関連トピック

# Firebox から Fortinet FortiGate デバイスに VPN を設定する

Branch office virtual private network (BOVPN) トンネルは、インターネット上でデータを交換するためのネットワークやホストとネットワークのセキュアウェイです。このトピックでは、WatchGuard Firebox と Fortinet FortiGate (OS v4.0) デバイス間の手動 BOVPN トンネルを定義する方法を説明します。BOVPN トンネルを作成する前に、各エンドポイントから IP アドレスを収集して、使用する共通のトンネル設定に同意する必要があります。

このトピックでは、異なる BOVPN 設定や既存のトンネルへの BOVPN 設定の影響についての詳細情報は提供しません。特定の設定の詳細については、以下を参照してください。

- 手動 Branch Office VPN について
- 手動 BOVPN ゲートウェイを構成する
- 手動 BOVPN トンネルを構成する

Firebox Cloud インスタンスから Fortinet FortiGate デバイスに VPN を構成するには、WatchGuard ナレッジベースの Firebox Cloud と FortiNet FortiGate デバイスの間に VPN を構成する を参照してください。

WatchGuard は、WatchGuard 製品が他の会社で製造された製品で動作できるように構成するために、顧客が役立てることのできる相互運用性に関する指示を提供します。WatchGuard 以外の製品を構成するとき、詳細の情報またはテクニカル サポートが必要な場合、この製品のドキュメントおよびサポート リソースを参照してください。

## VPN 構成の概要

参考として、このページには Fortinet FortiGate デバイスの VPN 設定の既定に関する概要が記載されています。ここでは、Fireware v11.12.4 における既定の VPN 設定と一致しない設定に重点が置かれています。

Fireware v12.0 以降では、既定の BOVPN セキュリティ設定が異なります。これらの設定がお使いの Fortinet デバイスと互換性があるかどうかを確認するには、Fortinet デバイスのマニュアルを参照してください。

VPN 設定 | WatchGuard デバイスの既定 (v11.12.4) | Fortinet デバイスの既定 (OS v4.0) | Matched?
--- | --- | --- | ---
フェーズ 1 の設定
IKE 交換モード | メイン | メイン | Y
認証 | SHA1 | SHA1 | Y
暗号化 | 3DES | 3DES* | Y
Diffie-Hellman グループ | 2 | 5 | N
フェーズ 2 の設定
Perfect Forward Secrecy | いいえ | はい (DH5) | N
プロトコル | ESP | ESP | Y
認証 | SHA1 | SHA1 | Y
暗号化 | AES (256-bit) | AES (128 ビット)* | N

WatchGuard と Fortinet デバイスでは、フェーズ 1 と 2 の暗号化の既定設定が異なります。VPN トンネルを正常に構築するには、Firebox と Fortinet デバイスで同じフェーズ 1 と 2 の設定を指定する必要があります。セキュリティを最強にするために、暗号化に AES バリアントを指定することをお勧めします。

## IP アドレスとトンネルの設定の収集

Branch Office VPN を構成する前に、各デバイスのパブリック IP アドレスおよび接続したいプライベートネットワークの IP アドレスを収集する必要があります。また、フェーズ 1 とフェーズ 2 の設定に VPN を使用することに同意する必要があります。この手順では、Fortinet デバイスの既定の設定に一致するフェーズ 1 およびフェーズ 2 の設定で、Firebox を構成する方法を説明します。

たとえば、収集した IP アドレスの設定は以下のようになります：

WatchGuard Firebox：

外部インターフェイス の IP アドレス：203.0.113.2

信頼済みネットワーク IP アドレス：10.0.1.0/24

Fortinet デバイスの挿入：

外部インターフェイス の IP アドレス：198.51.100.2

プライベート ネットワークの IP アドレス：10.50.1.0/24

## Firebox を構成する

Firebox に VPN ゲートウェイ、およびそのゲートウェイを使用する VPN トンネルを追加する必要があります。Firebox のフェーズ 1 の設定は Fortinet デバイスのフェーズ 1 の設定と一致している必要があります。

### VPN ゲートウェイを追加する

まず、ゲートウェイを追加して、フェーズ 1 の設定を構成する必要があります。

Fireware Web UI から、VPN ゲートウェイを追加するには、以下の手順を実行します：

1. VPN > Branch Office VPN の順に選択します。
2. ゲートウェイ リストの下にある 追加 をクリックします。
   ゲートウェイの設定 ページが表示されます。
3. ゲートウェイ名 テキスト ボックスに、このゲートウェイを識別する名前を入力します。
4. 事前共有済みキーを使用 を選択します。共有キー を入力します。
   共有キーには、標準の ASCII 文字のみ使用する必要があります。この名前は FortiGate デバイスで使用するキーと一致する必要があります。
5. ゲートウェイ エンドポイント セクションで、追加 をクリックします。
   ゲートウェイ エンドポイントの設定 ダイアログ ボックスが表示されます。

1. 外部インターフェイス ドロップダウン リストから、パブリック IP アドレスが指定されている外部インターフェイスを選択します。
2. IP アドレスで指定 を選択します。Firebox の外部 (パブリック) IP アドレスを入力します。
3. リモートゲートウェイ タブを選択します。
4. トンネルのリモートゲートウェイ IP アドレスを指定する セクションで、静的 IP アドレス を選択します。FortiGate デバイスの外部 (パブリック) IP アドレスを入力します。
5. トンネル認証用ゲートウェイ ID の指定 セクションで、IP アドレスで指定 を選択します。FortiGate デバイスのパブリック IP アドレスを入力します。
6. OK をクリックして、[ゲートウェイ エンドポイントの設定] ダイアログ ボックスを閉じます。
   定義したゲートウェイ ペアが、ゲートウェイ エンドポイントのリストに表示されます。
7. フェーズ 1 の設定 タブをクリックします。
8. [変換の設定] リストで、既定の [フェーズ 1 の変換] を選択します。編集 をクリックします。
   [設定の変換] ダイアログ ボックスが表示されます。

1. 暗号化ドロップダウン リストから、AES (128 ビット) を選択します。
2. [キー グループ] ドロップダウン リストから、[Diffie-Hellman グループ 5] を選択します。
   このキー グループは、FortiGate デバイスの既定のキー グループに一致します。
3. OK をクリックして、設定の変換 ダイアログ ボックスを閉じます。
4. 保存 をクリックします。

Policy Manager から、VPN ゲートウェイを追加するには、以下の手順を実行します：

1. VPN > Branch Officeゲートウェイ の順に選択します。追加 をクリックします。
   新しいゲートウェイ ダイアログ ボックスが表示されます。
2. ゲートウェイ名 テキスト ボックスに、Policy Manager のこのゲートウェイを識別する名前を入力します。
3. 事前共有済みキーを使用 を選択します。共有キー を入力します。
   共有キーには、標準の ASCII 文字のみを使用する必要があります。この名前は FortiGate デバイスで使用するキーと一致する必要があります。
4. ゲートウェイ エンドポイント セクションで、追加 をクリックします。
   [新しいゲートウェイ エンドポイントの設定] ダイアログ ボックスが表示されます。

1. 外部インターフェイス ドロップダウン リストから、パブリック IP アドレスが指定されている Firebobox の外部インターフェイスを選択します。
2. IP アドレスで指定 を選択します。
3. IP アドレス ドロップダウン リストで、Firebox の外部 (パブリック) IP アドレスを選択します。
4. トンネルのリモート ゲートウェイ IP アドレスを指定する セクションで、静的 IP アドレス を選択します。FortiGate デバイスの外部 (パブリック) IP アドレスを入力します。
5. トンネル認証用ゲートウェイ ID の指定 セクションで、IP アドレスで指定 を選択します。FortiGate デバイスのパブリック IP アドレスを入力します。
6. OK をクリックして、新しいゲートウェイ エンドポイントの設定 ダイアログ ボックスを閉じます。

1. フェーズ 1 の設定 タブをクリックします。
2. [変換の設定] リストで、既定の [フェーズ 1 の変換] を選択します。編集 をクリックします。
   フェーズ 1 の変換 ダイアログ ボックスが表示されます。
3. 暗号化ドロップダウン リストから、AES (128 ビット) を選択します。
4. キー グループ ドロップダウン リストから、Diffie-Hellman グループ 5 を選択します。
   このキー グループは、FortiGate デバイスの既定のキー グループに一致します。

1. OK をクリックして、フェーズ 1 の変換に加えた変更を確認します。
2. OK をクリックして、新しいゲートウェイを追加します。
3. OK をクリックして、ゲートウェイ ダイアログ ボックスを閉じます。

### VPN トンネルを追加する

ゲートウェイを定義したら、トンネルを追加し、フェーズ 2 の設定を構成することができます。

Fireware Web UI から、トンネルを追加するには、以下の手順を実行します：

Fortinet デバイスのフェーズ 2 の既定の設定と一致する設定で、フェーズ 2 プロポーザルを作成します。

1. VPN > フェーズ 2 のプロポーザル の順に選択します。
2. 追加 をクリックします。
   フェーズ 2 のプロポーザル ダイアログ ボックスが表示されます。

1. 名前 フィールドに、この新しいプロポーザルの意味のある名前を入力します。
2. 暗号化 ドロップダウン リストから、AES (128 ビット) を選択します。
3. OK をクリックして、新しいプロポーザルを保存します。

新しいフェーズ 2 のプロポーザルと追加したゲートウェイを使用する VPN トンネルを作成するには、以下の手順を実行します：

1. VPN > Branch Office VPN の順に選択します。
2. トンネル リストの下にある 追加 をクリックします。
   トンネル ページが表示されます。
3. 名前 テキスト ボックスに、このトンネルの意味のある名前を入力します。
4. ゲートウェイ ドロップダウン リストから、Fortinet デバイスに対して構成したゲートウェイを選択します。
5. アドレス タブで、追加 をクリックしてトンネル ルートを追加します。
   トンネル ルートの設定 ダイアログ ボックスが表示されます。

1. ローカル IP 設定の 種類の選択 ドロップダウン リストから、ネットワーク IPv4 を選択します。ネットワーク IP テキスト ボックスに、VPN トンネルを使用させるローカル ネットワークのネットワーク IP アドレスを入力します。
2. リモート IP セクションで、ネットワーク IPv4 を選択します。ネットワーク IP テキスト ボックスに、VPN トンネルを使用させる FortiGate デバイスのリモート ネットワークのサブネット IP アドレスを入力します。
3. OK をクリックしてトンネル ルートを追加します。
   トンネル ルートが トンネル ページの アドレス タブに追加されます。
4. フェーズ 2 の設定 タブをクリックします。

1. [Perfect Forward Secrecy の有効化] チェック ボックスを選択してください。
2. Perfect Forward Secrecy の有効化 ドロップダウン リストから、Diffie-Hellman グループ 5 を選択します。
   これは、FortiGate デバイスの PFS の既定 Diffie-Hellman グループに一致します。
3. IPSec プロポーザル リストから、既定の ESP-AES-SHA1 プロポーザルを選択します。削除 をクリックします。
4. IPSec プロポーザル ドロップダウン リストから、前に作成した新しいフェーズ 2 のプロポーザルを選択します。追加 をクリックします。
5. 保存 をクリックします。

トンネルを追加するには、Policy Manager から以下の手順を実行します：

1. VPN > Branch Office トンネル の順に選択します。
   Branch Office IPSec Tunnels ダイアログ ボックスが表示されます。
2. 追加 をクリックします。
   新しいトンネル ダイアログ ボックスが表示されます。
3. トンネル名 テキスト ボックスに、意味のあるこのトンネルの名前を入力します。
4. ゲートウェイ ドロップダウン リストから、Fortinet デバイスに対して構成したゲートウェイを選択します。
5. 追加 をクリックしてトンネル ルートを追加します。
   トンネル ルートの設定 ダイアログ ボックスが表示されます。

1. ローカル テキスト ボックスに、VPN トンネルを使用させる Firebox のローカル ネットワークのサブネット IP アドレスを入力します。
2. リモート テキスト ボックスで、VPN トンネルを使用させる FortiGate デバイスのリモート ネットワークの サブネット IP アドレスを入力します。
3. OK をクリックしてトンネル ルートを追加します。
   トンネル ルートが [新しいトンネル] ダイアログ ボックスの アドレス タブに追加されます。
4. フェーズ 2 の設定 タブをクリックします。
5. [PFS] チェックボックスを選択します。[Diffie-Hellman グループ 5] を選択します。
   このグループは、FortiGate デバイスの既定の Diffie-Hellman グループに一致します。

1. IPSec プロポーザル セクションで、既定の ESP-AES-SHA1 エントリを選択します。
2. 削除 の次に OK をクリックして、プロポーザルを削除することを確認します。
3. 追加 をクリックして IPSec プロポーザルを追加します。
4. 新しいフェーズ 2 のプロポーザルの作成 を選択します。
5. 名前 テキスト ボックスに、このプロポーザルの意味のある名前を入力します。
6. 暗号化 ドロップダウン リストから、AES (128 ビット) を選択します。

他のすべての設定は、既定値のままにしておきます。

1. OK をクリックして、新しいフェーズ 2 プロポーザルを追加します。
2. OK をクリックして新しいトンネルを構成に追加します。
3. 閉じる をクリックして [Branch Office IPSec トンネル] ダイアログ ボックスを閉じます。
4. 構成を Firebox に保存します。

## FortiGate デバイスの構成

この手順では、Fortinet デバイスに VPN 設定を手の動で構成する方法について説明します。

### Fortinet と WatchGuard サブネットのアドレス オブジェクトを作成します。

Fortinet デバイスはアドレス オブジェクトをポリシーと VPN 構成に使用します。これらのアドレス オブジェクトは、Firebox のエイリアスとよく似ています。

1. Fortinet web ベース管理インターフェイスで、ファイアウォール > オブジェクト > アドレス > アドレス の順に選択します。
2. [新規作成] をクリックします。
   新しいアドレス ページが表示されます。

1. アドレス名 テキスト ボックスに、ローカル ネットワークの意味のある名前を入力します。
2. サブネット/IP 範囲 テキスト ボックスに、ローカル ネットワークのネットワーク IP とサブネットマスクを入力します。
3. OK をクリックします。
4. [新規作成] をクリックします。
   新しいアドレス ページが表示されます。

1. アドレス名 テキスト ボックスに、リモート ネットワークの意味のある名前を入力します。
2. サブネット/IP 範囲 テキスト ボックスに、リモート ネットワークのネットワーク IP とサブネットマスクを入力します。
3. OK をクリックします。

### フェーズ 1 の構成を作成する

1. Fortinet web ベース管理インターフェイスで、VPN > IPsec > 自動キー (IKE) の順に選択します。
2. [フェーズ 1 を作成] をクリックします。
   [新しいフェーズ 1] ページが表示されます。

1. 名前 テキスト ボックスに、VPN の意味のある名前を入力します。
2. IP アドレス テキスト ボックスに、Firebox のパブリック IP アドレスを入力します。
3. ローカル インターフェイス ドロップダウン リストから、VPN を使用させる外部インターフェイスを選択します。既定では、ローカル ID はこのインターフェイスのプライマリ IP アドレスとなります。
4. 事前共有キー テキスト ボックスに、Firebox VPN 構成で選択した共有キーを入力します。
5. OK をクリックして、フェーズ 1 の構成を確認します。

### フェーズ 2 の構成を作成する

1. Fortinet web ベース管理インターフェイスで、VPN > IPsec > 自動キー (IKE) の順に選択します。
2. [フェーズ 2 を作成] をクリックします。
   [新しいフェーズ 2] ページが表示されます。

1. 名前 テキスト ボックスに、フェーズ 2 VPN 接続の意味のある名前を入力します。
2. フェーズ 1 ドロップダウン リストから、作成したフェーズ 1 VPN の構成を選択します。
3. 詳細 をクリックします。
   詳細設定 ボタンの下にあるすべてのページ コンテンツが表示されます。
4. クイック モード セレクタ セクションの 送信元アドレス の横にある 選択 ラジオ ボタンを選択します。
5. 選択 ドロップダウン リストから、ローカル ネットワーク用に作成したアドレス グループを選択します。
6. クイック モード セレクタ セクションの 宛先アドレス の横にある 選択 ラジオ ボタンを選択します。
7. 選択 ドロップダウン リストから、リモート ネットワーク用に作成したアドレス グループを選択します。
8. OK をクリックして、フェーズ 2 の構成を完了します。

### VPN トラフィックを許可するポリシーを作成する

VPN トラフィックの通過を許可する Fortinet デバイスのポリシーを作成する必要があります。

1. Fortinet web ベース管理インターフェイスで、ポリシー > ポリシー > ポリシー の順に選択します。
2. [新規作成] をクリックします。
   [新しいポリシー] ページが表示されます。

1. 送信元インターフェイス/ゾーン テキスト ボックスをクリックして、ローカル ネットワークに使用されるローカル インターフェイスを選択します。
2. 送信元アドレス テキスト ボックスをクリックして、ローカル ネットワークに作成したアドレス オブジェクトを選択します。
3. 宛先インターフェイス/ゾーン テキスト ボックスをクリックして、VPN エンドポイントで選択されている外部インターフェイスを選択します。
4. 宛先アドレス テキスト ボックスをクリックして、リモート ネットワークに作成したアドレス オブジェクトを選択します。
5. サービス テキスト ボックスをクリックし、任意 を選択して、任意のポートとプロトコルが VPN トンネルを通過できるようにします。
6. アクション テキスト ボックスをクリックして、IPSEC を選択します。
   VPN トンネル テキスト ボックスと関連するオプションが表示されます。
7. VPN トンネル テキスト ボックスをクリックして、この VPN 用に作成したフェーズ 1 の構成を選択します。
8. インバウンドを許可する と アウトバウンドを許可する が選択されていることを確認してください。

WatchGuard と Fortinet デバイスで VPN 構成が完了したら、いずれかのネットワークのデバイスがトラフィックをリモート ネットワークに送信して、VPN トンネルを開始する必要があります。

#### 関連情報

Branch Office VPN トンネルのトラブルシューティング

WatchGuard ナレッジベースの Firebox Cloud と FortiNet FortiGate デバイスの間で VPN を構成する

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索