ソリューション
はじめに
この記事では、Cisco® ASA IPSec デバイスを構成して、ESA サーバに対してユーザを認証する方法について説明します。先に進む前に、ESET Secure Authentication の RADIUS Server コンポーネントがインストールされており、外部システムがユーザーを認証するための RADIUS サービスにアクセスできることを確認してください。
Cisco® ASA IPSec デバイスが ESA サーバを使用して RADIUS 経由でユーザを認証する前に、ESA サーバ上で RADIUS クライアントとしてセットアップする必要があります。次に、ESA RADIUS サービスを実行しているサーバーを、Cisco® ASA IPSec デバイスの RADIUS サーバーとしてセットアップする必要があります。これらの設定が指定されると、ESA OTP を使用して Cisco® ASA IPSec デバイスへのログインを開始できます。
ステップ I - RADIUS クライアントの設定
Cisco® ASA IPSec デバイスが ESA サーバと通信できるようにするには、Cisco® ASA IPSec デバイスを ESA サーバ上で RADIUS クライアントとして設定する必要があります：
- ESA ウェブコンソールにログインします。
- Components > RADIUSに移動し、ESA RADIUSサービスを実行しているサーバーのホスト名を探します。
- ホスト名をクリックし、［Create New Radius Client］をクリックします。
- 基本設定］セクションで
- RADIUSクライアントに覚えやすい名前を付けます。
- クライアントのIPアドレスと 共有シークレットをVPNアプライアンスの設定に対応するように設定します。IP アドレスは、アプライアンスの内部 IP アドレスです。アプライアンスが IPv6 経由で通信する場合は、関連するスコープ ID（インターフェース ID）と共にその IP アドレスを使用します。
- 共有シークレットは、アプライアンスで構成する外部認証機能の RADIUS 共有シークレットです。
- 認証セクションで、以下の図 1-1 に示す設定を適用します。
図 1-1
これで、ESA は Cisco® ASA IPSec デバイスと 通信するように設定されました。 次に 、Cisco® ASA IPSec デバイスが ESA サーバと通信するように 設定する必要があります 。
ステップ II - Cisco® ASA デバイスの設定
以下の手順に従ってください：
- Adaptime Services Device Manager にログインします。
- Configuration→ Remote Access VPN に移動します。
- Network (client) Access→IPSec(IKEv1) Connection Profiles をクリックします。
- 新しい接続プロファイルを作成します：
- IPSecリモートアクセス接続プロファイル]ウィンドウの[基本]タブに移動します。
- IKEピア認証の下に、各エンドユーザーのVPNクライアントに入力される事前共有キーを入力します。これは強力なパスワードである必要があります。
- 認証］セクションで［管理］をクリックします。
- AAA Service Groupsの下にあるAddを クリックします。
- 新しいグループの名前（例：ESA-RADIUS）を入力し、プロトコルがRADIUSに設定されていることを確認してから、「OK」をクリックします。
- サーバー・グループを選択し、［選択したグループのサーバー］パネルで［追加］をクリックします。
- 以下のパラメータを以下の値に設定する（図2-1参照）：
- インタフェース名： ESA RADIUSサーバにアクセスできるASAインタフェース。
- Server Name（サーバ名）またはIP Address（IPアドレス）：ESA RADIUSサーバーのホスト名/IPアドレス
- タイムアウト： 30秒
- サーバー認証ポート： 1812
- サーバ・アカウント・ポート： ESAはRADIUSアカウントをサポートしていないため、該当なし。
- 再試行間隔: 10 秒
- サーバー秘密鍵：RADIUS サーバからの共有秘密鍵 (図 1-1 を参照)
- Microsoft CHAPv2 Capable：選択しない
- OK をクリックします。
- OK をクリックします。
- 左側のパネルでPPPをクリックし、PAPのみが選択されていることを確認します。
- クライアントアドレス割り当て］をクリックします：
- 使用する DHCP プールを選択または作成します。
- OK] をクリックします。
- デフォルト・グループ・ポリシー］セクションをクリックします：
- 使用するポリシーを選択します。
- IPSec プロトコルを有効にする］と［L2TP IPSec プロトコルを有効にする］が選択されていることを確認します。
- OK］をクリックします。
図 2-1
ステップIII - 接続のテスト
新しく設定された接続をテストするには
- VPNクライアントが正しく設定されていることを確認します：
- VPNクライアントの接続プロパティの「認証」タブで「グループ認証」ラジオボタンが選択されていることを確認する。
- ステップ4-bで使用した事前共有キーが両方のパスワードフィールドに入力されていることを確認する。
- ESAを使用したモバイルアプリケーション2FAが有効になっているアカウントを使用して、IPSec VPNに接続します。パスワードの入力を求められたら、モバイル・アプリケーションによって生成されたOTPをADパスワードに追加します。たとえば、ユーザーのADパスワードがEsa123でOTPが999111の場合、Esa123999111と入力します。
トラブルシューティング
ESA RADIUSサーバで認証できない場合は、次の手順を実行してください：
- Verifying ESA RADIUS Functionality」のドキュメントに従って、RADIUS サーバに対してスモーク・テストを実行します。
- 障害が修正されず、まだ接続できない場合は、（2FAを使用しない）既存のサインイン構成に戻して、接続できることを確認する。
- 古い設定を使用しても接続できる場合は、新しい設定を復元し、VPNデバイスとRADIUSサーバー間のUDP 1812をブロックしているファイアウォールがないことを確認します。
- それでも接続できない場合は、ESETのテクニカルサポートにお問い合わせください。
