NATを使用したプライベートアクセスのための、セキュアなFTDおよびASAを使用したセキュアアクセスの設定
はじめに
このドキュメントでは、ネットワークアドレス変換(NAT)を使用してセキュアアクセスネットワークトンネルグループを設定する方法について説明します。
前提条件
要件
次の項目に関する知識があることが推奨されます。
- Ciscoファイアウォール管理センター
- Cisco Secure Firewall脅威対策
- シスコセキュアアクセス
- Cisco Adaptive Security Appliance
- ネットワークアドレス変換
- ポリシーベースルーティング
- ファイアウォールでのパケットキャプチャ
使用するコンポーネント
このドキュメントの情報は、次のハードウェアに基づくものです。
- Ciscoファイアウォール管理センター7.10
- Cisco Secure Firewall Threat Defense 7.10
- シスコセキュアアクセス
- Cisco適応型セキュリティアプライアンス9.22
- Cisco ルータ
このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。
バックグラウンド情報
Cisco Secure Accessは、Secure Internet Access(SIA)やSecure Private Access(SPA)など、クラウドネイティブのセキュアサービスエッジ機能を提供します。 データセンターを経由するすべてのトラフィックをバックホールすることなく、リモートユーザへのプライベートアプリケーションアクセスを拡張する組織では、Secure AccessはIPsecネットワークトンネルグループ(NTG)を使用して、Cisco Firewall Threat Defense(FTD)、Adaptive Security Appliance(ASA)、Cisco Secure Access Cloud Points-of-Presence(PoP)などのオンプレミスネットワークデバイス間に暗号化トンネルを作成します。
このドキュメントでは、Cisco FTD(FTD)、ASA、およびCisco Secure Accessの間でIKEv2を使用してルートベースのIPSecトンネルを確立し、セキュアアクセス上でネットワークアドレス変換(NAT)を有効にし、FTDおよびASA上でポリシーベースルーティング(PBR)を有効にして、プライベートアクセスバウンドのトラフィックだけをトンネルに誘導する方法について説明します。
ネットワーク図
Network Topology
設定
セキュアアクセスおよびセキュアファイアウォールスレッド防御：PBRを使用したダイナミック(BGP)ルートベースVPN
セキュアアクセスでのネットワークトンネルグループの設定
1.セキュアアクセスダッシュボードへのログインセキュアアクセス
2. Connect > Network Connections > Network Tunnel Groupsの順に移動し、+Addをクリックしてネットワークトンネルグループを設定します
セキュアアクセス – ネットワークトンネルグループ
3.ネットワークトンネルグループの構成 – 一般設定
- トンネルグループの名前、リージョン、およびデバイスタイプの設定
- [Next] をクリックします。
セキュアアクセス – ネットワークトンネルグループの一般設定
4.トンネルIDとパスフレーズを設定します。
- トンネルIDとパスフレーズを設定します。
- Nextをクリックします。
セキュアアクセス – ネットワークトンネルグループIDおよびパスフレーズ
5.ルーティングの設定
- デバイスAS番号の設定
- [Save] をクリックします。
セキュアアクセス – ネットワークトンネルグループルーティング
6. ネットワークトンネルグループ設定の保存
セキュアアクセス – ネットワークトンネルグループ
PBRを使用したSecure Firewall Threat Defense(FTD)でのダイナミックルートベースIPsec VPNの設定
1. ファイアウォール管理センター(FMC)へのログイン
2.仮想トンネルインターフェイスVTIの設定
- Devices > Device Managementに移動します
セキュアファイアウォール管理 – ダッシュボード
- デバイスの横にある鉛筆アイコンをクリックし、インターフェイスセクションに移動します。
- Add interfacesをクリックして、Virtual Tunnel Interfaceを選択します。
セキュアファイアウォール管理：FTD VTIの設定
- VTIの設定
セキュアファイアウォール管理：FTD VTIの設定
- セキュアアクセスを使用したセカンダリIPsec VPNに対してもVTI-2を設定します。
セキュアファイアウォール管理：FTD VTIの設定
3. Secure Connections > Site-to-Site VPN & SD-WANの順に移動し、AddをクリックしてVPNを設定します
セキュアファイアウォール管理 – FTD VPN設定
- VPNトポロジの作成
セキュアファイアウォール管理 – FTD VPN設定
- 「セキュアアクセスでのネットワークトンネルグループの設定」のステップ6で、プライマリおよびセカンダリデータセンターのトンネルIDとIPアドレスを取得します。
- エンドポイントをクリック
- ノードAでDeviceをクリックし、FTDデバイスを選択します
- Virtual Tunnel Interfaceをクリックし、前の手順で作成した最初のVTIインターフェイスを選択します
- Send Local Identity to Peersオプションをクリックして、Email IDを選択し、プライマリトンネルIDを入力します（Secure AccessのConfigure Network Tunnel Groupの下の「Save Network Tunnel Group Configuration」のセクションを参照）。
- ノードBでDeviceをクリックし、Extranetを選択します
- Device Nameをクリックして、名前を付けます
- Endpoint IP Addressesをクリックし、Secure AccessのプライマリIPアドレスとセカンダリIPアドレスをカンマで区切って入力します（Secure AccessのConfigure Network Tunnel Groupの下のSave Network Tunnel Group Configurationから）
- Add Backup VTIをクリックします。
- Virtual Tunnel Interfaceをクリックし、前の手順で作成した2番目のVTIインターフェイスを選択します
- Send Local Identity to Peersオプションをクリックして、Email IDを選択し、セカンダリトンネルIDを入力します（「Configure Network Tunnel Group on Secure Access」の「Save Network Tunnel Group Configuration」の下）
- [Save] をクリックします。
セキュアFTD:VPNエンドポイントの設定
セキュアFTD:VPNエンドポイントの設定
- サポートされているIPsecパラメータに従ったIKEv2設定
- ポリシーとしてUmbrella-AES-GCM-256を選択します。
- 認証タイプとしてPre-Shared Manual Keyを選択します。
セキュアFTD:VPN IKEの設定
- IPSecの設定
- IKEv2 IPsec Proposals as Umbrella-AES-GCM-256を選択します
- select Modulus GroupとしてPFSを20に有効化
セキュアFTD:VPN IPsecの設定
- 高度な設定
- [Save] をクリックします。
セキュアFTD:VPNの詳細設定
FTDポリシーベースルーティング
従来のルーティングでは、パケットは宛先IPアドレスに基づいてルーティングされます。宛先ベースのルーティングシステムで特定のトラフィックのルーティングを変更することは困難です。ポリシーベースルーティング(PBR)は、ルーティングプロトコルによって提供されるメカニズムを拡張および補完し、ルーティングをより詳細に制御できるようにします。
PBRでは、IP優先順位を設定できます。また、高コストリンク上のプライオリティトラフィックなど、特定のトラフィックのパスを指定することもできます。PBRを使用すると、送信元ポート、宛先アドレス、宛先ポート、プロトコル、アプリケーション、またはこれらのオブジェクトの組み合わせなど、宛先ネットワーク以外の基準に基づいてルーティングを定義できます。詳細については、『ポリシーベースルーティング(PBR)』を参照してください。
1. アクセスリストの設定
- Objects > Access List > Extendedの順に移動します。
- Add Extended Access Listをクリックします。
セキュアFTD：拡張アクセスリスト
- アクセスリスト名の指定
- アクションの定義
- allow です。 – 定義されたトラフィックはIPSecトンネルに送信されます
- ブロック：トラフィックはIPSecトンネルからバイパスされる
- ルールはシーケンス番号に基づいて照合される（下位から上位）
- Addをクリックします。
- [Save] をクリックします。
セキュアFTD：拡張アクセスリスト
セキュアFTD：拡張アクセスリスト
2. ポリシーベースルーティングの設定
- Devices > Device Management > FTD > Routingの順に移動します。
セキュアなFTD：ポリシーベースルーティング
- Addをクリックします。
- Ingress Interfaceの選択：アクセスリストで定義したサブネットの入力インターフェイス
セキュアなFTD：ポリシーベースルーティング
- 一致基準と出力インターフェイスの定義
- Addをクリックします。
- Match ACLを選択します。
- IPアドレスとしてSend toを選択します。
- ネクストホップIPアドレスを追加します。- VTIインターフェイスのIPアドレスはです。169.254.2.130および169.254.2.5/30.したがって、VTI-1とVTI-2のネクストホップIPアドレスは169.254.2.2であり、それぞれ169.254.2.6
- [Save] をクリックします。
セキュアなFTD：ポリシーベースルーティング
セキュアなFTD：ポリシーベースルーティング
FTDでのBGPの設定
1. BGPの有効化
- Devices > Device Management > FTD > Routing > General Settings > BGPの順に移動します。
- BGPを有効にし、AS番号（FTDローカルAS番号）を追加します。
- [Save] をクリックします。
セキュアFTD:BGPルーティング
- BGP > IPv4の順に移動します。
2. BGP ネイバーを追加します。セキュアアクセスBGPピアは169.254.0.5およびです。169.254.0.9
セキュアFTD:BGPルーティング
セキュアFTD:BGPルーティング
3. ネットワークを追加する – アクセスを保護するためにアドバタイズする必要があるネットワーク
- [OK] をクリックします。
セキュアFTD:BGPルーティング
- 変更を保存して展開する
トンネルステータスの確認
セキュアアクセス
セキュアFTD:IPsecトンネルステータス
FMC上
セキュアFMC:IPSecトンネルステータス
PBRを使用した適応型セキュリティアプライアンス(ASA)でのスタティックルートベースIPsec VPNの設定
セキュアアクセスでのVPN設定
1.セキュアアクセスダッシュボードへのログインセキュアアクセス
2. Connect > Network Connections > Network Tunnel Groupsの順に移動し、+Addをクリックしてネットワークトンネルグループを設定します
セキュアアクセス – ネットワークトンネルグループ
3.ネットワークトンネルグループの構成 – 一般設定
- トンネルグループの名前、リージョン、およびデバイスタイプの設定
- [Next] をクリックします。
セキュアアクセス – ネットワークトンネルグループの一般設定
4.トンネルIDとパスフレーズを設定します。
- トンネルIDとパスフレーズを設定します。
- Nextをクリックします。
セキュアアクセス – ネットワークトンネルグループ
5. ネットワークアドレス変換(NAT)の有効化
セキュアアクセス – ネットワークトンネルグループのNAT設定
6. 宛先NATマッピングの追加
フロー1：ルータ1からルータ2（アクセスを保護するサイト）
フロー2 – ルータ2からルータ1（サイトへのセキュアなアクセス）
セキュアアクセス – ネットワークトンネルグループのNAT設定
注意:NATが有効な場合、BGPは使用できません（BGPが有効な場合）。また、カスタマーエッジデバイスでもスタティックVPNを設定します
ヒント：常に、変換されたIP（宛先IP）に対してpingを実行することを忘れないでください。
変換後のIPは変換後のCIDRに配置され、実際のIPは元のCIDRに配置されます。
セキュアアクセス – ネットワークトンネルグループのNAT設定
クリック 保存します。
ヒント:「サイトA」から「サイトB」に送信されるトラフィックの場合、CNHE-1の観点から見た方向は「サイト – >セキュアアクセス」です。
「サイトB」から「サイトA」に送信されるトラフィックの場合、CNHE-1の観点から見ると、方向は「SecureAccess -> Site」です。
ASAでのVPNの設定
1. ASA CLIにログインし、イネーブルモードに入り、インターネットへの基本的なIP接続を確認します
ASA# sh ip
システムIPアドレス：
インターフェイス名IPアドレスサブネットマスク方式
GigabitEthernet0/0 outside 192.168.1.40 255.255.255.0マニュアル
10.10.10.1 255.255.255.0マニュアル内のGigabitEthernet0/1
現在のIPアドレス：
インターフェイス名IPアドレスサブネットマスク方式
GigabitEthernet0/0 outside 192.168.1.40 255.255.255.0マニュアル
10.10.10.1 255.255.255.0マニュアル内のGigabitEthernet0/1
ASA# ping 8.8.8.8
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 8.8.8.8, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 20/28/30 ms
ASA番号
2. IKEv2ポリシーを設定し、外部インターフェイスでIKEv2を有効にします
クリプトikev2ポリシー10
暗号化aes-gcm-256
整合性 NULL
group 19
ライフタイム秒数86400
crypto ikev2 enable outside
3. IPSecプロポーザルの設定
crypto ipsec ikev2 ipsec-proposal Ipsec-Proposal-primary
protocol esp encryption aes-gcm-256
4. IPsecプロファイルの設定
crypto ipsec profile csa-profile-primary（暗号化IPSecプロファイルのCSAプロファイルのプライマリ）
set ikev2 ipsec-proposal Ipsec-Proposal-primary
set ikev2 local-identity email-id <primary tunnel-id>
5. グループポリシーを設定し、attributeでIKEv2プロトコルを有効にします。
group-policy csa-policy-primary internalコマンド
group-policy csa-policy-primary属性
vpn-tunnel-protocol ikev2
6. トンネルグループを設定します。
tunnel-group 44.228.138.150 type ipsec-l2l
tunnel-group 44.228.138.150一般属性
デフォルト：グループポリシーcsa-policy-primary
tunnel-group 44.228.138.150 ipsec属性
ikev2 remote-authentication pre-shared-key <事前共有キー>
ikev2 local-authentication pre-shared-key <事前共有キー>
7. 仮想トンネルインターフェイス(VTI)の設定
- Nameifは任意の場合に使用できます
- VTIに割り当てられたIPアドレスがASAの他のインターフェイスと重複しないようにしてください
- Tunnel sourcemustbe：ファイアウォールのOutsideインターフェイス。
- トンネルの宛先は、データセンターのIPアドレスである必要があります
interface Tunnel1
nameif VTI-1
ip address 169.254.2.1 255.255.255.252
トンネル送信元インターフェイス外部
トンネルの宛先44.228.138.150
トンネルモードipsec ipv4
トンネル保護ipsecプロファイルcsa-profile-primary
8. マッピングされたIPアドレスまたはサブネットへのトラフィックがVTIインターフェイス内でルーティングされるようにルーティングを設定します。ネクストホップは、VTIの範囲内のIPを使用する必要があります。
route VTI-1 0.0.0.0 0.0.0.0 169.254.2.2 5.(インターネットベースの場合、RAVPNプールまたはCGNATトラフィック
または
ルートVTI-1 172.16.10.101 255.255.255.255 169.254.2.2 5
ポリシーベースルーティング
1. アクセスリスト
access-list PBR extended permit ip 10.10.10.0 255.255.255.0 any
2. ルートマップ
route-map RM-CSA permit 10
IPアドレスPBRの照合
set ip next-hop 169.254.2.2 169.254.2.6
3. 入力インターフェイスでルートマップを適用します。
interface GigabitEthernet0/1
nameif内部
セキュリティレベル100
ip address 10.10.10.1 255.255.255.0
policy-route route-map RM-CSA（使用可能な場合）
確認
ルータインターフェイスおよびGW到達可能性ステータス
テスト1- Router2 —> Router1。-ping テスト
ASAでのパケットキャプチャ（ローカルFW）
FTD（リモートFW）でのパケットキャプチャ
テスト2. – ルータ2 —>ルータ1 pingテスト
FTDパケットキャプチャ（ローカルFW）
ASAパケットキャプチャ（リモートFW）
更新履歴
| 改定 | 発行日 | コメント |
|---|---|---|
1.0 |
29-Jul-2026
|
初版 |
フィードバック