FMC管理対象FTDでのルートベースのサイト間VPNの設定

はじめに

このドキュメントでは、FMCによって管理されるCisco Secure FTDでスタティックルートベースのサイト間VPNトンネルを設定する方法について説明します。

---

前提条件

要件

次の項目に関する知識があることが推奨されます。

• FMC Web UIのナビゲーション（デバイス、ポリシー、導入）
• 基本的なIPsecサイト間VPN操作（IKEフェーズ1/2、トンネル確立）
• FTDのスタティックルーティング（ダイナミックルートベースの設計ではオプションでBGP/OSPF/EIGRP）

---

使用するコンポーネント

ルートベースのVPNでは、暗号化されたトラフィックを判別するために、暗号ACLの代わりに仮想トンネルインターフェイス(VTI)とルーティング（スタティックまたはダイナミック）が使用されます。このドキュメントでは、スタティックVTI(SVTI)ポイントツーポイントまたはエクストラネットピアリングを中心に説明します。スケーラブルなハブアンドスポーク設計については、この記事の最後に掲載されている関連資料の「Dynamic VTI(DVTI)」を参照してください。

---

例で使用されているラボのバージョン： 

コンポーネント	バージョン
Cisco Secureファイアウォール管理センター	7.4以降（7.6互換の例）
Cisco Secure Firewall脅威対策	7.4以降（7.6互換の例）

---

スタティックVTIルートベースVPNは、FTD 6.7で導入されました。DVTI、拡張ルーティングプロトコルのサポートIPv6 VTI以上、およびVTIの拡張には、FTD 7.3+/FMC 7.3+が必要です。バージョン固有の違いについては、「制限事項」セクションで説明します。

---

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

---

バックグラウンド情報

ルートベースのVPN（VTIベース）は、トンネルインターフェイスにルーティングされるトラフィックを暗号化します。ポリシーベース（クリプトマップ）のVPNとは異なり、一意のトラフィックはヘッドエンドのACLによって選択されません。代わりに、ルーティングテーブルはトラフィックをVTIに転送します。スタティックVTIでは、IPsecトラフィックセレクタは実質的にはAny-to-Anyです（IPv4では0.0.0.0/0.0.0.0）。 トンネルインターフェイスにルーティングされるパケットは、送信元/宛先サブネットに関係なく暗号化され、ピアでのアクセス制御とルーティングの対象となります。

---

ポリシーベースのVPNでは、明示的なプロキシIDまたはクリプトACLが引き続き使用されます。ルートベースのVPNは次の環境に適しています。

• トンネルを介したダイナミックルーティング(BGP、OSPF、EIGRP)
• クラウド接続(AWS、Azure、GCP)
• 暗号化ドメイン管理の簡素化
• 従来の暗号マップ設計からの移行

---

スタティックVTIとダイナミックVTI

タイプ	使用例	FTD最小
スタティックVTI(SVTI)	ポイントツーポイント、エクストラネットピア、ハブアンドスポークのスポーク	6.7
ダイナミックVTI(DVTI)	多数のスポークがあるハブ（ハブ上の単一の仮想テンプレート）	7.3

このドキュメントでは、SVTIについて段階的に説明します。マルチSAを使用するDVTIハブアンドスポークについては、『セキュアファイアウォールでのマルチSAを使用したDVTIの設定』（ドキュメントID 220322）を参照してください。

---

制限と制限

『FMC Device Configuration Guide — Site-to-Site VPN / VTI guidelines』で、FMCリリースの現在のプラットフォーム制限を確認します。特に断りのない限り、次のセクションの要約はFMC/FTD 7.4-7.6を反映しています。

---

一般的なVTIの制限(FTD)

制限	詳細（Outcall Billing Detail）
トンネルモード	IPsecのみ。GRE over VTIはFTDではサポートされません。
Firewall Mode	VTIは、ルーテッドモードでのみサポートされます。
クラスタリング	FTDクラスタ展開では、VTIはサポートされません。
HA（アクティブ/スタンバイ）	スタティックVTIは、FTD HA（ハイアベイラビリティ）ペアでサポートされます。HA内のVTI経由のダイナミックルーティング：アクティブユニットIPで作成されたVTIトンネル経由でスタンバイがサブネットに到達しない可能性があります（それに応じてルーティングを計画します）。 HAで400を超えるVTIの場合は、unit hold-timeを45秒に設定します。
スケール	デバイスあたり最大1024のスタティックおよびダイナミックVTI(7.x)。 オリジナルの6.7ドキュメントでは、インターフェイスあたり100のVTIが引用されています。現在のガイダンスでは、デバイスあたり1024です。ご使用のプラットフォームとリリースに対して確認してください。
IPsecプロファイル	一意のIPsecプロファイルの最大数は20（スタティックVTI）。
sysopt connection permit-vpnコマンド	ルートベースのVPNには適用されません。復号化されたトラフィックのアクセスコントロールポリシー(ACP)ルールを両方向で設定する必要があります。
プラットフォーム設定	VTIトンネルインターフェイスは、プラットフォーム設定でのSNMPまたはSyslogの選択ではサポートされていません。
リモート アクセス VPN	VTIインターフェイスは、リモートアクセスVPNポリシーのネットワークインターフェイスとしては使用できません。

---

ルーティングプロトコルのサポート（7.x — 6.7から更新）

元のFTD 6.7文書にはBGPのみと記載されていました。現在のFTDでは、VTI上で次のルーティング方式がサポートされています。

---

プロトコル	サポート
スタティック ルート	Yes
BGP	IPv4およびIPv6
OSPF	OSPFv2およびOSPFv3
EIGRP	IPv4

---

BGPガイドライン:BGP over VTIを使用する場合は、ルーティング設定でTTL hop count > 1を設定します。

ECMP：スポークスタティックVTIをECMPゾーンに配置して、ロードバランシングとフェールオーバーを行うことができます。ダイナミックVTIはECMPをサポートしていません。

---

IPv6（7.x — 6.7から更新）

FTD 6.7の元のドキュメントには、IPv4のみと現在のリリースのサポートが記載されています。

• トンネル送信元とVTIエンドポイントのIPv6アドレス
• 組み合わせ：IPv4 over IPv4、IPv6 over IPv6、IPv4 over IPv6、IPv6 over IPv4
• トンネル送信元のスタティックおよびダイナミックIPv6アドレス

IPv6 VTIを導入する前に、ピアの機能とFMCのリリースノートを確認します。

---

ダイナミックVTIの追加制限（7.3以上）

• IKEv2のみ（IKEv1なし）
• FMCのハブアンドスポークトポロジ（トポロジごとに1つのハブを推奨）
• DVTIでは、ECMPなし、QoSなし、クラスタリングなし、VRF-in-multi-instanceなし
• デバイスあたり最大1,000のDVTIセッション（プラットフォームによって異なる）
• DVTIハブでは、ほとんどの設計でループバック（またはIP借用）アドレスが必要です

---

NAT、QoS、およびポリシー

ポリシー/機能	スタティックVTI	ダイナミックVTI
アクセス制御ポリシー	必須（両方向）	Required
NAT	VPNトラフィックはトポロジウィザードで除外できます。NATルールは非VPNトラフィックに適用できます。NATでIKE/ESPを誤って暗号化しないでください。	同様。「FMC NAT除外オプション」を参照
QoS	プラットフォームのサポートに制限あり。DVTIはQoSをサポートしない	非サポート
プラットフォームの設定（VTI上のSNMP/Syslog）	非サポート	非サポート

---

オリジナルの6.7テキストによると、VTIはNAT/QoS/プラットフォーム設定ポリシーでは「サポートされていない」とされています。現在のガイダンス：ACPは必須です。VTI上のSNMP/Syslogはサポートされていません。DVTI上のQoSはサポートされていません。ご使用のリリースでのNATインタラクションについては、FMCに問い合わせてください。

---

脆弱な暗号化アルゴリズム

FMC/FTD 6.7以降では、新しいVPNトンネルの脆弱なアルゴリズムが削除されています。それ以降のリリースでは強力な暗号化のデフォルトが維持され、これらはFTD 6.7+での新しいトンネル設定ではサポートされていません。

---

IKEポリシー：新しいトンネルではサポートされません。

• 暗号化：3DES、DES、ヌル
• 整合性：MD5
• PRF: MD5
• DHグループ：1、2、24

---

IPSecプロポーザル：新しいトンネルではサポートされません。

ESP暗号化：DES、3DES、AES-GMAC、AES-GMAC-192、AES-GMAC-256

---

アップグレードの影響(6.7+)：既存のVPNポリシーで削除された暗号が使用されている場合、FMCによって管理されているFTDを6.7より前のリリースからアップグレードすると、事前検証チェックがトリガーされる可能性があります。アップグレードの前に、強力なアルゴリズムを使用してIKE/IPsecポリシーを再設定します。

---

シナリオ	構成UI	アップグレード後のトンネル
新規インストール（6.7以降）	脆弱な暗号は表示されるが、FTD 6.7+には適用できない	N/A
アップグレード：FTDは弱い暗号のみを使用	再構成までアップグレードがブロックされる	強制された場合はトンネルダウン
アップグレード：弱暗号と強暗号の混在	再構成までアップグレードがブロックされる	ピアが強力な暗号を使用している場合、トンネルは再確立できます。
輸出規制（クラスC）ライセンス	強力な暗号化ライセンスがない場合、DESが唯一のオプションになる可能性があります	DESのみのトンネル

---

推奨事項：新規導入には、IKEv2、AES-256、SHA-256またはSHA-512、およびDHグループ19/20/21（またはそれ以上のサポートされるグループ）を使用してください。

---

ライセンス

ライセンスモードまたは評価モードのルートベースVPNでは、基本FTD機能以外の追加ライセンスは必要ありません。エクスポート制御機能（強力な暗号化）が有効になっていない場合、制限付き導入では暗号化アルゴリズムとして使用できるのはDESだけです。

---

FMCでの設定手順

FTD（ノードA）とASA（ノードB）などのエクストラネットピア間のスタティックルートベース(VTI)サイト間VPNでは、次の手順を設定します。

---

ラボのデモの値

項目	値
トポロジ名	VTI-ASA
IKEバージョン	IKEv2
VTI名	VTI-ASA
VTIゾーン	VTIゾーン
トンネルID	1
VTI IP(FTD)	192.168.100.1/30
トンネルの発信元	GigabitEthernet0/0（外部）
ピアデバイス	エクストラネットASA
ピア名	ASAピア
ピアエンドポイントIP	10.106.67.252
IKEポリシー名	ASA-IKEv2 – ポリシー
IPsecプロポーザル名	ASA-IPSec – ポリシー
PSK（ラボのみ）	（実稼働環境では強力なキーを使用）

---

ステップ 1：サイト間VPNを開く

1. Devices > VPN > Site To Siteの順に移動します。

---

ステップ 2VPNトポロジの追加

1. Add VPNをクリックし、Firewall Threat Defense Device（FMC UIバージョンによってはSecure Firewall Threat Defense Device）を選択します。

---

---

ステップ 3トポロジ名、タイプ、およびIKEバージョン

1. トポロジ名を入力し、VPNタイプとしてルートベース(VTI)を選択します。 IKE Versionを選択します（推奨：IKEv2）。

• トポロジ名：VTI-ASA
• タイプ：ルートベース(VTI)
• IKEバージョン：IKEv2

---

---

---

ステップ 4FTDデバイスとVTIの選択

1. ノードAのFTDデバイスを選択します。
2. 新しい仮想トンネルインターフェイスを追加するか（+をクリック）、既存のVTIを選択します。ハブ上でDVTIを使用するハブアンドスポークの場合、ハブはダイナミックVTIを使用します。

---

---

ステップ 5スタティック仮想トンネルインターフェイスの作成

1. 新しいVTIパラメータを定義して、OKをクリックします。

---

フィールド	例
[名前(Name)]	VTI-ASA
説明	エクストラネットASAを使用したVTIトンネル
セキュリティ ゾーン	VTIゾーン
トンネルID	1
IP アドレス	192.168.100.1/30
トンネルの発信元	GigabitEthernet0/0（外部）
トンネルモード	ipsec ipv4

---

2. 

• ACPルールで使用される専用のセキュリティゾーンにVTIを割り当てます。
• IPv6の場合は、適切なトンネルモードとアドレス(7.x)を選択します。
• トンネル送信元アドレスとしてborrow-IPインターフェイスを使用しないでください。

---

---

ステップ 6VTI作成の確認

1. VTIが作成されたことを確認したら、OKをクリックします。

---

ステップ 7ピアの設定（ノードB – エクストラネット）

1. 手順5で作成したVTIを選択します。ノードB（ピア）を設定します。

---

フィールド	例
デバイスタイプ	エクストラネット
Device Name	ASAピア
エンドポイントIPアドレス	10.106.67.252

---

2. 各ピアの背後にあるサブネットに対して、保護されたネットワークを設定します。保護されたネットワークでは、VPNを使用できるトラフィックが定義されます。ルートベースのVPNでは、引き続きVTIを指すルートが必要です。

オプション(7.x):

• ピア間にNATデバイスが存在する場合は、NATトラバーサルを有効にします。
• 必要に応じて、トポロジウィザードでVPNトラフィックをNATから除外します。
• ピアがルーティング用のVTI IPを必要とする場合に、仮想トンネルインターフェイスIP(VTI)をピアに送信します（BGP/OSPFと共通）。

---

ステップ 8IKEタブ – IKEポリシーの選択または作成

1. IKEタブを開き、既存のIKEv2ポリシーを選択するか、+をクリックして新しいポリシーを作成します。

---

手順9:（オプション）IKEv2ポリシーの作成

フィールド	推奨される例
[名前(Name)]	ASA-IKEv2 – ポリシー
整合性	SHA-512（またはSHA-256）
暗号化	AES-256
PRF	SHA-512（またはSHA-256）
DH group	21（またはポリシーごとに19/20）

---

1. [Save] をクリックします。

---

---

ステップ 10IKE認証

1. IKEポリシーを選択します。Authentication Typeを選択します。

• 事前共有手動キー：キーを入力して確認します（ラボ/デモのみ。実稼働環境では強力なPSKを使用します）。
• 事前共有自動キー：両方のエンドポイントが同じFMCによって管理されている場合に使用できます。
• 証明書:PKIベースの認証用。

---

例（ラボ）:

• ポリシー：ASA-IKEv2-Policy
• 認証：事前共有手動キー

---

---

ステップ 11[IPsec]タブ – [IPsecプロポーザル]

1. IPsecタブを開きます。IKEv2 IPsecプロポーザルを選択または作成します（Editまたは+をクリックします）。

---

手順12.（オプション）IKEv2 IPsecプロポーザルを作成します

フィールド	推奨される例
[名前(Name)]	ASA-IPSec – ポリシー
ESPハッシュ	SHA-512（またはSHA-256）
ESP暗号化	AES-256

---

1. [Save] をクリックします。

---

---

ステップ 13IPSecプロポーザルの選択

1. 提案を選択し、OKをクリックします。

---

手順 14：Perfect Forward Secrecyとライフタイム

1. オプションのPFSとライフタイムを設定します。

---

フィールド	例
完全転送秘密	group 21
ライフタイム期間	28800秒（デフォルト）
ライフタイムサイズ	4608000 KB（デフォルト）

---

2. ピアの要件と組織の暗号化標準に適合するように調整します。

---

---

手順 15：VPNトポロジの保存

サマリを確認して、Saveをクリックします。

---

ステップ 16：アクセスコントロールポリシーの設定（必須）

1. [Policies] > [Access Control] > [Access Control] の順に移動します。FTDに適用されているポリシーを編集します。

方向	ソースゾーン	宛先ゾーン	送信元ネットワーク	宛先ネットワーク
内部→リモート	ゾーン内	VTI-Zone（またはOut-Zone）	ネットワーク内	リモートネットワーク
リモート→内部	VTIゾーン	ゾーン内	リモートネットワーク	ネットワーク内

---

2. 設計に合わせてゾーン名を調整します。完全な接続には双方向ルールが必要です。

---

ステップ 17：VTIによるスタティックルートの追加

1. [Device] > [Device Management] に移動します。FTDデバイスを編集します。
2. Routing > Static Routeを開きます。[Add Route] をクリックします。

---

フィールド	例
Interface	VTI-ASA
ネットワーク	リモートネットワーク
ゲートウェイ	192.168.100.2（ピアVTI IP）

---

3. 設計でVTIを介して到達可能な別のネクストホップを使用していない限り、ピアトンネルIPをゲートウェイとして使用します。

4. ダイナミックルーティングの場合、スタティックルートの代わりに（または追加で）、VTIでBGP、OSPF、またはEIGRPを設定します。 

5. ECMP（オプション、7.x）：複数のスタティックVTIをECMPゾーンに配置し、ロードシェアリング用にECMPスタティックルートを設定します。

---

ステップ 18：構成の展開

1. Deploy > Deployment（FMCのバージョンによってはDeploy > Deployment Manager）に移動します。 FTDを選択し、Deployをクリックします。検証する前に、展開が正常に完了するまで待ちます。

---

導入後のCLIの例

導入が成功すると、FTD CLIの設定は次のようになります。

crypto ikev2 policy 1
 encryption aes-256
 integrity sha512
 group 21
 prf sha512
 lifetime seconds 86400
crypto ikev2 enable Outside

crypto ipsec ikev2 ipsec-proposal CSM_IP_1
 protocol esp encryption aes-256
 protocol esp integrity sha-512

crypto ipsec profile FMC_IPSEC_PROFILE_1
 set ikev2 ipsec-proposal CSM_IP_1
 set pfs group21

group-policy .DefaultS2SGroupPolicy internal
group-policy .DefaultS2SGroupPolicy attributes
 vpn-idle-timeout 30
 vpn-idle-timeout alert-interval 1
 vpn-session-timeout none
 vpn-session-timeout alert-interval 1
 vpn-filter none
 vpn-tunnel-protocol ikev1 ikev2

tunnel-group 10.106.67.252 type ipsec-l2l
tunnel-group 10.106.67.252 general-attributes
 default-group-policy .DefaultS2SGroupPolicy
tunnel-group 10.106.67.252 ipsec-attributes
 ikev2 remote-authentication pre-shared-key *****
 ikev2 local-authentication pre-shared-key *****

interface Tunnel1
 description VTI Tunnel with Extranet ASA
 nameif VTI-ASA
 ip address 192.168.100.1 255.255.255.252
 tunnel source interface Outside
 tunnel destination 10.106.67.252
 tunnel mode ipsec ipv4
 tunnel protection ipsec profile FMC_IPSEC_PROFILE_1

---

実際のオブジェクト名とポリシー番号は、FMCの展開によって異なります。

---

確認

FMCのGUIから

1. Devices > VPN > Site To Siteの順に開き、トポロジを選択します。
2. Check Statusまたはサイト間モニタリングダッシュボードを使用して、トンネルの状態を表示します。

---

---

show crypto ipsec sa peer 
show vpn-sessiondb detail l2l filter ipaddress 

---

FTD CLIから

show running-config crypto
show running-config interface Tunnel
show running-config route
show crypto ikev2 sa detailed
show crypto ipsec sa detailed
show crypto ipsec sa peer 
show vpn-sessiondb detail l2l
show vpn-sessiondb detail l2l filter ipaddress 

---

IKEv1を使用しているレガシーピアの場合：

show crypto ikev1 sa detailed

---

ルーティングの検証：

show route
show bgp summary
show ospfv3 neighbor

---

コマンドを、設定したルーティングプロトコルに適したコマンドに置き換えます。

トラブルシューティングのクイックリファレンス

---

症状	一般的な原因	アクション
IKEが失敗する	PSK不一致、UDP 500/4500ブロック、暗号の不一致	IKEポリシー/プロポーザルをピアと比較し、NAT-Tを確認します。
IPsecがアップ状態でトラフィックがない	ACPルールがありません	両方向のVTIゾーンの許可ルールの追加
IPsecがアップ状態でトラフィックがない	スタティックルートの欠落または誤り	VTIを介したリモート保護ネットワークへのルートの確認
FMCのアップグレード後のトンネルダウン	弱い暗号を削除	AES-256/SHA-256+によるIKE/IPsecの再設定
BGPがVTI経由でピアリングしない	TTL/セキュリティゾーン	TTLホップを1に設定し、VTI IP到達可能性を確認します。
GUIはdown、CLIはupと表示される	FMCステータスリフレッシュ遅延	CLIを使用し、古い場合は再配置する

---

関連資料

• FMCによって管理されるFTDでルートベースのサイト間VPNトンネルを設定する(Cisco.com)：ドキュメントID 216276
• セキュアファイアウォールでマルチSAを使用したDVTIの設定：ドキュメントID 220322
• FMC 7.6デバイス設定ガイド – サイト間VPN
• DVTIの使用例：OSPF/BGPを使用するハブアンドスポーク
• 仮想トンネルインターフェイスのガイドライン(Defense Orchestrator/FMC)
• ASA/AnyConnectダイナミックスプリットトンネリングの設定（FQDNルーティングの概念に関するリファレンス）

---

改訂履歴

改訂	日付	注釈
7.0	2026年7月28日	完全な実証的更新：セキュアファイアウォールブランディング、7.xの制限（OSPF/EIGRP/IPv6/1024 VTIスケール）、DVTIクロスリンク、ACPの強調、修正されたタイプミス、拡張された検証/トラブルシューティング
6.0	2024年9月24日	概要とフォーマットを更新(Cisco.com)
5.0	2024年6月27日	制限事項およびDVTIリファレンスの更新(Cisco.com)
1.0	2020年11月23日	初版リリース

---

ドキュメントの適用先

• Cisco Secure Firewall Threat Defense(FTD)
• Cisco Secure Firewall Management Center(FMC)
• スタティックルートベースのサイト間VPN(SVTI)
• エクストラネットピア（ASA、サードパーティ製IPsecデバイス）

---

対象外:FTDクラスタVTI、GREトンネル、または完全なDVTIハブアンドスポーク手順（ドキュメントID 220322を参照）

更新履歴

改定	発行日	コメント
7.0	11-Aug-2026	タイトル、概要、スペル、文法、読みやすさを考慮したセクションへの水平線の挿入、CCWアラートの修正、代替テキストの更新。
6.0	24-Sep-2024	概要とフォーマットを更新。
5.0	27-Jun-2024	コンテンツが正しいように更新されました。 DVTIの設定に関して、「制限事項」セクションおよび関連資料を更新。
3.0	08-Aug-2023	代替テキストが追加されました。 概要とフォーマットを更新。
2.0	19-Jul-2022	コンテンツが正しいように更新されました。 シスコのガイドラインに準拠するように、フォーマット、胚、法的免責事項、機械翻訳などを更新。
1.0	23-Nov-2020	初版