AnyConnectによるVPN接続後にPCのルーティングテーブルの書き換えが発生する環境での対応

[athirano1]

こんにちは

ASA5545X＋OS:9.6系＋AnyConnect 4.5系で、エンドユーザーにSSL-VPNサービスを提供しています。
インターネット接続環境によっては、AnyConnectによるPCのルーティングテーブルの変更を、常駐アプリ／ブロードバンドルータなどが元に戻そうとする動作が発生するようです。
どなたか、原因と対応の方法をお知らせいただけますでしょうか。
シスコ様のサイト、その他のサイトにも、一般ユーザーによる書き込みはあるのですが、「こうしたら対応できた」という明確な記載は見つかりませんでした。

-----------------------------------------------------------------
■事象
AnyConnectによるSSL-VPN接続後に切断が発生し、20～30秒後に自動的に再接続が行われて、最終的にVPN接続成功という事例が発生しました。

■環境
・フレッツ光ネクストによるインターネット接続時に発生する。
・複数台のPC（複数メーカ）で発生する。
・同一PCでも、Bフレッツ、モバイルWiFiルータ、自宅のインターネット回線（詳細不明）からの接続では事象が発生しない。
・PCのユーティリティによっては、ネットワーク環境を監視してプロファイルに応じたネットワーク設定を行うものがあるが（例：Let's Noteのネットセレクタ―）、それを無効化しても効果がなかった。
パナソニック以外のPCでも、同じ症状が発生する。

■DARTログによる解析
遠方のユーザのため、DARTログを取って送ってもらいました。確認したところ、以下の動作が確認できました。
VPN接続直後、AnyConnectが追加したルーティングテーブルのエントリーを削除（VPN切断）
→AnyConnectの「automatic correction of the routing table機能」が検知して、再度エントリーを追加
→再度、エントリーが削除され（VPN切断）
→再度、AnyConnectがエントリーを追加して終了（これ以降は使用可能）

DARTログには、以下のログがあります
・automatic correction of the routing table
・Automatic correction of the routing table has been successful.
・The entire VPN connection is being reconfigured.
・The entire VPN connection is being re-established.
・The Primary DTLS connection to the secure gateway is being torn down.
・Notifying higher levels of the routing change notification for possible further corrective action.

PCのルーティングテーブル情報もログに残っており、以下のパターンがあります
・Routing table - Original（VPN接続直後）
・Routing table - Modified（PC／ルータにより書き換えられた後）
・Routing table changes　　（AnyConnectが再設定した後）


一旦削除されたエントリーは以下のものです
・ASAのグローバルIP宛の経路
・デフォルトゲートウェイはASAであるという経路情報　など

補足
・Split Tunnelの設定により全ての通信はトンネリング対象です。
・ただしLocal LANアクセスを有効化して、同一セグメント内は、トンネリング対象外にしています。

■質問内容
・類似の事象を経験された方はいますでしょうか？
・フレッツのルータがPCのルーティングテーブルを監視して、必要に応じて書き換えを行うことはあるのでしょうか？
・ASAのconfigへの設定追加で、回避できる余地はあるのでしょうか？
　あまり根拠は無いのですが、Group-policy内で設定可能なClient bypass protocolの設定を有効化することで回避は可能でしょうか？
　この機能は「IPv4でのAnyConnect接続を想定している環境で、IPv6をどう扱うか（バイパスするか）」（またはその逆）のための設定だと思うので、あまり効果ができない気もしています。。
　
■添付ファイル
ＤＡＲＴログの抜粋を添付します
　
よろしくお願いします。

[athirano1]

こんにちは
投稿したathirano1です。
対応方法が分かりました。
Group-Policyでdtlsを無効化することで対応できました。

何らかの理由でDTLSによるVPNトンネルがうまく構成できずに、その結果としてPCのルーティングテーブルからAnyConnectのためのエントリが削除されたと推測されます。
そして、再接続を試行して最終的にはVPN接続成功となったようです。
（遠隔地のユーザーのサポートのため推測になりますが、これで間違いなさそうです。）

以前、社内NWのような、dtls(udp:443)をFWでドロップする環境向けにGroup-Policyでdtlsを無効化したことがあります。あの時は、DARTログを見ても分かりやすかったですし、シスコ様のFAQなどにも事例が載っているため分かりやすかったのですが、今回は、ルーティングテーブル書き換えのログに注目しすぎて、DTLSによるトンネル作成エラーのログに気が付くのが遅れてしまいました。