Web ブラウザを使用して、https://ravpn-address を開きます。ravpn-address は、VPN 接続を許可する外部インターフェイスの IP アドレスまたはホスト名です。

サイトにログインします。

リモート アクセス VPN 接続プロファイルを設定します。

1. [デバイス（Device）] をクリックし、[リモートアクセスVPN（Remote Access VPN）] グループで [接続プロファイルの設定（Setup Connection Profile）] をクリックします。（プロファイルを設定済みの場合は、[設定の表示（View Configuration）] をクリックします。）

   既存の接続の場合は、[編集（Edit）] をクリックしてプロファイルを変更します。

2. 接続プロファイルの設定を行います。

   • [接続プロファイル名（Connection Profile Name）]：名前、Corporate-RAVPN などを入力します。

   • [ユーザ認証用ADレルム/ディレクトリサーバ（AD Realm/Directory Server for User Authentication）][ユーザ認証用アイデンティティソース（Identity Source for User Authentication）]：リモート ユーザの認証に使用されるアイデンティティ レルムを選択します。まだアイデンティティ レルムを設定していない場合は、ドロップダウン リストの下部にある [新しいアイデンティティレルムの作成（Create New Identity Realm）] をクリックして作成します。

   • [AnyConnectパッケージ（AnyConnect Packages）]：サポートするオペレーティング システムごとに AnyConnect クライアントをアップロードします。アップロードが完了するまで待機してから、続行してください。

   接続プロファイルの設定は次のようになります。

   
   

   

   
   

3. [次へ（Next）] をクリックして、デバイス アイデンティティのプロパティを設定します。

   • [デバイスアイデンティティ証明書（Certificate of Device Identity）]：デバイスのアイデンティティを確立するために使用する内部証明書を選択します。クライアントはこの証明書を承認して、セキュアな VPN 接続を完了させる必要があります。独自の証明書がない場合は、DefaultInternalCertificate を使用できます。

   • [外部インターフェイス（Outside Interface）]：リモート ユーザが接続する外部インターフェイスを選択します。このインターフェイスには通常「外部」という名前が付けられます。

   • [外部インターフェイス用完全修飾ドメイン名（Fully-qualified Domain Name for the Outside Interface）]：外部インターフェイスの DNS 名がわかっている場合はここで入力します。例、corporate-vpn.example.com。

   ページのデバイス アイデンティティ セクションは、次のようになります。

   
   

   

   
   

4. ページの下に進み、[IPv4アドレスプール（IPv4 Address Pool）] を設定し、必要に応じて [IPv6アドレス プール（IPv6 Address Pool）] を設定します。

   ネットワークを識別するオブジェクトを選択します。リモート アクセス VPN ユーザには、このプールからアドレスが割り当てられます。たとえば、10.1.10.0/24 を指定するネットワーク オブジェクト。オブジェクトが存在しない場合は、リストの下部にある [新しいネットワークの作成（Create New Network）] をクリックします。IPv6 アドレスをサポートする場合は、IPv6 のプールも設定します。

   
   

   

   
   

5. ページの下にスクロールし、リモート接続の DNS 設定を構成します。

   使用する DNS サーバの IP アドレス、およびローカル ドメイン名を入力します。例、example.com。[OpenDNS] をクリックして、OpenDNS サーバを使用できます。

   
   

   

   
   

6. [次へ（Next）] をクリックして下にスクロールし、[社内リソース（Corporate Resource）] オプションを設定します

   （バナー、接続時間とタイムアウト、およびプロキシ設定も設定できますが、ヘア ピニングとは直接関係がありません）。

   次の設定は、リモート アクセス VPN でヘア ピニングを可能にするために重要です。

   • [スプリットトンネリング（Split Tunneling）]：この機能を無効にします。すべてのトラフィックを VPN ゲートウェイに向かわせる場合、スプリット トンネリングは、リモート クライアントが VPN の外部にあるローカル サイトやインターネット サイトに直接アクセスできるようにするための方法です。

   • [NAT免除（NAT Exempt）]：この機能を有効にします。内部インターフェイスを選択し、内部ネットワークを定義するネットワーク オブジェクトを選択します。この例では、オブジェクトは 192.168.1.0/24 を指定します。内部ネットワークに向かう RA VPN トラフィックは、アドレス変換されません。ただし、ヘア ピニングされたトラフィックは外部インターフェイスの外に出るため、引き続き NAT が行われます。これは、NAT 免除は内部インターフェイスにのみ適用されるためです。

   
   

   

   
   

7. 必要に応じて、[AnyConnectクライアントプロファイル（AnyConnect Client Profile）] を選択し、[次へ（Next）] をクリックします。

8. RA VPN の設定を確認してから [完了（Finish）] をクリックします。

外部インターフェイスから送信されたすべての接続を外部 IP アドレス（インターフェイス PAT）のポートに変換するよう NAT ルールを設定します。

1. [ポリシー（Policies）] > [NAT] をクリックします。

2. 次のいずれかを実行します。

   • InsideOutsideNatRule を編集するには、[アクション（Action）] 列にマウス オーバーし、[編集（edit）] アイコン（）をクリックします。

   • ルールを新規作成するには、[+] ボタンをクリックします。

3. 次のプロパティを使用してルールを設定します。

   • [タイトル（Title）]：新しいルールのわかりやすい名前をスペースを含めず入力します。たとえば、OutsideInterfacePAT と入力します。

   • [ルールの作成先（Create Rule For）]：[手動NAT（Manual NAT）]。

   • [配置（Placement）]：[自動NATルールの前（Before Auto NAT Rules）]（デフォルト）。

   • [タイプ（Type）]：[ダイナミック（Dynamic）]。

   • [元のパケット（Original Packet）]：[送信元アドレス（Source Address）] で [任意（Any）] または [any-ipv4] を選択します。[送信元インターフェイス（Source Interface）] で、[任意（Any）]（デフォルト）を選択していることを確認します。[元のパケット（Original Packet）] の他のすべてのオプションは、デフォルトの [任意（Any）] のまままにします。

   • [変換後のパケット（Translated Packet）]：[宛先インターフェイス （Destination Interface）] で、[外部（outside）] を選択します。[変換後のアドレス（Translated Address）] で、[インターフェイス（Interface）] を選択します。[変換後のパケット（Translated Packet）] の他のすべてのオプションは、デフォルトの [任意（Any）] のまままにします。

   次の図は、発信元アドレスに [任意（Any）] を選択したシンプルな例を示しています。

   
   

   

   
   

4. [OK] をクリックします。

変更を保存します。

1. Web ページの右上にある [変更の展開（Deploy Changes）] アイコンをクリックします。

   

2. [今すぐ展開（Deploy Now）] ボタンをクリックします。

   展開が完了するまで待機します。展開のサマリーに変更が正常に展開されたことが示され、ジョブのタスク ステータスが [展開済み（Deployed）] になります。

ディレクトリ サーバをホストする [サイトB（Site B）] にサイト間 VPN 接続を設定します。

1. [デバイス（Device）] をクリックし、[サイト間VPN（Site-to-Site VPN）] グループで [設定の表示（View Configuration）] をクリックします。

2. [+] ボタンをクリックします。

3. [エンドポイントの設定（Endpoint Settings）] に次のオプションを設定します。

   • [接続プロファイル名（Connection Profile Name）]：名前を入力します（たとえば、サイト A への接続を示す、SiteA）。

   • [ローカルサイト（Local Site）]：これらのオプションでローカル エンドポイントを定義します。

     • [ローカルVPNアクセスインターフェイス（Local VPN Access Interface）]：[外部（outside）] インターフェイス（図の 192.168.2.1 アドレスが付いているインターフェイス）を選択します。

     • [ローカルネットワーク（Local Network）]：[+] をクリックして、VPN 接続に参加する必要があるローカル ネットワークを特定するネットワーク オブジェクトを選択します。ディレクトリ サーバはこのネットワーク上にあるため、サイト間 VPN に参加できます。オブジェクトがまだ存在していない場合、[新規ネットワークの作成（Create New Network）] をクリックして、192.168.1.0/24 ネットワークのオブジェクトを設定します。オブジェクトを保存したら、ドロップダウン リストでそのオブジェクトを選択し、[OK] をクリックします。

       
       

       

       
       

   • [リモートサイト（Remote Site）]：これらのオプションでリモート エンドポイントを定義します。

     • [リモートIPアドレス（Remote IP Address）]：VPN 接続をホストするリモート VPN ピアのインターフェイスの IP アドレスである 192.168.4.6 を入力します。

     • [リモートネットワーク（Remote Network）]：[+] をクリックして、VPN 接続に参加する必要があるリモート ネットワークを特定するネットワーク オブジェクトを選択します。[新規ネットワークの作成（Create New Network）] をクリックして、次のオブジェクトを設定し、リストでそれらのオブジェクトを選択します。

       1. SiteAInside、ネットワーク、192.168.3.0/24。

          
          

          

          
          

       2. SiteAInterface、ホスト、192.168.4.6。重要ポイント：リモート アクセス VPN 接続ポイントのアドレスをサイト間 VPN 接続用のリモート ネットワークの一部として含めて、当該インターフェイスでホストされている RA VPN でディレクトリ サーバを使用可能にする必要があります。

          
          

          

          
          

   終了すると、エンドポイントの設定は次のようになります。

   
   

   

   
   

4. [Next] をクリックします。

5. VPN のプライバシー設定を定義します。

   この使用例は、強力な暗号化の使用を許可する輸出管理機能を承認していることを前提としています。これらの例の設定は、お客様のニーズとライセンス コンプライアンスに合わせて調整してください。

   • [IKEバージョン2（IKE Version 2）]、[IKEバージョン1（IKE Version 1）]：デフォルト（[IKEバージョン2（IKE Version 2）] は有効で、[IKEバージョン1（IKE Version 1）] は無効）のままにします。

   • [IKEポリシー（IKE Policy）]：[編集（Edit）] をクリックして、[AES-GCM-NULL-SHA] および [AES-SHA-SHA] を有効にし、[DES-SHA-SHA] を無効にします。

   • [IPsecプロポーザル（IPsec Proposal）]：[編集（Edit）] をクリックします。[IPSecプロポーザルの選択（Select IPSec Proposals）] ダイアログボックスで [+] をクリックし、[デフォルトに設定（Set Default）] をクリックしてデフォルトの AES-GCM プロポーザルを選択します。

   • [ローカルの事前共有キー（Local Preshared Key）]、[リモートピアの事前共有キー（Remote Peer Preshared Key）]：このデバイスおよび VPN 接続用のリモート デバイスに定義されているキーを入力します。これらのキーは IKEv2 では異なることがあります。キーは 1 ～ 127 文字の英数字で指定できます。サイト A のデバイスでサイト間 VPN 接続を作成するときに同じ文字列を設定する必要があるため、これらのキーは覚えておいてください。

   IKE ポリシーは次のようになります。

   
   

   

   
   

6. [追加オプション（Additional Options）] を設定します。

   • [NAT免除（NAT Exempt）]：内部ネットワークをホストするインターフェイスを選択します。この例では [内部（inside）]インターフェイス。通常、サイト間 VPN トンネル内のトラフィックの IP アドレスは変換しません。このオプションは、ローカル ネットワークが（ブリッジ グループのメンバーではなく）単一のルーテッド インターフェイスの背後に存在している場合にのみ機能します。ローカル ネットワークが複数のルーテッド インターフェイスまたは 1 つ以上のブリッジ グループのメンバーの背後にある場合、NAT 免除ルールを手動で作成する必要があります。必要なルールを手動で作成する方法の詳細については、NAT からのサイト間 VPN トラフィックの除外を参照してください。

   • [Perfect Forward Secrecy用のDiffie-Helmanグループ（Diffie-Helman Group for Perfect Forward Secrecy）]：[グループ19（Group 19）] を選択します。このオプションは、暗号化された交換ごとに固有のセッション キーを生成および使用するために、Perfect Forward Secrecy（PFS）を使用するかどうかを決定します。固有のセッション キーを使用することで、後続の復号から交換が保護されます。また、交換全体が記録されていて、攻撃者がエンドポイント デバイスで使用されている事前共有キーや秘密キーを入手している場合であっても保護されます。オプションの説明については、使用する Diffie-Hellman 係数グループの決定を参照してください。

   このオプションは次のようになります。

   
   

   

   
   

7. [次へ（Next）] をクリックします。

8. サマリーを確認し、[終了（Finish）] をクリックします。

   サマリー情報がクリップボードにコピーされます。この情報はドキュメントに貼り付けて、リモート ピアの設定、またはピアの設定責任者に送信するために使用できます。

9. Web ページの右上にある [変更の展開（Deploy Changes）] アイコンをクリックします。

   

10. [今すぐ展開（Deploy Now）] ボタンをクリックして、導入が正常に完了するまで待ちます。

    これで、サイト B のデバイスがサイト間 VPN 接続の一端をホストできるようになりました。

[サイトB（Site B）] デバイスからログアウトして、[サイトA（Site A）] デバイスにログインします。

リモート アクセス VPN をホストする [サイトA（Site A）] にサイト間 VPN 接続を設定します。

1. [デバイス（Device）] をクリックし、[サイト間VPN（Site-to-Site VPN）] グループで [設定の表示（View Configuration）] をクリックします。

2. [+] ボタンをクリックします。

3. [エンドポイントの設定（Endpoint Settings）] に次のオプションを設定します。

   • [接続プロファイル名（Connection Profile Name）]：名前を入力します（たとえば、サイト B への接続を示す、SiteB）。

   • [ローカルサイト（Local Site）]：これらのオプションでローカル エンドポイントを定義します。

     • [ローカルVPNアクセスインターフェイス（Local VPN Access Interface）]：[外部（outside）] インターフェイス（図内 192.168.4.6 アドレスが付いているインターフェイス）を選択します。

     • [ローカルネットワーク（Local Network）]：[+] をクリックして、VPN 接続に参加する必要があるローカル ネットワークを特定するネットワーク オブジェクトを選択します。[新規ネットワークの作成（Create New Network）] をクリックして、次のオブジェクトを設定し、リストでそれらのオブジェクトを選択します。サイト B のデバイスに同じオブジェクトを作成しましたが、サイト A のデバイスでも再度同じオブジェクトを作成する必要があります。

       1. SiteAInside、ネットワーク、192.168.3.0/24。

          
          

          

          
          

       2. SiteAInterface、ホスト、192.168.4.6。重要ポイント：リモート アクセス VPN 接続ポイントのアドレスをサイト間 VPN 接続用の内部ネットワークの一部として含めて、当該インターフェイスでホストされている RA VPN でリモート ネットワーク上のディレクトリ サーバを使用可能にする必要があります。

          
          

          

          
          

   • [リモートサイト（Remote Site）]：これらのオプションでリモート エンドポイントを定義します。

     • [リモートIPアドレス（Remote IP Address）]：VPN 接続をホストするリモート VPN ピアのインターフェイスの IP アドレスである 192.168.2.1 を入力します。

     • [リモートネットワーク（Remote Network）]：[+] をクリックして、VPN 接続に参加する必要があるリモート ネットワークを特定する（ディレクトリ サーバを含んでいる）ネットワーク オブジェクトを選択します。[新規ネットワークの作成（Create New Network）] をクリックし、192.168.1.0/24 ネットワークのオブジェクトを設定します。オブジェクトを保存したら、ドロップダウン リストでそのオブジェクトを選択し、[OK] をクリックします。サイト B のデバイスに同じオブジェクトを作成しましたが、サイト A のデバイスでも再度同じオブジェクトを作成する必要があります。

       
       

       

       
       

   終了すると、エンドポイントの設定は次のようになります。ローカルおよびリモート ネットワークは、サイト B の設定と比べると反転している点に注意してください。これは、ポイントツーポイント接続の両端の通常の外観を示しています。

   
   

   

   
   

4. [次へ（Next）] をクリックします。

5. VPN のプライバシー設定を定義します。

   サイト B 接続の場合と同じ IKE バージョン、ポリシー、および IPsec プロポーザルと、同じ事前共有キーを設定します。ただし、必ず、ローカル事前共有キーとリモート事前共有キーを逆にしてください。

   IKE ポリシーは次のようになります。

   
   

   

   
   

6. [追加オプション（Additional Options）] を設定します。

   • [NAT免除（NAT Exempt）]：内部ネットワークをホストするインターフェイスを選択します。この例では [内部（inside）]インターフェイス。通常、サイト間 VPN トンネル内のトラフィックの IP アドレスは変換しません。このオプションは、ローカル ネットワークが（ブリッジ グループのメンバーではなく）単一のルーテッド インターフェイスの背後に存在している場合にのみ機能します。ローカル ネットワークが複数のルーテッド インターフェイスまたは 1 つ以上のブリッジ グループのメンバーの背後にある場合、NAT 免除ルールを手動で作成する必要があります。必要なルールを手動で作成する方法の詳細については、NAT からのサイト間 VPN トラフィックの除外を参照してください。

   • [Perfect Forward Secrecy用のDiffie-Helmanグループ（Diffie-Helman Group for Perfect Forward Secrecy）]：[グループ19（Group 19）] を選択します。

   このオプションは次のようになります。

   
   

   

   
   

7. [次へ（Next）] をクリックします。

8. サマリーを確認し、[終了（Finish）] をクリックします。

9. Web ページの右上にある [変更の展開（Deploy Changes）] アイコンをクリックします。

   

10. [今すぐ展開（Deploy Now）] ボタンをクリックして、導入が正常に完了するまで待ちます。

    これで、サイト A のデバイスがサイト間 VPN 接続のもう一端をホストできるようになりました。サイト B は互換性のある設定ですでに設定されているため、2 台のデバイスは VPN 接続をネゴシエートする必要があります。

    デバイスの CLI にログインし、ディレクトリ サーバに ping することで、接続を確認できます。show ipsec sa コマンドを使用して、このセッション情報を表示することもできます。

[サイトA（Site A）] のディレクトリ サーバを設定します。[テスト（Test）] をクリックして、接続があることを確認します。

1. [オブジェクト（Objects）] を選択し、目次から [アイデンティティレルム（Identity Realm）] [アイデンティティソース（Identity Sources）] を選択します。

2. [+] ボタンをクリックします。

3. 基本レルムのプロパティを設定します。

   • [名前（Name）]：ディレクトリ レルムの名前。例、AD。

   • [タイプ（Type）]：ディレクトリ サーバのタイプ。サポートされるタイプは Active Directory のみで、このフィールドを変更することはできません。

   • [ディレクトリユーザ名（Directory Username）]、[ディレクトリパスワード（Directory Password）]：取得するユーザ情報に対して適切な権限を持つユーザの識別用ユーザ名とパスワード。Active Directory では、昇格されたユーザ特権は必要ありません。ドメイン内の任意のユーザを指定できます。ユーザ名は Administrator@example.com（Administrator だけでなく）などの完全修飾名である必要があります。

     （注）	この情報から ldap-login-dn と ldap-login-password が生成されます。たとえば、Administrator@example.com は cn=adminisntrator,cn=users,dc=example,dc=com に変換されます。cn=users は常にこの変換の一部であるため、ここで指定するユーザは、共通名の「users」フォルダの下で設定する必要があります。

   • [ベースDN（Base DN）]：ユーザおよびグループ情報、つまり、ユーザとグループの共通の親を検索またはクエリするためのディレクトリ ツリー。例、cn=users,dc=example,dc=com。ベース DN の検索の詳細については、ディレクトリ ベースの DN の決定を参照してください。

   • [ADプライマリドメイン（AD Primary Domain）]：デバイスが参加する必要がある完全修飾 Active Directory ドメイン名。例、example.com。

   
   

   

   
   

4. ディレクトリ サーバのプロパティを設定します。

   • [ホスト名またはIPアドレス（Hostname/IP Address）]：ディレクトリ サーバのホスト名または IP アドレス。サーバに対して暗号化された接続を使用する場合、IP アドレスではなく、完全修飾ドメイン名を入力する必要があります。この例では、「192.168.1.175」と入力します。

   • [ポート（Port）]：サーバとの通信に使用するポート番号。デフォルトは 389 です。暗号化方式として LDAPS を選択する場合は、ポート 636 を使用します。この例では、389 のままにします。

   • [暗号化（Encryption）]：ユーザおよびグループ情報のダウンロードに暗号化された接続を使用します。デフォルトは [なし（None）] で、ユーザおよびグループ情報はクリア テキストでダウンロードされます。RA VPN の場合は、LDAP over SSL である [LDAPS] を使用できます。このオプションを選択する場合は、ポート 636 を使用します。RA VPN は STARTTLS をサポートしていません。この例では、[なし（None）] を選択します。

   • [信頼できるCA証明書（Trusted CA Certificate）]：暗号化方式を選択する場合、認証局（CA）の証明書をアップロードして、システムとディレクトリ サーバ間の信頼できる接続を有効にします。認証に証明書を使用する場合、証明書内のサーバの名前は、サーバの [ホスト名または IP アドレス（Hostname/IP Address）] と一致している必要があります。たとえば、IP アドレスとして 192.168.1.175 を使用し、証明書では ad.example.com を使用している場合、接続は失敗します。

   
   

   

   
   

5. [テスト（Test）] ボタンをクリックして、システムがサーバに接続できることを確認します。

   サーバ アクセスには異なるプロセスが使用されるため、アイデンティティ ポリシーには使用できるが、リモート アクセス VPN には使用できないなど、あるタイプの使用においては接続が機能するが別のタイプでは機能しないことを示すエラーが表示されることがあります。サーバに到達できない場合は、正しい IP アドレスとホスト名を指定していること、DNS サーバに当該ホスト名のエントリなどが設定されていることを確認します。また、サイト間 VPN 接続が機能していること、サイト A の外部インターフェイス アドレスを VPN に含めていること、および NAT がディレクトリ サーバのトラフィックを変換していないことを確認します。サーバのスタティック ルートを設定する必要がある場合もあります。

6. [OK] をクリックします。

[デバイス（Device）] > [スマートライセンス（Smart License）] > [設定の表示（View Configuration）] をクリックし、RA VPN ライセンスを有効にします。

RA VPN ライセンスを有効にする場合は、購入したライセンスのタイプ（Plus、Apex（または両方）、VPN Only）を選択します。詳細については、リモート アクセス VPN のライセンス要件を参照してください。

サイト A のリモート アクセス VPN を設定します。

1. [デバイス（Device）] をクリックし、[リモートアクセスVPN（Remote Access VPN）] グループで [接続プロファイルの設定（Setup Connection Profile）] をクリックします。

2. AnyConnect クライアントの設定を定義します。

   • [接続プロファイル名（Connection Profile Name）]：スペースを含めずに最大 50 文字で、この接続の名前を指定します。例、MainOffice。IP アドレスは名前として使用できません。

     （注）	ここで入力する名前が、AnyConnect クライアントの接続リストに表示されます。ユーザにとって意味のある名前を選択します。

   • [ユーザ認証用ADレルム/ディレクトリサーバ（AD Realm/Directory Server for User Authentication）][ユーザ認証用アイデンティティソース（Identity Source for User Authentication）]：ディレクトリ レルムを選択します。

   • [AnyConnectパッケージ（AnyConnect Packages）]：この VPN 接続でサポートする AnyConnect の完全なインストール ソフトウェア イメージ。パッケージごとに、ファイル名（拡張子を含む）を 60 文字以下で指定します。Windows、Mac、Linux のエンドポイントに対して別々のパッケージをアップロードできます。

     パッケージは software.cisco.com からダウンロードします（ページの最後に適切な場所へのリンクがあります）。エンドポイントにまだ適切なパッケージがインストールされていない場合、ユーザ認証後に、パッケージをダウンロードしてインストールするように求められます。

   
   

   

   
   

3. [次へ（Next）] をクリックします。

4. デバイス ID とクライアント アドレッシングの設定を定義します。

   • [デバイスIDの証明書（Certificate of Device Identity）]：DefaultInternalCertificate を選択します。これは、デバイスの ID の確立に使用される内部証明書です。クライアントはこの証明書を承認して、セキュアな VPN 接続を完了させる必要があります。他に使用したい証明書がある場合は、ドロップダウン リストで [新しい内部証明書の作成（Create New Internal Certificate）] をクリックして、その証明書をアップロードします。

   • [外部インターフェイス（Outside Interface）]：[外部（outside）]（192.168.4.6 の IP アドレスが設定されているインターフェイス）を選択します。これは、リモート アクセス VPN 接続を行うときにユーザが接続するインターフェイスです。

     
     

     

     
     

   • [外部インターフェイスの完全修飾ドメイン名（Fully-qualified Domain Name for the Outside Interface）]：インターフェイスの名前。例、ravpn.example.com。名前を指定すると、クライアント プロファイルが作成されます。この例では、空白のままにします。

     （注）	VPN およびクライアントで使用される DNS サーバが、外部インターフェイスの IP アドレスに対してこの名前を解決できることを保証する必要があります。関連する DNS サーバに FQDN を追加します。

   • [IPv4、IPv6アドレスプール（IPv4, IPv6 Address Pools）]：これらのオプションでリモート エンドポイントのアドレス プールを定義します。この例では、IPv4 アドレス プールで [新規ネットワークの作成（Create New Network）] を選択し、172.18.1.0/24 ネットワークのオブジェクトを作成して、そのオブジェクトを選択します。クライアントには、このプールからアドレスが割り当てられます。IPv6 プールは空白のままにします。アドレス プールを外部インターフェイスの IP アドレスと同じサブネット上に設定することはできません。

     オブジェクトは次のようになります。

     
     

     

     
     

     プールの仕様は次のようになります。

     
     

     

     
     

   • [プライマリ、セカンダリDNSサーバ（Primary, Secondary DNS Servers）]：この例では、[OpenDNS] ボタンをクリックして、OpenDNS パブリック DNS サーバとともにこれらのフィールドをロードします。RA VPN クライアントは、VPN に接続するときに、これらの DNS サーバのクライアントを使用してドメイン名を解決します。必要に応じて、DNS サーバの IP アドレスを入力します。

   • [ドメイン検索名（Domain Search Name）]：ネットワークのドメイン名（example.com など）を入力します。このドメインは、完全修飾されていないホスト名（たとえば、serverA.example.com ではなく serverA）に追加されます。

     
     

     

     
     

5. [次へ（Next）] をクリックします。

6. AnyConnect クライアントの動作をカスタマイズするための接続の設定を定義します。

   デフォルトの設定はほとんどのネットワークに適しているため、すべてのオプションをデフォルトのままにします。

   [NAT免除（NAT Exempt）] を選択しているため、次のオプションを設定する必要があります。

   • [内部インターフェイス（Inside Interfaces）]：[内部（inside）] インターフェイスを選択します。これらは、内部ネットワークのリモート ユーザがアクセスするインターフェイスです。これらのインターフェイスには NAT ルールが作成されます。

   • [内部ネットワーク（Inside Networks）]：SiteAInside ネットワーク オブジェクトを選択します。これらは、内部ネットワークのリモート ユーザがアクセスするオブジェクトを表すネットワーク オブジェクトです。

   
   

   

   
   

7. [次へ（Next）] をクリックします。

8. サマリーを確認します。

   最初に、サマリーが正しいことを確認します。

   次に、[手順（Instructions）] をクリックして、AnyConnect ソフトウェアをインストールし、VPN 接続を完了できることをテストするためにエンド ユーザが最初に行う必要がある内容を確認します。[コピー（Copy）] をクリックして、それらの手順をクリップボードにコピーし、テキスト ファイルまたは電子メールに貼り付けます。

9. [終了（Finish）] をクリックします。

Web ページの右上にある [変更の展開（Deploy Changes）] アイコンをクリックします。

[今すぐ展開（Deploy Now）] ボタンをクリックして、導入が正常に完了するまで待ちます。