*Acqua-Alta*

【構成】
　Hosts —– Internet =====> ASA ===== SSL-VPN =====> Server
　　　　　　　　　　　|
　　　　　　　　Other HP [ex:http://www.google.com/]
　
　Split Tunneling は VPN をやっていると
　結構使う設定なので、メモ書き。
　
　要件は以下の2点。
　
　- Hosts は ASA へアクセスし、SSL-VPN 接続をする
　- VPN Tunnel を使用するのは、あくまで ASA 内部ネットワークへの通信のみで
　　それ以外は、Real Eth で通信をする
　　
　SSL-VPN は此処では AnyConnect を使用。
　AnyConnect いいよね、iPhone アプリも Cisco は開発してくれたし。
　
　SA の Derault-GW は Internet 側です。
　設定でいえば、route outside 0.0.0.0 0.0.0.0 [GW-IP] ですね。
　pppoe であれば、setroute オプションでプロバイダから貰うケースもありそうです。
　
　※もちろん、ASA 自身に内部ネットワークの routing も設定する必要ありますが。
　
　設定のポイントは
　
　1.SSL-VPN を適用したいネットワーク[ここでは ASA 内部のネットワーク]のみ
　　VPN 接続を許可するための ACL を定義(Split Tunnelingの設定時に使います)
　　
　　access-list spt_acl standard permit [VPN Network] [Subnetmask]
　
　2.AnyConnet 接続時に割り当てた ip pools には NAT させないよう
　　NAT除外を設定します
　　
　　access-list no_nat extended permit ip any [AnyConnect IP] [Subnetmask]
　　nat (inside) 0 access-list no_nat
　　
　3.AnyConnect の group-policy に、Split Tunnelingの設定をします
　
　group-policy AnyConnect internal
　group-policy AnyConnect attributes
　　vpn-tunnel-protocol svc
　　split-tunnel-policy tunnelspecified
　　split-tunnel-network-list value spt_acl
　　address-pools value POOL

　POOL は、AnyConnect 接続時に配布されるよう設定した pool です。
　
　ip local pool POOL xxx.xxx.xxx.1-xxx.xxx.xxx.100 mask 255.255.255.0

　これで、VPN 接続させたくない IP に対しては
　Hosts の Real Eth からパケットが出力され、VPN を利用する通信に関しては
　AnyConnect の Virtual Eth から出力されます。