このドキュメントでは、セキュアファイアウォール脅威対策の特定の位置情報に基づいて、リモートアクセスVPN接続を許可/拒否するプロセスについて説明します。
次の項目に関する知識があることが推奨されます。
位置情報ベースポリシーの現在の要件と制限事項は次のとおりです。
Secure Firewall Device Manager(FDM)で管理されるFTDではサポートされません。
位置情報ベースの未分類のIPアドレスは、地理的な発信元によって分類されません。これらについては、FMCがデフォルトのサービスアクセスポリシーアクションを適用します。
位置情報ベースのサービスアクセスポリシーはWebLaunchページには適用されないため、制限なくセキュアクライアントをダウンロードできます。
このドキュメントの情報は、次のソフトウェアのバージョンに基づいています。
この機能の詳細については、『Cisco Secure Firewall Management Center 7.7デバイスコンフィギュレーションガイド』の「位置情報に基づいたリモートユーザのVPNアクセスの管理」セクションを参照してください。
このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな(デフォルト)設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。
位置情報ベースのアクセスポリシーは、今日のネットワークセキュリティに大きな価値をもたらし、トラフィックを地理的な発信元に基づいてブロックできます。従来、組織は、ファイアウォールを通過する一般的なネットワークトラフィックに対してトラフィックアクセスポリシーを定義できます。この機能の導入により、リモートアクセスVPNセッション要求に位置情報ベースのアクセス制御を適用できるようになりました。
この機能には、次のような利点があります。
VPNサーバがインターネット経由でアクセス可能なパブリックIPアドレスを持つことを前提として、位置情報ベースのルールを導入することで、組織は特定の位置情報からのユーザ要求を効果的に制限し、総当たり攻撃に対する脆弱性を軽減できます。

1. セキュアファイアウォール管理センターにログインします。
2. Objects > Object Management > Access List > Service Accessの順に移動し、Add Service Access Objectをクリックします。

3. ルール名を定義し、Add Ruleをクリックします。

4. サービスアクセスルールを設定します。

5. 「デフォルト処理」: 「すべての国を許可」または「すべての国を拒否」を選択します。このアクションは、設定されているどのサービスアクセスルールにも一致しない接続に適用されます。

6. Saveをクリックします。
1. Devices > Remote Access > RAVPN Configuration Object > Access Interfaceの順に選択し、RAVPNの設定に移動します。
2. 「Service Access Control」セクションで、前に作成したService Access Objectを選択します。

3. 選択したサービス・アクセス・オブジェクトに、ルールの要約とデフォルトのアクションが表示されます。これが正しいことを確認します。
4. 最後に、変更を保存し、設定を展開します。
1. 構成を保存すると、Service Access Controlセクションにルールが表示され、ブロックまたは許可されているグループと国を確認できます。

2. show running-config service-accessコマンドを実行して、FTD CLIからサービスアクセスルールを使用できることを確認します。
firepower# show running-config service-access
service-access deny ra-ssl-client geolocation FMC_GEOLOCATION_146028889448_536980902
service-access permit ra-ssl-client geolocation any
firepower# show running-config object-group idFMC_GEOLOCATION_146028889448_536980902
object-group geolocation FMC_GEOLOCATION_146028889448_536980902
location "Country X"
location "Country Y"
セキュアファイアウォールは、位置情報ベースのポリシーによってブロックされたRAVPN接続に関連するイベントをキャプチャするために、新しいsyslog IDを導入します。
%FTD-6-751031:geoベースのルール(geo=<country_name>, id=<country_code>)により、faddr <client_ip> laddr <device_ip>に対するIKEv2リモートアクセスセッションが拒否されました
%FTD-6-716166:地域ベースのルール(geo=<country_name>, id=<country_code>)によりfaddr <client_ip>のSSLリモートアクセスセッションが拒否されました
ブロックされた接続を検証するには、Devices > Troubleshoot > Troubleshooting Logsの順に選択します。接続に影響を与えるルールやセッションのタイプなどの情報を含む、ブロックされた接続に関連するログが表示されます。

許可されたセッションは、Overview > Remote Access VPN dashboardで監視されます。ここでは、発生国を含むセッション情報が表示されます。

トラブルシューティングの目的で、次の手順を確認します。
| 改定 | 発行日 | コメント |
|---|---|---|
2.0 |
09-Jun-2026
|
スペル、文法、記事のタイトル、概要、スペース、文法、CCWごとのHTMLの更新されたURL、および文の構造が更新されました。 |
1.0 |
07-Mar-2025
|
初版 |