Cisco ASA 5500 シリーズ コンフィギュレーション ガイド (CLIを使用) ソフトウェア バージョン8.4
IPsec と ISAKMP の設定
IPsec と ISAKMP の設定
発行日;2012/05/09 | 英語版ドキュメント(2012/02/27 版) | ドキュメントご利用ガイド | ダウンロード ; この章pdf , ドキュメント全体pdf (PDF - 17MB) | フィードバック

目次

IPsec と ISAKMP の設定

トンネリング、IPsec、および ISAKMP に関する情報

IPsec の概要

ISAKMP および IKE の概要

リモート アクセス IPsec VPN のライセンス要件

ガイドラインと制限事項

ISAKMP の設定

IKEv1 および IKEv2 ポリシーの設定

外部インターフェイスでの IKE のイネーブル化

IKEv1 アグレッシブ モードのディセーブル化

IKEv1 および IKEv2 ISAKMP ピアの識別方式の決定

IPsec over NAT-T のイネーブル化

NAT-T の使用

IKEv1 over TCP を使用する IPsec のイネーブル化

リブートの前にアクティブ セッションの終了を待機

接続解除の前にピアに警告

IKEv1 の証明書グループ照合の設定

証明書グループ照合のルールとポリシーの作成

tunnel-group-map default-group コマンドの使用

IPsec の設定

IPsec トンネルの概要

IKEv1 トランスフォーム セットおよび IKEv2 プロポーザルの概要

クリプト マップの定義

クリプト マップのインターフェイスへの適用

インターフェイス アクセス リストの使用

IPsec SA のライフタイムの変更

基本的な IPsec コンフィギュレーションの作成

ダイナミック クリプト マップの使用

サイトツーサイト冗長性の定義

IPsec コンフィギュレーションの表示

セキュリティ アソシエーションのクリア

クリプト マップ コンフィギュレーションのクリア

Nokia VPN クライアントのサポート

IPsec と ISAKMP の設定

この章では、バーチャル プライベート ネットワーク(VPN)を構築するための Internet Protocol Security(IPsec; インターネット プロトコル セキュリティ)と Internet Security Association and Key Management Protocol(ISAKMP)の標準の設定方法について説明します。この章は、次の項で構成されています。

「トンネリング、IPsec、および ISAKMP に関する情報」

「リモート アクセス IPsec VPN のライセンス要件」

「ガイドラインと制限事項」

「ISAKMP の設定」

「IKEv1 の証明書グループ照合の設定」

「IPsec の設定」

「セキュリティ アソシエーションのクリア」

「クリプト マップ コンフィギュレーションのクリア」

「Nokia VPN クライアントのサポート」

トンネリング、IPsec、および ISAKMP に関する情報

トンネリングは、インターネットなどのパブリック TCP/IP ネットワークを使用して、リモート ユーザとプライベートな企業ネットワークとの間でセキュアな接続を構築することを可能にします。それぞれのセキュアな接続は、トンネルと呼ばれます。

ASAは、ISAKMP と IPsec のトンネリング標準を使用してトンネルの構築と管理を行っています。ISAKMP と IPsec は、次の処理を実行できます。

トンネル パラメータのネゴシエーション

トンネルの確立

ユーザとデータの認証

セキュリティ キーの管理

データの暗号化と復号化

トンネル経由のデータ転送の管理

トンネル エンドポイントまたはルータとしての着信と発信のデータ転送の管理

ASAは、双方向のトンネル エンドポイントとして機能します。プライベート ネットワークからプレーン パケットを受信してカプセル化し、トンネルを作成して、カプセル化したパケットをトンネルのもう一方の終端に送信します。トンネルの終端では、パケットのカプセル化が解除されて最終的な宛先に送信されます。また、カプセル化されたパケットをパブリック ネットワークから受信してカプセル化を解除し、プライベート ネットワーク上の最終的な宛先に送信します。

IPsec の概要

ASA では、IPsec は LAN-to-LAN VPN 接続に使用され、client-to-LAN VPN 接続にも IPsec を使用できます。IPsec 用語では、 ピア とは、リモート アクセス クライアントまたは別のセキュアなゲートウェイを意味します。どちらの接続タイプについても、ASAは Cisco のピアだけをサポートします。VPN の業界標準に従っているので ASA は他のベンダーのピアでも動作できますが、サポートはされていません。

トンネルを確立する間に、2 つのピアは、認証、暗号化、カプセル化、キー管理を制御する Security Association(SA; セキュリティ アソシエーション)をネゴシエートします。これらのネゴシエーションには、トンネルの確立(IKE SA)と、トンネル内のトラフィックの制御(IPsec SA)という 2 つのフェーズが含まれます。

LAN-to-LAN VPN は、地理的に異なる場所にあるネットワークを接続します。IPsec LAN-to-LAN 接続では、ASAは発信側または応答側として機能します。IPsec client-to-LAN 接続では、ASAは応答側としてだけ機能します。発信側は SA を提案し、応答側は、設定された SA パラメータに従って、SA の提示を受け入れるか、拒否するか、または対案を提示します。接続を確立するには、両方のエンティティで SA が一致する必要があります。


) ASAに IPsec VPN を設定する場合、セキュリティ コンテキスト(ファイアウォール マルチモードとも呼ばれる)またはアクティブ/アクティブ ステートフル フェールオーバーをイネーブルにすることはできません。したがって、これらの機能は使用できません。


ISAKMP および IKE の概要

ISAKMP は、2 台のホストで IPsec Security Association(SA; セキュリティ アソシエーション)の構築方法を一致させるためのネゴシエーション プロトコルです。これは、SA 属性のフォーマットに合意するための共通のフレームワークを提供します。このセキュリティ アソシエーションには、SA に関するピアとのネゴシエーション、および SA の変更または削除が含まれます。ISAKMP のネゴシエーションは 2 つのフェーズ(フェーズ 1 とフェーズ 2)に分かれています。フェーズ 1 は、以後の ISAKMP ネゴシエーション メッセージを保護する最初のトンネルを作成します。フェーズ 2 では、データを保護するトンネルが作成されます。

IKE は、IPsec を使用するための SA の設定に ISAKMP を使用します。また、IKE は、ピアの認証に使用する暗号キーも作成します。

ASA は、レガシー Cisco VPN クライアントから接続するための IKEv1、および AnyConnect VPN クライアントの IKEv2 をサポートしています。

IKE ネゴシエーションの条件を設定するには、次を含む ISAKMP ポリシーを作成します。

証明書を使用する RSA シグニチャ、または Preshared Key(PSK; 事前共有キー)のいずれかの、IKEv1 ピアが必要とする認証タイプ。

データを保護しプライバシーを守る暗号化方式。

送信者を特定し、搬送中にメッセージが変更されていないことを保証する Hashed Message Authentication Code(HMAC)方式。

暗号キー決定アルゴリズムの強度を決定するデフィーヘルマン グループ。このアルゴリズムを使用して、ASAは暗号キーとハッシュ キーを導出します。

IKEv2 では、別個の Pseudo-Random Function(PRF; 疑似乱数関数)をアルゴリズムとして使用して、IKEv2 トンネルの暗号化などに必要なキー関連情報とハッシュ操作を取得していました。

この暗号キーを使用する時間の上限。この時間が経過するとASAは暗号キーを置き換えます。

IKEv1 ポリシーを使用して、パラメータごとに 1 つの値を設定します。IKEv2 では、単一のポリシーに対して、複数の暗号化タイプと認証タイプ、および複数の整合性アルゴリズムを設定できます。ASA は、設定をセキュア度が最も高いものから最も低いものに並べ替え、その順序を使用してピアとのネゴシエーションを行います。この並べ替えにより、IKEv1 と同様に、許可される各組み合わせを送信することなく、許可されるすべてのトランスフォームを伝送するために単一のプロポーザルを送信できます。

リモート アクセス IPsec VPN のライセンス要件

次の表に、この機能のライセンス要件を示します。


) この機能は、ペイロード暗号化機能のないモデルでは使用できません。


 

モデル
ライセンス要件1

ASA 5505

IKEv2 を使用した IPsec リモート アクセス VPN(次のいずれかを使用):

AnyConnect Premium ライセンス:

基本ライセンスと Security Plus ライセンス:2 セッション。

オプションの永続または時間ベースのライセンス:10 または 25 セッション。

共有ライセンスはサポートされていません。2

AnyConnect Essentials ライセンス3:25 セッション。

IKEv1 を使用した IPsec リモート アクセス VPN および IKEv1 または IKEv2 を使用した IPsec サイトツーサイト VPN:

基本ライセンス:10 セッション。

Security Plus ライセンス:25 セッション。

ASA 5510

IKEv2 を使用した IPsec リモート アクセス VPN(次のいずれかを使用):

AnyConnect Premium ライセンス:

基本ライセンスと Security Plus ライセンス:2 セッション。

オプションの永続または時間ベースのライセンス:10、25、50、100、または 250 セッション。

オプションの共有ライセンス 2 :Participant または Server。Server ライセンスでは、500 ~ 50,000(500 単位で増加)および 50,000 ~ 545,000(1000 単位で増加)。

AnyConnect Essentials ライセンス3:250 セッション。

IKEv1 を使用した IPsec リモート アクセス VPN および IKEv1 または IKEv2 を使用した IPsec サイトツーサイト VPN:

基本ライセンスと Security Plus ライセンス:250 セッション。

ASA 5520

IKEv2 を使用した IPsec リモート アクセス VPN(次のいずれかを使用):

AnyConnect Premium ライセンス:

基本ライセンス:2 セッション。

オプションの永続または時間ベースのライセンス:10、25、50、100、250、500、または 750 セッション。

オプションの共有ライセンス 2 :Participant または Server。Server ライセンスでは、500 ~ 50,000(500 単位で増加)および 50,000 ~ 545,000(1000 単位で増加)。

AnyConnect Essentials ライセンス3:750 セッション。

IKEv1 を使用した IPsec リモート アクセス VPN および IKEv1 または IKEv2 を使用した IPsec サイトツーサイト VPN:

基本ライセンス:750 セッション。

ASA 5540

IKEv2 を使用した IPsec リモート アクセス VPN(次のいずれかを使用):

AnyConnect Premium ライセンス:

基本ライセンス:2 セッション。

オプションの永続または時間ベースのライセンス:10、25、50、100、250、500、750、1000、または 2500 セッション。

オプションの共有ライセンス 2 :Participant または Server。Server ライセンスでは、500 ~ 50,000(500 単位で増加)および 50,000 ~ 545,000(1000 単位で増加)。

AnyConnect Essentials ライセンス3:2500 セッション。

IKEv1 を使用した IPsec リモート アクセス VPN および IKEv1 または IKEv2 を使用した IPsec サイトツーサイト VPN:

基本ライセンス:2500 セッション。

ASA 5550

IKEv2 を使用した IPsec リモート アクセス VPN(次のいずれかを使用):

AnyConnect Premium ライセンス:

基本ライセンス:2 セッション。

オプションの永続または時間ベースのライセンス:10、25、50、100、250、500、750、1000、2500、または 5000 セッション。

オプションの共有ライセンス 2 :Participant または Server。Server ライセンスでは、500 ~ 50,000(500 単位で増加)および 50,000 ~ 545,000(1000 単位で増加)。

AnyConnect Essentials ライセンス3:5000 セッション。

IKEv1 を使用した IPsec リモート アクセス VPN および IKEv1 または IKEv2 を使用した IPsec サイトツーサイト VPN:

基本ライセンス:5000 セッション。

ASA 5580

IKEv2 を使用した IPsec リモート アクセス VPN(次のいずれかを使用):

AnyConnect Premium ライセンス:

基本ライセンス:2 セッション。

オプションの永続または時間ベースのライセンス:10、25、50、100、250、500、750、1000、2500、5000、または 10000 セッション。

オプションの共有ライセンス 2 :Participant または Server。Server ライセンスでは、500 ~ 50,000(500 単位で増加)および 50,000 ~ 545,000(1000 単位で増加)。

AnyConnect Essentials ライセンス3:10000 セッション。

IKEv1 を使用した IPsec リモート アクセス VPN および IKEv1 または IKEv2 を使用した IPsec サイトツーサイト VPN:

基本ライセンス:10000 セッション。

ASA 5585-X(SSP-10)

IKEv2 を使用した IPsec リモート アクセス VPN(次のいずれかを使用):

AnyConnect Premium ライセンス:

基本ライセンス:2 セッション。

オプションの永続または時間ベースのライセンス:10、25、50、100、250、500、750、1000、2500、または 5000 セッション。

オプションの共有ライセンス 2 :Participant または Server。Server ライセンスでは、500 ~ 50,000(500 単位で増加)および 50,000 ~ 545,000(1000 単位で増加)。

AnyConnect Essentials ライセンス3:5000 セッション。

IKEv1 を使用した IPsec リモート アクセス VPN および IKEv1 または IKEv2 を使用した IPsec サイトツーサイト VPN:

基本ライセンス:5000 セッション。

ASA 5585-X(SSP-20、-40、および -60)

IKEv2 を使用した IPsec リモート アクセス VPN(次のいずれかを使用):

AnyConnect Premium ライセンス:

基本ライセンス:2 セッション。

オプションの永続または時間ベースのライセンス:10、25、50、100、250、500、750、1000、2500、5000、または 10000 セッション。

オプションの共有ライセンス 2 :Participant または Server。Server ライセンスでは、500 ~ 50,000(500 単位で増加)および 50,000 ~ 545,000(1000 単位で増加)。

AnyConnect Essentials ライセンス3:10000 セッション。

IKEv1 を使用した IPsec リモート アクセス VPN および IKEv1 または IKEv2 を使用した IPsec サイトツーサイト VPN:

基本ライセンス:10000 セッション。

1.すべてのタイプの組み合わせ VPN セッションの最大数は、この表に示す最大セッション数を越えることはできません。ASA 5505 の場合、組み合わせセッションの最大数は、基本ライセンスでは 10、Security Plus ライセンスでは 25 です。

2.共有ライセンスによって、ASAは複数のクライアントのASAの共有ライセンス サーバとして機能します。共有ライセンス プールは大規模ですが、個々のASAによって使用されるセッションの最大数は、永続的なライセンスで指定される最大数を超えることはできません。

3.AnyConnect Essentials ライセンスにより、AnyConnect VPN クライアントはASAへのアクセスが可能になります。このライセンスでは、ブラウザベースの SSL VPN アクセスまたは Cisco Secure Desktop はサポートされていません。これらの機能に対しては、AnyConnect Essentials ライセンスの代わりに AnyConnect Premium ライセンスがアクティブ化されます。

:AnyConnect Essentials ライセンスの場合、VPN ユーザは、Web ブラウザを使用してログインし、AnyConnect クライアントのダウンロードと起動(WebLaunch)を実行できます。

このライセンスと AnyConnect Premium SSL VPN ライセンスのいずれでイネーブル化されたかには関係なく、AnyConnect クライアント ソフトウェアには同じクライアント機能のセットが装備されています。

特定の ASA では、AnyConnect Premium ライセンス(全タイプ)または Advanced Endpoint Assessment ライセンスを、AnyConnect Essentials ライセンスと同時にアクティブにすることはできません。ただし、同じネットワーク内の異なる ASAで、AnyConnect Essentials ライセンスと AnyConnect Premium ライセンスを実行することは可能です。

デフォルトでは、ASAは AnyConnect Essentials ライセンスを使用しますが、no anyconnect-essentials コマンドを使用すると、AnyConnect Essentials ライセンスをディセーブルにして他のライセンスを使用できます。

AnyConnect Essentials ライセンスおよび AnyConnect Premium ライセンスでサポートされている機能の詳細なリストについては、『AnyConnect Secure Mobility Client Features, Licenses, and OSs』を参照してください。

http://www.cisco.com/en/US/products/ps10884/products_feature_guides_list.html

ガイドラインと制限事項

この項では、この機能のガイドラインと制限事項について説明します。

コンテキスト モードのガイドライン

シングル コンテキスト モードでだけサポートされます。マルチ コンテキスト モードをサポートしません。

ファイアウォール モードのガイドライン

ルーテッド ファイアウォール モードでだけサポートされています。トランスペアレント ファイアウォール モードはサポートされません。

フェールオーバーのガイドライン

IPsec VPN セッションは、アクティブ/スタンバイ フェールオーバー コンフィギュレーションでのみ複製されます。アクティブ/アクティブ フェールオーバー コンフィギュレーションはサポートされません。

IPv6 のガイドライン

IPv6 はサポートされません。

ISAKMP の設定

この項では、Internet Security Association and Key Management Protocol(ISAKMP)および Internet Key Exchange(IKE; インターネット キー エクスチェンジ)プロトコルについて説明します。

この項は、次の内容で構成されています。

「IKEv1 および IKEv2 ポリシーの設定」

「外部インターフェイスでの IKE のイネーブル化」

「IKEv1 アグレッシブ モードのディセーブル化」

「IKEv1 および IKEv2 ISAKMP ピアの識別方式の決定」

「IPsec over NAT-T のイネーブル化」

「IKEv1 over TCP を使用する IPsec のイネーブル化」

「リブートの前にアクティブ セッションの終了を待機」

「接続解除の前にピアに警告」

IKEv1 および IKEv2 ポリシーの設定

IKE ポリシーを作成するには、グローバル コンフィギュレーション モードで crypto ikev1 | ikev2 policy コマンドを入力します。プロンプトは、IKE ポリシー コンフィギュレーション モードを表示します。次の例を参考にしてください。

hostname(config)# crypto ikev1 policy 1
hostname(config-ikev1-policy)#
 

ポリシーの作成後は、ポリシーの設定を指定することができます。

表 63-1 および 表 63-2 に、IKEv1 ポリシーと IKEv2 ポリシーのキーワードおよび値を示します。

 

表 63-1 CLI コマンド用の IKEv1 ポリシー キーワード

コマンド
キーワード
意味
説明

authentication

rsa-sig

RSA 署名アルゴリズムによって生成されたキー付きのデジタル証明書

各 IPsec ピアの ID を確立するためにASAが使用する認証方式を指定します。

crack

Challenge/Response for Authenticated Cryptographic Keys

CRACK は、クライアントが RADIUS などのレガシーな方式を使用して認証を受け、サーバが公開キーによる認証方式を使用している場合に、強力な相互認証を実現します。

pre-share (default)

事前共有キー

事前共有キーは拡大するネットワークに対応して拡張が困難ですが、小規模ネットワークではセットアップが容易です。

encryption

des

3des(デフォルト)

56 ビット DES-CBC

168 ビット Triple DES

2 つの IPsec ピア間で伝送されるユーザ データを保護する対称暗号化アルゴリズムを指定します。デフォルトは 168 ビット Triple DES です。

aes
aes-192
aes-256

Advanced Encryption Standard(AES; 高度暗号規格)は、128 ビット、192 ビット、256 ビットの長さのキーをサポートしています。

hash

sha(デフォルト)

SHA-1(HMAC バリアント)

データ整合性の確保のために使用するハッシュ アルゴリズムを指定します。パケットがそのパケットに記されている発信元から発信されたこと、また搬送中に変更されていないことを保証します。

md5

MD5(HMAC バリアント)

デフォルト値は SHA-1 です。MD5 のダイジェストの方が小さく、SHA-1 よりもやや速いと見なされています。しかし、MD5 に対する攻撃が成功(これは非常に困難)しても、IKE が使用する HMAC バリアントがこの攻撃を防ぎます。

group

1

グループ 1(768 ビット)

Diffie-Hellman グループ ID を指定します。この ID は、2 つの IPsec ピアが、相互に共有秘密情報を転送するのではなく、共有秘密情報を取り出すために使用します。

Diffie-Hellman グループ番号が小さいほど、実行に必要な CPU 時間も少なくなります。Diffie-Hellman グループ番号が大きいほど、セキュリティも高くなります。

Cisco VPN クライアント バージョン 3.x 以降では、少なくともグループ 2 が必要です (DH グループ 1 を設定すると、Cisco VPN クライアントは接続できません)。

AES は、VPN-3DES のライセンスがあるセキュリティ アプライアンスに限りサポートされます。AES で必要なより大きいキー長をサポートするには、ISAKMP ネゴシエーションで Diffie-Hellman(DH)のグループ 5 を使用する必要があります。

2(デフォルト)

グループ 2(1024 ビット)

5

グループ 5(1536 ビット)

lifetime

整数値

(86400 = デフォルト)

120 ~ 2147483647 秒

SA ライフタイムを指定します。デフォルトは 86,400 秒、つまり 24 時間です。原則として、ライフタイムが短いほど、ISAKMP ネゴシエーションの安全性は(ある程度まで)高くなります。ただし、ライフタイムが短いほど、ASAによる IPsec SA のセットアップ機能が高速になります。

 

表 63-2 CLI コマンド用の IKEv2 ポリシー キーワード

コマンド
キーワード
意味
説明

整合性

sha(デフォルト)

SHA-1(HMAC バリアント)

データ整合性の確保のために使用するハッシュ アルゴリズムを指定します。パケットがそのパケットに記されている発信元から発信されたこと、また搬送中に変更されていないことを保証します。

md5

MD5(HMAC バリアント)

デフォルト値は SHA-1 です。MD5 のダイジェストの方が小さく、SHA-1 よりもやや速いと見なされています。しかし、MD5 に対する攻撃が成功(これは非常に困難)しても、HMAC バリアント IKE ユーザがこの攻撃を防ぎます。

sha256

SHA 2、256 ビットのダイジェスト

256 ビットのダイジェストでセキュア ハッシュ アルゴリズム SHA 2 を指定します。

sha384

SHA 2、384 ビットのダイジェスト

384 ビットのダイジェストでセキュア ハッシュ アルゴリズム SHA 2 を指定します。

sha512

SHA 2、512 ビットのダイジェスト

512 ビットのダイジェストでセキュア ハッシュ アルゴリズム SHA 2 を指定します。

encryption

des

3des(デフォルト)

56 ビット DES-CBC

168 ビット Triple DES

2 つの IPsec ピア間で伝送されるユーザ データを保護する対称暗号化アルゴリズムを指定します。デフォルトは 168 ビット Triple DES です。

aes
aes-192
aes-256

Advanced Encryption Standard(AES; 高度暗号規格)は、128 ビット、192 ビット、256 ビットの長さのキーをサポートしています。

prf

sha(デフォルト)

SHA-1(HMAC バリアント)

キー関連情報の生成に使用するアルゴリズムとして、Pseudo Random Function(PRF; 疑似乱数関数)を指定します。

md5

MD5(HMAC バリアント)

デフォルト値は SHA-1 です。MD5 のダイジェストの方が小さく、SHA-1 よりもやや速いと見なされています。しかし、MD5 に対する攻撃が成功(これは非常に困難)しても、IKE が使用する HMAC バリアントがこの攻撃を防ぎます。

sha256

SHA 2、256 ビットのダイジェスト

256 ビットのダイジェストでセキュア ハッシュ アルゴリズム SHA 2 を指定します。

sha384

SHA 2、384 ビットのダイジェスト

384 ビットのダイジェストでセキュア ハッシュ アルゴリズム SHA 2 を指定します。

sha512

SHA 2、512 ビットのダイジェスト

512 ビットのダイジェストでセキュア ハッシュ アルゴリズム SHA 2 を指定します。

group

1

グループ 1(768 ビット)

Diffie-Hellman グループ ID を指定します。この ID は、2 つの IPsec ピアが、相互に共有秘密情報を転送するのではなく、共有秘密情報を取り出すために使用します。

Diffie-Hellman グループ番号が小さいほど、実行に必要な CPU 時間も少なくなります。Diffie-Hellman グループ番号が大きいほど、セキュリティも高くなります。

AnyConnect クライアントは、非 FIPS モードで DH グループ 1、2、および 5 をサポートし、FIPS モードではグループ 2 だけをサポートします。

AES は、VPN-3DES のライセンスがあるセキュリティ アプライアンスに限りサポートされます。AES で必要なより大きいキー長をサポートするには、ISAKMP ネゴシエーションで Diffie-Hellman(DH)のグループ 5 を使用する必要があります。

2(デフォルト)

グループ 2(1024 ビット)

5

グループ 5(1536 ビット)

lifetime

整数値

(86400 = デフォルト)

120 ~ 2147483647 秒

SA ライフタイムを指定します。デフォルトは 86,400 秒、つまり 24 時間です。原則として、ライフタイムが短いほど、ISAKMP ネゴシエーションの安全性は(ある程度まで)高くなります。ただし、ライフタイムが短いほど、ASAによる IPsec SA のセットアップ機能が高速になります。

IKEv1 と IKEv2 は、それぞれ最大 20 の IKE ポリシーをサポートし、それぞれが異なる値のセットを持ちます。作成するポリシーごとに固有のプライオリティを割り当てます。プライオリティ番号が小さいほど、プライオリティが高くなります。

IKE ネゴシエーションが始まると、ネゴシエーションを開始したピアはそのすべてのポリシーをリモート ピアに送信し、リモート ピアは一致するポリシーを探します。リモート ピアは、一致するポリシーを見つけるまで、設定済みのポリシーに対してピアのすべてのポリシーを 1 つずつプライオリティ順に(最も高いプライオリティから)照合します。

一致するポリシーは、2 つのピアのポリシーの両方が同じ暗号化、ハッシュ、認証、および Diffie-Hellman パラメータ値を含む場合に存在します。IKEv1 の場合は、リモート ピア ポリシーのライフタイムを、発信側が送信したポリシーのライフタイムと同等またはそれ以下に指定する必要があります。ライフタイムが等しくない場合、ASAは短い方のライフタイムを使用します。IKEv2 の場合は、ライフタイムはネゴシエートされませんが、各ピア間でローカルに管理され、それぞれのピアに個別にライフタイムを設定できます。一致するポリシーがない場合、IKE はネゴシエーションを拒否し、SA は確立されません。

各パラメータに対して特定の値を選択するときは、セキュリティとパフォーマンスの間に暗黙のトレードオフが発生します。デフォルト値で得られるセキュリティ レベルは、ほとんどの組織のセキュリティ要件に十分に対応します。パラメータに対し 1 つの値だけをサポートしているピアと相互運用する場合は、相手のピアがサポートしている値に選択が制限されます。


) 新しい ASA コンフィギュレーションには、デフォルトの IKEv1 ポリシーまたは IKEv2 ポリシーはありません。


IKE ポリシーを設定するには、グローバル コンフィギュレーション モードで crypto ikev1 | ikev2 policy コマンドを使用して、IKE ポリシー コンフィギュレーション モードを開始します。

crypto ikev1 | ikev2 policy priority

ISAKMP コマンドには、それぞれプライオリティを指定する必要があります。プライオリティ番号によってポリシーが一意に識別され、IKE ネゴシエーションにおけるポリシーのプライオリティが決定されます。

IKE を設定してイネーブルにするには、IKEv1 の例を参考にして、次の手順を実行します。


) 所定のポリシー パラメータに値を指定しない場合、デフォルト値が適用されます。



ステップ 1 IKEv1 ポリシー コンフィギュレーション モードを開始します。

hostname(config)# crypto ikev1 policy 1
hostname(config-ikev1-policy)#
 

ステップ 2 暗号化アルゴリズムを指定します。デフォルトは Triple DES です。この例では、暗号化を DES に設定します。

encryption [aes | aes-192 | aes-256 | des | 3des]
 

次の例を参考にしてください。

hostname(config-ikev1-policy)# encryption des
 

ステップ 3 ハッシュ アルゴリズムを指定します。デフォルト値は SHA-1 です。この例では、MD5 を設定します。

hash [md5 | sha]
 

次の例を参考にしてください。

hostname(config-ikev1-policy)# hash md5
 

ステップ 4 認証方式を指定します。デフォルトは事前共有キーです。この例では、RSA 署名を設定します。

authentication [pre-share | crack | rsa-sig]
 

次の例を参考にしてください。

hostname(config-ikev1-policy)# authentication rsa-sig
 

ステップ 5 Diffie-Hellman グループ識別番号を指定します。デフォルトはグループ 2 です。この例では、グループ 5 を設定します。

group [1 | 2 | 5]
 

次の例を参考にしてください。

hostname(config-ikev1-policy)# group 5
 

ステップ 6 SA ライフタイムを指定します。この例では、4 時間(14400 秒)のライフタイムを設定します。デフォルトは 86400 秒(24 時間)です。

lifetime seconds
 

次の例を参考にしてください。

hostname(config-ikev1-policy)# lifetime 14400
 


 

外部インターフェイスでの IKE のイネーブル化

VPN トンネルを終端するインターフェイスでは、IKE をイネーブルにする必要があります。通常は外部(つまり、パブリック)インターフェイスです。IKEv1 または IKEv2 をイネーブルにするには、グローバル コンフィギュレーション モードで crypto ikev1 | ikev2 enable コマンドを使用します。

crypto ikev1 | ikev2 enable interface-name

次の例を参考にしてください。

hostname(config)# crypto ikev1 enable outside

IKEv1 アグレッシブ モードのディセーブル化

フェーズ 1 の IKEv1 ネゴシエーションでは、メイン モードまたはアグレッシブ モードのいずれかを使用できます。どちらのモードも同じサービスを提供しますが、アグレッシブ モードでは、ピア間で 3 回の合計 6 つのメッセージ交換ではなく、2 回の合計 3 つのメッセージ交換だけですみます。Agressive モードの方が高速ですが、通信パーティの ID は保護されません。このため、セキュアな SA を確立する前に、ピア間で ID 情報を交換する必要があります。アグレッシブ モードは、デフォルトでイネーブルになっています。

交換回数の多い Main モードは低速ですが、通信しているピアの ID を保護します。

Agressive モードは高速ですが、ピアの ID を保護しません。

アグレッシブ モードをディセーブルにするには、次のコマンドを入力します。

crypto ikev1 am-disable
 

次の例を参考にしてください。

hostname(config)# crypto ikev1 am-disable
 

Agressive モードをいったんディセーブルにした後でイネーブルに戻すには、no 形式でコマンドを使用します。次の例を参考にしてください。

hostname(config)# no crypto ikev1 am-disable

) Agressive モードをディセーブルにすると、Cisco VPN クライアントは、ASAへのトンネルを確立するための事前共有キー認証を使用できなくなります。ただし、証明書に基づく認証(つまり ASA または RSA)を使用してトンネルを確立できます。


IKEv1 および IKEv2 ISAKMP ピアの識別方式の決定

フェーズ I の ISAKMP ネゴシエーションでは、IKEv1 と IKEv2 のどちらでも、ピアは相互に相手を識別する必要があります。この識別方法は、次のオプションから選択できます。

 

アドレス

ISAKMP の識別情報を交換するホストの IP アドレスを使用します。

自動

接続タイプによって ISAKMP ネゴシエーションが決まります。

事前共有キーの IP アドレス

証明書認証の証明書認定者名

ホスト名

ISAKMP の識別情報を交換するホストの完全修飾ドメイン名を使用します(デフォルト)。この名前は、ホスト名とドメイン名で構成されます。

キー ID

リモート ピアが事前共有キーの検索に使用する文字列を使用します。

ASAは、ピアに送信するフェーズ I の ID を使用します。これは、事前共有キーで認証を行うメイン モードでの LAN-to-LAN IKEv1 接続を除いて、すべての VPN シナリオで行われます。

auto 設定がデフォルトです。

ピア識別方式を変更するには、次のコマンドを入力します。

crypto isakmp identity {address | hostname | key-id id-string | auto}
 

たとえば、次のコマンドはピア識別方法を hostname に設定します。

hostname(config)# crypto isakmp identity hostname

IPsec over NAT-T のイネーブル化

NAT-T を使用すると、IPsec ピアは NAT デバイスを介した接続を確立できます。NAT-T は UDP データグラムの IPsec トラフィックをカプセル化し、ポート 4500 を使用して、NAT デバイスにポート情報を提供します。NAT-T はすべての NAT デバイスを自動検出し、必要な場合だけ IPsec トラフィックをカプセル化します。この機能は、デフォルトではディセーブルになっています。


) AnyConnect クライアントの制限により、IKEv2 を使用して正常に接続する場合は、AnyConnect クライアント用の NAT-T をイネーブルにする必要があります。クライアントが NAT-T デバイスの背後にない場合でも、この要件が適用されます。


Cisco ASA 5505 のホーム ゾーンを除き、ASAは、データ交換を行うクライアントによっては、標準の IPsec、IPsec over TCP、NAT-T、および IPsec over UDP を同時にサポートできます。

次の表に、各オプションがイネーブルになっている場合の接続の概要を示します。

オプション
イネーブルになっている機能
クライアントの位置
使用される機能

オプション 1

NAT-T がイネーブルの場合

およびクライアントが NAT の背後にある場合は、

NAT-T が使用されます。

および NAT が存在しない場合は、

ネイティブ IPsec(ESP)が使用されます。

オプション 2

IPsec over UDP がイネーブルの場合

およびクライアントが NAT の背後にある場合は、

IPsec over UDP が使用されます。

および NAT が存在しない場合は、

IPsec over UDP が使用されます。

オプション 3

両方の NAT-T および

IPsec over UDP がイネーブルの場合

およびクライアントが NAT の背後にある場合は、

NAT-T が使用されます。

および NAT が存在しない場合は、

IPsec over UDP が使用されます。


) IPsec over TCP がイネーブルになっている場合は、その他のすべての接続方式よりも優先されます。


NAT-T をイネーブルにすると、ASA は、IPsec がイネーブルになっているすべてのインターフェイス上で自動的にポート 4500 を開きます。

ASAは、次の両方のネットワークではなく、どちらか一方のネットワークで動作する単一の NAT/PAT デバイスの背後にある複数の IPsec ピアをサポートします。

LAN-to-LAN

リモート アクセス

混合環境では、リモート アクセス トンネルはネゴシエーションに失敗します。これは、すべてのピアが同じパブリック IP アドレス、つまり同じ NAT デバイスのアドレスから発信されたように見えるためです。また、リモート アクセス トンネルは、LAN-to-LAN トンネル グループ(つまり NAT デバイスの IP アドレス)と同じ名前を使用することが多いため、混合環境では失敗します。この名前の一致により、NAT デバイスの背後にあるピアの LAN-to-LAN とリモート アクセスの混合ネットワークでは、複数のピア間のネゴシエーションが失敗する場合があります。

NAT-T の使用

NAT-T を使用するには、次の作業を実行する必要があります。


ステップ 1 ASAでグローバルに IPsec over NAT-T をイネーブルにするには、次のコマンドを入力します。

crypto isakmp nat-traversal natkeepalive

 

natkeepalive 引数の範囲は、10 ~ 3600 秒です。デフォルトは 20 秒です。

たとえば、次のコマンドを入力して、NAT-T をイネーブルにし、キープアライブ値を 1 時間に設定します。

hostname(config)# crypto isakmp nat-traversal 3600
 

ステップ 2 次のコマンドを入力して、IPsec フラグメンテーション ポリシーに「before-fragmentation」オプションを選択します。

hostname(config)# crypto ipsec fragmentation before-encryption
 

このオプションは、IP フラグメンテーションをサポートしていない NAT デバイス間をトラフィックが通過できるようにします。このオプションを使用しても、IP フラグメンテーションをサポートしていない NAT デバイスの動作を妨げることはありません。


 

IKEv1 over TCP を使用する IPsec のイネーブル化

IPsec/IKEv1 over TCP を使用すると、標準 ESP や標準 IKEv1 が機能できない環境、または既存のファイアウォール ルールを変更した場合に限って機能できる環境で、Cisco VPN クライアントが動作できるようになります。IPsec over TCP は TCP のようなパケット内で IKEv1 プロトコルと IPsec プロトコルをカプセル化し、NAT と PAT の両方のデバイスとファイアウォールを通過するセキュアなトンネリングを実現します。この機能は、デフォルトではディセーブルになっています。


) この機能は、プロキシベースのファイアウォールでは動作しません。


IPsec over TCP は、リモート アクセス クライアントで動作します。IPsec over TCP をグローバルにイネーブルにすると、IKEv1 がイネーブルにされたすべてのインターフェイスで動作します。これは、ASA機能に対応するクライアントに限られます。LAN-to-LAN 接続では機能しません。

ASAは、データ交換を行うクライアントに応じて、標準の IPsec、IPsec over TCP、NAT-Traversal、および IPsec over UDP を同時にサポートできます。IPsec over TCP は、イネーブルになっている場合、その他のすべての接続方式よりも優先されます。

1 度に 1 つのトンネルをサポートする VPN 3002 ハードウェア クライアントは、標準の IPsec、IPsec over TCP、NAT-Traversal、または IPsec over UDP を使用して接続できます。

ASAとその接続先のクライアントの両方で IPsec over TCP をイネーブルにします。

最大 10 個のポートを指定して、それらのポートに対して IPsec over TCP をイネーブルにできます。ポート 80(HTTP)やポート 443(HTTPS)などの周知のポートを入力すると、そのポートに関連付けられているプロトコルがパブリック インターフェイスで機能しなくなることを示すアラートが表示されます。その結果、パブリック インターフェイスを介してASAを管理するためにブラウザを使用することができなくなります。この問題を解決するには、HTTP/HTTPS 管理を別のポートに再設定します。

デフォルトのポートは 10000 です。

ASAだけでなく、クライアントでも TCP ポートを設定する必要があります。クライアントの設定には、ASA用に設定したポートを少なくとも 1 つ含める必要があります。

ASA で IKEv1 の IPsec over TCP をグローバルにイネーブルにするには、次のコマンドを入力します。

crypto ikev1 ipsec-over-tcp [port port 1...port0]
 

次の例では、IPsec over TCP をポート 45 でイネーブルにしています。

hostname(config)# crypto ikev1 ipsec-over-tcp port 45

リブートの前にアクティブ セッションの終了を待機

すべてのアクティブ セッションが自発的に終了した場合に限り、ASAがリブートするようにスケジュールを設定できます。この機能は、デフォルトではディセーブルになっています。

ASAのリブートの前にすべてのアクティブ セッションが自発的に終了するまで待機する機能をイネーブルにするには、次のコマンドを入力します。

crypto isakmp reload-wait
 

次の例を参考にしてください。

hostname(config)# crypto isakmp reload-wait
 

reload コマンドを使用して、ASAをリブートします。 reload-wait コマンドを設定すると、 reload quick コマンドを使用して reload-wait 設定を無効にできます。 reload コマンドと reload-wait コマンドは特権 EXEC モードで使用できます。どちらにも isakmp プレフィクスは付けません。

接続解除の前にピアに警告

ASA のシャットダウンまたはリブート、セッション アイドル タイムアウト、最大接続時間の超過、管理者による停止などいくつかの理由で、リモート アクセス セッションまたは LAN-to-LAN セッションがドロップすることがあります。

ASA は、限定されたピア、つまり Cisco VPN クライアントと VPN 3002 ハードウェア クライアントに対して、セッションが接続解除される直前に通知できます(LAN-to-LAN コンフィギュレーションの場合)。アラートを受信したピアまたはクライアントは、その理由を復号化してイベント ログまたはポップアップ ペインに表示します。この機能は、デフォルトではディセーブルになっています。

限定されたクライアントとピアには次のものが含まれます。

アラートがイネーブルになっているセキュリティ アプライアンス

バージョン 4.0 以降のソフトウェアを実行している Cisco VPN クライアント(アラート設定は不要)

バージョン 4.0 以降のソフトウェアを実行し、アラートがイネーブルになっている VPN 3002 ハードウェア クライアント

バージョン 4.0 以降のソフトウェアを実行し、アラートがイネーブルになっている VPN 3000 シリーズ コンセントレータ

IPsec ピアに対する接続解除の通知をイネーブルにするには、 crypto isakmp disconnect-notify コマンドを入力します。

 

次の例を参考にしてください。

hostname(config)# crypto isakmp disconnect-notify

IKEv1 の証明書グループ照合の設定

トンネル グループは、ユーザの接続条件とアクセス権を定義します。証明書グループ照合では、ユーザ証明書のサブジェクト DN または発行者 DN を使用して、ユーザとトンネル グループを照合します。


証明書グループ照合は、IKEv1 および IKEv2 LAN-to-LAN 接続だけに適用されます。IKEv2 リモート アクセス接続は、トンネルグループの webvpn 属性および certificate-group-map の webvpn コンフィギュレーション モードなどに設定されるグループ選択のプルダウンをサポートしています。


証明書のこれらのフィールドに基づいてユーザをトンネル グループと照合するには、まず照合基準を定義したルールを作成し、次に各ルールを目的のトンネル グループに関連付ける必要があります。

証明書マップを作成するには、 crypto ca certificate map コマンドを使用します。トンネル グループを定義するには、tunnel-group コマンドを使用します。

また、証明書グループ照合ポリシーも設定する必要があります。これには、ルールからグループを照合する、Organizational Unit (OU) フィールドからグループを照合する、すべての証明書ユーザにデフォルトのグループを使用する、という方式があります。これらの方式のいずれかまたはすべてを使用できます。

次のセクションでさらに詳しく説明します。

「証明書グループ照合のルールとポリシーの作成」

「tunnel-group-map default-group コマンドの使用」

証明書グループ照合のルールとポリシーの作成

証明書ベースの ISAKMP セッションをトンネル グループにマッピングするためのポリシーとルールを設定し、証明書マップ エントリをトンネル グループに関連付けるには、グローバル コンフィギュレーション モードで tunnel-group-map コマンドを入力します。

このコマンドの構文は次のとおりです。

tunnel-group-map enable { rules | ou | ike-id | peer ip }

tunnel-group-map [ rule-index ] enable policy

 

policy

証明書からトンネル グループ名を取得するためのポリシーを指定します。 policy は次のいずれかです。

ike-id トンネル グループをルール検索によって決定しない場合や OU から取得しない場合、 証明書ベースの ISAKMP セッションが、フェーズ 1 の ISAKMP ID の内容に基づいてトンネル グループにマッピングされることを示します。

ou トンネル グループをルール検索によって決定しない場合、サブジェクト認定者名(DN)の OU の値を使用することを示します。

peer-ip トンネル グループをルール検索によって決定しない場合や OU または ike-id 方式で取得しない場合、ピアの IP アドレスを使用する ことを示します。

rules 証明書ベースの ISAKMP セッションが、このコマンドによって設定された証明書マップの関連付けに基づいて、トンネル グループにマッピングされることを示します。

rule index

(オプション) crypto ca certificate map コマンドで指定したパラメータを参照します。有効な値は 1 ~ 65535 です。

次のことに注意してください。

各呼び出しが一意であり、マップ インデックスを 2 回以上参照しない限り、このコマンドを複数回実行できます。

ルールは 255 文字以下です。

1 つのグループに複数のルールを割り当てられます。複数のルールを割り当てるには、まずルールのプライオリティを追加し、グループ化します。次に、各グループに必要な数だけ基準文を定義します。1 つのグループに複数のルールを割り当てた場合、テストされる最初のルールの照合結果は一致します。

単一のルールを作成することにより、ユーザを特定のトンネル グループに割り当てる前にすべての照合基準を要求できます。すべての照合基準が必要であることは、論理 AND 操作に相当します。または、ユーザを特定のトンネル グループに割り当てる前にすべての照合基準が必要な場合は、基準ごとに 1 つのルールを作成します。照合基準が 1 つだけ必要であることは、論理 OR 操作に相当します。

次の例では、フェーズ 1 の ISAKMP ID の内容に基づいて、証明書ベースの ISAKMP セッションをトンネル グループにマッピングする機能をイネーブルにします。

hostname(config)# tunnel-group-map enable ike-id
hostname(config)#
 

次の例では、ピアの IP アドレスに基づいて、証明書ベースの ISAKMP セッションをトンネル グループにマッピングする機能をイネーブルにします。

hostname(config)# tunnel-group-map enable peer-ip
hostname(config)#
 

次の例では、サブジェクト認定者名(DN)の組織ユニット(OU)に基づいて、証明書ベースの ISAKMP セッションをマッピングする機能をイネーブルにします。

hostname(config)# tunnel-group-map enable ou
hostname(config)#
 

次の例では、設定されたルールに基づいて、証明書ベースの ISAKMP セッションをマッピングする機能をイネーブルにします。

hostname(config)# tunnel-group-map enable rules
hostname(config)#

tunnel-group-map default-group コマンドの使用

このコマンドは、コンフィギュレーションにトンネル グループが指定されていない場合に使用する、デフォルトのトンネル グループを指定します。

コマンドの構文は、 tunnel-group-map [ rule-index ] default-group tunnel-group-name です。 rule-index はルールのプライオリティで、 tunnel-group name は既存のトンネル グループ名である必要があります。

IPsec の設定

この項では、IPsec に関する背景情報と、IPsec を使用して VPN を実装するときにASAを設定する手順について説明します。次の項目について説明します。

「IPsec トンネルの概要」

「IKEv1 トランスフォーム セットおよび IKEv2 プロポーザルの概要」

「クリプト マップの定義」

「クリプト マップのインターフェイスへの適用」

「インターフェイス アクセス リストの使用」

「IPsec SA のライフタイムの変更」

「基本的な IPsec コンフィギュレーションの作成」

「ダイナミック クリプト マップの使用」

「サイトツーサイト冗長性の定義」

「IPsec コンフィギュレーションの表示」

IPsec トンネルの概要

IPsec トンネルとは、ASAがピア間に確立する SA のセットのことです。SA は機密データに適用するプロトコルとアルゴリズムを定義し、ピアが使用するキー関連情報を指定します。IPsec SA は、ユーザ トラフィックの実際の伝送を制御します。SA は単方向ですが、通常ペア(着信と発信)で確立されます。

ピアは SA ごとに使用する設定をネゴシエートします。各 SA は次のもので構成されます。

IKEv1 トランスフォーム セットまたは IKEv2 プロポーザル

クリプト マップ

アクセス リスト

トンネル グループ

事前フラグメンテーション ポリシー

IKEv1 トランスフォーム セットおよび IKEv2 プロポーザルの概要

IKEv1 トランスフォーム セットまたは IKEv2 プロポーザルは、ASA によるデータの保護方法を定義したセキュリティ プロトコルとアルゴリズムの組み合わせのことです。IPsec SA のネゴシエート中、2 つのピアは、両方のピアで一致しているトランスフォーム セットまたはプロポーザルを識別する必要があります。次に ASA は一致しているトランスフォーム セットまたはプロポーザルを使用して、クリプト マップに対するアクセス リストのデータ フローを保護する SA を作成します。

IKEv1 トランスフォーム セットを使用し、パラメータごとに 1 つの値を設定します。IKEv2 プロポーザルでは、単一のプロポーザルに対して複数の暗号化タイプと認証タイプ、および複数の整合性アルゴリズムを設定することができます。ASA は、設定をセキュア度が最も高いものから最も低いものに並べ替え、その順序を使用してピアとのネゴシエーションを行います。これによって、IKEv1 と同様に、許可される各組み合わせを個別に送信することなく、許可されるすべての組み合わせを伝送するために単一のプロポーザルを送信できます。

SA を作成するために使用されるトランスフォーム セットまたはプロポーザルの定義を変更すると、ASA はトンネルを切断します。詳細については、 セキュリティ アソシエーションのクリアを参照してください。


) トランスフォーム セットまたはプロポーザルの要素を 1 つだけ消去または削除すると、ASA はその要素を参照するクリプト マップを自動的に削除します。


クリプト マップの定義

クリプト マップ は、IPsec SA でネゴシエートされる IPsec ポリシーを定義します。クリプト マップには、次のものが含まれます。

IPsec 接続が許可および保護するパケットを識別するためのアクセス リスト

ピア ID

IPsec トラフィックのローカル アドレス (詳細については、「クリプト マップのインターフェイスへの適用」を参照してください)。

ピアのセキュリティ設定の照合に使用される最大 11 個の IKEv1 トランスフォーム セットまたは IKEv2 プロポーザル。

クリプト マップ セット は、同じマップ名を持つ 1 つまたは複数のクリプト マップで構成されます。最初のクリプト マップを作成したときに、クリプト マップ セットを作成します。クリプト マップを作成または追加するコマンドの構文は次のとおりです。

crypto map map-name seq-num match address access-list-name
 

このコマンドを続けて入力すると、クリプト マップをクリプト マップ セットに追加できます。次の例では、クリプト マップを追加するクリプト マップ セットの名前は「 mymap 」です。

crypto map mymap 10 match address 101
 

上記の構文に含まれる シーケンス番号 seq-num )によって、同じ名前を持つクリプト マップがそれぞれ区別されます。クリプト マップに割り当てられているシーケンス番号によって、クリプト マップ セット内のクリプト マップ間のプライオリティが決まります。 シーケンス番号が小さいほど、プライオリティが高くなります。クリプト マップ セットをインターフェイスに割り当てると、ASAは、そのインターフェイスを通過するすべての IP トラフィックとクリプト マップ セット内のクリプト マップを、シーケンス番号が低い順に照合して評価します。

クリプト マップに割り当てられている ACL は、同じアクセス リスト名を持つすべての ACE で構成されます。コマンドの構文は次のとおりです。

access-list access-list-name {deny | permit} ip source source-netmask destination destination-netmask
 

各 ACL は、同じアクセス リスト名を持つ 1 つまたは複数の ACE で構成されます。最初の ACE を作成したときに、ACL を作成します。ACL を作成または追加するコマンドの構文は次のとおりです。

access-list access-list-name {deny | permit} ip source source-netmask destination destination-netmask
 

次の例では、ASA は、10.0.0.0 サブネットから 10.1.1.0 サブネットまでのすべてのトラフィック フローに対して、クリプト マップに割り当てられている IPsec 保護を適用します。

access-list 101 permit ip 10.0.0.0 255.255.255.0 10.1.1.0 255.255.255.0

 

パケットが一致するクリプト マップによって、SA ネゴシエーションで使用されるセキュリティ設定が決定します。ローカルのASAがネゴシエーションを開始する場合は、スタティック クリプト マップで指定されたポリシーを使用して、指定のピアに送信するオファーを作成します。ピアがネゴシエーションを開始する場合、ASA はポリシーをスタティック クリプト マップと照合しますが、これが失敗した場合は、クリプト マップ セットのダイナミック クリプト マップと照合して、ピアのオファーを受け入れるか拒否するかを決定します。

2 つのピアが SA の確立に成功するには、両方のピアが互換性のあるクリプト マップを少なくとも 1 つ持っている必要があります。互換性が成立するには、クリプト マップが次の条件を満たす必要があります。

クリプト マップに、互換性を持つ暗号 ACL(たとえば、ミラー イメージ ACL)が含まれている。応答するピアがダイナミック クリプト マップを使用する場合、IPsec を適用するための要件として、ASA にも互換性を持つ暗号 ACL が含まれている必要があります。

各クリプト マップが他のピアを識別する(応答するピアがダイナミック クリプト マップを使用していない場合)。

クリプト マップに、共通のトランスフォーム セットまたはプロポーザルが少なくとも 1 つある。

1 つのインターフェイスに適用できるクリプト マップ セットは 1 つだけです。次の条件のいずれかが当てはまる場合は、ASA上の特定のインターフェイスに対して複数のクリプト マップを作成します。

特定のピアに異なるデータ フローを処理させる。

さまざまなタイプのトラフィックにさまざまな IPsec セキュリティを適用する。

たとえば、クリプト マップを 1 つ作成し、2 つのサブネット間のトラフィックを識別する ACL を割り当て、IKEv1 トランスフォーム セットまたは IKEv2 プロポーザルを 1 つ割り当てます。別のクリプト マップを作成し、別の 2 つのサブネット間のトラフィックを識別する ACL を割り当て、VPN パラメータが異なるトランスフォーム セットまたはプロポーザルを適用します。

1 つのインターフェイスに複数のクリプト マップを作成する場合は、クリプト マップ セット内のプライオリティを決めるシーケンス番号(seq-num)を各クリプト マップ エントリに指定します。

各 ACE には permit 文または deny 文が含まれます。 表 63-3 に、クリプト マップに適用される ACL での ACE の許可と拒否の特別な意味を示します。

 

表 63-3 発信トラフィックに適用されるアクセス リストにおける許可と拒否の特別な意味

クリプト マップ評価の結果
応答

permit 文が含まれている ACE の基準と一致

パケットをクリプト マップ セットの残りの ACE と照合して評価することを停止し、パケット セキュリティ設定を、クリプト マップに割り当てられている IKEv1 トランスフォーム セットまたは IKEv2 プロポーザルと照合して評価します。セキュリティ設定がトランスフォーム セットまたはプロポーザルのセキュリティ設定と一致すると、ASA は関連する IPsec 設定を適用します。一般に発信トラフィックの場合、IPsec 設定の適用とはパケットの復号化、認証、ルーティングを行うことを意味します。

deny 文が含まれている ACE の基準と一致

パケットを評価中のクリプト マップの残りの ACE と照合して評価することを中断し、次のクリプト マップ(クリプト マップに割り当てられているシーケンス番号で判断する)の ACE との照合と評価を再開します。

クリプト マップ セット内のテスト済みのすべての許可 ACE と不一致

パケットを暗号化せずにルーティングします。

deny 文が含まれている ACE は、IPsec 保護が不要な発信トラフィック(たとえば、ルーティング プロトコル トラフィックなど)をフィルタリングして除外します。したがって、暗号アクセス リストの permit 文と照合して評価する必要のない発信トラフィックをフィルタリングするために、最初の deny 文を挿入します。

暗号化された着信パケットに対しては、セキュリティ アプライアンスは送信元アドレスと ESP SPI を使用して、パラメータの復号化を決定します。セキュリティ アプライアンスは、パケットを復号化した後で、復号化されたパケットの内部ヘッダーを、そのパケットの SA に関連付けられている ACL の許可 ACE と比較します。内部ヘッダーがプロキシと一致しない場合、セキュリティ アプライアンスはそのパケットをドロップします。内部ヘッダーがプロキシと一致する場合、セキュリティ アプライアンスはそのパケットをルーティングします。

暗号化されていない着信パケットの内部ヘッダーを比較する場合は、セキュリティ アプライアンスはすべての拒否ルールを無視します。これは、拒否ルールによってフェーズ 2 の SA の確立が妨げられるためです。


) 暗号化されていない着信トラフィックをクリア テキストとしてルーティングするには、ACE の許可の前に ACE の拒否を挿入します。


図 63-1 に、ASAの LAN-to-LAN ネットワークの例を示します。

 

図 63-1 ACE の許可と拒否がトラフィックに及ぼす影響(概念上のアドレス)

 

この図に示され、また以下の説明で使用されている単純なアドレス表記は、抽象化したものです。実際の IP アドレスを使用した例は、この説明の後に示します。

この LAN-to-LAN ネットワーク例において、セキュリティ アプライアンス A、B、および C を設定する目的は、図 63-1 に示したホストのいずれか 1 台から発信され、別のホストを宛先とするすべてのトラフィックのトンネリングを許可することです。ただし、ホスト A.3 から発信されるトラフィックには人事部の機密データが含まれるため、他のトラフィックよりも強固な暗号化と頻繁なキー再生が必要です。そのため、ホスト A.3 から発信されるトラフィックには特別なトランスフォーム セットを割り当てます。

セキュリティ アプライアンス A の発信トラフィックを設定するために、2 つのクリプト マップを作成します。1 つはホスト A.3 の発信トラフィック用で、もう 1 つはネットワーク A の別のホストの発信トラフィック用です。次に例を示します。

Crypto Map Seq_No_1
deny packets from A.3 to B
deny packets from A.3 to C
permit packets from A to B
permit packets from A to C
Crypto Map Seq_No_2
permit packets from A.3 to B
permit packets from A.3 to C
 

ACL を作成したら、一致するパケットごとに必要な IPsec を適用するためのトランスフォーム セットを各クリプト マップに割り当てます。

カスケード ACL とは、拒否 ACE を挿入することで、ACL の評価をバイパスし、クリプト マップ セット内の次の ACL の評価を再開するものです。クリプト マップごとに異なる IPsec 設定を関連付けることができるため、拒否 ACE を使用することで、特別なトラフィックを対応するクリプト マップでの以後の評価から除外し、異なるセキュリティを提供する別のクリプト マップ、または異なるセキュリティを必要とする別のクリプト マップの permit 文と特別なトラフィックを照合することができます。暗号 ACL に割り当てられているシーケンス番号によって、クリプト マップ セット内の評価の順序が決まります。

図 63-2 に、上記の概念 ACE から作成されたカスケード ACL を示します。この図で使用されている各記号の意味は、次のとおりです。

 

クリプト マップ セット内のクリプト マップ。

 

(すき間がある直線)パケットが ACE に一致した時点でクリプト マップの照合を終了します。

 

1 つの ACE の説明と一致したパケット。それぞれの大きさのボールは、図中の別々の ACE に一致する異なるパケットを表しています。大きさの違いは、各パケットの発信元と宛先が異なることを示しています。

 

クリプト マップ セット内での次のクリプト マップへのリダイレクション。

 

パケットが ACE に一致するか、またはクリプト マップ セット内のすべての許可 ACE に一致しない場合の応答。

図 63-2 クリプト マップ セット内のカスケード ACL

 

セキュリティ アプライアンス A は、ホスト A.3 から発信されたパケットが許可 ACE と一致するまで評価し、クリプト マップに関連付けられている IPsec セキュリティの割り当てを試行します。このパケットが拒否 ACE と一致すると、ASAはこのクリプト マップの残りの ACE を無視し、次のクリプト マップ(クリプト マップに割り当てられているシーケンス番号で判断する)との照合と評価を再開します。この例では、セキュリティ アプライアンス A がホスト A.3 から発信されたパケットを受信すると、このパケットを最初のクリプト マップの拒否 ACE と照合し、次のクリプト マップでの照合と評価を再開します。パケットが 2 番目のクリプト マップの許可 ACE と一致すると、関連付けられた IPsec セキュリティ(強固な暗号化と頻繁なキー再生)がパケットに適用されます。

このネットワーク例におけるセキュリティ アプライアンスの設定を完了するために、ミラー クリプト マップをセキュリティ アプライアンス B と C に割り当てます。しかし、セキュリティ アプライアンスは、暗号化された着信トラフィックの評価では拒否 ACE を無視するため、deny A.3 B と deny A.3 C の ACE のミラーに相当するものを無視できます。したがって、クリプト マップ 2 のミラーに相当するものを無視できます。このため、セキュリティ アプライアンス B と C のカスケード ACL の設定は不要です。

表 63-4 に、図 63-1 の 3 台のASA用に設定されたクリプト マップに割り当てられている ACL を示します。

表 63-4 許可文と拒否文の例(概念図)

セキュリティ アプライアンス A
セキュリティ アプライアンス B
セキュリティ アプライアンス C
クリプト マップ シーケンス 番号
ACE パターン
クリプト マップ シーケンス 番号
ACE パターン
クリプト マップ シーケンス 番号
ACE パターン

1

A.3 B を拒否

1

B A を許可

1

C A を許可

A.3 C を拒否

A B を許可

A C を許可

B C を許可

C B を許可

2

A.3 B を許可

A.3 C を許可

図 63-3 では、図 63-1 の概念アドレスを実際の IP アドレスにマッピングしています。

 

図 63-3 ACE の許可と拒否がトラフィックに及ぼす影響(実際のアドレス)

 

次の表は、図 63-3 の IP アドレスを 表 63-4 の概念と結合したものです。これらの表に示されている実際の ACE によって、このネットワーク内で評価を受けたすべての IPsec パケットに適切な IPsec 設定が適用されます。

 

表 63-5 セキュリティ アプライアンス A の permit 文と deny 文の例

セキュリティ アプライアンス
クリプト マップ
シーケンス
番号
ACE パターン
実際の ACE

A

1

A.3 B を拒否

deny 192.168.3.3 255.255.255.192 192.168.12.0 255.255.255.248

A.3 C を拒否

deny 192.168.3.3 255.255.255.192 192.168.201.0 255.255.255.224

A B を許可

permit 192.168.3.0 255.255.255.192 192.168.12.0 255.255.255.248

A C を許可

permit 192.168.3.0 255.255.255.192 192.168.201.0 255.255.255.224

2

A.3 B を許可

permit 192.168.3.3 255.255.255.192 192.168.12.0 255.255.255.248

A.3 C を許可

permit 192.168.3.3 255.255.255.192 192.168.201.0 255.255.255.224

B

必要なし

B A を許可

permit 192.168.12.0 255.255.255.248 192.168.3.0 255.255.255.192

B C を許可

permit 192.168.12.0 255.255.255.248 192.168.201.0 255.255.255.224

C

必要なし

C A を許可

permit 192.168.201.0 255.255.255.224 192.168.3.0 255.255.255.192

C B を許可

permit 192.168.201.0 255.255.255.224 192.168.12.0 255.255.255.248

このネットワーク例で示されている論法を応用して、カスケード ACL を使用することにより、Cisco ASAで保護されているさまざまなホストまたはサブネットにさまざまなセキュリティ設定を割り当てることができます。


) デフォルトでは、ASAは、IPsec トラフィックが入ってきたインターフェイスと同じインターフェイスを宛先とする IPsec トラフィックはサポートしません このタイプのトラフィックには、U ターン、ハブアンドスポーク、ヘアピニングなどの名称があります。ただし、IPsec で U ターン トラフィックをサポートするように設定することもできます。そのためには、同じネットワークの発信トラフィックと着信トラフィックを許可する ACE を挿入します。たとえば、セキュリティ アプライアンス B で U ターン トラフィックをサポートするには、概念上の「B B を許可」ACE を ACL1 に追加します。実際の ACE は次のようになります。
permit 192.168.12.0 255.255.255.248 192.168.12.0 255.255.255.248


クリプト マップのインターフェイスへの適用

クリプト マップ セットは、IPsec トラフィックが通過する各インターフェイスに割り当てる必要があります。ASAは、すべてのインターフェイスで IPsec をサポートします。クリプト マップ セットをインターフェイスに割り当てると、ASAは、すべてのトラフィックをクリプト マップ セットと照合して評価し、接続中またはネゴシエーション中は指定されたポリシーを使用します。

クリプト マップをインターフェイスに割り当てると、SA データベースやセキュリティ ポリシー データベースなどのランタイム データ構造も初期設定されます。クリプト マップを修正してインターフェイスに再割り当てすると、ランタイム データ構造はクリプト マップ設定と再同期化されます。また、新しいシーケンス番号を使用して新しいピアを追加し、クリプト マップを再割り当てしても、既存の接続が切断されることはありません。

インターフェイス アクセス リストの使用

ASAでは、デフォルトで IPsec パケットがインターフェイス ACL をバイパスするようになっています。インターフェイス アクセス リストを IPsec トラフィックに適用する場合は、 no 形式の sysopt connection permit-vpn コマンドを使用します。

発信インターフェイスにバインドされているクリプト マップ アクセス リストは、VPN トンネルを通過する IPsec パケットの許可と拒否を行います。IPsec は、IPsec トンネルから来たパケットの認証と解読を行い、トンネルに関連付けられている ACL とパケットを照合して評価します。

アクセス リストは、どの IP トラフィックを保護するかを定義します。たとえば、2 つのサブネット間または 2 台のホスト間のすべての IP トラフィックを保護するためのアクセス リストを作成できます (これらのアクセス リストは、 access-group コマンドで使用されるアクセス リストとよく似ています。ただし、 access-group コマンドでは、アクセス リストがインターフェイスで転送するトラフィックと阻止するトラフィックを決めます)。

クリプト マップを割り当てるまで、アクセス リストは IPsec の使用に限定されません。各クリプト マップはアクセス リストを参照し、パケットがアクセス リストのいずれか 1 つで permit と一致した場合に適用する IPsec プロパティを決めます。

IPsec クリプト マップに割り当てられているアクセス リストには、次の 4 つの主要機能があります。

IPsec で保護する発信トラフィックを選択する(permit に一致したものが保護の対象)。

確立された SA がない状態で移動するデータに対して ISAKMP ネゴシエーションをトリガーする。

着信トラフィックを処理して、IPsec で保護すべきであったトラフィックをフィルタリングして廃棄する。

ピアからの IKE ネゴシエーションを処理するときに、IPsec SA の要求を受け入れるかどうかを決定する (ネゴシエーションは ipsec-isakmp crypto map エントリだけに適用されます)。ピアは ipsec-isakmp crypto map コマンド エントリに関連付けられているデータ フローを許可し、ネゴシエーション中に要求を受け入れられるようにする必要があります。

トラフィックが着信か発信かに関係なく、ASAは、インターフェイスに割り当てられているアクセス リストとトラフィックを照合して評価します。インターフェイスに IPsec を割り当てるには、次の手順を実行します。


ステップ 1 IPsec に使用するアクセス リストを作成します。

ステップ 2 作成したアクセス リストを、同じクリプト マップ名を使用して 1 つまたは複数のクリプト マップにマッピングします。

ステップ 3 データ フローに IPsec を適用するために、IKEv1 トランスフォーム セットまたは IKEv2 プロポーザルをクリプト マップにマッピングします。

ステップ 4 共有するクリプト マップ名を割り当てて、クリプト マップを一括してクリプト マップ セットとしてインターフェイスに適用します。


 

図 63-4 では、データがセキュリティ アプライアンス A 上の外部インターフェイスを出てホスト 10.2.2.2 に向かうときに、ホスト 10.0.0.1 とホスト 10.2.2.2 の間のトラフィックに IPsec 保護が適用されます。

図 63-4 暗号アクセス リストを IPsec に適用する方法

 

セキュリティ アプライアンス A は、ホスト 10.0.0.1 からホスト 10.2.2.2 へのトラフィックを次のように評価します。

送信元 = ホスト 10.0.0.1

宛先 = ホスト 10.2.2.2

またセキュリティ アプライアンス A は、ホスト 10.2.2.2 からホスト 10.0.0.1 へのトラフィックを次のように評価します。

送信元 = ホスト 10.2.2.2

宛先 = ホスト 10.0.0.1

評価中のパケットと最初に一致した permit 文によって、IPsec SA のスコープが決まります。


) アクセス リストの要素を 1 つだけ削除すると、ASAは関連付けられているクリプト マップも削除します。


現在 1 つまたは複数のクリプト マップが参照しているアクセス リストを修正する場合は、 crypto map interface コマンドを使用して SA データベースのランタイムを再初期化します。詳細については、 crypto map コマンドを参照してください。

ローカル ピアで定義するスタティック クリプト マップに指定したすべてのアクセス リストに対して、リモート ピアで「ミラー イメージ」クリプト アクセス リストを定義することをお勧めします。また、クリプト マップは共通トランスフォームをサポートし、他のシステムをピアとして参照する必要があります。これにより、両方のピアで IPsec が正しく処理されます。


) すべてのスタティック クリプト マップでアクセス リストと IPsec ピアを定義する必要があります。どちらかが定義されていないと、クリプト マップは不完全なものになり、ASAは、前の完全なクリプト マップにまだ一致していないトラフィックをドロップします。show conf コマンドを使用して、すべてのクリプト マップが完全なものになるようにします。不完全なクリプト マップを修正するには、クリプト マップを削除し、欠けているエントリを追加してからクリプト マップを再適用します。


暗号アクセス リストで送信元アドレスまたは宛先アドレスの指定に any キーワードを使用すると問題が発生するため、このキーワードの使用は避けてください。 permit any any コマンド文を使用すると次の現象が発生するため、使用は極力避けてください。

すべての発信トラフィックが保護されます。これには、対応するクリプト マップで指定されているピアに送信される保護済みのトラフィックも含まれます。

すべての着信トラフィックに対する保護が必要になります。

このシナリオでは、ASAは IPsec 保護されていないすべての着信パケットを通知なしでドロップします。

保護するパケットを定義したことを必ず確認してください。 permit 文に any キーワードを使用する場合は、その文の前に一連の deny 文をおき、保護対象外のトラフィックをすべてフィルタリングして排除します。これを行わないと、その permit 文に保護対象外のトラフィックが含まれることになります。


no sysopt connection permit-vpn が設定されている間は、外部インターフェイスで access group が設定されていたとしても、クライアントからの復号化された通過トラフィックが許可されます。これは、deny ip any any アクセス リストを呼び出します。

外部インターフェイスの Access Control List(ACL; アクセス コントロール リスト)と共に no sysopt permit コマンドを使用して、サイトツーサイト VPN またはリモート アクセス VPN 経由での保護されたネットワークへのアクセスを制御しようとしても、うまくいきません。

このような状況では、内部の管理アクセスがイネーブルになっていると、ACL は適用されず、ユーザはまだセキュリティ アプライアンスへの SSH を使用して接続できます。内部ネットワーク上のホストへのトラフィックは ACL によって正しくブロックされますが、内部インターフェイスへの復号化された通過トラフィックはブロックできません。

ssh およびhttp コマンドは、ACL よりもプライオリティが高くなります。つまり、VPN セッションからデバイスへの SSH、Telnet、または ICMP トラフィックを拒否するには、IP ローカル プールを拒否する sshtelnet、および icmp コマンドを追加する必要があります。


IPsec SA のライフタイムの変更

が新しい IPsec SA とネゴシエートするときに使用する、グローバル ライフタイムASA値を変更できます。特定のクリプト マップのグローバル ライフタイム値を上書きできます。

IPsec SA では、取得された共有秘密キーが使用されます。共有秘密キーは SA に不可欠な要素で、共有秘密キーにリフレッシュが必要な場合、SA と同時にタイムアウトします。各 SA には、「時間」ライフタイムと「トラフィック量」ライフタイムの 2 つがあります。それぞれのライフタイムとネゴシエーションが新しい SA 用に開始されると、前の SA は期限満了になります。デフォルトのライフタイムは、28,800 秒(8 時間)および 4,608,000 キロバイト(10 メガバイト/秒で 1 時間)です。

グローバル ライフタイムを変更すると、ASAはトンネルをドロップします。変更後に確立された SA のネゴシエーションでは、新しい値が使用されます。

クリプト マップに設定されたライフタイム値がなく、ASAから新しい SA を要求された場合、クリプト マップは、ピアに送信される新しい SA 要求に、既存の SA で使用されているグローバル ライフタイム値を挿入します。ピアがネゴシエーション要求を受け取ると、このピアが提案するライフタイム値とローカルに設定されているライフタイム値のうち小さい方の値を、新しい SA のライフタイム値として使用します。

既存 SA のライフタイムのしきい値を超える前に、ピアは新しい SA をネゴシエートします。このようにして、既存 SA の有効期限が切れる前に、新しい SA の準備が整います。既存 SA の残りのライフタイムが約 5 ~ 15% になると、ピアは新しい SA をネゴシエートします。

基本的な IPsec コンフィギュレーションの作成

スタティックまたはダイナミック クリプト マップを使用する基本的な IPsec コンフィギュレーションを作成できます。

スタティック クリプト マップを使用する基本的な IPsec コンフィギュレーションを作成するには、次の手順を実行します。


ステップ 1 次のコマンドを入力して、保護するトラフィックを定義するアクセス リストを作成します。

access-list access-list-name {deny | permit} ip source source-netmask destination destination-netmask
 

次の例を参考にしてください。

hostname(config)# access-list 101 permit ip 10.0.0.0 255.255.255.0 10.1.1.0 255.255.255.0
 

この例では、 permit キーワードによって、指定の条件に一致するトラフィックすべてが暗号で保護されます。

ステップ 2 次のコマンドを入力して、トラフィックを保護する方法を定義する IKEv1 トランスフォーム セットを設定します。

crypto ipsec ikev1 transform-set transform-set-name encryption [authentication]
 

次の例を参考にしてください。

hostname(config)# crypto ipsec ikev1 transform-set myset1 esp-des esp-sha-hmac
hostname(config)# crypto ipsec ikev1 transform-set myset2 esp-3des esp-sha-hmac
hostname(config)# crypto ipsec ikev1 transform-set aes_set esp-md5-hmac esp-aes-256
 

この例では、myset1、myset2、aes_set がトランスフォーム セットの名前です。

IKEv2 プロポーザルでもトラフィックを保護する方法を定義します。これを設定するには、 crypto ipsec ikev2 ipsec-proposal コマンドを入力してプロポーザルを作成し、ipsec プロポーザル コンフィギュレーション モードを開始します。ここでは、プロポーザルに対して複数の暗号化および整合性のタイプを指定できます。

crypto ipsec ikev2 ipsec-proposal [proposal tag]
 

次の例を参考にしてください。

hostname(config)# crypto ipsec ikev2 ipsec-proposal secure
 

この例では、secure がプロポーザルの名前です。プロトコルおよび暗号化タイプを入力します。

hostname(config-ipsec-proposal)# protocol esp encryption 3des aes des
 

ステップ 3 クリプト マップを作成するには、次の手順を実行します。

a. アクセス リストをクリプト マップに割り当てます。

crypto map map-name seq-num match address access-list-name
 

次の例では、mymap がクリプト マップ セットの名前です。マップ セットのシーケンス番号は 10 です。シーケンス番号は、1 つのクリプト マップ セット内の複数のエントリにランクを付けるために使用します。シーケンス番号が小さいほど、プライオリティが高くなります。

crypto map mymap 10 match address 101
 

この例では、アクセス リスト 101 がクリプト マップ mymap に割り当てられます。

b. IPsec で保護されたトラフィックの転送先となるピアを指定します。

crypto map map-name seq-num set peer ip-address
 

次の例を参考にしてください。

crypto map mymap 10 set peer 192.168.1.100
 

ASAは、ピアに IP アドレス 192.168.1.100 が割り当てられている SA をセットアップします。このコマンドを繰り返して、複数のピアを指定します。

c. このクリプト マップに対して、IKEv1 トランスフォーム セットと IKEv2 プロポーザルのどちらを許可するかを指定します。複数のトランスフォーム セットまたはプロポーザルをプライオリティ順(最高のプライオリティのものが最初)に列挙します。次の 2 つのコマンドのいずれかを使用して、1 つのクリプト マップに 11 個までのトランスフォーム セットまたはプロポーザルを指定できます。

crypto map map-name seq-num set ikev1 transform-set transform-set-name1 [transform-set-name2, ...transform-set-name11]
 
crypto map map-name seq-num set ikev2 ipsec-proposal proposal-name1
[proposal-name2, ... proposal-name11]
 

次の例を参考にしてください(IKEv1 の場合)。

crypto map mymap 10 set ikev1 transform-set myset1 myset2
 

この例では、トラフィックがアクセス リスト 101 に一致すると、SA は、どのトランスフォーム セットがピアのトランスフォーム セットに一致するかによって、myset1(第 1 プライオリティ)と myset2(第 2 プライオリティ)のいずれかを使用できます。

d. (オプション)グローバル ライフタイムを上書きする場合は、クリプト マップの SA ライフタイムを指定します。

crypto map map-name seq-num set security-association lifetime {seconds seconds | kilobytes kilobytes}
 

次の例を参考にしてください。

crypto map mymap 10 set security-association lifetime seconds 2700
 

この例では、クリプト マップ mymap 10 の時間ライフタイムを 2700 秒(45 分)に短縮します。トラフィック量ライフタイムは変更されません。

e. (オプション)IPsec がこのクリプト マップに対して新しい SA を要求するときに Perfect Forward Secrecy(PFS; 完全転送秘密)を要求するか、または IPsec ピアから受け取る要求に PFS を要求するかを指定します。

crypto map map-name seq-num set pfs [group1 | group2 | group5]
 

次の例を参考にしてください。

crypto map mymap 10 set pfs group2
 

この例では、クリプト マップ mymap 10 に対して新しい SA をネゴシエートするときに、PFS を要求しています。ASA は、新しい SA で 1024 ビットの Diffie-Hellman プライム モジュラス グループを使用します。

ステップ 4 IPsec トラフィックを評価するために、クリプト マップ セットをインターフェイスに適用します。

crypto map map-name interface interface-name
 

次の例を参考にしてください。

crypto map mymap interface outside
 

この例では、ASA は外部インターフェイスを通過するトラフィックをクリプト マップ mymap と照合して評価し、保護が必要かどうかを判断します。


 

ダイナミック クリプト マップの使用

ダイナミック クリプト マップは、いずれのパラメータも設定されていないクリプト マップです。ダイナミック クリプト マップは、不足しているパラメータが、ピアの要件に合うように後でダイナミックに取得される(IPsec ネゴシエーションの結果として)ポリシー テンプレートの役割を果たします。ASAは、スタティック クリプト マップでピアの IP アドレスがまだ指定されていない場合、ピアでトンネルをネゴシエートさせるためにダイナミック クリプト マップを適用します。これは、次のタイプのピアで発生します。

パブリック IP アドレスがダイナミックに割り当てられるピア。

LAN-to-LAN のピア、およびリモート アクセスするピアは、両方とも DHCP を使用してパブリック IP アドレスを取得できます。ASAは、トンネルを開始するときだけこのアドレスを使用します。

プライベート IP アドレスがダイナミックに割り当てられるピア。

通常、リモート アクセスのトンネルを要求するピアは、ヘッドエンドによって割り当てられたプライベート IP アドレスを持っています 一般に、LAN-to-LAN トンネルには事前に決定されたプライベート ネットワークのセットがあります。これがスタティック マップの設定に使用されるので、結果として IPsec SA の確立にも使用されます。

管理者がスタティック クリプト マップを設定するため、(DHCP または別の方法で)ダイナミックに割り当てられた IP アドレスがわからない場合や、割り当て方法には関係なく他のクライアントのプライベート IP アドレスがわからない場合があります。通常、VPN クライアントには、スタティック IP アドレスがなく、IPsec ネゴシエーションを発生させるためのダイナミック クリプト マップが必要です。たとえば、ヘッドエンドは IKE ネゴシエーション中に IP アドレスを Cisco VPN クライアントに割り当て、クライアントはこのアドレスを使用して IPsec SA をネゴシエートします。


) ダイナミック クリプト マップには transform-set パラメータだけが必要です。


ダイナミック クリプト マップは、IPsec コンフィギュレーションを容易にするので、ピアが必ずしも事前設定されていないネットワークで使用するのに適しています。ダイナミック クリプト マップは、Cisco VPN クライアント(モバイル ユーザなど)、およびダイナミックに割り当てられた IP アドレスを取得するルータに対して使用してください。


ヒント ダイナミック クリプト マップの permit エントリに any キーワードを使用する場合は、注意が必要です。このような permit エントリの対象となるトラフィックにマルチキャストやブロードキャストのトラフィックが含まれる場合、該当するアドレス範囲について deny エントリをアクセス リストに挿入します。ネットワークとサブネット ブロードキャスト トラフィックに対して、また IPsec で保護しないその他のトラフィックに対しては、必ず deny エントリを挿入してください。

ダイナミック クリプト マップは、接続を開始したリモートのピアと SA をネゴシエートするときだけ機能します。ASAは、ダイナミック クリプト マップを使用してリモート ピアとの接続を開始することはできません。ダイナミック クリプト マップ エントリでは、発信トラフィックがアクセス リストの permit エントリと一致しても、対応する SA がまだ存在しない場合、ASAはそのトラフィックをドロップします。

クリプト マップ セットには、ダイナミック クリプト マップを含めることができます。ダイナミック クリプト マップのセットには、クリプト マップ セットで一番低いプライオリティ(つまり、一番大きいシーケンス番号)を設定し、ASAが他のクリプト マップを先に評価するようにする必要があります。セキュリティ アプライアンスは、他の(スタティック)マップのエントリが一致しない場合にだけ、ダイナミック クリプト マップのセットを調べます。

スタティック クリプト マップ セットと同様に、ダイナミック クリプト マップ セットにも、同じ dynamic-map-name を持つすべてのダイナミック クリプト マップを含めます。dynamic-seq-num によって、セット内のダイナミック クリプト マップが区別されます。ダイナミック クリプト マップを設定する場合は、IPsec ピアのデータ フローを暗号アクセス リストで識別するために、ACL の許可を挿入します。このように設定しないと、ASAは、ピアが提示するあらゆるデータ フロー ID を受け入れることになります。


注意 ダイナミック クリプト マップ セットを使用して設定された、ASA インターフェイスにトンネリングされるトラフィックに対して、モジュールのデフォルト ルートを割り当てないでください。トンネリングされるトラフィックを指定するには、ダイナミック クリプト マップに ACL を追加します。リモート アクセス トンネルに関連付けられた ACL を設定する場合は、適切なアドレス プールを指定してください。逆ルート注入を使用してルートをインストールするのは、必ずトンネルがアップ状態になった後にしてください。

ダイナミック クリプト マップ エントリを使用するための手順は、スタティック クリプト マップを作成する代わりにダイナミック クリプト マップ エントリを作成するという点を除いて、 基本的な IPsec コンフィギュレーションの作成で説明した基本的なコンフィギュレーションと同じです。1 つのクリプト マップ セットの中でスタティック マップ エントリとダイナミック マップ エントリを組み合わせることもできます。

暗号ダイナミック マップ エントリを次のように作成します。


ステップ 1 (オプション)アクセス リストをダイナミック クリプト マップに割り当てます。

crypto dynamic-map dynamic-map-name dynamic-seq-num match address access-list-name
 

これによって、保護するトラフィックと保護しないトラフィックが決まります。

次の例を参考にしてください。

crypto dynamic-map dyn1 10 match address 101
 

この例では、アクセス リスト 101 がダイナミック クリプト マップ dyn1 に割り当てられます。このクリプト マップのシーケンス番号は 10 です。

ステップ 2 このダイナミック クリプト マップに対して、IKEv1 トランスフォーム セットと IKEv2 プロポーザルのどちらを許可するかを指定します。IKEv1 トランスフォーム セットまたは IKEv2 プロポーザルのコマンドを使用して、複数のトランスフォーム セットまたはプロポーザルをプライオリティ順(最高のプライオリティのものが最初)に列挙します。

crypto dynamic-map dynamic-map-name dynamic-seq-num set ikev1 transform-set transform-set-name1, [transform-set-name2, ...transform-set-name9]
 
crypto dynamic-map dynamic-map-name dynamic-seq-num set ikev2 ipsec-proposal proposal-name1
[proposal-name2, ... proposal-name11]
 

次の例を参考にしてください(IKEv1 の場合)。

crypto dynamic-map dyn 10 set ikev1 transform-set myset1 myset2
 

この例では、トラフィックがアクセス リスト 101 に一致すると、SA は、どのトランスフォーム セットがピアのトランスフォーム セットに一致するかによって、myset1(第 1 プライオリティ)と myset2(第 2 プライオリティ)のいずれかを使用できます。

ステップ 3 (オプション)グローバル ライフタイムを無効にする場合は、ダイナミック クリプト マップの SA ライフタイムを指定します。

crypto dynamic-map dynamic-map-name dynamic-seq-num set security-association lifetime {seconds seconds | kilobytes kilobytes}
 

次の例を参考にしてください。

crypto dynamic-map dyn1 10 set security-association lifetime seconds 2700
 

この例では、ダイナミック クリプト マップ dyn1 10 の時間ライフタイムを 2700 秒(45 分)に短縮します。トラフィック量ライフタイムは変更されません。

ステップ 4 (オプション)IPsec がこのダイナミック クリプト マップに対して新しい SA を要求するときに PFS を要求するか、または IPsec ピアから受け取る要求に PFS を要求するかを指定します。

crypto dynamic-map dynamic-map-name dynamic-seq-num set pfs [group1 | group2 | group5 | group7]
 

次の例を参考にしてください。

crypto dynamic-map dyn1 10 set pfs group5
 

ステップ 5 ダイナミック クリプト マップ セットをスタティック クリプト マップ セットに追加します。

ダイナミック マップを参照するクリプト マップは、必ずクリプト マップ セットの中でプライオリティ エントリを最低(シーケンス番号が最大)に設定してください。

crypto map map-name seq-num ipsec-isakmp dynamic dynamic-map-name
 

次の例を参考にしてください。

crypto map mymap 200 ipsec-isakmp dynamic dyn1
 


 

サイトツーサイト冗長性の定義

クリプト マップを使用して、複数の IKEv1 ピアに冗長性を定義できます。このコンフィギュレーションはサイトツーサイト VPN に便利です。この機能は IKEv2 ではサポートされていません。

あるピアが失敗すると、ASAは、クリプト マップに関連付けられている次のピアへのトンネルを確立します。ネゴシエーションが成功したピアにセキュリティ アプライアンスからデータが送信されると、そのピアはアクティブなピアになります。アクティブなピアとは、後続のネゴシエーションに対して、ネゴシエーションが失敗するまでASAが常に最初に試みるピアのことです。ネゴシエーションが失敗した時点で、ASAは次のピアに移ります。クリプト マップに関連付けられているすべてのピアが失敗すると、ASAのサイクルは最初のピアに戻ります。

IPsec コンフィギュレーションの表示

表 63-6 に、IPsec コンフィギュレーションに関する情報の表示に使用できるコマンドのリストを示します。

 

表 63-6 IPsec コンフィギュレーション情報を表示するためのコマンド

コマンド
目的

show running-configuration crypto

IPsec、クリプト マップ、ダイナミック クリプト マップ、ISAKMP など、暗号コンフィギュレーション全体を表示します。

show running-config crypto ipsec

IPsec コンフィギュレーション全体を表示します。

show running-config crypto isakmp

ISAKMP コンフィギュレーション全体を表示します。

show running-config crypto map

クリプト マップ コンフィギュレーション全体を表示します。

show running-config crypto dynamic-map

ダイナミック クリプト マップのコンフィギュレーションを表示します。

show all crypto map

すべてのコンフィギュレーション パラメータ(デフォルト値を持つパラメータも含む)を表示します。

セキュリティ アソシエーションのクリア

一部のコンフィギュレーション変更は、後続の SA をネゴシエートしている間だけ有効になります。新しい設定をただちに有効にするには、既存の SA をクリアして、変更後のコンフィギュレーションで SA を再確立します。ASAがアクティブに IPsec トラフィックを処理している場合は、SA データベースのうち、コンフィギュレーション変更の影響を受ける部分だけをクリアします。SA データベースを完全にクリアするのは、大規模な変更の場合や、ASAが処理している IPsec トラフィック量が少ない場合に限定するようにしてください。

表 63-7 に、IPsec SA のクリアと再初期設定に使用できるコマンドのリストを示します。

 

表 63-7 IPsec SA のクリアおよび再初期設定用のコマンド

コマンド
目的

clear configure crypto

IPsec、クリプト マップ、ダイナミック クリプト マップ、ISAKMP など、暗号コンフィギュレーション全体を削除します。

clear configure crypto ca trustpoint

すべてのトラストポイントを削除します。

clear configure crypto dynamic-map

すべてのダイナミック クリプト マップを削除します。特定のダイナミック クリプト マップを削除できるキーワードもあります。

clear configure crypto map

すべてのクリプト マップを削除します。特定のクリプト マップを削除できるキーワードもあります。

clear configure crypto isakmp

ISAKMP コンフィギュレーション全体を削除します。

clear configure crypto isakmp policy

すべての ISAKMP ポリシーまたは特定のポリシーを削除します。

clear crypto isakmp sa

ISAKMP SA データベース全体を削除します。

クリプト マップ コンフィギュレーションのクリア

clear configure crypto コマンドには、IPsec、クリプト マップ、ダイナミック クリプト マップ、CA トラストポイント、すべての証明書、証明書マップ コンフィギュレーション、ISAKMP など、暗号コンフィギュレーションの要素を削除できる引数が含まれます。

引数を指定しないで clear configure crypto コマンドを入力すると、暗号コンフィギュレーション全体(すべての認証も含む)が削除されることに注意してください。

詳細については、『 Cisco ASA 5500 Series Command Reference 』の clear configure crypto コマンドを参照してください。

Nokia VPN クライアントのサポート

ASA は、Challenge/Response for Authenticated Cryptographic Keys(CRACK)プロトコルを使用して、Nokia 92xx Communicator シリーズの電話上の Nokia VPN クライアントからの接続をサポートします。CRACK は、デジタル証明書ではなくレガシーな認証技術を使用している、IPsec に対応したモバイル クライアントに最も適しています。クライアントがレガシーな方式に基づいた秘密キー認証技術(RADIUS など)を使用し、ゲートウェイが公開キー認証を使用している場合に、このプロトコルは相互認証を提供します。

Nokia のクライアントと CRACK プロトコルの両方をサポートするには、Nokia バックエンド サービスが稼動している必要があります。この要件には、図 63-5 に示すように、Nokia Security Services Manager(NSSM)と Nokia のデータベースが含まれます。

図 63-5 Nokia 92xx Communicator サービスの要件

 

Nokia VPN クライアントをサポートするには、ASAで次の手順を実行します。

グローバル コンフィギュレーション モードで、 crypto isakmp policy priority authentication コマンドに crack キーワードを指定して使用し、CRACK 認証をイネーブルにします。次の例を参考にしてください。

hostname(config)# crypto isakmp policy 2
hostname(config-isakmp-policy)# authentication crack
 

クライアント認証にデジタル証明書を使用する場合は、さらに次の手順を実行します。


ステップ 1 トラストポイントを設定し、完全修飾ドメイン名を不要にします。トラストポイントは、NSSM やその他の CA の場合があります。次の例では、トラストポイントには CompanyVPNCA という名前が付いています。

hostname(config)# crypto ca trustpoint CompanyVPNCA
hostname(config-ca-trustpoint)# fqdn none
 

ステップ 2 ISAKMP ピアの ID を設定するには、次のいずれかの手順を実行します。

crypto isakmp identity コマンドに hostname キーワードを指定して使用します。次の例を参考にしてください。

hostname(config)# crypto isakmp identity hostname
 

crypto isakmp identity コマンドに auto キーワードを指定して使用し、接続タイプから ID が自動的に判定されるように設定します。次の例を参考にしてください。

hostname(config)# crypto isakmp identity auto

crypto isakmp identity auto コマンドを使用する場合は、クライアント証明書に含まれる DN 属性が CN、OU、O、C、St、L の順になっていることを確認します。


Nokia クライアントで CRACK プロトコルをサポートするために必要な Nokia サービスの詳細、およびこれらのサービスのインストールと設定については、Nokia の代理店にお問い合せください。