EAP-PEAP とネイティブ Windows クライアントによる ASA IKEv2 リモートアクセスの設定

ダウンロードオプション

PDF (885.5 KB)
Adobe Reader を使ってさまざまなデバイスで表示
ePub (604.0 KB)
iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
Mobi (Kindle) (678.8 KB)
Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示

Updated: 2015 年 7 月 17 日

Document ID:119208

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポートコンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

内容

概要

前提条件

要件

使用するコンポーネント

背景説明

AnyConnect セキュアモビリティクライアントの考慮事項

設定

ネットワーク図

証明書

ISE

手順 1：ASA を ISE 上のネットワークデバイスに追加する。

手順 2：ローカルストアにユーザ名を作成する。

ASA

Windows 7

手順 1：CA 証明書をインストールする。

手順 2：VPN 接続を設定する。

確認

Windows クライアント

ログ

ASA でのデバッグ

パケットレベル

トラブルシュート

概要

このドキュメントでは、リモート VPN アクセスで標準規格の Extensible Authentication Protocol（EAP; 拡張可能認証プロトコル）認証による Internet Key Exchange Protocol（IKEv2）の使用を可能にする Cisco 適応型セキュリティアプライアンス（ASA）バージョン 9.3.2 以降の設定例を示します。この設定を使用すれば、ネイティブの Microsoft Windows 7 クライアント（および他のすべての標準ベースの IKEv2）で IKEv2 と EAP 認証を使用して ASA に接続できます。

前提条件

要件

次の項目に関する知識があることが推奨されます。

VPN および IKEv2 に関する基本的な知識
認証、認可、およびアカウンティング（AAA）、および RADIUS に関する基本的な知識
ASA VPN 設定の経験
Identity Services Engine（ISE）設定の経験

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

Microsoft Windows 7
Cisco ASA ソフトウェアバージョン 9.3.2 以降
Cisco ISE リリース 1.2 以降

背景説明

AnyConnect セキュアモビリティクライアントの考慮事項

ネイティブの Windows IKEv2 クライアントでは、スプリットトンネルがサポートされない（Windows 7 クライアントで受け入れられる CONF REPLY 属性がありません）ため、Microsoft クライアントで可能な唯一のポリシーはすべてのトラフィックをトンネリングする（0/0 トラフィックセレクタ）ことです。固有のスプリットトンネルポリシーが必要な場合は、AnyConnect を使用する必要があります。

AnyConnect では、AAA サーバ上で終了される標準化された EAP 方式（PEAP、Transport Layer Security）はサポートされていません。 AAA サーバ上で EAP セッションを終了する必要がある場合、Microsoft クライアントを使用できます。

設定

注：このセクションで使用されるコマンドの詳細については、Command Lookup Tool（登録ユーザ専用）を使用してください。

ネットワーク図

ASA は、証明書を使用して認証するように設定されます（クライアントではその証明書を信頼する必要があります）。 Windows 7 クライアントは、EAP（EAP-PEAP）を使用して認証するように設定されます。

ASA は、クライアントからの IKEv2 セッションを終了する VPN ゲートウェイとして機能します。ISE は、クライアントからの EAP セッションを終了する AAA サーバとして機能します。EAP パケットは、クライアントと ASA（IKEv2）間のトラフィック用の IKE_AUTH パケットでカプセル化された後、ASA と ISE 間の認証トラフィック用の RADIUS パケットでカプセル化されます。

証明書

ASA の証明書を生成するために、Microsoft Certificate Authority（CA）が使用されました。Windows 7 のネイティブクライアントで受け入れられるための証明書の要件は、次のとおりです。

拡張キー使用法（EKU）拡張に、Server Authentication（サーバ認証）（この例では、テンプレートの「Web server」が使用されました）が含まれている必要があります。
サブジェクト名には、クライアントによって接続のために使用される完全修飾ドメイン名（FQDN）（この例では、ASAv.example.com）が含まれている必要があります。

Microsoft クライアントの詳細については、「Troubleshooting IKEv2 VPN Connections」を参照してください。

注：Android 4.x はより制限的で、RFC 6125 に準拠した正しいサブジェクト代替名が必要です。Android の詳細については、「EAP 認証および RSA 認証を使用した Android strongSwan から Cisco IOS への IKEv2」を参照してください。

ASA で証明書署名要求を生成するために、次の設定が使用されました。

hostname ASAv
domain-name example.com

crypto ca trustpoint TP
 enrollment terminal

crypto ca authenticate TP
crypto ca enroll TP

ISE

手順 1：ASA を ISE 上のネットワークデバイスに追加する。

[Administration] > [Network Devices] を選択します。ASA で使用される事前共有パスワードを設定します。

手順 2：ローカルストアにユーザ名を作成する。

[Administration] > [Identities] > [Users] を選択します。必要に応じてユーザ名を作成します。

他のすべての設定は、ISE で EAP-PEAP（Protected Extensible Authentication Protocol）を使用してエンドポイントを認証するために、デフォルトで有効になっています。

ASA

リモートアクセスの設定は、IKEv1 と IKEv2 で類似しています。

aaa-server ISE2 protocol radius
aaa-server ISE2 (inside) host 10.62.97.21
 key cisco

group-policy AllProtocols internal
group-policy AllProtocols attributes
 vpn-tunnel-protocol ikev1 ikev2 ssl-client ssl-clientless

ip local pool POOL 192.168.1.10-192.168.1.20 mask 255.255.255.0

crypto ipsec ikev2 ipsec-proposal ipsec-proposal
 protocol esp encryption aes-256 aes-192 aes
 protocol esp integrity sha-256 sha-1 md5

crypto dynamic-map DYNMAP 10 set ikev2 ipsec-proposal ipsec-proposal
crypto map MAP 10 ipsec-isakmp dynamic DYNMAP
crypto map MAP interface outside

crypto ikev2 policy 10
 encryption 3des
 integrity sha
 group 2
 prf sha
 lifetime seconds 86400

Windows 7はIKE-IDタイプアドレスをIKE_AUTHパケットで送信するため、接続が正しいトンネルグループに到達することを確認するためにDefaultRAGroupを使用する必要があります。ASAは証明書（ローカル認証）で認証し、クライアントがEAPを使用します。また、ASA ではクライアントが EAP ID（アイデンティティ）応答（query-identity）で応答するために、EAP ID（アイデンティティ）要求を明示的に送信する必要もあります。

tunnel-group DefaultRAGroup general-attributes
 address-pool POOL
 authentication-server-group ISE
 default-group-policy AllProtocols
tunnel-group DefaultRAGroup ipsec-attributes
 ikev2 remote-authentication eap query-identity
 ikev2 local-authentication certificate TP

また、IKEv2 が有効になっており、正しい証明書を使用している必要があります。

crypto ikev2 enable outside client-services port 443
crypto ikev2 remote-access trustpoint TP

Windows 7

手順 1：CA 証明書をインストールする。

ASA から提示された証明書を信頼するために、Windows クライアントはその CA を信頼する必要があります。この CA 証明書をコンピュータの証明書ストア（ユーザストアではなく）に追加する必要があります。 Windows クライアントでは、コンピュータのストアを使用して IKEv2 証明書を検証します。

この CA を追加するには、[MMC] > [Add or Remove Snap-ins] > [Certificates] を選択します。

[Computer account] オプションボタンをクリックします。

CA を [Trusted Root Certificate Authorities] にインポートします。

Windows クライアントで ASA から提示された証明書を検証できない場合、次のように報告されます。

13801: IKE authentication credentials are unacceptable

手順 2：VPN 接続を設定する。

[Network and Sharing Center] で VPN 接続を設定するには、VPN 接続を作成するために [Connect to a workplace] を選択します。

[Use my Internet connection (VPN)] を選択します。

ASA の FQDN を使用してアドレスを設定します。このアドレスがドメインネームサーバ（DNS）によって正しく解決されることを確認します。

必要な場合、[Protected EAP Properties] ウィンドウでプロパティ（証明書の検証など）を調整します。

確認

ここでは、設定が正常に機能しているかどうかを確認します。

アウトプットインタープリタツール（登録ユーザ専用）は、特定の show コマンドをサポートしています。show コマンドの出力の分析を表示するには、Output Interpreter Tool を使用します。

Windows クライアント

接続する際は、クレデンシャル（資格情報）を入力します。

認証に成功すると、IKEv2 の設定が適用されます。

セッションがアップします。

ルーティングテーブルは、低いメトリックの新しいインターフェイスを使用してデフォルトルートですでに更新されています。

C:\Users\admin>route print
===========================================================================
Interface List
 41...........................IKEv2 connection to ASA
 11...08 00 27 d2 cb 54 ......Karta Intel(R) PRO/1000 MT Desktop Adapter
  1...........................Software Loopback Interface 1
 15...00 00 00 00 00 00 00 e0 Karta Microsoft ISATAP
 12...00 00 00 00 00 00 00 e0 Teredo Tunneling Pseudo-Interface
 22...00 00 00 00 00 00 00 e0 Karta Microsoft ISATAP #4
===========================================================================

IPv4 Route Table
===========================================================================
Active Routes:
Network Destination        Netmask          Gateway       Interface  Metric
          0.0.0.0          0.0.0.0     192.168.10.1    192.168.10.68   4491
          0.0.0.0          0.0.0.0         On-link      192.168.1.10     11
     10.62.71.177  255.255.255.255     192.168.10.1    192.168.10.68   4236
        127.0.0.0        255.0.0.0         On-link         127.0.0.1   4531
        127.0.0.1  255.255.255.255         On-link         127.0.0.1   4531
  127.255.255.255  255.255.255.255         On-link         127.0.0.1   4531
     192.168.1.10  255.255.255.255         On-link      192.168.1.10    266
     192.168.10.0    255.255.255.0         On-link     192.168.10.68   4491
    192.168.10.68  255.255.255.255         On-link     192.168.10.68   4491
   192.168.10.255  255.255.255.255         On-link     192.168.10.68   4491
        224.0.0.0        240.0.0.0         On-link         127.0.0.1   4531
        224.0.0.0        240.0.0.0         On-link     192.168.10.68   4493
        224.0.0.0        240.0.0.0         On-link      192.168.1.10     11
  255.255.255.255  255.255.255.255         On-link         127.0.0.1   4531
  255.255.255.255  255.255.255.255         On-link     192.168.10.68   4491
  255.255.255.255  255.255.255.255         On-link      192.168.1.10    266
===========================================================================

ログ

認証に成功すると、ASA では次のように報告します。

ASAv(config)# show vpn-sessiondb detail ra-ikev2-ipsec 

Session Type: Generic Remote-Access IKEv2 IPsec Detailed

Username     : cisco                  Index        : 13
Assigned IP  : 192.168.1.10           Public IP    : 10.147.24.166
Protocol     : IKEv2 IPsecOverNatT
License      : AnyConnect Premium
Encryption   : IKEv2: (1)3DES  IPsecOverNatT: (1)AES256
Hashing      : IKEv2: (1)SHA1  IPsecOverNatT: (1)SHA1
Bytes Tx     : 0                      Bytes Rx     : 7775
Pkts Tx      : 0                      Pkts Rx      : 94
Pkts Tx Drop : 0                      Pkts Rx Drop : 0
Group Policy : AllProtocols           Tunnel Group : DefaultRAGroup
Login Time   : 17:31:34 UTC Tue Nov 18 2014
Duration     : 0h:00m:50s
Inactivity   : 0h:00m:00s
VLAN Mapping : N/A                    VLAN         : none
Audt Sess ID : c0a801010000d000546b8276
Security Grp : none

IKEv2 Tunnels: 1
IPsecOverNatT Tunnels: 1

IKEv2:
  Tunnel ID    : 13.1
  UDP Src Port : 4500                   UDP Dst Port : 4500
  Rem Auth Mode: EAP
  Loc Auth Mode: rsaCertificate
  Encryption   : 3DES                   Hashing      : SHA1
  Rekey Int (T): 86400 Seconds          Rekey Left(T): 86351 Seconds
  PRF          : SHA1                   D/H Group    : 2
  Filter Name  : 

IPsecOverNatT:
  Tunnel ID    : 13.2
  Local Addr   : 0.0.0.0/0.0.0.0/0/0
  Remote Addr  : 192.168.1.10/255.255.255.255/0/0
  Encryption   : AES256                 Hashing      : SHA1                   
  Encapsulation: Tunnel                 
  Rekey Int (T): 28800 Seconds          Rekey Left(T): 28750 Seconds          
  Idle Time Out: 30 Minutes             Idle TO Left : 29 Minutes             
  Bytes Tx     : 0                      Bytes Rx     : 7834                   
  Pkts Tx      : 0                      Pkts Rx      : 95

ISE のログには、デフォルトの認証ルールと許可ルールとともに認証の成功が示されます。

詳細には PEAP 方式が示されます。

ASA でのデバッグ

最も重要な debug には、次のものがあります。

ASAv# debug crypto ikev2 protocol 32
<most debugs omitted for clarity....

ASA で受信された IKE_SA_INIT パケット（IKEv2 プロポーザルや Diffie-Hellman（DH）のキー交換など）：

IKEv2-PROTO-2: Received Packet [From 10.147.24.166:500/To 10.62.71.177:500/VRF i0:f0] 
Initiator SPI : 7E5B69A028355701 - Responder SPI : 0000000000000000 Message id: 0
IKEv2 IKE_SA_INIT Exchange REQUESTIKEv2-PROTO-3: Next payload: SA,
 version: 2.0 Exchange type: IKE_SA_INIT, flags: INITIATOR Message id: 0, length: 528 
Payload contents: 
 SA  Next payload: KE, reserved: 0x0, length: 256
  last proposal: 0x2, reserved: 0x0, length: 40
  Proposal: 1, Protocol id: IKE, SPI size: 0, #trans: 4    last transform: 0x3,
 reserved: 0x0: length: 8
.....

イニシエータへの IKE_SA_INIT 応答（IKEv2 プロポーザル、DH のキー交換、証明書の要求など）：

IKEv2-PROTO-2: (30): Generating IKE_SA_INIT message
IKEv2-PROTO-2: (30): IKE Proposal: 1, SPI size: 0 (initial negotiation), 
Num. transforms: 4
(30):    3DES(30):    SHA1(30):    SHA96(30):    DH_GROUP_1024_MODP/Group
 2IKEv2-PROTO-5:
 Construct Vendor Specific Payload: DELETE-REASONIKEv2-PROTO-5: Construct Vendor
 Specific Payload: (CUSTOM)IKEv2-PROTO-5: Construct Notify Payload:
 NAT_DETECTION_SOURCE_IPIKEv2-PROTO-5: Construct Notify Payload:
 NAT_DETECTION_DESTINATION_IPIKEv2-PROTO-5: Construct Vendor Specific Payload:
 FRAGMENTATION(30):  
IKEv2-PROTO-2: (30): Sending Packet [To 10.147.24.166:500/From
 10.62.71.177:500/VRF i0:f0]

IKE-ID のクライアント、証明書の要求、プロポーズされたトランスフォームセット、要求された設定、およびトラフィックセレクタの IKE_AUTH：

IKEv2-PROTO-2: (30): Received Packet [From 10.147.24.166:4500/To 10.62.71.177:500/VRF
 i0:f0] 
(30): Initiator SPI : 7E5B69A028355701 - Responder SPI : 1B1A94C7A7739855 Message id: 1
(30): IKEv2 IKE_AUTH Exchange REQUESTIKEv2-PROTO-3: (30): Next payload: ENCR,
 version: 2.0 (30): Exchange type: IKE_AUTH, flags: INITIATOR (30): Message id: 1,
 length: 948(30):

EAP ID 要求（EAP 拡張を持つ最初のパケット）が含まれた ASA からの IKE_AUTH 応答。このパケットには、証明書も含まれます（ASA 上に正しい証明書がない場合、失敗があります）。

IKEv2-PROTO-2: (30): Generating EAP request
IKEv2-PROTO-2: (30): Sending Packet [To 10.147.24.166:4500/From 10.62.71.177:4500/VRF
 i0:f0]

ASA で受信された EAP 応答（長さ 5、ペイロード：cisco）：

(30): REAL Decrypted packet:(30): Data&colon; 14 bytes
(30):  EAP(30):   Next payload: NONE, reserved: 0x0, length: 14
(30):     Code: response: id: 36, length: 10
(30):     Type: identity
(30): EAP data&colon; 5 bytes

この後、複数のパケットが EAP-PEAP の一環として交換されます。最後に次のように EAP の成功が ASA で受信され、サプリカントに転送されます。

Payload contents: 
(30):  EAP(30):   Next payload: NONE, reserved: 0x0, length: 8
(30):     Code: success: id: 76, length: 4

ピアの認証が次のように成功します。

IKEv2-PROTO-2: (30): Verification of peer's authenctication data PASSED

そして VPN のセッションが正常に終了します。

パケットレベル

EAP ID 要求が ASA によって送信される IKE_AUTH の「Extensible Authentication」にカプセル化されます。ID 要求とともに、IKE_ID と証明書が送信されます。

後続のすべての EAP パケットは、IKE_AUTH にカプセル化されます。サプリカントで方式（EAP-PEAP）を確認した後、認証に使用される MSCHAPv2 セッションを保護するセキュアソケットレイヤ（SSL）トンネルの作成を開始します。

複数のパケットが交換された後、ISE で成功を確認します。

IKEv2 セッションが ASA によって完了され、最終的な設定（設定では、割り当てられた IP アドレスなどの値で応答します）、トランスフォームセット、およびトラフィックセレクタが、VPN クライアントにプッシュされます。

トラブルシュート

現在、この設定に関する特定のトラブルシューティング情報はありません。

EAP-PEAP とネイティブ Windows クライアントによる ASA IKEv2 リモートアクセスの設定

ダウンロードオプション

偏向のない言語

翻訳について

内容

概要

前提条件

要件

使用するコンポーネント

背景説明

AnyConnect セキュアモビリティクライアントの考慮事項

設定

ネットワーク図

証明書

ISE

手順 1：ASA を ISE 上のネットワークデバイスに追加する。

手順 2：ローカルストアにユーザ名を作成する。

ASA

Windows 7

手順 1：CA 証明書をインストールする。

手順 2：VPN 接続を設定する。

確認

Windows クライアント

ログ

ASA でのデバッグ

パケットレベル

トラブルシュート

関連情報

シスコエンジニア提供

このドキュメントは役に立ちましたか?

シスコに問い合わせ

このドキュメントは次の製品に対応しています

EAP-PEAP とネイティブ Windows クライアントによる ASA IKEv2 リモート アクセスの設定

ダウンロード オプション

偏向のない言語

翻訳について

内容

概要

前提条件

要件

使用するコンポーネント

背景説明

AnyConnect セキュア モビリティ クライアントの考慮事項

設定

ネットワーク図

証明書

ISE

手順 1：ASA を ISE 上のネットワーク デバイスに追加する。

手順 2：ローカル ストアにユーザ名を作成する。

ASA

Windows 7

手順 1：CA 証明書をインストールする。

手順 2：VPN 接続を設定する。

確認

Windows クライアント

ログ

ASA でのデバッグ

パケット レベル

トラブルシュート

関連情報

シスコ エンジニア提供

このドキュメントは役に立ちましたか?

シスコに問い合わせ

このドキュメントは次の製品に対応しています

EAP-PEAP とネイティブ Windows クライアントによる ASA IKEv2 リモートアクセスの設定

ダウンロードオプション

AnyConnect セキュアモビリティクライアントの考慮事項

手順 1：ASA を ISE 上のネットワークデバイスに追加する。

手順 2：ローカルストアにユーザ名を作成する。

パケットレベル

シスコエンジニア提供