ASA:Multi-Context Mode Remote-Access(AnyConnect)VPN
はじめに
このドキュメントでは、CLIを使用して、マルチコンテキスト(MC)モードのCisco適応型セキュリティアプライアンス(ASA)ファイアウォールでリモートアクセス(RA)バーチャルプライベートネットワーク(VPN)を設定する方法について説明します。マルチコンテキストモードでサポートされる機能とサポートされない機能、およびRA VPNに関するライセンス要件を示しています。
前提条件
要件
次の項目に関する知識があることが推奨されます。
- ASA AnyConnect SSLの設定
- ASAマルチコンテキストの設定
使用するコンポーネント
このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。
- AnyConnectセキュアモビリティクライアントバージョン4.4.00243
- ASAソフトウェアバージョン9.6(2)を搭載したASA5525 2台
背景説明
マルチコンテキストとは、アプリケーションの独立した複数のコピーを同じハードウェア上で同時に実行し、各コピー（または仮想デバイス）を個別の物理デバイスとしてユーザに認識させる仮想化の形態です。これにより、単一のASAが複数の独立したユーザに対して複数のASAとして認識されるようになります。ASAファミリは初期リリースから仮想ファイアウォールをサポートしていますが、ASAではリモートアクセスの仮想化はサポートされていませんでした。マルチコンテキストのVPN LAN2LAN(L2L)サポートは、9.0リリースで追加されました。
マルチコンテキストの機能履歴
ASA 9.6(2)に追加された新機能
| 機能 | 説明 |
| マルチコンテキストモード用のプレフィル/ユーザ名 – from-cert機能 | AnyConnect SSLのサポートが拡張され、以前はシングルモードでしか使用できなかったプレフィル/ユーザ名認証機能のCLIを、マルチコンテキストモードでも使用できるようになりました。 |
| リモートアクセスVPN用のフラッシュ仮想化 | マルチコンテキストモードのリモートアクセスVPNは、フラッシュ仮想化をサポートするようになりました。各コンテキストには、使用可能なフラッシュの合計に基づいて、プライベートストレージスペースと共有ストレージの場所を設定できます。 |
| マルチコンテキストデバイスでサポートされるAnyConnectクライアントプロファイル | AnyConnectクライアントプロファイルは、マルチコンテキストデバイスでサポートされています。ASDMを使用して新しいプロファイルを追加するには、AnyConnectセキュアモビリティクライアントリリース4.2.00748または4.3.03013以降が必要です。 |
| マルチコンテキストモードでのAnyConnect接続のステートフルフェールオーバー | マルチコンテキストモードのAnyConnect接続でステートフルフェールオーバーがサポートされるようになりました。 |
| リモートアクセスVPNダイナミックアクセスポリシー(DAP)は、マルチコンテキストモードでサポートされています | マルチコンテキストモードでコンテキストごとにDAPを設定できるようになりました。 |
| リモートアクセスVPN CoA（認可変更）は、マルチコンテキストモードでサポートされています | マルチコンテキストモードでコンテキストごとにCoAを設定できるようになりました。 |
| リモートアクセスVPNローカリゼーションは、マルチコンテキストモードでサポートされています | ローカリゼーションはグローバルにサポートされます。異なるコンテキスト間で共有されるローカリゼーションファイルのセットは1つだけです。 |
| コンテキストごとのパケットキャプチャストレージがサポートされます。 | この機能の目的は、ユーザがコンテキストから外部ストレージまたはフラッシュ上のコンテキストプライベートストレージにキャプチャを直接コピーできるようにすることです。この機能により、コンテキスト内からrawキャプチャを外部パケットキャプチャツール（Wire-Sharkなど）にコピーすることもできます。 |
ASA 9.5(2)の機能
| 機能 | 説明 |
| AnyConnect 4.x以降（SSL VPNのみ、IKEv2のサポートなし） | ASAへのVPNリモートアクセス(RA)接続に対するマルチコンテキストベースの仮想化サポート。 |
| 中央集中型のAnyConnectイメージ設定 |
|
| AnyConnectイメージアップグレード |
AnyConnectクライアントプロファイルは、マルチコンテキストデバイスでサポートされています。ASDMを使用して新しいプロファイルを追加するには、AnyConnectセキュアモビリティクライアントリリース4.2.00748または4.3.03013以降が必要です。 |
| AnyConnect接続用のコンテキストリソース管理 |
|
ライセンス
- AnyConnect Apexライセンスが必要
- Essentialsライセンスは無視/許可されない
- コンテキストごとの最大ライセンス使用を制御する設定機能
- コンテキストごとのライセンスバーストを許可する設定機能
設定
ネットワーク図
次の設定手順はASA 9.6.2バージョン以降を対象としたものであり、利用可能ないくつかの新機能を示しています。9.6.2より前（および9.5.2より前）のASAバージョンでの設定手順の違いは、このドキュメントの「付録A」に記載されています。
リモートアクセスVPNを設定するために必要なシステムコンテキストおよびカスタムコンテキストの設定は、次のとおりです。
システムコンテキストでの初期設定
まず、システムコンテキストで、フェールオーバー、VPNリソース割り当て、カスタムコンテキスト、およびApexライセンス検証を設定します。このセクションと次のセクションでは、手順と設定について説明します
ステップ 1：フェールオーバー設定。
!! Active Firewall failover failover lan unit primary failover lan interface LAN_FAIL GigabitEthernet0/3 failover link LAN_FAIL GigabitEthernet0/3 failover interface ip LAN_FAIL 10.1.1.1 255.255.255.252 standby 10.1.1.2 failover group 1 failover group 2 !! Secondary Firewall failover failover lan unit secondary failover lan interface LAN_FAIL GigabitEthernet0/3 failover link LAN_FAIL GigabitEthernet0/3 failover interface ip LAN_FAIL 10.1.1.1 255.255.255.252 standby 10.1.1.2 failover group 1 failover group 2
ステップ 2：VPNリソースを割り当てます。
既存のクラス設定を使用して設定。ライセンスは、ライセンスの数またはコンテキストごとの合計の割合で許可されます
MC RAVPNに導入された新しいリソースタイプ：
- VPN AnyConnect：コンテキストが保証され、オーバーサブスクライブできない
- VPNバーストAnyConnect：保証された制限を超えるコンテキストの追加ライセンスを許可します。バーストプールは、コンテキストに対して保証されていないライセンスで構成され、先着順ベースでバーストコンテキストに許可されます
VPNライセンスプロビジョニングモデル：
class resource02
limit-resource VPN AnyConnect 4000
limit-resource VPN Burst AnyConnect 2000
class resource01
limit-resource VPN AnyConnect 4000
limit-resource VPN Burst AnyConnect 2000
ステップ 3：コンテキストを設定し、リソースを割り当てます。
admin-context admin context admin allocate-interface GigabitEthernet0/0 config-url disk0:/admin context context1 member resource01 allocate-interface GigabitEthernet0/0 allocate-interface GigabitEthernet0/1 config-url disk0:/context1 join-failover-group 1 context context2 member resource02 allocate-interface GigabitEthernet0/0 allocate-interface GigabitEthernet0/2 config-url disk0:/context2 join-failover-group 2
ステップ 4：ApexライセンスがASAにインストールされていることを確認します。詳細については、次のリンクを参照してください。
ステップ 5：Anyconnectイメージパッケージを設定します。使用されているASAバージョンに応じて、AnyConnectイメージをロードする方法とRA VPNを設定する方法が2つあります。バージョンが9.6.2以降の場合は、フラッシュ仮想化を使用できます。9.6.2よりも古いバージョンについては、「付録A
フラッシュ仮想化
リモートアクセスVPNでは、AnyConnectパッケージ、ホストスキャンパッケージ、DAP設定、プラグイン、カスタマイズ、ローカリゼーションなどのさまざまな設定とイメージ用のフラッシュストレージが必要です。9.6.2より前のマルチコンテキストモードでは、ユーザコンテキストはフラッシュのどの部分にもアクセスできず、フラッシュは管理され、システムコンテキストを介してのみシステム管理者がアクセスできます。
この制限を解決するために、フラッシュ上のファイルのセキュリティとプライバシーを維持し、コンテキスト間でフラッシュを公平に共有できる一方で、マルチコンテキストモードでフラッシュ用に仮想ファイルシステムが作成されます。 この機能の目的は、AnyConnectイメージをグローバルに設定するのではなく、コンテキスト単位で設定できるようにすることです。これにより、異なるユーザが異なるAnyConnectイメージをインストールできます。さらに、AnyConnectイメージの共有を許可することで、これらのイメージで消費されるメモリの量を削減できます。 共有ストレージは、すべてのコンテキストに共通のファイルとパッケージを格納するために使用されます。
すべてのコンテキストには、専用のプライベートストレージに対する読み取り/書き込み/削除のアクセス許可が与えられ、共有ストレージに対する読み取り専用のアクセス権が与えられます。共有ストレージへの書き込みアクセス権を持つのは、システムコンテキストだけです.
以下の構成では、プライベート・ストレージを示すためにカスタム・コンテキスト1を構成し、共有ストレージを示すためにカスタム・コンテキスト2を構成します。
プライベートストレージ
コンテキストごとに1つのプライベートストレージスペースを指定できます。コンテキスト内のこのディレクトリから（およびシステム実行スペースから）読み取り/書き込み/削除を実行できます。 指定されたパスの下に、ASAはコンテキストの後にという名前のサブディレクトリを作成します。
たとえば、context1についてパスにdisk0:/private-storageを指定すると、ASAはこのコンテキストのサブディレクトリをdisk0:/private-storage/context1/に作成します。
共有ストレージ
コンテキストごとに1つの読み取り専用の共有ストレージスペースを指定できます。すべてのコンテキスト（AnyConnectパッケージなど）で共有できる共通の大きなファイルの重複を減らすために、共有ストレージスペースを使用できます。
プライベートストレージスペースを使用するための設定
!! Create a directory in the system context.
ciscoasa(config)# mkdir private_context1
!! Define the directory as private storage url in the respective context.
ciscoasa(config)# context context1 ciscoasa(config-ctx)# storage-url private disk0:/private_context1 context1
!! Transfer the anyconnect image in the sub directory.
ciscoasa(config)# copy flash:/anyconnect-win-4.2.01035-k9.pkg flash:/private_context1/context1
共有ストレージスペースを使用するための設定
!! Create a directory in the system context.
ciscoasa(config)# mkdir shared
!! Define the directory as shared storage url in the respective contexts.
ciscoasa(config)# context context2 ciscoasa(config-ctx)# storage-url shared disk0:/shared shared
!! Transfer the anyconnect image in the shared directory.
ciscoasa(config)# copy disk0:/anyconnect-win-4.3.05019-k9.pkg disk0:/shared
それぞれのコンテキストでイメージを確認します。
!! Custom Context 1 configured for private storage.
ciscoasa(config)#changeto context context1
ciscoasa/context1(config)# show context1:
213 19183882 Jun 12 2017 13:29:51 context1:/anyconnect-win-4.2.01035-k9.pkg
!! Custom Context 2 configured for shared storage.
ciscoasa(config)#changeto context context2
ciscoasa/context2(config)# show shared:
195 25356342 May 24 2017 08:07:02 shared:/anyconnect-win-4.3.05017-k9.pkg
手順 6： 上記のフラッシュ仮想化設定を含むシステムコンテキストでの設定の要約を次に示します。
システムコンテキスト
context context1
member resource01
allocate-interface GigabitEthernet0/0
storage-url private disk0:/private_context1 context1
config-url disk0:/context1.cfg
join-failover-group 1
!
context context2
member resource02
allocate-interface GigabitEthernet0/1
storage-url shared disk0:/shared shared
config-url disk0:/context2.cfg
join-failover-group 2
ステップ7:次に示すように、2つのカスタムコンテキストを設定します
カスタムコンテキスト1
!! Enable WebVPN on respective interfaces
webvpn
enable outside
anyconnect image context1:/anyconnect-win-4.2.01035-k9.pkg 1
anyconnect enable
tunnel-group-list enable
!! IP pool and username configuration
ip local pool mypool 192.168.1.1-192.168.50.1 mask 255.255.0.0
username cisco password cisco
!! Configure the required connection profile for SSL VPN
access-list split standard permit 192.168.1.0 255.255.255.0
group-policy GroupPolicy_MC_RAVPN_1 internal
group-policy GroupPolicy_MC_RAVPN_1 attributes
banner value "Welcome to Context1 SSLVPN"
wins-server none
dns-server value 192.168.20.10
vpn-tunnel-protocol ssl-client
split-tunnel-policy tunnelspecified
split-tunnel-network-list value split
default-domain value cisco.com
tunnel-group MC_RAVPN_1 type remote-access
tunnel-group MC_RAVPN_1 general-attributes
address-pool mypool
default-group-policy GroupPolicy_MC_RAVPN_1
tunnel-group MC_RAVPN_1 webvpn-attributes
group-alias MC_RAVPN_1 enable
カスタムコンテキスト2
!! Enable WebVPN on respective interfaces
webvpn
enable outside
anyconnect image shared:/anyconnect-win-4.3.05017-k9.pkg 1
anyconnect enable
tunnel-group-list enable
!! IP pool and username configuration
ip local pool mypool 192.168.51.1-192.168.101.1 mask 255.255.0.0
username cisco password cisco
!! Configure the required connection profile for SSL VPN
access-list split standard permit 192.168.1.0 255.255.255.0
group-policy GroupPolicy_MC_RAVPN_2 internal
group-policy GroupPolicy_MC_RAVPN_2 attributes
banner value "Welcome to Context2 SSLVPN"
wins-server none
dns-server value 192.168.60.10
vpn-tunnel-protocol ssl-client
split-tunnel-policy tunnelspecified
split-tunnel-network-list value split
default-domain value cisco.com
!
!
tunnel-group MC_RAVPN_2 type remote-access
tunnel-group MC_RAVPN_2 general-attributes
address-pool mypool
default-group-policy GroupPolicy_MC_RAVPN_2
tunnel-group MC_RAVPN_2 webvpn-attributes
group-alias MC_RAVPN_2 enable
確認
ここでは、設定が正常に機能しているかどうかを確認します。
Apexライセンスがインストールされているかどうかの確認
ASAはAnyConnect Apexライセンスを明確に認識しませんが、次のようなApexライセンスのライセンス特性を適用します。
- AnyConnect Premiumのライセンスはプラットフォームの制限まで
- モバイル向けAnyConnect
- Cisco VPN Phone用のAnyConnect
- 高度なエンドポイント評価
AnyConnect Apexライセンスがインストールされていないために接続がブロックされると、syslogが生成されます。
AnyConnectパッケージがカスタムコンテキスト（9.6.2以降）で使用可能かどうかの確認
! AnyConnect package is available in context1
ciscoasa/context1(config)# show context1:
213 19183882 Jun 12 2017 13:29:51 context1:/anyconnect-win-4.2.01035-k9.pkg
ciscoasa/pri/context1/act# show run webvpn
webvpn
enable outside
anyconnect image context1:/anyconnect-win-4.2.01035-k9.pkg 1
anyconnect enable
tunnel-group-list enable
カスタムコンテキストにイメージが存在しない場合は、「Anyconnectイメージの設定（9.6.2以降）」を参照してください。
ユーザがカスタムコンテキストでAnyConnectを介して接続できるかどうかを確認する
!! One Active Connection on Context1
ciscoasa/pri/context1/act# show vpn-sessiondb anyconnect
Session Type: AnyConnect
Username : cisco Index : 5
Assigned IP : 192.168.1.1 Public IP : 10.142.168.102
Protocol : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel
License : AnyConnect Premium, AnyConnect for Mobile
Encryption : AnyConnect-Parent: (1)none SSL-Tunnel: (1)AES-GCM-256 DTLS-Tunnel: (1)AES256
Hashing : AnyConnect-Parent: (1)none SSL-Tunnel: (1)SHA384 DTLS-Tunnel: (1)SHA1
Bytes Tx : 3186 Bytes Rx : 426
Group Policy : GroupPolicy_MC_RAVPN_1 Tunnel Group : MC_RAVPN_1
Login Time : 15:33:25 UTC Thu Dec 3 2015
Duration : 0h:00m:05s
Inactivity : 0h:00m:00s
VLAN Mapping : N/A VLAN : none
Audt Sess ID : 0a6a2c2600005000566060c5
Security Grp : none
!! Changing Context to Context2
ciscoasa/pri/context1/act# changeto context context2
!! One Active Connection on Context2
ciscoasa/pri/context2/act# show vpn-sessiondb anyconnect
Session Type: AnyConnect
Username : cisco Index : 1
Assigned IP : 192.168.51.1 Public IP : 10.142.168.94
Protocol : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel
License : AnyConnect Premium
Encryption : AnyConnect-Parent: (1)none SSL-Tunnel: (1)AES256 DTLS-Tunnel: (1)AES256
Hashing : AnyConnect-Parent: (1)none SSL-Tunnel: (1)SHA1 DTLS-Tunnel: (1)SHA1
Bytes Tx : 10550 Bytes Rx : 1836
Group Policy : GroupPolicy_MC_RAVPN_2 Tunnel Group : MC_RAVPN_2
Login Time : 15:34:16 UTC Thu Dec 3 2015
Duration : 0h:00m:17s
Inactivity : 0h:00m:00s
VLAN Mapping : N/A VLAN : none
Audt Sess ID : 0a6a2c2400001000566060f8
Security Grp : none
!! Changing Context to System
ciscoasa/pri/context2/act# changeto system
!! Notice total number of connections are two (for the device)
ciscoasa/pri/act# show vpn-sessiondb license-summary
---------------------------------------------------------------------------
VPN Licenses and Configured Limits Summary
---------------------------------------------------------------------------
Status : Capacity : Installed : Limit
-----------------------------------------
AnyConnect Premium : ENABLED : 10000 : 10000 : NONE
Other VPN (Available by Default) : ENABLED : 10000 : 10000 : NONE
AnyConnect for Mobile : ENABLED(Requires Premium or Essentials)
Advanced Endpoint Assessment : ENABLED(Requires Premium)
AnyConnect for Cisco VPN Phone : ENABLED
VPN-3DES-AES : ENABLED
VPN-DES : ENABLED
---------------------------------------------------------------------------
---------------------------------------------------------------------------
VPN Licenses Usage Summary
---------------------------------------------------------------------------
Local : Shared : All : Peak : Eff. :
In Use : In Use : In Use : In Use : Limit : Usage
----------------------------------------------------
AnyConnect Premium : 2 : 0 : 2 : 2 : 10000 : 0%
AnyConnect Client : : 2 : 2 : 0%
AnyConnect Mobile : : 2 : 2 : 0%
Other VPN : : 0 : 0 : 10000 : 0%
Site-to-Site VPN : : 0 : 0 : 0%
---------------------------------------------------------------------------
!! Notice the resource usage per Context
ciscoasa/pri/act# show resource usage all resource VPN AnyConnect
Resource Current Peak Limit Denied Context
AnyConnect 1 1 4000 0 context1
AnyConnect 1 1 4000 0 context2
トラブルシュート
ここでは、設定のトラブルシューティングに使用できる情報を示します。
付録A:9.6.2より前のバージョンのAnyConnectイメージの設定
フラッシュストレージは仮想化されておらず、システムコンテキストからのみアクセスできるため、AnyConnectイメージは9.6.2より前のASAバージョンの管理コンテキストでグローバルに設定されます（この機能は9.5.2から使用可能であることに注意してください）。
ステップ 5.1：システムコンテキストでAnyConnectパッケージファイルをフラッシュにコピーします。
システムコンテキスト：
ciscoasa(config)# show flash:
195 25356342 May 24 2017 08:07:02 anyconnect-win-4.3.05017-k9.pkg
ステップ 5.2： Anyconnectイメージの設定 管理コンテキストで指定します。
管理コンテキスト：:
webvpn
anyconnect image disk0:/anyconnect-win-4.3.05017-k9.pkg 1
anyconnect enable
注:AnyConnectイメージを設定できるのは管理コンテキストだけです。すべてのコンテキストは、自動的にこのグローバルAnyConnectイメージ設定を参照します。
カスタムコンテキスト1:
!! Shared interface configuration - OUTSIDE (GigabitEthernet0/0)
interface GigabitEthernet0/0
nameif OUTSIDE
security-level 0
ip address 10.106.44.38 255.255.255.0 standby 10.106.44.39
!! Enable WebVPN on respective interfaces
webvpn
enable OUTSIDE
anyconnect enable
!! IP pool and username configuration
ip local pool mypool 192.168.1.1-192.168.50.1 mask 255.255.0.0
username cisco password cisco
!! Configure the require connection profile for SSL VPN
group-policy GroupPolicy_MC_RAVPN_1 internal
group-policy GroupPolicy_MC_RAVPN_1 attributes
banner value "Welcome to Context1 SSLVPN"
wins-server none
dns-server value 192.168.20.10
vpn-tunnel-protocol ssl-client
split-tunnel-policy tunnelspecified
split-tunnel-network-list value split
default-domain value cisco.com
tunnel-group MC_RAVPN_1 type remote-access
tunnel-group MC_RAVPN_1 general-attributes
address-pool mypool
default-group-policy GroupPolicy_MC_RAVPN_1
tunnel-group MC_RAVPN_1 webvpn-attributes
group-alias MC_RAVPN_1 enable
group-url https://10.106.44.38/context1 enable
カスタムコンテキスト2:
!! Shared interface configuration - OUTSIDE (GigabitEthernet0/0)
interface GigabitEthernet0/0
nameif OUTSIDE
security-level 0
ip address 10.106.44.36 255.255.255.0 standby 10.106.44.37
!! Enable WebVPN on respective interface
webvpn
enable OUTSIDE
anyconnect enable
!! IP pool and username configuration
ip local pool mypool 192.168.51.1-192.168.101.1 mask 255.255.0.0
username cisco password cisco
!! Configure the require connection profile for SSL VPN
group-policy GroupPolicy_MC_RAVPN_2 internal
group-policy GroupPolicy_MC_RAVPN_2 attributes
banner value "Welcome to Context2 SSLVPN"
wins-server none
dns-server value 192.168.60.10
vpn-tunnel-protocol ssl-client
split-tunnel-policy tunnelspecified
split-tunnel-network-list value split
default-domain value cisco.com
tunnel-group MC_RAVPN_2 type remote-access
tunnel-group MC_RAVPN_2 general-attributes
address-pool mypool
default-group-policy GroupPolicy_MC_RAVPN_2
tunnel-group MC_RAVPN_2 webvpn-attributes
group-alias MC_RAVPN_2 enable
group-url https://10.106.44.36/context2 enable
AnyConnectパッケージが管理コンテキストにインストールされており、カスタムコンテキスト（9.6.2より前）で使用可能かどうかの確認
!! AnyConnect package is installed in Admin Context
ciscoasa/pri/admin/act# show run webvpn
webvpn
anyconnect image disk0:/anyconnect-win-3.1.10010-k9.pkg 1
anyconnect enable
ciscoasa/pri/admin/act# show webvpn anyconnect
1. disk0:/anyconnect-win-3.1.10010-k9.pkg 1 dyn-regex=/Windows NT/
CISCO STC win2k+
3,1,10010
Hostscan Version 3.1.10010
Wed 07/22/2015 12:06:07.65
1 AnyConnect Client(s) installed
!! AnyConnect package is available in context1
ciscoasa/pri/admin/act# changeto context context1
ciscoasa/pri/context1/act# show run webvpn
webvpn
enable OUTSIDE
anyconnect enable
tunnel-group-list enable
ciscoasa/pri/context1/act# show webvpn anyconnect
1. disk0:/anyconnect-win-3.1.10010-k9.pkg 1 dyn-regex=/Windows NT/
CISCO STC win2k+
3,1,10010
Hostscan Version 3.1.10010
Wed 07/22/2015 12:06:07.65
1 AnyConnect Client(s) installed
参考資料
関連情報
更新履歴
| 改定 | 発行日 | コメント |
|---|---|---|
1.0 |
11-Feb-2016 |
初版 |
フィードバック