AnyConnect (Windows) 接続時のエラー (Login denied)

[Yoshihiro Hagiwara]

はじめに

本ドキュメントでは AnyConnect 3.x 以降の Version で 、AnyConnect （Windows)  接続時に「 Login denied,**** 」と表記されて接続できない２つのケースについて　ご紹介いたします。

"Login denied, You do not meet the requirements to connect to the VPN, please contact your　administrator." エラーについて

"Login denied, You do not meet the requirements to connect to the VPN, please contact your administrator."

上記エラーメッセージは AnyConnect が接続時のクライアント端末の環境が、Dynamic Access Policy (DAP) の条件と合致しない場合が考えられます。

設定した Dynamic Access Policy の条件の確認

ASDM から ASA にアクセスし、Configuration > Remote Access VPN > Network (Client) Access > Dynamic Access Policies　に移動して、現在のコンフィグを確認します。

設定した内容が、接続したクライアントの条件と合致しているかコンフィグを見直します。詳細な Dynamic Access Policy の設定は導入ガイドを参照ください。

ASA 8.x ダイナミック アクセス ポリシー（DAP）導入ガイド
http://www.cisco.com/cisco/web/support/JP/111/1110/1110300_dap-deploy-guide-j.html

"Login Denied, unauthorized connection mechanism, contact your administrator" エラーについて

"Login Denied, unauthorized connection mechanism, contact your administrator"

上記エラーメッセージは AnyConnect の接続時の ASA 上の接続要件の設定とクライアント端末上のプロファイルの接続要件の設定が合致していない場合が考えられます。（たとえば、ASA の tunnel group の設定が SSL-VPN に対して、クライアント上のプロファイルが IPSec となっている。または、その逆の場合など。）

1：設定した Group Policies の条件を確認

ASDM から ASA にアクセスし、Configuration > Remote Access VPN > Network (Client) Access > Group Policies　に移動して、現在のコンフィグを確認します。

Tunnenling Protocol の設定情報を確認し AnyConnect Client Profiles の設定と比較します。

2：設定した AnyConnect profile の条件を確認

ASDM から ASA にアクセスし、Configuration > Remote Access VPN > Network (Client) Access > AnyConnect Client Profiles　に移動して、現在のコンフィグを確認します。

該当の AnyConnect Profle を選択し、Editボタンを押下します。

左の欄から Server List を選択し、右の画面の該当の List を選択し Edit ボタンを押下します。

Primary Protocol がGroup Policy に設定した Protocol であるか確認します。意図したプロトコルでない場合に修正して保存します。（上記の例では、Group Policy の設定が SSL-Client ですが、AnyConnect Client Profile 上の設定が IPSec となり、設定した内容が相反しています。）

参考情報

ご参考までに AnyConnect のエラーメッセージについては以下にも記載がございます。
AnyConnect VPN Client Troubleshooting Guide - Common Problems Error Messages
http://www.cisco.com/c/en/us/support/docs/security/asa-5500-x-series-next-generation-firewalls/100597-technote-anyconnect-00.html#anc18