接続プロファイル、グループポリシー、およびユーザ

この章では、VPN 接続プロファイル（以前は「トンネルグループ」と呼ばれていました）、グループポリシー、およびユーザの設定方法について説明します。この章は、次の項で構成されています。

接続プロファイル、グループポリシー、およびユーザの概要

グループとユーザは、バーチャルプライベートネットワーク（VPN）のセキュリティ管理と ASA の設定における中核的な概念です。グループとユーザで指定される属性によって、VPN へのユーザアクセスと VPN の使用方法が決定されます。グループは、ユーザの集合を 1 つのエンティティとして扱うものです。ユーザの属性は、グループポリシーから取得されます。接続プロファイルでは、特定の接続用のグループポリシーを指定します。ユーザに対して特定のグループポリシーを割り当てない場合は、接続のデフォルトグループポリシーが適用されます。

要約すると、最初に接続プロファイルを設定して、接続用の値を設定します。次に、グループポリシーを設定します。グループポリシーでは、ユーザの集合に関する値が設定されます。その後、ユーザを設定します。ユーザはグループの値を継承でき、さらに個別のユーザ単位に特定の値を設定することができます。この章では、これらのエンティティを設定する方法と理由について説明します。

（注）

接続プロファイルは、tunnel-group コマンドを使用して設定します。この章では、「接続プロファイル」と「トンネルグループ」は頻繁にほとんど同じ意味で使用されています。

接続プロファイルとグループポリシーを使用すると、システム管理が簡略化されます。コンフィギュレーションタスクを効率化するために、ASA にはデフォルトの LAN-to-LAN 接続プロファイル（DefaultL2Lgroup）、IKEv2 VPN 用のデフォルトのリモートアクセス接続プロファイル（DefaultRAgroup）、クライアントレス SSL および AnyConnect SSL 接続用のデフォルトの接続プロファイル（DefaultWEBVPNgroup）、およびデフォルトのグループポリシー（DfltGrpPolicy）が用意されています。デフォルトの接続プロファイルとグループポリシーでは、多くのユーザに共通すると考えられる設定が提供されます。ユーザを追加するときに、グループポリシーからパラメータを「継承」するように指定できます。これにより、数多くのユーザに対して迅速に VPN アクセスを設定できます。

すべての VPN ユーザに同一の権限を許可する場合は、特定の接続プロファイルやグループポリシーを設定する必要はありませんが、VPN がそのように使用されることはほとんどありません。たとえば、経理グループ、カスタマーサポートグループ、および MIS（経営情報システム）グループが、プライベートネットワークのそれぞれ異なる部分にアクセスできるようにする場合が考えられます。また、MIS に所属する特定のユーザには、他の MIS ユーザにはアクセスできないシステムにアクセスを許可する場合があります。接続プロファイルとグループポリシーにより、このような柔軟な設定を安全に実行することができます。

（注）

ASA には、オブジェクトグループという概念もあります。これは、ネットワークリストのスーパーセットです。オブジェクトグループを使用すると、ポートやネットワークに対する VPN アクセスを定義することができます。オブジェクトグループは、グループポリシーや接続プロファイルよりも、ACL と関連があります。オブジェクトグループの使用方法の詳細については、一般的操作用コンフィギュレーションガイドの第 20 章「Objects」を参照してください。

セキュリティアプライアンスでは、さまざまなソースから属性値を適用できます。次の階層に従って、属性値を適用します。

Dynamic Access Policy（DAP）レコード
ユーザ名
グループポリシー
接続プロファイル用のグループポリシー
デフォルトのグループポリシー

そのため、属性の DAP 値は、ユーザ、グループポリシー、または接続プロファイル用に設定された値よりもプライオリティが高くなっています。

DAP レコードの属性をイネーブルまたはディセーブルにすると、ASA はその値を適用して実行します。たとえば、DAP webvpn コンフィギュレーションモードで HTTP プロキシをディセーブルにすると、ASA はそれ以上値を検索しません。代わりに、http-proxy コマンドの no 値を使用すると、属性は DAP レコードには存在しないため、セキュリティアプライアンスは適用する値を見つけるために、ユーザ名および必要に応じてグローバルポリシーの AAA 属性に移動して検索します。ASA クライアントレス SSL VPN コンフィギュレーションは、それぞれ 1 つの http-proxy コマンドと 1 つの https-proxy コマンドのみサポートしています。ASDM を使用して DAP を設定することをお勧めします。

接続プロファイル

接続プロファイルは、トンネル接続ポリシーを決定するレコードのセットで構成されます。これらのレコードは、トンネルユーザが認証先サーバ、および接続情報の送信先となるアカウンティングサーバ（存在する場合）を特定します。また、これらのレコードには、接続用のデフォルトグループポリシーも指定され、さらにプロトコル固有の接続パラメータも含まれています。接続プロファイルには、トンネル自体の作成に関連する少数の属性が含まれます。接続プロファイルには、ユーザ関連の属性を定義するグループポリシーへのポインタも含まれます。

ASA には、LAN-to-LAN 接続用の DefaultL2Lgroup、IPSEC リモートアクセス接続用の DefaultRAgroup、および SSL VPN（ブラウザベースおよび AnyConnect Client ベース）接続用の DefaultWEBVPNGroup という、デフォルト接続プロファイルがあります。これらのデフォルト接続プロファイルは変更できますが、削除はできません。また、環境に固有の接続プロファイルを 1 つ以上作成することもできます。接続プロファイルは、ASA のローカルな設定であり、外部サーバでは設定できません。

（注）

一部のプロファイル（フェーズ 1 の IKEv1 など）は、エンドポイントがリモートアクセスまたは LAN-to-LAN かどうかを判別できないことがあります。トンネルグループを判別できない場合、デフォルトで

tunnel-group-map default-group <tunnel-group-name>

に設定されます(デフォルト値は DefaultRAGroup です)。

接続プロファイルの一般接続パラメータ

一般パラメータは、すべての VPN 接続に共通です。一般パラメータには、次のものがあります。

接続プロファイル名：接続プロファイル名は、接続プロファイルを追加または編集するときに指定します。次の注意事項があります。
- 認証に事前共有キーを使用するクライアントの場合、接続プロファイル名はクライアントが ASA に渡すグループ名と同じです。
- 認証に証明書を使用するクライアントはこの名前を証明書の一部として渡し、ASA が証明書からこの名前を抽出します。
接続タイプ：接続タイプには、IKEv1 リモートアクセス、IPsec LAN-to-LAN、および AnyConnect（SSL/IKEv2）が含まれます。接続プロファイルでは、1 つの接続タイプだけ指定できます。
認証、認可、アカウンティングサーバ：これらのパラメータでは、ASA が次の目的で使用するサーバのグループまたはリストを指定します。
- ユーザの認証
- ユーザがアクセスを認可されたサービスに関する情報の取得
- アカウンティングレコードの保存

サーバグループは、1 つ以上のサーバで構成されます。

接続用のデフォルトグループポリシー：グループポリシーは、ユーザ関連の属性のセットです。デフォルトグループポリシーは、ASA がトンネルユーザを認証または認可する際にデフォルトで使用する属性を含んだグループポリシーです。
クライアントアドレスの割り当て方式：この方式には、ASA がクライアントに割り当てる 1 つ以上の DHCP サーバまたはアドレスプールの値が含まれます。
パスワード管理：このパラメータを使用すると、現在のパスワードが指定日数（デフォルトは 14 日）で期限切れになることをユーザに警告して、パスワードを変更する機会をユーザに提供できます。
グループ除去およびレルム除去：これらのパラメータにより、ASA が受信するユーザ名を処理する方法が決まります。これらは、user@realm の形式で受信するユーザ名にだけ適用されます。

領域は @ デリミタ付きでユーザ名に付加される管理ドメインです（user@abc）。レルムを除去する場合、ASA はユーザ名およびグループ（ある場合）を認証に使用します。グループを除去すると、ASA は認証にユーザ名およびレルム（ある場合）を使用します。

レルム修飾子を除去するには strip-realm コマンドを入力し、認証中にユーザ名からグループ修飾子を削除するには strip-group コマンドを入力します。両方の修飾子を削除すると、認証は username だけに基づいて行われます。それ以外の場合、認証は username@realm 文字列全体または username<delimiter> group 文字列に基づいて行われます。サーバでデリミタを解析できない場合は、strip-realm を指定する必要があります。

さらに、L2TP/IPsec クライアントの場合に strip-group コマンドを指定すると、ASA は VPN クライアントが提示したユーザ名からグループ名を取得してユーザ接続の接続プロファイル（トンネルグループ）を選択します。

認可の要求：このパラメータを使用すると、ユーザ接続の前に認可を要求したり、またはその要求を取り下げたりできます。
認可 DN 属性：このパラメータは、認可を実行するときに使用する認定者名属性を指定します。

IPSec トンネルグループ接続パラメータ

IPSec パラメータには、次のものがあります。

クライアント認証方式：事前共有キー、証明書、または両方。
- 事前共有キーに基づいた IKE 接続の場合、接続ポリシーに関連付けられた英数字のキー自体です（最大 128 文字）。
- ピア ID 確認の要求：このパラメータでは、ピアの証明書を使用してピア ID の確認を要求するかどうかを指定します。
- 認証方式に証明書または両方を指定する場合、エンドユーザは認証のために有効な証明書を指定する必要があります。
拡張ハイブリッド認証方式：XAUTH およびハイブリッド XAUTH。

isakmp ikev1-user-authentication コマンドは、ASA 認証にデジタル証明書を使用する必要がある場合、およびリモート VPN ユーザ認証に RADIUS、TACACS+、または SecurID などのレガシーな方式を別途使用する必要がある場合に、ハイブリッド XAUTH 認証を実装するために使用します。

ISAKMP（IKE）キープアライブの設定：この機能により、ASA はリモートピアの継続的な存在をモニタし、自分自身の存在をピアに報告できます。ピアが応答しなくなると、ASA は接続を削除します。IKE キープアライブをイネーブルにすると、IKE ピアが接続を失ったときに接続がハングしません。

IKE キープアライブにはさまざまな形式があります。この機能が動作するには、ASA とリモートピアが共通の形式をサポートしている必要があります。この機能は、次のピアに対して動作します。

Cisco AnyConnet VPN Client
Cisco IOS ソフトウェア

Cisco Secure PIX Firewall

シスコ以外の VPN クライアントは IKE キープアライブをサポートしません。

IKE キープアライブをサポートするピアとサポートしないピアが混在するグループを設定する場合は、グループ全体に対して IKE キープアライブをイネーブルにします。この機能をサポートしないピアに影響はありません。

IKE キープアライブをディセーブルにすると、応答しないピアとの接続はタイムアウトになるまでアクティブのままになるため、アイドルタイムアウトを短くすることを推奨します。アイドルタイムアウトを変更するには、グループポリシーの設定を参照してください。

（注）

ISDN 回線経由で接続するクライアントがグループに含まれる場合は、接続コストを削減するために IKE キープアライブをディセーブルにしてください。通常、ISDN 接続はアイドルになると切断されますが、IKE キープアライブのメカニズムによって接続がアイドル状態にならないため、切断されなくなります。

IKE キープアライブをディセーブルにすると、クライアントは IKE キーと IPSec キーのどちらかの期限が満了した場合にだけ切断されます。IKE キープアライブがイネーブルになっている場合とは異なり、障害が発生したトラフィックは Peer Timeout Profile 値を持つトンネルから切断されません。

IKE メインモードを使用する LAN-to-LAN コンフィギュレーションの場合は、2 つのピアの IKE キープアライブのコンフィギュレーションが同じであることを確認してください。両方のピアで IKE キープアライブがイネーブルになっているか、または両方のピアで IKE キープアライブがディセーブルになっている必要があります。

デジタル証明書を使用して認証を設定する場合、証明書チェーン全体を送信する（ID 証明書と発行するすべての証明書をピアに送信する）か、証明書だけを発行する（ルート証明書とすべての下位 CA 証明書を含む）かを指定できます。
Windows クライアントソフトウェアの古いバージョンを使用しているユーザに、クライアントをアップデートする必要があることを通知し、アップデートされたクライアントバージョンをユーザが取得するためのメカニズムを提供できます。すべての接続プロファイルまたは特定の接続プロファイルに対して、client-update を設定および変更できます。
デジタル証明書を使用して認証を設定する場合は、IKE ピアに送信する証明書を識別するトラストポイントの名前を指定できます。

接続プロファイルの SSL VPN セッション接続パラメータ

次の表は、SSL VPN（AnyConnect クライアントおよびクライアントレス）接続に固有の接続プロファイルの属性のリストです。これらの属性に加えて、すべての VPN 接続に共通の一般接続プロファイルの属性を設定します。接続プロファイルの設定に関する手順ごとの情報については、クライアントレス SSL VPN セッションの接続プロファイルの設定を参照してください。

（注）

以前のリリースでは、「接続プロファイル」が「トンネルグループ」と呼ばれていました。接続プロファイルは、tunnel-group コマンドを使用して設定します。この章では、この 2 つの用語が同義的によく使用されています。

表 1. SSL VPN 用接続プロファイルの属性
	機能
authentication	認証方式、AAA または証明書を設定します。
customization	適用するすでに定義済みのカスタマイゼーションの名前を指定します。カスタマイゼーションによって、ログイン時にユーザに表示されるウィンドウの外観が決まります。カスタマイゼーションパラメータは、クライアントレス SSL VPN の設定の一部として設定します。
nbns-server	CIFS 名前解決に使用する NetBIOS ネームサービスサーバ（nbns-server）の名前を指定します。
group-alias	サーバから接続プロファイルを参照できる 1 つ以上の代替名を指定します。ログイン時に、ユーザはドロップダウンメニューからグループ名を選択します。
group-url	1 つ以上のグループ URL を指定します。この属性を設定する場合、指定した URL にアクセスするユーザは、ログイン時にグループを選択する必要はありません。 AnyConnect クライアント接続にグループ URL を使用するロードバランシング展開では、クラスタ内の各 ASA ノードで、ノードのロードバランシングのパブリックアドレスのグループ URL と同様に、仮想クラスタアドレスのグループ URL を設定する必要があります。
dns-group	DNS サーバ名、ドメイン名、ネームサーバ、リトライ回数、および接続ファイルで使用される DNS サーバのタイムアウト値を指定する DNS サーバグループを指定します。
hic-fail-group-policy	Cisco Secure Desktop Manager を使用して、グループベースポリシー属性を「Use Failure Group-Policy」または「Use Success Group-Policy, if criteria match」に設定する場合は、VPN 機能ポリシーを指定します。
override-svc-download	AnyConnect VPN クライアントをリモートユーザにダウンロードするために、設定されているグループポリシー属性またはユーザ名属性のダウンロードが上書きされます。
radius-reject-message	認証が拒否されたときに、ログイン画面に RADIUS 拒否メッセージを表示します。

接続プロファイルの設定

ここでは、シングルコンテキストモードまたはマルチコンテキストモードの両方での接続プロファイルの内容および設定について説明します。

（注）

マルチコンテキストモードは IKEv1 および IKEv2 サイトツーサイトにのみ適用され、IKEv1 IPSec の AnyConnect、クライアントレス SSL VPN、レガシー Cisco VPN クライアント、Apple ネイティブ VPN クライアント、Microsoft ネイティブ VPN クライアント、または cTCP には適用されません。

デフォルトの接続プロファイルを変更し、3 つのトンネルグループタイプのいずれかで新しい接続プロファイルを設定できます。接続プロファイル内で明示的に設定しない属性に対しては、その値がデフォルトの接続プロファイルから取得されます。デフォルトの接続プロファイルタイプはリモートアクセスです。その後のパラメータは、選択したトンネルタイプによって異なります。デフォルト接続プロファイルも含めて、すべての接続プロファイルの現在のコンフィギュレーションとデフォルトのコンフィギュレーションを確認するには、show running-config all tunnel-group コマンドを入力します。

接続プロファイルの最大数

1 つの ASA がサポートできる接続プロファイル（トンネルグループ）の最大数は、プラットフォームの同時 VPN セッションの最大数 + 5 の関数です。制限を超えるトンネルグループを追加しようとすると、「ERROR: The limit of 30 configured tunnel groups has been reached」メッセージが表示されます。

デフォルトの IPsec リモートアクセス接続プロファイルの設定

デフォルトのリモートアクセス接続プロファイルの内容は、次のとおりです。


tunnel-group DefaultRAGroup type remote-access
tunnel-group DefaultRAGroup general-attributes
 no address-pool
 no ipv6-address-pool
 authentication-server-group LOCAL
 accounting-server-group RADIUS
 default-group-policy DfltGrpPolicy
 no dhcp-server
 no strip-realm
 no password-management
 no override-account-disable
 no strip-group
 no authorization-required
 authorization-dn-attributes CN OU
tunnel-group DefaultRAGroup webvpn-attributes
 hic-fail-group-policy DfltGrpPolicy
 customization DfltCustomization
 authentication aaa
 no override-svc-download
 no radius-reject-message
 dns-group DefaultDNS
tunnel-group DefaultRAGroup ipsec-attributes
 no pre-shared-key
 peer-id-validate req
 no chain
 no trust-point
 isakmp keepalive threshold 1500 retry 2
 no radius-sdi-xauth
 isakmp ikev1-user-authentication xauth
tunnel-group DefaultRAGroup ppp-attributes
 no authentication pap
 authentication chap
 authentication ms-chap-v1
 no authentication ms-chap-v2
 no authentication eap-proxy


tunnel-group DefaultRAGroup type remote-access
tunnel-group DefaultRAGroup general-attributes
 no address-pool
 no ipv6-address-pool
 authentication-server-group LOCAL
 accounting-server-group RADIUS
 default-group-policy DfltGrpPolicy
 no dhcp-server
 no strip-realm
 no password-management
 no strip-group
 no authorization-required
 authorization-dn-attributes CN OU
tunnel-group DefaultRAGroup webvpn-attributes
 hic-fail-group-policy DfltGrpPolicy
 customization DfltCustomization
 authentication aaa
 no override-svc-download
 no radius-reject-message
 dns-group DefaultDNS
tunnel-group DefaultRAGroup ipsec-attributes
 no pre-shared-key
 peer-id-validate req
 no chain
 no trust-point
 isakmp keepalive threshold 1500 retry 2
 no radius-sdi-xauth
 isakmp ikev1-user-authentication xauth
tunnel-group DefaultRAGroup ppp-attributes
 no authentication pap
 authentication chap
 authentication ms-chap-v1
 no authentication ms-chap-v2
 no authentication eap-proxy

IPsec トンネルグループの一般属性

一般属性は、複数のトンネルグループタイプに共通です。IPSec リモートアクセストンネルとクライアントレス SSL VPN トンネルでは、同じ一般属性の大部分を共有しています。IPSec LAN-to-LAN トンネルは、サブセットを使用します。すべてのコマンドの詳細については、『Cisco ASA Series Command Reference』を参照してください。ここでは、リモートアクセス接続プロファイルおよび LAN-to-LAN 接続プロファイルを設定する方法について順に説明します。

リモートアクセス接続プロファイルの設定

次のリモートクライアントと中央サイトの ASA の間に接続を設定する場合は、リモートアクセス接続プロファイルを使用します。

AnyConnect Secure Mobility Client（SSL または IPsec/IKEv2 と接続）
クライアントレス SSL VPN（SSL とのブラウザベースの接続）
Cisco ASA 5500 Easy VPN ハードウェアクライアント（IPsec/IKEv1 と接続）

また、DfltGrpPolicy という名前のデフォルトグループポリシーも提供します。

リモートアクセス接続プロファイルを設定するには、最初にトンネルグループ一般属性を設定し、次にリモートアクセス属性を設定します。次の項を参照してください。

リモートアクセス接続プロファイルの名前とタイプの指定。
リモートアクセス接続プロファイルの一般属性の設定を使用して無効にすることができます。
二重認証の設定
リモートアクセス接続プロファイルの IPSec IKEv1 属性の設定を使用して無効にすることができます。
IPSec リモートアクセス接続プロファイルの PPP 属性の設定

リモートアクセス接続プロファイルの名前とタイプの指定

手順

名前とタイプを指定して tunnel-group コマンドを入力することで、接続プロファイルを作成します。

リモートアクセストンネルの場合、タイプは remote-access です。

tunnel-group tunnel_group_name type remote-access

例:

たとえば、TunnelGroup1 という名前のリモートアクセス接続プロファイルを作成するには、次のコマンドを入力します。


hostname(config)# tunnel-group TunnelGroup1 type remote-access
hostname(config)#

リモートアクセス接続プロファイルの一般属性の設定

接続プロファイルの一般属性を設定または変更するには、次の手順でパラメータを指定します。

手順

ステップ 1

一般属性を設定するには、シングルコンテキストモードまたはマルチコンテキストモードで tunnel-group general-attributes タスクを入力します。これで、トンネルグループ一般属性コンフィギュレーションモードが開始されます。プロンプトが変化して、モードが変更されたことがわかります。


hostname(config)# tunnel-group tunnel_group_name general-attributes
hostname(config-tunnel-general)#

ステップ 2

認証サーバグループがある場合、使用するグループの名前を指定します。指定したサーバグループに障害が発生したときにローカルデータベースを認証に使用する場合は、キーワード LOCAL を追加します。


hostname(config-tunnel-general)# authentication-server-group [(interface_name)] groupname [LOCAL]
hostname(config-tunnel-general)#

認証サーバグループの名前は、最大 16 文字です。

オプションで、グループ名の後ろにインターフェイス名を指定することにより、インターフェイス固有の認証を設定することもできます。トンネルの終了場所を指定するインターフェイス名は、丸カッコで囲む必要があります。次のコマンドでは、認証にサーバ servergroup1 を使用する test という名前のインターフェイスのインターフェイス固有の認証が設定されます。


hostname(config-tunnel-general)# authentication-server-group (test) servergroup1
hostname(config-tunnel-general)#

ステップ 3

使用する認可サーバグループの名前を指定します（存在する場合）。この値を設定する場合、ユーザは接続する認可データベースに存在する必要があります。


hostname(config-tunnel-general)# authorization-server-group groupname
hostname(config-tunnel-general)#

認可サーバグループの名前は、最大 16 文字です。たとえば、次のコマンドは、認可サーバグループ FinGroup を使用することを指定しています。


hostname(config-tunnel-general)# authorization-server-groupFinGroup
hostname(config-tunnel-general)#

ステップ 4

アカウンティングサーバグループがある場合、使用するグループの名前を指定します。


hostname(config-tunnel-general)# accounting-server-group groupname
hostname(config-tunnel-general)#

アカウンティングサーバグループの名前は、最大 16 文字です。たとえば、次のコマンドは、アカウンティングサーバグループ comptroller を使用することを指定しています。


hostname(config-tunnel-general)# accounting-server-group comptroller
hostname(config-tunnel-general)#

ステップ 5

デフォルトグループポリシーの名前を指定します。


hostname(config-tunnel-general)# default-group-policy policyname
hostname(config-tunnel-general)#

グループポリシーの名前は、最大 64 文字です。次の例では、デフォルトグループポリシーの名前として DfltGrpPolicy を設定しています。


hostname(config-tunnel-general)# default-group-policy DfltGrpPolicy
hostname(config-tunnel-general)#

ステップ 6

DHCP サーバ（最大 10 サーバ）の名前または IP アドレス、および DHCP アドレスプール（最大 6 プール）の名前を指定します。デフォルトでは、DHCP サーバとアドレスプールは使用されません。dhcp-server コマンドにより、VPN クライアントの IP アドレスを取得しようとするときに、指定の DHCP サーバに追加オプションを送信するように ASA を設定できるようになります。詳細については、『Cisco ASA Series Command Reference』ガイドの dhcp-server コマンドを参照してください。


hostname(config-tunnel-general)# dhcp-server server1 [...server10]
hostname(config-tunnel-general)# address-pool [(interface name)] address_pool1 [...address_pool6]
hostname(config-tunnel-general)#

（注）

インターフェイス名を指定する場合は、丸カッコで囲む必要があります。

アドレスプールは、グローバルコンフィギュレーションモードで ip local pool コマンドを使用して設定します。

ステップ 7

ネットワークアドミッションコントロールを使用している場合は、ネットワークアドミッションコントロールポスチャ検証で使用される認証サーバのグループを特定するために、NAC 認証サーバグループの名前を指定します。NAC をサポートするように、少なくとも 1 つのアクセスコントロールサーバを設定します。ACS グループの名前を指定するには、aaa-server コマンドを使用します。次に、その同じ名前をサーバグループに使用して、nac-authentication-server-group コマンドを使用します。

次に、NAC ポスチャ検証に使用される認証サーバグループとして acs-group1 を識別する例を示します。


hostname(config-group-policy)# nac-authentication-server-group acs-group1
hostname(config-group-policy)

次に、デフォルトのリモートアクセスグループから認証サーバグループを継承する例を示します。


hostname(config-group-policy)# no nac-authentication-server-group
hostname(config-group-policy)

（注）

NAC を使用するには、リモートホスト上に Cisco Trust Agent が存在する必要があります。

ステップ 8

ユーザ名を AAA サーバに渡す前に、ユーザ名からグループまたは領域を除去するかどうかを指定します。デフォルトでは、グループ名もレルムも除去されません。


hostname(config-tunnel-general)# strip-group
hostname(config-tunnel-general)# strip-realm
hostname(config-tunnel-general)#

レルムとは管理ドメインのことです。レルムを除去する場合、ASA はユーザ名およびグループ（ある場合）認証を使用します。グループを除去すると、ASA は認証にユーザ名およびレルム（ある場合）を使用します。レルム修飾子を削除するには strip-realm コマンドを入力し、認証中にユーザ名からグループ修飾子を削除するには strip-group コマンドを使用します。両方の修飾子を削除すると、認証は username だけに基づいて行われます。それ以外の場合、認証は username@realm 文字列全体または username<delimiter> group 文字列に基づいて行われます。サーバでデリミタを解析できない場合は、strip-realm を指定する必要があります。

ステップ 9

サーバが RADIUS、RADIUS with NT、または LDAP サーバの場合、オプションで、パスワード管理をイネーブルにできます。

（注）

認証に LDAP ディレクトリサーバを使用している場合、パスワード管理は Sun Microsystems JAVA System Directory Server（旧名称は Sun ONE Directory Server）および Microsoft Active Directory を使用してサポートされます。

Sun：Sun ディレクトリサーバにアクセスするために ASA に設定されている DN が、サーバのデフォルトパスワードポリシーにアクセスできる必要があります。DN として、ディレクトリ管理者、またはディレクトリ管理者権限を持つユーザを使用することを推奨します。または、デフォルトパスワードポリシーに ACI を設定できます。

Microsoft：Microsoft Active Directory でパスワード管理をイネーブルにするには、LDAP over SSL を設定する必要があります。

この機能はデフォルトでディセーブルになっており、現在のパスワードの有効期限が近づくとユーザに警告を表示します。デフォルトでは、期限切れの 14 日前に警告が開始されます。


hostname(config-tunnel-general)# password-management
hostname(config-tunnel-general)#

サーバが LDAP サーバの場合、有効期限が近いことに関する警告が開始されるまでの日数（0 ～ 180）を指定できます。


hostname(config-tunnel-general)# password-management [password-expire in days n]
hostname(config-tunnel-general)#

（注）

トンネルグループ一般属性コンフィギュレーションモードで入力した password-management コマンドによって、トンネルグループ ipsec 属性モードで事前に入力された非推奨の radius-with-expiry コマンドが置き換えられます。

password-management コマンドを設定すると、リモートユーザがログインするときに、ASA は、ユーザの現在のパスワードの有効期限が近づいていること、または期限が切れていることを通知します。それから ASA は、ユーザがパスワードを変更できるようにします。現行のパスワードが失効していない場合、ユーザはそのパスワードを使用してログインし続けることができます。RADIUS または LDAP 認証が設定されていない場合、ASA ではこのコマンドが無視されます。

これによってパスワードが期限切れになるまでの日数が変更されるわけではなく、ASA がパスワードが期限切れになる何日前にユーザへの警告を開始するかが変更されるという点に注意してください。

password-expire-in-days キーワードを指定する場合は、日数も指定する必要があります。

このコマンドで日数に 0 を指定すると、このコマンドはディセーブルになります。ASA は、ユーザに対して失効が迫っていることを通知しませんが、失効後にユーザはパスワードを変更できます。

詳細については、パスワード管理用の Microsoft Active Directory の設定を参照してください。

ASA Version 7.1 以降では、LDAP または MS-CHAPv2 をサポートする RADIUS 接続で認証を行うときに、AnyConnect VPN Client 接続、Cisco IPSec VPN Client 接続、SSL VPN 完全トンネリングクライアント接続、およびクライアントレス接続に対するパスワード管理が一般的にサポートされています。Kerberos/AD（Windows パスワード）または NT 4.0 ドメインに対するこれらの接続タイプのいずれでも、パスワード管理はサポートされていません。

MS-CHAP をサポートしている一部の RADIUS サーバは、現在 MS-CHAPv2 をサポートしていません。password-management コマンドを使用するには、MS-CHAPv2 が必要なため、ベンダーに確認してください。

（注）

RADIUS サーバ（Cisco ACS など）は、認証要求を別の認証サーバにプロキシする場合があります。ただし、ASA からは RADIUS サーバとのみ通信しているように見えます。

LDAP でパスワードを変更するには、市販の LDAP サーバごとに独自の方法が使用されています。現在、ASA では Microsoft Active Directory および Sun LDAP サーバに対してのみ、独自のパスワード管理ロジックを実装しています。ネイティブ LDAP には、SSL 接続が必要です。LDAP のパスワード管理を実行する前に、SSL 上での LDAP をイネーブルにする必要があります。デフォルトでは、LDAP はポート 636 を使用します。

ステップ 10

ステップ 11

証明書から認可クエリー用の名前を得るために使用する 1 つまたは複数の属性を指定します。この属性により、サブジェクト DN フィールドのどの部分を認可用のユーザ名として使用するかが指定されます。


hostname(config-tunnel-general)# authorization-dn-attributes {primary-attribute [secondary-attribute] | use-entire-name}

たとえば、次のコマンドは、CN 属性を認可用のユーザ名として使用することを指定しています。


hostname(config-tunnel-general)# authorization-dn-attributes CN
hostname(config-tunnel-general)#

authorization-dn-attributes は、C （国）、CN （通常名）、DNQ （DN 修飾子）、EA （電子メールアドレス）、GENQ （世代修飾子）、GN （名）、I （イニシャル）、L （地名）、N （名前）、O （組織）、OU （組織ユニット）、SER （シリアル番号）、SN （姓）、SP （州または都道府県）、T （役職）、UID （ユーザ ID）、および UPN（ユーザプリンシパルネーム）があります。

ステップ 12

ユーザに接続を許可する前に、そのユーザが正常に認可されている必要があるかどうかを指定します。デフォルトでは認可は要求されません。


hostname(config-tunnel-general)# authorization-required
hostname(config-tunnel-general)#

二重認証の設定

二重認証は、ユーザがログイン画面に追加の認証クレデンシャル（2 つ目のユーザ名とパスワードなど）を入力するよう要求するオプションの機能です。二重認証を設定するには、次のコマンドを指定します。

手順

ステップ 1

セカンダリ認証サーバグループを指定します。このコマンドはセカンダリ AAA サーバとして使用する AAA サーバグループを指定します。

（注）

このコマンドは、AnyConnect クライアント VPN 接続にだけ適用されます。

セカンダリのサーバグループでは SDI サーバグループを指定できません。デフォルトでは、セカンダリ認証は必要ありません。


hostname(config-tunnel-general)# secondary-authentication-server-group [interface_name] 
{none | LOCAL | groupname [LOCAL]} [use-primary-name]

none キーワードを指定すると、セカンダリ認証は要求されません。groupname 値は AAA サーバグループ名を示します。ローカルは内部サーバデータベースを使用することを示し、groupname 値と併用すると、LOCAL はフォールバックを示します。

たとえば、プライマリ認証サーバグループを sdi_group に、セカンダリ認証サーバグループを ldap_server に設定するには、次のコマンドを入力します。


hostname(config-tunnel-general)# authentication-server-group
hostname(config-tunnel-general)# secondary-authentication-server-group

（注）

use-primary-name キーワードを使用する場合、ログインダイアログは 1 つのユーザ名だけ要求します。また、ユーザ名をデジタル証明書から抽出する場合、プライマリユーザ名だけが認証に使用されます。

ステップ 2

セカンダリユーザ名を証明書から取得する場合は、secondary-username-from-certificate を入力します。


hostname(config-tunnel-general)# secondary-username-from-certificate C | CN | ... | use-script

セカンダリユーザ名として使用するために証明書から抽出する DN フィールドの値は、プライマリの username-from-certificate コマンドと同じです。または、use-script キーワードを指定して、ASDM によって生成されたスクリプトファイルを使用するよう ASA に指示できます。

たとえば、プライマリユーザ名フィールドとして通常名を、セカンダリユーザ名フィールドとして組織ユニットを指定するには、次のコマンドを入力します。


hostname(config-tunnel-general)# tunnel-group test1 general-attributes
hostname(config-tunnel-general)# username-from-certificate cn
hostname(config-tunnel-general)# secondary-username-from-certificate ou

ステップ 3

認証で使用するためにクライアント証明書からセカンダリユーザ名を抽出できるようにするには、トンネルグループ webvpn 属性モードで secondary-pre-fill-username コマンドを使用します。このコマンドをクライアントレス接続または SSL VPN（AnyConnect）クライアント接続に適用するかどうか、抽出されたユーザ名をエンドユーザに非表示にするかどうかを指定するキーワードを使用します。この機能はデフォルトで無効に設定されています。クライアントレスオプションと SSL クライアントオプションは同時に使用できますが、それぞれ別個のコマンドで設定する必要があります。


hostname(config-tunnel-general)# secondary-pre-fill-username-from-certificate 
{clientless | ssl-client} [hide]

たとえば、接続のプライマリとセカンダリの両方の認証に pre-fill-username を使用するには、次のコマンドを入力します。


hostname(config-tunnel-general)# tunnel-group test1 general-attributes
hostname(config-tunnel-general)# pre-fill-username ssl-client
hostname(config-tunnel-general)# secondary-pre-fill-username ssl-client

ステップ 4

接続に適用する認可属性を取得するために使用する認証サーバを指定します。デフォルトの選択は、プライマリ認証サーバです。このコマンドは二重認証でのみ意味を持ちます。


hostname(config-tunnel-general)# authentication-attr-from-server {primary | secondary}

たとえば、セカンダリ認証サーバを指定するには、次のコマンドを入力します。


hostname(config-tunnel-general)# tunnel-group test1 general-attributes
hostname(config-tunnel-general)# authentication-attr-from-server secondary

ステップ 5

セッションと関連付ける認証ユーザ名（プライマリまたはセカンダリ）を指定します。デフォルト値はプライマリです。二重認証をイネーブルにすると、2 つの別のユーザ名でセッションを認証できます。管理者はセッションのユーザ名として認証されたユーザ名のいずれかを指定する必要があります。セッションのユーザ名は、アカウンティング、セッションデータベース、syslog、デバッグ出力に提供されるユーザ名です。


hostname(config-tunnel-general)# authenticated-session-username {primary | secondary}

たとえば、セッションと関連付ける認証ユーザ名をセカンダリ認証サーバから取得するよう指定するには、次のコマンドを入力します。


hostname(config-tunnel-general)# tunnel-group test1 general-attributes
hostname(config-tunnel-general)# authenticated-session-username secondary

リモートアクセス接続プロファイルの IPSec IKEv1 属性の設定

リモートアクセス接続プロファイルの IPSec IKEv1 属性を設定するには、次の手順を実行します。次の説明は、リモートアクセス接続プロファイルをすでに作成していることを前提としています。リモートアクセス接続プロファイルには、LAN-to-LAN 接続プロファイルよりも多くの属性があります。

手順

ステップ 1

リモートアクセストンネルグループの IPSec 属性を指定するには、シングルコンテキストモードまたはマルチコンテキストモードで次のコマンドを入力してトンネルグループ ipsec 属性モードを開始します。プロンプトが変化して、モードが変更されたことがわかります。


hostname(config)# tunnel-group tunnel-group-name ipsec-attributes
hostname(config-tunnel-ipsec)#

このコマンドにより、トンネルグループ ipsec 属性コンフィギュレーションモードが開始されます。このモードでは、シングルコンテキストモードまたはマルチコンテキストモードでリモートアクセストンネルグループの IPSec 属性を設定します。

たとえば、次のコマンドは、TG1 という名前の接続プロファイルに関係するトンネルグループ ipsec 属性モードのコマンドが続くことを指定しています。プロンプトが変化して、トンネルグループ ipsec 属性モードに入ったことがわかります。


hostname(config)# tunnel-group TG1 type remote-access
hostname(config)# tunnel-group TG1 ipsec-attributes
hostname(config-tunnel-ipsec)#

ステップ 2

事前共有キーに基づく IKEv1 接続をサポートするために、事前共有キーを指定します。たとえば、次のコマンドは、IPsec IKEv1 リモートアクセス接続プロファイルの IKEv1 接続をサポートするために、事前共有キー xyzx を指定しています。


hostname(config-tunnel-ipsec)# ikev1 pre-shared-key xyzx
hostname(config-tunnel-ipsec)#

ステップ 3

ピアの証明書を使用してピアの ID を検証するかどうかを指定します。


hostname(config-tunnel-ipsec)# peer-id-validate option
hostname(config-tunnel-ipsec)#

使用できるオプション値は、req （必須）、cert ( （証明書でサポートされている場合）、nocheck ( （調べない）です。デフォルトは req です。

たとえば、次のコマンドは peer-id 検証が必要なことを指定しています。


hostname(config-tunnel-ipsec)# peer-id-validate req
hostname(config-tunnel-ipsec)#

ステップ 4

証明書チェーンを送信できるかどうかを指定します。次のコマンドは、ルート証明書とすべての下位 CA 証明書を送信しています。


hostname(config-tunnel-ipsec)# chain
hostname(config-tunnel-ipsec)#

この属性は、すべての IPsec トンネルグループタイプに適用されます。

ステップ 5

IKE ピアに送信する証明書を識別するトラストポイントの名前を指定します。


hostname(config-tunnel-ipsec)# ikev1 trust-point  trust-point-name
hostname(config-tunnel-ipsec)#

次のコマンドは、IKE ピアに送信する証明書の名前として mytrustpoint を指定しています。


hostname(config-ipsec)# ikev1 trust-point mytrustpoint

ステップ 6

ISAKMP キープアライブのしきい値と許可されるリトライ回数を指定します。


hostname(config-tunnel-ipsec)# isakmp keepalive threshold <number> retry <number>
hostname(config-tunnel-ipsec)#

threshold パラメータでは、ピアがキープアライブモニタリングを開始するまでの最長アイドル時間を秒数（10 ～ 3600）で指定します。retry パラメータは、キープアライブ応答が受信されなくなった後のリトライ間の間隔です（2 ～ 10 秒）。IKE キープアライブは、デフォルトでイネーブルです。ISAKMP キープアライブをディセーブルにするには、isakmp keepalive disable と入力します。

たとえば、次のコマンドは、IKE キープアライブのしきい値を 15 秒に設定し、リトライインターバルを 10 秒に設定します。


hostname(config-tunnel-ipsec)# isakmp keepalive threshold 15 retry 10
hostname(config-tunnel-ipsec)#

threshold パラメータのデフォルト値は、リモートアクセスの場合は 300、LAN-to-LAN の場合は 10 です。また、retry パラメータのデフォルト値は 2 です。

中央サイト（セキュアゲートウェイ）で、ISAKMP モニタリングを決して開始しないように指定する場合は、次のコマンドを入力します。


hostname(config-tunnel-ipsec)# isakmp keepalive threshold infinite
hostname(config-tunnel-ipsec)#

ステップ 7

ISAKMP ハイブリッド認証方式、XAUTH またはハイブリッド XAUTH を指定します。

isakmp ikev1-user-authentication コマンドは、ASA 認証にデジタル証明書を使用する必要がある場合、およびリモート VPN ユーザ認証に RADIUS、TACACS+、または SecurID などのレガシーな方式を別途使用する必要がある場合に、ハイブリッド XAUTH 認証を実装するために使用します。ハイブリッド XAUTH によって、IKE のフェーズ 1 が次の 2 つの手順に分割されます。2 つ合せてハイブリッド認証と呼ばれます。

ASA は、標準の公開キー技術を使用して、リモート VPN ユーザに対して認証します。これにより、単方向に認証する IKE セキュリティアソシエーションが確立されます。

次に、XAUTH 交換がリモート VPN ユーザを認証します。この拡張認証では、サポートされている従来のいずれかの認証方式を使用できます。

（注）

認証タイプをハイブリッドに設定するには、事前に認証サーバを設定し、事前共有キーを作成し、トラストポイントを設定する必要があります。

isakmp ikev1-user-authentication コマンドとオプションの interface パラメータを使用して、特定のインターフェイスを指定できます。interface パラメータを省略すると、このコマンドはすべてのインターフェイスに適用され、インターフェイスごとにコマンドが指定されていない場合のバックアップとして機能します。接続プロファイルに 2 つの isakmp ikev1-user-authentication コマンドを指定していて、1 つは interface パラメータを使用し、もう 1 つは使用しない場合、インターフェイスを指定するコマンドはその特定のインターフェイスを優先します。

たとえば、次のコマンドは、example-group と呼ばれる接続プロファイルの内部インターフェイスでハイブリッド XAUTH をイネーブルにします。


hostname(config)# tunnel-group example-group type remote-access
hostname(config)# tunnel-group example-group ipsec-attributes
hostname(config-tunnel-ipsec)# isakmp ikev1-user-authentication (inside) hybrid
hostname(config-tunnel-ipsec)#

IPSec リモートアクセス接続プロファイルの PPP 属性の設定

リモートアクセス接続プロファイルのポイントツーポイントプロトコル属性を設定するには、次の手順を実行します。PPP 属性は、IPSec リモートアクセスの接続プロファイルにだけ適用されます。次の説明は、IPSec リモートアクセス接続プロファイルをすでに作成していることを前提としています。

手順

ステップ 1

トンネルグループ ppp 属性コンフィギュレーションモードに入ります。このモードで、次のコマンドを入力して、リモートアクセストンネルグループ PPP 属性を設定します。プロンプトが変化して、モードが変更されたことがわかります。


hostname(config)# tunnel-group tunnel-group-name type remote-access
hostname(config)# tunnel-group tunnel-group-name ppp-attributes
hostname(config-tunnel-ppp)#

たとえば、次のコマンドは、TG1 という名前の接続プロファイルに関係するトンネルグループ ppp 属性モードのコマンドが続くことを指定しています。プロンプトが変化して、トンネルグループ ppp 属性モードに入ったことがわかります。


hostname(config)# tunnel-group TG1 type remote-access
hostname(config)# tunnel-group TG1 ppp-attributes
hostname(config-tunnel-ppp)#

ステップ 2

PPP 接続に対する固有のプロトコルを使用する認証をイネーブルにするかどうかを指定します。プロトコルの値は次のいずれかになります。

pap：PPP 接続で Password Authentication Protocol（パスワード認証プロトコル）の使用をイネーブルにします。
chap：PPP 接続で Challenge Handshake Authentication（チャレンジハンドシェイク認証プロトコル）の使用をイネーブルにします。
ms-chap-v1 または ms-chap-v2：PPP 接続で Microsoft Challenge Handshake Authentication Protocol（Microsoft チャレンジハンドシェイク認証プロトコル）のバージョン 1 またはバージョン 2 の使用をイネーブルにします。
eap：PPP 接続で Extensible Authentication Protocol（拡張認証プロトコル）の使用をイネーブルにします。

CHAP と MSCHAPv1 は、デフォルトでイネーブルになっています。

このコマンドの構文は次のとおりです。


hostname(config-tunnel-ppp)# authentication protocol
hostname(config-tunnel-ppp)#

特定のプロトコルの認証をディセーブルにするには、このコマンドの no 形式を使用します。


hostname(config-tunnel-ppp)# no authentication protocol
hostname(config-tunnel-ppp)#

たとえば、次のコマンドは PPP 接続で PAP プロトコルの使用をイネーブルにします。


hostname(config-tunnel-ppp)# authentication pap
hostname(config-tunnel-ppp)#

次のコマンドは、PPP 接続で MS-CHAP バージョン 2 プロトコルの使用をイネーブルにします。


hostname(config-tunnel-ppp)# authentication ms-chap-v2
hostname(config-tunnel-ppp)#

次のコマンドは、PPP 接続で EAP-PROXY プロトコルの使用をイネーブルにします。


hostname(config-tunnel-ppp)# authentication pap
hostname(config-tunnel-ppp)#

次のコマンドは、PPP 接続で MS-CHAP バージョン 1 プロトコルの使用をディセーブルにします。


hostname(config-tunnel-ppp)# no authentication ms-chap-v1
hostname(config-tunnel-ppp)#

LAN-to-LAN 接続プロファイルの設定

IPSec LAN-to-LAN VPN 接続プロファイルは、LAN-to-LAN IPSec クライアント接続にだけ適用されます。設定するパラメータの多くは IPSec リモートアクセスの接続プロファイルのものと同じですが、LAN-to-LAN トンネルの方がパラメータの数は少なくなります。ここでは、LAN-to-LAN 接続プロファイルを設定する方法について説明します。

LAN-to-LAN 接続プロファイルの名前とタイプの指定
LAN-to-LAN 接続プロファイルの一般属性の設定
LAN-to-LAN IPSec IKEv1 属性の設定

デフォルトの LAN-to-LAN 接続プロファイルのコンフィギュレーション

デフォルトの LAN-to-LAN 接続プロファイルの内容は、次のとおりです。


tunnel-group DefaultL2LGroup type ipsec-l2l
tunnel-group DefaultL2LGroup general-attributes
 default-group-policy DfltGrpPolicy
tunnel-group DefaultL2LGroup ipsec-attributes
 no ikev1 pre-shared-key
 peer-id-validate req
 no chain
 no ikev1 trust-point
 isakmp keepalive threshold 10 retry 2

LAN-to-LAN 接続プロファイルのパラメータはリモートアクセス接続プロファイルのパラメータより少なく、そのほとんどはどちらのグループでも同じです。実際に接続を設定する場合の利便性を考え、ここではこのグループのパラメータを個別に説明します。明示的に設定しないパラメータはすべて、デフォルトの接続プロファイルからその値を継承します。

LAN-to-LAN 接続プロファイルの名前とタイプの指定

接続プロファイルの名前とタイプを指定するには、次のように tunnel-group コマンドを入力します。


hostname(config)# tunnel-group tunnel_group_name type tunnel_type

LAN-to-LAN トンネルの場合、タイプは ipsec-l2l になります。たとえば、docs という名前の LAN-to-LAN 接続プロファイルを作成するには、次のコマンドを入力します。


hostname(config)# tunnel-group docs type ipsec-l2l
hostname(config)#

LAN-to-LAN 接続プロファイルの一般属性の設定

接続プロファイルの一般属性を設定するには、次の手順を実行します。

手順

ステップ 1

シングルコンテキストモードまたはマルチコンテキストモードで general-attributes キーワードを指定して、トンネルグループ一般属性モードを開始します。

tunnel-group tunnel-group-name general-attributes

例:

docs という名前の接続プロファイルの場合は、次のコマンドを入力します。


hostname(config)# tunnel-group docs general-attributes
hostname(config-tunnel-general)#

プロンプトが変化して、config-general モードに入ったことがわかります。トンネルグループの一般属性は、このモードで設定します。

ステップ 2

デフォルトグループポリシーの名前を指定します。

default-group-policy policyname

例:

次のコマンドは、デフォルトグループポリシーの名前に MyPolicy を指定しています。


hostname(config-tunnel-general)# default-group-policy MyPolicy
hostname(config-tunnel-general)#

LAN-to-LAN IPSec IKEv1 属性の設定

IPsec IKEv1 属性を設定するには、次の手順を実行します。

手順

ステップ 1

トンネルグループ IPSec IKEv1 属性を設定するには、シングルコンテキストモードまたはマルチコンテキストモードで IPSec-attributes キーワードを指定して tunnel-group コマンドを入力し、トンネルグループ ipsec 属性コンフィギュレーションモードを開始します。


hostname(config)# tunnel-group tunnel-group-name ipsec-attributes
hostname(config-tunnel-ipsec)#

たとえば、次のコマンドでは、config-ipsec モードを開始し、TG1 という名前の接続プロファイルのパラメータを設定できます。


hostname(config)# tunnel-group TG1 ipsec-attributes
hostname(config-tunnel-ipsec)#

プロンプトが変化して、トンネルグループ ipsec 属性コンフィギュレーションモードに入ったことがわかります。

ステップ 2

事前共有キーに基づく IKEv1 接続をサポートするために、事前共有キーを指定します。


hostname(config-tunnel-ipsec)# ikev1 pre-shared-key key
hostname(config-tunnel-ipsec)#

たとえば、次のコマンドは、LAN-to-LAN 接続プロファイルの IKEv1 接続をサポートするために、事前共有キー XYZX を指定しています。


hostname(config-tunnel-ipsec)# ikev1 pre-shared-key xyzx
hostname(config-tunnel-general)#

ステップ 3

ピアの証明書を使用してピアの ID を検証するかどうかを指定します。


hostname(config-tunnel-ipsec)# peer-id-validate option
hostname(config-tunnel-ipsec)#

使用できるオプションは、req （必須）、cert ( （証明書でサポートされている場合）、nocheck ( （調べない）です。デフォルトは req です。たとえば、次のコマンドは、peer-id-validate オプションを nocheck に設定しています。


hostname(config-tunnel-ipsec)# peer-id-validate nocheck
hostname(config-tunnel-ipsec)#

ステップ 4

証明書チェーンを送信できるかどうかを指定します。次のアクションは、ルート証明書とすべての下位 CA 証明書を送信しています。


hostname(config-tunnel-ipsec)# chain
hostname(config-tunnel-ipsec)#

この属性は、すべてのトンネルグループタイプに適用できます。

ステップ 5

IKE ピアに送信する証明書を識別するトラストポイントの名前を指定します。


hostname(config-tunnel-ipsec)# trust-point  trust-point-name
hostname(config-tunnel-ipsec)#

たとえば、次のコマンドは、トラストポイント名を mytrustpoint に設定しています。


hostname(config-tunnel-ipsec)# trust-point mytrustpoint
hostname(config-tunnel-ipsec)#

この属性は、すべてのトンネルグループタイプに適用できます。

ステップ 6

ISAKMP（IKE）キープアライブのしきい値と許可されるリトライ回数を指定します。threshold パラメータでは、ピアがキープアライブモニタリングを開始するまでの最長アイドル時間を秒数（10 ～ 3600）で指定します。retry パラメータは、キープアライブ応答が受信されなくなった後のリトライ間の間隔です（2 ～ 10 秒）。IKE キープアライブは、デフォルトでイネーブルです。IKE キープアライブをディセーブルにするには、isakmp コマンドの no 形式を入力します。


hostname(config)# isakmp keepalive threshold <number> retry <number>
hostname(config-tunnel-ipsec)#

たとえば、次のコマンドは、ISAKMP キープアライブのしきい値を 15 秒に設定し、リトライインターバルを 10 秒に設定します。


hostname(config-tunnel-ipsec)# isakmp keepalive threshold 15 retry 10
hostname(config-tunnel-ipsec)#

threshold パラメータのデフォルト値は、LAN-to-LAN の場合は 10 です。retry パラメータのデフォルト値は 2 です。

中央サイト（セキュアゲートウェイ）で、ISAKMP モニタリングを決して開始しないように指定する場合は、次のコマンドを入力します。


hostname(config-tunnel-ipsec)# isakmp keepalive threshold infinite
hostname(config-tunnel-ipsec)#

ステップ 7

ISAKMP ハイブリッド認証方式、XAUTH またはハイブリッド XAUTH を指定します。

ASA は、標準の公開キー技術を使用して、リモート VPN ユーザに対して認証します。これにより、単方向に認証する IKE セキュリティアソシエーションが確立されます。

次に、XAUTH 交換がリモート VPN ユーザを認証します。この拡張認証では、サポートされている従来のいずれかの認証方式を使用できます。

（注）

認証タイプをハイブリッドに設定するには、事前に認証サーバを設定し、事前共有キーを作成し、トラストポイントを設定する必要があります。

たとえば、次のコマンドは、example-group と呼ばれる接続プロファイルのハイブリッド XAUTH をイネーブルにします。


hostname(config)# tunnel-group example-group type remote-access 
hostname(config)# tunnel-group example-group ipsec-attributes
hostname(config-tunnel-ipsec)# isakmp ikev1-user-authentication hybrid
hostname(config-tunnel-ipsec)#

クライアントレス SSL VPN セッションの接続プロファイルの設定

クライアントレス SSL VPN 接続プロファイル用のトンネルグループ一般属性は、トンネルグループのタイプが webvpn で、strip-group コマンドと strip-realm コマンドが適用されない点を除いて、IPSec リモートアクセスの接続プロファイルのものと同じです。クライアントレス SSL VPN に固有の属性は別々に定義します。次の項では、クライアントレス SSL VPN 接続プロファイルを設定する方法について説明します。

クライアントレス SSL VPN セッションの一般トンネルグループ属性の設定
クライアントレス SSL VPN セッションのトンネルグループ属性の設定

クライアントレス SSL VPN セッションの一般トンネルグループ属性の設定

接続プロファイルの一般属性を設定または変更するには、次の手順でパラメータを指定します。

手順

ステップ 1

一般属性を設定するには、シングルコンテキストモードまたはマルチコンテキストモードで tunnel-group general-attributes コマンドを入力します。これで、トンネルグループ一般属性コンフィギュレーションモードが開始されます。プロンプトが変化することに注意してください。


hostname(config)# tunnel-group tunnel_group_name general-attributes
hostname(config-tunnel-general)#

前の項で作成した TunnelGroup3 の一般属性を設定するには、次のコマンドを入力します。


hostname(config)# tunnel-group TunnelGroup3 general-attributes
hostname(config-tunnel-general)#

ステップ 2


hostname(config-tunnel-general)# authentication-server-group groupname [LOCAL]
hostname(config-tunnel-general)#

たとえば、test という名前の認証サーバグループを設定し、認証サーバグループで障害が発生したときにローカルサーバにフォールバックするようにするには、次のコマンドを入力します。


hostname(config-tunnel-general)# authentication-server-group test LOCAL
hostname(config-tunnel-general)#

authentication-server-group 名で、事前に設定した認証サーバまたはサーバのグループを指定します。認証サーバを設定するには、aaa-server コマンドを使用します。グループタグの最大長は 16 文字です。

グループ名の前にある丸カッコ内にインターフェイス名を指定することにより、インターフェイス固有の認証を設定することもできます。次のインターフェイスはデフォルトで使用可能になっています。

inside：インターフェイス GigabitEthernet0/1 の名前
outside：インターフェイス GigabitEthernet0/0 の名前

（注）

ASA の外部インターフェイスアドレス（IPv4 と IPv6 の両方）は、プライベート側のアドレス空間と重複していてはなりません。

interface コマンドを使用して設定したその他のインターフェイスも使用可能です。次のコマンドは、認証にサーバ servergroup1 を使用する outside という名前のインターフェイスのインターフェイス固有の認証を設定しています。


hostname(config-tunnel-general)# authentication-server-group (outside) servergroup1
hostname(config-tunnel-general)#

ステップ 3

オプションで、使用する認可サーバグループの名前を指定します（存在する場合）。認可を使用していない場合は、ステップ 6 に進んでください。この値を設定する場合、ユーザは接続する認可データベースに存在する必要があります。


hostname(config-tunnel-general)# authorization-server-group groupname
hostname(config-tunnel-general)#

認可サーバを設定するには、aaa-server コマンドを使用します。グループタグの最大長は 16 文字です。

たとえば、次のコマンドは、認可サーバグループ FinGroup を使用することを指定しています。


hostname(config-tunnel-general)# authorization-server-group FinGroup
hostname(config-tunnel-general)#

ステップ 4

ユーザに接続を許可する前に、そのユーザが正常に認可されている必要があるかどうかを指定します。デフォルトでは認可は要求されません。


hostname(config-tunnel-general)# authorization-required
hostname(config-tunnel-general)#

ステップ 5


hostname(config-tunnel-general)# authorization-dn-attributes {primary-attribute [secondary-attribute] | use-entire-name}

たとえば、次のコマンドは、CN 属性を認可用のユーザ名として使用することを指定しています。


hostname(config-tunnel-general)# authorization-dn-attributes CN
hostname(config-tunnel-general)#

ステップ 6

オプションで、使用するアカウンティングサーバグループの名前を指定します（存在する場合）。アカウンティングを使用していない場合は、ステップ 7 に進んでください。アカウンティングサーバを設定するには、aaa-server コマンドを使用します。グループタグの最大長は 16 文字です。


hostname(config-tunnel-general)# accounting-server-group groupname
hostname(config-tunnel-general)#

たとえば、次のコマンドは、アカウンティングサーバグループ comptroller を使用することを指定しています。


hostname(config-tunnel-general)# accounting-server-group comptroller
hostname(config-tunnel-general)#

ステップ 7

オプションで、デフォルトグループポリシーの名前を指定します。デフォルト値は DfltGrpPolicy です。


hostname(config-tunnel-general)# default-group-policy policyname
hostname(config-tunnel-general)#

次の例では、デフォルトグループポリシーの名前として MyDfltGrpPolicy を設定しています。


hostname(config-tunnel-general)# default-group-policy MyDfltGrpPolicy
hostname(config-tunnel-general)#

ステップ 8

オプションで、DHCP サーバ（最大 10 サーバ）の名前または IP アドレス、および DHCP アドレスプール（最大 6 プール）の名前を指定します。リスト項目はスペースで区切ります。デフォルトでは、DHCP サーバとアドレスプールは使用されません。


hostname(config-tunnel-general)# dhcp-server server1 [...server10]
hostname(config-tunnel-general)# address-pool [(interface name)] address_pool1 [...address_pool6]
hostname(config-tunnel-general)#

（注）

インターフェイス名は丸カッコで囲む必要があります。

アドレスプールは、グローバルコンフィギュレーションモードで ip local pool コマンドを使用して設定します。アドレスプールの設定の詳細については、VPN の IP アドレスを参照してください。

ステップ 9

サーバが RADIUS、RADIUS with NT、または LDAP サーバの場合、オプションで、パスワード管理をイネーブルにできます。

（注）

Sun：Sun ディレクトリサーバにアクセスするために ASA に設定されている DN が、サーバのデフォルトパスワードポリシーにアクセスできる必要があります。DN として、ディレクトリ管理者、またはディレクトリ管理者権限を持つユーザを使用することを推奨します。または、デフォルトパスワードポリシーに ACI を設定できます。
Microsoft：Microsoft Active Directory でパスワード管理をイネーブルにするには、LDAP over SSL を設定する必要があります。

この機能はデフォルトでイネーブルになっており、現在のパスワードの有効期限が近づくとユーザに警告を表示します。デフォルトでは、期限切れの 14 日前に警告が開始されます。


hostname(config-tunnel-general)# password-management
hostname(config-tunnel-general)#

サーバが LDAP サーバの場合、有効期限が近いことに関する警告が開始されるまでの日数（0 ～ 180）を指定できます。


hostname(config-tunnel-general)# password-management [password-expire in days n]
hostname(config-tunnel-general)#

（注）

このコマンドを設定すると、リモートユーザがログインするときに、ASA は、ユーザの現在のパスワードの有効期限が近づいていること、または期限が切れていることを通知します。それから ASA は、ユーザがパスワードを変更できるようにします。現行のパスワードが失効していない場合、ユーザはそのパスワードを使用してログインし続けることができます。RADIUS または LDAP 認証が設定されていない場合、ASA ではこのコマンドが無視されます。

password-expire-in-days キーワードを指定する場合は、日数も指定する必要があります。

詳細については、パスワード管理用の Microsoft Active Directory の設定を参照してください。

クライアントレス SSL VPN セッションのトンネルグループ属性の設定

クライアントレス SSL VPN 接続プロファイルに固有のパラメータを設定するには、この項の次の手順を実行します。クライアントレス SSL VPN は、以前は WebVPN として知られていました。これらの属性は、トンネルグループ webvpn 属性モードで設定します。

手順

ステップ 1

クライアントレス SSL VPN トンネルグループの属性を指定するには、次のコマンドを入力してトンネルグループ webvpn 属性モードに入ります。プロンプトが変化して、モードが変更されたことがわかります。


hostname(config)# tunnel-group tunnel-group-name webvpn-attributes
hostname(config-tunnel-ipsec)#

たとえば、sales という名前のクライアントレス SSL VPN トンネルグループの webvpn 属性を指定するには、次のコマンドを入力します。


hostname(config)# tunnel-group sales webvpn-attributes
hostname(config-tunnel-webvpn)#

ステップ 2

AAA、デジタル証明書、または両方を使用するための認証方式を指定するには、authentication コマンドを入力します。AAA、証明書、または両方を任意の順序で指定できます。


hostname(config-tunnel-webvpn)# authentication authentication_method
hostname(config-tunnel-webvpn)#

たとえば、次のコマンドは AAA と証明書の両方の認証を許可します。


hostname(config-tunnel-webvpn)# authentication aaa certificate
hostname(config-tunnel-webvpn)#

ステップ 3

ASA は、NetBIOS 名を IP アドレスにマップするために NetBIOS ネームサーバにクエリーを送信します。クライアントレス SSL VPN では、リモートシステムのファイルをアクセスまたは共有するための NetBIOS が必要です。クライアントレス SSL VPN では、NetBIOS と CIFS プロトコルを使用して、リモートシステムのファイルをアクセスまたは共有します。Windows コンピュータにそのコンピュータ名を使用してファイル共有接続をしようとすると、指定されたファイルサーバはネットワーク上のリソースを識別する特定の NetBIOS 名と対応します。

NBNS 機能を動作させるには、少なくとも 1 台の NetBIOS サーバ（ホスト）を設定する必要があります。冗長性を実現するために NBNS サーバを 3 つまで設定できます。ASA は、リストの最初のサーバを NetBIOS/CIFS 名前解決に使用します。クエリーが失敗すると、次のサーバが使用されます。

CIFS 名前解決に使用する NBNS（NetBIOS ネームサービス）サーバの名前を指定するには、nbns-server コマンドを使用します。サーバエントリは 3 つまで入力できます。冗長性のために、設定する最初のサーバはプライマリサーバで、その他のサーバはバックアップです。これが（ただの WINS サーバではなく）マスターブラウザであるかどうか、タイムアウト間隔、およびリトライ回数も指定できます。WINS サーバまたはマスターブラウザは、通常、ASA と同じネットワーク上か、そのネットワークから到達可能な場所に設定されます。タイムアウト間隔はリトライ回数の前に指定する必要があります。


hostname(config-tunnel-webvpn)# nbns-server {host-name | IP_address} [master] [seconds] [retry number]
hostname(config-tunnel-webvpn)#

たとえば、nbnsprimary という名前のサーバをプライマリサーバとして設定し、サーバ 192.168.2.2 をセカンダリサーバとして設定し、それぞれに 3 回のリトライを許可し、5 秒のタイムアウトを設定するには、次のコマンドを入力します。


hostname(config)# name 192.168.2.1 nbnsprimary
hostname(config-tunnel-webvpn)# nbns-server nbnsprimary master timeout 5 retry 3
hostname(config-tunnel-webvpn)# nbns-server 192.168.2.2 timeout 5 retry 3
hostname(config-tunnel-webvpn)#

タイムアウト間隔の範囲は 1 ～ 30 秒（デフォルトは 2）、リトライ回数は 0 ～ 10（デフォルトは 2）です。

トンネルグループ webvpn 属性コンフィギュレーションモードで nbns-server コマンドを使用すると、webvpn コンフィギュレーションモードで非推奨の nbns-server コマンドが置き換えられます。

ステップ 4

グループの代替名を指定するには、group-alias コマンドを使用します。グループエイリアスを指定すると、ユーザがトンネルグループを参照できる 1 つ以上の代替名が作成されます。ここで指定するグループエイリアスは、ユーザのログインページにあるドロップダウンリストに表示されます。各グループに対して複数のエイリアスを指定することも、エイリアスを指定しないこともできます。それぞれを別のコマンドで指定します。この機能は、同じグループが「Devtest」や「QA」などの複数の通常名で指定されている場合に便利です。

各グループエイリアスに対して、group-alias コマンドを入力します。各エイリアスはデフォルトでイネーブルになっています。各エイリアスは、オプションで明示的にイネーブルまたはディセーブルにできます。


hostname(config-tunnel-webvpn)# group-alias alias [enable | disable]
hostname(config-tunnel-webvpn)#

たとえば、QA という名前のトンネルグループのエイリアスの QA と Devtest をイネーブルにするには、次のコマンドを入力します。


hostname(config-tunnel-webvpn)# group-alias QA enable
hostname(config-tunnel-webvpn)# group-alias Devtest enable
hostname(config-tunnel-webvpn)#

（注）

webvpn tunnel-group-list は、表示する（ドロップダウン）グループリストに対してイネーブルにする必要があります。

ステップ 5

グループの着信 URL または IP アドレスを指定します。

group-url url[enable | disable]

1 つのグループに対して複数の URL またはアドレスを設定できます（何も設定しないこともできます）。各グループ URL またはアドレスに対して、group-url コマンドを入力します。url は、このトンネルグループの URL または IP アドレスを指定します。http または https プロトコルを含め、URL またはアドレス全体を指定する必要があります。各 URL またはアドレスは、個別にイネーブル（デフォルト）またはディセーブルにできます。

グループの URL または IP アドレスを指定すると、ユーザがログイン時にグループを選択する必要がなくなります。ユーザがログインすると、ASA は、tunnel-group-policy テーブル内のユーザの着信 URL またはアドレスを検索します。URL またはアドレスが見つかり、group-url が接続プロファイル内でイネーブルになっている場合、ASA は、関連の接続プロファイルを自動的に選択して、ログインウィンドウにユーザ名フィールドとパスワードフィールドだけを表示します。これによりユーザインターフェイスが簡素化され、グループリストがユーザに表示されなくなるという利点が追加されます。ユーザに表示するログインウィンドウには、その接続プロファイル用に設定されたカスタマイゼーションが使用されます。

URL またはアドレスがディセーブルになっており、group-alias が設定されている場合、グループのドロップダウンリストが表示され、ユーザは選択を行う必要があります。

同じ URL またはアドレスを複数のグループに関連付けることはできません。ASA は、接続プロファイルの URL またはアドレスを受け入れる前にその URL またはアドレスの固有性を検証します。

例:

RadiusServer という名前のトンネルグループに対してグループ URL http://www.example.com と http://192.168.10.10 をイネーブルにするには、次のコマンドを入力します。


hostname(config)# tunnel-group RadiusServer type webvpn
hostname(config)# tunnel-group RadiusServer general-attributes
hostname(config-tunnel-general)# authentication server-group RADIUS
hostname(config-tunnel-general)# accounting-server-group RADIUS
hostname(config-tunnel-general)# tunnel-group RadiusServer webvpn-attributes
hostname(config-tunnel-webvpn)# group-alias “Cisco Remote Access” enable
hostname(config-tunnel-webvpn)# group-url http://www.example.com enable
hostname(config-tunnel-webvpn)# group-url http://192.168.10.10 enable
hostname(config-tunnel-webvpn)#

多数の例については、クライアントレス SSL VPN セッションのユーザ用ログインウィンドウのカスタマイズを参照してください。

AnyConnect クライアント接続にグループ URL を使用するロードバランシング展開では、クラスタ内の各 ASA ノードで、ノードのロードバランシングのパブリックアドレスのグループ URL と同様に、仮想クラスタアドレスのグループ URL を設定する必要があります。

例:

次のようなアドレスが設定されているクラスタ内での 2 つの ASA ノードを使用したロードバランシング展開に適した group-url を設定します。

ロードバランシングの仮想 IP = https://vip-vpn.example.com/groupname
ASA1 = https://asa1.example.com/groupname
ASA2 = https://asa2.example.com/groupname

ASA1 のトンネルグループ設定では、次の group-url が設定されている必要があります。


hostname(config)# tunnel-group LB1 type webvpn
hostname(config)# tunnel-group LB1 general-attributes
hostname(config-tunnel-general)# group-url  https://vip-vpn.example.com/groupname
hostname(config-tunnel-general)# group-url  https://asa1.example.com/groupname

ASA2 のトンネルグループ設定では、次の group-url が設定されている必要があります。


hostname(config)# tunnel-group LB2 type webvpn
hostname(config)# tunnel-group LB2 general-attributes
hostname(config-tunnel-general)# group-url  https://vip-vpn.example.com/groupname
hostname(config-tunnel-general)# group-url  https://asa2.example.com/groupname

ステップ 6

（任意）グループ URL のいずれかを入力した場合に、接続プロファイルごとに実行中の Cisco Secure Desktop の Hostscan アプリケーションから特定のユーザを免除するには、次のコマンドを入力します。


hostname(config-tunnel-webvpn)# without-csd [anyconnect]
hostname(config-tunnel-webvpn)#

このコマンドを入力すると、これらのセッションのエンドポイント状態が検出されないため、ダイナミックアクセスポリシー（DAP）コンフィギュレーションを調整する必要があります。

この免除を AnyConnect 接続のみに制限する場合は、anyconnect キーワードを含めます。キーワードを含めないと、この免除はクライアントレス接続、レイヤ 3 接続、および AnyConnect 接続に適用されます。

ステップ 7

クライアントレス SSL VPN セッションの接続プロファイルに使用する DNS サーバグループを指定するには、dns-group コマンドを使用します。指定するグループは、グローバルコンフィギュレーションモードで（dns server-group コマンドおよび name-server コマンドを使用して）設定済みのグループである必要があります。

デフォルトでは、接続プロファイルは DNS サーバグループ DefaultDNS を使用します。ただし、セキュリティアプライアンスで DNS 要求を解決する前にこのグループを設定する必要があります。

次の例は、corp_dns という名前の新規 DNS サーバグループを設定し、接続プロファイル telecommuters のサーバグループを指定します。


hostname(config)# dns server-group corp_dns
hostname(config-dns-server-group)# domain-name cisco.com
hostname(config-dns-server-group)# name-server 209.165.200.224

hostname(config)# tunnel-group telecommuters webvpn-attributes
hostname(config-tunnel-webvpn)# dns-group corp_dns
hostname(config-tunnel-webvpn)#

ステップ 8

（任意）認証と認可で使用するクライアント証明書からユーザ名を抽出できるようにするには、トンネルグループ webvpn 属性モードで pre-fill-username コマンドを使用します。


hostname(config)# pre-fill-username {ssl-client | clientless}

pre-fill-username コマンドは、ユーザ名/パスワードの認証および認可のユーザ名として、username-from-certificate コマンド（トンネルグループ一般属性モード）で指定した証明書フィールドから抽出されるユーザ名の使用をイネーブルにします。証明書機能からこの事前充填ユーザ名を使用するには、両方のコマンドを設定する必要があります。

（注）

バージョン 8.0.4 では、ユーザ名は事前に入力されません。ユーザ名フィールド内の送信されたデータは無視されます。

次の例では、グローバルコンフィギュレーションモードで入力された、remotegrp という名前の IPSec リモートアクセストンネルグループを作成し、証明書からのユーザ名の取得をイネーブルにして、SSL VPN クライアント認証または許可のクエリーのための名前がデジタル証明書から派生している必要があることを指定します。


hostname(config)# tunnel-group remotegrp type ipsec_ra
hostname(config)# tunnel-group remotegrp general-attributes
hostname(config-tunnel-general)# username-from-certificate CN OU
hostname(config)# tunnel-group remotegrp webvpn-attributes
hostname(config-tunnel-webvpn)# pre-fill-username ssl-client
hostname(config-tunnel-webvpn)#

ステップ 9

（任意） AnyConnect または SSL VPN クライアントをダウンロードするためにグループポリシーまたはユーザ名属性コンフィギュレーションを上書きするかどうかを指定するには、override-svc-download コマンドを使用します。この機能はデフォルトで無効に設定されています。

セキュリティアプライアンスは、vpn-tunnel-protocol コマンドによってグループポリシーまたはユーザ名属性でクライアントレスや SSL VPN がイネーブルになっているかどうかに基づいて、リモートユーザに対してクライアントレス接続または AnyConnect クライアント接続を許可します。anyconnect ask コマンドはさらに、クライアントをダウンロードするか、または WebVPN ホームページに戻るようにユーザに要求して、クライアントのユーザエクスペリエンスを変更します。

ただし、特定のトンネルグループでログインしているクライアントレスユーザには、ダウンロードプロンプトが終了するまで待たせることなく、クライアントレス SSL VPN ホームページを表示することができます。override-svc-download コマンドを使用すると、接続プロファイルレベルでこのようなユーザに対する遅延を防止できます。このコマンドにより、接続プロファイル経由でログインするユーザには、vpn-tunnel-protocol コマンドまたは anyconnect ask コマンドの設定に関係なく、ただちにクライアントレス SSL VPN ホームページが表示されるようになります。

次の例では、接続プロファイル engineering のトンネルグループ webvpn 属性コンフィギュレーションモードに入り、クライアントダウンロードプロンプトのグループポリシーとユーザ名属性設定を上書きする接続プロファイルをイネーブルにします。


hostname(config)# tunnel-group engineering webvpn-attributes
hostname(config-tunnel-webvpn)# override-svc-download

ステップ 10

（任意）認証が拒否されたときのログイン画面への RADIUS 拒否メッセージの表示をイネーブルにするには、radius-eject-message コマンドを使用します。

次に、engineering という名前の接続プロファイルに対して RADIUS 拒否メッセージの表示をイネーブルにする例を示します。


hostname(config)# tunnel-group engineering webvpn-attributes
hostname(config-tunnel-webvpn)# radius-reject-message

クライアントレス SSL VPN セッションのユーザ用ログインウィンドウのカスタマイズ

カスタマイゼーションによって、ログイン時にユーザに表示されるウィンドウの外観が決まります。カスタマイゼーションパラメータは、クライアントレス SSL VPN の設定の一部として設定します。定義済みの Web ページカスタマイゼーションを適用して、ログイン時にユーザに表示される Web ページのルックアンドフィールを変更するには、グループポリシー webvpn コンフィギュレーションモードで customization コマンドを入力します。


hostname(config-group-webvpn)# customization customization_name
hostname(config-group-webvpn)#

たとえば、blueborder という名前のカスタマイゼーションを使用するには、次のコマンドを入力します。


hostname(config-group-webvpn)# customization blueborder
hostname(config-group-webvpn)#

カスタマイゼーション自体は、webvpn モードで customization コマンドを入力して設定します。

次の例は、123 という名前のカスタマイゼーションを最初に確立するコマンドシーケンスを示しています。このコマンドシーケンスによって、パスワードプロンプトが定義されます。次の例は、testpolicy という名前のグループポリシーを定義し、customization コマンドを使用して、クライアントレス SSL VPN セッションに 123 という名前のカスタマイゼーションを使用することを指定しています。


hostname(config)# webvpn
hostname(config-webvpn)# customization 123
hostname(config-webvpn-custom)# password-prompt Enter password
hostname(config-webvpn)# exit
hostname(config)# group-policy testpolicy nopassword
hostname(config)# group-policy testpolicy attributes
hostname(config-group-policy)# webvpn
hostname(config-group-webvpn)# customization value 123
hostname(config-group-webvpn)#

カスタマイゼーションプロファイルと接続プロファイルの組み合わせを使用することで、さまざまなグループに対して異なるログインウィンドウをセットアップできます。たとえば、salesgui と呼ばれるカスタマイゼーションプロファイルを作成してある場合、そのカスタマイゼーションプロファイルを使用する sales と呼ばれるクライアントレス SSL VPN セッション用の接続プロファイルを、次のように作成できます。

手順

ステップ 1	webvpn モードで、クライアントレス SSL VPN アクセスのカスタマイゼーションを定義します。この場合は、salesgui という名前で、デフォルトのロゴを mycompanylogo.gif に変更します。mycompanylogo.gif を ASA のフラッシュメモリに事前にロードし、設定を保存している必要があります。詳細については、クライアントレス SSL VPN の概要を参照してください。 `hostname# webvpn hostname (config-webvpn)# customization value salesgui hostname(config-webvpn-custom)# logo file disk0:\mycompanylogo.gif hostname(config-webvpn-custom)#`
ステップ 2	グローバルコンフィギュレーションモードで、ユーザ名をセットアップし、先ほど定義したクライアントレス SSL VPN 用のカスタマイゼーションと関連付けます。 `hostname# username seller attributes hostname(config-username)# webvpn hostname(config-username-webvpn)# customization value salesgui hostname(config-username-webvpn)# exit hostname(config-username)# exit hostname#`
ステップ 3	グローバルコンフィギュレーションモードで、sales という名前のクライアントレス SSL VPN セッションのトンネルグループを作成します。 `hostname# tunnel-group sales type webvpn hostname(config-tunnel-webvpn)#`
ステップ 4	この接続プロファイルに対して salesgui カスタマイゼーションを使用することを指定します。 `hostname# tunnel-group sales webvpn-attributes hostname(config-tunnel-webvpn)# customization salesgui`
ステップ 5	ASA にログインするためにユーザがブラウザに入力するアドレスに対するグループ URL を設定します。たとえば、ASA に IP アドレス 192.168.3.3 が設定されている場合は、グループ URL を https://192.168.3.3 に設定します。 `hostname(config-tunnel-webvpn)# group-url https://192.168.3.3. hostname(config-tunnel-webvpn)#` ログインを成功させるためにポート番号が必要な場合は、コロンに続けてポート番号を指定します。ASA は、この URL を sales 接続プロファイルにマッピングし、ユーザが https://192.168.3.3 にログインしたときに表示されるログイン画面に salesgui カスタマイゼーションプロファイルを適用します。

標準ベースの IKEv2 クライアントのトンネルグループについて

トンネルグループは、トンネル接続ポリシーを格納したレコードのセットです。AAA サーバを識別するトンネルグループを設定し、接続パラメータを指定し、デフォルトのグループポリシーを定義します。ASA は、トンネルグループを内部的に保存します。

IPSec リモートアクセスのデフォルトトンネルグループは DefaultRAGroup です。デフォルトトンネルグループは、変更することはできますが、削除することはできません。

IKEv2 では、別のローカルおよびリモート認証 CLI を使用して非対称認証方式を設定できます（つまり、送信元に対しては事前共有キー認証を設定し、応答側に対しては証明書認証または EAP 認証を設定できます）。したがって、IKEv2 を使用すると、両方の側がそれぞれ異なるクレデンシャルで認証する非対称認証を使用できます（事前共有キー、証明書、または EAP）。

DefaultRAGroup は EAP 認証用に設定する必要があります。これは、証明書認証が証明書 DN 照合に使用されていなければ、これらのクライアント接続を特定のトンネルグループにマッピングすることができないためです。

標準ベースの IKEv2 属性のサポート

ASA では、次の IKEv2 属性がサポートされます。

INTERNAL_IP4_ADDRESS/INTERNAL_IP6_ADDRESS：IPv4 または IPv6 アドレス

（注）

デュアルスタック（IPv4 と IPv6 の両方のアドレス割り当て）は、IKEv2 ではサポートされません。IPv4 アドレスと IPv6 アドレスの両方が要求され、両方のアドレスが割り当て可能な場合は、IPv4 アドレスのみが割り当てられます。

INTERNAL_IP4_NETMASK：IPv4 アドレスネットワークマスク
INTERNAL_IP4_DNS/INTERNAL_IP6_DNS：プライマリ/セカンダリ DNS アドレス
INTERNAL_IP4_NBNS：プライマリ/セカンダリ WINS アドレス
INTERNAL_IP4_SUBNET/INTERNAL_IP6_SUBNET：スプリットトンネリングのリスト
APPLICATION_VERSION：無視されます。セキュリティ上の理由から、ASA のバージョン情報を伝達しないように応答は送信されません。ただし、クライアント設定ペイロード要求にこの属性を含めることができ、文字列が ASA の vpn-sessiondb コマンド出力と syslog に表示されます。

DAP のサポート

接続タイプごとの DAP ポリシー設定を許可するには、新しいクライアントタイプの IPsec-IKEv2-Generic-RA を使用してこの接続タイプに特定のポリシーを適用することができます。

リモートアクセスクライアントのトンネルグループ選択

次の表に、リモートアクセスクライアントと使用可能なトンネルグループオプションのリストを示します。

リモートアクセスクライアント

トンネルグループリスト

グループ URL

証明書 DN 照合

デフォルトグループ

（DefaultRAGroup）

その他

AnyConnect VPN クライアント

対応

該当なし

Windows L2TP/IPsec

（メインモード IKEv1）

なし

対応（ローカルマシンの証明書を使用する場合）
なし（PSK を使用する場合）

対応

該当なし

標準ベースの IKEv2

なし

対応（ローカルマシンの証明書を使用する場合）
なし（EAP 認証を使用する場合）

Yes

（注）

DefaultRAGroup トンネルグループを使用する必要があります。

該当なし

標準ベースの IKEv2 クライアントの認証サポート

次の表に、標準ベースの IKEv2 クライアントとサポートされている認証方式のリストを示します。

（注）

認証方式の制限は、ASA 上ではなく、クライアント上のサポートの有無に基づきます。すべての EAP 方式の認証は、クライアントと EAP サーバ間で ASA によってプロキシされます。EAP 方式のサポートは、クライアントと EAP サーバの EAP 方式のサポートに基づきます。


クライアントタイプ/認証方式	EAP-TLS	EAP-MSCHAPv2	EAP-MD5	証明書のみ	PSK
Linux 上の StrongSwan	該当なし	ISE：対応 ACS：対応 FreeRadius：対応 FreeRadius 経由の AD：対応	ISE：対応 ACS：対応 FreeRadius：対応 FreeRadius 経由の AD：対応	対応	対応
Android 上の StrongSwan	該当なし	ISE：対応 ACS：対応 FreeRadius：対応 FreeRadius 経由の AD：対応	非対応	Yes	該当なし
Windows 7/8/8.1	ISE：対応 ACS：対応 FreeRadius：対応 FreeRadius 経由の AD：対応	ISE：対応 ACS：対応 FreeRadius：対応 FreeRadius 経由の AD：対応	該当なし	対応	該当なし
Windows Phone	ISE：対応 ACS：対応 FreeRadius：対応 FreeRadius 経由の AD：対応	ISE：対応 ACS：対応 FreeRadius：対応 FreeRadius 経由の AD：対応	該当なし	該当なし	該当なし
Samsung Knox	該当なし	ISE：対応 ACS：対応 FreeRadius：対応 FreeRadius 経由の AD：対応	ISE：対応 ACS：対応 FreeRadius：対応 FreeRadius 経由の AD：対応	対応	該当なし
iOS 8	ISE：対応 ACS：対応 FreeRadius：対応 FreeRadius 経由の AD：対応	ISE：対応 ACS：対応 FreeRadius：対応 FreeRadius 経由の AD：対応	該当なし	対応	対応
Android ネイティブクライアント	該当なし	ISE：対応 ACS：対応 FreeRadius：対応 FreeRadius 経由の AD：対応	該当なし	対応	対応

EAP ID を取得するためのクエリ ID オプションの設定

Microsoft Windows 7 IKEv2 クライアントは、Cisco ASA サーバがトンネルグループ検索に使用できないようにするために、IP アドレスをインターネットキー交換（IKE）ID として送信します。ASA は、ASA がクライアントから有効な EAP ID を取得できるように、EAP 認証用の query-identity オプションを使用して設定する必要があります。

証明書ベースの認証の場合は、次のように、ASA サーバと Microsoft Windows 7 クライアントの証明書に拡張キー使用法（EKU）フィールドが含まれている必要があります。

クライアント証明書では、EKU フィールド = クライアント認証証明書です。
サーバ証明書では、EKU フィールド = サーバ認証証明書です。

証明書は、Microsoft Certificate Server またはその他の CA サーバから取得できます。

EAP 認証の場合は、Microsoft Windows 7 IKEv2 クライアントが他の EAP 要求の前に EAP ID 要求を待ちます。クライアントに EAP ID 要求を送信するには、IKEv2 ASA サーバ上のトンネルグループプロファイル内で query-identity キーワードが設定されていることを確認してください。

（注）

Windows でスプリットトンネリングが実行できるように IKEv2 では DHCP 代行受信がサポートされます。この機能は、IPv4 スプリットトンネリング属性でのみ動作します。

手順

ステップ 1

接続タイプを IPsec リモートアクセスに設定するには、 tunnel-group コマンドを入力します。構文は、tunnel-group nametype type です。ここで、name はトンネルグループに割り当てる名前であり、type はトンネルのタイプです。

次の例では、IKEv2 事前共有キーが 44kkaol59636jnfx に設定されます。


hostname(config-tunnel-ipsec)# ikev2 local-authentication pre-shared-key 44kkaol59636jnfx

（注）

認証を完了するには、ikev2 remote-authentication pre-shared-key コマンドまたは ikev2 remote-authentication certificate コマンドを設定する必要があります。

ステップ 2

標準ベースのサードパーティ IKEv2 リモートアクセスクライアントを使用したユーザ認証をサポートする方式として拡張認証プロトコル（EAP）を指定するには、ikev2 remote-authentication eap [query-identity] コマンドを使用します。

（注）

リモート認証で EAP をイネーブルにするには、証明書を使用してローカル認証を設定し、ikev2 local-authentication {certificate trustpoint} コマンドを使用して有効なトラストポイントを設定する必要があります。そうしなかった場合は、EAP 認証要求が拒否されます。

クライアントが、リモート認証用に設定されたオプションのすべてではなく、一部を使用できるようにする複数のオプションがあります。

IKEv2 接続の場合、トンネルグループのマッピングで、リモート認証に使用できる認証方式（PSK、証明書、および EAP）とローカル認証に使用できる認証方式（PSK および証明書）、およびローカル認証で使用するトラストポイントを特定する必要があります。現在、マッピングの実行には、ピアまたはピア証明書のフィールドの値から取得（証明書マップを使用）された IKE ID が使用されます。両方のオプションが失敗した場合は、着信接続がデフォルトのリモートアクセストンネルグループ DefaultRAGroup にマッピングされます。証明書マップは、リモートピアが証明書で認証された場合にのみ適用されるオプションです。このマップにより、異なるトンネルグループへのマッピングが可能です。証明書認証の場合のみ、ルールまたはデフォルトの設定を使用してトンネルグループの参照が行われます。EAP 認証および PSK 認証の場合は、クライアント（トンネルグループ名が一致するクライアント）の IKE ID またはデフォルトの設定を使用してトンネルグループの参照が行われます。

EAP 認証で、クライアントが IKE ID とユーザ名を個別に設定できない場合は、DefaultRAGroup トンネルグループを使用する必要があります。

次の例では、EAP 認証要求が拒否されています。


ciscoasa(config-tunnel-ipsec)# ikev2 remote-authentication eap query-identity
ciscoasa(config-tunnel-ipsec)# ikev2 remote-authentication certificate
ciscoasa(config-tunnel-ipsec)# ikev2 local-authentication pre-shared-key 12345678
ERROR: The local-authentication method is required to be certificate based
if remote-authentication allows EAP
ciscoasa(config-tunnel-ipsec)# ikev2 local-authentication certificate myIDcert

ステップ 3

変更を保存します。


hostname(config)# write memory
hostname(config)#

トンネルが稼働中であることを確認するには、show vpn-sessiondb summary または show crypto ipsec sa コマンドを使用します。

パスワード管理用の Microsoft Active Directory の設定

Sun：Sun ディレクトリサーバにアクセスするために ASA に設定されている DN が、サーバのデフォルトパスワードポリシーにアクセスできる必要があります。DN として、ディレクトリ管理者、またはディレクトリ管理者権限を持つユーザを使用することを推奨します。または、デフォルトパスワードポリシーに ACI を設定できます。
Microsoft：Microsoft Active Directory でパスワード管理をイネーブルにするには、LDAP over SSL を設定する必要があります。

Microsoft Active Directory でパスワード管理を使用するには、一定の Active Directory パラメータを設定し、ASA でパスワード管理を設定する必要があります。この項では、さまざまなパスワード管理アクションに関連する Active Directory の設定について説明します。これらの説明は、ASA でのパスワード管理がイネーブルになっていて、対応するパスワード管理属性が設定されていることを前提としています。この項の特定の手順では、Windows 2000 における Active Directory の用語に言及しています。この項では、認証に LDAP ディレクトリサーバを使用していることを前提としています。

次回ログイン時にパスワードの変更をユーザに強制するための Active Directory の使用

次回ログイン時にユーザパスワードの変更をユーザに強制するには、ASA のトンネルグループ一般属性コンフィギュレーションモードで password-management コマンドを指定して、Active Directory で次の手順を実行します。

手順

ステップ 1

[Start] > [Programs] > [Administrative Tools] > [Active Directory Users and Computers] の順に選択します。

ステップ 2

右クリックして、[Username] > [Properties] > [Account] を選択します。

ステップ 3

[User must change password at next logon] チェックボックスをオンにします。

このユーザが次回ログインするときに、ASA で次のプロンプトが表示されます「New password required. Password change required. You must enter a new password with a minimum length n to continue.」最小必須パスワード長 n は、[Start] > [Programs] > [Administrative Tools] > [Domain Security Policy] > [Windows Settings] > [Security Settings] > [Account Policies] > [Password Policy] で Active Directory 設定の一部として設定できます。[Minimum password length] を選択します。

Active Directory を使用したパスワードの最大有効日数の指定

セキュリティを強化するために、一定の日数経過後パスワードが期限切れになるように指定できます。ユーザパスワードの最大有効日数を指定するには、ASA のトンネルグループ一般属性コンフィギュレーションモードで password-management コマンドを指定し、Active Directory で次の手順を実行します。

（注）

以前、パスワードの有効日数の設定機能を実行するためにトンネルグループリモートアクセスコンフィギュレーションの一部として設定されていた radius-with-expiry コマンドは非推奨になっています。このコマンドは、トンネルグループ一般属性モードで入力される password-management コマンドに置き換えられます。

手順

ステップ 1

[Start] > [Programs] > [Administrative Tools] > [Domain Security Policy] > [Windows Settings] > [Security Settings] > [Account Policies] > [Password Policy] を選択します。

ステップ 2

[Maximum password age] をダブルクリックします。

ステップ 3

[Define this policy setting] チェックボックスをオンにして、許可する [Maximum password age] を日単位で指定します。

Active Directory を使用した最小パスワード長の強制

パスワードの最小長を強制するには、ASA のトンネルグループ一般属性コンフィギュレーションモードで password-management コマンドを指定し、Active Directory で次の手順を実行します。

手順

ステップ 1	[Start] > [Programs] > [Administrative Tools] > [Domain Security Policy] を選択します。
ステップ 2	[Windows Settings] > [Security Settings] > [Account Policies] > [Password Policy] を選択します。
ステップ 3	[Minimum Password Length] をダブルクリックします。
ステップ 4	[Define this policy setting] チェックボックスをオンにして、パスワードに含める必要がある最小文字数を指定します。

Active Directory を使用したパスワードの複雑性の強制

複雑なパスワード、たとえば、大文字と小文字、数字、および特殊文字を含むパスワードを要求するには、ASA のトンネルグループ一般属性コンフィギュレーションモードで password-management コマンドを入力し、Active Directory で次の手順を実行します。

手順

ステップ 1	[Start] > [Programs] > [Administrative Tools] > [Domain Security Policy] を選択します。[Windows Settings] > [Security Settings] > [Account Policies] > [Password Policy] を選択します。
ステップ 2	[Password must meet complexity requirements] をダブルクリックして、[Security Policy Setting] ダイアログボックスを開きます。
ステップ 3	[Define this policy setting] チェックボックスをオンにして、[Enable] を選択します。

パスワードの複雑性の強制は、ユーザがパスワードを変更するときにだけ有効になります。たとえば、次回ログイン時にパスワード変更を強制する、または n 日後にパスワードが期限切れになるように設定した場合です。ログイン時に、新しいパスワードの入力を求めるプロンプトが表示され、システムは複雑なパスワードだけを受け入れます。

AnyConnect クライアントをサポートする RADIUS/SDI メッセージの接続プロファイルの設定

この項では、RSA SecureID ソフトウェアトークンを使用する AnyConnect VPN クライアントが、SDI サーバにプロキシする RADIUS サーバ経由でクライアントに配信されるユーザプロンプトに正しく応答できるようにする手順について説明します。

（注）

二重認証機能を設定した場合、SDI 認証はプライマリ認証サーバでだけサポートされます。

リモートユーザが AnyConnect VPN クライアントで ASA に接続し、RSA SecurID トークンを使用して認証を試みると、ASA は RADIUS サーバと通信を行い、次に、認証について SDI サーバと通信を行います。

認証の間に、RADIUS サーバは ASA にアクセスチャレンジメッセージを提示します。これらのチャレンジメッセージ内に、SDI サーバからのテキストを含む応答メッセージがあります。このメッセージテキストは、ASA が SDI サーバと直接通信している場合と RADIUS プロキシを経由して通信している場合とで異なります。そのため、AnyConnect クライアントにネイティブ SDI サーバとして認識させるために、ASA は RADIUS サーバからのメッセージを解釈する必要があります。

また、SDI メッセージは SDI サーバで設定可能であるため、ASA のメッセージテキストの全体または一部が、SDI サーバのメッセージテキストと一致する必要があります。一致しない場合、リモートクライアントユーザに表示されるプロンプトは、認証中に必要とされるアクションに対して適切でない場合があります。そのため、AnyConnect クライアントが応答できずに、認証が失敗する可能性があります。

RADIUS/SDI メッセージをサポートするためのセキュリティアプライアンスの設定クライアントと SDI サーバ間の認証を確実に成功させるように ASA を設定する方法について説明します。

RADIUS/SDI メッセージをサポートするためのセキュリティアプライアンスの設定

SDI 固有の RADIUS 応答メッセージを解釈し、AnyConnect ユーザに適切なアクションを求めるプロンプトを表示するように ASA を設定するには、次の手順を実行します。

手順

ステップ 1

トンネルグループ webvpn コンフィギュレーションモードで proxy-auth sdi コマンドを使用して、SDI サーバとの直接通信をシミュレートする方法で、RADIUS 応答メッセージを転送するための接続プロファイル（トンネルグループ）を設定します。SDI サーバに認証されるユーザは、この接続プロファイルを介して接続する必要があります。

例:


hostname(config)# tunnel-group sales webvpn attributes
hostname(tunnel-group-webvpn)# proxy-auth sdi

ステップ 2

トンネルグループ webvpn コンフィギュレーションモードで proxy-auth_map sdi コマンドを使用して、RADIUS サーバによって送信されるメッセージテキストと全体または一部が一致する RADIUS 応答メッセージテキストを ASA で設定します。

ASA が使用するデフォルトのメッセージテキストは、Cisco Secure Access Control Server（ACS）で使用されるデフォルトのメッセージテキストです。Cisco Secure ACS を使用していて、デフォルトのメッセージテキストを使用している場合、ASA でメッセージテキストを設定する必要はありません。それ以外の場合は、proxy-auth_map sdi コマンドを使用して、メッセージテキストが一致するようにします。

次の表に、メッセージコード、デフォルトの RADIUS 応答メッセージテキスト、および各メッセージの機能を示します。セキュリティアプライアンスは、テーブルに表示される順番に文字列を検索するため、メッセージテキストに使用する文字列は別の文字列のサブセットではないようにする必要があります。

たとえば、「new PIN」が new-pin-sup と next-ccode-and-reauth の両方に対するデフォルトのメッセージテキストのサブセットだとします。new-pin-sup を「new PIN」として設定した場合、セキュリティアプライアンスは RADIUS サーバから「new PIN with the next card code」を受信すると、next-ccode-and-reauth コードではなく new-pin-sup コードとテキストを照合します。

SDI 操作コード、デフォルトのメッセージテキスト、およびメッセージの機能


メッセージコード	デフォルトの RADIUS 応答メッセージテキスト	機能
next-code	Enter Next PASSCODE	ユーザは PIN を入力せずに次のトークンコードを入力する必要があることを示します。
new-pin-sup	Please remember your new PIN	新しいシステムの PIN が提供されており、ユーザにその PIN を表示することを示します。
new-pin-meth	Do you want to enter your own pin	新しい PIN の作成にどの新しい PIN 方式を使用するかをユーザに尋ねます。
new-pin-req	Enter your new Alpha-Numerical PIN	ユーザ生成の PIN を入力することを要求することを示します。
new-pin-reenter	Reenter PIN:	ユーザが提供した PIN の確認のために ASA が内部的に使用します。ユーザにプロンプトを表示せずに、クライアントが PIN を確認します。
new-pin-sys-ok	New PIN Accepted	ユーザが提供した PIN が受け入れられたことを示します。
next-ccode-and-reauth	new PIN with the next card code	PIN 操作後、次のトークンコードを待ってから、認証のために新しい PIN と次のトークンコードの両方を入力する必要があることをユーザに示します。
ready-for-sys- pin	ACCEPT A SYSTEM GENERATED PIN	ユーザがシステム生成の PIN に対する準備ができていることを示すために ASA が内部的に使用します。

次の例では、aaa-server-host モードに入り、RADIUS 応答メッセージ new-pin-sup のテキストを変更します。


hostname(config)# aaa-server radius_sales host 10.10.10.1 
hostname(config-aaa-server-host)# proxy-auth_map sdi new-pin-sup “This is your new PIN”

グループポリシー

この項では、グループポリシーとその設定方法について説明します。

グループポリシーは、IPSec 接続用のユーザ関連の属性と値のペアがセットになったもので、デバイスに内部的（ローカル）に保存されるか、外部の RADIUS サーバに保存されます。接続プロファイルでは、トンネル確立後、ユーザ接続の条件を設定するグループポリシーが使用されます。グループポリシーを使用すると、ユーザまたはユーザのグループに属性セット全体を適用できるので、ユーザごとに各属性を個別に指定する必要がありません。

ユーザにグループポリシーを割り当てたり、特定のユーザのグループポリシーを変更したりするには、グローバルコンフィギュレーションモードで group-policy コマンドを入力します。

ASA には、デフォルトのグループポリシーが含まれています。変更はできても削除はできないデフォルトのグループポリシーに加え、自分の環境に固有の 1 つ以上のグループポリシーを作成することもできます。

内部グループポリシーと外部グループポリシーを設定できます。内部グループは ASA の内部データベースで設定されます。外部グループは RADIUS などの外部認証サーバに設定されます。グループポリシーには、次の属性があります。

Identity
サーバの定義
クライアントファイアウォールの設定
トンネリングプロトコル
IPsec の設定
ハードウェアクライアントの設定
Filters
クライアントコンフィギュレーションの設定
接続の設定

デフォルトのグループポリシーの変更

ASA では、デフォルトのグループポリシーが提供されます。このデフォルトグループポリシーは変更できますが、削除はできません。デフォルトのグループポリシーは、DfltGrpPolicy という名前で ASA に常に存在していますが、このデフォルトのグループポリシーは、ASA でそれを使用するように設定しない限り有効にはなりません。その他のグループポリシーを設定する場合、明示的に指定しない属性の値はデフォルトのグループポリシーから継承されます。

（注）

DfltGrpPolicy に設定されている（その後に割り当てられた）すべての AnyConnect プロファイルタイプ（Network Access Manager、Umbrella など）を含む AnyConnect プロファイルは、他のグループポリシーが DfltGrpPolicy から継承するように明示的に設定されていない限り、他のグループポリシーによって継承されません。つまり、特定の AnyConnect プロファイルがグループポリシーで設定されている場合、DfltGrpPolicy に関連付けられている AnyConnect プロファイルは継承されません。

デフォルトのグループポリシーを表示するには、次のコマンドを入力します。


hostname(config)# show running-config all group-policy DfltGrpPolicy
hostname(config)#

デフォルトのグループポリシーを設定するには、次のコマンドを入力します。


hostname(config)# group-policy DfltGrpPolicy internal
hostname(config)#

（注）

デフォルトのグループポリシーは、常に内部（internal）です。コマンドの構文は、hostname(config)# group-policy DfltGrpPolicy {internal | external} ですが、タイプを外部（external）に変更することはできません。

デフォルトのグループポリシーの任意の属性を変更する場合は、group-policy attributes コマンドを使用して属性モードに入り、その後、変更対象の属性を変更するためのコマンドを指定します。


hostname(config)# group-policy DfltGrpPolicy attributes

（注）

属性モードは内部グループポリシーにだけ適用されます。

ASA で提供されるデフォルトのグループポリシー DfltGrpPolicy は、次のとおりです。


hostname# show run all group-policy DfltGrpPolicy
group-policy DfltGrpPolicy internal
group-policy DfltGrpPolicy attributes
 banner none
 wins-server none
 dns-server value 10.10.10.1.1
 dhcp-network-scope none
 vpn-access-hours none
 vpn-simultaneous-logins 3
 vpn-idle-timeout 30
 vpn-idle-timeout alert-interval 1
 vpn-session-timeout none
 vpn-session-timeout alert-interval 1
 vpn-filter none
 vpn-tunnel-protocol ikev1 ikev2 l2tp-ipsec ssl-client ssl-clientless
 password-storage disable
 ip-comp disable
 re-xauth disable
 group-lock none
 pfs disable
 ipsec-udp disable
 ipsec-udp-port 10000
 split-tunnel-policy tunnelall
 ipv6-split-tunnel-policy tunnelall
 split-tunnel-network-list none
 default-domain value cisco.com
 split-dns none
 split-tunnel-all-dns disable
 intercept-dhcp 255.255.255.255 disable
 secure-unit-authentication disable
 user-authentication disable
 user-authentication-idle-timeout 30
 ip-phone-bypass disable
 client-bypass-protocol disable
 gateway-fqdn none
 leap-bypass disable
 nem disable
 backup-servers keep-client-config
 msie-proxy server none
 msie-proxy method no-modify
 msie-proxy except-list none
 msie-proxy local-bypass disable
 msie-proxy pac-url none
 msie-proxy lockdown enable
 vlan none
 nac-settings none
 address-pools none
 ipv6-address-pools none
 smartcard-removal-disconnect enable
 scep-forwarding-url none
 client-firewall none
 client-access-rule none
 webvpn
  url-list none
  filter none
  homepage none
  html-content-filter none
  port-forward name Application Access
  port-forward disable
  http-proxy disable
  
  anyconnect ssl dtls enable
  anyconnect mtu 1406
  anyconnect firewall-rule client-interface private none
  anyconnect firewall-rule client-interface public none
  anyconnect keep-installer installed
  anyconnect ssl keepalive 20
  anyconnect ssl rekey time none
  anyconnect ssl rekey method none
  anyconnect dpd-interval client 30
  anyconnect dpd-interval gateway 30
  anyconnect ssl compression none
  anyconnect dtls compression lzs
  anyconnect modules none
  anyconnect profiles none
  anyconnect ask none
  customization none
  keep-alive-ignore 4
  http-comp gzip
  download-max-size 2147483647
  upload-max-size 2147483647
  post-max-size 2147483647
  user-storage none
  storage-objects value cookies,credentials
  storage-key none
  hidden-shares none
  smart-tunnel disable
  activex-relay enable
  unix-auth-uid 65534
  unix-auth-gid 65534
  file-entry enable
  file-browsing enable
  url-entry enable
  deny-message value Login was successful, but because certain criteria have not been met or due to some specific group policy, you do not have permission to use any of the VPN features. Contact your IT administrator for more information
  smart-tunnel auto-signon disable
  anyconnect ssl df-bit-ignore disable
  anyconnect routing-filtering-ignore disable
  smart-tunnel tunnel-policy tunnelall
  always-on-vpn profile-setting

デフォルトグループポリシーは変更可能です。また、環境に固有の 1 つ以上のグループポリシーを作成することもできます。

グループポリシーの設定

グループポリシーは、すべての種類のトンネルに適用できます。どちらの場合も、パラメータが明示的に指定されていなければ、そのグループはデフォルトグループポリシーの値を使用します。

設定タスクは、シングルコンテキストモードまたはマルチコンテキストモードの両方で実行できます。

（注）

マルチコンテキストモードは IKEv1 および IKEv2 サイトツーサイトにのみ適用され、IKEv1 IPSec の AnyConnect、クライアントレス SSL VPN、Apple ネイティブ VPN クライアント、Microsoft ネイティブ VPN クライアント、または cTCP には適用されません。

外部グループポリシーの設定

外部グループポリシーの属性値には、指定する外部サーバの値が取得されます。外部グループポリシーの場合は、ASA が属性のクエリーを実行できる AAA サーバグループを特定し、その外部 AAA サーバグループから属性を取得するときに使用するパスワードを指定する必要があります。外部認証サーバを使用していて、外部グループポリシー属性が、認証する予定のユーザと同じ RADIUS サーバにある場合、それらの間で名前が重複しないようにする必要があります。

（注）

ASA での外部グループ名は、RADIUS サーバのユーザ名を参照しています。つまり、ASA に外部グループ X を設定した場合、RADIUS サーバはクエリーをユーザ X に対する認証要求と見なします。したがって、外部グループは、ASA にとって特別な意味を持つ RADIUS サーバ上のユーザアカウントにすぎません。外部グループ属性が認証する予定のユーザと同じ RADIUS サーバに存在する場合、それらの間で名前を重複させることはできません。

ASA は、外部 LDAP または RADIUS サーバでのユーザ認証をサポートしています。外部サーバを使用するように ASA を設定する前に、適切な ASA 認可属性を指定してサーバを設定し、それらの属性のサブセットから個々のユーザに対する特定の許可を割り当てる必要があります。外部サーバを設定するには、VPN の外部 AAA サーバの設定の説明に従ってください。

手順

外部グループポリシーを設定するには、次の手順を実行して、server-group 名とパスワードとともにグループポリシーの名前とタイプを指定します。


hostname(config)# group-policy group_policy_name type server-group server_group_name password server_password
hostname(config)#

（注）

外部グループポリシーの場合、サポートされる AAA サーバタイプは RADIUS だけです。

たとえば、次のコマンドは、ExtGroup という名前の外部グループポリシーが作成します。このグループポリシーの属性は、ExtRAD という名前の外部 RADIUS サーバから取得され、属性を取得するときに使用されるパスワードが newpassword に指定されます。


hostname(config)# group-policy ExtGroup external server-group ExtRAD password newpassword
hostname(config)#

（注）

VPN の外部 AAA サーバの設定に説明されているように、いくつかのベンダー固有属性（VSA）を設定できます。RADIUS サーバが Class 属性（#25）を返すように設定されている場合、ASA は、グループ名の認証にその属性を使用します。RADIUS サーバでは、属性は次の形式で指定する必要があります。OU=groupname。ここで、groupname は、ASA で設定されたグループ名と同一です。例、OU=Finance。

内部グループポリシーの作成

内部グループポリシーを設定するには、コンフィギュレーションモードを開始します。group-policy コマンドを使用して、グループポリシーの名前と internal タイプを指定します。


hostname(config)# group-policy group_policy_name internal
hostname(config)#

たとえば、次のコマンドは GroupPolicy1 という名前の内部グループポリシーを作成します。


hostname(config)# group-policy GroupPolicy1 internal
hostname(config)#

（注）

いったん作成したグループポリシーの名前は変更できません。

キーワード from を追加して既存のポリシーの名前を指定することにより、既存のグループポリシーの値をコピーして、内部グループポリシーの属性を設定できます。


hostname(config)# group-policy group_policy_name internal from group_policy_name
hostname(config-group-policy)#

たとえば、次のコマンドは GroupPolicy1 の属性をコピーして、GroupPolicy2 という名前の内部グループポリシーを作成します。


hostname(config)# group-policy GroupPolicy2 internal from GroupPolicy1
hostname(config-group-policy)#

一般的な内部グループポリシー属性の設定

グループポリシー名

グループポリシーの名前は内部グループポリシーの作成時に選択されています。いったん作成されたグループポリシーの名前は変更できません。詳細については、内部グループポリシーの作成を参照してください。

グループポリシーのバナーメッセージの設定

表示するバナーまたは初期メッセージ（ある場合）を指定します。デフォルトでは、バナーは表示されません。指定したメッセージは、リモートクライアントが接続したときに、そのクライアントに表示されます。バナーを指定するには、グループポリシーコンフィギュレーションモードで banner コマンドを入力します。バナーテキストの長さは 500 文字までです。復帰改行を挿入する場合は、「\n」シーケンスを入力します。

VPN リモートクライアントでのログイン後に表示される全体的なバナーの長さは、ASA バージョン 9.5.1 で 510 ～ 4000 文字に増加しました。

（注）

バナー内の復帰改行は、2 文字として数えられます。

バナーを削除するには、このコマンドの no 形式を入力します。このコマンドの no 形式を使用すると、グループポリシーのすべてのバナーが削除されることに注意してください。

グループポリシーは、別のグループポリシーからこの値を継承できます。値を継承しないようにするには、次のように、バナー文字列の値を指定する代わりに none キーワードを入力します。


hostname(config-group-policy)# banner {value banner_string | none}

次の例は、FirstGroup という名前のグループポリシーにバナーを作成する方法を示しています。


hostname(config)# group-policy FirstGroup attributes
hostname(config-group-policy)# banner value Welcome to Cisco Systems ASA 9.0.

リモートアクセス接続のアドレスプールの指定

リモートアクセスクライアントが ASA に接続する場合、ASA は、接続に指定されたグループポリシーに基づいて IPv4 または IPv6 アドレスをクライアントに割り当てることができます。

ローカルアドレスの割り当てに使用する最大 6 個のローカルアドレスプールのリストを指定できます。プールの指定順序は重要です。ASA では、このコマンドでプールを指定した順序に従って、それらのプールからアドレスが割り当てられます。

内部グループポリシーへの IPv4 アドレスプールの割り当て

始める前に

IPv4 アドレスプールを作成します。

手順

ステップ 1	グループポリシーコンフィギュレーションモードを開始します。 group-policy `value` attributes 例: `hostname> en hostname# config t hostname(config)# group-policy FirstGroup attributes hostname(config-group-policy)#`
ステップ 2	ipv4-pool1、ipv4-pool2、および ipv4-pool3 という名前のアドレスプールを FirstGroup グループポリシーに割り当てます。グループポリシーには、最大 6 個のアドレスプールを指定できます。 address-pools value pool-name1 pool-name2 pool-name6 例: `asa4(config-group-policy)# address-pools value ipv4-pool1 ipv4-pool2 ipv4-pool3 asa4(config-group-policy)#`
ステップ 3	（任意）グループポリシー設定からアドレスプールを削除し、アドレスプール設定を戻して DefltGroupPolicy などの他のソースからのアドレスプール情報を継承するには、no address-pools value pool-name コマンドを使用します。 no address-pools value `pool-name1 pool-name2 pool-name6` 例: `hostname(config-group-policy)# no address-pools value ipv4-pool1 ipv4-pool2 ipv4-pool3 hostname(config-group-policy)#`
ステップ 4	（任意） address-pools none コマンドは、ポリシーの別のソース（DefltGrpPolicy など）からこの属性を継承することをディセーブルにします。 `hostname(config-group-policy)# address-pools none hostname(config-group-policy)#`
ステップ 5	（任意） no address pools none コマンドは、 address-pools none コマンドをグループポリシーから削除して、デフォルト値（継承の許可）に戻します。 `hostname(config-group-policy)# no address-pools none hostname(config-group-policy)#`

内部グループポリシーへの IPv6 アドレスプールの割り当て

始める前に

IPv6 アドレスプールを作成します。VPN の IP アドレスを参照してください。

手順

ステップ 1	グループポリシーコンフィギュレーションモードを開始します。 group-policy `value` attributes 例: `hostname> en hostname# config t hostname(config)# group-policy FirstGroup attributes hostname(config-group-policy)#`
ステップ 2	ipv6-pool という名前のアドレスプールを FirstGroup グループポリシーに割り当てます。グループポリシーには、最大 6 個の IPv6 アドレスプールを割り当てることができます。例: この例では、ipv6-pool1、ipv6-pool2、および ipv6-pool3 が FirstGroup グループポリシーに割り当てられています。 `hostname(config-group-policy)# ipv6-address-pools value ipv6-pool1 ipv6-pool2 ipv6-pool3 hostname(config-group-policy)#`
ステップ 3	（任意）グループポリシー設定からアドレスプールを削除し、アドレスプール設定を戻して DfltGroupPolicy などの他のソースからのアドレスプール情報を継承するには、no ipv6-address-pools value pool-name コマンドを使用します。 no ipv6-address-pools value pool-name1 pool-name2 pool-name6 例: `hostname(config-group-policy)# no ipv6-address-pools value ipv6-pool1 ipv6-pool2 ipv6-pool3 hostname(config-group-policy)#`
ステップ 4	（任意）この属性が DfltGrpPolicy など他のポリシーのソースから継承されないようにするには、`ipv6-address-pools none` コマンドを使用します。 `hostname(config-group-policy)# ipv6-address-pools none hostname(config-group-policy)#`
ステップ 5	（任意） no ipv6-address pools none コマンドを使用して、 ipv6-address-pools none コマンドをグループポリシーから削除して、デフォルト値（継承の許可）に戻します。 `hostname(config-group-policy)# no ipv6-address-pools none hostname(config-group-policy)#`

グループポリシーのトンネリングプロトコルの指定

グループポリシーコンフィギュレーションモードで vpn-tunnel-protocol { ikev1 | ikev2 | l2tp-ipsec | ssl-client | ssl-clientless} コマンドを入力して、このグループポリシーの VPN トンネルタイプを指定します。

デフォルト値は、デフォルトグループポリシーの属性を継承することです。この属性を実行コンフィギュレーションから削除するには、このコマンドの no 形式を入力します。

このコマンドのパラメータの値には次のものがあります。

ikev1：2 つのピア（Cisco VPN Client または別のセキュアゲートウェイ）間の IPsec IKEv1 トンネルをネゴシエートします。認証、暗号化、カプセル化、およびキー管理を制御するセキュリティアソシエーションを作成します。
ikev2：2 つのピア（AnyConnect Secure Mobility Client または別のセキュアゲートウェイ）間の IPsec IKEv2 トンネルをネゴシエートします。認証、暗号化、カプセル化、およびキー管理を制御するセキュリティアソシエーションを作成します。
l2tp-ipsec ：L2TP 接続の IPsec トンネルをネゴシエートします。
ssl-client：AnyConnect Secure Mobility Client で TLS または DTLS を使用して、SSL トンネルをネゴシエートします。
ssl-clientless ：HTTPS 対応の Web ブラウザ経由でリモートユーザに VPN サービスを提供します。クライアントは必要ありません。

このコマンドを入力して、1 つ以上のトンネリングモードを設定します。VPN トンネルを介して接続するユーザには、少なくとも 1 つのトンネリングモードを設定する必要があります。

次の例は、FirstGroup という名前のグループポリシーに IPsec IKEv1 トンネリングモードを設定する方法を示しています。


hostname(config)# group-policy FirstGroup attributes
hostname(config-group-policy)# vpn-tunnel-protocol ikev1
hostname(config-group-policy)#

リモートアクセスの VLAN の指定またはグループポリシーへの統合アクセスコントロールルールの適用

フィルタは複数のルールから構成されています。これらのルールは、ASA を介して着信したトンネリングデータパケットを許可するか拒否するかを、送信元アドレス、宛先アドレス、プロトコルなどに基づいて決定します。グループポリシーの IPv4 または IPv6 統合アクセスコントロールリストを指定するか、またはデフォルトグループポリシーで指定された ACL を継承するようにできます。

次のオプションのいずれかを選択して、リモートアクセス用の出力 VLAN（「VLAN マッピング」とも呼ばれる）、またはトラフィックをフィルタリングする ACL を指定します。

（注）

IPv6 を使用して VLAN マッピングを実行する場合、復号化されたトラフィックが内部ネットワークにルーティングされるようにするために、外部（宛先）アドレスは VLAN ごとに固有にする必要があります。異なる VLAN およびルートメトリックに対して同じ宛先ネットワークを使用することはできません。

グループポリシーコンフィギュレーションモードで次のコマンドを入力して、このグループポリシーまたはこのグループポリシーを継承するグループポリシーに割り当てられているリモートアクセス VPN セッション用の出力 VLAN を指定します。

[no] vlan {vlan_id |none}

no vlan は、グループポリシーから vlan_id を削除します。グループポリシーは、デフォルトのグループポリシーから vlan 値を継承します。

none は、グループポリシーから vlan_id を削除し、このグループポリシーに対する VLAN マッピングをディセーブルにします。グループポリシーは、デフォルトのグループポリシーから vlan 値を継承しません。

vlan_id は、このグループポリシーを使用するリモートアクセス VPN セッションに割り当てる VLAN の番号（10 進表記）です。VLAN は、一般的操作用コンフィギュレーションガイドの「Configuring VLAN Subinterfaces and 802.1Q Trunking」の手順に従って、この ASA で設定する必要があります。

（注）

出力 VLAN は、HTTP 接続では機能しますが、FTP と CIFS では機能しません。

グループポリシーモードで vpn -filter コマンドを使用して、VPN セッションに適用するアクセスコントロールルール（ACL）の名前を指定します。vpn-filter コマンドを使用して、IPv4 または IPv6 ACL を指定できます。

（注）

以前のリリースでは、vpn-filter で指定された IPv6 エントリが存在しない場合に IPv6 ACL を指定するには、非推奨の ipv6-vpn-filter コマンドを使用できました。ASA 9.1(4) 以降、ipv6-vpn-filter は無効になっているため、IPv6 ACL エントリは、vpn-filter コマンドを使用して指定する必要があります。ipv6-vpn-filter が設定されている場合は、VPN 接続は終了します。

（注）

この属性はユーザ名モードで設定することもできます。その場合、ユーザ名の下で設定された値がグループポリシーの値よりも優先されます。


hostname(config-group-policy)# vpn-filter {value ACL name | none}
hostname(config-group-policy)#

ACL を設定して、このグループポリシーについて、さまざまなタイプのトラフィックを許可または拒否します。次に、vpn-filter コマンドを入力して、これらの ACL を適用します。

vpn -filter none コマンドを入力して作成したヌル値を含めて、ACL を削除するには、このコマンドの no 形式を入力します。no オプションを使用すると、値を別のグループポリシーから継承できるようになります。

グループポリシーは、別のグループポリシーからこの値を継承できます。値を継承しないようにするには、ACL 名を指定する代わりに、none キーワードを入力します。none キーワードは、ACL がないことを示します。このキーワードにより、ヌル値が設定され、ACL が拒否されます。

次に、FirstGroup という名前のグループポリシーの、acl_vpn という ACL を呼び出すフィルタを設定する例を示します。


hostname(config)# group-policy FirstGroup attributes
hostname(config-group-policy)# vpn-filter acl_vpn
hostname(config-group-policy)#

vpn-filter コマンドは、トンネルから出た後の復号化後のトラフィックと、トンネルに入る前の暗号化前のトラフィックに適用されます。vpn-filter に使用される ACL を interface access-group にも使用することはできません。vpn-filter コマンドを、リモートアクセス VPN クライアント接続を制御するグループポリシーに適用する場合は、ACL の src_ip の位置のクライアント割り当て IP アドレスおよび ACL の dest_ip の位置のローカルネットワークに対して ACL を設定する必要があります。

vpn-filter コマンドを、LAN-to-LAN VPN 接続を制御するグループポリシーに適用する場合は、ACL の src_ip の位置のリモートネットワークおよび ACL の dest_ip の位置のローカルネットワークに対して ACL を設定する必要があります。

vpn-filter 機能で使用するために ACL を設定する場合は、注意する必要があります。ACL は、復号化後のトラフィックに対して構築されていることに留意してください。ただし、ACL は反対方向のトラフィックに対しても適用されます。トンネル宛ての、暗号化前のこのトラフィックについては、ACL は src_ip の位置と dest_ip の位置を入れ替えたものに対して構築されています。

次の例では、vpn-filter をリモートアクセス VPN クライアントと共に使用します。この例では、クライアント割り当て IP アドレスを 10.10.10.1/24、ローカルネットワークを 192.168.1.0/24 としています。

次の ACE によって、リモートアクセス VPN クライアントがローカルネットワークに Telnet を使用することが許可されます。


hostname(config-group-policy)# access-list vpnfilt-ra permit 10.10.10.1 255.255.255.255 192.168.1.0 255.255.255.0 eq 23

次の ACE によって、ローカルネットワークがリモートアクセスクライアントに Telnet を使用することが許可されます。


hostname(config-group-policy)# access-list vpnfilt-ra permit 10.10.10.1 255.255.255.255 eq 23 192.168.1.0 255.255.255.0

（注）

ACE の access-list vpnfilt-ra permit 10.10.10.1 255.255.255.255 192.168.1.0 255.255.255.0 eq 23 によって、ローカルネットワークは、送信元ポート 23 を使用している場合に任意の TCP ポートでのリモートアクセスクライアントへの接続開始が許可されます。ACE の access-list vpnfilt-ra permit 10.10.10.1 255.255.255.255 eq 23 192.168.1.0 255.255.255.0 によって、リモートアクセスクライアントは、送信元ポート 23 を使用している場合に任意の TCP ポートでのローカルネットワークへの接続開始が許可されます。

次の例では、vpn-filter を LAN-to-LAN VPN 接続と共に使用します。この例では、リモートネットワークを 10.0.0.0/24、ローカルネットワークを 192.168.1.0/24 としています。次の ACE によって、リモートネットワークがローカルネットワークに Telnet を使用することが許可されます。


hostname(config-group-policy)# access-list vpnfilt-l2l permit 10.0.0.0 255.255.255.0 192.168.1.0 255.255.255.0 eq 23

次の ACE によって、ローカルネットワークがリモートネットワークに Telnet を使用することが許可されます。


hostname(config-group-policy)# access-list vpnfilt-l2l permit 10.0.0.0 255.255.255.0 eq 23 192.168.1.0 255.255.255.0

（注）

ACE の access-list vpnfilt-l2l permit 10.0.0.0 255.255.255.0 192.168.1.0 255.255.255.0 eq 23 によって、ローカルネットワークは、送信元ポート 23 を使用している場合に任意の TCP ポートでのリモートネットワークへの接続開始が許可されます。ACE の access-list vpnfilt-l2l permit 10.0.0.0 255.255.255.0 eq 23 192.168.1.0 255.255.255.0 によって、リモートネットワークは、送信元ポート 23 を使用している場合に任意の TCP ポートでのローカルネットワークへの接続開始が許可されます。

グループポリシーの VPN アクセス時間の指定

始める前に

時間の範囲を作成します。一般的操作用コンフィギュレーションガイドの「Configuring Time Ranges」を参照してください。

手順

ステップ 1

グループポリシーコンフィギュレーションモードを開始します。

group-policy value attributes

例:


hostname> en
hostname# config t
hostname(config)# group-policy FirstGroup attributes
hostname(config-group-policy)#

ステップ 2

グループポリシーコンフィギュレーションモードで vpn-access-hours コマンドを使用して、グループポリシーと設定済みの time-range ポリシーを関連付けることによって、VPN アクセス時間を設定できます。このコマンドは、business-hours という名前の VPN アクセス時間範囲を FirstGroup という名前のグループポリシーに割り当てます。

グループポリシーは、デフォルトまたは指定されたグループポリシーの time-range の値を継承することができます。この継承が発生しないようにするには、このコマンドで time-range の名前ではなく none キーワードを入力します。このキーワードにより、VPN アクセス時間がヌル値に設定され、time-range ポリシーは許可されなくなります。

vpn-access-hours value{time-range-name | none }

例:


hostname(config-group-policy)# vpn-access-hours value business-hours
hostname(config-group-policy)#

グループポリシーの同時 VPN ログインの指定

グループポリシーコンフィギュレーションモードで vpn-simultaneous-logins integer コマンドを使用して、任意のユーザに許可される同時ログイン数を指定します。

デフォルト値は 3 です。値の範囲は 0 ～ 2147483647 の整数です。グループポリシーは、別のグループポリシーからこの値を継承できます。ログインをディセーブルにしてユーザのアクセスを禁止するには、0 を入力します。次に、FirstGroup という名前のグループポリシーに対して最大 4 つの同時ログインを許可する例を示します。


hostname(config)# group-policy FirstGroup attributes
hostname(config-group-policy)# vpn-simultaneous-logins 4
hostname(config-group-policy)#

（注）

同時ログイン数の最大制限は非常に大きい値ですが、複数の同時ログインを許可すると、セキュリティが侵害されたり、パフォーマンスが低下したりすることがあります。

失効した AnyConnect、IPsec クライアント、またはクライアントレスセッション（異常終了したセッション）は、同じユーザ名で「新しい」セッションが確立されても、セッションデータベースに残る場合があります。

vpn-simultaneous-logins の値が 1 の場合は、異常終了後に同じユーザが再度ログインすると、失効したセッションはデータベースから削除され、新しいセッションが確立されます。ただし、既存のセッションがまだアクティブな接続である場合は、同じユーザが別の PC などから再度ログインすると、最初のセッションがログオフし、データベースから削除されて、新しいセッションが確立されます。

同時ログイン数が 1 より大きい値の場合、その最大数に達した状態で再度ログインしようとすると、最もアイドル時間の長いセッションがログオフします。現在のすべてのセッションが同じくらい長い間アイドル状態の場合は、最も古いセッションがログオフします。このアクションにより、セッションが解放されて新しいログインが可能になります。

特定の接続プロファイルへのアクセスの制限

グループポリシーコンフィギュレーションモードで group-lock コマンドを使用して、接続プロファイルを介してのみアクセスするようにリモートユーザを制限するかどうかを指定します。


hostname(config-group-policy)# group-lock {value tunnel-grp-name | none}
hostname(config-group-policy)# no group-lock
hostname(config-group-policy)#

tunnel-grp-name 変数は、ASA がユーザの接続に関して要求する既存の接続プロファイルの名前を指定します。group-lock は、VPN クライアントで設定されたグループが、そのユーザが割り当てられている接続プロファイルと同じかどうかをチェックすることによって、ユーザを制限します。一致していない場合、ASA はユーザが接続できないようにします。グループロックを設定しない場合、ASA は、割り当てられたグループとは関係なく、ユーザを認証します。グループのロックは、デフォルトではディセーブルになっています。

group-lock 属性を実行コンフィギュレーションから削除するには、このコマンドの no 形式を入力します。このオプションを使用すると、別のグループポリシーの値を継承できます。

group-lock をディセーブルにするには、none キーワードを指定して group-lock コマンドを入力します。none キーワードにより、group-lock はヌル値に設定され、group-lock の制限が拒否されます。また、デフォルトまたは指定されたグループポリシーから group-lock の値が継承されなくなります。

グループポリシーの VPN の最大接続時間の指定

手順

ステップ 1

（任意）グループポリシーコンフィギュレーションモードまたはユーザ名コンフィギュレーションモードで vpn-session-timeout {minutes コマンドを使用して、VPN 接続の最大時間を設定します。

最小時間は 1 分で、最大時間は 35791394 分です。デフォルト値はありません。この期間が終了すると、ASA は接続を終了します。

次に、FirstGroup という名前のグループポリシーに対して 180 分の VPN セッションタイムアウトを設定する例を示します。

hostname(config)# group-policy FirstGroup attributes 
hostname(config-group-policy)# vpn-session-timeout 180 
hostname(config-group-policy)#

次の例は、anyuser という名前のユーザに 180 分の VPN セッションタイムアウトを設定する方法を示しています。

hostname(config)# username anyuser attributes
hostname(config-username)# vpn-session-timeout 180 
hostname(config-username)#

[no] vpn-session-timeout {minutes | none} コマンドを使用したその他のアクションは次のとおりです。

このポリシーから属性を削除し、継承を許可するには、このコマンドの no vpn-session-timeout 形式を入力します。
無制限のタイムアウト期間を許可し、タイムアウト値を継承しないようにするには、vpn-session-timeout none を入力します。

ステップ 2

vpn-session-timeout alert-interval{minutes | } コマンドを使用して、セッションタイムアウトのアラートメッセージがユーザに表示される時間を設定します。

このアラートメッセージは、VPN セッションが自動的に切断されるまでに何分あるかをユーザに伝えます。次に、VPN セッションが切断される 20 分前にユーザに通知されるよう指定する例を示します。1 ～ 30 分の範囲を指定できます。

hostname(config-webvpn)# vpn-session-timeout alert-interval 20

[no] vpn-session-timeout alert-interval {minutes | none} コマンドを使用したその他のアクションは次のとおりです。

VPN セッションタイムアウトアラート間隔属性がデフォルトグループポリシーから継承されることを示すには、このコマンドの no 形式を使用します。
```
hostname(config-webvpn)# no vpn-session-timeout alert-interval
```
vpn-session-timeout alert-interval none は、ユーザが通知を受信しないことを示します。

グループポリシーの VPN セッションアイドルタイムアウトの指定

手順

ステップ 1

（任意） VPN アイドルタイムアウト期間を設定するには、グループポリシーコンフィギュレーションモードまたはユーザ名コンフィギュレーションモードで vpn-idle-timeout minutes コマンドを使用します。

この期間中に接続上で通信アクティビティがない場合、ASA は接続を終了します。最小時間は 1 分、最大時間は 35791394 分であり、デフォルトは 30 分です。

次の例は、FirstGroup という名前のグループポリシーに 15 分の VPN アイドルタイムアウトを設定する方法を示しています。

hostname(config)# group-policy FirstGroup attributes
hostname(config-group-policy)# vpn-idle-timeout 15
hostname(config-group-policy)#

[no] vpn-idle-timeout {minutes | none} コマンドを使用したその他のアクションは次のとおりです。

VPN アイドルタイムアウトを無効にし、タイムアウト値を継承しないようにするには、vpn-idle-timeout none を入力します。
```
hostname(config)# group-policy FirstGroup attributes
hostname(config-group-policy)# vpn-idle-timeout none
hostname(config-group-policy)#
```
これにより、AnyConnect（SSL と IPsec/IKEv2 の両方）およびクライアントレス VPN がグローバル webvpn default-idle-timeout seconds 値を使用するようになります。このコマンドは、webvpn コンフィギュレーションモードで入力します。たとえば、hostnamee(config-webvpn)# default-idle-timeout 300 のように入力します。デフォルトは 1800 秒（30 分）で、範囲は 60 ～ 86400 秒です。

すべての webvon 接続において、default-idle-timeout 値が適用されるのは、グループポリシー/ユーザ名属性に vpn-idle-timeout none が設定されている場合のみです。すべての AnyConnect 接続では、ASA によってゼロ以外のアイドルタイムアウト値が要求されます。

サイト間（IKEv1、IKEv2）および IKEv1 リモートアクセス VPN の場合は、タイムアウトをディセーブルにし、無制限のアイドル期間を許可することを推奨します。
このグループポリシーまたはユーザポリシーのアイドルタイムアウトを無効にするには、no vpn-idle-timeout を入力します。値は継承されます。
vpn-idle-timeout をまったく設定しない場合、値は継承されます。デフォルトは 30 分です。

ステップ 2

（任意）オプションで、vpn-idle-timeout alert-interval {minutes} コマンドを使用して、アイドルタイムアウトのアラートメッセージがユーザに表示される時間を設定できます。

このアラートメッセージは、VPN セッションが非アクティブ状態のため切断されるまでに何分あるかをユーザに伝えます。デフォルトのアラート間隔は 1 分です。

次の例は、anyuser という名前のユーザに 3 分の VPN アイドルタイムアウトのアラート間隔を設定する方法を示しています。

hostname(config)# username anyuser attributes
hostname(config-username)# vpn-idle-timeout alert-interval 3
hostname(config-username)#

[no] vpn-idle-timeout alert-interval {minutes | none} コマンドを使用したその他のアクションは次のとおりです。

none パラメータは、ユーザが通知を受信しないことを示します。

hostname(config)# username anyuser attributes
hostname(config-username)# vpn-idle-timeout none
hostname(config-username)#

このグループまたはユーザポリシーのアラート間隔を削除するには、no vpn-idle-timeout alert-interval を入力します。値は継承されます。
このパラメータをまったく設定しない場合、デフォルトのアラート間隔は 1 分です。

グループポリシーの WINS サーバと DNS サーバの設定

プライマリおよびセカンダリの WINS サーバと DNS サーバを指定できます。それぞれのデフォルト値は none です。これらのサーバを指定するには、次の手順を実行します。

手順

ステップ 1	プライマリとセカンダリの WINS サーバを指定します。 `hostname(config-group-policy)# wins-server value {ip_address [ip_address] \| none} hostname(config-group-policy)#` 最初に指定する IP アドレスがプライマリ WINS サーバの IP アドレスです。2 番目（任意）の IP アドレスはセカンダリ WINS サーバの IP アドレスです。IP アドレスではなく none キーワードを指定すると、WINS サーバにヌル値が設定されます。この設定により、WINS サーバは許可されず、デフォルトまたは指定のグループポリシーから値が継承されなくなります。 wins-server コマンドを入力するたびに、既存の設定がオーバーライドされます。たとえば、WINS サーバ x.x.x.x を設定してから WINS サーバ y.y.y.y を設定すると、2 番めのコマンドによって最初の設定が上書きされ、y.y.y.y が唯一の WINS サーバになります。サーバを複数設定する場合も同様です。設定済みのサーバを上書きするのではなく、WINS サーバを追加するには、このコマンドを入力するときに、すべての WINS サーバの IP アドレスを含めます。次の例は、FirstGroup という名前のグループポリシーに、IP アドレスが 10.10.10.15 と 10.10.10.30 である WINS サーバを設定する方法を示しています。 `hostname(config)# group-policy FirstGroup attributes hostname(config-group-policy)# wins-server value 10.10.10.15 10.10.10.30 hostname(config-group-policy)#`
ステップ 2	プライマリとセカンダリの DNS サーバを指定します。 `hostname(config-group-policy)# dns-server value {ip_address [ip_address] \| none} hostname(config-group-policy)#` 最初に指定する IP アドレスがプライマリ DNS サーバの IP アドレスです。2 番目（任意）の IP アドレスはセカンダリ DNS サーバの IP アドレスです。IP アドレスではなく none キーワードを指定すると、DNS サーバにヌル値が設定されます。この設定により、DNS サーバは許可されず、デフォルトまたは指定のグループポリシーから値が継承されなくなります。DNS サーバアドレスは最大 4 つ、IPv4 アドレスと IPv6 アドレスで 2 つずつ指定できます。 dns-server コマンドを入力するたびに、既存の設定がオーバーライドされます。たとえば、DNS サーバ x.x.x.x を設定し、次に DNS サーバ y.y.y.y を設定した場合、2 番めのコマンドは最初のコマンドを上書きし、y.y.y.y が唯一の DNS サーバになります。サーバを複数設定する場合も同様です。以前に設定された DNS サーバを上書きする代わりにサーバを追加するには、このコマンドを入力するときにすべての DNS サーバの IP アドレスを含めます。次に、FirstGroup という名前のグループポリシーで、IP アドレスが 10.10.10.15、10.10.10.30、2001:DB8::1、および 2001:DB8::2 の DNS サーバを設定する例を示します。 `hostname(config)# group-policy FirstGroup attributes hostname(config-group-policy)# dns-server value 10.10.10.15 10.10.10.30 2001:DB8::1 2001:DB8::2 hostname(config-group-policy)#`
ステップ 3	DefaultDNS DNS サーバグループにデフォルトのドメイン名が指定されていない場合は、デフォルトドメインを指定する必要があります。たとえば、example.com. というドメイン名およびトップレベルドメインを使用します。 `asa4(config)# group-policy FirstGroup attributes asa4(config-group-policy)# default-domain value example.com asa4(config-group-policy)#`
ステップ 4	DHCP ネットワークスコープを次のように設定します。 `hostname(config-group-policy)# dhcp-network-scope {ip_address \| none} hostname(config-group-policy)#` DHCP スコープでは、ASA DHCP サーバがこのグループポリシーのユーザにアドレスを割り当てるために使用する IP アドレスの範囲（つまり、サブネットワーク）を指定します。次の例は、First Group という名前のグループポリシーに IP サブネットワーク 10.10.85.0（アドレス範囲 10.10.85.0 ～ 10.10.85.255 を指定）を設定する方法を示しています。 `hostname(config)# group-policy FirstGroup attributes hostname(config-group-policy)# dhcp-network-scope 10.10.85.0`

スプリットトンネリングポリシーの設定

IPv4 トラフィックのスプリットトンネリングポリシーを指定して、トラフィックのトンネリングルールを設定します。

split-tunnel-policy {tunnelall | tunnelspecified | excludespecified }

no split-tunnel-policy

IPv6 トラフィックのスプリットトンネリングポリシーを指定して、トラフィックのトンネリングルールを設定します。

ipv6-split-tunnel-policy {tunnelall | tunnelspecified | excludespecified}

no ipv6-split-tunnel-policy

ポリシーオプションは次のとおりです。

tunnelspecified：トンネルを通じてネットワークリストに指定されているネットワークに対するすべてのトラフィックをトンネリングします。その他すべてのアドレスに対するデータは、クリアテキストで送信され、リモートユーザのインターネットサービスプロバイダーによってルーティングされます。

ASA 9.1.4 以降のバージョンでは、インクルードリストを指定するときに、インクルード範囲内のサブネットにエクスクルードリストも指定できます。除外されたサブネットのアドレスは、トンネリングされず、インクルードリストの残りの部分がトンネリングされます。エクスクルージョンリストのネットワークはトンネルを介して送信されません。エクスクルージョンリストは拒否エントリを使用して指定され、インクルージョンリストは許可エントリを使用して指定されます。

excludespecified — ネットワークリストに指定されているネットワークとの双方向のトラフィックをトンネリングしません。その他すべてのアドレスに対するトラフィックはトンネリングされます。クライアント上でアクティブになっている VPN クライアントプロファイルは、ローカル LAN アクセスを有効にしておく必要があります。

（注）

インクルードリストのサブネットではないエクスクルージョンリスト内のネットワークは、クライアントで無視されます。

tunnelall — すべてのトラフィックがトンネルを通過するよう指定します。このポリシーは、スプリットトンネリングをディセーブルにします。リモートユーザは企業ネットワークにアクセスできますが、ローカルネットワークへはアクセスできません。これがデフォルトのオプションです。

（注）

スプリットトンネリングはセキュリティ機能ではなく、トラフィック管理機能です。最大限のセキュリティを確保するには、スプリットトンネリングをイネーブルにしないことを推奨します。

例

次に、IPv4 と IPv6 の FirstGroup という名前のグループポリシーに対して、指定したネットワークのみをトンネリングするスプリットトンネリングポリシーを設定する例を示します。


hostname(config)# group-policy FirstGroup attributes
hostname(config-group-policy)# split-tunnel-policy tunnelspecified 

hostname(config)# group-policy FirstGroup attributes
hostname(config-group-policy)# ipv6-split-tunnel-policy tunnelspecified

スプリットトンネリング用のネットワークリストの指定

スプリットトンネリングでは、どのネットワークトラフィックがトンネルを通過するかはネットワークリストによって決まります。AnyConnect は、ACL であるネットワークリストに基づいてスプリットトンネリングの判断を行います。


hostname(config-group-policy)# split-tunnel-network-list {value access-list_name | none }
hostname(config-group-policy)# no split-tunnel-network-list value [access-list_name]

value access-list name：トンネリングを実行するネットワークまたは実行しないネットワークを列挙した ACL を指定します。ACL には、IPv4 と IPv6 の両方のアドレスを指定する ACE が含まれている統合 ACL を指定できます。
none ：スプリットトンネリング用のネットワークリストが存在しないことを示し、ASA はすべてのトラフィックをトンネリングします。none キーワードを指定すると、スプリットトンネリングのネットワークリストにヌル値が設定され、スプリットトンネリングが拒否されます。また、これにより、デフォルトまたは指定されたグループポリシーから、デフォルトのスプリットトンネリングネットワークリストが継承されなくなります。

ネットワークリストを削除するには、このコマンドの no 形式を入力します。すべてのスプリットトンネリングネットワークリストを削除するには、引数を指定せずに no split-tunnel-network-list コマンドを入力します。このコマンドにより、none キーワードを入力して作成したヌルリストがあればそれも含めて、設定済みのすべてのネットワークリストが削除されます。

スプリットトンネリングネットワークリストがない場合、ユーザはデフォルトのグループポリシーまたは指定したグループポリシー内に存在するネットワークリストを継承します。ユーザがこのようなネットワークリストを継承しないようにするには、split-tunnel-network-list none コマンドを入力します。

例

次に、FirstList という名前のネットワークリストを作成し、FirstGroup という名前のグループポリシーに追加する例を示します。FistList はエクスクルージョンリストであり、エクスクルージョンリストのサブネットであるインクルージョンリストです。


hostname(config)# split-tunnel-policy tunnelspecified
hostname(config)# access-list FirstList deny ip 10.10.10.0 255.255.255.0 any
hostname(config)# access-list FirstList permit ip 10.0.0.0 255.0.0.0 any

hostname(config)# group-policy FirstGroup attributes
hostname(config-group-policy)# split-tunnel-network-list value FirstList

次に、v6 という名前のネットワークリストを作成し、GroupPolicy_ipv6-ikev2 という名前のグループポリシーに v6 スプリットトンネルポリシーを追加する例を示します。v6 はエクスクルージョンリストであり、エクスクルージョンリストのサブネットであるインクルージョンリストです。


hostname(config)# access-list v6 extended permit ip fd90:5000::/32 any6
hostname(config)# access-list v6 extended deny ip fd90:5000:3000:2880::/64 any6

hostname(config)# group-policy GroupPolicy_ipv6-ikev2 internal
hostname(config)# group-policy GroupPolicy_ipv6-ikev2 attributes
hostname(config-group-policy)# vpn-tunnel-protocol ikev2 ssl-client
hostname(config-group-policy)# ipv6-split-tunnel-policy tunnelspecified
hostname(config-group-policy)# split-tunnel-network-list value v6

スプリットトンネル設定の確認

show runn group-policy attributes コマンドを実行して、設定を確認します。次の例は、管理者が IPv4 と IPv6 の両方のネットワークポリシーを設定し、両方のポリシーに対してネットワークリスト（統合 ACL）FirstList を使用したことを示しています。


hostname(config-group-policy)# show runn group-policy FirstGroup attributes
group-policy FirstGroup attributes
 split-tunnel-policy tunnelspecified
 ipv6-split-tunnel-policy tunnelspecified
 split-tunnel-network-list value FirstList

スプリットトンネリング用のドメイン属性の設定

デフォルトドメイン名、またはスプリットトンネルを介して解決する、スプリット DNS と呼ばれるドメインのリストを指定できます。

AnyConnect 3.1 は、Windows および Mac OS X のプラットフォームのトゥルースプリット DNS 機能をサポートします。セキュリティアプライアンスのグループポリシーにより Split-Include トンネリングがイネーブルになっており、トンネリング対象の DNS 名が指定されている場合、AnyConnect は、この名前に一致するすべての DNS クエリーをプライベート DNS サーバにトンネリングします。トゥルースプリット DNS を使用すると、ASA によってクライアントにプッシュダウンされたドメインに一致する DNS 要求へのトンネルアクセスのみが許可されます。これらの要求は、クリアテキストでは送信されません。一方、DNS 要求が ASA によってプッシュダウンされたドメインに一致しない場合は、AnyConnect は、クライアントのオペレーティングシステムにある DNS リゾルバから、DNS 解決に使用されるホスト名を暗号化せずに送信させます。

（注）

スプリット DNS は、標準クエリーおよび更新クエリー（A、AAAA、NS、TXT、MX、SOA、ANY、SRV、PTR、CNAME など）をサポートしています。トンネリングされたネットワークのいずれかに一致する PTR クエリーは、トンネル経由で許可されます。

Mac OS X の場合、AnyConnect は、次のいずれかの条件を満たす場合のみ、ある IP プロトコルのトゥルースプリット DNS を使用できます。

グループポリシーで、スプリット DNS が 1 つの IP プロトコル（IPv4 など）に設定されており、クライアントバイパスプロトコルがもう片方の IP プロトコル（IPv6 など）に設定されている（後者の IP プロトコルにはアドレスプールは設定されていない）。
スプリット DNS が両方の IP プロトコルに設定されている。

デフォルトのドメイン名の定義

ASA は AnyConnect クライアントにデフォルトのドメイン名を渡します。クライアントは、ドメインフィールドを省略した DNS クエリーにドメイン名を追加します。このドメイン名は、トンネルパケットにだけ適用されます。デフォルトのドメイン名がない場合、ユーザはデフォルトグループポリシーのデフォルトドメイン名を継承します。

グループポリシーのユーザのデフォルトドメイン名を指定するには、グループポリシーコンフィギュレーションモードで default-domain コマンドを入力します。ドメイン名を削除するには、このコマンドの no 形式を入力します。


hostname(config-group-policy)# default-domain {value domain-name | none}
hostname(config-group-policy)# no default-domain [domain-name]

value domain-name パラメータは、グループのデフォルトドメイン名を識別します。デフォルトドメイン名が存在しないことを指定するには、none キーワードを入力します。このコマンドにより、デフォルトドメイン名にヌル値が設定され、デフォルトドメイン名が拒否されます。また、デフォルトまたは指定されたグループポリシーからデフォルトドメイン名が継承されなくなります。

すべてのデフォルトドメイン名を削除するには、引数を指定せずに no default-domain コマンドを入力します。このコマンドにより、none キーワードを指定し、default-domain コマンドを入力して作成したヌルリストがあればそれも含めて、設定済みのすべてのデフォルトドメイン名が削除されます。no 形式を使用すると、ドメイン名の継承が許可されます。

次に、FirstGroup という名前のグループポリシーに対して、FirstDomain のデフォルトドメイン名を設定する例を示します。


hostname(config)# group-policy FirstGroup attributes 
hostname(config-group-policy)# default-domain value FirstDomain

スプリットトンネリング用のドメインリストの定義

デフォルトのドメイン名のほかに、スプリットトンネルを介して解決されるドメインのリストを入力します。グループポリシーコンフィギュレーションモードで split-dns コマンドを入力します。リストを削除するには、このコマンドの no 形式を入力します。

スプリットトンネリングドメインのリストがない場合、ユーザはデフォルトのグループポリシー内に存在するリストを継承します。ユーザがこのようなスプリットトンネリングドメインリストを継承しないようにするには、none キーワードを指定して split-dns コマンドを入力します。

すべてのスプリットトンネリングドメインリストを削除するには、引数を指定せずに no split-dns コマンドを入力します。これにより、none キーワードを指定して split-dns コマンドを発行して作成したヌルリストを含めて、設定済みのすべてのスプリットトンネリングドメインリストが削除されます。

パラメータ value domain-name では、ASA がスプリットトンネルを介して解決するドメイン名を指定します。none キーワードは、スプリット DNS リストが存在しないことを示します。また、このキーワードにより、スプリット DNS リストにヌル値が設定されます。そのため、スプリット DNS リストは拒否され、デフォルトまたは指定されたグループポリシーのスプリット DNS リストが継承されなくなります。このコマンドの構文は次のとおりです。


hostname(config-group-policy)# split-dns {value domain-name1 [domain-name2... domain-nameN] | none}
hostname(config-group-policy)# no split-dns [domain-name domain-name2 domain-nameN]

ドメインのリスト内で各エントリを区切るには、スペースを 1 つ入力します。エントリ数に制限はありませんが、ストリング全体の長さは 255 文字以下にします。英数字、ハイフン（-）、およびピリオド（.）のみを使用できます。デフォルトドメイン名がトンネルを介して解決される場合は、そのドメイン名をこのリストに明示的に含める必要があります。

次の例は、FirstGroup という名前のグループポリシーで、Domain1、Domain2、Domain3、Domain4 の各ドメインがスプリットトンネリングを介して解決されるように設定する方法を示しています。


hostname(config)# group-policy FirstGroup attributes
hostname(config-group-policy)# split-dns value Domain1 Domain2 Domain3 Domain4

（注）

スプリット DNS を設定する場合、指定したプライベート DNS サーバが、クライアントプラットフォームに設定されている DNS サーバと重複していないことを確認します。重複していると、名前解決が正しく動作せず、クエリーがドロップされる可能性があります。

Windows XP およびスプリットトンネリング用の DHCP 代行受信の設定

スプリットトンネルオプションが 255 バイトを超えていると、Microsoft XP で異常が発生し、ドメイン名が破損します。この問題を回避するには、ASA で送信ルートの数を 27 ～ 40 に制限します。ルートの数はルートのクラスによって異なります。

DHCP 代行受信によって、Microsoft Windows XP クライアントは ASA でスプリットトンネリングを使用できるようになります。ASA は、Microsoft Windows XP クライアント DHCP Inform メッセージに直接応答して、クライアントにトンネル IP アドレス用のサブネットマスク、ドメイン名、およびクラスレススタティックルートを提供します。Windows XP 以前の Windows クライアントの場合、DHCP 代行受信によってドメイン名とサブネットマスクが提供されます。これは、DHCP サーバを使用するのが効果的でない環境で役立ちます。

intercept-dhcp コマンドは、DHCP 代行受信をイネーブルまたはディセーブルにします。


hostname(config-group-policy)# intercept-dhcp netmask {enable | disable}
hostname(config-group-policy)#

netmask 変数で、トンネル IP アドレスのサブネットマスクを提供します。このコマンドの no 形式は、コンフィギュレーションから DHCP 代行受信を削除します。

[no] intercept-dhcp

次に、FirstGroup というグループポリシーに DHCP 代行受信を設定する例を示します。


hostname(config)# group-policy FirstGroup attributes
hostname(config-group-policy)# intercept-dhcp enable

リモートアクセスクライアントで使用するためのブラウザプロキシ設定の設定

クライアントのプロキシサーバパラメータを設定するには、次の手順を実行します。

手順

ステップ 1	グループポリシーコンフィギュレーションモードで msie-proxy server コマンドを入力し、クライアントデバイスのブラウザのプロキシサーバとポートを設定します。 `hostname(config-group-policy)# msie-proxy server {value server[:port] \| none } hostname(config-group-policy)#` デフォルト値は none で、クライアントデバイスのブラウザでプロキシサーバの設定を指定していません。コンフィギュレーションから属性を削除するには、このコマンドの no 形式を使用します。 `hostname(config-group-policy)# no msie-proxy server hostname(config-group-policy)#` プロキシサーバの IP アドレスまたはホスト名およびポート番号が含まれている行の長さは、100 文字未満である必要があります。次に、ブラウザプロキシサーバとして IP アドレス 192.168.10.1 を設定し、ポート 880 を使用し、FirstGroup というグループポリシーを対象にする例を示します。 `hostname(config)# group-policy FirstGroup attributes hostname(config-group-policy)# msie-proxy server value 192.168.21.1:880 hostname(config-group-policy)#`
ステップ 2	グループポリシーコンフィギュレーションモードで msie-proxy method コマンドを入力して、クライアントデバイスのブラウザプロキシアクション（「メソッド」）を設定します。 `hostname(config-group-policy)# msie-proxy method [auto-detect \| no-modify \| no-proxy \| use-server ] hostname(config-group-policy)#` デフォルト値は no-modify です。コンフィギュレーションから属性を削除するには、このコマンドの no 形式を使用します。 `hostname(config-group-policy)# no msie-proxy method [auto-detect \| no-modify \| no-proxy \| use-server ] hostname(config-group-policy)#` 使用できる方法は、次のとおりです。 auto-detect：クライアントデバイスのブラウザでプロキシサーバの自動検出の使用をイネーブルにします。 no-modify：このクライアントデバイスで使用しているブラウザの HTTP ブラウザプロキシサーバの設定をそのままにします。 no-proxy— このクライアントデバイスでは、ブラウザの HTTP プロキシ設定をディセーブルにします。 use-server— msie-proxy server コマンドに設定された値を使用するように、ブラウザの HTTP プロキシサーバ設定を設定します。プロキシサーバの IP アドレスまたはホスト名およびポート番号が含まれている行の長さは、100 文字未満である必要があります。次に、FirstGroup というグループポリシーのブラウザプロキシ設定として自動検出を設定する例を示します。 `hostname(config)# group-policy FirstGroup attributes hostname(config-group-policy)# msie-proxy method auto-detect hostname(config-group-policy)#` 次に、クライアントデバイスのサーバとしてサーバ QASERVER、ポート 1001 を使用するように、FirstGroup というグループポリシーのブラウザプロキシ設定を設定する例を示します。 `hostname(config)# group-policy FirstGroup attributes hostname(config-group-policy)# msie-proxy server QAserver:port 1001 hostname(config-group-policy)# msie-proxy method use-server hostname(config-group-policy)#`
ステップ 3	グループポリシーコンフィギュレーションモードで msie-proxy except-list コマンドを入力して、クライアントデバイスのブラウザがローカルでプロキシをバイパスするために使用するプロキシの例外リストを設定します。これらのアドレスは、プロキシサーバによってアクセスされません。このリストは、[Proxy Stteings] ダイアログボックスにある [Exceptions] ボックスに相当します。 `hostname(config-group-policy)# msie-proxy except-list {value server[:port] \| none} hostname(config-group-policy)#` コンフィギュレーションから属性を削除するには、このコマンドの no 形式を使用します。 `hostname(config-group-policy)# no msie-proxy except-list hostname(config-group-policy)#` value server:port：このクライアントデバイスに適用する MSIE サーバの IP アドレスまたは名前、およびポートを指定します。ポート番号は任意です。 none ：IP アドレスまたはホスト名またはポートがないことを示し、例外リストを継承しません。デフォルトでは、msie-proxy except-list はディセーブルになっています。プロキシサーバの IP アドレスまたはホスト名およびポート番号が含まれている行の長さは、100 文字未満である必要があります。次に、ブラウザのプロキシ例外リストを設定する例を示します。IP アドレス 192.168.20.1 のサーバで構成され、ポート 880 を使用し、FirstGroup というグループポリシーを対象とします。 `hostname(config)# group-policy FirstGroup attributes hostname(config-group-policy)# msie-proxy except-list value 192.168.20.1:880 hostname(config-group-policy)#`
ステップ 4	グループポリシーコンフィギュレーションモードで msie-proxy local-bypass コマンドを入力し、クライアントデバイスで使用するブラウザが、プロキシをローカルでバイパスする設定をイネーブルまたはディセーブルにします。 `hostname(config-group-policy)# msie-proxy local-bypass {enable \| disable} hostname(config-group-policy)#` コンフィギュレーションから属性を削除するには、このコマンドの no 形式を使用します。 `hostname(config-group-policy)# no msie-proxy local-bypass {enable \| disable} hostname(config-group-policy)#` デフォルトでは、msie-proxy local-bypass はディセーブルになっています。次に、FirstGroup というグループポリシーのブラウザのプロキシローカルバイパスをイネーブルにする例を示します。 `hostname(config)# group-policy FirstGroup attributes hostname(config-group-policy)# msie-proxy local-bypass enable hostname(config-group-policy)#`

IPSec（IKEv1）クライアントのセキュリティ属性の設定

グループのセキュリティ設定を指定するには、次の手順を実行します。

手順

ステップ 1

グループポリシーコンフィギュレーションモードで、enable キーワードを指定して password-storage コマンドを使用し、ユーザがログインパスワードをクライアントシステムに保存できるようにするかどうかを指定します。パスワード保存をディセーブルにするには、disable キーワードを指定して password-storage コマンドを使用します。


hostname(config-group-policy)# password-storage  {enable  | disable }
hostname(config-group-policy)#

セキュリティ上の理由から、パスワード保存はデフォルトでディセーブルになっています。セキュアサイトにあることがわかっているシステム上でのみ、パスワードの保管をイネーブルにしてください。

password-storage 属性を実行コンフィギュレーションから削除するには、このコマンドの no 形式を入力します。


hostname(config-group-policy)# no password-storage 
hostname(config-group-policy)#

no 形式を指定すると、password-storage の値を別のグループポリシーから継承することができます。

このコマンドは、対話的なハードウェアクライアント認証やハードウェアクライアントの個別ユーザ認証には適用されません。

次に、FirstGroup という名前のグループポリシーに対してパスワード保存をイネーブルにする例を示します。


hostname(config)# group-policy FirstGroup attributes 
hostname(config-group-policy)# password-storage enable 
hostname(config-group-policy)#

ステップ 2

デフォルトではディセーブルになっている IP 圧縮をイネーブルにするかどうかを指定します。

（注）

IPSec IKEv2 接続では、IP 圧縮はサポートされていません。


hostname(config-group-policy)# ip-comp  {enable  | disable }
hostname(config-group-policy)#

LZS IP 圧縮をイネーブルにするには、グループポリシーコンフィギュレーションモードで、enable キーワードを指定して ip-comp コマンドを入力します。IP 圧縮をディセーブルにするには、disable キーワードを指定して ip-comp コマンドを入力します。

ip-comp 属性を実行コンフィギュレーションから削除するには、このコマンドの no 形式を入力します。これにより、別のグループポリシーの値を継承できます。


hostname(config-group-policy)# no ip-comp 
hostname(config-group-policy)#

データ圧縮をイネーブルにすると、モデムで接続するリモートダイヤルインユーザのデータ伝送レートが向上する場合があります。

ヒント

データ圧縮を使用すると、ユーザセッションごとのメモリ要求と CPU 使用率が増加し、結果として ASA のスループット全体が低下します。そのため、データ圧縮はモデムで接続しているリモートユーザに対してだけイネーブルにすることを推奨します。モデムユーザに固有のグループポリシーを設計し、それらのユーザに対してだけ圧縮をイネーブルにします。

ステップ 3

グループポリシーコンフィギュレーションモードで、enable キーワードを指定して re-xauth コマンドを使用し、IKE キーが再生成される際にユーザが再認証を受ける必要があるかどうかを指定します。

（注）

IKEv2 接続では、IKE キー再生成はサポートされていません。

IKE キー再生成時の再認証をイネーブルにすると、ASA では、最初のフェーズ 1 IKE ネゴシエーションにおいてユーザに対してユーザ名とパスワードの入力が求められ、その後 IKE キー再生成が行われるたびにユーザ認証が求められます。再認証によって、セキュリティが強化されます。

設定されているキー再生成間隔が極端に短い場合、ユーザは認証を繰り返し求められることに不便を感じることがあります。認可要求が何度も繰り返されないようにするには、再認証をディセーブルにします。設定されているキー再生成インターバルを確認するには、モニタリングモードで show crypto ipsec sa コマンドを入力して、セキュリティアソシエーションの秒単位のライフタイム、およびデータのキロバイト単位のライフタイムを表示します。IKE キーが再生成される際のユーザの再認証をディセーブルにするには、disable キーワードを入力します。IKE キーが再生成される際の再認証は、デフォルトではディセーブルになっています。


hostname(config-group-policy)# re-xauth  {enable | disable }
hostname(config-group-policy)#

IKE キーが再生成される際の再認証用の値を別のグループポリシーから継承することをイネーブルにするには、このコマンドの no 形式を入力して、実行コンフィギュレーションから re-xauth 属性を削除します。


hostname(config-group-policy)# no re-xauth 
hostname(config-group-policy)#

（注）

接続先にユーザが存在しない場合、再認証は失敗します。

ステップ 4

完全転送秘密をイネーブルにするかどうかを指定します。IPsec ネゴシエーションでは、完全転送秘密により、新しい各暗号キーは以前のどのキーとも関連性がないことが保証されます。グループポリシーは、別のグループポリシーから完全転送秘密の値を継承できます。完全転送秘密は、デフォルトではディセーブルになっています。完全転送秘密をイネーブルにするには、グループポリシーコンフィギュレーションモードで、enable キーワードを指定して pfs コマンドを使用します。


hostname(config-group-policy)# pfs {enable | disable}
hostname(config-group-policy)#

完全秘密転送をディセーブルにするには、 disable キーワードを指定して pfs コマンドを入力します。

完全秘密転送属性を実行コンフィギュレーションから削除して、値を継承しないようにするには、このコマンドの no 形式を入力します。


hostname(config-group-policy)# no pfs
hostname(config-group-policy)#

IKEv1 クライアントの IPsec-UDP 属性の設定

IPsec over UDP（IPsec through NAT と呼ばれることもあります）を使用すると、ハードウェアクライアントは、NAT を実行している ASA に UDP 経由で接続できます。この機能はデフォルトではディセーブルになっています。IPsec over UDP は、リモートアクセス接続だけに適用される専用の機能で、モードコンフィギュレーションが必要です。ASA は、SA のネゴシエート時にクライアントとの間でコンフィギュレーションパラメータをやり取りします。IPSec over UDP を使用すると、システムパフォーマンスが若干低下します。

IPsec over UDP をイネーブルにするには、グループポリシーコンフィギュレーションモードで、次のように enable キーワードを指定して ipsec-udp コマンドを設定します。


hostname(config-group-policy)# ipsec-udp  {enable  | disable }
hostname(config-group-policy)# no ipsec-udp

IPsec over UDP を使用するには、この項の説明に従って、ipsec-udp-port コマンドも設定する必要があります。

IPsec over UDP をディセーブルにするには、disable キーワードを入力します。IPSec over UDP 属性を実行コンフィギュレーションから削除するには、このコマンドの no 形式を入力します。これにより、別のグループポリシーから IPSec over UDP の値を継承できるようになります。

次に、FirstGroup というグループポリシーの IPSec over UDP を設定する例を示します。


hostname(config)# group-policy FirstGroup attributes 
hostname(config-group-policy)# ipsec-udp enable

IPsec over UDP をイネーブルにした場合は、グループポリシーコンフィギュレーションモードで ipsec-udp-port コマンドも設定する必要があります。このコマンドにより、IPSec over UDP 用の UDP ポート番号が設定されます。IPSec ネゴシエーションでは、ASA は設定されたポートでリッスンし、他のフィルタルールで UDP トラフィックがドロップされていても、そのポート宛ての UDP トラフィックを転送します。ポート番号の範囲は 4001 ～ 49151 です。デフォルトのポート値は 10000 です。

UDP ポートをディセーブルにするには、このコマンドの no 形式を入力します。これにより、別のグループポリシーから IPsec over UDP ポートの値を継承できるようになります。


hostname(config-group-policy)# ipsec-udp-port  port

次に、FirstGroup というグループポリシーの IPsec UDP ポートをポート 4025 に設定する例を示します。


hostname(config)# group-policy FirstGroup attributes 
hostname(config-group-policy)# ipsec-udp-port 4025

VPN ハードウェアクライアントの属性の設定

手順

ステップ 1

（任意）次のコマンドを使用して、ネットワーク拡張モードを設定します。

[no] nem [enable |disable]

ネットワーク拡張モードを使用すると、ハードウェアクライアントは、単一のルーティング可能なネットワークを VPN トンネルを介してリモートプライベートネットワークに提供できます。PAT は適用されません。したがって、Easy VPN サーバの背後にあるデバイスは、Easy VPN リモートの背後にあるプライベートネットワーク上のデバイスに、トンネルを介して（トンネルを介してのみ）直接アクセスできます。逆の場合も同様です。トンネルはハードウェアクライアントによって開始される必要がありますが、トンネルがアップ状態になったあとは、いずれの側もデータ交換を開始できます。

例:

次に、FirstGroup というグループポリシーの NEM を設定する例を示します。

hostname(config)# group-policy FirstGroup attributes
hostname(config-group-policy)# nem enable

NEM をディセーブルにするには、disable キーワードを入力します。この NEM 属性を実行コンフィギュレーションから削除するには、このコマンドの no 形式を入力します。このオプションを使用すると、別のグループポリシーの値を継承できます。

ステップ 2

（任意）次のコマンドを使用して、セキュアユニット認証を設定します。

[no] secure-unit-authentication [enable |disable ]

セキュアユニット認証では、VPN ハードウェアクライアントがトンネルを開始するたびにユーザ名とパスワードを使用した認証を要求することで、セキュリティが強化されます。この機能をイネーブルにすると、ハードウェアクライアントは保存されているユーザ名とパスワードを使用しません（設定されている場合）。セキュアユニット認証はデフォルトでディセーブルになっています。

セキュアユニット認証では、ハードウェアクライアントが使用する接続プロファイルに対して認証サーバグループが設定されている必要があります。プライマリ ASA でセキュアユニット認証が必要な場合は、どのバックアップサーバにもセキュアユニット認証を設定する必要があります。

（注）

この機能をイネーブルにした場合に VPN トンネルを確立するには、ユーザがユーザ名とパスワードを入力する必要があります。

例:

次の例は、FirstGroup という名前のグループポリシーに対して、セキュアユニット認証をイネーブルにする方法を示しています。

hostname(config)#group-policy FirstGroup attributes
hostname(config-group-policy)# secure-unit-authentication enable

セキュアユニット認証をディセーブルにするには、disable キーワードを入力します。セキュアユニット認証属性を実行コンフィギュレーションから削除するには、このコマンドの no 形式を入力します。このオプションを指定すると、他のグループポリシーからセキュアユニット認証の値を継承できます。

ステップ 3

（任意）次のコマンドを使用して、ユーザ認証を設定します。

[no] user-authentication [enable | disable]

ユーザ認証をイネーブルにすると、ハードウェアクライアントの背後にいる個々のユーザは、トンネルを介してネットワークにアクセスするために認証を受けることが必要となります。個々のユーザは、設定した認証サーバの順序に従って認証されます。ユーザ認証はデフォルトでディセーブルになっています。

プライマリ ASA でユーザ認証が必要な場合は、どのバックアップサーバにもユーザ認証を設定する必要があります。

例:

次の例は、FirstGroup という名前のグループポリシーに対して、ユーザ認証をイネーブルにする方法を示しています。


hostname(config)# group-policy FirstGroup attributes
hostname(config-group-policy)# user-authentication enable

ユーザ認証をディセーブルにするには、disable キーワードを入力します。ユーザ認証属性を実行コンフィギュレーションから削除するには、このコマンドの no 形式を入力します。このオプションを使用すると、別のグループポリシーからユーザ認証の値を継承できます。

ステップ 4

次のコマンドを使用して、認証した個々のユーザのアイドルタイムアウトを設定します。

[no] user-authentication-idle-timeout minutes | none ]

minutes パラメータで、アイドルタイムアウト時間（分単位）を指定します。最短時間は 1 分、デフォルトは 30 分、最長時間は 35791394 分です。

アイドルタイムアウト期間中にハードウェアクライアントの背後のユーザによる通信アクティビティがない場合、ASA はそのクライアントのアクセスを終了させます。このタイマーは、VPN トンネル自体ではなく、VPN トンネルを通過するクライアントのアクセスだけを終了します。

例:

次の例は、FirstGroup という名前のグループポリシーに 45 分のアイドルタイムアウト値を設定する方法を示しています。

hostname(config)# group-policy FirstGroup attributes
hostname(config-group-policy)# user-authentication enable
hostname(config-group-policy)#user-authentication-idle-timeout 45

アイドルタイムアウト値を削除するには、このコマンドの no 形式を入力します。このオプションを使用すると、他のグループポリシーからアイドルタイムアウト値を継承できます。アイドルタイムアウト値を継承しないようにするには、none キーワードを指定して user-authentication-idle-timeout コマンドを入力します。このコマンドにより、アイドルタイムアウトにヌル値が設定されます。ヌル値を設定すると、アイドルタイムアウトが拒否され、デフォルトまたは指定されたグループポリシーからユーザ認証のアイドルタイムアウト値が継承されなくなります。

（注）

show uauth コマンドへの応答で示されるアイドルタイムアウトは、常に Cisco Easy VPN リモートデバイスのトンネルを認証したユーザのアイドルタイムアウト値になります。

ステップ 5

次のコマンドを使用して、IP Phone Bypass を設定します。

ip-phone-bypass enable

IP Phone Bypass を使用すると、ハードウェアクライアントの背後にある IP フォンが、ユーザ認証プロセスなしで接続できます。IP Phone Bypass は、デフォルトでディセーブルになっています。これは、IUA がイネーブルになっている場合にのみ適用されます。

（注）

また、これらのクライアントの認証を免除するには、クライアントに MAC アドレス免除を設定する必要があります。

IP Phone Bypass をディセーブルにするには、 disable キーワードを入力します。IP Phone Bypass 属性を実行コンフィギュレーションから削除するには、このコマンドの no 形式を入力します。このオプションにより、別のグループポリシーから IP Phone Bypass の値を継承できます。

ステップ 6

次のコマンドを使用して、LEAP Bypass を設定します。

leap-bypass enable

LEAP Bypass は、user-authentication がイネーブルになっている場合にのみ適用されます。このコマンドにより、Cisco ワイヤレスアクセスポイントデバイスからの LEAP パケットは、LEAP 認証を確立してから、ユーザ認証ごとに認証を実行できるようになります。LEAP Bypass は、デフォルトでディセーブルになっています。

ハードウェアクライアントの後ろにいる LEAP ユーザには、面倒な問題があります。トンネルで中央サイトデバイスの後ろにある RADIUS サーバにクレデンシャルを送信することができないため、LEAP 認証をネゴシエートできません。トンネル経由でクレデンシャルを送信できない理由は、無線ネットワークで認証されていないためです。この問題を解決するために、LEAP バイパスは、個別のユーザ認証の前に LEAP パケット（LEAP パケットだけ）をトンネルで転送し、RADIUS サーバへの無線接続を認証できるようにします。これによって、ユーザは、個別のユーザ認証に進むことができます。

LEAP Bypass は、次の条件下で適切に機能します。

secure-unit-authentication がディセーブルになっていること。インタラクティブユニット認証がイネーブルの場合、トンネルを使用して LEAP デバイスが接続できるようになる前に、非 LEAP（有線）デバイスがハードウェアクライアントを認証する必要があります。
user-authentication がイネーブルになっていること。イネーブルになっていないと、LEAP Bypass が適用されません。
無線環境のアクセスポイントが、Cisco Discovery Protocol（CDP）を実行している Cisco Aironet Access Point であること。PC の NIC カードは、他のブランドの製品でもかまいません。

例:

次の例は、FirstGroup という名前のグループポリシーに LEAP Bypass を設定する方法を示しています。

hostname(config)# group-policy FirstGroup attributes
hostname(config-group-policy)# user-authentication enable
hostname(config-group-policy)# leap-bypass enable

LEAP Bypass をディセーブルにするには、disable キーワードを入力します。LEAP Bypass 属性を実行コンフィギュレーションから削除するには、このコマンドの no 形式を入力します。このオプションを使用すると、LEAP Bypass の値を別のグループポリシーから継承できます。

AnyConnect Secure Mobility Client 接続のグループポリシー属性の設定

AnyConnect VPN Client 接続に示すように、AnyConnect クライアント接続をイネーブルにした後は、グループポリシーの AnyConnect 機能をイネーブルまたは必須にできます。グループポリシー webvpn コンフィギュレーションモードで次の手順を実行します。

手順

ステップ 1	グループポリシー webvpn コンフィギュレーションモードを開始します。次に例を示します。 `hostname(config)# group-policy sales attributes hostname(config-group-policy)# webvpn`
ステップ 2	エンドポイントコンピュータ上で AnyConnect クライアントの永続的なインストールをディセーブルにするには、none キーワードを指定して anyconnect keep-installer コマンドを使用します。次に例を示します。 `hostname(config-group-webvpn)# anyconnect keep-installer none hostname(config-group-webvpn)#` デフォルトでは、クライアントの永続的なインストールはイネーブルになっています。クライアントは、AnyConnect セッションの終了時にエンドポイントにインストールされたままになります。
ステップ 3	グループポリシーの AnyConnect SSL 接続経由で HTTP データの圧縮をイネーブルにするには、anyconnect ssl compression コマンドを入力します。デフォルトでは、圧縮は none （ディセーブル）に設定されています。圧縮をイネーブルにするには、deflate キーワードを使用します。次に例を示します。 `hostname(config-group-webvpn)# anyconnect compression deflate hostname(config-group-webvpn)#`
ステップ 4	デッドピア検出の設定
ステップ 5	デバイスが接続のアイドル状態を維持する時間を制限する場合でも、プロキシ、ファイアウォール、または NAT デバイス経由の AnyConnect 接続を開いたままにすることができます。これを行うには、次を使用してキープアライブメッセージの頻度を調整します。 anyconnect ssl keepalive command: anyconnect ssl keepalive {none \| `seconds`} また、キープアライブを調整すると、リモートユーザが Microsoft Outlook または Microsoft Internet Explorer などのソケットベースアプリケーションをアクティブに実行していない場合でも、AnyConnect クライアントは切断および再接続されません。次の例では、AnyConnect クライアントがキープアライブメッセージを 300 秒（5 分）の頻度で送信できるようにセキュリティアプライアンスを設定します。 `hostname(config-group-webvpn)# anyconnect ssl keepalive 300 hostname(config-group-webvpn)#`
ステップ 6	AnyConnect クライアントが SSL セッションでキーを再生成できるようにするには、anyconnect ssl rekey コマンドを使用します。 anyconnect ssl rekey {method {ssl \| new-tunnel } \| time `minutes` \| none }} デフォルトでは、キー再生成はディセーブルになっています。 method を new-tunnel に指定すると、SSL キーの再生成中に AnyConnect クライアントが新しいトンネルを確立することが指定されます。method を none に指定すると、キー再生成はディセーブルになります。method を ssl に指定すると、SSL の再ネゴシエーションはキー再生成中に行われます。method を指定する代わりに、セッションの開始からキー再生成が行われるまでの時間を 1 ～ 10080（1 週間）の分数で指定できます。次の例では、キー再生成中に AnyConnect クライアントが SSL と再ネゴシエートするように設定し、キー再生成がセッション開始の 30 分後に発生するように設定しています。 `hostname(config-group-webvpn)# anyconnect ssl rekey method ssl hostname(config-group-webvpn)# anyconnect ssl rekey time 30 hostname(config-group-webvpn)#`
ステップ 7	クライアントプロトコルバイパス機能を使用すると、ASA が IPv6 トラフィックだけを予期しているときの AnyConnect クライアントによる IPv4 トラフィックの管理方法や、IPv4 トラフィックだけを予期しているときの IPv6 トラフィックの管理方法を設定することができます。 AnyConnect クライアントが ASA に VPN 接続するときに、ASA は IPv4 と IPv6 の一方または両方のアドレスを割り当てます。ASA が AnyConnect 接続に IPv4 アドレスまたは IPv6 アドレスだけを割り当てた場合に、ASA が IP アドレスを割り当てなかったネットワークトラフィックについて、クライアントプロトコルバイパスによってそのトラフィックをドロップさせるか、または ASA をバイパスしてクライアントからの暗号化なし、つまり「クリアテキスト」としての送信を許可するかを設定できるようになりました。たとえば、IPv4 アドレスのみ AnyConnect 接続に割り当てられ、エンドポイントがデュアルスタックされていると想定してください。このエンドポイントが IPv6 アドレスへの到達を試みたときに、クライアントバイパスプロトコル機能がディセーブルの場合は、IPv6 トラフィックがドロップされますが、クライアントバイパスプロトコルがイネーブルの場合は、IPv6 トラフィックはクライアントからクリアテキストとして送信されます。 SSL 接続ではなく IPsec トンネルを確立している場合は、クライアントで IPv6 が有効になっているかどうかが ASA に通知されないため、ASA は常にクライアントバイパスプロトコル設定をプッシュダウンします。 client-bypass-protocol コマンドを使用して、クライアントバイパスプロトコル機能をイネーブルまたはディセーブルにします。コマンド構文は次のとおりです。 client-bypass-protocol {enable \| disable} 次に、クライアントバイパスプロトコルをイネーブルにする例を示します。 `hostname(config-group-policy)# client-bypass-protocol enable hostname(config-group-policy)#` 次に、クライアントバイパスプロトコルをデイセーブルにする例を示します。 `hostname(config-group-policy)# client-bypass-protocol disable hostname(config-group-policy)#` 次に、イネーブルまたはディセーブルになっているクライアントバイパスプロトコル設定を削除する例を示します。 `hostname(config-group-policy)# no client-bypass-protocol enable hostname(config-group-policy)#`
ステップ 8	ASA 間にロードバランシングを設定した場合は、VPN セッションの再確立に使用される ASA IP アドレスを解決するために、ASA の FQDN を指定します。この設定は、さまざまな IP プロトコルのネットワーク間のクライアントローミングをサポートするうえで重要です（IPv4 から IPv6 など）。 AnyConnect プロファイルにある ASA FQDN を使用してローミング後に ASA IP アドレスを取得することはできません。アドレスがロードバランシングシナリオの正しいデバイス（トンネルが確立されているデバイス）と一致しない場合があります。デバイスの FQDN がクライアントに配信されない場合、クライアントは、以前にトンネルが確立されている IP アドレスへの再接続を試みます。異なる IP プロトコル（IPv4 から IPv6）のネットワーク間のローミングをサポートするには、AnyConnect は、トンネルの再確立に使用する ASA アドレスを決定できるように、ローミング後にデバイス FQDN の名前解決を行う必要があります。クライアントは、初期接続中にプロファイルに存在する ASA FQDN を使用します。以後のセッション再接続では、使用可能な場合は常に、ASA によってプッシュされた（また、グループポリシーで管理者が設定した）デバイス FQDN を使用します。FQDN が設定されていない場合、ASA は、[Device Setup] > [Device Name/Password and Domain Name] の設定内容からデバイス FQDN を取得（およびクライアントに送信）します。デバイス FQDN が ASA によってプッシュされていない場合、クライアントは、異なる IP プロトコルのネットワーク間のローミング後に VPN セッションを再確立できません。 gateway-fqdn コマンドを使用して、ASA の FQDN を設定します。コマンド構文は次のとおりです。 gateway-fqdn { value `FQDN_Name` \| none} または no gateway-fqdn 次に、ASA の FQDN を ASAName.example.cisco.com として定義する例を示します。 `hostname(config-group-policy)# gateway-fqdn value ASAName.example.cisco.com hostname(config-group-policy)#` 次に、グループポリシーから ASA の FQDN を削除する例を示します。グループポリシーは、デフォルトグループポリシーからこの値を継承します。 `hostname(config-group-policy)# no gateway-fqdn hostname(config-group-policy)#` 次に、FQDN を空の値として定義する例を示します。hostname コマンドおよび domain-name コマンドを使用して設定されたグローバル FQDN が使用されます（使用可能な場合）。 `hostname(config-group-policy)# gateway-fqdn none hostname(config-group-policy)#`

バックアップサーバ属性の設定

バックアップサーバを設定します（使用する予定がある場合）。IPsec バックアップサーバを使用すると、VPN クライアントはプライマリ ASA が使用不可の場合も中央サイトに接続することができます。バックアップサーバを設定すると、ASA は、IPsec トンネルを確立するときにクライアントにサーバリストを渡します。クライアント上またはプライマリ ASA 上にバックアップサーバを設定しない限り、バックアップサーバは存在しません。

バックアップサーバは、クライアント上またはプライマリ ASA 上に設定します。ASA 上にバックアップサーバを設定すると、バックアップサーバポリシーがグループ内のクライアントにプッシュされ、クライアント上のバックアップサーバリスト（設定されている場合）が置き換わります。

（注）

ホスト名を使用する場合は、バックアップ DNS サーバおよびバックアップ WINS サーバを、プライマリ DNS サーバおよびプライマリ WINS サーバとは別のネットワーク上に配置することを推奨します。このようにしないと、ハードウェアクライアントの背後のクライアントが DHCP を介してハードウェアクライアントから DNS 情報および WINS 情報を取得している場合、プライマリサーバとの接続が失われ、バックアップサーバに異なる DNS 情報と WINS 情報があると、DHCP リースが期限切れになるまでクライアントを更新できなくなります。また、ホスト名を使用している場合に DNS サーバが使用不可になると、大幅な遅延が発生するおそれがあります。

バックアップサーバを設定するには、グループポリシーコンフィギュレーションモードで backup-servers コマンドを入力します。


hostname(config-group-policy)# backup-servers {server1 server2... server10 | clear-client-config | keep-client-config}

バックアップサーバを削除するには、バックアップサーバを指定してこのコマンドの no 形式を入力します。backup-servers 属性を実行コンフィギュレーションから削除し、backup-servers の値を他のグループポリシーから継承できるようにするには、引数を指定せずにこのコマンドの no 形式を入力します。


hostname(config-group-policy)# no backup-servers [server1 server2... server10 | clear-client-config | keep-client-config]

clear-client-config キーワードは、クライアントでバックアップサーバを使用しないことを指定します。ASA は、ヌルのサーバリストをプッシュします。

keep-client-config キーワードは、ASA がバックアップサーバ情報をクライアントに送信しないことを指定します。クライアントは、独自のバックアップサーバリストを使用します（設定されている場合）。これはデフォルトです。

server1 server 2.... server10 パラメータリストは、プライマリの ASA が使用不可の場合に VPN クライアントが使用するサーバをプライオリティ順にスペースで区切ったリストです。このリストには、サーバを IP アドレスまたはホスト名で指定します。このリストの長さは 500 文字までで、格納できるエントリは最大 10 個までです。

次の例は、FirstGroup という名前のグループポリシーに、IP アドレスが 10.10.10.1 と 192.168.10.14 であるバックアップサーバを設定する方法を示しています。


hostname(config)# group-policy FirstGroup attributes
hostname(config-group-policy)# backup-servers 10.10.10.1 192.168.10.14

ネットワークアドミッションコントロールパラメータの設定

この項で説明するグループポリシー NAC コマンドには、すべてデフォルトの値があります。どうしても必要な場合を除き、これらのパラメータのデフォルト値は変更しないでください。

ASA は、拡張認証プロトコル（EAP）over UDP（EAPoUDP）のメッセージを使用して、リモートホストのポスチャを確認します。ポスチャ検証では、リモートホストにネットワークアクセスポリシーを割り当てる前に、そのホストがセキュリティの必要条件を満たしているかどうかが調べられます。セキュリティアプライアンスでネットワークアドミッションコントロールを設定する前に、NAC 用に Access Control Server を設定しておく必要があります。

Access Control Server は、システムのモニタリング、レポートの作成、デバッグ、およびロギングに役立つ情報を示すポスチャトークン（ACS で設定可能な文字列）をセキュリティアプライアンスにダウンロードします。一般的なポスチャトークンは、Healthy、Checkup、Quarantine、Infected、または Unknown です。ポスチャ検証またはクライアントなしの認証が終わると、ACS はセッション用のアクセスポリシーをセキュリティアプライアンスにダウンロードします。

デフォルトのグループポリシーまたは代替グループポリシーのネットワークアドミッションコントロールを設定するには、次の手順を実行します。

手順

ステップ 1	（任意）ステータスクエリータイマーの期間を設定します。セキュリティアプライアンスは、ポスチャ検証が問題なく終わり、ステータスクエリーの応答を受け取るたびに、ステータスクエリーのタイマーを始動させます。このタイマーの期限が切れると、ホストのポスチャの変更を調べるクエリー（ステータスクエリー）が発行されます。タイマーの期限を 30 ～ 1800 の秒数で入力します。デフォルトの設定は 300 秒です。ネットワークアドミッションコントロールのセッションで、ポスチャ検証が問題なく終わり、ポスチャの変更を調べる次のクエリーが発行されるまでの間隔を指定するには、グループポリシーコンフィギュレーションモードで nac-sq-period コマンドを使用します。 `hostname(config-group-policy)# nac-sq-period seconds hostname(config-group-policy)#` デフォルトのグループポリシーからステータスクエリータイマーの値を継承するには、継承元の代替グループポリシーにアクセスして、このコマンドの no 形式を使用します。 `hostname(config-group-policy)# no nac-sq-period [seconds] hostname(config-group-policy` 次に、ステータスクエリータイマーの値を 1800 秒に変更する例を示します。 `hostname(config-group-policy)# nac-sq-period 1800 hostname(config-group-policy)#` 次の例では、デフォルトグループポリシーからステータスクエリータイマーの値を継承しています。 `hostname(config-group-policy)# no nac-sq-period hostname(config-group-policy)#`
ステップ 2	（任意） NAC の再検証の期間を設定します。セキュリティアプライアンスは、ポスチャ検証が問題なく終わるたびに、再検証タイマーを始動させます。このタイマーが期限切れになると、次の無条件のポスチャ検証がトリガーされます。セキュリティアプライアンスは、それまでと同じ方法でポスチャを再検証します。ポスチャ検証または再検証中にアクセスコントロールサーバが使用できない場合、デフォルトのグループポリシーが有効になります。ポスチャを検証する間隔を秒数で入力します。範囲は 300 ～ 86400 秒です。デフォルトの設定は 36000 秒です。ネットワークアドミッションコントロールのセッションでポスチャを検証する間隔を指定するには、グループポリシーコンフィギュレーションモードで nac-reval-period コマンドを使用します。 `hostname(config-group-policy)# nac-reval-period seconds hostname(config-group-policy)#` 再検証タイマーの値をデフォルトグループポリシーから継承するには、継承元の代替グループポリシーにアクセスして、このコマンドの no 形式を使用します。 `hostname(config-group-policy)# no nac-reval-period [seconds] hostname(config-group-policy)#` 次に、再検証タイマーを 86400 秒に変更する例を示します。 `hostname(config-group-policy)# nac-reval-period 86400 hostname(config-group-policy)` 次の例では、デフォルトのグループポリシーから再検証タイマーの値を継承しています。 `hostname(config-group-policy)# no nac-reval-period hostname(config-group-policy)#`
ステップ 3	（任意） NAC 用デフォルト ACL を設定します。セキュリティアプライアンスは、ポスチャを検証できない場合に、選択された ACL に関連付けられているセキュリティポリシーを適用します。none または拡張 ACL を指定します。デフォルト設定はnone です。none に設定すると、セキュリティアプライアンスは、ポスチャを検証できなかったときにデフォルトのグループポリシーを適用します。ポスチャを検証できなかったネットワークアドミッションコントロールセッションのデフォルト ACL として使用される ACL を指定するには、グループポリシーコンフィギュレーションモードで nac-default-acl コマンドを使用します。 `hostname(config-group-policy)# nac-default-acl {acl-name \| none} hostname(config-group-policy)#` デフォルトのグループポリシーから ACL を継承するには、継承元の代替グループポリシーにアクセスして、このコマンドの no 形式を使用します。 `hostname(config-group-policy)# no nac-default-acl [acl-name \| none] hostname(config-group-policy)#` このコマンドの要素は次のとおりです。 acl-name：aaa-server host コマンドを使用して ASA に設定されている、ポスチャを検証するサーバグループの名前を指定します。この名前は、そのコマンドに指定された server-tag 変数に一致する必要があります。 none：デフォルトグループポリシーからの ACL の継承をディセーブルにし、NAC セッションでポスチャ検証ができなかったときに ACL を適用しません。 NAC はデフォルトでディセーブルになっているため、ASA を通過する VPN トラフィックは、NAC がイネーブルになるまで、NAC デフォルトの ACL の影響は受けません。次の例では、ポスチャを検証できなかったときに、acl-1 という ACL を適用するように指定しています。 `hostname(config-group-policy)# nac-default-acl acl-1 hostname(config-group-policy)#` 次の例では、デフォルトグループポリシーから ACL を継承しています。 `hostname(config-group-policy)# no nac-default-acl hostname(config-group-policy)#` 次の例では、デフォルトグループポリシーからの ACL の継承をディセーブルにし、NAC セッションでポスチャを検証できなかったときに ACL を適用しません。 `hostname(config-group-policy)# nac-default-acl none hostname(config-group-policy)#`
ステップ 4	VPN の NAC 免除を設定します。デフォルトでは、免除リストは空になっています。フィルタ属性のデフォルト値は none です。ポスチャ検証を免除するリモートホストのオペレーティングシステム（および ACL）ごとに vpn-nac-exempt コマンドを 1 回入力します。ポスチャ検証を免除するリモートコンピュータのタイプのリストにエントリを追加するには、グループポリシーコンフィギュレーションモードで vpn-nac-exempt コマンドを使用します。 `hostname(config-group-policy)# vpn-nac-exempt os "os name" [filter {acl-name \| none}] [disable] hostname(config-group-policy)#` 継承をディセーブルにし、すべてのホストをポスチャ検証の対象にするには、vpn-nac-exempt のすぐ後ろに none キーワードを入力します。 `hostname(config-group-policy)# vpn-nac-exempt none hostname(config-group-policy)#` 免除リストのエントリを削除するには、このコマンドの no 形式を使用し、削除するオペレーティングシステム（および ACL）を指定します。 `hostname(config-group-policy)# no vpn-nac-exempt [os "os name"] [filter {acl-name \| none}] [disable] hostname(config-group-policy)#` このグループポリシーに関連付けられている免除リストにある全エントリを削除し、デフォルトグループポリシーの免除リストを継承するには、キーワードを指定せずにこのコマンドの no 形式を使用します。 `hostname(config-group-policy)# no vpn-nac-exempt hostname(config-group-policy)#` このコマンドの構文要素は次のとおりです。 acl-name：ASA のコンフィギュレーションに存在する ACL の名前。 disable：免除リストのエントリを削除せずにディセーブルにします。 filter ：（オプション）コンピュータのオペレーティングシステムの名前が一致したときにトラフィックをフィルタリングするために ACL を適用します。 none：このキーワードを vpn-nac-exempt のすぐ後ろに入力した場合は、継承がディセーブルになり、すべてのホストがポスチャ検証の対象になります。このキーワードを filter のすぐ後ろに入力した場合は、エントリで ACL を指定しないことを示します。 OS：オペレーティングシステムをポスチャ検証から免除します。 os name：オペレーティングシステムの名前です。名前にスペースが含まれている場合にのみ引用符が必要です（たとえば "Windows XP"）。次の例では、継承がディセーブルにされ、すべてのホストがポスチャ検証の対象にされます。 `hostname(config-group-policy)# no vpn-nac-exempt none hostname(config-group-policy)` 次に、免除リストからすべてのエントリを削除する例を示します。 `hostname(config-group-policy)# no vpn-nac-exempt hostname(config-group-policy)`
ステップ 5	次のコマンドを入力して、ネットワークアドミッションコントロールをイネーブルまたはディセーブルにします。 `hostname(config-group-policy)# nac {enable \| disable} hostname(config-group-policy)#` デフォルトグループポリシーから NAC の設定を継承するには、継承元の代替グループポリシーにアクセスして、このコマンドの no 形式を使用します。 `hostname(config-group-policy)# no nac [enable \| disable] hostname(config-group-policy)#` デフォルトでは、NAC はディセーブルになっています。NAC をイネーブルにすると、リモートアクセスでポスチャ検証が必要になります。リモートコンピュータのポスチャが正しいことが確認されると、ACS サーバが ASA で使用するアクセスポリシーをダウンロードします。NAC は、デフォルトではディセーブルになっています。 Access Control Server はネットワーク上に存在する必要があります。次の例では、グループポリシーに対して NAC をイネーブルにします。 `hostname(config-group-policy)# nac enable hostname(config-group-policy)#`

VPN クライアントファイアウォールポリシーの設定

ファイアウォールは、データの着信パケットと発信パケットをそれぞれ検査して、パケットのファイアウォール通過を許可するか、またはパケットをドロップするかどうかを決定することにより、コンピュータをインターネットから分離して保護します。ファイアウォールは、グループのリモートユーザがスプリットトンネリングを設定している場合、セキュリティの向上をもたらします。この場合、ファイアウォールが、インターネットまたはユーザのローカル LAN を経由する不正侵入からユーザのコンピュータを保護し、ひいては企業ネットワークも保護します。VPN クライアントを使用して ASA に接続しているリモートユーザは、適切なファイアウォールオプションを選択できます。

グループポリシーコンフィギュレーションモードで client-firewall コマンドを使用して、ASA が IKE トンネルネゴシエーション中に VPN クライアントに配信するパーソナルファイアウォールポリシーを設定します。ファイアウォールポリシーを削除するには、このコマンドの no 形式を入力します。

すべてのファイアウォールポリシーを削除するには、引数を指定せずに no client-firewall コマンドを入力します。このコマンドにより、none キーワードを指定して client-firewall コマンドを入力して作成したヌルポリシーがあればそれも含めて、設定済みのすべてのファイアウォールポリシーが削除されます。

ファイアウォールポリシーがなくなると、ユーザはデフォルトまたはその他のグループポリシー内に存在するファイアウォールポリシーを継承します。ユーザがこのようなファイアウォールポリシーを継承しないようにするには、none キーワードを指定して client-firewall コマンドを入力します。

[Client Firewall] タブの [Add or Edit Group Policy] ダイアログボックスでは、追加または変更するグループポリシーに対して VPN クライアントのファイアウォール設定を指定できます。

（注）

これらのファイアウォール機能を使用できるのは、Microsoft Windows を実行する VPN クライアントだけです。現在、ハードウェアクライアントまたは他（Windows 以外）のソフトウェアクライアントでは、これらの機能は使用できません。

最初のシナリオでは、リモートユーザの PC 上にパーソナルファイアウォールがインストールされています。VPN クライアントは、ローカルファイアウォールで定義されているファイアウォールポリシーを適用し、そのファイアウォールが実行されていることを確認するためにモニタします。ファイアウォールの実行が停止すると、VPN クライアントは ASA への通信をドロップします（このファイアウォール適用メカニズムは Are You There（AYT）と呼ばれます。VPN クライアントが定期的に「are you there?」メッセージを送信することによってファイアウォールをモニタするからです。応答が返されない場合、VPN クライアントは、ファイアウォールがダウンしたため ASA への接続が終了したと認識します）。ネットワーク管理者がこれらの PC ファイアウォールを独自に設定する場合もありますが、この方法を使用すれば、ユーザは各自の設定をカスタマイズできます。

第 2 のシナリオでは、VPN クライアント PC のパーソナルファイアウォールに中央集中型ファイアウォールポリシーを適用することが選択されることがあります。一般的な例としては、スプリットトンネリングを使用してグループのリモート PC へのインターネットトラフィックをブロックすることが挙げられます。この方法は、トンネルが確立されている間、インターネット経由の侵入から PC を保護するので、中央サイトも保護されます。このファイアウォールのシナリオは、プッシュポリシーまたは Central Protection Policy（CPP）と呼ばれます。ASA では、VPN クライアントに適用するトラフィック管理ルールのセットを作成し、これらのルールをフィルタに関連付けて、そのフィルタをファイアウォールポリシーとして指定します。ASA はこのポリシーを VPN クライアントまで配信します。その後、VPN クライアントはポリシーをローカルファイアウォールに渡し、そこでポリシーが適用されます。

AnyConnect クライアントファイアウォールポリシーの設定

AnyConnect クライアントのファイアウォールルールでは、IPv4 および IPv6 のアドレスを指定できます。

始める前に

IPv6 アドレスが指定された統合アクセスルールを作成します。

手順

ステップ 1	webvpn グループポリシーコンフィギュレーションモードを開始します。 webvpn 例: `hostname(config)# group-policy ac-client-group attributes hostname(config-group-policy)# webvpn`
ステップ 2	プライベートまたはパブリックネットワークルールのアクセスコントロールルールを指定します。プライベートネットワークルールが、クライアントの VPN 仮想アダプタインターフェイスに適用されるルールです。 anyconnect firewall-rule client-interface {private \| public} value [RuleName] `hostname(config-group-webvpn)# anyconnect firewall-rule client-interface private value ClientFWRule`
ステップ 3	グループポリシーのグループポリシー属性と webvpn ポリシー属性を表示します。 show runn group-policy [value] 例: `hostname(config-group-webvpn)# show run group-policy FirstGroup group-policy FirstGroup internal group-policy FirstGroup attributes webvpn anyconnect firewall-rule client-interface private value ClientFWRule`
ステップ 4	プライベートネットワークルールからクライアントファイアウォールルールが削除されます。 no anyconnect firewall-rule client-interface private value [RuleName] 例: `hostname(config-group-webvpn)# no anyconnect firewall-rule client-interface private value hostname(config-group-webvpn)#`

Zone Labs Integrity サーバの使用

この項では Zone Labs Integrity サーバ（Check Point Integrity サーバとも呼ばれる）について説明し、Zone Labs Integrity サーバをサポートするように ASA を設定する手順の例を示します。Integrity サーバは、リモート PC 上でセキュリティポリシーを設定および実行するための中央管理ステーションです。リモート PC が Integrity サーバによって指定されたセキュリティポリシーと適合しない場合、Integrity サーバおよび ASA が保護するプライベートネットワークへのアクセス権が与えられません。

VPN クライアントソフトウェアと Integrity クライアントソフトウェアは、リモート PC 上に共に常駐しています。次の手順では、リモート PC と企業のプライベートネットワーク間にセッションを確立する際のリモート PC、ASA、および Integrity サーバのアクションをまとめます。

VPN クライアントソフトウェア（Integrity クライアントソフトウェアと同じリモート PC に常駐）は、ASA に接続し、それがどのタイプのファイアウォールクライアントであるかを ASA に知らせます。
ASA でクライアントファイアウォールのタイプが承認されると、ASA から Integrity クライアントに Integrity サーバのアドレス情報が返されます。
ASA はプロキシとして動作し、Integrity クライアントは Integrity サーバとの制限付き接続を確立します。制限付き接続は、Integrity クライアントと Integrity サーバの間だけで確立されます。
Integrity サーバは、Integrity クライアントが指定されたセキュリティポリシーに準拠しているかどうかを特定します。Integrity クライアントがセキュリティポリシーに準拠している場合、Integrity サーバから ASA に対して、接続を開いて接続の詳細をクライアントに提供するように指示されます。
リモート PC では、VPN クライアントから Integrity クライアントに接続の詳細が渡され、ポリシーの実施がただちに開始されること、また、Integrity クライアントがプライベートネットワークに接続できることが知らされます。
VPN 接続が確立すると、Integrity サーバは、クライアントハートビートメッセージを使用して Integrity クライアントの状態のモニタを続けます。

（注）

ユーザインターフェイスが最大 5 つの Integrity サーバのコンフィギュレーションをサポートしている場合でも、現在のリリースの ASA が一度にサポートする Integrity サーバは 1 つです。アクティブな Integrity サーバに障害が発生した場合は、ASA 上に別の Integrity サーバを設定してから、VPN クライアントセッションを再度確立します。

Integrity サーバを設定するには、次の手順を実行します。

手順

ステップ 1

IP アドレス 10.0.0.5 を使用して Integrity サーバを設定します。

zonelabs-Integrity server-address {hostname1 | ip-address1}

例:

hostname(config)# zonelabs-Integrity server-address 10.0.0.5

ステップ 2

ポート 300 を指定します（デフォルトポートは 5054 です）。

zonelabs-integrity port port-number

例:

hostname(config)# zonelabs-integrity port 300

ステップ 3

Integrity サーバとの通信用に内部インターフェイスを指定します。

zonelabs-integrity interface interface

例:

hostname(config)# zonelabs-integrity interface inside

ステップ 4

Integrity サーバに障害があることを宣言して VPN クライアント接続を閉じる前に、ASA がアクティブまたはスタンバイ Integrity サーバからの応答を 12 秒間待つようにします。

（注）

ASA と Integrity サーバの間の接続で障害が発生した場合、エンタープライズ VPN が Integrity サーバの障害によって中断されないように、デフォルトで VPN クライアント接続は開いたままになります。ただし、Zone Labs Integrity サーバに障害が発生した場合、必要に応じて VPN 接続を閉じることができます。

zonelabs-integrity fail-timeout timeout

例:

hostname(config)# zonelabs-integrity fail-timeout 12

ステップ 5

ASA と Zone Labs Integrity サーバとの接続に障害が発生した場合に VPN クライアントとの接続が閉じるよう、ASA を設定します。

zonelabs-integrity fail-close

例:

hostname(config)# zonelabs-integrity fail-close

ステップ 6

設定された VPN クライアント接続の障害状態をデフォルトに戻して、クライアント接続が開いたままになるようにします。

zonelabs-integrity fail-open

例:

hostname(config)# zonelabs-integrity fail-open

ステップ 7

Integrity サーバが ASA のポート 300（デフォルトはポート 80）に接続して、サーバ SSL 証明書を要求するように指定します。

zonelabs-integrity ssl-certificate-port cert-port-number

例:

hostname(config)# zonelabs-integrity ssl-certificate-port 300

ステップ 8

サーバの SSL 証明書が常に認証される間、Integrity サーバのクライアント SSL 証明書が認証されるように指定します。


zonelabs-integrity ssl-client-authentication {enable | disable}

例:

hostname(config)# zonelabs-integrity ssl-client-authentication enable

ファイアウォールクライアントタイプの Zone Labs への設定

手順

コマンドまたはアクション目的

ファイアウォールクライアントタイプを Zone Labs Integrity タイプに設定するには、次のコマンドを入力します。

例:

hostname(config)# client-firewall req zonelabs-integrity

client-firewall {opt | req} zonelabs-integrity

次のタスク

詳細については、VPN クライアントファイアウォールポリシーの設定を参照してください。ファイアウォールのタイプが zonelabs-integrity の場合、Integrity サーバによってこれらのポリシーが決定されるため、ファイアウォールポリシーを指定するコマンド引数は使用されません。

クライアントファイアウォールのパラメータの設定

次のコマンドを入力して、適切なクライアントファイアウォールのパラメータを設定します。各コマンドに設定できるインスタンスは 1 つだけです。詳細については、VPN クライアントファイアウォールポリシーの設定を参照してください。

Cisco 統合ファイアウォール


hostname(config-group-policy)# client-firewall  {opt | req} cisco-integrated acl-in  ACL acl-out  ACL

Cisco Security Agent


hostname(config-group-policy)# client-firewall {opt | req} cisco-security-agent

ファイアウォールなし


hostname(config-group-policy)# client-firewall none

カスタムファイアウォール


hostname(config-group-policy)# client-firewall {opt | req} custom vendor-id num product-id num policy {AYT | CPP acl-in ACL acl-out ACL} [description string]

Zone Labs ファイアウォール


hostname(config-group-policy)# client-firewall  {opt | req} zonelabs-integrity

（注）

ファイアウォールのタイプを zonelabs-integrity にする場合は、引数を指定しないでください。ポリシーは、Zone Labs Integrity サーバによって決められます。


hostname(config-group-policy)# client-firewall  {opt | req} zonelabs-zonealarm policy  {AYT  | CPP acl-in ACL acl-out ACL}

hostname(config-group-policy)# client-firewall  {opt | req} zonelabs-zonealarmorpro policy  {AYT  | CPP acl-in ACL acl-out ACL}

client-firewall  {opt | req} zonelabs-zonealarmpro policy  {AYT  | CPP acl-in ACL acl-out ACL}

Sygate Personal ファイアウォール


hostname(config-group-policy)# client-firewall {opt | req} sygate-personal

hostname(config-group-policy)# client-firewall {opt | req} sygate-personal-pro

hostname(config-group-policy)# client-firewall {opt | req} sygate-security-agent

Network Ice、Black Ice ファイアウォール


hostname(config-group-policy)# client-firewall {opt | req} networkice-blackice

表 2. client-firewall コマンドのキーワードと変数
パラメータ	説明
acl-in ACL	クライアントが着信トラフィックに使用するポリシーを指定します。
acl-out ACL	クライアントが発信トラフィックに使用するポリシーを指定します。
AYT	クライアント PC のファイアウォールアプリケーションがファイアウォールポリシーを制御することを指定します。ASA はファイアウォールが実行されていることを確認します。「Are You There?」という確認メッセージが表示されます。応答がない場合は、ASA によってトンネルが切断されます。
cisco-integrated	Cisco Integrated ファイアウォールタイプを指定します。
cisco-security-agent	Cisco Intrusion Prevention Security Agent ファイアウォールタイプを指定します。
CPP	VPN クライアントのファイアウォールポリシーのソースとして Policy Pushed を指定します。
custom	カスタムファイアウォールタイプを指定します。
description string	ファイアウォールの説明を示します。
networkice-blackice	Network ICE Black ICE ファイアウォールタイプを指定します。
none	クライアントファイアウォールポリシーがないことを指定します。ファイアウォールポリシーにヌル値を設定して、ファイアウォールポリシーを拒否します。デフォルトのグループポリシーまたは指定されているグループポリシーからファイアウォールポリシーを継承しないようにします。
opt	オプションのファイアウォールタイプを指定します。
product-id	ファイアウォール製品を指定します。
req	必要なファイアウォールタイプを指定します。
sygate-personal	Sygate Personal ファイアウォールタイプを指定します。
sygate-personal-pro	Sygate Personal Pro ファイアウォールタイプを指定します。
sygate-security-agent	Sygate Security Agent ファイアウォールタイプを指定します。
vendor-id	ファイアウォールのベンダーを指定します。
zonelabs-integrity	Zone Labs Integrity サーバファイアウォールタイプを指定します。
zonelabs-zonealarm	Zone Labs Zone Alarm ファイアウォールタイプを指定します。
zonelabs-zonealarmorpro policy	Zone Labs Zone Alarm または Pro ファイアウォールタイプを指定します。
zonelabs-zonealarmpro policy	Zone Labs Zone Alarm Pro ファイアウォールタイプを指定します。

次に、FirstGroup という名前のグループポリシーについて、Cisco Intrusion Prevention Security Agent を必要とするクライアントファイアウォールポリシーを設定する例を示します。


hostname(config)# group-policy FirstGroup attributes 
hostname(config-group-policy)# client-firewall  req cisco-security-agent
hostname(config-group-policy)#

クライアントアクセスルールの設定

グループポリシーコンフィギュレーションモードで client-access-rule コマンドを使用して、ASA を介して IPsec で接続できるリモートアクセスクライアントのタイプとバージョンを制限するルールを設定します。次のガイドラインに従ってルールを作成します。

ルールを定義しない場合、ASA はすべての接続タイプを許可します。
クライアントがいずれのルールにも一致しない場合、ASA は接続を拒否します。拒否ルールを定義する場合は、許可ルールも 1 つ以上定義する必要があります。許可ルールを定義しないと、ASA はすべての接続を拒否します。
ソフトウェアクライアントとハードウェアクライアントのどちらでも、タイプとバージョンは show vpn-sessiondb remote で表示される内容と完全に一致している必要があります。
* 文字はワイルドカードです。ワイルドカードは各ルールで複数回入力することができます。たとえば、client-access rul 3 deny type * version 3.* では、バージョン 3.x のソフトウェアを実行しているすべてのクライアントタイプを拒否する、プライオリティ 3 のクライアントアクセスルールが作成されます。
1 つのグループポリシーにつき最大 25 のルールを作成できます。
ルールセット全体に対して 255 文字の制限があります。
クライアントのタイプまたはバージョン（あるいはその両方）を送信しないクライアントには、n/a を入力できます。

ルールを削除するには、このコマンドの no 形式を入力します。このコマンドは、次のコマンドと同等です。


hostname(config-group-policy)# client-access-rule 1 deny type "Cisco VPN Client" version 4.0

すべてのルールを削除するには、引数を指定せずに no client-access-rule command を入力します。これにより、none キーワードを指定して client-access-rule コマンドを発行して作成したヌルルールがあればそれも含めて、設定済みのすべてのルールが削除されます。

デフォルトでは、アクセスルールはありません。クライアントアクセスルールがない場合、ユーザはデフォルトのグループポリシー内に存在するすべてのルールを継承します。

ユーザがクライアントアクセスルールを継承しないようにするには、none キーワードを指定して client-access-rule コマンドを入力します。このコマンドの結果、すべてのタイプとバージョンのクライアントが接続できるようになります。


hostname(config-group-policy)# client-access rul e priority {permit  | deny } type  type version  {version | none }

hostname(config-group-policy)# no client-access rul e [priority {permit  | deny } type  type version  version]

次の表に、これらのコマンドのキーワードとパラメータの意味を示します。

表 3. client-access rule コマンドのキーワードと変数
パラメータ	説明
deny	特定のタイプとバージョンのデバイスの接続を拒否します。
none	クライアントアクセスルールを許可しません。client-access-rule をヌル値に設定します。これにより制限が許可されなくなります。デフォルトのグループポリシーまたは指定されているグループポリシーから値を継承しないようにします。
permit	特定のタイプとバージョンのデバイスの接続を許可します。
priority	ルールのプライオリティを決定します。最小の整数値を持つルールは、プライオリティが最も高くなります。したがって、クライアントのタイプとバージョン（またはこのいずれか）に一致する最も小さい整数のルールが、適用されるルールとなります。値の小さいプライオリティルールに矛盾がある場合、ASA はそのルールを無視します。
type `type`	フリー形式の文字列を介してデバイスのタイプを識別します。文字列は、show vpn-sessiondb remote で表示される内容と完全に一致している必要があります。ただし、ワイルドカードとして * 文字を入力できます。
version version	7.0 などの自由形式の文字列を使用して、デバイスバージョンを指定します。文字列は、show vpn-sessiondb remote で表示される内容と完全に一致している必要があります。ただし、ワイルドカードとして * 文字を入力できます。

次に、FirstGroup という名前のグループポリシーのクライアントアクセスルールを作成する例を示します。これらのルールは、バージョン 4.x のソフトウェアを実行する Cisco VPN Client を許可し、すべての Windows NT クライアントを拒否します。


hostname(config)# group-policy  FirstGroup attributes 
hostname(config-group-policy)# client-access-rule 1 deny type WinNT version * 
hostname(config-group-policy)# client-access-rule 2 permit “Cisco VPN Client” version 4.*

（注）

「type」フィールドは、任意の値が許可される自由形式の文字列ですが、その値は、接続時にクライアントから ASA に送信される固定値と一致している必要があります。

ユーザ属性の設定

この項では、ユーザ属性とその設定方法について説明します。

デフォルトでは、ユーザは、割り当てられているグループポリシーからすべてのユーザ属性を継承します。また、ASA では、ユーザレベルで個別に属性を割り当て、そのユーザに適用されるグループポリシーの値を上書きすることができます。たとえば、すべてのユーザに営業時間内のアクセスを許可し、特定のユーザに 24 時間のアクセスを許可するグループポリシーを指定することができます。

ユーザ名のコンフィギュレーションの表示

グループポリシーから継承したデフォルト値も含めて、すべてのユーザ名のコンフィギュレーションを表示するには、次のように、all キーワードを指定して show running-config username コマンドを入力します。


hostname# show running-config all username
hostname#

このコマンドは、すべてのユーザまたは特定のユーザ（ユーザ名を指定した場合）の暗号化されたパスワードと特権レベルを表示します。all キーワードを省略すると、明示的に設定された値だけがこのリストに表示されます。次の例は、このコマンドで testuser というユーザを指定した場合の出力を示します。


hostname# show running-config all username testuse
username testuser password 12RsxXQnphyr/I9Z encrypted privilege 15

個々のユーザの属性の設定

特定のユーザを設定するには、username コマンドを使用してユーザ名モードに入り、ユーザにパスワード（パスワードなしも可）と属性を割り当てます。指定しなかったすべての属性は、グループポリシーから継承されます。

内部ユーザ認証データベースは、username コマンドを使用して入力されたユーザで構成されています。login コマンドでは、このデータベースを認証用に使用します。ユーザを ASA データベースに追加するには、グローバルコンフィギュレーションモードで username コマンドを入力します。ユーザを削除するには、削除するユーザ名を指定して、このコマンドの no バージョンを使用します。すべてのユーザ名を削除するには、ユーザ名を指定せずに、clear configure username コマンドを使用します。

ユーザのパスワードと特権レベルの設定

ユーザにパスワードと特権レベルを割り当てるには、username コマンドを入力します。nopassword キーワードを入力すると、このユーザにパスワードが不要であることを指定できます。パスワードを指定する場合は、そのパスワードを暗号化形式で保存するかどうかを指定できます。

オプションの privilege キーワードにより、このユーザの特権レベルを設定できます。特権レベルの範囲は 0（最低）～ 15 です。一般に、システム管理者は最高の特権レベルを持ちます。デフォルトのレベルは 2 です。


hostname(config)# username name {nopassword  | password  password [encrypted ]} [privilege  priv_level]}

hostname(config)# no  username [name]

下記の表に、このコマンドで使用するキーワードと変数の意味を示します。

username コマンドのキーワードと変数


キーワード/変数	意味
encrypted	パスワードの暗号化を指定します。
name	ユーザの名前を指定します。
nopassword	このユーザにパスワードが必要ないことを示します。
password password	このユーザにパスワードが存在することを示し、パスワードを指定します。
privilege priv_level	このユーザの特権レベルを設定します。範囲は 0 ～ 15 です。この数値が低いほど、コマンドの使用や ASA の管理に関する機能が限定されます。デフォルトの特権レベルは 2 です。システム管理者の通常の特権レベルは 15 です。

デフォルトでは、このコマンドで追加した VPN ユーザには属性またはグループポリシーが関連付けられません。すべての値を明示的に設定する必要があります。

次の例は、暗号化されたパスワードが pw_12345678 で、特権レベルが 12 の anyuser という名前のユーザを設定する方法を示しています。


hostname(config)# username anyuser password pw_12345678 encrypted privilege 12
hostname(config)#

ユーザ属性の設定

ユーザのパスワード（存在する場合）と特権レベルの設定後は、その他の属性を設定します。これらは任意の順序で設定できます。任意の属性と値のペアを削除するには、このコマンドの no 形式を入力します。

attributes キーワードを指定して username コマンドを入力して、ユーザ名モードに入ります。


hostname(config)# username  name attributes
hostname(config-username)#

プロンプトが変化し、新しいモードになったことが示されます。これで属性を設定できます。

VPN ユーザ属性の設定

VPN ユーザ属性は、次の項で説明するように、VPN 接続に固有の値を設定します。

継承の設定

ユーザが、それまでにユーザ名レベルで設定されていない属性の値をグループポリシーから継承するようにできます。このユーザが属性を継承するグループポリシーの名前を指定するには、vpn-group-policy コマンドを入力します。デフォルトでは、VPN ユーザにはグループポリシーが関連付けられていません。


hostname(config-username)# vpn-group-policy group-policy-name
hostname(config-username)# no  vpn-group-policy group-policy-name

ユーザ名モードで使用できる属性の場合、ユーザ名モードで設定すると、特定のユーザに関してグループポリシーにおける属性の値を上書きできます。

次に、FirstGroup という名前のグループポリシーから属性を使用するように anyuser という名前のユーザを設定する例を示します。


hostname(config)# username anyuser attributes
hostname(config-username)#  vpn-group-policy FirstGroup
hostname(config-username)#

アクセス時間の設定

設定済みの time-range ポリシーの名前を指定して、このユーザがシステムへのアクセスを許可される時間を関連付けます。

この属性を実行コンフィギュレーションから削除するには、このコマンドの no 形式を入力します。このオプションを使用すると、他のグループポリシーから time-range 値を継承できます。値を継承しないようにするには、vpn-access-hours none コマンドを入力します。デフォルトでは、アクセスは無制限です。


hostname(config-username)# vpn-access-hours value  {time-range | none }
hostname(config-username)# vpn-access-hours value none
hostname(config)#

次の例は、anyuser という名前のユーザを 824 と呼ばれる time-range ポリシーに関連付ける方法を示しています。


hostname(config)# username anyuser attributes
hostname(config-username)# vpn-access-hours 824
hostname(config-username)#

最大同時ログイン数の設定

このユーザに許可される同時ログインの最大数を指定します。指定できる範囲は 0 ～ 2147483647 です。デフォルトの同時ログイン数は、3 です。この属性を実行コンフィギュレーションから削除するには、このコマンドの no 形式を入力します。ログインをディセーブルにしてユーザのアクセスを禁止するには、0 を入力します。


hostname(config-username)# vpn-simultaneous-logins  integer
hostname(config-username)# no vpn-simultaneous-logins
hostname(config-username)# vpn-session-timeout alert-interval none

（注）

同時ログインの最大数の制限は非常に大きなものですが、複数の同時ログインを許可すると、セキュリティが低下し、パフォーマンスに影響を及ぼすことがあります。

次の例は、anyuser という名前のユーザに最大 4 つの同時ログインを許可する方法を示しています。


hostname(config)# username anyuser attributes
hostname(config-username)# vpn-simultaneous-logins 4
hostname(config-username)#

アイドルタイムアウトの設定

手順

ステップ 1

次の例は、FirstGroup という名前のグループポリシーに 15 分の VPN アイドルタイムアウトを設定する方法を示しています。

hostname(config)# group-policy FirstGroup attributes
hostname(config-group-policy)# vpn-idle-timeout 15
hostname(config-group-policy)#

[no] vpn-idle-timeout {minutes | none} コマンドを使用したその他のアクションは次のとおりです。

VPN アイドルタイムアウトを無効にし、タイムアウト値を継承しないようにするには、vpn-idle-timeout none を入力します。
```
hostname(config)# group-policy FirstGroup attributes
hostname(config-group-policy)# vpn-idle-timeout none
hostname(config-group-policy)#
```
これにより、AnyConnect（SSL と IPsec/IKEv2 の両方）およびクライアントレス VPN がグローバル webvpn default-idle-timeout seconds 値を使用するようになります。このコマンドは、webvpn コンフィギュレーションモードで入力します。たとえば、hostnamee(config-webvpn)# default-idle-timeout 300 のように入力します。デフォルトは 1800 秒（30 分）で、範囲は 60 ～ 86400 秒です。

すべての webvon 接続において、default-idle-timeout 値が適用されるのは、グループポリシー/ユーザ名属性に vpn-idle-timeout none が設定されている場合のみです。すべての AnyConnect 接続では、ASA によってゼロ以外のアイドルタイムアウト値が要求されます。

サイト間（IKEv1、IKEv2）および IKEv1 リモートアクセス VPN の場合は、タイムアウトをディセーブルにし、無制限のアイドル期間を許可することを推奨します。
このグループポリシーまたはユーザポリシーのアイドルタイムアウトを無効にするには、no vpn-idle-timeout を入力します。値は継承されます。
vpn-idle-timeout をまったく設定しない場合、値は継承されます。デフォルトは 30 分です。

ステップ 2

次の例は、anyuser という名前のユーザに 3 分の VPN アイドルタイムアウトのアラート間隔を設定する方法を示しています。

hostname(config)# username anyuser attributes
hostname(config-username)# vpn-idle-timeout alert-interval 3
hostname(config-username)#

[no] vpn-idle-timeout alert-interval {minutes | none} コマンドを使用したその他のアクションは次のとおりです。

none パラメータは、ユーザが通知を受信しないことを示します。

hostname(config)# username anyuser attributes
hostname(config-username)# vpn-idle-timeout none
hostname(config-username)#

このグループまたはユーザポリシーのアラート間隔を削除するには、no vpn-idle-timeout alert-interval を入力します。値は継承されます。
このパラメータをまったく設定しない場合、デフォルトのアラート間隔は 1 分です。

最大接続時間の設定

手順

ステップ 1

最小時間は 1 分で、最大時間は 35791394 分です。デフォルト値はありません。この期間が終了すると、ASA は接続を終了します。

次に、FirstGroup という名前のグループポリシーに対して 180 分の VPN セッションタイムアウトを設定する例を示します。

hostname(config)# group-policy FirstGroup attributes 
hostname(config-group-policy)# vpn-session-timeout 180 
hostname(config-group-policy)#

次の例は、anyuser という名前のユーザに 180 分の VPN セッションタイムアウトを設定する方法を示しています。

hostname(config)# username anyuser attributes
hostname(config-username)# vpn-session-timeout 180 
hostname(config-username)#

[no] vpn-session-timeout {minutes | none} コマンドを使用したその他のアクションは次のとおりです。

このポリシーから属性を削除し、継承を許可するには、このコマンドの no vpn-session-timeout 形式を入力します。
無制限のタイムアウト期間を許可し、タイムアウト値を継承しないようにするには、vpn-session-timeout none を入力します。

ステップ 2

vpn-session-timeout alert-interval{minutes | } コマンドを使用して、セッションタイムアウトのアラートメッセージがユーザに表示される時間を設定します。

hostname(config-webvpn)# vpn-session-timeout alert-interval 20

[no] vpn-session-timeout alert-interval {minutes | none} コマンドを使用したその他のアクションは次のとおりです。

VPN セッションタイムアウトアラート間隔属性がデフォルトグループポリシーから継承されることを示すには、このコマンドの no 形式を使用します。
```
hostname(config-webvpn)# no vpn-session-timeout alert-interval
```
vpn-session-timeout alert-interval none は、ユーザが通知を受信しないことを示します。

ACL フィルタの適用

VPN 接続用のフィルタとして使用する、事前に設定されたユーザ固有の ACL の名前を指定します。ACL を拒否し、グループポリシーから ACL を継承しないようにするには、none キーワードを指定して vpn-filter コマンドを入力します。vpn -filter none コマンドを発行して作成したヌル値を含めて、ACL を削除するには、このコマンドの no 形式を入力します。no オプションを使用すると、グループポリシーから値を継承できます。このコマンドには、デフォルトの動作や値はありません。

ACL を設定して、このユーザについて、さまざまなタイプのトラフィックを許可または拒否します。次に、vpn-filter コマンドを使用して、それらの ACL を適用します。


hostname(config-username)# vpn-filter  {value  ACL_name | none }
hostname(config-username)# no vpn-filter 
hostname(config-username)#

（注）

クライアントレス SSL VPN では、vpn-filter コマンドで定義された ACL は使用されません。

次に、anyuser という名前のユーザの、acl_vpn という ACL を呼び出すフィルタを設定する例を示します。


hostname(config)# username anyuser attributes
hostname(config-username)#  vpn-filter value acl_vpn
hostname(config-username)#

IPv4 アドレスとネットマスクの指定

特定のユーザに割り当てる IP アドレスとネットマスクを指定します。IP アドレスを削除するには、このコマンドの no 形式を入力します。


hostname(config-username)# vpn -framed-ip-address  {ip_address}
hostname(config-username)# no vpn -framed-ip-address 
hostname(config-username)

次に、anyuser という名前のユーザに IP アドレス 10.92.166.7 を設定する例を示します。


hostname(config)# username anyuser attributes
hostname(config-username)#  vpn-framed-ip-address 10.92.166.7
hostname(config-username)

前の手順で指定した IP アドレスに使用するネットワークマスクを指定します。no vpn-framed-ip-address コマンドを使用した場合は、ネットワークマスクを指定しないでください。サブネットマスクを削除するには、このコマンドの no 形式を入力します。デフォルトの動作や値はありません。


hostname(config-username)# vpn -framed-ip-netmask  {netmask}
hostname(config-username)# no vpn -framed-ip-netmask 
hostname(config-username)

次の例は、anyuser という名前のユーザに、サブネットマスク 255.255.255. 254 を設定する方法を示しています。


hostname(config)# username anyuser attributes
hostname(config-username)#  vpn-framed-ip-netmask 255.255.255.254
hostname(config-username)

IPv6 アドレスとネットマスクの指定

特定のユーザに割り当てる IPv6 アドレスとネットマスクを指定します。IP アドレスを削除するには、このコマンドの no 形式を入力します。


hostname(config-username)# vpn -framed-ipv6-address  {ip_address}
hostname(config-username)# no vpn -framed-ipv6-address 
hostname(config-username)

次に、anyuser という名前のユーザに IP アドレスとネットマスク 2001::3000:1000:2000:1/64 を設定する例を示します。このアドレスは、プレフィックス値 2001:0000:0000:0000 およびインターフェイス ID 3000:1000:2000:1 を示しています。


hostname(config)# username anyuser attributes
hostname(config-username)#  vpn-framed-ipv6-address 2001::3000:1000:2000:1/64
hostname(config-username)

トンネルプロトコルの指定

このユーザが使用できる VPN トンネルのタイプ（IPsec またはクライアントレス SSL VPN）を指定します。デフォルトは、デフォルトグループポリシーから取得される値で、IPsec になります。この属性を実行コンフィギュレーションから削除するには、このコマンドの no 形式を入力します。


hostname(config-username)# vpn-tunnel-protocol  {webvpn  | IPsec }
hostname(config-username)# no vpn-tunnel-protocol  [webvpn  | IPsec ]
hostname(config-username)

このコマンドのパラメータの値は、次のとおりです。

IPsec— 2 つのピア（リモートアクセスクライアントまたは別のセキュアゲートウェイ）間の IPsec トンネルをネゴシエートします。認証、暗号化、カプセル化、およびキー管理を制御するセキュリティアソシエーションを作成します。
webvpn— HTTPS 対応 Web ブラウザ経由でリモートユーザにクライアントレス SSL VPN アクセスを提供します。クライアントは不要です。

次の例は、anyuser という名前のユーザにクライアントレス SSL VPN および IPsec トンネリングモードを設定する方法を示しています。


hostname(config)# username anyuser attributes
hostname(config-username)# vpn-tunnel-protocol webvpn
hostname(config-username)# vpn-tunnel-protocol IPsec 
hostname(config-username)

リモートユーザアクセスの制限

value キーワードを指定して group-lock 属性を設定することにより、指定した既存の接続プロファイルだけを介してアクセスするようにリモートユーザを制限します。group-lock は、VPN クライアントで設定されたグループが、そのユーザが割り当てられている接続プロファイルと同じかどうかをチェックすることによって、ユーザを制限します。一致していない場合、ASA はユーザが接続できないようにします。グループロックを設定しない場合、ASA は、割り当てられたグループとは関係なく、ユーザを認証します。

group-lock 属性を実行コンフィギュレーションから削除するには、このコマンドの no 形式を入力します。このオプションを使用すると、値をグループポリシーから継承できます。group-lock をディセーブルにし、デフォルトまたは指定されたグループポリシーから group-lock の値を継承しないようにするには、none キーワードを指定して group-lock コマンドを入力します。


hostname(config-username)# group-lock  {value  tunnel-grp-name | none }
hostname(config-username)# no group-lock 
hostname(config-username)

次の例は、anyuser という名前のユーザにグループロックを設定する方法を示しています。


hostname(config)# username anyuser attributes
hostname(config-username)# group-lock value  tunnel-group-name
hostname(config-username)

ソフトウェアクライアントユーザのパスワード保存のイネーブル化

ユーザがログインパスワードをクライアントシステム上に保存するかどうかを指定します。パスワード保存は、デフォルトでディセーブルになっています。セキュアサイトにあることがわかっているシステム上でのみ、パスワードの保管をイネーブルにしてください。パスワード保存をディセーブルにするには、disable キーワードを指定して password-storage コマンドを入力します。password-storage 属性を実行コンフィギュレーションから削除するには、このコマンドの no 形式を入力します。これにより、password-storage の値をグループポリシーから継承できます。


hostname(config-username)# password-storage  {enable  | disable }
hostname(config-username)# no password-storage 
hostname(config-username)

このコマンドは、ハードウェアクライアントのインタラクティブハードウェアクライアント認証または個別ユーザ認証には関係ありません。

次の例は、anyuser という名前のユーザでパスワード保存をイネーブルにする方法を示しています。


hostname(config)# username anyuser attributes 
hostname(config-username)# password-storage enable 
hostname(config-username)

CLI ブック 3：Cisco ASA シリーズ VPN CLI 9.6 コンフィギュレーション ガイド

偏向のない言語

翻訳について

検索結果

章のタイトル： 接続プロファイル、グループ ポリシー、およびユーザ

接続プロファイル、グループ ポリシー、およびユーザ

接続プロファイル、グループ ポリシー、およびユーザの概要

接続プロファイル

接続プロファイルの一般接続パラメータ

IPSec トンネルグループ接続パラメータ

接続プロファイルの SSL VPN セッション接続パラメータ

接続プロファイルの設定

接続プロファイルの最大数

デフォルトの IPsec リモート アクセス接続プロファイルの設定

IPsec トンネルグループの一般属性

リモート アクセス接続プロファイルの設定

リモート アクセス接続プロファイルの名前とタイプの指定

手順

例:

リモート アクセス接続プロファイルの一般属性の設定

手順

二重認証の設定

手順

リモート アクセス接続プロファイルの IPSec IKEv1 属性の設定

手順

IPSec リモート アクセス接続プロファイルの PPP 属性の設定

手順

LAN-to-LAN 接続プロファイルの設定

デフォルトの LAN-to-LAN 接続プロファイルのコンフィギュレーション

LAN-to-LAN 接続プロファイルの名前とタイプの指定

LAN-to-LAN 接続プロファイルの一般属性の設定

手順

例:

例:

LAN-to-LAN IPSec IKEv1 属性の設定

手順

クライアントレス SSL VPN セッションの接続プロファイルの設定

クライアントレス SSL VPN セッションの一般トンネルグループ属性の設定

手順

クライアントレス SSL VPN セッションのトンネルグループ属性の設定

手順

例:

例:

クライアントレス SSL VPN セッションのユーザ用ログイン ウィンドウのカスタマイズ

手順

標準ベースの IKEv2 クライアントのトンネル グループについて

標準ベースの IKEv2 属性のサポート

DAP のサポート

リモート アクセス クライアントのトンネル グループ選択

標準ベースの IKEv2 クライアントの認証サポート

EAP ID を取得するためのクエリ ID オプションの設定

手順

パスワード管理用の Microsoft Active Directory の設定

次回ログイン時にパスワードの変更をユーザに強制するための Active Directory の使用

手順

Active Directory を使用したパスワードの最大有効日数の指定

手順

Active Directory を使用した最小パスワード長の強制

手順

Active Directory を使用したパスワードの複雑性の強制

手順

AnyConnect クライアントをサポートする RADIUS/SDI メッセージの接続プロファイルの設定

RADIUS/SDI メッセージをサポートするためのセキュリティ アプライアンスの設定

手順

例:

グループ ポリシー

デフォルトのグループ ポリシーの変更

グループ ポリシーの設定

外部グループ ポリシーの設定

手順

内部グループ ポリシーの作成

グループ ポリシー名

グループ ポリシーのバナー メッセージの設定

リモート アクセス接続のアドレス プールの指定

内部グループ ポリシーへの IPv4 アドレス プールの割り当て

始める前に

手順

例:

例:

例:

CLI ブック 3：Cisco ASA シリーズ VPN CLI 9.6 コンフィギュレーションガイド

章のタイトル：接続プロファイル、グループポリシー、およびユーザ

接続プロファイル、グループポリシー、およびユーザ

接続プロファイル、グループポリシー、およびユーザの概要

デフォルトの IPsec リモートアクセス接続プロファイルの設定

リモートアクセス接続プロファイルの設定

リモートアクセス接続プロファイルの名前とタイプの指定

リモートアクセス接続プロファイルの一般属性の設定

リモートアクセス接続プロファイルの IPSec IKEv1 属性の設定

IPSec リモートアクセス接続プロファイルの PPP 属性の設定

クライアントレス SSL VPN セッションのユーザ用ログインウィンドウのカスタマイズ

標準ベースの IKEv2 クライアントのトンネルグループについて

リモートアクセスクライアントのトンネルグループ選択

RADIUS/SDI メッセージをサポートするためのセキュリティアプライアンスの設定

グループポリシー

デフォルトのグループポリシーの変更

グループポリシーの設定

外部グループポリシーの設定

内部グループポリシーの作成

グループポリシー名

グループポリシーのバナーメッセージの設定

リモートアクセス接続のアドレスプールの指定

内部グループポリシーへの IPv4 アドレスプールの割り当て

内部グループポリシーへの IPv6 アドレスプールの割り当て

グループポリシーのトンネリングプロトコルの指定

リモートアクセスの VLAN の指定またはグループポリシーへの統合アクセスコントロールルールの適用

グループポリシーの VPN アクセス時間の指定

グループポリシーの同時 VPN ログインの指定

グループポリシーの VPN の最大接続時間の指定

グループポリシーの VPN セッションアイドルタイムアウトの指定

グループポリシーの WINS サーバと DNS サーバの設定

スプリットトンネリングポリシーの設定

スプリットトンネリング用のネットワークリストの指定

スプリットトンネル設定の確認

スプリットトンネリング用のドメイン属性の設定

スプリットトンネリング用のドメインリストの定義

Windows XP およびスプリットトンネリング用の DHCP 代行受信の設定

リモートアクセスクライアントで使用するためのブラウザプロキシ設定の設定

VPN ハードウェアクライアントの属性の設定

AnyConnect Secure Mobility Client 接続のグループポリシー属性の設定

バックアップサーバ属性の設定

ネットワークアドミッションコントロールパラメータの設定

VPN クライアントファイアウォールポリシーの設定

AnyConnect クライアントファイアウォールポリシーの設定

ファイアウォールクライアントタイプの Zone Labs への設定

クライアントファイアウォールのパラメータの設定