Cisco ASA 5500 シリーズ/Cisco PIX 500 シリーズ Cisco セキュリティ アプライアンス コマンド リファレンス Software Version 7.0.4

 

シンタックスの説明

 

デフォルト

protocol/port 形式では、たとえば TCP プロトコル は 6 と表示され、UDP プロトコルは 17 と表示されます。ポートは、TCP または UDP の宛先ポートです。ポート値を 0 にすると、すべてのポートを指定します。TCP および UDP 以外のプロトコルの場合、port は適用できないため、使用しないでください。

デフォルトでは、管理者アクセス権の AAA アカウンティングはディセーブルです。

 

コマンド履歴

 

使用上のガイドライン

ユーザ アカウンティング サービスは、ユーザがアクセスしたネットワーク サービスのレコードを保持します。これらのレコードは、指定した AAA サーバ（複数可）に記録されます。同時アカウンティングをイネーブルにしない限り、アカウンティング情報は、サーバ グループ内のアクティブなサーバだけに送信されます。

このコマンドを使用するには、事前に aaa-server コマンドを使用して AAA サーバを指定しておく必要があります。

アクセスリストで指定したトラフィックのアカウンティングをイネーブルにするには、
aaa accounting match コマンドを使用します。

（注） include 文によって指定されていないトラフィックは処理されません。

発信接続については、まず nat コマンドを使用して、セキュリティ アプライアンスにアクセスできる IP アドレスを定義します。着信接続については、まず static コマンド文と access-list extended コマンド文を使用して、外部ネットワークからセキュリティ アプライアンス経由でどの内部 IP アドレスにアクセスできるかを定義します。

あらゆるホストからの受信接続を許可する場合は、ローカル IP アドレスとネットマスクを 0.0.0.0 0.0.0.0 または 0 0 と記述します。外部ホストの IP アドレスとネットマスクについても、表記は同じです。すべての外部ホストを指定するには、0.0.0.0 0.0.0.0 と記述します。

例

次の例では、すべての接続でアカウンティングをイネーブルにしています。

この例では、IP アドレス 192.168.10.10 の認証サーバが内部インターフェイス上にあること、および TACACS+ サーバ グループに含まれていることを指定しています。その次の 3 つのコマンド文で指定しているのは、外部ホスト宛ての発信接続を開始するユーザ全員を TACACS+ で認証すること、正常に認証されたユーザに対してはどのサービスの使用も認可すること、およびすべての発信接続情報をアカウンティング データベースに記録することです。最後のコマンド文では、セキュリティ アプライアンスのシリアル コンソールにアクセスするには、TACACS+ サーバから認証を受ける必要があることを指定しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの特権レベルは、0 です。デフォルトでは、管理者アクセス権の AAA 特権コマンド アカウンティングはディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

aaa accounting command コマンドを設定すると、管理者（ユーザ）によって入力された各コマンドが記録され、アカウンティング サーバ（複数可）に送信されます。オプションで指定できる privilege は、アカウンティング レコードが生成されるコマンドに関連付けられている必要のある最低の特権レベルを示します。

このコマンドは、TACACS+ サーバだけに適用されます。

このコマンドを適用する先のサーバ名またはグループ名（事前に aaa-server コマンドで指定したもの）を指定する必要があります。

例

次の例では、特権レベル 6 以上のすべてのコマンドに対してアカウンティング レコードが生成され、そのレコードが adminserver という名前のグループのサーバに送信されるよう指定しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトでは、管理者アクセス権の AAA アカウンティングはディセーブルです。

 

コマンド履歴

 

使用上のガイドライン

サーバ グループの名前（事前に aaa-server コマンドで指定したもの）を指定する必要があります。

例

次の例では、すべての HTTP トランザクションに対してアカウンティング レコードが生成され、そのレコードが adminserver という名前のサーバに送信されるよう指定しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

aaa accounting match コマンドでは、ACL を指定する必要があります。この ACL で許可されたトラフィックについて、セキュリティ アプライアンスがアカウンティング データを AAA サーバに送信します。セキュリティ アプライアンスは、ACL で許可されたトラフィックのアカウンティングを実行し、ACL で拒否されたトラフィックのアカウンティングを実行しません。

このコマンドを使用するには、事前に aaa-server protocol コマンドを使用して AAA サーバ グループ タグを作成しておく必要があります。

ユーザ アカウンティング サービスは、ユーザがアクセスしたネットワーク サービスのレコードを保持します。これらのレコードは、指定した AAA サーバに記録されます。同時アカウンティングをイネーブルにしない限り、アカウンティング情報は、サーバ グループ内のアクティブなサーバだけに送信されます。詳細については、 accounting-mode コマンドを参照してください。

例

次の例では、acl2 という名前の ACL に一致するトラフィックのアカウンティングをイネーブルにしてから、 show access-list コマンドで ACL を表示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

トラフィックを認証の対象にするか、対象から除外するには、 aaa authentication コマンドを使用する前に、 aaa-server コマンドで認証サーバを指定しておく必要があります。ローカル IP アドレスと外部 IP アドレスの組み合せごとに、着信接続用の 1 つの aaa authentication コマンドと、発信接続用のもう 1 つの aaa authentication コマンドを指定できます。 aaa-server authentication コマンドで指定した IP アドレスのセッションでは、FTP、Telnet、HTTP、または HTTPS を介した接続が開始されると、ユーザ名とパスワードが要求されます。このユーザ名とパスワードが、指定した認証サーバで確認されると、セキュリティ アプライアンスは、認証ホストとクライアント アドレスの間で発生する以降のトラフィックを許可します。

アクセスの要求元および送信者を指定するには、 interface-name 変数、 local-ip 変数、および foreign-ip 変数を使用します。 local-ip アドレスは、常に、セキュリティ レベルの最も高いインターフェイス上にあります。 foreign-ip アドレスは、常に、セキュリティ レベルの最も低いインターフェイス上にあります。

（注） 同じセキュリティ レベルのインターフェイス間で aaa authentication コマンドを使用することはできません。この場合は、aaa authentication match コマンドを使用する必要があります。

ローカル IP アドレスおよび外部 IP アドレスのマスクには、IP アドレスが 0.0.0.0 の場合の短縮表現として 0 を使用できます。ホストに対しては 255.255.255.255 を使用します。

ユーザがシステムにアクセスできるかどうか、どのサービスにアクセスできるか、およびどの IP アドレスにアクセスできるかは、認証サーバが決定します。セキュリティ アプライアンスは FTP、HTTP、HTTPS、および Telnet を代行処理して、クレデンシャル プロンプトを表示します。

（注） カットスルー プロキシを設定する場合は、nat コマンドまたは static コマンドで norandomseq オプションを使用しているときでも、TCP セッション（TELNET、FTP、HTTP、または HTTPS）のシーケンス番号がランダム化されます。この現象は、AAA サーバが TCP セッションを代行処理してユーザを認証し、アクセスを許可する場合に発生します。

ローカル アクセス認証

管理者を認証するように AAA サーバ（TACACS+、RADIUS、または LOCAL）を設定するには、アクセス認証サービスのオプションのいずれかを選択します。つまり、シリアル コンソール アクセスの場合は serial 、Telnet アクセスの場合は telnet 、SSH アクセスの場合は ssh 、HTTP アクセスの場合は http 、イネーブル モード アクセスの場合は enable を選択します。

カットスルー認証

カットスルー プロキシ認証と装置にアクセスする場合の認証では、サーバ グループ タグ LOCAL を使用することで、ローカルのセキュリティ アプライアンス ユーザ認証データベースも使用できます。 server-tag に LOCAL を指定する場合、ローカル ユーザ クレデンシャル データベースが空のときは次の警告メッセージが表示されます。

逆に、コマンド内に LOCAL があるときにローカル データベースが空になった場合は、次の警告メッセージが表示されます。

カットスルー認証サービスのオプションは、 telnet 、 ftp 、 http 、 https 、 icmp/ type 、 proto 、 tcp/ port 、および udp/ port です。変数 proto には、サポートされている任意の IP プロトコル値または IP プロトコル名を指定できます。たとえば、 ip や igmp を指定します。対話型のユーザ認証は、Telnet トラフィック、FTP トラフィック、HTTP トラフィック、HTTPS トラフィックでだけトリガーします。

セキュリティ アプライアンスが AAA 用にサポートしている認証ポートは、固定値です。

• FTP の場合はポート 21

• Telnet の場合はポート 23

• HTTP の場合はポート 80

• HTTPS の場合はポート 443

このため、スタティック PAT を使用して、認証の対象となるサービスのポートを再割り当てしないでください。認証するポートが既知の 3 ポートのいずれでもない場合、セキュリティ アプライアンスはサービスを認証せずに接続を拒否します。

ICMP メッセージ タイプ番号を type に入力すると、特定の ICMP メッセージ タイプを認証の対象にしたり、対象から除外したりできます。たとえば icmp/8 と入力すると、タイプ 8（エコー要求）ICMP メッセージが認証の対象または除外対象になります。

tcp/0 オプションを指定すると、すべての TCP トラフィックが認証の対象になります。TCP トラフィックには、FTP、HTTP、HTTPS、および Telnet が含まれます。特定の port を指定すると、これに一致する宛先ポートが指定されたトラフィックだけが認証の対象または除外対象になります。FTP、Telnet、HTTP、および HTTPS は、それぞれ tcp/21 、 tcp/23 、 tcp/80 、および tcp/443 と等しくなります。

ip を指定すると、 include または exclude のどちらを指定したかに応じて、すべての IP トラフィックが認証の対象または除外対象になります。すべての IP トラフィックを認証の対象にすると、次の処理が実行されます。

• ユーザを（送信元 IP に基づいて）認証する前は、FTP 要求、Telnet 要求、HTTP 要求、または HTTPS 要求を受信すると認証処理が発生し、他の IP 要求はすべて拒否される。

• FTP 認証、Telnet 認証、HTTP 認証、HTTPS 認証、または仮想 Telnet 認証（ virtual コマンドを参照）でユーザを認証すると、 uauth がタイムアウトするまで、どのトラフィックに対しても認証処理が発生しなくなる。

認証のイネーブル化

aaa authentication コマンドは、次の機能をイネーブルまたはディセーブルにします。

• LOCAL サーバ、TACACS+ サーバ、または RADIUS サーバが提供するユーザ認証サービス。これらのサービスは、最初に aaa-server コマンドで指定する必要があります。FTP、Telnet、HTTP、または HTTPS を介して接続を開始するユーザは、ユーザ名とパスワードを入力するように求められます。このユーザ名とパスワードが、指定した認証サーバによって確認された場合、セキュリティ アプライアンスのカットスルー プロキシ機能により、送信元と宛先の間で発生する以降の FTP トラフィック、Telnet トラフィック、HTTP トラフィック、または HTTPS トラフィックが許可されます。

• Telnet、SSH、HTTP、またはシリアル コンソールを介してセキュリティ アプライアンス コンソールにアクセスするための、管理認証サービス。Telnet でアクセスする場合は、先に telnet コマンドを使用する必要があります。SSH でアクセスする場合は、先に ssh コマンドを使用する必要があります。

ユーザに表示される AAA クレデンシャル要求プロンプトは、認証を受けてセキュリティ アプライアンスにアクセスできるサービス（Telnet、FTP、HTTP、および HTTPS）でそれぞれ異なります。

（注） HTTP または HTTPS で、Web サーバと認証サーバがそれぞれ別ホスト上にある場合、正常な認証処理を実行するには virtual コマンドを使用します。

インターフェイス名は aaa authentication コマンドで指定できます。たとえば、 aaa authentication include tcp outside 0 0 server-tag と指定した場合、セキュリティ アプライアンスは外部インターフェイスから送信される TCP 接続を認証します。

（注） HTTP 認証または HTTPS 認証の場合、セキュリティ アプライアンスの uauth タイマーが非常に小さな値に設定されている場合でも、一度認証されたユーザの再認証が必要になることはありません。これは、ブラウザが「Basic=Uuhjksdkfhk==」文字列をキャッシュして、当該サイトへの後続の接続すべてに使用するためです。この文字列が消去されるのは、ユーザが Netscape Navigator または Internet Explorer のインスタンスをすべて終了し、再起動したときだけです。キャッシュをフラッシュしても意味がありません。

TACACS+ サーバと RADIUS サーバ

最大 15 個のシングルモード サーバ グループまたは 4 個のマルチモード サーバ グループを持つことができます。各グループには、シングルモードで最大 16 台、マルチモードで最大 4 台のサーバを含めることができます。サーバは、aaa-server コマンドで設定した TACACS+ サーバまたは RADIUS サーバです。ユーザがログインするときは、コンフィギュレーション内で指定されている最初のサーバから順に、サーバが応答するまでこれらのサーバが 1 台ずつアクセスされます。

セキュリティ アプライアンスで使用できる認証タイプは、ネットワークごとに 1 つだけです。たとえば、あるネットワークが認証に TACACS+ を使用してセキュリティ アプライアンス経由で接続している場合、セキュリティ アプライアンス経由で接続している別のネットワークでは RADIUS を使用して認証できます。しかし、1 つのネットワークで TACACS+ と RADIUS の両方を使用して認証することはできません。

（注） 認可サーバによって VPN アトリビュートが適用される場合、セキュリティ アプライアンスは、RADIUS 認証サーバによって適用される VPN アトリビュートを適用しません。これは、認証後に認可が行われるためです。たとえば、RADIUS 認証と LDAP 認可にアトリビュート値ペア「tunnel-group=VPN」が定義されている場合、LDAP サーバに設定されているすべての VPN リモートアクセス アトリビュートが VPN リモートアクセス トンネルに適用されます。RADIUS 認証サーバによって定義されているアトリビュートは無視されます。この動作は、トンネルグループ、webvpn、pop、imap、および smtps の認証パラメータおよび認可パラメータに影響を及ぼします。

例

次の例は、aaa authentication コマンドの使用方法を示しています。

例 1 ：

次の例では、ローカル IP アドレスが 192.168.0.0（ネットマスク 255.255.0.0）で、リモート（外部）IP アドレスが任意のホストである、外部インターフェイス上の TCP トラフィックを、「tacacs+」という名前のサーバによる認証の対象としています。2 番目のコマンドラインでは、ローカル アドレスが 192.168.38.0 で、リモート（外部）IP アドレスが任意のホストである、外部インターフェイス上の Telnet トラフィックを認証の対象外としています。

例 2 ：

次の例は、interface-name パラメータの使用方法を示しています。セキュリティ アプライアンスには、内部ネットワーク 192.168.1.0、外部ネットワーク 209.165.201.0 （サブネット マスク
255.255.255.224）、および境界ネットワーク 209.165.202.128（サブネット マスク 255.255.255.224）が接続されています。

次の例では、内部ネットワークから外部ネットワーク宛てに送信される接続の認証をイネーブルにします。

例 3 ：

次の例では、内部ネットワークから境界ネットワーク宛てに送信される接続の認証をイネーブルにします。

例 4 ：

次の例では、外部ネットワークから内部ネットワーク宛てに送信される接続の認証をイネーブルにします。

例 5 ：

次の例では、外部ネットワークから境界ネットワーク宛てに送信される接続の認証をイネーブルにします。

例 6 ：

次の例では、境界ネットワークから外部ネットワーク宛てに送信される接続の認証をイネーブルにします。

例 7 ：

次の例では、IP アドレス 10.0.0.1 ～ 10.0.0.254 が外部インターフェイス経由で接続を確立するときに、セキュリティ アプライアンスによる認証を受ける必要があるように指定しています。この例では、最初の aaa authentication コマンドで、すべての FTP セッション、HTTP セッション、および Telnet セッションの認証を要求しています。2 番目の aaa authentication コマンドでは、10.0.0.42 が認証を受けなくても発信接続を開始できるようにしています。この例では、 tacacs+ という名前のサーバ グループを使用します。

例 8 ：

次の例では、ネットワーク アドレス 209.165.201.0（サブネット マスク 255.255.255.224）を指定して、209.165.201.1 ～ 209.165.201.30 の範囲にある TCP IP アドレスへの着信アクセスを許可します。 access-list コマンドですべてのサービスを許可し、a aa authentication コマンドで HTTP に対する認証を要求します。認証サーバは、内部インターフェイス上の IP アドレス 10.16.1.20 にあります。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトでは、ローカル データベースへのフォールバックはディセーブルになっています。

aaa authentication http console server-tag コマンド文を定義していない場合は、ユーザ名とセキュリティ アプライアンスのイネーブル パスワード（password コマンドで設定）を入力しなくても、ASDM を通じてセキュリティ アプライアンスにアクセスできます。aaa コマンドを定義した場合でも、HTTP 認証要求がタイムアウトしたとき（AAA サーバがダウンしているか、到達不能になっていると考えられます）は、デフォルトの管理者ユーザ名とイネーブル パスワードを使用してセキュリティ アプライアンスにアクセスできます。デフォルトでは、イネーブル パスワードは設定されていません。

help aaa コマンドを使用すると、 aaa authentication コマンドのシンタックスと使用方法の要約が表示されます。

 

コマンド履歴

 

使用上のガイドライン

aaa authentication console コマンドは、特権モードに入るときの認証をイネーブルまたはディセーブルにするか、指定した接続タイプでセキュリティ アプライアンスにアクセスするときに認証確認を要求できるようにします。あるいは、管理認証のフォールバックをサポートします。

Telnet でアクセスする場合は、先に telnet コマンドを使用する必要があります。SSH でアクセスする場合は、先に ssh コマンドを使用する必要があります。

serial キーワードを併用すると、コンフィギュレーションに対してシリアル コンソールから行われた変更の内容を syslog サーバに記録できます。

aaa authentication console コマンドを使用する場合は、サーバ グループ プロトコルとして LOCAL を指定しない限り、事前に aaa-server コマンドを使用して認証サーバを指定しておく必要があります。 aaa authentication console コマンドでは、RADIUS グループと TACACS+ グループをサポートしています。

「デフォルト」に記載されている場合を除き、HTTP 認証を使用する場合、
aaa authentication http console コマンドを指定すると、セキュリティ アプライアンスは HTTP サーバの認証確認を要求します。

認証を必要とするアクションが管理者から要求されると、セキュリティ アプライアンスは、指定したサーバ グループのサーバとの認証セッションを開始します。システムが、このグループのどのサーバとも通信できない場合。

指定したサーバ グループ内のすべてのサーバが利用できない場合にローカル ユーザ データベースにフォールバックするよう管理認証を設定するには、 LOCAL オプションを指定して aaa authentication コマンドを使用します。この機能は、デフォルトではディセーブルになっています。

HTTP 認証で要求できるユーザ名の最大長は、30 文字です。パスワードの最大長は 16 文字です。

次の表に示すように、セキュリティ アプライアンス コンソールに認証を受けてアクセスするときのプロンプトのアクションは、 aaa authentication { serial | enable | telnet | ssh | http} console server-tag コマンドでどのオプションを選択したかによって異なります。

セキュリティ アプライアンス コンソールには、任意の内部インターフェイスおよび IPSec 設定済みの外部インターフェイスから Telnet アクセスできます。アクセス前に telnet コマンドを使用する必要があります。また、セキュリティ アプライアンス コンソールへの SSH アクセスについても、IPSec を設定していない任意のインターフェイスから実行できます。アクセス前に ssh コマンドを使用する必要があります。

ssh オプションには、SSH ユーザ認証に使用する AAA サーバのグループを指定します。認証プロトコルおよび AAA サーバの IP アドレスは、aaa-server コマンド文で指定します。

Telnet モデルの場合と同様に、 aaa authentication ssh console server-tag コマンド文を定義していない場合は、ユーザ名 pix とセキュリティ アプライアンスの Telnet パスワード（passwd コマンドで設定）を使用してセキュリティ アプライアンス コンソールにアクセスできます。aaa コマンドを定義した場合でも、SSH 認証要求がタイムアウトしたとき（AAA サーバがダウンしているか、到達不能になっていると考えられます）は、管理者ユーザ名とイネーブル パスワード（enable password コマンドで設定）を使用してセキュリティ アプライアンスにアクセスできます。デフォルトでは、Telnet パスワードは cisco で、イネーブル パスワードは設定されていません。

ユーザに表示される AAA クレデンシャル要求プロンプトは、認証を受けてセキュリティ アプライアンスにアクセスできるサービス（Telnet、FTP、HTTP、および HTTPS）でそれぞれ異なります。

• Telnet ユーザには、セキュリティ アプライアンスが生成するプロンプトが表示されます。このプロンプトは、auth-prompt コマンドで変更できます。セキュリティ アプライアンスは、ユーザに対して 4 回までのログイン試行を許可し、それでもユーザ名とパスワードが違う場合は接続をドロップします。

• FTP ユーザは、FTP プログラムからプロンプトを受け取ります。ユーザの入力したパスワードが誤っている場合は、ただちに接続がドロップされます。認証データベース上のユーザ名およびパスワードが、FTP を使用してアクセスする宛先リモート ホスト上のユーザ名およびパスワードと異なっている場合は、ユーザ名とパスワードを次の形式で入力します。

セキュリティ アプライアンスをデイジーチェーン接続している場合、Telnet 認証は装置が 1 台のときと同様に機能します。ただし、FTP ユーザと HTTP ユーザは、ユーザ名またはパスワードごとに @ を追加して、各デイジーチェーン システムのユーザ名とパスワードを入力する必要があります。ユーザは、デイジーチェーン接続されている装置の台数、およびパスワードの長さに応じて、63 文字までのパスワード制限を超えて入力できます。

FTP GUI の一部には、チャレンジ値を表示しないものがあります。

• aaa authentication secure-http-client が設定されていない場合、HTTP ユーザには、ブラウザ自身によって生成されたポップアップ ウィンドウが表示されます。
aaa authentication secure-http-client が設定されている場合、ユーザ名とパスワードを収集するためのフォームがブラウザにロードされます。どちらの場合でも、ユーザの入力したパスワードが誤っている場合は、ユーザは再入力を求められます。Web サーバと認証サーバがそれぞれ別ホスト上にある場合、正常な認証処理を実行するには virtual コマンドを使用します。

セキュリティ アプライアンスは、認証中に 7 ビット文字だけを受け入れます。認証後は、必要に応じて、クライアントとサーバで 8 ビット文字を使用してネゴシエートできます。認証中、セキュリティ アプライアンスは、Go-Ahead、Echo、および NVT（ネットワーク仮想端末）だけをネゴシエートします。

HTTP 認証

「基本テキスト認証」または「NT チャレンジ」をイネーブルにした Microsoft IIS を実行しているサイトに対して HTTP 認証を使用すると、ユーザは Microsoft IIS サーバからアクセスを拒否されます。これは、ブラウザによって、「Authorization: Basic=Uuhjksdkfhk==」という文字列が HTTP GET コマンドに付加されるためです。この文字列には、セキュリティ アプライアンスの認証クレデンシャルが含まれています。

Windows NT の Microsoft IIS サーバは、このクレデンシャルに応答して、Windows NT ユーザがサーバ上のアクセス制限付きページにアクセスしようとしていると仮定します。セキュリティ アプライアンスのユーザ名およびパスワードが、Microsoft IIS サーバ上の有効な Windows NT ユーザ名およびパスワードとまったく同じものである場合を除いて、この HTTP GET コマンドは拒否されます。

この問題を解決するために、セキュリティ アプライアンスには virtual http コマンドが用意されています。このコマンドは、ブラウザの初期接続を他の IP アドレスにリダイレクトしてユーザを認証した後で、ユーザが要求した元の URL にブラウザをリダイレクトします。

認証が終了した後は、セキュリティ アプライアンスの uauth タイムアウトが非常に小さな値に設定されている場合でも、ユーザ側で再認証が必要になることはありません。これは、ブラウザが「Authorization: Basic=Uuhjksdkfhk==」文字列をキャッシュして、当該サイトへの後続の接続すべてに使用するためです。この文字列が消去されるのは、ユーザが Netscape Navigator または Internet Explorer のインスタンスをすべて終了し、再起動したときだけです。キャッシュをフラッシュしても意味がありません。

ユーザがインターネットを繰り返しブラウズするとき、ブラウザは
「Authorization: Basic=Uuhjksdkfhk==」文字列を毎回再送信して、ユーザを透過的に再認証します。

CU-SeeMe、Intel インターネット電話、MeetingPoint、MS NetMeeting などのマルチメディア アプリケーションは、内部から外部への H.323 セッションを確立する前に、バックグラウンドで HTTP サービスを起動します。

Netscape Navigator などのネットワーク ブラウザは、認証中にチャレンジ値を表示しません。このため、ネットワーク ブラウザから使用できるのはパスワード認証だけです。

（注） これらのアプリケーションの動作を妨げないようにするには、チャレンジされる全ポートを含めた包括的な送信 aaa コマンド文（any オプションを使用するものなど）を入力しないようにします。HTTP のチャレンジに使用するポートとアドレスは必要な分だけ設定し、ユーザ認証タイムアウトを設定するときは、大きめの値にします。マルチメディア プログラムの動作が妨げられると、内部からの送信セッションが確立した後に、PC 上でマルチメディア プログラムにエラーが発生したり、PC に障害が発生したりする可能性があります。

TACACS+ サーバと RADIUS サーバ

最大 15 個のシングルモード グループまたは 4 個のマルチモード グループを持つことができます。各グループには、シングルモードで最大 16 台、マルチモードで最大 4 台のサーバを含めることができます。サーバは、TACACS+ サーバまたは RADIUS サーバです。ユーザがログインするときは、コンフィギュレーション内で指定されている最初のサーバから順に、サーバが応答するまでこれらのサーバが 1 台ずつアクセスされます。

TACACS+ サーバでは、aaa-server コマンド用のキーを指定していない場合は暗号化が使用できません。

セキュリティ アプライアンスが表示するタイムアウト メッセージは、RADIUS と TACACS+ のどちらの場合でも同じです。次のいずれかが発生した場合に、メッセージ「aaa server host machine not responding」を表示します。

• AAA サーバ システムがダウンしている。

• AAA サーバ システムは動作しているが、サービスが実行されていない。

例

次の例は、 aaa authentication console コマンドの使用方法を示しています。

例 1 ：

次の例は、サーバ タグ「radius」の RADIUS サーバへの Telnet 接続に対して aaa authentication console コマンドを使用する方法を示しています。

例 2 ：

次の例では、サーバ グループ「AuthIn」を管理認証用に指定しています。

例 3 ：

次の例は、aaa authentication console コマンドを使用して、グループ「srvgrp1」内のすべてのサーバが利用できない場合に LOCAL ユーザ データベースにフォールバックするようにする方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

aaa authentication match コマンドを使用する場合は、事前に aaa-server コマンドを使用して認証サーバを指定し（ LOCAL を指定する場合を除く）、 access-list コマンドを使用して名前付きアクセスリストを定義しておく必要があります。トラフィックの選別基準として送信元ポートを使用する access-list コマンド文は使用しないでください。 aaa authentication match コマンドの一致条件で、送信元ポートはサポートされていません。

アクセスの要求元を定義するには、 interface-name 変数を使用します。

カットスルー プロキシでは、サーバ グループ タグ LOCAL を指定することで、ローカルのユーザ認証データベースも使用できます。server-tag に LOCAL を指定する場合、ローカル ユーザ クレデンシャル データベースが空のときは次の警告メッセージが表示されます。

逆に、コマンド内に LOCAL があるときにローカル データベースが空になった場合は、次の警告メッセージが表示されます。

例

次の一連の例は、 aaa authentication match コマンドの使用方法を示しています。

この場合、次の 2 つのコマンドは同じ意味になります。

aaa コマンド内のリストでは、access-list コマンド文を参照している部分が指定した順に処理されます。ここで、次のコマンドを入力するとします。

上のコマンドの後に、次のコマンドを入力します。

セキュリティ アプライアンスは、 mylist 内の access-list コマンド文グループにトラフィックが一致しているかどうかをまず検索し、次に yourlist 内の access-list コマンド文グループに一致しているかどうかを検索します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

aaa authentication secure-http-client コマンドは、（SSL を介して）HTTP クライアント認証を保護します。このコマンドは、HTTP カットスルー プロキシ認証に使用されます。

次に、 aaa authentication secure-http-client コマンドの制限事項を示します。

• 実行時、許可される HTTPS 認証プロセスは最大で 16 個です。16 個の HTTPS 認証プロセスがすべて実行中である場合、認証を要求する 17 番目の新しい HTTPS 接続は許可されません。

• uauth timeout 0 が設定されている（ uauth timeout が 0 に設定されている）場合は、HTTPS 認証が機能しません。HTTPS 認証を受けた後、ブラウザが複数の TCP 接続を開始して Web ページのロードを試みると、最初の接続はそのまま許可されますが、後続の接続に対しては認証が発生します。その結果、ユーザが認証ページに正しいユーザ名とパスワードを毎回入力しても、繰り返し認証ページが表示されます。この現象を回避するには、 timeout uauth 0:0:1 コマンドを使用して、 uauth timeout を 1 秒に設定します。ただし、この回避策ではウィンドウが 1 秒間開かれるため、このウィンドウを利用して、同じ送信元 IP アドレスからアクセスしてくる未認証のユーザがファイアウォールを通過する可能性があります。

• HTTPS 認証は SSL ポート 443 で発生するため、HTTP クライアントから HTTP サーバに向かうポート 443 上のトラフィックをブロックするように access-list コマンド文を設定しないでください。また、ポート 80 上の Web トラフィックに対してスタティック PAT を設定する場合は、SSL ポートに対してもスタティック PAT を設定する必要があります。次の例では、1 行目で Web トラフィックに対してスタティック PAT を設定しているため、2 行目を追加して、HTTPS 認証コンフィギュレーションをサポートする必要があります。

• aaa authentication secure-http-client が設定されていない場合、HTTP ユーザには、ブラウザ自身によって生成されたポップアップ ウィンドウが表示されます。
aaa authentication secure-http-client が設定されている場合、ユーザ名とパスワードを収集するためのフォームがブラウザにロードされます。どちらの場合でも、ユーザの入力したパスワードが誤っている場合は、ユーザは再入力を求められます。Web サーバと認証サーバがそれぞれ別ホスト上にある場合、正常な認証処理を実行するには virtual コマンドを使用します。

ヒント help aaa コマンドを使用すると、aaa authentication コマンドのシンタックスと使用方法の要約が表示されます。

例

次の例では、HTTP トラフィックがセキュアに認証されるように設定しています。

「...」は、 authen_service if_name local_ip local_mask [ foreign_ip foreign_mask ] server_tag に適切な値を指定することを表します。

次のコマンドでは、HTTPS トラフィックがセキュアに認証されるように設定しています。

「...」は、 authentication -service interface-name local-ip local-mask [ foreign-ip foreign-mask ] server-tag に適切な値を指定することを表します。

（注） HTTPS トラフィックの場合は、aaa authentication secure-https-client コマンドは不要です。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

「すべてのホスト」を指定するには、IP アドレスを 0 にします。ローカル IP アドレスを 0 に設定すると、認可を受けるホストを認可サーバ側で決定できます。

デフォルトでは、認可のためのローカル データベースへのフォールバックはディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

コマンド認可とともに使用する場合を除いて、 aaa authorization コマンドでは事前に
aaa authentication コマンドでの設定が必要です。ただし、 aaa authentication コマンドは
aaa authorization コマンドを使用する必要はありません。

セキュリティ アプライアンスは、認証が別のプロトコルで行われる場合に限り、 aaa authorization コマンドでの RADIUS 認可をサポートしています。RADIUS サーバは、認証要求への応答とともに認可情報を返します。 aaa authentication コマンドの説明を参照してください。 aaa authorization コマンドは、LOCAL サーバ（コマンド認可の場合だけ）に加えて、RADIUS または TACACS+ サーバで許可されます。RADIUS サーバでダイナミック ACL を設定して、認可を提供できます（その認可がセキュリティ アプライアンスに設定されていない場合でも）。

VPN 認可が LOCAL と定義されている場合は、デフォルト グループポリシー DfltGrpPolicy に設定されているアトリビュートが適用されます。これは、 tunnel-group コマンドおよび webvpn コマンド内の設定に影響を及ぼします。

ヒント help aaa コマンドを使用すると、aaa authentication コマンドのシンタックスと使用方法の要約が表示されます。

IP アドレスごとに、1 つの aaa authorization コマンドが許可されます。 aaa authorization で複数のサービスを認可するには、サービス タイプに any パラメータを使用します。

最初の認可試行が失敗し、2 番目の試行でタイムアウトが発生した場合は、認可されなかったクライアントを service resetinbound コマンドを使用してリセットし、そのクライアントが接続の再転送を行わないようにします。次の例は、Telnet の認可タイムアウト メッセージを示しています。

ユーザ認可サービスは、ユーザがどのネットワーク サービスにアクセスできるかを制御します。認証が完了した後、アクセスの制限されているサービスにユーザがアクセスを試行すると、セキュリティ アプライアンスは指定された AAA サーバを使用してユーザのアクセス権を確認します。

（注） RADIUS 認可は、access-list deny-flow-max コマンド文とともに使用する場合、また RADIUS サーバを acl=acl-name ベンダー固有識別子を使用して設定する場合にサポートされます。詳細については、access-list deny-flow-port コマンドのページおよび authentication-port コマンドのページを参照してください。

外部（宛先）IP アドレスを指定する場合、すべてのホストを指定するには 0 を使用します。宛先マスクとローカル マスクには、必ず特定のマスク値を指定します。IP アドレスが 0 の場合はマスク 0 を使用し、ホストにはマスク 255.255.255.255 を使用します。

Service パラメータ

指定しないサービスは、暗黙的に認可されます。 aaa authentication コマンド内で指定したサービスは、認可を必要とするサービスには影響しません。

protocol/port を使用する場合は、次の値を指定できます。

• protocol：プロトコル（例：6 は TCP、17 は UDP、1 は ICMP）。

• port：TCP または UDP の宛先ポートまたは宛先ポート範囲。port には、ICMP タイプも入力できます。8 が ICMP の echo または ping を表します。ポート値を 0 にすると、すべてのポートを指定します。ポート範囲を指定できるのは、TCP プロトコルと UDP プロトコルだけです。ICMP の場合は指定できません。TCP、UDP、および ICMP 以外のプロトコルの場合は、port パラメータを使用しないでください。次に、ポート指定の例を示します。

この例は、すべてのクライアントを対象として、内部インターフェイスに対する DNS lookup の認可をイネーブルにして、さらに 53 ～ 1024 のポート範囲にある他のすべてのサービスへのアクセスを認可する方法を示しています。

特定の認可規則では、それに対応する認証は必要ありません。認証が必要となるのは、FTP、HTTP、または Telnet の場合だけで、認可クレデンシャルを入力するための対話型の方法がユーザに提供されます。

（注） ポート範囲を指定すると、予期できない結果が認可サーバで生じる可能性があります。セキュリティ アプライアンスでは、サーバが文字列を解析してポート範囲に変換できることを前提としており、ポート範囲を文字列としてサーバに送信します。実際には、すべてのサーバがこのような変換を実行するとは限りません。また、ユーザに対して特定のサービスだけを認可する場合もあります。ポート範囲を指定すると、サービスを個別に認可できません。

service オプションに有効な値は、 telnet 、 ftp 、 http 、 https 、 tcp または 0 、 tcp または port 、 udp または port 、 icmp または port 、あるいは protocol [/ port ] です。対話型のユーザ認証は、Telnet トラフィック、FTP トラフィック、HTTP トラフィック、HTTPS トラフィックでだけトリガーします。

例

次の例では、TACACS+ プロトコルを使用しています。

この例では、最初のコマンド文で tplus1 という名前のサーバ グループを作成し、このグループ用に TACACS+ プロトコルを指定しています。2 番目のコマンドでは、IP アドレス 10.1.1.10 の認証サーバが内部インターフェイス上にあること、および tplus1 サーバ グループに含まれていることを指定しています。その次の 3 つのコマンド文で指定しているのは、外部インターフェイスを経由する外部ホスト宛て接続を開始するユーザ全員を tplus1 サーバ グループで認証すること、正常に認証されたユーザに対してはどのサービスの使用も認可すること、およびすべての発信接続情報をアカウンティング データベースに記録することです。最後のコマンド文では、セキュリティ アプライアンスのシリアル コンソールにアクセスするには、tplus1 サーバ グループから認証を受ける必要があることを指定しています。

次の例では、外部インターフェイスからの DNS ルックアップに対する認可をイネーブルにします。

次の例では、内部ホストから内部インターフェイスに到着する、ICMP エコー応答パケットの認可をイネーブルにします。

このように設定すると、ユーザは Telnet、HTTP、または FTP を使用して認証を受けない限り、外部ホストを ping できなくなります。

次の例では、内部ホストから内部インターフェイスに到着する ICMP エコー（ping）についてだけ認可をイネーブルにします。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトでは、認可のためのローカル データベースへのフォールバックはディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

aaa authorization command コマンドをコマンド認可に使用する場合は、 aaa authentication コマンドによる事前のコンフィギュレーションは必要ありません。

aaa authorization コマンドは、TACACS+ サーバおよび LOCAL サーバ（コマンド認可の場合だけ）とともに使用できますが、RADIUS サーバとは使用できません。

ヒント help aaa コマンドを使用すると、aaa authorization コマンドのシンタックスと使用方法の要約が表示されます。

例

次の例は、tplus1 という名前の TACACS+ サーバ グループによるコマンド認可をイネーブルにする方法を示しています。

次の例は、tplus1 サーバ グループ内のすべてのサーバが利用できない場合に、ローカル ユーザ データベースにフォールバックするよう管理認可を設定する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

aaa authorization match コマンドでは、事前に aaa authentication コマンドでのコンフィギュレーションが必要です。ただし、 aaa authentication コマンドでは、 aaa authorization コマンドを使用する必要はありません。

セキュリティ アプライアンスは、認証が別のプロトコルで行われる場合に限り、 aaa authorization コマンドでの RADIUS 認可をサポートしています。RADIUS サーバは、認証要求への応答とともに認可情報を返します。 aaa authentication コマンドの説明を参照してください。 aaa authorization コマンドは、LOCAL サーバ（コマンド認可の場合だけ）に加えて、RADIUS または TACACS+ サーバで許可されます。RADIUS サーバでダイナミック ACL を設定して、認可を提供できます（その認可がセキュリティ アプライアンスに設定されていない場合でも）。

ヒント help aaa コマンドを使用すると、aaa authorization match コマンドのシンタックスと使用方法の要約が表示されます。

最初の認可試行が失敗し、2 番目の試行でタイムアウトが発生した場合は、認可されなかったクライアントを service resetinbound コマンドを使用してリセットし、そのクライアントが接続の再転送を行わないようにします。次の例は、Telnet の認可タイムアウト メッセージを示しています。

ユーザ認可サービスは、ユーザがどのネットワーク サービスにアクセスできるかを制御します。認証が完了した後、アクセスの制限されているサービスにユーザがアクセスを試行すると、セキュリティ アプライアンスは指定された AAA サーバを使用してユーザのアクセス権を確認します。

例

次の例では、tplus1 サーバ グループを aaa コマンドで使用しています。

この例では、最初のコマンド文で、tplus1 サーバ グループを TACACS+ グループとして定義しています。2 番目のコマンドでは、IP アドレス 10.1.1.10 の認証サーバが内部インターフェイス上にあること、および tplus1 サーバ グループに含まれていることを指定しています。次の 2 つのコマンド文では、内部インターフェイスを通過する、任意の外部ホスト宛てのすべての接続が、tplus1 サーバ グループを使用して認証され、かつアカウンティング データベースに記録されるように指定しています。最後のコマンド文では、myacl 内の ACE に一致するすべての接続が tplus1 サーバ グループ内の AAA サーバによって認可されることを指定しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドを省略すると、ユーザが何回でも間違ったパスワードを入力できるようになります。

間違ったパスワードによるユーザのログイン試行が設定回数に達すると、ユーザはロックアウトされ、管理者によってユーザ名がアンロックされるまで、ログインに成功しません。ユーザ名のロックまたはアンロックにより、syslog メッセージが生成されます。

管理者は、デバイスからロックアウトされません。

ユーザが正常に認証された場合、またはセキュリティ アプライアンスがリブートした場合は、失敗試行回数が 0 にリセットされ、ロックアウト ステータスが No にリセットされます。

例

次の例は、aaa local authentication attempts max-limits コマンドを使用して、許可される失敗試行の最大回数を 2 に設定する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

aaa mac-exempt コマンドを使用するには、事前に mac-list コマンドを使用して MAC アクセスリストの番号を設定しておく必要があります。認証が免除される MAC アドレスは、自動的に認可が免除されます。

例

次の例は、mac-exempt リストを指定する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトのプロキシ制限値は 16 です。

 

コマンド履歴

 

使用上のガイドライン

送信元アドレスがプロキシ サーバである場合は、その IP アドレスを認証の対象から除外するか、許容可能な未処理 AAA 要求の数を増やすことを検討してください。

例

次の例は、ユーザ 1 人あたりに許容可能な未処理認証要求の最大数を設定する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトのタイムアウト値は 10 秒です。

 

コマンド履歴

 

使用上のガイドライン

最大 15 個のシングルモード グループまたは 4 個のマルチモード グループを持つことができます。各グループには、シングルモードで最大 16 台、マルチモードで最大 4 台のサーバを含めることができます。ユーザがログインするときは、コンフィギュレーション内で指定されている最初のサーバから順に、サーバが応答するまでこれらのサーバが 1 台ずつアクセスされます。

AAA アカウンティングが有効になっている場合、 aaa-server protocol コマンドで同時アカウンティングを指定しない限り、アカウンティング情報はアクティブなサーバだけに送信されます。

セキュリティ アプライアンス バージョンの aaa-server コマンドは、ホストごとのサーバ ポートの指定をサポートしています。そのため、記載しているようなセマンティックの変更とともに、以前の PIX Firewall システムで使用できた次のコマンド形式が段階的に廃止されています（お勧めできません）。これは、RADIUS サーバを含むサーバ グループだけに適用されます。これらのコマンドは受け入れられますが、コンフィギュレーションに書き込まれなくなります。

• aaa-server radius-authport [ auth-port ]：このコマンドは、すべての RADIUS サーバのデフォルトの認証ポートを制御します。つまり、ホスト固有の認証ポートを指定していない場合は、このコマンドで指定した値が使用されます。このコマンドで値を指定しなかった場合は、デフォルトの Radius 認証ポート（1645）が使用されます。

• aaa-server radius-acctport [ acct-port ]：このコマンドは、上記の動作を RADIUS アカウンティング ポート（デフォルトでは 1646）に適用します。

次に、ホスト モードのコマンドをすべて示します。選択したサーバ グループの AAA サーバ タイプに適用されるコマンドだけを使用できます。詳細については、個々のコマンドの説明を参照してください。

このリリースで、 aaa-server コマンドが変更されました。グループ モードに入るための aaa-server group-tag protocol と、ホスト モードに入るための aaa-server host という、2 つの別のコマンドになりました。

例

次の例では、ホスト「192.168.3.4」に対して「svrgrp1」という名前の SDI AAA サーバ グループを設定し、タイムアウト間隔を 6 秒に、リトライ間隔を 7 秒に、SDI バージョンをバージョン 5 に設定しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

最大 15 個のシングルモード グループまたは 4 個のマルチモード グループを持つことができます。各グループには、シングルモードで最大 16 台、マルチモードで最大 4 台のサーバを含めることができます。ユーザがログインするときは、コンフィギュレーション内で指定されている最初のサーバから順に、サーバが応答するまでこれらのサーバが 1 台ずつアクセスされます。

AAA アカウンティングが有効になっている場合、同時アカウンティングを設定していない限り、アカウンティング情報はアクティブなサーバだけに送信されます。

AAA サーバ グループ モードに入るための aaa-server protocol と、AAA サーバ ホスト モードに入るための aaa-server host という 2 つのコマンドで、AAA サーバのコンフィギュレーションを制御します。さらに、 aaa-server protocol コマンドを指定して入るグループ モードでは、 accounting-mode コマンドおよび reactivation-mode コマンドによってアカウンティング モードおよびサーバ再有効化機能をサポートしています。

AAA サーバ グループ モードでサポートされているコマンドは、次のとおりです。

• accounting-mode

• reactivation-mode

• max-failed-attempts

これらのコマンドの詳細については、個々のコマンドの説明を参照してください。

例

次の例は、 aaa-server protocol コマンドを使用して、TACACS+ サーバ グループのコンフィギュレーションの詳細を変更する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

開始日時を指定しない場合、permit 文または deny 文がただちに有効になります。最遅終了時刻は 23:59 31 December 2035 です。終了日時を指定しない場合、関連付けられている permit 文または deny 文はこの時刻まで有効です。

 

コマンド履歴

 

使用上のガイドライン

時間ベース ACL を実装するには、 time-range コマンドを使用して、週および 1 日の中の特定の時刻を定義します。その後、 access-list extended time-range コマンドを使用して、時間範囲を ACL にバインドします。

例

次の例では、2006 年 1 月 1 日午前 8 時に ACL が有効になります。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

access-group コマンドは、アクセスリストをインターフェイスにバインドします。アクセスリストは、インターフェイス宛ての着信トラフィックに適用されます。 access-list コマンド文に permit オプションを入力した場合、セキュリティ アプライアンスはパケットの処理を続行します。 access-list コマンド文に deny オプションを入力した場合には、セキュリティ アプライアンスはパケットを廃棄して、次の syslog メッセージを生成します。

per-user-override オプションを指定すると、ダウンロードしたアクセスリストが、インターフェイスに適用されているアクセスリストを上書きできます。 per-user-override オプション引数を指定しない場合、セキュリティ アプライアンスは既存のフィルタリング動作を維持します。 per-user-override を指定すると、セキュリティ アプライアンスは、ユーザに関連付けられているユーザごとのアクセスリスト（ダウンロードされた場合）内の permit ステータスまたは deny ステータスが、 access-group コマンドに関連付けられているアクセスリスト内の permit ステータスまたは deny ステータスを上書きできるようにします。さらに、次の規則が適用されます。

• パケットが到着した時点で、そのパケットに関連付けられているユーザごとのアクセスリストがない場合、インターフェイス アクセスリストが適用される。

• ユーザごとのアクセスリストは、 timeout コマンドの uauth オプションで指定されたタイムアウト値によって管理されるが、このタイムアウト値は、ユーザごとの AAA セッション タイムアウト値によって上書きできる。

• 既存のアクセスリスト ログ動作は同じである。たとえば、ユーザごとのアクセスリストによってユーザ トラフィックが拒否された場合、syslog メッセージ 109025 が記録されます。ユーザ トラフィックが許可された場合、syslog メッセージは生成されません。ユーザごとのアクセスリストのログ オプションは、影響を及ぼしません。

access-list コマンドは、必ず access-group コマンドとともに使用してください。

access-group コマンドは、アクセスリストをインターフェイスにバインドします。 in キーワードは、アクセスリストを、指定したインターフェイス上のトラフィックに適用します。 out キーワードは、アクセスリストを発信トラフィックに適用します。

（注） 1 つまたは複数の access-group コマンドによって参照されるアクセスリストから、すべての機能エントリ（permit 文および deny 文）を削除すると、access-group コマンドがコンフィギュレーションから自動的に削除されます。access-group コマンドは、空のアクセスリストも、コメントだけを含むアクセスリストも参照できません。

no access-group コマンドは、アクセスリストをインターフェイス interface_name からアンバインドします。

show running config access-group コマンドは、インターフェイスにバインドされている現在のアクセスリストを表示します。

clear configure access-group コマンドは、インターフェイスからすべてのアクセスリストを削除します。

例

次の例は、 access-group コマンドの使用方法を示しています。

この static コマンドでは、Web サーバ 10.1.1.3 にグローバル アドレス 209.165.201.3 を付与しています。 access-list コマンドでは、すべてのホストに対して、ポート 80 を使用してグローバル アドレスにアクセスすることを許可しています。 access-group コマンドでは、外部インターフェイスで受信するトラフィックに access-list コマンドを適用することを指定しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトは、300 秒です。

 

コマンド履歴

 

使用上のガイドライン

access-list alert-interval コマンドは、syslog メッセージ 106101 を生成する時間間隔を設定します。syslog メッセージ 106101 は、セキュリティ アプライアンスが拒否フローの最大数に達したことを警告します。拒否フローの最大数に達したとき、前回の 106101 メッセージが生成されてから secs 秒以上経過していた場合は、さらに 106101 メッセージが生成されます。

拒否フロー最大値到達メッセージの生成については、 access-list deny-flow-max コマンドを参照してください。

例

次の例は、拒否フロー最大値到達メッセージ間の時間間隔を指定する方法を示しています。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

このコマンドにデフォルト設定はありません。

 

コマンド履歴

 

使用上のガイドライン

access-list mode コマンドを手動コミットに設定した場合、セキュリティ アプライアンスがアクセスリストを使用できるようにするには、アクセスリストを手動でコミットする必要があります。

（注） 手動コミット モードは、未使用のアクセスリスト、または access-group コマンドで使用されるアクセスリストだけに影響を及ぼします。AAA、NAT、または他のコンフィギュレーション コマンドで使用されるアクセスリストは、常に自動的にコミットされます。たとえば、access-group と AAA に同じアクセスリストを使用する場合、AAA ではアクセスリストが自動的にコミットされますが、access-group では手動でコミットする必要があります。このため、access-group コマンドと他のコマンド（AAA や NAT など）で同じアクセスリストを共有する場合は、手動コミット モードを使用しないことをお勧めします。

例

次の例は、アクセスリストと他の規則をコミットする方法を示しています。

hostname(config)# access-list commit

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

デフォルトは 4096 です。

 

コマンド履歴

 

使用上のガイドライン

セキュリティ アプライアンスが ACL 拒否フローの最大数 n に達すると、syslog メッセージ 106101 が生成されます。

例

次の例は、作成できる同時拒否フローの最大数を指定する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトは次のとおりです。

• 特にアクセスを許可しない限り、セキュリティ アプライアンスによって、発信元インターフェイス上のすべてのパケットが拒否されます。

• ACL ロギングでは、拒否されたパケットについて syslog メッセージ 106023 が生成されます。拒否されたパケットをログに記録するには、パケットを明示的に拒否する必要があります。

log オプション キーワードを指定したときの syslog メッセージ 106100 のデフォルト レベルは、6（情報）です。

 

コマンド履歴

 

使用上のガイドライン

セキュリティ アプライアンスは、16 ビット 16 進数値で示された任意の EtherType を制御できます。EtherType ACL は、イーサネット V2 フレームをサポートしています。802.3 形式のフレームはタイプ フィールドではなく長さフィールドを使用するため、ACL によって処理されません。ブリッジ プロトコル データ ユニットだけは例外で、ACL によって処理されます。ブリッジ プロトコル データ ユニットは、SNAP 方式でカプセル化されており、セキュリティ アプライアンスは BPDU を処理するように設計されています。

EtherType はコネクションレス型であるため、両方向のトラフィックを通過させる場合は、両方のインターフェイスに ACL を適用する必要があります。

MPLS を許可する場合は、セキュリティ アプライアンスに接続されている両方の MPLS ルータが LDP セッションまたは TDP セッション用のルータ ID としてセキュリティ アプライアンス インターフェイス上の IP アドレスを使用するように設定することにより、LDP TCP 接続と TDP TCP 接続がセキュリティ アプライアンス経由で確立されるようにします（LDP および TDP では、MPLS ルータが、パケット転送用のラベル（アドレス）をネゴシエートできます）。

インターフェイスの方向ごとに、各タイプ（拡張または EtherType）の ACL を 1 つだけ適用できます。同じ ACL を複数のインターフェイスに適用することもできます。

（注） EtherType アクセスリストが deny all に設定されている場合、すべてのイーサネット フレームが廃棄されます。物理プロトコル トラフィック（オートネゴシエーションなど）だけが許可されます。

例

次の例は、EtherType アクセスリストを追加する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトは次のとおりです。

• ACE ロギングでは、拒否されたパケットについて syslog メッセージ 106023 が生成されます。拒否されたパケットをログに記録するには、拒否 ACE が存在する必要があります。

• log キーワードを指定したときの syslog メッセージ 106100 のデフォルト レベルは 6（情報）で、デフォルト間隔は 300 秒です。

 

コマンド履歴

 

使用上のガイドライン

所定のアクセスリスト名に対して入力する各 ACE は、ACE の行番号を指定しない限り、アクセスリストの末尾に付加されます。

ACE の順序は重要です。セキュリティ アプライアンスは、パケットを転送するかドロップするかを決める場合、エントリの記載順に、パケットを各 ACE と比較してチェックします。一致が見つかると、それ以降の ACE はチェックされません。たとえば、アクセスリストの先頭に、すべてのトラフィックを明示的に許可する ACE を作成した場合、それ以降の文はチェックされません。

アクセスリストの末尾には、暗黙的な拒否があります。そのため、明示的に許可しない限り、トラフィックは通過できません。たとえば、特定のアドレスを除くすべてのユーザがセキュリティ アプライアンス経由でネットワークにアクセスできるようにする場合は、特定のアドレスを拒否してから、他のすべてのアドレスを許可する必要があります。

NAT を使用する場合、アクセスリストに指定する IP アドレスは、アクセスリストが対応付けられるインターフェイスによって異なります。インターフェイスに接続されているネットワーク上で有効なアドレスを使用する必要があります。このガイドラインは、着信アクセス グループと発信アクセス グループの両方に適用されます。使用するアドレスは、方向によってではなく、インターフェイスによって決まります。

TCP 接続および UDP 接続の場合は、確立された双方向接続のすべてのリターン トラフィックが FWSM によって許可されるため、アクセスリストでリターン トラフィックを許可する必要はありません。ただし、コネクションレス型プロトコル（ICMP など）の場合、セキュリティ アプライアンスは単方向セッションを確立するため、（送信元インターフェイスと宛先インターフェイスにアクセスリストを適用することにより）アクセスリストが両方向の ICMP を許可するようにするか、または ICMP インスペクション エンジンをイネーブルにする必要があります。ICMP インスペクション エンジンは、ICMP セッションを双方向接続として扱います。

ICMP はコネクションレス型プロトコルであるため、（送信元インターフェイスと宛先インターフェイスにアクセスリストを適用することにより）アクセスリストが両方向の ICMP を許可するようにするか、または ICMP インスペクション エンジンをイネーブルにする必要があります。ICMP インスペクション エンジンは、ICMP セッションをステートフル接続として扱います。ping を制御するには、 echo-reply （ 0 ）（セキュリティ アプライアンスからホストへ）または echo （ 8 ）（ホストからセキュリティ アプライアンスへ）を指定します。ICMP タイプのリストについては、 表 2-1 を参照してください。

インターフェイスの方向ごとに、各タイプ（拡張または EtherType）のアクセスリストを 1 つだけ適用できます。同じアクセスリストを複数のインターフェイスに適用することもできます。アクセスリストをインターフェイスに適用する方法の詳細については、 access-group コマンドを参照してください。

（注） アクセスリストのコンフィギュレーションを変更した後、既存の接続がタイムアウトになるのを待たずに、新しいアクセスリスト情報を使用するには、clear local-host コマンドを使用して接続を消去します。

表 2-1 に、使用できる ICMP タイプ値を示します。

例

次のアクセスリストは、（アクセスリスト適用先のインターフェイス上の）すべてのホストがセキュリティ アプライアンスを通過できるようにしています。

次の例のアクセスリストは、192.168.1.0/24 上のホストが 209.165.201.0/27 ネットワークにアクセスできないようにしています。他のアドレスはすべて許可されます。

一部のホストだけにアクセスを許可するには、制限付きの許可 ACE を入力します。デフォルトでは、明示的に許可しない限り、他のすべてのトラフィックが拒否されます。

次のアクセスリストは、（アクセスリスト適用先のインターフェイス上の）すべてのホストがアドレス 209.165.201.29 の Web サイトにアクセスできないようにしています。他のトラフィックはすべて許可されます。

オブジェクト グループを使用する次のアクセスリストは、内部ネットワーク上の一部のホストが一部の Web サーバにアクセスできないよういしています。他のトラフィックはすべて許可されます。

あるネットワーク オブジェクト グループ（A）から別のネットワーク オブジェクト グループ（B）へのトラフィックを許可するアクセスリストを一時的にディセーブルにするには、次のように入力します。

時間ベースアクセスリストを実装するには、 time-range コマンドを使用して、週および 1 日の中の特定の時刻を定義します。その後、 access-list extended コマンドを使用して、時間範囲をアクセスリストにバインドします。次の例では、「Sales」という名前のアクセスリストを「New_York_Minute」という名前の時間範囲にバインドしています。

時間範囲を定義する方法の詳細については、 time-range コマンドを参照してください。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

最大 100 文字（スペースや句読点を含む）をコメント テキストとして入力できます。コメント テキストには、スペース以外の文字を少なくとも 1 つ含める必要があります。空のコメントを入力することはできません。

コメントだけを含む ACL に対して access-group コマンドを使用することはできません。

例

次の例は、 access-list コマンドの前または後に追加するコメント テキストを指定する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトは次のとおりです。

• 特にアクセスを許可しない限り、セキュリティ アプライアンスによって、発信元インターフェイス上のすべてのパケットが拒否されます。

• ACL ロギングでは、拒否されたパケットについて syslog メッセージ 106023 が生成されます。拒否されたパケットをログに記録するには、パケットを明示的に拒否する必要があります。