Cisco ASA シ リ ーズ コ マン ド リ フ ァ レ ンス、 T ～ Z コ マン ド および ASASM 用 IOS コ マン ド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

Cisco Intercompany Media Engine プロキシを設定します。Cisco Intercompany Media Engine により、企業はインターネット経由での相互接続をオンデマンドで行うことが可能になり、VoIP テクノロジーによる高度な機能を利用できます。Cisco Intercompany Media Engine では、ピアツーピア、セキュリティ、および SIP プロトコルを使用してビジネス間にダイナミック SIP トランクを作成することにより、異なる企業内の Cisco Unified Communications Manager クラスタの間で企業間フェデレーションを実現できます。企業の集合は、最終的にそれらの間にクラスタ間トランクが存在する 1 つの大きなビジネスであるかのように連携します。

メディア ターミネーション インスタンスは、Cisco Intercompany Media Engine プロキシで指定する前に作成する必要があります。

ASA に設定できる Cisco Intercompany Media Engine プロキシは 1 つだけです。

例

次に、 uc-ime コマンドを使用して Cisco Intercompany Media Engine プロキシを設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

企業内の Cisco UCM サーバを指定します。

Cisco Intercompany Media Engine プロキシの ucm コマンドを複数入力できます。

（注） Cisco Intercompany Media Engine の SIP トランクがイネーブルになっているクラスタ内の各 Cisco UCM に対してエントリを追加する必要があります。

Cisco UCM または Cisco UCM に secure を指定することは、Cisco UCM または Cisco UCM クラスタが TLS を開始することを意味します。したがって、コンポーネントに TLS を設定する必要があります。

secure オプションは、この作業で設定することも、後で企業の TLS を設定するときに更新することもできます。

企業内の TLS は、ASA から見た Cisco Intercompany Media Engine トランクのセキュリティ ステータスを参照します。

Cisco UCM で Cisco Intercompany Media Engine トランクの転送セキュリティを変更する場合は、適応型セキュリティ アプライアンスでも変更する必要があります。一致していないと、コールは失敗します。適応型セキュリティ アプライアンスは、非セキュア IME トランクを持つ SRTP をサポートしません。適応型セキュリティ アプライアンスは、SRTP がセキュア トランクで許可されることを前提としています。したがって、TLS が使用される場合は、IME トランクに対して [SRTP Allowed] をオンにする必要があります。ASA は、セキュア IME トランク コールに対して SRTP から RTP へのフォールバックをサポートしています。

プロキシは企業のエッジに置かれ、企業間で作成される SIP トランク間の SIP シグナリングを検査します。プロキシはインターネットから TLS シグナリングを終端し、TCP または TLS を Cisco UCM に対して開始します。

Transport Layer Security（TLS）は、インターネットなどのネットワーク経由の通信にセキュリティを提供する暗号化プロトコルです。TLS によって、トランスポート層エンドツーエンドでのネットワーク接続のセグメントが暗号化されます。

この作業は、内部ネットワーク内で TCP が許可されている場合は必要ありません。

ローカルの企業内で TLS を設定するための主要な手順を次に示します。

• ローカルの ASA で、自己署名証明書の別の RSA キーおよびトラストポイントを作成します。
• ローカル Cisco UCM とローカルの ASA 間で証明書をエクスポートおよびインポートします。
• ASA でローカル Cisco UCM のトラストポイントを作成します。

TLS を介した認証：N 社の企業のために ASA がポートとして機能するためには、Cisco UCM は ASA からの証明書の受け入れを許可する必要があります。この処理は、Cisco UCM が証明書からサブジェクト名を抽出してセキュリティ プロファイルで設定されている名前と比較するため、ASA によって示されるサブジェクト名と同じものが含まれている同じ SIP セキュリティ プロファイルにすべての UC IME SIP トランクを関連付けることによって実行できます。

例

次に、UCM プロキシに接続する例を示します。

 

構文の説明

 

デフォルト

タグを指定しないと、デバイス登録は、デフォルトのエンタープライズ セキュリティ ポリシーを指定します。

 

コマンド履歴

 

使用上のガイドライン

DNS インスペクション ポリシーマップを設定する際に、次のコマンドを使用します。

アクティブな DNS インスペクション ポリシーマップのこのコマンドのプレゼンスは、Cisco Umbrella 登録サーバの登録プロセスを開始します。HTTPS 経由で行われる登録と接続を確立するには、登録サーバの CA 証明書をインストールしておく必要があります。

グローバル コンフィギュレーション モードで umbrella-global コマンド使用して、グローバル パラメータを設定する必要もあります。

例

次の例では、デフォルト ポリシーを使用して Umbrella を有効にし、グローバル DNS インスペクションで使用されるデフォルトのインスペクション ポリシーマップで DNScrypt も有効にします。

次の例では、デフォルト ポリシーを使用して Umbrella のフェール オープンを有効にし、グローバル DNS インスペクションで使用されるデフォルトのインスペクション ポリシーマップで DNScrypt も有効にします。タグをすでに登録していて、 fail-open オプションのみを追加する場合は、コマンドに同じタグを含める必要があります。そうしない場合、タグなしでデバイスを再登録することになります。

 

関連コマンド

 

構文の説明

このコマンドには引数またはキーワードはありません。

 

デフォルト

デフォルトのグローバル Umbrella コンフィギュレーションはありません。

 

コマンド履歴

 

使用上のガイドライン

Cisco Umbrella サービスに登録する場合は、デバイスを Cisco Umbrella に登録するように設定できます。

Umbrella グローバル設定は、主に、Cisco Umbrella にデバイスを登録するために必要な API トークンを定義します。Cisco Umbrella ダッシュボードからトークンを取得します。

グローバル設定が Umbrella を有効にするために十分ではありません。パラメータ コンフィギュレーション モードで umbrella コマンドを使用して、DNS インスペクション ポリシーマップで Umbrella を有効にする必要もあります。

例

次の例では、グローバル Umbrella 設定を構成し、デフォルトの DNS インスペクション ポリシーマップで Umbrella を有効にする方法についても説明します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

次のコマンドは、 undebug コマンドで使用できます。特定のコマンドのデバッグ、または特定の debug コマンドに関連付けられた引数とキーワードの詳細については、 debug コマンドのエントリを参照してください。

• aaa：AAA 情報
• acl：ACL 情報
• all：すべてのデバッグ
• appfw：アプリケーション ファイアウォール情報
• arp：NP オペレーションを含む ARP
• asdm：ASDM 情報
• auto-update：Auto-update 情報
• boot-mem：ブート メモリの計算と設定
• cifs：CIFS 情報
• cmgr：CMGR 情報
• context：コンテキスト情報
• cplane：CP 情報
• crypto：クリプト情報
• ctiqbe：CTIQBE 情報
• ctl-provider：CTL プロバイダーのデバッグ情報
• dap：DAP 情報
• dcerpc：DCERPC 情報
• ddns：ダイナミック DNS 情報
• dhcpc：DHCP クライアント情報
• dhcpd：DHCP サーバ情報
• dhcprelay：DHCP リレー情報
• disk：ディスク情報
• dns：DNS 情報
• eap：EAP 情報
• eigrp：EIGRP プロトコル情報
• email：電子メール情報
• entity：エンティティ MIB 情報
• eou：EAPoUDP 情報
• esmtp：ESMTP 情報
• fips：FIPS 140-2 情報
• fixup：フィックスアップ情報
• fover：フェールオーバー情報
• fsm：FSM 情報
• ftp：FTP 情報
• generic：その他の情報
• gtp：GTP 情報
• h323：H323 情報
• http：HTTP 情報
• icmp：ICMP 情報
• igmp：インターネット グループ管理プロトコル
• ils：LDAP 情報
• im：IM インスペクション情報
• imagemgr：Image Manager 情報
• inspect：デバッグ情報のインスペクション
• integrityfw：Integrity ファイアウォール情報
• ip：IP 情報
• ipsec-over-tcp：IPsec over TCP 情報
• IPSec-pass-thru：ipsec-pass-thru 情報のインスペクション
• ipv6：IPv6 情報
• iua-proxy：IUA プロキシ情報
• kerberos：KERBEROS 情報
• l2tp：L2TP 情報
• ldap：LDAP 情報
• mfib：マルチキャスト転送情報ベース
• mgcp：MGCP 情報
• module-boot：サービス モジュール ブート情報
• mrib：マルチキャスト ルーティング情報ベース
• nac-framework：NAC-FRAMEWORK 情報
• netbios-inspect：NETBIOS インスペクション情報
• npshim：NPSHIM 情報
• ntdomain：NT ドメイン情報
• ntp：NTP 情報
• ospf：OSPF 情報
• p2p：P2P インスペクション情報
• parser：パーサー情報
• pim：Protocol Independent Multicast
• pix：PIX 情報
• ppp：PPP 情報
• pppoe：PPPoE 情報
• pptp：PPTP 情報
• radius：RADIUS 情報
• redundant-interface：冗長インターフェイス情報
• rip：RIP 情報
• rtp：RTP 情報
• rtsp：RTSP 情報
• sdi：SDI 情報
• sequence：シーケンス番号の追加
• session-command：セッション コマンド情報
• sip：SIP 情報
• skinny：Skinny 情報
• sla：IP SLA モニタ デバッグ
• smtp-client：電子メール システムのログ メッセージ
• splitdns：スプリット DNS 情報
• sqlnet：SQLNET 情報
• ssh：SSH 情報
• sunrpc：SUNRPC 情報
• tacacs：TACACS 情報
• tcp：WebVPN の TCP
• tcp-map：TCP マップ情報
• timestamps：タイムスタンプの追加
• track：スタティック ルート トラッキング
• vlan-mapping：VLAN マッピング情報
• vpn-sessiondb：VPN セッション データベース情報
• vpnlb：VPN ロード バランシング情報
• wccp：WCCP 情報
• webvpn：WebVPN 情報
• xdmcp：XDMCP 情報
• xml：XML パーサー情報

デバッグ出力は CPU プロセスで高プライオリティが割り当てられているため、デバッグ出力を行うとシステムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う場合や、Cisco TAC とのトラブルシューティング セッションの間に限り debug コマンドを使用してください。さらに、 debug コマンドは、ネットワーク トラフィックが少なく、ユーザも少ないときに使用することを推奨します。デバッギングをこのような時間帯に行うと、 debug コマンド処理のオーバーヘッドの増加によりシステムの使用に影響が及ぶ可能性が少なくなります。

例

次に、すべてのデバッグ出力をディセーブルにする例を示します。

 

関連コマンド

 

構文の説明

このコマンドには引数またはキーワードはありません。

 

コマンド デフォルト

このコマンドは、デフォルトでイネーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

スレーブ ユニットがマスター ユニットと同じ構成の場合、構成の同期をスキップし、結合を高速化します。この機能は、デフォルトでイネーブルにされています。この機能はユニットごとに設定され、マスターからスレーブには複製されません。

（注） 一部の設定コマンドは、クラスタ結合の高速化と互換性がありません。これらのコマンドがユニットに存在する場合、クラスタ結合の高速化が有効になっていても、設定の同期は常に発生します。クラスタ結合の高速化を動作させるには、互換性のない設定を削除する必要があります。互換性のない設定を表示するには、show cluster info unit-join-acceleration incompatible-config コマンドを使用します。

例

次に、クラスタ結合の高速化を無効にする例を示します。

 

関連コマンド

 

構文の説明

 

コマンド デフォルト

この機能はデフォルトで無効に設定されています。

 

コマンド履歴

 

使用上のガイドライン

他のモジュールよりもかなり前に参加したモジュールは、他のモジュールがまだ負荷を共有できないため、必要以上のトラフィックを受信することがあります。

例

次の例では、モジュールの数を 2 に、最大遅延時間を 6 分に設定します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトは 65534 です。

 

コマンド履歴

 

使用上のガイドライン

文字列でネットワーク ファイル システム（NetFS）の場所を指定します。SMB プロトコルおよび FTP プロトコルだけがサポートされています。たとえば、smb: //（NetFS の場所）または ftp: //（NetFS の場所）。この場所の名前を storage-objects コマンドで使用します。

例

次に、UNIX グループ ID を 4567 に設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトは 65534 です。

 

コマンド履歴

 

使用上のガイドライン

文字列でネットワーク ファイル システム（NetFS）の場所を指定します。SMB プロトコルおよび FTP プロトコルだけがサポートされています。たとえば、smb: //（NetFS の場所）または ftp: //（NetFS の場所）。この場所の名前を storage-objects コマンドで使用します。

例

次に、UNIX ユーザ ID を 333 に設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトでは、ロギングなしで要素が許可されています。

 

コマンド履歴

 

使用上のガイドライン

Diameter インスペクション ポリシー マップを設定する場合に、このコマンドを使用します。

これらのオプションでは、ソフトウェアで直接サポートされていないアプリケーション ID、コマンド コード、および AVP が指定されます。デフォルトでは、ロギングなしで要素が許可されています。コマンドを 3 回入力して、すべての要素のロギングを有効にできます。

例

次に、サポートされていないすべてのアプリケーション ID、コマンド コード、および AVP をロギングする例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

コマンドにファイル名を指定すると、コマンドによってファイルが確認され、アップグレードを確認するよう求められます。設定情報を保存していない場合、リロードを開始する前に情報を保存するように促されます。確認すると、ASA は ROMMON になり、アップグレード手順が開始されます。

例

次に、ASA 5506-X および ASA 5508-X シリーズ セキュリティ アプライアンスをアップグレードする例を示します。

 

構文の説明

 

デフォルト

デフォルトのサイズは 2147483647 です。

 

コマンド履歴

 

関連コマンド

 

構文の説明

 

コマンド デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

参照 ID が作成されると、4 つの ID タイプと関連付けられた値を参照 ID に追加、または参照 ID から削除することができます。

参照 ID には、DNS ドメイン名を特定する情報が含まれている必要があります。また、アプリケーション サービスを特定する情報も含めることができます。

例

次に、syslog サーバの参照 ID を作成する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

このコマンドは、デフォルトでディセーブルになっています。

 

コマンド履歴

例

次に、SIP インスペクション ポリシー マップの Alert-Info ヘッダー フィールドと Call-Info ヘッダー フィールドにある SIP 以外の URI を識別する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

既存の URL は上書きできません。既存の URL を置き換えるには、まずこのコマンドの no 形式を使用して、その URL を削除します。

例

次に、crl コンフィギュレーション モードを開始し、CRL 取得用の URL リストを作成およびメンテナンスするために インデックス 3 を設定し、CRL の取得元となる URL https://example.com を設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

既存の URL は上書きできません。既存の URL を置き換えるには、まずこのコマンドの no 形式を使用して、その URL を削除します。

 

構文の説明

 

デフォルト

このコマンドは、デフォルトでディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

Websense フィルタリング サーバの場合、url-block url-size コマンドを使用すると、最大 4 KB の長い URL をフィルタリングできます。Secure Computing の場合は、url-block url-size コマンドを使用して、最大 3 KB の長い URL をフィルタリングできます。Websense フィルタリング サーバおよび N2H2 フィルタリング サーバの場合、url-block block コマンドを使用すると、ASA は、URL フィルタリング サーバからの応答を待機している間、Web クライアント要求への応答として Web サーバから受信したパケットをバッファに保存します。これにより、Web クライアントのパフォーマンスがデフォルトの ASA 動作よりも向上します。デフォルトの動作では、パケットをドロップし、接続か許可された場合に Web サーバにパケットの再送信を要求します。

url-block block コマンドを使用し、フィルタリング サーバが接続を許可した場合、ASA はブロックを HTTP 応答バッファから Web クライアントに送信し、バッファからブロックを削除します。フィルタリング サーバが接続を拒否した場合、ASA は拒否メッセージを Web クライアントに送信し、HTTP 応答バッファからブロックを削除します。

url-block block コマンド を使用して、フィルタリング サーバからのフィルタリング決定を待っている間に Web サーバの応答のバッファリングに使用するブロック数を指定します。

url-block url-size コマンドを url-block mempool-size コマンドとともに使用して、フィルタリングする URL の最大長と URL バッファに割り当てる最大メモリを指定します。Websense サーバまたは Secure-Computing サーバに、1159 バイトよりも長く、最大 4096 バイトまでの URL を渡す場合は、これらのコマンドを使用します。 url-block url-size コマンドは、1159 バイトよりも長い URL をバッファに保存し、その URL を（TCP パケット ストリームを使用して）Websense サーバまたは Secure-Computing サーバに渡します。これにより、Websense サーバまたは Secure-Computing サーバでは、その URL へのアクセスを許可または拒否できます。

例

次に、URL フィルタリング サーバからの応答をバッファに保存するために 1550 バイトのブロックを 56 個割り当てる例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

このコマンドは、デフォルトでディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

url-cache コマンドには、URL サーバからの応答をキャッシュするコンフィギュレーション オプションが用意されています。

url-cache コマンドは、URL キャッシングのイネーブル化、キャッシュ サイズの設定、およびキャッシュ統計情報の表示を行う場合に使用します。

（注） N2H2 サーバ アプリケーションは、URL フィルタリングでこのコマンドをサポートしません。

キャッシングにより、URL アクセス権限が ASA 上のメモリに保存されます。ホストが接続を要求すると、ASA は要求を Websense サーバに転送するのではなく、一致するアクセス権限を URL キャッシュ内で探します。キャッシングをディセーブルにするには、 no url-cache コマンドを使用します。

（注） Websense サーバで設定を変更した場合は、no url-cache コマンドでキャッシュをディセーブルにした後、url-cache コマンドで再度イネーブルにします。

URL キャッシュを使用しても、Websense プロトコル バージョン 1 の Websense アカウンティング ログはアップデートされません。Websense プロトコル バージョン 1 を使用している場合は、Websense を実行してログを記録し、Websense アカウンティング情報を表示できるようにします。目的のセキュリティ要求を満たす使用プロファイルを取得したら、 url-cache をイネーブルにしてスループットを増大させます。Websense プロトコル バージョン 4 の URL フィルタリングでは、 url-cache コマンドの使用時にアカウンティング ログが更新されます。

例

次に、送信元アドレスと宛先アドレスに基づいてすべての発信 HTTP 接続をキャッシュする例を示します。

 

関連コマンド

 

デフォルト

デフォルトの値や動作はありません。

 

コマンド履歴

例

次に、Finance という DAP レコードで URL 入力をイネーブルにする例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次に、RTSP インスペクション ポリシー マップで URL の長さ制限を設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトの URL リストはありません。

 

コマンド履歴

 

使用上のガイドライン

次回このコマンドを使用すると、前回までの設定が上書きされます。

webvpn モードで url-list コマンドを使用してユーザまたはグループ ポリシーの WebVPN ホームページに表示する URL リストを指定する前に、XML オブジェクトでリストを作成する必要があります。グローバル コンフィギュレーション モードで import コマンドを使用して、URL リストをセキュリティ アプライアンスにダウンロードします。次に、url-list コマンドを使用して、リストを特定のグループ ポリシーまたはユーザに適用します。

例

次に、FirstGroupURLs という名前の URL リストを FirstGroup という名前のグループ ポリシーに適用し、このリストを 1 番めの URL リストに指定する例を示します。

 

関連コマンド

 

構文の説明

N2H2

Websense

 

デフォルト

このコマンドは、デフォルトでディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

url-server コマンドでは、N2H2 または Websense URL フィルタリング アプリケーションを実行しているサーバを指定します。URL サーバ数の上限は、シングル コンテキスト モードでは 16、マルチ コンテキスト モードでは 4 ですが、一度に使用できるアプリケーションは、N2H2 または Websense のいずれか 1 つのみです。さらに、ASA 上でコンフィギュレーションを変更しても、アプリケーション サーバ上のコンフィギュレーションは更新されないため、ベンダーの指示に従って別途更新する必要があります。

HTTPS および FTP に対して filter コマンドを発行するには、事前に url-server コマンドを設定する必要があります。すべての URL サーバがサーバ リストから削除されると、URL フィルタリングに関連するすべての filter コマンドも削除されます。

サーバを指定した後、 filter url コマンドを使用して URL フィルタリング サービスをイネーブルにします。

サーバの統計情報（到達不能サーバを含む）を表示するには、 show url-server statistics コマンドを使用します。

次の手順を実行して、URL フィルタリングを行います。

ステップ 1 ベンダー固有の url-server コマンドの適切な形式を使用して、URL フィルタリング アプリケーション サーバを指定します。

ステップ 2 filter コマンドを使用して、URL フィルタリングをイネーブルにします。

ステップ 3 （任意） url-cache コマンドを使用して、URL キャッシングをイネーブルにし、認識される応答時間を短縮します。

ステップ 4 （任意） url-block コマンドを使用して、長い URL および HTTP バッファリングのサポートをイネーブルにします。

ステップ 5 show url-block block statistics 、 show url-cache statistics 、または show url-server statistics コマンドを使用して、実行情報を表示します。

N2H2 によるフィルタリングの詳細については、次の N2H2 の Web サイトを参照してください。

http://www.n2h2.com

Websense フィルタリング サービスの詳細については、次の Web サイトを参照してください。

http://www.websense.com/

例

次に、N2H2 の使用時に 10.0.2.54 ホストからの接続を除くすべての発信 HTTP 接続をフィルタリングする例を示します。

次に、Websense の使用時に 10.0.2.54 ホストからの接続を除くすべての発信 HTTP 接続をフィルタリングする例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

緊急フラグおよび緊急オフセットはデフォルトでクリアされます。

 

コマンド履歴

 

使用上のガイドライン

tcp-map コマンドはモジュラ ポリシー フレームワーク インフラストラクチャと一緒に使用されます。 class-map コマンドを使用してトラフィックのクラスを定義し、 tcp-map コマンドで TCP インスペクションをカスタマイズします。 policy-map コマンドを使用して、新しい TCP マップを適用します。 service-policy コマンドで、TCP インスペクションをアクティブにします。

tcp-map コマンドを使用して、TCP マップ コンフィギュレーション モードを開始します。tcp マップ コンフィギュレーション モードで urgent-flag コマンドを使用して、緊急フラグを許可します。

URG フラグは、ストリーム中の他のデータよりもプライオリティの高い情報がこのパケットに含まれていることを示すために使用します。TCP RFC では、URG フラグの正確な解釈を明確化していません。したがって、エンド システムにおいては緊急オフセットがさまざまな方法で処理されます。このため、エンド システムが攻撃を受けやすくなります。デフォルトの動作では、URG フラグとオフセットはクリアされます。

例

次に、緊急フラグを許可する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

domain_nickname 引数を指定しない場合、ユーザはアイデンティティ ファイアウォール機能用に設定された LOCAL ドメインに作成されます 。

 

コマンド履歴

 

使用上のガイドライン

ASA は、Active Directory ドメイン コントローラでグローバルに定義されているユーザ グループについて、Active Directory サーバに LDAP クエリーを送信します。これらのグループは、ASA によりアイデンティティ ファイアウォール機能用にインポートされます。ただし、ローカライズされたセキュリティ ポリシーを持つローカル ユーザ グループを必要とする、グローバルに定義されていないネットワーク リソースが ASA によりローカライズされている場合があります。ローカル ユーザ グループには、Active Directory からインポートされる、ネストされたグループおよびユーザ グループを含めることができます。ASA は、ローカル グループおよび Active Directory グループを統合します。ユーザは、ローカル ユーザ グループと Active Directory からインポートされたユーザ グループに属することができます。

ASA は、最大 256 のユーザ グループをサポートします（インポートされたユーザ グループとローカル ユーザ グループを含む）。

アクセス グループ、キャプチャ、またはサービス ポリシー内に含めることによって、ユーザ グループ オブジェクトをアクティブにします。

ユーザ グループ オブジェクト内で、次のオブジェクト タイプを定義できます。

• ユーザ ：オブジェクト グループ ユーザに単一のユーザを追加します。ユーザは、ローカル ユーザまたはインポートされたユーザを追加できます。

インポートされたユーザの名前は、一意でない可能性がある一般名（cn）ではなく、一意の sAMAccountName にする必要があります。ただし、一部の Active Directory サーバ管理者は、sAMAccountName と cn を同一にすることが必要な場合があります。この場合、ASA によって show user-identity ad-group-member コマンドの出力に表示される cn を、ユーザ オブジェクトで定義したインポートされたユーザに使用できます。

• ユーザ グループ：Microsoft Active Directory サーバなどの外部ディレクトリ サーバによって定義されたインポートされたユーザ グループをグループ オブジェクト ユーザに追加します。

ユーザ グループのグループ名は、一意でない可能性がある cn ではなく、一意の sAMAccountName にする必要があります。ただし、一部の Active Directory サーバ管理者は、sAMAccountName と cn を同一にすることが必要な場合があります。この場合、ASA によって show user-identity ad-group-member コマンドの出力に表示される cn を、 user-group キーワードで指定される user_group_name 引数で使用できます。

（注） domain_nickname\\user_group_name または domain_nickname\user_ name を最初にオブジェクトで指定せずに、ユーザ グループ オブジェクト内に直接追加できます。domain_nickname が AAA サーバに関連付けられている場合、ユーザ オブジェクト グループがアクティブ化されると、ASA は詳細なネストされたユーザ グループおよび Microsoft Active Directory サーバなどの外部ディレクトリ サーバで定義されたユーザを ASA にインポートします。

• グループ オブジェクト ：ASA でローカルに定義されたグループをオブジェクト グループ ユーザに追加します。

（注） オブジェクト グループ ユーザ オブジェクト内にオブジェクト グループを含める場合、ACL 最適化をイネーブルにした場合にも、ASA はアクセス グループ内のオブジェクト グループを拡張しません。show object-group コマンドの出力には、ヒット数は表示されません。ヒット数は、ACL 最適化がイネーブルの場合に、通常のネットワーク オブジェクト グループについてのみ取得できます。

• 説明 ：オブジェクト グループ ユーザの説明を追加します。

例

次に、 user コマンドを user-group object コマンドとともに使用して、アイデンティティ ファイアウォール機能で使用するユーザ グループ オブジェクトにユーザを追加する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

メッセージなし。

 

コマンド履歴

 

使用上のガイドライン

このコマンドを発行すると、設定されたメッセージを含むポップアップ ブラウザ ウィンドウがエンドユーザに表示されます。このコマンドでは、ASA コンフィギュレーション ファイルは変更されません。

例

次の例は、DAP トレース デバッグをイネーブルにする方法を示しています。

 

構文の説明

 

デフォルト

ユーザ認証はディセーブルです。

 

コマンド履歴

 

使用上のガイドライン

個々のユーザは、設定した認証サーバの順序に従って認証されます。

プライマリ ASA でユーザ認証が必要な場合は、バックアップ サーバでも同様にユーザ認証を設定する必要があります。

例

次の例は、「FirstGroup」という名前のグループ ポリシーのユーザ認証をイネーブルにする方法を示しています。

 

関連コマンド

 

構文の説明

 

デフォルト

30 分。

 

コマンド履歴

 

使用上のガイドライン

最小値は 1 分、デフォルトは 30 分、最大値は 10,080 分です。

このタイマーは、VPN トンネル自体ではなく、VPN トンネルを通過するクライアントのアクセスだけを終了します。

show uauth コマンドへの応答で示されるアイドル タイムアウトは、常に Cisco Easy VPN リモート デバイスのトンネルを認証したユーザのアイドル タイムアウト値になります。

例

次の例は、「FirstGroup」という名前のグループ ポリシーに 45 分のアイドル タイムアウト値を設定する方法を示しています。

 

関連コマンド

 

構文の説明

 

デフォルト

domain_nickname 引数を指定しない場合、ユーザ グループはアイデンティティ ファイアウォール機能用に設定された LOCAL ドメインに作成されます 。

 

コマンド履歴

 

使用上のガイドライン

ASA は、Active Directory ドメイン コントローラでグローバルに定義されているユーザ グループについて、Active Directory サーバに LDAP クエリーを送信します。これらのグループは、ASA によりアイデンティティ ファイアウォール機能用にインポートされます。ただし、ローカライズされたセキュリティ ポリシーを持つローカル ユーザ グループを必要とする、グローバルに定義されていないネットワーク リソースが ASA によりローカライズされている場合があります。ローカル ユーザ グループには、Active Directory からインポートされる、ネストされたグループおよびユーザ グループを含めることができます。ASA は、ローカル グループおよび Active Directory グループを統合します。ユーザは、ローカル ユーザ グループと Active Directory からインポートされたユーザ グループに属することができます。

ASA は、最大 256 のユーザ グループをサポートします（インポートされたユーザ グループとローカル ユーザ グループを含む）。

アクセス グループ、キャプチャ、またはサービス ポリシー内に含めることによって、ユーザ グループ オブジェクトをアクティブにします。

ユーザ グループ オブジェクト内で、次のオブジェクト タイプを定義できます。

• ユーザ ：オブジェクト グループ ユーザに単一のユーザを追加します。ユーザは、ローカル ユーザまたはインポートされたユーザを追加できます。

インポートされたユーザの名前は、一意でない可能性がある一般名（cn）ではなく、一意の sAMAccountName にする必要があります。ただし、一部の Active Directory サーバ管理者は、sAMAccountName と cn を同一にすることが必要な場合があります。この場合、ASA によって show user-identity ad-group-member コマンドの出力に表示される cn を、ユーザ オブジェクトで定義したインポートされたユーザに使用できます。

• ユーザ グループ：Microsoft Active Directory サーバなどの外部ディレクトリ サーバによって定義されたインポートされたユーザ グループをグループ オブジェクト ユーザに追加します。

ユーザ グループのグループ名は、一意でない可能性がある cn ではなく、一意の sAMAccountName にする必要があります。ただし、一部の Active Directory サーバ管理者は、sAMAccountName と cn を同一にすることが必要な場合があります。この場合、ASA によって show user-identity ad-group-member コマンドの出力に表示される cn を、 user-group キーワードで指定される user_group_name 引数で使用できます。

（注） domain_nickname\\user_group_name または domain_nickname\user_ name を最初にオブジェクトで指定せずに、ユーザ グループ オブジェクト内に直接追加できます。domain_nickname が AAA サーバに関連付けられている場合、ユーザ オブジェクト グループがアクティブ化されると、ASA は詳細なネストされたユーザ グループおよび Microsoft Active Directory サーバなどの外部ディレクトリ サーバで定義されたユーザを ASA にインポートします。

• グループ オブジェクト ：ASA でローカルに定義されたグループをオブジェクト グループ ユーザに追加します。

（注） オブジェクト グループ ユーザ オブジェクト内にオブジェクト グループを含める場合、ACL 最適化をイネーブルにした場合にも、ASA はアクセス グループ内のオブジェクト グループを拡張しません。show object-group コマンドの出力には、ヒット数は表示されません。ヒット数は、ACL 最適化がイネーブルの場合に、通常のネットワーク オブジェクト グループについてのみ取得できます。

• 説明 ：オブジェクト グループ ユーザの説明を追加します。

例

次に、 user-group コマンドを user-group object コマンドとともに使用して、アイデンティティ ファイアウォール機能で使用するユーザ グループ オブジェクトにユーザ グループを追加する例を示します。

 

関連コマンド

 

構文の説明

このコマンドには引数またはキーワードはありません。

 

デフォルト

デフォルトでは、このコマンドはディセーブルです。

 

コマンド履歴

 

使用上のガイドライン

AD エージェントが応答していない場合のアクションを指定します。

AD エージェントがダウンし、 user - identity action ad-agent-down コマンドが設定されている場合、ASA はそのドメインのユーザに関連付けられたユーザ アイデンティティ ルールをディセーブルにします。さらに、 show user - identity user コマンドによって表示される出力では、そのドメイン内のすべてのユーザ IP アドレスがディセーブルとマークされます。

例

次に、アイデンティティ ファイアウォールに対してこのアクションをイネーブルにする例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトでは、このコマンドはディセーブルです。

 

コマンド履歴

 

使用上のガイドライン

Active Directory ドメイン コントローラが応答しないためにドメインがダウンしている場合のアクションを指定します。

ドメインがダウンし、 disable - user - identity - rule キーワードが設定されている場合、ASA はそのドメインのユーザ アイデンティティと IP アドレスのマッピングをディセーブルにします。さらに、 show user - identity user コマンドによって表示される出力では、そのドメイン内のすべてのユーザ IP アドレスがディセーブルとマークされます。

例

次に、アイデンティティ ファイアウォールに対してこのアクションを設定する例を示します。

 

関連コマンド

 

構文の説明

このコマンドには引数またはキーワードはありません。

 

デフォルト

デフォルトでは、このコマンドが指定されている場合、ASA は remove - user - ip を使用します。

 

コマンド履歴

 

使用上のガイドライン

ユーザの MAC アドレスが、そのアドレスに現在マッピングされている ASA デバイス IP アドレスと一致しないことが明らかになった場合のアクションを指定します。このアクションは、ユーザ アイデンティティ ルールの効果を無効にします。

user - identity action mac-address-mismatch コマンドが設定されている場合、ASA はそのクライアントのユーザ アイデンティティと IP アドレスのマッピングを削除します。

例

次に、アイデンティティ ファイアウォールを設定する例を示します。

 

関連コマンド

 

構文の説明

このコマンドには引数またはキーワードはありません。

 

デフォルト

デフォルトでは、このコマンドはディセーブルです。

 

コマンド履歴

 

使用上のガイドライン

クライアントが NetBIOS プローブに応答しない場合のアクションを指定します。このような状況には、そのクライアントへのネットワーク接続がブロックされている場合やクライアントがアクティブでない場合などがあります。

user - identity action remove - user - ip コマンドを設定すると、ASA は、そのクライアントのユーザ アイデンティティと IP アドレスのマッピングを削除します。

例

次に、アイデンティティ ファイアウォールを設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

このコマンドには、デフォルトはありません。

 

コマンド履歴

 

使用上のガイドライン

aaa_server_group_tag 変数に定義する最初のサーバがプライマリ AD エージェントとなり、次に定義するサーバがセカンダリ AD エージェントとなります。

アイデンティティ ファイアウォールでは、2 つの AD エージェント ホストのみ定義できます。

プライマリ AD エージェントがダウンしていることを ASA が検出し、セカンダリ AD エージェントが指定されている場合、ASA はセカンダリ AD エージェントに切り替えます。AD エージェントの AAA サーバは通信プロトコルとして RADIUS を使用するため、ASA と AD エージェントとの共有秘密のキー属性を指定する必要があります。

例

次に、アイデンティティ ファイアウォールの AD エージェントの AAA サーバ ホストを定義する例を示します。

 

関連コマンド

 

構文の説明

このコマンドには引数またはキーワードはありません。

 

デフォルト

デフォルトでは、ASA 5505 は on-demand オプションを使用します。それ以外の ASA プラットフォームは full-download オプションを使用します。

 

コマンド履歴

 

使用上のガイドライン

ASA が AD エージェントからユーザ アイデンティティと IP アドレスのマッピング情報を取得する方法を定義します。

• full-download ：ASA が、ASA の起動時に IP/ユーザ マッピング テーブル全体をダウンロードし、ユーザのログインおよびログアウト時に増分 IP/ユーザ マッピングを受信するように指示する要求を AD エージェントに送信することを指定します。
• on-demand ：ASA が新しい接続を必要とするパケットを受信し、その送信元 IP アドレスのユーザがユーザ アイデンティティ データベースに含まれていない場合に、ASA が AD エージェントから IP アドレスのユーザ マッピング情報を取得することを指定します。

デフォルトでは、ASA 5505 は on-demand オプションを使用します。それ以外の ASA プラットフォームは full-download オプションを使用します。

フル ダウンロードはイベント ドリブンです。つまり、2 回目以降のデータベース ダウンロード要求は、ユーザ アイデンティティと IP アドレス マッピング データベースの更新内容だけを送信します。

ASA が変更要求を AD エージェントに登録すると、AD エージェントは新しいイベントを ASA に送信します。

例

次に、アイデンティティ ファイアウォールに対してこのオプションを設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトでは、Hello タイマーは間隔が 30 秒、リトライ回数が 5 回に設定されます。

 

コマンド履歴

 

使用上のガイドライン

ASA と AD エージェントとの間の Hello タイマーを定義します。

ASA と AD エージェントとの間の Hello タイマーは、ASA が hello パケットを交換する頻度を定義します。ASA は、hello パケットを使用して、ASA 複製ステータス（in-sync または out-of-sync）とドメイン ステータス（up または down）を取得します。ASA は、AD エージェントから応答を受信しなかった場合、指定された間隔が経過した後、hello パケットを再送信します。

デフォルトでは、Hello タイマーは間隔が 30 秒、リトライ回数が 5 回に設定されます。

例

次に、アイデンティティ ファイアウォールに対してこのオプションを設定する例を示します。

 

関連コマンド

 

構文の説明

このコマンドには引数またはキーワードはありません。

 

デフォルト

デフォルト設定では無効になっています。

 

コマンド履歴

 

使用上のガイドライン

このコマンドは、ASA が受信する各 ID の最後のイベントのタイムスタンプを追跡し、イベントのタイムスタンプが ASA のクロックより 5 分以上古い場合、またはメッセージのタイムスタンプが最後のイベントのタイムスタンプよりも前の場合にメッセージを廃棄することを可能にします。

最後のイベントのタイムスタンプの情報を持たない新しく起動した ASA の場合、ASA は自身のクロックとイベントのタイムスタンプを比較します。イベントから少なくとも 5 分以上経過している場合、ASA はメッセージを受け入れません。

（注） NTP を使用して、ASA、Active Directory、および Active Directory エージェントをそれらのクロックが相互に同期するように設定することを推奨します。

例

次に、アイデンティティ ファイアウォールにイベント タイムスタンプ チェックを設定する例を示します。