Cisco ASA シリ ーズ コマン ド リファ レンス、S コマン ド

Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、
S コマン ド
更新：14/11/05
Cisco Systems, Inc.
www.cisco.com
シ ス コ は世界各国 200 箇所にオ フ ィ ス を開設 し ています。
住所、電話番号、FAX 番号は
以下のシ ス コ Web サイ ト を ご覧 く だ さ い。
www.cisco.com/go/offices.
Text Part Number: な し 、オ ン ラ イ ン専用
こ のマ ニ ュ アルに記載 さ れてい る 仕様お よ び製品に関す る 情報は、予告な し に変更 さ れ る こ と が あ り ま す。こ のマ ニ ュ アルに記載 さ れてい る 表現、情報、お よ び
推奨事項は、すべて正確で あ る と 考え てい ま すが、明示的で あれ黙示的で あれ、一切の保証の責任を 負わない も の と し ま す。こ のマ ニ ュ アルに記載 さ れてい る 製
品の使用は、すべて ユーザ側の責任に な り ま す。
対象製品の ソ フ ト ウ ェ ア ラ イ セ ン ス お よ び限定保証は、製品に添付 さ れた『Information Packet』に記載 さ れてい ま す。添付 さ れていない場合には、代理店に ご連絡
く だ さ い。
The Cisco implementation of TCP header compression is an adaptation of a program developed by the University of California, Berkeley (UCB) as part of UCB’s public
domain version of the UNIX operating system.All rights reserved.Copyright © 1981, Regents of the University of California.
こ こ に記載 さ れてい る 他のいか な る 保証に も よ ら ず、各社のすべてのマ ニ ュ アルお よ び ソ フ ト ウ ェ アは、障害 も 含めて「現状の ま ま 」 と し て提供 さ れ ま す。シ ス コ
お よ び こ れ ら 各社は、商品性の保証、特定目的への準拠の保証、お よ び権利 を 侵害 し ない こ と に関す る 保証、あ る いは取引過程、使用、取引慣行に よ っ て発生す る
保証を は じ め と す る 、明示 さ れた ま たは黙示 さ れた一切の保証の責任 を負わない も の と し ま す。
いか な る 場合において も 、シ ス コ お よ びその供給者は、こ のマ ニ ュ アルの使用 ま たは使用で き ない こ と に よ っ て発生す る 利益の損失やデー タ の損傷 を は じ め と
す る 、間接的、派生的、偶発的、あ る いは特殊な損害について、あ ら ゆ る 可能性が シ ス コ ま たはその供給者に知 ら さ れていて も 、それ ら に対す る 責任 を一切負わな
い も の と し ま す。
Cisco and the Cisco logo are trademarks or registered trademarks of Cisco and/or its affiliates in the U.S.and other countries.To view a list of Cisco trademarks, go to this
URL: www.cisco.com/go/trademarks .Third-party trademarks mentioned are the property of their respective owners.The use of the word partner does not imply a partnership
relationship between Cisco and any other company.(1110R)
こ のマ ニ ュ アルで使用 し てい る IP ア ド レ ス お よ び電話番号は、実際の ア ド レ ス お よ び電話番号を 示す も のでは あ り ま せん。マ ニ ュ アル内の例、コ マ ン ド 出力、
ネ ッ ト ワ ー ク ト ポ ロ ジ図、お よ びその他の図は、説明のみ を目的 と し て使用 さ れてい ま す。説明の中に実際の IP ア ド レ ス お よ び電話番号が使用 さ れていた と し
て も 、それは意図的な も のではな く 、偶然の一致に よ る も のです。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス 、S コ マ ン ド
© 2014 Cisco Systems, Inc. All rights reserved.
CH A P T E R
1
same-security-traffic コ マ ン ド ～ shape
コマン ド
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-1
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
same-security-traffic
same-security-traffic
同 じ セ キ ュ リ テ ィ レ ベルの イ ン タ ー フ ェ イ ス 間での通信を許可す る か、ま たは ト ラ フ ィ ッ ク が
同 じ イ ン タ ー フ ェ イ ス に出入 り で き る よ う にす る には、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン
モー ド で same-security-traffic コ マ ン ド を使用 し ま す。同 じ セ キ ュ リ テ ィ レ ベルの ト ラ フ ィ ッ ク
をデ ィ セーブルにす る には、こ の コ マ ン ド の no 形式を使用 し ま す。
same-security-traffic permit {inter-interface | intra-interface}
no same-security-traffic permit {inter-interface | intra-interface}
構文の説明
inter-interface
同 じ セ キ ュ リ テ ィ レ ベル を持つ異な る イ ン タ ー フ ェ イ ス 間での通信
を許可 し ま す。
intra-interface
同 じ イ ン タ ー フ ェ イ ス に入っ て同 じ イ ン タ ー フ ェ イ ス か ら 出 る 通信 を
許可 し ま す。
デフ ォル ト
こ の コ マ ン ド は、デ フ ォ ル ト でデ ィ セーブルにな っ てい ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
リ リ ース
7.0(1)
変更内容
7.2(1)
intra-interface キー ワ ー ド を使用す る と 、IPsec ト ラ フ ィ ッ ク だけでは
な く 、すべて の ト ラ フ ィ ッ ク が同 じ イ ン タ ー フ ェ イ ス に出入 り で き る
よ う にな り ま し た。
こ の コ マ ン ド が追加 さ れ ま し た。
同 じ セ キ ュ リ テ ィ レ ベルの イ ン タ ー フ ェ イ ス 間での通信を許可す る と （same-security-traffic
inter-interface コ マ ン ド を使用 し て イ ネーブルに し ま す）、次の利点が あ り ま す。
•
101 よ り 多い数の通信 イ ン タ ー フ ェ イ ス を設定で き ま す。各 イ ン タ ー フ ェ イ ス で異な る レ ベ
ル を使用す る 場合は、レ ベルご と （0 ～ 100）に 1 つの イ ン タ ー フ ェ イ ス のみを設定で き ま す。
•
ア ク セ ス リ ス ト な し で、すべての同 じ セ キ ュ リ テ ィ レ ベルの イ ン タ ー フ ェ イ ス 間で自由に
ト ラ フ ィ ッ ク を送受信で き ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-2
ト ラ ン スペ
アレン ト
シ ン グル
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
same-security-traffic
same-security-traffic intra-interface コ マ ン ド を使用す る と 、ト ラ フ ィ ッ ク が同 じ イ ン タ ーフ ェ イ
ス に入っ て同 じ イ ン タ ーフ ェ イ ス か ら 出 る こ と がで き ます。こ の動作は、通常は許可 さ れてい ま
せん。こ の機能は、あ る イ ン タ ーフ ェ イ ス に入 り 、その後同 じ イ ン タ ーフ ェ イ ス か ら ルーテ ィ ン グ
さ れ る VPN ト ラ フ ィ ッ ク の場合に役立ち ま す。こ の場合、VPN ト ラ フ ィ ッ ク は暗号化解除 さ れた
り 、別の VPN 接続のために再度暗号化 さ れた り す る 場合があ り ま す。た と えば、ハブ ア ン ド ス
ポー ク VPN ネ ッ ト ワ ー ク があ り 、ASA がハブ、リ モー ト VPN ネ ッ ト ワ ー ク が ス ポー ク の場合、あ
る ス ポー ク が別の ス ポー ク と 通信す る ためには、ト ラ フ ィ ッ ク は ASA に入っ てか ら 他の ス ポー
ク に再度ルーテ ィ ン グ さ れ る 必要があ り ます。
（注）
例
same-security-traffic intra-interface コ マ ン ド に よ っ て許可 さ れ る すべての ト ラ フ ィ ッ ク には、
引 き 続 き フ ァ イ ア ウ ォ ール ルールが適用 さ れ ま す。リ タ ーン ト ラ フ ィ ッ ク が ASA を通過で き な
い原因 と な る ため、非対称なルーテ ィ ン グ状態に し ない よ う 注意 し て く だ さ い。
次に、同 じ セ キ ュ リ テ ィ レ ベルの イ ン タ ー フ ェ イ ス 間での通信を イ ネーブルにす る 例を示 し
ま す。
ciscoasa(config)# same-security-traffic permit inter-interface
次に、ト ラ フ ィ ッ ク が同 じ イ ン タ ー フ ェ イ ス に入っ て同 じ イ ン タ ー フ ェ イ ス か ら 出 ら れ る よ う
にす る 例を示 し ま す。
ciscoasa(config)# same-security-traffic permit intra-interface
関連 コ マ ン ド
コ マン ド
show running-config
same-security-traffic
説明
same-security-traffic コ ン フ ィ ギ ュ レ ーシ ョ ン を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-3
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
sasl-mechanism
sasl-mechanism
LDAP ク ラ イ ア ン ト を LDAP サーバに対 し て認証す る ための Simple Authentication and Security
Layer（SASL） メ カ ニ ズ ム を指定す る には、AAA サーバ ホ ス ト コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で
sasl-mechanism コ マ ン ド を使用 し ま す。SASL 認証 メ カ ニ ズ ム のオプシ ョ ン は、digest-md5 お よ
び kerberos です。
認証 メ カ ニ ズ ム をデ ィ セーブルにす る には、こ の コ マ ン ド の no 形式を使用 し ま す。
sasl-mechanism {digest-md5 | kerberos server-group-name}
no sasl-mechanism {digest-md5 | kerberos server-group-name}
（注）
構文の説明
VPN ユーザに と っ ては、ASA が LDAP サーバへの ク ラ イ ア ン ト プ ロ キ シ と し て動作す る ため、
こ こ での LDAP ク ラ イ ア ン ト と は ASA を意味 し てい ま す。
digest-md5
ASA は、ユーザ名 と パ ス ワ ー ド か ら 計算 さ れた MD5 値を使用 し て応答
し ま す。
kerberos
ASA は、Generic Security Services Application Programming Interface
（GSSAPI）Kerberos メ カ ニ ズ ム を使用 し てユーザ名 と レ ル ム を送信す る
こ と に よ っ て応答 し ま す。
server-group-name
最大 64 文字の Kerberos AAA サーバ グループ を指定 し ま す。
デ フ ォ ル ト の動作や値はあ り ま せん。ASA は、認証パ ラ メ ー タ を プ レ ーン テ キ ス ト で LDAP
サーバに渡 し ま す。
デフ ォル ト
（注）
コ マ ン ド モー ド
SASL を設定 し てい ない場合は、ldap-over-ssl コ マ ン ド を使用 し て、SSL に よ っ て LDAP 通信を
保護す る こ と を推奨 し ま す。
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
AAA サーバ ホ ス ト コ ン フ ィ
ギ ュ レ ーシ ョ ン
コ マ ン ド 履歴
リ リ ース
7.1(1)
•
Yes
•
Yes
•
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-4
ト ラ ン スペ
アレン ト
シ ン グル
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
sasl-mechanism
使用上のガイ ド ラ イ ン
ASA が SASL メ カ ニ ズ ム を使用 し て LDAP サーバに対す る 認証を行 う よ う 指定す る には、こ の
コ マ ン ド を使用 し ま す。
ASA と LDAP サーバの両方で、複数の SASL 認証 メ カ ニ ズ ム を サポー ト で き ま す。SASL 認証を
ネ ゴ シ エー ト す る 場合、ASA はサーバに設定 さ れてい る SASL メ カ ニ ズ ム の リ ス ト を取得 し て、
ASA と サーバの両方に設定 さ れてい る メ カ ニ ズ ム の う ち最 も 強力な認証 メ カ ニ ズ ム を設定 し ま
す。Kerberos メ カ ニ ズ ム は、Digest-MD5 メ カ ニ ズ ム よ り も 強力です。た と えば、LDAP サーバ と
ASA の両方で こ れ ら 2 つの メ カ ニ ズ ム がサポー ト さ れてい る 場合、ASA では、よ り 強力な
Kerberos メ カ ニ ズ ム が選択 さ れ ま す。
各 メ カ ニ ズ ム は独立 し て設定 さ れ る ため、SASL メ カ ニ ズ ム をデ ィ セーブルにす る には、デ ィ
セーブルにす る 各 メ カ ニ ズ ム に対 し て別々に no コ マ ン ド を入力す る 必要が あ り ま す。明示的に
デ ィ セーブルに し ない メ カ ニ ズ ム は引 き 続 き 有効です。た と えば、両方の SASL メ カ ニ ズ ム を
デ ィ セーブルにす る には、次の両方の コ マ ン ド を入力す る 必要が あ り ま す。
no sasl-mechanism digest-md5
no sasl-mechanism kerberos server-group-name
例
次に、AAA サーバ ホ ス ト コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で、名前が ldapsvr1、IP ア ド レ ス が
10.10.0.1 の LDAP サーバに対す る 認証のために SASL メ カ ニ ズ ム を イ ネーブルにす る 例 を示 し
ま す。こ の例では、SASL digest-md5 認証 メ カ ニ ズ ム が イ ネーブルに さ れてい ま す。
ciscoasa(config)# aaa-server ldapsvr1 protocol ldap
ciscoasa(config-aaa-server-group)# aaa-server ldapsvr1 host 10.10.0.1
ciscoasa(config-aaa-server-host)# sasl-mechanism digest-md5
次に、SASL Kerberos 認証 メ カ ニ ズ ム を イ ネーブルに し て、Kerberos AAA サーバ と し て
kerb-servr1 を指定す る 例を示 し ま す。
ciscoasa(config)# aaa-server ldapsvr1 protocol ldap
ciscoasa(config-aaa-server-group)# aaa-server ldapsvr1 host 10.10.0.1
ciscoasa(config-aaa-server-host)# sasl-mechanism kerberos kerbsvr1
関連 コ マ ン ド
コ マン ド
ldap-over-ssl
説明
server-type
LDAP サーバ ベン ダーに Microsoft ま たは Sun のいずれか
を指定 し ま す。
SSL が LDAP ク ラ イ ア ン ト と サーバの間の接続を保護す
る こ と を指定 し ま す。
ldap attribute-map（グ ロ ーバル
ユーザ定義の属性名を Cisco LDAP 属性名にマ ッ ピ ン グす
コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド ） る ために、LDAP 属性マ ッ プ を作成 し て名前を付け ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-5
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
sast
sast
CTL レ コ ー ド に作成す る SAST 証明書の数を指定す る には、CTL フ ァ イ ル コ ン フ ィ ギ ュ レ ー
シ ョ ン モー ド で sast コ マ ン ド を使用 し ま す。CTL フ ァ イ ル内の SAST 証明書の数をデ フ ォ ル ト
値の 2 に戻すには、こ の コ マ ン ド の no 形式を使用 し ま す。
sast number_sasts
no sast number_sasts
構文の説明
number_sasts
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
作成す る SAST キーの数を指定 し ま す。デ フ ォ ル ト 値は 2 です。指定で き
る 最大数は 5 です。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
CTL フ ァ イ ル コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
8.0(4)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
マルチ
—
—
•
Yes
コ ン テキス ト シ ス テム
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
CTL フ ァ イ ルは、System Administrator Security Token（SAST）に よ っ て署名 さ れ ま す。
電話プ ロ キ シは CTL フ ァ イ ル を生成す る ため、CTL フ ァ イ ル自体を署名す る ための SAST キー
を作成す る 必要が あ り ま す。こ の キーは、ASA で生成で き ま す。SAST は、自己署名証明書 と し て
作成 さ れ ま す。
通常、CTL フ ァ イ ルには複数の SAST が含 ま れてい ま す。あ る SAST が回復可能で ない場合は、後
で も う 1 つの SAST を使用 し て フ ァ イ ル を署名で き ま す。
次に、sast コ マ ン ド を使用 し て、CTL フ ァ イ ルに 5 つの SAST 証明書 を作成す る 例 を示 し ま す。
例
ciscoasa(config-ctl-file)# sast 5
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-6
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
sast
関連 コ マ ン ド
コ マン ド
説明
ctl-file（グ ロ ーバル）
電話プ ロ キ シ コ ン フ ィ ギ ュ レーシ ョ ン用に作成す る CTL フ ァ イ ル、ま た
は フ ラ ッ シ ュ メ モ リ か ら 解析す る ための CTL フ ァ イ ルを指定 し ま す。
ctl-file
（Phone-Proxy）
phone-proxy
電話プ ロ キ シ コ ン フ ィ ギ ュ レ ーシ ョ ン で使用す る CTL フ ァ イ ル を指定
し ま す。
電話プ ロ キ シ イ ン ス タ ン ス を設定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-7
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
scansafe
scansafe
コ ン テ キ ス ト に対 し て ク ラ ウ ド Web セ キ ュ リ テ ィ イ ン ス ペ ク シ ョ ン を イ ネーブルにす る には、
コ ン テ キ ス ト コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で scansafe コ マ ン ド を使用 し ま す。ク ラ ウ ド Web
セ キ ュ リ テ ィ をデ ィ セーブルにす る には、こ の コ マ ン ド の no 形式を使用 し ま す。
scansafe [license key]
no scansafe [license key]
構文の説明
license key
コ マン ド デフ ォル ト
デ フ ォ ル ト では、シ ス テ ム コ ン フ ィ ギ ュ レ ーシ ョ ン に入力 さ れた ラ イ セ ン ス が コ ン テ キ ス ト で
使用 さ れ ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
こ の コ ン テ キ ス ト の認証キーを入力 し ま す。キーを指定 し ない場合は、
シ ス テ ム コ ン フ ィ ギ ュ レ ーシ ョ ン で設定 さ れてい る ラ イ セ ン ス が こ
の コ ン テ キ ス ト で使用 さ れ ま す。ASA は、要求が ど の組織か ら の も の
か を示すために、認証キーを ク ラ ウ ド Web セ キ ュ リ テ ィ プ ロ キ シ
サーバに送信 し ま す。認証キーは 16 バ イ ト の 16 進数です。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
リ リ ース
9.0(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
マルチ コ ン テ キ ス ト モー ド では、コ ン テ キ ス ト ご と に ク ラ ウ ド Web セ キ ュ リ テ ィ を許可す る 必
要が あ り ま す。
例
次に、デ フ ォ ル ト の ラ イ セ ン ス を使用 し て コ ン テ キ ス ト 1 で ク ラ ウ ド Web セ キ ュ リ テ ィ を イ
ネーブルに し 、ラ イ セ ン ス キーの上書 き を使用 し て コ ン テ キ ス ト 2 で ク ラ ウ ド Web セ キ ュ リ
テ ィ を イ ネーブルにす る 設定の例を示 し ま す。
!System Context
!
scansafe general-options
server primary ip 180.24.0.62 port 8080
retry-count 5
license 366C1D3F5CE67D33D3E9ACEC265261E5
!
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-8
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
scansafe
context one
allocate-interface GigabitEthernet0/0.1
allocate-interface GigabitEthernet0/1.1
allocate-interface GigabitEthernet0/3.1
scansafe
config-url disk0:/one_ctx.cfg
!
context two
allocate-interface GigabitEthernet0/0.2
allocate-interface GigabitEthernet0/1.2
allocate-interface GigabitEthernet0/3.2
scansafe license 366C1D3F5CE67D33D3E9ACEC26789534
config-url disk0:/two_ctx.cfg
!
関連 コ マ ン ド
コ マン ド
説明
class-map type inspect ホ ワ イ ト リ ス ト に記載 さ れたユーザ と グループの イ ン ス ペ ク シ ョ ン
scansafe
ク ラ ス マ ッ プ を作成 し ま す。
default user group
ASA にア ク セ ス す る ユーザの ID を ASA が特定で き ない場合、デフ ォ
ル ト のユーザ名 ま たはグループ、あ る いはその両方を指定 し ま す。
http[s] (parameters)
イ ン ス ペ ク シ ョ ン ポ リ シー マ ッ プのサー ビ ス タ イ プ と し て HTTP ま
たは HTTPS を指定 し ま す。
inspect scansafe
ク ラ ス の ト ラ フ ィ ッ ク に対す る ク ラ ウ ド Web セ キ ュ リ テ ィ イ ン ス ペ
ク シ ョ ン を イ ネーブルに し ま す。
license
要求の送信元の組織を示すため、ASA が ク ラ ウ ド Web セ キ ュ リ テ ィ
プ ロ キ シ サーバに送信す る 認証キーを設定 し ま す。
match user group
ホ ワ イ ト リ ス ト のユーザ ま たはグループ を照合 し ま す。
policy-map type
inspect scansafe
イ ン ス ペ ク シ ョ ン ポ リ シー マ ッ プ を作成す る と 、ルールのために必要
なパ ラ メ ー タ を設定 し 、任意で ホ ワ イ ト リ ス ト を識別で き ま す。
retry-count
再試行回数値を入力 し ま す。こ の値は、アベ イ ラ ビ リ テ ィ を チ ェ ッ ク す
る ために、ク ラ ウ ド Web セ キ ュ リ テ ィ プ ロ キ シ サーバ を ポー リ ン グ
す る 前に ASA が待機す る 時間です。
scansafe
general-options
汎用 ク ラ ウ ド Web セ キ ュ リ テ ィ サーバ オプ シ ョ ン を設定 し ま す。
server {primary |
backup}
プ ラ イ マ リ ま たはバ ッ ク ア ッ プ ク ラ ウ ド Web セ キ ュ リ テ ィ プ ロ キ シ
サーバの完全修飾 ド メ イ ン名 ま たは IP ア ド レ ス を設定 し ま す。
show conn scansafe
大文字の Z フ ラ グ に示 さ れた よ う にすべての ク ラ ウ ド Web セ キ ュ リ
テ ィ 接続を表示 し ま す。
show scansafe server
サーバが現在のア ク テ ィ ブ サーバ、バ ッ ク ア ッ プ サーバ、ま たは到達
不能のいずれで あ る か、サーバの ス テー タ ス を表示 し ま す。
show scansafe statistics 合計 と 現在の HTTP 接続を表示 し ま す。
user-identity monitor AD エージ ェ ン ト か ら 指定 し たユーザ ま たはグループ情報を ダ ウ ン
ロ ー ド し ま す。
whitelist
ト ラ フ ィ ッ ク の ク ラ ス で ホ ワ イ ト リ ス ト ア ク シ ョ ン を実行 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-9
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
scansafe general-options
scansafe general-options
ク ラ ウ ド Web セ キ ュ リ テ ィ プ ロ キ シ サーバ と の通信を設定す る には、グ ロ ーバル コ ン フ ィ
ギ ュ レ ーシ ョ ン モー ド で scansafe general-options コ マ ン ド を使用 し ま す。サーバ コ ン フ ィ ギ ュ
レ ーシ ョ ン を削除す る には、こ の コ マ ン ド の no 形式を使用 し ま す。
scansafe general-options
no scansafe general-options
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
コ マン ド デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
リ リ ース
9.0(1)
•
ト ラ ン スペ
アレン ト
シ ン グル
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
ク ラ ウ ド Web セ キ ュ リ テ ィ のプ ラ イ マ リ プ ロ キ シ サーバ と バ ッ ク ア ッ プ プ ロ キ シ サーバ を設
定で き ま す。
例
次に、プ ラ イ マ リ サーバ を設定す る 例を示 し ま す。
scansafe general-options
server primary ip 180.24.0.62 port 8080
retry-count 5
license 366C1D3F5CE67D33D3E9ACEC265261E5
関連 コ マ ン ド
コ マン ド
説明
class-map type inspect ホ ワ イ ト リ ス ト に記載 さ れたユーザ と グループの イ ン ス ペ ク シ ョ ン
scansafe
ク ラ ス マ ッ プ を作成 し ま す。
default user group
ASA にア ク セ ス す る ユーザの ID を ASA が特定で き ない場合、デフ ォ
ル ト のユーザ名 ま たはグループ、あ る いはその両方を指定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-10
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
scansafe general-options
コ マン ド
http[s] (parameters)
説明
inspect scansafe
ク ラ ス の ト ラ フ ィ ッ ク に対す る ク ラ ウ ド Web セ キ ュ リ テ ィ イ ン ス ペ
ク シ ョ ン を イ ネーブルに し ま す。
license
要求の送信元の組織を示すため、ASA が ク ラ ウ ド Web セ キ ュ リ テ ィ
プ ロ キ シ サーバに送信す る 認証キーを設定 し ま す。
match user group
ホ ワ イ ト リ ス ト のユーザ ま たはグループ を照合 し ま す。
policy-map type
inspect scansafe
イ ン ス ペ ク シ ョ ン ポ リ シー マ ッ プ を作成す る と 、ルールのために必要
なパ ラ メ ー タ を設定 し 、任意で ホ ワ イ ト リ ス ト を識別で き ま す。
retry-count
再試行回数値を入力 し ま す。こ の値は、アベ イ ラ ビ リ テ ィ を チ ェ ッ ク す
る ために、ク ラ ウ ド Web セ キ ュ リ テ ィ プ ロ キ シ サーバ を ポー リ ン グ
す る 前に ASA が待機す る 時間です。
scansafe
マルチ コ ン テ キ ス ト モー ド では、コ ン テ キ ス ト ご と に ク ラ ウ ド Web
セ キ ュ リ テ ィ を許可 し ま す。
server {primary |
backup}
プ ラ イ マ リ ま たはバ ッ ク ア ッ プ ク ラ ウ ド Web セ キ ュ リ テ ィ プ ロ キ シ
サーバの完全修飾 ド メ イ ン名 ま たは IP ア ド レ ス を設定 し ま す。
show conn scansafe
大文字の Z フ ラ グ に示 さ れた よ う にすべての ク ラ ウ ド Web セ キ ュ リ
テ ィ 接続を表示 し ま す。
show scansafe server
サーバが現在のア ク テ ィ ブ サーバ、バ ッ ク ア ッ プ サーバ、ま たは到達
不能のいずれで あ る か、サーバの ス テー タ ス を表示 し ま す。
イ ン ス ペ ク シ ョ ン ポ リ シー マ ッ プのサー ビ ス タ イ プ と し て HTTP ま
たは HTTPS を指定 し ま す。
show scansafe statistics 合計 と 現在の HTTP 接続を表示 し ま す。
user-identity monitor AD エージ ェ ン ト か ら 指定 し たユーザ ま たはグループ情報を ダ ウ ン
ロ ー ド し ま す。
whitelist
ト ラ フ ィ ッ ク の ク ラ ス で ホ ワ イ ト リ ス ト ア ク シ ョ ン を実行 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-11
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
scep-enrollment enable
scep-enrollment enable
ト ン ネル グループの Simple Certificate Enrollment Protocol を イ ネーブル ま たはデ ィ セーブルに
す る には、ト ン ネル グループ一般属性モー ド で scep-enrollment enable コ マ ン ド を使用 し ま す。
こ の コ マ ン ド を コ ン フ ィ ギ ュ レ ーシ ョ ン か ら 削除す る には、こ の コ マ ン ド の no 形式を使用 し
ま す。
scep-enrollment enable
no scep-enrollment enable
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト では、こ の コ マ ン ド は ト ン ネル グループ コ ン フ ィ ギ ュ レ ーシ ョ ン に存在 し ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
ト ン ネル グループ一般属性
コ ン フ ィ ギ ュ レ ーシ ョ ン
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
8.4(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
マルチ
—
—
•
Yes
コ ン テキス ト シ ス テム
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
こ の機能がサポー ト さ れ る のは、リ リ ー ス 3.0 以降の Cisco AnyConnect Secure Mobility Client の
みです。
ASA は、AnyConnect と サー ド パーテ ィ 認証局の間の SCEP 要求のプ ロ キ シ と し て動作す る こ と
がで き ま す。認証局がプ ロ キ シ と し て動作す る 場合に必要なのは、ASA に ア ク セ ス 可能で あ る こ
と のみです。ASA の こ のサービ ス が機能す る には、ASA が登録要求を送信す る 前に、ユーザが
AAA でサポー ト さ れてい る いずれかの方法を使用 し て認証 さ れてい る 必要が あ り ま す。ま た、
ホ ス ト ス キ ャ ンお よ びダ イ ナ ミ ッ ク ア ク セ ス ポ リ シーを使用 し て、登録資格のルール を適用す
る こ と も で き ま す。
ASA では、AnyConnect SSL ま たは IKEv2 VPN セ ッ シ ョ ン でのみ こ の機能を サポー ト し てい ま
す。こ れは、IOS CS、Windows Server 2003 CA、お よ び Windows Server 2008 CA を含む、すべての
SCEP 準拠認証局を サポー ト し てい ま す。
ク ラ イ ア ン ト レ ス （ブ ラ ウ ザベー ス ）での ア ク セ ス は SCEP プ ロ キ シ を サポー ト し てい ま せんが、
WebLaunch（ ク ラ イ ア ン ト レ ス 起動 AnyConnect）はサポー ト し てい ま す。
ASA では、証明書のポー リ ン グはサポー ト し てい ま せん。
ASA は こ の機能に対す る ロ ー ド バ ラ ン シ ン グ を サポー ト し てい ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-12
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
scep-enrollment enable
例
次に、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で、remotegrp と い う リ モー ト ア ク セ ス ト ン ネ
ル グループ を作成 し 、グループ ポ リ シー用の SCEP を イ ネーブルにす る 例を示 し ま す。
ciscoasa(config)# tunnel-group remotegrp type remote-access
ciscoasa(config)# tunnel-group remotegrp general-attributes
ciscoasa(config-tunnel-general)# scep-enrollment enable
INFO: 'authentication aaa certificate' must be configured to complete setup of this
option.
関連 コ マ ン ド
コ マン ド
crypto ikev2 enable
説明
scep-forwarding-url
グループ ポ リ シー用の SCEP 認証局を登録 し ま す。
secondary-pre-fill-username
clientless
証明書が SCEP プ ロ キ シの WebLaunch のサポー ト に使用で き
ない場合は、共通のセ カ ン ダ リ パ ス ワ ー ド を使用 し ま す。
IPsec ピ ア が通信す る イ ン タ ー フ ェ イ ス で IKEv2 ネ ゴ シ エー
シ ョ ン を イ ネーブルに し ま す。
secondary-authentication-server- 証明書が使用で き ない と き にはユーザ名 を指定 し ま す。
group
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-13
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
scep-forwarding-url
scep-forwarding-url
グループ ポ リ シー用の SCEP 認証局を登録す る には、グループ ポ リ シー コ ン フ ィ ギ ュ レ ーシ ョ
ン モー ド で scep-forwarding-url コ マ ン ド を使用 し ま す。
こ の コ マ ン ド を コ ン フ ィ ギ ュ レ ーシ ョ ン か ら 削除す る には、こ の コ マ ン ド の no 形式を使用 し
ま す。
scep-forwarding-url {none | value [URL]}
no scep-forwarding-url
構文の説明
none
グループ ポ リ シーの認証局を指定 し ま せん。
URL
認証局の SCEP URL を指定 し ま す。
value
こ の機能を ク ラ イ ア ン ト レ ス 接続で イ ネーブルに し ま す。
デフ ォル ト
デ フ ォ ル ト では、こ の コ マ ン ド は存在 し ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
グループ ポ リ シー コ ン フ ィ
ギ ュ レ ーシ ョ ン
コ マ ン ド 履歴
リ リ ース
8.4(1)
•
Yes
—
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
こ の コ マ ン ド は、サー ド パーテ ィ のデジ タ ル証明書を サポー ト す る グループ ポ リ シーご と に 1
回入力 し ま す。
例
次に、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で、FirstGroup と い う 名前の グループ ポ リ シー
を作成 し 、グループ ポ リ シーの認証局を登録す る 例を示 し ま す。
ciscoasa(config)# group-policy FirstGroup internal
ciscoasa(config)# group-policy FirstGroup attributes
ciscoasa(config-group-policy)# scep-forwarding-url value http://ca.example.com:80/
Attempting to retrieve the CA/RA certificate(s) using the URL.Please wait ...
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-14
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
scep-forwarding-url
関連 コ マ ン ド
コ マン ド
crypto ikev2 enable
説明
scep-enrollment enable
ト ン ネル グループに対 し て Simple Certificate Enrollment
Protocol を イ ネーブルに し ま す。
secondary-pre-fill-username
clientless
証明書が SCEP プ ロ キ シの WebLaunch のサポー ト に使用で き
ない場合は、共通のセ カ ン ダ リ パ ス ワ ー ド を使用 し ま す。
IPsec ピ ア が通信す る イ ン タ ー フ ェ イ ス で IKEv2 ネ ゴ シ エー
シ ョ ン を イ ネーブルに し ま す。
secondary-authentication-server- 証明書が使用で き ない と き にはユーザ名 を指定 し ま す。
group
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-15
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
secondary
secondary
フ ェ ールオーバー グループにおいて、セ カ ン ダ リ ユニ ッ ト に対 し て よ り 高いプ ラ イ オ リ テ ィ を
付与す る には、フ ェ ールオーバー グループ コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で secondary コ マ ン
ド を使用 し ま す。デ フ ォ ル ト に戻す場合は、こ の コ マ ン ド の no 形式を入力 し ま す。
secondary
no secondary
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
フ ェ ールオーバー グループに primary ま たは secondary が指定 さ れていない場合は、フ ェ ール
オーバー グループはデ フ ォ ル ト で primary に設定 さ れ ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
フ ェ ールオーバー グループ
コ ン フ ィ ギ ュ レ ーシ ョ ン
コ マ ン ド 履歴
リ リ ース
7.0(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
—
マルチ
コ ン テキス ト シ ス テム
—
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
プ ラ イ マ リ ま たはセ カ ン ダ リ プ ラ イ オ リ テ ィ を フ ェ ールオーバー グループに割 り 当て る こ と に
よ っ て、両方のユニ ッ ト が同時（ユニ ッ ト のポー リ ン グ タ イ ム内）に起動 し た と き に フ ェ ールオー
バー グループがア ク テ ィ ブにな る ユニ ッ ト を指定 し ます。あ る ユニ ッ ト が も う 一方のユニ ッ ト よ
り も 先にブー ト し た場合、両方の フ ェ ールオーバー グループがそのユニ ッ ト で ア ク テ ィ ブにな り
ます。も う 一方のユニ ッ ト がオ ン ラ イ ン にな っ た と き 、2 番目のユニ ッ ト を プ ラ イ オ リ テ ィ の高い
ユニ ッ ト と し て所有す る フ ェ ールオーバー グループは、その フ ェ ールオーバー グループが
preempt コ マ ン ド で設定 さ れてい る か、no failover active コ マ ン ド を使用 し て手動で も う 一方の
ユニ ッ ト に強制 さ れない限 り 、2 番目のユニ ッ ト ではア ク テ ィ ブにな り ま せん。
例
次に、プ ラ イ マ リ ユニ ッ ト の フ ェ ールオーバー グループ 1 を よ り 高いプ ラ イ オ リ テ ィ に設定 し 、
セ カ ン ダ リ ユニ ッ ト の フ ェ ールオーバー グループ 2 を よ り 高いプ ラ イ オ リ テ ィ に設定す る 例を
示 し ま す。ど の フ ェ ールオーバー グループ も preempt コ マ ン ド を使用 し て設定 さ れてい る ため、
こ れ ら の グループは、優先す る ユニ ッ ト が使用可能にな っ た と き にそのユ ニ ッ ト 上で自動的に
ア ク テ ィ ブにな り ま す。
ciscoasa(config)# failover group 1
ciscoasa(config-fover-group)# primary
ciscoasa(config-fover-group)# preempt 100
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-16
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
secondary
ciscoasa(config-fover-group)# exit
ciscoasa(config)# failover group 2
ciscoasa(config-fover-group)# secondary
ciscoasa(config-fover-group)# preempt 100
ciscoasa(config-fover-group)# mac-address e1 0000.a000.a011 0000.a000.a012
ciscoasa(config-fover-group)# exit
ciscoasa(config)#
関連 コ マ ン ド
コ マン ド
failover group
説明
preempt
優先す る ユ ニ ッ ト が使用可能にな っ た と き に、フ ェ ールオーバー グ
ループ を そのユ ニ ッ ト 上で強制的にア ク テ ィ ブに し ま す。
primary
プ ラ イ マ リ ユ ニ ッ ト に、セ カ ン ダ リ ユ ニ ッ ト よ り も 高いプ ラ イ オ リ
テ ィ を付与 し ま す。
Active/Active フ ェ ールオーバーのための フ ェ ールオーバー グループ
を定義 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-17
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
secondary-authentication-server-group
secondary-authentication-server-group
二重認証が イ ネーブルの場合にセ ッ シ ョ ン に関連付け る セ カ ン ダ リ 認証サーバ グループ を指定
す る には、ト ン ネル グループ一般属性モー ド で secondary-authentication-server-group コ マ ン ド
を使用 し ま す。コ ン フ ィ ギ ュ レ ーシ ョ ン か ら 属性を削除す る には、こ の コ マ ン ド の no 形式を使
用 し ま す。
secondary-authentication-server-group [interface_name] {none | LOCAL | groupname
[LOCAL]} [use-primary-username]}
no secondary-authentication-server-group
構文の説明
interface_name
デフ ォル ト
デ フ ォ ル ト 値は none です。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
（オプシ ョ ン）IPsec ト ン ネルが終端す る イ ン タ ー フ ェ イ ス を指定 し ま
す。
LOCAL
（オプシ ョ ン）通信障害に よ り サーバ グループに あ る すべてのサーバ
が非ア ク テ ィ ブにな っ た場合に、ロ ーカル ユーザ デー タ ベー ス に対
す る 認証を要求 し ま す。サーバ グループ名が LOCAL ま たは NONE
の場合、こ こ では LOCAL キー ワ ー ド を使用 し ないで く だ さ い。
none
（オプシ ョ ン）サーバ グループ名を NONE と 指定 し て、認証が不要で
あ る こ と を示 し ま す。
groupname [LOCAL]
事前に設定済みの認証サーバ ま たはサーバ グループ を指定 し ま す。
LOCAL グループ を指定す る こ と も で き ま す。
use-primary-username プ ラ イ マ リ ユーザ名を セ カ ン ダ リ 認証のユーザ名 と し て使用 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ト ン ネル グループ一般属性
コ ン フ ィ ギ ュ レ ーシ ョ ン
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
• Yes
—
• Yes
マルチ
コ ン テキス ト シ ス テム
—
—
コ マ ン ド 履歴
リ リ ース
8.2(1)
使用上のガイ ド ラ イ ン
こ の コ マ ン ド は、二重認証が イ ネーブルにな っ てい る 場合に限 り 有効です。
secondary-authentication-server-group コ マ ン ド は、セ カ ン ダ リ AAA サーバ グループ を指定 し
ま す。SDI サーバ グループはセ カ ン ダ リ サーバ グループにで き ま せん。
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
use-primary-username キー ワ ー ド が設定 さ れてい る 場合は、ロ グ イ ン ダ イ ア ロ グ ボ ッ ク ス で 1 つ
のユーザ名のみが要求 さ れ ます。
ユーザ名がデジ タ ル証明書か ら 抽出 さ れ る 場合は、プ ラ イ マ リ ユーザ名だけが認証に使用 さ れ
ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-18
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
secondary-authentication-server-group
例
次に、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で、remotegrp と い う 名前の リ モー ト ア ク セ ス
ト ン ネル グループ を作成 し て、接続のプ ラ イ マ リ サーバ グループ と し て グループ sdi_server の
使用を指定 し 、セ カ ン ダ リ 認証サーバ グループ と し て グループ ldap_server を指定す る 例を示 し
ま す。
ciscoasa(config)# tunnel-group remotegrp type remote-access
ciscoasa(config)# tunnel-group remotegrp general-attributes
ciscoasa(config-tunnel-webvpn)# authentication-server-group sdi_server
ciscoasa(config-tunnel-webvpn)# secondary-authentication-server-group ldap_server
ciscoasa(config-tunnel-webvpn)#
関連 コ マ ン ド
コ マン ド
pre-fill-username
説明
show running-config
tunnel-group
指定 さ れた ト ン ネル グループ コ ン フ ィ ギ ュ レ ーシ ョ ン を表示 し
ま す。
tunnel-group
general-attributes
名前付 き の ト ン ネル グループの一般属性を指定 し ま す。
username-from-certificate
認可時のユーザ名 と し て使用す る 証明書内の フ ィ ール ド を指定 し
ま す。
ユーザ名の事前充填機能を イ ネーブルに し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-19
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
secondary-color
secondary-color
WebVPN ロ グ イ ン、ホームページ、お よ び フ ァ イ ル ア ク セ ス ページのセ カ ン ダ リ カ ラ ーを設定
す る には、webvpn コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で secondary-color コ マ ン ド を使用 し ま す。色
を コ ン フ ィ ギ ュ レ ーシ ョ ン か ら 削除 し て、デ フ ォ ル ト に リ セ ッ ト す る には、こ の コ マ ン ド の no
形式を使用 し ま す。
secondary-color [color]
no secondary-color
構文の説明
color
（オプシ ョ ン）色を指定 し ま す。カ ン マ区切 り の RGB 値、HTML の色
値、ま たは色の名前（HTML で認識 さ れ る 場合）を使用で き ま す。
•
RGB 形式は 0,0,0 で、各色（赤、緑、青）を 0 ～ 255 の範囲の 10 進値
で入力 し ま す。こ の カ ン マ区切 り のエ ン ト リ は、他の 2 色 と 組み合
わせ る 各色の明度 レ ベル を示 し ま す。
•
HTML 形式は #000000 で、16 進形式の 6 桁の数値です。先頭 と 2 番目は赤を、3 番目 と 4 番目は緑を、5 番目 と 6 番目は青を表 し て
い ま す。
•
名前の最大長は 32 文字です。
デフ ォル ト
デ フ ォ ル ト のセ カ ン ダ リ カ ラ ーは HTML の #CCCCFF（薄紫色）です。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
webvpn コ ン フ ィ ギ ュ レ ー
ション
コ マ ン ド 履歴
リ リ ース
7.0(1)
•
Yes
•
Yes
—
マルチ
コ ン テキス ト シ ス テム
—
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
使用に推奨 さ れ る RGB 値の数は 216 個です。こ れは、数学的に あ り 得 る 数 よ り は る かに少ない
も のです。多 く のデ ィ ス プ レ イ は 256 色 し か処理で き ず、その う ちの 40 色は MAC と PC と では
異な っ た表示にな り ま す。最適な結果を得 る ために、公開 さ れてい る RGB テーブル を チ ェ ッ ク
し て く だ さ い。RGB テーブル を オ ン ラ イ ン で検索す る には、検索エ ン ジ ン で RGB と 入力 し ま す。
例
次に、HTML の色値 #5F9EAO（灰青色）を設定す る 例を示 し ま す。
ciscoasa(config)# webvpn
ciscoasa(config-webvpn)# secondary-color #5F9EAO
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-20
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
secondary-color
関連 コ マ ン ド
コ マン ド
title-color
説明
ロ グ イ ン ページ、ホームページ、お よ び フ ァ イ ル ア ク セ ス ページの
WebVPN タ イ ト ル バーの色を設定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-21
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
secondary-pre-fill-username
secondary-pre-fill-username
ク ラ イ ア ン ト レ ス ま たは AnyConnect 接続の二重認証で使用す る ク ラ イ ア ン ト 証明書か ら ユー
ザ名を抽出で き る よ う にす る には、ト ン ネル グループ webvpn 属性モー ド で
secondary-pre-fill-username コ マ ン ド を使用 し ま す。コ ン フ ィ ギ ュ レ ーシ ョ ン か ら 属性を削除す
る には、こ の コ マ ン ド の no 形式 を使用 し ま す。
secondary-pre-fill-username {clientless | ssl-client} [hide]
secondary-pre-fill-username {clientless | ssl-client} hide [use-primary-password |
use-common-password [type_num] password]
no secondary-no pre-fill-username
構文の説明
clientless
こ の機能を ク ラ イ ア ン ト レ ス 接続で イ ネーブルに し ま す。
hide
認証に使用す る ユーザ名を VPN ユーザに非表示に し ま す。
password
パ ス ワ ー ド ス ト リ ン グ を入力 し ま す。
ssl-client
こ の機能を AnyConnect VPN ク ラ イ ア ン ト 接続で イ ネーブルに し ます。
type_num
次のいずれかのオプシ ョ ン を入力 し ま す。
•
入力す る パ ス ワ ー ド がプ レ ーン テ キ ス ト の場合は 0。
•
入力す る パ ス ワ ー ド が暗号化 さ れてい る 場合は 8。パ ス ワ ー ド は、
入力時に ア ス タ リ ス ク で表示 さ れ ま す。
use-common-password ユーザにプ ロ ン プ ト を表示せずに、使用す る 共通の 2 次認証パ ス ワ ー
ド を指定 し ま す。
use-primary-password ユーザにプ ロ ン プ ト を表示せずに、2 次認証に 1 次認証パ ス ワ ー ド を
再使用 し ま す。
デフ ォル ト
こ の機能は、デ フ ォ ル ト でデ ィ セーブルにな っ てい ま す。hide キー ワ ー ド を指定せずに こ の コ マ
ン ド を入力す る と 、抽出 し たユーザ名が VPN ユーザに表示 さ れ ま す。use-primary-password と
use-common-password のいずれの キー ワ ー ド も 指定 し ない と 、ユーザにはパ ス ワ ー ド プ ロ ン プ
ト が表示 さ れ ま す。type_num のデ フ ォ ル ト 値は 8 です。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
ト ン ネル グループ webvpn 属 • Yes
性 コ ン フ ィ ギ ュ レ ーシ ョ ン
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-22
ト ラ ン スペ
アレン ト
シ ン グル
マルチ
—
—
•
Yes
コ ン テキス ト シ ス テム
—
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
secondary-pre-fill-username
コ マ ン ド 履歴
リ リ ース
8.2(1)
8.3(2)
使用上のガイ ド ラ イ ン
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
[use-primary-password | use-common-password [type_num] password]
が コ マ ン ド に追加 さ れ ま し た。
こ の機能を イ ネーブルにす る には、ト ン ネル グループ一般属性モー ド で
secondary-username-from-certificate コ マ ン ド を入力す る 必要 も あ り ま す。
こ の コ マ ン ド は、二重認証が イ ネーブルにな っ てい る 場合に限 り 有効です。
secondary-pre-fill-username コ マ ン ド は、secondary-username-from-certificate コ マ ン ド で指定
さ れた証明書 フ ィ ール ド か ら 抽出 さ れたユーザ名を、セ カ ン ダ リ ユーザ名 ま たはパ ス ワ ー ド 認
証のユーザ名 と し て使用で き る よ う に し ま す。2 回目の認証で証明書か ら のユーザ名の事前充填
機能を使用す る には、両方の コ マ ン ド を設定す る 必要が あ り ま す。
（注）
ク ラ イ ア ン ト レ ス接続 と SSL ク ラ イ ア ン ト 接続は、相互排他的なオプシ ョ ン ではあ り ません。1 つ
の コ マ ン ド ラ イ ン で指定で き る のはいずれか 1 つのみですが、同時に両方を イ ネーブルにで き
ま す。
2 番目の名を非表示に し て、プ ラ イ マ リ ま たは共通のパ ス ワ ー ド を使用す る 場合は、ユーザ体験
は単一認証 と 似てい ま す。プ ラ イ マ リ ま たは共通のパ ス ワ ー ド を使用す る と 、デバ イ ス 証明書を
使用 し たデバ イ ス の認証がシーム レ ス な ユーザ体験にな り ま す。
use-primary-password キー ワ ー ド は、すべての認証のセ カ ン ダ リ パ ス ワ ー ド と し て プ ラ イ マ リ
パ ス ワ ー ド を使用す る こ と を指定 し ま す。
use-common-password キー ワ ー ド は、すべての 2 次認証に共通のセ カ ン ダ リ パ ス ワ ー ド を使用
す る こ と を指定 し ま す。エ ン ド ポ イ ン ト に イ ン ス ト ール さ れてい る デバ イ ス 証明書に BIOS ID
ま たはその他の ID が含 ま れてい る 場合は、2 次認証要求では、事前に入力 さ れた BIOS ID を セ カ
ン ダ リ ユーザ名 と し て使用 し て、その ト ン ネル グループでのすべての認証に対 し て設定 さ れた
共通のパ ス ワ ー ド を使用で き ま す。
例
次の例では、remotegrp と い う 名前の IPsec リ モー ト ア ク セ ス ト ン ネル グループ を作成 し て、接
続がブ ラ ウ ザベー ス で あ る 場合に、エ ン ド ポ イ ン ト のデジ タ ル証明書の名前を、認証 ま たは認可
ク エ リ ーに使用す る 名前 と し て再使用す る こ と を指定 し ま す。
ciscoasa(config)# tunnel-group remotegrp type ipsec_ra
ciscoasa(config)# tunnel-group remotegrp webvpn-attributes
ciscoasa(config-tunnel-webvpn)# secondary-pre-fill-username clientless
次の例では、前の コ マ ン ド と 同 じ 機能を実行 し ま すが、抽出 さ れたユーザ名を ユーザに非表示に
し ま す。
ciscoasa(config-tunnel-webvpn)# secondary-pre-fill-username clientless hide
次の例では、AnyConnect 接続だけに適用 さ れ る 点を除い て、前の コ マ ン ド と 同 じ 機能を実行 し
ま す。
ciscoasa(config-tunnel-webvpn)# secondary-pre-fill-username ssl-client hide
次の例では、ユーザ名を非表示に し て、ユーザにプ ロ ン プ ト を表示せずに、2 次認証に 1 次認証パ
ス ワ ー ド を再使用 し ま す。
ciscoasa(config-tunnel-webvpn)# secondary-pre-fill-username ssl-client hide
use-primary-password
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-23
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
secondary-pre-fill-username
次の例では、ユーザ名を非表示に し て、入力す る パ ス ワ ー ド を 2 次認証に使用 し ま す。
ciscoasa(config-tunnel-webvpn)# secondary-pre-fill-username ssl-client hide
use-common-password **********
関連 コ マ ン ド
コ マン ド
pre-fill-username
説明
show running-config
tunnel-group
指定 さ れた ト ン ネル グループ コ ン フ ィ ギ ュ レ ーシ ョ ン を表示 し
ま す。
tunnel-group
general-attributes
名前付 き の ト ン ネル グループの一般属性を指定 し ま す。
username-from-certificate
認可時のユーザ名 と し て使用す る 証明書内の フ ィ ール ド を指定 し
ま す。
ユーザ名の事前充填機能を イ ネーブルに し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-24
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
secondary-text-color
secondary-text-color
WebVPN ロ グ イ ン、ホームページ、お よ び フ ァ イ ル ア ク セ ス ページのテ キ ス ト のセ カ ン ダ リ テ
キ ス ト カ ラ ーを設定す る には、webvpn モー ド で secondary-text-color コ マ ン ド を使用 し ま す。色
を コ ン フ ィ ギ ュ レ ーシ ョ ン か ら 削除 し て、デ フ ォ ル ト に リ セ ッ ト す る には、こ の コ マ ン ド の no
形式を使用 し ま す。
secondary-text-color [black | white]
no secondary-text-color
構文の説明
auto
text-color コ マ ン ド の設定に基づいて、黒 ま たは白が選択 さ れ ま す。つ
ま り 、プ ラ イ マ リ カ ラ ーが黒の場合、こ の値は白にな り ま す。
black
デ フ ォ ル ト のセ カ ン ダ リ テ キ ス ト カ ラ ーは黒です。
white
テ キ ス ト の色を白に変更で き ま す。
デフ ォル ト
デ フ ォ ル ト のセ カ ン ダ リ テ キ ス ト カ ラ ーは黒です。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
webvpn
コ マ ン ド 履歴
例
リ リ ース
7.0(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
マルチ
—
—
•
Yes
コ ン テキス ト シ ス テム
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、セ カ ン ダ リ テ キ ス ト カ ラ ーを白に設定す る 例を示 し ま す。
ciscoasa(config)# webvpn
ciscoasa(config-webvpn)# secondary-text-color white
関連 コ マ ン ド
コ マン ド
text-color
説明
ロ グ イ ン ページ、ホームページ、お よ び フ ァ イ ル ア ク セ ス ページの
WebVPN タ イ ト ル バーのテ キ ス ト の色を設定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-25
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
secondary-username-from-certificate
secondary-username-from-certificate
ク ラ イ ア ン ト レ ス 接続 ま たは AnyConnect（SSL ク ラ イ ア ン ト ）接続におい て、二重認証の 2 つ目
のユーザ名 と し て使用す る 証明書の フ ィ ール ド を指定す る には、ト ン ネル グループ一般属性
モー ド で secondary-username-from-certificate コ マ ン ド を使用 し ま す。
属性を コ ン フ ィ ギ ュ レ ーシ ョ ン か ら 削除 し てデ フ ォ ル ト 値に戻すには、こ の コ マ ン ド の no 形式
を使用 し ま す。
secondary-username-from-certificate {primary-attr [secondary-attr] | use-entire-name |
use-script}
no secondary-username-from-certificate
構文の説明
primary-attr
証明書か ら 認可 ク エ リ ーのユーザ名を取得す る ために使用す る 属性
を指定 し ま す。pre-fill-username が イ ネーブルにな っ てい る 場合、取得
さ れた名前は認証 ク エ リ ーで も 使用で き ま す。
secondary-attr
（オプシ ョ ン）デジ タ ル証明書か ら 認証 ま たは認可 ク エ リ ーのユーザ
名を取得す る ためにプ ラ イ マ リ 属性 と と も に使用す る 追加の属性 を
指定 し ま す。pre-fill-username が イ ネーブルにな っ てい る 場合、取得 さ
れた名前は認証 ク エ リ ーで も 使用で き ま す。
use-entire-name
ASA では、完全なサブ ジ ェ ク ト DN（RFC1779）を使用 し て、デジ タ ル
証明書か ら 認可 ク エ リ ーの名前を取得す る 必要が あ る こ と を指定 し
ま す。
use-script
ASDM に よ っ て生成 さ れた ス ク リ プ ト フ ァ イ ル を使用 し て、ユーザ
名 と し て使用す る DN フ ィ ール ド を証明書か ら 抽出す る こ と を指定
し ま す。
デフ ォル ト
こ の機能はデ フ ォ ル ト でデ ィ セーブルで あ り 、二重認証が イ ネーブルの場合にのみ有効です。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
ト ン ネル グループ一般属性
コ ン フ ィ ギ ュ レ ーシ ョ ン
コ マ ン ド 履歴
リ リ ース
8.2(1)
•
マルチ
—
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-26
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
コ ン テキス ト シ ス テム
—
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
secondary-username-from-certificate
使用上のガイ ド ラ イ ン
こ の コ マ ン ド は、二重認証が イ ネーブルにな っ てい る 場合に限 り 有効です。
二重認証が イ ネーブルの場合、 こ の コ マ ン ド では、証明書の 1 つ以上の フ ィ ール ド がユーザ名 と
し て使用す る フ ィ ール ド と し て選択 さ れ ま す。secondary-username-from-certificate コ マ ン ド
は、セ キ ュ リ テ ィ ア プ ラ イ ア ン ス に、指定 し た証明書 フ ィ ール ド を 2 回目のユーザ名/パ ス ワ ー
ド 認証のための 2 つ目のユーザ名 と し て使用す る よ う に強制 し ま す。
2 回目のユーザ名/パ ス ワ ー ド 認証 ま たは認可のために、証明書か ら のユーザ名の事前充填機能
で、取得 さ れたユーザ名を使用す る には、ト ン ネル グループ webvpn 属性モー ド で
pre-fill-username コ マ ン ド お よ び secondary-pre-fill-username コ マ ン ド も 設定す る 必要が あ り
ま す。つ ま り 、2 回目のユーザ名の事前充填機能を使用す る には、両方の コ マ ン ド を設定す る 必要
が あ り ま す。
プ ラ イ マ リ 属性お よ びセ カ ン ダ リ 属性の有効値は、次の と お り です。
（注）
属性
C
定義
CN
Common Name（一般名）：人、シ ス テ ム、その他のエ ン テ ィ テ ィ の名前。
セ カ ン ダ リ 属性 と し ては使用で き ま せん。
DNQ
ド メ イ ン名修飾子。
EA
E-mail Address（電子 メ ール ア ド レ ス ）。
GENQ
Generational Qualifier（世代修飾子）。
GN
Given Name（名）。
I
Initials（ イ ニ シ ャ ル）。
L
Locality（地名）：組織が置かれてい る 市 ま たは町。
N
Name（名前）
O
Organization（組織）：会社、団体、機関、連合、その他のエ ン テ ィ テ ィ の
名前。
OU
Organizational Unit（組織ユ ニ ッ ト ）：組織（O）内のサブ グループ。
SER
Serial Number（シ リ アル番号）。
SN
Surname（姓）。
SP
State/Province（州 ま たは都道府県）：組織が置かれてい る 州 ま たは都道
府県。
T
Title（ タ イ ト ル）。
UID
User Identifier（ユーザ ID）。
UPN
User Principal Name（ユーザ プ リ ン シパル名）。
use-entire-name
DN 名全体 を使用 し ま す。セ カ ン ダ リ 属性 と し ては使用で き ま せん。
use-script
ASDM に よ っ て生成 さ れた ス ク リ プ ト フ ァ イ ル を使用 し ま す。
Country（国名）：2 文字の国名略語。国名 コ ー ド は、ISO 3166 国名略語に
準拠 し てい ま す。
secondary-authentication-server-group コ マ ン ド を secondary-username-from-certificate コ マ ン
ド と と も に指定 し た場合は、プ ラ イ マ リ ユーザ名のみが認証に使用 さ れ ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-27
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
secondary-username-from-certificate
例
次に、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で、remotegrp と い う 名前の リ モー ト ア ク セ ス
ト ン ネル グループ を作成 し 、プ ラ イ マ リ 属性 と し て CN（一般名）、セ カ ン ダ リ 属性 と し て OU を
使用 し て、デジ タ ル証明書か ら 認可 ク エ リ ーの名前を取得す る よ う に指定す る 例を示 し ま す。
ciscoasa(config)# tunnel-group remotegrp type remote-access
ciscoasa(config)# tunnel-group remotegrp general-attributes
ciscoasa(config-tunnel-general)# username-from-certificate CN
ciscoasa(config-tunnel-general)# secondary-username-from-certificate OU
ciscoasa(config-tunnel-general)#
次に、ト ン ネル グループ属性を変更 し て ユーザ名の事前充填を設定す る 例を示 し ま す。
username-from-certificate {use-entire-name | use-script | <primary-attr>} [secondary-attr]
secondary-username-from-certificate {use-entire-name | use-script | <primary-attr>}
[secondary-attr] ; used only for double-authentication
関連 コ マ ン ド
コ マン ド
pre-fill-username
説明
secondary-pre-fill-username
ク ラ イ ア ン ト レ ス 接続 ま たは AnyConnect ク ラ イ ア ン ト 接続
におい て、ユーザ名抽出を イ ネーブルに し ま す。
username-from-certificate
認可時のユーザ名 と し て使用す る 証明書内の フ ィ ール ド を
指定 し ま す。
show running-config
tunnel-group
指定 さ れた ト ン ネル グループ コ ン フ ィ ギ ュ レ ーシ ョ ン を表
示 し ま す。
secondary-authentication-servergroup
セ カ ン ダ リ AAA サーバ グループ を指定 し ま す。ユーザ名が
デジ タ ル証明書か ら 抽出 さ れ る 場合は、プ ラ イ マ リ ユーザ
名だけが認証に使用 さ れ ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-28
ユーザ名の事前充填機能を イ ネーブルに し ま す。
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
secure-unit-authentication
secure-unit-authentication
セ キ ュ ア ユニ ッ ト 認証を イ ネーブルにす る には、グループ ポ リ シー コ ン フ ィ ギ ュ レ ーシ ョ ン
モー ド で secure-unit-authentication enable コ マ ン ド を使用 し ま す。セ キ ュ ア ユニ ッ ト 認証を
デ ィ セーブルにす る には、secure-unit-authentication disable コ マ ン ド を使用 し ま す。実行 コ ン
フ ィ ギ ュ レ ーシ ョ ン か ら セ キ ュ ア ユ ニ ッ ト 認証属性を削除す る には、こ の コ マ ン ド の no 形式を
使用 し ま す。
secure-unit-authentication {enable | disable}
no secure-unit-authentication
構文の説明
disable
セ キ ュ ア ユ ニ ッ ト 認証をデ ィ セーブルに し ま す。
enable
セ キ ュ ア ユ ニ ッ ト 認証を イ ネーブルに し ま す。
デフ ォル ト
セ キ ュ ア ユニ ッ ト 認証はデ ィ セーブルです。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
グループ ポ リ シー コ ン フ ィ
ギ ュ レ ーシ ョ ン
コ マ ン ド 履歴
リ リ ース
7.0(1)
使用上のガイ ド ラ イ ン
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
マルチ
—
—
•
Yes
コ ン テキス ト シ ス テム
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
セ キ ュ ア ユニ ッ ト 認証では、ハー ド ウ ェ ア ク ラ イ ア ン ト が使用す る ト ン ネル グループに認証
サーバ グループが設定 さ れてい る 必要が あ り ま す。
プ ラ イ マ リ ASA でセ キ ュ ア ユ ニ ッ ト 認証が必要な場合は、必ず、ど のバ ッ ク ア ッ プ サーバに対
し て も 同様にセ キ ュ ア ユニ ッ ト 認証を設定 し て く だ さ い。
no オプ シ ョ ン を指定す る と 、他の グループ ポ リ シーか ら セ キ ュ ア ユニ ッ ト 認証の値を継承で き
ま す。
セ キ ュ ア ユニ ッ ト 認証では、VPN ハー ド ウ ェ ア ク ラ イ ア ン ト が ト ン ネル を開始す る たびに ク ラ
イ ア ン ト に対 し て ユーザ名/パ ス ワ ー ド 認証を要求す る こ と に よ っ て、セ キ ュ リ テ ィ が強化 さ れ
ま す。こ の機能を イ ネーブルにす る と 、ハー ド ウ ェ ア ク ラ イ ア ン ト ではユーザ名 と パ ス ワ ー ド が
保存 さ れ ま せん。
（注）
こ の機能を イ ネーブルに し た場合に VPN ト ン ネル を確立す る には、ユーザがユーザ名 と パ ス
ワ ー ド を入力す る 必要が あ り ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-29
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
secure-unit-authentication
例
次に、FirstGroup と い う 名前の グループ ポ リ シーに対 し て、セ キ ュ ア ユ ニ ッ ト 認証を イ ネーブル
にす る 例を示 し ま す。
ciscoasa(config)# group-policy FirstGroup attributes
ciscoasa(config-group-policy)# secure-unit-authentication enable
関連 コ マ ン ド
コ マン ド
ip-phone-bypass
説明
leap-bypass
イ ネーブルの場合、VPN ハー ド ウ ェ ア ク ラ イ ア ン ト の背後に
あ る 無線デバ イ ス か ら の LEAP パケ ッ ト がユーザ認証の前に
VPN ト ン ネル を通過で き ま す。こ れに よ り 、シ ス コ ワ イ ヤ レ
ス ア ク セ ス ポ イ ン ト デバ イ ス を使用す る ワ ー ク ス テーシ ョ
ン で LEAP 認証を確立で き る よ う にな り ま す。その後、ユーザ
認証ご と に再度認証を行い ま す。
user-authentication
ハー ド ウ ェ ア ク ラ イ ア ン ト の背後にい る ユーザに対 し て、接
続前に ASA に識別情報 を示す よ う に要求 し ま す。
ユーザ認証を行わずに IP 電話に接続で き る よ う に し ま す。セ
キ ュ ア ユ ニ ッ ト 認証は有効な ま ま です。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-30
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
security-group
security-group
Cisco TrustSec で使用で き る よ う にセ キ ュ リ テ ィ グループ を セ キ ュ リ テ ィ オブジ ェ ク ト グルー
プに追加す る には、オブジ ェ ク ト グループ セ キ ュ リ テ ィ コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で
security-group コ マ ン ド を使用 し ま す。セ キ ュ リ テ ィ グループ を削除す る には、こ の コ マ ン ド の
no 形式 を使用 し ま す。
security-group {tag sgt# | name sg_name}
no security-group {tag sgt# | name sg_name}
構文の説明
tag sgt#
セ キ ュ リ テ ィ グループ オブジ ェ ク ト を イ ン ラ イ ン タ グ と し て指定 し
ま す。セ キ ュ リ テ ィ タ イ プが タ グ の場合は、1 ～ 65533 の数字を入力 し
ま す。
SGT は、ISE に よ る IEEE 802.1X 認証、Web 認証、ま たは MAC 認証バ イ
パ ス （MAB）を通 し てデバ イ ス に割 り 当て ら れ ま す。セ キ ュ リ テ ィ グ
ループの名前は ISE 上で作成 さ れ、セ キ ュ リ テ ィ グループ を わか り や
すい名前で識別で き る よ う にな り ま す。セ キ ュ リ テ ィ グループ テーブ
ルに よ っ て、SGT がセ キ ュ リ テ ィ グループ名にマ ッ ピ ン グ さ れ ま す。
name sg_name
セ キ ュ リ テ ィ グループ オブジ ェ ク ト を名前付 き オブ ジ ェ ク ト と し て
指定 し ま す。セ キ ュ リ テ ィ タ イ プが名前の場合は、32 バ イ ト の文字列
を、大文字 と 小文字を区別 し て入力 し ま す。sg_name には、[a-z]、[A-Z]、
[0-9]、[!@#$%^&()-_{}.] な ど 、あ ら ゆ る 文字 を使用で き ま す。
コ マン ド デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
オブジ ェ ク ト グループ セ
キュ リ テ ィ コンフ ィ ギュ
レ ーシ ョ ン
コ マ ン ド 履歴
リ リ ース
9.0(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-31
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
security-group
使用上のガイ ド ラ イ ン
作成 し た セ キ ュ リ テ ィ グループ オブ ジ ェ ク ト グループは、Cisco TrustSec を サポー ト す る 機能
で使用で き ま す。その グループ を拡張 ACL に入れ る と 、た と えばア ク セ ス ルールで使用で き る
よ う にな り ま す。
Cisco TrustSec と 統合 さ れてい る と き は、ASA は ISE か ら セ キ ュ リ テ ィ グループの情報を ダ ウ ン
ロ ー ド し ま す。ISE はア イ デン テ ィ テ ィ リ ポ ジ ト リ と し て も 動作 し 、Cisco TrustSec タ グ か ら ユー
ザ ア イ デン テ ィ テ ィ へのマ ッ ピ ン グ と 、Cisco TrustSec タ グ か ら サーバ リ ソ ー ス へのマ ッ ピ ン グ
を行い ま す。セ キ ュ リ テ ィ グループ ア ク セ ス リ ス ト のプ ロ ビ ジ ョ ニ ン グお よ び管理は、中央集
中型で ISE 上で行い ま す。
ただ し 、ASA には、グ ロ ーバルには定義 さ れていない、ロ ーカ ラ イ ズ さ れた ネ ッ ト ワ ー ク リ ソ ー
ス が存在す る こ と が あ り 、その よ う な リ ソ ー ス には ロ ーカル セ キ ュ リ テ ィ グループ と ロ ーカ ラ
イ ズ さ れた セ キ ュ リ テ ィ ポ リ シーが必要です。ロ ーカル セ キ ュ リ テ ィ グループには、ISE か ら ダ
ウ ン ロ ー ド さ れた、ネ ス ト さ れた セ キ ュ リ テ ィ グループ を含め る こ と がで き ま す。ASA は、ロ ー
カル と 中央のセ キ ュ リ テ ィ グループ を統合 し ま す。
ASA 上で ロ ーカル セ キ ュ リ テ ィ グループ を作成す る には、ロ ーカル セ キ ュ リ テ ィ オブジ ェ ク
ト グループ を作成 し ま す。1 つの ロ ーカル セ キ ュ リ テ ィ オブ ジ ェ ク ト グループに、1 つ以上のネ
ス ト さ れた セ キ ュ リ テ ィ オブ ジ ェ ク ト グループ ま たはセ キ ュ リ テ ィ ID ま たはセ キ ュ リ テ ィ グ
ループ名を入れ る こ と がで き ま す。ユーザは、ASA 上に存在 し ない新 し いセ キ ュ リ テ ィ ID ま た
はセ キ ュ リ テ ィ グループ名を作成す る こ と も で き ま す。
ASA 上で作成 し た セ キ ュ リ テ ィ オブジ ェ ク ト グループは、ネ ッ ト ワ ー ク リ ソ ー ス への ア ク セ ス
の制御に使用で き ま す。セ キ ュ リ テ ィ オブジ ェ ク ト グループ を、ア ク セ ス グループやサービ ス
ポ リ シーの一部 と し て使用で き ま す。
例
次に、セ キ ュ リ テ ィ グループ オブ ジ ェ ク ト を設定す る 例を示 し ま す。
ciscoasa(config)# object-group security mktg-sg
ciscoasa(config)# security-group name mktg
ciscoasa(config)# security-group tag 1
次に、セ キ ュ リ テ ィ グループ オブ ジ ェ ク ト を設定す る 例を示 し ま す。
ciscoasa(config)# object-group security mktg-sg-all
ciscoasa(config)# security-group name mktg-managers
ciscoasa(config)# group-object mktg-sg // nested object-group
関連 コ マ ン ド
コ マン ド
object-group security
説明
セ キ ュ リ テ ィ グループ オブジ ェ ク ト を作成 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-32
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
security-group-tag value
security-group-tag value
VPN セ ッ シ ョ ン に対 し て ロ ーカル ユーザ デー タ ベー ス お よ びグループ ポ リ シー内のセ キ ュ リ
テ ィ グループ タ ギ ン グ属性 を設定す る には、グループポ リ シー コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド
で security-group-tag value コ マ ン ド を使用 し ま す。セ キ ュ リ テ ィ グループ タ ギ ン グ属性を削除
す る には、こ の コ マ ン ド の no 形式 を使用 し ま す。
security-group-tag value sgt
no security-group-tag value sgt
構文の説明
sgt
コ マン ド デフ ォル ト
こ の コ マ ン ド のデ フ ォ ル ト 形式は、security-group-tag none です。こ れは、こ の属性セ ッ ト にセ
キ ュ リ テ ィ グループ タ グ が存在 し ない こ と を意味 し ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
セ キ ュ リ テ ィ グループ タ グ番号を指定 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
グループ ポ リ シー コ ン フ ィ
ギ ュ レ ーシ ョ ン
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
9.3(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
マルチ
コ ン テキス ト シ ス テム
Yes
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
ASA バージ ョ ン 9.3(1) は、VPN セ ッ シ ョ ン のセ キ ュ リ テ ィ グループ タ ギ ン グ を完全にサポー ト
し てい ま す。セ キ ュ リ テ ィ グループ タ グ（SGT）は、外部 AAA サーバ を使用 し て、ま たは ロ ーカ
ル ユーザ デー タ ベー ス の コ ン フ ィ ギ ュ レ ーシ ョ ン に よ っ て、VPN セ ッ シ ョ ン に割 り 当て る こ と
がで き ま す。こ の タ グは、レ イ ヤ 2 イ ーサネ ッ ト 経由で Cisco TrustSec シ ス テ ム に伝播で き る よ
う にな り ま す。セ キ ュ リ テ ィ グループ タ グは、グループ ポ リ シーで、ま た AAA サーバが SGT を
提供で き ない場合の ロ ーカル ユーザに と っ て有用です。
AAA サーバか ら の属性に VPN ユーザに割 り 当て る SGT が存在 し ない場合、ASA はデ フ ォ ル ト
グループ ポ リ シー内の SGT を使用 し ま す。グループ ポ リ シー内に SGT が存在 し ない場合は、タ
グ 0x0 が割 り 当て ら れ ま す。
サーバに接続 し ている リ モー ト ユーザが行 う 一般的な手順
1.
ユーザが ASA に接続 し ま す。
2.
ASA が ISE に AAA 情報を要求 し ま す（ こ の中に SGT が含 ま れてい る 可能性が あ り ま す）。
ASA は、ト ン ネル さ れたユーザの ト ラ フ ィ ッ ク の IP ア ド レ ス も 割 り 当て ま す。
3.
ASA は、AAA 情報を使用 し て ト ン ネル を認証お よ び作成 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-33
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
security-group-tag value
4.
ASA は、AAA 情報か ら の SGT お よ び割 り 当て ら れた IP ア ド レ ス を使用 し て、レ イ ヤ 2 ヘ ッ
ダーに SGT を追加 し ま す。
5.
SGT を含むパケ ッ ト が Cisco TrustSec ネ ッ ト ワ ー ク 内の次の ピ ア デバ イ ス に渡 さ れ ま す。
次に、名前付 き グループ ポ リ シー ま たは ロ ーカル ユーザ名属性セ ッ ト に SGT 属性を設定す る 例
を示 し ま す。
例
ciscoasa(config-group-policy)# security-group-tag value 101
関連 コ マ ン ド
コ マン ド
show asp table cts
sgt-map
説明
show cts sgt-map
制御パ ス の IP ア ド レ ス セ キ ュ リ テ ィ グループ テーブル マ ネージ ャ
エ ン ト リ を表示 し ま す。
デー タ パ ス に保持 さ れてい る IP ア ド レ ス セ キ ュ リ テ ィ グループの
テーブル マ ッ プ デー タ ベー ス か ら IP ア ド レ ス セ キ ュ リ テ ィ グルー
プのテーブル マ ッ プ エ ン ト リ を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-34
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
security-level
security-level
イ ン タ ー フ ェ イ ス のセ キ ュ リ テ ィ レ ベル を設定す る には、イ ン タ ー フ ェ イ ス コ ン フ ィ ギ ュ レ ー
シ ョ ン モー ド で security-level コ マ ン ド を使用 し ま す。セ キ ュ リ テ ィ レ ベル をデ フ ォ ル ト に設定
す る には、こ の コ マ ン ド の no 形式を使用 し ま す。セ キ ュ リ テ ィ レ ベル を指定す る と 、高いセ キ ュ
リ テ ィ レ ベルのネ ッ ト ワ ー ク と 低いセ キ ュ リ テ ィ レ ベルのネ ッ ト ワ ー ク と の間の通信に追加
の保護が設定 さ れ、高いセ キ ュ リ テ ィ レ ベルのネ ッ ト ワ ー ク が低いセ キ ュ リ テ ィ レ ベルのネ ッ
ト ワ ー ク か ら 保護 さ れ ま す。
security-level number
no security-level
構文の説明
number
デフ ォル ト
デ フ ォ ル ト のセ キ ュ リ テ ィ レ ベルは 0 です。
0（最低）～ 100（最高）の整数。
イ ン タ ー フ ェ イ ス に「inside」 と い う 名前を指定 し て、明示的にセ キ ュ リ テ ィ レ ベル を設定 し ない
と 、ASA に よ っ て セ キ ュ リ テ ィ レ ベルが 100 に設定 さ れ ま す（nameif コ マ ン ド を参照）。こ の レ
ベルは必要に応 じ て変更で き ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
イ ン ターフ ェ イ ス コ ン フ ィ
ギ ュ レ ーシ ョ ン
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
7.0(1)
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が、nameif コ マ ン ド の キー ワ ー ド か ら イ ン タ ー フ ェ イ ス
コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド の コ マ ン ド に変更 さ れ ま し た。
レ ベルに よ っ て、次の動作が制御 さ れ ま す。
•
ネ ッ ト ワ ー ク ア ク セ ス ：デ フ ォ ル ト で、高いセ キ ュ リ テ ィ レ ベルの イ ン タ ー フ ェ イ ス か ら 低
いセ キ ュ リ テ ィ レ ベルの イ ン タ ー フ ェ イ ス への通信（発信）は暗黙的に許可 さ れ ま す。高い
セ キ ュ リ テ ィ レ ベルの イ ン タ ー フ ェ イ ス 上の ホ ス ト は、低いセ キ ュ リ テ ィ レ ベルの イ ン
タ ー フ ェ イ ス 上のすべての ホ ス ト に ア ク セ ス で き ま す。イ ン タ ー フ ェ イ ス に ア ク セ ス リ ス
ト を適用す る こ と に よ っ て、ア ク セ ス を制限で き ま す。
同 じ セ キ ュ リ テ ィ レ ベルの イ ン タ ー フ ェ イ ス 間では、同 じ セ キ ュ リ テ ィ レ ベル以下の他の
イ ン タ ー フ ェ イ ス への ア ク セ ス が暗黙的に許可 さ れ ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-35
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
security-level
•
イ ン ス ペ ク シ ョ ン エ ン ジ ン：一部の イ ン ス ペ ク シ ョ ン エ ン ジ ンは、セ キ ュ リ テ ィ レベルに依
存 し ま す。同 じ セ キ ュ リ テ ィ レ ベルの イ ン タ ーフ ェ イ ス 間では、イ ン ス ペ ク シ ョ ン エ ン ジ ン
は発信 と 着信のいずれの ト ラ フ ィ ッ ク に対 し て も 適用 さ れ ま す。
– NetBIOS イ ン ス ペ ク シ ョ ン エ ン ジ ン：発信接続に対 し て のみ適用 さ れ ま す。
– OraServ イ ン ス ペ ク シ ョ ン エ ン ジ ン：ホ ス ト のペア間に OraServ ポー ト への制御接続が
存在す る 場合は、ASA 経由での着信デー タ 接続のみが許可 さ れ ま す。
•
フ ィ ル タ リ ン グ：HTTP（S）お よ び FTP フ ィ ル タ リ ン グは、（高い レ ベルか ら 低い レ ベルへの）
発信接続にのみ適用 さ れ ま す。
同 じ セ キ ュ リ テ ィ レ ベルの イ ン タ ー フ ェ イ ス 間では、発信 と 着信のいずれの ト ラ フ ィ ッ ク
も フ ィ ル タ リ ン グ で き ま す。
•
NAT コ ン ト ロ ール：NAT コ ン ト ロ ール を イ ネーブルにす る 場合、高いセ キ ュ リ テ ィ レ ベル
の イ ン タ ー フ ェ イ ス （inside）上の ホ ス ト か ら 低いセ キ ュ リ テ ィ レ ベルの イ ン タ ー フ ェ イ ス
（outside）上の ホ ス ト に ア ク セ ス す る と き は、内部 イ ン タ ー フ ェ イ ス の ホ ス ト に NAT を設定
す る 必要が あ り ま す。
NAT コ ン ト ロ ール を イ ネーブルに し ない場合、ま たは同 じ セ キ ュ リ テ ィ レ ベルの イ ン タ ー
フ ェ イ ス 間においては、すべての イ ン タ ー フ ェ イ ス 間で NAT を使用す る こ と も 、使用 し ない
こ と も で き ま す。外部 イ ン タ ー フ ェ イ ス に NAT を設定す る 場合は、特別な キー ワ ー ド が必要
にな る こ と が あ り ま す。
•
established コ マ ン ド ： こ の コ マ ン ド を使用す る と 、高い レ ベルの ホ ス ト か ら 低い レ ベルの ホ
ス ト への接続がすでに確立 さ れてい る 場合、低いセ キ ュ リ テ ィ レ ベルの ホ ス ト か ら 高いセ
キ ュ リ テ ィ レ ベルの ホ ス ト への戻 り 接続が許可 さ れ ま す。
同 じ セ キ ュ リ テ ィ レ ベルの イ ン タ ー フ ェ イ ス 間では、発信 と 着信の両方の接続に対 し て
established コ マ ン ド を設定で き ま す。
通常、同 じ セ キ ュ リ テ ィ レ ベルの イ ン タ ー フ ェ イ ス 間では通信で き ま せん。同 じ セ キ ュ リ テ ィ
レ ベルの イ ン タ ー フ ェ イ ス 間で通信す る 場合は、same-security-traffic コ マ ン ド を参照 し て く だ
さ い。101 を超え る 通信 イ ン タ ー フ ェ イ ス を作成す る 必要が あ る 場合や、2 つの イ ン タ ー フ ェ イ
ス 間の ト ラ フ ィ ッ ク に同 じ 保護機能を適用す る 必要が あ る 場合（同程度のセ キ ュ リ テ ィ が必要
な 2 つの部門が あ る 場合な ど）に、2 つの イ ン タ ー フ ェ イ ス に同 じ レ ベル を割 り 当て て、それ ら の
イ ン タ ー フ ェ イ ス 間での通信を許可で き ま す。
イ ン タ ー フ ェ イ ス のセ キ ュ リ テ ィ レ ベル を変更す る 場合、既存の接続が タ イ ム ア ウ ト す る の を
待たずに新 し いセ キ ュ リ テ ィ 情報を使用す る と き は、clear local-host コ マ ン ド を使用 し て接続を
ク リ ア で き ま す。
例
次に、2 つの イ ン タ ー フ ェ イ ス のセ キ ュ リ テ ィ レ ベル を 100 と 0 に設定す る 例を示 し ま す。
ciscoasa(config)# interface gigabitethernet0/0
ciscoasa(config-if)# nameif inside
ciscoasa(config-if)# security-level 100
ciscoasa(config-if)# ip address 10.1.1.1 255.255.255.0
ciscoasa(config-if)# no shutdown
ciscoasa(config-if)# interface gigabitethernet0/1
ciscoasa(config-if)# nameif outside
ciscoasa(config-if)# security-level 0
ciscoasa(config-if)# ip address 10.1.2.1 255.255.255.0
ciscoasa(config-if)# no shutdown
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-36
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
security-level
関連 コ マ ン ド
コ マン ド
clear local-host
説明
interface
イ ン タ ー フ ェ イ ス を設定 し 、イ ン タ ー フ ェ イ ス コ ン フ ィ ギ ュ レ ーシ ョ
ン モー ド を開始 し ま す。
nameif
イ ン タ ー フ ェ イ ス 名を設定 し ま す。
vlan
サブ イ ン タ ー フ ェ イ ス に VLAN ID を割 り 当て ま す。
すべて の接続を リ セ ッ ト し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-37
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
send response
send response
RADIUS の Accounting-Response Start お よ び Accounting-Response Stop メ ッ セージ を RADIUS の
Accounting-Request Start お よ び Stop メ ッ セージの送信元に送信す る には、RADIUS ア カ ウ ン
テ ィ ン グ パ ラ メ ー タ コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で send response コ マ ン ド を使用 し ま す。
こ のモー ド には、inspect radius-accounting コ マ ン ド を使用 し て ア ク セ ス し ま す。
こ のオプ シ ョ ン は、デ フ ォ ル ト でデ ィ セーブルにな っ てい ま す。
send response
no send response
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
RADIUS ア カ ウ ン テ ィ ン グ
パラ メ ータ コ ンフ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
例
リ リ ース
7.2(1)
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、RADIUS ア カ ウ ン テ ィ ン グ で応答を送信す る 例を示 し ま す。
hostname(config)# policy-map type inspect radius-accounting ra
ciscoasa(config-pmap)# send response
ciscoasa(config-pmap-p)# send response
関連 コ マ ン ド
コ マン ド
inspect
radius-accounting
説明
parameters
イ ン ス ペ ク シ ョ ン ポ リ シー マ ッ プのパ ラ メ ー タ を設定 し ま す。
RADIUS ア カ ウ ン テ ィ ン グ の イ ン ス ペ ク シ ョ ン を設定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-38
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
seq-past-window
seq-past-window
パ ス ト ウ ィ ン ド ウ シーケ ン ス 番号（TCP 受信 ウ ィ ン ド ウ の適切な境界 を越え る 受信 TCP パケ ッ
ト のシーケ ン ス 番号）を持つパケ ッ ト に対す る ア ク シ ョ ン を設定す る には、tcp マ ッ プ コ ン フ ィ
ギ ュ レ ーシ ョ ン モー ド で seq-past-window コ マ ン ド を使用 し ま す。値をデ フ ォ ル ト に戻すには、
こ の コ マ ン ド の no 形式 を使用 し ま す。こ の コ マ ン ド は、set connection advanced-options コ マ ン
ド を使用 し て イ ネーブルに さ れ る TCP 正規化ポ リ シーの一部です。
seq-past-window {allow | drop}
no seq-past-window
構文の説明
allow
パ ス ト ウ ィ ン ド ウ シーケ ン ス 番号を持つパケ ッ ト を許可 し ま す。こ の
ア ク シ ョ ン は、queue-limit コ マ ン ド が 0（デ ィ セーブル）に設定 さ れて
い る 場合に限 り 許可 さ れ ま す。
drop
パ ス ト ウ ィ ン ド ウ シーケ ン ス 番号を持つパケ ッ ト を ド ロ ッ プ し ま す。
デフ ォル ト
デ フ ォ ル ト の ア ク シ ョ ン では、パ ス ト ウ ィ ン ド ウ シーケ ン ス 番号を持つパケ ッ ト は ド ロ ッ プ さ
れ ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
TCP マ ッ プ コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
7.2(4)/8.0(4)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
TCP 正規化を イ ネーブルにす る には、モ ジ ュ ラ ポ リ シー フ レ ーム ワ ー ク を次の よ う に使用 し
ま す。
1.
tcp-map：TCP 正規化ア ク シ ョ ン を指定 し ま す。
a. seq-past-window：tcp マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド では、seq-past-window コ マ
ン ド お よ びその他数多 く の コ マ ン ド を入力で き ま す。
2.
class-map：TCP 正規化を実行す る ト ラ フ ィ ッ ク を指定 し ま す。
3.
policy-map：各 ク ラ ス マ ッ プに関連付け る ア ク シ ョ ン を指定 し ま す。
a. class：ア ク シ ョ ン を実行す る ク ラ ス マ ッ プ を指定 し ま す。
b. set connection advanced-options：作成 し た TCP マ ッ プ を指定 し ま す。
4.
service-policy：ポ リ シー マ ッ プ を イ ン タ ー フ ェ イ ス ご と に、ま たはグ ロ ーバルに割 り 当て
ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-39
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
seq-past-window
次に、パ ス ト ウ ィ ン ド ウ シーケ ン ス 番号を持つパケ ッ ト を許可す る よ う に ASA を設定す る 例を
示 し ま す。
例
ciscoasa(config)# tcp-map tmap
ciscoasa(config-tcp-map)# seq-past-window allow
ciscoasa(config)# class-map cmap
ciscoasa(config-cmap)# match any
ciscoasa(config)# policy-map pmap
ciscoasa(config-pmap)# class cmap
ciscoasa(config-pmap)# set connection advanced-options tmap
ciscoasa(config)# service-policy pmap global
ciscoasa(config)#
関連 コ マ ン ド
コ マン ド
class-map
説明
policy-map
サー ビ ス ポ リ シー内で ト ラ フ ィ ッ ク に適用す る ア ク シ ョ ン を指定 し
ま す。
queue-limit
順序が不正なパケ ッ ト の制限を設定 し ま す。
set connection
advanced-options
TCP 正規化を イ ネーブルに し ま す。
service-policy
サー ビ ス ポ リ シーを イ ン タ ー フ ェ イ ス に適用 し ま す。
show running-config
tcp-map
TCP マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン を表示 し ま す。
tcp-map
TCP マ ッ プ を作成 し て、TCP マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド
にア ク セ ス で き る よ う に し ま す。
サー ビ ス ポ リ シーに対 し て ト ラ フ ィ ッ ク を指定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-40
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
serial-number
serial-number
登録時に、ASA のシ リ アル番号を証明書に含め る には、ク リ プ ト CA ト ラ ス ト ポ イ ン ト コ ン フ ィ
ギ ュ レ ーシ ョ ン モー ド で serial-number コ マ ン ド を使用 し ま す。デ フ ォ ル ト 設定に戻すには、こ
の コ マ ン ド の no 形式 を使用 し ま す。
serial-number
no serial-number
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト 設定では、シ リ アル番号は含 ま れ ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
ク リ プ ト CA ト ラ ス ト ポ イ ン
ト コ ン フ ィ ギ ュ レ ーシ ョ ン
コ マ ン ド 履歴
例
リ リ ース
7.0(1)
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、ト ラ ス ト ポ イ ン ト central の ク リ プ ト CA ト ラ ス ト ポ イ ン ト コ ン フ ィ ギ ュ レーシ ョ ン モー ド
を開始 し て、ト ラ ス ト ポ イ ン ト central の登録要求に ASA のシ リ アル番号を含め る 例を示 し ます。
ciscoasa(config)# crypto ca trustpoint central
ciscoasa(ca-trustpoint)# serial-number
関連 コ マ ン ド
コ マン ド
crypto ca trustpoint
説明
ト ラ ス ト ポ イ ン ト コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド を開始 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-41
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
server (pop3s, imap4s, smtps)
server (pop3s, imap4s, smtps)
デ フ ォ ル ト の電子 メ ール プ ロ キ シ サーバ を指定す る には、該当す る 電子 メ ール プ ロ キ シ コ ン
フ ィ ギ ュ レ ーシ ョ ン モー ド で server コ マ ン ド を使用 し ま す。コ ン フ ィ ギ ュ レ ーシ ョ ン か ら 属性
を削除す る には、こ の コ マ ン ド の no バージ ョ ン を使用 し ま す。ASA は、ユーザがサーバ を指定せ
ずに電子 メ ール プ ロ キ シに接続 し た場合、デ フ ォ ル ト の電子 メ ール サーバに要求を送信 し ま
す。デ フ ォ ル ト のサーバ を設定せず、ユーザ も サーバ を指定 し ない場合、ASA ではエ ラ ーが返 さ
れ ま す。
server {ipaddr or hostname}
no server
構文の説明
hostname
デ フ ォ ル ト の電子 メ ール プ ロ キ シ サーバの DNS 名。
ipaddr
デ フ ォ ル ト の電子 メ ール プ ロ キ シ サーバの IP ア ド レ ス 。
デフ ォル ト
デ フ ォ ル ト では、デ フ ォ ル ト の電子 メ ール プ ロ キ シ サーバはあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
例
コ ン テキス ト シ ス テム
•
Yes
—
—
•
Yes
Imap4s コ ン フ ィ ギ ュ レーシ ョ ン • Yes
•
Yes
—
—
•
Yes
Yes
•
Yes
—
—
•
Yes
リ リ ース
7.0(1)
•
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、10.1.1.7 と い う IP ア ド レ ス を持つ POP3S 電子 メ ール サーバ を設定す る 例を示 し ま す。
ciscoasa(config)# pop3s
ciscoasa(config-pop3s)# server 10.1.1.7
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-42
マルチ
Pop3s コ ン フ ィ ギ ュ レ ーシ ョ ン • Yes
smtps コ ン フ ィ ギ ュ レ ーシ ョ ン
コ マ ン ド 履歴
ト ラ ン スペ
アレン ト
シ ン グル
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
server （ssh pubkey-chain）
server （ssh pubkey-chain）
オ ン ボー ド のセ キ ュ ア コ ピ ー（SCP） ク ラ イ ア ン ト の SSH サーバお よ びその キーを ASA デー タ
ベー ス に対 し て手動で追加 ま たは削除す る には、ssh pubkey-chain コ ン フ ィ ギ ュ レ ーシ ョ ン モー
ド で server コ マ ン ド を使用 し ま す。サーバお よ びその ホ ス ト キーを削除す る には、こ の コ マ ン ド
の no 形式 を使用 し ま す。
server ip_address
no server ip_address
構文の説明
ip_address
コ マン ド デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
SSH サーバの IP ア ド レ ス を指定 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
ssh pubkey-chain コ ン フ ィ
ギ ュ レ ーシ ョ ン
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
9.1(5)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
オ ン ボー ド SCP ク ラ イ ア ン ト を使用 し て、ASA と の間で フ ァ イ ル を コ ピ ーで き ま す。ASA には、
接続先の各 SCP サーバの SSH ホ ス ト キーが保存 さ れ ま す。必要に応 じ て ASA デー タ ベー ス で
サーバお よ びその キーを手動で追加 し た り 、削除 し た り で き ま す。
サーバご と に、SSH ホ ス ト の key-string（公開キー）ま たは key-hash（ハ ッ シ ュ 値）を指定で き ま す。
例
次に、10.86.94.170 のサーバに対 し てすでにハ ッ シ ュ さ れた ホ ス ト キーを追加す る 例を示 し ます。
ciscoasa(config)# ssh pubkey-chain
ciscoasa(config-ssh-pubkey-chain)# server 10.86.94.170
ciscoasa(config-ssh-pubkey-server)# key-hash sha256
65:d9:9d:fe:1a:bc:61:aa:64:9d:fc:ee:99:87:38:df:a8:8e:d9:e9:ff:42:de:e8:8d:2d:bf:a9:2b:85:
2e:19
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-43
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
server （ssh pubkey-chain）
次に、10.7.8.9 のサーバに対 し て ホ ス ト ス ト リ ン グ キーを追加す る 例を示 し ま す。
ciscoasa(config)# ssh pubkey-chain
ciscoasa(config-ssh-pubkey-chain)# server 10.7.8.9
ciscoasa(config-ssh-pubkey-server)# key-string
Enter the base 64 encoded RSA public key.
End with the word "exit" on a line by itself
ciscoasa(config-ssh-pubkey-server-string)# c1:b1:30:29:d7:b8:de:6c:97:77:10:d7:46:41:63:87
ciscoasa(config-ssh-pubkey-server-string)# exit
関連 コ マ ン ド
コ マン ド
copy
説明
key-hash
ハ ッ シ ュ SSH ホ ス ト キーを入力 し ま す。
key-string
公開 SSH ホ ス ト キーを入力 し ま す。
ssh pubkey-chain
ASA デー タ ベー ス でサーバお よ びその キーを手動で追加 し た り 、削除
し た り し ま す。
ASA と の間で フ ァ イ ル を コ ピ ー し ま す。
ssh stricthostkeycheck オ ン ボー ド のセ キ ュ ア コ ピ ー（SCP） ク ラ イ ア ン ト に対す る SSH ホ ス
ト キー チ ェ ッ ク を イ ネーブルに し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-44
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
server authenticate-client
server authenticate-client
TLS ハン ド シ ェ イ ク 時におけ る ASA での TLS ク ラ イ ア ン ト の認証を イ ネーブルにす る には、TLS
プ ロ キ シ コ ン フ ィ ギ ュ レーシ ョ ン モー ド で server authenticate-client コ マ ン ド を使用 し ます。
ク ラ イ ア ン ト 認証を バ イ パ ス す る には、こ の コ マ ン ド の no 形式を使用 し ま す。
server authenticate-client
no server authenticate-client
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド が あ り ま す。
デフ ォル ト
こ の コ マ ン ド は、デ フ ォ ル ト で イ ネーブルです。つ ま り 、ASA と のハ ン ド シ ェ イ ク 時に、TLS ク ラ
イ ア ン ト は、証明書の提示を要求 さ れ ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
TLS プ ロ キ シ コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
8.0(4)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
TLS プ ロ キ シ ハ ン ド シ ェ イ ク 時に ク ラ イ ア ン ト 認証が必要で あ る か ど う か を制御す る には、
server authenticate-client コ マ ン ド を使用 し ま す。イ ネーブルの場合（デ フ ォ ル ト ）、セ キ ュ リ テ ィ
ア プ ラ イ ア ン ス は TLS ク ラ イ ア ン ト に証明書要求 TLS ハ ン ド シ ェ イ ク メ ッ セージ を送信 し 、
TLS ク ラ イ ア ン ト は証明書の提示を要求 さ れ ま す。
ク ラ イ ア ン ト 認証をデ ィ セーブルにす る には、こ の コ マ ン ド の no 形式を使用 し ま す。TLS ク ラ
イ ア ン ト 認証のデ ィ セーブルは、ASA が CUMA ク ラ イ ア ン ト や、Web ブ ラ ウ ザな ど の ク ラ イ ア
ン ト 証明書を送信で き ない ク ラ イ ア ン ト と 相互運用す る 必要が あ る 場合に適 し てい ま す。
例
次に、ク ラ イ ア ン ト 認証をデ ィ セーブルに し た TLS プ ロ キ シ イ ン ス タ ン ス を設定す る 例を示 し
ま す。
ciscoasa(config)# tls-proxy mmp_tls
ciscoasa(config-tlsp)# no server authenticate-client
ciscoasa(config-tlsp)# server trust-point cuma_server_proxy
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-45
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
server authenticate-client
関連 コ マ ン ド
コ マン ド
tls-proxy
説明
TLS プ ロ キ シ イ ン ス タ ン ス を設定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-46
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
server backup
server backup
バ ッ ク ア ッ プ ク ラ ウ ド Web セ キ ュ リ テ ィ プ ロ キ シ サーバ を設定す る には、scansafe 汎用オプ
シ ョ ン コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で server backup コ マ ン ド を使用 し ま す。サーバ を削除
す る には、こ の コ マ ン ド の no 形式 を使用 し ま す。
server backup {ip ip_address | fqdn fqdn} [port port]
no server backup [ip ip_address | fqdn fqdn] [port port]
構文の説明
ip ip_address
サーバの IP ア ド レ ス を指定 し ま す。
fqdn fqdn
サーバの完全修飾 ド メ イ ン名（FQDN）を指定 し ま す。
port port
（オプシ ョ ン）デフ ォ ル ト では、ク ラ ウ ド Web セキ ュ リ テ ィ プ ロ キ シ
サーバは HTTP と HTTPS の両方の ト ラ フ ィ ッ ク にポー ト 8080 を使用 し
ます。指示 さ れてい る 場合以外は、こ の値を変更 し ないで く だ さ い。
コ マン ド デフ ォル ト
デ フ ォ ル ト のポー ト は 8080 です。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
scansafe 汎用オプ シ ョ ン コ ン • Yes
フ ィ ギ ュ レ ーシ ョ ン
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
9.0(1)
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
Cisco Cloud Web Security サー ビ ス に登録す る と 、プ ラ イ マ リ ク ラ ウ ド Web セ キ ュ リ テ ィ プ ロ キ
シ サーバ と バ ッ ク ア ッ プ プ ロ キ シ サーバが割 り 当て ら れ ま す。プ ラ イ マ リ サーバ を設定す る に
は、server primary コ マ ン ド を参照 し て く だ さ い。こ れ ら のサーバは、アベ イ ラ ビ リ テ ィ を チ ェ ッ
ク す る ために定期的にポー リ ン グ さ れ ま す。ASA が ク ラ ウ ド Web セ キ ュ リ テ ィ プ ロ キ シ サー
バに到達す る こ と がで き ない場合（SYN/ACK パケ ッ ト がプ ロ キ シ サーバか ら 到着 し ない場合な
ど ）、プ ロ キ シ サーバは TCP ス リ ー ウ ェ イ ハ ン ド シ ェ イ ク を介 し て ポー リ ン グ さ れて、アベ イ ラ
ビ リ テ ィ がチ ェ ッ ク さ れ ま す。設定 し た試行回数（デ フ ォ ル ト は 5）後に、プ ロ キ シ サーバが使用
不可の場合、サーバは到達不能 と し て宣言 さ れ、バ ッ ク ア ッ プ プ ロ キ シ サーバが ア ク テ ィ ブに
な り ま す。
継続ポー リ ン グ に よ っ て プ ラ イ マ リ サーバが連続す る 2 回の再試行回数の期間に ア ク テ ィ ブで
あ る こ と が示 さ れ る と 、ASA はバ ッ ク ア ッ プ サーバか ら プ ラ イ マ リ ク ラ ウ ド Web セ キ ュ リ
テ ィ プ ロ キ シ サーバに自動的に フ ォ ール バ ッ ク し ま す。こ のポー リ ン グ間隔を変更す る には、
retry-count コ マ ン ド を使用 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-47
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
server backup
プ ロ キシ サーバが到達可能で
ない ト ラ フ ィ ッ ク 状態
サーバ タ イ ムアウ ト の計算
例
接続 タ イ ムアウ ト の結果
ト ラ フ ィ ッ ク が多い
ク ラ イ ア ン ト のハー フ オープ （30 + 30）= 60 秒
ン の接続の タ イ ム ア ウ ト +
ASA TCP 接続 タ イ ム ア ウ ト
単一接続の失敗
ク ラ イ ア ン ト のハーフ オープ （30 +（（5-1）x（30）））= 150 秒
ン の接続の タ イ ム ア ウ ト +（（再
試行 し き い値 - 1）x（ASA TCP
接続 タ イ ム ア ウ ト ））
ア イ ド ル：接続は送信 さ れて
い ま せん
15 分 +（（再試行 し き い値）x
900 +（5 x（30））= 1050 秒
（ASA TCP 接続 タ イ ム ア ウ ト ））
次に、プ ラ イ マ リ サーバ と バ ッ ク ア ッ プ サーバ を設定す る 例を示 し ま す。
scansafe general-options
server primary ip 10.24.0.62 port 8080
server backup ip 10.10.0.7 port 8080
retry-count 7
license 366C1D3F5CE67D33D3E9ACEC265261E5
関連 コ マ ン ド
コ マン ド
説明
class-map type inspect ホ ワ イ ト リ ス ト に記載 さ れたユーザ と グループの イ ン ス ペ ク シ ョ ン
scansafe
ク ラ ス マ ッ プ を作成 し ま す。
default user group
ASA にア ク セ ス す る ユーザの ID を ASA が特定で き ない場合、デフ ォ
ル ト のユーザ名 ま たはグループ、あ る いはその両方を指定 し ま す。
http[s] (parameters)
イ ン ス ペ ク シ ョ ン ポ リ シー マ ッ プのサー ビ ス タ イ プ と し て HTTP ま
たは HTTPS を指定 し ま す。
inspect scansafe
ク ラ ス の ト ラ フ ィ ッ ク に対す る ク ラ ウ ド Web セ キ ュ リ テ ィ イ ン ス ペ
ク シ ョ ン を イ ネーブルに し ま す。
license
要求の送信元の組織を示すため、ASA が ク ラ ウ ド Web セ キ ュ リ テ ィ
プ ロ キ シ サーバに送信す る 認証キーを設定 し ま す。
match user group
ホ ワ イ ト リ ス ト のユーザ ま たはグループ を照合 し ま す。
policy-map type
inspect scansafe
イ ン ス ペ ク シ ョ ン ポ リ シー マ ッ プ を作成す る と 、ルールのために必要
なパ ラ メ ー タ を設定 し 、任意で ホ ワ イ ト リ ス ト を識別で き ま す。
retry-count
再試行回数値を入力 し ま す。こ の値は、アベ イ ラ ビ リ テ ィ を チ ェ ッ ク す
る ために、ク ラ ウ ド Web セ キ ュ リ テ ィ プ ロ キ シ サーバ を ポー リ ン グ
す る 前に ASA が待機す る 時間です。
scansafe
マルチ コ ン テ キ ス ト モー ド では、コ ン テ キ ス ト ご と に ク ラ ウ ド Web
セ キ ュ リ テ ィ を許可 し ま す。
scansafe
general-options
汎用 ク ラ ウ ド Web セ キ ュ リ テ ィ サーバ オプ シ ョ ン を設定 し ま す。
show conn scansafe
大文字の Z フ ラ グ に示 さ れた よ う にすべての ク ラ ウ ド Web セ キ ュ リ
テ ィ 接続を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-48
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
server backup
コ マン ド
show scansafe server
説明
サーバが現在のア ク テ ィ ブ サーバ、バ ッ ク ア ッ プ サーバ、ま たは到達
不能のいずれで あ る か、サーバの ス テー タ ス を表示 し ま す。
show scansafe statistics 合計 と 現在の HTTP 接続を表示 し ま す。
user-identity monitor AD エージ ェ ン ト か ら 指定 し たユーザ ま たはグループ情報を ダ ウ ン
ロ ー ド し ま す。
whitelist
ト ラ フ ィ ッ ク の ク ラ ス で ホ ワ イ ト リ ス ト ア ク シ ョ ン を実行 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-49
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
server primary
server primary
プ ラ イ マ リ ク ラ ウ ド Web セ キ ュ リ テ ィ プ ロ キ シ サーバ を設定す る には、scansafe 汎用オプシ ョ
ン コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で server primary コ マ ン ド を使用 し ま す。サーバ を削除す る
には、こ の コ マ ン ド の no 形式 を使用 し ま す。
server primary {ip ip_address | fqdn fqdn} [port port]
no server primary [ip ip_address | fqdn fqdn] [port port]
構文の説明
ip ip_address
サーバの IP ア ド レ ス を指定 し ま す。
fqdn fqdn
サーバの完全修飾 ド メ イ ン名（FQDN）を指定 し ま す。
port port
（オプシ ョ ン）デフ ォ ル ト では、ク ラ ウ ド Web セキ ュ リ テ ィ プ ロ キ シ
サーバは HTTP と HTTPS の両方の ト ラ フ ィ ッ ク にポー ト 8080 を使用 し
ます。指示 さ れてい る 場合以外は、こ の値を変更 し ないで く だ さ い。
コ マン ド デフ ォル ト
デ フ ォ ル ト のポー ト は 8080 です。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
scansafe 汎用オプ シ ョ ン コ ン • Yes
フ ィ ギ ュ レ ーシ ョ ン
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
9.0(1)
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
Cisco Cloud Web Security サー ビ ス に登録す る と 、プ ラ イ マ リ ク ラ ウ ド Web セ キ ュ リ テ ィ プ ロ キ
シ サーバ と バ ッ ク ア ッ プ プ ロ キ シ サーバが割 り 当て ら れ ま す。バ ッ ク ア ッ プ サーバ を設定す る
には、server backup コ マ ン ド を参照 し て く だ さ い。こ れ ら のサーバは、アベ イ ラ ビ リ テ ィ を
チ ェ ッ ク す る ために定期的にポー リ ン グ さ れ ま す。ASA が ク ラ ウ ド Web セ キ ュ リ テ ィ プ ロ キ シ
サーバに到達す る こ と がで き ない場合（SYN/ACK パケ ッ ト がプ ロ キ シ サーバか ら 到着 し ない場
合な ど ）、プ ロ キ シ サーバは TCP ス リ ー ウ ェ イ ハ ン ド シ ェ イ ク を介 し て ポー リ ン グ さ れて、アベ
イ ラ ビ リ テ ィ がチ ェ ッ ク さ れ ま す。設定 し た試行回数（デ フ ォ ル ト は 5）後に、プ ロ キ シ サーバが
使用不可の場合、サーバは到達不能 と し て宣言 さ れ、バ ッ ク ア ッ プ プ ロ キ シ サーバが ア ク テ ィ
ブにな り ま す。
継続ポー リ ン グ に よ っ て プ ラ イ マ リ サーバが連続す る 2 回の再試行回数の期間に ア ク テ ィ ブで
あ る こ と が示 さ れ る と 、ASA はバ ッ ク ア ッ プ サーバか ら プ ラ イ マ リ ク ラ ウ ド Web セ キ ュ リ
テ ィ プ ロ キ シ サーバに自動的に フ ォ ール バ ッ ク し ま す。こ のポー リ ン グ間隔を変更す る には、
retry-count コ マ ン ド を使用 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-50
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
server primary
プ ロ キシ サーバが到達可能で
ない ト ラ フ ィ ッ ク 状態
サーバ タ イ ムアウ ト の計算
例
接続 タ イ ムアウ ト の結果
ト ラ フ ィ ッ ク が多い
ク ラ イ ア ン ト のハー フ オープ （30 + 30）= 60 秒
ン の接続の タ イ ム ア ウ ト +
ASA TCP 接続 タ イ ム ア ウ ト
単一接続の失敗
ク ラ イ ア ン ト のハーフ オープ （30 +（（5-1）x（30）））= 150 秒
ン の接続の タ イ ム ア ウ ト +（（再
試行 し き い値 - 1）x（ASA TCP
接続 タ イ ム ア ウ ト ））
ア イ ド ル：接続は送信 さ れて
い ま せん
15 分 +（（再試行 し き い値）x
900 +（5 x（30））= 1050 秒
（ASA TCP 接続 タ イ ム ア ウ ト ））
次に、プ ラ イ マ リ サーバ と バ ッ ク ア ッ プ サーバ を設定す る 例を示 し ま す。
scansafe general-options
server primary ip 10.24.0.62 port 8080
server backup ip 10.10.0.7 port 8080
retry-count 7
license 366C1D3F5CE67D33D3E9ACEC265261E5
関連 コ マ ン ド
コ マン ド
説明
class-map type inspect ホ ワ イ ト リ ス ト に記載 さ れたユーザ と グループの イ ン ス ペ ク シ ョ ン
scansafe
ク ラ ス マ ッ プ を作成 し ま す。
default user group
ASA にア ク セ ス す る ユーザの ID を ASA が特定で き ない場合、デフ ォ
ル ト のユーザ名 ま たはグループ、あ る いはその両方を指定 し ま す。
http[s] (parameters)
イ ン ス ペ ク シ ョ ン ポ リ シー マ ッ プのサー ビ ス タ イ プ と し て HTTP ま
たは HTTPS を指定 し ま す。
inspect scansafe
ク ラ ス の ト ラ フ ィ ッ ク に対す る ク ラ ウ ド Web セ キ ュ リ テ ィ イ ン ス ペ
ク シ ョ ン を イ ネーブルに し ま す。
license
要求の送信元の組織を示すため、ASA が ク ラ ウ ド Web セ キ ュ リ テ ィ
プ ロ キ シ サーバに送信す る 認証キーを設定 し ま す。
match user group
ホ ワ イ ト リ ス ト のユーザ ま たはグループ を照合 し ま す。
policy-map type
inspect scansafe
イ ン ス ペ ク シ ョ ン ポ リ シー マ ッ プ を作成す る と 、ルールのために必要
なパ ラ メ ー タ を設定 し 、任意で ホ ワ イ ト リ ス ト を識別で き ま す。
retry-count
再試行回数値を入力 し ま す。こ の値は、アベ イ ラ ビ リ テ ィ を チ ェ ッ ク す
る ために、ク ラ ウ ド Web セ キ ュ リ テ ィ プ ロ キ シ サーバ を ポー リ ン グ
す る 前に ASA が待機す る 時間です。
scansafe
マルチ コ ン テ キ ス ト モー ド では、コ ン テ キ ス ト ご と に ク ラ ウ ド Web
セ キ ュ リ テ ィ を許可 し ま す。
scansafe
general-options
汎用 ク ラ ウ ド Web セ キ ュ リ テ ィ サーバ オプ シ ョ ン を設定 し ま す。
server {primary |
backup}
プ ラ イ マ リ ま たはバ ッ ク ア ッ プ ク ラ ウ ド Web セ キ ュ リ テ ィ プ ロ キ シ
サーバの完全修飾 ド メ イ ン名 ま たは IP ア ド レ ス を設定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-51
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
server primary
コ マン ド
show conn scansafe
説明
show scansafe server
サーバが現在のア ク テ ィ ブ サーバ、バ ッ ク ア ッ プ サーバ、ま たは到達
不能のいずれで あ る か、サーバの ス テー タ ス を表示 し ま す。
大文字の Z フ ラ グ に示 さ れた よ う にすべての ク ラ ウ ド Web セ キ ュ リ
テ ィ 接続を表示 し ま す。
show scansafe statistics 合計 と 現在の HTTP（S）接続を表示 し ま す。
user-identity monitor AD エージ ェ ン ト か ら 指定 し たユーザ ま たはグループ情報を ダ ウ ン
ロ ー ド し ま す。
whitelist
ト ラ フ ィ ッ ク の ク ラ ス で ホ ワ イ ト リ ス ト ア ク シ ョ ン を実行 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-52
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
server trust-point
server trust-point
TLS ハ ン ド シ ェ イ ク 時に提示す る プ ロ キ シ ト ラ ス ト ポ イ ン ト 証明書を指定す る には、TLS サー
バ コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で server trust-point コ マ ン ド を使用 し ま す。
server trust-point proxy_trustpoint
構文の説明
proxy_trustpoint
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
crypto ca trustpoint コ マ ン ド に よ っ て定義 さ れ る ト ラ ス ト ポ イ ン ト を指
定 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
TLS プ ロ キ シ コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
リ リ ース
8.0(4)
使用上のガイ ド ラ イ ン
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
ト ラ ス ト ポ イ ン ト では、自己署名証明書、認証局に登録 さ れてい る 証明書、ま たは イ ン ポー ト さ
れた ク レ デン シ ャ ルの証明書を使用で き ま す。server trust-point コ マ ン ド は、グ ロ ーバル ssl
trust-point コ マ ン ド よ り も 優先 さ れ ま す。
server trust-point コ マ ン ド は、TLS ハ ン ド シ ェ イ ク 時に提示す る プ ロ キ シ ト ラ ス ト ポ イ ン ト 証
明書を指定 し ま す。証明書は、ASA が所有 し てい る 必要が あ り ま す（ID 証明書）。証明書には、自
己署名証明書、認証局に登録 さ れてい る 証明書、ま たは イ ン ポー ト さ れた ク レ デン シ ャ ルの証明
書を使用で き ま す。
接続を開始で き る 各エ ン テ ィ テ ィ に対 し て TLS プ ロ キ シ イ ン ス タ ン ス を作成 し ま す。TLS 接続
を開始す る エ ン テ ィ テ ィ は、TLS ク ラ イ ア ン ト の ロ ール を担い ま す。TLS プ ロ キ シには ク ラ イ ア
ン ト プ ロ キ シ と サーバ プ ロ キ シが厳密に定義 さ れてい る ため、いずれのエ ン テ ィ テ ィ か ら も 接
続が開始 さ れ る 可能性が あ る 場合には、2 つの TLS プ ロ キ シ イ ン ス タ ン ス を定義す る 必要が あ
り ま す。
（注）
電話プ ロ キ シ と と も に使用す る TLS プ ロ キ シ イ ン ス タ ン ス を作成す る 場合、サーバの ト ラ ス ト
ポ イ ン ト は、CTL フ ァ イ ル イ ン ス タ ン ス に よ っ て作成 さ れ る 内部電話プ ロ キ シ ト ラ ス ト ポ イ ン
ト です。ト ラ ス ト ポ イ ン ト 名は、internal_PP_<ctl-file_instance_name> の形式 と な り ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-53
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
server trust-point
例
次に、server trust-point コ マ ン ド を使用 し て、TLS ハ ン ド シ ェ イ ク 時に提示す る プ ロ キ シ ト ラ ス
ト ポ イ ン ト 証明書を指定す る 例を示 し ま す。
ciscoasa(config-tlsp)# server trust-point ent_y_proxy
関連 コ マ ン ド
コ マン ド
説明
client（TLS プ ロ キ シ） TLS プ ロ キ シ イ ン ス タ ン ス の ト ラ ス ト ポ イ ン ト 、キー ペア、お よ び暗号
ス イ ー ト を設定 し ま す。
client trust-point
TLS ハ ン ド シ ェ イ ク 中に提示す る プ ロ キ シ ト ラ ス ト ポ イ ン ト 証明書を
指定 し ま す。
ssl trust-point
イ ン タ ー フ ェ イ ス の SSL 証明書を表す証明書 ト ラ ス ト ポ イ ン ト を指定
し ま す。
tls-proxy
TLS プ ロ キ シ イ ン ス タ ン ス を設定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-54
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
server-port
server-port
ホ ス ト の AAA サーバ ポー ト を設定す る には、AAA サーバ ホ ス ト モー ド で server-port コ マ ン
ド を使用 し ま す。指定 さ れてい る サーバ ポー ト を削除す る には、こ の コ マ ン ド の no 形式を使用
し ま す。
server-port port-number
no server-port port-number
構文の説明
port-number
デフ ォル ト
デ フ ォ ル ト のサーバ ポー ト は次の と お り です。
コ マ ン ド モー ド
•
SDI：5500
•
LDAP：389
•
Kerberos：88
•
NT：139
•
TACACS+：49
0 ～ 65535 の範囲のポー ト 番号。
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
AAA サーバ グループ
コ マ ン ド 履歴
例
リ リ ース
7.0(1)
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、srvgrp1 と い う 名前の SDI AAA サーバでサーバ ポー ト 番号 8888 を使用す る よ う に設定す
る 例を示 し ま す。
ciscoasa(config)# aaa-server srvgrp1 protocol sdi
ciscoasa(config-aaa-server-group)# aaa-server srvgrp1 host 192.168.10.10
ciscoasa(config-aaa-server-host)# server-port 8888
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-55
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
server-port
関連 コ マ ン ド
コ マン ド
aaa-server host
説明
ホ ス ト 固有の AAA サーバ パ ラ メ ー タ を設定 し ま す。
clear configure aaa-server AAA サーバの コ ン フ ィ ギ ュ レ ーシ ョ ン をすべて削除 し ま す。
show running-config
すべて の AAA サーバ、特定のサーバ グループ、特定の グループ内の
aaa-server
特定のサーバ、ま たは特定のプ ロ ト コ ルの AAA サーバ統計情報を表
示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-56
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
server-separator
server-separator
電子 メ ール サーバ名お よ び VPN サーバ名のデ リ ミ タ と し て文字を指定す る には、該当す る 電子
メ ール プ ロ キ シ モー ド で server-separator コ マ ン ド を使用 し ま す。デ フ ォ ル ト （「:」）に戻すには、
こ の コ マ ン ド の no 形式を使用 し ま す。
server-separator {symbol}
no server-separator
構文の説明
symbol
デフ ォル ト
デ フ ォ ル ト は「@」（ア ッ ト マー ク ）です。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
電子 メ ール サーバ名お よ び VPN サーバ名を区切 る 文字。「@」（ア ッ ト
マー ク ）、「|」（パ イ プ）、「:」（ コ ロ ン）、「#」（ハ ッ シ ュ ）、「,」（カ ン マ）、ま た
は「;」（セ ミ コ ロ ン）を選択で き ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
コ マ ン ド 履歴
ルーテ ッ ド
ト ラ ン スペ
アレン ト
シ ン グル
マルチ
コ ン テキス ト シ ス テム
pop3s
•
Yes
—
•
Yes
—
—
Imap4s
•
Yes
—
•
Yes
—
—
Smtps
•
Yes
—
•
Yes
—
—
リ リ ース
7.0(1)
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
サーバの区切 り 文字には、名前の区切 り 文字 と は異な る 文字を使用す る 必要が あ り ま す。
例
次に、パ イ プ（|）を IMAP4S サーバの区切 り 文字 と し て設定す る 例を示 し ま す。
ciscoasa(config)# imap4s
ciscoasa(config-imap4s)# server-separator |
関連 コ マ ン ド
コ マン ド
name-separator
説明
電子 メ ールお よ び VPN のユーザ名 と パ ス ワ ー ド を区切 り ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-57
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
server-type
server-type
LDAP サーバ モデルを手動で設定す る には、AAA サーバ ホ ス ト コ ン フ ィ ギ ュ レーシ ョ ン モー ド
で server-type コ マ ン ド を使用 し ます。ASA では、次のサーバ モデルがサポー ト さ れてい ます。
•
Microsoft Active Directory
•
Sun Microsystems JAVA System Directory Server（以前の Sun ONE Directory Server）
•
LDAPv3 に準拠 し た一般的な LDAP デ ィ レ ク ト リ サーバ（パ ス ワ ー ド 管理な し ）
こ の コ マ ン ド をデ ィ セーブルにす る には、こ の コ マ ン ド の no 形式を使用 し ま す。
server-type {auto-detect | microsoft | sun | generic | openldap | novell}
no server-type {auto-detect | microsoft | sun | generic | openldap | novell}
構文の説明
auto-detect
ASA で自動検出に よ っ て LDAP サーバ タ イ プ を決定す る こ と を指定 し
ま す。
generic
Sun お よ び Microsoft の LDAP デ ィ レ ク ト リ サーバ以外の LDAP v3 準拠
のデ ィ レ ク ト リ サーバ を指定 し ま す。一般的な LDAP サーバでは、パ ス
ワ ー ド 管理はサポー ト さ れ ま せん。
microsoft
LDAP サーバが Microsoft Active Directory で あ る こ と を指定 し ま す。
openldap
LDAP サーバが OpenLDAP サーバで あ る こ と を指定 し ま す。
novell
LDAP サーバが Novell サーバで あ る こ と を指定 し ま す。
sun
LDAP サーバが Sun Microsystems JAVA System Directory Server で あ る こ
と を指定 し ま す。
デフ ォル ト
デ フ ォ ル ト では、自動検出に よ っ てサーバ タ イ プの決定が試み ら れ ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
AAA サーバ ホ ス ト コ ン フ ィ
ギ ュ レ ーシ ョ ン
コ マ ン ド 履歴
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
リ リ ース
7.1(1)
変更内容
8.0(2)
OpenLDAP お よ び Novell サーバ タ イ プのサポー ト が追加 さ れ ま し た。
こ の コ マ ン ド が追加 さ れ ま し た。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-58
ト ラ ン スペ
アレン ト
シ ン グル
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
server-type
使用上のガイ ド ラ イ ン
（注）
ASA は LDAP バージ ョ ン 3 を サポー ト し てお り 、Sun Microsystems JAVA System Directory
Server、Microsoft Active Directory、お よ びその他の LDAPv3 デ ィ レ ク ト リ サーバ と 互換性が あ り
ま す。
•
Sun：Sun デ ィ レ ク ト リ サーバにア ク セ ス す る ために ASA に設定 さ れてい る DN は、その
サーバ上のデ フ ォ ル ト パ ス ワ ー ド ポ リ シーに ア ク セ ス で き る 必要が あ り ま す。DN と し て、
デ ィ レ ク ト リ 管理者、ま たはデ ィ レ ク ト リ 管理者権限を持つユーザ を使用す る こ と を推奨 し
ま す。ま たは、デ フ ォ ル ト パ ス ワ ー ド ポ リ シーに ACI を設定で き ま す。
Microsoft：Microsoft Active Directory を使用 し たパ ス ワ ー ド 管理を イ ネーブルにす る には、
LDAP over SSL を設定す る 必要が あ り ま す。
• Generic：パ ス ワ ー ド 管理機能はサポー ト さ れてい ま せん。
•
デ フ ォ ル ト で、ASA では、Microsoft デ ィ レ ク ト リ サーバ、Sun LDAP デ ィ レ ク ト リ サーバ、ま た
は一般的な LDAPv3 サーバのいずれに接続 し てい る かが自動検出 さ れ ま す。ただ し 、自動検出で
LDAP サーバ タ イ プ を決定で き ない場合で、サーバが Microsoft ま たは Sun のサーバで あ る こ と
が明 ら かで あ る 場合は、server-type コ マ ン ド を使用 し て、サーバ を Microsoft ま たは Sun
Microsystems の LDAP サーバ と し て手動で設定で き ま す。
例
次に、AAA サーバ ホ ス ト コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で、IP ア ド レ ス 10.10.0.1 の LDAP
サーバ ldapsvr1 のサーバ タ イ プ を設定す る 例を示 し ま す。こ の最初の例では、Sun Microsystems
LDAP サーバ を設定 し てい ま す。
ciscoasa(config)# aaa-server ldapsvr1 protocol ldap
ciscoasa(config-aaa-server-group)# aaa-server ldapsvr1 host 10.10.0.1
ciscoasa(config-aaa-server-host)# server-type sun
次に、ASA で自動検出を使用 し てサーバ タ イ プ を決定す る こ と を指定す る 例を示 し ま す。
ciscoasa(config)# aaa-server ldapsvr1 protocol LDAP
ciscoasa(config-aaa-server-group)# aaa-server ldapsvr1 host 10.10.0.1
ciscoasa(config-aaa-server-host)# server-type auto-detect
関連 コ マ ン ド
コ マン ド
ldap-over-ssl
説明
sasl-mechanism
LDAP ク ラ イ ア ン ト と サーバの間の SASL 認証を設定 し
ま す。
SSL が LDAP ク ラ イ ア ン ト と サーバの間の接続を保護す
る こ と を指定 し ま す。
ldap attribute-map（グ ロ ーバル
ユーザ定義の属性名を Cisco LDAP 属性名にマ ッ ピ ン グす
コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド ） る ために、LDAP 属性マ ッ プ を作成 し て名前を付け ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-59
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
service
service
拒否 さ れた TCP 接続の リ セ ッ ト を イ ネーブルにす る には、グ ロ ーバル コ ン フ ィ ギ ュ レーシ ョ ン
モー ド で service コ マ ン ド を使用 し ま す。リ セ ッ ト をデ ィ セーブルにす る には、こ の コ マ ン ド の no
形式を使用 し ます。
service {resetinbound [interface interface_name] | resetoutbound [interface interface_name] |
resetoutside}
no service {resetinbound [interface interface_name] | resetoutbound [interface interface_name]
| resetoutside}
service sw-reset-button
no service sw-reset-button
構文の説明
interface
interface_name
指定 し た イ ン タ ー フ ェ イ ス の リ セ ッ ト を イ ネーブル ま たはデ ィ セーブルに し
ま す。
resetinbound
ASA の通過を試み、ア ク セ ス リ ス ト ま たは AAA 設定に基づいて ASA に よ っ
て拒否 さ れたすべての着信 TCP セ ッ シ ョ ン に TCP リ セ ッ ト を送信 し ま す。
ASA は、ア ク セ ス リ ス ト ま たは AAA に よ っ て許可 さ れて も 、既存の接続に属
し てお ら ず、ス テー ト フ ル フ ァ イ ア ウ ォ ールに よ っ て拒否 さ れたパケ ッ ト の
リ セ ッ ト も 送信 し ま す。同 じ セ キ ュ リ テ ィ レ ベルの イ ン タ ー フ ェ イ ス 間の ト
ラ フ ィ ッ ク も 影響を受け ま す。こ のオプ シ ョ ン が イ ネーブルにな っ ていない
場合は、ASA は拒否 さ れたパケ ッ ト を、何 も 通知せずに廃棄 し ま す。イ ン タ ー
フ ェ イ ス を指定 し ない場合、こ の設定はすべての イ ン タ ー フ ェ イ ス に適用 さ
れ ま す。
resetoutbound
ASA の通過を試み、ア ク セ ス リ ス ト ま たは AAA 設定に基づいて ASA に よ っ
て拒否 さ れたすべての発信 TCP セ ッ シ ョ ン に TCP リ セ ッ ト を送信 し ま す。
ASA は、ア ク セ ス リ ス ト ま たは AAA に よ っ て許可 さ れて も 、既存の接続に属
し てお ら ず、ス テー ト フ ル フ ァ イ ア ウ ォ ールに よ っ て拒否 さ れたパケ ッ ト の
リ セ ッ ト も 送信 し ま す。同 じ セ キ ュ リ テ ィ レ ベルの イ ン タ ー フ ェ イ ス 間の ト
ラ フ ィ ッ ク も 影響を受け ま す。こ のオプ シ ョ ン が イ ネーブルにな っ ていない
場合は、ASA は拒否 さ れたパケ ッ ト を、何 も 通知せずに廃棄 し ま す。こ のオプ
シ ョ ン は、デ フ ォ ル ト で イ ネーブルにな っ てい ま す。た と えば、ト ラ フ ィ ッ ク
ス ト ーム時に CPU の負荷を軽減す る ためな ど に発信 リ セ ッ ト をデ ィ セーブ
ルにで き ま す。
resetoutside
最 も セ キ ュ リ テ ィ レ ベルの低い イ ン タ ー フ ェ イ ス で終端 し 、ア ク セ ス リ ス ト
ま たは AAA 設定に基づい て ASA に よ っ て拒否 さ れた TCP パケ ッ ト の リ
セ ッ ト を イ ネーブルに し ま す。ASA は、ア ク セ ス リ ス ト ま たは AAA に よ っ て
許可 さ れて も 、既存の接続に属 し てお ら ず、ス テー ト フ ル フ ァ イ ア ウ ォ ール
に よ っ て拒否 さ れたパケ ッ ト の リ セ ッ ト も 送信 し ま す。こ のオプ シ ョ ン を イ
ネーブルに し なか っ た場合、ASA は拒否 さ れたパケ ッ ト を何 も 通知せずに廃
棄 し ま す。イ ン タ ー フ ェ イ ス PAT では、resetoutside キー ワ ー ド を使用す る こ
と を推奨 し ま す。こ の キー ワ ー ド を使用す る と 、外部 SMTP ま たは FTP サー
バか ら の IDENT を ASA で終了で き ま す。こ れ ら の接続を ア ク テ ィ ブに リ
セ ッ ト す る こ と に よ っ て、30 秒の タ イ ム ア ウ ト 遅延を回避で き ま す。
sw-reset-button
ソ フ ト ウ ェ ア リ セ ッ ト ボ タ ン を設定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-60
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
service
デフ ォル ト
デ フ ォ ル ト では、すべて の イ ン タ ー フ ェ イ ス で service resetoutbound が イ ネーブルにな っ てい
ま す。service sw-reset-button は、デ フ ォ ル ト で イ ネーブルにな っ てい ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
リ リ ース
7.1(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
interface キー ワ ー ド お よ び resetoutbound コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
ア イ デン テ ィ テ ィ 要求（IDENT）接続を リ セ ッ ト す る 必要が あ る 場合は、着信 ト ラ フ ィ ッ ク に対
し て明示的に リ セ ッ ト を送信で き ま す。拒否 さ れた ホ ス ト に TCP RST（TCP ヘ ッ ダーの リ セ ッ ト
フ ラ グ）を送信す る と 、RST に よ っ て着信 IDENT プ ロ セ ス が停止 さ れ る ため、IDENT が タ イ ム ア
ウ ト す る の を待機す る 必要がな く な り ま す。外部ホ ス ト は IDENT が タ イ ム ア ウ ト す る ま で SYN
を継続的に再送信す る ため、IDENT が タ イ ム ア ウ ト す る の を待機す る と ト ラ フ ィ ッ ク の速度低
下の原因 と な る 可能性が あ り ま す。そのため、service resetinbound コ マ ン ド に よ っ てパ フ ォ ーマ
ン ス が向上す る 可能性が あ り ま す。
例
次に、inside イ ン タ ー フ ェ イ ス を除 く すべての イ ン タ ー フ ェ イ ス で発信 リ セ ッ ト をデ ィ セーブル
にす る 例を示 し ま す。
ciscoasa(config)# no service resetoutbound
ciscoasa(config)# service resetoutbound interface inside
次に、DMZ イ ン タ ー フ ェ イ ス を除 く すべての イ ン タ ー フ ェ イ ス で着信 リ セ ッ ト を イ ネーブルに
す る 例を示 し ま す。
ciscoasa(config)# service resetinbound
ciscoasa(config)# no service resetinbound interface dmz
次に、outside イ ン タ ーフ ェ イ ス が終端 と な る 接続で リ セ ッ ト を イ ネーブルにす る 例を示 し ます。
ciscoasa(config)# service resetoutside
関連 コ マ ン ド
コ マン ド
show running-config
service
説明
サー ビ ス コ ン フ ィ ギ ュ レ ーシ ョ ン を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-61
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
service（CTL プ ロバイ ダー）
service（CTL プ ロバイ ダー）
証明書信頼 リ ス ト プ ロ バ イ ダーが リ ッ ス ンす る ポー ト を指定す る には、CTL プ ロ バ イ ダー コ ン
フ ィ ギ ュ レ ーシ ョ ン モー ド で service コ マ ン ド を使用 し ま す。設定を削除す る には、こ の コ マ ン
ド の no 形式 を使用 し ま す。
service port listening_port
no service port listening_port
構文の説明
port listening_port
デフ ォル ト
デ フ ォ ル ト のポー ト は 2444 です。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
ク ラ イ ア ン ト にエ ク ス ポー ト す る 証明書を指定 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
CTL プ ロ バ イ ダー コ ン フ ィ
ギ ュ レ ーシ ョ ン
コ マ ン ド 履歴
リ リ ース
8.0(2)
Yes
•
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
CTL プ ロ バ イ ダーが リ ッ ス ンす る ポー ト を指定す る には、CTL プ ロ バ イ ダー コ ン フ ィ ギ ュ レ ー
シ ョ ン モー ド で service コ マ ン ド を使用 し ま す。ポー ト は、ク ラ ス タ 内の CallManager サーバに
よ っ て リ ッ ス ン さ れてい る ポー ト で あ る 必要が あ り ま す（[CallManager administration] ページの
[Enterprise Parameters] で設定）。デ フ ォ ル ト のポー ト は 2444 です。
例
次に、CTL プ ロ バ イ ダー イ ン ス タ ン ス を作成す る 例を示 し ま す。
ciscoasa(config)# ctl-provider
ciscoasa(config-ctl-provider)#
ciscoasa(config-ctl-provider)#
ciscoasa(config-ctl-provider)#
ciscoasa(config-ctl-provider)#
my_ctl
client interface inside 172.23.45.1
client username CCMAdministrator password XXXXXX encrypted
export certificate ccm_proxy
ctl install
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-62
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
service（CTL プ ロバイ ダー）
関連 コ マ ン ド
コ マン ド
client
説明
ctl
CTL ク ラ イ ア ン ト の CTL フ ァ イ ル を解析 し 、ト ラ ス ト ポ イ ン ト を イ
ン ス ト ール し ま す。
ctl-provider
CTL プ ロ バ イ ダー モー ド で CTL プ ロ バ イ ダー イ ン ス タ ン ス を設定
し ま す。
export
ク ラ イ ア ン ト にエ ク ス ポー ト す る 証明書を指定 し ま す。
tls-proxy
TLS プ ロ キ シ イ ン ス タ ン ス を定義 し 、最大セ ッ シ ョ ン数を設定 し ま
す。
CTL プ ロ バ イ ダーへの接続が許可 さ れ る ク ラ イ ア ン ト を指定 し 、ク ラ
イ ア ン ト 認証用のユーザ名 と パ ス ワ ー ド も 指定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-63
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
service（オブ ジ ェ ク ト サービ ス）
service（オブジ ェ ク ト サービ ス）
サービ ス オブ ジ ェ ク ト のプ ロ ト コ ルお よ びオプシ ョ ン の属性を定義す る には、オブジ ェ ク ト
サービ ス コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で service コ マ ン ド を使用 し ま す。定義を削除す る に
は、こ の コ マ ン ド の no 形式 を使用 し ま す。
service {protocol | {tcp | udp} [source operator number] [destination operator number] |
{icmp | icmp6} [icmp_type [icmp_code]]}
no service {protocol | {tcp | udp} [source operator number] [destination operator number] |
{icmp | icmp6} [icmp_type [icmp_code]]}
構文の説明
destination operator
number
（オプシ ョ ン）tcp プ ロ ト コ ルお よ び udp プ ロ ト コ ルの場合、宛先ポー
ト の名前 ま たは番号を 0 ～ 65535 の範囲で指定 し ま す。サポー ト さ れ
る 名前の リ ス ト につい ては、CLI ヘルプ を参照 し て く だ さ い。演算子は
次の と お り です。
•
eq：ポー ト 番号に等 し い。
•
gt：ポー ト 番号 よ り 大 き い。
•
lt：ポー ト 番号 よ り 小 さ い。
•
neq：ポー ト 番号 と 等 し く ない。
•
range：ポー ト 範囲。2 つの番号は、range 1024 4500 の よ う に ス ペー
ス で区切っ て指定 し ま す。
{icmp | icmp6} [icmp_
type [icmp_code]]
サー ビ ス タ イ プが ICMP ま たは ICMP バージ ョ ン 6 接続用で あ る こ と
を指定 し ま す。任意で ICMP タ イ プ を名前 ま たは番号（0 ～ 255）で指定
で き ま す （使用可能なオプ シ ョ ン の ICMP タ イ プ名につい ては、CLI ヘ
ルプ を参照）。タ イ プ を指定す る 場合、任意で 1 ～ 255 の間の ICMP
コ ー ド を含め る こ と がで き ま す。
protocol
プ ロ ト コ ル名 ま たは番号（0 ～ 255）を指定 し ま す。サポー ト さ れ る 名前
の リ ス ト については、CLI ヘルプ を参照 し て く だ さ い。
source operator number （オプシ ョ ン）tcp プ ロ ト コ ルお よ び udp プ ロ ト コ ルの場合、送信元
ポー ト の名前 ま たは番号を 0 ～ 65535 の範囲で指定 し ま す。サポー ト
さ れ る 名前の リ ス ト につい ては、CLI ヘルプ を参照 し て く だ さ い。演算
子は destination の も の と 同 じ です。
tcp
サー ビ ス タ イ プが TCP 接続用で あ る こ と を指定 し ま す。
udp
デフ ォル ト
サー ビ ス タ イ プが UDP 接続用で あ る こ と を指定 し ま す。
デ フ ォ ル ト の動作や値はあ り ま せん。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-64
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
service（オ ブ ジ ェ ク ト サービ ス）
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
オブジ ェ ク ト サー ビ ス コ ン
フ ィ ギ ュ レ ーシ ョ ン
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
リ リ ース
8.3(1)
変更内容
9.0(1)
ICMP コ ー ド のサポー ト が追加 さ れ ま し た。
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
こ の コ マ ン ド が追加 さ れ ま し た。
ACL（access-list コ マ ン ド ）や NAT（nat コ マ ン ド ）な ど、コ ン フ ィ ギ ュ レ ーシ ョ ン の他の部分では
サービ ス オブ ジ ェ ク ト を名前で使用で き ま す。
既存のサービ ス オブ ジ ェ ク ト を別のプ ロ ト コ ルお よ びポー ト を使用 し て設定 し た場合、新 し い
コ ン フ ィ ギ ュ レ ーシ ョ ン では既存のプ ロ ト コ ル と ポー ト が新 し いプ ロ ト コ ル と ポー ト に置 き 換
わ り ま す。
例
次に、SSH ト ラ フ ィ ッ ク のサー ビ ス オブ ジ ェ ク ト を作成す る 例 を示 し ま す。
ciscoasa(config)# service object SSH
ciscoasa(config-service-object)# service tcp destination eq ssh
次に、EIGRP ト ラ フ ィ ッ ク のサービ ス オブ ジ ェ ク ト を作成す る 例を示 し ま す。
ciscoasa(config)# service object EIGRP
ciscoasa(config-service-object)# service eigrp
次に、ポー ト 0 ～ 1024 か ら HTTPS への ト ラ フ ィ ッ ク に対 し てサービ ス オブ ジ ェ ク ト を作成す
る 例を示 し ま す。
ciscoasa(config)# service object HTTPS
ciscoasa(config-service-object)# service tcp source range 0 1024 destination eq https
関連 コ マ ン ド
コ マン ド
clear configure object
説明
object-group service
サー ビ ス オブジ ェ ク ト を設定 し ま す。
show running-config
object service
現在のサー ビ ス オブジ ェ ク ト コ ン フ ィ ギ ュ レ ーシ ョ ン を表示 し ま す。
作成 さ れたすべて のオブ ジ ェ ク ト を ク リ ア し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-65
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
service call-home
service call-home
Call Home サー ビ ス を イ ネーブルにす る には、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で
service call-home コ マ ン ド を使用 し ま す。Call Home サービ ス をデ ィ セーブルにす る には、こ の コ
マ ン ド の no 形式 を使用 し ま す。
service call-home
no service call-home
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト で、サービ ス Call Home コ マ ン ド はデ ィ セーブルです。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
リ リ ース
8.2(2)
•
ト ラ ン スペ
アレン ト
シ ン グル
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、Call Home サー ビ ス を イ ネーブルにす る 例を示 し ま す。
例
ciscoasa(config)# service call-home
次に、Call Home サー ビ ス をデ ィ セーブルにす る 例を示 し ま す。
hostname(config)# no service call-home
関連 コ マ ン ド
コ マン ド
説明
call-home（グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン）
call-home test
Call Home コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド を開始 し
ま す。
show call-home
Call Home コ ン フ ィ ギ ュ レ ーシ ョ ン情報を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-66
Call Home テ ス ト メ ッ セージ を手動で送信 し ま す。
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
service password-recovery
service password-recovery
パ ス ワ ー ド の回復を イ ネーブルにす る には、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で
service password-recovery コ マ ン ド を使用 し ま す。パ ス ワ ー ド の回復をデ ィ セーブルにす る に
は、こ の コ マ ン ド の no 形式 を使用 し ま す。パ ス ワ ー ド の回復はデ フ ォ ル ト で イ ネーブルですが、
不正な ユーザがパ ス ワ ー ド の回復 メ カ ニ ズ ム を使用 し て ASA を侵害で き ない よ う にす る ため
にデ ィ セーブルにす る こ と がで き ま す。
service password-recovery
no service password-recovery
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
パ ス ワ ー ド の回復は、デ フ ォ ル ト で イ ネーブルです。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
7.0(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
ASA 5500 シ リ ーズ適応型セキ ュ リ テ ィ アプ ラ イ ア ン ス では、パ ス ワー ド を忘れた場合、起動時に
プ ロ ンプ ト が表示 さ れた と き に端末のキーボー ド で Esc キーを押 し て、ROMMON で ASA を起動
で き ます。次に、コ ン フ ィ ギ ュ レーシ ョ ン レ ジ ス タ を変更す る こ と に よ っ て、ス タ ー ト ア ッ プ コ ン
フ ィ ギ ュ レーシ ョ ン を無視す る よ う に ASA を設定 し ます（config-register コ マ ン ド を参照）。た と
えば、コ ン フ ィ ギ ュ レーシ ョ ン レ ジ ス タ がデフ ォ ル ト の 0x1 の場合、confreg 0x41 コ マ ン ド を入力
し て値を 0x41 に変更 し ます。ASA が リ ロ ー ド さ れ る と 、デフ ォ ル ト の コ ン フ ィ ギ ュ レーシ ョ ンが
ロ ー ド さ れ、デフ ォ ル ト のパ ス ワ ー ド を使用 し て特権 EXEC モー ド を開始で き ます。その後、ス
タ ー ト ア ッ プ コ ン フ ィ ギ ュ レーシ ョ ン を実行 コ ン フ ィ ギ ュ レーシ ョ ンに コ ピー し て ス タ ー ト ア ッ
プ コ ン フ ィ ギ ュ レーシ ョ ン を ロ ー ド し 、パ ス ワー ド を リ セ ッ ト し ます。最後に、コ ン フ ィ ギ ュ レー
シ ョ ン レ ジ ス タ を元の設定に戻 し て、以前 と 同様に起動す る よ う に ASA を設定 し ます。た と えば、
グ ロ ーバル コ ン フ ィ ギ ュ レーシ ョ ン モー ド で config-register 0x1 コ マ ン ド を入力 し ます。
PIX 500 シ リ ーズ セ キ ュ リ テ ィ ア プ ラ イ ア ン ス では、起動時にプ ロ ン プ ト が表示 さ れた と き に
端末の キーボー ド で Esc キーを押 し て、モニ タ モー ド で ASA を起動 し ま す。その後、PIX パ ス
ワ ー ド ツール を ASA にダ ウ ン ロ ー ド し て、すべてのパ ス ワ ー ド お よ び aaa authentication コ マ
ン ド を消去 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-67
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
service password-recovery
ASA 5500 シ リ ーズ適応型セ キ ュ リ テ ィ アプ ラ イ ア ン ス では、no service password-recovery コ マ
ン ド を使用す る と 、ユーザが ROMMON を開始す る こ と を防止で き 、コ ン フ ィ ギ ュ レーシ ョ ン も
変更 さ れない ま ま と す る こ と がで き ま す。ユーザが ROMMON を開始す る と 、ユーザは、ASA に
よ っ て、すべての フ ラ ッ シ ュ フ ァ イ ル シ ス テ ム を消去す る よ う に求め ら れ ま す。ユーザは、最初
に消去を実行 し ない と 、ROMMON を開始で き ま せん。ユーザが フ ラ ッ シ ュ フ ァ イ ル シ ス テ ム を
消去 し ない場合、ASA は リ ロ ー ド し ます。パ ス ワ ー ド の回復は ROMMON の使用 と 既存の コ ン
フ ィ ギ ュ レ ーシ ョ ン を維持す る こ と に依存 し てい る ため、フ ラ ッ シ ュ フ ァ イ ル シ ス テ ム を消去
す る こ と に よ っ てパ ス ワ ー ド を回復で き な く な り ま す。ただ し 、パ ス ワ ー ド を回復で き な く す る
こ と で、不正なユーザが コ ン フ ィ ギ ュ レ ーシ ョ ン を表示 し た り 、別のパ ス ワ ー ド を挿入 し た り す
る こ と がな く な り ま す。こ の場合に、シ ス テ ム を動作状態に回復す る には、新 し い イ メ ージ と バ ッ
ク ア ッ プ コ ン フ ィ ギ ュ レーシ ョ ン フ ァ イ ル（使用可能な場合）を ロ ー ド し ま す。service
password-recovery コ マ ン ド は、コ ン フ ィ ギ ュ レ ーシ ョ ン フ ァ イ ルに情報提供の目的でのみ表示
さ れ ま す。CLI プ ロ ン プ ト で こ の コ マ ン ド を入力す る と 、設定は NVRAM に保存 さ れ ます。設定を
変更す る 唯一の方法は、CLI プ ロ ン プ ト で コ マ ン ド を入力す る こ と です。こ の コ マ ン ド の異な る
バージ ョ ン で新規 コ ン フ ィ ギ ュ レーシ ョ ン を ロ ー ド し て も 、設定は変更 さ れ ま せん。ASA が起動
時に ス タ ー ト ア ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン を無視す る よ う に設定 さ れてい る （パ ス ワ ー ド の回
復の準備 と し て）場合に、パ ス ワ ー ド の回復をデ ィ セーブルにす る と 、ASA に よ っ て設定が変更 さ
れ、通常どお り に ス タ ー ト ア ッ プ コ ン フ ィ ギ ュ レーシ ョ ン が起動 さ れ ま す。フ ェ ールオーバーを
使用 し 、ス タ ー ト ア ッ プ コ ン フ ィ ギ ュ レーシ ョ ン を無視す る よ う に ス タ ンバ イ ユニ ッ ト が設定 さ
れてい る 場合は、no service password recovery コ マ ン ド で ス タ ンバ イ ユニ ッ ト に複製 し た と き に コ
ン フ ィ ギ ュ レーシ ョ ン レ ジ ス タ に同 じ 変更が加え ら れ ます。
PIX 500 シ リ ーズ セ キ ュ リ テ ィ ア プ ラ イ ア ン ス では、no service password-recovery コ マ ン ド を
使用す る と 、ユーザは、PIX パ ス ワ ー ド ツールに よ っ て、すべて の フ ラ ッ シ ュ フ ァ イ ル シ ス テ ム
を消去す る よ う に求め ら れ ま す。ユーザは、最初に消去を実行 し ない と 、PIX パ ス ワ ー ド ツール
を使用で き ま せん。ユーザが フ ラ ッ シ ュ フ ァ イ ル シ ス テ ム を消去 し ない場合、ASA は リ ロ ー ド
し ま す。パ ス ワ ー ド の回復は既存の コ ン フ ィ ギ ュ レ ーシ ョ ン を維持す る こ と に依存 し てい る た
め、フ ラ ッ シ ュ フ ァ イ ル シ ス テ ム を消去す る こ と に よ っ てパ ス ワ ー ド を回復で き な く な り ま
す。ただ し 、パ ス ワ ー ド を回復で き な く す る こ と で、不正な ユーザが コ ン フ ィ ギ ュ レ ーシ ョ ン を
表示 し た り 、別のパ ス ワ ー ド を挿入 し た り す る こ と がな く な り ま す。こ の場合に、シ ス テ ム を動
作状態に回復す る には、新 し い イ メ ージ と バ ッ ク ア ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン フ ァ イ ル（使
用可能な場合）を ロ ー ド し ま す。
例
次に、ASA 5500 シ リ ーズのパ ス ワ ー ド の回復をデ ィ セーブルにす る 例を示 し ま す。
ciscoasa(config)# no service password-recovery
WARNING: Executing "no service password-recovery" has disabled the password recovery
mechanism and disabled access to ROMMON.The only means of recovering from lost or
forgotten passwords will be for ROMMON to erase all file systems including configuration
files and images.You should make a backup of your configuration and have a mechanism to
restore images from the ROMMON command line.
次に、ASA 5500 シ リ ーズで、起動時に ROMMON を開始す る タ イ ミ ン グ と パ ス ワ ー ド の回復操
作を完了す る 例を示 し ま す。
Use BREAK or ESC to interrupt boot.
Use SPACE to begin boot immediately.
Boot interrupted.
Use ?for help.
rommon #0> confreg
Current Configuration Register: 0x00000001
Configuration Summary:
boot default image from Flash
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-68
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
service password-recovery
Do you wish to change this configuration?y/n [n]: n
rommon #1> confreg 0x41
Update Config Register (0x41) in NVRAM...
rommon #2> boot
Launching BootLoader...
Boot configuration file contains 1 entry.
Loading disk0:/ASA_7.0.bin... Booting...
###################
...
Ignoring startup configuration as instructed by configuration register.
Type help or '?' for a list of available commands.
ciscoasa> enable
Password:
ciscoasa# configure terminal
ciscoasa(config)# copy startup-config running-config
Destination filename [running-config]?
Cryptochecksum(unchanged): 7708b94c e0e3f0d5 c94dde05 594fbee9
892 bytes copied in 6.300 secs (148 bytes/sec)
ciscoasa(config)# enable password NewPassword
ciscoasa(config)# config-register 0x1
関連 コ マ ン ド
コ マン ド
config-register
説明
enable password
イ ネーブル パ ス ワ ー ド を設定 し ま す。
password
ロ グ イ ン パ ス ワ ー ド を設定 し ま す。
リ ロ ー ド 時に ス タ ー ト ア ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン を無視す る よ
う に ASA を設定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-69
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
service-object
service-object
TCP、UDP、ま たは TCP-UDP と し て事前定義 さ れていないサービ ス ま たはサービ ス オブジ ェ ク
ト を サービ ス オブジ ェ ク ト グループに追加す る には、オブ ジ ェ ク ト グループ サービ ス コ ン フ ィ
ギ ュ レ ーシ ョ ン モー ド で service-object コ マ ン ド を使用 し ま す。サー ビ ス を削除す る には、こ の
コ マ ン ド の no 形式 を使用 し ま す。
service-object {protocol | {tcp | udp | tcp-udp} [source operator number]
[destination operator number] | {icmp | icmp6} [icmp_type [icmp_code]] | object name}
no service-object {protocol | {tcp | udp | tcp-udp} [source operator number]
[destination operator number] | {icmp | icmp6} [icmp_type [icmp_code]] | object name}
構文の説明
destination operator
number
（オプシ ョ ン）tcp、udp、ま たは tcp-udp プ ロ ト コ ルの場合、宛先ポー ト
の名前 ま たは番号を 0 ～ 65535 の範囲で指定 し ま す。サポー ト さ れ る
名前の リ ス ト については、CLI ヘルプ を参照 し て く だ さ い。演算子は次
の と お り です。
•
eq：ポー ト 番号に等 し い。
•
gt：ポー ト 番号 よ り 大 き い。
•
lt：ポー ト 番号 よ り 小 さ い。
•
neq：ポー ト 番号 と 等 し く ない。
•
range：ポー ト 範囲。2 つの番号は、range 1024 4500 の よ う に ス ペー
ス で区切っ て指定 し ま す。
{icmp | icmp6} [icmp_
type [icmp_code]]
サー ビ ス タ イ プが ICMP ま たは ICMP バージ ョ ン 6 接続用で あ る こ と
を指定 し ま す。任意で ICMP タ イ プ を名前 ま たは番号（0 ～ 255）で指定
で き ま す （使用可能なオプ シ ョ ン の ICMP タ イ プ名につい ては、CLI ヘ
ルプ を参照）。タ イ プ を指定す る 場合、任意で 1 ～ 255 の間の ICMP
コ ー ド を含め る こ と がで き ま す。
protocol
プ ロ ト コ ル名 ま たは番号（0 ～ 255）を指定 し ま す。サポー ト さ れ る 名前
の リ ス ト については、CLI ヘルプ を参照 し て く だ さ い。
source operator number （オプシ ョ ン）tcp、udp、ま たは tcp-udp プ ロ ト コ ルの場合、送信元ポー
ト の名前 ま たは番号を 0 ～ 65535 の範囲で指定 し ま す。サポー ト さ れ
る 名前の リ ス ト につい ては、CLI ヘルプ を参照 し て く だ さ い。演算子は
destination の も の と 同 じ です。
tcp
サー ビ ス タ イ プが TCP 接続用で あ る こ と を指定 し ま す。
デフ ォル ト
tcp-udp
サー ビ ス タ イ プが TCP ま たは UDP 接続用で あ る こ と を指定 し ま す。
udp
サー ビ ス タ イ プが UDP 接続用で あ る こ と を指定 し ま す。
デ フ ォ ル ト の動作や値はあ り ま せん。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-70
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
service-object
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
オブジ ェ ク ト グループ サービ • Yes
ス コ ン フ ィ ギ ュ レーシ ョ ン
コ マ ン ド 履歴
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
マルチ
コ ン テキス ト シ ス テム
Yes
•
Yes
—
リ リ ース
8.0(1)
変更内容
8.3(1)
object キー ワ ー ド が、サービ ス オブジ ェ ク ト （object service コ マ ン ド ）を
サポー ト す る ために追加 さ れ ま し た。
9.0(1)
ICMP コ ー ド のサポー ト が追加 さ れ ま し た。
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
object-group service コ マ ン ド を使用 し てサービ ス オブ ジ ェ ク ト グループ を作成 し た場合、グ
ループ全体に対 し て プ ロ ト コ ル タ イ プ を事前定義 し ていな ければ、service-object コ マ ン ド を使
用 し て、複数のサービ ス お よ びサービ ス オブジ ェ ク ト （ポー ト を含む）を さ ま ざ ま な プ ロ ト コ ル
の グループに追加で き ま す。object-group service [tcp | udp | tcp-udp] コ マ ン ド を使用 し て特定の
プ ロ ト コ ル タ イ プに対 し てサービ ス オブ ジ ェ ク ト グループ を作成 し た場合、port-object コ マ ン
ド を使用 し て オブジ ェ ク ト グループに指定で き る のは宛先ポー ト のみです。
例
次に、TCP と UDP の両方のサービ ス を同 じ サービ ス オブ ジ ェ ク ト グループに追加す る 例を示
し ま す。
ciscoasa(config)# object-group service
ciscoasa(config-service-object-group)#
ciscoasa(config-service-object-group)#
ciscoasa(config-service-object-group)#
ciscoasa(config-service-object-group)#
ciscoasa(config-service-object-group)#
CommonApps
service-object
service-object
service-object
service-object
service-object
tcp destination eq ftp
tcp-udp destination eq www
tcp destination eq h323
tcp destination eq https
udp destination eq ntp
次に、複数のサービ ス オブジ ェ ク ト を 1 つのサービ ス オブ ジ ェ ク ト グループに追加す る 例を示
し ま す。
hostname(config)# service object SSH
hostname(config-service-object)# service tcp destination eq ssh
hostname(config)# service object EIGRP
hostname(config-service-object)# service eigrp
hostname(config)# service object HTTPS
hostname(config-service-object)# service tcp source range 0 1024 destination eq https
ciscoasa(config)# object-group service
ciscoasa(config-service-object-group)#
ciscoasa(config-service-object-group)#
ciscoasa(config-service-object-group)#
Group1
service-object object SSH
service-object object EIGRP
service-object object HTTPS
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-71
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
service-object
関連 コ マ ン ド
コ マン ド
clear configure
object-group
説明
network-object
ネ ッ ト ワ ー ク オブジ ェ ク ト グループにネ ッ ト ワ ー ク オブ ジ ェ ク ト を
追加 し ま す。
object service
サー ビ ス オブジ ェ ク ト を追加 し ま す。
object-group
コ ン フ ィ ギ ュ レ ーシ ョ ン を最適化す る ためのオブ ジ ェ ク ト グループ
を定義 し ま す。
port-object
サービ ス オブジ ェ ク ト グループにポー ト オブジ ェ ク ト を追加 し ま す。
show running-config
object-group
現在のオブジ ェ ク ト グループ を表示 し ま す。
すべて の object-group コ マ ン ド を コ ン フ ィ ギ ュ レ ーシ ョ ン か ら 削除 し
ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-72
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
service sw-reset-button
service sw-reset-button
ASA 5506-X お よ び ASA 5508-X シ リ ーズのセ キ ュ リ テ ィ ア プ ラ イ ア ン ス で リ セ ッ ト ボ タ ン を
イ ネーブルにす る には、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で service sw-reset-button コ
マ ン ド を使用 し ま す。リ セ ッ ト ボ タ ン をデ ィ セーブルにす る には、こ の コ マ ン ド の no 形式を使
用 し ま す。
service sw-reset-button
no service sw-reset-button
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
service sw-reset-button は、デ フ ォ ル ト で イ ネーブルにな っ てい ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
例
リ リ ース
9.3(2)
•
ト ラ ン スペ
アレン ト
シ ン グル
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、ソ フ ト ウ ェ ア リ セ ッ ト ボ タ ン を イ ネーブルにす る 例を示 し ま す。
ciscoasa(config)# service sw-reset-button
ciscoasa# show sw-reset-button
Software Reset Button is configured.
次に、ソ フ ト ウ ェ ア リ セ ッ ト ボ タ ン をデ ィ セーブルにす る 例を示 し ま す。
ciscoasa(config)# no service sw-reset-button
ciscoasa(config)# show sw-reset-button
Software Reset Button is not configured.
関連 コ マ ン ド
コ マン ド
show running-config
service
説明
サー ビ ス コ ン フ ィ ギ ュ レ ーシ ョ ン を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-73
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
service-policy（ク ラ ス）
service-policy（ク ラ ス）
別のポ リ シー マ ッ プの下に階層型ポ リ シー マ ッ プ を適用す る には、ク ラ ス コ ン フ ィ ギ ュ レ ー
シ ョ ン モー ド で service-policy コ マ ン ド を使用 し ま す。サービ ス ポ リ シーをデ ィ セーブルにす る
には、こ の コ マ ン ド の no 形式 を使用 し ま す。階層型ポ リ シーは、シ ェ ー ピ ン グ さ れた ト ラ フ ィ ッ
ク のサブセ ッ ト に対 し て プ ラ イ オ リ テ ィ キ ュ ー イ ン グ を実行す る 場合に QoS ト ラ フ ィ ッ ク
シ ェ ー ピ ン グ でのみサポー ト さ れてい ま す。
service-policy policymap_name
no service-policy policymap_name
構文の説明
policymap_name
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
policy-map コ マ ン ド で設定 し た ポ リ シー マ ッ プ名を指定 し ま す。
priority コ マ ン ド を含む レ イ ヤ 3/4 ポ リ シー マ ッ プのみを指定で き
ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
ク ラ ス コ ン フ ィ ギ ュ レー
ション
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
7.2(4)/8.0(4)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
階層型プ ラ イ オ リ テ ィ キ ュ ー イ ン グは、ト ラ フ ィ ッ ク シ ェ ーピ ン グ キ ュ ーを イ ネーブルにす る イ
ン タ ーフ ェ イ ス で使用 し ます。シ ェーピ ン グ さ れ る ト ラ フ ィ ッ ク のサブセ ッ ト に優先順位を付け
る こ と がで き ます。標準プ ラ イ オ リ テ ィ キ ュ ー（priority-queue コ マ ン ド ）は使用 し ません。
階層型プ ラ イ オ リ テ ィ キ ュ ー イ ン グ では、モ ジ ュ ラ ポ リ シー フ レ ーム ワ ー ク を使用 し て次の タ
ス ク を実行 し ま す。
1.
class-map：プ ラ イ オ リ テ ィ キ ュ ー イ ン グ を実行す る ト ラ フ ィ ッ ク を指定 し ま す。
2.
policy-map（プ ラ イ オ リ テ ィ キ ュ ー イ ン グ の場合）：各 ク ラ ス マ ッ プに関連付け る ア ク シ ョ
ン を指定 し ま す。
a. class：ア ク シ ョ ン を実行す る ク ラ ス マ ッ プ を指定 し ま す。
b. priority： ク ラ ス マ ッ プのプ ラ イ オ リ テ ィ キ ュ ー イ ン グ を イ ネーブルに し ま す。ポ リ シー
マ ッ プ を階層的に使用す る 場合は、こ のポ リ シー マ ッ プに priority コ マ ン ド だけ を含め
る こ と がで き ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-74
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
service-policy（ ク ラ ス）
3.
policy-map（ ト ラ フ ィ ッ ク シ ェ ー ピ ン グ の場合）：class-default ク ラ ス マ ッ プに関連付け る ア
ク シ ョ ン を指定 し ま す。
a. class class-default：ア ク シ ョ ン を実行す る class-default ク ラ ス マ ッ プ を指定 し ま す。
b. shape： ト ラ フ ィ ッ ク シ ェ ー ピ ン グ を ク ラ ス マ ッ プに適用 し ま す。
c. service-policy：プ ラ イ オ リ テ ィ キ ュ ー イ ン グ を シ ェ ー ピ ン グ さ れた ト ラ フ ィ ッ ク のサブ
セ ッ ト に適用で き る よ う に、priority コ マ ン ド を設定 し たプ ラ イ オ リ テ ィ キ ュ ー イ ン グ
ポ リ シー マ ッ プ を呼び出 し ま す。
4.
例
service-policy：ポ リ シー マ ッ プ を イ ン タ ー フ ェ イ ス ご と に、ま たはグ ロ ーバルに割 り 当て
ま す。
次に、outside イ ン タ ー フ ェ イ ス のすべての ト ラ フ ィ ッ ク で ト ラ フ ィ ッ ク シ ェ ー ピ ン グ を イ ネー
ブルに し て、DSCP ビ ッ ト が ef に設定 さ れた VPN tunnel-grp1 内の ト ラ フ ィ ッ ク にプ ラ イ オ リ
テ ィ を付け る 例を示 し ま す。
ciscoasa(config)# class-map TG1-voice
ciscoasa(config-cmap)# match tunnel-group tunnel-grp1
ciscoasa(config-cmap)# match dscp ef
ciscoasa(config)# policy-map priority-sub-policy
ciscoasa(config-pmap)# class TG1-voice
ciscoasa(config-pmap-c)# priority
ciscoasa(config-pmap-c)# policy-map shape_policy
ciscoasa(config-pmap)# class class-default
ciscoasa(config-pmap-c)# shape
ciscoasa(config-pmap-c)# service-policy priority-sub-policy
ciscoasa(config-pmap-c)# service-policy shape_policy interface outside
関連 コ マ ン ド
コ マン ド
説明
class（ポ リ シー マ ッ プ） ポ リ シー マ ッ プに ク ラ ス マ ッ プ を指定 し ま す。
clear configure
サー ビ ス ポ リ シーの コ ン フ ィ ギ ュ レ ーシ ョ ン を ク リ ア し ま す。
service-policy
clear service-policy
サー ビ ス ポ リ シーの統計情報を ク リ ア し ま す。
policy-map
ク ラ ス マ ッ プに対 し て実行す る ア ク シ ョ ン を指定 し ま す。
priority
プ ラ イ オ リ テ ィ キ ュ ー イ ン グ を イ ネーブルに し ま す。
service-policy（グ ロ ーバ イ ン タ ー フ ェ イ ス にポ リ シー マ ッ プ を適用 し ま す。
ル）
shape
ト ラ フ ィ ッ ク シ ェ ー ピ ン グ を イ ネーブルに し ま す。
show running-config
実行 コ ン フ ィ ギ ュ レ ーシ ョ ン に設定 さ れてい る サー ビ ス ポ リ シー を
service-policy
表示 し ま す。
show service-policy
サー ビ ス ポ リ シーの統計情報を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-75
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
service-policy（グ ローバル）
service-policy（グローバル）
すべての イ ン タ ーフ ェ イ ス で グ ロ ーバルに、ま たは特定の イ ン タ ーフ ェ イ ス でポ リ シー マ ッ プ を
ア ク テ ィ ブにす る には、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で service-policy コ マ ン ド を
使用 し ます。サービ ス ポ リ シーをデ ィ セーブルにす る には、こ の コ マ ン ド の no 形式を使用 し ま
す。イ ン タ ーフ ェ イ ス でポ リ シーのセ ッ ト を イ ネーブルにす る には、service-policy コ マ ン ド を使
用 し ま す。
service-policy policymap_name [global | interface intf ] [fail-close]
no service-policy policymap_name [global | interface intf ] [fail-close]
構文の説明
fail-close
IPv6 ト ラ フ ィ ッ ク を サポー ト し てい ない ア プ リ ケーシ ョ ン イ ン ス ペ
ク シ ョ ン に よ っ て ド ロ ッ プ さ れた IPv6 ト ラ フ ィ ッ ク に対 し て syslog
（767001）を生成 し ま す。デ フ ォ ル ト では、syslog が生成 さ れ ま せん。
global
すべて の イ ン タ ー フ ェ イ ス にポ リ シー マ ッ プ を適用 し ま す。
interface intf
特定の イ ン タ ー フ ェ イ ス にポ リ シー マ ッ プ を適用 し ま す。
policymap_name
policy-map コ マ ン ド で設定 し た ポ リ シー マ ッ プ名を指定 し ま す。レ イ
ヤ 3/4 ポ リ シー マ ッ プのみを指定で き ま す。イ ン ス ペ ク シ ョ ン ポ リ
シー マ ッ プ（policy-map type inspect）は指定で き ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
•
Yes
•
Yes
•
Yes
リ リ ース
7.0(1)
変更内容
9.0(1)
fail-close キー ワ ー ド が追加 さ れ ま し た。
コ ン テキス ト シ ス テム
•
Yes
—
こ の コ マ ン ド が追加 さ れ ま し た。
サービ ス ポ リ シーを イ ネーブルにす る には、モ ジ ュ ラ ポ リ シー フ レ ーム ワ ー ク を使用 し ま す。
1.
class-map：プ ラ イ オ リ テ ィ キ ュ ー イ ン グ を実行す る ト ラ フ ィ ッ ク を指定 し ま す。
2.
policy-map：各 ク ラ ス マ ッ プに関連付け る ア ク シ ョ ン を指定 し ま す。
a. class：ア ク シ ョ ン を実行す る ク ラ ス マ ッ プ を指定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-76
マルチ
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
service-policy（グ ローバル）
b. commands for supported features：特定の ク ラ ス マ ッ プについて、QoS、ア プ リ ケーシ ョ ン
イ ン ス ペ ク シ ョ ン、CSC ま たは AIP SSM、TCP 接続 と UDP 接続の制限 と タ イ ム ア ウ ト 、
TCP 正規化な ど 、さ ま ざ ま な機能の多数の ア ク シ ョ ン を設定で き ま す。各機能で使用可
能な コ マ ン ド の詳細については、CLI 設定ガ イ ド を参照 し て く だ さ い。
3.
service-policy：ポ リ シー マ ッ プ を イ ン タ ー フ ェ イ ス ご と に、ま たはグ ロ ーバルに割 り 当て
ま す。
イ ン タ ーフ ェ イ ス サービ ス ポ リ シーは、特定の機能に対す る グ ロ ーバル サービ ス ポ リ シー よ り
優先 さ れ ま す。た と えば、イ ン ス ペ ク シ ョ ン のグ ロ ーバル ポ リ シーがあ り 、TCP 正規化の イ ン タ ー
フ ェ イ ス ポ リ シーがあ る 場合、イ ン タ ーフ ェ イ ス に対 し て イ ン ス ペ ク シ ョ ン と TCP 正規化の両
方が適用 さ れ ます。ただ し 、イ ン ス ペ ク シ ョ ン のグ ロ ーバル ポ リ シーがあ り 、イ ン ス ペ ク シ ョ ン の
イ ン タ ーフ ェ イ ス ポ リ シー も あ る 場合、その イ ン タ ーフ ェ イ ス には イ ン タ ーフ ェ イ ス ポ リ シー
の イ ン ス ペ ク シ ョ ン のみが適用 さ れ ま す。
デ フ ォ ル ト では、すべて のデ フ ォ ル ト ア プ リ ケーシ ョ ン イ ン ス ペ ク シ ョ ン ト ラ フ ィ ッ ク に一致
す る グ ロ ーバル ポ リ シーが コ ン フ ィ ギ ュ レ ーシ ョ ン に含 ま れ、すべての イ ン ス ペ ク シ ョ ン が ト
ラ フ ィ ッ ク に グ ロ ーバルに適用 さ れ ま す。適用で き る グ ロ ーバル ポ リ シーは 1 つだけ なので、グ
ロ ーバル ポ リ シーを変更す る 場合は、デ フ ォ ル ト のポ リ シーを編集す る か、デ フ ォ ル ト のポ リ
シーをデ ィ セーブルに し て新 し いポ リ シーを適用 し ま す。
デ フ ォ ル ト サービ ス ポ リ シーには、次の コ マ ン ド が含 ま れてい ま す。
service-policy global_policy global
例
次に、outside イ ン タ ー フ ェ イ ス で inbound_policy ポ リ シー マ ッ プ を イ ネーブルにす る 例を示 し
ま す。
ciscoasa(config)# service-policy inbound_policy interface outside
次の コ マ ン ド は、デ フ ォ ル ト グ ロ ーバル ポ リ シーをデ ィ セーブルに し 、他のすべてのASA イ ン
タ ー フ ェ イ ス で新 し いポ リ シー new_global_policy を イ ネーブルに し ま す。
ciscoasa(config)# no service-policy global_policy global
ciscoasa(config)# service-policy new_global_policy global
関連 コ マ ン ド
コ マン ド
clear configure
service-policy
説明
clear service-policy
サー ビ ス ポ リ シーの統計情報を ク リ ア し ま す。
サー ビ ス ポ リ シーの コ ン フ ィ ギ ュ レ ーシ ョ ン を ク リ ア し ま す。
service-policy（ ク ラ ス） 別のポ リ シー マ ッ プの下に階層型ポ リ シーを適用 し ま す。
show running-config
実行 コ ン フ ィ ギ ュ レ ーシ ョ ン に設定 さ れてい る サー ビ ス ポ リ シー を
service-policy
表示 し ま す。
show service-policy
サー ビ ス ポ リ シーの統計情報を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-77
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
session
session
ASA か ら モ ジ ュ ール（IPS SSP や CSC SSM な ど ）への Telnet セ ッ シ ョ ン を確立 し て、モ ジ ュ ール
CLI に ア ク セ ス す る には、特権 EXEC モー ド で session コ マ ン ド を使用 し ま す。
session id
構文の説明
モ ジ ュ ール ID を指定 し ま す。
id
•
物理モ ジ ュ ール：1（ ス ロ ッ ト 番号 1 の場合）
•
ソ フ ト ウ ェ ア モ ジ ュ ール、ASA FirePOWER：sfr
•
ソ フ ト ウ ェ ア モ ジ ュ ール、IPS：ips
•
ソ フ ト ウ ェ ア モ ジ ュ ール、ASA CX：cxsc
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表は、こ の コ マ ン ド を入力で き る モー ド を示 し てい ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
•
Yes
リ リ ース
7.0(1)
変更内容
8.6(1)
IPS SSP ソ フ ト ウ ェ ア モ ジ ュ ールに対 し て ips モ ジ ュ ール ID が追加 さ
れ ま し た。
9.1(1)
ASA CX モ ジ ュ ールのサポー ト が追加 さ れ ま し た（cxsc キー ワ ー ド ）。
9.2(1)
ASA FirePOWER モ ジ ュ ールのサポー ト が追加 さ れ ま し た（sfr キー
ワ ー ド ）。
こ の コ マ ン ド が追加 さ れ ま し た。
こ の コ マ ン ド は、モ ジ ュ ールが ア ッ プ状態で あ る 場合にのみ使用で き ま す。状態情報について
は、show module コ マ ン ド を参照 し て く だ さ い。
セ ッ シ ョ ン を終了す る には、exit と 入力す る か、ま たは Ctrl+Shift+6 を押 し てか ら x キーを押 し
ま す。
次のハー ド ウ ェ ア モ ジ ュ ールでは session 1 コ マ ン ド を使用で き ない こ と に注意 し て く だ さ い。
•
ASA CX
•
ASA FirePOWER
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-78
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
session
例
次に、ス ロ ッ ト 1 のモ ジ ュ ールへのセ ッ シ ョ ン を確立す る 例を示 し ま す。
ciscoasa# session 1
Opening command session with slot 1.
Connected to slot 1.Escape character sequence is 'CTRL-^X'.
関連 コ マ ン ド
コ マン ド
debug session-command
説明
セ ッ シ ョ ン のデバ ッ グ メ ッ セージ を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-79
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
session console
session console
ASA か ら ソ フ ト ウ ェ ア モ ジ ュ ール（IPS SSP ソ フ ト ウ ェ ア モ ジ ュ ールな ど ）への仮想 コ ン ソ ール
セ ッ シ ョ ン を確立す る には、特権 EXEC モー ド で session console コ マ ン ド を使用 し ま す。こ の コ
マ ン ド は、コ ン ト ロ ール プ レ ーン がダ ウ ン し てい る ために session コ マ ン ド を使用 し て Telnet
セ ッ シ ョ ン を確立で き ない場合に便利です。
session id console
構文の説明
id
モ ジ ュ ール ID を指定 し ま す。
•
ASA FirePOWER モ ジ ュ ール：sfr
•
IPS モ ジ ュ ール：ips
•
ASA CX モ ジ ュ ール：cxsc
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表は、こ の コ マ ン ド を入力で き る モー ド を示 し てい ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
•
Yes
リ リ ース
8.6(1)
変更内容
9.1(1)
ASA CX モ ジ ュ ールのサポー ト が追加 さ れ ま し た（cxsc キー ワ ー ド ）。
9.2(1)
ASA FirePOWER モ ジ ュ ールのサポー ト が追加 さ れ ま し た（sfr キー
ワ ー ド ）。
こ の コ マ ン ド が追加 さ れ ま し た。
セ ッ シ ョ ン を終了す る には、Ctrl-Shift-6 を押 し てか ら x キーを押 し ま す。
こ の コ マ ン ド は、Ctrl+Shift+6、x が タ ー ミ ナル サーバのプ ロ ン プ ト に戻 る エ ス ケープ シーケ ン
ス で あ る タ ー ミ ナル サーバ と と も に使用 し ないで く だ さ い。Ctrl+Shift+6、x は、モ ジ ュ ール コ ン
ソ ール を エ ス ケープ し ASA プ ロ ン プ ト に戻 る シーケ ン ス で も あ り ま す。し たが っ て、こ の状況
でモ ジ ュ ール コ ン ソ ール を終了 し よ う と す る と 、代わ り に タ ー ミ ナル サーバ プ ロ ン プ ト に戻 り
ま す。ASA に タ ー ミ ナル サーバ を再接続す る と 、モ ジ ュ ール コ ン ソ ール セ ッ シ ョ ン が ま だ ア ク
テ ィ ブ な ま ま で あ り 、ASA プ ロ ン プ ト に戻 る こ と がで き ま せん。ASA プ ロ ン プ ト に コ ン ソ ール
を戻すには、直接シ リ アル接続を使用す る 必要が あ り ま す。
代わ り に session コ マ ン ド を使用 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-80
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
session console
例
次に、IPS モ ジ ュ ールへの コ ン ソ ール セ ッ シ ョ ン を作成す る 例を示 し ま す。
ciscoasa# session ips console
Establishing console session with slot 1
Opening console session with module ips.
Connected to module ips.Escape character sequence is 'CTRL-SHIFT-6 then x'.
sensor login: service
Password: test
関連 コ マ ン ド
コ マン ド
session
説明
show module log console
コ ン ソ ール ロ グ情報を表示 し ま す。
モ ジ ュ ールへの Telnet セ ッ シ ョ ン を開始 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-81
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
session do
session do
ASA か ら モ ジ ュ ールへの Telnet セ ッ シ ョ ン を確立 し 、コ マ ン ド を実行す る には、特権 EXEC モー
ド で session do コ マ ン ド を使用 し ま す。
session id do command
構文の説明
id
command
モ ジ ュ ール ID を指定 し ま す。
•
物理モ ジ ュ ール：1（ ス ロ ッ ト 番号 1 の場合）
•
ソ フ ト ウ ェ ア モ ジ ュ ール、ASA FirePOWER：sfr
•
ソ フ ト ウ ェ ア モ ジ ュ ール、IPS：ips
•
ソ フ ト ウ ェ ア モ ジ ュ ール、ASA CX：cxsc
モ ジ ュ ールで コ マ ン ド を実行 し ま す。サポー ト さ れ る コ マ ン ド は次の
と お り です。
•
setup host ip ip_address/mask,gateway_ip：管理 IP ア ド レ ス お よ び
ゲー ト ウ ェ イ を設定 し ま す。
•
get-config：モ ジ ュ ール コ ン フ ィ ギ ュ レ ーシ ョ ン を取得 し ま す。
•
password-reset：モ ジ ュ ール パ ス ワ ー ド をデ フ ォ ル ト に リ セ ッ ト し
ま す。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表は、こ の コ マ ン ド を入力で き る モー ド を示 し てい ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
ルーテ ッ ド
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
•
Yes
リ リ ース
7.1(1)
変更内容
8.6(1)
IPS SSP ソ フ ト ウ ェ ア モ ジ ュ ールに対 し て ips モ ジ ュ ール ID が追加 さ
れ ま し た。
8.4(4.1)
ASA CX モ ジ ュ ールのサポー ト が追加 さ れ ま し た。
9.2(1)
sfr キー ワ ー ド の追加に よ り 、ASA FirePOWER モ ジ ュ ールのサポー ト
が追加 さ れ ま し た。
こ の コ マ ン ド が追加 さ れ ま し た。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-82
ト ラ ン スペ
アレン ト
シ ン グル
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
session do
使用上のガイ ド ラ イ ン
こ の コ マ ン ド は、モ ジ ュ ールが ア ッ プ状態で あ る 場合にのみ使用で き ま す。状態情報について
は、show module コ マ ン ド を参照 し て く だ さ い。
セ ッ シ ョ ン を終了す る には、exit と 入力す る か、ま たは Ctrl+Shift+6 を押 し てか ら X キーを押 し
ま す。
例
次に、管理 IP ア ド レ ス を 10.1.1.2/24 に、デ フ ォ ル ト ゲー ト ウ ェ イ を 10.1.1.1 に設定す る 例を示 し
ま す。
ciscoasa# session 1 do setup host ip 10.1.1.2/24,10.1.1.1
関連 コ マ ン ド
コ マン ド
debug session-command
説明
セ ッ シ ョ ン のデバ ッ グ メ ッ セージ を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-83
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
session ip
session ip
モ ジ ュ ール（IPS SSP や CSC SSM な ど ）に ロ ギ ン グ IP ア ド レ ス を設定す る には、特権 EXEC モー
ド で session ip コ マ ン ド を使用 し ま す。
session id ip {address address mask | gateway address}
構文の説明
id
address address
モ ジ ュ ール ID を指定 し ま す。
•
物理モ ジ ュ ール：1（ ス ロ ッ ト 番号 1 の場合）
•
ソ フ ト ウ ェ ア モ ジ ュ ール、IPS：ips
syslog サーバ ア ド レ ス を設定 し ま す。
gateway address
ゲー ト ウ ェ イ を syslog サーバに設定 し ま す。
mask
サブネ ッ ト マ ス ク を設定 し ま す。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表は、こ の コ マ ン ド を入力で き る モー ド を示 し てい ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
•
Yes
リ リ ース
7.1(1)
変更内容
8.4(4.1)
ASA CX モ ジ ュ ールのサポー ト が追加 さ れ ま し た。
8.6(1)
IPS SSP ソ フ ト ウ ェ ア モ ジ ュ ールに対 し て ips モ ジ ュ ール ID が追加 さ
れ ま し た。
こ の コ マ ン ド が追加 さ れ ま し た。
こ の コ マ ン ド は、モ ジ ュ ールが ア ッ プ状態で あ る 場合にのみ使用で き ま す。状態情報について
は、show module コ マ ン ド を参照 し て く だ さ い。
セ ッ シ ョ ン を終了す る には、exit と 入力す る か、ま たは Ctrl+Shift+6 を押 し てか ら X キーを押 し
ま す。
例
次に、ス ロ ッ ト 1 のモ ジ ュ ールへのセ ッ シ ョ ン を確立す る 例を示 し ま す。
ciscoasa# session 1 ip address
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-84
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
session ip
関連 コ マ ン ド
コ マン ド
debug session-command
説明
セ ッ シ ョ ン のデバ ッ グ メ ッ セージ を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-85
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
session-limit
session-limit
同時接続 MDM プ ロ キ シ セ ッ シ ョ ン の最大数を設定 し ま す。config-mdm-proxy モー ド で使用 し
ま す。こ の コ マ ン ド の no 形式で、設定済みの制限値を指定す る 必要が あ り ま す。
session-limit session-limit
no session-limit session-limit
構文の説明
session-limit
デフ ォル ト
デ フ ォ ル ト のセ ッ シ ョ ン制限は 1000 です。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
同時接続 MDM セ ッ シ ョ ン の最大数を設定 し
ま す。有効な範囲は 1 ～ 10000 で、デ フ ォ ル ト
は 1000 です。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
config-mdm-proxy
コ マ ン ド 履歴
リ リ ース
9.3(1)
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
マルチ
—
—
•
Yes
コ ン テキス ト シ ス テム
—
変更内容
MDM プ ロ キ シ サービ ス 用の コ マ ン ド が追加 さ れ ま し た。
次に、MDM プ ロ キ シ サー ビ ス に対 し て セ ッ シ ョ ン制限を 5000 に設定す る 例を示 し ま す。
例
ciscoasa (config)# mdm-proxy
ciscoasa (config-mdm-proxy)# session-limit 5000
関連 コ マ ン ド
コ マン ド
mdm-proxy
説明
show running-config
mdm-proxy
現在の MDM プ ロ キ シ コ ン フ ィ ギ ュ レ ーシ ョ ン を表示 し ま す。
config-mdm-proxy モー ド を開始 し 、MDM プ ロ キ シ サービ ス を
設定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-86
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
session-timeout
session-timeout
MDM プ ロ キ シ の登録お よ びチ ェ ッ ク イ ン セ ッ シ ョ ン の最大継続時間（秒）を設定 し ま す。
config-mdm-proxy モー ド で使用 し ま す。こ の コ マ ン ド の no 形式で、設定済みの タ イ ム ア ウ ト を
指定す る 必要が あ り ま す。
session-timeout [enrollment seconds] [checkin seconds]
no session-timeout [enrollment seconds] [checkin seconds]
構文の説明
seconds
デフ ォル ト
デ フ ォ ル ト のセ ッ シ ョ ン タ イ ム ア ウ ト は 300 秒です。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
MDM の登録お よ びチ ェ ッ ク イ ン セ ッ シ ョ ン の
最大継続時間（秒）。有効な範囲は、60 ～ 600 で
す。デフ ォ ル ト 値は 300 秒です。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
config-mdm-proxy
コ マ ン ド 履歴
例
リ リ ース
9.3(1)
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
•
Yes
—
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
—
変更内容
MDM プ ロ キ シ サービ ス 用の コ マ ン ド が追加 さ れ ま し た。
次に、MDM プ ロ キ シのチ ェ ッ ク イ ン セ ッ シ ョ ン のセ ッ シ ョ ン タ イ ム ア ウ ト を 600 秒に設定す
る 例を示 し ま す。
ciscoasa (config)# mdm-proxy
ciscoasa (config-mdm-proxy)# session-timeout checkin 600
関連 コ マ ン ド
コ マン ド
mdm-proxy
説明
show running-config
mdm-proxy
現在の MDM プ ロ キ シ コ ン フ ィ ギ ュ レ ーシ ョ ン を表示 し ま す。
config-mdm-proxy モー ド を開始 し 、MDM プ ロ キ シ サービ ス を
設定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-87
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set as-path
set as-path
BGP ルー ト の自律シ ス テ ム パ ス を変更す る には、ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド
で set as-path コ マ ン ド を使用 し ま す。自律シ ス テ ム パ ス を変更 し ない よ う にす る には、こ の コ マ
ン ド の no 形式 を使用 し ま す。
set as-path {tag | prepend as-path-string}
no set as-path {tag | prepend as-path-string}
as-path-string
構文の説明
AS_PATH 属性に付加す る 自律シ ス テ ム の番号。こ の引数の値の範囲
は、1 ～ 65535 の有効な自律シ ス テ ム番号です。複数の値を入力で き ま
す。最大 10 個の AS 番号を入力で き ま す。
自律シ ス テ ム の番号形式の詳細につい ては、router bgp コ マ ン ド を参
照 し て く だ さ い。
prepend
ルー ト マ ッ プに よ り 照合 さ れたルー ト の自律シ ス テ ム パ ス に、キー
ワ ー ド prepend に続いて文字列を付加 し ま す。BGP の イ ン バ ウ ン ド
ルー ト マ ッ プお よ びア ウ ト バ ウ ン ド ルー ト マ ッ プに適用 し ま す。
tag
ルー ト の タ グ を自律シ ス テ ム パ ス に変換 し ます。BGP にルー ト を再配
布す る と き のみ適用 さ れ ます。
デフ ォル ト
自律シ ス テ ム パ ス は変更 さ れ ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
ルー ト マ ッ プ コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
9.2(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
—
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
最適なパ ス 選択に影響を与え る 唯一の グ ロ ーバル BGP メ ト リ ッ ク は、自律シ ス テ ム パ ス 長で
す。自律シ ス テ ム パ ス の長 さ を変え る こ と で、BGP ス ピ ーカーは遠 く の ピ ア に よ る 最適なパ ス
選択に影響を与え ま す。
タ グ を自律シ ス テ ム パ ス に変換す る こ と で、こ の コ マ ン ド の set as-path tag のバ リ エーシ ョ ン
に よ り 、自律シ ス テ ム長を変更で き ま す。set as-path prepend のバ リ エーシ ョ ン を使用すれば、任
意の自律シ ス テ ム パ ス 文字列を BGP ルー ト に「付加」で き ま す。通常、ロ ーカルな自律シ ス テ ム
番号は複数回追加 さ れ、AS パ ス 長が増 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-88
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set as-path
シ ス コ が採用 し てい る 4 バ イ ト 自律シ ス テ ム番号は、自律シ ス テ ム番号の正規表現のマ ッ チ ン
グお よ び出力表示形式のデ フ ォ ル ト と し て asplain（た と えば、65538）を使用 し てい ま すが、RFC
5396 に記載 さ れてい る と お り 、4 バ イ ト 自律シ ス テ ム番号を asplain 形式お よ び asdot 形式の両方
で設定で き ま す。4 バ イ ト 自律シ ス テ ム番号の正規表現マ ッ チ ン グ と 出力表示のデ フ ォ ル ト を
asdot 形式に変更す る には、bgp asnotation dot コ マ ン ド に続け て、clear bgp * コ マ ン ド を実行 し 、
現在の BGP セ ッ シ ョ ン をすべてハー ド リ セ ッ ト し ま す。
例
次に、再配布 さ れたルー ト の タ グ を自律シ ス テ ム パ ス に変換す る 例を示 し ま す。
ciscoasa(config)# route-map set-as-path-from-tag
ciscoasa(config-route-map)# set as-path tag
ciscoasa(config-route-map)# router bgp 100
ciscoasa(config-router)# address-family ipv4
ciscoasa(config-router-af)# redistribute ospf 109 route-map set-as-path-from-tag
次に、10.108.1.1 にア ド バ タ イ ズ さ れたすべてのルー ト に 100 100 100 を付加す る 例を示 し ま す。
ciscoasa(config)# route-map set-as-path
ciscoasa(config-route-map)# match as-path 1
ciscoasa(config-route-map)# set as-path prepend 100 100 100
ciscoasa(config-route-map)# router bgp 100
ciscoasa(config-router)# address-family ipv4
ciscoasa(config-router-af)# neighbor 10.108.1.1 route-map set-as-path out
関連 コ マ ン ド
コ マン ド
clear bgp
説明
bgp asnotation dot
デ フ ォ ル ト の表示を変更 し 、ボーダー ゲー ト ウ ェ イ プ ロ ト コ ル
（BGP）4 バ イ ト 自律シ ス テ ム番号の正規表現一致形式を、asplain 形式
（10 進数の値）か ら ド ッ ト 付 き 表記に し ま す。
ハー ド ま たは ソ フ ト の再設定を使用 し て BGP 接続を リ セ ッ ト し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-89
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set automatic-tag
set automatic-tag
自動的に タ グ値を計算す る には、ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で set
automatic-tag コ マ ン ド を使用 し ま す。こ の機能をデ ィ セーブルにす る には、こ の コ マ ン ド の no 形
式を使用 し ま す。
set automatic-tag
no set automatic-tag
構文の説明
こ の コ マ ン ド には、引数ま たはキー ワー ド はあ り ません。
デフ ォル ト
こ の コ マ ン ド は、デフ ォ ル ト でデ ィ セーブルにな っ てい ます。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
ルー ト マ ッ プ コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
9.2(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
—
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
タ グ を設定す る 場合は、match 句を使用す る 必要が あ り ま す（permit everything を指 し てい る 場合
で も ）。
あ る ルーテ ィ ン グ プ ロ ト コ ルか ら 別のルーテ ィ ン グ プ ロ ト コ ルにルー ト を再配布す る 条件を
定義す る には、route-map グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド と 、match お よ び set
route-map コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド を使用 し ま す。route-map コ マ ン ド ご と に、それに
関連 し た match お よ び set コ マ ン ド の リ ス ト が あ り ま す。match コ マ ン ド は、一致基準、つ ま り 現
在の route-map コ マ ン ド について再配布を許可す る 条件を指定 し ま す。set コ マ ン ド には、set 処
理、つ ま り match コ マ ン ド で指定 し た基準を満た し てい る 場合に実行す る 特定の再配布ア ク
シ ョ ン を指定 し ま す。no route-map コ マ ン ド は、ルー ト マ ッ プ を削除 し ま す。
set route-map コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド を使用す る と 、ルー ト マ ッ プのすべての一致基
準が満た さ れた と き に実行 さ れ る 再配布 set 処理を指定 し ま す。すべての一致基準を満たす と 、
すべての set 処理が実行 さ れ ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-90
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set automatic-tag
例
次に、ボーダー ゲー ト ウ ェ イ プ ロ ト コ ル（BGP）で学習 さ れたルー ト の タ グ値が自動的に計算 さ
れ る よ う に Cisco ASA ソ フ ト ウ ェ ア を設定す る 例を示 し ま す。
ciscoasa(config-route-map)# route-map tag
ciscoasa(config-route-map)# match as-path 10
iscoasa(config-route-map)# set automatic-tag
ciscoasa(config-route-map)# router bgp 100
ciscoasa(config-router)# address-family ipv4
ciscoasa(config-router-af)# table-map tag
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-91
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set community
set community
BGP コ ミ ュ ニ テ ィ 属性を設定す る には、set community ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン
コ マ ン ド を使用 し ま す。エ ン ト リ を削除す る には、こ の コ マ ン ド の no 形式を使用 し ま す。
set community {community-number [additive] | [well-known-community] [additive] | none}
no set community
additive
community-number
構文の説明
none
well-known-community
（オプシ ョ ン）既存の コ ミ ュ ニテ ィ に コ ミ ュ ニテ ィ を追加 し ます。
その コ ミ ュ ニ テ ィ 番号を指定 し ま す。有効な値は、1 ～ 4294967200、
no-export、ま たは no-advertise です。
（オプシ ョ ン）ルー ト マ ッ プ を渡すプ レ フ ィ ッ ク ス か ら コ ミ ュ ニ テ ィ
属性を削除 し ま す。
（オプシ ョ ン）次の キー ワ ー ド を使用す る こ と に よ り 、ウ ェ ル ノ ウ ン コ
ミ ュ ニ テ ィ を指定で き ま す。
•
internet
•
local-as
•
no-advertise
•
no-export
デフ ォル ト
BGP コ ミ ュ ニ テ ィ 属性は存在 し ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルー ト マ ッ プ コ ン フ ィ ギ ュ
レ ーシ ョ ン
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
• Yes
—
• Yes
マルチ
コ ン テキス ト シ ス テム
• Yes
—
コ マ ン ド 履歴
リ リ ース
9.2(1)
使用上のガイ ド ラ イ ン
タ グ を設定す る 場合は、match 句を使用す る 必要が あ り ま す（「permit everything」 リ ス ト を指 し て
い る 場合で も ）。
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
あ る ルーテ ィ ン グ プ ロ ト コ ルか ら 別のルーテ ィ ン グ プ ロ ト コ ルにルー ト を再配布す る 条件を
定義す る には、route-map グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド と 、match お よ び set
route-map コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド を使用 し ま す。route-map コ マ ン ド ご と に、それに
関連 し た match お よ び set コ マ ン ド の リ ス ト が あ り ま す。match コ マ ン ド は、一致基準（現在の
route-map コ マ ン ド で再配布が許可 さ れ る 条件）を指定 し ま す。set コ マ ン ド は、set 処理（match
コ マ ン ド に よ っ て強制 さ れ る 基準が満た さ れた場合に実行 さ れ る 特定の再配布ア ク シ ョ ン）を
指定 し ま す。no route-map コ マ ン ド は、ルー ト マ ッ プ を削除 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-92
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set community
set ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド は、ルー ト マ ッ プのすべての一致基準が満
た さ れた と き に実行 さ れ る 再配布 set 処理 を指定 し ま す。すべての一致基準を満たす と 、すべて
の set 処理が実行 さ れ ま す。
例
次の例では、自律シ ス テ ム パ ス ア ク セ ス リ ス ト 1 を通過す る ルー ト の コ ミ ュ ニ テ ィ が 109 に設
定 さ れ ま す。自律シ ス テ ム パ ス ア ク セ ス リ ス ト 2 を通過す る ルー ト の コ ミ ュ ニ テ ィ は、
no-export（ こ れ ら のルー ト が ど の eBGP ピ ア に も ア ド バ タ イ ズ さ れない）に設定 さ れ ま す。
ciscoasa(config-route-map)#
ciscoasa(config-route-map)#
ciscoasa(config-route-map)#
ciscoasa(config-route-map)#
ciscoasa(config-route-map)#
ciscoasa(config-route-map)#
関連 コ マ ン ド
コ マン ド
match as-path
set community
match as-path
set community
set community
match as-path
set community
10
1
109
20
2
no-export
説明
ア ク セ ス リ ス ト に よ っ て指定 さ れた BGP 自律シ ス テ ム パ ス を照合 し
ます。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-93
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set connection
set connection
ポ リ シー マ ッ プ内の ト ラ フ ィ ッ ク ク ラ ス に対 し て接続制限を指定す る には、ク ラ ス コ ン フ ィ
ギ ュ レ ーシ ョ ン モー ド で set connection コ マ ン ド を使用 し ま す。こ れ ら の指定を削除 し て、無制
限の接続数を許可す る には、こ の コ マ ン ド の no 形式を使用 し ま す。
set connection {[conn-max n] [embryonic-conn-max n] [per-client-embryonic-max n]
[per-client-max n] [random-sequence-number {enable | disable}]}
no set connection {[conn-max n] [embryonic-conn-max n] [per-client-embryonic-max n]
[per-client-max n] [random-sequence-number {enable | disable}]}
構文の説明
conn-max n
許可す る TCP ま たは UDP 同時接続最大数を 0 ～ 2000000 の範
囲で設定 し ま す。デ フ ォ ル ト は 0 で、こ の場合は接続数が制限 さ
れ ま せん。た と えば、TCP ま たは UDP の同時接続を許可す る よ う
に 2 つのサーバが設定 さ れてい る 場合、接続制限数は、設定 さ れ
てい る 各サーバに別々に適用 さ れ ま す。ク ラ ス に設定 さ れた場
合、こ の引数では、ク ラ ス 全体で許可 さ れ る 同時接続最大数が制
限 さ れ ま す。こ の場合、1 つの攻撃ホ ス ト がすべての接続を使い
果た し 、ク ラ ス におい て ア ク セ ス リ ス ト に一致す る 他の ホ ス ト
が使用で き る 接続がな く な る 可能性が あ り ま す。
embryonic-conn-max n
許可す る 同時初期接続最大数を 0 ～ 2000000 の範囲で設定 し ま
す。デ フ ォ ル ト は 0 で、こ の場合は接続数が制限 さ れ ま せん。
per-client-embryonic-max n
ク ラ イ ア ン ト ご と に許可す る 同時初期接続最大数を 0 ～
2000000 の範囲で設定 し ま す。ク ラ イ ア ン ト は、ASA か ら （新規接
続を作成す る ）接続の初期パケ ッ ト を送信す る ホ ス ト と し て定義
さ れ ま す。access-list が class-map と と も に使用 さ れ、こ の機能の
ト ラ フ ィ ッ ク が照合 さ れ る 場合、初期接続制限は、ア ク セ ス リ ス
ト に一致す る すべての ク ラ イ ア ン ト の累積初期接続数ではな く 、
ホ ス ト ご と に適用 さ れ ま す。デ フ ォ ル ト は 0 で、こ の場合は接続
数が制限 さ れ ま せん。こ の キー ワ ー ド は、管理 ク ラ ス マ ッ プでは
使用で き ま せん。
per-client-max n
ク ラ イ ア ン ト ご と に許可す る 同時接続最大数を 0 ～ 2000000 の
範囲で設定 し ま す。ク ラ イ ア ン ト は、ASA か ら （新規接続を作成
す る ）接続の初期パケ ッ ト を送信す る ホ ス ト と し て定義 さ れ ま
す。access-list が class-map と と も に使用 さ れ、こ の機能の ト ラ
フ ィ ッ ク が照合 さ れ る 場合、接続制限は、ア ク セ ス リ ス ト に一致
す る すべて の ク ラ イ ア ン ト の累積接続数ではな く 、ホ ス ト ご と に
適用 さ れ ま す。デ フ ォ ル ト は 0 で、こ の場合は接続数が制限 さ れ
ま せん。こ の キー ワ ー ド は、管理 ク ラ ス マ ッ プでは使用で き ま せ
ん。ク ラ ス に設定 さ れた場合、こ の キー ワ ー ド では、ク ラ ス におい
て ア ク セ ス リ ス ト に一致す る 各ホ ス ト に許可 さ れ る 同時接続最
大数が制限 さ れ ま す。
random-sequence-number
{enable | disable}
TCP シーケ ン ス 番号 ラ ン ダ ム化を イ ネーブル ま たはデ ィ セーブ
ルに し ま す。こ の キー ワ ー ド は、管理 ク ラ ス マ ッ プでは使用で き
ま せん。詳細につい ては、「使用上のガ イ ド ラ イ ン」の項 を参照 し
て く だ さ い。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-94
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set connection
デフ ォル ト
conn-max、embryonic-conn-max、per-client-embryonic-max、お よ び per-client-max の各パ ラ メ ー
タ の n のデ フ ォ ル ト 値は、0（接続数の制限な し ）です。
シーケ ン ス 番号 ラ ン ダ ム化は、デ フ ォ ル ト で イ ネーブルです。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
ク ラ ス コ ン フ ィ ギ ュ レー
ション
コ マ ン ド 履歴
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
リ リ ース
7.0(1)
変更内容
7.1(1)
per-client-embryonic-max キー ワ ー ド お よ び per-client-max キー ワ ー ド が追
加 さ れ ま し た。
8.0(2)
こ の コ マ ン ド が、ASAへの管理 ト ラ フ ィ ッ ク におい て、レ イ ヤ 3/4 管理 ク ラ ス
マ ッ プで も 使用で き る よ う にな り ま し た。conn-max キー ワ ー ド お よ び
embryonic-conn-max キー ワ ー ド だけが使用可能です。
9.0(1)
最大接続数が 65535 か ら 2000000 に増え ま し た。
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
モジ ュ ラ ポ リ シー フ レーム ワ ー ク を使用 し て こ の コ マ ン ド を設定 し ま す。最初に、class-map コ
マ ン ド （通過 ト ラ フ ィ ッ ク ）ま たは class-map type management コ マ ン ド （管理 ト ラ フ ィ ッ ク ）を使
用 し て、タ イ ム ア ウ ト を適用す る ト ラ フ ィ ッ ク を定義 し ま す。次に、policy-map コ マ ン ド を入力 し
て ポ リ シーを定義 し 、class コ マ ン ド を入力 し て ク ラ ス マ ッ プ を参照 し ま す。ク ラ ス コ ン フ ィ ギ ュ
レーシ ョ ン モー ド で、set connection コ マ ン ド を入力で き ます。最後に、service-policy コ マ ン ド を
使用 し て、イ ン タ ーフ ェ イ ス にポ リ シー マ ッ プ を適用 し ま す。モジ ュ ラ ポ リ シー フ レーム ワ ー ク
の動作の詳細については、CLI 設定ガ イ ド を参照 し て く だ さ い。
（注）
ASA モデル上の CPU コ ア数に よ っ ては、同時接続お よ び初期接続の最大数が、各 コ アに よ る 接続
の管理方法が原因で、設定 さ れてい る 数を超え る 場合があ り ます。最悪の場合、ASA は最大 n-1 の
追加接続お よ び初期接続を許可 し ます。こ こ で、n は コ アの数です。た と えば、モデルに 4 つの コ ア
があ り 、6 つの同時接続お よ び 4 つの初期接続を設定 し た場合は、各 タ イ プで 3 つの追加接続を使
用で き ます。ご使用のモデルの コ ア数を確認す る には、show cpu core コ マ ン ド を入力 し ま す。
TCP 代行受信の概要
初期接続の数を制限す る こ と で、DoS 攻撃（サービ ス 拒絶攻撃）か ら 保護 さ れ ま す。ASA では、ク
ラ イ ア ン ト あ た り の制限値 と 初期接続の制限を利用 し て TCP 代行受信 を開始 し ま す。代行受信
に よ っ て、TCP SYN パケ ッ ト を使用 し て イ ン タ ー フ ェ イ ス を フ ラ ッ デ ィ ン グす る DoS 攻撃か ら
内部シ ス テ ム を保護 し ま す。初期接続 と は、送信元 と 宛先の間で必要にな る ハ ン ド シ ェ イ ク を完
了 し ていない接続要求の こ と です。TCP 代行受信では、SYN ク ッ キー アル ゴ リ ズ ム を使用 し て
TCP SYN フ ラ ッ デ ィ ン グ攻撃を防ぎ ま す。SYN フ ラ ッ デ ィ ン グ攻撃は、通常は ス プー フ ィ ン グ
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-95
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set connection
さ れた IP ア ド レ ス か ら 送信 さ れて く る 一連の SYN パケ ッ ト で構成 さ れてい ま す。SYN パケ ッ
ト の フ ラ ッ デ ィ ン グ が定常的に生 じ る と 、SYN キ ュ ーが一杯にな る 状況が続 き 、接続要求に対 し
てサービ ス を提供で き な く な り ま す。接続の初期接続 し き い値を超え る と 、ASA はサーバのプ ロ
キ シ と し て動作 し 、ク ラ イ ア ン ト SYN 要求に対す る SYN-ACK 応答を生成 し ま す。ASA が ク ラ
イ ア ン ト か ら ACK を受信す る と 、ク ラ イ ア ン ト を認証 し 、サーバへの接続を許可で き ま す。
TCP シーケ ン スのラ ン ダム化
それぞれの TCP 接続には 2 つの ISN が割 り 当て ら れてお り 、その う ちの 1 つは ク ラ イ ア ン ト で
生成 さ れ、も う 1 つはサーバで生成 さ れ ま す。ASA は、着信 と 発信の両方向で通過す る TCP SYN
の ISN を ラ ン ダ ム化 し ま す。
保護 さ れた ホ ス ト の ISN を ラ ン ダ ム化す る こ と に よ り 、攻撃者が新 し い接続で次の ISN を予測
で き ない よ う に し て、新規セ ッ シ ョ ン が乗っ取 ら れ る の を防ぎ ま す。
TCP 初期シーケ ン ス 番号の ラ ン ダ ム化は、必要に応 じ てデ ィ セーブルにで き ま す。次に例を示 し
ま す。
•
別の直列接続 さ れた フ ァ イ ア ウ ォ ールで も 初期シーケ ン ス 番号が ラ ン ダ ム化 さ れ、ト ラ
フ ィ ッ ク に影響す る こ と はない も のの、両方の フ ァ イ ア ウ ォ ールで こ の動作を実行す る 必要
がない場合。
•
ASA で eBGP マルチ ホ ッ プ を使用 し てお り 、eBGP ピ ア で MD5 を使用 し てい る 場合。ラ ン ダ
ム化に よ り 、MD5 チ ェ ッ ク サ ム は分解 さ れ ま す。
•
ASA で接続のシーケ ン ス 番号を ラ ン ダ ム化 し ない よ う にす る 必要が あ る WAAS デバ イ ス を
使用す る 場合。
次に、set connection コ マ ン ド を使用 し て、同時接続最大数を 256 に設定 し 、TCP シーケ ン ス 番号
ラ ン ダ ム化をデ ィ セーブルにす る 例を示 し ま す。
例
ciscoasa(config)# policy-map localpolicy1
ciscoasa(config-pmap)# class local_server
ciscoasa(config-pmap-c)# set connection conn-max 256 random-sequence-number disable
ciscoasa(config-pmap-c)#
複数のパ ラ メ ー タ を指定 し て こ の コ マ ン ド を入力す る こ と も 、各パ ラ メ ー タ を個別の コ マ ン ド
と し て入力す る こ と も で き ま す。ASA は、コ マ ン ド を実行 コ ン フ ィ ギ ュ レ ーシ ョ ン内で 1 行に結
合 し ま す。た と えば、ク ラ ス コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で次の 2 つの コ マ ン ド を入力す る と
し ま す。
ciscoasa(config-pmap-c)# set connection conn-max 600
ciscoasa(config-pmap-c)# set connection embryonic-conn-max 50
show running-config policy-map コ マ ン ド の出力には、2 つの コ マ ン ド の結果が単一の結合 コ マ
ン ド と し て表示 さ れ ま す。
set connection conn-max 600 embryonic-conn-max 50
関連 コ マ ン ド
コ マン ド
class
説明
clear configure
policy-map
すべて のポ リ シー マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン を削除 し ま す。ただ
し 、例外 と し て、ポ リ シー マ ッ プが service-policy コ マ ン ド で使用 さ れて
い る 場合、そのポ リ シー マ ッ プは削除 さ れ ま せん。
ト ラ フ ィ ッ ク の分類に使用す る ク ラ ス マ ッ プ を指定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-96
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set connection
policy-map
ポ リ シーを設定 し ま す。こ れは、1 つの ト ラ フ ィ ッ ク ク ラ ス と 1 つ以上の
ア ク シ ョ ン のア ソ シ エーシ ョ ン です。
show running-config 現在のすべて のポ リ シー マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン を表示 し ま す。
policy-map
show service-policy
サー ビ ス ポ リ シー設定を表示 し ま す。set connection コ マ ン ド を含むポ
リ シーを表示す る には、set connection キー ワ ー ド を使用 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-97
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set connection advanced-options
set connection advanced-options
TCP 正規化を カ ス タ マ イ ズす る には、ク ラ ス コ ン フ ィ ギ ュ レーシ ョ ン モー ド で set connection
advanced-options コ マ ン ド を使用 し ます。TCP 正規化オプシ ョ ン を削除す る には、こ の コ マ ン ド の
no 形式を使用 し ます。
set connection advanced-options tcp_mapname
no set connection advanced-options tcp_mapname
構文の説明
tcp_mapname
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
tcp-map コ マ ン ド で作成 さ れた TCP マ ッ プの名前。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
ク ラ ス コ ン フ ィ ギ ュ レー
ション
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
7.0(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
マルチ
コ ン テキス ト シ ス テム
Yes
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
TCP マ ッ プ を使用 し て TCP 正規化を カ ス タ マ イ ズす る には、モ ジ ュ ラ ポ リ シー フ レ ーム ワ ー ク
を使用 し ま す。
1.
tcp-map：TCP 正規化ア ク シ ョ ン を指定 し ま す。
2.
class-map：TCP 正規化ア ク シ ョ ン を実行す る ト ラ フ ィ ッ ク を指定 し ま す。
3.
policy-map： ク ラ ス マ ッ プに関連付け る ア ク シ ョ ン を指定 し ま す。
a. class：ア ク シ ョ ン を実行す る ク ラ ス マ ッ プ を指定 し ま す。
b. set connection advanced options：TCP マ ッ プ を ク ラ ス マ ッ プに適用 し ま す。
4.
例
service-policy：ポ リ シー マ ッ プ を イ ン タ ー フ ェ イ ス ご と に、ま たはグ ロ ーバルに割 り 当て
ま す。
次に、set connection advanced-options コ マ ン ド を使用 し て、localmap と い う 名前の TCP マ ッ プの
使用を指定す る 例を示 し ま す。
ciscoasa(config)# access-list http-server permit tcp any host 10.1.1.1
ciscoasa(config)# class-map http-server
ciscoasa(config-cmap)# match access-list http-server
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-98
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set connection advanced-options
ciscoasa(config-cmap)# exit
ciscoasa(config)# tcp-map localmap
ciscoasa(config)# policy-map global_policy global
ciscoasa(config-pmap)# description This policy map defines a policy concerning connection
to http server.
ciscoasa(config-pmap)# class http-server
ciscoasa(config-pmap-c)# set connection advanced-options localmap
ciscoasa(config-pmap-c)#
関連 コ マ ン ド
コ マン ド
class
説明
class-map
ク ラ ス マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で match コ マ ン ド を 1 つ
だけ（tunnel-group お よ び default-inspection-traffic を除 く ）発行 し 、一致
基準を指定す る こ と に よ っ て、ト ラ フ ィ ッ ク ク ラ ス を設定 し ま す。
clear configure
policy-map
すべて のポ リ シー マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン を削除 し ま す。ただ
し 、ポ リ シー マ ッ プが service-policy コ マ ン ド 内で使用 さ れてい る 場合、
そのポ リ シー マ ッ プは削除 さ れ ま せん。
policy-map
ポ リ シーを設定 し ま す。こ れは、1 つの ト ラ フ ィ ッ ク ク ラ ス と 1 つ以上
のア ク シ ョ ン のア ソ シエーシ ョ ン です。
ト ラ フ ィ ッ ク の分類に使用す る ク ラ ス マ ッ プ を指定 し ま す。
show running-config 現在のポ リ シー マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン をすべて表示 し ま す。
policy-map
tcp-map
TCP マ ッ プ を作成 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-99
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set connection advanced-options tcp-state-bypass
set connection advanced-options tcp-state-bypass
TCP ス テー ト バ イ パ ス を イ ネーブルにす る には、ク ラ ス コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で set
connection advanced-options コ マ ン ド を使用 し ま す。ク ラ ス コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド に
は、ポ リ シー マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド か ら ア ク セ ス で き ま す。TCP ス テー ト バ イ
パ ス をデ ィ セーブルにす る には、こ の コ マ ン ド の no 形式を使用 し ま す。
set connection advanced-options tcp-state-bypass
no set connection advanced-options tcp-state-bypass
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト で、TCP ス テー ト バ イ パ ス はデ ィ セーブルです。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ルーテ ッ ド
コ マ ン ド モー ド
ク ラ ス コ ン フ ィ ギ ュ レー
ション
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
8.2(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
TCP ス テー ト バ イ パ ス を イ ネーブルにす る には、モ ジ ュ ラ ポ リ シー フ レ ーム ワ ー ク を使用 し
ま す。
1.
class-map：TCP ス テー ト バ イ パ ス を実行す る ト ラ フ ィ ッ ク を指定 し ま す。
2.
policy-map： ク ラ ス マ ッ プに関連付け る ア ク シ ョ ン を指定 し ま す。
a. class：ア ク シ ョ ン を実行す る ク ラ ス マ ッ プ を指定 し ま す。
b. set connection advanced options tcp-state-bypass： ク ラ ス マ ッ プに TCP ス テー ト バ イ パ
ス を適用 し ま す。
3.
service-policy：ポ リ シー マ ッ プ を イ ン タ ー フ ェ イ ス ご と に、ま たはグ ロ ーバルに割 り 当て
ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-100
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set connection advanced-options tcp-state-bypass
異な るデバイ ス経由での発信および着信フ ローの許可
デ フ ォ ル ト で、ASA を通過す る すべての ト ラ フ ィ ッ ク は、適応型セ キ ュ リ テ ィ アル ゴ リ ズ ム を
使用 し て検査 さ れ、セ キ ュ リ テ ィ ポ リ シーに基づいて許可 ま たは ド ロ ッ プ さ れ ま す。ASA では、
各パケ ッ ト の状態（新規接続で あ る か、ま たは確立済み接続で あ る か）がチ ェ ッ ク さ れ、そのパ
ケ ッ ト を セ ッ シ ョ ン管理パ ス （新規接続の SYN パケ ッ ト ）、フ ァ ス ト パ ス （確立済みの接続）、ま
たは コ ン ト ロ ール プ レ ーン パ ス （高度な イ ン ス ペ ク シ ョ ン）に割 り 当て る こ と に よ っ て、フ ァ イ
ア ウ ォ ールのパ フ ォ ーマ ン ス が最大化 さ れ ま す。
高速パ ス の既存の接続に一致す る TCP パケ ッ ト は、セ キ ュ リ テ ィ ポ リ シーの あ ら ゆ る 面の再検
査を受け る こ と な く ASA を通過で き ま す。こ の機能に よ っ てパ フ ォ ーマ ン ス は最大にな り ま
す。ただ し 、SYN パケ ッ ト を使用 し て フ ァ ス ト パ ス にセ ッ シ ョ ン を確立す る 方法、お よ び フ ァ ス
ト パ ス で行われ る チ ェ ッ ク （TCP シーケ ン ス 番号な ど ）が、非対称ルーテ ィ ン グ ソ リ ュ ーシ ョ ン
の障害 と な る 場合が あ り ま す。こ れは、接続の発信 フ ロ ー と 着信 フ ロ ーの両方が同 じ ASA を通
過す る 必要が あ る ためです。
た と えば、あ る 新 し い接続が ASA 1 に開始 さ れ る と し ま す。SYN パケ ッ ト はセ ッ シ ョ ン管理パ ス
を通過 し 、接続のエ ン ト リ が高速パ ス テーブルに追加 さ れ ま す。こ の接続の後続のパケ ッ ト が
ASA 1 を通過す る 場合、パケ ッ ト は高速パ ス のエ ン ト リ と 一致 し て、通過 し ま す。し か し 、後続の
パケ ッ ト が ASA 2 に到着す る と 、SYN パケ ッ ト がセ ッ シ ョ ン管理パ ス を通過 し ていないために、
高速パ ス にはその接続のエ ン ト リ がな く 、パケ ッ ト は ド ロ ッ プ さ れ ま す。
ア ッ プ ス ト リ ーム ルー タ に非対称ルーテ ィ ン グ が設定 さ れてお り 、ト ラ フ ィ ッ ク が 2 つの ASA
を通過す る こ と が あ る 場合は、特定の ト ラ フ ィ ッ ク に対 し て TCP ス テー ト バ イ パ ス を設定で き
ま す。TCP ス テー ト バ イ パ ス は、高速パ ス でのセ ッ シ ョ ン の確立方法 を変更 し 、高速パ ス の イ ン
ス ペ ク シ ョ ン をデ ィ セーブルに し ま す。こ の機能では、UDP 接続の処理 と 同様の方法で TCP ト
ラ フ ィ ッ ク が処理 さ れ ま す。指定 さ れた ネ ッ ト ワ ー ク と 一致 し た非 SYN パケ ッ ト が ASA に入っ
た時点で高速パ ス エ ン ト リ が存在 し ない場合、高速パ ス で接続を確立す る ために、そのパケ ッ ト
はセ ッ シ ョ ン管理パ ス を通過 し ま す。い っ たん高速パ ス に入 る と 、ト ラ フ ィ ッ ク は高速パ ス の イ
ン ス ペ ク シ ョ ン を バ イ パ ス し ま す。
サポー ト さ れていない機能
TCP ス テー ト バ イ パ ス を使用す る と き は、次の機能はサポー ト さ れ ま せん。
•
ア プ リ ケーシ ョ ン検査：ア プ リ ケーシ ョ ン検査では、着信お よ び発信 ト ラ フ ィ ッ ク の両方が
同 じ ASA を通過す る 必要が あ る ため、TCP ス テー ト バ イ パ ス ではア プ リ ケーシ ョ ン検査は
サポー ト さ れ ま せん。
•
AAA 認証セ ッ シ ョ ン：ユーザが あ る ASA で認証 さ れ る 場合、他の ASA 経由で戻 る ト ラ
フ ィ ッ ク は、その ASA でユーザが認証 さ れていないため、拒否 さ れ ま す。
•
TCP 代行受信、最大初期接続制限、TCP シーケ ン ス 番号 ラ ン ダ ム化：ASA では接続の状態が
追跡 さ れないため、こ れ ら の機能は適用 さ れ ま せん。
•
TCP 正規化：TCP ノ ーマ ラ イ ザはデ ィ セーブルです。
•
SSM 機能：TCP ス テー ト バ イ パ ス と 、IPS や CSC な ど の SSM 上で実行 さ れ る ア プ リ ケー
シ ョ ン を使用す る こ と はで き ま せん。
NAT の注意事項
変換セ ッ シ ョ ン は ASA ご と に個別に確立 さ れ る ので、TCP ス テー ト バ イ パ ス ト ラ フ ィ ッ ク 用
に両方の ASA で ス タ テ ィ ッ ク NAT を設定 し て く だ さ い。ダ イ ナ ミ ッ ク NAT を使用す る と 、
ASA 1 でのセ ッ シ ョ ン に選択 さ れ る ア ド レ ス が、ASA 2 でのセ ッ シ ョ ン に選択 さ れ る ア ド レ ス と
異な り ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-101
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set connection advanced-options tcp-state-bypass
接続 タ イムアウ ト の注意事項
特定の接続に 2 分間 ト ラ フ ィ ッ ク がない場合、接続は タ イ ム ア ウ ト し ま す。こ のデ フ ォ ル ト は、
set connection timeout tcp コ マ ン ド を使用 し て上書 き で き ま す。通常の TCP 接続は、デ フ ォ ル ト
で 60 分後に タ イ ム ア ウ ト し ま す。
例
次に、TCP ス テー ト バ イ パ ス の コ ン フ ィ ギ ュ レ ーシ ョ ン例 を示 し ま す。
ciscoasa(config)# access-list tcp_bypass extended permit tcp 10.1.1.0 255.255.255.224 any
ciscoasa(config)# class-map tcp_bypass
ciscoasa(config-cmap)# description "TCP traffic that bypasses stateful firewall"
ciscoasa(config-cmap)# match access-list tcp_bypass
ciscoasa(config-cmap)# policy-map tcp_bypass_policy
ciscoasa(config-pmap)# class tcp_bypass
ciscoasa(config-pmap-c)# set connection advanced-options tcp-state-bypass
ciscoasa(config-pmap-c)# service-policy tcp_bypass_policy outside
関連 コ マ ン ド
コ マン ド
class
説明
class-map
サー ビ ス ポ リ シーで使用す る ク ラ ス マ ッ プ を作成 し ま す。
policy-map
ク ラ ス マ ッ プ と 1 つ以上の ア ク シ ョ ン を関連付け る ポ リ シー マ ッ プ を
設定 し ま す。
service-policy
イ ン タ ー フ ェ イ ス にポ リ シー マ ッ プ を割 り 当て ま す。
set connection
timeout
接続 タ イ ム ア ウ ト を設定 し ま す。
ポ リ シー マ ッ プに ク ラ ス マ ッ プ を指定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-102
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set connection decrement-ttl
set connection decrement-ttl
ポ リ シー マ ッ プ内の ト ラ フ ィ ッ ク ク ラ ス において存続可能時間の値をデ ク リ メ ン ト す る には、
ク ラ ス コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で set connection decrement-ttl コ マ ン ド を使用 し ま す。
存続可能時間をデ ク リ メ ン ト し ない場合は、こ の コ マ ン ド の no 形式を使用 し ま す。
set connection decrement-ttl
no set connection decrement-ttl
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト で、ASA では、存続可能時間はデ ク リ メ ン ト さ れ ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
ク ラ ス コ ン フ ィ ギ ュ レー
ション
コ マ ン ド 履歴
リ リ ース
7.2(2)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
こ の コ マ ン ド 、お よ び icmp unreachable コ マ ン ド は、ASA を ホ ッ プの 1 つ と し て表示す る ASA
経由の traceroute を可能 と す る ために必要です。
例
次の例では、存続時間のデ ク リ メ ン ト を イ ネーブルに し て、ICMP 到達不能 レ ー ト 制限を設定 し
ま す。
ciscoasa(config)# policy-map localpolicy1
ciscoasa(config-pmap)# class local_server
ciscoasa(config-pmap-c)# set connection decrement-ttl
ciscoasa(config-pmap-c)# exit
ciscoasa(config)# icmp unreachable rate-limit 50 burst-size 6
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-103
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set connection decrement-ttl
関連 コ マ ン ド
コ マン ド
class
説明
icmp unreachable
ICMP 到達不能 メ ッ セージが ASA を通過可能な レ ー ト を制御 し ま す。
policy-map
ポ リ シーを設定 し ま す。こ れは、1 つの ト ラ フ ィ ッ ク ク ラ ス と 1 つ以上
のア ク シ ョ ン のア ソ シ エーシ ョ ン です。
ト ラ フ ィ ッ ク 分類に使用す る ク ラ ス マ ッ プ を指定 し ま す。
show running-config 現在のポ リ シー マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン をすべて表示 し ま す。
policy-map
show service-policy
サー ビ ス ポ リ シー設定を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-104
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set connection timeout
set connection timeout
ポ リ シー マ ッ プ内の ト ラ フ ィ ッ ク ク ラ ス に対 し て接続 タ イ ム ア ウ ト を指定す る には、ク ラ ス コ
ン フ ィ ギ ュ レ ーシ ョ ン モー ド で set connection timeout コ マ ン ド を使用 し ま す。タ イ ム ア ウ ト を
削除す る には、こ の コ マ ン ド の no 形式 を使用 し ま す。
set connection timeout {[embryonic hh:mm:ss] [idle hh:mm:ss [reset]] [half-closed hh:mm:ss]
[dcd [retry_interval [max_retries]]]}
no set connection timeout {[embryonic hh:mm:ss] [idle hh:mm:ss [reset]] [half-closed hh:mm:ss]
[dcd [retry_interval [max_retries]]]}
構文の説明
dcd
デ ッ ド 接続検出（DCD）を イ ネーブルに し ま す。DCD では、デ ッ ド 接続を検
出 し て、ト ラ フ ィ ッ ク を ま だ処理で き る 接続を期限切れにす る こ と な く 、
そのデ ッ ド 接続を期限切れにす る こ と がで き ま す。DCD は、ア イ ド ル状態
で も 有効な接続を維持す る 場合に設定 し ま す。TCP 接続が タ イ ム ア ウ ト
す る と 、ASA は、エ ン ド ホ ス ト に DCD プ ロ ーブ を送信 し て接続の有効性
を判断 し ま す。最大再試行回数を超え て も エ ン ド ホ ス ト の一方が応答 し な
い場合、ASA はその接続 を解放 し ま す。両方のエ ン ド ホ ス ト が応答 し て接
続の有効性が確認 さ れ る と 、ASA はア ク テ ィ ビ テ ィ タ イ ム ア ウ ト を現在
時刻に更新 し 、それに応 じ て ア イ ド ル タ イ ム ア ウ ト を再 ス ケ ジ ュ ール し
ま す。
embryonic
hh:mm:ss
TCP 初期（ハー フ オープ ン）接続が閉 じ ら れ る ま での タ イ ム ア ウ ト 期間を
0:0:5 ～ 1193:0:0 の範囲で設定 し ま す。デ フ ォ ル ト 値は 0:0:30 です。値を 0
に設定す る こ と も で き ま す。こ れは、接続が タ イ ム ア ウ ト にな る こ と はな
い こ と を意味 し ま す。初期接続 と は、ス リ ー ウ ェ イ ハ ン ド シ ェ イ ク が完了
し ていない TCP 接続です。
half-closed
hh:mm:ss
ハーフ ク ロ ーズ接続が閉 じ ら れ る ま でのア イ ド ル タ イ ム ア ウ ト 期間を、
9.1(1) 以前の場合は 0:5:0 ～ 1193:0:0 の範囲、9.1(2) 以降の場合は 0:0:30 ～
1193:0: 0 の範囲で設定 し ま す。デフ ォ ル ト 値は 0:10:0 です。値を 0 に設定す
る こ と も で き ま す。こ れは、接続が タ イ ム ア ウ ト にな る こ と はない こ と を
意味 し ま す。ハーフ ク ロ ーズの接続は DCD の影響を受け ま せん。ま た、
ASA は、ハーフ ク ロ ーズ接続を切断す る と き に リ セ ッ ト パケ ッ ト を送信
し ま せん。
idle hh:mm:ss
あ る プ ロ ト コ ルの確立済み接続が閉 じ ら れ る ま でのア イ ド ル タ イ ム ア ウ
ト 期間を設定 し ま す。有効な範囲は 0:0:1 ～ 1193:0:0 です。
max_retries
DCD において、何回連続 し て再試行に失敗す る と 接続がデ ッ ド で あ る と
見な さ れ る か を設定 し ま す。最小値は 1、最大値は 255 です。デ フ ォ ル ト は
5 です。
reset
TCP ト ラ フ ィ ッ ク に対 し てのみ、ア イ ド ル接続が削除 さ れた後に両方の
エ ン ド シ ス テ ム に対 し て TCP RST パケ ッ ト を送信 し ま す。
retry_interval
DCD プ ロ ーブに応答がない場合に次のプ ロ ーブ を送信す る ま での
hh:mm:ss 形式の間隔を 0:0:1 ～ 24:0:0 の範囲で指定 し ま す。デ フ ォ ル ト 値
は 0:0:15 です。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-105
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set connection timeout
timeout コ マ ン ド を使用 し てデ フ ォ ル ト を グ ロ ーバルに変更 し てい ない場合、デ フ ォ ル ト は次の
と お り です。
デフ ォル ト
コ マ ン ド モー ド
•
デ フ ォ ル ト の embryonic タ イ ム ア ウ ト は 30 秒です。
•
デ フ ォ ル ト の half-closed ア イ ド ル タ イ ム ア ウ ト は 10 分です。
•
デ フ ォ ル ト の dcd max_retries の値は 5 です。
•
デ フ ォ ル ト の dcd retry_interval の値は 15 秒です。
•
デ フ ォ ル ト の idle タ イ ム ア ウ ト は 1 時間です。
•
デ フ ォ ル ト の udp ア イ ド ル タ イ ム ア ウ ト は 2 分です。
•
デ フ ォ ル ト の icmp ア イ ド ル タ イ ム ア ウ ト は 2 秒です。
•
デ フ ォ ル ト の esp お よ び ha ア イ ド ル タ イ ム ア ウ ト は 30 秒です。
•
その他すべてのプ ロ ト コ ルでは、デ フ ォ ル ト の ア イ ド ル タ イ ム ア ウ ト は 2 分です。
•
タ イ ム ア ウ ト にな ら ない よ う にす る には、0:0:0 を入力 し ま す。
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
ク ラ ス コ ン フ ィ ギ ュ レー
ション
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
リ リ ース
7.0(1)
変更内容
7.2(1)
DCD のサポー ト が追加 さ れ ま し た。
8.2(2)
tcp キー ワ ー ド が、すべてのプ ロ ト コ ルのア イ ド ル タ イ ム ア ウ ト を制御す る
idle に代わ っ て廃止 さ れ ま し た。
9.1(2)
half-closed の最小値が小 さ く な り 、30 秒（0:0:30）にな り ま し た。
こ の コ マ ン ド が追加 さ れ ま し た。
モジ ュ ラ ポ リ シー フ レーム ワ ー ク を使用 し て こ の コ マ ン ド を設定 し ま す。最初に、class-map コ
マ ン ド を使用 し て、タ イ ム ア ウ ト を適用す る ト ラ フ ィ ッ ク を定義 し ます。次に、policy-map コ マ ン
ド を入力 し てポ リ シーを定義 し 、class コ マ ン ド を入力 し て ク ラ ス マ ッ プ を参照 し ま す。ク ラ ス コ
ン フ ィ ギ ュ レーシ ョ ン モー ド で、set connection timeout コ マ ン ド を入力で き ます。最後に、
service-policy コ マ ン ド を使用 し て、イ ン タ ーフ ェ イ ス にポ リ シー マ ッ プ を適用 し ます。モジ ュ ラ
ポ リ シー フ レーム ワ ー ク の動作の詳細については、CLI 設定ガ イ ド を参照 し て く だ さ い。
show service-policy コ マ ン ド には、DCD か ら の ア ク テ ィ ビ テ ィ 量を示すための カ ウ ン タ が含 ま
れ ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-106
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set connection timeout
例
次に、すべての ト ラ フ ィ ッ ク の接続 タ イ ム ア ウ ト を設定す る 例を示 し ま す。
ciscoasa(config)# class-map CONNS
ciscoasa(config-cmap)# match any
ciscoasa(config-cmap)# policy-map CONNS
ciscoasa(config-pmap)# class CONNS
ciscoasa(config-pmap-c)# set connection timeout idle 2:0:0 embryonic 0:40:0 half-closed
0:20:0 dcd
ciscoasa(config-pmap-c)# service-policy CONNS interface outside
複数のパ ラ メ ー タ を使用 し て set connection コ マ ン ド を入力す る か、各パ ラ メ ー タ を別々の コ マ ン
ド と し て入力で き ます。ASA は、コ マ ン ド を実行 コ ン フ ィ ギ ュ レーシ ョ ン内で 1 行に結合 し ます。
た と えば、ク ラ ス コ ン フ ィ ギ ュ レーシ ョ ン モー ド で次の 2 つの コ マ ン ド を入力す る と し ます。
ciscoasa(config-pmap-c)# set connection timeout idle 2:0:0
ciscoasa(config-pmap-c)# set connection timeout embryonic 0:40:0
こ の場合、show running-config policy-map コ マ ン ド の出力には、2 つの コ マ ン ド の結果が次の単
一の結合 コ マ ン ド と し て表示 さ れ ま す。
set connection timeout tcp 2:0:0 embryonic 0:40:0
関連 コ マ ン ド
コ マン ド
class
説明
clear configure
policy-map
すべて のポ リ シー マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン を削除 し ま す。ただ
し 、ポ リ シー マ ッ プが service-policy コ マ ン ド 内で使用 さ れてい る 場合、
そのポ リ シー マ ッ プは削除 さ れ ま せん。
policy-map
ポ リ シーを設定 し ま す。こ れは、1 つの ト ラ フ ィ ッ ク ク ラ ス と 1 つ以上の
ア ク シ ョ ン のア ソ シ エーシ ョ ン です。
set connection
接続の値を設定 し ま す。
ト ラ フ ィ ッ ク の分類に使用す る ク ラ ス マ ッ プ を指定 し ま す。
show running-config 現在のポ リ シー マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン をすべて表示 し ま す。
policy-map
show service-policy
DCD お よ びその他のサービ ス ア ク テ ィ ビ テ ィ のカ ウ ン タ を表示 し ます。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-107
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set local-preference
set local-preference
自律シ ス テ ム（AS）パ ス にプ リ フ ァ レ ン ス 値を指定す る には、ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ー
シ ョ ン モー ド で set local-preference コ マ ン ド を使用 し ま す。 エ ン ト リ を削除す る には、こ の コ マ
ン ド の no 形式 を使用 し ま す。
set local-preference number-value
no set local-preference number-value
構文の説明
number-value
デフ ォル ト
プ リ フ ァ レ ン ス値は 100 です。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
プ リ フ ァ レ ン ス値。0 ～ 4294967295 の整数。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
ルー ト マ ッ プ コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
9.2(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
—
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
プ リ フ ァ レ ン ス は、ロ ーカル自律シ ス テ ム内のすべてのルー タ にのみ送信 さ れ ま す。
あ る ルーテ ィ ン グ プ ロ ト コ ルか ら 別のルーテ ィ ン グ プ ロ ト コ ルにルー ト を再配布す る 条件を
定義す る には、route-map グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド と 、match お よ び set
route-map コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド を使用 し ま す。route-map コ マ ン ド ご と に、それに
関連 し た match お よ び set コ マ ン ド の リ ス ト が あ り ま す。match コ マ ン ド は、一致基準、つ ま り 現
在の route-map コ マ ン ド について再配布を許可す る 条件を指定 し ま す。set コ マ ン ド には、set 処
理、つ ま り match コ マ ン ド で指定 し た基準を満た し てい る 場合に実行す る 特定の再配布ア ク
シ ョ ン を指定 し ま す。 no route-map コ マ ン ド は、ルー ト マ ッ プ を削除 し ま す。
set route-map コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド を使用す る と 、ルー ト マ ッ プのすべての一致基
準が満た さ れた と き に実行 さ れ る 再配布 set 処理を指定 し ま す。すべての一致基準を満たす と 、
すべての set 処理が実行 さ れ ま す。
bgp default local-preference コ マ ン ド を使用 し て、デ フ ォ ル ト のプ リ フ ァ レ ン ス 値を変更で き
ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-108
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set local-preference
例
次に、ア ク セ ス リ ス ト 1 に含 ま れ る すべてのルー ト に対 し て、ロ ーカル プ リ フ ァ レ ン ス を 100 に
設定す る 例を示 し ま す。
ciscoasa(config-route-map)# route-map map-preference
ciscoasa(config-route-map)# match as-path 1
ciscoasa(config-route-map)# set local-preference 100
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-109
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set metric
set metric
ルー ト マ ッ プ内の OSPF お よ びその他のダ イ ナ ミ ッ ク ルーテ ィ ン グ プ ロ ト コ ルのルー ト の メ
ト リ ッ ク 値を設定す る には、ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で set metric コ マ ン
ド を使用 し ま す。OSPF お よ びその他のダ イ ナ ミ ッ ク ルーテ ィ ン グ プ ロ ト コ ルの メ ト リ ッ ク 値
をデ フ ォ ル ト に戻すには、こ の コ マ ン ド の no 形式を使用 し ま す。
set metric metric-value | [bandwidth delay reliability loading mtu]
no set metric metric-value | [bandwidth delay reliability loading mtu]
構文の説明
bandwidth
ルー ト の EIGRP 帯域幅（kbps）。有効値の範囲は、0 ～ 4294967295 で
す。
delay
EIGRP ルー ト 遅延（10 マ イ ク ロ 秒単位）。有効値の範囲は、0 ～
4294967295 です。
loading
0 ～ 255 の数値で表 さ れ る 、ルー ト の有効な EIGRP 帯域幅。値 255 は、
100% の ロ ー ド を意味 し ま す。
metric-value
数値で表 さ れ る 、OSPF お よ びその他のダ イ ナ ミ ッ ク ルーテ ィ ン グ プ
ロ ト コ ル（EIGRP 以外）のルー ト の メ ト リ ッ ク 値。有効値の範囲は、0 ～
4294967295 です。
mtu
EIGRP のルー ト の最小 MTU サ イ ズ（バ イ ト 単位）。有効値の範囲は、0
～ 4294967295 です。
reliability
0 ～ 255 の数値で表 さ れ る 、EIGRP のパケ ッ ト 伝送の成功確率。値 255
は 100% の信頼性を意味 し 、0 は信頼性がない こ と を意味 し ま す。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
ルー ト マ ッ プ コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
•
Yes
—
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
リ リ ース
7.0(1)
変更内容
8.2(5)
ルー ト マ ッ プ内の EIGRP を サポー ト す る ために、引数 bandwidth、
delay、reliability、loading、お よ び mtu が追加 さ れ ま し た。
9.0(1)
マルチ コ ン テ キ ス ト モー ド がサポー ト さ れてい ま す。
こ の コ マ ン ド が追加 さ れ ま し た。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-110
ト ラ ン スペ
アレン ト
シ ン グル
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set metric
使用上のガイ ド ラ イ ン
no set metric コ マ ン ド を使用す る と 、OSPF お よ びその他のダ イ ナ ミ ッ ク ルーテ ィ ン グ プ ロ ト コ
ルの メ ト リ ッ ク 値をデ フ ォ ル ト に戻す こ と がで き ま す。こ の コ ン テ キ ス ト では、metric-value 引
数は 0 ～ 4294967295 の整数です。
例
次に、OSPF ルーテ ィ ン グ のルー ト マ ッ プ を設定す る 例を示 し ま す。
ciscoasa(config)# route-map
ciscoasa(config-route-map)#
ciscoasa(config-route-map)#
ciscoasa(config-route-map)#
route-map maptag1 permit 8
set metric 5
match metric 5
maptag1 permit 8
set metric 5
match metric 5
show route-map
次に、ルー ト マ ッ プ内の EIGRP の メ ト リ ッ ク 値を設定す る 例を示 し ま す。
ciscoasa(config)# access-list route-out line 1 standard permit 10.1.1.0 255.255.255.0
ciscoasa(config)# route-map rmap permit 10
ciscoasa(config-route-map)# set metric 10000 60 100 1 1500
ciscoasa(config-route-map)# show route-map rmap
route-map rmap, permit, sequence 10
Match clauses:
ip address (access-lists): route-out
Set clauses:
metric 10000 60 100 1 1500
ciscoasa(config-route-map)# show running-config route-map
route-map rmap permit 10
match ip address route-out
set metric 10000 60 100 1 1500
関連 コ マ ン ド
コ マン ド
match interface
説明
match ip next-hop
指定 し た ア ク セ ス リ ス ト のいずれかに よ っ て渡 さ れ る ネ ク ス ト ホ ッ
プ ルー タ ア ド レ ス を持つルー ト を配布 し ま す。
route-map
あ る ルーテ ィ ン グ プ ロ ト コ ルか ら 別のルーテ ィ ン グ プ ロ ト コ ルに
ルー ト を再配布す る 条件を定義 し ま す。
指定 し たいずれかの イ ン タ ー フ ェ イ ス の外部にネ ク ス ト ホ ッ プ を持
つルー ト を配布 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-111
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set metric（BGP、OSPF、RIP）
set metric（BGP、OSPF、RIP）
ルーテ ィ ン グ プ ロ ト コ ルの メ ト リ ッ ク 値を設定す る には、ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ
ン モー ド で set metric コ マ ン ド を使用 し ま す。デ フ ォ ル ト の メ ト リ ッ ク 値に戻すには、こ の コ マ
ン ド の no 形式 を使用 し ま す。
set metric metric-value
no set metric
構文の説明
metric-value
デフ ォル ト
動的に学習 さ れた メ ト リ ッ ク 値。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
メ ト リ ッ ク 値ま たは帯域幅（K ビ ッ ト /秒単位）。0 ～ 4294967295 の整数
値です。こ の引数は、Enhanced Interior Gateway Routing Protocol（EIGRP）
を除 く すべてのルーテ ィ ン グ プ ロ ト コ ルに適用 さ れます。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
ルー ト マ ッ プ コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
9.2(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
—
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
デ フ ォ ル ト 値を変更す る 前に、シ ス コ のテ ク ニ カル サポー ト 担当者に問い合わせて く だ さ い。
あ る ルーテ ィ ン グ プ ロ ト コ ルか ら 別のルーテ ィ ン グ プ ロ ト コ ルにルー ト を再配布す る 条件を
定義す る には、route-map グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド と 、match お よ び
set route-map コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド を使用 し ま す。route-map コ マ ン ド ご と に、それ
に関連 し た match お よ び set コ マ ン ド の リ ス ト が あ り ま す。match コ マ ン ド は、一致基準（現在の
route-map コ マ ン ド で再配布が許可 さ れ る 条件）を指定 し ま す。set コ マ ン ド は、set 処理（match
コ マ ン ド に よ っ て強制 さ れ る 基準が満た さ れた場合に実行 さ れ る 特定の再配布ア ク シ ョ ン）を
指定 し ま す。no route-map コ マ ン ド は、ルー ト マ ッ プ を削除 し ま す。
set route-map コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド は、ルー ト マ ッ プのすべての一致基準が満た さ
れた と き に実行 さ れ る 再配布 set 処理 を指定 し ま す。すべての一致基準を満たす と 、すべての set
処理が実行 さ れ ま す。
例
次に、ルーテ ィ ン グ プ ロ ト コ ルの メ ト リ ッ ク 値を 100 に設定す る 例を示 し ま す。
ciscoasa(config-route-map)# route-map set-metric 100
ciscoasa(config-route-map)# set metric 100
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-112
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set metric-type
set metric-type
OSPF メ ト リ ッ ク ルー ト の タ イ プ を指定す る には、ルー ト マ ッ プ コ ン フ ィ ギ ュ レーシ ョ ン モー ド
で set metric-type コ マ ン ド を使用 し ます。デフ ォ ル ト 設定に戻すには、こ の コ マ ン ド の no 形式を使
用 し ます。
set metric-type{type-1 | type-2}
no set metric-type
構文の説明
type-1
指定 さ れた自律シ ス テ ム の外部に あ る OSPF メ ト リ ッ ク ルー ト の タ
イ プ を指定 し ま す。
type-2
指定 さ れた自律シ ス テ ム の外部に あ る OSPF メ ト リ ッ ク ルー ト の タ
イ プ を指定 し ま す。
デフ ォル ト
デ フ ォ ル ト は、type-2 です。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
ルー ト マ ッ プ コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
例
•
Yes
—
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
リ リ ース
7.0(1)
変更内容
9.0(1)
マルチ コ ン テ キ ス ト モー ド がサポー ト さ れてい ま す。
—
こ の コ マ ン ド が追加 さ れ ま し た。
次に、OSPF ルーテ ィ ン グ のルー ト マ ッ プ を設定す る 例を示 し ま す。
ciscoasa(config)# route-map
ciscoasa(config-route-map)#
ciscoasa(config-route-map)#
ciscoasa(config-route-map)#
ciscoasa(config-route-map)#
route-map maptag1 permit 8
set metric 5
set metric-type type-2
match metric 5
ciscoasa(config-route-map)#
ciscoasa(config)#
maptag1 permit 8
set metric 5
match metric 5
set metric-type type-2
show route-map
exit
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-113
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set metric-type
関連 コ マ ン ド
コ マン ド
match interface
説明
route-map
あ る ルーテ ィ ン グ プ ロ ト コ ルか ら 別のルーテ ィ ン グ プ ロ ト コ ルに
ルー ト を再配布す る 条件を定義 し ま す。
set metric
ルー ト マ ッ プの宛先ルーテ ィ ン グ プ ロ ト コ ルの メ ト リ ッ ク 値を指定
し ま す。
指定 し たいずれかの イ ン タ ー フ ェ イ ス の外部にネ ク ス ト ホ ッ プ を持
つ、すべて のルー ト を配布 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-114
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set metric-type internal
set metric-type internal
ネ ク ス ト ホ ッ プの内部ゲー ト ウ ェ イ プ ロ ト コ ル（IGP）の メ ト リ ッ ク と 照合す る ために外部 BGP
（eBGP）ネ イ バーにア ド バ タ イ ズ さ れたプ レ フ ィ ッ ク ス に Multi Exit Discriminator（MED）を設定す
る には、ルー ト マ ッ プ コ ン フ ィ ギ ュ レーシ ョ ン モー ド で set metric-type internal コ マ ン ド を使用 し
ます。デフ ォ ル ト に戻すには、こ の コ マ ン ド の no 形式を使用 し ます。
set metric-type internal
no set metric-type internal
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
コ マン ド デフ ォル ト
こ の コ マ ン ド は、デ フ ォ ル ト でデ ィ セーブルにな っ てい ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
ルー ト マ ッ プ コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
9.2(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
—
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
こ の コ マ ン ド を指定す る と 、BGP はルー ト のネ ク ス ト ホ ッ プ と 関連付け ら れた IGP メ ト リ ッ ク
に対応す る MED 値を ア ド バ タ イ ズ し ま す。こ の コ マ ン ド は、生成 さ れた内部 BGP（iBGP）生成
ルー ト お よ び eBGP 生成ルー ト に適用 さ れ ま す。
こ の コ マ ン ド を使用す る と 、共通の自律シ ス テ ム内の複数の BGP ス ピーカーが 1 つの特定のプ レ
フ ィ ッ ク ス に対 し て異な る MED 値を ア ド バ タ イ ズで き ます。ま た、IGP メ ト リ ッ ク が変更 さ れた
場合、BGP に よ っ て 10 分ご と にルー ト が再ア ド バ タ イ ズ さ れ る こ と に注意 し て く だ さ い。
あ る ルーテ ィ ン グ プ ロ ト コ ルか ら 別のルーテ ィ ン グ プ ロ ト コ ルにルー ト を再配布す る 条件を
定義す る には、route-map グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド と 、match お よ び set
route-map コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド を使用 し ま す。route-map コ マ ン ド ご と に、それに
関連 し た match お よ び set コ マ ン ド の リ ス ト が あ り ま す。match コ マ ン ド は、一致基準（現在の
route-map コ マ ン ド で再配布が許可 さ れ る 条件）を指定 し ま す。set コ マ ン ド は、set 処理（match
コ マ ン ド に よ っ て強制 さ れ る 基準が満た さ れた場合に実行 さ れ る 特定の再配布ア ク シ ョ ン）を
指定 し ま す。no route-map コ マ ン ド は、ルー ト マ ッ プ を削除 し ま す。
set route-map コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド は、ルー ト マ ッ プのすべての一致基準が満た さ
れた と き に実行 さ れ る 再配布 set 処理 を指定 し ま す。すべての一致基準を満たす と 、すべての set
処理が実行 さ れ ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-115
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set metric-type internal
（注）
例
こ の コ マ ン ド は、ボーダー ゲー ト ウ ェ イ プ ロ ト コ ル（BGP）へのルー ト の再配布ではサポー ト さ
れてい ま せん。
次に、ネ イ バー 172.16.2.3 へのすべてのア ド バ タ イ ズ済みルー ト の MED 値を、ネ ク ス ト ホ ッ プの
対応す る IGP メ ト リ ッ ク に設定す る 例を示 し ます。
ciscoasa(config)# router bgp 109
ciscoasa(config-router)# address-family ipv4
ciscoasa(config-router-af)# network 172.16.0.0
ciscoasa(config-router-af)# neighbor 172.16.2.3 remote-as 200
ciscoasa(config-router-af)# neighbor 172.16.2.3 route-map setMED out
ciscoasa(config-route-map)# route-map setMED permit 10
ciscoasa(config-route-map)# match as-path as-path-acl
ciscoasa(config-route-map)# set metric-type internal
ciscoasa(config-route-map)# ip as-path access-list as-path-acl permit .*
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-116
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set ip next-hop BGP
set ip next-hop BGP
ポ リ シー ルーテ ィ ン グにおいてルー ト マ ッ プの match 句を通過す る パケ ッ ト の出力先を示すに
は、ルー ト マ ッ プ コ ン フ ィ ギ ュ レーシ ョ ン モー ド で set ip next-hop コ マ ン ド を使用 し ます。エ ン ト
リ を削除す る には、こ の コ マ ン ド の no 形式を使用 し ます。
set ip next-hop ip-address [... ip-address] [peer-address]
no set ip next-hop ip-address [... ip-address] [peer-address]
構文の説明
ip-address
パケ ッ ト が出力 さ れ る 出力先ネ ク ス ト ホ ッ プの IP ア ド レ ス 。隣接ルー
タ で あ る 必要はあ り ま せん。
peer-address
（オプシ ョ ン）ネ ク ス ト ホ ッ プ を BGP ピ ア ア ド レ ス に設定 し ま す。
デフ ォル ト
こ の コ マ ン ド は、デ フ ォ ル ト でデ ィ セーブルにな っ てい ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
ルー ト マ ッ プ コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
9.2(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
—
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
コ マ ン ド 構文の省略記号（...）は、コ マ ン ド 入力で ip-address 引数に複数の値を含め る こ と がで き
る こ と を示 し ま す。
ポ リ シー ルーテ ィ ン グ パケ ッ ト に関す る 条件を定義す る には、ip policy route-map イ ン タ ー
フ ェ イ ス コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド 、route-map グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン コ
マ ン ド 、match お よ び set コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド を使用 し ま す。ip policy route-map コ
マ ン ド は、名前でルー ト マ ッ プ を識別 し ま す。route-map コ マ ン ド ご と に、それに関連 し た
match お よ び set コ マ ン ド の リ ス ト が あ り ま す。match コ マ ン ド は、一致基準（ポ リ シー ルーテ ィ
ン グ が発生す る 条件）を指定 し ま す。set コ マ ン ド は、set 処理（match コ マ ン ド に よ っ て強制 さ れ
る 基準が満た さ れた場合に実行 さ れ る 特定のルーテ ィ ン グ ア ク シ ョ ン）を指定 し ま す。
set next-hop コ マ ン ド で指定 さ れた最初のネ ク ス ト ホ ッ プがダ ウ ン状態にな る と 、任意で指定 さ
れた IP ア ド レ ス が使用 さ れ ま す。
BGP ピ アの イ ンバ ウ ン ド ルー ト マ ッ プで peer-address キー ワ ー ド を指定 し 、set next-hop
command コ マ ン ド を使用す る と 、受信 し た一致す る ルー ト のネ ク ス ト ホ ッ プ を ネ イ バー ピ ア ア
ド レ ス に設定 し 、サー ド パーテ ィ のネ ク ス ト ホ ッ プ を上書 き し ます。し たが っ て、同 じ ルー ト マ ッ
プ を複数の BGP ピ アに適用す る と 、サー ド パーテ ィ のネ ク ス ト ホ ッ プ を上書 き で き ます。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-117
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set ip next-hop BGP
BGP ピ ア の ア ウ ト バ ウ ン ド ルー ト マ ッ プで peer-address キー ワ ー ド を指定 し 、set next-hop コ
マ ン ド を使用す る と 、ア ド バ タ イ ズ さ れた一致す る ルー ト のネ ク ス ト ホ ッ プ を ロ ーカル ルー タ
の ピ ア ア ド レ ス に設定 し 、ネ ク ス ト ホ ッ プ計算をデ ィ セーブルに し ま す。他のルー ト ではな く 、
一部のルー ト にネ ク ス ト ホ ッ プ を設定で き る ので、set next-hop コ マ ン ド は、（ネ イ バー単位の）
neighbor next-hop-self コ マ ン ド よ り も 詳細に設定で き ま す。neighbor next-hop-self コ マ ン ド は、
そのネ イ バーに送信 さ れたすべてのルー ト にネ ク ス ト ホ ッ プ を設定 し ま す。
set 句は互いに組み合わせて使用で き ま す。set 句は次の順で評価 さ れ ま す。
（注）
例
1.
set next-hop
2.
set interface
3.
set default next-hop
4.
set default interface
反映 さ れたルー ト の一般的な設定エ ラ ーを回避す る ために、BGP ルー ト リ フ レ ク タ ク ラ イ ア ン
ト に適用す る ルー ト マ ッ プで set next-hop コ マ ン ド を使用 し ないで く だ さ い。
次の例では、3 台のルー タ が同 じ LAN 上にあ り ます（IP ア ド レ ス 10.1.1.1、10.1.1.2、お よ び
10.1.1.3）。それぞれが異な る 自律シ ス テ ム（AS）です。set ip next-hop peer-address コ マ ン ド は、ルー
ト マ ッ プ と 一致す る 、リ モー ト 自律シ ス テ ム 100 内のルー タ （10.1.1.3）か ら リ モー ト 自律シ ス テ
ム 300 内のルー タ （10.1.1.1）への ト ラ フ ィ ッ ク が、LAN への相互接続上で自律シ ス テ ム 100 内の
ルー タ （10.1.1.1）に直接送信 さ れ る のではな く 、ルー タ bgp 200 を通過す る よ う に指定 し ます。
ciscoasa(config)# router bgp 200
ciscoasa(config-router)# address-family ipv4
ciscoasa(config-router-af)# neighbor 10.1.1.3 remote-as 300
ciscoasa(config-router-af)# neighbor 10.1.1.3 route-map set-peer-address out
ciscoasa(config-router-af)# neighbor 10.1.1.1 remote-as 100
ciscoasa(config-route-af)# route-map set-peer-address permit 10
ciscoasa(config-route-map)# set ip next-hop peer-address
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-118
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set origin（BGP）
set origin（BGP）
BGP 送信元 コ ー ド を設定す る には、ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で set origin
コ マ ン ド を使用 し ま す。エ ン ト リ を削除す る には、こ の コ マ ン ド の no 形式を使用 し ま す。
set origin {igp | egp autonomous-system-number | incomplete}
no set origin {igp | egp autonomous-system-number | incomplete}
構文の説明
autonomous-system- リ モー ト 自律シ ス テ ム番号。 こ の引数の値の範囲は、1 ～ 65535 の有効な
number
自律シ ス テ ム番号です。
egp
外部ゲー ト ウ ェ イ プ ロ ト コ ル（EGP）の ロ ーカル シ ス テ ム。
igp
内部ゲー ト ウ ェ イ プ ロ ト コ ル（IGP）の リ モー ト シ ス テ ム。
incomplete
不明な継承。
デフ ォル ト
ルー ト の起点は、メ イ ン IP ルーテ ィ ン グ テーブルのルー ト のパ ス情報に基づいてい ます。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
ルー ト マ ッ プ コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
9.2(1)
•
Yes
—
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
ルー ト の起点を設定す る 場合は、match 句を使用す る 必要が あ り ま す（「permit everything」 リ ス ト
を指 し てい る 場合で も ）。ルー ト を BGP に再配布す る と き の特定の起点を設定す る には、こ の コ
マ ン ド を使用 し ま す。ルー ト が再配布 さ れ る と 、通常、起点は incomplete と し て記録 さ れ、BGP
テーブルでは ? で 識別 さ れ ま す。
あ る ルーテ ィ ン グ プ ロ ト コ ルか ら 別のルーテ ィ ン グ プ ロ ト コ ルにルー ト を再配布す る 条件を
定義す る には、route-map グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド と 、match お よ び
set route-map コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド を使用 し ま す。route-map コ マ ン ド ご と に、それ
に関連 し た match お よ び set コ マ ン ド の リ ス ト が あ り ま す。match コ マ ン ド は、一致基準（現在の
route-map コ マ ン ド で再配布が許可 さ れ る 条件）を指定 し ま す。set コ マ ン ド は、set 処理（match
コ マ ン ド に よ っ て強制 さ れ る 基準が満た さ れた場合に実行 さ れ る 特定の再配布ア ク シ ョ ン）を
指定 し ま す。no route-map コ マ ン ド は、ルー ト マ ッ プ を削除 し ま す。
set route-map コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド は、ルー ト マ ッ プのすべての一致基準が満た さ
れた と き に実行 さ れ る 再配布 set 処理 を指定 し ま す。すべての一致基準を満たす と 、すべての set
処理が実行 さ れ ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-119
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set origin（BGP）
例
次に、ルー ト マ ッ プ を IGP に渡すルー ト の起点を設定す る 例を示 し ま す。
ciscoasa(config-route-map)# route-map set_origin
ciscoasa(config-route-map)# match as-path 10
ciscoasa(config-route-map)# set origin igp
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-120
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
set weight
set weight
ルーテ ィ ン グ テーブルの BGP 重みを指定す る には、ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン
モー ド で set weight コ マ ン ド を使用 し ま す。エ ン ト リ を削除す る には、こ の コ マ ン ド の no 形式を
使用 し ま す。
set weight number
no set weight number
構文の説明
number
デフ ォル ト
重みは指定のルー ト マ ッ プに よ っ て変更 さ れ ません。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
重み値。0 ～ 65535 の範囲の整数に設定で き ます。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
ルー ト マ ッ プ コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
リ リ ース
9.2(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
—
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
実行 さ れた重みは、最初に一致 し た自律シ ス テ ム（AS）パ ス に基づいてい ま す。自律シ ス テ ム パ ス
が一致 し た と き に表示 さ れた重みは、グ ロ ーバルな neighbor コ マ ン ド に よ っ て割 り 当て ら れた重
みを上書 き し ます。つ ま り 、set weight route-map コ ン フ ィ ギ ュ レーシ ョ ン コ マ ン ド で割 り 当て ら
れた重みは、neighbor weight コ マ ン ド を使用 し て割 り 当て ら れた重みを上書 き し ます。
例
次に、自律シ ス テ ム パ ス ア ク セ ス リ ス ト と 一致す る ルー ト の BGP 重みを 200 に設定す る 例を
示 し ま す。
ciscoasa(config-route-map)# route-map set-weight
ciscoasa(config-route-map)# match as-path as_path_acl
iscoasa(config-route-map)# set weight 200
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-121
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
setup
setup
対話形式のプ ロ ン プ ト を使用 し て ASA の最小限の コ ン フ ィ ギ ュ レ ーシ ョ ン を設定す る には、グ
ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で setup コ マ ン ド を入力 し ま す。
setup
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
リ リ ース
7.0(1)
変更内容
8.4(1)
ASA 5510 以降のルーテ ッ ド モー ド では、設定 さ れた イ ン タ ー フ ェ イ ス は、
「inside」 イ ン タ ー フ ェ イ ス ではな く 管理 ス ロ ッ ト / ポー ト イ ン タ ー フ ェ イ ス に
な り ま し た。ASA 5505 の場合、設定 さ れた イ ン タ ー フ ェ イ ス は「inside」 イ ン
タ ー フ ェ イ ス ではな く VLAN 1 イ ン タ ー フ ェ イ ス です。
9.0(1)
デ フ ォ ル ト コ ン フ ィ ギ ュ レ ーシ ョ ン プ ロ ン プ ト が変更 さ れ、セ ッ ト ア ッ プ
プ ロ セ ス を終了す る ための Ctrl + Z が イ ネーブルにな り ま し た。
こ の コ マ ン ド が追加 さ れ ま し た。
フ ラ ッ シ ュ メ モ リ に ス タ ー ト ア ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン がない場合は、起動時にセ ッ ト
ア ッ プ プ ロ ン プ ト が自動的に表示 さ れ ま す。
setup コ マ ン ド に よ っ て、ASDM 接続を確立す る ための最小 コ ン フ ィ ギ ュ レ ーシ ョ ン が順を追っ
て示 さ れ ま す。こ の コ マ ン ド は、コ ン フ ィ ギ ュ レ ーシ ョ ン がないか、コ ン フ ィ ギ ュ レ ーシ ョ ン が
部分的に し か ないユニ ッ ト 向けに設計 さ れた も のです。工場出荷時の コ ン フ ィ ギ ュ レ ーシ ョ ン
を サポー ト す る モデル を使用 し てい る 場合は、setup コ マ ン ド ではな く 工場出荷時の コ ン フ ィ
ギ ュ レ ーシ ョ ン を使用す る こ と を推奨 し ま す（デ フ ォ ル ト の コ ン フ ィ ギ ュ レ ーシ ョ ン に戻すに
は、configure factory-default コ マ ン ド を使用 し ま す）。
setup コ マ ン ド には、「management」 と い う 名前が付け ら れた イ ン タ ー フ ェ イ ス が必要です。
setup コ マ ン ド を入力す る と 、表 1-1 の情報の入力を求め ら れ ま す。表示 さ れたパ ラ メ ー タ に コ
ン フ ィ ギ ュ レ ーシ ョ ン がすでに存在す る 場合は、その コ ン フ ィ ギ ュ レ ーシ ョ ン が角カ ッ コ で囲
ま れて表示 さ れ る ため、その値をデ フ ォ ル ト と し て受け入れ る か、ま たは新 し い値を入力 し て そ
の値を上書 き で き ま す。使用可能な プ ロ ン プ ト は、モデルに よ っ て異な る 場合が あ り ま す。シ ス
テ ム の setup コ マ ン ド には、こ れ ら のプ ロ ン プ ト のサブセ ッ ト が含 ま れてい ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-122
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
setup
表 1-1
setup のプ ロ ン プ ト
プロンプ ト
説明
Pre-configure Firewall
now through
interactive prompts
[yes]?
yes ま たは no を入力 し ます。yes と 入力す る と 、セ ッ ト ア ッ プが続行 さ れ
ます。no を入力す る と 、セ ッ ト ア ッ プが停止 し 、グ ロ ーバル コ ン フ ィ
ギ ュ レーシ ョ ン プ ロ ン プ ト （ciscoasa(config)#）が表示 さ れます。
Firewall Mode
[Routed]:
routed ま たは transparent を入力 し ま す。
Enable password:
イ ネーブル パ ス ワ ー ド を入力 し ま す （パ ス ワ ー ド は、3 文字以上で あ
る 必要が あ り ま す）。
Allow password
recovery [yes]?
yes ま たは no を入力 し ま す。
Clock (UTC):
こ の フ ィ ール ド には何 も 入力で き ま せん。UTC 時間がデ フ ォ ル ト で使
用 さ れ ま す。
Year:
4 桁の年（2005 な ど ）を入力 し ま す。年の範囲は 1993 ～ 2035 です。
Month:
月名の先頭の 3 文字（9 月の場合は Sep な ど ）を使用 し て月を入力 し ま
す。
Day:
日付（1 ～ 31）を入力 し ま す。
Time:
時間、分、お よ び秒を 24 時間形式で入力 し ま す。た と えば、午後 8 時 54
分 44 秒の場合は、20:54:44 と 入力 し ま す。
Host name:
コ マ ン ド ラ イ ン プ ロ ン プ ト に表示す る ホ ス ト 名を入力 し ま す。
Domain name:
ASA を実行す る ネ ッ ト ワ ー ク の ド メ イ ン名を入力 し ま す。
IP address of host
running Device
Manager:
ASDM にア ク セ ス す る 必要が あ る ホ ス ト の IP ア ド レ ス を入力 し ま す。
Use this configuration
and save to flash
(yes)?
yes ま たは no を入力 し ま す。yes を入力す る と 、inside イ ン タ ー フ ェ イ
ス が イ ネーブルにな り 、要求 さ れた コ ン フ ィ ギ ュ レ ーシ ョ ン が フ ラ ッ
シ ュ パーテ ィ シ ョ ン に書 き 込 ま れ ま す。
no を入力す る と 、セ ッ ト ア ッ プ プ ロ ン プ ト が、最初の質問か ら 繰 り 返
さ れ ま す。
Pre-configure Firewall now through interactive prompts [yes]?
セ ッ ト ア ッ プ を終了す る 場合は Ctrl + Z を入力 し 、プ ロ ン プ ト を繰 り
返す場合は yes を入力 し ま す。
例
次に、setup コ マ ン ド を完了す る 例を示 し ま す。
ciscoasa(config)# setup
Pre-configure Firewall now through interactive prompts [yes]?yes
Firewall Mode [Routed]: routed
Enable password [<use current password>]: writer
Allow password recovery [yes]?yes
Clock (UTC):
Year: 2005
Month: Nov
Day: 15
Time: 10:0:0
Inside IP address: 192.168.1.1
Inside network mask: 255.255.255.0
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-123
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
setup
Host name: tech_pubs
Domain name: example.com
IP address of host running Device Manager: 10.1.1.1
The following configuration will be used:
Enable password: writer
Allow password recovery: yes
Clock (UTC): 20:54:44 Sep 17 2005
Firewall Mode: Routed
Inside IP address: 192.168.1.1
Inside network mask: 255.255.255.0
Host name: tech_pubs
Domain name: example.com
IP address of host running Device Manager: 10.1.1.1
Use this configuration and write to flash?yes
関連 コ マ ン ド
コ マン ド
configure
factory-default
説明
デ フ ォ ル ト の コ ン フ ィ ギ ュ レ ーシ ョ ン に戻 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-124
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
sfr
sfr
ト ラ フ ィ ッ ク を ASA FirePOWER モ ジ ュ ールに リ ダ イ レ ク ト す る には、ク ラ ス コ ン フ ィ ギ ュ
レ ーシ ョ ン モー ド で sfr コ マ ン ド を使用 し ま す。リ ダ イ レ ク ト を削除す る には、こ の コ マ ン ド の
no 形式 を使用 し ま す。
sfr {fail-close | fail-open} [monitor-only]
no sfr {fail-close | fail-open} [monitor-only]
構文の説明
fail-close
モ ジ ュ ールが使用で き ない場合に ト ラ フ ィ ッ ク を ブ ロ ッ ク す る よ う に
ASA を設定 し ま す。
fail-open
モ ジ ュ ールが使用で き ない場合に、ASA ポ リ シーのみを適用 し て ト ラ
フ ィ ッ ク の通過を許可す る よ う に ASA を設定 し ま す。
monitor-only
ト ラ フ ィ ッ ク の読み取 り 専用 コ ピ ーを モ ジ ュ ールに送信 し ま す（パ ッ
シ ブ モー ド ）。キー ワ ー ド を指定 し ない場合、ト ラ フ ィ ッ ク は イ ン ラ イ
ン モー ド で送信 さ れ ま す。
コ マン ド デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
ク ラ ス コ ン フ ィ ギ ュ レー
ション
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
9.2(1)
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
ク ラ ス コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド にア ク セ ス す る には、policy-map コ マ ン ド を入力 し ます。
ASA に sfr コ マ ン ド を設定す る 前 ま たは後に、FireSIGHT 管理セ ン タ ーを使用 し て モ ジ ュ ールに
セ キ ュ リ テ ィ ポ リ シーを設定 し ま す。
sfr コ マ ン ド を設定す る には、ま ず、class-map コ マ ン ド 、policy-map コ マ ン ド 、お よ び class コ マ
ン ド を設定す る 必要が あ り ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-125
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
sfr
ト ラ フ ィ ッ ク フ ロー
ASA FirePOWER モ ジ ュ ールは、ASA か ら 個別の ア プ リ ケーシ ョ ン を実行 し ま す。ただ し 、その ア
プ リ ケーシ ョ ン は ASA の ト ラ フ ィ ッ ク フ ロ ーに統合 さ れ ま す。ASA で ト ラ フ ィ ッ ク の ク ラ ス に
対 し て sfr コ マ ン ド を適用す る と 、次の よ う に、ト ラ フ ィ ッ ク は ASA お よ びモ ジ ュ ール を経由 し
ま す。
1.
ト ラ フ ィ ッ ク は ASA に入 り ま す。
2.
着信 VPN ト ラ フ ィ ッ ク が復号化 さ れ ま す。
3.
フ ァ イ ア ウ ォ ール ポ リ シーが適用 さ れ ま す。
4.
バ ッ ク プ レ ーン を介 し て ASA FirePOWER モ ジ ュ ールに ト ラ フ ィ ッ ク が送信 さ れ ま す。
5.
モ ジ ュ ールはそのセ キ ュ リ テ ィ ポ リ シーを ト ラ フ ィ ッ ク に適用 し 、適切な ア ク シ ョ ン を実
行 し ま す。
6.
イ ン ラ イ ン モー ド では、有効な ト ラ フ ィ ッ ク がバ ッ ク プ レ ーン を介 し てASA に返送 さ れ ま
す。ASA FirePOWER モ ジ ュ ールがセ キ ュ リ テ ィ ポ リ シーに従 っ て ト ラ フ ィ ッ ク を ブ ロ ッ ク
す る こ と が あ り 、その ト ラ フ ィ ッ ク は渡 さ れ ま せん。パ ッ シ ブ モー ド では ト ラ フ ィ ッ ク が戻
さ れず、モ ジ ュ ールは ト ラ フ ィ ッ ク を ブ ロ ッ ク で き ま せん。
7.
発信 VPN ト ラ フ ィ ッ ク が暗号化 さ れ ま す。
8.
ト ラ フ ィ ッ ク が ASA か ら 出 ま す。
ASA の機能 と の互換性
ASA には、HTTP イ ン ス ペ ク シ ョ ン を含む多数の高度な ア プ リ ケーシ ョ ン イ ン ス ペ ク シ ョ ン機
能が あ り ま す。ただ し 、ASA FirePOWER モ ジ ュ ールには ASA よ り も 高度な HTTP イ ン ス ペ ク
シ ョ ン機能が あ り 、その他の ア プ リ ケーシ ョ ン について も 、ア プ リ ケーシ ョ ン使用状況のモ ニ タ
リ ン グや制御な ど の機能が追加 さ れてい ま す。
ASA FirePOWER モ ジ ュ ールの機能を最大限に活用す る には、ASA FirePOWER モ ジ ュ ールに送
信す る ト ラ フ ィ ッ ク に関す る 次のガ イ ド ラ イ ン を参照 し て く だ さ い。
•
HTTP ト ラ フ ィ ッ ク に対 し て ASA イ ン ス ペ ク シ ョ ン を設定 し ないで く だ さ い。
•
ク ラ ウ ド Web セ キ ュ リ テ ィ （ScanSafe） イ ン ス ペ ク シ ョ ン を設定 し ないで く だ さ い。同 じ ト
ラ フ ィ ッ ク に対 し て ASA FirePOWER イ ン ス ペ ク シ ョ ン と ク ラ ウ ド Web セ キ ュ リ テ ィ イ ン
ス ペ ク シ ョ ン の両方を設定 し た場合、ASA では ASA FirePOWER イ ン ス ペ ク シ ョ ン のみが実
行 さ れ ま す。
•
ASA 上の他の ア プ リ ケーシ ョ ン イ ン ス ペ ク シ ョ ン は ASA FirePOWER モ ジ ュ ール と 互換性
が あ り 、こ れにはデ フ ォ ル ト イ ン ス ペ ク シ ョ ン も 含 ま れ ま す。
•
Mobile User Security（MUS）サーバ を イ ネーブルに し ないで く だ さ い。こ れは、ASA
FirePOWER モ ジ ュ ール と の間に互換性が あ り ま せん。
•
フ ェ ールオーバーを イ ネーブルにす る と 、ASA の フ ェ ールオーバーが発生 し た場合、既存の
ASA FirePOWER フ ロ ーはすべて新 し い ASA に転送 さ れ ま す。新 し い ASA 内の ASA
FirePOWER モ ジ ュ ールはその時点か ら 先の ト ラ フ ィ ッ ク の イ ン ス ペ ク シ ョ ン を開始 し 、古
い イ ン ス ペ ク シ ョ ン状態は転送 さ れ ま せん。
モニ タ 専用モー ド
モニ タ 専用モー ド での ト ラ フ ィ ッ ク フ ロ ーは、イ ン ラ イ ン モー ド の場合 と 同 じ です。異な る の
は、ASA FirePOWER モ ジ ュ ールが ト ラ フ ィ ッ ク を ASA に戻 さ ない と い う 点だけです。代わ り
に、モ ジ ュ ールは、セ キ ュ リ テ ィ ポ リ シーを ト ラ フ ィ ッ ク に適用 し 、イ ン ラ イ ン モー ド の場合に
行われ る 処理（ イ ベン ト で ト ラ フ ィ ッ ク に「would have dropped」 と い う マー ク が付け ら れ る な ど ）
を通知 し ま す。こ の情報を ト ラ フ ィ ッ ク 分析に使用 し 、イ ン ラ イ ン モー ド が適切か ど う か を判断
で き ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-126
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
sfr
（注）
例
ASA 上でモ ニ タ 専用モー ド と 通常の イ ン ラ イ ン モー ド の両方を同時に設定で き ま せん。セ キ ュ
リ テ ィ ポ リ シーの 1 つの タ イ プのみが許可 さ れ ま す。マルチ コ ン テ キ ス ト モー ド で、一部の コ
ン テ キ ス ト にモニ タ 専用モー ド を設定 し 、他の コ ン テ キ ス ト に通常の イ ン ラ イ ン モー ド を設定
す る こ と はで き ま せん。
次に、すべての HTTP ト ラ フ ィ ッ ク を ASA FirePOWER モ ジ ュ ールに迂回 さ せ、何 ら かの理由で
こ のモ ジ ュ ールに障害が発生 し た場合にはすべての HTTP ト ラ フ ィ ッ ク を ブ ロ ッ ク す る 例を示
し ま す。
ciscoasa(config)# access-list ASASFR permit tcp any any eq port 80
ciscoasa(config)# class-map my-sfr-class
ciscoasa(config-cmap)# match access-list ASASFR
ciscoasa(config-cmap)# policy-map my-sfr-policy
ciscoasa(config-pmap)# class my-sfr-class
ciscoasa(config-pmap-c)# sfr fail-close
ciscoasa(config-pmap-c)# service-policy my-cx-policy global
次に、10.1.1.0 ネ ッ ト ワ ー ク お よ び 10.2.1.0 ネ ッ ト ワ ー ク 宛てのすべての IP ト ラ フ ィ ッ ク を ASA
FirePOWER モ ジ ュ ールに迂回 さ せ、何 ら かの理由で こ のモ ジ ュ ールに障害が発生 し て も すべて
の ト ラ フ ィ ッ ク の通過を許可す る 例を示 し ま す。
ciscoasa(config)# access-list my-sfr-acl permit ip any 10.1.1.0 255.255.255.0
ciscoasa(config)# access-list my-sfr-acl2 permit ip any 10.2.1.0 255.255.255.0
ciscoasa(config)# class-map my-sfr-class
ciscoasa(config-cmap)# match access-list my-sfr-acl
ciscoasa(config)# class-map my-sfr-class2
ciscoasa(config-cmap)# match access-list my-sfr-acl2
ciscoasa(config-cmap)# policy-map my-sfr-policy
ciscoasa(config-pmap)# class my-sfr-class
ciscoasa(config-pmap-c)# sfr fail-open
ciscoasa(config-pmap)# class my-sfr-class2
ciscoasa(config-pmap-c)# sfr fail-open
ciscoasa(config-pmap-c)# service-policy my-sfr-policy interface outside
関連 コ マ ン ド
コ マン ド
class
説明
class-map
ポ リ シー マ ッ プ用に ト ラ フ ィ ッ ク を識別 し ま す。
hw-module module reload
モ ジ ュ ール を リ ロ ー ド し ま す。
hw-module module reset
リ セ ッ ト を実行 し てか ら 、モ ジ ュ ール を リ ロ ー ド し ま す。
hw-module module shutdown
モ ジ ュ ール を シ ャ ッ ト ダ ウ ン し ま す。
policy-map
ポ リ シーを設定 し ま す。こ れは、1 つの ト ラ フ ィ ッ ク ク ラ
ス と 1 つ以上の ア ク シ ョ ン の ア ソ シ エーシ ョ ン です。
show asp table classify domain sfr
ト ラ フ ィ ッ ク を ASA FirePOWER モ ジ ュ ールに送信す る
ために作成 さ れた NP ルール を表示 し ま す。
show module
モ ジ ュ ールの ス テー タ ス を表示 し ま す。
show running-config policy-map
現在のポ リ シー マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン をすべて
表示 し ま す。
show service-policy
サー ビ ス ポ リ シー統計情報を表示 し ま す。
sw-module module sfr reload
ソ フ ト ウ ェ ア モ ジ ュ ール を リ ロ ー ド し ま す。
ト ラ フ ィ ッ ク 分類に使用す る ク ラ ス マ ッ プ を指定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-127
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
sfr
コ マン ド
sw-module module sfr reset
説明
sw-module module sfr recover
ソ フ ト ウ ェ ア モ ジ ュ ール ブー ト イ メ ージ を イ ン ス ト ール
し ま す。
sw-module module sfr shutdown
ソ フ ト ウ ェ ア モ ジ ュ ール を シ ャ ッ ト ダ ウ ン し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-128
ソ フ ト ウ ェ ア モ ジ ュ ール を リ セ ッ ト し ま す。
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
shape
shape
QoS ト ラ フ ィ ッ ク シ ェ ー ピ ン グ を イ ネーブルにす る には、ク ラ ス コ ン フ ィ ギ ュ レ ーシ ョ ン モー
ド で shape コ マ ン ド を使用 し ま す。ASA な ど の、フ ァ ス ト イ ーサネ ッ ト を使用 し てパケ ッ ト を高
速に送信す る デバ イ ス が存在 し 、そのデバ イ ス が ケーブル モデム な ど の低速デバ イ ス に接続 さ
れてい る 場合、ケーブル モデム がボ ト ルネ ッ ク と な り 、ケーブル モデム でパケ ッ ト が頻繁に ド
ロ ッ プ さ れ ま す。さ ま ざ ま な回線速度を持つネ ッ ト ワ ー ク を管理す る ために、低い固定 レ ー ト で
パケ ッ ト を送信す る よ う に ASA を設定で き ま す。こ れ を ト ラ フ ィ ッ ク シ ェ ーピ ン グ と 呼び ま
す。こ の コ ン フ ィ ギ ュ レ ーシ ョ ン を削除す る には、こ の コ マ ン ド の no 形式を使用 し ま す。
（注）
ト ラ フ ィ ッ ク シ ェ ーピ ン グは、ASA 5505、5510、5520、5540、お よ び 5550 のみでサポー ト さ れ ま
す。（ASA 5500-X な ど の）マルチ コ ア モデルでは、シ ェ ーピ ン グ を サポー ト し てい ません。
shape average rate [burst_size]
no shape average rate [burst_size]
構文の説明
average rate
一定期間におけ る ト ラ フ ィ ッ ク の平均 レ ー ト （ビ ッ ト /秒）を 64000 ～
154400000 の範囲で設定 し ま す。8000 の倍数の値を指定 し ま す。期間
の計算方法の詳細につい ては、「使用上のガ イ ド ラ イ ン」の項 を参照 し
て く だ さ い。
burst_size
一定期間において送信可能な平均バー ス ト サ イ ズ（ビ ッ ト 単位）を
2048 ～ 154400000 の範囲で設定 し ま す。128 の倍数の値を指定 し ま す。
burst_size を指定 し ない場合、デ フ ォ ル ト 値は指定 し た平均 レ ー ト での
4 ミ リ 秒の ト ラ フ ィ ッ ク に相当す る 値にな り ま す。た と えば、平均 レ ー
ト が 1000000 ビ ッ ト /秒の場合、4 ミ リ 秒では 1000000 * 4/1000 = 4000
にな り ま す。
デフ ォル ト
burst_size を指定 し ない場合、デ フ ォ ル ト 値は指定 し た平均 レ ー ト での 4 ミ リ 秒の ト ラ フ ィ ッ ク
に相当す る 値にな り ま す。た と えば、平均 レ ー ト が 1000000 ビ ッ ト /秒の場合、4 ミ リ 秒では
1000000 * 4/1000 = 4000 にな り ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
ク ラ ス コ ン フ ィ ギ ュ レー
ション
コ マ ン ド 履歴
リ リ ース
7.2(4)/8.0(4)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
マルチ
—
—
•
Yes
コ ン テキス ト シ ス テム
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-129
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
shape
使用上のガイ ド ラ イ ン
ト ラ フ ィ ッ ク シ ェ ー ピ ン グ を イ ネーブルにす る には、モ ジ ュ ラ ポ リ シー フ レ ーム ワ ー ク を使用
し ま す。
1.
policy-map：class-default ク ラ ス マ ッ プに関連付け る ア ク シ ョ ン を指定 し ま す。
a. class class-default：ア ク シ ョ ン を実行す る class-default ク ラ ス マ ッ プ を指定 し ま す。
b. shape： ト ラ フ ィ ッ ク シ ェ ー ピ ン グ を ク ラ ス マ ッ プに適用 し ま す。
c. （オプ シ ョ ン）service-policy：シ ェ ー ピ ン グ さ れた ト ラ フ ィ ッ ク のサブセ ッ ト に対 し てプ
ラ イ オ リ テ ィ キ ュ ー イ ン グ を適用で き る よ う に、priority コ マ ン ド を設定 し た異な る ポ
リ シー マ ッ プ を呼び出 し ま す。
2.
service-policy：ポ リ シー マ ッ プ を イ ン タ ー フ ェ イ ス ご と に、ま たはグ ロ ーバルに割 り 当て
ま す。
ト ラ フ ィ ッ ク シ ェ ーピ ングの概要
ト ラ フ ィ ッ ク シ ェ ーピ ン グは、デバ イ ス と リ ン ク の速度を一致 さ せ る こ と で、ジ ッ タ や遅延の原因
にな る 可能性のあ る パケ ッ ト 損失、可変遅延、お よ び リ ン ク 飽和を制御す る ために使用 さ れます。
•
ト ラ フ ィ ッ ク シ ェ ー ピ ン グは、物理 イ ン タ ー フ ェ イ ス のすべての発信 ト ラ フ ィ ッ ク 、ま たは
ASA 5505 の場合は VLAN 上のすべての発信 ト ラ フ ィ ッ ク に適用す る 必要が あ り ま す。特定
の タ イ プの ト ラ フ ィ ッ ク には ト ラ フ ィ ッ ク シ ェ ー ピ ン グ を設定で き ま せん。
•
ト ラ フ ィ ッ ク シ ェ ー ピ ン グは、パケ ッ ト が イ ン タ ー フ ェ イ ス で送信す る 準備がで き て い る
場合に実装 さ れ ま す。そのため、レ ー ト の計算は、IPsec ヘ ッ ダーや L2 ヘ ッ ダーな ど の潜在的
なすべてのオーバーヘ ッ ド を含む、送信 さ れ る パケ ッ ト の実際のサ イ ズに基づいて実行 さ れ
ま す。
•
シ ェ ー ピ ン グ さ れ る ト ラ フ ィ ッ ク には、through-the-box ト ラ フ ィ ッ ク と from-the-box ト ラ
フ ィ ッ ク の両方が含 ま れ ま す。
•
シ ェ ープ レ ー ト の計算は、標準 ト ー ク ン バケ ッ ト アルゴ リ ズ ム に基づいて行われ ま す。
ト ー ク ン バケ ッ ト サ イ ズは、バー ス ト サ イ ズ値の 2 倍です。ト ー ク ン バケ ッ ト の詳細につ
いては、CLI 設定ガ イ ド を参照 し て く だ さ い。
•
バー ス ト 性の ト ラ フ ィ ッ ク が指定 さ れた シ ェ ープ レ ー ト を超え る と 、パケ ッ ト はキ ュ ーに
入れ ら れて、後で送信 さ れ ま す。次に、シ ェ ー ピ ン グ キ ュ ーのい く つかの特性について説明
し ま す（階層型プ ラ イ オ リ テ ィ キ ュ ー イ ン グ の詳細については、priority コ マ ン ド を参照 し
て く だ さ い）。
– キ ュ ーのサ イ ズは、シ ェ ープ レ ー ト に基づいて計算 さ れ ま す。キ ュ ーは、1500 バ イ ト の
パケ ッ ト と し て 200 ミ リ 秒に相当す る シ ェ ープ レ ー ト ト ラ フ ィ ッ ク を保持で き ま す。最
小キ ュ ー サ イ ズは 64 です。
– キ ュ ーの制限に達す る と 、パケ ッ ト はキ ュ ーの末尾か ら ド ロ ッ プ さ れ ま す。
– OSPF Hello パケ ッ ト な ど の一部の重要な キープ ア ラ イ ブ パケ ッ ト は、ド ロ ッ プ さ れ ま
せん。
– 時間間隔は、time_interval = burst_size / average_rate に よ っ て求め ら れ ま す。時間間隔が
長 く な る ほ ど 、シ ェ ープ ト ラ フ ィ ッ ク のバー ス ト 性は高 く な り 、リ ン ク の ア イ ド ル状態
が長 く な る 可能性が あ り ま す。こ の効果は、次の よ う な誇張 し た例を使 う と よ く 理解で
き ま す。
平均 レ ー ト = 1000000
バー ス ト サ イ ズ = 1000000
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-130
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
shape
こ の例では、時間間隔は 1 秒で あ り 、こ れは、100 Mbps の FE リ ン ク では 1 Mbps の ト ラ
フ ィ ッ ク を時間間隔 1 秒の最初の 10 ミ リ 秒内にバー ス ト 送信で き る こ と を意味 し 、残 り
の 990 ミ リ 秒間はア イ ド ル状態にな っ て、次の時間間隔にな る ま でパケ ッ ト を送信で き
ま せん。し たが っ て、音声 ト ラ フ ィ ッ ク の よ う に遅延が問題にな る ト ラ フ ィ ッ ク が あ る
場合は、バー ス ト サ イ ズ を平均 レ ー ト と 比較 し て小 さ く し 、時間間隔を短 く す る 必要が
あ り ま す。
QoS 機能の相互作用の し く み
ASA で必要な場合は、個々の QoS 機能を単独で設定で き ま す。ただ し 、普通は、た と えば一部の
ト ラ フ ィ ッ ク を優先 さ せて、他の ト ラ フ ィ ッ ク に よ っ て帯域幅の問題が発生 し ない よ う にす る
ために、複数の QoS 機能を ASA に設定 し ま す。
次に、イ ン タ ー フ ェ イ ス ご と にサポー ト さ れ る 機能の組み合わせを示 し ま す。
•
標準プ ラ イ オ リ テ ィ キ ュ ー イ ン グ（特定の ト ラ フ ィ ッ ク について）+ ポ リ シ ン グ（その他の ト
ラ フ ィ ッ ク について）
同 じ ト ラ フ ィ ッ ク のセ ッ ト に対 し て、プ ラ イ オ リ テ ィ キ ュ ー イ ン グ と ポ リ シ ン グ を両方設
定す る こ と はで き ま せん。
•
ト ラ フ ィ ッ ク シ ェ ー ピ ン グ（1 つの イ ン タ ー フ ェ イ ス 上のすべての ト ラ フ ィ ッ ク ）+ 階層型
プ ラ イ オ リ テ ィ キ ュ ー イ ン グ（ ト ラ フ ィ ッ ク のサブセ ッ ト ）。
同 じ イ ン タ ー フ ェ イ ス に対 し て、ト ラ フ ィ ッ ク シ ェ ー ピ ン グ と 標準プ ラ イ オ リ テ ィ キ ュ ー イ ン
グ を設定す る こ と はで き ま せん。階層型プ ラ イ オ リ テ ィ キ ュ ー イ ン グ のみを設定で き ま す。た と
えば、グ ロ ーバル ポ リ シーに標準プ ラ イ オ リ テ ィ キ ュ ー イ ン グ を設定 し て、特定の イ ン タ ー
フ ェ イ ス に ト ラ フ ィ ッ ク シ ェ ー ピ ン グ を設定す る 場合、最後に設定 し た機能は拒否 さ れ ま す。こ
れは、グ ロ ーバル ポ リ シーが イ ン タ ー フ ェ イ ス ポ リ シー と 重複す る ためです。
通常、ト ラ フ ィ ッ ク シ ェ ー ピ ン グ を イ ネーブルに し た場合、同 じ ト ラ フ ィ ッ ク に対 し てはポ リ シ
ン グ を イ ネーブルに し ま せん。ただ し 、こ の よ う な設定は ASA では制限 さ れてい ま せん。
例
次に、outside イ ン タ ー フ ェ イ ス のすべての ト ラ フ ィ ッ ク で ト ラ フ ィ ッ ク シ ェ ー ピ ン グ を イ ネー
ブルに し て、DSCP ビ ッ ト が ef に設定 さ れた VPN tunnel-grp1 内の ト ラ フ ィ ッ ク にプ ラ イ オ リ
テ ィ を付け る 例を示 し ま す。
ciscoasa(config)# class-map TG1-voice
ciscoasa(config-cmap)# match tunnel-group tunnel-grp1
ciscoasa(config-cmap)# match dscp ef
ciscoasa(config)# policy-map priority-sub-policy
ciscoasa(config-pmap)# class TG1-voice
ciscoasa(config-pmap-c)# priority
ciscoasa(config-pmap-c)# policy-map shape_policy
ciscoasa(config-pmap)# class class-default
ciscoasa(config-pmap-c)# shape
ciscoasa(config-pmap-c)# service-policy priority-sub-policy
ciscoasa(config-pmap-c)# service-policy shape_policy interface outside
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-131
第1章
same-security-traffic コ マ ン ド ～ shape コ マ ン ド
shape
関連 コ マ ン ド
コ マン ド
class
説明
police
QoS ポ リ シ ン グ を イ ネーブルに し ま す。
policy-map
サービ ス ポ リ シーの ト ラ フ ィ ッ ク に適用す る ア ク シ ョ ン を指定 し ます。
priority
QoS プ ラ イ オ リ テ ィ キ ュ ー イ ン グ を イ ネーブルに し ま す。
ポ リ シー マ ッ プ内でア ク シ ョ ン を実行す る ク ラ ス マ ッ プ を指定 し ます。
service-policy（ ク ラ ス ） 階層型ポ リ シー マ ッ プ を適用 し ま す。
service-policy（グ ロ ーバ サー ビ ス ポ リ シーを イ ン タ ー フ ェ イ ス に適用 し ま す。
ル）
show service-policy
QoS 統計情報 を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
1-132
CH A P T E R
2
show aaa kerberos コ マ ン ド ～ show asdm
sessions コ マ ン ド
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-1
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show aaa kerberos
show aaa kerberos
ASA に キ ャ ッ シ ュ さ れたすべての Kerberos チ ケ ッ ト を表示す る には、webvpn コ ン フ ィ ギ ュ レ ー
シ ョ ン モー ド で show aaa kerberos コ マ ン ド を使用 し ま す。
show aaa kerberos [username user | host ip | hostname]
構文の説明
host
表示す る ホ ス ト を指定 し ま す。
hostname
ホ ス ト 名を指定 し ま す。
ip
ホ ス ト の IP ア ド レ ス を指定 し ま す。
username
表示す る ユーザ を指定 し ま す。
デフ ォル ト
こ の コ マ ン ド にはデ フ ォ ル ト はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
webvpn コ ン フ ィ ギ ュ レ ー
ション
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
例
リ リ ース
8.4(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
マルチ
—
—
•
Yes
コ ン テキス ト シ ス テム
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
ASA に キ ャ ッ シ ュ さ れたすべての Kerberos チ ケ ッ ト を表示す る には、webvpn コ ン フ ィ ギ ュ レ ー
シ ョ ン モー ド で show aaa kerberos コ マ ン ド を使用 し ま す。username お よ び host キー ワ ー ド を
使用 し て、特定のユーザ ま たはホ ス ト の Kerberos チ ケ ッ ト を表示 し ま す。
以下に、show aaa kerberos コ マ ン ド の使用例を示 し ま す。
ciscoasa(config)# show aaa kerberos
Default Principal
Valid Starting Expires
Service Principal
[email protected]
06/29/10 17:33:00 06/30/10 17:33:00 asa$/[email protected]
[email protected]
06/29/10 17:33:00 06/30/10 17:33:00
http/[email protected]
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-2
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show aaa kerberos
関連 コ マ ン ド
コ マン ド
clear aaa kerberos
説明
clear configure
aaa-server
すべて の AAA コ マ ン ド ス テー ト メ ン ト を コ ン フ ィ ギ ュ レ ー
シ ョ ン か ら 削除 し ま す。
show running-config
aaa-server
すべて の AAA サーバ、特定のサーバ グループ、特定の グループ
内の特定のサーバ、ま たは特定のプ ロ ト コ ルの AAA サーバ統計
情報を表示 し ま す。
ASA で キ ャ ッ シ ュ さ れたすべての Kerberos チ ケ ッ ト を ク リ ア し
ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-3
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show aaa local user
show aaa local user
現在 ロ ッ ク さ れてい る ユーザ名の リ ス ト を表示す る か、ま たはユーザ名の詳細を表示す る には、
グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で aaa local user コ マ ン ド を使用 し ま す。
show aaa local user [locked]
構文の説明
locked
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
（オプシ ョ ン）現在 ロ ッ ク さ れてい る ユーザ名の リ ス ト を表示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
7.0(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
オプ シ ョ ン の キー ワ ー ド locked を省略す る と 、ASA に よ っ て、すべての AAA ロ ーカル ユーザの
失敗試行お よ び ロ ッ ク ア ウ ト ス テー タ ス の詳細が表示 さ れ ま す。
username オプシ ョ ン を使用 し て単一のユーザ を指定す る か、all オプシ ョ ン を使用 し てすべての
ユーザ を指定で き ま す。
こ の コ マ ン ド は、ロ ッ ク ア ウ ト さ れてい る ユーザの ス テー タ ス だけに影響 し ま す。
管理者をデバ イ ス か ら ロ ッ ク ア ウ ト す る こ と はで き ま せん。
例
次に、show aaa local user コ マ ン ド を使用 し て、すべてのユーザ名の ロ ッ ク ア ウ ト ス テー タ ス を
表示す る 例を示 し ま す。
次に、制限を 5 回に設定 し た後に show aaa local user コ マ ン ド を使用 し て、すべての AAA ロ ーカ
ル ユーザの失敗 し た認証試行回数お よ び ロ ッ ク ア ウ ト ス テー タ ス の詳細を表示す る 例を示 し
ま す。
ciscoasa(config)# aaa local authentication attempts max-fail 5
ciscoasa(config)# show aaa local user
Lock-time Failed-attempts
Locked User
6
Y
test
2
N
mona
1
N
cisco
4
N
newuser
ciscoasa(config)#
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-4
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show aaa local user
次に、制限を 5 回に設定 し た後に lockout キー ワ ー ド を指定 し て show aaa local user コ マ ン ド を
使用 し 、ロ ッ ク ア ウ ト さ れてい る AAA ロ ーカル ユーザのみの失敗 し た認証試行回数お よ び ロ ッ
ク ア ウ ト ス テー タ ス の詳細を表示す る 例を示 し ま す。
ciscoasa(config)# aaa local authentication attempts max-fail 5
ciscoasa(config)# show aaa local user
Lock-time Failed-attempts
Locked User
6
Y
test
ciscoasa(config)#
関連 コ マ ン ド
コ マン ド
説明
aaa local authentication ユーザが何回誤っ たパ ス ワ ー ド を入力す る と ロ ッ ク ア ウ ト さ れ る か
attempts max-fail
を示す最大回数を設定 し ま す。
clear aaa local user
ロ ッ ク ア ウ ト ス テー タ ス を変更 し ないで、失敗試行回数を 0 に リ
fail-attempts
セ ッ ト し ま す。
clear aaa local user
指定 し たユーザ ま たはすべてのユーザの ロ ッ ク ア ウ ト ス テー タ ス を
lockout
ク リ ア し て、それ ら のユーザの失敗試行カ ウ ン タ を 0 に設定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-5
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show aaa-server
show aaa-server
AAA サーバの AAA サーバ統計情報を表示す る には、特権 EXEC モー ド で show aaa-server コ マ
ン ド を使用 し ま す。
show aaa-server [LOCAL | groupname [host hostname] | protocol protocol]
構文の説明
LOCAL
（オプシ ョ ン） ロ ーカル ユーザ デー タ ベー ス の統計情報を表示 し ま す。
groupname
（オプシ ョ ン）グループ内のサーバの統計情報を表示 し ま す。
host hostname
（オプシ ョ ン）グループ内の特定のサーバの統計情報を表示 し ま す。
protocol protocol
（オプシ ョ ン）以下か ら プ ロ ト コ ル を指定 し て、サーバの統計情報 を表
示 し ま す。
•
kerberos
•
ldap
•
nt
•
radius
•
sdi
•
tacacs+
デフ ォル ト
デ フ ォ ル ト で、すべての AAA サーバ統計情報が表示 さ れ ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
例
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
コ ン テキス ト シ ス テム
•
Yes
—
リ リ ース
7.1(1)
変更内容
8.0(2)
aaa-server active コ マ ン ド ま たは fail コ マ ン ド を使用 し て手動で ス テー
タ ス が変更 さ れたか ど う かがサーバ ス テー タ ス に表示 さ れ る よ う にな
り ま し た。
http-form プ ロ ト コ ルが追加 さ れ ま し た。
次に、show aaa-server コ マ ン ド の出力例を示 し ま す。
ciscoasa(config)# show aaa-server group1 host 192.68.125.60
Server Group: group1
Server Protocol: RADIUS
Server Address: 192.68.125.60
Server port: 1645
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-6
マルチ
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show aaa-server
Server status: ACTIVE.Last transaction (success) at 11:10:08 UTC
Number of pending requests
20
Average round trip time
4ms
Number of authentication requests 20
Number of authorization requests 0
Number of accounting requests
0
Number of retransmissions
1
Number of accepts
16
Number of rejects
4
Number of challenges
5
Number of malformed responses
0
Number of bad authenticators
0
Number of timeouts
0
Number of unrecognized responses 0
Fri Aug 22
次の表に、show aaa-server コ マ ン ド の フ ィ ール ド の説明を示 し ま す。
フ ィ ール ド
説明
Server Group
aaa-server コ マ ン ド に よ っ て指定 さ れたサーバ グループ名。
Server Protocol
aaa-server コ マ ン ド に よ っ て指定 さ れたサーバ グループの
サーバ プ ロ ト コ ル。
Server Address
AAA サーバの IP ア ド レ ス 。
Server port
ASAお よ び AAA サーバに よ っ て使用 さ れ る 通信ポー ト 。
RADIUS 認証ポー ト は、authentication-port コ マ ン ド を使用
し て指定で き ま す。RADIUS ア カ ウ ン テ ィ ン グ ポー ト は、
accounting-port コ マ ン ド を使用 し て指定で き ま す。非
RADIUS サーバでは、ポー ト は server-port コ マ ン ド に よ っ
て設定 さ れ ま す。
Server status
サーバの ス テー タ ス 。次のいずれかの値が表示 さ れ ま す。
•
ACTIVE：ASA は こ の AAA サーバ と 通信 し ま す。
•
FAILED：ASA は こ の AAA サーバ と 通信で き ま せん。こ
の状態にな っ たサーバは、設定 さ れてい る ポ リ シーに応
じ て一定期間 こ の状態の ま ま と な っ た後、再ア ク テ ィ ブ
化 さ れ ま す。
ス テー タ ス の後に「(admin initiated)」 と 表示 さ れてい る 場合、
こ のサーバは、aaa-server active コ マ ン ド ま たは fail コ マ ン
ド を使用 し て手動で障害発生状態に さ れたか、ま たは再ア ク
テ ィ ブ化 さ れてい ま す。
最終 ト ラ ン ザ ク シ ョ ン日時を次の形式で示 し ま す。
Last transaction ({success | failure}) at time timezone
date
ASA がサーバ と 通信 し た こ と がない場合は、次の メ ッ セージ
が表示 さ れ ま す。
Last transaction at Unknown
Number of pending requests
現在進行中の要求数。
Average round trip time
サーバ と の ト ラ ン ザ ク シ ョ ン を完了す る ま でにかか る 平均
時間。
Number of authentication requests
ASA に よ っ て送信 さ れた認証要求数。タ イ ム ア ウ ト 後の再送
信は、こ の値には含 ま れ ま せん。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-7
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show aaa-server
フ ィ ール ド
説明
Number of authorization requests
認可要求数。こ の値は、コ マ ン ド 認可、コ ン ピ ュ ー タ を通過す
る ト ラ フ ィ ッ ク （TACACS+ サーバの場合）の認可、ト ン ネル
グループで イ ネーブルに さ れた WebVPN お よ び IPsec 認可
機能が原因の認可要求を指 し ま す。タ イ ム ア ウ ト 後の再送信
は、こ の値には含 ま れ ま せん。
Number of accounting requests
ア カ ウ ン テ ィ ン グ要求数。タ イ ム ア ウ ト 後の再送信は、こ の
値には含 ま れ ま せん。
Number of retransmissions
内部 タ イ ム ア ウ ト 後に メ ッ セージが再送信 さ れた回数。こ の
値は、Kerberos お よ び RADIUS サーバ（UDP）にのみ適用 さ れ
ま す。
Number of accepts
成功 し た認証要求数。
Number of rejects
拒否 さ れた要求数。こ の値には、エ ラ ー状態、お よ び実際に ク
レ デン シ ャ ルが AAA サーバか ら 拒否 さ れた場合の両方が含
ま れ ま す。
Number of challenges
最初にユーザ名 と パ ス ワ ー ド の情報を受信 し た後に、AAA
サーバがユーザに対 し て追加の情報を要求 し た回数。
Number of malformed responses
該当な し 。将来的な使用のために予約 さ れてい ま す。
Number of bad authenticators
次のいずれかが発生 し た回数。
•
RADIUS パケ ッ ト の「authenticator」 ス ト リ ン グ が破損 し
てい る （ ま れな ケー ス ）。
•
ASA の共有秘密キー と RADIUS サーバの共有秘密キー
が一致 し ない。こ の問題を修正す る には、正 し いサーバ
キーを入力 し ま す。
こ の値は、RADIUS にのみ適用 さ れ ま す。
Number of timeouts
ASA が、AAA サーバが応答 し ない、ま たは動作が不正で あ る
こ と を検出 し 、オ フ ラ イ ン で あ る と 見な し た回数。
Number of unrecognized responses 認識で き ない応答 ま たはサポー ト し ていない応答を ASA が
AAA サーバか ら 受信 し た回数。た と えば、サーバか ら の
RADIUS パケ ッ ト コ ー ド が不明な タ イ プ（既知の
「access-accept」、「access-reject」、「access-challenge」 ま たは
「accounting-response」以外の タ イ プ）で あ る 場合です。通常、
こ れは、サーバか ら の RADIUS 応答パケ ッ ト が破損 し てい る
こ と を意味 し てい ま すが、ま れな ケー ス です。
関連 コ マ ン ド
コ マン ド
show running-config
aaa-server
説明
clear aaa-server
statistics
AAA サーバ統計情報を ク リ ア し ま す。
指定 し たサーバ グループ内のすべてのサーバ、ま たは特定のサーバの
統計情報を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-8
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show access-list
show access-list
ア ク セ ス リ ス ト の ヒ ッ ト カ ウ ン タ お よ び タ イ ム ス タ ン プ値を表示す る には、特権 EXEC モー ド
で show access-list コ マ ン ド を使用 し ま す。
show access-list id_1 [...[id_2]] [brief]
構文の説明
brief
（オプシ ョ ン）ア ク セ ス リ ス ト ID、ヒ ッ ト カ ウ ン ト 、お よ び最終ルール
ヒ ッ ト の タ イ ム ス タ ン プ をすべて 16 進形式で表示 し ま す。
id_1
既存のア ク セ ス リ ス ト を識別す る 名前 ま たは文字セ ッ ト 。
id_2
（オプシ ョ ン）既存のア ク セ ス リ ス ト を識別す る名前ま たは文字セ ッ ト 。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
リ リ ース
8.0(2)
変更内容
8.3(1)
ACL タ イ ム ス タ ン プ を表示す る よ う ACE 表示パ タ ーン を変更 し ま し た。
brief キー ワ ー ド のサポー ト が追加 さ れ ま し た。
1 つの コ マ ン ド に複数の ア ク セ ス リ ス ト 識別子を入力す る こ と に よ っ て、一度に複数の ア ク セ
ス リ ス ト を表示で き ま す。
brief キー ワ ー ド を指定 し て、ア ク セ ス リ ス ト ヒ ッ ト カ ウ ン ト 、ID、お よ び タ イ ム ス タ ン プ情報
を 16 進形式で表示で き ま す。16 進形式で表示 さ れ る コ ン フ ィ ギ ュ レ ーシ ョ ン ID は、3 列に表示
さ れ、Syslog 106023 お よ び 106100 で使用 さ れ る も の と 同 じ ID です。
ク ラ ス タ リ ン グのガ イ ド ラ イ ン
ASA ク ラ ス タ リ ン グ を使用す る 場合、ト ラ フ ィ ッ ク が単一のユ ニ ッ ト に よ り 受信 さ れた場合で
も 、ク ラ ス タ リ ン グ のダ イ レ ク タ ロ ジ ッ ク に よ り 、その他のユ ニ ッ ト は ACL の ヒ ッ ト カ ウ ン ト
を示す場合が あ り ま す。こ れは予期 さ れた動作です。ク ラ イ ア ン ト か ら 直接パケ ッ ト を受信 し な
か っ たユニ ッ ト は、所有者要求に応 じ て ク ラ ス タ 制御 リ ン ク を介 し て転送 さ れたパケ ッ ト を受
信す る こ と が あ る ため、ユニ ッ ト はパケ ッ ト を受信ユ ニ ッ ト に戻す前に ACL を チ ェ ッ ク す る こ
と が あ り ま す。こ のため、ト ラ フ ィ ッ ク がユニ ッ ト を通過 し な か っ た場合で も ACL ヒ ッ ト カ ウ
ン ト が増分 さ れ ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-9
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show access-list
例
次に、16 進形式で指定 さ れた ア ク セ ス ポ リ シー（ ヒ ッ ト カ ウ ン ト がゼ ロ ではない ACE）に関す る
簡単な情報の例を示 し ます。最初の 2 列には、ID が 16 進形式で表示 さ れ、3 番目の列には ヒ ッ ト カ
ウ ン ト が リ ス ト さ れ、4 番目の列には、タ イ ム ス タ ン プ値が 16 進形式で表示 さ れます。ヒ ッ ト カ ウ
ン ト の値は、ト ラ フ ィ ッ ク がルールに ヒ ッ ト し た回数を表 し ます。タ イ ム ス タ ン プ値は、最終 ヒ ッ
ト の時刻を報告 し ます。ヒ ッ ト カ ウ ン ト がゼ ロ の場合、情報は表示 さ れません。
次に、show access-list コ マ ン ド の出力例を示 し ま す。こ れは、「IN」方向の outside イ ン タ ー フ ェ イ
ス に適用 さ れ る 、ア ク セ ス リ ス ト 名「test」を示 し ま す。
ciscoasa# show access-list test
access-list test; 3 elements; name hash: 0xcb4257a3
access-list test line 1 extended permit icmp any any (hitcnt=0) 0xb422e9c2
access-list test line 2 extended permit object-group TELNET-SSH object-group S1
object-group D1 0x44ae5901
access-list test line 2 extended permit tcp 100.100.100.0 255.255.255.0 10.10.10.0
255.255.255.0 eq telnet (hitcnt=1) 0xca10ca21
access-list test line 2 extended permit tcp 100.100.100.0 255.255.255.0 10.10.10.0
255.255.255.0 eq ssh(hitcnt=1) 0x5b704158
次に、object-group-search グループが イ ネーブルにな っ てい ない場合の show access-list コ マ ン
ド の出力例を示 し ま す。
ciscoasa# show access-list KH-BLK-Tunnel
access-list KH-BLK-Tunnel; 9 elements
access-list KH-BLK-Tunnel line 1 extended permit ip object-group KH-LAN object-group
BLK-LAN 0x724c956b
access-list KH-BLK-Tunnel line 1 extended permit ip 192.168.97.0 255.255.255.0
192.168.4.0 255.255.255.0 (hitcnt=10) 0x30fe29a6
access-list KH-BLK-Tunnel line 1 extended permit ip 13.13.13.0 255.255.255.0
192.168.4.0 255.255.255.0 (hitcnt=4) 0xc6ef2338
access-list KH-BLK-Tunnel line 1 extended permit ip 192.168.97.0 255.255.255.0
14.14.14.0 255.255.255.0 (hitcnt=2) 0xce8596ec
access-list KH-BLK-Tunnel line 1 extended permit ip 13.13.13.0 255.255.255.0 14.14.14.0
255.255.255.0 (hitcnt=0) 0x9a2f1c4d
access-list KH-BLK-Tunnel line 2 extended permit ospf interface pppoe1 host 87.139.87.200
(hitcnt=0) 0xb62d5832
access-list KH-BLK-Tunnel line 3 extended permit ip interface pppoe1 any (hitcnt=0)
0xa2c9ed34
access-list KH-BLK-Tunnel line 4 extended permit ip host 1.1.1.1 any (hitcnt=0) 0xd06f7e6b
access-list KH-BLK-Tunnel line 5 extended deny ip 1.1.0.0 255.255.0.0 any (hitcnt=0)
0x9d979934
access-list KH-BLK-Tunnel line 6 extended permit ip 1.1.1.0 255.255.255.0 any (hitcnt=0)
0xa52a0761
次に、object-group-search グループが イ ネーブルにな っ てい る 場合の show access-list コ マ ン ド
の出力例を示 し ま す。
ciscoasa# show access-list KH-BLK-Tunnel
access-list KH-BLK-Tunnel; 6 elements
access-list KH-BLK-Tunnel line 1 extended
BLK-LAN(2)(hitcount=16) 0x724c956b
access-list KH-BLK-Tunnel line 2 extended
(hitcnt=0) 0xb62d5832
access-list KH-BLK-Tunnel line 3 extended
0xa2c9ed34
access-list KH-BLK-Tunnel line 4 extended
access-list KH-BLK-Tunnel line 5 extended
0x9d979934
access-list KH-BLK-Tunnel line 6 extended
0xa52a0761
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-10
permit ip object-group KH-LAN(1) object-group
permit ospf interface pppoe1 host 87.139.87.200
permit ip interface pppoe1 any (hitcnt=0)
permit ip host 1.1.1.1 any (hitcnt=0) 0xd06f7e6b
deny ip 1.1.0.0 255.255.0.0 any (hitcnt=0)
permit ip 1.1.1.0 255.255.255.0 any (hitcnt=0)
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show access-list
次に、Telnet ト ラ フ ィ ッ ク が通過す る 際の show access-list brief コ マ ン ド の出力例を示 し ま す。
ciscoasa (config)# sh access-list test brief
access-list test; 3 elements; name hash: 0xcb4257a3
ca10ca21 44ae5901 00000001 4a68aa7e
次に、SSH ト ラ フ ィ ッ ク が通過す る 際の show access-list brief コ マ ン ド の出力例を示 し ま す。
ciscoasa (config)# sh access-list test brief
access-list test; 3 elements; name hash: 0xcb4257a3
ca10ca21 44ae5901 00000001 4a68aa7e
5b704158 44ae5901 00000001 4a68aaa9
次に、show access-list コ マ ン ド の出力例を示 し ま す。こ れは、ACL 最適化が イ ネーブルにな っ て
い る 、「IN」方向の outside イ ン タ ー フ ェ イ ス に適用 さ れ る 、ア ク セ ス リ ス ト 名「test」を示 し ま す。
ciscoasa# show access-list test
access-list test; 3 elements; name hash: 0xcb4257a3
access-list test line 1 extended permit icmp any any (hitcnt=0) 0xb422e9c2
access-list test line 2 extended permit object-group TELNET-SSH object-group S1
object-group D1 0x44ae5901
access-list test line 2 extended permit tcp object-group S1(1) object-group D1(2) eq
telnet (hitcnt=1) 0x7b1c1660
access-list test line 2 extended permit tcp object-group S1(1) object-group D1(2) eq ssh
(hitcnt=1) 0x3666f922
次に、Telnet ト ラ フ ィ ッ ク が通過す る 際の show access-list brief コ マ ン ド の出力例を示 し ま す。
ciscoasa (config)# sh access-list test brief
access-list test; 3 elements; name hash: 0xcb4257a3
7b1c1660 44ae5901 00000001 4a68ab51
次に、SSH ト ラ フ ィ ッ ク が通過す る 際の show access-list brief コ マ ン ド の出力例を示 し ま す。
ciscoasa (config)# sh access-list test brief
access-list test; 3 elements; name hash: 0xcb4257a3
7b1c1660 44ae5901 00000001 4a68ab51
3666f922 44ae5901 00000001 4a68ab66
関連 コ マ ン ド
コ マン ド
access-list ethertype
説明
access-list extended
ア ク セ ス リ ス ト を コ ン フ ィ ギ ュ レ ーシ ョ ン に追加 し 、フ ァ イ ア ウ ォ ー
ル を通過す る IP ト ラ フ ィ ッ ク 用のポ リ シーを設定 し ま す。
EtherType に基づいて ト ラ フ ィ ッ ク を制御す る ア ク セ ス リ ス ト を設定
し ま す。
clear access-list
ア ク セ ス リ ス ト カ ウ ン タ を ク リ ア し ま す。
clear configure
access-list
実行 コ ン フ ィ ギ ュ レ ーシ ョ ン か ら ア ク セ ス リ ス ト を ク リ ア し ま す。
show running-config
access-list
現在実行 し てい る ア ク セ ス リ ス ト コ ン フ ィ ギ ュ レ ーシ ョ ン を表示 し
ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-11
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show activation-key
show activation-key
永続 ラ イ セ ン ス 、ア ク テ ィ ブな時間ベー ス ラ イ セ ン ス 、お よ び永続 ラ イ セ ン ス と ア ク テ ィ ブな時
間ベー ス ラ イ セ ン ス の組み合わせで あ る 実行 ラ イ セ ン ス を表示す る には、 特権 EXEC モー ド で
show activation-key コ マ ン ド を使用 し ま す。フ ェ ールオーバー ユニ ッ ト では、こ の コ マ ン ド に
よ っ て、プ ラ イ マ リ お よ びセ カ ン ダ リ ユニ ッ ト の結合キーで あ る 、「 フ ェ ールオーバー ク ラ ス
タ 」 ラ イ セ ン ス も 表示 さ れ ま す。
show activation-key [detail]
構文の説明
detail
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表は、こ の コ マ ン ド を入力で き る モー ド を示 し てい ま す。
非ア ク テ ィ ブな時間ベー ス ラ イ セ ン ス を表示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
リ リ ース
7.0(1)
変更内容
8.0(4)
detail キー ワ ー ド が追加 さ れ ま し た。
8.2(1)
出力が変更 さ れて、追加の ラ イ セ ン ス 情報が含 ま れ る よ う にな り ま し た。
8.3(1)
出力に、機能で使用 さ れ る のが永続キー ま たは時間ベー ス キーのいずれで あ
る か、お よ び使用中の時間ベー ス キーの期間が含 ま れ る よ う にな り ま し た。
イ ン ス ト ール さ れてい る すべて の時間ベー ス キー（ア ク テ ィ ブ と 非ア ク テ ィ
ブの両方） も 表示 さ れ ま す。
8.4(1)
ペ イ ロ ー ド 暗号化機能のないモデルのサポー ト 。
こ の コ マ ン ド が追加 さ れ ま し た。
一部の永続 ラ イ セ ン ス では、ア ク テ ィ ブ化後に ASA を リ ロ ー ド す る 必要が あ り ま す。表 2-1 に、
リ ロ ー ド が必要な ラ イ セ ン ス を示 し ま す。
表 2-1
永続ラ イ セ ン スの リ ロー ド 要件
モデル
リ ロ ー ド が必要な ラ イ セ ン ス ア ク シ ョ ン
すべてのモデル
暗号化 ラ イ セ ン ス のダ ウ ン グ レ ー ド 。
ASAv
vCPU ラ イ セ ン ス のダ ウ ン グ レ ー ド 。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-12
ト ラ ン スペ
アレン ト
シ ン グル
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show activation-key
リ ロ ー ド が必要な場合は、show activation-key 出力は次の よ う にな り ま す。
The flash activation key is DIFFERENT from the running key.
The flash activation key takes effect after the next reload.
ペ イ ロ ー ド 暗号化機能のないモデルで ラ イ セ ン ス を表示す る と 、VPN お よ びユ ニ フ ァ イ ド コ
ミ ュ ニ ケーシ ョ ン ラ イ セ ン ス は リ ス ト に示 さ れ ま せん。
例
例 2-1
show activation-key コ マ ン ド のス タ ン ド ア ロ ン ユニ ッ ト の出力
次に、実行 ラ イ セ ン ス （永続 ラ イ セ ン ス と 時間ベー ス ラ イ セ ン ス の組み合わせ）、お よ びア ク テ ィ
ブ な各時間ベー ス ラ イ セ ン ス を示す、ス タ ン ド ア ロ ン ユニ ッ ト の show activation-key コ マ ン ド
の出力例を示 し ま す。
ciscoasa# show activation-key
Serial Number: JMX1232L11M
Running Permanent Activation Key: 0xce06dc6b 0x8a7b5ab7 0xa1e21dd4 0xd2c4b8b8 0xc4594f9c
Running Timebased Activation Key: 0xa821d549 0x35725fe4 0xc918b97b 0xce0b987b 0x47c7c285
Running Timebased Activation Key: 0xyadayad2 0xyadayad2 0xyadayad2 0xyadayad2 0xyadayad2
Licensed features for this platform:
Maximum Physical Interfaces
: Unlimited
Maximum VLANs
: 150
Inside Hosts
: Unlimited
Failover
: Active/Active
VPN-DES
: Enabled
VPN-3DES-AES
: Enabled
Security Contexts
: 10
GTP/GPRS
: Enabled
AnyConnect Premium Peers
: 2
AnyConnect Essentials
: Disabled
Other VPN Peers
: 750
Total VPN Peers
: 750
Shared License
: Enabled
Shared AnyConnect Premium Peers : 12000
AnyConnect for Mobile
: Disabled
AnyConnect for Cisco VPN Phone
: Disabled
Advanced Endpoint Assessment
: Disabled
UC Phone Proxy Sessions
: 12
Total UC Proxy Sessions
: 12
Botnet Traffic Filter
: Enabled
Intercompany Media Engine
: Disabled
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
62 days
62 days
646 days
perpetual
This platform has a Base license.
The flash permanent activation key is the SAME as the running permanent key.
Active Timebased Activation Key:
0xa821d549 0x35725fe4 0xc918b97b 0xce0b987b 0x47c7c285
Botnet Traffic Filter
: Enabled
646 days
0xyadayad2 0xyadayad2 0xyadayad2 0xyadayad2 0xyadayad2
Total UC Proxy Sessions
: 10
62 days
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-13
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show activation-key
例 2-2
show activation-key detail のス タ ン ド ア ロ ン ユニ ッ ト の出力
次に、実行 ラ イ セ ン ス（永続 ラ イ セ ン ス と 時間ベー ス ラ イ セ ン ス の組み合わせ）、お よ び永続 ラ イ
セ ン ス と イ ン ス ト ール さ れてい る 各時間ベー ス ラ イ セ ン ス（ア ク テ ィ ブお よ び非ア ク テ ィ ブ）を
示す、ス タ ン ド ア ロ ン ユニ ッ ト の show activation-key detail コ マ ン ド の出力例を示 し ます。
ciscoasa# show activation-key detail
Serial Number: 88810093382
Running Permanent Activation Key: 0xce06dc6b 0x8a7b5ab7 0xa1e21dd4 0xd2c4b8b8 0xc4594f9c
Running Timebased Activation Key: 0xa821d549 0x35725fe4 0xc918b97b 0xce0b987b 0x47c7c285
Licensed features for this platform:
Maximum Physical Interfaces
: 8
VLANs
: 20
Dual ISPs
: Enabled
VLAN Trunk Ports
: 8
Inside Hosts
: Unlimited
Failover
: Active/Standby
VPN-DES
: Enabled
VPN-3DES-AES
: Enabled
AnyConnect Premium Peers
: 2
AnyConnect Essentials
: Disabled
Other VPN Peers
: 25
Total VPN Peers
: 25
AnyConnect for Mobile
: Disabled
AnyConnect for Cisco VPN Phone
: Disabled
Advanced Endpoint Assessment
: Disabled
UC Phone Proxy Sessions
: 2
Total UC Proxy Sessions
: 2
Botnet Traffic Filter
: Enabled
Intercompany Media Engine
: Disabled
perpetual
DMZ Unrestricted
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
39 days
perpetual
This platform has an ASA 5505 Security Plus license.
Running Permanent Activation Key: 0xce06dc6b 0x8a7b5ab7 0xa1e21dd4 0xd2c4b8b8 0xc4594f9c
Licensed features for this platform:
Maximum Physical Interfaces
: 8
VLANs
: 20
Dual ISPs
: Enabled
VLAN Trunk Ports
: 8
Inside Hosts
: Unlimited
Failover
: Active/Standby
VPN-DES
: Enabled
VPN-3DES-AES
: Enabled
AnyConnect Premium Peers
: 2
AnyConnect Essentials
: Disabled
Other VPN Peers
: 25
Total VPN Peers
: 25
AnyConnect for Mobile
: Disabled
AnyConnect for Cisco VPN Phone
: Disabled
Advanced Endpoint Assessment
: Disabled
UC Phone Proxy Sessions
: 2
Total UC Proxy Sessions
: 2
Botnet Traffic Filter
: Enabled
Intercompany Media Engine
: Disabled
perpetual
DMZ Unrestricted
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
39 days
perpetual
The flash permanent activation key is the SAME as the running permanent key.
Active Timebased Activation Key:
0xa821d549 0x35725fe4 0xc918b97b 0xce0b987b 0x47c7c285
Botnet Traffic Filter
: Enabled
39 days
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-14
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show activation-key
Inactive Timebased Activation Key:
0xyadayada3 0xyadayada3 0xyadayada3 0xyadayada3 0xyadayada3
AnyConnect Premium Peers
: 25
7 days
例 2-3
show activation-key detail のフ ェ ールオーバー ペアのプ ラ イ マ リ ユニ ッ ト の出力
次に、プ ラ イ マ リ フ ェ ールオーバー ユニ ッ ト の show activation-key detail コ マ ン ド の出力例を
示 し ま す。次の ラ イ セ ン ス が表示 さ れ ま す。
•
プ ラ イ マ リ ユニ ッ ト ラ イ セ ン ス（永続 ラ イ セ ン ス と 時間ベー ス ラ イ セ ン ス の組み合わせ）。
•
プ ラ イ マ リ お よ びセ カ ン ダ リ ユニ ッ ト の ラ イ セ ン ス の組み合わせで あ る 、「 フ ェ ールオー
バー ク ラ ス タ 」 ラ イ セ ン ス 。こ れは、ASA で実際に実行 さ れてい る ラ イ セ ン ス です。プ ラ イ マ
リ お よ びセ カ ン ダ リ ラ イ セ ン ス の組み合わせを反映 し た こ の ラ イ セ ン ス の値は、太字に
な っ てい ま す。
•
プ ラ イ マ リ ユニ ッ ト の永続 ラ イ セ ン ス 。
•
プ ラ イ マ リ ユニ ッ ト の イ ン ス ト ール済みの時間ベー ス ラ イ セ ン ス （ア ク テ ィ ブお よ び非ア
ク テ ィ ブ）。
ciscoasa# show activation-key detail
Serial Number: P3000000171
Running Permanent Activation Key: 0xce06dc6b 0x8a7b5ab7 0xa1e21dd4 0xd2c4b8b8 0xc4594f9c
Running Timebased Activation Key: 0xa821d549 0x35725fe4 0xc918b97b 0xce0b987b 0x47c7c285
Licensed features for this platform:
Maximum Physical Interfaces
: Unlimited
Maximum VLANs
: 150
Inside Hosts
: Unlimited
Failover
: Active/Active
VPN-DES
: Enabled
VPN-3DES-AES
: Enabled
Security Contexts
: 12
GTP/GPRS
: Enabled
AnyConnect Premium Peers
: 2
AnyConnect Essentials
: Disabled
Other VPN Peers
: 750
Total VPN Peers
: 750
Shared License
: Disabled
AnyConnect for Mobile
: Disabled
AnyConnect for Cisco VPN Phone
: Disabled
Advanced Endpoint Assessment
: Disabled
UC Phone Proxy Sessions
: 2
Total UC Proxy Sessions
: 2
Botnet Traffic Filter
: Enabled
Intercompany Media Engine
: Disabled
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
33 days
perpetual
This platform has an ASA 5520 VPN Plus license.
Failover cluster licensed features for this platform:
Maximum Physical Interfaces
: Unlimited
perpetual
Maximum VLANs
: 150
perpetual
Inside Hosts
: Unlimited
perpetual
Failover
: Active/Active perpetual
VPN-DES
: Enabled
perpetual
VPN-3DES-AES
: Enabled
perpetual
Security Contexts
: 12
perpetual
GTP/GPRS
: Enabled
perpetual
AnyConnect Premium Peers
: 4
perpetual
AnyConnect Essentials
: Disabled
perpetual
Other VPN Peers
: 750
perpetual
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-15
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show activation-key
Total VPN Peers
Shared License
AnyConnect for Mobile
AnyConnect for Cisco VPN Phone
Advanced Endpoint Assessment
UC Phone Proxy Sessions
Total UC Proxy Sessions
Botnet Traffic Filter
Intercompany Media Engine
:
:
:
:
:
:
:
:
:
750
Disabled
Disabled
Disabled
Disabled
4
4
Enabled
Disabled
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
33 days
perpetual
This platform has an ASA 5520 VPN Plus license.
Running Permanent Activation Key: 0xce06dc6b 0x8a7b5ab7 0xa1e21dd4 0xd2c4b8b8 0xc4594f9c
Licensed features for this platform:
Maximum Physical Interfaces
: Unlimited
Maximum VLANs
: 150
Inside Hosts
: Unlimited
Failover
: Active/Active
VPN-DES
: Enabled
VPN-3DES-AES
: Disabled
Security Contexts
: 2
GTP/GPRS
: Disabled
AnyConnect Premium Peers
: 2
AnyConnect Essentials
: Disabled
Other VPN Peers
: 750
Total VPN Peers
: 750
Shared License
: Disabled
AnyConnect for Mobile
: Disabled
AnyConnect for Cisco VPN Phone
: Disabled
Advanced Endpoint Assessment
: Disabled
UC Phone Proxy Sessions
: 2
Total UC Proxy Sessions
: 2
Botnet Traffic Filter
: Disabled
Intercompany Media Engine
: Disabled
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
The flash permanent activation key is the SAME as the running permanent key.
Active Timebased Activation Key:
0xa821d549 0x35725fe4 0xc918b97b 0xce0b987b 0x47c7c285
Botnet Traffic Filter
: Enabled
33 days
Inactive Timebased Activation Key:
0xyadayad3 0xyadayad3 0xyadayad3 0xyadayad3 0xyadayad3
Security Contexts
: 2
7 days
AnyConnect Premium Peers
: 100
7 days
0xyadayad4 0xyadayad4 0xyadayad4 0xyadayad4 0xyadayad4
Total UC Proxy Sessions
: 100
14 days
例 2-4
show activation-key detail のフ ェ ールオーバー ペアのセ カ ンダ リ ユニ ッ ト の出力
次に、セ カ ン ダ リ フ ェ ールオーバー ユニ ッ ト の show activation-key detail コ マ ン ド の出力例を
示 し ま す。次の ラ イ セ ン ス が表示 さ れ ま す。
•
セ カ ン ダ リ ユニ ッ ト ラ イ セ ン ス（永続 ラ イ セ ン ス と 時間ベー ス ラ イ セ ン ス の組み合わせ）。
•
プ ラ イ マ リ お よ びセ カ ン ダ リ ユニ ッ ト の ラ イ セ ン ス の組み合わせで あ る 、「 フ ェ ールオー
バー ク ラ ス タ 」 ラ イ セ ン ス 。こ れは、ASA で実際に実行 さ れてい る ラ イ セ ン ス です。プ ラ イ マ
リ お よ びセ カ ン ダ リ ラ イ セ ン ス の組み合わせを反映 し た こ の ラ イ セ ン ス の値は、太字に
な っ てい ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-16
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show activation-key
•
セ カ ン ダ リ ユニ ッ ト の永続 ラ イ セ ン ス 。
•
セ カ ン ダ リ の イ ン ス ト ール済みの時間ベー ス ラ イ セ ン ス （ア ク テ ィ ブお よ び非ア ク テ ィ
ブ）。こ のユニ ッ ト には時間ベー ス ラ イ セ ン ス はないため、こ の出力例には何 も 表示 さ れ ま
せん。
ciscoasa# show activation-key detail
Serial Number: P3000000011
Running Activation Key: 0xyadayad1 0xyadayad1 0xyadayad1 0xyadayad1 0xyadayad1
Licensed features for this platform:
Maximum Physical Interfaces
: Unlimited
Maximum VLANs
: 150
Inside Hosts
: Unlimited
Failover
: Active/Active
VPN-DES
: Enabled
VPN-3DES-AES
: Disabled
Security Contexts
: 2
GTP/GPRS
: Disabled
AnyConnect Premium Peers
: 2
AnyConnect Essentials
: Disabled
Other VPN Peers
: 750
Total VPN Peers
: 750
Shared License
: Disabled
AnyConnect for Mobile
: Disabled
AnyConnect for Cisco VPN Phone
: Disabled
Advanced Endpoint Assessment
: Disabled
UC Phone Proxy Sessions
: 2
Total UC Proxy Sessions
: 2
Botnet Traffic Filter
: Disabled
Intercompany Media Engine
: Disabled
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
This platform has an ASA 5520 VPN Plus license.
Failover cluster licensed features for this platform:
Maximum Physical Interfaces
: Unlimited
perpetual
Maximum VLANs
: 150
perpetual
Inside Hosts
: Unlimited
perpetual
Failover
: Active/Active perpetual
VPN-DES
: Enabled
perpetual
VPN-3DES-AES
: Enabled
perpetual
Security Contexts
: 10
perpetual
GTP/GPRS
: Enabled
perpetual
AnyConnect Premium Peers
: 4
perpetual
AnyConnect Essentials
: Disabled
perpetual
Other VPN Peers
: 750
perpetual
Total VPN Peers
: 750
perpetual
Shared License
: Disabled
perpetual
AnyConnect for Mobile
: Disabled
perpetual
AnyConnect for Cisco VPN Phone
: Disabled
perpetual
Advanced Endpoint Assessment
: Disabled
perpetual
UC Phone Proxy Sessions
: 4
perpetual
Total UC Proxy Sessions
: 4
perpetual
Botnet Traffic Filter
: Enabled
33 days
Intercompany Media Engine
: Disabled
perpetual
This platform has an ASA 5520 VPN Plus license.
Running Permanent Activation Key: 0xyadayad1 0xyadayad1 0xyadayad1 0xyadayad1 0xyadayad1
Licensed features for this platform:
Maximum Physical Interfaces
: Unlimited
Maximum VLANs
: 150
perpetual
perpetual
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-17
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show activation-key
Inside Hosts
Failover
VPN-DES
VPN-3DES-AES
Security Contexts
GTP/GPRS
AnyConnect Premium Peers
AnyConnect Essentials
Other VPN Peers
Total VPN Peers
Shared License
AnyConnect for Mobile
AnyConnect for Cisco VPN Phone
Advanced Endpoint Assessment
UC Phone Proxy Sessions
Total UC Proxy Sessions
Botnet Traffic Filter
Intercompany Media Engine
:
:
:
:
:
:
:
:
:
:
Unlimited
Active/Active
Enabled
Disabled
2
Disabled
: 2
: Disabled
: 750
: 750
: Disabled
: Disabled
: Disabled
: Disabled
2
2
Disabled
Disabled
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
The flash permanent activation key is the SAME as the running permanent key.
例 2-5
show activation-key に対する、ラ イ セ ン ス を持たない ASAv のス タ ン ド ア ロ ン ユニ ッ ト の出力
展開 さ れた 1 vCPU ASAv の次の出力では、空白の ア ク テ ィ ベーシ ョ ン キー、ラ イ セ ン ス な し の
ス テー タ ス 、お よ び vCPU ラ イ セ ン ス を 1 つ イ ン ス ト ールす る こ と を求め る メ ッ セージが示 さ れ
てい ま す。
（注）
コ マ ン ド 出力に、「This platform has an ASAv VPN Premium license.」 と 表示 さ れ ま す。こ の メ ッ
セージは、ASAv が ASAv Standard ラ イ セ ン ス と Premium ラ イ セ ン ス の相違を示 し てい る のでは
な く 、ペ イ ロ ー ド 暗号化機能を実行で き る こ と を指定 し てい ま す。
ciscoasa# show activation-key
Serial Number: 9APM1G4RV41
Running Permanent Activation Key: 0x00000000 0x00000000 0x00000000 0x00000000 0x00000000
ASAv Platform License State: Unlicensed
*Install 1 vCPU ASAv platform license for full functionality.
The Running Activation Key is not valid, using default settings:
Licensed features for this platform:
Virtual CPUs
: 0
Maximum Physical Interfaces
: 10
Maximum VLANs
: 50
Inside Hosts
: Unlimited
Failover
: Active/Standby
Encryption-DES
: Enabled
Encryption-3DES-AES
: Enabled
Security Contexts
: 0
GTP/GPRS
: Disabled
AnyConnect Premium Peers
: 2
AnyConnect Essentials
: Disabled
Other VPN Peers
: 250
Total VPN Peers
: 250
Shared License
: Disabled
AnyConnect for Mobile
: Disabled
AnyConnect for Cisco VPN Phone
: Disabled
Advanced Endpoint Assessment
: Disabled
UC Phone Proxy Sessions
: 2
Total UC Proxy Sessions
: 2
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-18
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show activation-key
Botnet Traffic Filter
Intercompany Media Engine
Cluster
: Enabled
: Disabled
: Disabled
perpetual
perpetual
perpetual
This platform has an ASAv VPN Premium license.
Failed to retrieve flash permanent activation key.
The flash permanent activation key is the SAME as the running permanent key.
例 2-6
show activation-key に対する、4 vCPU Standard ラ イ セ ン ス を持つ ASAv のス タ ン ド ア ロ ン ユ
ニ ッ ト の出力
（注）
コ マ ン ド 出力に、「This platform has an ASAv VPN Premium license.」 と 表示 さ れ ま す。こ の メ ッ
セージは、ASAv が ASAv Standard ラ イ セ ン ス と Premium ラ イ セ ン ス の相違を示 し てい る のでは
な く 、ペ イ ロ ー ド 暗号化機能を実行で き る こ と を指定 し てい ま す。
ciscoasa# show activation-key
Serial Number: 9ALQ8W1XCJ7
Running Permanent Activation Key: 0x0013e945 0x685a232c 0x1153fdac 0xeae8b068 0x4413f4ae
ASAv Platform License State: Compliant
Licensed features for this platform:
Virtual CPUs
: 4
Maximum Physical Interfaces
: 10
Maximum VLANs
: 200
Inside Hosts
: Unlimited
Failover
: Active/Standby
Encryption-DES
: Enabled
Encryption-3DES-AES
: Enabled
Security Contexts
: 0
GTP/GPRS
: Enabled
AnyConnect Premium Peers
: 2
AnyConnect Essentials
: Disabled
Other VPN Peers
: 750
Total VPN Peers
: 750
Shared License
: Disabled
AnyConnect for Mobile
: Disabled
AnyConnect for Cisco VPN Phone
: Disabled
Advanced Endpoint Assessment
: Disabled
UC Phone Proxy Sessions
: 1000
Total UC Proxy Sessions
: 1000
Botnet Traffic Filter
: Enabled
Intercompany Media Engine
: Enabled
Cluster
: Disabled
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
This platform has an ASAv VPN Premium license.
The flash permanent activation key is the SAME as the running permanent key.
例 2-7
show activation-key に対する、4 vCPU Premium ラ イ セ ン ス を持つ ASAv のス タ ン ド ア ロ ン ユ
ニ ッ ト の出力
（注）
コ マ ン ド 出力に、「This platform has an ASAv VPN Premium license.」 と 表示 さ れ ま す。こ の メ ッ
セージは、ASAv が ASAv Standard ラ イ セ ン ス と Premium ラ イ セ ン ス の相違を示 し てい る のでは
な く 、ペ イ ロ ー ド 暗号化機能を実行で き る こ と を指定 し てい ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-19
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show activation-key
ciscoasa# show activation-key
Serial Number: 9ALQ8W1XCJ7
Running Permanent Activation Key: 0x8224dd7d 0x943ed77c 0x9d71cdd0 0xd90474d0 0xcb04df82
ASAv Platform License State: Compliant
Licensed features for this platform:
Virtual CPUs
: 4
Maximum Physical Interfaces
: 10
Maximum VLANs
: 200
Inside Hosts
: Unlimited
Failover
: Active/Standby
Encryption-DES
: Enabled
Encryption-3DES-AES
: Enabled
Security Contexts
: 0
GTP/GPRS
: Enabled
AnyConnect Premium Peers
: 750
AnyConnect Essentials
: Disabled
Other VPN Peers
: 750
Total VPN Peers
: 750
Shared License
: Disabled
AnyConnect for Mobile
: Enabled
AnyConnect for Cisco VPN Phone
: Enabled
Advanced Endpoint Assessment
: Enabled
UC Phone Proxy Sessions
: 1000
Total UC Proxy Sessions
: 1000
Botnet Traffic Filter
: Enabled
Intercompany Media Engine
: Enabled
Cluster
: Disabled
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
This platform has an ASAv VPN Premium license.
The flash permanent activation key is the SAME as the running permanent key.
ciscoasa#
例 2-8
show activation-key のフ ェ ールオーバー ペアでの ASA サービ ス モジ ュ ール プ ラ イ マ リ ユニ ッ
ト の出力
次に、プ ラ イ マ リ フ ェ ールオーバー ユニ ッ ト の show activation-key コ マ ン ド の出力例を示 し ま
す。次の ラ イ セ ン ス を表示 し ま す。
•
プ ラ イ マ リ ユニ ッ ト ラ イ セ ン ス（永続 ラ イ セ ン ス と 時間ベー ス ラ イ セ ン ス の組み合わせ）。
•
プ ラ イ マ リ お よ びセ カ ン ダ リ ユニ ッ ト の ラ イ セ ン ス の組み合わせで あ る 、「 フ ェ ールオー
バー ク ラ ス タ 」 ラ イ セ ン ス 。こ れは、ASA で実際に実行 さ れてい る ラ イ セ ン ス です。プ ラ イ マ
リ お よ びセ カ ン ダ リ ラ イ セ ン ス の組み合わせを反映 し た こ の ラ イ セ ン ス の値は、太字に
な っ てい ま す。
•
プ ラ イ マ リ ユニ ッ ト の イ ン ス ト ール済みの時間ベー ス ラ イ セ ン ス （ア ク テ ィ ブお よ び非ア
ク テ ィ ブ）。
ciscoasa# show activation-key
erial Number: SAL144705BF
Running Permanent Activation Key: 0x4d1ed752 0xc8cfeb37 0xf4c38198 0x93c04c28 0x4a1c049a
Running Timebased Activation Key: 0xbc07bbd7 0xb15591e0 0xed68c013 0xd79374ff 0x44f87880
Licensed features for this platform:
Maximum Interfaces
: 1024
Inside Hosts
: Unlimited
Failover
: Active/Active
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-20
perpetual
perpetual
perpetual
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show activation-key
DES
3DES-AES
Security Contexts
GTP/GPRS
Botnet Traffic Filter
:
:
:
:
:
Enabled
Enabled
25
Enabled
Enabled
perpetual
perpetual
perpetual
perpetual
330 days
This platform has an WS-SVC-ASA-SM1 No Payload Encryption license.
Failover cluster licensed features for this platform:
Maximum Interfaces
: 1024
perpetual
Inside Hosts
: Unlimited
perpetual
Failover
: Active/Active perpetual
DES
: Enabled
perpetual
3DES-AES
: Enabled
perpetual
Security Contexts
: 50
perpetual
GTP/GPRS
: Enabled
perpetual
Botnet Traffic Filter
: Enabled
330 days
This platform has an WS-SVC-ASA-SM1 No Payload Encryption license.
The flash permanent activation key is the SAME as the running permanent key.
Active Timebased Activation Key:
0xbc07bbd7 0xb15591e0 0xed68c013 0xd79374ff 0x44f87880
Botnet Traffic Filter
: Enabled
330 days
例 2-9
show activation-key のフ ェ ールオーバー ペアでの ASA サービ ス モジ ュ ール セ カ ン ダ リ ユニ ッ
ト の出力
次に、セ カ ン ダ リ フ ェ ールオーバー ユニ ッ ト の show activation-key コ マ ン ド の出力例を示 し
ま す。
•
セ カ ン ダ リ ユニ ッ ト ラ イ セ ン ス（永続 ラ イ セ ン ス と 時間ベー ス ラ イ セ ン ス の組み合わせ）。
•
プ ラ イ マ リ お よ びセ カ ン ダ リ ユニ ッ ト の ラ イ セ ン ス の組み合わせで あ る 、「 フ ェ ールオー
バー ク ラ ス タ 」 ラ イ セ ン ス 。こ れは、ASA で実際に実行 さ れてい る ラ イ セ ン ス です。プ ラ イ マ
リ お よ びセ カ ン ダ リ ラ イ セ ン ス の組み合わせを反映 し た こ の ラ イ セ ン ス の値は、太字に
な っ てい ま す。
•
セ カ ン ダ リ の イ ン ス ト ール済みの時間ベー ス ラ イ セ ン ス （ア ク テ ィ ブお よ び非ア ク テ ィ
ブ）。こ のユニ ッ ト には時間ベー ス ラ イ セ ン ス はないため、こ の出力例には何 も 表示 さ れ ま
せん。
ciscoasa# show activation-key detail
Serial Number: SAD143502E3
Running Permanent Activation Key: 0xf404c46a 0xb8e5bd84 0x28c1b900 0x92eca09c 0x4e2a0683
Licensed features for this platform:
Maximum Interfaces
: 1024
Inside Hosts
: Unlimited
Failover
: Active/Active
DES
: Enabled
3DES-AES
: Enabled
Security Contexts
: 25
GTP/GPRS
: Disabled
Botnet Traffic Filter
: Disabled
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
perpetual
This platform has an WS-SVC-ASA-SM1 No Payload Encryption license.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-21
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show activation-key
Failover cluster licensed features for this platform:
Maximum Interfaces
: 1024
perpetual
Inside Hosts
: Unlimited
perpetual
Failover
: Active/Active perpetual
DES
: Enabled
perpetual
3DES-AES
: Enabled
perpetual
Security Contexts
: 50
perpetual
GTP/GPRS
: Enabled
perpetual
Botnet Traffic Filter
: Enabled
330 days
This platform has an WS-SVC-ASA-SM1 No Payload Encryption license.
The flash permanent activation key is the SAME as the running permanent key.
例 2-10
ク ラ ス タ での show activation-key の出力
ciscoasa# show activation-key
Serial Number: JMX1504L2TD
Running Permanent Activation Key: 0x4a3eea7b 0x54b9f61a 0x4143a90c 0xe5849088 0x4412d4a9
Licensed features for this platform:
Maximum Physical Interfaces : Unlimited perpetual
Maximum VLANs : 100 perpetual
Inside Hosts : Unlimited perpetual
Failover : Active/Active perpetual
Encryption-DES : Enabled perpetual
Encryption-3DES-AES : Enabled perpetual
Security Contexts : 2 perpetual
GTP/GPRS : Disabled perpetual
AnyConnect Premium Peers : 2 perpetual
AnyConnect Essentials : Disabled perpetual
Other VPN Peers : 250 perpetual
Total VPN Peers : 250 perpetual
Shared License : Disabled perpetual
AnyConnect for Mobile : Disabled perpetual
AnyConnect for Cisco VPN Phone : Disabled perpetual
Advanced Endpoint Assessment : Disabled perpetual
UC Phone Proxy Sessions : 2 perpetual
Total UC Proxy Sessions : 2 perpetual
Botnet Traffic Filter : Disabled perpetual
Intercompany Media Engine : Disabled perpetual
Cluster : Enabled perpetual
This platform has an ASA 5585-X base license.
Failover cluster licensed features for this platform:
Maximum Physical Interfaces : Unlimited perpetual
Maximum VLANs : 100 perpetual
Inside Hosts : Unlimited perpetual
Failover : Active/Active perpetual
Encryption-DES : Enabled perpetual
Encryption-3DES-AES : Enabled perpetual
Security Contexts : 4 perpetual
GTP/GPRS : Disabled perpetual
AnyConnect Premium Peers : 4 perpetual
AnyConnect Essentials : Disabled perpetual
Other VPN Peers : 250 perpetual
Total VPN Peers : 250 perpetual
Shared License : Disabled perpetual
AnyConnect for Mobile : Disabled perpetual
AnyConnect for Cisco VPN Phone : Disabled perpetual
Advanced Endpoint Assessment : Disabled perpetual
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-22
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show activation-key
UC Phone Proxy Sessions : 4 perpetual
Total UC Proxy Sessions : 4 perpetual
Botnet Traffic Filter : Disabled perpetual
Intercompany Media Engine : Disabled perpetual
Cluster : Enabled perpetual
This platform has an ASA 5585-X base license.
The flash permanent activation key is the SAME as the running permanent key.
関連 コ マ ン ド
コ マン ド
activation-key
説明
ア ク テ ィ ベーシ ョ ン キーを変更 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-23
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show ad-groups
show ad-groups
Active Directory サーバに リ ス ト さ れてい る グループ を表示す る には、特権 EXEC モー ド で show
ad-groups コ マ ン ド を使用 し ます。
show ad-groups name [filter string]
構文の説明
name
問い合わせ る Active Directory サーバ グループの名前。
string
検索す る グループ名の全体 ま たは一部を指定す る 、引用符で囲んだ問い合
わせに含め る ス ト リ ン グ。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC モー ド
コ マ ン ド 履歴
リ リ ース
8.0(4)
使用上のガイ ド ラ イ ン
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
•
Yes
—
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
show ad-groups コ マ ン ド は、グループの取得に LDAP プ ロ ト コ ル を使用す る Active Directory
サーバに対 し てのみ適用 さ れ ま す。こ の コ マ ン ド を使用 し て、ダ イ ナ ミ ッ ク ア ク セ ス ポ リ シー
AAA 選択基準に使用で き る AD グループ を表示 し ま す。
LDAP 属性 タ イ プが LDAP の場合、ASA がサーバか ら の応答 を待機す る デ フ ォ ル ト 時間は 10 秒
です。こ の時間は、AAA サーバ ホ ス ト コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で group-search-timeout
コ マ ン ド を使用 し て調整で き ます。
（注）
Active Directory サーバに数多 く の グループが含 ま れてい る 場合は、サーバが応答パケ ッ ト に格
納で き る デー タ 量の制限に基づいて show ad-groups コ マ ン ド の出力が切 り 捨て ら れ る こ と が あ
り ま す。こ の問題を回避す る には、filter オプシ ョ ン を使用 し て、サーバか ら レ ポー ト さ れ る グ
ループ数を減 ら し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-24
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show ad-groups
例
ciscoasa# show ad-groups LDAP-AD17
Server Group
LDAP-AD17
Group list retrieved successfully
Number of Active Directory Groups
46
Account Operators
Administrators
APP-SSL-VPN CIO Users
Backup Operators
Cert Publishers
CERTSVC_DCOM_ACCESS
Cisco-Eng
DHCP Administrators
DHCP Users
Distributed COM Users
DnsAdmins
DnsUpdateProxy
Doctors
Domain Admins
Domain Computers
Domain Controllers
Domain Guests
Domain Users
Employees
Engineering
Engineering1
Engineering2
Enterprise Admins
Group Policy Creator Owners
Guests
HelpServicesGroup
次に、同 じ コ マ ン ド で filter オプシ ョ ン を使用 し た例を示 し ま す。
ciscoasa(config)# show ad-groups LDAP-AD17 filter “Eng”
.
Server Group
LDAP-AD17
Group list retrieved successfully
Number of Active Directory Groups
4
Cisco-Eng
Engineering
Engineering1
Engineering2
関連 コ マ ン ド
コ マン ド
ldap-group-base-dn
説明
group-search-timeout
グループの リ ス ト について Active Directory サーバか ら の応答を ASA
が待機す る 時間を調整 し ま す。
サーバが、ダ イ ナ ミ ッ ク グループ ポ リ シーで使用 さ れ る グループの検
索を開始す る Active Directory 階層の レベルを指定 し ます。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-25
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show admin-context
show admin-context
現在管理 コ ン テ キ ス ト と し て割 り 当て ら れてい る コ ン テ キ ス ト 名を表示す る には、特権 EXEC
モー ド で show admin-context コ マ ン ド を使用 し ま す。
show admin-context
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
例
リ リ ース
7.0(1)
•
Yes
•
Yes
—
マルチ
コ ン テキス ト シ ス テム
—
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show admin-context コ マ ン ド の出力例を示 し ます。次の例では、「admin」 と い う 名前で、フ
ラ ッ シ ュ のルー ト デ ィ レ ク ト リ に保存 さ れてい る 管理 コ ン テ キ ス ト が表示 さ れてい ま す。
ciscoasa# show admin-context
Admin: admin flash:/admin.cfg
関連 コ マ ン ド
コ マン ド
admin-context
説明
changeto
コ ン テ キ ス ト 間 ま たは コ ン テ キ ス ト と シ ス テ ム実行 ス ペー ス の間で切
り 替え を行い ま す。
管理 コ ン テ キ ス ト を設定 し ま す。
clear configure context すべて の コ ン テ キ ス ト を削除 し ま す。
mode
コ ン テ キ ス ト モー ド を シ ン グル ま たはマルチに設定 し ま す。
show context
コ ン テ キ ス ト の リ ス ト （シ ス テ ム実行 ス ペー ス ） ま たは現在の コ ン テ キ
ス ト に関す る 情報を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-26
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show arp
show arp
ARP テーブル を表示す る には、特権 EXEC モー ド で show arp コ マ ン ド を使用 し ま す。
show arp
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
リ リ ース
7.0(8)/7.2(4)/8.0(4)
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
表示にダ イ ナ ミ ッ ク ARP エージ ン グ が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
表示出力には、ダ イ ナ ミ ッ ク 、ス タ テ ィ ッ ク 、お よ びプ ロ キ シ ARP エ ン ト リ が表示 さ れ ま す。ダ
イ ナ ミ ッ ク ARP エ ン ト リ には、ARP エ ン ト リ の秒単位のエージ ン グ が含 ま れてい ま す。エージ
ン グ の代わ り に、ス タ テ ィ ッ ク ARP エ ン ト リ にはダ ッ シ ュ （-）が、プ ロ キ シ ARP エ ン ト リ には
「alias」 と い う 状態が含 ま れてい ま す。
例
次に、show arp コ マ ン ド の出力例を示 し ま す。1 つ目のエ ン ト リ は、2 秒間エージ ン グ さ れてい る
ダ イ ナ ミ ッ ク エ ン ト リ です。2 つ目のエ ン ト リ は ス タ テ ィ ッ ク エ ン ト リ 、3 つ目のエ ン ト リ はプ
ロ キ シ ARP のエ ン ト リ です。
ciscoasa# show arp
outside 10.86.194.61 0011.2094.1d2b 2
outside 10.86.194.1 001a.300c.8000 outside 10.86.195.2 00d0.02a8.440a alias
関連 コ マ ン ド
コ マン ド
arp
説明
arp-inspection
ト ラ ン ス ペア レ ン ト フ ァ イ ア ウ ォ ール モー ド で、ARP パケ ッ ト を調査
し 、ARP ス プー フ ィ ン グ を防止 し ま す。
clear arp statistics
ARP 統計情報を ク リ ア し ま す。
show arp statistics
ARP 統計情報を表示 し ま す。
show running-config
arp
ARP タ イ ム ア ウ ト の現在の コ ン フ ィ ギ ュ レ ーシ ョ ン を表示 し ま す。
ス タ テ ィ ッ ク ARP エ ン ト リ を追加 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-27
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show arp-inspection
show arp-inspection
各 イ ン タ ー フ ェ イ ス の ARP イ ン ス ペ ク シ ョ ン設定を表示す る には、特権 EXEC モー ド で show
arp-inspection コ マ ン ド を使用 し ま す。
show arp-inspection
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド 履歴
例
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
—
リ リ ース
7.0(1)
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show arp-inspection コ マ ン ド の出力例を示 し ま す。
ciscoasa# show arp-inspection
interface
arp-inspection
miss
---------------------------------------------------inside1
enabled
flood
outside
disabled
-
miss 列には、ARP イ ン ス ペ ク シ ョ ン が イ ネーブルの場合に一致 し ないパケ ッ ト に対 し て実行す
る デ フ ォ ル ト の ア ク シ ョ ン（「flood」 ま たは「no-flood」）が表示 さ れ ま す。
関連 コ マ ン ド
コ マン ド
arp
説明
arp-inspection
ト ラ ン ス ペア レ ン ト フ ァ イ ア ウ ォ ール モー ド で、ARP パケ ッ ト を調査
し 、ARP ス プー フ ィ ン グ を防止 し ま す。
clear arp statistics
ARP 統計情報を ク リ ア し ま す。
show arp statistics
ARP 統計情報を表示 し ま す。
show running-config
arp
ARP タ イ ム ア ウ ト の現在の コ ン フ ィ ギ ュ レ ーシ ョ ン を表示 し ま す。
ス タ テ ィ ッ ク ARP エ ン ト リ を追加 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-28
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show arp statistics
show arp statistics
ARP 統計情報を表示す る には、特権 EXEC モー ド で show arp statistics コ マ ン ド を使用 し ま す。
show arp statistics
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
例
ルーテ ッ ド
•
リ リ ース
7.0(1)
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
マルチ
コ ン テキス ト シ ス テム
Yes
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show arp statistics コ マ ン ド の出力例を示 し ま す。
ciscoasa# show arp statistics
Number of ARP entries:
ASA : 6
Dropped blocks in ARP: 6
Maximum Queued blocks: 3
Queued blocks: 1
Interface collision ARPs Received: 5
ARP-defense Gratuitous ARPS sent: 4
Total ARP retries: 15
Unresolved hosts: 1
Maximum Unresolved hosts: 2
表 2-2 に、各 フ ィ ール ド の説明を示 し ま す。
表 2-2
show arp statistics のフ ィ ール ド
フ ィ ール ド
説明
Number of ARP entries
ARP テーブル エ ン ト リ の合計数。
Dropped blocks in ARP
IP ア ド レ ス が対応す る ハー ド ウ ェ ア ア ド レ ス に解決 さ れて
い る 間に ド ロ ッ プ さ れたブ ロ ッ ク 数。
Maximum queued blocks
IP ア ド レ ス の解決を待機 し てい る 間に ARP モ ジ ュ ールに
キ ュ ー イ ン グ さ れた最大ブ ロ ッ ク 数。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-29
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show arp statistics
表 2-2
関連 コ マ ン ド
show arp statistics のフ ィ ール ド （続き）
フ ィ ール ド
説明
Queued blocks
現在 ARP モジ ュ ールにキ ュ ー イ ン グ さ れてい る ブ ロ ッ ク 数。
Interface collision ARPs received
すべての ASA イ ン タ ー フ ェ イ ス で受信 さ れた、ASA イ ン
タ ー フ ェ イ ス の IP ア ド レ ス と 同 じ IP ア ド レ ス か ら の ARP
パケ ッ ト 数。
ARP-defense gratuitous ARPs sent
ARP-Defense メ カ ニ ズ ム の一環 と し て ASA に よ っ て送信 さ
れた Gratuitous ARP の数。
Total ARP retries
最初の ARP 要求への応答で ア ド レ ス が解決 さ れなか っ た
場合に ARP モ ジ ュ ールに よ っ て送信 さ れ る ARP 要求の合
計数。
Unresolved hosts
現在 も ARP モ ジ ュ ールに よ っ て ARP 要求が送信 さ れてい
る 未解決の ホ ス ト 数。
Maximum unresolved hosts
最後に ク リ ア さ れた後、ま たは ASA の起動後に、ARP モ
ジ ュ ールに存在 し た未解決ホ ス ト の最大数。
コ マン ド
arp-inspection
説明
clear arp statistics
ARP 統計情報を ク リ ア し て、値を ゼ ロ に リ セ ッ ト し ま す。
show arp
ARP テーブル を表示 し ま す。
show running-config
arp
ARP タ イ ム ア ウ ト の現在の コ ン フ ィ ギ ュ レ ーシ ョ ン を表示 し ま す。
ト ラ ン ス ペア レ ン ト フ ァ イ ア ウ ォ ール モー ド で、ARP パケ ッ ト を調査
し 、ARP ス プー フ ィ ン グ を防止 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-30
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show asdm history
show asdm history
ASDM 履歴バ ッ フ ァ の内容 を表示す る には、特権 EXEC モー ド で show asdm history コ マ ン ド を
使用 し ま す。
show asdm history [view timeframe] [snapshot] [feature feature] [asdmclient]
構文の説明
デフ ォル ト
asdmclient
（オプシ ョ ン）ASDM ク ラ イ ア ン ト 用に フ ォ ーマ ッ ト さ れた ASDM 履
歴デー タ を表示 し ま す。
feature feature
（オプシ ョ ン）履歴表示を指定 し た機能に制限 し ま す。feature 引数には、
次の値を指定で き ま す。
•
all：すべての機能の履歴を表示 し ま す（デ フ ォ ル ト ）。
•
blocks：シ ス テ ム バ ッ フ ァ の履歴を表示 し ま す。
•
cpu：CPU 使用状況の履歴を表示 し ま す。
•
failover：フ ェ ールオーバーの履歴を表示 し ま す。
•
ids：IDS の履歴を表示 し ま す。
•
interface if_name：指定 し た イ ン タ ー フ ェ イ ス の履歴を表示 し ま
す。if_name 引数は、nameif コ マ ン ド で指定 し た イ ン タ ー フ ェ イ ス
の名前です。
•
memory： メ モ リ 使用状況の履歴を表示 し ま す。
•
perfmon：パ フ ォ ーマ ン ス 履歴を表示 し ま す。
•
sas：セ キ ュ リ テ ィ ア ソ シ エーシ ョ ン の履歴を表示 し ま す。
•
tunnels： ト ン ネルの履歴を表示 し ま す。
•
xlates：変換 ス ロ ッ ト 履歴 を表示 し ま す。
snapshot
（オプシ ョ ン）最後の ASDM 履歴デー タ ポ イ ン ト のみを表示 し ま す。
view timeframe
（オプシ ョ ン）履歴の表示を指定 し た期間に制限 し ま す。timeframe 引数
には、次の値を指定で き ま す。
•
all：履歴バ ッ フ ァ 内のすべて の内容（デ フ ォ ル ト ）。
•
12h：12 時間
•
5d：5 日
•
60m：60 分
•
10m：10 分
引数 ま たはキー ワ ー ド を指定 し ない場合は、すべての機能のすべての履歴情報が表示 さ れ ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-31
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show asdm history
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
リ リ ース
7.0(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が、show pdm history コ マ ン ド か ら show asdm history コ
マ ン ド に変更 さ れ ま し た。
使用上のガイ ド ラ イ ン
show asdm history コ マ ン ド は、ASDM 履歴バ ッ フ ァ の内容を表示 し ま す。ASDM 履歴情報を表
示す る 前に、asdm history enable コ マ ン ド を使用 し て、ASDM 履歴 ト ラ ッ キ ン グ を イ ネーブルに
す る 必要が あ り ま す。
例
次に、show asdm history コ マ ン ド の出力例を示 し ま す。こ の例では、直近の 10 分間に収集 さ れた
outside イ ン タ ー フ ェ イ ス のデー タ に出力が制限 さ れてい ま す。
ciscoasa# show asdm history view 10m feature interface outside
Input KByte Count:
[ 10s:12:46:41 Mar
Output KByte Count:
[ 10s:12:46:41 Mar
Input KPacket Count:
[ 10s:12:46:41 Mar
Output KPacket Count:
[ 10s:12:46:41 Mar
Input Bit Rate:
[ 10s:12:46:41 Mar
Output Bit Rate:
[ 10s:12:46:41 Mar
Input Packet Rate:
[ 10s:12:46:41 Mar
Output Packet Rate:
[ 10s:12:46:41 Mar
Input Error Packet Count:
[ 10s:12:46:41 Mar
No Buffer:
[ 10s:12:46:41 Mar
Received Broadcasts:
[ 10s:12:46:41 Mar
Runts:
[ 10s:12:46:41 Mar
Giants:
[ 10s:12:46:41 Mar
CRC:
[ 10s:12:46:41 Mar
Frames:
[ 10s:12:46:41 Mar
Overruns:
[ 10s:12:46:41 Mar
1 2005
] 62640 62636 62633 62628 62622 62616 62609
1 2005
] 25178 25169 25165 25161 25157 25151 25147
1 2005
]
752
752
751
751
751
751
751
1 2005
]
55
55
55
55
55
55
55
1 2005
]
3397
2843
3764
4515
4932
5728
4186
1 2005
]
7316
3292
3349
3298
5212
3349
3301
1 2005
]
5
4
6
7
6
8
6
1 2005
]
1
0
0
0
0
0
0
1 2005
]
0
0
0
0
0
0
0
1 2005
]
0
0
0
0
0
0
0
1 2005
] 375974 375954 375935 375902 375863 375833 375794
1 2005
]
0
0
0
0
0
0
0
1 2005
]
0
0
0
0
0
0
0
1 2005
]
0
0
0
0
0
0
0
1 2005
]
0
0
0
0
0
0
0
1 2005
]
0
0
0
0
0
0
0
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-32
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show asdm history
Underruns:
[ 10s:12:46:41 Mar
Output Error Packet Count:
[ 10s:12:46:41 Mar
Collisions:
[ 10s:12:46:41 Mar
LCOLL:
[ 10s:12:46:41 Mar
Reset:
[ 10s:12:46:41 Mar
Deferred:
[ 10s:12:46:41 Mar
Lost Carrier:
[ 10s:12:46:41 Mar
Hardware Input Queue:
[ 10s:12:46:41 Mar
Software Input Queue:
[ 10s:12:46:41 Mar
Hardware Output Queue:
[ 10s:12:46:41 Mar
Software Output Queue:
[ 10s:12:46:41 Mar
Drop KPacket Count:
[ 10s:12:46:41 Mar
ciscoasa#
1 2005
]
0
0
0
0
0
0
0
1 2005
]
0
0
0
0
0
0
0
1 2005
]
0
0
0
0
0
0
0
1 2005
]
0
0
0
0
0
0
0
1 2005
]
0
0
0
0
0
0
0
1 2005
]
0
0
0
0
0
0
0
1 2005
]
0
0
0
0
0
0
0
1 2005
]
128
128
128
128
128
128
128
1 2005
]
0
0
0
0
0
0
0
1 2005
]
0
0
0
0
0
0
0
1 2005
]
0
0
0
0
0
0
0
1 2005
]
0
0
0
0
0
0
0
次に、show asdm history コ マ ン ド の出力例を示 し ま す。前の例 と 同様に、こ の例では、直近の 10
分間に収集 さ れた outside イ ン タ ー フ ェ イ ス のデー タ に出力が制限 さ れてい ま す。ただ し 、こ の
例では、出力は ASDM ク ラ イ ア ン ト 用に フ ォ ーマ ッ ト さ れてい ま す。
ciscoasa# show asdm history view 10m feature interface outside asdmclient
MH|IBC|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|62439|62445|62453|62457|62464|6
2469|62474|62486|62489|62496|62501|62506|62511|62518|62522|62530|62534|62539|62542|62547|6
2553|62556|62562|62568|62574|62581|62585|62593|62598|62604|62609|62616|62622|62628|62633|6
2636|62640|62653|62657|62665|62672|62678|62681|62686|62691|62695|62700|62704|62711|62718|6
2723|62728|62733|62738|62742|62747|62751|62761|62770|62775|
MH|OBC|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|25023|25023|25025|25025|25025|2
5026|25026|25032|25038|25044|25052|25056|25060|25064|25070|25076|25083|25087|25091|25096|2
5102|25106|25110|25114|25118|25122|25128|25133|25137|25143|25147|25151|25157|25161|25165|2
5169|25178|25321|25327|25332|25336|25341|25345|25349|25355|25359|25363|25367|25371|25375|2
5381|25386|25390|25395|25399|25403|25410|25414|25418|25422|
MH|IPC|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|749|749|749|749|749|750|750|750
|750|750|750|750|750|750|750|750|750|750|750|750|751|751|751|751|751|751|751|751|751|751|7
51|751|751|751|751|752|752|752|752|752|752|752|752|752|752|752|752|752|752|753|753|753|753
|753|753|753|753|753|753|753|
MH|OPC|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|55|55|55|55|55|55|55|55|55|55|5
5|55|55|55|55|55|55|55|55|55|55|55|55|55|55|55|55|55|55|55|55|55|55|55|55|55|55|55|55|55|5
5|55|55|56|56|56|56|56|56|56|56|56|56|56|56|56|56|56|56|56|
MH|IBR|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|7127|5155|6202|3545|5408|3979|4
381|9492|3033|4962|4571|4226|3760|5923|3265|6494|3441|3542|3162|4076|4744|2726|4847|4292|5
401|5166|3735|6659|3837|5260|4186|5728|4932|4515|3764|2843|3397|10768|3080|6309|5969|4472|
2780|4492|3540|3664|3800|3002|6258|5567|4044|4059|4548|3713|3265|4159|3630|8235|6934|4298|
MH|OBR|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|82791|57|1410|588|57|639|0|4698
|5068|4992|6495|3292|3292|3352|5061|4808|5205|3931|3298|3349|5064|3439|3356|3292|3343|3349
|5067|3883|3356|4500|3301|3349|5212|3298|3349|3292|7316|116896|5072|3881|3356|3931|3298|33
49|5064|3292|3349|3292|3292|3349|5061|3883|3356|3931|3452|3356|5064|3292|3349|3292|
MH|IPR|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|12|8|6|5|7|5|6|14|5|7|7|5|6|9|5
|8|6|5|5|7|6|5|6|5|6|7|6|8|6|6|6|8|6|7|6|4|5|19|5|8|7|6|4|7|5|6|6|5|7|8|6|6|7|5|5|7|6|9|7|
6|
MH|OPR|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|12|0|1|0|0|0|0|4|0|2|2|0|0|0|0|
1|1|0|0|0|0|0|0|0|0|0|0|0|0|1|0|0|0|0|0|0|1|28|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0
|
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-33
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show asdm history
MH|IERR|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|
0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|
MH|NB|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|
0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|
MH|RB|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|374874|374911|374943|374967|3750
10|375038|375073|375113|375140|375160|375181|375211|375243|375289|375316|375350|375373|375
395|375422|375446|375481|375498|375535|375561|375591|375622|375654|375701|375738|375761|37
5794|375833|375863|375902|375935|375954|375974|375999|376027|376075|376115|376147|376168|3
76200|376224|376253|376289|376315|376365|376400|376436|376463|376508|376530|376553|376583|
376614|376668|376714|376749|
MH|RNT|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0
|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|
MH|GNT|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0
|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|
MH|CRC|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0
|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|
MH|FRM|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0
|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|
MH|OR|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|
0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|
MH|UR|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|
0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|
MH|OERR|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|
0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|
MH|COLL|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|
0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|
MH|LCOLL|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0
|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0
|
MH|RST|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0
|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|
MH|DEF|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0
|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|
MH|LCR|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0
|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|
MH|HIQ|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|128|128|128|128|128|128|128|128
|128|128|128|128|128|128|128|128|128|128|128|128|128|128|128|128|128|128|128|128|128|128|1
28|128|128|128|128|128|128|128|128|128|128|128|128|128|128|128|128|128|128|128|128|128|128
|128|128|128|128|128|128|128|
MH|SIQ|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0
|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|
MH|HOQ|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0
|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|
MH|SOQ|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0
|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|
MH|DPC|10|CURFACT|0|CURVAL|0|TIME|1109703031|MAX|60|NUM|60|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0
|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|0|
ciscoasa#
次に、snapshot キー ワ ー ド を使用 し た show asdm history コ マ ン ド の出力例を示 し ま す。
ciscoasa# show asdm history view 10m snapshot
Available 4 byte Blocks: [ 10s] : 100
Used 4 byte Blocks: [ 10s] : 0
Available 80 byte Blocks: [ 10s] : 100
Used 80 byte Blocks: [ 10s] : 0
Available 256 byte Blocks: [ 10s] : 2100
Used 256 byte Blocks: [ 10s] : 0
Available 1550 byte Blocks: [ 10s] : 7425
Used 1550 byte Blocks: [ 10s] : 1279
Available 2560 byte Blocks: [ 10s] : 40
Used 2560 byte Blocks: [ 10s] : 0
Available 4096 byte Blocks: [ 10s] : 30
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-34
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show asdm history
Used 4096 byte Blocks: [ 10s] : 0
Available 8192 byte Blocks: [ 10s] : 60
Used 8192 byte Blocks: [ 10s] : 0
Available 16384 byte Blocks: [ 10s] : 100
Used 16384 byte Blocks: [ 10s] : 0
Available 65536 byte Blocks: [ 10s] : 10
Used 65536 byte Blocks: [ 10s] : 0
CPU Utilization: [ 10s] : 31
Input KByte Count: [ 10s] : 62930
Output KByte Count: [ 10s] : 26620
Input KPacket Count: [ 10s] : 755
Output KPacket Count: [ 10s] : 58
Input Bit Rate: [ 10s] : 24561
Output Bit Rate: [ 10s] : 518897
Input Packet Rate: [ 10s] : 48
Output Packet Rate: [ 10s] : 114
Input Error Packet Count: [ 10s] : 0
No Buffer: [ 10s] : 0
Received Broadcasts: [ 10s] : 377331
Runts: [ 10s] : 0
Giants: [ 10s] : 0
CRC: [ 10s] : 0
Frames: [ 10s] : 0
Overruns: [ 10s] : 0
Underruns: [ 10s] : 0
Output Error Packet Count: [ 10s] : 0
Collisions: [ 10s] : 0
LCOLL: [ 10s] : 0
Reset: [ 10s] : 0
Deferred: [ 10s] : 0
Lost Carrier: [ 10s] : 0
Hardware Input Queue: [ 10s] : 128
Software Input Queue: [ 10s] : 0
Hardware Output Queue: [ 10s] : 0
Software Output Queue: [ 10s] : 0
Drop KPacket Count: [ 10s] : 0
Input KByte Count: [ 10s] : 3672
Output KByte Count: [ 10s] : 4051
Input KPacket Count: [ 10s] : 19
Output KPacket Count: [ 10s] : 20
Input Bit Rate: [ 10s] : 0
Output Bit Rate: [ 10s] : 0
Input Packet Rate: [ 10s] : 0
Output Packet Rate: [ 10s] : 0
Input Error Packet Count: [ 10s] : 0
No Buffer: [ 10s] : 0
Received Broadcasts: [ 10s] : 1458
Runts: [ 10s] : 1
Giants: [ 10s] : 0
CRC: [ 10s] : 0
Frames: [ 10s] : 0
Overruns: [ 10s] : 0
Underruns: [ 10s] : 0
Output Error Packet Count: [ 10s] : 0
Collisions: [ 10s] : 63
LCOLL: [ 10s] : 0
Reset: [ 10s] : 0
Deferred: [ 10s] : 15
Lost Carrier: [ 10s] : 0
Hardware Input Queue: [ 10s] : 128
Software Input Queue: [ 10s] : 0
Hardware Output Queue: [ 10s] : 0
Software Output Queue: [ 10s] : 0
Drop KPacket Count: [ 10s] : 0
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-35
第2章
show asdm history
Input KByte Count: [ 10s] : 0
Output KByte Count: [ 10s] : 0
Input KPacket Count: [ 10s] : 0
Output KPacket Count: [ 10s] : 0
Input Bit Rate: [ 10s] : 0
Output Bit Rate: [ 10s] : 0
Input Packet Rate: [ 10s] : 0
Output Packet Rate: [ 10s] : 0
Input Error Packet Count: [ 10s] : 0
No Buffer: [ 10s] : 0
Received Broadcasts: [ 10s] : 0
Runts: [ 10s] : 0
Giants: [ 10s] : 0
CRC: [ 10s] : 0
Frames: [ 10s] : 0
Overruns: [ 10s] : 0
Underruns: [ 10s] : 0
Output Error Packet Count: [ 10s] : 0
Collisions: [ 10s] : 0
LCOLL: [ 10s] : 0
Reset: [ 10s] : 0
Deferred: [ 10s] : 0
Lost Carrier: [ 10s] : 0
Hardware Input Queue: [ 10s] : 128
Software Input Queue: [ 10s] : 0
Hardware Output Queue: [ 10s] : 0
Software Output Queue: [ 10s] : 0
Drop KPacket Count: [ 10s] : 0
Input KByte Count: [ 10s] : 0
Output KByte Count: [ 10s] : 0
Input KPacket Count: [ 10s] : 0
Output KPacket Count: [ 10s] : 0
Input Bit Rate: [ 10s] : 0
Output Bit Rate: [ 10s] : 0
Input Packet Rate: [ 10s] : 0
Output Packet Rate: [ 10s] : 0
Input Error Packet Count: [ 10s] : 0
No Buffer: [ 10s] : 0
Received Broadcasts: [ 10s] : 0
Runts: [ 10s] : 0
Giants: [ 10s] : 0
CRC: [ 10s] : 0
Frames: [ 10s] : 0
Overruns: [ 10s] : 0
Underruns: [ 10s] : 0
Output Error Packet Count: [ 10s] : 0
Collisions: [ 10s] : 0
LCOLL: [ 10s] : 0
Reset: [ 10s] : 0
Deferred: [ 10s] : 0
Lost Carrier: [ 10s] : 0
Hardware Input Queue: [ 10s] : 128
Software Input Queue: [ 10s] : 0
Hardware Output Queue: [ 10s] : 0
Software Output Queue: [ 10s] : 0
Drop KPacket Count: [ 10s] : 0
Available Memory: [ 10s] : 205149944
Used Memory: [ 10s] : 63285512
Xlate Count: [ 10s] : 0
Connection Count: [ 10s] : 0
TCP Connection Count: [ 10s] : 0
UDP Connection Count: [ 10s] : 0
URL Filtering Count: [ 10s] : 0
URL Server Filtering Count: [ 10s] : 0
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-36
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show asdm history
TCP Fixup Count: [ 10s] : 0
TCP Intercept Count: [ 10s] : 0
HTTP Fixup Count: [ 10s] : 0
FTP Fixup Count: [ 10s] : 0
AAA Authentication Count: [ 10s] : 0
AAA Authorzation Count: [ 10s] : 0
AAA Accounting Count: [ 10s] : 0
Current Xlates: [ 10s] : 0
Max Xlates: [ 10s] : 0
ISAKMP SAs: [ 10s] : 0
IPsec SAs: [ 10s] : 0
L2TP Sessions: [ 10s] : 0
L2TP Tunnels: [ 10s] : 0
ciscoasa#
関連 コ マ ン ド
コ マン ド
asdm history enable
説明
ASDM 履歴 ト ラ ッ キ ン グ を イ ネーブルに し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-37
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show asdm image
show asdm image
現在の ASDM ソ フ ト ウ ェ ア イ メ ージ フ ァ イ ル を表示す る には、特権 EXEC モー ド で show asdm
image コ マ ン ド を使用 し ま す。
show asdm image
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
例
リ リ ース
7.0(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
こ の コ マ ン ド が、show pdm image コ マ ン ド か ら show asdm image コ マ
ン ド に変更 さ れ ま し た。
次に、show asdm image コ マ ン ド の出力例を示 し ま す。
Device Manager image file, flash:/ASDM
コ マン ド
asdm image
説明
現在の ASDM イ メ ージ フ ァ イ ル を指定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-38
Yes
変更内容
ciscoasa# show asdm image
関連 コ マ ン ド
•
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show asdm log_sessions
show asdm log_sessions
ア ク テ ィ ブ な ASDM ロ ギ ン グ セ ッ シ ョ ン、お よ びそれ ら に関連す る セ ッ シ ョ ン ID の リ ス ト を
表示す る には、特権 EXEC モー ド で show asdm log_sessions コ マ ン ド を使用 し ま す。
show asdm log_sessions
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
リ リ ース
7.0(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
それぞれのア ク テ ィ ブな ASDM セ ッ シ ョ ンには、1 つ以上の関連する ASDM ロ ギ ン グ セ ッ シ ョ ン
があ り ます。ASDM は、ロ ギ ン グ セ ッ シ ョ ン を使用 し て、ASA か ら Syslog メ ッ セージ を取得 し ま
す。各 ASDM ロ ギ ン グ セ ッ シ ョ ン には、一意のセ ッ シ ョ ン ID が割 り 当て ら れ ま す。こ のセ ッ シ ョ
ン ID を asdm disconnect log_session コ マ ン ド で使用 し て、指定 し たセ ッ シ ョ ン を終了で き ます。
（注）
各 ASDM セ ッ シ ョ ン には少な く と も 1 つの ASDM ロ ギ ン グ セ ッ シ ョ ン が あ る ため、show asdm
sessions お よ び show asdm log_sessions の出力は同 じ よ う に見え る こ と が あ り ま す。
例
次に、show asdm log_sessions コ マ ン ド の出力例を示 し ま す。
ciscoasa# show asdm log_sessions
0 192.168.1.1
1 192.168.1.2
関連 コ マ ン ド
コ マン ド
asdm disconnect
log_session
説明
ア ク テ ィ ブな ASDM ロ ギ ン グ セ ッ シ ョ ン を終了 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-39
第2章
show aaa kerberos コ マ ン ド ～ show asdm sessions コ マ ン ド
show asdm sessions
show asdm sessions
ア ク テ ィ ブ な ASDM セ ッ シ ョ ン、お よ びそれ ら に関連す る セ ッ シ ョ ン ID の リ ス ト を表示す る に
は、特権 EXEC モー ド で show asdm sessions コ マ ン ド を使用 し ま す。
show asdm sessions
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ルーテ ッ ド
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
例
リ リ ース
7.0(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
こ の コ マ ン ド が、show pdm sessions コ マ ン ド か ら show asdm sessions
コ マ ン ド に変更 さ れ ま し た。
ア ク テ ィ ブ な各 ASDM セ ッ シ ョ ン には、一意のセ ッ シ ョ ン ID が割 り 当て ら れ ま す。こ のセ ッ
シ ョ ン ID を asdm disconnect コ マ ン ド で使用 し て、指定 し た セ ッ シ ョ ン を終了で き ま す。
次に、show asdm sessions コ マ ン ド の出力例を示 し ま す。
0 192.168.1.1
1 192.168.1.2
コ マン ド
asdm disconnect
説明
ア ク テ ィ ブな ASDM セ ッ シ ョ ン を終了 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
2-40
—
変更内容
ciscoasa# show asdm sessions
関連 コ マ ン ド
Yes
CH A P T E R
3
show as-path-access-list コ マ ン ド ～ show
auto-update コ マ ン ド
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-1
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show as-path-access-list
show as-path-access-list
現在のすべての自律シ ス テ ム（AS）パ ス ア ク セ ス リ ス ト の内容を表示す る には、ユーザ EXEC モー
ド ま たは特権 EXEC モー ド で show as-path-access-list コ マ ン ド を使用 し ます。
show as-path-access-list [name]
構文の説明
name
デフ ォル ト
name 引数を指定 し ない場合、コ マ ン ド 出力には、すべての AS パ ス ア ク セ ス リ ス ト の内容が表示
さ れ ます。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
（オプシ ョ ン）AS パ ス ア ク セ ス リ ス ト 名を指定 し ます。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
例
リ リ ース
9.2(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show as-path-access-list コ マ ン ド の出力例を示 し ま す。
ciscoasa# show as-path-access-list
AS path access list as-path-acl-1
deny RTR$
AS path access list as-path-acl-2
permit 100$
表 3-1 に、各 フ ィ ール ド の説明を示 し ま す。
表 3-1
show as-path-access-list のフ ィ ール ド
フ ィ ール ド 説明
AS path
access list
AS パ ス ア ク セ ス リ ス ト 名を示 し ます。
deny
正規表現が ASCII 文字列 と し てのルー ト の AS パ ス の表現に一致 し な く な っ てか ら
拒否 さ れたパケ ッ ト 数を示 し ます。
permit
正規表現が ASCII 文字列 と し てのルー ト の AS パ ス の表現に一致 し てか ら 転送 さ れ
たパケ ッ ト 数を示 し ます。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-2
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp cluster counter
show asp cluster counter
ク ラ ス タ リ ン グ環境の グ ロ ーバル情報 ま たは コ ン テ キ ス ト に固有の情報をデバ ッ グす る には、
特権 EXEC モー ド で show asp cluster counter コ マ ン ド を使用 し ま す。
show asp cluster counter
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
リ リ ース
9.0(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
show asp cluster counter コ マ ン ド は、グ ロ ーバル DP カ ウ ン タ お よ び コ ン テ キ ス ト に固有の DP
カ ウ ン タ を表示 し ま す。こ の情報は、問題の ト ラ ブルシ ュ ーテ ィ ン グ に役立つ場合が あ り ま す。
こ の情報はデバ ッ グ の目的でのみ使用 さ れ ま す。ま た、情報の出力は変更 さ れ る 可能性が あ り ま
す。こ の コ マ ン ド を使用 し た シ ス テ ム デバ ッ グ について支援が必要な場合は、Cisco TAC にお問
い合わせ く だ さ い。
例
次に、show asp cluster counter コ マ ン ド の出力例を示 し ま す。
ciscoasa# show asp cluster counter
Global dp-counters:
Context specific dp-counters:
MCAST_FP_TO_SP
MCAST_SP_TOTAL
MCAST_SP_PKTS
MCAST_SP_PKTS_TO_CP
MCAST_FP_CHK_FAIL_NO_HANDLE
MCAST_FP_CHK_FAIL_NO_ACCEPT_IFC
MCAST_FP_CHK_FAIL_NO_FP_FWD
361136
361136
143327
143327
217809
81192
62135
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-3
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp cluster counter
関連 コ マ ン ド
コ マン ド
show asp drop
説明
ド ロ ッ プ さ れたパケ ッ ト の高速セキ ュ リ テ ィ パ ス カ ウ ン タ を示 し ます。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-4
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
show asp drop
高速セ キ ュ リ テ ィ パ ス で ド ロ ッ プ さ れたパケ ッ ト ま たは接続をデバ ッ グす る には、特権 EXEC
モー ド で show asp drop コ マ ン ド を使用 し ま す。
show asp drop [flow [flow_drop_reason] | frame [frame_drop_reason]]
構文の説明
flow [flow_drop_reason] （オプシ ョ ン） ド ロ ッ プ さ れた フ ロ ー（接続）を表示 し ま す。
flow_drop_reason 引数を使用 し て、特定の理由を指定で き ま す。
flow_drop_reason 引数の有効な値は、下記の「使用上のガ イ ド ラ イ ン」に
示 さ れてい ま す。
frame
（オプシ ョ ン） ド ロ ッ プ さ れたパケ ッ ト を表示 し ま す。
[frame_drop_reason]
frame_drop_reason 引数を使用 し て、特定の理由を指定で き ま す。
frame_drop_reason 引数の有効な値は、下記の「使用上のガ イ ド ラ イ ン」
に示 さ れてい ま す。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
リ リ ース
7.0(1)
変更内容
7.0(8)/7.2(4)/8.0(4)
カ ウ ン タ が最後に ク リ ア さ れた時間を示す タ イ ム ス タ ン プが出力に含
ま れ ま す（clear asp drop コ マ ン ド を参照）。ま た、説明の横に ド ロ ッ プ
理由の キー ワ ー ド が表示 さ れ る ため、関連キー ワ ー ド を使用 し て簡単
に capture asp-drop コ マ ン ド を使用で き ま す。
こ の コ マ ン ド が追加 さ れ ま し た。
show asp drop コ マ ン ド は、高速セ キ ュ リ テ ィ パ ス に よ っ て ド ロ ッ プ さ れたパケ ッ ト ま たは接続
を表示 し ま す。こ の情報は、問題の ト ラ ブルシ ュ ーテ ィ ン グ に役立つ場合が あ り ま す。高速セ
キ ュ リ テ ィ パ ス の詳細については、CLI 設定ガ イ ド を参照 し て く だ さ い。こ の情報はデバ ッ グ の
目的でのみ使用 さ れ ま す。ま た、情報の出力は変更 さ れ る 可能性が あ り ま す。こ の コ マ ン ド を使
用 し た シ ス テ ム デバ ッ グ について支援が必要な場合は、Cisco TAC にお問い合わせ く だ さ い。
次の項では、各 ド ロ ッ プ理由の名前、説明、お よ び推奨事項を示 し ま す。
•
「 フ レ ーム の ド ロ ッ プ理由」（P.3-6）
•
「 フ ロ ーの ド ロ ッ プ理由」（P.3-65）
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-5
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
フ レームの ド ロ ッ プ理由
---------------------------------------------------------------Name: natt-keepalive
NAT-T keepalive message:
This counter will increment when the appliance receives an IPsec NAT-T keepalive
message.NAT-T keepalive messages are sent from the IPsec peer to the appliance to keep
NAT/PAT flow information current in network devices between the NAT-T IPsec peer and the
appliance.
Recommendation:
If you have configured IPsec NAT-T on your appliance, this indication is normal and
doesn't indicate a problem.If NAT-T is not configured on your appliance, analyze your
network traffic to determine the source of the NAT-T traffic.
Syslogs:
None
---------------------------------------------------------------Name: ipsecudp-keepalive
IPSEC/UDP keepalive message:
This counter will increment when the appliance receives an IPsec over UDP keepalive
message.IPsec over UDP keepalive messages are sent from the IPsec peer to the appliance to
keep NAT/PAT flow information current in network devices between the IPsec over UDP peer
and the appliance.Note - These are not industry standard NAT-T keepalive messages which
are also carried over UDP and addressed to UDP port 4500.
Recommendation:
If you have configured IPsec over UDP on your appliance, this indication is normal and
doesn't indicate a problem.If IPsec over UDP is not configured on your appliance, analyze
your network traffic to determine the source of the IPsec over UDP traffic.
Syslogs:
None
---------------------------------------------------------------Name: bad-ipsec-prot
IPsec not AH or ESP:
This counter will increment when the appliance receives a packet on an IPsec
connection which is not an AH or ESP protocol.This is not a normal condition.
Recommendation:
If you are receiving many IPsec not AH or ESP indications on your appliance, analyze
your network traffic to determine the source of the traffic.
Syslogs:
402115
---------------------------------------------------------------Name: ipsec-ipv6
IPsec via IPV6:
This counter will increment when the appliance receives an IPsec ESP packet, IPsec
NAT-T ESP packet or an IPsec over UDP ESP packet encapsulated in an IP version 6
header.The appliance does not currently support any IPsec sessions encapsulated in IP
version 6.
Recommendation:
None
Syslogs:
None
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-6
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: bad-ipsec-natt
Bad IPsec NATT packet:
This counter will increment when the appliance receives a packet on an IPsec
connection which has negotiated NAT-T but the packet is not addressed to the NAT-T UDP
destination port of 4500 or had an invalid payload length.
Recommendation:
Analyze your network traffic to determine the source of the NAT-T traffic.
Syslogs:
None
---------------------------------------------------------------Name: bad-ipsec-udp
Bad IPsec UDP packet:
This counter will increment when the appliance receives a packet on an IPsec
connection that has negotiated IPsec over UDP, but the packet has an invalid payload
length.
Recommendation:
Analyze your network traffic to determine the source of the NAT-T traffic.
Syslogs:
None
---------------------------------------------------------------Name: inspect-srtp-encrypt-failed
Inspect SRTP Encryption failed:
This counter will increment when SRTP encryption fails.
Recommendation:
If error persists even after a reboot please call TAC to see why SRTP encryption is
failing in the hardware crypto accelerator.
Syslogs:
337001.
---------------------------------------------------------------Name: inspect-srtp-decrypt-failed
Inspect SRTP Decryption failed:
This counter will increment when SRTP decryption fails.
Recommendation:
If error persists even after a reboot please call TAC to see why SRTP decryption is
failing in the hardware crypto accelerator.
Syslogs:
337002.
---------------------------------------------------------------Name: inspect-srtp-validate-authtag-failed
Inspect SRTP Authentication tag validation failed:
This counter will increment when SRTP authentication tag validation fails.
Recommendation:
No action is required.If error persists SRTP packets arriving at the firewall are
being tampered with and the administrator has to identify the cause.
Syslogs:
337003.
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-7
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: inspect-srtp-generate-authtag-failed
Inspect SRTP Authentication tag generation failed:
This counter will increment when SRTP authentication tag generation fails.
Recommendation:
No action is required.
Syslogs:
337004.
---------------------------------------------------------------Name: inspect-srtp-no-output-flow
Inspect SRTP failed to find output flow:
This counter will increment when the flow from the Phone proxy could not be created or
if the flow has been torn down
Recommendation:
No action is required.The flow creation could have failed because of low memory
conditions.
Syslogs:
None.
---------------------------------------------------------------Name: inspect-srtp-setup-srtp-failed
Inspect SRTP setup in CTM failed:
This counter will increment when SRTP setup in the CTM fails.
Recommendation:
No action is required.If error persists call TAC to see why the CTM calls are failing.
Syslogs:
None.
---------------------------------------------------------------Name: inspect-srtp-one-part-no-key
Inspect SRTP failed to find keys for both parties:
This counter will increment when Inspect SRTP finds only one party's keys populated in
the media session.
Recommendation:
No action is required.This counter could increment in the beginning phase of the call
but eventually when the call signaling exchange completes both parties should know their
respective keys.
Syslogs:
None.
---------------------------------------------------------------Name: inspect-srtp-no-media-session
Inspect SRTP Media session lookup failed:
This counter will increment when SRTP media session lookup fails.
Recommendation:
No action is required.The media session is created by Inspect SIP or Skinny when the
IP address is parsed as part of the signaling exchange.Debug the signaling messages to
figure out the cause.
Syslogs:
None.
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-8
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: inspect-srtp-no-remote-phone-proxy-ip
Inspect SRTP Remote Phone Proxy IP not populated:
This counter will increment when remote phone proxy IP is not populated
Recommendation:
No action is required.The remote phone proxy IP address is populated from the
signaling exchange.If error persists debug the signaling messages to figure out if ASA is
seeing all the signaling messages.
Syslogs:
None.
---------------------------------------------------------------Name: inspect-srtp-client-port-not-present
Inspect SRTP client port wildcarded in media session:
This counter will increment when client port is not populated in media session
Recommendation:
No action is required.The client port is populated dynamically when the media stream
comes in from the client.Capture the media packets to see if the client is sending media
packets.
Syslogs:
None.
---------------------------------------------------------------Name: ipsec-need-sa
IPsec SA not negotiated yet:
This counter will increment when the appliance receives a packet which requires
encryption but has no established IPsec security association.This is generally a normal
condition for LAN-to-LAN IPsec configurations.This indication will cause the appliance to
begin ISAKMP negotiations with the destination peer.
Recommendation:
If you have configured IPsec LAN-to-LAN on your appliance, this indication is normal
and doesn't indicate a problem.However, if this counter increments rapidly it may indicate
a crypto configuration error or network error preventing the ISAKMP negotiation from
completing.Verify that you can communicate with the destination peer and verify your
crypto configuration via the 'show running-config' command.
Syslogs:
None
---------------------------------------------------------------Name: ipsec-spoof
IsSec spoof detected:
This counter will increment when the appliance receives a packet which should have
been encrypted but was not.The packet matched the inner header security policy check of a
configured and established IPsec connection on the appliance but was received
unencrypted.This is a security issue.
Recommendation:
Analyze your network traffic to determine the source of the spoofed IPsec traffic.
Syslogs:
402117
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-9
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: ipsec-clearpkt-notun
IPsec Clear Pkt w/no tunnel:
This counter will increment when the appliance receives a packet which should have
been encrypted but was not.The packet matched the inner header security policy check of a
configured and established IPsec connection on the appliance but was received
unencrypted.This is a security issue.
Recommendation:
Analyze your network traffic to determine the source of the spoofed IPsec traffic.
Syslogs:
402117
---------------------------------------------------------------Name: ipsec-tun-down
IPsec tunnel is down:
This counter will increment when the appliance receives a packet associated with an
IPsec connection which is in the process of being deleted.
Recommendation:
This is a normal condition when the IPsec tunnel is torn down for any reason.
Syslogs:
None
---------------------------------------------------------------Name: mp-svc-delete-in-progress
SVC Module received data while connection was being deleted:
This counter will increment when the security appliance receives a packet associated
with an SVC connection that is in the process of being deleted.
Recommendation:
This is a normal condition when the SVC connection is torn down for any reason.If this
error occurs repeatedly or in large numbers, it could indicate that clients are having
network connectivity issues.
Syslogs:
None.
---------------------------------------------------------------Name: mp-svc-bad-framing
SVC Module received badly framed data:
This counter will increment when the security appliance receives a packet from an SVC
or the control software that it is unable to decode.
Recommendation:
This indicates that a software error should be reported to the Cisco TAC.The SVC or
security appliance could be at fault.
Syslogs:
722037 (Only for SVC received data).
---------------------------------------------------------------Name: mp-svc-bad-length
SVC Module received bad data length:
This counter will increment when the security appliance receives a packet from an SVC
or the control software where the calculated and specified lengths do not match.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-10
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Recommendation:
This indicates that a software error should be reported to the Cisco TAC.The SVC or
security appliance could be at fault.
Syslogs:
722037 (Only for SVC received data).
---------------------------------------------------------------Name: mp-svc-unknown-type
SVC Module received unknown data frame:
This counter will increment when the security appliance receives a packet from an SVC
where the data type is unknown.
Recommendation:
Validate that the SVC being used by the client is compatible with the version of
security appliance software.
Syslogs:
None.
---------------------------------------------------------------Name: mp-svc-addr-renew-response
SVC Module received address renew response data frame:
This counter will increment when the security appliance receives an Address Renew
Response message from an SVC.The SVC should not be sending this message.
Recommendation:
This indicates that an SVC software error should be reported to the Cisco TAC.
Syslogs:
None.
---------------------------------------------------------------Name: mp-svc-no-prepend
SVC Module does not have enough space to insert header:
This counter will increment when there is not enough space before the packet data to
prepend a MAC header in order to put the packet onto the network.
Recommendation:
This indicates that a software error should be reported to the Cisco TAC.
Syslogs:
None.
---------------------------------------------------------------Name: mp-svc-no-channel
SVC Module does not have a channel for reinjection:
This counter will increment when the interface that the encrypted data was received
upon cannot be found in order to inject the decrypted data.
Recommendation:
If an interface is shut down during a connection, this could happen; re-enable/check
the interface.Otherwise, this indicates that a software error should be reported to the
Cisco TAC.
Syslogs:
None.
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-11
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: mp-svc-no-session
SVC Module does not have a session:
This counter will increment when the security appliance cannot determine the SVC
session that this data should be transmitted over.
Recommendation:
This indicates that a software error should be reported to the Cisco TAC.
Syslogs:
None.
---------------------------------------------------------------Name: mp-svc-session-lock-failure
SVC Module failed to acquire the session lock:
This counter will increment when the security appliance cannot grab the lock for the
SVC session that this data should be transmitted over.
Recommendation:
This condition should never be encountered during normal operation and
may
indicate a software problem with the appliance.Contact the Cisco Technical Assistance
Center (TAC) if this error occurs.
Syslogs:
None.
---------------------------------------------------------------Name: mp-svc-decompres-error
SVC Module decompression error:
This counter will increment when the security appliance encounters an error during
decompression of data from an SVC.
Recommendation:
This indicates that a software error should be reported to the Cisco TAC.The SVC or
security appliance could be at fault.
Syslogs:
722037.
---------------------------------------------------------------Name: mp-svc-compress-error
SVC Module compression error:
This counter will increment when the security appliance encounters an error during
compression of data to an SVC.
Recommendation:
This indicates that a software error should be reported to the Cisco TAC.The SVC or
security appliance could be at fault.
Syslogs:
722037.
---------------------------------------------------------------Name: mp-svc-no-mac
SVC Module unable to find L2 data for frame:
This counter will increment when the security appliance is unable to find an L2 MAC
header for data received from an SVC.
Recommendation:
This indicates that a software error should be reported to the Cisco TAC.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-12
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Syslogs:
None.
---------------------------------------------------------------Name: mp-svc-invalid-mac
SVC Module found invalid L2 data in the frame:
This counter will increment when the security appliance is finds an invalid L2 MAC
header attached to data received from an SVC.
Recommendation:
This indicates that a software error should be reported to the Cisco TAC.
Syslogs:
None.
---------------------------------------------------------------Name: mp-svc-invalid-mac-len
SVC Module found invalid L2 data length in the frame:
This counter will increment when the security appliance is finds an invalid L2 MAC
length attached to data received from an SVC.
Recommendation:
This indicates that a software error should be reported to the Cisco TAC.
Syslogs:
None.
---------------------------------------------------------------Name: mp-svc-flow-control
SVC Session is in flow control:
This counter will increment when the security appliance needs to drop data because an
SVC is temporarily not accepting any more data.
Recommendation:
This indicates that the client is unable to accept more data.The client should reduce
the amount of traffic it is attempting to receive.
Syslogs:
None.
---------------------------------------------------------------Name: mp-svc-no-fragment
SVC Module unable to fragment packet:
This counter is incremented when a packet to be sent to the SVC is not permitted to be
fragmented or when there are not enough data buffers to fragment the packet.
Recommendation:
Increase the MTU of the SVC to reduce fragmentation.Avoid using applications that do
not permit fragmentation.Decrease the load on the device to increase available data
buffers.
Syslogs:
None.
---------------------------------------------------------------Name: vpn-handle-error
VPN Handle Error:
This counter is incremented when the appliances is unable to create a VPN handle
because the VPN handle already exists.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-13
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Recommendation:
It is possible to see this counter increment as part of normal operation However, if
the counter is rapidly incrementing and there is a major malfunction of vpn-based
applications, then this may be caused by a software defect.Contact the Cisco TAC to
investigate the issue further.
Syslogs:
None.
---------------------------------------------------------------Name: ipsec-lock-error
IPsec locking error:
This counter is incremented when an IPsec operation is attempted but fails due to an
internal locking error.
Recommendation:
This condition should never be encountered during normal operation and may indicate a
software problem with the appliance.Contact the Cisco Technical Assistance Center (TAC) if
this error occurs.
Syslogs:
None.
---------------------------------------------------------------Name: vpn-handle-mismatch
VPN Handle Mismatch:
This counter is incremented when the appliance wants to forward a block and the flow
referred to by the VPN Handle is different than the flow associated with the block.
Recommendation:
This is not a normal occurrence.Please enter the show console-output command and
forward that output to CISCO TAC for further analysis.
Syslogs:
None.
---------------------------------------------------------------Name: vpn-reclassify-failed
VPN Reclassify Failed:
This counter is incremented when a packet for a VPN flow is dropped due to the flow
failing to be reclassified after a VPN state change.
Recommendation:
This counter is incremented when a packet for a VPN flow arrives that requires
reclassification due to VPN CLI or Tunnel state changes.If the flow no longer matches the
existing policies, then the flow is freed and the packet dropped.
Syslogs:
No new syslogs accompany this event.
---------------------------------------------------------------Name: punt-rate-limit
Punt rate limit exceeded:
This counter will increment when the appliance attempts to forward a layer-2 packet to
a rate-limited control point service routine and the rate limit (per/second) is now being
exceeded.Currently, the only layer-2 packets destined for a control point service routine
which are rate limited are ARP packets.The ARP packet rate limit is 500 ARPs per second
per interface.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-14
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Recommendation:
Analyze your network traffic to determine the reason behind the high rate of ARP
packets.
Syslogs:
322002, 322003
---------------------------------------------------------------Name: punt-no-mem
Punt no memory:
This counter is incremented and the packet is dropped when there is no memory to
create data structure for punting a packet to Control Point.
Recommendation:
No action needs to be taken if this condition is transient.If this condition persists
due to low memory, then system upgrade might be necessary.
Syslogs:
None
---------------------------------------------------------------Name: punt-queue-limit
Punt queue limit exceeded:
This counter is incremented and the packet is dropped when punt queue limit is
exceeded, an indication that a bottle-neck is forming at Control Point.
Recommendation:
No action needs to be taken.This is a design limitation.
Syslogs:
None
---------------------------------------------------------------Name: flow-being-freed
Flow is being freed:
This counter is incremented when the flow is being freed and all packets queued for
inspection are dropped.
Recommendation:
No action needs to be taken.
Syslogs:
None
---------------------------------------------------------------Name: invalid-encap
Invalid Encapsulation:
This counter is incremented when the security appliance receives a frame belonging to
an unsupported link-level protocol or if the L3type specified in the frame is not
supported by the appliance.The packet is dropped.
Recommendation:
Verify that directly connected hosts have proper link-level protocol settings.
Syslogs:
None.
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-15
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: invalid-ip-header
Invalid IP header:
This counter is incremented and the packet is dropped when the appliance receives an
IP packet whose computed checksum of the IP header does not match the recorded checksum in
the header.
Recommendation:
The packet corruption may be caused by a bad cable or noise on the line.It may also be
that a peer is sending corrupted packets and an attack is in progress.Please use the
packet capture feature to learn more about the origin of the packet.
Syslogs:
None
---------------------------------------------------------------Name: unsupported-ip-version
Unsupported IP version:
This counter is incremented when the security appliance receives an IP packet that has
an unsupported version in version field of IP header.Specifically, if the packet does not
belong to version 4 or version 6.The packet is dropped.
Recommendation:
Verify that other devices on connected network are configured to send IP packets
belonging to versions 4 or 6 only.
Syslogs:
None.
---------------------------------------------------------------Name: invalid-ip-length
Invalid IP Length:
This counter is incremented when the security appliance receives an IPv4 or IPv6
packet in which the header length or total length fields in IP header are not valid or do
not conform to the received packet length.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: invalid-ethertype
Invalid Ethertype:
This counter is incremented when the fragmentation module on the security appliance
receives or tries to send a fragmented packet that does not belong IP version 4 or version
6.The packet is dropped.
Recommendation:
Verify mtu of device and other devices on connected network to determine why the
device is processing such fragments.
Syslogs:
None.
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-16
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: invalid-tcp-hdr-length
Invalid TCP Length:
This counter is incremented when the security appliance receives a TCP packet whose
size is smaller than minimum-allowed header length or does not conform to the received
packet length.
Recommendation:
The invalid packet could be a bogus packet being sent by an attacker.
Investigate the traffic from source in the following syslog.
Syslogs:
500003.
---------------------------------------------------------------Name: invalid-udp-length
Invalid UDP Length:
This counter is incremented when the security appliance receives a UDP packet whose
size as calculated from the fields in header is different from the measured size of packet
as received from the network.
Recommendation:
The invalid packet could be a bogus packet being sent by an attacker.
Syslogs:
None.
---------------------------------------------------------------Name: no-adjacency
No valid adjacency:
This counter is incremented when the security appliance has tried to obtain an
adjacency and could not obtain mac-address for next hop.The packet is dropped.
Recommendation:
Configure a capture for this drop reason and check if a host with specified
destination address exists on connected network or is routable from the device.
Syslogs:
None.
---------------------------------------------------------------Name: unexpected-packet
Unexpected packet:
This counter is incremented when the appliance in transparent mode receives a non-IP
packet, destined to its MAC address, but there is no corresponding service running on the
appliance to process the packet.
Recommendation:
Verify if the appliance is under attack.If there are no suspicious packets, or the
device is not in transparent mode, this counter is most likely being incremented due to a
software error.Attempt to capture the traffic that is causing the counter to increment and
contact the Cisco TAC.
Syslogs:
None
---------------------------------------------------------------Name: no-route
No route to host:
This counter is incremented when the security appliance tries to send a packet out of
an interface and does not find a route for it in routing table.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-17
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Recommendation:
Verify that a route exists for the destination address obtained from the generated
syslog.
Syslogs:
110002, 110003.
---------------------------------------------------------------Name: rpf-violated
Reverse-path verify failed:
This counter is incremented when ip-verify is configured on an interface and the
security appliance receives a packet for which the route lookup of source-ip did not yield
the same interface as the one on which the packet was received.
Recommendation:
Trace the source of traffic based on source-ip printed in syslog below and investigate
why it is sending spoofed traffic.
Syslogs:
106021.
---------------------------------------------------------------Name: acl-drop
Flow is denied by configured rule:
This counter is incremented when a drop rule is hit by the packet and gets
dropped.This rule could be a default rule created when the box comes up, when various
features are turned on or off, when an acl is applied to interface or any other feature
etc. Apart from default rule drops, a packet could be dropped because of:
1) ACL configured on an interface
2) ACL configured for AAA and AAA denied the user
3) Thru-box traffic arriving at management-only ifc
4) Unencrypted traffic arriving on a ipsec-enabled interface
Recommendation:
Note if one of ACLs listed below are fired.
Syslogs:
106023, 106100, 106004
---------------------------------------------------------------Name: unable-to-create-flow
Flow denied due to resource limitation:
This counter is incremented and the packet is dropped when flow creation fails due to
a system resource limitation.The resource limit may be either:
1) system memory
2) packet block extension memory
3) system connection limit
Causes 1 and 2 will occur simultaneously with flow drop reason "No memory to complete
flow".
Recommendation:
- Observe if free system memory is low.
- Observe if flow drop reason "No memory to complete flow" occurs.
- Observe if connection count reaches the system connection limit with the command
"show resource usage".
Syslogs:
None
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-18
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: unable-to-add-flow
Flow hash full:
This counter is incremented when a newly created flow is inserted into flow hash table
and the insertion failed because the hash table was full.The flow and the packet are
dropped.This is different from counter that gets incremented when maximum connection limit
is reached.
Recommendation:
This message signifies lack of resources on the device to support an operation that
should have been successful.Please check if the connections in the 'show conn' output have
exceeded their configured idle timeout values.If so, contact the Cisco Technical
Assistance Center (TAC).
Syslogs:
None.
---------------------------------------------------------------Name: np-sp-invalid-spi
Invalid SPI:
This counter will increment when the appliance receives an IPsec ESP packet addressed
to the appliance which specifies a SPI (security parameter index) not currently known by
the appliance.
Recommendation:
Occasional invalid SPI indications are common, especially during rekey processing.Many
invalid SPI indications may suggest a problem or DoS attack.If you are experiencing a high
rate of invalid SPI indications, analyze your network traffic to determine the source of
the ESP traffic.
Syslogs:
402114
---------------------------------------------------------------Name: unsupport-ipv6-hdr
Unsupported IPv6 header:
This counter is incremented and the packet is dropped if an IPv6 packet is received
with an unsupported IPv6 extension header.The supported IPv6 extension headers are: TCP,
UDP, ICMPv6, ESP, AH, Hop Options, Destination Options, and Fragment.The IPv6 routing
extension header is not supported, and any extension header not listed above is not
supported.IPv6 ESP and AH headers are supported only if the packet is
through-the-box.To-the-box IPv6 ESP and AH packets are not supported and will be dropped.
Recommendation:
This error may be due to a misconfigured host.If this error occurs repeatedly or in
large numbers, it could also indicate spurious or malicious activity such as an attempted
DoS attack.
Syslogs:
None.
---------------------------------------------------------------Name: tcp-not-syn
First TCP packet not SYN:
Received a non SYN packet as the first packet of a non intercepted and non nailed
connection.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-19
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Recommendation:
Under normal conditions, this may be seen when the appliance has already closed a
connection, and the client or server still believe the connection is open, and continue to
transmit data.Some examples where this may occur is just after a 'clear local-host' or
'clear xlate' is issued.Also, if connections have not been recently removed, and the
counter is incrementing rapidly, the appliance may be under attack.Capture a sniffer trace
to help isolate the cause.
Syslogs:
6106015
---------------------------------------------------------------Name: bad-tcp-cksum
Bad TCP checksum:
This counter is incremented and the packet is dropped when the appliance receives a
TCP packet whose computed TCP checksum does not match the recorded checksum in TCP header.
Recommendation:
The packet corruption may be caused by a bad cable or noise on the line.It may also be
that a TCP endpoint is sending corrupted packets and an attack is in progress.Please use
the packet capture feature to learn more about the origin of the packet.To allow packets
with incorrect TCP checksum disable checksum-verification feature under tcp-map.
Syslogs:
None
---------------------------------------------------------------Name: bad-tcp-flags
Bad TCP flags:
This counter is incremented and the packet is dropped when the appliance receives a
TCP packet with invalid TCP flags in TCP header.Example a packet with SYN and FIN TCP
flags set will be dropped.
Recommendations:
The packet corruption may be caused by a bad cable or noise on the line.It may also be
that a TCP endpoint is sending corrupted packets and an attack is in progress.Please use
the packet capture feature to learn more about the origin of the packet.
Syslogs:
None
---------------------------------------------------------------Name: tcp-reserved-set
TCP reserved flags set:
This counter is incremented and the packet is dropped when the appliance receives a
TCP packet with reserved flags set in TCP header.
Recommendations:
The packet corruption may be caused by a bad cable or noise on the line.It may also be
that a TCP endpoint is sending corrupted packets and an attack is in progress.Please use
the packet capture feature to learn more about the origin of the packet.To allow such TCP
packets or clear reserved flags and then pass the packet use reserved-bits configuration
under tcp-map.
Syslogs:
None
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-20
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: tcp-bad-option-list
TCP option list invalid:
This counter is incremented and the packet is dropped when the appliance receives a
TCP packet with a non-standard TCP header option.
Recommendations:
To allow such TCP packets or clear non-standard TCP header options and then allow the
packet, use tcp-options configuration under tcp-map.
Syslogs:
None
---------------------------------------------------------------Name: tcp-mss-exceeded
TCP data exceeded MSS:
This counter is incremented and the packet is dropped when the appliance receives a
TCP packet with data length greater than the MSS advertised by peer TCP endpoint.
Recommendations:
To allow such TCP packets use exceed-mss configuration under tcp-map
Syslogs:
4419001
---------------------------------------------------------------Name: tcp-synack-data
TCP SYNACK with data:
This counter is incremented and the packet is dropped when the appliance receives a
TCP SYN-ACK packet with data.
Recommendations:
The packet corruption may be caused by a bad cable or noise on the line.It may also be
that a TCP endpoint is sending corrupted packets and an attack is in progress.Please use
the packet capture feature to learn more about the origin of the packet.
Syslogs:
None
---------------------------------------------------------------Name: tcp-syn-data
TCP SYN with data:
This counter is incremented and the packet is dropped when the appliance receives a
TCP SYN packet with data.
Recommendations:
To allow such TCP packets use syn-data configuration under tcp-map.
Syslogs:
None
---------------------------------------------------------------Name: tcp-dual-open
TCP Dual open denied:
This counter is incremented and the packet is dropped when the appliance receives a
TCP SYN packet from the server, when an embryonic TCP connection is already open.
Recommendations:
None
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-21
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Syslogs:
None
---------------------------------------------------------------Name: tcp-data-past-fin
TCP data send after FIN:
This counter is incremented and the packet is dropped when the appliance receives new
TCP data packet from an endpoint which had sent a FIN to close the connection.
Recommendations:
None
Syslogs:
None
---------------------------------------------------------------Name: tcp-3whs-failed
TCP failed 3 way handshake:
This counter is incremented and the packet is dropped when appliance receives an
invalid TCP packet during three-way-handshake.Example SYN-ACK from client will be dropped
for this reason.
Recommendations:
None
Syslogs:
None
---------------------------------------------------------------Name: tcp-rstfin-ooo
TCP RST/FIN out of order:
This counter is incremented and the packet is dropped when appliance receives a RST or
a FIN packet with incorrect TCP sequence number.
Recommendations:
None
Syslogs:
None
---------------------------------------------------------------Name: tcp-seq-syn-diff
TCP SEQ in SYN/SYNACK invalid:
This counter is incremented and the packet is dropped when appliance receives a SYN or
SYN-ACK packet during three-way-handshake with incorrect TCP sequence number.
Recommendations:
None
Syslogs:
None
---------------------------------------------------------------Name: tcp-ack-syn-diff
TCP ACK in SYNACK invalid:
This counter is incremented and the packet is dropped when appliance receives a
SYN-ACK packet during three-way-handshake with incorrect TCP acknowledgement number.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-22
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Recommendations:
None
Syslogs:
None
---------------------------------------------------------------Name: tcp-syn-ooo
TCP SYN on established conn:
This counter is incremented and the packet is dropped when appliance receives a TCP
SYN packet on an established TCP connection.
Recommendations:
None
Syslogs:
None
---------------------------------------------------------------Name: tcp-synack-ooo
TCP SYNACK on established conn:
This counter is incremented and the packet is dropped when appliance receives a TCP
SYN-ACK packet on an established TCP connection.
Recommendations:
None
Syslogs:
None
---------------------------------------------------------------Name: tcp-seq-past-win
TCP packet SEQ past window:
This counter is incremented and the packet is dropped when appliance receives a TCP
data packet with sequence number beyond the window allowed by the peer TCP endpoint.
Recommendations:
None
Syslogs:
None
---------------------------------------------------------------Name: tcp-invalid-ack
TCP invalid ACK:
This counter is incremented and the packet is dropped when appliance receives a TCP
packet with acknowledgment number greater than data sent by peer TCP endpoint.
Recommendations:
None
Syslogs:
None
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-23
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: tcp-fo-drop
TCP replicated flow
This counter is
packet with control
appliance has taken
pak drop:
incremented and the packet is dropped when appliance receives a TCP
flag like SYN, FIN or RST on an established connection just after the
over as active unit.
Recommendations:
None
Syslogs:
None
---------------------------------------------------------------Name: tcp-discarded-ooo
TCP ACK in 3 way handshake invalid:
This counter is incremented and the packet is dropped when appliance receives a TCP
ACK packet from client during three-way-handshake and the sequence number is not next
expected sequence number.
Recommendations:
None
Syslogs:
None
---------------------------------------------------------------Name: tcp-buffer-full
TCP Out-of-Order packet buffer full:
This counter is incremented and the packet is dropped when appliance receives an
out-of-order TCP packet on a connection and there is no buffer space to store this
packet.Typically TCP packets are put into order on connections that are inspected by the
appliance or when packets are sent to SSM for inspection.There is a default queue size and
when packets in excess of this default queue size are received they will be dropped.
Recommendations:
On ASA platforms the queue size could be increased using queue-limit configuration
under tcp-map.
Syslogs:
None
---------------------------------------------------------------Name: tcp-global-buffer-full
TCP global Out-of-Order packet buffer full:
This counter is incremented and the packet is dropped when the security appliance
receives an out-of-order TCP packet on a connection and there are no more global buffers
available.Typically TCP packets are put into order on connections that are inspected by
the security appliance or when packets are sent to the SSM for inspection.When the global
Out-of-Order buffer queue is full, the packet will be dropped and this counter will
increment.
Recommendations:
This is a temporary condition when all global buffers are used.If this counter is
constantly incrementing, then please check your network for large amounts of Out-of-Order
traffic, which could be caused by traffic of the same flow taking different routes through
the network.
Syslogs:
None
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-24
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: tcp-buffer-timeout
TCP Out-of-Order packet buffer timeout:
This counter is incremented and the packet is dropped when a queued out of order TCP
packet has been held in the buffer for too long.Typically, TCP packets are put into order
on connections that are inspected by the security appliance or when packets are sent to
the SSM for inspection.When the next expected TCP packet does not arrive within a certain
period, the queued out of order packet is dropped.
Recommendations:
The next expected TCP packet may not arrive due to congestion in the network which is
normal in a busy network.The TCP retransmission mechanism in the end host will retransmit
the packet and the session will continue.
Syslogs:
None
---------------------------------------------------------------Name: tcp-rst-syn-in-win
TCP RST/SYN in window:
This counter is incremented and the packet is dropped when appliance receives a TCP
SYN or TCP RST packet on an established connection with sequence number within window but
not next expected sequence number.
Recommendations:
None
Syslogs:
None
---------------------------------------------------------------Name: tcp-acked
TCP DUP and has been ACKed:
This counter is incremented and the packet is dropped when appliance receives a
retransmitted data packet and the data has been acknowledged by the peer TCP endpoint.
Recommendations:
None
Syslogs:
None
---------------------------------------------------------------Name: tcp-dup-in-queue
TCP dup of packet in Out-of-Order queue:
This counter is incremented and the packet is dropped when appliance receives a
retransmitted data packet that is already in our out of order packet queue.
Recommendations:
None
Syslogs:
None
---------------------------------------------------------------Name: tcp-paws-fail
TCP packet failed PAWS test:
This counter is incremented and the packet is dropped when TCP packet with timestamp
header option fails the PAWS (Protect Against Wrapped Sequences) test.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-25
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Recommendations:
To allow such connections to proceed, use tcp-options configuration under tcp-map to
clear timestamp option.
Syslogs:
None
---------------------------------------------------------------Name: tcp-conn-limit
TCP connection limit reached:
This reason is given for dropping a TCP packet during TCP connection establishment
phase when the connection limit has been exceeded.The connection limit is configured via
the 'set connection conn-max' action command.
Recommendation:
If this is incrementing rapidly, check the syslogs to determine which host's
connection limit is reached.The connection limit may need to be increased if the traffic
is normal, or the host may be under attack.
Syslogs:
201011
---------------------------------------------------------------Name: conn-limit
Connection limit reached:
This reason is given for dropping a packet when the connection limit or host
connection limit has been exceeded.If this is a TCP packet which is dropped during TCP
connection establishment phase due to connection limit, the drop reason 'TCP connection
limit reached' is also reported.
Recommendation:
If this is incrementing rapidly, check the syslogs to determine which host's
connection limit is reached.The connection limit may need to be increased if the traffic
is normal, or the host may be under attack.
Syslogs:
201011
---------------------------------------------------------------Name: tcp_xmit_partial
TCP retransmission partial:
This counter is incremented and the packet is dropped when check-retransmission
feature is enabled and a partial TCP retransmission was received.
Recommendations:
None
Syslogs:
None
---------------------------------------------------------------Name: tcpnorm-rexmit-bad
TCP bad retransmission:
This counter is incremented and the packet is dropped when check-retransmission
feature is enabled and a TCP retransmission with different data from the original packet
was received.
Recommendations:
None
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-26
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Syslogs:
None
---------------------------------------------------------------Name: tcpnorm-win-variation
TCP unexpected window size variation:
This counter is incremented and the packet is dropped when window size advertised by
TCP endpoint is drastically changed without accepting that much data.
Recommendations:
In order to allow such packet, use the window-variation configuration under tcp-map.
Syslogs:
None
---------------------------------------------------------------Name: rate-exceeded
QoS rate exceeded:
This counter is incremented when rate-limiting (policing) is configured on an
egress/ingress interface and the egress/ingress traffic rate exceeds the burst rate
configured.The counter is incremented for each packet dropped.
Recommendation:
Investigate and determine why the rate of traffic leaving/entering the interface is
higher than the configured rate.This may be normal, or could be an indication of virus or
attempted attack.
Syslogs:
None.
---------------------------------------------------------------Name: queue-removed
Rate-limiter queued packet dropped:
When QoS config is changed or removed, the existing packets in the output queues
awaiting transmission are dropped and this counter is incremented.
Recommendation:
Under normal conditions, this may be seen when the QoS configuration has been changed
by the user.If this occurs when no changes to QoS config were performed, please contact
Cisco Technical Assistance Center (TAC).
Syslogs:
None.
---------------------------------------------------------------Name: bad-crypto
Bad crypto return in packet:
This counter will increment when the appliance attempts to perform a crypto operation
on a packet and the crypto operation fails.This is not a normal condition and could
indicate possible software or hardware problems with the appliance
Recommendation:
If you are receiving many bad crypto indications your appliance may need servicing.You
should enable syslog 402123 to determine whether the crypto errors are hardware or
software errors.You can also check the error counter in the global IPsec statistics with
the 'show ipsec stats' CLI command.If the IPsec SA which is triggering these errors is
known, the SA statistics from the 'show ipsec sa detail' command will also be useful in
diagnosing the problem.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-27
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Syslogs:
402123
---------------------------------------------------------------Name: ctm-error
CTM returned error:
This counter will increment when the appliance attempts to perform a crypto operation
on a packet and the crypto operation fails.This is not a normal condition and could
indicate possible software or hardware problems with the appliance.
Recommendation:
If you are receiving many bad crypto indications your appliance may need servicing.You
should enable syslog 402123 to determine whether the crypto errors are hardware or
software errors.You can also check the error counter in the global IPsec statistics with
the 'show ipsec stats' CLI command.If the IPsec SA which is triggering these errors is
known, the SA statistics from the 'show ipsec sa detail' command will also be useful in
diagnosing the problem.
Syslogs:
402123
---------------------------------------------------------------Name: send-ctm-error
Send to CTM returned error:
This counter is obsolete in the appliance and should never increment.
Recommendation:
None
Syslogs:
None
---------------------------------------------------------------Name: security-failed
Early security checks failed:
This counter is incremented and packet is dropped when the security appliance :
- receives an IPv4 multicast packet when the packets multicast MAC address doesn't
match the packets multicast destination IP address
- receives an IPv6 or IPv4 teardrop fragment containing either small offset or
fragment overlapping
- receives an IPv4 packet that matches an IP audit (IPS) signature
Recommendation:
Contact the remote peer administrator or escalate this issue according to your
security policy
For detailed description and syslogs for IP audit attack checks please refer the ip
audit signature section of command reference guide
Syslogs:
106020
400xx in case of ip audit checks
---------------------------------------------------------------Name: sp-security-failed
Slowpath security checks failed:
This counter is incremented and packet is dropped when the security appliance is:
1) In routed mode receives a through-the-box:
- L2 broadcast packet
- IPv4 packet with destination IP address equal to 0.0.0.0
- IPv4 packet with source IP address equal to 0.0.0.0
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-28
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
2) In routed or transparent mode and receives a through-the-box IPv4 packet with:
- first octet of the source IP address equal to zero
- source IP address equal to the loopback IP address
- network part of source IP address equal to all 0's
- network part of the source IP address equal to all 1's
- source IP address host part equal to all 0's or all 1's
3) In routed or transparent mode and receives an IPv4 or IPv6 packet with same source
and destination IP addresses
Recommendation:
1 and 2) Determine if an external user is trying to compromise the protected
network.Check for misconfigured clients.
3) If this message counter is incrementing rapidly, an attack may be in progress.Use
the packet capture feature to capture type asp packets, and check the source MAC address
in the packet to see where they are coming from.
Syslogs:
1 and 2) 106016
3) 106017
---------------------------------------------------------------Name: ipv6_sp-security-failed
IPv6 slowpath security checks failed:
This counter is incremented and the packet is dropped for one of the following
reasons:
1) IPv6 through-the-box packet with identical source and destination address.
2) IPv6 through-the-box packet with linklocal source or destination address.
3) IPv6 through-the-box packet with multicast destination address.
Recommendation:
These packets could indicate malicious activity, or could be the result of a
misconfigured IPv6 host.Use the packet capture feature to capture type asp packets, and
use the source MAC address to identify the source.
Syslogs:
For identical source and destination address, syslog 106016, else none.
---------------------------------------------------------------Name: invalid-ip-option
IP option drop:
This counter is incremented when any unicast packet with ip options or a multicast
packet with ip-options that have not been configured to be accepted, is received by the
security appliance.The packet is dropped.
Recommendation:
Investigate why a packet with ip options is being sent by the sender.
Syslogs:
None.
---------------------------------------------------------------Name: lu-invalid-pkt
Invalid LU packet:
Standby unit received a corrupted Logical Update packet.
Recommendation:
The packet corruption could be caused by a bad cable, interface card, line noise, or
software defect.If the interface appears to be functioning properly, then report the
problem to Cisco TAC.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-29
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Syslogs:
None
---------------------------------------------------------------Name: fo-standby
Dropped by standby unit:
If a through-the-box packet arrives at an appliance or context in a Standby state and
a flow is created, the packet is dropped and the flow removed.This counter will increment
each time a packet is dropped in this manner.
Recommendation:
This counter should never be incrementing on the Active appliance or context.However,
it is normal to see it increment on the Standby appliance or context.
Syslogs:
302014, 302016, 302018
---------------------------------------------------------------Name: dst-l2_lookup-fail
Dst MAC L2 Lookup Failed:
This counter will increment when the appliance is configured for transparent mode and
the appliance does a Layer 2 destination MAC address lookup which fails.Upon the lookup
failure, the appliance will begin the destination MAC discovery process and attempt to
find the location of the host via ARP and/or ICMP messages.
Recommendation:
This is a normal condition when the appliance is configured for transparent mode.You
can also execute (show mac-address-table) to list the L2 MAC address locations currently
discovered by the appliance.
Syslogs:
None
---------------------------------------------------------------Name: l2_same-lan-port
L2 Src/Dst same LAN port:
This counter will increment when the appliance/context is configured for transparent
mode and the appliance determines that the destination interface's L2 MAC address is the
same as its ingress interface.
Recommendation:
This is a normal condition when the appliance/context is configured for transparent
mode.Since the appliance interface is operating in promiscuous mode, the appliance/context
receives all packets on the local LAN seqment.
Syslogs:
None
---------------------------------------------------------------Name: flow-expired
Expired flow:
This counter is incremented when the security appliance tries to inject a new or
cached packet belonging to a flow that has already expired.It is also incremented when the
appliance attempts to send an rst on a tcp flow that has already expired or when a packet
returns from IDS blade but the flow had already expired.The packet is dropped
Recommendation:
If valid applications are getting pre-empted, investigate if a longer timeout is
needed.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-30
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Syslogs:
None.
---------------------------------------------------------------Name: inspect-icmp-out-of-app-id
ICMP Inspect out of App ID:
This counter will increment when the ICMP inspection engine fails to allocate an 'App
ID' data structure.The structure is used to store the sequence number of the ICMP packet.
Recommendation:
Check the system memory usage.This event normally happens when the system runs short
of memory.
Syslogs:
None.
---------------------------------------------------------------Name: inspect-icmp-bad-code
ICMP Inspect bad icmp code:
This counter will increment when the ICMP code in the ICMP echo request or reply
message is non-zero.
Recommendation:
No action required if it is an intermittent event.If the cause is an attack, you can
deny the host using the ACLs.
Syslogs:
313009.
---------------------------------------------------------------Name: inspect-icmp-seq-num-not-matched
ICMP Inspect seq num not matched:
This counter will increment when the sequence number in the ICMP echo reply message
does not match any ICMP echo message that passed across the appliance earlier on the same
connection.
Recommendation:
No action required if it is an intermittent event.If the cause is an attack, you can
deny the host using the ACLs.
Syslogs:
313004
---------------------------------------------------------------Name: inspect-icmp-error-no-existing-conn
ICMP Error Inspect no existing conn:
This counter will increment when the appliance is not able to find any established
connection related to the frame embedded in the ICMP error message.
Recommendation:
No action required if it is an intermittent event.If the cause is an attack, you can
deny the host using the ACLs.
Syslogs:
313005
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-31
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: inspect-icmp-error-nat64-error
ICMP NAT64 Error Inspect XLATE Error:
This counter will increment when the appliance is unable to translate ICMP error
messages between IPv6 and IPv4.
Recommendation:
No action required if it is an intermittent event.If the cause is an attack, you can
deny the host using the ACLs.
Syslogs:
313005
---------------------------------------------------------------Name: inspect-icmp-nat64-frag
ICMP NAT64 Inspect Fragmentation Error:
This counter will increment when the appliance is unable to translate ICMP messages
between IPv6 and IPv4 due to fragmentation.Per RFC-6145, ICMP packet fragments will not be
translated.
Recommendation:
No action required.
Syslogs:
313005
---------------------------------------------------------------Name: inspect-icmp-error-different-embedded-conn
ICMP Error Inspect different embedded conn:
This counter will increment when the frame embedded in the ICMP error message does not
match the established connection that has been identified when the ICMP connection is
created.
Recommendation:
No action required if it is an intermittent event.If the cause is an attack, you can
deny the host using the ACLs.
Syslogs:
313005
---------------------------------------------------------------Name: inspect-icmpv6-error-invalid-pak
ICMPv6 Error Inspect invalid packet:
This counter will increment when the appliance detects an invalid frame embedded in
the ICMPv6 packet.This check is the same as that on IPv6 packets.Examples: Incomplete IPv6
header; malformed IPv6 Next Header; etc.
Recommendation:
No action required.
Syslogs:
None.
---------------------------------------------------------------Name: inspect-icmpv6-error-no-existing-conn
ICMPv6 Error Inspect no existing conn:
This counter will increment when the appliance is not able to find any established
connection related to the frame embedded in the ICMPv6 error message.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-32
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Recommendation:
No action required if it is an intermittent event.If the cause is an attack, you can
deny the host using the ACLs.
Syslogs:
313005
---------------------------------------------------------------Name: inspect-dns-invalid-pak
DNS Inspect invalid packet:
This counter will increment when the appliance detects an invalid DNS packet.Examples:
A DNS packet with no DNS header; the number of DNS resource records not matching the
counter in the header; etc.
Recommendation:
No action required.
Syslogs:
None.
---------------------------------------------------------------Name: inspect-dns-invalid-domain-label
DNS Inspect invalid domain label:
This counter will increment when the appliance detects an invalid DNS domain name or
label.DNS domain name and label is checked per RFC 1035.
Recommendation:
No action required.If the domain name and label check is not desired, disable the
protocol-enforcement parameter in the DNS inspection policy-map (in supported releases).
Syslogs:
None.
---------------------------------------------------------------Name: inspect-dns-pak-too-long
DNS Inspect packet too long:
This counter is incremented when the length of the DNS message exceeds the configured
maximum allowed value.
Recommendation:
No action required.If DNS message length checking is not desired, enable DNS
inspection without the 'maximum-length' option, or disable the 'message-length maximum'
parameter in the DNS inspection policy-map (in supported releases).
Syslogs:
410001
---------------------------------------------------------------Name: inspect-dns-out-of-app-id
DNS Inspect out of App ID:
This counter will increment when the DNS inspection engine fails to allocate a data
structure to store the identification of the DNS message.
Recommendation:
Check the system memory usage.This event normally happens when the system runs short
of memory.
Syslogs:
None.
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-33
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: inspect-dns-id-not-matched
DNS Inspect ID not matched:
This counter will increment when the identification of the DNS response message does
not match any DNS queries that passed across the appliance earlier on the same connection.
Recommendation:
No action required if it is an intermittent event.If the cause is an attack, you can
deny the host using the ACLs.
Syslogs:
None.
---------------------------------------------------------------Name: dns-guard-out-of-app-id
DNS Guard out of App ID:
This counter will increment when the DNS Guard function fails to allocate a data
structure to store the identification of the DNS message.
Recommendation:
Check the system memory usage.This event normally happens when the system runs short
of memory.
Syslogs:
None.
---------------------------------------------------------------Name: dns-guard-id-not-matched
DNS Guard ID not matched:
This counter will increment when the identification of the DNS response message does
not match any DNS queries that passed across the appliance earlier on the same
connection.This counter will increment by the DNS Guard function.
Recommendation:
No action required if it is an intermittent event.If the cause is an attack, you can
deny the host using the ACLs.
Syslogs:
None.
---------------------------------------------------------------Name: inspect-rtp-invalid-length
Invalid RTP Packet length:
This counter will increment when the UDP packet length is less than the size of the
RTP header.
Recommendation:
No action required.A capture can be used to figure out which RTP source is sending the
incorrect packets and you can deny the host using the ACLs.
Syslogs:
None.
---------------------------------------------------------------Name: inspect-rtp-invalid-version
Invalid RTP Version field:
This counter will increment when the RTP version field contains a version other than
2.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-34
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Recommendation:
The RTP source in your network does not seem to be sending RTP packets conformant with
the RFC 1889.The reason for this has to be identified and you can deny the host using ACLs
if required.
Syslogs:
431001.
---------------------------------------------------------------Name: inspect-rtp-invalid-payload-type
Invalid RTP Payload type field:
This counter will increment when the RTP payload type field does not contain an audio
payload type when the signalling channel negotiated an audio media type for this RTP
secondary connection.The counter increments similarly for the video payload type.
Recommendation:
The RTP source in your network is using the audio RTP secondary connection to send
video or vice versa.If you wish to prevent this you can deny the host using ACLs.
Syslogs:
431001.
---------------------------------------------------------------Name: inspect-rtp-ssrc-mismatch
Invalid RTP Synchronization Source field:
This counter will increment when the RTP SSRC field in the packet does not match the
SSRC which the inspect has been seeing from this RTP source in all the RTP packets.
Recommendation:
This could be because the RTP source in your network is rebooting and hence changing
the SSRC or it could be because of another host on your network trying to use the opened
secondary RTP connections on the firewall to send RTP packets.This should be investigated
further to confirm if there is a problem.
Syslogs:
431001.
---------------------------------------------------------------Name: inspect-rtp-sequence-num-outofrange
RTP Sequence number out of range:
This counter will increment when the RTP sequence number in the packet is not in the
range expected by the inspect.
Recommendation:
No action is required because the inspect tries to recover and start tracking from a
new sequence number after a lapse in the sequence numbers from the RTP source.
Syslogs:
431001.
---------------------------------------------------------------Name: inspect-rtp-max-outofseq-paks-probation
RTP out of sequence packets in probation period:
This counter will increment when the out of sequence packets when the RTP source is
being validated exceeds 20.During the probation period, the inspect looks for 5
in-sequence packets to consider the source validated.
Recommendation:
Check the RTP source to see why the first few packets do not come in sequence and
correct it.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-35
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Syslogs:
431001.
---------------------------------------------------------------Name: inspect-rtcp-invalid-length
Invalid RTCP Packet length:
This counter will increment when the UDP packet length is less than the size of the
RTCP header.
Recommendation:
No action required.A capture can be used to figure out which RTP source is sending the
incorrect packets and you can deny the host using the ACLs.
Syslogs:
None.
---------------------------------------------------------------Name: inspect-rtcp-invalid-version
Invalid RTCP Version field:
This counter will increment when the RTCP version field contains a version other than
2.
Recommendation:
The RTP source in your network does not seem to be sending RTCP packets conformant
with the RFC 1889.The reason for this has to be identified and you can deny the host using
ACLs if required.
Syslogs:
431002.
---------------------------------------------------------------Name: inspect-rtcp-invalid-payload-type
Invalid RTCP Payload type field:
This counter will increment when the RTCP payload type field does not contain the
values 200 to 204.
Recommendation:
The RTP source should be validated to see why it is sending payload types outside of
the range recommended by the RFC 1889.
Syslogs:
431002.
---------------------------------------------------------------Name: cxsc-request
Flow terminated by CXSC:
This reason is given for terminating a flow as requested by CXSC module.Recommendations:
Check syslogs and alerts on CXSC module.
Syslogs: 429002
---------------------------------------------------------------Name: cxsc-fail
CXSC config removed for connection:
This counter is incremented and the packet is dropped when CXSC configuration is not
found for a particular connection.
Recommendations:
check if any configuration changes have been done for CXSC.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-36
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Syslogs:
None
---------------------------------------------------------------Name: cxsc-fail-close
CXSC fail-close:
This reason is given for terminating a flow since CXSC card is down and fail-close
option was used with CXSC action.
Recommendations:
Check and bring up CXSC card.
Syslogs:
429001
---------------------------------------------------------------Name: cxsc-bad-tlv-received
CXSC Module requested drop:
This counter is incremented and the packet is dropped as requested by CXSC module when
the packet has bad TLV's.
Recommendations:
Check syslogs and alerts on CXSC module.
Syslogs:
None
---------------------------------------------------------------Name: cxsc-ha-request
CXSC HA replication drop:
This counter is incremented when the security appliance receives a CXSC HA request
packet, but could not process it and the packet is dropped.
Recommendation:
This could happen occasionally when CXSC does not have the latest ASA HA state, like
right after ASA HA state change.If the counter is constantly increasing however, then it
can be because CXSC and ASA are out of sync.If that happens, contact Cisco TAC for
assistance.
Syslogs:
None.
---------------------------------------------------------------Name: cxsc-invalid-encap
CXSC invalid header drop:
This counter is incremented when the security appliance receives a CXSC packet with
invalid messsage header, and the packet is dropped.
Recommendation:
This should not happen.Contact Cisco TAC for assistance.
Syslogs:
None.
---------------------------------------------------------------Name: cxsc-malformed-packet
CXSC Module requested drop:
This counter is incremented and the packet is dropped as requested by CXSC module when
the packet is malformed.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-37
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Recommendations:
Check syslogs and alerts on CXSC module.
Syslogs:
None
---------------------------------------------------------------Name: ips-request
IPS Module requested drop:
This counter is incremented and the packet is dropped as requested by IPS module when
the packet matches a signature on the IPS engine.
Recommendations:
Check syslogs and alerts on IPS module.
Syslogs:
420002
---------------------------------------------------------------Name: ips-fail-close
IPS card is down:
This counter is incremented and the packet is dropped when IPS card is down and
fail-close option was used in IPS inspection.
Recommendations:
Check and bring up the IPS card.
Syslogs:
420001
---------------------------------------------------------------Name: ips-fail
IPS config removed for connection:
This counter is incremented and the packet is dropped when IPS configuration is not
found for a particular connection.
Recommendations:
check if any configuration changes have been done for IPS.
Syslogs:
None
---------------------------------------------------------------Name: ips-no-ipv6
Executing IPS software does not support IPv6:
This counter is incremented when an IPv6 packet, configured to be directed toward IPS
SSM, is discarded since the software executing on IPS SSM card does not support IPv6.
Recommendations:
Upgrade the IPS software to version 6.2 or later.
Syslogs:
None
---------------------------------------------------------------Name: l2_acl
FP L2 rule drop:
This counter will increment when the appliance denies a packet due to a layer-2 ACL.By
default, in routed mode the appliance will PERMIT:
1) IPv4 packets
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-38
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
2)
3)
4)
5)
6)
IPv6 packets
ARP packets
L2 Destination MAC of FFFF:FFFF:FFFF (broadcast)
IPv4 MCAST packet with destination L2 of 0100:5E00:0000-0100:5EFE:FFFF
IPv6 MCAST packet with destination L2 of 3333:0000:0000-3333:FFFF:FFFF
By default, in Transparent mode permits the routed mode ACL and PERMITS:
1) BPDU packets with destination L2 of 0100:0CCC:CCCD
2) Appletalk packets with destination L2 of 0900:0700:0000-0900:07FF:FFFF
The user can also configure ethertype ACL(s) and apply them to an interface to permit
other types of L2 traffic.
The default L2 ACL can be seen in routed and transparent mode with the show asp table
classify domain permit command.
Note - Packets permitted by L2 ACLs may still be dropped by L3-L4 ACLs.
Recommendation:
If your running the appliance/context in transparent mode and your non-IP packets are
dropped by the appliance, you can configure an ethertype ACL and apply the ACL to an
access group.Note - the appliance ethertype CLI only supports protocol types and not L2
destination MAC addresses.
Syslogs:
106026, 106027
---------------------------------------------------------------Name: intercept-unexpected
Intercept unexpected packet:
Either received data from client while waiting for SYNACK from server or received a
packet which cannot be handled in a particular state of TCP intercept.
Recommendation:
If this drop is causing the connection to fail, please have a sniffer trace of the
client and server side of the connection while reporting the issue.The box could be under
attack and the sniffer traces or capture would help narrowing down the culprit.
Syslogs:
None.
---------------------------------------------------------------Name: no-mcast-entry
FP no mcast entry:
A packet has arrived that matches a multicast flow, but the multicast service is no
longer enabled, or was re-enabled after the flow was built.
- OR A multicast entry change has been detected after a packet was punted to the CP, and
the NP can no longer forward the packet since no entry is present.
Recommendation:
Reenable multicast if it is disabled.
- OR No action required.
Syslogs:
None
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-39
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: no-mcast-intrf
FP no mcast output intrf:
All output interfaces have been removed from the multicast entry.
- OR The multicast packet could not be forwarded.
Recommendation:
Verify that there are no longer any receivers for this group.
- OR Verify that a flow exists for this packet.
Syslogs:
None
---------------------------------------------------------------Name: fragment-reassembly-failed
Fragment reassembly failed:
This counter is incremented when the appliance fails to reassemble a chain of
fragmented packets into a single packet.All the fragment packets in the chain are
dropped.This is most probably because of failure while allocating memory for the
reassembled packet.
Recommendation:
Use the show blocks command to monitor the current block memory.
Syslogs:
None
---------------------------------------------------------------Name: ifc-classify
Virtual firewall classification failed:
A packet arrived on a shared interface, but failed to classify to any specific context
interface.
Recommendation:
For software versions without customizable mac-address support, use the "global" or
"static" command to specify the IPv4 addresses that belong to each context interface.For
software versions with customizable mac-address support, enable "mac-address auto" in
system context.Alternatively, configure unique MAC addresses for each context interfaces
residing over a shared interface with "mac-address" command under each context interface
submode.
Syslogs:
None.
---------------------------------------------------------------Name: connection-lock
Connection locking failed:
While the packet was waiting for processing, the flow that would be usedwas destroyed.
Recommendation:
The message could occur from user interface command to remove connection in an device
that is actively processing packet.Otherwise, investigate flow drop counter.This message
may occur if the flow are forced dropped from error.
Syslogs:
None.
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-40
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: interface-down
Interface is down:
This counter will increment for each packet received on an interface that is shutdown
via the 'shutdown' interface sub-mode command.For ingress traffic, the packet is dropped
after security context classification and if the interface associated with the context is
shut down.For egress traffic, the packet is dropped when the egress interface is shut
down.
Recommendation:
No action required.
Syslogs:
None.
---------------------------------------------------------------Name: invalid-app-length
Invalid App length:
This counter will increment when the appliance detects an invalid length of the Layer
7 payload in the packet.Currently, it counts the drops by the DNS Guard function
only.Example: Incomplete DNS header.
Recommendation:
No action required.
Syslogs:
None.
---------------------------------------------------------------Name: loopback-buffer-full
Loopback buffer full:
This counter is incremented and the packet is dropped when packets are sent from one
context of the appliance to another context through a shared interface and there is no
buffer space in loopback queue.
Recommendations:
Check system CPU to make sure it is not overloaded.
Syslogs:
None
---------------------------------------------------------------Name: non-ip-pkt-in-routed-mode
Non-IP packet received in routed mode:
This counter will increment when the appliance receives a packet which is not IPv4,
IPv6 or ARP and the appliance/context is configured for routed mode.In normal operation
such packets should be dropped by the default L2 ACL configuration.
Recommendation:
This indicates that a software error should be reported to the Cisco TAC.
Syslogs:
106026, 106027
---------------------------------------------------------------Name: host-move-pkt
FP host move packet:
This counter will increment when the appliance/context is configured for transparent
and source interface of a known L2 MAC address is detected on a different interface.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-41
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Recommendation:
This indicates that a host has been moved from one interface (i.e. LAN segment) to
another.This condition is normal while in transparent mode if the host has in fact been
moved.However, if the host move toggles back and forth between interfaces, a network loop
may be present.
Syslogs:
412001, 412002, 322001
---------------------------------------------------------------Name: tfw-no-mgmt-ip-config
No management IP address configured for TFW:
This counter is incremented when the security appliance receives an IP packet in
transparent mode and has no management IP address defined.The packet is dropped.
Recommendation:
Configure the device with management IP address and mask values.
Syslogs:
322004
---------------------------------------------------------------Name: shunned
Packet shunned:
This counter will increment when a packet is received which has a source IP address
that matches a host in the shun database.
Recommendation:
No action required.
Syslogs:
401004
---------------------------------------------------------------Name: rm-conn-limit
RM connection limit reached:
This counter is incremented when the maximum number of connections for a context or
the system has been reached and a new connection is attempted.
Recommendation:
The device administrator can use the commands 'show resource usage' and 'show resource
usage system' to view context and system resource limits and 'Denied' counts and adjust
resource limits if desired.
Syslogs:
321001
---------------------------------------------------------------Name: rm-conn-rate-limit
RM connection rate limit reached:
This counter is incremented when the maximum connection rate for a context or the
system has been reached and a new connection is attempted.
Recommendation:
The device administrator can use the commands 'show resource usage' and 'show resource
usage system' to view context and system resource limits and 'Denied' counts and adjust
resource limits if desired.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-42
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Syslogs:
321002
---------------------------------------------------------------Name: np-socket-closed
Dropped pending packets in a closed socket:
If a socket is abruptly closed, by the user or software, then any pending packets in
the pipeline for that socket are also dropped.This counter is incremented for each packet
in the pipeline that is dropped.
Recommendation:
It is common to see this counter increment as part of normal operation.However, if the
counter is rapidly incrementing and there is a major malfunction of socket-based
applications, then this may be caused by a software defect.Contact the Cisco TAC to
investigate the issue further.
Syslogs:
None.
---------------------------------------------------------------Name: mp-pf-queue-full
Port Forwarding Queue Is Full:
This counter is incremented when the Port Forwarding application's internal queue
is full and it receives another packet for transmission.
Recommendation:
This indicates that a software error should be reported to the Cisco TAC.
Syslogs:
None.
---------------------------------------------------------------Name: ssm-dpp-invalid
Invalid packet received from SSM card:
This counter only applies to the ASA 5500 series adaptive security appliance.It is
incremented when the security appliance receives a packet from the internal data plane
interface but could not find the proper driver to parse it.
Recommendation:
The data plane driver is dynamically registered depending on the type of SSM installed
in the system.So this could happen if data plane packets arrive before the security
appliance is fully initialized.This counter is usually 0.You should not be concerned if
there are a few drops.However, if this counter keeps rising when system is up and running,
it may indicate a problem.Please contact Cisco Technical Assistance Center (TAC) if you
suspect it affects the normal operation of your the security appliance.
Syslogs:
None.
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-43
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: ssm-asdp-invalid
Invalid ASDP packet received from SSM card:
This counter only applies to the ASA 5500 series adaptive security appliance.It is
incremented when the security appliance receives an ASA SSM Dataplane Protocol (ASDP)
packet from the internal data plane interface, but the driver encountered a problem when
parsing the packet.ASDP is a protocol used by the security appliance to communicate with
certain types of SSMs, like the CSC-SSM.This could happen for various reasons, for example
ASDP protocol version is not compatible between the security appliance and SSM, in which
case the card manager process in the control plane issues system messages and CLI warnings
to inform you of the proper version of images that need to be installed; the ASDP packet
belongs to a connection that has already been terminated on the security appliance; the
security appliance has switched to the standby state (if failover is enable) in which case
it can no longer pass traffic; or any unexpected value when parsing the ASDP header and
payload.
Recommendation:
The counter is usually 0 or a very small number.But user should not be concerned if
the counter slowly increases over the time, especially when there has been a failover, or
you have manually cleared connections on the security appliance via CLI.If the counter
increases drastically during normal operation, please contact Cisco Technical Assistance
Center (TAC).
Syslogs:
421003
421004
---------------------------------------------------------------Name: ssm-app-request
Service module requested drop:
This counter only applies to the ASA 5500 series adaptive security appliance.It is
incremented when the application running on the SSM requests the security appliance to
drop a packet.
Recommendation:
More information could be obtained by querying the incident report or system messages
generated by the SSM itself.Please consult the documentation that comes with your SSM for
instructions.
Syslogs:
None.
---------------------------------------------------------------Name: ssm-app-fail
Service module is down:
This counter only applies to the ASA 5500 series adaptive security appliance.It is
incremented when a packet to be inspected by the SSM is dropped because the SSM has become
unavailable.Some examples of this are: software or hardware failure, software or signature
upgrade, or the module being shut down.
Recommendation:
The card manager process running in the security appliance control plane would have
issued system messages and CLI warning to inform you of the failure.Please consult the
documentation that comes with the SSM to trouble shoot the SSM failure.Contact Cisco
Technical Assistance Center (TAC) if needed.
Syslog:
None.
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-44
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: wccp-return-no-route
No route to host for WCCP returned packet:
This counter is incremented when a packet is returned from the Cache Engine and the
security appliance does not find a route for the original source of the packet.
Recommendation:
Verify that a route exists for the source ip address of the packet returned from Cache
Engine.
Syslogs:
None.
---------------------------------------------------------------Name: wccp-redirect-no-route
No route to Cache Engine:
This counter is incremented when the security appliance tries to redirect a packet and
does not find a route to the Cache Engine.
Recommendation:
Verify that a route exists for Cache Engine.
Syslogs:
None.
---------------------------------------------------------------Name: telnet-not-permitted
Telnet not permitted on least secure interface:
This counter is incremented and packet is dropped when the appliance receives a TCP
SYN packet attempting to establish a TELNET session to the appliance and that packet was
received on the least secure interface.
Recommendation:
To establish a Telnet session to the appliance via the least secure interface, first
establish an IPsec tunnel to that interface and then connect the Telnet session over that
tunnel.
Syslogs:
402117
---------------------------------------------------------------Name: ipv6-sp-security-failed
IPv6 slowpath security checks failed:
This counter is incremented and the packet is dropped for one of the following
reasons:
1) IPv6 through-the-box packet with identical source and destination address.
2) IPv6 through-the-box packet with linklocal source or destination address.
3) IPv6 through-the-box packet with multicast destination address.
Recommendation:
These packets could indicate malicious activity, or could be the result of a
misconfigured IPv6 host.Use the packet capture feature to capture type asp packets, and
use the source MAC address to identify the source.
Syslogs:
For identical source and destination address, syslog 106016, else none.
---------------------------------------------------------------Name: ipv6-eh-inspect-failed
IPv6 extension header is detected and denied:
This counter is incremented and packet is dropped when the appliance receives a IPv6
packet but extension header could not be inspected due to memory allocation failed.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-45
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Recommendation:
Also check 'show memory' output to make sure appliance has enough memory to operate.
Syslogs:
None
---------------------------------------------------------------Name: ipv6-bad-eh
Bad IPv6 extension header is detected and denied:
This counter is incremented and packet is dropped when the appliance receives a IPv6
packet with bad extension header.
Recommendation:
Check 'verify-header type' of 'parameters' in 'policy-map type ipv6'.Remove 'verify-header
type' if the header conformance can be skipped.
Syslogs:
325005
---------------------------------------------------------------Name: ipv6-bad-eh-order
IPv6 extension headers not in proper order is detected and denied:
This counter is incremented and packet is dropped when the appliance receives a IPv6
packet with extension headers not in proper order.
Recommendation:
Check 'verify-header order' of 'parameters' in 'policy-map type ipv6'.Remove
'verify-header order' if the header order can be arbitrary.
Syslogs:
325005
---------------------------------------------------------------Name: ipv6-mobility-denied
IPv6 mobility extension header is denied by user configuration:
This counter is incremented and packet is dropped when the appliance receives a IPv6
packet with mobility extension header which is denied by the user configuration rule.
Recommendation:
Check action of 'match header mobility' in 'policy-map type ipv6'.Remove action 'drop'
if mobility should be allowed.
Syslogs:
325004
---------------------------------------------------------------Name: ipv6-mobility-type-denied
IPv6 mobility type extension header is denied by user configuration:
This counter is incremented and packet is dropped when the appliance receives a IPv6
packet with mobility type extension header which is denied by the user configuration rule.
Recommendation:
Check action of 'match header mobility type' in 'policy-map type ipv6'.Remove action
'drop' if mobility should be allowed.
Syslogs:
325004
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-46
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: ipv6-fragment-denied
IPv6 fragmentation extension header is denied by user configuration:
This counter is incremented and packet is dropped when the appliance receives a IPv6
packet with fragmentation extension header which is denied by the user configuration rule.
Recommendation:
Check action of 'match header fragmentation' in 'policy-map type ipv6'.Remove action
'drop' if fragmentation should be allowed.
Syslogs:
325004
---------------------------------------------------------------Name: ipv6-routing-address-denied
IPv6 routing extension header exceeding configured maximum routing addresses is denied:
routing count is denied by IPv6 extension header configuration:
This counter is incremented and packet is dropped when the appliance receives a IPv6
packet with too many routing addresses in routing extension header whichis denied by the
user configuration rule.
Recommendation:
Check action of 'match header routing-address count' in 'policy-map type ipv6'.Remove
action 'drop' or increase <count> if <count> routing addresses should be allowed.
Syslogs:
325004
---------------------------------------------------------------Name: ipv6-routing-type-denied
routing type is denied by IPv6 extension header configuration:
This counter is incremented and packet is dropped when the appliance receives a IPv6
packet with routing type extension header which is denied by the user configuration rule.
Recommendation:
Check action of 'match header routing-type' in 'policy-map type ipv6'.Remove action
'drop' if routing-type should be allowed.
Syslogs:
325004
---------------------------------------------------------------Name: ipv6-eh-count-denied
IPv6 extension headers exceeding configured maximum extension headers is denied:
extension header count is denied by IPv6 extension header configuration:
This counter is incremented and packet is dropped when the appliance receives a IPv6
packet with fragmentation extension header which is denied by the user configuration rule.
Recommendation:
Check action of 'match header fragmentation' in 'policy-map type ipv6'.Remove action
'drop' if fragmentation should be allowed.
Syslogs:
325004
---------------------------------------------------------------Name: ipv6-dest-option-denied
destination-option is denied by IPv6 extension header configuration:
This counter is incremented and packet is dropped when the appliance receives a IPv6
packet with destination-option extension header which is denied by the user configuration
rule.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-47
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Recommendation:
Check action of 'match header destination-option' in 'policy-map type ipv6'.Remove
action 'drop' if destination-option should be allowed.
Syslogs:
325004
---------------------------------------------------------------Name: ipv6-hop-by-hop-denied
IPv6 hop-by-hp extension header is denied by user configuration:
This counter is incremented and packet is dropped when the appliance receives a IPv6
packet with hop-by-hop extension header which is denied by the user configuration rule.
Recommendation:
Check action of 'match header hop-by-hop' in 'policy-map type ipv6'.Remove action
'drop' if hop-by-hop should be allowed.
Syslogs:
325004
---------------------------------------------------------------Name: ipv6-esp-denied
ESP is denied by IPv6 extension header configuration:
This counter is incremented and packet is dropped when the appliance receives a IPv6
packet with ESP extension header which is denied by the user configuration rule.
Recommendation:
Check action of 'match header esp' in 'policy-map type ipv6'.Remove action 'drop' if
ESP should be allowed.
Syslogs:
325004
---------------------------------------------------------------Name: ipv6-ah-denied
AH is denied by IPv6 extension header configuration:
This counter is incremented and packet is dropped when the appliance receives a IPv6
packet with AH extension header which is denied by the user configuration rule.
Recommendation:
Check action of 'match header ah' in 'policy-map type ipv6'.Remove action 'drop' if AH
should be allowed.
Syslogs:
325004
---------------------------------------------------------------Name: channel-closed
Data path channel closed:
This counter is incremented when the data path channel has been closed before the
packet attempts to be sent out through this channel.
Recommendation:
It is normal in multi-processor system when one processor closes the channel (e.g.,
via CLI), and another processor tries to send a packet through the channel.
Syslogs:
None
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-48
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: dispatch-decode-err
Diapatch decode error:
This counter is incremented when the packet dispatch module finds an error when
decoding the frame.An example is an unsupported packet frame.
Recommendation:
Verify the packet format with a capture tool.
Syslogs:
None
---------------------------------------------------------------Name: cp-event-queue-error
CP event queue error:
This counter is incremented when a CP event queue enqueue attempt has failed due to
queue length exceeded.This queue is used by the data-path to punt packets to the
control-point for additional processing.This condition is only possible in a
multi-processor enviroment.The module that attempted to enqueue the packet may issue its
own packet specific drop in response to this error.
Recommendation:
While this error does indicate a failure to completely process a packet, it may not
adversely affect the connection.If the condition persists or connections are adversely
affected contact the Cisco Technical Assistance Center (TAC).
Syslogs:
None
---------------------------------------------------------------Name: host-limit
Host limit exceeded:
This counter is incremented when the licensed host limit is exceeded.
Recommendation:
None.
Syslogs:
450001
---------------------------------------------------------------Name: cp-syslog-event-queue-error
CP syslog event queue error:
This counter is incremented when a CP syslog event queue enqueue attempt has failed
due to queue length exceeded.This queue is used by the data-path to punt logging events to
the control-point when logging destinations other than to a UDP server are configured.This
condition is only possible in a multi-processor environment.
Recommendation:
While this error does indicate a failure to completely process a logging event,
logging to UDP servers should not be affected.If the condition persists consider lowering
the logging level and/or removing logging destinations or contact the Cisco Technical
Assistance Center (TAC).
Syslogs:
None
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-49
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: dispatch-block-alloc
Dispatch block unavailable:
This counter is incremented and the packet is dropped when the appliance could not
allocate a core local block to process the packet that was received by the interface
driver.
Recommendation:
This may be due to packets being queued for later processing or a block leak.Core
local blocks may also not be available if they are not replenished on time by the free
resource rebalancing logic.Please use "show blocks core" to further diagnose the problem.
Syslogs:
None
---------------------------------------------------------------Name: async-lock-queue-limit
Async lock queue limit exceeded:
Each async lock working queue has a limit of 1000.When more SIP packets are attempted
to be dispatch to the work queue, packet will be dropped.
Recommendation:
Only SIP traffic may be dropped.When SIP packets have the same parent lock and they
can be queued into the same async lock queue, thus may result into blocks depletion,
becasue only single core is handling all the media.If a SIP packet attempts to be queued
when the size of the async lock queue exceeds the limit, the packet will be dropped.
Syslogs:
None.
---------------------------------------------------------------Name: loopback-lock-failed
Loopback lock failed
This counter is incremented and the packet is dropped when packets are sent from one
context of the appliance to another context through a shared intrface and the loopback
queue has failed to acquire a lock.
Recommendations:
This condition should never be encountered during normal operation and may indicate a
software problem with the appliance.Contact the Cisco Techncial Assistance Center (TAC) if
this error occurs.
Syslogs:
None
---------------------------------------------------------------Name: loopback-ifc-not-found
Loopback output interface not found
This counter is incremented and the packet is dropped when packets are sent from one
context of the appliance to another context through a shared interface, and the output
interface is not found by the loopback queue.
Recommendations:
This condition should never be encountered during normal operation and may indicate a
software problem with the appliance.Contact the Cisco Techncial Assistance Center (TAC) if
this error occurs.
Syslogs:
None
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-50
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: loopback-count-exceeded
Loopback count exceeded
This counter is incremented and the packet is dropped when a packet is sent from one
context of the appliance to another context through a shared interface, but this packet
has exceeded the number of times it is allowed to queue to the loopback queue.
Recommendations:
Check the context configuration for each context.The packet is entering a loop in the
context configurations so that it is stuck between contexts, and is repeatedly put into
the loopback queue.
Syslogs:
None
---------------------------------------------------------------Name: ips-license-disabled-fail-close
IPS module license disabled
The IPS module license has been disabled and when the fail-close mode is configured,
all traffic destined for the IPS module will be dropped.The status of the license can be
checked using the “show activation-key” command.
Recommendation:
Please apply an activation key using the “activation-key” command that has the IPS
license enabled.
Syslogs:
420008
---------------------------------------------------------------Name: backplane-channel-null
Backplane channel null:
The card backplane channel was NULL.This may happen because the channel
was not initialized correctly and had to be closed.ASA will drop the packet.
Recommendation:
This should not happen.Contact Cisco TAC for assistance.
Syslogs:
None.
---------------------------------------------------------------Name: svc-conn-timer-cb-fail
SVC connection timer callback failure:
This condition occurs when there is a failed attempt to place an event on the async
lock queue for that connection.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: svc-udp-conn-timer-cb-fail
SVC UDP connection timer callback failure:
This condition occurs when there is a failed attempt to place an event on the async
lock queue for that connection.
Recommendation:
None.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-51
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Syslogs:
None.
---------------------------------------------------------------Name: nat64/46-conversion-fail
IPv6 to IPv4 or vice-versa conversion failure:
This condition occurs when there is a failure in coversion of IPv6 traffic to IPv4 or
vice-versa.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-cflow-clu-closed
Cluster flow with CLU closed on owner:
Director/backup unit received a cluster flow clu delete message from the owner unit
and terminated the flow.
Recommendation:
This counter should increment for every replicated clu that is torn down on the owner
unit.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-cflow-clu-timeout
Cluster flow with CLU removed from due to idle timeout:
A cluster flow with CLU is considered idle if the director/backup unit no longer
receives periodic updates from the owner, which is supposed to happen at fixed intervals
when the flow is alive.
Recommendation:
This counter is informational.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-redirect
Flow matched a cluster redirect classify rule:
A stub forwarding flow will thereafter forward packets to the cluster unit that owns
the flow.
Recommendations:
This counter is informational and the behavior expected.The packet was forwarded to
the owner over the Cluster Control Link.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-drop-on-slave
Flow matched a cluster drop-on-slave classify rule:
This is for cases that the packets from L3 subnet are seen by all units and only
master unit need to process them.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-52
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Recommendations:
This counter is informational and the behavior expected.The packet is processed by
master.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-director-change
The flow director changed due to a cluster join event:
A new unit joined the cluster and is now the director for the flow.The old
director/backup has removed it's flow and the flow owner will update the new director.
Recommendations:
This counter is informational and the behavior expected.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-mcast-owner-change
The multicast flow owner changed due to a cluster join or leave event:
This flow gets created on a new owner unit.
Recommendations:
This counter is informational and the behavior expected.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-convert-to-dirbak
Forwarding or redirect flow converted to director or backup flow:
Forwarding or redirect flow is removed, so that director or backup flow can be
created.
Recommendations:
This counter is informational and the behavior expected.
Syslogs:
None.
---------------------------------------------------------------Name: inspect-scansafe-server-not-reachable
Scansafe server is not configured or the cloud is down:
Either the scansafe server IP is not specified in the scansafe general options or the
scansafe server is not reachable.
Recommendations:
This counter is informational and the behavior expected.
Syslogs:
None.
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-53
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: inspect-scansafe-public_key_not_configured
Scansafe public key not configured:
This counter is incremented when the scansafe public key is not configured.The packet
is dropped and the connection isclosed.
Recommendation:
Verify if the configured scansafe public key is configured on the security appliance.
Syslogs:
775002.
---------------------------------------------------------------Name: inspect-scansafe-license-key-not-configured
Scansafe license key not configured:
This counter is incremented when the scansafe licnese key is not configured.The packet
is dropped and the connection isclosed.
Recommendation:
Verify if the configured scansafe license key is configured on the security appliance.
Syslogs:
775002.
---------------------------------------------------------------Name: inspect-scansafe-encoding-failed
Inspect scansafe header encoding failed :
This counter is incremented when the base64 encoding of user and group name is
failed.The packet is dropped and connection is closed.
Syslogs:
775002.
---------------------------------------------------------------Name: inspect-scansafe-hdr-encryption-failed
Inspect scansafe header encryption failed:
This counter is incremented when the encryption of scansafe header is failed.The
packet is dropped and connection is closed.
Syslogs:
775002.
---------------------------------------------------------------Name: inspect-scansafe-max-conn-reached
Inspect scansafe max allowed connections reached:
This counter is incremented when we get a new connection and the maximum allowed
concurrent scansafe connection for the platform is already reached.The packet is dropped
and connection is closed.
Syslogs:
775002.
---------------------------------------------------------------Name: inspect-scansafe-duplicate-conn
Inspect scansafe duplicate connection:
This counter is incremented when duplicate connection with the same source ip address
and port.This packet will be dropped and connection will be closed.
Syslogs:
775002.
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-54
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: cluster-director-closed
Flow removed due to director flow closed:
Owner unit received a cluster flow clu delete message from the director unit and
terminated the flow.
Recommendation:
This counter should increment for every replicated clu that is torn down on the
director unit.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-pinhole-master-change
Master only pinhole flow removed at bulk sync due to master change:
Master only pinhole flow is removed during bulk sync becase cluster master has
changed.
Recommendation:
This counter is informational and the behavior expected.
Syslogs:
302014
---------------------------------------------------------------Name: np-socket-lock-failure
Dropped pending packets due to a failed attempt to get an internal socket lock:
This error occurs if an attempt to grab an internal socket lock fails.
Recommendation:
This condition should never be encountered during normal operation and
may
indicate a software problem with the appliance.Contact the Cisco
Technical Assistance
Center (TAC) if this error occurs.
Syslogs:
None.
---------------------------------------------------------------Name: mp-service-inject-failed
SERVICE Module failed to inject a packet:
This error occurs if an attempt to inject a packet via the SERVICE
Module fails.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: nat-64-or-46-conversion-fail
IPv6 to IPv4 or vice-versa conversion failure:
This condition occurs when there is a failure in coversion of
or vice-versa.
IPv6 traffic to IPv4
Recommendation:
Verify if the NAT64 or NAT46 policies are configured properly.
Syslogs:
None.
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-55
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: cluster-not-owner
Cluster not owner:
A Cluster data packet was received without a flow.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-ccl-cfull-sent
CLU FULL sent:
A Cluster data packet was received over CCL and full flow is built on a new owner.This
packet is no longer needed.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-ccl-backup
Cluster CCL backup:
A Cluster data packet was received over CCL on a backup unit, when it should have been
received on the owner+director unit.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-ccl-unknown-stub
Cluster CCL unknown stub:
A Cluster data packet was received over CCL and a matching stub flow found, but unit
has unknown role.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-stub-to-full
Cluster stub to full flow:
A Cluster packet was received on director, stub flow was converted to full flow.Drop
this packet and wait for retransmission.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-ccl-unknown
Cluster CCL unknown role:
A Cluster data packet was received over CCL and no matching flow is found, and unit
has unknown role.
Recommendation:
None.
Syslogs:
None.
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-56
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: cluster-owner-update
Cluster owner update:
A Cluster data packet was received updating the flow owner.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-invalid-pkt
Cluster rcvd invalid packet:
An invalid cluster packet was received.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-no-msgp
Cluster unit is out of message descriptor:
Cluster unit is out of message descriptor.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-slave-ignored
Flow matched a cluster drop-on-slave classify rule:
A multicast routing packet was received on a L3 cluster
interface when the unit
was a slave.Only a master unit
is permitted to process these packets.
Recommendation:
This counter is informational and the behavior expected.The packet is
processed by
master.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-non-owner-ignored
Flow matched a cluster drop-on-non-owner classify rule:
A multicast data packet was received on a L3 cluster
interface when the unit was
not an elected owner unit.
Only an elected owner unit is permitted to process
these packets.
Recommendation:
This counter is informational and the behavior expected.The packet is
processed by
one elected owner unit.
Syslogs:
None.
---------------------------------------------------------------Name: nat-xlate-failed
NAT failed:
Failed to create an xlate to translate an IP or transport header.
Recommendation:
If NAT is not desired, disable "nat-control".Otherwise, use the "static", "nat" or
"global" command to configure NAT policy for the dropped flow.For dynamic NAT, ensure that
each "nat" command is paired with at least one "global" command.Use "show nat" and "debug
pix process" to verify NAT rules.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-57
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Syslogs:
305005, 305006, 305009, 305010, 305011, 305012
---------------------------------------------------------------Name: nat-rpf-failed
NAT reverse path failed:
Rejected attempt to connect to a translated host using the translated host's real
address.
Recommendation:
When not on the same interface as the host undergoing NAT, use the mapped address
instead of the real address to connect to the host.Also, enable the appropriate inspect
command if the application embeds IP address.
Syslogs:
305005
---------------------------------------------------------------Name: nat-cluster-input
NAT invalid input:
An input value for clustering communication contains an unexpected or invalid value.
Recommendation:
This could be an internal software error.Contact Cisco Systems.
Syslogs:
None.
---------------------------------------------------------------Name: nat-no-xlate-to-pat-pool
NAT no xlate to pat pool:
No pre-existing xlate found for a connection with a destination matching a mapped
address in a PAT pool.
Recommendation:
Configure static PAT is access is desired.
Syslogs:
None.
---------------------------------------------------------------Name: nat--xlate-create-failed
NAT xlate creation failed:
Creation of a PAT xlate failed.
Recommendation:
Check system memory.Configure at least one backup PAT address.Configure a NAT address
to translate non-overload IP address.Only TCP, UDP, ICMP echo, and PPTP GRE overloadable.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-peer-mcast-ignored
Flow matched a cluster peer mcast data traffic classify rule:
A multicast data packet was received on a L3 cluster interface when it is from a
cluster peer unit corresponding interface.This is a packet flooded back from L3 subnet.
Recommendation:
This counter is informational and the behavior expected.The packet has been forwarded
out of the cluster and should be ignored by cluster.
Syslogs:
None.
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-58
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: cluster-dispatch-queue-fail
Cluster failed to enqueue into global dispatch work queue:
A forwarded data packet failed to enqueue into global dispatch work queue.
Recommendation:
This could be an internal software error.Contact Cisco Systems.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-dir-flow-create-fail
Cluster director failed to create director flow:
Director is trying to create a stub flow but failed due to resource
resource limit may be either:
1) system memory
2) packet block extension memory
3) system connection limit
Causes 1 and 2 will occur simultaneously with flow drop reason "No
complete flow".
Recommendation:
- Observe if free system memory is low.
- Observe if flow drop reason "No memory to complete flow" occurs.
- Observe if connection count reaches the system connection limit with
"show resource usage".
Syslogs:
None
limitation.The
memory to
the command
---------------------------------------------------------------Name: cluster-early-sec-chk-fail
Cluster early security check has failed:
Director applied early security check has failed due to ACL, WCCP
redirect,
TCP-intercept or IP option.
Recommendation:
This counter is informational and the behavior expected.The packet will
be
dropped.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-queued-ccl-unknown
Cluster CCL unknown stub:
A queued cluster data packet received over ccl was processed but unit has
role.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-dir-nat-changed
Cluster director NAT action changed:
Cluster director NAT action has changed due to NAT policy change, update
expiration before queued ccl data packet can be processed.Recommendation:
This counter is informational and the behavior expected.The packet will
dropped.
Syslogs:
None.
unknown
or
be
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-59
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: cluster-dir-invalid-ifc
Cluster director has packet with invalid ingress/egress interface:
Cluster director has processed a previously queued packet with invalid
ingress
and/or egress interface.This is a result of interface removal
(through CLI) before the
packet can be processed.
Recommendation:
This counter is informational and the behavior expected.The packet will
be
dropped.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-parent-owner-left
Flow removed at bulk sync becasue parent flow is gone:
Flow is removed during bulk sync because the parent flow's owner has left the cluster.
Recommendation:
This counter is informational and the behavior expected.
Syslogs:
302014
---------------------------------------------------------------Name: cluster-ctp-punt-channel-missing
Flow removed at bulk sync becasue CTP punt channel is missing:
Flow is removed during bulk sync because CTP punt channel is missing in cluster
restored flow.
Recommendation:
The cluster master may have just left the cluster, and there might be packet drops on
the Cluster Control Link.
Syslogs:
302014
---------------------------------------------------------------Name: ike-sa-rate-limit
IKE need SA indication per SA rule rate limit exceeded:
This counter will increment when the appliance attempts to send a message,indicating
that a new SA is needed for a rate-limited control point service routine and the rate
limit (per/second) is now being exceeded.The current rate is one message every two
seconds.
Recommendation:
This counter is informational and the behavior expected.The packet will be dropped.
Syslogs:
None
---------------------------------------------------------------Name: ike-sa-global-rate-limit
IKE new SA global limit exceeded:
This counter will increment when the appliance attempts to send a message,indicating
that a new SA is needed for a rate-limited control point service routine and the global
rate limit (per/second) is now being exceeded.The current rate is ten messages per second.
Recommendation:
This counter is informational and the behavior expected.The packet will be dropped.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-60
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Syslogs:
None
---------------------------------------------------------------Name: nat-cluster-invalid-unxlate-redirect
Cluster member dropped an invalid NAT untranslate redirect packet from peer:
Cluster member received a NAT untranslate packet from peer.However this member does
not own the NAT address pool the packet belongs to.
Recommendation:
This counter is a temporal condition after a cluster member failure.However, if this
counter is incremented continuously, it could be an internal software error.Contact Cisco
TAC in this case.
Syslogs:
None.
---------------------------------------------------------------Name: nat-cluster-pool-update-fail
Cluster master failed to send NAT pool update to slave:
Cluster master has failed to send NAT pool update to slave unit.This drop will
increase if system resources is low.
Recommendation:
- Observe if free system memory is low.
- Observe if "SEC_NAT_SEND_NO_BUFFER" counter is increasing.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-forward-error
Cluster member failed to send data packet over CCL:
Cluster member failed to transmit control packet over the CCL link.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-tp-version-incompatible
The packet contains an incompatible transport protocol:
The transport protocol of the packet contains a transport protocol that is not
compatible.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-ip-version-error
IP version mismatch between layer-2 and layer-3 headers:
The IP protocol versions in layer-2 and layer-3 headers mismatch.
Recommendation:
None.
Syslogs:
None.
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-61
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: cluster-tp-sender-myself
DP message over CCL from a unit with same ID as myself:
The sender information in the transport header indicates that the sender is myself,
which could happen if two clusters (with overlapping IDs) exist on the same network
segment.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-ttl-expired
TTL of the packet has expired:
Maximum TTL value has exceeded for this packet.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-ttl-invalid
TTL of the packet is invalid:
The TTL value of the packet is not a valid value.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-non-ip-pkt
Layer 3 protocol of the packet is not IP:
The packet is not IPv4, IPv6 or an ARP packet.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-bad-tp-pkt
Failed to fetch the transport layer header of the packet:
Fetching the transport layer header of the packet failed.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-bad-trailer
Failed to fetch the trailer of the packet:
Fetching the trailer of the packet failed.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-frag-owner-query-error
Cluster fragment failed to query flow director for flow owner:
A failure either when forwarding first fragment to flow director or
reinsert failure.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-62
fragment chain
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-frag-error
The fragment is not formatted correctly:
The fragment is not formatted correctly and cannot be processed or
the Fragment Owner failed.
Recommendation:
None.
Syslogs:
None.
forwarding to
---------------------------------------------------------------Name: cluster-bad-ifc-goid-in-trailer
Failed to find ifc from goid in the trailer:
The goid extracted from the trailer does not yield a
valid real ifc.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: platform-unlicensed
ASAv platform is unlicensed:
The ASAv is not licensed.All data traffic traversing the appliance will be
until the ASAv is licensed.
Recommendation:
Check the platform license state with "show activation-key" and install the
appropriate ASAv platform license.
Syslogs:
None.
dropped
---------------------------------------------------------------Name: sfr-bad-tlv-received
Received a packet from SFR without a Policy ID TLV:
The ASA received a packet from SFR without a Policy ID TLV.This TLV must be present in
non-control packets if it does not have the Standby/Active bit set in the actions field.
Recommendation:
None
Syslogs:
None.
---------------------------------------------------------------Name: sfr-request
Frame was requested to be dropped by SFR:
The frame was requested to be dropped by SFR due a policy on SFR whereby SFR would set
the actions to Deny Source, Deny Destination, or Deny Pkt.
Recommendation:
Review SFR policies for any such rule denying the flow.
Syslogs:
None.
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-63
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: sfr-fail-close
Packet was dropped:
The packet was dropped because the card is not up and the policy configured was
'fail-close' (rather than 'fail-open,' which allows packets through even if the card was
down).
Recommendation:
Check card status and attempt to restart services or reboot it.
Syslogs:
None.
---------------------------------------------------------------Name: sfr-fail
SFR configuration was removed for an existing flow:
The SFR configuration was removed for an existing flow and we are not able to process
it through SFR, so it will be dropped.This is very unlikely to occur.
Recommendation:
Review SFR policies for any such rule denying the flow.
Syslogs:
None.
---------------------------------------------------------------Name: sfr-malformed-packet
Packet from SFR contains an invalid header:
The packet from SFR contains an invalid header.For instance, the header length may not
be correct.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: sfr-ha-request
Security appliance received a SFR HA request packet:
This counter is incremented when the security appliance received a SFR HA request
packet, but could not process it and the packet is dropped.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: sfr-invalid-encap
Security appliance received a SFR packet with invalid message header:
This counter is incremented when the security appliance received a SFR packet with
invalid message header and the packet is dropped.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: sfr-bad-handle-received
Received Bad flow handle in a packet from SFR Module:
Received Bad flow handle in a packet from SFR Module, thus dropping flow.This counter
is incremented; flow and packet are dropped on ASA as the handle for SFR flow has changed
in flow duration.
Recommendation:
None.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-64
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Syslogs:
None.
---------------------------------------------------------------Name: sfr-rx-monitor-only
Security appliance received a SFR packet when in monitor-only mode:
This counter is incremented when the security appliance receives a SFR packet when in
monitor-only mode, and the packet is dropped.
Recommendation:
Remove “monitor-only” keyword in class configuration if not intentional.
Syslogs:
None.
----------------------------------------------------------------
フ ローの ド ロ ッ プ理由
---------------------------------------------------------------Name: tunnel-torn-down
Tunnel has been torn down:
This counter will increment when the appliance receives a packet associated with an
established flow whose IPsec security association is in the process of being deleted.
Recommendation:
This is a normal condition when the IPsec tunnel is torn down for any reason.
Syslogs:
None
---------------------------------------------------------------Name: no-ipv6-ipsec
IPsec over IPv6 unsupported:
This counter will increment when the appliance receives an IPsec ESP packet, IPsec
NAT-T ESP packet or an IPsec over UDP ESP packet encapsulated in an IP version 6
header.The appliance does not currently support any IPsec sessions encapsulated in IP
version 6.
Recommendation:
None
Syslogs:
None
---------------------------------------------------------------Name: tunnel-pending
Tunnel being brought up or torn down:
This counter will increment when the appliance receives a packet matching an entry in
the security policy database (i.e. crypto map) but the security association is in the
process of being negotiated; it’s not complete yet.
This counter will also increment when the appliance receives a packet matching an
entry in the security policy database but the security association has been or is in the
process of being deleted.The difference between this indication and the 'Tunnel has been
torn down' indication is that the 'Tunnel has been torn down' indication is for
established flows.
Recommendation:
This is a normal condition when the IPsec tunnel is in the process of being negotiated
or deleted.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-65
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Syslogs:
None
---------------------------------------------------------------Name: need-ike
Need to start IKE negotiation:
This counter will increment when the appliance receives a packet which requires
encryption but has no established IPsec security association.This is generally a normal
condition for LAN-to-LAN IPsec configurations.This indication will cause the appliance to
begin ISAKMP negotiations with the destination peer.
Recommendation:
If you have configured IPsec LAN-to-LAN on your appliance, this indication is normal
and does not indicate a problem.However, if this counter increments rapidly it may
indicate a crypto configuration error or network error preventing the ISAKMP negotiation
from completing.
Verify that you can communicate with the destination peer and verify your crypto
configuration via the 'show running-config' command.
Syslogs:
None
---------------------------------------------------------------Name: vpn-handle-error
VPN handle error:
This counter is incremented when the appliance is unable to create a VPN handle
because the VPN handle already exists.
Recommendation:
It is possible to see this counter increment as part of normal operation.However, if
the counter is rapidly incrementing and there is a major malfunction of vpn-based
applications, then this may be caused by a software defect.Use the following command sto
gather more information about this counter and ontact the Cisco TAC to investigate the
issue further.
capture <name> type asp-drop vpn-handle-error
show asp table classify crypto
show asp table vpn-context detail
Syslogs:
None
---------------------------------------------------------------Name: vpn-handle-not-found
VPN handle not found:
This counter is incremented when a datagram hits an encrypt or decrypt rule, and no
VPN handle is found for the flow the datagram is on.
Recommendation:
It is possible to see this counter increment as part of normal operation.However, if
the counter is rapidly incrementing and there is a major malfunction of vpn-based
applications, then this may be caused by a software defect.Use the following command sto
gather more information about this counter and ontact the Cisco TAC to investigate the
issue further.
capture <name> type asp-drop vpn-handle-not-found
show asp table classify crypto
show asp table vpn-context detail
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-66
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Syslogs:
None
---------------------------------------------------------------Name: ipsec-spoof-detect
IPsec spoof packet detected:
This counter will increment when the appliance receives a packet which should have
been encrypted but was not.The packet matched the inner header security policy check of a
configured and established IPsec connection on the appliance but was received
unencrypted.This is a security issue.
Recommendation:
Analyze your network traffic to determine the source of the spoofed IPsec traffic.
Syslogs:
402117
---------------------------------------------------------------Name: svc-spoof-detect
SVC spoof packet detected:
This counter will increment when the security appliance receives a packet which should
have been encrypted but was not.The packet matched the inner header security policy check
of a configured and established SVC connection on the security appliance but was received
unencrypted.This is a security issue.
Recommendation:
Analyze your network traffic to determine the source of the spoofed SVC traffic.
Syslogs:
None
---------------------------------------------------------------Name: svc-failover
An SVC socket connection is being disconnected on the standby unit:
This counter is incremented for each new SVC socket connection that is disconnected
when the active unit is transitioning into standby state as part of a failover transition.
Recommendation:
None.This is part of a normal cleanup of a SVC connection when the current device is
transitioning from active to standby.Existing SVC connections on the device are no longer
valid and need to be removed.
Syslogs:
None.
---------------------------------------------------------------Name: svc-replacement-conn
SVC replacement connection established:
This counter is incremented when an SVC connection is replaced by a new connection.
Recommendation:
None.This may indicate that users are having difficulty maintaining connections to the
ASA.Users should evaluate the quality of their home network and Internet connection.
Syslog:
722032
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-67
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: ipsec-selector-failure
IPsec VPN inner policy selector mismatch detected:
This counter is incremented when an IPsec packet is received with an inner IP header
that does not match the configured policy for the tunnel.
Recommendation:
Verify that the crypto ACLs for the tunnel are correct and that all acceptable packets
are included in the tunnel identity.Verify that the box is not under attack if this
message is repeatedly seen.
Syslogs:
402116
---------------------------------------------------------------Name: vpn-context-expired
Expired VPN context:
This counter will increment when the security appliance receives a packet that
requires encryption or decryption, and the ASP VPN context required to perform the
operation is no longer valid.
Recommendation:
This indicates that a software error should be reported to the Cisco TAC.
Syslogs:
None
---------------------------------------------------------------Name: vpn-lock-error
IPsec locking error:
This counter is incremented when VPN flow cannot be created due to an internal locking
error.
Recommendation:
This condition should never be encountered during normal operation and may indicate a
software problem with the appliance.Contact the Cisco Technical Assistance Center (TAC) if
this error occurs.
Syslogs:
None.
---------------------------------------------------------------Name: out-of-memory
No memory to complete flow:
This counter is incremented when the appliance is unable to create a flow because of
insufficient memory.
Recommendation:
Verify that the box is not under attack by checking the current connections.Also
verify if the configured timeout values are too large resulting in idle flows residing in
memory longer.Check the free memory available by issuing 'show memory'.If free memory is
low, issue the command 'show processes memory' to determine which processes are utilizing
most of the memory.
Syslogs:
None
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-68
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: parent-closed
Parent flow is closed:
When the parent flow of a subordinating flow is closed, the subordinating flow is also
closed.For example, an FTP data flow (subordinating flow) will be closed with this
specific reason when its control flow (parent flow) is terminated.This reason is also
given when a secondary flow (pin-hole) is closed by its controlling application.For
example, when the BYE messaged is received, the SIP inspection engine (controlling
application) will close the corresponding SIP RTP flows (secondary flow).
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: closed-by-inspection
Flow closed by inspection:
This reason is given for closing a flow due to an error detected during application
inspection.For example, if an error is detected during inspecting an H323 message, the
corresponding H323 flow is closed with this reason.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: fo-primary-closed
Failover primary closed:
Standby unit received a flow delete message from the active unit and terminated the
flow.
Recommendation:
If the appliance is running stateful failover, then this counter should increment for
every replicated connection that is torn down on the standby appliance.
Syslogs:
302014, 302016, 302018
---------------------------------------------------------------Name: fo-standby
Flow closed by failover standby:
If a through-the-box packet arrives at an appliance or context is in a Standby state,
and a flow is created, the packet is dropped and the flow removed.This counter will
increment each time a flow is removed in this manner.
Recommendation:
This counter should never be incrementing on the Active appliance or context.However,
it is normal to see it increment on the Standby appliance or context.
Syslogs:
302014, 302016, 302018
---------------------------------------------------------------Name: fo_rep_err
Standby flow replication error:
Standby unit failed to replicate a flow.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-69
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Recommendation:
If appliance is processing VPN traffic, then this counter could be constantly
increasing on the standby unit because of the flow could be replicated before the IKE SA
info.No action is required in this case.If the appliance is not processing VPN traffic,
then this indicate a software detect, turn on the debug: "debug fover fail" on the standby
unit, collect the debug output, and report the problem to Cisco TAC.
Syslogs:
302014, 302016, 302018
---------------------------------------------------------------Name: loopback
Flow is a loopback:
This reason is given for closing a flow due to the following conditions: 1) when
U-turn traffic is present on the flow, and, 2) 'same-security-traffic permit
intra-interface' is not configured.
Recommendation:
To allow U-turn traffic on an interface, configure the interface with
'same-security-traffic permit intra-interface'.
Syslogs:
None.
---------------------------------------------------------------Name: acl-drop
Flow is denied by access rule:
This counter is incremented when a drop rule is hit by the packet and flow creation
is denied.This rule could be a default rule created when the box comes up, when various
features are turned on or off, when an acl is applied to interface or any other feature
etc. Apart from default rule drops, a flow could be denied because of:
1) ACL configured on an interface
2) ACL configured for AAA and AAA denied the user
3) Thru-box traffic arriving at management-only ifc
4) Unencrypted traffic arriving on a ipsec-enabled interface
5) Implicity deny 'ip any any' at the end of an ACL
Recommendation:
Observe if one of syslogs related to packet drop are fired.Flow drop results in the
corresponding packet-drop that would fire requisite syslog.
Syslogs:
None.
---------------------------------------------------------------Name: pinhole-timeout
Pinhole timeout:
This counter is incremented to report that the appliance opened a secondary flow, but
no packets passed through this flow within the timeout interval, and hence it was
removed.An example of a secondary flow is the FTP data channel that is created after
successful negotiation on the FTP control channel.
Recommendation:
No action required.
Syslogs:
302014, 302016
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-70
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: host-removed
Host is removed:
Flow removed in response to "clear local-host" command.
Recommendation:
This is an information counter.
Syslogs:
302014, 302016, 302018, 302021, 305010, 305012, 609002
---------------------------------------------------------------Name: xlate-removed
Xlate Clear:
Flow removed in response to "clear xlate" or "clear local-host" command.
Recommendation:
This is an information counter.
Syslogs:
302014, 302016, 302018, 302021, 305010, 305012, 609002
---------------------------------------------------------------Name: connection-timeout
Connection timeout:
This counter is incremented when a flow is closed because of the expiration of it's
inactivity timer.
Recommendation:
No action required.
Syslogs:
302014, 302016, 302018, 302021
---------------------------------------------------------------Name: conn-limit-exceeded
Connection limit exceeded:
This reason is given for closing a flow when the connection limit has been
exceeded.The connection limit is configured via the 'set connection conn-max' action
command.
Recommendation:
None.
Syslogs:
201011
---------------------------------------------------------------Name: tcp-fins
TCP FINs:
This reason is given for closing a TCP flow when TCP FIN packets are received.
Recommendations:
This counter will increment for each TCP connection that is terminated normally with
FINs.
Syslogs:
302014
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-71
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: syn-timeout
SYN Timeout:
This reason is given for closing a TCP flow due to expiry of embryonic timer.
Recommendations:
If these are valid session which take longer to establish a connection increase the
embryonic timeout.
Syslogs:
302014
---------------------------------------------------------------Name: fin-timeout
FIN Timeout:
This reason is given for closing a TCP flow due to expiry of half-closed timer.
Recommendations:
If these are valid session which take longer to close a TCP flow, increase the
half-closed timeout.
Syslogs:
302014
---------------------------------------------------------------Name: reset-in
TCP Reset-I:
This reason is given for closing an outbound flow (from a low-security interface to a
same- or high-security interface) when a TCP reset is received on the flow.
Recommendation:
None.
Syslogs:
302014
---------------------------------------------------------------Name: reset-out
TCP Reset-O:
This reason is given for closing an inbound flow (from a high-security interface to
low-security interface) when a TCP reset is received on the flow.
Recommendation:
None.
Syslogs:
302014
---------------------------------------------------------------Name: reset-appliance
TCP Reset-APPLIANCE:
This reason is given for closing a flow when a TCP reset is generated by appliance.
Recommendation:
None.
Syslogs:
302014
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-72
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: recurse
Close recursive flow:
A flow was recursively freed.This reason applies to pair flows, multicast slave flows,
and syslog flows to prevent syslogs being issued for each of these subordinate flows.
Recommendation:
No action required.
Syslogs:
None
---------------------------------------------------------------Name: tcp-intecept-no-response
TCP intercept, no response from server:
SYN retransmission timeout after trying three times, once every second.Server
unreachable, tearing down connection.
Recommendation:
Check if the server is reachable from the ASA.
Syslogs:
None
---------------------------------------------------------------Name: tcp-intercept-unexpected
TCP intercept unexpected state:
Logic error in TCP intercept module, this should never happen.
Recommendation:
Indicates memory corruption or some other logic error in the TCP intercept module.
Syslogs:
None
---------------------------------------------------------------Name: tcpnorm-rexmit-bad
TCP bad retransmission:
This reason is given for closing a TCP flow when check-retransmission feature is
enabled and the TCP endpoint sent a retransmission with different data from the original
packet.
Recommendations:
The TCP endpoint maybe attacking by sending different data in TCP retransmits.Please
use the packet capture feature to learn more about the origin of the packet.
Syslogs:
302014
---------------------------------------------------------------Name: tcpnorm-win-variation
TCP unexpected window size variation:
This reason is given for closing a TCP flow when window size advertised by TCP
endpoint is drastically changed without accepting that much data.
Recommendations:
In order to allow this connection, use the window-variation configuration under
tcp-map.
Syslogs:
302014
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-73
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: tcpnorm-invalid-syn
TCP invalid SYN:
This reason is given for closing a TCP flow when the SYN packet is invalid.
Recommendations:
SYN packet could be invalid for number of reasons, like invalid checksum, invalid TCP
header.Please use the packet capture feature to understand why the SYN packet is
invalid.If you would like to allow these connection use tcp-map configurations to bypass
checks.
Syslogs:
302014
---------------------------------------------------------------Name: mcast-intrf-removed
Multicast interface removed:
An output interface has been removed from the multicast entry.
- OR All output interfaces have been removed from the multicast entry.
Recommendation:
No action required.
- OR Verify that there are no longer any receivers for this group.
Syslogs:
None
---------------------------------------------------------------Name: mcast-entry-removed
Multicast entry removed:
A packet has arrived that matches a multicast flow, but the multicast service is no
longer enabled, or was re-enabled after the flow was built.
- OR The multicast entry has been deleted so the flow is being cleaned up, but the packet
will be reinjected into the data path.
Recommendation:
Reenable multicast if it is disabled.
- OR No action required.
Syslogs:
None
---------------------------------------------------------------Name: tcp-intercept-kill
Flow terminated by TCP Intercept:
TCP intercept would tear down a connection if this is the first SYN, a connection is
created for the SYN, and TCP intercept replied with a SYN cookie, or after seeing a valid
ACK from client, when TCP intercept sends a SYN to server, server replies with a RST.
Recommendation:
TCP intercept normally does not create a connection for first SYN, except when there
are nailed rules or the packet comes over a VPN tunnel or the next hop gateway address to
reach the client is not resolved.So for the first SYN this indicates that a connection got
created.When TCP intercept receives a RST from server, its likely the corresponding port
is closed on the server.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-74
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Syslogs:
None
---------------------------------------------------------------Name: audit-failure
Audit failure:
A flow was freed after matching an "ip audit" signature that had reset as the
associated action.
Recommendation:
If removing the flow is not the desired outcome of matching this signature, then
remove the reset action from the "ip audit" command.
Syslogs:
None
---------------------------------------------------------------Name: cxsc-request
Flow terminated by CXSC:
This reason is given for terminating a flow as requested by CXSC module.
Recommendations:
Check syslogs and alerts on CXSC module.
Syslogs:
429002
---------------------------------------------------------------Name: cxsc-fail-close
CXSC fail-close:
This reason is given for terminating a flow since CXSC card is down and fail-close
option was used with CXSC action.
Recommendations:
Check and bring up CXSC card.
Syslogs:
429001
---------------------------------------------------------------Name: reset-by-cx
Flow reset by CXSC:
This reason is given for terminating a TCP flow as requested by the CXSC module.
Recommendations:
Check syslogs and alerts on CXSC module.
Syslogs:
429003
---------------------------------------------------------------Name: ips-request
Flow terminated by IPS:
This reason is given for terminating a flow as requested by IPS module.
Recommendations:
Check syslogs and alerts on IPS module.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-75
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Syslogs:
420002
---------------------------------------------------------------Name: cxsc-request
CXSC Module requested drop:
This counter is incremented and the packet is dropped as requested by the CXSC module
when the packet matches a signature on the CXSC engine.
Recommendations:
Check syslogs and alerts on the CXSC module.
Syslogs:
429002
---------------------------------------------------------------Name: cxsc-bad-tlv-received
CXSC Module requested drop:
This counter is incremented and the packet is dropped as requested by the CXSC module
when the packet has bad TLVs.
Recommendations:
Check syslogs and alerts on the CXSC module.
Syslogs:
None
---------------------------------------------------------------Name: cxsc-malformed-packet
CXSC Module requested drop:
This counter is incremented and the packet is dropped as requested by the CXSC module
when the packet is malformed.
Recommendations:
Check syslogs and alerts on the CXSC module.
Syslogs:
None
---------------------------------------------------------------Name: cxsc-fail
CXSC config removed for connection:
This counter is incremented and the packet is dropped when the CXSC configuration is
not found for a particular connection.
Recommendations:
Check if any configuration changes have been made for CXSC.
Syslogs:
None
---------------------------------------------------------------Name: cxsc-ha-request
CXSC HA replication drop:
This counter is incremented when the security appliance receives a CXSC HA request
packet, but could not process it and the packet is dropped.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-76
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Recommendation:
This could happen occasionally when CXSC does not have the latest ASA HA state, such
as right after an ASA HA state change.If the counter is constantly increasing however, it
may be because CXSC and ASA are out of sync.If that happens, contact Cisco TAC for
assistance.
Syslogs:
None.
---------------------------------------------------------------Name: cxsc-invalid-encap
CXSC invalid header drop:
This counter is incremented when the security appliance receives a CXSC packet with an
invalid messsage header, and the packet is dropped.
Recommendation: This should not happen.Contact Cisco TAC for assistance.
Syslogs:
None.
---------------------------------------------------------------Name: ips-fail-close
IPS fail-close:
This reason is given for terminating a flow since IPS card is down and fail-close
option was used with IPS inspection.
Recommendations:
Check and bring up IPS card.
Syslogs:
420001
---------------------------------------------------------------Name: reinject-punt
Flow terminated by punt action:
This counter is incremented when a packet is punted to the exception-path for
processing by one of the enhanced services such as inspect, aaa etc and the servicing
routine, having detected a violation in the traffic flowing on the flow, requests that the
flow be dropped.The flow is immediately dropped.
Recommendation:
Please watch for syslogs fired by servicing routine for more information.Flow drop
terminates the corresponding connection.
Syslogs:
None.
---------------------------------------------------------------Name: shunned
Flow shunned:
This counter will increment when a packet is received which has a source IP address
that matches a host in the shun database.When a shun command is applied, it will be
incremented for each existing flow that matches the shun command.
Recommendation:
No action required.
Syslogs:
401004
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-77
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: host-limit
host-limit
---------------------------------------------------------------Name: nat-failed
NAT failed:
Failed to create an xlate to translate an IP or transport header.
Recommendation:
If NAT is not desired, disable "nat-control".Otherwise, use the "static", "nat" or
"global" command to configure NAT policy for the dropped flow.For dynamic NAT, ensure that
each "nat" command is paired with at least one "global" command.Use "show nat" and "debug
pix process" to verify NAT rules.
Syslogs:
305005, 305006, 305009, 305010, 305011, 305012
---------------------------------------------------------------Name: nat-rpf-failed
NAT reverse path failed:
Rejected attempt to connect to a translated host using the translated host's real
address.
Recommendation:
When not on the same interface as the host undergoing NAT, use the mapped address
instead of the real address to connect to the host.Also, enable the appropriate inspect
command if the application embeds IP address.
Syslogs:
305005
---------------------------------------------------------------Name: inspect-fail
Inspection failure:
This counter will increment when the appliance fails to enable protocol inspection
carried out by the NP for the connection.The cause could be memory allocation failure, or
for ICMP error message, the appliance not being able to find any established connection
related to the frame embedded in the ICMP error message.
Recommendation:
Check system memory usage.For ICMP error message, if the cause is an attack, you can
deny the host using the ACLs.
Syslogs:
313004 for ICMP error.
---------------------------------------------------------------Name: no-inspect
Failed to allocate inspection:
This counter will increment when the security appliance fails to allocate a run-time
inspection data structure upon connection creation.The connection will be dropped.
Recommendation:
This error condition is caused when the security appliance runs out of system
memory.Please check the current available free memory by executing the "show memory"
command.
Syslogs:
None
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-78
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: reset-by-ips
Flow reset by IPS:
This reason is given for terminating a TCP flow as requested by IPS module.
Recommendations:
Check syslogs and alerts on IPS module.
Syslogs:
420003
---------------------------------------------------------------Name: flow-reclaimed
Non-tcp/udp flow reclaimed for new request:
This counter is incremented when a reclaimable flow is removed to make room for a new
flow.This occurs only when the number of flows through the appliance equals the maximum
number permitted by the software imposed limit, and a new flow request is received.When
this occurs, if the number of reclaimable flows exceeds the number of VPN tunnels
permitted by the appliance, then the oldest reclaimable flow is removed to make room for
the new flow.All flows except the following are deemed to be reclaimable:
1. TCP, UDP, GRE and Failover flows
2. ICMP flows if ICMP stateful inspection is enabled
3. ESP flows to the appliance
Recommendation:
No action is required if this counter is incrementing slowly.If this counter is
incrementing rapidly, it could mean that the appliance is under attack and the appliance
is spending more time reclaiming and rebuilding flows.
Syslogs
302021
---------------------------------------------------------------Name: non_tcp_syn
non-syn TCP:
This reason is given for terminating a TCP flow when the first packet is not a SYN
packet.
Recommendations:
None
Syslogs:
None
---------------------------------------------------------------Name: rm-xlate-limit
RM xlate limit reached:
This counter is incremented when the maximum number of xlates for a context or the
system has been reached and a new connection is attempted.
Recommendation:
The device administrator can use the commands 'show resource usage' and 'show resource
usage system' to view context and system resource limits and 'Denied' counts and adjust
resource limits if desired.
Syslogs:
321001
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-79
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: rm-host-limit
RM host limit reached:
This counter is incremented when the maximum number of hosts for a context or the
system has been reached and a new connection is attempted.
Recommendation:
The device administrator can use the commands 'show resource usage' and 'show resource
usage system' to view context and system resource limits and 'Denied' counts and adjust
resource limits if desired.
Syslogs:
321001
---------------------------------------------------------------Name: rm-inspect-rate-limit
RM inspect rate limit reached:
This counter is incremented when the maximum inspection rate for a context or the
system has been reached and a new connection is attempted.
Recommendation:
The device administrator can use the commands 'show resource usage' and 'show resource
usage system' to view context and system resource limits and 'Denied' counts and adjust
resource limits if desired.
Syslogs:
321002
---------------------------------------------------------------Name: tcpmod-connect-clash
A TCP connect socket clashes with an existing listen connection.This is an internal system
error.Contact TAC.
---------------------------------------------------------------Name: ssm-app-request
Flow terminated by service module:
This counter only applies to the ASA 5500 series adaptive security appliance.It is
incremented when the application running on the SSM requests the security appliance to
terminate a connection.
Recommendation:
You can obtain more information by querying the incident report or system messages
generated by the SSM itself.Please consult the documentation that comes with comes with
the SSM for instructions.
Syslogs:
None.
---------------------------------------------------------------Name: ssm-app-fail
Service module failed:
This counter only applies to the ASA 5500 series adaptive security appliance.It is
incremented when a connection that is being inspected by the SSM is terminated because the
SSM has failed.
Recommendation:
The card manager process running in the security appliance control plane issued system
messages and CLI warning to inform you of the failure.Please consult the documentation
that comes with the SSM to trouble shoot the SSM failure.Contact Cisco Technical
Assistance Center (TAC) if needed.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-80
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Syslog:
421001.
---------------------------------------------------------------Name: ssm-app-incompetent
Service module incompetent:
This counter only applies to the ASA 5500 series adaptive security appliance.It is
incremented when a connection is supposed to be inspected by the SSM, but the SSM is not
able to inspect it.This counter is reserved for future use.It should always be 0 in the
current release.
Recommendation:
None.
Syslog:
None.
---------------------------------------------------------------Name: ssl-bad-record-detect
SSL bad record detected:
This counter is incremented for each unknown SSL record type received from the remote
peer.Any unknown record type received from the peer is treated as a fatal error and the
SSL connections that encounter this error must be terminated.
Recommendation:
It is not normal to see this counter increment at any time.If this counter is
incremented, it usually means that the SSL protocol state is out of sync with the client
software.The most likely cause of this problem is a software defect in the client
software.Contact the Cisco TAC with the client software or web browser version and provide
a network trace of the SSL data exchange to troubleshoot this problem.
Syslogs:
None.
---------------------------------------------------------------Name: ssl-handshake-failed
SSL handshake failed:
This counter is incremented when the TCP connection is dropped because the SSL
handshake failed.
Recommendation:
This is to indicate that the TCP connection is dropped because the SSL handshake
failed.If the problem cannot be resolved based on the syslog information generated by the
handshake failure condition, please include the related syslog information when contacting
the Cisco TAC.
Syslogs:
725006.
725014.
---------------------------------------------------------------Name: ssl-malloc-error
SSL malloc error:
This counter is incremented for each malloc failure that occurs in the SSL lib.This is
to indicate that SSL encountered a low memory condition where it can't allocate a memory
buffer or packet block.
Recommendation:
Check the security appliance memory and packet block condition and contact Cisco the
TAC with this memory information.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-81
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Syslogs:
None.
---------------------------------------------------------------Name: ctm-crypto-request-error
CTM crypto request error:
This counter is incremented each time CTM cannot accept our crypto request.This
usually means the crypto hardware request queue is full.
Recommendation:
Issue the show crypto protocol statistics ssl command and contact the Cisco TAC with
this information.
Syslogs:
None.
---------------------------------------------------------------Name: ssl-record-decrypt-error
SSL record decryption failed:
This counter is incremented when a decryption error occurs during SSL data
receive.This usually means that there is a bug in the SSL code of the ASA or peer, or an
attacker may be modifying the data stream.The SSL connection has been closed.
Recommendation:
Investigate the SSL data streams to and from your ASA.If there is no attacker, then
this indicates a software error that should be reported to the Cisco TAC.
Syslogs:
None.
---------------------------------------------------------------Name: np-socket-conn-not-accepted
A new socket connection was not accepted:
This counter is incremented for each new socket connection that is not accepted by the
security appliance.
Recommendation:
It is possible to see this counter increment as part of normal operation.However, if
the counter is rapidly incrementing and there is a major malfunction of socket-based
applications, then this may be caused by a software defect.Contact the Cisco TAC to
investigate the issue further.
Syslog:
None.
---------------------------------------------------------------Name: np-socket-failure
NP socket failure:
This is a general counter for critical socket processing errors.
Recommendation:
This indicates that a software error should be reported to the Cisco TAC.
Syslog:
None.
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-82
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: np-socket-relay-failure
NP socket relay failure:
This is a general counter for socket relay processing errors.
Recommendation:
It is possible to see this counter increment as part of normal operation.However, if
the counter is rapidly incrementing and there is a major malfunction of socket-based
applications, then this may be caused by a software defect.Contact the Cisco TAC to
investigate the issue further.
Syslog:
None.
---------------------------------------------------------------Name: np-socket-data-move-failure
NP socket data movement failure:
This counter is incremented for socket data movement errors.
Recommendation:
This indicates that a software error should be reported to the Cisco TAC.
Syslog:
None.
---------------------------------------------------------------Name: np-socket-new-conn-failure
NP socket new connection failure:
This counter is incremented for new socket connection failures.
Recommendation:
This indicates that a software error should be reported to the Cisco TAC.
Syslog:
None.
---------------------------------------------------------------Name: np-socket-transport-closed
NP socket transport closed:
This counter is incremented when the transport attached to the socket is abruptly
closed.
Recommendation:
It is possible to see this counter increment as part of normal operation.However, if
the counter is rapidly incrementing and there is a major malfunction of socket-based
applications, then this may be caused by a software defect.Contact the Cisco TAC to
investigate the issue further.
Syslog:
None.
---------------------------------------------------------------Name: np-socket-block-conv-failure
NP socket block conversion failure:
This counter is incremented for socket block conversion failures.
Recommendation:
This indicates that a software error should be reported to the Cisco TAC.
Syslog:
None.
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-83
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: ssl-received-close-alert
SSL received close alert:
This counter is incremented each time the security appliance receives a close alert
from the remote client.This indicates that the client has notified us they are going to
drop the connection.It is part of the normal disconnect process.
Recommendation:
None.
Syslog:
725007.
---------------------------------------------------------------Name: children-limit
Max per-flow children limit exceeded:
The number of children flows associated with one parent flow exceeds the internal
limit of 200.
Recommendation:
This message indicates either a misbehaving application or an active attempt to
exhaust the firewall memory.Use "set connection per-client-max" command to further fine
tune the limit.For FTP, additionally enable the "strict" option in "inspect ftp".
Syslogs:
210005
---------------------------------------------------------------Name: tracer-flow
packet-tracer traced flow drop:
This counter is internally used by packet-tracer for flow freed once tracing is
complete.
Recommendation:
None.
Syslog:
None.
---------------------------------------------------------------Name: sp-looping-address
looping-address:
This counter is incremented when the source and destination addresses in a flow are
the same.SIP flows where address privacy is enabled are excluded, as it is normal for
those flows to have the same source and destination address.
Recommendation:
There are two possible conditions when this counter will increment.One is when the
appliance receives a packet with the source address equal to the destination.This
represents a type of DoS attack.The second is when the NAT configuration of the appliance
NATs a source address to equal that of the destination.One should examine syslog message
106017 to determine what IP address is causing the counter to increment, then enable
packet captures to capture the offending packet, and perform additional analysis.
Syslogs:
106017
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-84
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: no-adjacency
No valid adjacency:
This counter will increment when the security appliance receives a packet on an
existing flow that no longer has a valid output adjacency.This can occur if the nexthop is
no longer reachable or if a routing change has occurred typically in a dynamic routing
environment.
Recommendation:
No action required.
Syslogs:
None
---------------------------------------------------------------Name: np-midpath-service-failure
NP midpath service failure:
This is a general counter for critical midpath service errors.
Recommendation:
This indicates that a software error should be reported to the Cisco TAC.
Syslog:
None.
---------------------------------------------------------------Name: np-midpath-cp-event-failure
NP midpath CP event failure:
This is counter for critical midpath events that could not be sent to the CP.
Recommendation:
This indicates that a software error should be reported to the Cisco TAC.
Syslog:
None.
---------------------------------------------------------------Name: np-context-removed
NP virtual context removed:
This counter is incremented when the virtual context with which the flow is going to
be associated has been removed.This could happen in multi-core environment when one CPU
core is in the process of destroying the virtual context, and another CPU core tries to
create a flow in the context.
Recommendation:
No action is required.
Syslog:
None.
---------------------------------------------------------------Name: fover-idle-timeout
Flow removed from standby unit due to idle timeout:
A flow is considered idle if standby unit no longer receives periodical update from
active which is supposed to happen to at fixed internal when flow is alive.This counter is
incremented when such flow is removed from standby unit.
Recommendation:
This counter is informational.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-85
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Syslogs:
None.
---------------------------------------------------------------Name: dynamic-filter
Flow matched dynamic-filter blacklist:
A flow matched a dynamic-filter blacklist or greylist entry with a threat-level higher
than the threat-level threshold configured to drop traffic.
Recommendation:
Use the internal IP address to trace the infected host.Take remediation steps to
remove the infection.
Syslogs:
None.
---------------------------------------------------------------Name: route-change
Flow terminated due to route change:
When the system adds a lower cost (better metric) route, incoming packets that match
the new route will cause their existing connection to be torn down after the user
configured timeout (floating-conn) value.Subsequent packets will rebuild the connection
out the interface with the better metric.
Recommendation:
To prevent the addition of lower cost routes from affecting active flows, the
'floating-conn' configuration timeout value can be set to 0:0:0.
Syslogs:
None.
---------------------------------------------------------------Name: svc-selector-failure
SVC VPN inner policy selector mismatch detected:
This counter is incremented when an SVC packet is received with an inner IP header
that does not match the policy for the tunnel.
Recommendation:
None.This packet will be discarded automatically.
Syslogs:
None.
---------------------------------------------------------------Name: dtls-hello-close
DTLS hello processed and closed:
This counter is incremented when the UDP connection is dropped after the DTLS client
hello message processing is finished.This does not indicate an error.
Recommendation:
None.
Syslogs:
None.
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-86
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: svc-conn-timer-cb-fail
SVC connection timer callback failure:
This condition occurs when there is a failed attempt to place an event on the async
lock queue for that connection.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: svc-udp-conn-timer-cb-fail
SVC UDP connection timer callback failure:
This condition occurs when there is a failed attempt to place an event on the async
lock queue for that connection.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: nat64/46-conversion-fail
IPv6 to IPv4 or vice-versa conversion failure:
This condition occurs when there is a failure in conversion of IPv6 traffic to IPv4 or
vice-versa.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-cflow-clu-closed
Cluster flow with CLU closed on owner:
Director/backup unit received a cluster flow clu delete message from the owner unit
and terminated the flow.
Recommendation:
This counter should increment for every replicated clu that is torn down on the owner
unit.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-cflow-clu-timeout
Cluster flow with CLU removed from due to idle timeout:
A cluster flow with CLU is considered idle if director/backup unit no longer receives
periodical update from owner which is supposed to happen at fixed interval when flow is
alive.
Recommendation:
This counter is informational.
Syslogs:
None.
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-87
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: cluster-redirect
Flow matched a cluster redirect classify rule:
A stub forwarding flow will thereafter forward packets to the cluster unit that owns
the flow.
Recommendations:
This counter is informational and the behavior expected.The packet was forwarded to
the owner over the Cluster Control Link.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-drop-on-slave
Flow matched a cluster drop-on-slave classify rule:
This is for cases that the packets from L3 subnet are seen by all units and only
master unit need to process them.
Recommendations:
This counter is informational and the behavior expected.The packet is processed by
master.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-director-change
The flow director changed due to a cluster join event:
A new unit joined the cluster and is now the director for the flow.The old
director/backup has removed it's flow and the flow owner will update the new director.
Recommendations:
This counter is informational and the behavior expected.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-mcast-owner-change
The multicast flow owner changed due to a cluster join or leave event:
This flow gets created on a new owner unit.
Recommendations:
This counter is informational and the behavior expected.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-convert-to-dirbak
Forwarding or redirect flow converted to director or backup flow:
Forwarding or redirect flow is removed, so that director or backup flow can be
created.
Recommendations:
This counter is informational and the behavior expected.
Syslogs:
None.
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-88
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: inspect-scansafe-server-not-reachable
Scansafe server is not configured or the cloud is down:
Either the scansafe server IP is not specified in the scansafe general options or the
scansafe server is not reachable.
Recommendations:
This counter is informational and the behavior expected.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-director-closed
Flow removed due to director flow closed:
Owner unit received a cluster flow clu delete message from the director unit and
terminated the flow.
Recommendation:
This counter should increment for every replicated clu that is torn down on the
director unit.
Syslogs:
None.
---------------------------------------------------------------Name: cluster-pinhole-master-change
Master only pinhole flow removed at bulk sync due to master change:
Master only pinhole flow is removed during bulk sync because cluster master has
changed.
Recommendation:
This counter is informational and the behavior expected.
Syslogs:
302014
---------------------------------------------------------------Name: cluster-parent-owner-left
Flow removed at bulk sync becasue parent flow is gone:
Flow is removed during bulk sync becasue the parent flow's owner has left the cluster.
Recommendation:
This counter is informational and the behavior expected.
Syslogs:
302014
---------------------------------------------------------------Name: cluster-ctp-punt-channel-missing
Flow removed at bulk sync becasue CTP punt channel is missing:
Flow is removed during bulk sync because CTP punt channel is missing in cluster
restored flow.
Recommendation:
The cluster master may have just left the cluster.And there might be packet drops on
the Cluster Control Link.
Syslogs:
302014
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-89
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: vpn-overlap-conflict
VPN Network Overlap Conflict:
When a packet is decrypted, the inner packet is examined against the crypto map
configuration.If the packet matches a different crypto map entry than the one it was
received on, it will be dropped and this counter will increment.A common cause for this is
two crypto map entries containing similar/overlapping address spaces.
Recommendation:
Check your VPN configuration for overlapping networks.Verify the
order of your crypto maps and use of deny rules in ACLs.
Syslogs:
None
---------------------------------------------------------------Name: invalid-vxlan-segment-id
Invalid VXLAN segment-id:
This counter is incremented when the security appliance sees an invalid VXLAN
segment-id attached to a flow.
Recommendation:
No.
Syslogs:
None.
---------------------------------------------------------------Name: no-valid-nve-ifc
No valid NVE interface:
This counter is incremented when the security appliance fails to identify the NVE
interface of a VNI interface for a flow.
Recommendation:
Verify that the nve is configured for all interfaces.
Syslogs:
None.
---------------------------------------------------------------Name: invalid-peer-nve
Invalid peer NVE:
This counter is incremented when the security appliance fails to get IP and MAC
address of a peer NVE for a flow.
Recommendation:
Verify that peer nve is configured or learned for the nve.
Syslogs:
None.
---------------------------------------------------------------Name: vxlan-encap-error
Fail to encap with VXLAN:
This counter is incremented when the security appliance fails to encapsulate a packet
with VXLAN for a flow.
Recommendation:
No.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-90
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Syslogs:
None.
---------------------------------------------------------------Name: sfr-request
SFR requested to terminate the flow:
The SFR requested to terminate the flow.The actions bit 0 is set.
Recommendation:
Review SFR policies for any such rule denying the flow.
Syslogs:
None.
---------------------------------------------------------------Name: reset-by-sfr
SFR requested to terminate and reset the flow:
The SFR requested to terminate and reset the flow.The actions bit 1 is set.
Recommendation:
Review SFR policies for any such rule denying the flow.
Syslogs:
None.
---------------------------------------------------------------Name: sfr-fail-close
Flow was terminated:
The flow was terminated because the card is down and the configured policy was
'fail-close'.
Recommendation:
Check card status and attempt to restart services or reboot it.
Syslogs:
None.
---------------------------------------------------------------Name: cmd-invalid-encap
The security appliance received an invalid CMD packet.
An invalid CMD packet is one which does not conform to the standard CMD header
values.This counter checks if the packet conforms to the correct metadata, version,
length, option and sgt range.
Recommendation:
None.
Syslogs:
None.
---------------------------------------------------------------Name: ifc-not-cmd-enabled
The security appliance receives a CMD packet on an interface not configured to receive
one.
The packet is dropped.
Recommendation:
None.
Syslogs:
None.
----------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-91
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp drop
Name: ifc-zn-chg
Interface experienced a zone change
The parent interface has been joined or left a zone.
Recommendation:
None.
Syslogs:
302014, 302016, 302018, 302021, 302304
----------------------------------------------------------------
例
次に、show asp drop コ マ ン ド の出力例を示 し ま す。タ イ ム ス タ ン プが、カ ウ ン タ が最後に ク リ ア
さ れた時間を示 し てい ま す。
ciscoasa# show asp drop
Frame drop:
Flow is denied by configured rule (acl-drop)
Dst MAC L2 Lookup Failed (dst-l2_lookup-fail)
L2 Src/Dst same LAN port (l2_same-lan-port)
Expired flow (flow-expired)
3
4110
760
1
Last clearing: Never
Flow drop:
Flow is denied by access rule (acl-drop)
NAT failed (nat-failed)
NAT reverse path failed (nat-rpf-failed)
Inspection failure (inspect-fail)
Last clearing: 17:02:12 UTC Jan 17 2012 by enable_15
関連 コ マ ン ド
コ マン ド
capture
説明
clear asp drop
高速セ キ ュ リ テ ィ パ ス の ド ロ ッ プ統計情報を ク リ ア し ま す。
show conn
接続に関す る 情報を表示 し ま す。
パケ ッ ト を キ ャ プチ ャ し ま す。asp drop コ ー ド に基づいてパケ ッ ト を
キ ャ プチ ャ す る オプシ ョ ン も 含 ま れてい ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-92
24
28739
22266
19433
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp event dp-cp
show asp event dp-cp
デー タ パ ス ま たは制御パ ス の イ ベン ト キ ュ ーをデバ ッ グす る には、特権 EXEC モー ド で show
asp event dp-cp コ マ ン ド を使用 し ま す。
show asp event dp-cp [cxsc msg]
構文の説明
cxsc msg
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
（オプシ ョ ン）CXSC イ ベン ト キ ュ ーに送信 さ れ る CXSC イ ベン ト
メ ッ セージ を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
リ リ ース
9.0(1)
変更内容
9.1(3)
ルーテ ィ ン グ イ ベン ト キ ュ ー エ ン ト リ が追加 さ れ ま し た。
•
Yes
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
show asp event dp-cp コ マ ン ド は、デー タ パ ス お よ び制御パ ス の内容を表示 し ま す。こ の情報は、
問題の ト ラ ブルシ ュ ーテ ィ ン グ に役立つ場合が あ り ま す。デー タ パ ス と 制御パ ス の詳細につい
ては、CLI 設定ガ イ ド を参照 し て く だ さ い。こ れ ら の表はデバ ッ グ目的でのみ使用 さ れ、情報出力
は変更 さ れ る こ と が あ り ま す。こ の コ マ ン ド を使用 し た シ ス テ ム デバ ッ グ について支援が必要
な場合は、Cisco TAC にお問い合わせ く だ さ い。
例
次に、show asp event dp-cp コ マ ン ド の出力例を示 し ま す。
ciscoasa# show asp event dp-cp
DP-CP EVENT QUEUE
Punt Event Queue
Routing Event Queue
Identity-Traffic Event Queue
General Event Queue
Syslog Event Queue
Non-Blocking Event Queue
Midpath High Event Queue
Midpath Norm Event Queue
SRTP Event Queue
HA Event Queue
Threat-Detection Event Queue
QUEUE-LEN
0
0
0
0
0
0
0
0
0
0
0
HIGH-WATER
2048
1
17
0
3192
4
0
0
0
3
3
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-93
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp event dp-cp
ARP Event Queue
IDFW Event Queue
CXSC Event Queue
EVENT-TYPE
punt
inspect-sunrp
routing
arp-in
identity-traffic
syslog
threat-detection
ips-cplane
ha-msg
cxsc-msg
0
0
0
ALLOC ALLOC-FAIL ENQUEUED ENQ-FAIL
4005920
0
935295 3070625
4005920
0
935295 3070625
77
0
77
0
618
0
618
0
1519
0
1519
0
5501
0
5501
0
12
0
12
0
1047
0
1047
0
520
0
520
0
127
0
127
0
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-94
3
0
0
RETIRED 15SEC-RATE
4005920
4372
4005920
4372
77
0
618
0
1519
0
5501
0
12
0
1047
0
520
0
127
0
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp load-balance
show asp load-balance
ロ ー ド バ ラ ン サ キ ュ ー サ イ ズの ヒ ス ト グ ラ ム を表示す る には、特権 EXEC モー ド で show asp
load-balance コ マ ン ド を使用 し ま す。
show asp load-balance [detail]
構文の説明
detail
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
（オプシ ョ ン）ハ ッ シ ュ バケ ッ ト の詳細情報を表示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
リ リ ース
8.1(1)
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
show asp load-balance コ マ ン ド は、問題の ト ラ ブルシ ュ ーテ ィ ン グ に役立つ場合が あ り ま す。通
常、パケ ッ ト は イ ン タ ー フ ェ イ ス 受信 リ ン グ か ら プル し た同 じ コ ア に よ っ て処理 さ れ ま す。ただ
し 、別の コ ア が受信 し たパケ ッ ト と 同 じ 接続をすでに処理 し てい る 場合、パケ ッ ト は、その コ ア
に キ ュ ー イ ン グ さ れ ま す。こ の キ ュ ー イ ン グ に よ っ て、他の コ ア が ア イ ド ル状態で あ っ て も 、
ロ ー ド バ ラ ン サ キ ュ ーが大 き く な る こ と が あ り ま す。詳細については、asp load-balance
per-packet コ マ ン ド を参照 し て く だ さ い。
例
次に、show asp load-balance コ マ ン ド の出力例を示 し ま す。X 軸は異な る キ ュ ーに キ ュ ー イ ン グ
さ れてい る パケ ッ ト の数を表 し ま す。Y 軸は、パケ ッ ト が キ ュ ー イ ン グ さ れてい る ロ ー ド バ ラ ン
サのハ ッ シ ュ バケ ッ ト を表 し ま す（ ヒ ス ト グ ラ ム バケ ッ ト を示す ヒ ス ト グ ラ ム のバケ ッ ト と 混
同 し ないで く だ さ い）。キ ュ ーを持つハ ッ シ ュ バケ ッ ト の正確な数を確認す る には、detail キー
ワ ー ド を使用 し ま す。
ciscoasa# show asp load-balance
Histogram of 'ASP load balancer queue sizes'
64 buckets sampling from 1 to 65 (1 per bucket)
6 samples within range (average=23)
ASP load balancer queue sizes
100 +
|
|
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-95
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp load-balance
S
a
m
p
l
e
s
|
|
|
|
|
10 +
|
|
|
|
|
#
|
# #
# #
#
|
# #
# #
#
+---------+---------+---------+---------+---------+---------+---10
20
30
40
50
60
# of queued jobs per queue
次に、show asp load-balance detail コ マ ン ド の出力例を示 し ま す。
ciscoasa# show asp load-balance detail
<Same histogram output as before with the addition of the following values for the
histogram>
Data points:
<snip>
bucket[1-1] =
bucket[2-2] =
bucket[3-3] =
bucket[4-4] =
bucket[5-5] =
bucket[6-6] =
<snip>
bucket[28-28]
bucket[29-29]
bucket[30-30]
<snip>
bucket[41-41]
bucket[42-42]
関連 コ マ ン ド
コ マン ド
asp load-balance
per-packet
0
0
0
1
0
1
samples
samples
samples
samples
samples
samples
= 2 samples
= 0 samples
= 1 samples
= 0 samples
= 1 samples
説明
マルチ コ ア ASA モデルの コ ア ロ ー ド バ ラ ン シ ン グ方式を変更 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-96
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp load-balance per-packet
show asp load-balance per-packet
パケ ッ ト ご と の ASP ロ ー ド バ ラ ン シ ン グ の特定の統計情報 を表示す る には、特権 EXEC モー ド
で show asp load-balance per-packet コ マ ン ド を使用 し ま す。
show asp load-balance per-packet [history]
構文の説明
history
デフ ォル ト
こ のオプ シ ョ ン を指定 し ない場合は、こ の コ マ ン ド に よ っ て、基本 ス テー タ ス 、関連す る 値、お よ
びパケ ッ ト 単位の ASP ロ ー ド バ ラ ン シ ン グ の統計情報が表示 さ れ ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
（オプシ ョ ン）設定 ス テー タ ス （enabled、disabled、ま たは auto）、現在の ス
テー タ ス （enabled ま たは disabled）、最高水準点 と 最低水準点、グ ロ ーバ
ル し き い値、自動切 り 替え の発生回数、自動 ス イ ッ チ ン グ が イ ネーブル
な場合の最小お よ び最大待機時間、パケ ッ ト ご と の ASP ロ ー ド バ ラ ン
シ ン グ の タ イ ム ス タ ン プに よ る 履歴、オ ンお よ びオ フ に切 り 替え る 理
由を表示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
9.3(1)
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
show asp load-balance per-packet コ マ ン ド は、パケ ッ ト ご と の ASP ロ ー ド バ ラ ン シ ン グ の設定
ス テー タ ス （enabled、disabled、ま たは auto）、現在の ス テー タ ス （enabled ま たは disabled）、最高水
準点 と 最低水準点、グ ロ ーバル し き い値、自動切 り 替えの発生回数、自動 ス イ ッ チ ン グ が イ ネー
ブルな場合の最小お よ び最大待機時間を表示 し ま す。
こ の情報は次の形式で表示 さ れ ま す。
Config mode
: [ enabled | disabled | auto ]
Current status : [ enabled | disabled ]
RX ring Blocks low/high watermark
: [RX ring Blocks low watermark in percentage] /
[RX ring Blocks high watermark in percentage]
System RX ring count low threshold
: [System RX ring count low threshold] / [Total
number of RX rings in the system]
System RX ring count high threshold
: [System RX ring count high threshold] / [Total
number of RX rings in the system]
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-97
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp load-balance per-packet
auto モー ド
Current RX ring count threshold status : [Number of RX rings crossed watermark] / [Total
number of RX rings in the system]
Number of times auto switched
: [Number of times ASP load-balance per-packet has
been switched]
Min/max wait time with auto enabled
: [Minimal wait time with auto enabled] / [Maximal
wait time with auto enabled] (ms)
手動モー ド （Manual mode）
Current RX ring count threshold status : N/A
ASA 5585-X お よ び ASASM でのみ、こ の コ マ ン ド の使用がサポー ト さ れ ま す。
例
次に、show asp load-balance per-packet コ マ ン ド の出力例を示 し ま す。
ciscoasa# show asp load-balance per-packet
Config status : auto
Current status : disabled
RX ring Blocks low/high watermark
System RX ring count low threshold
System RX ring count high threshold
Current RX ring count threshold status
Number of times auto switched
Min/max wait time with auto enabled
:
:
:
:
:
:
50%
1 /
7 /
0 /
17
200
/ 75%
33
33
33
/ 6400 (ms)
次に、show asp load-balance per-packet history コ マ ン ド の出力例を示 し ま す。
ciscoasa# show asp load-balance per-packet history
Config status : auto
Current status : disabled
RX ring Blocks low/high watermark
System RX ring count low threshold
System RX ring count high threshold
Current RX ring count threshold status
Number of times auto switched
Min/max wait time with auto enabled
:
:
:
:
:
:
50%
1 /
7 /
0 /
17
200
/ 75%
33
33
33
/ 6400 (ms)
===================================================================================================
From State
To State
Reason
===================================================================================================
15:07:13 UTC Dec 17 2013
Manually Disabled
Manually Disabled
Disabled at startup
15:09:14 UTC Dec 17 2013
Manually Disabled
Manually Enabled
Config
15:09:15 UTC Dec 17 2013
Manually Enabled
Auto Disabled
0/33 of the ring(s) crossed the watermark
15:10:16 UTC Dec 17 2013
Auto Disabled
Auto Enabled
15:10:16 UTC Dec 17 2013
Auto Enabled
Auto Enabled
1/33 of the ring(s) crossed the watermark
Internal-Data0/0 RX[01] crossed above high watermark
2/33 of the ring(s) crossed the watermark
Internal-Data0/1 RX[04] crossed above high watermark
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-98
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp load-balance per-packet
15:10:16 UTC Dec 17 2013
Auto Enabled
Auto Enabled
15:10:16 UTC Dec 17 2013
Auto Enabled
Auto Enabled
15:10:17 UTC Dec 17 2013
Auto Enabled
Auto Enabled
3/33 of the ring(s) crossed the watermark
Internal-Data0/1 RX[05] crossed above high watermark
2/33 of the ring(s) crossed the watermark
Internal-Data0/0 RX[01] dropped below low watermark
3/33 of the ring(s) crossed the watermark
Internal-Data0/2 RX[01] crossed above high watermark
(---More---)
15:14:01 UTC Dec 17 2013
Auto Enabled
Auto Disabled
15:14:01 UTC Dec 17 2013
Auto Disabled
Auto Enabled
8/33 of the ring(s) crossed the watermark
Internal-Data0/3 RX[01] crossed above high watermark
7/33 of the ring(s) crossed the watermark
Internal-Data0/3 RX[01] dropped below low watermark
(---More---)
15:20:11 UTC Dec 17 2013
Auto Enabled
Auto Disabled
0/33 of the ring(s) crossed the watermark
Internal-Data0/2 RX[01] dropped below low watermark
(---More---)
関連 コ マ ン ド
コ マン ド
asp load-balance
per-packet auto
説明
各 イ ン タ ー フ ェ イ ス 受信 リ ン グ ま たは フ ロ ーのセ ッ ト でのパケ ッ ト ご
と の ASP ロ ー ド バ ラ ン シ ン グ のオ ン と オ フ を自動的に切 り 替え ま す。
clear asp load-balance パケ ッ ト ご と の ASP ロ ー ド バ ラ ン シ ン グ の履歴を ク リ ア し 、自動切 り
history
替え が発生 し た回数を リ セ ッ ト し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-99
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp table arp
show asp table arp
高速セ キ ュ リ テ ィ パ ス の ARP テーブル をデバ ッ グす る には、特権 EXEC モー ド で show asp
table arp コ マ ン ド を使用 し ま す。
show asp table arp [interface interface_name] [address ip_address [netmask mask]]
構文の説明
address ip_address
（オプシ ョ ン）ARP テーブル エ ン ト リ を表示す る IP ア ド レ ス を指定 し
ま す。
interface
interface_name
（オプシ ョ ン）ARP テーブル を表示す る 特定の イ ン タ ー フ ェ イ ス を指定
し ま す。
netmask mask
（オプシ ョ ン）IP ア ド レ ス のサブネ ッ ト マ ス ク を設定 し ま す。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
リ リ ース
7.0(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
show arp コ マ ン ド が コ ン ト ロ ール プ レ ーン の内容を表示す る のに対 し て、show asp table arp コ
マ ン ド は高速セ キ ュ リ テ ィ パ ス の内容を表示 し ま す。こ の情報は、問題の ト ラ ブルシ ュ ーテ ィ ン
グ に役立つ場合が あ り ま す。高速セ キ ュ リ テ ィ パ ス の詳細については、CLI 設定ガ イ ド を参照 し
て く だ さ い。こ れ ら の表はデバ ッ グ目的でのみ使用 さ れ、情報出力は変更 さ れ る こ と が あ り ま
す。こ の コ マ ン ド を使用 し た シ ス テ ム デバ ッ グ について支援が必要な場合は、Cisco TAC にお問
い合わせ く だ さ い。
例
次に、show asp table arp コ マ ン ド の出力例を示 し ま す。
ciscoasa# show asp table arp
Context: single_vf, Interface: inside
10.86.194.50
10.86.194.1
10.86.194.172
10.86.194.204
10.86.194.188
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-100
Active
Active
Active
Active
Active
000f.66ce.5d46
00b0.64ea.91a2
0001.03cf.9e79
000f.66ce.5d3c
000f.904b.80d7
hits
hits
hits
hits
hits
0
638
0
0
0
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp table arp
Context: single_vf, Interface: identity
::
0.0.0.0
関連 コ マ ン ド
Active
Active
コ マン ド
show arp
説明
show arp statistics
ARP 統計情報を表示 し ま す。
0000.0000.0000 hits 0
0000.0000.0000 hits 50208
ARP テーブル を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-101
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp table classify
show asp table classify
高速セ キ ュ リ テ ィ パ ス の分類子テーブル をデバ ッ グす る には、特権 EXEC モー ド で show asp
table classify コ マ ン ド を使用 し ま す。
show asp table classify [interface interface_name] [crypto | domain domain_name] [hits] [match
regexp] [user-statistics]
構文の説明
crypto
（オプシ ョ ン）暗号、暗号解除、お よ び IPSec ト ン ネル フ ロ ー ド メ イ ン
のみを表示 し ま す。
domain domain_name
（オプシ ョ ン）特定の分類子 ド メ イ ン のエ ン ト リ を表示 し ま す。ド メ イ
ン の リ ス ト については、「使用上のガ イ ド ラ イ ン」の項を参照 し て く だ
さ い。
hits
（オプシ ョ ン）0 以外の ヒ ッ ト 値を持つ分類子エ ン ト リ を表示 し ま す。
interface
interface_name
（オプシ ョ ン）分類子テーブル を表示す る 特定の イ ン タ ー フ ェ イ ス を指
定 し ま す。
match regexp
（オプシ ョ ン）正規表現に一致す る 分類子エ ン ト リ を表示 し ま す。正規
表現に ス ペー ス が含 ま れ る 場合、引用符を使用 し ま す。
user-statistics
（オプシ ョ ン）ユーザお よ びグループ情報を指定 し ま す。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
ルーテ ッ ド
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
リ リ ース
7.0(1)
変更内容
7.2(4)
hits オプ シ ョ ン、お よ び ASP テーブルの カ ウ ン タ が最後に ク リ ア さ れ
たのがいつか を示す タ イ ム ス タ ン プが追加 さ れ ま し た。
8.0(2)
match コ ンパ イ ルが中止 さ れた回数を示すために、新 し いカ ウ ン タ が追加
さ れま し た。こ のカ ウ ン タ は、値が 0 よ り 大 き い場合のみ表示 さ れます。
8.2(2)
match regexp オプ シ ョ ン が追加 さ れ ま し た。
8.4(4.1)
ASA CX モ ジ ュ ールの csxc お よ び cxsc-auth-proxy ド メ イ ン が追加 さ れ
ま し た。
9.0(1)
user-statistics キー ワ ー ド が追加 さ れ ま し た。出力が更新 さ れ、セ キ ュ リ
テ ィ グループ名お よ び ソ ー ス タ グ と 宛先 タ グ が追加 さ れ ま し た。
こ の コ マ ン ド が追加 さ れ ま し た。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-102
ト ラ ン スペ
アレン ト
シ ン グル
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp table classify
使用上のガイ ド ラ イ ン
リ リ ース
9.2(1)
変更内容
9.3(1)
出力のセ キ ュ リ テ ィ グループ タ グ（SGT）値が変更 さ れ ま し た。タ グ値
「tag=0」は「不明」の予約 SGT 値で あ る 0x0 と の完全一致を示 し ま す。
SGT 値「tag=any」は、ルールで考慮す る 必要がない値を示 し ま す。
ASA FirePOWER モ ジ ュ ールの sfr ド メ イ ン が追加 さ れ ま し た。
show asp table classify コ マ ン ド は、高速セ キ ュ リ テ ィ パ ス の分類子の内容を表示 し ま す。こ の情
報は、問題の ト ラ ブルシ ュ ーテ ィ ン グ に役立つ場合が あ り ま す。高速セ キ ュ リ テ ィ パ ス の詳細に
ついては、CLI 設定ガ イ ド を参照 し て く だ さ い。分類子は、着信パケ ッ ト のプ ロ パテ ィ （プ ロ ト コ
ル、送信元ア ド レ ス 、宛先ア ド レ ス な ど ）を検査 し て、各パケ ッ ト を適切な分類ルール と 対応付け
ま す。それぞれのルールには、パケ ッ ト の ド ロ ッ プや通過の許可な ど 、ど の タ イ プの ア ク シ ョ ン
を実行す る か を規定 し た分類 ド メ イ ン の ラ ベルが付け ら れ ま す。表示 さ れ る 情報はデバ ッ グ の
目的でのみ使用 さ れ ま す。ま た、出力は変更 さ れ る 可能性が あ り ま す。こ の コ マ ン ド を使用 し た
シ ス テ ム デバ ッ グ について支援が必要な場合は、Cisco TAC にお問い合わせ く だ さ い。
分類子 ド メ イ ン には、次の も のが あ り ま す。
aaa-acct
aaa-auth
aaa-user
accounting
app-redirect
arp
autorp
backup interface CLI (Apply backup interface rule)
capture
cluster-drop-mcast-from-peer
cluster-drop-on-non-owner
cluster-drop-on-slave
cluster-mark-mcast-from-peer
cluster-redirect
conn-nailed
conn-set
ctcp
cxsc
cxsc-auth-proxy
debug-icmp-trace
decrypt
dhcp
dynamic-filter
eigrp
encrypt
established
filter-activex
filter-ftp
filter-https
filter-java
filter-url
flow-export
host
host-limit
hqf
ids
inspect-ctiqbe
inspect-dcerpc
inspect-dns-cp
inspect-dns-ids
inspect-dns-np
inspect-ftp
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-103
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp table classify
inspect-ftp-data
inspect-gtp
inspect-h323
inspect-http
inspect-icmp
inspect-icmp-error
inspect-ils
inspect-im
inspect-ip-options
inspect-ipsec-pass-thru
inspect-ipv6
inspect-mgcp
inspect-mmp
inspect-netbios
inspect-phone-proxy
inspect-pptp
inspect-rsh
inspect-rtsp
inspect-scansafe
inspect-sip
inspect-skinny
inspect-smtp
inspect-snmp
inspect-sqlnet
inspect-sqlnet-plus
inspect-srtp
inspect-sunrpc
inspect-tftp
inspect-waas
inspect-xdmcp
ipsec-natt
ipsec-tunnel-flow
ipv6
l2tp
l2tp-ppp
limits
lu
mgmt-lockdown
mgmt-tcp-intercept
multicast
nat
nat-per-session
nat-reverse
no forward CLI (Apply no forward interface rule)
null
ospf
permit
permit-ip-option
permit-ip-option-explicit
pim
ppp
priority-q
punt
punt-root (soft NP)
qos
qos-per-class (soft NP)
qos-per-dest (soft NP)
qos-per-flow (soft NP)
qos-per-source (soft NP)
rip
sal-relay
sfr
shun
soft-np-tcp-module
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-104
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp table classify
soft-np-udp-module
splitdns
ssm
ssm-app-capacity
ssm-isvw
ssm-isvw-capable
svc-ib-tunnel-flow
svc-ob-tunnel-flow
tcp-intercept
tcp-ping
udp-unidirectional
user-statistics
vpn-user
wccp
例
次に、show asp table classify コ マ ン ド の出力例を示 し ま す。
ciscoasa# show asp table classify
Interface test:
No.of aborted compiles for input action table 0x33b3d70: 29
in id=0x36f3800, priority=10, domain=punt, deny=false
hits=0, user_data=0x0, flags=0x0
src ip=0.0.0.0, mask=0.0.0.0, port=0, tag=any
dst ip=10.86.194.60, mask=255.255.255.255, port=0, tag=any
in id=0x33d3508, priority=99, domain=inspect, deny=false
hits=0, user_data=0x0, use_real_addr, flags=0x0
src ip=0.0.0.0, mask=0.0.0.0, port=0, tag=any
dst ip=0.0.0.0, mask=0.0.0.0, port=0, tag=any
in id=0x33d3978, priority=99, domain=inspect, deny=false
hits=0, user_data=0x0, use_real_addr, flags=0x0
src ip=0.0.0.0, mask=0.0.0.0, port=53, tag=any
dst ip=0.0.0.0, mask=0.0.0.0, port=0, tag=any
...
次に、show asp table classify hits コ マ ン ド の出力例を示 し ま す。ヒ ッ ト カ ウ ン タ の最後の ク リ ア
の レ コ ー ド が示 さ れてい ま す。
Interface mgmt:
in id=0x494cd88, priority=210, domain=permit, deny=true
hits=54, user_data=0x1, cs_id=0x0, reverse, flags=0x0, protocol=0 src ip=0.0.0.0,
mask=0.0.0.0, port=0 dst ip=255.255.255.255, mask=255.255.255.255, port=0,
dscp=0x0
in id=0x494d1b8, priority=112, domain=permit, deny=false
hits=1, user_data=0x0, cs_id=0x0, reverse, flags=0x0, protocol=1 src ip=0.0.0.0,
mask=0.0.0.0, port=0 dst ip=0.0.0.0, mask=0.0.0.0, port=0, dscp=0x0
Interface inside:
in id=0x48f1580, priority=210, domain=permit, deny=true
hits=54, user_data=0x1, cs_id=0x0, reverse, flags=0x0, protocol=0 src ip=0.0.0.0,
mask=0.0.0.0, port=0 dst ip=255.255.255.255, mask=255.255.255.255, port=0,
dscp=0x0
in id=0x48f09e0, priority=1, domain=permit, deny=false
hits=101, user_data=0x0, cs_id=0x0, l3_type=0x608 src mac=0000.0000.0000,
mask=0000.0000.0000 dst mac=0000.0000.0000, mask=0000.0000.0000
Interface outside:
in id=0x48c0970, priority=210, domain=permit, deny=true
hits=54, user_data=0x1, cs_id=0x0, reverse, flags=0x0, protocol=0 src ip=0.0.0.0,
mask=0.0.0.0, port=0 dst ip=255.255.255.255, mask=255.255.255.255, port=0, dscp=0x0
次に、レ イ ヤ 2 情報を含む show asp table classify hits コ マ ン ド の出力例を示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-105
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp table classify
Input Table
in id=0x7fff2de10ae0, priority=120, domain=permit, deny=false
hits=4, user_data=0x0, cs_id=0x0, reverse, flags=0x0, protocol=1
src ip/id=0.0.0.0, mask=0.0.0.0, icmp-type=0
dst ip/id=0.0.0.0, mask=0.0.0.0, icmp-code=0, dscp=0x0
input_ifc=LAN-SEGMENT, output_ifc=identity in id=0x7fff2de135c0, priority=0,
domain=inspect-ip-options, deny=true
hits=41, user_data=0x0, cs_id=0x0, reverse, flags=0x0, protocol=0
src ip/id=0.0.0.0, mask=0.0.0.0, port=0
dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, dscp=0x0
input_ifc=LAN-SEGMENT, output_ifc=any
.
.
.
Output Table:
L2 - Output Table:
L2 - Input Table:
in id=0x7fff2de0e080, priority=1, domain=permit, deny=false
hits=30, user_data=0x0, cs_id=0x0, l3_type=0x608
src mac=0000.0000.0000, mask=0000.0000.0000
dst mac=0000.0000.0000, mask=0000.0000.0000
input_ifc=LAN-SEGMENT, output_ifc=any
in id=0x7fff2de0e580, priority=1, domain=permit, deny=false
hits=382, user_data=0x0, cs_id=0x0, l3_type=0x8
src mac=0000.0000.0000, mask=0000.0000.0000
dst mac=0000.0000.0000, mask=0100.0000.0000
input_ifc=LAN-SEGMENT, output_ifc=any
in id=0x7fff2de0e800, priority=1, domain=permit, deny=false
hits=312, user_data=0x0, cs_id=0x0, l3_type=0x8
src mac=0000.0000.0000, mask=0000.0000.0000
dst mac=ffff.ffff.ffff, mask=ffff.ffff.ffff
input_ifc=LAN-SEGMENT, output_ifc=any
次に、セ キ ュ リ テ ィ グループが ア ク セ ス リ ス ト で指定 さ れていない場合の show asp table
classify コ マ ン ド の出力例を示 し ま す。
ciscoasa# show asp table classify
in id=0x7ffedb54cfe0, priority=500, domain=permit, deny=true
hits=0, user_data=0x6, cs_id=0x0, flags=0x0, protocol=0
src ip/id=224.0.0.0, mask=240.0.0.0, port=0, tag=any
dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0
input_ifc=management, output_ifc=any
関連 コ マ ン ド
コ マン ド
show asp drop
説明
ド ロ ッ プ さ れたパケ ッ ト の高速セキ ュ リ テ ィ パ ス カ ウ ン タ を示 し ます。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-106
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp table cluster chash-table
show asp table cluster chash-table
高速セ キ ュ リ テ ィ パ ス の cHash テーブル を ク ラ ス タ リ ン グ用にデバ ッ グす る には、特権 EXEC
モー ド で show asp table cluster chash-table コ マ ン ド を使用 し ま す。
show asp table cluster chash-table
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
例
リ リ ース
9.0(1)
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
show asp table cluster chash-table コ マ ン ド は、高速セ キ ュ リ テ ィ パ ス の内容を表示 し ま す。こ の
情報は、問題の ト ラ ブルシ ュ ーテ ィ ン グ に役立つ場合が あ り ま す。高速セ キ ュ リ テ ィ パ ス の詳細
については、CLI 設定ガ イ ド を参照 し て く だ さ い。こ れ ら の表はデバ ッ グ目的でのみ使用 さ れ、情
報出力は変更 さ れ る こ と が あ り ま す。こ の コ マ ン ド を使用 し た シ ス テ ム デバ ッ グ について支援
が必要な場合は、Cisco TAC にお問い合わせ く だ さ い。
次に、show asp table cluster chash-table コ マ ン ド の出力例を示 し ま す。
ciscoasa# show asp table cluster chash-table
Cluster current chash table:
00003333
21001200
22000033
02222223
33331111
21110000
00133103
22222223
30000102
11222222
23222331
00002223
33111111
11000112
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-107
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp table cluster chash-table
22332000
00231121
11222220
33330223
31013211
11101111
13111111
11023133
30001100
00000111
12022222
00133333
33222000
00022222
33011333
11110002
33333322
13333030
関連 コ マ ン ド
コ マン ド
show asp cluster
counter
説明
ク ラ ス タ デー タ パ ス カ ウ ン タ 情報を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-108
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp table cts sgt-map
show asp table cts sgt-map
Cisco TrustSec のデー タ パ ス に保持 さ れてい る IP ア ド レ ス セ キ ュ リ テ ィ グループのテーブル
デー タ ベー ス か ら IP ア ド レ ス セ キ ュ リ テ ィ グループのテーブル マ ッ プ を表示す る には、特権
EXEC モー ド で show asp table cts sgt-map コ マ ン ド を使用 し ま す。
show asp table cts sgt-map [address ipv4 | address ipv6 | ipv4 | ipv6 | sgt sgt]
構文の説明
address ipv4
（オプシ ョ ン）指定 さ れた IPv4 ア ド レ ス の IP ア ド レ ス セ キ ュ リ テ ィ グ
ループのテーブル マ ッ プ を表示 し ま す。
address ipv6
（オプシ ョ ン）指定 さ れた IPv6 ア ド レ ス の IP ア ド レ ス セ キ ュ リ テ ィ グ
ループのテーブル マ ッ プ を表示 し ま す。
ipv4
（オプシ ョ ン）IPv4 ア ド レ ス のすべての IP ア ド レ ス セ キ ュ リ テ ィ グ
ループのテーブル マ ッ プ を表示 し ま す。
ipv6
（オプシ ョ ン）IPv6 ア ド レ ス のすべての IP ア ド レ ス セ キ ュ リ テ ィ グ
ループのテーブル マ ッ プ を表示 し ま す。
sgt sgt
（オプシ ョ ン）指定 さ れた セ キ ュ リ テ ィ グループ テーブルの IP ア ド レ
ス セ キ ュ リ テ ィ グループのテーブル マ ッ プ を表示 し ま す。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
9.0(1)
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
ア ド レ ス が指定 さ れていない場合は、デー タ パ ス の IP ア ド レ ス セ キ ュ リ テ ィ グループ テーブ
ル デー タ ベー ス 内のすべてのエ ン ト リ が表示 さ れ ま す。ア ド レ ス と し て、正確な ア ド レ ス ま たは
サブネ ッ ト ベー ス の ア ド レ ス を指定で き ま す。ま た、セ キ ュ リ テ ィ グループの名前が あ る 場合
は、表示 さ れ ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-109
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp table cts sgt-map
例
次に、show asp table cts sgt-map コ マ ン ド の出力例を示 し ま す。
ciscoasa# show asp table cts sgt-map
IP Address
SGT
==================================================
10.10.10.5
1234:Marketing
55.67.89.12
5:Engineering
56.34.0.0
338:HR
192.4.4.4
345:Finance
Total number of entries shown = 4
次に、show asp table cts sgt-map address コ マ ン ド の出力例を示 し ま す。
ciscoasa# show asp table cts sgt-map address 10.10.10.5
IP Address
SGT
=================================================
10.10.10.5
1234:Marketing
Total number of entries shown = 1
次に、show asp table cts sgt-map ipv6 コ マ ン ド の出力例を示 し ま す。
ciscoasa# show asp table cts sgt-map ipv6
IP Address
SGT
=============================================================
FE80::A8BB:CCFF:FE00:110
17:Marketing-Servers
FE80::A8BB:CCFF:FE00:120
18:Eng-Servers
Total number of entries shown = 2
次に、show asp table cts sgt-map sgt コ マ ン ド の出力例を示 し ま す。
ciscoasa# show asp table cts sgt-map sgt 17
IP Address
SGT
==============================================
FE80::A8BB:CCFF:FE00:110
17
Total number of entries shown = 1
関連 コ マ ン ド
コ マン ド
show running-config cts
説明
show cts environment
環境デー タ の リ フ レ ッ シ ュ 処理のヘル ス 状態 と ス テー タ ス を
表示 し ま す。
実行 コ ン フ ィ ギ ュ レ ーシ ョ ン の SXP 接続を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-110
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp table dynamic-filter
show asp table dynamic-filter
高速セ キ ュ リ テ ィ パ ス のボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ テーブル をデバ ッ グす る には、特
権 EXEC モー ド で show asp table dynamic-filter コ マ ン ド を使用 し ま す。
show asp table dynamic-filter [hits]
構文の説明
hits
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
（オプシ ョ ン）0 以外の ヒ ッ ト 値を持つ分類子エ ン ト リ を表示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
リ リ ース
8.2(1)
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
show asp table dynamic-filter コ マ ン ド は、高速セ キ ュ リ テ ィ パ ス 内のボ ッ ト ネ ッ ト ト ラ フ ィ ッ
ク フ ィ ル タ のルール を表示 し ま す。こ の情報は、問題の ト ラ ブルシ ュ ーテ ィ ン グ に役立つ場合が
あ り ま す。高速セ キ ュ リ テ ィ パ ス の詳細については、CLI 設定ガ イ ド を参照 し て く だ さ い。こ れ
ら の表はデバ ッ グ目的でのみ使用 さ れ、情報出力は変更 さ れ る こ と が あ り ま す。こ の コ マ ン ド を
使用 し た シ ス テ ム デバ ッ グ について支援が必要な場合は、Cisco TAC にお問い合わせ く だ さ い。
例
次に、show asp table dynamic-filter コ マ ン ド の出力例を示 し ま す。
ciscoasa# show asp table dynamic-filter
Context: admin
Address 10.246.235.42 mask 255.255.255.255 name: example.info
flags: 0x44 hits 0
Address 10.40.9.250 mask 255.255.255.255 name: bad3.example.com
flags: 0x44 hits 0
Address 10.64.147.20 mask 255.255.255.255 name: bad2.example.com flags: 0x44
hits 0
Address 10.73.210.121 mask 255.255.255.255 name: bad1.example.com flags:
0x44 hits 0
Address 10.34.131.135 mask 255.255.255.255 name: bad.example.com flags:
0x44 hits 0
Address 10.64.147.16 mask 255.255.255.255 name:
1st-software-downloads.com flags: 0x44 hits 2
Address 10.131.36.158 mask 255.255.255.255 name: www.example.com flags: 0x41 hits 0
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-111
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp table dynamic-filter
Address 10.129.205.209 mask 255.255.255.255 flags: 0x1 hits 0
Address 10.166.20.10 mask 255.255.255.255 flags: 0x1 hits 0
...
関連 コ マ ン ド
コ マン ド
address
説明
clear configure dynamic-filter
実行ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ コ ン フ ィ ギ ュ レ ー
シ ョ ン を ク リ ア し ま す。
clear dynamic-filter dns-snoop
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の DNS ス ヌ ー ピ ン グ
デー タ を ク リ ア し ま す。
clear dynamic-filter reports
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の レ ポー ト デー タ を ク
リ ア し ま す。
clear dynamic-filter statistics
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の統計情報を ク リ ア し
ま す。
dns domain-lookup
サポー ト さ れてい る コ マ ン ド に対 し て ネーム ル ッ ク ア ッ プ を
実行す る ために、ASA が DNS サーバに DNS 要求を送信で き
る よ う に し ま す。
dns server-group
ASA の DNS サーバ を指定 し ま す。
dynamic-filter
ambiguous-is-black
グ レ イ リ ス ト に登録 さ れてい る ト ラ フ ィ ッ ク を ブ ラ ッ ク リ ス
ト に登録 さ れてい る ト ラ フ ィ ッ ク と 同様のア ク シ ョ ン で処理
し ま す。
dynamic-filter blacklist
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ のブ ラ ッ ク リ ス ト を編
集 し ま す。
dynamic-filter database fetch
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ のダ イ ナ ミ ッ ク デー タ
ベー ス を手動で取得 し ま す。
dynamic-filter database find
ド メ イ ン名 ま たは IP ア ド レ ス を ダ イ ナ ミ ッ ク デー タ ベー ス
か ら 検索 し ま す。
dynamic-filter database purge
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ のダ イ ナ ミ ッ ク デー タ
ベー ス を手動で削除 し ま す。
dynamic-filter drop blacklist
ブ ラ ッ ク リ ス ト に登録 さ れてい る ト ラ フ ィ ッ ク を自動で ド
ロ ッ プ し ま す。
dynamic-filter enable
ア ク セ ス リ ス ト を指定 し ない場合に、ト ラ フ ィ ッ ク の ク ラ ス
ま たはすべての ト ラ フ ィ ッ ク のボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク
フ ィ ル タ を イ ネーブルに し ま す。
dynamic-filter updater-client
enable
ダ イ ナ ミ ッ ク デー タ ベー ス のダ ウ ン ロ ー ド を イ ネーブルに し
ま す。
dynamic-filter use-database
ダ イ ナ ミ ッ ク デー タ ベー ス の使用を イ ネーブルに し ま す。
dynamic-filter whitelist
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の ホ ワ イ ト リ ス ト を編
集 し ま す。
inspect dns
dynamic-filter-snoop
DNS イ ン ス ペ ク シ ョ ン と ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル
タ ス ヌ ー ピ ン グ を イ ネーブルに し ま す。
name
ブ ラ ッ ク リ ス ト ま たはホ ワ イ ト リ ス ト に名前 を追加 し ま す。
IP ア ド レ ス を ブ ラ ッ ク リ ス ト ま たはホ ワ イ ト リ ス ト に追加 し
ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-112
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp table dynamic-filter
コ マン ド
show dynamic-filter data
説明
show dynamic-filter dns-snoop
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の DNS ス ヌ ー ピ ン グ の
概要を表示 し ま す。detail キー ワ ー ド を指定 し た場合は、実際
の IP ア ド レ ス お よ び名前を表示 し ま す。
show dynamic-filter reports
上位 10 個のボ ッ ト ネ ッ ト サ イ ト 、ポー ト 、お よ び感染 し た ホ
ス ト に関す る レ ポー ト を生成 し ま す。
show dynamic-filter statistics
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ でモ ニ タ さ れた接続の
数、お よ び こ れ ら の接続の う ち、ホ ワ イ ト リ ス ト 、ブ ラ ッ ク リ
ス ト 、グ レ イ リ ス ト に一致す る 接続の数を表示 し ま す。
show dynamic-filter
updater-client
サーバの IP ア ド レ ス 、ASA が次にサーバに接続す る 日時、最
後に イ ン ス ト ール さ れたデー タ ベー ス のバージ ョ ン な ど 、
ア ッ プデー ト サーバに関す る 情報を表示 し ま す。
show running-config
dynamic-filter
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の実行 コ ン フ ィ ギ ュ
レ ーシ ョ ン を表示 し ま す。
ダ イ ナ ミ ッ ク デー タ ベー ス が最後にダ ウ ン ロ ー ド さ れた日
時、デー タ ベー ス のバージ ョ ン、デー タ ベー ス に含 ま れてい る
エ ン ト リ の数、10 個のサ ン プル エ ン ト リ な ど 、ダ イ ナ ミ ッ ク
デー タ ベー ス に関す る 情報を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-113
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp table filter
show asp table filter
高速セ キ ュ リ テ ィ パ ス の フ ィ ル タ テーブル をデバ ッ グす る には、特権 EXEC モー ド で show asp
table filter コ マ ン ド を使用 し ま す。
show asp table filter [access-list acl-name] [hits] [match regexp]
構文の説明
acl-name
（オプシ ョ ン）指定 さ れた ア ク セ ス リ ス ト に イ ン ス ト ール さ れた フ ィ
ル タ を指定 し ま す。
hits
（オプシ ョ ン）0 以外の ヒ ッ ト 値を持つ フ ィ ル タ ルール を指定 し ま す。
match regexp
（オプシ ョ ン）正規表現に一致す る 分類子エ ン ト リ を表示 し ま す。正規
表現に ス ペー ス が含 ま れ る 場合、引用符を使用 し ま す。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
リ リ ース
8.2(2)
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
フ ィ ル タ が VPN ト ン ネルに適用 さ れてい る 場合は、フ ィ ル タ テーブルに フ ィ ル タ ルールが登録
さ れ ま す。ト ン ネルに フ ィ ル タ が指定 さ れてい る 場合は、暗号化前お よ び復号化後に フ ィ ル タ
テーブルがチ ェ ッ ク さ れ、内部パケ ッ ト を許可 ま たは拒否す る かが決定 さ れ ま す。
例
次に、user1 が接続す る 前の show asp table filter コ マ ン ド の出力例を示 し ま す。暗黙拒否ルール
のみが着信 と 発信の両方向で IPv4 お よ び IPv6 に イ ン ス ト ール さ れ ま す。
ciscoasa# show asp table filter
Global Filter Table:
in id=0xd616ef20, priority=11, domain=vpn-user, deny=true
hits=0, user_data=0xd613ea60, filter_id=0x0(-implicit deny-), protocol=0
src ip=0.0.0.0, mask=0.0.0.0, port=0
dst ip=0.0.0.0, mask=0.0.0.0, port=0
in id=0xd616f420, priority=11, domain=vpn-user, deny=true
hits=0, user_data=0xd615ef70, filter_id=0x0(-implicit deny-), protocol=0
src ip=::/0, port=0
dst ip=::/0, port=0
out id=0xd616f1a0, priority=11, domain=vpn-user, deny=true
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-114
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp table filter
hits=0, user_data=0xd614d900, filter_id=0x0(-implicit deny-), protocol=0
src ip=0.0.0.0, mask=0.0.0.0, port=0
dst ip=0.0.0.0, mask=0.0.0.0, port=0
out id=0xd616f6d0, priority=11, domain=vpn-user, deny=true
hits=0, user_data=0xd6161638, filter_id=0x0(-implicit deny-), protocol=0
src ip=::/0, port=0
dst ip=::/0, port=0
次に、user1 が接続 し た後の show asp table filter コ マ ン ド の出力例を示 し ま す。VPN フ ィ ル タ
ACL は、着信方向に基づいて定義 さ れ ま す。ソ ー ス が ピ ア を表 し 、宛先は内部 リ ソ ー ス を表 し ま
す。発信ルールは着信ルールの ソ ー ス と 宛先を交換す る こ と に よ っ て生成 さ れ ま す。
ciscoasa# show asp table filter
Global Filter Table:
in id=0xd682f4a0, priority=12, domain=vpn-user, deny=false
hits=0, user_data=0xd682f460, filter_id=0x2(vpnfilter), protocol=6
src ip=0.0.0.0, mask=0.0.0.0, port=0
dst ip=95.1.224.100, mask=255.255.255.255, port=21
in id=0xd68366a0, priority=12, domain=vpn-user, deny=false
hits=0, user_data=0xd6d89050, filter_id=0x2(vpnfilter), protocol=6
src ip=0.0.0.0, mask=0.0.0.0, port=0
dst ip=95.1.224.100, mask=255.255.255.255, port=5001
in id=0xd45d5b08, priority=12, domain=vpn-user, deny=false
hits=0, user_data=0xd45d5ac8, filter_id=0x2(vpnfilter), protocol=17
src ip=0.0.0.0, mask=0.0.0.0, port=0
dst ip=95.1.224.100, mask=255.255.255.255, port=5002
in id=0xd6244f30, priority=12, domain=vpn-user, deny=false
hits=0, user_data=0xd6244ef0, filter_id=0x2(vpnfilter), protocol=1
src ip=0.0.0.0, mask=0.0.0.0, port=0
dst ip=95.1.224.100, mask=255.255.255.255, port=0
in id=0xd64edca8, priority=12, domain=vpn-user, deny=true
hits=0, user_data=0xd64edc68, filter_id=0x2(vpnfilter), protocol=1
src ip=0.0.0.0, mask=0.0.0.0, port=0
dst ip=0.0.0.0, mask=0.0.0.0, port=0
in id=0xd616f018, priority=11, domain=vpn-user, deny=true
hits=43, user_data=0xd613eb58, filter_id=0x0(-implicit deny-), protocol=0
src ip=0.0.0.0, mask=0.0.0.0, port=0
dst ip=0.0.0.0, mask=0.0.0.0, port=0
in id=0xd616f518, priority=11, domain=vpn-user, deny=true
hits=0, user_data=0xd615f068, filter_id=0x0(-implicit deny-), protocol=0
src ip=::/0, port=0
dst ip=::/0, port=0
out id=0xd7395650, priority=12, domain=vpn-user, deny=false
hits=0, user_data=0xd7395610, filter_id=0x2(vpnfilter), protocol=6
src ip=95.1.224.100, mask=255.255.255.255, port=21
dst ip=0.0.0.0, mask=0.0.0.0, port=0
out id=0xd45d49b8, priority=12, domain=vpn-user, deny=false
hits=0, user_data=0xd45d4978, filter_id=0x2(vpnfilter), protocol=6
src ip=95.1.224.100, mask=255.255.255.255, port=5001
dst ip=0.0.0.0, mask=0.0.0.0, port=0
out id=0xd45d5cf0, priority=12, domain=vpn-user, deny=false
hits=0, user_data=0xd45d5cb0, filter_id=0x2(vpnfilter), protocol=17
src ip=95.1.224.100, mask=255.255.255.255, port=5002
dst ip=0.0.0.0, mask=0.0.0.0, port=0
out id=0xd6245118, priority=12, domain=vpn-user, deny=false
hits=0, user_data=0xd62450d8, filter_id=0x2(vpnfilter), protocol=1
src ip=95.1.224.100, mask=255.255.255.255, port=0
dst ip=0.0.0.0, mask=0.0.0.0, port=0
out id=0xd64ede90, priority=12, domain=vpn-user, deny=true
hits=0, user_data=0xd64ede50, filter_id=0x2(vpnfilter), protocol=1
src ip=0.0.0.0, mask=0.0.0.0, port=0
dst ip=0.0.0.0, mask=0.0.0.0, port=0
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-115
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp table filter
out id=0xd616f298, priority=11, domain=vpn-user, deny=true
hits=0, user_data=0xd614d9f8, filter_id=0x0(-implicit deny-), protocol=0
src ip=0.0.0.0, mask=0.0.0.0, port=0
dst ip=0.0.0.0, mask=0.0.0.0, port=0
out id=0xd616f7c8, priority=11, domain=vpn-user, deny=true
hits=0, user_data=0xd6161730, filter_id=0x0(-implicit deny-), protocol=0
src ip=::/0, port=0
dst ip=::/0, port=0
関連 コ マ ン ド
コ マン ド
show asp drop
説明
show asp table classifier
高速セ キ ュ リ テ ィ パ ス の分類子の内容を表示 し ま す。
ド ロ ッ プ さ れたパケ ッ ト の高速セ キ ュ リ テ ィ パ ス カ ウ ン タ
を示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-116
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp table interfaces
show asp table interfaces
高速セ キ ュ リ テ ィ パ ス の イ ン タ ー フ ェ イ ス テーブル をデバ ッ グす る には、特権 EXEC モー ド で
show asp table interfaces コ マ ン ド を使用 し ま す。
show asp table interfaces
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
リ リ ース
7.0(1)
ルーテ ッ ド
•
ト ラ ン スペ
アレン ト
シ ン グル
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
show asp table interfaces コ マ ン ド は、高速セ キ ュ リ テ ィ パ ス の イ ン タ ー フ ェ イ ス テーブルの内
容を表示 し ま す。こ の情報は、問題の ト ラ ブルシ ュ ーテ ィ ン グ に役立つ場合が あ り ま す。高速セ
キ ュ リ テ ィ パ ス の詳細については、CLI 設定ガ イ ド を参照 し て く だ さ い。こ れ ら の表はデバ ッ グ
目的でのみ使用 さ れ、情報出力は変更 さ れ る こ と が あ り ま す。こ の コ マ ン ド を使用 し た シ ス テ ム
デバ ッ グ について支援が必要な場合は、Cisco TAC にお問い合わせ く だ さ い。
例
次に、show asp table interfaces コ マ ン ド の出力例を示 し ま す。
ciscoasa# show asp table interfaces
** Flags: 0x0001-DHCP, 0x0002-VMAC, 0x0010-Ident Ifc, 0x0020-HDB Initd,
0x0040-RPF Enabled
Soft-np interface 'dmz' is up
context single_vf, nicnum 0, mtu 1500
vlan 300, Not shared, seclvl 50
0 packets input, 1 packets output
flags 0x20
Soft-np interface 'foo' is down
context single_vf, nicnum 2, mtu 1500
vlan <None>, Not shared, seclvl 0
0 packets input, 0 packets output
flags 0x20
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-117
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp table interfaces
Soft-np interface 'outside' is down
context single_vf, nicnum 1, mtu 1500
vlan <None>, Not shared, seclvl 50
0 packets input, 0 packets output
flags 0x20
Soft-np interface 'inside' is up
context single_vf, nicnum 0, mtu 1500
vlan <None>, Not shared, seclvl 100
680277 packets input, 92501 packets output
flags 0x20
...
関連 コ マ ン ド
コ マン ド
interface
説明
show interface
イ ン タ ー フ ェ イ ス の実行時 ス テー タ ス と 統計情報を表示 し ま す。
イ ン タ ー フ ェ イ ス を設定 し 、イ ン タ ー フ ェ イ ス コ ン フ ィ ギ ュ レ ーシ ョ
ン モー ド を開始 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-118
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp table routing
show asp table routing
高速セ キ ュ リ テ ィ パ ス のルーテ ィ ン グ テーブル をデバ ッ グす る には、特権 EXEC モー ド で show
asp table routing コ マ ン ド を使用 し ま す。こ の コ マ ン ド は IPv4 お よ び IPv6 の ア ド レ ス を サポー
ト し ま す。
show asp table routing [input | output] [address ip_address [netmask mask] |
interface interface_name]
構文の説明
address ip_address
ルーテ ィ ン グ エ ン ト リ を表示す る IP ア ド レ ス を設定 し ま す。IPv6 ア ド
レ ス の場合は、ス ラ ッ シ ュ （/）に続け て プ レ フ ィ ッ ク ス （0 ～ 128）を入
力 し 、サブネ ッ ト マ ス ク を含め る こ と がで き ま す。た と えば、次の よ う
に入力 し ま す。
fe80::2e0:b6ff:fe01:3b7a/128
input
入力ルー ト テーブルに あ る エ ン ト リ を表示 し ま す。
interface
interface_name
（オプシ ョ ン）ルーテ ィ ン グ テーブル を表示す る 特定の イ ン タ ー フ ェ
イ ス を指定 し ま す。
netmask mask
IPv4 ア ド レ ス の場合は、サブネ ッ ト マ ス ク を指定 し ま す。
output
出力ルー ト テーブルに あ る エ ン ト リ を表示 し ま す。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
（注）
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
リ リ ース
7.0(1)
変更内容
9.3(2)
ゾーン情報ご と のルーテ ィ ン グ が追加 さ れ ま し た。
•
Yes
こ の コ マ ン ド が追加 さ れ ま し た。
show asp table routing コ マ ン ド は、高速セ キ ュ リ テ ィ パ ス のルーテ ィ ン グ テーブルの内容 を表
示 し ま す。こ の情報は、問題の ト ラ ブルシ ュ ーテ ィ ン グ に役立つ場合が あ り ま す。高速セ キ ュ リ
テ ィ パ ス の詳細については、CLI 設定ガ イ ド を参照 し て く だ さ い。こ れ ら の表はデバ ッ グ目的で
のみ使用 さ れ、情報出力は変更 さ れ る こ と が あ り ま す。こ の コ マ ン ド を使用 し た シ ス テ ム デバ ッ
グ について支援が必要な場合は、Cisco TAC にお問い合わせ く だ さ い。
無効な エ ン ト リ が、ASA 5505 で show asp table routing コ マ ン ド の出力に表示 さ れ る 場合が あ り
ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-119
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp table routing
例
次に、show asp table routing コ マ ン ド の出力例を示 し ま す。
ciscoasa# show asp table routing
in
in
in
in
in
in
in
in
in
in
in
in
out
out
out
out
out
out
out
out
out
out
（注）
関連 コ マ ン ド
255.255.255.255
224.0.0.9
10.86.194.60
10.86.195.255
10.86.194.0
209.165.202.159
209.165.202.255
209.165.201.30
209.165.201.0
10.86.194.0
224.0.0.0
0.0.0.0
255.255.255.255
224.0.0.0
255.255.255.255
224.0.0.0
255.255.255.255
10.86.194.0
224.0.0.0
0.0.0.0
0.0.0.0
::
255.255.255.255
255.255.255.255
255.255.255.255
255.255.255.255
255.255.255.255
255.255.255.255
255.255.255.255
255.255.255.255
255.255.255.255
255.255.254.0
240.0.0.0
0.0.0.0
255.255.255.255
240.0.0.0
255.255.255.255
240.0.0.0
255.255.255.255
255.255.254.0
240.0.0.0
0.0.0.0
0.0.0.0
::
show asp table routing コ マ ン ド の出力の無効なエ ン ト リ が ASA 5505 プ ラ ッ ト フ ォ ーム に表示
さ れ る 場合が あ り ま す。こ れ ら のエ ン ト リ は無視 し ま す。こ れ ら のエ ン ト リ は無効です。
コ マン ド
show route
説明
コ ン ト ロ ール プ レ ーン内のルーテ ィ ン グ テーブル を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-120
identity
identity
identity
identity
identity
identity
identity
identity
identity
inside
identity
inside
foo
foo
test
test
inside
inside
inside
via 10.86.194.1, inside
via 0.0.0.0, identity
via 0.0.0.0, identity
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp table socket
show asp table socket
高速セ キ ュ リ テ ィ パ ス の ソ ケ ッ ト 情報をデバ ッ グす る には、特権 EXEC モー ド で show asp table
socket コ マ ン ド を使用 し ま す。
show asp table socket [socket handle] [stats]
構文の説明
socket handle
ソ ケ ッ ト の長 さ を指定 し ま す。
stats
高速セ キ ュ リ テ ィ パ ス の ソ ケ ッ ト テーブルの統計情報を表示 し ま す。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
リ リ ース
8.0(2)
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
show asp table socket コ マ ン ド は、高速セ キ ュ リ テ ィ パ ス の ソ ケ ッ ト 情報を表示 し ま す。こ の情報
は、高速セ キ ュ リ テ ィ パ ス の ソ ケ ッ ト におけ る 問題の ト ラ ブルシ ュ ーテ ィ ン グに役立つ場合があ
り ま す。高速セ キ ュ リ テ ィ パ ス の詳細については、CLI 設定ガ イ ド を参照 し て く だ さ い。こ れ ら の
表はデバ ッ グ目的でのみ使用 さ れ、情報出力は変更 さ れ る こ と があ り ま す。こ の コ マ ン ド を使用
し た シ ス テ ム デバ ッ グについて支援が必要な場合は、Cisco TAC にお問い合わせ く だ さ い。
例
次に、show asp table socket コ マ ン ド の出力例を示 し ま す。
TCP Statistics:
Rcvd:
total14794
checksum errors0
no port0
Sent:
total0
UDP Statistics:
Rcvd:
total0
checksum errors0
Sent:
total0
copied0
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-121
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp table socket
NP SSL System Stats:
Handshake Started:33
Handshake Complete:33
SSL Open:4
SSL Close:117
SSL Server:58
SSL Server Verify:0
SSL Client:0
TCP/UDP 統計情報は、送受信 し たパケ ッ ト の う ち、ASA で実行 ま たは リ ッ ス ン し てい る サー ビ
ス （Telnet、SSH、HTTPS な ど ）に転送 さ れ る パケ ッ ト の数を示すパケ ッ ト カ ウ ン タ です。チ ェ ッ
ク サ ム エ ラ ーは、計算 さ れたパケ ッ ト チ ェ ッ ク サ ム がパケ ッ ト に保存 さ れてい る チ ェ ッ ク サ ム
値 と 一致 し なか っ た（つ ま り 、パケ ッ ト が破損 し た）ため、ド ロ ッ プ さ れたパケ ッ ト の数です。NP
SSL 統計情報は、受信 し た各 タ イ プの メ ッ セージの数を示 し ま す。ほ と ん ど が、SSL サーバ ま た
は SSL ク ラ イ ア ン ト への新 し い SSL 接続の開始 と 終了を示 し ま す。
関連 コ マ ン ド
コ マン ド
show asp table vpn-context
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-122
説明
高速セ キ ュ リ テ ィ パ ス の VPN コ ン テ キ ス ト テーブル を
表示 し ま す。
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp table vpn-context
show asp table vpn-context
高速セ キ ュ リ テ ィ パ ス の VPN コ ン テ キ ス ト テーブル をデバ ッ グす る には、特権 EXEC モー ド で
show asp table vpn-context コ マ ン ド を使用 し ま す。
show asp table vpn-context [detail]
構文の説明
detail
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
（オプシ ョ ン）VPN コ ン テ キ ス ト テーブルに関す る 追加の詳細情報を
表示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
リ リ ース
7.0(1)
変更内容
8.0(4)
ト ン ネルの ド ロ ッ プ後に ス テー ト フ ル フ ロ ーを保持す る 各 コ ン テ キ ス
ト に +PRESERVE フ ラ グ が追加 さ れ ま し た。
9.0(1)
マルチ コ ン テ キ ス ト モー ド のサポー ト が追加 さ れ ま し た。
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
show asp table vpn-context コ マ ン ド は、高速セ キ ュ リ テ ィ パ ス の VPN コ ン テ キ ス ト の内容を表
示 し ま す。こ の情報は、問題の ト ラ ブルシ ュ ーテ ィ ン グ に役立つ場合が あ り ま す。高速セ キ ュ リ
テ ィ パ ス の詳細については、CLI 設定ガ イ ド を参照 し て く だ さ い。こ れ ら の表はデバ ッ グ目的で
のみ使用 さ れ、情報出力は変更 さ れ る こ と が あ り ま す。こ の コ マ ン ド を使用 し た シ ス テ ム デバ ッ
グ について支援が必要な場合は、Cisco TAC にお問い合わせ く だ さ い。
例
次に、show asp table vpn-context コ マ ン ド の出力例を示 し ま す。
ciscoasa# show asp table vpn-context
VPN
VPN
VPN
VPN
VPN
VPN
VPN
VPN
VPN
...
ID=0058070576,
ID=0058193920,
ID=0058168568,
ID=0058161168,
ID=0058153728,
ID=0058150440,
ID=0058102088,
ID=0058134088,
ID=0058103216,
DECR+ESP,
ENCR+ESP,
DECR+ESP,
ENCR+ESP,
DECR+ESP,
ENCR+ESP,
DECR+ESP,
ENCR+ESP,
DECR+ESP,
UP,
UP,
UP,
UP,
UP,
UP,
UP,
UP,
UP,
pk=0000000000,
pk=0000000000,
pk=0000299627,
pk=0000305043,
pk=0000271432,
pk=0000285328,
pk=0000268550,
pk=0000274673,
pk=0000252854,
rk=0000000000,
rk=0000000000,
rk=0000000061,
rk=0000000061,
rk=0000000061,
rk=0000000061,
rk=0000000061,
rk=0000000061,
rk=0000000061,
gc=0
gc=0
gc=2
gc=1
gc=2
gc=1
gc=2
gc=1
gc=2
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-123
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp table vpn-context
次に、PRESERVE フ ラ グ で示 さ れてい る よ う に固定の IPsec ト ン ネル フ ロ ー機能が イ ネーブル
にな っ てい る 場合の show asp table vpn-context コ マ ン ド の出力例を示 し ま す。
ciscoasa(config)# show asp table vpn-context
VPN CTX=0x0005FF54, Ptr=0x6DE62DA0, DECR+ESP+PRESERVE, UP, pk=0000000000, rk=0000000000,
gc=0
VPN CTX=0x0005B234, Ptr=0x6DE635E0, ENCR+ESP+PRESERVE, UP, pk=0000000000, rk=0000000000,
gc=0
次に、show asp table vpn-context detail コ マ ン ド の出力例を示 し ま す。
ciscoasa# show asp table vpn-context detail
VPN Ctx =
State
=
Flags
=
SA
=
SPI
=
Group
=
Pkts
=
Bad Pkts =
Bad SPI =
Spoof
=
Bad Crypto
Rekey Pkt
Rekey Call
0058070576 [0x03761630]
UP
DECR+ESP
0x037928F0
0xEA0F21F0
0
0
0
0
0
= 0
= 0
= 0
VPN Ctx =
State
=
Flags
=
SA
=
SPI
=
Group
=
Pkts
=
Bad Pkts =
Bad SPI =
Spoof
=
Bad Crypto
Rekey Pkt
Rekey Call
...
0058193920 [0x0377F800]
UP
ENCR+ESP
0x037B4B70
0x900FDC32
0
0
0
0
0
= 0
= 0
= 0
次に、PRESERVE フ ラ グ で示 さ れてい る よ う に固定の IPsec ト ン ネル フ ロ ー機能が イ ネーブル
にな っ てい る 場合の show asp table vpn-context detail コ マ ン ド の出力例を示 し ま す。
ciscoasa(config)# show asp table vpn-context detail
VPN CTX
= 0x0005FF54
Peer IP =
Pointer =
State
=
Flags
=
SA
=
SPI
=
Group
=
Pkts
=
Bad Pkts =
Bad SPI =
Spoof
=
Bad Crypto
Rekey Pkt
Rekey Call
ASA_Private
0x6DE62DA0
UP
DECR+ESP+PRESERVE
0x001659BF
0xB326496C
0
0
0
0
0
= 0
= 0
= 0
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-124
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp table vpn-context
VPN CTX
= 0x0005B234
Peer IP = ASA_Private
Pointer = 0x6DE635E0
State
= UP
Flags
= ENCR+ESP+PRESERVE
SA
= 0x0017988D
SPI
= 0x9AA50F43
Group
= 0
Pkts
= 0
Bad Pkts = 0
Bad SPI = 0
Spoof
= 0
Bad Crypto = 0
Rekey Pkt = 0
Rekey Call = 0
ciscoasa(config)#
Configuration and Restrictions
This configuration option is subject to the same CLI configuration restrictions as other
sysopt VPN CLI.
関連 コ マ ン ド
コ マン ド
show asp drop
説明
ド ロ ッ プ さ れたパケ ッ ト の高速セキ ュ リ テ ィ パ ス カ ウ ン タ を示 し ます。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-125
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show asp table zone
show asp table zone
高速セ キ ュ リ テ ィ パ ス の ゾーン テーブル をデバ ッ グす る には、特権 EXEC モー ド で show asp
table zone コ マ ン ド を使用 し ま す。
show asp table zone [zone_name]
構文の説明
zone_name
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
（オプシ ョ ン）ゾーン名を指定 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
特権 EXEC
コ マ ン ド 履歴
リ リ ース
9.3(2)
•
Yes
—
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
show asp table zone コ マ ン ド は、高速セ キ ュ リ テ ィ パ ス の内容を表示 し ま す。こ の情報は、問題の
ト ラ ブルシ ュ ーテ ィ ン グ に役立つ場合が あ り ま す。高速セ キ ュ リ テ ィ パ ス の詳細については、
CLI 設定ガ イ ド を参照 し て く だ さ い。こ れ ら の表はデバ ッ グ目的でのみ使用 さ れ、情報出力は変
更 さ れ る こ と が あ り ま す。こ の コ マ ン ド を使用 し た シ ス テ ム デバ ッ グ について支援が必要な場
合は、Cisco TAC にお問い合わせ く だ さ い。
例
次に、show asp table zone コ マ ン ド の出力例を示 し ま す。
ciscoasa# show asp table zone
Zone: outside-zone id: 2
Context: test-ctx
Zone Member(s) : 2
outside1
GigabitEthernet0/0
outside2
GigabitEthernet0/1
関連 コ マ ン ド
コ マン ド
説明
show asp table routing デバ ッ グ のために高速セ キ ュ リ テ ィ パ ス テーブル を表示 し 、各ルー ト
に関連付け ら れた ゾーン を表示 し ま す。
show zone
ゾーン ID、コ ン テ キ ス ト 、セ キ ュ リ テ ィ レ ベル、お よ び メ ン バーを表示
し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-126
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show auto-update
show auto-update
Auto Update Server の ス テー タ ス を表示す る には、特権 EXEC モー ド で show auto-update コ マ ン ド
を使用 し ま す。
show auto-update
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
コ マン ド デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
リ リ ース
7.2(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
Auto Update Server の ス テー タ ス を表示す る には、こ の コ マ ン ド を使用 し ま す。
例
次に、show auto-update コ マ ン ド の出力例を示 し ま す。
ciscoasa(config)# show auto-update
Poll period: 720 minutes, retry count: 0, retry period: 5 minutes
Timeout: none
Device ID: host name [ciscoasa]
関連 コ マ ン ド
コ マン ド
auto-update device-id
説明
auto-update poll-period
Auto Update Server か ら のア ッ プデー ト を ASA が確認す る 頻度を
設定 し ま す。
auto-update server
Auto Update Server を指定 し ま す。
Auto Update Server で使用す る ための ASA デバ イ ス ID を設定 し
ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-127
第3章
show as-path-access-list コ マ ン ド ～ show auto-update コ マ ン ド
show auto-update
auto-update timeout
タ イ ム ア ウ ト 期間内に Auto Update Server に接続 さ れない場合、
ASA を通過す る ト ラ フ ィ ッ ク を停止 し ま す。
clear configure auto-update
Auto Update Server コ ン フ ィ ギ ュ レ ーシ ョ ン を ク リ ア し ま す。
show running-config
auto-update
Auto Update Server コ ン フ ィ ギ ュ レ ーシ ョ ン を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
3-128
CH A P T E R
4
show bgp コ マ ン ド ～ show cpu コ マ ン ド
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-1
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp
show bgp
Border Gateway Protocol（BGP）ルーテ ィ ン グ テーブル内のエ ン ト リ を表示す る には、ユーザ EXEC
モー ド ま たは特権 EXEC モー ド で show bgp コ マ ン ド を使用 し ます。
show bgp [ip-address [mask [longer-prefixes [injected] | shorter-prefixes [length]
| bestpath | multipaths | subnets] | bestpath | multipaths]
| all | prefix-list name | pending-prefixes | route-map name]]
構文の説明
コ マ ン ド モー ド
ip-address
（オプシ ョ ン）AS パ ス ア ク セ ス リ ス ト 名を指定 し ます。
mask （オプシ ョ ン）指定 し た ネ ッ ト ワ ー ク の一部で あ る ホ ス ト を フ ィ ル タ リ
ン グ ま たは照合す る ためのマ ス ク 。
longer-prefixes
（オプシ ョ ン）指定 し たルー ト と 、よ り 限定的なすべてのルー ト を表示 し
ま す。
injected
（オプシ ョ ン）BGP ルーテ ィ ン グ テーブルに注入 さ れた、よ り 限定的な
プ レ フ ィ ッ ク ス を表示 し ま す。
shorter-prefixes
（オプシ ョ ン）指定 し たルー ト と 、よ り 限定的で ないすべてのルー ト を表
示 し ま す。
length
（オプシ ョ ン）プ レ フ ィ ッ ク ス長。こ の引数の値は、0 ～ 32 の数値です。
bestpath （オプシ ョ ン） こ のプ レ フ ィ ッ ク ス の最適パ ス を表示 し ま す。
multipaths
（オプシ ョ ン） こ のプ レ フ ィ ッ ク ス のマルチパ ス を表示 し ま す。
subnets
（オプシ ョ ン）指定 し たプ レ フ ィ ッ ク ス のサブネ ッ ト ルー ト を表示 し
ま す。
all
（オプシ ョ ン）BGP ルーテ ィ ン グ テーブルのすべてのア ド レ ス フ ァ ミ
リ 情報を表示 し ま す。
prefix-list name （オプシ ョ ン）指定 し たプ レ フ ィ ッ ク ス リ ス ト に基づい て出力を フ ィ ル
タ リ ン グ し ま す。
pending-prefixes
（オプシ ョ ン）BGP ルーテ ィ ン グ テーブルか ら の削除が保留 さ れてい る
プ レ フ ィ ッ ク ス を表示 し ま す。
route-map name
（オプシ ョ ン）指定 し たルー ト マ ッ プに基づい て出力を フ ィ ル タ リ ン グ
し ま す。
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
リ リ ース
9.2(1)
•
Yes
—
•
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-2
ト ラ ン スペ
アレン ト
シ ン グル
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp
使用上のガイ ド ラ イ ン
show bgp コ マ ン ド は、BGP ルーテ ィ ン グ テーブルの内容を表示す る ために使用 し ま す。出力は、
特定のプ レ フ ィ ッ ク ス のエ ン ト リ 、特定のプ レ フ ィ ッ ク ス 長のエ ン ト リ 、お よ び、プ レ フ ィ ッ ク
ス リ ス ト 、ルー ト マ ッ プ、ま たは条件付 き ア ド バ タ イ ズ メ ン ト を介 し て注入 さ れたプ レ フ ィ ッ
ク ス のエ ン ト リ を表示す る よ う に フ ィ ル タ リ ン グ で き ま す。
Cisco IOS Release 12.0(32)SY8、12.0(33)S3、12.2(33)SRE、12.2(33)XNE、12.2(33)SXI1、Cisco IOS
XE Release 2.4、お よ びそれ以降の リ リ ー ス では、シ ス コ が採用 し てい る 4 バ イ ト 自律シ ス テ ム番
号は、自律シ ス テ ム番号の正規表現のマ ッ チ ン グお よ び出力表示形式のデ フ ォ ル ト と し て
asplain（た と えば、65538）を使用 し てい ま すが、RFC 5396 に記載 さ れてい る と お り 、4 バ イ ト 自律
シ ス テ ム番号を asplain 形式お よ び asdot 形式の両方で設定で き ま す。4 バ イ ト 自律シ ス テ ム番号
の正規表現マ ッ チ ン グ と 出力表示のデ フ ォ ル ト を asdot 形式に変更す る には、bgp asnotation dot
コ マ ン ド に続け て、clear bgp * コ マ ン ド を実行 し 、現在の BGP セ ッ シ ョ ン をすべてハー ド リ
セ ッ ト し ま す。
例
次に、BGP ルーテ ィ ン グ テーブルの出力例を示 し ま す。
Router# show bgp
BGP table version is 22, local router ID is 10.1.1.1
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
r RIB-failure, S Stale, m multipath, b backup-path, x best-external
Origin codes: i - IGP, e - EGP, ?- incomplete
Network
Next Hop
Metric LocPrf Weight Path
*> 10.1.1.1/32
0.0.0.0
0
32768 i
*>i10.2.2.2/32
172.16.1.2
0
100
0 i
*bi10.9.9.9/32
192.168.3.2
0
100
0 10 10 i
*>
192.168.1.2
0 10 10 i
* i172.16.1.0/24
172.16.1.2
0
100
0 i
*>
0.0.0.0
0
32768 i
*> 192.168.1.0
0.0.0.0
0
32768 i
*>i192.168.3.0
172.16.1.2
0
100
0 i
*bi192.168.9.0
192.168.3.2
0
100
0 10 10 i
*>
192.168.1.2
0 10 10 i
*bi192.168.13.0
192.168.3.2
0
100
0 10 10 i
*>
192.168.1.2
0 10 10 i
表 4-1 に、各 フ ィ ール ド の説明を示 し ま す。
表 4-1
show bgp のフ ィ ール ド
フ ィ ール ド 説明
BGP table
version
テーブルの内部バージ ョ ン番号。こ の番号は、テーブルが変更 さ れ る たびに増分 し
ま す。
local router ルー タ の IP ア ド レ ス 。
ID
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-3
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp
フ ィ ール ド 説明
Status codes テーブル エ ン ト リ の ス テー タ ス 。テーブルの各行の最初に ス テー タ ス が表示 さ れ
ま す。次のいずれかの値にな り ま す。
Origin
codes
•
s：テーブル エ ン ト リ が非表示にな っ てい ま す。
•
d：テーブル エ ン ト リ がダ ン プニ ン グ さ れてい ま す。
•
h：テーブル エ ン ト リ の履歴です。
•
*：テーブル エ ン ト リ が有効です。
•
>：テーブル エ ン ト リ がそのネ ッ ト ワ ー ク で使用す る ための最良エ ン ト リ です。
•
i：テーブル エ ン ト リ が内部 BGP（iBGP）セ ッ シ ョ ン を経由 し て学習 さ れます。
•
r：テーブル エ ン ト リ は RIB 障害です。
•
S：テーブル エ ン ト リ は失効 し てい ま す。
•
m：テーブル エ ン ト リ には、そのネ ッ ト ワ ー ク で使用す る ためのマルチパ ス が
含 ま れてい ま す。
•
b：テーブル エ ン ト リ には、そのネ ッ ト ワ ー ク で使用す る ためのバ ッ ク ア ッ プ
パ ス が含 ま れてい ま す。
•
x：テーブル エ ン ト リ には、ネ ッ ト ワ ー ク で使用す る ための最適外部ルー ト が
含 ま れてい ま す。
エ ン ト リ の作成元。作成元の コ ー ド はテーブルの各行の終わ り に あ り ま す。次のい
ずれかの値にな り ま す。
•
i：内部ゲー ト ウ ェ イ プ ロ ト コ ル（IGP）か ら 発信 さ れ、network ルー タ コ ン フ ィ
ギ ュ レ ーシ ョ ン コ マ ン ド を使用 し て ア ド バ タ イ ズ さ れたエ ン ト リ 。
•
e：外部ゲー ト ウ ェ イ プ ロ ト コ ル（EGP）か ら 発信 さ れたエ ン ト リ 。
•
?：パ ス の発信元は ク リ ア さ れ ま せん。通常、こ れは IGP か ら BGP に再配信 さ れ
る ルー タ です。
Network
ネ ッ ト ワ ー ク エ ン テ ィ テ ィ の IP ア ド レ ス 。
Next Hop
パケ ッ ト を宛先ネ ッ ト ワ ー ク に転送す る と き に使用 さ れ る 、次のシ ス テ ム の IP ア
ド レ ス 。0.0.0.0 のエ ン ト リ は、ルー タ に こ のネ ッ ト ワ ー ク への非 BGP ルー ト が あ る
こ と を示 し ま す。
Metric
表示 さ れてい る 場合は相互自律シ ス テ ム メ ト リ ッ ク 。
LocPrf
set local-preference ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド で設定 さ れた
ロ ーカル プ リ フ ァ レ ン ス 値。デ フ ォ ル ト 値は 100 です。
Weight
自律シ ス テ ム フ ィ ル タ を介 し て設定 さ れたルー ト の重み。
Path
宛先ネ ッ ト ワ ー ク への自律シ ス テ ム パ ス 。パ ス 内の各自律シ ス テ ム に対 し て、こ の
フ ィ ール ド 内に 1 エ ン ト リ を含め る こ と がで き ま す。
(stale)
指定 し た自律シ ス テ ム の次のパ ス が グ レ ー ス フ ル リ ス タ ー ト プ ロ セ ス 中に「stale」
と マー ク さ れた こ と を示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-4
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp
show bgp（4 バ イ ト 自律シ ス テ ム番号）：例
次に、BGP ルーテ ィ ン グ テーブルの出力例を示 し ま す。[Path] フ ィ ール ド の下に 4 バ イ ト 自律シ
ス テ ム番号（65536 と 65550）が表示 さ れ ま す。こ の例では、Cisco IOS Release 12.0(32)SY8、
12.0(33)S3、12.2(33)SRE、12.2(33)XNE、12.2(33)SXI1、Cisco IOS XE Release 2.4 ま たはそれ以降の
リ リ ー ス が必要です。
RouterB# show bgp
BGP table version is 4, local router ID is 172.17.1.99
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
r RIB-failure, S Stale
Origin codes: i - IGP, e - EGP, ?- incomplete
Network
*> 10.1.1.0/24
*> 10.2.2.0/24
*> 172.17.1.0/24
Next Hop
192.168.1.2
192.168.3.2
0.0.0.0
Metric LocPrf Weight Path
0
0 65536
0
0 65550
0
32768 i
i
i
show bgp ip-address：例
次に、BGP ルーテ ィ ン グ テーブルの 192.168.1.0 エ ン ト リ に関す る 情報の出力例を示 し ま す。
Router# show bgp 192.168.1.0
BGP routing table entry for 192.168.1.0/24, version 22
Paths: (2 available, best #2, table default)
Additional-path
Advertised to update-groups:
3
10 10
192.168.3.2 from 172.16.1.2 (10.2.2.2)
Origin IGP, metric 0, localpref 100, valid, internal, backup/repair
10 10
192.168.1.2 from 192.168.1.2 (10.3.3.3)
Origin IGP, localpref 100, valid, external, best , recursive-via-connected
次に、BGP ルーテ ィ ン グ テーブルの 10.3.3.3 255.255.255.255 エ ン ト リ に関す る 情報の出力例を
示 し ま す。
Router# show bgp 10.3.3.3 255.255.255.255
BGP routing table entry for 10.3.3.3/32, version 35
Paths: (3 available, best #2, table default)
Multipath: eBGP
Flag: 0x860
Advertised to update-groups:
1
200
10.71.8.165 from 10.71.8.165 (192.168.0.102)
Origin incomplete, localpref 100, valid, external, backup/repair
Only allowed to recurse through connected route
200
10.71.11.165 from 10.71.11.165 (192.168.0.102)
Origin incomplete, localpref 100, weight 100, valid, external, best
Only allowed to recurse through connected route
200
10.71.10.165 from 10.71.10.165 (192.168.0.104)
Origin incomplete, localpref 100, valid, external,
Only allowed to recurse through connected route
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-5
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp
表 4-2 に、各 フ ィ ール ド の説明を示 し ま す。
表 4-2
show bgp（4 バイ ト 自律システム番号）のフ ィ ール ド
フ ィ ール ド
説明
BGP routing table
entry fo
ルーテ ィ ン グ テーブル エ ン ト リ の IP ア ド レ ス ま たはネ ッ ト ワ ー ク 番号。
version
テーブルの内部バージ ョ ン番号。こ の番号は、テーブルが変更 さ れ る たび
に増分 し ま す。
Paths
使用可能なパ ス の数、お よ び イ ン ス ト ール さ れた最適パ ス の数。最適パ ス が
IP ルーテ ィ ン グ テーブルに登録 さ れてい る 場合、こ の行に
「Default-IP-Routing-Table」 と 表示 さ れます。
Multipath
こ の フ ィ ール ド は、マルチパ ス ロ ー ド シ ェ ア リ ン グが イ ネーブルの場合に
表示 さ れ ます。こ の フ ィ ール ド は、マルチパ ス が iBGP であ る か eBGP であ る
か を示 し ます。
Advertised to
update-groups
ア ド バ タ イ ズ メ ン ト が処理 さ れ る 各ア ッ プデー ト グループの数。
Origin
エ ン ト リ の作成元。送信元は IGP、EGP、incomplete のいずれかにな り ます。こ
の行には、設定 さ れた メ ト リ ッ ク （ メ ト リ ッ ク が設定 さ れていない場合は
0）、ロ ーカル プ リ フ ァ レ ン ス値（100 がデフ ォ ル ト ）、お よ びルー ト の ス テー
タ ス と タ イ プ（内部、外部、マルチパ ス、最適）が表示 さ れ ます。
Extended
Community
こ の フ ィ ール ド は、ルー ト が拡張 コ ミ ュ ニ テ ィ 属性を伝送す る 場合に表示 さ
れ ます。こ の行には、属性 コ ー ド が表示 さ れ ます。拡張 コ ミ ュ ニ テ ィ に関す る
情報は後続の行に表示 さ れ ます。
show bgp all：例
次に、all キー ワ ー ド を指定 し た show bgp コ マ ン ド の出力例を示 し ま す。設定 さ れたすべての ア
ド レ ス フ ァ ミ リ に関す る 情報が表示 さ れ ま す。
Router# show bgp all
For address family: IPv4 Unicast
*****
BGP table version is 27, local router ID is 10.1.1.1
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
r RIB-failure
Origin codes: i - IGP, e - EGP, ?- incomplete
Network
*> 10.1.1.0/24
*> 10.13.13.0/24
*> 10.15.15.0/24
*>i10.18.18.0/24
*>i10.100.0.0/16
*>i10.100.0.0/16
*>i10.101.0.0/16
*>i10.103.0.0/16
*>i10.104.0.0/16
*>i10.100.0.0/16
*>i10.101.0.0/16
* 10.100.0.0/16
*>
* 10.101.0.0/16
*>
*> 10.102.0.0/16
Next Hop
0.0.0.0
0.0.0.0
0.0.0.0
172.16.14.105
172.16.14.107
172.16.14.105
172.16.14.105
172.16.14.101
172.16.14.101
172.16.14.106
172.16.14.106
172.16.14.109
172.16.14.108
172.16.14.109
172.16.14.108
172.16.14.108
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-6
Metric LocPrf Weight Path
0
32768 ?
0
32768 ?
0
32768 ?
1388 91351
0 100 e
262
272
0 1 2 3 i
1388 91351
0 100 e
1388 91351
0 100 e
1388
173
173 100 e
1388
173
173 100 e
2219 20889
0 53285 33299 51178 47751 e
2219 20889
0 53285 33299 51178 47751 e
2309
0 200 300 e
1388
0 100 e
2309
0 200 300 e
1388
0 100 e
1388
0 100 e
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp
*>
*>
*>
*>
172.16.14.0/24
192.168.5.0
10.80.0.0/16
10.80.0.0/16
0.0.0.0
0.0.0.0
172.16.14.108
172.16.14.108
0
0
1388
1388
32768
32768
0
0
?
?
50 e
50 e
show bgp longer-prefixes：例
次に、longer-prefixes キー ワ ー ド を指定 し た show bgp コ マ ン ド の出力例を示 し ま す。
Router# show bgp 10.92.0.0 255.255.0.0 longer-prefixes
BGP table version is 1738, local router ID is 192.168.72.24
Status codes: s suppressed, * valid, > best, i - internal
Origin codes: i - IGP, e - EGP, ?- incomplete
*>
*
*>
*
*>
*
*>
*
*>
*
*>
*
*>
*
*>
*
*>
*
Network
10.92.0.0
10.92.1.0
10.92.11.0
10.92.14.0
10.92.15.0
10.92.16.0
10.92.17.0
10.92.18.0
10.92.19.0
Next Hop
10.92.72.30
10.92.72.30
10.92.72.30
10.92.72.30
10.92.72.30
10.92.72.30
10.92.72.30
10.92.72.30
10.92.72.30
10.92.72.30
10.92.72.30
10.92.72.30
10.92.72.30
10.92.72.30
10.92.72.30
10.92.72.30
10.92.72.30
10.92.72.30
Metric LocPrf Weight Path
8896
32768 ?
0 109 108
8796
32768 ?
0 109 108
42482
32768 ?
0 109 108
8796
32768 ?
0 109 108
8696
32768 ?
0 109 108
1400
32768 ?
0 109 108
1400
32768 ?
0 109 108
8876
32768 ?
0 109 108
8876
32768 ?
0 109 108
?
?
?
?
?
?
?
?
?
show bgp shorter-prefixes：例
次に、shorter-prefixes キー ワ ー ド を指定 し た show bgp コ マ ン ド の出力例を示 し ま す。8 ビ ッ ト
プ レ フ ィ ッ ク ス 長を指定 し てい ま す。
Router# show bgp 172.16.0.0/16 shorter-prefixes 8
*> 172.16.0.0
*
10.0.0.2
10.0.0.2
0
0 ?
0 200 ?
show bgp prefix-list：例
次に、prefix-list キー ワ ー ド を指定 し た show bgp コ マ ン ド の出力例を示 し ま す。
Router# show bgp prefix-list ROUTE
BGP table version is 39, local router ID is 10.0.0.1
Status codes:s suppressed, d damped, h history, * valid, > best, i internal
Origin codes:i - IGP, e - EGP, ?- incomplete
Network
*> 192.168.1.0
Next Hop
10.0.0.2
*
10.0.0.2
Metric LocPrf Weight Path
0 ?
0
0 200 ?
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-7
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp
show bgp route-map：例
次に、route-map キー ワ ー ド を指定 し た show bgp コ マ ン ド の出力例 を示 し ま す。
Router# show bgp route-map LEARNED_PATH
BGP table version is 40, local router ID is 10.0.0.1
Status codes:s suppressed, d damped, h history, * valid, > best, i internal
Origin codes:i - IGP, e - EGP, ?- incomplete
Network
*> 192.168.1.0
*
Next Hop
10.0.0.2
10.0.0.2
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-8
Metric LocPrf Weight Path
0 ?
0
0 200 ?
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp all community
show bgp all community
特定の Border Gateway Protocol（BGP） コ ミ ュ ニ テ ィ に属す る すべての ア ド レ ス フ ァ ミ リ のルー
ト を表示す る には、ユーザ EXEC モー ド ま たは特権 EXEC コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で
show bgp all community コ マ ン ド を使用 し ま す。
show bgp all community [community-number...[community-number]] [local-as] [no-advertise]
[no-export] [exact-match]
構文の説明
community-number.
（オプシ ョ ン）指定 し た コ ミ ュ ニ テ ィ 番号に関連す る ルー ト を表示 し
ま す。
複数の コ ミ ュ ニ テ ィ 番号を指定で き ま す。範囲は 1 ～ 4294967295 ま た
は AA:NN（自律シ ス テ ム: コ ミ ュ ニ テ ィ 番号（2 バ イ ト の番号））です。
local-as
（オプシ ョ ン） ロ ーカル自律シ ス テ ム外に送信 さ れないルー ト だけ を表
示 し ま す（ ウ ェ ル ノ ウ ン コ ミ ュ ニ テ ィ ）。
no-advertise
（オプシ ョ ン）ピ ア にア ド バ タ イ ズ さ れないルー ト だけ を表示 し ま す
（ ウ ェ ル ノ ウ ン コ ミ ュ ニ テ ィ ）。
no-export
（オプシ ョ ン） ロ ーカル自律シ ス テ ム の外部にエ ク ス ポー ト さ れてい な
いルー ト だけ を表示 し ま す（ ウ ェ ル ノ ウ ン コ ミ ュ ニ テ ィ ）。
exact-match
（オプシ ョ ン）指定 し た BGP コ ミ ュ ニ テ ィ リ ス ト と 正確に一致す る
ルー ト だけ を表示 し ま す。
（注）
コ マ ン ド の キー ワ ー ド の可用性は コ マ ン ド モー ド に よ っ て異
な り ま す。exact-match キー ワ ー ド は、ユーザ EXEC モー ド では
使用で き ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
リ リ ース
9.2(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-9
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp all community
使用上のガイ ド ラ イ ン
ユーザは、local-as、no-advertise、no-export の各キー ワ ー ド を任意の順序で入力で き ま す。bgp all
community コ マ ン ド を使用す る 場合、数値の コ ミ ュ ニ テ ィ は ウ ェ ル ノ ウ ン コ ミ ュ ニ テ ィ の前に
入力 し て く だ さ い。
た と えば、次の文字列は無効です。
ciscoasa# show bgp all community local-as 111:12345
代わ り に、次の文字列を使用 し ま す。
ciscoasa# show bgp all community 111:12345 local-as
例
次に、show bgp all community コ マ ン ド の出力例を示 し ま す。こ こ では、1、2345、6789012 の各 コ
ミ ュ ニ テ ィ を指定 し てい ま す。
ciscoasa# show bgp all community 1 2345 6789012 no-advertise local-as no-export
exact-match
For address family: IPv4 Unicast
BGP table version is 5, local router ID is 30.0.0.5
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
r RIB-failure, S Stale
Origin codes: i - IGP, e - EGP, ?- incomplete
Network Next Hop
*> 10.0.3.0/24
10.0.0.4
*> 10.1.0.0/16
10.0.0.4
*> 10.12.34.0/24
10.0.0.6
Metric LocPrf Weight Path
0
0
0 4 3 ?
0 4 ?
0 6 ?
表 4-3 に、各 フ ィ ール ド の説明を示 し ま す。
表 4-3
show bgp all community のフ ィ ール ド
フ ィ ール ド 説明
BGP table
version
テーブルの内部バージ ョ ン番号。こ の番号は、テーブルが変更 さ れ る たびに増分 し
ま す。
local router BGP コ ミ ュ ニテ ィ を表示す る よ う に設定 さ れたルー タ のルー タ ID。ピ リ オ ド で区切
ID
ら れた 4 つのオ ク テ ッ ト と し て記述 さ れ る 32 ビ ッ ト 数（ ド ッ ト 付 き 10 進表記）。
Status
codes
テーブル エ ン ト リ の ス テー タ ス 。テーブルの各行の最初に ス テー タ ス が表示 さ れ ま
す。次のいずれかの値にな り ま す。
s：テーブル エ ン ト リ が非表示にな っ てい ま す。 d：テーブル エ ン ト リ がダ ン プニ ン グ さ れてい ま す。
h：テーブル エ ン ト リ は履歴です。
*：テーブル エ ン ト リ が有効です。
>：テーブル エ ン ト リ がそのネ ッ ト ワ ー ク で使用す る ための最良エ ン ト リ です。
i：テーブル エ ン ト リ が内部 BGP セ ッ シ ョ ン を経由 し て学習 さ れ ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-10
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp all community
表 4-3
show bgp all community のフ ィ ール ド （続き）
フ ィ ール ド 説明
Origin
codes
エ ン ト リ の作成元を示 し ま す。作成元の コ ー ド はテーブルの各行の終わ り に あ り ま
す。次のいずれかの値にな り ま す。
i：内部ゲー ト ウ ェ イ プ ロ ト コ ル（IGP）か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ
レーシ ョ ン コ マ ン ド を使用 し て ア ド バ タ イ ズ さ れたエ ン ト リ 。 e：外部ゲー ト ウ ェ イ プ ロ ト コ ル（EGP）か ら 発信 さ れたエ ン ト リ 。
?：パ ス の発信元は ク リ ア さ れ ません。通常、こ れは、IGP か ら BGP に再配布 さ れた
ルー ト です。
Network
ネ ッ ト ワー ク エ ン テ ィ テ ィ のネ ッ ト ワ ー ク ア ド レ スお よ びネ ッ ト ワー ク マ ス ク 。ア
ド レ ス の タ イ プは、ア ド レ ス フ ァ ミ リ に よ っ て異な り ます。
Next Hop
パケ ッ ト を宛先ネ ッ ト ワ ー ク に転送す る と き に使用 さ れ る 、次のシ ス テ ム の IP ア
ド レ ス 。ア ド レ ス の タ イ プは、ア ド レ ス フ ァ ミ リ に よ っ て異な り ま す。
Metric
相互自律シ ス テ ム メ ト リ ッ ク 。こ の フ ィ ール ド はあ ま り 使用 さ れ ません。
LocPrf
set local-preference コ マ ン ド で設定 さ れた ロ ーカル プ リ フ ァ レ ン ス値。デフ ォ ル ト 値
は 100 です。
Weight
自律シ ス テ ム フ ィ ル タ を介 し て設定 さ れたルー ト の重み。
Path
宛先ネ ッ ト ワ ー ク への自律シ ス テ ムパ ス。パ ス内の各自律シ ス テ ム に対 し て、こ の
フ ィ ール ド 内に 1 エ ン ト リ を含め る こ と がで き ます。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-11
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp all neighbors
show bgp all neighbors
すべての ア ド レ ス フ ァ ミ リ のネ イ バーへの Border Gateway Protocol（BGP）接続に関す る 情報を
表示す る には、ユーザ EXEC モー ド ま たは特権 EXEC モー ド で show bgp all neighbors コ マ ン ド
を使用 し ま す。
show bgp all neighbors [ip-address ] [advertised-routes | paths [reg-exp] | policy [detail]
| received prefix-filter | received-routes | routes]
構文の説明
ip-address
（オプシ ョ ン）ネ イ バーの IP ア ド レ ス です。こ の引数を省略 し た場合、す
べてのネ イ バーに関す る 情報が表示 さ れます。
advertised-routes
（オプシ ョ ン）ネ イ バーにア ド バ タ イ ズ さ れたすべてのルー ト を表示 し
ます。
paths reg-exp
（オプシ ョ ン）指定 し たネ イ バーか ら 学習 し た自律シ ス テ ム パ ス を表示
し ます。オプシ ョ ンの正規表現を使用 し て、出力を フ ィ ル タ リ ン グで き
ます。
policy
（オプシ ョ ン）ア ド レ ス フ ァ ミ リ ご と に、ネ イ バーに適用 さ れ る ポ リ シー
を表示 し ます。
detail
（オプシ ョ ン）ルー ト マ ッ プ、プ レ フ ィ ッ ク ス リ ス ト 、コ ミ ュ ニテ ィ リ ス
ト 、ア ク セ ス コ ン ト ロ ール リ ス ト （ACL）、自律シ ス テ ム パ ス フ ィ ル タ リ
ス ト な ど の詳細なポ リ シー情報を表示 し ます。
received prefix-filter
（オプシ ョ ン）指定 し た ネ イ バーか ら 送信 さ れたプ レ フ ィ ッ ク ス リ ス ト
（ア ウ ト バ ウ ン ド ルー ト フ ィ ル タ （ORF））を表示 し ま す。
received-routes
（オプシ ョ ン）指定 し た ネ イ バーか ら 受信 し たすべてのルー ト を表示 し
ま す。
routes
（オプシ ョ ン）受信 さ れ、受け入れ ら れ る すべてのルー ト を表示 し ま す。
こ の キー ワ ー ド が入力 さ れた場合に表示 さ れ る 出力は、received-routes
キー ワ ー ド に よ っ て表示 さ れ る 出力のサブセ ッ ト です。
デフ ォル ト
こ の コ マ ン ド の出力には、すべてのネ イ バーの情報が表示 さ れ ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
リ リ ース
9.2(1)
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-12
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp all neighbors
使用上のガイ ド ラ イ ン
IPv4 な ど の ア ド レ ス フ ァ ミ リ に固有のネ イ バー セ ッ シ ョ ン の BGP お よ び TCP 接続情報を表示
す る には、show bgp all neighbors コ マ ン ド を使用 し ま す。
例
次に、show bgp all neighbors コ マ ン ド の出力例を示 し ま す。
ciscoasa# show bgp all neighbors
For address family: IPv4 Unicast
BGP neighbor is 172.16.232.53, remote AS 100, external link
Member of peer-group internal for session parameters
BGP version 4, remote router ID 172.16.232.53
BGP state = Established, up for 13:40:17
Last read 00:00:09, hold time is 180, keepalive interval is 60 seconds
Message statistics:
InQ depth is 0
OutQ depth is 0
Sent
Rcvd
Opens:
3
3
Notifications:
0
0
Updates:
0
0
Keepalives:
113
112
Route Refresh:
0
0
Total:
116
11
Default minimum time between advertisement runs is 5 seconds
Connections established 22; dropped 21
Last reset 13:47:05, due to BGP Notification sent, hold time expired
External BGP neighbor may be up to 2 hops away.
Connection state is ESTAB, I/O status: 1, unread input bytes: 0
Enqueued packets for retransmit: 0, input: 0
Event Timers (current time is 0x1A0D543C):
Timer
Starts
Wakeups
Retrans
1218
5
TimeWait
0
0
AckHold
3327
3051
SendWnd
0
0
KeepAlive
0
0
GiveUp
0
0
PmtuAger
0
0
DeadWait
0
0
iss: 1805423033
irs: 821333727
snduna: 1805489354
rcvnxt: 821591465
mis-ordered: 0 (0 bytes)
Next
0x0
0x0
0x0
0x0
0x0
0x0
0x0
0x0
sndnxt: 1805489354
rcvwnd:
15547
sndwnd:
delrcvwnd:
15531
837
SRTT: 300 ms, RTTO: 303 ms, RTV: 3 ms, KRTT: 0 ms
minRTT: 8 ms, maxRTT: 300 ms, ACK hold: 200 ms
Flags: higher precedence, nagle
Datagrams (max data segment is 1420 bytes):
Rcvd: 4252 (out of order: 0), with data: 3328, total data bytes: 257737
Sent:4445 (retransmit: 5), with data: 4445, total data bytes;244128
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-13
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp all neighbors
表 4-4 に、各 フ ィ ール ド の説明を示 し ま す。
表 4-4
show bgp all neighbor のフ ィ ール ド
フ ィ ール ド
説明
For address family
後続の フ ィ ール ド が参照す る ア ド レ ス フ ァ ミ リ 。
BGP neighbor
BGP ネ イ バーの IP ア ド レ ス と その自律シ ス テ ム番号。
remote AS
ネ イ バーの自律シ ス テ ム番号。
external link
外部ボーダー ゲー ト ウ ェ イ プ ロ ト コ ル（eBGP）peerP。
BGP version
リ モー ト ルー タ と の通信に使用 さ れ る BGP バージ ョ ン。
remote router ID
ネ イ バーの IP ア ド レ ス。
BGP state
こ の BGP 接続の状態。
up for
ベース と な る TCP 接続が存在 し てい る 時間（hh:mm:ss 形式）。
Last read
BGP が こ のネ イ バーか ら 最後に メ ッ セージ を受信 し てか ら の時間（hh:mm:ss
形式）。
hold time
BGP が メ ッ セージ を受信せずに こ のネ イ バー と セ ッ シ ョ ン を維持 し た時間
（秒数）。
keepalive interval
キープア ラ イ ブ メ ッ セージが こ のネ イ バーに転送 さ れ る 間隔（秒数）。
Message statistics
メ ッ セージ タ イ プご と に ま と め ら れた統計。
InQ depth is
入力キ ュ ー内の メ ッ セージ数。
OutQ depth is
出力キ ュ ー内の メ ッ セージ数。
Sent
送信 さ れた メ ッ セージの合計数。
Rcvd
受信 さ れた メ ッ セージの合計数。
Opens
送受信 さ れたオープ ン メ ッ セージ数。
Notifications
送受信 さ れた通知（エ ラ ー） メ ッ セージ数。
Updates
送受信 さ れた ア ッ プデー ト メ ッ セージ数。
Keepalives
送受信 さ れた キープア ラ イ ブ メ ッ セージ数。
Route Refresh
送受信 さ れたルー ト リ フ レ ッ シ ュ 要求 メ ッ セージ数。
Total
送受信 さ れた メ ッ セージの合計数。
Default minimum
time between...
ア ド バ タ イ ズ メ ン ト 送信の間の時間（秒数）。
Connections
established
TCP お よ び BGP 接続が正常に確立 し た回数。
dropped
有効セ ッ シ ョ ンに障害が発生 し たか停止 し た回数。
Last reset
こ の ピ ア リ ン グ セ ッ シ ョ ンが最後に リ セ ッ ト さ れてか ら の時間（hh:mm:ss 形
式）。リ セ ッ ト の理由が こ の行に表示 さ れ ます。
External BGP
neighbor may be...
BGP 存続可能時間（TTL）セキ ュ リ テ ィ チ ェ ッ ク が イ ネーブルであ る こ と を
示 し ます。ロ ーカル ピ ア と リ モー ト ピ ア を ま た ぐ こ と がで き る ホ ッ プの最大
数が こ の行に表示 さ れ ます。
Connection state
BGP ピ アの接続ス テー タ ス。
Local host、Local
ロ ーカル BGP ス ピーカーの IP ア ド レ ス と ポー ト 番号。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-14
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp all neighbors
表 4-4
show bgp all neighbor のフ ィ ール ド （続き）
フ ィ ール ド
説明
Foreign host、
Foreign port
ネ イ バー ア ド レ ス と BGP 宛先ポー ト 番号。
Enqueued packets for TCP に よ る 再送信のためにキ ュ ーに入れ ら れたパケ ッ ト 。
retransmit:
Event Timers
TCP イ ベン ト タ イ マー。起動お よ び ウ ェ イ ク ア ッ プのカ ウ ン タ が提供 さ れ
ます（期限切れ タ イ マー）。
Retrans
パケ ッ ト が再送信 さ れた回数。
TimeWait
再送信 タ イ マーが期限切れにな る ま での待機時間。
AckHold
確認応答ホール ド タ イ マー。
SendWnd
送信 ウ ィ ン ド ウ 。
KeepAlive
キープア ラ イ ブ パケ ッ ト の数。
GiveUp
確認応答がないためにパケ ッ ト が ド ロ ッ プ さ れた回数。
PmtuAger
パ ス MTU デ ィ ス カバ リ タ イ マー。
DeadWait
デ ッ ド セグ メ ン ト の期限切れ タ イ マー。
iss:
初期パケ ッ ト 送信シーケ ン ス番号。
snduna:
確認応答 さ れた最後の送信シーケ ン ス番号。
sndnxt:
次に送信 さ れ る パケ ッ ト のシーケ ン ス番号。
sndwnd:
リ モー ト ホ ス ト の TCP ウ ィ ン ド ウ サ イ ズ。
irs:
初期パケ ッ ト 受信シーケ ン ス番号。
rcvnxt:
ロ ーカルに確認応答 さ れた最後の受信シーケ ン ス番号。
rcvwnd:
ロ ーカル ホ ス ト の TCP ウ ィ ン ド ウ サ イ ズ。
delrcvwnd:
遅延受信 ウ ィ ン ド ウ ： ロ ーカル ホ ス ト に よ っ て接続か ら 読み取 ら れ、ホ ス ト
が リ モー ト ホ ス ト にア ド バ タ イ ズ し た受信 ウ ィ ン ド ウ か ら 削除 さ れていな
いデー タ 。こ の フ ィ ール ド の値は徐々に大 き く な り 、フルサ イ ズ パケ ッ ト よ
り も 大 き く な っ た時点で rcvwnd フ ィ ール ド に適用 さ れます。
SRTT:
計算 さ れた ス ムーズ ラ ウ ン ド ト リ ッ プ タ イ ム ア ウ ト 。
RTTO:
ラ ウ ン ド ト リ ッ プ タ イ ムア ウ ト 。
RTV:
ラ ウ ン ド ト リ ッ プ時間の差異。
KRTT:
新し い ラ ウ ン ド ト リ ッ プ タ イ ム ア ウ ト （Karn アルゴ リ ズム を使用）。こ の
フ ィ ール ド は、再送信 さ れたパケ ッ ト の ラ ウ ン ド ト リ ッ プ時間を追跡し ます。
minRTT:
記録 さ れた最小 ラ ウ ン ド ト リ ッ プ タ イ ム ア ウ ト （計算に使用 さ れ る 組み込
み値）。
maxRTT:
記録 さ れた最大 ラ ウ ン ド ト リ ッ プ タ イ ム ア ウ ト 。
ACK hold
ロ ーカル ホ ス ト が追加デー タ を伝送（ピ ギーバ ッ ク ）す る ために確認応答を
遅延 さ せ る 時間の長 さ 。
IP Precedence value BGP パケ ッ ト の IP プ レ シデン ス。
Datagrams
ネ イ バーか ら 受信 し た ア ッ プデー ト パケ ッ ト の数。
Rcvd:
受信パケ ッ ト 数。
with data
デー タ と と も に送信 さ れたア ッ プデー ト パケ ッ ト の数。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-15
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp all neighbors
表 4-4
show bgp all neighbor のフ ィ ール ド （続き）
フ ィ ール ド
説明
total data bytes
受信デー タ の合計量（バ イ ト ）。
Sent
送信 さ れた ア ッ プデー ト パケ ッ ト の数。
with data
デー タ と と も に受信 し た ア ッ プデー ト パケ ッ ト の数。
total data bytes
送信デー タ の合計量（バ イ ト ）。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-16
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp cidr-only
show bgp cidr-only
Classless Inter-Domain Routing（CIDR）を使用 し たルー ト を表示す る には、EXEC モー ド で show
bgp cidr-only コ マ ン ド を使用 し ま す。
show bgp cidr-only
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
例
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
•
リ リ ース
9.2(1)
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show bgp cidr-only コ マ ン ド の出力例を し ま す。
ciscoasa# show bgp cidr-only
BGP table version is 220, local router ID is 172.16.73.131
Status codes: s suppressed, * valid, > best, i - internal
Origin codes: i - IGP, e - EGP, ?- incomplete
Network
*> 192.168.0.0/8
*> 172.16.0.0/16
Next Hop
172.16.72.24
172.16.72.30
Metric LocPrf Weight Path
0 1878 ?
0 108 ?
表 4-5 に、各 フ ィ ール ド の説明を示 し ま す。
表 4-5
show bgp cidr-only のフ ィ ール ド
フ ィ ール ド 説明
BGP table
version is
220
テーブルの内部バージ ョ ン番号。こ の番号は、テーブルが変更 さ れ る たびに増分 し
ます。
local router ルー タ の IP ア ド レ ス 。
ID
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-17
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp cidr-only
表 4-5
show bgp cidr-only のフ ィ ール ド （続き）
フ ィ ール ド 説明
Status
codes
テーブル エ ン ト リ の ス テー タ ス 。テーブルの各行の最初に ス テー タ ス が表示 さ れ ま
す。次のいずれかの値にな り ま す。
s：テーブル エ ン ト リ が非表示にな っ てい ま す。
*：テーブル エ ン ト リ が有効です。
>：テーブル エ ン ト リ がそのネ ッ ト ワ ー ク で使用す る ための最良エ ン ト リ です。
i：テーブル エ ン ト リ が内部 BGP（iBGP）セ ッ シ ョ ン を経由 し て学習 さ れ ま す。
Origin
codes
エ ン ト リ の作成元。作成元の コ ー ド はテーブルの各行の終わ り に あ り ま す。次のい
ずれかの値にな り ま す。
i：内部ゲー ト ウ ェ イ プ ロ ト コ ル（IGP）か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ
レ ーシ ョ ン コ マ ン ド を使用 し て ア ド バ タ イ ズ さ れたエ ン ト リ 。
e：外部ゲー ト ウ ェ イ プ ロ ト コ ル（EGP）か ら 発信 さ れたエ ン ト リ 。
?：パ ス の発信元は ク リ ア さ れ ま せん。通常、こ れは IGP か ら BGP に再配信 さ れ る
ルー タ です。
Network
エ ン ト リ が表すネ ッ ト ワ ー ク の イ ン タ ーネ ッ ト ア ド レ ス 。
Next Hop
パケ ッ ト を宛先ネ ッ ト ワ ー ク に転送す る と き に使用 さ れ る 、次のシ ス テ ム の IP ア
ド レ ス 。0.0.0.0 のエ ン ト リ は、ア ク セ ス サーバに こ のネ ッ ト ワ ー ク への非 BGP ルー
ト が あ る こ と を示 し ま す。
Metric
表示 さ れてい る 場合は相互自律シ ス テ ム メ ト リ ッ ク 。
LocPrf
set local-preference ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド で設定 さ れた
ロ ーカル プ リ フ ァ レ ン ス 値。デ フ ォ ル ト 値は 100 です。
Weight
自律シ ス テ ム フ ィ ル タ を介 し て設定 さ れたルー ト の重み。
Path
宛先ネ ッ ト ワ ー ク への自律シ ス テ ム パ ス 。パ ス 内の各自律シ ス テ ム に対 し て、こ の
フ ィ ール ド 内に 1 エ ン ト リ を含め る こ と がで き ま す。パ ス の終わ り は、パ ス の発信
元 コ ー ド です。
i：エ ン ト リ は、IGP か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン
ド を使用 し て ア ド バ タ イ ズ さ れ ま し た。
e：EGP か ら 発信 さ れ る ルー ト 。
?：パ ス の発信元は ク リ ア さ れません。通常、こ れは IGP か ら BGP に再配信 さ れ る パ ス
です。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-18
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp community
show bgp community
指定 し た BGP コ ミ ュ ニ テ ィ に属す る ルー ト を表示す る には、EXEC モー ド で show bgp
community コ マ ン ド を使用 し ま す。
show bgp community community-number [exact]
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
例
ルーテ ッ ド
•
リ リ ース
9.2(1)
ト ラ ン スペ
アレン ト
シ ン グル
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、特権 EXEC モー ド での show bgp community コ マ ン ド の出力例を示 し ま す。
ciscoasa# show bgp community 111:12345 local-as
BGP table version is 10, local router ID is 224.0.0.10
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal
Origin codes: i - IGP, e - EGP, ?- incomplete
*>
*>
*>
*>
*
*>
*>
*>
Network
172.16.2.2/32
10.0.0.0
10.43.0.0
10.43.44.44/32
10.43.222.0/24
172.17.240.0/21
192.168.212.0
172.31.1.0
Next Hop
10.43.222.2
10.43.222.2
10.43.222.2
10.43.222.2
10.43.222.2
10.43.222.2
10.43.222.2
10.43.222.2
Metric LocPrf Weight Path
0
0 222 ?
0
0 222 ?
0
0 222 ?
0
0 222 ?
0
0 222 i
0
0 222 ?
0
0 222 i
0
0 222 ?
表 4-6 に、各 フ ィ ール ド の説明を示 し ま す。
表 4-6
show bgp community のフ ィ ール ド
フ ィ ール ド 説明
BGP table
version
テーブルの内部バージ ョ ン番号。こ の番号は、テーブルが変更 さ れ る たびに増分 し
ます。
local router ルー タ の IP ア ド レ ス 。
ID
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-19
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp community
表 4-6
show bgp community のフ ィ ール ド （続き）
フ ィ ール ド 説明
Status
codes
テーブル エ ン ト リ の ス テー タ ス 。テーブルの各行の最初に ス テー タ ス が表示 さ れ ま
す。次のいずれかの値にな り ま す。
s：テーブル エ ン ト リ が非表示にな っ てい ま す。
*：テーブル エ ン ト リ が有効です。
>：テーブル エ ン ト リ がそのネ ッ ト ワ ー ク で使用す る ための最良エ ン ト リ です。
i：テーブル エ ン ト リ が内部 BGP（iBGP）セ ッ シ ョ ン を経由 し て学習 さ れ ま す。
Origin
codes
エ ン ト リ の作成元。作成元の コ ー ド はテーブルの各行の終わ り に あ り ま す。次のい
ずれかの値にな り ま す。
i：内部ゲー ト ウ ェ イ プ ロ ト コ ル（IGP）か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ
レ ーシ ョ ン コ マ ン ド を使用 し て ア ド バ タ イ ズ さ れたエ ン ト リ 。
e：外部ゲー ト ウ ェ イ プ ロ ト コ ル（EGP）か ら 発信 さ れたエ ン ト リ 。
?：パ ス の発信元は ク リ ア さ れ ま せん。通常、こ れは IGP か ら BGP に再配信 さ れ る
ルー タ です。
Network
エ ン ト リ が表すネ ッ ト ワ ー ク の イ ン タ ーネ ッ ト ア ド レ ス 。
Next Hop
パケ ッ ト を宛先ネ ッ ト ワ ー ク に転送す る と き に使用 さ れ る 、次のシ ス テ ム の IP ア
ド レ ス 。0.0.0.0 のエ ン ト リ は、ア ク セ ス サーバに こ のネ ッ ト ワ ー ク への非 BGP ルー
ト が あ る こ と を示 し ま す。
Metric
表示 さ れてい る 場合は相互自律シ ス テ ム メ ト リ ッ ク 。
LocPrf
set local-preference ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド で設定 さ れた
ロ ーカル プ リ フ ァ レ ン ス 値。デ フ ォ ル ト 値は 100 です。
Weight
自律シ ス テ ム フ ィ ル タ を介 し て設定 さ れたルー ト の重み。
Path
宛先ネ ッ ト ワ ー ク への自律シ ス テ ム パ ス 。パ ス 内の各自律シ ス テ ム に対 し て、こ の
フ ィ ール ド 内に 1 エ ン ト リ を含め る こ と がで き ま す。パ ス の終わ り は、パ ス の発信
元 コ ー ド です。
i：エ ン ト リ は、IGP か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン
ド を使用 し て ア ド バ タ イ ズ さ れ ま し た。
e：EGP か ら 発信 さ れ る ルー ト 。
?：パ ス の発信元は ク リ ア さ れません。通常、こ れは IGP か ら BGP に再配信 さ れ る パ ス
です。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-20
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp community-list
show bgp community-list
Border Gateway Protocol（BGP） コ ミ ュ ニ テ ィ リ ス ト で許可 さ れたルー ト を表示す る には、ユーザ
EXEC モー ド ま たは特権 EXEC モー ド で show bgp community-list コ マ ン ド を使用 し ま す。
show bgp community-list {community-list-number | community-list-name [exact-match]}
構文の説明
コ マ ン ド モー ド
community-list-number
1 ～ 500 の範囲の標準ま たは拡張 コ ミ ュ ニテ ィ リ ス ト 番号。
community-list-name コ ミ ュ ニ テ ィ リ ス ト の名前。コ ミ ュ ニ テ ィ リ ス ト の名前は、standard ま
たは expanded にな り ま す。
exact-match
（オプシ ョ ン）完全一致を持つルー ト だけ を表示 し ま す。
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
リ リ ース
9.2(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
こ の コ マ ン ド を使用す る 場合は、引数を指定す る 必要が あ り ま す。exact-match キー ワ ー ド は任
意です。
例
次に、特権 EXEC モー ド での show bgp community-list コ マ ン ド の出力例を示 し ま す。
ciscoasa# show bgp community-list 20
BGP table version is 716977, local router ID is 192.168.32.1
Status codes: s suppressed, * valid, > best, i - internal
Origin codes: i - IGP, e - EGP, ?- incomplete
Network
* i10.3.0.0
*>i
* i10.6.0.0
*>i
* i10.7.0.0
*>i
*
* i10.8.0.0
*>i
*
* i10.13.0.0
*>i
*
Next Hop
10.0.22.1
10.0.16.1
10.0.22.1
10.0.16.1
10.0.22.1
10.0.16.1
10.92.72.24
10.0.22.1
10.0.16.1
10.92.72.24
10.0.22.1
10.0.16.1
10.92.72.24
Metric LocPrf Weight Path
0
100
0 1800 1239 ?
0
100
0 1800 1239 ?
0
100
0 1800 690 568 ?
0
100
0 1800 690 568 ?
0
100
0 1800 701 35 ?
0
100
0 1800 701 35 ?
0 1878 704 701 35 ?
0
100
0 1800 690 560 ?
0
100
0 1800 690 560 ?
0 1878 704 701 560 ?
0
100
0 1800 690 200 ?
0
100
0 1800 690 200 ?
0 1878 704 701 200 ?
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-21
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp community-list
* i10.15.0.0
*>i
* i10.16.0.0
*>i
*
10.0.22.1
10.0.16.1
10.0.22.1
10.0.16.1
10.92.72.24
0
0
0
0
100
100
100
100
0
0
0
0
0
1800
1800
1800
1800
1878
174
174
701
701
704
?
?
i
i
701 i
表 4-7 に、各 フ ィ ール ド の説明を示 し ま す。
表 4-7
show bgp community-list のフ ィ ール ド
フ ィ ール ド 説明
BGP table
version
テーブルの内部バージ ョ ン番号。こ の番号は、テーブルが変更 さ れ る たびに増分 し
ます。
local router ルー タ の IP ア ド レ ス 。
ID
Status
codes
テーブル エ ン ト リ の ス テー タ ス 。テーブルの各行の最初に ス テー タ ス が表示 さ れ ま
す。次のいずれかの値にな り ま す。
s：テーブル エ ン ト リ が非表示にな っ てい ま す。
*：テーブル エ ン ト リ が有効です。
>：テーブル エ ン ト リ がそのネ ッ ト ワ ー ク で使用す る ための最良エ ン ト リ です。
i：テーブル エ ン ト リ が内部 BGP（iBGP）セ ッ シ ョ ン を経由 し て学習 さ れ ま す。
Origin
codes
エ ン ト リ の作成元。作成元の コ ー ド はテーブルの各行の終わ り に あ り ま す。次のい
ずれかの値にな り ま す。
i：内部ゲー ト ウ ェ イ プ ロ ト コ ル（IGP）か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ
レ ーシ ョ ン コ マ ン ド を使用 し て ア ド バ タ イ ズ さ れたエ ン ト リ 。
e：外部ゲー ト ウ ェ イ プ ロ ト コ ル（EGP）か ら 発信 さ れたエ ン ト リ 。
?：パ ス の発信元は ク リ ア さ れ ま せん。通常、こ れは IGP か ら BGP に再配信 さ れ る
ルー タ です。
Network
エ ン ト リ が表すネ ッ ト ワ ー ク の イ ン タ ーネ ッ ト ア ド レ ス 。
Next Hop
パケ ッ ト を宛先ネ ッ ト ワ ー ク に転送す る と き に使用 さ れ る 、次のシ ス テ ム の IP ア
ド レ ス 。0.0.0.0 のエ ン ト リ は、ア ク セ ス サーバに こ のネ ッ ト ワ ー ク への非 BGP ルー
ト が あ る こ と を示 し ま す。
Metric
表示 さ れてい る 場合は相互自律シ ス テ ム メ ト リ ッ ク 。
LocPrf
set local-preference ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド で設定 さ れた
ロ ーカル プ リ フ ァ レ ン ス 値。デ フ ォ ル ト 値は 100 です。
Weight
自律シ ス テ ム フ ィ ル タ を介 し て設定 さ れたルー ト の重み。
Path
宛先ネ ッ ト ワ ー ク への自律シ ス テ ム パ ス 。パ ス 内の各自律シ ス テ ム に対 し て、こ の
フ ィ ール ド 内に 1 エ ン ト リ を含め る こ と がで き ま す。パ ス の終わ り は、パ ス の発信
元 コ ー ド です。
i：エ ン ト リ は、IGP か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン
ド を使用 し て ア ド バ タ イ ズ さ れ ま し た。
e：EGP か ら 発信 さ れ る ルー ト 。
?：パ ス の発信元は ク リ ア さ れません。通常、こ れは IGP か ら BGP に再配信 さ れ る パ ス
です。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-22
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp filter-list
show bgp filter-list
指定 し た フ ィ ル タ リ ス ト と 一致す る ルー ト を表示す る には、EXEC モー ド で show bgp filter-list コ
マ ン ド を使用 し ます。
show bgp filter-list access-list-name
構文の説明
access-list-name コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
自律シ ス テ ム パ ス ア ク セ ス リ ス ト の名前。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
例
リ リ ース
9.2(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
マルチ
コ ン テキス ト シ ス テム
Yes
Yes
•
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、特権 EXEC モー ド での show bgp filter-list コ マ ン ド の出力例 を示 し ま す。
ciscoasa# show bgp filter-list filter-list-acl
BGP table version is 1738, local router ID is 172.16.72.24
Status codes: s suppressed, * valid, > best, i - internal
Origin codes: i - IGP, e - EGP, ?- incomplete
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
*
Network
172.16.0.0
172.16.1.0
172.16.11.0
172.16.14.0
172.16.15.0
172.16.16.0
172.16.17.0
172.16.18.0
172.16.19.0
172.16.24.0
172.16.29.0
172.16.30.0
172.16.33.0
172.16.35.0
172.16.36.0
172.16.37.0
172.16.38.0
172.16.39.0
Next Hop
172.16.72.30
172.16.72.30
172.16.72.30
172.16.72.30
172.16.72.30
172.16.72.30
172.16.72.30
172.16.72.30
172.16.72.30
172.16.72.30
172.16.72.30
172.16.72.30
172.16.72.30
172.16.72.30
172.16.72.30
172.16.72.30
172.16.72.30
172.16.72.30
Metric LocPrf Weight
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
Path
109 108
109 108
109 108
109 108
109 108
109 108
109 108
109 108
109 108
109 108
109 108
109 108
109 108
109 108
109 108
109 108
109 108
109 108
?
?
?
?
?
?
?
?
?
?
?
?
?
?
?
?
?
?
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-23
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp filter-list
表 4-8 に、各 フ ィ ール ド の説明を示 し ま す。
表 4-8
show bgp filter-list のフ ィ ール ド
フ ィ ール ド 説明
BGP table
version
テーブルの内部バージ ョ ン番号。こ の番号は、テーブルが変更 さ れ る たびに増分 し
ます。
local router ルー タ の IP ア ド レ ス 。
ID
Status
codes
テーブル エ ン ト リ の ス テー タ ス 。テーブルの各行の最初に ス テー タ ス が表示 さ れ ま
す。次のいずれかの値にな り ま す。
s：テーブル エ ン ト リ が非表示にな っ てい ま す。
*：テーブル エ ン ト リ が有効です。
>：テーブル エ ン ト リ がそのネ ッ ト ワ ー ク で使用す る ための最良エ ン ト リ です。
i：テーブル エ ン ト リ が内部 BGP（iBGP）セ ッ シ ョ ン を経由 し て学習 さ れ ま す。
Origin
codes
エ ン ト リ の作成元。作成元の コ ー ド はテーブルの各行の終わ り に あ り ま す。次のい
ずれかの値にな り ま す。
i：内部ゲー ト ウ ェ イ プ ロ ト コ ル（IGP）か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ
レ ーシ ョ ン コ マ ン ド を使用 し て ア ド バ タ イ ズ さ れたエ ン ト リ 。
e：外部ゲー ト ウ ェ イ プ ロ ト コ ル（EGP）か ら 発信 さ れたエ ン ト リ 。
?：パ ス の発信元は ク リ ア さ れ ま せん。通常、こ れは IGP か ら BGP に再配信 さ れ る
ルー タ です。
Network
エ ン ト リ が表すネ ッ ト ワ ー ク の イ ン タ ーネ ッ ト ア ド レ ス 。
Next Hop
パケ ッ ト を宛先ネ ッ ト ワ ー ク に転送す る と き に使用 さ れ る 、次のシ ス テ ム の IP ア
ド レ ス 。0.0.0.0 のエ ン ト リ は、ア ク セ ス サーバに こ のネ ッ ト ワ ー ク への非 BGP ルー
ト が あ る こ と を示 し ま す。
Metric
表示 さ れてい る 場合は相互自律シ ス テ ム メ ト リ ッ ク 。
LocPrf
set local-preference ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド で設定 さ れた
ロ ーカル プ リ フ ァ レ ン ス 値。デ フ ォ ル ト 値は 100 です。
Weight
自律シ ス テ ム フ ィ ル タ を介 し て設定 さ れたルー ト の重み。
Path
宛先ネ ッ ト ワ ー ク への自律シ ス テ ム パ ス 。パ ス 内の各自律シ ス テ ム に対 し て、こ の
フ ィ ール ド 内に 1 エ ン ト リ を含め る こ と がで き ま す。パ ス の終わ り は、パ ス の発信
元 コ ー ド です。
i：エ ン ト リ は、IGP か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン
ド を使用 し て ア ド バ タ イ ズ さ れ ま し た。
e：EGP か ら 発信 さ れ る ルー ト 。
?：パ ス の発信元は ク リ ア さ れません。通常、こ れは IGP か ら BGP に再配信 さ れ る パ ス
です。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-24
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp injected-paths
show bgp injected-paths
Border Gateway Protocol（BGP）ルーテ ィ ン グ テーブルに注入 さ れたすべてのパ ス を表示す る には、
ユーザ EXEC モー ド ま たは特権 EXEC モー ド で show bgp injected-paths コ マ ン ド を使用 し ます。
show bgp injected-paths
構文の説明
こ の コ マ ン ド には、引数ま たはキー ワー ド はあ り ません。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ルーテ ッ ド
コ マ ン ド モー ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
例
リ リ ース
9.2(1)
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
•
マルチ
コ ン テキス ト シ ス テム
Yes
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、EXEC モー ド での show bgp injected-paths コ マ ン ド の出力例を示 し ま す。
ciscoasa# show bgp injected-paths
BGP table version is 11, local router ID is 10.0.0.1
Status codes:s suppressed, d damped, h history, * valid, > best, i internal
Origin codes:i - IGP, e - EGP, ?- incomplete
Network
*> 172.16.0.0
*> 172.17.0.0/16
Next Hop
10.0.0.2
10.0.0.2
Metric LocPrf Weight Path
0 ?
0 ?
表 4-9 に、各 フ ィ ール ド の説明を示 し ま す。
表 4-9
show bgp injected-path のフ ィ ール ド
フ ィ ール ド 説明
BGP table
version
テーブルの内部バージ ョ ン番号。こ の番号は、テーブルが変更 さ れ る たびに増分 し
ます。
local router ルー タ の IP ア ド レ ス 。
ID
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-25
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp injected-paths
表 4-9
show bgp injected-path のフ ィ ール ド （続き）
フ ィ ール ド 説明
Status
codes
テーブル エ ン ト リ の ス テー タ ス 。テーブルの各行の最初に ス テー タ ス が表示 さ れ ま
す。次のいずれかの値にな り ま す。
s：テーブル エ ン ト リ が非表示にな っ てい ま す。
*：テーブル エ ン ト リ が有効です。
>：テーブル エ ン ト リ がそのネ ッ ト ワ ー ク で使用す る ための最良エ ン ト リ です。
i：テーブル エ ン ト リ が内部 BGP（iBGP）セ ッ シ ョ ン を経由 し て学習 さ れ ま す。
Origin
codes
エ ン ト リ の作成元。作成元の コ ー ド はテーブルの各行の終わ り に あ り ま す。次のい
ずれかの値にな り ま す。
i：内部ゲー ト ウ ェ イ プ ロ ト コ ル（IGP）か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ
レ ーシ ョ ン コ マ ン ド を使用 し て ア ド バ タ イ ズ さ れたエ ン ト リ 。
e：外部ゲー ト ウ ェ イ プ ロ ト コ ル（EGP）か ら 発信 さ れたエ ン ト リ 。
?：パ ス の発信元は ク リ ア さ れ ま せん。通常、こ れは IGP か ら BGP に再配信 さ れ る
ルー タ です。
Network
エ ン ト リ が表すネ ッ ト ワ ー ク の イ ン タ ーネ ッ ト ア ド レ ス 。
Next Hop
パケ ッ ト を宛先ネ ッ ト ワ ー ク に転送す る と き に使用 さ れ る 、次のシ ス テ ム の IP ア
ド レ ス 。0.0.0.0 のエ ン ト リ は、ア ク セ ス サーバに こ のネ ッ ト ワ ー ク への非 BGP ルー
ト が あ る こ と を示 し ま す。
Metric
表示 さ れてい る 場合は相互自律シ ス テ ム メ ト リ ッ ク 。
LocPrf
set local-preference ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド で設定 さ れた
ロ ーカル プ リ フ ァ レ ン ス 値。デ フ ォ ル ト 値は 100 です。
Weight
自律シ ス テ ム フ ィ ル タ を介 し て設定 さ れたルー ト の重み。
Path
宛先ネ ッ ト ワ ー ク への自律シ ス テ ム パ ス 。パ ス 内の各自律シ ス テ ム に対 し て、こ の
フ ィ ール ド 内に 1 エ ン ト リ を含め る こ と がで き ま す。パ ス の終わ り は、パ ス の発信
元 コ ー ド です。
i：エ ン ト リ は、IGP か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン
ド を使用 し て ア ド バ タ イ ズ さ れ ま し た。
e：EGP か ら 発信 さ れ る ルー ト 。
?：パ ス の発信元は ク リ ア さ れません。通常、こ れは IGP か ら BGP に再配信 さ れ る パ ス
です。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-26
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv4
show bgp ipv4
IP バージ ョ ン 4（IPv4）Border Gateway Protocol（BGP）ルーテ ィ ン グ テーブル内のエ ン ト リ を表示す
る には、特権 EXEC モー ド で show bgp ipv4 コ マ ン ド を使用 し ます。
show bgp ipv4
構文の説明
こ の コ マ ン ド には、引数ま たはキー ワー ド はあ り ません。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
例
リ リ ース
9.2(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show bgp ipv4 unicast コ マ ン ド の出力例を示 し ま す。
ciscoasa# show bgp ipv4 unicast
BGP table version is 4, local router ID is 10.0.40.1
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal
Origin codes: i - IGP, e - EGP, ?- incomplete
Network
*> 10.10.10.0/24
*> 10.10.20.0/24
* 10.20.10.0/24
Next Hop
172.16.10.1
172.16.10.1
172.16.10.1
Metric LocPrf Weight Path
0
0 300 i
0
0 300 i
0
0 300 i
次に、show bgp ipv4 multicast コ マ ン ド の出力例を示 し ま す。
Router# show bgp ipv4 multicast
BGP table version is 4, local router ID is 10.0.40.1
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal
Origin codes: i - IGP, e - EGP, ?- incomplete
Network
*> 10.10.10.0/24
*> 10.10.20.0/24
* 10.20.10.0/24
Next Hop
172.16.10.1
172.16.10.1
172.16.10.1
Metric LocPrf Weight Path
0
0 300 i
0
0 300 i
0
0 300 i
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-27
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv4
表 4-10 に、各 フ ィ ール ド の説明を示 し ま す。
表 4-10
show bgp ipv4 のフ ィ ール ド
フ ィ ール ド 説明
BGP table
version
テーブルの内部バージ ョ ン番号。こ の番号は、テーブルが変更 さ れ る たびに増分 し
ます。
local router ルー タ の IP ア ド レ ス 。
ID
Status
codes
テーブル エ ン ト リ の ス テー タ ス 。テーブルの各行の最初に ス テー タ ス が表示 さ れ ま
す。次のいずれかの値にな り ま す。
s：テーブル エ ン ト リ が非表示にな っ てい ま す。
*：テーブル エ ン ト リ が有効です。
>：テーブル エ ン ト リ がそのネ ッ ト ワ ー ク で使用す る ための最良エ ン ト リ です。
i：テーブル エ ン ト リ が内部 BGP（iBGP）セ ッ シ ョ ン を経由 し て学習 さ れ ま す。
Origin
codes
エ ン ト リ の作成元。作成元の コ ー ド はテーブルの各行の終わ り に あ り ま す。次のい
ずれかの値にな り ま す。
i：内部ゲー ト ウ ェ イ プ ロ ト コ ル（IGP）か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ
レ ーシ ョ ン コ マ ン ド を使用 し て ア ド バ タ イ ズ さ れたエ ン ト リ 。
e：外部ゲー ト ウ ェ イ プ ロ ト コ ル（EGP）か ら 発信 さ れたエ ン ト リ 。
?：パ ス の発信元は ク リ ア さ れ ま せん。通常、こ れは IGP か ら BGP に再配信 さ れ る
ルー タ です。
Network
エ ン ト リ が表すネ ッ ト ワ ー ク の イ ン タ ーネ ッ ト ア ド レ ス 。
Next Hop
パケ ッ ト を宛先ネ ッ ト ワ ー ク に転送す る と き に使用 さ れ る 、次のシ ス テ ム の IP ア
ド レ ス 。0.0.0.0 のエ ン ト リ は、ア ク セ ス サーバに こ のネ ッ ト ワ ー ク への非 BGP ルー
ト が あ る こ と を示 し ま す。
Metric
表示 さ れてい る 場合は相互自律シ ス テ ム メ ト リ ッ ク 。
LocPrf
set local-preference ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド で設定 さ れた
ロ ーカル プ リ フ ァ レ ン ス 値。デ フ ォ ル ト 値は 100 です。
Weight
自律シ ス テ ム フ ィ ル タ を介 し て設定 さ れたルー ト の重み。
Path
宛先ネ ッ ト ワ ー ク への自律シ ス テ ム パ ス 。パ ス 内の各自律シ ス テ ム に対 し て、こ の
フ ィ ール ド 内に 1 エ ン ト リ を含め る こ と がで き ま す。パ ス の終わ り は、パ ス の発信
元 コ ー ド です。
i：エ ン ト リ は、IGP か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン
ド を使用 し て ア ド バ タ イ ズ さ れ ま し た。
e：EGP か ら 発信 さ れ る ルー ト 。
?：パ ス の発信元は ク リ ア さ れません。通常、こ れは IGP か ら BGP に再配信 さ れ る パ ス
です。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-28
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6
show bgp ipv6
IPv6 Border Gateway Protocol（BGP）ルーテ ィ ン グ テーブル内のエ ン ト リ を表示す る には、ユーザ
EXEC モー ド ま たは特権 EXEC モー ド で show bgp IPv6 コ マ ン ド を使用 し ます。
show bgp ipv6 unicast [ipv6-prefix/prefix-length] [longer-prefixes] [labels]
構文の説明
unicast
IPv6 ユ ニ キ ャ ス ト ア ド レ ス プ レ フ ィ ッ ク ス を指定 し ま す。
ipv6-prefix
（オプシ ョ ン）IPv6 ネ ッ ト ワ ー ク 番号。IPv6 BGP ルーテ ィ ン グ テーブル
内の特定のネ ッ ト ワ ー ク を表示す る ために入力 し ま す。
こ の引数は、RFC 2373 に記述 さ れてい る 形式にす る 必要が あ り ま す。
コ ロ ン区切 り の 16 ビ ッ ト 値を使用 し て、ア ド レ ス を 16 進数で指定 し
ま す。
コ マ ン ド モー ド
/prefix-length
（オプシ ョ ン）IPv6 プ レ フ ィ ッ ク ス の長 さ 。プ レ フ ィ ッ ク ス （ア ド レ ス の
ネ ッ ト ワ ー ク 部分）を構成す る ア ド レ ス の上位連続 ビ ッ ト 数 を示す 10
進数値です。10 進数値の前に ス ラ ッ シ ュ 記号が必要です。
longer-prefixes
（オプシ ョ ン）ルー ト と 、よ り 限定的なルー ト を表示 し ます。
labels
（オプシ ョ ン）ア ド レ ス フ ァ ミ リ ご と に、こ のネ イ バーに適用 さ れ る ポ
リ シーを表示 し ま す。
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
例
リ リ ース
9.3(2)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show bgp ipv6 コ マ ン ド の出力例を示 し ま す。
ciscoasa# show bgp ipv6 unicast
BGP table version is 12612, local router ID is 172.16.7.225
Status codes: s suppressed, h history, * valid, > best, i - internal
Origin codes: i - IGP, e - EGP, ?- incomplete
Network
Next Hop
*> 10.10.10.0/24
172.16.10.1
*> 10.10.20.0/24
172.16.10.1
* 10.20.10.0/24
172.16.10.1
Metric LocPrf Weight Path
0
0 300 i
0
0 300 i
0
0 300 i
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-29
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6
次に、show bgp ipv4 multicast コ マ ン ド の出力例を示 し ま す。
Router# show bgp ipv4 multicast
BGP table version is 4, local router ID is 10.0.40.1
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal
Origin codes: i - IGP, e - EGP, ?- incomplete
Network
*
*
Next Hop
Metric LocPrf Weight Path
3FFE:C00:E:C::2
0 3748 4697 1752 i
3FFE:1100:0:CC00::1
0 1849 1273 1752 i
* 2001:618:3::/48 3FFE:C00:E:4::2
1
0 4554 1849 65002 i
*>
3FFE:1100:0:CC00::1
0 1849 65002 i
* 2001:620::/35
2001:0DB8:0:F004::1
0 3320 1275 559 i
*
3FFE:C00:E:9::2
0 1251 1930 559 i
*
3FFE:3600::A
0 3462 10566 1930 559 i
*
3FFE:700:20:1::11
0 293 1275 559 i
*
3FFE:C00:E:4::2
1
0 4554 1849 1273 559 i
*
3FFE:C00:E:B::2
0 237 3748 1275 559 i
表 4-11 に、各 フ ィ ール ド の説明を示 し ま す。
表 4-11
show bgp ipv6 のフ ィ ール ド
フ ィ ール ド 説明
BGP table
version
テーブルの内部バージ ョ ン番号。こ の番号は、テーブルが変更 さ れ る たびに増分 し
ます。
local router ルー タ の IP ア ド レ ス 。
ID
Status
codes
テーブル エ ン ト リ の ス テー タ ス 。テーブルの各行の最初に ス テー タ ス が表示 さ れ ま
す。次のいずれかの値にな り ま す。
s：テーブル エ ン ト リ が非表示にな っ てい ま す。
h：テーブル エ ン ト リ は履歴です。
*：テーブル エ ン ト リ が有効です。
>：テーブル エ ン ト リ がそのネ ッ ト ワ ー ク で使用す る ための最良エ ン ト リ です。
i：テーブル エ ン ト リ が内部 BGP（iBGP）セ ッ シ ョ ン を経由 し て学習 さ れ ま す。
Origin
codes
エ ン ト リ の作成元。作成元の コ ー ド はテーブルの各行の終わ り に あ り ま す。次のい
ずれかの値にな り ま す。
i：内部ゲー ト ウ ェ イ プ ロ ト コ ル（IGP）か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ
レ ーシ ョ ン コ マ ン ド を使用 し て ア ド バ タ イ ズ さ れたエ ン ト リ 。
e：外部ゲー ト ウ ェ イ プ ロ ト コ ル（EGP）か ら 発信 さ れたエ ン ト リ 。
?：パ ス の発信元は ク リ ア さ れ ま せん。通常、こ れは IGP か ら BGP に再配信 さ れ る
ルー タ です。
Network
エ ン ト リ が表すネ ッ ト ワ ー ク の イ ン タ ーネ ッ ト ア ド レ ス 。
Next Hop
パケ ッ ト を宛先ネ ッ ト ワ ー ク に転送す る と き に使用 さ れ る 、次のシ ス テ ム の IP ア
ド レ ス 。0.0.0.0 のエ ン ト リ は、ア ク セ ス サーバに こ のネ ッ ト ワ ー ク への非 BGP ルー
ト が あ る こ と を示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-30
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6
表 4-11
show bgp ipv6 のフ ィ ール ド （続き）
フ ィ ール ド 説明
Metric
表示 さ れてい る 場合は相互自律シ ス テ ム メ ト リ ッ ク 。
LocPrf
set local-preference ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド で設定 さ れた
ロ ーカル プ リ フ ァ レ ン ス 値。デ フ ォ ル ト 値は 100 です。
Weight
自律シ ス テ ム フ ィ ル タ を介 し て設定 さ れたルー ト の重み。
Path
宛先ネ ッ ト ワ ー ク への自律シ ス テ ム パ ス 。パ ス 内の各自律シ ス テ ム に対 し て、こ の
フ ィ ール ド 内に 1 エ ン ト リ を含め る こ と がで き ま す。パ ス の終わ り は、パ ス の発信
元 コ ー ド です。
i：エ ン ト リ は、IGP か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン
ド を使用 し て ア ド バ タ イ ズ さ れ ま し た。
e：EGP か ら 発信 さ れ る ルー ト 。
?：パ ス の発信元は ク リ ア さ れ ません。通常、こ れは IGP か ら BGP に再配信 さ れ る パ ス
です。
次に、show bgp ipv6 コ マ ン ド の出力例を示 し ま す。こ こ では、プ レ フ ィ ッ ク ス 3FFE:500::/24 に関
す る 情報を示 し てい ま す。
ciscoasa# show bgp ipv6 unicast 3FFE:500::/24
BGP routing table entry for 3FFE:500::/24, version 19421
Paths: (6 available, best #1)
293 3425 2500
3FFE:700:20:1::11 from 3FFE:700:20:1::11 (192.168.2.27)
Origin IGP, localpref 100, valid, external, best
4554 293 3425 2500
3FFE:C00:E:4::2 from 3FFE:C00:E:4::2 (192.168.1.1)
Origin IGP, metric 1, localpref 100, valid, external
33 293 3425 2500
3FFE:C00:E:5::2 from 3FFE:C00:E:5::2 (209.165.18.254)
Origin IGP, localpref 100, valid, external
6175 7580 2500
3FFE:C00:E:1::2 from 3FFE:C00:E:1::2 (209.165.223.204)
Origin IGP, localpref 100, valid, external
1849 4697 2500, (suppressed due to dampening)
3FFE:1100:0:CC00::1 from 3FFE:1100:0:CC00::1 (172.31.38.102)
Origin IGP, localpref 100, valid, external
237 10566 4697 2500
3FFE:C00:E:B::2 from 3FFE:C00:E:B::2 (172.31.0.3)
Origin IGP, localpref 100, valid, external
ciscoasa# show bgp ipv6 unicast
BGP table version is 28, local router ID is 172.10.10.1
Status codes:s suppressed, h history, * valid, > best, i internal,
r RIB-failure, S Stale
Origin codes:i - IGP, e - EGP, ?- incomplete
Network
*>i4004::/64
Next Hop
::FFFF:172.11.11.1
* i
::FFFF:172.30.30.1
Metric LocPrf Weight Path
0
100
0 ?
0
100
0 ?
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-31
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 community
show bgp ipv6 community
IPv6 Border Gateway Protocol（BGP）ルーテ ィ ン グ テーブル内のエ ン ト リ を表示す る には、ユーザ
EXEC モー ド ま たは特権 EXEC モー ド で show bgp ipv6community コ マ ン ド を使用 し ます。
show bgp ipv6 unicast community [community-number] [exact-match] [local-as | no-advertise |
no-export]
構文の説明
コ マ ン ド モー ド
unicast
IPv6 ユ ニ キ ャ ス ト ア ド レ ス プ レ フ ィ ッ ク ス を指定 し ま す。
community-number
（オプシ ョ ン）有効な値は 1 ～ 4294967295 の コ ミ ュ ニ テ ィ 番号、ま たは
AA:NN（自律シ ス テ ムの コ ミ ュ ニ テ ィ 番号:2 バ イ ト の番号）です。
exact-match
（オプシ ョ ン）完全一致を持つルー ト だけ を表示 し ます。
local-as
（オプシ ョ ン） ロ ーカル自律シ ス テ ム外に送信 さ れないルー ト だけ を表
示 し ま す（ ウ ェ ル ノ ウ ン コ ミ ュ ニ テ ィ ）。
no-advertise
（オプシ ョ ン）ピ ア にア ド バ タ イ ズ さ れないルー ト だけ を表示 し ま す
（ ウ ェ ル ノ ウ ン コ ミ ュ ニ テ ィ ）。
no-export
（オプシ ョ ン） ロ ーカル自律シ ス テ ムの外部にエ ク ス ポー ト さ れていな
いルー ト だけ を表示 し ます（ ウ ェ ル ノ ウ ン コ ミ ュ ニテ ィ ）。
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
例
リ リ ース
9.3(2)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
IPv6 専用で あ る 点を除いて、show bgp ipv6 community コ マ ン ド の出力は show ip bgp
community コ マ ン ド と 類似 し てい ま す。
コ ミ ュ ニ テ ィ は、set community ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド を使用 し て設
定 し ま す。数値の コ ミ ュ ニ テ ィ は ウ ェ ル ノ ウ ン コ ミ ュ ニ テ ィ の前に入力す る 必要が あ り ま す。た
と えば、次の文字列は無効です。
ciscoasa# show ipv6 bgp unicast community local-as 111:12345
代わ り に、次の文字列を使用 し ま す。
ciscoasa# show ipv6 bgp unicast community 111:12345 local-as
例
次に、show bgp ipv6 community コ マ ン ド の出力例を示 し ま す。
BGP table version is 69, local router ID is 10.2.64.5
Status codes:s suppressed, h history, * valid, > best, i - internal
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-32
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 community
Origin codes:i - IGP, e - EGP, ?- incomplete
Network
*> 2001:0DB8:0:1::1/64
*> 2001:0DB8:0:1:1::/80
*> 2001:0DB8:0:2::/64
*> 2001:0DB8:0:2:1::/80
* 2001:0DB8:0:3::1/64
*>
*> 2001:0DB8:0:4::/64
*> 2001:0DB8:0:5::1/64
*> 2001:0DB8:0:6::/64
*> 2010::/64
*> 2020::/64
*> 2030::/64
*> 2040::/64
*> 2050::/64
表 4-12
Next Hop
::
::
2001:0DB8:0:3::2
2001:0DB8:0:3::2
2001:0DB8:0:3::2
::
2001:0DB8:0:3::2
::
2000:0:0:3::2
::
::
::
::
::
Metric LocPrf Weight Path
0 32768 i
0 32768 ?
0 2 i
0 2 ?
0 2 ?
0 32768 ?
0 2 ?
0 32768 ?
0 2 3 i
0 32768 ?
0 32768 ?
0 32768 ?
0 32768 ?
0 32768 ?
show bgp ipv6 community のフ ィ ール ド
フ ィ ール ド 説明
BGP table
version
テーブルの内部バージ ョ ン番号。こ の番号は、テーブルが変更 さ れ る たびに増分 し
ます。
local router ピ リ オ ド で区切 ら れた 4 つのオ ク テ ッ ト と し て記述 さ れ る 32 ビ ッ ト 数（ ド ッ ト 付
ID
き 10 進表記）。
Status
codes
テーブル エ ン ト リ の ス テー タ ス 。テーブルの各行の最初に ス テー タ ス が表示 さ れ ま
す。次のいずれかの値にな り ま す。
s：テーブル エ ン ト リ が非表示にな っ てい ま す。
h：テーブル エ ン ト リ は履歴です。
*：テーブル エ ン ト リ が有効です。
>：テーブル エ ン ト リ がそのネ ッ ト ワ ー ク で使用す る ための最良エ ン ト リ です。
i：テーブル エ ン ト リ が内部 BGP（iBGP）セ ッ シ ョ ン を経由 し て学習 さ れ ま す。
Origin
codes
エ ン ト リ の作成元。作成元の コ ー ド はテーブルの各行の終わ り に あ り ま す。次のい
ずれかの値にな り ま す。
i：内部ゲー ト ウ ェ イ プ ロ ト コ ル（IGP）か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ
レ ーシ ョ ン コ マ ン ド を使用 し て ア ド バ タ イ ズ さ れたエ ン ト リ 。
e：外部ゲー ト ウ ェ イ プ ロ ト コ ル（EGP）か ら 発信 さ れたエ ン ト リ 。
?：パ ス の発信元は ク リ ア さ れ ま せん。通常、こ れは IGP か ら BGP に再配信 さ れ る
ルー タ です。
Network
エ ン ト リ が表すネ ッ ト ワ ー ク の イ ン タ ーネ ッ ト ア ド レ ス 。
Next Hop
パケ ッ ト を宛先ネ ッ ト ワ ー ク に転送す る と き に使用 さ れ る 、次のシ ス テ ム の IP ア
ド レ ス 。0.0.0.0 のエ ン ト リ は、ア ク セ ス サーバに こ のネ ッ ト ワ ー ク への非 BGP ルー
ト が あ る こ と を示 し ま す。
Metric
表示 さ れてい る 場合は相互自律シ ス テ ム メ ト リ ッ ク 。
LocPrf
set local-preference ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド で設定 さ れた
ロ ーカル プ リ フ ァ レ ン ス 値。デ フ ォ ル ト 値は 100 です。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-33
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 community
表 4-12
show bgp ipv6 community のフ ィ ール ド （続き）
フ ィ ール ド 説明
Weight
自律シ ス テ ム フ ィ ル タ を介 し て設定 さ れたルー ト の重み。
Path
宛先ネ ッ ト ワ ー ク への自律シ ス テ ム パ ス 。パ ス 内の各自律シ ス テ ム に対 し て、こ の
フ ィ ール ド 内に 1 エ ン ト リ を含め る こ と がで き ま す。パ ス の終わ り は、パ ス の発信
元 コ ー ド です。
i：エ ン ト リ は、IGP か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン
ド を使用 し て ア ド バ タ イ ズ さ れ ま し た。
e：EGP か ら 発信 さ れ る ルー ト 。
?：パ ス の発信元は ク リ ア さ れません。通常、こ れは IGP か ら BGP に再配信 さ れ る パ ス
です。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-34
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 community-list
show bgp ipv6 community-list
IPv6 Border Gateway Protocol（BGP） コ ミ ュ ニ テ ィ リ ス ト で許可 さ れたルー ト を表示す る には、
ユーザ EXEC モー ド ま たは特権 EXEC モー ド で show bgp ipv6 community-list コ マ ン ド を使用 し
ま す。
show bgp ipv6 unicast community-list {number | name} [exact-match]
構文の説明
コ マ ン ド モー ド
unicast
IPv6 ユ ニ キ ャ ス ト ア ド レ ス プ レ フ ィ ッ ク ス を指定 し ま す。
number
1 ～ 199 の範囲の コ ミ ュ ニ テ ィ リ ス ト 番号。
name
コ ミ ュ ニテ ィ リ ス ト の名前。
exact-match
（オプシ ョ ン）完全一致を持つルー ト だけ を表示 し ます。
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
例
リ リ ース
9.3(2)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
IPv6 専用で あ る 点を除いて、show bgp ipv6 unicast community-list コ マ ン ド の出力は show ip bgp
community-list コ マ ン ド と 類似 し てい ま す。
例
次に、コ ミ ュ ニ テ ィ リ ス ト 番号 3 に対す る show ipv6 bgp community-list コ マ ン ド の出力例を示
し ま す。
ciscoasa# show bgp ipv6 unicast community-list 3
BGP table version is 14, local router ID is 10.2.64.6
Status codes:s suppressed, h history, * valid, > best, i - internal
Origin codes:i - IGP, e - EGP, ?- incomplete
Network
*> 2001:0DB8:0:1::/64
*> 2001:0DB8:0:1:1::/80
*> 2001:0DB8:0:2::1/64
*> 2001:0DB8:0:2:1::/80
* 2001:0DB8:0:3::2/64
*>
*> 2001:0DB8:0:4::2/64
*> 2001:0DB8:0:5::/64
*> 2010::/64
Next Hop
2001:0DB8:0:3::1
2001:0DB8:0:3::1
::
::
2001:0DB8:0:3::1
::
::
2001:0DB8:0:3::1
2001:0DB8:0:3::1
Metric LocPrf Weight Path
0 1 i
0 1 i
0 32768 i
0 32768 ?
0 1 ?
0 32768 ?
0 32768 ?
0 1 ?
0 1 ?
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-35
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 community-list
*>
*>
*>
*>
2020::/64
2030::/64
2040::/64
2050::/64
2001:0DB8:0:3::1
2001:0DB8:0:3::1
2001:0DB8:0:3::1
2001:0DB8:0:3::1
0
0
0
0
1
1
1
1
?
?
?
?
次の表で、こ の出力に表示 さ れ る 重要な フ ィ ール ド を説明 し ます。
表 4-13
show bgp ipv6 community-list のフ ィ ール ド
フ ィ ール ド 説明
BGP table
version
テーブルの内部バージ ョ ン番号。こ の番号は、テーブルが変更 さ れ る たびに増分 し
ます。
local router ピ リ オ ド で区切 ら れた 4 つのオ ク テ ッ ト と し て記述 さ れ る 32 ビ ッ ト 数（ ド ッ ト 付
ID
き 10 進表記）。
Status
codes
テーブル エ ン ト リ の ス テー タ ス 。テーブルの各行の最初に ス テー タ ス が表示 さ れ ま
す。次のいずれかの値にな り ま す。
s：テーブル エ ン ト リ が非表示にな っ てい ま す。
h：テーブル エ ン ト リ は履歴です。
*：テーブル エ ン ト リ が有効です。
>：テーブル エ ン ト リ がそのネ ッ ト ワ ー ク で使用す る ための最良エ ン ト リ です。
i：テーブル エ ン ト リ が内部 BGP（iBGP）セ ッ シ ョ ン を経由 し て学習 さ れ ま す。
Origin
codes
エ ン ト リ の作成元。作成元の コ ー ド はテーブルの各行の終わ り に あ り ま す。次のい
ずれかの値にな り ま す。
i：内部ゲー ト ウ ェ イ プ ロ ト コ ル（IGP）か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ
レ ーシ ョ ン コ マ ン ド を使用 し て ア ド バ タ イ ズ さ れたエ ン ト リ 。
e：外部ゲー ト ウ ェ イ プ ロ ト コ ル（EGP）か ら 発信 さ れたエ ン ト リ 。
?：パ ス の発信元は ク リ ア さ れ ま せん。通常、こ れは IGP か ら BGP に再配信 さ れ る
ルー タ です。
Network
エ ン ト リ が表すネ ッ ト ワ ー ク の イ ン タ ーネ ッ ト ア ド レ ス 。
Next Hop
パケ ッ ト を宛先ネ ッ ト ワ ー ク に転送す る と き に使用 さ れ る 、次のシ ス テ ム の IP ア
ド レ ス 。0.0.0.0 のエ ン ト リ は、ア ク セ ス サーバに こ のネ ッ ト ワ ー ク への非 BGP ルー
ト が あ る こ と を示 し ま す。
Metric
表示 さ れてい る 場合は相互自律シ ス テ ム メ ト リ ッ ク 。
LocPrf
set local-preference ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド で設定 さ れた
ロ ーカル プ リ フ ァ レ ン ス 値。デ フ ォ ル ト 値は 100 です。
Weight
自律シ ス テ ム フ ィ ル タ を介 し て設定 さ れたルー ト の重み。
Path
宛先ネ ッ ト ワ ー ク への自律シ ス テ ム パ ス 。パ ス 内の各自律シ ス テ ム に対 し て、こ の
フ ィ ール ド 内に 1 エ ン ト リ を含め る こ と がで き ま す。パ ス の終わ り は、パ ス の発信
元 コ ー ド です。
i：エ ン ト リ は、IGP か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン
ド を使用 し て ア ド バ タ イ ズ さ れ ま し た。
e：EGP か ら 発信 さ れ る ルー ト 。
?：パ ス の発信元は ク リ ア さ れ ません。通常、こ れは IGP か ら BGP に再配信 さ れ る パ ス
です。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-36
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 filter-list
show bgp ipv6 filter-list
指定 し た IPv6 フ ィ ル タ リ ス ト と 一致す る ルー ト を表示す る には、ユーザ EXEC モー ド ま たは特権
EXEC モー ド で show bgp ipv6 filter-list コ マ ン ド を使用 し ます。
show bgp ipv6 unicast filter-list access-list-number
構文の説明
コ マ ン ド モー ド
unicast
IPv6 ユ ニ キ ャ ス ト ア ド レ ス プ レ フ ィ ッ ク ス を指定 し ま す。
access-list-number
IPv6 自律シ ス テ ム パ ス ア ク セ ス リ ス ト の数。1 ～ 199 の範囲の数を指定
で き ます。
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
例
リ リ ース
9.3(2)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
IPv6 専用で あ る 点を除いて、show bgp ipv6 filter-list コ マ ン ド の出力は show ip bgp filter-list コ
マ ン ド と 類似 し てい ま す。
例：
次に、IPv6 自律シ ス テ ム パ ス ア ク セ ス リ ス ト 番号 1 に対す る show bgp ipv6 filter-list コ マ ン ド
の出力例を示 し ま す。
ciscoasa# show bgp ipv6 unicast filter-list 1
BGP table version is 26, local router ID is 192.168.0.2
Status codes:s suppressed, h history, * valid, > best, i - internal
Origin codes:i - IGP, e - EGP, ?- incomplete
*>
*>
*>
*>
*>
*
*>
*
*>
*>
*>
*>
Network
2001:0DB8:0:1::/64
2001:0DB8:0:1:1::/80
2001:0DB8:0:2:1::/80
2001:0DB8:0:3::/64
2001:0DB8:0:4::/64
2001:0DB8:0:5::/64
2001:0DB8:0:6::1/64
2030::/64
2040::/64
2050::/64
Next Hop
2001:0DB8:0:4::2
2001:0DB8:0:4::2
2001:0DB8:0:4::2
2001:0DB8:0:4::2
::
2001:0DB8:0:4::2
::
2001:0DB8:0:4::2
::
2001:0DB8:0:4::2
2001:0DB8:0:4::2
2001:0DB8:0:4::2
Metric LocPrf Weight Path
0 2 1 i
0 2 1 i
0 2 ?
0 2 ?
32768 ?
0 2 ?
32768 ?
0 2 1 ?
32768 i
0 1
0 2 1 ?
0 2 1 ?
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-37
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 filter-list
次の表で、こ の出力に表示 さ れ る 重要な フ ィ ール ド を説明 し ます。
表 4-14
show bgp ipv6 community-list のフ ィ ール ド
フ ィ ール ド 説明
BGP table
version
テーブルの内部バージ ョ ン番号。こ の番号は、テーブルが変更 さ れ る たびに増分 し
ます。
local router ピ リ オ ド で区切 ら れた 4 つのオ ク テ ッ ト と し て記述 さ れ る 32 ビ ッ ト 数（ ド ッ ト 付
ID
き 10 進表記）。
Status
codes
テーブル エ ン ト リ の ス テー タ ス 。テーブルの各行の最初に ス テー タ ス が表示 さ れ ま
す。次のいずれかの値にな り ま す。
s：テーブル エ ン ト リ が非表示にな っ てい ま す。
h：テーブル エ ン ト リ は履歴です。
*：テーブル エ ン ト リ が有効です。
>：テーブル エ ン ト リ がそのネ ッ ト ワ ー ク で使用す る ための最良エ ン ト リ です。
i：テーブル エ ン ト リ が内部 BGP（iBGP）セ ッ シ ョ ン を経由 し て学習 さ れ ま す。
Origin
codes
エ ン ト リ の作成元。作成元の コ ー ド はテーブルの各行の終わ り に あ り ま す。次のい
ずれかの値にな り ま す。
i：内部ゲー ト ウ ェ イ プ ロ ト コ ル（IGP）か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ
レ ーシ ョ ン コ マ ン ド を使用 し て ア ド バ タ イ ズ さ れたエ ン ト リ 。
e：外部ゲー ト ウ ェ イ プ ロ ト コ ル（EGP）か ら 発信 さ れたエ ン ト リ 。
?：パ ス の発信元は ク リ ア さ れ ま せん。通常、こ れは IGP か ら BGP に再配信 さ れ る
ルー タ です。
Network
エ ン ト リ が表すネ ッ ト ワ ー ク の イ ン タ ーネ ッ ト ア ド レ ス 。
Next Hop
パケ ッ ト を宛先ネ ッ ト ワ ー ク に転送す る と き に使用 さ れ る 、次のシ ス テ ム の IP ア
ド レ ス 。0.0.0.0 のエ ン ト リ は、ア ク セ ス サーバに こ のネ ッ ト ワ ー ク への非 BGP ルー
ト が あ る こ と を示 し ま す。
Metric
表示 さ れてい る 場合は相互自律シ ス テ ム メ ト リ ッ ク 。
LocPrf
set local-preference ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド で設定 さ れた
ロ ーカル プ リ フ ァ レ ン ス 値。デ フ ォ ル ト 値は 100 です。
Weight
自律シ ス テ ム フ ィ ル タ を介 し て設定 さ れたルー ト の重み。
Path
宛先ネ ッ ト ワ ー ク への自律シ ス テ ム パ ス 。パ ス 内の各自律シ ス テ ム に対 し て、こ の
フ ィ ール ド 内に 1 エ ン ト リ を含め る こ と がで き ま す。パ ス の終わ り は、パ ス の発信
元 コ ー ド です。
i：エ ン ト リ は、IGP か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン
ド を使用 し て ア ド バ タ イ ズ さ れ ま し た。
e：EGP か ら 発信 さ れ る ルー ト 。
?：パ ス の発信元は ク リ ア さ れ ません。通常、こ れは IGP か ら BGP に再配信 さ れ る パ ス
です。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-38
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 inconsistent-as
show bgp ipv6 inconsistent-as
送信元に一貫性のない複数の自律シ ス テ ム を含む IPv6 Border Gateway Protocol（BGP）ルー ト を
表示す る には、ユーザ EXEC モー ド ま たは特権 EXEC モー ド で show bgp ipv6 inconsistent-as を使
用 し ま す。
show bgp ipv6 unicast inconsistent-as
構文の説明
unicast
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
IPv6 ユ ニ キ ャ ス ト ア ド レ ス プ レ フ ィ ッ ク ス を指定 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
例
リ リ ース
9.3(2)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
IPv6 専用で あ る 点を除いて、show bgp ipv6 unicast inconsistent-as コ マ ン ド の出力は show ip bgp
inconsistent-as コ マ ン ド と 類似 し てい ま す。
例
次に、show bgp ipv6 inconsistent-as コ マ ン ド の出力例を示 し ま す。
ciscoasa# show bgp ipv6 unicast inconsistent-as
BGP table version is 12612, local router ID is 192.168.7.225
Status codes: s suppressed, h history, * valid, > best, i - internal
Origin codes: i - IGP, e - EGP, ?- incomplete
*
*
*
*
Network
3FFE:1300::/24
Next Hop
Metric LocPrf Weight Path
2001:0DB8:0:F004::1
0 3320 293 6175 ?
3FFE:C00:E:9::2
0 1251 4270 10318 ?
3FFE:3600::A
0 3462 6175 ?
3FFE:700:20:1::11
0 293 6175 ?
次の表で、こ の出力に表示 さ れ る 重要な フ ィ ール ド を説明 し ます。
表 4-15
show bgp ipv6 community-list のフ ィ ール ド
フ ィ ール ド 説明
BGP table
version
テーブルの内部バージ ョ ン番号。こ の番号は、テーブルが変更 さ れ る たびに増分 し
ます。
local router ピ リ オ ド で区切 ら れた 4 つのオ ク テ ッ ト と し て記述 さ れ る 32 ビ ッ ト 数（ ド ッ ト 付
ID
き 10 進表記）。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-39
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 inconsistent-as
表 4-15
show bgp ipv6 community-list のフ ィ ール ド （続き）
フ ィ ール ド 説明
Status
codes
テーブル エ ン ト リ の ス テー タ ス 。テーブルの各行の最初に ス テー タ ス が表示 さ れ ま
す。次のいずれかの値にな り ま す。
s：テーブル エ ン ト リ が非表示にな っ てい ま す。
h：テーブル エ ン ト リ は履歴です。
*：テーブル エ ン ト リ が有効です。
>：テーブル エ ン ト リ がそのネ ッ ト ワ ー ク で使用す る ための最良エ ン ト リ です。
i：テーブル エ ン ト リ が内部 BGP（iBGP）セ ッ シ ョ ン を経由 し て学習 さ れ ま す。
Origin
codes
エ ン ト リ の作成元。作成元の コ ー ド はテーブルの各行の終わ り に あ り ま す。次のい
ずれかの値にな り ま す。
i：内部ゲー ト ウ ェ イ プ ロ ト コ ル（IGP）か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ
レ ーシ ョ ン コ マ ン ド を使用 し て ア ド バ タ イ ズ さ れたエ ン ト リ 。
e：外部ゲー ト ウ ェ イ プ ロ ト コ ル（EGP）か ら 発信 さ れたエ ン ト リ 。
?：パ ス の発信元は ク リ ア さ れ ま せん。通常、こ れは IGP か ら BGP に再配信 さ れ る
ルー タ です。
Network
エ ン ト リ が表すネ ッ ト ワ ー ク の イ ン タ ーネ ッ ト ア ド レ ス 。
Next Hop
パケ ッ ト を宛先ネ ッ ト ワ ー ク に転送す る と き に使用 さ れ る 、次のシ ス テ ム の IP ア
ド レ ス 。0.0.0.0 のエ ン ト リ は、ア ク セ ス サーバに こ のネ ッ ト ワ ー ク への非 BGP ルー
ト が あ る こ と を示 し ま す。
Metric
表示 さ れてい る 場合は相互自律シ ス テ ム メ ト リ ッ ク 。
LocPrf
set local-preference ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド で設定 さ れた
ロ ーカル プ リ フ ァ レ ン ス 値。デ フ ォ ル ト 値は 100 です。
Weight
自律シ ス テ ム フ ィ ル タ を介 し て設定 さ れたルー ト の重み。
Path
宛先ネ ッ ト ワ ー ク への自律シ ス テ ム パ ス 。パ ス 内の各自律シ ス テ ム に対 し て、こ の
フ ィ ール ド 内に 1 エ ン ト リ を含め る こ と がで き ま す。パ ス の終わ り は、パ ス の発信
元 コ ー ド です。
i：エ ン ト リ は、IGP か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン
ド を使用 し て ア ド バ タ イ ズ さ れ ま し た。
e：EGP か ら 発信 さ れ る ルー ト 。
?：パ ス の発信元は ク リ ア さ れ ません。通常、こ れは IGP か ら BGP に再配信 さ れ る パ ス
です。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-40
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 neighbors
show bgp ipv6 neighbors
ネ イ バーへの IPv6 Border Gateway Protocol（BGP）接続に関す る 情報を表示す る には、ユーザ
EXEC モー ド ま たは特権 EXEC モー ド で show bgp ipv6 neighbors コ マ ン ド を使用 し ま す。
show bgp ipv6 unicast neighbors [ipv6-address] [ received-routes | routes | advertised-routes |
paths regular-expression ]
構文の説明
unicast
IPv6 ユ ニ キ ャ ス ト ア ド レ ス プ レ フ ィ ッ ク ス を指定 し ま す。
ipv6-address
（オプシ ョ ン）IPv6 BGP ス ピ ーキ ン グ ネ イ バーのア ド レ ス 。こ の引数を
省略 し た場合、すべての IPv6 ネ イ バーが表示 さ れ ま す。
こ の引数は、RFC 2373 に記述 さ れてい る 形式にす る 必要が あ り ま す。
コ ロ ン区切 り の 16 ビ ッ ト 値を使用 し て、ア ド レ ス を 16 進数で指定 し
ま す。
コ マ ン ド モー ド
received-routes
（オプシ ョ ン）指定 し た ネ イ バーか ら 受信 し たすべてのルー ト を表示 し
ま す。
routes
（オプシ ョ ン）受信 さ れ、受け入れ ら れ る すべてのルー ト を表示 し ま す。
こ れは received-routes キー ワ ー ド の出力のサブセ ッ ト です。
advertised-routes
（オプシ ョ ン）ネ イ バーにア ド バ タ イ ズ さ れてい る ネ ッ ト ワ ーキ ン グ デ
バ イ ス のすべて のルー ト を表示 し ま す。
paths
regular-expression
（オプシ ョ ン）受信 し たパ ス の照合に使用 さ れ る 正規表現。
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
例
リ リ ース
9.3(2)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
マルチ
コ ン テキス ト シ ス テム
Yes
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
IPv6 専用で あ る 点を除いて、show bgp ipv6 unicast neighbors コ マ ン ド の出力は show ip bgp
neighbors コ マ ン ド と 類似 し てい ま す。
例
次に、show bgp ipv6 neighbors コ マ ン ド の出力例を示 し ま す。
ciscoasa# show bgp ipv6 unicast neighbors
BGP neighbor is 3FFE:700:20:1::11, remote AS 65003, external link
BGP version 4, remote router ID 192.168.2.27
BGP state = Established, up for 13:40:17
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-41
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 neighbors
Last read 00:00:09, hold time is 180, keepalive interval is 60 seconds
Neighbor capabilities:
Route refresh: advertised and received
Address family IPv6 Unicast: advertised and received
Received 31306 messages, 20 notifications, 0 in queue
Sent 14298 messages, 1 notifications, 0 in queue
Default minimum time between advertisement runs is 30 seconds
For address family: IPv6 Unicast
BGP table version 21880, neighbor version 21880
Index 1, Offset 0, Mask 0x2
Route refresh request: received 0, sent 0
Community attribute sent to this neighbor
Outbound path policy configured
Incoming update prefix filter list is bgp-in
Outgoing update prefix filter list is aggregate
Route map for outgoing advertisements is uni-out
77 accepted prefixes consume 4928 bytes
Prefix advertised 4303, suppressed 0, withdrawn 1328
Number of NLRIs in the update sent: max 1, min 0
1 history paths consume 64 bytes
Connections established 22; dropped 21
Last reset 13:47:05, due to BGP Notification sent, hold time expired
Connection state is ESTAB, I/O status: 1, unread input bytes: 0
Local host: 3FFE:700:20:1::12, Local port: 55345
Foreign host: 3FFE:700:20:1::11, Foreign port: 179
Enqueued packets for retransmit: 0, input: 0 mis-ordered: 0 (0 bytes)
Event Timers (current time is 0x1A0D543C):
Timer
Starts
Wakeups
Next
Retrans
1218
5
0x0
TimeWait
0
0
0x0
AckHold
3327
3051
0x0
SendWnd
0
0
0x0
KeepAlive
0
0
0x0
GiveUp
0
0
0x0
PmtuAger
0
0
0x0
DeadWait
0
0
0x0
iss: 1805423033 snduna: 1805489354 sndnxt: 1805489354
sndwnd: 15531
irs: 821333727 rcvnxt: 821591465 rcvwnd:
15547 delrcvwnd:
837
SRTT: 300 ms, RTTO: 303 ms, RTV: 3 ms, KRTT: 0 ms
minRTT: 8 ms, maxRTT: 300 ms, ACK hold: 200 ms
Flags: higher precedence, nagle
Datagrams (max data segment is 1420 bytes):
Rcvd: 4252 (out of order: 0), with data: 3328, total data bytes: 257737
Sent: 4445 (retransmit: 5), with data: 4445, total data bytes: 244128
次の表で、こ の出力に表示 さ れ る 重要な フ ィ ール ド を説明 し ま す。
表 4-16
show bgp ipv6 community-list のフ ィ ール ド
フ ィ ール ド
説明
BGP
neighbor
BGP ネ イ バーの IP ア ド レ ス と その自律シ ス テ ム番号。ネ イ バーがルー タ と 同 じ 自
律シ ス テ ム内に あ る 場合、こ れ ら の間の リ ン ク は内部 と な り 、そ う で ない場合は外
部 リ ン ク と 見な さ れ ま す。
remote AS
ネ イ バーの自律シ ス テ ム。
internal link
こ の ピ ア が内部ボーダー ゲー ト ウ ェ イ プ ロ ト コ ル（iBGP）ピ ア で あ る こ と を示 し
ま す。
BGP version
リ モー ト ルー タ と の通信に使用 さ れ る BGP バージ ョ ン。ネ イ バーのルー タ ID（IP
ア ド レ ス ） も 指定 さ れ ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-42
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 neighbors
表 4-16
フ ィ ール ド
show bgp ipv6 community-list のフ ィ ール ド （続き）
説明
remote router ピ リ オ ド で区切 ら れた 4 つのオ ク テ ッ ト と し て記述 さ れ る 32 ビ ッ ト 数（ ド ッ ト 付
ID
き 10 進表記）。
BGP state
こ の BGP 接続の内部 ス テー ト 。
up for
ベー ス と な る TCP 接続が存在 し てい る 時間。
Last read
BGP が こ のネ イ バーか ら 最後に メ ッ セージ を読み取っ た時間。
hold time
ピ ア か ら の メ ッ セージ間の最大経過時間。
keepalive
interval
TCP 接続が維持 さ れてい る こ と を確認で き る よ う に、キープ ア ラ イ ブ パケ ッ ト を
送信す る 時間間隔。
Neighbor
capabilities
こ のネ イ バーか ら ア ド バ タ イ ズ さ れ受信 さ れ る BGP 機能。
Route refresh ルー ト リ フ レ ッ シ ュ 機能を使用 し て ネ イ バーがダ イ ナ ミ ッ ク ソ フ ト リ セ ッ ト を
サポー ト す る こ と を示 し ま す。
Address
family IPv6
Unicast
BGP ピ アが IPv6 到達可能性情報を交換 し てい る こ と を示 し ます。
Received
こ の ピ アか ら 受信 し た、キープア ラ イ ブ を含む BGP メ ッ セージの合計数。
notifications
ピ アか ら 受信 し たエ ラ ー メ ッ セージの数。
Sent
こ の ピ アに送信 さ れた、キープア ラ イ ブ を含む BGP メ ッ セージの合計数。
notifications
ルー タ が こ の ピ アに送信 し たエ ラ ー メ ッ セージの数。
advertisement 最小ア ド バ タ イ ズ メ ン ト 間隔の値。
runs
For address
family
後続の フ ィ ール ド が参照す る ア ド レ ス フ ァ ミ リ 。
BGP table
version
テーブルの内部バージ ョ ン番号。こ の番号は、テーブルが変更 さ れ る たびに増分 し
ます。
neighbor
version
送信済みのプ レ フ ィ ッ ク スお よ び こ のネ イ バーに送信す る 必要があ る プ レ フ ィ ッ
ク ス を追跡す る ために ソ フ ト ウ ェ アに よ っ て使用 さ れた番号。
Route refresh こ のネ イ バーで送受信 さ れ る ルー ト リ フ レ ッ シ ュ 要求の数。
request
Community neighbor send-community コ マ ン ド が こ のネ イ バー用に設定 さ れてい る 場合に表示 さ
attribute（出 れます。
力例にな し ）
Inbound path イ ン バ ウ ン ド フ ィ ル タ リ ス ト ま たはルー ト マ ッ プが設定 さ れてい る か ど う か を
policy（出力 示 し ま す。
例にな し ）
Outbound
path policy
（出力例に
な し）
ア ウ ト バ ウ ン ド フ ィ ル タ リ ス ト 、ルー ト マ ッ プ、ま たは抑制マ ッ プが設定 さ れて
い る か ど う か を示 し ま す。
bgp-in（出力 IPv6 ユニ キ ャ ス ト ア ド レ ス フ ァ ミ リ の イ ン バ ウ ン ド ア ッ プデー ト プ レ フ ィ ッ ク
例にな し ）
ス フ ィ ル タ リ ス ト の名前。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-43
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 neighbors
表 4-16
show bgp ipv6 community-list のフ ィ ール ド （続き）
フ ィ ール ド
説明
aggregate
（出力例に
な し）
IPv6 ユニ キ ャ ス ト ア ド レ ス フ ァ ミ リ の ア ウ ト バ ウ ン ド ア ッ プデー ト プ レ フ ィ ッ
ク ス フ ィ ル タ リ ス ト の名前。
uni-out（出力 IPv6 ユニ キ ャ ス ト ア ド レ ス フ ァ ミ リ のア ウ ト バ ウ ン ド ルー ト マ ッ プの名前。
例にな し ）
accepted
prefixes
受け入れ ら れたプ レ フ ィ ッ ク ス の数。
Prefix
advertised
ア ド バ タ イ ズ さ れたプ レ フ ィ ッ ク ス の数。
suppressed
抑制 さ れたプ レ フ ィ ッ ク ス の数。
withdrawn
取 り 消 さ れたプ レ フ ィ ッ ク ス の数。
history paths
（出力例に
な し）
履歴を記憶す る ために保持 さ れ る パ ス エ ン ト リ の数。
Connections
established
ルー タ が TCP 接続を確立 し 、2 つの ピ ア が相互に BGP 通信を行 う こ と に同意 し た
回数。
dropped
良好な接続に失敗 し たか、ダ ウ ン し た回数。
Last reset
こ の ピ ア リ ン グ セ ッ シ ョ ン が最後に リ セ ッ ト さ れてか ら の経過時間（時:分:秒
形式）。
Connection
state
BGP ピ ア の状態。
unread input 引 き 続 き 処理 さ れ る パケ ッ ト のバ イ ト 数。
bytes
Local host、
Local port
ロ ーカル ルー タ お よ びポー ト の ピ ア ア ド レ ス 。
Foreign host、 ネ イ バーの ピ ア ア ド レ ス 。
Foreign port
Event Timers 各 タ イ マーの開始 と ウ ェ イ ク ア ッ プの回数を表示す る 表。
snduna
ロ ーカル ホ ス ト が送信 し た も のの、確認応答を受信 し ていない最後の送信シーケ
ン ス 番号。
sndnxt
ロ ーカル ホ ス ト が次に送信す る シーケ ン ス 番号。
sndwnd
リ モー ト ホ ス ト の TCP ウ ィ ン ド ウ サ イ ズ。
irs
最初の受信シーケ ン ス 番号。
rcvnxt
ロ ーカル ホ ス ト が確認応答 し た最後の受信シーケ ン ス 番号。
rcvwnd
ロ ーカル ホ ス ト の TCP ウ ィ ン ド ウ サ イ ズ。
delrecvwnd
遅延受信 ウ ィ ン ド ウ ： ロ ーカル ホ ス ト に よ っ て接続か ら 読み取 ら れ、ホ ス ト が リ
モー ト ホ ス ト に ア ド バ タ イ ズ し た受信 ウ ィ ン ド ウ か ら 削除 さ れていないデー タ 。
こ の フ ィ ール ド の値は徐々に大 き く な り 、フ ルサ イ ズ パケ ッ ト よ り も 大 き く な っ
た時点で rcvwnd フ ィ ール ド に適用 さ れ ま す。
SRTT
計算 さ れた ス ムーズ ラ ウ ン ド ト リ ッ プ タ イ ム ア ウ ト （ ミ リ 秒単位）。
RTTO
ラ ウ ン ド ト リ ッ プ タ イ ム ア ウ ト （ ミ リ 秒単位）。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-44
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 neighbors
表 4-16
show bgp ipv6 community-list のフ ィ ール ド （続き）
フ ィ ール ド
説明
RTV
ラ ウ ン ド ト リ ッ プ時間の差異（ ミ リ 秒単位）。
KRTT
Karn アルゴ リ ズ ム を使用 し た新 し い ラ ウ ン ド ト リ ッ プ タ イ ム ア ウ ト （ ミ リ 秒単
位）。こ の フ ィ ール ド は、再送信 さ れたパケ ッ ト の ラ ウ ン ド ト リ ッ プ時間を追跡 し
ま す。
minRTT
計算に組み込み値を使用 し て記録 さ れた最小 ラ ウ ン ド ト リ ッ プ タ イ ム ア ウ ト （ ミ
リ 秒単位）。
maxRTT
記録 さ れた最大 ラ ウ ン ド ト リ ッ プ タ イ ム ア ウ ト （ ミ リ 秒単位）。
ACK hold
デー タ を「 ピ ギーバ ッ ク す る 」ために ロ ーカル ホ ス ト が確認応答を遅延 さ せ る 時
間（ ミ リ 秒単位）。
Flags
BGP パケ ッ ト の IP プ レ シデン ス 。
Datagrams:
Rcvd
ネ イ バーか ら 受信 し た ア ッ プデー ト パケ ッ ト の数。
with data
デー タ と と も に受信 し た ア ッ プデー ト パケ ッ ト の数。
total data
bytes
デー タ のバ イ ト 総数。
Sent
送信 さ れた ア ッ プデー ト パケ ッ ト の数。
with data
デー タ と と も に送信 さ れた ア ッ プデー ト パケ ッ ト の数。
total data
bytes
デー タ のバ イ ト 総数。
次に、advertised-routes キー ワ ー ド を指定 し た show bgp ipv6 neighbors コ マ ン ド の出力例を示 し
ま す。
ciscoasa# show bgp ipv6 unicast neighbors 3FFE:700:20:1::11 advertised-routes
BGP table version is 21880, local router ID is 192.168.7.225
Status codes: s suppressed, h history, * valid, > best, i - internal
Origin codes: i - IGP, e - EGP, ?- incomplete
Network
Next Hop
Metric LocPrf Weight Path
*> 2001:200::/35
3FFE:700:20:1::11
0 293 3425 2500 i
*> 2001:208::/35
3FFE:C00:E:B::2
0 237 7610 i
*> 2001:218::/35
3FFE:C00:E:C::2
0 3748 4697 i
次に、routes キー ワ ー ド を指定 し た show bgp ipv6 neighbors コ マ ン ド の出力例を示 し ま す。
ciscoasa# show bgp ipv6 unicast neighbors 3FFE:700:20:1::11 routes
BGP table version is 21885, local router ID is 192.168.7.225
Status codes: s suppressed, h history, * valid, > best, i - internal
Origin codes: i - IGP, e - EGP, ?- incomplete
Network
Next Hop
Metric LocPrf Weight Path
*> 2001:200::/35
3FFE:700:20:1::11
0 293 3425
* 2001:208::/35
3FFE:700:20:1::11
0 293 7610
* 2001:218::/35
3FFE:700:20:1::11
0 293 3425
* 2001:230::/35
3FFE:700:20:1::11
0 293 1275
2500 i
i
4697 i
3748 i
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-45
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 neighbors
次の表で、こ の出力に表示 さ れ る 重要な フ ィ ール ド を説明 し ます。
表 4-17
show bgp ipv6 neighbors advertised-routes と routes のフ ィ ール ド
フ ィ ール ド 説明
BGP table
version
テーブルの内部バージ ョ ン番号。こ の番号は、テーブルが変更 さ れ る たびに増分 し
ま す。
local router ピ リ オ ド で区切 ら れた 4 つのオ ク テ ッ ト と し て記述 さ れ る 32 ビ ッ ト 数（ ド ッ ト 付
ID
き 10 進表記）。
Status
codes
テーブル エ ン ト リ の ス テー タ ス 。テーブルの各行の最初に ス テー タ ス が表示 さ れ ま
す。次のいずれかの値にな り ま す。
s：テーブル エ ン ト リ が非表示にな っ てい ま す。
h：テーブル エ ン ト リ は履歴です。
*：テーブル エ ン ト リ が有効です。
>：テーブル エ ン ト リ がそのネ ッ ト ワ ー ク で使用す る ための最良エ ン ト リ です。
i：テーブル エ ン ト リ が内部 BGP（iBGP）セ ッ シ ョ ン を経由 し て学習 さ れ ま す。
Origin
codes
エ ン ト リ の作成元。作成元の コ ー ド はテーブルの各行の終わ り に あ り ま す。次のい
ずれかの値にな り ま す。
i：内部ゲー ト ウ ェ イ プ ロ ト コ ル（IGP）か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ
レ ーシ ョ ン コ マ ン ド を使用 し て ア ド バ タ イ ズ さ れたエ ン ト リ 。
e：外部ゲー ト ウ ェ イ プ ロ ト コ ル（EGP）か ら 発信 さ れたエ ン ト リ 。
?：パ ス の発信元は ク リ ア さ れ ま せん。通常、こ れは IGP か ら BGP に再配信 さ れ る
ルー タ です。
Network
エ ン ト リ が表すネ ッ ト ワ ー ク の イ ン タ ーネ ッ ト ア ド レ ス 。
Next Hop
パケ ッ ト を宛先ネ ッ ト ワ ー ク に転送す る と き に使用 さ れ る 、次のシ ス テ ム の IP ア
ド レ ス 。0.0.0.0 のエ ン ト リ は、ア ク セ ス サーバに こ のネ ッ ト ワ ー ク への非 BGP ルー
ト が あ る こ と を示 し ま す。
Metric
表示 さ れてい る 場合は相互自律シ ス テ ム メ ト リ ッ ク 。
LocPrf
set local-preference ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド で設定 さ れた
ロ ーカル プ リ フ ァ レ ン ス 値。デ フ ォ ル ト 値は 100 です。
Weight
自律シ ス テ ム フ ィ ル タ を介 し て設定 さ れたルー ト の重み。
Path
宛先ネ ッ ト ワ ー ク への自律シ ス テ ム パ ス 。パ ス 内の各自律シ ス テ ム に対 し て、こ の
フ ィ ール ド 内に 1 エ ン ト リ を含め る こ と がで き ま す。パ ス の終わ り は、パ ス の発信
元 コ ー ド です。
i：エ ン ト リ は、IGP か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン
ド を使用 し て ア ド バ タ イ ズ さ れ ま し た。
e：EGP か ら 発信 さ れ る ルー ト 。
?：パ ス の発信元は ク リ ア さ れ ません。通常、こ れは IGP か ら BGP に再配信 さ れ る パ ス
です。
次に、paths キー ワ ー ド を指定 し た show bgp ipv6 neighbors コ マ ン ド の出力例 を示 し ま す。
ciscoasa# show bgp ipv6 unicast neighbors 3FFE:700:20:1::11 paths ^293
Address
Refcount Metric Path
0x6131D7DC
2
0 293 3425 2500 i
0x6132861C
2
0 293 7610 i
0x6131AD18
2
0 293 3425 4697 i
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-46
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 neighbors
0x61324084
0x61320E0C
0x61326928
0x61327BC0
0x61321758
0x61320BEC
0x6131AAF8
0x61320FE8
0x613260A8
0x6132586C
0x6131BBF8
0x6132344C
0x61324150
0x6131E5AC
0x613235E4
0x6131D028
0x613279E4
0x61320328
0x6131EC0C
2
1
1
2
1
1
2
1
2
1
2
1
2
2
1
1
1
1
2
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
293
293
293
293
293
293
293
293
293
293
293
293
293
293
293
293
293
293
293
1275 3748 i
3425 2500 2497 i
3425 2513 i
i
145 i
3425 6509 i
1849 2914 ?
1849 1273 209 i
1849 i
1849 5539 i
1849 1103 i
4554 1103 1849 1752 i
1275 559 i
1849 786 i
1849 1273 i
4554 5539 8627 i
1275 3748 4697 3257 i
1849 1273 790 i
1275 5409 i
次の表で、こ の出力に表示 さ れ る 重要な フ ィ ール ド を説明 し ます。
show bgp ipv6 neighbors paths のフ ィ ール ド
フ ィ ール ド 説明
Address
パ ス が保存 さ れ る 内部ア ド レ ス 。
Refcount
そのパ ス を使用 し てい る ルー ト の数。
Metric
パ ス の Multi Exit Discriminator（MED） メ ト リ ッ ク （BGP バージ ョ ン 2 お よ び 3 の こ
の メ ト リ ッ ク 名は INTER_AS です）。
Path
そのルー ト の自律シ ス テ ム パ ス と 、そのルー ト の発信元 コ ー ド 。
次に、show bgp ipv6 neighbors コ マ ン ド の出力例を示 し ま す。こ こ では、IPv6 ア ド レ ス
2000:0:0:4::2 の受信ルー ト を示 し てい ま す。
ciscoasa# show bgp ipv6 unicast neighbors 2000:0:0:4::2 received-routes
BGP table version is 2443, local router ID is 192.168.0.2
Status codes:s suppressed, h history, * valid, > best, i - internal
Origin codes:i - IGP, e - EGP, ?- incomplete
Network
Next Hop
Metric LocPrf Weight Path
*> 2000:0:0:1::/64
2000:0:0:4::2
0 2 1 i
*> 2000:0:0:2::/64
2000:0:0:4::2
0 2 i
*> 2000:0:0:2:1::/80
2000:0:0:4::2
0 2 ?
*> 2000:0:0:3::/64
2000:0:0:4::2
0 2 ?
* 2000:0:0:4::1/64
2000:0:0:4::2
0 2 ?
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-47
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 paths
show bgp ipv6 paths
デー タ ベース内のすべての IPv6 Border Gateway Protocol（BGP）パ ス を表示す る には、ユーザ EXEC
モー ド ま たは特権 EXEC モー ド で show bgp ipv6 paths コ マ ン ド を使用 し ます。
show bgp ipv6 unicast paths regular-expression
構文の説明
コ マ ン ド モー ド
unicast
IPv6 ユ ニ キ ャ ス ト ア ド レ ス プ レ フ ィ ッ ク ス を指定 し ま す。
regular-expression
デー タ ベース内の受信パ ス の照合に使用 さ れ る 正規表現。
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
例
リ リ ース
9.3(2)
•
Yes
•
Yes
•
Yes
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
IPv6 専用で あ る 点を除いて、show bgp ipv6 unicast paths コ マ ン ド の出力は show ip bgp paths コ マ
ン ド と 類似 し てい ま す。
例
次に、show bgp ipv6 paths コ マ ン ド の出力例を示 し ま す。
ciscoasa# show bgp ipv6 unicast
Address
Hash Refcount Metric
0x61322A78
0
2
0
0x6131C214
3
2
0
0x6131D600
13
1
0
0x613229F0
17
1
0
0x61324AE0
18
1
1
0x61326818
32
1
1
0x61324728
34
1
0
0x61323804
35
1
0
0x61327918
35
1
0
0x61320504
38
2
0
0x61320988
41
2
0
0x6132245C
46
1
0
paths
Path
i
6346 8664 786 i
3748 1275 8319 1273 209 i
3748 1275 8319 12853 i
4554 3748 4697 5408 i
4554 5609 i
6346 8664 9009 ?
3748 1275 8319 i
237 2839 8664 ?
3748 4697 1752 i
1849 786 i
6346 8664 4927 i
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-48
マルチ
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 paths
次の表で、こ の出力に表示 さ れ る 重要な フ ィ ール ド を説明 し ます。
フ ィ ール ド 説明
Address
パ ス が保存 さ れ る 内部ア ド レ ス 。
Refcount
そのパ ス を使用 し てい る ルー ト の数。
Metric
パ ス の Multi Exit Discriminator（MED） メ ト リ ッ ク （BGP バージ ョ ン 2 お よ び 3 の こ
の メ ト リ ッ ク 名は INTER_AS です）。
Path
そのルー ト の自律シ ス テ ム パ ス と 、そのルー ト の発信元 コ ー ド 。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-49
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 prefix-list
show bgp ipv6 prefix-list
プ レ フ ィ ッ ク ス リ ス ト に一致す る ルー ト を表示す る には、ユーザ EXEC モー ド ま たは特権 EXEC
モー ド で show bgp ipv6 prefix-list コ マ ン ド を使用 し ます。
show bgp ipv6 unicast prefix-list name
構文の説明
コ マ ン ド モー ド
unicast
IPv6 ユ ニ キ ャ ス ト ア ド レ ス プ レ フ ィ ッ ク ス を指定 し ま す。
name
指定 し たプ レ フ ィ ッ ク ス リ ス ト 。
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
例
リ リ ース
9.3(2)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
指定す る プ レ フ ィ ッ ク ス リ ス ト は、IPv4 プ レ フ ィ ッ ク ス リ ス ト と 同様の形式の IPv6 プ レ フ ィ ッ
ク ス リ ス ト で あ る 必要が あ り ま す。
例
次に、show bgp ipv6 prefix-list コ マ ン ド の出力例を示 し ま す。
Router# show bgp ipv6 unicast prefix-list pin
ipv6 prefix-list pin:
count:4, range entries:3, sequences:5 - 20, refcount:2
seq 5 permit 747::/16 (hit count:1, refcount:2)
seq 10 permit 747:1::/32 ge 64 le 64 (hit count:2, refcount:2)
seq 15 permit 747::/32 ge 33 (hit count:1, refcount:1)
seq 20 permit 777::/16 le 124 (hit count:2, refcount:1)
The ipv6 prefix-list match the following prefixes:
seq 5: matches the exact match 747::/16
seq 10:first 32 bits in prefix must match with a prefixlen of /64
seq 15:first 32 bits in prefix must match with any prefixlen up to /128
seq 20:first 16 bits in prefix must match with any prefixlen up to /124
次の表で、こ の出力に表示 さ れ る 重要な フ ィ ール ド を説明 し ます。
フ ィ ール ド 説明
BGP table
version
テーブルの内部バージ ョ ン番号。こ の番号は、テーブルが変更 さ れ る たびに増分 し
ます。
local router ピ リ オ ド で区切 ら れた 4 つのオ ク テ ッ ト と し て記述 さ れ る 32 ビ ッ ト 数（ ド ッ ト 付
ID
き 10 進表記）。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-50
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 prefix-list
フ ィ ール ド 説明
Status
codes
テーブル エ ン ト リ の ス テー タ ス 。テーブルの各行の最初に ス テー タ ス が表示 さ れ ま
す。次のいずれかの値にな り ま す。
s：テーブル エ ン ト リ が非表示にな っ てい ま す。
h：テーブル エ ン ト リ は履歴です。
*：テーブル エ ン ト リ が有効です。
>：テーブル エ ン ト リ がそのネ ッ ト ワ ー ク で使用す る ための最良エ ン ト リ です。
i：テーブル エ ン ト リ が内部 BGP（iBGP）セ ッ シ ョ ン を経由 し て学習 さ れ ま す。
Origin
codes
エ ン ト リ の作成元。作成元の コ ー ド はテーブルの各行の終わ り に あ り ま す。次のい
ずれかの値にな り ま す。
i：内部ゲー ト ウ ェ イ プ ロ ト コ ル（IGP）か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ
レ ーシ ョ ン コ マ ン ド を使用 し て ア ド バ タ イ ズ さ れたエ ン ト リ 。
e：外部ゲー ト ウ ェ イ プ ロ ト コ ル（EGP）か ら 発信 さ れたエ ン ト リ 。
?：パ ス の発信元は ク リ ア さ れ ま せん。通常、こ れは IGP か ら BGP に再配信 さ れ る
ルー タ です。
Network
エ ン ト リ が表すネ ッ ト ワ ー ク の イ ン タ ーネ ッ ト ア ド レ ス 。
Next Hop
パケ ッ ト を宛先ネ ッ ト ワ ー ク に転送す る と き に使用 さ れ る 、次のシ ス テ ム の IP ア
ド レ ス 。0.0.0.0 のエ ン ト リ は、ア ク セ ス サーバに こ のネ ッ ト ワ ー ク への非 BGP ルー
ト が あ る こ と を示 し ま す。
Metric
表示 さ れてい る 場合は相互自律シ ス テ ム メ ト リ ッ ク 。
LocPrf
set local-preference ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド で設定 さ れた
ロ ーカル プ リ フ ァ レ ン ス 値。デ フ ォ ル ト 値は 100 です。
Weight
自律シ ス テ ム フ ィ ル タ を介 し て設定 さ れたルー ト の重み。
Path
宛先ネ ッ ト ワ ー ク への自律シ ス テ ム パ ス 。パ ス 内の各自律シ ス テ ム に対 し て、こ の
フ ィ ール ド 内に 1 エ ン ト リ を含め る こ と がで き ま す。パ ス の終わ り は、パ ス の発信
元 コ ー ド です。
i：エ ン ト リ は、IGP か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン
ド を使用 し て ア ド バ タ イ ズ さ れ ま し た。
e：EGP か ら 発信 さ れ る ルー ト 。
?：パ ス の発信元は ク リ ア さ れません。通常、こ れは IGP か ら BGP に再配信 さ れ る パ ス
です。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-51
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 quote-regexp
show bgp ipv6 quote-regexp
自律シ ス テ ム パ ス の正規表現に一致す る IPv6 Border Gateway Protocol（BGP）ルー ト を引用符で囲
まれた文字列 と し て表示す る には、ユーザ EXEC モー ド ま たは特権 EXEC モー ド で show bgp ipv6
quote-regexp コ マ ン ド を使用 し ます。
show bgp ipv6 unicast quote-regexp regular expression
構文の説明
コ マ ン ド モー ド
unicast
IPv6 ユ ニ キ ャ ス ト ア ド レ ス プ レ フ ィ ッ ク ス を指定 し ま す。
regular expression
BGP 自律シ ス テ ム パ ス を照合す る ために使用 さ れ る 正規表現
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
例
リ リ ース
9.3(2)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
IPv6 専用で あ る 点を除いて、show bgp ipv6 unicast quote-regexp コ マ ン ド の出力は show ip bgp
quote-regexp コ マ ン ド と 類似 し てい ま す。
例
次に、show bgp ipv6 quote-regexp コ マ ン ド の出力例を示 し ま す。こ こ では、33 で始 ま る パ ス ま た
は 293 を含むパ ス を示 し てい ま す。
Router# show bgp ipv6 unicast quote-regexp ^33|293
BGP table version is 69964, local router ID is 192.31.7.225
Status codes: s suppressed, h history, * valid, > best, i - internal
Origin codes: i - IGP, e - EGP, ?- incomplete
Network
Next Hop
Metric LocPrf Weight Path
* 2001:200::/35
3FFE:C00:E:4::2
1
0 4554 293 3425 2500 i
*
2001:0DB8:0:F004::1
0 3320 293 3425 2500 i
* 2001:208::/35
3FFE:C00:E:4::2
1
0 4554 293 7610 i
* 2001:228::/35
3FFE:C00:E:F::2
0 6389 1849 293 2713 i
* 3FFE::/24
3FFE:C00:E:5::2
0 33 1849 4554 i
* 3FFE:100::/24
3FFE:C00:E:5::2
0 33 1849 3263 i
* 3FFE:300::/24
3FFE:C00:E:5::2
0 33 293 1275 1717 i
* 3FFE:C00:E:F::2
0 6389 1849 293 1275
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-52
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 quote-regexp
次の表で、こ の出力に表示 さ れ る 重要な フ ィ ール ド を説明 し ます。
フ ィ ール ド 説明
BGP table
version
テーブルの内部バージ ョ ン番号。こ の番号は、テーブルが変更 さ れ る たびに増分 し
ます。
local router ピ リ オ ド で区切 ら れた 4 つのオ ク テ ッ ト と し て記述 さ れ る 32 ビ ッ ト 数（ ド ッ ト 付
ID
き 10 進表記）。
Status
codes
テーブル エ ン ト リ の ス テー タ ス 。テーブルの各行の最初に ス テー タ ス が表示 さ れ ま
す。次のいずれかの値にな り ま す。
s：テーブル エ ン ト リ が非表示にな っ てい ま す。
h：テーブル エ ン ト リ は履歴です。
*：テーブル エ ン ト リ が有効です。
>：テーブル エ ン ト リ がそのネ ッ ト ワ ー ク で使用す る ための最良エ ン ト リ です。
i：テーブル エ ン ト リ が内部 BGP（iBGP）セ ッ シ ョ ン を経由 し て学習 さ れ ま す。
Origin
codes
エ ン ト リ の作成元。作成元の コ ー ド はテーブルの各行の終わ り に あ り ま す。次のい
ずれかの値にな り ま す。
i：内部ゲー ト ウ ェ イ プ ロ ト コ ル（IGP）か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ
レ ーシ ョ ン コ マ ン ド を使用 し て ア ド バ タ イ ズ さ れたエ ン ト リ 。
e：外部ゲー ト ウ ェ イ プ ロ ト コ ル（EGP）か ら 発信 さ れたエ ン ト リ 。
?：パ ス の発信元は ク リ ア さ れ ま せん。通常、こ れは IGP か ら BGP に再配信 さ れ る
ルー タ です。
Network
エ ン ト リ が表すネ ッ ト ワ ー ク の イ ン タ ーネ ッ ト ア ド レ ス 。
Next Hop
パケ ッ ト を宛先ネ ッ ト ワ ー ク に転送す る と き に使用 さ れ る 、次のシ ス テ ム の IP ア
ド レ ス 。0.0.0.0 のエ ン ト リ は、ア ク セ ス サーバに こ のネ ッ ト ワ ー ク への非 BGP ルー
ト が あ る こ と を示 し ま す。
Metric
表示 さ れてい る 場合は相互自律シ ス テ ム メ ト リ ッ ク 。
LocPrf
set local-preference ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド で設定 さ れた
ロ ーカル プ リ フ ァ レ ン ス 値。デ フ ォ ル ト 値は 100 です。
Weight
自律シ ス テ ム フ ィ ル タ を介 し て設定 さ れたルー ト の重み。
Path
宛先ネ ッ ト ワ ー ク への自律シ ス テ ム パ ス 。パ ス 内の各自律シ ス テ ム に対 し て、こ の
フ ィ ール ド 内に 1 エ ン ト リ を含め る こ と がで き ま す。パ ス の終わ り は、パ ス の発信
元 コ ー ド です。
i：エ ン ト リ は、IGP か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン
ド を使用 し て ア ド バ タ イ ズ さ れ ま し た。
e：EGP か ら 発信 さ れ る ルー ト 。
?：パ ス の発信元は ク リ ア さ れ ません。通常、こ れは IGP か ら BGP に再配信 さ れ る パ ス
です。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-53
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 regexp
show bgp ipv6 regexp
自律シ ス テ ム パ ス の正規表現に一致す る IPv6 Border Gateway Protocol（BGP）ルー ト を表示す る に
は、ユーザ EXEC モー ド ま たは特権 EXEC モー ド で show bgp ipv6 regexp コ マ ン ド を使用 し ます。
show bgp ipv6 unicast regexp regular-expression
構文の説明
コ マ ン ド モー ド
unicast
IPv6 ユ ニ キ ャ ス ト ア ド レ ス プ レ フ ィ ッ ク ス を指定 し ま す。
regular-expression
BGP 自律シ ス テ ム パ ス を照合す る ために使用 さ れ る 正規表現
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
例
リ リ ース
9.3(2)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
IPv6 専用で あ る 点を除いて、show bgp ipv6 unicast regexp コ マ ン ド の出力は show ip bgp regexp コ
マ ン ド と 類似 し てい ま す。
例
次に、show bgp ipv6 regexp コ マ ン ド の出力例 を示 し ま す。こ こ では、33 で始 ま る パ ス ま たは 293
を含むパ ス を示 し てい ま す。
Router# show bgp ipv6 unicast regexp ^33|293
BGP table version is 69964, local router ID is 192.168.7.225
Status codes: s suppressed, h history, * valid, > best, i - internal
Origin codes: i - IGP, e - EGP, ?- incomplete
Network
Next Hop
Metric LocPrf Weight Path
* 2001:200::/35
3FFE:C00:E:4::2
1
0 4554 293 3425 2500 i
*
2001:0DB8:0:F004::1
0 3320 293 3425 2500 i
* 2001:208::/35
3FFE:C00:E:4::2
1
0 4554 293 7610 i
* 2001:228::/35
3FFE:C00:E:F::2
0 6389 1849 293 2713 i
* 3FFE::/24
3FFE:C00:E:5::2
0 33 1849 4554 i
* 3FFE:100::/24
3FFE:C00:E:5::2
0 33 1849 3263 i
* 3FFE:300::/24
3FFE:C00:E:5::2
0 33 293 1275 1717 i
*
3FFE:C00:E:F::2
0 6389 1849 293 1275
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-54
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 regexp
次の表で、こ の出力に表示 さ れ る 重要な フ ィ ール ド を説明 し ます。
フ ィ ール ド 説明
BGP table
version
テーブルの内部バージ ョ ン番号。こ の番号は、テーブルが変更 さ れ る たびに増分 し
ま す。
local router ピ リ オ ド で区切 ら れた 4 つのオ ク テ ッ ト と し て記述 さ れ る 32 ビ ッ ト 数（ ド ッ ト 付
ID
き 10 進表記）。
Status
codes
テーブル エ ン ト リ の ス テー タ ス 。テーブルの各行の最初に ス テー タ ス が表示 さ れ ま
す。次のいずれかの値にな り ま す。
s：テーブル エ ン ト リ が非表示にな っ てい ま す。
h：テーブル エ ン ト リ は履歴です。
*：テーブル エ ン ト リ が有効です。
>：テーブル エ ン ト リ がそのネ ッ ト ワ ー ク で使用す る ための最良エ ン ト リ です。
i：テーブル エ ン ト リ が内部 BGP（iBGP）セ ッ シ ョ ン を経由 し て学習 さ れ ま す。
Origin
codes
エ ン ト リ の作成元。作成元の コ ー ド はテーブルの各行の終わ り に あ り ま す。次のい
ずれかの値にな り ま す。
i：内部ゲー ト ウ ェ イ プ ロ ト コ ル（IGP）か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ
レ ーシ ョ ン コ マ ン ド を使用 し て ア ド バ タ イ ズ さ れたエ ン ト リ 。
e：外部ゲー ト ウ ェ イ プ ロ ト コ ル（EGP）か ら 発信 さ れたエ ン ト リ 。
?：パ ス の発信元は ク リ ア さ れ ま せん。通常、こ れは IGP か ら BGP に再配信 さ れ る
ルー タ です。
Network
エ ン ト リ が表すネ ッ ト ワ ー ク の イ ン タ ーネ ッ ト ア ド レ ス 。
Next Hop
パケ ッ ト を宛先ネ ッ ト ワ ー ク に転送す る と き に使用 さ れ る 、次のシ ス テ ム の IP ア
ド レ ス 。0.0.0.0 のエ ン ト リ は、ア ク セ ス サーバに こ のネ ッ ト ワ ー ク への非 BGP ルー
ト が あ る こ と を示 し ま す。
Metric
表示 さ れてい る 場合は相互自律シ ス テ ム メ ト リ ッ ク 。
LocPrf
set local-preference ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド で設定 さ れた
ロ ーカル プ リ フ ァ レ ン ス 値。デ フ ォ ル ト 値は 100 です。
Weight
自律シ ス テ ム フ ィ ル タ を介 し て設定 さ れたルー ト の重み。
Path
宛先ネ ッ ト ワ ー ク への自律シ ス テ ム パ ス 。パ ス 内の各自律シ ス テ ム に対 し て、こ の
フ ィ ール ド 内に 1 エ ン ト リ を含め る こ と がで き ま す。パ ス の終わ り は、パ ス の発信
元 コ ー ド です。
i：エ ン ト リ は、IGP か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン
ド を使用 し て ア ド バ タ イ ズ さ れ ま し た。
e：EGP か ら 発信 さ れ る ルー ト 。
?：パ ス の発信元は ク リ ア さ れません。通常、こ れは IGP か ら BGP に再配信 さ れ る パ ス
です。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-55
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 route-map
show bgp ipv6 route-map
ルーテ ィ ン グ テーブルへの登録に失敗 し た IPv6 Border Gateway Protocol（BGP）ルー ト を表示す
る には、ユーザ EXEC モー ド ま たは特権 EXEC モー ド で show bgp ipv6 route-map コ マ ン ド を使
用 し ま す。
show bgp ipv6 unicast route-map name
構文の説明
コ マ ン ド モー ド
unicast
IPv6 ユ ニ キ ャ ス ト ア ド レ ス プ レ フ ィ ッ ク ス を指定 し ま す。
name
照合のために指定 し たルー ト マ ッ プ。
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
例
リ リ ース
9.3(2)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、rmap と い う 名前のルー ト マ ッ プに対す る show bgp ipv6 route-map コ マ ン ド の出力例 を示
し ま す。
Router# show bgp ipv6 unicast route-map rmap
BGP table version is 16, local router ID is 172.30.242.1
Status codes:s suppressed, h history, * valid, > best, i - internal,
r RIB-failure, S Stale
Origin codes:i - IGP, e - EGP, ?- incomplete
Network
Next Hop
Metric LocPrf Weight Path
*>i12:12::/64
2001:0DB8:101::1
0
100
50 ?
*>i12:13::/64
2001:0DB8:101::1
0
100
50 ?
*>i12:14::/64
2001:0DB8:101::1
0
100
50 ?
*>i543::/64
2001:0DB8:101::1
0
100
50 ?
次の表で、こ の出力に表示 さ れ る 重要な フ ィ ール ド を説明 し ま す。
フ ィ ール ド 説明
BGP table
version
テーブルの内部バージ ョ ン番号。こ の番号は、テーブルが変更 さ れ る たびに増分 し
ま す。
local router ピ リ オ ド で区切 ら れた 4 つのオ ク テ ッ ト と し て記述 さ れ る 32 ビ ッ ト 数（ ド ッ ト 付
ID
き 10 進表記）。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-56
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 route-map
フ ィ ール ド 説明
Status
codes
テーブル エ ン ト リ の ス テー タ ス 。テーブルの各行の最初に ス テー タ ス が表示 さ れ ま
す。次のいずれかの値にな り ま す。
s：テーブル エ ン ト リ が非表示にな っ てい ま す。
h：テーブル エ ン ト リ は履歴です。
*：テーブル エ ン ト リ が有効です。
>：テーブル エ ン ト リ がそのネ ッ ト ワ ー ク で使用す る ための最良エ ン ト リ です。
i：テーブル エ ン ト リ が内部 BGP（iBGP）セ ッ シ ョ ン を経由 し て学習 さ れ ま す。
Origin
codes
エ ン ト リ の作成元。作成元の コ ー ド はテーブルの各行の終わ り に あ り ま す。次のい
ずれかの値にな り ま す。
i：内部ゲー ト ウ ェ イ プ ロ ト コ ル（IGP）か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ
レ ーシ ョ ン コ マ ン ド を使用 し て ア ド バ タ イ ズ さ れたエ ン ト リ 。
e：外部ゲー ト ウ ェ イ プ ロ ト コ ル（EGP）か ら 発信 さ れたエ ン ト リ 。
?：パ ス の発信元は ク リ ア さ れ ま せん。通常、こ れは IGP か ら BGP に再配信 さ れ る
ルー タ です。
Network
エ ン ト リ が表すネ ッ ト ワ ー ク の イ ン タ ーネ ッ ト ア ド レ ス 。
Next Hop
パケ ッ ト を宛先ネ ッ ト ワ ー ク に転送す る と き に使用 さ れ る 、次のシ ス テ ム の IP ア
ド レ ス 。0.0.0.0 のエ ン ト リ は、ア ク セ ス サーバに こ のネ ッ ト ワ ー ク への非 BGP ルー
ト が あ る こ と を示 し ま す。
Metric
表示 さ れてい る 場合は相互自律シ ス テ ム メ ト リ ッ ク 。
LocPrf
set local-preference ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド で設定 さ れた
ロ ーカル プ リ フ ァ レ ン ス 値。デ フ ォ ル ト 値は 100 です。
Weight
自律シ ス テ ム フ ィ ル タ を介 し て設定 さ れたルー ト の重み。
Path
宛先ネ ッ ト ワ ー ク への自律シ ス テ ム パ ス 。パ ス 内の各自律シ ス テ ム に対 し て、こ の
フ ィ ール ド 内に 1 エ ン ト リ を含め る こ と がで き ま す。パ ス の終わ り は、パ ス の発信
元 コ ー ド です。
i：エ ン ト リ は、IGP か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン
ド を使用 し て ア ド バ タ イ ズ さ れ ま し た。
e：EGP か ら 発信 さ れ る ルー ト 。
?：パ ス の発信元は ク リ ア さ れません。通常、こ れは IGP か ら BGP に再配信 さ れ る パ ス
です。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-57
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 summary
show bgp ipv6 summary
すべての IPv6 Border Gateway Protocol（BGP）接続の ス テー タ ス を表示す る には、ユーザ EXEC
モー ド ま たは特権 EXEC モー ド で show bgp ipv6 summary コ マ ン ド を使用 し ま す。
show bgp ipv6 unicast summary
構文の説明
unicast
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
IPv6 ユ ニ キ ャ ス ト ア ド レ ス プ レ フ ィ ッ ク ス を指定 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
例
リ リ ース
9.3(2)
•
Yes
•
Yes
Yes
•
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
IPv6 専用で あ る 点を除いて、show bgp ipv6 unicast summary コ マ ン ド の出力は show ip bgp
summary コ マ ン ド と 類似 し てい ま す。
例
次に、show bgp ipv6 summary コ マ ン ド の出力例を示 し ま す。
ciscoasa# show bgp ipv6 unicast summary
BGP device identifier 172.30.4.4, local AS number 200
BGP table version is 1, main routing table version 1
Neighbor
V
AS MsgRcvd MsgSent
TblVer
2001:0DB8:101::2
4
200
6869
6882
0
InQ
0
OutQ
0
Up/Down
06:25:24
State/PfxRcd
Active
次の表で、こ の出力に表示 さ れ る 重要な フ ィ ール ド を説明 し ま す。
フ ィ ール ド 説明
BGP device ネ ッ ト ワ ーキ ン グ デバ イ ス の IP ア ド レ ス 。
identifier
BGP table
version
テーブルの内部バージ ョ ン番号。こ の番号は、テーブルが変更 さ れ る たびに増分 し
ま す。
main routing メ イ ン ルーテ ィ ン グ テーブルに注入 さ れた BGP デー タ ベース の最後のバージ ョ ン。
table version
Neighbor
ネ イ バーの IPv6 ア ド レ ス 。
V
ネ イ バーに通知 さ れ る BGP バージ ョ ン番号。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-58
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp ipv6 summary
フ ィ ール ド 説明
AS
自律シ ス テ ム
MsgRcvd
ネ イ バーか ら 受信 さ れた BGP メ ッ セージ。
MsgSent
ネ イ バーに送信 さ れた BGP メ ッ セージ。
TblVer
ネ イ バーに送信 さ れた BGP デー タ ベー ス の最後のバージ ョ ン。
InQ
処理を待機 し てい る ネ イ バーか ら の メ ッ セージの数。
OutQ
ネ イ バーへの送信を待機 し てい る メ ッ セージの数。
Up/Down
BGP セ ッ シ ョ ン が確立状態 と な っ たか、確立 さ れていない場合は現在の状態に
な っ た時間の長 さ 。
State/PfxRcd BGP セ ッ シ ョ ン の現在の状態/デバ イ ス がネ イ バーか ら 受信 し たプ レ フ ィ ッ ク ス
の数。最大数（neighbor maximum-prefix コ マ ン ド で設定）に達す る と 、文字列
「PfxRcd」がエ ン ト リ に表示 さ れ、ネ イ バーがシ ャ ッ ト ダ ウ ン さ れて、接続が ア イ ド
ルにな り ま す。
ア イ ド ル ス テー タ ス の（管理者）エ ン ト リ は、接続が neighbor shutdown コ マ ン ド を
使用 し て シ ャ ッ ト ダ ウ ン さ れた こ と を示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-59
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp neighbors
show bgp neighbors
ネ イ バーへの Border Gateway Protocol（BGP）接続お よ び TCP 接続に関す る 情報を表示す る には、
ユーザ EXEC モー ド ま たは特権 EXEC モー ド で show bgp neighbors コ マ ン ド を使用 し ます。
show bgp neighbors [slow | ip-address [advertised-routes | | paths [reg-exp] |policy [detail]
| received prefix-filter | received-routes | routes]]
構文の説明
slow
（オプシ ョ ン）ダ イ ナ ミ ッ ク に設定 さ れた低速 ピ ア に関す る 情報 を表示
し ま す。
ip-address
（オプシ ョ ン）IPv4 ネ イ バーに関す る 情報を表示 し ま す。こ の引数を省
略 し た場合、すべて のネ イ バーに関す る 情報が表示 さ れ ま す。
advertised-routes
（オプシ ョ ン）ネ イ バーにア ド バ タ イ ズ さ れたすべてのルー ト を表示 し
ま す。
paths reg-exp
（オプシ ョ ン）指定 し た ネ イ バーか ら 学習 し た自律シ ス テ ム パ ス を表示
し ま す。オプシ ョ ン の正規表現を使用 し て、出力を フ ィ ル タ リ ン グ で き
ま す。
policy
（オプシ ョ ン）ア ド レ ス フ ァ ミ リ ご と に、こ のネ イ バーに適用 さ れ る ポ
リ シーを表示 し ま す。
detail
（オプシ ョ ン）ルー ト マ ッ プ、プ レ フ ィ ッ ク ス リ ス ト 、コ ミ ュ ニ テ ィ リ
ス ト 、ア ク セ ス コ ン ト ロ ール リ ス ト （ACL）、自律シ ス テ ム パ ス フ ィ ル
タ リ ス ト な ど の詳細な ポ リ シー情報を表示 し ま す。
received prefix-filter
（オプシ ョ ン）指定 し た ネ イ バーか ら 送信 さ れたプ レ フ ィ ッ ク ス リ ス ト
（ア ウ ト バ ウ ン ド ルー ト フ ィ ル タ （ORF））を表示 し ま す。
received-routes
（オプシ ョ ン）指定 し た ネ イ バーか ら 受信 し たすべてのルー ト を表示 し
ま す。
routes
（オプシ ョ ン）受信 さ れ、受け入れ ら れ る すべてのルー ト を表示 し ま す。
こ の キー ワ ー ド が入力 さ れた場合に表示 さ れ る 出力は、received-routes
キー ワ ー ド に よ っ て表示 さ れ る 出力のサブセ ッ ト です。
コ マン ド デフ ォル ト
こ の コ マ ン ド の出力には、すべてのネ イ バーの情報が表示 さ れ ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
リ リ ース
9.2(1)
•
Yes
Yes
•
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-60
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp neighbors
使用上のガイ ド ラ イ ン
ネ イ バー セ ッ シ ョ ン の BGP お よ び TCP 接続情報を表示す る には、show bgp neighbors コ マ ン ド
を使用 し ま す。BGP の場合、こ れには詳細な ネ イ バー属性、機能、パ ス 、お よ びプ レ フ ィ ッ ク ス 情
報が含 ま れてい ま す。TCP の場合、こ れには BGP ネ イ バー セ ッ シ ョ ン確立お よ び メ ン テナ ン ス
に関連 し た統計が含 ま れてい ま す。
ア ド バ タ イ ズ さ れ、取 り 消 さ れたプ レ フ ィ ッ ク ス の数に基づいて、プ レ フ ィ ッ ク ス ア ク テ ィ ビ
テ ィ が表示 さ れ ま す。ポ リ シー拒否には、ア ド バ タ イ ズ さ れた も のの、その後、出力に表示 さ れて
い る 機能 ま たは属性に基づいて無視 さ れたルー ト の数が表示 さ れ ま す。
シ ス コ が採用 し てい る 4 バ イ ト 自律シ ス テ ム番号は、自律シ ス テ ム番号の正規表現のマ ッ チ ン
グお よ び出力表示形式のデ フ ォ ル ト と し て asplain（た と えば、65538）を使用 し てい ま すが、RFC
5396 に記載 さ れてい る と お り 、4 バ イ ト 自律シ ス テ ム番号を asplain 形式お よ び asdot 形式の両方
で設定で き ま す。4 バ イ ト 自律シ ス テ ム番号の正規表現マ ッ チ ン グ と 出力表示のデ フ ォ ル ト を
asdot 形式に変更す る には、bgp asnotation dot コ マ ン ド に続け て、clear bgp * コ マ ン ド を実行 し 、
現在の BGP セ ッ シ ョ ン をすべてハー ド リ セ ッ ト し ま す。
例
出力例は、show bgp neighbors コ マ ン ド で使用で き る さ ま ざ ま な キー ワ ー ド に よ っ て異な り ま す。
以降のセ ク シ ョ ン では、さ ま ざ ま な キー ワ ー ド の使用例を示 し ま す。
show bgp neighbors：例
次の例では、10.108.50.2 の BGP ネ イ バーの出力を示 し ま す。こ のネ イ バーは内部 BGP（iBGP）ピ
ア です。こ のネ イ バーはルー ト リ フ レ ッ シ ュ お よ びグ レ ー ス フ ル リ ス タ ー ト 機能を サポー ト し
てい ま す。
ciscoasa# show bgp neighbors 10.108.50.2
BGP neighbor is 10.108.50.2, remote AS 1, internal link
BGP version 4, remote router ID 192.168.252.252
BGP state = Established, up for 00:24:25
Last read 00:00:24, last write 00:00:24, hold time is 180, keepalive interval is
60 seconds
Neighbor capabilities:
Route refresh: advertised and received(old & new)
MPLS Label capability: advertised and received
Graceful Restart Capability: advertised
Address family IPv4 Unicast: advertised and received
Message statistics:
InQ depth is 0
OutQ depth is 0
Sent
Rcvd
Opens:
3
3
Notifications:
0
0
Updates:
0
0
Keepalives:
113
112
Route Refresh:
0
0
Total:
116
115
Default minimum time between advertisement runs is 5 seconds
For address family: IPv4 Unicast
BGP additional-paths computation is enabled
BGP advertise-best-external is enabled
BGP table version 1, neighbor version 1/0
Output queue size : 0
Index 1, Offset 0, Mask 0x2
1 update-group member
Sent
Rcvd
Prefix activity:
------Prefixes Current:
0
0
Prefixes Total:
0
0
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-61
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp neighbors
Implicit Withdraw:
Explicit Withdraw:
Used as bestpath:
Used as multipath:
0
0
n/a
n/a
0
0
0
0
Outbound
Inbound
Local Policy Denied Prefixes:
-------------Total:
0
0
Number of NLRIs in the update sent: max 0, min 0
Connections established 3; dropped 2
Last reset 00:24:26, due to Peer closed the session
External BGP neighbor may be up to 2 hops away.
Connection state is ESTAB, I/O status: 1, unread input bytes: 0
Connection is ECN Disabled
Local host: 10.108.50.1, Local port: 179
Foreign host: 10.108.50.2, Foreign port: 42698
Enqueued packets for retransmit: 0, input: 0
Event Timers (current time is 0x68B944):
Timer
Starts
Wakeups
Retrans
27
0
TimeWait
0
0
AckHold
27
18
SendWnd
0
0
KeepAlive
0
0
GiveUp
0
0
PmtuAger
0
0
DeadWait
0
0
iss: 3915509457
irs: 233567076
snduna: 3915510016
rcvnxt: 233567616
mis-ordered: 0 (0 bytes)
Next
0x0
0x0
0x0
0x0
0x0
0x0
0x0
0x0
sndnxt: 3915510016
rcvwnd:
15845
sndwnd:
delrcvwnd:
15826
539
SRTT: 292 ms, RTTO: 359 ms, RTV: 67 ms, KRTT: 0 ms
minRTT: 12 ms, maxRTT: 300 ms, ACK hold: 200 ms
Flags: passive open, nagle, gen tcbs
IP Precedence value : 6
Datagrams (max data segment is 1460 bytes):
Rcvd: 38 (out of order: 0), with data: 27, total data bytes: 539
Sent: 45 (retransmit: 0, fastretransmit: 0, partialack: 0, Second Congestion: 08
次の表で、こ の出力に表示 さ れ る 重要な フ ィ ール ド を説明 し ま す。ア ス タ リ ス ク 文字（*）の後ろ
に あ る フ ィ ール ド は、カ ウ ン タ がゼ ロ 以外の値の場合にだけ表示 さ れ ま す。
表 4-18 に、各 フ ィ ール ド の説明を示 し ま す。
表 4-18
show bgp ipv4 のフ ィ ール ド
フ ィ ール ド
説明
BGP neighbor
BGP ネ イ バーの IP ア ド レ ス と その自律シ ス テ ム番号。
remote AS
ネ イ バーの自律シ ス テ ム番号。
local AS 300
no-prepend（画面に
は表示 さ れない）
ロ ーカル自律シ ス テ ム番号が、受信 し た外部ルー ト の先頭に付加 さ れて
いない こ と を確認 し ま す。こ の出力は、自律シ ス テ ム を移行 し てい る と き
の ロ ーカル自律シ ス テ ム の非表示を サポー ト し ま す。
internal link
「internal link」は iBGP ネ イ バーに対 し て表示 さ れ ま す。「external link」は外
部 BGP（eBGP）ネ イ バーに対 し て表示 さ れ ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-62
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp neighbors
表 4-18
show bgp ipv4 のフ ィ ール ド （続き）
フ ィ ール ド
説明
BGP version
リ モー ト ルー タ と の通信に使用 さ れ る BGP バージ ョ ン。
remote router ID
ネ イ バーの IP ア ド レ ス 。
BGP state
セ ッ シ ョ ン ネ ゴ シ エーシ ョ ン の有限状態マ シ ン（FSM） ス テージ。
up for
ベー ス と な る TCP 接続が存在 し てい る 時間（hhmmss 形式）。
Last read
BGP が こ のネ イ バーか ら 最後に メ ッ セージ を受信 し て か ら の時間
（hhmmss 形式）。
last write
BGP が こ のネ イ バーに最後に メ ッ セージ を送信 し て か ら の時間（hhmmss
形式）。
hold time
BGP が メ ッ セージ を受信せずに こ のネ イ バー と セ ッ シ ョ ン を維持 し た時
間（秒数）。
keepalive interval
キープ ア ラ イ ブ メ ッ セージが こ のネ イ バーに転送 さ れ る 間隔（秒数）。
Neighbor
capabilities
こ のネ イ バーか ら ア ド バ タ イ ズ さ れ受信 さ れ る BGP 機能。2 つのルー タ
間で機能が正常に交換 さ れてい る 場合、「advertised and received」が表示 さ
れ ま す。
Route Refresh
ルー ト リ フ レ ッ シ ュ 機能の ス テー タ ス 。
Graceful Restart
Capability
グ レ ー ス フ ル リ ス タ ー ト 機能の ス テー タ ス 。
Address family IPv4
Unicast
こ のネ イ バーの IP Version 4 ユニ キ ャ ス ト 固有プ ロ パテ ィ 。
Message statistics
メ ッ セージ タ イ プ ご と に ま と め ら れた統計。
InQ depth is
入力キ ュ ー内の メ ッ セージ数。
OutQ depth is
出力キ ュ ー内の メ ッ セージ数。
Sent
送信 さ れた メ ッ セージの合計数。
Received
受信 さ れた メ ッ セージの合計数。
Opens
送受信 さ れたオープ ン メ ッ セージ数。
notifications
送受信 さ れた通知（エ ラ ー） メ ッ セージ数。
Updates
送受信 さ れた ア ッ プデー ト メ ッ セージ数。
Keepalives
送受信 さ れた キープ ア ラ イ ブ メ ッ セージ数。
Route Refresh
送受信 さ れたルー ト リ フ レ ッ シ ュ 要求 メ ッ セージ数。
Total
送受信 さ れた メ ッ セージの合計数。
Default minimum
time between...
ア ド バ タ イ ズ メ ン ト 送信の間の時間（秒数）。
For address family:
後続の フ ィ ール ド が参照す る ア ド レ ス フ ァ ミ リ 。
BGP table version
テーブルの内部バージ ョ ン番号。こ の番号は、テーブルが変更 さ れ る たび
に増分 し ます。
neighbor version
送信済みのプ レ フ ィ ッ ク ス お よ び送信す る 必要が あ る プ レ フ ィ ッ ク ス を
追跡す る ために ソ フ ト ウ ェ ア に よ っ て使用 さ れた番号。
update-group
こ の ア ド レ ス フ ァ ミ リ の ア ッ プデー ト グループ メ ン バーの数。
Prefix activity
こ の ア ド レ ス フ ァ ミ リ のプ レ フ ィ ッ ク ス 統計。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-63
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp neighbors
表 4-18
show bgp ipv4 のフ ィ ール ド （続き）
フ ィ ール ド
説明
Prefixes current
こ の ア ド レ ス フ ァ ミ リ に対 し て受け入れ ら れ る プ レ フ ィ ッ ク ス 数。
Prefixes total
受信 さ れたプ レ フ ィ ッ ク ス の合計数。
Implicit Withdraw
プ レ フ ィ ッ ク ス が取 り 消 さ れて再ア ド バ タ イ ズ さ れた回数。
Explicit Withdraw
フ ィ ージブルで な く な っ た ため、プ レ フ ィ ッ ク ス が取 り 消 さ れた回数。
Used as bestpath
最適パ ス と し て イ ン ス ト ール さ れた受信プ レ フ ィ ッ ク ス 数。
Used as multipath
マルチパ ス と し て イ ン ス ト ール さ れた受信プ レ フ ィ ッ ク ス 数。
* Saved（ ソ フ ト 再
構成）
ソ フ ト 再構成を サポー ト す る ネ イ バーで実行 さ れた ソ フ ト リ セ ッ ト の
数。こ の フ ィ ール ド は、カ ウ ン タ の値がゼ ロ 以外で あ る 場合にだけ表示 さ
れ ま す。
* History paths
こ の フ ィ ール ド は、カ ウ ン タ の値がゼ ロ 以外で あ る 場合にだけ表示 さ れ
ま す。
* Invalid paths
無効なパ ス の数。こ の フ ィ ール ド は、カ ウ ン タ の値がゼ ロ 以外で あ る 場合
にだけ表示 さ れ ま す。
Local Policy Denied ロ ーカル ポ リ シーの設定に よ っ て拒否 さ れたプ レ フ ィ ッ ク ス 。カ ウ ン タ
Prefixes
は イ ン バ ウ ン ド お よ びア ウ ト バ ウ ン ド のポ リ シー拒否に対 し て更新 さ れ
ま す。こ の見出 し の下の フ ィ ール ド は、カ ウ ン タ の値がゼ ロ 以外で あ る 場
合にだけ表示 さ れ ま す。
* route-map
イ ン バ ウ ン ド お よ びア ウ ト バ ウ ン ド のルー ト マ ッ プ ポ リ シー拒否を表
示 し ま す。
* filter-list
イ ン バ ウ ン ド お よ びア ウ ト バ ウ ン ド の フ ィ ル タ リ ス ト ポ リ シー拒否を
表示 し ま す。
* prefix-list
イ ン バ ウ ン ド お よ びア ウ ト バ ウ ン ド のプ レ フ ィ ッ ク ス リ ス ト ポ リ シー
拒否を表示 し ま す。
* AS_PATH too
long
ア ウ ト バ ウ ン ド の AS パ ス 長ポ リ シー拒否 を表示 し ま す。
* AS_PATH loop
ア ウ ト バ ウ ン ド の AS パ ス ループ ポ リ シー拒否 を表示 し ま す。
* AS_PATH confed
info
ア ウ ト バ ウ ン ド の連合ポ リ シー拒否を表示 し ま す。
* AS_PATH
contains AS 0
自律シ ス テ ム（AS）0 の ア ウ ト バ ウ ン ド 拒否を表示 し ま す。
* NEXT_HOP
Martian
ア ウ ト バ ウ ン ド の Martian 拒否を表示 し ま す。
* NEXT_HOP
non-local
ア ウ ト バ ウ ン ド の非 ロ ーカル ネ ク ス ト ホ ッ プ拒否を表示 し ま す。
* NEXT_HOP is us
ア ウ ト バ ウ ン ド のネ ク ス ト ホ ッ プ セル フ 拒否を表示 し ま す。
* CLUSTER_LIST
loop
ア ウ ト バ ウ ン ド の ク ラ ス タ リ ス ト ループ拒否を表示 し ま す。
* ORIGINATOR
loop
ロ ーカル発信ルー ト の ア ウ ト バ ウ ン ド 拒否を表示 し ま す。
* unsuppress-map
抑制マ ッ プに よ る イ ン バ ウ ン ド 拒否を表示 し ま す。
* advertise-map
ア ド バ タ イ ズ マ ッ プに よ る イ ン バ ウ ン ド 拒否を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-64
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp neighbors
表 4-18
show bgp ipv4 のフ ィ ール ド （続き）
フ ィ ール ド
説明
* Well-known
Community
ウ ェ ル ノ ウ ン コ ミ ュ ニ テ ィ の イ ン バ ウ ン ド 拒否を表示 し ま す。
* SOO loop
Site of Origin に よ る イ ン バ ウ ン ド 拒否を表示 し ま す。
* Bestpath from this
peer
最適パ ス が ロ ーカル ルー タ か ら 提供 さ れた こ と に よ る イ ン バ ウ ン ド 拒否
を表示 し ま す。
* Suppressed due to
dampening
ネ イ バー ま たは リ ン ク がダ ン プニ ン グ状態にな っ てい る こ と に よ る イ ン
バ ウ ン ド 拒否を表示 し ま す。
* Bestpath from
iBGP peer
最適パ ス が iBGP ネ イ バーか ら 提供 さ れた こ と に よ る イ ン バ ウ ン ド 拒否
を表示 し ま す。
* Incorrect RIB for
CE
CE ルー タ の RIB エ ラ ーに よ る イ ン バ ウ ン ド 拒否を表示 し ま す。
* BGP distribute-list 配布 リ ス ト に よ る イ ン バ ウ ン ド 拒否を表示 し ま す。
Number of NLRIs...
ア ッ プデー ト 内のネ ッ ト ワ ー ク 層到達可能性属性の数。
Connections
established
TCP お よ び BGP 接続が正常に確立 し た回数。
dropped
有効セ ッ シ ョ ン に障害が発生 し たか停止 し た回数。
Last reset
こ の ピ ア リ ン グ セ ッ シ ョ ン が最後に リ セ ッ ト さ れて か ら の時間。リ セ ッ
ト の理由が こ の行に表示 さ れ ま す。
External BGP
BGP TTL セ キ ュ リ テ ィ チ ェ ッ ク が イ ネーブルで あ る こ と を示 し ま す。
neighbor may be...
ロ ーカル ピ ア と リ モー ト ピ ア を ま た ぐ こ と がで き る ホ ッ プの最大数が
（画面には表示 さ れ こ の行に表示 さ れ ま す。
ない）
Connection state
BGP ピ ア の接続 ス テー タ ス 。
Connection is ECN
Disabled
明示的輻輳通知の ス テー タ ス （ イ ネーブル ま たはデ ィ セーブル）。
Local host:
10.108.50.1, Local
port: 179
ロ ーカル BGP ス ピ ーカーの IP ア ド レ ス 。BGP ポー ト 番号 179。
Foreign host:
ネ イ バー ア ド レ ス と BGP 宛先ポー ト 番号。
10.108.50.2, Foreign
port: 42698
Enqueued packets
for retransmit:
TCP に よ る 再送信のために キ ュ ーに入れ ら れたパケ ッ ト 。
Event Timers
TCP イ ベン ト タ イ マー。起動お よ び ウ ェ イ ク ア ッ プの カ ウ ン タ が提供 さ
れ ま す（期限切れ タ イ マー）。
Retrans
パケ ッ ト が再送信 さ れた回数。
TimeWait
再送信 タ イ マーが期限切れにな る ま での待機時間。
AckHold
確認応答ホール ド タ イ マー。
SendWnd
送信 ウ ィ ン ド ウ 。
KeepAlive
キープ ア ラ イ ブ パケ ッ ト の数。
GiveUp
確認応答がないためにパケ ッ ト が ド ロ ッ プ さ れた回数。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-65
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp neighbors
表 4-18
show bgp ipv4 のフ ィ ール ド （続き）
フ ィ ール ド
説明
PmtuAger
パ ス MTU デ ィ ス カバ リ タ イ マー。
DeadWait
デ ッ ド セ グ メ ン ト の期限切れ タ イ マー。
iss:
初期パケ ッ ト 送信シーケ ン ス 番号。
snduna
確認応答 さ れていない最後の送信シーケ ン ス 番号。
sndnxt:
次に送信 さ れ る パケ ッ ト のシーケ ン ス 番号。
sndwnd:
リ モー ト ネ イ バーの TCP ウ ィ ン ド ウ サ イ ズ。
irs:
最初のパケ ッ ト 受信シーケ ン ス 番号。
rcvnxt:
ロ ーカルに確認応答 さ れた最後の受信シーケ ン ス 番号。
rcvwnd:
ロ ーカル ホ ス ト の TCP ウ ィ ン ド ウ サ イ ズ。
delrcvwnd:
遅延受信 ウ ィ ン ド ウ ： ロ ーカル ホ ス ト に よ っ て接続か ら 読み取 ら れ、ホ ス
ト が リ モー ト ホ ス ト に ア ド バ タ イ ズ し た受信 ウ ィ ン ド ウ か ら 削除 さ れて
いないデー タ 。こ の フ ィ ール ド の値は徐々に大 き く な り 、フ ルサ イ ズ パ
ケ ッ ト よ り も 大 き く な っ た時点で rcvwnd フ ィ ール ド に適用 さ れ ま す。
SRTT:
計算 さ れた ス ムーズ ラ ウ ン ド ト リ ッ プ タ イ ム ア ウ ト 。
RTTO:
ラ ウン ド ト リ ップ タ イ ムアウ ト 。
RTV:
ラ ウ ン ド ト リ ッ プ時間の差異。
KRTT:
新 し い ラ ウ ン ド ト リ ッ プ タ イ ム ア ウ ト （Karn アル ゴ リ ズ ム を使用）。こ の
フ ィ ール ド は、再送信 さ れたパケ ッ ト の ラ ウ ン ド ト リ ッ プ時間を追跡 し
ま す。
minRTT:
記録 さ れた最小 ラ ウ ン ド ト リ ッ プ タ イ ム ア ウ ト （計算に使用 さ れ る 組み
込み値）。
maxRTT:
記録 さ れた最大 ラ ウ ン ド ト リ ッ プ タ イ ム ア ウ ト 。
ACK hold:
ロ ーカル ホ ス ト が追加デー タ を伝送（ ピ ギーバ ッ ク ）す る ために確認応答
を遅延 さ せ る 時間の長 さ 。
IP Precedence value: BGP パケ ッ ト の IP プ レ シデン ス 。
Datagrams
ネ イ バーか ら 受信 し た ア ッ プデー ト パケ ッ ト の数。
Rcvd:
受信パケ ッ ト 数。
with data
デー タ と と も に送信 さ れた ア ッ プデー ト パケ ッ ト の数。
total data bytes
受信デー タ の合計量（バ イ ト ）。
Sent
送信 さ れた ア ッ プデー ト パケ ッ ト の数。
Second Congestion
輻輳が原因で送信 さ れた 2 回目の再送信の数。
Datagrams: Rcvd
ネ イ バーか ら 受信 し た ア ッ プデー ト パケ ッ ト の数。
out of order:
シーケ ン ス を外れて受信 し たパケ ッ ト の数。
with data
デー タ と と も に受信 し た ア ッ プデー ト パケ ッ ト の数。
Last reset
こ の ピ ア リ ン グ セ ッ シ ョ ン が最後に リ セ ッ ト さ れてか ら の経過時間。
unread input bytes
引 き 続 き 処理 さ れ る パケ ッ ト のバ イ ト 数。
retransmit
再送信 さ れたパケ ッ ト の数。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-66
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp neighbors
表 4-18
show bgp ipv4 のフ ィ ール ド （続き）
フ ィ ール ド
説明
fastretransmit
再送信 タ イ マーが期限切れにな る 前に、異常なセグ メ ン ト のために再送信
さ れた重複確認応答の数。
partialack
部分確認応答（後続の確認応答の前に送信ま たは後続の確認応答な し で送
信）の再送信回数。
show bgp neighbors advertised-routes：例
次の例では、172.16.232.178 ネ イ バーだけに ア ド バ タ イ ズ さ れたルー ト を表示 し ま す。
ciscoasa# show bgp neighbors 172.16.232.178 advertised-routes
BGP table version is 27, local router ID is 172.16.232.181
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal
Origin codes: i - IGP, e - EGP, ?- incomplete
Network
*>i10.0.0.0
*> 10.20.2.0
Next Hop
172.16.232.179
10.0.0.0
Metric LocPrf Weight Path
0
100
0 ?
0
32768 i
表 4-19 に、各 フ ィ ール ド の説明を示 し ま す。
表 4-19
show bgp neighbors advertised routes のフ ィ ール ド
フ ィ ール ド 説明
BGP table
version
テーブルの内部バージ ョ ン番号。こ の番号は、テーブルが変更 さ れ る たびに増分 し
ま す。
local router ルー タ の IP ア ド レ ス 。
ID
Status codes テーブル エ ン ト リ の ス テー タ ス 。テーブルの各行の最初に ス テー タ ス が表示 さ れ ま
す。次のいずれかの値にな り ま す。
s：テーブル エ ン ト リ が非表示にな っ てい ま す。
*：テーブル エ ン ト リ が有効です。
>：テーブル エ ン ト リ がそのネ ッ ト ワ ー ク で使用す る ための最良エ ン ト リ です。
i：テーブル エ ン ト リ が内部 BGP（iBGP）セ ッ シ ョ ン を経由 し て学習 さ れ ま す。
Origin
codes
エ ン ト リ の作成元。作成元の コ ー ド はテーブルの各行の終わ り に あ り ま す。次のい
ずれかの値にな り ま す。
i：内部ゲー ト ウ ェ イ プ ロ ト コ ル（IGP）か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ
レ ーシ ョ ン コ マ ン ド を使用 し て ア ド バ タ イ ズ さ れたエ ン ト リ 。
e：外部ゲー ト ウ ェ イ プ ロ ト コ ル（EGP）か ら 発信 さ れたエ ン ト リ 。
?：パ ス の発信元は ク リ ア さ れ ま せん。通常、こ れは IGP か ら BGP に再配信 さ れ る
ルー タ です。
Network
エ ン ト リ が表すネ ッ ト ワ ー ク の イ ン タ ーネ ッ ト ア ド レ ス 。
Next Hop
パケ ッ ト を宛先ネ ッ ト ワ ー ク に転送す る と き に使用 さ れ る 、次のシ ス テ ム の IP ア
ド レ ス 。0.0.0.0 のエ ン ト リ は、ア ク セ ス サーバに こ のネ ッ ト ワ ー ク への非 BGP ルー
ト が あ る こ と を示 し ま す。
Metric
表示 さ れてい る 場合は相互自律シ ス テ ム メ ト リ ッ ク 。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-67
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp neighbors
表 4-19
show bgp neighbors advertised routes のフ ィ ール ド （続き）
フ ィ ール ド 説明
LocPrf
set local-preference ルー ト マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン ド で設定 さ れた
ロ ーカル プ リ フ ァ レ ン ス 値。デ フ ォ ル ト 値は 100 です。
Weight
自律シ ス テ ム フ ィ ル タ を介 し て設定 さ れたルー ト の重み。
Path
宛先ネ ッ ト ワ ー ク への自律シ ス テ ム パ ス 。パ ス 内の各自律シ ス テ ム に対 し て、こ の
フ ィ ール ド 内に 1 エ ン ト リ を含め る こ と がで き ま す。パ ス の終わ り は、パ ス の発信
元 コ ー ド です。
i：エ ン ト リ は、IGP か ら 発信 さ れ、network ルー タ コ ン フ ィ ギ ュ レ ーシ ョ ン コ マ ン
ド を使用 し て ア ド バ タ イ ズ さ れ ま し た。
e：EGP か ら 発信 さ れ る ルー ト 。
?：パ ス の発信元は ク リ ア さ れ ません。通常、こ れは IGP か ら BGP に再配信 さ れ る パ ス
です。
show bgp neighbors paths：例
次に、paths キー ワ ー ド を指定 し た show bgp neighbors コ マ ン ド の出力例を示 し ま す。
ciscoasa# show bgp neighbors 172.29.232.178 paths ^10
Address
Refcount Metric Path
0x60E577B0
2
40 10 ?
表 4-20 に、各 フ ィ ール ド の説明を示 し ま す。
表 4-20
show bgp neighbors paths のフ ィ ール ド
フ ィ ール ド 説明
Address
パ ス が保存 さ れ る 内部ア ド レ ス。
Refcount
そのパ ス を使用 し てい る ルー ト の数。
Metric
パ ス の Multi Exit Discriminator（MED） メ ト リ ッ ク （BGP バージ ョ ン 2 お よ び 3 の こ の
メ ト リ ッ ク 名は INTER_AS です）。
Path
そのルー ト の自律シ ス テ ム パ ス と 、そのルー ト の発信元 コ ー ド 。
show bgp neighbors received prefix-filter：例
次の例は、10.0.0.0 ネ ッ ト ワ ー ク のすべてのルー ト を フ ィ ル タ リ ン グす る プ レ フ ィ ッ ク ス リ ス ト
が 192.168.20.72 ネ イ バーか ら 受信 さ れた こ と を示 し てい ま す。
ciscoasa# show bgp neighbors 192.168.20.72 received prefix-filter
Address family:IPv4 Unicast
ip prefix-list 192.168.20.72:1 entries
seq 5 deny 10.0.0.0/8 le 32
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-68
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp neighbors
表 4-21 に、各 フ ィ ール ド の説明を示 し ま す。
表 4-21
show bgp neighbors received prefix filter のフ ィ ール ド
フ ィ ール ド 説明
Address
family
プ レ フ ィ ッ ク ス フ ィ ル タ を受信 し た ア ド レ ス フ ァ ミ リ モー ド 。
ip prefix-list 指定 し たネ イ バーか ら 送信 さ れたプ レ フ ィ ッ ク ス リ ス ト 。
show bgp neighbors policy：例
次に、192.168.1.2 に あ る ネ イ バーに適用 さ れた ポ リ シーの出力例を示 し ま す。ネ イ バー デバ イ ス
で設定 さ れた ポ リ シーが表示 さ れ ま す。
ciscoasa# show bgp neighbors 192.168.1.2 policy
Neighbor: 192.168.1.2, Address-Family: IPv4 Unicast
Locally configured policies:
route-map ROUTE in
Inherited polices:
prefix-list NO-MARKETING in
route-map ROUTE in
weight 300
maximum-prefix 10000
show bgp neighbors：例
次に、show bgp neighbors コ マ ン ド の出力例を示 し ま す。こ こ では、BGP TCP パ ス 最大伝送ユ
ニ ッ ト （MTU）デ ィ ス カバ リ が 172.16.1.2 に あ る BGP ネ イ バーに対 し て イ ネーブルにな っ てい
る こ と を確認 し てい ま す。
ciscoasa# show bgp neighbors 172.16.1.2
BGP neighbor is 172.16.1.2, remote AS 45000, internal link
BGP version 4, remote router ID 172.16.1.99
.
.
.
For address family: IPv4 Unicast
BGP table version 5, neighbor version 5/0
.
.
.
Address tracking is enabled, the RIB does have a route to 172.16.1.2
Address tracking requires at least a /24 route to the peer
Connections established 3; dropped 2
Last reset 00:00:35, due to Router ID changed
Transport(tcp) path-mtu-discovery is enabled
.
.
.
SRTT: 146 ms, RTTO: 1283 ms, RTV: 1137 ms, KRTT: 0 ms
minRTT: 8 ms, maxRTT: 300 ms, ACK hold: 200 ms
Flags: higher precedence, retransmission timeout, nagle, path mtu capable
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-69
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp neighbors
次に、show bgp neighbors コ マ ン ド の出力の一部を示 し ま す。こ こ では、192.168.3.2 に あ る 外部
BGP ピ ア に対す る BGP グ レ ー ス フ ル リ ス タ ー ト 機能の ス テー タ ス を確認 し てい ま す。グ レ ー ス
フ ル リ ス タ ー ト は、こ の BGP ピ ア に対 し てデ ィ セーブルで あ る と 示 さ れてい ま す。
ciscoasa# show bgp neighbors 192.168.3.2
BGP neighbor is 192.168.3.2, remote AS 50000, external link
Inherits from template S2 for session parameters
BGP version 4, remote router ID 192.168.3.2
BGP state = Established, up for 00:01:41
Last read 00:00:45, last write 00:00:45, hold time is 180, keepalive intervals
Neighbor sessions:
1 active, is multisession capable
Neighbor capabilities:
Route refresh: advertised and received(new)
Address family IPv4 Unicast: advertised and received
.
.
.
Address tracking is enabled, the RIB does have a route to 192.168.3.2
Connections established 1; dropped 0
Last reset never
Transport(tcp) path-mtu-discovery is enabled
Graceful-Restart is disabled
Connection state is ESTAB, I/O status: 1, unread input bytes: 0
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-70
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp paths
show bgp paths
デー タ ベース内のすべての BGP パ ス を表示す る には、EXEC モー ド で show bgp paths コ マ ン ド を
使用 し ます。
show bgp paths
Cisco 10000 シ リ ーズ ルー タ
show bgp paths regexp
構文の説明
regexp
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
BGP 自律シ ス テ ム パ ス と 一致す る 正規表現。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
例
リ リ ース
9.2(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、特権 EXEC モー ド での show bgp paths コ マ ン ド の出力例を示 し ま す。
ciscoasa# show bgp paths
Address
Hash Refcount Metric Path
0x60E5742C
0
1
0 i
0x60E3D7AC
2
1
0 ?
0x60E5C6C0
11
3
0 10 ?
0x60E577B0
35
2
40 10 ?
表 4-22 に、各 フ ィ ール ド の説明を示 し ま す。
表 4-22
show bgp paths のフ ィ ール ド
フ ィ ール ド 説明
Address
パ ス が保存 さ れ る 内部ア ド レ ス 。
Hash
パ ス が格納 さ れてい る ハ ッ シ ュ バケ ッ ト 。
Refcount
そのパ ス を使用 し てい る ルー ト の数。
Metric
パ ス の Multi Exit Discriminator（MED） メ ト リ ッ ク （BGP バージ ョ ン 2 お よ び 3 の こ の
メ ト リ ッ ク 名は INTER_AS です）。
Path
そのルー ト の自律シ ス テ ム パ ス と 、そのルー ト の発信元 コ ー ド 。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-71
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp policy-list
show bgp policy-list
設定 さ れたポ リ シー リ ス ト と ポ リ シー リ ス ト エ ン ト リ に関す る 情報を表示す る には、ユーザ
EXEC モー ド で show bgp policy-list コ マ ン ド を使用 し ます。
show bgp policy-list [policy-list-name]
構文の説明
policy-list-name
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
（オプシ ョ ン） こ の引数を使用 し て指定 し た ポ リ シー リ ス ト に関す る 情
報を表示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
例
リ リ ース
9.2(1)
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show bgp policy-list コ マ ン ド の出力例を示 し ま す。こ の コ マ ン ド の出力には、ポ リ シー リ ス
ト 名 と 設定 さ れた match 句が表示 さ れ ま す。次の出力例は、表示 さ れ る 出力に類似 し てい ま す。
ciscoasa# show bgp policy-list
policy-list POLICY-LIST-NAME-1 permit
Match clauses:
metric 20
policy-list POLICY-LIST-NAME-2 permit
Match clauses:
as-path (as-path filter): 1
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-72
ト ラ ン スペ
アレン ト
シ ン グル
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp prefix-list
show bgp prefix-list
プ レ フ ィ ッ ク ス リ ス ト ま たはプ レ フ ィ ッ ク ス リ ス ト エ ン ト リ に関す る 情報を表示す る には、ユー
ザ EXEC モー ド ま たは特権 EXEC モー ド で show bgp prefix-list コ マ ン ド を使用 し ます。
show bgp prefix-list [detail | summary][prefix-list-name [seq sequence-number |
network/length [longer| first-match]]]
構文の説明
コ マ ン ド モー ド
detail | summary
（オプシ ョ ン）すべてのプ レ フ ィ ッ ク ス リ ス ト に関す る 詳細情報 ま たは
要約情報を表示 し ま す。
first-match
（オプシ ョ ン）指定 し た network/length と 一致す る 、指定 し たプ レ フ ィ ッ
ク ス リ ス ト の最初のエ ン ト リ を表示 し ま す。
longer
（オプシ ョ ン）指定 し た network/length と 一致す る か、ま たは よ り 限定的
な、プ レ フ ィ ッ ク ス リ ス ト のすべてのエ ン ト リ を表示 し ま す。
network/length
（オプシ ョ ン） こ のネ ッ ト ワ ー ク ア ド レ ス お よ びネ ッ ト マ ス ク 長（ビ ッ
ト 単位）を使用す る 、指定 し たプ レ フ ィ ッ ク ス リ ス ト のすべて のエ ン ト
リ を表示 し ま す。
prefix-list-name
（オプシ ョ ン）特定のプ レ フ ィ ッ ク ス リ ス ト のエ ン ト リ を表示 し ま す。
seq sequence-number
（オプシ ョ ン）指定 し たプ レ フ ィ ッ ク ス リ ス ト に指定 し た シーケ ン ス 番
号が あ る プ レ フ ィ ッ ク ス リ ス ト エ ン ト リ だけ を表示 し ま す。
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
例
リ リ ース
9.2(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show bgp prefix-list コ マ ン ド の出力例を示 し ま す。こ こ では、test と い う 名前のプ レ フ ィ ッ
ク ス リ ス ト の詳細を示 し てい ま す。
ciscoasa# show bgp prefix-list detail test
ip prefix-list test:
Description: test-list
count: 1, range entries: 0, sequences: 10 - 10, refcount: 3
seq 10 permit 10.0.0.0/8 (hit count: 0, refcount: 1)
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-73
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp regexp
show bgp regexp
自律シ ス テ ム パ ス の正規表現 と 一致す る ルー ト を表示す る には、EXEC モー ド で show bgp regexp
コ マ ン ド を使用 し ます。
show bgp regexp regexp
構文の説明
regexp
BGP 自律シ ス テ ム パ ス と 一致す る 正規表現。
自律シ ス テ ム の番号形式の詳細につい ては、router bgp コ マ ン ド を参
照 し て く だ さ い。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
9.2(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
Yes
•
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
シ ス コ が採用 し てい る 4 バ イ ト 自律シ ス テ ム番号は、自律シ ス テ ム番号の正規表現のマ ッ チ ン
グお よ び出力表示形式のデ フ ォ ル ト と し て asplain（た と えば、65538）を使用 し てい ま すが、RFC
5396 に記載 さ れてい る と お り 、4 バ イ ト 自律シ ス テ ム番号を asplain 形式お よ び asdot 形式の両方
で設定で き ま す。4 バ イ ト 自律シ ス テ ム番号の正規表現マ ッ チ ン グ と 出力表示のデ フ ォ ル ト を
asdot 形式に変更す る には、bgp asnotation dot コ マ ン ド に続け て、clear bgp * コ マ ン ド を実行 し 、
現在の BGP セ ッ シ ョ ン をすべてハー ド リ セ ッ ト し ま す。
円滑に移行す る には、4 バ イ ト 自律シ ス テ ム番号を使用 し て指定 さ れてい る 自律シ ス テ ム内に あ
る すべての BGP ス ピ ーカーで、4 バ イ ト 自律シ ス テ ム番号を サポー ト す る よ う ア ッ プ グ レ ー ド
す る こ と を推奨 し ま す。
例
次に、特権 EXEC モー ド での show bgp regexp コ マ ン ド の出力例を示 し ま す。
Router# show bgp regexp 108$
BGP table version is 1738, local router ID is 172.16.72.24
Status codes: s suppressed, * valid, > best, i - internal
Origin codes: i - IGP, e - EGP, ?- incomplete
Network
Next Hop
Metric LocPrf Weight
* 172.16.0.0
172.16.72.30
0
* 172.16.1.0
172.16.72.30
0
* 172.16.11.0
172.16.72.30
0
* 172.16.14.0
172.16.72.30
0
* 172.16.15.0
172.16.72.30
0
* 172.16.16.0
172.16.72.30
0
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-74
Path
109 108
109 108
109 108
109 108
109 108
109 108
?
?
?
?
?
?
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp regexp
*
*
*
*
*
*
*
*
*
*
*
*
172.16.17.0
172.16.18.0
172.16.19.0
172.16.24.0
172.16.29.0
172.16.30.0
172.16.33.0
172.16.35.0
172.16.36.0
172.16.37.0
172.16.38.0
172.16.39.0
172.16.72.30
172.16.72.30
172.16.72.30
172.16.72.30
172.16.72.30
172.16.72.30
172.16.72.30
172.16.72.30
172.16.72.30
172.16.72.30
172.16.72.30
172.16.72.30
0
0
0
0
0
0
0
0
0
0
0
0
109
109
109
109
109
109
109
109
109
109
109
109
108
108
108
108
108
108
108
108
108
108
108
108
?
?
?
?
?
?
?
?
?
?
?
?
bgp asnotation dot コ マ ン ド を設定す る と 、4 バ イ ト 自律シ ス テ ム パ ス の正規表現一致形式が
asdot 表記法の形式に変更 さ れ ま す。4 バ イ ト 自律シ ス テ ム番号は、asplain 形式 ま たは asdot 形式
のいずれか を使用 し て、正規表現で設定で き ま すが、現在のデ フ ォ ル ト 形式を使用 し て設定 さ れ
た 4 バ イ ト 自律シ ス テ ム番号だけがマ ッ チ ン グ さ れ ま す。最初の例では、show bgp regexp コ マ ン
ド は、asplain 形式で表 さ れた 4 バ イ ト 自律シ ス テ ム番号を使っ て設定 さ れてい ま す。現在のデ
フ ォ ル ト 形式は asdot 形式なのでマ ッ チ ン グは失敗 し 、何 も 出力 さ れ ま せん。asdot 形式を使用 し
た 2 番目の例では、マ ッ チ ン グは成功 し 、4 バ イ ト の自律シ ス テ ム パ ス に関す る 情報が asdot 表
記法を使っ て表示 さ れ ま す。
（注）
こ の asdot 表記法で使用 さ れてい る ピ リ オ ド は、シ ス コ の正規表現では特殊文字です。特殊な意
味を取 り 除 く には、ピ リ オ ド の前にバ ッ ク ス ラ ッ シ ュ を挿入 し ま す。
Router# show bgp regexp ^65536$
Router# show bgp regexp ^1\.0$
BGP table version is 2, local router ID is 172.17.1.99
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
r RIB-failure, S Stale
Origin codes: i - IGP, e - EGP, ?- incomplete
Network
*> 10.1.1.0/24
Next Hop
192.168.1.2
Metric LocPrf Weight Path
0
0 1.0 i
次に、bgp asnotation dot コ マ ン ド を入力 し た後の show bgp regexp コ マ ン ド の出力例を示 し ま
す。こ こ では、4 バ イ ト 自律シ ス テ ム番号を表示 し てい ま す。
（注）
こ の asdot 表記法で使用 さ れてい る ピ リ オ ド は、シ ス コ の正規表現では特殊文字です。特殊な意
味を取 り 除 く には、ピ リ オ ド の前にバ ッ ク ス ラ ッ シ ュ を挿入 し ま す。
Router# show bgp regexp ^1\.14$
BGP table version is 4, local router ID is 172.17.1.99
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
r RIB-failure, S Stale
Origin codes: i - IGP, e - EGP, ?- incomplete
Network
*> 10.1.1.0/24
Next Hop
192.168.1.2
Metric LocPrf Weight Path
0
0 1.14
i
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-75
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp replication
show bgp replication
Border Gateway Protocol（BGP）ア ッ プデー ト グループのア ッ プデー ト 複製統計情報を表示す る に
は、EXEC モー ド で show bgp replication コ マ ン ド を使用 し ます。
show bgp replication [index-group | ip-address]
構文の説明
index-group
ip-address
コ マ ン ド モー ド
（オプシ ョ ン）ア ッ プデー ト グループのア ッ プデー ト 複製統計情報を対
応す る イ ンデ ッ ク ス 番号 と と も に表示 し ま す。ア ッ プデー ト グループ
の イ ンデ ッ ク ス 番号の範囲は 1 ～ 4294967295 です。
（オプシ ョ ン） こ のネ イ バーのア ッ プデー ト 複製統計情報を表示 し ます。
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC、ユーザ EXEC
ルーテ ッ ド
• Yes
ト ラ ン スペ
アレン ト
シ ン グル
• Yes
• Yes
マルチ
コ ン テキス ト シ ス テム
• Yes
• Yes
コ マ ン ド 履歴
リ リ ース
9.2(1)
使用上のガイ ド ラ イ ン
こ の コ マ ン ド の出力には、BGP ア ッ プデー ト グループ複製統計情報が表示 さ れ ま す。
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
ア ウ ト バ ウ ン ド ポ リ シーが変更 さ れた場合、ルー タ は、3 分間の タ イ マー期限が切れた後で、ア
ウ ト バ ウ ン ド ソ フ ト リ セ ッ ト を ト リ ガーす る こ と に よ り 、自動的に ア ッ プデー ト グループ メ ン
バーシ ッ プ を再計算 し 、変更を適用 し ま す。こ の動作は、誤 り が あ っ た場合にネ ッ ト ワ ー ク オペ
レ ー タ が コ ン フ ィ ギ ュ レ ーシ ョ ン を変更す る 時間を与え る よ う に設計 さ れてい ま す。タ イ マー
期限が切れ る 前に、ア ウ ト バ ウ ン ド ソ フ ト リ セ ッ ト を手動で イ ネーブルにす る には、
clearbgp ip-address soft out コ マ ン ド を入力 し ま す。
例
次の show bgp replication コ マ ン ド の出力例には、すべてのネ イ バーの ア ッ プデー ト グループの
複製情報が表示 さ れ ま す。
ciscoasa# show bgp replication
BGP Total Messages Formatted/Enqueued : 0/0
Index
Type
1 internal
2 internal
Members
1
2
Leader
10.4.9.21
10.4.9.5
MsgFmt
0
0
MsgRepl
0
0
Csize
0
0
Qsize
0
0
次の show bgp replication コ マ ン ド の出力例には、10.4.9.5 ネ イ バーの ア ッ プデー ト グループ統
計情報が表示 さ れ ま す。
Router# show bgp replication 10.4.9.5
Index
Type
2 internal
Members
2
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-76
Leader
10.4.9.5
MsgFmt
0
MsgRepl
0
Csize
0
Qsize
0
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp replication
表 4-23 に、各 フ ィ ール ド の説明を示 し ま す。
表 4-23
show bgp replication のフ ィ ール ド
フ ィ ール ド 説明
Index
ア ッ プデー ト グループの イ ンデ ッ ク ス 番号。
Type
ピ ア の タ イ プ（内部 ま たは外部）。
Members
ダ イ ナ ミ ッ ク ア ッ プデー ト ピ ア グループ内の メ ン バーの数。
Leader
ダ イ ナ ミ ッ ク ア ッ プデー ト ピ ア グループの最初の メ ンバー。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-77
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp rib-failure
show bgp rib-failure
ルーテ ィ ン グ情報ベース（RIB）テーブルへの登録に失敗 し た Border Gateway Protocol（BGP）ルー ト
を表示す る には、特権 EXEC モー ド で show bgp rib-failure コ マ ン ド を使用 し ます。
show bgp rib-failure
構文の説明
こ の コ マ ン ド にはキー ワー ド ま たは引数はあ り ません。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ルーテ ッ ド
コ マ ン ド モー ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
例
リ リ ース
9.2(1)
•
ト ラ ン スペ
アレン ト
シ ン グル
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show bgp rib-failure コ マ ン ド の出力例を示 し ま す。
ciscoasa# show bgp rib-failure
Network
10.1.15.0/24
10.1.16.0/24
Next Hop
10.1.35.5
10.1.15.1
RIB-failure
Higher admin distance
Higher admin distance
RIB-NH Matches
n/a
n/a
表 4-24 に、各 フ ィ ール ド の説明を示 し ま す。
表 4-24
show bgp rib-failure のフ ィ ール ド
フ ィ ール ド 説明
Network
ネ ッ ト ワ ー ク エ ン テ ィ テ ィ の IP ア ド レ ス 。
Next Hop
パケ ッ ト を宛先ネ ッ ト ワー ク に転送す る と き に使用 さ れ る 、次のシ ス テ ム の IP ア ド
レ ス。0.0.0.0 のエ ン ト リ は、ルー タ に こ のネ ッ ト ワー ク への非 BGP ルー ト があ る こ と
を示 し ます。
RIB-failure RIB 失敗の原因。ア ド ミ ニ ス ト レーテ ィ ブ デ ィ ス タ ン ス が高い と い う こ と は、ス タ
テ ィ ッ ク ルー ト な ど優れた（低い）ア ド ミ ニ ス ト レーテ ィ ブ デ ィ ス タ ン ス を持つルー
ト が IP ルーテ ィ ン グ テーブルにすでにあ る こ と を意味 し ます。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-78
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp rib-failure
表 4-24
show bgp rib-failure のフ ィ ール ド （続き）
フ ィ ール ド 説明
RIB-NH
Matches
よ り 高いア ド ミ ニ ス ト レーテ ィ ブ デ ィ ス タ ン ス が RIB-failure 列に表示 さ れ、使用 さ
れ る ア ド レ ス フ ァ ミ リ に対 し て bgp suppress-inactive が設定 さ れてい る 場合にだけ
適用 さ れ る ルー ト ス テー タ ス。次の 3 種類があ り ます。
•
[Yes]：RIB のルー ト に BGP ルー ト と 同 じ ネ ク ス ト ホ ッ プが あ る か、ま たはネ ク
ス ト ホ ッ プが BGP ネ ク ス ト ホ ッ プ と 同 じ 隣接に再帰す る こ と を意味 し ま す。
•
[No]：RIB のネ ク ス ト ホ ッ プが BGP ルー ト のネ ク ス ト ホ ッ プ と は別に再帰す
る こ と を意味 し ま す。
•
[n/a]：使用 さ れ る ア ド レ ス フ ァ ミ リ に対 し て bgp suppress-inactive が設定 さ れ
ない こ と を意味 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-79
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp summary
show bgp summary
すべての Border Gateway Protocol（BGP）接続の ス テー タ ス を表示す る には、ユーザ EXEC モー ド ま
たは特権 EXEC モー ド で show bgp summary コ マ ン ド を使用 し ます。
show bgp summary
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
9.2(1)
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
show bgp summary コ マ ン ド は、BGP ネ イ バーへのすべての接続について BGP パ ス 、プ レ フ ィ ッ
ク ス 、お よ び属性情報を表示す る ために使用 し ま す。
プ レ フ ィ ッ ク ス は、IP ア ド レ ス と ネ ッ ト ワ ー ク マ ス ク です。こ れはネ ッ ト ワ ー ク 全体、ネ ッ ト
ワ ー ク のサブセ ッ ト 、ま たは単一の ホ ス ト ルー ト を表す こ と がで き ま す。パ ス は、所定の宛先へ
のルー ト です。デ フ ォ ル ト では、BGP は宛先ご と に 1 つのパ ス だけ を イ ン ス ト ール し ま す。マル
チパ ス ルー ト が設定 さ れてい る 場合、BGP は各マルチパ ス ルー ト にパ ス エ ン ト リ を イ ン ス ト ー
ル し 、1 つのマルチパ ス ルー ト にのみ最適パ ス と マー ク さ れ ま す。
BGP 属性 と キ ャ ッ シ ュ エ ン ト リ は個別に も 組み合わせて も 表示 さ れ、こ れは最適パ ス 選択プ ロ
セ ス に影響を与え ま す。こ の出力の フ ィ ール ド は、関連す る BGP 機能が設定 さ れてい る か、ま た
は属性が受信 さ れた と き に表示 さ れ ま す。メ モ リ 使用量はバ イ ト 単位で表示 さ れ ま す。
シ ス コ が採用 し てい る 4 バ イ ト 自律シ ス テ ム番号は、自律シ ス テ ム番号の正規表現のマ ッ チ ン
グお よ び出力表示形式のデ フ ォ ル ト と し て asplain（た と えば、65538）を使用 し てい ま すが、RFC
5396 に記載 さ れてい る と お り 、4 バ イ ト 自律シ ス テ ム番号を asplain 形式お よ び asdot 形式の両方
で設定で き ま す。4 バ イ ト 自律シ ス テ ム番号の正規表現マ ッ チ ン グ と 出力表示のデ フ ォ ル ト を
asdot 形式に変更す る には、bgp asnotation dot コ マ ン ド に続け て、clear bgp * コ マ ン ド を実行 し 、
現在の BGP セ ッ シ ョ ン をすべてハー ド リ セ ッ ト し ま す。
例
次に、特権 EXEC モー ド での show bgp summary コ マ ン ド の出力例を示 し ま す。
Router# show bgp summary
BGP router identifier 172.16.1.1, local AS number 100
BGP table version is 199, main routing table version 199
37 network entries using 2850 bytes of memory
59 path entries using 5713 bytes of memory
18 BGP path attribute entries using 936 bytes of memory
2 multipath network entries and 4 multipath paths
10 BGP AS-PATH entries using 240 bytes of memory
7 BGP community entries using 168 bytes of memory
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-80
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp summary
0 BGP route-map cache entries using 0 bytes of memory
0 BGP filter-list cache entries using 0 bytes of memory
90 BGP advertise-bit cache entries using 1784 bytes of memory
36 received paths for inbound soft reconfiguration
BGP using 34249 total bytes of memory
Dampening enabled.4 history paths, 0 dampened paths
BGP activity 37/2849 prefixes, 60/1 paths, scan interval 15 secs
Neighbor
V
AS MsgRcvd MsgSent
TblVer InQ OutQ Up/Down State/PfxRcd
10.100.1.1
4
200
26
22
199
0
0 00:14:23 23
10.200.1.1
4
300
21
51
199
0
0 00:13:40 0
表 4-25 に、各 フ ィ ール ド の説明を示 し ま す。
表 4-25
show bgp summary のフ ィ ール ド
フ ィ ール ド
説明
BGP router
identifier
優先度 と アベ イ ラ ビ リ テ ィ の順序で、bgp router-id コ マ ン ド に よ っ て指定 さ
れたルー タ ID、ループバ ッ ク ア ド レ ス 、ま たは最上位 IP ア ド レ ス 。
BGP table
version
BGP デー タ ベー ス の内部バージ ョ ン番号。
main routing
table version
メ イ ン ルーテ ィ ン グ テーブルに注入 さ れた BGP デー タ ベー ス の最後の
バージ ョ ン。
...network entries BGP デー タ ベー ス の一意のプ レ フ ィ ッ ク ス エ ン ト リ の数。
...using ... bytes
of memory
同 じ 行のパ ス 、プ レ フ ィ ッ ク ス 、ま たは属性のエ ン ト リ のために消費 さ れて
い る メ モ リ 量（バ イ ト 単位）。
...path entries
using
BGP デー タ ベー ス のパ ス エ ン ト リ の数。単一のパ ス エ ン ト リ だけが特定の
宛先に イ ン ス ト ール さ れ ま す。マルチパ ス ルー ト が設定 さ れてい る 場合、マ
ルチパ ス ルー ト ご と にパ ス エ ン ト リ が イ ン ス ト ール さ れ ま す。
...multipath
network entries
using
特定の宛先に イ ン ス ト ール さ れてい る マルチパ ス エ ン ト リ の数。
* ...BGP
path/bestpath
attribute entries
using
パ ス が最適パ ス と し て選択 さ れてい る 一意の BGP 属性の組み合わせの数。
* ...BGP rrinfo
entries using
ORIGINATOR 属性 と CLUSTER_LIST 属性の一意の組み合わせの数。
...BGP AS-PATH 一意の AS_PATH エ ン ト リ の数。
entries using
...BGP
community
entries using
BGP コ ミ ュ ニ テ ィ 属性の一意の組み合わせの数。
*...BGP extended 拡張 コ ミ ュ ニ テ ィ 属性の一意の組み合わせの数。
community
entries using
BGP route-map
cache entries
using
BGP ルー ト マ ッ プの match 句 と set 句の組み合わせの数。値が 0 の場合、
ルー ト キ ャ ッ シ ュ が空で あ る こ と を示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-81
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp summary
表 4-25
show bgp summary のフ ィ ール ド （続き）
フ ィ ール ド
説明
...BGP filter-list
cache entries
using
AS パ ス ア ク セ ス リ ス ト の permit ス テー ト メ ン ト ま たは deny ス テー ト メ ン
ト に一致す る フ ィ ル タ リ ス ト エ ン ト リ の数。値が 0 の場合、フ ィ ル タ リ ス ト
キ ャ ッ シ ュ が空で あ る こ と を示 し ま す。
BGP
advertise-bit
cache entries
using
（Cisco IOS Release 12.4(11)T 以降の リ リ ー ス だけ）ア ド バ タ イ ズ さ れた ビ ッ
ト フ ィ ール ド エ ン ト リ の数お よ び関連す る メ モ リ 使用量。ビ ッ ト フ ィ ール
ド エ ン ト リ は、プ レ フ ィ ッ ク ス が ピ ア に ア ド バ タ イ ズ さ れ る と き に生成 さ
れ る 情報（1 ビ ッ ト ）を表 し ま す。ア ド バ タ イ ズ さ れた ビ ッ ト キ ャ ッ シ ュ は、
必要に応 じ て ダ イ ナ ミ ッ ク に作成 さ れ ま す。
...received paths
for inbound soft
reconfiguration
イ ン バ ウ ン ド ソ フ ト 再構成のために受信 さ れ保存 さ れ る パ ス の数。
BGP using...
BGP プ ロ セ ス に よ っ て使用 さ れ る メ モ リ の総量（バ イ ト 単位）。
Dampening
enabled...
BGP ダ ン プニ ン グ が イ ネーブルで あ る こ と を示 し ま す。こ の行には、累積ペ
ナルテ ィ を伝送す る パ ス の数お よ びダ ン プニ ン グ さ れたパ ス の数が表示 さ
れ ま す。
BGP activity...
パ ス ま たはプ レ フ ィ ッ ク ス に対 し て メ モ リ が割 り 当て ら れたか、ま たは解放
さ れた回数を表示 し ま す。
Neighbor
ネ イ バーの IP ア ド レ ス 。
V
ネ イ バーに通知 さ れ る BGP バージ ョ ン番号。
AS
自律シ ス テ ム番号。
MsgRcvd
ネ イ バーか ら 受信 さ れた メ ッ セージ数。
MsgSent
ネ イ バーに送信 さ れた メ ッ セージ数。
TblVer
ネ イ バーに送信 さ れた BGP デー タ ベー ス の最終バージ ョ ン。
InQ
ネ イ バーで処理す る ために キ ュ ーに格納 さ れた メ ッ セージ数。
OutQ
ネ イ バーに送信す る ために、キ ュ ーに格納 さ れた メ ッ セージ数。
Up/Down
BGP セ ッ シ ョ ン が確立状態 と な っ た、ま たは確立状態で ない場合は現在の
ス テー タ ス にな っ た時間の長 さ 。
State/PfxRcd
BGP セ ッ シ ョ ン の現在の状態 と 、ネ イ バー ま たは ピ ア グループか ら 受信 さ
れたプ レ フ ィ ッ ク ス の数。最大数（neighbor maximum-prefix コ マ ン ド で設
定）に達す る と 、文字列「PfxRcd」がエ ン ト リ に表示 さ れ、ネ イ バーがシ ャ ッ ト
ダ ウ ン さ れて、接続が ア イ ド ルに設定 さ れ ま す。
ア イ ド ル ス テー タ ス の（管理者）エ ン ト リ は、neighbor shutdown コ マ ン ド を
使用 し て接続がシ ャ ッ ト ダ ウ ン さ れた こ と を示 し ま す。
show bgp summary コ マ ン ド の次の出力は、BGP ネ イ バー 192.168.3.2 がダ イ ナ ミ ッ ク に作成 さ
れ、こ の受信範囲グループで あ る グループ 192 の メ ン バーで あ る こ と を示 し ま す。こ の出力は、IP
プ レ フ ィ ッ ク ス 範囲 192.168.0.0/16 が グループ 192 と い う 名前の受信範囲グループに定義 さ れ
る こ と も 示 し ま す。Cisco IOS Release 12.2(33)SXH 以降の リ リ ー ス では、BGP ダ イ ナ ミ ッ ク ネ イ
バー機能は、ピ ア グループ（受信範囲グループ）に関連付け ら れたサブネ ッ ト 範囲を使用 し て
BGP ネ イ バー ピ ア のダ イ ナ ミ ッ ク な作成を サポー ト す る よ う にな り ま し た。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-82
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp summary
ciscoasa# show bgp summary
BGP router identifier 192.168.3.1, local AS number 45000
BGP table version is 1, main routing table version 1
Neighbor
V
AS MsgRcvd MsgSent
TblVer InQ OutQ Up/Down State/PfxRcd
*192.168.3.2
4 50000
2
2
0
0
0 00:00:37
0
* Dynamically created based on a listen range command
Dynamically created neighbors: 1/(200 max), Subnet ranges: 1
BGP peergroup group192 listen range group members:
192.168.0.0/16
show bgp summary コ マ ン ド の次の出力は、4 バ イ ト の異な る 自律シ ス テ ム番号（65536 お よ び
65550）の 2 つの BGP ネ イ バー（192.168.1.2 お よ び 192.168.3.2）を示 し てい ま す。ロ ーカルな自律
シ ス テ ム 65538 は、4 バ イ ト 自律シ ス テ ム番号で も あ り 、その番号はデ フ ォ ル ト の asplain 形式で
表示 さ れ ま す。
Router# show bgp summary
BGP router identifier 172.17.1.99, local AS number 65538
BGP table version is 1, main routing table version 1
Neighbor
192.168.1.2
192.168.3.2
V
4
4
AS MsgRcvd MsgSent
65536
7
7
65550
4
4
TblVer
1
1
InQ OutQ Up/Down
0
0 00:03:04
0
0 00:00:15
Statd
0
0
show bgp summary コ マ ン ド の次の出力は同 じ 2 つの BGP ネ イ バーを示 し てい ま すが、4 バ イ ト
自律シ ス テ ム番号は asdot 表記法の形式で表示 さ れ ま す。表示形式を変更す る には、ルー タ コ ン
フ ィ ギ ュ レ ーシ ョ ン モー ド で bgp asnotation dot コ マ ン ド を設定す る 必要が あ り ま す。
Router# show bgp summary
BGP router identifier 172.17.1.99, local AS number 1.2
BGP table version is 1, main routing table version 1
Neighbor
192.168.1.2
192.168.3.2
V
4
4
AS MsgRcvd MsgSent
1.0
9
9
1.14
6
6
TblVer
1
1
InQ OutQ Up/Down
0
0 00:04:13
0
0 00:01:24
Statd
0
0
次に、show bgp summary slow コ マ ン ド の出力例を示 し ま す。
ciscoasa> show bgp summary slow
BGP router identifier 2.2.2.2, local AS number 100
BGP table version is 37, main routing table version 37
36 network entries using 4608 bytes of memory
36 path entries using 1872 bytes of memory
1/1 BGP path/bestpath attribute entries using 124 bytes of memory
1 BGP rrinfo entries using 24 bytes of memory
2 BGP AS-PATH entries using 48 bytes of memory
1 BGP extended community entries using 24 bytes of memory
0 BGP route-map cache entries using 0 bytes of memory
0 BGP filter-list cache entries using 0 bytes of memory
BGP using 6700 total bytes of memory
BGP activity 46/0 prefixes, 48/0 paths, scan interval 60 secs
Neighbor V AS MsgRcvd MsgSent TblVer InQ OutQ Up/Down State/PfxRcd
6.6.6.6 4 100 11 10 1 0 0 00:44:20 0
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-83
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bgp system-config
show bgp system-config
ユーザ コ ン テ キ ス ト で シ ス テ ム コ ン テ キ ス ト の bgp の実行 コ ン フ ィ ギ ュ レ ーシ ョ ン を表示す る
には、ユーザ EXEC モー ド ま たは特権 EXEC モー ド で show bgp system-config コ マ ン ド を使用 し
ま す。
show bgp system-config
構文の説明
こ の コ マ ン ド には、引数ま たはキー ワー ド はあ り ません。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC、ユーザ EXEC
コ マ ン ド 履歴
リ リ ース
9.2(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
こ の コ マ ン ド は、引数 ま たはキー ワ ー ド を指定せずにユーザ コ ン テ キ ス ト でだけ使用で き ま す。
こ の コ マ ン ド は、シ ス テ ム コ ン テ キ ス ト に よ っ て ユーザ コ ン テ キ ス ト に対 し て適用 さ れ る 実行
コ ン フ ィ ギ ュ レ ーシ ョ ン を確認す る 場合に役立つ こ と が あ り ま す。
例
次の出力例は、show bgp system-config コ マ ン ド を ユーザ EXEC モー ド で入力す る と 表示 さ れ る
出力に類似 し てい ま す。
ciscoasa/c1(config)# show bgp system-config
router bgp 1
bgp log-neighbor-changes
no bgp always-compare-med
no bgp asnotation dot
no bgp bestpath med
no bgp bestpath compare-routerid
bgp default local-preference 100
no bgp deterministic-med
bgp enforce-first-as
bgp maxas-limit 0
bgp transport path-mtu-discovery
timers bgp 60 180 0
address-family ipv4 unicast
bgp scan-time 0
bgp nexthop trigger enable
bgp nexthop trigger delay 5
exit-address-family
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-84
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show blocks
show blocks
パケ ッ ト バ ッ フ ァ の使用状況を表示す る には、特権 EXEC モー ド で show blocks コ マ ン ド を使用
し ま す。
show blocks [{address hex | all | assigned | free | old | pool size [summary]} [diagnostics |
dump | header | packet] | queue history | [exhaustion snapshot | history [list]
[1-MAX_NUM_SNAPSHOT | index] [detail]]
構文の説明
address hex
（オプシ ョ ン） こ のア ド レ ス に対応す る ブ ロ ッ ク を 16 進数で表示
し ま す。
all
（オプシ ョ ン）すべてのブ ロ ッ ク を表示 し ま す。
assigned
（オプシ ョ ン）割 り 当て済みで ア プ リ ケーシ ョ ン に よ っ て使用 さ れ
てい る ブ ロ ッ ク を表示 し ま す。
detail
（オプシ ョ ン）一意の キ ュ ー タ イ プ ご と に最初のブ ロ ッ ク の一部
（128 バ イ ト ）を表示 し ま す。
dump
（オプシ ョ ン）ヘ ッ ダー と パケ ッ ト の情報を含め、ブ ロ ッ ク の内容
全体を表示 し ま す。dump と packet の相違点は、dump の場合、ヘ ッ
ダー と パケ ッ ト に関す る 追加情報が含 ま れ る こ と です。
diagnostics
（オプシ ョ ン）ブ ロ ッ ク の診断を表示 し ま す。
exhaustion snapshot
（オプシ ョ ン）取得 さ れた ス ナ ッ プ シ ョ ッ ト の最後の x 番号（x は現
時点では 10）お よ び最後の ス ナ ッ プ シ ョ ッ ト の タ イ ム ス タ ン プ を
出力 し ま す。ス ナ ッ プ シ ョ ッ ト が取得 さ れた後、5 分以上経過 し な
い と 別の ス ナ ッ プ シ ョ ッ ト は取得 さ れ ま せん。
free
（オプシ ョ ン）使用可能なブ ロ ッ ク を表示 し ま す。
header
（オプシ ョ ン）ブ ロ ッ ク のヘ ッ ダーを表示 し ま す。
history
1-MAX_NUM_SNAPSHOT
history オプ シ ョ ン は、最近の ス ナ ッ プ シ ョ ッ ト と 履歴内のすべて
の ス ナ ッ プシ ョ ッ ト を表示 し ま す。
history index
history list オプ シ ョ ン は、履歴内の ス ナ ッ プ シ ョ ッ ト の要約を表
示 し ま す。
history list
history index オプシ ョ ン は、履歴内の ス ナ ッ プシ ョ ッ ト の イ ンデ ッ
ク ス を表示 し ま す。
history 1-MAX_NUM_SNAPSHOT オプシ ョ ン は、履歴内の 1 つの ス
ナ ッ プシ ョ ッ ト だけ を表示 し ま す。
old
（オプシ ョ ン）1 分 よ り も 前に割 り 当て ら れたブ ロ ッ ク を表示 し
ま す。
packet
（オプシ ョ ン）ブ ロ ッ ク のヘ ッ ダーお よ びパケ ッ ト の内容 を表示 し
ま す。
pool size
（オプシ ョ ン）特定のサ イ ズのブ ロ ッ ク を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-85
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show blocks
queue history
（オプシ ョ ン）ASA がブ ロ ッ ク を使い果た し た と き に、ブ ロ ッ ク が
割 り 当て ら れ る 位置を表示 し ま す。プール内のブ ロ ッ ク が割 り 当
て ら れ る こ と はあ り ま すが、ブ ロ ッ ク が キ ュ ーに割 り 当て ら れ る
こ と はあ り ま せん。こ の場合は、ブ ロ ッ ク を割 り 当て た コ ー ド の ア
ド レ ス が割 り 当て場所にな り ま す。
summary
（オプシ ョ ン）ブ ロ ッ ク の使用状況に関す る 詳細情報を表示 し ます。
こ の情報は、こ の ク ラ ス にブ ロ ッ ク を割 り 当てた アプ リ ケーシ ョ ン
のプ ロ グ ラ ム ア ド レ ス、こ の ク ラ ス のブ ロ ッ ク を解放 し た アプ リ
ケーシ ョ ン のプ ロ グ ラ ム ア ド レ ス、お よ び こ の ク ラ ス の有効なブ
ロ ッ ク が属 し てい る キ ュ ーを基準 と し て ソ ー ト さ れてい ます。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
マルチ
コ ン テキス ト シ ス テム
Yes
•
Yes
•
Yes
リ リ ース
7.0(1)
変更内容
8.0(2)
dupb ブ ロ ッ ク は、4 バ イ ト ブ ロ ッ ク ではな く 長 さ が 0 のブ ロ ッ ク を使用
す る よ う にな り ま し た。0 バ イ ト ブ ロ ッ ク 用の 1 行が追加 さ れ ま し た。
9.1(5)
exhaustion snapshot、history list、history index、history
1-MAX_NUM_SNAPSHOT の各オプシ ョ ン が追加 さ れ ま し た。
pool summary オプ シ ョ ン が追加 さ れ ま し た。
show blocks コ マ ン ド は、ASA が過負荷にな っ てい る か ど う か を判断す る 場合に役立ち ま す。こ
の コ マ ン ド は、事前割 り 当て済みのシ ス テ ム バ ッ フ ァ の使用状況を表示 し ま す。ト ラ フ ィ ッ ク が
ASA 経由で伝送 さ れてい る 限 り 、メ モ リ がい っぱいにな っ てい る 状態は問題にはな り ま せん。
show conn コ マ ン ド を使用す る と 、ト ラ フ ィ ッ ク が伝送 さ れてい る か ど う か を確認で き ま す。ト
ラ フ ィ ッ ク が伝送 さ れてお ら ず、かつ メ モ リ がい っぱいにな っ てい る 場合は、問題が あ る 可能性
が あ り ま す。
こ の情報は、SNMP を使用 し て表示す る こ と も で き ま す。
セ キ ュ リ テ ィ コ ン テ キ ス ト 内で表示 さ れ る 情報には、使用中のブ ロ ッ ク 、お よ びブ ロ ッ ク 使用状
況の高基準値に関す る 、シ ス テ ム全体の情報お よ び コ ン テ キ ス ト 固有の情報が含 ま れ ま す。
出力の説明については、「例」を参照 し て く だ さ い。
例
次に、シ ン グル モー ド での show blocks コ マ ン ド の出力例を示 し ま す。
ciscoasa# show blocks
SIZE
MAX
LOW
0
100
99
CNT
100
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-86
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show blocks
4
80
256
1550
16384
2048
1600
400
3600
4716
10
1000
1598
398
3540
3177
10
1000
1599
399
3542
3184
10
1000
表 4-26 に、各 フ ィ ール ド の説明を示 し ま す。
表 4-26
show blocks のフ ィ ール ド
フ ィ ール ド 説明
SIZE
ブ ロ ッ ク プールのサ イ ズ（バ イ ト 単位）。それぞれのサ イ ズは、特定の タ イ プ を表 し
てい ま す。
0
dupb ブ ロ ッ ク で使用 さ れ ま す。
4
DNS、ISAKMP、URL フ ィ ル タ リ ン グ、uauth、TFTP、TCP モ ジ ュ ールな ど のア プ リ
ケーシ ョ ン の既存ブ ロ ッ ク を複製 し ま す。ま た こ のサ イ ズのブ ロ ッ ク は、通常、パ
ケ ッ ト を ド ラ イ バに送信す る コ ー ド な ど で使用 さ れ ま す。
80
TCP 代行受信で確認応答パケ ッ ト を生成す る ために、お よ び フ ェ ールオーバー
hello メ ッ セージに使用 さ れ ま す。
256
ス テー ト フ ル フ ェ ールオーバー ア ッ プデー ト 、syslog 処理、お よ びその他の TCP 機
能に使用 さ れ ま す。
こ れ ら のブ ロ ッ ク は、主に ス テー ト フ ル フ ェ ールオーバーの メ ッ セージ に使用 さ れ
ま す。ア ク テ ィ ブな ASA は、パケ ッ ト を生成 し て ス タ ン バ イ ASA に送信 し 、変換 と
接続のテーブル を更新 し ま す。接続が頻繁に作成 ま たは切断 さ れ る バー ス ト ト ラ
フ ィ ッ ク が発生す る と 、使用可能な ブ ロ ッ ク の数が 0 ま で低下す る こ と が あ り ま
す。こ の状況は、1 つ ま たはそれ以上の接続が ス タ ン バ イ ASA に対 し て更新 さ れな
か っ た こ と を示 し てい ま す。ス テー ト フ ル フ ェ ールオーバー プ ロ ト コ ルは、不明な
変換 ま たは接続を次回に捕捉 し ま す。256 バ イ ト ブ ロ ッ ク の CNT 列が長時間にわ
た っ て 0 ま たはその付近で停滞 し てい る 場合は、ASA の処理 し てい る 1 秒あ た り の
接続数が非常に多いために、変換テーブル と 接続テーブルの同期が取れてい る 状態
を ASA が維持で き ない問題が発生 し ま す。
ASA か ら 送信 さ れ る syslog メ ッ セージ も 256 バ イ ト ブ ロ ッ ク を使用 し ま すが、256
バ イ ト ブ ロ ッ ク プールが枯渇す る よ う な量が発行 さ れ る こ と は通常あ り ま せん。
CNT 列の示す 256 バ イ ト ブ ロ ッ ク の数が 0 に近い場合は、Debugging（ レ ベル 7）の
ロ グ を syslog サーバに記録 し ていない こ と を確認 し て く だ さ い。こ の情報は、ASA
コ ン フ ィ ギ ュ レ ーシ ョ ン の logging trap 行に示 さ れてい ま す。ロ ギ ン グは、デバ ッ グ
のために詳細な情報が必要 と な る 場合を除い て、Notification（ レ ベル 5）以下に設定
す る こ と を推奨 し ま す。
1550
ASA で処理す る イ ーサネ ッ ト パケ ッ ト を格納す る ために使用 さ れ ま す。
パケ ッ ト は、ASA イ ン タ ー フ ェ イ ス に入 る と 入力 イ ン タ ー フ ェ イ ス キ ュ ーに配置
さ れ、次にオペ レ ーテ ィ ン グ シ ス テ ム に渡 さ れて ブ ロ ッ ク に配置 さ れ ま す。ASA
は、パケ ッ ト を許可す る か拒否す る か を セ キ ュ リ テ ィ ポ リ シーに基づい て決定 し 、
パケ ッ ト を発信 イ ン タ ー フ ェ イ ス 上の出力キ ュ ーに配置 し ま す。ASA が ト ラ
フ ィ ッ ク 負荷に対応で き ていない場合は、使用可能なブ ロ ッ ク の数が 0 付近で停滞
し ま す（ こ の コ マ ン ド の出力の CNT 列に示 さ れ ま す）。CNT 列が 0 の場合、ASA は
よ り 多 く のブ ロ ッ ク を割 り 当て よ う と し ま す。こ の コ マ ン ド を発行す る と 、1550 バ
イ ト ブ ロ ッ ク の最大が 8192 を超え る 場合が あ り ま す。使用可能なブ ロ ッ ク がな く
な っ た場合、ASA はパケ ッ ト を ド ロ ッ プ し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-87
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show blocks
表 4-26
show blocks のフ ィ ール ド （続き）
フ ィ ール ド 説明
16384
64 ビ ッ ト 66 MHz のギガ ビ ッ ト イ ーサネ ッ ト カー ド （i82543）にのみ使用 さ れます。
イ ーサネ ッ ト パケ ッ ト の詳細については、1550 の説明を参照 し て く だ さ い。
2048
制御の更新に使用 さ れ る 制御 フ レ ーム ま たはガ イ ド 付 き フ レ ーム。
MAX
指定 し たバ イ ト ブ ロ ッ ク のプールで使用可能な ブ ロ ッ ク の最大数。起動時に、最大
限のブ ロ ッ ク 数が メ モ リ か ら 切 り 分け ら れ ま す。通常、ブ ロ ッ ク の最大数は変化 し
ま せん。例外は 256 バ イ ト ブ ロ ッ ク お よ び 1550 バ イ ト ブ ロ ッ ク で、ASA は必要に
応 じ て よ り 多 く のブ ロ ッ ク を ダ イ ナ ミ ッ ク に作成で き ま す。こ の コ マ ン ド を発行す
る と 、1550 バ イ ト ブ ロ ッ ク の最大が 8192 を超え る 場合が あ り ま す。
LOW
低基準値。こ の数は、ASA の電源がオ ン にな っ た時点、ま たはブ ロ ッ ク が（clear
blocks コ マ ン ド で）最後に ク リ ア さ れた時点か ら 、こ のサ イ ズの使用可能な ブ ロ ッ
ク が最 も 少な く な っ た と き の数を示 し てい ま す。LOW 列が 0 で あ る 場合は、先行の
イ ベン ト で メ モ リ がい っぱいにな っ た こ と を示 し ま す。
CNT
特定のサ イ ズ のブ ロ ッ ク プールで現在使用可能な ブ ロ ッ ク の数。CNT 列が 0 で あ
る 場合は、メ モ リ が現在い っぱいで あ る こ と を意味 し ま す。
次に、show blocks all コ マ ン ド の出力例を示 し ま す。
ciscoasa# show blocks all
Class 0, size 4
Block
allocd_by
freed_by
0x01799940 0x00000000 0x00101603
0x01798e80 0x00000000 0x00101603
0x017983c0 0x00000000 0x00101603
data size
0
0
0
alloccnt
0
0
0
dup_cnt oper location
0 alloc not_specified
0 alloc not_specified
0 alloc not_specified
...
Found 1000 of 1000 blocks
Displaying 1000 of 1000 blocks
表 4-27 に、各 フ ィ ール ド の説明を示 し ま す。
表 4-27
show blocks all のフ ィ ール ド
フ ィ ール ド 説明
Block
ブ ロ ッ ク のア ド レ ス。
allocd_by
ブ ロ ッ ク を最後に使用 し た ア プ リ ケーシ ョ ン のプ ロ グ ラ ム ア ド レ ス （使用 さ れてい
ない場合は 0）。
freed_by
ブ ロ ッ ク を最後に解放 し た ア プ リ ケーシ ョ ン のプ ロ グ ラ ム ア ド レ ス 。
data size
ブ ロ ッ ク 内部の ア プ リ ケーシ ョ ン バ ッ フ ァ ま たはパケ ッ ト デー タ のサ イ ズ。
alloccnt
こ のブ ロ ッ ク が作成 さ れてか ら 使用 さ れた回数。
dup_cnt
こ のブ ロ ッ ク に対す る 現時点での参照回数（ こ のブ ロ ッ ク が使用 さ れてい る 場合）。
0 は 1 回の参照、1 は 2 回の参照を意味 し ま す。
oper
ブ ロ ッ ク に対 し て最後に実行 さ れた操作。alloc、get、put、free の 4 つのいずれかです。
location
ブ ロ ッ ク を使用 し てい る ア プ リ ケーシ ョ ン。ま たは、ブ ロ ッ ク を最後に割 り 当て た
ア プ リ ケーシ ョ ン のプ ロ グ ラ ム ア ド レ ス （allocd_by フ ィ ール ド と 同 じ ）。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-88
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show blocks
次に、コ ン テ キ ス ト 内での show blocks コ マ ン ド の出力例を示 し ま す。
ciscoasa/contexta# show blocks
SIZE
MAX
LOW
CNT INUSE
4
1600
1599
1599
0
80
400
400
400
0
256
3600
3538
3540
0
1550
4616
3077
3085
0
HIGH
0
0
1
0
次に、show blocks queue history コ マ ン ド の出力例を示 し ま す。
ciscoasa# show blocks queue history
Each Summary for User and Queue_type is followed its top 5 individual queues
Block Size: 4
Summary for User "http", Queue "tcp_unp_c_in", Blocks 1595, Queues 1396
Blk_cnt Q_cnt Last_Op Queue_Type
User
Context
186
1 put
contexta
15
1 put
contexta
1
1 put
contexta
1
1 put
contextb
1
1 put
contextc
Summary for User "aaa", Queue "tcp_unp_c_in", Blocks 220, Queues 200
Blk_cnt Q_cnt Last_Op Queue_Type
User
Context
21
1 put
contexta
1
1 put
contexta
1
1 put
contexta
1
1 put
contextb
1
1 put
contextc
Blk_cnt Q_cnt Last_Op Queue_Type
User
Context
200
1 alloc
ip_rx
tcp
contexta
108
1 get
ip_rx
udp
contexta
85
1 free
fixup
h323_ras contextb
42
1 put
fixup
skinny
contextb
Block Size: 1550
Summary for User "http", Queue "tcp_unp_c_in", Blocks 1595, Queues 1000
Blk_cnt Q_cnt Last_Op Queue_Type
User
Context
186
1 put
contexta
15
1 put
contexta
1
1 put
contexta
1
1 put
contextb
1
1 put
contextc
...
次に、show blocks queue history detail コ マ ン ド の出力例を示 し ま す。
ciscoasa# show blocks queue history detail
History buffer memory usage: 2136 bytes (default)
Each Summary for User and Queue type is followed its top 5 individual queues
Block Size: 4
Summary for User "http", Queue_Type "tcp_unp_c_in", Blocks 1595, Queues 1396
Blk_cnt Q_cnt Last_Op Queue_Type
User
Context
186
1 put
contexta
15
1 put
contexta
1
1 put
contexta
1
1 put
contextb
1
1 put
contextc
First Block information for Block at 0x.....
dup_count 0, flags 0x8000000, alloc_pc 0x43ea2a,
start_addr 0xefb1074, read_addr 0xefb118c, write_addr 0xefb1193
urgent_addr 0xefb118c, end_addr 0xefb17b2
0efb1150: 00 00 00 03 47 c5 61 c5 00 05 9a 38 76 80 a3 00 | ....G.a....8v...
0efb1160: 00 0a 08 00 45 00 05 dc 9b c9 00 00 ff 06 f8 f3 | ....E...........
0efb1170: 0a 07 0d 01 0a 07 00 50 00 17 cb 3d c7 e5 60 62 | .......P...=..`b
0efb1180: 7e 73 55 82 50 18 10 00 45 ca 00 00 2d 2d 20 49 | ~sU.P...E...-- I
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-89
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show blocks
0efb1190: 50 20 2d 2d 0d 0a 31 30 2e 37 2e 31 33 2e 31 09
0efb11a0: 3d 3d 3e 09 31 30 2e 37 2e 30 2e 38 30 0d 0a 0d
|
|
P --..10.7.13.1.
==>.10.7.0.80...
Summary for User "aaa", Queue "tcp_unp_c_in", Blocks 220, Queues 200
Blk_cnt Q_cnt Last_Op Queue_Type
User
Context
21
1 put
contexta
1
1 put
contexta
1
1 put
contexta
1
1 put
contextb
1
1 put
contextc
First Block information for Block at 0x.....
dup_count 0, flags 0x8000000, alloc_pc 0x43ea2a,
start_addr 0xefb1074, read_addr 0xefb118c, write_addr 0xefb1193
urgent_addr 0xefb118c, end_addr 0xefb17b2
0efb1150: 00 00 00 03 47 c5 61 c5 00 05 9a 38 76 80 a3 00 | ....G.a....8v...
0efb1160: 00 0a 08 00 45 00 05 dc 9b c9 00 00 ff 06 f8 f3 | ....E...........
0efb1170: 0a 07 0d 01 0a 07 00 50 00 17 cb 3d c7 e5 60 62 | .......P...=..`b
0efb1180: 7e 73 55 82 50 18 10 00 45 ca 00 00 2d 2d 20 49 | ~sU.P...E...-- I
0efb1190: 50 20 2d 2d 0d 0a 31 30 2e 37 2e 31 33 2e 31 09 | P --..10.7.13.1.
0efb11a0: 3d 3d 3e 09 31 30 2e 37 2e 30 2e 38 30 0d 0a 0d | ==>.10.7.0.80...
...
total_count: total buffers in this class
次に、show blocks pool summary コ マ ン ド の出力例を示 し ま す。
ciscoasa# show blocks pool 1550 summary
Class 3, size 1550
=================================================
total_count=1531
miss_count=0
Alloc_pc
valid_cnt
invalid_cnt
0x3b0a18
00000256
00000000
0x01ad0760 0x01acfe00 0x01acf4a0 0x01aceb40 00000000 0x00000000
0x3a8f6b
00001275
00000012
0x05006aa0 0x05006140 0x050057e0 0x05004520 00000000
0x00000000
=================================================
total_count=9716
miss_count=0
Freed_pc
valid_cnt
invalid_cnt
0x9a81f3
00000104
00000007
0x05006140 0x05000380 0x04fffa20 0x04ffde00 00000000
0x9a0326
00000053
00000033
0x05006aa0 0x050057e0 0x05004e80 0x05003260 00000000
0x4605a2
00000005
00000000
0x04ff5ac0 0x01e8e2e0 0x01e2eac0 0x01e17d20 00000000
...
=================================================
total_count=1531
miss_count=0
Queue
valid_cnt
invalid_cnt
0x3b0a18
00000256
00000000 Invalid Bad qtype
0x01ad0760 0x01acfe00 0x01acf4a0 0x01aceb40 00000000
0x3a8f6b
00001275
00000000 Invalid Bad qtype
0x05006aa0 0x05006140 0x050057e0 0x05004520 00000000
0x00000000
0x00000000
0x00000000
0x00000000
0x00000000
=================================================
free_cnt=8185 fails=0 actual_free=8185 hash_miss=0
03a8d3e0 03a8b7c0 03a7fc40 03a6ff20 03a6f5c0 03a6ec60 kao-f1#
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-90
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show blocks
次に、show blocks exhaustion history list コ マ ン ド の出力例を示 し ま す。
ciscoasa# show blocks exhaustion history list
1 Snapshot created at 18:01:03 UTC Feb 19 2014:
Snapshot created due to 16384 blocks running out
2 Snapshot created at 18:02:03 UTC Feb 19 2014:
Snapshot created due to 16384 blocks running out
3 Snapshot created at 18:03:03 UTC Feb 19 2014:
Snapshot created due to 16384 blocks running out
4 Snapshot created at 18:04:03 UTC Feb 19 2014:
Snapshot created due to 16384 blocks running out
表 4-28 に、各 フ ィ ール ド の説明を示 し ま す。
表 4-28
関連 コ マ ン ド
show blocks pool summary のフ ィ ール ド
フ ィ ール ド
説明
total_count
指定 し た ク ラ ス のブ ロ ッ ク の数。
miss_count
技術的な理由に よ り 、指定 し た カ テ ゴ リ で レ ポー ト さ れなか っ たブ ロ ッ ク
の数。
Freed_pc
こ の ク ラ ス のブ ロ ッ ク を解放 し たアプ リ ケーシ ョ ンのプ ロ グ ラ ム ア ド レ ス。
Alloc_pc
こ の ク ラ ス にブ ロ ッ ク を割 り 当てたアプ リ ケーシ ョ ンのプ ロ グ ラ ム ア ド レ ス。
Queue
こ の ク ラ ス の有効な ブ ロ ッ ク が属 し てい る キ ュ ー。
valid_cnt
現時点で割 り 当て ら れてい る ブ ロ ッ ク の数。
invalid_cnt
現時点では割 り 当て ら れてい ないブ ロ ッ ク の数。
Invalid Bad qtype
こ の キ ュ ーが解放 さ れて内容が無効にな っ てい る か、こ の キ ュ ーは初期化 さ
れてい ま せんで し た。
Valid
tcp_usr_conn_inp
キ ュ ーは有効です。
コ マン ド
blocks
説明
clear blocks
シ ス テ ム バ ッ フ ァ の統計情報を ク リ ア し ま す。
show conn
ア ク テ ィ ブな接続を表示 し ま す。
ブ ロ ッ ク 診断に割 り 当て ら れ る メ モ リ を増や し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-91
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show boot device（IOS）
show boot device（IOS）
デ フ ォ ル ト の起動パーテ ィ シ ョ ン を表示す る には、show boot device コ マ ン ド を使用 し ま す。
show boot device [mod_num]
構文の説明
mod_num
デフ ォル ト
デ フ ォ ル ト の起動パーテ ィ シ ョ ン は cf:4 です。
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
リ リ ース
7.0(1)
（オプシ ョ ン）モジ ュ ール番号を指定 し ます。イ ン ス ト ール さ れたモジ ュ ー
ル と その番号を表示す る には、show module コ マ ン ド を使用 し ます。
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、Cisco IOS ソ フ ト ウ ェ ア上で イ ン ス ト ール済みの各 ASA の起動パーテ ィ シ ョ ン を表示す る
show boot device コ マ ン ド の出力例を示 し ま す。
例
Router# show boot device
[mod:1 ]:
[mod:2 ]:
[mod:3 ]:
[mod:4 ]: cf:4
[mod:5 ]: cf:4
[mod:6 ]:
[mod:7 ]: cf:4
[mod:8 ]:
[mod:9 ]:
関連 コ マ ン ド
コ マン ド
boot device (IOS)
説明
show module (IOS)
イ ン ス ト ール さ れてい る すべてのモ ジ ュ ール を表示 し ま す。
デ フ ォ ル ト の起動パーテ ィ シ ョ ン を設定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-92
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bootvar
show bootvar
ブー ト フ ァ イ ル と コ ン フ ィ ギ ュ レ ーシ ョ ン のプ ロ パテ ィ を表示す る には、特権 EXEC モー ド で
show bootvar コ マ ン ド を使用 し ま す。
show bootvar
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
リ リ ース
7.2(1)
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
BOOT 変数は、さ ま ざ ま なデバ イ ス に関す る ブー ト 可能 イ メ ージの リ ス ト を指定 し ま す。
CONFIG_FILE 変数は、シ ス テ ム初期化中に使用 さ れ る コ ン フ ィ ギ ュ レ ーシ ョ ン フ ァ イ ルを指定
し ま す。こ れ ら の変数は、それぞれ boot system コ マ ン ド と boot config コ マ ン ド で設定 し ま す。
例
BOOT 変数は disk0:/f1_image を保持 し てい ま す。こ れは、シ ス テ ム の リ ロ ー ド 時にブー ト さ れ る
イ メ ージです。BOOT の現在の値は、disk0:/f1_image; disk0:/f1_backupimage です。こ の値は、BOOT
変数が boot system コ マ ン ド で変更 さ れてい る も のの、実行 コ ン フ ィ ギ ュ レ ーシ ョ ン が ま だ write
memory コ マ ン ド で保存 さ れていない こ と を意味 し てい ま す。実行 コ ン フ ィ ギ ュ レーシ ョ ン を保
存す る と 、BOOT 変数 と 現在の BOOT 変数が両方 と も disk0:/f1_image; disk0:/f1_backupimage にな
り ま す。実行 コ ン フ ィ ギ ュ レーシ ョ ン が保存済みで あ る 場合、ブー ト ロ ーダは BOOT 変数の内容
を ロ ー ド し よ う と し ます。つ ま り 、disk0:/f1image を起動 し ま す。こ の イ メ ージが存在 し ないか無効
で あ る 場合は、disk0:1/f1_backupimage を ブー ト し よ う と し ま す。
CONFIG_FILE 変数は、シ ス テ ム の ス タ ー ト ア ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン を指 し ま す。こ の例
では こ の変数が設定 さ れていないため、ス タ ー ト ア ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン フ ァ イ ルは、
boot config コ マ ン ド で指定 し たデ フ ォ ル ト です。現在の CONFIG_FILE 変数は、boot config コ マ
ン ド で変更 し て、write memory コ マ ン ド で保存で き ま す。
次に、show bootvar コ マ ン ド の出力例を示 し ま す。
ciscoasa# show bootvar
BOOT variable = disk0:/f1_image
Current BOOT variable = disk0:/f1_image; disk0:/f1_backupimage
CONFIG_FILE variable =
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-93
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bootvar
Current CONFIG_FILE variable =
ciscoasa#
関連 コ マ ン ド
コ マン ド
boot
説明
起動時に使用 さ れ る コ ン フ ィ ギ ュ レ ーシ ョ ン フ ァ イ ル ま たは イ メ ー
ジ フ ァ イ ル を指定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-94
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bridge-group
show bridge-group
割 り 当て ら れた イ ン タ ー フ ェ イ ス 、MAC ア ド レ ス 、IP ア ド レ ス な ど ブ リ ッ ジ グループ情報を表
示す る には、特権 EXEC モー ド で show bridge-group コ マ ン ド を使用 し ま す。
show bridge-group bridge-group-number
構文の説明
bridge-group-number
コ マン ド デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
ブ リ ッ ジ グループ番号を 1 ～ 100 の整数で指定 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド 履歴
例
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
—
リ リ ース
8.4(1)
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、IPv4 ア ド レ ス を指定 し た show bridge-group コ マ ン ド の出力例を示 し ま す。
ciscoasa# show bridge-group 1
Interfaces: GigabitEthernet0/0.101, GigabitEthernet0/0.201
Management System IP Address: 10.0.1.1 255.255.255.0
Management Current IP Address: 10.0.1.1 255.255.255.0
Management IPv6 Global Unicast Address(es):
N/A
Static mac-address entries: 0
Dynamic mac-address entries: 2
次に、IPv4 ア ド レ ス お よ び IPv6 ア ド レ ス を指定 し た show bridge-group コ マ ン ド の出力例を示
し ま す。
ciscoasa# show bridge-group 1
Interfaces: GigabitEthernet0/0.101, GigabitEthernet0/0.201
Management System IP Address: 10.0.1.1 255.255.255.0
Management Current IP Address: 10.0.1.1 255.255.255.0
Management IPv6 Global Unicast Address(es):
2000:100::1, subnet is 2000:100::/64
2000:101::1, subnet is 2000:101::/64
2000:102::1, subnet is 2000:102::/64
Static mac-address entries: 0
Dynamic mac-address entries: 2
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-95
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show bridge-group
関連 コ マ ン ド
コ マン ド
bridge-group
説明
clear configure
interface bvi
ブ リ ッ ジ グループ イ ン タ ー フ ェ イ ス コ ン フ ィ ギ ュ レ ーシ ョ ン を ク リ
ア し ま す。
interface
イ ン タ ー フ ェ イ ス を設定 し ま す。
interface bvi
ブ リ ッ ジ仮想 イ ン タ ー フ ェ イ ス を作成 し ま す。
ip address
ブ リ ッ ジ グループの管理 IP ア ド レ ス を設定 し ま す。
show running-config
interface bvi
ブ リ ッ ジ グループ イ ン タ ー フ ェ イ ス コ ン フ ィ ギ ュ レ ーシ ョ ン を表示
し ま す。
ト ラ ン ス ペア レ ン ト フ ァ イ ア ウ ォ ール イ ン タ ー フ ェ イ ス を ブ リ ッ ジ
グループに グループ化 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-96
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show call-home
show call-home
設定 し た Call Home 情報を表示す る には、特権 EXEC モー ド で show call-home コ マ ン ド を使用
し ま す。
[cluster exec] show call-home [alert-group | detail | events | mail-server status | profile {profile
_name | all} | statistics]
構文の説明
alert-group
（オプ シ ョ ン）使用可能な ア ラ ー ト グループ を表示 し ま す。
cluster exec
（オプ シ ョ ン） ク ラ ス タ リ ン グ環境では、あ る ユニ ッ ト で show
call-home コ マ ン ド を発行 し 、その コ マ ン ド を他のすべてのユ ニ ッ ト で
同時に実行で き ま す。
detail
（オプシ ョ ン）Call Home コ ン フ ィ ギ ュ レーシ ョ ンの詳細を表示 し ます。
events
（オプ シ ョ ン）現在の検出 さ れた イ ベン ト を表示 し ま す。
（オプシ ョ ン）Call Home メ ール サーバの ス テー タ ス情報を表示 し ます。
profile profile _name all （オプ シ ョ ン）すべての既存プ ロ フ ァ イ ルの コ ン フ ィ ギ ュ レ ーシ ョ ン情
報を表示 し ま す。
statistics
（オプ シ ョ ン）Call Home の統計情報を表示 し ま す。
mail-server status
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
例
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
•
Yes
リ リ ース
8.2(2)
変更内容
9.1(3)
show cluster history コ マ ン ド お よ び show cluster info コ マ ン ド の出力を含め る
ために、Smart Call Home メ ッ セージの新 し い タ イ プが追加 さ れ ま し た。
こ の コ マ ン ド が追加 さ れ ま し た。
次に、設定 さ れた Call Home 設定を表示す る show call-home コ マ ン ド の出力例を示 し ま す。
ciscoasa# show call-home
Current Smart Call-Home settings:
Smart Call-Home feature : enable
Smart Call-Home message's from address: [email protected]
Smart Call-Home message's reply-to address: [email protected]
contact person's email address: [email protected]
contact person's phone: 111-222-3333
street address: 1234 Any Street, Any city, Any state, 12345
customer ID: ExampleCorp
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-97
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show call-home
contract ID: X123456789
site ID: SantaClara
Mail-server[1]: Address: smtp.example.com Priority: 1
Mail-server[2]: Address: 192.168.0.1 Priority: 10
Rate-limit: 60 message(s) per minute
Available alert groups:
Keyword
State
------------------------ ------Syslog Enable
diagnostic Enable
environmental Enable
inventory Enable
configuration Enable
firewall Enable
troubleshooting Enable
report Enable
Profiles:
Profile Name: CiscoTAC-1
Profile Name: prof1
Profile Name: prof2
次に、Call Home コ ン フ ィ ギ ュ レ ーシ ョ ン情報の詳細を表示す る show call-home detail コ マ ン ド
の出力例を示 し ま す。
ciscoasa# show call-home detail
Description: Show smart call-home configuration in detail.
Supported Modes: single mode and system context in multi mode, routed/transparent.
Output:
Current Smart Call-Home settings:
Smart Call-Home feature: enable
Smart Call-Home message's from address: [email protected]
Smart Call-Home message's reply-to address: [email protected]
contact person's email address: [email protected]
contact person's phone: 111-222-3333
street address: 1234 Any Street, Any city, Any state, 12345
customer ID: 111111
contract ID: 123123
site ID: SantaClara
Mail-server[1]: Address: example.example.com Priority: 1
Mail-server[2]: Address: example.example.com Priority: 10
Rate-limit: 60 message(s) per minute
Available alert groups:
Keyword State
------------------------ ------syslog Enable
diagnostic Enable
environmental Enable
inventory Enable
configuration Enable
firewall Enable
troubleshooting Enable
report Enable
Profiles:
Profile Name: CiscoTAC-1
Profile status: ACTIVE Preferred Message Format: xml
Message Size Limit: 3145728 Bytes
Email address(es): [email protected]
HTTP address(es): https://tools.cisco.com/its/service/oddce/services/DDCEService
Periodic inventory message is scheduled monthly at 01:00
Alert-group Severity
------------------------ -----------inventory n/a
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-98
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show call-home
Profile Name: prof1
Profile status: ACTIVE Preferred Message Format: xml
Message Size Limit: 3145728 Bytes
Email address(es): [email protected]
HTTP address(es): https://kafan-lnx-01.cisco.com:8443/sch/sch.jsp
Periodic configuration message is scheduled daily at 01:00
Periodic inventory message is scheduled every 60 minutes
Alert-group Severity
------------------------ -----------configuration n/a
inventory n/a
Profile Name: prof2
Profile status: ACTIVE Preferred Message Format: short-text
Message Size Limit: 1048576 Bytes
Email address(es): [email protected]
HTTP address(es): https://example.example.com:8443/sch/sch.jsp
Periodic configuration message is scheduled every 1 minutes
Periodic inventory message is scheduled every 1 minutes
Alert-group Severity
------------------------ -----------configuration n/a
inventory n/a
次に、使用可能な Call Home イ ベン ト を表示す る show call-home events コ マ ン ド の出力例を示 し
ま す。
ciscoasa# show call-home events
Description: Show current detected events.
Supported Modes: single mode and system context in multi mode, routed/transparent.
Output:
Active event list:
Event client alert-group severity active (sec)
-------------------------------------------------------------------Configuration Client configuration none 5
Inventory inventory none 15
次に、使用可能な Call Home メ ール サーバの ス テー タ ス を表示す る show call-home mail-server
status コ マ ン ド の出力例を示 し ま す。
ciscoasa# show call-home mail-server status
Description: Show smart call-home configuration, status, and statistics.
Supported Modes: single mode and system context in multi mode, routed/transparent.
Output:
Mail-server[1]: Address: example.example.com Priority: 1 [Available]
Mail-server[2]: Address: example.example.com Priority: 10 [Not Available]
次に、使用可能な ア ラ ー ト グループ を表示す る show call-home alert-group コ マ ン ド の出力例 を
示 し ま す。
ciscoasa# show call-home alert-group
Description: Show smart call-home alert-group states.
Supported Modes: single mode and system context in multi mode, routed/transparent.
Output:
Available alert groups:
Keyword State
------------------------ ------syslog Enable
diagnostic Enable
environmental Enable
inventory Enable
configuration Enable
firewall Enable
troubleshooting Enable
report Enable
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-99
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show call-home
次に、show call-home profile profile-name | all コ マ ン ド の出力例 と 、すべての定義済みプ ロ フ ァ
イ ルお よ びユーザ定義プ ロ フ ァ イ ルに関す る 情報を示 し ま す。
ciscoasa# show call-home profile {profile-name | all}
Description: Show smart call-home profile configuration.
Supported Modes: single mode and system context in multi mode, routed/transparent.
Output:
Profiles:
Profile Name: CiscoTAC-1
Profile status: ACTIVE Preferred Message Format: xml
Message Size Limit: 3145728 Bytes
Email address(es): [email protected]
HTTP address(es): https://tools.cisco.com/its/service/oddce/services/DDCEService
Periodic inventory message is scheduled monthly at 01:00
Alert-group Severity
------------------------ -----------inventory n/a
Profile Name: prof1
Profile status: ACTIVE Preferred Message Format: xml
Message Size Limit: 3145728 Bytes
Email address(es): [email protected]
HTTP address(es): https://example.example.com:8443/sch/sch.jsp
Periodic configuration message is scheduled daily at 01:00
Periodic inventory message is scheduled every 60 minutes
Alert-group Severity
------------------------ -----------configuration n/a
inventory n/a
Profile Name: prof2
Profile status: ACTIVE Preferred Message Format: short-text
Message Size Limit: 1048576 Bytes
Email address(es): [email protected]
HTTP address(es): https://example.example.com:8443/sch/sch.jsp
Periodic configuration message is scheduled every 1 minutes
Periodic inventory message is scheduled every 1 minutes
Alert-group Severity
------------------------ -----------configuration n/a
inventory n/a
次に、Call Home の統計情報を表示す る show call-home statistics コ マ ン ド の出力例を示 し ま す。
ciscoasa# show call-home statistics
Description: Show smart call-home statistics.
Supported Modes: single mode and system context in multi mode, routed/transparent.
Output:
Message Types Total Email HTTP
-------------------- ---------------- ---------------- ---------------Total Success 0 0 0
Total In-Queue 0 0 0
Total Dropped 5 4 1
Tx Failed 5 4 1
inventory 3 2 1
configuration 2 2 0
Event Types Total
-------------------- ---------------Total Detected 2
inventory 1
configuration 1
Total In-Queue 0
Total Dropped 0
Last call-home message sent time: 2009-06-17 14:22:09 GMT-07:00
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-100
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show call-home
次に、Call Home の統計情報を表示す る show call-home status コ マ ン ド の出力例を示 し ま す。
ciscoasa# show call-home mail-server status
Description: Show smart call-home configuration, status, and statistics.
Supported Modes: single mode and system context in multi mode, routed/transparent.
Output:
Mail-server[1]: Address: kafan-lnx-01.cisco.com Priority: 1 [Available]
Mail-server[2]: Address: kafan-lnx-02.cisco.com Priority: 10 [Not Available]
37.ciscoasa# show call-home events
Description: Show current detected events.
Supported Modes: single mode and system context in multi mode, routed/transparent.
Output:
Active event list:
Event client alert-group severity active (sec)
-------------------------------------------------------------------Configuration Client configuration none 5
Inventory inventory none 15
次に、ク ラ ス タ の Call Home の統計情報を表示す る cluster exec show call-home statistics コ マ ン
ド の出力例を示 し ま す。
ciscoasa(config)# cluster exec show call-home statistics
A(LOCAL):*************************************************************
Message Types
Total
Email
HTTP
----------------------------------- ---------------- ---------------Total Success
3
3
0
test
3
3
0
Total In-Delivering
0
0
0
Total In-Queue
0
0
0
Total Dropped
Tx Failed
configuration
test
8
8
2
6
8
8
2
6
0
0
0
0
Event Types
-------------------Total Detected
configuration
test
Total
---------------10
1
9
Total In-Processing
0
Total In-Queue
0
Total Dropped
0
Last call-home message sent time: 2013-04-15 05:37:16 GMT+00:00
B:********************************************************************
Message Types
Total
Email
HTTP
----------------------------------- ---------------- ---------------Total Success
1
1
0
test
1
1
0
Total In-Delivering
0
0
0
Total In-Queue
0
0
0
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-101
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show call-home
Total Dropped
Tx Failed
configuration
2
2
2
Event Types
-------------------Total Detected
configuration
test
Total
---------------2
1
1
Total In-Processing
0
Total In-Queue
0
Total Dropped
2
2
2
0
0
0
0
Last call-home message sent time: 2013-04-15 05:36:16 GMT+00:00
C:********************************************************************
Message Types
Total
Email
HTTP
----------------------------------- ---------------- ---------------Total Success
0
0
0
Total In-Delivering
0
0
0
Total In-Queue
0
0
0
Total Dropped
Tx Failed
configuration
2
2
2
2
2
2
0
0
0
Event Types
-------------------Total Detected
configuration
Total
---------------1
1
Total In-Processing
0
Total In-Queue
0
Total Dropped
0
Last call-home message sent time: n/a
D:********************************************************************
Message Types
Total
Email
HTTP
----------------------------------- ---------------- ---------------Total Success
1
1
0
test
1
1
0
Total In-Delivering
0
0
0
Total In-Queue
0
0
0
Total Dropped
Tx Failed
configuration
2
2
2
2
2
2
0
0
0
Event Types
-------------------Total Detected
configuration
test
Total
---------------2
1
1
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-102
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show call-home
Total In-Processing
0
Total In-Queue
0
Total Dropped
0
Last call-home message sent time: 2013-04-15 05:35:34 GMT+00:00
ciscoasa(config)#
関連 コ マ ン ド
コ マン ド
call-home
説明
call-home send alert-group
特定の ア ラ ー ト グループ メ ッ セージ を
送信 し ま す。
service call-home
Call Home を イ ネーブル ま たはデ ィ
セーブルに し ま す。
Call Home コ ン フ ィ ギ ュ レ ーシ ョ ン
モー ド を開始 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-103
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show call-home registered-module status
show call-home registered-module status
登録 さ れたモ ジ ュ ールの ス テー タ ス を表示す る には、特権 EXEC モー ド で show call-home
registered-module status コ マ ン ド を使用 し ま す。
show call-home registered-module status [all]
（注）
[all] オプ シ ョ ン は、シ ス テ ム コ ン テ キ ス ト モー ド でのみ有効です。
構文の説明
all
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
コ ン テ キ ス ト 単位ではな く 、デバ イ ス に基づい てモ ジ ュ ール ス テー タ
ス を表示 し ま す。マルチ コ ン テ キ ス ト モー ド では、少な く と も 1 つの
コ ン テ キ ス ト でモ ジ ュ ールが イ ネーブルに さ れてい る 場合、「all」オプ
シ ョ ン が含 ま れていれば、イ ネーブルに さ れてい る と 表示 さ れ ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
例
リ リ ース
8.2(2)
Yes
•
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show call-home registered-module status all の出力例を示 し ま す。
Output:
Module Name Status
---------------------------------------- -------------------Smart Call-Home enabled
Failover Standby/Active
関連 コ マ ン ド
コ マン ド
call-home
説明
call-home send alert-group
特定の ア ラ ー ト グループ メ ッ セージ を
送信 し ま す。
service call-home
Call Home を イ ネーブル ま たはデ ィ セー
ブルに し ま す。
Call Home コ ン フ ィ ギ ュ レ ーシ ョ ン モー
ド を開始 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-104
•
Yes
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show capture
show capture
オプ シ ョ ン を指定 し ない場合の キ ャ プチ ャ の コ ン フ ィ ギ ュ レ ーシ ョ ン を表示す る には、特権
EXEC モー ド で show capture コ マ ン ド を使用 し ま す。
[cluster exec] show capture [capture_name] [access-list access_list_name] [count number]
[decode] [detail] [dump] [packet-number number]
構文の説明
access-list
（オプシ ョ ン）特定のア ク セ ス リ ス ト ID の IP フ ィ ール ド ま たは よ り 高位の
access_list_name フ ィ ール ド に基づいて、パケ ッ ト に関す る 情報を表示 し ま す。
capture_name
（オプシ ョ ン）パケ ッ ト キ ャ プチ ャ の名前を指定 し ま す。
cluster exec
（オプシ ョ ン） ク ラ ス タ リ ン グ環境では、あ る ユニ ッ ト で show capture コ マ ン
ド を発行 し 、その コ マ ン ド を他のすべてのユニ ッ ト で同時に実行で き ま す。
count number
（オプシ ョ ン）指定 し たデー タ のパケ ッ ト 数を表示 し ま す。
decode
こ のオプシ ョ ン は、isakmp タ イ プの キ ャ プチ ャ が イ ン タ ー フ ェ イ ス に適用
さ れてい る 場合に役立ち ま す。当該の イ ン タ ー フ ェ イ ス を通過す る
ISAKMP デー タ は、復号化の後にすべて キ ャ プチ ャ さ れ、フ ィ ール ド をデ
コ ー ド し た後にその他の情報 と と も に表示 さ れ ま す。
detail
（オプシ ョ ン）各パケ ッ ト につい て、プ ロ ト コ ル情報を追加表示 し ま す。
dump
（オプシ ョ ン）デー タ リ ン ク 経由で転送 さ れたパケ ッ ト の 16 進ダ ン プ を表
示 し ま す。
packet-number
number
指定 し たパケ ッ ト 番号か ら 表示を開始 し ま す。
デフ ォル ト
こ の コ マ ン ド には、デ フ ォ ル ト 設定が あ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
リ リ ース
7.0(1)
変更内容
8.4(2)
IDS の出力に詳細な情報が追加 さ れ ま し た。
9.0(1)
cluster exec オプシ ョ ン が追加 さ れ ま し た。
9.2(1)
出力で vpn-user ド メ イ ン名が filter-aaa に変更 さ れ ま し た。
9.3(1)
SGT と イ ーサネ ッ ト タ ギ ン グ の出力が追加 さ れ ま し た。
•
Yes
こ の コ マ ン ド が追加 さ れ ま し た。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-105
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show capture
使用上のガイ ド ラ イ ン
capture_name を指定 し た場合は、そのキ ャ プチ ャ のキ ャ プチ ャ バ ッ フ ァ の内容が表示 さ れ ま す。
dump キー ワ ー ド を指定 し て も 、MAC 情報は 16 進ダ ン プに表示 さ れ ま せん。
パケ ッ ト のデ コ ー ド 出力は、パケ ッ ト のプ ロ ト コ ルに よ っ て異な り ま す。表 4-29 で角カ ッ コ に囲
ま れてい る 出力は、detail キー ワ ー ド を指定 し た場合に表示 さ れ ま す。
表 4-29
パケ ッ ト キ ャ プチ ャの出力形式
パケ ッ ト タ イ プ
キ ャ プ チ ャ の出力形式
802.1Q
HH:MM:SS.ms [ether-hdr] VLAN-info encap-ether-packet
ARP
HH:MM:SS.ms [ether-hdr] arp-type arp-info
IP/ICMP
HH:MM:SS.ms [ether-hdr] ip-source > ip-destination: icmp:
icmp-type icmp-code [checksum-failure]
IP/UDP
HH:MM:SS.ms [ether-hdr] src-addr.src-port dest-addr.dst-port:
[checksum-info] udp payload-len
IP/TCP
HH:MM:SS.ms [ether-hdr] src-addr.src-port dest-addr.dst-port:
tcp-flags [header-check] [checksum-info] sequence-number
ack-number tcp-window urgent-info tcp-options
IP/Other
HH:MM:SS.ms [ether-hdr] src-addr dest-addr: ip-protocol
ip-length
Other
HH:MM:SS.ms ether-hdr: hex-dump
ASA が不正な形式の TCP ヘ ッ ダー付 き のパケ ッ ト を受信 し 、invalid-tcp-hdr-length と い う ASP
ド ロ ッ プ理由のためにそのパケ ッ ト を ド ロ ッ プ し た場合、そのパケ ッ ト を受信 し た イ ン タ ー
フ ェ イ ス では show capture コ マ ン ド の出力にパケ ッ ト が表示 さ れ ま せん。
例
次に、キ ャ プチ ャ の コ ン フ ィ ギ ュ レ ーシ ョ ン を表示す る 例を示 し ま す。
ciscoasa(config)# show capture
capture arp ethernet-type arp interface outside
capture http access-list http packet-length 74 interface inside
次に、ARP キ ャ プチ ャ に よ っ て キ ャ プチ ャ さ れたパケ ッ ト を表示す る 例を示 し ま す。
ciscoasa(config)# show capture arp
2 packets captured
19:12:23.478429 arp who-has 171.69.38.89 tell 171.69.38.10
19:12:26.784294 arp who-has 171.69.38.89 tell 171.69.38.10
2 packets shown
次に、ク ラ ス タ リ ン グ環境の 1 つのユ ニ ッ ト で キ ャ プチ ャ さ れたパケ ッ ト を表示す る 例を示 し
ま す。
ciscoasa(config)# show capture
capture 1 cluster type raw-data interface primary interface cluster [Buffer Full - 524187
bytes]
capture 2 type raw-data interface cluster [Capturing - 232354 bytes]
次に、ク ラ ス タ リ ン グ環境のすべてのユニ ッ ト で キ ャ プチ ャ さ れたパケ ッ ト を表示す る 例を示
し ま す。
ciscoasa(config)# cluster exec show capture
mycapture (LOCAL):----------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-106
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show capture
capture 1 type raw-data interface primary [Buffer Full - 524187 bytes]
capture 2 type raw-data interface cluster [Capturing - 232354 bytes]
yourcapture:---------------------------------------------------------------capture 1 type raw-data interface primary [Capturing - 191484 bytes]
capture 2 type raw-data interface cluster [Capturing - 532354 bytes]
次に、次の コ マ ン ド を入力 し た後で ク ラ ス タ リ ン グ環境の ク ラ ス タ 制御 リ ン ク で キ ャ プチ ャ さ
れたパケ ッ ト の例を示 し ま す。
ciscoasa
ciscoasa
ciscoasa
ciscoasa
ciscoasa
ciscoasa
ciscoasa
(config)#
(config)#
(config)#
(config)#
(config)#
(config)#
(config)#
capture a interface cluster
capture cp interface cluster match udp any eq 49495 any
capture cp interface cluster match udp any any eq 49495
access-list cc1 extended permit udp any any eq 4193
access-list cc1 extended permit udp any eq 4193 any
capture dp interface cluster access-list cc1
capture lacp type lacp interface gigabitEthernet 0/0
ciscoasa(config)# show capture
capture a type raw-data interface cluster [Capturing - 970 bytes]
capture cp type raw-data interface cluster [Capturing - 26236 bytes]
match udp any eq 49495 any
capture dp type raw-data access-list cc1 interface cluster [Capturing - 4545230 bytes]
capture lacp type lacp interface gigabitEthernet0/0 [Capturing - 140 bytes]
次に、SGT と イ ーサネ ッ ト タ ギ ン グ が イ ン タ ー フ ェ イ ス で イ ネーブルにな っ てい る 場合に キ ャ
プチ ャ さ れたパケ ッ ト の例を示 し ま す。
ciscoasa(config)# show capture my-inside-capture
1: 11:34:42.931012 INLINE-TAG 36 10.0.101.22 > 11.0.101.100:
2: 11:34:42.931470 INLINE-TAG 48 11.0.101.100 > 10.0.101.22:
3: 11:34:43.932553 INLINE-TAG 36 10.0.101.22 > 11.0.101.100:
4: 11.34.43.933164 INLINE-TAG 48 11.0.101.100 > 10.0.101.22:
icmp:
icmp:
icmp:
icmp:
echo
echo
echo
echo
request
reply
request
reply
SGT と イ ーサネ ッ ト タ ギ ン グ が イ ン タ ー フ ェ イ ス で イ ネーブルの場合、イ ン タ ー フ ェ イ ス
は引 き 続 き タ グ付 き パケ ッ ト ま たは タ グ な し パケ ッ ト を受信で き ま す。こ の例は、出力に
INLINE-TAG 36 が あ る タ グ付 き パケ ッ ト 用です。同 じ イ ン タ ー フ ェ イ ス が タ グ な し パケ ッ
ト を受信 し た場合 も 、出力は変わ り ま せん（つ ま り 、「INLINE-TAG 36」エ ン ト リ は出力に含 ま
れ ま せん）。
関連 コ マ ン ド
コ マン ド
capture
説明
clear capture
キ ャ プチ ャ バ ッ フ ァ を ク リ ア し ま す。
copy capture
キ ャ プチ ャ フ ァ イ ル を サーバに コ ピ ー し ま す。
パケ ッ ト ス ニ ッ フ ィ ン グお よ びネ ッ ト ワ ー ク 障害の切 り 分けのため
にパケ ッ ト キ ャ プチ ャ 機能を イ ネーブルに し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-107
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show chardrop
show chardrop
シ リ アル コ ン ソ ールか ら ド ロ ッ プ さ れた文字の数を表示す る には、特権 EXEC モー ド で show
chardrop コ マ ン ド を使用 し ま す。
show chardrop
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
例
リ リ ース
7.2(1)
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show chardrop コ マ ン ド の出力例を示 し ま す。
ciscoasa# show chardrop
Chars dropped pre-TxTimeouts: 0, post-TxTimeouts: 0
関連 コ マ ン ド
コ マン ド
show running-config
説明
現在の動作設定を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-108
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show checkheaps
show checkheaps
checkheaps に関す る 統計情報を表示す る には、特権 EXEC モー ド で show checkheaps コ マ ン ド を
使用 し ま す。チ ェ ッ ク ヒ ープは、ヒ ープ メ モ リ バ ッ フ ァ の正常性お よ び コ ー ド 領域の完全性を
検証す る 定期的な プ ロ セ ス です（ダ イ ナ ミ ッ ク メ モ リ はシ ス テ ム ヒ ープ メ モ リ 領域か ら 割 り 当
て ら れ ま す）。
show checkheaps
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
例
リ リ ース
7.0(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show checkheaps コ マ ン ド の出力例を示 し ま す。
ciscoasa# show checkheaps
Checkheaps stats from buffer validation runs
-------------------------------------------Time elapsed since last run
: 42 secs
Duration of last run
: 0 millisecs
Number of buffers created
: 8082
Number of buffers allocated
: 7808
Number of buffers free
: 274
Total memory in use
: 43570344 bytes
Total memory in free buffers
: 87000 bytes
Total number of runs
: 310
関連 コ マ ン ド
コ マン ド
checkheaps
説明
checkheap の確認間隔を設定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-109
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show checksum
show checksum
コ ン フ ィ ギ ュ レ ーシ ョ ン のチ ェ ッ ク サ ム を表示す る には、特権 EXEC モー ド で show checksum
コ マ ン ド を使用 し ま す。
show checksum
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
こ の コ マ ン ド には、デ フ ォ ル ト 設定が あ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
7.2(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
show checksum コ マ ン ド を使用す る と 、コ ン フ ィ ギ ュ レ ーシ ョ ン の内容のデジ タ ル サマ リ ー と
し て機能す る 4 つの グループの 16 進数を表示で き ま す。こ のチ ェ ッ ク サ ム が計算 さ れ る のは、コ
ン フ ィ ギ ュ レ ーシ ョ ン を フ ラ ッ シ ュ メ モ リ に格納す る と き のみです。
show config コ マ ン ド ま たは show checksum コ マ ン ド の出力でチ ェ ッ ク サ ム の前に ド ッ ト 「.」が
表示 さ れた場合、こ の出力は、通常の コ ン フ ィ ギ ュ レ ーシ ョ ン読み込み ま たは書 き 込みモー ド の
イ ン ジ ケー タ を示 し てい ま す（ASA の フ ラ ッ シ ュ パーテ ィ シ ョ ン か ら の読み込み、ま たは フ
ラ ッ シ ュ パーテ ィ シ ョ ンへの書 き 込み時）。「.」は、ASA が操作に占有 さ れてい る も のの「ハ ン グ
ア ッ プ」 し ていない こ と を示 し ま す。こ の メ ッ セージは、「system processing, please wait」 と い う
メ ッ セージに類似 し てい ま す。
例
次に、コ ン フ ィ ギ ュ レ ーシ ョ ン ま たはチ ェ ッ ク サ ム を表示す る 例を示 し ま す。
ciscoasa(config)# show checksum
Cryptochecksum: 1a2833c0 129ac70b 1a88df85 650dbb81
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-110
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show chunkstat
show chunkstat
チ ャ ン ク に関す る 統計情報を表示す る には、特権 EXEC モー ド で show chunkstat コ マ ン ド を使
用 し ま す。
show chunkstat
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
例
リ リ ース
7.0(1)
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、チ ャ ン ク に関す る 統計情報を表示す る 例を示 し ま す。
ciscoasa# show chunkstat
Global chunk statistics: created 181, destroyed 34, siblings created 94, siblings
destroyed 34
Per-chunk statistics: siblings created 0, siblings trimmed 0
Dump of chunk at 01edb4cc, name "Managed Chunk Queue Elements", data start @ 01edbd24, end
@ 01eddc54
next: 01eddc8c, next_sibling: 00000000, prev_sibling: 00000000
flags 00000001
maximum chunk elt's: 499, elt size: 16, index first free 498
# chunks in use: 1, HWM of total used: 1, alignment: 0
Per-chunk statistics: siblings created 0, siblings trimmed 0
Dump of chunk at 01eddc8c, name "Registry Function List", data start @ 01eddea4, end @
01ede348
next: 01ede37c, next_sibling: 00000000, prev_sibling: 00000000
flags 00000001
maximum chunk elt's: 99, elt size: 12, index first free 42
# chunks in use: 57, HWM of total used: 57, alignment: 0
関連 コ マ ン ド
コ マン ド
show counters
説明
show cpu
CPU の使用状況に関す る 情報を表示 し ま す。
プ ロ ト コ ル ス タ ッ ク カ ウ ン タ を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-111
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show class
show class
ク ラ ス に割 り 当て ら れた コ ン テ キ ス ト を表示す る には、特権 EXEC モー ド で show class コ マ ン
ド を使用 し ま す。
show class name
構文の説明
name
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
20 文字 ま での文字列で名前を指定 し ま す。デ フ ォ ル ト ク ラ ス を表示す
る には、名前 と し て default と 入力 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
例
リ リ ース
7.2(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
—
マルチ
コ ン テキス ト シ ス テム
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show class default コ マ ン ド の出力例を示 し ま す。
ciscoasa# show class default
Class Name
default
関連 コ マ ン ド
Members
All
ID
1
コ マン ド
class
説明
clear configure class
ク ラ ス コ ン フ ィ ギ ュ レ ーシ ョ ン を ク リ ア し ま す。
context
セ キ ュ リ テ ィ コ ン テ キ ス ト を設定 し ま す。
limit-resource
ク ラ ス の リ ソ ー ス 制限を設定 し ま す。
member
コ ン テ キ ス ト を リ ソ ー ス ク ラ ス に割 り 当て ま す。
リ ソ ー ス ク ラ ス を設定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-112
Flags
0001
•
Yes
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show clock
show clock
ASA に時刻を表示す る には、ユーザ EXEC モー ド で show clock コ マ ン ド を使用 し ま す。
show clock [detail]
構文の説明
detail
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
（オプシ ョ ン） ク ロ ッ ク ソ ー ス （NTP ま たはユーザ コ ン フ ィ ギ ュ レ ー
シ ョ ン） と 現在の夏時間設定（存在す る 場合）を表示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
ユーザ EXEC
コ マ ン ド 履歴
例
リ リ ース
7.0(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show clock コ マ ン ド の出力例を示 し ま す。
ciscoasa# show clock
12:35:45.205 EDT Tue Jul 27 2004
次に、show clock detail コ マ ン ド の出力例を示 し ま す。
ciscoasa# show clock detail
12:35:45.205 EDT Tue Jul 27 2004
Time source is user configuration
Summer time starts 02:00:00 EST Sun Apr 4 2004
Summer time ends 02:00:00 EDT Sun Oct 31 2004
関連 コ マ ン ド
コ マン ド
clock set
説明
clock summer-time
夏時間を表示す る 日付の範囲を設定 し ま す。
clock timezone
タ イ ム ゾーン を設定 し ま す。
ntp server
NTP サーバ を指定 し ま す。
show ntp status
NTP ア ソ シ エーシ ョ ン の ス テー タ ス を表示 し ま す。
ASA の ク ロ ッ ク を手動で設定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-113
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show cluster
show cluster
ク ラ ス タ 全体の集約デー タ ま たはその他の情報を表示す る には、特権 EXEC モー ド で show
cluster コ マ ン ド を使用 し ま す。
show cluster {access-list [acl_name] | conn [count] | cpu [usage] | history | interface-mode |
memory | resource usage | traffic | xlate count}
構文の説明
access-list [acl_name]
ア ク セ ス ポ リ シーの ヒ ッ ト カ ウ ン タ を示 し ま す。特定の ACL の カ ウ
ン タ を表示す る には、acl_name と 入力 し ま す。
conn [count]
使用中の接続の、すべてのユ ニ ッ ト での合計数を表示 し ま す。count
キー ワ ー ド を入力す る と 、接続数だけが表示 さ れ ま す。
cpu [usage]
CPU の使用率情報を表示 し ま す。
history
ク ラ ス タ ス イ ッ チ ン グ履歴を表示 し ま す。
interface-mode
ク ラ ス タ イ ン タ ー フ ェ イ ス モー ド を表示 し ま す（spanned ま たは
individual）。
memory
シ ス テ ム メ モ リ の使用率な ど の情報を表示 し ま す。
resource usage
シ ス テ ム リ ソ ー ス と 使用状況を表示 し ま す。
traffic
ト ラ フ ィ ッ ク 統計情報を表示 し ま す。
xlate count
現在の変換情報を表示 し ま す。
コ マン ド デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
例
リ リ ース
9.0(1)
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
show cluster info コ マ ン ド お よ び show cluster user-identity コ マ ン ド も 参照 し て く だ さ い。
次に、show cluster access-list コ マ ン ド の出力例を示 し ま す。
ciscoasa# show cluster access-list
hitcnt display order: cluster-wide aggregated result, unit-A, unit-B, unit-C, unit-D
access-list cached ACL log flows: total 0, denied 0 (deny-flow-max 4096) alert-interval 300
access-list 101; 122 elements; name hash: 0xe7d586b5
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-114
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show cluster
access-list 101 line 1 extended permit tcp 192.168.143.0 255.255.255.0 any eq www
(hitcnt=0, 0, 0, 0, 0) 0x207a2b7d
access-list 101 line 2 extended permit tcp any 192.168.143.0 255.255.255.0 (hitcnt=0, 0,
0, 0, 0) 0xfe4f4947
access-list 101 line 3 extended permit tcp host 192.168.1.183 host 192.168.43.238
(hitcnt=1, 0, 0, 0, 1) 0x7b521307
access-list 101 line 4 extended permit tcp host 192.168.1.116 host 192.168.43.238
(hitcnt=0, 0, 0, 0, 0) 0x5795c069
access-list 101 line 5 extended permit tcp host 192.168.1.177 host 192.168.43.238
(hitcnt=1, 0, 0, 1, 0) 0x51bde7ee
access list 101 line 6 extended permit tcp host 192.168.1.177 host 192.168.43.13
(hitcnt=0, 0, 0, 0, 0) 0x1e68697c
access-list 101 line 7 extended permit tcp host 192.168.1.177 host 192.168.43.132
(hitcnt=2, 0, 0, 1, 1) 0xc1ce5c49
access-list 101 line 8 extended permit tcp host 192.168.1.177 host 192.168.43.192
(hitcnt=3, 0, 1, 1, 1) 0xb6f59512
access-list 101 line 9 extended permit tcp host 192.168.1.177 host 192.168.43.44
(hitcnt=0, 0, 0, 0, 0) 0xdc104200
access-list 101 line 10 extended permit tcp host 192.168.1.112 host 192.168.43.44
(hitcnt=429, 109, 107, 109, 104)
0xce4f281d
access-list 101 line 11 extended permit tcp host 192.168.1.170 host 192.168.43.238
(hitcnt=3, 1, 0, 0, 2) 0x4143a818
access-list 101 line 12 extended permit tcp host 192.168.1.170 host 192.168.43.169
(hitcnt=2, 0, 1, 0, 1) 0xb18dfea4
access-list 101 line 13 extended permit tcp host 192.168.1.170 host 192.168.43.229
(hitcnt=1, 1, 0, 0, 0) 0x21557d71
access-list 101 line 14 extended permit tcp host 192.168.1.170 host 192.168.43.106
(hitcnt=0, 0, 0, 0, 0) 0x7316e016
access-list 101 line 15 extended permit tcp host 192.168.1.170 host 192.168.43.196
(hitcnt=0, 0, 0, 0, 0) 0x013fd5b8
access-list 101 line 16 extended permit tcp host 192.168.1.170 host 192.168.43.75
(hitcnt=0, 0, 0, 0, 0) 0x2c7dba0d
使用中の接続の、すべてのユニ ッ ト での合計数を表示す る には、次の と お り に入力 し ま す。
ciscoasa# show cluster conn count
Usage Summary In Cluster:*********************************************
200 in use (cluster-wide aggregated)
cl2(LOCAL):***********************************************************
100 in use, 100 most used
cl1:******************************************************************
100 in use, 100 most used
関連 コ マ ン ド
コ マン ド
show cluster info
説明
show cluster
user-identity
ク ラ ス タ ユーザ ID 情報 と 統計情報を表示 し ま す。
ク ラ ス タ 情報を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-115
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show cluster info
show cluster info
ク ラ ス タ 情報を表示す る には、特権 EXEC モー ド で show cluster info コ マ ン ド を使用 し ま す。
show cluster info [clients | conn-distribution | goid [options] | health | incompatible-config |
loadbalance | old-members | packet-distribution | trace [options] | transport {asp | cp}]
構文の説明
clients
（オプシ ョ ン）登録 ク ラ イ ア ン ト のバージ ョ ン を表示 し ま す。
conn-distribution
（オプシ ョ ン） ク ラ ス タ 内の接続分布を表示 し ま す。
goid [options]
（オプシ ョ ン）グ ロ ーバル オブジ ェ ク ト ID デー タ ベー ス を示 し ま す。次
のオプシ ョ ン が あ り ま す。
•
classmap
•
conn-set
•
hwidb
•
idfw-domain
•
idfw-group
•
interface
•
policymap
•
virtual-context
health
（オプシ ョ ン）ヘル ス モニ タ リ ン グ情報を表示 し ま す。
incompatible-config
（オプシ ョ ン）現在の実行 コ ン フ ィ ギ ュ レ ーシ ョ ン の ク ラ ス タ リ ン グ と
互換性のない コ マ ン ド を表示 し ま す。こ の コ マ ン ド は、ク ラ ス タ リ ン グ
を イ ネーブルにす る 前に役立ち ま す。
loadbalance
（オプシ ョ ン） ロ ー ド バ ラ ン シ ン グ情報を表示 し ま す。
old-members
（オプシ ョ ン） ク ラ ス タ の以前の メ ン バーを表示 し ま す。
packet-distribution
（オプシ ョ ン） ク ラ ス タ のパケ ッ ト 分布を表示 し ま す。
trace [options]
（オプシ ョ ン） ク ラ ス タ リ ン グ制御モ ジ ュ ール イ ベン ト ト レ ー ス を表
示 し ま す。次のオプシ ョ ン が あ り ま す。
transport {asp | cp}
•
latest [number]：最新の number の イ ベン ト を表示 し ま す。number は
1 ～ 2147483647 の範囲です。デフ ォ ル ト ではすべてが表示 さ れます。
•
level level： レ ベルで イ ベン ト を フ ィ ル タ リ ン グ し ま す。level は all、
critical、debug、informational、warning のいずれかです。
•
module module：モ ジ ュ ールで イ ベン ト を フ ィ ル タ リ ン グ し ま す。
module は ccp、datapath、fsm、general、hc、license、rpc、transport の
いずれかです。
•
time {[month day] [hh:mm:ss]}：指定 し た時刻 ま たは日付 よ り 前の イ
ベン ト を表示 し ま す。
（オプシ ョ ン）次の ト ラ ン ス ポー ト 関連の統計情報を表示 し ま す。
•
asp：デー タ プ レ ーン の ト ラ ン ス ポー ト 統計情報。
•
cp： コ ン ト ロ ール プ レ ーン ト ラ ン ス ポー ト 統計情報。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-116
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show cluster info
コ マン ド デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
•
Yes
リ リ ース
9.0(1)
変更内容
9.3(1)
show cluster info health コ マ ン ド のモ ジ ュ ールに対す る サポー ト の強
化が追加 さ れ ま し た。
こ の コ マ ン ド が追加 さ れ ま し た。
オプ シ ョ ン を指定 し ない場合、show cluster info コ マ ン ド は ク ラ ス タ の名前 と ス テー タ ス 、ク ラ
ス タ メ ン バー、メ ン バーの ス テー タ ス な ど 、一般的な ク ラ ス タ 情報を表示 し ま す。
統計情報を ク リ アす る には、clear cluster info コ マ ン ド を使用 し ま す。
show cluster コ マ ン ド お よ び show cluster user-identity コ マ ン ド も 参照 し て く だ さ い。
例
次に、show cluster info コ マ ン ド の出力例を示 し ま す。
ciscoasa# show cluster info
Cluster stbu: On
This is "C" in state SLAVE
ID
: 0
Version
: 100.8(0.52)
Serial No.: P3000000025
CCL IP
: 10.0.0.3
CCL MAC
: 000b.fcf8.c192
Last join : 17:08:59 UTC Sep 26 2011
Last leave: N/A
Other members in the cluster:
Unit "D" in state SLAVE
ID
: 1
Version
: 100.8(0.52)
Serial No.: P3000000001
CCL IP
: 10.0.0.4
CCL MAC
: 000b.fcf8.c162
Last join : 19:13:11 UTC Sep 23 2011
Last leave: N/A
Unit "A" in state MASTER
ID
: 2
Version
: 100.8(0.52)
Serial No.: JAB0815R0JY
CCL IP
: 10.0.0.1
CCL MAC
: 000f.f775.541e
Last join : 19:13:20 UTC Sep 23 2011
Last leave: N/A
Unit "B" in state SLAVE
ID
: 3
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-117
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show cluster info
Version
:
Serial No.:
CCL IP
:
CCL MAC
:
Last join :
Last leave:
100.8(0.52)
P3000000191
10.0.0.2
000b.fcf8.c61e
19:13:50 UTC Sep 23 2011
19:13:36 UTC Sep 23 2011
次に、show cluster info incompatible-config コ マ ン ド の出力例を示 し ま す。
ciscoasa(cfg-cluster)# show cluster info incompatible-config
INFO: Clustering is not compatible with following commands which given a user's
confirmation upon enabling clustering, can be removed automatically from running-config.
policy-map global_policy
class scansafe-http
inspect scansafe http-map fail-close
policy-map global_policy
class scansafe-https
inspect scansafe https-map fail-close
INFO: No manually-correctable incompatible configuration is found.
次に、show cluster info trace コ マ ン ド の出力例を示 し ま す。
ciscoasa# show cluster info trace
Feb 02 14:19:47.456 [DBUG]Receive CCP message: CCP_MSG_LOAD_BALANCE
Feb 02 14:19:47.456 [DBUG]Receive CCP message: CCP_MSG_LOAD_BALANCE
Feb 02 14:19:47.456 [DBUG]Send CCP message to all: CCP_MSG_KEEPALIVE from 80-1 at MASTER
次に、ASA 5500-X での show cluster info health コ マ ン ド の出力例を示 し ま す。
ciscoasa# show cluster info health
Member ID to name mapping:
0 - A
1 - B(myself)
GigabitEthernet0/0
Management0/0
0
up
up
1
up
up
ips (policy off)
sfr (policy off)
Unit overall
Cluster overall
up
None
healthy
healthy
None
up
healthy
上記の出力には、ASA IPS（ips） と ASA FirePOWER（sfr）の両方のモ ジ ュ ールが表示 さ れ ま す。モ
ジ ュ ールご と に ASA は「policy on」ま たは「policy off」を使用 し てサー ビ ス ポ リ シーが設定 さ れ
たか ど う か を示 し ま す。次に例を示 し ま す。
class-map sfr-class
match sfr-traffic
policy-map sfr-policy
class sfr-class
sfr inline fail-close
service-policy sfr interface inside
上記の設定に よ り 、ASA FirePOWER モ ジ ュ ール（「sfr」）は「policy on」 と 表示 さ れ ま す。あ る モ
ジ ュ ールが、あ る ク ラ ス タ メ ン バーでは「up」、他の メ ン バーでは「down」ま たは「None」にな っ て
い る 場合、そのモ ジ ュ ールが down と な っ てい る メ ン バーは ク ラ ス タ か ら 除外 さ れ ま す。ただ し 、
サービ ス ポ リ シーが設定 さ れていない場合、ク ラ ス タ メ ン バーは ク ラ ス タ か ら 除外 さ れ ま せ
ん。モ ジ ュ ール ス テー タ ス は、モ ジ ュ ールが実行中で あ る 場合にのみ関連 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-118
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show cluster info
次に、ASA 5585-X での show cluster info health コ マ ン ド の出力例を示 し ま す。
ciscoasa# show cluster info health
spyker-13# sh clu info heal
Member ID to name mapping:
0 - A(myself) 1 - B
GigabitEthernet0/0
SSM Card (policy off)
Unit overall
Cluster overall
0 1
upup
upup
healthyhealth
healthyhealth
サービ ス ポ リ シーにモ ジ ュ ール を設定 し た場合は、出力に「policy on」 と 表示 さ れ ま す。サービ ス
ポ リ シーを設定 し ない場合は、モ ジ ュ ールがシ ャ ーシに存在 し て も 、出力に「policy off」 と 表示 さ
れ ま す。
関連 コ マ ン ド
コ マン ド
show cluster
説明
show cluster
user-identity
ク ラ ス タ ユーザ ID 情報 と 統計情報を表示 し ま す。
ク ラ ス タ 全体の集約デー タ を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-119
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show cluster user-identity
show cluster user-identity
ク ラ ス タ 全体のユーザ ID 情報 と 統計情報を表示す る には、特権 EXEC モー ド で show cluster
user-identity コ マ ン ド を使用 し ま す。
show cluster user-identity {statistics [user name | user-group group_name] |
user [active [domain name] | user name | user-group group_name] [list [detail] | all [list
[detail] | inactive {domain name | user-group group_name] [list [detail]]}
構文の説明
active
ア ク テ ィ ブな IP/ユーザ マ ッ ピ ン グ が あ る ユーザ を表示 し ま す。
all
ユーザ デー タ ベー ス 内のすべて のユーザ を表示 し ま す。
domain name
ド メ イ ン のユーザ情報を表示 し ま す。
inactive
非ア ク テ ィ ブな IP/ユーザ マ ッ ピ ン グ が あ る ユーザ を表示 し ま す。
list [detail]
ユーザの リ ス ト を表示 し ま す。
statistics
ク ラ ス タ ユーザ ID 統計情報を表示 し ま す。
user
ユーザ デー タ ベー ス を表示 し ま す。
user name
特定のユーザの情報を表示 し ま す。
user-group
group_name
特定の グループの各ユーザの情報を表示 し ま す。
コ マン ド デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
リ リ ース
9.0(1)
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
show cluster info コ マ ン ド お よ び show cluster コ マ ン ド も 参照 し て く だ さ い。
関連 コ マ ン ド
コ マン ド
show cluster
説明
show cluster info
ク ラ ス タ 情報を表示 し ま す。
ク ラ ス タ 全体の集約デー タ を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-120
•
Yes
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show compression svc
show compression svc
ASA で SVC 接続の圧縮統計情報を表示す る には、特権 EXEC モー ド で show compression svc コ
マ ン ド を使用 し ま す。
show compression svc
デフ ォル ト
こ の コ マ ン ド にデ フ ォ ル ト の動作はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ルーテ ッ ド
コ マ ン ド モー ド
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
例
リ リ ース
7.1(1)
•
—
•
マルチ
コ ン テキス ト シ ス テム
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show compression svc コ マ ン ド の出力例を示 し ま す。
ciscoasa# show compression svc
Compression SVC Sessions
Compressed Frames
Compressed Data In (bytes)
Compressed Data Out (bytes)
Expanded Frames
Compression Errors
Compression Resets
Compression Output Buf Too Small
Compression Ratio
Decompressed Frames
Decompressed Data In
関連 コ マ ン ド
Yes
ト ラ ン スペ
アレン ト
シ ン グル
1
249756
0048042
4859704
1
0
0
0
2.06
876687
279300233
コ マン ド
compression
説明
svc compression
特定の グループ ま たはユーザに対 し て SVC 接続を介す る HTTP デー タ
の圧縮を イ ネーブルに し ま す。
すべて の SVC 接続お よ び WebVPN 接続の圧縮を イ ネーブルに し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-121
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show configuration
show configuration
ASA で フ ラ ッ シ ュ メ モ リ に保存 さ れてい る コ ン フ ィ ギ ュ レ ーシ ョ ン を表示す る には、特権
EXEC モー ド で show configuration コ マ ン ド を使用 し ま す。
show configuration
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
ルーテ ッ ド
• Yes
ト ラ ン スペ
アレン ト
シ ン グル
• Yes
• Yes
マルチ
コ ン テキス ト シ ス テム
• Yes
• Yes
コ マ ン ド 履歴
リ リ ース
7.0(1)
使用上のガイ ド ラ イ ン
show configuration コ マ ン ド は、ASA の フ ラ ッ シ ュ メ モ リ に保存 さ れてい る コ ン フ ィ ギ ュ レ ー
シ ョ ン を表示 し ま す。show running-config コ マ ン ド と は異な り 、show configuration コ マ ン ド の
実行ではそれほ ど 多 く の CPU リ ソ ー ス が使用 さ れ ま せん。
変更内容
こ の コ マ ン ド が変更 さ れ ま し た。
ASA の メ モ リ 内の ア ク テ ィ ブな コ ン フ ィ ギ ュ レ ーシ ョ ン（保存 さ れてい る コ ン フ ィ ギ ュ レ ー
シ ョ ン の変更な ど ）を表示す る には、show running-config コ マ ン ド を使用 し ま す。
例
次に、show configuration コ マ ン ド の出力例を示 し ま す。
ciscoasa# show configuration
: enable password 8Ry2YjIyt7RRXU24 encrypted
names
dns-guard
!
interface Ethernet0/0
nameif inside
security-level 100
ip address 192.168.2.5 255.255.255.0
!
interface Ethernet0/1
nameif outside
security-level 0
ip address 10.132.12.6 255.255.255.0
!
interface Ethernet0/2
nameif dmz
security-level 50
ip address 10.0.0.5 255.255.0.0
!
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-122
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show configuration
interface Ethernet0/3
shutdown
no nameif
no security-level
no ip address
!
interface Management0/0
nameif management
security-level 100
ip address 192.168.1.1 255.255.255.0
management-only
!
passwd 2KFQnbNIdI.2KYOU encrypted
boot system disk0:/newImage
ftp mode passive
access-list acl1 extended permit ip any any
access-list mgcpacl extended permit udp any any eq 2727
access-list mgcpacl extended permit udp any any eq 2427
access-list mgcpacl extended permit udp any any eq tftp
access-list mgcpacl extended permit udp any any eq 1719
access-list permitIp extended permit ip any any
pager lines 25
logging enable
logging console debugging
logging buffered debugging
logging asdm informational
mtu inside 1500
mtu outside 1500
mtu dmz 1500
mtu management 1500
icmp unreachable rate-limit 1 burst-size 1
icmp permit any inside
icmp permit any outside
icmp permit any dmz
asdm image disk0:/pdm
no asdm history enable
arp timeout 14400
global (outside) 1 10.132.12.50-10.132.12.52
global (outside) 1 interface
global (dmz) 1 interface
nat (inside) 1 0.0.0.0 0.0.0.0
access-group permitIp in interface inside
access-group permitIp in interface outside
access-group mgcpacl in interface dmz
!
router ospf 1
network 10.0.0.0 255.255.0.0 area 192.168.2.0
network 192.168.2.0 255.255.255.0 area 192.168.2.0
log-adj-changes
redistribute static subnets
default-information originate
!
route outside 0.0.0 0.0.0.0 10.132.12.1 1
route outside 10.129.0.0 255.255.0.0 10.132.12.1 1
route outside 88.0.0.0 255.0.0.0 10.132.12.1 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout uauth 0:05:00 absolute
dynamic-access-policy-record DfltAccessPolicy
aaa authentication ssh console LOCAL
http server enable
http 10.132.12.0 255.255.255.0 outside
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-123
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show configuration
http 192.168.2.0 255.255.255.0 inside
http 192.168.1.0 255.255.255.0 management
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
telnet 192.168.2.0 255.255.255.0 inside
telnet 10.132.12.0 255.255.255.0 outside
telnet timeout 5
ssh 192.168.2.0 255.255.255.0 inside
ssh timeout 5
console timeout 0
dhcpd address 192.168.1.2-192.168.1.254 management
dhcpd enable management
!
threat-detection basic-threat
threat-detection statistics access-list
!
class-map inspection_default
match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
parameters
message-length maximum 512
policy-map global_policy
class inspection_default
inspect dns preset_dns_map
inspect ftp
inspect h323 h225
inspect h323 ras
inspect rsh
inspect rtsp
inspect esmtp
inspect sqlnet
inspect skinny
inspect sunrpc
inspect xdmcp
inspect sip
inspect netbios
inspect tftp
inspect mgcp
policy-map type inspect mgcp mgcpapp
parameters
call-agent 150.0.0.210 101
gateway 50.0.0.201 101
gateway 100.0.0.201 101
command-queue 150
!
service-policy global_policy global
webvpn
memory-size percent 25
enable inside
internal-password enable
onscreen-keyboard logon
username snoopy password /JcYsjvxHfBHc4ZK encrypted
prompt hostname context
Cryptochecksum:62bf8f5de9466cdb64fe758079594635:
end
関連 コ マ ン ド
コ マン ド
configure
説明
端末か ら ASA を設定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-124
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show configuration session
show configuration session
現在の コ ン フ ィ ギ ュ レ ーシ ョ ン セ ッ シ ョ ンお よ びセ ッ シ ョ ン内での変更を表示す る には、特権
EXEC モー ド で show configuration session コ マ ン ド を使用 し ま す。
show configuration session [session_name]
構文の説明
session_name
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
既存の コ ン フ ィ ギ ュ レ ーシ ョ ン セ ッ シ ョ ン の名前。こ のパ ラ メ ー タ を
省略 し た場合、既存のすべてのセ ッ シ ョ ン が表示 さ れ ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
9.3(2)
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
こ の コ マ ン ド は、ACL お よ びそのオブジ ェ ク ト の編集用に独立 し た セ ッ シ ョ ン を作成す る
configure session コ マ ン ド と と も に使用 し ま す。こ の コ マ ン ド は、セ ッ シ ョ ン名 と 、そのセ ッ シ ョ
ン で行われたすべての コ ン フ ィ ギ ュ レ ーシ ョ ン変更を表示 し ま す。
コ ミ ッ ト 済み と し て示 さ れてい る セ ッ シ ョ ン について、変更が想定 ど お り に機能 し ていない と
判断 し た場合は、そのセ ッ シ ョ ン を開いて、その変更を取 り 消す こ と がで き ま す。
例
次に、すべての使用可能な セ ッ シ ョ ン の例を示 し ま す。
ciscoasa# show configuration session
config-session abc (un-committed)
access-list abc permit ip any any
access-list abc permit tcp any any
config-session abc2 (un-committed)
object network test
host 1.1.1.1
object network test2
host 2.2.2.2
ciscoasa#
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-125
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show configuration session
関連 コ マ ン ド
コ マン ド
clear configuration
session
説明
clear session
コ ン フ ィ ギ ュ レ ーシ ョ ン セ ッ シ ョ ン の内容を ク リ アす る か、ま たはそ
のア ク セ ス フ ラ グ を リ セ ッ ト し ま す。
configure session
セ ッ シ ョ ン を作成す る か、ま たは開 き ま す。
コ ン フ ィ ギ ュ レ ーシ ョ ン セ ッ シ ョ ン と その内容を削除 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-126
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show conn
show conn
指定 し た接続 タ イ プの接続状態を表示す る には、特権 EXEC モー ド で show conn コ マ ン ド を使
用 し ま す。こ の コ マ ン ド は IPv4 お よ び IPv6 の ア ド レ ス を サポー ト し ま す。
show conn [count | [all] [detail] [long] [state state_type] [protocol {tcp | udp}] [scansafe]
[address src_ip[-src_ip] [netmask mask]] [port src_port[-src_port]]
[address dest_ip[-dest_ip] [netmask mask]] [port dest_port[-dest_port]]
[user-identity | user [domain_nickname\]user_name | user-group
[domain_nickname\\]user_group_name] | security-group] [zone zone_name [zone zone_name]
[...]]
構文の説明
address
（オプシ ョ ン）指定 し た送信元 IP ア ド レ ス ま たは宛先 IP ア ド レ ス と の
接続を表示 し ま す。
all
（オプシ ョ ン）通過 ト ラ フ ィ ッ ク の接続に加え て、デバ イ ス への接続 と
デバ イ ス か ら の接続を表示 し ま す。
count
（オプシ ョ ン）ア ク テ ィ ブ な接続の数を表示 し ま す。
dest_ip
（オプシ ョ ン）宛先 IP ア ド レ ス （IPv4 ま たは IPv6）を指定 し ま す。範囲を
指定す る には、IP ア ド レ ス を ダ ッ シ ュ （-）で区切 り ま す。次に例を示 し
ま す。
10.1.1.1-10.1.1.5
dest_port
（オプシ ョ ン）宛先ポー ト 番号を指定 し ま す。範囲を指定す る には、ポー
ト 番号を ダ ッ シ ュ （-）で区切 り ま す。次に例を示 し ま す。
1000-2000
detail
（オプシ ョ ン）変換 タ イ プ と イ ン タ ー フ ェ イ ス の情報を含め、接続の詳
細を表示 し ま す。
long
（オプシ ョ ン）接続を ロ ン グ フ ォ ーマ ッ ト で表示 し ま す。
netmask mask
（オプシ ョ ン）指定 し た IP ア ド レ ス で使用す る サブネ ッ ト マ ス ク を指
定 し ま す。
port
（オプシ ョ ン）指定 し た送信元ポー ト ま たは宛先ポー ト と の接続 を表示
し ま す。
protocol {tcp | udp}
（オプシ ョ ン）接続プ ロ ト コ ル を指定 し ま す（tcp ま たは udp）。
scansafe
（オプシ ョ ン） ク ラ ウ ド Web セ キ ュ リ テ ィ サーバに転送 さ れ る 接続を
表示 し ま す。
security-group
（オプシ ョ ン）表示 さ れ る すべての接続が指定 し た セ キ ュ リ テ ィ グ
ループに属す る こ と を指定 し ま す。
src_ip
（オプシ ョ ン）送信元 IP ア ド レ ス （IPv4 ま たは IPv6）を指定 し ま す。範囲
を指定す る には、IP ア ド レ ス を ダ ッ シ ュ （-）で区切 り ま す。次に例を示
し ま す。
10.1.1.1-10.1.1.5
src_port
（オプシ ョ ン）送信元ポー ト 番号を指定 し ま す。範囲を指定す る には、
ポー ト 番号を ダ ッ シ ュ （-）で区切 り ま す。次に例を示 し ま す。
1000-2000
state state_type
（オプシ ョ ン）接続状態 タ イ プ を指定 し ま す。接続状態 タ イ プに使用で
き る キー ワ ー ド の リ ス ト につい ては、表 4-30 を参照 し て く だ さ い。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-127
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show conn
user
[domain_nickname\]
user_name
（オプシ ョ ン）表示 さ れ る すべての接続が指定 し たユーザに属す る こ と
を指定 し ま す。domain_nickname 引数が含 ま れてい ない場合、ASA はデ
フ ォ ル ト ド メ イ ン のユーザに関す る 情報を表示 し ま す。
user-group
[domain_nickname\\]
user_group_name
（オプシ ョ ン）表示 さ れ る すべての接続が指定 し たユーザ グループに
属す る こ と を指定 し ま す。domain_nickname 引数が含 ま れてい ない場
合、ASA はデ フ ォ ル ト ド メ イ ン のユーザ グループに関す る 情報を表
示 し ま す。
user-identity
（オプシ ョ ン）ASA が ア イ デン テ ィ テ ィ フ ァ イ ア ウ ォ ール機能に対す
る すべて の接続を表示す る こ と を指定 し ま す。接続を表示す る 場合、
ASA は一致す る ユーザ を識別す る と そのユーザ名 と IP ア ド レ ス を表
示 し ま す。同様に、ASA は一致す る ホ ス ト を識別す る と その ホ ス ト 名
と IP ア ド レ ス を表示 し ま す。
zone [zone_name]
（オプシ ョ ン）ゾーン の接続を表示 し ます。long キーワ ー ド と detail キー
ワー ド は、接続が構築 さ れたプ ラ イ マ リ イ ン タ ーフ ェ イ ス と 、ト ラ
フ ィ ッ ク の転送に使用 さ れ る 現在の イ ン タ ーフ ェ イ ス を表示 し ます。
デフ ォル ト
デ フ ォ ル ト では、すべての通過接続が表示 さ れ ま す。デバ イ ス への管理接続 も 表示す る には、all
キー ワ ー ド を使用す る 必要が あ り ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
ルーテ ッ ド
•
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
リ リ ース
7.0(8)/7.2(4)/8.0(4)
変更内容
7.2(5)/8.0(5)/8.1(2)/8.2(4)/
8.3(2)
tcp_embryonic 状態 タ イ プが追加 さ れ ま し た。こ の タ イ プは、i フ ラ
グ を伴 う すべての TCP 接続（不完全接続）を表示 し ま す。UDP の i フ
ラ グ接続は表示 さ れ ま せん。
8.2(1)
TCP ス テー ト バ イ パ ス に b フ ラ グ が追加 さ れ ま し た。
8.4(2)
ア イ デン テ ィ テ ィ フ ァ イ ア ウ ォ ールを サポー ト す る ために
user-identity、user、user-group の各キー ワ ー ド が追加 さ れ ま し た。
9.0(1)
ク ラ ス タ リ ン グ のサポー ト が追加 さ れ ま し た。scansafe キー ワ ー ド
お よ び security-group キー ワ ー ド が追加 さ れ ま し た。
9.3(2)
zone キー ワ ー ド が追加 さ れ ま し た。
構文が簡略化 さ れ、「 ロ ーカル」 と 「外部」の概念の代わ り に送信元 と
宛先の概念を使用す る よ う にな り ま し た。新 し い構文では、送信元
ア ド レ ス を最初の ア ド レ ス と し て入力 し 、宛先ア ド レ ス を 2 番目の
ア ド レ ス と し て入力 し ま す。以前の構文では、foreign や fport な ど
の キー ワ ー ド を使用 し て宛先ア ド レ ス お よ びポー ト を設定 し てい
ま し た。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-128
Yes
ト ラ ン スペ
アレン ト
シ ン グル
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show conn
使用上のガイ ド ラ イ ン
（注）
show conn コ マ ン ド は、ア ク テ ィ ブな TCP 接続お よ び UDP 接続の数を表示 し 、さ ま ざ ま な タ イ プ
の接続に関す る 情報を提供 し ま す。接続のテーブル全体を参照す る には、show conn all コ マ ン ド
を使用 し ま す。
ASA で第 2 の接続を許す ピ ン ホールが作成 さ れた場合、こ の ピ ン ホールは、show conn コ マ ン ド
では不完全な接続 と し て表示 さ れ ま す。こ の不完全な接続を ク リ アす る には、clear conn コ マ ン
ド を使用 し ま す。
表 4-30 に、show conn state コ マ ン ド を使用す る と き に指定で き る 接続 タ イ プ を示 し ま す。複数の
接続 タ イ プ を指定す る 場合、キー ワ ー ド の区切 り にはカ ン マ を使用 し ま す。ただ し 、ス ペー ス は
必要あ り ま せん。
表 4-30
接続状態の タ イ プ
キーワー ド
表示 さ れる接続 タ イ プ
up
ア ッ プ状態の接続
conn_inbound
着信接続
ctiqbe
CTIQBE 接続
data_in
着信デー タ 接続
data_out
発信デー タ 接続
finin
FIN 着信接続
finout
FIN 発信接続
h225
H.225 接続
h323
H.323 接続
http_get
HTTP get 接続
mgcp
MGCP 接続
nojava
Java ア プ レ ッ ト への ア ク セ ス を拒否す る 接続
rpc
RPC 接続
service_module
SSM に よ っ て ス キ ャ ン さ れ る 接続
sip
SIP 接続
skinny
SCCP 接続
smtp_data
SMTP メ ール デー タ 接続
sqlnet_fixup_data
SQL*Net デー タ イ ン ス ペ ク シ ョ ン エ ン ジ ン接続
tcp_embryonic
TCP 初期接続
vpn_orphan
孤立 し た VPN ト ン ネル フ ロ ー
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-129
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show conn
detail オプ シ ョ ン を使用す る と 、表 4-31 に示 し た接続 フ ラ グ を使用 し て、変換 タ イ プ と イ ン タ ー
フ ェ イ ス に関す る 情報が表示 さ れ ま す。
表 4-31
フ ラグ
接続フ ラ グ
説明
a
SYN に対す る 外部 ACK を待機
A
SYN に対す る 内部 ACK を待機
b
TCP ス テー ト バ イ パ ス
B
外部か ら の初期 SYN
C
コ ン ピ ュ ー タ テ レ フ ォ ニー イ ン タ ー フ ェ イ ス ク イ ッ ク バ ッ フ ァ エ ン コ ーデ ィ ン グ
（CTIQBE） メ デ ィ ア接続
d
dump
D
DNS
E
外部バ ッ ク 接続。こ れは、内部ホ ス ト か ら 開始 さ れ る 必要があ る セ カ ン ダ リ デー タ 接
続です。た と えば、内部 ク ラ イ ア ン ト が PASV コ マ ン ド を発行 し 、外部サーバが受け入
れた後、ASA は FTP を使用 し て こ の フ ラ グが設定 さ れた外部バ ッ ク 接続を事前割 り 当
て し ます。内部 ク ラ イ ア ン ト がサーバに接続 し よ う と す る と 、ASA は こ の接続試行を
拒否 し ま す。外部サーバだけが事前割 り 当て済みのセ カ ン ダ リ 接続を使用で き ます。
f
内部 FIN
F
外部 FIN
g
メ デ ィ ア ゲー ト ウ ェ イ コ ン ト ロ ール プ ロ ト コ ル（MGCP）接続
G
接続が グループの一部1
h
H.225
H
H.323
i
不完全な TCP 接続 ま たは UDP 接続
I
着信デー タ
k
Skinny Client Control Protocol（SCCP） メ デ ィ ア接続
K
GTP t3 応答
m
SIP メ デ ィ ア接続
M
SMTP デー タ
O
発信デー タ
p
複製（未使用）
P
内部バ ッ ク 接続。こ れは、内部ホ ス ト か ら 開始 さ れ る 必要が あ る セ カ ン ダ リ デー タ 接
続です。た と えば、内部 ク ラ イ ア ン ト が PORT コ マ ン ド を発行 し 、外部サーバが受け入
れた後、ASA は FTP を使用 し て こ の フ ラ グ が設定 さ れた内部バ ッ ク 接続 を事前割 り
当て し ま す。外部サーバが ク ラ イ ア ン ト に接続 し よ う と す る と 、ASA は こ の接続試行
を拒否 し ま す。内部 ク ラ イ ア ン ト だけが事前割 り 当て済みのセ カ ン ダ リ 接続を使用で
き ま す。
q
SQL*Net デー タ
r
確認応答 さ れた内部 FIN
R
TCP 接続に対す る 、確認応答 さ れた外部 FIN
R
UDP RPC2
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-130
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show conn
表 4-31
フ ラグ
接続フ ラ グ （続き）
説明
s
外部 SYN を待機
S
内部 SYN を待機
t
SIP 一時接続3
T
SIP 接続4
U
アップ
V
VPN の孤立
W
WAAS
X
CSC SSM な ど のサー ビ ス モ ジ ュ ールに よ っ て検査
y
ク ラ ス タ リ ン グ の場合、バ ッ ク ア ッ プ オーナー フ ロ ーを識別 し ま す。
Y
ク ラ ス タ リ ン グ の場合、デ ィ レ ク タ フ ロ ーを識別 し ま す。
z
ク ラ ス タ リ ン グ の場合、フ ォ ワ ーダ フ ロ ーを識別 し ま す。
Z
ク ラ ウ ド Web セ キ ュ リ テ ィ
1. G フ ラ グ は、接続が グループの一部で あ る こ と を示 し ま す。GRE お よ び FTP の Strict フ ィ ッ ク ス ア ッ プに よ っ て設定
さ れ、制御接続 と 関連す る すべてのセ カ ン ダ リ 接続を指定 し ま す。制御接続が切断 さ れ る と 、関連す る すべてのセ カ
ン ダ リ 接続 も 切断 さ れ ま す。
2. show conn コ マ ン ド 出力の各行は 1 つの接続（TCP ま たは UDP）を表すため、1 行に 1 つの R フ ラ グだけが存在 し ます。
3. UDP 接続の場合、値 t は接続が 1 分後に タ イ ム ア ウ ト す る こ と を示 し てい ま す。
4. UDP 接続の場合、値 T は、timeout sip コ マ ン ド を使用 し て指定 し た値に従っ て接続が タ イ ム ア ウ ト す る こ と を示 し
てい ま す。
（注）
DNS サーバ を使用す る 接続の場合、show conn コ マ ン ド の出力で、接続の送信元ポー ト が DNS
サーバの IP ア ド レ ス に置 き 換え ら れ る こ と が あ り ま す。
複数の DNS セ ッ シ ョ ン が同 じ 2 つの ホ ス ト 間で発生 し 、それ ら のセ ッ シ ョ ン の 5 つの タ プル（送
信元/宛先 IP ア ド レ ス 、送信元/宛先ポー ト 、お よ びプ ロ ト コ ル）が同 じ も ので あ る 場合、それ ら の
セ ッ シ ョ ン に対 し ては接続が 1 つだけ作成 さ れ ま す。DNS ID は app_id で追跡 さ れ、各 app_id の
ア イ ド ル タ イ マーは独立 し て実行 さ れ ま す。
app_id の有効期限はそれぞれ独立 し て満了す る ため、正当な DNS 応答が ASA を通過で き る の
は、限 ら れた期間内だけで あ り 、リ ソ ー ス の継続使用はで き ま せん。ただ し 、show conn コ マ ン ド
を入力す る と 、DNS 接続の ア イ ド ル タ イ マーが新 し い DNS セ ッ シ ョ ン に よ っ て リ セ ッ ト さ れて
い る よ う に見え ま す。こ れは共有 DNS 接続の性質に よ る も ので あ り 、仕様です。
（注）
timeout conn コ マ ン ド で定義 し た非ア ク テ ィ ブ期間（デ フ ォ ル ト は 1:00:00）中に TCP ト ラ
フ ィ ッ ク が ま っ た く 発生 し な か っ た場合は、接続が終了 し 、対応す る 接続 フ ラ グ エ ン ト リ も 表示
さ れな く な り ま す。
LAN-to-LAN ト ン ネル ま たはネ ッ ト ワ ー ク 拡張モー ド ト ン ネルが ド ロ ッ プ し 、回復 し ない場合
は、孤立 し た ト ン ネル フ ロ ーが数多 く 発生 し ま す。こ の よ う な フ ロ ーは ト ン ネルのダ ウ ン に よ っ
て切断 さ れ ま せんが、こ れ ら の フ ロ ーを介 し て通過を試み る すべてのデー タ が ド ロ ッ プ さ れ ま
す。show conn コ マ ン ド の出力では、こ の よ う な孤立 し た フ ロ ー を V フ ラ グ で示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-131
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show conn
次の TCP 接続方向性 フ ラ グ が同 じ セ キ ュ リ テ ィ イ ン タ ー フ ェ イ ス 間の接続に適用 さ れた場合
（same-security permit コ マ ン ド を参照）、フ ラ グ の方向は関係あ り ま せん。こ れは、同 じ セ キ ュ リ
テ ィ イ ン タ ー フ ェ イ ス の場合、「内部」や「外部」が存在 し ないためです。ASA は同 じ セ キ ュ リ
テ ィ 接続に こ れ ら の フ ラ グ を使用す る 必要が あ る ため、ASA は他の接続の特性に基づいて、あ る
フ ラ グ を別の フ ラ グ よ り も 優先 し て選択す る こ と が あ り ま す（た と えば、f と F）が、選択 さ れた
方向性は無視 し て く だ さ い。
•
B：外部か ら の初期 SYN
•
a：SYN に対す る 外部 ACK を待機
•
A：SYN に対す る 内部 ACK を待機
•
f：内部 FIN
•
F：外部 FIN
•
s：外部 SYN を待機
•
S：内部 SYN を待機
特定の接続に関す る 情報を表示す る には、security-group キー ワ ー ド を入力 し 、接続元 と 接続先
の両方でセ キ ュ リ テ ィ グループ テーブル値 ま たはセ キ ュ リ テ ィ グループ名 を指定 し ま す。ASA
は、指定のセ キ ュ リ テ ィ グループ テーブル値 ま たはセ キ ュ リ テ ィ グループ名に一致す る 接続を
表示 し ま す。
接続元お よ び接続先のセ キ ュ リ テ ィ グループ テーブル値 ま たは接続元お よ び接続先のセ キ ュ
リ テ ィ グループ名 を指定せずに security-group キー ワ ー ド を指定す る と 、ASA はすべての SXP
接続のデー タ を表示 し ま す。
ASA は、接続デー タ を security_group_name (SGT_value) の形式で表示す る か、ま たはセ キ ュ リ
テ ィ グループ名が不明な場合は単に SGT_value と し て表示 し ま す。
（注）
ス タ ブ接続が低速パ ス を通過 し ないため、セ キ ュ リ テ ィ グループ デー タ は ス タ ブ接続には使用
で き ま せん。ス タ ブ接続には、接続の所有者にパケ ッ ト を転送す る ために必要な情報だけが保持
さ れ ま す。
単一のセ キ ュ リ テ ィ グループの名前を指定 し て、ク ラ ス タ 内のすべての接続を表示で き ま す。た
と えば、次の例では、ク ラ ス タ のすべてのユニ ッ ト のセ キ ュ リ テ ィ グループ mktg に一致す る 接
続が表示 さ れ ま す。
ciscoasa# show cluster conn security-group name mktg
例
複数の接続 タ イ プ を指定す る 場合、キー ワ ー ド の区切 り にはカ ン マ を使用 し ま す。ただ し 、ス
ペー ス は必要あ り ま せん。次に、ア ッ プ状態の RPC 接続、H.323 接続、お よ び SIP 接続に関す る 情
報を表示す る 例を示 し ま す。
ciscoasa# show conn state up,rpc,h323,sip
次に、show conn count コ マ ン ド の出力例を示 し ま す。
ciscoasa# show conn count
54 in use, 123 most used
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-132
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show conn
次に、show conn コ マ ン ド の出力例を示 し ま す。次に、内部ホ ス ト 10.1.1.15 か ら 10.10.49.10 の外
部 Telnet サーバへの TCP セ ッ シ ョ ン接続の例を示 し ま す。B フ ラ グ が存在 し ないため、接続は内
部か ら 開始 さ れてい ま す。「U」、「I」お よ び「O」フ ラ グは、接続が ア ク テ ィ ブで あ り 、着信デー タ と
発信デー タ を受信 し た こ と を示 し ま す。
ciscoasa# show conn
54 in use, 123 most used
TCP out 10.10.49.10:23 in 10.1.1.15:1026 idle 0:00:22, bytes 1774, flags UIO
UDP out 10.10.49.10:31649 in 10.1.1.15:1028 idle 0:00:14, bytes 0, flags DTCP dmz 10.10.10.50:50026 inside 192.168.1.22:5060, idle 0:00:24, bytes 1940435, flags
UTIOB
TCP dmz 10.10.10.50:49764 inside 192.168.1.21:5060, idle 0:00:42, bytes 2328346, flags
UTIOB
TCP dmz 10.10.10.51:50196 inside 192.168.1.22:2000, idle 0:00:04, bytes 31464, flags UIB
TCP dmz 10.10.10.51:52738 inside 192.168.1.21:2000, idle 0:00:09, bytes 129156, flags UIOB
TCP dmz 10.10.10.50:49764 inside 192.168.1.21:0, idle 0:00:42, bytes 0, flags Ti
TCP outside 192.168.1.10(20.20.20.24):49736 inside 192.168.1.21:0, idle 0:01:32, bytes 0,
flags Ti
TCP dmz 10.10.10.50:50026 inside 192.168.1.22:0, idle 0:00:24, bytes 0, flags Ti
TCP outside 192.168.1.10(20.20.20.24):50663 inside 192.168.1.22:0, idle 0:01:34, bytes 0,
flags Ti
TCP dmz 10.10.10.50:50026 inside 192.168.1.22:0, idle 0:02:24, bytes 0, flags Ti
TCP outside 192.168.1.10(20.20.20.24):50663 inside 192.168.1.22:0, idle 0:03:34, bytes 0,
flags Ti
TCP dmz 10.10.10.50:50026 inside 192.168.1.22:0, idle 0:04:24, bytes 0, flags Ti
TCP outside 192.168.1.10(20.20.20.24):50663 inside 192.168.1.22:0, idle 0:05:34, bytes 0,
flags Ti
TCP dmz 10.10.10.50:50026 inside 192.168.1.22:0, idle 0:06:24, bytes 0, flags Ti
TCP outside 192.168.1.10(20.20.20.24):50663 inside 192.168.1.22:0, idle 0:07:34, bytes 0,
flags Ti
次に、show conn コ マ ン ド の出力例を示 し ま す。接続が SSM に よ っ て ス キ ャ ン さ れてい る こ と を
示す「X」フ ラ グ が含 ま れてい ま す。
ciscoasa# show conn address 10.0.0.122 state service_module
TCP out 10.1.0.121:22 in 10.0.0.122:34446 idle 0:00:03, bytes 2733, flags UIOX
次に、show conn detail コ マ ン ド の出力例を示 し ま す。次に、外部ホ ス ト 10.10.49.10 か ら 内部ホ ス
ト 10.1.1.15 への UDP 接続の例を示 し ま す。D フ ラ グは、DNS 接続で あ る こ と を示 し てい ま す。
1028 は、接続上の DNS ID です。
ciscoasa# show conn detail
54 in use, 123 most used
Flags: A - awaiting inside ACK to SYN, a - awaiting outside ACK to SYN,
B - initial SYN from outside, b - TCP state-bypass or nailed, C - CTIQBE media,
D - DNS, d - dump, E - outside back connection, F - outside FIN, f - inside FIN,
G - group, g - MGCP, H - H.323, h - H.225.0, I - inbound data,
i - incomplete, J - GTP, j - GTP data, K - GTP t3-response
k - Skinny media, M - SMTP data, m - SIP media, n - GUP
O - outbound data, P - inside back connection, p - Phone-proxy TFTP connection,
q - SQL*Net data, R - outside acknowledged FIN,
R - UDP SUNRPC, r - inside acknowledged FIN, S - awaiting inside SYN,
s - awaiting outside SYN, T - SIP, t - SIP transient, U - up,
V - VPN orphan, W - WAAS,
X - inspected by service module
TCP outside:10.10.49.10/23 inside:10.1.1.15/1026,
flags UIO, idle 39s, uptime 1D19h, timeout 1h0m, bytes 1940435
UDP outside:10.10.49.10/31649 inside:10.1.1.15/1028,
flags dD, idle 39s, uptime 1D19h, timeout 1h0m, bytes 1940435
TCP dmz:10.10.10.50/50026 inside:192.168.1.22/5060,
flags UTIOB, idle 39s, uptime 1D19h, timeout 1h0m, bytes 1940435
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-133
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show conn
TCP dmz:10.10.10.50/49764 inside:192.168.1.21/5060,
flags UTIOB, idle 56s, uptime 1D19h, timeout 1h0m, bytes 2328346
TCP dmz:10.10.10.51/50196 inside:192.168.1.22/2000,
flags UIB, idle 18s, uptime 1D19h, timeout 1h0m, bytes 31464
TCP dmz:10.10.10.51/52738 inside:192.168.1.21/2000,
flags UIOB, idle 23s, uptime 1D19h, timeout 1h0m, bytes 129156
TCP outside:10.132.64.166/52510 inside:192.168.1.35/2000,
flags UIOB, idle 3s, uptime 1D21h, timeout 1h0m, bytes 357405
TCP outside:10.132.64.81/5321 inside:192.168.1.22/5060,
flags UTIOB, idle 1m48s, uptime 1D21h, timeout 1h0m, bytes 2083129
TCP outside:10.132.64.81/5320 inside:192.168.1.21/5060,
flags UTIOB, idle 1m46s, uptime 1D21h, timeout 1h0m, bytes 2500529
TCP outside:10.132.64.81/5319 inside:192.168.1.22/2000,
flags UIOB, idle 31s, uptime 1D21h, timeout 1h0m, bytes 32718
TCP outside:10.132.64.81/5315 inside:192.168.1.21/2000,
flags UIOB, idle 14s, uptime 1D21h, timeout 1h0m, bytes 358694
TCP outside:10.132.64.80/52596 inside:192.168.1.22/2000,
flags UIOB, idle 8s, uptime 1D21h, timeout 1h0m, bytes 32742
TCP outside:10.132.64.80/52834 inside:192.168.1.21/2000,
flags UIOB, idle 6s, uptime 1D21h, timeout 1h0m, bytes 358582
TCP outside:10.132.64.167/50250 inside:192.168.1.35/2000,
flags UIOB, idle 26s, uptime 1D21h, timeout 1h0m, bytes 375617
次に、show conn コ マ ン ド の出力例を示 し ま す。V フ ラ グ で示 さ れてい る と お り 、孤立 し た フ ロ ー
が存在 し ま す。
ciscoasa# show conn
16 in use, 19 most used
TCP out 192.168.110.251:7393 in 192.168.150.252:21 idle 0:00:00, bytes 1048, flags UOVB
TCP out 192.168.110.251:21137 in 192.168.150.252:21 idle 0:00:00, bytes 1048, flags UIOB
孤立 し た フ ロ ーが あ る こ の よ う な接続への レ ポー ト を制限す る には、次の例で示す よ う に、show
conn state コ マ ン ド に vpn_orphan オプシ ョ ン を追加 し ま す。
ciscoasa# show conn state vpn_orphan
14 in use, 19 most used
TCP out 192.168.110.251:7393 in 192.168.150.252:5013, idle 0:00:00, bytes 2841019, flags
UOVB
ク ラ ス タ リ ン グの場合、接続フ ロ ーを ト ラ ブルシ ュ ーテ ィ ン グす る には、最初にすべてのユニ ッ
ト の接続を一覧表示 し ま す。それには、マ ス タ ー ユニ ッ ト で cluster exec show conn コ マ ン ド を入
力 し ま す。デ ィ レ ク タ （Y）、バ ッ ク ア ッ プ（y）、お よ びフ ォ ワ ーダ（z）の フ ラ グ を持つフ ロ ーを探 し
ます。次の例には、3 つのすべての ASA での 172.18.124.187:22 か ら 192.168.103.131:44727 への
SSH 接続が表示 さ れてい ます。ASA1 には z フ ラ グがあ り 、こ の接続の フ ォ ワ ーダで あ る こ と を表
し てい ます。ASA3 には Y フ ラ グがあ り 、こ の接続のデ ィ レ ク タ で あ る こ と を表 し てい ま す。
ASA2 には特別な フ ラ グはな く 、こ れがオーナーで あ る こ と を表 し てい ます。ア ウ ト バ ウ ン ド 方向
では、こ の接続のパケ ッ ト は ASA2 の内部 イ ン タ ーフ ェ イ ス に入 り 、外部 イ ン タ ーフ ェ イ ス か ら
出てい き ま す。イ ンバ ウ ン ド 方向では、こ の接続のパケ ッ ト は ASA1 お よ び ASA3 の外部 イ ン
タ ーフ ェ イ ス に入 り 、ク ラ ス タ 制御 リ ン ク を介 し て ASA2 に転送 さ れ、次に ASA2 の内部 イ ン
タ ーフ ェ イ ス か ら 出てい き ます。
ciscoasa/ASA1/master# cluster exec show conn
ASA1(LOCAL):**********************************************************
18 in use, 22 most used
Cluster stub connections: 0 in use, 5 most used
TCP outside 172.18.124.187:22 inside 192.168.103.131:44727, idle 0:00:00, bytes
37240828, flags z
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-134
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show conn
ASA2:*****************************************************************
12 in use, 13 most used
Cluster stub connections: 0 in use, 46 most used
TCP outside 172.18.124.187:22 inside 192.168.103.131:44727, idle 0:00:00, bytes
37240828, flags UIO
ASA3:*****************************************************************
10 in use, 12 most used
Cluster stub connections: 2 in use, 29 most used
TCP outside 172.18.124.187:22 inside 192.168.103.131:44727, idle 0:00:03, bytes 0, flags
Y
ASA2 での show conn detail の出力は、最新の フ ォ ワ ーダが ASA1 であ っ た こ と を示 し てい ます。
ciscoasa/ASA2/slave# show conn detail
12 in use, 13 most used
Cluster stub connections: 0 in use, 46 most used
Flags: A - awaiting inside ACK to SYN, a - awaiting outside ACK to SYN,
B - initial SYN from outside, b - TCP state-bypass or nailed, C - CTIQBE media,
D - DNS, d - dump, E - outside back connection, F - outside FIN, f - inside FIN,
G - group, g - MGCP, H - H.323, h - H.225.0, I - inbound data,
i - incomplete, J - GTP, j - GTP data, K - GTP t3-response
k - Skinny media, M - SMTP data, m - SIP media, n - GUP
O - outbound data, P - inside back connection, p - Phone-proxy TFTP connection,
q - SQL*Net data, R - outside acknowledged FIN,
R - UDP SUNRPC, r - inside acknowledged FIN, S - awaiting inside SYN,
s - awaiting outside SYN, T - SIP, t - SIP transient, U - up,
V - VPN orphan, W - WAAS, Z - Scansafe redirection,
X - inspected by service module
Y - director stub flow
y - backup stub flow
z - forwarder stub flow
TCP outside: 172.18.124.187/22 inside: 192.168.103.131/44727,
flags UIO , idle 0s, uptime 25s, timeout 1h0m, bytes 1036044, cluster sent/rcvd bytes
0/1032983, cluster sent/rcvd total bytes 0/1080779, owners (1,255)
Traffic received at interface outside
Locally received: 0 (0 byte/s)
From most recent forwarder ASA1: 1032983 (41319 byte/s)
Traffic received at interface inside
Locally received: 3061 (122 byte/s)
次に、ア イ デン テ ィ テ ィ フ ァ イ ア ウ ォ ール機能の接続を表示す る 例を示 し ま す。
ciscoasa# show conn user-identity ?
exec mode commands/options:
all
Enter this keyword to show conns including to-the-box and from-the-box
detail
Enter this keyword to show conn in detail
long
Enter this keyword to show conn in long format
port
Enter this keyword to specify port
protocol Enter this keyword to specify conn protocol
state
Enter this keyword to specify conn state
|
Output modifiers
ciscoasa# show conn user-identity
1219 in use, 1904 most used
UDP inside (www.yahoo.com))10.0.0.2:1587 outside (user1)192.0.0.2:30000, idle 0:00:00,
bytes 10, flags UDP inside (www.yahoo.com)10.0.0.2:1586 outside (user2)192.0.0.1:30000, idle 0:00:00,
bytes 10, flags –
UDP inside 10.0.0.34:1586 outside 192.0.0.25:30000, idle 0:00:00, bytes 10, flags –
…
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-135
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show conn
ciscoasa# show conn user user1
2 in use
UDP inside (www.yahoo.com))10.0.0.2:1587 outside (user1)192.0.0.2:30000, idle 0:00:00,
bytes 10, flags –
show conn long zone コ マ ン ド の次の出力を参照 し て く だ さ い。
ciscoasa# show conn long zone zone-inside zone zone-outside
TCP outside-zone:outside1(outside2): 10.122.122.1:1080 inside-zone:inside1(inside2):
10.121.121.1:34254, idle 0:00:02, bytes 10, flags UO
関連 コ マ ン ド
コ マン ド
clear conn
説明
inspect ctiqbe
CTIQBE ア プ リ ケーシ ョ ン イ ン ス ペ ク シ ョ ン を イ ネーブルに し ま す。
inspect h323
H.323 ア プ リ ケーシ ョ ン イ ン ス ペ ク シ ョ ン を イ ネーブルに し ま す。
inspect mgcp
MGCP ア プ リ ケーシ ョ ン イ ン ス ペ ク シ ョ ン を イ ネーブルに し ま す。
inspect sip
Java ア プ レ ッ ト を HTTP ト ラ フ ィ ッ ク か ら 削除 し ま す。
inspect skinny
SCCP ア プ リ ケーシ ョ ン イ ン ス ペ ク シ ョ ン を イ ネーブルに し ま す。
接続を ク リ ア し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-136
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show console-output
show console-output
現在キ ャ プチ ャ さ れてい る コ ン ソ ール出力を表示す る には、特権 EXEC モー ド で show
console-output コ マ ン ド を使用 し ま す。
show console-output
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
例
リ リ ース
7.0(1)
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show console-output コ マ ン ド の出力例を示 し ま す。コ ン ソ ール出力がない場合、次の メ ッ
セージが表示 さ れ ま す。
ciscoasa# show console-output
Sorry, there are no messages to display
関連 コ マ ン ド
コ マン ド
説明
clear configure console デ フ ォ ル ト の コ ン ソ ール接続設定に戻 し ま す。
clear configure
コ ン フ ィ ギ ュ レ ーシ ョ ン のア イ ド ル時間継続時間をデ フ ォ ル ト に戻 し
timeout
ま す。
console timeout
ASA に対す る コ ン ソ ール接続の ア イ ド ル タ イ ム ア ウ ト を設定 し ま す。
show running-config
console timeout
ASA に対す る コ ン ソ ール接続の ア イ ド ル タ イ ム ア ウ ト を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-137
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show context
show context
割 り 当て ら れてい る イ ン タ ー フ ェ イ ス 、コ ン フ ィ ギ ュ レ ーシ ョ ン フ ァ イ ルの URL、お よ び設定
済み コ ン テ キ ス ト の数を含めて コ ン テ キ ス ト 情報を表示す る には（ ま たは、シ ス テ ム実行 ス ペー
ス か ら すべての コ ン テ キ ス ト の リ ス ト を表示す る には）、特権 EXEC モー ド で show context コ マ
ン ド を使用 し ま す。
show context [name | detail | count]
構文の説明
count
（オプシ ョ ン）設定済み コ ン テ キ ス ト の数を表示 し ま す。
detail
（オプシ ョ ン）実行状態お よ び内部使用のための情報を含め て、コ ン テ
キ ス ト に関す る 詳細な情報を表示 し ま す。
name
（オプシ ョ ン） コ ン テ キ ス ト 名を設定 し ま す。名前を指定 し ない場合、
ASA はすべての コ ン テ キ ス ト を表示 し ま す。コ ン テ キ ス ト 内で入力で
き る のは、現在の コ ン テ キ ス ト 名のみです。
デフ ォル ト
シ ス テ ム実行スペース では、名前を指定 し ない場合、ASA はすべての コ ン テ キ ス ト を表示 し ます。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
•
Yes
•
Yes
—
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
リ リ ース
7.0(1)
変更内容
8.0(2)
割 り 当て ら れた IPS 仮想セ ン サーについての情報が追加 さ れ ま し た。
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
出力の説明については、「例」を参照 し て く だ さ い。
例
次に、show context コ マ ン ド の出力例を示 し ま す。こ の例では、3 つの コ ン テ キ ス ト が表示 さ れて
い ま す。
ciscoasa# show context
Context Name
*admin
Interfaces
GigabitEthernet0/1.100
GigabitEthernet0/1.101
contexta
GigabitEthernet0/1.200
GigabitEthernet0/1.201
contextb
GigabitEthernet0/1.300
GigabitEthernet0/1.301
Total active Security Contexts: 3
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-138
URL
flash:/admin.cfg
flash:/contexta.cfg
flash:/contextb.cfg
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show context
表 4-32 に、各 フ ィ ール ド の説明を示 し ま す。
表 4-32
show context のフ ィ ール ド
フ ィ ール ド
説明
Context Name
すべて の コ ン テ キ ス ト 名が表示 さ れ ま す。ア ス タ リ ス ク （*）の付いてい る コ
ン テ キ ス ト 名は、管理 コ ン テ キ ス ト です。
Interfaces
こ の コ ン テ キ ス ト に割 り 当て ら れた イ ン タ ー フ ェ イ ス 。
URL
ASA が コ ン テ キ ス ト の コ ン フ ィ ギ ュ レ ーシ ョ ン を ロ ー ド す る URL。
次に、シ ス テ ム実行 ス ペー ス での show context detail コ マ ン ド の出力例を示 し ま す。
ciscoasa# show context detail
Context "admin", has been created, but initial ACL rules not complete
Config URL: flash:/admin.cfg
Real Interfaces: Management0/0
Mapped Interfaces: Management0/0
Real IPS Sensors: ips1, ips2
Mapped IPS Sensors: highsec, lowsec
Flags: 0x00000013, ID: 1
Context "ctx", has been created, but initial ACL rules not complete
Config URL: ctx.cfg
Real Interfaces: GigabitEthernet0/0.10, GigabitEthernet0/1.20,
GigabitEthernet0/2.30
Mapped Interfaces: int1, int2, int3
Real IPS Sensors: ips1, ips3
Mapped IPS Sensors: highsec, lowsec
Flags: 0x00000011, ID: 2
Context "system", is a system resource
Config URL: startup-config
Real Interfaces:
Mapped Interfaces: Control0/0, GigabitEthernet0/0,
GigabitEthernet0/0.10, GigabitEthernet0/1, GigabitEthernet0/1.10,
GigabitEthernet0/1.20, GigabitEthernet0/2, GigabitEthernet0/2.30,
GigabitEthernet0/3, Management0/0, Management0/0.1
Flags: 0x00000019, ID: 257
Context "null", is a system resource
Config URL: ... null ...
Real Interfaces:
Mapped Interfaces:
Flags: 0x00000009, ID: 258
表 4-33 に、各 フ ィ ール ド の説明を示 し ま す。
表 4-33
コ ン テキス ト の状態
フ ィ ール ド
説明
Context
コ ン テ キ ス ト の名前。ヌ ル コ ン テ キ ス ト の情報は内部でのみ使
用 さ れ ま す。system と い う コ ン テ キ ス ト は、シ ス テ ム実行 ス ペー
ス を表 し てい ま す。
State Message:
コ ン テ キ ス ト の状態。次に、表示 さ れ る 可能性の あ る メ ッ セージ
を示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-139
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show context
表 4-33
コ ン テキス ト の状態 （続き）
フ ィ ール ド
説明
Has been created, but
initial ACL rules not
complete
ASA は コ ン フ ィ ギ ュ レ ーシ ョ ン を解析 し ま し たが、デ フ ォ ル ト
セ キ ュ リ テ ィ ポ リ シーを確立す る ためのデ フ ォ ル ト ACL を ま
だダ ウ ン ロ ー ド し てい ま せん。デ フ ォ ル ト セ キ ュ リ テ ィ ポ リ
シーは、すべての コ ン テ キ ス ト に対 し て最初に適用 さ れ る も の
で、下位セ キ ュ リ テ ィ レ ベルか ら 上位セ キ ュ リ テ ィ レ ベルへの
ト ラ フ ィ ッ ク 送信を禁止 し た り 、ア プ リ ケーシ ョ ン イ ン ス ペ ク
シ ョ ンお よ びその他のパ ラ メ ー タ を イ ネーブルに し ま す。こ の
セ キ ュ リ テ ィ ポ リ シーに よ っ て、コ ン フ ィ ギ ュ レ ーシ ョ ン が解
析 さ れてか ら コ ン フ ィ ギ ュ レ ーシ ョ ン の ACL が コ ン パ イ ル さ
れ る ま での間に、ト ラ フ ィ ッ ク が ASA を い っ さ い通過 し ない こ
と が保証 さ れ ま す。コ ン フ ィ ギ ュ レ ーシ ョ ン の ACL は非常に高
速で コ ン パ イ ル さ れ る ため、こ の状態が表示 さ れ る こ と はほ と
ん ど あ り ま せん。
Has been created, but not
initialized
context name コ マ ン ド を入力 し ま し たが、ま だ config-url コ マ ン
ド を入力 し てい ま せん。
Has been created, but the
config hasn’t been parsed
デフ ォ ル ト の ACL がダ ウ ン ロ ー ド さ れ ま し たが、ま だ ASA が コ
ン フ ィ ギ ュ レーシ ョ ン を解析 し てい ま せん。こ の状態が表示 さ れ
る 場合は、ネ ッ ト ワ ー ク 接続に問題があ る ために、コ ン フ ィ ギ ュ
レーシ ョ ン のダ ウ ン ロ ー ド が失敗 し た可能性があ り ま す。ま た
は、config-url コ マ ン ド を ま だ入力 し てい ま せん。コ ン フ ィ ギ ュ
レーシ ョ ン を リ ロ ー ド す る には、コ ン テ キ ス ト 内か ら copy
startup-config running-config を入力 し ま す。シ ス テ ム か ら 、
config-url コ マ ン ド を再度入力 し ま す。ま たは、ブ ラ ン ク の実行 コ
ン フ ィ ギ ュ レーシ ョ ン の設定を開始 し ま す。
Is a system resource
こ の状態に該当す る のは、シ ス テ ム実行 ス ペー ス と ヌ ル コ ン テ
キ ス ト のみです。ヌ ル コ ン テ キ ス ト はシ ス テ ム に よ っ て使用 さ
れ、こ の情報は内部でのみ使用 さ れ ま す。
Is a zombie
no context コ マ ン ド ま たは clear context コ マ ン ド を使用 し て コ ン
テ キ ス ト を削除 し ま し たが、コ ン テ キ ス ト の情報は、ASA が コ ン
テ キ ス ト ID を新 し い コ ン テ キ ス ト に再利用す る か、セ キ ュ リ
テ ィ アプ ラ イ ア ン ス を再起動す る ま で メ モ リ に保持 さ れ ま す。
Is active
こ の コ ン テ キ ス ト は現在実行中で あ り 、コ ン テ キ ス ト コ ン フ ィ
ギ ュ レ ーシ ョ ン のセ キ ュ リ テ ィ ポ リ シーに従っ て ト ラ フ ィ ッ ク
を通過 さ せ る こ と がで き ま す。
Is ADMIN and active
こ の コ ン テ キ ス ト は管理 コ ン テ キ ス ト で あ り 、現在実行中です。
Was a former ADMIN, but clear configure context コ マ ン ド を使用 し て管理 コ ン テ キ ス ト を
is now a zombie
削除 し ま し たが、コ ン テ キ ス ト の情報は、ASA が コ ン テ キ ス ト
ID を新 し い コ ン テ キ ス ト に再利用す る か、セ キ ュ リ テ ィ ア プ ラ
イ ア ン ス を再起動す る ま で メ モ リ に保持 さ れ ま す。
Real Interfaces
こ の コ ン テ キ ス ト に割 り 当て ら れた イ ン タ ーフ ェ イ ス 。イ ン タ ー
フ ェ イ ス の ID を allocate-interface コ マ ン ド でマ ッ ピ ン グ し た場
合、表示 さ れ る のは イ ン タ ーフ ェ イ ス の実際の名前です。
Mapped Interfaces
イ ン タ ー フ ェ イ ス の ID を allocate-interface コ マ ン ド でマ ッ ピ
ン グ し た場合、表示 さ れ る のはマ ッ ピ ン グ さ れた名前です。イ ン
タ ー フ ェ イ ス を マ ッ ピ ン グ し なか っ た場合は、実際の名前が も
う 一度表示 さ れ ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-140
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show context
表 4-33
コ ン テキス ト の状態 （続き）
フ ィ ール ド
説明
Real IPS Sensors
AIP SSM を イ ン ス ト ール し てい る 場合に、コ ン テ キ ス ト に割 り
当て ら れ る IPS 仮想セ ン サー。セ ン サー名を allocate-ips コ マ ン
ド でマ ッ ピ ン グ し た場合、表示 さ れ る のはセ ン サーの実際の名
前です。
Mapped IPS Sensors
セ ン サー名を allocate-ips コ マ ン ド でマ ッ ピ ン グ し た場合、表示
さ れ る のはマ ッ ピ ン グ さ れた名前です。セ ン サー名を マ ッ ピ ン
グ し なか っ た場合は、実際の名前が も う 一度表示 さ れ ま す。
Flag
内部でのみ使用 さ れ ま す。
ID
こ の コ ン テ キ ス ト の内部 ID。
次に、show context count コ マ ン ド の出力例を示 し ま す。
ciscoasa# show context count
Total active contexts: 2
関連 コ マ ン ド
コ マン ド
admin-context
説明
allocate-interface
コ ン テ キ ス ト に イ ン タ ー フ ェ イ ス を割 り 当て ま す。
changeto
コ ン テ キ ス ト 間 ま たは コ ン テ キ ス ト と シ ス テ ム実行 ス ペー ス の間で切
り 替え を行い ま す。
config-url
コ ン テ キ ス ト コ ン フ ィ ギ ュ レ ーシ ョ ン の場所を指定 し ま す。
context
シ ス テ ム コ ン フ ィ ギ ュ レ ーシ ョ ン にセ キ ュ リ テ ィ コ ン テ キ ス ト を作
成 し 、コ ン テ キ ス ト コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド を開始 し ま す。
管理 コ ン テ キ ス ト を設定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-141
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show controller
show controller
存在す る すべての イ ン タ ー フ ェ イ ス について、コ ン ト ロ ー ラ 固有の情報を表示す る には、特権
EXEC モー ド で show controller コ マ ン ド を使用 し ま す。
show controller [slot] [physical_interface] [pci [bridge [bridge-id [port-num]]]] [detail]
構文の説明
bridge
（オプシ ョ ン）ASA 5585-X の PCI ブ リ ッ ジ固有の情報を表示 し ま す。
bridge-id
（オプシ ョ ン）ASA 5585-X の一意の各 PCI ブ リ ッ ジ ID を表示 し ま す。
detail
（オプシ ョ ン） コ ン ト ロ ー ラ の詳細を表示 し ま す。
pci
（オプシ ョ ン）ASA 5585-X の PCI コ ン フ ィ ギ ュ レ ーシ ョ ン領域の先頭
256 バ イ ト と と も に PCI デバ イ ス の要約を表示 し ま す。
physical_interface
（オプシ ョ ン） イ ン タ ー フ ェ イ ス ID を指定 し ま す。
port-num
（オプシ ョ ン）ASA 5585-X 適応型 ASA の各 PCI ブ リ ッ ジ内の一意の
ポー ト 番号を表示 し ま す。
slot
（オプシ ョ ン）ASA 5580 の PCI-e バ ス お よ び ス ロ ッ ト の情報のみを表
示 し ま す。
デフ ォル ト
イ ン タ ー フ ェ イ ス を指定 し ない場合、こ の コ マ ン ド はすべての イ ン タ ー フ ェ イ ス の情報を表示
し ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
•
•
Yes
•
Yes
コ ン テキス ト シ ス テム
•
Yes
•
Yes
リ リ ース
7.2(1)
変更内容
8.0(2)
こ の コ マ ン ド は ASA 5505 のみではな く 、すべて のプ ラ ッ ト フ ォ ーム に
適用 さ れ る よ う にな り ま し た。detail キー ワ ー ド が追加 さ れ ま し た。
8.1(1)
ASA 5580 用に slot キー ワ ー ド が追加 さ れ ま し た。
8.2(5)
IPS SSP が イ ン ス ト ール さ れた ASA 5585-X 用に pci、bridge、bridge-id、
port-num の各オプシ ョ ン が追加 さ れ ま し た。ま た、すべての ASA モデ
ル用に、ポーズ フ レ ーム を送信 し て 1 ギ ガ ビ ッ ト イ ーサネ ッ ト イ ン
タ ー フ ェ イ ス での フ ロ ー制御を可能にす る ためのサポー ト が追加 さ れ
ま し た。
8.6(1)
ASA と ソ フ ト ウ ェ ア モ ジ ュ ール間の制御 ト ラ フ ィ ッ ク に使用 さ れ る
ASA 5512-X か ら ASA 5555-X Internal-Control0/0 ま での イ ン タ ー フ ェ
イ ス 用 と 、ASA と ソ フ ト ウ ェ ア モ ジ ュ ールへのデー タ ト ラ フ ィ ッ ク に
使用 さ れ る Internal-Data0/1 イ ン タ ー フ ェ イ ス 用に、detail キー ワ ー ド
のサポー ト が追加 さ れ ま し た。
こ の コ マ ン ド が追加 さ れ ま し た。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-142
Yes
マルチ
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show controller
使用上のガイ ド ラ イ ン
例
こ の コ マ ン ド は、内部的不具合やカ ス タ マーに よ り 発見 さ れた不具合を調査す る と き に、Cisco
TAC が コ ン ト ロ ー ラ についての有用なデバ ッ グ情報を収集す る ために役立ち ま す。実際の出力
は、モデル と イ ーサネ ッ ト コ ン ト ロ ー ラ に よ っ て異な り ま す。こ の コ マ ン ド は、IPS SSP が イ ン ス
ト ール さ れてい る ASA 5585-X の対象 と な る すべての PCI ブ リ ッ ジに関す る 情報 も 表示 し ま す。
ASA サービ ス モジ ュ ール の場合、show controller コ マ ン ド の出力に PCIe ス ロ ッ ト 情報は表示 さ
れ ま せん。
次に、show controller コ マ ン ド の出力例を示 し ま す。
ciscoasa# show controller
Ethernet0/0:
Marvell 88E6095 revision 2, switch port 7
PHY Register:
Control:
0x3000 Status:
0x786d
Identifier1:
0x0141 Identifier2:
0x0c85
Auto Neg:
0x01e1 LP Ability:
0x40a1
Auto Neg Ex:
0x0005 PHY Spec Ctrl: 0x0130
PHY Status:
0x4c00 PHY Intr En:
0x0400
Int Port Sum: 0x0000 Rcv Err Cnt:
0x0000
Led select:
0x1a34
Reg 29:
0x0003 Reg 30:
0x0000
Port Registers:
Status:
0x0907 PCS Ctrl:
0x0003
Identifier:
0x0952 Port Ctrl:
0x0074
Port Ctrl-1:
0x0000 Vlan Map:
0x077f
VID and PRI:
0x0001 Port Ctrl-2:
0x0cc8
Rate Ctrl:
0x0000 Rate Ctrl-2:
0x3000
Port Asc Vt:
0x0080
In Discard Lo: 0x0000 In Discard Hi: 0x0000
In Filtered:
0x0000 Out Filtered: 0x0000
Global Registers:
Control:
0x0482
--------------------------------------------------------------------Number of VLANs: 1
--------------------------------------------------------------------Vlan[db]\Port| 0 | 1 | 2 | 3 | 4 | 5 | 6 | 7 | 8 | 9 | 10 |
--------------------------------------------------------------------<0001[01]> | EUT| EUT| EUT| EUT| EUT| EUT| EUT| EUT| EUM| NM | NM |
--------------------------------------------------------------------....
Ethernet0/6:
Marvell 88E6095 revision 2, switch port 1
PHY Register:
Control:
0x3000 Status:
Identifier1:
0x0141 Identifier2:
Auto Neg:
0x01e1 LP Ability:
Auto Neg Ex:
0x0004 PHY Spec Ctrl:
PHY Status:
0x0040 PHY Intr En:
Int Port Sum: 0x0000 Rcv Err Cnt:
Led select:
0x1a34
Reg 29:
0x0003 Reg 30:
Port Registers:
Status:
0x0007 PCS Ctrl:
Identifier:
0x0952 Port Ctrl:
Port Ctrl-1:
0x0000 Vlan Map:
VID and PRI:
0x0001 Port Ctrl-2:
0x7849
0x0c85
0x0000
0x8130
0x8400
0x0000
0x0000
0x0003
0x0077
0x07fd
0x0cc8
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-143
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show controller
Rate Ctrl:
0x0000 Rate Ctrl-2:
0x3000
Port Asc Vt:
0x0002
In Discard Lo: 0x0000 In Discard Hi: 0x0000
In Filtered:
0x0000 Out Filtered: 0x0000
----Inline power related counters and registers---Power on fault: 0 Power off fault: 0
Detect enable fault: 0 Detect disable fault: 0
Faults: 0
Driver counters:
I2C Read Fail: 0
I2C Write Fail: 0
Resets: 1 Initialized: 1
PHY reset error: 0
LTC4259 registers:
INTRPT STATUS = 0x88 INTRPT MASK
= 0x00 POWER EVENT
= 0x00
DETECT EVENT = 0x03 FAULT EVENT
= 0x00 TSTART EVENT = 0x00
SUPPLY EVENT = 0x02 PORT1 STATUS = 0x06 PORT2 STATUS = 0x06
PORT3 STATUS = 0x00 PORT4 STATUS = 0x00 POWER STATUS = 0x00
OPERATE MODE = 0x0f DISC.ENABLE = 0x30 DT/CLASS ENBL = 0x33
TIMING CONFIG = 0x00 MISC.CONFIG = 0x00
...
Internal-Data0/0:
Y88ACS06 Register settings:
rap
ctrl_status
irq_src
irq_msk
irq_hw_err_src
irq_hw_err_msk
bmu_cs_rxq
bmu_cs_stxq
bmu_cs_atxq
0xe0004000
0xe0004004
0xe0004008
0xe000400c
0xe0004010
0xe0004014
0xe0004060
0xe0004068
0xe000406c
=
=
=
=
=
=
=
=
=
0x00000000
0x5501064a
0x00000000
0x00000000
0x00000000
0x00001000
0x002aaa80
0x01155540
0x012aaa80
Bank 2: MAC address registers:
....
次に、show controller detail コ マ ン ド の出力例を示 し ま す。
ciscoasa# show controller gigabitethernet0/0 detail
GigabitEthernet0/0:
Intel i82546GB revision 03
Main Registers:
Device Control:
Device Status:
Extended Control:
RX Config:
TX Config:
RX Control:
TX Control:
TX Inter Packet Gap:
RX Filter Cntlr:
RX Chksum:
0xf8260000
0xf8260008
0xf8260018
0xf8260180
0xf8260178
0xf8260100
0xf8260400
0xf8260410
0xf8260150
0xf8265000
=
=
=
=
=
=
=
=
=
=
0x003c0249
0x00003347
0x000000c0
0x0c000000
0x000001a0
0x04408002
0x000400fa
0x00602008
0x00000000
0x00000300
RX Descriptor Registers:
RX Descriptor 0 Cntlr:
RX Descriptor 0 AddrLo:
RX Desccriptor 0 AddrHi:
RX Descriptor 0 Length:
RX Descriptor 0 Head:
RX Descriptor 0 Tail:
RX Descriptor 1 Cntlr:
0xf8262828
0xf8262800
0xf8262804
0xf8262808
0xf8262810
0xf8262818
0xf8262828
=
=
=
=
=
=
=
0x00010000
0x01985000
0x00000000
0x00001000
0x00000000
0x000000ff
0x00010000
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-144
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show controller
RX
RX
RX
RX
RX
Descriptor
Descriptor
Descriptor
Descriptor
Descriptor
1
1
1
1
1
AddrLo:
AddrHi:
Length:
Head:
Tail:
0xf8260138
0xf826013c
0xf8260140
0xf8260148
0xf8260150
=
=
=
=
=
0x00000000
0x00000000
0x00000000
0x00000000
0x00000000
TX Descriptor Registers:
TX Descriptor 0 Cntlr:
TX Descriptor 0 AddrLo:
TX Descriptor 0 AddrHi:
TX Descriptor 0 Length:
TX Descriptor 0 Head:
TX Descriptor 0 Tail:
0xf8263828
0xf8263800
0xf8263804
0xf8263808
0xf8263810
0xf8263818
=
=
=
=
=
=
0x00000000
0x01987000
0x00000000
0x00001000
0x00000000
0x00000000
RX Address Array:
Ethernet Address
Ethernet Address
Ethernet Address
Ethernet Address
Ethernet Address
Ethernet Address
Ethernet Address
Ethernet Address
Ethernet Address
Ethernet Address
Ethernet Address
Ethernet Address
Ethernet Address
Ethernet Address
Ethernet Address
Ethernet Address
0012.d948.ef58
Not Valid!
Not Valid!
Not Valid!
Not Valid!
Not Valid!
Not Valid!
Not Valid!
Not Valid!
Not Valid!
Not Valid!
Not Valid!
Not Valid!
Not Valid!
Not Valid!
Not Valid!
0:
1:
2:
3:
4:
5:
6:
7:
8:
9:
a:
b:
c:
d:
e:
f:
PHY Registers:
Phy Control:
Phy Status:
Phy ID 1:
Phy ID 2:
Phy Autoneg Advertise:
Phy Link Partner Ability:
Phy Autoneg Expansion:
Phy Next Page TX:
Phy Link Partnr Next Page:
Phy 1000T Control:
Phy 1000T Status:
Phy Extended Status:
0x1140
0x7969
0x0141
0x0c25
0x01e1
0x41e1
0x0007
0x2801
0x0000
0x0200
0x4000
0x3000
Detailed Output - RX Descriptor Ring:
rx_bd[000]: baddr
pkt chksum
rx_bd[001]: baddr
pkt chksum
=
=
=
=
0x019823A2,
0x0000,
0x01981A62,
0x0000,
length
errors
length
errors
=
=
=
=
0x0000,
0x00,
0x0000,
0x00,
status
special
status
special
=
=
=
=
0x00
0x0000
0x00
0x0000
........
次に、ASA 5512-X か ら ASA 5555-X ま での内部 イ ン タ ー フ ェ イ ス に対す る show controller detail
コ マ ン ド の出力例を示 し ま す。
ciscoasa# show controller detail
Internal-Control0/0:
ASA IPS/VM Back Plane TunTap Interface , port id 9
Major Configuration Parameters
Device Name
: en_vtun
Linux Tun/Tap Device : /dev/net/tun/tap1
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-145
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show controller
Num of Transmit Rings
Num of Receive Rings
Ring Size
Max Frame Length
Out of Buffer
Reset
Drop
Transmit Ring [0]:
tx_pkts_in_queue
tx_pkts
tx_bytes
Receive Ring [0]:
rx_pkts_in_queue
rx_pkts
rx_bytes
rx_drops
:
:
:
:
:
:
:
1
1
128
1550
0
0
0
: 0
: 176
: 9664
:
:
:
:
0
0
0
0
Internal-Data0/1:
ASA IPS/VM Management Channel TunTap Interface , port id 9
Major Configuration Parameters
Device Name
: en_vtun
Linux Tun/Tap Device : /dev/net/tun/tap2
Num of Transmit Rings : 1
Num of Receive Rings : 1
Ring Size
: 128
Max Frame Length
: 1550
Out of Buffer
: 0
Reset
: 0
Drop
: 0
Transmit Ring [0]:
tx_pkts_in_queue
: 0
tx_pkts
: 176
tx_bytes
: 9664
Receive Ring [0]:
rx_pkts_in_queue
: 0
rx_pkts
: 0
rx_bytes
: 0
rx_drops
: 0
次に、show controller slot コ マ ン ド の出力例を示 し ま す。
Slot
---3.
Card Description
---------------ASA 5580 2 port 10GE SR Fiber Interface Card
PCI-e Bandwidth Cap.
---------------------Bus: x4, Card: x8
4.
ASA 5580 4 port GE Copper Interface Card
Bus: x4, Card: x4
5.
ASA 5580 2 port 10GE SR Fiber Interface Card
Bus: x8, Card: x8
6.
ASA 5580 4 port GE Fiber Interface Card
Bus: x4, Card: x4
7.
empty
Bus: x8
8.
empty
Bus: x8
次に、show controller pci コ マ ン ド の出力例を示 し ま す。
ciscoasa# show controller pci
PCI Evaluation Log:
--------------------------------------------------------------------------Empty
PCI Bus:Device.Function (hex): 00:00.0 Vendor ID: 0x8086 Device ID: 0x3406
---------------------------------------------------------------------------
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-146
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show controller
PCI Configuration
0x00: 86 80 06 34
0x10: 00 00 00 00
0x20: 00 00 00 00
0x30: 00 00 00 00
0x40: 00 00 00 00
0x50: 00 00 00 00
0x60: 05 90 02 01
0x70: 00 00 00 00
0x80: 00 00 00 00
0x90: 10 e0 42 00
0xa0: 00 00 41 30
0xb0: 00 00 00 00
0xc0: 01 00 00 00
0xd0: 00 00 00 00
0xe0: 01 00 03 c8
0xf0: 00 00 00 00
Space
00 00
00 00
00 00
60 00
00 00
00 00
00 00
00 00
00 00
20 80
00 00
3e 00
00 00
00 00
08 00
00 00
(hex):
10 00 22
00 00 00
00 00 00
00 00 00
00 00 00
00 00 00
00 00 00
00 00 00
00 00 00
00 00 00
00 00 c0
00 00 09
00 00 00
00 00 00
00 00 00
00 00 00
00
00
00
00
00
00
00
00
00
00
07
00
00
00
00
00
00
00
00
00
00
00
00
00
00
00
00
00
00
00
00
00
06
00
00
00
00
00
00
00
00
00
01
00
00
00
00
00
10
00
86
05
00
00
00
00
00
41
00
00
00
00
00
00
00
00
80
01
00
00
00
00
00
3c
00
00
00
00
00
00
00
00
00
00
00
00
00
00
00
3b
00
00
00
00
00
00
00
00
00
00
00
00
00
00
00
00
00
00
00
00
00
00
Link Capabilities: x4, Gen1
Link Status: x4, Gen1
関連 コ マ ン ド
コ マン ド
show interface
説明
show tech-support
Cisco TAC に よ る 問題の診断を可能にす る よ う な情報を表示 し ま す。
イ ン タ ー フ ェ イ ス 統計情報を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-147
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show coredump filesystem
show coredump filesystem
コ ア ダ ン プ フ ァ イ ル シ ス テ ム の内容を表示す る には、show coredump filesystem コ マ ン ド を入
力 し ま す。
show coredump filesystem
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト では、コ ア ダ ン プは イ ネーブルではあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
リ リ ース
8.2(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
こ の コ マ ン ド は、コ ア ダ ン プ フ ァ イ ル シ ス テ ム の内容を表示 し ま す。
例
次に、show coredump filesystem コ マ ン ド を入力 し て、最近生成 さ れたすべて の コ ア ダ ン プの内
容を表示す る 例を示 し ま す。
ciscoasa(config)# show coredump filesystem
Coredump Filesystem Size is 100 MB
Filesystem type is FAT for disk0
Filesystem 1k-blocks Used Available Use% Mounted on
/dev/loop0 102182 75240 26942 74% /mnt/disk0/coredumpfsys
Directory of disk0:/coredumpfsys/
246 -rwx 20205386 19:14:53 Nov 26 2008 core_lina.2008Nov26_191244.203.11.gz
247 -rwx 36707919 19:17:27 Nov 26 2008 core_lina.2008Nov26_191456.203.6.gz
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-148
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show coredump filesystem
関連 コ マ ン ド
コ マン ド
coredump enable
説明
clear configure coredump
コ ア ダ ン プ フ ァ イ ル シ ス テ ム に現在保存 さ れてい る コ ア ダ ン プ
をすべて削除 し 、コ ア ダ ン プ ロ グ を ク リ ア し ま す。コ ア ダ ン プ
フ ァ イ ル シ ス テ ム自体での作業はないため、コ ア ダ ン プ コ ン フ ィ
ギ ュ レ ーシ ョ ン が変更 さ れた り 、影響を受け た り す る こ と はあ り
ま せん。
clear coredump
コ ア ダ ン プ フ ァ イ ル シ ス テ ム に現在保存 さ れてい る コ ア ダ ン プ
をすべて削除 し 、コ ア ダ ン プ ロ グ を ク リ ア し ま す。コ ア ダ ン プ
フ ァ イ ル シ ス テ ム自体での作業はないため、コ ア ダ ン プ コ ン フ ィ
ギ ュ レ ーシ ョ ン が変更 さ れた り 、影響を受け た り す る こ と はあ り
ま せん。
show coredump log
コ ア ダ ン プ ロ グ を表示 し ま す。
コ ア ダ ン プ機能を イ ネーブルに し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-149
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show coredump log
show coredump log
コ ア ダ ン プ ロ グ の内容を新 し い順に表示す る には、show coredump log コ マ ン ド を入力 し ま す。
コ ア ダ ン プ ロ グ の内容を古い順に表示す る には、show coredump log reverse コ マ ン ド を入力 し
ま す。
show coredump log
show coredump log [reverse]
構文の説明
reverse
デフ ォル ト
デ フ ォ ル ト では、コ ア ダ ン プは イ ネーブルではあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
最 も 古い コ ア ダ ン プ ロ グ を表示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
リ リ ース
8.2(1)
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
こ の コ マ ン ド は、コ ア ダ ン プ ロ グ の内容を表示 し ま す。ロ グは、現在デ ィ ス ク 上に あ る も の を反
映 し てい ま す。
例
次に、こ れ ら の コ マ ン ド の出力例を示 し ま す。
ciscoasa(config)# show coredump log
[ 1 ] Wed Feb 18 22:12:09 2009: Coredump completed for module 'lina', coredump file
'core_lina.2009Feb18_221032.203.6.gz', size 971722752 bytes, compressed size 21293688
[ 2 ] Wed Feb 18 22:11:01 2009: Filesystem full on 'disk0', removing module coredump
record 'core_lina.2009Feb18_213558.203.11.gz'
[ 3 ] Wed Feb 18 22:10:32 2009: Coredump started for module 'lina', generating coredump
file 'core_lina.2009Feb18_221032.203.6.gz' on 'disk0'
[ 4 ] Wed Feb 18 21:37:35 2009: Coredump completed for module 'lina', coredump file
'core_lina.2009Feb18_213558.203.11.gz', size 971722752 bytes, compressed size 21286383
[ 5 ] Wed Feb 18 21:35:58 2009: Coredump started for module 'lina', generating coredump
file 'core_lina.2009Feb18_213558.203.11.gz' on 'disk0'
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-150
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show coredump log
（注）
新 し い コ ア ダ ン プ用の領域を確保す る ため、古い コ ア ダ ン プ フ ァ イ ルは削除 さ れ ま す。こ れは、
コ ア ダ ン プ フ ァ イ ル シ ス テ ム がい っぱいにな り 、現在の コ ア ダ ン プ用の領域が必要にな っ た場
合に、ASA に よ っ て自動的に行われ ま す。こ のため、ク ラ ッ シ ュ が発生 し て コ ア ダ ン プが上書 き
さ れない よ う に、で き る だけ早 く コ ア ダ ン プ を アーカ イ ブす る こ と が不可欠 と な り ま す。
ciscoasa(config)# show coredump log reverse
[ 1 ] Wed Feb 18 21:35:58 2009: Coredump started for module 'lina', generating coredump
file 'core_lina.2009Feb18_213558.203.11.gz' on 'disk0''
[ 2 ] Wed Feb 18 21:37:35 2009: Coredump completed for module 'lina', coredump file
'core_lina.2009Feb18_213558.203.11.gz', size 971722752 bytes, compressed size 21286383
[ 3 ] Wed Feb 18 22:10:32 2009: Coredump started for module 'lina', generating coredump
file 'core_lina.2009Feb18_221032.203.6.gz' on 'disk0'
[ 4 ] Wed Feb 18 22:11:01 2009: Filesystem full on 'disk0', removing module coredump
record 'core_lina.2009Feb18_213558.203.11.gz'
[ 5 ] Wed Feb 18 22:12:09 2009: Coredump completed for module 'lina', coredump file
'core_lina.2009Feb18_221032.203.6.gz', size 971722752 bytes, compressed size 21293688
関連 コ マ ン ド
コ マン ド
coredump enable
説明
clear configure coredump
コ ア ダ ン プ フ ァ イ ル シ ス テ ム に現在保存 さ れてい る コ ア ダ ン プ
をすべて削除 し 、コ ア ダ ン プ ロ グ を ク リ ア し ま す。コ ア ダ ン プ
フ ァ イ ル シ ス テ ム自体での作業はないため、コ ア ダ ン プ コ ン フ ィ
ギ ュ レ ーシ ョ ン が変更 さ れた り 、影響を受け た り す る こ と はあ り
ま せん。
clear coredump
コ ア ダ ン プ フ ァ イ ル シ ス テ ム に現在保存 さ れてい る コ ア ダ ン プ
をすべて削除 し 、コ ア ダ ン プ ロ グ を ク リ ア し ま す。コ ア ダ ン プ
フ ァ イ ル シ ス テ ム自体での作業はないため、コ ア ダ ン プ コ ン フ ィ
ギ ュ レ ーシ ョ ン が変更 さ れた り 、影響を受け た り す る こ と はあ り
ま せん。
show coredump filesystem
コ ア ダ ン プ フ ァ イ ル シ ス テ ム の内容を表示 し ま す。
コ ア ダ ン プ機能を イ ネーブルに し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-151
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show counters
show counters
プ ロ ト コ ル ス タ ッ ク カ ウ ン タ を表示す る には、特権 EXEC モー ド で show counters コ マ ン ド を
使用 し ま す。
show counters [all | context context-name | summary | top N ] [detail] [protocol protocol_name
[:counter_name]] [ threshold N]
構文の説明
all
フ ィ ル タ の詳細を表示 し ま す。
context context-name
コ ン テ キ ス ト 名を指定 し ま す。
:counter_name
カ ウ ン タ を名前で指定 し ま す。
詳細な カ ウ ン タ 情報を表示 し ま す。
protocol protocol_name 指定 し たプ ロ ト コ ルの カ ウ ン タ を表示 し ま す。
summary
カ ウ ン タ の要約を表示 し ま す。
detail
threshold N
指定 し た し き い値以上の カ ウ ン タ のみを表示 し ま す。指定で き る 範囲
は 1 ～ 4294967295 です。
top N
指定 し た し き い値以上の カ ウ ン タ を表示 し ま す。指定で き る 範囲は 1 ～ 4294967295 です。
デフ ォル ト
show counters summary detail threshold 1
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
ルーテ ッ ド
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
リ リ ース
7.2(1)
変更内容
9.2(1)
イ ベン ト マ ネージ ャ の カ ウ ン タ が追加 さ れ ま し た。
こ の コ マ ン ド が追加 さ れ ま し た。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-152
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show counters
例
次に、すべての カ ウ ン タ を表示す る 例を示 し ま す。
ciscoasa# show counters all
Protocol
Counter
IOS_IPC
IN_PKTS
IOS_IPC
OUT_PKTS
Value
2
2
Context
single_vf
single_vf
ciscoasa# show counters
Protocol
Counter
NPCP
IN_PKTS
NPCP
OUT_PKTS
IOS_IPC
IN_PKTS
IOS_IPC
OUT_PKTS
IP
IN_PKTS
IP
OUT_PKTS
IP
TO_ARP
IP
TO_UDP
UDP
IN_PKTS
UDP
DROP_NO_APP
FIXUP
IN_PKTS
UAUTH
IPV6_UNSUPPORTED
IDFW
HIT_USER_LIMIT
Value
7195
7603
869
865
380
411
105
9
9
9
202
27
2
Context
Summary
Summary
Summary
Summary
Summary
Summary
Summary
Summary
Summary
Summary
Summary
Summary
Summary
次に、カ ウ ン タ の要約を表示す る 例を示 し ま す。
ciscoasa# show counters summary
Protocol
Counter
Value
IOS_IPC
IN_PKTS
2
IOS_IPC
OUT_PKTS
2
Context
Summary
Summary
次に、コ ン テ キ ス ト の カ ウ ン タ を表示す る 例を示 し ま す。
ciscoasa# show counters context single_vf
Protocol
Counter
Value
Context
IOS_IPC
IN_PKTS
4
single_vf
IOS_IPC
OUT_PKTS
4
single_vf
次に、イ ベン ト マネージ ャ の カ ウ ン タ を表示す る 例を示 し ま す。
ciscoasa# show counters protocol eem
Protocol
Counter
Value
EEM
SYSLOG
22
EEM
COMMANDS
6
EEM
FILES
3
関連 コ マ ン ド
コ マン ド
clear counters
Context
Summary
Summary
Summary
説明
プ ロ ト コ ル ス タ ッ ク カ ウ ン タ を ク リ ア し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-153
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show cpu
show cpu
CPU の使用状況に関す る 情報を表示す る には、特権 EXEC モー ド で show cpu コ マ ン ド を使用 し
ま す。
[cluster exec] show cpu [usage core-id | profile | dump | detailed]
マルチ コ ン テ キ ス ト モー ド では、シ ス テ ム コ ン フ ィ ギ ュ レーシ ョ ン か ら 次の よ う に入力 し ます。
[cluster exec] show cpu [usage] [context {all | context_name}]
構文の説明
all
すべて の コ ン テ キ ス ト を表示す る こ と を指定 し ま す。
cluster exec
（オプシ ョ ン） ク ラ ス タ リ ン グ環境では、あ る ユ ニ ッ ト で show cpu コ マ
ン ド を発行 し 、その コ マ ン ド を他のすべてのユ ニ ッ ト で同時に実行で
き ま す。
context
1 つの コ ン テ キ ス ト を表示す る こ と を指定 し ま す。
context_name
表示す る コ ン テ キ ス ト の名前を指定 し ま す。
core-id
プ ロ セ ッ サ コ ア の数を指定 し ま す。
detailed
（オプシ ョ ン）CPU の内部使用に関す る 詳細な情報を表示 し ま す。
dump
（オプシ ョ ン）TTY にダ ン プ プ ロ フ ァ イ リ ン グ デー タ を表示 し ま す。
profile
（オプシ ョ ン）CPU プ ロ フ ァ イ リ ン グ デー タ を表示 し ま す。
usage
（オプシ ョ ン）CPU 使用状況を表示 し ま す。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
ルーテ ッ ド
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
リ リ ース
7.0(1)
変更内容
8.6(1)
ASA 5512-X、5515-X、5525-X、5545-X、お よ び 5555-X を サポー ト す る
ために、core-id オプ シ ョ ン が追加 さ れ ま し た。
9.1(2)
show cpu profile コ マ ン ド と show cpu profile dump コ マ ン ド の出力が
更新 さ れ ま し た。
9.2(1)
仮想プ ラ ッ ト フ ォ ーム の CPU 使用状況が ASAv の出力に追加 さ れ ま
し た。
こ の コ マ ン ド が追加 さ れ ま し た。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-154
ト ラ ン スペ
アレン ト
シ ン グル
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show cpu
使用上のガイ ド ラ イ ン
CPU 使用状況は、5 秒ご と の負荷の近似値を使用 し 、こ の概算値を さ ら に以降の 2 つの移動平均
に適用す る こ と に よ っ て算出 さ れ ま す。
show cpu コ マ ン ド を使用す る と 、プ ロ セ ス 関連の負荷を検出で き ま す（つ ま り 、show process コ
マ ン ド を、シ ン グルモー ド と マルチ コ ン テ キ ス ト モー ド のシ ス テ ム コ ン フ ィ ギ ュ レ ーシ ョ ン の
両方で実行 し た場合に表示 さ れ る 項目の代わ り に、ア ク テ ィ ビ テ ィ を表示で き ま す）。
さ ら に、マルチ コ ン テ キ ス ト モー ド では、プ ロ セ ス 関連負荷を分散す る よ う 、設定 さ れたすべて
の コ ン テ キ ス ト で消費 さ れ る CPU に要求で き ま す。こ のためには、各 コ ン テ キ ス ト に変更 し て
show cpu コ マ ン ド を入力す る か、show cpu context コ マ ン ド を入力 し ま す。
プ ロ セ ス 関連の負荷は、最 も 近い整数に丸め ら れ ま すが、コ ン テ キ ス ト 関連の負荷の場合は精度
を表す小数桁が 1 桁追加 さ れ ま す。た と えば、show cpu コ マ ン ド を シ ス テ ム コ ン テ キ ス ト か ら 入
力す る と 、show cpu context system コ マ ン ド を入力 し た場合 と は異な る 数値が示 さ れ ま す。前者
は show cpu context all コ マ ン ド で表示 さ れ る 要約 と ほぼ同 じ ですが、後者はその要約の一部に
すぎ ま せん。
show cpu profile dump コ マ ン ド を cpu profile activate コ マ ン ド と と も に使用 し て、CPU 問題の
ト ラ ブルシ ュ ーテ ィ ン グ時に TAC が使用す る 情報を収集で き ま す。show cpu profile dump コ マ
ン ド の出力は 16 進表記です。
CPU プ ロ フ ァ イ ラ が開始条件の発生を待機 し てい る 場合、show cpu profile コ マ ン ド は次の出力
を表示 し ま す。
CPU profiling started: 12:45:57.209 UTC Wed Nov 14 2012
CPU Profiling waiting on starting condition.
Core 0: 0 out of 10 samples collected.
Core 1: 0 out of 10 samples collected.
Core 2: 0 out of 10 samples collected.
Core 3: 0 out of 10 samples collected.
CP
0 out of 10 samples collected.
ASAv に関 し て、次の ラ イ セ ン ス ガ イ ド ラ イ ン に注意 し て く だ さ い。
•
•
許可 さ れ る vCPU の数は、イ ン ス ト ール さ れてい る vCPU プ ラ ッ ト フ ォ ーム ラ イ セ ン ス に
よ っ て決定 さ れ ま す。
–
ラ イ セ ン ス vCPU の数が、プ ロ ビ ジ ョ ニ ン グ さ れた vCPU の数 と 一致す る 場合、状態は
Compliant にな り ま す。
–
ラ イ セ ン ス vCPU の数が、プ ロ ビ ジ ョ ニ ン グ さ れた vCPU の数を下回 る 場合、状態は
Noncompliant: Over-provisioned にな り ま す。
–
ラ イ セ ン ス vCPU の数が、プ ロ ビ ジ ョ ニ ン グ さ れた vCPU の数を超え る 場合、状態は
Compliant: Under-provisioned にな り ま す。
メ モ リ 制限は、プ ロ ビ ジ ョ ニ ン グ さ れた vCPU の数に よ っ て決定 さ れ ま す。
– プ ロ ビ ジ ョ ニ ン グ さ れた メ モ リ が上限に あ る 場合、状態は Compliant にな り ま す。
– プ ロ ビ ジ ョ ニ ン グ さ れた メ モ リ が上限を超え る 場合、状態は Noncompliant:
Over-provisioned にな り ま す。
– プ ロ ビ ジ ョ ニ ン グ さ れた メ モ リ が上限を下回 る 場合、状態は Compliant:
Under-provisioned にな り ま す。
•
周波数予約制限は、プ ロ ビ ジ ョ ニ ン グ さ れた vCPU の数に よ っ て決定 さ れ ま す。
– 周波数予約 メ モ リ が必要最低限（1000 MHz）以上で あ る 場合、状態は Compliant にな り
ま す。
– 周波数予約 メ モ リ が必要最低限（1000 MHz）未満で あ る 場合、状態は Compliant:
Under-provisioned にな り ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-155
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show cpu
た と えば、次の出力は、ラ イ セ ン ス が適用 さ れていない こ と を示 し ま す。許可 さ れ る vCPU の数
は ラ イ セ ン ス さ れた数を示 し 、Noncompliant: Over-provisioned は、製品が ラ イ セ ン ス さ れた リ
ソ ー ス よ り も 多い リ ソ ー ス を使用 し て実行 さ れてい る こ と を示 し てい ま す。
Virtual platform CPU resources
-----------------------------Number of vCPUs
:
Number of allowed vCPUs
:
vCPU Status
:
例
1
0
Noncompliant: Over-provisioned
次に、CPU 使用状況を表示す る 例を示 し ま す。
ciscoasa# show cpu usage
CPU utilization for 5 seconds = 18%; 1 minute: 18%; 5 minutes: 18%
次に、CPU の使用状況に関す る 情報を表示す る 例を示 し ま す。
ciscoasa# show cpu detailed
Break down of per-core data path versus control point cpu usage:
Core
5 sec
1 min
5 min
Core 0
0.0 (0.0 + 0.0) 3.3 (0.0 + 3.3) 2.4 (0.0 + 2.4)
Current control point elapsed versus the maximum control point elapsed for:
5 seconds = 99.0%; 1 minute: 99.8%; 5 minutes: 95.9%
CPU utilization of external processes for:
5 seconds = 0.2%; 1 minute: 0.0%; 5 minutes: 0.0%
Total CPU utilization for:
5 seconds = 0.2%; 1 minute: 3.3%; 5 minutes: 2.5%
（注）
「Current control point elapsed versus the maximum control point elapsed for」 と い う 文は、コ ン ト ロ ー
ル ポ イ ン ト の現在の負荷が、定義 さ れた期間内に検出 さ れた最大負荷 と 比較 さ れ る こ と を意味
し ま す。こ れは絶対値ではな く 比率です。5 秒間隔に対 し て 99% と い う 数値は、コ ン ト ロ ール ポ
イ ン ト の現在の負荷が、その 5 秒間隔におけ る 最大負荷の 99% で あ る こ と を意味 し ま す。負荷が
常に増加 し 続け る 場合、負荷は常に 100% にな り ま す。ただ し 、最大絶対値が定義 さ れていないた
め、実際の CPU には引 き 続 き 多 く の空 き 容量が あ る 可能性が あ り ま す。
次に、マルチ モー ド で シ ス テ ム コ ン テ キ ス ト の CPU 使用状況を表示す る 例を示 し ま す。
ciscoasa# show cpu context system
CPU utilization for 5 seconds = 9.1%; 1 minute: 9.2%; 5 minutes: 9.1%
次に、すべての コ ン テ キ ス ト の CPU 使用状況を表示す る 例を示 し ま す。
ciscoasa# show cpu usage context all
5 sec 1 min 5 min Context Name
9.1%
9.2%
9.1% system
0.0%
0.0%
0.0% admin
5.0%
5.0%
5.0% one
4.2%
4.3%
4.2% two
次に、「one」 と い う コ ン テ キ ス ト の CPU 使用状況 を表示す る 例 を示 し ま す。
ciscoasa/one# show cpu usage
CPU utilization for 5 seconds = 5.0%; 1 minute: 5.0%; 5 minutes: 5.0%
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-156
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show cpu
次の例では、プ ロ フ ァ イ ラ が稼働 し 、1000 個のサ ン プルの格納が命令 さ れ ま す。
ciscoasa#
Activated
Use "show
profiling
cpu
CPU
cpu
and
profile activate
profiling for 1000 samples.
profile" to display the progress or "show cpu profile dump" to interrupt
display the incomplete results.
次に、プ ロ フ ァ イ リ ン グ の ス テー タ ス （in-progress お よ び completed）の例を示 し ま す。
ciscoasa# show cpu profile
CPU profiling started: 13:45:10.400 PST Fri Nov 16 2012
CPU profiling currently in progress:
Core 0: 209 out of 1000 samples collected.
Use "show cpu profile dump" to see the results after it is complete or to interrupt
profiling and display the incomplete results.
ciscoasa# show cpu profile dump
Cisco Adaptive Security Appliance Software Version 9.1(2)
Hardware:
ASA5555
CPU profiling started: 09:13:32.079 UTC Wed Jan 30 2013
No CPU profiling process specified.
No CPU profiling trigger specified.
cores: 2
Process virtual address map:
--------------------------…
--------------------------End of process map
Samples for core 0 - stopped
{0x00000000007eadb6,0x000000000211ee7e} ...
次に、ASAv の CPU 使用状況の例を示 し ま す。
ciscoasa# show cpu
CPU utilization for 5 seconds = 0%; 1 minute: 0%; 5 minutes: 0%
Virtual platform CPU resources
-----------------------------Number of vCPUs
:
Number of allowed vCPUs
:
vCPU Status
:
2
2
Compliant
Frequency Reservation
Minimum required
Frequency Limit
Maximum allowed
Frequency Status
Average Usage (30 seconds)
1000 MHz
1000 MHz
4000 MHz
56000 MHz
Compliant
136 MHz
:
:
:
:
:
:
次に、ASAv の CPU 使用状況の詳細の例を示 し ま す。
Break down of per-core data path versus control point cpu
Core
5 sec
1 min
5 min
Core 0
0.0 (0.0 + 0.0) 0.0 (0.0 + 0.0) 0.0 (0.0 +
Core 1
0.0 (0.0 + 0.0) 0.2 (0.2 + 0.0) 0.0 (0.0 +
Core 2
0.0 (0.0 + 0.0) 0.0 (0.0 + 0.0) 0.0 (0.0 +
Core 3
0.0 (0.0 + 0.0) 0.1 (0.0 + 0.1) 0.0 (0.0 +
usage:
0.0)
0.0)
0.0)
0.0)
Current control point elapsed versus the maximum control point elapsed for:
5 seconds = 0.0%; 1 minute: 0.0%; 5 minutes: 0.0%
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-157
第4章
show bgp コ マ ン ド ～ show cpu コ マ ン ド
show cpu
CPU utilization of external processes for:
5 seconds = 0.0%; 1 minute: 0.0%; 5 minutes: 0.0%
Total CPU utilization for:
5 seconds = 0.1%; 1 minute: 0.1%; 5 minutes: 0.1%
Virtual platform CPU resources
-----------------------------Number of vCPUs
:
Number of allowed vCPUs
:
vCPU Status
:
4
4
Compliant
Frequency Reservation
Minimum required
Frequency Limit
Maximum allowed
Frequency Status
Average Usage (30 seconds)
1000 MHz
1000 MHz
20000 MHz
20000 MHz
Compliant
99 MHz
:
:
:
:
:
:
復号化す る 場合は、こ の情報を コ ピ ー し 、TAC に提供 し ま す。
関連 コ マ ン ド
コ マン ド
show counters
説明
cpu profile activate
CPU プ ロ フ ァ イ リ ン グ を ア ク テ ィ ブに し ま す。
プ ロ ト コ ル ス タ ッ ク カ ウ ン タ を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
4-158
CH A P T E R
5
show crashinfo コ マ ン ド ～ show curpriv
コマン ド
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-1
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crashinfo
show crashinfo
フ ラ ッ シ ュ メ モ リ に格納 さ れてい る ク ラ ッ シ ュ フ ァ イ ルの内容を表示す る には、特権 EXEC
モー ド で show crashinfo コ マ ン ド を使用 し ま す。
show crashinfo [save]
構文の説明
save
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
（オプシ ョ ン） ク ラ ッ シ ュ 情報を フ ラ ッ シ ュ メ モ リ に保存す る よ う に
ASA が設定 さ れてい る か ど う か を表示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
•
Yes
リ リ ース
7.0(1)
変更内容
9.1(5)
出力に show process コ マ ン ド 内の ス レ ッ ド ID（TID）が表示 さ れ る よ う
にな り ま し た。
こ の コ マ ン ド が追加 さ れ ま し た。
ク ラ ッ シ ュ フ ァ イ ルがテ ス ト ク ラ ッ シ ュ か ら 生成 さ れた（crashinfo test コ マ ン ド で生成 さ れ
た）場合、ク ラ ッ シ ュ フ ァ イ ルの最初の ス ト リ ン グは「: Saved_Test_Crash」で あ り 、最後の ス ト
リ ン グは「: End_Test_Crash」です。ク ラ ッ シ ュ フ ァ イ ルが実際の ク ラ ッ シ ュ か ら 生成 さ れた る
場合、ク ラ ッ シ ュ フ ァ イ ルの最初の行の文字列は「: Saved_Crash」で、最後の文字列は
「: End_Crash」です （crashinfo force page-fault コ マ ン ド ま たは crashinfo force watchdog コ マ ン
ド を使用 し て発生 さ せた ク ラ ッ シ ュ を含む）。
ク ラ ッ シ ュ デー タ が フ ラ ッ シ ュ に ま っ た く 保存 さ れていない場合や、clear crashinfo コ マ ン ド を
入力 し て ク ラ ッ シ ュ デー タ を ク リ ア し ていた場合は、show crashinfo コ マ ン ド を実行す る と エ
ラ ー メ ッ セージが表示 さ れ ま す。
例
次に、現在の ク ラ ッ シ ュ 情報 コ ン フ ィ ギ ュ レ ーシ ョ ン を表示す る 例を示 し ま す。
ciscoasa# show crashinfo save
crashinfo save enable
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-2
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crashinfo
次に、ク ラ ッ シ ュ フ ァ イ ル テ ス ト の出力例を示 し ま す （ こ のテ ス ト に よ っ て、ASA が実際に ク
ラ ッ シ ュ す る こ と はあ り ま せん。こ のテ ス ト で提供 さ れ る のは、シ ミ ュ レ ー ト さ れたサ ン プル
フ ァ イ ルです）。
ciscoasa(config)# crashinfo test
ciscoasa(config)# exit
ciscoasa# show crashinfo
: Saved_Test_Crash
Thread Name: ci/console (Old pc 0x001a6ff5 ebp 0x00e88920)
Traceback:
0: 00323143
1: 0032321b
2: 0010885c
3: 0010763c
4: 001078db
5: 00103585
6: 00000000
vector 0x000000ff (user defined)
edi 0x004f20c4
esi 0x00000000
ebp 0x00e88c20
esp 0x00e88bd8
ebx 0x00000001
edx 0x00000074
ecx 0x00322f8b
eax 0x00322f8b
error code n/a
eip 0x0010318c
cs 0x00000008
eflags 0x00000000
CR2 0x00000000
F-flags : 0x2
F-flags2 : 0x0
F-flags3 : 0x10000
F-flags4 : 0x0
F-bytes : 0
Stack dump: base:0x00e8511c size:16384, active:1476
0x00e89118: 0x004f1bb4
0x00e89114: 0x001078b4
0x00e89110-0x00e8910c: 0x00000000
0x00e89108-0x00e890ec: 0x12345678
0x00e890e8: 0x004f1bb4
0x00e890e4: 0x00103585
0x00e890e0: 0x00e8910c
0x00e890dc-0x00e890cc: 0x12345678
0x00e890c8: 0x00000000
0x00e890c4-0x00e890bc: 0x12345678
0x00e890b8: 0x004f1bb4
0x00e890b4: 0x001078db
0x00e890b0: 0x00e890e0
0x00e890ac-0x00e890a8: 0x12345678
0x00e890a4: 0x001179b3
0x00e890a0: 0x00e890b0
0x00e8909c-0x00e89064: 0x12345678
0x00e89060: 0x12345600
0x00e8905c: 0x20232970
0x00e89058: 0x616d2d65
0x00e89054: 0x74002023
0x00e89050: 0x29676966
0x00e8904c: 0x6e6f6328
0x00e89048: 0x31636573
0x00e89044: 0x7069636f
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-3
第5章
show crashinfo
0x00e89040: 0x64786970
0x00e8903c-0x00e88e50:
0x00e88e4c: 0x000a7473
0x00e88e48: 0x6574206f
0x00e88e44: 0x666e6968
0x00e88e40: 0x73617263
0x00e88e3c-0x00e88e38:
0x00e88e34: 0x12345600
0x00e88e30-0x00e88dfc:
0x00e88df8: 0x00316761
0x00e88df4: 0x74706100
0x00e88df0: 0x12345600
0x00e88dec-0x00e88ddc:
0x00e88dd8: 0x00000070
0x00e88dd4: 0x616d2d65
0x00e88dd0: 0x74756f00
0x00e88dcc: 0x00000000
0x00e88dc8: 0x00e88e40
0x00e88dc4: 0x004f20c4
0x00e88dc0: 0x12345600
0x00e88dbc: 0x00000000
0x00e88db8: 0x00000035
0x00e88db4: 0x315f656c
0x00e88db0: 0x62616e65
0x00e88dac: 0x0030fcf0
0x00e88da8: 0x3011111f
0x00e88da4: 0x004df43c
0x00e88da0: 0x0053fef0
0x00e88d9c: 0x004f1bb4
0x00e88d98: 0x12345600
0x00e88d94: 0x00000000
0x00e88d90: 0x00000035
0x00e88d8c: 0x315f656c
0x00e88d88: 0x62616e65
0x00e88d84: 0x00000000
0x00e88d80: 0x004f20c4
0x00e88d7c: 0x00000001
0x00e88d78: 0x01345678
0x00e88d74: 0x00f53854
0x00e88d70: 0x00f7f754
0x00e88d6c: 0x00e88db0
0x00e88d68: 0x00e88d7b
0x00e88d64: 0x00f53874
0x00e88d60: 0x00e89040
0x00e88d5c-0x00e88d54:
0x00e88d50-0x00e88d4c:
0x00e88d48: 0x004f1bb4
0x00e88d44: 0x00e88d7c
0x00e88d40: 0x00e88e40
0x00e88d3c: 0x00f53874
0x00e88d38: 0x004f1bb4
0x00e88d34: 0x0010763c
0x00e88d30: 0x00e890b0
0x00e88d2c: 0x00e88db0
0x00e88d28: 0x00e88d88
0x00e88d24: 0x0010761a
0x00e88d20: 0x00e890b0
0x00e88d1c: 0x00e88e40
0x00e88d18: 0x00f53874
0x00e88d14: 0x0010166d
0x00e88d10: 0x0000000e
0x00e88d0c: 0x00f53874
0x00e88d08: 0x00f53854
0x00e88d04: 0x0048b301
0x00000000
0x00000000
0x00000000
0x00000000
0x12345678
0x00000000
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-4
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crashinfo
0x00e88d00: 0x00e88d30
0x00e88cfc: 0x0000000e
0x00e88cf8: 0x00f53854
0x00e88cf4: 0x0048a401
0x00e88cf0: 0x00f53854
0x00e88cec: 0x00f53874
0x00e88ce8: 0x0000000e
0x00e88ce4: 0x0048a64b
0x00e88ce0: 0x0000000e
0x00e88cdc: 0x00f53874
0x00e88cd8: 0x00f7f96c
0x00e88cd4: 0x0048b4f8
0x00e88cd0: 0x00e88d00
0x00e88ccc: 0x0000000f
0x00e88cc8: 0x00f7f96c
0x00e88cc4-0x00e88cc0: 0x0000000e
0x00e88cbc: 0x00e89040
0x00e88cb8: 0x00000000
0x00e88cb4: 0x00f5387e
0x00e88cb0: 0x00f53874
0x00e88cac: 0x00000002
0x00e88ca8: 0x00000001
0x00e88ca4: 0x00000009
0x00e88ca0-0x00e88c9c: 0x00000001
0x00e88c98: 0x00e88cb0
0x00e88c94: 0x004f20c4
0x00e88c90: 0x0000003a
0x00e88c8c: 0x00000000
0x00e88c88: 0x0000000a
0x00e88c84: 0x00489f3a
0x00e88c80: 0x00e88d88
0x00e88c7c: 0x00e88e40
0x00e88c78: 0x00e88d7c
0x00e88c74: 0x001087ed
0x00e88c70: 0x00000001
0x00e88c6c: 0x00e88cb0
0x00e88c68: 0x00000002
0x00e88c64: 0x0010885c
0x00e88c60: 0x00e88d30
0x00e88c5c: 0x00727334
0x00e88c58: 0xa0ffffff
0x00e88c54: 0x00e88cb0
0x00e88c50: 0x00000001
0x00e88c4c: 0x00e88cb0
0x00e88c48: 0x00000002
0x00e88c44: 0x0032321b
0x00e88c40: 0x00e88c60
0x00e88c3c: 0x00e88c7f
0x00e88c38: 0x00e88c5c
0x00e88c34: 0x004b1ad5
0x00e88c30: 0x00e88c60
0x00e88c2c: 0x00e88e40
0x00e88c28: 0xa0ffffff
0x00e88c24: 0x00323143
0x00e88c20: 0x00e88c40
0x00e88c1c: 0x00000000
0x00e88c18: 0x00000008
0x00e88c14: 0x0010318c
0x00e88c10-0x00e88c0c: 0x00322f8b
0x00e88c08: 0x00000074
0x00e88c04: 0x00000001
0x00e88c00: 0x00e88bd8
0x00e88bfc: 0x00e88c20
0x00e88bf8: 0x00000000
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-5
第5章
show crashinfo
0x00e88bf4: 0x004f20c4
0x00e88bf0: 0x000000ff
0x00e88bec: 0x00322f87
0x00e88be8: 0x00f5387e
0x00e88be4: 0x00323021
0x00e88be0: 0x00e88c10
0x00e88bdc: 0x004f20c4
0x00e88bd8: 0x00000000 *
0x00e88bd4: 0x004eabb0
0x00e88bd0: 0x00000001
0x00e88bcc: 0x00f5387e
0x00e88bc8-0x00e88bc4: 0x00000000
0x00e88bc0: 0x00000008
0x00e88bbc: 0x0010318c
0x00e88bb8-0x00e88bb4: 0x00322f8b
0x00e88bb0: 0x00000074
0x00e88bac: 0x00000001
0x00e88ba8: 0x00e88bd8
0x00e88ba4: 0x00e88c20
0x00e88ba0: 0x00000000
0x00e88b9c: 0x004f20c4
0x00e88b98: 0x000000ff
0x00e88b94: 0x001031f2
0x00e88b90: 0x00e88c20
0x00e88b8c: 0xffffffff
0x00e88b88: 0x00e88cb0
0x00e88b84: 0x00320032
0x00e88b80: 0x37303133
0x00e88b7c: 0x312f6574
0x00e88b78: 0x6972772f
0x00e88b74: 0x342f7665
0x00e88b70: 0x64736666
0x00e88b6c: 0x00020000
0x00e88b68: 0x00000010
0x00e88b64: 0x00000001
0x00e88b60: 0x123456cd
0x00e88b5c: 0x00000000
0x00e88b58: 0x00000008
Cisco XXX Firewall Version X.X
Cisco XXX Device Manager Version X.X
Compiled on Fri 15-Nov-04 14:35 by root
hostname up 10 days 0 hours
Hardware:
XXX-XXX, 64 MB RAM, CPU Pentium 200 MHz
Flash i28F640J5 @ 0x300, 16MB
BIOS Flash AT29C257 @ 0xfffd8000, 32KB
0: ethernet0: address is 0003.e300.73fd, irq 10
1: ethernet1: address is 0003.e300.73fe, irq 7
2: ethernet2: address is 00d0.b7c8.139e, irq 9
Licensed Features:
Failover:
Disabled
VPN-DES:
Enabled
VPN-3DES-AES:
Disabled
Maximum Interfaces: 3
Cut-through Proxy: Enabled
Guards:
Enabled
URL-filtering:
Enabled
Inside Hosts:
Unlimited
Throughput:
Unlimited
IKE peers:
Unlimited
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-6
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crashinfo
This XXX has a Restricted (R) license.
Serial Number: 480430455 (0x1ca2c977)
Running Activation Key: 0xc2e94182 0xc21d8206 0x15353200 0x633f6734
Configuration last modified by enable_15 at 13:49:42.148 UTC Wed Nov 20 2004
------------------ show clock -----------------15:34:28.129 UTC Sun Nov 24 2004
------------------ show memory -----------------Free memory:
Used memory:
------------Total memory:
50444824 bytes
16664040 bytes
---------------67108864 bytes
------------------ show conn count -----------------0 in use, 0 most used
------------------ show xlate count -----------------0 in use, 0 most used
------------------ show vpn-sessiondb summary -----------------Active Session Summary
Sessions:
SSL VPN
Clientless only
With client
Email Proxy
IPsec LAN-to-LAN
IPsec Remote Access
VPN Load Balancing
Totals
:
:
:
:
:
:
:
:
Active
2
0
2
0
1
0
0
3
: Cumulative : Peak Concurrent : Inactive
:
2 :
2
:
0 :
0
:
2 :
2 :
0
:
0 :
0
:
1 :
1
:
0 :
0
:
0 :
0
:
3
License Information:
Shared VPN License Information:
SSL VPN
:
Allocated to this device :
Allocated in network
:
Device limit
:
IPsec
:
SSL VPN :
Configured :
Configured :
Active
IPsec
:
1
SSL VPN
:
2
AnyConnect Mobile :
0
Linksys Phone
:
0
Totals
:
3
1500
50
50
750
750
52
:
:
:
:
:
:
750
Active :
1
Load :
52
Active :
2
Load :
Cumulative : Peak Concurrent
1 :
1
10 :
2
0 :
0
0 :
0
11
0%
4%
Tunnels:
IKE
IPsec
Clientless
SSL-Tunnel
DTLS-Tunnel
Totals
:
:
:
:
:
:
Active
1
1
2
2
2
8
: Cumulative : Peak Concurrent
:
1 :
1
:
1 :
1
:
2 :
2
:
2 :
2
:
2 :
2
:
8
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-7
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crashinfo
------------------ show blocks -----------------SIZE
4
80
256
1550
MAX
1600
400
500
1188
LOW
1600
400
499
795
CNT
1600
400
500
927
------------------ show interface -----------------interface ethernet0 "outside" is up, line protocol is up
Hardware is i82559 ethernet, address is 0003.e300.73fd
IP address 172.23.59.232, subnet mask 255.255.0.0
MTU 1500 bytes, BW 10000 Kbit half duplex
6139 packets input, 830375 bytes, 0 no buffer
Received 5990 broadcasts, 0 runts, 0 giants
0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort
90 packets output, 6160 bytes, 0 underruns
0 output errors, 13 collisions, 0 interface resets
0 babbles, 0 late collisions, 47 deferred
0 lost carrier, 0 no carrier
input queue (curr/max blocks): hardware (5/128) software (0/2)
output queue (curr/max blocks): hardware (0/1) software (0/1)
interface ethernet1 "inside" is up, line protocol is down
Hardware is i82559 ethernet, address is 0003.e300.73fe
IP address 10.1.1.1, subnet mask 255.255.255.0
MTU 1500 bytes, BW 10000 Kbit half duplex
0 packets input, 0 bytes, 0 no buffer
Received 0 broadcasts, 0 runts, 0 giants
0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort
1 packets output, 60 bytes, 0 underruns
0 output errors, 0 collisions, 0 interface resets
0 babbles, 0 late collisions, 0 deferred
1 lost carrier, 0 no carrier
input queue (curr/max blocks): hardware (128/128) software (0/0)
output queue (curr/max blocks): hardware (0/1) software (0/1)
interface ethernet2 "intf2" is administratively down, line protocol is down
Hardware is i82559 ethernet, address is 00d0.b7c8.139e
IP address 127.0.0.1, subnet mask 255.255.255.255
MTU 1500 bytes, BW 10000 Kbit half duplex
0 packets input, 0 bytes, 0 no buffer
Received 0 broadcasts, 0 runts, 0 giants
0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort
0 packets output, 0 bytes, 0 underruns
0 output errors, 0 collisions, 0 interface resets
0 babbles, 0 late collisions, 0 deferred
0 lost carrier, 0 no carrier
input queue (curr/max blocks): hardware (128/128) software (0/0)
output queue (curr/max blocks): hardware (0/0) software (0/0)
------------------ show cpu usage -----------------CPU utilization for 5 seconds = 0%; 1 minute: 0%; 5 minutes: 0%
------------------ show process -----------------PC
Hsi
Lsi
Lwe
Lwe
Hwe
Hwe
Lsi
SP
001e3329
001e80e9
00117e3a
003cee95
003d2d18
003d2c91
002ec97d
STATE
00763e7c
00807074
009dc2e4
009de464
009e155c
009e360c
00b1a464
Runtime SBASE Stack
Process
TID
0053e5c8 0
00762ef4 3784/4096 arp_timer 0x000000000000000a
0053e5c8 0
008060fc 3792/4096 FragDBGC 0x000000000000006b
00541d18
0 009db46c 3704/4096 dbgtrace
00537718
0 009dc51c 8008/8192 Logger
005379c8
0 009df5e4 8008/8192 tcp_fast
005379c8
0 009e1694 8008/8192 tcp_slow
0053e5c8
0 00b194dc 3928/4096 xlate clean
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-8
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crashinfo
Lsi
Mrd
Lsi
Hsi
Hwe
Lsi
Hwe
Mwe
Hwe
Mwe
Lwe
Lwe
Hwe
Hwe
Hwe
H*
Csi
Hwe
Hwe
Hwe
Hsi
Crd
Lsi
Hwe
Cwe
Hwe
Hwe
Hwe
Hwe
Cwe
Hwe
Hwe
Hwe
Hwe
Cwe
Hwe
Hwe
Hwe
Hwe
Mwe
002ec88b
002e3a17
00423dd5
002d59fc
0020e301
002d377c
0020bd07
00205e25
003864e3
00255a65
002e450e
002e471e
001e5368
001e5368
001e5368
001a6ff5
002dd8ab
002cb4d1
003d17d1
003e71d4
001db3ca
001db37f
001db435
001e5398
001dcdad
001e5398
001e5398
001e5398
001e5398
001dcdad
001e5398
001e5398
001e5398
001e5398
001e542d
001e5398
001e5398
001e5398
003d1a65
0035cafa
00b1b504
00c8f8d4
00d3a22c
00d3b2bc
00d5957c
00d7292c
00d9c12c
00d9e1ec
00db26bc
00dc9244
00e7bb94
00e7cc44
00e7ed44
00e80e14
00e82ee4
0009ff2c
00e8a124
00f2bfbc
00f2e0bc
00f2f20c
00f30fc4
00f32084
00f33124
00f441dc
00f4523c
00f4633c
00f47404
00f4849c
00f495bc
00f4a61c
00f4b71c
00f4c7e4
00f4d87c
00f4e99c
00f4fa6c
00f50afc
00f51bc4
00f52c5c
00f78284
00f7a63c
0053e5c8
0053e600
0053e5c8
0053e5c8
0053e5c8
0053e5c8
0050bb90
0053e5c8
00557920
0053e5c8
00552c30
00553368
00730674
007305d4
00730534
0053e5b0
0053e5c8
0051e360
00828cf0
00537d20
0053e5c8
0053ea40
0053e5c8
008121e0
00872b48
008121bc
00812198
00812174
00812150
008ea850
0081212c
00812108
008120e4
008120c0
00730534
0081209c
00812078
00812054
008140f8
0053e5c8
0
0
0
0
0
0
0
0
0
0
0
0
0
0
2470
4820
0
0
0
0
0
508286220
0
0
120
10
0
0
0
0
0
0
0
0
0
0
0
0
0
0
00b1a58c
00c8d93c
00d392a4
00d3a354
00d55614
00d719a4
00d9b1c4
00d9c274
00db0764
00dc8adc
00e7ad1c
00e7bdcc
00e7ce9c
00e7ef6c
00e8103c
00e8511c
00e891cc
00f2a134
00f2c1e4
00f2e294
00f3004c
00f310fc
00f321ac
00f43294
00f44344
00f453f4
00f464cc
00f475a4
00f48674
00f49724
00f4a7d4
00f4b8ac
00f4c984
00f4da54
00f4eb04
00f4fbb4
00f50c8c
00f51d64
00f77fdc
00f786c4
3888/4096 uxlate clean
7908/8192 tcp_intercept_times
3900/4096 route_process
3780/4096 PIX Garbage Collecr
16048/16384 isakmp_time_keepr
3928/4096 perfmon
3944/4096 IPsec
7860/8192 IPsec timer handler
6904/8192 qos_metric_daemon
1436/2048 IP Background
3704/4096 pix/trace
3704/4096 pix/tconsole
7228/8192 pix/intf0
7228/8192 pix/intf1
4892/8192 pix/intf2
12860/16384 ci/console
3396/4096 update_cpu_usage
7692/8192 uauth_in
7896/8192 uauth_thread
3960/4096 udp_timer
3784/4096 557mcfix
3688/4096 557poll
3700/4096 557timer
3912/4096 fover_ip0
3528/4096 ip/0:0
3532/4096 icmp0
3896/4096 udp_thread/0
3456/4096 tcp_thread/0
3912/4096 fover_ip1
3832/4096 ip/1:1
3912/4096 icmp1
3896/4096 udp_thread/1
3832/4096 tcp_thread/1
3912/4096 fover_ip2
3944/4096 ip/2:2
3912/4096 icmp2
3896/4096 udp_thread/2
3832/4096 tcp_thread/2
300/1024 listen/http1
7640/8192 Crypto CA
------------------ show failover -----------------No license for Failover
------------------ show traffic -----------------outside:
received (in 865565.090 secs):
6139 packets
830375 bytes
0 pkts/sec
0 bytes/sec
transmitted (in 865565.090 secs):
90 packets
6160 bytes
0 pkts/sec
0 bytes/sec
inside:
received (in 865565.090 secs):
0 packets
0 bytes
0 pkts/sec
0 bytes/sec
transmitted (in 865565.090 secs):
1 packets
60 bytes
0 pkts/sec
0 bytes/sec
intf2:
received (in 865565.090 secs):
0 packets
0 bytes
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-9
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crashinfo
0 pkts/sec
0 bytes/sec
transmitted (in 865565.090 secs):
0 packets
0 bytes
0 pkts/sec
0 bytes/sec
------------------ show perfmon ------------------
PERFMON STATS:
Xlates
Connections
TCP Conns
UDP Conns
URL Access
URL Server Req
TCP Fixup
TCPIntercept
HTTP Fixup
FTP Fixup
AAA Authen
AAA Author
AAA Account
: End_Test_Crash
関連 コ マ ン ド
Current
0/s
0/s
0/s
0/s
0/s
0/s
0/s
0/s
0/s
0/s
0/s
0/s
0/s
Average
0/s
0/s
0/s
0/s
0/s
0/s
0/s
0/s
0/s
0/s
0/s
0/s
0/s
コ マン ド
clear crashinfo
説明
crashinfo force
ASA を強制的に ク ラ ッ シ ュ さ せ ま す。
crashinfo save disable
ク ラ ッ シ ュ 情報の フ ラ ッ シ ュ メ モ リ への書 き 込みをデ ィ セーブルに
し ま す。
crashinfo test
ASA で フ ラ ッ シ ュ メ モ リ 内の フ ァ イ ルに ク ラ ッ シ ュ 情報を保存で き
る か ど う か を テ ス ト し ま す。
ク ラ ッ シ ュ フ ァ イ ルの内容を削除 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-10
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crashinfo console
show crashinfo console
crashinfo console コ マ ン ド の コ ン フ ィ ギ ュ レ ーシ ョ ン設定を表示す る には、show crashinfo
console コ マ ン ド を入力 し ま す。
show crashinfo console
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
こ の コ マ ン ド には、デ フ ォ ル ト 設定が あ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ルーテ ッ ド
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
リ リ ース
7.0(4)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
FIPS 140-2 に準拠 し てい る こ と に よ り 、キーやパ ス ワ ー ド な ど の ク リ テ ィ カル セ キ ュ リ テ ィ パ
ラ メ ー タ を ク リ プ ト 境界（シ ャ ーシ）の外側に配布す る こ と が禁止 さ れてい ま す。ア サー ト ま た
はチ ェ ッ ク ヒ ープのエ ラ ーに よ っ てデバ イ ス が ク ラ ッ シ ュ し た と き 、コ ン ソ ールにダ ン プ さ れ
る ス タ ッ ク 領域や メ モ リ 領域には、機密デー タ が含 ま れてい る こ と が あ り ま す。こ の出力は、
FIPS モー ド では表示 さ れない よ う にす る 必要が あ り ま す。
例
sw8-5520(config)# show crashinfo console
crashinfo console enable
関連 コ マ ン ド
コ マン ド
clear configure fips
説明
crashinfo console disable
フ ラ ッ シ ュ に対す る ク ラ ッ シ ュ 書 き 込みの読み取 り 、書 き 込み、
お よ び コ ン フ ィ ギ ュ レ ーシ ョ ン をデ ィ セーブルに し ま す。
fips enable
シ ス テ ム ま たはモ ジ ュ ールで FIPS 準拠を強制す る ためのポ リ
シー チ ェ ッ ク を イ ネーブル ま たはデ ィ セーブルに し ま す。
show running-config fips
ASA で実行 さ れてい る FIPS コ ン フ ィ ギ ュ レ ーシ ョ ン を表示 し
ま す。
NVRAM に保存 さ れてい る シ ス テ ム ま たはモ ジ ュ ールの FIPS コ
ン フ ィ ギ ュ レ ーシ ョ ン情報を ク リ ア し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-11
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto accelerator statistics
show crypto accelerator statistics
ハー ド ウ ェ ア暗号ア ク セ ラ レ ー タ MIB 内の グ ロ ーバルな統計情報 ま たはア ク セ ラ レ ー タ 固有の
統計情報を表示す る には、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド ま たは特権 EXEC モー ド
で show crypto accelerator statistics コ マ ン ド を使用 し ま す。
show crypto accelerator statistics
構文の説明
こ の コ マ ン ド には、キー ワ ー ド や変数はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
ルーテ ッ ド
ト ラ ン スペ
アレン ト
シ ン グル
マルチ
コ ン テキス ト シ ス テム
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
•
Yes
•
Yes
•
Yes
•
特権 EXEC
•
Yes
•
Yes
•
Yes
—
リ リ ース
7.0(1)
Yes
—
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
出力統計情報は、次の よ う に定義 さ れ ま す。
Accelerator 0 は ソ フ ト ウ ェ ア ベー ス の暗号エ ン ジ ン の統計情報を示 し ま す。
Accelerator 1 はハー ド ウ ェ ア ベー ス の暗号エ ン ジ ン の統計情報を示 し ま す。
RSA 統計情報には、デ フ ォ ル ト で ソ フ ト ウ ェ ア で実行 さ れ る 、2048 ビ ッ ト キーの RSA 処理が表
示 さ れ ま す。つ ま り 、2048 ビ ッ ト キーが あ る 場合、IKE/SSL VPN は、IPsec/SSL ネ ゴ シ エーシ ョ ン
フ ェ ーズ中に ソ フ ト ウ ェ ア で RSA 処理を実行 し ま す。実際の IPsec/SSL ト ラ フ ィ ッ ク は、引 き 続
き ハー ド ウ ェ ア を使用 し て処理 さ れ ま す。こ れに よ り 、同時に開始 さ れた同時セ ッ シ ョ ン が数多
く あ る 場合、CPU の高使用 と な り ま す。こ のため、RSA キー処理が複数発生 し 、CPU の高使用 と
な る 可能性が あ り ま す。こ の よ う に し て CPU の高使用状態 と な っ た場合は、1024 ビ ッ ト キー を
使用 し て、ハー ド ウ ェ ア で RSA キー処理を実行す る 必要が あ り ま す。こ のためには、ア イ デン
テ ィ テ ィ 証明書を再度登録す る 必要が あ り ま す。リ リ ー ス 8.3(2) 以降では、5510 か ら 5550 のプ
ラ ッ ト フ ォ ーム で crypto engine large-mod-accel コ マ ン ド を使用 し て、ハー ド ウ ェ ア で こ れ ら の処
理を実行す る こ と も で き ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-12
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto accelerator statistics
2048 ビ ッ ト の RSA キーを使用 し てお り 、ソ フ ト ウ ェ ア で RSA 処理が実行 さ れてい る 場合は、
CPU プ ロ フ ァ イ リ ン グ を使用 し て、CPU の高使用状況の原因 と な っ てい る 関数を特定で き ま す。
通常、bn_* 関数 と BN_* 関数は RSA に使用 さ れ る 大規模なデー タ セ ッ ト での数学的処理で あ
り 、ソ フ ト ウ ェ ア での RSA 処理中に CPU の使用状況を確認す る 場合に最 も 役立ち ま す。次に例
を示 し ま す。
@@@@@@@@@@@@@@@@@@................................36.50% : _bn_mul_add_words
@@@@@@@@@.........................................19.75% : _bn_sqr_comba8
Diffie-Hellman 統計情報には、ソ フ ト ウ ェ ア で 1024 よ り 大 き いモ ジ ュ ラ ス サ イ ズの暗号処理が
実行 さ れた こ と が表示 さ れ ま す（DH5（Diffie-Hellman グループ 5 が 1536 を使用 し てい ま す）な
ど ）。こ の場合、2048 ビ ッ ト キー証明書は ソ フ ト ウ ェ ア で処理 さ れ ま す。こ のため、数多 く のセ ッ
シ ョ ン が実行 さ れ る と き に CPU の高使用状況 と な り ま す。
（注）
ASA 5505（Cavium CN505 プ ロ セ ッ サ搭載）のみが、ハー ド ウ ェ アに よ り 高速化 さ れ る 768 ビ ッ ト お
よ び 1024 ビ ッ ト のキー生成の Diffie-Hellman グループ 1 お よ び 2 をサポー ト し てい ます。
Diffie-Hellman グループ 5（1536 ビ ッ ト のキー生成）は、ソ フ ト ウ ェ アで実行 さ れ ます。
適応型セ キ ュ リ テ ィ ア プ ラ イ ア ン ス では 1 つの暗号エ ン ジ ン が IPsec 処理お よ び SSL 処理を実
行 し ま す。起動時にハー ド ウ ェ ア暗号ア ク セ ラ レ ー タ に ロ ー ド さ れた ク リ プ ト （Cavium）マ イ ク
ロ コ ー ド のバージ ョ ン を表示す る には、show version コ マ ン ド を入力 し ま す。次に例を示 し ま す。
ciscoasa(config) show version
Cisco Adaptive Security Appliance Software Version 8.0(4)8
Device Manager Version 6.1(5)
Compiled on Wed 15-Oct-09 17:27 by builders
System image file is “disk0:/interim/asa804-8-k8.bin”
Config file at boot was "startup-config"
asa up 5 days 17 hours
Hardware:
ASA5505, 512 MB RAM, CPU Geode 500 MHz
Internal ATA Compact Flash, 512MB
BIOS Flash M50FW080 @ 0xffe00000, 1024KB
Encryption hardware device : Cisco ASA-5505 on-board accelerator (revision 0x0)
Boot microcode
: CN1000-MC-BOOT-2.00
SSL/IKE microcode: CNLite-MC-SSLm-PLUS-2.03
IPsec microcode : CNlite-MC-IPSECm-MAIN-2.05
DSA 統計情報には、2 つの フ ェ ーズ での キー生成が表示 さ れ ま す。最初の フ ェ ーズは、アル ゴ リ
ズ ム パ ラ メ ー タ の選択です。こ のパ ラ メ ー タ は、シ ス テ ム の他のユーザ と 共有す る こ と が あ り ま
す。2 番目の フ ェ ーズは、1 人のユーザ用の秘密キー と 公開キーの算出です。
SSL 統計情報には、ハー ド ウ ェ ア暗号ア ク セ ラ レ ー タ への SSL ト ラ ン ザ ク シ ョ ン で使用 さ れ る 、
プ ロ セ ッ サ集約的な公開キーの暗号化アルゴ リ ズ ム に関す る レ コ ー ド が表示 さ れ ま す。
RNG 統計情報には、キー と し て使用す る 同 じ 乱数のセ ッ ト を自動的に生成で き る 送信元 と レ
シーバに関す る レ コ ー ド が表示 さ れ ま す。
例
次に、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で、グ ロ ーバルな暗号ア ク セ ラ レ ー タ 統計情
報を表示す る 例を示 し ま す。
ciscoasa # show crypto accelerator statistics
Crypto Accelerator Status
------------------------[Capacity]
Supports hardware crypto: True
Supports modular hardware crypto: False
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-13
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto accelerator statistics
Max accelerators: 1
Max crypto throughput: 100 Mbps
Max crypto connections: 750
[Global Statistics]
Number of active accelerators: 1
Number of non-operational accelerators: 0
Input packets: 700
Input bytes: 753488
Output packets: 700
Output error packets: 0
Output bytes: 767496
[Accelerator 0]
Status: Active
Software crypto engine
Slot: 0
Active time: 167 seconds
Total crypto transforms: 7
Total dropped packets: 0
[Input statistics]
Input packets: 0
Input bytes: 0
Input hashed packets: 0
Input hashed bytes: 0
Decrypted packets: 0
Decrypted bytes: 0
[Output statistics]
Output packets: 0
Output bad packets: 0
Output bytes: 0
Output hashed packets: 0
Output hashed bytes: 0
Encrypted packets: 0
Encrypted bytes: 0
[Diffie-Hellman statistics]
Keys generated: 0
Secret keys derived: 0
[RSA statistics]
Keys generated: 0
Signatures: 0
Verifications: 0
Encrypted packets: 0
Encrypted bytes: 0
Decrypted packets: 0
Decrypted bytes: 0
[DSA statistics]
Keys generated: 0
Signatures: 0
Verifications: 0
[SSL statistics]
Outbound records: 0
Inbound records: 0
[RNG statistics]
Random number requests: 98
Random number request failures: 0
[Accelerator 1]
Status: Active
Encryption hardware device : Cisco ASA-55x0 on-board accelerator
(revision 0x0)
Boot microcode
: CNlite-MC-Boot-Cisco-1.2
SSL/IKE microcode: CNlite-MC-IPSEC-Admin-3.03
IPsec microcode : CNlite-MC-IPSECm-MAIN-2.03
Slot: 1
Active time: 170 seconds
Total crypto transforms: 1534
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-14
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto accelerator statistics
Total dropped packets: 0
[Input statistics]
Input packets: 700
Input bytes: 753544
Input hashed packets: 700
Input hashed bytes: 736400
Decrypted packets: 700
Decrypted bytes: 719944
[Output statistics]
Output packets: 700
Output bad packets: 0
Output bytes: 767552
Output hashed packets: 700
Output hashed bytes: 744800
Encrypted packets: 700
Encrypted bytes: 728352
[Diffie-Hellman statistics]
Keys generated: 97
Secret keys derived: 1
[RSA statistics]
Keys generated: 0
Signatures: 0
Verifications: 0
Encrypted packets: 0
Encrypted bytes: 0
Decrypted packets: 0
Decrypted bytes: 0
[DSA statistics]
Keys generated: 0
Signatures: 0
Verifications: 0
[SSL statistics]
Outbound records: 0
Inbound records: 0
[RNG statistics]
Random number requests: 1
Random number request failures: 0
次の表に、各出力エ ン ト リ の説明を示 し ま す。
出力
説明
Capacity
こ のセ ク シ ョ ン は、ASA がサポー ト で き る 暗号ア ク セ ラ
レ ーシ ョ ン に関連 し てい ま す。
Supports hardware crypto
（True/False）ASA はハー ド ウ ェ ア暗号ア ク セ ラ レーシ ョ ン を
サポー ト で き ます。
Supports modular hardware crypto
（True/False）サポー ト さ れてい る 任意のハー ド ウ ェ ア暗号
ア ク セ ラ レ ー タ を個別のプ ラ グ イ ン カー ド ま たはモ ジ ュ ー
ル と し て挿入で き ま す。
Max accelerators
ASA でサポー ト さ れ る ハー ド ウ ェ ア暗号ア ク セ ラ レ ー タ の
最大数。
Mac crypto throughput
ASA の最大定格 VPN ス ループ ッ ト 。
Max crypto connections
ASA のサポー ト 対象 VPN ト ン ネルの最大数。
Global Statistics
こ のセ ク シ ョ ン は、ASA の複合ハー ド ウ ェ ア暗号ア ク セ ラ
レ ー タ に関連 し てい ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-15
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto accelerator statistics
出力 （続き）
説明 （続き）
Number of active accelerators
ア ク テ ィ ブなハー ド ウ ェ ア ア ク セ ラ レ ー タ の数。ア ク テ ィ
ブなハー ド ウ ェ ア ア ク セ ラ レ ー タ が初期化 さ れてお り 、
crypto コ マ ン ド の処理に使用可能です。
Number of non-operational
accelerators
非ア ク テ ィ ブなハー ド ウ ェ ア ア ク セ ラ レ ー タ の数。非ア ク
テ ィ ブなハー ド ウ ェ ア ア ク セ ラ レ ー タ が検出 さ れ ま し た。
初期化が完了 し ていないか、障害が発生 し て使用で き な く
な っ てい ま す。
Input packets
すべてのハー ド ウ ェ ア暗号ア ク セ ラ レ ー タ で処理 さ れ る 着
信パケ ッ ト の数。
Input bytes
処理 さ れ る 着信パケ ッ ト 内のデー タ のバ イ ト 数。
Output packets
すべてのハー ド ウ ェ ア暗号ア ク セ ラ レ ー タ で処理 さ れ る 発
信パケ ッ ト の数。
Output error packets
エ ラ ーが検出 さ れた、すべてのハー ド ウ ェ ア暗号ア ク セ ラ
レ ー タ で処理 さ れ る 発信パケ ッ ト の数。
Output bytes
処理 さ れ る 発信パケ ッ ト 内のデー タ のバ イ ト 数。
Accelerator 0
こ れ ら のセ ク シ ョ ン はそれぞれ、暗号ア ク セ ラ レ ー タ に関
連 し てい ま す。最初のセ ク シ ョ ン（Accelerator 0）は、常に、ソ
フ ト ウ ェ ア の暗号エ ン ジ ン です。ハー ド ウ ェ ア ア ク セ ラ
レ ー タ ではあ り ま せんが、ASA は こ の ソ フ ト ウ ェ ア の暗号
エ ン ジ ン を使用 し て、特定の ク リ プ ト タ ス ク を実行 し ま す。
こ こ には、その統計情報が表示 さ れ ま す。Accelerators 1 以上
は、常にハー ド ウ ェ ア暗号ア ク セ ラ レ ー タ です。
Status
ア ク セ ラ レー タ の ス テー タ ス。ア ク セ ラ レー タ が初期化 さ れ
てい る か、ア ク テ ィ ブか、あ る いは失敗 し たかを示 し ます。
Software crypto engine
ア ク セ ラ レ ー タ の タ イ プ と フ ァ ーム ウ ェ ア バージ ョ ン（該
当す る 場合）。
Slot
ア ク セ ラ レ ー タ の ス ロ ッ ト 番号（該当す る 場合）。
Active time
ア ク セ ラ レ ー タ が ア ク テ ィ ブ状態で あ っ た時間の長 さ 。
Total crypto transforms
ア ク セ ラ レ ー タ に よ っ て実行 さ れた crypto コ マ ン ド の合
計数。
Total dropped packets
エ ラ ーのため ア ク セ ラ レ ー タ に よ っ て ド ロ ッ プ さ れたパ
ケ ッ ト の合計数。
Input statistics
こ のセ ク シ ョ ンは、ア ク セ ラ レータ で処理 さ れた入力 ト ラ
フ ィ ッ ク に関連 し てい ます。入力 ト ラ フ ィ ッ ク は、復号か認
証、ま たはその両方を行 う 必要があ る暗号文 と 見な さ れます。
Input packets
ア ク セ ラ レ ー タ に よ っ て処理 さ れた入力パケ ッ ト の数。
Input bytes
ア ク セ ラ レ ー タ に よ っ て処理 さ れた入力バ イ ト 数。
Input hashed packets
ア ク セ ラ レ ー タ がハ ッ シ ュ を実行 し たパケ ッ ト の数。
Input hashed bytes
ア ク セ ラ レ ー タ がハ ッ シ ュ を実行 し たバ イ ト 数。
Decrypted packets
ア ク セ ラ レ ー タ が対称復号化を実行 し たパケ ッ ト の数。
Decrypted bytes
ア ク セ ラ レ ー タ が対称復号化を実行 し たバ イ ト 数。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-16
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto accelerator statistics
出力 （続き）
説明 （続き）
Output statistics
こ のセ ク シ ョ ン は、ア ク セ ラ レ ー タ で処理 さ れた出力 ト ラ
フ ィ ッ ク に関連 し てい ま す。入力 ト ラ フ ィ ッ ク は、暗号化か
ハ ッ シ ュ 、ま たはその両方を実行す る 必要が あ る ク リ ア テ
キ ス ト と 見な さ れ ま す。
Output packets
ア ク セ ラ レ ー タ に よ っ て処理 さ れた出力パケ ッ ト の数。
Output bad packets
エ ラ ーが検出 さ れた、ア ク セ ラ レ ー タ で処理 さ れた出力パ
ケ ッ ト の数。
Output bytes
ア ク セ ラ レ ー タ に よ っ て処理 さ れた出力バ イ ト 数。
Output hashed packets
ア ク セ ラ レ ー タ が出力ハ ッ シ ュ を実行 し たパケ ッ ト の数。
Output hashed bytes
ア ク セ ラ レ ー タ が出力ハ ッ シ ュ を実行 し たバ イ ト 数。
Encyrpted packets
ア ク セ ラ レ ー タ が対称暗号化を実行 し たパケ ッ ト の数。
Encyrpted bytes
ア ク セ ラ レ ー タ が対称暗号化を実行 し たバ イ ト 数。
Diffie-Hellman statistics
こ のセ ク シ ョ ン は、Diffie-Hellman の キー交換処理に関連 し
てい ま す。
Keys generated
ア ク セ ラ レ ー タ に よ っ て生成 さ れた Diffie-Hellman キー
セ ッ ト の数。
Secret keys derived
ア ク セ ラ レ ー タ に よ っ て生成 さ れた Diffie-Hellman 共有秘
密の数。
RSA statistics
こ のセ ク シ ョ ン は、RSA 暗号処理に関連 し てい ま す。
Keys generated
ア ク セ ラ レー タ に よ っ て生成 さ れた RSA キー セ ッ ト の数。
Signatures
ア ク セ ラ レ ー タ に よ っ て実行 さ れた RSA シ グ ニチ ャ 処理
の数。
Verifications
ア ク セ ラ レ ー タ に よ っ て実行 さ れた RSA シ グ ニチ ャ 確認
の数。
Encrypted packets
ア ク セ ラ レ ー タ が RSA 暗号化を実行 し たパケ ッ ト の数。
Decrypted packets
ア ク セ ラ レ ー タ が RSA 復号化を実行 し たパケ ッ ト の数。
Decrypted bytes
ア ク セ ラ レー タ が RSA 復号化を実行 し たデー タ のバ イ ト 数。
DSA statistics
こ のセ ク シ ョ ン は、DSA 処理に関連 し てい ま す。DSA は
バージ ョ ン 8.2 以上ではサポー ト さ れないため、こ の統計情
報は表示 さ れ ま せん。
Keys generated
ア ク セ ラ レ ー タ に よ っ て生成 さ れた DSA キー セ ッ ト の数。
Signatures
ア ク セ ラ レ ー タ に よ っ て実行 さ れた DSA シ グ ニチ ャ 処理
の数。
Verifications
ア ク セ ラ レ ー タ に よ っ て実行 さ れた DSA シ グ ニチ ャ 確認
の数。
SSL statistics
こ のセ ク シ ョ ン は、SSL レ コ ー ド 処理に関連 し てい ま す。
Outbound records
ア ク セ ラ レ ー タ に よ っ て暗号化 さ れ、認証 さ れた SSL レ
コ ー ド の数。
Inbound records
ア ク セ ラ レ ー タ に よ っ て復号化 さ れ、認証 さ れた SSL レ
コ ー ド の数。
RNG statistics
こ のセ ク シ ョ ン は、乱数生成に関連 し てい ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-17
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto accelerator statistics
関連 コ マ ン ド
出力 （続き）
説明 （続き）
Random number requests
ア ク セ ラ レ ー タ に対す る 乱数の要求の数。
Random number request failures
ア ク セ ラ レー タ に対する乱数要求の う ち、失敗 し た要求の数。
コ マン ド
clear crypto accelerator
statistics
説明
clear crypto protocol
statistics
暗号ア ク セ ラ レ ー タ MIB に あ る プ ロ ト コ ル固有の統計情報を ク
リ ア し ま す。
show crypto protocol
statistics
暗号ア ク セ ラ レ ー タ MIB か ら プ ロ ト コ ル固有の統計情報を表示
し ま す。
暗号ア ク セ ラ レ ー タ MIB に あ る グ ロ ーバルお よ びア ク セ ラ レ ー
タ 固有の統計情報を ク リ ア し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-18
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ca certificates
show crypto ca certificates
特定の ト ラ ス ト ポ イ ン ト に関連付け ら れてい る 証明書、ま たはシ ス テ ム に イ ン ス ト ール さ れて
い る すべての証明書を表示す る には、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド ま たは特権
EXEC モー ド で show crypto ca certificates コ マ ン ド を使用 し ま す。
show crypto ca certificates [trustpointname]
構文の説明
trustpointname
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
（オプシ ョ ン） ト ラ ス ト ポ イ ン ト の名前。名前を指定 し ない場合は、
ASA に イ ン ス ト ール さ れてい る すべての証明書が表示 さ れ ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
コ マ ン ド 履歴
例
ルーテ ッ ド
ト ラ ン スペ
アレン ト
シ ン グル
マルチ
コ ン テキス ト シ ス テム
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
•
Yes
•
Yes
•
Yes
•
Yes
—
特権 EXEC
•
Yes
•
Yes
•
Yes
•
Yes
—
リ リ ース
7.0(1)
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show crypto ca certificates コ マ ン ド の出力例を示 し ま す。
ciscoasa(config)# show crypto ca certificates tp1
CA Certificate
Status: Available
Certificate Serial Number 2957A3FF296EF854FD0D6732FE25B45
Certificate Usage: Signature
Issuer:
CN = ms-root-sha-06-2004
OU = rootou
O = cisco
L = franklin
ST - massachusetts
C = US
EA = [email protected]
Subject:
CN = ms-root-sha-06-2004
OU = rootou
O = cisco
L = franklin
ST = massachusetts
C = US
EA = example.com
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-19
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ca certificates
CRL Distribution Point
ldap://w2kadvancedsrv/CertEnroll/ms-root-sha-06-2004.crl
Validity Date:
start date: 14:11:40 UTC Jun 26 2004
end date: 14:01:30 UTC Jun 4 2022
Associated Trustpoints: tp2 tp1
ciscoasa(config)#
関連 コ マ ン ド
コ マン ド
crypto ca authenticate
説明
crypto ca crl request
指定 さ れた ト ラ ス ト ポ イ ン ト の コ ン フ ィ ギ ュ レ ーシ ョ ン パ ラ
メ ー タ に基づい て CRL を要求 し ま す。
crypto ca enroll
CA を使用 し て、登録プ ロ セ ス を開始 し ま す。
crypto ca import
指定 さ れた ト ラ ス ト ポ イ ン ト に証明書を イ ン ポー ト し ま す。
crypto ca trustpoint
指定 さ れた ト ラ ス ト ポ イ ン ト で ト ラ ス ト ポ イ ン ト コ ン フ ィ ギ ュ
レ ーシ ョ ン モー ド を開始 し ま す。
指定 さ れた ト ラ ス ト ポ イ ン ト の CA 証明書を取得 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-20
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ca crl
show crypto ca crl
キ ャ ッ シ ュ さ れてい る すべての CRL、ま たは指定 し た ト ラ ス ト ポ イ ン ト で キ ャ ッ シ ュ さ れてい
る すべての CRL を表示す る には、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド ま たは特権 EXEC
モー ド で show crypto ca crl コ マ ン ド を使用 し ま す。
show crypto ca crl [trustpool | trustpoint <trustpointname>]
構文の説明
trustpoint
trustpointname
（オプシ ョ ン） ト ラ ス ト ポ イ ン ト の名前。名前を指定 し ない場合は、
ASA に キ ャ ッ シ ュ さ れてい る すべての CRL が表示 さ れ ま す。
trustpool
trustpool の名前。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
コ マ ン ド 履歴
例
ルーテ ッ ド
ト ラ ン スペ
アレン ト
シ ン グル
マルチ
コ ン テキス ト シ ス テム
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
•
Yes
•
Yes
•
Yes
•
Yes
—
特権 EXEC
•
Yes
•
Yes
•
Yes
•
Yes
—
リ リ ース
7.0(1)
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show crypto ca crl コ マ ン ド の出力例を示 し ま す。
ciscoasa(config)# show crypto ca crl tp1
CRL Issuer Name:
cn=ms-sub1-ca-5-2004,ou=Franklin DevTest,o=Cisco
Systems,l=Franklin,st=MA,c=US,[email protected]
LastUpdate: 19:45:53 UTC Dec 24 2004
NextUpdate: 08:05:53 UTC Jan 1 2005
Retrieved from CRL Distribution Point:
http://win2k-ad2.frk-ms-pki.cisco.com/CertEnroll/ms-sub1-ca-5-2004.crl
Associated Trustpoints: tp1
ciscoasa(config)#
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-21
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ca crl
関連 コ マ ン ド
コ マン ド
crypto ca authenticate
説明
crypto ca crl request
指定 さ れた ト ラ ス ト ポ イ ン ト の コ ン フ ィ ギ ュ レ ーシ ョ ン パ ラ
メ ー タ に基づい て CRL を要求 し ま す。
crypto ca enroll
CA を使用 し て、登録プ ロ セ ス を開始 し ま す。
crypto ca import
指定 さ れた ト ラ ス ト ポ イ ン ト に証明書を イ ン ポー ト し ま す。
crypto ca trustpoint
指定 さ れた ト ラ ス ト ポ イ ン ト で ト ラ ス ト ポ イ ン ト コ ン フ ィ ギ ュ
レ ーシ ョ ン モー ド を開始 し ま す。
指定 さ れた ト ラ ス ト ポ イ ン ト の CA 証明書を取得 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-22
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ca server
show crypto ca server
ASA で ロ ーカル CA コ ン フ ィ ギ ュ レ ーシ ョ ン の ス テー タ ス を表示す る には、CA サーバ コ ン フ ィ
ギ ュ レ ーシ ョ ン モー ド 、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド 、ま たは特権 EXEC モー ド
で show crypto ca server コ マ ン ド を使用 し ま す。
show crypto ca server
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
アレン ト
シ ン グル
マルチ
CA サーバ コ ン フ ィ ギ ュ レ ー • Yes
ション
—
•
Yes
—
—
コ マ ン ド モー ド
コ マ ン ド 履歴
例
ルーテ ッ ド
コ ン テキス ト シ ス テム
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
•
Yes
—
•
Yes
—
—
特権 EXEC
•
Yes
—
•
Yes
—
—
リ リ ース
8.0(2)
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show crypto ca server コ マ ン ド の出力例を示 し ま す。
ciscoasa# show crypto ca server
#Certificate Server LOCAL-CA-SERVER:
Status: disabled
State: disabled
Server's configuration is unlocked (enter "no shutdown" to lock it)
Issuer name: CN=asa1.cisco.com
CA cert fingerprint: -Not foundLast certificate issued serial number: 0x0
CA certificate expiration timer: 00:00:00 UTC Jan 1 2009
CRL not present.
Current primary storage dir: nvram:
ciscoasa#
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-23
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ca server
関連 コ マ ン ド
コ マン ド
crypto ca server
説明
debug crypto ca server
ロ ーカル CA サーバ を設定す る と き に、デバ ッ グ メ ッ セージ を表
示 し ま す。
show crypto ca server
certificate
ロ ーカル CA の証明書を Base-64 形式で表示 し ま す。
show crypto ca server crl
ロ ーカル CA CRL の ラ イ フ タ イ ム を表示 し ま す。
CA サーバ コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド の CLI コ マ ン ド セ ッ
ト にア ク セ ス で き る よ う に し ま す。こ れ ら の コ マ ン ド を使用す る
こ と で、ロ ーカル CA を設定お よ び管理で き ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-24
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ca server cert-db
show crypto ca server cert-db
ロ ーカル CA サーバ証明書の全部 ま たはサブセ ッ ト （特定のユーザに発行 さ れた も の も 含む）を
表示す る には、CA サーバ コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド 、グ ロ ーバル コ ン フ ィ ギ ュ レーシ ョ ン
モー ド 、ま たは特権 EXEC モー ド で show crypto ca server cert-db コ マ ン ド を使用 し ま す。
show crypto ca server cert-db [username username | allowed | enrolled | expired | on-hold]
[serial certificate-serial-number]
構文の説明
証明書の ス テー タ ス に関係な く 、登録を許可 さ れたユーザを表示
す る よ う に指定 し ます。
有効な証明書を持つユーザを表示す る よ う に指定 し ます。
allowed
enrolled
期限切れの証明書を保持 し てい る ユーザを表示す る よ う に指定 し
ます。
expired
ま だ登録 さ れていないユーザを表示す る よ う に指定 し ます。
serial certificate-serial-number 表示す る 特定の証明書のシ リ アル番号を指定 し ま す。シ リ アル
番号は 16 進形式で あ る 必要が あ り ま す。
username username
証明書の所有者を指定 し ま す。username は、ユーザ名 ま たは電子
メ ール ア ド レ ス です。電子 メ ール ア ド レ ス の場合、エ ン ド ユー
ザに連絡を取 り ワ ン タ イ ム パ ス ワ ー ド （OTP）を配布す る ために
使用 さ れ る 電子 メ ール ア ド レ ス にな り ま す。エ ン ド ユーザの電
子 メ ール通知を イ ネーブルにす る には、電子 メ ール ア ド レ ス が
必要です。
on-hold
デフ ォル ト
デ フ ォ ル ト では、ユーザ名 も 証明書シ リ アル番号 も 指定 さ れていない場合、発行 さ れた証明書の
デー タ ベー ス 全体が表示 さ れ ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
コ マ ン ド 履歴
マルチ
コ ン テキス ト シ ス テム
CA サーバ コ ン フ ィ ギ ュ レ ー • Yes
ション
—
•
Yes
—
—
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
•
Yes
—
•
Yes
—
—
特権 EXEC
•
Yes
—
•
Yes
—
—
リ リ ース
8.0(2)
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-25
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ca server cert-db
使用上のガイ ド ラ イ ン
show crypto ca server cert-db コ マ ン ド は、ロ ーカル CA サーバに よ っ て発行 さ れたユーザ証明書
の リ ス ト を表示 し ま す。1 つ以上の任意の証明書 タ イ プ キー ワ ー ド を付け て、ま たは任意の証明
書シ リ アル番号を付け て、特定のユーザ名を指定す る こ と で、証明書デー タ ベー ス のサブセ ッ ト
を表示で き ま す。
キー ワ ー ド ま たはシ リ アル番号な し でユーザ名を指定す る と 、そのユーザに対 し て発行 さ れた
証明書がすべて表示 さ れ ま す。ユーザ ご と に、出力には、ユーザ名、電子 メ ール ア ド レ ス、ド メ イ ン
名、登録が許可 さ れ る 期間、お よ びユーザに登録招待が通知 さ れた回数 が表示 さ れ ま す。
ま た、出力には次の情報 も 表示 さ れます。
•
NOTIFIED フ ィ ール ド は、複数の リ マ イ ン ダ を サポー ト す る ために必要です。こ れに よ り 、登録
お よ び リ マ イ ン ダ通知を試行す る ためにユーザに OTP の通知を行 う 必要があ る タ イ ミ ン グが
追跡 さ れ ます。こ の フ ィ ール ド は、最初は 0 に設定 さ れてい ます。ユーザ入力に登録許可のマー
ク が付 く と 、こ の フ ィ ール ド は増分 し て 1 にな り ます。こ の時点で、最初の OTP 通知が生成 さ
れます。
•
NOTIFY フ ィ ール ド は、リ マ イ ン ダが送信 さ れ る たびに増分 し ま す。OTP が期限切れにな る
ま でに 3 つの通知が送信 さ れ ま す。ユーザが登録を許可 さ れた と き 、有効期間の中間点、お よ
び有効期間の 3/4 を経過 し た時点で通知が送信 さ れ ま す。こ の フ ィ ール ド は、管理者が開始
し た登録でのみ使用 さ れ ま す。自動証明書更新の場合、証明書デー タ ベー ス 内の NOTIFY
フ ィ ール ド が使用 さ れ ま す。
（注）
有効期限前に証明書の更新がユーザに通知 さ れ る 回数を追跡す る 場合には こ の コ マ ン
ド の通知カ ウ ン タ が使用 さ れ、証明書の登録がユーザに通知 さ れ る 回数を追跡す る 場
合には show crypto ca server user-db の通知カ ウ ン タ が使用 さ れ ます。更新通知は、cert-db
で追跡 さ れ、user-db には含まれ ません。
それぞれの証明書には、証明書のシ リ アル番号、発行日付 と 有効期限日付、お よ び証明書の ス
テー タ ス （Revoked/Not Revoked）が表示 さ れ ま す。
例
次に、CA サーバが asa に対 し て発行 し た証明書をすべて表示す る よ う 要求す る 例を示 し ま す。
ciscoasa# show crypto ca server cert-db username asa
Username: asa
Renewal allowed until: Not Allowed
Number of times user notified: 0
PKCS12 file stored until: 10:28:05 UTC Wed Sep 25 2013
Certificates Issued:
serial:
0x2
issued:
10:28:04 UTC Tue Sep 24 2013
expired: 10:28:04 UTC Thu Sep 26 2013
status:
Not Revoked
次に、ロ ーカル CA サーバに よ っ て発行 さ れた、シ リ アル番号が 0x2 の証明書をすべて表示す る
よ う 要求す る 例を示 し ま す。
ciscoasa# show crypto ca server cert-db serial 2
Username:asa
Renewal allowed until: Not Allowed
Number of times user notified: 0
PKCS12 file stored until: 10:28:05 UTC Wed Sep 25 2013
Certificates Issued:
serial:
0x2
issued:
10:28:04 UTC Tue Sep 24 2013
expired: 10:28:04 UTC Thu Sep 26 2013
status:
Not Revoked
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-26
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ca server cert-db
次に、ロ ーカル CA サーバに よ っ て発行 さ れた証明書をすべて表示す る よ う 要求す る 例を示 し
ま す。
ciscoasa# show crypto ca server cert-db
Username: asa
Renewal allowed until: Not Allowed
Number of times user notified: 0
PKCS12 file stored until: 10:28:05 UTC Wed Sep 25 2013
Certificates Issued:
serial:
0x2
issued:
10:28:04 UTC Tue Sep 24 2013
expired: 10:28:04 UTC Thu Sep 26 2013
status:
Not Revoked
関連 コ マ ン ド
コ マン ド
crypto ca server
説明
crypto ca server revoke
ロ ーカル CA サーバが発行 し た証明書を、証明書デー タ ベー ス と
CRL の両方で失効 と し て マー ク し ま す。
lifetime crl
CRL の ラ イ フ タ イ ム を指定 し ま す。
CA サーバ コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド の CLI コ マ ン ド セ ッ ト に
ア ク セ ス で き る よ う に し ま す。こ れ ら の コ マ ン ド を使用す る こ と で、
ロ ーカル CA を設定お よ び管理で き ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-27
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ca server certificate
show crypto ca server certificate
ロ ーカル CA サーバの証明書を Base-64 形式で表示す る には、CA サーバ コ ン フ ィ ギ ュ レ ーシ ョ
ン モー ド 、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド 、ま たは特権 EXEC モー ド で show crypto
ca server certificate コ マ ン ド を使用 し ま す。
show crypto ca server certificate
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ト ラ ン スペ
アレン ト
シ ン グル
マルチ
Yes
—
•
Yes
—
—
ルーテ ッ ド
CA サーバ コ ン フ ィ ギ ュ レ ー •
コ ン テキス ト シ ス テム
ション
コ マ ン ド 履歴
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
•
Yes
—
•
Yes
—
—
特権 EXEC
•
Yes
—
•
Yes
—
—
リ リ ース
8.0(2)
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
show crypto ca server certificate コ マ ン ド に よ り 、ロ ーカル CA サーバの証明書が Base-64 形式で
表示 さ れ ま す。こ の表示画面では、ロ ーカル CA サーバ を信頼す る 必要が あ る 他のデバ イ ス に証
明書を エ ク ス ポー ト す る と き に、その証明書を カ ッ ト ア ン ド ペー ス ト で き ま す。
例
次に、show crypto ca server certificate コ マ ン ド の出力例を示 し ま す。
ciscoasa# show crypto ca server certificate
The base64 encoded local CA certificate follows:
MIIXlwIBAzCCF1EGCSqGSIb3DQEHAaCCF0IEghc+MIIXOjCCFzYGCSqGSIb3DQEHBqCCFycwghcjAgEAMIIXHAYJKo
ZIhvcNAQcBMBsGCiqGSIb3DQEMAQMwDQQIjph4SxJoyTgCAQGAghbw3v4bFy+GGG2dJnB4OLphsUM+IG3SDOiDwZG9
n1SvtMieoxd7Hxknxbum06JDrujWKtHBIqkrm+td34qlNE1iGeP2YC94/NQ2z+4kS+uZzwcRhl1KEZTS1E4L0fSaC3
uMTxJq2NUHYWmoc8pi4CIeLj3h7VVMy6qbx2AC8I+q57+QG5vG5l5Hi5imwtYfaWwPEdPQxaWZPrzoG1J8BFqdPa1j
BGhAzzuSmElm3j/2dQ3Atro1G9nIsRHgV39fcBgwz4fEabHG7/Vanb+fj81d5nlOiJjDYYbP86tvbZ2yOVZR6aKFVI
0b2AfCr6PbwfC9U8Z/aF3BCyM2sN2xPJrXva94CaYrqyotZdAkSYA5KWScyEcgdqmuBeGDKOncTknfgy0XM+fG5rb3
qAXy1GkjyFI5Bm9Do6RUROoG1DSrQrKeq/hj….
ciscoasa#
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-28
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ca server certificate
関連 コ マ ン ド
コ マン ド
crypto ca server
説明
issuer-name
認証局証明書のサブ ジ ェ ク ト 名 DN を指定 し ま す。
keysize
ユーザ証明書登録で生成 さ れ る 公開キー と 秘密キーのサ イ ズ を指定
し ま す。
lifetime
CA 証明書 と 発行済みの証明書の ラ イ フ タ イ ム を指定 し ま す。
show crypto ca server
ロ ーカル CA コ ン フ ィ ギ ュ レ ーシ ョ ン を ASCII テ キ ス ト 形式で表示
し ま す。
CA サーバ コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド の CLI コ マ ン ド セ ッ ト に
ア ク セ ス で き る よ う に し ま す。こ れ ら の コ マ ン ド を使用す る こ と で、
ロ ーカル CA を設定お よ び管理で き ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-29
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ca server crl
show crypto ca server crl
ロ ーカル CA の現在の CRL を表示す る には、CA サーバ コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド 、グ ロ ー
バル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド 、ま たは特権 EXEC モー ド で show crypto ca server crl コ マ
ン ド を使用 し ま す。
show crypto ca server crl
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
アレン ト
シ ン グル
マルチ
CA サーバ コ ン フ ィ ギ ュ レ ー • Yes
ション
—
•
Yes
—
—
コ マ ン ド モー ド
コ マ ン ド 履歴
例
ルーテ ッ ド
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
•
Yes
—
•
Yes
—
—
特権 EXEC
•
Yes
—
•
Yes
—
—
リ リ ース
8.0(2)
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show crypto ca server crl コ マ ン ド の出力例を示 し ま す。
ciscoasa# show crypto ca server crl
asa5540(config)# sh cry ca ser crl
Certificate Revocation List:
Issuer: cn=asa5540.frqa.cisco.com
This Update: 07:32:27 UTC Oct 16 2006
Next Update: 13:32:27 UTC Oct 16 2006
Number of CRL entries: 0
CRL size: 232 bytes
asa5540(config)#
ciscoasa#
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-30
コ ン テキス ト シ ス テム
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ca server crl
関連 コ マ ン ド
コ マン ド
cdp-url
説明
crypto ca server
CA サーバ コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド の CLI コ マ ン ド セ ッ ト に
ア ク セ ス で き る よ う に し ま す。こ れ ら の コ マ ン ド を使用す る こ と で、
ロ ーカル CA を設定お よ び管理で き ま す。
crypto ca server revoke
ロ ーカル CA サーバが発行 し た証明書を、証明書デー タ ベー ス と
CRL で失効 と し て マー ク し ま す。
lifetime crl
CRL の ラ イ フ タ イ ム を指定 し ま す。
show crypto ca server
CA コ ン フ ィ ギ ュ レ ーシ ョ ン の ス テー タ ス を表示 し ま す。
CA が発行す る 証明書に含め る CRL 分散ポ イ ン ト （CDP）を指定 し ま
す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-31
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ca server user-db
show crypto ca server user-db
ロ ーカル CA サーバのユーザ デー タ ベー ス に含 ま れてい る ユーザ を表示す る には、CA サーバ コ
ン フ ィ ギ ュ レ ーシ ョ ン モー ド 、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド 、ま たは特権 EXEC
モー ド で show crypto ca server user-db コ マ ン ド を使用 し ま す。
show crypto ca server user-db [ expired | allowed | on-hold | enrolled]
構文の説明
allowed
（オプシ ョ ン）証明書の ス テー タ ス に関係な く 、登録を許可 さ れたユー
ザ を表示す る よ う に指定 し ま す。
enrolled
（オプシ ョ ン）有効な証明書を持つユーザを表示す る よ う に指定 し ます。
expired
（オプシ ョ ン）期限切れの証明書を保持 し てい る ユーザ を表示す る よ う
に指定 し ま す。
on-hold
（オプシ ョ ン） ま だ登録 さ れてい ないユーザ を表示す る よ う に指定 し
ま す。
デフ ォル ト
デ フ ォ ル ト では、キー ワ ー ド が入力 さ れない場合にはデー タ ベー ス 内のすべてのユーザが表示
さ れ ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
コ マ ン ド 履歴
例
コ ン テキス ト シ ス テム
CA サーバ コ ン フ ィ ギ ュ レ ー • Yes
ション
—
•
Yes
—
—
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
•
Yes
—
•
Yes
—
—
特権 EXEC
•
Yes
—
•
Yes
—
—
リ リ ース
8.0(2)
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、現在登録 さ れてい る ユーザ を表示す る 例を示 し ま す。
ciscoasa# show crypto ca server user-db enrolled
Username
DN
Certificate issued
exampleusercn=Example User,o=...5/31/2009
ciscoasa#
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-32
マルチ
Certificate expiration
5/31/2010
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ca server user-db
使用上のガイ ド ラ イ ン
証明書の登録がユーザに通知 さ れ る 回数を追跡す る 場合には こ の コ マ ン ド の通知カ ウ ン タ が使
用 さ れ、有効期限前に証明書の更新がユーザに通知 さ れ る 回数を追跡す る 場合には show crypto
ca server cert-db の通知カ ウ ン タ が使用 さ れ ま す。更新通知は、cert-db で追跡 さ れ、user-db には含
ま れ ま せん。
関連 コ マ ン ド
コ マン ド
crypto ca server user-db add
説明
crypto ca server user-db allow
CA サーバ デー タ ベー ス 内の特定のユーザ ま たはユーザのサ
ブセ ッ ト に、ロ ーカル CA への登録を許可 し ま す。
CA サーバのユーザ デー タ ベー ス にユーザ を追加 し ま す。
crypto ca server user-db remove CA サーバのユーザ デー タ ベー ス か ら ユーザ を削除 し ま す。
crypto ca server user-db write
ロ ーカル CA デー タ ベー ス で設定 さ れてい る ユーザ情報 を ス
ト レ ージに書 き 込み ま す。
show crypto ca server cert-db
ロ ーカル CA に よ っ て発行 さ れた証明書をすべて表示 し ます。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-33
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ca trustpool
show crypto ca trustpool
trustpool を構成す る 証明書を表示す る には、特権 EXEC モー ド で show crypto ca trustpool コ マ
ン ド を使用 し ま す。
show crypto ca trustpool [detail]
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
こ の コ マ ン ド は、すべての trustpool を省略形式で表示 し ま す。「detail」オプシ ョ ン を指定 し た場合
は、追加の情報が含 ま れ ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
リ リ ース
9.0(1)
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
show crypto ca trustpool コ マ ン ド の出力には、各証明書の フ ィ ン ガープ リ ン ト の値が含 ま れ ま す。
こ れ ら の値は削除操作で必要です。
例
ciscoasa# show crypto ca trustpool
CA Certificate
Status: Available
Certificate Serial Number: 6c386c409f4ff4944154635da520ed4c
Certificate Usage: Signature
Public Key Type: RSA (2048 bits)
Signature Algorithm: SHA1 with RSA Encryption
Issuer Name: cn=bxb2008-root
dc=bdb2008
dc=mycompany
dc=com
Subject Name:
cn=bxb2008-root
dc=bxb2008
dc=cisco
dc=com
Validity Date:
start date:17:21:06 EST Jan 14 2009
end date:17:31:06 EST Jan 14 2024
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-34
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ca trustpool
CA Certificate
Status: Available
Certificate Serial Number: 58d1c756000000000059
Certificate Usage: Signature
Public Key Type: RSA (2048 bits)
Signature Algorithm: SHA1 with RSA Encryption
Issuer Name:
cn=bxb2008-root
dc=bxb2008
dc=mycompany
dc=com
Subject Name:
cn=BXB2008SUB1-CA
dc=bxb2008
dc=cisco
dc=com
OCSP AIA:
URL: http://bxb2008-1.bxb2008.mycompany.com/ocsp
CRL Distribution Points:
(1) http://bxb2008-1.bxb2008.mycompany.com/CertEnroll/bxb2008-root.crl
Validity Date:
start date:11:54:34 EST May 18 2009
end date:12:04:34 EST May 18 2011
関連 コ マ ン ド
コ マン ド
clear crypto ca trustpool
説明
crypto ca trustpool import
PKI trustpool を構成す る 証明書を イ ン ポー ト し ま す。
crypto ca trustpool remove
指定 し た単一の証明書を trustpool か ら 削除 し ま す。
trustpool か ら すべての証明書を削除 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-35
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ca trustpool policy
show crypto ca trustpool policy
設定済みの trustpool ポ リ シーを表示 し 、適用 さ れた証明書マ ッ プ を処理 し て それ ら がポ リ シー
に与え る 影響を表示す る には、特権 EXEC モー ド で show crypto ca trustpool policy コ マ ン ド を
使用 し ま す。
show crypto ca trustpool policy
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
例
リ リ ース
9.0(1)
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
ciscoasa(config)# sh run cry ca cert map
crypto ca certificate map map1 1
issuer-name eq cn = mycompany manufacturing ca
issuer-name eq cn = mycompany ca
crypto ca certificate map map 2 1
issuer-name eq cn = mycompany manufacturing ca
issuer-name eq cn = mycompany ca2
ciscoasa(config)#
ciscoasa(config)# sh run crypto ca trustpool policy
crypto ca trustpool policy
revocation-check none
match certificate map2 allow expired-certificate
match certificate map1 skip revocation-check
crl cache-time 123
ciscoasa(config)#
ciscoasa# show crypto ca trustpool policy
800 trustpool certificates installed
Trustpool Policy
Trustpool revocation checking is disabled
CRL cache time: 123 seconds
CRL next update field: required and forced
Policy overrides:
map: map1
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-36
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
—
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ca trustpool policy
match:issuer-name eq cn=Mycompany Manufacturing CA
match:issuer-name eq cn=Mycompany CA
action:skip revocation-check
map: map2
match: issuer-name eq cn=mycompany Manufacturing CA
match: issuer-name eq cn=mycompany CA2
action: allowed expired certificates
ciscoasa(config)#
関連 コ マ ン ド
コ マン ド
crypto ca trustpool policy
説明
trustpool ポ リ シーを定義す る コ マ ン ド を提供す る サブモー ド を
開始 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-37
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto debug-condition
show crypto debug-condition
IPsec お よ び ISAKMP のデバ ッ グ メ ッ セージに対 し て現在設定 さ れてい る フ ィ ル タ 、一致 し ない
状態、お よ びエ ラ ー状態を表示す る には、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で show
crypto debug-condition コ マ ン ド を使用 し ま す。
show crypto debug-condition
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ルーテ ッ ド
コ マ ン ド モー ド
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
例
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
リ リ ース
8.0(2)
変更内容
9.0(1)
マルチ コ ン テ キ ス ト モー ド のサポー ト が追加 さ れ ま し た。
—
こ の コ マ ン ド が追加 さ れ ま し た。
次に、フ ィ ル タ リ ン グ条件を表示す る 例を示 し ま す。
ciscoasa(config)# show crypto debug-condition
Crypto conditional debug is turned ON
IKE debug context unmatched flag: OFF
IPsec debug context unmatched flag: ON
IKE peer IP address filters:
1.1.1.0/24
2.2.2.2
IKE user name filters:
my_user
関連 コ マ ン ド
コ マン ド
debug crypto condition
説明
IPsec お よ び ISAKMP デバ ッ グ メ ッ セージの フ ィ ル タ リ ン グ条
件を設定 し ま す。
debug crypto condition error フ ィ ル タ リ ン グ条件が指定 さ れてい る か ど う かのデバ ッ グ メ ッ
セージ を表示 し ま す。
debug crypto condition
フ ィ ル タ リ ン グ に十分な コ ン テ キ ス ト 情報が含 ま れてい ない
unmatched
IPsec お よ び ISAKMP のデバ ッ グ メ ッ セージ を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-38
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ikev1 sa
show crypto ikev1 sa
IKEv1 ラ ン タ イ ム SA デー タ ベー ス を表示す る には、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー
ド ま たは特権 EXEC モー ド で show crypto ikev1 sa コ マ ン ド を使用 し ま す。
show crypto ikev1 sa [detail]
構文の説明
detail
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
SA デー タ ベー ス に関す る 詳細出力を表示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
ルーテ ッ ド
ト ラ ン スペ
アレン ト
シ ン グル
マルチ
コ ン テキス ト シ ス テム
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
•
Yes
—
•
Yes
•
特権 EXEC
•
Yes
—
•
Yes
—
Yes
—
—
リ リ ース
8.4(1)
変更内容
9.0(1)
マルチ コ ン テ キ ス ト モー ド のサポー ト が追加 さ れ ま し た。
こ の コ マ ン ド が追加 さ れ ま し た。
こ の コ マ ン ド の出力には、次の フ ィ ール ド が含 ま れてい ま す。
detail オプシ ョ ン を指定 し ない場合。
IKE Peer
Type
209.165.200.225 L2L
Dir
Rky
State
Init
No
MM_Active
Dir
Rky
State
Encrypt Hash Auth
Lifetime
Init
No
MM_Active
3des
86400
detail オプシ ョ ン を指定 し た場合。
IKE Peer
Type
209.165.200.225 L2L
md5
preshrd
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-39
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ikev1 sa
例
次に、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で、SA デー タ ベー ス に関す る 詳細情報を表示
す る 例を示 し ま す。
ciscoasa(config)# show crypto ikev1 sa detail
IKE Peer Type Dir
Rky State
1 209.165.200.225 User Resp No
Encrypt Hash
AM_Active 3des
Auth
SHA
Lifetime
preshrd 86400
IKE Peer Type Dir
Rky State
2 209.165.200.226 User Resp No
Encrypt Hash
AM_ACTIVE 3des
Auth
SHA
Lifetime
preshrd 86400
IKE Peer Type Dir
Rky State
3 209.165.200.227 User Resp No
Encrypt Hash
AM_ACTIVE 3des
Auth
SHA
Lifetime
preshrd 86400
IKE Peer Type Dir
Rky State
4 209.165.200.228 User Resp No
Encrypt Hash
AM_ACTIVE 3des
Auth
SHA
Lifetime
preshrd 86400
ciscoasa(config)#
関連 コ マ ン ド
コ マン ド
show crypto ikev2 sa
説明
show running-config
crypto isakmp
ア ク テ ィ ブな ISAKMP コ ン フ ィ ギ ュ レ ーシ ョ ン をすべて表示 し ま す。
IKEv2 ラ ン タ イ ム SA デー タ ベー ス を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-40
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ikev2 sa
show crypto ikev2 sa
IKEv2 ラ ン タ イ ム SA デー タ ベー ス を表示す る には、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー
ド ま たは特権 EXEC モー ド で show crypto ikev2 sa コ マ ン ド を使用 し ま す。
show crypto ikev2 sa [detail]
構文の説明
detail
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
SA デー タ ベー ス に関す る 詳細出力を表示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
ルーテ ッ ド
ト ラ ン スペ
アレン ト
シ ン グル
マルチ
コ ン テキス ト シ ス テム
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
•
Yes
—
•
Yes
•
特権 EXEC
•
Yes
—
•
Yes
—
Yes
—
—
リ リ ース
8.4(1)
変更内容
9.0(1)
マルチ コ ン テ キ ス ト モー ド のサポー ト が追加 さ れ ま し た。
こ の コ マ ン ド が追加 さ れ ま し た。
こ の コ マ ン ド の出力には、次の フ ィ ール ド が含 ま れてい ま す。
detail オプシ ョ ン を指定 し ない場合。
IKE Peer
Type
209.165.200.225 L2L
Dir
Rky
State
Init
No
MM_Active
Dir
Rky
State
Encrypt Hash Auth
Lifetime
Init
No
MM_Active
3des
86400
detail オプシ ョ ン を指定 し た場合。
IKE Peer
Type
209.165.200.225 L2L
md5
preshrd
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-41
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ikev2 sa
例
次に、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で、SA デー タ ベー ス に関す る 詳細情報を表示
す る 例を示 し ま す。
ciscoasa(config)# show crypto ikev2 sa detail
IKEv2 SAs:
Session-id:1, Status:UP-ACTIVE, IKE count:1, CHILD count:1
Tunnel-id
Local
Remote
Status
Role
671069399
10.0.0.0/500 10.255.255.255/500
READY
INITIATOR
Encr: AES-GCM, keysize: 256, Hash: N/A, DH Grp:20, Auth sign: PSK, Auth verify: PSK
Life/Active Time: 86400/188 sec
Session-id: 1
Status Description: Negotiation done
Local spi: 80173A0373C2D403
Remote spi: AE8AEFA1B97DBB22
Local id: asa
Remote id: asa1
Local req mess id: 8
Remote req mess id: 7
Local next mess id: 8
Remote next mess id: 7
Local req queued: 8
Remote req queued: 7
Local window: 1
Remote window: 1
DPD configured for 10 seconds, retry 2
NAT-T is not detected
Child sa: local selector 0.0.0.0/0 - 255.255.255.255/65535
remote selector 0.0.0.0/0 - 255.255.255.255/65535
ESP spi in/out: 0x242a3da5/0xe6262034
AH spi in/out: 0x0/0x0
CPI in/out: 0x0/0x0
Encr: AES-GCM, keysize: 128, esp_hmac: N/A
ah_hmac: None, comp: IPCOMP_NONE, mode tunnel
関連 コ マ ン ド
コ マン ド
show crypto ikev1 sa
説明
show running-config
crypto isakmp
ア ク テ ィ ブな ISAKMP コ ン フ ィ ギ ュ レ ーシ ョ ン をすべて表示 し ま す。
IKEv1 ラ ン タ イ ム SA デー タ ベー ス を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-42
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ipsec df-bit
show crypto ipsec df-bit
指定 し た イ ン タ ー フ ェ イ ス の IPsec パケ ッ ト の IPsec DF ビ ッ ト ポ リ シーを表示す る には、グ
ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド ま たは特権 EXEC モー ド で show crypto ipsec df-bit コ
マ ン ド を使用 し ま す。
show crypto ipsec df-bit interface
構文の説明
interface
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
イ ン タ ー フ ェ イ ス 名を指定 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
コ マ ン ド 履歴
例
ルーテ ッ ド
ト ラ ン スペ
アレン ト
シ ン グル
マルチ
コ ン テキス ト シ ス テム
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
•
Yes
•
Yes
•
Yes
—
—
特権 EXEC
•
Yes
•
Yes
•
Yes
—
—
リ リ ース
7.0(1)
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、inside と い う イ ン タ ー フ ェ イ ス の IPsec DF ビ ッ ト ポ リ シーを表示す る 例を示 し ま す。
ciscoasa(config)# show crypto ipsec df-bit inside
df-bit inside copy
ciscoasa(config)#
関連 コ マ ン ド
コ マン ド
crypto ipsec df-bit
説明
crypto ipsec fragmentation
IPsec パケ ッ ト の フ ラ グ メ ン テーシ ョ ン ポ リ シーを設定
し ま す。
show crypto ipsec fragmentation
IPsec パケ ッ ト の フ ラ グ メ ン テーシ ョ ン ポ リ シーを表示
し ま す。
IPsec パケ ッ ト の IPsec DF ビ ッ ト ポ リ シーを設定 し ます。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-43
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ipsec fragmentation
show crypto ipsec fragmentation
IPsec パケ ッ ト の フ ラ グ メ ン テーシ ョ ン ポ リ シーを表示す る には、グ ロ ーバル コ ン フ ィ ギ ュ レー
シ ョ ン モー ド ま たは特権 EXEC モー ド で show crypto ipsec fragmentation コ マ ン ド を使用 し ます。
show crypto ipsec fragmentation interface
構文の説明
interface
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
イ ン タ ー フ ェ イ ス 名を指定 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
コ マ ン ド 履歴
例
ルーテ ッ ド
ト ラ ン スペ
アレン ト
シ ン グル
マルチ
コ ン テキス ト シ ス テム
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
•
Yes
•
Yes
•
Yes
—
—
特権 EXEC
•
Yes
•
Yes
•
Yes
—
—
リ リ ース
7.0(1)
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で、inside と い う 名前の イ ン タ ー フ ェ イ ス の
IPsec フ ラ グ メ ン テーシ ョ ン ポ リ シーを表示す る 例を示 し ま す。
ciscoasa(config)# show crypto ipsec fragmentation inside
fragmentation inside before-encryption
ciscoasa(config)#
関連 コ マ ン ド
コ マン ド
crypto ipsec fragmentation
説明
crypto ipsec df-bit
IPsec パケ ッ ト の DF ビ ッ ト ポ リ シーを設定 し ま す。
show crypto ipsec df-bit
指定 し た イ ン タ ー フ ェ イ ス の DF ビ ッ ト ポ リ シー を表示 し ま す。
IPsec パケ ッ ト の フ ラ グ メ ン テーシ ョ ン ポ リ シーを設定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-44
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ipsec policy
show crypto ipsec policy
OSPFv3 で提供 さ れ る IPsec セ キ ュ ア ソ ケ ッ ト API（SS API）セ キ ュ リ テ ィ ポ リ シー情報を表示
す る には、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド ま たは特権 EXEC モー ド で show crypto
ipsec policy コ マ ン ド を使用 し ま す。こ の コ マ ン ド の別の形式で あ る show ipsec policy を使用す
る こ と も で き ま す。
show crypto ipsec policy [name]
構文の説明
name
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
ポ リ シー名を指定 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
コ マ ン ド 履歴
例
ルーテ ッ ド
ト ラ ン スペ
アレン ト
シ ン グル
マルチ
コ ン テキス ト シ ス テム
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
•
Yes
•
Yes
•
Yes
—
—
特権 EXEC
•
Yes
•
Yes
•
Yes
—
—
リ リ ース
7.0(1)
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で、CSSU-UTF と い う 名前のポ リ シーについ
て暗号セ キ ュ ア ソ ケ ッ ト API で イ ン ス ト ール さ れた ポ リ シー情報を表示す る 例を示 し ま す。
ciscoasa(config)# show crypto ipsec policy
Crypto IPsec client security policy data
Policy name:
CSSU-UTF
Policy refcount: 0
Inbound ESP SPI:
1031 (0x407)
Outbound ESP SPI:
1031 (0x407)
Inbound ESP Auth Key:
0123456789abcdef
Outbound ESP Auth Key:
0123456789abcdef
Inbound ESP Cipher Key:
Outbound ESP Cipher Key:
Transform set:
esp-sha-hmac
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-45
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ipsec policy
関連 コ マ ン ド
コ マン ド
show crypto ipsec
fragmentation
説明
show crypto ipsec sa
IPsec SA の リ ス ト を表示 し ま す。
show crypto ipsec df-bit
指定 し た イ ン タ ー フ ェ イ ス の DF ビ ッ ト ポ リ シー を表示 し ま す。
show crypto sockets
暗号セ キ ュ ア ソ ケ ッ ト お よ び ソ ケ ッ ト 状態を表示 し ま す。
IPsec パケ ッ ト の フ ラ グ メ ン テーシ ョ ン ポ リ シーを表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-46
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ipsec sa
show crypto ipsec sa
IPsec SA の リ ス ト を表示す る には、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド ま たは特権
EXEC モー ド で show crypto ipsec sa コ マ ン ド を使用 し ま す。こ の コ マ ン ド の別の形式で あ る
show ipsec sa を使用す る こ と も で き ま す。
show crypto ipsec sa [entry | identity | map map-name | peer peer-addr] [detail]
構文の説明
detail
（オプシ ョ ン）表示 さ れてい る も のに対す る 詳細なエ ラ ー情報 を表示
し ま す。
entry
（オプシ ョ ン）IPsec SA を ピ ア ア ド レ ス の順に表示 し ま す。
identity
（オプシ ョ ン）IPsec SA を ID の順に表示 し ま す。ESP は含 ま れ ま せん。
こ れは簡略化 さ れた形式です。
map map-name
（オプシ ョ ン）指定 さ れた ク リ プ ト マ ッ プの IPsec SA を表示 し ま す。
peer peer-addr
（オプシ ョ ン）指定 さ れた ピ ア IP ア ド レ ス の IPsec SA を表示 し ま す。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
コ マ ン ド 履歴
例
ルーテ ッ ド
ト ラ ン スペ
アレン ト
シ ン グル
マルチ
コ ン テキス ト シ ス テム
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
•
Yes
•
Yes
•
Yes
—
—
特権 EXEC
•
Yes
•
Yes
•
Yes
—
—
リ リ ース
7.0(1)
変更内容
9.0(1)
OSPFv3、マルチ コ ン テ キ ス ト モー ド 、ト ラ ン ス フ ォ ーム と IV サ イ ズ
部分におけ る Suite-B アル ゴ リ ズ ム、お よ び ESPV3 IPsec 出力に対す
る サポー ト が追加 さ れ ま し た。
こ の コ マ ン ド が追加 さ れ ま し た。
次に、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で、OSPFv3 と し て識別 さ れ る ト ン ネル を含む
IPsec SA を表示す る 例を示 し ま す。
ciscoasa(config)# show crypto ipsec sa
interface: outside2
Crypto map tag: def, local addr: 10.132.0.17
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
remote ident (addr/mask/prot/port): (172.20.0.21/255.255.255.255/0/0)
current_peer: 172.20.0.21
dynamic allocated peer ip: 10.135.1.5
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-47
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ipsec sa
#pkts encaps: 0, #pkts encrypt: 0, #pkts digest: 0
#pkts decaps: 1145, #pkts decrypt: 1145, #pkts verify: 1145
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts comp failed: 0, #pkts decomp failed: 0
#pre-frag successes: 2, #pre-frag failures: 1, #fragments created: 10
#PMTUs sent: 5, #PMTUs rcvd: 2, #decapstulated frags needing reassembly: 1
#send errors: 0, #recv errors: 0
local crypto endpt.: 10.132.0.17, remote crypto endpt.: 172.20.0.21
path mtu 1500, ipsec overhead 60, media mtu 1500
current outbound spi: DC15BF68
inbound esp sas:
spi: 0x1E8246FC (511854332)
transform: esp-3des esp-md5-hmac
in use settings ={L2L, Transport, Manual
slot: 0, conn_id: 3, crypto-map: def
sa timing: remaining key lifetime (sec):
IV size: 8 bytes
replay detection support: Y
outbound esp sas:
spi: 0xDC15BF68 (3692412776)
transform: esp-3des esp-md5-hmac
in use settings ={L2L, Transport, Manual
slot: 0, conn_id: 3, crypto-map: def
sa timing: remaining key lifetime (sec):
IV size: 8 bytes
replay detection support: Y
key, (OSPFv3), }
548
key, (OSPFv3), }
548
Crypto map tag: def, local addr: 10.132.0.17
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
ciscoasa(config)#
（注）
IPsec SA ポ リ シーに、フ ラ グ メ ン テーシ ョ ン は IPsec 処理の前に発生す る と 明記 さ れてい る 場合、
フ ラ グ メ ン テーシ ョ ン統計情報は、フ ラ グ メ ン テーシ ョ ン前の統計情報です。SA ポ リ シーに、フ
ラ グ メ ン テーシ ョ ン は IPsec 処理の後に発生す る と 明記 さ れてい る 場合、フ ラ グ メ ン テーシ ョ ン
後の統計情報が表示 さ れ ま す。
次に、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で、def と い う 名前の ク リ プ ト マ ッ プの IPsec
SA を表示す る 例 を示 し ま す。
ciscoasa(config)# show crypto ipsec sa map def
cryptomap: def
Crypto map tag: def, local addr: 172.20.0.17
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
remote ident (addr/mask/prot/port): (10.132.0.21/255.255.255.255/0/0)
current_peer: 10.132.0.21
dynamic allocated peer ip: 90.135.1.5
#pkts
#pkts
#pkts
#pkts
#send
encaps: 0, #pkts encrypt: 0, #pkts digest: 0
decaps: 1146, #pkts decrypt: 1146, #pkts verify: 1146
compressed: 0, #pkts decompressed: 0
not compressed: 0, #pkts comp failed: 0, #pkts decomp failed: 0
errors: 0, #recv errors: 0
local crypto endpt.: 172.20.0.17, remote crypto endpt.: 10.132.0.21
path mtu 1500, ipsec overhead 60, media mtu 1500
current outbound spi: DC15BF68
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-48
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ipsec sa
inbound esp sas:
spi: 0x1E8246FC (511854332)
transform: esp-3des esp-md5-hmac
in use settings ={RA, Tunnel, }
slot: 0, conn_id: 3, crypto-map: def
sa timing: remaining key lifetime (sec): 480
IV size: 8 bytes
replay detection support: Y
outbound esp sas:
spi: 0xDC15BF68 (3692412776)
transform: esp-3des esp-md5-hmac
in use settings ={RA, Tunnel, }
slot: 0, conn_id: 3, crypto-map: def
sa timing: remaining key lifetime (sec): 480
IV size: 8 bytes
replay detection support: Y
Crypto map tag: def, local addr: 172.20.0.17
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
remote ident (addr/mask/prot/port): (192.168.132.0/255.255.255.0/0/0)
current_peer: 10.135.1.8
dynamic allocated peer ip: 0.0.0.0
#pkts
#pkts
#pkts
#pkts
#send
encaps: 73672, #pkts encrypt: 73672, #pkts digest: 73672
decaps: 78824, #pkts decrypt: 78824, #pkts verify: 78824
compressed: 0, #pkts decompressed: 0
not compressed: 73672, #pkts comp failed: 0, #pkts decomp failed: 0
errors: 0, #recv errors: 0
local crypto endpt.: 172.20.0.17, remote crypto endpt.: 10.135.1.8
path mtu 1500, ipsec overhead 60, media mtu 1500
current outbound spi: 3B6F6A35
inbound esp sas:
spi: 0xB32CF0BD (3006066877)
transform: esp-3des esp-md5-hmac
in use settings ={RA, Tunnel, }
slot: 0, conn_id: 4, crypto-map: def
sa timing: remaining key lifetime (sec): 263
IV size: 8 bytes
replay detection support: Y
outbound esp sas:
spi: 0x3B6F6A35 (997157429)
transform: esp-3des esp-md5-hmac
in use settings ={RA, Tunnel, }
slot: 0, conn_id: 4, crypto-map: def
sa timing: remaining key lifetime (sec): 263
IV size: 8 bytes
replay detection support: Y
ciscoasa(config)#
次に、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で、キー ワ ー ド entry に対す る IPsec SA を表示
す る 例を示 し ま す。
ciscoasa(config)# show crypto ipsec sa entry
peer address: 10.132.0.21
Crypto map tag: def, local addr: 172.20.0.17
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
remote ident (addr/mask/prot/port): (10.132.0.21/255.255.255.255/0/0)
current_peer: 10.132.0.21
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-49
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ipsec sa
dynamic allocated peer ip: 90.135.1.5
#pkts
#pkts
#pkts
#pkts
#send
encaps: 0, #pkts encrypt: 0, #pkts digest: 0
decaps: 1147, #pkts decrypt: 1147, #pkts verify: 1147
compressed: 0, #pkts decompressed: 0
not compressed: 0, #pkts comp failed: 0, #pkts decomp failed: 0
errors: 0, #recv errors: 0
local crypto endpt.: 172.20.0.17, remote crypto endpt.: 10.132.0.21
path mtu 1500, ipsec overhead 60, media mtu 1500
current outbound spi: DC15BF68
inbound esp sas:
spi: 0x1E8246FC (511854332)
transform: esp-3des esp-md5-hmac
in use settings ={RA, Tunnel, }
slot: 0, conn_id: 3, crypto-map: def
sa timing: remaining key lifetime (sec): 429
IV size: 8 bytes
replay detection support: Y
outbound esp sas:
spi: 0xDC15BF68 (3692412776)
transform: esp-3des esp-md5-hmac
in use settings ={RA, Tunnel, }
slot: 0, conn_id: 3, crypto-map: def
sa timing: remaining key lifetime (sec): 429
IV size: 8 bytes
replay detection support: Y
peer address: 10.135.1.8
Crypto map tag: def, local addr: 172.20.0.17
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
remote ident (addr/mask/prot/port): (192.168.132.0/255.255.255.0/0/0)
current_peer: 10.135.1.8
dynamic allocated peer ip: 0.0.0.0
#pkts
#pkts
#pkts
#pkts
#send
encaps: 73723, #pkts encrypt: 73723, #pkts digest: 73723
decaps: 78878, #pkts decrypt: 78878, #pkts verify: 78878
compressed: 0, #pkts decompressed: 0
not compressed: 73723, #pkts comp failed: 0, #pkts decomp failed: 0
errors: 0, #recv errors: 0
local crypto endpt.: 172.20.0.17, remote crypto endpt.: 10.135.1.8
path mtu 1500, ipsec overhead 60, media mtu 1500
current outbound spi: 3B6F6A35
inbound esp sas:
spi: 0xB32CF0BD (3006066877)
transform: esp-3des esp-md5-hmac
in use settings ={RA, Tunnel, }
slot: 0, conn_id: 4, crypto-map: def
sa timing: remaining key lifetime (sec): 212
IV size: 8 bytes
replay detection support: Y
outbound esp sas:
spi: 0x3B6F6A35 (997157429)
transform: esp-3des esp-md5-hmac
in use settings ={RA, Tunnel, }
slot: 0, conn_id: 4, crypto-map: def
sa timing: remaining key lifetime (sec): 212
IV size: 8 bytes
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-50
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ipsec sa
replay detection support: Y
ciscoasa(config)#
次に、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で、キー ワ ー ド entry detail を使用 し て IPsec
SA を表示す る 例 を示 し ま す。
ciscoasa(config)# show crypto ipsec sa entry detail
peer address: 10.132.0.21
Crypto map tag: def, local addr: 172.20.0.17
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
remote ident (addr/mask/prot/port): (10.132.0.21/255.255.255.255/0/0)
current_peer: 10.132.0.21
dynamic allocated peer ip: 90.135.1.5
#pkts
#pkts
#pkts
#pkts
#pkts
#pkts
#pkts
#pkts
#pkts
#pkts
#pkts
encaps: 0, #pkts encrypt: 0, #pkts digest: 0
decaps: 1148, #pkts decrypt: 1148, #pkts verify: 1148
compressed: 0, #pkts decompressed: 0
not compressed: 0, #pkts comp failed: 0, #pkts decomp failed: 0
no sa (send): 0, #pkts invalid sa (rcv): 0
encaps failed (send): 0, #pkts decaps failed (rcv): 0
invalid prot (rcv): 0, #pkts verify failed: 0
invalid identity (rcv): 0, #pkts invalid len (rcv): 0
replay rollover (send): 0, #pkts replay rollover (rcv): 0
replay failed (rcv): 0
internal err (send): 0, #pkts internal err (rcv): 0
local crypto endpt.: 172.20.0.17, remote crypto endpt.: 10.132.0.21
path mtu 1500, ipsec overhead 60, media mtu 1500
current outbound spi: DC15BF68
inbound esp sas:
spi: 0x1E8246FC (511854332)
transform: esp-3des esp-md5-hmac
in use settings ={RA, Tunnel, }
slot: 0, conn_id: 3, crypto-map: def
sa timing: remaining key lifetime (sec): 322
IV size: 8 bytes
replay detection support: Y
outbound esp sas:
spi: 0xDC15BF68 (3692412776)
transform: esp-3des esp-md5-hmac
in use settings ={RA, Tunnel, }
slot: 0, conn_id: 3, crypto-map: def
sa timing: remaining key lifetime (sec): 322
IV size: 8 bytes
replay detection support: Y
peer address: 10.135.1.8
Crypto map tag: def, local addr: 172.20.0.17
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
remote ident (addr/mask/prot/port): (192.168.132.0/255.255.255.0/0/0)
current_peer: 10.135.1.8
dynamic allocated peer ip: 0.0.0.0
#pkts
#pkts
#pkts
#pkts
#pkts
#pkts
#pkts
encaps: 73831, #pkts encrypt: 73831, #pkts digest: 73831
decaps: 78989, #pkts decrypt: 78989, #pkts verify: 78989
compressed: 0, #pkts decompressed: 0
not compressed: 73831, #pkts comp failed: 0, #pkts decomp failed: 0
no sa (send): 0, #pkts invalid sa (rcv): 0
encaps failed (send): 0, #pkts decaps failed (rcv): 0
invalid prot (rcv): 0, #pkts verify failed: 0
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-51
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ipsec sa
#pkts
#pkts
#pkts
#pkts
invalid identity (rcv): 0, #pkts invalid len (rcv): 0
replay rollover (send): 0, #pkts replay rollover (rcv): 0
replay failed (rcv): 0
internal err (send): 0, #pkts internal err (rcv): 0
local crypto endpt.: 172.20.0.17, remote crypto endpt.: 10.135.1.8
path mtu 1500, ipsec overhead 60, media mtu 1500
current outbound spi: 3B6F6A35
inbound esp sas:
spi: 0xB32CF0BD (3006066877)
transform: esp-3des esp-md5-hmac
in use settings ={RA, Tunnel, }
slot: 0, conn_id: 4, crypto-map: def
sa timing: remaining key lifetime (sec): 104
IV size: 8 bytes
replay detection support: Y
outbound esp sas:
spi: 0x3B6F6A35 (997157429)
transform: esp-3des esp-md5-hmac
in use settings ={RA, Tunnel, }
slot: 0, conn_id: 4, crypto-map: def
sa timing: remaining key lifetime (sec): 104
IV size: 8 bytes
replay detection support: Y
ciscoasa(config)#
次に、キー ワ ー ド identity を使用 し た IPsec SA の例を示 し ま す。
ciscoasa(config)# show crypto ipsec sa identity
interface: outside2
Crypto map tag: def, local addr: 172.20.0.17
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
remote ident (addr/mask/prot/port): (10.132.0.21/255.255.255.255/0/0)
current_peer: 10.132.0.21
dynamic allocated peer ip: 90.135.1.5
#pkts
#pkts
#pkts
#pkts
#send
encaps: 0, #pkts encrypt: 0, #pkts digest: 0
decaps: 1147, #pkts decrypt: 1147, #pkts verify: 1147
compressed: 0, #pkts decompressed: 0
not compressed: 0, #pkts comp failed: 0, #pkts decomp failed: 0
errors: 0, #recv errors: 0
local crypto endpt.: 172.20.0.17, remote crypto endpt.: 10.132.0.21
path mtu 1500, ipsec overhead 60, media mtu 1500
current outbound spi: DC15BF68
Crypto map tag: def, local addr: 172.20.0.17
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
remote ident (addr/mask/prot/port): (192.168.132.0/255.255.255.0/0/0)
current_peer: 10.135.1.8
dynamic allocated peer ip: 0.0.0.0
#pkts
#pkts
#pkts
#pkts
#send
encaps: 73756, #pkts encrypt: 73756, #pkts digest: 73756
decaps: 78911, #pkts decrypt: 78911, #pkts verify: 78911
compressed: 0, #pkts decompressed: 0
not compressed: 73756, #pkts comp failed: 0, #pkts decomp failed: 0
errors: 0, #recv errors: 0
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-52
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ipsec sa
local crypto endpt.: 172.20.0.17, remote crypto endpt.: 10.135.1.8
path mtu 1500, ipsec overhead 60, media mtu 1500
current outbound spi: 3B6F6A35
次に、キー ワ ー ド identity お よ び detail を使用 し た IPsec SA の例を示 し ま す。
ciscoasa(config)# show crypto ipsec sa identity detail
interface: outside2
Crypto map tag: def, local addr: 172.20.0.17
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
remote ident (addr/mask/prot/port): (10.132.0.21/255.255.255.255/0/0)
current_peer: 10.132.0.21
dynamic allocated peer ip: 90.135.1.5
#pkts
#pkts
#pkts
#pkts
#pkts
#pkts
#pkts
#pkts
#pkts
#pkts
#pkts
encaps: 0, #pkts encrypt: 0, #pkts digest: 0
decaps: 1147, #pkts decrypt: 1147, #pkts verify: 1147
compressed: 0, #pkts decompressed: 0
not compressed: 0, #pkts comp failed: 0, #pkts decomp failed: 0
no sa (send): 0, #pkts invalid sa (rcv): 0
encaps failed (send): 0, #pkts decaps failed (rcv): 0
invalid prot (rcv): 0, #pkts verify failed: 0
invalid identity (rcv): 0, #pkts invalid len (rcv): 0
replay rollover (send): 0, #pkts replay rollover (rcv): 0
replay failed (rcv): 0
internal err (send): 0, #pkts internal err (rcv): 0
local crypto endpt.: 172.20.0.17, remote crypto endpt.: 10.132.0.21
path mtu 1500, ipsec overhead 60, media mtu 1500
current outbound spi: DC15BF68
Crypto map tag: def, local addr: 172.20.0.17
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
remote ident (addr/mask/prot/port): (192.168.132.0/255.255.255.0/0/0)
current_peer: 10.135.1.8
dynamic allocated peer ip: 0.0.0.0
#pkts
#pkts
#pkts
#pkts
#pkts
#pkts
#pkts
#pkts
#pkts
#pkts
#pkts
encaps: 73771, #pkts encrypt: 73771, #pkts digest: 73771
decaps: 78926, #pkts decrypt: 78926, #pkts verify: 78926
compressed: 0, #pkts decompressed: 0
not compressed: 73771, #pkts comp failed: 0, #pkts decomp failed: 0
no sa (send): 0, #pkts invalid sa (rcv): 0
encaps failed (send): 0, #pkts decaps failed (rcv): 0
invalid prot (rcv): 0, #pkts verify failed: 0
invalid identity (rcv): 0, #pkts invalid len (rcv): 0
replay rollover (send): 0, #pkts replay rollover (rcv): 0
replay failed (rcv): 0
internal err (send): 0, #pkts internal err (rcv): 0
local crypto endpt.: 172.20.0.17, remote crypto endpt.: 10.135.1.8
path mtu 1500, ipsec overhead 60, media mtu 1500
current outbound spi: 3B6F6A35
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-53
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ipsec sa
関連 コ マ ン ド
コ マン ド
説明
clear configure isakmp すべて の ISAKMP コ ン フ ィ ギ ュ レ ーシ ョ ン を ク リ ア し ま す。
clear configure isakmp すべての ISAKMP ポ リ シー コ ン フ ィ ギ ュ レーシ ョ ン を ク リ ア し ま す。
policy
clear isakmp sa
IKE ラ ン タ イ ム SA デー タ ベー ス を ク リ ア し ま す。
isakmp enable
IPsec ピ ア が ASA と 通信す る イ ン タ ー フ ェ イ ス 上の ISAKMP ネ ゴ シ
エーシ ョ ン を イ ネーブルに し ま す。
show running-config
isakmp
ア ク テ ィ ブな ISAKMP コ ン フ ィ ギ ュ レ ーシ ョ ン をすべて表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-54
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ipsec stats
show crypto ipsec stats
IPsec 統計情報の リ ス ト を表示す る には、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド ま たは特権
EXEC モー ド で show crypto ipsec stats コ マ ン ド を使用 し ま す。
show crypto ipsec stats
構文の説明
こ の コ マ ン ド には、キー ワ ー ド や変数はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
コ マ ン ド 履歴
例
マルチ
コ ン テキス ト シ ス テム
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
•
Yes
•
Yes
•
Yes
—
—
特権 EXEC
•
Yes
•
Yes
•
Yes
—
—
リ リ ース
7.0(1)
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で、IPsec 統計情報 を表示す る 例 を示 し ま す。
ciscoasa(config)# show crypto ipsec stats
IPsec Global Statistics
----------------------Active tunnels: 2
Previous tunnels: 9
Inbound
Bytes: 4933013
Decompressed bytes: 4933013
Packets: 80348
Dropped packets: 0
Replay failures: 0
Authentications: 80348
Authentication failures: 0
Decryptions: 80348
Decryption failures: 0
Decapsulated fragments needing reassembly: 0
Outbound
Bytes: 4441740
Uncompressed bytes: 4441740
Packets: 74029
Dropped packets: 0
Authentications: 74029
Authentication failures: 0
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-55
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ipsec stats
Encryptions: 74029
Encryption failures: 0
Fragmentation successes: 3
Pre-fragmentation successes:2
Post-fragmentation successes: 1
Fragmentation failures: 2
Pre-fragmentation failures:1
Post-fragmentation failures: 1
Fragments created: 10
PMTUs sent: 1
PMTUs recvd: 2
Protocol failures: 0
Missing SA failures: 0
System capacity failures: 0
ciscoasa(config)#
関連 コ マ ン ド
例
コ マン ド
clear ipsec sa
説明
crypto ipsec transform-set
ト ラ ン ス フ ォ ーム セ ッ ト を定義 し ま す。
show ipsec sa
指定 さ れたパ ラ メ ー タ に基づい て IPsec SA を表示 し ま す。
show ipsec sa summary
IPsec SA の要約を表示 し ま す。
指定 さ れたパ ラ メ ー タ に基づい て、IPsec SA ま たは カ ウ ン タ を ク
リ ア し ま す。
次に、グ ロ ーバル コ ン フ ィ ギ ュ レーシ ョ ン モー ド で ISAKMP 統計情報を表示す る 例を示 し ます。
ciscoasa(config)# show crypto isakmp stats
Global IKE Statistics
Active Tunnels: 132
Previous Tunnels: 132
In Octets: 195471
In Packets: 1854
In Drop Packets: 925
In Notifys: 0
In P2 Exchanges: 132
In P2 Exchange Invalids: 0
In P2 Exchange Rejects: 0
In P2 Sa Delete Requests: 0
Out Octets: 119029
Out Packets: 796
Out Drop Packets: 0
Out Notifys: 264
Out P2 Exchanges: 0
Out P2 Exchange Invalids: 0
Out P2 Exchange Rejects: 0
Out P2 Sa Delete Requests: 0
Initiator Tunnels: 0
Initiator Fails: 0
Responder Fails: 0
System Capacity Fails: 0
Auth Fails: 0
Decrypt Fails: 0
Hash Valid Fails: 0
No Sa Fails: 0
ciscoasa(config)#
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-56
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto ipsec stats
関連 コ マ ン ド
コ マン ド
説明
clear configure crypto すべて の ISAKMP コ ン フ ィ ギ ュ レ ーシ ョ ン を ク リ ア し ま す。
isakmp
clear configure crypto すべての ISAKMP ポ リ シー コ ン フ ィ ギ ュ レーシ ョ ン を ク リ ア し ま す。
isakmp policy
clear crypto isakmp sa IKE ラ ン タ イ ム SA デー タ ベー ス を ク リ ア し ま す。
crypto isakmp enable IPsec ピ ア が ASA と 通信す る イ ン タ ー フ ェ イ ス 上の ISAKMP ネ ゴ シ
エーシ ョ ン を イ ネーブルに し ま す。
show running-config
ア ク テ ィ ブな ISAKMP コ ン フ ィ ギ ュ レ ーシ ョ ン をすべて表示 し ま す。
crypto isakmp
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-57
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto isakmp sa
show crypto isakmp sa
IKE ラ ン タ イ ム SA デー タ ベー ス を表示す る には、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド
ま たは特権 EXEC モー ド で show crypto isakmp sa コ マ ン ド を使用 し ま す。
show crypto isakmp sa [detail]
構文の説明
detail
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
SA デー タ ベー ス に関す る 詳細出力を表示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
マルチ
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ ン テキス ト シ ス テム
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
•
Yes
—
•
Yes
—
—
特権 EXEC
•
Yes
—
•
Yes
—
—
リ リ ース
7.0(1)
変更内容
7.2(1)
こ の コ マ ン ド は廃止 さ れ ま し た。show crypto isakmp sa コ マ ン ド に置
き 換え ら れ ま し た。
9.0(1)
マルチ コ ン テ キ ス ト モー ド のサポー ト が追加 さ れ ま し た。
show isakmp sa コ マ ン ド が追加 さ れ ま し た。
こ の コ マ ン ド の出力には、次の フ ィ ール ド が含 ま れてい ま す。
detail オプシ ョ ン を指定 し ない場合。
IKE Peer
Type
209.165.200.225 L2L
Dir
Rky
State
Init
No
MM_Active
Dir
Rky
State
Encrypt Hash Auth
Lifetime
Init
No
MM_Active
3des
86400
detail オプシ ョ ン を指定 し た場合。
IKE Peer
Type
209.165.200.225 L2L
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-58
md5
preshrd
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto isakmp sa
例
次に、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で、SA デー タ ベー ス に関す る 詳細情報を表示
す る 例を示 し ま す。
ciscoasa(config)# show crypto isakmp sa detail
IKE Peer Type Dir
Rky State
1 209.165.200.225 User Resp No
Encrypt Hash
AM_Active 3des
Auth
SHA
Lifetime
preshrd 86400
IKE Peer Type Dir
Rky State
2 209.165.200.226 User Resp No
Encrypt Hash
AM_ACTIVE 3des
Auth
SHA
Lifetime
preshrd 86400
IKE Peer Type Dir
Rky State
3 209.165.200.227 User Resp No
Encrypt Hash
AM_ACTIVE 3des
Auth
SHA
Lifetime
preshrd 86400
IKE Peer Type Dir
Rky State
4 209.165.200.228 User Resp No
Encrypt Hash
AM_ACTIVE 3des
Auth
SHA
Lifetime
preshrd 86400
ciscoasa(config)#
関連 コ マ ン ド
コ マン ド
説明
clear configure crypto すべて の ISAKMP コ ン フ ィ ギ ュ レ ーシ ョ ン を ク リ ア し ま す。
isakmp
clear configure crypto すべての ISAKMP ポ リ シー コ ン フ ィ ギ ュ レーシ ョ ン を ク リ ア し ま す。
isakmp policy
clear crypto isakmp sa IKE ラ ン タ イ ム SA デー タ ベー ス を ク リ ア し ま す。
crypto isakmp enable IPsec ピ ア が ASA と 通信す る イ ン タ ー フ ェ イ ス 上の ISAKMP ネ ゴ シ
エーシ ョ ン を イ ネーブルに し ま す。
show running-config
ア ク テ ィ ブな ISAKMP コ ン フ ィ ギ ュ レ ーシ ョ ン をすべて表示 し ま す。
crypto isakmp
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-59
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto isakmp stats
show crypto isakmp stats
実行時統計情報を表示す る には、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド ま たは特権 EXEC
モー ド で show crypto isakmp stats コ マ ン ド を使用 し ま す。
show crypto isakmp stats
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
コ ン テキス ト シ ス テム
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
•
Yes
—
•
Yes
—
—
特権 EXEC
•
Yes
—
•
Yes
—
—
リ リ ース
7.0(1)
変更内容
7.2(1)
show isakmp stats コ マ ン ド が廃止 さ れ ま し た。show crypto isakmp
stats コ マ ン ド に置 き 換え ら れ ま し た。
show isakmp stats コ マ ン ド が追加 さ れ ま し た。
こ の コ マ ン ド の出力には、次の フ ィ ール ド が含 ま れてい ま す。
•
Global IKE Statistics
•
Active Tunnels
•
In Octets
•
In Packets
•
In Drop Packets
•
In Notifys
•
In P2 Exchanges
•
In P2 Exchange Invalids
•
In P2 Exchange Rejects
•
In P2 Sa Delete Requests
•
Out Octets
•
Out Packets
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-60
マルチ
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto isakmp stats
例
•
Out Drop Packets
•
Out Notifys
•
Out P2 Exchanges
•
Out P2 Exchange Invalids
•
Out P2 Exchange Rejects
•
Out P2 Sa Delete Requests
•
Initiator Tunnels
•
Initiator Fails
•
Responder Fails
•
System Capacity Fails
•
Auth Fails
•
Decrypt Fails
•
Hash Valid Fails
•
No Sa Fails
次に、グ ロ ーバル コ ン フ ィ ギ ュ レーシ ョ ン モー ド で ISAKMP 統計情報を表示す る 例を示 し ます。
ciscoasa(config)# show crypto isakmp stats
Global IKE Statistics
Active Tunnels: 132
Previous Tunnels: 132
In Octets: 195471
In Packets: 1854
In Drop Packets: 925
In Notifys: 0
In P2 Exchanges: 132
In P2 Exchange Invalids: 0
In P2 Exchange Rejects: 0
In P2 Sa Delete Requests: 0
Out Octets: 119029
Out Packets: 796
Out Drop Packets: 0
Out Notifys: 264
Out P2 Exchanges: 0
Out P2 Exchange Invalids: 0
Out P2 Exchange Rejects: 0
Out P2 Sa Delete Requests: 0
Initiator Tunnels: 0
Initiator Fails: 0
Responder Fails: 0
System Capacity Fails: 0
Auth Fails: 0
Decrypt Fails: 0
Hash Valid Fails: 0
No Sa Fails: 0
ciscoasa(config)#
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-61
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto isakmp stats
関連 コ マ ン ド
コ マン ド
説明
clear configure crypto すべて の ISAKMP コ ン フ ィ ギ ュ レ ーシ ョ ン を ク リ ア し ま す。
isakmp
clear configure crypto すべての ISAKMP ポ リ シー コ ン フ ィ ギ ュ レーシ ョ ン を ク リ ア し ま す。
isakmp policy
clear crypto isakmp sa IKE ラ ン タ イ ム SA デー タ ベー ス を ク リ ア し ま す。
crypto isakmp enable IPsec ピ ア が ASA と 通信す る イ ン タ ー フ ェ イ ス 上の ISAKMP ネ ゴ シ
エーシ ョ ン を イ ネーブルに し ま す。
show running-config
ア ク テ ィ ブな ISAKMP コ ン フ ィ ギ ュ レ ーシ ョ ン をすべて表示 し ま す。
crypto isakmp
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-62
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto key mypubkey
show crypto key mypubkey
ECDSA キーの キー名、使用方法、お よ び楕円曲線サ イ ズ を表示す る には、グ ロ ーバル コ ン フ ィ
ギ ュ レ ーシ ョ ン モー ド ま たは特権 EXEC モー ド で show crypto key mypubkey コ マ ン ド を使用
し ま す。
show crypto key mypubkey dsa | rsa
構文の説明
コ マ ン ド モー ド
dsa
キー名を指定 し ま す。
rsa
キー名を指定 し ま す。
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
コ マ ン ド 履歴
ルーテ ッ ド
ト ラ ン スペ
アレン ト
シ ン グル
マルチ
コ ン テキス ト シ ス テム
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
•
Yes
—
•
Yes
—
—
特権 EXEC
•
Yes
—
•
Yes
—
—
リ リ ース
7.0(1)
変更内容
show crypto key mypubkey コ マ ン ド が追加 さ れ ま し た。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-63
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto protocol statistics
show crypto protocol statistics
暗号ア ク セ ラ レ ー タ MIB 内のプ ロ ト コ ル固有の統計情報を表示す る には、グ ロ ーバル コ ン フ ィ
ギ ュ レ ーシ ョ ン モー ド ま たは特権 EXEC モー ド で show crypto protocol statistics コ マ ン ド を使
用 し ま す。
show crypto protocol statistics protocol
構文の説明
protocol
統計情報を表示す る プ ロ ト コ ルの名前を指定 し ま す。プ ロ ト コ ルの選
択肢は次の と お り です。
ikev1： イ ン タ ーネ ッ ト キー交換バージ ョ ン 1。
ipsec：IP セ キ ュ リ テ ィ フ ェ ーズ 2 プ ロ ト コ ル。
ssl：Secure Sockets Layer（SSL）
other：新規プ ロ ト コ ル用に予約済み。
all：現在サポー ト さ れてい る すべて のプ ロ ト コ ル。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
コ マ ン ド 履歴
例
ルーテ ッ ド
ト ラ ン スペ
アレン ト
シ ン グル
コ ン テキス ト シ ス テム
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
•
Yes
•
Yes
•
Yes
—
—
特権 EXEC
•
Yes
•
Yes
•
Yes
—
—
リ リ ース
7.0(1)
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で、指定 し たプ ロ ト コ ルに関す る 暗号ア ク セ
ラ レ ー タ 統計情報を表示す る 例を示 し ま す。
ciscoasa # show crypto protocol statistics ikev1
[IKEv1 statistics]
Encrypt packet requests: 39
Encapsulate packet requests: 39
Decrypt packet requests: 35
Decapsulate packet requests: 35
HMAC calculation requests: 84
SA creation requests: 1
SA rekey requests: 3
SA deletion requests: 2
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-64
マルチ
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto protocol statistics
Next phase key allocation requests: 2
Random number generation requests: 0
Failed requests: 0
ciscoasa # show crypto protocol statistics ipsec
[IPsec statistics]
Encrypt packet requests: 700
Encapsulate packet requests: 700
Decrypt packet requests: 700
Decapsulate packet requests: 700
HMAC calculation requests: 1400
SA creation requests: 2
SA rekey requests: 0
SA deletion requests: 0
Next phase key allocation requests: 0
Random number generation requests: 0
Failed requests: 0
ciscoasa # show crypto protocol statistics ssl
[SSL statistics]
Encrypt packet requests: 0
Encapsulate packet requests: 0
Decrypt packet requests: 0
Decapsulate packet requests: 0
HMAC calculation requests: 0
SA creation requests: 0
SA rekey requests: 0
SA deletion requests: 0
Next phase key allocation requests: 0
Random number generation requests: 0
Failed requests: 0
ciscoasa # show crypto protocol statistics other
[Other statistics]
Encrypt packet requests: 0
Encapsulate packet requests: 0
Decrypt packet requests: 0
Decapsulate packet requests: 0
HMAC calculation requests: 0
SA creation requests: 0
SA rekey requests: 0
SA deletion requests: 0
Next phase key allocation requests: 0
Random number generation requests: 99
Failed requests: 0
ciscoasa # show crypto protocol statistics all
[IKEv1 statistics]
Encrypt packet requests: 46
Encapsulate packet requests: 46
Decrypt packet requests: 40
Decapsulate packet requests: 40
HMAC calculation requests: 91
SA creation requests: 1
SA rekey requests: 3
SA deletion requests: 3
Next phase key allocation requests: 2
Random number generation requests: 0
Failed requests: 0
[IKEv2 statistics]
Encrypt packet requests: 0
Encapsulate packet requests: 0
Decrypt packet requests: 0
Decapsulate packet requests: 0
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-65
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto protocol statistics
HMAC calculation requests: 0
SA creation requests: 0
SA rekey requests: 0
SA deletion requests: 0
Next phase key allocation requests: 0
Random number generation requests: 0
Failed requests: 0
[IPsec statistics]
Encrypt packet requests: 700
Encapsulate packet requests: 700
Decrypt packet requests: 700
Decapsulate packet requests: 700
HMAC calculation requests: 1400
SA creation requests: 2
SA rekey requests: 0
SA deletion requests: 0
Next phase key allocation requests: 0
Random number generation requests: 0
Failed requests: 0
[SSL statistics]
Encrypt packet requests: 0
Encapsulate packet requests: 0
Decrypt packet requests: 0
Decapsulate packet requests: 0
HMAC calculation requests: 0
SA creation requests: 0
SA rekey requests: 0
SA deletion requests: 0
Next phase key allocation requests: 0
Random number generation requests: 0
Failed requests: 0
[SSH statistics are not supported]
[SRTP statistics are not supported]
[Other statistics]
Encrypt packet requests: 0
Encapsulate packet requests: 0
Decrypt packet requests: 0
Decapsulate packet requests: 0
HMAC calculation requests: 0
SA creation requests: 0
SA rekey requests: 0
SA deletion requests: 0
Next phase key allocation requests: 0
Random number generation requests: 99
Failed requests: 0
ciscoasa #
関連 コ マ ン ド
コ マン ド
clear crypto accelerator
statistics
説明
clear crypto protocol
statistics
暗号ア ク セ ラ レ ー タ MIB に あ る プ ロ ト コ ル固有の統計情報を ク
リ ア し ま す。
show crypto accelerator
statistics
暗号ア ク セ ラ レ ー タ MIB か ら グ ロ ーバルお よ びア ク セ ラ レ ー タ
固有の統計情報を表示 し ま す。
暗号ア ク セ ラ レ ー タ MIB に あ る グ ロ ーバルお よ びア ク セ ラ レ ー
タ 固有の統計情報を ク リ ア し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-66
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto sockets
show crypto sockets
暗号セ キ ュ ア ソ ケ ッ ト 情報を表示す る には、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド ま たは
特権 EXEC モー ド で show crypto sockets コ マ ン ド を使用 し ま す。
show crypto sockets
構文の説明
こ の コ マ ン ド には、キー ワ ー ド や変数はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
コ マ ン ド 履歴
例
ルーテ ッ ド
ト ラ ン スペ
アレン ト
シ ン グル
マルチ
コ ン テキス ト シ ス テム
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
•
Yes
•
Yes
•
Yes
—
—
特権 EXEC
•
Yes
•
Yes
•
Yes
—
—
リ リ ース
7.0(1)
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で、暗号セ キ ュ ア ソ ケ ッ ト 情報を表示す る 例
を示 し ま す。
ciscoasa(config)# show crypto sockets
Number of Crypto Socket connections 1
Gi0/1
Peers: (local): 2001:1::1
(remote): ::
Local Ident (addr/plen/port/prot): (2001:1::1/64/0/89)
Remote Ident (addr/plen/port/prot): (::/0/0/89)
IPsec Profile: "CSSU-UTF"
Socket State: Open
Client: "CSSU_App(UTF)" (Client State: Active)
Crypto Sockets in Listen state:
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-67
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show crypto sockets
次の表に、show crypto sockets コ マ ン ド 出力の フ ィ ール ド を示 し ま す。
関連 コ マ ン ド
フ ィ ール ド
説明
Number of Crypto Socket connections
シ ス テ ム内の暗号 ソ ケ ッ ト の数。
Socket State
こ の状態は、ア ク テ ィ ブな IPsec セ キ ュ リ テ ィ ア ソ シ
エーシ ョ ン（SA）が存在す る こ と を意味す る Open か、ま
たはア ク テ ィ ブな IPsec SA が存在 し ない こ と を意味す
る Closed の ど ち ら かです。
Client
ア プ リ ケーシ ョ ン の名前 と その状態。
Flags
こ の フ ィ ール ド が「shared」にな っ てい る 場合、ソ ケ ッ ト
は複数の ト ン ネル イ ン タ ー フ ェ イ ス で共有 さ れ ま す。
Crypto Sockets in Listen state
暗号 IPsec プ ロ フ ァ イ ルの名前。
コ マン ド
show crypto ipsec policy
説明
暗号セ キ ュ ア ソ ケ ッ ト API で イ ン ス ト ール さ れた ポ リ シー情報
を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-68
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show csc node-count
show csc node-count
CSC SSM が ス キ ャ ン し た ト ラ フ ィ ッ ク の ノ ー ド 数を表示す る には、特権 EXEC モー ド で show
csc node-count コ マ ン ド を使用 し ま す。
show csc node-count [yesterday]
構文の説明
yesterday
デフ ォル ト
デ フ ォ ル ト で表示 さ れ る ノ ー ド カ ウ ン ト は、午前 0 時か ら ス キ ャ ン さ れた ノ ー ド 数です。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
（オプシ ョ ン）CSC SSM が前日の 24 時間（午前 0 時か ら 翌日の午前 0
時 ま で） ス キ ャ ン し た ト ラ フ ィ ッ ク の ノ ー ド 数を表示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
特権 EXEC
コ マ ン ド 履歴
リ リ ース
7.0(1)
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
ノ ー ド と は、固有の送信元 IP ア ド レ ス 、ま たは ASA に よ り 保護 さ れてい る ネ ッ ト ワ ー ク 上のデ
バ イ ス の ア ド レ ス です。ASA は、毎日の ノ ー ド カ ウ ン ト を追跡 し 、ユーザ ラ イ セ ン ス の強制のた
めに CSC SSM に伝え ま す。
例
次に、CSC SSM が午前 0 時以降に ス キ ャ ン し た ノ ー ド の数を表示す る show csc node-count コ マ
ン ド の出力例を示 し ま す。
ciscoasa# show csc node-count
Current node count is 1
次に、CSC SSM が過去 24 時間（午前 0 時か ら 翌日の午前 0 時 ま で）に ス キ ャ ン し た ト ラ フ ィ ッ ク
の ノ ー ド 数を表示す る show csc node-count コ マ ン ド の出力例 を示 し ま す。
ciscoasa(config)# show csc node-count yesterday
Yesterday’s node count is 2
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-69
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show csc node-count
関連 コ マ ン ド
csc
ネ ッ ト ワ ー ク ト ラ フ ィ ッ ク を CSC SSM に送信 し て、CSC
SSM で設定 さ れてい る と お り に FTP、HTTP、POP3、お よ び
SMTP を ス キ ャ ン し ま す。
現在の ク ラ ス マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン を表示 し ま す。
show running-config policy-map 現在のポ リ シー マ ッ プ コ ン フ ィ ギ ュ レ ーシ ョ ン を表示 し
ま す。
show running-config
現在のサー ビ ス ポ リ シー コ ン フ ィ ギ ュ レ ーシ ョ ン を表示 し
service-policy
ま す。
show running-config class-map
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-70
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show ctiqbe
show ctiqbe
ASA を越え て確立 さ れた CTIQBE セ ッ シ ョ ン の情報を表示す る には、特権 EXEC モー ド で show
ctiqbe コ マ ン ド を使用 し ま す。
show ctiqbe
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
リ リ ース
7.0(1)
使用上のガイ ド ラ イ ン
（注）
例
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
show ctiqbe コ マ ン ド は、ASA を越え て確立 さ れた CTIQBE セ ッ シ ョ ン の情報を表示 し ます。
debug ctiqbe や show local-host と と も に、こ の コ マ ン ド は、CTIQBE イ ン ス ペ ク シ ョ ン エ ン ジ ン
の問題の ト ラ ブルシ ュ ーテ ィ ン グに使用 さ れ ま す。
show ctiqbe コ マ ン ド を使用す る 前に pager コ マ ン ド を設定す る こ と を推奨 し ま す。多 く の
CTIQBE セ ッ シ ョ ン が存在 し 、pager コ マ ン ド が設定 さ れていない場合、show ctiqbe コ マ ン ド の
出力が最後 ま で到達す る には、し ば ら く 時間がかか る こ と が あ り ま す。
次の条件におけ る show ctiqbe コ マ ン ド の出力例を示 し ま す。ASA を越え て セ ッ ト ア ッ プ さ れて
い る ア ク テ ィ ブ CTIQBE セ ッ シ ョ ン は 1 つだけです。そのセ ッ シ ョ ン は、ロ ーカル ア ド レ ス
10.0.0.99 の内部 CTI デバ イ ス （た と えば、Cisco IP SoftPhone） と 172.29.1.77 の外部 Cisco
CallManager の間で確立 さ れてい ま す。こ こ で、TCP ポー ト 2748 は、Cisco CallManager です。こ の
セ ッ シ ョ ン のハー ト ビ ー ト 間隔は 120 秒です。
ciscoasa# | show ctiqbe
Total: 1
| LOCAL | FOREIGN | STATE | HEARTBEAT
--------------------------------------------------------------1 | 10.0.0.99/1117 172.29.1.77/2748 | 1 | 120
| RTP/RTCP: PAT xlates: mapped to 172.29.1.99(1028 | 1029)
| MEDIA: Device ID 27 | Call ID 0
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-71
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show ctiqbe
| Foreign 172.29.1.99 | (1028 | 1029)
| Local | 172.29.1.88 | (26822 | 26823)
| ---------------------------------------------CTI デバ イ ス は、すでに CallManager に登録 さ れてい ま す。デバ イ ス の内部ア ド レ ス お よ び RTP
受信ポー ト は 172.29.1.99 の UDP ポー ト 1028 に PAT 変換 さ れてい ま す。RTCP 受信ポー ト は
UDP 1029 に PAT 変換 さ れてい ま す。
で始 ま る 行は、内部 CTI デバ イ ス が外部 CallManager に登録 さ れ、CTI デ
バ イ ス の ア ド レ ス と ポー ト がその外部 イ ン タ ー フ ェ イ ス に PAT 変換 さ れてい る 場合に限 り 表示
さ れ ま す。こ の行は、CallManager が内部 イ ン タ ー フ ェ イ ス 上に位置す る 場合、ま たは内部 CTI デ
バ イ ス の ア ド レ ス と ポー ト が、CallManager が使用 し てい る の と 同 じ 外部 イ ン タ ー フ ェ イ ス に
NAT 変換 さ れてい る 場合は、表示 さ れ ま せん。
RTP/RTCP: PAT xlates:
こ の出力は、コ ールが こ の CTI デバ イ ス と 172.29.1.88 に あ る 別の電話機の間に確立 さ れてい る
こ と を示 し ま す。他の電話機の RTP お よ び RTCP 受信ポー ト は、UDP 26822 お よ び 26823 です。
ASA は 2 番目の電話機 と CallManager に関連す る CTIQBE セ ッ シ ョ ン レ コ ー ド を維持で き ない
ので、他の電話機は、CallManager と 同 じ イ ン タ ー フ ェ イ ス 上に あ り ま す。CTI デバ イ ス 側の ア ク
テ ィ ブ コ ール レ ッ グは、Device ID 27 お よ び Call ID 0 で確認で き ま す。
次に、こ れ ら の CTIBQE 接続に対す る xlate 情報を示 し ま す。
ciscoasa# show xlate debug
3 in use, 3 most used
Flags: D | DNS, d | dump, I | identity, i | inside, n | no random,
| o | outside, r | portmap, s | static
TCP PAT from inside:10.0.0.99/1117 to outside:172.29.1.99/1025 flags ri idle 0:00:22
timeout 0:00:30
UDP PAT from inside:10.0.0.99/16908 to outside:172.29.1.99/1028 flags ri idle 0:00:00
timeout 0:04:10
UDP PAT from inside:10.0.0.99/16909 to outside:172.29.1.99/1029 flags ri idle 0:00:23
timeout 0:04:10
ciscoasa#
関連 コ マ ン ド
コ マン ド
class-map
説明
inspect ctiqbe
CTIQBE ア プ リ ケーシ ョ ン イ ン ス ペ ク シ ョ ン を イ ネーブルに し ま す。
service-policy
1 つ以上の イ ン タ ー フ ェ イ ス にポ リ シー マ ッ プ を適用 し ま す。
show conn
さ ま ざ ま な接続 タ イ プの接続状態を表示 し ま す。
timeout
さ ま ざ ま な プ ロ ト コ ルお よ びセ ッ シ ョ ン タ イ プのア イ ド ル状態の最
大継続時間を設定 し ま す。
セ キ ュ リ テ ィ ア ク シ ョ ン を適用す る ト ラ フ ィ ッ ク ク ラ ス を定義 し
ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-72
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show ctl-file
show ctl-file
電話プ ロ キ シ で使用 さ れ る CTL フ ァ イ ルの内容を表示す る には、グ ロ ーバル コ ン フ ィ ギ ュ レ ー
シ ョ ン モー ド で show ctl-file コ マ ン ド を使用 し ま す。
show ctl-file filename [parsed]
構文の説明
filename
デー タ ベー ス に格納 さ れてい る セ キ ュ ア モー ド に対応 し た電話を表示
し ま す。
parsed
（オプシ ョ ン）指定 し た CTL フ ァ イ ルの詳細情報を表示 し ま す。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
リ リ ース
8.2(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
マルチ
—
—
•
Yes
コ ン テキス ト シ ス テム
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
フ ラ ッ シ ュ メ モ リ に格納 さ れてい る CTL フ ァ イ ルの フ ァ イ ル名を指定す る 場合は、デ ィ ス ク 番
号、フ ァ イ ル名、お よ び拡張を disk0:/testctl.tlv の よ う に指定 し ま す。show ctl-file コ マ ン ド を
使用す る と 、電話プ ロ キ シ イ ン ス タ ン ス の設定時のデバ ッ グに役立ち ま す。
例
次に、show ctl-file コ マ ン ド を使用 し て、CTL フ ァ イ ルの一般情報を表示す る 例を示 し ま す。
ciscoasa# show ctl-file disk0:/ctlfile.tlv
Total Number of Records: 1
CTL Record Number 1
Subject Name:
serialNumber=JMX1215L2TX+hostname=ciscoasa
Issuer Name:
serialNumber=JMX1215L2TX+hostname=ciscoasa
Function:
cucm
IP Address:
192.168.52.102
Associated Trustpoint:
cucm_primary
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-73
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show ctl-file
次に、show ctl-file コ マ ン ド を使用 し て、CTL フ ァ イ ルの詳細情報を表示す る 例を示 し ま す。
ciscoasa# show ctl-file disk0:/ctlfile.tlv parsed
TAG 0x01: Version: Maj 1, Min 2
TAG 0x02: Header Len: Len 288
TAG 0x03: Signer ID: Len 103
TAG 0x04: Signer Name: Len 45 Name: <cn=_internal_myctl_SAST_0,ou=STG,o=Cisco Inc>
TAG 0x05: Cert SN: Len 4 SN: c43c9048
TAG 0x06: CA Name: Len 45 Name: <cn=_internal_myctl_SAST_0,ou=STG,o=Cisco Inc>
TAG 0x07: Signature: Len 15
TAG 0x08: Digest Alg: Len 1 Name: SHA-1
TAG 0x09: Sig Alg Info: Len 8
TAG 0x0A: Sig Alg: Len 1 Name: RSA
TAG 0x0B: Modulus: Len 1 Name: 1024
TAG 0x0C: Sig Block: Len 128 Signature:
521debcf b7a77ea8 94eba5f7 f3c8b0d8 3337a9fa 267ce1a7 202b2c8b 2ac980d3
9608f64d e7cd82df e205e5bf 74a1d9c4 fae20f90 f3d2746a e90f439e ef93fca7
d4925551 72daa414 2c55f249 ef7e6dc2 bcb9f9b5 39be8238 5011eecb ce37e4d1
866e6550 6779c3fd 25c8bab0 6e9be32c 7f79fe34 5575e3af ea039145 45ce3158
TAG 0x0E: File Name: Len 12 Name: <CTLFile.tlv>
TAG 0x0F: Timestamp: Len 4 Timestamp: 48903cc6
### CTL RECORD No.1 ###
TAG 0x01: Rcd Len: Len 731
TAG 0x03: Sub Name: Len 43 Sub Name: <serialNumber=JMX1215L2TX+hostname=ciscoasa>
TAG 0x04: Function: Len 2 Func: CCM
TAG 0x05: Cert Issuer: Len 43 Issuer Name: <serialNumber=JMX1215L2TX+hostname=ciscoasa>
TAG 0x06: Cert SN: Len 4 Cert SN: 15379048
TAG 0x07: Pub Key: Len 140 Pub Key:
30818902 818100ad a752b4e6 89769a49 13115e52 1209b3ef 96a179af 728c29d7
af7fed4e c759d0ea cebd7587 dd4f7c4c 322da86b 3a677c08 ce39ce60 2525f6d2
50fe87cf 2aea60a5 690ec985 10706e5a 30ad26db e6fdb243 159758ed bb487525
f901ef4a 658445de 29981546 3867d2d1 ce519ee4 62c7be32 51037c3c 751c0ad6
040bedbb 3e984502 03010001
TAG 0x09: Cert: Len 469 X.509v3 Cert:
308201d1 3082013a a0030201 02020415 37904830 0d06092a 864886f7 0d010104
0500302d 312b3012 06035504 05130b4a 4d583132 31354c32 54583015 06092a86
4886f70d 01090216 08636973 636f6173 61301e17 0d303830 37333030 39343033
375a170d 31383037 32383039 34303337 5a302d31 2b301206 03550405 130b4a4d
58313231 354c3254 58301506 092a8648 86f70d01 09021608 63697363 6f617361
30819f30 0d06092a 864886f7 0d010101 05000381 8d003081 89028181 00ada752
b4e68976 9a491311 5e521209 b3ef96a1 79af728c 29d7af7f ed4ec759 d0eacebd
7587dd4f 7c4c322d a86b3a67 7c08ce39 ce602525 f6d250fe 87cf2aea 60a5690e
c9851070 6e5a30ad 26dbe6fd b2431597 58edbb48 7525f901 ef4a6584 45de2998
15463867 d2d1ce51 9ee462c7 be325103 7c3c751c 0ad6040b edbb3e98 45020301
0001300d 06092a86 4886f70d 01010405 00038181 005d82b7 ac45dbf8 bd911d4d
a330454a a2784a4b 5ef898b1 482e0bbf 4a86ed86 9019820b 00e80361 fd7b2518
9efa746c b98b1e23 fcc0793c de48de6d 6b1a4998 cd6f4e66 ba661d3a d200739a
ae679c7c 94f550fb a6381b94 1eae389e a9ec4b11 30ba31f3 33cd184e 25647174
ce00231d 102d5db3 c9c111a6 df37eb43 66f3d2d5 46
TAG 0x0A: IP Addr: Len 4 IP Addr: 192.168.52.102
関連 コ マ ン ド
コ マン ド
説明
ctl-file（グ ロ ーバル）
電話プ ロ キ シ を作成す る ための CTL イ ン ス タ ン ス を指定す る か、ま たは
フ ラ ッ シ ュ メ モ リ に格納 さ れてい る CTL フ ァ イ ル を解析 し ま す。
ctl-file
（Phone-Proxy）
phone proxy
電話プ ロ キ シ の設定時に使用す る CTL イ ン ス タ ン ス を指定 し ま す。
電話プ ロ キ シ イ ン ス タ ン ス を設定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-74
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show cts environment-data
show cts environment-data
ASA に Cisco TrustSec の環境デー タ の リ フ レ ッ シ ュ 処理のヘル ス 状態 と ス テー タ ス を表示す る
には、特権 EXEC モー ド で show cts environment-data コ マ ン ド を使用 し ま す。
show cts environment-data
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
9.0(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
こ の コ マ ン ド は、フ ェ ールオーバー コ ン フ ィ ギ ュ レ ーシ ョ ン の ス タ ン バ イ 状態のデバ イ ス では
サポー ト さ れ ま せん。ス タ ン バ イ 状態のデバ イ ス で こ の コ マ ン ド を入力す る と 、次のエ ラ ー メ ッ
セージが表示 さ れ ま す。
ERROR: This command is only permitted on the active device.
こ の コ マ ン ド は、ク ラ ス タ リ ン グ コ ン フ ィ ギ ュ レ ーシ ョ ン のマ ス タ ー ユ ニ ッ ト でのみサポー ト
さ れ ま す。ス レ ーブ ユニ ッ ト で こ の コ マ ン ド を入力す る と 、次のエ ラ ー メ ッ セージが表示 さ れ
ま す。
This command is only permitted on the master device.
例
次に、show cts environment-data コ マ ン ド の出力例を示 し ま す。
ciscoasa# show cts environment-data
CTS Environment Data
====================
Status:
Last download attempt:
Environment Data Lifetime:
Last update time:
Env-data expires in:
Env-data refreshes in:
Active
Successful
1200 secs
18:12:07 EST Feb 27 2012
0:00:12:24 (dd:hr:mm:sec)
0:00:02:24 (dd:hr:mm:sec)
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-75
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show cts environment-data
関連 コ マ ン ド
コ マン ド
show running-config
cts
説明
show cts pac
PAC の コ ン ポーネ ン ト を表示 し ま す。
実行 コ ン フ ィ ギ ュ レ ーシ ョ ン の SXP 接続を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-76
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show cts environment-data sg-table
show cts environment-data sg-table
ASA に Cisco TrustSec の常駐セ キ ュ リ テ ィ グループ テーブル を表示す る には、特権 EXEC モー
ド で show cts environment-data sg-table コ マ ン ド を使用 し ま す。
show cts environment-data sg-table
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
9.0(1)
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
こ の コ マ ン ド は、フ ェ ールオーバー コ ン フ ィ ギ ュ レ ーシ ョ ン の ス タ ン バ イ 状態のデバ イ ス では
サポー ト さ れ ま せん。ス タ ン バ イ 状態のデバ イ ス で こ の コ マ ン ド を入力す る と 、次のエ ラ ー メ ッ
セージが表示 さ れ ま す。
ERROR: This command is only permitted on the active device.
こ の コ マ ン ド は、ク ラ ス タ リ ン グ コ ン フ ィ ギ ュ レ ーシ ョ ン のマ ス タ ー ユ ニ ッ ト でのみサポー ト
さ れ ま す。ス レ ーブ ユニ ッ ト で こ の コ マ ン ド を入力す る と 、次のエ ラ ー メ ッ セージが表示 さ れ
ま す。
This command is only permitted on the master device.
例
次に、show cts environment-data sg-table コ マ ン ド の出力例を示 し ま す。
ciscoasa# show cts environment-data sg-table
Security Group Table:
Valid until: 18:32:07 EST Feb 27 2012
Showing 9 of 9 entries
SG Name
------ANY
ExampleSG1
ExampleSG13
SG Tag
-----65535
2
14
Type
------------unicast
unicast
unicast
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-77
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show cts environment-data sg-table
ExampleSG14
ExampleSG15
ExampleSG16
ExampleSG17
ExampleSG18
Unknown
関連 コ マ ン ド
15
16
17
18
19
0
コ マン ド
show running-config
cts
説明
show cts pac
PAC の コ ン ポーネ ン ト を表示 し ま す。
実行 コ ン フ ィ ギ ュ レ ーシ ョ ン の SXP 接続を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-78
unicast
unicast
unicast
unicast
unicast
unicast
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show cts pac
show cts pac
ASA に Cisco TrustSec の Protected Access Credential（PAC）の コ ン ポーネ ン ト を表示す る には、特
権 EXEC モー ド で show cts pac コ マ ン ド を使用 し ま す。
show cts pac
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
9.0(1)
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
show cts pac コ マ ン ド は、PAC 情報（有効期間な ど ）を表示 し ま す。PAC の ラ イ フ タ イ ム が経過す
る と ASA がセ キ ュ リ テ ィ グループ テーブルの更新を取得で き な く な る ため、有効期間は重要で
す。管理者は、Identity Services Engine のセ キ ュ リ テ ィ グループ テーブル と の同期を保つために、
古い PAC の期限が切れ る 前に新 し い PAC を要求す る 必要が あ り ま す。
こ の コ マ ン ド は、フ ェ ールオーバー コ ン フ ィ ギ ュ レ ーシ ョ ン の ス タ ン バ イ 状態のデバ イ ス では
サポー ト さ れ ま せん。ス タ ン バ イ 状態のデバ イ ス で こ の コ マ ン ド を入力す る と 、次のエ ラ ー メ ッ
セージが表示 さ れ ま す。
ERROR: This command is only permitted on the active device.
こ の コ マ ン ド は、ク ラ ス タ リ ン グ コ ン フ ィ ギ ュ レ ーシ ョ ン のマ ス タ ー ユ ニ ッ ト でのみサポー ト
さ れ ま す。ス レ ーブ ユニ ッ ト で こ の コ マ ン ド を入力す る と 、次のエ ラ ー メ ッ セージが表示 さ れ
ま す。
This command is only permitted on the master device.
例
次に、show cts pac コ マ ン ド の出力例を示 し ま す。
ciscoasa# show cts pac
PAC-Info:
Valid until: Jul 28 2012 08:03:23
AID:
6499578bc0240a3d8bd6591127ab270c
I-ID:
BrianASA36
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-79
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show cts pac
A-ID-Info:
Identity Services Engine
PAC-type:
Cisco Trustsec
PAC-Opaque:
000200b000030001000400106499578bc0240a3d8bd6591127ab270c00060094000301
00d75a3f2293ff3b1310803b9967540ff7000000134e2d2deb00093a803d227383e2b9
7db59ed2eeac4e469fcb1eeb0ac2dd84e76e13342a4c2f1081c06d493e192616d43611
8ff93d2af9b9135bb95127e8b9989db36cf1667b4fe6c284e220c11e1f7dbab91721d1
00e9f47231078288dab83a342ce176ed2410f1249780882a147cc087942f52238fc9b4
09100e1758
関連 コ マ ン ド
コ マン ド
show running-config
cts
説明
show cts environment
環境デー タ の リ フ レ ッ シ ュ 処理のヘル ス 状態 と ス テー タ ス を表示 し
ま す。
実行 コ ン フ ィ ギ ュ レ ーシ ョ ン の SXP 接続を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-80
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show cts sgt-map
show cts sgt-map
制御パ ス の IP ア ド レ ス セ キ ュ リ テ ィ グループ テーブル マ ネージ ャ エ ン ト リ を表示す る には、
特権 EXEC モー ド で show cts sgt-map コ マ ン ド を使用 し ま す。
show cts sgt-map [sgt sgt] [address ipv4 | address ipv6 [/prefix] | ipv4 | ipv6] [name] [brief |
detail]
構文の説明
address ipv4/ipv6
/prefix
特定の IPv4 ま たは IPv6 IP ア ド レ ス ま たはサブネ ッ ト の IP ア ド レ ス セ
キ ュ リ テ ィ グループ テーブル マ ッ ピ ン グ のみを表示 し ま す。
brief
IP ア ド レ ス セ キ ュ リ テ ィ グループ テーブル マ ッ ピ ン グ の要約を表示 し
ま す。
detail
IP ア ド レ ス セ キ ュ リ テ ィ グループ テーブル マ ッ ピ ン グ を表示 し ま す。
ipv4
IPv4 ア ド レ ス セ キ ュ リ テ ィ グループ テーブル マ ッ ピ ン グ を表示 し ま
す。デ フ ォ ル ト で、IPv4 ア ド レ ス セ キ ュ リ テ ィ グループ テーブル マ ッ プ
のみが表示 さ れ ま す。
ipv6
IPv6 ア ド レ ス セ キ ュ リ テ ィ グループ テーブル マ ッ ピ ン グ を表示 し ま す。
name
セ キ ュ リ テ ィ グループ名が一致す る IP ア ド レ ス セ キ ュ リ テ ィ グループ
テーブル マ ッ ピ ン グ を表示 し ま す。
sgt sgt
セ キ ュ リ テ ィ グループ テーブルが一致す る IP ア ド レ ス セ キ ュ リ テ ィ グ
ループ テーブル マ ッ ピ ン グ のみを表示 し ま す。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
リ リ ース
9.0(1)
変更内容
9.3(1)
「CLI-HI」 ソ ー ス か ら の IP-SGT バ イ ンデ ィ ン グ情報が含 ま れ る よ う に出
力が更新 さ れ ま し た。こ れは、cts role-based sgt-map コ マ ン ド に よ り 移入
さ れ ま す。
こ の コ マ ン ド が追加 さ れ ま し た。
こ の コ マ ン ド は、制御パ ス の IP ア ド レ ス セ キ ュ リ テ ィ グループ テーブル マ ネージ ャ エ ン ト リ
を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-81
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show cts sgt-map
例
次に、show cts sgt-map コ マ ン ド の出力例を示 し ま す。
ciscoasa# show cts sgt-map
Active IP-SGT Bindings Information
IP Address
SGT Source
============================================
<IP address> <SGT value> <Source type>
IP-SGT Active Bindings Summary
============================================
Total number of <Source type> bindings = <Total number of the entries from a source type>
Total number of active CONFIG bindings = <Total number of mapping entries>
ciscoasa# show cts sgt-map
Active IP-SGT Bindings Information
IP Address
SGT Source
============================================
1.1.1.1
7 CLI-HI
10.10.10.1
7 CLI-HI
10.10.10.10
3 LOCAL
10.10.100.1
7 CLI-HI
198.26.208.31 7
SXP
IP-SGT Active Bindings Summary
============================================
Total number of LOCAL
bindings = 1
Total number of CLI-HI
bindings = 3
Total number of SXP
bindings = 1
Total number of active
bindings = 5
次に、show cts sgt-map ipv6 コ マ ン ド の出力例を示 し ま す。
ciscoasa# show cts sgt-map ipv6
Active IP-SGT Bindings Information
IP Address
SGT
Source
============================================================
3330::1
17
SXP
FE80::A8BB:CCFF:FE00:110
17
SXP
IP-SGT Active Bindings Summary
============================================
Total number of SXP
bindings = 2
Total number of active
bindings = 2
次に、show cts sgt-map ipv6 detail コ マ ン ド の出力例を示 し ま す。
ciscoasa# show cts sgt-map ipv6 detail
Active IP-SGT Bindings Information
IP Address
Security Group
Source
=========================================================================
3330::1
2345
SXP
1280::A8BB:CCFF:FE00:110
Security Tech Business Unit(12345)
SXP
IP-SGT Active Bindings Summary
===================================
Total number of SXP bindings
= 2
Total number of active bindings = 2
次に、show cts sgt-map ipv6 brief コ マ ン ド の出力例を示 し ま す。
ciscoasa# show cts sgt-map ipv6 brief
Active IP-SGT Bindings Information
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-82
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show cts sgt-map
IP-SGT Active Bindings Summary
====================================
Total number of SXP bindings
= 2
Total number of active bindings = 2
次に、show cts sgt-map address コ マ ン ド の出力例を示 し ま す。
ciscoasa# show cts sgt-map address 10.10.10.5 mask 255.255.255.255
Active IP-SGT Bindings Information
IP Address
SGT
Source
============================================================
10.10.10.5
1234
SXP
IP-SGT Active Bindings Summary
============================================
Total number of SXP
bindings = 1
Total number of active
bindings = 1
関連 コ マ ン ド
コ マン ド
show running-config cts
説明
show cts environment
環境デー タ の リ フ レ ッ シ ュ 処理のヘル ス 状態 と ス テー タ ス を表示
し ま す。
実行 コ ン フ ィ ギ ュ レ ーシ ョ ン の SXP 接続を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-83
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show cts sxp connections
show cts sxp connections
ASA に Security eXchange Protocol（SXP）接続を表示す る には、特権 EXEC モー ド で show cts sxp
connections コ マ ン ド を使用 し ま す。
show cts sxp connections [peer peer addr] [local local addr] [ipv4 | ipv6] [status {on | off |
delete-hold-down | pending-on}] [mode {speaker | listener}] [brief]
構文の説明
brief
（オプシ ョ ン）SXP 接続の要約を表示 し ま す。
delete-hold-down
（オプシ ョ ン）TCP 接続は ON 状態で あ っ た と き に終了 し ま し た（TCP が
ダ ウ ン し てい ま す）。こ の状態にな る 可能性が あ る のは、リ ス ナー モー ド
で設定 さ れた ASA のみです。
ipv4
（オプシ ョ ン）IPv4 ア ド レ ス と の SXP 接続を表示 し ま す。
ipv6
（オプシ ョ ン）IPv6 ア ド レ ス と の SXP 接続を表示 し ま す。
listener
（オプシ ョ ン） リ ス ナー モー ド で設定 さ れた ASA を表示 し ま す。
local local addr
（オプシ ョ ン）一致 し た ロ ーカル IP ア ド レ ス と の SXP 接続を表示 し ます。
mode
（オプシ ョ ン）一致 し たモー ド と の SXP 接続を表示 し ま す。
off
（オプシ ョ ン）TCP 接続は開始 さ れてい ま せん。ASA は、こ の状態の と き
のみ TCP 接続を再試行 し ま す。
on
（オプシ ョ ン）SXP OPEN ま たは SXP OPEN RESP メ ッ セージ を受信 し ま
し た。SXP 接続が正常に確立 さ れ ま し た。ASA は、こ の状態の と き のみ
SXP メ ッ セージ を交換 し ま す。
peer peer addr
（オプシ ョ ン）一致 し た ピ ア IP ア ド レ ス と の SXP 接続を表示 し ま す。
pending-on
（オプシ ョ ン）SXP OPEN メ ッ セージが ピ ア に送信 さ れ ま し た。ピ ア か ら
の応答を待機 し てい ま す。
speaker
（オプシ ョ ン） ス ピ ーカー モー ド で設定 さ れた ASA を表示 し ま す。
status
（オプシ ョ ン）一致 し た ス テー タ ス と の SXP 接続を表示 し ま す。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
リ リ ース
9.0(1)
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-84
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show cts sxp connections
使用上のガイ ド ラ イ ン
次の条件に該当す る 場合、SXP 状態が変わ り ま す。
•
ピ ア が SXP の設定を解除 し た り 、SXP をデ ィ セーブルに し た ために、SXP リ ス ナーがその
SXP 接続を ド ロ ッ プ し た場合、SXP リ ス ナーは OFF 状態に移行 し ま す。
•
ピ ア が ク ラ ッ シ ュ し た り 、イ ン タ ー フ ェ イ ス がシ ャ ッ ト ダ ウ ン し た ために、SXP リ ス ナーが
その SXP 接続を ド ロ ッ プ し た場合、SXP リ ス ナーは DELETE_HOLD_DOWN 状態に移行 し
ま す。
•
最初の 2 つの条件のいずれかが発生す る と 、SXP ス ピ ーカーは OFF 状態に移行 し ま す。
こ の コ マ ン ド は、フ ェ ールオーバー コ ン フ ィ ギ ュ レ ーシ ョ ン の ス タ ン バ イ 状態のデバ イ ス では
サポー ト さ れ ま せん。ス タ ン バ イ 状態のデバ イ ス で こ の コ マ ン ド を入力す る と 、次のエ ラ ー メ ッ
セージが表示 さ れ ま す。
ERROR: This command is only permitted on the active device.
こ の コ マ ン ド は、ク ラ ス タ リ ン グ コ ン フ ィ ギ ュ レ ーシ ョ ン のマ ス タ ー ユ ニ ッ ト でのみサポー ト
さ れ ま す。ス レ ーブ ユニ ッ ト で こ の コ マ ン ド を入力す る と 、次のエ ラ ー メ ッ セージが表示 さ れ
ま す。
This command is only permitted on the master device.
例
次に、show cts sxp connections コ マ ン ド の出力例を示 し ま す。
ciscoasa# show cts sxp connections
SXP
: Enabled
Highest version
: 2
Default password : Set
Default local IP : Not Set
Reconcile period : 120 secs
Retry open period : 10 secs
Retry open timer : Not Running
Total number of SXP connections : 3
Total number of SXP connection shown : 3
--------------------------------------------------------------Peer IP
: 2.2.2.1
Local IP
: 2.2.2.2
Conn status
: On
Local mode
: Listener
Ins number
: 1
TCP conn password : Default
Delete hold down timer : Not Running
Reconciliation timer
: Not Running
Duration since last state change: 0:00:01:25 (dd:hr:mm:sec)
--------------------------------------------------------------Peer IP
: 3.3.3.1
Local IP
: 3.3.3.2
Conn status
: On
Local mode
: Listener
Ins number
: 2
TCP conn password : None
Delete hold down timer : Not Running
Reconciliation timer
: Not Running
Duration since last state change: 0:01:02:20 (dd:hr:mm:sec)
--------------------------------------------------------------Peer IP
: 4.4.4.1
Local IP
: 4.4.4.2
Conn status
: On
Local mode
: Speaker
Ins number
: 1
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-85
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show cts sxp connections
TCP conn password : Set
Delete hold down timer : Not Running
Reconciliation timer
: Not Running
Duration since last state change: 0:03:01:20 (dd:hr:mm:sec)
関連 コ マ ン ド
コ マン ド
show running-config cts
説明
show cts environment
環境デー タ の リ フ レ ッ シ ュ 処理のヘル ス 状態 と ス テー タ ス を表示
し ま す。
実行 コ ン フ ィ ギ ュ レ ーシ ョ ン の SXP 接続を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-86
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show cts sxp sgt-map
show cts sxp sgt-map
ASA に、Cisco TrustSec の Security eXchange Protocol（SXP）モ ジ ュ ール内の現在の IP ア ド レ ス セ
キ ュ リ テ ィ グループ テーブル マ ッ ピ ン グ デー タ ベー ス エ ン ト リ を表示す る には、特権 EXEC
モー ド で show cts sxp sgt-map コ マ ン ド を使用 し ま す。
show cts sxp sgt-map [peer peer_addr] [sgt sgt] [address ipv4 | address ipv6 [/prefix] | ipv4 | ipv6]
[name] [brief | detail] [status]
構文の説明
address ipv4/ipv6
/prefix
特定の IPv4 ま たは IPv6 IP ア ド レ ス ま たはサブネ ッ ト の IP ア ド レ ス セ
キ ュ リ テ ィ グループ テーブル マ ッ ピ ン グ のみを表示 し ま す。
brief
IP ア ド レ ス セ キ ュ リ テ ィ グループ テーブル マ ッ ピ ン グ の要約を表示 し
ま す。
detail
セ キ ュ リ テ ィ グループ テーブル情報を表示 し ま す。セ キ ュ リ テ ィ グ
ループの名前が使用で き ない場合、セ キ ュ リ テ ィ グループ テーブル値の
みが角カ ッ コ な し で表示 さ れ ま す。
ipv4
IPv4 ア ド レ ス と の IP ア ド レ ス セ キ ュ リ テ ィ グループ テーブル マ ッ ピ
ン グ を表示 し ま す。デ フ ォ ル ト で、IPv4 ア ド レ ス と の IP ア ド レ ス セ キ ュ
リ テ ィ グループ テーブル マ ッ ピ ン グ のみが表示 さ れ ま す。
ipv6
IPv6 ア ド レ ス と の IP ア ド レ ス セ キ ュ リ テ ィ グループ テーブル マ ッ ピ
ン グ を表示 し ま す。
name
セ キ ュ リ テ ィ グループ名が一致す る IP ア ド レ ス セ キ ュ リ テ ィ グループ
テーブル マ ッ ピ ン グ を表示 し ま す。
peer peer addr
ピ ア IP ア ド レ ス が一致す る IP ア ド レ ス セ キ ュ リ テ ィ グループ テーブ
ル マ ッ ピ ン グ のみを表示 し ま す。
sgt sgt
セ キ ュ リ テ ィ グループ テーブルが一致す る IP ア ド レ ス セ キ ュ リ テ ィ
グループ テーブル マ ッ ピ ン グ のみを表示 し ま す。
status
ア ク テ ィ ブ ま たは非ア ク テ ィ ブなマ ッ ピ ン グ済みエ ン ト リ を表示 し ます。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
特権 EXEC
コ マ ン ド 履歴
リ リ ース
9.0(1)
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-87
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show cts sxp sgt-map
使用上のガイ ド ラ イ ン
こ の コ マ ン ド は、SXP か ら 統合 さ れた ア ク テ ィ ブ な IP ア ド レ ス セ キ ュ リ テ ィ グループ テーブ
ルのマ ッ ピ ン グ済みエ ン ト リ を表示 し ま す。
こ の コ マ ン ド は、フ ェ ールオーバー コ ン フ ィ ギ ュ レ ーシ ョ ン の ス タ ン バ イ 状態のデバ イ ス では
サポー ト さ れ ま せん。ス タ ン バ イ 状態のデバ イ ス で こ の コ マ ン ド を入力す る と 、次のエ ラ ー メ ッ
セージが表示 さ れ ま す。
ERROR: This command is only permitted on the active device.
こ の コ マ ン ド は、ク ラ ス タ リ ン グ コ ン フ ィ ギ ュ レ ーシ ョ ン のマ ス タ ー ユニ ッ ト でのみサポー ト
さ れ ま す。ス レ ーブ ユニ ッ ト で こ の コ マ ン ド を入力す る と 、次のエ ラ ー メ ッ セージが表示 さ れ
ま す。
This command is only permitted on the master device.
例
次に、show cts sxp sgt-map コ マ ン ド の出力例 を示 し ま す。
ciscoasa# show cts sxp sgt-map
Total number of IP-SGT mappings : 3
SGT
IPv4
Peer IP
Ins Num
:
:
:
:
7
2.2.2.1
2.2.2.1
1
SGT
IPv4
Peer IP
Ins Num
:
:
:
:
7
2.2.2.0
3.3.3.1
1
SGT
IPv6
Peer IP
Ins Num
:
:
:
:
7
FE80::A8BB:CCFF:FE00:110
2.2.2.1
1
次に、show cts sxp sgt-map detail コ マ ン ド の出力例を示 し ま す。
ciscoasa# show cts sxp sgt-map detail
Total number of IP-SGT mappings : 3
SGT
IPv4
Peer IP
Ins Num
Status
:
:
:
:
:
STBU(7)
2.2.2.1
2.2.2.1
1
Active
SGT
IPv4
Peer IP
Ins Num
Status
:
:
:
:
:
STBU(7)
2.2.2.0
3.3.3.1
1
Inactive
SGT
IPv6
Peer IP
Ins Num
Status
:
:
:
:
:
6
1234::A8BB:CCFF:FE00:110
2.2.2.1
1
Active
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-88
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show cts sxp sgt-map
次に、show cts sxp sgt-map brief コ マ ン ド の出力例 を示 し ま す。
ciscoasa# show cts sxp sgt-map brief
Total number of IP-SGT mappings : 3
SGT, IPv4: 7, 2.2.2.1
SGT, IPv4: 7, 3.3.3.0
SGT, IPv6: 7, FE80::A8BB:CCFF:FE00:110
関連 コ マ ン ド
コ マン ド
show running-config cts
説明
show cts environment
環境デー タ の リ フ レ ッ シ ュ 処理のヘル ス 状態 と ス テー タ ス を表示
し ま す。
実行 コ ン フ ィ ギ ュ レ ーシ ョ ン の SXP 接続を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-89
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show curpriv
show curpriv
現在のユーザ特権を表示す る には、show curpriv コ マ ン ド を使用 し ま す。
show curpriv
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
コ マ ン ド 履歴
マルチ
コ ン テキス ト シ ス テム
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
•
Yes
•
Yes
—
—
•
Yes
特権 EXEC
•
Yes
•
Yes
—
—
•
Yes
ユーザ EXEC
•
Yes
•
Yes
—
—
•
Yes
リ リ ース
7.0(1)
変更内容
CLI ガ イ ド ラ イ ン に準拠す る よ う に変更 さ れ ま し た。
使用上のガイ ド ラ イ ン
show curpriv コ マ ン ド は、現在の特権 レ ベル を表示 し ま す。 特権 レ ベルの数値が小 さ いほ ど 、特
権 レ ベルが低い こ と を示 し てい ま す。
例
次に、enable_15 と い う 名前のユーザが異な る 特権 レ ベルに あ る 場合の show curpriv コ マ ン ド の
出力例を示 し ま す。username は、ユーザが ロ グ イ ン し た と き に入力 し た名前を示 し ま す。P_PRIV
は、ユーザが enable コ マ ン ド を入力 し た こ と を示 し ま す。P_CONF は、ユーザが config terminal
コ マ ン ド を入力 し た こ と を示 し ま す。
ciscoasa(config)# show curpriv
Username : enable_15
Current privilege level : 15
Current Mode/s : P_PRIV P_CONF
ciscoasa(config)# exit
ciscoasa(config)# show curpriv
Username : enable_15
Current privilege level : 15
Current Mode/s : P_PRIV
ciscoasa(config)# exit
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-90
第5章
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
show curpriv
ciscoasa(config)# show curpriv
Username : enable_1
Current privilege level : 1
Current Mode/s : P_UNPR
ciscoasa(config)#
次に、既知の動作の例を示 し ま す。イ ネーブル モー ド か ら デ ィ セーブル モー ド に移行 し た場合、
最初に ロ グ イ ン し たユーザ名が enable_1 に置 き 換わ り ま す。
ciscoasa(config)# show curpriv
Username : enable_15
Current privilege level : 15
Current Mode/s : P_PRIV P_CONF
ciscoasa(config)# exit
ciscoasa# show curpriv
Username : enable_15
Current privilege level : 15
Current Mode/s : P_PRIV
ciscoasa# exit
Logoff
Type help or '?' for a list of available commands.
ciscoasa# show curpriv
Username : enable_1
Current privilege level : 1
Current Mode/s : P_UNPR
ciscoasa#
関連 コ マ ン ド
コ マン ド
clear configure privilege
説明
show running-config
privilege
コ マ ン ド の特権 レ ベル を表示 し ま す。
コ ン フ ィ ギ ュ レ ーシ ョ ン か ら privilege コ マ ン ド ス テー ト メ ン ト を
削除 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-91
第5章
show curpriv
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
5-92
show crashinfo コ マ ン ド ～ show curpriv コ マ ン ド
CH A P T E R
6
show ddns update interface コ マ ン ド ～ show
environmentevent manager コ マ ン ド
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-1
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show ddns update interface
show ddns update interface
ASA イ ン タ ー フ ェ イ ス に割 り 当て ら れた DDNS 方式を表示す る には、特権 EXEC モー ド で show
ddns update interface コ マ ン ド を使用 し ま す。
show ddns update interface [interface-name]
構文の説明
interface-name
デフ ォル ト
interface-name ス ト リ ン グ を省略す る と 、各 イ ン タ ー フ ェ イ ス に割 り 当て ら れてい る DDNS 方式
が表示 さ れ ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
（オプ シ ョ ン）ネ ッ ト ワ ー ク イ ン タ ー フ ェ イ ス の名前。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
リ リ ース
7.2(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
—
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、inside イ ン タ ー フ ェ イ ス に割 り 当て ら れてい る DDNS 方式を表示す る 例を示 し ま す。
例
ciscoasa# show ddns update interface inside
Dynamic DNS Update on inside:
Update Method Name
Update Destination
ddns-2
not available
ciscoasa#
関連 コ マ ン ド
コ マン ド
説明
ddns（DDNS ア ッ プデー ト
方式モー ド ）
作成済みの DDNS 方式に対 し て、DDNS ア ッ プデー ト 方式の
タ イ プ を指定 し ま す。
ddns update（ イ ン タ ー フ ェ イ ス
コ ン フ ィ ギ ュ レ ーシ ョ ン モー
ド）
ASA イ ン タ ー フ ェ イ ス を DDNS ア ッ プデー ト 方式 ま たは
DDNS ア ッ プデー ト ホ ス ト 名に関連付け ま す。
ddns update method（グ ロ ーバ
ル コ ン フ ィ ギ ュ レ ーシ ョ ン
モー ド ）
show ddns update method
DNS の リ ソ ー ス レ コ ー ド を ダ イ ナ ミ ッ ク に ア ッ プデー ト す
る ための方式を作成 し ま す。
show running-config ddns
実行 コ ン フ ィ ギ ュ レ ーシ ョ ン に設定 さ れてい る すべての
DDNS 方式の タ イ プお よ び間隔を表示 し ま す。
設定済みの DDNS 方式ご と に タ イ プ と 間隔を表示 し ま す。
DDNS ア ッ プデー ト を実行す る DHCP サーバ。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-2
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show ddns update method
show ddns update method
実行 コ ン フ ィ ギ ュ レ ーシ ョ ン の DDNS ア ッ プデー ト 方式を表示す る には、特権 EXEC モー ド で
show ddns update method コ マ ン ド を使用 し ま す。
show ddns update method [method-name]
構文の説明
method-name
デフ ォル ト
method-name ス ト リ ン グ を省略す る と 、設定 さ れてい る すべて の DDNS ア ッ プデー ト 方式が表
示 さ れ ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
（オプ シ ョ ン）設定済み DDNS ア ッ プデー ト 方式の名前。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
例
リ リ ース
7.2(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
—
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、ddns-2 と い う 名前の DDNS 方式を表示す る 例を示 し ま す。
ciscoasa(config)# show ddns update method ddns-2
Dynamic DNS Update Method: ddns-2
IETF standardized Dynamic DNS 'A' and 'PTR' records update
Maximum update interval: 0 days 0 hours 10 minutes 0 seconds
ciscoasa(config)#
関連 コ マ ン ド
コ マン ド
説明
ddns（DDNS ア ッ プデー ト
方式モー ド ）
作成済みの DDNS 方式に対 し て、DDNS ア ッ プデー ト 方式の
タ イ プ を指定 し ま す。
ddns update（ イ ン タ ー フ ェ イ ス
コ ン フ ィ ギ ュ レ ーシ ョ ン モー
ド）
ASA イ ン タ ー フ ェ イ ス を ダ イ ナ ミ ッ ク DNS（DDNS）ア ッ プ
デー ト 方式 ま たは DDNS ア ッ プデー ト ホ ス ト 名に関連付け
ま す。
ddns update method（グ ロ ーバ
ル コ ン フ ィ ギ ュ レ ーシ ョ ン
モー ド ）
DNS の リ ソ ー ス レ コ ー ド を ダ イ ナ ミ ッ ク に ア ッ プデー ト す
る ための方式を作成 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-3
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show ddns update method
コ マン ド
show ddns update interface
説明
show running-config ddns
実行 コ ン フ ィ ギ ュ レ ーシ ョ ン に設定 さ れてい る すべての
DDNS 方式の タ イ プお よ び間隔を表示 し ま す。
設定済みの各 DDNS 方式に関連付け ら れた イ ン タ ー フ ェ イ
ス を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-4
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show debug
show debug
現在のデバ ッ グ コ ン フ ィ ギ ュ レ ーシ ョ ン を表示す る には、show debug コ マ ン ド を使用 し ま す。
show debug [command [keywords]]
構文の説明
command
（オプシ ョ ン）現在の設定を表示す る debug コ マ ン ド を指定 し ま す。
keywords
（オプシ ョ ン）各 command について、command に続 く keywords は、関連す る
debug コ マ ン ド に よ り サポー ト さ れ る keywords と 同一です。
デフ ォル ト
こ の コ マ ン ド には、デ フ ォ ル ト 設定が あ り ま せん。
コ マ ン ド モー ド
次の表は、こ の コ マ ン ド を入力で き る モー ド を示 し てい ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
（注）
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
リ リ ース
7.0(1)
変更内容
8.0(2)
使用可能な コ マ ン ド 値の リ ス ト に eigrp キー ワ ー ド が追加 さ れ ま し た。
8.4(1)
使用可能な コ マ ン ド 値の リ ス ト に route キー ワ ー ド が追加 さ れ ま し た。
9.2(1)
使用可能な コ マ ン ド 値の リ ス ト に event manager キー ワ ー ド が追加 さ れ
ま し た。
こ の コ マ ン ド が追加 さ れ ま し た。
各 command について、command に続 く keywords は、関連す る debug コ マ ン ド に よ り サポー ト さ
れ る keywords と 同一です。サポー ト さ れてい る 構文につい ては、関連す る debug コ マ ン ド を参照
し て く だ さ い。
各 command を使用で き る か ど う かは、該当す る debug コ マ ン ド を サポー ト す る コ マ ン ド モー ド
に よ っ て異な り ま す。
有効な command 値は次の と お り です。
•
aaa
•
appfw
•
arp
•
asdm
•
context
•
crypto
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-5
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show debug
•
ctiqbe
•
ctm
•
cxsc
•
dhcpc
•
dhcpd
•
dhcprelay
•
disk
•
dns
•
eigrp
•
email
•
entity
•
event manager
•
fixup
•
fover
•
fsm
•
ftp
•
generic
•
gtp
•
h323
•
http
•
http-map
•
icmp
•
igmp
•
ils
•
imagemgr
•
ipsec-over-tcp
•
ipv6
•
iua-proxy
•
kerberos
•
ldap
•
mfib
•
mgcp
•
mrib
•
ntdomain
•
ntp
•
ospf
•
parser
•
pim
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-6
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show debug
例
•
pix
•
pptp
•
radius
•
rip
•
route
•
rtsp
•
sdi
•
sequence
•
sfr
•
sip
•
skinny
•
smtp
•
sqlnet
•
ssh
•
ssl
•
sunrpc
•
tacacs
•
timestamps
•
vpn-sessiondb
•
webvpn
•
xdmcp
•
xml
show debug コ マ ン ド を使用 し て、すべてのデバ ッ グ コ ン フ ィ ギ ュ レ ーシ ョ ン、特定の機能のデ
バ ッ グ コ ン フ ィ ギ ュ レ ーシ ョ ン、お よ び機能の一部に対す る デバ ッ グ コ ン フ ィ ギ ュ レ ーシ ョ ン
を表示で き ま す。
次の コ マ ン ド では、認証、ア カ ウ ン テ ィ ン グ、お よ び フ ラ ッ シ ュ メ モ リ のデバ ッ グ を イ ネーブル
に し ま す。
ciscoasa# debug aaa authentication
debug aaa authentication enabled at level 1
ciscoasa# debug aaa accounting
debug aaa accounting enabled at level 1
ciscoasa# debug disk filesystem
debug disk filesystem enabled at level 1
ciscoasa# show debug
debug aaa authentication enabled at level 1
debug aaa accounting enabled at level 1
debug disk filesystem enabled at level 1
ciscoasa# show debug aaa
debug aaa authentication enabled at level 1
debug aaa authorization is disabled.
debug aaa accounting enabled at level 1
debug aaa internal is disabled.
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-7
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show debug
debug aaa vpn is disabled.
ciscoasa# show debug aaa accounting
debug aaa accounting enabled at level 1
ciscoasa#
関連 コ マ ン ド
コ マン ド
debug
説明
すべて の debug コ マ ン ド を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-8
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show debug mmp
show debug mmp
MMP イ ン ス ペ ク シ ョ ン モ ジ ュ ールの現在のデバ ッ グ設定を表示す る には、特権 EXEC モー ド で
show debug mmp コ マ ン ド を使用 し ま す。
show debug mmp
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
例
リ リ ース
8.0(4)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、MMP イ ン ス ペ ク シ ョ ン モ ジ ュ ールの現在のデバ ッ グ設定を表示す る ために show debug
mmp コ マ ン ド を使用す る 例を示 し ま す。
ciscoasa# show debug mmp
debug mmp enabled at level 1
関連 コ マ ン ド
コ マン ド
debug mmp
説明
inspect mmp
MMP イ ン ス ペ ク シ ョ ン エ ン ジ ン を設定 し ま す。
MMP イ ベン ト の イ ン ス ペ ク シ ョ ン を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-9
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show dhcpd
show dhcpd
DHCP バ イ ンデ ィ ン グ情報、状態情報、お よ び統計情報を表示す る には、特権 EXEC モー ド ま た
は グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で show dhcpd コ マ ン ド を使用 し ま す。
show dhcpd {binding [IP_address] | state | statistics}
構文の説明
binding
所定のサーバ IP ア ド レ スお よ び関連す る ク ラ イ ア ン ト ハー ド ウ ェ ア ア
ド レ ス についてのバ イ ンデ ィ ン グ情報 と リ ース の長 さ を表示 し ます。
IP_address
指定 し た IP ア ド レ ス のバ イ ンデ ィ ン グ情報を表示 し ま す。
state
DHCP サーバの状態（現在の コ ン テ キ ス ト で イ ネーブルか ど う か、各 イ
ン タ ー フ ェ イ ス につい て イ ネーブルか ど う か な ど ）を表示 し ま す。
statistics
統計情報（ア ド レ ス プール、バ イ ンデ ィ ン グ、期限切れバ イ ンデ ィ ン
グ、不正な形式の メ ッ セージ、送信済み メ ッ セージ、お よ び受信 メ ッ
セージ な ど の数）を表示 し ま す。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
7.0(1)
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
オプ シ ョ ン の IP ア ド レ ス を show dhcpd binding コ マ ン ド に含めた場合は、その IP ア ド レ ス のバ
イ ンデ ィ ン グ だけが表示 さ れ ま す。
show dhcpd binding | state | statistics コ マ ン ド は グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で
も 使用可能です。
例
次に、show dhcpd binding コ マ ン ド の出力例を示 し ま す。
ciscoasa# show dhcpd binding
IP Address Client-id
Lease Expiration Type
10.0.1.100 0100.a0c9.868e.43 84985 seconds automatic
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-10
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show dhcpd
次に、show dhcpd state コ マ ン ド の出力例を示 し ま す。
ciscoasa# show dhcpd state
Context Not Configured for DHCP
Interface outside, Not Configured for DHCP
Interface inside, Not Configured for DHCP
次に、show dhcpd statistics コ マ ン ド の出力例を示 し ま す。
ciscoasa# show dhcpd statistics
DHCP UDP Unreachable Errors: 0
DHCP Other UDP Errors: 0
関連 コ マ ン ド
Address pools
Automatic bindings
Expired bindings
Malformed messages
1
1
1
0
Message
BOOTREQUEST
DHCPDISCOVER
DHCPREQUEST
DHCPDECLINE
DHCPRELEASE
DHCPINFORM
Received
0
1
2
0
0
0
Message
BOOTREPLY
DHCPOFFER
DHCPACK
DHCPNAK
Sent
0
1
1
1
コ マン ド
clear configure dhcpd
説明
clear dhcpd
DHCP サーバ バ イ ンデ ィ ン グお よ び統計情報カ ウ ン タ を ク リ ア し ます。
すべて の DHCP サーバ設定を削除 し ま す。
dhcpd lease
ク ラ イ ア ン ト に付与 さ れ る DHCP 情報の リ ー ス の長 さ を定義 し ま す。
show running-config
dhcpd
現在の DHCP サーバ コ ン フ ィ ギ ュ レ ーシ ョ ン を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-11
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show dhcprelay state
show dhcprelay state
DHCP リ レ ー エージ ェ ン ト の状態 を表示す る には、特権 EXEC モー ド ま たは グ ロ ーバル コ ン
フ ィ ギ ュ レ ーシ ョ ン モー ド で show dhcprelay state コ マ ン ド を使用 し ま す。
show dhcprelay state
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
例
リ リ ース
7.0(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
—
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
こ の コ マ ン ド は、現在の コ ン テ キ ス ト お よ び各 イ ン タ ー フ ェ イ ス についての DHCP リ レ ー エー
ジ ェ ン ト の状態情報を表示 し ま す。
次に、show dhcprelay state コ マ ン ド の出力例を示 し ま す。
ciscoasa# show dhcprelay state
Context Configured as DHCP Relay
Interface outside, Not Configured for DHCP
Interface infrastructure, Configured for DHCP RELAY SERVER
Interface inside, Configured for DHCP RELAY
関連 コ マ ン ド
コ マン ド
show dhcpd
説明
show dhcprelay
statistics
DHCP リ レ ーの統計情報を表示 し ま す。
show running-config
dhcprelay
DHCP リ レ ー エージ ェ ン ト の現在の コ ン フ ィ ギ ュ レ ーシ ョ ン を表示
し ま す。
DHCP サーバの統計情報 と 状態情報を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-12
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show dhcprelay statistics
show dhcprelay statistics
DHCP リ レ ーの統計情報を表示す る には、特権 EXEC モー ド で show dhcprelay statistics コ マ ン
ド を使用 し ま す。
show dhcprelay statistics
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
•
リ リ ース
7.0(1)
Yes
ト ラ ン スペ
アレン ト
シ ン グル
—
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
show dhcprelay statistics コ マ ン ド の出力は、clear dhcprelay statistics コ マ ン ド を入力す る ま で増
加 し ま す。
例
次に、show dhcprelay statistics コ マ ン ド の出力例を示 し ま す。
ciscoasa# show dhcprelay statistics
DHCP UDP Unreachable Errors: 0
DHCP Other UDP Errors: 0
Packets Relayed
BOOTREQUEST
DHCPDISCOVER
DHCPREQUEST
DHCPDECLINE
DHCPRELEASE
DHCPINFORM
BOOTREPLY
DHCPOFFER
DHCPACK
DHCPNAK
ciscoasa#
0
7
3
0
0
0
0
7
3
0
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-13
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show dhcprelay statistics
関連 コ マ ン ド
コ マン ド
clear configure
dhcprelay
説明
clear dhcprelay
statistics
DHCP リ レ ー エージ ェ ン ト の統計カ ウ ン タ を ク リ ア し ま す。
debug dhcprelay
DHCP リ レ ー エージ ェ ン ト のデバ ッ グ情報を表示 し ま す。
show dhcprelay state
DHCP リ レ ー エージ ェ ン ト の状態を表示 し ま す。
show running-config
dhcprelay
DHCP リ レ ー エージ ェ ン ト の現在の コ ン フ ィ ギ ュ レ ーシ ョ ン を表示
し ま す。
DHCP リ レ ー エージ ェ ン ト の設定をすべて削除 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-14
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show disk
show disk
ASA の フ ラ ッ シ ュ メ モ リ の内容だけ を表示す る には、特権 EXEC モー ド で show disk コ マ ン ド
を使用 し ま す。
show disk[0 | 1] [filesys | all] controller
構文の説明
0|1
内部 フ ラ ッ シ ュ メ モ リ （0、デ フ ォ ル ト ） ま たは外部 フ ラ ッ シ ュ メ モ リ
（1）を指定 し ま す。
all
フ ラ ッ シ ュ メ モ リ の内容 と フ ァ イ ル シ ス テ ム情報を表示 し ま す。
controller
フ ラ ッ シ ュ コ ン ト ロ ー ラ のモデル番号を指定 し ま す。
filesys
コ ン パ ク ト フ ラ ッ シ ュ カー ド について の情報を表示 し ま す。
デフ ォル ト
デ フ ォ ル ト では、こ の コ マ ン ド は内部 フ ラ ッ シ ュ メ モ リ を示 し ま す。
コ マ ン ド モー ド
次の表は、こ の コ マ ン ド を入力で き る モー ド を示 し てい ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
例
リ リ ース
7.0(1)
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show disk コ マ ン ド の出力例を示 し ま す。
ciscoasa# show
-#- --length-11 1301
12 1949
13 2551
14 609223
15 1619
16 3184
17 4787
20 1792
21 7765184
22 1674
23 1863
24 1197
25 608554
26 5124096
27 5124096
28 2074
29 5124096
disk
-----date/time-----Feb 21 2005 18:01:34
Feb 21 2005 20:13:36
Jan 06 2005 10:07:36
Jan 21 2005 07:14:18
Jul 16 2004 16:06:48
Aug 03 2004 07:07:00
Mar 04 2005 12:32:18
Jan 21 2005 07:29:24
Mar 07 2005 19:38:30
Nov 11 2004 02:47:52
Jan 21 2005 07:29:18
Jan 19 2005 08:17:48
Jan 13 2005 06:20:54
Feb 20 2005 08:49:28
Mar 01 2005 17:59:56
Jan 13 2005 08:13:26
Mar 07 2005 19:56:58
path
test.cfg
test1.cfg
test2.cfg
test3.cfg
test4.cfg
old_running.cfg
test5.cfg
test6.cfg
test7.cfg
test8.cfg
test9.cfg
test10.cfg
backupconfig.cfg
cdisk1
cdisk2
test11.cfg
cdisk3
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-15
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show disk
30
31
32
33
34
35
1276
7756788
7579792
7764344
5124096
15322
Jan
Feb
Mar
Mar
Feb
Mar
28
24
08
04
24
04
2005
2005
2005
2005
2005
2005
08:31:58
12:59:46
11:06:56
12:17:46
11:50:50
12:30:24
lead
asdmfile.dbg
asdmfile1.dbg
asdmfile2.dbg
cdisk4
hs_err.log
10170368 bytes available (52711424 bytes used)
次に、show disk filesys コ マ ン ド の出力例を示 し ま す。
ciscoasa# show disk filesys
******** Flash Card Geometry/Format Info ********
COMPACT FLASH CARD GEOMETRY
Number of Heads:
4
Number of Cylinders
978
Sectors per Cylinder
32
Sector Size
512
Total Sectors
125184
COMPACT FLASH CARD FORMAT
Number of FAT Sectors
61
Sectors Per Cluster
8
Number of Clusters
15352
Number of Data Sectors 122976
Base Root Sector
123
Base FAT Sector
1
Base Data Sector
155
次に、show disk controller コ マ ン ド の出力例を示 し ま す。
ciscoasa# show disk:1 controller
Flash Model: TOSHIBA THNCF064MBA
関連 コ マ ン ド
コ マン ド
dir
説明
デ ィ レ ク ト リ の内容を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-16
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show dns
show dns
すべて ま たは指定 さ れた完全修飾 ド メ イ ン名（FQDN）ホ ス ト の現在の解決済み DNS ア ド レ ス を
表示す る には、特権 EXEC モー ド で show dns コ マ ン ド を使用 し ま す。
show dns [host fqdn_name]
構文の説明
fqdn_name
（オプシ ョ ン）選択 し た ホ ス ト の FQDN を指定 し ま す。
host
（オプシ ョ ン）指定 し た ホ ス ト の IP ア ド レ ス を指定 し ま す。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
例
リ リ ース
7.0(1)
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show dns コ マ ン ド の出力例を示 し ま す。
ciscoasa# show dns
Name:
www.example1.com
Address: 10.1.3.1
Address: 10.1.3.3
Address: 10.4.1.2
Name: www.example2.com
Address: 10.2.4.1
Address: 10.5.2.1
Name: server.ddns-exampleuser.com
Address: fe80::21e:8cff:feb5:4faa
Address: 10.10.10.2
（注）
TTL 00:03:01
TTL 00:00:36
TTL 00:01:01
TTL 00:25:13
TTL 00:25:01
TTL 00:00:41
TTL 00:25:01
FQDN ホ ス ト が ア ク テ ィ ブ化 さ れていない場合は、こ の コ マ ン ド に よ る 出力は あ り ま せん。
次に、show dns host コ マ ン ド の出力例を示 し ま す。
ciscoasa# show dns host www.example.com
Name:
www.example.com
Address: 10.1.3.1 TTL 00:03:01
Address: 10.1.9.5 TTL 00:00:36
Address: 10.1.1.2 TTL 00:01:01
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-17
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show dns
関連 コ マ ン ド
コ マン ド
clear dns-hosts
説明
dns domain-lookup
ASA に よ る ネーム ル ッ ク ア ッ プの実行 を イ ネーブルに し ま す。
dns name-server
DNS サーバ ア ド レ ス を設定 し ま す。
DNS キ ャ ッ シ ュ を ク リ ア し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-18
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show dns-hosts
show dns-hosts
DNS キ ャ ッ シ ュ を表示す る には、特権 EXEC モー ド で show dns-hosts コ マ ン ド を使用 し ま す。
DNS キ ャ ッ シ ュ には、DNS サーバか ら のダ イ ナ ミ ッ ク に学習 さ れたエ ン ト リ お よ び手動で入力
さ れた名前 と IP ア ド レ ス が含 ま れ ま す。
show dns-hosts
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
例
リ リ ース
7.0(1)
•
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show dns-hosts コ マ ン ド の出力例を示 し ま す。
ciscoasa# show dns-hosts
Host
ns2.example.com
ns1.example.com
snowmass.example.com
server.example.com
関連 コ マ ン ド
Yes
ト ラ ン スペ
アレン ト
シ ン グル
Flags
(temp,
(temp,
(temp,
(temp,
OK)
OK)
OK)
OK)
Age Type
0
IP
0
IP
0
IP
0
IP
Address(es)
10.102.255.44
192.168.241.185
10.94.146.101
10.94.146.80
コ マン ド
clear dns-hosts
説明
dns domain-lookup
ASA に よ る ネーム ル ッ ク ア ッ プの実行 を イ ネーブルに し ま す。
dns name-server
DNS サーバ ア ド レ ス を設定 し ま す。
dns retries
ASA が応答 を受信 し ない と き に、DNS サーバの リ ス ト を再試行す る 回
数を指定 し ま す。
dns timeout
次の DNS サーバ を試行す る ま でに待機す る 時間を指定 し ま す。
DNS キ ャ ッ シ ュ を ク リ ア し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-19
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show dns-hosts
表 11 に、各 フ ィ ール ド の説明を示 し ま す。
表 6-1
関連 コ マ ン ド
show dns-hosts の各フ ィ ール ド
フ ィ ール ド
説明
Host
ホ ス ト 名を表示 し ま す。
Flags
次の組み合わせ と し て エ ン ト リ の ス テー タ ス を表示 し ま す。
•
temp： こ のエ ン ト リ は DNS サーバか ら 取得 さ れた ため、一時的です。ASA
は、非ア ク テ ィ ブにな っ て 72 時間後に こ のエ ン ト リ を削除 し ま す。
•
perm： こ のエ ン ト リ は name コ マ ン ド を使用 し て追加 さ れた ため、永続
的です。
•
OK： こ のエ ン ト リ は有効です。
•
??： こ のエ ン ト リ は疑わ し いため、再検証が必要です。
•
EX： こ のエ ン ト リ は期限切れです。
Age
こ のエ ン ト リ が最後に参照 さ れてか ら の時間数を表示 し ま す。
Type
DNS レ コ ー ド の タ イ プ を表示 し ま す。こ の値は常に IP です。
Address(es)
IP ア ド レ ス 。
コ マン ド
clear dns-hosts
説明
dns domain-lookup
ASA に よ る ネーム ル ッ ク ア ッ プの実行 を イ ネーブルに し ま す。
dns name-server
DNS サーバ ア ド レ ス を設定 し ま す。
dns retries
ASA が応答 を受信 し ない と き に、DNS サーバの リ ス ト を再試行す る 回
数を指定 し ま す。
dns timeout
次の DNS サーバ を試行す る ま でに待機す る 時間 を指定 し ま す。
DNS キ ャ ッ シ ュ を ク リ ア し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-20
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show dynamic-filter data
show dynamic-filter data
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ ダ イ ナ ミ ッ ク デー タ ベー ス に関す る 情報（ダ イ ナ ミ ッ ク
デー タ ベー ス の最終ダ ウ ン ロ ー ド 日、デー タ ベー ス のバージ ョ ン情報、デー タ ベー ス 内のエ ン ト
リ 数、10 個のサ ン プル エ ン ト リ な ど ）を表示す る には、特権 EXEC モー ド で show dynamic-filter
data コ マ ン ド を使用 し ま す。
show dynamic-filter data
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
コ マン ド デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
リ リ ース
8.2(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
ダ イ ナ ミ ッ ク デー タ ベー ス 情報を表示す る には、最初に dynamic-filter use-database コ マ ン ド と
dynamic-filter updater-client enable コ マ ン ド を使用 し て、デー タ ベー ス の使用 と ダ ウ ン ロ ー ド を
イ ネーブルに し ま す。
例
次に、show dynamic-filter data コ マ ン ド の出力例を示 し ま す。
ciscoasa# show dynamic-filter data
Traffic filter is using downloaded database version '907'
Fetched at 18:00:16 UTC Jan 22 2009, size: 674381
Sample names from downloaded database:
example.com, example.net, example.org,
cisco.example, cisco.invalid, bad.example.com
bad.example.net, bad.example.org, bad.cisco.example
bad.cisco.ivalid
Total entries in Dynamic Filter database:
Dynamic data: 40909 domain names , 1080 IPv4 addresses
Local data: 0 domain names , 0 IPv4 addresses
Active rules in Dynamic Filter asp table:
Dynamic data: 0 domain names , 1080 IPv4 addresses
Local data: 0 domain names , 0 IPv4 addresses
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-21
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show dynamic-filter data
関連 コ マ ン ド
コ マン ド
address
説明
IP ア ド レ ス を ブ ラ ッ ク リ ス ト ま たはホ ワ イ ト リ ス ト に追加 し
ま す。
clear configure dynamic-filter 実行ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ コ ン フ ィ ギ ュ レ ー
シ ョ ン を ク リ ア し ま す。
clear dynamic-filter
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の DNS ス ヌ ー ピ ン グ デー
dns-snoop
タ を ク リ ア し ま す。
clear dynamic-filter reports
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の レ ポー ト デー タ を ク リ
ア し ま す。
clear dynamic-filter statistics ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の統計情報を ク リ ア し ます。
dns domain-lookup
サポー ト さ れてい る コ マ ン ド に対 し て ネーム ル ッ ク ア ッ プ を
実行す る ために、ASA が DNS サーバに DNS 要求を送信で き る
よ う に し ま す。
dns server-group
ASA の DNS サーバ を指定 し ま す。
dynamic-filter
ambiguous-is-black
グ レ イ リ ス ト に登録 さ れてい る ト ラ フ ィ ッ ク を ブ ラ ッ ク リ ス
ト に登録 さ れてい る ト ラ フ ィ ッ ク と 同様の ア ク シ ョ ン で処理
し ま す。
dynamic-filter blacklist
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ のブ ラ ッ ク リ ス ト を編集
し ま す。
dynamic-filter database fetch
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ のダ イ ナ ミ ッ ク デー タ
ベー ス を手動で取得 し ま す。
dynamic-filter database find
ド メ イ ン名 ま たは IP ア ド レ ス を ダ イ ナ ミ ッ ク デー タ ベー ス か
ら 検索 し ま す。
dynamic-filter database purge ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ のダ イ ナ ミ ッ ク デー タ
ベー ス を手動で削除 し ま す。
dynamic-filter drop blacklist ブ ラ ッ ク リ ス ト に登録 さ れてい る ト ラ フ ィ ッ ク を自動で ド ロ ッ
プ し ま す。
dynamic-filter enable
ア ク セ ス リ ス ト を指定 し ない場合に、ト ラ フ ィ ッ ク の ク ラ ス ま
たはすべての ト ラ フ ィ ッ ク のボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ
ル タ を イ ネーブルに し ま す。
dynamic-filter updater-client ダ イ ナ ミ ッ ク デー タ ベー ス のダ ウ ン ロ ー ド を イ ネーブルに し
enable
ま す。
dynamic-filter use-database
ダ イ ナ ミ ッ ク デー タ ベー ス の使用 を イ ネーブルに し ま す。
dynamic-filter whitelist
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の ホ ワ イ ト リ ス ト を編集
し ま す。
inspect dns
dynamic-filter-snoop
DNS イ ン ス ペ ク シ ョ ン と ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ
ス ヌ ー ピ ン グ を イ ネーブルに し ま す。
name
ブ ラ ッ ク リ ス ト ま たはホ ワ イ ト リ ス ト に名前を追加 し ま す。
show asp table dynamic-filter 高速セ キ ュ リ テ ィ パ ス に イ ン ス ト ール さ れてい る ボ ッ ト ネ ッ
ト ト ラ フ ィ ッ ク フ ィ ル タ ルール を表示 し ま す。
show dynamic-filter data
ダ イ ナ ミ ッ ク デー タ ベー ス が最後にダ ウ ン ロ ー ド さ れた日時、
デー タ ベー ス のバージ ョ ン、デー タ ベー ス に含 ま れてい る エ ン
ト リ の数、10 個のサ ン プル エ ン ト リ な ど 、ダ イ ナ ミ ッ ク デー タ
ベー ス に関す る 情報 を表示 し ま す。
show dynamic-filter reports
上位 10 個のボ ッ ト ネ ッ ト サ イ ト 、ポー ト 、お よ び感染 し た ホ ス
ト に関す る レ ポー ト を生成 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-22
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show dynamic-filter data
コ マン ド
show dynamic-filter statistics
説明
show dynamic-filter
updater-client
サーバの IP ア ド レ ス 、ASA が次にサーバに接続す る 日時、最後
に イ ン ス ト ール さ れたデー タ ベー ス のバージ ョ ン な ど、ア ッ プ
デー ト サーバに関す る 情報 を表示 し ま す。
show running-config
dynamic-filter
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の実行 コ ン フ ィ ギ ュ レ ー
シ ョ ン を表示 し ま す。
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ でモ ニ タ さ れた接続の数、
お よ び こ れ ら の接続の う ち、ホ ワ イ ト リ ス ト 、ブ ラ ッ ク リ ス ト 、
グ レ イ リ ス ト に一致す る 接続の数 を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-23
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show dynamic-filter dns-snoop
show dynamic-filter dns-snoop
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の DNS ス ヌ ー ピ ン グ サマ リ ー（ ま たは実際の IP ア ド レ ス
と 名前）を表示す る には、特権 EXEC モー ド で show dynamic-filter dns-snoop コ マ ン ド を使用 し
ま す。
show dynamic-filter dns-snoop [detail]
構文の説明
detail
コ マン ド デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
（オプシ ョ ン）DNS 応答か ら ス ヌ ー ピ ン グ さ れた IP ア ド レ ス と 名前を
表示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
8.2(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
こ の出力には、ブ ラ ッ ク リ ス ト に一致す る 名前だけで な く 、すべての検査済み DNS デー タ が含
ま れ ま す。ス タ テ ィ ッ ク エ ン ト リ の DNS デー タ は含 ま れ ま せん。
DNS ス ヌーピ ン グ デー タ を消去す る には、clear dynamic-filter dns-snoop コ マ ン ド を入力 し ます。
例
次に、show dynamic-filter dns-snoop コ マ ン ド の出力例を示 し ま す。
ciscoasa# show dynamic-filter dns-snoop
DNS Reverse Cache Summary Information:
75 addresses, 124 names, 997 dnsrc address buckets
次に、show dynamic-filter dns-snoop detail コ マ ン ド の出力例を示 し ま す。
ciscoasa# show dynamic-filter dns-snoop detail
DNS Reverse Cache Summary Information:
75 addresses, 124 names, 997 dnsrc address buckets
DNS reverse Cache Information:
[10.67.22.34] flags=0x22, cat=2, unit=0 b:g:w=3:0:0, cookie=0xda148218
[www3.example.com] cat=2, ttl=3
[www.bad.example.com] cat=2, ttl=3
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-24
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show dynamic-filter dns-snoop
[www.example.com] cat=2, ttl=3
[10.6.68.133] flags=0x2, cat=2, unit=0 b:g:w=1:0:0, cookie=0xda13ed60
[cisco.example] cat=2, ttl=73
[10.166.226.25] flags=0x2, cat=2, unit=0 b:g:w=1:0:0, cookie=0xda608cb8
[cisco.invalid] cat=2, ttl=2
関連 コ マ ン ド
コ マン ド
address
説明
IP ア ド レ ス を ブ ラ ッ ク リ ス ト ま たはホ ワ イ ト リ ス ト に追加 し
ま す。
clear configure dynamic-filter 実行ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ コ ン フ ィ ギ ュ レ ー
シ ョ ン を ク リ ア し ま す。
clear dynamic-filter
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の DNS ス ヌ ー ピ ン グ デー
dns-snoop
タ を ク リ ア し ま す。
clear dynamic-filter reports
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の レ ポー ト デー タ を ク リ
ア し ま す。
clear dynamic-filter statistics ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の統計情報を ク リ ア し ます。
dns domain-lookup
サポー ト さ れてい る コ マ ン ド に対 し て ネーム ル ッ ク ア ッ プ を
実行す る ために、ASA が DNS サーバに DNS 要求を送信で き る
よ う に し ま す。
dns server-group
ASA の DNS サーバ を指定 し ま す。
dynamic-filter
ambiguous-is-black
グ レ イ リ ス ト に登録 さ れてい る ト ラ フ ィ ッ ク を ブ ラ ッ ク リ ス
ト に登録 さ れてい る ト ラ フ ィ ッ ク と 同様の ア ク シ ョ ン で処理
し ま す。
dynamic-filter blacklist
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ のブ ラ ッ ク リ ス ト を編集
し ま す。
dynamic-filter database fetch
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ のダ イ ナ ミ ッ ク デー タ
ベー ス を手動で取得 し ま す。
dynamic-filter database find
ド メ イ ン名 ま たは IP ア ド レ ス を ダ イ ナ ミ ッ ク デー タ ベー ス か
ら 検索 し ま す。
dynamic-filter database purge ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ のダ イ ナ ミ ッ ク デー タ
ベー ス を手動で削除 し ま す。
dynamic-filter drop blacklist ブ ラ ッ ク リ ス ト に登録 さ れてい る ト ラ フ ィ ッ ク を自動で ド ロ ッ
プ し ま す。
dynamic-filter enable
ア ク セ ス リ ス ト を指定 し ない場合に、ト ラ フ ィ ッ ク の ク ラ ス ま
たはすべての ト ラ フ ィ ッ ク のボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ
ル タ を イ ネーブルに し ま す。
dynamic-filter updater-client ダ イ ナ ミ ッ ク デー タ ベー ス のダ ウ ン ロ ー ド を イ ネーブルに し
enable
ま す。
dynamic-filter use-database
ダ イ ナ ミ ッ ク デー タ ベー ス の使用 を イ ネーブルに し ま す。
dynamic-filter whitelist
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の ホ ワ イ ト リ ス ト を編集
し ま す。
inspect dns
dynamic-filter-snoop
DNS イ ン ス ペ ク シ ョ ン と ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ
ス ヌ ー ピ ン グ を イ ネーブルに し ま す。
name
ブ ラ ッ ク リ ス ト ま たはホ ワ イ ト リ ス ト に名前を追加 し ま す。
show asp table dynamic-filter 高速セ キ ュ リ テ ィ パ ス に イ ン ス ト ール さ れてい る ボ ッ ト ネ ッ
ト ト ラ フ ィ ッ ク フ ィ ル タ ルール を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-25
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show dynamic-filter dns-snoop
コ マン ド
show dynamic-filter data
説明
show dynamic-filter reports
上位 10 個のボ ッ ト ネ ッ ト サ イ ト 、ポー ト 、お よ び感染 し た ホ ス
ト に関す る レ ポー ト を生成 し ま す。
show dynamic-filter statistics
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ でモ ニ タ さ れた接続の数、
お よ び こ れ ら の接続の う ち、ホ ワ イ ト リ ス ト 、ブ ラ ッ ク リ ス ト 、
グ レ イ リ ス ト に一致す る 接続の数 を表示 し ま す。
show dynamic-filter
updater-client
サーバの IP ア ド レ ス 、ASA が次にサーバに接続す る 日時、最後
に イ ン ス ト ール さ れたデー タ ベー ス のバージ ョ ン な ど、ア ッ プ
デー ト サーバに関す る 情報 を表示 し ま す。
show running-config
dynamic-filter
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の実行 コ ン フ ィ ギ ュ レ ー
シ ョ ン を表示 し ま す。
ダ イ ナ ミ ッ ク デー タ ベー ス が最後にダ ウ ン ロ ー ド さ れた日時、
デー タ ベー ス のバージ ョ ン、デー タ ベー ス に含 ま れてい る エ ン
ト リ の数、10 個のサ ン プル エ ン ト リ な ど 、ダ イ ナ ミ ッ ク デー タ
ベー ス に関す る 情報 を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-26
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show dynamic-filter reports top
show dynamic-filter reports top
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ に よ っ て分類 さ れた、上位 10 件のマル ウ ェ ア サ イ ト 、ポー
ト 、お よ び感染ホ ス ト の レ ポー ト を生成す る には、特権 EXEC モー ド で show dynamic-filter
reports top コ マ ン ド を使用 し ま す。
show dynamic-filter reports top [malware-sites | malware-ports | infected-hosts]
構文の説明
malware-ports
（オプシ ョ ン）上位 10 件のマル ウ ェ ア ポー ト の レ ポー ト を表示 し ます。
malware-sites
（オプシ ョ ン）上位 10 件のマル ウ ェ ア サ イ ト の レ ポー ト を表示 し ます。
infected-hosts
（オプシ ョ ン）上位 10 件の感染ホ ス ト の レ ポー ト を表示 し ま す。
コ マン ド デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
リ リ ース
8.2(1)
変更内容
8.2(2)
botnet-sites キー ワ ー ド お よ び botnet-ports キー ワ ー ド は
malware-sites お よ び malware-ports に変更 さ れ ま し た。malware-sites
レ ポー ト には、ド ロ ッ プ し た接続数 と 、各サ イ ト の脅威 レ ベルお よ び
カ テ ゴ リ が含 ま れてい ま す。最終 ク リ ア タ イ ム ス タ ン プが追加 さ れ ま
し た。脅威 イ ベン ト につい ては、重大度 レ ベルが警告か ら 通知に変更
さ れ ま し た。脅威 イ ベン ト は 5 分ご と に ト リ ガーで き ま す。
こ の コ マ ン ド が追加 さ れ ま し た。
こ の レ ポー ト はデー タ の ス ナ ッ プシ ョ ッ ト で、統計情報の収集開始以降の上位 10 項目に一致 し
ない場合が あ り ま す。
レ ポー ト デー タ を消去す る には、clear dynamic-filter reports top コ マ ン ド を入力 し ま す。
例
次に、show dynamic-filter reports top malware-sites コ マ ン ド の出力例を示 し ま す。
ciscoasa# show dynamic-filter reports top malware-sites
Site
Connections logged dropped Threat Level Category
-------------------------------------------------------------------------------------bad1.example.com (10.67.22.34)
11
0
2
Botnet
bad2.example.com (209.165.200.225)
8
8
3
Virus
bad1.cisco.example(10.131.36.158)
6
6
3
Virus
bad2.cisco.example(209.165.201.1)
2
2
3
Trojan
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-27
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show dynamic-filter reports top
horrible.example.net(10.232.224.2)
nono.example.org(209.165.202.130)
2
1
2
1
3
3
Botnet
Virus
Last clearing of the top sites report: at 13:41:06 UTC Jul 15 2009
次に、show dynamic-filter reports top malware-ports コ マ ン ド の出力例を示 し ま す。
ciscoasa# show dynamic-filter reports top malware-ports
Port
Connections logged
-------------------------------------------------------------------------------------tcp 1000
617
tcp 2001
472
tcp 23
22
tcp 1001
19
udp 2000
17
udp 2001
17
tcp 8080
9
tcp 80
3
tcp >8192
2
Last clearing of the top ports report: at 13:41:06 UTC Jul 15 2009
次に、show dynamic-filter reports top infected-hosts コ マ ン ド の出力例を示 し ま す。
ciscoasa# show dynamic-filter reports top infected-hosts
Host
Connections logged
-------------------------------------------------------------------------------------10.10.10.51(inside)
1190
10.12.10.10(inside)
10
10.10.11.10(inside)
5
Last clearing of the top infected-hosts report: at 13:41:06 UTC Jul 15 2009
関連 コ マ ン ド
コ マン ド
address
説明
IP ア ド レ ス を ブ ラ ッ ク リ ス ト ま たはホ ワ イ ト リ ス ト に追加 し
ま す。
clear configure dynamic-filter 実行ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ コ ン フ ィ ギ ュ レ ー
シ ョ ン を ク リ ア し ま す。
clear dynamic-filter dns-snoop ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の DNS ス ヌ ー ピ ン グ デー
タ を ク リ ア し ま す。
clear dynamic-filter reports
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の レ ポー ト デー タ を ク リ
ア し ま す。
clear dynamic-filter statistics ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の統計情報 を ク リ ア し
ま す。
dns domain-lookup
サポー ト さ れてい る コ マ ン ド に対 し て ネーム ル ッ ク ア ッ プ を実
行す る ために、ASA が DNS サーバに DNS 要求を送信で き る よ
う に し ま す。
dns server-group
ASA の DNS サーバ を指定 し ま す。
dynamic-filter
ambiguous-is-black
グ レ イ リ ス ト に登録 さ れてい る ト ラ フ ィ ッ ク を ブ ラ ッ ク リ ス
ト に登録 さ れてい る ト ラ フ ィ ッ ク と 同様の ア ク シ ョ ン で処理
し ま す。
dynamic-filter blacklist
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ のブ ラ ッ ク リ ス ト を編集 し
ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-28
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show dynamic-filter reports top
コ マン ド
説明
dynamic-filter database fetch ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ のダ イ ナ ミ ッ ク デー タ
ベー ス を手動で取得 し ま す。
dynamic-filter database find
ド メ イ ン名 ま たは IP ア ド レ ス を ダ イ ナ ミ ッ ク デー タ ベー ス か
ら 検索 し ま す。
dynamic-filter database purge ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ のダ イ ナ ミ ッ ク デー タ
ベー ス を手動で削除 し ま す。
dynamic-filter drop blacklist ブ ラ ッ ク リ ス ト に登録 さ れてい る ト ラ フ ィ ッ ク を自動で ド ロ ッ
プ し ま す。
dynamic-filter enable
ア ク セ ス リ ス ト を指定 し ない場合に、ト ラ フ ィ ッ ク の ク ラ ス ま
たはすべての ト ラ フ ィ ッ ク のボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル
タ を イ ネーブルに し ま す。
dynamic-filter updater-client ダ イ ナ ミ ッ ク デー タ ベー ス のダ ウ ン ロ ー ド を イ ネーブルに し
enable
ま す。
dynamic-filter use-database
ダ イ ナ ミ ッ ク デー タ ベー ス の使用 を イ ネーブルに し ま す。
dynamic-filter whitelist
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の ホ ワ イ ト リ ス ト を編集 し
ま す。
inspect dns
dynamic-filter-snoop
DNS イ ン ス ペ ク シ ョ ン と ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ
ス ヌ ー ピ ン グ を イ ネーブルに し ま す。
ブ ラ ッ ク リ ス ト ま たはホ ワ イ ト リ ス ト に名前を追加 し ま す。
show asp table dynamic-filter 高速セ キ ュ リ テ ィ パ ス に イ ン ス ト ール さ れてい る ボ ッ ト ネ ッ ト
ト ラ フ ィ ッ ク フ ィ ル タ ルール を表示 し ま す。
show dynamic-filter data
ダ イ ナ ミ ッ ク デー タ ベー ス が最後にダ ウ ン ロ ー ド さ れた日時、
デー タ ベー ス のバージ ョ ン、デー タ ベー ス に含 ま れてい る エ ン
ト リ の数、10 個のサ ン プル エ ン ト リ な ど 、ダ イ ナ ミ ッ ク デー タ
ベー ス に関す る 情報 を表示 し ま す。
show dynamic-filter dns-snoop ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の DNS ス ヌ ー ピ ン グ の概
要 を表示 し ま す。detail キー ワ ー ド を指定 し た場合は、実際の IP
ア ド レ ス お よ び名前 を表示 し ま す。
show dynamic-filter statistics ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ でモ ニ タ さ れた接続の数、
お よ び こ れ ら の接続の う ち、ホ ワ イ ト リ ス ト 、ブ ラ ッ ク リ ス ト 、
グ レ イ リ ス ト に一致す る 接続の数 を表示 し ま す。
show dynamic-filter
サーバの IP ア ド レ ス 、ASA が次にサーバに接続す る 日時、最後
updater-client
に イ ン ス ト ール さ れたデー タ ベー ス のバージ ョ ン な ど、ア ッ プ
デー ト サーバに関す る 情報 を表示 し ま す。
show running-config
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の実行 コ ン フ ィ ギ ュ レ ー
dynamic-filter
シ ョ ン を表示 し ま す。
name
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-29
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show dynamic-filter reports infected-hosts
show dynamic-filter reports infected-hosts
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ で分類 さ れた、感染 し た ホ ス ト の レ ポー ト を生成す る に
は、特権 EXEC モー ド で show dynamic-filter reports infected-hosts コ マ ン ド を使用 し ま す。
show dynamic-filter reports infected-hosts {max-connections | latest-active | highest-threat |
subnet ip_address netmask | all}
構文の説明
all
バ ッ フ ァ に格納 さ れてい る 感染 し た ホ ス ト の情報をすべて表示 し ま
す。こ の表示には、数千 も のエ ン ト リ が含 ま れ る こ と が あ り ま す。CLI
ではな く 、ASDM を使用 し て PDF を生成で き ま す。
highest-threat
脅威 レ ベルが最高のマル ウ ェ ア サ イ ト に接続す る 20 個の ホ ス ト を表
示 し ま す。
latest-active
最近ア ク テ ィ ビ テ ィ を行っ た 20 個の ホ ス ト を表示 し ま す。各ホ ス ト に
ついて、ア ク セ ス し た 5 件のマル ウ ェ ア サ イ ト に関す る 詳細情報が表
示 さ れ ま す。
max-connections
接続数が最 も 多い感染ホ ス ト を 20 個表示 し ま す。
subnet ip_address
netmask
指定 さ れたサブネ ッ ト 内の ホ ス ト を最大 20 個表示 し ま す。
コ マン ド デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
8.2(2)
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
こ れ ら の レ ポー ト には、感染ホ ス ト の詳細な履歴が含 ま れ、感染ホ ス ト 、閲覧 し た マル ウ ェ ア サ
イ ト 、お よ びマル ウ ェ ア ポー ト の間の相関関係が示 さ れ ま す。
レ ポー ト デー タ を消去す る には、clear dynamic-filter reports infected-hosts コ マ ン ド を入力 し ます。
例
次に、show dynamic-filter reports infected hosts all コ マ ン ド の出力例を示 し ま す。
ciscoasa# show dynamic-filter reports infected-hosts all
Total 2 infected-hosts in buffer
Host (interface)
Latest malicious conn time, filter action Conn logged, dropped
=======================================================================================================
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-30
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show dynamic-filter reports infected-hosts
192.168.1.4 (internal)
15:39:40 UTC Sep 17 2009, dropped
3
3
Malware-sites connected to (not ordered)
Site
Latest conn port, time, filter action
Conn logged, dropped Threat-level Category
------------------------------------------------------------------------------------------------------10.73.210.27 (bad.example.com)
80, 15:39:31 UTC Sep 17 2009, dropped
2
2
very-high Malware
10.65.2.119 (bad2.example.com)
0, 15:39:40 UTC Sep 17 2009, dropped
1
1
very-high admin-added
=======================================================================================================
192.168.1.2 (internal)
15:39:01 UTC Sep 17 2009, dropped
5
5
Malware-sites connected to (not ordered)
Site
Latest conn port, time, filter action
Conn logged, dropped Threat-level Category
------------------------------------------------------------------------------------------------------10.131.36.158 (bad.example.com)
0, 15:37:46 UTC Sep 17 2009, dropped
1
1
very-high admin-added
10.65.2.119 (bad2.example.com)
0, 15:37:53 UTC Sep 17 2009, dropped
1
1
very-high admin-added
20.73.210.27 (bad3.example.com)
80, 15:39:01 UTC Sep 17 2009, dropped
3
3
very-high Malware
=======================================================================================================
Last clearing of the infected-hosts report: Never
関連 コ マ ン ド
コ マン ド
address
説明
IP ア ド レ ス を ブ ラ ッ ク リ ス ト ま たはホ ワ イ ト リ ス ト に追加 し
ま す。
clear configure dynamic-filter 実行ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ コ ン フ ィ ギ ュ レ ー
シ ョ ン を ク リ ア し ま す。
clear dynamic-filter
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の DNS ス ヌ ー ピ ン グ デー
dns-snoop
タ を ク リ ア し ま す。
clear dynamic-filter reports
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の レ ポー ト デー タ を ク リ
ア し ま す。
clear dynamic-filter statistics ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の統計情報 を ク リ ア し
ま す。
dns domain-lookup
サポー ト さ れてい る コ マ ン ド に対 し て ネーム ル ッ ク ア ッ プ を
実行す る ために、ASA が DNS サーバに DNS 要求を送信で き る
よ う に し ま す。
dns server-group
ASA の DNS サーバ を指定 し ま す。
dynamic-filter
ambiguous-is-black
グ レ イ リ ス ト に登録 さ れてい る ト ラ フ ィ ッ ク を ブ ラ ッ ク リ ス
ト に登録 さ れてい る ト ラ フ ィ ッ ク と 同様の ア ク シ ョ ン で処理
し ま す。
dynamic-filter blacklist
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ のブ ラ ッ ク リ ス ト を編集
し ま す。
dynamic-filter database fetch
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ のダ イ ナ ミ ッ ク デー タ
ベー ス を手動で取得 し ま す。
dynamic-filter database find
ド メ イ ン名 ま たは IP ア ド レ ス を ダ イ ナ ミ ッ ク デー タ ベー ス か
ら 検索 し ま す。
dynamic-filter database purge ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ のダ イ ナ ミ ッ ク デー タ
ベー ス を手動で削除 し ま す。
dynamic-filter drop blacklist ブ ラ ッ ク リ ス ト に登録 さ れてい る ト ラ フ ィ ッ ク を自動で ド ロ ッ
プ し ま す。
dynamic-filter enable
ア ク セ ス リ ス ト を指定 し ない場合に、ト ラ フ ィ ッ ク の ク ラ ス ま
たはすべての ト ラ フ ィ ッ ク のボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ
ル タ を イ ネーブルに し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-31
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show dynamic-filter reports infected-hosts
コ マン ド
dynamic-filter updater-client
enable
説明
dynamic-filter use-database
ダ イ ナ ミ ッ ク デー タ ベー ス の使用 を イ ネーブルに し ま す。
dynamic-filter whitelist
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の ホ ワ イ ト リ ス ト を編集
し ま す。
inspect dns
dynamic-filter-snoop
DNS イ ン ス ペ ク シ ョ ン と ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ
ス ヌ ー ピ ン グ を イ ネーブルに し ま す。
name
ブ ラ ッ ク リ ス ト ま たはホ ワ イ ト リ ス ト に名前を追加 し ま す。
ダ イ ナ ミ ッ ク デー タ ベー ス のダ ウ ン ロ ー ド を イ ネーブルに し
ま す。
show asp table dynamic-filter 高速セ キ ュ リ テ ィ パ ス に イ ン ス ト ール さ れてい る ボ ッ ト ネ ッ
ト ト ラ フ ィ ッ ク フ ィ ル タ ルール を表示 し ま す。
show dynamic-filter data
ダ イ ナ ミ ッ ク デー タ ベー ス が最後にダ ウ ン ロ ー ド さ れた日時、
デー タ ベー ス のバージ ョ ン、デー タ ベー ス に含 ま れてい る エ ン
ト リ の数、10 個のサ ン プル エ ン ト リ な ど 、ダ イ ナ ミ ッ ク デー タ
ベー ス に関す る 情報 を表示 し ま す。
show dynamic-filter
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の DNS ス ヌ ー ピ ン グ の概
dns-snoop
要を表示 し ま す。detail キー ワ ー ド を指定 し た場合は、実際の IP
ア ド レ ス お よ び名前 を表示 し ま す。
show dynamic-filter statistics ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ でモ ニ タ さ れた接続の数、
お よ び こ れ ら の接続の う ち、ホ ワ イ ト リ ス ト 、ブ ラ ッ ク リ ス ト 、
グ レ イ リ ス ト に一致す る 接続の数 を表示 し ま す。
show dynamic-filter
サーバの IP ア ド レ ス 、ASA が次にサーバに接続す る 日時、最後
updater-client
に イ ン ス ト ール さ れたデー タ ベー ス のバージ ョ ン な ど、ア ッ プ
デー ト サーバに関す る 情報 を表示 し ま す。
show running-config
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の実行 コ ン フ ィ ギ ュ レ ー
dynamic-filter
シ ョ ン を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-32
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show dynamic-filter statistics
show dynamic-filter statistics
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ を使用 し て、ホ ワ イ ト リ ス ト 、ブ ラ ッ ク リ ス ト 、お よ びグ レ
イ リ ス ト と し て分類 さ れた接続の数を表示す る には、特権 EXEC モー ド で show dynamic-filter
statistics コ マ ン ド を使用 し ま す。
show dynamic-filter statistics [interface name] [detail]
構文の説明
detail
（オプシ ョ ン）各脅威 レ ベルで分類 ま たは ド ロ ッ プ さ れたパケ ッ ト の数
を表示 し ま す。
interface name
（オプシ ョ ン）特定の イ ン タ ー フ ェ イ ス の統計情報を表示 し ま す。
コ マン ド デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
リ リ ース
8.2(1)
変更内容
8.2(2)
各脅威 レ ベルで分類 ま たは ド ロ ッ プ さ れたパケ ッ ト 数 を表示す る た
めの detail キー ワ ー ド が追加 さ れ ま し た。脅威 イ ベン ト については、
重大度 レ ベルが警告か ら 通知に変更 さ れ ま し た。脅威 イ ベン ト は 5 分
ご と に ト リ ガーで き ま す。
こ の コ マ ン ド が追加 さ れ ま し た。
グ レ イ リ ス ト には、複数の ド メ イ ン名に関連付け ら れてい る が、こ れ ら すべての ド メ イ ン名がブ
ラ ッ ク リ ス ト に記載 さ れてい る わけではない ア ド レ ス が含め ら れ ま す。
統計情報を ク リ アす る には、clear dynamic-filter statistics コ マ ン ド を入力 し ま す。
例
次に、show dynamic-filter statistics コ マ ン ド の出力例を示 し ま す。
ciscoasa# show dynamic-filter statistics
Enabled on interface outside
Total conns classified 11, ingress 11, egress 0
Total whitelist classified 0, ingress 0, egress 0
Total greylist classified 0, dropped 0, ingress 0, egress 0
Total blacklist classified 11, dropped 5, ingress 11, egress 0
Enabled on interface inside
Total conns classified 1182, ingress 1182, egress 0
Total whitelist classified 3, ingress 3, egress 0
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-33
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show dynamic-filter statistics
Total greylist classified 0, dropped 0, ingress 0, egress 0
Total blacklist classified 1179, dropped 1000, ingress 1179, egress 0
次に、show dynamic-filter statistics interface outside detail コ マ ン ド の出力例を示 し ま す。
ciscoasa# show dynamic-filter statistics interface outside detail
Enabled on interface outside
Total conns classified 2108, ingress 2108, egress 0
Total whitelist classified 0, ingress 0, egress 0
Total greylist classified 1, dropped 1, ingress 0, egress 0
Threat level 5 classified 1, dropped 1, ingress 0, egress 0
Threat level 4 classified 0, dropped 0, ingress 0, egress 0
...
Total blacklist classified 30, dropped 20, ingress 11, egress 2
Threat level 5 classified 6, dropped 6, ingress 4, egress 2
Threat level 4 classified 5, dropped 5, ingress 5, egress 0
関連 コ マ ン ド
コ マン ド
address
説明
IP ア ド レ ス を ブ ラ ッ ク リ ス ト ま たはホ ワ イ ト リ ス ト に追加 し
ま す。
clear configure dynamic-filter 実行ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ コ ン フ ィ ギ ュ レ ー
シ ョ ン を ク リ ア し ま す。
clear dynamic-filter
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の DNS ス ヌ ー ピ ン グ デー
dns-snoop
タ を ク リ ア し ま す。
clear dynamic-filter reports
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の レ ポー ト デー タ を ク リ
ア し ま す。
clear dynamic-filter statistics ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の統計情報 を ク リ ア し
ま す。
dns domain-lookup
サポー ト さ れてい る コ マ ン ド に対 し て ネーム ル ッ ク ア ッ プ を
実行す る ために、ASA が DNS サーバに DNS 要求を送信で き る
よ う に し ま す。
dns server-group
ASA の DNS サーバ を指定 し ま す。
dynamic-filter
ambiguous-is-black
グ レ イ リ ス ト に登録 さ れてい る ト ラ フ ィ ッ ク を ブ ラ ッ ク リ ス
ト に登録 さ れてい る ト ラ フ ィ ッ ク と 同様の ア ク シ ョ ン で処理
し ま す。
dynamic-filter blacklist
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ のブ ラ ッ ク リ ス ト を編集
し ま す。
dynamic-filter database fetch
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ のダ イ ナ ミ ッ ク デー タ
ベー ス を手動で取得 し ま す。
dynamic-filter database find
ド メ イ ン名 ま たは IP ア ド レ ス を ダ イ ナ ミ ッ ク デー タ ベー ス か
ら 検索 し ま す。
dynamic-filter database purge ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ のダ イ ナ ミ ッ ク デー タ
ベー ス を手動で削除 し ま す。
dynamic-filter drop blacklist ブ ラ ッ ク リ ス ト に登録 さ れてい る ト ラ フ ィ ッ ク を自動で ド ロ ッ
プ し ま す。
dynamic-filter enable
ア ク セ ス リ ス ト を指定 し ない場合に、ト ラ フ ィ ッ ク の ク ラ ス ま
たはすべての ト ラ フ ィ ッ ク のボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ
ル タ を イ ネーブルに し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-34
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show dynamic-filter statistics
コ マン ド
dynamic-filter updater-client
enable
説明
dynamic-filter use-database
ダ イ ナ ミ ッ ク デー タ ベー ス の使用 を イ ネーブルに し ま す。
dynamic-filter whitelist
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の ホ ワ イ ト リ ス ト を編集
し ま す。
inspect dns
dynamic-filter-snoop
DNS イ ン ス ペ ク シ ョ ン と ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ
ス ヌ ー ピ ン グ を イ ネーブルに し ま す。
name
ブ ラ ッ ク リ ス ト ま たはホ ワ イ ト リ ス ト に名前を追加 し ま す。
ダ イ ナ ミ ッ ク デー タ ベー ス のダ ウ ン ロ ー ド を イ ネーブルに し
ま す。
show asp table dynamic-filter 高速セ キ ュ リ テ ィ パ ス に イ ン ス ト ール さ れてい る ボ ッ ト ネ ッ
ト ト ラ フ ィ ッ ク フ ィ ル タ ルール を表示 し ま す。
show dynamic-filter data
ダ イ ナ ミ ッ ク デー タ ベー ス が最後にダ ウ ン ロ ー ド さ れた日時、
デー タ ベー ス のバージ ョ ン、デー タ ベー ス に含 ま れてい る エ ン
ト リ の数、10 個のサ ン プル エ ン ト リ な ど 、ダ イ ナ ミ ッ ク デー タ
ベー ス に関す る 情報 を表示 し ま す。
show dynamic-filter
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の DNS ス ヌ ー ピ ン グ の概
dns-snoop
要 を表示 し ま す。detail キー ワ ー ド を指定 し た場合は、実際の IP
ア ド レ ス お よ び名前 を表示 し ま す。
show dynamic-filter reports
上位 10 個のボ ッ ト ネ ッ ト サ イ ト 、ポー ト 、お よ び感染 し た ホ ス
ト に関す る レ ポー ト を生成 し ま す。
show dynamic-filter
サーバの IP ア ド レ ス 、ASA が次にサーバに接続す る 日時、最後
updater-client
に イ ン ス ト ール さ れたデー タ ベー ス のバージ ョ ン な ど、ア ッ プ
デー ト サーバに関す る 情報 を表示 し ま す。
show running-config
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の実行 コ ン フ ィ ギ ュ レ ー
dynamic-filter
シ ョ ン を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-35
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show dynamic-filter updater-client
show dynamic-filter updater-client
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の ア ッ プデー ト サーバに関す る 情報（サーバの IP ア ド レ
ス 、ASA がサーバに接続す る 次の タ イ ミ ン グ、イ ン ス ト ール さ れてい る デー タ ベー ス のバージ ョ
ン な ど ）を表示す る には、特権 EXEC モー ド で show dynamic-filter updater-client コ マ ン ド を使
用 し ま す。
show dynamic-filter updater-client
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
コ マン ド デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
例
リ リ ース
8.2(1)
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show dynamic-filter updater-client コ マ ン ド の出力例を示 し ま す。
ciscoasa# show dynamic-filter updater-client
Traffic Filter updater client is enabled
Updater server url is https://10.15.80.240:446
Application name: trafmon, version: 1.0
Encrypted UDI:
0bb93985f42d941e50dc8f022350d1a8de96ba6c1f6d45f4bc0ead02a7d5990be32f483b
5715cd80a215cedadd4e5ffe
Next update is in 00:02:00
Database file version is '907' fetched at 22:51:41 UTC Oct 16 2006,
size: 521408
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-36
•
Yes
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show dynamic-filter updater-client
関連 コ マ ン ド
コ マン ド
address
説明
IP ア ド レ ス を ブ ラ ッ ク リ ス ト ま たはホ ワ イ ト リ ス ト に追加 し
ま す。
clear configure dynamic-filter 実行ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ コ ン フ ィ ギ ュ レ ー
シ ョ ン を ク リ ア し ま す。
clear dynamic-filter
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の DNS ス ヌ ー ピ ン グ デー
dns-snoop
タ を ク リ ア し ま す。
clear dynamic-filter reports
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の レ ポー ト デー タ を ク リ
ア し ま す。
clear dynamic-filter statistics ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の統計情報 を ク リ ア し
ま す。
dns domain-lookup
サポー ト さ れてい る コ マ ン ド に対 し て ネーム ル ッ ク ア ッ プ を
実行す る ために、ASA が DNS サーバに DNS 要求を送信で き る
よ う に し ま す。
dns server-group
ASA の DNS サーバ を指定 し ま す。
dynamic-filter
ambiguous-is-black
グ レ イ リ ス ト に登録 さ れてい る ト ラ フ ィ ッ ク を ブ ラ ッ ク リ ス
ト に登録 さ れてい る ト ラ フ ィ ッ ク と 同様の ア ク シ ョ ン で処理
し ま す。
dynamic-filter blacklist
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ のブ ラ ッ ク リ ス ト を編集
し ま す。
dynamic-filter database fetch
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ のダ イ ナ ミ ッ ク デー タ
ベー ス を手動で取得 し ま す。
dynamic-filter database find
ド メ イ ン名 ま たは IP ア ド レ ス を ダ イ ナ ミ ッ ク デー タ ベー ス か
ら 検索 し ま す。
dynamic-filter database purge ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ のダ イ ナ ミ ッ ク デー タ
ベー ス を手動で削除 し ま す。
dynamic-filter drop blacklist ブ ラ ッ ク リ ス ト に登録 さ れてい る ト ラ フ ィ ッ ク を自動で ド ロ ッ
プ し ま す。
dynamic-filter enable
ア ク セ ス リ ス ト を指定 し ない場合に、ト ラ フ ィ ッ ク の ク ラ ス ま
たはすべての ト ラ フ ィ ッ ク のボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ
ル タ を イ ネーブルに し ま す。
dynamic-filter updater-client ダ イ ナ ミ ッ ク デー タ ベー ス のダ ウ ン ロ ー ド を イ ネーブルに し
enable
ま す。
dynamic-filter use-database
ダ イ ナ ミ ッ ク デー タ ベー ス の使用 を イ ネーブルに し ま す。
dynamic-filter whitelist
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の ホ ワ イ ト リ ス ト を編集
し ま す。
inspect dns
dynamic-filter-snoop
DNS イ ン ス ペ ク シ ョ ン と ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ
ス ヌ ー ピ ン グ を イ ネーブルに し ま す。
name
ブ ラ ッ ク リ ス ト ま たはホ ワ イ ト リ ス ト に名前を追加 し ま す。
show asp table dynamic-filter 高速セ キ ュ リ テ ィ パ ス に イ ン ス ト ール さ れてい る ボ ッ ト ネ ッ
ト ト ラ フ ィ ッ ク フ ィ ル タ ルール を表示 し ま す。
show dynamic-filter data
ダ イ ナ ミ ッ ク デー タ ベー ス が最後にダ ウ ン ロ ー ド さ れた日時、
デー タ ベー ス のバージ ョ ン、デー タ ベー ス に含 ま れてい る エ ン
ト リ の数、10 個のサ ン プル エ ン ト リ な ど 、ダ イ ナ ミ ッ ク デー タ
ベー ス に関す る 情報 を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-37
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show dynamic-filter updater-client
コ マン ド
show dynamic-filter
dns-snoop
説明
show dynamic-filter reports
上位 10 個のボ ッ ト ネ ッ ト サ イ ト 、ポー ト 、お よ び感染 し た ホ ス
ト に関す る レ ポー ト を生成 し ま す。
show dynamic-filter statistics
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ でモ ニ タ さ れた接続の数、
お よ び こ れ ら の接続の う ち、ホ ワ イ ト リ ス ト 、ブ ラ ッ ク リ ス ト 、
グ レ イ リ ス ト に一致す る 接続の数 を表示 し ま す。
show running-config
dynamic-filter
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の実行 コ ン フ ィ ギ ュ レ ー
シ ョ ン を表示 し ま す。
ボ ッ ト ネ ッ ト ト ラ フ ィ ッ ク フ ィ ル タ の DNS ス ヌ ー ピ ン グ の概
要を表示 し ま す。detail キー ワ ー ド を指定 し た場合は、実際の IP
ア ド レ ス お よ び名前 を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-38
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show eigrp events
show eigrp events
EIGRP イ ベン ト ロ グ を表示す る には、特権 EXEC モー ド で show eigrp events コ マ ン ド を使用 し
ま す。
show eigrp [as-number] events [{start end} | type]
構文の説明
as-number
（オプシ ョ ン） イ ベン ト ロ グ を表示 し てい る EIGRP プ ロ セ ス の自律シ
ス テ ム番号を指定 し ま す。ASA がサポー ト す る EIGRP ルーテ ィ ン グ
プ ロ セ ス は 1 つだけで あ る ため、自律シ ス テ ム番号を指定す る 必要は
あ り ま せん。
end
（オプシ ョ ン）出力 さ れ る エ ン ト リ を、イ ンデ ッ ク ス 番号 start で開始
さ れ、イ ンデ ッ ク ス 番号 end で終了す る エ ン ト リ に限定 し ま す。
start
（オプシ ョ ン） ロ グ エ ン ト リ の イ ンデ ッ ク ス 番号を指定す る 数値。開始
番号を指定す る と 、出力は指定 さ れた イ ベン ト で開始 し 、end 引数で指
定 さ れた イ ベン ト で終了 し ま す。有効な値は、1 ～ 4294967295 です。
type
（オプシ ョ ン）記録 さ れ る イ ベン ト を表示 し ま す。
デフ ォル ト
start お よ び end を指定 し ない場合、すべての ロ グ エ ン ト リ が表示 さ れ ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
—
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
リ リ ース
8.0(2)
変更内容
9.0(1)
マルチ コ ン テ キ ス ト モー ド がサポー ト さ れてい ま す。
—
こ の コ マ ン ド が追加 さ れ ま し た。
show eigrp events の出力では最大 500 件の イ ベン ト が表示 さ れ ます。イ ベン ト が最大数に到達す
る と 、新 し い イ ベン ト は出力の末尾に追加 さ れ、古い イ ベン ト は出力の先頭か ら 削除 さ れ ます。
clear eigrp events コ マ ン ド を使用す る と 、EIGRP イ ベン ト ロ グ を ク リ ア で き ま す。
show eigrp events type コ マ ン ド は、EIGRP イ ベン ト の ロ ギ ン グ ス テー タ ス を表示 し ます。デフ ォ
ル ト では、ネ イ バー変更、ネ イ バー警告、お よ び DUAL FSM メ ッ セージが記録 さ れ ま す。ネ イ バー
変更 イ ベン ト の ロ ギ ン グは、no eigrp log-neighbor-changes コ マ ン ド を使用 し てデ ィ セーブルにで
き ま す。ネ イ バー警告 イ ベン ト の ロ ギ ン グは、no eigrp log-neighbor-warnings コ マ ン ド を使用 し て
デ ィ セーブルにで き ます。DUAL FSM イ ベン ト の ロ ギ ン グはデ ィ セーブルにで き ま せん。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-39
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show eigrp events
例
次に、show eigrp events コ マ ン ド の出力例を示 し ま す。
ciscoasa# show eigrp events
Event information
1
12:11:23.500
2
12:11:23.500
3
12:11:23.500
4
12:11:23.500
5
12:11:23.500
6
12:11:23.500
7
12:11:23.500
8
12:11:23.500
9
12:11:23.500
10
12:11:23.500
11
12:11:23.500
for AS 100:
Change queue emptied, entries: 4
Metric set: 10.1.0.0/16 53760
Update reason, delay: new if 4294967295
Update sent, RD: 10.1.0.0/16 4294967295
Update reason, delay: metric chg 4294967295
Update sent, RD: 10.1.0.0/16 4294967295
Route install: 10.1.0.0/16 10.130.60.248
Find FS: 10.1.0.0/16 4294967295
Rcv update met/succmet: 53760 28160
Rcv update dest/nh: 10.1.0.0/16 10.130.60.248
Metric set: 10.1.0.0/16 4294967295
次に、show eigrp events コ マ ン ド で開始番号 と 終了番号を定義 し た と き の出力例を示 し ま す。
ciscoasa# show eigrp events 3 8
Event information
3
12:11:23.500
4
12:11:23.500
5
12:11:23.500
6
12:11:23.500
7
12:11:23.500
8
12:11:23.500
for AS 100:
Update reason, delay: new if 4294967295
Update sent, RD: 10.1.0.0/16 4294967295
Update reason, delay: metric chg 4294967295
Update sent, RD: 10.1.0.0/16 4294967295
Route install: 10.1.0.0/16 10.130.60.248
Find FS: 10.1.0.0/16 4294967295
次に、EIGRP イ ベン ト ロ グ のエ ン ト リ がない場合の show eigrp events コ マ ン ド の出力例を示 し
ま す。
ciscoasa# show eigrp events
Event information for AS 100:
Event log is empty.
次に、show eigrp events type コ マ ン ド の出力例を示 し ま す。
ciscoasa# show eigrp events type
EIGRP-IPv4 Event Logging for AS 100:
Log Size
500
Neighbor Changes Enable
Neighbor Warnings Enable
Dual FSM
Enable
関連 コ マ ン ド
コ マン ド
clear eigrp events
説明
eigrp log-neighbor-changes
ネ イ バー変更 イ ベン ト の ロ ギ ン グ を イ ネーブルに し ま す。
eigrp log-neighbor-warnings
ネ イ バー警告 イ ベン ト の ロ ギ ン グ を イ ネーブルに し ま す。
EIGRP イ ベン ト ロ ギ ン グ バ ッ フ ァ を ク リ ア し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-40
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show eigrp interfaces
show eigrp interfaces
EIGRP ルーテ ィ ン グ に参加 し てい る イ ン タ ー フ ェ イ ス を表示す る には、特権 EXEC モー ド で
show eigrp interfaces コ マ ン ド を使用 し ま す。
show eigrp [as-number] interfaces [if-name] [detail]
構文の説明
as-number
（オプシ ョ ン）ア ク テ ィ ブ イ ン タ ー フ ェ イ ス を表示す る EIGRP プ ロ セ
ス の自律シ ス テ ム番号を指定 し ま す。ASA がサポー ト す る EIGRP
ルーテ ィ ン グ プ ロ セ ス は 1 つだけで あ る ため、自律シ ス テ ム番号を指
定す る 必要はあ り ま せん。
detail
（オプシ ョ ン）詳細情報を表示 し ま す。
if-name
（オプシ ョ ン）nameif コ マ ン ド で指定 さ れた イ ン タ ー フ ェ イ ス の名前。
イ ン タ ー フ ェ イ ス 名を指定す る と 、指定 さ れた イ ン タ ー フ ェ イ ス に表
示が制限 さ れ ま す。
デフ ォル ト
イ ン タ ー フ ェ イ ス 名を指定 し ない場合、すべての EIGRP イ ン タ ー フ ェ イ ス の情報が表示 さ れ
ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
•
Yes
—
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
リ リ ース
8.0(2)
変更内容
9.0(1)
マルチ コ ン テ キ ス ト モー ド がサポー ト さ れてい ま す。
—
こ の コ マ ン ド が追加 さ れ ま し た。
show eigrp interfaces コ マ ン ド を使用 し て、EIGRP が ア ク テ ィ ブ な イ ン タ ー フ ェ イ ス を判別 し 、
それ ら の イ ン タ ー フ ェ イ ス に関連す る EIGRP についての情報を学習 し ま す。
イ ン タ ー フ ェ イ ス が指定 さ れた場合、その イ ン タ ー フ ェ イ ス のみが表示 さ れ ま す。指定 さ れない
場合、EIGRP を実行 し てい る すべての イ ン タ ー フ ェ イ ス が表示 さ れ ま す。
自律シ ス テ ム が指定 さ れた場合、指定 さ れた自律シ ス テ ム についてのルーテ ィ ン グ プ ロ セ ス の
みが表示 さ れ ま す。指定 さ れない場合、すべての EIGRP プ ロ セ ス が表示 さ れ ま す。
例
次に、show eigrp interfaces コ マ ン ド の出力例を示 し ま す。
ciscoasa# show eigrp interfaces
EIGRP-IPv4 interfaces for process 100
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-41
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show eigrp interfaces
Interface
mgmt
outside
inside
Peers
0
1
1
Xmit Queue
Un/Reliable
0/0
0/0
0/0
Mean
SRTT
0
337
10
Pacing Time
Un/Reliable
11/434
0/10
1/63
Multicast
Flow Timer
0
0
103
Pending
Routes
0
0
0
表 6-2 に、こ の出力で表示 さ れ る 重要な フ ィ ール ド の説明を示 し ま す。
表 6-2
関連 コ マ ン ド
show eigrp interfaces のフ ィ ール ド の説明
フ ィ ール ド
説明
process
EIGRP ルーテ ィ ン グ プ ロ セ ス の自律シ ス テ ム番号です。
Peers
直接接続 さ れてい る ピ ア の数。
Xmit Queue
Un/Reliable
信頼性の低い送信キ ュ ーお よ び信頼性の高い送信キ ュ ーに残っ てい る
パケ ッ ト の数。
Mean SRTT
平均の ス ムーズ ラ ウ ン ド ト リ ッ プ時間間隔（秒）。
Pacing Time
Un/Reliable
EIGRP パケ ッ ト （信頼性の低いパケ ッ ト お よ び信頼性の高いパケ ッ ト ）
を イ ン タ ー フ ェ イ ス に送信す る タ イ ミ ン グ を決定す る ために使用 さ れ
る ペーシ ン グ時間（秒）。
Multicast Flow
Timer
ASA がマルチ キ ャ ス ト EIGRP パケ ッ ト を送信す る 最大秒数。
Pending Routes
送信キ ュ ー内で送信を待機 し てい る パケ ッ ト 内のルー ト の数。
コ マン ド
network
説明
EIGRP ルーテ ィ ン グ プ ロ セ ス に参加す る ネ ッ ト ワ ー ク お よ び イ ン
タ ー フ ェ イ ス を定義 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-42
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show eigrp neighbors
show eigrp neighbors
EIGRP ネ イ バー テーブル を表示す る には、特権 EXEC モー ド で show eigrp neighbors コ マ ン ド
を使用 し ま す。
show eigrp [as-number] neighbors [detail | static] [if-name]
構文の説明
as-number
（オプシ ョ ン）ネ イ バー エ ン ト リ を削除す る EIGRP プ ロ セ ス の自律シ
ス テ ム番号を指定 し ま す。ASA がサポー ト す る EIGRP ルーテ ィ ン グ
プ ロ セ ス は 1 つだけで あ る ため、自律シ ス テ ム番号を指定す る 必要は
あ り ま せん。
detail
（オプシ ョ ン）詳細な ネ イ バー情報を表示 し ま す。
if-name
（オプシ ョ ン）nameif コ マ ン ド で指定 さ れた イ ン タ ーフ ェ イ ス の名前。
イ ン タ ーフ ェ イ ス 名を指定す る 場合、その イ ン タ ーフ ェ イ ス を介 し て
学習 さ れたすべてのネ イ バー テーブル エ ン ト リ が表示 さ れ ま す。
static
（オプシ ョ ン）neighbor コ マ ン ド を使用 し て ス タ テ ィ ッ ク に定義 さ れ
た EIGRP ネ イ バーを表示 し ま す。
デフ ォル ト
イ ン タ ー フ ェ イ ス 名を指定 し ない場合、すべての イ ン タ ー フ ェ イ ス を介 し て学習 さ れた ネ イ
バーが表示 さ れ ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
—
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
リ リ ース
8.0(2)
変更内容
9.0(1)
マルチ コ ン テ キ ス ト モー ド がサポー ト さ れてい ま す。
—
こ の コ マ ン ド が追加 さ れ ま し た。
clear eigrp neighbors コ マ ン ド を使用 し て、ダ イ ナ ミ ッ ク に学習 さ れた ネ イ バーを EIGRP ネ イ
バー テーブルか ら ク リ ア で き ま す。
static キー ワ ー ド を使用 し ない限 り 、ス タ テ ィ ッ ク ネ イ バーは出力に含 ま れ ま せん。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-43
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show eigrp neighbors
例
次に、show eigrp neighbors コ マ ン ド の出力例を示 し ま す。
ciscoasa# show eigrp neighbors
EIGRP-IPv4 Neighbors for process 100
Address
Interface
172.16.81.28
172.16.80.28
172.16.80.31
Ethernet1
Ethernet0
Ethernet0
Holdtime
(secs)
13
14
12
Uptime
(h:m:s)
0:00:41
0:02:01
0:02:02
Q
Count
0
0
0
Seq
Num
11
10
4
SRTT
(ms)
4
12
5
RTO
(ms)
20
24
20
表 6-3 に、こ の出力で表示 さ れ る 重要な フ ィ ール ド の説明を示 し ま す。
表 6-3
show eigrp neighbors のフ ィ ール ド の説明
フ ィ ール ド
説明
process
EIGRP ルーテ ィ ン グ プ ロ セ ス の自律シ ス テ ム番号です。
Address
EIGRP ネ イ バーの IP ア ド レ ス 。
Interface
ASA がネ イ バーか ら hello パケ ッ ト を受信す る イ ン タ ー フ ェ イ ス 。
Holdtime
ASA がダ ウ ン と 宣言 さ れ る ま でにネ イ バーか ら の応答を待機す る 時間
の長 さ （秒単位）。こ の ホール ド 時間は hello パケ ッ ト でネ イ バーか ら 受信
し 、その時点か ら 、別の hello パケ ッ ト を ネ イ バーか ら 受信す る ま で減少
し ま す。
ネ イ バーがデ フ ォ ル ト の ホール ド 時間を使用 し てい る 場合は、こ の数値
は 15 未満です。ピ ア がデ フ ォ ル ト 以外の ホール ド 時間を設定 し てい る 場
合は、デ フ ォ ル ト 以外の ホール ド 時間が表示 さ れ ま す。
こ の値が 0 に達す る と 、ASA は、ネ イ バーを到達不能 と 見な し ま す。
Uptime
ASA が こ のネ イ バーか ら の応答 を最初に受信 し てか ら の経過時間（時:
分:秒）。
Q Count
ASA が送信 を待機 し てい る EIGRP パケ ッ ト （ア ッ プデー ト 、ク エ リ ー、
応答）の数。
Seq Num
ネ イ バーか ら 受信 し た最後のア ッ プデー ト 、ク エ リ ー、ま たは応答パ
ケ ッ ト のシーケ ン ス 番号。
SRTT
ス ムーズ ラ ウ ン ド ト リ ッ プ時間。こ れは、EIGRP パケ ッ ト を こ のネ イ
バーに送信 し 、ASA がそのパケ ッ ト の確認応答を受信す る ために必要な
ミ リ 秒数です。
RTO
Retransmission Timeout（再送信の タ イ ム ア ウ ト ）（ ミ リ 秒）。こ れは、ASA
が再送信キ ュ ーか ら ネ イ バーにパケ ッ ト を再送信す る ま でに待機す る
時間です。
次に、show eigrp neighbors static コ マ ン ド の出力例を示 し ま す。
ciscoasa# show eigrp neighbors static
EIGRP-IPv4 neighbors for process 100
Static Address
Interface
192.168.1.5
management
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-44
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show eigrp neighbors
表 6-4 に、こ の出力で表示 さ れ る 重要な フ ィ ール ド の説明を示 し ま す。
表 6-4
show ip eigrp neighbors static のフ ィ ール ド の説明
フ ィ ール ド
説明
process
EIGRP ルーテ ィ ン グ プ ロ セ ス の自律シ ス テ ム番号です。
Static Address
EIGRP ネ イ バーの IP ア ド レ ス 。
Interface
ASA がネ イ バーか ら hello パケ ッ ト を受信す る イ ン タ ー フ ェ イ ス 。
次に、show eigrp neighbors detail コ マ ン ド の出力例を示 し ま す。
ciscoasa# show eigrp neighbors detail
EIGRP-IPv4 neighbors for process 100
H
Address
Interface
3
0
2
1
1.1.1.3
Et0/0
Version 12.2/1.2, Retrans: 0, Retries:
Restart time 00:01:05
10.4.9.5
Fa0/0
Version 12.2/1.2, Retrans: 0, Retries:
10.4.9.10
Fa0/0
Version 12.2/1.2, Retrans: 1, Retries:
10.4.9.6
Fa0/0
Version 12.2/1.2, Retrans: 1, Retries:
Hold Uptime
SRTT
(sec)
(ms)
12 00:04:48 1832
RTO
Q Seq Tye
Cnt Num
5000 0 14
0
11 00:04:07
768
4608
0
4
S
13 1w0d
1
3000
0
6
S
12 1w0d
1
3000
0
4
S
0
0
0
表 6-5 に、こ の出力で表示 さ れ る 重要な フ ィ ール ド の説明を示 し ま す。
表 6-5
show ip eigrp neighbors details のフ ィ ール ド の説明
フ ィ ール ド
説明
process
EIGRP ルーテ ィ ン グ プ ロ セ ス の自律シ ス テ ム番号です。
H
こ の列は、指定 さ れたネ イ バー と の間で確立 さ れた ピ ア リ ン グ セ ッ シ ョ ン
の順番を示 し ます。順番は、0 か ら 始ま る 連続 し た番号で指定 さ れます。
Address
EIGRP ネ イ バーの IP ア ド レ ス 。
Interface
ASA がネ イ バーか ら hello パケ ッ ト を受信す る イ ン タ ー フ ェ イ ス 。
Holdtime
ASA がダ ウ ン と 宣言 さ れ る ま でにネ イ バーか ら の応答を待機す る 時間の長
さ （秒単位）。こ のホール ド 時間は hello パケ ッ ト でネ イ バーか ら 受信 し 、その
時点か ら 、別の hello パケ ッ ト を ネ イ バーか ら 受信す る ま で減少 し ます。
ネ イ バーがデ フ ォ ル ト の ホール ド 時間を使用 し てい る 場合は、こ の数値は
15 未満です。ピ ア がデ フ ォ ル ト 以外の ホール ド 時間を設定 し てい る 場合
は、デ フ ォ ル ト 以外の ホール ド 時間が表示 さ れ ま す。
こ の値が 0 に達す る と 、ASA は、ネ イ バーを到達不能 と 見な し ま す。
Uptime
ASA が こ のネ イ バーか ら の応答 を最初に受信 し てか ら の経過時間（時:分:
秒）。
SRTT
ス ムーズ ラ ウ ン ド ト リ ッ プ時間。こ れは、EIGRP パケ ッ ト を こ のネ イ バー
に送信 し 、ASA がそのパケ ッ ト の確認応答を受信す る ために必要な ミ リ 秒
数です。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-45
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show eigrp neighbors
表 6-5
関連 コ マ ン ド
show ip eigrp neighbors details のフ ィ ール ド の説明 （続き）
フ ィ ール ド
説明
RTO
Retransmission Timeout（再送信の タ イ ム ア ウ ト ）（ ミ リ 秒）。こ れは、ASA が
再送信キ ュ ーか ら ネ イ バーにパケ ッ ト を再送信す る ま でに待機す る 時間
です。
Q Count
ASA が送信 を待機 し てい る EIGRP パケ ッ ト （ア ッ プデー ト 、ク エ リ ー、応
答）の数。
Seq Num
ネ イ バーか ら 受信 し た最後のア ッ プデー ト 、ク エ リ ー、ま たは応答パケ ッ
ト のシーケ ン ス 番号。
Version
指定 さ れた ピ ア が実行中の ソ フ ト ウ ェ ア バージ ョ ン。
Retrans
パケ ッ ト を再送 し た回数。
Retries
パケ ッ ト の再送を試行 し た回数。
Restart time
指定 さ れた ネ イ バーが再起動 し てか ら の経過時間（時:分:秒）。
コ マン ド
clear eigrp neighbors
説明
EIGRP ネ イ バー テーブル を ク リ ア し ま す。
debug eigrp neighbors EIGRP ネ イ バー デバ ッ グ メ ッ セージ を表示 し ま す。
debug ip eigrp
EIGRP パケ ッ ト デバ ッ グ メ ッ セージ を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-46
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show eigrp topology
show eigrp topology
EIGRP ト ポ ロ ジ テーブル を表示す る には、特権 EXEC モー ド で show eigrp topology コ マ ン ド を
使用 し ま す。
show eigrp [as-number] topology [ip-addr [mask] | active | all-links | pending | summary |
zero-successors]
構文の説明
active
（オプシ ョ ン）EIGRP ト ポ ロ ジ テーブル内の ア ク テ ィ ブ エ ン ト リ のみ
表示 し ま す。
all-links
（オプシ ョ ン）EIGRP ト ポ ロ ジ テーブル内のすべて のルー ト （フ ィ ー
ジ ブル サ ク セサで ない場合 も ）を表示 し ま す。
as-number
（オプシ ョ ン）EIGRP プ ロ セ ス の自律シ ス テ ム番号を指定 し ま す。ASA
がサポー ト す る EIGRP ルーテ ィ ン グ プ ロ セ ス は 1 つだけで あ る た
め、自律シ ス テ ム番号を指定す る 必要はあ り ま せん。
ip-addr
（オプシ ョ ン）表示す る ト ポ ロ ジ テーブルか ら の IP ア ド レ ス を定義 し
ま す。マ ス ク と 一緒に指定 し た場合、エ ン ト リ の詳細な説明が提供 さ
れ ま す。
mask
（オプシ ョ ン）ip-addr 引数に適用す る ネ ッ ト ワ ー ク マ ス ク を定義 し
ま す。
pending
（オプシ ョ ン）ネ イ バーか ら のア ッ プデー ト を待機 し てい る か、ネ イ
バーへの応答を待機 し てい る 、EIGRP ト ポ ロ ジ テーブル内のすべて
のエ ン ト リ を表示 し ま す。
summary
（オプシ ョ ン）EIGRP ト ポ ロ ジ テーブルの要約を表示 し ま す。
zero-successors
（オプシ ョ ン）EIGRP ト ポ ロ ジ テーブル内の使用可能なルー ト を表示
し ま す。
デフ ォル ト
フ ィ ージブル サ ク セサで あ る ルー ト のみが表示 さ れ ま す。all-links キー ワ ー ド を使用す る と 、
フ ィ ージブル サ ク セサで ない も の も 含めたすべてのルー ト が表示 さ れ ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
—
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
リ リ ース
8.0(2)
変更内容
9.0(1)
マルチ コ ン テ キ ス ト モー ド がサポー ト さ れてい ま す。
—
こ の コ マ ン ド が追加 さ れ ま し た。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-47
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show eigrp topology
使用上のガイ ド ラ イ ン
clear eigrp topology コ マ ン ド を使用 し て、ダ イ ナ ミ ッ ク エ ン ト リ を ト ポ ロ ジ テーブルか ら 削除
で き ま す。
例
次に、show eigrp topology コ マ ン ド の出力例を示 し ま す。
ciscoasa# show eigrp topology
EIGRP-IPv4 Topology Table for AS(100)/ID(192.168.1.1)
Codes: P - Passive, A - Active, U - Update, Q - Query, R - Reply,
r - Reply status
P 10.2.1.0 255.255.255.0, 2 successors, FD is 0
via 10.16.80.28 (46251776/46226176), Ethernet0
via 10.16.81.28 (46251776/46226176), Ethernet1
P 10.2.1.0 255.255.255.0, 1 successors, FD is 307200
via Connected, Ethernet1
via 10.16.81.28 (307200/281600), Ethernet1
via 10.16.80.28 (307200/281600), Ethernet0
表 6-6 に、こ の出力で表示 さ れ る 重要な フ ィ ール ド の説明を示 し ま す。
表 6-6
show eigrp topology のフ ィ ール ド 情報
フ ィ ール ド
説明
Codes
こ の ト ポ ロ ジ テーブル エ ン ト リ の状態。Passive お よ び Active は、こ の宛先
に関す る EIGRP 状態を示 し 、Update、Query、お よ び Reply は、送信中のパ
ケ ッ ト の タ イ プ を示 し ま す。
P - Passive
ルー ト は良好だ と 認識 さ れ、こ の宛先につい ての EIGRP 計算は実行 さ れ ま
せん。
A - Active
こ の宛先について の EIGRP 計算が実行 さ れ ま す。
U - Update
こ の宛先にア ッ プデー ト パケ ッ ト が送信 さ れた こ と を示 し ま す。
Q - Query
こ の宛先に ク エ リ ー パケ ッ ト が送信 さ れた こ と を示 し ま す。
R - Reply
こ の宛先に応答パケ ッ ト が送信 さ れた こ と を示 し ま す。
r - Reply status
ソ フ ト ウ ェ ア が ク エ リ ーを送信 し 、応答を待機 し てい る と き に設定 さ れ る
フ ラ グ。
address mask
宛先の IP ア ド レ ス と マ ス ク 。
successors
サ ク セサの数。こ の数値は、IP ルーテ ィ ン グ テーブル内のネ ク ス ト ホ ッ プ
の数に対応 し ま す。「successors」が大文字で表示 さ れ る 場合、ルー ト ま たは
ネ ク ス ト ホ ッ プは遷移状態です。
FD
フ ィ ージブル デ ィ ス タ ン ス 。フ ィ ージブル デ ィ ス タ ン ス は、宛先に到達す
る ための最適な メ ト リ ッ ク か、ルー ト がア ク テ ィ ブだ っ た と き に認識 さ れ
た最適な メ ト リ ッ ク です。こ の値は フ ィ ージ ビ リ テ ィ コ ンデ ィ シ ョ ン
チ ェ ッ ク に使用 さ れ ま す。レ ポー ト さ れたルー タ のデ ィ ス タ ン ス（ ス ラ ッ
シ ュ の後の メ ト リ ッ ク ）が フ ィ ージブル デ ィ ス タ ン ス よ り 小 さ い場合、
フ ィ ージ ビ リ テ ィ コ ンデ ィ シ ョ ン が満た さ れて、そのパ ス は フ ィ ージブル
サ ク セサにな り ま す。ソ フ ト ウ ェ アは、パ ス を フ ィ ージブル サ ク セサだ と
判断 し た後は、その宛先に ク エ リ ーを送信す る 必要はあ り ません。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-48
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show eigrp topology
表 6-6
show eigrp topology のフ ィ ール ド 情報
フ ィ ール ド
説明
via
こ の宛先について ソ フ ト ウ ェ ア に通知 し た ピ ア の IP ア ド レ ス 。こ れ ら のエ
ン ト リ の最初の n 個（n はサ ク セサの数）は、現在のサ ク セサです。リ ス ト 内
の残 り のエ ン ト リ は フ ィ ージブル サ ク セサです。
(cost/adv_cost)
最初の数値は宛先への コ ス ト を表す EIGRP メ ト リ ッ ク です。2 番目の数値
は こ の ピ ア がア ド バ タ イ ズ し た EIGRP メ ト リ ッ ク です。
interface
情報の学習元の イ ン タ ー フ ェ イ ス 。
次に、IP ア ド レ ス と と も に使用 し た show eigrp topology の出力例を示 し ま す。出力は内部ルー ト
についての も のです。
ciscoasa# show eigrp topology 10.2.1.0 255.255.255.0
EIGRP-IPv4 (AS 100): Topology Default-IP-Routing-Table(0) entry for entry for 10.2.1.0
255.255.255.0
State is Passive, Query origin flag is 1, 1 Successor(s), FD is 281600
Routing Descriptor Blocks:
0.0.0.0 (Ethernet0/0), from Connected, Send flag is 0x0
Composite metric is (281600/0), Route is Internal
Vector metric:
Minimum bandwidth is 10000 Kbit
Total delay is 1000 microseconds
Reliability is 255/255
Load is 1/255
Minimum MTU is 1500
Hop count is 0
次に、IP ア ド レ ス と と も に使用 し た show eigrp topology の出力例を示 し ま す。出力は外部ルー ト
についての も のです。
ciscoasa# show eigrp topology 10.4.80.0 255.255.255.0
EIGRP-IPv4 (AS 100): Topology Default-IP-Routing-Table(0) entry for entry for 10.4.80.0
255.255.255.0
State is Passive, Query origin flag is 1, 1 Successor(s), FD is 409600
Routing Descriptor Blocks:
10.2.1.1 (Ethernet0/0), from 10.2.1.1, Send flag is 0x0
Composite metric is (409600/128256), Route is External
Vector metric:
Minimum bandwidth is 10000 Kbit
Total delay is 6000 microseconds
Reliability is 255/255
Load is 1/255
Minimum MTU is 1500
Hop count is 1
External data:
Originating router is 10.89.245.1
AS number of route is 0
External protocol is Connected, external metric is 0
Administrator tag is 0 (0x00000000)
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-49
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show eigrp topology
関連 コ マ ン ド
コ マン ド
clear eigrp topology
説明
ダ イ ナ ミ ッ ク に検出 さ れたエ ン ト リ を EIGRP ト ポ ロ ジ テーブルか ら
ク リ ア し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-50
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show eigrp traffic
show eigrp traffic
送受信 さ れた EIGRP パケ ッ ト の数を表示す る には、特権 EXEC モー ド で show eigrp traffic コ マ
ン ド を使用 し ま す。
show eigrp [as-number] traffic
構文の説明
as-number
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
（オプシ ョ ン） イ ベン ト ロ グ を表示 し てい る EIGRP プ ロ セ ス の自律シ
ス テ ム番号を指定 し ま す。ASA がサポー ト す る EIGRP ルーテ ィ ン グ
プ ロ セ ス は 1 つだけで あ る ため、自律シ ス テ ム番号を指定す る 必要は
あ り ま せん。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
—
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
リ リ ース
8.0(2)
変更内容
9.0(1)
マルチ コ ン テ キ ス ト モー ド がサポー ト さ れてい ま す。
—
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
clear eigrp traffic コ マ ン ド を使用す る と 、EIGRP ト ラ フ ィ ッ ク の統計情報を ク リ ア で き ま す。
例
次に、show eigrp traffic コ マ ン ド の出力例を示 し ま す。
ciscoasa# show eigrp traffic
EIGRP-IPv4 Traffic Statistics for AS 100
Hellos sent/received: 218/205
Updates sent/received: 7/23
Queries sent/received: 2/0
Replies sent/received: 0/2
Acks sent/received: 21/14
Input queue high water mark 0, 0 drops
SIA-Queries sent/received: 0/0
SIA-Replies sent/received: 0/0
Hello Process ID: 1719439416
PDM Process ID: 1719439824
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-51
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show eigrp traffic
表 6-7 に、こ の出力で表示 さ れ る 重要な フ ィ ール ド の説明を示 し ま す。
表 6-7
関連 コ マ ン ド
show eigrp traffic のフ ィ ール ド の説明
フ ィ ール ド
説明
process
EIGRP ルーテ ィ ン グ プ ロ セ ス の自律シ ス テ ム番号です。
Hellos sent/received
送受信 さ れた hello パケ ッ ト の数。
Updates sent/received
送受信 さ れた ア ッ プデー ト パケ ッ ト の数。
Queries sent/received
送受信 さ れた ク エ リ ー パケ ッ ト の数。
Replies sent/received
送受信 さ れた応答パケ ッ ト の数。
Acks sent/received
送受信 さ れた確認応答パケ ッ ト の数。
Input queue high water
mark/drops
最大受信 し き い値に接近 し てい る 受信パケ ッ ト 数お よ び廃棄パ
ケ ッ ト の数。
SIA-Queries sent/received
送受信 さ れた Stuck-in-active ク エ リ ー。
SIA-Replies sent/received
送受信 さ れた Stuck-in-active 応答。
コ マン ド
debug eigrp packets
説明
debug eigrp transmit
送信 さ れた EIGRP メ ッ セージのデバ ッ グ情報を表示 し ま す。
送受信 さ れた EIGRP パケ ッ ト のデバ ッ グ情報を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-52
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show environment
show environment
シ ス テ ム コ ン ポーネ ン ト のシ ス テ ム環境情報を表示す る には、特権 EXEC モー ド で show
environment コ マ ン ド を使用 し ま す。
show environment [driver | fans | power-supply | temperature] [chassis | cpu | voltage]
構文の説明
chassis
（オプシ ョ ン）温度表示を シ ャ ーシに限定 し ま す。
cpu
（オプシ ョ ン）温度表示を プ ロ セ ッ サに限定 し ま す。ASA 5580-40 では、4
つのプ ロ セ ッ サの情報が表示 さ れ ま す。ASA 5580-20 では、2 つのプ ロ
セ ッ サの情報が表示 さ れ ま す。
driver
（オプシ ョ ン）環境モ ニ タ リ ン グ（IPMI） ド ラ イ バ ス テー タ ス を表示 し ま
す。ド ラ イ バ ス テー タ ス は次のいずれかにな り ま す。
fans
power-supply
•
RUNNING： ド ラ イ バは動作中です。
•
STOPPED：エ ラ ーが原因で ド ラ イ バが停止 し てい ま す。
（オプシ ョ ン）冷却 フ ァ ン の動作 ス テー タ ス を表示 し ま す。ス テー タ ス は
次のいずれかにな り ま す。
•
OK：フ ァ ン は正常に動作中です。
•
Failed：フ ァ ン が故障 し てい る ため交換が必要です。
（オプシ ョ ン）電源の動作 ス テー タ ス を表示 し ま す。各電源モ ジ ュ ールの
ス テー タ ス は次のいずれかにな り ま す。
•
OK：電源は正常に動作中です。
•
Failed：電源が故障 し てい る ため交換が必要です。
•
Not Present：指定 さ れた電源が設置 さ れてい ま せん。
電源モ ジ ュ ールの冗長性 ス テー タ ス も 表示 さ れ ま す。冗長性 ス テー タ ス
は次のいずれかにな り ま す。
temperature
•
OK：ユ ニ ッ ト は リ ソ ー ス が完全な状態で正常に動作中です。
•
Lost：ユニ ッ ト に冗長性は あ り ま せんが、最低限の リ ソ ー ス で正常に
動作中です。こ れ以上の障害が発生 し た場合は、シ ス テ ム はシ ャ ッ ト
ダ ウ ン さ れ ま す。
•
N/A：ユニ ッ ト は電源の冗長性に対応す る よ う に設定 さ れてい ません。
（オプシ ョ ン）プ ロ セ ッ サ と シ ャ ーシの温度お よ びス テー タ ス を表示 し ま
す。温度は摂氏で示 さ れ ます。ス テー タ ス は次のいずれかにな り ます。
•
OK：温度は通常の動作範囲内に あ り ま す。
•
Critical：温度は通常の動作範囲外です。
動作範囲は次の よ う に分類 さ れ ま す。
voltage
•
70 度未満：OK
•
70 ～ 80：暖かい
•
80 ～90：危険
•
90 を超え る ：回復不可能
（オプシ ョ ン）CPU 電圧チ ャ ネル 1 ～ 24 の値を表示 し ま す。動作 ス テー タ
ス は除 き ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-53
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show environment
デフ ォル ト
キー ワ ー ド が指定 さ れていない場合は、ド ラ イ バ を除 く すべての動作情報が表示 さ れ ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
（注）
例
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
Yes
リ リ ース
8.1(1)
変更内容
8.4(2)
ASA 5585-X SSP の出力が追加 さ れ ま し た。さ ら に、デ ュ アル SSP イ ン
ス ト ールのサポー ト が追加 さ れ ま し た。
8.4.4(1)
ASA 5515-X、ASA 5525-X、5545-X、お よ び ASA 5555-X で表示 さ れ る 電
源温度が、出力で変更 さ れ ま し た。
8.6(1)
ASA 5545-X お よ び ASA 5555-X の CPU 電圧 レ ギ ュ レ ー タ 温度 イ ベン
ト の出力が追加 さ れ ま し た。電源入力 ス テー タ ス の出力が追加 さ れ ま
し た。電圧セ ン サーの出力が追加 さ れ ま し た。
こ の コ マ ン ド が追加 さ れ ま し た。
ASA 5545-X、5555-X、5580 お よ び 5585-X の動作環境情報を表示で き ま す。こ の情報には、フ ァ ン
お よ び電源の動作 ス テー タ ス と 、CPU お よ びシ ャ ーシの温度お よ び ス テー タ ス が含 ま れ ま す。
ASA 5580-40 では 4 基の CPU、ASA 5580-20 では 2 基の CPU について の情報が表示 さ れ ま す。
デ ュ アル SSP イ ン ス ト ールの場合、冷却 フ ァ ンお よ び電源の出力は、シ ャ ーシ マ ス タ ーのセ ン
サーに よ っ てのみ示 さ れ ま す。
次に、show environment コ マ ン ド の一般的な出力例を示 し ま す。
ciscoasa# show environment
Cooling Fans:
----------------------------------Power Supplies:
-------------------------------Left Slot (PS0): 6900 RPM - OK (Power Supply Fan)
Right Slot (PS1): 7000 RPM - OK (Power Supply Fan) Power Supplies:
----------------------------------Power Supply Unit Redundancy: OK
Temperature:
-------------------------------Left Slot (PS0): 26 C - OK (Power Supply Temperature)
Right Slot (PS1): 27 C - OK (Power Supply Temperature)
Cooling Fans:
-------------------------------Left Slot (PS0): 6900 RPM - OK (Power Supply Fan)
Right Slot (PS1): 7000 RPM - OK (Power Supply Fan)
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-54
•
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show environment
Temperature:
----------------------------------Processors:
-------------------------------Processor 1: 44.0 C - OK (CPU1 Core Temperature)
Processor 2: 45.0 C - OK (CPU2 Core Temperature)
Chassis:
-------------------------------Ambient 1: 28.0 C - OK (Chassis Front Temperature)
Ambient 2: 40.5 C - OK (Chassis Back Temperature)
Ambient 3: 28.0 C - OK (CPU1 Front Temperature)
Ambient 4: 36.50 C - OK (CPU1 Back Temperature)
Ambient 5: 34.50 C - OK (CPU2 Front Temperature)
Ambient 6: 43.25 C - OK (CPU2 Back Temperature)
Power Supplies:
-------------------------------Left Slot (PS0): 26 C - OK (Power Supply Temperature)
Right Slot (PS1): 27 C - OK (Power Supply Temperature)
次に、show environment driver コ マ ン ド の出力例を示 し ま す。
ciscoasa# show environment driver
Cooling Fans:
----------------------------------Chassis Fans:
-------------------------------Cooling Fan 1: 5888 RPM - OK
Cooling Fan 2: 5632 RPM - OK
Cooling Fan 3: 5888 RPM - OK
Power Supplies:
-------------------------------Left Slot (PS0): N/A
Right Slot (PS1): 8448 RPM - OK
Power Supplies:
----------------------------------Left Slot (PS0): Not Present
Right Slot (PS1): Present
Left Slot (PS0): N/A
Right Slot (PS1): 33 C - OK
Left Slot (PS0): N/A
Right Slot (PS1): 8448 RPM - OK
Temperature:
----------------------------------Processors:
-------------------------------Processor 1: 70.0 C - OK
Chassis:
-------------------------------Ambient 1: 36.0 C - OK (Chassis Back Temperature)
Ambient 2: 31.0 C - OK (Chassis Front Temperature)
Ambient 3: 39.0 C - OK (Chassis Back Left Temperature)
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-55
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show environment
Power Supplies:
-------------------------------Left Slot (PS0): N/A
Right Slot (PS1): 33 C - OK
Voltage:
----------------------------------Channel 1: 1.168 V - (CPU Core 0.46V-1.4V)
Channel 2: 11.954 V - (12V)
Channel 3: 4.998 V - (5V)
Channel 4: 3.296 V - (3.3V)
Channel 5: 1.496 V - (DDR3 1.5V)
Channel 6: 1.048 V - (PCH 1.5V)
次に、ASA 5555-X の場合の show environment コ マ ン ド の出力例を示 し ま す。
ciscoasa# show environment
Cooling Fans:
----------------------------------Chassis Fans:
-------------------------------Power Supplies:
-------------------------------Left Slot (PS0): 9728 RPM - OK
Right Slot (PS1): 0 RPM - OK
Power Supplies:
----------------------------------Left Slot (PS0): Present
Right Slot (PS1): Present
Power Input:
-------------------------------Left Slot (PS0): OK
Right Slot (PS1): Failure Detected
Temperature:
-------------------------------Left Slot (PS0): 29 C - OK
Right Slot (PS1): N/A
Processors:
-------------------------------Processor 1: 81.0 C - OK
Chassis:
-------------------------------Ambient 1: 39.0 C - OK (Chassis Back Temperature)
Ambient 2: 32.0 C - OK (Chassis Front Temperature)
Ambient 3: 47.0 C - OK (Chassis Back Left Temperature)
Power Supplies:
-------------------------------Left Slot (PS0): 33 C - OK
Right Slot (PS1): -128 C - OK
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-56
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show environment
次に、デ ュ アル SSP イ ン ス ト ールの ASA 5585-X シ ャ ーシ マ ス タ ーの場合の show environment
コ マ ン ド の出力例を示 し ま す。
ciscoasa(config)# show environment
Cooling Fans:
----------------------------------Power Supplies:
-------------------------------Left Slot (PS0): 7000 RPM - OK (Fan Module Fan)
Right Slot (PS1): 6900 RPM - OK (Power Supply Fan)
Power Supplies:
----------------------------------Power Supply Unit Redundancy: N/A
Power Supplies:
-------------------------------Left Slot (PS0): 64 C - OK (Fan Module Temperature)
Right Slot (PS1): 64 C - OK (Power Supply Temperature)
Power Supplies:
-------------------------------Left Slot (PS0): 7000 RPM - OK (Fan Module Fan)
Right Slot (PS1): 6900 RPM - OK (Power Supply Fan)
Temperature:
----------------------------------Processors:
-------------------------------Processor 1: 48.0 C - OK (CPU1 Core Temperature)
Processor 2: 47.0 C - OK (CPU2 Core Temperature)
Chassis:
-------------------------------Ambient 1: 25.5 C - OK (Chassis Front Temperature)
Ambient 2: 37.5 C - OK (Chassis Back Temperature)
Ambient 3: 31.50 C - OK (CPU1 Back Temperature)
Ambient 4: 27.75 C - OK (CPU1 Front Temperature)
Ambient 5: 38.25 C - OK (CPU2 Back Temperature)
Ambient 6: 34.0 C - OK (CPU2 Front Temperature)
Power Supplies:
-------------------------------Left Slot (PS0): 64 C - OK (Fan Module Temperature)
Right Slot (PS1): 64 C - OK (Power Supply Temperature)
Voltage:
----------------------------------Channel 1: 3.310 V - (3.3V (U142 VX1))
Channel 2: 1.492 V - (1.5V (U142 VX2))
Channel 3: 1.053 V - (1.05V (U142 VX3))
Channel 4: 3.328 V - (3.3V_STDBY (U142 VP1))
Channel 5: 11.675 V - (12V (U142 VP2))
Channel 6: 4.921 V - (5.0V (U142 VP3))
Channel 7: 6.713 V - (7.0V (U142 VP4))
Channel 8: 9.763 V - (IBV (U142 VH))
Channel 9: 1.048 V - (1.05VB (U209 VX2))
Channel 10: 1.209 V - (1.2V (U209 VX3))
Channel 11: 1.109 V - (1.1V (U209 VX4))
Channel 12: 0.999 V - (1.0V (U209 VX5))
Channel 13: 3.324 V - (3.3V STDBY (U209 VP1))
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-57
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show environment
Channel
Channel
Channel
Channel
Channel
Channel
Channel
Channel
Channel
Channel
Channel
14:
15:
16:
17:
18:
19:
20:
21:
22:
23:
24:
2.504
1.799
1.899
9.763
2.048
2.048
2.048
2.048
1.516
1.515
8.937
V
V
V
V
V
V
V
V
V
V
V
-
(2.5V (U209 VP2))
(1.8V (U209 VP3))
(1.9V (U209 VP4))
(IBV (U209 VH))
(VTT CPU0 (U83 VX2))
(VTT CPU1 (U83 VX3))
(VCC CPU0 (U83 VX4))
(VCC CPU1 (U83 VX5))
(1.5VA (U83 VP1))
(1.5VB (U83 VP2))
(IBV (U83 VH))
CPU 電圧 レ ギ ュ レ ー タ 温度 イ ベン ト に よ り ASA がシ ャ ッ ト ダ ウ ン さ れた場合は、次の警告 メ ッ
セージが表示 さ れ ま す。
WARNING: ASA was previously shut down due to a CPU Voltage Regulator running beyond the
max thermal operating temperature. The chassis and CPU need to be inspected immediately
for ventilation issues.
詳細については、syslog メ ッ セージ ガ イ ド の syslog メ ッ セージ 735024 を参照 し て く だ さ い。
関連 コ マ ン ド
コ マン ド
show version
説明
ハー ド ウ ェ アお よ び ソ フ ト ウ ェ ア のバージ ョ ン を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-58
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show event manager
show event manager
設定 さ れた各 イ ベン ト マネージ ャ ア プ レ ッ ト に関す る 情報を表示す る には、特権 EXEC モー ド
で show event manager コ マ ン ド を使用 し ま す。
show event manager
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
コ マン ド デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
グ ロ ーバル コ ン フ ィ ギ ュ
レ ーシ ョ ン
コ マ ン ド 履歴
例
リ リ ース
9.2(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show event manager コ マ ン ド の出力例を示 し ま す。
ciscoasa# show event manager
event manager applet 21, hits 1, last 2014/01/19 06:47:46
last file disk0:/eem-21-20140119-064746.log
event countdown 21 secs, left 0 secs, hits 1, last 2014/01/19 06:47:47
action 1 cli command "sh ver", hits 1, last 2014/01/19 06:47:46
関連 コ マ ン ド
コ マン ド
show running-config event
manager
説明
イ ベン ト マ ネージ ャ の実行 コ ン フ ィ ギ ュ レ ーシ ョ ン を表示 し
ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-59
第6章
show ddns update interface コ マ ン ド ～ show environmentevent manager コ マ ン ド
show event manager
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
6-60
CH A P T E R
7
show failover コ マ ン ド ～ show ipsec stats
traffic コ マ ン ド
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-1
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show failover
show failover
ユニ ッ ト の フ ェ ールオーバー ス テー タ ス に関す る 情報を表示す る には、特権 EXEC モー ド で
show failover コ マ ン ド を使用 し ま す。
show failover [group num | history | interface | state | statistics]
構文の説明
group
指定 さ れた フ ェ ールオーバー グループの実行状態を表示 し ま す。
history
フ ェ ールオーバー履歴を表示 し ま す。フ ェ ールオーバー履歴には、過
去の フ ェ ールオーバーでの状態変更や、状態変更の理由が表示 さ れ ま
す。履歴情報はデバ イ ス を リ ブー ト す る と ク リ ア さ れ ま す。
interface
フ ェ ールオーバーお よ び ス テー ト フ ル リ ン ク 情報を表示 し ま す。
num
フ ェ ールオーバー グループの番号。
state
両方の フ ェ ールオーバー ユ ニ ッ ト の フ ェ ールオーバー状態を表示 し
ま す。表示 さ れ る 情報は、ユ ニ ッ ト のプ ラ イ マ リ ま たはセ カ ン ダ リ ス
テー タ ス 、ユ ニ ッ ト のア ク テ ィ ブ/ ス タ ン バ イ ス テー タ ス 、最後に レ
ポー ト さ れた フ ェ ールオーバーの理由な ど が あ り ま す。障害の理由が
解消 さ れて も 、障害の理由は出力に残 り ま す。
statistics
フ ェ ールオーバー コ マ ン ド イ ン タ ー フ ェ イ ス の送受信パケ ッ ト 数を
表示 し ま す。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
•
•
Yes
•
Yes
コ ン テキス ト シ ス テム
•
Yes
•
Yes
リ リ ース
7.0(1)
変更内容
8.2(2)
こ の コ マ ン ド が変更 さ れ ま し た。出力には、フ ァ イ ア ウ ォ ール イ ン
タ ー フ ェ イ ス お よ び フ ェ ールオーバー イ ン タ ー フ ェ イ ス の IPv6 ア ド
レ ス が含 ま れ ま す。ス テー ト フ ル フ ェ ールオーバーの統計情報出力に
は、IPv6 ネ イ バー探索テーブル（IPv6 ND tbl）のア ッ プデー ト につい て
の情報が含 ま れ ま す。
こ の コ マ ン ド が変更 さ れ ま し た。出力の情報が追加 さ れ ま し た。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-2
Yes
マルチ
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show failover
使用上のガイ ド ラ イ ン
show failover コ マ ン ド は、ダ イ ナ ミ ッ ク フ ェ ールオーバー情報、イ ン タ ー フ ェ イ ス ス テー タ ス 、
お よ び ス テー ト フ ル フ ェ ールオーバーの統計情報を表示 し ま す。
IPv4 と IPv6 の両方の ア ド レ ス が イ ン タ ー フ ェ イ ス で設定 さ れてい る 場合は、両方の ア ド レ ス が
出力に表示 さ れ ま す。イ ン タ ー フ ェ イ ス には複数の IPv6 ア ド レ ス を設定で き る ため、リ ン ク ロ ー
カル ア ド レ ス のみが表示 さ れ ま す。イ ン タ ー フ ェ イ ス に IPv4 ア ド レ ス が設定 さ れていない場
合、出力の IPv4 ア ド レ ス は 0.0.0.0 と し て表示 さ れ ま す。イ ン タ ー フ ェ イ ス に IPv6 ア ド レ ス が設
定 さ れていない場合、ア ド レ ス は単純に出力か ら 省かれ ま す。
Stateful Failover Logical Update Statistics 出力は、ス テー ト フ ル フ ェ ールオーバーが イ ネーブルの
場合のみ表示 さ れ ま す。「xerr」お よ び「rerr」の値は フ ェ ールオーバーのエ ラ ーではな く 、パケ ッ ト
送受信エ ラ ーの数を示 し ま す。
（注）
ス テー ト フ ル フ ェ ールオーバーは、ASA 5505 では使用で き ま せん。し たが っ て、ス テー ト フ ル
フ ェ ールオーバーの統計情報出力 も 使用で き ま せん。
show failover コ マ ン ド 出力で、ス テー ト フ ル フ ェ ールオーバーの各 フ ィ ール ド には次の値が あ
り ま す。
•
Stateful Obj の値は次の と お り です。
– xmit：送信 さ れたパケ ッ ト の数を示 し ま す。
– xerr：送信エ ラ ーの数 を示 し ま す。
– rcv：受信 し たパケ ッ ト の数を示 し ま す。
– rerr：受信エ ラ ーの数を示 し ま す。
•
各行は、次に示す特定のオブジ ェ ク ト ス タ テ ィ ッ ク カ ウ ン ト を表 し ま す。
– General：すべての ス テー ト フ ル オブ ジ ェ ク ト の合計を示 し ま す。
– sys cmd：login ま たは stay alive な ど の論理ア ッ プデー ト のシ ス テ ム コ マ ン ド を示 し ます。
– up time：ASA の ア ッ プ タ イ ム の値（ア ク テ ィ ブな ASA が ス タ ン バ イ の ASA に渡す）を示
し ま す。
– RPC services： リ モー ト プ ロ シージ ャ コ ール接続情報。
– TCP conn：ダ イ ナ ミ ッ ク TCP 接続情報。
– UDP conn：ダ イ ナ ミ ッ ク UDP 接続情報。
– ARP tbl：ダ イ ナ ミ ッ ク ARP テーブル情報。
– Xlate_Timeout：接続変換 タ イ ム ア ウ ト 情報を示 し ま す。
– IPv6 ND tbl：IPv6 ネ イ バー探索テーブル情報。
– VPN IKE upd：IKE 接続情報。
– VPN IPSEC upd：IPSec 接続情報。
– VPN CTCP upd：cTCP ト ン ネル接続情報。
– VPN SDI upd：SDI AAA 接続情報。
– VPN DHCP upd： ト ン ネル型 DHCP 接続情報。
– SIP Session：SIP シ グナ リ ン グ セ ッ シ ョ ン情報。
– Route Session：ルー ト 同期ア ッ プデー ト の LU 統計情報
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-3
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show failover
フ ェ ールオーバー IP ア ド レ ス を入力 し ない場合、show failover コ マ ン ド では IP ア ド レ ス 0.0.0.0
が表示 さ れ、イ ン タ ー フ ェ イ ス のモニ タ リ ン グは「waiting」状態の ま ま にな り ま す。フ ェ ールオー
バーを機能 さ せ る には フ ェ ールオーバー IP ア ド レ ス を設定す る 必要が あ り ま す。
表 7-1 に、フ ェ ールオーバーの イ ン タ ー フ ェ イ ス 状態の説明を示 し ま す。
表 7-1
フ ェ ールオーバー イ ン タ ー フ ェ イ ス状態
状態
説明
Normal
イ ン タ ー フ ェ イ ス は稼働中で、ピ ア ユ ニ ッ ト の対応す る イ ン タ ー
フ ェ イ ス か ら hello パケ ッ ト を受信中です。
Normal (Waiting)
イ ン タ ー フ ェ イ ス は稼働中ですが、ピ ア ユ ニ ッ ト の対応す る イ ン
タ ー フ ェ イ ス か ら hello パケ ッ ト を ま だ受信 し てい ま せん。イ ン
タ ー フ ェ イ ス の ス タ ン バ イ IP ア ド レ ス が設定 さ れてい る こ と 、お
よ び 2 つの イ ン タ ー フ ェ イ ス 間の接続が存在す る こ と を確認 し て
く だ さ い。
Normal (Not-Monitored)
イ ン タ ー フ ェ イ ス は動作中ですが、フ ェ ールオーバー プ ロ セ ス に
よ っ て モ ニ タ さ れてい ま せん。モ ニ タ さ れてい ない イ ン タ ー フ ェ
イ ス の障害に よ っ て フ ェ ールオーバーは ト リ ガー さ れ ま せん。
No Link
物理 リ ン ク がダ ウ ン し てい ま す。
No Link (Waiting)
物理 リ ン ク がダ ウ ン し 、イ ン タ ー フ ェ イ ス は ピ ア ユ ニ ッ ト の対応
す る イ ン タ ー フ ェ イ ス か ら hello パケ ッ ト を ま だ受信 し てい ま せ
ん。リ ン ク が復元 し た後、ス タ ン バ イ IP ア ド レ ス がその イ ン タ ー
フ ェ イ ス に設定 さ れてい る か ど う か、お よ び 2 つの イ ン タ ー フ ェ
イ ス 間が接続 さ れてい る か ど う か を確認 し ま す。
No Link (Not-Monitored)
物理 リ ン ク がダ ウ ン し てい ま すが、フ ェ ールオーバー プ ロ セ ス に
よ っ て モ ニ タ さ れてい ま せん。モ ニ タ さ れてい ない イ ン タ ー フ ェ
イ ス の障害に よ っ て フ ェ ールオーバーは ト リ ガー さ れ ま せん。
Link Down
物理 リ ン ク は動作中ですが、イ ン タ ー フ ェ イ ス は管理上ダ ウ ン し
てい ま す。
Link Down (Waiting)
物理 リ ン ク は動作中ですが、イ ン タ ー フ ェ イ ス は管理上ダ ウ ン し
てお り 、イ ン タ ー フ ェ イ ス は ピ ア ユ ニ ッ ト の対応す る イ ン タ ー
フ ェ イ ス か ら hello パケ ッ ト を ま だ受信 し てい ま せん。イ ン タ ー
フ ェ イ ス を動作状態に し た後（ イ ン タ ー フ ェ イ ス コ ン フ ィ ギ ュ
レ ーシ ョ ン モー ド で no shutdown コ マ ン ド を使用）、ス タ ン バ イ IP
ア ド レ ス がその イ ン タ ー フ ェ イ ス に設定 さ れてい る か ど う か、お
よ び 2 つの イ ン タ ー フ ェ イ ス 間が接続 さ れてい る か ど う か を確認
し ま す。
Link Down
(Not-Monitored)
物理 リ ン ク は動作中ですが、イ ン タ ー フ ェ イ ス は管理上ダ ウ ン し
てお り 、フ ェ ールオーバー プ ロ セ ス に よ っ てモ ニ タ さ れてい ま せ
ん。モ ニ タ さ れてい ない イ ン タ ー フ ェ イ ス の障害に よ っ て フ ェ ー
ルオーバーは ト リ ガー さ れ ま せん。
Testing
ピ ア ユ ニ ッ ト の対応す る イ ン タ ー フ ェ イ ス か ら hello パケ ッ ト が
届かないため、イ ン タ ー フ ェ イ ス はテ ス ト モー ド です。
Failed
イ ン タ ー フ ェ イ ス のテ ス ト に失敗 し 、イ ン タ ー フ ェ イ ス は障害が
発生 し た と し て マー ク さ れ ま す。イ ン タ ー フ ェ イ ス の障害に よ っ
て フ ェ ールオーバー基準が満た さ れた場合、イ ン タ ー フ ェ イ ス の
障害に よ っ て、セ カ ン ダ リ ユ ニ ッ ト ま たは フ ェ ールオーバー グ
ループへの フ ェ ールオーバーが発生 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-4
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show failover
マルチ コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド では、show failover コ マ ン ド のみがセ キ ュ リ テ ィ コ ン テ
キ ス ト で使用で き 、任意の キー ワ ー ド を入力で き ま せん。
例
次に、Active/Standby フ ェ ールオーバーでの show failover コ マ ン ド の出力例を示 し ま す。ASA は
ASA 5500 シ リ ーズの ASA で、各 ASA の ス ロ ッ ト 1 の詳細で示 さ れてい る よ う に、それぞれ CSC
SSM を装備 し てい ま す。こ のセ キ ュ リ テ ィ アプ ラ イ ア ン ス では、フ ェ ールオーバー リ ン ク
（folink） と inside イ ン タ ーフ ェ イ ス に IPv6 ア ド レ ス を使用 し てい ま す。
ciscoasa# show failover
Failover On
Cable status: N/A - LAN-based failover enabled
Failover unit Primary
Failover LAN Interface: folink Ethernet2 (up)
Unit Poll frequency 1 seconds, holdtime 3 seconds
Interface Poll frequency 15 seconds
Interface Policy 1
Monitored Interfaces 2 of 250 maximum
failover replication http
Last Failover at: 22:44:03 UTC Dec 8 2004
This host: Primary - Active
Active time: 13434 (sec)
slot 0: ASA5520 hw/sw rev (1.0/7.1(0)10) status (Up Sys)
Interface inside (10.130.9.3/FE80::20d:29ff:fe1d:69f0): Normal
Interface outside (10.132.9.3): Normal
Interface folink (0.0.0.0/fe80::2a0:c9ff:fe03:101): Normal
slot 1: ASA-SSM-20 hw/sw rev (1.0/CSC-SSM 5.0 (Build#1176)) status (Up/Up)
Logging port IP: 10.0.0.3/24
CSC-SSM, 5.0 (Build#1176)
Other host: Secondary - Standby Ready
Active time: 0 (sec)
slot 0: ASA5520 hw/sw rev (1.0/7.1(0)10) status (Up Sys)
Interface inside (10.130.9.4/FE80::20d:29ff:fe2b:7ba6): Normal
Interface outside (10.132.9.4): Normal
Interface folink (0.0.0.0/fe80::2e0:b6ff:fe07:3096): Normal
slot 1: ASA-SSM-20 hw/sw rev (1.0/CSC-SSM 5.0 (Build#1176)) status (Up/Up)
Logging port IP: 10.0.0.4/24
CSC-SSM, 5.0 (Build#1176)
Stateful Failover Logical Update Statistics
Link : fover Ethernet2 (up)
Stateful Obj
xmit
xerr
rcv
General
0
0
0
sys cmd
1733
0
1733
up time
0
0
0
RPC services
0
0
0
TCP conn
6
0
0
UDP conn
0
0
0
ARP tbl
106
0
0
Xlate_Timeout
0
0
0
IPv6 ND tbl
22
0
0
VPN IKE upd
15
0
0
VPN IPSEC upd
90
0
0
VPN CTCP upd
0
0
0
VPN SDI upd
0
0
0
VPN DHCP upd
0
0
0
SIP Session
0
0
0
Route Session
165
0
70
rerr
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
6
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-5
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show failover
Logical Update Queue Information
Cur
Max
Total
Recv Q:
0
2
1733
Xmit Q:
0
2
15225
次に、Active/Active フ ェ ールオーバーでの show failover コ マ ン ド の出力例を示 し ま す。こ の例で
は、管理 コ ン テ キ ス ト でのみ IPv6 ア ド レ ス を イ ン タ ー フ ェ イ ス に割 り 当て てい ま す。
ciscoasa# show failover
Failover On
Failover unit Primary
Failover LAN Interface: folink GigabitEthernet0/2 (up)
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 4 seconds
Interface Policy 1
Monitored Interfaces 8 of 250 maximum
failover replication http
Group 1 last failover at: 13:40:18 UTC Dec 9 2004
Group 2 last failover at: 13:40:06 UTC Dec 9 2004
This host:
Group 1
Group 2
Primary
State:
Active time:
State:
Active time:
Active
2896 (sec)
Standby Ready
0 (sec)
slot 0: ASA-5530 hw/sw rev (1.0/7.0(0)79) status (Up Sys)
slot 1: SSM-IDS-20 hw/sw rev (1.0/5.0(0.11)S91(0.11)) status (Up)
admin Interface outside (10.132.8.5): Normal
admin Interface folink (10.132.9.5/fe80::2a0:c9ff:fe03:101): Normal
admin Interface inside (10.130.8.5/fe80::2a0:c9ff:fe01:101): Normal
admin Interface fourth (10.130.9.5/fe80::3eff:fe11:6670): Normal
ctx1 Interface outside (10.1.1.1): Normal
ctx1 Interface inside (10.2.2.1): Normal
ctx2 Interface outside (10.3.3.2): Normal
ctx2 Interface inside (10.4.4.2): Normal
Other host:
Group 1
Group 2
Secondary
State:
Active time:
State:
Active time:
Standby Ready
190 (sec)
Active
3322 (sec)
slot 0: ASA-5530 hw/sw rev (1.0/7.0(0)79) status (Up Sys)
slot 1: SSM-IDS-20 hw/sw rev (1.0/5.0(0.1)S91(0.1)) status (Up)
admin Interface outside (10.132.8.6): Normal
admin Interface folink (10.132.9.6/fe80::2a0:c9ff:fe03:102): Normal
admin Interface inside (10.130.8.6/fe80::2a0:c9ff:fe01:102): Normal
admin Interface fourth (10.130.9.6/fe80::3eff:fe11:6671): Normal
ctx1 Interface outside (10.1.1.2): Normal
ctx1 Interface inside (10.2.2.2): Normal
ctx2 Interface outside (10.3.3.1): Normal
ctx2 Interface inside (10.4.4.1): Normal
Stateful Failover Logical Update Statistics
Link : third GigabitEthernet0/2 (up)
Stateful Obj
xmit
xerr
General
0
0
sys cmd
380
0
up time
0
0
RPC services
0
0
TCP conn
1435
0
UDP conn
0
0
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-6
rcv
0
380
0
0
1450
0
rerr
0
0
0
0
0
0
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show failover
ARP tbl
124
Xlate_Timeout
0
IPv6 ND tbl
22
VPN IKE upd
15
VPN IPSEC upd
90
VPN CTCP upd
0
VPN SDI upd
0
VPN DHCP upd
0
SIP Session
0
0
0
0
0
0
0
0
0
65
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
Logical Update Queue Information
Cur
Max
Total
Recv Q:
0
1
1895
Xmit Q:
0
0
1940
次に、ASA 5505 シ リ ーズのでの show failover コ マ ン ド の出力例を示 し ま す。
Failover On
Failover unit Primary
Failover LAN Interface: fover Vlan150 (up)
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 4 of 250 maximum
Version: Ours 7.2(0)55, Mate 7.2(0)55
Last Failover at: 19:59:58 PST Apr 6 2006
This host: Primary - Active
Active time: 34 (sec)
slot 0: ASA5505 hw/sw rev (1.0/7.2(0)55) status (Up Sys)
Interface inside (192.168.1.1): Normal
Interface outside (192.168.2.201): Normal
Interface dmz (172.16.0.1): Normal
Interface test (172.23.62.138): Normal
slot 1: empty
Other host: Secondary - Standby Ready
Active time: 0 (sec)
slot 0: ASA5505 hw/sw rev (1.0/7.2(0)55) status (Up Sys)
Interface inside (192.168.1.2): Normal
Interface outside (192.168.2.211): Normal
Interface dmz (172.16.0.2): Normal
Interface test (172.23.62.137): Normal
slot 1: empty
次に、ア ク テ ィ ブ-ア ク テ ィ ブ セ ッ ト ア ッ プでの show failover state コ マ ン ド の出力例を示 し ま
す。
ciscoasa(config)# show failover state
This host Group 1
Group 2
Other host Group 1
Group 2
State
Secondary
Failed
Failed
Primary
Active
Active
Last Failure Reason
Date/Time
Backplane Failure
Backplane Failure
03:42:29 UTC Apr 17 2009
03:42:29 UTC Apr 17 2009
Comm Failure
Comm Failure
03:41:12 UTC Apr 17 2009
03:41:12 UTC Apr 17 2009
====Configuration State===
Sync Done
====Communication State===
Mac set
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-7
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show failover
次に、ア ク テ ィ ブ-ス タ ンバ イ セ ッ ト ア ッ プでの show failover state コ マ ン ド の出力例を示 し ます。
ciscoasa(config)# show failover state
This host
-
Other host -
State
Primary
Negotiation
Secondary
Not Detected
Last Failure Reason
Date/Time
Backplane Failure
15:44:56 UTC Jun 20 2009
Comm Failure
15:36:30 UTC Jun 20 2009
====Configuration State===
Sync Done
====Communication State===
Mac set
表 7-2 に、show failover state コ マ ン ド の出力の説明を示 し ま す。
表 7-2
show failover state の出力の説明
フ ィ ール ド
説明
Configuration State
コ ン フ ィ ギ ュ レ ーシ ョ ン の同期化の状態を表示 し ま す。
ス タ ン バ イ ユ ニ ッ ト で可能な コ ン フ ィ ギ ュ レ ーシ ョ ン状態は、次の
と お り です。
•
Config Syncing - STANDBY： コ ン フ ィ ギ ュ レ ーシ ョ ン の同期化
が実行 さ れてい る と き に設定 さ れ ま す。
•
Interface Config Syncing - STANDBY
•
Sync Done - STANDBY： ス タ ン バ イ ユニ ッ ト が、ア ク テ ィ ブ ユ
ニ ッ ト と の コ ン フ ィ ギ ュ レ ーシ ョ ン の同期化を完了 し た と き に
設定 さ れ ま す。
ア ク テ ィ ブ ユ ニ ッ ト で可能な コ ン フ ィ ギ ュ レ ーシ ョ ン状態は、次の
と お り です。
Communication State
Date/Time
•
Config Syncing： ス タ ン バ イ ユ ニ ッ ト に対 し て コ ン フ ィ ギ ュ レ ー
シ ョ ン の同期化を実行 し てい る と き にア ク テ ィ ブ ユ ニ ッ ト 上で
設定 さ れ ま す。
•
Interface Config Syncing
•
Sync Done：ア ク テ ィ ブ ユ ニ ッ ト が、ス タ ン バ イ ユニ ッ ト に対 し
て コ ン フ ィ ギ ュ レ ーシ ョ ン の同期化を正常に完了 し た と き に設
定 さ れ ま す。
•
Ready for Config Sync： ス タ ン バ イ ユニ ッ ト が コ ン フ ィ ギ ュ レ ー
シ ョ ン の同期化を受信す る 準備が完了 し た と い う 信号 を送 る と
き にア ク テ ィ ブ ユ ニ ッ ト 上で設定 さ れ ま す。
MAC ア ド レ ス の同期化の ス テー タ ス を表示 し ま す。
•
Mac set：MAC ア ド レ ス が ピ ア ユ ニ ッ ト か ら こ のユ ニ ッ ト に同
期化 さ れ ま し た。
•
Updated Mac：MAC ア ド レ ス が更新 さ れ、他のユニ ッ ト に対 し て
同期化す る 必要が あ る 場合に使用 さ れ ま す。ま た、ユ ニ ッ ト が遷
移期間中に、ピ ア ユニ ッ ト か ら 同期化 さ れた ロ ーカル MAC ア ド
レ ス を更新す る 場合に も 使用 さ れ ま す。
障害の日付お よ び タ イ ム ス タ ン プ を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-8
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show failover
表 7-2
show failover state の出力の説明 （続き）
フ ィ ール ド
説明
Last Failure Reason
最後に レ ポー ト さ れた障害の理由を表示 し ま す。こ の情報は、障害の
条件が解消 さ れて も ク リ ア さ れ ま せん。こ の情報は、フ ェ ールオー
バーが発生 し た場合にのみ変更 さ れ ま す。
可能な障害の理由は次の と お り です。
•
Ifc Failure：障害が発生 し た イ ン タ ー フ ェ イ ス の数が フ ェ ール
オーバー基準を満た し 、フ ェ ールオーバーが発生 し ま し た。
•
Comm Failure：フ ェ ールオーバー リ ン ク に障害が発生 し たか、
ピ ア がダ ウ ン し てい ま す。
•
Backplane Failure
State
ユ ニ ッ ト の Primary/Secondary お よ び Active/Standby ス テー タ ス を表
示 し ま す。
This host/Other host
This host は、コ マ ン ド が実行 さ れたデバ イ ス についての情報を示 し
ま す。Other host は、フ ェ ールオーバーのペア と な る 他のデバ イ ス に
ついて の情報を示 し ま す。
次に、show failover history コ マ ン ド の出力例を示 し ま す。
ciscoasa(config)# show failover history
==========================================================================
Group
From State
To State
Reason
==========================================================================
...
03:42:29 UTC Apr 17 2009
0
Sync Config
Failed
Backplane failed
03:42:29 UTC Apr 17 2009
1
Standby Ready
Backplane failed
Failed
03:42:29 UTC Apr 17 2009
2
Standby Ready
Backplane failed
Failed
03:44:39 UTC Apr 17 2009
0
Failed
Backplane operational
Negotiation
03:44:40 UTC Apr 17 2009
1
Failed
Backplane operational
Negotiation
03:44:40 UTC Apr 17 2009
2
Failed
Backplane operational
Negotiation
==========================================================================
各エ ン ト リ には、状態変更が発生 し た時刻お よ び日付、開始状態、結果状態、お よ び状態変更の理
由が示 さ れ ま す。最 も 新 し いエ ン ト リ が表示の末尾に配置 さ れ ま す。古いエ ン ト リ が上部に表示
さ れ ま す。最大で 60 エ ン ト リ を表示で き ま す。エ ン ト リ が最大数に到達 し た場合、最 も 古いエ ン
ト リ が出力の上部か ら 削除 さ れ、新 し いエ ン ト リ が末尾に追加 さ れ ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-9
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show failover
表 7-3 に、フ ェ ールオーバーの状態を示 し ま す。状態には永続的 と 一時的の 2 つの タ イ プが あ り
ま す。永続的な状態 と は、障害な ど の何 ら かの事象に よ っ て状態変更が発生す る ま で、ユ ニ ッ ト
が維持で き る 状態の こ と です。一時的な状態 と は、ユニ ッ ト が永続的な状態に到達す る ま での間
に経過す る 状態です。
表 7-3
フ ェ ールオーバーの状態
状態
説明
Disabled
フ ェ ールオーバーはデ ィ セーブルです。こ れは永続的な状態です。
Failed
ユ ニ ッ ト は障害状態です。こ れは永続的な状態です。
Negotiation
ユニ ッ ト は ピ ア と の接続を確立 し 、ピ ア と ネ ゴ シエー ト し て、ソ フ ト
ウ ェ ア バージ ョ ン の互換性を判別 し 、Active/Standby ロ ール を決定 し
ま す。ネ ゴ シ エー ト さ れた ロ ールに基づ き 、ユ ニ ッ ト は ス タ ン バ イ ユ
ニ ッ ト 状態 ま たはア ク テ ィ ブ ユ ニ ッ ト 状態にな る か、障害状態にな
り ま す。こ れは一時的な状態です。
Not Detected
ASA はピ アの存在を検出で き ません。こ の こ と は、フ ェ ールオーバー
が イ ネーブルな状態で ASA が起動 さ れたが、ピ アが存在 し ない、ま た
はピ アの電源がオ フ であ る 場合に発生す る 可能性があ り ます。
ス タ ンバ イ ユニ ッ ト 状態
Cold Standby
ユ ニ ッ ト は ピ ア がア ク テ ィ ブ状態に到達す る の を待機 し ま す。ピ ア
ユ ニ ッ ト がア ク テ ィ ブ状態に到達す る と 、こ のユ ニ ッ ト は Standby
Config 状態に進み ま す。こ れは一時的な状態です。
Sync Config
ユ ニ ッ ト は ピ ア ユ ニ ッ ト か ら 実行 コ ン フ ィ ギ ュ レ ーシ ョ ン を要求 し
ま す。コ ン フ ィ ギ ュ レ ーシ ョ ン の同期化中にエ ラ ーが発生 し た場合、
ユ ニ ッ ト は初期化状態に戻 り ま す。こ れは一時的な状態です。
Sync File System
ユ ニ ッ ト は ピ ア シ ス テ ム と フ ァ イ ル シ ス テ ム を同期化 し ま す。こ れ
は一時的な状態です。
Bulk Sync
ユ ニ ッ ト は ピ ア か ら 状態情報を受信 し ま す。こ の状態は、ス テー ト フ
ル フ ェ ールオーバーが イ ネーブルの場合にのみ発生 し ま す。こ れは
一時的な状態です。
Standby Ready
ユ ニ ッ ト は、ア ク テ ィ ブ ユ ニ ッ ト に障害が発生 し た場合に引 き 継 ぐ
準備が完了 し てい ま す。こ れは永続的な状態です。
ア ク テ ィ ブ ユニ ッ ト 状態
Just Active
ユニ ッ ト がア ク テ ィ ブ ユニ ッ ト にな っ た と き の最初の状態です。こ の
状態にあ る と き 、ユニ ッ ト がア ク テ ィ ブにな る こ と 、お よ び IP ア ド レ
ス と MAC ア ド レ ス を イ ン タ ーフ ェ イ ス に設定す る こ と を ピ アに通知
す る メ ッ セージが ピ アに送信 さ れ ま す。こ れは一時的な状態です。
Active Drain
ピ ア か ら の キ ュ ー メ ッ セージ が廃棄 さ れ ま す。こ れは一時的な状態
です。
Active Applying Config
ユ ニ ッ ト はシ ス テ ム コ ン フ ィ ギ ュ レ ーシ ョ ン を適用 し ま す。こ れは
一時的な状態です。
Active Config Applied
ユ ニ ッ ト はシ ス テ ム コ ン フ ィ ギ ュ レ ーシ ョ ン の適用を完了 し ま し
た。こ れは一時的な状態です。
Active
ユニ ッ ト はア ク テ ィ ブで、ト ラ フ ィ ッ ク を処理 し てい ま す。こ れは永
続的な状態です。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-10
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show failover
それぞれの状態変更の後に状態変更の理由が続 き ま す。こ の理由は、ユ ニ ッ ト が一時的な状態か
ら 永続的な状態に進んで も 、通常同 じ ま ま にな り ま す。次に、可能性が あ る 状態変更の理由を示
し ま す。
•
エ ラ ーな し
•
CI config cmd に よ っ て設定 さ れてい る
•
フ ェ ールオーバー状態チ ェ ッ ク
•
フ ェ ールオーバー イ ン タ ー フ ェ イ ス の準備がで き た
•
HELLO が受信 さ れない
•
他のユニ ッ ト の ソ フ ト ウ ェ ア バージ ョ ン が異な っ てい る
•
他のユニ ッ ト の動作モー ド が異な っ てい る
•
他のユニ ッ ト の ラ イ セ ン ス が異な っ てい る
•
他のユニ ッ ト のシ ャ ーシ コ ン フ ィ ギ ュ レ ーシ ョ ン が異な っ てい る
•
他のユニ ッ ト の カー ド コ ン フ ィ ギ ュ レ ーシ ョ ン が異な っ てい る
•
他のユニ ッ ト か ら ア ク テ ィ ブ状態を要求 さ れた
•
他のユニ ッ ト か ら ス タ ン バ イ 状態を要求 さ れた
•
他のユニ ッ ト が、こ のユニ ッ ト に障害が あ る と レ ポー ト し た
•
他のユニ ッ ト が、そのユニ ッ ト に障害が あ る と レ ポー ト し た
•
コ ン フ ィ ギ ュ レ ーシ ョ ン の不一致
•
ア ク テ ィ ブ ユニ ッ ト が検出 さ れた
•
ア ク テ ィ ブ ユニ ッ ト が検出 さ れな か っ た
•
コ ン フ ィ ギ ュ レ ーシ ョ ン の同期化が行われた
•
通信障害か ら 回復 し た
•
他のユニ ッ ト の VLAN コ ン フ ィ ギ ュ レ ーシ ョ ン が異な っ てい る
•
VLAN コ ン フ ィ ギ ュ レ ーシ ョ ン を確認で き ない
•
コ ン フ ィ ギ ュ レ ーシ ョ ン の同期化が不完全で あ る
•
コ ン フ ィ ギ ュ レ ーシ ョ ン の同期化に失敗 し た
•
イ ン ターフ ェ イ ス チ ェ ッ ク
•
こ のユニ ッ ト の通信が失敗 し た
•
フ ェ ールオーバー メ ッ セージの ACK を受信 し なか っ た
•
同期後の学習状態で他のユニ ッ ト が動作 し な く な っ た
•
ピ ア の電源が検出 さ れない
•
フ ェ ールオーバー ケーブルがない
•
HA 状態の進行に失敗 し た
•
サービ ス カー ド 障害が検出 さ れた
•
他のユニ ッ ト のサービ ス カー ド に障害が発生 し た
•
こ のユニ ッ ト のサービ ス カー ド は ピ ア と 同様で あ る
•
LAN イ ン タ ー フ ェ イ ス が未設定状態にな っ た
•
ピ ア ユニ ッ ト が リ ロ ー ド さ れた
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-11
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show failover
•
シ リ アル ケーブルか ら LAN ベー ス fover に切 り 替わ っ た
•
コ ン フ ィ ギ ュ レ ーシ ョ ン同期化の状態を確認で き ない
•
自動ア ッ プデー ト 要求
•
原因不明
次に、show failover interface コ マ ン ド の出力例を示 し ま す。デバ イ ス の フ ェ ールオーバー イ ン
タ ー フ ェ イ ス に IPv6 ア ド レ ス が設定 さ れてい ま す。
ciscoasa(config)# sh fail int
interface folink GigabitEthernet0/2
System IP Address: 2001:a0a:b00::a0a:b70/64
My IP Address
: 2001:a0a:b00::a0a:b70
Other IP Address : 2001:a0a:b00::a0a:b71
関連 コ マ ン ド
コ マン ド
show running-config
failover
説明
現在の コ ン フ ィ ギ ュ レ ーシ ョ ン内の failover コ マ ン ド を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-12
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show failover exec
show failover exec
指定 し たユニ ッ ト の failover exec コ マ ン ド モー ド を表示す る には、特権 EXEC モー ド で show
failover exec コ マ ン ド を使用 し ま す。
show failover exec {active | standby | mate}
構文の説明
active
ア ク テ ィ ブ ユ ニ ッ ト の failover exec コ マ ン ド モー ド を表示 し ま す。
mate
ピ ア ユ ニ ッ ト の failover exec コ マ ン ド モー ド を表示 し ま す。
standby
ス タ ン バ イ ユ ニ ッ ト の failover exec コ マ ン ド モー ド を表示 し ま す。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
8.0(2)
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
failover exec コ マ ン ド は、指定 し たデバ イ ス と のセ ッ シ ョ ン を確立 し ま す。デ フ ォ ル ト では、こ の
セ ッ シ ョ ン はグ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド です。こ のセ ッ シ ョ ン の コ マ ン ド モー
ド は、failover exec コ マ ン ド を使用 し て適切な コ マ ン ド （interface コ マ ン ド な ど ）を送信す る こ と
に よ っ て変更で き ま す。指定 さ れたデバ イ ス の failover exec コ マ ン ド モー ド を変更 し て も 、デバ
イ ス への ア ク セ ス に使用 し てい る セ ッ シ ョ ン の コ マ ン ド モー ド は変更 さ れ ま せん。デバ イ ス と
の現在のセ ッ シ ョ ン の コ マ ン ド モー ド を変更 し て も 、failover exec コ マ ン ド で使用 さ れ る コ マ ン
ド モー ド には影響 し ま せん。
show failover exec コ マ ン ド は、failover exec コ マ ン ド で送信 さ れ る コ マ ン ド が実行 さ れ る 、指定
し たデバ イ ス 上の コ マ ン ド モー ド を表示 し ま す。
例
次に、show failover exec コ マ ン ド の出力例を示 し ま す。こ の例では、failover exec コ マ ン ド が入力
さ れ る ユニ ッ ト の コ マ ン ド モー ド が、コ マ ン ド が実行 さ れ る failover exec コ マ ン ド モー ド と 同
じ で あ る 必要がない こ と を示 し てい ま す。
こ の例では、ス タ ンバ イ ユニ ッ ト に ロ グ イ ン し た管理者が、ア ク テ ィ ブ ユニ ッ ト 上の イ ン タ ー
フ ェ イ ス に名前を追加 し ま す。こ の例で、show failover exec mate コ マ ン ド を 2 回目に入力 し た と
き 、ピ ア デバ イ ス は イ ン タ ーフ ェ イ ス コ ン フ ィ ギ ュ レーシ ョ ン モー ド で あ る と 表示 さ れ ます。
failover exec コ マ ン ド でデバ イ ス に送信 さ れ る コ マ ン ド は、こ のモー ド で実行 さ れ ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-13
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show failover exec
ciscoasa(config)# show failover exec mate
Active unit Failover EXEC is at config mode
!The following command changes the standby unit failover exec mode
!to interface configuration mode.
ciscoasa(config)# failover exec mate interface GigabitEthernet0/1
ciscoasa(config)# show failover exec mate
Active unit Failover EXEC is at interface sub-command mode
!Because the following command is sent to the active unit, it is replicated
!back to the standby unit.
ciscoasa(config)# failover exec mate nameif test
関連 コ マ ン ド
コ マン ド
failover exec
説明
フ ェ ールオーバー ペア の指定 さ れたユニ ッ ト 上で、入力 さ れた コ マ ン
ド を実行 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-14
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show file
show file
フ ァ イ ル シ ス テ ム についての情報を表示す る には、特権 EXEC モー ド で show file コ マ ン ド を使
用 し ま す。
show file descriptors | system | information filename
構文の説明
descriptors
開かれてい る フ ァ イ ル記述子をすべて表示 し ま す。
filename
フ ァ イ ル名を指定 し ま す。
information
パー ト ナー ア プ リ ケーシ ョ ン パ ッ ケージ フ ァ イ ルな ど 、特定の フ ァ イ
ルについて の情報を表示 し ま す。
system
デ ィ ス ク フ ァ イ ル シ ス テ ム について、サ イ ズ、利用可能なバ イ ト 数、メ
デ ィ ア の タ イ プ、フ ラ グ、お よ びプ レ フ ィ ッ ク ス 情報を表示 し ま す。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表は、こ の コ マ ン ド を入力で き る モー ド を示 し てい ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
例
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
リ リ ース
7.0(1)
変更内容
8.2(1)
パー ト ナー ア プ リ ケーシ ョ ン パ ッ ケージ フ ァ イ ルについ ての情報を
表示す る 機能が追加 さ れ ま し た。
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show file descriptors コ マ ン ド の出力例を示 し ま す。
ciscoasa# show file descriptors
No open file descriptors
ciscoasa# show file system
File Systems:
Size(b)
Free(b)
Type Flags
* 60985344
60973056
disk
rw
Prefixes
disk:
次に、show file info コ マ ン ド の出力例を示 し ま す。
ciscoasa# show file info disk0:csc_embd1.0.1000.pkg
type is package (csc)
file size is 17204149 bytes version 1
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-15
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show file
関連 コ マ ン ド
コ マン ド
dir
説明
pwd
現在の作業デ ィ レ ク ト リ を表示 し ま す。
デ ィ レ ク ト リ の内容を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-16
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show firewall
show firewall
現在の フ ァ イ ア ウ ォ ール モー ド （ルーテ ッ ド ま たは ト ラ ン ス ペア レ ン ト ）を表示す る には、特権
EXEC モー ド で show firewall コ マ ン ド を使用 し ま す。
show firewall
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
例
リ リ ース
7.0(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show firewall コ マ ン ド の出力例を示 し ま す。
ciscoasa# show firewall
Firewall mode: Router
関連 コ マ ン ド
コ マン ド
firewall transparent
説明
show mode
現在の コ ン テ キ ス ト モー ド （シ ン グル ま たはマルチ）を表示 し ま す。
フ ァ イ ア ウ ォ ール モー ド を設定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-17
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show firewall module version
show firewall module version
ASA サービ ス モ ジ ュ ール の ソ フ ト ウ ェ ア バージ ョ ン番号を表示す る には、特権 EXEC モー ド で
show firewall module version コ マ ン ド を使用 し ま す。
show firewall switch {1 | 2} module [module_number] version
構文の説明
module_number
（オプシ ョ ン）モ ジ ュ ール番号を指定 し ま す。
switch {1 | 2}
VSS ユーザだけに適用 さ れ ま す。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
例
リ リ ース
7.0(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show firewall module version コ マ ン ド の出力例を示 し ま す。
Router# show firewall switch 1 module 2 version
ASA Service Module 2:
Sw Version: 100.7(8)19
関連 コ マ ン ド
コ マン ド
firewall module
説明
firewall vlan-group
VLAN の グループ を作成 し ま す。
show module
イ ン ス ト ール さ れてい る すべてのモ ジ ュ ール を表示 し ま す。
VLAN グループ を ASA に割 り 当て ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-18
•
Yes
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show flash
show flash
内部 フ ラ ッ シ ュ メ モ リ の内容を表示す る には、特権 EXEC モー ド で show flash: コ マ ン ド を使用
し ま す。
show flash: all | controller | filesys
（注）
構文の説明
ASA では、flash キー ワ ー ド にエ イ リ ア ス disk0 が使用 さ れ ま す。
all
すべて の フ ラ ッ シ ュ の情報を表示 し ま す。
controller
フ ァ イ ル シ ス テ ム コ ン ト ロ ー ラ の情報を表示 し ま す。
filesys
フ ァ イ ル シ ス テ ム の情報を表示 し ま す。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表は、こ の コ マ ン ド を入力で き る モー ド を示 し てい ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
例
リ リ ース
7.0(1)
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show flash: コ マ ン ド の出力例 を示 し ま す。
ciscoasa# show
-#- --length-11 1301
12 1949
13 2551
14 609223
15 1619
16 3184
17 4787
20 1792
21 7765184
22 1674
23 1863
24 1197
25 608554
26 5124096
27 5124096
28 2074
29 5124096
flash:
-----date/time-----Feb 21 2005 18:01:34
Feb 21 2005 20:13:36
Jan 06 2005 10:07:36
Jan 21 2005 07:14:18
Jul 16 2004 16:06:48
Aug 03 2004 07:07:00
Mar 04 2005 12:32:18
Jan 21 2005 07:29:24
Mar 07 2005 19:38:30
Nov 11 2004 02:47:52
Jan 21 2005 07:29:18
Jan 19 2005 08:17:48
Jan 13 2005 06:20:54
Feb 20 2005 08:49:28
Mar 01 2005 17:59:56
Jan 13 2005 08:13:26
Mar 07 2005 19:56:58
path
test.cfg
pepsi.cfg
Leo.cfg
rr.cfg
hackers.cfg
old_running.cfg
admin.cfg
Marketing.cfg
asdmfile-RLK
potts.cfg
r.cfg
tst.cfg
500kconfig
cdisk70102
cdisk70104
negateACL
cdisk70105
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-19
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show flash
30
31
32
33
34
35
1276
7756788
7579792
7764344
5124096
15322
Jan
Feb
Mar
Mar
Feb
Mar
28
24
08
04
24
04
2005
2005
2005
2005
2005
2005
08:31:58
12:59:46
11:06:56
12:17:46
11:50:50
12:30:24
steel
asdmfile.50074.dbg
asdmfile.gusingh
asdmfile.50075.dbg
cdisk70103
hs_err_pid2240.log
10170368 bytes available (52711424 bytes used)
関連 コ マ ン ド
コ マン ド
dir
説明
show disk0:
内部 フ ラ ッ シ ュ メ モ リ の内容を表示 し ま す。
show disk1:
外部 フ ラ ッ シ ュ メ モ リ カー ド の内容を表示 し ま す。
デ ィ レ ク ト リ の内容を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-20
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show flow-export counters
show flow-export counters
NetFlow デー タ に関連付け ら れてい る ラ ン タ イ ム カ ウ ン タ を表示す る には、特権 EXEC モー ド
で show flow-export counters コ マ ン ド を使用 し ま す。
show flow-export counters
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表は、こ の コ マ ン ド を入力で き る モー ド を示 し てい ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
リ リ ース
8.1(1)
変更内容
9.0(1)
送信元ポー ト 割 り 当ての失敗に対す る 新 し いエ ラ ー カ ウ ン タ が追加
さ れ ま し た。
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
ラ ン タ イ ム カ ウ ン タ には、統計デー タ お よ びエ ラ ー デー タ が含 ま れ ま す。
例
次に、NetFlow デー タ に関連付け ら れてい る ラ ン タ イ ム カ ウ ン タ を表示す る show flow-export
counters コ マ ン ド の出力例を示 し ま す。
ciscoasa# show flow-export counters
destination: inside 209.165.200.224 2055
Statistics:
packets sent
1000
Errors:
block allocation failure
0
invalid interface
0
template send failure
0
no route to collector
0
source port allocation
0
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-21
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show flow-export counters
関連 コ マ ン ド
コ マン ド
説明
clear flow-export counters NetFlow の ラ ン タ イ ム カ ウ ン タ をすべてゼ ロ に リ セ ッ ト し ま す。
flow-export destination
NetFlow コ レ ク タ の IP ア ド レ ス ま たはホ ス ト 名 と 、NetFlow コ レ
ク タ が リ ッ ス ンす る UDP ポー ト を指定 し ま す。
flow-export template
テ ン プ レ ー ト 情報が NetFlow コ レ ク タ に送信 さ れ る 間隔を制御 し
timeout-rate
ま す。
logging
logging flow-export-syslogs disable コ マ ン ド を入力 し た後に、
flow-export-syslogs enable syslog メ ッ セージ を イ ネーブルに し 、さ ら に NetFlow デー タ に関連
付け ら れた syslog メ ッ セージ を イ ネーブルに し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-22
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show fragment
show fragment
IP フ ラ グ メ ン ト 再構成モ ジ ュ ールの動作デー タ を表示す る には、特権 EXEC モー ド で show
fragment コ マ ン ド を使用 し ま す。
show fragment [interface]
構文の説明
interface
デフ ォル ト
interface が指定 さ れていない場合、こ の コ マ ン ド はすべての イ ン タ ーフ ェ イ ス に適用 さ れ ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
（オプシ ョ ン）ASA イ ン タ ー フ ェ イ ス を指定 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC モー ド
コ マ ン ド 履歴
例
リ リ ース
7.0(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド は、コ ン フ ィ ギ ュ レ ーシ ョ ン デー タ と 動作デー タ を分け る ため
に、show fragment お よ び show running-config fragment の 2 つの コ マ ン ド に
分け ら れ ま し た。
次に、IP フ ラ グ メ ン ト 再構成モ ジ ュ ールの動作デー タ を表示す る 方法の例を示 し ま す。
ciscoasa# show fragment
Interface: inside
Size: 200, Chain: 24, Timeout: 5, Threshold:
Queue: 0, Assembled: 0, Fail: 0, Overflow: 0
Interface: outside1
Size: 200, Chain: 24, Timeout: 5, Threshold:
Queue: 0, Assembled: 0, Fail: 0, Overflow: 0
Interface: test1
Size: 200, Chain: 24, Timeout: 5, Threshold:
Queue: 0, Assembled: 0, Fail: 0, Overflow: 0
Interface: test2
Size: 200, Chain: 24, Timeout: 5, Threshold:
Queue: 0, Assembled: 0, Fail: 0, Overflow: 0
133
133
133
133
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-23
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show fragment
関連 コ マ ン ド
コ マン ド
clear configure
fragment
説明
clear fragment
IP フ ラ グ メ ン ト 再構成モ ジ ュ ールの動作デー タ を ク リ ア し ま す。
fragment
パケ ッ ト フ ラ グ メ ン テーシ ョ ン を詳細に管理で き る よ う に し 、NFS と
の互換性を高め ま す。
show running-config
fragment
IP フ ラ グ メ ン ト 再構成 コ ン フ ィ ギ ュ レ ーシ ョ ン を表示 し ま す。
IP フ ラ グ メ ン ト 再構成 コ ン フ ィ ギ ュ レ ーシ ョ ン を ク リ ア し 、デ フ ォ ル
ト に リ セ ッ ト し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-24
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show gc
show gc
ガーベ ッ ジ コ レ ク シ ョ ン プ ロ セ ス の統計情報を表示す る には、特権 EXEC モー ド で show gc コ
マ ン ド を使用 し ま す。
show gc
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ルーテ ッ ド
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
例
リ リ ース
7.0(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
Yes
•
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show gc コ マ ン ド の出力例 を示 し ま す。
ciscoasa# show gc
Garbage collection process stats:
Total tcp conn delete response
Total udp conn delete response
Total number of zombie cleaned
Total number of embryonic conn cleaned
Total error response
Total queries generated
Total queries with conn present response
Total number of sweeps
Total number of invalid vcid
Total number of zombie vcid
関連 コ マ ン ド
コ マン ド
clear gc
:
:
:
:
:
:
:
:
:
:
0
0
0
0
0
0
0
946
0
0
説明
ガーベ ッ ジ コ レ ク シ ョ ン プ ロ セ ス の統計情報を削除 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-25
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show h225
show h225
ASA を越え て確立 さ れた H.225 セ ッ シ ョ ン の情報を表示す る には、特権 EXEC モー ド で show
h225 コ マ ン ド を使用 し ま す。
show h225
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
7.0(1)
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
show h225 コ マ ン ド は、ASA を越え て確立 さ れてい る H.225 セ ッ シ ョ ン の情報を表示 し ま す。こ
の コ マ ン ド は、debug h323 h225 event、debug h323 h245 event、お よ び show local-host コ マ ン ド と
と も に、H.323 イ ン ス ペ ク シ ョ ン エ ン ジ ン の問題の ト ラ ブルシ ュ ーテ ィ ン グ に使用 さ れ ま す。
show h225、show h245、ま たは show h323 ras コ マ ン ド を使用す る 前に、pager コ マ ン ド を設定す
る こ と を推奨 し ま す。セ ッ シ ョ ン レ コ ー ド が多い と き に pager コ マ ン ド が設定 さ れていない場
合、show コ マ ン ド の出力が末端に届 く ま でに時間がかか る 場合が あ り ま す。異常なほ ど 多 く の
接続が存在す る 場合は、デ フ ォ ル ト の タ イ ム ア ウ ト 値 ま たは設定 し た値に基づいて セ ッ シ ョ ン
が タ イ ム ア ウ ト し てい る か ど う か確認 し ま す。タ イ ム ア ウ ト し ていな ければ問題が あ る ので、調
査が必要です。
例
次に、show h225 コ マ ン ド の出力例を示 し ま す。
ciscoasa# show h225
Total H.323 Calls: 1
1 Concurrent Call(s) for
| Local: | 10.130.56.3/1040 | Foreign: 172.30.254.203/1720
| 1.CRV 9861
| Local: | 10.130.56.3/1040 | Foreign: 172.30.254.203/1720
0 Concurrent Call(s) for
| Local: | 10.130.56.4/1050 | Foreign: 172.30.254.205/1720
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-26
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show h225
こ の出力は、ロ ーカル エ ン ド ポ イ ン ト 10.130.56.3 と 外部ホ ス ト 172.30.254.203 と の間で ASA を
通過す る ア ク テ ィ ブな H.323 コ ールが現在 1 つ存在 し 、こ れ ら の特定のエ ン ド ポ イ ン ト の間には、
コ ールの CRV（ コ ール参照値）が 9861 の同時発生 コ ールが 1 つ存在す る こ と を示 し てい ます。
ロ ーカル エ ン ド ポ イ ン ト 10.130.56.4 と 外部ホ ス ト 172.30.254.205 につい ては、同時発生 コ ール
の数は 0 です。つ ま り H.225 セ ッ シ ョ ン が ま だ存在 し てい る も のの、こ のエ ン ド ポ イ ン ト 間には
ア ク テ ィ ブ コ ールがない こ と を意味 し ま す。こ の状況は、show h225 コ マ ン ド を実行 し た と き
に、コ ールはすでに終了 し てい る が、H.225 セ ッ シ ョ ン が ま だ削除 さ れてい ない場合に発生す る
可能性が あ り ま す。ま たは、2 つのエ ン ド ポ イ ン ト が、「maintainConnection」を TRUE に設定 し て
い る ため、TCP 接続を ま だ開いた ま ま に し てい る こ と を意味す る 可能性 も あ り ま す。し たが っ
て、「maintainConnection」を再度 FALSE に設定す る ま で、ま たは コ ン フ ィ ギ ュ レ ーシ ョ ン内の
H.225 タ イ ム ア ウ ト 値に基づ く セ ッ シ ョ ン の タ イ ム ア ウ ト が起 こ る ま で、セ ッ シ ョ ン は開いた ま
ま にな り ま す。
関連 コ マ ン ド
コ マン ド
debug h323
説明
inspect h323
H.323 ア プ リ ケーシ ョ ン イ ン ス ペ ク シ ョ ン を イ ネーブルに し ま す。
show h245
ス ロ ー ス タ ー ト を使用 し てい る エ ン ド ポ イ ン ト に よ っ て ASA を越え
て確立 さ れてい る H.245 セ ッ シ ョ ン の情報を表示 し ま す。
show h323 ras
ASA を越え て確立 さ れてい る H.323 RAS セ ッ シ ョ ン の情報を表示 し
ま す。
timeout h225 | h323
H.225 シ グナ リ ン グ接続 ま たは H.323 制御接続が終了す る ま での ア イ
ド ル時間を設定 し ま す。
H.323 のデバ ッ グ情報の表示を イ ネーブルに し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-27
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show h245
show h245
ス ロ ー ス タ ー ト を使用 し てい る エ ン ド ポ イ ン ト に よ っ て ASA を越え て確立 さ れた H.245 セ ッ
シ ョ ン の情報を表示す る には、特権 EXEC モー ド で show h245 コ マ ン ド を使用 し ま す。
show h245
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
リ リ ース
7.0(1)
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
show h245 コ マ ン ド は、ス ロ ー ス タ ー ト を使用 し てい る エ ン ド ポ イ ン ト に よ っ て ASA を越え て
確立 さ れた H.245 セ ッ シ ョ ン の情報を表示 し ま す。（ ス ロ ー ス タ ー ト では、コ ールの 2 つのエ ン
ド ポ イ ン ト が H.245 用に別の TCP コ ン ト ロ ール チ ャ ネル を開 き ま す。フ ァ ス ト ス タ ー ト は、
H.245 メ ッ セージ が H.225 コ ン ト ロ ール チ ャ ネル上の H.225 メ ッ セージの一部 と し て交換 さ れ
た場合です。） こ の コ マ ン ド は、debug h323 h245 event、debug h323 h225 event、お よ び show
local-host コ マ ン ド と と も に、H.323 イ ン ス ペ ク シ ョ ン エ ン ジ ン の問題の ト ラ ブルシ ュ ーテ ィ ン
グ に使用 さ れ ま す。
例
次に、show h245 コ マ ン ド の出力例を示 し ま す。
ciscoasa# show h245
Total: 1
| LOCAL | TPKT | FOREIGN | TPKT
1 | 10.130.56.3/1041 | 0 | 172.30.254.203/1245 | 0
| MEDIA: LCN 258 Foreign 172.30.254.203 RTP 49608 RTCP 49609
| Local | 10.130.56.3 RTP 49608 RTCP 49609
| MEDIA: LCN 259 Foreign 172.30.254.203 RTP 49606 RTCP 49607
| Local | 10.130.56.3 RTP 49606 RTCP 49607
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-28
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show h245
ASA を越え る ア ク テ ィ ブな H.245 コ ン ト ロ ール セ ッ シ ョ ン が、現在 1 つあ り ま す。ロ ーカル エ
ン ド ポ イ ン ト は、10.130.56.3 で あ り 、TPKT 値が 0 で あ る こ と か ら 、こ のエ ン ド ポ イ ン ト か ら の次
のパケ ッ ト には TPKT ヘ ッ ダーが あ る と 予測 し ま す。（TKTP ヘ ッ ダーは、各 H.225/H.245 メ ッ
セージの先頭の 4 バ イ ト ヘ ッ ダーです。こ のヘ ッ ダーは、4 バ イ ト ヘ ッ ダーを含む メ ッ セージの
長 さ を指定 し ま す）。外部ホ ス ト エ ン ド ポ イ ン ト は 172.30.254.203 で、TPKT 値が 0 のため、こ の
エ ン ド ポ イ ン ト か ら の次のパケ ッ ト が TPKT ヘ ッ ダーを持つ こ と が予想 さ れ ま す。
こ れ ら のエ ン ド ポ イ ン ト 間でネ ゴ シ エー ト さ れ る メ デ ィ アは、論理チ ャ ネル番号（LCN）が 258
で、外部の RTP IP ア ド レ ス /ポー ト ペア が 172.30.254.203/49608、RTCP IP ア ド レ ス /ポー ト が
172.30.254.203/49609、ロ ーカルの RTP IP ア ド レ ス /ポー ト ペア が 10.130.56.3/49608、RTCP ポー
ト が 49609 です。
値が 259 の 2 番目の LCN は、外部の RTP IP ア ド レ ス /ポー ト ペア が 172.30.254.203/49606、RTCP
IP ア ド レ ス /ポー ト ペア が 172.30.254.203/49607、ロ ーカルの RTP IP ア ド レ ス /ポー ト ペア が
10.130.56.3/49606、RTCP ポー ト が 49607 です。
関連 コ マ ン ド
コ マン ド
debug h323
説明
inspect h323
H.323 ア プ リ ケーシ ョ ン イ ン ス ペ ク シ ョ ン を イ ネーブルに し ま す。
show h245
ス ロ ー ス タ ー ト を使用 し てい る エ ン ド ポ イ ン ト に よ っ て ASA を越え
て確立 さ れてい る H.245 セ ッ シ ョ ン の情報を表示 し ま す。
show h323 ras
ASA を越え て確立 さ れてい る H.323 RAS セ ッ シ ョ ン の情報を表示 し
ま す。
timeout h225 | h323
H.225 シ グナ リ ン グ接続 ま たは H.323 制御接続が終了す る ま での ア イ
ド ル時間を設定 し ま す。
H.323 のデバ ッ グ情報の表示を イ ネーブルに し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-29
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show h323
show h323
H.323 接続の情報を表示す る には、特権 EXEC モー ド で show h323 コ マ ン ド を使用 し ま す。
show h323 {ras | gup}
構文の説明
ras
ASA を越え て ゲー ト キーパー と その H.323 エ ン ド ポ イ ン ト の間に確
立 さ れてい る H.323 RAS セ ッ シ ョ ン を表示 し ま す。
gup
H323 ゲー ト ウ ェ イ ア ッ プデー ト プ ロ ト コ ル接続に関す る 情報を表
示 し ま す。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
特権 EXEC
コ マ ン ド 履歴
リ リ ース
7.0(1)
•
Yes
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
show h323 ras コ マ ン ド は、ASA を越え て ゲー ト キーパー と その H.323 エ ン ド ポ イ ン ト の間に確
立 さ れてい る H.323 RAS セ ッ シ ョ ン の情報を表示 し ま す。こ の コ マ ン ド は、debug h323 ras event
お よ び show local-host コ マ ン ド と と も に、H.323 RAS イ ン ス ペ ク シ ョ ン エ ン ジ ン の問題の ト ラ
ブルシ ュ ーテ ィ ン グ に使用 さ れ ま す。
例
次に、show h323 ras コ マ ン ド の出力例を示 し ま す。
ciscoasa# show h323 ras
Total: 1
| GK | Caller
| 172.30.254.214 10.130.56.14
ciscoasa#
こ の出力は、ゲー ト キーパー 172.30.254.214 と その ク ラ イ ア ン ト 10.130.56.14 の間に ア ク テ ィ ブ
な登録が 1 つあ る こ と を示 し てい ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-30
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show h323
関連 コ マ ン ド
コ マン ド
debug h323
説明
inspect h323
H.323 ア プ リ ケーシ ョ ン イ ン ス ペ ク シ ョ ン を イ ネーブルに し ま す。
show h245
ス ロ ー ス タ ー ト を使用 し てい る エ ン ド ポ イ ン ト に よ っ て ASA を越え
て確立 さ れてい る H.245 セ ッ シ ョ ン の情報を表示 し ま す。
timeout h225 | h323
H.225 シ グナ リ ン グ接続 ま たは H.323 制御接続が終了す る ま での ア イ
ド ル時間を設定 し ま す。
H.323 のデバ ッ グ情報の表示を イ ネーブルに し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-31
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show history
show history
以前入力 し た コ マ ン ド を表示す る には、ユーザ EXEC モー ド で show history コ マ ン ド を使用 し
ま す。
show history
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表は、こ の コ マ ン ド を入力で き る モー ド を示 し てい ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ユーザ EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
例
リ リ ース
7.0(1)
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
show history コ マ ン ド を使用す る と 、以前入力 し た コ マ ン ド を表示で き ま す。上矢印 と 下矢印を
使用 し て コ マ ン ド を個別に調べて、^p を入力 し て以前に入力 し た行を表示す る か、^n を入力 し
て次の行を表示で き ま す。
次に、ユーザ EXEC モー ド で show history コ マ ン ド を使用す る 例を示 し ま す。
ciscoasa> show history
show history
help
show history
次に、特権 EXEC モー ド で show history コ マ ン ド を使用す る 例を示 し ま す。
ciscoasa# show history
show history
help
show history
enable
show history
次に、グ ロ ーバル コ ン フ ィ ギ ュ レ ーシ ョ ン モー ド で show history コ マ ン ド を使用す る 例を示 し
ま す。
ciscoasa(config)# show history
show history
help
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-32
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show history
show history
enable
show history
config t
show history
関連 コ マ ン ド
コ マン ド
help
説明
指定 し た コ マ ン ド のヘルプ情報を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-33
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show icmp
show icmp
ICMP コ ン フ ィ ギ ュ レ ーシ ョ ン を表示す る には、特権 EXEC モー ド で show icmp コ マ ン ド を使用
し ま す。
show icmp
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
リ リ ース
7.0(1)
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
変更内容
こ の コ マ ン ド は既存の も のです。
使用上のガイ ド ラ イ ン
show icmp コ マ ン ド は ICMP コ ン フ ィ ギ ュ レ ーシ ョ ン を表示 し ま す。
例
次に、ICMP コ ン フ ィ ギ ュ レ ーシ ョ ン を表示す る 例を示 し ま す。
ciscoasa# show icmp
関連 コ マ ン ド
clear configure icmp
ICMP コ ン フ ィ ギ ュ レ ーシ ョ ン を ク リ ア し ま す。
debug icmp
ICMP のデバ ッ グ情報の表示を イ ネーブルに し ま す。
icmp
ASA イ ン タ ー フ ェ イ ス が終端 と な る ICMP ト ラ フ ィ ッ ク の ア ク セ ス
ルール を設定 し ま す。
inspect icmp
ICMP イ ン ス ペ ク シ ョ ン エ ン ジ ン を イ ネーブル ま たはデ ィ セーブル
に し ま す。
timeout icmp
ICMP の ア イ ド ル タ イ ム ア ウ ト を設定 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-34
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show idb
show idb
イ ン タ ー フ ェ イ ス 記述子ブ ロ ッ ク の ス テー タ ス についての情報を表示す る には、特権 EXEC
モー ド で show idb コ マ ン ド を使用 し ま す。
show idb
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
ユーザ EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
例
リ リ ース
7.0(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
•
Yes
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
IDB は イ ン タ ー フ ェ イ ス リ ソ ー ス を表す内部デー タ 構造です。出力の説明については、「例」を参
照 し て く だ さ い。
次に、show idb コ マ ン ド の出力例を示 し ま す。
ciscoasa# show idb
Maximum number of Software IDBs 280.In use 23.
Active
Inactive
Total IDBs
Size each (bytes)
Total bytes
0xbb68ebc
0xcd47d84
0xcd4c1dc
0xcd5063c
0xcd54a9c
0xcd58f04
HWIDBs
6
1
7
116
812
SWIDBs
21
2
23
212
4876
HWIDB#
HWIDB#
HWIDB#
HWIDB#
HWIDB#
HWIDB#
1
2
3
4
5
6
Control0/0
GigabitEthernet0/0
GigabitEthernet0/1
GigabitEthernet0/2
GigabitEthernet0/3
Management0/0
SWIDB#
SWIDB#
SWIDB#
1 0x0bb68f54 0x01010001 Control0/0
2 0x0cd47e1c 0xffffffff GigabitEthernet0/0
3 0x0cd772b4 0xffffffff GigabitEthernet0/0.1
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-35
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show idb
PEER
PEER
PEER
SWIDB#
SWIDB#
SWIDB#
PEER
SWIDB#
PEER
SWIDB#
PEER
SWIDB#
SWIDB#
PEER
PEER
PEER
SWIDB#
PEER
IDB# 1 0x0d44109c 0xffffffff
3 GigabitEthernet0/0.1
IDB# 2 0x0d2c0674 0x00020002
2 GigabitEthernet0/0.1
IDB# 3 0x0d05a084 0x00010001
1 GigabitEthernet0/0.1
4 0x0bb7501c 0xffffffff GigabitEthernet0/0.2
5 0x0cd4c274 0xffffffff GigabitEthernet0/1
6 0x0bb75704 0xffffffff GigabitEthernet0/1.1
IDB# 1 0x0cf8686c 0x00020003
2 GigabitEthernet0/1.1
7 0x0bb75dec 0xffffffff GigabitEthernet0/1.2
IDB# 1 0x0d2c08ac 0xffffffff
2 GigabitEthernet0/1.2
8 0x0bb764d4 0xffffffff GigabitEthernet0/1.3
IDB# 1 0x0d441294 0x00030001
3 GigabitEthernet0/1.3
9 0x0cd506d4 0x01010002 GigabitEthernet0/2
10 0x0cd54b34 0xffffffff GigabitEthernet0/3
IDB# 1 0x0d3291ec 0x00030002
3 GigabitEthernet0/3
IDB# 2 0x0d2c0aa4 0x00020001
2 GigabitEthernet0/3
IDB# 3 0x0d05a474 0x00010002
1 GigabitEthernet0/3
11 0x0cd58f9c 0xffffffff Management0/0
IDB# 1 0x0d05a65c 0x00010003
1 Management0/0
表 7-4 に、各 フ ィ ール ド の説明を示 し ま す。
表 7-4
show idb stats の各フ ィ ール ド
フ ィ ール ド
説明
HWIDBs
すべて の HWIDB の統計情報を表示 し ま す。HWIDB は、シ ス テ ム内の各
ハー ド ウ ェ ア ポー ト について作成 さ れ ま す。
SWIDBs
すべて の SWIDB の統計情報を表示 し ま す。SWIDB は、シ ス テ ム内の各 メ イ
ンお よ びサブ イ ン タ ー フ ェ イ ス につい て、お よ び コ ン テ キ ス ト に割 り 当て
ら れてい る 各 イ ン タ ー フ ェ イ ス につい て作成 さ れ ま す。
他の一部の内部 ソ フ ト ウ ェ ア モ ジ ュ ール も IDB を作成 し ま す。
関連 コ マ ン ド
HWIDB#
ハー ド ウ ェ ア イ ン タ ー フ ェ イ ス エ ン ト リ を示 し ま す。IDB シーケ ン ス 番
号、ア ド レ ス 、お よ び イ ン タ ー フ ェ イ ス 名が各行に表示 さ れ ま す。
SWIDB#
ソ フ ト ウ ェ ア イ ン タ ー フ ェ イ ス エ ン ト リ を示 し ま す。IDB シーケ ン ス 番
号、ア ド レ ス 、対応す る vPif ID、お よ び イ ン タ ー フ ェ イ ス 名が各行に表示 さ
れ ま す。
PEER IDB#
コ ン テ キ ス ト に割 り 当て ら れてい る イ ン タ ー フ ェ イ ス を示 し ま す。IDB
シーケ ン ス 番号、ア ド レ ス 、対応す る vPif ID、コ ン テ キ ス ト ID、お よ び イ ン
タ ー フ ェ イ ス 名が各行に表示 さ れ ま す。
コ マン ド
interface
説明
show interface
イ ン タ ー フ ェ イ ス の実行時 ス テー タ ス と 統計情報を表示 し ま す。
イ ン タ ー フ ェ イ ス を設定 し 、イ ン タ ー フ ェ イ ス コ ン フ ィ ギ ュ レ ーシ ョ
ン モー ド を開始 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-36
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show igmp groups
show igmp groups
ASA に直接接続 さ れてい る 受信者、お よ び IGMP を通 じ て学習 さ れた受信者を含むマルチキ ャ
ス ト グループ を表示す る には、特権 EXEC モー ド で show igmp groups コ マ ン ド を使用 し ま す。
show igmp groups [[reserved | group] [if_name] [detail]] | summary]
構文の説明
detail
（オプシ ョ ン） ソ ー ス の詳細説明を出力 し ま す。
group
（オプシ ョ ン）IGMP グループの ア ド レ ス 。こ のオプシ ョ ン引数を含め
る と 、表示は指定 さ れた グループに限定 さ れ ま す。
if_name
（オプシ ョ ン）指定 さ れた イ ン タ ー フ ェ イ ス につい ての グループ情報
を表示 し ま す。
reserved
（オプシ ョ ン）予約 さ れた グループについ ての情報を表示 し ま す。
summary
（オプシ ョ ン）グループ加入の要約情報を表示 し ま す。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
リ リ ース
7.0(1)
•
Yes
—
•
Yes
マルチ
コ ン テキス ト シ ス テム
—
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
オプ シ ョ ン の引数お よ びキー ワ ー ド をすべて省略す る と 、show igmp groups コ マ ン ド は、直接接
続 さ れた マルチキ ャ ス ト グループ を、グループ ア ド レ ス 、イ ン タ ー フ ェ イ ス タ イ プ、お よ び イ ン
タ ー フ ェ イ ス 番号別に表示 し ま す。
例
次に、show igmp groups コ マ ン ド の出力例を示 し ま す。
ciscoasa# show igmp groups
IGMP Connected Group Membership
Group Address
Interface
224.1.1.1
inside
関連 コ マ ン ド
コ マン ド
show igmp interface
Uptime
00:00:53
Expires
00:03:26
Last Reporter
192.168.1.6
説明
イ ン タ ー フ ェ イ ス のマルチ キ ャ ス ト 情報を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-37
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show igmp interface
show igmp interface
イ ン タ ー フ ェ イ ス のマルチキ ャ ス ト 情報を表示す る には、特権 EXEC モー ド で show igmp
interface コ マ ン ド を使用 し ま す。
show igmp interface [if_name]
構文の説明
if_name
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
（オプシ ョ ン）選択 し た イ ン タ ー フ ェ イ ス につい ての IGMP グループ
情報を表示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
リ リ ース
7.0(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
マルチ
—
—
•
Yes
コ ン テキス ト シ ス テム
—
変更内容
こ の コ マ ン ド が変更 さ れ ま し た。detail キー ワ ー ド が削除 さ れま し た。
使用上のガイ ド ラ イ ン
オプ シ ョ ン の if_name 引数を省略す る と 、show igmp interface コ マ ン ド はすべての イ ン タ ー フ ェ
イ ス についての情報を表示 し ま す。
例
次に、show igmp interface コ マ ン ド の出力例を示 し ま す。
ciscoasa# show igmp interface inside
inside is up, line protocol is up
Internet address is 192.168.37.6, subnet mask is 255.255.255.0
IGMP is enabled on interface
IGMP query interval is 60 seconds
Inbound IGMP access group is not set
Multicast routing is enabled on interface
Multicast TTL threshold is 0
Multicast designated router (DR) is 192.168.37.33
No multicast groups joined
関連 コ マ ン ド
コ マン ド
show igmp groups
説明
ASA に直接接続 さ れてい る 受信者、お よ び IGMP を通 じ て学習 さ れた
受信者を含むマルチ キ ャ ス ト グループ を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-38
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show igmp traffic
show igmp traffic
IGMP ト ラ フ ィ ッ ク の統計情報を表示す る には、特権 EXEC モー ド で show igmp traffic コ マ ン ド
を使用 し ま す。
show igmp traffic
構文の説明
こ の コ マ ン ド には、引数 ま たはキー ワ ー ド はあ り ま せん。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
例
リ リ ース
7.0(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
マルチ
—
—
•
Yes
コ ン テキス ト シ ス テム
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
次に、show igmp traffic コ マ ン ド の出力例を示 し ま す。
ciscoasa# show igmp traffic
IGMP Traffic Counters
Elapsed time since counters cleared: 00:02:30
Received
Sent
Valid IGMP Packets
3
6
Queries
2
6
Reports
1
0
Leaves
0
0
Mtrace packets
0
0
DVMRP packets
0
0
PIM packets
0
0
Errors:
Malformed Packets
Martian source
Bad Checksums
関連 コ マ ン ド
0
0
0
コ マン ド
clear igmp counters
説明
clear igmp traffic
IGMP ト ラ フ ィ ッ ク カ ウ ン タ を ク リ ア し ま す。
すべて の IGMP 統計カ ウ ン タ を ク リ ア し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-39
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show import webvpn
show import webvpn
ASA ま たは Anyconnect セ キ ュ ア モ ビ リ テ ィ ク ラ イ ア ン ト を カ ス タ マ イ ズお よ び ロ ーカ ラ イ ズ
す る 、フ ラ ッ シ ュ メ モ リ 内の フ ァ イ ル、カ ス タ マ イ ゼーシ ョ ン オブジ ェ ク ト 、変換テーブル、ま
たはプ ラ グ イ ン を一覧表示す る には、特権 EXEC モー ド で show import webvpn コ マ ン ド を使用
し ま す。
show import webvpn {AnyConnect-customization | customization | mst-translation | plug-in |
translation-table | url-list | webcontent}[detailed | xml-output]
構文の説明
AnyConnect-customization AnyConnect ク ラ イ ア ン ト GUI を カ ス タ マ イ ズす る 、ASA フ ラ ッ
シ ュ メ モ リ 内の リ ソ ー ス フ ァ イ ル、実行可能 フ ァ イ ルお よ び MS
ト ラ ン ス フ ォ ーム を表示 し ま す。
customization
ク ラ イ ア ン ト レ ス VPN ポー タ ル を カ ス タ マ イ ズす る 、ASA フ
ラ ッ シ ュ メ モ リ 内の XML カ ス タ マ イ ゼーシ ョ ン オブジ ェ ク ト
を表示 し ま す（ フ ァ イ ル名は base64 デ コ ー ド 済み）。
mst-translation
AnyConnect ク ラ イ ア ン ト イ ン ス ト ー ラ プ ロ グ ラ ム を翻訳す る 、
ASA フ ラ ッ シ ュ メ モ リ 内の MS ト ラ ン ス フ ォ ーム を表示 し ま す。
plug-in
ASA フ ラ ッ シ ュ メ モ リ 内のプ ラ グ イ ン モ ジ ュ ール を 表示 し ま す
（SSH、VNC、お よ び RDP な ど のサー ド パーテ ィ の Java ベー ス の
ク ラ イ ア ン ト ア プ リ ケーシ ョ ン）。
translation-table
ク ラ イ ア ン ト レ ス ポー タ ル、Secure Desktop お よ びプ ラ グ イ ン に
よ っ て表示 さ れ る ユーザ メ ッ セージの言語を変換す る 、ASA フ
ラ ッ シ ュ メ モ リ 内の変換テーブル を表示 し ま す。
url-list
ク ラ イ ア ン ト レ ス ポー タ ルに よ っ て使用 さ れ る 、ASA フ ラ ッ
シ ュ メ モ リ 内の URL の一覧を表示 し ま す（フ ァ イ ル名は base64
デ コ ー ド 済み）。
webcontent
ク ラ イ ア ン ト レ ス ポー タ ル、ク ラ イ ア ン ト レ ス ア プ リ ケーシ ョ ン
お よ びプ ラ グ イ ン に よ っ て、エ ン ド ユーザに表示 さ れ る オ ン ラ イ
ン ヘルプに使用 さ れ る 、ASA フ ラ ッ シ ュ メ モ リ 内の コ ン テ ン ツ
を表示 し ま す。
detailed
フ ラ ッ シ ュ メ モ リ 内の フ ァ イ ルお よ びハ ッ シ ュ のパ ス を表示 し
ま す。
xml-output
フ ァ イ ルの XML を表示 し ま す。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC モー ド
ルーテ ッ ド
•
Yes
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-40
ト ラ ン スペ
アレン ト
シ ン グル
マルチ
—
—
•
Yes
コ ン テキス ト シ ス テム
—
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show import webvpn
コ マ ン ド 履歴
リ リ ース
8.0(2)
変更内容
8.2(1)
AnyConnect-customization キー ワ ー ド が追加 さ れ ま し た。
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
show import webvpn コ マ ン ド を使用す る と 、ク ラ イ ア ン ト レ ス SSL VPN ユーザが使用可能な カ
ス タ ム デー タ お よ び Java ベー ス の ク ラ イ ア ン ト ア プ リ ケーシ ョ ン が識別 さ れ ま す。表示 さ れ る
リ ス ト では、ASA の フ ラ ッ シ ュ メ モ リ に あ る 要求 さ れ る すべてのデー タ タ イ プの詳細が表示 さ
れ ま す。
例
次に、さ ま ざ ま な show import webvpn コ マ ン ド に よ っ て表示 さ れ る WebVPN デー タ の例を示 し
ま す。
ciscoasa# show import webvpn plug
ssh
rdp
vnc
ciscoasa#
ciscoasa#show import webvpn plug detail
post GXN2BIGGOAOkBMibDQsMu2GWZ3Q= Tue, 29 Apr 2008 19:57:03 GMT
rdp fHeyReIOUwDCgAL9HdTsPnjdBOo= Tue, 15 Sep 2009 23:23:56 GMT
rdp2 shw8c22T2SsILLk6zyCd6H6VOz8= Wed, 11 Feb 2009 21:17:54 GMT
ciscoasa# show import webvpn customization
Template
DfltCustomization
ciscoasa#
ciscoasa# show import webvpn translation-table
Translation Tables' Templates:
AnyConnect
PortForwarder
banners
csd
customization
url-list
webvpn
Translation Tables:
ru
ua
ciscoasa#
customization
customization
ciscoasa# show import webvpn url-list
Template
No bookmarks are currently defined
ciscoasa#
ciscoasa# show import webvpn webcontent
No custom webcontent is loaded
ciscoasa#
関連 コ マ ン ド
コ マン ド
revert webvpn all
説明
ASA に現在存在す る すべての WebVPN デー タ お よ びプ ラ グ
イ ン を削除 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-41
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show interface
show interface
イ ン タ ー フ ェ イ ス 統計情報を表示す る には、特権 EXEC モー ド で show interface コ マ ン ド を使用
し ま す。
show interface [{physical_interface | redundantnumber}[.subinterface] | mapped_name |
interface_name | vlan number] [stats | detail]
構文の説明
detail
（オプシ ョ ン） イ ン タ ー フ ェ イ ス の詳細な情報を表示 し ま す。こ の情報
には、イ ン タ ー フ ェ イ ス が追加 さ れた順序、設定 さ れてい る 状態、実際
の状態、非対称ルーテ ィ ン グ の統計情報（asr-group コ マ ン ド に よ っ て非
対称ルーテ ィ ン グ が イ ネーブルにな っ てい る 場合）が含 ま れ ま す。すべ
て の イ ン タ ー フ ェ イ ス を表示す る と 、SSM 用の内部 イ ン タ ー フ ェ イ ス
が ASA 5500 シ リ ーズ適応型セ キ ュ リ テ ィ ア プ ラ イ ア ン ス に イ ン ス
ト ール さ れてい る 場合は、それ ら の イ ン タ ー フ ェ イ ス に関す る 情報が
表示 さ れ ま す。内部 イ ン タ ー フ ェ イ ス は、ユーザに よ る 設定は不可能で
す。情報はデバ ッ グ だけ を目的 と し てい ま す。
interface_name
（オプシ ョ ン）nameif コ マ ン ド 内に イ ン タ ー フ ェ イ ス 名のセ ッ ト を指定
し ま す。
mapped_name
（オプシ ョ ン）allocate-interface コ マ ン ド を使用 し て マ ッ ピ ン グ名を割
り 当て た場合、マルチ コ ン テ キ ス ト モー ド でその名前を指定 し ま す。
physical_interface
（オプシ ョ ン）gigabitethernet 0/1 の よ う な イ ン タ ー フ ェ イ ス ID を識別
し ま す。有効値につい ては、interface コ マ ン ド を参照 し て く だ さ い。
redundantnumber
（オプシ ョ ン）redundant1 の よ う な冗長 イ ン タ ー フ ェ イ ス ID を識別 し
ま す。
stats
（デ フ ォ ル ト ） イ ン タ ー フ ェ イ ス 情報お よ び統計情報を表示 し ま す。こ
の キー ワ ー ド はデ フ ォ ル ト で あ る ため、こ の キー ワ ー ド はオプ シ ョ ン
です。
subinterface
（オプシ ョ ン）論理サブ イ ン タ ー フ ェ イ ス を示す 1 ～ 4294967293 の整数
を指定 し ま す。
vlan number
（オプシ ョ ン）ASA 5505 適応型セ キ ュ リ テ ィ アプ ラ イ ア ン ス な ど、組み込
みス イ ッ チのあ る モデルでは、VLAN イ ン タ ーフ ェ イ ス を指定 し ます。
デフ ォル ト
いずれのオプ シ ョ ン も 識別 し ない場合、こ の コ マ ン ド はすべての イ ン タ ー フ ェ イ ス についての
基本的な統計情報を表示 し ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
ルーテ ッ ド
•
Yes
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-42
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
•
Yes
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show interface
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
7.0(1)
変更内容
7.0(4)
こ の コ マ ン ド に、4GE SSM イ ン タ ー フ ェ イ ス 用のサポー ト が追加 さ れ
ま し た。
7.2(1)
こ の コ マ ン ド に、ス イ ッ チ イ ン タ ー フ ェ イ ス 用のサポー ト が追加 さ れ
ま し た。
8.0(2)
こ の コ マ ン ド に、冗長 イ ン タ ーフ ェ イ ス用のサポー ト が追加 さ れま し た。
ま た、サブ イ ン タ ーフ ェ イ ス用の遅延が追加 さ れ ま し た。input reset drops
と output reset drops の 2 つの新 し いカ ウ ン タ が追加 さ れま し た。
8.2(1)
No buffer の数値が、ブ ロ ッ ク 割 り 当てか ら の失敗の数を示す よ う に変
更 さ れ ま し た。
8.6(1)
こ の コ マ ン ド に、ASA 5512-X ～ ASA 5555-X の共有管理 イ ン タ ー フ ェ
イ ス 、お よ び ソ フ ト ウ ェ ア モ ジ ュ ールの コ ン ト ロ ール プ レ ーン イ ン
タ ー フ ェ イ ス のサポー ト が追加 さ れ ま し た。管理 イ ン タ ー フ ェ イ ス は
show interface detail コ マ ン ド を使用 し て Internal-Data0/1 と し て表示 さ
れ、コ ン ト ロ ール プ レ ーン イ ン タ ー フ ェ イ ス は Internal-Control0/0 と し
て表示 さ れ ま す。
こ の コ マ ン ド は、新 し い イ ン タ ー フ ェ イ ス 番号付け方式 を取 り 入れ る よ
う に変更 さ れ、明示的に指定す る ための stats キー ワ ー ド 、お よ び detail
キー ワ ー ド が追加 さ れ ま し た。
1 つの イ ン タ ー フ ェ イ ス が複数の コ ン テ キ ス ト で共有 さ れてい る と き に、あ る コ ン テ キ ス ト で こ
の コ マ ン ド を入力 し た場合、ASA は現在の コ ン テ キ ス ト の統計情報だけ を表示 し ま す。物理 イ ン
タ ー フ ェ イ ス のシ ス テ ム実行 ス ペー ス 内で こ の コ マ ン ド を使用す る と 、ASA はすべての コ ン テ
キ ス ト について組み合わせた統計情報を表示 し ま す。
サブ イ ン タ ー フ ェ イ ス について表示 さ れ る 統計情報の数は、物理 イ ン タ ー フ ェ イ ス について表
示 さ れ る 統計情報の数のサブセ ッ ト です。
イ ン タ ー フ ェ イ ス 名は、シ ス テ ム実行 ス ペー ス では使用で き ま せん。こ れは、nameif コ マ ン ド は
コ ン テ キ ス ト 内だけで使用で き る ためです。同様に、allocate-interface コ マ ン ド を使用 し て イ ン
タ ー フ ェ イ ス ID を マ ッ ピ ン グ名にマ ッ ピ ン グ し た場合、そのマ ッ ピ ン グ名は コ ン テ キ ス ト 内だ
けで使用で き ま す。allocate-interface コ マ ン ド で visible キー ワ ー ド を設定 し た場合、ASA は
show interface コ マ ン ド の出力に イ ン タ ー フ ェ イ ス ID を表示 し ま す。
（注）
Hardware カ ウ ン ト と Traffic Statistics カ ウ ン ト では、送信 ま たは受信 さ れ る バ イ ト 数が異な り ま
す。
Hardware カ ウ ン ト では、こ の量はハー ド ウ ェ ア か ら 直接取得 さ れ、レ イ ヤ 2 パケ ッ ト のサ イ ズが
反映 さ れ ま す。一方、Traffic Statistics では、レ イ ヤ 3 パケ ッ ト のサ イ ズ が反映 さ れ ま す。
カ ウ ン ト の差は イ ン タ ー フ ェ イ ス カー ド ハー ド ウ ェ ア の設計に基づいて異な り ま す。
た と えば、フ ァ ス ト イ ーサネ ッ ト カー ド の場合、レ イ ヤ 2 カ ウ ン ト は イ ーサネ ッ ト ヘ ッ ダーを
含むため、ト ラ フ ィ ッ ク カ ウ ン ト よ り も 14 バ イ ト 大 き く な り ま す。ギ ガ ビ ッ ト イ ーサネ ッ ト
カー ド の場合、レ イ ヤ 2 カ ウ ン ト は イ ーサネ ッ ト ヘ ッ ダー と CRC の両方を含むため、ト ラ
フ ィ ッ ク カ ウ ン ト よ り も 18 バ イ ト 大 き く な り ま す。
出力の説明については、「例」を参照 し て く だ さ い。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-43
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show interface
例
次に、show interface コ マ ン ド の出力例を示 し ま す。
ciscoasa# show interface
Interface GigabitEthernet0/0 "outside", is up, line protocol is up
Hardware is i82546GB rev03, BW 1000 Mbps, DLY 1000 usec
Auto-Duplex(Full-duplex), Auto-Speed(100 Mbps)
MAC address 000b.fcf8.c44e, MTU 1500
IP address 10.86.194.60, subnet mask 255.255.254.0
1328522 packets input, 124426545 bytes, 0 no buffer
Received 1215464 broadcasts, 0 runts, 0 giants
0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort
9 L2 decode drops
124606 packets output, 86803402 bytes, 0 underruns
0 output errors, 0 collisions
0 late collisions, 0 deferred
0 input reset drops, 0 output reset drops
input queue (curr/max packets): hardware (0/7)
output queue (curr/max packets): hardware (0/13)
Traffic Statistics for "outside":
1328509 packets input, 99873203 bytes
124606 packets output, 84502975 bytes
524605 packets dropped
1 minute input rate 0 pkts/sec, 0 bytes/sec
1 minute output rate 0 pkts/sec, 0 bytes/sec
1 minute drop rate, 0 pkts/sec
5 minute input rate 0 pkts/sec, 0 bytes/sec
5 minute output rate 0 pkts/sec, 0 bytes/sec
5 minute drop rate, 0 pkts/sec
Interface GigabitEthernet0/1 "inside", is administratively down, line protocol is down
Hardware is i82546GB rev03, BW 1000 Mbps, DLY 1000 usec
Auto-Duplex, Auto-Speed
MAC address 000b.fcf8.c44f, MTU 1500
IP address 10.10.0.1, subnet mask 255.255.0.0
0 packets input, 0 bytes, 0 no buffer
Received 0 broadcasts, 0 runts, 0 giants
0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort
0 L2 decode drops
0 packets output, 0 bytes, 0 underruns
0 output errors, 0 collisions
0 late collisions, 0 deferred
0 input reset drops, 0 output reset drops
input queue (curr/max packets): hardware (0/0)
output queue (curr/max packets): hardware (0/0)
Traffic Statistics for "inside":
0 packets input, 0 bytes
0 packets output, 0 bytes
0 packets dropped
1 minute input rate 0 pkts/sec, 0 bytes/sec
1 minute output rate 0 pkts/sec, 0 bytes/sec
1 minute drop rate, 0 pkts/sec
5 minute input rate 0 pkts/sec, 0 bytes/sec
5 minute output rate 0 pkts/sec, 0 bytes/sec
5 minute drop rate, 0 pkts/sec
Interface GigabitEthernet0/2 "faillink", is administratively down, line protocol is down
Hardware is i82546GB rev03, BW 1000 Mbps, DLY 1000 usec
Auto-Duplex, Auto-Speed
Description: LAN/STATE Failover Interface
MAC address 000b.fcf8.c450, MTU 1500
IP address 192.168.1.1, subnet mask 255.255.255.0
0 packets input, 0 bytes, 0 no buffer
Received 0 broadcasts, 0 runts, 0 giants
0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort
0 L2 decode drops
0 packets output, 0 bytes, 0 underruns
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-44
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show interface
0 output errors, 0 collisions
0 late collisions, 0 deferred
0 input reset drops, 0 output reset drops
input queue (curr/max packets): hardware (0/0)
output queue (curr/max packets): hardware (0/0)
Traffic Statistics for "faillink":
0 packets input, 0 bytes
1 packets output, 28 bytes
0 packets dropped
1 minute input rate 0 pkts/sec, 0 bytes/sec
1 minute output rate 0 pkts/sec, 0 bytes/sec
1 minute drop rate, 0 pkts/sec
5 minute input rate 0 pkts/sec, 0 bytes/sec
5 minute output rate 0 pkts/sec, 0 bytes/sec
5 minute drop rate, 0 pkts/sec
Interface GigabitEthernet0/3 "", is administratively down, line protocol is down
Hardware is i82546GB rev03, BW 1000 Mbps, DLY 1000 usec
Auto-Duplex, Auto-Speed
Active member of Redundant5
MAC address 000b.fcf8.c451, MTU not set
IP address unassigned
0 packets input, 0 bytes, 0 no buffer
Received 0 broadcasts, 0 runts, 0 giants
0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort
0 L2 decode drops
0 packets output, 0 bytes, 0 underruns
0 output errors, 0 collisions
0 late collisions, 0 deferred
0 input reset drops, 0 output reset drops
input queue (curr/max packets): hardware (0/0)
output queue (curr/max packets): hardware (0/0)
Interface Management0/0 "", is administratively down, line protocol is down
Hardware is i82557, BW 100 Mbps, DLY 1000 usec
Auto-Duplex, Auto-Speed
Available but not configured via nameif
MAC address 000b.fcf8.c44d, MTU not set
IP address unassigned
0 packets input, 0 bytes, 0 no buffer
Received 0 broadcasts, 0 runts, 0 giants
0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort
0 L2 decode drops
0 packets output, 0 bytes, 0 underruns
0 output errors, 0 collisions, 0 interface resets
0 babbles, 0 late collisions, 0 deferred
0 lost carrier, 0 no carrier
input queue (curr/max packets): hardware (128/128) software (0/0)
output queue (curr/max packets): hardware (0/0) software (0/0)
Interface Redundant1 "", is down, line protocol is down
Redundancy Information:
Members unassigned
Interface Redundant5 "redundant", is administratively down, line protocol is down
Hardware is i82546GB rev03, BW 1000 Mbps, DLY 1000 usec
Auto-Duplex, Auto-Speed
MAC address 000b.fcf8.c451, MTU 1500
IP address 10.2.3.5, subnet mask 255.255.255.0
0 packets input, 0 bytes, 0 no buffer
Received 0 broadcasts, 0 runts, 0 giants
0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort
0 L2 decode drops
0 packets output, 0 bytes, 0 underruns
0 output errors, 0 collisions
0 late collisions, 0 deferred
0 input reset drops, 0 output reset drops
input queue (curr/max packets): hardware (0/0) software (0/0)
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-45
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show interface
output queue (curr/max packets): hardware (0/0) software (0/0)
Traffic Statistics for "redundant":
0 packets input, 0 bytes
0 packets output, 0 bytes
0 packets dropped
1 minute input rate 0 pkts/sec, 0 bytes/sec
1 minute output rate 0 pkts/sec, 0 bytes/sec
1 minute drop rate, 0 pkts/sec
5 minute input rate 0 pkts/sec, 0 bytes/sec
5 minute output rate 0 pkts/sec, 0 bytes/sec
5 minute drop rate, 0 pkts/sec
Redundancy Information:
Member GigabitEthernet0/3(Active), GigabitEthernet0/2
Last switchover at 15:15:26 UTC Oct 24 2006
Interface Redundant5.1 "", is down, line protocol is down
VLAN identifier none
Available but not configured with VLAN or via nameif
表 7-5 に、各 フ ィ ール ド の説明を示 し ま す。
表 7-5
show interface の各フ ィ ール ド
フ ィ ール ド
説明
Interface ID
イ ン タ ー フ ェ イ ス ID。コ ン テ キ ス ト 内では、allocate-interface コ マ ン ド で
visible キー ワ ー ド を設定 し ない限 り 、ASA はマ ッ ピ ン グ名（設定 さ れてい る
場合）を表示 し ま す。
“interface_name”
nameif コ マ ン ド で設定 さ れた イ ン タ ー フ ェ イ ス 名。シ ス テ ム実行 ス ペー ス
では、シ ス テ ム に名前を設定で き ないため、こ の フ ィ ール ド はブ ラ ン ク です。
名前を設定 し ない場合、Hardware 行の下に次の メ ッ セージが表示 さ れ ま す。
Available but not configured via nameif
is state
Line protocol is
state
VLAN identifier
管理状態は次の と お り です。
•
up： イ ン タ ー フ ェ イ ス はシ ャ ッ ト ダ ウ ン さ れてい ま せん。
•
administratively down： イ ン タ ー フ ェ イ ス は、shutdown コ マ ン ド を使用 し
て シ ャ ッ ト ダ ウ ン さ れてい ま す。
回線 ス テー タ ス は次の と お り です。
•
up：動作す る ケーブルがネ ッ ト ワ ー ク イ ン タ ー フ ェ イ ス に接続 さ れてい
ま す。
•
down：ケーブルが正 し く ないか、イ ン タ ー フ ェ イ ス コ ネ ク タ に接続 さ れ
てい ま せん。
サブ イ ン タ ー フ ェ イ ス の場合、VLAN ID。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-46
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show interface
表 7-5
show interface の各フ ィ ール ド （続き）
フ ィ ール ド
説明
Hardware
イ ン タ ー フ ェ イ ス の タ イ プ、最大帯域幅、遅延、デ ュ プ レ ッ ク ス 方式、お よ び
速度。リ ン ク がダ ウ ン し てい る 場合は、デ ュ プ レ ッ ク ス 方式 と 速度は設定値
が表示 さ れ ま す。リ ン ク が動作 し てい る 場合、こ れ ら の フ ィ ール ド には実際
の設定が カ ッ コ で囲 ま れて設定値 と と も に表示 さ れ ま す。次に、一般的な
ハー ド ウ ェ ア タ イ プ を示 し ま す。
•
i82542：PIX プ ラ ッ ト フ ォ ーム で使用 さ れ る Intel PCI フ ァ イ バ ギ ガ ビ ッ
ト カー ド
•
i82543：PIX プ ラ ッ ト フ ォ ーム で使用 さ れ る Intel PCI-X フ ァ イ バ ギ ガ
ビ ッ ト カー ド
•
i82546GB：ASA プ ラ ッ ト フ ォ ーム上で使用 さ れ る Intel PCI-X 銅線ギ ガ
ビッ ト
•
i82547GI：ASA プ ラ ッ ト フ ォ ーム上でバ ッ ク プ レ ーン と し て使用 さ れ る
Intel CSA 銅線ギ ガ ビ ッ ト
•
i82557：ASA プ ラ ッ ト フ ォ ーム上で使用 さ れ る Intel PCI 銅線 フ ァ ス ト
イ ーサネ ッ ト
•
i82559：PIX プ ラ ッ ト フ ォ ーム で使用 さ れ る Intel PCI 銅線 フ ァ ス ト イ ー
サネ ッ ト
•
VCS7380：SSM-4GE で使用 さ れ る Vitesse 4 ポー ト ギガ ビ ッ ト ス イ ッ チ
Media-type
（4GE SSM イ ン タ ー フ ェ イ ス の場合のみ） イ ン タ ー フ ェ イ ス が RJ-45 ま たは
SFP のいずれ と し て設定 さ れてい る か を示 し ま す。
message area
一部の状況で、メ ッ セージが表示 さ れ る 場合 も あ り ま す。次の例 を参照 し て
く だ さ い。
•
シ ス テ ム実行スペース で、次の メ ッ セージが表示 さ れ る場合があ り ます。
Available for allocation to a context
•
名前を設定 し ない場合、次の メ ッ セージが表示 さ れ ま す。
Available but not configured via nameif
•
イ ン タ ー フ ェ イ ス が冗長 イ ン タ ー フ ェ イ ス の メ ン バーの場合、次の メ ッ
セージ が表示 さ れ ま す。
Active member of Redundant5
MAC address
イ ン タ ー フ ェ イ ス の MAC ア ド レ ス 。
MTU
こ の イ ン タ ー フ ェ イ ス 上で許可 さ れ る パケ ッ ト の最大サ イ ズ（バ イ ト 単位）。
イ ン タ ー フ ェ イ ス 名を設定 し ない場合、こ の フ ィ ール ド には「MTU not set」
と 表示 さ れ ま す。
IP address
ip address コ マ ン ド を使用 し て設定 し たか、DHCP サーバか ら 受信 し た イ ン
タ ー フ ェ イ ス の IP ア ド レ ス 。シ ス テ ム実行 ス ペー ス では、シ ス テ ム に IP ア
ド レ ス を設定で き ないため、こ の フ ィ ール ド には「IP address unassigned」 と 表
示 さ れ ま す。
Subnet mask
IP ア ド レ ス のサブネ ッ ト マ ス ク 。
Packets input
こ の イ ン タ ー フ ェ イ ス で受信 し たパケ ッ ト の数。
Bytes
こ の イ ン タ ー フ ェ イ ス で受信 し たバ イ ト 数。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-47
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show interface
表 7-5
show interface の各フ ィ ール ド （続き）
フ ィ ール ド
No buffer
説明
ブ ロ ッ ク 割 り 当て か ら の失敗の数。
Received:
Broadcasts
Input errors
受信 し たブ ロ ー ド キ ャ ス ト の数。
次に示す タ イ プ を含めた入力エ ラ ーの総数。入力に関係す る 他のエ ラ ー も 入
力エ ラ ーの カ ウ ン ト が増加す る 原因にな り ま す。ま た、一部のデー タ グ ラ ム
は複数のエ ラ ーを含んでい る こ と も あ り ま す。し たが っ て、こ の合計数は、次
に示す タ イ プについて表示 さ れ る エ ラ ーの数を超え る こ と が あ り ま す。
Runts
最小のパケ ッ ト サ イ ズ（64 バ イ ト ） よ り も 小 さ いために廃棄 さ れたパケ ッ ト
の数。ラ ン ト は通常、コ リ ジ ョ ン に よ っ て発生 し ま す。不適切な配線や電気干
渉に よ っ て発生す る こ と も あ り ま す。
Giants
最大パケ ッ ト サ イ ズ を超え た ため廃棄 さ れ る パケ ッ ト の数。た と えば、1518
バ イ ト よ り も 大 き い イ ーサネ ッ ト パケ ッ ト はジ ャ イ ア ン ト と 見な さ れ ます。
CRC
巡回冗長検査エ ラ ーの数。ス テーシ ョ ン が フ レ ーム を送信す る と 、フ レ ーム
の末尾に CRC を付加 し ま す。こ の CRC は、フ レ ーム内のデー タ に基づ く ア
ル ゴ リ ズ ム か ら 生成 さ れ ま す。送信元 と 宛先の間で フ レ ーム が変更 さ れた場
合、ASA は CRC が一致 し ない こ と を通知 し ま す。CRC の数値が高い こ と は、
通常、コ リ ジ ョ ン の結果で あ る か、ス テーシ ョ ン が不良デー タ を送信す る こ
と が原因です。
Frame
フ レ ーム エ ラ ーの数。不良 フ レ ーム には、長 さ が正 し く ないパケ ッ ト や、フ
レ ーム チ ェ ッ ク サ ム が正 し く ないパケ ッ ト が あ り ま す。こ のエ ラ ーは通常、
コ リ ジ ョ ン ま たは イ ーサネ ッ ト デバ イ ス の誤動作が原因です。
Overrun
ASA のデー タ 処理能力 を入力 レ ー ト が超え た ため、ASA がハー ド ウ ェ ア
バ ッ フ ァ に受信 し たデー タ を処理で き なか っ た回数。
Ignored
こ の フ ィ ール ド は使用 さ れ ま せん。値は常に 0 です。
Abort
こ の フ ィ ール ド は使用 さ れ ま せん。値は常に 0 です。
L2 decode drops
名前が ま だ設定 さ れていないか（nameif コ マ ン ド ）、無効な VLAN ID を持つ
フ レ ーム が受信 さ れた ために ド ロ ッ プ し たパケ ッ ト の数。冗長 イ ン タ ー フ ェ
イ ス コ ン フ ィ ギ ュ レ ーシ ョ ン の ス タ ン バ イ イ ン タ ー フ ェ イ ス では、こ の イ
ン タ ー フ ェ イ ス に名前（nameif コ マ ン ド ）が設定 さ れていないため、カ ウ ン
タ が増加す る 可能性が あ り ま す。
Packets output
こ の イ ン タ ー フ ェ イ ス に送信 さ れたパケ ッ ト の数。
Bytes
こ の イ ン タ ー フ ェ イ ス に送信 さ れたバ イ ト の数。
Underruns
ASA が処理で き る よ り も 速 く ト ラ ン ス ミ ッ タ が稼働 し た回数。
Output Errors
設定 さ れた コ リ ジ ョ ン の最大数を超え た ため送信 さ れなか っ た フ レ ーム の
数。こ の カ ウ ン タ は、ネ ッ ト ワ ー ク ト ラ フ ィ ッ ク が多い場合にのみ増加 し
ま す。
Collisions
イ ーサネ ッ ト コ リ ジ ョ ン（単一お よ び複数の コ リ ジ ョ ン）が原因で再送信 さ
れた メ ッ セージ の数。こ れは通常、過渡に延長 し た LAN で発生 し ま す（ イ ー
サネ ッ ト ケーブル ま たは ト ラ ン シーバ ケーブルが長すぎ る 、ス テーシ ョ ン
間の リ ピ ー タ が 2 つ よ り も 多い、ま たはマルチポー ト ト ラ ン シーバの カ ス
ケー ド が多すぎ る 場合）。衝突す る パケ ッ ト は、出力パケ ッ ト に よ っ て 1 回だ
け カ ウ ン ト さ れ ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-48
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show interface
表 7-5
show interface の各フ ィ ール ド （続き）
フ ィ ール ド
説明
Interface resets
イ ン タ ーフ ェ イ ス が リ セ ッ ト さ れた回数。イ ン タ ーフ ェ イ ス で 3 秒間送信で
き ない場合、ASA は イ ン タ ーフ ェ イ ス を リ セ ッ ト し て送信を再開 し ます。こ
の間隔では、接続状態が維持 さ れ ま す。イ ン タ ーフ ェ イ ス の リ セ ッ ト は、イ ン
タ ーフ ェ イ ス がループバ ッ ク ま たはシ ャ ッ ト ダ ウ ンす る 場合 も 発生 し ま す。
Babbles
未使用。（「バブル」は、ト ラ ン ス ミ ッ タ が最長 フ レ ーム の送信に要 し た時間 よ
り も 長 く イ ン タ ー フ ェ イ ス に留 ま っ ていた こ と を意味 し ま す）。
Late collisions
通常の コ リ ジ ョ ン ウ ィ ン ド ウ の外側で コ リ ジ ョ ン が発生 し た ため、送信 さ
れな か っ た フ レ ーム の数。レ イ ト コ リ ジ ョ ン は、パケ ッ ト の送信中に遅れて
検出 さ れ る コ リ ジ ョ ン です。こ れは通常発生 し ま せん。2 つの イ ーサネ ッ ト
ホ ス ト が同時に通信 し よ う と し た場合、早期にパケ ッ ト が衝突 し て両者が
バ ッ ク オ フ す る か、2 番目の ホ ス ト が 1 番目の ホ ス ト の通信状態を確認 し て
待機 し ま す。
レ イ ト コ リ ジ ョ ン が発生す る と 、デバ イ ス は割 り 込みを行っ て イ ーサネ ッ
ト 上にパケ ッ ト を送信 し よ う と し ま すが、ASA はパケ ッ ト の送信を部分的
に完了 し てい ま す。ASA は、パケ ッ ト の最初の部分を保持す る バ ッ フ ァ を解
放 し た可能性が あ る ため、パケ ッ ト を再送 し ま せん。こ の こ と はあ ま り 問題
にな り ま せん。その理由は、ネ ッ ト ワ ーキ ン グ プ ロ ト コ ルはパケ ッ ト を再送
す る こ と で コ リ ジ ョ ン を処理す る 設計にな っ てい る ためです。ただ し 、レ イ
ト コ リ ジ ョ ン はネ ッ ト ワ ー ク に問題が存在す る こ と を示 し てい ま す。一般
的な問題は、リ ピ ー タ で接続 さ れた大規模ネ ッ ト ワ ー ク 、お よ び仕様の範囲
を超え て動作 し てい る イ ーサネ ッ ト ネ ッ ト ワ ー ク です。
Deferred
リ ン ク 上のア ク テ ィ ビ テ ィ が原因で送信前に保留 さ れた フ レ ーム の数。
input reset drops
リ セ ッ ト が発生 し た と き に RX リ ン グ で ド ロ ッ プ し たパケ ッ ト の数を カ ウ ン
ト し ます。
output reset drops
リ セ ッ ト が発生 し た と き に TX リ ン グで ド ロ ッ プ し たパケ ッ ト の数を カ ウ ン
ト し ます。
Rate limit drops
（4GE SSM イ ン タ ー フ ェ イ ス の場合だけ）ギ ガ ビ ッ ト 以外の速度で イ ン タ ー
フ ェ イ ス を設定 し て、設定に応 じ て 10 Mbps ま たは 100 Mbps を超え て送信
し よ う と し た場合に ド ロ ッ プ さ れたパケ ッ ト の数。
Lost carrier
送信中に搬送波信号が消失 し た回数。
No carrier
未使用。
Input queue
入力キ ュ ー内のパケ ッ ト の数（現行値 と 最大値）。
(curr/max packets):
Hardware
ハー ド ウ ェ ア キ ュ ー内のパケ ッ ト の数。
Software
ソ フ ト ウ ェ ア キ ュ ー内のパケ ッ ト の数。ギ ガ ビ ッ ト イ ーサネ ッ ト イ ン タ ー
フ ェ イ ス では使用で き ま せん。
Output queue
出力キ ュ ー内のパケ ッ ト の数（現行値 と 最大値）。
(curr/max packets):
Hardware
ハー ド ウ ェ ア キ ュ ー内のパケ ッ ト の数。
Software
ソ フ ト ウ ェ ア キ ュ ー内のパケ ッ ト の数。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-49
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show interface
表 7-5
show interface の各フ ィ ール ド （続き）
フ ィ ール ド
説明
input queue (blocks curr/low エ ン ト リ は、イ ン タ ーフ ェ イ ス の受信（入力）記述子 リ ン グ上の現在
free curr/low)
の ス ロ ッ ト お よ び使用可能な all-time-lowest ス ロ ッ ト の番号を示 し ま す。こ
れ ら は、メ イ ン CPU に よ っ て更新 さ れ る ため、all-time-lowest（ イ ン タ ーフ ェ
イ ス 統計情報が削除 さ れ る か、ま たはデバ イ ス が リ ロ ー ド さ れ る ま で）の水
準点はあ ま り 正確ではあ り ま せん。
output queue
(blocks free
curr/low)
curr/low エ ン ト リ は、イ ン タ ーフ ェ イ ス の送信（出力）記述子 リ ン グ上の現在
の ス ロ ッ ト お よ び使用可能な all-time-lowest ス ロ ッ ト の番号を示 し ま す。こ
れ ら は、メ イ ン CPU に よ っ て更新 さ れ る ため、all-time-lowest（ イ ン タ ーフ ェ
イ ス 統計情報が削除 さ れ る か、ま たはデバ イ ス が リ ロ ー ド さ れ る ま で）の水
準点はあ ま り 正確ではあ り ま せん。
Traffic Statistics:
受信、送信、ま たは ド ロ ッ プ し たパケ ッ ト の数。
Packets input
受信 し たパケ ッ ト の数 と バ イ ト の数。
Packets output 送信 し たパケ ッ ト の数 と バ イ ト の数。
Packets
dropped
ド ロ ッ プ し たパケ ッ ト の数。こ の カ ウ ン タ は通常、高速セ キ ュ リ テ ィ パ ス
（ASP）上で ド ロ ッ プ し たパケ ッ ト について増分 し ま す（た と えば、ア ク セ ス
リ ス ト 拒否が原因でパケ ッ ト を ド ロ ッ プ し た場合な ど ）。
イ ン タ ー フ ェ イ ス 上で ド ロ ッ プが発生す る 原因につい ては、show asp drop
コ マ ン ド を参照 し て く だ さ い。
1 minute input 過去 1 分間に受信 し たパケ ッ ト の数（パケ ッ ト /秒お よ びバ イ ト /秒）。
rate
1 minute
output rate
過去 1 分間に送信 し たパケ ッ ト の数（パケ ッ ト /秒お よ びバ イ ト /秒）。
1 minute drop 過去 1 分間に ド ロ ッ プ し たパケ ッ ト の数（パケ ッ ト /秒）。
rate
5 minute input 過去 5 分間に受信 し たパケ ッ ト の数（パケ ッ ト /秒お よ びバ イ ト /秒）。
rate
5 minute
output rate
過去 5 分間に送信 し たパケ ッ ト の数（パケ ッ ト /秒お よ びバ イ ト /秒）。
5 minute drop 過去 5 分間に ド ロ ッ プ し たパケ ッ ト の数（パケ ッ ト /秒）。
rate
Redundancy
Information:
冗長 イ ン タ ー フ ェ イ ス につい て、メ ン バー物理 イ ン タ ー フ ェ イ ス を示 し ま
す。ア ク テ ィ ブ イ ン タ ー フ ェ イ ス の場合は イ ン タ ー フ ェ イ ス ID の後に
「(Active)」 と 表示 さ れ ま す。
メ ン バーを ま だ割 り 当て てい ない場合、次の出力が表示 さ れ ま す。
Members unassigned
Last switchover
冗長 イ ン タ ー フ ェ イ ス の場合、ア ク テ ィ ブ イ ン タ ー フ ェ イ ス が ス タ ン バ イ
イ ン タ ー フ ェ イ ス に フ ェ ールオーバー し た時刻を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-50
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show interface
次に、ス イ ッ チ ポー ト を含む ASA 5505 上での show interface コ マ ン ド の出力例を示 し ま す。
ciscoasa# show interface
Interface Vlan1 "inside", is up, line protocol is up
Hardware is EtherSVI, BW 100 Mbps, DLY 100 usec
MAC address 00d0.2bff.449f, MTU 1500
IP address 1.1.1.1, subnet mask 255.0.0.0
Traffic Statistics for "inside":
0 packets input, 0 bytes
0 packets output, 0 bytes
0 packets dropped
1 minute input rate 0 pkts/sec, 0 bytes/sec
1 minute output rate 0 pkts/sec, 0 bytes/sec
1 minute drop rate, 0 pkts/sec
5 minute input rate 0 pkts/sec, 0 bytes/sec
5 minute output rate 0 pkts/sec, 0 bytes/sec
5 minute drop rate, 0 pkts/sec
Interface Ethernet0/0 "", is up, line protocol is up
Hardware is 88E6095, BW 100 Mbps, DLY 1000 usec
Auto-Duplex(Half-duplex), Auto-Speed(100 Mbps)
Available but not configured via nameif
MAC address 00d0.2bfd.6ec5, MTU not set
IP address unassigned
407 packets input, 53587 bytes, 0 no buffer
Received 103 broadcasts, 0 runts, 0 giants
0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort
0 L2 decode drops
43 switch ingress policy drops
0 packets output, 0 bytes, 0 underruns
0 output errors, 0 collisions, 0 interface resets
0 babbles, 0 late collisions, 0 deferred
0 lost carrier, 0 no carrier
0 rate limit drops
0 switch egress policy drops
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-51
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show interface
表 7-7 に、ASA 5505 適応型セ キ ュ リ テ ィ アプ ラ イ ア ン ス の ス イ ッ チ イ ン タ ーフ ェ イ ス な ど の ス
イ ッ チ イ ン タ ーフ ェ イ ス に対す る show interface コ マ ン ド の各フ ィ ール ド の説明を示 し ます。
show interface コ マ ン ド で も 表示 さ れ る フ ィ ール ド については、表 7-6 を参照 し て く だ さ い。
表 7-6
ス イ ッ チ イ ン タ ー フ ェ イ スについての show interface の各フ ィ ール ド
フ ィ ール ド
説明
switch ingress
policy drops
こ の ド ロ ッ プは通常、ポー ト が正 し く 設定 さ れてい ない と き に表示 さ れ ま
す。こ の ド ロ ッ プは、デ フ ォ ル ト ま たはユーザ設定の ス イ ッ チ ポー ト 設定の
結果 と し て ス イ ッ チ ポー ト 内でパケ ッ ト が正常に転送で き ない場合に増分
さ れ ま す。こ の ド ロ ッ プの原因 と し て、次の コ ン フ ィ ギ ュ レ ーシ ョ ン が考え
ら れ ま す。
•
nameif コ マ ン ド が VLAN イ ン タ ー フ ェ イ ス 上で設定 さ れていない。
（注）
switch egress
policy drops
同 じ VLAN 内の イ ン タ ー フ ェ イ ス に、nameif コ マ ン ド が設定 さ れて
いな か っ た場合で も 、VLAN 内の ス イ ッ チ ン グは正常で、こ の カ ウ ン
タ は増分 さ れ ま せん。
•
VLAN がシ ャ ッ ト ダ ウ ン し てい る 。
•
ア ク セ ス ポー ト で 802.1Q タ グ が付いたパケ ッ ト を受信 し た。
•
ト ラ ン ク ポー ト で許可 さ れない タ グ ま たは タ グ のないパケ ッ ト を受信
し た。
•
ASA が、イ ーサネ ッ ト キープ ア ラ イ ブ を持つ別のシ ス コ デバ イ ス に接
続 さ れてい る 。た と えば、Cisco IOS ソ フ ト ウ ェ ア では イ ン タ ー フ ェ イ ス
ヘル ス 状態を確認す る ために イ ーサネ ッ ト ループバ ッ ク パケ ッ ト を使
用 し ま す。こ のパケ ッ ト は、他のデバ イ ス に よ っ て受信 さ れ る ための も
のではな く 、パケ ッ ト を ただ送信で き る こ と に よ っ て、ヘル ス 状態が確
認 さ れ ま す。こ れ ら の タ イ プのパケ ッ ト は ス イ ッ チ ポー ト で ド ロ ッ プ
さ れ、カ ウ ン タ が増分 さ れ ま す。
現在使用 さ れてい ま せん。
次に、show interface detail コ マ ン ド の出力例 を示 し ま す。次に、すべての イ ン タ ー フ ェ イ ス （プ
ラ ッ ト フ ォ ーム に存在す る 場合は内部 イ ン タ ー フ ェ イ ス を含む）についての詳細な イ ン タ ー
フ ェ イ ス 統計情報お よ び非対称ルーテ ィ ン グ統計情報（asr-group コ マ ン ド で イ ネーブルに さ れ
てい る 場合）を表示す る 例を示 し ま す。
ciscoasa# show interface detail
Interface GigabitEthernet0/0 "outside", is up, line protocol is up
Hardware is i82546GB rev03, BW 1000 Mbps, DLY 1000 usec
Auto-Duplex(Full-duplex), Auto-Speed(100 Mbps)
MAC address 000b.fcf8.c44e, MTU 1500
IP address 10.86.194.60, subnet mask 255.255.254.0
1330214 packets input, 124580214 bytes, 0 no buffer
Received 1216917 broadcasts, 0 runts, 0 giants
0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort
9 L2 decode drops
124863 packets output, 86956597 bytes, 0 underruns
0 output errors, 0 collisions
0 late collisions, 0 deferred
input queue (curr/max packets): hardware (0/7)
output queue (curr/max packets): hardware (0/13)
Traffic Statistics for "outside":
1330201 packets input, 99995120 bytes
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-52
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show interface
124863 packets output, 84651382 bytes
525233 packets dropped
Control Point Interface States:
Interface number is 1
Interface config status is active
Interface state is active
Interface Internal-Data0/0 "", is up, line protocol is up
Hardware is i82547GI rev00, BW 1000 Mbps, DLY 1000 usec
(Full-duplex), (1000 Mbps)
MAC address 0000.0001.0002, MTU not set
IP address unassigned
6 packets input, 1094 bytes, 0 no buffer
Received 6 broadcasts, 0 runts, 0 giants
0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort
0 L2 decode drops, 0 demux drops
0 packets output, 0 bytes, 0 underruns
0 output errors, 0 collisions
0 late collisions, 0 deferred
input queue (curr/max packets): hardware (0/2) software (0/0)
output queue (curr/max packets): hardware (0/0) software (0/0)
Control Point Interface States:
Interface number is unassigned
...
表 7-7 に、show interface detail コ マ ン ド の各 フ ィ ール ド の説明を示 し ま す。show interface コ マ
ン ド で も 表示 さ れ る フ ィ ール ド については、表 7-6 を参照 し て く だ さ い。
表 7-7
show interface detail の各フ ィ ール ド
フ ィ ール ド
説明
Demux drops
（内部デー タ イ ン タ ー フ ェ イ ス のみ）ASA が SSM イ ン タ ー フ ェ イ ス か ら の
パケ ッ ト を逆多重化で き なか っ た ため ド ロ ッ プ し たパケ ッ ト の数。SSM イ
ン タ ー フ ェ イ ス はバ ッ ク プ レ ーン を介 し て ネ イ テ ィ ブ イ ン タ ー フ ェ イ ス と
通信 し 、すべて の SSM イ ン タ ー フ ェ イ ス か ら のパケ ッ ト はバ ッ ク プ レ ーン
上で多重化 さ れ ま す。
Control Point
Interface States:
Interface
number
デバ ッ グ に使用 さ れ る 0 か ら 始 ま る 番号で、こ の イ ン タ ー フ ェ イ ス が作成
さ れた順番を示 し ま す。
Interface
config status
管理状態は次の と お り です。
Interface state
•
active： イ ン タ ー フ ェ イ ス はシ ャ ッ ト ダ ウ ン さ れてい ま せん。
•
not active： イ ン タ ー フ ェ イ ス は shutdown コ マ ン ド で シ ャ ッ ト ダ ウ ン さ
れてい ま す。
イ ン タ ー フ ェ イ ス の実際の状態。こ の状態は通常、上記の config status と 一
致 し ま す。ハ イ アベ イ ラ ビ リ テ ィ を設定 し た場合、ASA は必要に応 じ て イ
ン タ ー フ ェ イ ス を動作状態 ま たはダ ウ ン状態にす る ため、不一致が生 じ る
可能性が あ り ま す。
Asymmetrical
Routing Statistics:
Received X1
packets
こ の イ ン タ ー フ ェ イ ス で受信 し た ASR パケ ッ ト の数。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-53
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show interface
表 7-7
show interface detail の各フ ィ ール ド （続き）
フ ィ ール ド
説明
Transmitted
X2 packets
こ の イ ン タ ー フ ェ イ ス で送信 し た ASR パケ ッ ト の数。
Dropped X3
packets
こ の イ ン タ ー フ ェ イ ス で ド ロ ッ プ し た ASR パケ ッ ト の数。パケ ッ ト は、パ
ケ ッ ト を転送 し よ う と し た と き に イ ン タ ー フ ェ イ ス がダ ウ ン状態の場合に
ド ロ ッ プ さ れ る こ と が あ り ま す。
次に、ASA 5512-X ～ ASA 5555-X 上の show interface detail コ マ ン ド の出力例 を示 し ま す。こ の
例では、ASA と ソ フ ト ウ ェ ア モ ジ ュ ールの両方の管理 0/0 イ ン タ ー フ ェ イ ス （「Internal-Data0/1」
と し て表示）の統計情報を組み合わせて示 し てい ま す。出力には、Internal-Control0/0 イ ン タ ー
フ ェ イ ス も 示 さ れてい ま す。こ れは、ソ フ ト ウ ェ ア モ ジ ュ ール と ASA 間の制御 ト ラ フ ィ ッ ク に
使用 さ れてい ま す。
Interface Internal-Data0/1 "ipsmgmt", is down, line protocol is up
Hardware is , BW Unknown Speed-Capability, DLY 1000 usec
(Full-duplex), (1000 Mbps)
Input flow control is unsupported, output flow control is unsupported
MAC address 0100.0100.0000, MTU not set
IP address 127.0.1.1, subnet mask 255.255.0.0
0 packets input, 0 bytes, 0 no buffer
Received 0 broadcasts, 0 runts, 0 giants
0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort
0 pause input, 0 resume input
0 L2 decode drops
182 packets output, 9992 bytes, 0 underruns
0 pause output, 0 resume output
0 output errors, 0 collisions, 0 interface resets
0 late collisions, 0 deferred
0 input reset drops, 0 output reset drops
input queue (blocks free curr/low): hardware (0/0)
output queue (blocks free curr/low): hardware (0/0)
Traffic Statistics for "ipsmgmt":
0 packets input, 0 bytes
0 packets output, 0 bytes
0 packets dropped
1 minute input rate 0 pkts/sec, 0 bytes/sec
1 minute output rate 0 pkts/sec, 0 bytes/sec
1 minute drop rate, 0 pkts/sec
5 minute input rate 0 pkts/sec, 0 bytes/sec
5 minute output rate 0 pkts/sec, 0 bytes/sec
5 minute drop rate, 0 pkts/sec
Control Point Interface States:
Interface number is 11
Interface config status is active
Interface state is active
Interface Internal-Control0/0 "cplane", is down, line protocol is up
Hardware is , BW Unknown Speed-Capability, DLY 1000 usec
(Full-duplex), (1000 Mbps)
Input flow control is unsupported, output flow control is unsupported
MAC address 0100.0100.0000, MTU not set
IP address 127.0.1.1, subnet mask 255.255.0.0
0 packets input, 0 bytes, 0 no buffer
Received 0 broadcasts, 0 runts, 0 giants
0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort
0 pause input, 0 resume input
0 L2 decode drops
182 packets output, 9992 bytes, 0 underruns
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-54
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show interface
0 pause output, 0 resume output
0 output errors, 0 collisions, 0 interface resets
0 late collisions, 0 deferred
0 input reset drops, 0 output reset drops
input queue (blocks free curr/low): hardware (0/0)
output queue (blocks free curr/low): hardware (0/0)
Traffic Statistics for "cplane":
0 packets input, 0 bytes
0 packets output, 0 bytes
0 packets dropped
1 minute input rate 0 pkts/sec, 0 bytes/sec
1 minute output rate 0 pkts/sec, 0 bytes/sec
1 minute drop rate, 0 pkts/sec
5 minute input rate 0 pkts/sec, 0 bytes/sec
5 minute output rate 0 pkts/sec, 0 bytes/sec
5 minute drop rate, 0 pkts/sec
Control Point Interface States:
Interface number is 11
Interface config status is active
Interface state is active
関連 コ マ ン ド
コ マン ド
allocate-interface
説明
clear interface
show interface コ マ ン ド の カ ウ ン タ を ク リ ア し ま す。
delay
イ ン タ ー フ ェ イ ス の遅延 メ ト リ ッ ク を変更 し ま す。
interface
イ ン タ ー フ ェ イ ス を設定 し 、イ ン タ ー フ ェ イ ス コ ン フ ィ ギ ュ レ ーシ ョ
ン モー ド を開始 し ま す。
イ ン タ ー フ ェ イ ス お よ びサブ イ ン タ ー フ ェ イ ス を セ キ ュ リ テ ィ コ ン
テ キ ス ト に割 り 当て ま す。
イ ン タ ー フ ェ イ ス 名を設定 し ま す。
show interface ip brief イ ン タ ー フ ェ イ ス の IP ア ド レ ス と ス テー タ ス を表示 し ま す。
nameif
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-55
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show interface ip brief
show interface ip brief
イ ン タ ー フ ェ イ ス の IP ア ド レ ス お よ び ス テー タ ス を表示す る には、特権 EXEC モー ド で show
interface ip brief コ マ ン ド を使用 し ま す。
show interface [physical_interface[.subinterface] | mapped_name | interface_name | vlan number]
ip brief
構文の説明
interface_name
（オプシ ョ ン）nameif コ マ ン ド 内に イ ン タ ー フ ェ イ ス 名のセ ッ ト を指定
し ま す。
mapped_name
（オプシ ョ ン）allocate-interface コ マ ン ド を使用 し て マ ッ ピ ン グ名を割
り 当て た場合、マルチ コ ン テ キ ス ト モー ド でその名前を指定 し ま す。
physical_interface
（オプシ ョ ン）gigabitethernet0/1 な ど の イ ン タ ー フ ェ イ ス ID を指定 し
ま す。有効値については、interface コ マ ン ド を参照 し て く だ さ い。
subinterface
（オプシ ョ ン）論理サブ イ ン タ ー フ ェ イ ス を示す 1 ～ 4294967293 の整数
を指定 し ま す。
vlan number
（オプシ ョ ン）ASA 5505 適応型セ キ ュ リ テ ィ アプ ラ イ ア ン ス な ど、組み込
みス イ ッ チのあ る モデルでは、VLAN イ ン タ ーフ ェ イ ス を指定 し ます。
デフ ォル ト
イ ン タ ー フ ェ イ ス を指定 し ない場合、ASA はすべての イ ン タ ー フ ェ イ ス を表示 し ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト 1
•
Yes
•
マルチ
シ ン グル
Yes
•
Yes
コ ン テキス ト シ ス テム
•
Yes
—
1. 管理 0/0 イ ン タ ー フ ェ イ ス ま たはサブ イ ン タ ー フ ェ イ ス だけで使用可能です。
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
7.0(1)
変更内容
7.2(1)
こ の コ マ ン ド に、VLAN イ ン タ ー フ ェ イ ス 、お よ び ト ラ ン ス ペア レ ン ト
モー ド での管理 0/0 イ ン タ ー フ ェ イ ス ま たはサブ イ ン タ ー フ ェ イ ス の
サポー ト が追加 さ れ ま し た。
こ の コ マ ン ド が追加 さ れ ま し た。
マルチ コ ン テ キ ス ト モー ド で、allocate-interface コ マ ン ド を使用 し て イ ン タ ー フ ェ イ ス ID を
マ ッ ピ ン グ し た場合、そのマ ッ ピ ン グ名 ま たは イ ン タ ー フ ェ イ ス 名は コ ン テ キ ス ト 内だけで指
定で き ま す。
出力表示の詳細については、「例」を参照 し て く だ さ い。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-56
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show interface ip brief
例
次に、show ip brief コ マ ン ド の出力例を示 し ま す。
ciscoasa# show interface ip brief
Interface
IP-Address
Control0/0
127.0.1.1
GigabitEthernet0/0
209.165.200.226
GigabitEthernet0/1
unassigned
GigabitEthernet0/2
10.1.1.50
GigabitEthernet0/3
192.168.2.6
Management0/0
209.165.201.3
OK?Method Status
Protocol
YES CONFIG up
up
YES CONFIG up
up
YES unset
administratively down down
YES manual administratively down down
YES DHCP
administratively down down
YES CONFIG up
表 7-8 に、各 フ ィ ール ド の説明を示 し ま す。
表 7-8
show interface ip brief の各フ ィ ール ド
フ ィ ール ド
Interface
allocate-interface コ マ ン ド を使用 し て設定 し た場合の、マルチ コ ン テ キ ス ト
モー ド での イ ン タ ーフ ェ イ ス ID ま たはマ ッ ピ ン グ名。すべての イ ン タ ー
フ ェ イ ス を表示す る と 、AIP SSM の内部 イ ン タ ーフ ェ イ ス が ASA に イ ン ス
ト ール さ れてい る 場合は、それ ら の イ ン タ ーフ ェ イ ス に関す る 情報が表示 さ
れ ま す。内部 イ ン タ ーフ ェ イ ス は、ユーザに よ る 設定は不可能です。情報はデ
バ ッ グだけ を目的 と し てい ま す。
IP-Address
イ ン タ ー フ ェ イ ス の IP ア ド レ ス 。
OK?
こ の列は現在使用 さ れてお ら ず、常に「Yes」 と 表示 さ れ ま す。
Method
イ ン タ ー フ ェ イ ス が IP ア ド レ ス を受信 し た方法。値は次の と お り です。
Status
Protocol
関連 コ マ ン ド
説明
コ マン ド
allocate-interface
interface
ip address
nameif
show interface
•
unset：IP ア ド レ ス は設定 さ れてい ま せん。
•
manual：実行 コ ン フ ィ ギ ュ レ ーシ ョ ン を設定 し ま し た。
•
CONFIG：ス タ ー ト ア ッ プ コ ン フ ィ ギ ュ レーシ ョ ン か ら ロ ー ド し ま し た。
•
DHCP：DHCP サーバか ら 受信 し ま し た。
管理状態は次の と お り です。
•
up： イ ン タ ー フ ェ イ ス はシ ャ ッ ト ダ ウ ン さ れてい ま せん。
•
administratively down： イ ン タ ー フ ェ イ ス は、shutdown コ マ ン ド を使用 し
て シ ャ ッ ト ダ ウ ン さ れてい ま す。
回線 ス テー タ ス は次の と お り です。
•
up：動作す る ケーブルがネ ッ ト ワ ー ク イ ン タ ー フ ェ イ ス に接続 さ れてい
ま す。
•
down：ケーブルが正 し く ないか、イ ン タ ー フ ェ イ ス コ ネ ク タ に接続 さ れ
てい ま せん。
説明
イ ン タ ー フ ェ イ ス お よ びサブ イ ン タ ー フ ェ イ ス を セ キ ュ リ テ ィ コ ン テ
キ ス ト に割 り 当て ま す。
イ ン タ ー フ ェ イ ス を設定 し 、イ ン タ ー フ ェ イ ス コ ン フ ィ ギ ュ レ ーシ ョ
ン モー ド を開始 し ま す。
イ ン タ ー フ ェ イ ス の IP ア ド レ ス 、ま たは ト ラ ン ス ペア レ ン ト フ ァ イ ア
ウ ォ ールの管理 IP ア ド レ ス を設定 し ま す。
イ ン タ ー フ ェ イ ス 名を設定 し ま す。
イ ン タ ー フ ェ イ ス の実行時 ス テー タ ス と 統計情報を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-57
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show inventory
show inventory
製品 ID（PID）、バージ ョ ン ID（VID）、お よ びシ リ アル番号（SN）が割 り 当て ら れてい る ネ ッ ト ワ ー
キ ン グ デバ イ ス に イ ン ス ト ール さ れてい る すべてのシ ス コ 製品に関す る 情報を表示す る には、
ユーザ EXEC モー ド ま たは特権 EXEC モー ド で show inventory コ マ ン ド を使用 し ま す。
show inventory [mod_id]
構文の説明
mod_id
デフ ォル ト
項目の イ ンベン ト リ を表示す る ス ロ ッ ト を指定 し ない場合は、すべてのモ ジ ュ ール（電源モ
ジ ュ ール を含む）の イ ンベン ト リ 情報が表示 さ れ ま す。
コ マ ン ド モー ド
次の表は、こ の コ マ ン ド を入力で き る モー ド を示 し てい ま す。
（オプシ ョ ン）モ ジ ュ ール ID ま たは ス ロ ッ ト 番号（0 ～ 3）を指定 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト
シ ン グル
マルチ
コ ン テキス ト シ ス テム
特権 EXEC
•
Yes
•
Yes
—
—
•
Yes
ユーザ EXEC
•
Yes
•
Yes
—
—
•
Yes
リ リ ース
7.0(1)
変更内容
8.4(2)
SSP の出力が追加 さ れ ま し た。さ ら に、デ ュ アル SSP イ ン ス ト ールのサ
ポー ト が追加 さ れ ま し た。
8.6(1)
ASA 5512-X、5515-X、5525-X、5545-X お よ び 5555-X（シ ャ ーシ、冗長電
源、I/O 拡張カー ド ）の出力が追加 さ れ ま し た。
9.1(1)
ASA CX モ ジ ュ ールの出力が追加 さ れ ま し た。
細かい編集上の変更。
show inventory コ マ ン ド は、各シ ス コ 製品についての イ ンベン ト リ 情報を UDI 形式で取得お よ
び表示 し ま す。UDI 形式 と は、製品 ID（PID）、バージ ョ ン番号（VID）、お よ びシ リ アル番号（SN） と
い う 3 つの別個のデー タ 要素の組み合わせです。
PID は、製品の注文に使用す る 名前です。過去には、「製品名」 ま たは「部品番号」 と 呼ばれてい ま し
た。こ れは、正確な交換部品を注文す る ために使用す る ID です。
VID は製品のバージ ョ ン です。製品が変更 さ れ る と 、VID は、製品の変更通知を管理す る 業界ガ
イ ド ラ イ ン で あ る Telcordia GR-209-CORE か ら 定めた厳格なプ ロ セ ス に従っ て増分 さ れ ま す。
SN はベン ダー固有の製品の通 し 番号です。それぞれの製品には工場で割 り 当て た独自のシ リ ア
ル番号が あ り 、現場では変更で き ま せん。シ リ アル番号は、製品の個別の特定の イ ン ス タ ン ス を
識別す る ための手段です。シ リ アル番号は、デバ イ ス の さ ま ざ ま な コ ン ポーネ ン ト に応 じ て その
長 さ が異な る 場合が あ り ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-58
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show inventory
UDI では各製品を エ ン テ ィ テ ィ と 呼び ま す。シ ャ ーシ な ど の一部のエ ン テ ィ テ ィ には、ス ロ ッ ト
の よ う なサブエ ン テ ィ テ ィ が あ り ま す。各エ ン テ ィ テ ィ は、シ ス コ エ ン テ ィ テ ィ ご と に階層的に
配置 さ れた論理的な表示順で別々の行に表示 さ れ ま す。
オプシ ョ ン を指定せずに show inventory コ マ ン ド を使用す る と 、ネ ッ ト ワ ーキ ン グ デバ イ ス に取
り 付け ら れてお り 、PID が割 り 当て ら れてい る シ ス コ エ ン テ ィ テ ィ の リ ス ト が表示 さ れ ま す。
シ ス コ エ ン テ ィ テ ィ に PID が割 り 当て ら れていない場合、そのエ ン テ ィ テ ィ は取得 ま たは表示
さ れ ま せん。
（注）
2 つの SSP が同 じ シ ャ ーシに取 り 付け ら れてい る 場合は、モジ ュ ールの番号がシ ャ ーシ内でのモ
ジ ュ ールの物理的な場所を示 し ま す。ス ロ ッ ト 0 に取 り 付け ら れた SSP が、常にシ ャ ーシ マ ス
タ ー と な り ま す。セ ン サーは、SSP が関連付け ら れてい る 場合にのみ、出力に表示 さ れ ます。
出力内の用語 module は、物理 ス ロ ッ ト と 同等です。SSP 自体の説明においては、物理 ス ロ ッ ト 0 に
取 り 付け ら れてい る 場合には出力に module: 0、それ以外の場合は module: 1 が含 ま れ ま す。タ ー
ゲ ッ ト SSP がシ ャ ーシ マ ス タ ーで あ る 場合、show inventory コ マ ン ド の出力には電源や冷却フ ァ
ン が含 ま れ ま す。それ以外の場合、こ れ ら の コ ン ポーネ ン ト は省略 さ れ ま す。
ASA 5500-X シ リ ーズのハー ド ウ ェ ア上の制限に よ り 、シ リ アル番号が表示 さ れない場合があ り ま
す。こ れ ら のモデルの PCI-E I/O（NIC）オプシ ョ ン カー ド の UDI 表示では、カー ド タ イ プは 2 つの
みですが、出力はシ ャ ーシ タ イ プに応 じ て 6 通 り にな り ます。こ れは、指定 さ れたシ ャ ーシに応 じ
て異な る PCI-E ブ ラ ケ ッ ト アセ ンブ リ が使用 さ れ る ためです。次に、各 PCI-E I/O カー ド アセ ンブ
リ について予想 さ れ る 出力を示 し ます。た と えば、Silicom SFP NIC カー ド が検出 さ れた場合、UDI
表示は こ のカー ド が取 り 付け ら れてい る デバ イ ス に よ っ て決定 さ れ ます。VID お よ び S/N の値は
N/A です。こ れは、こ れ ら の値が電子的に格納 さ れていないためです。
ASA 5512-X ま たは 5515-X 内の 6 ポー ト SFP イ ーサネ ッ ト NIC カー ド の場合：
Name: "module1", DESCR: "ASA 5512-X/5515-X Interface Card 6-port GE SFP, SX/LX"
PID: ASA-IC-6GE-SFP-A
, VID: N/A, SN: N/A
ASA 5525-X 内の 6 ポー ト SFP イ ーサネ ッ ト NIC カー ド の場合：
Name: "module1", DESCR: "ASA 5525-X Interface Card 6-port GE SFP, SX/LX"
PID: ASA-IC-6GE-SFP-B
, VID: N/A, SN: N/A
ASA 5545-X ま たは 5555-X 内の 6 ポー ト SFP イ ーサネ ッ ト NIC カー ド の場合：
Name: "module1", DESCR: "ASA 5545-X/5555-X Interface Card 6-port GE SFP, SX/LX"
PID: ASA-IC-6GE-SFP-C
, VID: N/A, SN: N/A
ASA 5512-X ま たは 5515-X 内の 6 ポー ト 銅線 イ ーサネ ッ ト NIC カー ド の場合：
Name: "module1", DESCR: "ASA 5512-X/5515-X Interface Card 6-port 10/100/1000, RJ-45"
PID: ASA-IC-6GE-CU-A
, VID: N/A, SN: N/A
ASA 5525-X 内の 6 ポー ト 銅線 イ ーサネ ッ ト NIC カー ド の場合：
Name: "module1", DESCR: "ASA 5525-X Interface Card 6-port 10/100/1000, RJ-45"
PID: ASA-IC-6GE-CU-B
, VID: N/A, SN: N/A
ASA 5545-X ま たは 5555-X 内の 6 ポー ト 銅線 イ ーサネ ッ ト NIC カー ド の場合：
Name: "module1", DESCR: "ASA 5545-X/5555-X Interface Card 6-port 10/100/1000, RJ-45"
PID: ASA-IC-6GE-CU-C
, VID: N/A, SN: N/A
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-59
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show inventory
例
次に、キー ワ ー ド や引数を指定 し ていない show inventory コ マ ン ド の出力例を示 し ま す。こ の出
力例は、ASA に取 り 付け ら れてい る 、PID が割 り 当て ら れてい る 各シ ス コ エ ン テ ィ テ ィ の リ ス ト
を示 し てい ま す（ASA CX モ ジ ュ ール用に使用 さ れてい る ス ト レ ージ デバ イ ス を含む）。
ciscoasa> show inventory
Name: "Chassis", DESCR: "ASA 5555-X with SW, 8 GE Data, 1 GE Mgmt"
PID: ASA5555
, VID: V01
, SN: FGL170441BU
Name: "power supply 1", DESCR: "ASA 5545-X/5555-X AC Power Supply"
PID: ASA-PWR-AC
, VID: N/A
, SN: 2CS1AX
Name: "Storage Device 1", DESCR: "Micron 128 GB SSD MLC, Model Number: C400-MTFDDAC128MAM"
PID: N/A
, VID: N/A
, SN: MXA174201RR
次に、デ ュ アル SSP イ ン ス ト ールのシ ャ ーシ マ ス タ ー上の show inventory コ マ ン ド の出力例を
示 し ま す。
ciscoasa(config)# show inventory
Name: "module 0", DESCR: "ASA 5585-X Security Services Processor-40 w 6GE,4 SFP+"
PID: ASA5585-SSP-40
, VID: V01
, SN: JAF1436ACLJ
Name: "Chassis", DESCR: "ASA 5585-X"
PID: ASA5585
, VID: V01
, SN: 123456789AB
Name: "fan", DESCR: "ASA 5585-X Fan Module"
PID: ASA5585-FAN
, VID: V01
, SN: POG1434000G
Name: "power supply 0", DESCR: "ASA 5585-X AC Power Supply"
PID: ASA5585-PWR-AC
, VID: V01
, SN: POG1434002K
表 7-9 に、こ の出力で表示 さ れ る フ ィ ール ド について説明 し ま す。
表 7-9
関連 コ マ ン ド
show inventory のフ ィ ール ド の説明
フ ィ ール ド
説明
Name
シ ス コ エ ン テ ィ テ ィ に割 り 当て ら れた物理名（テ キ ス ト ス ト リ ン グ）。た
と えば、コ ン ソ ール、SSP、ま たは「1」な ど の簡易 コ ン ポーネ ン ト 番号（ポー
ト ま たはモ ジ ュ ールの番号）な ど 、デバ イ ス の物理 コ ン ポーネ ン ト 命名構
文に応 じ て異な り ま す。RFC 2737 の entPhysicalName MIB 変数に相当 し ま
す。
DESCR
オブジ ェ ク ト を特徴付け る シ ス コ エ ン テ ィ テ ィ の物理的な説明。RFC
2737 の entPhysicalDesc MIB 変数に相当 し ま す。
PID
エ ン テ ィ テ ィ 製品 ID。RFC 2737 の entPhysicalModelName MIB 変数に相当
し ま す。
VID
エ ン テ ィ テ ィ のバージ ョ ン番号。RFC 2737 の entPhysicalHardwareRev MIB
変数に相当 し ま す。
SN
エ ン テ ィ テ ィ のシ リ アル番号。RFC 2737 の entPhysicalSerialNum MIB 変数
に相当 し ま す。
コ マン ド
show diag
説明
show tech-support
ルー タ が問題を報告 し た と き に、ルー タ に関す る 一般情報を表示 し ま す。
ネ ッ ト ワ ーキ ン グ デバ イ ス の コ ン ト ロ ー ラ 、イ ン タ ー フ ェ イ ス プ ロ セ ッ
サ、お よ びポー ト ア ダプ タ について の診断情報を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-60
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show ip address
show ip address
イ ン タ ー フ ェ イ ス IP ア ド レ ス （ ト ラ ン ス ペア レ ン ト モー ド の場合は管理 IP ア ド レ ス ）を表示す
る には、特権 EXEC モー ド で show ip address コ マ ン ド を使用 し ま す。
show ip address [physical_interface[.subinterface] | mapped_name | interface_name |
vlan number]
構文の説明
interface_name
（オプシ ョ ン）nameif コ マ ン ド 内に イ ン タ ー フ ェ イ ス 名のセ ッ ト を指
定 し ま す。
mapped_name
（オプシ ョ ン）allocate-interface コ マ ン ド を使用 し て マ ッ ピ ン グ名を割
り 当て た場合、マルチ コ ン テ キ ス ト モー ド でその名前を指定 し ま す。
physical_interface
（オプシ ョ ン）gigabitethernet0/1 な ど の イ ン タ ー フ ェ イ ス ID を指定 し
ま す。有効値につい ては、interface コ マ ン ド を参照 し て く だ さ い。
subinterface
（オプシ ョ ン）論理サブ イ ン タ ー フ ェ イ ス を示す 1 ～ 4294967293 の整
数を指定 し ま す。
vlan number
（オプシ ョ ン）ASA 5505 適応型セ キ ュ リ テ ィ ア プ ラ イ ア ン ス な ど 、組み
込み ス イ ッ チの あ る モデルでは、VLAN イ ン タ ー フ ェ イ ス を指定 し ま
す。
デフ ォル ト
イ ン タ ー フ ェ イ ス を指定 し ない場合、ASA はすべての イ ン タ ー フ ェ イ ス IP ア ド レ ス を表示 し
ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
リ リ ース
7.2(1)
ルーテ ッ ド
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド に、VLAN イ ン タ ー フ ェ イ ス 用のサポー ト が追加 さ れ ま
し た。
こ の コ マ ン ド は、ハ イ アベ イ ラ ビ リ テ ィ を設定す る と き のためのプ ラ イ マ リ IP ア ド レ ス （表示
では「System」 と 記載 さ れ る ） と 現在の IP ア ド レ ス を表示 し ま す。ユ ニ ッ ト がア ク テ ィ ブの場合、
シ ス テ ム IP ア ド レ ス と 現在の IP ア ド レ ス は一致 し ま す。ユ ニ ッ ト が ス タ ン バ イ の場合、現在の
IP ア ド レ ス には ス タ ン バ イ ア ド レ ス が表示 さ れ ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-61
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show ip address
例
次に、show ip address コ マ ン ド の出力例 を示 し ま す。
ciscoasa# show ip address
System IP Addresses:
Interface
Name
GigabitEthernet0/0
mgmt
GigabitEthernet0/1
inside
GigabitEthernet0/2.40
outside
GigabitEthernet0/3
dmz
Current IP Addresses:
Interface
Name
GigabitEthernet0/0
mgmt
GigabitEthernet0/1
inside
GigabitEthernet0/2.40
outside
GigabitEthernet0/3
dmz
IP address
10.7.12.100
10.1.1.100
209.165.201.2
209.165.200.225
Subnet mask
255.255.255.0
255.255.255.0
255.255.255.224
255.255.255.224
Method
CONFIG
CONFIG
DHCP
manual
IP address
10.7.12.100
10.1.1.100
209.165.201.2
209.165.200.225
Subnet mask
255.255.255.0
255.255.255.0
255.255.255.224
255.255.255.224
Method
CONFIG
CONFIG
DHCP
manual
表 7-10 に、各 フ ィ ール ド の説明を示 し ま す。
表 7-10
関連 コ マ ン ド
show ip address の各フ ィ ール ド
フ ィ ール ド
説明
Interface
allocate-interface コ マ ン ド を使用 し て設定 し た場合の、マルチ コ ン テ キ ス ト
モー ド での イ ン タ ー フ ェ イ ス ID ま たはマ ッ ピ ン グ名。
Name
nameif コ マ ン ド で設定 さ れた イ ン タ ー フ ェ イ ス 名。
IP address
イ ン タ ー フ ェ イ ス の IP ア ド レ ス 。
Subnet mask
IP ア ド レ ス のサブネ ッ ト マ ス ク 。
Method
イ ン タ ー フ ェ イ ス が IP ア ド レ ス を受信 し た方法。値は次の と お り です。
•
unset：IP ア ド レ ス は設定 さ れてい ま せん。
•
manual：実行 コ ン フ ィ ギ ュ レ ーシ ョ ン を設定 し ま し た。
•
CONFIG：ス タ ー ト ア ッ プ コ ン フ ィ ギ ュ レーシ ョ ン か ら ロ ー ド し ま し た。
•
DHCP：DHCP サーバか ら 受信 し ま し た。
コ マン ド
allocate-interface
説明
interface
イ ン タ ー フ ェ イ ス を設定 し 、イ ン タ ー フ ェ イ ス コ ン フ ィ ギ ュ レ ーシ ョ
ン モー ド を開始 し ま す。
nameif
イ ン タ ー フ ェ イ ス 名を設定 し ま す。
イ ン タ ー フ ェ イ ス お よ びサブ イ ン タ ー フ ェ イ ス を セ キ ュ リ テ ィ コ ン
テ キ ス ト に割 り 当て ま す。
イ ン タ ー フ ェ イ ス の実行時 ス テー タ ス と 統計情報を表示 し ま す。
show interface ip brief イ ン タ ー フ ェ イ ス の IP ア ド レ ス と ス テー タ ス を表示 し ま す。
show interface
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-62
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show ip address dhcp
show ip address dhcp
イ ン タ ー フ ェ イ ス に対す る DHCP リ ー ス ま たはサーバに関す る 詳細情報を表示す る には、特権
EXEC モー ド で show ip address dhcp コ マ ン ド を使用 し ま す。
show ip address {physical_interface[.subinterface] | mapped_name | interface_name} dhcp
{lease | server}
show ip address {physical_interface[.subinterface] | mapped_name | interface_name} dhcp lease
{proxy | server} {summary}
構文の説明
interface_name
nameif コ マ ン ド を使用 し て設定 さ れた イ ン タ ー フ ェ イ ス 名を指定 し
ま す。
lease
DHCP リ ー ス に関す る 情報を表示 し ま す。
mapped_name
マルチ コ ン テ キ ス ト モー ド で、マ ッ ピ ン グ名を allocate-interface コ マ
ン ド を使用 し て割 り 当て た場合、その名前を指定 し ま す。
physical_interface
gigabitethernet0/1 な ど の イ ン タ ー フ ェ イ ス ID を指定 し ま す。有効値に
ついては、interface コ マ ン ド を参照 し て く だ さ い。
proxy
IPL テーブル内のプ ロ キ シ エ ン ト リ を表示 し ま す。
server
IPL テーブル内のサーバ エ ン ト リ を表示 し ま す。
subinterface
論理サブ イ ン タ ーフ ェ イ ス を示す 1 ～ 4294967293 の整数を指定 し ます。
summary
エ ン ト リ の要約を表示 し ま す。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト 1
•
Yes
—
マルチ
シ ン グル
•
Yes
コ ン テキス ト シ ス テム
•
Yes
—
1. 管理 0/0 イ ン タ ー フ ェ イ ス ま たはサブ イ ン タ ー フ ェ イ ス だけで使用可能です。
コ マ ン ド 履歴
リ リ ース
7.0(1)
変更内容
7.2(1)
こ の コ マ ン ド に、VLAN イ ン タ ー フ ェ イ ス 、お よ び ト ラ ン ス ペア レ ン ト
モー ド での管理 0/0 イ ン タ ー フ ェ イ ス ま たはサブ イ ン タ ー フ ェ イ ス の
サポー ト が追加 さ れ ま し た。
9.1(4)
こ の コ マ ン ド は、新 し いサーバ機能に対応す る よ う に proxy お よ び
summary キー ワ ー ド が含 ま れ る よ う に変更 さ れ ま し た。
こ の コ マ ン ド は、新 し いサーバ機能に対応す る よ う に lease お よ び
server キー ワ ー ド が追加 さ れ ま し た。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-63
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show ip address dhcp
使用上のガイ ド ラ イ ン
出力の説明については、「例」を参照 し て く だ さ い。
例
次に、show ip address dhcp lease コ マ ン ド の出力例を示 し ま す。
ciscoasa# show ip address outside dhcp lease
Temp IP Addr:209.165.201.57 for peer on interface:outside
Temp sub net mask:255.255.255.224
DHCP Lease server:209.165.200.225, state:3 Bound
DHCP Transaction id:0x4123
Lease:259200 secs, Renewal:129600 secs, Rebind:226800 secs
Temp default-gateway addr:209.165.201.1
Temp ip static route0: dest 10.9.0.0 router 10.7.12.255
Next timer fires after:111797 secs
Retry count:0, Client-ID:cisco-0000.0000.0000-outside
Proxy: TRUE Proxy Network: 10.1.1.1
Hostname: device1
表 7-11 に、各 フ ィ ール ド の説明を示 し ま す。
表 7-11
show ip address dhcp lease の各フ ィ ール ド
フ ィ ール ド
説明
Temp IP Addr
イ ン タ ー フ ェ イ ス に割 り 当て ら れてい る IP ア ド レ ス 。
Temp sub net mask
イ ン タ ー フ ェ イ ス に割 り 当て ら れてい る サブネ ッ ト マ ス ク 。
DHCP Lease server
DHCP サーバ ア ド レ ス 。
state
DHCP リ ー ス の状態で、次の と お り です。
DHCP transaction id
•
Initial：初期化状態で、ASA が リ ー ス を取得す る プ ロ セ ス を開始
し ま す。こ の状態は、リ ー ス が終了 し たか、リ ー ス のネ ゴ シエー
シ ョ ン に失敗 し た と き に も 表示 さ れ ま す。
•
Selecting：ASA は 1 つ以上の DHCP サーバか ら DHCPOFFER
メ ッ セージ を受信す る こ と を待機 し てお り 、メ ッ セージ を選択
で き ま す。
•
Requesting：ASA は、要求を送信 し た送信先サーバか ら の応答
を待機 し てい ま す。
•
Purging： ク ラ イ ア ン ト が IP ア ド レ ス を解放 し たか、他のエ ラ ー
が発生 し た ため、ASA は リ ー ス を削除 し ま す。
•
Bound：ASA は有効な リ ース を保持 し 、正常に動作 し てい ます。
•
Renewing：ASA は リ ー ス を更新 し よ う と し てい ま す。
DHCPREQUEST メ ッ セージ を現在の DHCP サーバに定期的に
送信 し 、応答を待機 し ま す。
•
Rebinding：ASA は元のサーバの リ ー ス を更新す る こ と に失敗
し た ため、いずれかのサーバか ら 応答を受け取 る か リ ー ス が終
了す る ま で DHCPREQUEST メ ッ セージ を送信 し ま す。
•
Holddown：ASA は リ ース を削除す る プ ロ セ ス を開始 し ま し た。
•
Releasing：ASA は IP ア ド レ ス が不要にな っ た こ と を示す リ
リ ー ス メ ッ セージ を サーバに送信 し ま す。
ク ラ イ ア ン ト に よ っ て選択 さ れ、要求 メ ッ セージ を関連付け る ため
に ク ラ イ ア ン ト と サーバに よ っ て使用 さ れ る 乱数。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-64
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show ip address dhcp
表 7-11
show ip address dhcp lease の各フ ィ ール ド （続き）
フ ィ ール ド
説明
Lease
DHCP サーバに よ っ て指定 さ れ る 、イ ン タ ー フ ェ イ ス が こ の IP ア
ド レ ス を使用で き る 時間の長 さ 。
Renewal
イ ン タ ー フ ェ イ ス が こ の リ ー ス を自動的に更新 し よ う と す る ま で
の時間の長 さ 。
Rebind
ASA が DHCP サーバに再バ イ ン ド し よ う と す る ま での時間の長
さ 。再バ イ ン ド が発生す る のは、ASA が元の DHCP サーバ と 通信で
き ず、リ ー ス 期間の 87.5% を経過 し た場合です。ASA は、DHCP 要
求を ブ ロ ー ド キ ャ ス ト す る こ と に よ っ て、使用可能なすべての
DHCP サーバに接続を試み ま す。
Temp default-gateway addr
DHCP サーバに よ っ て指定 さ れ る デ フ ォ ル ト ゲー ト ウ ェ イ の ア ド
レ ス。
Temp ip static route0
デ フ ォ ル ト ス タ テ ィ ッ ク ルー ト 。
Next timer fires after
内部 タ イ マーが ト リ ガーす る ま での秒数。
Retry count
ASA が リ ー ス を設定 し よ う と し てい る と き 、こ の フ ィ ール ド は、
ASA が DHCP メ ッ セージの送信を試行 し た回数を示 し ま す。た と
えば、ASA が Selecting 状態の場合、こ の値は ASA が探索 メ ッ セー
ジ を送信 し た回数を示 し ま す。ASA が Requesting 状態の場合、こ の
値は ASA が要求 メ ッ セージ を送信 し た回数を示 し ま す。
Client-ID
サーバ と のすべての通信に使用 し た ク ラ イ ア ン ト ID。
Proxy
こ の イ ン タ ー フ ェ イ ス が VPN ク ラ イ ア ン ト 用のプ ロ キ シ DHCP ク
ラ イ ア ン ト か ど う か を True ま たは False で指定 し ま す。
Proxy Network
要求 さ れた ネ ッ ト ワ ー ク 。
Hostname
ク ラ イ ア ン ト の ホ ス ト 名。
次に、show ip address dhcp server コ マ ン ド の出力例を示 し ま す。
ciscoasa# show ip address outside dhcp server
DHCP server: ANY (255.255.255.255)
Leases:
0
Offers:
0
Requests: 0
Acks: 0
Declines: 0
Releases: 0
Bad: 0
DHCP server: 40.7.12.6
Leases:
1
Offers:
1
Requests: 17
Acks: 17
Declines: 0
Releases: 0
Bad: 0
DNS0:
171.69.161.23,
DNS1: 171.69.161.24
WINS0: 172.69.161.23,
WINS1: 172.69.161.23
Subnet: 255.255.0.0
DNS Domain: cisco.com
Naks: 0
Naks: 0
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-65
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show ip address dhcp
表 7-12 に、各 フ ィ ール ド の説明を示 し ま す。
表 7-12
関連 コ マ ン ド
show ip address dhcp server の各フ ィ ール ド
フ ィ ール ド
説明
DHCP server
こ の イ ン タ ーフ ェ イ ス が リ ース を取得 し た DHCP サーバ ア ド レ ス。
最上位エ ン ト リ （「ANY」）はデフ ォ ル ト サーバで常に存在 し ます。
Leases
サーバか ら 取得 し た リ ー ス の数。イ ン タ ー フ ェ イ ス の場合、リ ー ス
の数は一般的に 1 です。VPN 用のプ ロ キ シ を実行中の イ ン タ ー
フ ェ イ ス に対 し てサーバがア ド レ ス を提供 し てい る 場合、リ ー ス
は複数 と な り ま す。
Offers
サーバか ら のオ フ ァ ーの数。
Requests
サーバに送信 さ れた要求の数。
Acks
サーバか ら 受信 し た確認応答の数。
Naks
サーバか ら 受信 し た否定応答の数。
Declines
サーバか ら 受信 し た拒否の数。
Releases
サーバに送信 さ れた リ リ ー ス の数。
Bad
サーバか ら 受信 し た不良パケ ッ ト の数。
DNS0
DHCP サーバか ら 取得 し たプ ラ イ マ リ DNS サーバ ア ド レ ス 。
DNS1
DHCP サーバか ら 取得 し た セ カ ン ダ リ DNS サーバ ア ド レ ス 。
WINS0
DHCP サーバか ら 取得 し たプ ラ イ マ リ WINS サーバ ア ド レ ス 。
WINS1
DHCP サーバか ら 取得 し た セ カ ン ダ リ WINS サーバ ア ド レ ス 。
Subnet
DHCP サーバか ら 取得 し たサブネ ッ ト ア ド レ ス 。
DNS Domain
DHCP サーバか ら 取得 し た ド メ イ ン。
コ マン ド
interface
説明
ip address dhcp
イ ン タ ー フ ェ イ ス で DHCP サーバか ら IP ア ド レ ス を取得で き る よ う
に設定 し ま す。
nameif
イ ン タ ー フ ェ イ ス 名を設定 し ま す。
イ ン タ ー フ ェ イ ス を設定 し 、イ ン タ ー フ ェ イ ス コ ン フ ィ ギ ュ レ ーシ ョ
ン モー ド を開始 し ま す。
show interface ip brief イ ン タ ー フ ェ イ ス の IP ア ド レ ス と ス テー タ ス を表示 し ま す。
show ip address
イ ン タ ー フ ェ イ ス の IP ア ド レ ス を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-66
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show ip address pppoe
show ip address pppoe
PPPoE 接続に関す る 詳細情報を表示す る には、特権 EXEC モー ド で show ip address pppoe コ マ
ン ド を使用 し ま す。
show ip address {physical_interface[.subinterface] | mapped_name | interface_name |
vlan number} pppoe
構文の説明
interface_name
nameif コ マ ン ド を使用 し て設定 さ れた イ ン タ ー フ ェ イ ス 名を指定 し
ま す。
mapped_name
マルチ コ ン テ キ ス ト モー ド で、マ ッ ピ ン グ名を allocate-interface コ マ
ン ド を使用 し て割 り 当て た場合、その名前を指定 し ま す。
physical_interface
gigabitethernet0/1 な ど の イ ン タ ー フ ェ イ ス ID を指定 し ま す。有効値に
ついては、interface コ マ ン ド を参照 し て く だ さ い。
subinterface
論理サブ イ ン タ ーフ ェ イ ス を示す 1 ～ 4294967293 の整数を指定 し ます。
vlan number
（オプシ ョ ン）ASA 5505 適応型セキ ュ リ テ ィ アプ ラ イ ア ン ス な ど、組み
込みス イ ッ チのあ る モデルでは、VLAN イ ン タ ーフ ェ イ ス を指定 し ます。
デフ ォル ト
デ フ ォ ル ト の動作や値はあ り ま せん。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
特権 EXEC
ト ラ ン スペ
ルーテ ッ ド ア レ ン ト 1
•
Yes
•
Yes
マルチ
シ ン グル
•
Yes
コ ン テキス ト シ ス テム
•
Yes
—
1. 管理 0/0 イ ン タ ー フ ェ イ ス ま たはサブ イ ン タ ー フ ェ イ ス だけで使用可能です。
コ マ ン ド 履歴
リ リ ース
7.2(1)
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
使用上のガイ ド ラ イ ン
出力の説明については、「例」を参照 し て く だ さ い。
例
次に、show ip address pppoe コ マ ン ド の出力例を示 し ま す。
ciscoasa# show ip address outside pppoe
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-67
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show ip address pppoe
関連 コ マ ン ド
コ マン ド
interface
説明
ip address ppoe
PPPoE サーバか ら IP ア ド レ ス を取得す る よ う に イ ン タ ー フ ェ イ ス を
設定 し ま す。
nameif
イ ン タ ー フ ェ イ ス 名を設定 し ま す。
イ ン タ ー フ ェ イ ス を設定 し 、イ ン タ ー フ ェ イ ス コ ン フ ィ ギ ュ レ ーシ ョ
ン モー ド を開始 し ま す。
show interface ip brief イ ン タ ー フ ェ イ ス の IP ア ド レ ス と ス テー タ ス を表示 し ま す。
show ip address
イ ン タ ー フ ェ イ ス の IP ア ド レ ス を表示 し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-68
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show ip audit count
show ip audit count
監査ポ リ シーを イ ン タ ー フ ェ イ ス に適用す る と き シ グ ニチ ャ の一致数を表示す る には、特権
EXEC モー ド で show ip audit count コ マ ン ド を使用 し ま す。
show ip audit count [global | interface interface_name]
構文の説明
global
（デ フ ォ ル ト ）すべての イ ン タ ー フ ェ イ ス につい ての一致数 を表示 し ま
す。
interface
interface_name
（オプシ ョ ン）指定 し た イ ン タ ー フ ェ イ ス につい ての一致数 を表示 し ま
す。
デフ ォル ト
キー ワ ー ド を指定 し ない場合、こ の コ マ ン ド は、すべての イ ン タ ー フ ェ イ ス についての一致数を
表示 し ま す（global）。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
使用上のガイ ド ラ イ ン
例
リ リ ース
7.0(1)
•
Yes
ト ラ ン スペ
アレン ト
シ ン グル
•
Yes
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容
こ の コ マ ン ド が追加 さ れ ま し た。
監査ポ リ シーを作成す る には、ip audit name コ マ ン ド を使用 し ま す。ポ リ シー を適用す る には、
ip audit interface コ マ ン ド を使用 し ま す。
次に、show ip audit count コ マ ン ド の出力例を示 し ま す。
ciscoasa# show ip audit count
IP AUDIT GLOBAL COUNTERS
1000
1001
1002
1003
1004
1005
1006
1100
1102
1103
2000
2001
I
I
I
I
I
I
I
A
A
A
I
I
Bad IP Options List
Record Packet Route
Timestamp
Provide s,c,h,tcc
Loose Source Route
SATNET ID
Strict Source Route
IP Fragment Attack
Impossible IP Packet
IP Teardrop
ICMP Echo Reply
ICMP Unreachable
0
0
0
0
0
0
0
0
0
0
0
0
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-69
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show ip audit count
2002
2003
2004
2005
2006
2007
2008
2009
2010
2011
2012
2150
2151
2154
3040
3041
3042
3153
3154
4050
4051
4052
6050
6051
6052
6053
6100
6101
6102
6103
6150
6151
6152
6153
6154
6155
6175
6180
6190
I
I
I
I
I
I
I
I
I
I
I
A
A
A
A
A
A
A
A
A
A
A
I
I
I
I
I
I
I
A
I
I
I
I
I
I
I
I
A
ICMP Source Quench
ICMP Redirect
ICMP Echo Request
ICMP Time Exceed
ICMP Parameter Problem
ICMP Time Request
ICMP Time Reply
ICMP Info Request
ICMP Info Reply
ICMP Address Mask Request
ICMP Address Mask Reply
Fragmented ICMP
Large ICMP
Ping of Death
TCP No Flags
TCP SYN & FIN Flags Only
TCP FIN Flag Only
FTP Improper Address
FTP Improper Port
Bomb
Snork
Chargen
DNS Host Info
DNS Zone Xfer
DNS Zone Xfer High Port
DNS All Records
RPC Port Registration
RPC Port Unregistration
RPC Dump
Proxied RPC
ypserv Portmap Request
ypbind Portmap Request
yppasswdd Portmap Request
ypupdated Portmap Request
ypxfrd Portmap Request
mountd Portmap Request
rexd Portmap Request
rexd Attempt
statd Buffer Overflow
0
0
10
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
IP AUDIT INTERFACE COUNTERS: inside
...
関連 コ マ ン ド
コ マン ド
clear ip audit count
説明
ip audit interface
監査ポ リ シーを イ ン タ ー フ ェ イ ス に割 り 当て ま す。
ip audit name
パケ ッ ト が攻撃シ グ ニチ ャ ま たは情報シ グ ニチ ャ に一致 し た場合に実
行す る ア ク シ ョ ン を指定す る 、名前付 き 監査ポ リ シーを作成 し ま す。
show running-config
ip audit attack
ip audit attack コ マ ン ド の コ ン フ ィ ギ ュ レ ーシ ョ ン を表示 し ま す。
監査ポ リ シーのシ グ ニチ ャ 一致カ ウ ン ト を ク リ ア し ま す。
Cisco ASA シ リ ーズ コ マ ン ド リ フ ァ レ ン ス、S コ マ ン ド
7-70
第7章
show failover コ マ ン ド ～ show ipsec stats traffic コ マ ン ド
show ip verify statistics
show ip verify statistics
ユニ キ ャ ス ト RPF 機能が原因で ド ロ ッ プ し たパケ ッ ト の数を表示す る には、特権 EXEC モー ド
で show ip verify statistics コ マ ン ド を使用 し ま す。ユニ キ ャ ス ト RPF を イ ネーブルにす る には、
ip verify reverse-path コ マ ン ド を使用 し ま す。
show ip verify statistics [interface interface_name]
構文の説明
interface
interface_name
デフ ォル ト
こ の コ マ ン ド は、すべての イ ン タ ー フ ェ イ ス の統計情報を表示 し ま す。
コ マ ン ド モー ド
次の表に、コ マ ン ド を入力で き る モー ド を示 し ま す。
（オプシ ョ ン）指定 し た イ ン タ ー フ ェ イ ス の統計情報を表示 し ま す。
フ ァ イ アウ ォ ール モー ド セキ ュ リ テ ィ コ ン テキス ト
コ マ ン ド モー ド
ルーテ ッ ド
特権 EXEC
コ マ ン ド 履歴
例
リ リ ース
7.0(1)
Yes
—
•
Yes
マルチ
コ ン テキス ト シ ス テム
•
Yes
—
変更内容