ASAでのDNSラウンドロビンによるVPNクライアントロードバランスの設定

ダウンロード オプション

  • PDF     (922.4 KB)
    Adobe Reader を使ってさまざまなデバイスで表示
  • ePub     (726.9 KB)
    iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
  • Mobi (Kindle)     (700.3 KB)
    Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示
Updated: 2024 年 2 月 15 日
Document ID:221691

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブ ランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポート コンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

    はじめに

    このドキュメントでは、ASAでDNSラウンドロビンを使用したAnyConnect VPNクライアント(SVC)のロードバランスを設定する方法について説明します。 

    前提条件

    要件

    この設定を行う前に、次の要件が満たされていることを確認します。

    • ASA に IP アドレスが割り当てられていて、デフォルト ゲートウェイが設定されている。
    • Anyconnect VPNがASAで設定されている。
    • VPNユーザは、個別に割り当てられたIPアドレスを使用してすべてのASAに接続できます。
    • VPNユーザのDNSサーバはラウンドロビン対応です。

    使用するコンポーネント

    このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

    • Anyconnect VPN Clientソフトウェアリリース4.10.08025
    • Cisco ASAソフトウェアリリース9.18.2
    • ウィンドウサーバ2019

    このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

    設定

    ネットワーク図

    ネットワーク図ネットワーク図

    コンフィギュレーション

    ステップ 1：ASAでのAnyConnect VPNの設定

    ASAでのAnyConnect VPNの設定方法については、次のドキュメントを参照してください。

    次に、この例の両方のASAの設定を示します。

    ASA1:

    ip local pool anyconnect 10.4.0.100-10.4.0.200 mask 255.255.255.0

    interface GigabitEthernet0/0
     nameif outside
     security-level 0
     ip address 10.1.1.1 255.255.255.0 

    interface GigabitEthernet0/1
     nameif inside
     security-level 100
     ip address 192.168.1.1 255.255.255.0 

    route outside 0.0.0.0 0.0.0.0 10.1.1.2 1

    webvpn
     enable outside
     anyconnect enable
     tunnel-group-list enable

    group-policy anyconnect internal
    group-policy anyconnect attributes
     dns-server value 192.168.1.99
     vpn-tunnel-protocol ssl-client 
     default-domain value example.com

    username example1 password ***** 
    username example1 attributes
     vpn-group-policy anyconnect
     service-type remote-access

    tunnel-group anyconnect-tunnel-group type remote-access
    tunnel-group anyconnect-tunnel-group general-attributes
     address-pool anyconnect
     default-group-policy anyconnect
    tunnel-group anyconnect-tunnel-group webvpn-attributes
     group-alias example enable

    ASA2:

    ip local pool anyconnect 10.4.0.100-10.4.0.200 mask 255.255.255.0

    interface GigabitEthernet0/0
     nameif outside
     security-level 0
     ip address 10.2.1.1 255.255.255.0 

    interface GigabitEthernet0/1
     nameif inside
     security-level 100
     ip address 192.168.1.1 255.255.255.0 

    route outside 0.0.0.0 0.0.0.0 10.2.1.2 1

    webvpn
     enable outside
     anyconnect enable
     tunnel-group-list enable

    group-policy anyconnect internal
    group-policy anyconnect attributes
     dns-server value 192.168.1.99
     vpn-tunnel-protocol ssl-client 
     default-domain value example.com

    username example1 password ***** 
    username example1 attributes
     vpn-group-policy anyconnect
     service-type remote-access

    tunnel-group anyconnect-tunnel-group type remote-access
    tunnel-group anyconnect-tunnel-group general-attributes
     address-pool anyconnect
     default-group-policy anyconnect
    tunnel-group anyconnect-tunnel-group webvpn-attributes
     group-alias example enable

    手順2に進む前に、個別に割り当てられたIPアドレスを使用して両方のASAに接続できる必要があります。

    ステップ 2：DNSサーバでのラウンドロビンDNSの設定

    ラウンドロビン対応の任意のDNSサーバを使用できます。この例では、Windows Server 2019のDNSサーバが使用されています。WindowsサーバにDNSサーバをインストールして設定する方法については、次のドキュメントを参照してください。

    この例では、10.3.1.4はドメインexample.comに対してDNSサーバが有効になっているWindowsサーバです。

    DNS サーバDNS サーバ

    DNSサーバでラウンドロビンが有効になっていることを確認します。

    1. WindowsのデスクトップでStartメニューを開き、Administrative Tools > DNSの順に選択します。
    2. コンソールツリーで、管理するDNSサーバを選択し、右クリックしてPropertiesを選択します。
    3. タブAdvancedで、Enable round robinにチェックマークが入っていることを確認します。

    ラウンドロビン1ラウンドロビン1ラウラウンドロビン2ンドロビン2

    ASA VPNサーバ用に2つのホストレコードを作成します。

    1. WindowsのデスクトップでStartメニューを開き、Administrative Tools > DNSの順に選択します。
    2. コンソールツリーで、管理するDNSサーバに接続し、DNSサーバを展開し、前方参照ゾーンを展開します。右クリックして、New Host (A or AAAA)を選択します。
    3. New Host画面で、ホストレコードのNameとIP addressを指定します。この例では、vpnと10.1.1.1です。
    4. Add Hostを選択してレコードを作成します。

    新しいホストの作成新しいホストの作成

    ホストレコード1ホストレコード1

    同様の手順を繰り返して、別のホストレコードを作成し、Nameが同じであることを確認します。この例では、Nameがvpn、IP addressが10.2.1.1です。

    ホストレコード2ホストレコード2

    2つのホスト10.1.1.1と10.2.1.1が同じレコードvpn.example.comに関連付けられていることがわかります。

    2つのホストレコード2つのホストレコード

    確認

    Cisco AnyConnectセキュアモビリティクライアントがインストールされているクライアントマシンに移動します（この例ではTest-PC-1）。DNSサーバが10.3.1.4であることを確認します。

    PC1のIPアドレスPC1のIPアドレス

    note-icon

    注：ゲートウェイが自身を識別するために自己署名証明書が使用されているため、接続試行中に複数の証明書の警告が表示される場合があります。これらは接続を続行するために必要であり、受け入れる必要があります。これらの証明書の警告を回避するには、提示される自己署名証明書がクライアントマシンの信頼された証明書ストアにインストールされている必要があります。サードパーティ証明書が使用されている場合は、認証局(CA)証明書が信頼された証明書ストアに存在する必要があります。

    VPNヘッドエンドvpn.example.comに接続し、ユーザ名とクレデンシャルを入力します。

    PC1のAnyConnect VPNPC1のAnyConnect VPN

    歯車アイコン（左下隅）をクリックして、Statisticsタブに移動します。 この例では、「サーバアドレス」セクションを確認して、クライアントがASA1(10.1.1.1)に接続していることを確認します。

    PC1が接続されましたPC1接PC1統計情報続PC1統計情報

    Test-PC-2に対して同様の手順を繰り返します。クライアントがASA2(10.2.1.1)に接続していることがわかります。2つのクライアントは2つのVPNヘッドエンド間でロードバランスされています。

    PC2のIPアドレスPC2 IPアPC2のVPNドレスPC2 PC2の統計情報VPNPC2の統計情報

    トラブルシュート

    ここでは、設定のトラブルシューティングに使用できる情報を示します。

    警告アイコン

    警告:ASAでは、さまざまなデバッグレベルを設定できます。デフォルトでは、レベル1が使用されます。デバッグレベルを変更すると、デバッグの冗長性が増します。特に実稼働環境では、注意して実行してください。

    デバッグを有効にすると、ASAでのVPN接続を診断できます。

    • debug webvpn anyconnect  - Anyconnect VPNクライアントへの接続に関するデバッグメッセージを表示します。

    クライアント側で見つかる一般的な問題のトラブルシューティングについては、このドキュメントを参照してください。

    更新履歴

    改定 発行日 コメント
    1.0
    15-Feb-2024
    初版
    TAC Authored

    シスコ エンジニア提供

    • チャオ・フェン

    このドキュメントは役に立ちましたか?

    Feedbackフィードバック

    シスコに問い合わせ

    このドキュメントは次の製品に対応しています