hostname(config)# client-update enable
hostname(config)#

ユーザーのクライアント リビジョン番号が、指定したリビジョン番号のいずれかと一致する場合、そのクライアントをアップデートする必要はありません。このコマンドは、ASA 全体にわたって指定されているタイプのすべてのクライアントのクライアント アップデート値を指定します。

次の構文を使用します。

hostname(config)# client-update type type url url-string rev-nums rev-numbers
hostname(config)#

使用可能なクライアントのタイプは、win9X （Windows 95、Windows 98、および Windows ME プラットフォームを含む）、winnt （Windows NT 4.0、Windows 2000、および Windows XP プラットフォームを含む）、windows （Windows ベースのすべてのプラットフォームを含む）です。

リビジョン番号のリストにあるソフトウェア バージョンをすでに実行しているクライアントの場合は、ソフトウェアを更新する必要はありません。リストにあるソフトウェア バージョンを実行していないクライアントの場合は、ソフトウェアを更新する必要があります。これらのクライアント アップデート エントリから 3 つまで指定することができます。キーワード windows を指定すると、許可されるすべての Windows プラットフォームがカバーされます。windows を指定する場合は、個々の Windows クライアント タイプは指定しないでください。

hostname(config)# client-update type windows url https://support/updates/ rev-nums 4.6.1
hostname(config)#

あるいは、特定のタイプのすべてのクライアントではなく、個々のトンネル グループだけのためのクライアント アップデートを設定できます（ステップ 3 を参照）。

トンネル グループ ipsec 属性モードで、トンネル グループ名とそのタイプ、アップデートされたイメージを取得する URL または IP アドレス、およびリビジョン番号を指定します。ユーザーのクライアントのリビジョン番号が、指定されているリビジョン番号のいずれかと一致している場合、クライアントをアップデートする必要はありません。たとえば、Windows クライアントの場合、次のコマンドを入力します。

hostname(config)# tunnel-group remotegrp type ipsec-ra
hostname(config)# tunnel-group remotegrp ipsec-attributes
hostname(config-tunnel-ipsec)# client-update type windows url https://support/updates/ rev-nums 4.6.1
hostname(config-tunnel-ipsec)#

hostname# client-update all
hostname#

ユーザーのクライアントのリビジョン番号が指定されているリビジョン番号のいずれかと一致している場合、そのクライアントをアップデートする必要はなく、通知メッセージはユーザーに送信されません。

hostname(config-tunnel-general)# nat-assigned-to-public-ip interface


このコマンドは、送信元のパブリック IP アドレスに、割り当てられた IP アドレスの NAT ポリシーをダイナミックにインストールします。interface は、NAT の適用先を決定します。

hostname(config-tunnel-general)# no nat-assigned-to-public-ip

crypto engine accelerator-bias

• [balanced]：暗号化ハードウェア リソースを均等に分散します（Admin/SSL および IPsec コア）。

• [ipsec]：IPsec を優先するように暗号化ハードウェア リソースを割り当てます（SRTP 暗号化音声トラフィックを含む）。

• [ssl]：Admin/SSL を優先するように暗号化ハードウェア リソースを割り当てます。SSL ベースの セキュアクライアント リモートアクセス VPN セッションをサポートする場合は、このバイアスを使用します。

ssl server-version [ tlsv1 | tlsv1.1 | tlsv1.2] [ dtlsv1 | dtlsv1.2]

それぞれの説明は次のとおりです。

• tlsv1 ：SSLv2 クライアントの hello を受け入れ、TLSv1（以降）をネゴシエートするには、このキーワードを入力します。

• tlsv1.1 ：SSLv2 クライアントの hello を受け入れ、TLSv1.1（以降）をネゴシエートするには、このキーワードを入力します。

• tlsv1.2 ：SSLv2 クライアントの hello を受け入れ、TLSv1.2（以降）をネゴシエートするには、このキーワードを入力します。

• dtlsv1 ：DTLSv1 クライアントの hello を受け入れ、DTLSv1（以降）をネゴシエートするには、このキーワードを入力します。

• dtlsv1.2 ：DTLSv1.2 クライアントの hello を受け入れ、DTLSv1.2（以降）をネゴシエートするには、このキーワードを入力します。

ssl client-version [ tlsv1 | tlsv1.1 | tlsv1.2]

ここで、

• tlsv1 ：このキーワードを指定すると、ASA は TLSv1 クライアントの hello を送信し、TLSv1（以上）をネゴシエートします。

• tlsv1.1 ：このキーワードを指定すると、ASA は TLSv1.1 クライアントの hello を送信し、TLSv1.1（以上）をネゴシエートします。

• tlsv1.2 ：このキーワードを指定すると、ASA は TLSv1.2 クライアントの hello を送信し、TLSv1.2（以上）をネゴシエートします。

SSL クライアントロールに対して DTLS を使用することはできません。

ssl cipher version [ level | custom string

それぞれの説明は次のとおりです。

• version 引数は、SSL、DTLS、または TLS プロトコル バージョンを指定します。サポートされているバージョンは次のとおりです。

  • default ：発信接続用の暗号セット。

  • dtlsv1 ：DTLSv1 着信接続用の暗号。

  • dtlsv1.2 ：DTLSv1.2 着信接続用の暗号。

  • tlsv1 ：TLSv1 着信接続用の暗号。

  • tlsv1.1 ：TLSv1.1 着信接続用の暗号。

  • tlsv1.2 ：TLSv1.2 着信接続用の暗号。

• level 引数は、暗号強度を指定し、設定されている暗号の最低レベルを示します。次に、強度の有効な値を強度の低い順に示します。

  • all ：すべての暗号方式が含まれます。

  • low ：NULL-SHA を除くすべての暗号が含まれます。

  • medium （これはすべてのプロトコル バージョンのデフォルト値です）：NULL-SHA、DES-CBC-SHA、RC4-MD5、RC4-SHA、および DES-CBC3-SHA を除くすべての暗号が含まれます。

  • fips ：NULL-SHA、DES-CBC-SHA、RC4-MD5、RC4-SHA、および DES-CBC3-SHA を除く FIPS 準拠のすべての暗号が含まれます。

  • high （TLSv1.2 にのみ適用）：TLSv1.2 用の SHA-2 暗号を使用する AES-256 のみが含まれます。

• customstring オプション を指定すると、OpenSSL 暗号定義文字列を使用して暗号スイートを詳細に管理できます。詳細については、https://www.openssl.org/docs/apps/ciphers.html を参照してください。

推奨設定は [medium ] です。[high ] を使用すると、接続が制限されることがあります。custom を使用すると、少数の暗号のみが設定されている場合は、機能が制限されることがあります。デフォルトのカスタム値を制限すると、クラスタリングを含めて発信接続が制限されることがあります。

ASA によってサポートされる暗号の優先順位は次のとおりです。詳細については、コマンド リファレンスを参照してください。

このコマンドは、バージョン 9.3(2) から廃止された ssl encryption コマンドに代わるものです。

ssl trust-point name [[ interface vpnlb-ip ] | domain domain-name]

hostname(config)# ssl trust-point www-cert domain www.example.com

name 引数は、トラストポイントの名前を指定します。interface 引数は、トラストポイントが設定されているインターフェイスの名前を指定します。vpnlb-ip キーワードは、インターフェイスにのみ適用され、このトラストポイントをこのインターフェイス上の VPN ロード バランシング クラスタの IP アドレスに関連付けます。domaindomain-name キーワードと引数のペアは、インターフェイスへのアクセスに使用される特定のドメイン名に関連付けられたトラストポイントを指定します。

インターフェイスあたり最大 16 個のトラストポイントを設定できます。

インターフェイスまたはドメインを指定しない場合は、トラストポイントが設定されていないすべてのインターフェイス用のフォールバック トラストポイントが作成されます。

ssl trustpoint ? コマンドを入力すると、使用可能な設定済みのトラストポイントが表示されます。ssl trust-point name ? コマンド（たとえば、ssl trust-point mysslcert ? ）を入力した場合、trustpoint-SSL 証明書アソシエーションに使用可能な設定済みのインターフェイスが表示されます。

このコマンドを使用するときは、次のガイドラインに従ってください。

• trustpoint の値は、crypto ca trustpoint name コマンドで設定された CA トラストポイントの name である必要があります。

• interface の値は、あらかじめ設定されたインターフェイスの nameif 名である必要があります。

• トラストポイントを削除すると、そのトラストポイントを参照する ssl trust-point エントリも削除されます。

• ssl trust-point エントリは、インターフェイスごとに 1 つと、インターフェイスを指定しないもの 1 つを保持できます。

• 同じトラストポイントを複数のエントリで再利用できます。

• domain キーワードで設定したトラストポイントは、複数のインターフェイスに適用されることがあります（接続方法によって異なります）。

• domain-name の値ごとに 1 つの ssl trust-point のみを保持できます。

• このコマンドを入力すると、次のエラーが表示される場合があります。

  
  error:0B080074:x509 certificate routines:X509_check_private_key:key values mismatch@x509_cmp.c:339
  
  

  これは、ユーザーが新しい証明書を設定して、以前に設定された証明書と置き換えたことを示しています。特に対処の必要はありません。

• 証明書は次の順序で選択されます。

  • 接続が domain キーワードの値に一致した場合、その証明書が最初に選択されます。（ssl trust-pointnamedomaindomain-name コマンド）

  • ロード バランシング アドレスへの接続が確立された場合、vpnlb-ip 証明書が選択されます。（ssl trust-point name interface vpnlb-ip コマンド）

  • インターフェイスに対して設定された証明書。（ssl trust-point name interface コマンド）

  • インターフェイスに関連付けられていないデフォルトの証明書。（ssl trust-point name ）

  • ASA の自己署名付き自己生成証明書。

ssl dh-group [group14 | group15 | group16 | group 19 |  group 20 | group21]

hostname(config)# ssl dh-group group14

group14、15、16、19、20、および 21 キーワードは、DH グループ 14（2048 ビットモジュラス、224 ビット素数位数サブグループ）を設定します。

グループ 14 は Java 7 と互換性がありません。すべてのグループが Java 8 と互換性があります。グループ 14 は FIPS 準拠です。デフォルト値は ssl dh-group group14 です。

ssl ecdh-group [group19 | group20 | group21]

hostname(config)# ssl ecdh-group group20

group19 キーワードは、グループ 19（256 ビット EC）を設定します。group20 キーワードは、グループ 20（384 ビット EC）を設定します。group21 キーワードは、グループ 21（521 ビット EC）を設定します。

デフォルト値は ssl ecdh-group group19 です。