CLI ブック 3：Cisco ASA シリーズ 9.9 VPN CLI コンフィギュレーションガイド

モデル	ライセンス要件
ASA 5506-X、5506H-X、5506W-X	50 セッションです。共有ライセンスはサポートされていません。
ASA 5508-X	100 セッションです。共有ライセンスはサポートされていません。
ASA 5512-X	250 セッションです。オプションの共有ライセンス：Participant または Server。Server ライセンスでは、500 ～ 50,000（500 単位で増加）および 50,000 ～ 545,000（1000 単位で増加）。
ASA 5515-X	250 セッションです。オプションの共有ライセンス：Participant または Server。Server ライセンスでは、500 ～ 50,000（500 単位で増加）および 50,000 ～ 545,000（1000 単位で増加）。
ASA 5516-X	300 セッションです。共有ライセンスはサポートされていません。
ASA 5525-X	750 セッションです。オプションの共有ライセンス：Participant または Server。Server ライセンスでは、500 ～ 50,000（500 単位で増加）および 50,000 ～ 545,000（1000 単位で増加）。
ASA 5545-X	2500 セッションです。オプションの共有ライセンス：Participant または Server。Server ライセンスでは、500 ～ 50,000（500 単位で増加）および 50,000 ～ 545,000（1000 単位で増加）。
ASA 5555-X	5000 セッションです。オプションの共有ライセンス：Participant または Server。Server ライセンスでは、500 ～ 50,000（500 単位で増加）および 50,000 ～ 545,000（1000 単位で増加）。
ASA 5585-X（SSP-10）	5000 セッションです。オプションの共有ライセンス：Participant または Server。Server ライセンスでは、500 ～ 50,000（500 単位で増加）および 50,000 ～ 545,000（1000 単位で増加）。
ASA 5585-X（SSP-20、-40、および -60）	10,000 セッションです。オプションの共有ライセンス：Participant または Server。Server ライセンスでは、500 ～ 50,000（500 単位で増加）および 50,000 ～ 545,000（1000 単位で増加）。
ASASM	10,000 セッションです。オプションの共有ライセンス：Participant または Server。Server ライセンスでは、500 ～ 50,000（500 単位で増加）および 50,000 ～ 545,000（1000 単位で増加）。
ASAv5	50 セッションです。
ASAv10	250 セッションです。
ASAv30	750 セッションです。

クライアントを Web 展開するための ASA の設定

この項では、AnyConnect クライアントを Web 展開するように ASA を設定する手順について説明します。

始める前に

TFTP や別の方法を使用して、クライアントイメージパッケージを ASA にコピーします。

手順

ステップ 1

フラッシュ上のファイルを AnyConnect クライアントパッケージファイルとして指定します。

ASA は、リモート PC にダウンロードするために、キャッシュメモリのファイルを展開します。複数のクライアントがある場合は、order 引数を使用して、クライアントイメージに順序を割り当てます。

ASA は、リモート PC のオペレーティングシステムと一致するまで、指定されている順序で各クライアントの一部をダウンロードします。そのため、最も一般的に使用されているオペレーティングシステム用のイメージには、最も低い数値を割り当てます。

anyconnect image filename order

例:


hostname(config-webvpn)# anyconnect image 
anyconnect-win-2.3.0254-k9.pkg 1
hostname(config-webvpn)# anyconnect image 
anyconnect-macosx-i386-2.3.0254-k9.pkg 2
hostname(config-webvpn)# anyconnect image 
anyconnect-linux-2.3.0254-k9.pkg 3

（注）

anyconnect image コマンドで AnyConnect イメージを設定した後に anyconnect enable コマンドを発行する必要があります。AnyConnect をイネーブルにしない場合、AnyConnect の動作は不完全になり、show webvpn anyconnect コマンドは SSL VPN クライアントがイネーブルにされていないと見なし、インストールされた AnyConnect パッケージをリストしません。

ステップ 2

クライアントレス接続または AnyConnect SSL 接続のインターフェイスの SSL をイネーブルにします。

enable interface

例:

hostname(config)# webvpn
hostname(config-webvpn)# enable outside

ステップ 3

このコマンドを発行しないと、AnyConnect は想定したとおりに機能せず、show webvpn anyconnect コマンドは、インストールされた AnyConnect パッケージをリストする代わりに、「SSL VPN is not enabled」というメッセージを返します。

AnyConnect のイネーブル

ステップ 4

（任意）アドレスプールを作成します。DHCP やユーザによる割り当てのアドレスの指定など、別のアドレス割り当ての方法を使用することもできます。

ip local pool poolname startaddr-endaddrmask mask

例:

hostname(config)# ip local pool vpn_users 209.165.200.225-209.165.200.254 
mask 255.255.255.224

ステップ 5

アドレスプールをトンネルグループに割り当てます。

address-pool poolname

例:

hostname(config)# tunnel-group telecommuters general-attributes
hostname(config-tunnel-general)# address-pool vpn_users

ステップ 6

デフォルトのグループポリシーをトンネルグループに割り当てます。

default-group-policy name

hostname(config-tunnel-general)# default-group-policy sales

ステップ 7

クライアントレスポータルおよび AnyConnect GUI のログインページでのトンネルグループリストの表示をイネーブルにします。エイリアスのリストは、group-alias name enable コマンドによって定義されます。

group-alias name enable

例:

hostname(config)# tunnel-group telecommuters webvpn-attributes
hostname(config-tunnel-webvpn)# group-alias sales_department enable

ステップ 8

グループまたはユーザの許可された VPN トンネリングプロトコルとして AnyConnect クライアントを指定します。

tunnel-group-list enable

例:

hostname(config)# webvpn
hostname(config-webvpn)# tunnel-group-list enable

ステップ 9

グループまたはユーザの許可された VPN トンネリングプロトコルとして SSL を指定します。その他のプロトコルを追加して指定することもできます。詳細については、コマンドリファレンスの vpn-tunnel-protocol コマンドを参照してください。

vpn-tunnel-protocol

例:

hostname(config)# group-policy sales attributes
hostname(config-group-policy)# webvpn
hostname(config-group-webvpn)# vpn-tunnel-protocol

次のタスク

グループポリシーに対するユーザの割り当ての詳細については、第 6 章「接続プロファイル、グループポリシー、およびユーザの設定」を参照してください。

永続的なクライアントインストールのイネーブル化

永続的なクライアントインストールをイネーブルにすると、クライアントの自動アンインストール機能がディセーブルになります。クライアントは、後続の接続のためにリモートコンピュータにインストールされたままなので、リモートユーザの接続時間が短縮されます。

特定のグループまたはユーザに対する永続的なクライアントインストールをイネーブルにするには、グループポリシー webvpn モードまたはユーザ名 webvpn モードで anyconnect keep-installer コマンドを使用します。

デフォルトでは、クライアントの永続的なインストールはイネーブルになっています。セッションの終了時に、クライアントはリモートコンピュータ上に残ります。次の例では、セッションの終了時点でリモートコンピュータのクライアントを削除するように既存のグループポリシー sales を設定します。

hostname(config)# group-policy sales attributes
hostname(config-group-policy)# webvpn
hostname(config-group-policy)# anyconnect keep-installer installed none

DTLS の設定

Datagram Transport Layer Security（DTLS）を使用すると、SSL VPN 接続を確立している AnyConnect クライアントで、2 つのトンネル（SSL トンネルと DTLS トンネル）を同時に使用できます。DTLS を使用すると、SSL 接続で発生する遅延および帯域幅の問題が回避され、パケット遅延の影響を受けやすいリアルタイムアプリケーションのパフォーマンスが向上します。

始める前に

このヘッドエンドで DTLS を設定し、使用する DTLS のバージョンを確認するには、SSL の詳細設定を参照してください。

DTLS を TLS 接続にフォールバックさせるには、デッドピア検知（DPD）をイネーブルにする必要があります。DPD をイネーブルにしない場合、DTLS 接続で問題が発生すると、TLS にフォールバックする代わりに接続は終了します。DPD の詳細については、デッドピア検出の設定を参照してください。

手順

ステップ 1

AnyConnect VPN 接続に対して DTLS オプションを指定します。

webvpn モードのインターフェイスで SSL と DTLS を有効にします。
デフォルトでは、DTLS がイネーブルになるのは、インターフェイスで SSL VPN アクセスをイネーブルにした場合です。
```
hostname(config)# webvpn
hostname(config-webvpn)# enable outside
```
webvpn コンフィギュレーションモードで、enable interface tls-only コマンドを使用し、すべての AnyConnect クライアントユーザに対して DTLS をディセーブルにします。

DTLS をディセーブルにすると、SSL VPN 接続は SSL VPN トンネルだけに接続します。
```
hostname(config)# webvpn
hostname(config-webvpn)# enable outside tls-only
```

port および dtls port コマンドを使用して SSL および DTLS のポートを設定します。

hostname(config)# webvpn
hostname(config-webvpn)# enable outside
hostname(config-webvpn)# port 555
hostname(config-webvpn)# dtls port 556

ステップ 2

特定のグループポリシーに対して DTLS オプションを指定します。

グループポリシー webvpn コンフィギュレーションモードまたはユーザ名 webvpn コンフィギュレーションモードで、anyconnect ssl dtls コマンドを使用して特定のグループまたはユーザに対して DTLS をイネーブルにします。
```
hostname(config)# group-policy sales attributes
hostname(config-group-policy)# webvpn
hostname(config-group-webvpn)# anyconnect ssl dtls enable
```
必要に応じて、anyconnect dtls compression コマンドを使用して DTLS 圧縮をイネーブルにします。
```
hostname(config-group-webvpn)# anyconnect dtls compression lzs
```

リモートユーザに対するプロンプト

手順

ASA で、リモート SSL VPN クライアントユーザがクライアントをダウンロードするためのプロンプトをイネーブルにするには、グループポリシー webvpn コンフィギュレーションモードまたはユーザ名 webvpn コンフィギュレーションモードで anyconnect ask コマンドを使用します。

[no ] anyconnect ask {none | enable [default {webvpn | } timeout value]}

anyconnect enable を指定すると、クライアントをダウンロードするか、クライアントレスポータルページに移動するかを尋ねるプロンプトをリモートユーザに表示し、ユーザの応答を無期限に待機します。
anyconnect ask enable default を指定すると、すぐにクライアントがダウンロードされます。
anyconnect ask enable default webvpn を指定すると、すぐにポータルページに移動します。
anyconnect ask enable default timeout value を指定すると、クライアントをダウンロードするか、またはクライアントレスポータルページに移動するかを尋ねるプロンプトをリモートユーザに表示し、デフォルトアクション（クライアントのダウンロード）を実行する前に、value の間待機します。
anyconnect ask enable default clientless timeout value を指定すると、クライアントをダウンロードするか、またはクライアントレスポータルページに移動するかを尋ねるプロンプトをリモートユーザに表示し、デフォルトアクション（クライアントレスポータルページの表示）を実行する前に、value の間待機します。

次の図に、default anyconnect timeout value または default webvpn timeout value が設定された場合にリモートユーザに表示されるプロンプトを示します。

図 1. リモートユーザに表示される SSL VPN クライアントのダウンロードを求めるプロンプト

例

次の例では、ASA でクライアントをダウンロードするか、またはクライアントレスポータルページに移動するかをユーザに尋ねるプロンプトを表示して、クライアントをダウンロードする前に応答を 10 秒 待機するように設定しています。

hostname(config-group-webvpn)# anyconnect ask enable default anyconnect timeout 10

AnyConnect クライアントプロファイルダウンロードのイネーブル化

AnyConnect プロファイル（コアクライアントとその VPN 機能のコンフィギュレーション設定、およびオプションのクライアントモジュールのコンフィギュレーション設定を含む XML ファイル）で Cisco AnyConnect Secure Mobility クライアント機能をイネーブルにします。ASA は、AnyConnect のインストールと更新中にプロファイルを展開します。ユーザがプロファイルの管理や修正を行うことはできません。

プロファイルは、AnyConnect プロファイルエディタを使用して設定できます。このエディタは、ASDM または ISE から起動できる便利な GUI ベースの構成ツールです。Windows 用 AnyConnect ソフトウェアパッケージにはエディタが含まれています。このエディタは、AnyConnect パッケージを選択したヘッドエンドデバイスにロードし、AnyConnect クライアントイメージとして指定するとアクティブになります。

ASDM または ISE に統合されたプロファイルエディタの代わりに、Windows 用プロファイルエディタのスタンドアロンバージョンも使用できます。クライアントを事前展開する場合は、ソフトウェア管理システムを使用してコンピュータに展開する、VPN サービス用のプロファイルおよびその他のモジュールを、スタンドアロンのプロファイルエディタを使用して作成できます。

AnyConnect クライアントおよびプロファイルエディタの詳細については、『Cisco AnyConnect Secure Mobility Configuration Guide』の適切なリリースhttp://www.cisco.com/c/en/us/support/security/anyconnect-secure-mobility-client/tsd-products-support-configure.html を参照してください。

（注）

AnyConnect クライアントプロトコルのデフォルトは SSL です。IPsec IKEv2 をイネーブルにするには、ASA で IKEv2 設定を設定し、また、クライアントプロファイルのプライマリプロトコルとして IKEv2 を設定する必要があります。IKEv2enabled プロファイルは、エンドポイントコンピュータに展開する必要があります。それ以外の場合、クライアントは SSL を使用して接続を試行します。

手順

ステップ 1	ASDM/ISE のプロファイルエディタまたはスタンドアロンプロファイルエディタを使用して、プロファイルを作成します。
ステップ 2	tftp または別の方式を使用して、ASA のフラッシュメモリにプロファイルファイルをロードします。
ステップ 3	webvpn コンフィギュレーションモードで anyconnect profiles コマンドを使用して、キャッシュメモリにロードするクライアントプロファイルとしてこのファイルを識別します。例: 次に、プロファイルとしてファイル sales_hosts.xml と engineering_hosts.xml を指定する例を示します。 `asa1(config-webvpn)# anyconnect profiles sales disk0:/sales_hosts.xml asa1(config-webvpn)# anyconnect profiles engineering disk0:/engineering_hosts.xml` これで、プロファイルをグループポリシーに利用できます。 dir cache:stc/profiles コマンドを使用して、キャッシュメモリにロードされたプロファイルを表示します。 `hostname(config-webvpn)# dir cache:/stc/profiles Directory of cache:stc/profiles/ 0 ---- 774 11:54:41 Nov 22 2006 engineering.xml 0 ---- 774 11:54:29 Nov 22 2006 sales.xml 2428928 bytes total (18219008 bytes free) hostname(config-webvpn)#`
ステップ 4	グループポリシー webvpn コンフィギュレーションモードを開始し、anyconnect profiles コマンドを使用して、グループポリシーのクライアントプロファイルを指定します。例: 使用可能なプロファイルを表示するには、anyconnect profiles value コマンドに続けて、疑問符（? ）を入力します。次に例を示します。 `asa1(config-group-webvpn)# anyconnect profiles value ? config-group-webvpn mode commands/options: Available configured profile packages: engineering sales` 次の例では、クライアントプロファイルタイプが vpn のプロファイル sales を使用するようにグループポリシーを設定します。 `asa1(config-group-webvpn)# anyconnect profiles value sales type vpn asa1(config-group-webvpn)#`

AnyConnect クライアントの遅延アップグレードのイネーブル化

AnyConnect ユーザは、遅延アップグレードを使用して、クライアントアップグレードのダウンロードを遅らせることができます。クライアントアップデートが使用できる場合、AnyConnect は、更新するか、またはアップグレードを延期するかを尋ねるダイアログを開きます。AnyConnect プロファイル設定で AutoUpdate が [Enabled] に設定されていない限り、このアップグレードダイアログは表示されません。

遅延アップグレードをイネーブルにするには、カスタム属性タイプと名前付きの値を ASA に追加して、グループポリシーでこれらの属性を参照および設定します。

次のカスタム属性は遅延アップグレードをサポートします。

表 1. 遅延アップグレードのカスタム属性
カスタム属性タイプ	有効な値	デフォルト値	注意
DeferredUpdateAllowed	true false	false	[true] を指定すると、延期アップデートが有効になります。延期アップデートが無効（false）の場合、下記の設定は無視されます。
DeferredUpdateMinimumVersion	x.y.z	0.0.0	アップデートを延期できるようにするため、インストールする必要がある最小バージョンの AnyConnect。最小バージョンのチェックは、ヘッドエンドで有効になっているすべてのモジュールに適用されます。VPN を含む有効な任意のモジュールがインストールされていない、または最小要件を満たしていない場合、接続して延期アップデートすることはできません。この属性が指定されていない場合、エンドポイントにインストールされているバージョンに関係なく、延期プロンプトが表示されるか（自動的に却下されます）。
DeferredUpdateDismissTimeout	0 ～ 300（秒）	none（ディセーブル）	延期アップグレードプロンプトが表示され、自動的に却下されるまでの秒数。この属性は、延期アップデートプロンプトを表示する場合のみ適用されます（最小バージョンの属性が最初に評価されます）。この属性が見つからない場合、自動却下機能が無効になり、ユーザが応答するまで（必要に応じて）ダイアログが表示されます。この属性をゼロに設定すると、次に基づいて強制的に自動延期またはアップグレードが実施されます。インストール済みバージョンと DeferredUpdateMinimumVersion の値 DeferredUpdateDismissResponse の値
DeferredUpdateDismissResponse	defer update	update	DeferredUpdateDismissTimeout 発生時に実施するアクション。

手順

ステップ 1

webvpn コンフィギュレーションモードで anyconnnect-custom-attr コマンドを使用してカスタム属性タイプを作成します。

[no] anyconnect-custom-attr attr-type [description description ]

例:

次に、カスタム属性タイプ DeferredUpdateAllowed および DeferredUpdateDismissTimeout を追加する例を示します。


hostame(config-webvpn)# anyconnect-custom-attr DeferredUpdateAllowed 
description Indicates if the deferred update feature is enabled or not
hostame(config-webvpn)# anyconnect-custom-attr DeferredUpdateDismissTimeout

ステップ 2

グローバルコンフィギュレーションモードで anyconnect-custom-data コマンドを使用してカスタム属性の名前付きの値を追加します。

[no] anyconnect-custom-data attr-type attr-name attr-value

例:

次に、カスタム属性タイプ DeferredUpdateDismissTimeout の名前付きの値と、DeferredUpdateAllowed をイネーブルにするための名前付きの値を追加する例を示します。


hostname(config)# anyconnect-custom-data DeferredUpdateDismissTimeout 
def-timeout 150
hostname(config)# anyconnect-custom-data DeferredUpdateAllowed 
def-allowed true

ステップ 3

anyconnect-custom コマンドを使用して、カスタム属性の名前付きの値をグループポリシーに追加するか、グループポリシーから削除します。

anyconnect-custom attr-typevalue attr-name
anyconnect-custom attr-typenone
no anyconnect-custom attr-type

例:

次に、sales という名前のグループポリシーで延期アップデートを有効にしてタイムアウトを 150 秒に設定する例を示します。


hostname(config)# group-policy sales attributes
hostname(config-group-policy)# anyconnect-custom DeferredUpdateAllowed 
value def-allowed
hostname(config-group-policy)# anyconnect-custom DeferredUpdateDismissTimeout 
value def-timeout

DSCP の保存の有効化

Windows または OS X プラットフォームでは、DTLS 接続の場合にのみ別のカスタム属性を設定することで DiffServ コードポイント（DSCP）を制御できます。DSCP の保存を有効にすると、デバイスは遅延の影響を受けやすいトラフィックを優先することができます。ルータでは、これが設定されているかどうかが反映され、アウトバウンド接続品質の向上のために優先トラフィックがマークされます。

手順

ステップ 1

webvpn コンフィギュレーションモードで anyconnect-custom-attr コマンドを使用してカスタム属性タイプを作成します。

[no] anyconnect-custom-attr DSCPPreservationAllowed description Set to control Differentiated Services Code Point (DSCP) on Windows or OS X platforms for DTLS connections only.

ステップ 2

グローバルコンフィギュレーションモードで anyconnect-custom-data コマンドを使用してカスタム属性の名前付きの値を追加します。

[no] anyconnect-custom-data DSCPPreservationAllowed true

（注）

デフォルトでは、AnyConnect は DSCP の保存を実行します（true）。無効にするには、ヘッドエンドでカスタム属性を false に設定し、接続を再実行します。

追加の AnyConnect クライアント機能のイネーブル化

ダウンロード時間を最小限に抑えるために、クライアントは必要なコアモジュールのダウンロード（ASA または ISE から）だけを要求します。追加機能が AnyConnect クライアントで使用可能になったら、それらの機能を使用できるようにするためにリモートクライアントをアップデートする必要があります。

新しい機能をイネーブルにするには、グループポリシー webvpn またはユーザ名 webvpn コンフィギュレーションモードで anyconnect modules コマンドを使用して、新しいモジュール名を指定する必要があります。

[no ]anyconnect modules {none | value string}

複数のストリングを指定する場合は、カンマで区切ります。

Start Before Logon のイネーブル化

Start Before Logon（SBL）を使用すると、Windows PC にインストールされている AnyConnect クライアントに対するログインスクリプト、パスワードキャッシング、ドライブマッピングなどが使用できるようになります。SBL では、AnyConnect クライアントの Graphical Identification and Authentication（GINA）をイネーブルにするモジュールをダウンロードするように ASA をイネーブルにする必要があります。次の手順は、SBL をイネーブルにする方法を示しています。

手順

ステップ 1	グループポリシー webvpn またはユーザ名 webvpn コンフィギュレーションモードで anyconnect modules `vpngina` コマンドを使用して、特定のグループまたはユーザへの VPN 接続のための GINA モジュールを ASA でダウンロードする機能を有効にします。例: 次の例では、ユーザはグループポリシー telecommuters でグループポリシー属性モードを開始し、そのグループポリシーで webvpn コンフィギュレーションモードを開始し、ストリング `vpngina` を指定します。 `hostname(config)# group-policy telecommuters attributes hostname(config-group-policy)# webvpn hostame(config-group-webvpn)#anyconnect modules value vpngina`
ステップ 2	クライアントプロファイルファイル（AnyConnectProfile.tmpl）のコピーを取得します。
ステップ 3	プロファイルファイルを編集して SBL がイネーブルであることを指定します。次の例では、Windows 用のプロファイルファイル（AnyConnectProfile.tmpl）の関係部分を示しています。 `<Configuration> <ClientInitialization> <UseStartBeforeLogon>false</UseStartBeforeLogon> </ClientInitialization>` <UseStartBeforeLogon> タグによって、クライアントが SBL を使用するかどうかが決まります。SBL をオンにするには、false を true で置き換えます。次の例は、SBL がオンになっているタグを示しています。 `<ClientInitialization> <UseStartBeforeLogon>true</UseStartBeforeLogon> </ClientInitialization>`
ステップ 4	AnyConnectProfile.tmpl に対する変更を保存し、webvpn コンフィギュレーションモードで profile コマンドを使用して、ASA のグループまたはユーザに対するプロファイルファイルをアップデートします。次に例を示します。 `asa1(config-webvpn)#anyconnect profiles sales disk0:/sales_hosts.xml`

AnyConnect ユーザメッセージの言語の変換

ASA には、ブラウザベースのクライアントレス SSL VPN 接続を開始するユーザに表示されるポータルと画面、および Cisco AnyConnect VPN Client ユーザに表示されるインターフェイスの言語変換機能があります。

この項では、これらのユーザメッセージを変換するために ASA を設定する方法について説明します。

言語変換について

リモートユーザに可視である機能エリアとそれらのメッセージは、変換ドメイン内にまとめられています。すべての Cisco AnyConnect VPN Client のユーザインターフェイスに表示されるメッセージは、AnyConnect ドメイン内にあります。

ASA のソフトウェアイメージパッケージには、AnyConnect ドメインの変換テーブルテンプレートが含まれています。このテンプレートはエクスポートでき、入力する URL にテンプレートの XML ファイルが作成されます。このファイルのメッセージフィールドは空です。メッセージを編集して、テンプレートをインポートし、フラッシュメモリに置かれる新しい変換テーブルオブジェクトを作成できます。

既存の変換テーブルをエクスポートすることもできます。作成した XML ファイルに事前に編集したメッセージが表示されます。この XML ファイルを同じ言語名で再インポートすると、変換テーブルオブジェクトの新しいバージョンが作成され、以前のメッセージが上書きされます。AnyConnect ドメインの変換テーブルに対する変更は、ただちに AnyConnect クライアントユーザに表示されます。

変換テーブルの作成

次の手順では、AnyConnect ドメインの変換テーブルを作成する方法について説明します。

手順

ステップ 1

特権 EXEC モードで export webvpn translation-table コマンドを使用して、コンピュータに変換テーブルテンプレートをエクスポートします。

次の例では、show import webvpn translation-table コマンドによって、使用可能な変換テーブルテンプレートとテーブルを表示しています。


hostname# show import webvpn translation-table
Translation Tables' Templates:
customization
AnyConnect

PortForwarder
url-list
webvpn
Citrix-plugin
RPC-plugin
Telnet-SSH-plugin
VNC-plugin

Translation Tables:

次に、AnyConnect 変換ドメイン用の変換テーブルをエクスポートします。作成された XML ファイルのファイル名は client という名前が付けられ、空のメッセージフィールドが含まれています。


hostname# export webvpn translation-table AnyConnect 
template tftp://209.165.200.225/client

次の例では、テンプレートからインポートした zh という名前の変換テーブルをエクスポートします。zh は Microsoft Internet Explorer における中国語の省略形です。


hostname# export webvpn translation-table customization 
language zh tftp://209.165.200.225/chinese_client

ステップ 2

変換テーブルの XML ファイルを編集します。次の例は、AnyConnect テンプレートの一部を示しています。この出力の最後には、Connected メッセージのメッセージ ID フィールド（msgid）とメッセージ文字列フィールド（msgstr）が含まれています。このメッセージは、クライアントが VPN 接続を確立するときに AnyConnect クライアント GUI に表示されます。完全なテンプレートには、多くのメッセージフィールドのペアが含まれています。


# SOME DESCRIPTIVE TITLE.
# Copyright (C) YEAR THE PACKAGE'S COPYRIGHT HOLDER
# This file is distributed under the same license as the PACKAGE package.
# FIRST AUTHOR <EMAIL@ADDRESS>, YEAR.
#
#, fuzzy
msgid ""
msgstr ""
"Project-Id-Version: PACKAGE VERSION\n"
"Report-Msgid-Bugs-To: \n"
"POT-Creation-Date: 2006-11-01 16:39-0700\n"
"PO-Revision-Date: YEAR-MO-DA HO:MI+ZONE\n"
"Last-Translator: FULL NAME <EMAIL@ADDRESS>\n"
"Language-Team: LANGUAGE <LL@li.org>\n"
"MIME-Version: 1.0\n"
"Content-Type: text/plain; charset=CHARSET\n"
"Content-Transfer-Encoding: 8bit\n"

#: C:\cygwin\home\<user>\cvc\main\Api\AgentIfc.cpp:23
#: C:\cygwin\home\<user>\cvc\main\Api\check\AgentIfc.cpp:22
#: C:\cygwin\home\<user>\cvc\main\Api\save\AgentIfc.cpp:23
#: C:\cygwin\home\<user>\cvc\main\Api\save\AgentIfc.cpp~:20
#: C:\cygwin\home\<user>\cvc\main\Api\save\older\AgentIfc.cpp:22
msgid "Connected"
msgstr ""

msgid には、デフォルト変換が含まれています。msgid に続く msgstr が変換を提供します。変換を作成するには、msgstr 文字列の引用符の間に変換対象のテキストを入力します。たとえば、メッセージ「Connected」をスペイン語で変換するには、引用符の間にスペイン語のテキストを挿入します。


msgid "Connected"
msgstr "Conectado"

ファイルは必ず保存してください。

ステップ 3

特権 EXEC モードで import webvpn translation-table コマンドを使用して、変換テーブルをインポートします。ブラウザと互換性がある言語の省略形を付けて新しい変換テーブルの名前を指定します。

次の例では、米国スペイン語用の Microsoft Internet Explorer で使用される省略形である es-us で XML ファイルがインポートされます。

hostname# import webvpn translation-table AnyConnect 
language es-us tftp://209.165.200.225/client
hostname# !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
hostname# show import webvpn translation-table
Translation Tables' Templates:
AnyConnect
PortForwarder

customization
keepout
url-list
webvpn
Citrix-plugin
RPC-plugin
Telnet-SSH-plugin
VNC-plugin

Translation Tables:
es-us AnyConnect

変換テーブルの削除

変換テーブルが必要なくなった場合は、削除できます。

手順

ステップ 1

既存の変換テーブルを一覧表示します。

次の例では、show import webvpn translation-table コマンドによって、使用可能な変換テーブルテンプレートとテーブルを表示しています。フランス語（fr）、日本語（ja）、ロシア語（ru）のさまざまなテーブルが用意されています。


hostname# show import webvpn translation-table
Translation Tables' Templates:
  AnyConnect
  PortForwarder
  banners
  csd
  customization
  url-list
  webvpn
Translation Tables:
  fr                   PortForwarder
  fr                   AnyConnect
  fr                   customization
  fr                   webvpn
  ja                   PortForwarder
  ja                   AnyConnect
  ja                   customization
  ja                   webvpn
  ru                   PortForwarder
  ru                   customization
  ru                   webvpn

ステップ 2

不要な変換テーブルを削除します。

revert webvpn translation-table translationdomainlanguage language

translationdomain は上記に示す変換テーブルの右側に記載されているドメインで、language は 2 文字の言語名です。

各テーブルを個別に削除する必要があります。1 つのコマンドを使用して、特定の言語のテーブルをすべて削除することはできません。

たとえば、AnyConnect のフランス語の変換テーブルを削除するには：


ciscoasa# revert webvpn translation-table anyconnect language fr 
ciscoasa#

高度な AnyConnect SSL 機能の設定

次の項では、AnyConnect SSL VPN 接続を調整する高度な機能について説明します。

キー再生成の有効化

ASA と AnyConnect クライアントが SSL VPN 接続でキー再生成を行うときは、暗号キーと初期化ベクトルを再ネゴシエーションして、接続のセキュリティを高めます。

特定のグループまたはユーザの SSL VPN 接続で、クライアントによるキー再生成の実行を有効にするには、グループポリシー webvpn モードまたはユーザ名 webvpn モードで anyconnect ssl rekey コマンドを使用します。

[no]anyconnect ssl rekey {method {new-tunnel | none | ssl } | time minutes}

method new-tunnel キーの再生成中にクライアントによって新しいトンネルが確立されることを指定します。
method ssl キーの再生成中にクライアントによって新しいトンネルが確立されることを指定します。
method none キーの再生成を無効にします。
time minutes は、セッションの開始からまたは前回のキー再生成から、キーの再生成が行われるまでの時間を 1 から 10080（1 週間）の分数で指定します。

（注）

キーの再生成方法を ssl または new-tunnel に設定すると、キー再生成時に SSL 再ネゴシエーションが行われず、クライアントがキー再生成時に新規トンネルを確立することが指定されます。anyconnect ssl rekey コマンドの履歴については、コマンドリファレンスを参照してください。

次の例では、セッション開始の 30 分後に実施されるキー再生成中に、既存のグループポリシー sales に対する SSL との再ネゴシエーションを実施するようにクライアントを設定しています。

hostname(config)# group-policy sales attributes
hostname(config-group-policy)# webvpn
hostname(config-group-webvpn)# anyconnect ssl rekey method ssl
hostname(config-group-webvpn)# anyconnect ssl rekey time 30

デッドピア検出の設定

Dead Peer Detection（DPD）により、ピアの応答がなく接続が失敗している場合には、ASA（ゲートウェイ）またはクライアント側で瞬時に検出できます。デッドピア検出（DPD）を有効にし、AnyConnect クライアントまたは ASA ゲートウェイが DPD を実行する頻度を設定するには、以下の手順を実行します。

始める前に

この機能は、ASA ゲートウェイと AnyConnect SSL VPN クライアント間の接続のみに適用されます。DPD はパディングを許可しない標準の実装に基づいているため IPsec を使用できず、クライアントレス SSL VPN がサポートされません。
DTLS をイネーブルにすると、Dead Peer Detection（DPD）もイネーブルになります。DPD により、失敗した DTLS 接続の TLS へのフォールバックがイネーブルになります。それ以外の場合、接続は終了します。
ASA で DPD が有効になっているとき、Optimal MTU（OMTU）機能を使用すると、クライアントが DTLS パケットを正常に渡すことができる最大のエンドポイント MTU を見つけることができます。最大 MTU までパディングされた DPD パケットを送信することによって、OMTU を実装します。ペイロードの正しいエコーをヘッドエンドから受信すると、MTU サイズが受け入れられます。受け入れられなかった場合、MTU は小さくされ、プロトコルで許可されている最小 MTU に到達するまで、繰り返しプローブが送信されます。

手順

ステップ 1

目的のグループポリシーに移動します。

グループポリシーまたはユーザ名 webvpn モードを開始します。

hostname(config)# group-policy group-policy-name  attributes
hostname(config-group-policy)# webvpn
hostname(config-group-webvpn)#

または

hostname# username username attributes
hostname(config-username)# webvpn
hostname (config-username-webvpn #

ステップ 2

ゲートウェイ側の検出を設定します。

[no ] anyconnect dpd-interval {[gateway {seconds | none }] コマンドを使用します。

gateway は、ASA のことです。DPD を有効にし、ASA が DPD テストを実行する頻度を 30 秒（デフォルト）から 3600 秒（1 時間）の範囲で指定します。値 300 が推奨されます。

none を指定すると、ASA が実行する DPD テストはディセーブルになります。このコマンドを設定から削除するには、no anyconnect dpd-interval を使用します。

ステップ 3

クライアント側の検出を設定します。

[no ] anyconnect dpd-interval {[client {seconds | none }]} コマンドを使用します。

クライアントは、AnyConnect クライアントのことです。DPD を有効にし、クライアントが DPD テストを実行する頻度を 30 秒（デフォルト）から 3600 秒（1 時間）の範囲で指定します。値 300 が推奨されます。

client none を指定すると、クライアントにより実行される DPD が無効になります。このコマンドを設定から削除するには、no anyconnect dpd-interval を使用します。

例

次の例では、ASA による DPD の実行頻度が 30 秒に設定され、クライアントによる既存のグループポリシー sales に対する DPD の実行頻度が 10 秒に設定されています。

hostname(config)# group-policy sales attributes
hostname(config-group-policy)# webvpn
hostname(config-group-webvpn)# anyconnect dpd-interval gateway 30
hostname(config-group-webvpn)# anyconnect dpd-interval client 10

Enable Keepalive

キープアライブメッセージの頻度を調整することで、接続がアイドルでいられる時間がデバイスによって制限されている場合でも、プロキシ、ファイアウォール、または NAT デバイス経由の SSL VPN 接続をオープンのまま維持します。また、頻度を調整すると、リモートユーザが Microsoft Outlook または Microsoft Internet Explorer などのソケットベースアプリケーションをアクティブに実行していない場合でも、クライアントは切断および再接続されません。

キープアライブはデフォルトでイネーブルになっています。キープアライブをディセーブルにすると、フェールオーバーの際に、SSL VPN クライアントセッションはスタンバイデバイスに引き継がれません。

キープアライブメッセージの頻度を設定するには、グループポリシー webvpn またはユーザ名 webvpn コンフィギュレーションモードから keepalive コマンドを使用します。設定からコマンドを削除して値が継承されるようにするには、このコマンドの no 形式を使用します。

[no ] anyconnect ssl keepalive {none | seconds}

none は、クライアントのキープアライブメッセージを無効にします。
seconds は、クライアントによるキープアライブメッセージの送信をイネーブルにし、メッセージの頻度を 15 ～ 600 秒の範囲で指定します。

次の例では、既存のグループポリシー sales に対して、クライアントがキープアライブメッセージを 300 秒（5 分）の頻度で送信できるように ASA を設定しています。

hostname(config)# group-policy sales attributes
hostname(config-group-policy)# webvpn
hostname(config-group-webvpn)# anyconnect ssl keepalive 300

圧縮の使用

圧縮により、低帯域幅の接続に転送されるパケットのサイズが減少し、ASA とクライアント間の通信パフォーマンスが向上します。デフォルトでは、ASA では、グローバルレベルと特定のグループまたはユーザの両方において、すべての SSL VPN 接続に対する圧縮がイネーブルになっています。

（注）

ブロードバンド接続の圧縮を実装する場合は、圧縮が損失が少ない接続に依存していることを慎重に考慮する必要があります。これが、ブロードバンド接続ではデフォルトで圧縮がイネーブルになっていない主な理由です。

圧縮は、グローバルコンフィギュレーションモードで compression コマンドを使用してグローバルにオンにする必要があります。そうすることで、グループポリシーおよびユーザ名 webvpn モードで anyconnect ssl compression コマンドを使用して、特定のグループまたはユーザに圧縮を設定することができます。

圧縮のグローバルな変更

グローバルな圧縮の設定を変更するには、グローバルコンフィギュレーションモードで compression コマンドを使用します。このコマンドをコンフィギュレーションから削除するには、このコマンドの no 形式を使用します。

次の例では、すべての SSL VPN 接続の圧縮は、グローバルにディセーブルになっています。

hostname(config)# no compression

グループおよびユーザに対する圧縮の変更

特定のグループまたはユーザに対する圧縮を変更するには、グループポリシーおよびユーザ名 webvpn モードで anyconnect ssl compression コマンドを使用します。

[no ] anyconnect ssl compression {deflate | none }

デフォルトでは、グループおよびユーザに対する SSL 圧縮は deflate（イネーブル）に設定されています。

コンフィギュレーションから anyconnect sslcompression コマンドを削除し、グローバル設定から値が継承されるようにするには、このコマンドの no 形式を使用します。

次に、グローバルポリシー sales の圧縮をディセーブルにする例を示します。

hostname(config)# group-policy sales attributes
hostname(config-group-policy)# webvpn
hostname(config-group-webvpn)# no anyconnect ssl compression none

MTU サイズの調整

クライアントによって確立された SSL VPN 接続の MTU サイズ（576 ～ 1406 バイト）は、グループポリシー webvpn またはユーザ名 webvpn コンフィギュレーションモードで anyconnect mtu コマンドを使用して調整できます。

[no ] anyconnect mtu size

このコマンドは、AnyConnect クライアントのみに影響します。レガシー Cisco SSL VPN クライアント（SVC）は、さまざまな MTU サイズに調整できません。また、SSL で確立されたクライアント接続と DTLS による SSL で確立された接続は、このコマンドの影響を受けます。

デフォルトのグループポリシーでのこのコマンドのデフォルトは、no anyconnect mtu です。MTU サイズは、接続で使用されているインターフェイスの MTU に基づき、IP/UDP/DTLS のオーバーヘッドを差し引いて、自動的に調整されます。

たとえば、ISE Posture AnyConnect モジュールの実行時に、「MTU configuration sent from the secure gateway is too small」というメッセージが表示されることがあります。anyconnect ssl df-bit-ignore disable と一緒に anyconnect mtu 1200 を入力すると、これらのシステムスキャンエラーを回避できます。

例

次の例では、グループポリシー telecommuters の MTU サイズを 1200 バイトに設定します。

hostname(config)# group-policy telecommuters attributes
hostname(config-group-policy)# webvpn
hostname(config-group-webvpn)# anyconnect mtu 1200

AnyConnect クライアントイメージのアップデート

ASA のクライアントイメージは、次の手順を使用していつでもアップデートできます。

手順

ステップ 1

特権 EXEC モードで copy コマンドを使用して、または別の方法で新しいクライアントイメージを ASA にコピーします。

ステップ 2

新しいクライアントイメージファイルの名前がすでにロードされているファイルと同じファイル名の場合は、コンフィギュレーションにある anyconnect image コマンドを再入力します。新しいファイル名が異なっている場合は、[no ]anyconnect image image コマンドを使用して古いファイルをアンインストールします。次に、anyconnect image コマンドを使用して、イメージに順序を割り当て、ASA が新しいイメージをロードするようにします。

IPv6 VPN アクセスのイネーブル化

IPv6 アクセスを設定する場合は、コマンドラインインターフェイスを使用します。ASA のリリース 9.0（x）では、外部インターフェイスへの IPv6 VPN 接続（SSL および IKEv2/IPsec プロトコルを使用）のサポートが追加されています。

IPv6 アクセスをイネーブルにするには、SSL VPN 接続のイネーブル化の一部として ipv6 enable コマンドを使用します。次は、外部インターフェイスで IPv6 をイネーブルにする IPv6 接続の例です。

hostname(config)# interface GigabitEthernet0/0
hostname(config-if)# ipv6 enable

IPV6 SSL VPN をイネーブルにするには、次の一般的なアクションを実行します。

外部インターフェイスで IPv6 をイネーブルにする。
内部インターフェイスで IPv6 および IPv6 アドレスをイネーブルにする。
クライアント割り当て IP アドレス用に IPv6 アドレスローカルプールを設定する。
IPv6 トンネルのデフォルトゲートウェイを設定する。

手順

ステップ 1

インターフェイスを設定します。


interface GigabitEthernet0/0
 nameif outside
 security-level 0
 ip address 192.168.0.1 255.255.255.0
 ipv6 enable						; Needed for IPv6.
!
interface GigabitEthernet0/1
 nameif inside
 security-level 100
 ip address 10.10.0.1 255.255.0.0
 ipv6 address 2001:DB8::1/32        ; Needed for IPv6.
 ipv6 enable						; Needed for IPv6.

ステップ 2

「ipv6 local pool」（IPv6 アドレスの割り当てに使用）を設定します。

ipv6 local pool ipv6pool 2001:DB8:1:1::5/32 100     ; Use your IPv6 prefix here

（注）

AnyConnect クライアントに IPv4 アドレスと IPv6 アドレスの一方または両方を割り当てるように ASA を設定できます。このようにするには、ASA 上で内部的なアドレスプールを作成するか、ASA 上のローカルユーザに専用アドレスを割り当てます。

ステップ 3

ipv6 アドレスプールをトンネルグループポリシー（またはグループポリシー）に追加します。

tunnel-group YourTunGrp1 general-attributes  ipv6-address-pool ipv6pool

（注）

ここでは「address-pool」コマンドを使用して IPv4 アドレスプールも設定する必要があります。

ステップ 4

IPv6 トンネルのデフォルトゲートウェイを設定します。

ipv6 route inside ::/0 X:X:X:X::X tunneled

コマンド	目的
show vpn-sessiondb	アクティブなセッションに関する情報を表示します。
vpn-sessiondb logoff	VPN セッションをログオフします。
show vpn-sessiondb anyconnect	VPN セッションの要約を拡張して、OSPFv3 セッション情報を表示します。
show vpn-sessiondb ratio encryption	Suite-B のアルゴリズム（AES-GCM-128、AES-GCM-192、AES-GCM-256、AES-GMAC-128 など）用のトンネル数およびパーセンテージを表示します。

機能名	リリース	機能情報
AnyConnect 接続	7.2(1)	authentication eap-proxy、authentication ms-chap-v1、authentication ms-chap-v2、authentication pap、l2tp tunnel hello、および vpn-tunnel-protocol l2tp-ipsec コマンドが導入または変更されました。
IPsec IKEv2	8.4(1)	AnyConnect および LAN-to-LAN の IPsec IKEv2 接続をサポートする IKEv2 が追加されました。

CLI ブック 3：Cisco ASA シリーズ 9.9 VPN CLI コンフィギュレーション ガイド

偏向のない言語

翻訳について

検索結果

章のタイトル： AnyConnect VPN Client 接続

AnyConnect VPN Client 接続

AnyConnect VPN Client について

AnyConnect の要件

AnyConnect の注意事項と制約事項

AnyConnect のライセンス要件

AnyConnect 接続の設定

クライアントを Web 展開するための ASA の設定

始める前に

手順

例:

例:

例:

例:

例:

例:

例:

次のタスク

永続的なクライアント インストールのイネーブル化

DTLS の設定

始める前に

手順

リモート ユーザに対するプロンプト

手順

例

AnyConnect クライアント プロファイル ダウンロードのイネーブル化

手順

例:

例:

AnyConnect クライアントの遅延アップグレードのイネーブル化

手順

例:

例:

例:

DSCP の保存の有効化

手順

追加の AnyConnect クライアント機能のイネーブル化

Start Before Logon のイネーブル化

手順

例:

AnyConnect ユーザ メッセージの言語の変換

言語変換について

変換テーブルの作成

手順

変換テーブルの削除

手順

高度な AnyConnect SSL 機能の設定

キー再生成の有効化

デッドピア検出の設定

始める前に

手順

例

Enable Keepalive

圧縮の使用

圧縮のグローバルな変更

グループおよびユーザに対する圧縮の変更

MTU サイズの調整

例

AnyConnect クライアント イメージのアップデート

手順

IPv6 VPN アクセスのイネーブル化

手順

AnyConnect 接続の監視

例

AnyConnect VPN セッションのログオフ

AnyConnect 接続の機能履歴

このドキュメントは役に立ちましたか?

シスコに問い合わせ

永続的なクライアントインストールのイネーブル化

リモートユーザに対するプロンプト

AnyConnect クライアントプロファイルダウンロードのイネーブル化

AnyConnect ユーザメッセージの言語の変換

AnyConnect クライアントイメージのアップデート