to-the-box のセッションは ASA 宛の通信を指しています。 例えば ASA に対する telnet/ssh/asdm などの管理セッションなどです。 これらのセッションをASA から切断するには、clear conn all もしくは clear local-host <IP> all コマンドを利用します。 下記のサンプルログをご参考ください。 // この時点で、ASA が 1.88.65.1 の IP を持ち、1.0.0.1 から telnet セッションが一つ開かれています。 // conn と xlate がありません。 ciscoasa# show conn 4 in use, 10 most used ciscoasa# show xlate 0 in use, 0 most used // telnet/ci プロセスが一つ作成されています。 ciscoasa# show processes cpu-usage | in telnet/ci 08c2853b   c8d958a8     0.0%     0.0%     0.0%   telnet/ci // who コマンドで、1.0.0.1 からの telnet セッションが一つあることを確認できます。 // なお、show ssh sessions と show asdm sessions で ssh と asdm セッションをそれぞれ確認できます。 ciscoasa# who         0: 1.0.0.1 // show conn all 及び show local-host all detail には TCP/23 のセッションの存在を確認できます。 ciscoasa# show conn all | in 1.0.0.1 TCP vnap  1.0.0.1: 55199 NP Identity Ifc  1.88.65.1:23, idle 0:00:03, bytes 170, flags UOB ciscoasa# show local-host all detail | include /23     TCP management:1.0.0.1/55199 NP Identity Ifc:1.88.65.1/23,     TCP management:1.0.0.1/55199 NP Identity Ifc:1.88.65.1/23, // clear conn または clear local-host コマンドに "all" オプションをつけると、to/from-the-box のセッションを切断できます。 ciscoasa/sec/act# clear conn ?   address         Enter this keyword to specify IP address   all             Enter this keyword to clear all conns   port            Enter this keyword to specify port   protocol        Enter this keyword to specify conn protocol   security-group  Enter this keyword to specify security-group attributes   user            Enter this keyword to specify conn user   user-group      Enter this keyword to specify conn user group   <cr> ciscoasa# clear local-host 1.0.0.1 ?   all  Clear local host information including to-the-box and from-the-box   <cr> ciscoasa# clear local-host 1.0.0.1 all // 切断されました。 ciscoasa# show processes cpu-usage | include telnet/ci ciscoasa# who ciscoasa# ... View more

  主な問題 Cisco Email Security Appliance（ESA）、Cisco Web Security Appliance（WSA）、および Cisco Content Security Management Appliance （SMA）において、CLI および GUI にログインできなくなります。そして、CLI でログインしようとすると、下記のようなエラーが表示されます。   Copyright (c) 2001-20##, Cisco Systems, Inc. AsyncOS <Version> for Cisco IronPort <Model> build ### Welcome to the Cisco IronPort <Model> Appliance Traceback (most recent call last): File ""/usr/build/iproot/ap/ipoe/ipoe/bootstrap.py"", line 52, in <module> File ""/data/lib/python2.6_7_i386_nothr/runpy.py"", line 128, in _run_module_as_main ""__main__"", fname, loader, pkg_name) File ""/data/lib/python2.6_7_i386_nothr/runpy.py"", line 34, in _run_code exec code in run_globals File ""build/bdist.freebsd-7.2-RELEASE-p2-i386/egg/cli.py"", line 414, in <module> File ""build/bdist.freebsd-7.2-RELEASE-p2-i386/egg/external_auth/__init__.py"", line 188, in initialize File ""build/bdist.freebsd-7.2-RELEASE-p2-i386/egg/external_auth/__init__.py"", line 98, in _setup_old_authentication File ""build/bdist.freebsd-7.2-RELEASE-p2-i386/egg/command_client.py"", line 674, in quick_read_var File ""build/bdist.freebsd-7.2-RELEASE-p2-i386/egg/command_client.py"", line 133, in connect Commandment.CommunicationError: <HOSTNAME>: Network communication error: Connection refused   注意：モデルやバージョンに依存して、上記 line 番号が異なります。 原因 アプライアンスの強制再起動、もしく何らかの原因で ログインプロセスが強制終了された後に、本事象が発生する可能性があることが確認されております。 解決策 本事象は下記の不具合として登録されており、それぞれ修正されております。 修正バージョンへのアップグレードは恒久対策になります。   ESA: CSCzv73978 修正バージョン 8.0.0-343 WSA: CSCzv63552 修正バージョン 7.7.0-113 SMA: CSCzv87968 修正バージョン 8.1.0-155   なお、アプライアンスを再起動させることで事象が一時的に解消するため、暫定対策になります。 ... View more

各キーワードの意味 ... View more

snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.2.0 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.1.0 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.11.0 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.20.0 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.7.0 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.14.0 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.19.0 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.15.0 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.16.0 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.2.0 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.3.0 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.1.0 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.4.0 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.5.0 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.17.0 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.6.0 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.11.0 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.10.1.1 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.10.1.2 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.12.1.1 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.12.1.4 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.8.1.1 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.8.1.3 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.8.1.2 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.18.1.1 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.18.1.2 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.9.1.2 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.9.1.1 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.13.1.4 snmpwalk -v2c -c ironport 192.168.10.66 1.3.6.1.4.1.15497.1.1.1.13.1.1 per cent cpu  utilization  1.3.6.1.4.1.15497.1.1.1.2.0 per cent memory  utilization  1.3.6.1.4.1.15497.1.1.1.1.0 work queue  messages  1.3.6.1.4.1.15497.1.1.1.11.0 mail transfer  threads  1.3.6.1.4.1.15497.1.1.1.20.0 memory availability  status  1.3.6.1.4.1.15497.1.1.1.7.0 oldest message  age  1.3.6.1.4.1.15497.1.1.1.14.0 open files or  sockets  1.3.6.1.4.1.15497.1.1.1.19.0 outstanding dns  requests  1.3.6.1.4.1.15497.1.1.1.15.0 pending dns  requests  1.3.6.1.4.1.15497.1.1.1.16.0 per cent cpu  utilization  1.3.6.1.4.1.15497.1.1.1.2.0 per cent  diskioutilization  1.3.6.1.4.1.15497.1.1.1.3.0 per cent memory  utilization  1.3.6.1.4.1.15497.1.1.1.1.0 per cent queue  utilization  1.3.6.1.4.1.15497.1.1.1.4.0 queue availability  status  1.3.6.1.4.1.15497.1.1.1.5.0 raid  events  1.3.6.1.4.1.15497.1.1.1.17.0 resource conservation  reason  1.3.6.1.4.1.15497.1.1.1.6.0 work queue  messages  1.3.6.1.4.1.15497.1.1.1.11.0 fan  index  1.3.6.1.4.1.15497.1.1.1.10.1.1 fan  rpms  1.3.6.1.4.1.15497.1.1.1.10.1.2 key expiration  index  1.3.6.1.4.1.15497.1.1.1.12.1.1 key seconds until  expire  1.3.6.1.4.1.15497.1.1.1.12.1.4 power supply  index  1.3.6.1.4.1.15497.1.1.1.8.1.1 power supply  redundancy  1.3.6.1.4.1.15497.1.1.1.8.1.3 power supply  status  1.3.6.1.4.1.15497.1.1.1.8.1.2 raid  index  1.3.6.1.4.1.15497.1.1.1.18.1.1 raid  status  1.3.6.1.4.1.15497.1.1.1.18.1.2 degrees  celsius  1.3.6.1.4.1.15497.1.1.1.9.1.2 temperature  index  1.3.6.1.4.1.15497.1.1.1.9.1.1 update  failures  1.3.6.1.4.1.15497.1.1.1.13.1.4 update  index  1.3.6.1.4.1.15497.1.1.1.13.1.1 updates  1.3.6.1.4.1.15497.1.1.1.13.1.3 ... View more

Check the following mail at esa-interest : Re: Extracting hyperlink within Email [Unclassified] ... View more

    1. MUS 機能の概要 2. スタティック MUS 構成 2.1 ASA 側の設定 2.2 WSA 側の設定 3. ダイナミック MUS 構成 3.1 ASA 側の設定 3.2 WSA 側の設定 4. Single Sign-On の有効化 5. トラブルシューティング         MUS 構成の一般的な説明、および関連ログ、デバッグの説明。   http://asapedia/index.php/Mobile_User_Security http://asapedia/index.php/AnyConnect_:_Secure_Mobility_Solution_Guide   http://wwwin.cisco.com/data-shared/stg/pmtool/MUS/secure_mobility_licensing_change_nwsan_starting_q4fy11.pdf     AnyConnect Secure Mobility ソリューションの WSA をサポートするための ASA の設定 http://www.cisco.com/cisco/web/support/JP/docs/SEC/VirtualPrivateNWs_VPN_/AnyConnectSecureMobilityC/CG/001/ac02asaconfig.html#pgfId-1073519     http://wwwin.cisco.com/CustAdv/ts/ielc/tst/npi/elearning//security/anyconnect_acsm/ http://www.cisco.com/en/US/docs/security/wsa/wsa7.0/user_guide/AnyConnect_Secure_Mobility_SolutionGuide.pdf ftp://10.86.195.22/potts/AnyConnectSecureMobilityArchitecture_DRAFT.pdf ... View more

    NIC Pairing 機能の概要   通常 NIC チーミングとは、複数の物理ポートを一体として運用し、そのうちの一つに障害が発生したときに、残りのポートで通信を続行したり、複数の相手と通信する際にポート間で分担して送受信を行うことにより帯域幅を増加させたり負荷を分散させる技術です。Cisco ESA Eメール・セキュリティ・アプライアンスでは、上記後半部分の帯域幅増加をサポートしておりませんが、前半部分の耐障害性を NIC Pairing という機能で実装しております。   NIC Pairing を組んでいる 2つのポートは Active-Standby の関係で、 同じ MAC Address と同じ IP Address を使用することになります。そして 、Active ポートが障害になったら、Standby ポートが自動的に Active に切り替わり、通信は継続できます。   この NIC Pairing 機能は、AsyncOS バージョン 7.6.3 までとバージョン 8.0.x 以降の実装が異なります（7.6.3 〜 8.0.x の公開リリースはありません ）。以下詳細を説明します。   バージョン 7.6.3 までの動作   AsyncOS における NIC Pairing 機能は下記のコマンドで設定します。etherconfig コマンドでの設定変更は commit で確定する必要がありますので、ご注意ください。   example.ironport.com> etherconfig   Choose the operation you want to perform: - MEDIA - View and edit ethernet media settings. - PAIRING - View and configure NIC Pairing. - VLAN - View and configure VLANs. - LOOPBACK - View and configure Loopback. - MTU - View and configure MTU. []> pairing   Paired interfaces:   Choose the operation you want to perform: - NEW - Create a new pairing. []> new   Please enter a name for this pair (Ex: "Pair 1"): []> Pair 1   1. Data 1 2. Data 2 Enter the name or number of the primary ethernet interface you wish bind to. []> 1   Paired interfaces: 1. Pair 1:         Primary (Data 1) Active, Link is up         Backup (Data 2) Standby, Link is up   Choose the operation you want to perform: - FAILOVER - Manually failover to other port. - DELETE - Delete a pairing. - STATUS - Refresh status. []>   Choose the operation you want to perform: - MEDIA - View and edit ethernet media settings. - PAIRING - View and configure NIC Pairing. - VLAN - View and configure VLANs. - LOOPBACK - View and configure Loopback. - MTU - View and configure MTU. []>   example.ironport.com> commit   Please enter some comments describing your changes: []>   Changes committed: Thu Jan 16 17:53:08 2014 JST   NIC Pairing が有効になると、AsyncOS が定期的（15秒間隔）に各ポートのステータスをチェックし、Active ポートがダウンすると、Standby ポートが Active ステータスに切り替わります。 15秒間隔のステータスチェックであるため、切替時には数秒間の パケットロス が発生します。   Paired interfaces: 1. Pair 1:         Primary (Data 1) Unavailable, Link is down         Backup (Data 2) Active, Link is up   Choose the operation you want to perform: - FAILOVER - Manually failover to other port. - DELETE - Delete a pairing. - STATUS - Refresh status. []>   ※ ここで注意すべき点は、Pairing が有効になっている２つの NIC ポートが直結しているスイッチポートの設定において、必ず Spanning-Tree を無効にするようにお勧めします。そうしないと、切替時に Spanning-Tree のコンバージェンス時間により、パケットロスの時間が最大数十秒間ほど長くなることがあります。シスコ製のスイッチであれば、下記設定例のコマンドを利用すれば良いです。   Cat3750(config-if)# switchport host   switchport mode will be set to access spanning-tree portfast will be enabled channel group will be disabled     その後、一旦ダウンしていた Primary ポートが復旧しても、Backup ポートが引き続き Active ポートであり続け、自動的に切り戻しません。   Paired interfaces: 1. Pair 1:         Primary (Data 1) Standby, Link is up         Backup (Data 2) Active, Link is up   Choose the operation you want to perform: - FAILOVER - Manually failover to other port. - DELETE - Delete a pairing. - STATUS - Refresh status. []>   Primary ポートを Active に戻すためには、failover サブコマンドによる手動切り替えが必要です。   Paired interfaces: 1. Pair 1:         Primary (Data 1) Standby, Link is up         Backup (Data 2) Active, Link is up   Choose the operation you want to perform: - FAILOVER - Manually failover to other port. - DELETE - Delete a pairing. - STATUS - Refresh status. []> failover   Paired interfaces: 1. Pair 1:         Primary (Data 1) Standby, Link is up         Backup (Data 2) Active, Link is up   Choose the operation you want to perform: - FAILOVER - Manually failover to other port. - DELETE - Delete a pairing. - STATUS - Refresh status. []> status   Paired interfaces: 1. Pair 1:         Primary (Data 1) Active, Link is up         Backup (Data 2) Standby, Link is up   Choose the operation you want to perform: - FAILOVER - Manually failover to other port. - DELETE - Delete a pairing. - STATUS - Refresh status. []>   つまり、ポイントは、 15秒間隔でポートのステータスチェックを行います。 自動的に切り戻しません。 切り戻しを行う場合は、 failover サブコマンドを利用します。 バージョン 8.0.x 以降の動作   AsyncOS 8.0.x より以降では、NIC Pairing の実装が変更され、AsyncOS のベースOSである FreeBSD の NIC Teaming の実装をベースにしています。それで、以前の実装と比べて下記の相違点があります。 ポートのステータス変更が （15秒間隔ではなく） リアルタイムで反映されます。 Primary ポートが復旧すると、自動的に Primary (Active) へ切り戻します。 手動の切り戻しが必要なくなるため、failover サブコマンドがなくなります。   以下のログ例で、failover サブコマンドがなくなっていることを確認できます。   example.ironport.com> etherconfig   Choose the operation you want to perform: - MEDIA - View and edit ethernet media settings. - PAIRING - View and configure NIC Pairing. - VLAN - View and configure VLANs. - LOOPBACK - View and configure Loopback. - MTU - View and configure MTU. []> pairing   Paired interfaces:   Choose the operation you want to perform: - NEW - Create a new pairing. []> new   Please enter a name for this pair (Ex: "Pair 1"): []> Pair 1   1. Data 1 2. Data 2 Enter the name or number of the primary ethernet interface you wish bind to. []> 1   Paired interfaces: 1. Pair 1:         Primary (Data 1)         Backup (Data 2)   Choose the operation you want to perform: - DELETE - Delete a pairing. - STATUS - Refresh status. []>   Choose the operation you want to perform: - MEDIA - View and edit ethernet media settings. - PAIRING - View and configure NIC Pairing. - VLAN - View and configure VLANs. - LOOPBACK - View and configure Loopback. - MTU - View and configure MTU. []>   example.ironport.com> commit   Please enter some comments describing your changes: []>   Changes committed: Thu Jan 16 18:14:37 2014 JST   そして、下記ログで切り戻しが自動的に行われることを確認できます。   Paired interfaces: 1. Pair 1:         Primary (Data 1) Standby, Link is down         Backup (Data 2) Active, Link is up   Choose the operation you want to perform: - DELETE - Delete a pairing. - STATUS - Refresh status. []>   ＜ Data 1 ポートを復旧させる＞   []> status   Paired interfaces: 1. Pair 1:         Primary (Data 1) Active, Link is up         Backup (Data 2) Standby, Link is up   Choose the operation you want to perform: - DELETE - Delete a pairing. - STATUS - Refresh status. []>     関連のログ   NIC Pairing が有効の状態で、Active / Standby の切り替えイベントが発生した際に、ESA の System Log に関連のログが記録されます。   ログの取得方法： GUI より： System Administration > Log Subscriptions > System Logs でログ・ファイルをダウンロードする。 CLI より：grep コマンドを利用する。   下記は、Data 1 ポートがダウンして切り替えが発生した後、Data 1 ポートが復旧したことを記録しているログ例になります。   example.ironport.com> grep   Currently configured logs:     Log Name            Log Type                      Retrieval Interval  ----------------------------------------------------------------------------- ---- ... skip ... 19. status              Status Logs                   Manual Download None      20. system_logs         System Logs                   Manual Download None      21. trackerd_logs       Tracking Logs                 Manual Download None      ... skip ...   Enter the number of the log you wish to grep. []> 20   Enter the regular expression to grep. []> Pair 1   Do you want this search to be case insensitive? [Y]>   Do you want to tail the logs? [N]>   Do you want to paginate the output? [N]>   Define file selection pattern. []> Thu Jan 16 17:53:20 2014 Critical: Port Data 1 failure on Pair 1, switching to Data 2 Thu Jan 16 17:53:47 2014 Info: Recovered network on Pair 1 using port Data 2 Thu Jan 16 17:56:53 2014 Info: Standby port Data 1 on Pair 1 okay example.ironport.com> ... View more

バージョンリストが更新される理由。 バージョン更新に備えるために、参考になるリンク（PSIRT）。 ... View more

GA バージョンを確認できるリンク GAリリースの知らせを受け取るには。 ... View more

ESA/WSA/SMA いずれでも使用可能なコマンド。 取得サンプル付きで説明する。 ... View more

主な問題 Cisco Email Security Appliance 製品で、ハードウエア故障により RMA でアプライアンスを交換した場合、交換後にライセンスの移行を行ったが、下記の「Perpetual（永久）」であるべきキーが消えてしまうことがあります。 Incoming Mail Handling (Perpetual) Bounce Verification (Perpetual) 原因 シスコのライセンス・データベースにおいて、該当の「Perpetual（永久）」キーが移行出来ていないことが原因です。通常これはアプライアンス側の問題ではないです。 解決策 下記の情報をもってシスコ TAC  にケースをオープンして、ライセンス担当のチームにキーを生成するように依頼してください。 ※ ケースオープン時に「Problem Type」を「Licensing」に指定してください。 [RMA 情報] RMA/Service Order Number : <RMA番号> TAC/Service Request Number:  <SR番号>（元々のRMA と関連するSR が存在する場合） Source Device Serial Number: <障害機のシリアル番号> Target Device Serial Number: <代替機のシリアル番号> [消えてしまったライセンス名] Incoming Mail Handling (Perpetual) Bounce Verification (Perpetual) ... View more