アプリケーション ネットワーキング サービスについて (Ask the Expert)

[CiscoJapanModerator]

シスコの技術サポートエンジニアへ質問して疑問を解決できる「エキスパートに質問」へようこそ！

ここでは、シスコのエキスパートからのアドバイスや最新の情報が得られる場として気軽に質問してみてください。

担当エキスパート：中村 隆之 （ナカムラ タカユキ）

Cisco Japan TAC のカスタマーサポートエンジニアとして、ロードバランサ製品（ACE、CSM、SSLM、GSS、ACE XML Gateway、ACNS）や、

ビデオ製品（CDS、ECDS、DMS、Videoscape、CTM、CMP）等のサポートを担当しています。

ロードバランサ製品やビデオ製品に関しまして何かご質問がございましたら、お気軽にお問い合わせください。可能な限りお答えいたします。

ディスカッション開催期間：2012年6月4日～2012年6月17日

[質問の回答方法]

サポートコミュニティへCisco.comIDでログインすると、この説明の右下に「返信」ボタンが表示されます。クリックすると投稿欄が表示されますので、質問をご記入ください。最後に「メッセージの投稿」をクリックすると質問が送信され、完了となります。

もし１つの質疑応答が進行していても、他の新しい質問を同じスレッド内に投稿いただいて問題ありません。
この「エキスパートに質問」のディスカッションスレッドに届いた質問は担当のTACエキスパートが回答しますがすべての質問に返信できないかもしれません。
返信が得られずに開催期間が終了して残ってしまった質問については、サポートコミュニティ事務局が今回の技術カテゴリの通常のディスカッション フォーラムへ再掲載し、有用な情報の展開へとつなげていきます。

エキスパートから返信が得られた質問については、評価機能でその回答が適切であったかをエキスパートへぜひ伝えてください。

あなたからの質問だけでなく、他コミュニティのメンバーから寄せられた質問がどう発展したかをのぞきに、ぜひこのフォーラムへ再度訪問されることをお待ちしております！

[エキスパートからの回答について]

質問の投稿から原則数日以内に回答できるよう努めます。内容によっては、検証や確認に時間がかかる場合もありますのでご了承ください。質問の内容によっ  ては、エキスパートの担当範囲外の場合もございます。その際はサポートコミュニティ事務局、もしくは適切な担当から回答いたします。

ディスカッション期間を過ぎてからの投稿は、事務局より通常コミュニティへ投稿いただくようお願いさせていただくようになりますことも合わせてご理解ください。

[torukimura]

ACE(ACE20/ACE30/ACEアプライアンス)では、

OUの2バイト組織名の証明書は問題なく扱えますでしょうか？
 
Verisingの2バイト組織名を使用した証明書を使用したいとの要望があります。
https://www.verisign.co.jp/ssl/help/ev/faq/010003/index.html 
 

[taknakam]

ご質問ありがとうございます。

弊社ラボにて確認いたしました限りでは、属性に日本語を使用した証明書でも

期待通り動作しているようでした。正式にサポートしているかどうかに関しましては

現在確認しておりますので、今しばらくお待ち頂けますでしょうか。

[torukimura]

もう一つ追加でご確認させてください。

ACEで2バイト組織名のCSRを作成することは可能でしょうか。

[taknakam]

調査いたしましたところ、サポートしているかどうかに関する情報はありませんでしたが、

弊社ラボで確認できましたように、特に問題なく使用できるものと思います。

これは、証明書の属性に日本語（UTF-8形式）を使用した場合、以下のような

フォーマットで値が入るためです。

Subject: C=JP, ST=\xE9\x96\xA2\xE6\x9D\xB1, L=\xE6\x9D\xB1\xE4\xBA\xAC

show crypto certificate コマンドでの表示では、上記情報が出力されます。

また、ACE が SSL negotiation 内でクライアントに証明書を渡す際も、
"E6 9D B1 E4 BA AC" のような形式でクライアントに渡しますので、
特に日本語であることを意識することなく処理できます。
追加でご質問頂きました、ACE 上での CSR 作成に関してですが、
ACE の CLI では日本語は入力できませんので、CSR 作成において
日本語を使用する場合は、ACE 以外で作成して頂けますでしょうか。
なお、本番環境に導入される際は、テスト用の証明書を使用して
問題が無いことを事前にご確認頂けますようお願いいたします。

[skojig]

Cisco css11501(8.10.4.01)で、今年の7/1のうるう秒の際に正常に動作しますでしょうか。

[taknakam]

ご質問ありがとうございます。

NTP サーバと同期しているという前提でご回答いたします。

NTPではパケット内の LI ビット（Leap Indicator、うるう秒指示子）を使用することで、

うるう秒の調整を行いますが、CSS はLI ビットをサポートしておりませんので、

LI ビットが設定されていても無視します。そのため、うるう秒の調整が行われると、

再度同期するまでの間、１秒ずれた状態となりますが、それ以外の動作には

特に影響はございません。

[skojig]

ご回答ありがとうございます。

大変助かりました。

評価の星ですが、5をつけよとしたら、1がついて変更できなくなりました。。

正しくは5です。

[ksknetmarks]

ACE4710ではsrcIPによって、接続可能なVIPを制限することは可能でしょうか？

【例】

srcIP(A)　→　VIP(A)、VIP(B)、VIP(C)

srcIP(B)　→　VIP(A)、VIP(C)

上記のように、特定のsrcIPもしくは、特定のセグメントからアクセスが来た場合は、接続できるVIPを制限したいです。

[taknakam]

ご質問ありがとうございます。

L7 class-map の match source-address で、アクセスを許可する IP アドレスを

指定することで、実現できるものと思います。

以下の例では、VIP-A は 192.168.31.200、VIP-B は 192.168.31.200 と

192.168.31.201 からのみアクセスを許可しています。

class-map match-all VIP-A

  2 match virtual-address 192.168.31.101 tcp eq www

class-map match-all VIP-B

  2 match virtual-address 192.168.31.102 tcp eq www

class-map type http loadbalance match-any hostA

  2 match source-address 192.168.31.200 255.255.255.255

class-map type http loadbalance match-any hostAB

  2 match source-address 192.168.31.200 255.255.255.255

  3 match source-address 192.168.31.201 255.255.255.255

policy-map type loadbalance http first-match VIPA-L7

  class hostA

    serverfarm SF1

policy-map type loadbalance http first-match VIPB-L7

  class hostAB

    serverfarm SF2

policy-map multi-match VIPA-L4

  class VIP-A

    loadbalance vip inservice

    loadbalance policy VIPA-L7

policy-map multi-match VIPB-L4

  class VIP-B

    loadbalance vip inservice

    loadbalance policy VIPB-L7

[torukimura]

ACE(ACE20/ACE30/ACEアプライアンス)は、

うるう秒に対応しておりますでしょうか。

[taknakam]

ご質問ありがとうございます。

ACE module (ACE20/ACE30) は、Supervisor から時刻情報を受け取って

同期しております。そのため、うるう秒に対応しているかどうかは、

Supervisor 上で動作する IOS の実装に依存します。

ACE appliance (ACE4710) は NTP を使用して時刻同期を行うことができますが、

LI ビット（Leap Indicator、うるう秒指示子）をサポートしておりませんので、

うるう秒実施のタイミングで１秒のずれが発生します。

このずれは、次の時刻同期で解消されます。