セキュアファイアウォールでのセキュアクライアントVPN管理トンネルの設定
はじめに
このドキュメントでは、Cisco FMCによって管理されるセキュアファイアウォールの脅威対策にセキュアクライアントVPN管理トンネルを設定する方法について説明します。
前提条件
要件
次の項目に関する知識があることが推奨されます。
- クライアント証明書認証
- Cisco AnyConnect Profile Editor
- ファイアウォール管理センター(FMC)を介したSSL AnyConnectの設定
使用するコンポーネント
このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。
- Cisco FMCバージョン6.7.0（ビルド65）
- Cisco Firewall Threat Defense(FTD)バージョン6.7.0（ビルド65）
- Windows 10マシンにインストールされたCisco AnyConnect 4.9.01095
このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。
バックグラウンド情報
この例では、Secure Sockets Layer(SSL)を使用して、FTDとWindows 10クライアントの間にバーチャルプライベートネットワーク(VPN)を作成します。
リリース6.7以降、Cisco FTDはAnyConnect管理トンネルの設定をサポートします。この修正は、以前にオープンされた拡張要求Cisco Bug ID CSCvs78215を修正します。
AnyConnect Management機能を使用すると、エンドポイントの起動が完了した直後にVPNトンネルを作成できます。ユーザがAnyConnectアプリを手動で起動する必要はありません。システムの電源が入ると、AnyConnect VPNエージェントサービスが管理VPN機能を検出し、ホストエントリ（AnyConnect管理VPNプロファイルのサーバリストで定義）を使用してAnyConnectセッションを開始します。
制限事項
- クライアント証明書認証だけがサポートされています。
- Windowsクライアントでは、マシン証明書ストアのみがサポートされます。
- Cisco Firepower Device Manager(FDM)ではサポートされていません。Cisco Bug ID CSCvx90058。
- Linuxクライアントではサポートされていません。
完全な制限事項については、『Cisco Secure Client管理者ガイドリリース5』を参照してください。
設定
コンフィギュレーション
ステップ 1：AnyConnect管理VPNプロファイルの作成
AnyConnect管理VPNプロファイルを作成するには、AnyConnectプロファイルエディタを開きます。管理プロファイルには、エンドポイントのブートアップ後にVPNトンネルを確立するために使用されるすべての設定が含まれています。
1. この例では、サーバーリストのエントリが完全修飾ドメイン名(FQDN) dperezve.jyoungta-labdomain.cisco.comを指すように定義されており、プライマリプロトコルとしてSSLが選択されています。サーバリストを追加するには、サーバリストに移動し、追加ボタンを選択します。必須フィールドに入力し、変更を保存します。
2. 管理VPNプロファイルには、サーバリストの他に、次の必須の設定が含まれている必要があります。
- AutomaticCertSelectionをtrueに設定する必要があります。
- AutoReconnectをtrueに設定する必要があります。
- AutoReconnectBehaviorをReconnectAfterResume用に構成する必要があります。
- AutoUpdateをfalseに設定する必要があります。
- BlockUntrustedServersをtrueに設定する必要があります。
- CertificateStoreをMachineStore用に構成する必要があります。
- CertificateStoreOverrideをtrueに設定する必要があります。
- EnableAutomaticServerSelectionをfalseに設定する必要があります。
- EnableScriptingをfalseに設定する必要があります。
- RetainVPNOnLogoffをtrueに設定する必要があります。
3. AnyConnect Profile Editorで、Preferences(Part 1)に移動し、図に示すように設定を調整します。
4. Preferences(Part 2)に移動し、Disable Automatic Certificate Selectionオプションのチェックマークを外します。
ステップ 2AnyConnect VPNプロファイルの作成
管理VPNプロファイルに加えて、通常のAnyConnect VPNプロファイルを設定する必要があります。AnyConnect VPNプロファイルは、最初の接続の試行で使用されます。このセッション中に、管理VPNプロファイルがFTDからダウンロードされます。
AnyConnect VPNプロファイルを作成するには、AnyConnect Profile Editorを使用します。この場合、両方のファイルに同じ設定が含まれるため、同じ手順を使用できます。
ステップ 3AnyConnect管理VPNプロファイルおよびAnyConnect VPNプロファイルのFMCへのアップロード
1. プロファイルを作成したら、AnyConnect FileオブジェクトとしてFMCにアップロードします。
2. 新しいAnyConnect管理VPNプロファイルをFMCにアップロードするには、Objects > Object Managementの順に選択し、目次からVPNオプションを選択します。Add AnyConnect Fileボタンを選択します。
3. ファイルの名前を指定します。ファイルタイプとしてAnyConnect Management VPN Profileを選択し、オブジェクトを保存します。
4. AnyConnect VPNプロファイルをアップロードするには、Objects > Object Managementの順に選択し、目次からVPNオプションを選択します。Add AnyConnect Fileボタンを選択します。
5. ファイルの名前を入力します。ここでは、ファイルタイプとしてAnyConnect VPN Profileを選択し、新しいオブジェクトを保存します。
6. プロファイルをオブジェクトリストに追加し、AnyConnect管理VPNプロファイルおよびAnyConnect VPNプロファイルとしてそれぞれマークする必要があります。
ステップ 4グループポリシーの作成
1. 新しいグループポリシーを作成するには、Objects > Object Managementに移動し、目次からVPNオプションを選択します。Group Policyを選択し、Add Group Policyボタンをクリックします。
2. Add Group Policyウィンドウが開いたら、名前を割り当ててAnyConnectプールを定義し、AnyConnectタブを開きます。
3. Profileに移動し、Client Profileドロップダウンメニューで通常のAnyConnect VPNプロファイルを表すオブジェクトを選択します。
4. Management Profileタブに移動し、Management ProfileドロップダウンメニューでManagement VPN Profileが含まれるオブジェクトを選択します。
5. 変更を保存して、新しいオブジェクトを既存のグループポリシーに追加します。
ステップ 5新しいAnyConnect設定の作成
1. FMCでのSSL AnyConnectの設定は、4つの異なる手順で構成されます。AnyConnectを設定するには、Devices > VPN > Remote Accessの順に移動し、Addボタンを選択します。これにより、リモートアクセスVPNポリシーウィザードが開きます。
2. Policy Assignmentタブで、手元にあるFTDデバイスを選択し、接続プロファイルの名前を定義して、SSLチェックボックスにチェックマークを入れます。
2. 接続プロファイルで、認証方式としてクライアント証明書のみを選択します。これは、この機能でサポートされる唯一の認証です。
3. 次に、ステップ3で作成したグループポリシーオブジェクトを[グループポリシー]ドロップダウンメニューから選択します。
4. [AnyConnect]タブで、エンドポイントのオペレーティングシステム(OS)に応じて[AnyConnect File Object]を選択します。
5. Access & Certificateで、FTDがWindowsクライアントに対してそのIDをプローブするために使用する必要のある証明書を指定します。
6. 最後に、SummaryタブでFinishボタンを選択して、新しいAnyConnect設定を追加します。
ステップ 6URLオブジェクトの作成
1. 「オブジェクト」>「オブジェクト管理」に移動し、目次から「URL」を選択します。次に、Add URLドロップダウンメニューでAdd Objectを選択します。
2. オブジェクトの名前を入力し、管理VPNプロファイルサーバリスト（ステップ2）で指定されたものと同じFQDN/ユーザグループを使用してURLを定義します。 この例では、URLはdperezve.jyoungta-labdomain.cisco.com/AnyConnect_Management_Tunnelである必要があります。
3. 変更を保存して、オブジェクトをオブジェクト・リストに追加します。
ステップ 7URLエイリアスの定義
1. AnyConnect設定でURLエイリアスを有効にするには、Devices > VPN > Remote Accessの順に移動し、鉛筆アイコンをクリックして編集します。
2. Connection Profileタブで、手元の設定を選択し、Aliasesに移動して、Addボタンをクリックします。次に、URL AliasドロップダウンメニューでURL Objectを選択します。Enabledチェックボックスが選択されていることを確認します。
3. 変更を保存し、FTDに設定を展開します。
確認
導入が完了したら、まずAnyConnect VPNプロファイルを使用したAnyConnectの手動接続が必要です。この接続中に、管理VPNプロファイルがFTDからダウンロードされ、C:\ProgramData\Cisco\Cisco AnyConnect Secure Mobility Client\Profile\MgmtTunに保存されます。この時点から、後続の接続はユーザの操作なしで管理VPNプロファイルを介して開始される必要があります。
トラブルシュート
証明書検証エラーの場合：
- 認証局(CA)のルート証明書がFTDにインストールされていることを確認します。
- 同じCAによって署名されたID証明書がWindowsマシンストアにインストールされていることを確認します。
- CNフィールドが証明書に含まれており、管理VPNプロファイルのサーバリストで定義されているFQDNおよびURLエイリアスで定義されているFQDNと同じであることを確認します。
管理トンネルが開始されていない場合：
- 管理VPNプロファイルがダウンロードされ、C:\ProgramData\Cisco\Cisco AnyConnect Secure Mobility Client\Profile\MgmtTunに保存されていることを確認します。
- 管理VPNプロファイルの名前がVpnMgmtTunProfile.xmlであることを確認します。
接続の問題については、DARTバンドルを収集し、詳細な調査をCisco TACに依頼してください。
更新履歴
| 改定 | 発行日 | コメント |
|---|---|---|
3.0 |
14-Jul-2026
|
概要、スペル、間隔、読みやすくするためにセクションごとに挿入された行、および代替テキストが更新されました。 |
2.0 |
17-Jan-2024
|
機械翻訳とフォーマットを更新。 |
1.0 |
14-Apr-2021
|
初版 |
フィードバック