コミュニティ Ask Me Anythingイベント – コンフィグレーション、トラブルシューティングとベストプラクティス: ASAとFTDにおけるAnyConnect Remote Access VPN

[CiscoJapanModerator]

このイベントは先週まで開催されていたAsk Me Anything イベント"Secure Remote Workers" の続編です。

Cisco Adaptive Security Appliances (ASA)とFirepower Threat Defense (FTD)およびそれらをシスコセキュリティポートフォリオデバイスとテクノロジと統合したISEやDuoにおける AnyConnect secure mobilityクライアントのためのコンフィグレーション、トラブルシューティング及びベストプラクティスについて質問できるチャンスです。

このセッションは、SSLと Ikev2を使ったAnyConnectの実行について様々な見地から学び質問出来る機会です。現在のような重大な局面において、所属する組織の安全を確実に守るのに役立つ 必要なセキュリティを提供するAnyConnectのエマージェンシーライセンス、コンフィグレーション、デプロイメントおよびトラブルシューティングなどが含まれます。

このイベントに 参加するには、 ボタンをクリックしてください。

4月6日（月）から17日（金）まで質問を投稿できます。

エキスパート

Dinesh Moudgil はインドのバンガロールにあるシスコのセキュリティチームのHigh Touch Technical Support (HTTS) エンジニアです。シスコテクノロジに勤務して6年以上になり、主にCisco Next Generation Firewalls、Intrusion Prevention Systems、Identity Management ＆ Access Control (AAA) と VPNを担当しています。CCNP, CCDP 及び CCIE #58881 セキュリティ検定、およびACE、 PCNSE 、VCPといった様々なベンダー検定を取得しています。

Pulkit Saxena はシスコのセキュリティドメインのHigh Touch Technical Support (HTTS) エンジニアで7年に亘りチームに貢献しています。複数ファイアウォールや様々なVPNソリューション、AAA、次世代IPSの実地経験があり、様々なトレーニングも行っています。Cisco および Juniperベンダ検定（CCIE Security と JNCIA)を取得しています。

Jason Grudier はノースカロライナ州のローリーでVPN TACチームのテクニカルリーダーをしており、シスコのVPNチームに6年勤務しています。それ以前はLabcorp でネットワークエンジニアをしていました。現在は主に、DMVPN、 GETVPN、 Radius、 LDAPおよび証明書認証、シスコのプラットフォーム全体のAnyConnectのトラブルシューティングとコンフィグレーションに携わっています。

Gustavo Medina はエンタープライズネットワーキングセールスチームのシステムセールスエンジニアで、セキュリティとエンタープライズネットワーキングにおいて10年以上の経験があります。テクニカルエスカレーションやパートナーアドプションからシスコサーティフィケーション評価の改訂に至るまで様々なタスクにフォーカスしてきました。セキュリティのCCNA、 CCNP CCSI およびCCIE (#51487)を取得しています。

質問が多数となる場合、Dinesh、 Pulkit、 Jason、Gustavo の4人とも回答できない場合があります。その場合は、引き続き Securityコミュニティをご利用ください。  

質問を投稿するとコミュニティのすべての言語に翻訳されます。

その他のイベント：https://community.cisco.com/t5/custom/page/page-id/Events?categoryId=technology-support

**役に立ったボタンをクリックして参加者を増やしましょう **
質問に対する回答に 必ず評価をお願いします。

[CiscoJapanModerator]

WindowsとMacでFTDおよびAnyConnect 4.8.02042のプロファイルに問題があります。
スタンドアロンプロファイルエディターで変更を加え、ProgramDataのProfilesフォルダーに移動します。
HostEntryやAllowManualHostInputなどが認識され、適用されています。 ただし、AuthenticationTimeoutとEnableScriptingの変更は反映されていません。

変更を加えるたびに、AnyConnectクライアントを終了してサービスを再起動した後、念のためコンピューターの再起動もしました。
Event Viewerから適用されている設定を確認できます。

デフォルトの設定を使用しています。
ローカルプロファイルの使用が想定されている場合、一部の設定（証明書の照合など）は想定通りに機能しない可能性があります。
選択したホストがプロファイルのサーバーリストセクションにあり、プロファイルがセキュアゲートウェイで構成されていることを確認します。
Profilesフォルダーにファイルがダウンロードされないため、FTDにプロファイルが適用されているようには見えません。
また、バリデータを通じてXSDファイルと共にXMLファイルを送りました。

注）この質問は  evan_stockton による英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが 後ほど和訳を掲載致します。

[jgrudier]

FTDデバイスにそれをアップロードしようとしていますか？そしてそれをユーザが接続しているグループポリシーに適用しようとしていますか？

注）この回答は jgrudierによる英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが 後ほど和訳を掲載致します。 

[CiscoJapanModerator]

いえ、していません。ユーザーの接続後、FTDはプロファイルがないと想定しました。クライアントに何もダウンロードしていません。

注）この質問は  evan_stockton による英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが 後ほど和訳を掲載致します。

[jgrudier]

それから、ローカルのユーザーにプロファイルを作成しようとしていますか。 サポートされているconfig設計ではありませんが、VPNヘッドエンドに接続する際、特定のパラメーターを有効にしたいのであれば、xmlプロファイルにserverlist、hostname、hostaddressセクションの作成が必要です。
パラメータは、デフォルトのグループポリシーの代わりに、残りのプロファイルをヘッドエンド接続にリンクするようになります。FTDに適用し、クライアントが接続時、クライアントにプッシュすることを推奨します。

注）この回答は jgrudierによる英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが 後ほど和訳を掲載致します。 

[CiscoJapanModerator]

当方のプロファイルには、接続したいサーバーのserverlistセクションとhostentryセクションがあります。下記コメントに沿ってフォローしていました。

「OnConnectスクリプトが適切な場所にある状態で、XMLプロファイルを変更し、クライアントにプッシュすれば、機能します。」
https://community.cisco.com/t5/vpn/community-ask-me-anything-configuration-troubleshooting-and-best/m-p/4063991/highlight/true#M271759

GPO/MEMCMの組み合わせを用いて、クライアントにファイルをプッシュします。

注）この質問は  evan_stockton による英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが 後ほど和訳を掲載致します。

[jgrudier]

接続時にクライアントがXMLプロファイルを認識するためには、XMLプロファイルにホスト名/ホストアドレスが必要です。
そうでない場合、デフォルトのプロファイルが使われ、変更したフィールドは有効になりません。

注）この回答は jgrudierによる英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが 後ほど和訳を掲載致します。 

[CiscoJapanModerator]

はい。サーバリスト、ホストエントリ、ホスト名、ホストアドレス、ユーザグループセクションすべてあります。

注）この質問は  evan_stockton による英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが 後ほど和訳を掲載致します。

[CiscoJapanModerator]

FMC2500があり、VMware ESXでFTDvを使用するオプションを検討しています。ASAvではスループットライセンスの購入が必要であると認識していますが、FTDvも同じでしょうか。

自分が把握する限り、最低限必要なものは、
FTDv（展開イメージ）
Hardware（イメージを起動するためVMware ESXで必要）
Availability on the FMC（FMC2500のため、追加ライセンスの必要はなし）
Anyconnect license（接続ユーザー数に応じ、スマートアカウントで利用可能）

ESXがあるため、FMCとAnyconnectの購入を考えていますが、追加するものはない認識であっていますか。

追加の必要がある場合
Threat license（IPS and Security intelligence / geolocationのため）
Malware（転送中のファイルをAMPを介して分析するため）
URL（URLフィルタリングが必要な場合のため）

注）この質問は  giovanni.augusto による英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが 後ほど和訳を掲載致します。  

[Pulkit Saxena]

回答させていただきます。ASAvとは異なり、FTDvにはスループットライセンスは必要ありません。

貴殿の認識で仮想環境でのFTDvセットアップは十分です。
追加機能が必要であれば、ライセンスを購入し、インストールしてください。

注）この回答は  Pulkit Saxena  による英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが 後ほど和訳を掲載致します。

[CiscoJapanModerator]

ありがとうございます。
Firepower Threat Defense Virtualのオーダー案内を拝見しています。少々疑問点があるため、ご教示いただければ幸いです。

https://www.cisco.com/c/en/us/products/collateral/security/firepower-ngfw-virtual/datasheet-c78-742858.pdf

基本ライセンスが適用されるため、FTDvはFMCで動作するファイアウォールに特定のライセンスは必要としない。当方の環境ではThreatとAnyconnectライセンスの購入が必要だと認識しています。

オーダー案内に下記の表がありました。

Cisco Commerceで見積もってみたところ、他のライセンスはゼロコストなのに、当方は要コストです。価格設定についてご教示いただければ幸いです。

Virtual appliance（Smartnetのほか）のゼロコスト、機能ライセンスは要コストと想定していました。
FMCを使用する場合、FPRTD-V-K9ライセンスは必要ですか。

注）この質問は  giovanni.augusto による英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが 後ほど和訳を掲載致します。  

[CiscoJapanModerator]

このイベントに参加したいので登録リンクをシェアしてくださいますか。

注）この質問は sachinshenoy_511257076 による英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが 後ほど和訳を掲載致します。  

[CiscoJapanModerator]

このイベントに参加したいので登録リンクをシェアしてくださいますか。

注）この質問は sachinshenoy_511257076 による英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが 後ほど和訳を掲載致します。  

[Pulkit Saxena]

ご質問の投稿の仕方と同様にして、ここに投稿できます。

オープンプラットフォームとなっております。

イベントページは:

https://community.cisco.com/t5/security-events/community-ask-me-anything-event-configuration-troubleshooting/ba-p/4058831

ディスカッションページは:

https://community.cisco.com/t5/vpn/community-ask-me-anything-configuration-troubleshooting-and-best/m-p/4058826

注）この回答は  Pulkit Saxena  による英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが 後ほど和訳を掲載致します。

[CiscoJapanModerator]

ASAでcisco anyconnect  vpn を利用して投稿したいです。

ASAとISEで必要なライセンスは何ですか。

注）この質問は bluesea2010  による英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが 後ほど和訳を掲載致します。  

[Pulkit Saxena]

Anyconnect ISEポスチャを設定します。
2つのライセンス要件があります。
・ISEでBASEとAPEX。BASEは、各セッションの基本ライセンスが消費されているため、必要不可欠。
・ASAでAnyConnectユーザーライセンス。ユーザー数に応じて要件ごとに。

下記URLで、ISEのライセンス情報をご参照ください。

https://www.cisco.com/c/en/us/td/docs/security/ise/2-1/admin_guide/b_ise_admin_guide_21/b_ise_admin_guide_20_chapter_0110.html#id_24976

構成とフローの理解に役立つドキュメントは下記をご参照ください。

https://www.cisco.com/c/en/us/support/docs/security/adaptive-security-appliance-asa-software/117693-configure-ASA-00.html

https://www.cisco.com/c/en/us/support/docs/security/identity-services-engine/215236-ise-posture-over-anyconnect-remote-acces.html

注）この回答は  Pulkit Saxena  による英語での投稿の翻訳となっております。投稿はコミュニティ内のすべての言語に翻訳されます。
なお、日本語でのご質問は可能です。回答は英語になりますが 後ほど和訳を掲載致します。