ASA シリーズ syslog メッセージ

101001

説明 フェールオーバー ケーブルが接続され、正常に機能しています。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。

推奨処置 不要です。

101002

説明 フェールオーバー ケーブルが接続されていますが、正常に機能していません。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。

推奨処置 フェールオーバー ケーブルを交換します。

101003、101004

説明 フェールオーバー モードがイネーブルになっていますが、フェールオーバー ケーブルがフェールオーバー ペアの一方の装置に接続されていません。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。

推奨処置 フェールオーバー ケーブルをフェールオーバー ペアの両方の装置に接続します。

101005

説明 フェールオーバー ケーブルが接続されていますが、プライマリ装置が自分のステータスを判断できません。

推奨処置 ケーブルを交換します。

103001

説明 プライマリ装置がフェールオーバー ケーブル経由でセカンダリ装置と通信できません。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。 表 1-2 に、フェールオーバーが発生した原因を判断するための原因コードおよび説明を示します。

推奨処置 フェールオーバー ケーブルが正しく接続され、両方の装置が同じハードウェア、ソフトウェア、およびコンフィギュレーションになっていることを確認します。問題が解決しない場合、Cisco TAC にお問い合わせください。

103002

説明 セカンダリ装置のネットワーク インターフェイスが正常であることをプライマリ装置が検出しました。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。

推奨処置 不要です。

103003

説明 セカンダリ装置に不良ネットワーク インターフェイスをプライマリ装置が検出しました。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。

推奨処置 セカンダリ装置のネットワーク接続とネットワーク ハブ接続を確認します。必要に応じて、障害の発生したネットワーク インターフェイスを交換します。

103004

説明 プライマリ装置に障害が発生していることを示すメッセージをプライマリ装置がセカンダリ装置から受信しました。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。理由は、次のいずれかになります。

• フェールオーバー コマンド インターフェイスのポーリング パケット失敗がしきい値を超過しました。

• LAN フェールオーバー インターフェイスが失敗しました。

• ピアが Standby Ready 状態への移行に失敗しました。

• コンフィギュレーションの完全なレプリケーションに失敗しました。このファイアウォールのコンフィギュレーションが同期していない可能性があります。

• フェールオーバー メッセージの送信に失敗し、受信使用状態の ACK が受信されません。

推奨処置 プライマリ装置のステータスを確認します。

103005

説明 セカンダリ装置がプライマリ装置に SSM カードの障害を報告しました。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。

推奨処置 セカンダリ装置のステータスを確認します。

103006

説明 ローカル装置と異なるバージョンを実行している、HA Hitless Upgrade 機能と互換性がないピア装置を ASA が検出しました。

• ver_num ：バージョン番号

推奨処置 両方の装置に、同じバージョンまたは互換性のあるバージョンのイメージをインストールします。

103007

説明 ピア装置で実行されているバージョンがローカル装置と異なるが、Hitless Upgrade をサポートしており、ローカル装置と互換性があることを ASA が検出しました。イメージのバージョンが異なるために、システムのパフォーマンスが低下するおそれがあります。また、異なるイメージを長期間実行すると、ASA で安定性の問題が発生する可能性があります。

• ver_num ：バージョン番号

推奨処置 できるだけ早く、両方の装置に同じバージョンのイメージをインストールします。

104001、104002

説明 スタンバイ装置で failover active コマンドを入力するか、またはアクティブ装置で no failover active コマンドを入力することによって強制的にフェールオーバー ペアの役割が切り替えられました。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。string 変数の値は次のとおりです。

• state check

• bad/incomplete config

• ifc [interface] check, mate is healthier

• the other side wants me to standby

• in failed state, cannot be active

• switch to failed state

• other unit set to active by CLI config command fail active

推奨処置 手作業による介入が原因でメッセージが表示される場合は、処置は不要です。それ以外の場合は、セカンダリ装置から報告された原因を使用して、ペアの装置両方のステータスを確認します。

104003

説明 プライマリ装置に障害が発生しました。

推奨処置 プライマリ装置のメッセージを確認して、問題の内容を示す表示がないかどうかを調べます（メッセージ 104001 を参照）。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。

104004

説明 前に障害になった装置が再び動作していると報告しました。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。

推奨処置 不要です。

105001

説明 バージョン 7.x 以降では、このメッセージは、モードのミスマッチ（シングルまたはマルチ）、ライセンスのミスマッチ（暗号化またはコンテキスト）、またはハードウェアの相違（一方の装置には IPS SSM がインストールされ、そのピアには CSC SSM がインストールされている）が原因でフェールオーバーが自動的にディセーブルになったことを示す場合があります。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。

推奨処置 不要です。

105002

説明 これまでフェールオーバーをディセーブルにしていたコンソールで引数を指定せずに failover コマンドが使用されました。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。

推奨処置 不要です。

105003

説明 ASA が指定されたネットワーク インターフェイス（フェールオーバー ペアの相手装置とのインターフェイス）をテストしています。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。

推奨処置 不要です。ASA は、正常動作中に自分のネットワーク インターフェイスを頻繁にモニタします。

105004

説明 指定されたネットワーク インターフェイスのテストが成功しました。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。

推奨処置 不要です。

105005

説明 フェールオーバー ペアの一方の装置がペアの相手装置と通信できなくなりました。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。

推奨処置 指定されたインターフェイスに接続されているネットワークが正しく機能していることを確認します。

105006、105007

説明 指定されたインターフェイスのリンク ステータスのモニタリング結果が報告されました。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。

推奨処置 リンク ステータスがダウンである場合は、指定されたインターフェイスに接続されているネットワークが正しく動作していることを確認します。

105008

説明 指定されたネットワーク インターフェイスのテストが発生しました。このテストは、想定された間隔後に ASA がそのインターフェイス上でスタンバイ装置からメッセージを受け取ることができなかった場合に限って実行されます。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。

推奨処置 不要です。

105009

説明 前のインターフェイス テストの結果（Passed または Failed）が報告されました。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。

推奨処置 結果が Passed であれば不要です。結果が Failed の場合は、両方のフェールオーバー装置へのネットワーク ケーブル接続、およびネットワーク自体が正しく機能していることをチェックし、スタンバイ装置のステータスを確認します。

105010

説明 ブロック メモリが枯渇しています。これは一時メッセージで、ASA は回復する必要があります。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。

推奨処置 show blocks コマンドを使用して、現在のブロック メモリをモニタします。

105011

説明 フェールオーバー ケーブルがプライマリ装置とセカンダリ装置間の通信を許可していません。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。

推奨処置 ケーブルが正しく接続されていることを確認します。

105020

説明 フェールオーバーが発生すると、アクティブな ASA はメモリ内の不完全なコンフィギュレーションを検出します。通常、これは複製サービスの中断が原因となっています。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。

推奨処置 ASA がフェールオーバーを検出した後、ASA は自動的にリブートして、フラッシュ メモリからコンフィギュレーションをロードするか、または別の ASA と再同期化します（両方行うこともあります）。フェールオーバーが引き続き発生する場合は、フェールオーバー コンフィギュレーションを調べて、両方の ASA 装置が互いに通信できることを確認します。

105021

説明 コンフィギュレーションの同期化中に、他の何らかのプロセスが 5 分を超えてコンフィギュレーションをロックして、フェールオーバー プロセスが新しいコンフィギュレーションを適用するのを妨げている場合、スタンバイ装置は自分自身をリロードします。これは、コンフィギュレーション同期化の進行中に、管理者がスタンバイ装置で実行コンフィギュレーションに目を通している場合に発生することがあります。『 Cisco ASA 5500 Series Command Reference 』で、特権 EXEC モードの show running-config コマンドと、グローバル コンフィギュレーション モードの pager lines num コマンドも参照してください。

推奨処置 スタンバイ装置が最初にブートし、アクティブ装置とのフェールオーバー接続を確立している間は、スタンバイ装置でコンフィギュレーションを表示または修正しないでください。

105031

説明 LAN フェールオーバー インターフェイス リンクがアップしています。

推奨処置 不要です。

105032

説明 LAN フェールオーバー インターフェイス リンクがダウンしています。

推奨処置 LAN フェールオーバー インターフェイスの接続を確認します。速度または二重通信の設定が正しいことを確認します。

105034

説明 ピアがブートされて、初期コンタクト メッセージが送信されました。

推奨処置 不要です。

105035

説明 ピア LAN フェールオーバー インターフェイス リンクがダウンしています。装置がスタンバイ モードになっている場合、アクティブ モードに切り替わります。

推奨処置 ピア LAN フェールオーバー インターフェイスの接続を確認します。

105036

説明 ASA は無応答の LAN フェールオーバー コマンド メッセージを廃棄しました。これは LAN フェールオーバー インターフェイスに接続障害が存在することを示します。

推奨処置 LAN インターフェイス ケーブルが接続されていることを確認します。

105037

説明 プライマリ装置およびスタンバイ装置がアクティブ装置として交互に切り替わっています。これは、LAN フェールオーバー接続障害またはソフトウェアのバグが存在することを示します。

推奨処置 LAN インターフェイス ケーブルが接続されていることを確認します。

105038

説明 フェールオーバーが発生すると、アクティブな ASA はメモリ内の不完全なコンフィギュレーションを検出します。通常、これは複製サービスの中断が原因となっています。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。

推奨処置 ASA によってフェールオーバーが検出されると、ASA は自動的にリブートして、フラッシュ メモリからコンフィギュレーションをロードするか、または別の ASA と再同期化します（両方行うこともあります）。フェールオーバーが引き続き発生する場合は、フェールオーバー コンフィギュレーションを調べて、両方の ASA 装置が互いに通信できることを確認します。

105039

説明 フェールオーバーは最初にプライマリおよびセカンダリの ASA で設定されているインターフェイスの数が同じであることを確認します。このメッセージは、セカンダリ ASA で設定されているインターフェイスの数をプライマリ ASA が確認できないことを示します。このメッセージは、プライマリ ASA がフェールオーバー インターフェイス経由でセカンダリ ASA と通信できないことを示します。Primary は、セカンダリ装置の場合は Secondary と示されることもあります。

推奨処置 プライマリおよびセカンダリ ASA でフェールオーバー LAN、インターフェイス コンフィギュレーション、およびステータスを確認します。セカンダリ ASA が ASA アプリケーションを実行しており、フェールオーバーがイネーブルになっていることを確認します。

105040

説明 プライマリおよびセカンダリの ASA は、フェールオーバー ペアとして動作するために同じフェールオーバー ソフトウェアのバージョンを実行する必要があります。このメッセージは、セカンダリ ASA のフェールオーバー ソフトウェアのバージョンがプライマリ ASA と互換性がないことを示します。フェールオーバーがプライマリ ASA でディセーブルになっています。Primary は、セカンダリの ASA の場合は Secondary と示されることもあります。

推奨処置 フェールオーバーをイネーブルにするために、プライマリおよびセカンダリの ASA 間で一致したソフトウェア バージョンを使用します。

105042

説明 LAN フェールオーバー インターフェイス リンクがアップしています。

説明 セカンダリ ASA にフェールオーバー メッセージを送信するために使用されるインターフェイスが機能しています。Primary は、セカンダリの ASA の場合は Secondary と示されることもあります。

推奨処置 不要です。

105043

説明 LAN フェールオーバー インターフェイス リンクがダウンしています。

推奨処置 LAN フェールオーバー インターフェイスの接続を確認します。速度または二重通信の設定が正しいことを確認します。

105044

説明 動作モード（シングルまたはマルチ）がフェールオーバー ピア間で一致しない場合、フェールオーバーはディセーブルになります。

推奨処置 同じ動作モードになるようにフェールオーバー ピアを設定してから、フェールオーバーを再度イネーブルにします。

105045

説明 フィーチャ ライセンスがフェールオーバー ピア間で一致しない場合、フェールオーバーはディセーブルになります。

推奨処置 同じフィーチャ ライセンスを持つようにフェールオーバー ピアを設定してから、フェールオーバーを再度イネーブルにします。

105046

説明 2 つのフェールオーバー装置が異なるタイプのシャーシを持っています。たとえば、一方が 3 スロットのシャーシを持ち、もう一方が 6 スロットのシャーシを持つ場合です。

推奨処置 2 つのフェールオーバー装置が同じであることを確認します。

105047

説明 2 つのフェールオーバー装置は、対応するスロットに異なるタイプのカードが実装されています。

推奨処置 フェールオーバー装置のカード コンフィギュレーションが同じであることを確認します。

105048

説明 アクティブ装置とスタンバイ装置のサービス モジュールで異なるアプリケーションが動作していることをフェールオーバー プロセスが検出しました。異なるサービス モジュールが使用されている場合、2 つのフェールオーバー装置は互換性がありません。

• unit ：プライマリまたはセカンダリ

• application ：アプリケーションの名前（たとえば、InterScan Security Card）

推奨処置 フェールオーバーを再度イネーブルにする前に、両方の装置が同じサービス モジュールを装備していることを確認します。

106001

説明 内部アドレスへの接続の試行が、指定されたトラフィック タイプに定義されたセキュリティ ポリシーによって拒否されました。表示される IP アドレスは、NAT によって表示される IP アドレスではなく実際の IP アドレスです。表示される tcp_flags 値は、接続が拒否されたときに存在していた TCP ヘッダーのフラグに対応します。たとえば、ASA に接続状態が存在しない TCP パケットが到着し、それが廃棄された場合です。このパケットの tcp_flags は FIN および ACK です。

tcp_flags を次に示します。

• ACK：肯定応答番号が受信されました。

• FIN：データが送信されました。

• PSH：受信者がデータをアプリケーションに渡しました。

• RST：接続がリセットされました。

• SYN：シーケンス番号が接続を開始するために同期化されました。

• URG：緊急ポインタが有効であると宣言されました。

推奨処置 不要です。

106002

説明 指定された接続は、 outbound deny コマンドが原因で失敗しました。 protocol 変数は ICMP、TCP、または UDP になります。

推奨処置 show outbound コマンドを使用して、発信リストを確認します。

106006

説明 着信 UDP パケットが、指定されたトラフィック タイプに定義されているセキュリティ ポリシーによって拒否されました。

推奨処置 不要です。

106007

説明 DNS クエリーまたは応答を含んでいる UDP パケットが拒否されました。

推奨処置 内部ポート番号が 53 の場合、内部ホストはキャッシング ネーム サーバとして設定されていると考えられます。 access-list コマンド文を追加して、UDP ポート 53 のトラフィックおよび内部ホストの変換エントリを許可します。外部ポート番号が 53 の場合、DNS サーバの応答が遅かったため、クエリーには別のサーバが応答したと考えられます。

106010

説明 着信接続は、セキュリティ ポリシーによって拒否されました。

推奨処置 トラフィックを許可する必要がある場合は、セキュリティ ポリシーを修正します。このメッセージが繰り返し表示される場合は、リモート ピアの管理者にお問い合わせください。

106011

説明 このメッセージは、Web ブラウザ経由でインターネットにアクセスしている内部ユーザがいる場合、通常のトラフィック条件で表示されます。接続がリセットされた場合は常に、ASA が接続リセットを受信した後にその接続の端にあるホストがパケットを送信すると、このメッセージが表示されます。これは通常、無視してかまいません。

推奨処置 no logging message 106011 コマンドを入力して、このメッセージが syslog サーバに記録されないようにします。

106012

説明 IP パケットが IP オプションとともに表示されました。IP オプションはセキュリティ リスクと見なされるので、パケットは廃棄されました。

推奨処置 リモート ホスト システムの管理者に問い合わせて、問題を判別します。 ローカル サイトを確認して、あいまいなソース ルーティングや厳密なソース ルーティングがないかどうかを調べます。

106013

説明 ASA は、PAT グローバル アドレスに対応する宛先アドレスを持つ着信 ICMP エコー要求パケットを廃棄しました。着信パケットは、そのパケットを受信するべき PAT ホストを指定できないので廃棄されます。

推奨処置 不要です。

106014

説明 ASA は、すべての着信 ICMP パケット アクセスを拒否しました。デフォルトで、ICMP パケットはすべて、特に許可されている場合を除き、アクセスを拒否されます。

推奨処置 不要です。

106015

説明 ASA は、 関連付けられている接続が ASA 接続テーブルにない TCP パケットを廃棄しました。 ASA は、 新しい接続の確立要求を示す SYN フラグをパケットで探します。その SYN フラグが設定されておらず、既存の接続もない場合、 ASA はそのパケットを廃棄します。

推奨処置 ASA がこれらの無効な TCP パケットを大量に受信する場合を除き、不要です。大量に受信する場合は、パケットを送信元までトレースして、これらのパケットが送信された原因を判別します。

106016

説明 宛先 IP アドレスが 0.0.0.0 で、宛先 MAC アドレスが ASA インターフェイスのアドレスのパケットが ASA インターフェイスに到着しました。また、このメッセージは、ASA が無効な送信元アドレス（たとえば、次に示すアドレスなどの無効アドレス）を持つパケットを廃棄した場合にも生成されます。

• ループバック ネットワーク（127.0.0.0）

• ブロードキャスト（limited、net-directed、subnet-directed、および all-subnets-directed）

• 宛先ホスト（land.c）

スプーフィング パケット検出をさらに強化するには、 icmp コマンドを使用して、内部ネットワークに属する送信元アドレスを持つパケットを廃棄するように ASA を設定します。 現在、 access-list コマンドは推奨されておらず、正しく動作することも保証されていません。

推奨処置 外部ユーザが保護されているネットワークを危険にさらそうとしていないかどうかを判別します。設定に誤りのあるクライアントをチェックします。

106017

説明 IP 送信元アドレスと IP 宛先が同一で、かつ宛先ポートと送信元ポートが同一のパケットを ASA が受信しました。このメッセージは、システムの攻撃を目的としてスプーフィングされたパケットを示します。この攻撃は、Land 攻撃と呼ばれます。

推奨処置 このメッセージが引き続き表示される場合は、攻撃が進行中である可能性があります。パケットは、攻撃の起点を決定するのに十分な情報を提供しません。

106018

説明 ローカル ホスト（inside_address）から外部ホスト（outside_address）への発信 ICMP パケット（指定された ICMP のパケット）が発信 ACL リストによって拒否されました。

推奨処置 不要です。

106020

説明 ASA が、小さなオフセットまたはフラグメントの重複が含まれる teardrop シグニチャを持つ IP パケットを廃棄しました。これは、ASA または侵入検知システムを欺く敵対イベントです。

推奨処置 リモート ピアの管理者に問い合わせるか、またはセキュリティ ポリシーに従ってこの問題の解決を依頼します。

106021

説明 攻撃が進行中です。着信接続で IP アドレスをスプーフィングしようとする試みが行われています。逆ルート ルックアップとも呼ばれる Unicast RPF は、ルートによって表される送信元アドレスを持たないパケットを検出し、そのパケットを ASA への攻撃の一部であると想定します。

このメッセージは、ip verify reverse-path コマンドで Unicast RPF をイネーブルにしている場合に表示されます。この機能は、インターフェイスに入力されるパケットについて動作します。外側で設定されている場合、ASA は、外部から到達するパケットを確認します。

ASA は、source_address に基づいてルートを検索します。エントリが検出されず、ルートが定義されない場合は、このメッセージが表示され、接続は廃棄されます。

ルートがある場合、ASA は対応するインターフェイスを確認します。パケットが別のインターフェイスに到着した場合、このパケットはスプーフィングであるか、または宛先までに複数のパスがある非対称ルーティング環境が存在しています。ASA は、非対称ルーティングはサポートしていません。

ASA が内部インターフェイスで設定されている場合はスタティック route コマンド文または RIP をチェックし、source_address が見つからない場合は、内部ユーザがアドレスをスプーフィングしています。

推奨処置 攻撃が進行中であっても、この機能がイネーブルになっていれば、ユーザによる処置は不要です。ASA により、攻撃が阻止されます。

106022

説明 接続と一致するパケットが、その接続が開始されたインターフェイスとは異なるインターフェイスに到着しました。また、ip verify reverse-path コマンドが設定されていません。

たとえば、ユーザが内部インターフェイスで接続を開始したが、ASA が境界インターフェイスに到着する同じ接続を検出する場合、ASA は宛先へのパスを複数持っていることになります。これは非対称ルーティングと呼ばれ、ASA ではサポートされていません。

攻撃者は、ASA に侵入する方法として、1 つの接続から別の接続にパケットを付加しようと試みることもあります。どちらの場合も、ASA はこのメッセージを表示して、接続を廃棄します。

推奨処置 ルーティングが非対称でないことを確認します。

106023

説明 実際の IP パケットが ACL によって拒否されました。このメッセージは、ACL に対して log オプションをイネーブルにしていない場合でも表示されます。IP アドレスは、NAT によって表示される値ではなく実際の IP アドレスです。一致するものが見つかった場合、IP アドレスに対応するユーザ ID 情報と FQDN 情報の両方が出力されます。ASA は、識別情報（ドメイン\ユーザ）または FQDN（ユーザ名が使用できない場合）のいずれかをログに記録します。識別情報または FQDN が使用可能な場合、ASA は、この情報を送信元と宛先の両方のログに記録します。

推奨処置 同じ送信元アドレスからのメッセージが引き続き表示される場合は、フットプリンティングまたはポート スキャンが行われている可能性があります。リモート ホストの管理者にお問い合わせください。

106024

説明 アクセス リストのコンパイル プロセスで、メモリが不足しています。最後の正常なアクセス リスト以降に追加されたコンフィギュレーション情報はすべて、ASA から削除されました。最新のコンパイル済みアクセス リストのセットが引き続き使用されます。

推奨処置 Access Lists、AAA、ICMP、SSH、Telnet、および他の規則タイプは、アクセス リストの規則タイプとして格納され、コンパイルされます。これらの規則タイプの一部を削除して、他の規則タイプを追加できるようにします。

106025、106026

説明 マルチコンテキスト モードのパケットのセキュリティ コンテキストを判定できません。どちらのメッセージも、ルータまたはトランスペアレント モードで廃棄される IP パケットに対して生成されることがあります。

推奨処置 不要です。

106027

説明 マルチコンテキスト モードのパケットのセキュリティ コンテキストを判定できません。このメッセージは、トランスペアレント モードで廃棄される非 IP パケットに対してだけ生成されます。

推奨処置 不要です。

106100

説明 最初の出現か、またはある期間の合計出現数を示します。このメッセージは、拒否されたパケットだけを記録して、ヒット数も設定可能なレベルも含まないメッセージ 106023 よりも多くの情報を提供します。

アクセス リストの行に log 引数が含まれている場合、非同期パケットが ASA に到達し、アクセス リストによって評価されることによって、このメッセージ ID がトリガーされる可能性があると想定されます。たとえば、ASA で（接続テーブルに TCP 接続が存在しない）ACK パケットを受信した場合、ASA によってメッセージ 106100 が生成される可能性があります。このメッセージは、パケットは許可されたが、一致する接続が存在しないために後で正しく廃棄されることを示します。

メッセージの値は次のとおりです。

• permitted | denied | est-allowed：これらの値は、パケットが ACL によって許可されたか拒否されたかを指摘します。値が est-allowed の場合、パケットは ACL によって拒否されましたが、すでに確立されているセッションで許可されました（たとえば、内部ユーザがインターネットへのアクセスを許可され、通常は ACL によって拒否される応答パケットが許可されます）。

• protocol ：TCP、UDP、ICMP、または IP プロトコル番号。

• interface_name ：ログ フローの送信元または宛先のインターフェイス名。VLAN インターフェイスがサポートされています。

• source_address ：ログ フローの送信元 IP アドレス。IP アドレスは、NAT によって表示される値ではなく実際の IP アドレスです。

• dest_address ：ログ フローの宛先 IP アドレス。IP アドレスは、NAT によって表示される値ではなく実際の IP アドレスです。

• source_port ：ログ フローの送信元ポート（TCP または UDP）。ICMP の場合、送信元ポートの後の数字は、メッセージ タイプです。

• idfw_user ：ASA が当該 IP アドレスのユーザ名を見つけた場合に既存の syslog に追加される、ドメイン名を含むユーザ識別用ユーザ名。

• sg_info ： ASA によって当該 IP アドレスのセキュリティ グループ タグが検出された場合に syslog に追加されるセキュリティ グループ タグ。セキュリティ グループ名は、セキュリティ グループ タグがあればそれとともに表示されます。

• dest_port ：ログ フローの宛先ポート（TCP または UDP）。ICMP の場合、宛先ポートの後の数字は ICMP メッセージ コードです。これは一部のメッセージ タイプに使用可能です。タイプ 8 の場合、これは常に 0 です。ICMP メッセージ タイプのリストについては、次の URL を参照してください。 http://www.iana.org/assignments/icmp-parameters/icmp-parameters.xml

• hit-cnt number ：設定した期間に、このフローが ACL エントリによって許可または拒否された回数。ASA がこのフローに対して最初のメッセージを生成するときの値は 1 です。

• first hit：このフローに対して生成された最初のメッセージ。

• number -second interval：ヒット数を累算する対象期間。この期間は、 access-list コマンドで interval オプションを使用して設定します。

• ハッシュ コード：オブジェクト グループ ACE および構成要素の通常の ACE には、必ず 2 が表示されます。値は、パケットがヒットする ACE 上で決定されます。これらのハッシュ コードを表示するには show-access list コマンドを入力します。

推奨処置 不要です。

106101

説明 ACL deny 文（ access-list id deny コマンド）に log オプションを設定してあり、トラフィック フローが ACL 文と一致する場合、ASAはフロー情報をキャッシュします。このメッセージは、ASAでキャッシュされる一致フローの数がユーザが設定した制限（ access-list deny-flow-max コマンドを使用）を超えたことを示します。このメッセージは、Denial of Service（DoS; サービス拒絶）攻撃の結果生成される可能性があります。

• number ： access-list deny-flow-max コマンドを使用して設定された制限

推奨処置 不要です。

106102

説明 VPN フィルタを通じて適用されるアクセス リストによってパケットが許可または拒否されました。このメッセージは、メッセージ 106100 に相当する VPN/AAA フィルタのメッセージです。

推奨処置 不要です。

106103

説明 VPN フィルタを通じて適用されるアクセス リストによってパケットが拒否されました。このメッセージは、メッセージ 106023 に相当する VPN/AAA フィルタのメッセージです。

推奨処置 不要です。

107001

説明 ASAは不正な認証を持つ RIP 応答メッセージを受信しました。このメッセージは、ルータまたは ASA の設定の誤り、または ASA のルーティング テーブルへの攻撃の失敗が原因となることもあります。

推奨処置 このメッセージは攻撃の可能性を示しているため、モニタする必要があります。このメッセージに示されている送信元 IP アドレスを熟知していない場合は、信頼できるエンティティ間で RIP 認証キーを交換します。攻撃者が既存のキーを判別しようと試みている可能性もあります。

107002

説明 このメッセージは、ルータのバグ、非 RFC 値を内部に持つパケット、または形式が誤っているエントリが原因で表示される可能性があります。これは発生してはならないもので、ASA のルーティング テーブルを利用しようとする試みの可能性もあります。

推奨処置 このメッセージは攻撃の可能性を示しているため、モニタする必要があります。パケットは認証を渡しましたが（イネーブルの場合）、不良データがパケット内にあります。パケットの発信者について疑わしい点があれば、状況をモニタしてキーを変更します。

108002

説明 Mail Guard（SMTP）メッセージが inspect esmtp コマンドによって生成されました。ASA は、電子メール アドレスの無効な文字をスペースで置き換えました。

推奨処置 不要です。

108003

説明 ASA は、電子メール アドレスに悪意のあるパターンを検出して、接続をドロップしました。攻撃が進行中です。

推奨処置 不要です。

108004

説明 ESMTP メッセージに対して ESMTP 分類が実施され、指定の基準が満たされました。設定済みのアクションが実行されます。

• action_class ：アクションのクラス（ESMTP の match コマンドの場合は ESMTP Classification、パラメータ コマンドの場合は ESMTP Parameter）

• action ：実行されるアクション（Dropped、Dropped connection for、Reset connection for、または Masked header flags for）

• req_resp ：要求または応答

• src_ifc ：送信元インターフェイス名

• sip|sport ：送信元 IP アドレスまたは送信元ポート

• dest_ifc ：宛先インターフェイス名

• dip|dport ：宛先 IP アドレスまたは宛先ポート

• further info ：次のいずれか

1 つの match コマンドの場合：matched Class id : match_command （たとえば、matched Class 1234: match body length 100）。

パラメータ コマンドの場合： parameter-command : descriptive-message （たとえば、mail-relay: No Mail Relay allowed）

推奨処置 不要です。

108005

説明 ESMTP メッセージに対して ESMTP 分類が実施され、指定の基準が満たされました。スタンドアロンのログ アクションが実行されます。

• action_class ：アクションのクラス（ESMTP の match コマンドの場合は ESMTP Classification、パラメータ コマンドの場合は ESMTP Parameter）

• req_resp ：要求または応答

• src_ifc ：送信元インターフェイス名

• sip|sport ：送信元 IP アドレスまたは送信元ポート

• dest_ifc ：宛先インターフェイス名

• dip|dport ：宛先 IP アドレスまたは宛先ポート

• further info ：次のいずれか

1 つの match コマンドの場合：matched Class id : match_command （たとえば、matched Class 1234: match body length 100）

パラメータ コマンド（パラメータ セクションのコマンド）の場合： parameter-command : descriptive-message （たとえば、mail-relay: No Mail Relay allowed）

推奨処置 不要です。

108006

説明 このイベントは、ESMTP メッセージのサイズが RCPT コマンドで宣言されたサイズを超えている場合に生成されます。

• src_ifc ：送信元インターフェイス名

• sip|sport ：送信元 IP アドレスまたは送信元ポート

• dest_ifc ：宛先インターフェイス名

• dip|dport ：宛先 IP アドレスまたは宛先ポート

• decl_size ：宣言されたサイズ

• act_size ：実際のサイズ

推奨処置 不要です。

108007

説明 ESMTP 接続でサーバがクライアントの STARTTLS コマンドに対して 220 応答コードで応答しました。ESMTP インスペクション エンジンでは、この接続のトラフィックは検査されなくなります。

• client-side interface-name ：クライアント側に向かうインターフェイスの名前

• client IP address ：クライアントの IP アドレス

• client port ：クライアントの TCP ポート番号

• server-side interface-name ：サーバ側に向かうインターフェイスの名前

• server IP address ：サーバの IP アドレス

• server port ：サーバの TCP ポート番号

推奨処置 メッセージをログに記録して確認します。この接続に関連付けられている ESMTP ポリシー マップに「allow-tls action log」が設定されていることを確認します。設定されていない場合は、Cisco TAC にお問い合わせください。

109001

説明 ASA が AAA 用に設定されており、指定されたユーザによる認証要求を検出しました。

推奨処置 不要です。

109002

説明 指定された認証サーバにモジュールがアクセスできないために認証要求が失敗しました。

推奨処置 指定された認証サーバ上で認証デーモンが動作していることを確認します。

109003

説明 認証サーバが見つかりません。

推奨処置 ASA から認証サーバに対して ping を実行します。デーモンが動作していることを確認します。

109005

説明 指定された認証要求が成功しました。

推奨処置 不要です。

109006

説明 おそらくパスワードが誤っているために、指定された認証要求が失敗しました。

推奨処置 不要です。

109007

説明 指定された認可要求が成功しました。

推奨処置 不要です。

109008

説明 おそらくパスワードが誤っているために、指定されたアドレスへのアクセスをユーザが許可されませんでした。

推奨処置 不要です。

109010

説明 サーバで多くの要求が保留中であるために、認証要求が処理できませんでした。

推奨処置 認証サーバが遅すぎるために認証要求に応答できないのかどうかを確認します。Flood Defender 機能を floodguard enable コマンドでイネーブルにします。

109011

説明 認証セッションがホストと ASA の間で開始されましたが、まだ完了していません。

推奨処置 不要です。

109012

説明 認証キャッシュがタイムアウトになっています。 ユーザは、次の接続で再認証が必要になります。timeout uauth コマンドを使用して、このタイマーのタイムアウト時間を変更できます。

推奨処置 不要です。

109013

説明 ユーザは、サービスを使用する前に認証を受ける必要があります。

推奨処置 サービスを使用する前に FTP、Telnet、または HTTP を使用して認証します。

109014

説明 認証の要求に、対応する認可の要求がありませんでした。

推奨処置 aaa authentication および aaa authorization コマンド文がコンフィギュレーションに含まれていることを確認します。

109016

説明 このユーザの AAA サーバで指定された ACL が、ASA に存在しません。このエラーは、ASA を設定する前に AAA サーバを設定した場合に発生することがあります。AAA サーバでベンダー固有属性（VSA）が次の値のいずれかになっている可能性があります。

• acl=acl_ID

• shell:acl=acl_ID

• ACS:CiscoSecured-Defined-ACL=acl_ID

推奨処置 ASA に ACL を追加し、AAA サーバで指定したものと同じ名前を必ず使用します。

109017

説明 ユーザが、ユーザ認証のプロキシ制限を超えて、プロキシに多くの接続を開きました。

推奨処置 proxy-limit proxy_limit コマンドを入力してプロキシ制限を増やすか、または未使用の接続を閉じるようユーザに要求します。引き続きエラーが表示される場合は、DoS 攻撃の可能性を示していることもあります。

109018

説明 ダウンロードされた認可に ACE がありません。この状況は、属性文字列 ip:inacl# のつづりの誤り、または access-list コマンドの省略が原因となっている可能性があります。

推奨処置 指摘されたエラーのある ACL コンポーネントを AAA サーバ上で修正します。

109019

説明 ダウンロードした認可の属性文字列 ip:inacl#NNN= のシーケンス番号 NNN を解析中にエラーが発生しました。= の欠落、数字以外の文字やスペース以外の文字が # と = の間にある、NNN が 999999999 より大きい、などの原因が考えられます。

推奨処置 指摘されたエラーのある ACL 要素を AAA サーバ上で修正します。

109020

説明 ダウンロードされた認可のコンポーネントの 1 つにコンフィギュレーション エラーがあります。要素のテキスト全体がメッセージに含まれています。このメッセージは通常、無効な access-list コマンド文が原因となっています。

推奨処置 指摘されたエラーのある ACL コンポーネントを AAA サーバ上で修正します。

109021

説明 内部ユーザ認証エラーが発生しました。

推奨処置 不要です。ただし、このエラーが繰り返し表示される場合は、Cisco TAC にお問い合わせください。

109022

説明 ASA は、各 HTTPS 認証に対して 1 つの専用プロセスで認証要求を処理します。同時に動作しているプロセスの数がシステムによって課せられた制限を超えると、ASA は認証を実行せず、このメッセージが表示されます。

推奨処置 不要です。

109023

説明 このサービス ポートは、設定されたポリシーに基づいて認証を受けてから、使用する必要があります。

推奨処置 このサービス ポートを使用しようとするときは、事前に Telnet、FTP、または HTTP を使用して認証します。

109024

説明 ASA が AAA 用に設定され、ユーザが事前の認証なしに ASA を通して TCP 接続を行おうとした場合に表示されます。

推奨処置 不要です。

109025

説明 チェックが失敗しました。チェックは、拒否と一致したか、または暗黙的な拒否のように、いずれとも一致しませんでした。接続は、Cisco Secure Access Control Server（ACS）の AAA 許可ポリシーに従って定義されたユーザ acl_ID によって拒否されました。

推奨処置 不要です。

109026

説明 AAA サーバからの応答が検証できません。設定されたサーバ キーが誤っている可能性があります。このメッセージは、RADIUS サーバまたは TACACS+ サーバとのトランザクション中に生成されることがあります。

推奨処置 aaa-server コマンドを使用して設定されたサーバ キーが正しいことを確認します。

109027

説明 AAA サーバからの応答が検証できません。設定されたサーバ キーが誤っている可能性があります。このメッセージは、RADIUS サーバまたは TACACS+ サーバとのトランザクション中に表示されることがあります。server_IP_address は、関連する AAA サーバの IP アドレスです。user は、接続に関連付けられているユーザ名です。

推奨処置 aaa-server コマンドを使用して設定されたサーバ キーが正しいことを確認します。

109028

説明 AAA が設定された AAA 規則と一致する同じセキュリティ トラフィックに対してバイパスされています。これが発生する可能性があるのは、同じ設定済みセキュリティ レベルを持つ 2 つのインターフェイス間をトラフィックが通過する場合、同じセキュリティ トラフィックが許可される場合、および AAA コンフィギュレーションが include 構文または exclude 構文を使用する場合だけです。

推奨処置 不要です。

109029

説明 ユーザ認証中に RADIUS サーバからダウンロードされたアクセス リストを解析している間に構文エラーが発生しました。

• string ：アクセス リストの正しい解析を妨げた構文エラーを詳述するエラー メッセージ

推奨処置 このメッセージに提示されている情報を使用して、RADIUS サーバ コンフィギュレーション内のアクセス リスト定義にある構文エラーを特定し、訂正します。

109030

説明 RADIUS サーバで設定されたダイナミック ACL が、ワイルドカード ネットマスクを自動的に検出するメカニズムによって変換されませんでした。問題は、ネットマスクがワイルドカードであるか、通常のネットマスクであるかをこのメカニズムが判別できないために発生します。

• access_list ：変換できないアクセス リスト

• source ：送信元 IP アドレス

• dest ：宛先 IP アドレス

• netmask ：宛先アドレスまたは送信元アドレスに対する 10 進数表記のサブネット マスク

推奨処置 RADIUS サーバのアクセス リスト ネットマスクを確認して、ワイルドカード コンフィギュレーションがないかどうかを調べます。ネットマスクをワイルドカードにする予定の場合、およびそのサーバのアクセス リスト ネットマスクすべてがワイルドカードである場合、AAA サーバの acl-netmask-convert に wildcard 設定を使用します。それ以外の場合は、ネットマスクを通常のネットマスクまたはホールを含まないワイルドカード ネットマスクに変更します（つまり、ネットマスクは連続する 2 進数の 1 を提示します。たとえば、00000000.00000000.00011111.11111111 または 16 進数の 0.0.31.255 のようになります）。マスクを通常にする予定の場合、およびそのサーバのすべてのアクセス リスト ネットマスクが通常である場合、AAA サーバの acl-netmask-convert に normal 設定を使用します。

109031

説明 ユーザがゲスト アカウントのアクセス用に設定された NT ドメインに認証を試み、username が NT サーバで有効なユーザ名ではありません。接続は拒否されます。

推奨処置 ユーザが有効なユーザの場合は、アカウントを NT サーバに追加します。ユーザがアクセスを許可されていない場合は、処置は不要です。

109032

説明 ASA は、ユーザ接続に適用するアクセス コントロール リストを RADIUS サーバから受信しましたが、リストのエントリに構文エラーが含まれています。エラーが含まれるリストを使用すると、セキュリティ ポリシー違反になる可能性があるため、ASA はユーザを認証できませんでした。

• access_list ： show access-list コマンドの出力に表示されるダイナミック アクセス リストに割り当てられている名前

• username ：その接続がこのアクセス リストの制御を受けるユーザの名前

• ace ：エラーが検出されたときに処理されていたアクセス リストのエントリ

推奨処置 RADIUS サーバのコンフィギュレーションのアクセス リスト定義を訂正します。

109033

説明 管理接続の認証中に AAA チャレンジ処理がトリガーされましたが、ASAはそのクライアント アプリケーションでの対話型チャレンジ処理を開始できません。このような場合は、認証試行が拒否され、接続が拒否されます。

• user ：認証対象のユーザの名前

• src_IP ：クライアント ホストの IP アドレス

• protocol ：クライアント接続プロトコル（SSH v1 または管理 HTTP）

推奨処置 これらの接続タイプに対してチャレンジ処理が発生しないように AAA を再設定します。これは、通常、RSA SecurID サーバ、または RADIUS 経由のトークンベース AAA サーバに対して、これらの接続タイプの認証を避けることを意味します。

109034

説明 ネットワーク接続の認証中に AAA チャレンジ処理がトリガーされましたが、ASAはそのクライアント アプリケーションでの対話型チャレンジ処理を開始できません。このような場合は、認証試行が拒否され、接続が拒否されます。

• user ：認証対象のユーザの名前

• src_IP/port ：クライアント ホストの IP アドレスおよびポート

• dst_IP/port ：クライアントが接続しようとしているサーバの IP アドレスおよびポート

• protocol ：クライアント接続プロトコル（たとえば、FTP）

推奨処置 これらの接続タイプに対してチャレンジ処理が発生しないように AAA を再設定します。これは、通常、RSA SecurID サーバ、または RADIUS 経由のトークンベース AAA サーバに対して、これらの接続タイプの認証を避けることを意味します。

109036

説明 LDAP 応答メッセージに、1000 を超える値を持つ属性が含まれています。

• attribute_name ：LDAP 属性名

• username ：ログイン時のユーザ名

推奨処置 不要です。

109037

説明 ASA では、AAA サーバから同じ属性の複数の値を受信することがサポートされています。AAA サーバから同じ属性に関して 5000 を超える値を含む応答が送信されてきた場合、ASA ではこの応答メッセージを形式誤りとして処理し、認証を拒否します。このような状況は、特殊なテスト ツールを使用するラボ環境でだけ確認されています。実際の実稼働ネットワークで発生する可能性はまずありません。

• attribute_name ：LDAP 属性名

• username ：ログイン時のユーザ名

推奨処置 プロトコル スニファ（WireShark など）を使用して ASA と AAA サーバ間の認証トラフィックを取り込み、トレース ファイルを Cisco TAC に転送して分析を依頼してください。

109038

説明 AAA サブシステムが AAA サーバからの属性を内部表現へと解析しようとして失敗しました。

• string-from-server ：AAA サーバから受信した文字列。40 文字に切り捨てられます。

• type ：指定された属性のタイプ

推奨処置 属性が AAA サーバ上に正しく生成されていることを確認します。詳細については、 debug ldap コマンドおよび debug radius コマンドを使用します。

109039

説明 NAT によって IPv6 アドレスに変換される IPv6 アドレスまたは IPv4 アドレスを含むパケットには、AAA の認証または承認が必要です。AAA の認証および承認は IPv6 アドレスをサポートしません。パケットはドロップされます。

• lifc ：入力インターフェイス

• laddr ：送信元 IP アドレス

• fifc ：出力インターフェイス

• faddr ：NAT 変換後の宛先 IP アドレス（存在する場合）

推奨処置 対処は不要です。

110002

説明 パケットの送信に使用するインターフェイスを ASA が検出しようとしたときに、エラーが発生しました。

• protocol ：パケットのプロトコル

• src interface ：パケットの送信元インターフェイス

• src IP ：パケットの送信元 IP アドレス

• src port ：送信元ポート番号

• dest IP ：パケットの宛先 IP アドレス

• dest port ：宛先ポート番号

推奨処置 エラー メッセージ、コンフィギュレーション、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。

110003

説明 インターフェイス ルーティング テーブル上のネクスト ホップを ASA が検出しようとしたときに、エラーが発生しました。

• protocol ：パケットのプロトコル

• src interface ：パケットの送信元インターフェイス

• src IP ：パケットの送信元 IP アドレス

• src port ：送信元ポート番号

• dest IP ：パケットの宛先 IP アドレス

• dest port ：宛先ポート番号

推奨処置 エラー メッセージ、コンフィギュレーション、およびエラーの原因となったイベントの詳細をコピーし、Cisco TAC にお問い合わせください。デバッグ時にルーティング テーブルの詳細を表示するには、 show asp table routing コマンドを使用します。

111001

説明 コンフィギュレーションを device（フロッピーディスク、フラッシュ メモリ、TFTP、フェールオーバー スタンバイ装置、またはコンソール端末のいずれか）に格納する write コマンドを入力しました。 IP_address は、ログインがコンソール ポートで行われたか、または Telnet 接続で行われたかを示します。

推奨処置 不要です。

111002

説明 コンフィギュレーションを device（フロッピーディスク、フラッシュ メモリ、TFTP、フェールオーバー スタンバイ装置、またはコンソール端末のいずれか）から読み取る read コマンドを入力しました。 IP_address は、ログインがコンソール ポートで行われたか、または Telnet 接続で行われたかを示します。

推奨処置 不要です。

111003

説明 コンソールで write erase コマンドを入力してフラッシュ メモリの内容を消去しました。 IP_address の値は、ログインがコンソール ポートで行われたか、または Telnet 接続で行われたかを示します。

推奨処置 コンフィギュレーションを消去した後、ASAを再設定して新しいコンフィギュレーションを保存します。または、フロッピーディスクまたはネットワークの他の場所にある TFTP サーバに以前保存してあるコンフィギュレーションから情報を復元できます。

111004

説明 config floppy/memory/ network コマンドまたは write floppy/memory/network/standby コマンドを入力しました。 IP_address の値は、ログインがコンソール ポートで行われたか、または Telnet 接続で行われたかを示します。

推奨処置 メッセージが OK で終われば不要です。このメッセージでエラーが表示された場合は、問題を解決します。たとえば、フロッピーディスクに書き込む場合は、フロッピーディスクが書き込み禁止になっていないことを確認します。TFTP サーバに書き込む場合は、サーバが動作していることを確認します。

111005

説明 コンフィギュレーション モードを終了しました。 IP_address の値は、ログインがコンソール ポートで行われたか、または Telnet 接続で行われたかを示します。

推奨処置 不要です。

111007

説明 reload コマンドまたは configure コマンドを入力してコンフィギュレーションを読み込みました。device テキストは、フロッピーディスク、メモリ、ネット、スタンバイ、または端末になります。 IP_address の値は、ログインがコンソール ポートで行われたか、または Telnet 接続で行われたかを示します。

推奨処置 不要です。

111008

説明 ユーザが show コマンド以外の任意のコマンドを入力しました。

推奨処置 不要です。

111009

説明 ユーザにより、コンフィギュレーションが変更されないコマンドが入力されました。このメッセージは、 show コマンドに限り表示されます。

推奨処置 不要です。

111010

説明 ユーザが設定変更を行いました。

• username ：設定変更を行ったユーザ

• application-name ：ユーザが実行しているアプリケーション

• ip addr ：管理ステーションの IP アドレス

• cmd ：ユーザが実行したコマンド

推奨処置 不要です。

111111

説明 システム エラーまたはインフラストラクチャ エラーが発生しました。

推奨処置 問題が解決しない場合、Cisco TAC にお問い合わせください。

112001

説明 モジュール コンフィギュレーションを消去する要求が完了しました。ソース ファイルおよび行番号が特定されます。

推奨処置 不要です。

113001

説明 AAA リソースが使用できないために、IPSec トンネルまたは WebVPN 接続で AAA 動作を実行できません。 limit 値は、同時 AAA トランザクションの最大数を示します。

推奨処置 可能であれば、AAA リソースの要求を減らします。

113003

説明 トンネル グループに関連付けられているグループ ポリシーが、ユーザ固有のポリシー policy_name で上書きされます。 policy_name は、LOCAL 認証の設定時に username コマンドを使用して指定されており、RADIUS 認証の設定時に RADIUS CLASS 属性で返されます。

推奨処置 不要です。

113004

説明 IPSec または WebVPN 接続に対する AAA 操作が正常に完了しました。AAA タイプは、認証、許可、またはアカウンティングです。 server_IP_address は、関連する AAA サーバの IP アドレスです。 user は、接続に関連付けられているユーザ名です。

推奨処置 不要です。

113005

説明 IPSec 接続または WebVPN 接続に関連付けられているユーザの認証要求または認可要求が拒否されました。要求が拒否された理由の詳細は reason フィールドに示されています。 server_IP_address は、関連する AAA サーバの IP アドレスです。 user は、接続に関連付けられているユーザ名です。 aaa_operation は、認証または認可のどちらかです。

推奨処置 不要です。

113006

説明 ローカルに設定されているユーザがロックアウトされています。このメッセージは、このユーザについて認証失敗が連続して設定回数だけ発生したときに現れ、今後このユーザが認証を受けようとしても、管理者が clear aaa local user lockout コマンドを使用してユーザをアンロックするまでは、すべて拒否されることを示します。 user は現在ロックされているユーザであり、 number は aaa local authentication attempts max-fail コマンドを使用して設定されている連続失敗しきい値です。

推奨処置 clear_aaa_local_user_lockout コマンドを使用してユーザをアンロックするか、許容される連続認証失敗の最大数を調整します。

113007

説明 ローカルに設定されたユーザが、 aaa local authentication attempts max-fail コマンドを使用して設定された連続認証失敗の最大数を超えたためロックアウトされた後、表示されている管理者によってアンロックされました。

推奨処置 不要です。

113008

説明 IPSec 接続または WebVPN 接続に関連付けられているユーザの AAA トランザクションが正常に完了しました。user は、接続に関連付けられているユーザ名です。

推奨処置 不要です。

113009

説明 IPSec 接続または WebVPN 接続の認証または認可が発生しました。 tunnel-group コマンドまたは webvpn コマンドで指定されたグループ ポリシーの属性が取得されました。

推奨処置 不要です。

113010

説明 SecurID サーバを使用した IPSec 接続の認証が発生しました。ユーザは、認証に先立って詳細情報を入力するよう求められます。

• user ：接続に関連付けられているユーザ名

• server _IP_address ：関連する AAA サーバの IP アドレス

推奨処置 不要です。

113011

説明 IPSec 接続または WebVPN 接続の認証または認可が発生しました。 tunnel-group コマンドまたは webvpn コマンドで指定されたグループ ポリシーの属性が取得されました。

推奨処置 不要です。

113012

説明 IPSec 接続または WebVPN 接続に関連付けられているユーザが、ローカル ユーザ データベースに正常に認証されました。

• user ：接続に関連付けられているユーザ名

推奨処置 不要です。

113013

説明 IPSec 接続または WebVPN 接続に関連付けられているユーザの AAA トランザクションが、エラーにより失敗したか、またはポリシー違反により拒否されました。

• reason ：理由の詳細

• user ：接続に関連付けられているユーザ名

推奨処置 不要です。

113014

説明 デバイスが、IPSec 接続または WebVPN 接続に関連付けられている AAA トランザクション中に設定済み AAA サーバと通信できませんでした。このため、ユーザが接続しようとしたとき、 aaa-server グループに設定されているバックアップ サーバおよびそのサーバのアベイラビリティ次第で、接続に失敗する場合も、失敗しない場合もあります。

推奨処置 設定済みの AAA サーバとの接続を確認します。

113015

説明 IPSec 接続または WebVPN 接続に関連付けられているユーザのローカル ユーザ データベースへの認証要求が拒否されました。

• reason ：要求が拒否された理由の詳細

• user ：接続に関連付けられているユーザ名

推奨処置 不要です。

113016

説明 IPSec 接続または WebVPN 接続に関連付けられているユーザの AAA トランザクションが、エラーにより失敗したか、またはポリシー違反により拒否されました。

• reason ：理由の詳細

• server_IP_address ：関連する AAA サーバの IP アドレス

• user ：接続に関連付けられているユーザ名

推奨処置 不要です。

113017

説明 IPSec 接続または WebVPN 接続に関連付けられているユーザの AAA トランザクションが、エラーにより失敗したか、またはポリシー違反により拒否されました。このイベントが表示されるのは、AAA トランザクションが外部 AAA サーバではなくローカル ユーザ データベースと行われる場合だけです。

• reason ：理由の詳細

• user ：接続に関連付けられているユーザ名

推奨処置 不要です。

113018

説明 サポートされていないフォーマットの ACL エントリが認証サーバからダウンロードされました。メッセージの値は次のとおりです。

• user ：ログインを試行しているユーザ

• ACL_entry ：認証サーバからダウンロードされたサポートされていない ACL エントリ

• action ：サポートされていない ACL エントリに対して実行するアクション

推奨処置 認証サーバの ACL エントリは、サポートされている ACL エントリ フォーマットに適合するように管理者が変更する必要があります。

113019

説明 最大アイドル ユーザが切断されたタイミングとその理由を示します。

• group ：グループ名

• username ：ユーザ名

• IP ：ピア アドレス

• Session Type ：セッション タイプ（たとえば IPSec または UDP）

• duration ：接続期間（時間、分、および秒）

• Bytes xmt ：送信されたバイト数

• Bytes rcv ：受信されたバイト数

• reason ：切断原因

ユーザから要求された

搬送が失われた

サービスが失われた

アイドル タイムアウト

最大時間を超過した

管理者がリセットした

管理者がリブートした

管理者がシャットダウンした

ポート エラー

NAS エラー

NAS 要求

NAS リブート

ポートの不要化

接続が切り替えられた。同一ユーザによる同時ログイン許容数を超えたことを示します。この問題を解決するには、同時ログイン数を増やすか、ユーザに対して特定のユーザ名とパスワードで 1 回だけログインを許可するようにします。

ポートが中断された

サービスが使用不可

コールバック

ユーザ エラー

ホストが要求した

SA が期限切れ

IKE の削除

帯域幅の管理エラー

証明書が失効

フェーズ 2 の不一致

ファイアウォールの不一致

ピア アドレスの変更

ACL 解析エラー

フェーズ 2 エラー

設定エラー

ピアの再接続

内部エラー

クリプト マップ ポリシーが見つからない

L2TP 開始

VLAN マッピング エラー

NAC ポリシー エラー

ダイナミック アクセス ポリシーの終了

サポートされていないクライアント タイプ

不明

推奨処置 理由に問題が示されていない限り、処置は不要です。

113020

説明 Kerberos サーバ経由の IPSec または WebVPN のユーザの認証が、ASA のクロックとそのサーバのクロックが 5 分（300 秒）以上ずれているために失敗しました。この失敗が起こったときは、接続しようとしても拒否されます。

• ip_address ：Kerberos サーバの IP アドレス

推奨処置 ASA サーバと Kerberos サーバのクロックを同期させます。

113021

説明 ユーザが管理コンソールにアクセスしようとしましたが、拒否されました。

• username ：ユーザが入力したユーザ名

推奨処置 新しく追加された admin 権限ユーザの場合は、そのユーザのサービス タイプ（LOCAL または RADIUS 認証サーバ）が次のようなアクセスを許可するように設定されていることを確認します。

• nas-prompt：コンソールへのログインおよび要求されたレベルの EXEC 特権を許可しますが、イネーブル（コンフィギュレーション修正）アクセスは許可しません。

• admin：すべてのアクセスを許可します。コマンド特権によって制約できます。

上記以外のユーザの場合は、そのユーザが管理コンソールへの不適切なアクセスを試みています。実行されるアクションは、このような問題に関する社内のポリシーに適合している必要があります。

113022

説明 ASA が AAA サーバに認証、許可、またはアカウンティングの要求を試みましたが、設定されているタイムアウト期間内に応答を受信しませんでした。この AAA サーバには失敗のマークが付けられます。この AAA サーバは、サービスから削除されました。

• protocol ：次のいずれかのタイプの認証プロトコル

- RADIUS

- TACACS+

- NT

- RSA SecurID

- Kerberos

- LDAP

• ip-addr ：AAA サーバの IP アドレス

• tag ：サーバ グループ名

推奨処置 AAA サーバがオンラインで、ASAからアクセスできることを確認します。

113023

説明 以前失敗のマークを付けられた AAA サーバが、ASA によって再びアクティブにされました。AAA 要求の処理に、この AAA サーバを使用できるようになりました。

• protocol ：次のいずれかのタイプの認証プロトコル

- RADIUS

- TACACS+

- NT

- RSA SecurID

- Kerberos

- LDAP

• ip-addr ：AAA サーバの IP アドレス

• tag ：サーバ グループ名

推奨処置 不要です。

113024

説明 ユーザ名の事前入力機能によって、AAA 用にクライアント証明書から抽出されたユーザ名で元のユーザ名が上書きされました。

• tg ：トンネル グループ

• type ：接続のタイプ（SSL クライアントまたはクライアントレス）

• ip ：接続しているユーザの IP アドレス

• user_name ：AAA 用にクライアント証明書から抽出された名前

推奨処置 不要です。

113025

説明 証明書からユーザ名を正常に抽出できませんでした。

• tg ：トンネル グループ

• fields ：検索対象の DN フィールド

• connection type ：接続のタイプ（SSL クライアントまたはクライアントレス）

• ip ：接続しているユーザの IP アドレス

推奨処置 管理者は、 authentication aaa certificate 、 ssl certificate-authentication 、および authorization-dn-attributes の各キーワードが正しく設定されていることを確認する必要があります。

113026

説明 AAA 用にクライアント証明書からユーザ名を抽出中に、エラーが発生しました。このメッセージは、username-from-certificate use-script オプションが有効な場合にだけ生成されます。

• error ：Lua 環境から返されたエラー文字列

• tunnel group ：証明書からユーザ名を抽出しようとしたトンネル グループ

推奨処置 username-from-certificate use-script で使用されているスクリプトにエラーがないかどうかを調べます。

113027

説明 スクリプト ファイルを正常にロードできません。username-from-certificate use-script オプションを使用するトンネル グループが正しく動作していません。

推奨処置 管理者は、ASDM を使用して、スクリプト ファイルにエラーがないかどうかを確認する必要があります。 debug aaa コマンドを使用して詳細なエラー メッセージを取得すると役立ちます。

113028

説明 証明書のユーザ名の処理要求は、実行中であるか、終了しました。

• num ：要求の ID（ファイバへのポインタの値）。単調に増加する番号です。

• string ：次のいずれかのステータス メッセージ。

- 要求された

- 開始された

- エラーで終了した

- 正常に終了した

- 完了した

推奨処置 不要です。

113029

説明 現在のセッション数が最大セッション ロードを超過しているため、ユーザ セッションを確立できません。

推奨処置 可能であれば、設定されている制限を増加し、ロード バランス クラスタを増やします。

113030

説明 指定された ACL が ASA 上で見つかりませんでした。

• group ：グループの名前

• user ：ユーザの名前

• ipaddr ：IP アドレス

• acl ：ACL 名

推奨処置 コンフィギュレーションを変更して、指定された ACL を追加するか、ACL の名前を修正します。

113031

説明 適用される ACL のタイプが誤っています。 vpn-filter コマンドによって、IPv6 ACL が IPv4 ACL として設定されています。

• group ：ユーザのグループ ポリシー名

• user ：ユーザ名

• ipaddr ：ユーザのパブリック（割り当てられていない）IP アドレス

• filter ：VPN フィルタの名前

推奨処置 ASA の VPN フィルタと IPv6 VPN フィルタの設定、および AAA（RADIUS）サーバのフィルタ パラメータを検証します。正しいタイプの ACL が指定されていることを確認します。

113032

説明 適用される ACL のタイプが誤っています。 ipv6-vpn-filter コマンドによって、IPv4 ACL が IPv6 ACL として設定されています。

• group ：ユーザのグループ ポリシー名

• user ：ユーザ名

• ipaddr ：ユーザのパブリック（割り当てられていない）IP アドレス

• filter ：VPN フィルタの名前

推奨処置 ASA の VPN フィルタと IPv6 VPN フィルタの設定、および AAA（RADIUS）サーバのフィルタ パラメータを検証します。正しいタイプの ACL が指定されていることを確認します。

113033

説明 関連する ACL が解析していないため、このグループ内の指定されたユーザの WebVPN セッションが許可されません。このエラーが修正されるまで、ユーザが WebVPN を介してログインすることは許可されません。

• group ：ユーザのグループ ポリシー名

• user ：ユーザ名

• ipaddr ：ユーザのパブリック（割り当てられていない）IP アドレス

推奨処置 WebVPN ACL を修正します。

113034

説明 Cisco AV-PAIR ACL が使用されたため、指摘された ACL が使用されませんでした。

• group ：グループの名前

• user ：ユーザの名前

• ipaddr ：IP アドレス

• acl ：ACL 名

推奨処置 使用する正しい ACL を確認し、コンフィギュレーションを修正します。

113035

説明 ユーザが AnyConnect クライアントを使用してログインしました。SVC サービスがグローバルにイネーブルになっていないか、または SVC イメージが無効か破損しています。セッション接続が終了されました。

• group ：ユーザの接続試行時に適用されるグループ ポリシーの名前

• user ：接続を試行しているユーザの名前

• iaddrp ：接続を試行しているユーザの IP アドレス

推奨処置 svc-enable コマンドを使用して、SVC をグローバルにイネーブルにします。 svc image コマンドを使用して新しいイメージをリロードすることで、SVC イメージの整合性とバージョンを検証します。

113036

説明 指摘されたパラメータの値が不良です。 値は非常に長い可能性があるため、表示されません。

• group ：グループの名前

• user ：ユーザの名前

• ipadddr ：IP アドレス

• name ：パラメータの名前

推奨処置 コンフィギュレーションを変更して、指摘されたパラメータを修正します。

113037

説明 ASA がリブート処理中のため、ユーザが WebVPN にログインできません。

推奨処置 不要です。

113038

説明 リソースの問題のため、指定されたグループ内のユーザに対して AnyConnect セッションが作成されませんでした。たとえば、ユーザが最大ログイン制限に達した可能性があります。

• group ：グループの名前

• user ：ユーザの名前

• ipadddr ：IP アドレス

推奨処置 不要です。

113039

説明 指定された IP アドレスにおけるこの group 内の user に対して AnyConnect セッションが開始されました。ユーザが AnyConnect ログイン ページを介してログインすると、AnyConnect セッションが開始されます。

• group ：グループの名前

• user ：ユーザの名前

• ipadddr ：IP アドレス

推奨処置 不要です。

113040

説明 接続が試行されるトンネル グループは、グループ ロックに設定されているトンネル グループと同じではありません。

• attempted group ：接続が着信するトンネル グループ

• locked group ：接続がロックまたは制限されているトンネル グループ

推奨処置 グループ ポリシーまたはユーザ属性のグループロック値を確認します。

114001

説明 I2C エラーまたはスイッチ初期化エラーのためにシステムが 4GE SSM I/O カードを初期化できませんでした。

• syslog_id ：メッセージ識別子。

• error_string ：I2C シリアル バス エラーまたはスイッチ アクセス エラー（10 進数のエラー コード）。I2C シリアル バス エラーは次のとおりです。

- I2C_BUS_TRANSACTION_ERROR

- I2C_CHKSUM_ERROR

- I2C_TIMEOUT_ERROR

- I2C_BUS_COLLISION_ERROR

- I2C_HOST_BUSY_ERROR

- I2C_UNPOPULATED_ERROR

- I2C_SMBUS_UNSUPPORT

- I2C_BYTE_COUNT_ERROR

- I2C_DATA_PTR_ERROR

推奨処置 次の手順を実行します。

1. イベントに関連付けられているメッセージとエラーを記録して確認します。

2. ASAで実行しているソフトウェアをリブートします。

3. デバイスの電源を一度切ってから再投入します。電源を切った後、必ず数秒待ってから電源を入れます。

4. 問題が解決しない場合、Cisco TAC にお問い合わせください。

114002

説明 I2C エラーまたはスイッチ初期化エラーのためにシステムが 4GE SSM I/O カードの SFP コネクタを初期化できませんでした。

• syslog_id ：メッセージ識別子。

• error_string ：I2C シリアル バス エラーまたはスイッチ アクセス エラー（10 進数のエラー コード）。I2C シリアル バス エラーは次のとおりです。

- I2C_BUS_TRANSACTION_ERROR

- I2C_CHKSUM_ERROR

- I2C_TIMEOUT_ERROR

- I2C_BUS_COLLISION_ERROR

- I2C_HOST_BUSY_ERROR

- I2C_UNPOPULATED_ERROR

- I2C_SMBUS_UNSUPPORT

- I2C_BYTE_COUNT_ERROR

- I2C_DATA_PTR_ERROR

推奨処置 次の手順を実行します。

1. イベントに関連付けられているメッセージとエラーを記録して確認します。

2. ASAで実行しているソフトウェアをリブートします。

3. デバイスの電源を一度切ってから再投入します。電源を切った後、必ず数秒待ってから電源を入れます。

4. 問題が解決しない場合、Cisco TAC にお問い合わせください。

114003

説明 I2C エラーまたはスイッチ初期化エラーのためにシステムが 4GE SSM I/O カードにキャッシュされたコマンドを実行できませんでした。

• syslog_id ：メッセージ識別子。

• error_string ：I2C シリアル バス エラーまたはスイッチ アクセス エラー（10 進数のエラー コード）。I2C シリアル バス エラーは次のとおりです。

- I2C_BUS_TRANSACTION_ERROR

- I2C_CHKSUM_ERROR

- I2C_TIMEOUT_ERROR

- I2C_BUS_COLLISION_ERROR

- I2C_HOST_BUSY_ERROR

- I2C_UNPOPULATED_ERROR

- I2C_SMBUS_UNSUPPORT

- I2C_BYTE_COUNT_ERROR

- I2C_DATA_PTR_ERROR

推奨処置 次の手順を実行します。

1. イベントに関連付けられているメッセージとエラーを記録して確認します。

2. ASAで実行しているソフトウェアをリブートします。

3. デバイスの電源を一度切ってから再投入します。電源を切った後、必ず数秒待ってから電源を入れます。

4. 問題が解決しない場合、Cisco TAC にお問い合わせください。

114004

説明 4GE SSM I/O の初期化が開始されたことがユーザに通知されました。

• syslog_id ：メッセージ識別子。

推奨処置 不要です。