APIC 統合向け Cisco ASA クイック スタート ガイド 1.3(11)

偏向のない言語

この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

マニュアルのコンテンツ
このマニュアル内で検索
ご利用いただける言語
Download Options

Book Title

APIC 統合向け Cisco ASA クイック スタート ガイド 1.3(11)

Chapter Title

設定

検索結果

Updated:
2019年4月30日

章のタイトル： 設定

設定

バックグラウンド

アプリケーションの一環として L4 L7 サービスの統合のため、ACI ファブリックを提供します。これは、APIC マネージド サービス グラフ、L4 L7 デバイス パッケージを必要とを使用して行います。インポートされたデバイス パッケージは、apic 内での設定パラメータを公開し、デバイス上に特定の設定を調整することができます。

L4 L7 サービス グラフをインストールするには、APIC に L4 L7 デバイスを登録機能プロファイルまたは L4 L7 サービス パラメータの一部として設定を追加し、サービス グラフに、これらの 2 つのリンクします。契約をこの L4 L7 サービス グラフを適用すると、APIC で表示ファブリックでは、デバイス インターフェイスをタギングおよびそれらを適切なコンシューマとプロバイダー Epg にステッチします。APIC では、自動方式で登録済みデバイスを特定の設定が適用されます。ACI ファブリックおよび L4 L7 デバイスに適用する設定をすべて、ACI ファブリックはインスペクションの特定のデバイスに契約で定義されたトラフィックを送信します。ACI では、1 つのサービス グラフの下に複数のサービスをチェーンすることもできます。

ASA への管理アクセスの設定

APIC が ASA を管理できるように ASA への管理アクセスを設定します。

手順

ステップ 1

既存の設定を削除します。

ciscoasa(config)# clear configure all
ステップ 2

（任意）ファイアウォール モードをトランスペアレント ファイアウォール モードに設定します。

ciscoasa(config)# firewall transparent
ステップ 3

管理インターフェイスの IP アドレスとサブネット マスクを設定します。ASA は、APIC と同じサブネット上にある必要があります。

ciscoasa(config)# interface management {0/0 | 0/1}

ciscoasa(config-subif) # ip address ip_address subnet_mask
ステップ 4

インターフェイスの名前を "management" と指定します。

ciscoasa(config-subif)# nameif management
ステップ 5

インターフェイスを有効にします。

ciscoasa(config-subif) # no shutdown
ステップ 6

ASA HTTPS サーバを有効にします。

ciscoasa(config)# http server enable
ステップ 7

APIC で ASA へのアクセスをイネーブルにします。APIC クラスタの各 APIC に対してこの手順を繰り返します。

ciscoasa(config)# http apic_address 255.255.255.255 management
ステップ 8

ASA にアクセスする際に APIC が使用するユーザーを作成します。ユーザーは管理ユーザである必要はありません。任意のユーザを指定できます。

ciscoasa(config)# username username password password privilege 15
ステップ 9

APIC がローカル認証を使用して、HTTP コンソールにアクセスできる AAA 認証を作成します。

ciscoasa(config)# aaa authentication http console LOCAL
ステップ 10

秘密キーが存在することを確認します。存在しない場合、次のうち 1 つを生成します。

ciscoasa(config)# show crypto key mypubkey rsa

ciscoasa(config)# crypto key generate rsa
ステップ 11

Encryption-DES および Encryption-3DES-AES が有効になっていることを確認します。無効になっている場合は、新しいライセンスを生成します。

ciscoasa(config)# show version

ジャンボ フレーム サポートの設定

1500 バイトより大きいイーサネット パケットを使用するには、ジャンボ フレーム サポートを設定します

手順

ステップ 1

ジャンボ フレームをイネーブルに設定します。

ciscoasa(config)# jumbo-frame reservation
ステップ 2

実行コンフィギュレーションを保存します。

ciscoasa(config)# write memory
ステップ 3

ASA をリブートします。

ciscoasa(config)# reload

マルチ コンテキスト モードの設定

マルチ コンテキスト モードを設定する場合、手順については、次の URL の『Cisco ASA Series General Operations CLI Configuration Guide』の「High Availability and Scalability」の章を参照してください。

システム モードでインターフェイスを設定し、それらをコンテキストに割り当て、各コンテキストでインターフェイスを設定する方法について説明しています。それらの手順はすべて、デバイス パッケージで実行します。

デバイス パッケージは、マルチ コンテキスト モードの各サービス グラフで使用されるインターフェイスの割り当ておよび設定を実行します。ただし、システム管理者は、マルチ コンテキスト ASA を APIC に登録する前に、それらをプロビジョニングする必要があります。

手順

ステップ 1

必要なユーザ コンテキストを作成します。デバイス パッケージはコンテキストの作成または削除を行いません。
ステップ 2

コンテキストごとに、プロビジョニングをシングル コンテキスト ASA のプロビジョニングと同様にします。

  1. 管理コンテキストから管理インターフェイスをそのコンテキストに割り当てます。次に例を示します。

    context tenant
allocate-interface Management0/1
config-url disk0:/tenant1.cfg

  2. ユーザー コンテキストで、nameif を使用して管理インターフェイスを management に設定し、静的 IP アドレスを指定します。次に例を示します。 

    interface management 0/1
nameif management
ip address 10.1.1.1 255.255.255.0
security-level 100

  3. ユーザ コンテキストで、管理インターフェイスへの HTTPS のアクセスをイネーブルにします。次に例を示します。

    http server enable
http 0.0.0.0 0.0.0.0 management

  4. ユーザー クレデンシャルを設定し、APIC がローカル認証を使用して、HTTP コンソールにアクセスできる AAA 認証を作成します。

    username username password password privilege 15
aaa authentication http console LOCAL

  5. 管理ルートを設定します。

  6. 秘密キーが存在することを確認します。存在しない場合、次のうち 1 つを生成します。

    show crypto key mypubkey rsa
crypto key generate rsa

ASA クラスタの設定

ASA クラスタリングを利用すると、複数の ASA をグループ化して、1 つの論理デバイスにすることができます。クラスタは、単一デバイスのすべての管理上の利便性を備える一方で、複数デバイスによって高いスループットおよび冗長性を達成します。詳細については、『Cisco ASA Series General Operations CLI Configuration Guide』の「ASA Cluster」の章を参照してください。

デフォルトでは、APIC は ASA クラスタの設定にタッチしません。CLI、ASDM、または CSM を使用してアウトオブ バンドを設定するオプションがあります。

ASA デバイス パッケージのこのリリースは、APIC を使用した ASA クラスタの設定サポートが導入されています。この方法の利点は次のとおりです。

  • 各 CDev 以外の LDev クラスタ パラメータを設定します。したがって、各ユニットで繰り返すのではなく、パラメータを 1 回入力するだけで済みます。これは、クラスタ ユニットの間でパラメータのミスマッチを防ぎます。ASA デバイス パッケージは、APIC から変更を行うときに、クラスタ ユニットから ASA クラスタ設定を設定または削除する順序で制御できます。

  • ASA デバイス パッケージは、ユニット ラベル、優先度、管理 IP アドレス プールのように、一部のパラメータを自動で生成します。これにより、ユーザーによる設定タスクの数を最小限にして、ユーザーによるエラーを回避します。


（注）  

これを既存の ASA クラスタ セットアップとその設定を動作させるために使用することは推奨しません。

始める前に

  • 物理 ASA ユニットを使用する必要があります。仮想 ASA では、クラスタリングはサポートされていません。

  • 同じソフトウェア イメージ バージョンを実行している同じモデルと、同じモードで少なくとも 2 つの ASA ユニットが必要です。（トランスペアレントまたはルート。単一コンテキストモードのすべてまたは複数のコンテキスト モードのすべて）混在させないでください。

  • クラスタ制御リンクとして設計されている各 ASA から、少なくとも 1 つのハードウェア インターフェイスが必須です。

  • ASA で、ASA クラスタを設定または削除するときに設定されたデータインターフェイスがないことを確認します。

  • APIC で、クラスタ設定を作成または削除する前に、すべてのサービス グラフを削除する必要があります。

手順

ステップ 1

APIC では、LDev（論理デバイス）で CDevs（具体的なデバイス）として、クラスタ内のすべての ASA ユニットを登録します。

（注）   

ASA クラスタが形成されたら APIC との接続を失うことがないように、ASA ユニットの管理 IP アドレスを連続させる必要があります。たとえば、2 つの ASA ユニットがあり最初の ASA に 1.1.1.1 の IP アドレスがある場合、2 番目の ASA が 1.1.1.3 となる必要があります。また、ASA クラスタが形成されるように 1.1.1.1 が ASA クラスタの仮想 IP アドレスになり、1.1.1.2 が最初の ASA のローカル IP アドレスになり、1.1.1.3 が 2 番目の ASA のローカル IP アドレスのままになります。

次に例を示します。
ステップ 2

LDev を設定します。

（注）   

ASA クラスタが形成されるまで 最大 2 分間待機します。クラスタ ユニットの管理 IP アドレスを正常に ping した後、設定を変更しないでください。

次に例を示します。
ステップ 3

LDev の管理 IP アドレスは、ASA クラスタの仮想 IP アドレスになります。クラスタが形成されると、マスタ ユニットはそのローカル IP アドレスとして別の IP アドレスを取得します。新しいローカル IP アドレスへのマスター ユニットを表す CDev の IP アドレスを変更します。そうしないと、ファールオーバー中などマスタ ユニットに変更がある場合、APIC はマスタの状態をモニタできません。

（注）   

ASA クラスタ設定を削除する場合は、元の値にマスタ ユニットの IP アドレスを復元するようしてください。

次に例を示します。

次のタスク

クラスタから ASA ユニットを追加または削除するには、クラスタ設定を削除し、APIC の ASA ユニットを追加または削除し、クラスタを再度設定します。

このドキュメントは役に立ちましたか?

Feedbackフィードバック

シスコに問い合わせ