13.19 受信したパケットの SPI 値が無効な値の場合にログに出力するか否かの設定

[書式]

• ipsec log illegal-spi switch
• no ipsec log illegal-spi

[設定値及び初期値]

• switch

  • [設定値] :

    設定値	説明
    on	ログに出力する
    off	ログに出力しない

  • [初期値] : off

[説明]

IPsec で、受信したパケットの SPI 値が無効な値の場合に、その旨をログに出力するか否かを設定する。SPI 値と相手の IP アドレスがログに出力される。
無効な SPI 値を含むパケットを大量に送り付けられることによる DoS の可能性を減らすため、ログは 1 秒あたり最大 10 種類のパケットだけを記録する。実際に受信したパケットの数を知ることはできない。

[ノート]

鍵交換時には、鍵の生成速度の差により一方が新しい鍵を使い始めても他方ではまだその鍵が使用できない状態になっているためにこのログが一時的に出力されてしまうことがある。

Rev.11.00.36 以降で使用可能。