AnyConnectでの同一IDでの同時接続数の上限をこえた時の動作の変更について

[athirano1]

こんにちは

ASA5500シリーズ（OS: 9.1）＋AnyConnect 3.1を使ってSSL-VPN接続環境を構築し、エンドユーザーにサービスを提供しています。
（クライアントデバイスはWindowsパソコン）

同一ユーザーIDでの同時接続数の上限を超えた場合の挙動について質問させてください。

同一ユーザーIDでの同時接続数の上限は、Group-Policyにてvpn-simultaneous-loginsコマンドで設定します。
上限数を越える接続が発生した場合は、既存のセッションが切断されます。（Preempt）
この動作を変更して、上限数を越える接続試行時は、ユーザーに警告を出して試行中止を促すことは可能でしょうか。

・上限数を増やすことはできない状況です。
　（RADIUS認証時にIPアドレスもアサインする運用のため、ユーザーIDとIPアドレスが１対１対応になるためです。
　　一部のユーザーIDが共用IDのように使用されているため、同時接続が発生してしまうことがあります。）
・ユーザーIDを増やすことは簡単にはできない状況です。
　（ID発行がエンドユーザー管理のため）
・ASA55xxに、ローカル認証用のGroup-Policyを作り、ローカル ユーザーIDで接続し、IPアドレスはASA55xxのIPアドレス プールから払い出す運用にするのが一番簡単です。
　しかし、NW管理者以外のユーザーが、ローカル認証のユーザーIDを使うことができない規則になっています。

既に稼働中のシステムということもあり制限が多いのですが、何か良い方法があれば、お知らせください。

[aktosa · Accepted solution]

すでに把握されている内容かと思いますが、vpn-simultaneous-loginsの動作は、コマンドリファレンス (こちら) で記載されている通り、古いセッションを削除して、新しい要求を受け入れるという動作が仕様動作となり、この動作を変更することはできません。

ClientのOSのクラッシュ等で異常な切断 (abnormal termination) が発生した場合には、ASAだけにセッション情報が残ってしまう状態になります。
新しい接続要求を拒否する動作をした場合、セッションタイムアウトするか、ASAで管理者が手動で切断するまで新しい接続ができないことになります。

このような状況下で、接続できなくなることを防ぐための仕様であるとご理解ください。

[athirano1]

aktosaさん

回答ありがとうございました。
やはり仕様なんですね。
ありがとうございました。