ステップ 1

（任意）DCERPC インスペクション クラス マップを作成します。

1. クラス マップを作成します。class-map type inspect dcerpc [match-all | match-any] class_map_name

   class_map_name には、クラス マップの名前を指定します。match-all キーワードはデフォルトです。トラフィックがクラス マップと一致するには、すべての基準と一致する必要があることを指定します。match-any キーワードは、トラフィックが少なくとも 1 つの match ステートメントと一致したらクラス マップと一致することを指定します。CLI はクラスマップ コンフィギュレーション モードに移行します。

2. 次の match コマンドを使用して、アクションを実行するトラフィックを指定します。match not コマンドを使用すると、match not コマンドの基準に一致しないすべてのトラフィックにアクションが適用されます。

   • match [not] uuid type ：DCERPC メッセージの汎用一意識別子（UUID）を照合します。type は次のいずれかです。

     • ms-rpc-epm ：Microsoft RPC EPM メッセージを照合します。

     • ms-rpc-isystemactivator ：ISystemMapper メッセージを照合します。

     • ms-rpc-oxidresolver ：OxidResolver メッセージを照合します。

3. クラス マップ コンフィギュレーション モードを終了するには、「exit」と入力します。

ステップ 2

DCERPC インスペクション ポリシー マップを作成します。policy-map type inspect dcerpc policy_map_name

ステップ 3

（任意）説明をポリシー マップに追加します。description string

ステップ 4

一致したトラフィックにアクションを適用するには、次の手順を実行します。

1. 次のいずれかの方法を使用して、アクションを実行するトラフィックを指定します。

   • DCERPC クラス マップを作成した場合は、次のコマンドを入力してそれを指定します。class class_map_name

   • DCERPC クラス マップで説明されている match コマンドのいずれかを使用して、ポリシー マップに直接トラフィックを指定します。match not コマンドを使用すると、match not コマンドの基準に一致しないすべてのトラフィックにアクションが適用されます。

2. 次のコマンドのいずれかを入力して、一致するトラフィックに対して実行するアクションを指定します。

   • reset [log] ：パケットをドロップし、接続を閉じてサーバーまたはクライアントに TCP リセットを送信します。

   • log ：システム ログ メッセージを送信します。このオプションは単独で使用するか、または他のアクションのいずれかと一緒に使用できます。

   ポリシー マップには、複数の class コマンドまたは match コマンドを指定できます。

   例:

   
   hostname(config)# policy-map type inspect dcerpc dcerpc-map
   hostname(config-pmap)# match uuid ms-rpc-epm
   hostname(config-pmap-c)# log
   
   

ステップ 5

インスペクション エンジンに影響のあるパラメータを設定するには、次の手順を実行します。

1. パラメータ コンフィギュレーション モードを開始します。

   
   hostname(config-pmap)# parameters
   hostname(config-pmap-p)#
   
   

2. 1 つまたは複数のパラメータを設定します。次のオプションを設定できます。オプションをディセーブルにするには、コマンドの no 形式を使用してください。

   • timeout pinhole hh:mm:ss：DCERPC ピンホールのタイムアウトを設定し、2 分のグローバル システム ピンホール タイムアウトを上書きします。タイムアウトは 00:00 01 ～ 119:00:00 まで指定できます。

   • endpoint-mapper [epm-service-only] [lookup-operation [timeout hh:mm:ss]]：エンドポイント マッパー トラフィックのオプションを設定します。epm-service-only キーワードを指定すると、バインド中にエンドポイント マッパー サービスを実行し、このサービスのトラフィックだけが処理されるようにします。lookup-operation キーワードを指定すると、エンドポイント マッパー サービスのルックアップ操作をイネーブルにします。ルックアップ操作で生成されたピンホールのタイムアウトを設定できます。ルックアップ操作にタイムアウトが設定されていない場合は、timeout pinhole コマンドで指定した値かデフォルトの値が使用されます。

ステップ 1

（任意）次の手順に従って、DNS インスペクションのクラス マップを作成します。

1. クラス マップを作成します。class-map type inspect dns [match-all | match-any] class_map_name

   class_map_name には、クラス マップの名前を指定します。match-all キーワードはデフォルトです。トラフィックがクラス マップと一致するには、すべての基準と一致する必要があることを指定します。match-any キーワードは、トラフィックが少なくとも 1 つの match ステートメントと一致したらクラス マップと一致することを指定します。CLI がクラスマップ コンフィギュレーション モードに入り、1 つ以上の match コマンドを入力できます。

2. （任意）クラス マップに説明を追加します。description string

   string には、クラス マップの説明を 200 文字以内で指定します。

3. 次のいずれかの match コマンドを使用して、アクションを実行するトラフィックを指定します。match not コマンドを使用すると、match not コマンドの基準に一致しないすべてのトラフィックにアクションが適用されます。

   • match [not] header-flag [eq] {f_name [f_name...] | f_value}：DNS フラグと一致します。f_name 引数は DNS フラグ名であり、AA（権限応答）、QR（クエリー）、RA（使用できる再帰）、RD（必要な再帰）、TC（切り捨て）のいずれかです。f_value 引数は、0x で始まる 16 ビットの 16 進値です（0x0 ～ 0xffff）。eq キーワードは完全一致を指定します（すべて一致）。eq キーワードを指定しないと、パケットは指定されているヘッダーの 1 つと一致するだけで十分です（いずれかと一致）。例：match header-flag AA QR

   • match [not] dns-type {eq {t_name | t_value} | range t_value1 t_value2}：DNS タイプと一致します。t_name 引数は DNS タイプ名であり、次のいずれかです。A（IPv4 アドレス）、AXFR（フル ゾーン転送）、CNAME（正規の名前）、IXFR（増分ゾーン転送）、NS（権限ネーム サーバー）、SOA（権限ゾーンの開始）、TSIG（トランザクション署名）です。t_value 引数には、DNS タイプ フィールドの任意の値（0 ～ 65535）を指定します。range キーワードは範囲を指定し、eq キーワードは完全一致を指定します。例：match dns-type eq A

   • match [not] dns-class {eq {in | c_value} | range c_value1 c_value2}：DNS クラスと一致します。クラスは in（インターネットの場合）または c_value（DNS クラス フィールドの 0 ～ 65535 の任意の値）です。range キーワードは範囲を指定し、eq キーワードは完全一致を指定します。例：match dns-class eq in

   • match [not] {question | resource-record {answer | authority | additional}}：DNS の質問またはリソース レコードと一致します。question キーワードは、DNS メッセージの問い合わせ部分を指定します。resource-record キーワードは、リソース レコードのセクション answer、authority、additional のいずれかを指定します。例：match resource-record answer

   • match [not] domain-name regex {regex_name | class class_name}：DNS メッセージのドメイン名のリストを、指定された正規表現または正規表現クラスに対して照合します。

4. クラス マップ コンフィギュレーション モードを終了するには、「exit」と入力します。

ステップ 2

DNS インスペクション ポリシー マップを作成します。policy-map type inspect dns policy_map_name

ステップ 3

（任意）説明をポリシー マップに追加します。description string

ステップ 4

一致したトラフィックにアクションを適用するには、次の手順を実行します。

1. 次のいずれかの方法を使用して、アクションを実行するトラフィックを指定します。

   • DNS クラス マップを作成した場合は、次のコマンドを入力してそれを指定します。class class_map_name

   • DNS クラス マップで説明されている match コマンドのいずれかを使用して、ポリシー マップに直接トラフィックを指定します。match not コマンドを使用すると、match not コマンドの基準に一致しないすべてのトラフィックにアクションが適用されます。

2. 次のコマンドのいずれかを入力して、一致するトラフィックに対して実行するアクションを指定します。

   • drop [log] ：一致するすべてのパケットをドロップします。

   • drop-connection [log] ：パケットをドロップし、接続を閉じます。

   • mask [log] ：パケットの一致する部分をマスクします。このアクションは、ヘッダー フラグの照合だけで利用可能です。

   • log ：システム ログ メッセージを送信します。このオプションは単独で使用するか、または他のアクションのいずれかと一緒に使用できます。

   • enforce-tsig [drop] [log] ：メッセージに TSIG リソース レコードが存在することを強制します。TSIG リソース レコードがないパケットをドロップ、ログ記録、またはドロップしてログ記録できます。ヘッダー フラグ一致の場合、このオプションをマスク アクションと組み合わせて使用できます。それ以外の場合、このアクションと他のアクションを同時に指定することはできません。

   ポリシー マップには、複数の class コマンドまたは match コマンドを指定できます。class コマンドと match コマンドの順序については、複数のトラフィック クラスの処理方法を参照してください。

   例:

   
   hostname(config)# policy-map type inspect dns dns-map
   hostname(config-pmap)# class dns-class-map
   hostname(config-pmap-c)# drop
   hostname(config-pmap-c)# match header-flag eq aa
   hostname(config-pmap-c)# drop log
   
   

ステップ 5

インスペクション エンジンに影響のあるパラメータを設定するには、次の手順を実行します。

1. パラメータ コンフィギュレーション モードを開始します。

   
   hostname(config-pmap)# parameters
   hostname(config-pmap-p)#
   
   

2. 1 つまたは複数のパラメータを設定します。次のオプションを設定できます。オプションをディセーブルにするには、コマンドの no 形式を使用してください。

   • dnscrypt ：DNScrypt を有効にしてデバイスと Cisco Umbrella 間の接続を暗号化します。DNScrypt を有効にすると、Umbrella リゾルバとのキー交換スレッドが開始されます。キー交換スレッドは、1 時間ごとにリゾルバとのハンドシェイクを実行し、新しい秘密鍵でデバイスを更新します。DNScrypt では UDP/443 を使用するため、そのポートが DNS インスペクションに使用するクラス マップに含まれていることを確認する必要があります。デフォルトのインスペクション クラスには DNS インスペクションに UDP/443 がすでに含まれています。

   • dns-guard：DNS ガードをイネーブルにします。ASA で DNS 応答が転送されるとすぐに、ASA は DNS クエリーに関連付けられた DNS セッションを切断します。ASA はまた、メッセージ交換をモニターして DNS 応答の ID が DNS クエリの ID と一致することを確認します。

   • id-mismatch count number duration seconds action log：DNS ID の過剰な不一致のロギングをイネーブルにします。count number duration seconds 引数は、システム メッセージ ログが送信されるようになる 1 秒間の不一致インスタンスの最大数を指定します。

   • id-randomization：DNS クエリーの DNS 識別子をランダム化します。

   • message-length maximum {length | client {length | auto} | server {length | auto}}：DNS メッセージの最大長を設定します（512 ～ 65535 バイト）。クライアント メッセージまたはサーバー メッセージの最大長も設定できます。auto キーワードは、リソース レコードの値に最大長を設定します。

   • nat-rewrite：DNS レコードを NAT の設定に基づいて変換します。

   • protocol-enforcement ：DNS メッセージ形式のチェックをイネーブルにします。ドメイン名の長さが 255 文字以下、ラベルの長さが 63 文字、圧縮、ループ ポインタのチェックなどです。

   • tcp-inspection ：DNS over TCP トラフィックのインスペクションを有効にします。DNS/TCP ポート 53 トラフィックが、DNS インスペクションを適用するクラスの一部であることを確認します。インスペクションのデフォルト クラスには、TCP/53 が含まれています。

   • tsig enforced action {[drop] [log]}：TSIG リソース レコードの存在を要求します。準拠していないパケットをドロップしたり（drop）、パケットをログに記録したり（log）できます。両方指定することもできます。

   • umbrella [ tag umbrella_policy] [ fail-open] ：Cisco Umbrella をイネーブルにし、必要に応じてデバイスに適用する Cisco Umbrella のポリシー名（tag ）を指定します。ポリシーを指定しない場合は、デフォルトの ACL が適用されます。詳細については、Cisco Umbrellaを参照してください。

     Umbrella DNS サーバーが使用できない場合に DNS 解決を動作させるには、fail-open キーワードを追加します。フェール オープンの状態で Cisco Umbrella DNS サーバーが使用できない場合は、このポリシー マップで Umbrella 自体がディセーブルになり、DNS 要求をシステム上に設定された他の DNS サーバー（存在する場合）に移動できるようになります。Umbrella DNS サーバーが再度使用可能になると、ポリシーマップはそれらの使用を再開します。このオプションが含まれていない場合、DNS 要求は到達不能の Umbrella リゾルバへ移動し続けるので、応答は取得されません。

   例:

   
   hostname(config-pmap)# parameters
   hostname(config-pmap-p)# dns-guard
   hostname(config-pmap-p)# message-length maximum 1024
   hostname(config-pmap-p)# nat-rewrite
   hostname(config-pmap-p)# protocol-enforcement
   
   

ステップ 1

（任意）次の手順に従って、FTP インスペクションのクラス マップを作成します。

1. クラス マップを作成します。class-map type inspect ftp [match-all | match-any] class_map_name

   class_map_name には、クラス マップの名前を指定します。match-all キーワードはデフォルトです。トラフィックがクラス マップと一致するには、すべての基準と一致する必要があることを指定します。match-any キーワードは、トラフィックが少なくとも 1 つの match ステートメントと一致したらクラス マップと一致することを指定します。CLI がクラスマップ コンフィギュレーション モードに入り、1 つ以上の match コマンドを入力できます。

2. （任意）クラス マップに説明を追加します。description string

   string には、クラス マップの説明を 200 文字以内で指定します。

3. 次のいずれかの match コマンドを使用して、アクションを実行するトラフィックを指定します。match not コマンドを使用すると、match not コマンドの基準に一致しないすべてのトラフィックにアクションが適用されます。

   • match [not] filename regex {regex_name | class class_name}：FTP 転送のファイル名を、指定された正規表現または正規表現クラスに対して照合します。

   • match [not] filetype regex {regex_name | class class_name}：FTP 転送のファイル タイプを、指定された正規表現または正規表現クラスに対して照合します。

   • match [not] request-command ftp_command [ ftp_command...]：FTP コマンドを照合します。以下の 1 つ以上です。

     • APPE：ファイルに追加します。

     • CDUP：現在の作業ディレクトリの親ディレクトリに変更します。

     • DELE：サーバーのファイルを削除します。

     • GET：サーバーからファイルを取得します。

     • HELP：ヘルプ情報を提供します。

     • MKD：サーバーにディレクトリを作成します。

     • PUT：ファイルをサーバーに送信します。

     • RMD：サーバーのディレクトリを削除します。

     • RNFR：「変更前の」ファイル名を指定します。

     • RNTO：「変更後の」ファイル名を指定します。

     • SITE：サーバー固有のコマンドの指定に使用されます。通常、これはリモート管理に使用されます。

     • STOU：一義的なファイル名を使用してファイルを保存します。

   • match [not] server regex {regex_name | class class_name}：FTP サーバー名を、指定された正規表現または正規表現クラスに対して照合します。

   • match [not] username regex {regex_name | class class_name}：FTP ユーザー名を、指定された正規表現または正規表現クラスに対して照合します。

4. クラス マップ コンフィギュレーション モードを終了するには、「exit」と入力します。

ステップ 2

FTP インスペクション ポリシー マップを作成します。policy-map type inspect ftp policy_map_name

ステップ 3

（任意）説明をポリシー マップに追加します。description string

ステップ 4

一致したトラフィックにアクションを適用するには、次の手順を実行します。

1. 次のいずれかの方法を使用して、アクションを実行するトラフィックを指定します。

   • FTP クラス マップを作成した場合は、次のコマンドを入力してそれを指定します。class class_map_name

   • FTP クラス マップで説明されている match コマンドのいずれかを使用して、ポリシー マップに直接トラフィックを指定します。match not コマンドを使用すると、match not コマンドの基準に一致しないすべてのトラフィックにアクションが適用されます。

2. 次のコマンドを入力して、一致したトラフィックに対して実行するアクションを指定します。

   • reset [log] ：パケットをドロップし、接続を閉じてサーバーまたはクライアントに TCP リセットを送信します。システム ログ メッセージを送信するには、log キーワードを追加します。

   ポリシー マップには、複数の class コマンドまたは match コマンドを指定できます。class コマンドと match コマンドの順序については、複数のトラフィック クラスの処理方法を参照してください。

ステップ 5

インスペクション エンジンに影響のあるパラメータを設定するには、次の手順を実行します。

1. パラメータ コンフィギュレーション モードを開始します。

   
   hostname(config-pmap)# parameters
   hostname(config-pmap-p)#
   
   

2. 1 つまたは複数のパラメータを設定します。次のオプションを設定できます。オプションをディセーブルにするには、コマンドの no 形式を使用してください。

   • mask-banner：FTP サーバーから接続時バナーをマスクします。

   • mask-syst-reply：syst コマンドに対する応答をマスクします。

ステップ 1

（任意）次の手順に従って、HTTP インスペクションのクラス マップを作成します。

1. クラス マップを作成します。class-map type inspect http [match-all | match-any] class_map_name

   class_map_name には、クラス マップの名前を指定します。match-all キーワードはデフォルトです。トラフィックがクラス マップと一致するには、すべての基準と一致する必要があることを指定します。match-any キーワードは、トラフィックが少なくとも 1 つの match ステートメントと一致したらクラス マップと一致することを指定します。CLI がクラスマップ コンフィギュレーション モードに入り、1 つ以上の match コマンドを入力できます。

2. （任意）クラス マップに説明を追加します。description string

   string には、クラス マップの説明を 200 文字以内で指定します。

3. 次のいずれかの match コマンドを使用して、アクションを実行するトラフィックを指定します。match not コマンドを使用すると、match not コマンドの基準に一致しないすべてのトラフィックにアクションが適用されます。

   • match [not] req-resp content-type mismatch：HTTP 応答の content-type フィールドが対応する HTTP 要求メッセージの accept フィールドと一致しないトラフィックを照合します。

   • match [not] request args regex {regex_name | class class_name}：HTTP 要求メッセージの引数で見つかったテキストを、指定した正規表現または正規表現クラスと照合します。

   • match [not] request body {regex {regex_name | class class_name} | length gt bytes}：HTTP 要求メッセージの本文で見つかったテキストを、指定した正規表現または正規表現クラスと照合します。または、要求の本文が指定した長さより長いメッセージを照合します。

   • match [not] request header {field | regex regex_name} regex {regex_name | class class_name}：HTTP 要求メッセージ ヘッダーのフィールドの内容を、指定した正規表現または正規表現クラスと照合します。フィールド名を明示的に指定することも、フィールド名を正規表現と一致させることもできます。フィールド名は次のとおりです。accept、accept-charset、accept-encoding、accept-language、allow、authorization、cache-control、connection、content-encoding、content-language、content-length、content-location、content-md5、content-range、content-type、cookie、date、expect、expires、from、host、if-match、if-modified-since、if-none-match、if-range、if-unmodified-since、last-modified、max-forwards、pragma、proxy-authorization、range、referer、te、trailer、transfer-encoding、upgrade、user-agent、via、warning。

   • match [not] request header {field | regex {regex_name | class class_name}} {length gt bytes | count gt number}：HTTP 要求メッセージ ヘッダーの指定したフィールドの長さ、またはヘッダーのフィールドの総数を照合します。フィールド名を明示的に指定することも、フィールド名を正規表現または正規表現クラスと一致させることもできます。フィールド名は、前の項目の一覧と同じです。

   • match [not] request header {length gt bytes | count gt number | non-ascii}：HTTP 要求メッセージ ヘッダーの全体の長さ、ヘッダーのフィールドの総数、または ASCII 以外の文字を含むヘッダーを照合します。

   • match [not] request method {method | regex {regex_name | class class_name}}：HTTP 要求のメソッドを照合します。メソッドを明示的に指定することも、メソッドを正規表現または正規表現クラスと一致させることもできます。メソッドは次のとおりです。bcopy、bdelete、bmove、bpropfind、bproppatch、connect、copy、delete、edit、get、getattribute、getattributenames、getproperties、head、index、lock、mkcol、mkdir、move、notify、options、poll、post、propfind、proppatch、put、revadd、revlabel、revlog、revnum、save、search、setattribute、startrev、stoprev、subscribe、trace、unedit、unlock、unsubscribe。

   • match [not] request uri {regex {regex_name | class class_name} | length gt bytes}：HTTP 要求メッセージの URI で見つかったテキストを、指定した正規表現または正規表現クラスと照合します。または、要求の URI が指定した長さより長いメッセージを照合します。

   • match [not] response body {active-x | java-applet | regex {regex_name | class class_name}}：HTTP 応答メッセージの本文で見つかったテキストを、指定した正規表現または正規表現クラスと照合します。または、Java アプレットおよび Active X オブジェクトをフィルタ処理のためにコメント化します。

   • match [not] response body length gt bytes：本文が指定した長さより大きい HTTP 応答メッセージを照合します。

   • match [not] response header {field | regex regex_name} regex {regex_name | class class_name}：HTTP 応答メッセージ ヘッダーのフィールドの内容を、指定した正規表現または正規表現クラスと照合します。フィールド名を明示的に指定することも、フィールド名を正規表現と一致させることもできます。フィールド名は次のとおりです。accept-ranges、age、allow、cache-control、connection、content-encoding、content-language、content-length、content-location、content-md5、content-range、content-type、date、etag、expires、last-modified、location、pragma、proxy-authenticate、retry-after、server、set-cookie、trailer、transfer-encoding、upgrade、vary、via、warning、www-authenticate。

   • match [not] response header {field | regex {regex_name | class class_name}} {length gt bytes | count gt number}：HTTP 応答メッセージ ヘッダーの指定したフィールドの長さ、またはヘッダーのフィールドの総数を照合します。フィールド名を明示的に指定することも、フィールド名を正規表現または正規表現クラスと一致させることもできます。フィールド名は、前の項目の一覧と同じです。

   • match [not] response header {length gt bytes | count gt number | non-ascii}：HTTP 応答メッセージ ヘッダーの全体の長さ、ヘッダーのフィールドの総数、または ASCII 以外の文字を含むヘッダーを照合します。

   • match [not] response status-line regex {regex_name | class class_name}：HTTP 応答メッセージのステータス行で見つかったテキストを、指定した正規表現または正規表現クラスと照合します。

4. クラス マップ コンフィギュレーション モードを終了するには、「exit」と入力します。

ステップ 2

HTTP インスペクション ポリシー マップを作成します。policy-map type inspect http policy_map_name

ステップ 3

（任意）説明をポリシー マップに追加します。description string

ステップ 4

一致したトラフィックにアクションを適用するには、次の手順を実行します。

1. 次のいずれかの方法を使用して、アクションを実行するトラフィックを指定します。

   • HTTP クラス マップを作成した場合は、次のコマンドを入力してそれを指定します。class class_map_name

   • HTTP クラス マップで説明されている match コマンドのいずれかを使用して、ポリシー マップに直接トラフィックを指定します。match not コマンドを使用すると、match not コマンドの基準に一致しないすべてのトラフィックにアクションが適用されます。

2. 次のコマンドのいずれかを入力して、一致するトラフィックに対して実行するアクションを指定します。

   • drop-connection [log] ：パケットをドロップし、接続を閉じます。

   • reset [log] ：パケットをドロップし、接続を閉じてサーバーまたはクライアントに TCP リセットを送信します。

   • log ：システム ログ メッセージを送信します。このオプションは単独で使用するか、または他のアクションのいずれかと一緒に使用できます。

   ポリシー マップには、複数の class コマンドまたは match コマンドを指定できます。class コマンドと match コマンドの順序については、複数のトラフィック クラスの処理方法を参照してください。

ステップ 5

インスペクション エンジンに影響のあるパラメータを設定するには、次の手順を実行します。

1. パラメータ コンフィギュレーション モードを開始します。

   
   hostname(config-pmap)# parameters
   hostname(config-pmap-p)#
   
   

2. 1 つまたは複数のパラメータを設定します。次のオプションを設定できます。オプションをディセーブルにするには、コマンドの no 形式を使用してください。

   • body-match-maximum number：HTTP メッセージの本文照合時に検索する本文の最大文字数を設定します。デフォルト値は 200 バイトです。大きな値を指定すると、パフォーマンスに大きな影響を与えます。

   • protocol-violation action {drop-connection [log] | reset [log] | log}：HTTP プロトコル違反について確認します。違反に対して実行するアクション（切断、リセット、ログ記録）、およびロギングをイネーブルまたはディセーブルにするかどうかも選択する必要があります。

   • spoof-server string：サーバーのヘッダー フィールドを文字列に置き換えます。WebVPN ストリームは spoof-server コマンドの対象になりません。

ステップ 1

IP オプション インスペクション ポリシー マップを作成します。policy-map type inspect ip-options policy_map_name

ステップ 2

（任意）説明をポリシー マップに追加します。description string

ステップ 3

パラメータ コンフィギュレーション モードを開始します。

hostname(config-pmap)# parameters
hostname(config-pmap-p)#

ステップ 4

許可するオプションを特定します。

ステップ 1

IPsec パススルー インスペクション ポリシー マップを作成します。policy-map type inspect ipsec-pass-thru policy_map_name

ステップ 2

（任意）説明をポリシー マップに追加します。description string

ステップ 3

インスペクション エンジンに影響のあるパラメータを設定するには、次の手順を実行します。

1. パラメータ コンフィギュレーション モードを開始します。

   
   hostname(config-pmap)# parameters
   hostname(config-pmap-p)#
   
   

2. 1 つまたは複数のパラメータを設定します。次のオプションを設定できます。オプションをディセーブルにするには、コマンドの no 形式を使用してください。

   • esp per-client-max number timeout time：ESP トンネルを許可し、クライアントごとに許可される最大接続数およびアイドル タイムアウト（hh:mm:ss の形式）を設定します。接続の数を無制限に設定するには、値を 0 に指定します。

   • ah per-client-max number timeout time：AH トンネルを許可します。パラメータの意味は esp コマンドと同じです。

ステップ 1

IPv6 インスペクション ポリシー マップを作成します。policy-map type inspect ipv6 policy_map_name

ステップ 2

（任意）説明をポリシー マップに追加します。description string

ステップ 3

（任意）IPv6 メッセージのヘッダーに基づいてトラフィックをドロップまたはロギングします。

1. IPv6 ヘッダーに基づいてトラフィックを識別します。match header type

   type は次のいずれかです。

   • ah：IPv6 認証拡張ヘッダーと一致します。

   • count gt number：IPv6 拡張ヘッダーの最大数を指定します（0 ～ 255）。

   • destination-option：IPv6 の宛先オプション拡張ヘッダーと一致します。

   • esp： IPv6 のカプセル化セキュリティ ペイロード（ESP）拡張ヘッダーと一致します。

   • fragment：IPv6 のフラグメント拡張ヘッダーと一致します。

   • hop-by-hop：IPv6 のホップバイホップ拡張ヘッダーと一致します。

   • routing-address count gt number：IPv6 ルーティング ヘッダー タイプ 0 アドレスの最大数を設定します（0 ～ 255）。

   • routing-type {eq | range} number：IPv6 ルーティング ヘッダー タイプと一致します（0 ～ 255）。範囲を指定するには、値をスペースで区切ります（例：30 40）

2. 一致したパケットに対して実行するアクションを指定します。パケットをドロップし、必要に応じてログに記録できます。または、ログへの記録だけを行うこともできます。アクションを入力しない場合、パケットがログに記録されます。

   • drop [log] ：一致するすべてのパケットをドロップします。

   • log ：システム ログ メッセージを送信します。このオプションは単独で使用するか、または他のアクションのいずれかと一緒に使用できます。

3. ドロップまたはロギングするすべてのヘッダーを識別するまで、プロセスを繰り返します。

ステップ 4

インスペクション エンジンに影響するパラメータを設定します。

1. パラメータ コンフィギュレーション モードを開始します。

   
   hostname(config-pmap)# parameters
   hostname(config-pmap-p)#
   
   

2. 1 つまたは複数のパラメータを設定します。次のオプションを設定できます。オプションをディセーブルにするには、コマンドの no 形式を使用してください。

   • verify-header type：既知の IPv6 拡張ヘッダーだけを許可します。

   • verify-header order：RFC 2460 で定義されている IPv6 拡張ヘッダーの順序を適用します。

ステップ 1

ESMTP インスペクション ポリシー マップを作成します。policy-map type inspect esmtp policy_map_name

ステップ 2

（任意）説明をポリシー マップに追加します。description string

ステップ 3

一致したトラフィックにアクションを適用するには、次の手順を実行します。

1. 次のいずれかの match コマンドを使用して、アクションを実行するトラフィックを指定します。match not コマンドを使用すると、match not コマンドの基準に一致しないすべてのトラフィックにアクションが適用されます。

   • match [not] body {length | line length} gt bytes：ESMTP 本文メッセージの長さまたは行の長さが指定したバイト数より大きいメッセージと一致します。

   • match [not] cmd verb verb1 [verb2...]：メッセージ内のコマンド動詞を照合します。次のコマンドの 1 つまたは複数を指定できます。auth、data、ehlo、etrn、helo、help、mail、noop、quit、rcpt、rset、saml、soml、vrfy。

   • match [not] cmd line length gt bytes：コマンド動詞の行の長さが指定したバイト数より大きいメッセージを照合します。

   • match [not] cmd rcpt count gt count：受信者の数が指定した値より大きいメッセージと一致します。

   • match [not] ehlo-reply-parameter parameter [parameter2...]：ESMTP EHLO 応答パラメータと一致します。次のパラメータの 1 つまたは複数を指定できます。8bitmime、auth、binaryname、checkpoint、dsn、etrn、others、pipelining、size、vrfy。

   • match [not] header {length | line length} gt bytes：ESMTP ヘッダーの長さまたは行の長さが指定したバイト数より大きいメッセージと一致します。

   • match [not] header to-fields count gt count：ヘッダーの To フィールドの数が指定した値より大きいメッセージと一致します。

   • match [not] invalid-recipients count gt number：無効な受信者の数が指定した値より大きいメッセージと一致します。

   • match [not] mime filetype regex {regex_name | class class_name}：MIME またはメディア ファイル タイプを、指定した正規表現または正規表現クラスと照合します。

   • match [not] mime filename length gt bytes：ファイル名が指定したバイト数より大きいメッセージと一致します。

   • match [not] mime encoding type [type2...]：MIME エンコーディング タイプと一致します。次のタイプの 1 つまたは複数を指定できます。7bit、8bit、base64、binary、others、quoted-printable。

   • match [not] sender-address regex {regex_name | class class_name}：送信者の電子メール アドレスを、指定した正規表現または正規表現クラスと照合します。

   • match [not] sender-address length gt bytes：送信者のアドレスが指定したバイト数より大きいメッセージと一致します。

2. 次のコマンドのいずれかを入力して、一致するトラフィックに対して実行するアクションを指定します。

   • drop-connection [log] ：パケットをドロップし、接続を閉じます。

   • mask [log] ：パケットの一致する部分をマスクします。このアクションは、ehlo-reply-parameter および cmd verb に対してのみ使用できます。

   • reset [log] ：パケットをドロップし、接続を閉じてサーバーまたはクライアントに TCP リセットを送信します。

   • log ：システム ログ メッセージを送信します。このオプションは単独で使用するか、または他のアクションのいずれかと一緒に使用できます。

   • rate-limit message_rate ：1 秒あたりのパケット内のメッセージのレートを制限します。このオプションは、cmd verb のみで使用できます。唯一のアクションとして使用することも、mask アクションと組み合わせて使用することもできます。

   ポリシー マップでは、複数の match コマンドを指定できます。match コマンドの順序については、複数のトラフィック クラスの処理方法を参照してください。

ステップ 4

インスペクション エンジンに影響のあるパラメータを設定するには、次の手順を実行します。

1. パラメータ コンフィギュレーション モードを開始します。

   
   hostname(config-pmap)# parameters
   hostname(config-pmap-p)#
   
   

2. 1 つまたは複数のパラメータを設定します。次のオプションを設定できます。オプションをディセーブルにするには、コマンドの no 形式を使用してください。

   • mail-relay domain-name action {drop-connection [log] | log}：メール中継のドメイン名を指定します。接続をドロップし、必要に応じてログに記録できます。または、ログへの記録だけを行うこともできます。

   • mask-banner：ESMTP サーバーからのバナーをマスクします。

   • special-character action {drop-connection [log] | log}：電子メールの送信者または受信者アドレスに特殊文字パイプ（|）、バック クォート、NUL が含まれるメッセージに対して実行するアクションを指定します。接続をドロップし、必要に応じてログに記録できます。または、ログへの記録だけを行うこともできます。

   • allow-tls [action log]：インスペクションなしで ESMTP over TLS（暗号化された接続）を許可するかどうか。必要に応じて、暗号化された接続をログに記録できます。デフォルトでは、インスペクションのない TLS セッションを許可します。no allow-tls を指定すると、システムはセッション接続から STARTTLS インジケータを削除し、強制的にプレーンテキスト接続を行います。

ステップ 1

Sun RPC サービス プロパティを設定します。

hostname(config)# sunrpc-server inside 192.168.100.2 255.255.255.255 
service 100003 protocol tcp 111 timeout 00:30:00

ステップ 2

（オプション）これらのサービス用に作成されたピンホールをモニターします。

hostname# show sunrpc-server active
LOCAL FOREIGN SERVICE TIMEOUT
-----------------------------------------------
1 209.165.200.5/0 192.168.100.2/2049 100003 0:30:00
2 209.165.200.5/0 192.168.100.2/2049 100003 0:30:00
3 209.165.200.5/0 192.168.100.2/647 100005 0:30:00
4 209.165.200.5/0 192.168.100.2/650 100005 0:30:00