HAを使用するセキュアファイアウォールによるセキュアアクセスの設定

はじめに

このドキュメントでは、Secure Access with Secure Firewall with High Availability(HA)を設定する方法について説明します。

前提条件

• ユーザプロビジョニングの設定
• ZTNA SSO認証設定
• リモートアクセスVPNセキュアアクセスの設定

要件

次の項目に関する知識があることが推奨されます。

• Firepower Management Center 7.2
• Firepower Threat Defense(FTD)7.2
• セキュアなアクセス
• Cisco Secure Client:VPN（トンネルモード）
• Cisco Secureクライアント – ZTNA
• クライアントレスZTNA

使用するコンポーネント

このドキュメントの情報は、次のハードウェアに基づくものです。 

• Firepower Management Center 7.2
• Firepower Threat Defense(FTD)7.2
• セキュアなアクセス
• Cisco Secure Client:VPN（トンネルモード）
• Cisco Secureクライアント – ZTNA

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

バックグラウンド情報

シスコは、プライベートアプリケーション（オンプレミスとクラウドベースの両方）を保護し、アクセスを提供するセキュアなアクセスを設計しました。また、ネットワークからインターネットへの接続も保護します。これは、複数のセキュリティ方式とレイヤの実装によって実現されます。すべての目的は、クラウド経由でアクセスする情報を保持することです。

ネットワーク図

設定

セキュアアクセスでのVPNの設定

Secure Accessの管理パネルに移動します。

• Connect>Network Connectionsの順にクリックします。

• Network Tunnel Groupsの下で、+ Addをクリックします。

• トンネルグループ名、リージョン、およびデバイスタイプを設定します。
• [Next] をクリックします。

• トンネルIDの形式とパスフレーズを設定します。
• [Next] をクリックします。

• ネットワーク上で設定したIPアドレス範囲またはホストを設定し、トラフィックをセキュアアクセス経由で通過させます。
• Saveをクリックします。

Saveをクリックすると、トンネルの情報が表示されます。次のステップのためにその情報を保存してください。セキュアファイアウォールでトンネルを設定します。

トンネルセットアップのデータ

セキュアファイアウォールでのトンネルの設定

トンネルインターフェイスの設定

このシナリオでは、この目標を達成するために、セキュアファイアウォール上で仮想トンネルインターフェイス(VTI)設定を使用する必要があります。この例では、ISPが2つ存在し、いずれかのISPで障害が発生した場合にHA（ハイアベイラビリティ）が必要になることに注意してください。

インターフェイス	役割
プライマリWAN	プリンシパルインターネットWAN
セカンダリWAN	セカンダリインターネットWAN
プライマリVTI	プリンシパルインターネットWANを介してトラフィックを送信し、アクセスを保護するためにリンクされます。
セカンダリVTI	セキュアなアクセスのためにセカンダリインターネットWAN経由でトラフィックを送信するようにリンクされている

このシナリオでは、PrimaryWANとSecondaryWANが設定されているため、VTIインターフェイスの作成にはこれらを使用する必要があります。

Firepower Management Center(FMC)>デバイスの順に移動します。

• FTDを選択します
• インターフェイスの選択

• Add Interfaces > Virtual Tunnel Interfaceの順にクリックします。

• 仮想トンネルインターフェイスの追加を設定します。 

• Name:PrimaryWANインターフェイスを参照する名前を設定します。
• セキュリティゾーン：別のセキュリティゾーンを再利用できますが、セキュアアクセストラフィック用に新しいセキュリティゾーンを作成するのが最善です。
• トンネルID：トンネルIDの番号を追加します。
• Tunnel Source：使用しているPrimaryWANインターフェイスを選択し、インターフェイスに対してプライベートIPまたはパブリックIPを選択します。
• IPsec Tunnel Mode:IPv4を選択し、ネットワーク内のルーティング不能IPをマスク30で設定します。

その後、SecondaryWANインターフェイスに対しても同じことを実行する必要があります。 これでVTI High Availableが設定され、その結果、インターフェイスに次のように表示されます。

このシナリオでは、次のIPが使用されます。 

VTI IPの設定
論理名	IP	範囲
プライマリVTI	169.254.2.1/30	169.254.2.1-169.254.2.2
セカンダリVTI	169.254.3.1/30	169.254.3.1-169.254.3.2

セカンダリインターフェイスのスタティックルートを設定する

SecondaryWANインターフェイスのトラフィックがセカンダリデータセンターIPアドレスに到達できるようにするには、データセンターIPへのスタティックルートを設定する必要があります。ルーティングテーブルの先頭に追加するには、メトリック1で設定します。また、ホストとしてIPを指定します。

Device > Device Managementの順に移動します。 

• FTDデバイスをクリックします。
• Routingをクリックします。
• Static Route > + Add Routeの順に選択します。

• Interface：セカンダリWANインターフェイスを選択します
• ゲートウェイ：セカンダリWANゲートウェイを選択します
• 選択済みネットワーク：セカンダリデータセンターのIPをホストとして追加します。この情報は、セキュアアクセスステップの「トンネル設定のデータ」でトンネルを設定するときに確認できます。
• メトリック:1を使用
• 「OK」をクリックして「保存」をクリックし、展開します。

VTIモードでアクセスを保護するためのVPNの設定

VPNを設定するには、ファイアウォールに移動します。 

• Devices > Site to Siteの順にクリックします。
• + Site to Site VPNをクリックします。

エンドポイントの設定

エンドポイントの手順を設定するには、手順「トンネルセットアップのデータ」で提供される情報を使用する必要があります。

• トポロジ名：セキュアアクセス統合に関連する名前を作成します。
• Routed Based(VTI)の選択
• ポイントツーポイントを選択
• IKE Version:IKEv2を選択します

ノードAで、次のパラメータを設定する必要があります。

• Device:FTDデバイスを選択します。
• Virtual Tunnel Interface:PrimaryWAN Interfaceに関連するVTIを選択します
• Send Local Identity to Peersのチェックボックスをオンにします。
• Local Identity Configuration：電子メールIDを選択し、ステップData for Tunnel Setupの設定で提供されたプライマリトンネルIDに基づいて情報を入力します。

PrimaryVTIの情報を設定したら、+ Add Backup VTIをクリックします。 

• Virtual Tunnel Interface:PrimaryWAN Interfaceに関連するVTIを選択します
• Send Local Identity to Peersのチェックボックスをオンにします。
• Local Identity Configuration：電子メールIDを選択し、ステップData for Tunnel Setupの設定で提供されたセカンダリトンネルIDに基づいて情報を入力します。

ノードBで、次のパラメータを設定する必要があります。

• デバイス：エクストラネット
• デバイス名：セキュアアクセスを宛先として認識するための名前を選択します
• エンドポイントIPアドレス：プライマリおよびセカンダリの設定は、プライマリデータセンターIP、セカンダリデータセンターIPである必要があります。この情報は、手順「トンネルセットアップのデータ」にあります。

その後、エンドポイントの設定が完了します。 

IKE の設定。

IKEパラメータを設定するには、IKEをクリックします。

IKEで、次のパラメータを設定する必要があります。

• ポリシー：デフォルトのUmbrella設定Umbrella-AES-GCM-256を使用するか、またはサポートされているIKEv2およびIPSECパラメータに基づいて異なるパラメータを設定できます。

• 認証タイプ：事前共有手動キー
• キー入力とキーの確認:パスフレーズの情報は、ステップ「トンネルセットアップのデータ」にあります

その後、IKEの設定が完了したので、ステップ「IPSECの設定」に進むことができます。

IPSec の設定

IPSECパラメータを設定するには、IPSECをクリックします。

IPSECで、次のパラメータを設定する必要があります。

• ポリシー：デフォルトのUmbrella設定Umbrella-AES-GCM-256を使用するか、またはサポートされているIKEv2およびIPSECパラメータに基づいて異なるパラメータを設定できます。

これで、IPSECの設定は完了です。

高度な設定

詳細パラメータを設定するには、Advancedをクリックします。

Advancedで、次のパラメータを設定する必要があります。

• IKEキープアライブ：有効
• しきい値:10
• 再試行間隔: 2
• ピアに送信されるID:autoOrDN
• ピアIDの検証：チェックしない

Save and Deployをクリックします。

VPN to Secure Access in VTI Modeの設定が完了したら、ステップ「Configure Policy Base Routing」に進みます。

アクセスポリシーの設定シナリオ

定義されるアクセスポリシールールは、次の条件に基づいています。 

Interface	ゾーン
プライマリVTI	SIG（シグニチャ）
セカンダリVTI	SIG（シグニチャ）
LAN	LAN

インターネットアクセスのシナリオ

ポリシーベースルーティングで設定するすべてのリソースでインターネットへのアクセスを提供する。一部のアクセスルールとポリシーは、セキュアアクセスで設定する必要があります。 

このルールはインターネット上のLANへのアクセスを提供します。この場合、インターネットはSIGです。

RA-VPNシナリオ

RA-VPNユーザからのアクセスを提供するには、RA-VPNプールで割り当てた範囲に基づいてアクセスを設定する必要があります。 

VPNaaSのIPプールを確認するには、どうすればよいですか。 

セキュアアクセスダッシュボードに移動します

• Connect > End User Connectivityの順にクリックします。
• Virtual Private Networkをクリックします。 
• Manage IP Poolsの下で、Manageをクリックします

• Endpoint IP Poolsの下にプールが表示されます。

• SIGでこの範囲を許可する必要がありますが、PBRで設定したACLでも範囲を追加する必要があります。 

アクセスルールの設定

プライベートアプリケーションリソースにアクセスする機能でセキュアアクセスを使用するように設定しているだけの場合、アクセスルールは次のようになります。 

このルールは、RA-VPNプール192.168.50.0/24からLANへのトラフィックを許可します。必要に応じて、さらに多くのトラフィックを指定できます。

ACLの設定

SIGからLANへのルーティングトラフィックを許可するには、トラフィックをACLの下に追加して、PBRの下で機能させる必要があります。

CLAP-BAP ZTNAエスシナリオ

クライアントベースのZTAユーザまたはブラウザベースのZTAユーザからネットワークにアクセスできるように、CGNAT範囲100.64.0.0/10に基づいてネットワークを設定する必要があります。

アクセスルールの設定

プライベートアプリケーションリソースにアクセスする機能でセキュアアクセスを使用するように設定しているだけの場合、アクセスルールは次のようになります。 

このルールは、ZTNA CGNAT範囲100.64.0.0/10からLANへのトラフィックを許可します。

ACLの設定

CGNATを使用するSIGからLANへのトラフィックのルーティングを許可するには、ACLの下にトラフィックを追加して、PBRで機能させる必要があります。

ポリシーベースルーティングの設定

セキュアアクセスを通じて内部リソースとインターネットへのアクセスを提供するには、ポリシーベースルーティング(PBR)を介して、送信元から宛先へのトラフィックのルーティングを容易にするルートを作成する必要があります。

• Devices > Device Managementの順に移動します。
• ルートを作成するFTDデバイスを選択します

• Routingをクリックします。
• Policy Base Routingの選択
• [Add] をクリックします。

このシナリオでは、トラフィックをセキュアアクセスにルーティングする送信元、またはRA-VPNを使用してセキュアアクセスにユーザ認証を提供する送信元として使用するすべてのインターフェイスを選択します。クライアントベースまたはブラウザベースのZTAによるネットワーク内部リソースへのアクセス：

• Ingress Interfaceの下で、Secure Access経由でトラフィックを送信するすべてのインターフェイスを選択します。

• Match Criteria and Egress Interfaceで次のパラメータを定義するのは、Addをクリックした後です。

• Match ACL：このACLでは、セキュアアクセスにルーティングするすべてのものを設定します。

• 送信先:IPアドレスを選択します
• IPv4アドレス：両方のVTIで設定されたマスク30の下で次のIPを使用する必要があります。これは、「VTI Interface Config

Interface	IP	GW
プライマリVTI	169.254.2.1/30	169.254.2.2
セカンダリVTI	169.254.3.1/30	169.254.3.2

設定が完了すると、次の結果が得られます。Saveをクリックします。

その後、再度保存する必要があり、次のように設定されます。 

展開して、ACLで設定されたマシンのトラフィックをセキュアアクセスにルーティングするトラフィックを確認できます。

FMCのConexion Eventsから：

セキュアアクセスのアクティビティ検索から：

セキュアアクセスでのインターネットアクセスポリシーの設定

インターネットアクセスを設定するには、セキュアアクセスダッシュボードでポリシーを作成する必要があります。

• Secure > Access Policyをクリックします。

• Add Rule > Internet Accessの順にクリックします。

ここで、トンネルとして、宛先への送信元を指定できます。ポリシーで設定する内容に応じて、任意のものを選択できます。『Secure Access User Guide』を参照してください。

ZTNAおよびRA-VPNのプライベートリソースアクセスの設定

プライベートリソースへのアクセスを設定するには、最初にSecure Access Dashboardでリソースを作成する必要があります。

• Resources > Private Resourcesをクリックします。

• 次に、Addをクリックします 
• この設定の下には、設定する次のセクションがあります。全般、セキュアアクセスクラウドとの通信、およびエンドポイント接続方法。

一般

• プライベートリソース名：ネットワークへのセキュアアクセスを通じてアクセスを提供するリソースの名前を作成します。

エンドポイントの接続方法 

• Zero Trust Connections：チェックボックスをオンにします。
• クライアントベースの接続：これを有効にすると、セキュアクライアント – ゼロトラストモジュールを使用して、クライアントベースモードによるアクセスを有効にすることができます。
• リモート到達可能アドレス（FQDN、ワイルドカードFQDN、IPアドレス）：リソースのIPまたはFQDNを構成します。FQDNを構成する場合は、名前を解決するためにDNSを追加する必要があります。
• ブラウザベースの接続：これを有効にすると、ブラウザ経由でリソースにアクセスできます（HTTPまたはHTTPS通信を使用してリソースを追加してください）。
• このリソースのパブリックURL：ブラウザから使用するパブリックURLを設定します（セキュアアクセスはこのリソースを保護します）。
• Protocol：プロトコル（HTTPまたはHTTPS）を選択します。

VPN Connection：チェックボックスをオンにして、RA-VPNaaS経由のアクセスを有効にします。

Saveをクリックすると、そのリソースをアクセスポリシーに追加できます。

アクセスポリシーの設定 

リソースを作成するときは、次のいずれかのセキュアアクセスポリシーに割り当てる必要があります。

• Secure > Access Policyをクリックします。

• Add > Private Resourceの順にクリックします。

このプライベートアクセスルールでは、リソースへのアクセスを提供するためにデフォルト値を設定する必要があります。ポリシー設定の詳細については、『ユーザガイド』を参照してください。

• アクション：リソースへのアクセスを許可するには、「許可」を選択します。
• From：リソースへのログインに使用できるユーザを指定します。
• 宛先：セキュアアクセスを介してアクセスするリソースを選択します。

• ゼロトラストクライアントベースのポスチャプロファイル：クライアントベースアクセスのデフォルトプロファイルを選択します
• ゼロトラストブラウザベースのポスチャプロファイル：ブラウザベースアクセスのデフォルトプロファイルを選択します。

• 設定後、NextとSaveをクリックすると、RA-VPN、クライアントベースZTNA、またはブラウザベースZTNAを介してリソースにアクセスできます。

トラブルシュート

セキュアファイアウォールとセキュアアクセスの間のトラブルシューティングを行うには、デバイス間でフェーズ1(IKEv2)とフェーズ2(IPSEC)が確立されているかどうかを確認します。

フェーズ1(IKEv2)の確認

Phase1を確認するには、FTDのCLIで次のコマンドを実行する必要があります。

show crypto isakmp sa

この場合、望ましい出力は、セキュアアクセスのデータセンターIPに対して確立された2つのIKEv2 SAであり、望ましいステータスはREADYです。

There are no IKEv1 SAs

IKEv2 SAs:

Session-id:3, Status:UP-ACTIVE, IKE count:1, CHILD count:1

Tunnel-id Local                                               Remote                                     fvrf/ivrf     Status         Role
 52346451 192.168.0.202/4500                                  3.120.45.23/4500                        Global/Global      READY    RESPONDER
      Encr: AES-GCM, keysize: 256, Hash: N/A, DH Grp:20, Auth sign: PSK, Auth verify: PSK
      Life/Active Time: 86400/4009 sec
Child sa: local selector  0.0.0.0/0 - 255.255.255.255/65535
          remote selector 0.0.0.0/0 - 255.255.255.255/65535
          ESP spi in/out: 0xfb34754c/0xc27fd2ba

IKEv2 SAs:

Session-id:2, Status:UP-ACTIVE, IKE count:1, CHILD count:1

Tunnel-id Local                                               Remote                                     fvrf/ivrf     Status         Role
 52442403 192.168.30.5/4500                                   18.156.145.74/4500                      Global/Global      READY    RESPONDER
      Encr: AES-GCM, keysize: 256, Hash: N/A, DH Grp:20, Auth sign: PSK, Auth verify: PSK
      Life/Active Time: 86400/3891 sec
Child sa: local selector  0.0.0.0/0 - 255.255.255.255/65535
          remote selector 0.0.0.0/0 - 255.255.255.255/65535
          ESP spi in/out: 0x4af761fd/0xfbca3343

フェーズ2(IPSEC)の確認

Phase2を確認するには、FTDのCLIで次のコマンドを実行する必要があります。

interface: PrimaryVTI
    Crypto map tag: __vti-crypto-map-Tunnel1-0-1, seq num: 65280, local addr: 192.168.30.5

      Protected vrf (ivrf): Global
      local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
      remote ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
      current_peer: 18.156.145.74


      #pkts encaps: 71965, #pkts encrypt: 71965, #pkts digest: 71965
      #pkts decaps: 91325, #pkts decrypt: 91325, #pkts verify: 91325
      #pkts compressed: 0, #pkts decompressed: 0
      #pkts not compressed: 71965, #pkts comp failed: 0, #pkts decomp failed: 0
      #pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0
      #PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
      #TFC rcvd: 0, #TFC sent: 0
      #Valid ICMP Errors rcvd: 0, #Invalid ICMP Errors rcvd: 0
      #send errors: 0, #recv errors: 0

      local crypto endpt.: 192.168.30.5/4500, remote crypto endpt.: 18.156.145.74/4500
      path mtu 1500, ipsec overhead 63(44), media mtu 1500
      PMTU time remaining (sec): 0, DF policy: copy-df
      ICMP error validation: disabled, TFC packets: disabled
      current outbound spi: FBCA3343
      current inbound spi : 4AF761FD

    inbound esp sas:
      spi: 0x4AF761FD (1257726461)
         SA State: active
         transform: esp-aes-gcm-256 esp-null-hmac no compression
         in use settings ={L2L, Tunnel,  NAT-T-Encaps, IKEv2, VTI, }
         slot: 0, conn_id: 2, crypto-map: __vti-crypto-map-Tunnel1-0-1
         sa timing: remaining key lifetime (kB/sec): (3916242/27571)
         IV size: 8 bytes
         replay detection support: Y
         Anti replay bitmap:
          0xFFFFFFFF 0xFFFFFFFF
    outbound esp sas:
      spi: 0xFBCA3343 (4224332611)
         SA State: active
         transform: esp-aes-gcm-256 esp-null-hmac no compression
         in use settings ={L2L, Tunnel,  NAT-T-Encaps, IKEv2, VTI, }
         slot: 0, conn_id: 2, crypto-map: __vti-crypto-map-Tunnel1-0-1
         sa timing: remaining key lifetime (kB/sec): (4239174/27571)
         IV size: 8 bytes
         replay detection support: Y
         Anti replay bitmap:
          0x00000000 0x00000001

interface: SecondaryVTI
    Crypto map tag: __vti-crypto-map-Tunnel2-0-2, seq num: 65280, local addr: 192.168.0.202

      Protected vrf (ivrf): Global
      local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
      remote ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
      current_peer: 3.120.45.23


      #pkts encaps: 0, #pkts encrypt: 0, #pkts digest: 0
      #pkts decaps: 0, #pkts decrypt: 0, #pkts verify: 0
      #pkts compressed: 0, #pkts decompressed: 0
      #pkts not compressed: 0, #pkts comp failed: 0, #pkts decomp failed: 0
      #pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0
      #PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
      #TFC rcvd: 0, #TFC sent: 0
      #Valid ICMP Errors rcvd: 0, #Invalid ICMP Errors rcvd: 0
      #send errors: 0, #recv errors: 0

      local crypto endpt.: 192.168.0.202/4500, remote crypto endpt.: 3.120.45.23/4500
      path mtu 1500, ipsec overhead 63(44), media mtu 1500
      PMTU time remaining (sec): 0, DF policy: copy-df
      ICMP error validation: disabled, TFC packets: disabled
      current outbound spi: C27FD2BA
      current inbound spi : FB34754C

    inbound esp sas:
      spi: 0xFB34754C (4214519116)
         SA State: active
         transform: esp-aes-gcm-256 esp-null-hmac no compression
         in use settings ={L2L, Tunnel,  NAT-T-Encaps, IKEv2, VTI, }
         slot: 0, conn_id: 20, crypto-map: __vti-crypto-map-Tunnel2-0-2
         sa timing: remaining key lifetime (kB/sec): (4101120/27412)
         IV size: 8 bytes
         replay detection support: Y
         Anti replay bitmap:
          0x00000000 0x00000001
    outbound esp sas:
      spi: 0xC27FD2BA (3263156922)
         SA State: active
         transform: esp-aes-gcm-256 esp-null-hmac no compression
         in use settings ={L2L, Tunnel,  NAT-T-Encaps, IKEv2, VTI, }
         slot: 0, conn_id: 20, crypto-map: __vti-crypto-map-Tunnel2-0-2
         sa timing: remaining key lifetime (kB/sec): (4239360/27412)
         IV size: 8 bytes
         replay detection support: Y
         Anti replay bitmap:
          0x00000000 0x00000001

最後の出力では、両方のトンネルが確立されたことが確認できます。望ましくないのは、パケットencapsとdecapsの下の次の出力です。

このシナリオがある場合は、TACでケースをオープンします。

ハイアベイラビリティ機能

クラウド内のデータセンターと通信するセキュアアクセスを備えたトンネルの機能はアクティブ/パッシブです。つまり、DC 1のドアだけが開いてトラフィックを受信します。DC 2のドアは、トンネル番号1がダウンするまで閉じます。 

セキュアなアクセスへのトラフィックルーティングの確認

この例では、使用されるファイアウォールネットワーク上のソースマシンは次のとおりです。

• Source:192.168.10.40
• 宛先：146.112.255.40（セキュアアクセスモニタリングIP）

例： 

コマンド： 

 packet-tracer input LAN tcp 192.168.10.40 3422 146.112.255.40 80

出力：

Phase: 1
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Elapsed time: 14010 ns
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 2
Type: PBR-LOOKUP
Subtype: policy-route
Result: ALLOW
Elapsed time: 21482 ns
Config:
route-map FMC_GENERATED_PBR_1707686032813 permit 5
 match ip address ACL
 set ip next-hop 169.254.2.2 169.254.3.2
Additional Information:
 Matched route-map FMC_GENERATED_PBR_1707686032813, sequence 5, permit
 Found next-hop 169.254.2.2 using egress ifc PrimaryVTI

Phase: 3
Type: OBJECT_GROUP_SEARCH
Subtype:
Result: ALLOW
Elapsed time: 0 ns
Config:
Additional Information:
 Source Object Group Match Count:       0
 Destination Object Group Match Count:  0
 Object Group Search:                   0

Phase: 4
Type: ACCESS-LIST
Subtype: log
Result: ALLOW
Elapsed time: 233 ns
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced permit ip any ifc PrimaryVTI any rule-id 268434435
access-list CSM_FW_ACL_ remark rule-id 268434435: ACCESS POLICY: HOUSE - Mandatory
access-list CSM_FW_ACL_ remark rule-id 268434435: L7 RULE: New-Rule-#3-ALLOW
Additional Information:
 This packet will be sent to snort for additional processing where a verdict will be reached

Phase: 5
Type: CONN-SETTINGS
Subtype:
Result: ALLOW
Elapsed time: 233 ns
Config:
class-map class_map_Any
 match access-list Any
policy-map policy_map_LAN
 class class_map_Any
  set connection decrement-ttl
service-policy policy_map_LAN interface LAN
Additional Information:

Phase: 6
Type: NAT
Subtype: per-session
Result: ALLOW
Elapsed time: 233 ns
Config:
Additional Information:

Phase: 7
Type: IP-OPTIONS
Subtype:
Result: ALLOW
Elapsed time: 233 ns
Config:
Additional Information:

Phase: 8
Type: VPN
Subtype: encrypt
Result: ALLOW
Elapsed time: 18680 ns
Config:
Additional Information:

Phase: 9
Type: VPN
Subtype: ipsec-tunnel-flow
Result: ALLOW
Elapsed time: 25218 ns
Config:
Additional Information:

Phase: 10
Type: NAT
Subtype: per-session
Result: ALLOW
Elapsed time: 14944 ns
Config:
Additional Information:

Phase: 11
Type: IP-OPTIONS
Subtype:
Result: ALLOW
Elapsed time: 0 ns
Config:
Additional Information:

Phase: 12
Type: FLOW-CREATION
Subtype:
Result: ALLOW
Elapsed time: 19614 ns
Config:
Additional Information:
New flow created with id 23811, packet dispatched to next module

Phase: 13
Type: EXTERNAL-INSPECT
Subtype:
Result: ALLOW
Elapsed time: 27086 ns
Config:
Additional Information:
Application: 'SNORT Inspect'

Phase: 14
Type: SNORT
Subtype: appid
Result: ALLOW
Elapsed time: 28820 ns
Config:
Additional Information:
service: (0), client: (0), payload: (0), misc: (0)

Phase: 15
Type: SNORT
Subtype: firewall
Result: ALLOW
Elapsed time: 450193 ns
Config:
Network 0, Inspection 0, Detection 0, Rule ID 268434435
Additional Information:
Starting rule matching, zone 1 -> 3, geo 0 -> 0, vlan 0, src sgt: 0, src sgt type: unknown, dst sgt: 0, dst sgt type: unknown, user 9999997, no url or host, no xff
Matched rule ids 268434435 - Allow

Result:
input-interface: LAN(vrfid:0)
input-status: up
input-line-status: up
output-interface: PrimaryVTI(vrfid:0)
output-status: up
output-line-status: up
Action: allow
Time Taken: 620979 ns

トラフィックがセキュアアクセスに正しくルーティングされるように、PBR設定で設定される追加のコンテキストを提供できる多くのシナリオがあります。 

フェーズ2は、トラフィックがPrimaryVTIインターフェイスに転送されることを示します。インターネットトラフィックはVTIを介してセキュアアクセスに転送される必要があるため、このシナリオの設定に基づく正解です。

フェーズ8は、VPN接続の暗号化ステージに対応します。このステージでは、トラフィックが評価され、暗号化が承認され、データが安全に送信されます。フェーズ9では、VPN IPSecトンネル内のトラフィックフローの特定の管理に焦点を当て、暗号化されたトラフィックが適切にルーティングされ、確立されたトンネルを通じて許可されることを確認します。

最後に、フローの最後で、LANからPrimaryVTIへのトラフィックがSecure Accessに転送されるのを確認します。これにより、トラフィックが問題なくルーティングされることを確認できます。

関連情報

• シスコのテクニカルサポートとダウンロード
• Cisco Secure Accessヘルプセンター
• 仮想トラステッドプラットフォームモジュールの概要
• ゼロトラストアクセスモジュール
• Secure Accessエラー「Enrollment Service Is Not Responding.ITヘルプデスクにお問い合わせください」

更新履歴

改定	発行日	コメント
2.0	02-Jun-2026	スペルチェック、文法、スペース、代替テキストなどが更新されました。
1.0	28-Nov-2024	初版