Cisco ASA 5500 シリーズ/Cisco PIX 500 シリーズ Cisco セキュリティ アプライアンス コマンド リファレンス Software Version 7.0.4

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

tcp-map コマンドをモジュラ ポリシー フレームワーク インフラストラクチャとともに使用して、高度な TCP 接続設定を設定します。トラフィックのクラスを class-map コマンドを使用して定義し、TCP 検査を tcp-map コマンドを使用してカスタマイズします。その新しい TCP マップを policy-map コマンドを使用して適用します。TCP 検査を service-policy コマンドを使用して有効にします。

tcp-map コマンドを使用して、tcp マップ コンフィギュレーション モードに入ります。次のコマンドを tcp マップ コンフィギュレーション モードで使用できます。

例

次の例では、 localmap という名前の TCP マップの使用を指定するための tcp-map コマンドの使用方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

tcp-map コマンドをモジュラ ポリシー フレームワーク インフラストラクチャとともに使用します。トラフィックのクラスを class-map コマンドを使用して定義し、TCP 検査を tcp-map コマンドを使用してカスタマイズします。その新しい TCP マップを policy-map コマンドを使用して適用します。TCP 検査を service-policy コマンドを使用して有効にします。

tcp-map コマンドを使用して、tcp マップ コンフィギュレーション モードに入ります。tcp マップ コンフィギュレーション モードで tcp-options コマンドを使用して、selective-acknowledgement オプション、window-scale オプション、および timestamp TCP オプションを消去します。また、明確に定義されていないオプションを持つパケットも消去またはドロップできます。

例

次の例では、TCP オプションが 6 ～ 7 および 9 ～ 255 の範囲であるすべてのパケットをドロップする方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトでは、Telnet セッションのアイドル状態が 5 分間続くと、セキュリティ アプライアンスによって停止されます。

 

コマンド履歴

 

使用上のガイドライン

telnet コマンドでは、Telnet でセキュリティ アプライアンス コンソールにアクセスできるホストを指定できます。セキュリティ アプライアンスへの Telnet 接続は、すべてのインターフェイスでイネーブルにできます。ただし、セキュリティ アプライアンスでは、外部インターフェイスへの Telnet トラフィックがすべて、必ず IPSec で保護されます。外部インターフェイスへの Telnet セッションをイネーブルにするには、まず外部インターフェイス上で、IPSec がセキュリティ アプライアンスの生成する IP トラフィックを含むように設定した後、外部インターフェイスで Telnet をイネーブルにします。

no telnet コマンドを使用すると、それまでに設定した IP アドレスから Telnet アクセスが削除されます。telnet timeout コマンドを使用すると、コンソールの Telnet セッションの最大アイドル時間を設定して、その時間が経過すると、セキュリティ アプライアンスがログオフするようにできます。no telnet コマンドは、telnet timeout コマンドと共に使用できません。

IP アドレスを入力した場合、ネットマスクも入力する必要があります。デフォルトのネットマスクはありません。内部ネットワークのサブネットワーク マスクを使用しないでください。netmask は、IP アドレスのビット マスクだけです。アクセスを IP アドレス 1 つに制限するには、255.255.255.255 のように各オクテットに 255 を使用します。

IPSec が動作中の場合に、アンセキュアなインターフェイス名（通常、外部インターフェイス）を指定できます。telnet コマンドでインターフェイス名を指定するには、少なくとも、crypto map コマンドを設定する必要があります。

passwd コマンドを使用して、コンソールへの Telnet アクセスで使用するパスワードを設定します。デフォルトは cisco です。who コマンドを使用して、現在セキュリティ アプライアンス コンソールにアクセスしている IP アドレスを表示します。kill コマンドを使用して、アクティブな Telnet コンソール セッションを終了します。

aaa コマンドを console キーワードと共に使用する場合は、Telnet コンソール アクセスを認証サーバで認証する必要があります。

（注） aaa コマンドを設定して、セキュリティ アプライアンス Telnet コンソール アクセスに認証を要求した場合に、コンソール ログイン要求がタイムアウトしたときは、セキュリティ アプライアンス ユーザ名と enable password コマンドで設定したパスワードを入力して、シリアル コンソールからセキュリティ アプライアンスにアクセスできます。

例

次の例では、ホスト 192.168.1.3 および 192.168.1.4 が Telnet を通してセキュリティ アプライアンス コンソールへのアクセス許可を得る方法を示します。さらに、192.168.2.0 ネットワーク上のすべてのホストがアクセスを許可されます。

次の例では、セッションの最大アイドル継続時間を変更する方法を示します。

次の例では、Telnet コンソール ログイン セッションを示します（パスワードは入力時には表示されません）。

no telnet コマンドを使用して個々のエントリを削除することも、すべての telnet コマンド文を clear configure telnet コマンドで削除することもできます。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

lines の引数が指定されていない場合、 terminal monitor pager のデフォルトは 24 行です。

 

コマンド履歴

例

次の例では、ロギングをイネーブルにしてから、現在のセッションだけでロギングをディセーブルにする方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの表示幅は 80 カラムです。

 

コマンド履歴

例

次の例では、端末の表示幅を 100 カラムにする方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

test aaa-server コマンドを使用して、セキュリティ アプライアンスが特定の AAA サーバでユーザを認証または認可できるかどうかを確認します。このコマンドを使用すると、実際のサプリカントでテストする必要がないため、セキュリティ アプライアンス上のコンフィギュレーションの確認が簡略化されます。また、認証および認可の失敗が、AAA サーバ パラメータの設定の誤り、AAA サーバへの接続の問題、またはセキュリティ アプライアンスでのその他のコンフィギュレーション エラーに起因するものかどうかを識別できます。

このコマンドを入力すると、 host および password キーワードと引数のペアを省略できます。セキュリティ アプライアンスは、これらの値を入力するようにプロンプトを表示します。認証テストを実行している場合、 password キーワードと引数のペアを省略して、セキュリティ アプライアンスがプロンプトを表示しているときにパスワードを入力できます。

例

次の例では、ホスト「192.168.3.4」の「srvgrp1」という名前の RADIUS AAA サーバに対して、タイムアウト 9 秒、リトライ間隔 7 秒、認証ポート 1650 を設定します。AAA サーバ パラメータの設定に続く test aaa-server コマンドは、認証テストがサーバに到達できずに失敗したことを示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

タイトルバーのテキストのデフォルト色は白です。

 

コマンド履歴

例

次の例では、タイトルバーのテキストの色を黒に設定する方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

tftp-server コマンドを使用すると、 configure net コマンドと write net コマンドの入力が簡略化されます。 configure net コマンドまたは write net コマンドを入力する場合、 tftp-server コマンドで指定した TFTP サーバを継承することも、独自の値を入力することもできます。また、 tftp-server コマンドのパスをそのまま継承したり、 tftp-server コマンド値の末尾にパスとファイル名を追加したり、 tftp-server コマンド値を上書きすることもできます。

セキュリティ アプライアンスがサポートする tftp-server コマンドは 1 つだけです。

例

次の例では、TFTP サーバを指定し、コンフィギュレーションを /temp/config/test_config ディレクトリから読み取る方法を示します。

 

関連コマンド

 

シンタックスの説明

conn	（オプション）経過後に接続を終了するアイドル時間を指定します。最短時間は 5 分です。
hh : mm : ss	タイムアウト時間を指定します。
h225 hh : mm : ss	（オプション）経過後に H.225 シグナリング接続が終了するアイドル時間を指定します。
h323	（オプション）経過後に H.245（TCP）および H.323（UDP）メディア接続が終了するアイドル時間を指定します。デフォルトは 5 分です。 （注） H.245 および H.323 メディア接続の両方に同じ接続フラグが設定されるため、H.245（TCP）接続は H.323（RTP および RTCP）メディア接続とアイドル タイムアウトを共有します。
half-closed	（オプション）経過後に TCP ハーフクローズ接続が解放されるアイドル時間を指定します。
icmp	（オプション）ICMP のアイドル時間を指定します。
mgcp hh:mm:ss	（オプション）経過後に MGCP メディア接続が削除されるアイドル時間を指定します。
mgcp-pat hh:mm:ss	（オプション）経過後に MGCP PAT 変換が削除される絶対間隔を設定します。
rpc	（オプション）RPC スロットが解放されるまでのアイドル時間を指定します。最短時間は 1 分です。
sip	（オプション）SIP タイマーを修正します。
sip_media	（オプション）SIP メディア タイマーを修正します。メディア タイマーは、UDP 非アクティビティ タイムアウトの代わりに、SIP UDP メディア パケットを扱う SIP RTP/RTCP で使用されます。
sunrpc	（オプション）経過後に SUNRPC スロットが終了するアイドル時間を指定します。
uauth	（オプション）認証および認可キャッシュがタイムアウトするまでの継続時間を設定します。ユーザは次回の接続時に再認証を必要とします。
udp	（オプション）UDP スロットが解放されるまでのアイドル時間を指定します。最短時間は 1 分です。
xlate	（オプション）変換スロットが解放されるまでのアイドル時間を指定します。最短時間は 1 分です。

 

デフォルト

デフォルトは次のとおりです。

• conn hh : mm : ss は、1 時間（ 01:00:00 ）です。

• h225 hh : mm : ss は、1 時間（ 01:00:00 ）です。

• h323 hh : mm : ss は、5 分（ 00:05:00 ）です。

• half-closed hh : mm : ss は、10 分（ 00:10:00 ）です。

• icmp hh:mm:ss は、2 分（ 00:00:0 2 ）です。

• mgcp hh:mm:ss は、5 分（ 00:05:00 ）です。

• mgcp-pat hh:mm:ss は、5 分（ 00:05:00 ）です。

• rpc hh : mm : ss は、10 分（ 00:10:00 ）です。

• sip hh:mm: は、30 分（ 00:30:00 ）です。

• sip_media hh:mm:ss は、2 分（ 00:02:00 ）です。

• sunrpc hh:mm:ss は、10 分（ 00:10:00 ）です。

• uauth タイマーは、 absolute です。

• udp hh : mm : ss は、2 分（ 00:02:00 ）です。

• xlate hh : mm : ss は、3 時間（ 03:00:00 ）です。

 

コマンド履歴

 

使用上のガイドライン

timeout コマンドは、接続、変換 UDP、および RPC の各スロットに許容されるアイドル時間を設定します。指定されたアイドル時間内に、そのスロットが使用されていなければ、リソースがフリー プールに戻されます。TCP 接続スロットは、通常の接続終了シーケンスの約 60 秒後に解放されます。

（注） 接続に受動 FTP を使用している場合、または Web 認証に virtual コマンドを使用している場合は、timeout uauth 0:0:0 コマンドは使用しないでください。

接続タイマーは、変換タイマーに優先します。つまり、変換タイマーは、すべての接続がタイムアウトした後に初めて動作します。

conn hh : mm : ss を設定する場合、 0:0:0 を使用すると、接続がタイムアウトしません。

half-closed hh : mm : ss を設定する場合、0:0:0 を使用すると、ハーフクローズ接続がタイムアウトしません。

h255 hh : mm : ss を設定する場合、 h225 00:00:00 を使用すると、H.225 シグナリング接続が絶対に終了しません。タイムアウト値を h225 00:00:01 に設定すると、タイマーがディセーブルになり、すべてのコールがクリアされた後、TCP 接続がすぐに終了します。

uauth hh : mm : ss 時間は、 xlate キーワードより短く設定する必要があります。キャッシュをディセーブルにするには、0 に設定します。接続上で受動 FTP が使用されている場合は、0 には設定しないでください。

absolute キーワードをディセーブルにするには、uauth タイマーに 0（ゼロ）を設定します。

例

次の例では、アイドル状態の最大継続時間を設定する方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトのタイムアウト値は 10 秒です。

 

コマンド履歴

 

使用上のガイドライン

このコマンドは、すべての AAA サーバ プロトコル タイプに有効です。

timeout コマンドを使用して、セキュリティ アプライアンスが AAA サーバへの接続を試みる時間の長さを指定します。 retry-interval コマンドを使用して、セキュリティ アプライアンスが接続を試行する間隔を指定します。

タイムアウトは、セキュリティ アプライアンスがサーバとのトランザクションの完了に必要となる合計所要時間です。リトライ間隔は、タイムアウト期間中に通信が再試行される頻度を決定します。したがって、リトライ間隔がタイムアウト値以上の場合、再試行されません。再試行する場合は、リトライ間隔をタイムアウト値よりも小さくする必要があります。

例

次の例では、ホスト 1.2.3.4 上の「svrgrp1」という名前の RADIUS AAA サーバに、タイムアウト値 30 秒、リトライ間隔 10 秒を設定します。したがって、セキュリティ アプライアンスは、30 秒後に中止するまで通信を 3 度試行します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトは、 gsn 、 pdp-context 、および signaling に対して 30 分です。

request のデフォルトは 1 分です。

tunnel のデフォルトは、1 分です（Delete PDP Context Request が受信されていない場合）。

 

コマンド履歴

 

使用上のガイドライン

パケット データ プロトコル（PDP）コンテキストは、IMSI と NSAPI の組み合せであるトンネル識別子（TID）によって識別されます。各 MS は最大 15 の NSAPI を持つことができ、様々な QoS レベルのアプリケーション要件に基づいて、それぞれが異なる NSAPI を持つ複数の PDP コンテキストを作成できます。

GTP トンネルは、それぞれ別個の GSN ノードにある、2 つの関連する PDP コンテキストによって定義され、トンネル ID によって識別されます。GTP トンネルは、パケットを外部パケット データ ネットワークとモバイル ステーション ユーザの間で転送するために必要なものです。

例

次の例では、要求キューに対して 2 分のタイムアウト値を設定します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

時間範囲を作成しても、デバイスへのアクセスは制限されません。 time-range コマンドは、時間範囲だけを定義します。時間範囲を定義したら、これをトラフィック規則または動作に添付できます。

時間ベース ACL を実装するには、 time-range コマンドを使用して、週および 1 日の中の特定の時刻を定義します。 access-list extended time-range コマンドとともに使用して、ACL に時間範囲をバインドします。

時間範囲はセキュリティ アプライアンスのシステム クロックに依存しています。ただし、この機能は、NTP 同期化により最適に動作します。

例

次の例では、「New_York_Minute」という名前の時間範囲を作成し、時間範囲コンフィギュレーション モードに入ります。

時間範囲を作成して、時間範囲コンフィギュレーション モードに入った後、 absolute コマンドおよび periodic コマンドを使用して、時間範囲パラメータを定義できます。 time-range コマンドの absolute キーワードおよび periodic キーワードのデフォルト設定を復元するには、時間範囲コンフィギュレーション モードで default コマンドを使用します。

時間ベース ACL を実装するには、 time-range コマンドを使用して、週および 1 日の中の特定の時刻を定義します。 access-list extended コマンドとともに使用して、ACL に時間範囲をバインドします。次の例では、「Sales」という名前の ACL を「New_York_Minute」という名前の時間範囲にバインドします。

ACL の詳細については、 access-list extended コマンドを参照してください。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの間隔は 240 秒です。

 

コマンド履歴

 

使用上のガイドライン

OSPF リンクステート アドバタイズメント（LSA）がグループに収集されてリフレッシュ、チェックサム、またはエージングされる間隔を変更するには、 timers lsa-group-pacing seconds コマンドを使用します。デフォルトのタイマー値に戻すには、 no timers lsa-group-pacing コマンドを使用します。

例

次の例では、LSA のグループ処理間隔に 500 秒を設定します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトは次のとおりです。

• delay は 5 秒です。

• holdtime は 10 秒です。

 

コマンド履歴

 

使用上のガイドライン

OSPF プロトコルによるトポロジ変更受信と計算開始との間の遅延時間、および 2 つの連続した SPF 計算での保持時間を設定するには、 timers spf コマンドを使用します。デフォルトのタイマー値に戻すには、 no timers spf コマンドを使用します。

例

次の例では、SPF 計算の遅延時間に 10 秒、SPF 計算の保持時間に 20 秒を設定します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトのタイトルは「WebVPN Service」です。

 

コマンド履歴

 

使用上のガイドライン

タイトルを入れない場合、文字列なしで title コマンドを使用します。

例

次の例では、WebVPN タイトル「Our Company WebVPN Services」を作成する方法を示します。

hostname(config)# webvpn

 

シンタックスの説明

 

デフォルト

デフォルトのタイトルは、HTML の #999CC（薄紫色）です。

 

コマンド履歴

 

使用上のガイドライン

HTML および RGB 値を使用する場合、推奨値は 216 です。推奨色は、数学的にあり得る数よりはるかに少なくなります。多くのディスプレイは 256 色しか処理できず、その中の 40 色は、Macintosh と PC では別の色が表示されます。最適な表示結果を得るには、各所で公開されている HTML および RGB テーブルを確認してください。テーブルをオンラインで見つけるには、検索エンジンで RGB と入力します。

例

次の例では、RGB の色値 153, 204, 255（スカイブルー）を設定する方法を示します。

hostname(config)# webvpn

 

関連コマンド

 

シンタックスの説明

 

デフォルト

このコマンドは、デフォルトではディセーブルになっています。コマンドがイネーブルで、サポートされる転送符号化タイプが指定されていない場合、デフォルトのアクションは接続をロギングなしで許可します。デフォルト アクションを変更するには、 default キーワードを使用して別のデフォルト アクションを指定します。

 

コマンド履歴

 

使用上のガイドライン

transfer-encoding コマンドをイネーブルにする場合、セキュリティ アプライアンスは、サポートおよび設定された各転送符号化タイプの HTTP 接続に、指定したアクションを適用します。

セキュリティ アプライアンスは、設定したリストの転送符号化タイプに一致 しない すべてのトラフィックに対して、 default アクションを適用します。事前設定済みの default アクションでは、接続をロギングなしで allow します。

たとえば、事前設定済みのデフォルトのアクションが与えられ、 drop および log のアクションを伴う符号化タイプを 1 つ以上指定する場合、セキュリティ アプライアンスは設定済みの符号化タイプを含む接続を廃棄して、各接続のログを記録し、サポートされるその他の符号化タイプに対してすべての接続を許可します。

より厳しいポリシーを設定する場合は、デフォルト アクションを drop （または reset ）および log に変更します（イベントをログに記録する場合）。次に、 allow アクションを使用して、許容される符号化タイプをそれぞれ設定します。

適用する各設定に対して、 transfer-encoding コマンドを 1 度入力します。 transfer-encoding コマンドの 1 つのインスタンスはデフォルト アクションの変更に使用し、もう 1 つのインスタンスは設定済みの転送符号化タイプのリストに各符号化タイプを追加するために使用します。

このコマンドの no 形式を使用して、設定済みのアプリケーション タイプのリストからアプリケーション カテゴリを削除する場合、アプリケーション カテゴリ キーワード以降、コマンドラインに入力された文字は無視されます。

例

次の例では、事前設定済みのデフォルトを使用して、緩やかなポリシーを指定しています。サポートされているすべてのアプリケーション タイプを、個別に拒否されていない限り許可します。

この場合、GNU zip を使用した接続だけが廃棄され、イベントのログが記録されます。

次の例では、特に許可されていない任意の符号化タイプに対し、接続をリセットしてイベントをログに記録するようにデフォルト アクションを変更した厳しいポリシーを指定します。

この場合、転送符号化を使用していない接続だけが許可されます。サポートされるその他の符号化タイプの HTTP トラフィックを受信した場合、セキュリティ アプライアンスは接続をリセットして、syslog エントリを作成します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

すべてのトンネルグループ タイプにこのアトリビュートを適用できます。

例

次の例は config-ipsec コンフィギュレーション モードで入力され、209.165.200.225 という名前の IPSec LAN-to-LAN トンネルグループの IKE ペアに送られる証明書を識別するためのトラストポイントを設定します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

セキュリティ アプライアンスが提供する TTL 回避保護は、デフォルトでイネーブルです。

 

コマンド履歴

 

使用上のガイドライン

tcp-map コマンドをモジュラ ポリシー フレームワーク インフラストラクチャとともに使用します。トラフィックのクラスを class-map コマンドを使用して定義し、TCP 検査を tcp-map コマンドを使用してカスタマイズします。その新しい TCP マップを policy-map コマンドを使用して適用します。TCP 検査を service-policy コマンドを使用して有効にします。

tcp-map コマンドを使用して、tcp マップ コンフィギュレーション モードに入ります。tcp マップ コンフィギュレーション モードで ttl-evasion-protection コマンドを使用して、セキュリティ ポリシーを回避しようとした攻撃を防止します。

たとえば、攻撃者は非常に短い TTL を持つポリシーを通過するパケットを送信できます。TTL が 0 になると、セキュリティ アプライアンスとエンドポイントの間のルータはパケットを廃棄します。攻撃者は、この時点で長い TTL を持つ悪意のあるパケットを送信できます。セキュリティ アプライアンスはこのパケットを再送とみなし、通過させます。ただし、エンドポイントのホストでは、このパケットが攻撃者より受信した最初のパケットとなります。このような場合、攻撃者は攻撃を防ぐセキュリティがなくても成功します。この機能をイネーブルにすると、このような攻撃を防ぐことができます。

例

次の例では、ネットワーク 10.0.0.0 から 20.0.0.0 へのフローで TTL 回避保護をディセーブルにする方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

セキュリティ アプライアンスには、デフォルトで 2 つのトンネルグループがあります。
DefaultRAGroup は、デフォルトの IPSec リモートアクセス トンネルグループで、DefaultL2Lgroup は、デフォルトの IPSec LAN-to-LAN トンネルグループです。これらは変更できますが、削除はできません。セキュリティ アプライアンスは、トンネル ネゴシエーション中に特定のトンネルグループが識別されない場合、これらのグループを使用して、リモートアクセスおよび LAN-to-LAN トンネルグループに対してデフォルトのトンネル パラメータを設定します。

tunnel-group コマンドには、次のコマンドがあります。これらの各コマンドを使用すると、コンフィギュレーション モードのレベルでアトリビュートを設定するコンフィギュレーション モードに入ることができます。

• tunnel-group general-attributes

• tunnel-group ipsec-attributes

例

次の例はグローバル コンフィギュレーション モードで入力され、IPSec LAN-to-LAN トンネルグループを設定します。名前は、LAN-to-LAN ピアの IP アドレスです。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

次の表は、このグループに属しているコマンドと、コマンドを設定できるトンネルグループのタイプを示しています。

例

次の例はグローバル コンフィギュレーション モードで入力され、LAN-to-LAN ピアの IP アドレスを使用して IPSec LAN-to-LAN 接続用のトンネルグループを作成してから一般コンフィギュレーション モードに入り、一般アトリビュートを設定します。トンネルグループの名前は、209.165.200.225 です。

次の例はグローバル コンフィギュレーション モードで入力され、IPSec リモートアクセス接続用の「remotegrp」という名前のトンネルグループを作成してから一般コンフィギュレーション モードに入り、「remotegrp」という名前のトンネルグループ用の一般アトリビュートを設定します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

次のコマンドは、このグループに所属しています。

例

次の例はグローバル コンフィギュレーションで入力され、remotegrp という名前の IPSec リモートアクセス トンネルグループ用のトンネルグループを作成してから、IPSec グループ アトリビュートを指定します。

 

関連コマンド

 

シンタックスの説明

 

シンタックスの説明シンタックスの説明

 

デフォルト

tunnel-group-map default-group のデフォルト値は、DefaultRAGroup です。

 

コマンド履歴

 

使用上のガイドライン

crypto ca certificate map コマンドは、証明書マッピング規則の優先順位付きリストを管理します。定義できるマップは 1 つのみです。ただし、このマップで 65,535 個までの規則を保持できます。詳細については、 crypto ca certificate map コマンドのマニュアルを参照してください。

証明書からトンネルグループ名を取得する処理は、トンネルグループに関連付けられていない証明書マップのエントリを無視します（どのマップ規則もこのコマンドでは識別されません）。

例

次の例はグローバル コンフィギュレーション モードで入力され、他の設定済みメソッドで名前を取得できない場合に使用されるデフォルトのトンネルグループを指定します。使用するトンネルグループの名前は、group1 です。

 

関連コマンド

 

シンタックスの説明

 

シンタックスの説明シンタックスの説明

 

デフォルト

tunnel-group-map コマンドのデフォルト値は、 enable ou で、 default-group は、DefaultRAGroup に設定されています。

 

コマンド履歴

 

使用上のガイドライン

crypto ca certificate map コマンドは、証明書マッピング規則の優先順位付きリストを管理します。定義できるマップは 1 つのみです。ただし、このマップで 65,535 個までの規則を保持できます。詳細については、 crypto ca certificate map コマンドのマニュアルを参照してください。

例

次の例では、フェーズ 1 IKE ID のコンテンツに基づいて、トンネルグループへの証明書ベースの IKE セッションのマッピングをイネーブルにします。

次の例では、確立されたピアの IP アドレスに基づいて、トンネルグループへの証明書ベースの IKE セッションのマッピングをイネーブルにします。

次の例では、サブジェクト認定者名（DN）の組織ユニット（OU）に基づいて証明書ベースの IKE セッションのマッピングをイネーブルにします。

次の例では、確立した規則に基づいて、証明書ベースの IKE セッションのマッピングをイネーブルにします。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

トンネル制限のデフォルトは 500 です。

 

コマンド履歴

 

使用上のガイドライン

このコマンドで指定されたトンネル数に到達すると、新しい要求は廃棄されます。

例

次の例では、GTP トラフィックに最大 10,000 トンネルを指定します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの tx-ring-limit は、128 パケットです。

 

コマンド履歴

 

使用上のガイドライン

セキュリティ アプライアンスは、2 つのクラスのトラフィックを許可します。1 つは優先順位が高く、遅延に影響されやすいトラフィック（音声およびビデオなど）用の低遅延キューイング（LLQ）で、もう 1 つは、それ以外のすべてのトラフィック用のベストエフォート（デフォルト）です。セキュリティ アプライアンスは、プライオリティ トラフィックを認識し、適切な Quality of Service（QoS）ポリシーを強制します。プライオリティキューのサイズと項目数を設定することで、トラフィック フローを微調整できます。

プライオリティ キューイングを有効にするには、 priority-queue コマンドを使用して、インターフェイスのプライオリティキューをあらかじめ作成しておく必要があります。1 つの priority-queue コマンドを、 nameif コマンドで定義できるすべてのインターフェイスに対して適用できます。

priority-queue コマンドを使用すると、プライオリティキュー モードに入ります。モードはプロンプトに表示されます。プライオリティキュー モードでは、いつでも送信キューに入れることができるパケットの最大数（ tx-ring-limit コマンド）、およびバッファに入れることのできる両タイプ（優先またはベストエフォート）のパケット数を設定できます（ queue-limit コマンド）。queue-limit の数を超えると、以後のパケットはドロップされます。

（注） インターフェイスに対してプライオリティ キューイングをイネーブルにするには、priority-queue コマンドを設定する必要があります。

指定する tx-ring-limit および queue-limit は、優先順位の高い低遅延キューとベストエフォート キューの両方に適用されます。tx-ring-limit は、ドライバが許容できる両タイプのパケットの数です。このパケットの処理が終わると、ドライバは輻輳が解消するまで、インターフェイスの先頭にある、パケットをバッファしているキューの処理に戻ります。一般に、これらの 2 つのパラメータを調整することによって、低遅延トラフィックのフローを最適化できます。

キューは無限大ではないため、いっぱいになってオーバーフローすることがあります。キューがいっぱいになると、以降のパケットはキューに入ることができず、すべてドロップされます。これが テール ドロップ です。キューがいっぱいになることを避けるには、 queue-limit コマンドを使用して、キューのバッファ サイズを大きくします。

（注） queue-limit コマンドと tx-ring-limit コマンドの値の範囲の上限は、実行時に動的に決まります。この上限値を表示するには、コマンドラインで help または ? と入力します。主な決定要素は、キューのサポートに必要となるメモリと、デバイス上で使用可能なメモリの量です。queue-limit 値の範囲は、0 ～ 2,048 パケットです。tx-ring-limit 値の範囲は、PIX プラットフォームでは 3 ～ 128 パケット、ASA プラットフォームでは 3 ～ 256 パケットです。

例

次の例では、test というインターフェイスのプライオリティキューを設定して、キューの上限を 2048 パケット、送信キューの上限を 256 パケットと指定しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

緊急フラグおよび緊急オフセットはデフォルトで消去されます。

 

コマンド履歴

 

使用上のガイドライン

tcp-map コマンドをモジュラ ポリシー フレームワーク インフラストラクチャとともに使用します。トラフィックのクラスを class-map コマンドを使用して定義し、TCP 検査を tcp-map コマンドを使用してカスタマイズします。その新しい TCP マップを policy-map コマンドを使用して適用します。TCP 検査を service-policy コマンドを使用して有効にします。

tcp-map コマンドを使用して、tcp マップ コンフィギュレーション モードに入ります。tcp マップ コンフィギュレーション モードで urgent-flag コマンドを使用して、緊急フラグを許可します。

URG フラグは、ストリーム内の他のデータよりも高い優先順位の情報を含むパケットを示すために使用されます。TCP RFC は、URG フラグの正確な解釈を明確化していません。したがって、エンド システムは緊急オフセットをさまざまな方法で処理します。このため、エンド システムが攻撃を受け易くなります。デフォルトの動作は、URG フラグとオフセットを消去します。

例

次の例では、緊急フラグを許可する方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

既存の URL は上書きできません。既存の URL を置き換えるには、まずそれを削除して、このコマンドの no 形式を使用します。

例

次の例では、ca-crl コンフィギュレーション モードに入り、CRL 検索用の URL のリストを作成し、維持するためにインデックス 3 を設定して、CRL の検索元となる URL https://foobin.com を設定します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

このコマンドは、デフォルトではディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

Websense フィルタリング サーバの場合、url-block url-size コマンドを使用すると、最大 4 KB の長さの URL のフィルタリングが可能です。Websense フィルタリング サーバおよび N2H2 フィルタリング サーバの両方の場合、url-block block コマンドは、URL フィルタリング サーバからの応答を待つ間の Web クライアント要求に応じて Web サーバから受信したパケットをセキュリティ アプライアンスにバッファします。この処理により、デフォルトのセキュリティ アプライアンスの動作と比較して、Web クライアントのパフォーマンスが改善されます。デフォルトの動作はパケットを廃棄し、接続が許可された場合は Web サーバにパケットの再転送を要求します。

url-block block コマンドを使用し、フィルタリング サーバが接続を許可した場合、セキュリティ アプライアンスは、HTTP 応答バッファから Web クライアントにブロックを送信して、バッファからブロックを削除します。フィルタリング サーバが接続を拒否した場合、セキュリティ アプライアンスは拒否メッセージを Web クライアントに送信して、HTTP 応答バッファからブロックを削除します。

url-block block コマンドを使用して、フィルタリング サーバからのフィルタリング決定を待っている間に Web サーバの応答のバッファリングに使用するブロックの数を指定します。

url-block url-mempool コマンドとともに url-block url-size コマンドを使用して、Websense フィルタリング サーバによりフィルタリングされる URL の最大長と、URL バッファに割り当てる最大メモリを指定します。これらのコマンドを使用して、1,159 バイト以上 4,096 バイト以下の URL を Websense サーバに渡します。 url-block url-size コマンドは、1,159 バイトより長い URL をバッファに保存した後、その URL を Websense サーバに渡します（TCP パケット ストリームを使用して）。その結果、Websense サーバがその URL へのアクセスを許可または拒否できます。

例

次の例では、1,550 バイトのブロックを 56 個、URL フィルタリング サーバからの応答のバッファリングに割り当てます。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

このコマンドは、デフォルトではディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

url-cache コマンドには、Web サーバからの応答が N2H2 または Websense フィルタリング サービス サーバからの応答よりも高速な場合、Web サーバからの応答をバッファリングするコンフィギュレーション オプションが用意されています。このオプションによって、Web サーバの応答が 2 回ロードされることがなくなります。

url-cache コマンドは、URL キャッシュをイネーブルにし、キャッシュ サイズを設定し、キャッシュの統計情報を表示する場合に使用します。

キャッシュによって URL アクセス特権が、セキュリティ アプライアンス上のメモリに保存されます。ホストが接続を要求すると、セキュリティ アプライアンスは要求を N2H2 または Websense サーバに転送するのではなく、まず一致するアクセス特権を URL キャッシュ内で探します。キャッシュをディセーブルにするには、 no url-cache コマンドを使用します。

（注） N2H2 サーバまたは Websense サーバで設定を変更した場合は、no url-cache コマンドでキャッシュをディセーブルにした後、url-cache コマンドで再度イネーブルにします。

URL キャッシュを使用しても、Websense プロトコル Version 1 の Websense アカウンティング ログはアップデートされません。Websense プロトコル Version 1 を使用している場合は、Websense を実行してログを記録し、Websense アカウンティング情報を表示できるようにします。セキュリティの要求に合致する使用状況プロファイルを取得した後、 url-cache をイネーブルにしてスループットを向上させます。Websense プロトコル Version 4 および N2H2 URL フィルタリングでは、 url-cache コマンドの使用時にアカウンティング ログがアップデートされます。

例

次の例では、送信元アドレスと宛先アドレスに基づいて、すべての発信 HTTP 接続をキャッシュします。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの URL リストはありません。

 

コマンド履歴

 

使用上のガイドライン

グローバル コンフィギュレーション モードで url-list コマンドを使用して、URL のリストを 1 つ以上作成します。特定のグループポリシーまたはユーザがリスト内の URL にアクセスできるようにするには、ここで作成した listname とともに WebVPN モードで url-list コマンドを使用します。

例

次の例では、www.cisco.com、www.example.com、および www.example.org へのアクセスを提供する Marketing URLs という名前の URL リストを作成する方法を示します。次の表は、各アプリケーションの例で使用する値を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの URL リストはありません。