Cisco ASA 5500 シリーズ 適応型セキュリティ アプライアンス スタートアップ ガイド

AIP SSM の設定

この手順では、AIP SSM 用に適応型セキュリティ アプライアンスを設定するために必要な設定手順について説明します。

トラフィックを AIP SSM に誘導するための ASA 5500 の設定

MPF（モジュラ ポリシー フレームワーク）コマンドを使用して、トラフィックを AIP SSM に誘導するように、適応型セキュリティ アプライアンスを設定します。この手順では、AIP SSM 配置の単純なポリシー セットを設定するための情報を示します。複雑なポリシー セットを作成する場合は、Modular Policy Frameworkの概念と一般的なコマンドを説明する『 Cisco Security Appliance Command Line Configuration Guide 』の「Modular Policy Framework」の章を参照してください。

適応型セキュリティ アプライアンスから AIP SSM に誘導するトラフィックを特定するには、次の手順を実行します。

ステップ 1 すべてのトラフィックと一致するアクセス リストを作成します。

ステップ 2 AIP SSM に誘導するトラフィックを特定する、クラスマップを作成します。次のように、 class-map コマンドを使用します。

ここで、 class_map_name は、トラフィック クラスの名前です。 class-map コマンドを入力すると、CLI は、クラスマップ コンフィギュレーションモードに移行します。

ステップ 3 ステップ 1 で作成したアクセス リストと match access-list コマンドを使用して、スキャンするトラフィックを特定します。

ステップ 4 AIP SSM へのトラフィックの送信に使用するポリシーマップを作成するか、既存のポリシーマップを修正します。次のように、 policy-map コマンドを使用します。

ここで、 policy_map_name は、ポリシーマップの名前です。CLI は、ポリシーマップ コンフィギュレーション モードに移行し、プロンプトが変化します。

ステップ 5 スキャンするトラフィックを特定する、ステップ 2 で作成したクラスマップを指定します。次のように、 class コマンドを使用します。

ここで、 class_map_name は、ステップ 2 で作成したクラスマップの名前です。CLI は、ポリシーマップ クラス コンフィギュレーション モードに移行し、プロンプトが変化します。

ステップ 6 クラスマップで特定されたトラフィックを、AIP SSM に送信するトラフィックとして割り当てます。次のように、 ips コマンドを使用します。

inline キーワードおよび promiscuous キーワードによって、AIP SSM の動作モードを制御します。 fail-close キーワードおよび fail-open キーワードによって、AIP SSM を使用できないときに適応型セキュリティ アプライアンスがトラフィックを処理する方法を制御します。動作モードおよび障害発生時の動作の詳細については、「AIP SSM の設定」を参照してください。

ステップ 7 service-policy コマンドを使用して、ポリシーマップをグローバルに、または特定のインターフェイスに適用します。

ここで、 policy_map_name は、ステップ 4 で設定したポリシーマップです。すべてのインターフェイスのトラフィックにポリシーマップを適用するには、 global キーワードを使用します。特定のインターフェイスのトラフィックにポリシーマップを適用するには、 interface interface_ID オプションを使用します。ここで、 interface_ID は、 nameif コマンドでインターフェイスに割り当てた名前です。

グローバル ポリシーは 1 つしか適用できません。インターフェイスのグローバル ポリシーは、そのインターフェイスにサービス ポリシーを適用することで上書きできます。各インターフェイスには、ポリシーマップを 1 つだけ適用できます。

適応型セキュリティ アプライアンスは、指定されたとおりにトラフィックを AIP SSM に誘導し始めます。

次の例では、すべての IP トラフィックが AIP SSM に無差別モードで誘導され、何らかの理由で AIP SSM カードに障害が発生した場合は、すべての IP トラフィックがブロックされます。

AIP SSM へのセッションの接続とセットアップの実行

トラフィックを AIP SSM に誘導するように、ASA 5500 シリーズ 適応型セキュリティ アプライアンスを設定した後、AIP SSM へのセッションを接続し、初期コンフィギュレーション用のセットアップ ユーティリティを実行します。

（注） （session 1 コマンドを使用して）適応型セキュリティ アプライアンスから SSM へのセッションを接続することも、管理インターフェイスで SSH または Telnet を使用して、SSM に直接接続することもできます。あるいは、ASDM を使用することもできます。

適応型セキュリティ アプライアンスから AIP SSM へのセッションを接続するには、次の手順を実行します。

ステップ 1 session 1 コマンドを入力して、ASA 5500 シリーズ適応型セキュリティ アプライアンス から AIP SSM へのセッションを接続します。

ステップ 2 ユーザ名とパスワードを入力します。デフォルトのユーザ名とパスワードは、どちらも cisco です。

（注） 初めて AIP SSM にログインしたときに、デフォルト パスワードの変更を要求するプロンプトが表示されます。パスワードは 8 文字以上で、辞書に載っていない単語にする必要があります。

（注） 上記のライセンスの注意が表示された場合（一部のソフトウェア バージョンでのみ表示されます）、AIP SSM でシグニチャ ファイルをアップグレードする必要がなければ、無視してかまいません。有効なライセンス キーがインストールされるまで、AIP SSM は現在のシグニチャ レベルで動作し続けます。ライセンス キーは後でインストールできます。ライセンス キーは、AIP SSM の現在の機能には影響を与えません。

ステップ 3 setup コマンドを入力して、AIP SSM の初期コンフィギュレーション用のセットアップ ユーティリティを実行します。