Cisco ASA 5500 シリーズ 適応型セキュリティ アプライアンス スタートアップ ガイド Version 8.0

必要な情報

この設定手順を開始する前に、次の情報を収集します。

• リモート適応型セキュリティ アプライアンス ピアの IP アドレス

• トンネルを使用してリモート サイトのリソースと通信できるローカル ホストおよびネットワークの IP アドレス

• トンネルを使用してローカル リソースと通信できるリモート ホストおよびネットワークの IP アドレス

サイトツーサイト VPN の設定

この項では、ASDM VPN Wizard を使用して、サイトツーサイト VPN の適応型セキュリティ アプライアンスを設定する方法について説明します。

この項では、次のトピックについて取り上げます。

• 「ASDM の起動」

• 「ローカル サイトでのセキュリティ アプライアンスの設定」

• 「リモート VPN ピアに関する情報の入力」

• 「IKE ポリシーの設定」

• 「IPsec 暗号化および認証パラメータの設定」

• 「ホストおよびネットワークの指定」

• 「VPN アトリビュートの確認とウィザードの完了」

次の各項で、それぞれの設定手順を実行する方法について詳しく説明します。

ASDM の起動

この項では、ASDM Launcher ソフトウェアを使用して ASDM を起動する方法について説明します。ASDM Launcher ソフトウェアをまだインストールしていない場合は、「ASDM Launcher のインストール」を参照してください。

Web ブラウザまたは Java を使用して直接 ASDM にアクセスする場合は、「Web ブラウザを使用した ASDM の起動」を参照してください。

ASDM Launcher ソフトウェアを使用して ASDM を起動するには、次の手順を実行します。

ステップ 1 デスクトップから、Cisco ASDM Launcher ソフトウェアを起動します。

ダイアログボックスが表示されます。

ステップ 2 適応型セキュリティ アプライアンスの IP アドレスまたはホスト名を入力します。

ステップ 3 Username および Password フィールドはブランクのままにします。

（注） デフォルトで、Cisco ASDM Launcher には Username および Password は設定されていません。

ステップ 4 OK をクリックします。

ステップ 5 証明書を受け入れるよう要求するセキュリティ警告が表示されたら、 Yes をクリックします。

ASA は更新するソフトウェアがあるかどうかを確認し、ある場合は自動的にダウンロードします。

ASDM のメイン ウィンドウが表示されます。

ローカル サイトでのセキュリティ アプライアンスの設定

（注） このシナリオでは、最初のサイトの適応型セキュリティ アプライアンスをセキュリティ アプライアンス 1 と呼びます。

セキュリティ アプライアンス 1 を設定するには、次の手順を実行します。

ステップ 1 ASDM のメイン ウィンドウの Wizards ドロップダウン メニューで、IPsec VPN Wizard オプションを選択します。最初の VPN Wizard 画面が表示されます。

VPN Wizard の Step 1 で、次の手順を実行します。

a. VPN Tunnel Type 領域で、 Site-to-Site オプション ボタンをクリックします。

（注） Site-to-Site VPN オプションは、2 つの IPSec セキュリティ ゲートウェイを接続します。これには、適応型セキュリティ アプライアンス、VPN コンセントレータ、またはサイトツーサイト IPSec 接続をサポートするその他のデバイスが含まれます。

b. VPN Tunnel Interface ドロップダウン リストで、現在の VPN トンネルに対してイネーブルにするインターフェイスとして outside を選択します。

c. Next をクリックして続行します。

リモート VPN ピアに関する情報の入力

VPN ピアは、設定している接続の反対側にあるシステムで、通常、リモート サイトにあります。

（注） このシナリオでは、リモート VPN ピアをセキュリティ アプライアンス 2 と呼びます。

VPN Wizard の Step 2 で、次の手順を実行します。

ステップ 1 Peer IP Address（セキュリティ アプライアンス 2 の IP アドレスで、このシナリオでは 209.165.200.236）、および Tunnel Group Name（「Cisco」など）を入力します。

ステップ 2 次の認証方式のいずれかを選択して、使用する認証の種類を指定します。

• 認証にスタティックな事前共有キーを使用するには、Pre-shared key オプション ボタンをクリックし、事前共有キー（「Cisco」など）を入力します。このキーは、適応型セキュリティ アプライアンス間の IPsec ネゴシエーションに使用されます。

（注） 事前共有キー認証を使用する場合、Tunnel Group Name はピアの IP アドレスである必要があります。

• 認証にデジタル証明書を使用するには、Certificate オプション ボタンをクリックし、Certificate Signing Algorithm ドロップダウン リストで証明書署名アルゴリズムを選択し、Trustpoint Name ドロップダウン リストで事前設定されたトラストポイント名を選択します。

認証にデジタル署名を使用する場合でも、トラストポイント名をまだ設定していないときは、他の 2 つのオプションのいずれかを使用して Wizard を続行できます。標準の ASDM 画面を使用して、後で認証設定を変更できます。

• Challenge/response authentication オプション ボタンをクリックして、その認証方式を使用します。

ステップ 3 Next をクリックして続行します。

IKE ポリシーの設定

IKE は、暗号化方式を含むネゴシエーション プロトコルで、データを保護し、機密性を保証します。また、ピアのアイデンティティを保証する認証も提供します。ほとんどの場合、ASDM のデフォルト値で、2 つのピア間でセキュアな VPN トンネルを確立できます。

VPN Wizard の Step 3 で、次の手順を実行します。

ステップ 1 IKE セキュリティ アソシエーションで、適応型セキュリティ アプライアンスが使用する暗号化アルゴリズム（DES、3DES、または AES）、認証アルゴリズム（MD5 または SHA）、および Diffie-Hellman グループ（1、2、または 5）をクリックします。

（注） セキュリティ アプライアンス 2 を設定するときは、セキュリティ アプライアンス 1 で選択した各オプションの値を正確に入力する必要があります。暗号化の不一致は、VPN トンネル障害のよくある原因で、設定プロセスを遅らせる原因になります。

ステップ 2 Next をクリックして続行します。

IPsec 暗号化および認証パラメータの設定

VPN Wizard の Step 4 で、次の手順を実行します。

ステップ 1 Encryption ドロップダウン リストで暗号化アルゴリズム（DES、3DES、AES）を選択し、Authentication ドロップダウン リストで認証アルゴリズム（MD5、SHA）を選択します。

ステップ 2 Next をクリックして続行します。

ホストおよびネットワークの指定

この IPSec トンネルを使用してトンネルの反対側にあるホストおよびネットワークと通信できるローカル サイトのホストおよびネットワークを指定します。 Add または Delete をクリックして、トンネルにアクセスできるホストおよびネットワークを指定します。現在のシナリオでは、Network A（10.10.10.0）からのトラフィックはセキュリティ アプライアンス 1 で暗号化され、VPN トンネルを使用して送信されます。

また、この IPSec トンネルを使用してローカル ホストとネットワークにアクセスできるリモート サイトのホストおよびネットワークを指定します。ホストおよびネットワークを動的に追加または削除するには、それぞれ、 Add または Delete をクリックします。このシナリオでは、セキュリティ アプライアンス 1 のリモート ネットワークは Network B（10.20.20.0）なので、このネットワークからの暗号化されたトラフィックは、トンネルを使用できます。

VPN Wizard の Step 5 で、次の手順を実行します。

ステップ 1 Action 領域で、Protect オプション ボタンまたは Do not Protect オプション ボタンをクリックします。

ステップ 2 保護する、または保護しないローカル ネットワークの IP アドレスを入力するか、または省略符号（...）のボタンをクリックして、ホストおよびネットワークのリストから選択します。

ステップ 3 保護する、または保護しないリモート ネットワークの IP アドレスを入力するか、または省略符号（...）のボタンをクリックして、ホストおよびネットワークのリストから選択します。

ステップ 4 Next をクリックして続行します。

VPN アトリビュートの確認とウィザードの完了

VPN Wizard の Step 6 で、ここで作成した VPN トンネルの設定リストを確認します。

設定が正しいことを確認したら、Finish をクリックして、変更を適応型セキュリティ アプライアンスに適用します。

次回のデバイス起動時に変更が適用されるように、設定変更をスタートアップ設定に保存する場合は、File メニューで Save をクリックします。

あるいは、ASDM の終了時に設定変更の保存を要求するプロンプトが表示されます。

設定変更を保存しない場合は、次回のデバイス起動時に以前の設定が有効になります。

これで、セキュリティ アプライアンス 1 の設定プロセスは終わりです。