更新日：2026.9.6
| このページの内容 |
今回の目的
 |
前回、Cisco Secure AccessとFGVM間のIPsec接続設定を行った。 今回は上図の赤枠のVPN接続設定を見ていきたい。 なお、PC1が今回VPN接続するのはクラウドサービスであるSecure Accessだ。クラウドサービスで提供されるVPN接続サービスなのでVPNaaS（VPN as a Service）と呼ばれている。 |
 |
なるほど。で、これが繋がると、PC1からAWS内のサーバにようやくアクセスできるようになるってことですね。 |
|
そうだね。 |
リモートアクセス端末に払出すIPプールの設定
|
まずはリモートアクセス端末に払出すIPプールを設定します。今回は10.34.0.0～10.34.0.239までをクライアント端末に払出すIPにします。また、10.34.0.240～10.34.0.255（10.34.0.240/28）を、Cisco側がシステム用に確保するIPとして提供します。 |
①Connect → End User Connectivity → Manageへ。
②Add IP Poolへ。
③Regionは今回はAsia Pacific（Tokyo）を選択。
Displaynameは任意の名前を入力。今回はIPPOOL_10-34-0-0_24にしました。DNS ServerのAddへ。
④DNS設定画面が新たに表示されます。
DNS group nameは任意の名前を入力。今回はADサーバが内部DNSサーバになっているためADserversにしました。
DNS Server1とServer2にはADサーバのアドレスを入力しSaveへ。
⑤元の画面に戻ったらSystem IP Poolを入力。System IP Poolはクライアント端末に払出されるアドレスではないです。
Secure Access自身が社内のRadiusサーバにアクセスするときなどに、送信元IPとして使うアドレスとのこと。
今回は10.34.0.240/28をSystem IP Pool用として入力。
そしたら画面下のほうのAdd IP Poolへ。
⑥Add IP Poolという画面が開く。
IP pool nameに任意の名前を入力。今回はIPPOOL_10_34_0_0-239にしました。今回は10.34.0.0～10.34.0.239をクライアント端末に払出そうと思うので、この名前にしました。
IPv4 subnetsには、10.34.0.0～10.34.0.239をすべてカバーできるように5つのサブネットを入力。
そしたら下のほうのSave & Add IP poolへ。
※押しても元の画面に戻らない時は右上の「×」で閉じる。
⑦元の画面に戻るとIPプールの設定が反映しているのでSave。
⑧Virtual Private Networksへ。
VPN profileの作成
|
続けてVPN接続するためのprofileを作成します。 |
①Connect → End User Connectivity → + VPN Profileへ。
②任意のVPN Profile nameを入力。今回はVPN_prof_202607にしました。
General SettingsのDisplay nameもVPN_prof_202607に。これが各PCにインストールするクライアントソフト（secure client）上で表示される名前になります。
Default Domainはも任意のものを入力。今回はADサーバで利用中のドメインにしました。
IP PoolsのところのAssign IP Poolsへ。
③画面右側に下図が表示される。
クライアント端末に払出すIPを選択する。今回は赤枠のとおりIPPOOL_10_34_0_0-239を選択しSave。
④元の画面に戻ったらNext。
⑤Download Service Provider XML fileをクリックしXMLファイルをダウンロードする。
ファイル名：VPN_prof_202607_saml_metadata.xml
⑥Entra IDの画面を開き、Enterprise applications → New applicationへ。
⑦Create your own applicationへ。
⑧任意のアプリ名を入力。今回はSAML_for_CSA_VPNaaSにしました。そしたらCreateへ。
⑨Assign users and groupsへ。
⑩Add user/groupへ。
⑪None Selectedへ。
⑫画面右側に下の画面が表示される。今回はentra_user1～4を選択し左下のselectへ。
⑬Assignへ。
⑭Single Sign-onへ。
⑮SAMLへ。
⑯Upload metadata fileへ進み、先程Secure AccessからダウンロードしたXMLファイル（VPN_prof_202607_saml_metadata.xml）をアップロード。
⑰Federation Metadata XMLのDownroadへ。
ファイル名：SAML_for_CSA_VPNaaS.xml
⑱Entra IDからダウンロードしていたXMLファイル（SAML_for_CSA_VPNaaS.xml）をアップロードしNext。
⑲そのままNext。
⑳そのままSave。
Private Resourceの作成
|
続けてPrivate Resourceを作成します。これはFirewallのオブジェクト作成機能の一種で、リモートアクセスで通信できる宛先を指定するために作成します。今回はAWSの172.17.1.0/24のサブネットをPrivate Resourceとして作成します。 |
①Resources → Private Resources → Add a Private Resourceへ。
②任意のPrivate Resource Nameを入力する。今回は172-17-1-0-24にしました。
Internally reachable addressにAWSのsubnetである172.17.1.0/24を入力。
ProtocolはAny TCP,Any UDPを選択。
※TCPとUDPだけでなくICMPも通るようになります。
③先程の画面を下にスクロールし、VPN connectionsにチェックを入れSave。
④Private Resourceが作成されました。
Access policyの作成
|
続いてパケットフィルタリングルールであるAccess Policyを作成します。リモートアクセス通信（Private Access）はデフォルトで暗黙のdenyが入っている為、明示的に許可するポリシーを作成しないと通信ができません。 今回は 「Entra IDで取り込んだユーザ → AWSの172.17.1.0/24のサブネット」 の通信はすべて許可するポリシーを作成します。 |
①Secure → Access Policy → Add Rule → Private Accessへ。
②Rule nameに任意の名前を入力。今回はVPNaaS_to_172_17_1_0_24にしました。
③先程の画面を下にスクロールしFromへ。今回はentra_user1～entra_user4を選択。
④Toのところで、先程作成した172-17-1-0-24を選択。そしたらNextへ。
⑤そのままSave。
Secure Clientをインストール
|
続けて、PC1に専用のクライアントソフトであるSecure Clientをインストールする方法を見ていきます。 |
①Connect → End User Connectivity → Cisco Secure Clientへ。
②今回の検証PCはWindows 11 64bit版なので、赤枠をクリック。
cisco-secure-client-win-5.1.18.314-predeploy-k9.zipがダウンロードされるので展開する。
③ZIPファイルの展開すると下図の通り。msiファイルをすべて検証PCに移動。
※secure clientは下図の通り機能毎にインストーラが分かれています。必要な機能に応じて必要なインストーラを使ってインストールしていくということです。このページの検証の場合はcisco-secure-client-win-5.1.18.314-core-vpn-predeploy-k9.msiだけでよいのですが、一応すべて移動しておきます。
④cisco-secure-client-win-5.1.18.314-core-vpn-predeploy-k9.msiを開くと下図が表示されるのでNextへ。
⑤Acceptにチェックを入れてNext。
⑥Installへ。Finishボタンが表示されたらFinishを押して完了。
VPN接続を試行
|
続いてVPNを接続する方法を見ていきます。 |
①赤枠のVPN接続用FQDNをメモしておく。
②Secure Clientを起動し、先程コピーしていたVPN接続用FQDNを入力してConnect。
③Entra IDのログイン画面が表示される。アカウントを入力してNext。その後、PWの入力も行う。
④無事、接続完了。
⑤Monitor → Remote Access Logに進むと、VPN接続されたログが表示されている。端末には10.34.0.11が割り当てられている。
動作確認
|
それでは最後に動作確認を。下図のようにPC1からAD1へPing、Trace、RDP（Remote desktop）を実施してみる。 |
| PC1 → AD1へPingOK！ |
| C:\Users\sirtu>ping 172.17.1.90 Pinging 172.17.1.90 with 32 bytes of data: Reply from 172.17.1.90: bytes=32 time=12ms TTL=122 Reply from 172.17.1.90: bytes=32 time=11ms TTL=122 |
| PC1 → AD1へTraceOK！ |
| C:\Users\sirtu>tracert -d 172.17.1.90 Tracing route to 172.17.1.90 over a maximum of 30 hops 1 8 ms 5 ms 5 ms 169.254.131.2 2 7 ms 7 ms 6 ms 10.108.8.1 3 8 ms 8 ms 7 ms 10.108.8.2 4 9 ms 9 ms 9 ms 10.117.8.2 5 * * * Request timed out. 6 * * * Request timed out. 7 13 ms 10 ms 11 ms 172.17.1.90 |
|
Ping、TraceともにOKですね。Traceで途中で表示されている10.108.8.1とか10.117.8.2はなんのアドレスなんですか？ |
|
調べたけど詳細はわからなかった。けど私がAWSとかで使っているアドレスではないので、Ciscoがシステム内で使用しているアドレスだと思う。Traceの結果で表示されるアドレスは、実通信用ではなく管理用のループバックアドレスということもあるので、今回もそうなんじゃないかなと。 ということで次はRDPを。 |
①PC1でRDP接続画面を起動し、AD1のホスト名「EC2AMAZ-NLBG2L7」を入力しConnect。
②IDとPWの入力画面が表示され、入力して進めたところ無事RDP接続できた。
③Activity Searchで「ポート番号:3389」で検索した結果、無事RDP通信のログが残っていることを確認。
|
お、IPアドレスじゃなく、ホスト名でも接続できるのか。 |
|
そうだね。今回はVPN profileを作成する時に、内部DNSのIPアドレスとAWSのADで使っているドメインを指定していたからね。 ということで今回はここまで。長かったけど読んでくれてありがとうございました。 次回はシナリオ2 VPNaaS vs ZTNAを見ていきます。 |