Secure Mobility Client VPNについて

CSCO10795163 · ‎2014-08-14

皆様

Secure Mobility Client VPNについて教えていただきたいことがあり連絡しました。
現在、ASAから生成された証明書をインストールし、ブラウザからウェブアクセスをする際には、正常に証明されていることが確認できています。
しかし、Client VPNで接続をしようとする際、以下の文言が表示されてしまいます。

Security Warning: Untrusted VPN Server Certificate!

設定で、Block connections to untrusted servers（信頼できないサーバはブロックする）にチェックが入ってしまっている場合は、接続がブロックされてしまいます。

以上の問題を回避する方法はあるのでしょうか。

また証明書は「信頼されたルート証明機関」にインストールしてあります。
他にインストールする必要がある設定があるのでしょうか。

ご教授いただけると助かります。

Akira Muranaka · ‎2014-08-14

こんにちわ！

"Security Warning: Untrusted VPN Server Certificate!"のエラーは、例えば、サーバ名が一致しない場合や、信頼されていないソースであった場合、もしくは、期限(日付)が間違っている（大きくずれている）時に、発生する可能性があります。

既にトライ済みかもですが、以下URLの、「11. Web Deploy、Web Launch」の手順で、再度証明書を「信頼されたルート証明機関」に登録頂くと如何でしょう？

[Cisco AnyConnect Secure Mobility Client を使用して Remote Access VPN を行う際の設定 (1)]
https://supportforums.cisco.com/ja/document/11936906

また、証明書のFQDN名が"asa.cisco.com"の場合、以下hostsファイルに、"asa.cisco.com"とASAのWANの実IPアドレスの紐づけを登録した後、クライアントから"asa.cisco.com"宛にアクセスしてみると良いかと思います。

C:\windows\system32\drivers\etc\hosts

上記で改善し無い場合は、"Security Warning: Untrusted VPN Server Certificate!"のポップアップにエラー理由の記載があるかと思いますので、そちらも教えて頂けますでしょうか？

CSCO10795163 · ‎2014-08-14

こんにちは！

早速ご回答いただきありがとうございます。

いただいた方法でやってみたのですがどうにもうまくいきませんでした。

エラーメッセージとして出てきたポップアップを画像で撮ったので添付します。

改めて試してみようと思います。

Akira Muranaka · ‎2014-08-14

こんばんわ！

早速お試し有難う御座います！そして、だ、だめですか・・・・！うーん・・

画像のエラー"Certificate is not identified for this purpose"ですが、AnyConnect 3.1から、証明書関係のチェック機能が強化されたので、その影響がありそうです。及び、AnyConnectはASA自己証明書の利用はあまり推奨されてなく、簡易証明書なので幾つか機能制限があります。

手探りで申し訳ないのですが、以下も試して頂くと如何でしょう。

1. AnyConnectを最新バージョンを試す
2014年8月現在、は3.1.05178が最新です

2. 仮に証明書のみの認証を利用されている場合は、先ほどの以下URLを参考に、自己証明書再発行の他、ユーザID・パスワード認証も併用してみてください
証明書のみの認証の場合、認証制限が厳しくなるので、ASA自己証明書だけだと怒られてしまうかもです

https://supportforums.cisco.com/ja/document/11936906

証明書と、ASA自己証明書を利用時の注意点や制限は、以下を確認してみてください。

[AnyConnect3.1 VPNアクセスの設定]
http://www.cisco.com/cisco/web/support/JP/docs/SEC/VPNEndpointSecurClients/AnyConnectSecureMobilityC/CG/001/ac03vpn.html?bid=0900e4b182e25f86

[AnyConnect3.1 VPN 認証の管理]
http://www.cisco.com/cisco/web/support/JP/docs/SEC/VPNEndpointSecurClients/AnyConnectSecureMobilityC/CG/001/ac11authenticate.html?bid=0900e4b182e25f86

参考になれば！