Cisco ASA 5500 シリーズ スタートアップ ガイド

収集する情報

この設定手順を開始する前に、次の情報を取得します。

• リモートの適応型セキュリティ アプライアンス ピアの IP アドレス

• リモート サイトのリソースとの通信にトンネルを使用することが許可されたローカル ホストとネットワークの IP アドレス

• ローカル リソースとの通信にトンネルを使用することが許可されたリモート ホストとネットワークの IP アドレス

サイトツーサイト VPN の設定

ここでは、ASDM VPN Wizard を使用してサイトツーサイト VPN 用に適応型セキュリティ アプライアンスを設定する方法について説明します。

この項は、次の内容で構成されています。

• 「ローカル サイトでのセキュリティ アプライアンスの設定」

• 「リモート VPN ピアに関する情報の入力」

• 「IKE ポリシーの設定」

• 「IPsec Encryption パラメータおよび Authentication パラメータの設定」

• 「ホストおよびネットワークの指定」

• 「VPN アトリビュートの表示とウィザードの終了」

次の項では、各設定手順を実行する方法を詳細に説明します。

ローカル サイトでのセキュリティ アプライアンスの設定

（注） このシナリオでは、最初のサイトの適応型セキュリティ アプライアンスを Security Appliance 1 と呼びます。

Security Appliance 1 を設定するには、次の手順に従います。

ステップ 1 ASDM メイン ウィンドウで、[Wizards] ドロップダウン メニューから [VPN Wizard] を選択します。ASDM で、最初の VPN Wizard 画面が開きます。

VPN Wizard の Step 1 で、次の手順に従います。

a. [VPN Tunnel Type] 領域で、[Site-to-Site] オプション ボタンをクリックします。

（注） [Site-to-Site VPN] オプションを選択すると、2 つの IPsec セキュリティ ゲートウェイが接続されますが、これには適応型セキュリティ アプライアンス、VPN コンセントレータ、またはサイトツーサイト IPsec 接続をサポートするその他のデバイスが含まれる可能性があります。

b. [VPN Tunnel Interface] ドロップダウン リストから、現在の VPN トンネルで有効なインターフェイスとして [Outside] を選択します。

c. [Next] をクリックして続行します。

リモート VPN ピアに関する情報の入力

VPN ピアは、設定している接続のもう一方の端にあるシステムで、通常はリモート サイトにあります。

（注） このシナリオでは、リモート VPN ピアを Security Appliance 2 と呼びます。

VPN Wizard の Step 2 で、次の手順に従います。

ステップ 1 ピアの IP アドレス（このシナリオでは、Security Appliance 2 の IP アドレス、209.165.200.236）と、トンネル グループ名（たとえば「Cisco」）を入力します。

ステップ 2 次のいずれかの認証方式を選択して、使用する認証のタイプを指定します。

• 認証にスタティック事前共有キーを使用するには、[Pre-Shared Key] オプション ボタンをクリックし、事前共有キー（たとえば、「Cisco」）を入力します。このキーは、適応型セキュリティ アプライアンス間の IPsec ネゴシエーションで使用されます。

（注） 事前共有キー認証を使用する場合、トンネル グループ名はピアの IP アドレスにする必要があります。

• 認証にデジタル証明書を使用するには、[Certificate] オプション ボタンをクリックし、[Certificate Signing Algorithm] ドロップダウン リストから証明書署名アルゴリズムを選択し、次に、事前設定されているトラストポイント名を [Trustpoint Name] ドロップダウン リストから選択します。

認証にデジタル証明書を使用する予定で、まだトラストポイント名を設定していない場合は、他の 2 つのオプションのいずれかを使用してウィザードを続行できます。認証設定は、標準 ASDM 画面を使用して後で修正できます。

• [Challenge/Response Authentication] オプション ボタンをクリックして、この認証方式を使用できます。

ステップ 3 [Next] をクリックして続行します。

IKE ポリシーの設定

IKE は、データを保護しプライバシーを保証する暗号化方式を含むネゴシエーション プロトコルで、ピアの ID を確認する認証機能も提供されます。ほとんどの場合、ASDM のデフォルト値を使用すれば、十分にセキュアな VPN トンネルを 2 つのピア間に確立できます。

VPN Wizard の Step 3 で、次の手順に従います。

ステップ 1 IKE セキュリティ アソシエーションにおいて適応型セキュリティ アプライアンスが使用する暗号化アルゴリズム（DES、3DES、または AES）、認証アルゴリズム（MD5 または SHA）、および Diffie-Hellman グループ（1、2、または 5）をクリックします。

（注） Security Appliance 2 を設定する場合は、Security Appliance 1 で選択した各オプションと同じ値を正確に入力します。VPN トンネルが失敗し、処理速度を低下させる一般的な原因は、暗号化の不整合です。

ステップ 2 [Next] をクリックして続行します。

IPsec Encryption パラメータおよび Authentication パラメータの設定

VPN Wizard の Step 4 で、次の手順に従います。

ステップ 1 [Encryption] ドロップダウン リストから暗号化アルゴリズム（DES、3DES、または AES）を、[Authentication] ドロップダウン リストから認証アルゴリズム（MD5 または SHA）を選択します。

ステップ 2 [Enable Perfect Forwarding Secrecy (PFS)] チェックボックスをオンにして、フェーズ 2 IPsec キーの生成において、PFS を使用するかどうかを指定し、[Diffie-Hellman Group] ドロップダウン リストから使用する番号のサイズを指定します。

PFS は、新しいキーはすべて、あらゆる過去のキーと関係しないという暗号化コンセプトです。IPsec ネゴシエーションでは、PFS がイネーブルになるまで、フェーズ 2 キーはフェーズ 1 キーに基づいています。PFS では、キーの生成にデフィーヘルマン方式が採用されています。

ステップ 3 [Next] をクリックして続行します。

ホストおよびネットワークの指定

トンネルの反対側のホストおよびネットワークとの通信にこの IPsec トンネルを使用することが許可されたローカル サイトのホストおよびネットワークを指定します。[Add] または [Delete] をクリックして、トンネルへのアクセスが許可されたホストおよびネットワークを指定します。現在のシナリオでは、ネットワーク A（10.10.10.0）からのトラフィックは Security Appliance 1 によって暗号化され、VPN トンネル経由で送信されます。

さらに、ローカル ホストおよびネットワークへのアクセスにこの IPsec トンネルを使用することを許可するリモート サイトのホストおよびネットワークを指定します。ホストおよびネットワークを動的に追加するには [Add]、削除するには [Delete] をクリックします。このシナリオにおいて、Security Appliance 1 では、リモート ネットワークはネットワーク B（10.20.20.0）で、このネットワークからの暗号化されたトラフィックはトンネル経由で許可されます。

VPN Wizard の Step 5 で、次の手順に従います。

ステップ 1 保護する、または保護を解除するローカル ネットワークの IP アドレスを入力するか、省略（...）ボタンをクリックして、ホストとネットワークのリストから選択します。

ステップ 2 保護する、または保護を解除するリモート ネットワークの IP アドレスを入力するか、省略（...）ボタンをクリックして、ホストとネットワークのリストから選択します。

ステップ 3 NAT または PAT を使用していない場合は、[Exempt ASA side host network from address translation] チェックボックスをオンにして、ドロップダウン リストから [Inside] インターフェイスを選択します。

ステップ 4 [Next] をクリックして続行します。

VPN アトリビュートの表示とウィザードの終了

VPN Wizard の Step 6 では、作成した VPN トンネルの設定リストを確認します。

適切に設定されている場合は [Finish] をクリックして、適応型セキュリティ アプライアンスに変更内容を適用します。

次にデバイスを起動するときに適用されるように、設定変更をスタートアップ コンフィギュレーションに保存する場合は、[File] メニューから [Save] をクリックします。

または、ASDM を終了するときに設定変更を半永久的に保存するように求められます。

設定変更を保存しない場合は、次にデバイスを起動するときに変更前の設定がそのまま適用されます。

この操作により、Security Appliance 1 の設定プロセスが終了します。