ASA： ASDM 設定を使用したスマートトンネルの設定例

Size: px

Start display at page:

Download "ASA： ASDM 設定を使用したスマートトンネルの設定例"

こうざぶろうおえづか
5 years ago
Views:

1 ASA: ASDM 設定を使用したスマートトンネルの設定例目次概要前提条件要件使用するコンポーネント表記法背景説明スマートトンネルアクセスの設定スマートトンネルの要件と制限事項一般的な要件と制限事項 Windows の要件と制限事項 Mac OS の要件と制限事項設定スマートトンネルリストの追加または編集スマートトンネルエントリの追加または編集 ASDM 6.0(2) を使用した ASA スマートトンネルの設定 (Lotus の例 ) トラブルシューティングクライアントレスポータルでブックマークされたスマートトンネル URL を使用して接続できませんなぜこれが発生するのでしょうかまたどうすれば解決できますか WebVPN で設定されているスマートトンネルリンクの URL を変換できますか関連情報概要スマートトンネルとは TCP ベースのアプリケーションとプライベートサイトとの間の接続のことです経路としてセキュリティアプライアンスを使用したクライアントレス ( ブラウザベース ) の SSL VPN セッションをプロキシサーバとしてセキュリティアプライアンスを使用しますスマートトンネルアクセスを付与するアプリケーションを指定し各アプリケーションへのローカル経路を指定することができます Microsoft Windows で実行されるアプリケーションではスマートトンネルアクセスを付与する条件としてチェックサムの SHA-1 ハッシュを一致させるように要求することもできます Lotus SameTime や Microsoft Outlook Express はスマートトンネルアクセスを付与する可能性があるアプリケーションの例ですアプリケーションがクライアントであるかどうかまたは Web 対応アプリケーションであるかどうかによってスマートトンネル設定では次の手順のいずれか 1 つが必要ですクライアントアプリケーションの場合 1 つまたは複数のスマートトンネルリストを作成し

2 そのリストをスマートトンネルアクセスを提供するグループポリシーまたはローカルユーザポリシーに割り当てますスマートトンネルアクセスが可能な Web 対応アプリケーションの場合その URL を指定する 1 つまたは複数のブックマークリストエントリを作成しそのリストをスマートトンネルアクセスを提供する DAP グループポリシーまたはローカルユーザポリシーに割り当てますクライアントレス SSL VPN セッションを介してスマートトンネル接続でログインクレデンシャルの発行が自動化される Web 対応アプリケーションをリストに載せることもできますこのドキュメントはスマートトンネル機能が既存の構成で設定できるよう Cisco AnyConnect SSL VPN Client の設定がすでに行われており適切に動作することが前提となっています Cisco AnyConnect SSL VPN Client の設定の詳細については ASA 8.x: ASA で AnyConnect VPN Client のスプリットトンネリングを許可する場合の設定例 ) を参照してくださいスマートトンネルとともにスプリットトンネリングを設定する方法の詳細についてはスマートトンネルポリシーの設定を参照してください注 : スマートトンネル機能を設定するため ASA 8.x:ASA で AnyConnect VPN Client のスプリットトンネリングを許可するための設定例の ASDM 6.0(2) を使用した ASA 設定の項で説明する手順 4.b ~ 4.l を実行しないでくださいこのドキュメントでは Cisco ASA 5500 シリーズの適応型セキュリティアプライアンスにスマートトンネルを設定する方法について説明します前提条件要件このドキュメントに関する固有の要件はありません使用するコンポーネントこのドキュメントの情報は次のソフトウェアとハードウェアのバージョンに基づくものですソフトウェアバージョン 8.0(2) を実行する Cisco ASA 5500 シリーズ適応型セキュリティアプライアンス Microsoft Installer バージョン 3.1 によって Microsoft Vista Windows XP SP2 または Windows 2000 Professional SP4 が動作している PC Cisco Adaptive Security Device Manager(ASDM) バージョン 6.0(2) このドキュメントの情報は特定のラボ環境にあるデバイスに基づいて作成されたものですこのドキュメントで使用するすべてのデバイスはクリアな ( デフォルト ) 設定で作業を開始していますネットワークが稼働中の場合はコマンドが及ぼす潜在的な影響を十分に理解しておく必要があります表記法ドキュメント表記の詳細はシスコテクニカルティップスの表記法を参照してください背景説明

3 スマートトンネルアクセスの設定スマートトンネルテーブルにはスマートトンネルリストが表示されます各リストではスマートトンネルアクセスとそれに関連するオペレーティングシステム (OS) で使用可能な 1 つまたは複数のアプリケーションが指定されています各グループポリシーまたはローカルユーザポリシーでは 1 つのスマートトンネルリストがサポートされているためスマートトンネルリストでサポートされるよう非ブラウザベースのアプリケーションをグループ化する必要がありますリストの設定に続いてそれを 1 つまたは複数のグループポリシーまたはローカルユーザポリシーに割り当てることができます注 : スマートトンネル設定の詳細についてはスマートトンネルアクセスの設定を参照してくださいスマートトンネルのウィンドウ ([Configuration] > [Remote Access VPN] > [Clientless SSL VPN Access] > [Portal] [Smart Tunnels]) を使用すると次の手順を完了できますスマートトンネルリストの追加とリストへのアプリケーションの追加スマートトンネルリストを追加しアプリケーションをリストに追加するには次の手順を実行します [Add] をクリックします [Add Smart Tunnel List] ダイアログボックスが表示されますリストの名前を入力し [Add] をクリックします ASDM によって [Add Smart Tunnel Entry] ダイアログボックスが開かれこれによってスマートトンネルの属性をリストに割り当てることができますスマートトンネルに必要な属性を割り当てた後で [OK] をクリックします ASDM によってリストにある属性が表示されますリスト全体の作業を完了するには必要に応じてこれらの手順を繰り返し [Add Smart Tunnel List] ダイアログボックスで [OK] をクリックしますスマートトンネルリストの変更スマートトンネルリストを変更するには次の手順を実行しますリストをダブルクリックするかまたはテーブルにあるリストを選択し [Edit] をクリックします [Add] をクリックしスマートトンネル属性の新しいセットをリストに挿入するかまたはリストにあるエントリを選択し [Edit] または [Delete] をクリックしますリストの削除リストを削除するにはテーブルにあるリストを選択し [Delete] をクリックしますブックマークの追加設定およびスマートトンネルリストの割り当てに続いてサービスのブックマークを追加し [Add Bookmark] ダイアログボックスまたは [Edit Bookmark] ダイアログボックスで [Enable Smart Tunnel] オプションをクリックしてスマートトンネルを使いやすいように設定できますスマートトンネルアクセスを使用するとクライアント TCP ベースのアプリケーションでブラウザベースの VPN 接続を使用してサービスを接続できますプラグインおよび従来のテクノロジーのポート転送と比較してユーザに対して次の利点が提供されますスマートトンネルではプラグインよりも優れたパフォーマンスが提供されますポート転送と異なりスマートトンネルではローカルポートへのローカルアプリケーションのユーザ接続が不要のためユーザの使用感を簡素化できますポート転送と異なりスマートトンネルではユーザに管理権限が不要ですスマートトンネルの要件と制限事項一般的な要件と制限事項

4 スマートトンネルには次のような一般的な要件および制限事項がありますスマートトンネル接続を開始するリモートホストでは 32 ビット版の Microsoft Windows Vista Windows XP または Windows 2000 あるいは Mac OS 10.4 または 10.5 を実行している必要がありますスマートトンネルの自動サインオンは Windows の Microsoft Internet Explorer のみでサポートされますブラウザは Java と Microsoft ActiveX の一方または両方でイネーブルである必要がありますスマートトンネルでは Microsoft Windows およびセキュリティアプライアンスが実行されているコンピュータ間にあるプロキシのみがサポートされますスマートトンネルでは Internet Explorer の設定が使用されます ( つまり Windows のシステム全体での使用が意図されています ) リモートコンピュータでセキュリティアプライアンスへの到達が必要な場合接続の終端の URL はプロキシサービスから除外されている URL のリストにある必要がありますプロキシ設定により ASA に定義されているトラフィックがプロキシを介して通信されるよう指定されている場合すべてのスモールチャネルトラフィックはプロキシを介して通信されます HTTP ベースのリモートアクセスシナリオではサブネットによって VPN ゲートウェイへのユーザアクセスが提供されない場合がありますこの場合 Web とエンドユーザとの間のトラフィックを通信するために ASA の正面に置かれるプロキシによって Web アクセスが提供されますただし VPN ユーザのみが ASA の正面に置かれるプロキシを設定できますこれを行う場合これらのプロキシによって接続方式がサポートされることを確認してください認証が必要なプロキシではスマートトンネルによって基本ダイジェスト認証タイプのみがサポートされますスマートトンネルの起動時にセキュリティアプライアンスによってクライアントレスセッションの開始にユーザが使用したブラウザプロセスからすべてのトラフィックがトンネル内を通過されますユーザがブラウザプロセスの別のインスタンスを起動するとすべてのトラフィックがトンネルに渡されますブラウザプロセスが同じでセキュリティアプライアンスによって指定された URL へのアクセスが提供されない場合ユーザはその URL を開くことができません回避策としてユーザはクライアントレスセッションの確立に使用されたブラウザと異なるブラウザを使用できますステートフルフェールオーバーではスマートトンネル接続は残されませんユーザはフェールオーバー後に再接続する必要があります Windows の要件と制限事項次の要件と制限事項は Windows のみに適用されます Winsock 2 のみで TCP ベースのアプリケーションからスマートトンネルアクセスを行うことができますセキュリティアプライアンスでは Microsoft Outlook Exchange(MAPI) プロキシはサポートされませんポート転送でもスマートトンネルでも MAPI はサポートされません MAPI プロトコルを使用した Microsoft Outlook Exchange 通信ではリモートユーザは AnyConnect を使用する必要がありますスマートトンネルまたはポート転送を使用する Microsoft Windows Vista のユーザは ASA の URL を信頼済みサイトゾーンに追加する必要があります信頼済みサイトゾーンにアクセスするには Internet Explorer を開始し [Tools] > [Internet Options] を選択し [Security] タブをクリックします Vista ユーザはスマートトンネルアクセスを活用するために保護モードをディセーブルにすることもできますただし攻撃に対する脆弱性が大きくなる

5 ためシスコではこの方法を採用しないことを推奨します Mac OS の要件と制限事項次の要件と制限事項は Mac OS のみに適用されます Safari またはそれ以降か Firefox 3.0 またはそれ以降 Sun JRE 1.5 またはそれ以降ポータルページから開始されたアプリケーションのみがスマートトンネル接続を確立できますこの要件には Firefox のスマートトンネルサポートが含まれますスマートトンネルを最初に使用しているときに Firefox の別のインスタンスを開始するために Firefox を使用する場合 csco_st という名前のユーザプロファイルが必要ですこのユーザプロファイルがない場合セッションからユーザに対しプロファイルを作成する旨のプロンプトが表示されます SSL ライブラリに動的にリンクされている TCP を使用するアプリケーションはスマートトンネル経由で動作できます Mac OS 上では次の機能およびアプリケーションはスマートトンネルではサポートされませんプロキシサービス自動サインオン2 レベルのネームスペースが使用されるアプリケーションTelnet SSH および curl などのコンソールベースのアプリケーションlibsocket コールを探す dlopen または dlsym を使用したアプリケーションlibsocket コールを探すために静的にリンクされているアプリケーション設定この項ではこのドキュメントで説明する機能の設定に必要な情報を提供します注 : このセクションで使用されているコマンドの詳細を調べるには Command Lookup Tool( 登録ユーザ専用 ) を使用してくださいスマートトンネルリストの追加または編集 [Add Smart Tunnel List] ダイアログボックスを使用するとセキュリティアプライアンス設定にスマートトンネルエントリのリストを追加できます [Edit Smart Tunnel List] ダイアログボックスを使用するとリストの内容を変更できますフィールド [List Name]: アプリケーションまたはプログラムのリストでの固有名を入力します名前の文字数には制限はありませんスペースは使用しないでくださいスマートトンネルリストの設定に続いてクライアントレス SSL VPN グループポリシーおよびローカルユーザポリシーの [Smart Tunnel List] 属性の隣にリスト名が表示されます設定する予定の他のリストから内容や目的を区別することができる名前を割り当てますスマートトンネルエントリの追加または編集 [Add Smart Tunnel Entry] ダイアログボックスまたは [Edit Smart Tunnel Entry] ダイアログボックスを使用するとスマートトンネルリストにアプリケーションの属性を指定できます [Application ID]: スマートトンネルリストのエントリに名前を付ける文字列を入力します

6 文字列は OS で固有です通常はスマートトンネルアクセスが付与されるようアプリケーションに名前が付けられます異なるパスまたはハッシュ値を指定するために選択するアプリケーションの複数のバージョンがサポートされるようにするにはこの属性を使用して各リストエントリによってサポートされる OS とアプリケーションの名前およびバージョンを指定しエントリを区別できますストリングには最大 64 文字まで使用できます [Process Name]: アプリケーションのファイル名またはパスを入力します文字列には最大 128 文字まで使用できます Windows ではスマートトンネルアクセスのアプリケーションが許可されるにはリモートホストのアプリケーションパスの右側のこの値に完全に一致することが必要です Windows のファイル名のみを指定する場合スマートトンネルアクセスのアプリケーションを許可するために SSL VPN によってリモートホスト上の場所は制限されません別の場所にインストールされたアプリケーションのパスおよびユーザの場合アプリケーションは許可されませんアプリケーションは文字列の右側が入力する値と一致する限りパスに置くことができますスマートトンネルアクセスのアプリケーションがリモートホストの複数のパスの 1 つにある場合にこれを認可するにはアプリケーションの名前および拡張機能のみをこのフィールドに指定するかまたは各パスに固有のスマートトンネルエントリを作成します Windows ではコマンドプロンプトから開始されたアプリケーションにスマートトンネルアクセスを追加する場合 cmd.exe がアプリケーションの親であるためスマートトンネルリストの 1 つのエントリのプロセス名に cmd.exe を指定し別のエントリにアプリケーション自体へのパスを指定する必要があります Mac OS ではプロセスへのフルパスが必要で大文字と小文字が区別されます各ユーザネームのためのパスを規定することを避けるためにティルダを挿入して下さい ( ) 部分的なパスの前に ( たとえば ~/bin/vnc) [OS]: アプリケーションのホスト OS を指定するため [Windows] または [Mac] をクリックします [Hash]:( オプションで Windows のみに適用可 ) この値を取得するには SHA-1 アルゴリズムを使用するハッシュを計算するユーティリティに実行可能ファイルのチェックサムを入力しますこのようなユーティリティの例として Microsoft File Checksum Integrity Verifier(FCIV) を挙げることができますこのユーティリティはで入手できます. FCIV のインストール後スペースが含まれていないパスでハッシュされるアプリケーションの一時コピー ( 例 :c: //fciv.exe) を置きコマンドラインで fciv.exe -sha1 アプリケーションを入力して ( 例 :fciv.exe -sha1 c:\msimn.exe) SHA-1 ハッシュを表示します SHA-1 ハッシュは常に 40 の 16 進数の文字ですアプリケーションでスマートトンネルアクセスを認可する前にクライアントレス SSL VPN によってアプリケーション ID に一致するアプリケーションのハッシュが計算されます結果がハッシュの値と一致するとアプリケーションに対してスマートトンネルアクセスが許可されますハッシュを入力すると SSL VPN によってアプリケーション ID に指定した文字列と一致する不当なファイルが許可されないよう妥当な保証が提供されますチェックサムは各バージョンまたはアプリケーションのパッチによって異なるため入力したハッシュはある 1 つのバージョンまたはリモートホストのパッチのみと照合できますアプリケーションの複数のバージョンのハッシュを指定するには各ハッシュ値に固有のスマートトンネルを作成します注 : ハッシュ値を入力する場合でスマートトンネルアクセスのアプリケーションの将来のバージョンまたはパッチをサポートする場合は将来のその時点でスマートトンネルリストをアップデートする必要がありますスマートトンネルアクセスに突然問題が発生した場合ハッシュ値が含まれているアプリケーションがアプリケーションアップグレードの最新の状態ではないことを示す可能性がありますこの問題はハッシュを入力しないことによって回避できますスマートトンネルリストを設定した場合はそれを次のようにアクティブになるグルー

プポリシーまたはローカルユーザポリシーに割り当てる必要がありますリストをグループポリシーに割り当てるには [Config] > [Remote Access VPN] > [Clientless SSL VPN Access] > [Group Policies] > [Add] または [Edit] > [Portal] を選択し [Smart Tunnel List]

7 プポリシーまたはローカルユーザポリシーに割り当てる必要がありますリストをグループポリシーに割り当てるには [Config] > [Remote Access VPN] > [Clientless SSL VPN Access] > [Group Policies] > [Add] または [Edit] > [Portal] を選択し [Smart Tunnel List] 属性の横にあるドロップダウンリストからスマートトンネル名を選択しますリストをグループポリシーに割り当てるには [Config] > [Remote Access VPN] > [AAA Setup] > [Local Users] > [Add] または [Edit] > [VPN Policy] > [Clientless SSL VPN] を選択し [Smart Tunnel List] 属性の横にあるドロップダウンリストからスマートトンネル名を選択します ASDM 6.0(2) を使用した ASA スマートトンネルの設定 (Lotus の例 ) このドキュメントはインターフェイス設定などの基本設定が完了していて適切に動作していることを前提としています注 : ASA を ASDM で設定できるようにするには ASDM 用の HTTPS アクセスの許可を参照してください注 : WebVPN と ASDM はポート番号を変更しない限り同じ ASA インターフェイス上では有効にできません詳細については ASA の同じインターフェイスで有効になる ASDM および WebVPN ( 英語 ) を参照してくださいスマートトンネルを設定するには次の手順を実行します注 : この設定例ではスマートトンネルは Lotus アプリケーションに対して設定されます 1. スマートトンネルの設定を開始するには [Configuration] > [Remote Access VPN] > [Clientless SSL VPN Access] > [Portal] > [Smart Tunnels] を選択します 2. [Add] をクリックします

[Add Smart Tunnel List] ダイアログボックスが表示されます 3.

8 [Add Smart Tunnel List] ダイアログボックスが表示されます 3. [Add Smart Tunnel List] ダイアログボックスで [Add] をクリックします [Add Smart Tunnel Entry] ダイアログボックスが表示されます 4. [Application ID] フィールドでスマートトンネルリスト内のエントリを指定する文字列を入力します 5. アプリケーションのファイル名および拡張子を入力し [OK] をクリックします 6. [Add Smart Tunnel List] ダイアログボックスで [OK] をクリックします

9 注 : 同等の CLI コンフィギュレーションコマンドを次に挙げます 7. 次のようにして関連付けられているアプリケーションにスマートトンネルアクセスを提供するグループポリシーまたはローカルユーザポリシーにリストを割り当てますグループポリシーにリストを割り当てるには [Configuration] > [Remote Access VPN] > [Clientless SSL VPN Access] > [Group Policies] を選択し [Add] または [Edit] を選択します [Add Internal Group Policy] ダイアログボックスが表示されます

ローカルユーザポリシーにリストを割り当てるには [Configuration] > [Remote Access VPN] > [AAA Setup] > [Local

10 8. [Add Internal Group Policy] ダイアログボックスで [Portal] をクリックし [Smart Tunnel List] ドロップダウンリストからスマートトンネル名を選択して [OK] をクリックします注 : この例ではスマートトンネルのリスト名として Lotus が使用されています 9. ローカルユーザポリシーにリストを割り当てるには [Configuration] > [Remote Access VPN] > [AAA Setup] > [Local Users] を選択し [Add] をクリックして新しいユーザを設定するかまたは [Edit] をクリックして既存ユーザを編集します [Edit User Account] ダイアログボックスが表示されます

10. [Edit User Account] ダイアログボックスで [Clientless SSL VPN] をクリックし [Smart Tunnel List] ドロップダウンリストからスマートトンネル名を選択して [OK] をクリックします注 : この例ではスマートトンネルのリスト名として Lotus が使用されていますスマートトンネル設定が完了しましたトラブルシューティング

11 10. [Edit User Account] ダイアログボックスで [Clientless SSL VPN] をクリックし [Smart Tunnel List] ドロップダウンリストからスマートトンネル名を選択して [OK] をクリックします注 : この例ではスマートトンネルのリスト名として Lotus が使用されていますスマートトンネル設定が完了しましたトラブルシューティングクライアントレスポータルでブックマークされたスマートトンネル URL を使用して接続できませんなぜこれが発生するのでしょうかまたどうすれば解決できますかこの問題は Cisco Bug ID CSCsx05766( 登録ユーザ専用 ) のために発生しますこの問題を解決するには Java Runtime プラグインを旧バージョンにダウングレードします WebVPN で設定されているスマートトンネルリンクの URL を変換できますか ASA でスマートトンネルを使用する場合は URL を変換することおよびブラウザのアドレスバーを非表示にすることはできませんユーザはスマートトンネルを使用するように Web VPN で設定されているリンクの URL を表示できますこのためユーザがポートを変更し他のサービスを使用するためにサーバにアクセスすることが可能になりますこの問題を解決するには WeType ACL を使用します詳細については WebType ACL の作成を参照してください

12 関連情報 Cisco ASA 5500 シリーズ適応型セキュリティアプライアンス AnyConnect VPN クライアントリリース 2.3 のリリースノート ASDM を使用した ASA での SSL VPN Client(SVC) の設定例テクニカルサポートとドキュメント - Cisco Systems

RADIUS サーバを使用して NT のパスワード期限切れ機能をサポートするための Cisco VPN 3000 シリーズコンセントレータの設定

RADIUS サーバを使用して NT のパスワード期限切れ機能をサポートするための Cisco VPN 3000 シリーズコンセントレータの設定目次概要前提条件要件使用するコンポーネントネットワーク図 VPN 3000 コンセントレータの設定グループの設定 RADIUS の設定 Cisco Secure NT RADIUS サーバの設定 VPN 3000 コンセントレータ用のエントリの設定 NT

ASA： ASDM 設定を使用したスマート トンネルの設定例

ASA： ASDM 設定を使用したスマートトンネルの設定例