Appleデバイス用のCisco IPsec VPNの設定

iOS、iPadOS、およびmacOSで使用できるようにCisco VPNサーバを構成するときは、このセクションに従ってください。iOS、iPadOS、およびmacOSはいずれもCiscoネットワークファイアウォールAdaptive Security Appliance 5500シリーズおよびPrivate Internet Exchangeに対応しています。これらは、IOSバージョン12.4（15）T以降を搭載したCisco IOS VPNルーターにも対応しています。VPN 3000シリーズコンセントレータはVPN機能に対応していません。

認証方法

iOS、iPadOS、およびmacOSは、以下の認証方法に対応しています:

事前共有キーによるIPsec認証とxauthコマンドによるユーザ認証。
クライアント証明書およびサーバ証明書を使用したIPsec認証とxauthによる任意のユーザ認証。
サーバが証明書を提示しクライアントが事前共有キーを提示するハイブリッド認証によるIPsec認証。ユーザ認証は必須であり、xauthが使用されます。これには、この認証方法のユーザ名とパスワード、およびRSA SecurIDが含まれます。

認証グループ

Cisco Unityプロトコルでは、パラメータが共通するユーザをまとめるために、認証グループが使用されます。ユーザ用の認証グループを作成することをおすすめします。事前共有キーまたはハイブリッド認証を使用する場合は、デバイス上でグループ名を構成し、グループのパスワードとしてグループの共有シークレット（事前共有キー）を指定する必要があります。

証明書認証を使用する場合は、共有シークレットは使用されません。ユーザのグループは証明書に含まれるフィールドに基づいて判別されます。Ciscoサーバの設定を使用して、証明書のフィールドをユーザグループにマッピングできます。

RSA-Sigの優先度は、ISAKMP（Internet Security Association and Key Management Protocol）優先度リストで最も高いものにする必要があります。

IPsecの設定と説明

IPsecの実装方法を定義するには、次の設定を指定できます:

モード: トンネルモード。
IKEモード: 事前共有キーおよびハイブリッド認証の場合はアグレッシブモード、証明書認証の場合はメインモード。
暗号化アルゴリズム: 3DES、AES-128、またはAES-256。
認証アルゴリズム: HMAC-MD5またはHMAC-SHA1。
Diffie-Hellmanグループ: 事前共有キーおよびハイブリッド認証の場合は、グループ2にする必要があります。証明書認証の場合、3DESおよびAES-128ではグループ2、AES-256ではグループ2または5にする必要があります。
PFS（Perfect Forward Secrecy）: PFSを使用する場合、IKEフェーズ2では、Diffie-HellmanグループをIKEフェーズ1と同じにする必要があります。
モード構成: 有効にする必要があります。
Dead Peer Detection: 推奨。
標準NATトラバーサル: 対応しており、有効にできます（IPsec over TCPには対応していません）。
負荷分散: 対応しており、有効にできます。
フェーズ1の鍵更新: 現時点では対応していません。サーバでの鍵更新時間を1時間に設定することをお勧めします。
ASAアドレスマスク: すべてのデバイスアドレスプールマスクが設定されていないか、または255.255.255.255に設定されていることを確認してください。例を示します:
asa(config-webvpn)# ip local pool vpn_users 10.0.0.1-10.0.0.254 mask 255.255.255.255。
推奨されたアドレスマスクを使用すると、VPN構成が想定するルートの一部が無視される場合があります。この問題を回避するには、必要なルートがルーティングテーブルにすべて含まれていて、サブネットアドレスにアクセスできることを確認してから、導入するようにしてください。
- アプリケーションバージョン: クライアントソフトウェアのバージョンがサーバに送信されます。これによりサーバは、デバイスのソフトウェアバージョンに基づいて接続を許可または拒否できます。
- バナー: サーバでバナーが構成されている場合は、デバイスにバナーが表示され、ユーザはそれを受け入れるか接続を解除する必要があります。
- スプリットトンネル: 対応しています。
- スプリットDNS: 対応しています。
- デフォルトドメイン: 対応しています。

役に立ちましたか？

Appleプラットフォーム導入

Appleデバイス用のCisco IPsec VPNの設定

認証方法

認証グループ

IPsecの設定と説明