Cisco Unified Communications Manager セキュリティ ガイド リリース 8.5(1)

バーチャル プライベート ネットワークの設定

---

Cisco Unified IP Phone の Cisco VPN クライアントはシスコの他の在宅勤務用製品を補完するもので、お客様が在宅勤務者に関連する問題を解決するのに役立ちます。

• 導入しやすい：すべての設定を CUCM の管理で設定できます。

• 使いやすい：企業内で電話機を設定した後、その電話機を家に持ち帰ってブロードバンド ルータに差し込むだけで、難しい設定メニューを使用せずに即座に接続できます。

• 管理しやすい：電話機は、ファームウェア アップデートおよび設定変更をリモートで受け取ることができます。

• 安全：VPN トンネルは、音声および Cisco Unified IP Phone サービスだけに適用されます。PC ポートに接続されている PC により、VPN クライアント ソフトウェアを使用して専用のトンネルが認証および確立されます。

サポートされるデバイス

Cisco Unified Reporting を使用すると、Cisco Unified IP Phone でサポートされる VPN クライアントを確認できます。Cisco Unified Reporting で、[Unified CM Phone Feature List] をクリックします。[Feature] のプルダウン メニューから [Virtual Private Network Client] を選択します。その機能をサポートしている製品のリストが表示されます。

Cisco Unified Reporting の使用方法の詳細については、『 Cisco Unified Reporting Administration Guide 』を参照してください。

VPN 機能の設定

サポートされている Cisco Unified IP Phone の VPN 機能を設定するには、次に示す手順を実行します。

IOS の設定要件

IP Phone で VPN クライアントの IOS 設定を作成する場合は、次の手順を実行します。

ステップ 1 IOS ソフトウェア バージョン 15.1(2)T 以降をインストールします。

フィーチャ セット/ライセンス：Universal (Data & Security & UC) for IOS ISR-G2

フィーチャ セット/ライセンス：Advanced Security for IOS ISR

ステップ 2 SSL VPN ライセンスをアクティブにします。

IP Phone での VPN クライアントの IOS の設定

IP Phone で VPN クライアントの IOS を設定するには、次の手順を実行します。

ステップ 1 IOS をローカルで設定します。

a. ネットワーク インターフェイスを設定します。

例：

b. スタティック ルートとデフォルト ルートを設定します。

router(config)# ip route <dest_ip> < mask> < gateway_ip>

例：

ステップ 2 Cisco Unified Communications Manager と IOS に必要な証明書を生成および登録します。

次の証明書を Cisco Unified Communications Manager からインポートする必要があります。

• CallManager：TLS ハンドシェイク時に Cisco UCM を認証します（混合モードのクラスタでのみ必要）。

• Cisco_Manufacturing_CA：Manufacturer Installed Certificate（MIC; 製造元でインストールされる証明書）を使用して IP Phone を認証します。

• CAPF：LSC を使用して IP Phone を認証します。

これらの Cisco Unified Communications Manager 証明書をインポートするには、次の手順を実行します。

a. Cisco Unified Communications Manager OS の管理 Web ページで次を選択します。

b. [セキュリティ(Security)] > [証明書の管理(Certificate Management)] を選択します（注意：この場所は、UCM のバージョンによって異なる場合があります）。

c. Cisco_Manufacturing_CA と CAPF の証明書を見つけます。.pem ファイルをダウンロードし、.txt ファイルで保存します。

d. IOS でトラストポイントを作成します。

例：

Base 64 で暗号化された CA 証明書を求められた場合は、ダウンロードした .pem ファイルのテキストを BEGIN 行から END 行までコピーし、貼り付けます。他の証明書でこの手順を繰り返します。

e. 次の IOS 自己署名証明書を生成して Cisco Unified Communications Manager に登録するか、または CA からインポートする証明書と置き換えます。

• 自己署名証明書を生成します。

例：

• Cisco Unified Communications Manager の VPN プロファイルでホスト ID チェックを有効にして自己署名証明書を生成します。

例：

• 生成した証明書を Cisco Unified Communications Manager に登録します。

例：

端末からテキストをコピーして .pem ファイルとして保存し、これを CUCM の証明書の管理にアップロードします。

ステップ 3 AnyConnect を IOS にインストールします。

AnyConnect パッケージを cisco.com からダウンロードし、flash にインストールします。

例：

ステップ 4 VPN 機能を設定します。設定の参考として、次に示すサンプル IOS 設定を利用できます。

（注） 電話機で証明書とパスワード認証の両方を使用する場合は、電話機の MAC アドレスを持つユーザを作成します。ユーザ名では大文字と小文字が区別されます。次の例を参考にしてください。
username CP-7975G-SEP001AE2BC16CB password k1kLGQIoxyCO4ti9 encrypted

サンプル IOS 設定

ASA の設定要件

IP Phone で VPN クライアントの ASA 設定を作成する場合は、次の手順を実行します。

ステップ 1 ASA ソフトウェア（バージョン 8.0.4 以降）および互換性のある ASDM をインストールします。

ステップ 2 互換性のある AnyConnect パッケージをインストールします。

ステップ 3 ライセンスをアクティブにします。

a. 現行ライセンスの機能を表示します。
show activation-key detail

b. 追加の SSL VPN セッションと Linksys 電話機が有効になっている新しいライセンスについては、 http://www.cisco.com/go/license を参照してください。VPN 機能をサポートする場合は、「Any Connect Cisco VPN phone」ライセンスを選択します。

IP Phone での VPN クライアントの ASA の設定

IP Phone で VPN クライアントの ASA を設定するには、次の手順を実行します。

ステップ 1 次のローカル設定を行います。

a. ネットワーク インターフェイスを設定します。

例：

b. スタティック ルートとデフォルト ルートを設定します。

router(config)# ip route <dest_ip> <mask> <gateway_ip>

例：

c. DNS を設定します。

例：

ステップ 2 Cisco Unified Communications Manager と IOS に必要な証明書を生成および登録します。

次の証明書を Cisco Unified Communications Manager からインポートする必要があります。

• CallManager：TLS ハンドシェイク時に Cisco UCM を認証します（混合モードのクラスタでのみ必要）。

• Cisco_Manufacturing_CA：Manufacturer Installed Certificate（MIC; 製造元でインストールされる証明書）を使用して IP Phone を認証します。

• CAPF：LSC を使用して IP Phone を認証します。

これらの Cisco Unified Communications Manager 証明書をインポートするには、次の手順を実行します。

a. Cisco Unified Communications Manager OS の管理 Web ページで次を選択します。

b. [セキュリティ(Security)] > [証明書の管理(Certificate Management)] を選択します（注意：この場所は、UCM のバージョンによって異なる場合があります）。

c. Cisco_Manufacturing_CA と CAPF の証明書を見つけます。.pem ファイルをダウンロードし、.txt ファイルで保存します。

d. IOS でトラストポイントを作成します。

例：

Base 64 で暗号化された CA 証明書を求められた場合は、ダウンロードした .pem ファイルのテキストを BEGIN 行から END 行までコピーし、貼り付けます。他の証明書でこの手順を繰り返します。

e. 次の IOS 自己署名証明書を生成して Cisco Unified Communications Manager に登録するか、または CA からインポートする証明書と置き換えます。

• 自己署名証明書を生成します。

例：

• Cisco Unified Communications Manager の VPN プロファイルでホスト ID チェックを有効にして自己署名証明書を生成します。

例：

• 生成した証明書を Cisco Unified Communications Manager に登録します。

例：

端末からテキストをコピーして .pem ファイルとして保存し、これを CUCM の証明書の管理にアップロードします。

ステップ 3 VPN 機能を設定します。設定の参考として、次に示すサンプル IOS 設定を利用できます。

（注） 電話機で証明書とパスワード認証の両方を使用する場合は、電話機の MAC アドレスを持つユーザを作成します。ユーザ名では大文字と小文字が区別されます。次の例を参考にしてください。
username CP-7975G-SEP001AE2BC16CB password k1kLGQIoxyCO4ti9 encrypted
username CP-7975G-SEP001AE2BC16CB attributes vpn-group-policy GroupPhoneWebvpn service-type remote-access

サンプル ASA 設定