iOS(iPad)でCisco Secure Clientを使用し、Microsoft Entra IDによるSAML認証を使用してCisco Secure AccessとのリモートアクセスVPNを確立する場合、ファイアウォールとWebログが正しく生成されていても、VPN接続が成功した後にDNSログがSecure Accessに表示されません。また、VPN接続を確立した後、セキュアアクセスダッシュボードのRoaming Devices > Mobile Devicesの下にiPadが表示されません。
確認された具体的な症状は次のとおりです。
リモートアクセスログに、セキュアアクセスで成功した「接続」イベントが表示される
ファイアウォールおよびWebログが生成され、SAML認証されたユーザIDが表示されます
DNSログがセキュアアクセスロギングから完全に欠落している
iPadデバイス情報は、セキュアアクセスローミングデバイスセクションには入力されません
すべてのトラフィックフローがVPNトンネルを通過する(スプリットトンネリングは設定されない)
iOS 26.2を実行しているiPad
Cisco Secure Client
アイデンティティプロバイダー: Microsoft Entra ID
セキュリティコネクタ:インストールされていません
SSO認証が設定されたCisco Secure Access
SAML認証の実装
DNSモードがデフォルトに設定されたVPNプロファイル
スプリットトンネリングが設定されていない(すべてのトラフィックがVPN経由でルーティングされる)
プロファイル配信に使用されるMobile Device Management(MDM)
文書化された設定では、確認された動作が予想されます。iOS上のCisco Secure ClientはVPNクライアント(AnyConnectと同等)として機能し、デフォルトではRSMと同等の機能を含みません。セキュリティコネクタは、iOS上のRSMと同等のコンポーネントで、エンドポイントIDの入力と包括スタイルのDNS制御に必要です。
DNSログおよびデバイス登録が存在しないのは、次の理由によります。
Cisco Secure Clientは単独でVPN接続を提供しますが、DNSの可視性に必要なエンドポイントエージェント機能がありません
セキュリティコネクタ(WindowsのRSMに相当)は、セキュアアクセスでのDNS制御およびデバイス登録に必要です
Security Connectorを使用しない場合、DNSクエリはVPNで取得されたDNSサーバで処理され、Umbrella/Secure Accessは表示されません
セキュリティコネクタをインストールせずにDNSロギングを有効にするには、DNSクエリをUmbrella DNSサーバに送信するようにトラフィックステアリングを設定します。
ステップ1:セキュアアクセスでトラフィックステアリングを設定します。
Traffic Steering > Add > Add a sourceの順に移動し、送信元としてDNSサーバのIPを指定します。
ステップ2:DNSトラフィックをUmbrellaサーバに送信する
Umbrella DNSサーバ(208.67.222.222および208.67.220.220)を使用してDNSクエリがセキュアアクセスに表示されるようにVPNプロファイルを設定します。
手順3: DNSログを検証する
トラフィックステアリングの設定を実装すると、VPNセッションのDNSログがセキュアアクセスダッシュボードに表示されるようになります。
VPNプロファイルの「DNS Mode」設定は、この設定にDNSログが存在しないことに関係しません。RAVPN(リモートアクセスVPN)セッションでは、この設定に関係なく、VPNで取得されたDNSサーバが使用されます。ロギングの可視性は、DNSトラフィックが監視対象のDNSインフラストラクチャに送信されるかどうかによって異なります。
Security ConnectorをiOSにインストールすると、次のことが可能になります。
Secure AccessでのDNSロギングの可視性
強化されたエンドポイントIDおよびデバイス登録機能
包括的なDNS制御と保護
セキュリティコネクタはSecure Clientと組み合わせて使用できますが、2つのコンポーネント間の競合を防ぐには、トラフィックの除外と設計に関する適切な考慮事項が必要です。
根本的な原因はアーキテクチャにあります。iOS上のCisco Secure ClientはVPN接続を提供しますが、Secure AccessでのDNSの可視性とデバイス登録に必要なエンドポイントエージェント機能は含まれていません。この機能を使用するには、セキュリティコネクタをインストールするか、トラフィックステアリングを設定して、監視対象のインフラストラクチャを通じてDNSクエリを送信する必要があります。これらのコンポーネントがない場合、DNSクエリはセキュアアクセスモニタリングをバイパスし、デバイスID情報はローミングデバイスセクションに取り込まれません。
| 改定 | 発行日 | コメント |
|---|---|---|
1.0 |
14-Jun-2026
|
初版 |