Cisco Security Appliance コマンド リファレンス Cisco ASA 5500 シリーズ/Cisco PIX 500 シリーズ用 ソフトウェア バージョン 8.0(5)

 

構文の説明

 

デフォルト

デフォルトの設定は次のとおりです。

• アクティブ ユニットのデフォルトの MAC アドレス：00a0.c9 physical_port_number . failover_group_id 01

• スタンバイ ユニットのデフォルトの MAC アドレス：00a0.c9 physical_port_number . failover_group_id 02

 

コマンド履歴

 

使用上のガイドライン

仮想 MAC アドレスがフェールオーバー グループに対して定義されていない場合は、デフォルト値が使用されます。

同じネットワーク上にアクティブ/アクティブ フェールオーバー ペアが複数ある場合は、あるペアのインターフェイスに割り当てられているものと同じデフォルト仮想 MAC アドレスが、他のペアのインターフェイスに割り当てられることがあります。これは、デフォルト仮想 MAC アドレスの決定方法に基づいた動作です。ネットワーク上で MAC アドレスが重複することを回避するには、必ず各物理インターフェイスに仮想のアクティブおよびスタンバイ MAC アドレスを割り当てます。

例

次の部分的な例では、フェールオーバー グループで可能な設定を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの MAC アドレスは、物理インターフェイスのバーンドイン MAC アドレスです。サブインターフェイスは、物理インターフェイスの MAC アドレスを継承します。一部のコマンド（シングル モードでのこのコマンドを含む）は物理インターフェイスの MAC アドレスを設定するため、継承されるアドレスはその設定によって異なります。

 

コマンド履歴

 

使用上のガイドライン

マルチ コンテキスト モードでは、コンテキスト間でインターフェイスを共有した場合、各コンテキストでそれぞれ固有の MAC アドレスをインターフェイスに割り当てることができます。この機能を使用すると、セキュリティ アプライアンスはパケットを適切なコンテキストに容易に分類できます。固有の MAC アドレスがなくても共有インターフェイスを使用できますが、制限があります。詳細については、『 Cisco ASA 5500 Series Configuration Guide using the CLI 』を参照してください。

このコマンドで各 MAC アドレスを手動で割り当てることができます。あるいは mac-address auto コマンドを使用して、コンテキストで共有インターフェイスの MAC アドレスを自動的に生成できます。MAC アドレスを自動的に生成する場合、 mac-address コマンドを使用して、生成されたアドレスを上書きできます。

シングル コンテキスト モード、またはマルチ コンテキスト モードで共有されないインターフェイスの場合は、固有の MAC アドレスをサブインターフェイスに割り当てることを推奨します。たとえば、サービス プロバイダーによっては、MAC アドレスに基づいてアクセス コントロールを実行する場合があります。

他のコマンドまたは方式で MAC アドレスを設定することもできます。MAC アドレスの設定方法には次の優先順位があります。

1. インターフェイス コンフィギュレーション モードの mac-address コマンド。

このコマンドは、物理インターフェイスとサブインターフェイスに対して使用します。マルチ コンテキスト モードでは、MAC アドレスを各コンテキスト内で設定します。この機能を使用すると、複数のコンテキストの同じインターフェイスに異なる MAC アドレスを設定できます。

2. グローバル コンフィギュレーション モードでの Active/Standby フェールオーバーのための failover mac address コマンド。

このコマンドは、物理インターフェイスに適用されます。サブインターフェイスは、 mac-address または mac-address auto コマンドを使用して個別に設定しない限り、物理インターフェイスの MAC アドレスを継承します。

3. フェールオーバー グループ コンフィギュレーション モードでの Active/Active フェールオーバーのための mac address コマンド。

このコマンドは、物理インターフェイスに適用されます。サブインターフェイスは、 mac-address または mac-address auto コマンドを使用して個別に設定しない限り、物理インターフェイスの MAC アドレスを継承します。

4. グローバル コンフィギュレーション モードでの mac-address auto コマンド（マルチ コンテキスト モードのみ）。

このコマンドは、コンテキストの共有インターフェイスに適用されます。

5. Active/Active フェールオーバーの場合の物理インターフェイスのためのアクティブ MAC アドレスおよびスタンバイ MAC アドレスの自動生成。

この方法は、物理インターフェイスに適用されます。サブインターフェイスは、 mac-address または mac-address auto コマンドを使用して個別に設定しない限り、物理インターフェイスの MAC アドレスを継承します。

6. バーンドイン MAC アドレス。この方法は、物理インターフェイスに適用されます。

サブインターフェイスは、 mac-address または mac-address auto コマンドを使用して個別に設定しない限り、物理インターフェイスの MAC アドレスを継承します。

例

次に、GigabitEthernet 0/1.1 の MAC アドレスを設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

自動生成はデフォルトではディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

インターフェイスを共有するコンテキストを許可するには、固有の MAC アドレスを各共有コンテキスト インターフェイスに割り当てることを推奨します。MAC アドレスは、コンテキスト内でパケットを分類するために使用されます。インターフェイスを共有するものの、各コンテキストにインターフェイスの固有の MAC アドレスがない場合は、宛先 IP アドレスがパケットの分類に使用されます。宛先アドレスは、コンテキスト NAT コンフィギュレーションと照合されます。この方法には、MAC アドレスの方法に比べるといくつか制限があります。パケットの分類の詳細については、『 Cisco ASA 5500 Series Configuration Guide using the CLI 』を参照してください。

生成した MAC アドレスがネットワーク内の別のプライベート MAC アドレスと競合することがまれにあります。この場合は、コンテキスト内のインターフェイスの MAC アドレスを手動で設定できます。MAC アドレスを手動で設定するには、 mac-address コマンドを参照してください。

デフォルトの MAC アドレス

デフォルトでは、物理インターフェイスはバーンドイン MAC アドレスを使用し、物理インターフェイスのすべてのサブインターフェイスは同じバーンドイン MAC アドレスを使用します。

自動生成された MAC アドレスはすべて、A2 で始まります。自動生成された MAC アドレスは、リロード間で持続されます。

手動 MAC アドレスとの通信

MAC アドレスを手動で割り当てた場合、自動生成がイネーブルになっていても、手動で割り当てた MAC アドレスが使用されます。後で手動 MAC アドレスを削除すると、自動生成されたアドレスが使用されます。

自動生成されたアドレスは A2 で始まるため、手動 MAC アドレスを A2 で始めることはできません。たとえ自動生成も使用する予定であってもそれは同じです。

フェールオーバー用の MAC アドレス

フェールオーバーで使用できるように、セキュリティ アプライアンスはインターフェイスごとにアクティブとスタンバイの両方の MAC アドレスを生成します。アクティブ ユニットがフェールオーバーしてスタンバイ ユニットがアクティブになると、その新規アクティブ ユニットがアクティブな MAC アドレスの使用を開始して、ネットワークの切断を最小限に抑えます。詳細については、「MAC Address Format」を参照してください。

prefix キーワードが導入される前に従来のバージョンの mac-address auto コマンドを使用してフェールオーバー ユニットをアップグレードする場合は、「prefix キーワードを使用しない従来の MAC アドレス形式」の項を参照してください。

MAC Address Format

セキュリティ アプライアンスは、次の形式を使用して MAC アドレスを生成します。

A2xx.yyzz.zzzz

xx.yy はユーザ定義のプレフィックスで、zz.zzzz はセキュリティ アプライアンスが生成した内部カウンタです。スタンバイ MAC アドレスの場合、内部カウンタが 1 増えることを除けばアドレスは同じです。

プレフィックスの使用方法を示す例の場合、プレフィックス 77 を設定すると、セキュリティ アプライアンスは 77 を 16 進数値 004D（yyxx）に変換します。MAC アドレスで使用すると、プレフィックスはセキュリティ アプライアンスネイティブ形式に一致するように逆にされます（xxyy）。

A2 4D.00 zz.zzzz

プレフィックス 1009（03F1）の場合、MAC アドレスは次のようになります。

A2 F1.03 zz.zzzz

MAC アドレスが生成される場合

コンテキストでインターフェイスの nameif コマンドを設定すると、ただちに新規 MAC アドレスが生成されます。コンテキスト インターフェイスを設定した後でこのコマンドをイネーブルにした場合、コマンドを入力するとただちにすべてのインターフェイスの MAC アドレスが生成されます。 no mac-address auto コマンドを使用すると、各インターフェイスの MAC アドレスはデフォルトの MAC アドレスに戻ります。たとえば、GigabitEthernet 0/1 のサブインターフェイスは GigabitEthernet 0/1 の MAC アドレスを使用するようになります。

他の方法を使用した MAC アドレスの設定

他のコマンドまたは方式で MAC アドレスを設定することもできます。MAC アドレスの設定方法には次の優先順位があります。

1. インターフェイス コンフィギュレーション モードの mac-address コマンド。

このコマンドは、物理インターフェイスとサブインターフェイスに対して使用します。マルチ コンテキスト モードでは、MAC アドレスを各コンテキスト内で設定します。この機能を使用すると、複数のコンテキストの同じインターフェイスに異なる MAC アドレスを設定できます。

2. グローバル コンフィギュレーション モードでの Active/Standby フェールオーバーのための failover mac address コマンド。

このコマンドは、物理インターフェイスに適用されます。サブインターフェイスは、 mac-address または mac-address auto コマンドを使用して個別に設定しない限り、物理インターフェイスの MAC アドレスを継承します。

3. フェールオーバー グループ コンフィギュレーション モードでの Active/Active フェールオーバーのための mac address コマンド。

このコマンドは、物理インターフェイスに適用されます。サブインターフェイスは、 mac-address または mac-address auto コマンドを使用して個別に設定しない限り、物理インターフェイスの MAC アドレスを継承します。

4. グローバル コンフィギュレーション モードでの mac-address auto コマンド（マルチ コンテキスト モードのみ）。

このコマンドは、コンテキストの共有インターフェイスに適用されます。

5. Active/Active フェールオーバーの場合の物理インターフェイスのためのアクティブ MAC アドレスおよびスタンバイ MAC アドレスの自動生成。

この方法は、物理インターフェイスに適用されます。サブインターフェイスは、 mac-address または mac-address auto コマンドを使用して個別に設定しない限り、物理インターフェイスの MAC アドレスを継承します。

6. バーンドイン MAC アドレス。この方法は、物理インターフェイスに適用されます。

サブインターフェイスは、 mac-address または mac-address auto コマンドを使用して個別に設定しない限り、物理インターフェイスの MAC アドレスを継承します。

システム コンフィギュレーションでの MAC アドレスの表示

システム実行スペースから割り当てられた MAC アドレスを表示するには、 show running-config all context コマンドを入力します。

割り当てられた MAC アドレスを表示するには、 all オプションが必要です。このコマンドはグローバル コンフィギュレーション モードでのみユーザによる設定が可能ですが、 mac-address auto コマンドは割り当てられた MAC アドレスとともに各コンテキストのコンフィギュレーションに読み取り専用エントリとして表示されます。コンテキスト内で nameif コマンドで設定される割り当て済みのインターフェイスだけに MAC アドレスが割り当てられます。

（注） MAC アドレスをインターフェイスに手動で割り当てるものの、その際に自動生成がイネーブルになっていると、手動 MAC アドレスが使用中のアドレスとなりますが、コンフィギュレーションには自動生成されたアドレスが引き続き表示されます。後で手動 MAC アドレスを削除すると、表示されている自動生成アドレスが使用されます。

コンテキスト内の MAC アドレスの表示

コンテキスト内の各インターフェイスで使用されている MAC アドレスを表示するには、 show interface | include (Interface)|(MAC) コマンドを入力します。

（注） show interface コマンドは、使用中の MAC アドレスを表示します。MAC アドレスを手動で割り当てた場合に、自動生成がイネーブルになっていたときは、システム コンフィギュレーション内の未使用の自動生成アドレスのみを表示できます。

prefix キーワードを使用しない従来の MAC アドレス形式

バージョン 8.0(5) 以前、 mac-address auto コマンドには prefix キーワードが含まれていませんでした。この旧バージョンのコマンドは引き続き使用できるため、フェールオーバー ペア間でアップグレードを実行できます。アップグレードしても自動的に変換されないため、このコマンドはアップグレードしたフェールオーバー ユニットとアップグレードしなかったフェールオーバー ユニット間でこれまでどおり一致したものとなります。両ユニットを新しいソフトウェア バージョンにアップグレードした後には、 prefix キーワードを使用するようにこのコマンドを変更する必要があります。

prefix キーワードがないと、MAC アドレスは次の形式で生成されます。

• アクティブ ユニットの MAC アドレス：12_ slot . port _ subid . contextid .

• スタンバイ ユニットの MAC アドレス：02_ slot . port _ subid . contextid .

インターフェイス スロットがないプラットフォームの場合、スロットは常に 0 です。 port はインターフェイス ポートです。 subid は、表示不可能なサブインターフェイスの内部 ID です。 contextid は、 show context detail コマンドで表示可能なコンテキストの内部 ID です。たとえば、ID 1 のコンテキスト内のインターフェイス GigabitEthernet 0/1.200 には、次の生成済み MAC アドレスがあります。サブインターフェイス 200 の内部 ID は 31 です。

• アクティブ：1200.0131.0001

• スタンバイ：0200.0131.0001

この従来の MAC アドレス生成方法では、リロード間で MAC アドレスが持続されず、同じネットワーク セグメントに複数のセキュリティ アプライアンスを配置できず（固有の MAC アドレスが保証されないため）、手動で割り当てた MAC アドレスとの MAC アドレスの重複が回避されません。

例

次に、プレフィックス 78 で自動 MAC アドレス生成をイネーブルにする例を示します。

show running-config all context admin コマンドからの次の出力には、Management0/0 インターフェイスに割り当てられたプライマリおよびスタンバイ MAC アドレスが表示されます。

show running-config all context コマンドからの次の出力には、すべてのコンテキスト インターフェイスのすべての MAC アドレス（プライマリおよびスタンバイ）が表示されます。GigabitEthernet0/0 と GigabitEthernet0/1 の各メイン インターフェイスはコンテキスト内部に nameif コマンドで設定されないため、それらのインターフェイスの MAC アドレスは生成されていないことに注意してください。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトのタイムアウトは 5 分です。

 

コマンド履歴

 

使用上のガイドライン

使用方法のガイドラインはありません。

例

次に、MAC アドレスのタイムアウトを 10 分に設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次に、スタティック MAC アドレスのエントリを MAC アドレス テーブルに追加する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次に、外部インターフェイスでの MAC アドレス学習をディセーブルにする例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

認証および許可からの MAC アドレスの削除をイネーブルにするには、 aaa mac-exempt コマンドを使用します。1 つの aaa mac-exempt コマンドのみを追加できるため、削除するすべての MAC アドレスが MAC アドレス リストに含まれていることを確認してください。複数の MAC リストを作成できますが、一度に使用できるのは 1 つだけです。

例

次の例では、1 個の MAC アドレスに対する認証をバイパスします。

次のエントリでは、ハードウェア ID が 0003.E3 であるすべての Cisco IP Phone について、認証をバイパスします。

次の例では、00a0.c95d.02b2 以外の MAC アドレス グループの認証をバイパスします。00a0.c95d.02b2 は permit ステートメントとも一致するため、permit ステートメントよりも前に deny ステートメントを入力します。permit ステートメントが前にある場合、deny ステートメントとは一致しません。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次に、特定のドメインへのメール中継を設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドを使用すると、フル トンネル IPSec VPN または SSL VPN クライアント（AnyConnect 2.x クライアント、SVC 1.x）を使用するときや、サイトツーサイト IPSec トンネルを横断するときには、セキュリティ アプライアンスへの通過ルートとなるインターフェイス以外のインターフェイスに接続できます。たとえば、外部インターフェイスからセキュリティ アプライアンスに入る場合、このコマンドを使用すると、Telnet で内部インターフェイスに接続できます。あるいは、外部インターフェイスから入るときには、内部インターフェイスに ping を実行できます。

次のアプリケーションを使用できます。

• SNMP ポーリング

• HTTPS 要求

• ASDM アクセス

• Telnet アクセス

• SSH アクセス

• ping

• Syslog ポーリング

• NTP 要求

管理アクセス インターフェイスは 1 つだけ定義できます。

（注） 管理アクセス インターフェイスにスタティック NAT ステートメントは適用されません。適用した場合、リモート VPN ユーザが管理インターフェイスにアクセスできなくなります。

例

次に、ファイアウォール インターフェイスを管理アクセス インターフェイスとして「inside」という名前で設定する例を示します。

 

関連コマンド

 

構文の説明

このコマンドには引数またはキーワードはありません。

 

デフォルト

ASA 5510 以降の適応型セキュリティ アプライアンス上の Management 0/0 インターフェイスは、デフォルトでは管理専用モードに設定されます。

 

コマンド履歴

 

使用上のガイドライン

ASA 5510 以降の適応型セキュリティ アプライアンスには、Management 0/0 という専用の管理インターフェイスが含まれ、セキュリティ アプライアンスへのトラフィックをサポートするようになっています。ただし、 management-only コマンドを使用することで、任意のインターフェイスを管理専用インターフェイスとして設定できます。また、Management 0/0 の場合、管理専用モードをディセーブルにできるため、このインターフェイスは他のインターフェイスと同じくトラフィックを通過させることができます。

トランスペアレント ファイアウォール モードでは、2 つのインターフェイスだけがトラフィックを通過させることができます。ただし、ASA 5510 以降の適応型セキュリティ アプライアンスの場合、Management 0/0 インターフェイス（物理インターフェイスまたはサブインターフェイスのいずれか）を管理トラフィック用に 3 つめのインターフェイスとして使用できます。この場合モードは設定不可となり、常に管理専用にする必要があります。セキュリティ アプライアンスまたはコンテキストには割り当てられ、個々のインターフェイスには割り当てられない管理 IP アドレスとは別のサブネットにこのインターフェイスを配置する場合、トランスペアレント モードでこのインターフェイスの IP アドレスを設定することもできます。

例

次に、管理インターフェイスで管理専用モードをディセーブルにする例を示します。

次に、サブインターフェイスで管理専用モードをイネーブルにする例を示します。

 

関連コマンド

 

構文の説明

 

構文の説明構文の説明

 

デフォルト

デフォルトでは、名前のマッピングはありません。

 

コマンド履歴

 

使用上のガイドライン

map-name コマンドでは、ユーザ定義の属性名をシスコ属性名にマッピングできます。その後、作成された属性マップを LDAP サーバにバインドできます。一般的な手順には次のものが含まれます。

1. グローバル コンフィギュレーション モードで ldap attribute-map コマンドを使用し、何も入力されていない属性マップを作成します。このコマンドは LDAP 属性マップ モードを開始します。

2. LDAP 属性マップ モードで map-name コマンドと map-value コマンドを使用し、属性マップに情報を入力します。

3. AAA サーバ ホスト モードで ldap-attribute-map コマンドを使用し、属性マップを LDAP サーバにバインドします。このコマンドでは「ldap」の後にハイフンを付けます。

（注） 属性マッピング機能を正しく使用するには、Cisco LDAP 属性名と値の両方を理解し、さらにユーザ定義属性名と値を理解しておく必要があります。

例

次に、LDAP 属性マップ myldapmap でユーザ定義の属性名 Hours をシスコ属性名 cVPN3000-Access-Hours にマッピングする例を示します。

LDAP 属性マップ モードでは、次の例に示すように、「?」を入力してシスコ LDAP 属性名の詳細なリストを表示できます。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトでは、シスコ属性にマッピングされるユーザ定義の値がありません。

 

コマンド履歴

 

使用上のガイドライン

map-value コマンドでは、ユーザ定義の属性値をシスコ属性名および属性値にマッピングできます。作成された属性マップは、LDAP サーバにバインドできます。一般的な手順には次のものが含まれます。

1. グローバル コンフィギュレーション モードで ldap attribute-map コマンドを使用し、何も入力されていない属性マップを作成します。このコマンドは LDAP 属性マップ モードを開始します。

2. LDAP 属性マップ モードで map-name コマンドと map-value コマンドを使用し、属性マップに情報を入力します。

3. AAA サーバ ホスト モードで ldap-attribute-map コマンドを使用し、属性マップを LDAP サーバにバインドします。このコマンドでは「ldap」の後にハイフンを付けます。

（注） 属性マッピング機能を正しく使用するには、Cisco LDAP 属性名と値の両方を理解し、さらにユーザ定義属性名と値を理解しておく必要があります。

例

次に、LDAP 属性マップ モードを開始し、ユーザ定義の属性 Hours のユーザ定義の値をユーザ定義の時間ポリシー workDay とシスコ定義の時間ポリシー Daytime に設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

インスペクション ポリシー マップは、1 つ以上の match コマンドと class コマンドで構成されます。インスペクション ポリシー マップで使用できる実際のコマンドは、アプリケーションによって異なります。 match コマンドまたは class コマンドを入力して、アプリケーション トラフィック（ class コマンドは、 match コマンドが含まれている既存の class-map type inspect コマンドを参照します）を識別した後、 mask コマンドを入力して、 match コマンドまたは class コマンドに一致するパケットの一部をマスクできます。

レイヤ 3/4 のポリシー マップ（ policy-map コマンド）で inspect コマンドを使用してアプリケーション インスペクションをイネーブルにすると、このアクションを含むインスペクション ポリシー マップをイネーブルにできます。たとえば、 inspect dns dns_policy_map コマンドを入力します。ここで dns_policy_map はインスペクション ポリシー マップの名前です。

例

次に、セキュリティ アプライアンスでのトラフィックの通過を許可する前に、DNS ヘッダーで RD フラグおよび RA フラグをマスクする例を示します。

 

関連コマンド

 

構文の説明

このコマンドには引数またはキーワードはありません。

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次に、サーバ バナーをマスクする例を示します。

 

関連コマンド

 

構文の説明

このコマンドには引数またはキーワードはありません。

 

デフォルト

このコマンドは、デフォルトでイネーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

クライアントから FTP サーバ システムを保護するには、厳格な FTP インスペクションで mask-syst-reply コマンドを使用します。このコマンドをイネーブルにすると、 syst コマンドに対するサーバからの応答は一連の X に置き換えられます。

例

次に、セキュリティ アプライアンスで syst コマンドに対する FTP サーバの応答を一連の X に置き換える例を示します。

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

モジュラ ポリシー フレームワークの設定手順は、次の 4 つの作業で構成されます。

1. class-map コマンドを使用して、アクションを適用するレイヤ 3 と 4 のトラフィックを指定します。

class-map コマンドを入力した後、 match access-list コマンドを入力してトラフィックを識別できます。または、別のタイプの match コマンド（ match port コマンドなど）を入力できます。クラス マップには 1 つの match access-list コマンドのみを含めることができ、他のタイプの match コマンドとは組み合わせることができません。セキュリティ アプライアンスでインスペクトできるすべてのアプリケーションが使用するデフォルトの TCP ポートおよび UDP ポートを照合する match default-inspection-traffic コマンドを定義する場合は、例外として match access-list コマンドを使用して照合するトラフィックの範囲を絞り込めます。 match default-inspection-traffic コマンドによって照合するポートが指定されるため、アクセス リストのポートはすべて無視されます。

2. （アプリケーション インスペクションのみ） policy-map type inspect コマンドを使用して、アプリケーション インスペクション トラフィックの特別なアクションを定義します。

3. policy-map コマンドを使用して、レイヤ 3 と 4 のトラフィックにアクションを適用します。

4. service-policy コマンドを使用して、インターフェイスでのアクションをアクティブにします。

例

次に、3 つのアクセス リストに一致する 3 つのレイヤ 3/4 クラス マップを作成する例を示します。

 

関連コマンド

 

構文の説明

このコマンドには引数またはキーワードはありません。

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

モジュラ ポリシー フレームワークの設定手順は、次の 4 つの作業で構成されます。

1. class-map コマンドを使用して、アクションを適用するレイヤ 3 と 4 のトラフィックを指定します。

class-map コマンドを入力した後、 match any コマンドを入力してすべてのトラフィックを識別できます。または、別のタイプの match コマンド（ match port コマンドなど）を入力できます。 match any コマンドは、他のタイプの match コマンドとは組み合わせることができません。

2. （アプリケーション インスペクションのみ） policy-map type inspect コマンドを使用して、アプリケーション インスペクション トラフィックの特別なアクションを定義します。

3. policy-map コマンドを使用して、レイヤ 3 と 4 のトラフィックにアクションを適用します。

4. service-policy コマンドを使用して、インターフェイスでのアクションをアクティブにします。

例

次に、クラス マップおよび match any コマンドを使用して、トラフィック クラスを定義する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドは、GTP クラス マップまたは GTP ポリシー マップで設定できます。GTP クラス マップに入力できるエントリは 1 つのみです。

例

次に、GTP インスペクション クラス マップのアクセス ポイント名に関して一致条件を設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次に、ESMTP インスペクション ポリシー マップで本文 1 行の長さに関して一致条件を設定する例を示します。

hostname(config-pmap)# match body line length gt 1000

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次に、H.323 インスペクション クラス マップで着信側に関して一致条件を設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次に、H.323 インスペクション クラス マップで発信側に関して一致条件を設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

OCSP を設定するときは、次のヒントに留意してください。

• 1 つのトラストポイント コンフィギュレーション内に複数の一致ルールを設定できますが、各クリプト CA 証明書マップに指定できる一致ルールは 1 つだけです。ただし、複数のクリプト CA 証明書マップを設定し、それらを同じトラストポイントに関連付けることができます。

• 一致ルールを設定する前に、証明書マップを設定する必要があります。

• 自己署名 OCSP 応答側証明書を検証するようにトラストポイントを設定するには、自己署名応答側証明書を信頼できる CA 証明書として独自のトラストポイントにインポートします。次に、自己署名 OCSP 応答側証明書が含まれているトラストポイントを使用して応答側証明書を検証するように、トラストポイントを検証するクライアント証明書の match certificate コマンドを設定します。同じことが、クライアント証明書の検証パスの外部にある応答側証明書の検証にも当てはまります。

• クライアント証明書と応答側証明書の両方を同じ CA が発行している場合には、1 つのトラストポイントでどちらも検証できます。しかし、クライアント証明書と応答側証明書を発行している CA が異なる場合は、トラストポイントを証明書ごとに 1 つずつ計 2 つ設定する必要があります。

• OCSP サーバ（応答側）証明書は一般に、OCSP 応答に署名します。セキュリティ アプライアンスが応答を受け取ると、応答側の証明書を検証しようとします。CA は通常、自身の OCSP 応答側証明書のライフタイムを比較的短い期間に設定して、証明書が侵害される可能性を最小限に抑えます。CA は一般に、応答側証明書に ocsp-no-check 拡張を含めて、この証明書では失効ステータス チェックが必要ないことを示します。しかし、この拡張が含まれていない場合、セキュリティ アプライアンスはトラストポイントに指定されているものと同じ方法で自身の失効ステータスをチェックしようとします。応答側証明書が検証可能でない場合、失効チェックは失敗します。このような失敗を回避するには、トラストポイントを検証する応答側証明書には revocation-check none を設定し、クライアント証明書には revocation-check ocsp を設定します。

• セキュリティ アプライアンスは、一致が見つからない場合、 ocsp url コマンドの URL を使用します。 ocsp url コマンドを設定しなかった場合は、リモート ユーザ証明書の AIA フィールドが使用されます。証明書に AIA 拡張がない場合、失効ステータスのチェックは失敗します。

例

次に、newtrust という名前のトラストポイントの証明書一致ルールを作成する例を示します。ルールには、マップ名 mymap、シーケンス番号 4、トラストポイント mytrust があり、URL として 10.22.184.22 が指定されています。

その次に、クリプト CA 証明書マップを段階的に設定し、CA 証明書が含まれているトラストポイントを識別して応答側証明書を検証するための一致証明書ルールを設定する例を示します。これが必要になるのは、newtrust トラストポイントで識別した CA が OCSP 応答側証明書を発行していない場合です。

ステップ 1 マップ ルールの適用先のクライアント証明書を識別する証明書マップを設定します。この例では、証明書マップの名前は mymap で、シーケンス番号は 1 です。サブジェクト名に mycert という CN 属性が含まれているクライアント証明書はどれも、mymap エントリに一致します。

ステップ 2 OCSP 応答側証明書の検証に使用する CA 証明書が含まれているトラストポイントを設定します。自己署名証明書の場合、これは自己署名証明書自体であり、インポートされてローカルに信頼できるようになっています。この目的で外部の CA 登録を介して証明書を取得することもできます。CA 証明書に貼り付けるように求められたら貼り付けます。

ステップ 3 OCSP を失効チェック方法にして、元のトラストポイント newtrust を設定します。次に、ステップ 2 で設定した証明書マップ mymap および自己署名トラストポイント mytrust を含めた一致ルールを設定します。

クライアント証明書認証に newtrust トラストポイントを使用する接続はどれも、mymap 証明書マップに指定されている属性ルールにクライアント証明書が一致するかどうかを確認します。一致する場合、セキュリティ アプライアンスは 10.22.184.22 にある OCSP 応答側にアクセスして証明書失効ステータスを確認します。次に、mytrust トラストポイントを使用して、応答側証明書を検証します。

（注） newtrust トラストポイントは、OCSP 経由でクライアント証明書の失効チェックを実行するように設定されます。ただし、mytrust トラストポイントにはデフォルトの失効チェック方法が設定されています。デフォルトは none であるため、OCSP 応答側証明書に対して失効チェックは実行されません。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次に、ESMTP トランザクションで交換される verb（メソッド）NOOP に関して一致条件を ESMTP インスペクション ポリシー マップに設定する例を示します。

 

関連コマンド

 

構文の説明

このコマンドには引数またはキーワードはありません。

 

デフォルト

各インスペクションのデフォルトのトラフィックについては、「使用上のガイドライン」を参照してください。

 

コマンド履歴

 

使用上のガイドライン

match コマンドは、クラス マップのトラフィック クラスに含まれているトラフィックを指定するために使用されます。これらのコマンドには、クラス マップに含まれるトラフィックを定義するさまざまな基準が含まれています。トラフィック クラスは、モジュラ ポリシー フレームワークを使用したセキュリティ機能を設定するときに、その一環として class-map グローバル コンフィギュレーション コマンドを使用して定義します。クラス マップ コンフィギュレーション モードから、 match コマンドを使用して、クラスに含めるトラフィックを定義できます。

トラフィック クラスをインターフェイスに適用すると、そのインターフェイス上で受信したパケットは、クラス マップの match ステートメントで定義した基準と比較されます。指定した基準にパケットが一致すると、パケットはトラフィック クラスに含まれ、そのトラフィック クラスに関連付けられているアクションの対象になります。あらゆるトラフィック クラスのいずれの基準にも一致しないパケットは、デフォルトのトラフィック クラスに割り当てられます。

match default-inspection-traffic コマンドを使用すると、個々の inspect コマンドのデフォルトのトラフィックを照合できます。 match default-inspection-traffic コマンドは、一般に permit ip src-ip dst-ip という形式のアクセス リストであるもう 1 つの match コマンドと併用できます。

match default-inspection-traffic コマンドともう 1 つの match コマンドを組み合わせるためのルールは、 match default-inspection-traffic コマンドを使用してプロトコルおよびポート情報を指定し、別の match コマンドを使用して他のすべての情報（IP アドレスなど）を指定するというものです。もう 1 つの match コマンドに指定されているプロトコルやポート情報は、 inspect コマンドでは無視されます。

たとえば、次の例に指定されているポート 65535 は無視されます。

インスペクション用のデフォルトのトラフィックは、次のようになります。

例

次に、クラス マップおよび match default-inspection-traffic コマンドを使用してトラフィック クラスを定義する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

このコマンドは、デフォルトでディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

デフォルトでは、このコマンドは DNS メッセージのすべてのフィールド（質問および RR）を調べ、指定されたクラスを照合します。DNS クエリーと応答の両方が検査されます。

一致対象は、match not header-flag QR と match question の 2 つのコマンドによって DNS クエリーのクエスチョン部分にまで絞ることができます。

このコマンドは、DNS クラス マップまたは DNS ポリシー マップ内で設定できます。DNS クラス マップ内で入力できるエントリは 1 つのみです。

例

次に、DNS インスペクション ポリシー マップに DNS クラスに関して一致条件を設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

このコマンドは、デフォルトでディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

デフォルトでは、このコマンドは DNS メッセージのすべてのセクション（質問および RR）を調べ、指定されたタイプを照合します。DNS クエリーと応答の両方が検査されます。

一致対象は、match not header-flag QR と match question の 2 つのコマンドによって DNS クエリーのクエスチョン部分にまで絞ることができます。

このコマンドは、DNS クラス マップまたは DNS ポリシー マップ内で設定できます。DNS クラス マップ内で入力できるエントリは 1 つのみです。

例

次に、DNS インスペクション ポリシー マップに DNS タイプに関して一致条件を設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

このコマンドは、デフォルトでディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

このコマンドは、定義済みのリストと DNS メッセージのドメイン名を照合します。圧縮されたドメイン名は、照合の前に展開されます。一致条件は、他の DNS match コマンドと併用して、特定のフィールドにまで絞り込むことができます。

このコマンドは、DNS クラス マップまたは DNS ポリシー マップ内で設定できます。DNS クラス マップ内で入力できるエントリは 1 つのみです。

例

次に、DNS インスペクション ポリシー マップで DNS ドメイン名を照合する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

match コマンドは、クラス マップのトラフィック クラスに含まれているトラフィックを指定するために使用されます。これらのコマンドには、クラス マップに含まれるトラフィックを定義するさまざまな基準が含まれています。トラフィック クラスは、モジュラ ポリシー フレームワークを使用したセキュリティ機能を設定するときに、その一環として class-map グローバル コンフィギュレーション コマンドを使用して定義します。クラス マップ コンフィギュレーション モードから、 match コマンドを使用して、クラスに含めるトラフィックを定義できます。

トラフィック クラスをインターフェイスに適用すると、そのインターフェイス上で受信したパケットは、クラス マップの match ステートメントで定義した基準と比較されます。指定した基準にパケットが一致すると、パケットはトラフィック クラスに含まれ、そのトラフィック クラスに関連付けられているアクションの対象になります。あらゆるトラフィック クラスのいずれの基準にも一致しないパケットは、デフォルトのトラフィック クラスに割り当てられます。

match dscp コマンドを使用すると、IP ヘッダーの IETF-defined DSCP 値を照合できます。

例

次に、クラス マップおよび match dscp コマンドを使用して、トラフィック クラスを定義する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次に、ESMTP インスペクション ポリシー マップに ehlo reply パラメータに関して一致条件を設定する例を示します。

hostname(config-pmap)# match ehlo-reply-parameter auth

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドは、FTP クラス マップまたは FTP ポリシー マップ内で設定できます。FTP クラス マップに入力できるエントリは 1 つのみです。

例

次に、FTP インスペクション クラス マップに FTP 転送ファイル名に関して一致条件を設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドは、FTP クラス マップまたは FTP ポリシー マップ内で設定できます。FTP クラス マップに入力できるエントリは 1 つのみです。

例

次に、FTP インスペクション ポリシー マップに FTP 転送ファイルタイプに関して一致条件を設定する例を示します。

 

関連コマンド