セキュリティ製品に関して (エキスパートに質問)

[CiscoJapanModerator]

シスコのサポートエンジニアに質問して疑問を解決できる「エキスパートに質問」へようこそ！
シスコのエキスパートから、アドバイスや最新の情報が得られる場として気軽にご質問ください。

※本ディスカッションは、2名のエキスパートが AnyConnect と Sourcefire についての質問にお答えいたします。Sourcefireに関する質問もこちらの同じスレッドで対応いたしますので、返信ボタンよりご投稿ください。

開催期間: 2015年5月25日～6月7日
担当エキスパート:
AnyConnect: 河野 心平 (Shinpei Kono)

Sourcefire: 江良 章宏 (Akihiro Era)

[質問方法]
・サポートコミュニティへ Cisco.com ID でログインすると、この説明の右下に「返信」ボタンが表示されます。「返信」ボタンのクリック後に表示される投稿欄に質問をご記入ください。「Submit」ボタンをクリックすると質問が投稿されます。
・個別のディスカッションが進行している場合でも、新規質問の投稿は可能です。
※期間終了後の投稿は、事務局より通常コミュニティへの再投稿をご案内させて頂きます。

[エキスパートからの回答について]
・ご質問の投稿から原則数日以内に回答できるよう努めますが、内容によっては、確認に時間をいただく場合もありますのでご了承ください。
・ご質問の内容がエキスパートの担当範囲外の場合は、サポートコミュニティ事務局から適切な投稿先をご案内させて頂きます。
・エキスパートからの回答が参考になった場合は、コメント及び評価機能にてエキスパートにお伝えください。

[制限事項]
・ソフトウェアの不具合に関するご質問は、本ディスカッションの対象外とさせて頂きます。
・ご質問の内容がソフトウェアの不具合に該当するか、詳細な調査が必要と判断した場合は、サービスリクエストでのお問い合わせをご案内させて頂きます。

[BI9123041]

AnyConnect 4.0の発表から時間が経過していますが、iOS(iPhone/iPad)向けソフトウェアのリリース時期はいつごろになりそうでしょうか。

従来のライセンスでAnyconect 4.0を使用できる移行期間が2016/4までということがあり、移行期間中に既存機器を含めて4.0への移行を考えております。

テスト・配布の時間を考えますと、早めに具体的なスケジュールを示していただければと思います。

[Shinpei Kono]

BI9123041 さま

お問い合わせありがとうございます。
iOS(iPhone/iPad)向け AnyConnect 4.0 は間もなくリリース予定です。

具体的なスケジュールについて、公開可能な情報を探したところ、Facebook ページに以下のように記載がありました。こちらは iOS 版 AnyConnect 4.0 に関する記述であるとご認識いただければと存じます。

App Store での公開日時は、弊社でコントロールができないため、2週間という記載についても、あくまで目安としていただけますと幸いです。

本コーナー開催中に公開された際には、本スレッド上で、その旨追記させていただきます。
どうぞよろしくお願い申し上げます。
 

[cja56910tf]

ASA5515X OS:9.4(1) でのSSL-VPN(WebVPN) で WEB画面上に”Javascript(ajax)"で動作するボタンがありますが、クリックしても画面が正常に表示されません。

※FirePass等の他社製品を使用したSSL-VPNアクセスの場合は、当該ページ/ボタンは正しく動作します。

他のサポートコミュニティの投稿でも同様の事象でお困りの方がおられるようですが、回答が投稿されておらず、参考にすることが出来ません。
自分で文献を調べたところ、どうやらASAのSSL-VPNは以下が未対応だということが分かりました。
・難読化されたjavascript
・.NETアプリケーション
・Clientless SSL VPN を介す場合、データの書き換えが発生するがASAは全てのWebコンテンツの書き換えに対応しておらず、一部JavaScriptなどは正常に動作しない場合がある。

画面のボタンの動作にはjqueryというJavascriptのライブラリを使っており、jquery.min.jsというファイルを読み込んでいます。このファイルはファイルサイズを最小に抑える代わりに可読性の低いものになっています。これが『難読化されたjavascript』に該当すると推測しましたが、jquery.min.jsをjquery.js(非難読化)ファイルに置き換えてみましたが、事象は改善されませんでした。

※Smart tunnel を用いると動作しましたが、動作するプラットホームが限定されますし、アドオンのインストールも避けたい理由があります。同様の理由でAnyConnectの場合でも動作しましたが、こちらも避けたいです。

クライアントＰＣ側でFireFoxの開発ツールを用いてデバッグしてみると、画面のボタンをクリックした際に、ajaxを用いてデータを取りに行っているようですが、その要求リクエストが異なっています。

【FirePass】
https://abc.com/f5-w-687474703a2f2f313732$$/service/ajax/json_get_report_info.php?dirId=011040&reportName=&startDate=&endDate=&F5CH=I

【Cisco ASA】
https://192.168.1.66/service/ajax/json_get_report_info.php?dirId=011040&reportName=&startDate=&endDate=

※192.168.1.66は内部ネットワークに存在するDBサーバのアドレスです。
※"abc.com"については適当な値に修正しています。

以下のような感じにならないと動かないのか？？？
https://abc.com/CSCO-xxxxxxxxxxxxxxxxx/192.168.1.66/service/ajax/json_get_report_info.php?dirId=011040&reportName=&startDate=&endDate=

Javascript(ajax)で記述されたページまたはボタンを動作させるための方法または回避策をご教授いただけないでしょうか。
また、ASA の Clientless SSL VPN において、アプリケーションとしてオフィシャルにサポートされているもの・未サポートのものの詳細についてもご教授をお願いできませんでしょうか。

お手数をお掛けしますがよろしくお願い致します。

[Shinpei Kono]

cja56910tf 様

お問い合わせありがとうございます。

すでに販売代理店経由で同様のお問い合わせを頂戴しているようでした。担当の代理店様が提供するサービスと足並みを揃えるため、引き続きケースを通じてやり取りさせていただければと存じます。
そこで、以下は一般的なご案内事項に留めさせていただきますので、何卒ご了承ください。

まず、難読化された Java Script や、.NET アプリケーションで WebVPN のコンテンツリライト機能がうまく動作しない事例はあります。非難読化で対応いただくほか、リライトの問題全体に対する共通の対処策としては、リライトを使用しない(Smart-Tunnel、AnyConnect、APCF...)ことが挙げられます。

導入までにお時間の猶予があれば、リライト機能の動作不具合に焦点を置いて解析調査を行うことも可能です。調査の流れの一例としては、解析に必要となる情報を収集いただき、リライトの動作に影響を与えるソースの調査を行い、被疑箇所が特定できた場合には WeｂVPN のリライト機能の修正に至るケース、または APCF の提供で代替させていただく場合もございます。

次に、以下の要求リクエストの URL については、確かに異なっているように思われます。

> 【Cisco ASA】
>  https://192.168.1.66/service/ajax/json_get_report_info.php?dirId=011040&reportName=&startDate=&endDate=
>
>  ※192.168.1.66は内部ネットワークに存在するDBサーバのアドレスです。
>  ※"abc.com"については適当な値に修正しています。

abc.com が ASA のアドレスとした場合、以下のように変換されると考えます。

https://abc.com/+CSCO+0068747470733a2f2f3139322e3136382e312e3636++/service/ajax/json_get_report_info.php?dirId=011040&reportName=&startDate=&endDate=

残念ながら、いただいた情報から、なぜ Ajax から、このようなリクエストが発生したかを把握することはできません。引き続き、ケースを通じて弊社担当、代理店様とやり取りを継続させていただければと思います。

なお、Smart-Tunnel や AnyConnect といった別のソリューションの実装が要件上難しいとのことですので、 恐れ入りますが、APCF を作成いただき、評価および導入についてもご検討いただけますでしょうか。
弊社から APCF を個別に提供するのは、下記のガイドラインのとおり開発部門からの提供となり、先述のように、基本的にリライトの動作不具合に関する解析調査を行い、原因箇所が判明した場合に、それに即した APCF を提供させていただいております。

APCF Syntax
http://www.cisco.com/c/en/us/td/docs/security/asa/asa94/configuration/vpn/asa-vpn-cli/webvpn-configure-resources.html#pgfId-2886346

Guidelines for APCF
Misuse of an APCF profile can result in reduced performance and undesired rendering of content.
In most cases, Cisco Engineering supplies APCF profiles to solve specific application rendering issues.

こちらは、他社製品で動作する機能について、弊社製品でご期待通りの結果が得られないなか、さらに追加のご負担をおかけする形となり、誠に申し訳ございません。

最後にいただいたご質問については、ご利用の 9.4(1)でサポートされるエンタープライズアプリケーションについては、以下のように紹介しています。

Enterprise Applications Supported
http://www.cisco.com/c/en/us/td/docs/security/asa/compatibility/asa-vpn-compatibility.html?mdfid=284143131#pgfId-240913

個別の Web アプリケーション、コンテンツについては一律に判断はできません。冒頭の.NETアプリケーションを例に挙げると、.NET のフレームワークで開発されたアプリケーションの内容、使用されるフィーチャなどにも依存すると考えられます。

どうぞよろしくお願い申し上げます。

 

[cja56910tf]

大変丁寧なご回答ありがとうございます。

ご指摘の通り販売代理店経由で問い合わせ中ですが、もしかしたら、こちらで回答が得られるかもしれないと思い、藁にもすがる気持ちで投稿させていただいた次第です。

本事象の解決に向けて、引き続きお力をお借りすることになると思いますが、どうぞよろしくお願い致します。

それでは今後の問い合わせ/対応は、ケースオープンしていただいている方にてさせていただきたいと思います。

ありがとうございました。