Cisco ASA で AnyConnect 用のコンフィグをメモしておきます。ASA は 9.6(2) を使いました。
検証環境
- WAN 回線は PPPoE 接続
- DNS は Google DNS を利用
- NTP は Google NTP を利用
- AnyConnect はローカル認証（RADIUS や LDAP、クライアント証明書は利用しない）
- AnyConnect 接続時の SSL/TLS サーバ証明書は、ASA の自己証明書を利用
- AnyConnect 接続時はトンネルグループを選択させない
基本的な設定
パラメータ
| 項目 | 値 |
|---|---|
| ホスト名 | asa |
| ドメイン名 | example.local |
| PPPoE 接続ユーザ | PPPoE-USER@DOMAIN |
| PPPoE 接続パスワード | PPPoE-PASS |
| outside インターフェイス | GigabitEthernet1/1 |
| outside アドレス | (PPPoE 接続時、動的に決定) |
| inside インターフェイス | GigabitEthernet1/2 |
| inside アドレス | 172.31.98.253/24 |
| DNS サーバ 1 | 8.8.8.8 |
| DNS サーバ 2 | 8.8.4.4 |
| NTP サーバ 1 | 216.239.35.0 |
| NTP サーバ 2 | 216.239.35.4 |
| NTP サーバ 3 | 216.239.35.8 |
| NTP サーバ 4 | 216.239.35.12 (優先) |
コンフィグ
hostname asa
domain-name example.local
!
username ADMIN password ADMIN-PASS privilege 15
!
vpdn group VPDN-GROUP request dialout pppoe
vpdn group VPDN-GROUP localname PPPoE-USER@DOMAIN
vpdn group VPDN-GROUP ppp authentication chap
vpdn username PPPoE-USER@DOMAIN password PPPoE-PASS
!
interface GigabitEthernet1/1
nameif outside
security-level 0
pppoe client vpdn group VPDN-GROUP
ip address pppoe setroute
no shutdown
!
interface GigabitEthernet1/2
nameif inside
security-level 100
ip address 172.31.98.253 255.255.255.0
no shutdown
!
clock timezone JST 9
!
dns domain-lookup outside
dns server-group DefaultDNS
name-server 8.8.8.8 outside
name-server 8.8.4.4 outside
domain-name example.local
!
no pager
logging enable
!
mtu outside 1454
!
route inside 172.16.0.0 255.240.0.0 172.31.98.254 1
!
object network OBJ_LAN
subnet 172.16.0.0 255.240.0.0
nat (inside,outside) dynamic interface
!
aaa authentication ssh console LOCAL
!
ssh 172.16.0.0 255.240.0.0 inside
ssh timeout 60
ssh version 2
console timeout 60
!
ntp server 216.239.35.0
ntp server 216.239.35.4
ntp server 216.239.35.8
ntp server 216.239.35.12 prefer
!
policy-map global_policy
class inspection_default
inspect icmp
!
no service call-home
clear config call-home
!
endSSH 接続用 RSA 鍵の生成
SSH 接続を受け入れる為に RSA 鍵を生成しておきます。
asa(config)# crypto key generate rsa modulus 2048
WARNING: You have a RSA keypair already defined named <Default-RSA-Key>.
Do you really want to replace them? [yes/no]: yes
Keypair generation process begin. Please wait...AnyConnect の設定
パラメータ
| 項目 | 値 |
|---|---|
| AnyConnect クライアント用アドレス範囲 | 192.168.250.100 〜 199/24 |
| ASA の LAN 側を集約したアドレス | 172.16.0.0/12 |
| AnyConnect 接続ユーザ | USER1 |
| AnyConnect 接続パスワード | USER1-PASS |
コンフィグ
ip local pool POOL_ANYCONNECT 192.168.250.100-192.168.250.199 mask 255.255.255.0
!
object network OBJ_POOL_ANYCONNECT
subnet 192.168.250.0 255.255.255.0
!
nat (inside,outside) source static OBJ_LAN OBJ_LAN destination static OBJ_POOL_ANYCONNECT OBJ_POOL_ANYCONNECT
!
access-list ACL_OUTSIDE-TO-INSIDE extended permit icmp any4 any4 time-exceeded
access-list ACL_OUTSIDE-TO-INSIDE extended permit icmp any4 any4 unreachable
access-list ACL_OUTSIDE-TO-INSIDE extended permit ip object OBJ_POOL_ANYCONNECT object OBJ_LAN
!
access-group ACL_OUTSIDE-TO-INSIDE in interface outside
!
access-list ACL_SPLIT_TUNNEL extended permit ip object OBJ_LAN any
!
webvpn
enable outside
anyconnect image disk0:/anyconnect-win-4.2.04039-k9.pkg 1
anyconnect image disk0:/anyconnect-macosx-i386-4.2.04039-k9.pkg 2
anyconnect enable
!
group-policy POLICY_ANYCONNECT internal
group-policy POLICY_ANYCONNECT attributes
vpn-tunnel-protocol ssl-client
split-tunnel-policy tunnelspecified
split-tunnel-network-list value ACL_SPLIT_TUNNEL
!
tunnel-group DefaultWEBVPNGroup general-attributes
address-pool POOL_ANYCONNECT
default-group-policy POLICY_ANYCONNECT
tunnel-group DefaultWEBVPNGroup webvpn-attributes
group-alias SSL-VPN enable
!
username USER1 password USER1-PASS
username USER1 attributes
service-type remote-access
!
end
コメント