はじめに Cisco により提供している JDBC ドライバを利用し、外部の端末（Windows、Linux など）から FMC へのデータベースアクセス（読み取りのみ）や監視が可能となります。本ドキュメントでは、Windows10 、CentOS7 を用いて Firepower Management Center の External Database Access の設定方法と動作確認について紹介します。 本ドキュメントは、Cisco Firepower Management Center for VMWare バージョン 6.4.0.6、Windows10、CentOS7 を用いて確認、作成しております。 ※ FMC HA 構成の場合は Active機だけ監視してください。     構成例 本ドキュメントは、以下の構成で、動作確認例を紹介します。     FMC側の設定 以下は FMC 上で External Database Access の有効化、及び、そのアクセスを許可するための設定例です。 ステップ1：FMC の"System->Configuration->External Database Access"画面で、"Allow External Database Access"をチェックし、"Server Hostname"を FMC の管理IPアドレスに設定します。   ステップ2："Add Hosts"により、External Database Access を許可したい端末を設定します。   ステップ3：設定を保存します。     Windows10側の設定 External Database Access を実施するために、端末側での事前準備が必要となります。以下は Windows10 を例として紹介します。 ステップ1：FMC の"System->Configuration->External Database Access"画面で "Client JDBC Driver"をローカルにダウンロードします。   ステップ2：ダウンロードした圧縮ファイルを解凍します。   ステップ3：Windows10 の"Command Prompt"を管理者として開いて、CLASSPATH を設定します。 設定方法： set CLASSPATH=.;<commons-logging-1.1.jarのパスを記載>;<vjdbc.jarのパスを記載>; ※実際の実行例：   ステップ4：External Database Access ための証明書をインストールします。 インストール方法： java InstallCert <FMCのIPを記載> ※実際の実行例：     CentOS7側の設定 上記のWindows10と同じく、CentOS7を利用する場合にも事前の準備が必要となります。以下は CentOS7 を例として紹介します。 ステップ1：FMC の"System->Configuration->External Database Access"画面で "ダウンロードしたclient.zipをCentOS7にコピーし、解凍します。   ステップ2："bin"フォルダに入って、CLASSPATH を設定します。 設定方法： export CLASSPATH=.:../lib/vjdbc.jar:../lib/commons-logging-1.1.jar ※実際の実行例：   ステップ3：External Database Access ための証明書をインストールします。 インストール方法： java InstallCert <FMCのIPを記載> ※実際の実行例：     動作確認例 上記、FMC 、Windows10、CentOS7 の設定を実施できた後、Windows10 の"Command Prompt"ウィンドウで、もしくは、CentOS7 の"Terminal"ウィンドウで、FMC に対する SQL クエリを実施できます。以下は、FMC データベースの rule_message テーブルに対する SQL クエリの実行例です。 SQLクエリ： SELECT message FROM rule_message limit 2 SQLクエリの実行方法： java RunQuery <FMCのIPを記載> <FMCのuserを記載> <FMCのpasswordを記載> "<SQLクエリを記載>" ※実際の実行例（Windows10）： ※実際の実行例（CentOS7）：     参考情報 https://www.cisco.com/c/en/us/td/docs/security/firepower/640/configuration/guide/fpmc-config-guide-v64/system_configuration.html?bookSearch=true ... View more

はじめに FMCで管理デバイスのアップグレードやポリシーの Deploy を実施した際に、何かの理由で、対象タスクが失敗したが、FMC 上で running のままと表示される事象が発生することがあります。 本ドキュメントはこれらの異常タスクを FMC 上からクリアさせる方法についてご紹介します。 本ドキュメントは、Cisco Firepower Management Center for VMWare バージョン 6.4.0.6、Cisco Firepower Threat Defense Virtual for VMware バージョン 6.4.0を用いて確認、作成しております。 本作業は エンジニアから実施指示があった場合に実施を検討してください。また、事前にバックアップを取得してからの作業実施をお勧めします。     事象の説明 確実なトリガーが不明ですが、例えば FTD のパッチアップグレード時などに何かの理由でアップグレードが失敗し、タスク自体が既に稼働していないですが、FMC 上で running のままと表示される事象が稀に発生することがあります。FMC の再起動を実施しても、事象が改善できません。 ※発生例（パッチアップグレートが失敗したが、FMC上で running 43% のままに表示されている）：     異常タスクのクリア FMC CLI の Expert モードで Mysql データベースへの SQL クエリの実施により、上記の異常タスクを FMC 上でクリアすることができます。詳細な作業手順は以下の内容を参照してください。 ※下記手順を実施された後でも事象が改善できない場合は、作業ログや 以下ドキュメントを参考にTSファイルを収集の上、Cisco TAC にお問い合わせしてください。 https://community.cisco.com/t5/-/-/ta-p/3156598 ステップ1: FMC CLI で root 権限に入ります。 admin@firepower:~$ sudo su Password: root@firepower:/Volume/home/admin#   ステップ2: 現状のタスクの状況を確認し、滞留している state = 3 のレコードをメモします。 検索用SQLクエリ： OmniQuery.pl -db mdb -e "select state,aq_id,message,description from action_queue;" 検索用SQLクエリの実行例： root@firepower:/Volume/home/admin# OmniQuery.pl -db mdb -e "select state,aq_id,message,description from action_queue;" +-------+--------------------------------------+------------------------------+-------------------------+ | state | aq_id | message | description | +-------+--------------------------------------+------------------------------+-------------------------+ | 1 | 626578c0-2098-11ea-b5e7-3fdcaac523f8 | 1 | Sync ... | | 3 | 7f25062c-209a-11ea-b3f1-da26e7dfb437 | [43%] Running script... | Apply to 10.XX.XX.XX | | 1 | 8c47c18e-2098-11ea-96a4-71ceaac523f8 | success | Pre-deploy ... | | 1 | 9cb5b8dc-2098-11ea-96a4-71ceaac523f8 | success | Pre-deploy ... | | 1 | c4b6b5b6-2075-11ea-880e-532ebf5ae20e | Exited Maintenance mode | Exit Maintenance Mode | +-------+--------------------------------------+------------------------------+-------------------------+ 5 rows in set   ステップ3: 異常タスクのステータスを"4"（Fail）に変更します。 アップデート用SQLクエリ（ステップ2 で確認できた state = 3 のレコードの aq_id を入り替えます）： OmniQuery.pl -db mdb -e "update action_queue set state='4' where aq_id ='(aq_idを記載)';" アップデート用SQLクエリの実行例： root@firepower:/Volume/home/admin# OmniQuery.pl -db mdb -e "update action_queue set state='4' where aq_id ='7f25062c-209a-11ea-b3f1-da26e7dfb437';" Command executed but returns no results.   ステップ4: タスクの状況を再度、確認します。 検索用SQLクエリの実行例： root@firepower:/Volume/home/admin# OmniQuery.pl -db mdb -e "select state,aq_id,message,description from action_queue;" +-------+--------------------------------------+------------------------------+-------------------------+ | state | aq_id | message | description | +-------+--------------------------------------+------------------------------+-------------------------+ | 1 | 626578c0-2098-11ea-b5e7-3fdcaac523f8 | 1 | Sync ... | | 4 | 7f25062c-209a-11ea-b3f1-da26e7dfb437 | [43%] Running script... | Apply to 10.XX.XX.XX | | 1 | 8c47c18e-2098-11ea-96a4-71ceaac523f8 | success | Pre-deploy ... | | 1 | 9cb5b8dc-2098-11ea-96a4-71ceaac523f8 | success | Pre-deploy ... | | 1 | c4b6b5b6-2075-11ea-880e-532ebf5ae20e | Exited Maintenance mode | Exit Maintenance Mode | +-------+--------------------------------------+------------------------------+-------------------------+ 5 rows in set   ステップ5: FMC の"Tasks"箇所で上記の異常タスクが Failed となっていることを確認できて、「Remove all failed tasks」により、当該タスクを削除できます。 ※「Remove all failed tasks」実行後の例：     参考資料 https://www.cisco.com/c/en/us/td/docs/security/firepower/640/configuration/guide/fpmc-config-guide-v64.html ... View more

はじめに FMCに登録されている Firepower デバイスが SFTunnel を経由し、FMC との暗号化通信を行います。 本ドキュメントは SFTunnel に利用されている SSL 証明書の再作成方法についてご紹介します。     事象の説明 確実なトリガーが不明ですが、例えばVDBの更新時などに何かの理由で FMC に登録されている Firepower デバイスと FMC の間の通信がうまくできない事象が稀に発生することがあります。対象 Firepower デバイスの再起動、及び、 FMC への再登録を実施しても、事象が改善できません。また、Firepower デバイスのTSファイルの「/var/log/messages」に以下のような SFTunnel 通信用の SSL 証明書の期限切れを示すエラーログが出力されます。 本件事象は Firepower 5.4や 6.0など古いバージョンをご利用環境で発生報告があります。 sftunneld:sf_ssl [ERROR] CRL Expired sftunneld:sf_ssl [ERROR] Unable to load SSL verification data(2): CRL expired sftunneld:sf_ssl [ERROR] Unable to create SSL context(2): error:00000000:lib(0):func(0):reason(0)     SSL証明書の作成方法 Firepower デバイスの Expert モードで SSL 証明書の再作成により、上記の事象を改善できることが期待できます。詳細な作業手順は以下の内容を参照してください。 ※SSL 証明書を再作成された後でも事象が改善できない場合に、関連情報を持って Cisco TAC にお問い合わせしてください。 ステップ1: EM_peersテーブルのクエリにてセンサー上の登録情報の確認 例) sudo mysql -padmin sfsnort -e "select name,ip,uuid,role from EM_peers where role !=0" password: +---------------+---------------+--------------------------------------+------+ | name | ip | uuid | role | +---------------+---------------+--------------------------------------+------+ | Sourcefire3D | 10.0.1.1 | a57b4472-97cd-11e9-a594-9076186da141 | 1 | +---------------+---------------+--------------------------------------+------+   ステップ2: remove_peer.plスクリプトにてEM_Peerテーブル上のエントリーを、以下のようなコマンドを実行して削除 例) admin@Sourcefire3D:~$ sudo remove_peer.pl 10.0.1.1 admin@Sourcefire3D:~$ sudo remove_peer.pl ~10.0.1.1 admin@Sourcefire3D:~$ sudo remove_peer.pl a57b4472-97cd-11e9-a594-9076186da141 admin@Sourcefire3D:~$ sudo remove_peer.pl ~a57b4472-97cd-11e9-a594-9076186da141 admin@Sourcefire3D:~$ sudo remove_peer.pl Sourcefire3D admin@Sourcefire3D:~$ sudo remove_peer.pl ~Sourcefire3D   実行するコマンドのSyntaxは以下です。 remove_peer.pl IP_ADDRESS remove_peer.pl ~IP_ADDRESS remove_peer.pl UUID remove_peer.pl ~UUID remove_peer.pl NAME remove_peer.pl ~NAME   ステップ3: 現在のSSL Certificateの取り消し 例) admin@Sourcefire3D:~$ for NUM in `grep -e '^V' /etc/sf/ca_root/index.txt | grep sftunnel | cut -f4`; do sfca_revoke /etc/sf/ca_root $NUM; done   ステップ4: SSL_peerテーブルからSFTunnelの削除 例) admin@Sourcefire3D:~$ sudo mysql -padmin sfsnort -e 'delete from ssl_peer where role = "sftunnel"'   ステップ5: イニシャルSFTunnel SSL Certificatesの再生成 例) admin@Sourcefire3D:~$ sudo /etc/rc.d/init.d/cert-tun-init   ステップ6: FMCへFirepower デバイスの再登録     参考情報 FireSight-FirePower 登録手順 https://community.cisco.com/t5/-/-/ta-p/3135323 ... View more

はじめに 本ドキュメントは ASA の flash に対するアクセスが実施されたタイミングで、WebStart 及び ASDM-IDM launcher から正常に ASDM の起動ができない問題が発生した際の対応方法についてご紹介します。 本ドキュメントは ASAバージョン 9.8(3)21 を用いて確認、作成しております。     構成例 本ドキュメントでは、以下の構成で、動作確認例を紹介します。                トラブル例 以下は、対象 ASAv -> TFTP サーバにファイルを転送されるタイミングで、WebStart 及び ASDM-IDM launcher の接続失敗例です。 1.　対象 ASAv -> TFTP サーバにファイルの転送を実施します。 ASAv(config)# copy flash:/asa983-21-smp-k8.bin tftp://xx.xx.xx.xx/image/asa983-21-smp-k8.bin Source filename [asa983-21-smp-k8.bin]? Address or name of remote host [xx.xx.xx.xx]? Destination filename [image/asa983-21-smp-k8.bin]? !!!!!!!!!!!!!!!!!!!!!!!!   2.　[1.]が実施されているタイミングで、WebStart からASDMの接続を実施します。以下の画像では The flash device is in use by another task エラーの発生により、Web 経由での ASDM 接続が正常にできないことを確認できます。   3.　[1.]が実施されているタイミングで、ASDM-IDM launcher からASDMの接続を実施します。以下の画像では ASDM-IDM launcher 経由での ASDM 接続が同じエラーメッセージが出力されないにも関わらず、ASDM の認証画面が繰り返し出て、正常にアクセスできないことを確認できます。     4.　[1.]のファイル転送が完了した後でも、[2.]と[3.]の動作は復帰しません。     事象の発生原因 本 Topic の事象は不具合 CSCvj28643 の duplicate 不具合として CSCvn65598 として登録されています。 CSCvn65598  の詳細は BugSearch を参照ください。     問題の恒久対策 CSCvn65598 の ASDM 接続不可の不具合は、CSCvj28643 の問題のコード修正にて同時に行われています。 CSCvn65598 の修正バージョンは CSCvj28643の Known Fixed Releases を参照ください。     問題の暫定復旧方法 問題発生時の復旧方法は下記 2つの回避策が存在します。対象 ASA の再起動が難しい場合に、回避策 2 の実施を検討してください。 回避策 1：対象 ASA の再起動を実施します。 回避策 2：別の ASA を経由して、間接的に対象 ASA への ASDM アクセスを実施します。以下は回避策 2 の実行例となります。 1.　別の ASA への ASDM アクセスを実施します。   2.　Device List で対象 ASA をクリックし、認証画面でユーザとパスワードを入力します。 3.　対象 ASA に正常に ASDM のアクセスができます。     参考情報 不具合の更新情報をメールで受信する方法 https://supportforums.cisco.com/ja/document/12958351 ... View more

はじめに Ciscoより定期的にリリースされている SRU 中の Signature に定義されている 送信元IP や 宛先IP が通常、デフォルトの変数セット（$EXTERNAL_NET any, $HOME_NET any）を利用します。実際の運用状況に応じて、Signature 中の変数セットのカスタマイズにより、特定な端末に対する Signature 検知の除外を実現できます。 本ドキュメントでは、変数セットのカスタマイズにより、Signature の検知を除外するための設定例、及び、実際の動作確認例を紹介します。 本ドキュメントは、Cisco Firepower Management Center for VMWare バージョン 6.3.0、Cisco Firepower Threat Defense Virtual for VMware バージョン 6.3.0を用いて確認、作成しております。     構成例 本ドキュメントは、以下の構成で、動作確認例を紹介します。     設定例 Signature の検知は Signature の中で予め定義された変数セットに基づいて、特定な送信元・宛先の間のトラフィックの検知と制御を行います。以下は SID 408 PROTOCOL-ICMP Echo Reply の中で使用されているデフォルトの変数セットです。   ※変数セットは $EXTERNAL_NET any, $HOME_NET any となります。     動作確認例 以下は Intrusion Policy 中の SID 408 PROTOCOL-ICMP Echo Reply 中に定義されている変数 $EXTERNAL_NET のカスタマイズにより、Server A を ICMP packet 検知（SID 408 PROTOCOL-ICMP Echo Reply）から除外する際の動作確認例を紹介します。 1.　対象ルール SID 408 PROTOCOL-ICMP Echo Reply の Rule State を Drop and Generate Events に設定します。   2.　Client A -> Server A、Client A -> Server Bへの ICMP トラフィックをヒットするための ACP（Access Control Policy） を作成し、対象 Intrusion Policy を呼び出すように設定します。   3.　Client A -> Server A、Client A -> Server Bへの Ping を実施し、Ping Failed ことを確認できます。 また、以下の画像では、両 Server に対する Intrusion Event が生成されたことを確認できます。   4.　SID 408 PROTOCOL-ICMP Echo Reply に対して、Objects->Object Management->Variable Set 箇所で変数 $EXTERNAL_NET のカスタマイズを実施します。Server A（10.124.57.196）の除外を設定するため、新しい変数 $EXTERNAL_NET_TEST を作成します。 ※ Excluded Networks 箇所で Server A（10.124.57.196）のIPアドレスを設定します。   5.　SID 408 PROTOCOL-ICMP Echo Reply を元に、新しい変数 $EXTERNAL_NET_TEST を利用するための Local Signature を作成します。 ※下記画面で SID 408 PROTOCOL-ICMP Echo Reply 行の鉛筆マークを押して、元 Signature の変更を実施します。   ※下記画面で設定変更を実施した後、Save As New ボタンを押して、新しい Signature を作成します。   ※下記画面で新しい Signature （SID：1000003）を確認できます。   6.　新しい Signature の Rule State を Drop and Generate Events に設定します。   7.　動作確認のため、元 SID 408 PROTOCOL-ICMP Echo Reply の Rule State を Disabled に設定します。   8.　上記の設定変更を対象 FTD に Deploy します。 9.　Client A -> Server A への Ping を実施します。Server A の IP アドレスが Signature ID 1000003 により除外されているため、Ping succeed ことを確認できます。 10.　Client A -> Server B への Ping を実施し、Ping Failed ことを確認できます。 また、以下の画像では、 Server B に対する Intrusion Event が生成されたことを確認できます。     参考情報 https://www.cisco.com/c/en/us/td/docs/security/firepower/630/configuration/guide/fpmc-config-guide-v63/reusable_objects.html?bookSearch=true#ID-2243-00000801 ... View more

  はじめに Intrusion Policy内の Suppression設定を用いる事で、任意Ruleの Intrusion Eventの生成の抑制が可能です。 本ドキュメントでは、当Suppression機能の設定例、及び、実際の動作確認例として Intrusion Policy にて ICMP packet を検知した際に生成される Intrusion Event の抑制（Suppression）の設定と確認方法を紹介します。 本ドキュメントは、Cisco Firepower Management Center for VMWare バージョン 6.3.0.2、Cisco Firepower Threat Defense Virtual for VMware バージョン 6.3.0.2を用いて確認、作成しております。     構成例 本ドキュメントは、以下の構成で、動作確認例を紹介します。     設定例 Intrusion Policy ベースの抑制（Suppression）は、予め設定された基準に基づいて、特定のルール（Signature）がトリガーされた際に、Intrusion Event の抑制（生成されないこと）を実現できます。FMC の Policies > Intrusion > Intrusion Policy 箇所で、対象ルールを選択し、"Event Filtering"箇所で抑制（Suppression）の詳細内容を設定できます。以下は SID 408 PROTOCOL-ICMP Echo Reply に対する抑制の設定例です。   抑制のタイプ（Suppression Type）は Rule、Source、Destination の 3つ が存在し、それぞれの違いは以下の通りです。 Rule： 選択したルールのイベントを完全に抑制します Source：指定した送信元 IP アドレスから送信されるパケットによって生成されるイベントを抑制します Destination：指定した宛先 IP アドレスに送信されるパケットによって生成されるイベントを抑制します     動作確認例 以下は Intrusion Policy 中の SID 408 PROTOCOL-ICMP Echo Reply によって ICMP パケット検知時に、抑制のタイプが Destination に設定された場合の動作を紹介します。 1.　対象ルール SID 408 PROTOCOL-ICMP Echo Reply の Rule State を Drop and Generate Events に設定します。   2.　Client A -> Server 、Client B -> Server への ICMP トラフィックをヒットするための ACP（Access Control Policy） を作成し、対象 Intrusion Policy を呼び出すように設定します。   3.　Client A -> Server、Client B -> Server への Ping を実施し、Ping Failed ことを確認できます。また、以下の画像では、両 Client に対する Intrusion Event が生成されたことを確認できます。   4.　SID 408 PROTOCOL-ICMP Echo Reply に対して、宛先が Client A（192.168.11.1）に送信されるパケットによって生成されるイベントの抑制を設定します。     5.　抑制を設定された後の SID 408 PROTOCOL-ICMP Echo Reply の行で Event filters のマークを確認できます。   6.　上記の変更内容を Commit し、Deploy します。   7.　再度、Client A -> Server、Client B -> Server への Ping を実施し、Ping Failed ことを確認できます。また、以下の画像では、Client A （192.168.11.1）に対する Intrusion Event が抑制された（生成されない）ことを確認できます。     参考情報 https://www.cisco.com/c/en/us/td/docs/security/firepower/630/configuration/guide/fpmc-config-guide-v63/tuning_intrusion_policies_using_rules.html?bookSearch=true#ID-2237-00000204 ... View more

  はじめに 本ドキュメントでは、ASA 9.0.1 以降に新しく追加されている Per-session PAT 機能の設定例と動作確認例を紹介します。 本ドキュメントは ASAバージョン 9.4(4)29 を用いて確認、作成しております。     構成例 本ドキュメントでは、以下の構成で、動作確認例を紹介します。     設定例 ASA 9.0.1 以降では、Per-session PAT 機能がデフォルトで有効になりますので、手動での設定は不要です。 しかし、ASA 9.0.1 より前のバージョンから ASA 9.0.1 以降のバージョンにアップグレードした場合、アップグレード前のバージョンでの動作と合わせるために、Per-session PAT 機能がデフォルトで無効にされます。何らかの理由でper-session PATを有効にしたい場合は、下記コマンドによる有効化が必要です。 no xlate per-session deny tcp any4 any4 no xlate per-session deny tcp any4 any6 no xlate per-session deny tcp any6 any4 no xlate per-session deny tcp any6 any6 no xlate per-session deny udp any4 any4 eq domain no xlate per-session deny udp any4 any6 eq domain no xlate per-session deny udp any6 any4 eq domain no xlate per-session deny udp any6 any6 eq domain     Per-session PAT機能と 以前の機能の違いについて Per-session PAT 機能の有効化により、Per-session PAT セッションの終了時に、即座に ASAの 該当xlate 情報が削除されます。 逆に、Per-session PAT機能が導入される前のバージョン(8.x系)を利用時や、per-session PAT利用を無効時は、PATセッションが終了した後に、xlate 情報がデフォルトで 30 秒保持され 終了したばかりのセッションのPort番号は その間 再利用できません。     動作確認例 以下は、実際の HTTPS 通信とパケットトレーサユーティリティを実行した場合の、簡易動作確認例です。 動作確認のため、本例では pat-xlate の timeout 値（デフォルト 30 秒）を 2 分に設定します。 ※以下のNAT設定を前提とします。 object-group network Client-Object network-object 192.168.195.0 255.255.255.0 object-group network Server-Object network-object host 137.153.140.144 nat (inside,outside) source dynamic Client-Object Server-Object 1.　 Client -> HTTP Server のHTTPS通信を実施します。 2.　[1.] で生成されたコネクション (show conn long) と PAT(show xlate) の状況を確認します。以下のコマンドの実行結果例ではinside:192.168.195.15/6092 → outside:137.153.140.144/6092 の xlate 情報を確認できます。 fw(config)# show conn long 1 in use, 3 most used ...... TCP outside: 137.153.140.15/443 (137.153.140.15/443) inside: 192.168.195.15/6092 (137.153.140.144/6092), flags UxIO , idle 3s, uptime 6s, timeout 1h0m, bytes 190728   fw(config)# show xlate 2 in use, 7 most used NAT from outside:0.0.0.0/0 to inside:0.0.0.0/0 flags sIT idle 5:48:11 timeout 0:00:00 ...... TCP PAT from inside:192.168.195.15/6092 to outside:137.153.140.144/6092 flags ri idle 0:00:09 timeout 0:02:00 3.　[1.] のHTTPS通信を Client で切断します。 4.　コネクション (show conn long) と PAT(show xlate) の状況を確認します。以下のコマンドの実行結果例ではinside:192.168.195.15/6092 → outside:137.153.140.144/6092 のコネクションがクリアされたタイミングで、pat-xlate のセッション情報も即座に ASA のメモリ上で削除されたことを確認できます。 fw(config)# show conn long 0 in use, 3 most used   fw(config)# show xlate 1 in use, 7 most used Flags: D - DNS, e - extended, I - identity, i - dynamic, r - portmap, s - static, T - twice, N - net-to-net NAT from outside:0.0.0.0/0 to inside:0.0.0.0/0 flags sIT idle 5:48:39 timeout 0:00:00   5.　[1.] で生成された PAT xlate セッションが削除されてから、PAT xlate の timeout（2分）を過ぎるまで、ASA の packet-tracer で、 [1.] で生成されたコネクションと同じトラフィック( source IP, source port, destination IP, destination port )を流します。以下のパケットトレーサの実行結果では PAT xlate の timeout（2分）を過ぎていないにも関わらず、[5.] のトラフィックが [1.] のトラフィックと同じ IP/Port に変換されたことを確認できます。 fw(config)# packet-tracer input inside tcp 192.168.195.15 6092 137.153.140.15 443 Phase: 1 Type: CAPTURE Subtype: Result: ALLOW Config: Additional Information: MAC Access list Phase: 2 Type: ACCESS-LIST Subtype: Result: ALLOW Config: Implicit Rule Additional Information: MAC Access list Phase: 3 Type: ROUTE-LOOKUP Subtype: Resolve Egress Interface Result: ALLOW Config: Additional Information: found next-hop 137.153.140.15 using egress ifc outside Phase: 4 Type: NAT Subtype: Result: ALLOW Config: nat (inside,outside) source dynamic Client-Object Server-Object Additional Information: Dynamic translate 192.168.195.15/6092 to 137.153.140.144/6092 ←PATタイムアウトを使用せず、同じ IP/Port に変換された Phase: 5 Type: NAT Subtype: per-session Result: ALLOW Config: Additional Information: Phase: 6 Type: IP-OPTIONS Subtype: Result: ALLOW Config: Additional Information: Phase: 7 Type: NAT Subtype: rpf-check Result: ALLOW Config: nat (inside,outside) source dynamic Client-Object Server-Object Additional Information: Phase: 8 Type: NAT Subtype: per-session Result: ALLOW Config: Additional Information: Phase: 9 Type: IP-OPTIONS Subtype: Result: ALLOW Config: Additional Information: Phase: 10 Type: FLOW-CREATION Subtype: Result: ALLOW Config: Additional Information: New flow created with id 61, packet dispatched to next module Result: input-interface: inside input-status: up input-line-status: up output-interface: outside output-status: up output-line-status: up Action: allow     参考情報 Release Notes for the Cisco ASA Series, 9.0(x) https://www.cisco.com/c/en/us/td/docs/security/asa/asa90/release/notes/asarn90.html#pgfId-684764 Cisco ASA シリーズ コマンド リファレンス、T ～ Z コマンドおよび ASASM の IOS コマンド https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/T-Z/cmdref4/wz.html ... View more