FMCによって管理されるFTDでのAnyConnectダイナミックスプリットトンネルの設定

ダウンロード オプション

  • PDF     (1.0 MB)
    Adobe Reader を使ってさまざまなデバイスで表示
  • ePub     (745.1 KB)
    iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
  • Mobi (Kindle)     (556.8 KB)
    Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示
Updated: 2026 年 8 月 21 日
Document ID:220247

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブ ランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポート コンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

はじめに

このドキュメントでは、Firepower Management Center(FMC)で管理されるFirepower Threat Defense(FTD)でAnyConnectダイナミックスプリットトンネルを設定する方法について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

  • Cisco AnyConnect
  • Firepower Management Center(FMC)に関する基礎知識

使用するコンポーネント

本書の情報は、次のソフトウェアのバージョンに基づくものです。

  • FMCバージョン7.0
  • FTDバージョン7.0

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

バックグラウンド情報

FMCによって管理されるFTDのAnyConnectダイナミックスプリットトンネル設定は、FMCバージョン7.0以降で完全に使用できます。古いバージョンを実行している場合は、『FMCを使用したFirepower Threat Defenseのための高度なAnyConnect VPN導入』の説明に従ってFlexConfigを使用して設定する必要があります。

ダイナミックスプリットトンネル設定を使用すると、DNSドメイン名に基づいてスプリットトンネル設定を微調整できます。完全修飾ドメイン名(FQDN)に関連付けられているIPアドレスは変更される可能性があるため、DNS名に基づくスプリットトンネルの設定では、リモートアクセス仮想プライベートネットワーク(VPN)トンネルに含まれるトラフィックと含まれないトラフィックをより動的に定義できます。除外するドメイン名に対して返されたアドレスのいずれかがVPNに含まれるアドレスプール内にある場合、それらのアドレスは除外されます。除外ドメインはブロックされません。代わりに、これらのドメインへのトラフィックはVPNトンネルの外部に保持されます。

note-icon

注：ダイナミックスプリットトンネルを設定して、IPアドレスに基づいて除外されるドメインをトンネルに含めるように定義することもできます。

制限事項

現在のところ、次の機能はまだサポートされていません。

  • Cisco iOSデバイスでは、ダイナミックスプリットトンネルはサポートされていません。 Cisco Bug ID CSCvr54798を参照してください
  • ダイナミックスプリットトンネルは、AnyConnect Linuxクライアントではサポートされていません。 Cisco Bug ID CSCvt64988を参照してください

設定

このセクションでは、FMCによって管理されるFTDでAnyConnectダイナミックスプリットトンネルを設定する方法について説明します。


ステップ 1：ダイナミックスプリットトンネルを使用するためのグループポリシーの編集

1. FMCで、Devices > VPN > Remote Accessの順に移動し、設定を適用するConnection Profileを選択します。

 

Remote Access VPN Connection Profiles

2. 作成済みのグループポリシーの1つを変更するには、Edit Group Policyを選択します。 

Edit Remote Access VPN Connection Profile

ステップ 2AnyConnectカスタム属性の設定

1. グループポリシー設定で、AnyConnect > Custom Attributesの順に移動し、Add (+)ボタンをクリックします。

 

Edit Group Policy

 

2. Dynamic Split Tunneling AnyConnect属性を選択し、Add (+)ボタンをクリックして新しいカスタム属性オブジェクトを作成します。

 

Add Custom Attribute


3. AnyConnectカスタム属性の名前を入力し、ドメインを動的に含めるか除外するかを設定します。

注：設定できるのは、ドメインを含めるか、またはドメインを除外するかのみです。

 

Add Custom Attribute-2

 

この例では、次の図に示すように、除外するドメインとしてcisco.comを設定し、カスタム属性にDynamic-Split-Tunnelという名前を付けています。

 

Dynamic Split Tunnel Attributes

 

ステップ 3設定の確認、保存、および展開

設定されたカスタム属性が正しいことを確認して、設定を保存し、問題のFTDに変更を導入します。

 

Verify Dynamic Split Tunnel Configuration

 

確認

Command Line Interface（CLI；コマンドラインインターフェイス）からFTDで次のコマンドを実行すると、ダイナミックスプリットトンネルの設定を確認できます。

  • show running-config webvpn（隠しコマンド）
  • show running-config anyconnect-custom-data（クライアントサービス用）
  • show running-config group-policy <グループポリシーの名前>

 

この例では、設定は次のようになります。

ftd# show run group-policy AnyConnect_Local_Auth
group-policy AnyConnect_Local_Auth attributes
vpn-idle-timeout 30
vpn-simultaneous-logins 3
vpn-session-timeout none
vpn-filter none
vpn-tunnel-protocol ssl-client
split-tunnel-policy tunnelspecified
ipv6-split-tunnel-policy-tunnelall
split-tunnel-network-list value AC_networks
Default-domain none
split-dns none
address-pools value AC_pool
anyconnect-custom dynamic-split-exclude-domains value cisco.com
anyconnect-custom dynamic-split-include-domains none

ftd# show run webvpn
webvpn
enable outside
anyconnect-custom-attr dynamic-split-exclude-domains
anyconnect-custom-attr dynamic-split-include-domains
http-headers
hsts-server
enable
max-age 31536000
include-sub-domains
no preload
hsts-client
enable
content-security-policy
anyconnect image disk0:/csm/anyconnect-win-4.1005111-webdeploy-k9.pkg regex "Windows"
anyconnect profiles xmltest disk0:/csm/xmltest.xml
anyconnect enable
tunnel-group-list enable
cache
disable
certificate-group-map cert_map_test 10 cert_auth
error-recovery disable

クライアントで設定されているダイナミックトンネルの除外を確認するには、次の手順を実行します。

 

1. AnyConnectソフトウェアを起動し、図のように歯車のアイコンをクリックします。

 

AnyConnect Client

 

2. VPN > Statisticsの順に移動し、Dynamic Split Exclusion/Inclusionの下に表示されるドメインを確認します。

 

Verify AnyConnect Client Statistics

トラブルシュート

AnyConnect Diagnostics and Reporting Tool(DART)を使用して、AnyConnectのインストールおよび接続の問題のトラブルシューティングに役立つデータを収集できます。

DART によってログ、ステータス、および診断情報が収集され、それを Cisco Technical Assistance Center（TAC）での分析に使用できます。クライアントマシンで実行するために管理者権限は不要です。

問題

AnyConnectのカスタム属性（*.cisco.comなど）にワイルドカードが設定されている場合、AnyConnectセッションは切断されます。

ソリューション

cisco.comドメイン値を使用して、ワイルドカードの置き換えを許可できます。この変更により、www.cisco.com and tools.cisco.comなどのドメインを含めるか除外するかを選択できます。

関連情報

更新履歴

改定 発行日 コメント
4.0
21-Aug-2026
再認定
3.0
12-Aug-2025
メモコンテナが追加されました。 「概要」と「フォーマット」を更新し、ブランディングとスタイルの問題を修正。
2.0
10-Jun-2024
メモコンテナが追加されました。 概要とフォーマットを更新。
1.0
22-Feb-2023
初版
TAC Authored

シスコ エンジニア提供

  • ハビエルカレハス
    テクニカルコンサルティングエンジニア
  • フーゴオルギン
    ソフトウェアエンジニア

このドキュメントは役に立ちましたか?

Feedbackフィードバック

シスコに問い合わせ

このドキュメントは次の製品に対応しています