Cisco SSL VPN Clientを複数NICを持つWindowsサーバへのインストール

[FuzzyBule2011]

２つのNICを持つWindowsサーバ2008R2 上で、片方のNICをCisco SSL VPN用として使い、もう一つは別目的のネットワーク接続に使いたいのですが、

Cisco SSL VPN ClientソフトでVPN AnyConnectへのセッションが確立すると、もう一方のネットワークも使えなくなります。

２つにNICのIPアドレスは別のネットワークセグメントに属しています。デフォルトゲートウェイは２つ設定ができますが、片方には設定していません。

　（両方に設定すると、Cisco SSL VPN ClientソフトでVPN AnyConnectへのセッションを確立しようとするとエラーになります）

Windowsサーバ2008R2で、別目的に使うNICをルーティングして、Cisco SSL VPN Clientソフトがもう一方のNICを使えないようにすると、次のメッセージが出て、

VPN AnyConnectへのセッション確立ができません。

　The Windows Routing and Remote Access service is not compatible with the VPN client. The VPN client cannot operate correctly when this service is running. You must disable this service in order to use the VPN client

Windowsサーバ2008R2 上で２つのNICを使用して、一方はCisco SSL VPN 用に使い、他方を別目的のNICとして使うにはどういう方法があるでしょうか？

[t-yamashita]

こんにちは。

>Cisco SSL VPN ClientソフトでVPN AnyConnectへのセッションが確立すると、もう一方のネットワークも使えなくなります。

具体的にどういう状態でしょうか？もう一方のネットワーク宛の通信も、SSL 化しようとするという事でしょうか？

>もう一方のNICを使えないようにすると、次のメッセージが出て、VPN AnyConnect へのセッション確立ができません。

これは、VPN Client がルーティング＆リモートアクセスサービスをサポートしていない事が原因です。

前提として、SSL-VPN 以外に使用する NIC の通信範囲は、同一セグメント内に限定されると考えます。

[FuzzyBule2011]

相談に乗って頂きありがとうございます。

>>Cisco SSL VPN ClientソフトでVPN AnyConnectへのセッションが確立すると、もう一方のネットワークも使えなくなります。

>具体的にどういう状態でしょうか？もう一方のネットワーク宛の通信も、SSL 化しようとするという事でしょうか？

もう一方のネットワークは、PCからこの「２つのNICを持つWindowsサーバ2008R2」へのリモートログインに使っています。VPN AnyConnectへのセッションが確立すると、PC上でこのサーバとのリモート接続が切れてしまいます。この「２つのNICを持つWindowsサーバ2008R2」を再起動しないとリモートログインができません。

やりたいことは、PCからリモートログインしたサーバ上にCisco SSL VPN Clientソフトをインストールして、このサーバを介してVPN AnyConnectとのセッションを確立したいのです。

[t-yamashita]

ご返信ありがとうございます。

実現できそうな気がします。検証してみますね。

その前に、念のため確認させて頂きたいのですが、リモートログインする

PC と、サーバー間は、同一ネットワークに存在すると考えて間違いないでしょうか？

どうぞよろしくお願い致します。

[FuzzyBule2011]

返信遅れてすみません。

PC と、サーバー間のネットワークは、別セグメントです。

よろしくお願い致します。

[t-yamashita]

現在”スプリットトンネル”はご使用になられていますか？

デフォルトの設定（全てのフローを SSL 化）では、同様の事象を確認できましたが、

スプリットトンネルを使用し、SSL 化するフローを明示的に定義する事で、解決しました。

また、”VPN establishment capability from a remote desktop is disabled”エラー

が出力される場合は、下記の手順で収束します。

1. C:\ProgramData\Cisco\Cisco AnyConnect VPN Client\Profile の下記ファイルを変更し保存する。

"AnyConnectProfile.tmpl"

Find line:

<WindowsVPNEstablishment>LocalUsersOnly</WindowsVPNEstablishment>

Edit line to say:

<WindowsVPNEstablishment>AllowRemoteUsers</WindowsVPNEstablishment>

2. FTP 等で、上記ファイルを ASA（Router）へ転送する。

3. ASA（Router）で新規プロファイルを定義し、ファイルを適用する。

ciscoasa(config)# webvpn

ciscoasa(config-webvpn)# svc profiles MY-PROFILE disk0:/AnyConnectProfile.tmpl

ciscoasa(config)# group-policy my-vpn-group attributes

ciscoasa(config-group-attributes)# webvpn

ciscoasa(config-group-webvpn)# svc profiles value MY-PROFILE

（参考）

https://supportforums.cisco.com/thread/1002225

ご参考になれば幸いです。

[FuzzyBule2011]

「No_Split_Tunnel」（非スプリットトンネル？）という指定でやっています。

これは、接続先から指定されたもので、今まで疑問を持っていませんでした。

「スプリットトンネル」を指定して接続すると、うまく行きました。

本当にありがとうございました。

[t-yamashita]

解決して良かったです。

>前提として、SSL-VPN 以外に使用する NIC の通信範囲は、同一セグメント内に限定されると考えます。

↑ これは間違いでしたね。特に問題ない事がわかりました。

NIC 間のルーティングのみ NG という事のようです。

私も勉強になりました。ありがとうございました。

[FuzzyBule2011]

ご協力、ご教授、本当にありがとうございました。