質問
概要
一般
ソフトウェア
その他の高度な機能
Cisco サポート コミュニティ - 特集対話
関連情報
概要
このドキュメントでは、Cisco VPN 3000 シリーズ コンセントレータについての FAQ に回答しています。
ドキュメント表記の詳細は、『シスコ テクニカル ティップスの表記法』を参照してください。
一般
Q. Q.「Lost Service」エラー メッセージは何を意味しているのですか。
A. VPN コンセントレータと VPN クライアントの間で送受信されるトラフィックが一定期間ないと、ピアがまだそこにあるかどうかを確認するために Dead Peer Detection（DPD）パケットが VPN コンセントレータから VPN クライアントに送信されます。 VPN クライアントが VPN コンセントレータに応答しないような 2 ピア間での接続上の問題がある場合、VPN コンセントレータは一定期間 DPD パケットを送信し続けます。 れにより、その間に応答を受け取らないと、トンネルが終了されてエラーが生成されます。 CiscoバグID CSCdz45586 (登録ユーザだけ)を参照して下さい。
エラーは次のようになります：
SEV=4 AUTH/28 RPT=381 XXX.XXX.XXX.XX User [SomeUser] disconnected:
Duration: HH:MM:SS Bytes xmt: 19560 Bytes rcv: 17704 Reason:
Lost Service YYYY/MM/DD HH:MM:SS XXX.XXX.XXX.XXX
syslog notice
45549 MM/DD/YYYY HH:MM:SS SEV=4 IKE/123 RPT=XXX.XXX.XXX.XXX
Group [SomeDefault] User [SomeUser]
IKE lost contact with remote peer, deleting connection (keepalive type: DPD)
原因： リモート IKE ピアが予測時間枠内でキープアライブに応答しなかったため、IKE ピアへの接続が削除されました。 メッセージには、使用されたキープアライブ メカニズムが含まれています。 この問題は、アクティブなトンネル セッション中にパブリック インターフェイスが接続解除されている場合にのみ再現可能です。 これらのイベントとしてネットワーク接続を監視する顧客のニーズはポテンシャルネットワーク接続上の問題の根本的な原因を正確に示す生成されます。
問題の発生したクライアント PC で %System Root%\Program Files\Cisco Systems\VPN Client\Profiles に移動して、IKE キープアライブをディセーブルにし、接続用に PCF ファイル（該当する場合）を編集します。
「ForceKeepAlives=0」（デフォルト）から「ForceKeepAlives=1」へ変更します。
問題が続く場合、Cisco テクニカルサポートでサービスリクエストをオープンし、問題が発生した際の VPN コンセントレータのログおよびクライアントの「Log Viewer」を提供してください。
Q. EMQ1 キューで検出された「q_send」障害のエラー メッセージは何を意味しているのですか。
A. このエラー メッセージは、バッファ内にデバッグ イベントや情報が多すぎる場合に表示されます。 これにより少数のイベント メッセージが失われる可能性がある以外、悪影響はありません。 メッセージを防ぐのに必要な最小の数にイベントを減らすようにしてください。
Q. 削除されたグループがまだ VPN コンセントレータの設定に表示されています。 これを削除するにはどうすればよいのですか。
A. 設定をテキスト エディタ（Notepad など）にコピーし、[ipaddrgrouppool #.0] で表示されている該当のグループ情報を手動で編集または削除します。 設定を保存し、VPN コンセントレータにアップロードしてください。 次に例を示します。
!--- Change to 14.1 or any other number that is not in use
!--- any number other than 0).
[ipaddrgrouppool 14.0]
rowstatus=1
rangename=
startaddr=172.18.124.1
endaddr=172.18.124.2
Q. 複数のプライマリ SDI サーバを置くことは可能ですか。
A. VPN 3000 コンセントレータが一度にダウンロードできるのは 1 ノード シークレット ファイルだけです。 SDI バージョン 5.0 よりも前では、複数の SDI サーバを追加できますが、すべてのサーバで同じノード シークレット ファイルを共有する必要があります（プライマリおよびバックアップ サーバとして考えてください）。 SDI バージョン 5.0 で入力できるのは、1 つのプライマリ SDI サーバ（バックアップ サーバはノード シークレット ファイルにリストされる）とレプリカ サーバだけです。
Q. Q.「SSL certificate will expire in 28 days（SSL 認証が 28 日以内に期限切れになります）」発行元エラー メッセージが表示されます。 どうすればいいですか。
A. このメッセージは、Secure Socket Layer（SSL）証明書が 28 日後に期限切れになることを示します。 この認証は、HTTPS で Web 管理をブラウズする際に使用されます。 認証をデフォルト設定のままにするか、さまざまなオプションを設定してから新しい認証を生成できます。 これをするためにConfiguration > System > Management Protocols > SSLの順に選択して下さい。 Administration > Certificate Managementの順に選択し、認証を更新するために「Generate」をクリックして下さい。
VPN コンセントレータのセキュリティが心配であり、権限のないアクセスを防ぐ必要がある場合、Configuration > Policy Management > Traffic Management > Filters を選択して、パブリック インターフェイスの HTTP または HTTPS を無効にします。 HTTP または HTTPS により、インターネット経由で VPN コンセントレータにアクセスする必要がある場合、Administration > Access Rights > Access Control List を選択して、送信元アドレスに基づいてアクセスを指定できます。 詳細については、ウィンドウの右上にあるヘルプ メニューを使用してください。
Q. 内部ユーザ データベースでユーザ情報を表示するにはどうすればいいですか。 コンフィギュレーション ファイルを参照しても表示されません。
A. configをAdministration > Access Rights > Access Settingsの順に選択し、「Config File Encryption=None」を選択し、ユーザおよびパスワードを表示するために保存して下さい。 特定のユーザを検索できます。
Q. 内部データベースにはどれくらいのユーザを保存できますか。
A. ユーザの数はバージョンによって異なり、VPN 3000 コンセントレータ リリース用のユーザ ガイドの「Configuration > User Management」の項に記載されています。 VPN 3000 リリース 2.2 ～ 2.5.2 では、合計で 100 のユーザまたはグループ（ユーザとグループの合計を 100 以下にする必要がある）を保存できます。 VPN 3000リリース3.0およびそれ以降では、3005および3015のコンセントレータのための番号は100時に残ります。 VPN 3030および3020コンセントレータに関しては、番号は500、VPN 3060か3080コンセントレータのために、番号です1000です。 また、外部認証サーバを使用してスケーラビリティおよび管理性を改善します。
Q. トンネル デフォルト ゲートウェイとデフォルト ゲートウェイはどこが違いますか。
A. VPN 3000 コンセントレータは、トンネル デフォルト ゲートウェイを使用して、プライベート ネットワーク（通常は内部ルータ）内部でトンネル ユーザをルーティングします。 VPN コンセントレータは、デフォルト ゲートウェイを使用して、インターネット（通常は外部ルータ）にパケットをルーティングします。
Q. アクセス コントロール リストを実行しているファイアウォールまたはルータの背後に VPN 3000 コンセントレータを配置する場合、どのポートとプロトコルの通過を許可すればいいですか。
A. 次の図は、ポートとプロトコルのリストです。
|
サービス |
プロトコル番号 |
送信元ポート |
宛先ポート |
|
PPTP 制御接続 |
6（TCP） |
1023 |
1723 |
|
PPTP トンネル カプセル化 |
47（GRE） |
N/A |
N/A |
|
ISAKMP/IPSec キー管理 |
17（UDP） |
500 |
500 |
|
IPSec トンネル カプセル化 |
50（ESP） |
N/A |
N/A |
|
IPSec NAT 透過性 |
17（UDP） |
10000（デフォルト） |
10000（デフォルト） |
注： Network Address Translation（NAT; ネットワーク アドレス変換）透過性ポートは、4001 〜 49151 の範囲内にある任意の値に設定できます。 バージョン3.5またはそれ以降では、Configuration > System > Tunneling Protocols > IPsecの順に進むことによって> IPSec over TCP IPSec over TCPを設定できます。 最大 10 個の TCP ポート（1～65535）をコンマで区切って入力できます。 このオプションを設定する場合は、これらのポートが、アクセス コントロール リストを実行しているファイアウォールまたはルータで許可されていることを確認してください。
Q. VPN コンセントレータの設定を工場出荷時のデフォルトに戻すにはどうすればいいですか。
A. File Management 画面から「config」ファイルを削除し、リブートします。 このファイルを誤って削除した場合、バックアップ コピー「config.bak」が残っています。
Q. 管理認証に TACACS+ を使用できますか。 また、使用する場合はどのような点に注意すればよいのですか。
A. はい、VPN 3000 コンセントレータ リリース 3.0 以降であれば、管理認証に TACACS+ を使用できます。 TACACS+ の設定が完了したら、ログ アウトする前に必ず認証をテストしてください。 TACACS+ の設定が誤っているとロック アウトされる可能性があります。 そうなると、コンソール ポートからログインして、TACACS+ を無効にして問題を解決する必要があります。
Q. 管理パスワードを忘れた場合はどうすればいいですか。
A. バージョン 2.5.1 以降では、PC を VPN コンセントレータのコンソール ポートにストレート型 RS-232 シリアル ケーブルで接続し、PC を次のように設定します。
-
9600 bits per second
-
8 データ ビット
-
パリティなし
-
1 ストップ ビット
-
ハードウェア フロー制御オン
-
VT100 エミュレーション
VPN コンセントレータをリブートします。 診断チェックが完了すると、コンソールに 3 個のドット（...）のみの行が表示されます。 これらのドットが表示されたら、3 秒以内に Ctrl+C キーを押します。 システム パスワードをデフォルトにリセットするためのメニューが表示されます。
Q. グループ名とグループ パスワードの目的は何ですか。
A. グループ名とグループ パスワードはハッシュを作成するために使用され、このハッシュはセキュリティ結合を作成するために使用されます。
Q. VPN コンセントレータはトンネル ユーザのためにプロキシ ARP を実行しますか。
A. あります。
Q. VPN 3000 コンセントレータはネットワークのファイアウォールに対してどこに配置すればいいですか。
A. VPN 3000 コンセントレータは、ファイアウォールの手前または背後、ファイアウォールと並列に、あるいはファイアウォールの Demilitarized Zone（DMZ）内に配置できます。 同じ Virtual LAN（VLAN; 仮想 LAN）内にパブリック インターフェイスとプライベート インターフェイスを持つことはお勧めできません。
Q. Cisco VPN 3000 コンセントレータでプロキシ ARP をディセーブルにする方法はありますか。
A. Cisco VPN 3000 コンセントレータでは、プロキシ Address Resolution Protocol（ARP; アドレス解決プロトコル）をディセーブルにできません。
Q. VPN 3000 コンセントレータに対してファイルされているバグはどこで検索できますか。
A. ユーザはバグについての詳細な情報を見つけるのにBug Toolkit (登録ユーザだけ)を使用できます。
Q. VPN 3000 コンセントレータのコンフィギュレーション例はどこで見ることができますか。
A. 「VPN 3000 Concentrator 文書」のほかに、「Cisco VPN 3000 シリーズ コンセントレータに関するサポートページ」にもコンフィギュレーション例が掲載されています。
Q. 特定のイベントに関する適切なデバッグを取得するためにロギングを増やすにはどうすればいいですか。
A. (IPsecかPPTPのような)特定のイベントをConfiguration > System > Events > Classesの順に進み、よりよいデバッグを得るために設定できます。 デバッグを有効にするとパフォーマンスが低下するおそれがあるため、デバッグを有効にするのはトラブルシューティングを実施している間のみにしてください。 IPSec のデバッグ時には、IKE、IKEDBG、IPSEC、IPSECDBG、AUTH、および AUTHDBG を有効にします。 証明書を使用している場合は、CERT クラスをリストに追加してください。
Q. VPN 3000 コンセントレータへのトラフィックをモニタするにはどうすればいいですか。
A. VPN 3000 コンセントレータに付属している HTML インターフェイスの Monitoring > Sessions の下に基本的なモニタリング機能があります。 また、任意の SNMP マネージャを使用して、Simple Network Management Protocol（SNMP; 簡易ネットワーク管理プロトコル）経由で VPN 3000 コンセントレータを監視できます。 あるいは、Cisco VPN/Security Management Solution（VMS; VPN/セキュリティ管理ソリューション）を購入できます。 Cisco VMS により、VPN 3000 コンセントレータ シリーズを配備して、IPSec、L2TP、および PPTP に基づくリモート アクセスとサイトツーサイト VPN の詳細なモニタリングを行う必要がある場合に役立つ重要な機能が提供されます。 VMS の詳細については、『VPN セキュリティ マネジメント ソリューション』を参照してください。
Q. Cisco VPN 3000 コンセントレータ シリーズには統合ファイアウォールが備わっていますか。 その場合、どんな機能がサポートされますか。
A. このシリーズにはステートレス ポート/フィルタリング機能と NAT が備わっていますが、Cisco では企業のファイアウォールには Cisco Secure PIX Firewall などのデバイスを使用することをお勧めします。
Q. Cisco VPN 3000 コンセントレータ シリーズでは、どんなルーティング オプションと VPN プロトコルがサポートされていますか。
A. このシリーズでは、次のルーティングオプションをサポートしています。
-
Routing Information Protocol（RIP; ルーティング情報プロトコル）
-
RIP2
-
Open Shortest Path First（OSPF）
-
スタティック ルート
-
Virtual Router Redundancy Protocol（VRRP; 仮想ルータ冗長プロトコル）
サポートされている VPN プロトコルには、Point-to-Point Tunneling Protocol（PPTP）、L2TP、L2TP/IPSec、および IPSec などがあります。これらはすべて、VPN 3000 とエンド クライアントとの間に NAT デバイスがある場合とない場合の両方に対応しています。 NAT を介した IPSec は NAT 透過性と呼ばれます。
Q. Cisco VPN 3000 コンセントレータ シリーズは、クライアント PC としてどんな認証メカニズムやシステムをサポートしていますか。
A. NT ドメイン、RADIUS または RADIUS プロキシ、RSA Security SecurID（SDI）、デジタル証明書、および内部認証をサポートしています。
Q. VPN 3000 コンセントレータを経由して外部に出て行くユーザに対して、スタティック Network Address Translation（NAT; ネットワーク アドレス変換）を実行できますか。
A. 外部に出て行くユーザに対しては Port Address Translation（PAT; ポート アドレス変換）のみが可能です。 VPN 3000 コンセントレータでは、スタティック NAT は実行できません。
Q. VPN 3000 コンセントレータを経由する特定の Point-to-Point Tunneling Protocol（PPTP）ユーザまたは IPSec ユーザに対して固定 IP アドレスを割り当てるにはどうすればよいのですか。
A. 次のリストで、固定 IP アドレスを割り当てる方法について説明します。
-
PPTPユーザ
IP Address Management セクションで、your pool オプションまたは Dynamic Host Configuration Protocol（DHCP; ダイナミック ホスト コンフィギュレーション プロトコル）オプションを選択して、Use Client Address オプションをチェックします。 次に、ユーザと、VPN 3000 コンセントレータにおける IP アドレスを定義します。 このユーザが接続するときは常に、VPN コンセントレータに設定された IP アドレスが付与されます。
-
IPSecユーザ
IP Address Management セクションで、your pool オプションまたは DHCP オプションを選択して、Use Address from Authentication Server オプションをチェックします。 次に、ユーザと、VPN 3000 コンセントレータにおける IP アドレスを定義します。 このユーザが接続するときは常に、VPN コンセントレータに設定された IP アドレスが付与されます。 同じグループまたは他のグループに属する他のユーザはすべて、グローバル プールまたは DHCP から IP アドレスを付与されます。
Cisco VPN 3000 コンセントレータ ソフトウェア バージョン 3.0 以降には、グループ単位でアドレス プールを設定するオプションがあります。 この機能は、特定のユーザにスタティック IP アドレスを割り当てる場合にも役立ちます。 あるグループにプールを設定した場合、固定 IP を持つユーザにはそのユーザ専用に割り当てられた IP アドレスが付与され、同じグループの他のメンバにはグループ プールから IP アドレスが付与されます。 これが適用されるのは、認証サーバとして VPN コンセントレータを使用する場合のみです。
注： 外部認証サーバを使用している場合は、アドレスを正しく割り当てるためにはその外部サーバを使用する必要があります。
Q. Microsoft のPPTP 製品とVPN 3000 コンセントレータとのよく知られた互換性の問題とは何ですか。
A. この情報はVPN 3000シリーズコンセントレータソフトウェアリリース3.5およびそれ以降に基づいています; VPN 3000シリーズコンセントレータ、モデル3005、3015、3020、3030、3060、3080; および Microsoft オペレーティング システム Windows 95 以降に基づいています。
Q. VPN 3000 コンセントレータで使用できるフィルタの最大数はどのくらいですか。
A. VPN 30xxユニットで追加できるフィルタの最大数は(3030または3060) 100時で固定です。 ユーザはCiscoバグID CSCdw86558 (登録ユーザだけ)の表示によってこの問題についてのその他の情報を検索できます。
Q. VPN コンセントレータの 30xx 回線内のルートの最大数はどのくらいですか。
A. ルートの最大数は次のとおりです。
-
以前、VPN 3005 コンセントレータで保持されていたルートは最大で 200。 現在では、この数字は 350 ルートに増加しています。 CiscoバグID CSCeb35779 (登録ユーザだけ)を詳細については参照して下さい。
-
VPN 3030 コンセントレータでは、最大 10,000 のルートがテストされている。
-
VPN 3030、3060、および 3080 コンセントレータのルーティング テーブル制限は、各デバイスで使用できるリソースやメモリに比例する。
-
VPN 3015 コンセントレータには、最大制限が事前定義されていない。 これは、Routing Information Protocol（RIP; ルーティング情報プロトコル）および Open Shortest Path First（OSPF）プロトコルについても当てはまります。
-
VPN 3020 コンセントレータ：Microsoft の制限により、Windows XP の PC では Classless Static Route（CSR）を大量に受け取ることはできない。 VPN 3000 コンセントレータでは、設定により DHCP INFORM メッセージ応答に挿入される CSR の数が制限されます。 VPN 3000 コンセントレータでは、クラスにより、ルートの数を 28 〜 42 に制限します。
Q. VPN 3000 コンセントレータのインターフェイス統計情報を完全にクリアするにはどうすればいいですか。
A. 統計情報をMonitoring > Statistics > MIB-II > Ethernetの順に選択し、現在のセッションのための統計情報を削除するためにリセットして下さい。 これでは統計情報が完全にティアダウンされない点に注意してください。 （監視目的のリセットに対して）統計情報を実際にリセットするには、リブートする必要があります。
Q. VPN コンセントレータで Network Time Protocol（NTP; ネットワーク タイム プロトコル）通信用に許可するのはどのポートですか。
A. TCP および UDP ポート 123 を許可します。
Q. UDP ポート 625xx にはどのような機能がありますか。
A. このポートは、実際のshim/Deterministic NDIS Extender（DNE）と PC の TCP/IP スタックの間の VPN Client 通信に使用するものであり、内部開発専用です。 たとえば、ポート 62515 は、VPN Client により VPN Client ログに情報を送信する目的で使用されます。 その他のポートの機能を次に示します。
-
62514：Cisco Systems, Inc. VPN Service から Cisco Systems IPSec ドライバへ
-
62515：Cisco Systems IPSec ドライバから Cisco Systems, Inc. VPN Service へ
-
62516：Cisco Systems, Inc. VPN Service から XAUTH へ
-
62517：XAUTH から Cisco Systems, Inc. VPN Service へ
-
62518：Cisco Systems, Inc. VPN Service から CLI へ
-
62519：CLI から Cisco Systems, Inc. VPN Service へ
-
62520：Cisco Systems, Inc. VPN Service から UI へ
-
62521：UI から Cisco Systems, Inc. VPN Service へ
-
62522：ログ メッセージ
-
62523：Connection Manager から Cisco Systems, Inc. VPN Service へ
-
62524：PPPTool から Cisco Systems, Inc. VPN Service へ
Q. WebVPN フローティング バーを削除できますか。
A. WebVPN セッションを確立する間、フローティング ツールバーの削除や、フローティング ツールバーをロードしないようにすることはできません。 この理由は、このウィンドウを閉じる際にセッションがただちに終了し、再度ログインを試みる際にウィンドウが再びロードされるためです。 これは、WebVPN セッションの元々の設計です。 メイン ウィンドウを閉じることができますが、フローティング ウィンドウを閉じることはできません。
ソフトウェア
Q. WebVPN では Outlook Web Access（OWA）2003 をサポートしていますか。
A. VPN 3000コンセントレータのWebVPNのためのOWA 2003サポートはバージョン4.1.7ダウンロード(登録ユーザだけ)と現在利用できます。
Q. VPN 3000 コンセントレータの最新のソフトウェア リビジョンはどこで入手できますか。
A. すべてのCisco VPN 3000コンセントレータは最新コードと出荷します、ユーザは現在のソフトウェアが利用できるかどうかダウンロード(登録ユーザだけ)を確認できます。
VPN 3000 コンセントレータの最新のドキュメンテーションは、『Cisco VPN 3000 シリーズ コンセントレータ』ドキュメンテーション ページを参照してください。
Q. VPN 3000 コンセントレータをアップグレードするためには TFTP サーバが必要ですか。 ボックスをアップグレードするための代替方法がありますか。
A. TFTP を使用する以外の方法で VPN コンセントレータをアップグレードするには、まず最新のソフトウェアをハード ドライブにダウンロードします。 次に、ソフトウェアが配置されたシステムのブラウザで Administration > Software Update の順に進み、ファイルを開く場合と同じ要領で、ハード ドライブにダウンロードしたファイルを探します。 ダウンロードしたファイルが見つかったら、Upload タブを選択します。
Q. 最新のコード名に含まれる「k9」（「vpn3000-3.0.4.Rel-k9.bin」など）は何を意味していますか。
A. イメージ名に含まれる「k9」は、元々「3DES」が使用されていた部分（vpn3000-2.5.2.F-3des.bin など）の新しい名称です。 したがって「k9」は、これが 3DES イメージであることを意味します。
Q. すべてのユーザに対して IPSec グループのデータ圧縮オプションを使用する必要があるのですか。
A. データ圧縮を有効にすると、ユーザ セッション当たりのメモリ要件と CPU 使用率が増加し、その結果、VPN コンセントレータのスループット全体が低下します。 そのため Cisco では、グループの全メンバがモデムで接続するリモート ユーザである場合に限り、データ圧縮を有効にすることをお勧めします。 グループの中にブロードバンドを通じて接続するメンバがいる場合は、そのグループのデータ圧縮は有効にしないでください。 その代わりにグループを 2 つに分け、1 つをモデム ユーザ、もう 1 つをブロードバンド ユーザにしてください。 モデム ユーザのグループに対してのみデータ圧縮を有効にしてください。
その他の高度な機能
Q. LAN-to-LAN 接続でロード バランシングは機能しますか。
A. ロード バランシングは、Cisco VPN Software Client（リリース 3.0 以降）によって開始されたリモート セッションにおいてのみ効果があります。 他のすべてのクライアント（PPTP、L2TP）と LAN-to-LAN 接続は、ロード バランシングが有効に設定されている VPN コンセントレータに接続できますが、ロード バランシングには参加できません。
Q. configファイルからのパスワードを復号化する方法
A. 次に管理に>管理プロトコル> XMLおよびConfiguration > Systemの順に進んで下さい ファイル管理プログラム選定されたXMLフォーマット。 同じ名前を、または別使用し、パスワードを表示するためにファイルを開いて下さい。
Q. Virtual Router Redundancy Protocol（VRRP）とロード バランシングを併用できますか。
A. VRRP とともにロード バランシングを使用できません。 VRRP コンフィギュレーションでは、アクティブな VPN コンセントレータが故障しない限り、バックアップ デバイスはアイドルのままです。 負荷バランシング設定では、アイドル状態のデバイスがありません。
Q. リモート アクセス クライアントの VPN トラフィックはすべて、企業またはサービス プロバイダーに設置されている VPN コンセントレータへの暗号化トンネルを通過する必要があるのですか。 たとえば、他のサイトへ普通の Web アクセスを実行する場合に、ISP のインターネット接続を通じて直接、オープンにアクセスすることはできますか。
A. あります。 この概念は「スプリット トンネリング」と呼ばれます。 スプリット トンネリングでは、暗号化されたトンネルを通じて企業リソースに安全にアクセスできると同時に、ISP のリソースを通じてインターネットに直接アクセスできます（Web アクセスのパスから企業ネットワークが除去されます）。 Cisco VPN 3000 コンセントレータ シリーズは、Cisco VPN Client と VPN 3002 Hardware Client の両方に対してスプリット トンネリングをサポートしています。 セキュリティ強化のため、この機能を制御できるのはユーザではなく、VPN コンセントレータの管理者になります。
Q. スプリット トンネリングを使用することは安全ですか。
A. スプリット トンネリングには、VPN トンネル経由で接続されている一方で、インターネットをブラウズするという便利さがあります。 しかし、企業ネットワークに接続された VPN ユーザが攻撃を受けやすい状況にある場合は危険が生じます。 この場合は、各ユーザがパーソナル ファイアウォールを使用することをお勧めします。 特定の VPN Client バージョンのリリース ノートに、パーソナル ファイアウォールとの相互運用性に関する情報が記載されています。
Q. Cisco VPN 3000 コンセントレータでは、ロード バランシングはどう機能しますか。
A. 負荷は、アクティブな接続数を、設定された最大の接続数で割ったパーセンテージとして算出されます。 マスターは常に負荷を最小限に抑えようとします。これは、マスターがすべての LAN-to-LAN 管理セッションを維持し、他のすべてのクラスタ メンバの負荷を計算するという追加の（固有の）負荷と、すべてのクライアントのリダイレクトを担っているためです。
新しく設定された機能クラスタでは、接続が確立される前のマスターの負荷はおよそ 1 % です。 そのため、マスターは、バックアップ コンセントレータの負荷がマスターの負荷のパーセンテージよりも大きくなるまで、バックアップ コンセントレータに接続をリダイレクトします。 たとえば、2 台の VPN 3030 コンセントレータが「アイドル」状態にあり、マスターの負荷が 1 % であるとします。 マスターが接続を受け入れる前に、セカンダリに 30 の接続（2 % の負荷）が割り当てられます。
マスターが接続を許可することを確認するために、> General > SessionsをConfiguration > Systemの順に進み、低い数字に急激にバックアップVPNコンセントレータでかかる負荷を増加するために接続の最大数を人工的に下げて下さい。
Q. VPN モニタにより追跡できるヘッドエンド デバイスはいくつですか。
A. VPN モニタでは、20 台のヘッドエンド デバイスを追跡できます。 ハブアンドスポーク シナリオでは、リモート サイトからの接続はヘッドエンドで監視されます。 情報はハブ ルータ上で追跡できるため、リモート サイトおよびユーザをすべて監視する必要はありません。 これらのヘッドエンド デバイスでは、最大 20,000 人のリモート ユーザまたは 2,500 のリモート サイトをサポートできます。 スポーク サイトに向かうデュアルホーム VPN デバイスは、監視できる最大 20 台のデバイスのうちの 2 台としてカウントされます。
Cisco サポート コミュニティ - 特集対話
Cisco サポート コミュニティでは、フォーラムに参加して情報交換することができます。現在、このドキュメントに関連するトピックについて次のような対話が行われています。
概要
このドキュメントでは、Cisco VPN 3000 シリーズ コンセントレータについての FAQ に回答しています。
ドキュメント表記の詳細は、『シスコ テクニカル ティップスの表記法』を参照してください。
一般
Q. Q.「Lost Service」エラー メッセージは何を意味しているのですか。
A. VPN コンセントレータと VPN クライアントの間で送受信されるトラフィックが一定期間ないと、ピアがまだそこにあるかどうかを確認するために Dead Peer Detection（DPD）パケットが VPN コンセントレータから VPN クライアントに送信されます。 VPN クライアントが VPN コンセントレータに応答しないような 2 ピア間での接続上の問題がある場合、VPN コンセントレータは一定期間 DPD パケットを送信し続けます。 れにより、その間に応答を受け取らないと、トンネルが終了されてエラーが生成されます。 CiscoバグID CSCdz45586 (登録ユーザだけ)を参照して下さい。
エラーは次のようになります：
SEV=4 AUTH/28 RPT=381 XXX.XXX.XXX.XX User [SomeUser] disconnected:
Duration: HH:MM:SS Bytes xmt: 19560 Bytes rcv: 17704 Reason:
Lost Service YYYY/MM/DD HH:MM:SS XXX.XXX.XXX.XXX
syslog notice
45549 MM/DD/YYYY HH:MM:SS SEV=4 IKE/123 RPT=XXX.XXX.XXX.XXX
Group [SomeDefault] User [SomeUser]
IKE lost contact with remote peer, deleting connection (keepalive type: DPD)
原因： リモート IKE ピアが予測時間枠内でキープアライブに応答しなかったため、IKE ピアへの接続が削除されました。 メッセージには、使用されたキープアライブ メカニズムが含まれています。 この問題は、アクティブなトンネル セッション中にパブリック インターフェイスが接続解除されている場合にのみ再現可能です。 これらのイベントとしてネットワーク接続を監視する顧客のニーズはポテンシャルネットワーク接続上の問題の根本的な原因を正確に示す生成されます。
問題の発生したクライアント PC で %System Root%\Program Files\Cisco Systems\VPN Client\Profiles に移動して、IKE キープアライブをディセーブルにし、接続用に PCF ファイル（該当する場合）を編集します。
「ForceKeepAlives=0」（デフォルト）から「ForceKeepAlives=1」へ変更します。
問題が続く場合、Cisco テクニカルサポートでサービスリクエストをオープンし、問題が発生した際の VPN コンセントレータのログおよびクライアントの「Log Viewer」を提供してください。
Q. EMQ1 キューで検出された「q_send」障害のエラー メッセージは何を意味しているのですか。
A. このエラー メッセージは、バッファ内にデバッグ イベントや情報が多すぎる場合に表示されます。 これにより少数のイベント メッセージが失われる可能性がある以外、悪影響はありません。 メッセージを防ぐのに必要な最小の数にイベントを減らすようにしてください。
Q. 削除されたグループがまだ VPN コンセントレータの設定に表示されています。 これを削除するにはどうすればよいのですか。
A. 設定をテキスト エディタ（Notepad など）にコピーし、[ipaddrgrouppool #.0] で表示されている該当のグループ情報を手動で編集または削除します。 設定を保存し、VPN コンセントレータにアップロードしてください。 次に例を示します。
!--- Change to 14.1 or any other number that is not in use
!--- any number other than 0).
[ipaddrgrouppool 14.0]
rowstatus=1
rangename=
startaddr=172.18.124.1
endaddr=172.18.124.2
Q. 複数のプライマリ SDI サーバを置くことは可能ですか。
A. VPN 3000 コンセントレータが一度にダウンロードできるのは 1 ノード シークレット ファイルだけです。 SDI バージョン 5.0 よりも前では、複数の SDI サーバを追加できますが、すべてのサーバで同じノード シークレット ファイルを共有する必要があります（プライマリおよびバックアップ サーバとして考えてください）。 SDI バージョン 5.0 で入力できるのは、1 つのプライマリ SDI サーバ（バックアップ サーバはノード シークレット ファイルにリストされる）とレプリカ サーバだけです。
Q. Q.「SSL certificate will expire in 28 days（SSL 認証が 28 日以内に期限切れになります）」発行元エラー メッセージが表示されます。 どうすればいいですか。
A. このメッセージは、Secure Socket Layer（SSL）証明書が 28 日後に期限切れになることを示します。 この認証は、HTTPS で Web 管理をブラウズする際に使用されます。 認証をデフォルト設定のままにするか、さまざまなオプションを設定してから新しい認証を生成できます。 これをするためにConfiguration > System > Management Protocols > SSLの順に選択して下さい。 Administration > Certificate Managementの順に選択し、認証を更新するために「Generate」をクリックして下さい。
VPN コンセントレータのセキュリティが心配であり、権限のないアクセスを防ぐ必要がある場合、Configuration > Policy Management > Traffic Management > Filters を選択して、パブリック インターフェイスの HTTP または HTTPS を無効にします。 HTTP または HTTPS により、インターネット経由で VPN コンセントレータにアクセスする必要がある場合、Administration > Access Rights > Access Control List を選択して、送信元アドレスに基づいてアクセスを指定できます。 詳細については、ウィンドウの右上にあるヘルプ メニューを使用してください。
Q. 内部ユーザ データベースでユーザ情報を表示するにはどうすればいいですか。 コンフィギュレーション ファイルを参照しても表示されません。
A. configをAdministration > Access Rights > Access Settingsの順に選択し、「Config File Encryption=None」を選択し、ユーザおよびパスワードを表示するために保存して下さい。 特定のユーザを検索できます。
Q. 内部データベースにはどれくらいのユーザを保存できますか。
A. ユーザの数はバージョンによって異なり、VPN 3000 コンセントレータ リリース用のユーザ ガイドの「Configuration > User Management」の項に記載されています。 VPN 3000 リリース 2.2 ～ 2.5.2 では、合計で 100 のユーザまたはグループ（ユーザとグループの合計を 100 以下にする必要がある）を保存できます。 VPN 3000リリース3.0およびそれ以降では、3005および3015のコンセントレータのための番号は100時に残ります。 VPN 3030および3020コンセントレータに関しては、番号は500、VPN 3060か3080コンセントレータのために、番号です1000です。 また、外部認証サーバを使用してスケーラビリティおよび管理性を改善します。
Q. トンネル デフォルト ゲートウェイとデフォルト ゲートウェイはどこが違いますか。
A. VPN 3000 コンセントレータは、トンネル デフォルト ゲートウェイを使用して、プライベート ネットワーク（通常は内部ルータ）内部でトンネル ユーザをルーティングします。 VPN コンセントレータは、デフォルト ゲートウェイを使用して、インターネット（通常は外部ルータ）にパケットをルーティングします。
Q. アクセス コントロール リストを実行しているファイアウォールまたはルータの背後に VPN 3000 コンセントレータを配置する場合、どのポートとプロトコルの通過を許可すればいいですか。
A. 次の図は、ポートとプロトコルのリストです。
|
サービス |
プロトコル番号 |
送信元ポート |
宛先ポート |
|
PPTP 制御接続 |
6（TCP） |
1023 |
1723 |
|
PPTP トンネル カプセル化 |
47（GRE） |
N/A |
N/A |
|
ISAKMP/IPSec キー管理 |
17（UDP） |
500 |
500 |
|
IPSec トンネル カプセル化 |
50（ESP） |
N/A |
N/A |
|
IPSec NAT 透過性 |
17（UDP） |
10000（デフォルト） |
10000（デフォルト） |
注： Network Address Translation（NAT; ネットワーク アドレス変換）透過性ポートは、4001 〜 49151 の範囲内にある任意の値に設定できます。 バージョン3.5またはそれ以降では、Configuration > System > Tunneling Protocols > IPsecの順に進むことによって> IPSec over TCP IPSec over TCPを設定できます。 最大 10 個の TCP ポート（1～65535）をコンマで区切って入力できます。 このオプションを設定する場合は、これらのポートが、アクセス コントロール リストを実行しているファイアウォールまたはルータで許可されていることを確認してください。
Q. VPN コンセントレータの設定を工場出荷時のデフォルトに戻すにはどうすればいいですか。
A. File Management 画面から「config」ファイルを削除し、リブートします。 このファイルを誤って削除した場合、バックアップ コピー「config.bak」が残っています。
Q. 管理認証に TACACS+ を使用できますか。 また、使用する場合はどのような点に注意すればよいのですか。
A. はい、VPN 3000 コンセントレータ リリース 3.0 以降であれば、管理認証に TACACS+ を使用できます。 TACACS+ の設定が完了したら、ログ アウトする前に必ず認証をテストしてください。 TACACS+ の設定が誤っているとロック アウトされる可能性があります。 そうなると、コンソール ポートからログインして、TACACS+ を無効にして問題を解決する必要があります。
Q. 管理パスワードを忘れた場合はどうすればいいですか。
A. バージョン 2.5.1 以降では、PC を VPN コンセントレータのコンソール ポートにストレート型 RS-232 シリアル ケーブルで接続し、PC を次のように設定します。
-
9600 bits per second
-
8 データ ビット
-
パリティなし
-
1 ストップ ビット
-
ハードウェア フロー制御オン
-
VT100 エミュレーション
VPN コンセントレータをリブートします。 診断チェックが完了すると、コンソールに 3 個のドット（...）のみの行が表示されます。 これらのドットが表示されたら、3 秒以内に Ctrl+C キーを押します。 システム パスワードをデフォルトにリセットするためのメニューが表示されます。
Q. グループ名とグループ パスワードの目的は何ですか。
A. グループ名とグループ パスワードはハッシュを作成するために使用され、このハッシュはセキュリティ結合を作成するために使用されます。
Q. VPN コンセントレータはトンネル ユーザのためにプロキシ ARP を実行しますか。
A. あります。
Q. VPN 3000 コンセントレータはネットワークのファイアウォールに対してどこに配置すればいいですか。
A. VPN 3000 コンセントレータは、ファイアウォールの手前または背後、ファイアウォールと並列に、あるいはファイアウォールの Demilitarized Zone（DMZ）内に配置できます。 同じ Virtual LAN（VLAN; 仮想 LAN）内にパブリック インターフェイスとプライベート インターフェイスを持つことはお勧めできません。
Q. Cisco VPN 3000 コンセントレータでプロキシ ARP をディセーブルにする方法はありますか。
A. Cisco VPN 3000 コンセントレータでは、プロキシ Address Resolution Protocol（ARP; アドレス解決プロトコル）をディセーブルにできません。
Q. VPN 3000 コンセントレータに対してファイルされているバグはどこで検索できますか。
A. ユーザはバグについての詳細な情報を見つけるのにBug Toolkit (登録ユーザだけ)を使用できます。
Q. VPN 3000 コンセントレータのコンフィギュレーション例はどこで見ることができますか。
A. 「VPN 3000 Concentrator 文書」のほかに、「Cisco VPN 3000 シリーズ コンセントレータに関するサポートページ」にもコンフィギュレーション例が掲載されています。
Q. 特定のイベントに関する適切なデバッグを取得するためにロギングを増やすにはどうすればいいですか。
A. (IPsecかPPTPのような)特定のイベントをConfiguration > System > Events > Classesの順に進み、よりよいデバッグを得るために設定できます。 デバッグを有効にするとパフォーマンスが低下するおそれがあるため、デバッグを有効にするのはトラブルシューティングを実施している間のみにしてください。 IPSec のデバッグ時には、IKE、IKEDBG、IPSEC、IPSECDBG、AUTH、および AUTHDBG を有効にします。 証明書を使用している場合は、CERT クラスをリストに追加してください。
Q. VPN 3000 コンセントレータへのトラフィックをモニタするにはどうすればいいですか。
A. VPN 3000 コンセントレータに付属している HTML インターフェイスの Monitoring > Sessions の下に基本的なモニタリング機能があります。 また、任意の SNMP マネージャを使用して、Simple Network Management Protocol（SNMP; 簡易ネットワーク管理プロトコル）経由で VPN 3000 コンセントレータを監視できます。 あるいは、Cisco VPN/Security Management Solution（VMS; VPN/セキュリティ管理ソリューション）を購入できます。 Cisco VMS により、VPN 3000 コンセントレータ シリーズを配備して、IPSec、L2TP、および PPTP に基づくリモート アクセスとサイトツーサイト VPN の詳細なモニタリングを行う必要がある場合に役立つ重要な機能が提供されます。 VMS の詳細については、『VPN セキュリティ マネジメント ソリューション』を参照してください。
Q. Cisco VPN 3000 コンセントレータ シリーズには統合ファイアウォールが備わっていますか。 その場合、どんな機能がサポートされますか。
A. このシリーズにはステートレス ポート/フィルタリング機能と NAT が備わっていますが、Cisco では企業のファイアウォールには Cisco Secure PIX Firewall などのデバイスを使用することをお勧めします。
Q. Cisco VPN 3000 コンセントレータ シリーズでは、どんなルーティング オプションと VPN プロトコルがサポートされていますか。
A. このシリーズでは、次のルーティングオプションをサポートしています。
-
Routing Information Protocol（RIP; ルーティング情報プロトコル）
-
RIP2
-
Open Shortest Path First（OSPF）
-
スタティック ルート
-
Virtual Router Redundancy Protocol（VRRP; 仮想ルータ冗長プロトコル）
サポートされている VPN プロトコルには、Point-to-Point Tunneling Protocol（PPTP）、L2TP、L2TP/IPSec、および IPSec などがあります。これらはすべて、VPN 3000 とエンド クライアントとの間に NAT デバイスがある場合とない場合の両方に対応しています。 NAT を介した IPSec は NAT 透過性と呼ばれます。
Q. Cisco VPN 3000 コンセントレータ シリーズは、クライアント PC としてどんな認証メカニズムやシステムをサポートしていますか。
A. NT ドメイン、RADIUS または RADIUS プロキシ、RSA Security SecurID（SDI）、デジタル証明書、および内部認証をサポートしています。
Q. VPN 3000 コンセントレータを経由して外部に出て行くユーザに対して、スタティック Network Address Translation（NAT; ネットワーク アドレス変換）を実行できますか。
A. 外部に出て行くユーザに対しては Port Address Translation（PAT; ポート アドレス変換）のみが可能です。 VPN 3000 コンセントレータでは、スタティック NAT は実行できません。
Q. VPN 3000 コンセントレータを経由する特定の Point-to-Point Tunneling Protocol（PPTP）ユーザまたは IPSec ユーザに対して固定 IP アドレスを割り当てるにはどうすればよいのですか。
A. 次のリストで、固定 IP アドレスを割り当てる方法について説明します。
-
PPTPユーザ
IP Address Management セクションで、your pool オプションまたは Dynamic Host Configuration Protocol（DHCP; ダイナミック ホスト コンフィギュレーション プロトコル）オプションを選択して、Use Client Address オプションをチェックします。 次に、ユーザと、VPN 3000 コンセントレータにおける IP アドレスを定義します。 このユーザが接続するときは常に、VPN コンセントレータに設定された IP アドレスが付与されます。
-
IPSecユーザ
IP Address Management セクションで、your pool オプションまたは DHCP オプションを選択して、Use Address from Authentication Server オプションをチェックします。 次に、ユーザと、VPN 3000 コンセントレータにおける IP アドレスを定義します。 このユーザが接続するときは常に、VPN コンセントレータに設定された IP アドレスが付与されます。 同じグループまたは他のグループに属する他のユーザはすべて、グローバル プールまたは DHCP から IP アドレスを付与されます。
Cisco VPN 3000 コンセントレータ ソフトウェア バージョン 3.0 以降には、グループ単位でアドレス プールを設定するオプションがあります。 この機能は、特定のユーザにスタティック IP アドレスを割り当てる場合にも役立ちます。 あるグループにプールを設定した場合、固定 IP を持つユーザにはそのユーザ専用に割り当てられた IP アドレスが付与され、同じグループの他のメンバにはグループ プールから IP アドレスが付与されます。 これが適用されるのは、認証サーバとして VPN コンセントレータを使用する場合のみです。
注： 外部認証サーバを使用している場合は、アドレスを正しく割り当てるためにはその外部サーバを使用する必要があります。
Q. Microsoft のPPTP 製品とVPN 3000 コンセントレータとのよく知られた互換性の問題とは何ですか。
A. この情報はVPN 3000シリーズコンセントレータソフトウェアリリース3.5およびそれ以降に基づいています; VPN 3000シリーズコンセントレータ、モデル3005、3015、3020、3030、3060、3080; および Microsoft オペレーティング システム Windows 95 以降に基づいています。
Q. VPN 3000 コンセントレータで使用できるフィルタの最大数はどのくらいですか。
A. VPN 30xxユニットで追加できるフィルタの最大数は(3030または3060) 100時で固定です。 ユーザはCiscoバグID CSCdw86558 (登録ユーザだけ)の表示によってこの問題についてのその他の情報を検索できます。
Q. VPN コンセントレータの 30xx 回線内のルートの最大数はどのくらいですか。
A. ルートの最大数は次のとおりです。
-
以前、VPN 3005 コンセントレータで保持されていたルートは最大で 200。 現在では、この数字は 350 ルートに増加しています。 CiscoバグID CSCeb35779 (登録ユーザだけ)を詳細については参照して下さい。
-
VPN 3030 コンセントレータでは、最大 10,000 のルートがテストされている。
-
VPN 3030、3060、および 3080 コンセントレータのルーティング テーブル制限は、各デバイスで使用できるリソースやメモリに比例する。
-
VPN 3015 コンセントレータには、最大制限が事前定義されていない。 これは、Routing Information Protocol（RIP; ルーティング情報プロトコル）および Open Shortest Path First（OSPF）プロトコルについても当てはまります。
-
VPN 3020 コンセントレータ：Microsoft の制限により、Windows XP の PC では Classless Static Route（CSR）を大量に受け取ることはできない。 VPN 3000 コンセントレータでは、設定により DHCP INFORM メッセージ応答に挿入される CSR の数が制限されます。 VPN 3000 コンセントレータでは、クラスにより、ルートの数を 28 〜 42 に制限します。
Q. VPN 3000 コンセントレータのインターフェイス統計情報を完全にクリアするにはどうすればいいですか。
A. 統計情報をMonitoring > Statistics > MIB-II > Ethernetの順に選択し、現在のセッションのための統計情報を削除するためにリセットして下さい。 これでは統計情報が完全にティアダウンされない点に注意してください。 （監視目的のリセットに対して）統計情報を実際にリセットするには、リブートする必要があります。
Q. VPN コンセントレータで Network Time Protocol（NTP; ネットワーク タイム プロトコル）通信用に許可するのはどのポートですか。
A. TCP および UDP ポート 123 を許可します。
Q. UDP ポート 625xx にはどのような機能がありますか。
A. このポートは、実際のshim/Deterministic NDIS Extender（DNE）と PC の TCP/IP スタックの間の VPN Client 通信に使用するものであり、内部開発専用です。 たとえば、ポート 62515 は、VPN Client により VPN Client ログに情報を送信する目的で使用されます。 その他のポートの機能を次に示します。
-
62514：Cisco Systems, Inc. VPN Service から Cisco Systems IPSec ドライバへ
-
62515：Cisco Systems IPSec ドライバから Cisco Systems, Inc. VPN Service へ
-
62516：Cisco Systems, Inc. VPN Service から XAUTH へ
-
62517：XAUTH から Cisco Systems, Inc. VPN Service へ
-
62518：Cisco Systems, Inc. VPN Service から CLI へ
-
62519：CLI から Cisco Systems, Inc. VPN Service へ
-
62520：Cisco Systems, Inc. VPN Service から UI へ
-
62521：UI から Cisco Systems, Inc. VPN Service へ
-
62522：ログ メッセージ
-
62523：Connection Manager から Cisco Systems, Inc. VPN Service へ
-
62524：PPPTool から Cisco Systems, Inc. VPN Service へ
Q. WebVPN フローティング バーを削除できますか。
A. WebVPN セッションを確立する間、フローティング ツールバーの削除や、フローティング ツールバーをロードしないようにすることはできません。 この理由は、このウィンドウを閉じる際にセッションがただちに終了し、再度ログインを試みる際にウィンドウが再びロードされるためです。 これは、WebVPN セッションの元々の設計です。 メイン ウィンドウを閉じることができますが、フローティング ウィンドウを閉じることはできません。
ソフトウェア
Q. WebVPN では Outlook Web Access（OWA）2003 をサポートしていますか。
A. VPN 3000コンセントレータのWebVPNのためのOWA 2003サポートはバージョン4.1.7ダウンロード(登録ユーザだけ)と現在利用できます。
Q. VPN 3000 コンセントレータの最新のソフトウェア リビジョンはどこで入手できますか。
A. すべてのCisco VPN 3000コンセントレータは最新コードと出荷します、ユーザは現在のソフトウェアが利用できるかどうかダウンロード(登録ユーザだけ)を確認できます。
VPN 3000 コンセントレータの最新のドキュメンテーションは、『Cisco VPN 3000 シリーズ コンセントレータ』ドキュメンテーション ページを参照してください。
Q. VPN 3000 コンセントレータをアップグレードするためには TFTP サーバが必要ですか。 ボックスをアップグレードするための代替方法がありますか。
A. TFTP を使用する以外の方法で VPN コンセントレータをアップグレードするには、まず最新のソフトウェアをハード ドライブにダウンロードします。 次に、ソフトウェアが配置されたシステムのブラウザで Administration > Software Update の順に進み、ファイルを開く場合と同じ要領で、ハード ドライブにダウンロードしたファイルを探します。 ダウンロードしたファイルが見つかったら、Upload タブを選択します。
Q. 最新のコード名に含まれる「k9」（「vpn3000-3.0.4.Rel-k9.bin」など）は何を意味していますか。
A. イメージ名に含まれる「k9」は、元々「3DES」が使用されていた部分（vpn3000-2.5.2.F-3des.bin など）の新しい名称です。 したがって「k9」は、これが 3DES イメージであることを意味します。
Q. すべてのユーザに対して IPSec グループのデータ圧縮オプションを使用する必要があるのですか。
A. データ圧縮を有効にすると、ユーザ セッション当たりのメモリ要件と CPU 使用率が増加し、その結果、VPN コンセントレータのスループット全体が低下します。 そのため Cisco では、グループの全メンバがモデムで接続するリモート ユーザである場合に限り、データ圧縮を有効にすることをお勧めします。 グループの中にブロードバンドを通じて接続するメンバがいる場合は、そのグループのデータ圧縮は有効にしないでください。 その代わりにグループを 2 つに分け、1 つをモデム ユーザ、もう 1 つをブロードバンド ユーザにしてください。 モデム ユーザのグループに対してのみデータ圧縮を有効にしてください。
その他の高度な機能
Q. LAN-to-LAN 接続でロード バランシングは機能しますか。
A. ロード バランシングは、Cisco VPN Software Client（リリース 3.0 以降）によって開始されたリモート セッションにおいてのみ効果があります。 他のすべてのクライアント（PPTP、L2TP）と LAN-to-LAN 接続は、ロード バランシングが有効に設定されている VPN コンセントレータに接続できますが、ロード バランシングには参加できません。
Q. configファイルからのパスワードを復号化する方法
A. 次に管理に>管理プロトコル> XMLおよびConfiguration > Systemの順に進んで下さい ファイル管理プログラム選定されたXMLフォーマット。 同じ名前を、または別使用し、パスワードを表示するためにファイルを開いて下さい。
Q. Virtual Router Redundancy Protocol（VRRP）とロード バランシングを併用できますか。
A. VRRP とともにロード バランシングを使用できません。 VRRP コンフィギュレーションでは、アクティブな VPN コンセントレータが故障しない限り、バックアップ デバイスはアイドルのままです。 負荷バランシング設定では、アイドル状態のデバイスがありません。
Q. リモート アクセス クライアントの VPN トラフィックはすべて、企業またはサービス プロバイダーに設置されている VPN コンセントレータへの暗号化トンネルを通過する必要があるのですか。 たとえば、他のサイトへ普通の Web アクセスを実行する場合に、ISP のインターネット接続を通じて直接、オープンにアクセスすることはできますか。
A. あります。 この概念は「スプリット トンネリング」と呼ばれます。 スプリット トンネリングでは、暗号化されたトンネルを通じて企業リソースに安全にアクセスできると同時に、ISP のリソースを通じてインターネットに直接アクセスできます（Web アクセスのパスから企業ネットワークが除去されます）。 Cisco VPN 3000 コンセントレータ シリーズは、Cisco VPN Client と VPN 3002 Hardware Client の両方に対してスプリット トンネリングをサポートしています。 セキュリティ強化のため、この機能を制御できるのはユーザではなく、VPN コンセントレータの管理者になります。
Q. スプリット トンネリングを使用することは安全ですか。
A. スプリット トンネリングには、VPN トンネル経由で接続されている一方で、インターネットをブラウズするという便利さがあります。 しかし、企業ネットワークに接続された VPN ユーザが攻撃を受けやすい状況にある場合は危険が生じます。 この場合は、各ユーザがパーソナル ファイアウォールを使用することをお勧めします。 特定の VPN Client バージョンのリリース ノートに、パーソナル ファイアウォールとの相互運用性に関する情報が記載されています。
Q. Cisco VPN 3000 コンセントレータでは、ロード バランシングはどう機能しますか。
A. 負荷は、アクティブな接続数を、設定された最大の接続数で割ったパーセンテージとして算出されます。 マスターは常に負荷を最小限に抑えようとします。これは、マスターがすべての LAN-to-LAN 管理セッションを維持し、他のすべてのクラスタ メンバの負荷を計算するという追加の（固有の）負荷と、すべてのクライアントのリダイレクトを担っているためです。
新しく設定された機能クラスタでは、接続が確立される前のマスターの負荷はおよそ 1 % です。 そのため、マスターは、バックアップ コンセントレータの負荷がマスターの負荷のパーセンテージよりも大きくなるまで、バックアップ コンセントレータに接続をリダイレクトします。 たとえば、2 台の VPN 3030 コンセントレータが「アイドル」状態にあり、マスターの負荷が 1 % であるとします。 マスターが接続を受け入れる前に、セカンダリに 30 の接続（2 % の負荷）が割り当てられます。
マスターが接続を許可することを確認するために、> General > SessionsをConfiguration > Systemの順に進み、低い数字に急激にバックアップVPNコンセントレータでかかる負荷を増加するために接続の最大数を人工的に下げて下さい。
Q. VPN モニタにより追跡できるヘッドエンド デバイスはいくつですか。
A. VPN モニタでは、20 台のヘッドエンド デバイスを追跡できます。 ハブアンドスポーク シナリオでは、リモート サイトからの接続はヘッドエンドで監視されます。 情報はハブ ルータ上で追跡できるため、リモート サイトおよびユーザをすべて監視する必要はありません。 これらのヘッドエンド デバイスでは、最大 20,000 人のリモート ユーザまたは 2,500 のリモート サイトをサポートできます。 スポーク サイトに向かうデュアルホーム VPN デバイスは、監視できる最大 20 台のデバイスのうちの 2 台としてカウントされます。
| 