Cisco Secure Accessでのマシントンネルの設定
内容
概要
このドキュメントでは、セキュアアクセスをVPNゲートウェイとして設定し、VPNマシントンネル経由でセキュアクライアントからの接続を受け入れる方法について説明します。
ネットワーク図
前提条件
- セキュアアクセスの完全な管理者ロール
- Cisco Secure Access上のユーザIPプール
- Cisco Secure Accessで設定された少なくとも1つのユーザVPNプロファイル
要件
次の項目に関する知識があることが推奨されます。
- OpenSSL
- 509証明書
使用するコンポーネント
このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づくものです。
- シスコセキュアアクセス
- Cisco Secureクライアント5.1.10
- Windows 11
- Windows Server 2019 - CA
このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。
背景説明
セキュアアクセスVPNマシントンネルは、エンドユーザによってVPN接続が確立されたときだけでなく、クライアントシステムの電源がオンになるたびに企業ネットワークへの接続を確保します。オフィス外のエンドポイント、特にユーザがVPN経由でオフィスのネットワークにほとんど接続していないデバイスに対して、パッチ管理を実行できます。企業ネットワーク接続を必要とするエンドポイントOSログインスクリプトでも、この機能を利用できます。このトンネルをユーザの操作なしで作成するには、証明書ベースの認証が使用されます。
Secure Accessマシントンネルを使用すると、管理者はユーザが介入しなくても、ユーザがログインする前にCisco Secure Clientを接続できます。Secure Accessマシントンネルは、エンドポイントがオフプレミスで、ユーザが開始したVPNから切断されたときにトリガーされます。セキュアアクセスVPNマシントンネルは、エンドユーザに対して透過的であり、ユーザがVPNを開始すると自動的に切断されます。
マシントンネルの操作
セキュアクライアントVPNエージェントサービスは、システムのブート時に自動的に開始されます。セキュアクライアントVPNエージェントは、VPNプロファイルを使用して、マシントンネル機能が有効になっていることを検出します。マシントンネル機能が有効になっている場合、エージェントは管理クライアントアプリケーションを起動してマシントンネル接続を開始します。管理クライアントアプリケーションは、VPNプロファイルからのホストエントリを使用して接続を開始します。次に、VPNトンネルは通常どおり確立されますが、1つの例外があります。マシントンネルはユーザに対して透過的に動作するように意図されているため、マシントンネルの接続中にソフトウェアの更新は行われません。
ユーザがセキュアクライアントを介してVPNトンネルを開始すると、マシントンネルの終端がトリガーされます。マシントンネルの終端時に、ユーザトンネルの確立は通常どおり継続されます。ユーザがVPNトンネルの接続を解除すると、マシントンネルの自動再確立がトリガーされます。
制限
- ユーザーの操作はサポートされていません。
- マシン証明書ストア(Windows)による証明書ベースの認証のみがサポートされます。
- 厳密なサーバ証明書チェックが適用されます。
- プライベートプロキシはサポートされていません。
- パブリックプロキシはサポートされていません（ネイティブプロキシ設定がブラウザから取得されないプラットフォームでは、ProxyNative値がサポートされています）。
- セキュアクライアントカスタマイズスクリプトはサポートされていません
設定
方法1：ユーザmachine@sse.comを使用してマシントンネルを設定する
ステップ1：一般設定
マシントンネルが使用するドメインとプロトコルを含む、全般的な設定を行います。
1. Connect > End User Connectivity > Virtual Private Networkの順に選択します。
2. VPN Profilesに移動し、マシントンネルの設定を構成します。
a. Settingsをクリックして、ドロップダウンからManage Machine Tunnelを選択します。
3. Default Domainを入力します。
4. Manage Regions and IP PoolsページでマッピングされたDNS Serverがデフォルトサーバとして設定されている。デフォルトのDNSサーバをそのまま使用するか、ドロップダウンから別のDNSサーバを選択するか、+追加をクリックして新しいDNSサーバペアを追加します。別のDNSサーバを選択するか、新しいDNSサーバを追加すると、このデフォルトサーバが上書きされます。
5. IP Poolsドロップダウンから、リージョンごとに1つのIPプールを選択します。有効な設定のためには、VPNプロファイルの各リージョンに少なくとも1つのIPプールが割り当てられている必要があります。
6. このマシンのトンネルで使用するトンネルプロトコルを選択します。
- TLS/DTLS
- IPSec(IKEv2)
少なくとも1つのプロトコルを選択する必要があります。
7. オプションで、Include protocolにチェックマークを入れて、クライアントバイパスプロトコルを適用します。
1. クライアントバイパスプロトコルがIPプロトコルに対して有効で、アドレスプールがそのプロトコルに対して設定されていない場合（つまり、そのプロトコルのIPアドレスがASAによってクライアントに割り当てられていない場合）、そのプロトコルを使用するIPトラフィックはVPNトンネルを介して送信されません。トンネルの外部に送信されます。
2. クライアントバイパスプロトコルが無効で、アドレスプールがそのプロトコルに対して設定されていない場合、クライアントはVPNトンネルが確立されると、そのIPプロトコルに対するすべてのトラフィックをドロップします。
3. Nextをクリックします。
ステップ2 – マシン証明書の認証
マシントンネルはエンドユーザに対して透過的で、ユーザがVPNセッションを開始すると自動的に切断されます。このトンネルをユーザの操作なしで作成するには、証明書ベースの認証を使用します。
1. リストからCA証明書を選択するか、Upload CA Certificatesをクリックします。
2. 証明書ベースの認証フィールドを選択します。詳細については、「証明書ベースの認証フィールド」を参照してください。
3. Nextをクリックします。
ステップ3：トラフィックのステアリング（スプリットトンネル）
トラフィックステアリング（スプリットトンネル）の場合、セキュアアクセスへの完全なトンネル接続を維持するようにマシントンネルを設定するか、または必要な場合にのみスプリットトンネル接続を使用してトラフィックをVPN経由で転送するように設定できます。詳細については、「マシントンネルトラフィックステアリング」を参照してください。
1. Tunnel Modeを選択します。
2. トンネルモードの選択（トンネルモードのデフォルト）によっては、例外の追加が可能です。
3. DNS Modeを選択します。
4. Nextをクリックします。
ステップ4:Cisco Secure Clientの設定
特定のVPNマシントンネルのニーズに基づいて、Cisco Secure Client設定のサブセットを変更できます。詳細については、「セキュアクライアントの設定」を参照してください。
1. 最大伝送ユニット(MTU)、つまり、フラグメンテーションなしでVPNトンネルで送信できるパケットの最大サイズを確認します。
2. クライアント設定。詳細については、『マシントンネルクライアントの設定』を参照してください。
3. [クライアント証明書の設定]で、必要に応じてオプションを選択します。
a. Windows Certificate Store Override:管理者は、Secure Clientで、Windowsマシン（ローカルシステム）の証明書ストアにある証明書をクライアントの証明書認証に使用できます。
b. 自動証明書選択：セキュアゲートウェイで複数の証明書認証が設定されている場合。
c. 証明書ピニング：デバイスを認証するためにマシントンネルでマシン証明書として使用されるCA証明書。
d. 証明書照合：証明書照合基準が指定されていない場合、Cisco Secure Clientは証明書照合ルールを適用します。
i. キーの使用法: Digital_Signature
ii. 拡張キー使用法：クライアント認証
e. 識別名：受け入れ可能なクライアント証明書を選択する際の、完全一致基準のための識別名(DN)を指定します。複数の識別名(DN)を追加すると、各証明書がすべてのエントリに対してチェックされ、すべてが一致する必要があります。
4. ユーザVPNプロファイルにマシントンネルプロファイルを割り当て、Saveをクリックすると、ユーザVPNプロファイルを選択するオプションが表示されます。
5. Saveをクリックします。
6. コンピュータトンネルプロファイルがユーザVPNプロファイルに接続されているかどうかを確認します。
手順5:Cisco Secure Accessにmachine@sse.comユーザが存在するかどうかを確認します
1. Connect > Users,Groups, and Endpoint Devices > Usersの順に移動します。
2. machine@sse.comユーザが存在しない場合は、手動でインポートします。詳細については、「ユーザとグループの手動インポート」を参照してください。
ステップ6:machine@sse.com用のCA署名付き証明書を生成する
1. 証明書署名要求を生成します。
a.任意のオンラインCSR Generatorソフトウェアまたはopenssl CLIを使用できます。
openssl要求 – newkey rsa:2048 -nodes -keyout cert.key -out cert.csr
2. CSRをコピーし、マシン証明書を生成します。
3. 前のステップ（ステップ1とステップ2）で生成したキーと証明書を使用して、マシン証明書をPKCS12形式にそれぞれ変換します。
openssl pkcs12 -export -out Machine.p12 -in machine.crt -inkey cert.key
ステップ7：テストマシンへのマシン証明書のインポート
1. ローカルストアまたはマシンストアにPKCS12マシン証明書をインポートします。
ステップ8 – マシントンネルへの接続
1. ユーザトンネルに接続します。これにより、マシンxmlプロファイルのダウンロードがトリガーされます。
2. マシントンネル接続の確認：
方法2：エンドポイント証明書を使用してマシントンネルを設定する
この場合Primary Field to Authenticateでは、デバイス名（コンピュータ名）を含む証明書フィールドを選択します。 Secure Accessは、マシントンネルIDとしてデバイス名を使用します。コンピュータ名の形式は、選択したデバイスIDの形式と一致する必要があります
マシントンネル設定のステップ1 ～ 4を実行します。
手順5:Cisco Secure AccessでエンドポイントをインポートするためのADコネクタの設定
詳細については、「On-Perm Active Directory Integration」を参照してください。
手順6：エンドポイントデバイス認証の設定
1. Connect > Users,Groups and Endpoint Devicesの順に移動します。
2. Configuration Managementをクリックします。
3. Configurationsの下で、Edit Active Directoryをクリックします。
4.エンドポイントデバイスの認証プロパティをホスト名に設定します。
5. AD Connectorサービスがインストールされているサーバで、Saveをクリックして再起動します
手順7：エンドポイント証明書の生成とインポート
1. CSRを生成し、CSRジェネレータまたはOpenSSLツールを開きます。
2. CAからエンドポイント証明書を生成します。
3. .certファイルをPKCS12形式に変換します。
4. エンドポイント証明書ストアにPKCS12証明書をインポートします。
ステップ8 – マシントンネルへの接続
1. ユーザトンネルに接続すると、マシントンネルxmlプロファイルのダウンロードがトリガーされます。
2. マシントンネル接続の確認：
方法3：ユーザ証明書を使用してマシントンネルを設定する
この場合、Primary Field to Authenticateでは、ユーザの電子メールまたはUPNを含む証明書フィールドを選択します。セキュアアクセスでは、マシントンネルIDとして電子メールまたはUPNが使用されます。電子メールまたはUPNの形式は、選択したデバイスIDの形式と一致する必要があります
マシントンネル設定のステップ1 ～ 4を実行します。
手順5:Cisco Secure AccessでユーザをインポートするためのADコネクタの設定
詳細については、「On-Perm Active Directory Integration」を参照してください。
ステップ6：ユーザ認証の設定
1. Connect > Users, Groups and Endpoint Devicesの順に移動します。
2. Configuration Managementをクリックします。
3. Configurationsの下で、Edit Active Directoryをクリックします。
4. Users Authentication PropertyをEmailに設定します。
5. Saveをクリックし、AD Connector Servicesがインストールされているサーバでそのサービスを再起動します。
手順7：エンドポイント証明書の生成とインポート
1. CSRを生成し、CSRジェネレータまたはOpenSSLツールを開きます。
2. CAからエンドポイント証明書を生成します。
3. .certファイルをPKCS12形式に変換します。
4. エンドポイント証明書ストアにPKCS12証明書をインポートします。
ステップ8 – マシントンネルへの接続
1. ユーザトンネルに接続すると、マシントンネルxmlプロファイルのダウンロードがトリガーされます。
2. マシントンネル接続の確認：
トラブルシューティング
DARTバンドルを抽出し、AnyConnectVPNログを開いてエラーメッセージを分析します。
DARTBundle_0603_1656.zip\Cisco Secure Client\AnyConnect VPN\ログ
更新履歴
| 改定 | 発行日 | コメント |
|---|---|---|
2.0 |
09-Nov-2026
|
初版リリース |
1.0 |
08-Jul-2025
|
初版 |
フィードバック