CLI ブック 3：Cisco ASA シリーズ 9.8 VPN CLI コンフィギュレーションガイド

ロードバランシングの概要

リモートクライアントコンフィギュレーションで、複数の ASA を同じネットワークに接続してリモートセッションを処理している場合、これらのデバイスでセッション負荷を分担するように設定できます。この機能は、ロードバランシングと呼ばれます。ロードバランシングでは、最も負荷の低いデバイスにセッショントラフィックが送信されます。このため、すべてのデバイス間で負荷が分散されます。これにより、システムリソースを効率的に利用でき、パフォーマンスと可用性が向上します。

ロードバランシングを実装するには、同じプライベート LAN 間ネットワーク上の複数のデバイスを、論理的に仮想クラスタとしてグループ化します。

セッションの負荷は、仮想クラスタ内のすべてのデバイスに分散されます。仮想クラスタ内の 1 つのデバイスである仮想クラスタマスターは、着信接続要求をバックアップデバイスと呼ばれる他のデバイスに転送します。仮想クラスタマスターは、クラスタ内のすべてのデバイスをモニタし、各デバイスの負荷を追跡して、その負荷に基づいてセッションの負荷を分散します。仮想クラスタマスターの役割は、1 つの物理デバイスに結び付けられるものではなく、デバイス間でシフトできます。たとえば、現在の仮想クラスタマスターで障害が発生すると、クラスタ内のバックアップデバイスの 1 つがその役割を引き継いで、すぐに新しい仮想クラスタマスターになります。

仮想クラスタは、外部のクライアントには 1 つの仮想クラスタ IP アドレスとして表示されます。この IP アドレスは、特定の物理デバイスに結び付けられていません。現在の仮想クラスタマスターに属しているため、仮想のアドレスです。接続の確立を試みている VPN クライアントは、最初にこの仮想クラスタ IP アドレスに接続します。仮想クラスタマスターは、クラスタ内で使用できるホストのうち、最も負荷の低いホストのパブリック IP アドレスをクライアントに返します。2 回目のトランザクションで、クライアントは直接そのホストに接続します（この動作はユーザには透過的です）。仮想クラスタマスターは、このようにしてリソース全体に均等かつ効率的にトラフィックを転送します。

クラスタ内のマシンで障害が発生すると、終了されたセッションはただちに仮想クラスタ IP アドレスに再接続できます。次に、仮想クラスタマスターは、クラスタ内の別のアクティブデバイスにこれらの接続を転送します。仮想クラスタマスター自体に障害が発生した場合、クラスタ内のバックアップデバイスが、ただちに新しい仮想セッションマスターを自動的に引き継ぎます。クラスタ内の複数のデバイスで障害が発生しても、クラスタ内のデバイスが 1 つ稼働していて使用可能である限り、ユーザはクラスタに引き続き接続できます。

VPN ロードバランシングのアルゴリズム

マスターデバイスには、バックアップクラスタメンバーを IP アドレスの昇順にソートしたリストが保持されます。各バックアップクラスタメンバーの負荷は、整数の割合（アクティブセッション数）として計算されます。AnyConnect の非アクティブセッションは、ロードバランシングの SSL VPN 負荷に数えられません。マスターデバイスは、IPsec トンネルと SSL VPN トンネルを負荷が最も低いデバイスに、その他のデバイスより負荷が 1% 高くなるまでリダイレクトします。すべてのバックアップクラスタメンバーの負荷がマスターより 1% 高くなると、マスターデバイスは自分自身に対してリダイレクトします。

たとえば、1 つのマスターと 2 つのバックアップクラスタメンバーがある場合に、次のサイクルが当てはまります。

（注）

すべてのノードは 0% から始まり、すべての割合は四捨五入されます。

マスターデバイスは、すべてのメンバーにマスターよりも 1% 高い負荷がある場合に、接続を使用します。
マスターが接続を使用しない場合、セッションは、最もロード率が低いバックアップデバイスが処理します。
すべてのメンバーに同じ割合の負荷がかかっている場合、セッション数が最も少ないバックアップデバイスがセッションを取得します。
すべてのメンバーに同じ割合の負荷と同じ数のセッションがある場合、IP アドレス数が最も少ないデバイスがセッションを取得します。

VPN ロードバランシングクラスタコンフィギュレーション

ロードバランシングクラスタは、同じリリースまたは混在リリースの ASA から構成できます。ただし、次の制約があります。

同じリリースの 2 台の ASA から構成されるロードバランシングクラスタは、IPsec、AnyConnect、およびクライアントレス SSL VPN クライアントとクライアントレスセッションの組み合わせに対してロードバランシングを実行できます。
混在リリースの ASA または同じリリースの ASA を含むロードバランシングクラスタは、IPsec セッションのみをサポートできます。ただし、このようなコンフィギュレーションでは、ASA はそれぞれの IPsec のキャパシティに完全に達しない可能性があります。

Release 7.1(1) 以降、IPsec セッションと SSL VPN セッションは、クラスタ内の各デバイスが伝送する負荷を決定するときに均等にカウントまたは重み付けします。これは、ASA リリース 7.0(x) ソフトウェア用のロードバランシングの計算からの逸脱を意味しています。つまり、このプラットフォームでは、いずれも一部のハードウェアプラットフォームにおいて、IPsec セッションの負荷とは異なる SSL VPN セッションの負荷を計算する重み付けアルゴリズムを使用しています。

クラスタの仮想マスターは、クラスタのメンバにセッション要求を割り当てます。ASA は、すべてのセッション、SSL VPN または IPsec を同等と見なし、それらを同等に割り当てます。許可する IPsec セッションと SSL VPN セッションの数は、コンフィギュレーションおよびライセンスで許可されている最大数まで設定できます。

ロードバランシングクラスタで最大 10 のノードはテスト済みです。これよりクラスタが多くても機能しますが、そのようなトポロジは正式にはサポートされていません。

一般的な混在クラスタシナリオの例

混在コンフィギュレーション、つまりロードバランシングクラスタにさまざまな ASA ソフトウェアリリースを実行しているデバイスが含まれている場合、最初のクラスタマスターで障害が発生し、別のデバイスがマスターを引き継ぐときに、重み付けアルゴリズムの違いが問題になります。

次のシナリオは、ASA リリース 7.1(1) ソフトウェアおよび ASA リリース 7.0(x) ソフトウェアを実行しているさまざまな ASA で構成されているクラスタでの VPN ロードバランシングの使用を示しています。

シナリオ 1：SSL VPN 接続のない混在クラスタ

このシナリオでは、クラスタはさまざまな ASA で構成されています。ASA クラスタピアには、ASA Release 7.0(x) を実行しているものも、Release 7.1(1) を実行しているものもあります。7.1(1) 以前のピアには、SSL VPN 接続はなく、7.1(1) クラスタピアには、SSL VPN の基本ライセンスのみあり、2 つの SSL VPN セッションは許可されますが、SSL VPN 接続はありません。この場合、すべての接続は IPsec であり、ロードバランシングは良好に機能します。

シナリオ 2：SSL VPN 接続を処理する混在クラスタ

たとえば、ASA Release 7.1(1) ソフトウェアを実行している ASA が最初のクラスタマスターで、そのデバイスに障害が発生したとします。クラスタ内の別のデバイスが自動的にマスターを引き継ぎ、そのクラスタ内のプロセッサの負荷を決定するためにそのデバイス独自のロードバランシングアルゴリズムを適用します。ASA Release 7.1(1) ソフトウェアを実行しているクラスタマスターは、そのソフトウェアが提供する方法以外では、セッションの負荷を重み付けすることはできません。そのため、IPsec および SSL VPN セッションの負荷の組み合わせを、以前のバージョンを実行する ASA デバイスに適切に割り当てることができません。次のシナリオは、このジレンマを示しています。

このシナリオは、クラスタがさまざまな ASA で構成されているという点において、前述のシナリオと似ています。ASA クラスタピアには、ASA Release 7.0(x) を実行しているものも、Release 7.1(1) を実行しているものもあります。ただし、この場合は、クラスタは SSL VPN 接続だけでなく IPsec 接続も処理されます。

ASA Release 7.1(1) 以前のソフトウェアを実行しているデバイスがクラスタマスターである場合、マスターは実質的に Release 7.1(1) 以前のプロトコルとロジックを適用します。つまり、セッションはそのセッション制限を超えているロードバランシングピアに転送される場合もあります。その場合、ユーザはアクセスを拒否されます。

クラスタマスターが ASA Release 7.0(x) ソフトウェアを実行しているデバイスである場合、古いセッション重み付けアルゴリズムは、クラスタ内の 7.1(1) 以前のピアにのみ適用されます。この場合、アクセスが拒否されることはありません。これは、7.1(1) 以前のピアは、セッション重み付けアルゴリズムを使用するため、負荷がより軽くなっています。

ただし、7.1(1) ピアが常にクラスタマスターであることは保証できないため、問題が発生します。クラスタマスターで障害が発生すると、別のピアがマスターの役割を引き継ぎます。新しいマスターは、適格なピアのいずれかになります。結果を予測することは不可能であるため、このタイプのクラスタを構成しないことを推奨します。

ロードバランシングについての FAQ

マルチコンテキストモード

Q.	ロードバランシングはマルチコンテキストモードでサポートされていますか。
A.	ロードバランシングもステートフルフェールオーバーもマルチコンテキストモードではサポートされていません。

IP アドレスプールの枯渇

Q.

ASA は、IP アドレスプールの枯渇をその VPN ロードバランシング方式の一部と見なしますか。

A.

いいえ。リモートアクセス VPN セッションが、IP アドレスプールが枯渇したデバイスに転送された場合、セッションは確立されません。ロードバランシングアルゴリズムは、負荷に基づき、各バックアップクラスタメンバーが提供する整数の割合（アクティブセッション数および最大セッション数）として計算されます。

固有の IP アドレスプール

Q.	VPN ロードバランシングを実装するには、異なる ASA 上の AnyConnect クライアントまたは IPsec クライアントの IP アドレスプールを固有にする必要がありますか。
A.	はい。IP アドレスプールはデバイスごとに固有にする必要があります。

同じデバイスでのロードバランシングとフェールオーバーの使用

Q.	単一のデバイスで、ロードバランシングとフェールオーバーの両方を使用できますか。
A.	はい。この設定では、クライアントはクラスタの IP アドレスに接続し、クラスタ内で最も負荷の少ない ASA にリダイレクトされます。そのデバイスで障害が発生すると、スタンバイ装置がすぐに引き継ぎ、VPN トンネルにも影響を及ぼしません。

複数のインターフェイスでのロードバランシング

Q.

複数のインターフェイスで SSL VPN をイネーブルにする場合、両方のインターフェイスにロードバランシングを実装することはできますか。

A.

パブリックインターフェイスとしてクラスタに参加するインターフェイスは 1 つしか定義できません。これは、CPU 負荷のバランスをとることを目的としています。複数のインターフェイスは、同じ CPU に集中するため、複数のインターフェイスにおけるロードバランシングの概念には意味がありません。

ロードバランシングクラスタの最大同時セッション

Q.

それぞれが 100 ユーザの SSL VPN ライセンスを持つ 2 つの ASA 5525-X が構成されているとします。この場合、ロードバランシングクラスタで許可されるユーザの最大合計数は、200 同時セッションでしょうか。または 100 同時セッションだけでしょうか。さらに 100 ユーザライセンスを持つ 3 台目のデバイスを追加した場合、300 の同時セッションをサポートできますか。

A.

VPN ロードバランシングを使用すると、すべてのデバイスがアクティブになるため、クラスタでサポートできる最大セッション数は、クラスタ内の各デバイスのセッション数の合計になります。この例の場合は、300 になります。

ロードバランシングのライセンス

VPN ロードバランシングを使用するには、Security Plus ライセンスを備えた ASA モデル 5512-X、または ASA モデル 5515-X 以降が必要です。VPN ロードバランシングには、アクティブな 3DES または AES ライセンスが必要です。セキュリティアプライアンスは、ロードバランシングをイネーブルにする前に、この暗号ライセンスが存在するかどうかをチェックします。アクティブな 3DES または AES のライセンスが検出されない場合、セキュリティアプライアンスはロードバランシングをイネーブルにせず、ライセンスでこの使用方法が許可されていない場合には、ロードバランシングシステムによる 3DES の内部コンフィギュレーションも抑止します。

VPN ロードバランシングに関するガイドラインと制限事項

適格なプラットフォーム

ロードバランシングの前提条件も参照してください。

ロードバランシングクラスタには、ASA モデルの ASA 5512-X（Security Plus ライセンスあり）および Model 5515-X 以降を含めることができます。混合コンフィギュレーションは可能ですが、通常は、同種クラスタにする方が容易に管理できます。

適格なクライアント

ロードバランシングは、次のクライアントで開始されるリモートセッションでのみ有効です。

Cisco AnyConnect Secure Mobility Client（リリース 3.0 以降）
Cisco ASA 5505 セキュリティアプライアンス（Easy VPN クライアントとして動作する場合）
IKE リダイレクトをサポートする IOS EZVPN クライアントデバイス（IOS 831/871）
クライアントレス SSL VPN（クライアントではない）

クライアントの考慮事項

ロードバランシングは、IPsec クライアントセッションと SSL VPN クライアントおよびクライアントレスセッションで機能します。LAN-to-LAN を含めて、他のすべての VPN 接続タイプ（L2TP、PPTP、L2TP/IPsec）は、ロードバランシングがイネーブルになっている ASA に接続できますが、ロードバランシングには参加できません。

複数の ASA ノードがロードバランシングのためにクラスタ化され、AnyConnect クライアント接続にグループ URL の使用が必要な場合、個々の ASA ノードは以下を行う必要があります。

各リモートアクセス接続プロファイルに、各ロードバランシング仮想クラスタアドレス（IPv4 および IPv6）のグループ URL を設定します。
このノードの VPN ロードバランシングパブリックアドレスに対してグループ URL を設定します。

コンテキストモード

マルチコンテキストモードでは、VPN ロードバランシングはサポートされません。

証明書の確認

AnyConnect でロードバランシングの証明書確認を実行し、IP アドレスによって接続がリダイレクトされている場合、クライアントにより、この IP アドレスを通してその名前チェックがすべて実行されます。リダイレクト IP アドレスが証明書の一般名、つまり subject alt name に一覧表示されていることを確認する必要があります。IP アドレスがこれらのフィールドに存在しない場合、証明書は非信頼と見なされます。

RFC 2818 で定義されたガイドラインに従って、subject alt name が証明書に組み込まれている場合、名前チェックにのみ subject alt name を使用し、一般名は無視します。証明書を提示しているサーバの IP アドレスが証明書の subject alt name で定義されていることを確認します。

スタンドアロン ASA の場合、IP アドレスはその ASA の IP です。クラスタリング環境では、証明書の設定により異なります。クラスタが 1 つの証明書を使用している場合、証明書は、クラスタ IP アドレスおよびクラスタ FQDN の SAN 拡張機能を保持するほか、各 ASA の IP および FQDN を備えたサブジェクト代替名の拡張機能を含む必要があります。クラスタが複数の証明書を使用している場合、各 ASA の証明書は、クラスタ IP の SAN 拡張機能、クラスタ FQDN、個々の ASA の IP アドレスおよび FQDN を保持する必要があります。

地理的ロードバランシング

ロードバランシング環境において DNS 解決が一定の間隔で変化する場合は、存続可能時間（TTL）の値をどのように設定するかを慎重に検討する必要があります。DNS ロードバランス設定が AnyConnect との組み合わせで適切に機能するには、マッピングを処理する ASA の名前が、その ASA が選択された時点からトンネルが完全に確立されるまでの間、同じである必要があります。所定の時間が経過してもクレデンシャルが入力されない場合は、ルックアップが再び開始して別の IP アドレスが解決済みアドレスとなることがあります。DNS のマッピング先が別の ASA に変更された後でクレデンシャルが入力された場合は、VPN トンネルの確立に失敗します。

VPN の地理的ロードバランシングでは、Cisco Global Site Selector（GSS）が使用されることがあります。GSS では DNS がロードバランシングに使用され、DNS 解決の存続可能時間（TTL）のデフォルト値は 20 秒となっています。GSS での TTL の値を大きくすると、接続失敗の確率を大幅に引き下げることができます。値を大きくすると、ユーザがクレデンシャルを入力してトンネルを確立するときの認証フェーズに十分な時間を取ることができます。

クレデンシャル入力のための時間を増やすには、「起動時接続」をディセーブルにすることも検討してください。

ロードバランシングの設定

リモートクライアントコンフィギュレーションで、複数の ASA を同じネットワークに接続してリモートセッションを処理している場合、これらのデバイスでセッション負荷を分担するように設定できます。この機能はロードバランシングと呼ばれ、最も負荷の低いデバイスにセッショントラフィックが送信されます。このため、すべてのデバイス間で負荷が分散されます。ロードバランシングにより、システムリソースが効率的に使用され、パフォーマンスとシステムアベイラビリティが向上します。

ロードバランシングを使用するには、クラスタ内の各デバイスで以下を実行します。

共通の VPN ロードバランシングクラスタ属性を設定することによってロードバランシングクラスタを設定します。これには、仮想クラスタ IP アドレス、UDP ポート（必要に応じて）、およびクラスタの IPsec 共有秘密が含まれます。クラスタに参加するすべてのデバイスには、クラスタ内でのデバイスプライオリティを除き、同一のクラスタコンフィギュレーションを設定する必要があります。
デバイスでロードバランシングを有効にし、パブリックアドレスとプライベートアドレスなどのデバイス固有のプロパティを定義することにより、参加するデバイスを設定します。これらの値はデバイスによって異なります。

ロードバランシングの前提条件

VPN ロードバランシングに関するガイドラインと制限事項も参照してください。

ロードバランシングはデフォルトではディセーブルになっています。ロードバランシングは明示的にイネーブルにする必要があります。
最初にパブリック（外部）およびプライベート（内部）インターフェイスを設定しておく必要があります。この項では、これ以降の参照に外部および内部の名前を使用します。

これらのインターフェイスに異なる名前を設定するには、interface コマンドと nameif コマンドを使用します。
仮想クラスタ IP アドレスが参照するインターフェイスを事前に設定する必要があります。共通仮想クラスタ IP アドレス、UDP ポート（必要に応じて）、およびクラスタの IPsec 共有秘密を確立します。
クラスタに参加するすべてのデバイスは、同じクラスタ固有の値（IP アドレス、暗号化設定、暗号キー、およびポート）を共有する必要があります。
暗号化を使用する場合は、インターフェイス内にロードバランシングを設定する必要があります。そのインターフェイスがロードバランシング内部インターフェイスでイネーブルになっていない場合、クラスタの暗号化を設定しようとするとエラーメッセージが表示されます。
アクティブ/アクティブステートフルフェールオーバー、または VPN ロードバランシングを使用している場合、ローカル CA 機能はサポートされません。ローカル CA を別の CA の下位に置くことはできません。ローカル CA はルート CA にしかなれません。

ロードバランシング用のパブリックインターフェイスとプライベートインターフェイスの設定

ロードバランシングクラスタデバイス用のパブリック（外部）インターフェイスとプライベート（内部）インターフェイスを設定するには、次の手順を実行します。

手順

ステップ 1	VPN ロードバランシングコンフィギュレーションモードで、lbpublic キーワードを指定して interface コマンドを入力し、ASA にパブリックインターフェイスを設定します。このコマンドは、このデバイスのロードバランシングのためのパブリックインターフェイスの名前または IP アドレスを指定します。例: `hostname(config)# vpn load-balancing hostname(config-load-balancing)# interface lbpublic outside hostname(config-load-balancing)#`
ステップ 2	VPN ロードバランシングコンフィギュレーションモードで、lbprivate キーワードを指定して interface コマンドを入力し、ASA にプライベートインターフェイスを設定します。このコマンドで、このデバイスのロードバランシングのためのプライベートインターフェイスの名前または IP アドレスを指定します。例: `hostname(config-load-balancing)# interface lbprivate inside hostname(config-load-balancing)#`
ステップ 3	このデバイスを割り当てるためのクラスタ内でのプライオリティを設定します。値の範囲は 1 ～ 10 です。プライオリティは、起動時または既存のマスターで障害が発生したときに、このデバイスが仮想クラスタマスターになる可能性を表します。プライオリティを高く設定すると（たとえば 10）、このデバイスが仮想クラスタマスターになる可能性が高くなります。例: たとえば、このデバイスにクラスタ内でのプライオリティ 6 を割り当てるには、次のコマンドを入力します。 `hostname(config-load-balancing)# priority 6 hostname(config-load-balancing)#`
ステップ 4	このデバイスにネットワークアドレス変換を適用する場合は、デバイスに割り当てられた NAT アドレスを指定して nat コマンドを入力します。IPv4 および IPv6 アドレスを定義するか、デバイスのホスト名を指定できます。例: たとえば、このデバイスに NAT アドレス 192.168.30.3 および 2001:DB8::1 を割り当てるには、次のコマンドを入力します。 `hostname(config-load-balancing)# nat 192.168.30.3 2001:DB8::1 hostname(config-load-balancing)#`

ロードバランシングクラスタ属性の設定

クラスタ内の各デバイスのロードバランシングクラスタ属性を設定するには、次の手順を実行します。

手順

ステップ 1

グローバルコンフィギュレーションモードで vpn load-balancing コマンドを入力して、VPN ロードバランシングを設定します。

例:


hostname(config)# vpn load-balancing
hostname(config-load-balancing)#

これで vpn-load-balancing コンフィギュレーションモードに入るため、ここで残りのロードバランシング属性を設定できます。

ステップ 2

このデバイスが属しているクラスタの IP アドレスまたは完全修飾ドメイン名を設定します。このコマンドは、仮想クラスタ全体を表す単一の IP アドレスまたは FQDN を指定します。仮想クラスタ内のすべての ASA が共有するパブリックサブネットのアドレス範囲内から、IP アドレスを選択します。IPv4 アドレスまたは IPv6 アドレスを指定できます。

例:

たとえば、クラスタ IP アドレスを IPv6 アドレス 2001:DB8::1 に設定するには、次のコマンドを入力します。


hostname(config-load-balancing)# cluster ip address 2001:DB8::1
hostname(config-load-balancing)#

ステップ 3

クラスタポートを設定します。次のコマンドは、このデバイスが参加する仮想クラスタの UDP ポートを指定します。デフォルト値は 9023 です。別のアプリケーションでこのポートが使用されている場合は、ロードバランシングに使用する UDP の宛先ポート番号を入力します。

例:

たとえば、クラスタポートを 4444 に設定するには、次のコマンドを入力します。


hostname(config-load-balancing)# cluster port 4444
hostname(config-load-balancing)#

ステップ 4

（任意）クラスタに対する IPsec 暗号化をイネーブルにします。

デフォルトでは暗号化は使用されません。このコマンドは、IPsec 暗号化をイネーブルまたはディセーブルにします。このチェック属性を設定する場合は、まず共有秘密情報を指定して検証する必要があります。仮想クラスタ内の ASA は、IPsec を使用して LAN-to-LAN トンネル経由で通信します。デバイス間で通信されるすべてのロードバランシング情報が暗号化されるようにするには、この属性をイネーブルにします。

（注）

暗号化を使用する場合、事前にロードバランシング内部インターフェイスを設定しておく必要があります。そのインターフェイスがロードバランシング内部インターフェイスでイネーブルになっていない場合、クラスタの暗号化を設定しようとするとエラーメッセージが表示されます。

クラスタの暗号化を設定したときにロードバランシング内部インターフェイスがイネーブルになっていて、仮想クラスタ内の参加デバイスを設定する前にディセーブルになった場合、participate コマンドを入力する（または、ASDM で、[Participate in Load Balancing Cluster] チェックボックスをオンにする）と、エラーメッセージが表示され、そのクラスタに対する暗号化はイネーブルになりません。

クラスタの暗号化を使用するには、指定した内部インターフェイスで crypto ikev1 enable コマンドを使用します。

例:


hostname(config-load-balancing)# cluster encryption
hostname(config-load-balancing)#

ステップ 5

クラスタの暗号化をイネーブルにする場合は、cluster key コマンドを入力して IPsec 共有秘密情報も指定する必要があります。このコマンドは、IPsec 暗号化をイネーブルにしてある場合、IPsec ピア間に共有秘密を指定します。ボックスに入力する値は、連続するアスタリスク文字として表示されます。

例:

たとえば、共有秘密情報を 123456789 に設定するには、次のコマンドを入力します。


hostname(config-load-balancing)# cluster key 123456789
hostname(config-load-balancing)#

ステップ 6

participate コマンドを入力して、クラスタへのこのデバイスの参加をイネーブルにします。

例:


hostname(config-load-balancing)# participate
hostname(config-load-balancing)#

次のタスク

複数の ASA ノードがロードバランシングのためにクラスタ化され、AnyConnect クライアント接続にグループ URL の使用が必要な場合、個々の ASA ノードで以下を行う必要があります。

各リモートアクセス接続プロファイルに、各ロードバランシング仮想クラスタアドレス（IPv4 および IPv6）のグループ URL を設定します。
このノードの VPN ロードバランシングパブリックアドレスに対してグループ URL を設定します。

tunnel-group 、general-attributes 、group-url コマンドを使用して、次のグループの URL を設定します。

完全修飾ドメイン名を使用したリダイレクションのイネーブル化

デフォルトで、ASA はロードバランシングリダイレクションの IP アドレスだけをクライアントに送信します。DNS 名に基づく証明書が使用されている場合、その証明書はバックアップデバイスにリダイレクトされたときに無効になります。

VPN クライアント接続を別のクラスタデバイス（クラスタ内の別の ASA）にリダイレクトするときに、この ASA は VPN クラスタマスターとして、DNS 逆ルックアップを使用し、そのクラスタデバイスの（外部 IP アドレスではなく）完全修飾ドメイン名（FQDN）を送信できます。

VPN ロードバランシングモードで完全修飾ドメイン名を使用したリダイレクトをイネーブルまたはディセーブルにするには、グローバルコンフィギュレーションモードで redirect-fqdn enable コマンドを使用します。この動作は、デフォルトではディセーブルになっています。

始める前に

クラスタ内のロードバランシングデバイスのすべての外部および内部ネットワークインターフェイスは、同じ IP ネットワーク上に存在する必要があります。

手順

ステップ 1	redirect-fqdn enable コマンドを使用して、ロードバランシングのための FQDN の使用をイネーブルにします。 [no] redirect-fqdn {enable \| disable} 例: `hostname(config)# vpn load-balancing hostname(config-load-balancing)# redirect-fqdn enable hostname(config-load-balancing)#`
ステップ 2	DNS サーバに、各 ASA 外部インターフェイスのエントリを追加します（エントリが存在しない場合）。それぞれの ASA 外部 IP アドレスに、ルックアップ用にそのアドレスに関連付けられた DNS エントリが設定されている必要があります。これらの DNS エントリに対しては、逆ルックアップもイネーブルにする必要があります。
ステップ 3	dns domain-lookup inside コマンドを使用して、ASA で DNS ルックアップをイネーブルにします。inside の部分には、DNS サーバへのルートを持つ任意のインターフェイスを指定します。
ステップ 4	ASA で DNS サーバ IP アドレスを定義します（例：dns name-server 10.2.3.4（DNS サーバの IP アドレス）。

VPN ロードバランシングの設定例

基本の VPN ロードバランシング CLI 設定

次に、完全修飾ドメイン名のリダイレクトをイネーブルにし、クラスタのパブリックインターフェイスを test と指定し、クラスタのプライベートインターフェイスを foo と指定するインターフェイスコマンドを含む、VPN ロードバランシングコマンドシーケンスの例を示します。


hostname(config)# interface GigabitEthernet 0/1
hostname(config-if)# ip address 209.165.202.159 255.255.255.0
hostname(config)# nameif test
hostname(config)# interface GigabitEthernet 0/2
hostname(config-if)# ip address 209.165.201.30 255.255.255.0
hostname(config)# nameif foo
hostname(config)# vpn load-balancing
hostname(config-load-balancing)# nat 192.168.10.10
hostname(config-load-balancing)# priority 9
hostname(config-load-balancing)# interface lbpublic test
hostname(config-load-balancing)# interface lbprivate foo
hostname(config-load-balancing)# cluster ip address 209.165.202.224
hostname(config-load-balancing)# cluster key 123456789
hostname(config-load-balancing)# cluster encryption
hostname(config-load-balancing)# cluster port 9023
hostname(config-load-balancing)# redirect-fqdn enable
hostname(config-load-balancing)# participate

ロードバランシングの表示

ロードバランシングクラスタのマスターは、アクティブな AnyConnect セッション、クライアントレスセッション、そして設定された制限またはライセンス数制限に基づく最大許可セッションがあるクラスタ内の各 ASA からメッセージを定期的に受信します。クラスタ内のある ASA の容量が 100% いっぱいであると示される場合、クラスタマスターはこれに対してさらに接続をリダイレクトすることはできません。ASA がいっぱいであると示されても、ユーザによっては非アクティブまたは再開待ち状態となり、ライセンスを消費する可能性があります。回避策として、セッション合計数ではなく、セッション合計数から非アクティブ状態のセッション数を引いた数が各 ASA によって提供されますコマンドリファレンスの -sessiondb summary コマンドを参照してください。つまり、非アクティブなセッションはクラスタマスターに報告されません。ASA が（非アクティブなセッションによって）いっぱいになっている場合でも、クラスタマスターは必要に応じて接続を ASA に引き続きリダイレクトします。ASA が新しい接続を受信すると、最も長く非アクティブになっていたセッションがログオフされ、新しい接続がそのライセンスを引き継ぎます。

次の例は、100 個の SSL セッション（アクティブのみ）と 2% の SSL 負荷を示しています。これらの数字には、非アクティブなセッションは含まれていません。つまり、非アクティブなセッションはロードバランシングの負荷に数えられません。


hostname# show vpn load-balancing
	Status :				enabled
	Role :				Master
	Failover :				Active
	Encryption :				enabled
	Cluster IP :				192.168.1.100
	Peers :				1

	Load %
Sessions
	Public IP     Role   Pri Model    IPsec SSL IPsec SSL
	192.168.1.9   Master 7   ASA-5540 4     2   216   100
	192.168.1.19  Backup 9   ASA-5520 0     0   0     0

CLI ブック 3：Cisco ASA シリーズ 9.8 VPN CLI コンフィギュレーション ガイド

偏向のない言語

翻訳について

検索結果

章のタイトル： ハイアベイラビリティ オプション

ハイアベイラビリティ オプション

ハイアベイラビリティ オプション

ロード バランシング

フェールオーバー

ロード バランシング

ロード バランシングの概要

VPN ロードバランシングのアルゴリズム

VPN ロードバランシング クラスタ コンフィギュレーション

一般的な混在クラスタ シナリオの例

シナリオ 1：SSL VPN 接続のない混在クラスタ

シナリオ 2：SSL VPN 接続を処理する混在クラスタ

ロード バランシングについての FAQ

マルチ コンテキスト モード

IP アドレス プールの枯渇

固有の IP アドレス プール

同じデバイスでのロード バランシングとフェールオーバーの使用

複数のインターフェイスでのロード バランシング

ロード バランシング クラスタの最大同時セッション

ロード バランシングのライセンス

VPN ロード バランシングに関するガイドラインと制限事項

適格なプラットフォーム

適格なクライアント

クライアントの考慮事項

コンテキスト モード

証明書の確認

地理的ロード バランシング

ロード バランシングの設定

ロード バランシングの前提条件

ロード バランシング用のパブリック インターフェイスとプライベート インターフェイスの設定

手順

例:

例:

例:

例:

ロード バランシング クラスタ属性の設定

手順

例:

例:

例:

例:

例:

例: