CHAPTER
18
ルーティングに関する情報
この章では、適応型セキュリティ アプライアンスでのルーティングの動作の概念と、サポートされて
いるルーティング プロトコルについて説明します。以降の章では、個々の特定のルーティング プロト
コルについて詳細に説明します。
この章には、次の項があります。
• 「ルーティングに関する情報」（P.18-1）
• 「適応型セキュリティ アプライアンス内部でのルーティングの動作」（P.18-4）
• 「ルーティングにサポートされているインターネット プロトコル」（P.18-5）
• 「ルーティング テーブルに関する情報」（P.18-5）
• 「IPv6 のサポートに関する情報」（P.18-9）
ルーティングに関する情報
ルーティングは、発信元から宛先にインターネットワーク経由で情報を移動する行為のことです。その
間に、通常は少なくとも 1 つの中間ノードがあります。ルーティングは、最適なルーティング パスの
決定と、インターネットワーク経由での情報グループ（通常はパケットと呼ばれる）の転送という 2 つ
の基本的なアクティビティが含まれます。ルーティング プロセスのコンテキストでは、後者のアク
ティビティがパケット スイッチングと呼ばれます。パケット スイッチングは比較的単純ですが、パス
の決定は非常に複雑になることがあります。
スイッチング
スイッチング アルゴリズムは比較的単純で、ほとんどのルーティング プロトコルで同じです。ほとん
どの場合は、別のホストにパケットを送信しなければならないことをホストが決定します。何らかの方
法でルータのアドレスを取得すると、送信元ホストは、ルータの物理（Media Access Control （MAC;
メディア アクセス制御）レイヤ）アドレスだけに向けてパケットを送信します。この場合は、宛先ホ
ストのプロトコル（ネットワーク レイヤ）アドレスとともに送信されます。
パケットの宛先プロトコル アドレスを確認するときに、ルータは、ネクストホップへのパケットの転
送方法を認識しているかどうかを確認します。ルータがパケットの転送方法を認識していない場合は、
通常はパケットをドロップします。ルータがパケットの転送方法を認識している場合は、宛先の物理ア
ドレスをネクストホップのアドレスに変更し、パケットを送信します。
ネクストホップが最終的な宛先ホストであることもあります。最終的な宛先ホストでない場合、ネクス
トホップは通常は別のルータであり、このルータが、同じスイッチング決定プロセスを実行します。パ
ケットがインターネットワークを移動すると、その物理アドレスは変化しますが、プロトコル アドレ
スは一定のままです。
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
OL-18970-01-J
18-1
第 18 章
ルーティングに関する情報
ルーティングに関する情報
パスの決定
ルーティング プロトコルでは、メトリックを使用して、パケットの移動に最適なパスを評価します。
メトリックは、宛先への最適なパスを決定するためにルーティング アルゴリズムが使用する、パスの
帯域幅などの測定基準です。パスの決定プロセスを支援するために、ルーティング アルゴリズムは、
ルート情報が含まれるルーティング テーブルを初期化して保持します。ルート情報は、使用するルー
ティング アルゴリズムによって異なります。
ルーティング アルゴリズムにより、さまざまな情報がルーティング テーブルに入力されます。宛先 /
ネクストホップの関連付けは、最後の宛先に達するまで、「ネクストホップ」を表す特定のルータにパ
ケットを送信することによって特定の宛先に最適に到達できることをルータに示します。ルータは、着
信パケットを受信すると宛先アドレスを確認し、このアドレスとネクストホップとを関連付けようとし
ます。
ルーティング テーブルには、パスの妥当性に関するデータなど、他の情報を含めることもできます。
ルータは、メトリックを比較して最適なルートを決定します。これらのメトリックは、使用している
ルーティング アルゴリズムの設計によって異なります。
ルータは互いに通信し、さまざまなメッセージの送信によりそのルーティング テーブルを保持してい
ます。ルーティング アップデート メッセージはそのようなメッセージの 1 つで、通常はルーティング
テーブル全体か、その一部で構成されています。ルーティング アップデートを他のすべてのルータか
ら分析することで、ルータはネットワーク トポロジの詳細な全体像を構築できます。ルータ間で送信
されるメッセージのもう 1 つの例であるリンクステート アドバタイズメントは、他のルータに送信元
のリンクのステートを通知します。リンク情報も、ネットワークの宛先に対する最適なルートをルータ
が決定できるように、ネットワーク トポロジの全体像の構築に使用できます。
（注）
非対称ルーティングは、適応型セキュリティ アプライアンスではサポートされていません。
サポートされるルートのタイプ
ルータで使用できるルートにはいくつかのタイプがあります。適応型セキュリティ アプライアンスが
使用するルート タイプを次に示します。
• 「スタティックとダイナミックの比較」（P.18-2）
• 「シングルパスとマルチパスの比較」（P.18-3）
• 「フラットと階層型の比較」（P.18-3）
• 「リンクステートと距離ベクトル型の比較」（P.18-3）
スタティックとダイナミックの比較
スタティック ルーティング アルゴリズムは実際にはアルゴリズムではなく、ルーティングの開始前に
ネットワーク管理者によって確立されるテーブル マッピングです。このようなマッピングは、ネット
ワーク管理者が変更するまでは変化しません。スタティック ルートを使用するアルゴリズムは設計が
容易であり、ネットワーク トラフィックが比較的予想可能で、ネットワーク設計が比較的単純な環境
で正しく動作します。
スタティック ルーティング システムはネットワークの変更に対応できないため、一般に、今日の変化
を続ける大規模なネットワークには不向きであると考えられています。今日の主なルーティング アル
ゴリズムのほどんどはダイナミック ルーティング アルゴリズムであり、受信したルーティング アップ
デート メッセージを分析することで、変化するネットワーク環境に適合します。メッセージがネット
ワークが変化したことを示している場合は、ルーティング ソフトウェアはルートを再計算し、新しい
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
18-2
OL-18970-01-J
第 18 章
ルーティングに関する情報
ルーティングに関する情報
ルーティング アップデート メッセージを送信します。これらのメッセージはネットワーク全体に送信
されるため、ルータはそのアルゴリズムを再度実行し、それに従ってルーティング テーブルを変更し
ます。
ダイナミック ルーティング アルゴリズムは、必要に応じてスタティック ルートで補足できます。たと
えば、ラスト リゾート ルータ（ルーティングできないすべてのパケットが送信されるルータ）を、
ルーティングできないすべてのパケットのリポジトリとして機能するように指定し、すべてのメッセー
ジを少なくとも何らかの方法で確実に処理することができます。
シングルパスとマルチパスの比較
一部の高度なルーティング プロトコルは、同じ宛先に対する複数のパスをサポートしています。シン
グルパス アルゴリズムとは異なり、これらのマルチパス アルゴリズムでは、複数の回線でトラフィッ
クを多重化できます。マルチパス アルゴリズムの利点は明白です。このパスにより、スループットと
信頼性が大幅に向上します。通常は、これをロード シェアリングと呼びます。
フラットと階層型の比較
ルーティング アルゴリズムには、フラットなスペースで動作するものと、ルーティング階層を使用す
るものがあります。フラット ルーティング システムでは、ルータは他のすべてのルータのピアになり
ます。階層型ルーティング システムでは、一部のルータが実質的なルーティング バックボーンを形成
します。バックボーン以外のルータからのパケットはバックボーン ルータに移動し、宛先の一般エリ
アに達するまでバックボーンを通じて送信されます。この時点で、パケットは、最後のバックボーン
ルータから、1 つ以上のバックボーン以外のルータを通じて最終的な宛先に移動します。
多くの場合、ルーティング システムは、ドメイン、自律システム、またはエリアと呼ばれるノードの
論理グループを指定します。階層型のシステムでは、ドメイン内の一部のルータは他のドメインのルー
タと通信できますが、他のルータはそのドメイン内のルータ以外とは通信できません。非常に大規模な
ネットワークでは、他の階層レベルが存在することがあり、最も高い階層レベルのルータがルーティン
グ バックボーンを形成します。
階層型ルーティングの第一の利点は、ほとんどの企業の組織に類似しているため、そのトラフィック
パターンもサポートするという点です。ほとんどのネットワーク通信は、小さい企業グループ（ドメイ
ン）内で発生します。ドメイン内ルータは、そのドメイン内の他のルータだけを認識していれば済むた
め、そのルーティング アルゴリズムを簡素化できます。また、使用しているルーティング アルゴリズ
ムに応じて、ルーティング アップデート トラフィックを減少させることができます。
リンクステートと距離ベクトル型の比較
リンクステート アルゴリズム（最短パス優先アルゴリズムとも呼ばれる）は、インターネットワークの
すべてのノードにルーティング情報をフラッドします。ただし、各ルータは、それ自体のリンクのス
テートを記述するルーティング テーブルの一部だけを送信します。リンクステート アルゴリズムでは、
各ルータはネットワークの全体像をそのルーティング テーブルに構築します。距離ベクトル型アルゴリ
ズム（Bellman-Ford アルゴリズムとも呼ばれる）では、各ルータが、そのネイバーだけに対してその
ルーティング テーブル全体または一部を送信するように要求されます。つまり、リンクステート アルゴ
リズムは小規模なアップデートを全体に送信しますが、距離ベクトル型アルゴリズムは、大規模なアッ
プデートを隣接ルータだけに送信します。距離ベクトル型アルゴリズムは、そのネイバーだけを認識し
ます。通常は、このタイプのアルゴリズムは OSPF ルーティング プロトコルとともに使用されます。
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
OL-18970-01-J
18-3
第 18 章
ルーティングに関する情報
適応型セキュリティ アプライアンス内部でのルーティングの動作
適応型セキュリティ アプライアンス内部でのルーティングの
動作
適応型セキュリティ アプライアンスは、ルーティング テーブルと XLATE テーブルの両方をルーティ
ングの決定に使用します。宛先 IP 変換トラフィック、つまり、変換されていないトラフィックを処理
するために、適応型セキュリティ アプライアンスは既存の XLATE またはスタティック変換を検索し
て出力インターフェイスを選択します。選択プロセスは次のとおりです。
出力インターフェイスの選択プロセス
1. 宛先 IP を変換する XLATE が既に存在する場合は、パケットの出力インターフェイスは、ルー
ティング テーブルではなく XLATE テーブルから決定されます。
2. 宛先 IP を変換する XLATE が存在せず、一致するスタティック変換が存在する場合は、出力イン
ターフェイスはスタティック ルートから決定されて XLATE が作成され、ルーティング テーブル
は使用されません。
3. 宛先 IP を変換する XLATE が存在せず、一致するスタティック変換も存在しない場合は、パケッ
トの宛先 IP 変換は実行されません。適応型セキュリティ アプライアンスは、ルートをルックアッ
プして出力インターフェイスを選択することでこのパケットを処理し、次に発信元 IP 変換が（必
要に応じて）実行されます。
通常のダイナミック発信 NAT では、最初の発信パケットは、ルート テーブルを使用し、XLATE
を作成することでルーティングされます。着信返送パケットは、既存の XLATE だけを使用して転
送されます。スタティック NAT では、宛先変換された着信パケットは、常に既存の XLATE また
はスタティック トランスレーション ルールを使用して転送されます。
ネクストホップの選択プロセス
前述のいずれかの方法を使用して出力インターフェイスを選択した後、さらにルート ルックアップが
実行され、これまでに選択した出力インターフェイスに属する適切なネクストホップが検出されます。
選択したインターフェイスに明示的に属するルートがルーティング テーブルにないと、パケットはド
ロップされ、別の出力インターフェイスに属する指定の宛先ネットワークに別のルートがある場合で
も、レベル 6 のエラー メッセージ 110001「no route to host」が表示されます。選択した出力イン
ターフェイスに属するルートが見つかると、パケットは対応するネクストホップに転送されます。
適応型セキュリティ アプライアンスでのロード シェアリングは、1 つの出力インターフェイスを使用
して複数のネクストホップが使用できる場合に限り可能です。ロード シェアリングでは、複数の出力
インターフェイスの共有はできません。
ダイナミック ルーティングが適応型セキュリティ アプライアンスで使用されており、XLATE の作成
後にルート テーブルが変更された場合も（ルート フラップなど）、宛先変換トラフィックは、XLATE
がタイムアウトするまでは、ルート テーブルではなく古い XLATE を使用して転送されます。古い
ルートが古いインターフェイスから削除され、ルーティング プロセスによって別のインターフェイス
に接続されている場合は、間違ったインターフェイスに転送されるか、メッセージ 110001「no route
to host」が表示されてドロップされます。
適応型セキュリティ アプライアンス自体でルート フラップが発生していないにもかかわらず、その周
りで一部のルーティング プロセスがフラッピングし、発信元変換された、同じフローに属するパケッ
トを、別のインターフェイスを使用して適応型セキュリティ アプライアンス経由で送信する場合は、
同様の問題が発生することがあります。宛先変換された返送パケットは、間違った出力インターフェイ
スを使用して戻されることがあります。
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
18-4
OL-18970-01-J
第 18 章
ルーティングに関する情報
ルーティングにサポートされているインターネット プロトコル
この問題は、フローの最初のパケットの方向に応じて、実質的にすべてのトラフィックを発信元変換ま
たは宛先変換できる同じセキュリティ トラフィック構成では、高い確率で発生します。ルート フラッ
プの後にこの問題が発生した場合は、clear xlate コマンドを使用して手動で解決することも、
XLATE のタイムアウトによって自動的に解決することもできます。XLATE のタイムアウトは、必要
に応じて小さくできます。この問題がほとんど発生しないようにするには、適応型セキュリティ アプ
ライアンスやその周りでルート フラップが発生しないようにします。つまり、同じフローに属する宛
先変換されたパケットが、適応型セキュリティ アプライアンスを通じて常に同じ方法で転送されるよ
うにします。
ルーティングにサポートされているインターネット プロトコル
適応型セキュリティ アプライアンスは、ルーティングに複数のインターネット プロトコルをサポート
しています。この項では、各プロトコルについて簡単に説明します。
• Enhanced Interior Gateway Routing Protocol（EIGRP）
Enhanced IGRP は、IGRP ルータとの互換性とシームレスな相互運用性を提供します。自動再配布
メカニズムにより、IGRP ルートを Enhanced IGRP に、または Enhanced IGRP からインポートで
きるため、Enhanced IGRP を既存の IGRP ネットワークに徐々に追加できます。
EIGRP の設定の詳細については、「EIGRP の設定」の章を参照してください。
• Open Shortest Path First （OSPF）
Open Shortest Path First（OSPF）は、Internet Protocol（IP; インターネット プロトコル）ネットワー
ク向けに、Internet Engineering Task Force（IETF; インターネット技術特別調査委員会）の Interior
Gateway Protocol（IGP）作業部会によって開発されたルーティング プロトコルです。OSPF は、す
べての既知の宛先までの最短パスを構築および計算するために、リンクステート アルゴリズムを使
用します。OSPF エリア内の各ルータには、ルータが使用可能なインターフェイスと到達可能なネイ
バーそれぞれのリストである同一のリンクステート データベースが置かれています。
OSPF の設定の詳細については、「OSPF の設定」の章を参照してください。
• Routing Information Protocol
Routing Information Protocol（RIP; ルーティング情報プロトコル）は、ホップ カウントをメト
リックとして使用する距離ベクトル型のプロトコルです。RIP は、グローバルなインターネットで
トラフィックのルーティングに広く使用されている Interior Gateway Protocol（IGP）です。つま
り、1 つの自律システム内部でルーティングを実行します。
RIP の設定の詳細については、「RIP の設定」の章を参照してください。
ルーティング テーブルに関する情報
ここでは、次の項目について説明します。
• 「ルーティング テーブルの表示」（P.18-5）
• 「ルーティング テーブルへの入力方法」（P.18-6）
• 「転送の決定方法」（P.18-8）
ルーティング テーブルの表示
ルーティング テーブルのエントリを表示するには、次のコマンドを入力します。
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
OL-18970-01-J
18-5
第 18 章
ルーティングに関する情報
ルーティング テーブルに関する情報
hostname# show route
Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
* - candidate default, U - per-user static route, o - ODR
P - periodic downloaded static route
Gateway of last resort is 10.86.194.1 to network 0.0.0.0
S
C
S*
10.1.1.0 255.255.255.0 [3/0] via 10.86.194.1, outside
10.86.194.0 255.255.254.0 is directly connected, outside
0.0.0.0 0.0.0.0 [1/0] via 10.86.194.1, outside
ASA 5505 適応型セキュリティ アプライアンスでは、次のルートも表示されます。これは、内部ループ
バック インターフェイスであり、VPN ハードウェア クライアント機能によって個々のユーザ認証に使
用されます。
C 127.1.0.0 255.255.0.0 is directly connected, _internal_loopback
ルーティング テーブルへの入力方法
適応型セキュリティ アプライアンスのルーティング テーブルには、スタティックに定義されたルート、
直接接続されているルート、および RIP、EIGRP、OSPF の各ルーティング プロトコルで検出された
ルートを入力できます。適応型セキュリティ アプライアンスは、ルーティング テーブルに含まれるスタ
ティック ルートと接続されているルートに加えて、複数のルーティング プロトコルを実行できるため、
同じルートが複数の方法で検出または入力される可能性があります。同じ宛先への 2 つのルートがルー
ティング テーブルに追加されると、ルーティング テーブルに残るルートは次のように決定されます。
• 2 つのルートのネットワーク プレフィックス長（ネットワーク マスク）が異なる場合、どちらの
ルートも固有と見なされ、ルーティング テーブルに入力されます。入力された後は、パケット転
送ロジックが 2 つのうちどちらを使用するかを決定します。
たとえば、RIP プロセスと OSPF プロセスが次のルートを検出したとします。
– RIP：192.168.32.0/24
– OSPF：192.168.32.0/19
OSPF ルートの管理ディスタンスの方が適切であるにもかかわらず、これらのルートのプレフィッ
クス長（サブネット マスク）はそれぞれ異なるため、両方のルートがルーティング テーブルにイ
ンストールされます。これらは異なる宛先と見なされ、パケット転送ロジックが使用するルートを
決定します。
• 適応型セキュリティ アプライアンスが、1 つのルーティング プロトコル（RIP など）から同じ宛
先に複数のパスがあることを検知すると、（ルーティング プロトコルが判定した）メトリックがよ
い方のルートがルーティング テーブルに入力されます。
メトリックは特定のルートに関連付けられた値で、ルートを最も優先されるものから順にランク付
けします。メトリックスの判定に使用されるパラメータは、ルーティング プロトコルによって異
なります。メトリックが最も小さいパスは最適パスとして選択され、ルーティング テーブルにイ
ンストールされます。同じ宛先への複数のパスのメトリックが等しい場合は、これらの等コスト
パスに対してロードバランシングが行われます。
• 適応型セキュリティ アプライアンスが、ある宛先へのルーティング プロトコルが複数あることを
検知すると、ルートの管理ディスタンスが比較され、管理ディスタンスが最も小さいルートがルー
ティング テーブルに入力されます。
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
18-6
OL-18970-01-J
第 18 章
ルーティングに関する情報
ルーティング テーブルに関する情報
ルーティング プロトコルによって検出されるルート、またはルーティング プロトコルに再配布さ
れるルートの管理ディスタンスは変更できます。2 つの異なるルーティング プロトコルからの 2 つ
のルートの管理ディスタンスが同じ場合、デフォルトの管理ディスタンスが小さい方のルートが
ルーティング テーブルに入力されます。EIGRP ルートと OSPF ルートの場合、EIGRP ルートと
OSPF ルートの管理ディスタンスが同じであれば、デフォルトで EIGRP ルートが選択されます。
管理ディスタンスは、2 つの異なるルーティング プロトコルから同じ宛先に複数の異なるルートがある
場合に、適応型セキュリティ アプライアンスが最適なパスの選択に使用するルート パラメータです。
ルーティング プロトコルには、他のプロトコルとは異なるアルゴリズムに基づくメトリックがあるた
め、異なるルーティング プロトコルによって生成された、同じ宛先への 2 つのルートについて常に
「最適パス」を判定できるわけではありません。
各ルーティング プロトコルには、管理ディスタンス値を使用して優先順位が付けられています。
表 18-1 に、適応型セキュリティ アプライアンスがサポートするルーティング プロトコルのデフォルト
の管理ディスタンス値を示します。
表 18-1
サポートされるルーティング プロトコルのデフォルトの管理ディスタンス
ルートの送信元
デフォルトの管理ディスタンス
接続されているインターフェイス
0
スタティック ルート
1
EIGRP サマリー ルート
5
内部 EIGRP
90
OSPF
110
RIP
120
EIGRP 外部ルート
170
不明
255
管理ディスタンス値が小さいほど、プロトコルの優先順位が高くなります。たとえば、適応型セキュリ
ティ アプライアンスが OSPF ルーティング プロセス（デフォルトの管理ディスタンスが 110）と RIP
ルーティング プロセス（デフォルトの管理ディスタンスが 120）の両方から特定のネットワークへの
ルートを受信すると、OSPF ルーティング プロセスの方が優先度が高いため、適応型セキュリティ ア
プライアンスは OSPF ルートを選択します。つまり、ルータは OSPF バージョンのルートをルーティ
ング テーブルに追加します。
上の例では、OSPF 導出ルートの送信元が（電源遮断などで）失われると、適応型セキュリティ アプ
ライアンスは、OSPF 導出ルートが再度現れるまで、RIP 導出ルートを使用します。
管理ディスタンスはローカルの設定値です。たとえば、OSPF を通して取得したルートの管理ディスタ
ンスを変更するために distance-ospf コマンドを使用する場合、その変更は、コマンドが入力された適
応型セキュリティ アプライアンスのルーティング テーブルにだけ影響します。管理ディスタンスが
ルーティング アップデートでアドバタイズされることはありません。
管理ディスタンスは、ルーティング プロセスに影響を与えません。OSPF および RIP ルーティング プ
ロセスは、ルーティング プロセスで検出されたか、ルーティング プロセスに再配布されたルートだけ
をアドバタイズします。たとえば、RIP ルーティング プロセスは、適応型セキュリティ アプライアン
スのルーティング テーブルで OSPF ルーティング プロセスによって検出されたルートが使用されてい
ても、RIP ルートをアドバタイズします。
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
OL-18970-01-J
18-7
第 18 章
ルーティングに関する情報
ルーティング テーブルに関する情報
バックアップ ルート
ルートを最初にルーティング テーブルにインストールしようとしたとき、他のルートがインストール
されてしまい、インストールできなかった場合に、そのルートはバックアップ ルートとして登録され
ます。ルーティング テーブルにインストールされたルートに障害が発生すると、ルーティング テーブ
ル メンテナンス プロセスが、登録されたバックアップ ルートを持つ各ルーティング プロトコル プロ
セスを呼び出し、ルーティング テーブルにルートを再インストールするように要求します。障害が発
生したルートに対して、登録されたバックアップ ルートを持つプロトコルが複数ある場合、管理ディ
スタンスに基づいて優先順位の高いルートが選択されます。
このプロセスのため、ダイナミック ルーティング プロトコルによって検出されたルートに障害が発生
したときにルーティング テーブルにインストールされる「フローティング」スタティック ルートを作
成できます。フローティング スタティック ルートとは、単に、適応型セキュリティ アプライアンスで
動作しているダイナミック ルーティング プロトコルよりも大きな管理ディスタンスが設定されている
スタティック ルートです。ダイナミック ルーティング プロセスで検出された対応するルートに障害が
発生すると、このスタティック ルートがルーティング テーブルにインストールされます。
転送の決定方法
転送は次のように決定されます。
• 宛先が、ルーティング テーブル内のエントリと一致しない場合、パケットはデフォルト ルートに
指定されているインターフェイスを通して転送されます。デフォルト ルートが設定されていない
場合、パケットは破棄されます。
• 宛先が、ルーティング テーブル内の 1 つのエントリと一致した場合、パケットはそのルートに関
連付けられているインターフェイスを通して転送されます。
• 宛先が、ルーティング テーブル内の複数のエントリと一致し、そのエントリのネットワーク プレ
フィックス長がすべて同じ場合、その宛先へのパケットはそのルートに関連付けられているイン
ターフェイスに配布されます。
• 宛先が、ルーティング テーブル内の複数のエントリと一致し、そのエントリのネットワーク プレ
フィックス長が異なる場合、パケットはネットワーク プレフィックス長がより長いルートに関連
付けられているインターフェイスから転送されます。
たとえば、192.168.32.1 宛てのパケットが、ルーティング テーブルの次のルートを使用して適応型セ
キュリティ アプライアンスのインターフェイスに到着したとします。
hostname# show route
....
R
192.168.32.0/24 [120/4] via 10.1.1.2
O
192.168.32.0/19 [110/229840] via 10.1.1.3
....
この場合、192.168.32.1 は 192.168.32.0/24 ネットワークに含まれるため、192.168.32.1 宛てのパケッ
トは 10.1.1.2 宛てに送信されます。このアドレスはまた、ルーティング テーブルの他のルートにも含
まれますが、ルーティング テーブル内では 192.168.32.0/24 の方が長いプレフィックスを持ちます（24
ビットと 19 ビット）。パケットを転送する場合、プレフィックスが長い方が常に短いものより優先され
ます。
ダイナミック ルーティングとフェールオーバー
スタティック ルーティング システムはネットワークの変更に対応できないため、一般に、今日の変化
を続ける大規模なネットワークには不向きであると考えられています。今日の主なルーティング アル
ゴリズムのほどんどはダイナミック ルーティング アルゴリズムであり、受信したルーティング アップ
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
18-8
OL-18970-01-J
第 18 章
ルーティングに関する情報
IPv6 のサポートに関する情報
デート メッセージを分析することで、変化するネットワーク環境に適合します。メッセージがネット
ワークが変化したことを示している場合は、ルーティング ソフトウェアはルートを再計算し、新しい
ルーティング アップデート メッセージを送信します。これらのメッセージはネットワーク全体に送信
されるため、ルータはそのアルゴリズムを再度実行し、それに従ってルーティング テーブルを変更し
ます。
ダイナミック ルーティング アルゴリズムは、必要に応じてスタティック ルートで補足できます。たと
えば、ラスト リゾート ルータ（ルーティングできないすべてのパケットが送信されるルータ）を、
ルーティングできないすべてのパケットのリポジトリとして機能するように指定し、すべてのメッセー
ジを少なくとも何らかの方法で確実に処理することができます。
ダイナミック ルートは、フェールオーバー コンフィギュレーションのスタンバイ装置またはフェール
オーバー グループには複製されません。したがって、フェールオーバーの発生直後、適応型セキュリ
ティ アプライアンスが受信したパケットの一部は、設定されているダイナミック ルーティング プロト
コルがルーティング テーブルに再入力される間、ルーティング情報がないためにドロップされるか、
デフォルト スタティック ルートにルーティングされることがあります。
スタティック ルートとその設定方法の詳細については、「スタティック ルートおよびデフォルト ルー
トの設定」を参照してください。
IPv6 のサポートに関する情報
すべてではありませんが、適応型セキュリティ アプライアンスの多くの機能は IPv6 トラフィックをサ
ポートしています。この項では、IPv6 をサポートするコマンドと機能について説明します。次の項目
を取り上げます。
• 「IPv6 をサポートする機能」（P.18-9）
• 「IPv6 対応のコマンド」（P.18-10）
• 「コマンドへの IPv6 アドレスの入力」（P.18-11）
IPv6 をサポートする機能
次の機能が IPv6 をサポートしています。
（注）
モジュラ ポリシー フレームワークを使用する機能では、必ず match any コマンドを使用して IPv6 ト
ラフィックを照合してください。他の match コマンドは IPv6 をサポートしていません。
• IPv6 トラフィックをサポートするアプリケーション検査
– FTP
– HTTP
– ICMP
– SIP
– SMTP
– IPSec-pass-thru
• IPS
• NetFlow セキュア イベント ロギングのフィルタリング
• 接続の制限値、タイムアウト、および TCP のランダム化
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
OL-18970-01-J
18-9
第 18 章
ルーティングに関する情報
IPv6 のサポートに関する情報
• TCP 正規化
• TCP ステート バイパス
• IPv6 アクセスリストを使用したアクセス グループ
• スタティック ルート
• VPN（すべてのタイプ）
（注）
フェールオーバーは IPv6 をサポートしません。ipv6 address コマンドは、フェールオーバー コンフィ
ギュレーションのスタンバイ アドレスの設定をサポートしません。failover interface ip コマンドは、
フェールオーバー インターフェイスおよびステートフル フェールオーバー インターフェイスでの IPv6
アドレスの使用をサポートしません。
IPv6 対応のコマンド
次に示す適応型セキュリティ アプライアンスのコマンドは、IPv6 アドレスの受け入れと表示が可能で
す。
• capture
• configure
• copy
• http
• name
• object-group
• ping
• show conn
• show local-host
• show tcpstat
• ssh
• telnet
• tftp-server
• who
• write
次のコマンドは、IPv6 で動作するように変更されました。
• debug
• fragment
• ip verify
• mtu
• icmp（ipv6 icmp と入力されます）
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
18-10
OL-18970-01-J
第 18 章
ルーティングに関する情報
IPv6 のサポートに関する情報
透過ファイアウォール モードでの IPv6 コマンドのガイドライン
ipv6 address および ipv6 enable コマンドは、インターフェイス コンフィギュレーション モードでは
なく、グローバル コンフィギュレーション モードで使用できます。ipv6 address コマンドは eui キー
ワードをサポートしていません。ipv6 address link-local コマンドは、インターフェイス コンフィギュ
レーション モードでも使用できます。
次の IPv6 コマンドにはルータ機能が必要であるため、透過ファイアウォール モードではサポートされ
ません。
• ipv6 address autoconfig
• ipv6 nd prefix
• ipv6 nd ra-interval
• ipv6 nd ra-lifetime
• ipv6 nd suppress-ra
トランスペアレント モードが VPN をサポートしていないため、次の VPN コマンドはサポートされま
せん。
• ipv6 local pool
コマンドへの IPv6 アドレスの入力
IPv6 アドレスをサポートするコマンドに IPv6 アドレスを入力するときは、単純に、標準 IPv6 表記で
IPv6 アドレスを入力します（ping fe80::2e0:b6ff:fe01:3b7a など）。適応型セキュリティ アプライ
アンスは、IPv6 アドレスを正しく認識し、処理します。ただし、次の場合は、IPv6 アドレスを角カッ
コ（[ ]）で囲む必要があります。
• アドレスと一緒にポート番号を指定する必要がある場合（例 : [fe80::2e0:b6ff:fe01:3b7a]:8080
など）。
• write net コマンドや config net コマンドなど、コマンドが区切り文字としてコロンを使用する場
合（configure net [fe80::2e0:b6ff:fe01:3b7a]:/tftp/config/pixconfig など）。
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
OL-18970-01-J
18-11
第 18 章
ルーティングに関する情報
IPv6 のサポートに関する情報
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
18-12
OL-18970-01-J