Cisco ASA シリーズ コマンド リファレンス、I ～ R コマンド

 

デフォルト

デフォルトでは、このコマンドはディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

inspect ctiqbe コマンドは、NAT、PAT、および双方向 NAT をサポートしている CTIQBE プロトコル インスペクションを有効にします。これによって、Cisco IP SoftPhone と他の Cisco TAPI/JTAPI アプリケーションが Cisco CallManager と連動し、 ASA を越えてコール セットアップを行えるようになります。

Telephony Application Programming Interface（TAPI）および Java Telephony Application Programming Interface（JTAPI）は、多数の Cisco VoIP アプリケーションで使用されます。Computer Telephony Interface Quick Buffer Encoding（CTIQBE）は、Cisco TAPI Service Provider（TSP）によって Cisco CallManager と通信するために使用されます。

CTIQBE アプリケーション インスペクションの使用時に適用される制限を次にまとめます。

• CTIQBE コールのステートフル フェールオーバーはサポートされていません。
• debug ctiqbe コマンドを使用すると、メッセージ送信が遅延することがあり、これによってリアルタイム環境のパフォーマンスに影響が出る可能性があります。このデバッグまたはログをイネーブルにし、ASA を介して Cisco IP SoftPhone でコール セットアップを完了できない場合は、Cisco IP SoftPhone の動作するシステムで Cisco TSP 設定のタイムアウト値を増やしてください。
• CTIQBE アプリケーション インスペクションでは、複数の TCP パケットにフラグメント化された CTIQBE メッセージはサポートしていません。

次に、CTIQBE アプリケーション インスペクションを特定の事例で使用する際に、特別に注意が必要な事項をまとめます。

• 2 つの Cisco IP SoftPhone が、ASA のそれぞれ異なるインターフェイスに接続された別々の Cisco CallManager に登録されている場合、これら 2 つの電話機間のコールが失敗します。
• Cisco IP SoftPhone と比較して Cisco CallManager の方がセキュリティの高いインターフェイス上に配置されている状態で、NAT または外部 NAT が Cisco CallManager IP アドレスに必要な場合、マッピングはスタティックである必要があります。Cisco IP SoftPhone では Cisco CallManager IP アドレスを PC 上の Cisco TSP コンフィギュレーションで明示的に指定することが必要なためです。
• PAT または外部 PAT を使用しているときに Cisco CallManager の IP アドレスを変換する場合、Cisco IP SoftPhone を正常に登録するためには、TCP ポート 2748 を PAT（インターフェイス）アドレスの同一ポートに対してスタティックにマッピングする必要があります。CTIQBE 受信ポート（TCP 2748）は固定されていて、Cisco CallManager、Cisco IP SoftPhone、Cisco TSP のいずれにおいてもユーザによる設定はできません。

シグナリング メッセージのインスペクション

シグナリング メッセージのインスペクションでは、多くの場合、 inspect ctiqbe コマンドでメディア エンドポイント（IP 電話など）の場所を特定する必要があります。

この情報は、手動のコンフィギュレーションを行わずに、メディア トラフィックがファイアウォールをトランスペアレントに通過できるよう、アクセス コントロールと NAT ステートを準備するために使用されます。

これらの場所を特定するときに、 inspect ctiqbe コマンドではトンネル デフォルト ゲートウェイ ルートを使用しません。トンネル デフォルト ゲートウェイのルートは、 route interface 0 0 metric tunneled という形式のルートです。このルートは、IPsec トンネルから出力されるパケットのデフォルト ルートを上書きします。そのため、VPN トラフィックに対して inspect ctiqbe コマンドが必要となる場合は、トンネル デフォルト ゲートウェイ ルートを設定しないようにしてください。代わりに、他のスタティック ルーティングまたはダイナミック ルーティングを使用します。

例

次に、CTIQBE インスペクション エンジンをイネーブルにし、CTIQBE トラフィックをデフォルト ポート（2748）上で照合するクラス マップを作成する例を示します。その後、サービス ポリシーは外部インターフェイスに適用されます。

すべてのインターフェイスに対して CTIQBE インスペクションをイネーブルにするには、 interface outside の代わりに global パラメータを使用します。

 

関連コマンド

 

構文の説明

 

デフォルト

このコマンドは、デフォルトでディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

inspect dcerpc コマンドは、DCERPC プロトコルに対するアプリケーション インスペクションをイネーブルまたはディセーブルにします。

例

次の例は、DCERPC インスペクション ポリシー マップを定義し、DCERPC のピンホールのタイムアウトを設定する方法を示しています。

 

関連コマンド

 

構文の説明

 

デフォルト

このコマンドは、デフォルトでディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

Diameter は、LTE（Long Term Evolution）および IMS（IP Multimedia Subsystem）用の EPS（Evolved Packet System）などの次世代モバイルと固定電気通信ネットワークで使用される認証、認可、およびアカウンティング（AAA）プロトコルです。RADIUS や TACACS がこれらのネットワークで Diameter に置き換えられます。

Diameter はトランスポート層として TCP および SCTP を使用し、TCP/TLS および SCTP/DTLS によって通信を保護します。また、オプションで、データ オブジェクトの暗号化も提供できます。Diameter の詳細については、RFC 6733 を参照してください。

Diameter アプリケーションは、課金のユーザ アクセス、サービス認証、QoS、およびレートの決定といったサービス管理タスクを実行します。Diameter アプリケーションは LTE アーキテクチャのさまざまなコントロール プレーン インターフェイスで使用されますが、ASA は、次のインターフェイスについてのみ、Diameter コマンド コードおよび属性値ペア（AVP）を検査します。

• S6a：モビリティ マネージメント エンティティ（MME）- ホーム サブスクリプション サービス（HSS）
• S9：PDN ゲートウェイ（PDG）- 3GPP AAA プロキシ/サーバ
• Rx：ポリシー/課金ルール機能（PCRF） - コール セッション制御機能（CSCF）

Diameter インスペクションでは、Diameter エンドポイント用にピンホールを開いて通信を可能にします。このインスペクションは、3GPP バージョン 12 をサポートし、RFC 6733 に準拠しています。TCP/TLS（インスペクションをイネーブルにするときに TLS を指定する場合）および SCTP には使用できますが、SCTP/DTLS には使用できません。SCTP Diameter セッションにセキュリティを提供するには IPsec を使用します。

パケットや接続のドロップまたはロギングなどの特別なアクションを適用するために、オプションで、Diameter インスペクション ポリシー マップを使用し、アプリケーション ID、コマンド コード、および AVP に基づいてトラフィックをフィルタリングできます。新規に登録された Diameter アプリケーション用のカスタム AVP を作成できます。フィルタリングにより、ネットワークで許可するトラフィックをきめ細かく設定できます。

（注） 他のインターフェイス上で動作するアプリケーションに対する Diameter メッセージはデフォルトで許可され、渡されます。ただし、アプリケーション ID によってこれらのアプリケーションを破棄するための Diameter インスペクション ポリシー マップを設定できますが、これらのサポートされていないアプリケーションに対してコマンド コードまたは AVP に基づいてアクションを指定することはできません。

例

次に、Diameter インスペクションをデフォルト ポート（TCP/3868、TCP/5868、および SCTP/3868）にグローバルに適用する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

このコマンドは、デフォルトでイネーブルになっています。ボットネット トラフィック フィルタのスヌーピングは、デフォルトでディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

DNS インスペクションは、次のような preset_dns_map インスペクション クラス マップを使用して、デフォルトでイネーブルになっています。

• 最大 DNS メッセージ長は、512 バイトです。
• 最大クライアント DNS メッセージ長は、リソース レコードに一致するように自動的に設定されます。
• DNS ガードはイネーブルになり、ASA によって DNS 応答が転送されるとすぐに、ASA は DNS クエリーに関連付けられている DNS セッションを切断します。ASA はまた、メッセージ交換をモニタして DNS 応答の ID が DNS クエリーの ID と一致することを確認します。
• NAT の設定に基づく DNS レコードの変換はイネーブルです。
• プロトコルの強制はイネーブルであり、DNS メッセージ形式チェックが行われます。ドメイン名の長さが 255 文字以下、ラベルの長さが 63 文字、圧縮、ループ ポインタのチェックなどです。

DNS リライトに必要な DNS インスペクション

DNS インスペクションがイネーブルであるとき、DNS リライトは、任意のインターフェイスから送信された DNS メッセージの NAT を完全にサポートします。

内部のネットワーク上のクライアントが、外部インターフェイス上の DNS サーバから送信される内部アドレスの DNS 解決を要求した場合、DNS A レコードは正しく変換されます。DNS インスペクション エンジンがディセーブルである場合、A レコードは変換されません。

DNS リライトは、次の 2 つの機能を実行します。

• DNS クライアントがプライベート インターフェイスにある場合、 DNS 応答 のパブリック アドレス（ルーティング可能なアドレスまたは「マッピング」アドレス）をプライベート アドレス（「実際の」アドレス）に変換します。
• DNS クライアントがパブリック インターフェイスにある場合、プライベート アドレスをパブリック アドレスに変換します。

DNS インスペクションがイネーブルであれば、NAT の DNS リライトを設定できます。

例

次に、DNS メッセージの最大長を設定する例を示します。

次に、すべての UDP DNS トラフィック用のクラス マップを作成し、デフォルトの DNS インスペクション ポリシー マップで DNS インスペクションおよびボットネット トラフィック フィルタのスヌーピングをイネーブルにして、外部インターフェイスに適用する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

このコマンドは、デフォルトでイネーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

ESMTP インスペクションは、_default_esmtp_map インスペクション ポリシー マップを使用して、デフォルトで有効になります。

• サーバ バナーはマスクされます。
• 暗号化されたトラフィックが検査されます。
• 送信側と受信側のアドレスの特殊文字は認識されず、アクションは実行されません。
• コマンド行の長さが 512 より大きい接続は、ドロップされてログに記録されます。
• 受信者が 100 より多い接続は、ドロップされてログに記録されます。
• 本文の長さが 998 バイトより大きいメッセージはログに記録されます。
• ヘッダー行の長さが 998 より大きい接続は、ドロップされてログに記録されます。
• MIME ファイル名が 255 文字より長いメッセージは、ドロップされてログに記録されます。
• 「others」に一致する EHLO 応答パラメータはマスクされます。

ESMTP アプリケーション インスペクションを使用すると、ASA を通過できる SMTP コマンドの種類を制限し、モニタ機能を追加することによって、SMTP ベースの攻撃からより強固に保護できます。

ESMTP は SMTP プロトコルの拡張で、ほとんどの観点で SMTP に似ています。便宜上、このマニュアルでは、SMTP という用語を SMTP と ESMTP の両方に使用します。拡張 SMTP に対するアプリケーション インスペクション処理は、SMTP アプリケーション インスペクションに似ており、SMTP セッションのサポートが含まれています。拡張 SMTP セッションで使用するほとんどのコマンドは、SMTP セッションで使用するコマンドと同じですが、ESMTP セッションの方が大幅に高速で、配信ステータス通知など信頼性およびセキュリティに関するオプションが増えています。

拡張 SMTP アプリケーション インスペクションでは、AUTH、EHLO、ETRN、HELP、SAML、SEND、SOML、STARTTLS、および VRFY を含む拡張 SMTP コマンドに対するサポートが追加されています。は、7 つの RFC 821 コマンド（DATA、ASAHELO、MAIL、NOOP、QUIT、RCPT、RSET）をサポートするとともに、合計 15 の SMTP コマンドをサポートします。

その他の拡張 SMTP コマンド（ATRN、ONEX、VERB、CHUNKING など）、およびプライベート拡張はサポートされません。サポートされないコマンドは、内部サーバにより拒否される X に変換されます。この結果は、「500 Command unknown: 'XXX'」のようなメッセージで表示されます。不完全なコマンドは、破棄されます。

ESMTP インスペクション エンジンは、文字「2」、「0」、「0」を除くサーバの SMTP バナーの文字をアスタリスクに変更します。復帰（CR）、および改行（LF）は無視されます。

SMTP インスペクションをイネーブルにする場合、次のルールに従わないと、対話型の SMTP に使用する Telnet セッションが停止することがあります。SMTP コマンドの長さは 4 文字以上にする必要があります。復帰と改行で終了する必要があります。次の応答を発行する前に現在の応答を待機する必要があります。

SMTP サーバは、数値の応答コード、およびオプションの可読文字列でクライアント要求に応答します。SMTP アプリケーション インスペクションは、ユーザが使用できるコマンドとサーバが返送するメッセージを制御し、その数を減らします。SMTP インスペクションは、次の 3 つの主要なタスクを実行します。

• SMTP 要求を 7 つの基本 SMTP コマンドと 8 つの拡張コマンドに制限します。
• SMTP コマンド応答シーケンスをモニタします。
• 監査証跡の生成：メール アドレス内に埋め込まれている無効な文字が置き換えられたときに、監査レコード 108002 を生成します。詳細については、RFC 821 を参照してください。

SMTP インスペクションでは、次の異常な署名がないかどうか、コマンドと応答のシーケンスをモニタします。

• 切り捨てられたコマンド
• 不正なコマンド終端（<CR><LR> で終了していない）
• MAIL コマンドと RCPT コマンドでは、メールの送信者と受信者が指定されます。異常な文字がないか、メール アドレスがスキャンされます。縦棒（|）は削除され（ブランクに変更されます）、「<」および「>」はメール アドレスを定義する場合にのみ許可されます（「>」より前に「<」がある必要があります）。
• SMTP サーバによる不意の移行
• 未知のコマンドに対しては、ASA はパケット内のすべての文字を X に変更します。この場合、サーバがクライアントに対してエラー コードを生成します。パケット内が変更されるため、TCP チェックサムの再計算または調整が必要になります。
• TCP ストリーム編集
• コマンド パイプライン

例

次に、SMTP インスペクション エンジンをイネーブルにし、SMTP トラフィックをデフォルト ポート（25）上で照合するクラス マップを作成する例を示します。その後、サービス ポリシーは外部インターフェイスに適用されます。

 

関連コマンド

 

構文の説明

 

デフォルト

FTP インスペクションはデフォルトでイネーブルになり、ASA は FTP ポート 21 をリッスンします。

FTP を上位のポートに移動する場合には注意が必要です。たとえば、FTP ポートを 2021 に設定した場合、ポート 2021 に対して開始されるすべての接続で、データ ペイロードが FTP コマンドとして解釈されます。

 

コマンド履歴

 

使用上のガイドライン

FTP アプリケーション インスペクションは、FTP セッションを検査し、次の 4 つのタスクを実行します。

• ダイナミックな二次的データ接続の準備
• FTP コマンド応答シーケンスの追跡
• 監査証跡の生成
• 埋め込み IP アドレスの変換

FTP アプリケーション インスペクションによって、FTP データ転送用にセカンダリ チャネルが用意されます。これらのチャネルのポートは、PORT コマンドまたは PASV コマンドを使用してネゴシエートされます。セカンダリ チャネルは、ファイル アップロード、ファイル ダウンロード、またはディレクトリ リスト イベントへの応答で割り当てられます。

（注） インスペクションは FTP コントロール接続のポートだけに適用し、データ接続のポートには適用しないでください。ASA のステートフル インスペクション エンジンは、必要に応じてダイナミックにデータ接続を準備します。

no inspect ftp コマンドを使用して、FTP インスペクション エンジンをディセーブルにすると、発信ユーザはパッシブ モードだけで接続を開始でき、着信 FTP はすべてディセーブルになります。

厳密な FTP

厳密な FTP を使用すると、Web ブラウザが FTP 要求内の埋め込みコマンドを送信できなくなるため、保護されたネットワークのセキュリティが強化されます。厳密な FTP をイネーブルにするには、 inspect ftp コマンドに strict オプションを含めます。

厳密な FTP を使用するときは、オプションで FTP インスペクション ポリシー マップを指定して、ASA を通過することが許可されない FTP コマンドを指定できます。

インターフェイスに対して strict オプションをオンにすると、FTP インスペクションによって次の動作が適用されます。

• FTP コマンドが確認応答されてからでないと、ASA は新しいコマンドを許可しません。
• ASA は、埋め込みコマンドを送信する接続をドロップします。
• 227 コマンドと PORT コマンドが、エラー文字列に表示されないように確認されます。

注意 strict オプションを使用すると、FTP RFC に厳密に準拠していない FTP クライアントは失敗することがあります。

---

strict オプションがイネーブルの場合、各 FTP コマンドと応答シーケンスが追跡され、次の異常なアクティビティがないか確認されます。

• 切り捨てされたコマンド：PORT コマンドおよび PASV 応答コマンドのカンマの数が 5 であるかどうかが確認されます。カンマの数が 5 でない場合は、PORT コマンドが切り捨てられていると見なされ、TCP 接続は閉じられます。
• 不正なコマンド：FTP コマンドが、RFC の要求どおりに <CR><LF> 文字で終了しているかどうか確認されます。終了していない場合は、接続が閉じられます。
• RETR コマンドと STOR コマンドのサイズ：これらが、固定の定数と比較チェックされます。サイズが定数より大きい場合は、エラー メッセージがロギングされ、接続が閉じられます。
• コマンド スプーフィング：PORT コマンドは、常にクライアントから送信されます。PORT コマンドがサーバから送信される場合、TCP 接続は拒否されます。
• 応答スプーフィング：PASV 応答コマンド（227）は、常にサーバから送信されます。PASV 応答コマンドがクライアントから送信される場合、TCP 接続は拒否されます。これにより、ユーザが「227 xxxxx a1, a2, a3, a4, p1, p2」を実行する場合のセキュリティ ホールが予防できます。
• TCP ストリーム編集：ASAは、TCP ストリーム編集を検出した場合に接続が閉じられます。
• 無効ポート ネゴシエーション：ネゴシエートされたダイナミック ポート値が、1024 未満であるかどうかが調べられます。1 ～ 1024 の範囲のポート番号は、予約済み接続用に指定されているため、ネゴシエートされたポートがこの範囲内であった場合、TCP 接続は解放されます。
• コマンド パイプライン：PORT コマンドと PASV 応答コマンド内のポート番号の後に続く文字数が、定数の 8 と比べられます。8 より大きい場合は、TCP 接続が閉じられます。
• ASA は SYST コマンドに対する FTP サーバの応答を連続した X で置き換えて、サーバのシステム タイプが FTP クライアントに知られないようにします。このデフォルトの動作を無効にするには、FTP マップで、 no mask-syst-reply コマンドを使用します。

FTP ログ メッセージ

FTP アプリケーション インスペクションでは、次のログ メッセージが生成されます。

• 取得またはアップロードされたファイルごとに監査レコード 302002 が生成されます。
• メモリ不足によって動的なセカンダリ チャネルの準備に失敗した場合は、監査レコード 201005 が生成されます。

例

ユーザ名とパスワードを送信する前に、すべての FTP ユーザに接続時バナーが表示されます。デフォルトでは、このバナーには、ハッカーがシステムの弱点を特定するのに役立つバージョン情報が含まれます。このバナーをマスクする方法を次に示します。

 

関連コマンド

 

構文の説明

 

デフォルト

このコマンドは、デフォルトでディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

GPRS トンネリング プロトコルは、General Packet Radio Service（GPRS）トラフィック用に GSM、UMTS および LTE ネットワークで使用されます。GTP は、トンネル制御および管理プロトコルを提供します。このプロトコルによるトンネルの作成、変更、および削除により、モバイル ステーションに GPRS ネットワーク アクセスが提供されます。GTP は、ユーザ データ パケットの伝送にもトンネリング メカニズムを使用します。サービス プロバイダー ネットワークは、GTP を使用して、エンドポイント間の GPRS バックボーンを介してマルチプロトコル パケットをトンネリングします。

GTP インスペクションはデフォルトではイネーブルになっていません。ただし、ユーザ自身のインスペクション マップを指定せずにイネーブルにすると、次の処理を行うデフォルト マップが使用されます。マップを設定する必要があるのは、異なる値が必要な場合のみです。

• エラーは許可されません。
• 要求の最大数は 200 です。
• トンネルの最大数は 500 です。
• GSN/エンドポイント タイムアウトは 30 分です。
• PDP コンテキストのタイムアウトは 30 分です。GTPv2 では、これはベアラｰ コンテキスト タイムアウトです。
• 要求のタイムアウトは 1 分です。
• シグナリング タイムアウトは 30 分です。
• トンネリングのタイムアウトは 1 時間です。
• T3 応答タイムアウトは 20 秒です。
• 未知のメッセージ ID はドロップされ、ログに記録されます。この動作は、3GPP が S5S8 インターフェースについて定義するメッセージに制限されます。他の GPRS インターフェイスについて定義されたメッセージは、最小限の検査によって許可される場合があります。

policy-map type inspect gtp コマンドを使用して GTP のパラメータを定義します。GTP マップを定義した後、 inspect gtp コマンドを使用してマップをイネーブルにします。次に、 class-map 、 policy-map 、 service-policy の各コマンドを使用して、トラフィックのクラス定義、inspect コマンドのクラスへの適用、1 つ以上のインターフェイスへのポリシー適用を定義します。

GTP の既知のポートは UDP 3386、2123、および 2152 です。

シグナリング メッセージのインスペクション

シグナリング メッセージのインスペクションでは、多くの場合、 inspect gtp コマンドでメディア エンドポイント（IP 電話など）の場所を特定する必要があります。

この情報は、手動のコンフィギュレーションを行わずに、メディア トラフィックがファイアウォールをトランスペアレントに通過できるよう、アクセス コントロールと NAT ステートを準備するために使用されます。

これらの場所を特定するときに、 inspect gtp コマンドではトンネル デフォルト ゲートウェイ ルートを 使用しません 。トンネル デフォルト ゲートウェイのルートは、 route interface 0 0 metric tunneled という形式のルートです。このルートは、IPsec トンネルから出力されるパケットのデフォルト ルートを上書きします。そのため、VPN トラフィックに対して inspect gtp コマンドが必要となる場合は、トンネル デフォルト ゲートウェイ ルートを設定しないようにしてください。代わりに、他のスタティック ルーティングまたはダイナミック ルーティングを使用します。

例

次の例は、ネットワークのトンネル数を制限する方法を示しています。

 

関連コマンド

 

構文の説明

 

デフォルト

デフォルトのポート割り当ては次のとおりです。

• h323 h225 1720
• h323 ras 1718 ～ 1719

 

コマンド履歴

 

使用上のガイドライン

inspect h323 コマンドは、Cisco CallManager や VocalTec Gatekeeper などの H.323 に準拠したアプリケーションに対するサポートを提供します。H.323 は国際電気通信連合（ITU）で定義されている、LAN を介したマルチメディア会議用のプロトコル スイートです。ASA では、H.323 v3 機能の Multiple Calls on One Call Signaling Channel を含め、バージョン 6 までの H.323 をサポートしています。

H.323 インスペクションをイネーブルにした場合、ASA は、H.323 Version 3 で追加された機能である同一コール シグナリング チャネルでの複数コールをサポートします。この機能によってセットアップ時間が短縮され、ASA でのポート使用が減少します。

H.323 インスペクションの 2 つの主要機能は次のとおりです。

• H.225 と H.245 の両メッセージ内に埋め込まれている必要な IPv4 アドレスを NAT 処理します。H.323 メッセージは PER 符号化形式で符号化されているため、ASA では ASN.1 デコーダを使用して H.323 メッセージを復号化します。
• ネゴシエートされた H.245 と RTP/RTCP 接続をダイナミックに割り当てます。

シグナリング メッセージのインスペクション

シグナリング メッセージのインスペクションでは、多くの場合、 inspect h323 コマンドでメディア エンドポイント（IP 電話など）の場所を特定する必要があります。

この情報は、手動のコンフィギュレーションを行わずに、メディア トラフィックがファイアウォールをトランスペアレントに通過できるよう、アクセス コントロールと NAT ステートを準備するために使用されます。

これらの場所を特定するときに、 inspect h323 コマンドではトンネル デフォルト ゲートウェイ ルートを 使用しません 。トンネル デフォルト ゲートウェイのルートは、 route interface 0 0 metric tunneled という形式のルートです。このルートは、IPsec トンネルから出力されるパケットのデフォルト ルートを上書きします。そのため、VPN トラフィックに対して inspect h323 コマンドが必要となる場合は、トンネル デフォルト ゲートウェイ ルートを設定しないようにしてください。代わりに、他のスタティック ルーティングまたはダイナミック ルーティングを使用します。

例

次に、H.323 インスペクション エンジンをイネーブルにし、H.323 トラフィックをデフォルト ポート（1720）上で照合するクラス マップを作成する例を示します。その後、サービス ポリシーは外部インターフェイスに適用されます。

 

関連コマンド

 

構文の説明

 

デフォルト

HTTP のデフォルト ポートは 80 です。

 

コマンド履歴

 

使用上のガイドライン

ヒント アプリケーションおよび URL のフィルタリングを実行するサービス モジュールをインストールできます。これには、ASA CX や ASA FirePOWER などの HTTP インスペクションが含まれます。ASA 上で実行される HTTP インスペクションは、これらのモジュールと互換性がありません。HTTP インスペクション ポリシー マップを使用して ASA 上で手作業による設定を試みるより、専用のモジュールを使用してアプリケーション フィルタリングを設定する方がはるかに簡単であることに注意してください。

HTTP インスペクション エンジンを使用して、HTTP トラフィックに関係する特定の攻撃やその他の脅威から保護します。

HTTP アプリケーション インスペクションで HTTP のヘッダーと本文をスキャンし、さまざまなデータ チェックができます。これらのチェックで、HTTP 構築、コンテンツ タイプ、トンネル プロトコル、メッセージ プロトコルなどがセキュリティ アプライアンスを通過することを防止します。

拡張 HTTP インスペクション機能はアプリケーション ファイアウォールとも呼ばれ、HTTP インスペクション ポリシー マップを設定するときに使用できます。これによって、攻撃者がネットワーク セキュリティ ポリシーに従わない HTTP メッセージを使用できないようにします。

HTTP アプリケーション インスペクションでトンネル アプリケーションと ASCII 以外の文字を含む HTTP 要求や応答をブロックして、悪意のあるコンテンツが Web サーバに到達することを防ぎます。HTTP 要求や応答ヘッダーのさまざまな要素のサイズ制限、URL のブロッキング、HTTP サーバ ヘッダー タイプのスプーフィングもサポートされています。

拡張 HTTP インスペクションは、すべての HTTP メッセージについて次の点を確認します。

• RFC 2616 への準拠
• RFC で定義された方式だけを使用していること
• 追加の基準への準拠

例

この例では、任意のインターフェイスを通過して ASA に入るすべての HTTP 接続（ポート 80 の TCP トラフィック）が HTTP インスペクション対象として分類されます。このポリシーはグローバル ポリシーなので、インスペクションが発生するのは各インターフェイスにトラフィックが入ったときだけです。

 

関連コマンド

 

デフォルト

このコマンドは、デフォルトでディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

ICMP インスペクション エンジンを使用すると、TCP や UDP トラフィックのように ICMP トラフィックを検査できます。ICMP インスペクション エンジンを使用しない場合は、ACL で ICMP による ASA の通過を禁止することを推奨します。ステートフル インスペクションを実行しないと、ICMP がネットワーク攻撃に利用される可能性があります。ICMP インスペクション エンジンにより、それぞれの要求に対して 1 つの応答しか返されなくなり、正確なシーケンス番号が設定されるようになります。

ICMP インスペクションがディセーブルの場合（デフォルト設定）、セキュリティの低いインターフェイスからセキュリティの高いインターフェイスへの ICMP エコー応答メッセージは、ICMP エコー要求への応答であっても拒否されます。

例

次の例に示すように、ICMP アプリケーション インスペクション エンジンをイネーブルにします。この例では、ICMP プロトコル ID（IPv4 の場合は 1、IPv6 の場合は 58）を使用して ICMP トラフィックと一致するクラス マップを作成します。その後、サービス ポリシーは外部インターフェイスに適用されます。すべてのインターフェイスに対して ICMP インスペクションをイネーブルにするには、 interface outside の代わりに global パラメータを使用します。

 

関連コマンド

 

デフォルト

このコマンドは、デフォルトでディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

ICMP エラー インスペクションをイネーブルにすると、ASA は NAT の設定に基づいて、ICMP エラー メッセージを送信する中間ホップ用の変換セッションを作成します。ASA は、変換後の IP アドレスでパケットを上書きします。

ディセーブルの場合、ASA は、ICMP エラー メッセージを生成する中間ノード用の変換セッションを作成しません。内部ホストと ASA の間にある中間ノードによって生成された ICMP エラー メッセージは、NAT リソースをそれ以上消費することなく、外部ホストに到達します。外部ホストが traceroute コマンドを使用して ASA の内部にある宛先までのホップをトレースする場合、これは適切ではありません。ASA が中間ホップを変換しない場合、すべての中間ホップは、マッピングされた宛先 IP アドレスとともに表示されます。

ICMP ペイロードがスキャンされて、元のパケットから 5 つのタプルが取得されます。取得した 5 つのタプルを使用してルックアップを実行し、クライアントの元のアドレスを判別します。ICMP エラー インスペクション エンジンは、ICMP パケットに対して次の変更を加えます。

• IP ヘッダー内のマッピング IP を実際の IP（宛先アドレス）に変更し、IP チェックサムを修正する。
• ICMP パケットに変更を加えたため、ICMP ヘッダー内の ICMP チェックサムを修正する。
• ペイロードに次の変更を加える。

– 元のパケットのマッピング IP を実際の IP に変更する。

– 元のパケットのマッピング ポートを実際のポートに変更する。

– 元のパケットの IP チェックサムを再計算する。

例

次に、ICMP エラー アプリケーション インスペクション エンジンをイネーブルにし、クラス マップを作成して、IPv4 の場合は 1、IPv6 の場合は 58 の ICMP プロトコル ID を使用して ICMP トラフィックを照合する例を示します。その後、サービス ポリシーは外部インターフェイスに適用されます。すべてのインターフェイスに対して ICMP エラー インスペクションをイネーブルにするには、 interface outside の代わりに global パラメータを使用します。

 

関連コマンド

 

デフォルト

このコマンドは、デフォルトでディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

inspect ils コマンドは、LDAP を使用してディレクトリ情報を ILS サーバと交換する Microsoft NetMeeting、SiteServer、および Active Directory 製品に対する NAT のサポートを提供します。

ASA は ILS に対して NAT をサポートします。NAT は、ILS または SiteServer Directory のエンドポイントの登録および検索で使用されます。LDAP データベースには IP アドレスだけが保存されるため、PAT はサポートされません。

LDAP サーバが外部にある場合、内部ピアが外部 LDAP サーバに登録された状態でローカルに通信できるように、検索応答に対して NAT を行うことを検討してください。このような検索応答では、最初に xlate が検索され、次に DNAT エントリが検索されて正しいアドレスが取得されます。これらの検索が両方とも失敗した場合、アドレスは変更されません。NAT 0（NAT なし）を使用していて、DNAT の相互作用を想定していないサイトの場合は、パフォーマンスを向上させるためにインスペクション エンジンをオフにすることをお勧めします。

ILS サーバが ASA 境界の内部にある場合は、さらに設定が必要なことがあります。この場合、外部クライアントが指定されたポート（通常は TCP 389）の LDAP サーバにアクセスするためのホールが必要となります。

ILS トラフィックはセカンダリ UDP チャネルだけで発生するため、TCP 接続は一定の間隔 TCP アクティビティがなければ切断されます。デフォルトでは、この間隔は 60 分です。この値は、 timeout コマンドを使用して調整できます。

ILS/LDAP はクライアント/サーバ モデルに従っており、セッションは 1 つの TCP 接続で処理されます。クライアントのアクションに応じて、このようなセッションがいくつか作成されることがあります。

接続ネゴシエーション時間中、クライアントからサーバに BIND PDU が送信されます。サーバから成功を示す BIND RESPONSE を受信すると、ILS Directory に対する操作を実行するためのその他の操作メッセージ（ADD、DEL、SEARCH、MODIFY など）が交換される場合があります。ADD REQUEST PDU および SEARCH RESPONSE PDU には、NetMeeting セッションを確立するために H.323（SETUP および CONNECT メッセージ）によって使用される、NetMeeting ピアの IP アドレスが含まれている場合があります。Microsoft NetMeeting v2.X および v3.X は、ILS をサポートしています。

ILS インスペクションでは、次の操作が実行されます。

• BER 復号化機能を使用して LDAP REQUEST PDU/RESPONSE PDU を復号化する。
• LDAP パケットを解析する。
• IP アドレスを抽出する。
• 必要に応じて IP アドレスを変換する。
• BER 符号化機能を使用して、変換後のアドレスが含まれる PDU を符号化する。
• 新しく符号化された PDU を元の TCP パケットにコピーする。
• TCP チェックサムとシーケンス番号の増分を調整する。

ILS インスペクションには、次の制限事項があります。

• 照会要求や応答はサポートされません。
• 複数のディレクトリのユーザは統合されません。
• 複数のディレクトリに複数の ID を持っている単一のユーザは NAT には認識されません。

（注） H.225 コール シグナリング トラフィックが発生するのはセカンダリ UDP チャネル上のみのため、TCP の timeout コマンドにより指定されたインターバルが経過すると、TCP 接続は切断されます。デフォルトで、この間隔は 60 分に設定されています。

例

次の例に示すように、ILS インスペクション エンジンをイネーブルにします。この例では、デフォルト ポート（389）上の ILS トラフィックと一致するクラス マップを作成します。その後、サービス ポリシーは外部インターフェイスに適用されます。すべてのインターフェイスに対して ILS インスペクションをイネーブルにするには、 interface outside の代わりに global パラメータを使用します。

 

関連コマンド

 

構文の説明

 

デフォルト

このコマンドは、デフォルトでディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

inspect im コマンドは、IM プロトコルに対するアプリケーション インスペクションをイネーブルまたはディセーブルにします。インスタント メッセージ（IM）インスペクション エンジンを使用すると、IM のネットワーク使用を制御し、機密情報の漏洩、ワームの送信、および企業ネットワークへのその他の脅威を停止できます。

例

次の例は、IM インスペクション ポリシー マップを定義する方法を示しています。

 

関連コマンド

 

構文の説明

 

デフォルト

このコマンドは、グローバル ポリシーでデフォルトでイネーブルになっています。デフォルトのインスペクション マップでは、ルータ アラート オプションを持つパケットは許可されますが、その他のオプションを持つパケットはドロップされます。

 

コマンド履歴

 

使用上のガイドライン

パケットの IP ヘッダーには Options フィールドが含まれています。Options フィールドは、通常は IP オプションと呼ばれ、制御機能を提供します。特定の状況で必要になりますが、一般的な通信では必要ありません。具体的には、IP オプションにはタイムスタンプ、セキュリティ、および特殊なルーティングの規定が含まれています。IP オプションの使用は任意であり、フィールドにはゼロまたは 1 つ以上の数のオプションを含めることができます。

IP オプション インスペクションを設定して、パケット ヘッダーの [IP Options] フィールドのコンテンツに基づいてどの IP パケットを許可するかについて制御できます。望ましくないオプションがあるパケットをドロップしたり、オプションをクリア（してパケットを許可）したり、変更なしでパケットを許可したりできます。

デフォルト以外の処理を行うには、IP オプション インスペクション ポリシー マップを作成し、 parameter コマンドを入力して、さまざまなオプションに対して実行するアクションを指定します。次のオプションを検査できます。いずれの場合も、allow アクションはそのオプションを含むパケットを変更なしで許可し、clear アクションはパケットを許可しますがヘッダーからそのオプションを除去します。

マップからオプションを削除するには、このコマンドの no 形式を使用します。パケットに他の許可されているオプションまたはクリアされたオプションが含まれている場合でも、マップで指定されていないオプションを含むパケットはすべてドロップされます。

IP オプションおよび関連する RFC の参照のリストについては、IANA のページ（ http://www.iana.org/assignments/ip-parameters/ip-parameters.xhtml ）を参照してください。

• default action { allow | clear }：マップに明示的に含まれていないオプションに対するデフォルトのアクションを設定します。許可またはクリアのデフォルト アクションを設定しないと、許可されていないオプションを持つパケットはドロップされます。
• basic-security action { allow | clear }：セキュリティ（SEC）オプションを許可またはクリアします。
• commercial-security action { allow | clear }：商用セキュリティ（CIPSO）オプションを許可またはクリアします。
• eool action { allow | clear }：End of Options List オプションを許可またはクリアします。ゼロ バイトが 1 つだけ含まれたこのオプションは、オプションのリストの終わりを示すために、すべてのオプションの末尾に表示されます。これは、ヘッダー長に基づくヘッダーの末尾とは一致しない場合があります。
• exp-flow-control action { allow | clear }：実験的フロー制御（FINN）オプションを許可またはクリアします。
• exp-measurement action { allow | clear }：実験的測定（ZSU）オプションを許可またはクリアします。
• extended-security action { allow | clear }：拡張セキュリティ（E-SEC）オプションを許可またはクリアします。
• imi-traffic-descriptor action { allow | clear }：IMI トラフィック記述子（IMITD）オプションを許可またはクリアします。
• nop action { allow | clear }：No Operation オプションを許可またはクリアします。IP ヘッダーの Options フィールドには、オプションを 0 個、1 個、またはそれ以上含めることができ、これがフィールド変数全体の長さになります。ただし、IP ヘッダーは 32 ビットの倍数である必要があります。すべてのオプションのビット数が 32 ビットの倍数でない場合、NOP オプションは、オプションを 32 ビット境界上に揃えるために、「内部パディング」として使用されます。
• quick-start action { allow | clear }：クリックスタート（QS）オプションを許可またはクリアします。
• record-route action { allow | clear }：レコード ルート（RR）オプションを許可またはクリアします。
• router-alert action { allow | clear }：ルータ アラート（RTRALT）オプションを許可またはクリアします。このオプションは、デフォルトの IP オプション インスペクション ポリシー マップで許可されます。このオプションは、中継ルータに対し、パケットの宛先がそのルータでない場合でも、パケットのコンテンツを検査するよう通知します。このインスペクションは、RSVP を実装している場合に役に立ちます。同様のプロトコルは、パケットの配信パス上にあるルータでの比較的複雑な処理を必要とします。Router Alert オプションが含まれた RSVP パケットをドロップすると、VoIP の実装で問題が生じることがあります。
• timestamp action { allow | clear }：タイムスタンプ（TS）オプションを許可またはクリアします。
• { 0 - 255 } action { allow | clear }：オプション タイプ番号によって識別されるオプションを許可またはクリアします。番号は全オプション タイプのオクテット（コピー、クラス、およびオプション番号）で、オクテットのオプションの番号部分だけではありません。これらのオプション タイプは、実際のオプションに表示されない可能性があります。非標準オプションは、インターネット プロトコル RFC 791（ http://tools.ietf.org/html/rfc791 ）で定義されている、想定される「タイプ/長さ/値」形式である必要があります。

例

次に、パケット ヘッダーに EOOL、NOP、および RTRALT オプションを含むパケットを ASA が通過させるように IP オプション インスペクション ポリシー マップを定義する例を示します。

次に、任意の IP オプションを持つパケットを許可する新しいデフォルト アクションを設定する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

このコマンドは、デフォルトでディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

inspect ipsec-pass-thru コマンドは、アプリケーション インスペクションをイネーブルまたはディセーブルにします。IPsec パススルー アプリケーション インスペクションによって、IKE UDP ポート 500 接続に関連付けられた ESP（IP プロトコル 50）トラフィックか AH（IP プロトコル 51）トラフィックまたはその両方の便利なトラバーサルが提供されます。このインスペクションは、冗長なアクセス リスト コンフィギュレーションを回避して ESP および AH トラフィックを許可し、タイムアウトと最大接続数を使用してセキュリティも確保します。

インスペクションのパラメータの定義に使用する特定のマップを識別するには、IPsec パススルー パラメータ マップを使用します。パラメータ コンフィギュレーションにアクセスするには、policy-map type inspect コマンドを使用します。このコンフィギュレーションで、ESP または AH トラフィックの制限を指定できます。パラメータ コンフィギュレーション モードでは、クライアントあたりの最大接続数と、アイドル タイムアウトを設定できます。

class-map、policy-map、および service-policy の各コマンドを使用してトラフィックのクラスを定義し、inspect コマンドをクラスに適用して、ポリシーを 1 つまたは複数のインターフェイスに適用します。定義したパラメータ マップは、inspect ipsec-pass-thru コマンドで使用されたときにイネーブルになります。

NAT および非 NAT トラフィックは許可されます。ただし、PAT はサポートされません。

（注） ASA 7.0(1) では、inspect ipsec-pass-thru コマンドは ESP トラフィックの通過のみ許可していました。最新バージョンで同じ動作を保持するために、inspect ipsec-pass-thru コマンドが引数なしで指定されている場合は、ESP を許可するデフォルト マップが作成され、付加されます。このマップは show running-config all コマンドの出力で確認できます。

例

次に、アクセス リストを使用して IKE トラフィックを識別し、IPsec パススルー パラメータ マップを定義して、ポリシーを定義し、外部インターフェイスにポリシーを適用する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

IPv6 インスペクションは、デフォルトでディセーブルになっています。

IPv6 インスペクションをイネーブルにし、インスペクション ポリシー マップを指定しないと、デフォルトの IPv6 インスペクション ポリシー マップが使用され、次のアクションが実行されます。

• 既知の IPv6 拡張ヘッダーのみを許可します。準拠しないパケットはドロップされ、ログに記録されます。
• RFC 2460 仕様で定義されている IPv6 拡張ヘッダーの順序を適用します。準拠しないパケットはドロップされ、ログに記録されます。
• ルーティング タイプ ヘッダーを含むパケットをドロップします。

 

コマンド履歴

 

使用上のガイドライン

IPv6 インスペクションを使用すると、拡張ヘッダーに基づいて IPv6 トラフィックを選択的にログに記録したりドロップしたりできます。さらに、IPv6 インスペクションでは、IPv6 パケット内の拡張ヘッダーのタイプと順序が RFC 2460 に準拠しているかどうかも確認できます。

例

次に、ヘッダーが hop-by-hop、destination-option、routing-address、および routing type 0 である IPv6 トラフィックをすべて削除する例を示します。

 

関連コマンド

 

構文の説明

 

コマンド デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

ASA は、ファースト ホップ ルータと ITR または ETR の間で送信される EID 通知メッセージの LISP トラフィックを検査します。ASA は、EID とサイト ID を関連付ける EID テーブルを保持します。

クラスタ フロー モビリティの LISP インスペクションについて

ASA は、場所の変更について LISP トラフィックを検査し、シームレスなクラスタリング操作のためにこの情報を使用します。LISP の統合により、ASA クラスタ メンバーは、最初のホップ ルータと ETR または ITR との間で渡される LISP トラフィックを検査し、その後、フローの所有者を新しいサイトへ変更できます。

クラスタ フロー モビリティには複数の相互に関連する設定が含まれています。

1. （オプション）ホストまたはサーバの IP アドレスに基づく検査される EID の限定：最初のホップ ルータは、ASA クラスタが関与していないホストまたはネットワークに関する EID 通知メッセージを送信することがあるため、EID をクラスタに関連するサーバまたはネットワークのみに限定することができます。たとえば、クラスタが 2 つのサイトのみに関連しているが、LISP は 3 つのサイトで稼働している場合は、クラスタに関連する 2 つのサイトの EID のみを含めます。 policy-map type inspect lisp 、 allowed-eid および validate-key コマンドを参照してください。

2. LISP トラフィックのインスペクション：ASA は、最初のホップ ルータと ITR または ETR 間で送信された EID 通知メッセージに関して LISP トラフィックを検査します。ASA は EID とサイト ID を相関付ける EID テーブルを維持します。たとえば、最初のホップ ルータの送信元 IP アドレスと ITR または ETR の宛先アドレスをもつ LISP トラフィックを検査する必要があります。 inspect lisp コマンドを参照してください。

3. 指定されたトラフィックでのフロー モビリティを有効にするサービス ポリシー：ビジネスクリティカルなトラフィックでフロー モビリティを有効にする必要があります。たとえば、フロー モビリティを、HTTPS トラフィックのみに制限したり、特定のサーバとの間でやり取りされるトラフィックのみに制限したりできます。 cluster flow-mobility lisp コマンドを参照してください。

4. サイト ID：ASA は各クラスタ ユニットのサイト ID を使用して、新しい所有者を判別します。 site-id コマンドを参照してください。

5. フロー モビリティを有効にするクラスタレベルの設定：クラスタ レベルでもフロー モビリティを有効にする必要があります。このオン/オフの切り替えを使用することで、特定のクラスのトラフィックまたはアプリケーションに対してフロー モビリティを簡単に有効または無効にできます。 flow-mobility lisp コマンドを参照してください。

例

次に、192.168.50.89（内部）にある LISP ルータと 192.168.10.8（別の ASA インターフェイス上）にある ITR または ETR ルータの間の LISP トラフィック（UDP 4342）を検査する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

このコマンドは、デフォルトでディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

MTP3 User Adaptation（M3UA）は、SS7 Message Transfer Part 3（MTP3）レイヤと連動する IP ベース アプリケーション用の SS7 ネットワークへのゲートウェイを提供するクライアント/サーバ プロトコルです。M3UA により、IP ネットワーク上で SS7 ユーザ パート（ISUP など）を実行することが可能になります。M3UA は RFC 4666 で定義されています。

M3UA は SCTP をトランスポート層として使用します。SCTP ポート 2905 が想定されるポートですが、異なるポートを使用するようにシグナリング ゲートウェイを設定することもできます。

MTP3 レイヤは、ルーティングおよびノード アドレッシングなどのネットワーク機能を提供しますが、ノードの識別にポイント コードを使用します。M3UA 層は、発信ポイント コード（OPC）および宛先ポイント コード（DPC）を交換します。これは、IP が IP アドレスを使用してノードを識別する仕組みと似ています。

M3UA インスペクションは、限定されたプロトコル準拠を提供します。

オプションで、M3UA インスペクション ポリシー マップを作成し、ポイント コードまたはサービス インジケータ（SI）に基づいてアクセス ポリシーを適用することができます。また、メッセージ クラスおよびタイプに基づいてレート制限を適用することもできます。

例

次に、M3UA インスペクション ポリシー マップおよびインスペクション ポリシーの例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

このコマンドは、デフォルトでディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

MGCP を使用するには、通常、2 つ以上の inspect コマンドを設定する必要があります。1 つはゲートウェイがコマンドを受信するポート用で、もう 1 つはコール エージェントがコマンドを受信するポート用です。一般的に、コール エージェントはゲートウェイのデフォルト MGCP ポート 2427 にコマンドを送信し、ゲートウェイはコール エージェントのデフォルト MGCP ポート 2727 にコマンドを送信します。

MGCP は、メディア ゲートウェイ コントローラまたはコール エージェントと呼ばれる外部コール制御要素からメディア ゲートウェイを制御するために使用されます。メディア ゲートウェイは一般に、電話回線を通じた音声信号と、インターネットまたは他のパケット ネットワークを通じたデータ パケットとの間の変換を行うネットワーク要素です。NAT および PAT を MGCP とともに使用すると、限られた外部（グローバル）アドレスのセットで、内部ネットワークの多数のデバイスをサポートできます。

メディア ゲートウェイの例は次のとおりです。

• トランキング ゲートウェイ。電話ネットワークと Voice over IP ネットワークとの間のインターフェイスです。このようなゲートウェイは通常、大量のデジタル回線を管理します。
• 住宅用ゲートウェイ。従来のアナログ（RJ11）インターフェイスを Voice over IP ネットワークに提供します。住宅用ゲートウェイの例としては、ケーブル モデムやケーブル セットトップ ボックス、xDSL デバイス、ブロードバンド ワイヤレス デバイスなどがあります。
• ビジネス ゲートウェイ。従来のデジタル PBX（構内交換機）インターフェイスまたは統合 soft PBX インターフェイスを Voice over IP ネットワークに提供します。

MGCP メッセージは UDP を介して送信されます。応答はコマンドの送信元アドレス（IP アドレスと UDP ポート番号）に返送されますが、コマンド送信先と同じアドレスからの応答は到達しない場合があります。これは、複数のコール エージェントがフェールオーバー コンフィギュレーションで使用されているときに、コマンドを受信したコール エージェントが制御をバックアップ コール エージェントに引き渡し、バックアップ コール エージェントが応答を送信する場合に起こる可能性があります。

（注） MGCP コール エージェントは、AUEP メッセージを送信して、MGCP エンドポイントが存在するかどうかを判定します。これによって、ASA を通過するフローが確立され、MGCP エンドポイントをコール エージェントに登録できます。

1 つ以上のコール エージェントおよびゲートウェイの IP アドレスを設定するには、MGCP マップ コンフィギュレーション モードで call-agent および gateway コマンドを使用します。コマンド キューで一度に許可される MGCP コマンドの最大数を指定するには、MGCP マップ コンフィギュレーション モードで command-queue コマンドを使用します。

シグナリング メッセージのインスペクション

シグナリング メッセージのインスペクションでは、多くの場合、 inspect mgcp コマンドでメディア エンドポイント（IP 電話など）の場所を特定する必要があります。

この情報は、メディア トラフィックのアクセス コントロールと NAT 状態を準備して、手動で設定を行わずにメディア トラフィックが透過的にファイアウォールを通過するために使用されます。

これらの場所を特定するときに、 inspect mgcp コマンドではトンネル デフォルト ゲートウェイ ルートを 使用しません 。トンネル デフォルト ゲートウェイのルートは、 route interface 0 0 metric tunneled という形式のルートです。このルートは、IPsec トンネルから出力されるパケットのデフォルト ルートを上書きします。そのため、VPN トラフィックに対して inspect mgcp コマンドが必要となる場合は、トンネル デフォルト ゲートウェイ ルートを設定しないようにしてください。代わりに、他のスタティック ルーティングまたはダイナミック ルーティングを使用します。

キューに入れることができる MGCP コマンドの最大数は 150 です。

例

次に、MGCP トラフィックを指定し、MGCP インスペクション マップを定義し、ポリシーを定義して、そのポリシーを外部インターフェイスに適用する例を示します。この例では、デフォルト ポート（2427 および 2727）上の MGCP トラフィックと一致するクラス マップを作成します。その後、サービス ポリシーは外部インターフェイスに適用されます。このコンフィギュレーションでは、コール エージェント 10.10.11.5 および 10.10.11.6 でゲートウェイ 10.10.10.115 を制御し、コール エージェント 10.10.11.7 および 10.10.11.8 で、10.10.10.116 と 10.10.10.117 の両方のゲートウェイを制御できるようにします。すべてのインターフェイスに対して MGCP インスペクションをイネーブルにするには、 interface outside の代わりに global パラメータを使用します。

 

関連コマンド

 

構文の説明

 

デフォルト

このコマンドは、デフォルトでディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

ASA には、CUMA Mobile Multiplexing Protocol（MMP）を検証するインスペクション エンジンが含まれています。MMP は、CUMA クライアントとサーバ間でデータ エンティティを送信するためのデータ トランスポート プロトコルです。ASA が CUMA クライアントとサーバの間に配置されており、MMP パケットのインスペクションが必要な場合は、 inspect mmp コマンドを使用します。

MMP トラフィックは TLS 接続でしか転送できないため、MMP インスペクションは TLS プロキシとともにイネーブルにする必要があります。

（注） MMP インスペクション エンジンを設定するときは、デフォルト以外のインスペクション クラスでしか追加できないことに注意してください。

例

次に、 inspect mmp コマンドを使用して MMP トラフィックを検査する例を示します。

 

関連コマンド

 

構文の説明

 

デフォルト

このコマンドは、デフォルトでイネーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

inspect netbios コマンドは、NetBIOS プロトコルに対するアプリケーション インスペクションをイネーブルまたはディセーブルにします。NETBIOS インスペクションはデフォルトでイネーブルになっています。NetBIOS インスペクション エンジンは、ASA の NAT コンフィギュレーションに基づいて、NetBIOS ネーム サービス（NBNS）パケット内の IP アドレスを変換します。必要に応じて、NetBIOS プロトコル違反をドロップまたはログに記録するポリシー マップを作成できます。

例

次に、NetBIOS インスペクション ポリシー マップを定義する例を示します。

 

関連コマンド

 

構文の説明

このコマンドには引数またはキーワードはありません。

 

デフォルト

このコマンドは、デフォルトでディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

Point-to-Point Tunneling Protocol（PPTP）は、PPP トラフィックをトンネリングするためのプロトコルです。PPTP セッションは、1 つの TCP チャネルと通常 2 つの PPTP GRE トンネルで構成されます。TCP チャネルは、PPTP GRE トンネルのネゴシエートと管理に使用される制御チャネルです。GRE トンネルは、2 つのホスト間の PPP セッションを伝送します。

PPTP アプリケーション インスペクションは、イネーブルになると、PPTP プロトコル パケットを検査し、PPTP トラフィックを許可するために必要な GRE 接続と xlate をダイナミックに作成します。RFC 2637 で定義されているバージョン 1 だけがサポートされます。

PAT は、PPTP TCP 制御チャネル上で修正バージョンの GRE（RFC 2637）がネゴシエートされたときに、その GRE に対してだけ実行されます。PAT は、未修正バージョンの GRE（RFC 1701、RFC 1702）には実行されません。

具体的には、 ASA は、PPTP のバージョン通知と発信コールの要求/応答シーケンスを検査します。RFC 2637 で定義されている PPTP バージョン 1 だけが検査されます。どちらかの側から通知されたバージョンがバージョン 1 でない場合、TCP 制御チャネルでのそれ以降のインスペクションはディセーブルになります。また、発信コールの要求と応答のシーケンスは追跡されます。接続と xlate は、後続のセカンダリ GRE データ トラフィックを許可するために、必要に応じてダイナミックに割り当てられます。

PPTP インスペクション エンジンは、PPTP トラフィックを PAT で変換できるように、イネーブルにする必要があります。また、PAT は、PPTP TCP 制御チャネルで修正バージョンの GRE（RFC 2637）がネゴシエートされた場合に限り、その GRE に対してだけ実行されます。PAT は、未修正バージョンの GRE（RFC 1701、RFC 1702）には実行されません。

RFC 2637 で定義されているように、PPTP プロトコルは、主に、モデム バンク PAC（PPTP アクセス コンセントレータ）から開始されたヘッドエンド PNS（PPTP ネットワーク サーバ）への PPP セッションのトンネリングに使用されます。このように使用された場合、PAC がリモート クライアントで PNS がサーバです。

ただし、Windows によって VPN で使用された場合、この関係は逆になります。PNS は、中央のネットワークにアクセスするためにヘッドエンド PAC への接続を開始するリモートのシングル ユーザ PC です。

すべてのインターフェイスに対して PPTP インスペクションをイネーブルにするには、 interface outside の代わりに global パラメータを使用します。

例

次の例に示すように、PPTP インスペクション エンジンをイネーブルにします。この例では、デフォルト ポート（1723）上の PPTP トラフィックと一致するクラス マップを作成します。その後、サービス ポリシーは外部インターフェイスに適用されます。

 

関連コマンド

 

構文の説明

 

デフォルト

このコマンドは、デフォルトでディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

RADIUS アカウンティング インスペクションの目的は、RADIUS サーバを使用した GPRS ネットワークの過剰請求攻撃を防ぐことです。RADIUS アカウンティング インスペクションを実行するには、GTP/GPRS または Carrier ライセンスは必要ありませんが、GTP インスペクションを実行し、GPRS セットアップをセットアップしない限り、意味がありません。

policy-map type inspect radius-accounting コマンドを使用して、RADIUS アカウンティングのパラメータの定義に使用するインスペクション マップを作成します。parameters コマンドを入力した後、 send response 、 host 、 validate-attribute 、 enable gprs 、および timeout users の各コマンドを使用してインスペクションの特性や動作を定義できます。

さらに、 class-map type management 、 policy-map 、および service-policy の各コマンドを使用して、トラフィックのクラスを定義し、クラスに inspect radius-accounting コマンドを適用して、1 つ以上のインターフェイスにポリシーを適用します。

（注） inspect radius-accounting コマンドは、class-map type management コマンドとのみ使用できます。

例

次に、RADIUS アカウンティング インスペクション マップを設定し、インスペクションをグローバルにイネーブルにする例を示します。

 

関連コマンド

 

構文の説明

このコマンドには引数またはキーワードはありません。

 

デフォルト

このコマンドは、デフォルトでイネーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

RSH プロトコルは、TCP ポート 514 で RSH クライアントから RSH サーバへの TCP 接続を使用します。クライアントとサーバは、クライアントが STDERR 出力ストリームを受信する TCP ポート番号をネゴシエートします。RSH インスペクションは、必要に応じて、ネゴシエートされたポート番号の NAT をサポートします。

例

次に、RSH インスペクション エンジンをイネーブルにし、RSH トラフィックをデフォルト ポート（514）上で照合するクラス マップを作成する例を示します。その後、サービス ポリシーは外部インターフェイスに適用されます。すべてのインターフェイスに対して RSH インスペクションをイネーブルにするには、 interface outside の代わりに global パラメータを使用します。

 

関連コマンド

 

構文の説明

 

デフォルト

このコマンドは、デフォルトでイネーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

inspect rtsp コマンドを使用すると、ASA で RTSP パケットを通過させることができます。RTSP は、RealAudio、RealNetworks、Apple QuickTime 4、RealPlayer、および Cisco IP/TV の各接続で使用されます。

（注） Cisco IP/TV では、RTSP TCP ポート 554 と TCP 8554 を使用します。

RTSP アプリケーションは、制御チャネルとしての TCP（例外的に UDP）とともに予約済みポート 554 を使用します。ASA は、RFC 2326 に準拠して、TCP だけをサポートします。この TCP コントロール チャネルは、クライアントに設定されているトランスポート モードに応じて、オーディオ/ビデオ トラフィックの送信に使用されるデータ チャネルをネゴシエートするために使用されます。

サポートされている RDT トランスポートは、rtp/avp、rtp/avp/udp、x-real-rdt、x-real-rdt/udp、x-pn-tng/udp です。

ASA は、ステータス コード 200 の SETUP 応答メッセージを解析します。SETUP 応答メッセージが、着信方向に移動している場合、サーバは ASA との相対位置関係で外部に存在することになるため、サーバから着信する接続に対してダイナミック チャネルを開くことが必要になります。この応答メッセージが発信方向である場合、ASA は、ダイナミック チャネルを開く必要はありません。

RFC 2326 では、クライアントとサーバのポートを SETUP 応答メッセージ内に含める必要があるとは規定していないため、ASA で状態を保持し、SETUP メッセージに含まれているクライアント ポートを記憶しておく必要があります。QuickTime が、SETUP メッセージ内にクライアント ポートを設定すると、サーバは、サーバ ポートだけで応答します。

RealPlayer の使用方法

RealPlayer を使用するときは、転送モードを正しく設定することが重要です。ASA では、サーバからクライアントまたはその逆の access-list コマンド ステートメントを追加します。RealPlayer では、[Options] > [Preferences] > [Transport] > [RTSP Settings] の順に選択して、トランスポート モードを変更します。

RealPlayer で TCP モードを使用する場合は、[Use TCP to Connect to Server] および [Attempt to use TCP for all content] のチェックボックスを選択します。ASA で、インスペクション エンジンを設定する必要はありません。

RealPlayer で UDP モードを使用する場合は、[Use TCP to Connect to Server] および [Attempt to use UDP for static content] のチェックボックスを選択します。 マルチキャスト経由でライブ コンテンツは利用できません。 ASA で、 inspect rtsp port コマンド ステートメントを追加します。

制約事項と制限

RSTP インスペクションには次の制限が適用されます。

• ASA は、マルチキャスト RTSP または UDP による RTSP メッセージをサポートしません。
• ASA には、RTSP メッセージが HTTP メッセージ内に隠されている HTTP クローキングを認識する機能はありません。
• 埋め込み IP アドレスが HTTP メッセージまたは RTSP メッセージの一部として SDP ファイル内に含まれているため、ASA は、RTSP メッセージに NAT を実行できません。パケットはフラグメント化できますが、ASA ではフラグメント化されたパケットに対して NAT を実行することはできません。
• Cisco IP/TV では、メッセージの SDP 部分に対して ASA が実行する変換の数は、Content Manager にあるプログラム リストの数に比例します（各プログラム リストには、少なくとも 6 個の埋め込み IP アドレスを含めることができます）。
• Apple QuickTime 4 または RealPlayer 用の NAT を設定できます。Cisco IP/TV は、ビューアと Content Manager が外部ネットワークにあり、サーバが内部ネットワークにあるときにだけ NAT を使用できます。

例

次に、RTSP インスペクション エンジンをイネーブルにし、RTSP トラフィックをデフォルト ポート（554 および 8554）上で照合するクラス マップを作成する例を示します。その後、サービス ポリシーは外部インターフェイスに適用されます。

 

関連コマンド

 

構文の説明

 

コマンド デフォルト

fail-close がデフォルトです。

 

コマンド履歴

 

使用上のガイドライン

Cisco クラウド Web セキュリティ では、Software as a Service（SaaS）による Web セキュリティおよび Web フィルタリング サービスが提供されます。ネットワークで ASA を使用している企業は、追加ハードウェアをインストールせずにクラウド Web セキュリティ サービスを使用できます。

（注） この機能は「ScanSafe」とも呼ばれていますので、ScanSafe という名前が表示されるコマンドがあります。

モジュラ ポリシー フレームワークを使用してこのコマンドを設定する手順は次のとおりです。

1. policy-map type inspect scansafe コマンドを使用してインスペクション ポリシー マップを作成します。HTTP と HTTPS の両方を検査する場合、各トラフィックについて少なくとも 1 つずつ設定する必要があります。

2. （オプション） class-map type inspect scansafe コマンドを使用してホワイトリストを設定します。

3. class-map コマンドを使用して、検査するトラフィックを定義します。HTTP と HTTPS のトラフィックについて、それぞれクラス マップを設定する必要があります。

4. policy-map コマンドを入力してポリシーを定義します。

5. HTTP の場合、 class コマンドを入力して HTTP クラス マップを参照します。

6. inspect scansafe コマンドを入力して HTTP インスペクション ポリシー マップを参照します。

7. HTTPS の場合、 class コマンドを入力して HTTPS クラス マップを参照します。

8. inspect scansafe コマンドを入力して HTTPS インスペクション ポリシー マップを参照します。

9. 最後に、 service-policy コマンドを使用して、インターフェイスにポリシー マップを適用します。

例

次に、2 つのクラス（HTTP に 1 つ、HTTPS に 1 つ）を設定する例を示します。各 ACL は www.cisco.com と tools.cisco.com、DMZ ネットワーク、および HTTP と HTTPS の両方に対するトラフィックを免除します。他のすべてのトラフィックは、複数のホワイトリストに記載されたユーザおよびグループを除き、クラウド Web セキュリティに送信されます。ポリシーは、内部インターフェイスに適用されます。

 

関連コマンド

 

構文の説明

 

デフォルト

このコマンドは、デフォルトでディセーブルになっています。

 

コマンド履歴

 

使用上のガイドライン

SCTP（Stream Control Transmission Protocol）は、テレフォニー シグナリング プロトコル SS7 をサポートしており、4G LTE モバイル ネットワーク アーキテクチャのいくつかのインターフェイス用のトランスポート プロトコルでもあります。デバイスを通過するモバイル ネットワーク トラフィックがある場合は、SCTP インスペクションを GTP および Diameter インスペクションとともに使用します。

オプションで、SCTP ポリシー マップを指定できます。これにより、SCTP アプリケーションでフィルタ処理を実行して、さまざまなサービスを提供できます。また、ペイロード プロトコル ID（PPID）に基づいて SCTP トラフィック クラスを選択的にドロップしたり、ログに記録したり、それらにレート制限を適用したりすることができます。 policy-map type inspect sctp コマンドを使用してポリシー マップを作成します。

例

次の例では、未割り当ての PPID（この例の作成時点で未割り当て）をドロップし、PPID 32 ～ 40 をレート制限し、Diameter PPID をログに記録するインスペクション ポリシー マップを作成します。このサービス ポリシーは、すべての SCTP トラフィックを照合する inspection_default クラスにインスペクションを適用します。

 

関連コマンド

 

構文の説明

 

デフォルト

SIP インスペクションはデフォルトでイネーブルになっており、次を含むデフォルトのインスペクション ポリシー マップを使用します。

• SIP インスタント メッセージ（IM）の拡張機能：イネーブル
• SIP トラフィック以外の SIP ポート使用：許可
• サーバとエンドポイントの IP アドレスの非表示：ディセーブル
• ソフトウェアのバージョンと SIP 以外の URI をマスク：ディセーブル
• 1 以上の宛先ホップ カウントを保証：イネーブル
• RTP 準拠：適用強制しない
• SIP 準拠：ステート チェックとヘッダー検証を実行しない

暗号化されたトラフィックのインスペクションがイネーブルになっていないことにも注意してください。暗号化されたトラフィックを検査するには、TLS プロキシを設定する必要があります。

SIP のデフォルトのポート割り当ては 5060 です。

 

コマンド履歴

 

使用上のガイドライン

SIP は、インターネット会議、テレフォニー、プレゼンス、イベント通知、およびインスタント メッセージングに広く使用されているプロトコルです。テキストベースの性質とその柔軟性により、SIP ネットワークは数多くのセキュリティ脅威にさらされます。

SIP アプリケーション インスペクションでは、メッセージ ヘッダーおよび本文のアドレス変換、ポートの動的なオープン、および基本的な健全性チェックが行われます。SIP メッセージの健全性を実現するアプリケーション セキュリティおよびプロトコルへの準拠と、SIP ベースの攻撃の検出もサポートされます。

SIP インスペクションはデフォルトでイネーブルになっています。これは、デフォルト以外の処理が必要な場合、または暗号化されたトラフィックのインスペクションをイネーブルにするために TLS プロキシを設定する場合にのみ設定する必要があります。

ASA 経由の SIP コールをサポートする場合は、シグナリング メッセージは予約済みの宛先ポート（UDP/TCP 5060）経由で送信され、メディア ストリームはダイナミックに割り当てられるため、メディア接続アドレスのシグナリング メッセージ、メディア ポート、およびメディアの初期接続を検査する必要があります。また、SIP は、IP パケットのユーザデータ部分に IP アドレスを埋め込みます。SIP インスペクションは、それらの埋め込まれた IP アドレスに NAT を適用します。

SIP インスペクションの制限事項

SIP インスペクションは、埋め込まれた IP アドレスに NAT を適用します。ただし、送信元と宛先両方のアドレスを変換するように NAT を設定している場合、外部アドレス（「trying」応答メッセージの SIP ヘッダー内の「from」）は書き換えられません。そのため、宛先アドレスの変換を回避するように SIP トラフィックを使用している場合は、オブジェクト NAT を使用する必要があります。

PAT を SIP で使用する場合、次の制限事項が適用されます。

• ASA で保護されているネットワークの SIP プロキシにリモート エンドポイントを登録しようとすると、次のような一定の条件下で登録が失敗します。

– PAT がリモート エンドポイント用に設定されている。

– SIP レジストラ サーバが外部ネットワークにある。

– エンドポイントからプロキシ サーバに送信された REGISTER メッセージの接続先フィールドにポートが設定されていない。

• SDP 部分の所有者/作成者フィールド（o=）の IP アドレスが接続フィールド（c=）の IP アドレスと異なるパケットを SIP デバイスが送信すると、o= フィールドの IP アドレスが正しく変換されない場合があります。これは、o= フィールドでポート値を提供しない SIP プロトコルの制限によるものです。
• PAT を使用する場合は、ポートを持たない内部 IP アドレスを含む SIP ヘッダー フィールドは変換されない可能性があるため、内部 IP アドレスが外部に漏れます。この漏出を避けるには、PAT の代わりに NAT を設定します。

シグナリング メッセージのインスペクション

シグナリング メッセージのインスペクションでは、多くの場合、 inspect sip コマンドでメディア エンドポイント（IP 電話など）の場所を特定する必要があります。

この情報は、メディア トラフィックのアクセス コントロールと NAT 状態を準備して、手動で設定を行わずにメディア トラフィックが透過的にファイアウォールを通過するために使用されます。

これらの場所を特定するときに、 inspect sip コマンドではトンネル デフォルト ゲートウェイ ルートを 使用しません 。トンネル デフォルト ゲートウェイのルートは、 route interface 0 0 metric tunneled という形式のルートです。このルートは、IPsec トンネルから出力されるパケットのデフォルト ルートを上書きします。そのため、VPN トラフィックに対して inspect sip コマンドが必要となる場合は、トンネル デフォルト ゲートウェイ ルートを設定しないようにしてください。代わりに、他のスタティック ルーティングまたはダイナミック ルーティングを使用します。

例

次に、SIP インスペクション エンジンをイネーブルにし、SIP トラフィックをデフォルト ポート（5060）上で照合するクラス マップを作成する例を示します。その後、サービス ポリシーは外部インターフェイスに適用されます。すべてのインターフェイスに対して SIP インスペクションをイネーブルにするには、 interface outside の代わりに global パラメータを使用します。

 

関連コマンド