Cisco ASA 5500 シリーズ/Cisco PIX 500 シリーズ Cisco セキュリティ アプライアンス コマンド リファレンス Software Version 7.0.4

 

シンタックスの説明

 

デフォルト

このコマンドにデフォルト設定はありません。

 

コマンド履歴

 

使用上のガイドライン

セキュリティ レベルの等しい複数のインターフェイス間での通信を許可すると、次のような利点があります。

• 101 個を超える通信インターフェイスを設定できる。インターフェイスごとにそれぞれ別のレベルを使用する場合、設定できるインターフェイスは各レベル（0 ～ 100）に 1 つのみです。

• セキュリティ レベルの等しいすべてのインターフェイス間で、アクセスリストとは無関係に、トラフィックを自由に送受信できる。

着信するクライアント VPN トラフィックを、暗号化されているものと同様に、同じインターフェイスから暗号化しないまま外部にリダイレクトすることもできます。VPN トラフィックを同じインターフェイスを通じて暗号化しないまま外部に再発信する場合は、インターフェイスで NAT をイネーブルにして、パブリック ネットワークでルーティング可能なアドレスでプライベート IP アドレスを置き換える必要があります（ローカル IP アドレス プール内ですでにパブリック IP アドレスを使用している場合は除く）。次のコマンド例では、クライアント IP プールが送信元になっているトラフィックに対して、インターフェイス PAT 規則を適用しています。

ただし、暗号化された VPN トラフィックをこの同じインターフェイスを通じてセキュリティ アプライアンスが外部に再発信する場合、NAT はオプションです。すべての発信トラフィックに NAT を適用するには、上のコマンドのみを実装します。VPN 間トラフィックを NAT の対象外にするには、上の例に次のようなコマンドを追加して、VPN 間トラフィックに NAT 例外を実装します。

詳細については、nat コマンドを参照してください。

例

次の例は、セキュリティ レベルの等しいインターフェイス間での通信をイネーブルにする方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドは、SDI AAA サーバグループのすべてのホストに対して使用できます。ただし、このコマンドが作用するのは、ホストの SDI バージョンが sdi-version コマンドで sdi-pre-5 に設定されている場合のみです。このコマンドを使用するには、SDI プロトコルを使用するように AAA サーバをあらかじめ設定しておく必要があります。

sdi-pre-5-slave コマンドを使用すると、プライマリ サーバで障害が発生した場合に使用される、オプションのセカンダリ サーバを指定できます。このコマンドで指定するアドレスは、プライマリ SDI サーバの「スレーブ」として設定されているサーバのアドレスにする必要があります。このため、バージョン 5 より前のバージョンを使用している場合は、 sdi-pre-5-slave コマンドを設定して、（SDI サーバからダウンロードされる）適切な SDI コンフィギュレーション レコードにセキュリティ アプライアンスがアクセスできるようにする必要があります。バージョン 5 およびそれ以降のバージョンでは、この要件はありません。

例

次の例では、バージョン 5 より前の SDI バージョンを使用している AAA SDI サーバグループ「svrgrp1」を設定しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルト バージョンは、 sdi-5 です。

 

コマンド履歴

 

使用上のガイドライン

このコマンドは、SDI AAA サーバに対してのみ有効です。セカンダリ（フェールオーバー）SDI AAA サーバを設定する場合、そのサーバの SDI バージョンがバージョン 5 より前のときは、 sdi-pre-5-slave コマンドも指定する必要があります。

例

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

フェールオーバー グループに対して primary または secondary を指定しない場合、そのフェールオーバー グループは、デフォルトでは primary に設定されます。

 

コマンド履歴

 

使用上のガイドライン

プライマリまたはセカンダリの優先順位をフェールオーバー グループに割り当てると、両方の装置が（装置のポーリング時間内で）同時にブートしたときに、フェールオーバー グループがどの装置上でアクティブになるかが指定されます。ある装置がもう一方の装置よりも先にブートした場合、どちらのフェールオーバー グループもその装置上でアクティブになります。もう一方の装置がオンラインになると、優先順位として 2 番目の装置を持つフェールオーバー グループは、そのフェールオーバー グループが preempt コマンドを使用して設定されているか、手作業で no failover active コマンドを使用してもう一方の装置に強制しない限り、2 番目の装置上ではアクティブになりません。

例

次の例では、優先順位の高いプライマリ装置を持つフェールオーバー グループ 1 と、優先順位の高いセカンダリ装置を持つフェールオーバー グループ 2 を設定しています。どちらのフェールオーバー グループも preempt コマンドを使用して設定されているため、これらのグループは、優先する装置が使用可能になったときにその装置上で自動的にアクティブになります。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの 2 番目の色は、HTML の #CCCCFF（薄紫色）です。

 

コマンド履歴

 

使用上のガイドライン

RGB 値を使用する場合、推奨値は 216 です。推奨色は、数学的にあり得る数よりはるかに少なくなります。多くのディスプレイは 256 色しか処理できず、その中の 40 色は、Macintosh と PC では別の色が表示されます。最適な表示結果を得るには、各所で公開されている RGB テーブルを確認してください。RGB テーブルをオンラインで見つけるには、検索エンジンで RGB と入力します。

例

次の例は、HTML 色値 #5F9EAO（灰青色）を設定する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

Secure Unit Authentication はディセーブルです。

 

コマンド履歴

 

使用上のガイドライン

Secure Unit Authentication を使用するには、ハードウェア クライアントの使用するトンネルグループ用に認証サーバグループを設定しておく必要があります。

プライマリ セキュリティ アプライアンス上で Secure Unit Authentication を要求する場合は、すべてのバックアップ サーバ上でも認証サーバグループを設定する必要があります。

例

次の例は、Secure Unit Authentication を FirstGroup というグループポリシーに対してイネーブルにする方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトでは、セキュリティ レベルは 0 です。

インターフェイスに「inside」という名前を付けて、セキュリティ レベルを明示的に設定しなかった場合、セキュリティ アプライアンスはセキュリティ レベルを 100 に設定します（ nameif コマンドを参照）。このレベルは必要に応じて変更できます。

 

コマンド履歴

 

使用上のガイドライン

セキュリティ レベルによって、次の動作が制御されます。

• ネットワーク アクセス：デフォルトでは、セキュリティの高いインターフェイスからセキュリティの低いインターフェイスへのアクセス（発信）は暗黙的に許可されます。セキュリティの高いインターフェイス上にあるホストは、セキュリティの低いインターフェイス上にあるすべてのホストにアクセスできます。アクセスを制限するには、インターフェイスにアクセスリストを適用します。

セキュリティ レベルの等しいインターフェイスが複数ある場合、セキュリティ レベルが同等またはそれ以下である他のインターフェイスへのアクセスは、暗黙的に許可されます。

• 検査エンジン：一部の検査エンジンは、セキュリティ レベルに依存します。セキュリティ レベルの等しいインターフェイスが複数ある場合、検査エンジンは双方向のトラフィックに適用されます。

–NetBIOS 検査エンジン：発信接続にのみ適用されます。

–OraServ 検査エンジン：2 つのホスト間で OraServ ポートの制御接続が存在する場合、セキュリティ アプライアンスでは着信データ接続のみが許可されます。

• フィルタリング：HTTP（S）と FTP のフィルタリングは、（高レベルから低レベルへの）発信接続にのみ適用されます。

セキュリティ レベルの等しいインターフェイスが複数ある場合は、双方向のトラフィックをフィルタリングできます。

• NAT 制御：NAT 制御をイネーブルにする場合、セキュリティの高いインターフェイス（内部）上にあるホストがセキュリティの低いインターフェイス（外部）上にあるホストにアクセスする場合は、セキュリティの高いインターフェイス上にあるホストに対して NAT を設定する必要があります。

NAT 制御を使用しない場合や、セキュリティ レベルの等しい複数のインターフェイス間では、任意のインターフェイス間に NAT を使用することも、NAT を使用しないこともできます。外部インターフェイスに対して NAT を設定する場合は、特殊なキーワードが必要になることがあります。

• established コマンド：このコマンドは、セキュリティ レベルの高いホストから低いホストに向かう接続がすでに確立されている場合に、セキュリティの低いホストからセキュリティの高いホストへのリターン接続を許可します。

セキュリティ レベルの等しいインターフェイスが複数ある場合は、双方向に対して established コマンドを設定できます。

通常、セキュリティ レベルの等しいインターフェイス間では通信できません。セキュリティ レベルの等しいインターフェイス間で通信する必要がある場合は、 same-security-traffic コマンドを参照してください。101 個を超える通信インターフェイスを作成する場合や、2 つのインターフェイス間で発生するトラフィックに対して同等に保護機能を適用する場合は、2 つのインターフェイスに同じセキュリティ レベルを割り当てて、通信を許可することがあります。たとえば、同等のセキュリティを必要とする 2 つの部署がある場合などです。

インターフェイスのセキュリティ レベルを変更する場合、既存の接続がタイムアウトするのを待たずに新しいセキュリティ情報を使用するには、 clear local-host コマンドを使用して接続を消去します。

例

次の例では、2 つのインターフェイスのセキュリティ レベルを 100 と 0 に設定しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトでは、シリアル番号を含めない設定になっています。

 

コマンド履歴

例

次の例では、central というトラストポイントの暗号 CA トラストポイント コンフィギュレーション モードに入って、セキュリティ アプライアンスのシリアル番号をトラストポイント central の登録要求に含めています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトでは、デフォルト電子メールプロキシ サーバはありません。

 

コマンド履歴

例

次の例は、デフォルト POP3S 電子メール サーバの IP アドレスを 10.1.1.7 に設定する方法を示しています。

 

シンタックスの説明

 

デフォルト

デフォルトのサーバ ポートは次のとおりです。

• SDI：5500

• LDAP：389

• Kerberos：88

• NT：139

• TACACS+：49

 

コマンド履歴

例

次の例では、「srvgrp1」という名前の SDI AAA サーバでサーバ ポート番号 8888 を使用するように設定しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトは、アットマーク（@）です。

 

コマンド履歴

 

使用上のガイドライン

サーバ セパレータは、名前セパレータとは別の文字にする必要があります。

例

次の例は、パイプ（|）を IMAP4S のサーバ セパレータとして設定する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

service コマンドは、アクセスリストまたは uauth（ユーザ認可）が着信接続を許可しないスタティック インターフェイスへの着信 TCP 接続すべてに対して機能します。用途の 1 つは、識別要求（IDENT）接続のリセットです。着信 TCP 接続が試行されて拒否された場合、service resetinbound コマンドを使用して、RST（TCP ヘッダー内のリセット フラグ）を送信元に返すことができます。キーワードを指定しない場合、セキュリティ アプライアンスは RST を返さずにパケットをドロップします。

セキュリティ アプライアンスは、着信接続ホストに TCP RST を送信し、着信 IDENT プロセスを停止して、発信電子メールが IDENT のタイムアウトを待たずに送信されるようにします。セキュリティ アプライアンスは、着信接続が拒否されたことを示す syslog メッセージを送信します。service resetinbound を入力しない場合、セキュリティ アプライアンスは、拒否されたパケットをドロップし、SYN が拒否されたことを示す syslog メッセージを生成します。ただし、外部ホストは、IDENT がタイムアウトになるまで、SYN を再送信し続けます。

IDENT 接続がタイムアウトすると、接続で遅延が発生します。トレースを実行して、遅延の原因が IDENT であるかどうか判断してから、service コマンドを入力します。

セキュリティ アプライアンスで IDENT 接続を処理するには、service resetinbound コマンドを使用します。IDENT 接続を処理する方法には、次のものがあります。セキュリティの高い順にランク付けしています。

1. service resetinbound コマンドを使用する。

2. established コマンドを permitto tcp 113 キーワードとともに使用する。

3. static コマンドと access-list コマンドを入力して、TCP ポート 113 を開く。

aaa コマンドを使用する場合、最初の認可試行が失敗し、次の試行でタイムアウトになったときには、service resetinbound コマンドを使用して、認可に失敗したクライアントをリセットし、接続を再送信しないようにします。次の例は、Telnet での認可タイムアウト メッセージを示しています。

次に、リセット フラグに対するセキュリティ アプライアンス上のトラフィックの想定動作を示します。

1. resetinbound が設定されている場合、拒否されたトラフィックが、セキュリティの低いインターフェイスからセキュリティの高いインターフェイスに向かっているときは、リセットが送信される。

2. resetinbound が設定されている場合、拒否されたトラフィックが、あるインターフェイスからセキュリティ レベルの等しい別のインターフェイスに向かっているときは、リセットが送信される。

3. resetinbound が設定されていない場合、拒否されたトラフィックが、セキュリティの高いインターフェイスからセキュリティの低いインターフェイスに向かっているときは、リセットが送信される。

resetoutside コマンドを使用すると、セキュリティ アプライアンスは、セキュリティ アプライアンスのセキュリティ レベルの最も低いインターフェイスで終端する、拒否された TCP パケットをアクティブにリセットします。デフォルトでは、パケットは、通知なしで廃棄されます。resetoutside キーワードは、ダイナミックまたはスタティックのインターフェイス Port Address Translation（PAT; ポート アドレス変換）で使用することをお勧めします。スタティック インターフェイス PAT は、セキュリティ アプライアンス バージョン 6.0 以降で使用できます。このキーワードを使用すると、外部の SMTP サーバまたは FTP サーバからの IDENT をセキュリティ アプライアンスで終端することができます。接続をアクティブにリセットすることにより、30 秒のタイムアウト遅延が回避されます。

例

次の例は、システム サービスをイネーブルにする方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

このコマンドにデフォルト設定はありません。

 

コマンド履歴

 

使用上のガイドライン

service internal オプションを使用すると、通常の運用では必要のない追加コマンドにアクセスできます。「internal」とマークされたコマンドを service internal の実行前に実行しようとすると、そのコマンドは、存在しないコマンドを実行しようとした場合と同様に失敗します。警告バナーが表示され、「service internal 実行後にアンロックされるコマンドは、シスコの指導の下でのみ実行する必要がある」と通知されます。

例

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

パスワードの回復は、デフォルトではイネーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

ASA 5500 シリーズ適応型セキュリティ アプライアンスでは、パスワードを忘れた場合、起動中にプロンプトに従って端末キーボードの Esc キーを押すことで、セキュリティ アプライアンスで ROMMON に入ることができます。次に、コンフィギュレーション レジスタを変更して、スタートアップ コンフィギュレーションを無視するようにセキュリティ アプライアンスを設定します（ config-register コマンドを参照）。たとえば、コンフィギュレーション レジスタがデフォルトの 0x1 である場合は、 confreg 0x41 コマンドを入力して、値を 0x41 に変更します。セキュリティ アプライアンスをリロードするとデフォルト コンフィギュレーションがロードされるので、デフォルトのパスワードを使用して特権 EXEC モードに入ることができます。次に、スタートアップ コンフィギュレーションを実行コンフィギュレーションにコピーして、スタートアップ コンフィギュレーションをロードし、パスワードをリセットします。最後に、コンフィギュレーション レジスタを元の設定に戻して、以前と同様にブートするようにセキュリティ アプライアンスを設定します。たとえば、グローバル コンフィギュレーション モードで config-register 0x1 コマンドを入力します。

PIX 500 シリーズ セキュリティ アプライアンスの場合は、起動中にプロンプトに従って端末キーボードの Esc キーを押して、セキュリティ アプライアンスで監視モードに入ります。次に、PIX パスワード ツールをセキュリティ アプライアンスにダウンロードします。このツールは、すべてのパスワードと aaa authentication コマンドを消去します。

ASA シリーズ適応型セキュリティ アプライアンスでは、 no service password-recovery コマンドを使用すると、ユーザが設定目的で ROMMON に入ることを防止できます。ユーザが ROMMON に入ると、セキュリティ アプライアンスはすべてのフラッシュ ファイル システムを消去するようにユーザに要求します。ユーザは、最初にこの消去操作を実行しない限り、ROMMON に入ることができません。ユーザがフラッシュ ファイル システムを消去しない場合、セキュリティ アプライアンスはリロードします。パスワードの回復では、ROMMON を使用すること、および既存のコンフィギュレーションを維持することが必要になるため、この消去操作を実行するとパスワードを回復できなくなります。ただし、パスワードを回復できなくすることで、不正なユーザがコンフィギュレーションを表示したり、別のパスワードを挿入したりすることがなくなります。この場合、システムを動作可能な状態まで回復するには、新しいイメージとバックアップ コンフィギュレーション ファイル（入手できる場合）をロードします。 service password-recovery コマンドがコンフィギュレーション ファイルに表示されるのは、情報の提供のみを目的としています。このコマンドを CLI プロンプトで入力すると、設定は NVRAM に保存されます。この設定を変更する唯一の方法は、このコマンドを CLI プロンプトで入力することです。このコマンドの別のバージョンを使用する新しいコンフィギュレーションをロードしても、設定は変更されません。（パスワードの回復に備えて）起動時にスタートアップ コンフィギュレーションを無視するようにセキュリティ アプライアンスを設定している場合は、パスワードの回復をディセーブルにすると、セキュリティ アプライアンスは設定を変更してスタートアップ コンフィギュレーションを通常どおりブートします。フェールオーバーを使用している場合、スタートアップ コンフィギュレーションを無視するようにスタンバイ装置を設定すると、 no service password recovery コマンドがスタンバイ装置に複製されるときに、同じ変更がコンフィギュレーション レジスタに対して行われます。

PIX 500 シリーズ セキュリティ アプライアンス上で no service password-recovery コマンドを使用した場合は、PIX パスワード ツールを実行すると、ユーザはすべてのフラッシュ ファイル システムを消去するように要求されます。ユーザは、最初にこの消去操作を実行しない限り、PIX パスワード ツールを使用することができません。ユーザがフラッシュ ファイル システムを消去しない場合、セキュリティ アプライアンスはリロードします。パスワードの回復では、既存のコンフィギュレーションを維持することが必要になるため、この消去操作を実行するとパスワードを回復できなくなります。ただし、パスワードを回復できなくすることで、不正なユーザがコンフィギュレーションを表示したり、別のパスワードを挿入したりすることがなくなります。この場合、システムを動作可能な状態まで回復するには、新しいイメージとバックアップ コンフィギュレーション ファイル（入手できる場合）をロードします。

例

次の例では、ASA 5500 シリーズ適応型セキュリティ アプライアンスでパスワードの回復をディセーブルにしています。

次の例では、PIX 500 シリーズ セキュリティ アプライアンスでパスワードの回復をディセーブルにしています。

次の例は、ASA 5500 シリーズ適応型セキュリティ アプライアンス上で起動時に ROMMON に入るタイミングと、パスワードの回復操作を完了する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

インターフェイス名が指定されている場合、ポリシーマップはそのインターフェイスだけに適用されます。インターフェイス名は、 nameif コマンドで定義します。インターフェイスのポリシーマップによって、グローバル ポリシーマップは上書きされます。1 つのインターフェイスにつき 1 つのポリシーマップだけを適用できます。

グローバル ポリシーは 1 つしか適用できません。

例

次の例は、 service-policy コマンドのシンタックスを示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドは、AIP SSM がアップ状態のときにのみ使用できます。状態については、 show module コマンドを参照してください。

セッションを終了するには、 exit と入力するか、 Ctrl+Shift+6 キーを押してから X キーを押します。

例

次の例では、スロット 1 で SSM へのセッションを確立しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

conn-max パラメータと embryonic-conn-max パラメータの n のデフォルト値は両方とも 0 で、接続数は無制限になります。

シーケンス番号のランダム化は、デフォルトではイネーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

このコマンドを発行するには、 policy-map コマンドと class コマンドをあらかじめ設定しておく必要があります。

（注） set connection コマンドのパラメータ（conn-max、embryonic-conn-max、random-seq#）は、任意の nat コマンドおよび static コマンドと共存できます。つまり、接続パラメータは nat コマンドや static コマンドで max-conn、emb_limit、noramdomseq の各パラメータを使用して設定することも、MPC の set connection コマンドで conn-max、embryonic-conn-max、random-seq# の各パラメータを使用して設定することもできます。混合コンフィギュレーションはお勧めしませんが、実際に使用した場合の動作は次のようになります。

MPC の set connection コマンドと nat/static コマンドの両方でトラフィック クラスが接続制限または初期接続制限を課されている場合は、いずれか一方の制限値に達したときに、その制限値が適用されます。

MPC の set connection コマンドまたは nat/static コマンドのいずれかで、シーケンス番号のランダム化をディセーブルにするように TCP トラフィック クラスが設定されている場合、シーケンス番号のランダム化はディセーブルになります。

例

次の例では、クラス モードで set connection コマンドを使用して、同時接続の最大数を 256 に、TCP シーケンス番号のランダム化をディセーブルにするように設定しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

このコマンドを発行するには、TCP マップ名に加えて、 policy-map コマンドと class コマンドをあらかじめ設定しておく必要があります。詳細については、 tcp-map コマンドの説明を参照してください。

例

次の例では、 set connection advanced-options コマンドを使用して、localmap という TCP マップを使用することを指定しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの embryonic 接続タイムアウト値は 30 秒です。

デフォルトの half-closed 接続タイムアウト値は 10 秒です。

デフォルトの tcp 接続タイムアウト値は 1 時間です。

 

コマンド履歴

 

使用上のガイドライン

このコマンドを発行するには、 policy-map コマンドと class コマンドをあらかじめ設定しておく必要があります。

「初期」接続とは、3 ウェイ ハンドシェイクの完了していない TCP 接続です。 embryonic 接続タイムアウト値には、 0:0:0 を使用して接続がタイムアウトしないことを指定します。このように指定しない場合は、タイムアウト期間を 5 秒以上に設定する必要があります。

TCP 接続が終了中（CLOSING）状態のときは、half-closed パラメータを使用して、接続が解放されるまでの時間の長さを設定します。接続がタイムアウトしないように指定するには、 0:0:0 を使用します。最短のタイムアウト期間は 5 分です。

tcp 非アクティブ接続のタイムアウトには、確立済み状態でアイドルになっている TCP 接続を切断するまでの期間を設定します。接続がタイムアウトしないように指定するには、 0:0:0 を使用します。最短のタイムアウト期間は 5 分です。

reset キーワードは、アイドル TCP 接続がタイムアウトしたときに両端のシステムに TCP RST パケットを送信する場合に使用します。アプリケーションの中には、タイムアウト後に TCP RST を送信しないと適切に動作しないものがあります。

例

次の set connection timeout コマンドの例では、初期接続の timeout として 2 分を指定しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

no set metric value コマンドを使用すると、デフォルトのメトリック値に戻すことができます。この場合の value は、0 ～ 4294967295 の整数です。

例

次の例は、OSPF ルーティングで使用するルートマップを設定する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトは type-2 です。

 

コマンド履歴

例

次の例は、OSPF ルーティングで使用するルートマップを設定する方法を示しています。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

フラッシュ メモリ内にスタートアップ コンフィギュレーションが存在しない場合、ブート時にセットアップ ダイアログが自動的に表示されます。

setup コマンドを使用するには、内部インターフェイスをあらかじめ設定しておく必要があります。PIX 500 シリーズのデフォルト コンフィギュレーションには、内部インターフェイス（Ethernet 1）が含まれていますが、ASA 550 シリーズのデフォルト コンフィギュレーションには含まれていません。 setup コマンドを使用する前に、内部インターフェイスにするインターフェイスについて、 interface コマンドを入力し、次に nameif inside コマンドを入力しておく必要があります。

マルチ コンテキスト モードでは、システム実行スペース内で、および各コンテキストに対して setup コマンドを使用できます。

setup コマンドを入力すると、 表 7-1 に示す情報の入力を要求されます。システムの setup コマンドには、これらのプロンプトのサブセットが含まれています。要求されたパラメータに対するコンフィギュレーションがすでに存在している場合は、そのコンフィギュレーションが（ ）で囲まれて表示されます。このコンフィギュレーションをデフォルトとして受け入れることも、新しいコンフィギュレーションを入力して上書きすることもできます。

例

次の例は、 setup コマンド プロンプトで最後まで作業する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

オプションのキーワード locked を省略すると、セキュリティ アプライアンスは、すべての AAA ローカル ユーザについて、失敗した試行とロックアウト ステータスの詳細を表示します。

username オプションを使用してユーザを 1 人のみ指定することも、 all オプションを使用してすべてのユーザを指定することもできます。

このコマンドは、ロックアウトされているユーザのステータスだけに影響を及ぼします。

管理者は、デバイスからロックアウトされません。

例

次の例では、 show aaa local user コマンドを使用して、すべてのユーザ名のロックアウト ステータスを表示しています。

この例では、認証失敗の上限を 5 回に設定した後で、 show aaa local user コマンドを使用して、すべての AAA ローカル ユーザについて認証の失敗回数とロックアウト ステータスの詳細を表示しています。

次の例では、認証失敗の上限を 5 回に設定した後で、 show aaa local user コマンドを lockout キーワード付きで使用して、ロックアウトされたすべての AAA ローカル ユーザについて、認証の失敗回数とロックアウト ステータスの詳細を表示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトでは、すべての AAA サーバの統計情報が表示されます。

 

コマンド履歴

例

次の例では、 show aaa-server コマンドを使用して、サーバグループ group1 に含まれている特定のホストの統計情報を表示しています。

次の例では、 show aaa-server コマンドを使用して、非アクティブな小規模システムに含まれているすべてのホストの統計情報を表示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次に、 show access-list コマンドの出力例を示します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

このコマンドにデフォルト設定はありません。

 

コマンド履歴

 

使用上のガイドライン

show activation-key コマンドの出力で示されるアクティべーション キーのステータスは、次のとおりです。

• セキュリティ アプライアンスのフラッシュ ファイル システムにあるアクティべーション キーが、セキュリティ アプライアンスで機能しているアクティべーション キーと同じものである場合、 show activation-key コマンドの出力は次のようになります。

• セキュリティ アプライアンスのフラッシュ ファイル システムにあるアクティべーション キーが、セキュリティ アプライアンスで機能しているアクティべーション キーと異なるものである場合、 show activation-key コマンドの出力は次のようになります。

• アクティベーション キーをダウングレードする場合は、機能しているキー（古いキー）が、フラッシュに格納されているキー（新しいキー）と異なっていることが表示されます。セキュリティ アプライアンスを再起動すると、新しいキーが使用されます。

• キーをアップグレードして追加の機能をイネーブルにする場合、新しいキーはすぐに機能し始めます。再起動する必要はありません。

• PIX Firewall プラットフォームでは、新しいキーと古いキーでフェールオーバー機能（R/UR/FO）に違いがある場合、確認するように要求されます。ユーザが n を入力すると、変更内容は破棄されます。その他の場合は、フラッシュ ファイル システムに格納されているキーがアップデートされます。セキュリティ アプライアンスを再起動すると、新しいキーが使用されます。

例

次の例は、アクティベーション キーによってイネーブルになった機能のコンフィギュレーションに含まれているコマンドを表示する方法を示しています。

 

関連コマンド

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次に、 show admin-context コマンドの出力例を示します。この例では、flash のルート ディレクトリに格納されている「admin」という管理コンテキストが表示されています。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次に、 show arp コマンドの出力例を示します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次に、 show arp-inspection コマンドの出力例を示します。

miss カラムは、ARP 検査がイネーブルになっている場合に、一致しないパケットに対して実行するデフォルト アクション（flood または no-flood）を示しています。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次に、 show arp statistics コマンドの出力例を示します。

表 7-2 に、各フィールドの説明を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

引数もキーワードも指定しない場合は、すべての機能のすべての履歴情報が表示されます。

 

コマンド履歴

 

使用上のガイドライン

show asdm history コマンドは、ASDM 履歴バッファの内容を表示します。ASDM 履歴情報を表示するには、 asdm history enable コマンドを使用して、ASDM 履歴のトラッキングをあらかじめイネーブルにしておく必要があります。

例

次に、 show asdm history コマンドの出力例を示します。ここでは、出力する内容を外部インターフェイスに関する最近 10 分間に収集されたデータに限定しています。