この章

CHAPTER
51
TCP ステートバイパスの設定
この章では、TCP ステートバイパスについて説明します。この機能を使用すると、アウトバウンドフ
ローとインバウンドフローが異なる適応型セキュリティアプライアンスを通過できます。この章には、
次の項があります。
• 「TCP ステートバイパスに関する情報」（P.51-1）
• 「TCP ステートバイパスのライセンス要件」（P.51-2）
• 「ガイドラインと制限事項」（P.51-2）
• 「デフォルト設定」（P.51-3）
• 「TCP ステートバイパスの設定」（P.51-3）
• 「TCP ステートバイパスの監視」（P.51-4）
• 「TCP ステートバイパスの設定例」（P.51-4）
• 「TCP ステートバイパスの機能履歴」（P.51-5）
TCP ステートバイパスに関する情報
デフォルトでは、適応型セキュリティアプライアンスを通過するトラフィックはすべて、アダプティ
ブセキュリティアルゴリズムを使用して検査され、セキュリティポリシーに基づいて、通過を許可さ
れるか、またはドロップされます。適応型セキュリティアプライアンスは、各パケットのステートを
チェックして（新規の接続か、確立済みの接続か）、セッション管理パス（新規接続の SYN パケッ
ト）、ファーストパス（確立済み接続）、またはコントロールプレーンパス（高度な検査）を割り当て
ることで、ファイアウォールのパフォーマンスを最大化します。ステートフルファイアウォールの詳
細については、「ステートフルインスペクションの概要」（P.1-13）を参照してください。
ファーストパスの既存の接続に一致する TCP パケットは、セキュリティポリシーのあらゆる面の再検
査を受けることなく適応型セキュリティアプライアンスを通過できます。この機能によってパフォー
マンスは最大になります。ただし、SYN パケットを使用してファーストパスのセッションを確立する
方法、およびファーストパスで実施される検査（TCP シーケンス番号など）は、非対称ルーティング
ソリューションを妨げる場合があります。つまり、接続のアウトバウンドフローとインバウンドフ
ローがどちらも同じ適応型セキュリティアプライアンスを通過する必要があります。
たとえば、新しい接続が適応型セキュリティアプライアンス 1. に到着します。SYN パケットはセッ
ション管理パスを通過し、接続のエントリがファーストパステーブルに追加されます。この接続の後
続のパケットが適応型セキュリティアプライアンス 1 を通過する場合、パケットはファーストパスの
エントリと一致して、通過します。しかし、後続のパケットが適応型セキュリティアプライアンス 2
に到着すると、SYN パケットがセッション管理パスを通過していないために、ファーストパスにはそ
の接続のエントリがなく、パケットはドロップされます。図 51-1 は非対称ルーティングの例を示した
もので、アウトバウンドトラフィックはインバウンドトラフィックとは異なる適応型セキュリティア
Cisco ASA 5500 シリーズコンフィギュレーションガイド（CLI を使用）
OL-18970-01-J
51-1
第 51 章
TCP ステートバイパスの設定
TCP ステートバイパスのライセンス要件
プライアンスを通過しています。
図 51-1
非対称ルーティング
ISP A
ISP B
࠮ࠠࡘ࡝࠹ࠖ
ࠕࡊ࡜ࠗࠕࡦࠬ 2
࠮ࠠࡘ࡝࠹ࠖ
ࠕࡊ࡜ࠗࠕࡦࠬ 1
࡝࠲࡯ࡦ ࠻࡜ࡈࠖ࠶ࠢ
ౝㇱ
ࡀ࠶࠻ࡢ࡯ࠢ
251155
⊒ା࠻࡜ࡈࠖ࠶ࠢ
アップストリームルータに設定された非対称ルーティングがあり、トラフィックが 2 つの適応型セ
キュリティアプライアンスの間で切り替わる場合は、特定のトラフィックに対して TCP ステートバイ
パスを設定できます。TCP ステートバイパスは、ファーストパスでのセッションの確立方法を変更
し、ファーストパスの検査をディセーブルにします。この機能は、TCP トラフィックを UDP 接続と
同じように処理します。指定されているネットワークに一致する非 SYN パケットが適応型セキュリ
ティアプライアンスに到着し、ファーストパスのエントリがない場合は、パケットはセッション管理
パスを通過して、ファーストパスの接続を確立します。いったんファーストパスに入ると、トラ
フィックはファーストパスの検査をバイパスします。
TCP ステートバイパスのライセンス要件
モデル
ライセンス要件
すべてのモデル
基本ライセンス
ガイドラインと制限事項
この項では、この機能のガイドラインと制限事項について説明します。
コンテキストモードのガイドライン
シングルコンテキストモードとマルチコンテキストモードでサポートされています。
ファイアウォールモードのガイドライン
ルーテッドモードとトランスペアレントモードでサポートされます。
Cisco ASA 5500 シリーズコンフィギュレーションガイド（CLI を使用）
51-2
OL-18970-01-J
第 51 章
TCP ステートバイパスの設定
デフォルト設定
フェールオーバーのガイドライン
フェールオーバーはサポートされます。
サポートされていない機能
TCP ステートバイパスを使用するときは、次の機能はサポートされません。
• アプリケーション検査：アプリケーション検査ではインバウンドトラフィックとアウトバウンド
トラフィックの両方が同じ適応型セキュリティアプライアンスを通過する必要があるので、アプ
リケーション検査は TCP ステートバイパスではサポートされません。
• AAA 認証済みセッション：ユーザが 1 つの適応型セキュリティアプライアンスで認証するとき、
他の適応型セキュリティアプライアンスを介して返されるトラフィックは、ユーザがその適応型
セキュリティアプライアンスで認証を受けていないので拒否されます。
• TCP 代行受信、最大初期接続制限、TCP シーケンス番号のランダム化：適応型セキュリティアプ
ライアンスは接続のステートを追跡しないので、これらの機能は適用されません。
• TCP 正規化：TCP ノーマライザはディセーブルになります。
• SSM および SSC 機能：TCP ステートバイパスおよび IPS や CSC などの SSM または SSC 上で
実行するアプリケーションは使用できません。
NAT のガイドライン
変換セッションは適応型セキュリティアプライアンスごとに個別に確立されるので、TCP ステートバ
イパストラフィック用に両方の適応型セキュリティアプライアンスでスタティック NAT を設定してく
ださい。ダイナミック NAT を使用すると、適応型セキュリティアプライアンス 1 でのセッションに選
択されるアドレスが、適応型セキュリティアプライアンス 2 でのセッションに選択されるアドレスと
異なります。
デフォルト設定
TCP ステートバイパスは、デフォルトでディセーブルになっています。
TCP ステートバイパスの設定
この項では、TCP ステートバイパスの設定方法について説明します。
コマンド
目的
ステップ 1 class-map name
例:
hostname(config)# class-map bypass_traffic
ステップ 2 match parameter
例:
hostname(config-cmap)# match access-list
bypass
ステップ 3 policy-map name
例:
hostname(config)# policy-map
tcp_bypass_policy
ステートフルファイアウォール検査をディセーブルにするトラ
フィックを識別するためのクラスマップを作成します。
クラスマップのトラフィックを指定します。詳細については、
「トラフィックの特定（レイヤ 3/4 クラスマップ）」（P.9-13）を
参照してください。
クラスマップトラフィックで実行するアクションを設定するポ
リシーマップを追加または編集します。
Cisco ASA 5500 シリーズコンフィギュレーションガイド（CLI を使用）
OL-18970-01-J
51-3
第 51 章
TCP ステートバイパスの設定
TCP ステートバイパスの監視
コマンド
目的
ステップ 4 class name
ステップ 1 で作成したクラスマップを指定します。
例:
hostname(config-pmap)# class
bypass_traffic
ステップ 5 set connection advanced-options
TCP ステートバイパスをイネーブルにします。
tcp-state-bypass
例:
hostname(config-pmap-c)# set connection
advanced-options tcp-state-bypass
ステップ 6 service-policy policymap_name {global |
interface interface_name}
例:
hostname(config)# service-policy
tcp_bypass_policy outside
1 つまたは複数のインターフェイスでポリシーマップをアクティ
ブにします。global はポリシーマップをすべてのインターフェ
イスに適用し、interface は 1 つのインターフェイスに適用しま
す。グローバルポリシーは 1 つしか適用できません。インター
フェイスのグローバルポリシーは、そのインターフェイスに
サービスポリシーを適用することで上書きできます。各イン
ターフェイスには、ポリシーマップを 1 つだけ適用できます。
TCP ステートバイパスの監視
TCP ステートバイパスを監視するには、次のいずれかのタスクを実行します。
コマンド
目的
show conn
show conn コマンドを使用した場合、TCP ステートバイパスを使用する
接続にはフラグ「b」が表示されます。
TCP ステートバイパスの設定例
TCP ステートバイパスの設定例を次に示します。
hostname(config)# access-list tcp_bypass extended permit tcp 10.1.1.0 255.255.255.224 any
hostname(config)# class-map tcp_bypass
hostname(config-cmap)# description "TCP traffic that bypasses stateful firewall"
hostname(config-cmap)# match access-list tcp_bypass
hostname(config-cmap)# policy-map tcp_bypass_policy
hostname(config-pmap)# class tcp_bypass
hostname(config-pmap-c)# set connection advanced-options tcp-state-bypass
hostname(config-pmap-c)# service-policy tcp_bypass_policy outside
hostname(config-pmap-c)# static (inside,outside) 209.165.200.224 10.1.1.0 netmask
255.255.255.224
Cisco ASA 5500 シリーズコンフィギュレーションガイド（CLI を使用）
51-4
OL-18970-01-J
第 51 章
TCP ステートバイパスの設定
TCP ステートバイパスの機能履歴
TCP ステートバイパスの機能履歴
表 51-1 に、この機能のリリース履歴の一覧を示します。
表 51-1
TCP ステートバイパスの機能履歴
機能名
リリース
機能情報
TCP ステートバイパス
8.2(1)
この機能が導入されました。set connection
advanced-options tcp-state-bypass コマンドが導入されま
した。
Cisco ASA 5500 シリーズコンフィギュレーションガイド（CLI を使用）
OL-18970-01-J
51-5
第 51 章
TCP ステートバイパスの設定
TCP ステートバイパスの機能履歴
Cisco ASA 5500 シリーズコンフィギュレーションガイド（CLI を使用）
51-6
OL-18970-01-J

Download Report

この章

Paperzz.com

Your Paperzz