Re: コミュニティ Ask Me Anythingイベント – コンフィグレーション、トラブルシューティングとベストプラクティス: ASAとFTDにおけるAnyConnect Remote Acce... - 3ページ

CiscoJapanModerator · ‎2020-04-07

このイベントは先週まで開催されていたAsk Me Anything イベント"Secure Remote Workers " の続編です。

Cisco Adaptive Security Appliances (ASA)とFirepower Threat Defense (FTD)およびそれらをシスコセキュリティポートフォリオデバイスとテクノロジと統合したISEやDuoにおける AnyConnect secure mobilityクライアントのためのコンフィグレーション、トラブルシューティング及びベストプラクティスについて質問できるチャンスです。

このセッションは、SSLと Ikev2を使ったAnyConnectの実行について様々な見地から学び質問出来る機会です。現在のような重大な局面において、所属する組織の安全を確実に守るのに役立つ必要なセキュリティを提供するAnyConnectのエマージェンシーライセンス、コンフィグレーション、デプロイメントおよびトラブルシューティングなどが含まれます。

このイベントに参加するには、 ボタンをクリックしてください。

4月6日（月）から17日（金）まで質問を投稿できます。

エキスパート

Dinesh Moudgil はインドのバンガロールにあるシスコのセキュリティチームのHigh Touch Technical Support (HTTS) エンジニアです。シスコテクノロジに勤務して6年以上になり、主にCisco Next Generation Firewalls、Intrusion Prevention Systems、Identity Management ＆ Access Control (AAA) と VPNを担当しています。CCNP, CCDP 及び CCIE #58881 セキュリティ検定、およびACE、 PCNSE 、VCPといった様々なベンダー検定を取得しています。

Pulkit Saxena はシスコのセキュリティドメインのHigh Touch Technical Support (HTTS) エンジニアで7年に亘りチームに貢献しています。複数ファイアウォールや様々なVPNソリューション、AAA、次世代IPSの実地経験があり、様々なトレーニングも行っています。Cisco および Juniperベンダ検定（CCIE Security と JNCIA)を取得しています。

Jason Grudier はノースカロライナ州のローリーでVPN TACチームのテクニカルリーダーをしており、シスコのVPNチームに6年勤務しています。それ以前はLabcorp でネットワークエンジニアをしていました。現在は主に、DMVPN、 GETVPN、 Radius、 LDAPおよび証明書認証、シスコのプラットフォーム全体のAnyConnectのトラブルシューティングとコンフィグレーションに携わっています。

Gustavo Medina はエンタープライズネットワーキングセールスチームのシステムセールスエンジニアで、セキュリティとエンタープライズネットワーキングにおいて10年以上の経験があります。テクニカルエスカレーションやパートナーアドプションからシスコサーティフィケーション評価の改訂に至るまで様々なタスクにフォーカスしてきました。セキュリティのCCNA、 CCNP CCSI およびCCIE (#51487)を取得しています。

質問が多数となる場合、Dinesh、 Pulkit、 Jason、Gustavo の4人とも回答できない場合があります。その場合は、引き続き Securityコミュニティをご利用ください。

質問を投稿するとコミュニティのすべての言語に翻訳されます。

その他のイベント：https://community.cisco.com/t5/custom/page/page-id/Events?categoryId=technology-support

**役に立ったボタンをクリックして参加者を増やしましょう **
質問に対する回答に必ず評価をお願いします。

CiscoJapanModerator · ‎2020-04-10

ありがとうございます。「TunnelOptimizationsEnabled」は、ASAv上のSSL VPNクライアントの速度を少し上げました。

FlexConfigを介してFTD 6.4.0.8デバイスに展開することもできました。
しかしそこでの速度を上げるようには見えませんでした - 私たちはDTLS 1.0の上限に達しているのではないかと推察しています。

私は、この設定を使用することを推奨する最近のTAC記事以外で、関連資料をあまり確認できませんでした:
https://www.cisco.com/c/en/us/td/docs/security/asa/misc/anyconnect-faq/anyconnect-faq.html
他に見逃した資料はありますか？

ちなみにこのENHバグは、Firepower 6.6のリリースで修正済みとしてマークする必要があります:
https://bst.cloudapps.cisco.com/bugsearch/bug/CSCvr51516

注）この質問は Marvin Rhoads による英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが後ほど和訳を掲載致します。

Gustavo Medina · ‎2020-04-10

コンフィグガイド、コマンド参照およびAnyConnectアドミンガイドにこれを含むDOCバグをファイルします。Anyconnect 4.9ではデフォルトで可能になっています。
また、CSCvr51516 を正しい状態に訂正します。

注）この回答は Gustavo Medina による英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが後ほど和訳を掲載致します。

CiscoJapanModerator · ‎2020-04-13

情報ありがとうございます。
明らかにFTDのフレックスコンフィグオプションは下記にリストされていません。
https://www.cisco.com/c/en/us/td/docs/security/asa/misc/anyconnect-faq/anyconnect-faq.html

注）この質問は giovanni.augusto による英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが後ほど和訳を掲載致します。

CiscoJapanModerator · ‎2020-04-10

私のモジュールはシスコモデルsp112で作動しません。

注）この質問は christianbabin98030による英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。

jgrudier · ‎2020-04-10

ご質問の意図が曖昧です。どのデバイスのどのモジュールが作動しないのですか。作動しないというのはどういう状況ですか。

注）この回答は jgrudierによる英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが後ほど和訳を掲載致します。

CiscoJapanModerator · ‎2020-04-10

RA VPNに関するCisco ASA バージョンのお勧めはありますか。

注）この質問は patelvc7601 による英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが後ほど和訳を掲載致します。

Dinesh Moudgil · ‎2020-04-10

ASA OSリリースのお勧めがCCOに投稿されています。5585-X firewall についてお勧めのリリースを見るには下記リンクをクリックしてください。
https://software.cisco.com/download/home/283123066/type/280775065/release/9.8.4%20Interim

注）この回答は Dinesh Moudgil による英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが後ほど和訳を掲載致します。

Cisco Network Security Channel - https://www.youtube.com/c/CiscoNetSec/

Gustavo Medina · ‎2020-04-10

開発では現在以下を推奨しています：

期間を必要とする保守的な顧客の場合は9.8（4.最新）。
9.12（2.最新）は、機能速度を必要とするお客様向けです。
これらは現在cisco.comで公開されているスター付きリリースです。
推奨されるリリースはテレメトリに基づいているため、最新のリリースをデプロイするには時間が必要です。
実際の稼働中のインストールからフィードバックを収集したら、事実情報（お客様が発見した欠陥、TACケース、エスカレーションなど）に基づいた決定を行います。

注）この回答は Gustavo Medina による英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが後ほど和訳を掲載致します。

CiscoJapanModerator · ‎2020-04-10

ファイアパワープロダクトシートを見ているのですが、SSL VPNの情報量についてはどの値を参照すれば良いのか知りたいです。TLSですか？

注）この質問はfengbofeng2224 による中国語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが後ほど和訳を掲載致します。

Pulkit Saxena · ‎2020-04-10

SSL VPN情報量の詳細についてお探しのハードウェアと参照しているドキュメントについてお知らせください。

注）この回答は Pulkit Saxena による英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが後ほど和訳を掲載致します。

CiscoJapanModerator · ‎2020-04-10

12秒の認証タイムアウト問題を解決するために、anyconnectのプロフィールを新しいユーザーに配布するのに時々問題が発生します。
ユーザーはtwo-factor methodとして電話か、テキストメッセージに返信するかを選択できるため問題です。
また、クライアントレスSSLはオフになっていますが、ユーザーはログインして、このポータルを介してファイアウォールから最新のクライアントをダウンロードできます。
私の質問は、クライアントレスVPNをオフにしている場合でも、このクライアントダウンロードにデフォルトのVPNプロファイルを何らかの方法で添付できますか。

注）この質問は david.haughn による英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが後ほど和訳を掲載致します。

jgrudier · ‎2020-04-10

クライアントレス接続からのダウンロードでxmlファイルを排出する実用的な方法はありません。
タイムアウトのためにユーザーが接続に問題を抱えている場合、このxmlプロフィールを排出する最善の方法は、可能であればGPOでこのxmlプロファイルをプッシュすることです。
さらに、ユーザー/パスワード　ログインのみを保持し、ユーザーが変更されたプロフィールをダウンロードするために使用できる別のトンネルグループを作成することもできます。
これによりタイムアウトが変更された後に、正しいトンネルグループとグループポリシーにマッピングできます。

注）この回答は jgrudierによる英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが後ほど和訳を掲載致します。

Gustavo Medina · ‎2020-04-10

ユーザーがAnyconnectクライアントをダウンロードすると、初めて接続したときにプロフィールがダウンロードされます。
あなたのような導入には様々なオプションがあります:

内部へアクセスできない基本的な接続プロフィールとして、two-factor認証不要があります。
これは、ユーザーがプロフィールをダウンロードするためだけのものです。
GPOまたは同様の方法でユーザーにプロフィールを正しい場所に配布します（ユーザーには既にクライアントがインストールされています）。
pre-deploymentオプションを使用し、独自のプロフィールを含めてcustom .MSIパッケージをビルドして配布し、ユーザーがパッケージをインストールすると、プロフィールが準備されます。

注）この回答は Gustavo Medina による英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが後ほど和訳を掲載致します。

CiscoJapanModerator · ‎2020-04-10

VPN接続していないと、ISPから帯域幅の全速度が出ます。SSLVPN（Anyconnect）接続すると、半分も出ません。パケットの負荷なのは理解していますが、解決できるのであれば、方法をご教示ください。

注）この質問は antonkolev による英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが後ほど和訳を掲載致します。

jgrudier · ‎2020-04-10

ここに掲載されている他の質問は読みましたか？Gustavoがほぼ同じ質問に回答しましたのでそれが参考になると思います。それでもご質問があればお知らせください。

注）この回答は jgrudierによる英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが後ほど和訳を掲載致します。

CiscoJapanModerator · ‎2020-04-10

WSAをWeb VPNユーザー (full vpn tunnel) のASAとどう統合しますか。

Anyconnectとumbrellaの統合を優先しますか。

注）この質問は antonkolev による英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが後ほど和訳を掲載致します。

Gustavo Medina · ‎2020-04-10

下記のディスカッションで先ほど回答しました。
https://community.cisco.com/t5/web-security/cisco-anyconnect-wsa-wccp/td-p/2611624
さらにご質問ありましたらお知らせください。

注）この回答は Gustavo Medina による英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが後ほど和訳を掲載致します。

CiscoJapanModerator · ‎2020-04-10

FMCを使ってFTDにWeb VPN SSLを構成するオプションはありますか。

注）この質問は telecomunicacionesexperta による英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが後ほど和訳を掲載致します。

jgrudier · ‎2020-04-10

FMCまたはFDMで管理するFTDにはクライアントなしのVPNのためのオプションはありません。クライアントをダウンロードできるポータルが唯一のオプションになります。

注）この回答は jgrudierによる英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが後ほど和訳を掲載致します。

CiscoJapanModerator · ‎2020-04-10

ネットワークにエンドポイント用のAMPはありません。Anyconnect VPNでAMPを引き続き使用したい場合、必要なライセンスをご教示ください。

AnyCconnect apexライセンスはあり、FTDでAnyConnectを実装し、問題なく動いています。

注）この質問は BasavarajNingappa6558 による英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが後ほど和訳を掲載致します。

コミュニティ Ask Me Anythingイベント – コンフィグレーション、トラブルシューティングとベストプラクティス: ASAとFTDにおけるAnyConnect Remote Access VPN