aktosa様
お世話になっております。athirano1です。
ご回答ありがとうございました。
私の勤務先はサービスリクエストをあげるための契約をシスコ様と結んでいないため、追加で質問させてください。
可能であればご回答いただければと思います。
■現状
１．Windows7または10標準のVPNアプリからのIPsecVPN(IKEv2)接続時には現在も失敗している状況です。
debug aaa authentication、debug crypto ikev2 protocolコマンドで確認したところ、どうもRADIUSサーバとの通信を行っていないようでした。
２．同じCiscoASAに対して、AnyConnect 4.5.02033からIPsec (IKEv2)で接続すると接続できます。ただし、設定はDefaultWEBGroupに入れています。DefaultWEBGroupから設定を削除すると、同じ設定がDefaultRABGroupに入っていても接続に失敗します。
・接続成功時にshow vpn-sessiondb detail anyconnectコマンドで確認したところ、
ProtocolやEncryptionなどはIKEv2と表示されますが、
接続Tunnel GroupはDefaultRAGroupではなくDefaultWEBGroupでした。
・show vpn-sessiondb detail ra-ikev2-ipsecコマンドを打つと
INFO: There are presently no active sessions of the type specified.とでます。
参考までに、以下のコマンド出力結果を添付します。
show vpn-sessiondb
show vpn-sessiondb detail anyconnect
■質問
１．同じIKEv2によるIPsec-VPN接続でも、AnyConnectからの接続と、Windows標準VPNソフトからの接続は、別物なのでしょうか。
接続するデフォルトのTunnel Groupが、DefaultRAGroupになるかDefaultWEBGroupになるかの違いは、どこから出てくるでしょうか。
マニュアル「マニュアル 3：Cisco ASA シリーズ VPN CLI コンフィギュレーション ガイド バージョン 9.1」
（https://www.cisco.com/c/ja_jp/td/docs/sec/firewall/asa5500nextgenerationfire/cg/002/-asa-vpn-cli/vpn-groups.html）を見ると
「ASAには、LAN-to-LAN 接続用の DefaultL2Lgroup、リモートアクセス用の DefaultRAgroup、および SSL VPN（ブラウザベース）接続用の DefaultWEBVPNGroup という、デフォルト接続プロファイルがあります。」
と記載がありますので、普通に考えると自動的にDefaultRAgroupが選択されそうな気がするのですが。。
２．仮にWindows標準VPNソフトから接続できたとしても、やはり複数のGroup-Policyを使い分けることはできない と考えてよろしいでしょうか。
現在はAnyConnectによるSSL-VPNでユーザーにサービスを提供しており、複数のGroup Policyを使い分けて、ユーザーグループごとに異なる設定（IPアドレスアサイン、DNSサーバのIPのアサインなど）を行なっています。
よろしくお願いします。
