内容

概要

前提条件

要件

使用するコンポーネント

背景説明

設定

ステップ1:DHCPサーバでのDHCPスコープの設定

手順 2：AnyConnect の設定

ステップ2.1：接続プロファイルの設定

ステップ2.2：グループポリシーの設定

ステップ2.3：アドレス割り当てポリシーの設定

IPヘルパーシナリオ

確認

トラブルシュート

関連情報

概要

このドキュメントでは、バージョン6.4のFirepower Threat Defense(FTD)の設定例を紹介します。この設定例を使用すると、リモートアクセスVPNセッションでサードパーティのDynamic Host Configuration Protocol(DHCP)サーバによって割り当てられたIPアドレスを取得できます。

前提条件

要件

次の項目に関する知識があることが推奨されます。

- FTD

- Firepower Management Center(FMC)。

- DHCP

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアのバージョンに基づいています。

- FMC 6.5

- FTD 6.5

- Windows Server 2016

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

背景説明

このドキュメントでは、リモートアクセス設定全体については説明しません。ローカルアドレスプールからDHCPアドレス割り当てに変更するためにFTDで必要な設定だけです。

Anyconnectの設定例ドキュメントを探している場合は、「FTDでのAnyConnect VPN Clientの設定：Hairpining and NAT Exemption」を参照してください。

設定

ステップ1:DHCPサーバでのDHCPスコープの設定

このシナリオでは、DHCPサーバはFTDの内部インターフェイスの背後にあります。

1. Windows ServerでServer Managerを開き、図に示すようにToolsを選択します。

2. DHCPの選択：

3. IPv4を選択して右クリックし、図に示すようにNew Scopeを選択します。

4.図に示すようにウィザードに従ってください。

5.図に示すように、スコープに名前を割り当てます。

6.図に示すように、アドレスの範囲を設定します。

7.（オプション）図に示すように、除外を設定します。

8.図に示すようにリース期間を設定します。

9.（オプション）DHCPスコープオプションを設定します。

10:図に示すように[完了]を選択します。

11：作成したスコープ内で右クリックし、図に示すようにActivateを選択します。

手順 2：AnyConnect の設定

DHCPスコープを設定してアクティブにすると、次の手順がFMCで実行されます。

ステップ2.1：接続プロファイルの設定

1. [DHCP Servers]セクションで、  DHCPサーバのIPアドレスを使用してオブジェクトを作成します。

2.図に示すように、オブジェクトをDHCPサーバとして選択し、からIPアドレスを要求します。

ステップ2.2：グループポリシーの設定

1. [Group Policy]メニュー内で、[General] > [DNS/WINS]に移動します。図に示すように、[DHCP Network Scope]セクションがあります。

2.新しいオブジェクトを作成します。これは、DHCPサーバと同じネットワークスコープを持っている必要があります。

注：これは、サブネットではなく、ホストオブジェクトである必要があります。

3. DHCPスコープオブジェクトを選択し、図に示すように[保存]を選択します。

ステップ2.3：アドレス割り当てポリシーの設定

1. [Advanced] > [Address Assignment Policy] に移動し、[Use DHCP] オプションが図のように切り替わっていることを確認します。

2.変更を保存し、構成を展開します。

IPヘルパーシナリオ

DHCPサーバがローカルエリアネットワーク(LAN)の別のルータの背後にある場合、DHCPサーバに要求を転送するには「IPヘルパー」が必要です。

図に示すように、トポロジはシナリオとネットワークで必要な変更を示しています。

確認

ここでは、設定が正常に機能しているかどうかを確認します。

このセクションでは、FTDとDHCPサーバ間で交換されるDHCPパケットについて説明します。

- ディスカバリ:これは、FTDの内部インターフェイスからDHCPサーバに送信されるユニキャストパケットです。

- 図に示すように、ペイロードでは、リレーエージェントのIPアドレスによってDHCPサーバのスコープが指定されます。

- オファー：このパケットはDHCPサーバからの応答で、FTDのDHCPスコープの送信元と宛先に付属しています。

- 要求:：これは、FTDの内部インターフェイスからDHCPサーバに送信されるユニキャストパケットです。

- ACK:このパケットはDHCPサーバからの応答で、FTDのDHCPスコープの送信元と宛先に付属しています。

トラブルシュート

ここでは、設定のトラブルシューティングに使用できる情報を示します。

ステップ1:DHCPサーバでwiresharkをダウンロードして有効にします。

ステップ2：図に示すように、キャプチャフィルタとしてDHCPを適用します。

ステップ3:Anyconnectにログインすると、図のようにDHCPネゴシエーションが表示されます。

関連情報

- このビデオでは、リモートアクセスVPNセッションがサードパーティのDHCPサーバによって割り当てられたIPアドレスを取得できるようにするFTDの設定例を示します。

- テクニカル サポートとドキュメント – Cisco Systems