ASA:ASDMを使用したスマートトンネルの設定例

ダウンロードオプション

PDF (487.1 KB)
Adobe Reader を使ってさまざまなデバイスで表示
ePub (197.7 KB)
iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
Mobi (Kindle) (432.9 KB)
Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示

Updated: 2021 年 4 月 22 日

Document ID:111007

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポートコンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

内容

はじめに

前提条件

要件

使用するコンポーネント

表記法

背景説明

スマートトンネルアクセスの設定

スマートトンネルの要件と制限事項

一般的な要件と制限事項

Windows の要件と制限事項

Mac OS の要件と制限事項

設定

スマートトンネルリストの追加または編集

スマートトンネルエントリの追加または編集

ASDM 6.0(2) を使用した ASA スマートトンネルの設定（Lotus の例）

トラブルシュート

クライアントレスポータルでブックマークされたスマートトンネル URL を使用して接続できません。なぜこれが発生するのでしょうか。また、どうすれば解決できますか。

WebVPN で設定されているスマートトンネルリンクの URL を変換できますか。

はじめに

スマートトンネルとは、TCP ベースのアプリケーションとプライベートサイトとの間の接続のことです。経路としてセキュリティアプライアンスを使用したクライアントレス（ブラウザベース）の SSL VPN セッションを、プロキシサーバとしてセキュリティアプライアンスを使用します。スマートトンネルアクセスを付与するアプリケーションを指定し、各アプリケーションへのローカル経路を指定することができます。Microsoft Windows で実行されるアプリケーションでは、スマートトンネルアクセスを付与する条件として、チェックサムの SHA-1 ハッシュを一致させるように要求することもできます。

Lotus SameTime や Microsoft Outlook Express は、スマートトンネルアクセスを付与する可能性があるアプリケーションの例です。

アプリケーションがクライアントであるかどうか、または Web 対応アプリケーションであるかどうかによって、スマートトンネル設定では、次の手順のいずれか 1 つが必要です。

クライアントアプリケーションの場合、1 つまたは複数のスマートトンネルリストを作成し、そのリストを、スマートトンネルアクセスを提供するグループポリシーまたはローカルユーザポリシーに割り当てます。
スマートトンネルアクセスが可能な Web 対応アプリケーションの場合、その URL を指定する 1 つまたは複数のブックマークリストエントリを作成し、そのリストを、スマートトンネルアクセスを提供する DAP、グループポリシー、またはローカルユーザポリシーに割り当てます。

クライアントレス SSL VPN セッションを介して、スマートトンネル接続でログインクレデンシャルの発行が自動化される、Web 対応アプリケーションをリストに載せることもできます。

このドキュメントは、スマートトンネル機能が既存の構成で設定できるよう、Cisco AnyConnect SSL VPN Client の設定がすでに行われており、適切に動作することが前提となっています。Cisco AnyConnect SSL VPN Clientの設定方法についての詳細は、『ASAでAnyConnect VPN Clientのスプリットトンネリングを許可するための設定例』を参照してください。

注：スマートトンネル機能を設定するには、『ASA 8.x:ASAでAnyConnect VPN Clientのスプリットトンネリングを許可するための設定例』の「ASDM 6.0(2)を使用したASA設定」セクションで説明されている手順4.bから4.lを実行しないようにしてください。

このドキュメントでは、Cisco ASA 5500 シリーズの適応型セキュリティアプライアンスにスマートトンネルを設定する方法について説明します。

前提条件

要件

このドキュメントに関する固有の要件はありません。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

ソフトウェアバージョン 8.0(2) を実行する Cisco ASA 5500 シリーズ適応型セキュリティアプライアンス
Microsoft Installer バージョン 3.1 によって Microsoft Vista、Windows XP SP2、または Windows 2000 Professional SP4 が動作している PC
Cisco Adaptive Security Device Manager（ASDM）バージョン 6.0(2)

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

表記法

ドキュメント表記の詳細については、『シスコテクニカルティップスの表記法』を参照してください。

背景説明

スマートトンネルアクセスの設定

スマートトンネルテーブルには、スマートトンネルリストが表示されます。各リストでは、スマートトンネルアクセスと、それに関連するオペレーティングシステム（OS）で使用可能な 1 つまたは複数のアプリケーションが指定されています。各グループポリシーまたはローカルユーザポリシーでは、1 つのスマートトンネルリストがサポートされているため、スマートトンネルリストでサポートされるよう、非ブラウザベースのアプリケーションをグループ化する必要があります。リストの設定に続いて、それを 1 つまたは複数のグループポリシーまたはローカルユーザポリシーに割り当てることができます。

スマートトンネルのウィンドウ（[Configuration] > [Remote Access VPN] > [Clientless SSL VPN Access] > [Portal] [Smart Tunnels]）を使用すると、次の手順を完了できます。

スマートトンネルリストの追加とリストへのアプリケーションの追加

スマートトンネルリストを追加し、アプリケーションをリストに追加するには、次の手順を実行します。
1. [Add] をクリックします。
  
  [Add Smart Tunnel List] ダイアログボックスが表示されます。
2. リストの名前を入力し、[Add] をクリックします。
  
  ASDM によって、[Add Smart Tunnel Entry] ダイアログボックスが開かれ、これによって、スマートトンネルの属性をリストに割り当てることができます。
3. スマートトンネルに必要な属性を割り当てた後で、[OK] をクリックします。
  
  ASDM によって、リストにある属性が表示されます。
4. リスト全体の作業を完了するには、必要に応じてこれらの手順を繰り返し、[Add Smart Tunnel List] ダイアログボックスで [OK] をクリックします。
スマートトンネルリストの変更

スマートトンネルリストを変更するには、次の手順を実行します。
1. リストをダブルクリックするか、またはテーブルにあるリストを選択し、[Edit] をクリックします。
2. [Add] をクリックし、スマートトンネル属性の新しいセットをリストに挿入するか、または、リストにあるエントリを選択し、[Edit] または [Delete] をクリックします。
リストの削除

リストを削除するには、テーブルにあるリストを選択し、[Delete] をクリックします。
ブックマークの追加

設定およびスマートトンネルリストの割り当てに続いて、サービスのブックマークを追加し、[Add Bookmark] ダイアログボックスまたは [Edit Bookmark] ダイアログボックスで [Enable Smart Tunnel] オプションをクリックして、スマートトンネルを使いやすいように設定できます。

スマートトンネルアクセスを使用すると、クライアント TCP ベースのアプリケーションで、ブラウザベースの VPN 接続を使用して、サービスを接続できます。プラグインおよび従来のテクノロジーのポート転送と比較して、ユーザに対して次の利点が提供されます。

スマートトンネルでは、プラグインよりも優れたパフォーマンスが提供されます。
ポート転送と異なり、スマートトンネルでは、ローカルポートへのローカルアプリケーションのユーザ接続が不要のため、ユーザの使用感を簡素化できます。
ポート転送と異なり、スマートトンネルでは、ユーザに管理権限が不要です。

スマートトンネルの要件と制限事項

一般的な要件と制限事項

スマートトンネルには、次のような一般的な要件および制限事項があります。

スマートトンネルを発信するリモートホストは、32ビットバージョンのMicrosoft Windows Vista、Windows XP、Windows 2000、またはMac OS 10.4または10.5を実行する必要があります。
スマートトンネルの自動サインオンは、Windows の Microsoft Internet Explorer のみでサポートされます。
ブラウザは、Java と Microsoft ActiveX の一方または両方でイネーブルである必要があります。
スマートトンネルでは、Microsoft Windows およびセキュリティアプライアンスが実行されているコンピュータ間にあるプロキシのみがサポートされます。スマートトンネルでは、Internet Explorer の設定が使用されます（つまり、Windows のシステム全体での使用が意図されています）。リモートコンピュータで、セキュリティアプライアンスへの到達が必要な場合、接続の終端の URL は、プロキシサービスから除外されている URL のリストにある必要があります。プロキシ設定により、ASA に定義されているトラフィックがプロキシを介して通信されるよう指定されている場合、すべてのスモールチャネルトラフィックはプロキシを介して通信されます。

HTTP ベースのリモートアクセスシナリオでは、サブネットによって、VPN ゲートウェイへのユーザアクセスが提供されない場合があります。この場合、Web とエンドユーザとの間のトラフィックを通信するために ASA の正面に置かれるプロキシによって、Web アクセスが提供されます。ただし、VPN ユーザのみが、ASA の正面に置かれるプロキシを設定できます。これを行う場合、これらのプロキシによって、接続方式がサポートされることを確認してください。認証が必要なプロキシでは、スマートトンネルによって、基本ダイジェスト認証タイプのみがサポートされます。
スマートトンネルの起動時に、セキュリティアプライアンスによって、クライアントレスセッションの開始にユーザが使用したブラウザプロセスから、すべてのトラフィックがトンネル内を通過されます。ユーザがブラウザプロセスの別のインスタンスを起動すると、すべてのトラフィックがトンネルに渡されます。ブラウザプロセスが同じで、セキュリティアプライアンスによって指定された URL へのアクセスが提供されない場合、ユーザはその URL を開くことができません。回避策として、ユーザは、クライアントレスセッションの確立に使用されたブラウザと異なるブラウザを使用できます。
ステートフルフェールオーバーでは、スマートトンネル接続は残されません。ユーザは、フェールオーバー後に再接続する必要があります。

Windows の要件と制限事項

次の要件と制限事項は、Windows のみに適用されます。

Winsock 2 のみで、TCP ベースのアプリケーションから、スマートトンネルアクセスを行うことができます。
セキュリティアプライアンスでは、Microsoft Outlook Exchange（MAPI）プロキシはサポートされません。ポート転送でもスマートトンネルでも、MAPI はサポートされません。MAPI プロトコルを使用した Microsoft Outlook Exchange 通信では、リモートユーザは AnyConnect を使用する必要があります。
スマートトンネルまたはポート転送を使用する Microsoft Windows Vista のユーザは、ASA の URL を信頼済みサイトゾーンに追加する必要があります。信頼済みサイトゾーンにアクセスするには、Internet Explorer を開始し、[Tools] > [Internet Options] を選択し、[Security] タブをクリックします。Vistaユーザは、スマートトンネルアクセスを容易にするために保護モードを無効にすることもできます。ただし、攻撃に対する脆弱性が増えるため、この方法は使用しないことを推奨します。

Mac OS の要件と制限事項

次の要件と制限事項は、Mac OS のみに適用されます。

Safari 3.1.1 またはそれ以降か Firefox 3.0 またはそれ以降
Sun JRE 1.5 またはそれ以降
ポータルページから開始されたアプリケーションのみがスマートトンネル接続を確立できます。この要件には、Firefox のスマートトンネルサポートが含まれます。スマートトンネルを最初に使用しているときに Firefox の別のインスタンスを開始するために Firefox を使用する場合、csco_st という名前のユーザプロファイルが必要です。このユーザプロファイルがない場合、セッションからユーザに対し、プロファイルを作成する旨のプロンプトが表示されます。
SSL ライブラリに動的にリンクされている TCP を使用するアプリケーションは、スマートトンネル経由で動作できます。
Mac OS 上では、次の機能およびアプリケーションは、スマートトンネルではサポートされません。
- プロキシサービス
- 自動サインオン
- 2 レベルのネームスペースが使用されるアプリケーション
- Telnet、SSH、および cURL などのコンソールベースのアプリケーション
- libsocket コールを探す dlopen または dlsym を使用したアプリケーション
- libsocket コールを探すために静的にリンクされているアプリケーション

設定

このセクションでは、このドキュメントで説明する機能を設定するために必要な情報を提供しています。

スマートトンネルリストの追加または編集

[Add Smart Tunnel List] ダイアログボックスを使用すると、セキュリティアプライアンス設定にスマートトンネルエントリのリストを追加できます。[Edit Smart Tunnel List] ダイアログボックスを使用すると、リストの内容を変更できます。

フィールド

[List Name]：アプリケーションまたはプログラムのリストでの固有名を入力します。名前の文字数には制限はありません。スペースは使用しないでください。スマートトンネルリストの設定に続いて、クライアントレス SSL VPN グループポリシーおよびローカルユーザポリシーの [Smart Tunnel List] 属性の隣に、リスト名が表示されます。設定する予定の他のリストから、内容や目的を区別することができる名前を割り当てます。

スマートトンネルエントリの追加または編集

[Add Smart Tunnel Entry] ダイアログボックスまたは [Edit Smart Tunnel Entry] ダイアログボックスを使用すると、スマートトンネルリストにアプリケーションの属性を指定できます。

[Application ID]：スマートトンネルリストのエントリに命名する文字列を入力します。文字列は OS で固有です。通常は、スマートトンネルアクセスが付与されるよう、アプリケーションに名前が付けられます。異なるパスまたはハッシュ値を指定するために選択するアプリケーションの複数のバージョンがサポートされるようにするには、この属性を使用して、各リストエントリによってサポートされる OS と、アプリケーションの名前およびバージョンを指定し、エントリを区別できます。ストリングには最大 64 文字まで使用できます。
[Process Name]：アプリケーションのファイル名またはパスを入力します。文字列には、最大 128 文字まで使用できます。

Windows では、スマートトンネルアクセスのアプリケーションが許可されるには、リモートホストのアプリケーションパスの右側のこの値に完全に一致することが必要です。Windows のファイル名のみを指定する場合、スマートトンネルアクセスのアプリケーションを許可するために、SSL VPN によって、リモートホスト上の場所は制限されません。

別の場所にインストールされたアプリケーションのパスおよびユーザの場合、アプリケーションは許可されません。アプリケーションは、文字列の右側が入力する値と一致する限り、パスに置くことができます。

スマートトンネルアクセスのアプリケーションが、リモートホストの複数のパスの 1 つにある場合に、これを認可するには、アプリケーションの名前および拡張機能のみをこのフィールドに指定するか、または各パスに固有のスマートトンネルエントリを作成します。

Windows では、コマンドプロンプトから開始されたアプリケーションにスマートトンネルアクセスを追加する場合、「cmd.exe」がアプリケーションの親であるため、スマートトンネルリストの 1 つのエントリのプロセス名に「cmd.exe」を指定し、別のエントリにアプリケーション自体へのパスを指定する必要があります。

Mac OS では、プロセスへのフルパスが必要で、大文字と小文字が区別されます。各ユーザ名のパスの指定を回避するには、パスの一部の前にチルド記号（~）を挿入します（たとえば、~/bin/vnc）。
[OS]：アプリケーションのホスト OS を指定するには、[Windows] または [Mac] をクリックします。
[Hash]：（オプションで Windows のみに適用可）この値を取得するには、SHA-1 アルゴリズムを使用するハッシュを計算するユーティリティに、実行可能ファイルのチェックサムを入力します。このようなユーティリティの例としてMicrosoft File Checksum Integrity Verifier(FCIV)があります。このユーティリティは、ファイルチェックサム整合性ベリファイアユーティリティの可用性と説明で使用できます。FCIV のインストール後、スペースが含まれていないパスでハッシュされるアプリケーションの一時コピー（たとえば、c:/fciv.exe）を置き、コマンドラインで fciv.exe -sha1 アプリケーションを入力（たとえば、fciv.exe -sha1 c:\msimn.exe）して、SHA-1 ハッシュを表示します。

SHA-1 ハッシュは、常に 40 の 16 進数の文字です。

アプリケーションでスマートトンネルアクセスを認可する前に、クライアントレス SSL VPN によって、アプリケーション ID に一致するアプリケーションのハッシュが計算されます。結果がハッシュの値と一致すると、アプリケーションに対してスマートトンネルアクセスが許可されます。

ハッシュを入力すると、SSL VPN によって、アプリケーション ID に指定した文字列と一致する不当なファイルが許可されないよう、妥当な保証が提供されます。チェックサムは、各バージョンまたはアプリケーションのパッチによって異なるため、入力したハッシュは、ある 1 つのバージョンまたはリモートホストのパッチのみと照合できます。アプリケーションの複数のバージョンのハッシュを指定するには、各ハッシュ値に固有のスマートトンネルを作成します。

注：ハッシュ値を入力し、スマートトンネルアクセスを使用するアプリケーションの将来のバージョンまたはパッチをサポートする場合は、将来スマートトンネルリストを更新する必要があります。スマートトンネルアクセスに突然問題が発生した場合、ハッシュ値が含まれているアプリケーションが、アプリケーションアップグレードの最新の状態ではないことを示す可能性があります。この問題は、ハッシュを入力しないことによって回避できます。
スマートトンネルリストを設定した場合は、それを、次のように、アクティブになるグループポリシーまたはローカルユーザポリシーに割り当てる必要があります。
- リストをグループポリシーに割り当てるには、[Config] > [Remote Access VPN] > [Clientless SSL VPN Access] > [Group Policies] > [Add] または [Edit] > [Portal] を選択し、[Smart Tunnel List] 属性の横にあるドロップダウンリストから、スマートトンネル名を選択します。
- リストをグループポリシーに割り当てるには、[Config] > [Remote Access VPN] > [AAA Setup] > [Local Users] > [Add] または [Edit] > [VPN Policy] > [Clientless SSL VPN] を選択し、[Smart Tunnel List] 属性の横にあるドロップダウンリストから、スマートトンネル名を選択します。

ASDM 6.0(2) を使用した ASA スマートトンネルの設定（Lotus の例）

このドキュメントは、インターフェイス設定などの基本設定が完了していて、適切に動作していることを前提としています。

スマートトンネルを設定するには、次の手順を実行します。

注：この設定例では、スマートトンネルはLotusアプリケーション用に設定されています。

スマートトンネルの設定を開始するには、[Configuration] > [Remote Access VPN] > [Clientless SSL VPN Access] > [Portal] > [Smart Tunnels] を選択します。
[Add] をクリックします。

[Add Smart Tunnel List] ダイアログボックスが表示されます。
[Add Smart Tunnel List] ダイアログボックスで、[Add] をクリックします。

[Add Smart Tunnel Entry] ダイアログボックスが表示されます。
[Application ID] フィールドで、スマートトンネルリスト内のエントリを指定する文字列を入力します。
アプリケーションのファイル名および拡張子を入力し、[OK] をクリックします。
[Add Smart Tunnel List] ダイアログボックスで、[OK] をクリックします。

注：同等のCLIコンフィギュレーションコマンドを次に示します。
Cisco ASA 8.0(2)
ciscoasa(config)#smart-tunnel list lotus LotusSametime connect.exe
次のようにして、関連付けられているアプリケーションにスマートトンネルアクセスを提供するグループポリシーまたはローカルユーザポリシーにリストを割り当てます。

グループポリシーにリストを割り当てるには、[Configuration] > [Remote Access VPN] > [Clientless SSL VPN Access] > [Group Policies] を選択し、[Add] または [Edit] をクリックします。

[Add Internal Group Policy] ダイアログボックスが表示されます。
[Add Internal Group Policy] ダイアログボックスで [Portal] をクリックし、[Smart Tunnel List] ドロップダウンリストからスマートトンネル名を選択して、[OK] をクリックします。

注：この例では、スマートトンネルリスト名としてLotusを使用しています。
ローカルユーザポリシーにリストを割り当てるには、[Configuration] > [Remote Access VPN] > [AAA Setup] > [Local Users] を選択し、[Add] をクリックして新しいユーザを設定するか、または [Edit] をクリックして既存ユーザを編集します。

[Edit User Account] ダイアログボックスが表示されます。
[Edit User Account] ダイアログボックスで [Clientless SSL VPN] をクリックし、[Smart Tunnel List] ドロップダウンリストからスマートトンネル名を選択して、[OK] をクリックします。

注：この例では、スマートトンネルリスト名としてLotusを使用しています。