MXでAnyConnect クライアントVPN を使用する (Secure Client VPN)

概要

Cisco AnyConnect Secure Mobility Client は、エンドユーザーにとってリモート アクセスをより簡単にし、常に高い水準のユーザー体験を提供します。幅広い PC およびモバイル デバイスで、非常に安全な接続体験を実現できます。このドキュメントでは、Meraki アプライアンスにおける AnyConnect の統合に関する情報と、Meraki ダッシュボード上で AnyConnect を設定する手順を説明します。

AnyConnect クライアントのダウンロードと展開
AnyConnect の認証方式
AnyConnect トラブルシューティング ガイド
AnyConnect のロード シェアリング
MX アプライアンスでの AnyConnect ライセンス
ASA と MX における AnyConnect の違い
Secure Connect（AnyConnect）Cisco TAC サポート
Cisco Secure Client 診断およびレポート ツール（DART）の使用
FAQ

機能

MX 上の AnyConnect VPN サーバーは、トンネリングに Transport Layer Security（TLS）および Datagram Transport Layer Security（DTLS）を使用します。リモート アクセス接続を正常に終端するには、Windows、macOS、Linux、またはモバイル デバイスで AnyConnect VPN クライアント バージョン 4.8 以降が必要です。AnyConnect クライアントは AnyConnect サーバーとトンネルをネゴシエートし、AnyConnect サーバー（MX）上、またはそれに接続されたリソース/ネットワークへアクセスできるようにします。ホスト スキャンや Web 起動などの機能もサポートする Adaptive Security Appliance（ASA）での AnyConnect 実装と異なり、MX セキュリティ アプライアンスは SSL、VPN、および MX で追加設定を必要としない他の AnyConnect モジュールをサポートします。詳細は、ASA と MX における AnyConnect の違いを参照してください。 

注意事項

AnyConnect を有効化する前に、次の注意事項を確認してください。

• サポートされる MX モデル: MX600、MX450、MX400、MX250、MX105、MX100、MX95、MX85、MX84、MX75、MX68(W,CW)、MX67(C,W)、MX65(W)*、MX64(W)*、Z3(C)、Z4(C)、vMX

• いずれか一方の MX セキュリティ アプライアンスでの NAT 例外（No NAT） または AnyConnect は、WAN アップリンクごとに有効化できます。

• IPsec と AnyConnect は、設定済みの同一 RADIUS サーバーおよび Active Directory サーバーを共有します。

• AnyConnect は現在、セルラー アップリンク（内蔵または USB モデム）をサポートしていません。

ダッシュボードで AnyConnect を有効化する方法

注意事項を確認したうえで、MX セキュリティ アプライアンスを必要なファームウェア バージョンへアップグレードしてください。

• AnyConnect を有効化するには、ネットワークのファームウェア バージョンが最小要件を満たしていることを確認してください。MX64(W) と MX65(W) はファームウェアが 17.6 以降である必要があり、それ以外のサポート対象モデルは最新の MX-16 ファームウェアが必要です。アップグレードは、オーガナイゼーション > 監視 > ファームウェアアップグレード から管理できます。ファームウェア アップグレードの詳細は、ファームウェア アップグレードの管理を参照してください。

サーバー設定

AnyConnect VPN を有効にするには、セキュリティ & SD-WAN  > 設定 > クライアント VPN>  Cisco Secure Client の設定 タブの Cisco Secure Client の設定 のラジオ ボタンで 有効にする を選択します。次の AnyConnect VPN オプションを設定できます。

クライアント ルーティング

1. VPN経由ですべてのクライアントトラフィックを送信: ​​フルトンネルと同じです。クライアントからのすべてのトラフィックが VPN トンネル経由で送信されます。
2. 以下に指定した宛先に向かうトラフィックを除くすべてのトラフィックを送信: 除外を伴うフルトンネルと同じです。設定すると、クライアントは構成したサブネット宛てのトラフィックを除き、すべてのトラフィックを VPN 経由で送信します。このオプションは Android デバイスではサポートされません。
3. 以下に指定した宛先のトラフィックのみをVPNへ送信する: スプリット トンネルと同じです。設定すると、クライアントは構成したサブネット宛てのトラフィックのみを VPN 経由で送信します。それ以外のトラフィックはローカル ネットワーク経由で送信されます。

グループ ポリシー

リモート アクセス接続に対するアクセス制御の重要性はいくら強調しても足りません。複数のアドレス プールを使用してユーザーをセグメント化する管理者もいれば、既存サブネットへの VLAN タギングを使用する管理者もいます。ただし、クライアント VPN の観点では、複数サブネットや別 VLAN を用意するだけでは、それ自体がアクセス制御になるわけではありません。ユーザー同士、または他のネットワーク リソースへのアクセスを分離するのは、アクセス ルールの存在とその適用です。たとえば、ユーザーが異なる VLAN にいても、どこかでアクセス ポリシーが適用されていなければ、ユーザーは何にでもアクセスできてしまいます。 
 
MX 上の AnyConnect は、クライアント VPN ユーザーに対する複数 VLAN や複数アドレス プールをサポートしていません。ただし MX は、認証時に AnyConnect ユーザーへポリシーを適用し、強制できます。また、MX のクライアント VPN の観点では、ユーザーが同一サブネットであっても同一 VLAN にいることを意味しない点にも注意が必要です。ユーザーには、ダッシュボードで設定したプールから /32 アドレス（単一アドレス）が割り当てられます。そのうえでグループ ポリシーを使用し、同じ AnyConnect サブネット上のユーザー同士、またはネットワーク上の他リソースへの通信を制限できます。

クライアント VPN 接続  

クライアント側の表示:
クライアントの左下にあるグラフをクリックすると、クライアントの統計情報と接続の詳細を確認できます。 

クライアントは Route Details タブで利用可能なルートも確認できます。セキュア ルートは VPN 経由でクライアントがアクセス可能ですが、非セキュア ルートは VPN 経由ではアクセスできません。非セキュア ルートはスプリット トンネリングを設定している場合に表示されます。 

接続ログは Message History タブで確認できます。

ダッシュボード側の表示:

クライアント VPN を設定した後、ネットワークに接続しているユーザー数を確認するには、ネットワーク全体 > 監視 > クライアント に移動します。AnyConnect クライアントは AnyConnect アイコン付きで表示されます。検索メニューでクライアント VPN を指定してフィルタできます。

イベント ロギング

利用可能なイベントをすべて表示するには、ネットワーク全体 > 監視 > イベントログ に移動し、表示するイベントタイプを指定 フィールドを AnyConnect でフィルタします。

ログオン/ログオフ イベントを確認するには、ネットワーク全体 > 監視 > イベントログ に移動し、VPN client connected と VPN client disconnected でフィルタします。

MX モデル別のサポート セッション数

以下は MX モデルごとの許容セッション数です。制限に達すると、新規セッションは確立されません。

FAQ 

1. Meraki が提供するパブリックに信頼された証明書は、誰が署名しますか？
   パブリックに信頼された認証局（CA）が署名します。

2. MX のサーバー証明書として、自分のホスト名やパブリックに信頼された証明書を使用できますか？
   はい。詳細は カスタム ホスト名証明書 を参照してください。

3. Meraki MX で AnyConnect はどのようにライセンスされますか？
   MX における AnyConnect のライセンスを参照してください。

4. AnyConnect をサポートする MX/vMX モデルはどれですか？ 
   注意事項セクションを参照してください。

5. AnyConnect プロファイルは使用できますか？
   はい。AnyConnect プロファイル セクションを参照してください。MX からプッシュできるのは VPN プロファイルのみです。Umbrella プロファイルなどのその他のプロファイルは MX からはプッシュされません。

6. ユーザーの種類ごとに、異なるスプリット トンネル ルール/VLAN/IP アドレス プールを設定できますか？
   現時点ではできません。ただし、RADIUS で認証する場合は、グループ ポリシーを使用して、認証時にユーザーまたはユーザー グループにアクセス ポリシーを適用できます。

7. 証明書ベース認証はできますか？
   はい。ユーザー名とパスワードに加えて使用できます。詳細は 証明書ベース認証 セクションを参照してください。証明書のみの認証は現在ベータ版です。詳細は 証明書のみの認証 を参照してください。

8. AnyConnect クライアントはどこからダウンロードできますか？
   ダッシュボードの AnyConnect 設定ページの Client Connection セクション、または cisco.com からダウンロードできます。

9. AnyConnect 機能およびファームウェアの既知の問題/注意事項は何ですか？
   注意事項セクションを参照してください。

10. どの機能がサポートされていますか？Umbrella、ポスチャ スキャン、802.1X などに対応する予定はありますか？
    VPN のみです。ただし、追加のサーバー サポートを必要としない他の AnyConnect モジュールも使用できます（例: DART、Umbrella）。MX は現時点で Web 起動、クライアント ソフトウェアの展開、更新をサポートしていないため、これらのモジュールは別途展開および設定が必要です。詳細は ASA と MX における AnyConnect の違い を参照してください。 

11. AnyConnect の IKEv2 を使用して MX アプライアンスに接続できますか？
    いいえ。MX で AnyConnect がサポートするのは TLS 1.2（19.1 以降では TLS 1.3）および DTLS 1.2 接続のみです。

12. MX で L2TP/IPsec クライアント VPN と AnyConnect VPN を同時に実行できますか？
    はい。

13. AnyConnect で MX の内側インターフェイスに接続できますか？たとえば LAN 側から MX に接続できますか？
    いいえ。現時点でサポートされるのは WAN 側からのインバウンド接続のみです。

14. AnyConnect はいつ一般提供（GA）になりましたか？
    AnyConnect は、2022 年 3 月にリリースされた MX 16.16 以降のファームウェアで一般提供（GA）となりました。

15. Cisco AnyConnect のカスタム サーバー証明書では、ワイルドカード証明書を使用できますか？ 例: XXX.mycompany.com とワイルドカード証明書 *.mycompany.com の比較

     ワイルドカード証明書はサポートされていません。