VPN の IP アドレス

IP アドレス割り当てポリシーの設定

ASA では、リモートアクセスクライアントに IP アドレスを割り当てる際に、次の 1 つ以上の方式を使用できます。複数のアドレス割り当て方式を設定すると、ASA は IP アドレスが見つかるまで各オプションを検索します。デフォルトでは、すべての方式がイネーブルになっています。

aaa ユーザ単位で外部認証、認可、アカウンティングサーバからアドレスを取得します。IP アドレスが設定された認証サーバを使用している場合は、この方式を使用することをお勧めします。この方法は IPv4 および IPv6 の割り当てポリシーに使用できます。
dhcp DHCP サーバから IP アドレスを取得します。DHCP を使用する場合は、DHCP サーバを設定する必要があります。また、DHCP サーバで使用可能な IP アドレスの範囲も定義する必要があります。この方法は IPv4 の割り当てポリシーに使用できます。
local ：内部的に設定されたアドレスプールは、最も設定が簡単なアドレスプール割り当て方式です。ローカルを選択する場合は、ip-local-pool コマンドを使用して、使用する IP アドレスの範囲を定義する必要もあります。この方法は IPv4 および IPv6 の割り当てポリシーに使用できます。
- [Allow the reuse of an IP address so many minutes after it is released]：IP アドレスがアドレスプールに戻された後に、IP アドレスを再利用するまでの時間を指定します。遅延時間を設けることにより、IP アドレスがすぐに再割り当てされることによって発生する問題がファイアウォールで生じないようにできます。デフォルトでは、ASA は遅延時間を課しません。この設定要素は、IPv4 割り当てポリシーで使用できます。

次のいずれかの方式を使用して、IP アドレスをリモートアクセスクライアントに割り当てる方法を指定します。

IPv4 アドレス割り当ての設定

手順

ASA のアドレス割り当て方式を有効にして、IPv4 アドレスを VPN 接続に割り当てるときに使用します。IP アドレスを取得する使用可能な方式は、AAA サーバ、DHCP サーバ、またはローカルアドレスプールからの取得です。これらの方式はすべてデフォルトでイネーブルになっています。

vpn-addr-assign {aaa | dhcp | local [reuse-delay minutes]}

例:

たとえば、IP アドレスが解放された後に 0 ～ 480 分間の IP アドレスの再使用を設定できます。

hostname(config)#vpn-addr-assign aaa
hostname(config)#vpn-addr-assign local reuse-delay 180

この例では、コマンドの no 形式を使用してアドレス割り当て方式を無効にします。

hostname(config)# no vpn-addr-assign dhcp

IPv6 アドレス割り当ての設定

手順

ASA のアドレス割り当て方式を有効にして、IPv6 アドレスを VPN 接続に割り当てるときに使用します。IP アドレスを取得する使用可能な方式は、AAA サーバまたはローカルアドレスプールからの取得です。これら両方の方式はデフォルトでイネーブルになっています。

ipv6-vpn-addr-assign {aaa | local}

例:

hostname(config)# ipv6-vpn-addr-assign aaa

この例では、コマンドの no 形式を使用してアドレス割り当て方式を無効にします。

hostname(config)# no ipv6-vpn-addr-assign local

アドレス割り当て方式の表示

手順

ASA で設定されているアドレス割り当て方式を表示するには、次のいずれかの方式を使用します。

IPv4 アドレス割り当ての表示

設定されているアドレス割り当て方式を表示します。設定されているアドレス方式は、aaa、dhcp、または local です。
```
show running-config all vpn-addr-assign
vpn-addr-assign aaa
vpn-addr-assign dhcp 
vpn-addr-assign local
```
IPv6 アドレス割り当ての表示

設定されているアドレス割り当て方式を表示します。設定されているアドレス方式は、aaa または local となります。
```
show running-config all ipv6-vpn-addr-assign
ipv6-vpn-addr-assign aaa
ipv6-vpn-addr-assign local reuse-delay 0

	
```

ローカル IP アドレスプールの設定

VPN リモートアクセストンネルに使用する IPv4 アドレスプールを設定するには、グローバルコンフィギュレーションモードで ip local pool コマンドを入力します。アドレスプールを削除するには、このコマンドの no 形式を入力します。

VPN リモートアクセストンネルに使用する IPv6 アドレスプールを設定するには、グローバルコンフィギュレーションモードで ipv6 local pool コマンドを入力します。アドレスプールを削除するには、このコマンドの no 形式を入力します。

ASA は、接続用の接続プロファイルまたはトンネルグループに基づいてアドレスプールを使用します。プールの指定順序は重要です。接続プロファイルまたはグループポリシーに複数のアドレスプールを設定すると、ASA は追加された順でそれらのプールを使用します。

ローカルでないサブネットのアドレスを割り当てる場合は、そのようなネットワーク用のルートの追加が容易になるように、サブネットの境界を担当するプールを追加することをお勧めします。

（注）

アクティブなトンネルグループ内で現在使用されている（つまり、接続のためにエンドユーザが利用できる）既存のアドレスプールを変更する場合は、変更ウィンドウで変更を行う必要があります。その際、次のことを確認してください。

接続されているユーザはログオフされます。
トンネルグループからアドレスプールが削除され、必要に応じて変更されます。
変更されたアドレスプールがトンネルグループに再び追加されます。

これ以外の方法でアドレスプールを変更すると、ASA の動作に不整合が生じる可能性があります。

ローカル IPv4 アドレスプールの設定

（注）

CLI で、アクティブなトンネルグループ内で現在使用されている（つまり、接続のためにエンドユーザが利用できる）既存のアドレスプールを変更する場合は、変更ウィンドウでこの変更を行うことを推奨します。接続されたユーザをログオフし、アドレスプールをトンネルグループから削除し、必要に応じて変更してから、トンネルグループに再度追加する必要があります。これ以外の方法でアドレスプールを変更すると、ASA の動作に不整合が生じる可能性があります。

手順

ステップ 1

アドレス割り当て方式として IP アドレスプールを設定します。local 引数を指定して vpn-addr-assign コマンドを入力します。

例:

 hostname(config)# vpn-addr-assign local

ステップ 2

アドレスプールを設定します。このコマンドは、プールの名前を指定し、IPv4 アドレスとサブネットマスクの範囲を指定します。

ip local pool poolname first_address-last_addressmaskmask

例:

この例では、firstpool という IP アドレスプールを設定します。開始アドレスは 10.20.30.40、終了アドレスは 10.20.30.50 です。ネットワークマスクは 255.255.255.0 です。

hostname(config)# ip local pool firstpool 10.20.30.40-10.20.30.50 mask 255.255.255.0

この例では、firstpool という IP アドレスプールを削除します。

hostname(config)# no ip local pool firstpool

ローカル IPv6 アドレスプールの設定

手順

ステップ 1

アドレス割り当て方式として IP アドレスプールを設定します。local 引数を指定して ipv6-vpn-addr-assign コマンドを入力します。

例:

hostname(config)# ipv6-vpn-addr-assign local

ステップ 2

アドレスプールを設定します。このコマンドは、プールに名前を指定し、開始 IPv6 アドレス、ビット単位のプレフィックス長、および範囲内で使用するアドレスの数を特定します。

ipv6 local pool pool_name starting_address prefix_length number_of_addresses

例:

この例では、ipv6pool という IP アドレスプールを設定します。開始アドレスは 2001:DB8::1、プレフィックス長は 32 ビット、プールで使用するアドレス数は 100 です。

hostname(config)# ipv6 local pool	ipv6pool 2001:DB8::1/32 100

この例では、ipv6pool という IP アドレスプールを削除します。

hostname(config)# no ipv6 local pool ipv6pool

AAA アドレス指定の設定

AAA サーバを使用して VPN リモートアクセスクライアントにアドレスを割り当てるには、まず AAA サーバまたは AAA サーバグループを設定する必要があります。コマンドリファレンスで aaa-server protocol コマンドを参照してください。

また、ユーザは RADIUS 認証用に設定された接続プロファイルと一致している必要があります。

次の例は、firstgroup という名前のトンネルグループに、RAD2 という AAA サーバグループを定義する方法を示しています。例の中に 1 つ余分な手順が入っていますが、これは以前にそのトンネルグループに名前を付け、トンネルグループタイプを定義していた場合のためです。この手順が次の例に記載されているのは、これらの値を設定しない限り、後続の tunnel-group コマンドにアクセスできないので、注意を促すためです。

この例で作成されるコンフィギュレーションの概要は、次のとおりです。

hostname(config)# vpn-addr-assign aaa
hostname(config)# tunnel-group firstgroup type ipsec-ra
hostname(config)# tunnel-group firstgroup general-attributes
hostname(config)# authentication-server-group RAD2

IP アドレッシング用に AAA を設定するには、次の手順を実行します。

手順

ステップ 1	アドレス割り当て方式として AAA を設定するには、aaa 引数を指定して vpn-addr-assign コマンドを入力します。 `hostname(config)# vpn-addr-assign aaa hostname(config)#`
ステップ 2	firstgroup というトンネルグループをリモートアクセスまたは LAN-to-LAN トンネルグループとして確立するには、type キーワードを指定して tunnel-group コマンドを入力します。次の例では、リモートアクセストンネルグループを設定しています。 `hostname(config)# tunnel-group firstgroup type ipsec-ra hostname(config)#`
ステップ 3	一般属性コンフィギュレーションモードに入り、firstgroup というトンネルグループの AAA サーバグループを定義するには、general-attributes 引数を指定して tunnel-group コマンドを入力します。 `hostname(config)# tunnel-group firstgroup general-attributes hostname(config-general)#`
ステップ 4	認証に使用する AAA サーバグループを指定するには、authentication-server-group コマンドを入力します。 `hostname(config-general)# authentication-server-group RAD2 hostname(config-general)#`

次のタスク

このコマンドには、この例で示すより多くの引数があります。詳細については、コマンドリファレンスを参照してください。

DHCP アドレス指定の設定

DHCP を使用して VPN クライアントのアドレスを割り当てるには、まず DHCP サーバ、およびその DHCP サーバで使用可能な IP アドレスの範囲を設定する必要があります。その後、接続プロファイル単位で DHCP サーバを定義します。また、オプションとして、該当の接続プロファイルまたはユーザ名に関連付けられたグループポリシー内に、DHCP ネットワークスコープも定義できます。このスコープは、使用する IP アドレスプールを DHCP サーバに指定するための、IP ネットワーク番号または IP アドレスです。

次の例では、firstgroup という名前の接続プロファイルに、IP アドレス 172.33.44.19 の DHCP サーバを定義しています。また、この例では、remotegroup というグループポリシーに対して、192.86.0.0 という DHCP ネットワークスコープも定義しています（remotegroup というグループポリシーは、firstgroup という接続プロファイルに関連付けられています）。ネットワークスコープを定義しない場合、DHCP サーバはアドレスプールの設定順にプール内を探して IP アドレスを割り当てます。未割り当てのアドレスが見つかるまで、プールが順に検索されます。

次のコンフィギュレーションには、本来不要な手順が含まれています。これらは、以前にその接続プロファイルに名前を付け、接続プロファイルタイプをリモートアクセスとして定義していたり、グループポリシーに名前を付け、内部または外部として指定していた場合のためです。これらの手順が次の例に記載されているのは、これらの値を設定しない限り、後続の tunnel-group コマンドおよび group-policy コマンドにアクセスできないので、注意を促すためです。

注意事項と制約事項

IPv4 アドレスを使用して、クライアントアドレスを割り当てる DHCP サーバを識別できます。また、DHCP オプションはユーザに転送されず、ユーザはアドレス割り当てのみを受信します。

DHCP アドレス指定の設定

手順

ステップ 1

アドレス割り当て方式として IP アドレスプールを設定します。

vpn-addr-assign dhcp

ステップ 2

リモートアクセス接続プロファイルとして firstgroup という名前の接続プロファイルを設定します。

tunnel-group firstgroup type remote-access

ステップ 3

DHCP サーバを設定できるように、接続プロファイルの一般属性コンフィギュレーションモードを開始します。

tunnel-group firstgroup general-attributes

ステップ 4

IPv4 アドレスで DHCP サーバを定義します。IPv6 アドレスで DHCP サーバを定義することはできません。接続プロファイルに複数の DHCP サーバアドレスを指定できます。dhcp-server コマンドを入力します。このコマンドを使用すると、VPN クライアントの IP アドレスの取得を試みるときに、指定された DHCP サーバに追加のオプションを送信するように ASA を設定できます。

dhcp-server IPv4_address_of_DHCP_server

例:

この例では、IP アドレス 172.33.44.19 の DHCP サーバを設定しています。

hostname(config-general)# dhcp-server 172.33.44.19
hostname(config-general)#

ステップ 5

トンネルグループモードを終了します。

 hostname(config-general)# exit
hostname(config)#

ステップ 6

remotegroup という名前の内部グループポリシーを作成します。

hostname(config)# group-policy remotegroup internal

例:

この例では、remotegroup グループポリシーのグループポリシー属性コンフィギュレーションモードを開始しています。

 hostname(config)# group-policy remotegroup attributes
hostname(config-group-policy)#

ステップ 7

（任意）グループポリシー属性コンフィギュレーションモードを開始し、DHCP サーバで使用する IP アドレスのサブネットワークを設定します。attributes キーワードを指定して group-policy コマンドを入力します。

例:

hostname(config)# group-policy remotegroup attributes

ステップ 8

（任意） remotegroup というグループポリシーのユーザにアドレスを割り当てるために DHCP サーバで使用する IP アドレスの範囲を指定するには、dhcp-network-scope コマンドを入力します。

この例では、192.86.0.0 というネットワークスコープを設定しています。

 hostname(config-group-policy)# dhcp-network-scope 192.86.0.0
hostname(config-group-policy)#

（注）

dhcp-network-scope は、DHCP プールのサブセットではなく、ルーティング可能な IP アドレスである必要があります。DHCP サーバは、この IP アドレスが属するサブネットを判別し、そのプールからの IP アドレスを割り当てます。任意の IP アドレスを dhcp-network-scope として使用できますが、ネットワークにスタティックルートを追加する必要がある場合があります。

例

この例で作成されるコンフィギュレーションの概要は、次のとおりです。

hostname(config)# vpn-addr-assign dhcp
hostname(config)# tunnel-group firstgroup type remote-access
hostname(config)# tunnel-group firstgroup general-attributes
hostname(config-general)# dhcp-server 172.33.44.19
hostname(config-general)# exit
hostname(config)# group-policy remotegroup internal
hostname(config)# group-policy remotegroup attributes
hostname(config-group-policy)# dhcp-network-scope 192.86.0.0

次のタスク

詳細については、『Cisco Security Appliance Command Reference』ガイドで dhcp-server コマンドを参照してください。

CLI ブック 3：Cisco ASA シリーズ VPN 9.12 CLI コンフィギュレーションガイド

偏向のない言語

翻訳について

Book Title

CLI ブック 3：Cisco ASA シリーズ VPN 9.12 CLI コンフィギュレーションガイド

Chapter Title