CiscoASA#3

【Cisco ASA】ラボ3＠秋葉原UDX 2021/xx/xx（土）12時00分から FORSE 1

【Cisco ASA】ラボ#3 ネットワーク勉強会＠秋葉原UDX FORSE 2 【アジェンダ】 1200～1215 今日出来るようになる事の説明、自己紹介 1215～1300 Cisco
ASAでのAnyConnetでのVPN設立ができる 1300～1330 ログインデバイスの管理参加いただきありがとうございます！！！【メモ】鈴木メモ・持ち物 PCx3、ASAx3、ルータ(1921)x1、スイッチx2、LAN線x7、シリアルケーブルx3 講師メモ・ASDMとAnyConnectがアンインストールされているかを確認する【前提】 Cisco機器の扱いに慣れている人【今日できるようになること】 Cisco ASAを使ったAnyConnectでVPNが張れるようになる。 AnyConnectで不正ログインの対処が出来るようになる。自己紹介（鈴木）【席順】 1 ASA-1 SW-1 RT-1 3 ASA-3 2 ASA-2

秋葉原のシステム会社はAnyConnectを使用し、可視性の高いVPNを構築してリモートワークをしていました。しかしある社員がPCの入ったバックを電車の網棚に置き忘れてしまいました。情報システム部に連絡し、対策をとることになりました。【Cisco ASA】ラボ#3 物理ネットワーク図 FORSE 3 10.0.0.0/24 10.10.10.0/30 10.20.20.0/30
10.30.30.0/30 #fa1 .10 ASA-3 .20 .30 .254 #G0/1 #G0/1 #G0/1 .1 .1 .1 #G0/0 #G0/1 #fa0 .2 .2 .2 ASA-2 ASA-1 PC-1 PC-2 PC-3 SW-1 RT-1 MACアドレス hostname Quarantine ASA ユーザ ASA-1 ASA-2 ASA-3 自分 × 〇 × 他〇 × × 本ラボでのデバイス管理設定

秋葉原のシステム会社はAnyConnectを使用し、可視性の高いVPNを構築してリモートワークをしていました。しかしある社員がPCの入ったバックを電車の網棚に置き忘れてしまいました。情報システム部に連絡し、対策をとることになりました。【Cisco ASA】ラボ#3 論理ネットワーク図 FORSE 4 ASA-3 ASA-2 ASA-1
PC-1 PC-2 PC-3 VPNトンネル VPNトンネル VPNトンネル Anyconnect_pool 192.168.110.10-192.168.110.200 Anyconnect_pool 192.168.120.10-192.168.120.200 Anyconnect_pool 192.168.130.10-192.168.130.200 MACアドレス hostname Quarantine ASA ユーザ ASA-1 ASA-2 ASA-3 自分 × 〇 × 他〇 × × 本ラボでのデバイス管理設定

【Cisco ASA】ラボ#3 アドレス表 FORSE 5 ホスト名 IPアドレスインターフェース名前セキュリティーレベル
役割 ASA-1 10.10.10.1/30 G0/1 internet 0 WAN側ホスト名 IPアドレスインターフェース名前セキュリティーレベル役割 ASA-2 10.20.20.1/30 G0/1 internet 0 WAN側ホスト名 IPアドレスインターフェース名前セキュリティーレベル役割 ASA-3 10.30.30.1/30 G0/1 internet 0 WAN側ホスト名 IPアドレスインターフェース Vlan 役割 RT-1 10.0.0.254/24 F0/0/1 -- -- 10.10.10.2/30 G0/0 -- -- 10.20.20.2/30 G0/1 -- -- 10.30.30.2/30 F0/0/0 -- -- ホスト名 IPアドレスインターフェース PC-1 10.0.0.10/24 イーサネット 192.168.110.10/24 anyconnect ホスト名 IPアドレスインターフェース PC-2 10.0.0.20/24 イーサネット 192.168.120.10/24 anyconnect ホスト名 IPアドレスインターフェース PC-3 10.0.0.30/24 イーサネット 192.168.130.10/24 anyconnect

【Cisco ASA】ラボ#3 今日の流れ FORSE 6 １ネットワーク設定２ SSL-VPN設定AnyConnect 3
デバイス管理４証明書今からここ

【Cisco ASA】ラボ#3 ASAの設定1 FORSE 7 手順1 ASAを起動します。 ASAは起動に時間がかかります手順2 起動後、ASAの対話型セットアップを「Ctrl+z」かNOで拒否します。
手順3 新しいenableのパスワードを対話型で設定します。手順4 グローバルコンフィグレーションモードに移行します。手順5 エラーレポート機能を有効化するか訪ねてきているのでNOで拒否します。 ASA-1の設定手順 1番の方のみ設定します。手順6 ホスト名を変更します。手順7 インターフェースにIPアドレス、名前、セキュリティーレベルを設定する。手順8 クライアントPCセグメント用のスタティックルートを設定します。通常は、デフォルトルートです。 ※デフォルトルートデフォルトルートは、ルーティングテーブルにない宛先用の特殊な経路のこと。次にパケットを送る先がルーティングテーブルに明記されていない場合に、パケットを託す相手を表します。(0.0.0.0/0と表記) Pre-configure Firewall now through interactive prompts [yes]? no Cisco ASA> enable The enable password is not set. Please set it now. Enter Password: cisco Repeat Password: cisco Would you like to enable anonymous error reporting to help improve the product? [Y]es, [N]o, [A]sk later: N Cisco ASA(config)# hostname ASA-1 Cisco ASA# conf t ASA-1(config)# interface G0/1 ASA-1(config-if)# ip address 10.10.10.1 255.255.255.252 ASA-1(config-if)# nameif internet ASA-1(config-if)# security-level 0 ASA-1(config-if)# no shutdown ASA-1(config-if)# exit ASA-1(config)# route internet 10.0.0.0 255.255.255.0 10.10.10.2

【Cisco ASA】ラボ#3 ASAの設定2 FORSE 8 ASA-2の設定手順 2番の方のみ設定します。手順6 ホスト名を変更します。手順7
インターフェースにIPアドレス、名前、セキュリティーレベルを設定する。手順8 クライアントPCセグメント用のスタティックルートを設定します。 ASA-3の設定手順 3番の方のみ設定します。手順6 ホスト名を変更します。手順7 インターフェースにIPアドレス、名前、セキュリティーレベルを設定する。手順8 クライアントPCセグメント用のスタティックルートを設定します。 Cisco ASA(config)# hostname ASA-2 ASA-2(config)# route internet 10.0.0.0 255.255.255.0 10.20.20.2 Cisco ASA(config)# hostname ASA-3 ASA-3(config)# interface G0/1 ASA-3(config-if)# ip address 10.30.30.1 255.255.255.252 ASA-3(config-if)# nameif internet ASA-3(config-if)# security-level 0 ASA-3(config-if)# no shutdown ASA-3(config-if)# exit ASA-3(config)# route internet 10.0.0.0 255.255.255.0 10.30.30.2 ASA-2(config)# interface G0/1 ASA-2(config-if)# ip address 10.20.20.1 255.255.255.252 ASA-2(config-if)# nameif internet ASA-2(config-if)# security-level 0 ASA-2(config-if)# no shutdown ASA-2(config-if)# exit

【Cisco ASA】ラボ#3 ルータの設定1 FORSE 9 RT-1の設定手順 2番の方のみ設定します。手順9 ルーターを起動します。ルータは起動に時間がかかります
セットアップモードが起動したら、noと入力、もしくはCtrl+c 手順10 ホスト名を変更します。手順11 タイプミス対策をします。手順12 インターフェースにIPアドレスを設定します。 Router> enable Router# conf t Router(config)# hostname RT-1 RT-1(config)# no ip domain lookup RT-1(config)# line console 0 RT-1(config-line)# logging synchronous RT-1(config-line)# no ip domain lookup --- System Configuration Dialog --- Would you like to enter the initial configuration dialog? [yes/no]:no RT-1(config)# interface f0/0/1 RT-1(config-if)# ip address 10.0.0.254 255.255.255.0 RT-1(config-if)# no shutdown RT-1(config-if)# exit RT-1(config-if)# interface g0/0 RT-1(config-if)# ip address 10.10.10.2 255.255.255.252 RT-1(config-if)# no shutdown RT-1(config-if)# exit RT-1(config-if)# interface g0/1 RT-1(config-if)# ip address 10.20.20.2 255.255.255.252 RT-1(config-if)# no shutdown RT-1(config-if)# exit RT-1(config-if)# interface f0/0/0 RT-1(config-if)# ip address 10.30.30.2 255.255.255.252 RT-1(config-if)# no shutdown RT-1(config-if)# exit

【Cisco ASA】ラボ#3 ルータの設定2 FORSE 10 手順14 正しく設定できているかを確認します手順13 ASAに負荷分散させリソースを平均利用する為、送信元PCごとに宛先ASAを変更し
ます。 PC-1─→ASA-1 PC-2─→ASA-2 PC-3─→ASA-3 ポリシーベースルーティングは、送信元の情報をみて宛先を変更します RT-1# show ip int brief Interface IP-Address OK? Method Status Protocol Embedded-Service-Engine0/0unassigned YES unset administratively down down GigabitEthernet0/0 10.10.10.2 YES manual down down GigabitEthernet0/1 10.20.20.2 YES manual down down FastEthernet0/0/0 10.30.30.2 YES manual down down FastEthernet0/0/1 10.0.0.254 YES manual down down RT-1(config)# access-list 110 permit ip host 10.0.0.10 any RT-1(config)# access-list 120 permit ip host 10.0.0.20 any RT-1(config)# access-list 130 permit ip host 10.0.0.30 any RT-1(config)# route-map policy1 permit 10 RT-1(config-route-map)# match ip address 110 RT-1(config-route-map)# set default interface g0/0 RT-1(config-route-map)# exit RT-1(config)# route-map policy1 permit 20 RT-1(config-route-map)# match ip address 120 RT-1(config-route-map)# set default interface g0/1 RT-1(config-route-map)# exit RT-1(config)# route-map policy1 permit 30 RT-1(config-route-map)# match ip address 130 RT-1(config-route-map)# set default interface f0/0/0 RT-1(config-route-map)# exit RT-1(config)# interface range g0/0-1,f0/0/0-1 RT-1(config-if-range)# ip policy route-map policy1 RT-1(config-if-range)# end RT-1# show route-map route-map policy1, permit, sequence 10 Match clauses: ip address (access-lists): 110 Set clauses: default interface GigabitEthernet0/0 Policy routing matches: 0 packets, 0 bytes route-map policy1, permit, sequence 20 Match clauses: ip address (access-lists): 120 Set clauses: default interface GigabitEthernet0/1 Policy routing matches: 0 packets, 0 bytes route-map policy1, permit, sequence 30 Match clauses: ip address (access-lists): 130 Set clauses: default interface FastEthernet0/0/0 Policy routing matches: 0 packets, 0 bytes RT-1# show ip access-list Extended IP access list 110 10 permit ip host 10.0.0.10 any Extended IP access list 120 10 permit ip host 10.0.0.20 any Extended IP access list 130 10 permit ip host 10.0.0.30 any

【Cisco ASA】ラボ#3 PCの設定 FORSE 11 PCの設定手順手順15 3ページの図の通りにPCのIPアドレスを変更します。 PC1 IPアドレス:
10.0.0.10 サブネットマスク: 255.255.255.0 デフォルトゲートウェイ: 10.0.0.254 PC2 IPアドレス: 10.0.0.20 サブネットマスク: 255.255.255.0 デフォルトゲートウェイ: 10.0.0.254 PC3 IPアドレス: 10.0.0.30 サブネットマスク: 255.255.255.0 デフォルトゲートウェイ: 10.0.0.254 手順16 3ページの構成図を参考に結線する手順17 疎通確認を実施します。 PC-1─→ASA-1(10.10.10.1) PC-2─→ASA-2(10.20.20.1) PC-3─→ASA-3(10.30.30.1) C:¥Users¥user>ping 10.10.10.1 10.10.10.1 に ping を送信しています 32 バイトのデータ: 10.10.10.1 からの応答: バイト数 =32 時間 <1ms TTL=254 10.10.10.1 からの応答: バイト数 =32 時間 <1ms TTL=254 10.10.10.1 からの応答: バイト数 =32 時間 <1ms TTL=254 10.10.10.1 からの応答: バイト数 =32 時間 <1ms TTL=254 10.10.10.1 の ping 統計: パケット数: 送信 = 4、受信 = 4、損失 = 0 (0% の損失)、ラウンドトリップの概算時間 (ミリ秒): 最小 = 0ms、最大 = 0ms、平均 = 0ms

【Cisco ASA】ラボ#3 ASDMのインストール手順1 FORSE 13 手順18 ASDMを有効化&インストールします。 ASDM、http/httpsサーバーを有効化します。有効にしたhttp/httpsサーバーに対してアクセスできるアドレスを指定します。各パソコンに設定したIPアドレスのネットワークアドレスである「10.0.0.0」
を指定し、internetに通してあげます。手順19 クライアントPCにてASDM Launcherをインストールします。ブラウザのアドレスバーに「https://ASAのIPアドレス」を入力します。 PC-1: https://10.10.10.1 PC-2: https://10.20.20.1 PC-3: https://10.30.30.1 手順20 「詳細情報を表示する」→「10.10.10.1 にアクセスする（安全ではありません）」をクリックします。 ASA-1(config)# asdm image disk0:/asdm-openjre-7122(1).bin ASA-1(config)# http server enable ASA-1(config)# http 10.0.0.0 255.255.255.0 internet

【Cisco ASA】ラボ#3 ASDMのインストール手順2 FORSE 14 手順21「Install ASDM Launcher」をクリックします。手順22 ログインする
ユーザ名とパスワードを聞かれます。ユーザ名は「空欄」、パスワードに「cisco」と入力しログインします。手順23 「dm-launcher.msi」をインストールします。

【Cisco ASA】ラボ#3 ASDMのインストール手順3 FORSE 15 手順24 ASDMをインストールしていきます。「dm-launcher.msi」を実行します。「Next >」をクリックします。
「Next >」をクリックします。

【Cisco ASA】ラボ#3 ASDMのインストール手順4 FORSE 16 「Install」をクリックします。「Finish」をクリックします。

【Cisco ASA】ラボ#3 ASDMのインストール手順5 FORSE 17 手順25 ASDM Launcherの起動パスを修正します。 ASDM Launcher」を「右クリック」して、「プロパティ」を開きます。
「リンク先」を変更します。これは、Winodws10によってリンク先が書き換えられるために発生します。リンク先は以下の通りです。リンク先を変えたら画面下側の「OK」を押してください。 C:¥Windows¥system32¥wscript.exe invisible.vbs run.bat

【Cisco ASA】ラボ#3 SSL-VPN（AnyConnect）設定 FORSE 18 手順26 ユーザ名を設定します。(※各ASAで異なるものを使用します。) 手順27 VPN接続する際に払い出されるIPアドレス範囲を設定します。 (※各ASAで異なるものを使用します。)
手順28 AnyConnectでVPNを張る設定します。 ASA-1(config)# webvpn ASA-1(config-webvpn)# anyconnect image flash:/anyconnect-win-4.9.01095- webdeploy-k9.pkg ASA-1(config-webvpn)# anyconnect enable ASA-1(config-webvpn)# enable internet ASA-1(config-webvpn)# tunnel-group-list enable ASA-1(config-webvpn)# exit ASA-1(config)# group-policy Anyconnect_policy internal ASA-1(config)# group-policy Anyconnect_policy attribute ASA-1(config-group-policy)# vpn-tunnel-protocol ssl-client ASA-1(config-group-policy)# exit ASA-1(config)# tunnel-group Anyconnect_tunnel type remote-access ASA-1(config)# tunnel-group Anyconnect_tunnel general-attributes ASA-1(config-tunnel-general)# address-pool Anyconnect_pool ASA-1(config-tunnel-general)# default-group-policy Anyconnect_policy ASA-1(config-tunnel-general)# exit ASA-1(config)# tunnel-group Anyconnect_tunnel webvpn-attributes ASA-1(config-tunnel-webvpn)# group-alias forse.tokyo enable ASA-1(config-tunnel-webvpn)# exit ASA-1(config)# username ASA-1 password cisco ASA-2(config)# username ASA-2 password cisco ASA-3(config)# username ASA-3 password cisco ASA-1(config)# ip local pool Anyconnect_pool 192.168.110.10- 192.168.110.200 mask 255.255.255.0 ASA-2(config)# ip local pool Anyconnect_pool 192.168.120.10- 192.168.120.200 mask 255.255.255.0 ASA-3(config)# ip local pool Anyconnect_pool 192.168.130.10- 192.168.130.200 mask 255.255.255.0 クライアントパッケージファイル指定トンネルグループリスト表示有効化 “Anyconnect_policy”というポリシーの設定トンネルタイプ”SSL-VPN” リモートアクセスタイプで、”Anyconnect_tunnnel”というグループ ”Anyconnect_tunnnel”というトンネルグループで”forse.tokyo”という別名を有効化デフォルトから”Anyconnect_policy”に変える ←ASAのインターフェースG0/1

【Cisco ASA】ラボ#3 PCへAnyconnectのインストール1 FORSE 19 手順29 クライアントPCにてAnyConnectをインストールします。ブラウザのアドレスバーに「https://ASA-1」を入力します。 PC-1: https://10.10.10.1
PC-2: https://10.20.20.1 PC-3: https://10.30.30.1 手順30 ログイン情報を入力します。ユーザ名は「ASAのホスト名」、パスワードは「cisco」です。 PC-1: ASA-1 PC-2: ASA-2 PC-3: ASA-3 手順31 ダウンロードします。

【Cisco ASA】ラボ#3 PCへAnyconnectのインストール2 FORSE 20 手順32 「anyconnect-win-4.9.01095-core-vpn-webdeploy-k9.exe」を実行します手順33 AnyConnectをインストールしていきます「Next
>」をクリックします。同意して「Next >」をクリックします。

【Cisco ASA】ラボ#3 PCへAnyconnectのインストール3 FORSE 21 「Install」をクリックします。「Flash」をクリックします。

【Cisco ASA】ラボ#3 PCへAnyconnectのインストール4 FORSE 22 手順34 AnyConnectを使用してVPN接続します。「Windowsキー」→「Cisco」→「Cisco AnyConnect Secure
Mobility…」をクリックします。手順35 「左下の歯車」をクリックします。「Preference」をクリックし、「Block connections to untrustedn servers」のチェックを外したら、右上の「×」を押してウィンドウを閉じます PCにASAの証明書がインストールされてない場合でも接続できるようにしています。 ① ② ③

【Cisco ASA】ラボ#3 AnyConnect疎通確認1 FORSE 23 手順36 ASAのアドレスを入力します。「Connect」をクリックします。警告が出てきますが、「Connect Anyway」をクリックします。手順37
ユーザ名「ASAのホスト名」、パスワード「cisco」を入力します。「OK」をクリックします。「緑のチェックマーク」が出てくればVPNが張れています。 (初回接続時は少し時間がかかります) ※もしここで、 AnyConnect profile settings mandate a single local user, but multiple local users are currently logged into your computer. A VPN connection will be not be established というエラーが出た場合は、ほかのWindowsユーザーがログインしているか確認し、ログインしていた場合はログアウトさせてください。または講師を呼んでください。

【Cisco ASA】ラボ#3 AnyConnect疎通確認2（ASA側から） FORSE 24 手順38 PCのIPアドレスを確認します。 IPアドレスがVPNに接続したことで「10.0.0.xx」から「192.168.xxx.xxx」
(手順27で設定したAnyconnect_poolの範囲内) に変わっていることを確認してください。手順39 コマンドでASAとVPNを張れたか確認します。 Username : AnyConnectで接続しているユーザ名 Assigned IP : ASAから払い出されたIP Public IP : 接続PCのIPアドレス ASA-1# show vpn-sessiondb anyconnect Session Type: AnyConnect Username : ASA-1 Index : 4 Assigned IP : 192.168.110.20 Public IP : 10.0.0.10 Protocol : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel License : AnyConnect Premium Encryption : AnyConnect-Parent: (1)none SSL-Tunnel: (1)AES-GCM-256 DTLS-Tunnel: (1)AES-GCM-256 Hashing : AnyConnect-Parent: (1)none SSL-Tunnel: (1)SHA384 DTLS-Tunnel: (1)SHA384 Bytes Tx : 16352 Bytes Rx : 26287 Group Policy : Anyconnect_policy Tunnel Group : Anyconnect_tunnel Login Time : 06:30:43 UTC Thu Mar 18 2021 Duration : 0h:04m:31s Inactivity : 0h:00m:00s VLAN Mapping : N/A VLAN : none Audt Sess ID : c0a80a0a000040006052f393 Security Grp : none C:¥Users¥user>ipconfig イーサネットアダプターイーサネット 3: 接続固有の DNS サフィックス . . . . .: リンクローカル IPv6 アドレス. . . . .: fe80::9a77:5790:31c2:620e%9 リンクローカル IPv6 アドレス. . . . .: fe80::bd6c:1cc1:4ac5:d3c8%9 IPv4 アドレス . . . . . . . . . . . .: 192.168.110.20 サブネットマスク . . . . . . . . . .: 255.255.255.0 デフォルトゲートウェイ . . . . . . .: 192.168.110.1

【Cisco ASA】ラボ#3 デバイス管理1 FORSE 26 手順39 HostScanを有効にします。 HostScanとは、AnyConnectをインストールした端末からMACアドレス、製造番号など要求するソフトウェアです。貸し出した端末が紛失した場合には、セキュリティーリスクが発生します。
そこで、情報漏洩を防ぐためにDynamicAccessPolicyを使用して追加認証を設定します。手順40 ASDM Launcherを起動します。ユーザ名は「空欄」、パスワードに「cisco」、 IPアドレスは座席番号に応じて以下のように入力し、ログインしてください。 PC-1: 10.10.10.1 PC-2: 10.20.20.1 PC-3: 10.30.30.1 ASA-1(config)# webvpn ASA-1(config-webvpn)# hostscan image disk0:/hostscan_4.8.01090-k9.pkg ASA-1(config-webvpn)# hostscan enable

【Cisco ASA】ラボ#3 デバイス管理2 FORSE 27 手順41 追加認証を設定します。「Configuration」→「Remote Access VPN」→「Network
(Client) Access」→「Dynamic Access Policies」をクリックします。 2 3 画面左下 1 4

【Cisco ASA】ラボ#3 デバイス管理3 FORSE 28 手順42 「Add」をクリックします。手順43「Policy Name」を入力します。「Anyconnect_dap」と入力します。画面左側の「User
has ANY of the following AAA Attributes values...」の枠の「Add」をクリックします。

【Cisco ASA】ラボ#3 デバイス管理4 FORSE 29 手順44 「AAA Atribute Type」を「Cisco」にします。「Username」にチェックし、「ASA-x(xは座席番号)」に設定します。
手順45 MACアドレスフィルタリングをするために、自分のPCのMACアドレスを確認します。 C:¥Users¥user>ipconfig /all イーサネットアダプターイーサネット: 接続固有の DNS サフィックス . . . . .: 説明. . . . . . . . . . . . . . . . .: Intel(R) Ethernet Connection I219-LM 物理アドレス. . . . . . . . . . . . .: A8-13-74-92-D0-EE DHCP 有効 . . . . . . . . . . . . . .: いいえ自動構成有効. . . . . . . . . . . . .: はいリンクローカル IPv6 アドレス. . . . .: fe80::745c:3592:f3d:e1b1%12(優先) IPv4 アドレス . . . . . . . . . . . .: 10.0.0.145(優先) サブネットマスク . . . . . . . . . .: 255.255.255.0 デフォルトゲートウェイ . . . . . . .: 10.0.0.254 確認するMACアドレスはイーサネット/Wi-Fiのどちらでも構いません

【Cisco ASA】ラボ#3 デバイス管理5 FORSE 30 手順46 画面右側の「and the following endpoint
attributes are satisfied.」の枠の「Add」をクリックします。

【Cisco ASA】ラボ#3 デバイス管理6 FORSE 31 手順47 「Endpoint Attribute Type」の枠を「Device」にします。「MAC
Address:」にチェックし、MACアドレスを入力します。入力形式は「xxxx.xxxx.xxxx」です。(先ほど確認した自分のMACアドレス)

【Cisco ASA】ラボ#3 デバイス管理7 FORSE 32 手順48 「User has ALL of
the following AAA Attributes values...」をプルダウンから変更します。デフォルトの「User has Any ～」から「User has ALL ～」にしてください。 Actionタブの「Action」を「Terminate」(拒否)に設定します。設定したら、「OK」を押してください ① ② ③

【Cisco ASA】ラボ#3 デバイス管理8 FORSE 33 手順49 「Apply」をクリックします。

【Cisco ASA】ラボ#3 デバイス管理9(確認) FORSE 34 手順50 追加認証が機能しているか確認するためにAnyConnectで接続します。まずは自分で設定したASAに対して接続してみます ASAのIPアドレスを入力し、「Connect」をクリックしてください。手順51
ユーザ名「ASA-x(xは座席番号)」、パスワード「cisco」を入力します。 MACアドレス認証が正しく設定されていれば、拒否されます。手順52 ほかの方のASAに対してもAnyConnectで接続を試みてみる自分以外のASAのIPアドレスを入力し、「Connect」をクリックしてください。また、「ASA-x(xは接続先の人の座席番号)」、パスワードは「cisco」を入力します。 ※一つのIPアドレスに対して一人しか接続できないので、Login Failedとなる場合は他の方が接続していないかを確認しましょう自分以外の二人には接続できることが確認できたと思います。

【Cisco ASA】ラボ#3 デバイス管理10 FORSE 35 ASDMではMACアドレス認証以外にも様々な認証を行うことができます手順53 ASDMに戻りAnyconnect_dapを選択して「Edit」から編集画面を開いてください。手順54 Endpoint
Attributeを削除する MACアドレスを指定したAttributeを削除しましょう。 Deleteを押すと選択肢が出てくるので「Yes」を選んで削除します。手順55 ホスト名を確認する次は「特定のホスト名以外のユーザーを拒否」するように設定していきます。コマンドプロンプトを起動し、「hostname」コマンドを入力してホスト名を確認してください。 C:¥Users¥user> hostname DESKTOP-HOGEHOGE

【Cisco ASA】ラボ#3 デバイス管理11 FORSE 36 手順56 ログイン認証を設定する(Endpoint Attribute) 次に、MACアドレス認証の手順を参考にして「Endpoint Attribute」の「Host
Name」に「先ほど確認したホスト名」を設定してくださいまた、今回は「特定のホスト名”以外”の接続拒否」を実装したいので、「＝」を「!=」に変更してください

【Cisco ASA】ラボ#3 デバイス管理12 FORSE 37 手順57 確認 AAA Attributeの上のタブが「User has
ALL ~~」になっていること、 Actionタブの「Action」を「Terminate」(拒否)に設定されていることを確認し、「OK」を押してください。手順58 画面下部のApplyを押してください

ユーザ名「ASA-x(xは座席番号)」、パスワード「cisco」を入力します。 hostname認証が正しく設定されていれば、接続されます。手順61 ほかの方のASAに対してもAnyConnectで接続を試みてみる自分以外のASAのIPアドレスを入力し、「Connect」をクリックしてください。また、「ASA-x(xは接続先の人の座席番号)」、パスワードは「cisco」を入力します。自分以外の二人には接続できないことが確認できたと思います。

【Cisco ASA】ラボ#3 デバイス管理14(演習問題) FORSE 39 最後に、ちょっとした演習問題をやってみましょう。手順62 設定これまでの追加認証の設定方法を思い出しながら、以下の条件になるよう設定してみましょうなお、「User
Message」は「Action」の下にあります。項目設定 AAA Attribute ASA-x(xは座席番号) Endpoint Attribute なし(hostname認証も削除) Action Quarantine User Message (任意) 条件

【Cisco ASA】ラボ#3 デバイス管理15 FORSE 40 手順63 確認以下のようになっていればOKです。「OK」を押してください。手順64
画面下部のApplyを押してください

ユーザ名「ASA-x(xは座席番号)」、パスワード「cisco」を入力します。設定したメッセージが表示されました。 Ignore(無視)を選択しても接続されません。 Quarantine(隔離/検疫)：制限付きACLを適用します。検疫ネットワークとも呼ばれ、OSパッチやウイルス対策ソフトが最新じゃないときに社内ネットワークに接続させず隔離するときなどに使います。 Terminateと違い接続ログで接続元デバイスの詳細を確認できます。

【Cisco ASA】ラボ#3 AnyConnectの接続ログ確認1 FORSE 42 手順67 誰がAnyConnectで接続しているか確認します。「Monitoring」→「VPN」→「Filter By.」を「AnyConnect Client」にします。
手順68 一度AnyConnectを終了してもう一度接続してみます手順69 ASDMに戻り「Refresh」をクリックします。 ※一番下にあるボタンです。上のボタンでは更新されません。 1 3 2

【Cisco ASA】ラボ#3 AnyConnectの接続ログ確認2 FORSE 43 誰が接続しているか出てきました。ここでは強制的にログインしているユーザをログアウトさせることができますログアウトさせたいユーザを選択して、「Logout」ボタンを押します。ログアウトさせることができました。これでおわりです、おつかれさまでした！
時間が余ったら、証明書デバイス認証へ

【Cisco ASA】時間が余ったら、、、ラボ#3 証明書認証の追加 FORSE 45 【要求】認証要素を、ID/パスワードに追加して、証明書を追加したい。【背景】ダークウェブにて、当社のActiveDirectoryの一部アカウント流出を検知した為【ゴール】
証明書なしで接続できる（既存）と証明書＋認証（ID/パスワード）の両方がわからないと接続できるを管理出来る事【手順】１．ASAにてCSRの作成本ラボはASAのCLIで作成（ ASDMで作成も出来ます）２．Linuxサーバにて、認証局の作成、とCSRからサーバ証明書の作成３．ASAにサーバ証明書のインポートと AnyConnectの認証有効化本ラボはASAのCLIで作成（ ASDMで作成も出来ます）４．クライアントPCに、ルート証明書のインポート５．クライアントPCにDNS登録６．疎通確認 CSRとは CSR（Certificate Signing Request）とは、SSL/TLS サーバー証明書を発行するための証明書署名要求のことです。 CSR には公開鍵の情報と、組織名や所在地等の情報（Distinguished Name＝識別名）が含まれます

【Cisco ASA】ラボ#3 証明書デバイス認証の設計一覧 FORSE 46 参加者１参加者２参加者３鍵の名前 maguro.asa.device.key
salmon.asa.device.key Hamachi.asa.device.key 暗号方式 RSA RSA RSA 鍵の⾧さ 2048 2048 2048 トラストポイントの名前 maguro-trustpoint salmon-trustpoint hamachi-trustpoint CN maguro.udx.local salmon.udx.local hamachi.udx.local FQDN maguro.udx.local salmon.udx.local hamachi.udx.local 認証局の名前 Me1onpan-CA Me1onpan-CA Me1onpan-CA パスフレーズ Me1onpan# Me1onpan# Me1onpan#

【Cisco ASA】ラボ#3 ASAでCSRを作成（１） FORSE 47 手順70 2048ビットの⾧さで、「maguro.asa.device.key」という名前でCSRを作成する手順71 「maguro-trustpoint」という名前でトラストポイントを作成する ASA-1(config)#crypto
key generate rsa label maguro.asa.device.key INFO:The name for the keys Keypair generation process begin.Please wait ... ASA-1(config)#crypto ca trustpoint maguro-trustpoint ASA-1(config-ca-trustpoint)#enrollment terminal ASA-1(config-ca-trustpoint)#fqdn maguro.udx.local ASA-1(config-ca-trustpoint)#subject-name CN=maguro.udx.local,O=Jikki-AKB,C=JP,St=Tokyo,L=Chiyoda-Ku ASA-1(config-ca-trustpoint)#keypair maguro.asa.device.key ASA-1(config-ca-trustpoint)#exit

【Cisco ASA】ラボ#3 ASAでCSRを作成（２） FORSE 48 手順72 CSRを登録（enroll）する ASA-1(config)# crypto ca
enroll maguro-trustpoint WARNING: The certificate enrollment is configured with an fqdn that differs from the system fqdn. If this certificate will be used for VPN authentication this may cause connection problems. Would you like to continue with this enrollment? [yes/no]: yes % Start certificate enrollment .. % The subject name in the certificate will be: CN=maguro.udx.local,O=Jikki-AKB,C=JP,St=Tokyo,L=Chiyoda-Ku % The fully-qualified domain name in the certificate will be: maguro.udx.local % Include the device serial number in the subject name? [yes/no]: no Display Certificate Request to terminal? [yes/no]: yes Certificate Request follows: -----BEGIN CERTIFICATE REQUEST----- MIIDBjCCAe4CAQAwgYIxEzARBgNVBAcTCkNoaXlvZGEtS3UxDjAMBgNVBAgTBVRv a3lvMQswCQYDVQQGEwJKUDESMBAGA1UEChMJSmlra2ktQUtCMRkwFwYDVQQDExBt YWd1cm8udWR4LmxvY2FsMR8wHQYJKoZIhvcNAQkCFhBtYWd1cm8udWR4LmxvY2Fs MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEArB/O65eAlXIWTR/yb+am mDpU7o72wvCImTV8qSwvwbiD5T9Qd6HIRLAx+ljEAzUgLq89lpF0OUVrxKZPV83Q 6F1YDt3VwekgF5wDnRmvUTC5H9hdwJyk9I5nSGCRgPRNdUpF3Z4e38A7vnLmRKV7 rq6CLTDh42lYtUEIv3VRjivC8WFSn4WO+iavqq9IKJXdCJKbZuoo0sZqngX27Lf2 eH4CtrIICu9XdKdn6+eLGKS6K1tZE7aGxGRXfBaWe0dwznOoH8S6iQ5wreWTo6qT C+ED+/85QojZBS34pvrkKejKTgxDmuIFyOj2U9MAkk9lFwQKhuLPXnAQ4ZhJKoZD lwIDAQABoD4wPAYJKoZIhvcNAQkOMS8wLTAOBgNVHQ8BAf8EBAMCBaAwGwYDVR0R BBQwEoIQbWFndXJvLnVkeC5sb2NhbDANBgkqhkiG9w0BAQUFAAOCAQEACJ9YpID+ sTJV7Vp4T3qC5AY/ihsiSxRQPeKSloLlyQIriEzEzL7g1zY+S2rwtppnINY64EQC 29VGKAl7CaQxg1pGmORl6NFMaveVbzgN0ML20g6FdHlc/k3WuE71jjJvnmtRMQE9 ELk8toPtmTCevwV+YJ3YpbE8X51f6hmMRT5320SUl1nJLhW/TpxIVmIXZvpW9VsT UjMjTKFPRWHe2fsq8QQV4ds0yY5IfjRkzlO3xCNvMkuProTPOxaEh7PCdC9Xf3rW 0RmHR4X/WFad3CkYtI0h2BPjRReDK1l85HNPuU9YesG67MbZ91y3MrpfG4+8/SYI oW7FM60pOEv3Hg== -----END CERTIFICATE REQUEST----- Redisplay enrollment request? [yes/no]: no ASA-1(config)# エディタにコピー手順73 CSRファイルを作成する

【Cisco ASA】ラボ#3 LinuxサーバにCA局を構築（１） FORSE 49 手順７４ LinuxサーバにEPELインストール [root@ASA-labo3-CAServer ~]# dnf
install http://192.168.210.201/epel-release-8-13.el8.noarch.rpm メタデータの期限切れの最終確認: 0:11:26 時間前の 2021年09月17日 03時35分39秒に実施しました。 epel-release-8-13.el8.noarch.rpm 20 MB/s | 23 kB 00:00 依存関係が解決しました。 ==================================================================================================== パッケージアーキテクチャーバージョンリポジトリーサイズ ==================================================================================================== インストール: epel-release noarch 8-13.el8 @commandline 23 k トランザクションの概要 ==================================================================================================== インストール 1 パッケージ合計サイズ: 23 k インストール後のサイズ: 35 k これでよろしいですか? [y/N]: y パッケージのダウンロード: トランザクションの確認を実行中トランザクションの確認に成功しました。トランザクションのテストを実行中トランザクションのテストに成功しました。トランザクションを実行中準備 : 1/1 インストール中 : epel-release-8-13.el8.noarch 1/1 scriptletの実行中: epel-release-8-13.el8.noarch 1/1 検証 : epel-release-8-13.el8.noarch 1/1 インストール済み: epel-release-8-13.el8.noarch 完了しました! [root@ASA-labo3-CAServer ~]#

【Cisco ASA】ラボ#3 LinuxサーバにCA局を構築（２） FORSE 50 手順７４ easy-rsa インストール [root@ASA-labo3-CAServer ~]#
dnf --enablerepo=epel -y install easy-rsa メタデータの期限切れの最終確認: 0:06:21 時間前の 2021年09月17日 03時47分23秒に実施しました。依存関係が解決しました。 ============================================================================================================ パッケージアーキテクチャーバージョンリポジトリーサイズ ============================================================================================================ インストール: easy-rsa noarch 3.0.8-1.el8 epel 47 k トランザクションの概要 ============================================================================================================ インストール 1 パッケージダウンロードサイズの合計: 47 k インストール後のサイズ: 120 k パッケージのダウンロード: easy-rsa-3.0.8-1.el8.noarch.rpm 822 kB/s | 47 kB 00:00 ------------------------------------------------------------------------------------------------------------------------------------ 合計 76 kB/s | 47 kB 00:00 警告: /var/cache/dnf/epel-6519ee669354a484/packages/easy-rsa-3.0.8-1.el8.noarch.rpm: ヘッダー V4 RSA/SHA256 Signature、鍵 ID 2f86d6a1: NOKEY Extra Packages for Enterprise Linux 8 - x86_64 1.6 MB/s | 1.6 kB 00:00 GPG 鍵 0x2F86D6A1 をインポート中: Userid : "Fedora EPEL (8) <[email protected]>" Fingerprint: 94E2 79EB 8D8F 25B2 1810 ADF1 21EA 45AB 2F86 D6A1 From : /etc/pki/rpm-gpg/RPM-GPG-KEY-EPEL-8 鍵のインポートに成功しましたトランザクションの確認を実行中トランザクションの確認に成功しました。トランザクションのテストを実行中トランザクションのテストに成功しました。トランザクションを実行中準備 : 1/1 インストール中 : easy-rsa-3.0.8-1.el8.noarch 1/1 検証 : easy-rsa-3.0.8-1.el8.noarch 1/1 インストール済み: easy-rsa-3.0.8-1.el8.noarch 完了しました! [root@ASA-labo3-CAServer ~]#

【Cisco ASA】ラボ#3 Linuxサーバに認証局を構築（３） FORSE 51 手順７５ easy-rsaの初期化（3.0.8はバージョン 2021年9月時点）手順７６
認証局を作成（Me1onpan-CA）という名前、パスフレーズは「Me1lonpan#」 [root@ASA-labo3-CAServer easy-rsa]# cd /usr/share/easy-rsa/3.0.8 [root@ASA-labo3-CAServer 3.0.8]# ./easyrsa init-pki init-pki complete; you may now create a CA or requests. Your newly created PKI dir is: /usr/share/easy-rsa/3.0.8/pki [root@ASA-labo3-CAServer 3.0.8]# [root@ASA-labo3-CAServer 3.0.8]# ./easyrsa build-ca Using SSL: openssl OpenSSL 1.1.1k FIPS 25 Mar 2021 Enter New CA Key Passphrase: Re-Enter New CA Key Passphrase: Generating RSA private key, 2048 bit long modulus (2 primes) ..........................+++++ ......................................................................+++++ e is 65537 (0x010001) You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. ----- Common Name (eg: your user, host, or server name) [Easy-RSA CA]:Me1onpan-CA CA creation complete and you may now import and sign cert requests. Your new CA certificate file for publishing is at: /usr/share/easy-rsa/3.0.8/pki/ca.crt [root@ASA-labo3-CAServer 3.0.8]# Me1onpan#

【Cisco ASA】ラボ#3 LinuxサーバでCSRからサーバ証明書作成（1） FORSE 52 手順７７ ASAで作成したCSRをLinuxに保存する。空のファイルを作成する手順７８ファイルを編集する。viエディタを開き、CSRをコピーして貼り付ける [root@ASA-labo3-CAServer
pki]# touch /usr/share/easy-rsa/3.0.8/pki/reqs/maguro.asa.device.req [root@ASA-labo3-CAServer pki]# vi /usr/share/easy-rsa/3.0.8/pki/reqs/maguro.asa.device.req

【Cisco ASA】ラボ#3 LinuxサーバでCSRからサーバ証明書を作成（２） FORSE 53 手順７９ LinuxにてCSRファイル（maguro.asa.device.key.req）からサーバ証明書を発行します [root@ASA-labo3-CAServer easy-rsa]# cd
/usr/share/easy-rsa/3.0.8 [root@ASA-labo3-CAServer 3.0.8]# ./easyrsa sign-req server maguro.asa.device.key Using SSL: openssl OpenSSL 1.1.1k FIPS 25 Mar 2021 You are about to sign the following certificate. Please check over the details shown below for accuracy. Note that this request has not been cryptographically verified. Please be sure it came from a trusted source or that you have verified the request checksum with the sender. Request subject, to be signed as a server certificate for 825 days: subject= localityName = Chiyoda-Ku stateOrProvinceName = Tokyo countryName = JP organizationName = Jikki-AKB commonName = maguro.udx.local unstructuredName = maguro.udx.local X509v3 Subject Alternative Name: DNS:maguro.udx.local Type the word 'yes' to continue, or any other input to abort. Confirm request details: yes Using configuration from /usr/share/easy-rsa/3.0.8/pki/easy-rsa-24692.b67Fps/tmp.ccMTlw Enter pass phrase for /usr/share/easy-rsa/3.0.8/pki/private/ca.key: Check that the request matches the signature Signature ok The Subject's Distinguished Name is as follows localityName :PRINTABLE:'Chiyoda-Ku' stateOrProvinceName :PRINTABLE:'Tokyo' countryName :PRINTABLE:'JP' organizationName :PRINTABLE:'Jikki-AKB' commonName :PRINTABLE:'maguro.udx.local' unstructuredName :IA5STRING:'maguro.udx.local' Certificate is to be certified until Dec 22 10:25:25 2023 GMT (825 days) Write out database with 1 new entries Data Base Updated Certificate created at: /usr/share/easy-rsa/3.0.8/pki/issued/maguro.asa.device.key.crt [root@ASA-labo3-CAServer 3.0.8]# Me1onpan# ここにできました

【Cisco ASA】ラボ#3 LinuxサーバでCSRからサーバ証明書を作成（３） FORSE 54 手順８０サーバ証明書を確認してダウンロードする手順８１ルート証明書を確認してダウンロードする [root@ASA-labo3-CAServer
3.0.8]# ls -al /usr/share/easy-rsa/3.0.8/pki/issued/ 合計 8 drwx------. 2 root root 39 9月 18 06:25 . drwx------. 8 root root 286 9月 18 06:25 .. -rw-------. 1 root root 4793 9月 18 06:25 maguro.asa.device.key.crt [root@ASA-labo3-CAServer 3.0.8]# [root@ASA-labo3-CAServer 3.0.8]# ls -al /usr/share/easy-rsa/3.0.8/pki/ 合計 36 drwx------. 8 root root 286 9月 18 06:25 . drwxr-xr-x. 4 root root 77 9月 17 04:06 .. -rw-------. 1 root root 1204 9月 17 04:20 ca.crt drwx------. 2 root root 50 9月 18 06:25 certs_by_serial -rw-------. 1 root root 118 9月 18 06:25 index.txt -rw-------. 1 root root 20 9月 18 06:25 index.txt.attr -rw-------. 1 root root 0 9月 17 04:18 index.txt.attr.old -rw-------. 1 root root 0 9月 17 04:18 index.txt.old drwx------. 2 root root 39 9月 18 06:25 issued -rw-------. 1 root root 4616 9月 17 04:06 openssl-easyrsa.cnf drwx------. 2 root root 20 9月 17 04:20 private drwx------. 5 root root 76 9月 17 04:18 renewed drwx------. 2 root root 39 9月 18 06:23 reqs drwx------. 5 root root 76 9月 17 04:18 revoked -rw-------. 1 root root 4680 9月 17 04:06 safessl-easyrsa.cnf -rw-------. 1 root root 33 9月 18 06:25 serial -rw-------. 1 root root 33 9月 18 06:24 serial.old [root@ASA-labo3-CAServer 3.0.8]# ルート証明書サーバ証明書

【Cisco ASA】ラボ#3 ASAにサーバ証明書をインポート（１） FORSE 55 手順８２ ASAにサーバ証明書をインポートする手順８３ --BEGIN CERTIFICATE--
から --END CERTIFICATE--をコピーする ASA-1(config)#crypto ca import maguro-trustpoint certificate nointeractive Enter the certificate in base64 representation.... 手順84 コピーしたサーバ証明書を貼り付ける

【Cisco ASA】ラボ#3 ASAにサーバ証明書をインポート（２） FORSE 56 手順85 「quit」でインポートを終了する手順86 AnyConnectで「maguro-trustpoint」を利用する ASA-1(config-pubkey)#quit
INFO: Certificate successfully imported ASA-1(config-pubkey)#ssl trust-point maguro-trustpoint internet

【Cisco ASA】ラボ#3 クライアントPCに証明書インポート（１） FORSE 57 手順８７「ca.cert」ファイルを取得する手順８８「開く」手順８９
証明書のインストール

【Cisco ASA】ラボ#3 クライアントPCに証明書インポート（２） FORSE 58 手順９０「現在のユーザ」デフォルトのまま「次へ」手順９１参照→「信頼されたルート証明書」手順９２
信頼されたルート証明書手順９３「完了」手順９４「はい」手順９５「OK」

【Cisco ASA】ラボ#3 クライアントPCにDNS設定（１） FORSE 59 手順96 hostsファイルに、ASAを追記します。アドレスバーに「c:¥Windows¥System32¥drivers¥etc」を入力し対象ファイルを管理者権限で開きます手順97
hostsファイルにASAのレコードを追記します 10.10.10.1 maguro.udx.local 手順９８クライアントで名前解決出来ている事を確認します ping maguro.udx.local で疎通出来る事を確認する。 # For example: # # 102.54.94.97 rhino.acme.com # source server # 38.25.63.10 x.acme.com # x client host # localhost name resolution is handled within DNS itself. # 127.0.0.1 localhost # ::1 localhost 0.0.0.1 scinstallcheck.mcafee.com 10.10.10.1 maguro.udx.local

【Cisco ASA】ラボ#3 クライアントPCからASAに接続する（１） FORSE 60 手順９９「Preference」をクリックし、「Block connections to
untrustedn servers」のチェックをオンにし、（デフォルトに戻す）右上の「×」を押してウィンドウを閉じます手順１００「maguro.udx.local」に接続します手順１０１「Username : ASA-1」と「Password : cisco」を入力する手順１０２接続を確認する。

【Cisco ASA】ラボ#3 クライアントPCからASAに接続する（２） FORSE 61 手順１０３証明書をインストールしていない端末で、接続できない事を確認する。別途PCを講師（助手）が用意します。 ping maguro.udx.local
で疎通出来る事を確認後、疎通テスト実施して下さい

【Cisco ASA】ラボ#3 アンインストール1 FORSE 62 さいごに手順70 「AnyConnect」と「ASDMLauncher」をPCからアンインストールします。「コントロールパネル」→「プログラムのアンインストール」をクリックします。手順71「Cisco
AnyConnect…」を「右クリック」→「アンインストール」「はい」をクリックします。

【Cisco ASA】ラボ#3 アンインストール2 FORSE 63 「Cisco ASDM-IDM Launcher」を「右クリック」→「アンインストール」「はい」をクリックします。アンインストールが完了したら、おしまい。
おつかれさまでした！

CiscoASA#3

CiscoASA#3

Other Decks in Technology

Featured

Transcript