FTDでのAnyConnect VPNクライアントの設定：アドレス割り当てのためのDHCPサーバ

概要

このドキュメントでは、リモートアクセスVPNセッションでサードパーティのDynamic Host Configuration Protocol(DHCP)サーバによって割り当てられたIPアドレスを取得できるようにする、バージョン6.4上のFirepower Threat Defense(FTD)の設定例について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

• FTD
• Firepower Management Center(FMC)。
• DHCP

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアのバージョンに基づいています。

• FMC 6.5
• FTD 6.5
• Windows Server 2016

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

背景説明

このドキュメントでは、リモートアクセスの設定全体については説明しません。ローカルアドレスプールからDHCPアドレス割り当てに変更するために必要なFTDの設定についてのみ説明します。

Anyconnectの設定例のドキュメントが必要な場合は、『FTDでのAnyConnect VPNクライアントの設定：ヘアピニングとNAT免除』のドキュメントを参照してください。

設定

ステップ 1：DHCPサーバでのDHCPスコープの設定

このシナリオでは、DHCPサーバはFTDの内部インターフェイスの背後にあります。

1. Windowsサーバでサーバマネージャを開き、図に示すようにツールを選択します。

2. DHCPを選択します。

3. IPv4を選択して右クリックし、図に示すようにNew Scopeを選択します。

4. 図に示すように、ウィザードに従います。

5. 図に示すように、スコープに名前を割り当てます。

6. 図に示すように、アドレスの範囲を設定します。

7. （オプション）図に示すように、除外を設定します。

8. 図に示すように、リース期間を設定します。

9. （オプション）DHCPスコープオプションを構成します。

10：図に示すように、Finishを選択します。

11：図に示すように、作成したばかりのスコープを右クリックして、Activateを選択します。

ステップ 2：Anyconnectの設定

DHCPスコープが設定され、アクティブになると、FMCで次の手順が実行されます。

ステップ 2.1：接続プロファイルの設定

1. [DHCPサーバー]セクションで、  DHCPサーバのIPアドレスを使用してオブジェクトを作成します。

2. 図に示すように、IPアドレスを要求するDHCPサーバとしてオブジェクトを選択します。 

ステップ 2.2：グループ ポリシーの設定

1. Group Policyメニュー内で、General > DNS/WINSに移動し、図に示すようにDHCP Network Scopeセクションがあります。

2. 新しいオブジェクトを作成します。このオブジェクトは、DHCPサーバーが持っているのと同じネットワークスコープを持っている必要があります。

注:これはサブネットではなく、ホストオブジェクトである必要があります。

3. DHCPスコープオブジェクトを選択し、図に示すようにSaveを選択します。

ステップ 2.3：アドレス割り当てポリシーの設定

1. Advanced > Address Assignment Policyの順に移動し、図に示すようにUse DHCPオプションが切り替えられていることを確認します。

2. 変更を保存し、構成を展開します。

IPヘルパーシナリオ

DHCPサーバがローカルエリアネットワーク(LAN)内の別のルータの背後にある場合、DHCPサーバに要求を転送するために「IPヘルパー」が必要です。

図に示すように、トポロジはシナリオとネットワークで必要な変更を示します。

確認

ここでは、設定が正常に機能しているかどうかを確認します。

このセクションでは、FTDとDHCPサーバの間で交換されるDHCPパケットについて説明します。

• ディスカバリ：これはFTDの内部インターフェイスからDHCPサーバに送信されるユニキャストパケットです。
  • ペイロードでは、図に示すように、リレーエージェントのIPアドレスによってDHCPサーバの範囲が指定されます。

• オファー：このパケットはDHCPサーバからの応答であり、DHCPサーバの送信元とFTDのDHCPスコープの宛先が含まれています。
• 要求：これはFTDの内部インターフェイスからDHCPサーバに送信されるユニキャストパケットです。
• ACK：このパケットはDHCPサーバからの応答です。DHCPサーバの送信元と、FTDのDHCPスコープの宛先が含まれています。

トラブルシューティング

ここでは、設定のトラブルシューティングに使用できる情報を示します。

ステップ 1：DHCPサーバでWiresharkをダウンロードして有効にします。

ステップ 2：次の図に示すように、DHCPをキャプチャフィルタとして適用します。

ステップ 3：Anyconnectにログインすると、図に示すようにDHCPネゴシエーションが表示されます。

関連情報

• このビデオでは、リモートアクセスVPNセッションがサードパーティのDHCPサーバによって割り当てられたIPアドレスを取得できるようにするFTDの設定例を示します。

• テクニカル サポートとドキュメント – Cisco Systems