CHAPTER
78
トラブルシューティング
この章では、適応型セキュリティ アプライアンスのトラブルシューティングの方法について説明しま
す。次の項で構成されています。
• 「コンフィギュレーションのテスト」（P.78-1）
• 「セキュリティ アプライアンスのリロード」（P.78-7）
• 「パスワード回復の実行」（P.78-7）
• 「ソフトウェア イメージをロードするための ROM モニタの使用」（P.78-11）
• 「フラッシュ ファイル システムの消去」（P.78-13）
• 「その他のトラブルシューティング ツール」（P.78-13）
コンフィギュレーションのテスト
この項では、シングルモード 適応型セキュリティ アプライアンスまたは各セキュリティ コンテキスト
の接続性のテスト方法、適応型セキュリティ アプライアンス インターフェイスを ping する方法、およ
びあるインターフェイスにあるホストが他のインターフェイスのホストに ping できるようにする方法
について説明します。
ping およびデバッグ メッセージはトラブルシューティング時に限りイネーブルにしてください。適応
「テスト コンフィギュレーションのディセーブ
型セキュリティ アプライアンスのテストが終了したら、
ル化」（P.78-6）の手順を実行します。
この項は、次の内容で構成されています。
• 「ICMP デバッグ メッセージとシステム ログ メッセージのイネーブル化」（P.78-2）
• 「セキュリティ アプライアンス インターフェイスの ping」（P.78-2）
• 「セキュリティ アプライアンスによる ping」（P.78-4）
• 「テスト コンフィギュレーションのディセーブル化」（P.78-6）
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
OL-18970-01-J
78-1
第 78 章
トラブルシューティング
コンフィギュレーションのテスト
ICMP デバッグ メッセージとシステム ログ メッセージのイネーブル化
デバッグ メッセージとシステム ログ メッセージは、ping が成功しない理由をトラブルシューティング
するのに役立ちます。適応型セキュリティ アプライアンスは、適応型セキュリティ アプライアンス イ
ンターフェイスへの ping に対する ICMP デバッグ メッセージのみを表示します。適応型セキュリティ
アプライアンスを経由する他のホストへの ping に対する ICMP デバッグ メッセージは表示しません。
デバッグ メッセージとシステム ログ メッセージをイネーブルにするには、次の手順を実行します。
ステップ 1
コマンド
目的
debug icmp trace
適応型セキュリティ アプライアンス インターフェイスへの ping
の ICMP パケット情報を表示します。
ステップ 2 logging monitor debug
Telnet セッションまたは SSH セッションに送信するシステム ロ
グ メッセージを設定します。
（注）
あるいは、logging buffer debug コマンドを使用してロ
グ メッセージをバッファに送信してから、show logging
コマンドを使用してそれらを表示することもできます。
ステップ 3 terminal monitor
Telnet セッションまたは SSH セッションにシステム ログ メッ
ステップ 4 logging on
システム ログ メッセージをイネーブルにします。
セージを送信します。
例
次に、外部ホスト（209.165.201.2）から適応型セキュリティ アプライアンスの外部インターフェイス
（209.165.201.1）への ping が成功した例を示します。
hostname(config)# debug icmp trace
Inbound ICMP echo reply (len 32 id
Outbound ICMP echo request (len 32
Inbound ICMP echo reply (len 32 id
Outbound ICMP echo request (len 32
Inbound ICMP echo reply (len 32 id
Outbound ICMP echo request (len 32
Inbound ICMP echo reply (len 32 id
1 seq 256) 209.165.201.1 > 209.165.201.2
id 1 seq 512) 209.165.201.2 > 209.165.201.1
1 seq 512) 209.165.201.1 > 209.165.201.2
id 1 seq 768) 209.165.201.2 > 209.165.201.1
1 seq 768) 209.165.201.1 > 209.165.201.2
id 1 seq 1024) 209.165.201.2 > 209.165.201.1
1 seq 1024) 209.165.201.1 > 209.165.201.2
この例では、ICMP パケット長（32 バイト）、ICMP パケット識別子（1）、および ICMP シーケンス番
号（ICMP シーケンス番号は 0 から始まり、要求が送信されるたびに増分されます）が示されています。
セキュリティ アプライアンス インターフェイスの ping
適応型セキュリティ アプライアンス インターフェイスが起動して動作しているかどうか、および適応
型セキュリティ アプライアンスと接続ルータが正しく動作しているかどうかをテストするには、適応
型セキュリティ アプライアンス インターフェイスを ping します。適応型セキュリティ アプライアン
ス インターフェイスを ping するには、次の手順を実行します。
ステップ 1
インターフェイス名、セキュリティ レベル、および IP アドレスを示すシングルモードの適応型セキュ
リティ アプライアンスまたはセキュリティ コンテキストの図を作成します。
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
78-2
OL-18970-01-J
第 78 章
トラブルシューティング
コンフィギュレーションのテスト
（注）
この手順では IP アドレスを使用しますが、ping コマンドでは、DNS 名および name コマンド
を使用してローカル IP アドレスに割り当てられた名前もサポートされます。
図には、直接接続されたすべてのルータ、および適応型セキュリティ アプライアンスを ping するルー
タの反対側にあるホストも含める必要があります。この情報はこの手順と「セキュリティ アプライア
ンスによる ping」（P.78-4）の手順で使用します。次に例を示します。
図 78-1
インターフェイス、ルータ、およびホストを含むネットワーク図
ࡎࠬ࠻
10.1.1.56
209.265.200.230
10.1.1.2
10.1.3.6
10.1.3.2
209.265.200.226
࡞࡯࠲
209.165.201.2
ᄖㇱ
209.165.201.1
security0
dmz1
192.168.1.1
security20
209.165.201.24
209.165.201.1
࡞࡯࠲
࡞࡯࠲
192.168.1.2
ࡎࠬ࠻
192.168.3.2
࡞࡯࠲
10.1.0.1
dmz3
192.168.3.1
security60
ᄖㇱ
security0
ㅘㆊ ࠮ࠠࡘ࡝࠹ࠖ
ࠕࡊ࡜ࠗࠕࡦࠬ 10.1.0.3
࡞࡯࠹࠶࠼ ࠮ࠠࡘ࡝࠹ࠖ
ࠕࡊ࡜ࠗࠕࡦࠬ
dmz2
192.168.2.1
security40
192.168.2.2
ౝㇱ
192.168.0.1
security100
192.168.0.2
࡞࡯࠲
10.1.2.2
࡞࡯࠲
10.1.0.2
10.1.2.90
ステップ 2
ౝㇱ
security100
192.168.4.2
10.1.0.2
࡞࡯࠲
10.1.4.2
10.1.0.34
ࡎࠬ࠻
ࡎࠬ࠻
dmz4
192.168.4.1
security80
࡞࡯࠲
10.1.1.1
10.1.4.67
ࡎࠬ࠻
10.1.1.5
126692
ࡎࠬ࠻
ࡎࠬ࠻
ࡎࠬ࠻
直接接続されたルータから各適応型セキュリティ アプライアンス インターフェイスを ping します。ト
ランスペアレント モードでは、管理 IP アドレスを ping します。このテストは、適応型セキュリティ
アプライアンス インターフェイスがアクティブであること、およびインターフェイス コンフィギュ
レーションが正しいことを確認します。
適応型セキュリティ アプライアンス インターフェイスがアクティブではない場合、インターフェイス
コンフィギュレーションが正しくない場合、または適応型セキュリティ アプライアンスとルータの間
でスイッチがダウンしている場合、ping は失敗する可能性があります（図 78-2 を参照）。この場合、
パケットが適応型セキュリティ アプライアンスに到達しないので、デバッグ メッセージやシステム ロ
グ メッセージは表示されません。
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
OL-18970-01-J
78-3
第 78 章
トラブルシューティング
コンフィギュレーションのテスト
図 78-2
セキュリティ アプライアンス インターフェイスでの ping の失敗
࡞࡯࠲
࠮ࠠࡘ࡝࠹ࠖ
ࠕࡊ࡜ࠗࠕࡦࠬ
126695
ping
ping が適応型セキュリティ アプライアンスに到達し、適応型セキュリティ アプライアンスが応答する
と、次のようなデバッグ メッセージが表示されます。
ICMP echo reply (len 32 id 1 seq 256) 209.165.201.1 > 209.165.201.2
ICMP echo request (len 32 id 1 seq 512) 209.165.201.2 > 209.165.201.1
ping 応答がルータに戻されない場合は、スイッチ ループまたは冗長 IP アドレスが存在する可能性があ
ります（図 78-3 を参照）。
図 78-3
IP アドレッシングの問題による ping の失敗
ping
࡞࡯࠲
192.168.1.2
192.168.1.1
࠮ࠠࡘ࡝࠹ࠖ
ࠕࡊ࡜ࠗࠕࡦࠬ
126696
192.168.1.2
ࡎࠬ࠻
ステップ 3
リモート ホストから各適応型セキュリティ アプライアンス インターフェイスを ping します。トラン
スペアレント モードでは、管理 IP アドレスを ping します。このテストは、直接接続されたルータがホ
ストと適応型セキュリティ アプライアンスの間でパケットをルーティングできるかどうか、および適
応型セキュリティ アプライアンスがパケットを正確にルーティングしてホストに戻せるかどうかを確
認します。
中間ルータを通ってホストに戻るルートが適応型セキュリティ アプライアンスにない場合、ping は失
敗する可能性があります（図 78-4 を参照）。この場合、デバッグ メッセージには ping が成功したこと
が示されますが、ルーティングの失敗を示すシステム ログ メッセージ 110001 が表示されます。
セキュリティ アプライアンスに戻りルートがないことによる ping の失敗
?
ping
ࡎࠬ࠻
࡞࡯࠲
࠮ࠠࡘ࡝࠹ࠖ
ࠕࡊ࡜ࠗࠕࡦࠬ
126693
図 78-4
セキュリティ アプライアンスによる ping
適応型セキュリティ アプライアンス インターフェイスを正常に ping した後で、トラフィックが適応型
セキュリティ アプライアンスを正常に通過できることを確認します。ルーテッド モードでは、このテ
ストによって、Network Address Translation（NAT; ネットワーク アドレス変換）が正しく動作してい
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
78-4
OL-18970-01-J
第 78 章
トラブルシューティング
コンフィギュレーションのテスト
ることが示されます（設定されている場合）。トランスペアレント モードでは、NAT は使用されない
ので、このテストでは適応型セキュリティ アプライアンスが正しく動作していることが確認されます。
トランスペアレント モードで ping が失敗した場合は、Cisco TAC にお問い合せください。
異なるインターフェイス上のホスト間で ping するには、次の手順を実行します。
ステップ 1
コマンド
目的
access-list ICMPACL extended permit icmp
any any
発信元ホストから ICMP を許可するアクセスリストを追加します。
（注）
ステップ 2 access-group ICMPACL in interface
デフォルトでは、ホストが低セキュリティ インターフェ
イスにアクセスすると、すべてのトラフィックが通過を
許可されます。ただし、高セキュリティ インターフェイ
スにアクセスするには、先行するアクセスリストが必要
です。
各発信元インターフェイスにアクセスリストを割り当てます。
interface_name
（注）
ステップ 3 class-map ICMP-CLASS
match access-list ICMPACL
policy-map ICMP-POLICY
class ICMP-CLASS
inspect icmp
service-policy ICMP-POLICY global
ステップ 4 logging on
各発信元インターフェイスに対してこのコマンドを繰り
返します。
ICMP 検査エンジンをイネーブルにして、ICMP 応答が発信元ホ
ストに戻されるようにします。
（注）
あるいは、ICMP アクセスリストを宛先インターフェイ
スに適用し、適応型セキュリティ アプライアンスを介し
て ICMP トラフィックを戻すこともできます。
システム ログ メッセージをイネーブルにします。
ホストまたはルータから発信元インターフェイスを介して別のインターフェイス上の別のホストまたは
ルータに ping します。
確認が必要なすべてのインターフェイス ペアに対して、このステップを繰り返します。
ping が成功すると、ルーテッド モードのアドレス変換（305009 または 305011）と ICMP 接続が確立
されたこと（302020）を確認するシステム ログ メッセージが表示されます。show xlate コマンドまた
は show conns コマンドを入力してこの情報を表示することもできます。
トランスペアレント モードの ping が失敗した場合は、Cisco TAC にお問い合せください。
ルーテッド モードでは、NAT が正しく設定されていないために ping が失敗することがあります
（図 78-5 を参照）。この失敗は、NAT 制御をイネーブルにした場合に発生する可能性が高くなります。
この場合、NAT が失敗したことを示すシステム ログ メッセージが表示されます（305005 または
305006）。外部ホストから内部ホストに ping し、スタティック変換（NAT 制御を必要とする）がない
場合は、システム ログ メッセージ「106010: deny inbound icmp」が表示されます。
（注）
適応型セキュリティ アプライアンスは、適応型セキュリティ アプライアンス インターフェイ
スへの ping に対する ICMP デバッグ メッセージのみを表示します。適応型セキュリティ アプ
ライアンスを経由する他のホストへの ping に対する ICMP デバッグ メッセージは表示しませ
ん。
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
OL-18970-01-J
78-5
第 78 章
トラブルシューティング
コンフィギュレーションのテスト
図 78-5
セキュリティ アプライアンスがアドレスを変換しないことによる ping の失敗
ࡎࠬ࠻
126694
ping
࡞࡯࠲
࠮ࠠࡘ࡝࠹ࠖ
ࠕࡊ࡜ࠗࠕࡦࠬ
࡞࡯࠲
ࡎࠬ࠻
テスト コンフィギュレーションのディセーブル化
テストの完了後、ICMP の適応型セキュリティ アプライアンスへの送信および通過を許可し、デバッ
グ メッセージを表示するテスト コンフィギュレーションをディセーブルにします。このコンフィギュ
レーションをそのままにしておくと、深刻なセキュリティ リスクが生じる可能性があります。また、
デバッグ メッセージは適応型セキュリティ アプライアンスのパフォーマンスを低下させます。
テスト コンフィギュレーションをディセーブルにするには、次の手順を実行します。
ステップ 1
コマンド
目的
no debug icmp trace
ICMP デバッグ メッセージをディセーブルにします。
ステップ 2 no logging on
ロギングをディセーブルにします。
ステップ 3 no access-list ICMPACL
ICMPACL アクセスリストを削除し、関連する access-group コマンドを削除し
ます。
ステップ 4 no service-policy
ICMP-POLICY
（オプション）ICMP 検査エンジンをディセーブルにします。
トレースルート
パケットのルートは、トレースルート機能を使用してトレースできます。この機能には、traceroute
コマンドでアクセスできます。トレースルートは、無効なポート上の宛先に UDP パケットを送信する
ことで機能します。ポートが有効ではないため、宛先までの間にあるルータは ICMP Time Exceeded
Message を表示して応答し、セキュリティ アプライアンスにエラーを報告します。
パケット トレーサ
また、パケットが正しく動作しているかどうかを確認するために、パケット トレーサ ツールを使用し
て、セキュリティ アプライアンスを通過するパケットのライフスパンをトレースできます。このツー
ルを使用すると次のことができます。
• ネットワーク内にドロップするすべてのパケットをデバッグする。
• コンフィギュレーションが意図したとおりに機能しているかを確認する。
• パケットに適用可能なすべての規則、および規則が追加される原因となった CLI コマンドを表示
する。
• データ パス内でのパケット変化を時系列で表示する。
• データ パスにトレーサ パケットを挿入する。
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
78-6
OL-18970-01-J
第 78 章
トラブルシューティング
セキュリティ アプライアンスのリロード
packet-tracer コマンドを使用すると、パケットに関する詳細情報、およびパケットがセキュリティ ア
プライアンスによってどのように処理されたかが表示されます。コンフィギュレーションからのコマン
ドが原因でパケットがドロップしたのではない場合、packet-tracer コマンドにより、原因に関する詳
細な情報が読みやすい形式で表示されます。たとえば、ヘッダーの検証が無効なためパケットがドロッ
プされた場合、「packet dropped due to bad ip header (reason)」メッセージが表示されます。
セキュリティ アプライアンスのリロード
マルチモードでは、システム実行スペースからしかリロードできません。適応型セキュリティ アプラ
イアンスをリロードするには、次のコマンドを入力します。
コマンド
目的
reload
適応型セキュリティ アプライアンスをリロードします。
パスワード回復の実行
この項では、パスワードを忘れた場合、または AAA 設定のためにロックアウトされた場合にパスワー
ドを回復する方法、およびセキュリティ向上のためにパスワードの回復をディセーブルにする方法につ
いて説明します。この項は、次の内容で構成されています。
• 「ASA 5500 シリーズ適応型セキュリティ アプライアンスのパスワードの回復」（P.78-7）
• 「PIX 500 シリーズ セキュリティ アプライアンスのパスワード回復」（P.78-9）
• 「パスワード回復のディセーブル化」（P.78-10）
• 「SSM ハードウェア モジュールのパスワードのリセット」（P.78-11）
ASA 5500 シリーズ適応型セキュリティ アプライアンスのパスワードの回
復
ASA 5500 シリーズ適応型適応型セキュリティ アプライアンスのパスワードを回復するには、次の手順
を実行します。
ステップ 1
「コマンドライン インターフェイスへのアクセス」（P.2-4）の説明に従って、適応型セキュリティ アプ
ライアンスのコンソール ポートに接続します。
ステップ 2
適応型セキュリティ アプライアンスの電源を切ってから、投入します。
ステップ 3
スタートアップ後、ROMMON モードに入るようにプロンプトが表示されたら、Escape キーを押しま
す。
ステップ 4
コンフィギュレーション レジスタ値をアップデートするには、次のコマンドを入力します。
rommon #1> confreg 0x41
Update Config Register (0x41) in NVRAM...
ステップ 5
スタートアップ コンフィギュレーションを無視するように適応型セキュリティ アプライアンスを設定
するには、次のコマンドを入力します。
rommon #1> confreg
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
OL-18970-01-J
78-7
第 78 章
トラブルシューティング
パスワード回復の実行
適応型セキュリティ アプライアンスは、現在のコンフィギュレーションのレジスタ値を表示し、その
値を変更するかどうかを尋ねます。
Current Configuration Register: 0x00000041
Configuration Summary:
boot default image from Flash
ignore system configuration
Do you wish to change this configuration? y/n [n]: y
ステップ 6
後で回復できるように、現在のコンフィギュレーションのレジスタ値を記録します。
ステップ 7
値を変更する場合は、プロンプトに対して Y を入力します。
適応型セキュリティ アプライアンスは、新しい値の入力を求めるプロンプトを表示します。
ステップ 8
すべての設定についてデフォルト値を受け入れます。プロンプトに対して、Y を入力します。
ステップ 9
次のコマンドを入力して、適応型セキュリティ アプライアンスをリロードします。
rommon #2> boot
Launching BootLoader...
Boot configuration file contains 1 entry.
Loading disk0:/asa800-226-k8.bin... Booting...Loading...
適応型セキュリティ アプライアンスは、スタートアップ コンフィギュレーションの代わりにデフォル
ト コンフィギュレーションをロードします。
ステップ 10
次のコマンドを入力して、特権 EXEC モードにアクセスします。
hostname> enable
ステップ 11
パスワードの入力を求められたら、Enter キーを押します。
パスワードはブランクです。
ステップ 12
次のコマンドを入力して、グローバル コンフィギュレーション モードにアクセスします。
hostname# configure terminal
ステップ 13
次のコマンドを入力して、デフォルト コンフィギュレーションで必要に応じてパスワードを変更します。
hostname(config)# password password
hostname(config)# enable password password
hostname(config)# username name password password
ステップ 14
次のコマンドを入力して、デフォルト コンフィギュレーションをロードします。
hostname(config)# no config-register
デフォルト コンフィギュレーションのレジスタ値は 0x1 です。コンフィギュレーション レジスタの詳
細については、『Cisco ASA 5500 Series Command Reference』を参照してください。
ステップ 15
次のコマンドを入力して、新しいパスワードをスタートアップ コンフィギュレーションに保存します。
hostname(config)# copy running-config startup-config
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
78-8
OL-18970-01-J
第 78 章
トラブルシューティング
パスワード回復の実行
PIX 500 シリーズ セキュリティ アプライアンスのパスワード回復
PIX 500 シリーズ 適応型セキュリティ アプライアンス のパスワードを回復すると、ログイン パスワー
ドが消去され、パスワード、および aaa authentication console コマンドがイネーブルになります。
PIX 500 シリーズ 適応型セキュリティ アプライアンスのパスワードを回復するには、次の手順を実行
します。
ステップ 1
Cisco.com から、適応型セキュリティ アプライアンスでアクセス可能な TFTP サーバに PIX パスワー
ド ツールを ダウンロードします。説明については、次の URL にアクセスして参照してください。
http://www.cisco.com/en/US/products/hw/vpndevc/ps2030/products_password_recovery09186a0080
09478b.shtml
ステップ 2
適応型セキュリティ アプライアンスに従って、「コマンドライン インターフェイスへのアクセス」
（P.2-4）のコンソール ポートに接続します。
ステップ 3
適応型セキュリティ アプライアンスの電源を切ってから、投入します。
ステップ 4
スタートアップ メッセージが表示された直後に、Escape キーを押してモニタ モードに入ります。
ステップ 5
モニタ モードで、次のコマンドを入力して、TFTP サーバにアクセスするためのインターフェイス
ネットワーク設定値を設定します。
monitor>
monitor>
monitor>
monitor>
monitor>
ステップ 6
interface interface_id
address interface_ip
server tftp_ip
file pw_tool_name
gateway gateway_ip
次のコマンドを入力して、TFTP サーバから PIX パスワード ツールをダウンロードします。
monitor> tftp
サーバに到達できない場合は、ping address コマンドを入力して接続をテストします。
ステップ 7
「Do you wish to erase the passwords? 」プロンプトに対して、Y を入力します。
これで、デフォルト ログイン パスワード「cisco」とブランクのイネーブル パスワードでログインでき
るようになります。
例
次の例は、外部インターフェイス上の TFTP サーバがある PIX 500 シリーズ 適応型セキュリティ アプ
ライアンスのパスワード回復を示しています。
monitor> interface 0
0: i8255X @ PCI(bus:0 dev:13 irq:10)
1: i8255X @ PCI(bus:0 dev:14 irq:7 )
Using 0: i82559 @ PCI(bus:0 dev:13 irq:10), MAC: 0050.54ff.82b9
monitor> address 10.21.1.99
address 10.21.1.99
monitor> server 172.18.125.3
server 172.18.125.3
monitor> file np70.bin
file np52.bin
monitor> gateway 10.21.1.1
gateway 10.21.1.1
monitor> ping 172.18.125.3
Sending 5, 100-byte 0xf8d3 ICMP Echoes to 172.18.125.3, timeout is 4 seconds:
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
OL-18970-01-J
78-9
第 78 章
トラブルシューティング
パスワード回復の実行
!!!!!
Success rate is 100 percent (5/5)
monitor> tftp
tftp [email protected] via 10.21.1.1
Received 73728 bytes
Cisco PIX password tool (4.0) #0: Tue Aug 22 23:22:19 PDT 2005
Flash=i28F640J5 @ 0x300
BIOS Flash=AT29C257 @ 0xd8000
Do you wish to erase the passwords? [yn] y
Passwords have been erased.
Rebooting....
パスワード回復のディセーブル化
権限のないユーザがパスワード回復メカニズムを使用して適応型セキュリティ アプライアンスを危険
にさらすことがないように、パスワード回復をディセーブルにすることができます。
コマンド
目的
no service password-recovery
パスワード回復をディセーブルにします。
ASA 5500 シリーズ適応型セキュリティ アプライアンスで、no service password-recovery コマンドを
使用すると、ユーザが ROMMON モードに入って、コンフィギュレーションを変更するのを防ぐこと
ができます。ユーザが ROMMON モードに入ると、適応型セキュリティ アプライアンスはユーザに対
し、すべてのフラッシュ ファイル システムを消去するように求めるプロンプトを表示します。ユーザ
はこの消去をまず実行しないと、ROMMON モードに入れません。ユーザがフラッシュ ファイル シス
テムを消去しない場合、適応型セキュリティ アプライアンスはリロードします。パスワード回復は
ROMMON モードの使用と既存のコンフィギュレーションの保持に依存しているので、この消去に
よって、パスワードの回復ができなくなります。ただし、パスワードを回復できなくすることで、不正
なユーザがコンフィギュレーションを表示したり、別のパスワードを挿入したりすることがなくなりま
す。この場合、システムを動作可能な状態に回復するには、新しいイメージとバックアップ コンフィ
ギュレーション ファイル（入手できる場合）をロードします。
コンフィギュレーション ファイルに表示される service password-recovery コマンドは、情報のため
だけのものです。CLI プロンプトに対してコマンドを入力すると、設定は NVRAM に保存されます。
設定を変更する唯一の方法は、CLI プロンプトでコマンドを入力することです。このコマンドの異なる
バージョンで新規コンフィギュレーションをロードしても、設定は変更されません。適応型セキュリ
ティ アプライアンスが（パスワード回復の準備で）スタートアップ時にスタートアップ コンフィギュ
レーションを無視するように設定されている場合にパスワード回復をディセーブルにすると、適応型セ
キュリティ アプライアンスは通常どおりスタートアップ コンフィギュレーションをロードするように
設定を変更します。フェールオーバーを使用し、スタートアップ コンフィギュレーションを無視する
ようにスタンバイ装置が設定されている場合は、no service password recovery コマンドでスタンバイ
装置に複製したときにコンフィギュレーション レジスタに同じ変更が加えられます。
PIX 500 シリーズ セキュリティ アプライアンスで、no service password-recovery コマンドを使用す
ると、すべてのフラッシュ ファイル システムの消去をユーザに求めるプロンプトを表示するように
PIX パスワード ツールに強制します。ユーザは、まずこの消去を実行しないと、PIX パスワード ツー
ルを使用できません。ユーザがフラッシュ ファイル システムを消去しない場合、適応型セキュリティ
アプライアンスはリロードします。パスワード回復は既存のコンフィギュレーションの保持に依存して
いるので、この消去によって、パスワードを回復することはできなくなります。ただし、パスワードを
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
78-10
OL-18970-01-J
第 78 章
トラブルシューティング
ソフトウェア イメージをロードするための ROM モニタの使用
回復できなくすることで、不正なユーザがコンフィギュレーションを表示したり、別のパスワードを挿
入したりすることがなくなります。この場合、システムを動作可能な状態に回復するには、新しいイ
メージとバックアップ コンフィギュレーション ファイル（入手できる場合）をロードします。
SSM ハードウェア モジュールのパスワードのリセット
SSM ハードウェア モジュールのパスワードをデフォルトの「cisco」にリセットするには、次の手順を
実行します。
（注）
SSM ハードウェア モジュールがアップ状態にあり、パスワードのリセットがサポートされていること
を確認します。
コマンド
目的
hw-module module 1
password-reset
ここで、1 は、SSM ハードウェア モジュール上の指定したスロット番号です。
（注）
AIP SSM で、このコマンドを入力するとハードウェア モジュールがリ
ブートされます。モジュールはリブートが終了するまでオフラインです。
モジュールのステータスを監視するには、show module コマンドを入力
します。AIP SSM では、バージョン 6.0 以降でこのコマンドがサポート
されています。
CSC SSM で、このコマンドを入力すると、パスワードがリセットされた
後でハードウェア モジュールの Web サービスがリセットされます。
ASDM への接続が失われる、またはハードウェア モジュールからログ ア
ウトされることがあります。CSC SSM では、2006 年 11 月の最新バー
ジョン 6.1 でこのコマンドがサポートされています。
Reset the password on module in slot 1? [confirm] y.
Enter y to confirm.
ソフトウェア イメージをロードするための ROM モニタの使用
この項では、TFTP を使用する ROM モニタ モードから、適応型セキュリティ アプライアンスにソフト
ウェア イメージをロードする方法について説明します。
ソフトウェア イメージを適応型セキュリティ アプライアンスにロードするには、次の手順を実行しま
す。
ステップ 1
「コマンドライン インターフェイスへのアクセス」（P.2-4）の説明に従って、適応型セキュリティ アプ
ライアンスのコンソール ポートに接続します。
ステップ 2
適応型セキュリティ アプライアンスの電源を切ってから、投入します。
ステップ 3
スタートアップの間に、ROMMON モードに入るようにプロンプト表示されたら、Escape キーを押し
ます。
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
OL-18970-01-J
78-11
第 78 章
トラブルシューティング
ソフトウェア イメージをロードするための ROM モニタの使用
ステップ 4
ROMMOM モードで、適応型セキュリティ アプライアンスに対するインターフェイス設定を定義しま
す。設定には、次のような IP アドレス、TFTP サーバ アドレス、ゲートウェイ アドレス、ソフトウェ
ア イメージ ファイル、およびポートが含まれます。
rommon #1> ADDRESS=10.132.44.177
rommon #2> SERVER=10.129.0.30
rommon #3> GATEWAY=10.132.44.1
rommon #4> IMAGE=f1/asa800-232-k8.bin
rommon #5> PORT=Ethernet0/0
Ethernet0/0
Link is UP
MAC Address: 0012.d949.15b8
（注）
ステップ 5
ネットワークへの接続がすでに存在することを確認してください。
設定を検証するには、set コマンドを入力します。
rommon #6> set
ROMMON Variable Settings:
ADDRESS=10.132.44.177
SERVER=10.129.0.30
GATEWAY=10.132.44.1
PORT=Ethernet0/0
VLAN=untagged
IMAGE=f1/asa800-232-k8.bin
CONFIG=
LINKTIMEOUT=20
PKTTIMEOUT=4
RETRY=20
ステップ 6
ping server コマンドを入力して、TFTP サーバを ping します。
rommon #7> ping server
Sending 20, 100-byte ICMP Echoes to server 10.129.0.30, timeout is 4 seconds:
Success rate is 100 percent (20/20)
ステップ 7
tftp コマンドを入力して、ソフトウェア イメージをロードします。
rommon #8> tftp
ROMMON Variable Settings:
ADDRESS=10.132.44.177
SERVER=10.129.0.30
GATEWAY=10.132.44.1
PORT=Ethernet0/0
VLAN=untagged
IMAGE=f1/asa800-232-k8.bin
CONFIG=
LINKTIMEOUT=20
PKTTIMEOUT=4
RETRY=20
tftp f1/[email protected] via 10.132.44.1
Received 14450688 bytes
Launching TFTP Image...
Cisco PIX Security Appliance admin loader (3.0) #0: Mon Mar
5 16:00:07 MST 2007
Loading...
ソフトウェア イメージが正常にロードされたら、適応型セキュリティ アプライアンスにより
ROMMOM モードが自動的に終了します。
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
78-12
OL-18970-01-J
第 78 章
トラブルシューティング
フラッシュ ファイル システムの消去
ステップ 8
正しいソフトウェア イメージが適応型セキュリティ アプライアンスにロードされたことを検証するに
は、次のコマンドを入力して、適応型セキュリティ アプライアンス内のバージョンを確認します。
hostname> show version
フラッシュ ファイル システムの消去
ステップ 1
「コマンドライン インターフェイスへのアクセス」（P.2-4）の説明に従って、適応型セキュリティ アプ
ライアンスのコンソール ポートに接続します。
ステップ 2
適応型セキュリティ アプライアンスの電源を切ってから、投入します。
ステップ 3
スタートアップの間に、ROMMON モードに入るようにプロンプト表示されたら、Escape キーを押し
ます。
ステップ 4
ファイル システムを消去するには、erase コマンドを入力します。このコマンドで、すべてのファイル
が上書きされ、非表示のシステム ファイルを含むファイル システムが消去されます。
rommon #1> erase [disk0: | disk1: | flash:]
その他のトラブルシューティング ツール
適応型セキュリティ アプライアンスには、使用できるその他のトラブルシューティング ツールがあり
ます。この項は、次の内容で構成されています。
• 「デバッグ メッセージの表示」（P.78-13）
• 「パケットの取得」（P.78-14）
• 「クラッシュ ダンプの表示」（P.78-14）
• 「コア ダンプ」（P.78-14）
デバッグ メッセージの表示
デバッグ出力は CPU プロセスで高プライオリティが割り当てられているため、デバッグ出力を行うと
システムが使用できなくなることがあります。このため、特定の問題のトラブルシューティングを行う
場合や、Cisco TAC とのトラブルシューティング セッションの間に限り debug コマンドを使用してく
ださい。さらに、ネットワーク トラフィック量やユーザ数が少ない期間に debug コマンドを使用する
ことをお勧めします。このような期間にデバッグを実行すると、debug コマンドの処理オーバーヘッド
の増加によってシステムの使用に影響が生じる可能性が低くなります。デバッグ メッセージをイネー
ブルにする方法は、『Cisco ASA 5500 Series Command Reference』の debug コマンドを参照してくだ
さい。
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
OL-18970-01-J
78-13
第 78 章
トラブルシューティング
一般的な問題
パケットの取得
パケットの取得は、接続障害のトラブルシューティングや不審なアクティビティの監視を行う場合に便
利です。パケット取得機能を使用する場合は、Cisco TAC に連絡することをお勧めします。『Cisco
ASA 5500 Series Command Reference』の capture コマンドを参照してください。
クラッシュ ダンプの表示
適応型セキュリティ アプライアンスがクラッシュした場合に、クラッシュ ダンプ情報を表示できます。
クラッシュ ダンプの内容を調べる必要がある場合は、Cisco TAC に連絡することをお勧めします。
『Cisco ASA 5500 Series Command Reference 』の show crashdump コマンドを参照してください。
コア ダンプ
コア ダンプは、プログラムが異常終了（クラッシュ）した場合の実行中のプログラムのスナップ
ショットです。コア ダンプは、エラーを診断またはデバッグするため、および障害を後からオフサイ
トで分析するために保存するために使用されます。Cisco TAC では、ユーザがコア ダンプ機能をイ
ネーブルにして、適応型セキュリティ アプライアンスでのアプリケーションまたはシステムのクラッ
シュをトラブルシューティングする必要がある場合があります。『Cisco ASA 5500 Series Command
Reference』の coredump コマンドを参照してください。
一般的な問題
この項では、適応型セキュリティ アプライアンスの一般的な問題とそれらを解決する方法について説
明します。
症状
コンテキスト コンフィギュレーションが保存されておらず、リロード時に失われました。
考えられる原因
コンテキスト実行スペース内で各コンテキストを保存しませんでした。コマンド
ラインでコンテキストを設定している場合、次のコンテキストに切り替える前に現在のコンテキス
トを保存しませんでした。
推奨処置
copy run start コマンドを使用して、コンテキスト実行スペース内で各コンテキストを
保存します。システム実行スペースからはコンテキストを保存できません。
症状 適応型セキュリティ アプライアンス インターフェイスへの Telnet または SSH 接続を確立できま
せん。
考えられる原因
せんでした。
適応型セキュリティ アプライアンスへの Telnet または SSH をイネーブルにしま
推奨処置 「Telnet アクセスの許可」
（P.37-1）または「SSH アクセスの許可」
（P.37-2）に従って、
適応型セキュリティ アプライアンスへの Telnet または SSH をイネーブルにします。
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
78-14
OL-18970-01-J
第 78 章
トラブルシューティング
一般的な問題
症状
適応型セキュリティ アプライアンス インターフェイスを ping できません。
考えられる原因
適応型セキュリティ アプライアンスへの ICMP をディセーブルにしました。
推奨処置
icmp コマンドを使用して、IP アドレス用に適応型セキュリティ アプライアンスへの
ICMP をイネーブルにします。
症状
アクセスリストで許可されていても、適応型セキュリティ アプライアンスを介して ping するこ
とができません。
考えられる原因
ICMP 検査エンジンをイネーブルにしていないか、入力インターフェイスと出力
インターフェイスの両方でアクセスリストを適用していません。
推奨処置
ICMP はコネクションレス型プロトコルなので、適応型セキュリティ アプライアンスは
トラフィックが戻ることを自動的には許可しません。応答トラフィックを許可するために、入力イ
ンターフェイスだけではなく出力インターフェイスにもアクセスリストを適用するか、あるいは
ICMP 接続がステートフル接続として扱われるように ICMP 検査エンジンをイネーブルにします。
症状
同一セキュリティ レベルにある 2 つのインターフェイス間をトラフィックが通過しません。
考えられる原因 同一セキュリティ レベルにあるインターフェイス間をトラフィックが通過できる
ようにする機能をイネーブルにしていません。
推奨処置 「同じセキュリティ レベルの通信の許可」
（P.6-32）の説明に従って、この機能をイネー
ブルにします。
症状
スタンバイ デバイスへのフェールオーバー中に IPSec トンネルが二重化されません。
考えられる原因
ます。
推奨処置
ASA が接続されているスイッチ ポートが 1000 ではなく 10/100 に設定されてい
ASA が接続されているスイッチ ポートを 1000 に設定します。
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
OL-18970-01-J
78-15
第 78 章
トラブルシューティング
一般的な問題
Cisco ASA 5500 シリーズ コンフィギュレーション ガイド（CLI を使用）
78-16
OL-18970-01-J