ステップ 1

販売部門の仮想ルータに割り当てられるデバイスの内部インターフェイス（Gi0/1）を設定します。

1. [Devices] > [Device Management] > [Interfaces] の順に選択します。

2. Gi0/1 インターフェイスを編集します。

   • [Name]：この例では、VR-Sales です。

   • [Enabled] チェックボックスをオンにします。

   • [IPv4] で、[IP Type] として [Use Static IP] を選択します。

   • [IP Address]：「10.30.0.1/24」と入力します。

3. [OK] をクリックします。

4. [保存（Save） をクリックします。

ステップ 2

保管倉庫部門の仮想ルータに割り当てられるデバイスの内部インターフェイス（Gi0/2）を設定します。

1. [Devices] > [Device Management] > [Interfaces] の順に選択します。

2. Gi0/2 インターフェイスを編集します。

   • [Name]：この例では、VR-Warehouse です。

   • [Enabled] チェックボックスをオンにします。

   • [IPv4] で、[IP Type] として [Use Static IP] を選択します。

   • [IP Address]：空白のままにします。ユーザー定義の仮想ルータをまだ作成していないため、システムは、同じ IP アドレス（10.30.0.1/24）を使用してインターフェイスを設定することをユーザーに許可しません。

3. [OK] をクリックします。

4. [保存（Save） をクリックします。

ステップ 3

販売部門および保管倉庫部門の仮想ルータを作成し、それぞれのインターフェイスを割り当てます。

1. [デバイス（Devices）] > [デバイス管理（Device Management）] を選択し、Threat Defense デバイスを編集します。

2. [ルーティング（Routing）] > [仮想ルータの管理（Manage Virtual Routers）] の順に選択します。

3. [Add Virtual Router] をクリックして、販売部門の仮想ルータを作成します。

4. [Add Virtual Router] をクリックして、保管倉庫部門の仮想ルータを作成します。

5. 仮想ルータのドロップダウンから [Sales] を選択し、[Virtual Router Properties] で、[Selected Interface] として [VR-Sales] を追加して保存します。

6. 仮想ルータのドロップダウンから [Warehouse] を選択し、[Virtual Router Properties] で、[Selected Interface] として [VR-Warehouse] を追加して保存します。

ステップ 4

VR-Warehouse インターフェイスの設定を再確認します。

1. [Devices] > [Device Management] > [Interfaces] の順に選択します。

2. [VR-Warehouse] インターフェイスに対する [Edit] をクリックします。[IP Address] に「10.30.0.1/24」と入力します。インターフェイスが 2 つの異なる仮想ルータに個別に割り当てられたため、VR-Sales に同じ IP アドレスを設定できるようになりました。

3. [OK] をクリックします。

4. [保存（Save） をクリックします。

ステップ 5

保管倉庫部門のサーバー（10.50.0.0/24）のネットワークオブジェクトと、保管倉庫部門のゲートウェイ（10.40.0.2/30）のネットワークオブジェクトを作成します。

1. [Objects] > [Object Management] の順に選択します。

2. [Add Network] > [Add Object]の順に選択します。

   • [Name]：この例では、Warehouse-Server です。

   • [Network]：[Network] をクリックして「10.50.0.0/24」と入力します。

3. [保存（Save） をクリックします。

4. [Add Network] > [Add Object]の順に選択します。

   • [Name]：この例では、Warehouse-Gateway です。

   • [Network]：[Host] をクリックして「10.40.0.2」と入力します。

5. [保存（Save） をクリックします。

ステップ 6

VR-Warehouse インターフェイスをポイントする、販売部門でのルートリークを定義します。

1. [デバイス（Devices）] > [デバイス管理（Device Management）] を選択し、Threat Defense デバイスを編集します。

2. [ルーティング（Routing）] を選択します。

3. ドロップダウンから販売部門の仮想ルータを選択して、[Static Route] をクリックします。

4. [ルートを追加（Add Route）] をクリックします。[Add Static Route Configuration] で、次の項目を指定します。

   • [Interface]：[VR-Warehouse] を選択します。

   • [Network]： Warehouse-Server オブジェクトを選択します。

   • [Gateway]：空白のままにします。別の仮想ルータにルートをリークする場合には、ゲートウェイを選択しません。

     

5. [OK] をクリックします。

6. [保存（Save） をクリックします。

ステップ 7

保管倉庫部門の仮想ルータで、Warehouse Router 2 ゲートウェイをポイントするルートを定義します。

1. ドロップダウンから保管倉庫部門の仮想ルータを選択して、[Static Route] をクリックします。

2. [ルートを追加（Add Route）] をクリックします。[Add Static Route Configuration] で、次の項目を指定します。

   • [Interface]：[VR-Warehouse] を選択します。

   • [Network]： Warehouse-Server オブジェクトを選択します。

   • [Gateway]：Warehouse-Gateway オブジェクトを選択します。

     

3. [OK] をクリックします。

4. [保存（Save） をクリックします。

ステップ 8

保管倉庫部門のサーバーへのアクセスを許可するアクセスコントロールルールを設定します。アクセスコントロールルールを作成するには、セキュリティゾーンを作成する必要があります。[Object] > [Object Management] > [Interface] を使用します。[Add] > [Security Zone] を選択して、VR-Sales および VR-Warehouse のセキュリティゾーンを作成します。Warehouse-Server のネットワークオブジェクト用に、Warehouse-Server インターフェイスグループを作成します（[Add] > [Interface Group] を選択）。

ステップ 9

[Policies] > [Access Control] を選択してアクセスコントロールルールを設定し、販売部門の仮想ルータの送信元インターフェイスから、宛先 Warehouse-Server ネットワークオブジェクトの保管倉庫部門用仮想ルータに含まれる宛先インターフェイスへのトラフィックを許可します。

たとえば、Sales のインターフェイスが Sales-Zone セキュリティゾーンにあり、Warehouse のインターフェイスが Warehouse-Zone セキュリティゾーンにある場合、アクセスコントロールルールは次のようになります。

ステップ 1

VR1 のデバイスの内部インターフェイスを設定します。

1. [Devices] > [Device Management] > [Interfaces] の順に選択します。

2. VR1 に割り当てるインターフェイスを編集します。

   • [名前（Name）]：この例では、vr1-inside。

   • [Enabled] チェックボックスをオンにします。

   • [IPv4] で、[IP Type] として [Use Static IP] を選択します。

   • [IPアドレス（IP Address）]：192.168.1.1/24 を入力します。

3. [OK] をクリックします。

4. [保存（Save） をクリックします。

ステップ 2

VR2 のデバイスの内部インターフェイスを設定します。

1. [Devices] > [Device Management] > [Interfaces] の順に選択します。

2. VR2 に割り当てるインターフェイスを編集します。

   • [名前（Name）]：この例では、vr2-inside。

   • [Enabled] チェックボックスをオンにします。

   • [IPv4] で、[IP Type] として [Use Static IP] を選択します。

   • [IP Address]：空白のままにします。ユーザー定義の仮想ルータをまだ作成していないため、ユーザーは同じ IP アドレスを使用してインターフェイスを設定できません。

3. [OK] をクリックします。

4. [保存（Save） をクリックします。

ステップ 3

VR1 および外部インターフェイスへの静的デフォルトルートリークを設定します。

1. [デバイス（Devices）] > [デバイス管理（Device Management）] を選択し、Threat Defense デバイスを編集します。

2. [ルーティング（Routing）] > [仮想ルータの管理（Manage Virtual Routers）] の順に選択します。[仮想ルータの追加（Add Virtual Router）] をクリックして、VR1 を作成します。

3. VR1 の場合、[仮想ルータのプロパティ（Virtual Router Properties）] で、vr1-inside を割り当てて保存します。

4. [Static Route] をクリックします。

5. [ルートを追加（Add Route）] をクリックします。[Add Static Route Configuration] で、次の項目を指定します。

   • [インターフェイス（Interface）]：グローバルルータの外部インターフェイスを選択します。

   • [ネットワーク（Network）]：any-ipv4 オブジェクトを選択します。このネットワークは、VR1 内でルーティングできないすべてのトラフィックのデフォルトルートになります。

   • [Gateway]：空白のままにします。別の仮想ルータにルートをリークする場合には、ゲートウェイを指定しません。

     

6. [OK] をクリックします。

7. [保存（Save） をクリックします。

ステップ 4

VR2 および外部インターフェイスへの静的デフォルトルートリークを設定します。

1. [デバイス（Devices）] > [デバイス管理（Device Management）] を選択し、Threat Defense デバイスを編集します。

2. [ルーティング（Routing）] > [仮想ルータの管理（Manage Virtual Routers）] の順に選択します。[仮想ルータの追加（Add Virtual Router）] をクリックして、VR2 を作成します。

3. VR2 の場合、[仮想ルータのプロパティ（Virtual Router Properties）] で、vr2-inside を割り当てて保存します。

4. [Static Route] をクリックします。

5. [ルートを追加（Add Route）] をクリックします。[Add Static Route Configuration] で、次の項目を指定します。

   • [インターフェイス（Interface）]：グローバルルータの外部インターフェイスを選択します。

   • [ネットワーク（Network）]：any-ipv4 オブジェクトを選択します。このネットワークは、VR2 内でルーティングできないすべてのトラフィックのデフォルトルートになります。

   • [Gateway]：空白のままにします。別の仮想ルータにルートをリークする場合は、ゲートウェイを選択しません。

     

6. [OK] をクリックします。

7. [保存（Save） をクリックします。

ステップ 5

グローバルルータの外部インターフェイスで IPv4 スタティック デフォルトルート、つまり 172.16.1.2 を設定します。

1. [デバイス（Devices）] > [デバイス管理（Device Management）] を選択し、Threat Defense デバイスを編集します。

2. [ルーティング（Routing）]を選択し、グローバルルータのプロパティを編集します。

3. [Static Route] をクリックします。

4. [ルートを追加（Add Route）] をクリックします。[Add Static Route Configuration] で、次の項目を指定します。

   • [インターフェイス（Interface）]：グローバルルータの外部インターフェイスを選択します。

   • [ネットワーク（Network）]：any-ipv4 オブジェクトを選択します。これは、任意の IPv4 トラフィックのデフォルトルートになります。

   • [ゲートウェイ（Gateway）]：作成されている場合は、ドロップダウンからホスト名を選択します。オブジェクトがまだ作成されていない場合は、[追加（Add）] をクリックして、外部インターフェイス（この例では 172.16.1.2）のネットワークリンクの反対側にあるゲートウェイの IP アドレスに対してホストオブジェクトを定義します。オブジェクトを作成したら、[ゲートウェイ（Gateway）] フィールドで選択します。

     

5. [OK] をクリックします。

6. [保存（Save） をクリックします。

ステップ 6

vr2-inside インターフェイスの設定を再確認します。

1. [Devices] > [Device Management] > [Interfaces] の順に選択します。

2. vr2-inside インターフェイスに対して [編集（Edit）] をクリックします。IP アドレスを 192.168.1.1/24 として指定します。インターフェイスが 2 つの異なる仮想ルータに個別に割り当てられたため、vr2-inside に同じ IP アドレスを設定できるようになりました。

3. [OK] をクリックします。

4. [保存（Save） をクリックします。

ステップ 7

VR1 の内部から外部へのトラフィックの 10.100.10.1 への PAT を実行する NAT ルールを作成します。

1. [デバイス（Devices）] > [NAT] の順に選択します。

2. [新しいポリシー（New Policy）] > [Threat Defense NAT]をクリックします。

3. NAT ポリシー名として InsideOutsideNATRule を入力し、Threat Defense デバイスを選択します。[保存（Save）] をクリックします。

4. [InsideOutsideNATRule] ページで、[ルールの追加（Add Rule）] をクリックして、以下を定義します。

   • [NATルール（NAT Rule）]：[手動NATルール（Manual NAT Rule）] を選択します。

   • [タイプ（Type）]：[ダイナミック（Dynamic）] を選択します。

   • [挿入（Insert）]：ダイナミック NAT ルールが存在する場合は [前述（Above）] を選択します。

   • [Enabled] をクリックします。

   • [インターフェイスオブジェクト（Interface Objects）] で、vr1-interface オブジェクトを選択し、[ソースに追加（Add to Source）] をクリックします（オブジェクトがない場合は、[オブジェクト（Object）] > [オブジェクト管理（Object Management）] > [インターフェイス（Interface）]でオブジェクトを作成します）。次に、[宛先に追加（Add to Destination）] で [外部（Outside）] を選択します。

   • [変換（Translation）] の [元の送信元（Original Source）] で、[any-ipv4] を選択します。[変換済み送信元（Translated Source）] で、[追加（Add）] をクリックし、10.100.10.1 を指定してホストオブジェクト VR1-PAT-Pool を定義します。次の図に示されているように、VR1-PAT-Pool を選択します。

     

5. [OK] をクリックします。

6. [保存（Save） をクリックします。

ステップ 8

VR2 の内部から外部へのトラフィックの 10.100.10.2 への PAT を実行する NAT ルールを追加します。

1. [デバイス（Devices）] > [NAT] の順に選択します。

2. InsideOutsideNATRule を編集して、VR2 NAT ルールを定義します。

   • [NATルール（NAT Rule）]：[手動NATルール（Manual NAT Rule）] を選択します。

   • [タイプ（Type）]：[ダイナミック（Dynamic）] を選択します。

   • [挿入（Insert）]：ダイナミック NAT ルールが存在する場合は [前述（Above）] を選択します。

   • [Enabled] をクリックします。

   • [インターフェイスオブジェクト（Interface Objects）] で、vr2-interface オブジェクトを選択し、[ソースに追加（Add to Source）] をクリックします（オブジェクトがない場合は、[オブジェクト（Object）] > [オブジェクト管理（Object Management）] > [インターフェイス（Interface）]でオブジェクトを作成します）。次に、[宛先に追加（Add to Destination）] で [外部（Outside）] を選択します。

   • [変換（Translation）] の [元の送信元（Original Source）] で、[any-ipv4] を選択します。[変換済み送信元（Translated Source）] で、[追加（Add）] をクリックし、10.100.10.2 を指定してホストオブジェクト VR2-PAT-Pool を定義します。次の図に示されているように、VR2-PAT-Pool を選択します。

     

3. [OK] をクリックします。

4. [保存（Save） をクリックします。

ステップ 9

vr1-inside および vr2-inside インターフェイスから外部インターフェイスへのトラフィックを許可するアクセス コントロール ポリシーを設定するには、セキュリティゾーンを作成する必要があります。[Object] > [Object Management] > [Interface] を使用します。[追加（Add）] > [セキュリティゾーン（Security Zone）]を選択し、vr1-inside、vr2-inside、および外部インターフェイスのセキュリティゾーンを作成します。

ステップ 10

[ポリシー（Policies）] > [アクセス制御（Access Control）] を選択し、vr1-inside-zone および vr2- inside-zone から outside_zone へのトラフィックを許可するアクセス制御ルールを設定します。

インターフェイスの名前が付けられたゾーンを作成したとすると、すべてのトラフィックがインターネットに流れることを許可する基本ルールは、次のようになります。このアクセス コントロール ポリシーに他のパラメータを適用できます。

ステップ 1

グローバル仮想ルータからユーザー定義の VR1 へのルートリークを設定します。

1. [デバイス（Devices）] > [デバイス管理（Device Management）] を選択し、Threat Defense デバイスを編集します。

2. [ルーティング（Routing）] をクリックします。デフォルトでは、グローバル ルーティング プロパティのページが表示されます。

3. [Static Route] をクリックします。

4. [ルートを追加（Add Route）] をクリックします。[Add Static Route Configuration] で、次の項目を指定します。

   • [インターフェイス（Interface）]：VR1 内部インターフェイスを選択します。

   • [ネットワーク（Network）]：VR1 仮想ルータ ネットワーク オブジェクトを選択します。[オブジェクトの追加（Add Object）] オプションを使用してオブジェクトを作成できます。

   • [Gateway]：空白のままにします。別の仮想ルータにルートをリークする場合には、ゲートウェイを選択しません。

     

   ルートリークにより、VPN プール内の IP アドレスが割り当てられた セキュアクライアントは、VR1 仮想ルータの 192.168.1.0/24 ネットワークにアクセスできるようになります。

5. [OK] をクリックします。

ステップ 2

VR1 からグローバル仮想ルータへのルートリークを設定します。

1. [デバイス（Devices）] > [デバイス管理（Device Management）] を選択し、Threat Defense デバイスを編集します。

2. [ルーティング（Routing）] をクリックし、ドロップダウンから [VR1] を選択します。

3. [Static Route] をクリックします。

4. [ルートを追加（Add Route）] をクリックします。[Add Static Route Configuration] で、次の項目を指定します。

   • [インターフェイス（Interface）]：グローバルルータの外部インターフェイスを選択します。

   • [ネットワーク（Network）]：グローバル仮想ルータ ネットワーク オブジェクトを選択します。

   • [Gateway]：空白のままにします。別の仮想ルータにルートをリークする場合には、ゲートウェイを選択しません。

     

   設定されたスタティックルートにより、192.168.1.0/24 ネットワーク（VR1）上のエンドポイントは、VPN プール内の IP アドレスが割り当てられた セキュアクライアントへの接続を開始できます。

5. [OK] をクリックします。

ステップ 1

グローバル仮想ルータからユーザー定義の VR1 へのルートリークを設定します。

1. [デバイス（Devices）] > [デバイス管理（Device Management）] を選択し、Threat Defense デバイスを編集します。

2. [ルーティング（Routing）] をクリックします。デフォルトでは、グローバル ルーティング プロパティのページが表示されます。

3. [Static Route] をクリックします。

4. [ルートを追加（Add Route）] をクリックします。[Add Static Route Configuration] で、次の項目を指定します。

   • [インターフェイス（Interface）]：VR1 内部インターフェイスを選択します。

   • [ネットワーク（Network）]：VR1 仮想ルータ ネットワーク オブジェクトを選択します。[オブジェクトの追加（Add Object）] オプションを使用してオブジェクトを作成できます。

   • [Gateway]：空白のままにします。別の仮想ルータにルートをリークする場合には、ゲートウェイを選択しません。

     

   ルートリークにより、サイト間 VPN の外部（リモート）エンドによって保護されたエンドポイントは、VR1 仮想ルータの 192.168.1.0/24 ネットワークにアクセスできます。

5. [OK] をクリックします。

ステップ 2

VR1 からグローバル仮想ルータへのルートリークを設定します。

1. [デバイス（Devices）] > [デバイス管理（Device Management）] を選択し、Threat Defense デバイスを編集します。

2. [ルーティング（Routing）] をクリックし、ドロップダウンから [VR1] を選択します。

3. [Static Route] をクリックします。

4. [ルートを追加（Add Route）] をクリックします。[Add Static Route Configuration] で、次の項目を指定します。

   • [インターフェイス（Interface）]：グローバルルータの外部インターフェイスを選択します。

   • [ネットワーク（Network）]：グローバル仮想ルータ ネットワーク オブジェクトを選択します。

   • [Gateway]：空白のままにします。別の仮想ルータにルートをリークする場合には、ゲートウェイを選択しません。

     

   このスタティックルートにより、192.168.1.0/24 ネットワーク（VR1）上のエンドポイントは、サイト間 VPN トンネルを通過する接続を開始できます。この例では、リモートエンドポイントが 172.16.20.0/24 ネットワークを保護しています。

5. [OK] をクリックします。

ステップ 3

192.168.1.0/24 ネットワークをサイト間 VPN 接続プロファイルに追加します。

1. [デバイス（Devices）] > [VPN] > [サイト間（Site To Site）]を選択し、VPN トポロジを編集します。

2. [エンドポイント（Endpoints）] で、ノード A エンドポイントを編集します。

3. [エンドポイントの編集（Edit Endpoint）] の [保護されたネットワーク（Protected Networks）] フィールドで、[新しいネットワークオブジェクトの追加（Add New Network Object）] をクリックします。

4. 192.168.1.0 ネットワークで VR1 ネットワークオブジェクトを追加します。

   

5. [OK] をクリックして設定を保存します。

ステップ 1

ハブにダイナミック VTI インターフェイスを設定します。

1. [デバイス（Devices）] > [デバイス管理（Device Management）] を選択し、Threat Defense デバイスを編集します。

2. [インターフェイスの追加（Add Interfaces）] > [仮想トンネルインターフェイス（Virtual Tunnel Interface）] を選択します。

3. [トンネルタイプ（Tunnel Type）] として [ダイナミック（Dynamic）] を選択します。

4. インターフェイス名として DVTI1 を指定し、ダイナミック VTI のすべてのパラメータを設定します。

5. [Save（保存）] をクリックします。

6. ステップ 1a ～ e を繰り返して、ハブの 2 番目のダイナミック VTI（DVTI2）を設定します。

ステップ 2

スポーク 1 でスタティック VTI を設定します。

1. [デバイス（Devices）] > [デバイス管理（Device Management）] を選択し、Threat Defense デバイスを編集します。

2. [インターフェイスの追加（Add Interfaces）] > [仮想トンネルインターフェイス（Virtual Tunnel Interface）] を選択します。

3. [トンネルタイプ（Tunnel Type）] として [スタティック（Static）] を選択します。

4. インターフェイス名として SVTI スポーク 1 を指定し、スタティック VTI のすべてのパラメータを設定します。

5. [Save（保存）] をクリックします。

6. ステップ 2a ～ e を繰り返して、スポーク 2（SVTI スポーク 2）にスタティック VTI を設定します。

ステップ 3

ハブと SVTI スポーク 1 の間にルートベースのサイト間 VPN を構成します。

1. [デバイス（Devices）] > [サイト間（Site To Site）] を選択し、[+サイト間VPN（+ Site To Site VPN）] をクリックします。

2. [トポロジ名（Topology Name）] フィールドに、VPN トポロジの名前を入力します。

3. [ルートベース（VTI）（Route Based (VTI)）] を選択し、ネットワークトポロジとして [ハブアンドスポーク（Hub and Spoke）] を選択します。

4. [エンドポイント（Endpoints）] タブをクリックします。

5. ハブとスポーク（DVTI1 および SVTI スポーク 1）およびそれぞれのルーティングポリシーを設定します。

6. 必要に応じて、VPN の [IKE] 、[IPsec] 、および [詳細（Advanced）] オプションを設定します。

7. [保存（Save）] をクリックします。

8. ステップ 3a ～ g を繰り返して、ハブ（DVTI2）と SVTI スポーク 2 の間に 2 番目のルートベースのサイト間 VPN トポロジを設定します。

ステップ 4

2 つの仮想ルータを設定します。

1. [デバイス（Devices）] > [デバイス管理（Device Management）] を選択し、Threat Defense デバイスを編集します。

2. [ルーティング（Routing）] をクリックします。

3. [Manage Virtual Routers] をクリックします。

4. [仮想ルータの追加（Add Virtual Router）] をクリックします。

   名前を「VRF グリーン」として、仮想ルータの説明を入力します。

5. ステップ 4a ～ d を繰り返して、VRF レッドを設定します。

ステップ 5

すべてのインターフェイスを仮想ルータに割り当てます。 

1. ドロップダウンリストから仮想ルータを選択します。

2. [仮想ルータのプロパティ（Virtual Router Properties）] ページで、[使用可能なインターフェイス（Available Interfaces）] ボックスに一覧表示されているインターフェイスを選択します。

   他のインターフェイスとともにダイナミック VTI インターフェイスを割り当てます。

3. [Add] をクリックします。

ステップ 6

VRF レッドに対してステップ 5a ～ c を繰り返します。

ステップ 7

仮想ルータのルーティングポリシーを設定します。 

1. ドロップダウンリストから仮想ルータを選択します。

2. [スタティックルート（Static Route）] またはいずれかのダイナミック ルーティング プロトコルをクリックします。

3. ルーティングパラメータを設定します。

4. [保存（Save）] をクリックします。

ステップ 1

ホスト A からホスト B へのトラフィックを処理する NAT ルールを作成します。[デバイス（Devices）] > [NAT]を選択します。

ステップ 2

[新しいポリシー（New Policy）] > [Threat Defense NAT] をクリックします。

ステップ 3

NAT ポリシー名を入力し、Threat Defense デバイスを選択します。[保存（Save）] をクリックします。

ステップ 4

[NAT] ページで、[ルールの追加（Add Rule）] をクリックして、以下の項目を定義します。

firepower(config-service-object-group)# show nat detail
Manual NAT Policies (Section 1)
1 (2001) to (3001) source static vrg-inside VRG-MAPPED-HOST destination static VRB-MAPPED-HOST vrb-inside
translate_hits = 0, untranslate_hits = 0
Source - Origin: 10.1.1.1/24, Translated: 20.1.1.1/24
Destination - Origin: 30.1.1.1/24, Translated: 10.1.1.1/24

ステップ 5

[OK] をクリックします。

ステップ 6

[保存（Save） をクリックします。

NAT ルールは次のようになります。

構成を展開すると、警告メッセージが表示されます。

ステップ 1

[デバイス（Devices）] > [デバイス管理（Device Management）] の順に選択します。必要なデバイスを編集します。

ステップ 2

[インターフェイス（Interfaces）] で、[インターフェイスの追加（Add Interfaces）] > [ブリッジ グループ インターフェイス（Bridge Group Interface）] を選択します。

1. BVI-G の次の詳細情報を入力します。

   • [名前（Name）]：この例では、「BVI-G」。

   • [ブリッジグループID（Bridge Group ID）]：この例では、「1」。

   • [利用可能なインターフェイス（Available Interface）]：インターフェイスを選択します。

   • [IPv4] で、[IP Type] として [Use Static IP] を選択します。

   • [IPアドレス（IP Address）]：「10.10.10.5/24」と入力します。

   

2. [OK] をクリックします。

3. [保存（Save） をクリックします。

1. BVI-B の次の詳細情報を入力します。

   • [名前（Name）]：この例では、「BVI-B」。

   • [ブリッジグループID（Bridge Group ID）]：この例では、「2」。

   • [利用可能なインターフェイス（Available Interface）]：サブインターフェイスを選択します。

   • [IPv4] で、[IP Type] として [Use Static IP] を選択します。

   • [IPアドレス（IP Address）]：2 つのインターフェイスが重複する IP アドレスを持つことをシステムが許可しないため、このフィールドは空のままにします。仮想ルータで IP アドレスを調整した後に、ブリッジグループに再度アクセスし、同じ IP アドレスを指定することができます。

   

2. [OK] をクリックします。

3. [保存（Save） をクリックします。

ステップ 3

仮想ルータ（VRG）を作成し、そのネットワークとして BVI-G を選択します。

1. [デバイス（Devices）] > [デバイス管理（Device Management）] の順に選択します。

2. デバイスを編集し、[ルーティング（Routing）] > [仮想ルータの管理（Manage Virtual Routers）] を選択します。

3. [仮想ルータの追加（Add Virtual Router）] をクリックします。仮想ルータの名前を入力し、[OK] をクリックします。

4. [仮想ルーティングのプロパティ（Virtual Routing Properties）] で、[BVI-G] を選択し、[追加（Add）] をクリックします。

   

5. [保存（Save）] をクリックします。

ステップ 4

仮想ルータ（VRB）を作成し、そのネットワークとして BVI-B を選択します。

1. [デバイス（Devices）] > [デバイス管理（Device Management）] の順に選択します。

2. デバイスを編集し、[ルーティング（Routing）] > [仮想ルータの管理（Manage Virtual Routers）] を選択します。

3. [仮想ルータの追加（Add Virtual Router）] をクリックします。仮想ルータの名前を入力し、[OK] をクリックします。

4. [仮想ルーティングのプロパティ（Virtual Routing Properties）] で、[BVI-B] を選択し、[追加（Add）] をクリックします。

   

5. [保存（Save）] をクリックします。

ステップ 5

BVI-B の設定に再度アクセスします。

1. [Devices] > [Device Management] > [Interfaces] の順に選択します。

2. BVI-B インターフェイスに対して [編集（Edit）] をクリックします。IP アドレスを「10.10.10.5/24」と指定します。インターフェイスが 2 つの異なる仮想ルータに個別に割り当てられたため、BVI-G に同じ IP アドレスを設定できるようになりました。

3. [OK] をクリックします。

4. [保存（Save） をクリックします。

ステップ 1

VRG のデバイスの内部インターフェイスを設定します。

1. [Devices] > [Device Management] > [Interfaces] の順に選択します。

2. VRG に割り当てるインターフェイスを編集します。

   • [名前（Name）]：この例では、VRG-inside。

   • [Enabled] チェックボックスをオンにします。

   • [IPv4] で、[IP Type] として [Use Static IP] を選択します。

   • [IPアドレス（IP Address）]：192.168.1.1/24 を入力します。

3. [OK] をクリックします。

4. [保存（Save） をクリックします。

ステップ 2

VRB のデバイスの内部インターフェイスを設定します。

1. [Devices] > [Device Management] > [Interfaces] の順に選択します。

2. VRB に割り当てるインターフェイスを編集します。

   • [名前（Name）]：この例では、VRB-inside。

   • [Enabled] チェックボックスをオンにします。

   • [IPv4] で、[IP Type] として [Use Static IP] を選択します。

   • [IP Address]：空白のままにします。ユーザー定義の仮想ルータをまだ作成していないため、ユーザーは同じ IP アドレスを使用してインターフェイスを設定できません。

3. [OK] をクリックします。

4. [保存（Save） をクリックします。

ステップ 3

VRG ユーザーが共通サーバー 172.16.10.1 にアクセスするためのグローバルルータの内部インターフェイスに対する VRG および静的デフォルトルートリークを設定します。

1. [デバイス（Devices）] > [デバイス管理（Device Management）] を選択し、Threat Defense デバイスを編集します。

2. [ルーティング（Routing）] > [仮想ルータの管理（Manage Virtual Routers）] の順に選択します。[仮想ルータの追加（Add Virtual Router）] をクリックして、VRG を作成します。

3. VRG の場合、[仮想ルータのプロパティ（Virtual Router Properties）] で、VRG-inside を割り当てて保存します。

   

4. [Static Route] をクリックします。

5. [ルートを追加（Add Route）] をクリックします。[Add Static Route Configuration] で、次の項目を指定します。

   • [インターフェイス（Interface）]：グローバルルータの内部インターフェイスを選択します。

   • [ネットワーク（Network）]：any-ipv4 オブジェクトを選択します。

   • [Gateway]：空白のままにします。別の仮想ルータにルートをリークする場合は、ゲートウェイを選択しません。

6. [OK] をクリックします。

7. [保存（Save） をクリックします。

ステップ 4

VRB ユーザーが共有サーバー 172.16.10.x にアクセスするためのグローバルルータの内部インターフェイスに対する VRB および静的デフォルトルートリークを設定します。

1. [デバイス（Devices）] > [デバイス管理（Device Management）] を選択し、Threat Defense デバイスを編集します。

2. [ルーティング（Routing）] > [仮想ルータの管理（Manage Virtual Routers）] の順に選択します。[仮想ルータの追加（Add Virtual Router）] をクリックして、VRB を作成します。

3. VRB の場合、[仮想ルータのプロパティ（Virtual Router Properties）] で、VRB-inside を割り当てて保存します。

   

4. [Static Route] をクリックします。

5. [ルートを追加（Add Route）] をクリックします。[Add Static Route Configuration] で、次の項目を指定します。

   • [インターフェイス（Interface）]：グローバルルータの内部インターフェイスを選択します。

   • [ネットワーク（Network）]：any-ipv4 オブジェクトを選択します。

   • [Gateway]：空白のままにします。別の仮想ルータにルートをリークする場合は、ゲートウェイを選択しません。

6. [OK] をクリックします。

7. [保存（Save） をクリックします。

ステップ 5

VRB-inside インターフェイスの設定を再確認します。

1. [Devices] > [Device Management] > [Interfaces] の順に選択します。

2. VRB-inside インターフェイスに対して [編集（Edit）] をクリックします。IP アドレスを 192.168.1.1/24 として指定します。インターフェイスが 2 つの異なる仮想ルータに個別に割り当てられたため、VR-inside に同じ IP アドレスを設定できるようになりました。

3. [OK] をクリックします。

4. [保存（Save） をクリックします。

ステップ 6

ソースオブジェクト VRG および VRB の NAT ルールを追加します。[デバイス（Devices）] > [NAT]をクリックします。

ステップ 7

[新しいポリシー（New Policy）] > [Threat Defense NAT] をクリックします。

ステップ 8

NAT ポリシー名を入力し、Threat Defense デバイスを選択します。[保存（Save）] をクリックします。

ステップ 9

[NAT] ページで、[ルールの追加（Add Rule）] をクリックし、VRG の次の送信元 NAT を定義します。

ステップ 10

[OK] をクリックします。

ステップ 11

[NAT] ページで、[ルールの追加（Add Rule）] をクリックし、VRB の次の送信元 NAT を定義します。

ステップ 12

[保存（Save） をクリックします。

NAT ルールは次のようになります。

ステップ 13

Management Center に 2 つの一意の AD サーバー（VRG および VRB ユーザーごとに 1 つ）を追加します（[システム（System）] > [統合（Integration）] > [レルム（Realms）] を選択します）。

ステップ 14

[新しいレルム（New Realm）] をクリックして、フィールドに入力します。各フィールドの詳細については、レルム フィールドを参照してください。

ステップ 15

VRG および VRB ユーザーからのアクセスを制御するには、2 つの Active Directory を定義します。[レルムディレクトリ（Realm Directory）] および [同期（Synchronize）] フィールドを参照LDAP レルムまたは Active Directory レルムおよびレルムディレクトリの作成を参照してください。

ステップ 16

Management Center に ISE を追加します（[システム（System）] > [統合（Integration）] > [アイデンティティソース（Identity Sources）] を選択）。

ステップ 17

[Identity Services Engine] をクリックして、フィールドに入力します。各フィールドの詳細については、レルムを使用したユーザー制御用 ISE/ISE-PIC の設定方法を参照してください。

ステップ 18

ID ポリシーとルールを作成し、VRG および VRB からの重複するユーザーのアクセスを制御するためのアクセス コントロール ポリシーを定義します。

ステップ 1

ルートターゲットでタグ付けされたルートを VR-S にエクスポートするように VR-W を構成します。

1. [デバイス（Devices）] > [デバイス管理（Device Management）]を選択し、 デバイスを編集して [ルーティング（Routing）] タブをクリックします。

2. 仮想ルータのドロップダウンから、VR-W を選択します。

3. [BGP] > [IPv4] > [ルートのインポート/エクスポート（Route Import/Export）]をクリックします。

4. VR-W ルートを VR-S にリークするには、ルートにルートターゲットのタグを付けます。これにより、VR-W ルートは、ルートターゲットとマークされた BGP テーブルにエクスポートされます。[ルートターゲットのエクスポート（Route Targets Export）] フィールドに、200:200 などの値を入力します。[追加（Add）] をクリックします。

   

5. 仮想ルータのドロップダウンから、VR-S を選択します。

6. [BGP] > [IPv4] > [ルートのインポート/エクスポート（Route Import/Export）]をクリックします。

7. VR-W からリークされたルートを受け取るには、ルートターゲットのインポートを構成して、（ピアまたは再配布された）BGP テーブルから、ルートターゲットとマークされた VR-W ルートをインポートします。[ルートターゲットのインポート（Route Targets Import）] フィールドに、VR-W に設定したのと同じルートターゲット値（200:200）を入力します。[Add] をクリックします。

   

ステップ 2

ルートをグローバル仮想ルータにエクスポートするように VR-W を構成します。

1. VR-W ルートをグローバル ルーティング テーブルにエクスポートできるようにするルートマップを作成する必要があります。[オブジェクト（Objects）] > [オブジェクト管理（Object Management）] > [ルートマップ（Route Map）]を選択します。

2. [ルートマップの追加（Add Route Map）] をクリックし、Export-to-Global などの名前を付けて、[追加（Add）] をクリックします。

3. [シーケンス番号（Sequence Number）]（1 など）を指定し、[再配布（Redistribution）] ドロップダウンリストから [許可（Allow）] を選択します。

   

4. [保存（Save）] をクリックします。

   この例では、すべての VR-W ルートがグローバル ルーティング テーブルにリークされます。したがって、ルートマップには一致基準が設定されません。

5. デバイスの [ルーティング（Routing）] タブに移動し、VR-W を選択します。[BGP] > [IPv4] > [ルートのインポート/エクスポート（Route Import/Export）]をクリックします。

6. [グローバル仮想ルータのエクスポートルートマップ（Global Virtual Router Export Route Map）] ドロップダウンリストから、[Export-to-Global] を選択します。

   

ステップ 3

VR-S の Outside1 ルートのみを VR-W にリークするには：

1. 仮想ルータのドロップダウンから、VR-S を選択します。

2. [BGP] > [IPv4] > [ルートのインポート/エクスポート（Route Import/Export）]をクリックします。

3. VR-S ルートを VR-W にリークするには、ルートにルートターゲットのタグを付けます。これにより、VR-S ルートは、ルートターゲットとマークされた BGP テーブルにエクスポートされます。[ルートターゲットのエクスポート（Route Targets Export）] フィールドに、100:100 などの値を入力します。[Add] をクリックします。

4. 仮想ルータのドロップダウンから [VR-W] を選択し、[BGP] > [IPv4] > [ルートのインポート/エクスポート（Route Import/Export）]を選択します。

5. VR-S からリークされたルートを受け取るには、ルートターゲットのインポートを構成して、（ピアまたは再配布された）BGP テーブルから、ルートターゲットとマークされた VR-S ルートをインポートします。[ルートターゲットのエクスポート（Route Targets Export）] フィールドに、VR-S のルートターゲットの値（100:100）を入力します。[Add] をクリックします。

6. ここで、VR-S の Outside1 ルートのみが VR-W にリークされることを条件付ける必要があります。[オブジェクト（Objects）] > [オブジェクト管理（Object Management）] > [プレフィックスリスト（Prefix List）] > [IPv4プレフィックスリスト（IPv4 Prefix List）]を選択します。

7. [IPv4プレフィックスリストの追加（Add IPv4 Prefix List）] をクリックし、VRS-Outside1-Only などの名前を付けて、[追加（Add）] をクリックします。

8. [シーケンス番号（Sequence Number）]（1 など）を指定し、[再配布（Redistribution）] ドロップダウンリストから [許可（Allow）] を選択します。

9. VR-S Outside1 インターフェイスの IP アドレス（最初の 2 オクテット）を入力します。

10. [保存（Save）] をクリックします。

11. プレフィックスリストを含む match 句を使用してルートマップを作成します。[ルートマップ（Route Map）] をクリックします。[ルートマップの追加（Add Route Map）] をクリックし、Import-from-VRS などの名前を付けて、[追加（Add）] をクリックします。

12. [シーケンス番号（Sequence Number）]（1 など）を指定し、[再配布（Redistribution）] ドロップダウンリストから [許可（Allow）] を選択します。

13. [match 句（Match Clause）] タブで [IPv4] をクリックします。[アドレス（Address）] タブで、[プレフィックスリスト（Prefix List）] をクリックします。

14. [利用可能なIPv4プレフィックスリスト（Available IPv4 Prefix List）] で、[VRS-Outside1-Only] を選択し、[追加（Add）] をクリックします。

15. [保存（Save）] をクリックします。

16. デバイスの [ルーティング（Routing）] タブに移動し、VR-W を選択します。[BGP] > [IPv4] > [ルートのインポート/エクスポート（Route Import/Export）]をクリックします。

17. [グローバル仮想ルータのインポートルートマップ（Global Virtual Router Import Route Map）] ドロップダウンリストから、[Import-from-VRS] を選択します。

    

ステップ 4

グローバル仮想ルータの Outside ルートをインポートするように VR-S を構成します。

1. [オブジェクト（Objects）] > [オブジェクト管理（Object Management）] > [プレフィックスリスト（]Prefix List）] > [IPv4プレフィックスリスト（IPv4 Prefix List）] を選択します。

2. [IPv4プレフィックスリストの追加（Add IPv4 Prefix List）] をクリックし、Global-Outside-Only などの名前を付けて、[追加（Add）] をクリックします。

3. [シーケンス番号（Sequence Number）]（1 など）を指定し、[再配布（Redistribution）] ドロップダウンリストから [許可（Allow）] を選択します。

4. グローバル Outside インターフェイスの IP アドレス（最初の 2 オクテット）を入力します。

   

5. [保存（Save）] をクリックします。

6. [ルートマップ（Route Map）] をクリックします。[ルートマップの追加（Add Route Map）] をクリックし、Import-from-Global などの名前を付けて、[追加（Add）] をクリックします。

7. [シーケンス番号（Sequence Number）]（1 など）を指定し、[再配布（Redistribution）] ドロップダウンリストから [許可（Allow）] を選択します。

8. [match 句（Match Clause）] タブで [IPv4] をクリックします。[アドレス（Address）] タブで、[プレフィックスリスト（Prefix List）] をクリックします。

9. [利用可能なIPv4プレフィックスリスト（Available IPv4 Prefix List）] で、[Global-Outside-Only] を選択し、[追加（Add）] をクリックします。

   

10. [保存（Save）] をクリックします。

11. デバイスの [ルーティング（Routing）] タブに移動し、VR-S を選択します。[BGP] > [IPv4] > [ルートのインポート/エクスポート（Route Import/Export）]をクリックします。

12. [グローバル仮想ルータのインポートルートマップ（Global Virtual Router Import Route Map）] ドロップダウンリストから、[Import-from-Global] を選択します。

    

ステップ 5

[保存（Save）]、[展開（Deploy）] の順にクリックします。