Cisco ASAを業務利用する中で
よく使うコマンドを備忘録として残します
基本編
特権EXECモードに移行
> enable
enableしてからじゃないと
show run等の打てないコマンドがあります
ログアウト
> exit
モードの移行にも使います
ページ送りを無効
> terminal pager 0
show run等の長い結果を見る際に
--more-- が出てこなくなります
ヘルプ
> ?
とても便利なので多用しましょう
頭文字しかわからないコマンドも
わかる範囲で入力すれば一致したコマンドを
一覧表示してくれます
スペルチェックにも使える最強コマンドです
設定の保存
> write memory
running-configの内容を
startup-configへ反映させます
設定確認編
他のログインユーザーの確認
> show resource usage
Currentに現在ログイン中の
ユーザーの総数が表示されます
主系、副系の確認
> show failover state
主系はActiveで
副系はStandby Readyが表示されます
バージョンの確認
> show version
バージョン依存する設定も存在するため
念のための確認に使います
システムログの確認
> show logging
システムログが表示されます
想定外のエラーがないか確認に使います
現在の設定の確認
> show running-config
現在の設定を確認する場合や
設定のバックアップを取るときに使います
保存されている設定の確認
> show startup-config
名前の通り起動時に読み込まれる設定の
確認に使います
出力結果から検索対象を含む行を抽出
> コマンド | include "検索対象"
Linuxでいうgrepと同意です
出力結果から検索対象を含まない行を抽出
> コマンド | exclude "検索対象"
Linuxでいうgrep -vと同意です
出力結果を検索対象が含まれる行から表示
> コマンド | begin "検索対象"
何かから始まる設定群を
見たいときに使います
ルーティングテーブルの確認
> show route
登録されているルーティングテーブルの
確認に使います
オブジェクトの確認
> show running-config object in-line
登録されているオブジェクトの一覧を
インライン表示します
idで名前での指定もできます
ネットワークオブジェクトグループの確認
> show running-config object-group network
登録されている
ネットワークオブジェクトグループの一覧を
表示します
idで名前での指定もできます
サービスオブジェクトグループの確認
> show running-config object-group service
登録されている
サービスオブジェクトグループの一覧を
表示します
idで名前での指定もできます
アクセスリストの確認
> show running-config access-list
登録されているアクセスリストの
一覧を表示します
最終行のdenyの確認
> show running-config access-list | include any any|deny
最終行のdeny行の確認に使います
設定投入編
グローバルコンフィギュレーションモードへ移行
> configure terminal
設定投入するための
Config設定モードへ移行できます
ネットワークオブジェクトの作成
> object network オブジェクト名
x.x.x.x(IPアドレス) x.x.x.x(サブネットマスク)
オブジェクトの作成が行えます
サブネットマスクが255.255.255.255である場合
アドレスはhost IPアドレスで指定できます
ネットワークオブジェクトグループの作成
> object-group network グループ名
network-object object オブジェクト名１
network-object object オブジェクト名２
ネットワークオブジェクトグループの
作成が行えます
サービスオブジェクトグループの作成
> object-group service グループ名 プロトコル(tcp,udp)
port-object eq ポート番号１
port-object eq ポート番号２
サービスオブジェクトグループの
作成が行えます
アクセスリストの作成
ケース１
Outsideへのicmpの許可設定
(10.0.0.1~10.0.1.1へ)
※最終行のdenyはline1000行目
> access-list Outside line 1000 extended permit icmp object 10.0.0.1-32bit object 10.0.1.1-32bit
ケース２
Insideへのftp許可設定
(10.0.0.1~ネットワークグループnw_groupへ)
※最終行のdenyはline1000行目
> access-list Inside line 1000 extended permit tcp object 10.0.0.1-32bit object-group nw_group range 20 21
ケース３
Insideへのネットワークオブジェクトグループservice_groupの不許可設定
(10.0.0.1~anyへ)
※入れたい行はline1000行目
> access-list Inside line 1000 extended deny tcp object 10.0.0.1-32bit any object-group service_group
上記のようにアクセスリストの作成が
行えます
疎通確認編
通信相手の応答有無の確認
> ping IPアドレス
リーチアビリティが取れているか
確認したいときに使います
通信経路上のルータを確認
> traceroute IPアドレス
どのルータを経由するか確認できます
通信内容の確認
ケース１
Inside側(10.0.0.1)からOutside側(10.0.100.1)への
httpの通信内容を確認
packet-tracer input Inside tcp 10.0.0.1 80 10.0.100.1 80
ケース２
Inside側(10.0.0.1)からOutside側(10.0.100.1)への
icmpの通信内容を確認
packet-tracer input Inside icmp 10.0.0.1 0 0 10.0.100.1
Action欄で通信の可否を確認できます
icmpの確認にはtypeとcodeの指定が必要です
おわりに
以上がCisco ASAでよく使うコマンドでした
また使うものが増えてきたら
随時更新していきます