address /dest_port (not authenticated) on interface interface_name using protocol
説明 ASA が AAA 用に設定されており、ユーザが事前の認証なしに ASA を通して TCP 接続を行おうとした場合に表示されます。
推奨アクション 不要。
109025
エラー メッセージ %ASA-6-109025: Authorization denied (acl=acl_ID) for user 'user' from source_address /source_port to dest_address /dest_port on interface interface_name using protocol
説明 チェックに失敗しました。チェックは、拒否と一致したか、または暗黙的な拒否のように、何とも一致しませんでした。接続は、Cisco Secure Access Control Server（ACS）の AAA 許可ポリシーに従って定義されたユーザ acl_ID によって拒否されました。
推奨アクション 不要。
109026
エラー メッセージ %ASA-3-109026: [aaa protocol ] Invalid reply digest received; shared server key may be mismatched.
説明 AAA サーバからの応答が検証できません。設定されたサーバ キーが誤っている可能性があります。このメッセージは、RADIUS サーバまたは TACACS+ サーバとのトランザクション中に生成されることがあります。
aaa-server コマンドを使用して設定されたサーバ キーが正しいことを確認します。
109027
エラー メッセージ %ASA-4-109027: [aaa protocol] Unable to decipher response message Server = server_IP_address , User = user
説明 AAA サーバからの応答が検証できません。設定されたサーバ キーが誤っている可能性があります。このメッセージは、RADIUS サーバまたは TACACS+ サーバとのトランザクション中に表示されることがあります。server_IP_address は、関連する AAA サーバの IP アドレスです。user は、接続に関連付けられているユーザ名です。
推奨アクション aaa-server コマンドを使用して設定されたサーバ キーが正しいことを確認します。
エラー メッセージ 109028
%ASA-4-109028: aaa bypassed for same-security traffic from ingress_ interface:source_address/source_port to egress_interface:dest_address/dest_port
説明 設定されている AAA 規則と一致する同じセキュリティ トラフィックに対して、AAA がバイパスされています。これが発生する可能性があるのは、同じ設定済みセキュリティ レベルを持つ 2 つのインターフェイス間をトラフィックが通過する場合、同じセキュリティ トラフィックが許可される場合、および AAA コンフィギュレーションが include 構文または exclude 構文を使用する場合だけです。
推奨アクション 不要。
109029
エラー メッセージ %ASA-5-109029: Parsing downloaded ACL: string
説明 ユーザ認証中に RADIUS サーバからダウンロードされたアクセス リストを解析している間に構文エラーが発生しました。
- string：アクセス リストの正しい解析を妨げた構文エラーを詳述するエラー メッセージ
推奨アクション このメッセージに提示されている情報を使用して、RADIUS サーバ コンフィギュレーション内のアクセス リスト定義にある構文エラーを特定し、訂正します。
109030
エラー メッセージ %ASA-4-109030: Autodetect ACL convert wildcard did not convert ACL access_list source |dest netmask netmask .
説明 RADIUS サーバに設定されたダイナミック ACL が、ワイルドカード ネットマスクを自動的に検出するメカニズムによって変換されませんでした。問題は、ネットマスクがワイルドカードであるか、通常のネットマスクであるかをこのメカニズムが判別できないために発生します。
- access_list：変換できないアクセス リスト
- source：送信元 IP アドレス
- dest：宛先 IP アドレス
- netmask：宛先アドレスまたは送信元アドレスに対する 10 進数表記のサブネット マスク
推奨アクション RADIUS サーバのアクセス リスト ネットマスクを確認して、ワイルドカード コンフィギュレーションがないかどうかを調べます。ネットマスクをワイルドカードにする予定の場合、およびそのサーバのアクセス リスト ネットマスクすべてがワイルドカードである場合、AAA サーバの acl-netmask-convert に wildcard 設定を使用します。それ以外の場合は、ネットマスクを通常のネットマスクまたはホールを含まないワイルドカード ネットマスクに変更します（つまり、ネットマスクは連続する 2 進数の 1 を提示します。たとえば、00000000.00000000.00011111.11111111 または 16 進数の 0.0.31.255 のようになります）。マスクを通常にする予定の場合、およびそのサーバのすべてのアクセス リスト ネットマスクが通常である場合、AAA サーバの acl-netmask-convert に normal 設定を使用します。
109031
エラー メッセージ %ASA-4-109031: NT Domain Authentication Failed: rejecting guest login for username .
説明 ユーザがゲスト アカウントのアクセス用に設定された NT ドメインに認証を試みましたが、username が NT サーバで有効なユーザ名ではありません。接続は拒否されます。
推奨アクション ユーザが有効なユーザの場合は、アカウントを NT サーバに追加します。ユーザがアクセスを許可されていない場合は、処置は不要です。
109032
エラー メッセージ %ASA-3-109032: Unable to install ACL access_list , downloaded for user username ; Error in ACE: ace .
説明 ASA は、ユーザ接続に適用するアクセス コントロール リストを RADIUS サーバから受信しましたが、リストのエントリに構文エラーが含まれています。エラーが含まれるリストを使用すると、セキュリティ ポリシー違反になる可能性があるため、ASA はユーザを認証できませんでした。
- access_list：show access-list コマンドの出力に表示されるダイナミック アクセス リストに割り当てられている名前
- username：その接続がこのアクセス リストの制御を受けるユーザの名前
- ace：エラーが検出されたときに処理されていたアクセス リストのエントリ
推奨アクション RADIUS サーバのコンフィギュレーションのアクセス リスト定義を訂正します。
109033
エラー メッセージ %ASA-4-109033: Authentication failed for admin user user from src_IP .Interactive challenge processing is not supported for protocol connections
説明 管理接続の認証中に AAA チャレンジ処理がトリガーされましたが、ASAはそのクライアント アプリケーションでの対話型チャレンジ処理を開始できません。このような場合は、認証試行が拒否され、接続が拒否されます。
- user：認証の対象ユーザの名前
- src_IP：クライアント ホストの IP アドレス。
- protocol：クライアント接続プロトコル（SSH v1 または管理 HTTP）
推奨アクション これらの接続タイプに対してチャレンジ処理が発生しないように AAA を再設定します。これは、通常、RSA SecurID サーバ、または RADIUS 経由のトークンベース AAA サーバに対して、これらの接続タイプの認証を避けることを意味します。
109034
エラー メッセージ %ASA-4-109034: Authentication failed for network user user from src_IP/port to dst_IP/port .Interactive challenge processing is not supported for protocol connections
説明 ネットワーク接続の認証中に AAA チャレンジ処理がトリガーされましたが、ASAはそのクライアント アプリケーションでの対話型チャレンジ処理を開始できません。このような場合は、認証試行が拒否され、接続が拒否されます。
- user：認証の対象ユーザの名前
- src_IP/port：クライアント ホストの IP アドレスおよびポート。
- dst_IP/port：クライアントが接続しようとしているサーバの IP アドレスおよびポート。
- protocol：クライアント接続プロトコル（たとえば、FTP）
推奨アクション これらの接続タイプに対してチャレンジ処理が発生しないように AAA を再設定します。これは、通常、RSA SecurID サーバ、または RADIUS 経由のトークンベース AAA サーバに対して、これらの接続タイプの認証を避けることを意味します。
109035
エラー メッセージ %ASA-3-109035: Exceeded maximum number (<max_num>) of DAP attribute instances for user <user>
説明 このログは、RADIUS サーバから受信した DAP 属性の数が、指定したユーザの接続の認証時に許可された最大数を超えると生成されます。
推奨アクション DAP 属性のコンフィギュレーションを変更してログで指定されている許可最大数以下に DAP 属性の数を削減し、指定したユーザが接続できるようにします。
109036
エラー メッセージ %ASA-6-109036: Exceeded 1000 attribute values for the attribute name attribute for user username .
説明 LDAP 応答メッセージに、1000 を超える値を持つ属性が含まれています。
- attribute_name：LDAP 属性名
- username：ログイン時のユーザ名
推奨アクション 不要。
109037
エラー メッセージ %ASA-3-109037: Exceeded 5000 attribute values for the attribute name attribute for user username .
説明 ASA では、AAA サーバから同じ属性の複数の値を受信することがサポートされています。AAA サーバから同じ属性に関して 5000 を超える値を含む応答が送信されてきた場合、ASA ではこの応答メッセージを形式誤りとして処理し、認証を拒否します。このような状況は、特殊なテスト ツールを使用するラボ環境でだけ確認されています。実際の実稼働ネットワークで発生する可能性はまずありません。
- attribute_name：LDAP 属性名
- username：ログイン時のユーザ名
推奨アクション プロトコル スニファ（WireShark など）を使用して ASA と AAA サーバ間の認証トラフィックを取り込み、トレース ファイルを Cisco TAC に転送して分析を依頼してください。
109038
エラー メッセージ %ASA-3-109038: Attribute internal-attribute-name value string-from-server from AAA server could not be parsed as a type internal-attribute-name string representation of the attribute name
説明AAA サブシステムが AAA サーバからの属性を内部表現へと解析しようとして失敗しました。
- string-from-server：AAA サーバから受信した文字列。40 文字に切り捨てられます。
- type：指定された属性のタイプ
推奨アクション 属性が AAA サーバ上に正しく生成されていることを確認します。詳細については、debug ldap コマンドおよび debug radius コマンドを使用します。
109039
エラー メッセージ %ASA-5-109039: AAA Authentication:Dropping an unsupported IPv6/IP46/IP64 packet from lifc :laddr to fifc :faddr
説明 NAT によって IPv6 アドレスに変換される IPv6 アドレスまたは IPv4 アドレスを含むパケットには、AAA の認証または承認が必要です。AAA の認証および承認は IPv6 アドレスをサポートしません。パケットはドロップされます。
- lifc：入力インターフェイス
- laddr：送信元 IP アドレス
- fifc：出力インターフェイス
- faddr：NAT 変換後の宛先 IP アドレス（存在する場合）
推奨アクション 不要。
109040
エラー メッセージ %ASA-4-109040: User at IP exceeded auth proxy rate limit of 10 connections/sec
説明 HTTPS 認証要求が同じホストから高い頻度で行われていることを ASA が検出したため、接続の試行が拒否されました。
- IP：接続が開始されたホストの IP アドレス
推奨アクション ユーザからのカットスルー プロキシ認証試行の回数を制限します。
109100
エラー メッセージ %ASA-6-109100: Received CoA update from coa-source-ip for user username , with session ID: audit-session-id , changing authorization attributes
説明 ASA は、coa-source-ip から受け取ったユーザ username、セッション ID audit-session-id の CoA ポリシー更新要求を正しく処理しました。この Syslog メッセージは、認可変更ポリシーの更新を ASA が受け取り、検証および適用した後に生成されます。エラーがない場合、認可変更を受け取って処理するときに生成されるのはこの Syslog メッセージのみです。
- coa-source-ip：認可変更要求の発信元 IP アドレス
- username：変更するセッションのユーザ
- audit-session-id：変更するセッションのグローバル ID
推奨アクション 不要。
109101
エラー メッセージ %ASA-6-109101: Received CoA disconnect request from coa-source-ip for user username , with audit-session-id: audit-session-id
説明 ASA はアクティブな VPN セッションの切断要求を正しい形式で受け取り、接続を正しく終了しました。
- coa-source-ip：認可変更要求の発信元 IP アドレス
- username：変更するセッションのユーザ
- audit-session-id：変更するセッションのグローバル ID
推奨アクション 不要。
109102
エラー メッセージ %ASA-4-109102: Received CoA action-type from coa-source-ip , but cannot find named session audit-session-id
説明 ASA は有効な認可変更要求を受け取りましたが、要求で指定されたセッション ID が ASA 上のアクティブ セッションと一致していません。これは、ユーザがすでに閉じたセッション上の認可変更をサーバが発行しようとした結果である可能性があります。
- action-type：要求された認可変更アクション（update または disconnect）
- coa-source-ip：認可変更要求の発信元 IP アドレス
- audit-session-id：変更するセッションのグローバル ID
推奨アクション 不要。
109103
エラー メッセージ %ASA-3-109103: CoA action-type from coa-source-ip failed for user username , with session ID: audit-session-id .
説明 ASA は認可変更要求を正しい形式で受け取りましたが、正しく処理できませんでした。
- action-type：要求された認可変更アクション（update または disconnect）
- coa-source-ip：認可変更要求の発信元 IP アドレス
- username：変更するセッションのユーザ
- audit-session-id：変更するセッションのグローバル ID
推奨アクション 関連する VPN サブシステムのログを調査し、更新された属性を提供できなかった理由、またはセッションを終了できなかった理由を判断します。
109104
エラー メッセージ %ASA-3-109104: CoA action-type from coa-source-ip failed for user username , session ID: audit-session-id .Action not supported.
説明 ASA は認可変更を正しい形式で受け取りましたが、指定されたアクションが ASA でサポートされていないために処理しませんでした。
- action-type：要求された認可変更アクション（update または disconnect）
- coa-source-ip：認可変更要求の発信元 IP アドレス
- username：変更するセッションのユーザ
- audit-session-id：変更するセッションのグローバル ID
推奨アクション 不要。
109105
エラー メッセージ %ASA-3-109105: Failed to determine the egress interface for locally generated traffic destined to <protocol> <IP>:<port>.
説明 インターフェイスが BVI のときにルートが存在しない場合、ASA は Syslog を記録する必要があります。デフォルト ルートが存在し、正しいインターフェイスにパケットをルーティングしない場合は追跡できなくなります。Firepower Threat Defense の場合は、データ インターフェイスの次にまず管理ルートが検索されます。このためデフォルト ルートが異なる宛先にパケットをルーティングする場合は、追跡が難しくなります。
推奨アクション 正しい宛先のデフォルト ルートを追加するか、スタティック ルートを追加することを強くお勧めします。
フィードバック