エラー メッセージ %ASA-4-4000nn: IPS:number string from IP_address to IP_address on interface interface_name

説明 メッセージ 400000 ～ 400051 は、Cisco Intrusion Prevention Service のシグニチャ メッセージです。

推奨アクション Cisco.com にある『Cisco Intrusion Prevention Service User Guide』を参照してください。

今回のリリースの ASA では、すべてのシグニチャ メッセージがサポートされているわけではありません。IPS メッセージは、すべて 4-4000nn で始まり、次の形式になります。

次に例を示します。

%ASA-4-400013 IPS:2003 ICMP redirect from 10.4.1.2 to 10.2.1.1 on interface dmz
%ASA-4-400032 IPS:4051 UDP Snork attack from 10.1.1.1 to 192.168.1.1 on interface outside

次の表に、サポートされているシグニチャ メッセージを示します。

エラー メッセージ %ASA-4-401001: Shuns cleared

説明 メモリから既存の排除を削除するために clear shun コマンドが入力されました。組織によるシャニング アクティビティの記録が許可されました。

推奨アクション 不要。

エラー メッセージ %ASA-4-401002: Shun added: IP_address IP_address port port

説明 shun コマンドが入力されました。このコマンドの最初の IP アドレスは排除されたホストです。その他のアドレスとポートはオプションであり、有効な場合は接続を終了するのに使用されます。組織によるシャニング アクティビティの記録が許可されました。

推奨アクション 不要。

エラー メッセージ %ASA-4-401003: Shun deleted: IP_address

説明 排除されたホストの 1 つが排除データベースから削除されました。組織によるシャニング アクティビティの記録が許可されました。

推奨アクション 不要。

エラー メッセージ %ASA-4-401004: Shunned packet: IP_address = IP_address on interface interface_name

説明 IP SRC によって定義されたホストは排除データベースのホストであるために、パケットが廃棄されました。排除されたホストは、そこで排除されたインターフェイスにトラフィックを渡すことはできません。たとえば、インターネット上の外部ホストは外部インターフェイス上で排除されます。排除されたホストのアクティビティの記録が提供されました。このメッセージとメッセージ %ASA-4-401005 を使用すると、このホストに関するリスクを詳しく見積もることができます。

推奨アクション 不要。

エラー メッセージ %ASA-4-401005: Shun add failed: unable to allocate resources for IP_address IP_address port port

説明 ASA のメモリが不足しています。排除が適用できません。

推奨アクション Cisco IPS は、引き続き、この規則を適用しようとします。メモリを再利用して排除を手動で再適用するか、または Cisco IPS によって排除が適用されるのを待機します。

エラー メッセージ %ASA-4-402114: IPSEC: Received an protocol packet (SPI=spi , sequence number=seq_num ) from remote_IP to local_IP with an invalid SPI.

• >protocol：IPSec プロトコル
• >spi：IPSec のセキュリティ パラメータ インデックス
• seq_num>：IPSec シーケンス番号
• emote_IP>：トンネルのリモート エンドポイントの IP アドレス
• >username：IPSec トンネルに関連付けられているユーザ名
• local_IP>：トンネルのローカル エンドポイントの IP アドレス

説明 SA データベースに存在しない SPI を指定している IPSec パケットを受信しました。これは、IPSec ピア間の SA のエージングのわずかな相違による一時的な状態か、またはローカル SA の消去が原因です。また、IPSec ピアによって不正なパケットが送信されたことを示すこともあります。これも攻撃の一部の場合があります。このメッセージは、5 秒に 1 回しか表示されないように制限されています。

推奨アクション ローカル SA が消去されたことを、ピアは認識していないことがあります。新しい接続がローカル ルータから確立された場合、2 つのピアが正常に接続を再度確立することがあります。あるいは、問題の発生が短期間にとどまらない場合は、接続を新規に確立してみるか、またはピアの管理者に問い合わせます。

エラー メッセージ %ASA-4-402115: IPSEC: Received a packet from remote_IP to local_IP containing act_prot data instead of exp_prot data.

説明 期待された ESP ヘッダーのない IPSec パケットを受信しました。ピアは、ネゴシエートされたセキュリティ ポリシーと一致しないパケットを送信中です。これは攻撃を示している可能性があります。このメッセージは、5 秒に 1 回しか表示されないように制限されています。

• emote_IP>：トンネルのリモート エンドポイントの IP アドレス
• local_IP>：トンネルのローカル エンドポイントの IP アドレス
• >act_prot：受信した IPSec プロトコル
• >exp_prot：期待された IPSec プロトコル

推奨アクション ピアの管理者にお問い合わせください。

エラー メッセージ %ASA-4-402116: IPSEC: Received an protocol packet (SPI=spi , sequence number=seq_num ) from remote_IP (username ) to local_IP .The decapsulated inner packet doesn’t match the negotiated policy in the SA.The packet specifies its destination as pkt_daddr , its source as pkt_saddr , and its protocol as pkt_prot .The SA specifies its local proxy as id_daddr /id_dmask /id_dprot /id_dport and its remote proxy as id_saddr /id_smask /id_sprot /id_sport .

説明 カプセル化解除された IPSec パケットがネゴシエートされた ID と一致しません。ピアは、このセキュリティ アソシエーションを通じて他のトラフィックを送信中です。これは、ピアによるセキュリティ アソシエーション選択エラーが原因であるか、攻撃の一部の場合である可能性があります。このメッセージは、5 秒に 1 回しか表示されないように制限されています。

• >protocol：IPSec プロトコル
• >spi：IPSec のセキュリティ パラメータ インデックス
• seq_num>：IPSec シーケンス番号
• emote_IP>：トンネルのリモート エンドポイントの IP アドレス
• >username：IPSec トンネルに関連付けられているユーザ名
• local_IP>：トンネルのローカル エンドポイントの IP アドレス
• pkt_daddr>：カプセル化解除されたパケットからの宛先アドレス
• pkt_saddr>：カプセル化解除されたパケットからの送信元アドレス
• pkt_prot>：カプセル化解除されたパケットからのトランスポート プロトコル
• id_daddr>：ローカル プロキシ IP アドレス
• id_dmask>：ローカル プロキシ IP サブネット マスク
• id_dprot>：ローカル プロキシ トランスポート プロトコル
• id_dport>：ローカル プロキシ ポート
• id_saddr>：リモート プロキシ IP アドレス
• id_smask>：リモート プロキシ IP サブネット マスク
• id_sprot>：リモート プロキシ トランスポート プロトコル
• id_sport>：リモート プロキシ ポート

推奨アクション ピアの管理者に問い合わせて、ポリシーの設定を比較します。

エラー メッセージ %ASA-4-402117: IPSEC: Received a non-IPsec (protocol ) packet from remote_IP to local_IP .

説明 受信パケットはクリプト マップ ACL と一致したが、IPSec でカプセル化されていません。IPSec ピアはカプセル化されていないパケットを送信中です。このエラーは、ピアのポリシー セットアップ エラーが原因で発生することがあります。たとえば、外部インターフェイス ポート 23 への暗号化 Telnet トラフィックだけを受信するようにファイアウォールを設定できます。IPSec 暗号化を行わずに Telnet を使用して、ポート 23 上で外部インターフェイスにアクセスしようとすると、このメッセージが表示されますが、ポート 23 以外の外部インターフェイスに対する Telnet またはトラフィックの場合は表示されません。このエラーは、攻撃を示すこともあります。このメッセージは、これらの条件以外では生成されません（たとえば、ASA インターフェイス自体へのトラフィックの場合は生成されません）。TCP および UDP 要求を追跡するメッセージ 710001、710002、および 710003 を参照してください。このメッセージは、5 秒に 1 回しか表示されないように制限されています。

• >protocol：IPSec プロトコル
• emote_IP>：トンネルのリモート エンドポイントの IP アドレス
• local_IP>：トンネルのローカル エンドポイントの IP アドレス

推奨アクション ピアの管理者に問い合わせて、ポリシーの設定を比較します。

エラー メッセージ %ASA-4-402118: IPSEC: Received an protocol packet (SPI=spi , sequence number seq_num ) from remote_IP (username ) to local_IP containing an illegal IP fragment of length frag_len with offset frag_offset .

説明 カプセル化解除された IPSec パケットに、128 バイト以下のオフセットの IP フラグメントが含まれていました。最新バージョンの IP RFC のセキュリティ アーキテクチャでは、リアセンブリ攻撃を防止するために最小 IP フラグメント オフセットを 128 バイトにすることを推奨しています。これは攻撃の一部の場合があります。このメッセージは、5 秒に 1 回しか表示されないように制限されています。

• >protocol：IPSec プロトコル
• >spi：IPSec のセキュリティ パラメータ インデックス
• seq_num>：IPSec シーケンス番号
• emote_IP>：トンネルのリモート エンドポイントの IP アドレス
• >username：IPSec トンネルに関連付けられているユーザ名
• local_IP>：トンネルのローカル エンドポイントの IP アドレス
• frag_len>：IP フラグメント長
• frag_offset>：IP フラグメント オフセット（バイト）

推奨アクション リモート ピアの管理者に問い合わせて、ポリシーの設定を比較します。

エラー メッセージ %ASA-4-402119: IPSEC: Received an protocol packet (SPI=spi , sequence number=seq_num ) from remote_IP (username ) to local_IP that failed anti-replay checking.

説明 無効なシーケンス番号の IPSec パケットを受信しました。ピアは、以前に使用された可能性のあるシーケンス番号が含まれたパケットを送信中です。このメッセージは、受け入れ許容範囲外のシーケンス番号の IPSec パケットを受信したことを示します。このパケットは、可能性ある攻撃の一部として IPSec により廃棄されます。このメッセージは、5 秒に 1 回しか表示されないように制限されています。

• >protocol：IPSec プロトコル
• >spi：IPSec のセキュリティ パラメータ インデックス
• seq_num>：IPSec シーケンス番号
• emote_IP>：トンネルのリモート エンドポイントの IP アドレス
• >username：IPSec トンネルに関連付けられているユーザ名
• local_IP>：トンネルのローカル エンドポイントの IP アドレス

推奨アクション ピアの管理者にお問い合わせください。

エラー メッセージ %ASA-4-402120: IPSEC: Received an protocol packet (SPI=spi , sequence number=seq_num ) from remote_IP (username ) to local_IP that failed authentication.

説明 IPSec パケットを受信したが認証に失敗しました。パケットはドロップされます。パケットは中継中に破損したか、ピアが無効な IPSec パケットを送信している可能性があります。これらのパケットの多くを同じピアから受信した場合、攻撃を示している可能性があります。このメッセージは、5 秒に 1 回しか表示されないように制限されています。

• >protocol：IPSec プロトコル
• >spi：IPSec のセキュリティ パラメータ インデックス
• seq_num>：IPSec シーケンス番号
• emote_IP>：トンネルのリモート エンドポイントの IP アドレス
• >username：IPSec トンネルに関連付けられているユーザ名
• local_IP>：トンネルのローカル エンドポイントの IP アドレス

推奨アクション 受信したパケットの認証失敗が多い場合は、リモート ピアの管理者にお問い合わせください。

エラー メッセージ %ASA-4-402121: IPSEC: Received an protocol packet (SPI=spi , sequence number=seq_num ) from peer_addr (username ) to lcl_addr that was dropped by IPsec (drop_reason ).

説明 カプセル化解除する IPSec パケットを受信したが、そのパケットが IPSec サブシステムによって後で廃棄されました。これは、ASA の設定または ASA そのものに問題が存在する可能性があることを示しています。

• >protocol：IPSec プロトコル
• >spi：IPSec のセキュリティ パラメータ インデックス
• seq_num>：IPSec シーケンス番号
• peer_addr>：トンネルのリモート エンドポイントの IP アドレス
• >username：IPSec トンネルに関連付けられているユーザ名
• lcl_addr>：トンネルのローカル エンドポイントの IP アドレス
• drop_reason>：パケットがドロップされた原因

推奨アクション 問題が解決しない場合は、Cisco TAC にお問い合わせください。

エラー メッセージ %ASA-4-402122: Received a cleartext packet from src_addr to dest_addr that was to be encapsulated in IPsec that was dropped by IPsec (drop_reason ).

説明 IPSec でカプセル化するパケットを受信しましたが、そのパケットが IPSec サブシステムによって後で廃棄されました。これは、ASA の設定または ASA そのものに問題が存在する可能性があることを示しています。

• src_addr >：送信元 IP アドレス
• dest_addr >：宛先 IP アドレス
• drop_reason>：パケットがドロップされた原因

推奨アクション 問題が解決しない場合は、Cisco TAC にお問い合わせください。

エラー メッセージ %ASA-4-402123: CRYPTO: The accel_type hardware accelerator encountered an error (code=error_string ) while executing crypto command command .

説明 ハードウェア アクセラレータを使用した crypto コマンドの実行中にエラーが検出されました。アクセラレータの問題を示している可能性があります。このタイプのエラーは、さまざまな理由で発生します。このメッセージは、原因の判定に役立つように暗号アクセラレータ カウンタを補足します。

• accel_type：ハードウェア アクセラレータのタイプ
• >error_string：エラーのタイプを示すコード
• command：エラーを生成した暗号コマンド

推奨アクション 問題が解決しない場合は、Cisco TAC にお問い合わせください。

エラー メッセージ %ASA-4-402124: CRYPTO: The ASA hardware accelerator encountered an error (Hardware error address, Core, Hardware error code, IstatReg, PciErrReg, CoreErrStat, CoreErrAddr, Doorbell Size, DoorBell Outstanding, SWReset).

説明 暗号ハードウェア チップが重大エラーを報告しました。チップが動作不能であることを示します。このメッセージからの情報は、詳細を取り込み、問題をさらに分析できるようにします。この状態が検出されると、暗号チップがリセットされ、円滑にASA の機能を継続できます。また、この問題が検出されたときの暗号環境が、フラッシュ上の暗号アーカイブ ディレクトリに書き込まれ、さらなるデバッグ情報を提供します。このメッセージには、暗号ハードウェアに関連する次のようなさまざまなパラメータが含まれています。

• HWErrAddr>：ハードウェア アドレス（暗号チップによって設定）
• Core>：エラーが発生している暗号コア
• HwErrCode>：ハードウェア エラー コード（暗号チップによって設定）
• IstatReg>：割り込みステータス レジスタ（暗号チップによって設定）
• PciErrReg>：PCI エラー レジスタ（暗号チップによって設定）
• CoreErrStat>：コア エラー ステータス（暗号チップによって設定）
• CoreErrAddr>：コア エラー アドレス（暗号チップによって設定）
• Doorbell Size>：許可される暗号コマンドの最大数
• DoorBell Outstanding>：処理待ちの暗号コマンド数
• SWReset>：ブート後の暗号チップ リセット回数

（注）

%ASA-vpn-4-402124: CRYPTO: The ASA hardware accelerator encountered an error（HWErrAddr= 0x40EE9800、Core= 0、HwErrCode= 23、IstatReg= 0x8、PciErrReg= 0x0、CoreErrStat= 0x41、CoreErrAddr= 0x844E9800、Doorbell Size[0]= 2048、DoorBell Outstanding[0]= 0、Doorbell Size[1]= 0、DoorBell Outstanding[1]= 0、SWReset= 99）のエラー メッセージは AnyConnect の問題であり、回避策として AnyConnect 3.1.x にアップグレードするように示しています。

推奨アクション メッセージの情報を Cisco TAC に転送し、さらなる分析を依頼してください。

エラー メッセージ %ASA-4-402125: The ASA hardware accelerator ring timed out (parameters ).

説明 IPSEC の記述子リングまたは SSL/Admin の記述子リングが進行していないことを暗号ドライバが検出しました。つまり、暗号チップが機能していないと思われます。この状態が検出されると、暗号チップがリセットされ、円滑にASA の機能を継続できます。また、この問題が検出されたときの暗号環境が、フラッシュ上の暗号アーカイブ ディレクトリに書き込まれ、さらなるデバッグ情報を提供します。

• >ring：IPSEC リングまたは Admin リング
• parameters >：次のとおり

- Desc>：記述子アドレス

- CtrlStat>：制御/ステータス値

- ResultP>：成功ポインタ

- ResultVal>：成功値

- Cmd>：暗号コマンド

- CmdSize>：コマンド サイズ

- Param>：コマンド パラメータ

- Dlen>：データ長

- DataP>：データ ポインタ

- CtxtP>：VPN コンテキスト ポインタ

- SWReset>：ブート後の暗号チップ リセット回数

推奨アクション メッセージの情報を Cisco TAC に転送し、さらなる分析を依頼してください。

エラー メッセージ%ASA-4-402126: CRYPTO: The ASA created Crypto Archive File Archive Filename as a Soft Reset was necessary.Please forward this archived information to Cisco.

説明 ハードウェア暗号チップで機能上の問題が検出されました（syslog メッセージ 402124 および 402125 を参照）。暗号の問題をさらにデバッグするために、現在の暗号ハードウェア環境（ハードウェア レジスタおよび暗号記述エントリ）を含む暗号アーカイブ ファイルが生成されます。ブート時に、フラッシュ ファイル システム上に crypto_archive ディレクトリが自動的に作成されました（事前に存在していなかった場合）。このディレクトリには、最大 2 つの暗号アーカイブ ファイルが存在できます。

• >Archive Filename：暗号アーカイブ ファイルの名前。暗号アーカイブ ファイルの名前は crypto_arch_x.bin という形式です。ここで、x は 1 または 2 です。

推奨アクション 暗号アーカイブ ファイルを Cisco TAC に転送し、さらなる分析を依頼してください。

エラー メッセージ %ASA-4-402127: CRYPTO: The ASA is skipping the writing of latest Crypto Archive File as the maximum # of files, max_number, allowed have been written to archive_directory .Please archive & remove files from Archive Directory if you want more Crypto Archive Files saved.

説明 ハードウェア暗号チップで機能上の問題が検出されました（メッセージ 4402124 および 4402125 を参照）。このメッセージは、最大数の暗号アーカイブ ファイルがすでに存在していたため、暗号アーカイブ ファイルが書き込まれなかったことを示しています。

• max_number >：アーカイブ ディレクトリで許可されているファイルの最大数（現在は 2 に設定されています）
• >archive_directory：アーカイブ ディレクトリの名前

推奨アクション 以前に生成された暗号アーカイブ ファイルを Cisco TAC に転送します。以前に生成されたアーカイブ ファイルを削除して、別のアーカイブ ファイルを書き込むことができるようにします（必要であると思われる場合）。

エラー メッセージ %ASA-5-402128: CRYPTO: An attempt to allocate a large memory block failed, size: size , limit: limit

説明 SSL 接続で許容量を超えるメモリの使用が試みられています。要求が拒否されました。

• size：割り当てられているメモリ ブロックのサイズ
• limit：許容割り当てメモリの最大サイズ

推奨アクション このメッセージが引き続き表示される場合は、SSL サービス拒絶攻撃が進行している可能性があります。リモート ピアの管理者またはアップストリームのプロバイダーにお問い合わせください。

エラー メッセージ %ASA-6-402129: CRYPTO: An attempt to release a DMA memory block failed, location: address

説明 内部ソフトウェア エラーが発生しました。

• address：解放されようとしたアドレス

推奨アクション Cisco TAC に連絡してサポートを受けてください。

エラー メッセージ %ASA-6-402130: CRYPTO: Received an ESP packet (SPI = 0x54A5C634, sequence number=0x7B) from 75.2.96.101 (user=user) to 85.2.96.10 with incorrect IPsec padding.

説明 ASA の暗号ハードウェア アクセラレータで無効な埋め込みデータを含む IPSec パケットが検出されました。ATT VPN クライアントでは、IPSec パケットの埋め込みが不適切に行われる場合があります。

• SPI：パケットに関連付けられている SPI
• sequence number：パケットに関連付けられているシーケンス番号
• user：ユーザ名文字列
• padding：パケットからの埋め込みデータ

推奨アクション このメッセージが不要であり、ASA の問題が示されていない場合、ATT VPN クライアントを使用しているお客様は VPN クライアント ソフトウェアのアップグレードが必要になることがあります。

エラー メッセージ %ASA-4-402131: CRYPTO: status changing the accel_instance hardware accelerator's configuration bias from old_config_bias to new_config_bias .

説明 ハードウェア アクセラレータ設定が ASA で変更されました。一部の ASAプラットフォームには、複数のハードウェア アクセラレータがあります。ハードウェア アクセラレータの変更ごとに 1 件の syslog メッセージが生成されます。

• status：success または failure を示します
• accel_instance：ハードウェア アクセラレータのインスタンス
• old_config_bias：古い設定
• new_config_bias：新しい設定

推奨アクション アクセラレータのいずれかが設定を変更しようとして失敗した場合、ロギング情報を収集し、Cisco TAC に連絡してください。障害が発生した場合、ソフトウェアは、設定変更を複数回再試行します。再試行が失敗した場合、ソフトウェアは元の構成バイアスにフォールバックします。ハードウェア アクセラレータの再設定に複数回失敗する場合、ハードウェアの障害を示している可能性があります。

エラー メッセージ %ASA-3-402140: CRYPTO: RSA key generation error: modulus len len

説明 RSA 公開キー ペアの生成時にエラーが発生しました。

• len：ビット単位で示したプライム モジュラスの長さ

推奨アクション Cisco TAC に連絡してサポートを受けてください。

エラー メッセージ %ASA-3-402141: CRYPTO: Key zeroization error: key set type , reason reason

説明 RSA 公開キー ペアの生成時にエラーが発生しました。

• type：次のいずれかのキー セット タイプ。DH、RSA、DSA、unknown
• reason：予期しない暗号化セッション タイプ

推奨アクション Cisco TAC に連絡してサポートを受けてください。

エラー メッセージ %ASA-3-402142: CRYPTO: Bulk data op error: algorithm alg , mode mode

説明 対称キー操作中にエラーが発生しました。

• op：暗号化または暗号化解除のいずれかの操作
• alg：次のいずれかの暗号化アルゴリズム。DES、3DES、AES、RC4
• mode：次のいずれかのモード。CBC、CTR、CFB、ECB、stateful-RC4、stateless-RC4

推奨アクション Cisco TAC に連絡してサポートを受けてください。

エラー メッセージ %ASA-3-402143: CRYPTO: alg type key op

説明 非対称キー操作中にエラーが発生しました。

• alg：RSA または DSA のいずれかの暗号化アルゴリズム
• type：public または private のいずれかのキー タイプ
• op：暗号化または暗号化解除のいずれかの操作

推奨アクション Cisco TAC に連絡してサポートを受けてください。

エラー メッセージ %ASA-3-402144: CRYPTO: Digital signature error: signature algorithm sig , hash algorithm hash

説明 デジタル署名の生成中にエラーが発生しました。

• sig：RSA または DSA のいずれかの署名アルゴリズム
• hash：ハッシュ アルゴリズム。MD5、SHA1、SHA256、SHA384、SHA512 のいずれかです。

推奨アクション Cisco TAC に連絡してサポートを受けてください。

エラー メッセージ %ASA-3-402145: CRYPTO: Hash generation error: algorithm hash

説明 ハッシュ生成エラーが発生しました。

• hash：ハッシュ アルゴリズム。MD5、SHA1、SHA256、SHA384、SHA512 のいずれかです。

推奨アクション Cisco TAC に連絡してサポートを受けてください。

エラー メッセージ %ASA-3-402146: CRYPTO: Keyed hash generation error: algorithm hash , key len len

説明 キー付きハッシュ生成エラーが発生しました。

• hash：ハッシュ アルゴリズム。MD5、SHA1、SHA256、SHA384、SHA512 のいずれかです。
• len：ビット単位のキーの長さ

推奨アクション Cisco TAC に連絡してサポートを受けてください。

エラー メッセージ %ASA-3-402147: CRYPTO: HMAC generation error: algorithm alg

説明 HMAC 生成エラーが発生しました。

• alg：次のいずれかの HMAC アルゴリズム。HMAC-MD5、HMAC-SHA1、HMAC-SHA2、AES-XCBC

推奨アクション Cisco TAC に連絡してサポートを受けてください。

エラー メッセージ %ASA-3-402148: CRYPTO: Random Number Generator error

説明 乱数ジェネレータ エラーが発生しました。

推奨アクション Cisco TAC に連絡してサポートを受けてください。

エラー メッセージ %ASA-3-402149: CRYPTO: weak encryption type (length ).操作は許可されませんでした。FIPS 140-2 非準拠

説明 ASA は 2048 ビット未満の RSA キー、または DH グループ 1、2、5 を使おうとしました。

• encryption type：暗号化のタイプ
• length：RSA キーの長さ、または DH グループの番号

推奨アクション 2048 ビット以上の RSA キーを使うように、または 1、2、5 以外の DH グループを設定するように ASA または外部アプリケーションを設定します。

エラー メッセージ%ASA-3-402150: CRYPTO: Deprecated hash algorithm used for RSA operation (hash alg ).操作は許可されませんでした。FIPS 140-2 非準拠

説明 デジタル証明書の署名、または FIPS 140-2 認証の検証に、受け入れられないハッシュ アルゴリズムが使われました。

• operation：署名または検証
• hash alg：受け入れられないハッシュ アルゴリズムの名前

推奨アクション 少なくともデジタル証明書の署名または FIPS 140-2 認証の検証には受け入れられるハッシュ アルゴリズムを使っていることを確認します。これらには、SHA-256、SHA-384、SHA-512 があります。

エラー メッセージ %ASA-4-403101: PPTP session state not established, but received an XGRE packet, tunnel_id=number , session_id=number

説明 ASA が、対応する制御接続セッションのない PPTP XGRE パケットを受信しました。

推奨アクション 問題が解決しない場合は、Cisco TAC にお問い合わせください。

エラー メッセージ %ASA-4-403102: PPP virtual interface interface_name rcvd pkt with invalid protocol: protocol , reason: reason .

説明 プロトコル フィールドが無効な XGRE カプセル化 PPP パケットをモジュールが受信しました。

推奨アクション 問題が解決しない場合は、Cisco TAC にお問い合わせください。

エラー メッセージ %ASA-4-403103: PPP virtual interface max connections reached.

説明 モジュールは、追加の PPTP 接続を受け入れることはできません。接続は有効になるとすぐに割り当てられます。

推奨アクション 不要。

エラー メッセージ %ASA-4-403104: PPP virtual interface interface_name requires mschap for MPPE.

説明 MPPE は設定されていましたが、MS-CHAP 認証が設定されていませんでした。

推奨アクション vpdn group group_name ppp authentication コマンドを使って、MS-CHAP 認証を追加します。

エラー メッセージ %ASA-4-403106: PPP virtual interface interface_name requires RADIUS for MPPE.

説明 MPPE は設定されていましたが、RADIUS 認証が設定されていませんでした。

推奨アクション vpdn group group_name ppp authentication コマンドを使って、RADIUS 認証を追加します。

エラー メッセージ %ASA-4-403107: PPP virtual interface interface_name missing aaa server group info

説明 AAA サーバ設定情報を検出できません。

推奨アクション vpdn group group_name client authentication aaa aaa_server_group コマンドを使って、AAA サーバ情報を追加します。

エラー メッセージ %ASA-4-403108: PPP virtual interface interface_name missing client ip address option

説明 クライアント IP アドレス プール情報が不足しています。

推奨アクション vpdn group group_name client configuration address local address_pool_name コマンドを使い、IP アドレス プール情報を追加します。

エラー メッセージ%ASA-4-403109: Rec'd packet not an PPTP packet.(ip ) dest_address=dest_address, src_addr= source_address, data: string.

説明 モジュールは敵対イベントを示す可能性があるスプーフィングされた PPTP パケットを受信しました。

推奨アクション ピアの管理者に問い合わせて、PPTP コンフィギュレーション設定を確認します。

エラー メッセージ %ASA-4-403110: PPP virtual interface interface_name , user: user missing MPPE key from aaa server.

説明 AAA サーバは、MPPE 暗号化ポリシーのセットアップに必要な MPPE キー属性を返しませんでした。

推奨アクション AAA サーバ設定を確認しますAAA サーバが MPPE キー属性を返せない場合は、代わりに vpdn group group_name client authentication local コマンドを入力してローカル認証を使用します。

エラー メッセージ %ASA-6-403500: PPPoE - Service name 'any' not received in PADO.Intf:interface_name AC:ac_name .

説明 ASA が、インターネット サービス プロバイダーのアクセス コントローラに PPPoE サービス any を要求しました。サービス プロバイダーからの応答には他のサービスが含まれていますが、サービス any は含まれていません。これは、プロトコルの実装の不一致です。PADO パケットは正常に処理されて、接続ネゴシエーションが続行されます。

推奨アクション 不要。

エラー メッセージ%ASA-3-403501: PPPoE - Bad host-unique in PADO - packet dropped.Intf:interface_name AC:ac_name

説明 ASA はホスト固有値と呼ばれる ID をアクセス コントローラに送信しました。アクセス コントローラは、異なるホスト固有値で応答しました。ASA はこの応答に対応する接続要求を識別できませんでした。パケットは廃棄され、接続ネゴシエーションは切断されました。

推奨アクション インターネット サービス プロバイダーにお問い合わせください。サービス プロバイダーのアクセス コントローラがホスト固有値の処理を誤っているか、または PADO パケットが不正です。

エラー メッセージ %ASA-3-403502: PPPoE - Bad host-unique in PADS - dropping packet.Intf:interface_name AC:ac_name

説明 ASA はホスト固有値と呼ばれる ID をアクセス コントローラに送信しました。アクセス コントローラは、異なるホスト固有値で応答しました。ASA はこの応答に対応する接続要求を識別できませんでした。パケットは廃棄され、接続ネゴシエーションは切断されました。

推奨アクション インターネット サービス プロバイダーにお問い合わせください。サービス プロバイダーのアクセス コントローラがホスト固有値の処理を誤っているか、または PADO パケットが不正です。

エラー メッセージ %ASA-3-403503: PPPoE:PPP link down:reason

説明 PPP リンクがダウンしました。これが発生する原因は数多くあります。最初の形式に表示される理由は、PPP からの理由の場合です。

推奨アクション ネットワーク リンクを調べて、リンクが接続されていることを確認します。アクセス コンセントレータがダウンしていることがあります。認証プロトコルがアクセス コンセントレータと一致し、名前とパスワードが正しいことを確認します。ISP またはネットワーク サポート担当者にこの情報を確認します。

エラー メッセージ %ASA-3-403504: PPPoE:No 'vpdn group group_name ' for PPPoE is created

説明 PPPoE では、PPPoE セッションを開始する前に、ダイヤルアウト コンフィギュレーションが必要です。一般的にコンフィギュレーションでは、ダイヤル ポリシー、PPP 認証、ユーザ名、およびパスワードを指定する必要があります。次の例では、ASAを PPPoE ダイヤルアウト用に設定します。my-username コマンドおよび my-password コマンドは、必要であれば PAP を使用して、アクセス コンセントレータの認証に使用されます。

次に例を示します。

ciscoasa# vpdn group my-pppoe request dialout pppoe
ciscoasa# vpdn group my-pppoe ppp authentication pap
ciscoasa# vpdn group my-pppoe localname my-username
ciscoasa# vpdn username my-username password my-password
ciscoasa# ip address outside pppoe setroute

推奨アクション PPPoE 用の VPDN グループを設定します。

エラー メッセージ %ASA-4-403505: PPPoE:PPP - Unable to set default route to IP_address at interface_name

説明 通常、このメッセージには「default route already exists」というメッセージが続きます。

推奨アクション 現行のデフォルト ルートを削除するか、または setroute パラメータを削除して、PPPoE と手動で設定したルートが競合しないようにします。

エラー メッセージ %ASA-4-403506: PPPoE:failed to assign PPP IP_address netmask netmask at interface_name

説明 このメッセージには、「subnet is the same as interface」または「on failover channel」というメッセージのいずれかが続きます。

推奨アクション 最初の場合は、競合の原因となったアドレスを変更します。2 番目の場合は、フェールオーバー インターフェイス以外のインターフェイスに PPPoE を設定します。

エラー メッセージ %ASA-3-403507: PPPoE:PPPoE client on interface interface failed to locate PPPoE vpdn group group_name

説明 pppoe client vpdn group group_name コマンドを入力して、インターフェイス上の PPPoE クライアントが特定の VPDN グループを使用するように設定できます。システムの起動時に、設定した名前の PPPoE VPDN グループが見つからなかった場合、このメッセージが生成されます。

• interface：どのインターフェイス上の PPPoE クライアントに障害が発生したか
• group_name：インターフェイス上の PPPoe クライアントの VPDN グループ名

推奨アクション：次のステップを実行します。

1. vpdn group group_name コマンドを入力して、必要な VPDN グループを追加します。グローバル コンフィギュレーション モードでダイヤルアウト PPPoE を要求し、すべてのグループ プロパティを追加します。
2. 指摘されたインターフェイスから pppoe client vpdn group group_name コマンドを削除します。この場合、PPPoE クライアントは、定義済みの最初の PPPoE VPDN グループを使用しようとします。

（注）	すべての変更内容は、ip address pppoe コマンドを入力してインターフェイス上の PPPoE クライアントを再起動した後に限り有効になります。

エラー メッセージ %ASA-4-405001: Received ARP {request | response} collision from IP_address /MAC_address on interface interface_name with existing ARP entry IP_address /MAC_address

説明 ASA が ARP パケットを受信しましたが、パケットの MAC アドレスが ARP キャッシュ エントリと異なっています。

推奨アクション このトラフィックは、正当である場合もあれば、ARP ポイズニング攻撃が進行中であることを示す場合もあります。送信元 MAC アドレスを確認してパケットの送信元を判別し、そのパケットが有効なホストに属しているかどうかを調べます。

エラー メッセージ %ASA-4-405002: Received mac mismatch collision from IP_address /MAC_address for authenticated host

説明 このパケットは、次のどちらかの条件の場合に表示されます。

• ASAは IP アドレスが同じだが、MAC アドレスがその uauth エントリの 1 つとは異なるパケットを受信しました。
• ASA に vpnclient mac-exempt コマンドを設定しました。除外 MAC アドレスを持つが、対応する uauth エントリとは異なる IP アドレスを持つパケットが ASA によって受信されました。

推奨アクション このトラフィックは、正当である場合もあれば、スプーフィング攻撃が進行中であることを示す場合もあります。送信元 MAC アドレスと IP アドレスを確認してパケットの送信元と、そのパケットが有効なホストに属しているかどうかを調べます。

エラー メッセージ %ASA-4-405003: IP address collision detected between host IP_address at MAC_address and interface interface_name , MAC_address .

説明 ネットワーク内のクライアントの IP アドレスが ASA のインターフェイス IP アドレスと同じです。

推奨アクション クライアントの IP アドレスを変更します。

エラー メッセージ %ASA-4-405101: Unable to Pre-allocate H225 Call Signalling Connection for foreign_address outside_address [/outside_port ] to local_address inside_address [/inside_port ]

説明 モジュールが、接続の開始中に RAM システム メモリの割り当てに失敗したか、またはアドレス変換スロットを利用できません。

推奨アクション このメッセージが定期的に表示される場合は、無視できます。グローバル プールのサイズを確認して、内部のネットワーク クライアント数と比較できます。PAT アドレスが必要になる場合があります。または、変換と接続のタイムアウト間隔を短くします。このエラー メッセージは、メモリ不足が原因で表示される可能性もあります。その場合は、メモリ使用量を減らすか、または増設メモリを購入してみます。問題が解決しない場合、Cisco TAC にお問い合わせください。

エラー メッセージ %ASA-4-405102: Unable to Pre-allocate H245 Connection for foreign_address outside_address [/outside_port ] to local_address inside_address [/inside_port ]

説明 ASA が、接続の開始中に RAM システム メモリの割り当てに失敗したか、またはアドレス変換スロットを利用できません。

推奨アクション グローバル プールのサイズを確認して、内部のネットワーク クライアント数と比較します。PAT アドレスが必要になる場合があります。または、変換と接続のタイムアウト間隔を短くします。また、メモリ使用量を減らすか、または増設メモリを購入します。このメッセージが定期的に表示される場合は、無視できます。問題が解決しない場合、Cisco TAC にお問い合わせください。

エラー メッセージ %ASA-4-405103: H225 message from source_address/source_port to dest_address /dest_port contains bad protocol discriminator hex

説明 ASA はプロトコル識別子 0x08 を予測していますが、0x08 以外の識別子を受信しました。エンドポイントから不良パケットが送信されているか、または最初のセグメント以外のメッセージ セグメントを受信した可能性があります。パケットの通過は許可されます。

推奨アクション 不要。

エラー メッセージ %ASA-4-405104: H225 message received from outside_address /outside_port to inside_address /inside_port before SETUP

説明 初期 SETUP メッセージの前に H.225 メッセージを正しくない順序で受信しました。これは許可されません。ASA は、その H.225 コール シグナリング チャネルに関する初期 SETUP メッセージを受信してから、他のすべての H.225 メッセージを受信する必要があります。

推奨アクション 不要。

エラー メッセージ %ASA-4-405105: H323 RAS message AdmissionConfirm received from source_address /source_port to dest_address /dest_port without an AdmissionRequest

説明 ゲートキーパーから ACF が送信されましたが、ASA はゲートキーパーに ARQ を送信していません。

推奨アクション source_address で指摘されたゲートキーパーを確認し、ASA から ARQ を受信していないのに ACF が送信された理由を判定します。

エラー メッセージ %ASA-4-405106: H323 num channel is not created from %I/%d to %I/%d %s

説明 ASA が H.323 メディアタイプ チャネルに関して一致条件を作成しようとしました。詳細については、match media-type コマンドを参照してください。

推奨アクション 不要。

エラー メッセージ %ASA-4-405107: H245 Tunnel is detected and connection dropped from %I/%d to %I/%d %s

説明 コール セットアップ中に試行された H.245 トンネル制御のために、H.323 接続が廃棄されました。詳細については、h245-tunnel-block コマンドを参照してください。

推奨アクション 不要。

エラー メッセージ %ASA-4-405201: ILS ILS_message_type from inside_interface:source_IP_address to outside_interface:/destination_IP_address has wrong embedded address embedded_IP_address

説明 ILS パケット ペイロードに埋め込まれたアドレスが、IP パケット ヘッダーの送信元 IP アドレスと異なっていました。

推奨アクション source_IP_address で指摘されたホストを確認して、誤った埋め込み IP アドレスで ILS パケットが送信された理由を判定します。

エラー メッセージ %ASA-4-405300: Radius Accounting Request received from from_addr is not allowed

説明 ポリシー マップに設定されていないホストからのアカウンティング要求を受け取りました。このメッセージがログに記録され、処理が停止します。

• from_addr：要求を送信しているホストの IP アドレス

推奨アクション ホストが RADIUS アカウンティング メッセージを ASA に送信するように設定されている場合は、サービス ポリシーに適用された正しいポリシー マップにホストが設定されていることを確認します。ホストが RADIUS アカウンティング メッセージを ASA に送信するように設定されていない場合は、メッセージが送信されている原因を確認します。メッセージが正当でない場合は、適切な ACL を作成してパケットを廃棄します。

エラー メッセージ %ASA-4-405301: Attribute attribute_number does not match for user user_ip

説明 validate-attribute コマンドが入力された場合に、受信したアカウンティング要求開始に格納されている属性値が、エントリ（存在する場合）に格納されている属性値と一致しません。

• attribute_number：RADIUS アカウンティングで検証される RADIUS 属性。値の範囲は 1 ～ 191 です。ベンダー固有の属性はサポートされていません。
• user_ip：ユーザの IP アドレス（Framed IP 属性）。

推奨アクション 不要。

エラー メッセージ %ASA-4-406001: FTP port command low port: IP_address /port to IP_address on interface interface_name

説明 クライアントが FTP ポート コマンドを入力して、1024（通常はサーバ ポート専用の周知のポート範囲にある）より小さなポート番号を指定しました。これは、サイト セキュリティ ポリシーを回避しようとしていることを示します。ASAは、パケットの廃棄、接続の終了、およびイベントの記録を行います。

推奨アクション 不要。

エラー メッセージ %ASA-4-406002: FTP port command different address: IP_address(IP_address ) to IP_address on interface interface_name

説明 クライアントが FTP ポート コマンドを実行して、接続に使用されているアドレス以外のアドレスを指定しました。サイト セキュリティ ポリシーを回避しようとする試みが発生しました。たとえば、攻撃者が途中でパケットを変更し、正しいソース情報の代わりに別のソース情報を設定して FTP セッションをハイジャックしようとしている場合があります。ASAは、パケットの廃棄、接続の終了、およびイベントの記録を行います。カッコ内のアドレスは、ポート コマンドからのアドレスです。

推奨アクション 不要。

エラー メッセージ %ASA-4-407001: Deny traffic for local-host interface_name :inside_address , license limit of number exceeded

説明 ホスト制限を超えました。次のどちらかの条件に当てはまる場合、内部ホストは制限にカウントされます。

• 内部ホストは、この 5 分以内に、ASA経由でトラフィックを転送しました。
• 内部ホストは、ASA で、xlate 接続またはユーザ認証を予約しました。

推奨アクション ホスト制限はローエンド プラットフォームに適用されます。ホスト制限を表示するには、show version コマンドを使用します。ASA でのセッションを持つ現在のアクティブ ホストと内部ユーザを表示するには、show local-host コマンドを使用します。1 つまたは複数のユーザを強制的に切断するには、clear local-host コマンドを使用します。内部ユーザを制限になる前に期限切れにするには、xlate、接続、および uauth タイムアウトを以下の表に示す推奨値以下に設定します。

エラー メッセージ %ASA-4-407002: Embryonic limit nconns /elimit for through connections exceeded.outside_address /outside_port to global_address (inside_address )/inside_port on interface interface_name

説明 指摘されたグローバル アドレスを経由して、指摘された外部アドレスから指摘されたローカル アドレスに接続された数が、そのスタティックの最大初期制限を超えました。ASA は、接続にメモリが割り当て可能な場合は、その接続を受け入れようとします。ローカル ホストに代わってプロキシ ホストとなり、SYN_ACK パケットを外部ホストに送信します。ASAは、該当する状態情報を保持し、パケットを廃棄して、クライアントからの ACK を待ちます。このメッセージは、正当なトラフィックを示す場合もあれば、DoS 攻撃が進行中であることを示す場合もあります。

推奨アクション 送信元アドレスを調べてパケットの送信元を判別し、それを有効なホストが送信しているかどうかを確認します。

エラー メッセージ %ASA-4-407003: Established limit for RPC services exceeded number

説明 ASA は、最大ホール数に達した後、すでに設定されている RPC サーバ ペアまたは RPC サービス ペアに対して、新規のホールをオープンしようとしました。

推奨アクション 他のホールがクローズされるのを待機するか（関連タイムアウト有効期限を使用）、またはサーバまたはサービスのアクティブ ペア数を制限します。

エラー メッセージ %ASA-4-408001: IP route counter negative - reason , IP_address Attempt: number

説明 IP ルート カウンタを負の値に減少しようとしましたが失敗しました。

推奨アクション clear ip route コマンドを入力して、ルート カウンタをリセットします。問題が解決しない場合、Cisco TAC にお問い合わせください。

エラー メッセージ %ASA-4-408002: ospf process id route type update address1 netmask1 [distance1/metric1 ] via source IP :interface1 address2 netmask2 [distance2 /metric2 ] interface2

説明 既存のルートよりも適切なメトリックを持つ同じ距離の別のインターフェイスからネットワーク アップデートを受信しました。新規のルートによって、別のインターフェイスを使用してインストールされた既存のルートが上書きされます。新規のルートは冗長目的に限り使用され、ネットワーク内でパスが移動されたことを意味します。この変更は、トポロジと再配布を使用して制御する必要があります。この変更の影響を受ける既存の接続は、ディセーブルにされる可能性があり、タイムアウトになります。このパスの移動は、パス冗長をサポートするようにネットワーク トポロジが特に設計されている場合（このケースが予測されます）に限り発生します。

推奨アクション 不要。

エラー メッセージ %ASA-4-408003: can't track this type of object hex

説明 トラッキング システムのコンポーネントが、サポートしていないオブジェクト タイプを検出しました。STATE オブジェクトが予期されていました。

• hex：メモリ内の変数値またはアドレスを示す 16 進値

推奨アクション トラック オブジェクトを再設定して、STATE オブジェクトにします。

エラー メッセージ %ASA-4-409001: Database scanner: external LSA IP_address netmask is lost, reinstalls

説明 ソフトウェアによって、予想外の状態が検出されました。ルータによって修正処置が行われ、続行されます。

推奨アクション 不要。

エラー メッセージ %ASA-4-409002: db_free: external LSA IP_address netmask

説明 内部ソフトウェア エラーが発生しました。

推奨アクション 不要。

エラー メッセージ %ASA-4-409003: Received invalid packet: reason from IP_address , interface_name

説明 無効な OSPF パケットを受信しました。詳細は、エラー メッセージに記載されています。原因は、送信側の誤った OSPF コンフィギュレーションか内部エラーの可能性があります。

推奨アクション 受信側と送信側の OSPF 設定に不整合がないかどうかを確認してください。

エラー メッセージ %ASA-4-409004: Received reason from unknown neighbor IP_address

説明 OSPF hello、データベース記述、またはデータベース要求パケットを受信しましたが、ルータは送信側を識別できません。

推奨アクション 不要。

エラー メッセージ %ASA-4-409005: Invalid length number in OSPF packet from IP_address (ID IP_address ), interface_name

説明 ASA は、正常なヘッダー サイズよりも短いフィールド長の OSPF パケット、または到着した IP パケットのサイズと一致しない OSPF パケットを受信しました。これは、パケットの送信側のコンフィギュレーション エラーを示しています。

推奨アクション 隣接アドレスから問題のルータを特定しリブートします。

エラー メッセージ %ASA-4-409006: Invalid lsa: reason Type number , LSID IP_address from IP_address , IP_address , interface_name

説明 ルータは、無効な LSA タイプの LSA を受信しました。原因は、ルータ上のメモリの破損または予想外の動作のどちらかです。

推奨アクション 隣接アドレスから問題のルータを特定しリブートします。問題が解決しない場合、Cisco TAC にお問い合わせください。

エラー メッセージ %ASA-4-409007: Found LSA with the same host bit set but using different mask LSA ID IP_address netmask New: Destination IP_address netmask

説明 内部ソフトウェア エラーが発生しました。

推奨アクション 表示されているとおりにメッセージをコピーして、Cisco TAC に報告してください。

エラー メッセージ %ASA-4-409008: Found generating default LSA with non-zero mask LSA type: number Mask: netmask metric: number area: string

説明 ルータが誤ったマスクでデフォルト LSA を生成しようとしました。内部ソフトウェア エラーが発生したためにメトリックが間違っている可能性があります。

推奨アクション 表示されているとおりにメッセージをコピーして、Cisco TAC に報告してください。

エラー メッセージ%ASA-4-409009: OSPF process number cannot start.There must be at least one up IP interface, for OSPF to use as router ID

説明 OSPF は、自分の 1 つのインターフェイスの IP アドレスからルータ ID を割り当てようとして失敗しました。

推奨アクション IP アドレスが有効な動作中のインターフェイスが少なくとも 1 つあることを確認します。ルータで複数の OSPF プロセスが動作している場合、各プロセスは一意のルータ ID を必要とします。十分な数のインターフェイスを動作させて、各プロセスがルータ ID を取得できるようにする必要があります。

エラー メッセージ %ASA-4-409010: Virtual link information found in non-backbone area: string

説明 内部エラーが発生しました。

推奨アクション 表示されているとおりにメッセージをコピーして、Cisco TAC に報告してください。

エラー メッセージ %ASA-4-409011: OSPF detected duplicate router-id IP_address from IP_address on interface interface_name

説明 OSPF は、このルーティング プロセスと同じルータ ID を持つ隣接ルータから hello パケットを受信しました。完全な隣接関係を確立できません。

推奨アクション OSPF ルータ ID を固有のものにしてください。隣接ルータのルータ ID を変更します。

エラー メッセージ %ASA-4-409012: Detected router with duplicate router ID IP_address in area string

説明 OSPF は、このルーティング プロセスと同じルータ ID を持つ隣接ルータから hello パケットを受信しました。完全な隣接関係を確立できません。

推奨アクション OSPF ルータ ID を固有のものにしてください。隣接ルータのルータ ID を変更します。

エラー メッセージ %ASA-4-409013: Detected router with duplicate router ID IP_address in Type-4 LSA advertised by IP_address

説明 OSPF は、このルーティング プロセスと同じルータ ID を持つ隣接ルータから hello パケットを受信しました。完全な隣接関係を確立できません。

推奨アクション OSPF ルータ ID を一意にしてください。隣接ルータのルータ ID を変更します。

エラー メッセージ %ASA-4-409023: Attempting AAA Fallback method method_name for request_type request for user user :Auth-server group server_tag unreachable

説明 外部サーバに対する認証または認可の試行が失敗し、ローカル ユーザ データベースを使用して実行されます。

• aaa_operation：認証または許可
• username：接続に関連付けられているユーザ
• server_group：サーバが到達不能であった AAA サーバの名前

推奨アクション 最初の方法で設定された AAA サーバの接続性の問題を調査します。ASAから認証サーバに対して ping を実行します。AAA サーバでデーモンが動作中であることを確認します。

エラー メッセージ %ASA-4-409101: Received invalid packet: s from P , s

説明 無効な OSPF パケットを受信しました。詳細は、エラー メッセージに記載されています。原因は、OSPF の設定間違い、または送信側の内部エラーです。

推奨アクション 受信側と送信側の OSPF 設定に不整合がないかどうかを確認してください。

エラー メッセージ %ASA-4-409102: Received packet with incorrect area from P , s , area AREA_ID_STR , packet area AREA_ID_STR

説明 OSPF パケットを受け取りましたが、ヘッダーに含まれているエリア ID がこのインターフェイスの領域に一致していません。

推奨アクション 受信側と送信側の OSPF 設定に不整合がないかどうかを確認してください。

エラー メッセージ %ASA-4-409103: Received s from unknown neighbor i

説明 OSPF hello、データベース記述、またはデータベース要求パケットを受信しましたが、ルータは送信側を識別できませんでした。

推奨アクション 不要。

エラー メッセージ %ASA-4-409104: Invalid length d in OSPF packet type d from P (ID i ), s

説明 OSPF パケットを受信しましたが、長さフィールドが通常のヘッダー サイズよりも短かったか、または受信時の IP パケットのサイズと整合性がありませんでした。パケットの送信側でエラーが発生しました。

推奨アクション 不要。

エラー メッセージ %ASA-4-409105: Invalid lsa: s : Type 0x x , Length 0x x , LSID u from i

説明 ルータで LSA を受信しましたが、データが無効です。この LSA には、無効な LSA タイプ、不正なチェックサム、または誤った長さが含まれています。これはメモリの破損またはルータでの予期しない動作によるものです。

推奨アクション 隣接アドレスから、問題のルータを特定し以下を実行します。

• show running-config コマンドを入力して、ルータの実行コンフィギュレーションを収集します。
• show ipv6 ospf database コマンドを入力し、エラーの内容を特定できるデータを収集します。
• show ipv6 ospf database link-state-id コマンドを入力します。link-state-id 引数には無効な LSA の IP アドレスを指定します。
• show logging コマンドを実行し、エラーの特定に役立つ情報を収集します。
• ルータをリブートします。

収集された情報からエラーの特定ができない場合は、Cisco TAC に連絡して、収集した情報を提出してください。

エラー メッセージ %ASA-4-409106: Found generating default LSA with non-zero mask LSA type: 0x x Mask: i metric: lu area: AREA_ID_STR

説明 ルータが誤ったマスクでデフォルト LSA を生成しようとしました。内部ソフトウェア エラーのためにメトリックが間違っている可能性があります。

推奨アクション 不要。

エラー メッセージ %ASA-4-409107: OSPFv3 process d could not pick a router-id, please configure manually

説明 OSPFv3 は、自分の 1 つのインターフェイスの IP アドレスからルータ ID を割り当てようとして失敗しました。

推奨アクション IP アドレスが有効な動作中のインターフェイスが少なくとも 1 つあることを確認します。ルータで複数の OSPF プロセスが動作している場合、各プロセスは一意のルータ ID を必要とします。十分な数量のインターフェイスを稼働状態にして、それぞれがルータ ID を得られるようにします。

エラー メッセージ %ASA-4-409108: Virtual link information found in non-backbone area: AREA_ID_STR

説明 内部エラーが発生しました。

推奨アクション 不要。

エラー メッセージ %ASA-4-409109: OSPF detected duplicate router-id i from P on interface IF_NAME

説明 OSPF は、このルーティング プロセスと同じルータ ID を持つ隣接ルータから hello パケットを受信しました。完全な隣接関係を確立できません。OSPF ルータ ID は一意である必要があります。

推奨アクション ネイバー ルータ ID を変更します。

エラー メッセージ %ASA-4-409110: Detected router with duplicate router ID i in area AREA_ID_STR

説明 OSPF は、このルーティング プロセスと同じルータ ID を持つ隣接ルータから hello パケットを受信しました。完全な隣接関係を確立できません。OSPF ルータ ID は一意である必要があります。

推奨アクション ネイバー ルータ ID を変更します。

エラー メッセージ %ASA-4-409111: Multiple interfaces (IF_NAME /IF_NAME ) on a single link detected.

説明 同じリンク上の複数のインターフェイスで OSPFv3 をイネーブルにすることはサポートされていません。

推奨アクション OSPFv3 は、1 つを除くすべてのインターフェイスでディセーブルにするか、パッシブにする必要があります。

エラー メッセージ %ASA-4-409112: Packet not written to the output queue

説明 内部エラーが発生しました。

推奨アクション 不要。

エラー メッセージ %ASA-4-409113: Doubly linked list linkage is NULL

説明 内部エラーが発生しました。

推奨アクション 不要。

エラー メッセージ %ASA-4-409114: Doubly linked list prev linkage is NULL x

説明 内部エラーが発生しました。

推奨アクション 不要。

エラー メッセージ %ASA-4-409115: Unrecognized timer d in OSPF s

説明 内部エラーが発生しました。

推奨アクション 不要。

エラー メッセージ %ASA-4-409116: Error for timer d in OSPF process s

説明 内部エラーが発生しました。

推奨アクション 不要。

エラー メッセージ %ASA-4-409117: Can't find LSA database type x , area AREA_ID_STR , interface x

説明 内部エラーが発生しました。

推奨アクション 不要。

エラー メッセージ %ASA-4-409118: Could not allocate DBD packet

説明 内部エラーが発生しました。

推奨アクション 不要。

エラー メッセージ %ASA-4-409119: Invalid build flag x for LSA i , type 0x x

説明 内部エラーが発生しました。

推奨アクション 不要。

エラー メッセージ %ASA-4-409120: Router-ID i is in use by ospf process d

説明 ASA が別のプロセスで使用中のルータ ID を割り当てようとしました。

推奨アクション 1 つのプロセスに対して別のルータ ID を設定します。

エラー メッセージ %ASA-4-409121: Router is currently an ASBR while having only one area which is a stub area

説明 ASBR は AS External または NSSA LSA を伝送できる領域に接続する必要があります。

推奨アクション ルータの接続先となる領域を NSSA または通常の領域にします。

エラー メッセージ%ASA-4-409122: Could not select a global IPv6 address.Virtual links require at least one global IPv6 address.

説明 仮想リンクが設定されました。仮想リンクが機能するためには、グローバル IPv6 アドレスが使用可能である必要があります。しかし、グローバル IPv6 アドレスがルータ上に見つかりませんでした。

推奨アクション このルータのインターフェイス上でグローバル IPv6 アドレスを設定してください。

エラー メッセージ %ASA-4-409123: Neighbor command allowed only on NBMA networks

説明 neighbor コマンドは NBMA ネットワークでのみ使用できます。

推奨アクション neighbor コマンドの設定オプションを確認し、ネイバー インターフェイスのオプションまたはネットワーク タイプを修正します。

エラー メッセージ %ASA-4-409125: Can not use configured neighbor: poll and priority options are allowed only for a NBMA network

説明 設定されたネイバーは、ポイントツーマルチポイント ネットワークで検出され、poll オプションまたは priority オプションが設定されました。これらのオプションは、NBMA タイプのネットワークにのみ使用できます。

推奨アクション neighbor コマンドの設定オプションを確認し、ネイバー インターフェイスのオプションまたはネットワーク タイプを修正します。

エラー メッセージ %ASA-4-409128: OSPFv3-d Area AREA_ID_STR : Router i originating invalid type 0x x LSA, ID u , Metric d on Link ID d Link Type d

説明 このメッセージに示されたルータから無効なメトリックの LSA が送信されています。これがルータ LSA であり、リンク メトリックがゼロの場合、ネットワーク上にルーティング ループとトラフィック損失が存在する危険性があります。

推奨アクション 報告された LSA を送信したルータに、当該 LSA タイプおよびリンク タイプに有効なメトリックを設定します。

エラー メッセージ %ASA-4-410001: UDP DNS request from source_interface :source_address /source_port to dest_interface :dest_address /dest_port ; (label length | domain-name length) 52bytes exceeds remaining packet length of 44 bytes.

説明 UDP DNS パケットのドメイン名の長さが、255 バイトを超えています。詳細については、RFC 1035 の 3.1 項を参照してください。

推奨アクション 不要。

エラー メッセージ %ASA-2-410002: Dropped num DNS responses with mis-matched id in the past sec second(s): from src_ifc :sip /sport to dest_ifc :dip /dport

説明 ASA が、ミスマッチの DNS 識別子を持つ過剰な数の DNS 応答を検出しました。ミスマッチの DNS 識別子の比率が高い場合は、キャッシュに対する攻撃を示している可能性があります。しきい値は、id-mismatch DNS ポリシー マップ パラメータ サブモード コマンドで設定します。

• num：id-mismatch コマンドによって設定されている ID ミスマッチ インスタンスの数
• sec：id-mismatch コマンドによって設定されている期間（秒単位）
• src_ifc：ミスマッチの DNS 識別子を持つ DNS メッセージが受信された送信元インターフェイス名
• sip：送信元 IP アドレス
• sport：送信元ポート
• dest_ifc：宛先インターフェイス名
• dip：宛先 IP アドレス
• dport：宛先ポート

推奨アクション メッセージで IP アドレスとポートを確認し、攻撃元をトレースします。その攻撃元からのトラフィックを永続的にブロックするように ACL を設定できます。

エラー メッセージ %ASA-4-410003: action_class : action DNS query_response from src_ifc :sip /sport to dest_ifc :dip /dport ; further_info

説明 DNS メッセージに対して DNS 分類が実施され、指定の基準が満たされました。結果として、設定されたアクションが実行されます。

• action_class：DNS 分類アクション クラス
• action：実行されるアクション（Dropped、Dropped (no TSIG)、または Masked header flags for）
• query_response：クエリまたは応答のいずれか
• src_ifc：送信元インターフェイス名
• sip：送信元 IP アドレス
• sport：送信元ポート
• dest_ifc：宛先インターフェイス名
• dip：宛先 IP アドレス
• dport：宛先ポート
• further_info：matched Class id: class_name、matched Class id: match_command（スタンドアロンの match コマンドの場合）、TSIG resource record not present（tsig enforced コマンドによって生成されたメッセージの場合）のいずれか

推奨アクション 不要。

エラー メッセージ %ASA-6-410004: action_class : action DNS query_response from src_ifc :sip /sport to dest_ifc :dip /dport ; further_info

説明 DNS メッセージに対して DNS 分類が実施され、指定の基準が満たされました。

• action_class：DNS 分類アクション クラス
• action：実行されるアクション（Received または Received (no TSIG)）
• query_response：クエリまたは応答のいずれか
• src_ifc：送信元インターフェイス名
• sip：送信元 IP アドレス
• sport：送信元ポート
• dest_ifc：宛先インターフェイス名
• dip：宛先 IP アドレス
• dport：宛先ポート
• further_info：matched Class id: class_name、matched Class id: match_command（スタンドアロンの match コマンドの場合）、TSIG resource record not present（tsig enforced コマンドによって生成されたメッセージの場合）のいずれか

推奨アクション 不要。

エラー メッセージ %ASA-4-411001: Line protocol on interface interface_name changed state to up

説明 回線プロトコルのステータスが、ダウンからアップに変更されました。interface_name が論理インターフェイス名（inside および outside など）の場合、このメッセージは、論理インターフェイス回線プロトコルが down から up に変化したことを示します。interface_name が物理インターフェイス名（Ethernet0 および GigabitEthernet0/1 など）の場合、このメッセージは、物理インターフェイス回線プロトコルが down から up に変化したことを示します。

推奨アクション 不要。

エラー メッセージ %ASA-4-411002:Line protocol on interface interface_name changed state to down

説明 回線プロトコルのステータスが、アップからダウンに変更されました。interface_name が論理インターフェイス名（inside および outside など）の場合、このメッセージは、論理インターフェイス回線プロトコルが up から down に変化したことを示します。この場合、物理インターフェイス回線プロトコルのステータスは影響を受けません。interface_name が物理インターフェイス名（Ethernet0 および GigabitEthernet0/1 など）の場合、このメッセージは、物理インターフェイス回線プロトコルが up から down に変化したことを示します。

推奨アクション これがインターフェイス上の予期しないイベントの場合、物理回線を確認します。

エラー メッセージ %ASA-4-411003: Configuration status on interface interface_name changed state to downup

説明 インターフェイスの設定ステータスがダウンからアップに変更されました。

推奨アクション これが予期しないイベントの場合、物理回線を確認します。

エラー メッセージ %ASA-4-411004: Configuration status on interface interface_name changed state to up

説明 インターフェイスの設定ステータスがダウンからアップに変更されました。

推奨アクション 不要。

エラー メッセージ%ASA-4-411005: Interface variable 1 experienced a hardware transmit hang.The interface has been reset.

説明 インターフェイスでハードウェア送信フリーズが発生しました。フル動作にインターフェイスを復元するには、イーサネット コントローラのリセットが必要です。

• variable 1：GigabitEthernet0/0 などのインターフェイス名

推奨アクション 不要。

エラー メッセージ %ASA-4-412001:MAC MAC_address moved from interface_1 to interface_2

説明 モジュール インターフェイス間でのホストの移動が検出されました。透過ASAでは、ホスト（MAC）とASA ポートの間のマッピングはレイヤ 2 転送テーブルに保持されています。このテーブルでは、パケットの送信元 MAC アドレスが 1 つの ASAポートにダイナミックにバインドされます。このプロセスでは、インターフェイス間でのホストの移動が検出されると常に、このメッセージが生成されます。

推奨アクション ホストの移動は、有効である場合もあれば、他のインターフェイス上のホスト MAC をスプーフィングしようとしている場合もあります。MAC スプーフィングの場合は、ネットワーク上の脆弱なホストを特定して削除するか、またはスタティック MAC エントリ（MAC アドレスおよびポート バインディングは変更できない）を設定します。ホストが正規に移動されている場合は、対処は不要です。

エラー メッセージ%ASA-4-412002:Detected bridge table full while inserting MAC MAC_address on interface interface .Number of entries = num

説明 ブリッジ テーブルがいっぱいの場合に、さらに 1 つエントリを追加しようとしました。ASAは、コンテキストごとに別個のレイヤ 2 転送テーブルを保持しており、コンテキストがサイズ制限を超えると常にこのメッセージが生成されます。MAC アドレスは追加されますが、テーブル内の最も古い既存のダイナミック エントリ（有効な場合）が置換されます。攻撃が行われようとした可能性があります。

推奨アクション 新規ブリッジ テーブル エントリが有効であることを確認します。攻撃の場合には、EtherType ACL を使用して脆弱なホストへのアクセスを制御します。

エラー メッセージ%ASA-4-413001: Module module_id is not able to shut down.Module Error: errnum message

説明 module_id で識別されるモジュールは、ASA システム モジュールからのシャットダウンの要求に応じることができませんでした。ソフトウェア アップグレードのような中断できないタスクを実行していることがあります。errnum および message テキストに、モジュールがシャットダウンできない理由と推奨される修正処置が記載されています。

推奨アクション モジュール上のタスクが完了するのを待ってからモジュールをシャットダウンするか、または session コマンドを使用してモジュールの CLI にアクセスし、モジュールのシャットダウンを妨げているタスクを停止します。

エラー メッセージ %ASA-4-413002: Module module_id is not able to reload.Module Error: errnum message

説明 module_id で識別されるモジュールは、ASA モジュールからのリロードの要求に応じることができませんでした。ソフトウェア アップグレードのような中断できないタスクを実行していることがあります。errnum および message テキストに、モジュールがリロードできなかった理由と推奨される修正処置が記載されています。

推奨アクション モジュールのタスクが完了するのを待ってからモジュールをリロードするか、または session コマンドを使用してモジュールの CLI にアクセスし、モジュールのリロードを妨げているタスクを停止します。

エラー メッセージ %ASA-4-413003: Module string one is not a recognized type

説明 有効なモジュール タイプとして認識されないモジュールが検出されました。

推奨アクション インストールされているモジュール タイプをサポートする ASA ソフトウェアのバージョンにアップグレードします。

エラー メッセージ%ASA-4-413004: Module string one failed to write software newver (currently ver ), reason .Trying again.

説明 モジュールがソフトウェア バージョンに対応できませんでした。UNRESPONSIVE 状態に移行します。モジュール ソフトウェアのアップデートがさらに試行されます。

• >string one：モジュールを示すテキスト文字列
• >newver：モジュールへの書き込みが正常に終了しなかったソフトウェアの新しいバージョン番号（1.0(1)0 など）
• >ver：モジュール上のソフトウェアの現在のバージョン番号（1.0(1)0 など）
• >reason：新しいバージョンがモジュールに書き込みできなかった理由。>reason に考えられる値は次のとおりです。

- write failure

- failed to create a thread to write the image

推奨アクション 不要。その後の試行で、アップデートの成功または失敗を示すメッセージが生成されます。その後のアップデート試行後の UP へのモジュール遷移を確認するには、show module コマンドを使用します。

エラー メッセージ %ASA-4-413005: Module module_id , application is not supported app_name version app_vers type app_type

エラー メッセージ %ASA-4-413005: Module prod_id in slot slot_num , application is not supported app_name version app_vers type app_type

説明 スロット slot_num に設置されているモジュールが、サポートされていないアプリケーション バージョンまたはアプリケーション タイプを実行していました。

• module_id：ソフトウェア サービス モジュールの名前
• prod_id：製品 ID 文字列
• slot_num：モジュールが搭載されているスロット番号。スロット 0 はシステムのメイン ボードを示し、スロット 1 は拡張スロットに設置されているモジュールを示します。
• app_name：アプリケーション名（文字列）
• app_vers：アプリケーションのバージョン（文字列）
• app_type：アプリケーションのタイプ（10 進数）

推奨アクション 問題が解決しない場合は、Cisco TAC にお問い合わせください。

エラー メッセージ%ASA-4-413006: prod-id Module software version mismatch; slot slot is prod-id version running-vers .Slot slot prod-id requires required-vers .

説明 スロット slot のモジュール上で動作しているソフトウェアのバージョンが、別のモジュールから要求されたバージョンではありませんでした。

• slot：スロット 0 はシステムのメイン ボードを示し、スロット 1 は拡張スロットに設置されているモジュールを示す。
• prod_id：スロット slot に設置されているデバイスの製品 ID 文字列。
• running_vers：スロット slot に設置されているモジュール上で現在動作しているソフトウェアのバージョン。
• required_vers：スロット slot のモジュールから要求されたソフトウェアのバージョン。

推奨アクション 問題が解決しない場合は、Cisco TAC にお問い合わせください。

エラー メッセージ%ASA-1-413007: An unsupported ASA and IPS configuration is installed.mpc_description with ips_description is not supported.

説明 サポートされていない ASA および IPS の設定が、スロット 1 の IPS SSP のセットアップ中に検出されました。ASA は、サポートされない設定で正常に機能し続けます。

• mpc_description：ASA モデルの説明文字列。ASA5585-SSP-10、ASA5585-SSP-20、ASA5585-SSP-40、ASA5585-SSP-60、ASA5585-SSP-10-K7、ASA5585-SSP-20-K7、ASA5585-SSP-40-K7、ASA5585-SSP-60-K7 のいずれか。
• ips_description：IPS SSP モデルの説明文字列。ASA5585-SSP-IPS10、ASA5585-SSP-IPS20、ASA5585-SSP-IPS40、ASA5585-SSP-IPS60、ASA5585-SSP-P10K7、ASA5585-SSP-P20K7、ASA5585-SSP-P40K7、ASA5585-SSP-P60K7 のいずれか。

推奨アクション 不要。

エラー メッセージ %ASA-1-413008: An unsupported combination of the power supply module and the fan module is detected.Two power supply modules are recommended when using ASA 10G and IPS 10G SSPs simultaneously

説明 ASA 10G SSP と IPS 10G SSP が搭載されていますが、1 台の電源装置と 1 台のファン モジュールのみが挿入されています。

推奨アクション ASA 10G SSP と IPS 10G SSP を使用する場合は、1 台のファン モジュールと 1 台の電源モジュールの代わりに、2 台の電源装置を挿入します。

エラー メッセージ %ASA-3-414001: Failed to save logging buffer using file name filename to FTP server ftp_server_address on interface interface_name : [fail_reason ]

説明 ロギング モジュールによる外部 FTP サーバへのロギング バッファの保存が失敗しました。

推奨アクション 失敗した原因に基づいて適切な処置を行います。

• プロトコル エラー：FTP サーバと ASA との間の接続に問題がなく、FTP サーバが FTP PORT コマンドと PUT 要求を受け入れることができることを確認します。
• 無効なユーザ名またはパスワード：設定された FTP クライアント ユーザ名およびパスワードが正しいことを確認します。
• 他のエラーすべて：問題が解決しない場合、Cisco TAC にお問い合わせください。

エラー メッセージ %ASA-3-414002: Failed to save logging buffer to flash:/syslog directory using file name: filename : [fail_reason ]

説明 ロギング モジュールによるシステム フラッシュへのロギング バッファの保存が失敗しました。

推奨アクション 十分な領域がないために失敗した場合は、フラッシュの空き領域をチェックして、logging flash-size コマンドの設定制限が正しく設定されていることを確認します。エラーが、フラッシュ ファイル システムの I/O エラーの場合は、Cisco TAC に問い合わせてサポートを受けてください。

エラー メッセージ%ASA-3-414003: TCP Syslog Server intf : IP_Address /port not responding.New connections are [permitted|denied] based on logging permit-hostdown policy.

説明 リモート ホスト ロギング用の TCP syslog サーバが正常であり、サーバに接続され、新しい接続は logging permit-hostdown ポリシーに基づいて許可されています。logging permit-hostdown ポリシーが設定されている場合、新しい接続は許可されます。設定されていない場合、新しい接続は拒否されます。

• intf：サーバが接続されている ASA のインターフェイス
• IP_Address：リモート TCP syslog サーバの IP アドレス
• port：リモート TCP syslog サーバのポート

推奨アクション 設定されている TCP syslog サーバが動作していることを確認します。新しい接続を許可するには、logging permit-hostdown ポリシーを設定します。新しい接続を拒否するには、logging permit-hostdown ポリシーを設定しません。

エラー メッセージ %ASA-6-414004: TCP Syslog Server intf : IP_Address /port - Connection restored

説明 TCP syslog サーバへの再試行が成功し、接続が確立されました。このメッセージは、接続が成功した後に syslog サーバに最初に到達するメッセージです。

• intf：サーバが接続されている ASA のインターフェイス
• IP_Address：リモート TCP syslog サーバの IP アドレス
• port：リモート TCP syslog サーバのポート

推奨アクション 不要。

エラー メッセージ %ASA-3-414005: TCP Syslog Server intf : IP_Address /port connected, New connections are permitted based on logging permit-hostdown policy

説明 リモート ホスト ロギング用の TCP syslog サーバが正常であり、サーバに接続され、新しい接続は logging permit-hostdown ポリシーに基づいて許可されます。logging permit-hostdown ポリシーが設定されている場合、新しい接続は許可されます。

• intf：サーバが接続されている ASA のインターフェイス
• IP_Address：リモート TCP syslog サーバの IP アドレス
• port：リモート TCP syslog サーバのポート

推奨アクション 不要。

エラー メッセージ %ASA-3-414006: TCP Syslog Server configured and logging queue is full.New connections denied based on logging permit-hostdown policy.

説明 ロギング キューが設定された上限に近づいているため、syslog メッセージがドロップされる危険があります。

推奨アクション この状況を回避するためにキュー サイズを調整する方法の詳細については、『CLI 構成ガイド』の「Configuring the Logging Queue」セクションを参照してください。この場合に新しい接続を拒否するには、no logging permit-hostdown コマンドを使用します。この場合に新しい接続を許可するには、logging permit-hostdown コマンドを使用します。

エラー メッセージ%ASA-6-414007: TCP Syslog Server connection restored.New connections are allowed.

説明 リモート ホスト ロギング用の TCP syslog サーバが正常に接続され、新しい接続が許可されます。

推奨アクション 不要。

エラー メッセージ %ASA-6-414008: New connections are now allowed due to change of logging permit-hostdown policy.

説明 管理者は、新しい接続が拒否されているときに、logging permit-hostdown コマンドを入力して、logging permit-hostdown ポリシーを変更しました。このポリシーの変更が原因で、新しい接続は許可されます。

推奨アクション 不要。

エラー メッセージ %ASA-6-415001: HTTP - matched matched_string in policy-map map_name , header field count exceeded connection_action from int_type :IP_address /port_num to int_type :IP_address /port_num

説明 このメッセージは、次のいずれかが発生した場合に生成されます。

• HTTP ヘッダーのフィールドの総数が、ユーザ設定のヘッダー フィールド数を超えました。関連するコマンドは match {request | response} header count num です。
• HTTP ヘッダー内の指摘されたフィールドの出現数が、そのヘッダー フィールドに対してユーザが設定した数を超えました。関連するコマンドは match {request | response} header header-name count num です。
• matched_string：次のいずれかの一致文字列

- クラス マップ ID とその後に続くクラス マップ名。この文字列は、ユーザ設定のクラス マップの場合に表示されます。

- このメッセージを発生させた実際の match コマンド。この文字列は、クラス マップが内部の場合に表示されます。

• map_name：ポリシー マップの名前
• connection_action：接続をドロップまたはリセットします
• interface_type：インターフェイス タイプ（たとえば、DMZ または外部）
• IP_address：インターフェイスの IP アドレス
• port_num：ポート番号

推奨アクション match {request | response} header コマンドを入力して、HTTP ヘッダーのフィールド値を再設定します。

エラー メッセージ %ASA-6-415002: HTTP - matched matched_string in policy-map map_name , header field length exceeded connection_action from int_type :IP_address /port_num to int_type :IP_address /port_num

説明 指摘された HTTP ヘッダー フィールド長がユーザ設定の長さを超えました。

• matched_string：次のいずれかの一致文字列

- クラス マップ ID とその後に続くクラス マップ名。この文字列は、ユーザ設定のクラス マップの場合に表示されます。

- このメッセージを発生させた実際の match コマンド。この文字列は、クラス マップが内部の場合に表示されます。

• map_name：ポリシー マップの名前
• connection_action：接続を破棄またはリセットします
• interface_type：インターフェイス タイプ（たとえば、DMZ または外部）
• IP_address：インターフェイスの IP アドレス
• port_num：ポート番号

推奨アクション match {request | response} header header_name length gt num コマンドを入力し、HTTP ヘッダー フィールド長を変更します。

エラー メッセージ %ASA-6-415003: HTTP - matched matched_string in policy-map map_name , body length exceeded connection_action from int_type :IP_address /port_num to int_type :IP_address /port_num

説明 メッセージ本体の長さがユーザ設定の長さを超えました。

• matched_string：次のいずれかの一致文字列

- クラス マップ ID とその後に続くクラス マップ名。この文字列は、ユーザ設定のクラス マップの場合に表示されます。

- このメッセージを発生させた実際の match コマンド。この文字列は、クラス マップが内部の場合に表示されます。

• map_name：ポリシー マップの名前
• connection_action：接続をドロップまたはリセットします
• interface_type：インターフェイス タイプ（たとえば、DMZ または外部）
• IP_address：インターフェイスの IP アドレス
• port_num：ポート番号

推奨アクション match {request | response} body length gt num コマンドを入力して、メッセージ本文の長さを変更します。

エラー メッセージ %ASA-5-415004: HTTP - matched matched_string in policy-map map_name , content-type verification failed connection_action from int_type :IP_address /port_num to int_type :IP_address /port_num

説明 HTTP メッセージ本体のマジック番号が、HTTP メッセージ ヘッダーの content-type フィールドに指定されている MIME タイプの正しいマジック番号ではありません。

• matched_string：次のいずれかの一致文字列

- クラス マップ ID とその後に続くクラス マップ名。この文字列は、ユーザ設定のクラス マップの場合に表示されます。

- このメッセージを発生させた実際の match コマンド。この文字列は、クラス マップが内部の場合に表示されます。

• map_name：ポリシー マップの名前
• connection_action：接続をドロップまたはリセットします
• interface_type：インターフェイス タイプ（たとえば、DMZ または外部）
• IP_address：インターフェイスの IP アドレス
• port_num：ポート番号

推奨アクション match {request | response} header content-type violation コマンドを入力して、問題を修正します。

エラー メッセージ %ASA-5-415005: HTTP - matched matched_string in policy-map map_name , URI length exceeded connection_action from int_type :IP_address /port_num to int_type :IP_address /port_num

説明 URI の長さがユーザ設定の長さを超えました。

• matched_string：次のいずれかの一致文字列

- クラス マップ ID とその後に続くクラス マップ名。この文字列は、ユーザ設定のクラス マップの場合に表示されます。

- このメッセージを発生させた実際の match コマンド。この文字列は、クラス マップが内部の場合に表示されます。

• map_name：ポリシー マップの名前
• connection_action：接続をドロップまたはリセットします
• interface_type：インターフェイス タイプ（たとえば、DMZ または外部）
• IP_address：インターフェイスの IP アドレス
• port_num：ポート番号

推奨アクション match request uri length gt num コマンドを入力して、URI の長さを変更します。

エラー メッセージ %ASA-5-415006: HTTP - matched matched_string in policy-map map_name , URI matched connection_action from int_type :IP_address /port_num to int_type :IP_address /port_num

説明 URI が、ユーザの設定した正規表現と一致しました。詳細については、match request uri regex {regex-name | class class-name} コマンドを参照してください。

• matched_string：次のいずれかの一致文字列

- クラス マップ ID とその後に続くクラス マップ名。この文字列は、ユーザ設定のクラス マップの場合に表示されます。

- このメッセージを発生させた実際の match コマンド。この文字列は、クラス マップが内部の場合に表示されます。

• map_name：ポリシー マップの名前
• connection_action：接続をドロップまたはリセットします
• interface_type：インターフェイス タイプ（たとえば、DMZ または外部）
• IP_address：インターフェイスの IP アドレス
• port_num：ポート番号

推奨アクション 不要。

エラー メッセージ %ASA-5-415007: HTTP - matched matched_string in policy-map map_name , Body matched connection_action from int_type :IP_address /port_num to int_type :IP_address /port_num

説明 メッセージ本文がユーザ設定の正規表現と一致しました。詳細については、match {request | response} body regex {regex-name | class class-name} コマンドを参照してください。

• matched_string：次のいずれかの一致文字列

- クラス マップ ID とその後に続くクラス マップ名。この文字列は、ユーザ設定のクラス マップの場合に表示されます。

- このメッセージを発生させた実際の match コマンド。この文字列は、クラス マップが内部の場合に表示されます。

• map_name：ポリシー マップの名前
• connection_action：接続をドロップまたはリセットします
• interface_type：インターフェイス タイプ（たとえば、DMZ または外部）
• IP_address：インターフェイスの IP アドレス
• port_num：ポート番号

推奨アクション 不要。

エラー メッセージ %ASA-5-415008: HTTP - matched matched_string in policy-map map_name , header matched connection_action from int_type :IP_address /port_num to int_type :IP_address /port_num

説明 メッセージ ヘッダーのユーザ指定フィールドの値がユーザ設定の正規表現と一致しました。詳細については、match {request | response } header header-field-name {regex-name | class class-name} コマンドを参照してください。

• matched_string：次のいずれかの一致文字列

- クラス マップ ID とその後に続くクラス マップ名。この文字列は、ユーザ設定のクラス マップの場合に表示されます。

- このメッセージを発生させた実際の match コマンド。この文字列は、クラス マップが内部の場合に表示されます。

• map_name：ポリシー マップの名前
• connection_action：接続をドロップまたはリセットします
• interface_type：インターフェイス タイプ（たとえば、DMZ または外部）
• IP_address：インターフェイスの IP アドレス
• port_num：ポート番号

推奨アクション 不要。

エラー メッセージ %ASA-5-415009: HTTP - matched matched_string in policy-map map_name , method matched connection_action from int_type :IP_address /port_num to int_type :IP_address /port_num

説明 HTTP メソッドがユーザ設定の正規表現と一致しました。詳細については、match request method {regex-name | class class-name} コマンドを参照してください。

• matched_string：次のいずれかの一致文字列

- クラス マップ ID とその後に続くクラス マップ名。この文字列は、ユーザ設定のクラス マップの場合に表示されます。

- このメッセージを発生させた実際の match コマンド。この文字列は、クラス マップが内部の場合に表示されます。

• map_name：ポリシー マップの名前
• connection_action：接続をドロップまたはリセットします
• interface_type：インターフェイス タイプ（たとえば、DMZ または外部）
• IP_address：インターフェイスの IP アドレス
• port_num：ポート番号

推奨アクション 不要。

エラー メッセージ %ASA-5-415010: matched matched_string in policy-map map_name , transfer encoding matched connection_action from int_type :IP_address /port_num to int_type :IP_address /port_num

説明 transfer encoding フィールドの値がユーザ設定の正規表現またはキーワードと一致しました。詳細については、match {request | response} header transfer-encoding {{regex-name | class class-name} | keyword} コマンドを参照してください。

• matched_string：次のいずれかの一致文字列

- クラス マップ ID とその後に続くクラス マップ名。この文字列は、ユーザ設定のクラス マップの場合に表示されます。

- このメッセージを発生させた実際の match コマンド。この文字列は、クラス マップが内部の場合に表示されます。

• map_name：ポリシー マップの名前
• connection_action：接続をドロップまたはリセットします
• interface_type：インターフェイス タイプ（たとえば、DMZ または外部）
• IP_address：インターフェイスの IP アドレス
• port_num：ポート番号

推奨アクション 不要。

エラー メッセージ %ASA-5-415011: HTTP - policy-map map_name :Protocol violation connection_action from int_type :IP_address /port_num to int_type :IP_address /port_num

説明 HTTP パーサーが、HTTP メッセージの最初の数バイト中に有効な HTTP メッセージを検出できません。

• map_name：ポリシー マップの名前
• connection_action：接続をドロップまたはリセットします
• interface_type：インターフェイス タイプ（たとえば、DMZ または外部）
• IP_address：インターフェイスの IP アドレス
• port_num：ポート番号

推奨アクション protocol-violation action {drop | reset} log コマンドを入力して問題を修正します。

エラー メッセージ %ASA-5-415012: HTTP - matched matched_string in policy-map map_name , Unknown mime-type connection_action from int_type :IP_address /port_num to int_type :IP_address /port_num

説明 content-type フィールドに、組み込み MIME タイプと一致する MIME タイプが含まれていませんでした。

• matched_string：次のいずれかの一致文字列

- クラス マップ ID とその後に続くクラス マップ名。この文字列は、ユーザ設定のクラス マップの場合に表示されます。

- このメッセージを発生させた実際の match コマンド。この文字列は、クラス マップが内部の場合に表示されます。

• map_name：ポリシー マップの名前
• connection_action：接続をドロップまたはリセットします
• interface_type：インターフェイス タイプ（たとえば、DMZ または外部）
• IP_address：インターフェイスの IP アドレス
• port_num：ポート番号

推奨アクション match {request | response} header content-type unknown コマンドを入力して、問題を修正します。

エラー メッセージ %ASA-5-415013: HTTP - policy-map map-name :Malformed chunked encoding connection_action from int_type :IP_address /port_num to int_type :IP_address /port_num

説明 チャンク符号化の形式が誤っているために HTTP メッセージを解析できません。また、protocol-violation コマンドのロギングが設定されています。

• map-name：ポリシー マップの名前
• connection_action：接続をドロップまたはリセットします
• interface_type：インターフェイス タイプ（たとえば、DMZ または外部）
• IP_address：インターフェイスの IP アドレス
• port_num：ポート番号

推奨アクション protocol-violation action {drop | reset} log コマンドを入力して問題を修正します。

エラー メッセージ %ASA-5-415014: HTTP - matched matched_string in policy-map map_name , Mime-type in response wasn't found in the accept-types of the request connection_action from int_type :IP_address /port_num to int_type :IP_address /port_num

説明 HTTP 応答の MIME タイプが、要求の accept フィールドに存在していませんでした。

• matched_string：次のいずれかの一致文字列

- クラス マップ ID とその後に続くクラス マップ名。この文字列は、ユーザ設定のクラス マップの場合に表示されます。

- このメッセージを発生させた実際の match コマンド。この文字列は、クラス マップが内部の場合に表示されます。

• map_name：ポリシー マップの名前
• connection_action：接続をドロップまたはリセットします
• interface_type：インターフェイス タイプ（たとえば、DMZ または外部）
• IP_address：インターフェイスの IP アドレス
• port_num：ポート番号

推奨アクション match req-resp content-type mismatch コマンドを入力して、問題を修正します。

エラー メッセージ %ASA-5-415015: HTTP - matched matched_string in policy-map map_name , transfer-encoding unknown connection_action from int_type :IP_address /port_num to int_type :IP_address /port_num

説明 空の転送符号化が行われました。

• matched_string：次のいずれかの一致文字列

- クラス マップ ID とその後に続くクラス マップ名。この文字列は、ユーザ設定のクラス マップの場合に表示されます。

- このメッセージを発生させた実際の match コマンド。この文字列は、クラス マップが内部の場合に表示されます。

• map_name：ポリシー マップの名前
• connection_action：接続をドロップまたはリセットします
• interface_type：インターフェイス タイプ（たとえば、DMZ または外部）
• IP_address：インターフェイスの IP アドレス
• port_num：ポート番号

推奨アクション match {request | response} header transfer-encoding empty コマンドを入力して、問題を修正します。

エラー メッセージ %ASA-4-415016: policy-map map_name :Maximum number of unanswered HTTP requests exceeded connection_action from int_type :IP_address /port_num to int_type :IP_address /port_num

説明 応答のない HTTP 要求の数が、内部で許可されている要求数を超えました。

• map_name：ポリシー マップの名前
• connection_action：接続をドロップまたはリセットします
• interface_type：インターフェイス タイプ（たとえば、DMZ または外部）
• IP_address：インターフェイスの IP アドレス
• port_num：ポート番号

推奨アクション protocol-violation action {drop | reset} log コマンドを入力して問題を修正します。

エラー メッセージ %ASA-6-415017: HTTP - matched_string in policy-map map_name , arguments matched connection_action from int_type :IP_address /port_num to int_type :IP_address /port_num

説明 引数のパターンがユーザ設定の正規表現またはキーワードと一致しています。詳細については、match request args regex {regex-name | class class-name} コマンドを参照してください。

• matched_string：次のいずれかの一致文字列

- クラス マップ ID とその後に続くクラス マップ名。この文字列は、ユーザ設定のクラス マップの場合に表示されます。

- このメッセージを発生させた実際の match コマンド。この文字列は、クラス マップが内部の場合に表示されます。

• map_name：ポリシー マップの名前
• connection_action：接続をドロップまたはリセットします
• interface_type：インターフェイス タイプ（たとえば、DMZ または外部）
• IP_address：インターフェイスの IP アドレス
• port_num：ポート番号

推奨アクション 不要。

エラー メッセージ %ASA-5-415018: HTTP - matched matched_string in policy-map map_name , Header length exceeded connection_action from int_type :IP_address /port_num to int_type :IP_address /port_num

説明 ヘッダーの全長がユーザ設定のヘッダー長を超えました。

• matched_string：次のいずれかの一致文字列

- クラス マップ ID とその後に続くクラス マップ名。この文字列は、ユーザ設定のクラス マップの場合に表示されます。

- このメッセージを発生させた実際の match コマンド。この文字列は、クラス マップが内部の場合に表示されます。

• map_name：ポリシー マップの名前
• connection_action：接続をドロップまたはリセットします
• interface_type：インターフェイス タイプ（たとえば、DMZ または外部）
• IP_address：インターフェイスの IP アドレス
• port_num：ポート番号

推奨アクション match {request | response} header length gt num コマンドを入力して、ヘッダー長を短くします。

エラー メッセージ %ASA-5-415019: HTTP - matched matched_string in policy-map map_name , status line matched connection_action from int_type :IP_address /port_num to int_type :IP_address /port_num

説明 応答のステータス行がユーザ設定の正規表現と一致しました。詳細については、match response status-line regex {regex-name | class class-name} コマンドを参照してください。

• matched_string：次のいずれかの一致文字列

- クラス マップ ID とその後に続くクラス マップ名。この文字列は、ユーザ設定のクラス マップの場合に表示されます。

- このメッセージを発生させた実際の match コマンド。この文字列は、クラス マップが内部の場合に表示されます。

• map_name：ポリシー マップの名前
• connection_action：接続をドロップまたはリセットします
• interface_type：インターフェイス タイプ（たとえば、DMZ または外部）
• IP_address：インターフェイスの IP アドレス
• port_num：ポート番号

推奨アクション 不要。

エラー メッセージ %ASA-5-415020: HTTP - matched matched_string in policy-map map_name , a non-ASCII character was matched connection_action from int_type :IP_address /port_num to int_type :IP_address /port_num

説明 非 ASCII 文字が見つかりました。

• matched_string：次のいずれかの一致文字列

- クラス マップ ID とその後に続くクラス マップ名。この文字列は、ユーザ設定のクラス マップの場合に表示されます。

- このメッセージを発生させた実際の match コマンド。この文字列は、クラス マップが内部の場合に表示されます。

• map_name：ポリシー マップの名前
• connection_action：接続をドロップまたはリセットします
• interface_type：インターフェイス タイプ（たとえば、DMZ または外部）
• IP_address：インターフェイスの IP アドレス
• port_num：ポート番号

推奨アクション match {request | response} header non-ascii コマンドを入力して、問題を修正します。

エラー メッセージ %ASA-4-416001: Dropped UDP SNMP packet from source_interface :source_IP /source_port to dest_interface :dest_address /dest_port ; version (prot_version ) is not allowed through the firewall

説明 SNMP パケットは、不良パケット フォーマットのために、または ASA の通過を許可されていない prot_version のために、ASA の通過を拒否されました。prot_version パラメータの値は、1、2、2c、または 3 のうちのいずれかです。

推奨アクション snmp-map コマンドを使用して、SNMP 検査の設定を変更します。このコマンドを使用すると、ユーザが特定のプロトコル バージョンを許可または拒否できます。

エラー メッセージ %ASA-4-417001: Unexpected event received: number

説明 プロセスで信号を受信しましたが、イベントのハンドラが見つかりませんでした。

推奨アクション 問題が解決しない場合は、Cisco TAC にお問い合わせください。

エラー メッセージ %ASA-4-417004: Filter violation error: conn number (string :string ) in string

説明 クライアントが、所有していないルート属性を修正しようとしました。

推奨アクション 問題が解決しない場合は、Cisco TAC にお問い合わせください。

エラー メッセージ %ASA-4-417006: No memory for string ) in string .Handling: string

説明 メモリ不足のために動作が失敗しましたが、別のメカニズムで処理されます。

推奨アクション 問題が解決しない場合は、Cisco TAC にお問い合わせください。

エラー メッセージ %ASA-4-418001: Through-the-device packet to/from management-only network is denied: protocol_string from interface_name IP_address (port) [([idfw_user |FQDN_string ], sg_info )] to interface_name IP_address (port) [(idfw_user |FQDN_string ), sg_info ]

説明 指摘された送信元から宛先へのパケットが、ASA と管理専用ネットワークとの間を経由していたために廃棄されました。

• protocol_string：TCP、UDP、ICMP、または 10 進数のプロトコル ID
• interface_name：インターフェイス名
• IP_address：IP アドレス
• port：ポート番号
• sg_info：指定した IP アドレスのセキュリティ グループ名またはタグ

推奨アクション このようなパケットを生成している個人と理由を特定します。

エラー メッセージ %ASA-3-418018: neighbor IP_Address Down User reset OR %ASA-3-418018: neighbor IP_Address IPv4 Unicast topology base removed from session User reset OR %ASA-3-418018: neighbor IP_Address Up OR %ASA-3-418018: neighbor IP_Address IPv4 Unicast topology base removed from session BGP Notification sent

説明 BGP ピアリングの異なる状態、およびピアリングの状態遷移の結果として生じたトポロジ DB 上の変更通知。

推奨アクション 不要。

エラー メッセージ %ASA-3-418019: sent to neighbor IP_Address, Reason: reason, Bytes: count

推奨アクション 不要。

エラー メッセージ %ASA-3-418040: unsupported or mal-formatted message received from IP_Address

説明 BGP ハンドシェイク中に、サポートされていないか、または形式が誤っているメッセージを受信したことを示します。必ずしもグレースフル リスタートのみに関連しているとは限りません。

推奨アクション 不要。

エラー メッセージ %ASA-4-419001: Dropping TCP packet from src_ifc :src_IP /src_port to dest_ifc :dest_IP /dest_port , reason : MSS exceeded, MSS size , data size

説明 TCP パケットの長さが 3 ウェイ ハンドシェイクでアドバタイズされた MSS を超えました。

• >src_ifc：入力インターフェイス名
• >src_IP：パケットの送信元 IP アドレス
• >src_port：パケットの送信元ポート
• >dest_ifc：出力インターフェイス名
• >dest_IP：パケットの宛先 IP アドレス
• >dest_port：パケットの宛先ポート

推奨アクション MSS を超えるパケットを許可する必要がある場合は、exceed-mss コマンドを使用して TCP マップを作成します。次に例を示します。

ciscoasa# access-list http-list permit tcp any host server_ip eq 80
ciscoasa# class-map http
 ciscoasa# match access-list http-list
 ciscoasa# tcp-map tmap
ciscoasa# exceed-mss allow
ciscoasa# policy-map global_policy
ciscoasa# class http
ciscoasa# set connection advanced-options tmap

エラー メッセージ %ASA-4-419002: Received duplicate TCP SYN from in_interface :src_address /src_port to out_interface :dest_address /dest_port with different initial sequence number.

説明 3 ウェイ ハンドシェイク中に、初期接続を開いた SYN とは異なる初期シーケンス番号を持つ重複 TCP SYN を受信しました。これは、SYN がスプーフィングされていることを示している可能性があります。このメッセージは、リリース 7.0.4.1 以降で表示されます。

• in_interface：入力インターフェイス
• src_address：パケットの送信元 IP アドレス
• src_port：パケットの送信元ポート
• out_interface：出力インターフェイス
• dest_address：パケットの宛先 IP アドレス
• dest_port：パケットの宛先ポート

推奨アクション 不要。

エラー メッセージ %ASA-4-419003: Cleared TCP urgent flag from out_ifc :src_ip /src_port to in_ifc :dest_ip /dest_port.

説明 3 ウェイ ハンドシェイク中に、初期接続を開いた SYN とは異なる初期シーケンス番号を持つ重複 TCP SYN を受信しました。これは、SYN がスプーフィングされていることを示している可能性があります。このメッセージは、リリース 7.0.4.1 以降で表示されます。

• in_ifc：入力インターフェイス
• src_ip：パケットの送信元 IP アドレス
• src_port：パケットの送信元ポート
• out_ifc：出力インターフェイス
• dest_ip：パケットの宛先 IP アドレス
• dest_port：パケットの宛先ポート

推奨アクション TCP ヘッダー内の緊急フラグを保持する必要がある場合は、TCP マップ コンフィギュレーション モードで urgent-flag allow コマンドを使用します。

エラー メッセージ %ASA-7-419003: Cleared TCP urgent flag.

説明 この syslog は、TCP パケットの緊急フラグまたは緊急ポインタがクリアされると表示されます。これは、ユーザ コンフィギュレーション（tcp-map）が原因で生じるか、または TCP パケットに緊急ポインタの値は設定されているが緊急フラグは設定されていない場合に生じることがあります。

推奨アクション tcp-map コンフィギュレーションで、緊急フラグをクリアするように設定されているかどうか確認します。

エラー メッセージ %ASA-3-420001: IPS card not up and fail-close mode used, dropping ICMP packet ifc_in :SIP to ifc_out :DIP (type ICMP_TYPE , code ICMP_CODE )

次に例を示します。

%ASA-3-420001: IPS card not up and fail-close mode used, dropping TCP packet from >ifc_in
:>SIP
/>SPORT
 to >ifc_out
:>DIP
/>DPORT
%ASA-3-420001: IPS card not up and fail-close mode used, dropping UDP packet from >ifc_in
:>SIP
/>SPORT
 to >ifc_out
:>DIP
/>DPORT
%ASA-3-420001: IPS card not up and fail-close mode used, dropping protocol >protocol
 packet from >ifc_in
:>SIP
 to >ifc_out
:>DIP

説明 IPS フェールクローズ モードが使用されており、IPS カードが動作していない場合に、パケットが廃棄されます。このメッセージは表示が制限されています。

• ifc_in：入力インターフェイス名
• ifc_out：出力インターフェイス名
• SIP：パケットの送信元 IP
• SPORT：パケットの送信元ポート
• DIP：パケットの宛先 IP
• DPORT：パケットの宛先ポート
• ICMP_TYPE：ICMP パケットのタイプ
• ICMP_CODE：ICMP パケットのコード

推奨アクション IPS カードを動作させます。

エラー メッセージ %ASA-4-420002: IPS requested to drop ICMP packets ifc_in :SIP to ifc_out :DIP (type ICMP_TYPE , code ICMP_CODE )

次に例を示します。

%ASA-4-420002: IPS requested to drop TCP packet from ifc_in:SIP/SPORT to ifc_out:DIP/DPORT
%ASA-4-420002: IPS requested to drop UDP packet from ifc_in:SIP/SPORT to ifc_out:DIP/DPORT
%ASA-4-420002: IPS requested to drop protocol packet from ifc_in:SIP to ifc_out:DIP

説明 IPS がパケットを廃棄するよう要求しました。

• ifc_in：入力インターフェイス名
• ifc_out：出力インターフェイス名
• SIP：パケットの送信元 IP
• SPORT：パケットの送信元ポート
• DIP：パケットの宛先 IP
• DPORT：パケットの宛先ポート
• ICMP_TYPE：ICMP パケットのタイプ
• ICMP_CODE：ICMP パケットのコード

推奨アクション 不要。

エラー メッセージ %ASA-4-420003: IPS requested to reset TCP connection from ifc_in :SIP /SPORT to ifc_out :DIP /DPORT

説明 IPS は、TCP 接続のリセットを要求しました。

• ifc_in：入力インターフェイス名
• ifc_out：出力インターフェイス名
• SIP：パケットの送信元 IP
• SPORT：パケットの送信元ポート
• DIP：パケットの宛先 IP
• DPORT：パケットの宛先ポート

推奨アクション 不要。

エラー メッセージ %ASA-6-420004: Virtual Sensor sensor_name was added on the AIP SSM

説明 AIP SSM カードに仮想センサーが追加されました。

• n：カード番号

推奨アクション 不要。

エラー メッセージ %ASA-6-420005: Virtual Sensor sensor_name was deleted from the AIP SSM

説明 AIP SSM カードから仮想センサーが削除されました。

• n：カード番号

推奨アクション 不要。

エラー メッセージ %ASA-3-420006: Virtual Sensor not present and fail-close mode used, dropping protocol packet from ifc_in:SIP/SPORT to ifc_out:DIP/DPORT

説明 IPS フェールクローズ モードが使用されており、パケット用の仮想センサーが存在しない場合に、パケットが廃棄されます。

• protocol：パケットの送信に使用されるプロトコル
• ifc_in：入力インターフェイス名
• ifc_out：出力インターフェイス名
• SIP：パケットの送信元 IP アドレス
• SPORT：パケットの送信元ポート
• DIP：パケットの宛先 IP アドレス
• DPORT：パケットの宛先ポート

推奨アクション 仮想センサーを追加します。

エラー メッセージ%ASA-4-420007: application-string cannot be enabled for the module in slot slot_id .The module’s current software version does not support this feature.Please upgrade the software on the module in slot slot_id to support this feature.Received backplane header version version_number , required backplane header version version_number or higher.

説明 このメッセージは、対応するソフトウェア バージョンが SSM または SSC ハードウェア モジュールに必要な、ASA の新機能によって生成されます。このメッセージは、ASA モジュール マネージャが SSM または SSC ハードウェア モジュールで状態変化を検出するたびに送信されます。

• application-string：アプリケーション名（たとえば、Promiscuous IDS）
• slot_id：モジュール識別子。現在の ASA では 1
• version_number：ASA および IPS アプリケーション間のメッセージ ヘッダーのバージョン番号

推奨アクション 指摘されたアプリケーションをサポートする正しいソフトウェア イメージを使用して SSM または SSC のハードウェア モジュールをロードします。

エラー メッセージ %ASA-3-420008: IPS module license disabled and fail-close mode used, dropping packet.

説明 IPS モジュール ライセンスがディセーブルの状態でフェールクローズ モードが設定されていると、その IPS モジュールを宛先とするすべてのトラフィックが廃棄されます。ライセンスのステータスを確認するには、show activation-key コマンドを使用します。

推奨アクション activation-key コマンドを使用して、IPS ライセンスがイネーブルになっているアクティベーション キーを適用します。

エラー メッセージ %ASA-3-421001: TCP|UDP flow from interface_name :IP_address/port to interface_name :IP_address /port is dropped because application has failed.

説明 CSC SSM アプリケーションに障害が発生したため、パケットが廃棄されました。デフォルトでは、このメッセージは 10 秒に 1 回しか表示されないように制限されています。

• interface_name：インターフェイス名
• IP_address：IP アドレス
• port：ポート番号
• application：CSC SSM（現在のリリースでサポートされているのはこのアプリケーションだけです）

推奨アクション サービス モジュールで問題を特定します。

エラー メッセージ %ASA-6-421002: TCP|UDP flow from interface_name :IP_address /port to interface_name :IP_address /port bypassed application checking because the protocol is not supported.

説明 接続に使用されているプロトコルをサービス モジュールがスキャンできないため、接続はサービス モジュールのセキュリティ チェックをバイパスしました。たとえば、CSC SSM は Telnet トラフィックをスキャンできません。ユーザが Telnet トラフィックのスキャンを設定した場合、トラフィックはスキャン サービスをバイパスします。デフォルトでは、このメッセージは 10 秒に 1 回しか表示されないように制限されています。

• IP_address：IP アドレス
• port：ポート番号
• interface_name：ポリシーが適用されているインターフェイスの名前
• application：CSC SSM（現在のリリースでサポートされているのはこのアプリケーションだけです）

推奨アクション サービス モジュールがサポートしているプロトコルだけを含めるように、コンフィギュレーションを修正する必要があります。

エラー メッセージ %ASA-3-421003: Invalid data plane encapsulation.

説明 サービス モジュールによって挿入されたパケットが、正しいデータ プレーン ヘッダーを持っていませんでした。データ バックプレーンで交換されるパケットは、ASDP と呼ばれるシスコ独自のプロトコルに準拠しています。適切な ASDP ヘッダーを持たないパケットは、すべて廃棄されます。

推奨アクション capture name type asp-drop [ssm-asdp-invalid-encap] コマンドを使用して攻撃パケットを取り込み、Cisco TAC にお問い合わせください。

エラー メッセージ %ASA-7-421004: Failed to inject {TCP|UDP} packet from IP_address /port to IP_address /port

説明 ASA がサービス モジュールの指示どおりにパケットを挿入できませんでした。これは、ASA がすでに解放されているフローにパケットを挿入しようとした場合や、ASA がサービス モジュールとは独立して接続テーブルを維持している場合に発生する可能性があります。通常は、これによって問題が生じることはありません。

• IP_address：IP アドレス
• port：ポート番号

推奨アクション ASA のパフォーマンスに影響を及ぼす場合、または問題が解決しない場合は、Cisco TAC にお問い合わせください。

エラー メッセージ %ASA-6-421005: interface_name :IP_address is counted as a user of application

説明 ホストがライセンス制限の対象と見なされています。指摘されたホストが、application のユーザと見なされました。ライセンス検証のために、24 時間のユーザの総数が午前 0 時に計算されます。

• interface_name：インターフェイス名
• IP_address：IP アドレス
• application：CSC SSM

推奨アクション 不要。ただし、全体の数が、購入したユーザ ライセンスを超える場合は、Cisco TAC に連絡してライセンスをアップグレードしてください。

エラー メッセージ %ASA-6-421006: There are number users of application accounted during the past 24 hours.

説明 過去 24 時間にアプリケーションを使用したユーザの総数が認識されました。このメッセージは 24 時間ごとに生成され、サービス モジュールによって提供されたサービスを使用したホストの総数を示します。

• application：CSC SSM

推奨アクション 不要。ただし、全体の数が、購入したユーザ ライセンスを超える場合は、Cisco TAC に連絡してライセンスをアップグレードしてください。

エラー メッセージ %ASA-3-421007: TCP|UDP flow from interface_name :IP_address /port to interface_name :IP_address /port is skipped because application has failed.

説明 サービス モジュールのアプリケーションに障害が発生したためにフローがスキップされました。デフォルトでは、このメッセージは 10 秒に 1 回しか表示されないように制限されています。

• IP_address：IP アドレス
• port：ポート番号
• interface_name：ポリシーが適用されているインターフェイスの名前
• application：CSC SSM

推奨アクション サービス モジュールで問題を特定します。

エラー メッセージ%ASA-4-422004: IP SLA Monitor number0 : Duplicate event received.Event number number1

説明 IP SLA モニタ プロセスが、重複したイベントを受信しました。現在、このメッセージは破棄イベントに適用されます。1 つの破棄要求だけが適用されます。これは警告専用メッセージです。

• number0：SLA 動作番号
• number1：SLA 動作のイベント ID

推奨アクション このメッセージが繰り返し表示される場合は、show sla monitor configuration SLA_operation_id コマンドを入力して、コマンドの出力をコピーします。コンソールまたはシステム ログに表示されるメッセージをそのままコピーします。その後 Cisco TAC にお問い合わせのうえ、収集した情報と、SLA プローブを設定およびポーリングしているアプリケーションに関する情報を TAC の担当者にご提供ください。

エラー メッセージ %ASA-4-422005: IP SLA Monitor Probe(s) could not be scheduled because clock is not set.

説明 システム クロックが設定されていなかったため、1 つまたは複数の IP SLA モニタ プローブをスケジュールできません。

推奨アクション システム クロックが NTP または別のメカニズムを使用して機能できることを確認します。

エラー メッセージ %ASA-4-422006: IP SLA Monitor Probe number : string

説明 IP SLA モニタ プローブをスケジュールできません。設定された開始時刻がすでに過ぎてしまっているか、開始時刻が無効です。

• number：SLA 動作 ID
• string：エラーを説明する文字列

推奨アクション 有効な開始時刻を持つ失敗したプローブを再度スケジュールします。

エラー メッセージ %ASA-4-423001: {Allowed | Dropped} invalid NBNS pkt_type_name with error_reason_str from ifc_name :ip_address /port to ifc_name :ip_address /port .

説明 NBNS パケットの形式が誤っています。

推奨アクション 不要。

エラー メッセージ %ASA-4-423002: {Allowed | Dropped} mismatched NBNS pkt_type_name with error_reason_str from ifc_name :ip_address /port to ifc_name :ip_address /port .

説明 NBNS ID のミスマッチが発生しました。

推奨アクション 不要。

エラー メッセージ %ASA-4-423003: {Allowed | Dropped} invalid NBDGM pkt_type_name with error_reason_str from ifc_name :ip_address /port to ifc_name :ip_address /port .

説明 NBDGM パケットの形式が誤っています。

推奨アクション 不要。

エラー メッセージ %ASA-4-423004: {Allowed | Dropped} mismatched NBDGM pkt_type_name with error_reason_str from ifc_name :ip_address /port to ifc_name :ip_address /port .

説明 NBDGM ID のミスマッチが発生しました。

推奨アクション 不要。

エラー メッセージ %ASA-4-423005: {Allowed | Dropped} NBDGM pkt_type_name fragment with error_reason_str from ifc_name :ip_address /port to ifc_name :ip_address /port .

説明 NBDGM フラグメントの形式が誤っています。

推奨アクション 不要。

エラー メッセージ%ASA-4-424001: Packet denied protocol_string intf_in :src_ip /src_port [([idfw_user | FQDN_string ], sg_info )] intf_out :dst_ip /dst_port [([idfw_user | FQDN_string ], sg_info )].[Ingress|Egress] interface is in a backup state.

説明 パケットが、ASA と冗長インターフェイスとの間を経由しているために廃棄されました。ローエンド プラットフォームでは、インターフェイス機能が制限されます。backup interface コマンドで指定されているインターフェイスは、設定されているプライマリ インターフェイスのバックアップになることしかできません。プライマリ インターフェイスへのデフォルト ルートがアップしている場合は、バックアップ インターフェイスからの ASA 経由トラフィックはすべて拒否されます。逆に、プライマリ インターフェイスへのデフォルト ルートがダウンしている場合は、プライマリ インターフェイスからの ASA 経由トラフィックが拒否されます。

• protocol_string：プロトコル文字列（たとえば、TCP または 10 進数のプロトコル ID）
• intf_in：入力インターフェイス名
• src_ip：パケットの送信元 IP アドレス
• src_port：パケットの送信元ポート
• intf_out：出力インターフェイス名
• dst_ip：パケットの宛先 IP アドレス
• dst_port：パケットの宛先ポート
• sg_info：指定した IP アドレスのセキュリティ グループ名またはタグ

推奨アクション 拒否されたパケットの送信元を特定します。

エラー メッセージ %ASA-4-424002: Connection to the backup interface is denied: protocol_string intf :src_ip /src_port intf :dst_ip /dst_port

説明 接続がバックアップ状態であったために、その接続が廃棄されました。ローエンド プラットフォームでは、インターフェイス機能が制限されます。バックアップ インターフェイスは、backup interface コマンドで指定されているプライマリ インターフェイスのバックアップになることしかできません。プライマリ インターフェイスへのデフォルト ルートがアップしている場合は、バックアップ インターフェイス経由のASAへの接続はすべて拒否されます。逆に、プライマリ インターフェイスへのデフォルト ルートがダウンしている場合は、プライマリ インターフェイス経由のASAへの接続が拒否されます。

• protocol_string：プロトコル文字列（たとえば、TCP または 10 進数のプロトコル ID）
• intf_in：入力インターフェイス名
• src_ip：パケットの送信元 IP アドレス
• src_port：パケットの送信元ポート
• intf_out：出力インターフェイス名
• dst_ip：パケットの宛先 IP アドレス
• dst_port：パケットの宛先ポート

推奨アクション 拒否されたパケットの送信元を特定します。

エラー メッセージ %ASA-6-425001 Redundant interface redundant _interface_name created.

説明 指摘された冗長インターフェイスがコンフィギュレーションに作成されました。

• redundant_interface_name：冗長インターフェイス名

推奨アクション 不要。

エラー メッセージ %ASA-6-425002 Redundant interface redundant _interface_name removed.

説明 指摘された冗長インターフェイスがコンフィギュレーションから削除されました。

• redundant_interface_name：冗長インターフェイス名

推奨アクション 不要。

エラー メッセージ %ASA-6-425003 Interface interface_name added into redundant interface redundant _interface_name .

説明 指摘された物理インターフェイスがメンバー インターフェイスとして、指摘された冗長インターフェイスに追加されました。

• interface_name：インターフェイス名
• redundant_interface_name：冗長インターフェイス名

推奨アクション 不要。

エラー メッセージ %ASA-6-425004 Interface interface_name removed from redundant interface redundant _interface_name .

説明 指摘された冗長インターフェイスが、指摘された冗長インターフェイスから削除されました。

• interface_name：インターフェイス名
• redundant_interface_name：冗長インターフェイス名

推奨アクション 不要。

エラー メッセージ %ASA-5-425005 Interface interface_name become active in redundant interface redundant _interface_name

説明 冗長インターフェイスでは、1 つのメンバー インターフェイスがアクティブなメンバーとなります。トラフィックは、アクティブなメンバー インターフェイスだけを通過します。指摘された物理インターフェイスが、指摘された冗長インターフェイスのアクティブなメンバーになりました。次のいずれかが当てはまる場合、メンバー インターフェイスの切り替えが行われます。

• • redundant-interface interface-name active-member interface-name コマンドが実行された。
  • スタンバイ メンバー インターフェイスがアップ状態であるときに、アクティブなメンバー インターフェイスがダウンした。
  • アクティブなメンバー インターフェイスがダウン状態のままであるときに、スタンバイ メンバー インターフェイスが（ダウンから）アップ状態になった。
• interface_name：インターフェイス名
• redundant_interface_name：冗長インターフェイス名

推奨アクション メンバー インターフェイスのステータスを確認します。

エラー メッセージ %ASA-3-425006 Redundant interface redundant _interface_name switch active member to interface_name failed.

説明 メンバー インターフェイスの切り替えが試行されたときにエラーが発生しました。

• redundant_interface_name：冗長インターフェイス名
• interface_name：インターフェイス名

推奨アクション 問題が解決しない場合は、Cisco TAC にお問い合わせください。

エラー メッセージ %ASA-6-426001: PORT-CHANNEL:Interface ifc_name bundled into EtherChannel interface Port-channel num

説明 interface port-channel num または channel-group num mode mode コマンドが存在しないポート チャネルに対して使用されました。

• ifc_name：EtherChannel インターフェイス名
• num：ポート チャネル番号

推奨アクション 不要。

エラー メッセージ %ASA-6-426002: PORT-CHANNEL:Interface ifc_name unbundled from EtherChannel interface Port-channel num

説明 no interface port-channel num コマンドが使用されました。

• ifc_name：EtherChannel インターフェイス名
• num：ポート チャネル番号

推奨アクション 不要。

エラー メッセージ %ASA-6-426003: PORT-CHANNEL:Interface ifc_name1 has become standby in EtherChannel interface Port-channel num

説明 channel-group num mode mode コマンドが使用されました。

• ifc_name1：EtherChannel インターフェイス名
• num：ポート チャネル番号

推奨アクション 不要。

エラー メッセージ %ASA-4-426004: PORT-CHANNEL: Interface ifc_name1 is not compatible with ifc_name and will be suspended (speed of ifc_name1 is X Mbps, Y is 1000 Mbps).

エラー メッセージ %ASA-4-426004: Interface ifc_name1 is not compatible with ifc_name1 and will be suspended (ifc_name1 is Full-duplex, ifc_name1 is Half-duplex)

説明 channel-group num mode mode コマンドが物理インターフェイスに対して実行され、この物理インターフェイスとポート チャネルの速度またはデュプレックスに不一致があります。

• ifc_name：ポート チャネルに追加しようとしているインターフェイス
• ifc name1：ポート チャネル中にすでに存在しバンドル状態になっているインターフェイス

推奨アクション 次のいずれかを実行します。

• 物理インターフェイスの速度をポート チャネルの速度に変更し、channel-group num mode mode コマンドを再実行します。
• メンバー インターフェイスを中断状態のままにします。最後のアクティブ メンバを削除すると、そのメンバは中断されたメンバ上で LACP を再確立しようとします。

エラー メッセージ %ASA-6-426101: PORT-CHANNEL:Interface ifc_name is allowed to bundle into EtherChannel interface port-channel id by CLACP

説明 ポートが span-cluster チャネル グループにバンドルされています。

推奨アクション 不要。

エラー メッセージ %ASA-6-426102: PORT-CHANNEL:Interface ifc_name is moved to standby in EtherChannel interface port-channel id by CLACP

説明 ポートが span-cluster チャネル グループでホット スタンバイ状態に移行しました。

推奨アクション 不要。

エラー メッセージ %ASA-6-426103: PORT-CHANNEL:Interface ifc_name is selected to move from standby to bundle in EtherChannel interface port-channel id by CLACP

説明 スタンバイ ポートが span-cluster チャネル グループでバンドル状態への移行対象として選択されました。

推奨アクション 不要。

エラー メッセージ %ASA-6-426104: PORT-CHANNEL:Interface ifc_name is unselected in EtherChannel interface port-channel id by CLACP

説明 他のポートをバンドルするための領域を取得するために、バンドル ポートが span-cluster チャネル グループでバンドル解除されました。

推奨アクション 不要。

エラー メッセージ %ASA-6-428002: WAAS confirmed from in_interface :src_ip_addr/src_port to out_interface :dest_ip_addr/dest_port , inspection services bypassed on this connection.

説明 接続で WAAS 最適化が検出されました。WAAS 最適化接続では、すべてのレイヤ 7 検査サービス（IPS を含む）がバイパスされます。

推奨アクション ネットワークに WAE デバイスが含まれている場合、処置は不要です。それ以外の場合、ネットワーク管理者は、この接続での WAAS オプションの使用を調査する必要があります。

エラー メッセージ%ASA-3-429001: CXSC card not up and fail-close mode used.Dropping protocol packet from interface_name :ip_address /port to interface_name :ip_address /port

説明 SSP がダウンしている状態で、fail-close ポリシーが適用されているため、データが廃棄されました。

推奨アクション サービス モジュールの状態を検査し、必要があれば Cisco TAC に問い合わせてサポートを受けてください。

エラー メッセージ %ASA-4-429002: CXSC service card requested to drop protocol packet from interface_name :ip_address /port to interface_name :ip_address /port

説明 CXSC SSP によって、ASA で接続パケットをドロップするよう要求されました。

推奨アクション なし。

エラー メッセージ %ASA-4-429003: CXSC service card requested to reset TCP connection from interface_name :ip_addr /port to interface_name :ip_addr /port

説明 CXSC SSP によって、ASA で TCP 接続をリセットするよう要求されました。

推奨アクション 不要。

エラー メッセージ %ASA-3-429004: Unable to set up authentication-proxy rule for the cx action on interface interface_name for policy_type service-policy.

説明 メモリ不足などの内部エラーが原因で、ASA は認証プロキシの to-the-box ルールを CXSC アクションに設定できませんでした。

推奨アクション このエラーは発生してはならないものです。Cisco TAC に連絡して、サポートを受けてください。

エラー メッセージ %ASA-6-429005: Set up authentication-proxy protocol_type rule for the CXSC action on interface interface_name for traffic destined to ip_address /port for policy_type service-policy.

説明 ASA は正常に認証プロキシの to-the-box ルールを CXSC アクションに設定しました。

推奨アクション なし。

エラー メッセージ %ASA-6-429006: Cleaned up authentication-proxy rule for the CXSC action on interface interface_name for traffic destined to ip_address for policy_type service-policy.

説明 ASA は正常に認証プロキシの to-the-box ルールを CXSC アクションから解除しました。

推奨アクション なし。

エラー メッセージ %ASA-4-429007: CXSC redirect will override Scansafe redirect for flow from interface_name :ip_address /port to interface_name :ip_address /port with username

説明 フローが CXSC と Scansafe の両方のリダイレクトに一致します。このメッセージは表示されるフローで CXSC リダイレクトが Scansafe リダイレクトをオーバーライドすることを示します。

推奨アクション このような動作を望まない場合は、ポリシーを再設定して、CXSC リダイレクトと Scansafe リダイレクトが同じフローで重複しないようにします。

エラー メッセージ %ASA-4-429008: Unable to respond to VPN query from CX for session 0x%x .Reason %s

説明 CX は VPN セッション クエリを ASA に送信しましたが、無効なセッション ID または別の理由により応答しませんでした。妥当な原因には次のいずれかが考えられます。

• TLV の長さが無効である
• TLV のメモリ割り当てに失敗した
• VPN セッション クエリ メッセージのエンキューに失敗した
• VPN セッション ID が無効である

推奨アクション 不要。

エラー メッセージ %ASA-5-4302310: SCTP packet received from src_ifc:src_ip/src_port to dst_ifc:dst_ip/dst_port contains unsupported Hostname Parameter.

説明 init/init-ack パケットは、当該の hostname パラメータとともに受信されています。

• packet init/init-ack：hostname パラメータを含んでいるメッセージ
• src-ifc：入力インターフェイスを示す
• src-ip/src-port：パケットの送信元 IP とポートを示す
• dst-ifc：出力インターフェイスを示す
• dst_ip/dst_port：パケットの宛先 IP とポートを示す

推奨アクション ホスト名ではなく、エンドポイントの実際の IP アドレスを使用します。hostname パラメータをディセーブルにします。

エラー メッセージ %ASA-4-431001: RTP conformance: Dropping RTP packet from in_ifc :src_ip /src_port to out_ifc :dest_ip /dest_port , Drop reason: drop_reason value

説明 RTP パケットが廃棄されました。

• in_ifc：入力インターフェイス
• src_ip：パケットの送信元 IP アドレス
• src_port：パケットの送信元ポート
• out_ifc：出力インターフェイス
• dest_ip：パケットの宛先 IP アドレス
• dest_port：パケットの宛先ポート
• drop_reason：次の廃棄原因のいずれか

Incorrect version value：パケットのバージョン番号が誤っている。

- Invalid payload-type value：パケットのペイロード タイプが無効である。

- Incorrect SSRC value：パケットの SSRC が誤っている。

- Out-of-range sequence number value sequence number from the packet。

- Out of sequence in packet in probation value sequence number from the packet。

推奨アクション 廃棄された RTP パケットを調べて、RTP 送信元が誤って設定しているフィールドを確認します。また、送信元を調べて、送信元が正当であり、ASA の隙を突こうとしている攻撃者でないことを確認します。

エラー メッセージ %ASA-4-431002: RTCP conformance: Dropping RTCP packet from in_ifc :src_ip /src_port to out_ifc :dest_ip /dest_port , Drop reason: drop_reason value

説明 RTCP パケットが廃棄されました。

• in_ifc：入力インターフェイス
• src_ip：パケットの送信元 IP アドレス
• src_port：パケットの送信元ポート
• out_ifc：出力インターフェイス
• dest_ip：パケットの宛先 IP アドレス
• dest_port：パケットの宛先ポート
• drop_reason：次の廃棄原因のいずれか

- Incorrect version value：パケットのバージョン番号が誤っている。

- Invalid payload-type value：パケットのペイロード タイプが誤っている。

推奨アクション 廃棄された RTP パケットを調べて、RTP 送信元が誤って設定しているフィールドを確認します。また、送信元を調べて、送信元が正当であり、ASA の隙を突こうとしている攻撃者でないことを確認します。

エラー メッセージ %ASA-4-434001: SFR card not up and fail-close mode used, dropping protocol packet from ingress interface:source IP address /source port to egress interface :destination IP address /destination port

説明 モジュールの fail-close 設定のためにパケットが廃棄されました。fail-close 設定はモジュールがダウンしている場合にすべてのフローを廃棄するように設計されているため、モジュールにフローをリダイレクトすることで、すべてのフローの接続が失われます。

推奨アクション 障害の理由を理解し、サービスを復元してください。また、カードがすぐに回復しない場合は、fail-open オプションを使用できます。fail-open 設定では、カードのステータスがダウンの場合、モジュールに送られるパケットがすべてバイパスされます。

エラー メッセージ %ASA-4-434002: SFR requested to drop protocol packet from ingress interface :source IP address /source port to egress interface :destination IP address /destination port

説明 パケットがモジュールによって拒否されました。モジュールにリダイレクトされたフローの接続は成功しません。

推奨アクション このフローまたはパケットが拒否される原因となったモジュール ポリシーを特定してください。

エラー メッセージ %ASA-4-434003: SFR requested to reset TCP connection from ingress interface :source IP address /source port to egress interface :destination IP address /destination port

説明 モジュールによって要求されたとおりに、TCP フローは ASA によってリセットされました。モジュールにリダイレクトされたフローの TCP 接続は成功しません。

推奨アクション このフローまたはパケットが拒否される原因となったモジュール ポリシーを特定してください。

エラー メッセージ %ASA-5-434004: SFR requested ASA to bypass further packet redirection and process flow from %s:%A/%d to %s:%A/%d locally

説明 SourceFire（SFR）は、フローのトラフィックをこれ以上検査しないことにしたため、ASA にトラフィック フローの SFR へのリダイレクトを停止するようにリクエストします。

推奨アクション 不要。

エラー メッセージ %ASA-4-434007: SFR redirect will override Scansafe redirect for flow from ingress interface :source IP address /source port to egress interface :destination IP address /destination port (user )

説明 Scansafe で検査されていたフローは、SourceFire（SFR）でのみ検査されるようになりました。Scansafe と SFR はフローを同時に検査できません。

推奨アクション このフローまたはパケットを Scansafe または SFR のいずれかで検査するようにする ASA 検査ポリシーを再設定します。

エラー メッセージ %ASA-2-444004: Temporary license key key has expired.Applying permanent license key permkey

説明 インストールされている一時ライセンスの有効期限が切れました。このライセンスで提供されている機能は今後使用できません。

• key：一時アクティベーション キー
• permkey：永久アクティベーション キー

推奨アクション 永久ライセンスを購入してインストールする必要があります。

エラー メッセージ %ASA-4-444005: Timebased activation key activation -key will expire in num days

説明 このメッセージは 24 時間ごとに生成され、一時ライセンスが指摘された日数で期限切れになることを示します。有効期限を過ぎると、このライセンスで提供されている機能は使用できなくなります。

• activation-key：一時アクティベーション キー
• num：有効期限までの残り日数

推奨アクション 残り時間が 30 日未満の場合、一時ライセンスの有効期限が切れる前に別の時間ベース アクティベーション キーを購入する必要があります。

エラー メッセージ %ASA-2-444007: Timebased activation key activation -key has expired.Reverting to [permanent | timebased] license key.The following features will be affected: feature , feature

説明 時間ベース アクティベーション キーの期限が切れました。このライセンスで提供されている指摘された機能は今後使用できません。

• activation-key：一時アクティベーション キー
• feature：影響するライセンスを取得した機能の名前

推奨アクション 指摘された機能のサービスの中断を避けるために、別の時間ベース アクティベーション キーをできるだけ早く購入する必要があります。

エラー メッセージ %ASA-4-444008: %s license has expired, and the system is scheduled to reload in x days.Apply a new activation key to enable %s license and prevent the automatic reload.

説明 特定のライセンスの期限が切れているため、x 日後にシステムはリロードされます。新しいアクティベーション キーを適用して特定のライセンスを有効にし、自動リロードが行われないようにします。

推奨アクション 新しいアクティベーション キーを適用して特定のライセンスを有効にし、自動リロードが行われないようにします。

エラー メッセージ %ASA-2-444009: %s license has expired 30 days ago.The system will now reload.

説明 特定のライセンスの期限が 30 日前に切れました。システムはリロードされます。

推奨アクション 不要。

エラー メッセージ %ASA-5-444100: Shared request request failed.Reason: reason

説明 共有ライセンスのクライアント要求がサーバによって正常に送信または処理されませんでした。

• request：有効な要求は次のとおりです。

- AnyConnect Premium の取得

- AnyConnect Premium の解放

- AnyConnect Premium の移動

• reason：要求が失敗した原因。有効な原因は次のとおりです。

- connection failed to server

- version not supported by server

- message signature invalid

- client ID unknown by server

- server is not active

- license capacity reached

推奨アクション 不要。

エラー メッセージ %ASA-5-444101: Shared license service is active.License server address: address

説明 共有ライセンス サーバがアクティブになりました。

• address：ライセンス サーバの IPv4 または IPv6 アドレス

推奨アクション 不要。

エラー メッセージ%ASA-2-444102: Shared license service inactive.License server is not responding.

説明 ライセンス サーバからの応答がなかったため、共有ライセンス サービスは非アクティブでした。ASA を共有ライセンス サーバに登録できませんでした。

推奨アクション ライセンス サーバのアドレス、シークレット、およびポートが正しく設定されていることを確認します。

エラー メッセージ %ASA-6-444103: Shared licensetype license usage is over 90% capacity.

説明 ネットワーク上の共有ライセンスの使用率が 90 % を超えています。

• licensetype：AnyConnect Premium

推奨アクション 不要。

エラー メッセージ %ASA-6-444104: Shared licensetype license availability: value .

説明 ネットワーク上の共有ライセンスを利用できるかどうかを示します。

• licensetype：AnyConnect Premium
• value：ライセンスを利用できるかどうか

推奨アクション 不要。

エラー メッセージ %ASA-2-444105: Released value shared licensetype license(s).License server has been unreachable for 24 hours.

説明 共有ライセンス サーバに 24 時間到達できなかったため、ASA によって取得されたすべての共有ライセンスが解放されました。ASA をライセンス サーバに登録できませんでした。

• licensetype：AnyConnect Premium
• value：ライセンスを利用できるかどうか

推奨アクション ライセンス サーバに接続できること、およびライセンス サーバ上のコンフィギュレーションが変更されていないことを確認します。

エラー メッセージ %ASA-4-444106: Shared license backup server address is not available.

説明 共有ライセンス バックアップ サーバに到達できません。ライセンス サーバ情報がバックアップ デバイスと同期していません。

• address：バックアップ ライセンス サーバの IPv4 または IPv6 アドレス

推奨アクション 不要。

エラー メッセージ %ASA-6-444107: Shared license service status on interface ifname .

説明 指摘されたインターフェイスで共有ライセンス サービスがイネーブルまたはディセーブルになっています。

• ifname：インターフェイス名。
• status：ライセンス サーバのステータス。有効な値は enabled または disabled です。

推奨アクション 不要。

エラー メッセージ %ASA-6-444108: Shared license state client id id .

説明 マルチサイト ライセンスのクライアント ID がサーバに登録されているか、または有効期限が切れています。

• id：クライアントの ID。
• state：ライセンス サーバの状態。有効な値は registered または expired です。

推奨アクション 不要。

エラー メッセージ %ASA-4-444109: Shared license backup server role changed to state.

説明 共有バックアップ ライセンス サーバの役割が変更されました。

• state：ライセンス サーバの状態。有効な値は active または inactive です。

推奨アクション 不要。

エラー メッセージ %ASA-4-444110: Shared license server backup has days remaining as active license server.

説明 共有バックアップ ライセンス サーバの役割はアクティブであり、指摘された日数、その役割が続きます。ASA はライセンス サーバへの登録に失敗しており、プライマリ ライセンス サーバにすぐに登録する必要があります。

• days：アクティブ ライセンス サーバとしての残り日数

推奨アクション ライセンス サーバがオンラインで、ASA から到達できることを確認します。

エラー メッセージ %ASA-2-444111: Shared license backup service has been terminated due to the primary license server address being unavailable for more than days days.The license server needs to be brought back online to continue using shared licensing.

説明 共有バックアップ ライセンス サーバのアクティブ期間が過ぎました。共有ライセンス サービスを続行するためには、プライマリ サーバをオンラインにする必要があります。

• address：ライセンス サーバの IPv4 または IPv6 アドレス
• days：ライセンス サーバに到達できなくなってからの日数

推奨アクション 共有ライセンス サービスの使用を続行するためには、プライマリ ライセンス サーバに登録します。

エラー メッセージ %ASA-2-444302: %SMART_LIC-2-PLATFORM_ERROR: Platform error.

説明 スマート ライセンス エージェントでプラットフォームの問題が生じています。これは、プラットフォーム チームがデバイスにスマート ライセンスを正しく実装していなかったことを示します。

推奨アクション プラットフォーム チームはリリース前にこの問題に対処する必要があります。

エラー メッセージ %ASA-3-444303: %SMART_LIC-3-AGENT_REG_FAILED: Smart Agent for licensing registration with Cisco licensing cloud failed.

説明 スマート ライセンスの登録に失敗しました。この問題は、登録時に使用した無効な ID トークン、または cisco.com へのネットワーク接続障害が原因で生じている可能性があります。

推奨アクション スマート エージェントの Syslog メッセージで追加情報を確認してください。スマート エージェントのデバッグ モードをオンにし（CLI コマンド：debug license agent all）、より詳細な情報の取得を試みます。Smart Call Home のコンフィギュレーション、Cisco とのネットワーク接続、登録時に使用した ID トークンが有効かどうかを確認します。

エラー メッセージ %ASA-3-444303: %SMART_LIC-3-AGENT_DEREG_FAILED: Smart Agent for licensing deregistration with CSSM failed.

説明 スマート ライセンスの登録解除に失敗しました。これは、CSSM へのネットワーク接続障害が原因で生じている可能性があります。ローカルの登録情報は、デバイスから削除されています。

推奨アクション スマート エージェントの Syslog メッセージで追加情報を確認してください。スマート エージェントのデバッグ モードをオンにし（CLI コマンド：debug license agent all）、より詳細な情報の取得を試みます。Smart Call Home のコンフィギュレーションと CSSM へのネットワーク接続を確認します。

エラー メッセージ %ASA-3-444303: %SMART_LIC-3-OUT_OF_COMPLIANCE: One or more entitlements are out of compliance.

説明 顧客から要求された 1 つまたは複数の権限付与はコンプライアンス違反です。

推奨アクション 顧客はスマート ライセンス ポータルに移動し、それぞれの権限付与を表示してコンプライアンス違反について理解する必要があります。

エラー メッセージ %ASA-3-444303: %SMART_LIC-3-EVAL_EXPIRED: Evaluation period expired.

説明評価期間が切れました。スマート エージェント ポータルから新しい ID トークンを取得し、デバイスを再登録してください。

推奨アクション 顧客は、スマート エージェント ポータルから新しい ID トークンを取得し、Cisco ライセンス サービスにデバイスを再登録する必要があります。

エラー メッセージ %ASA-3-444303: %SMART_LIC-3-BAD_MODE: An unknown mode was specified.

説明 Syslog メッセージのロギング プロセスで、スマート エージェントが無効な権限付与強制モードを受け取りました。

推奨アクション Smart Call Home の内部エラーです。シスコにご連絡ください。

エラー メッセージ %ASA-3-444303: %SMART_LIC-3-BAD_NOTIF: A bad notification type was specified.

説明 Syslog メッセージのロギング プロセスで、スマート エージェントが無効な通知タイプを受け取りました。

推奨アクション Smart Call Home の内部エラーです。シスコにご連絡ください。

エラー メッセージ %ASA-3-444303: %SMART_LIC-3-ID_CERT_EXPIRED: Identity certificate expired.Agent will transition to the unidentified (not registered) state.

説明 デバイスは Cisco と長期間通信していないため、Cisco へのデバイス登録を自動的に更新していません。

推奨アクション Smart Call Home と cisco.com へのネットワーク接続を確認してください。

エラー メッセージ %ASA-3-444303: %SMART_LIC-3-ID_CERT_RENEW_NOT_STARTED: Identity certificate start date not reached yet.

説明 デバイス登録に失敗しました。アイデンティティ証明書の開始日は、デバイスの現在時刻よりも後になっています。

推奨アクション デバイス クロックを最新の状態に調整し、登録を再試行してください。

エラー メッセージ %ASA-3-444303: %SMART_LIC-3-ID_CERT_RENEW_FAILED: Identity certificate renewal failed.

説明 デバイスは Cisco と長期間通信していないため、Cisco へのデバイス登録を自動的に更新できませんでした。

推奨アクション Smart Call Home と cisco.com へのネットワーク接続を確認してください。

エラー メッセージ %ASA-3-444303: %SMART_LIC-3-ENTITLEMENT_RENEW_FAILED: Entitlement authorization with Cisco licensing cloud failed.

説明 デバイスは、権限付与の認証を更新するための Cisco との通信に失敗しました。

推奨アクション スマート エージェントの Syslog メッセージで詳しい情報を確認してください。さらに、Smart Call Home の設定と cisco.com へのネットワーク接続を確認してください。

エラー メッセージ %ASA-3-444303: %SMART_LIC-3-COMM_FAILED: Communications failure with Cisco licensing cloud.

説明 デバイスの Cisco ライセンス サービスとの通信に失敗しました。

推奨アクション Smart Call Home と cisco.com へのネットワーク接続を確認してください。

エラー メッセージ %ASA-3-444303: %SMART_LIC-3-CERTIFICATE_VALIDATION: Certificate validation failed by smart agent.

説明 アイデンティティ証明書の検証に失敗しました。

推奨アクション スマート エージェントの Syslog ファイルで追加情報を確認してください。スマート エージェントのデバッグ モードをオンにし（CLI コマンド：license smart debug enable）、追加情報を再度取得してみます。さらに、アイデンティティ証明書が有効期限に達しているかどうかを確認します。

エラー メッセージ %ASA-3-444303: %SMART_LIC-3-AUTH_RENEW_FAILED: Authorization renewal with Cisco licensing cloud failed.

説明 認証の更新要求に失敗しました。これは、Smart Call Home の設定が間違っているか、または cisco.com へのネットワーク接続障害が原因で生じている可能性があります。

推奨アクション スマート エージェントの Syslog ファイルで追加情報を確認してください。スマート エージェントのデバッグ モードをオンにし、詳細情報を取得するように再試行します。さらに、Smart Call Home の設定と cisco.com へのネットワーク接続を確認します。

エラー メッセージ %ASA-3-444303: %SMART_LIC-3-INVALID_TAG: The entitlement tag is invalid.

説明 タグが Cisco Smart Software Manager に定義されていません。

推奨アクション このエラーを Cisco に報告します。

エラー メッセージ %ASA-3-444303: %SMART_LIC-3-INVALID_ROLE_STATE: The current role is not allowed to move to the new role.

説明 前の役割イベントからは、特定の役割にしか移動できません。デバイスは、スマート エージェントがフォローできない役割に移動しています。

推奨アクション スマート エージェントの Syslog ファイルで追加情報を確認してください。スマート エージェントのデバッグ モードをオンにし、詳細情報を取得するように再試行します。

エラー メッセージ %ASA-3-444303: %SMART_LIC-3-EVAL_WILL_EXPIRE_WARNING: Evaluation period will expire in time.

説明 デバイスは、指定された時間に期限が切れる評価期間を使用しています。

推奨アクション 評価期間の期限が切れる前に、‘license smart register ID token’ CLI を使用して、このデバイスを登録します。

エラー メッセージ %ASA-3-444303: %SMART_LIC-3-EVAL_EXPIRED_WARNING: Evaluation period expired on time.

説明 デバイスの評価期間が切れました。

推奨アクション ‘license smart register ID token’ CLI を使用して、このデバイスを登録します。

エラー メッセージ %ASA-3-444303: %SMART_LIC-3-ID_CERT_EXPIRED_WARNING: This device's registration will expire in time.

説明 このデバイスの登録は指定された時間に期限が切れます。これは通常、Cisco ライセンス認証局との通信障害を示します。

推奨アクション Smart Call Home と cisco.com へのネットワーク接続を確認してください。また、アイデンティティ証明書を更新する必要があるかどうかを確認します。

エラーメッセージ %ASA-3-444303: %SMART_LIC-3-CONFIG_OUT_OF_SYNC: Trusted Store Enable flag not in sync with System Configuration, TS flag Config flag.

説明 スマート ライセンスの設定が永続ストレージのイネーブル フラグの値と一致しません。これは、設定がシステムにコピーされ、リロードが実行されると発生する可能性があります。新しい設定に Smart Licensing Enable コマンドが含まれていないと、永続ストレージ内の値は一致しません。

推奨アクション 必要なスマート ライセンス コンフィギュレーション コマンドを適用し、設定を保持します。

エラー メッセージ %ASA-3-444303: %SMART_LIC-3-REG_EXPIRED_CLOCK_CHANGE: Smart Licensing registration has expired because the system time was changed outside the validity period of the registration period.The agent will transition to the un-registered state in 60 minutes.

説明 システム クロックが変更されたため、有効な登録期間外になっています。1 時間以内にクロックが登録有効期間内の値にリセットされれば、スマート ライセンスは通常のように機能を続行します。クロックがリセットされないとデバイスは登録を解除されるため、新しい ID トークンを取得してデバイスを再登録する必要があります。登録有効期間は、アイデンティティ証明書にある開始日と終了日によって定義されます。'show tech license' を使用して、アイデンティティ証明書情報を取得します。

エラー メッセージ %ASA-3-444303: %SMART_LIC-3-ROOT_CERT_MISMATCH_PROD: Certificate type mismatch.

説明 スマート エージェントは検証で不正な証明書を受け取りました。製品サポート チームに問い合わせてください。

エラー メッセージ %ASA-3-444303: %SMART_LIC-3-HOT_STANDBY_OUT_OF_SYNC: Smart Licensing agent on hot standby is out of sync with active Smart Licensing agent.

説明 ホット スタンバイ上のスマート ライセンス エージェントがアクティブなエージェントとの同期を維持するために必要なデータの処理に失敗しました。スイッチオーバーが行われ、新しいアクティブ エージェントが現在のアクティブ エージェントと同じ状態ではない場合、永続ストレージのイネーブル フラグの値とコンフィギュレーションが一致しません。これは、設定がシステムにコピーされ、リロードが実行されると発生する可能性があります。新しい設定に Smart Licensing Enable コマンドが含まれていないと、永続ストレージ内の値は一致しません。

エラー メッセージ %ASA-4-444304: %SMART_LIC-4-IN_OVERAGE: One or more entitlements are in overage.

説明 このメッセージは、単なる情報メッセージです。顧客はコンプライアンスに従っており、契約に指定されている超過量内に収まっています。

エラー メッセージ %ASA-4-444304: %SMART_LIC-4-CONFIG_NOT_SAVED: Smart Licensing configuration has not been saved.

これは、情報提供だけが目的です。顧客は IN/OUT_OF コンプライアンス状態のままです。

推奨アクション なし。

エラー メッセージ %ASA-5-444305: %SMART_LIC-5-SYSTEM_CLOCK_CHANGED: Smart Agent for Licensing System clock has been changed.

説明 システム クロックが手動でリセットされました。

エラー メッセージ %ASA-5-444305: %SMART_LIC-5-IN_COMPLIANCE: All entitlements are authorized.

説明 すべての顧客が要求した権限付与は、シスコ ライセンス サービスによって承認されました。

エラー メッセージ %ASA-5-444305: %SMART_LIC-5-EVAL_START: Entering evaluation period.

説明 顧客が登録前に権限付与を割り当てているか、顧客の登録の期限が切れています。デバイスは登録が解除されており、評価モードの状態です。

エラー メッセージ %ASA-5-444305: %SMART_LIC-5-AUTHORIZATION_EXPIRED: Authorization expired.

説明 デバイスは Cisco と長期間通信していないため、権限付与の認証を自動的に更新していません。

エラー メッセージ %ASA-5-444305: %SMART_LIC-5-COMM_RESTORED: Communications with Cisco licensing cloud restored.

説明 スマート エージェントの Cisco ライセンス サービスとの通信が復元されています。

エラー メッセージ %ASA-5-444305: %SMART_LIC-5-COMM_INIT_FAILED: Failed to initialize communications with the Cisco Licensing Cloud.

説明 スマート エージェントは、Cisco ライセンス サービスとの通信を初期化できませんでした。

推奨アクション なし。

エラー メッセージ %ASA-6-444306: %SMART_LIC-6-AGENT_READY: Smart Agent for Licensing is initialized.

説明 スマート エージェントが初期化され、使用できる状態です。

エラー メッセージ %ASA-6-444306: %SMART_LIC-6-AGENT_ENABLED: Smart Agent for Licensing is enabled.

説明 スマート エージェントが有効で、使用できる状態です。

エラー メッセージ %ASA-6-444306: %SMART_LIC-6-AGENT_REG_SUCCESS: Smart Agent for Licensing Registration with Cisco licensing cloud successful.

説明 スマート ライセンスの登録に成功しました。

エラー メッセージ %ASA-6-444306: %SMART_LIC-6-AGENT_DEREG_SUCCESS: Smart Agent for Licensing De-registration with Cisco licensing cloud successful.

説明 スマート ライセンスの登録解除に成功しました。

エラー メッセージ %ASA-6-444306: %SMART_LIC-6-DISABLED: Smart Agent for Licensing disabled.

説明 スマート エージェントが無効になっています。

エラー メッセージ %ASA-6-444306: %SMART_LIC-6-ID_CERT_RENEW_SUCCESS: Identity certificate renewal successful.

説明 顧客のアイデンティティ証明書が正常に更新され、デバイスの使用を続行できます。

エラー メッセージ %ASA-6-444306: %SMART_LIC-6-ENTITLEMENT_RENEW_SUCCESS: Entitlement authorization renewal with Cisco licensing cloud successful.

説明 認証の更新要求に成功しています。

エラー メッセージ %ASA-6-444306: %SMART_LIC-6-AUTH_RENEW_SUCCESS: Authorization renewal with Cisco licensing cloud successful.

説明 顧客が要求した権限付与の認証が正常に更新されました。

エラー メッセージ %ASA-6-444306: %SMART_LIC-6-HA_ROLE_CHANGED: Smart Agent HA role changed to role.

説明 HA RP のスマート エージェントの役割がアクティブまたはスタンバイのいずれかに変更されました。

エラー メッセージ %ASA-6-444306: %SMART_LIC-6-HA_CHASSIS_ROLE_CHANGED: Smart Agent HA chassis role changed to role.

説明 HA のスマート エージェントのシャーシの役割がアクティブまたはスタンバイのいずれかに変更されました。

エラー メッセージ %ASA-6-444306: %SMART_LIC-6-AGENT_ALREADY_REGISTER: Smart Agent is already registered with the Cisco licensing cloud.

説明 スマート ライセンスはすでに Cisco に登録されています。もう一度登録するには、強制オプションを使用します。

エラー メッセージ %ASA-6-444306: %SMART_LIC-6-AGENT_ALREADY_DEREGISTER: Smart Agent is already Deregistered with the CSSM.

説明 スマート ライセンスはすでに Cisco から登録解除されているため、もう一度登録するには強制オプションを使用します。

エラー メッセージ %ASA-6-444306: %SMART_LIC-6-EXPORT_CONTROLLED: Usage of export controlled features is status.

説明 エクスポート制御機能の使用が許可されているかどうかの通知です。このメッセージは、Cisco ライセンス クラウドへの登録後に生成されます。

推奨アクション なし。

エラー メッセージ %ASA-7-444307: %SMART_LIC-7-DAILY_JOB_TIMER_RESET: Daily job timer reset.

説明 このメッセージはテスト目的でのみ使用され、エラーを示すものではありません。

推奨アクション なし。

エラー メッセージ %ASA-4-446001: Maximum TLS Proxy session limit of max_sess reached.

説明 TLS プロキシの設定済み最大セッション制限に達しました。制限を超える新しいセッションは拒否されました。

• max_sess：現在有効な最大セッション制限

推奨アクション より多くの TLS セッションが必要な場合は、tls-proxy maximum-sessions max_sess コマンドを使用して、制限値を大きくします。または、tls-proxy proxy_name コマンドと tls-proxy maximum-sessions max_sess コマンドを使用し、その後リブートしてコマンドを有効にすることもできます。

エラー メッセージ %ASA-4-446003: Denied TLS Proxy session from src_int :src_ip /src_port to dst_int :dst_ip /dst_port , UC-IME license is disabled.

説明 UC-IME ライセンスがオンまたはオフです。UC-IME は、いったんイネーブルにすると、ASA の制限および K8 エクスポート制限に従って、使用可能な TLS セッションをいくつでも使用できます。

• src_int：送信元インターフェイス名（内部または外部）
• src_ip：送信元 IP アドレス
• src_port：送信元ポート
• dst_int：宛先インターフェイス名（内部または外部）
• dst_ip：宛先 IP アドレス
• dst_port：宛先ポート

推奨アクション UC-IME が無効になっているかどうかを確認します。無効になっている場合は有効にします。

エラー メッセージ %ASA-4-447001: ASP DP to CP queue_name was full.Queue length length , limit limit

説明 このメッセージは、コントロール ポイント（CP）イベント キューへの特定のデータ パス（DP）がいっぱいになり、1 つまたは複数のエンキュー アクションが失敗したことを示します。イベントに CP アプリケーション インスペクション用などのパケット ブロックが含まれる場合、パケットは DP によって廃棄され、show asp drop コマンドからのカウンタが増加します。イベントが CP へのパント用の場合、[Punt no memory] ASP 廃棄カウンタが標準カウンタとして使用されます。

• queue：DP-CP イベント キューの名前。
• length：キューにある現在のイベント数。
• limit：キューで許容されるイベントの最大数。

推奨アクション キューがいっぱいの状態は、CP に対する負荷が CP 処理能力を超えていることを示します。これは、一時的な状態の場合もあれば、そうでない場合もあります。このメッセージが繰り返し表示される場合は、CP に対する機能負荷を軽減することを検討してください。show asp event dp-cp コマンドを使用して、イベント キューの負荷に最も影響を及ぼしている機能を特定できます。

エラー メッセージ %ASA-4-448001: Denied SRTP crypto session setup on flow from src_int :src_ip /src_port to dst_int :dst_ip /dst_port , licensed K8 SRTP crypto session of limit exceeded

説明 K8 プラットフォームでは、250 個の SRTP 暗号化セッションの制限が適用されます。SRTP の暗号化または復号化セッションのペアは、1 個の SRTP 暗号化セッションとしてカウントされます。コールがこの制限に対してカウントされるのは、メディアで暗号化または復号化が必要な場合のみです。つまり、コールに対してパススルーが設定されている場合、両方のレッグが SRTP を使用する場合でも、この制限に対してカウントされません。

• src_int：送信元インターフェイス名（内部または外部）
• src_ip：送信元 IP アドレス
• src_port：送信元ポート
• dst_int：宛先インターフェイス名（内部または外部）
• dst_ip：宛先 IP アドレス
• dst_port：宛先ポート
• limit：SRTP 暗号化セッションの K8 制限（250）

推奨アクション 不要。既存の SRTP 暗号化セッションが解放された場合のみ新しい SRTP 暗号化セッションを設定できます。

エラー メッセージ ASA-4-450001: Deny traffic for protocol protocol_id src interface_name :IP_address /port dst interface_name :IP_address /port , licensed host limit of num exceeded.

説明 ライセンスされているホスト制限を超えました。このメッセージは、ASA 5505 の ASA にだけ適用されます。

• protocol_id：プロトコル ID 番号
• interface_name：パケットの送信側または受信側に関連付けられているインターフェイス
• IP_address：パケットの送信側/受信側の IP アドレス
• port：転送されたパケットのポート番号
• num：ホスト制限の最大値

推奨アクション 不要。