【構成】
Hosts —– Internet =====> ASA ===== SSL-VPN =====> Server
|
Other HP [ex:http://www.google.com/]
Split Tunneling は VPN をやっていると
結構使う設定なので、メモ書き。
要件は以下の2点。
- Hosts は ASA へアクセスし、SSL-VPN 接続をする
- VPN Tunnel を使用するのは、あくまで ASA 内部ネットワークへの通信のみで
それ以外は、Real Eth で通信をする
SSL-VPN は此処では AnyConnect を使用。
AnyConnect いいよね、iPhone アプリも Cisco は開発してくれたし。
SA の Derault-GW は Internet 側です。
設定でいえば、route outside 0.0.0.0 0.0.0.0 [GW-IP] ですね。
pppoe であれば、setroute オプションでプロバイダから貰うケースもありそうです。
※もちろん、ASA 自身に内部ネットワークの routing も設定する必要ありますが。
設定のポイントは
1.SSL-VPN を適用したいネットワーク[ここでは ASA 内部のネットワーク]のみ
VPN 接続を許可するための ACL を定義(Split Tunnelingの設定時に使います)
access-list spt_acl standard permit [VPN Network] [Subnetmask]
2.AnyConnet 接続時に割り当てた ip pools には NAT させないよう
NAT除外を設定します
access-list no_nat extended permit ip any [AnyConnect IP] [Subnetmask]
nat (inside) 0 access-list no_nat
3.AnyConnect の group-policy に、Split Tunnelingの設定をします
group-policy AnyConnect internal
group-policy AnyConnect attributes
vpn-tunnel-protocol svc
split-tunnel-policy tunnelspecified
split-tunnel-network-list value spt_acl
address-pools value POOL
POOL は、AnyConnect 接続時に配布されるよう設定した pool です。
ip local pool POOL xxx.xxx.xxx.1-xxx.xxx.xxx.100 mask 255.255.255.0
これで、VPN 接続させたくない IP に対しては
Hosts の Real Eth からパケットが出力され、VPN を利用する通信に関しては
AnyConnect の Virtual Eth から出力されます。
