シスコサポートコミュニティ
キャンセル
次の結果を表示 
次の代わりに検索 
もしかして: 

ASA: 時刻設定とNTPサーバの利用方法

 

時刻管理の重要性

ASAを含めたセキュアなシステムの運用において、各装置が正確な時刻を保持していることは非常に重要です。

トラブル発生時の原因究明において、通常 その機器のログを確認しますが、出力日時が正しいことで 正確な問題発生時のログ分析と調査が可能となります。 また、セキュアなネットワークの運用において、問題が発生時は、複数機器(例えば、PC・ASA・対向機器の3つ)のログと その出力日時を比較し、状況の確認と原因究明を行う必要もでてきます。

  
ASAは以下2種類の時刻設定が可能です。本ドキュメントでは、以下の設定例と動作確認方法について紹介します。

    • 手動でタイムゾーンと時刻を設定する
    • 外部NTPサーバを利用し時刻同期する

  
本ドキュメントは、ASA5506の ASAバージョン 9.6(1)を用いて確認、作成しております。

   
   

手動でタイムゾーンと時刻を設定する

clock timezoneコマンドでタイムゾーンの設定を、clock setコマンドで現在の日時の設定が可能です。 例えば以下は、タイムゾーンをJST +9にし、2016年12月9日 10:40に時刻を合わせる設定です。

asa5506-01(config)# clock timezone JST 9
asa5506-01(config)# clock set 10:40:00 Dec 09 2016

 
設定したタイムゾーンと時刻は、show clockコマンドで確認できます。

asa5506-01(config)# show clock
10:43:31.312 JST Fri Dec 9 2016

  
ASAのロギング機能で、これら設定したタイムスタンプを付与するため、logging timestampコマンドを実行します。 設定後、ログメッセージの先頭に 出力日時が付与されるようになります。

asa5506-01(config)# logging timestamp
asa5506-01(config)#
asa5506-01(config)# show log
Syslog logging: enabled
Facility: 20
Timestamp logging: enabled
Hide Username logging: enabled
Standby logging: disabled
Debug-trace logging: enabled
Console logging: level errors, 566 messages logged
Monitor logging: disabled
Buffer logging: level notifications, 6659 messages logged
Trap logging: disabled
Permit-hostdown logging: disabled
History logging: disabled
Device ID: disabled
Mail logging: disabled
ASDM logging: level informational, 332551 messages logged
configured rate is 4; Cumulative total count is 14460
Nov 16 2016 18:29:43: %ASA-4-733100: [ Scanning] drop rate-2 exceeded. Current burst rate is 0 per second, max configured rate is 8; Current average rate is 4 per second, max configured rate is 4; Cumulative total count is 14485
Nov 16 2016 18:31:44: %ASA-4-733100: [ Scanning] drop rate-2 exceeded. Current burst rate is 0 per second, max configured rate is 8; Current average rate is 4 per second, max configured rate is 4; Cumulative total count is 14502

  
  

外部NTPサーバと時刻同期する

可能な限り、単一の信頼できるNTPサーバとの時刻同期をお勧めします。 一般的に、手動で設定した時刻は、時間がたつほど 極僅かにですが、ずれていくためです。 複数機器を運用している場合、時間が立てばたつほど、そのズレは大きくなってく恐れがあります。

ASAをNTPサーバと同期させるには、ntp serverコマンドを利用します。 例えば以下は、outside側にある NTPサーバ 1.0.0.2と時刻同期するための設定です。

asa5506-01(config)# ntp server 1.0.0.2 source outside

  
複数のNTPサーバを指定する場合は、preferオプションで、優先し利用したいサーバを指定できます。仮に複数NTPサーバの正確性が同等の場合は、preferオプションの付いたNTPサーバが優先利用されます。

asa5506-01(config)# ntp server 1.0.0.2 source outside prefer

  
設定したNTPサーバ一覧は、show run ntpコマンドで確認できます。 以下例だと2つのNTPサーバが設定されており、NTPサーバ 1.0.0.2が優先利用されます。

asa5506-01(config)# sh run ntp
ntp server 1.0.0.2 source outside prefer
ntp server 133.243.xx.xx source outside

  
NTPサーバとの同期(sync)状況は、show ntp associationsコマンドで確認できます。

asa5506-01(config)# show ntp associations
address ref clock st when poll reach delay offset disp
*~1.0.0.2 171.68.xx.xx 2 35 64 1 0.7 -0.24 15890.
~133.243.xx.xx 0.0.0.0 16 - 64 0 0.0 0.00 16000.
* master (synced), # master (unsynced), + selected, - candidate, ~ configured

  
  

よくある質問

ASAの再起動をしても、時刻は保持されてますか?

はい、保持されます。

 

NTPサーバの指定にFQDNは利用できますか?

残念ながらFQDNはサポートされてません。 例えば、NTPサーバ ntp.test.com と時刻同期をしたい場合、そのNTPサーバのIPアドレスを調べ、ASAに設定する必要があります。

 

ASA時刻と NTPサーバ時刻の乖離が大きい時、同期問題は発生しますか?

信頼できるNTPサーバだとASAが判断した場合は、時刻の乖離が大きくても時刻同期が可能です。 

例えば以下のように、意図的に大きく誤った日時を設定しても、NTPサーバと同期後、NTPサーバが持つ正しい時刻に修正されます。

asa5506-01# clock set 17:00:00 Dec 9 2013   <--- わざと3年前の時刻を設定
asa5506-01#
asa5506-01# show clock
17:00:02.709 JST Mon Dec 9 2013
asa5506-01#
asa5506-01# conf t
asa5506-01(config)# ntp server 1.0.0.2 source outside <--- NTPサーバを利用開始
asa5506-01(config)#
asa5506-01(config)# end
asa5506-01#
asa5506-01# show ntp associations
address ref clock st when poll reach delay offset disp
*~1.0.0.2 171.68.xx.xx 2 31 64 7 0.6 -3.58 3891.1
* master (synced), # master (unsynced), + selected, - candidate, ~ configured
asa5506-01#
asa5506-01# show clock
12:38:44.409 JST Fri Dec 9 2016 <--- 同期され修正された
1355
閲覧回数
0
いいね!
0
コメント