[index] CentreCOM AR550S コマンドリファレンス 2.9

# SHOW IPSEC POLICY

カテゴリー：IPsec / IPsecポリシー

`SHOW IPSEC POLICY[=policy] [SABUNDLE] [COUNTERS]`

policy: IPsecポリシー名（1〜23文字）

IPsecポリシーに関する情報を表示する。

パラメーター

POLICY: IPsecポリシー名。省略時はすべてのIPsecポリシーの情報を簡潔に表示する。指定時は、該当ポリシーの詳細情報を表示する。

SABUNDLE: 該当IPsecポリシーに基づいて作成されたSAバンドルの情報だけを表示する。

COUNTERS: 該当IPsecポリシーの統計カウンターを表示する。

入力・出力・画面例

    SecOff > show ipsec policy

      Interface  Name                     Action     KeyManagement  Position
      ------------------------------------------------------------------------
      eth0       isa                      PERMIT     -                 1
      eth0       vpn                      IPSEC      ISAKMP            2
      eth0       inet                     PERMIT     -                 3

    SecOff > show ipsec policy=vpn

      Ipsec Policy Information

      Name ........................... vpn
      Interface ...................... eth0
      Source Interface ................-
      Position ....................... 2
      Action ......................... IPSEC
      Key Management ................. ISAKMP
      Isakmp Policy Name .............
      Bundle Specification ........... 1
      Peer IP Address Dynamic ........ FALSE
      Peer IP Address Any ............ FALSE
      Local IP Address Dynamic ....... FALSE
      Peer IP Address ................ 192.168.100.2
      Local IP Address ............... 192.168.100.1
      Use PFS Key .................... FALSE
      Group........................... 1
      Filter:
        Local Address ................ 192.168.1.0
        Local Mask ................... 255.255.255.0
        Local Port ................... ANY
        Local Name ................... ANY
        Remote Address ............... 192.168.10.0
        Remote Mask .................. 255.255.255.0
        Remote Port .................. ANY
        Remote Name .................. ANY
        Transport Protocol ........... ANY
        Sa Selector From Pkt ......... 00000000
      DF Bit ......................... CLEAR
      UDP Tunnel ..................... FALSE
          Peer Port .................. -
          Peer IP Address ............ -
          Internal IP Address ........ -
          HeartBeats Enabled ......... -
      Debug device ................... 16
      Filter debug flags ............. 00000000
      Packet debug flags ............. 00000000
      Trace debug flags .............. 00000000
      Packet debug length ............ 72
      Max Out Packet queue length .... 20
      Number of Out Packets queued ... 0

    Bundles

      Bundle                           Expiry Limits - hard/soft/used
      Index SA's              State    Bytes                Seconds
      -----------------------------------------------------------------------
       0    0,1               VALID    -/-/268846           28800/25200/11985

    SecOff > show ipsec policy sabundle

      Ipsec Policy SA Bundles

                                       Expiry Limits - hard/soft/used
      Bundle                           Bytes
      Index SA's              State    Seconds
      -----------------------------------------------------------------------
      Policy ..........l2
       0    1                 VALID    -/-/3123
                                       28800/25196/7
      Isakmp SA = 2

    SecOff > show ipsec policy=vpn counters

    Setup/Remove Counters:
      setupStarted                   1  setupSaSetupFailImm            0
      setupSaSetupStarted            2  setupSaSetupFailed             0
      setupDone                      1  setupFailed                    0
      removeStarted                  0  removeSaSetupStarted           0
      removeDone                     0

    Outbound Packet Processing Counters:
      outDeny                        0  outPermit                      0
      outNoBundle                    0  outNoBundleFail                0
      outMakeSetupStrctFail          0  outSetupBundleFail             0
      outBundleSoftExpire            0  outBundleExpire                0
      outProcessStart             2058  outProcessFailImm              0
      outBundleStateBad              0  outProcessFail                 0
      outProcessDone              2058

    Inbound Packet Processing Counters:
      inDeny                         0  inPermit                       0
      inCompUncompressed             0  inActionIpsecFail              0
      inBundleStateBad               0  inNotFirstSaInBundle           0
      inProcessStart              2108  inProcessFailImm               0
      inProcessFail                  0  inProcessDone               2108
      inEndOfBundle                  0  inPrematureEndBundle           0
      inBundleSaMatchFail            0  inPolicyActionFail             0
      inPolSelectMatchFail           0  inBundleReplaced               0
      inBundleSoftExpire             0  inBundleExpire                 0

表 1：IPsecポリシー名未指定時
Interface | 対象インターフェース名
Name | IPsecポリシー名
Action | アクション。IPSEC（IPsec適用）、PERMIT（通過）、DENY（破棄）のいずれか
KeyManagement | 鍵管理方式。MANUAL（手動）かISAKMP（自動）
Position | ポリシー番号（位置）

表 2：IPsecポリシー名指定時
Name | IPsecポリシー名
Interface | 対象インターフェース名
Position | ポリシー番号（位置）
Action | アクション。IPSEC（IPsec適用）、PERMIT（通過）、DENY（破棄）のいずれか
Key Management | 鍵管理方式。MANUAL（手動）かISAKMP（自動）
Isakmp Policy Name | IKEフェーズ1のネゴシエーション時に使用するISAKMPポリシー名
Bundle Specification | 使用するSAバンドルスペック番号
Peer IP Address Dynamic | PEERパラメーターにDYNAMIC（IPアドレスが動的に変化する相手だけを受け入れる）を指定したかどうか
Peer IP Address Any | PEERパラメーターにANY（任意の固定IPアドレスからIPsec SAのネゴシエーション要求を受け入れる）を指定したかどうか
Local IP Address Dynamic | ローカル側IPアドレスが動的に決定されるかどうか
Peer IP Address | 対向IPsec装置のIPアドレス（IPsecトンネルのリモート側終端アドレス）
IP Route Template | IPルートテンプレート名
Local IP Address | ローカル側IPアドレス（IPsecトンネルのローカル側終端アドレス）
Use PFS Key | Perfect Forward Security (PFS)を使用するかどうか
Group | Diffie-Hellman（Oakley）グループ
Filter | IPsecポリシー適用対象のパケットを識別するフィルター（セレクター）の情報が表示される
Local Address | ローカル側IPアドレス
Local Mask | ローカル側IPアドレスに対するマスク
Local Port | ローカル側ポート
Local Name | ローカル側システム名
Remote Address | リモート側IPアドレス
Remote Mask | リモート側IPアドレスに対するマスク
Remote Port | リモート側ポート
Remote Name | リモート側システム名
Transport Protocol | トランスポート層プロトコル
SA Selector From Pkt | パケット内のどのフィールドを検索に使用するかを示すビットフラグ
DF Bit | 外側IPヘッダーに付けるフラグメント不可フラグ（DF Bit）の値。COPY（内側のオリジナルIPヘッダーからコピー）、SET（常にオン）、CLEAR（常にオフ）
Debug device | デバッグ情報の出力先デバイス（ポート）番号
Filter debug flags | フィルターデバッグがオンに設定されているセレクターと許可/拒否の結果を示すフラグ
Packet debug flags | パケットデバッグがオンに設定されている処理部とパケットの向きを示すフラグ。パケットの一部も表示される
Trace debug flags | トレースデバッグのオン・オフを示すフラグ
Packet debug length | パケットデバッグ時に表示されるデータ長さ
Max Out Packet queue length | 出力パケットキューの最大長
Number of Out Packets queued | 現在出力キューに入っているパケットの数
Bundles | 本ポリシーに基づいて作成されたSAバンドルに関する情報が表示される
Index | SAバンドルID
SAs | バンドル内のSA ID
State | SAバンドルの状態。VALID、INVALID、CREATING、REMOVINGのいずれか
Expiry Limits - hard/soft/used | バンドル内SAの有効期限。各SAは、soft limitを超えると再ネゴシエートされ、hard limitを超えるとSPDから削除される
ExpiryBytes | バンドル内SAの有効期限（バイト数）。値は左から順に、削除期限（hard limit）、再ネゴシエーション期限（soft limit）、現在までの処理済みバイト数
ExpirySeconds | バンドル内SAの有効期限（秒）。値は左から順に、削除期限（hard limit）、再ネゴシエーション期限（soft limit）、現在までの経過秒数

表 3：SABUNDLEオプション指定時
Policy | IPsecポリシー名
Index | ポリシー別のSAバンドルID
SAs | バンドル内のSA ID
State | SAバンドルの状態。VALID、INVALID、CREATING、REMOVINGのいずれか
Expiry Limits - hard/soft/used | バンドル内SAの有効期限。各SAは、soft limitを超えると再ネゴシエートされ、hard limitを超えるとSPDから削除される
ExpiryBytes | バンドル内SAの有効期限（バイト数）。値は左から順に、削除期限（hard limit）、再ネゴシエーション期限（soft limit）、現在までの処理済みバイト数
ExpirySeconds | バンドル内SAの有効期限（秒）。値は左から順に、削除期限（hard limit）、再ネゴシエーション期限（soft limit）、現在までの経過秒数
Isakmp SA | 表示されたバンドルを監視するISAKMP SAのID

表 4：COUNTERオプション指定時
Setup/Remove Counters | SAバンドルの作成と削除に関するカウンターが表示される。setupStarted
setupSaSetupStarted | SAのセットアップ開始回数
setupDone | SAバンドルのセットアップ成功回数
removeStarted | SAバンドルの削除開始回数
removeDone | SAバンドルの削除成功回数
setupSaSetupFailImm | SAのセットアップ即時失敗回数
setupSaSetupFailed | SAセットアップ失敗回数
setupFailed | SAバンドルのセットアップ失敗回数
removeSaSetupStarted | SAの削除開始回数
Outbound Packet Processing Counters | 外向きSAバンドルの処理に関するカウンターが表示される
outDeny | 外向きパケットがDENYアクションのIPsecポリシーにマッチした回数
outNoBundle | 外向きパケットがSAバンドルを持たないIPsecポリシーにマッチした回数
outMakeSetupStrctFail | セットアップ構造体の問題により、外向きパケット用SAバンドルのセットアップに失敗した回数
outBundleSoftExpire | 外向きパケットによりSAバンドルの再ネゴシエーション期限（バイト数）に到達した回数
outProcessStart | 外向きパケットに対してIPsec処理を開始した回数
outBundleStateBad | 外向きパケットが有効なバンドルを持たないIPsecポリシーにマッチした回数
outProcessDone | 外向きパケットに対するIPsec処理が完了した回数
outPermit | 外向きパケットがPERMITアクションのIPsecポリシーにマッチした回数
outNoBundleFail | バンドルを持たないIPsecポリシーにマッチしたため破棄された外向きパケットの数
outSetupBundleFail | 外向きパケット用SAバンドルのセットアップ失敗回数
outBundleExpire | 外向きパケットによりSAバンドルの有効期限（バイト数）に到達した回数
outProcessFailImm | 外向きパケットに対するIPsec処理が即時失敗した回数
outProcessFail | 外向きパケットに対するIPsec処理に失敗した回数
Inbound Packet Processing Counters | 内向きSAバンドルの処理に関するカウンターが表示される
inDeny | 内向きパケットがDENYアクションのIPsecポリシーにマッチした回数
inCompUncompressed | 未サポート
inBundleStateBad | 有効なバンドルを持たないIPsecポリシーにマッチした内向きパケットの数
inProcessStart | 内向きパケットに対してIPsec処理を開始した回数
inProcessFail | 内向きパケットに対するIPsec処理に失敗した回数
inEndOfBundle | 内向きパケットに対し、SAバンドルによる処理が最後まで行われなかった回数
inBundleSaMatchFail | 内向きパケットがバンドル内のSAにマッチしなかった回数
inPolSelectMatchFail | 内向きパケットがIPsecポリシーのセレクターにマッチしなかった回数
inBundleSoftExpire | 内向きパケットによりSAバンドルの再ネゴシエーション期限（バイト数）に到達した回数
inPermit | 内向きパケットがPERMITアクションのIPsecポリシーにマッチした回数
inActionIpsecFail | 内向きの平文パケットがIPSECアクションのIPsecポリシーにマッチした回数
inNotFirstSaInBundle | 内向きパケットがバンドルの先頭でないSAにマッチした回数
inProcessFailImm | 内向きパケットに対するIPsec処理が即時失敗した回数
inProcessDone | 内向きパケットに対するIPsec処理が完了した回数
inPrematureEndBundle | バンドル内のすべてのSAが使用される前に、内向きパケットに対する処理が完了した回数
inPolicyActionFail | 内向きIPsecパケットがポリシーにマッチしなかった回数
inBundleReplaced | 内向きパケットにより、古いSAバンドルが削除された回数
inBundleExpire | 内向きパケットによりSAバンドルの有効期限（バイト数）に到達した回数

関連コマンド

CREATE IPSEC POLICY
DESTROY IPSEC POLICY
SET IPSEC POLICY

参考

RFC2401, Security Architecture for the Internet Protocol
RFC2402, IP Authentication Header
RFC2403, The Use of HMAC-MD5-96 within ESP and AH
RFC2404, The Use of HMAC-SHA-1-96 within ESP and AH
RFC2405, The ESP DES-CBC Cipher Algorithm With Explicit IV
RFC2406, IP Encapsulating Security Payload (ESP)
RFC2407, The Internet IP Security Domain of Interpretation for ISAKMP
RFC2408, Internet Security Association and Key Management Protocol (ISAKMP)
RFC2409, The Internet Key Exchange (IKE)
RFC2410, The NULL Encryption Algorithm and Its Use With IPsec
RFC2411, IP Security Document Roadmap
RFC2412, The OAKLEY Key Determination Protocol
RFC2451, The ESP CBC-Mode Cipher Algorithms
RFC2104, HMAC: Keyed-Hashing for Message Authentication

(C) 2005-2012 アライドテレシスホールディングス株式会社

PN: J613-M0710-03 Rev.H