FlexVPN クライアントは、自動的にまたはユーザー操作によって手動で接続できます。FlexVPN 設定が完了すると、FlexVPN クライアントは、自動的にトンネルに接続します。トンネルでタイムアウトまたは障害が発生した場合、トンネルは自動的に再接続し、接続を無制限に再試行します。自動トンネル接続を設定するには、IKEv2 FlexVPN プロファイルで connect コマンドに auto キーワードを使用します。

手動接続では、FlexVPN クライアントは、接続を確立する前にコマンドを実行するユーザーの操作を待ちます。クライアントがタイムアウトするか、接続に失敗すると、後続の接続ではユーザーの操作が必要になります。手動接続を設定するには、特権 EXEC モードで、crypto ikev2 client flexvpn connect コマンドに flexvpn-name 引数を使用します。接続を終了するには、clear crypto ikev2 client flexvpn connect コマンドに flexvpn-name 引数を使用します。

FlexVPN クライアントは、事前に決定された順序で複数のピアまたはサーバーに接続できます。ピアのリストはゲートウェイ リストまたはバックアップ ゲートウェイ リストと呼ばれ、次のリストを使用して作成されます。

• スタティック バックアップ ゲートウェイ リストまたはスタティック リスト

• ダウンロード バックアップ ゲートウェイ リストまたはダウンロード リスト

スタティック バックアップ ゲートウェイ リストは、シーケンス番号の付いたピアのリストを提供することによって FlexVPN プロファイルで設定されます。ダウンロード バックアップ ゲートウェイ リストは、動的にダウンロードされ、モード設定の応答時に取得されます。ダウンロード リストは、スタティック ゲートウェイ リストを補完してバックアップ ゲートウェイ リストを作成します。ダウンロード リストは、リストがダウンロードされるピアの後に挿入されます。

ゲートウェイ リストのピアとの既存の接続がダウンすると、クライアントはゲートウェイ リストにある次のピアとの接続を確立しようとします。ダウンロード リストが使用可能でスタティック ピアとの接続に失敗すると、クライアントはダウンロード リストのピアと順番に接続しようとします。クライアントがダウンロード リストのすべてのピアとの接続の確立に失敗すると、クライアントはスタティック リストにある次のピアに接続を試みて、ダウンロード リストは削除されます。

デュアル FlexVPN サポート機能によって、同じ内部および外部インターフェイスを共有する 2 つの FlexVPN トンネルを設定することができます。2 つの FlexVPN トンネルは、ルート インジェクションを使用し、対応するトンネル インターフェイスを介して適切なトラフィックを送信します。トンネルがアップしているとき、トンネルはサーバーからネットワーク リストを「学習」します。サーバーがネットワーク リストを転送すると、FlexVPN は特定のルートをそのルーティング テーブル内の宛先ネットワークにインストールし、トンネル インターフェイスからこれらのネットワークにトラフィックを送信します。

Note	トンネル インターフェイスを介してデフォルト ルートと確立できる FlexVPN 接続は、1 つのみです。

スプリット DNS 機能では、FlexVPN クライアントはドメイン ネーム システム（DNS）プロキシとして動作できます。FlexVPN ネゴシエーションの間、DNS リストはモード設定中にダウンロードされます。このリストは、FlexVPN プロファイルと関連付けられた内部インターフェイスで、DNS ビュー リストとして設定されます。ビュー リストは、ドメイン名に基づいて要求と DNS クエリを照合し、一致した要求を DNS サーバーに転送するために使用されます。他の DNS クエリは、デフォルト ビュー（グローバル DNS 設定）を照合するために使用され、ISP DNS に転送されます。

FlexVPN クライアント プロファイル内に 内部インターフェイスについての記載がない場合、DNS ビューはすべてのインターフェイスに適用されますが、設定されたすべてのプロファイルのトンネル インターフェイスとトンネル ソース インターフェイスを除きます。DNS クエリ要求が内部インターフェイスに受信されると、一致する DNS ビューが取得され、要求は DNS IP アドレスに転送されます。

FlexVPN のネットワーク アドレス変換（NAT）機能では、トラフィックがルーティングされるインターフェイスに基づいて、トラフィックを IP アドレスに変換できます。パケットが、ip nat inside コマンドで設定された 1 つのインターフェイスで受信され、ip nat outside コマンドで設定された別のインターフェイスに送信される場合、そのパケットは 2 番目のインターフェイスで設定された IP アドレスに変換されます。

FlexVPN クライアントは、次のいずれかの方法でピアの背後にあるネットワークのリストを学習します。

• モード設定プッシュ：FlexVPN サーバーは、ネットワーク属性のリストをコンフィギュレーション モードのパラメータとしてクライアントに送信します。FlexVPN クライアントは、メトリックが最も高いトンネル インターフェイスを介してこれらのネットワークにルートをインストールします。クライアントは、サーバーが仮想アクセス インターフェイスを介してそれらのルートを追加できるように、モード設定セットまたは確認応答（SET/ACK）の交換でサーバーにそのネットワークを伝達します。

• ルーティング プロトコルの実行：FlexVPN クライアントおよびサーバーはトンネル インターフェイスを介してルーティング プロトコルを実行し、ネットワーク ルートを確立します。これによって、クライアントおよびサーバーは、既存のセッションを切断せずに柔軟にネットワークを追加または削除できます。トンネル アドレスは、ピアとのルートを確立するためにモード設定時に伝達されます。

モード設定中、FlexVPN サーバーはドメイン名、Windows Internet Naming Service（WINS）、または NetBIOS ネーム サーバー（NBNS）属性をプッシュします。これらの属性は、FlexVPN クライアントで実行されている DHCP サーバーに、動的に更新されます。

イベント トレース機能は、デバッグのために使用されます。FlexVPN クライアントに通知されたイベントは記録され、その情報はデバッグに使用されます。イベント トレースは、バッファ領域に数バイトのトレース情報を記録する高速メカニズムと、デバッグ データを抽出および復号する表示メカニズムを組み合わせたものです。FlexVPN クライアントは、バッファを保持して、通常の動作時に有効にすることができます。

FlexVPN クライアントは、ローカル認証方式として EAP をサポートします。サポートされる EAP 認証方式は、Microsoft Challenge Handshake Authentication Protocol Version 2（MSCHAPv2）、メッセージ ダイジェスト アルゴリズム 5（MD5）、および Generic Token Card（GTC：汎用トークン カード）です。EAP 認証プロセスは、次のとおりです。

• EAP を使用して FlexVPN クライアントを認証するには、IKEv2 プロファイル コンフィギュレーション モードで authentication local eap コマンドを使用します。

• FlexVPN クライアントがピアから IKE_AUTH 応答を受信した後、crypto eap credentials コマンドを入力します。

• EAP ID 要求を IKE_AUTH 応答で受信した場合、EAP ユーザー名とパスワードを指定する必要があります。

• EAP ID 要求を IKE_AUTH 応答で受信していない場合、ローカル IKEv2 ID をユーザー名として使用するため、パスワードのみを指定します。

Note	ローカル認証方式としての EAP は FlexVPN クライアントと一緒に使用する必要がありますが、IKEv2 発信側では EAP を使用することもできます。EAP サーバーがサポートされていない認証方式を最初に指定すると、FlexVPN EAP 発信側は EAP 否定応答（NAK）パケットで応答し、希望の認証方式として EAP-MSCHAPv2、EAP-MD5、または EAP-GTC を要求します。FlexVPN EAP 応答側で、いずれかの認証方式を選択します。