FMCによって管理されるFTDでのセキュアクライアント証明書認証の設定

ダウンロード オプション

  • PDF     (2.5 MB)
    Adobe Reader を使ってさまざまなデバイスで表示
  • ePub     (2.4 MB)
    iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
  • Mobi (Kindle)     (2.7 MB)
    Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示
Updated: 2026 年 8 月 14 日
Document ID:221839

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブ ランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポート コンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

はじめに

このドキュメントでは、証明書認証を使用してFMCによって管理されるFTDでリモートアクセスVPN(RVPN)を設定する方法について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

  • FMC
  • リモートアクセスVPNの基本認証に関する知識
  • 手動証明書登録およびSecure Sockets Layer(SSL)の基礎知識
  • Entrust、Geotrust、GoDaddy、Thawte、VeriSignなどのサードパーティ認証局(CA)

使用するコンポーネント

本書の情報は、次のソフトウェアのバージョンに基づくものです。

  • FMCバージョン7.4.1
  • Secure Clientバージョン5.0.05040
  • Secure Firepower Threat Defenseバージョン7.4.1
  • CAサーバとしてのMicrosoft Windows Server 2019

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

設定

ネットワーク図

Network Diagramネットワーク図

コンフィギュレーション

 サーバ認証に使用される証明書の作成/インポート

note-icon

注:FMCでは、CSRを生成する前に認証局(CA)が必要です。CSRが外部ソース（OpenSSLまたはサードパーティ）から生成される場合、手動の方法は失敗し、PKCS12証明書の形式を使用する必要があります。

1. Devices > Certificates の順に移動し、Addをクリックします。Deviceを選択し、Cert Enrollmentの下のプラス記号(+)をクリックします。

Add Cert Enrollment証明書登録の追加

2. CA Informationの下で、登録タイプとしてManualを選択し、CSRの署名に使用したCA証明書を貼り付けます。

Add CA InformationCA情報の追加

3. 前の図に示すように、CA証明書の基本的な制約で「CAフラグのチェックをスキップする」を選択します。

4. Certificate Parametersの下で、サブジェクト名の詳細を入力します。

Add Certificate Parameters証明書パラメータの追加

5. Keyの下で、キーの名前とサイズを持つキータイプとしてRSAを選択します。 [Save] をクリックします。

note-icon

注:RSAキータイプの場合、最小キーサイズは2048ビットです。

Add RSA keyRSAキーの追加

6. Cert Enrollmentで、作成したばかりのドロップダウンメニューからトラストポイントを選択し、Addをクリックします。

Add New Certificate新しい証明書の追加

7. IDをクリックし、YesをクリックしてCSRを生成します。

Generate CSRCSR の生成

8. CSRをコピーし、CAによって署名されていることを確認します。CAからID証明書が発行されたら、Browse Identity Certificateをクリックしてインポートし、Importをクリックします。

Import ID CertificateID証明書のインポート

note-icon

注:ID証明書の発行に時間がかかる場合は、ステップ7.を繰り返します。これにより、同じCSRが生成され、ID証明書をインポートできます。

信頼済み/内部CA証明書の追加

1. Devices > Certificatesの順に移動し、Addをクリックします。

2. Deviceを選択し、Cert Enrollmentの下のプラス記号(+)をクリックします。

3. この例では、auth-risagar-caを使用して、アイデンティティ証明書およびユーザ証明書が発行されます。

auth-risaggar-caauth-risagar-ca（認可された認可を含む）

4. トラストポイント名を入力し、CA informationの下の登録タイプとしてManualを選択します。

5. CA Onlyにチェックマークを入れて、信頼できる/内部のCA証明書をpem形式で貼り付けます。

6. Skip Check for CA flag in basic constraints of the CA Certificateにチェックマークを入れて、Saveをクリックします。

Add Trustpointトラストポイントの追加

7. Cert Enrollmentの下で、直前に作成したドロップダウンメニューからトラストポイントを選択し、Addをクリックします。

Add Internal CA内部CAの追加

8. 前の手順で追加した証明書は、次のように表示されます。

Added Certificate追加された証明書

VPNユーザ用のアドレスプールの設定

1. Objects > Object Management > Address Pools > IPv4 Poolsの順に移動します。

2. 名前とIPv4アドレス範囲をマスクで入力します。

Add IPv4 PoolIPv4プールの追加

セキュアクライアントイメージのアップロード

1. Ciscoソフトウェアサイトから、OSごとにWeb Deployセキュアクライアントイメージをダウンロードします。

2. Objects > Object Management > VPN > Secure Client File > Add Secure Client Fileの順に移動します。

3. 名前を入力し、ディスクからセキュアクライアントファイルを選択します。

4. ファイルタイプとしてSecure Client Imageを選択し、Saveをクリックします。

Add Secure Client Imageセキュアクライアントイメージの追加

XMLプロファイルの作成とアップロード

1.シスコソフトウェアサイトからセキュアクライアントプロファイルエディタをダウンロードしてインストールします。

2. 新しいプロファイルを作成し、Client Certificate SelectionドロップダウンメニューからAllを選択します。これは主に、どの証明書を保存し、どの証明書をセキュアクライアントが使用できるかを、保存されている内容に基づいて制御し、証明書を読み取ります。

その他に、次の2つのオプションがあります。

  • マシン：セキュアクライアントは、Windowsのローカルマシンの証明書ストアでの証明書ルックアップに制限されています。
  • User:Secure Clientは、ローカルWindowsユーザ証明書ストアでの証明書ルックアップに制限されています。

証明書ストアのオーバーライドをTrueに設定します。

これにより、管理者はSecure Clientに対して、クライアント証明書認証にWindowsマシン（ローカルシステム）証明書ストア内の証明書を使用するように指示できます。証明書ストアの上書きは、UIプロセスの既定では、接続が開始されるSSLにのみ適用されます。IPSec/IKEv2を使用する場合、セキュアクライアントプロファイルのこの機能は適用されません。

Add Preferences - Part 1プリファレンスの追加(Part1)

3. （オプション）認証証明書の選択を求めるプロンプトを回避するため、Disable Automatic Certificate Selectionのチェックマークを外します。

Add Preferences - Part 2プリファレンスの追加(Part2)

4. サーバリストの下にグループエイリアスとグループURLを指定して、セキュアクライアントVPNでプロファイルをセットアップするためのサーバリストエントリを作成し、XMLプロファイルを保存します。

Add Server Listサーバーリストの追加

5. XMLプロファイルを使用する準備ができました。

XML ProfileXMLプロファイル

さまざまなオペレーティングシステムのXMLプロファイルの場所：

  • Linux:/opt/cisco/anyconnect/profile
  • MacOS:/opt/cisco/anyconnect/profile
  • Windows:C:\ProgramData\Cisco\Ciscoセキュアクライアント\VPN\プロファイル

6. Objects > Object Management > VPN > Secure Client File > Add Secure Client Profileの順に移動します。

7. ファイルの名前を入力し、BrowseをクリックしてXMLプロファイルを選択します。[Save] をクリックします。

Add Secure Client VPN ProfileセキュアクライアントVPNプロファイルの追加

リモートアクセスVPNの設定

1. 内部リソースへのアクセスを許可するACLを作成します。

2. Objects > Object Management > Access List > Standardの順に移動し、Add Standard Access Listをクリックします。

Add Standard ACL標準ACLの追加

note-icon

注：このACLは、セキュアクライアントが内部リソースにセキュアルートを追加するために使用します。

3. Devices > VPN > Remote Accessの順に移動し、Addをクリックします。

4. プロファイルの名前を入力し、FTDデバイスを選択してNextをクリックします。

Add Profile Nameプロファイル名の追加

5. 接続プロファイル名を入力し、認証、認可、アカウンティング(AAA)で認証方式としてClient Certificate Onlyを選択します。

Select Authentication Method認証方法の選択

6. Client Address Assignmentの下にあるUse IP Address Poolsをクリックし、前に作成したIPv4アドレスプールを選択します。

Select Client Address Assignmentクライアントアドレス割り当ての選択

7. グループポリシーを編集します。

Edit Group Policyグループポリシーの編集

8. General > Split Tunnelingに移動し、Tunnel networks specified below、Split Tunnel Network List Typeの下のStandard Access Listの順に選択します。

9. 以前作成したACLを選択します。

Add Split Tunnelingスプリットトンネリングの追加

10. Secure Client > Profileに移動し、Client Profileを選択して、Saveをクリックします。

Add Secure Client Profileセキュアクライアントプロファイルの追加

11. Nextをクリックし、Secure Client Imageを選択してからNextをクリックします。

Add Secure Client Imageセキュアクライアントイメージの追加

12. VPN AccessのNetwork Interfaceを選択し、Device Certificatesを選択して、sysopt permit-vpnにチェックマークを入れて、Nextをクリックします。

Add Access Control for VPN TrafficVPNトラフィックのアクセスコントロールの追加

13. すべての設定を確認し、Finishをクリックします。

Remote Access VPN Policy ConfigurationリモートアクセスVPNポリシーの設定

14. リモートアクセスVPNの初期設定が完了したら、作成した接続プロファイルを編集し、Aliasesに移動します。

15. プラスアイコン(+)をクリックして、グループエイリアスを設定します。

Edit Group Aliasグループエイリアスの編集

16. プラス(+)アイコンをクリックして、group-urlを設定します。 クライアントプロファイルで以前設定したのと同じグループURLを使用します。

Edit Group URLグループURLの編集

ステップ 17：Access Interfacesの順に移動します。SSL settingsで、Interface Trustpoint とSSL Global Identity Certificate を選択します。

Edit Access Interfacesアクセスインターフェイスの編集

18. Saveをクリックして、変更をデプロイします。

確認

ここでは、設定が正常に動作していることを確認します。

1. セキュリティで保護されたクライアントPCには、有効な日付、サブジェクト、および拡張キー使用法(EKU)を含む証明書がユーザーのPCにインストールされている必要があります。この証明書は、前述のように、証明書がFTDにインストールされているCAによって発行される必要があります。次の例では、IDまたはユーザ証明書がauth-risagar-caによって発行されています。

Certificate Highlights証明書の概要

note-icon

注：クライアント証明書には、クライアント認証EKUが含まれている必要があります。

2. セキュアクライアントは接続を確立する必要があります。

Successful Secure Client Connectionセキュアクライアント接続の成功

3.show vpn-sessiondb anyconnectコマンドを実行して、使用されているトンネルグループの下でアクティブユーザの接続詳細を確認します。

firepower# show vpn-sessiondb anyconnect

Session Type: AnyConnect

Username     : dolljain.cisco.com     Index        : 8
Assigned IP  : 10.20.20.1             Public IP    : 72.163.X.X
Protocol     : AnyConnect-Parent SSL-Tunnel
License      : AnyConnect Premium
Encryption   : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)AES-GCM-128
Hashing      : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)SHA256
Bytes Tx     : 14402                  Bytes Rx     : 9652
Group Policy : DfltGrpPolicy          Tunnel Group : RAVPN-CertAuth
Login Time   : 08:32:22 UTC Mon Mar 18 2024
Duration     : 0h:03m:59s
Inactivity   : 0h:00m:00s
VLAN Mapping : N/A                    VLAN         : none
Audt Sess ID : 0ac5de050000800065f7fc16
Security Grp : none                   Tunnel Zone  : 0

トラブルシュート

このセクションでは、設定のトラブルシューティングを行うための情報について説明します。

1. デバッグは、FTDの診断CLIから実行できます。

debug crypto ca 14
debug webvpn anyconnect 255
debug crypto ike-common 255

2. 詳細については、『Cisco Secure Client VPNの一般的な問題のトラブルシューティング』ガイドを参照してください。

更新履歴

改定 発行日 コメント
4.0
14-Aug-2026
タイトル、概要、スペル、文法、挿入された水平線を読みやすくするためにセクションを区切って更新。
3.0
26-Mar-2025
ID証明書のイメージの更新
2.0
24-Jun-2024
設定手順を明確にするために更新。
1.0
01-Apr-2024
初版
TAC Authored

シスコ エンジニア提供

  • ドリー・ジャイン
    Cisco TACエンジニア
  • リシャフ・アガルワル
    Cisco TACエンジニア

このドキュメントは役に立ちましたか?

Feedbackフィードバック

シスコに問い合わせ

このドキュメントは次の製品に対応しています