関連トピック

# Fireware v11.x から Fireware v10.x に VPN を設定する（WSM）

Branch office virtual private network (BOVPN) トンネルは、インターネット上でデータを交換するためのネットワークやホストとネットワークのセキュアウェイです。この文書では、両方のデバイスの Policy Manager で手動で BOVPN トンネルを作成する方法を説明します。

Fireware v11.x デバイスの Fireware Web UI での構成と同じ例については、次を参照してください：Fireware v11.x から Fireware v10.x に VPN を設定する（Web UI）.

このドキュメントには、BOVPN ダイアログ ボックスの各設定の意味、およびそれらの設定を作成したトンネルへの影響に関する詳細情報は記載されていません。特定の設定の詳細については、以下のリソースを使用してください。

- 手動 Branch Office VPN について
- 手動 BOVPN ゲートウェイを構成する
- 手動 BOVPN トンネルを構成する

## IP アドレスとトンネルの設定の収集

Manual BOVPN トンネルを作成するには、まずIPアドレスを収集し、エンドポイントで使用される設定を決定します。このドキュメントは、Policy Manager の設定を行うときに役立つ可能性があるので、使用する値を書くかまたは指定しておき、Policy Manager の設定を行うときに参照してください。

このドキュメントでは、両方のエンドポイントには静的外部 IP アドレスが必要です。動的外部 IP アドレスを持つデバイスへの BOVPN トンネルについては、次を参照してください：BOVPN ゲートウェイのゲートウェイ エンドポイントを定義する.

2つのデバイスのうち 1 つのデバイスのみの管理者である場合、他の管理者に表を提供して、フェーズ 1 とフェーズ 2 の設定に同じ値を入力しているかどうかを確認できます。

VPN エンドポイントを正しく構成され、両方のデバイスでフェーズ 1 とフェーズ 2 の設定が同じであることを確認します。トンネルは、設定が不一致である場合、正常に動作しません。

設定がリストにない場合は、既定値を変更しないでください。

### BOVPN トンネルの設定

サイト A (Fireware v11.x を使用する Firebox)

パブリック IP アドレス： ______________________________

プライベート IP アドレス： ______________________________

SITE B (Fireware 10.x を使用する Firebox)

パブリック IP アドレス： ______________________________

プライベート IP アドレス： ______________________________

### フェーズ 1 の設定(両側に同じ値を使用する必要があります。)

Fireware v11.x を使用する Fireware と Fireware 10.x を使用する Firebox 間の BOVPN トンネルについては、IKE キープアライブ ではなく、デッド ピア ディテクション (RFC3706) を選択することをお勧めします。両方を選択しないでください。両方のエンドポイント デバイスがサポートされている場合、デッド ピア ディテクションを選択する必要があります。

認証メソッド：事前共有済みキーを使用 を選択します。

モード (いずれかを選択)：メイン____ アグレッシブ____

事前共有キー： ______________________________

NAT トラバース：はい ___ いいえ ___

NAT Traversal キープアライブ間隔：

IKE キープアライブ：はい ___ いいえ ___

IKE キープアライブ メッセージ間隔： ________________

IKE キープアライブ最大失敗回数： ________________

Dead Peer Detection (RFC3706)：はい ___ いいえ ___

デッド ピア ディテクション トラフィックのアイドル タイムアウト：________________

デッド ピア ディテクション最大再試行回数： ________________

認証アルゴリズム (いずれかを選択)：SHA1____ MD5____

暗号化アルゴリズム (いずれかを選択)：DES____ 3DES____ AES-128____ AES-192____ AES-256____

SA の有効期間 ________________

SA の有効期限の単位として、 時間数を選択します。

Diffie-Hellman グループ (いずれかを選択)：1____ 2____ 5____

### フェーズ 2 の設定(両側に同じ値を使用する必要があります。)

種類：AH ____ ESP ____

認証アルゴリズム (いずれかを選択)：なし____ MD5____ SHA1____

暗号化アルゴリズム (いずれかを選択)：DES____ 3DES____ AES-128____ AES-192____ AES-256____

キーの有効期限を強制的に終了する (いずれかを選択)：有効____ 無効____

Perfect Forward Secrecy (Diffie-Hellman グループ)：無効____ Group1____ Group2____ Group5____

フェーズ 2 キーの有効期限 (時間) ________________

フェーズ 2 キーの有効期限 (キロバイト) ________________

## トンネルの設定の例

このページでは、前のページで示したフィールド、設定の例について説明します。これらの設定は、この例で使用するスクリーンショットで示した設定に対応します。

サイト A (Fireware v11.x を使用する Firebox)

パブリック IP アドレス：203.0.113.2

プライベート ネットワーク IP アドレス：10.0.1.0/24

SITE B (Fireware 10.x を使用する Firebox)

パブリック IP アドレス：198.51.100.2

プライベート ネットワーク IP アドレス：10.50.1.01/24

フェーズ 1 の設定 (両側に完全に一致する値を入力する必要があります。)

認証メソッド：事前共有済みキーを使用 を選択します。

モード (いずれかを選択)：メイン

事前共有済みキー：SiteA2SiteB

NAT トラバース：Yes

NAT トラバース キープ アライブ間隔：20 秒

IKE キープアライブ：No

IKE キープアライブ メッセージ間隔：なし

IKE キープアライブ最大失敗回数：なし

Dead Peer Detection (RFC3706)：Yes

Dead Peer Detection トラフィックのアイドル タイムアウト：20 秒

Dead Peer Detection 最大再試行回数：5

認証アルゴリズム (いずれかを選択)：SHA1

暗号化アルゴリズム (いずれかを選択)：3DES

SA の有効期間：8

SA の有効期限の単位として、 時間数を選択します。

Diffie-Hellman グループ (いずれかを選択)：2

フェーズ 2 の設定 (両側に完全に一致する値を入力する必要があります。)

種類：ESP

認証アルゴリズム (いずれかを選択)：SHA1

暗号化アルゴリズム (いずれかを選択)：AES (256 ビット)

キーの有効期限を強制的に終了する (いずれかを選択)：SNMP 管理ステーションとトラップを

Perfect Forward Secrecy (Diffie-Hellman グループ)：無効

フェーズ 2 のキーの有効期限(時間)：8

フェーズ 2 のキーの有効期限 (キロバイト)：128 K

WSM 11.x と WSM 10.2.2 以降のバージョンを使用すると、フェーズ 1 とフェーズ 2 の設定の例が既定の設定に一致します。

## サイト A、Fireware 11.x を構成する

サイト A に Fireware v11.x を使用する Firebox を構成します。ゲートウェイは、1 つまたは複数のトンネルの接続ポイントです。ゲートウェイを構成するには、以下のものを指定する必要があります。

- 認証メソッド (事前共有キーまたは IPSec Firebox 証明書)
- IP アドレスまたはドメイン情報で指定された、ローカルおよびリモートのゲートウェイ エンドポイントの場所。
- Internet Key Exchange (IKE) ネゴシエーションのフェーズ 1 の設定

### VPN ゲートウェイの追加

Policy Manager で:

1. VPN > Branch Office ゲートウェイ の順に選択します。
   ゲートウェイ ダイアログ ボックスが表示されます。
2. 追加 をクリックします。
   新しいゲートウェイ ダイアログ ボックスが表示されます。

1. ゲートウェイ名 テキスト ボックスに、Policy Manager のこのゲートウェイを識別する名前を入力します。
2. 全般設定 タブをクリックします。
3. 認証メソッド エリアで、事前共有キーの使用 を選択します。共有キー を入力します。
   共有キーには、標準の ASCII 文字のみ使用する必要があります。
4. ゲートウェイ エンドポイント セクションで、追加 をクリックします。
   新しいゲートウェイ エンドポイントの設定 ダイアログ ボックスが表示されます。

1. ローカル ゲートウェイ セクションで、IP アドレスで指定 を選択します。
2. IP アドレスドロップダウン リストからサイト A Firebox の外部 (パブリック) IP アドレスを選択します。すべての設定した IP アドレスがリストに表示されます。
3. 外部インターフェイス フィールドで、サイト A の Firebox の外部 (パブリック) IP を持つインターフェイスを選択します。
4. リモートゲートウェイ セクションの トンネルに対してリモートゲートウェイ IP アドレスを指定する で 静的 IP アドレス を選択します。
5. IP アドレス としてサイト B Firebox の外部 (パブリック) IP を入力します。
6. トンネル認証用ゲートウェイ ID の設定 で、IP アドレスで指定 を選択します。
7. IP アドレスとしてサイト B Firebox の外部 (パブリック) IP を入力します。
8. OK をクリックして、新しいゲートウェイ エンドポイントの設定 ダイアログ ボックスを閉じます。
   定義したゲートウェイ ペアが、ゲートウェイ エンドポイントのリストに表示されます。

### フェーズ 1 の設定を構成する

IPSec 接続確立のフェーズ 1 では、2 つのピアによって、セキュリティで保護され認証されたチャネルが構成され、通信に使用できるようになります。これは ISAKMP Security Association (SA) と呼ばれています。

1. フェーズ 1 の設定 タブを選択します。

1. 前のセクションの BOVPN トンネル設定で選択した通り、モード で、メイン または アグレッシブ を選択します。
   両方のエンドポイントには静的 IP アドレスがあるため、例ではメイン モードを使用します。1 つのエンドポイントには動的 IP アドレスがある場合、アグレッシブ モードを使用します。
2. BOVPN トンネル設定を使用して、NAT Traversal、IKE キープアライブ、または デッド ピア ディテクション (RFC3706) のどれを選択するかを決定します。Fireware XTM を使用する Firebox と Fireware 10.2.2 以降を使用する Firebox 間の BOVPN トンネルについては、 NAT Traversal および デッド ピア ディテクション を選択することをお勧めします。
3. 設定の変換 エリアで、既定の変換を選択して、編集 をクリックします。

1. 認証 および 暗号化 ドロップダウン リストから、BOVPN トンネルの設定に選択した方法を選択します。
2. SA の有効期限 に BOVPN トンネルの設定に指定した設定を入力し、ドロップダウン リストから 時間 を選択します。
3. キー グループ ドロップダウン リストから、希望の Diffie-Hellman グループを選択します。
4. OK をクリックします。その他のすべてのフェーズ 1 の設定は、デフォルト値のままにしてください。
5. OK をクリックして、新しいゲートウェイ ダイアログ ボックスを閉じます。
   追加したゲートウェイがゲートウェイのリストに表示されます。

1. 閉じる をクリックして、ゲートウェイ ダイアログ ボックスを閉じます。

### VPN トンネルを追加する

ゲートウェイを定義したら、エンドポイント間にトンネルを作成できます。トンネルの作成処理には、以下の作業が含まれています。

- ルート (トンネルのローカルおよびリモート エンドポイント) を指定します。
- Internet Key Exchange (IKE) ネゴシエーションのフェーズ 2 の設定の構成

Policy Manager で:

1. VPN > Branch Office トンネル の順に選択します。
   Branch Office IPSec Tunnels ダイアログ ボックスが表示されます。
2. 追加 をクリックします。
   新しいトンネル ダイアログ ボックスが表示されます。

1. トンネル名 テキスト ボックスに、トンネルの名前を入力します。
2. ゲートウェイ ドロップダウン リストから、直前に作成したゲートウェイを選択します。
3. BOVPN-Allow.in および BOVPN-Allow.out ポリシーにトンネルを追加するには、ダイアログ ボックスの下部にある アドレス タブで、このトンネルを BOVPN-Allow ポリシーに追加する チェックボックスを選択します。これらのポリシーによって、トンネル ルートに一致するすべてのトラフィックが許可されます。トンネルを経由するトラフィックを制限するには、このチェック ボックスをオフにし、BOVPN Policy Wizard を使用して、トンネル経由を許可するトラフィックの種類に対するポリシーを作成します。詳細については、次を参照してください: カスタム トンネル ポリシーを定義する.
4. アドレス エリアで、追加 をクリックします。
   トンネル ルートの設定 ダイアログ ボックスが表示されます。

1. ローカル テキスト ボックスに、サイト A のローカル（プライベート）ネットワーク アドレスを入力します。ローカル ドロップダウン リストの横のボタンをクリックして、ホスト IP アドレス、ネットワーク アドレス、ホスト IP アドレスの範囲、または DNS 名を入力することもできます。これらは、トンネルを通じて通信するローカル Firebox の配下にあるデバイスです。
2. リモート ボックスに、リモート (プライベート) ネットワーク アドレスを入力します。これは、サイト B のプライベート ネットワーク アドレスです。横にあるボタンをクリックして、ホスト IP アドレス、ネットワーク アドレス、ホスト IP アドレスの範囲、または DNS 名を入力することもできます。これらは、トンネルを通じて通信するリモート Firebox の配下にあるデバイスです。
3. 方向 ドロップダウン リストから、トンネルの方向をクリックします。トンネルの方向によって、VPN トンネルのどちらのエンドポイントからトンネルを経由したVPN 接続が開始されるかが決定されます。
4. OK をクリックします。
   新しいトンネル ダイアログ ボックスの アドレス タブにトンネルのルートが表示されます。

### フェーズ 2 の設定を構成する

フェーズ 2 の設定には、セキュリティ アソシエーション (SA) の設定が含まれています。SA は、データ パケットが 2 つのエンドポイント間で送信される場合に、どのようにセキュリティが保護されるかを定義するものです。SA には、エンドポイント間のトラフィックの処理方法について Firebox が必要とする、あらゆる情報が含まれています。

1. 新しいトンネル ダイアログ ボックスで、フェーズ 2 の設定 タブをクリックします。

1. Perfect Forward Secrecy (PFS) を有効にするには、PFS チェック ボックスをオンにします。PFS を有効にすると、ドロップダウン メニューから正しい Diffie-Hellman グループを選択します。
2. IPSec プロポーザル エリアで、既定のプロポーザルをクリックしてから、削除 をクリックします。
3. 追加 をクリックします。
   新しいフェーズ 2 のプロポーザル ダイアログ ボックスが表示されます。

1. 新しいフェーズ 2 のプロポーザルの作成 をオンにします。
2. 名前 テキスト ボックスに、新しいプロポーザルの名前を入力します。
3. 種類 ドロップダウン リストから、ESP または AH を選択します。
4. BOVPN トンネルの設定で選択したように、フェーズ 2 の認証 および 暗号化 の設定を選択します。
5. 一定時間が経過するか一定量のトラフィックが通過した後で、ゲートウェイのエンドポイントで新しいキーを生成または交換するには、キーの有効期限を強制的に終了する セクションの設定を構成します。キーの有効期限が切れた後の時間、およびバイト数を選択します。
6. OK を 2 回クリックして、Branch Office IPSec トンネル ダイアログ ボックスに戻ります。
   追加したトンネルが Branch Office IPSec Tunnels のリストに表示されます。

1. 閉じる をクリックして Firebox への変更を保存します。

サイト A の Firebox が構成されました。

## サイト B、Fireware 10.x の構成

サイト B に Fireware 10.x を持つ Firebox が構成されるようになりました。

### VPN ゲートウェイの追加

Policy Manager で:

1. VPN > Branch Office ゲートウェイ の順に選択します。
   ゲートウェイ ダイアログ ボックスが表示されます。
2. 追加 をクリックします。
   新しいゲートウェイ ダイアログ ボックスが表示されます。
3. ゲートウェイ名 テキスト ボックスに、Policy Manager のこのゲートウェイを識別する名前を入力します。
4. 全般設定 タブをクリックします。
5. 認証メソッド エリアで、事前共有キーの使用 を選択します。共有キー を入力します。
   この共有キーでは、標準の ASCII 文字を使用する必要があります。
6. ゲートウェイ エンドポイント セクションで、追加 をクリックします。
   新しいゲートウェイ エンドポイントの設定 ダイアログ ボックスが表示されます。

1. ローカル ゲートウェイ セクションで、IP アドレスで指定 を選択します。
2. IP アドレス ドロップダウン リストからサイト B Firebox の外部 (パブリック) IP アドレスを選択します。すべての設定した IP アドレスがリストに表示されます。
3. 外部インタフェーズ フィールドで、サイト B Firebox の外部 (パブリック) IP を持つインタフェースを選択します。
4. リモートゲートウェイ セクションの トンネルに対してリモートゲートウェイ IP アドレスを指定する で 静的 IP アドレス を選択します。
5. IP アドレス には、サイト A の Firebox の外部（パブリック）IP を入力します。
6. トンネル認証用ゲートウェイ ID の設定 で、IP アドレスで指定 を選択します。
7. IP アドレス には、サイト A の Firebox の外部（パブリック）IP を入力します。
8. OK をクリックして、新しいゲートウェイ エンドポイントの設定 ダイアログ ボックスを閉じます。
   定義したゲートウェイ ペアが、ゲートウェイ エンドポイントのリストに表示されます。

### フェーズ 1 の設定を構成する

IPSec 接続確立のフェーズ 1 では、2 つのピアによって、セキュリティで保護され認証されたチャネルが構成され、通信に使用できるようになります。これは ISAKMP Security Association (SA) と呼ばれています。

1. フェーズ 1 の設定 タブをクリックします。

1. BOVPN トンネル設定で選択した通り、モード には、メイン または アグレッシブ を選択します。
2. BOVPN トンネル設定を使用して、NAT Traversal、IKE キープアライブ、または デッド ピア ディテクション (RFC3706) のどれを選択するかを決定します。
3. 設定の変換 エリアで、既定の変換を選択して、削除 をクリックします。
4. 新しい変換を追加するには、追加をクリックします。

1. 認証 および 暗号化 ドロップダウン リストから、BOVPN トンネルの設定に選択した方法を選択します。
2. SA の有効期限 に BOVPN トンネルの設定に指定した設定を入力し、ドロップダウン リストから 時間 を選択します。
3. キー グループ ドロップダウン リストから、希望の Diffie-Hellman グループを選択します。
4. OK をクリックします。その他のすべてのフェーズ 1 の設定は、デフォルト値のままにしてください。
5. OK をクリックして、新しいゲートウェイ ダイアログ ボックスを閉じます。
6. 閉じる をクリックして、ゲートウェイ ダイアログ ボックスを閉じます。

### VPN トンネルを追加する

ゲートウェイを定義したら、エンドポイント間にトンネルを作成できます。トンネルの作成処理には、以下の作業が含まれています。

- ルート (トンネルのローカルおよびリモート エンドポイント) を指定します。
- Internet Key Exchange (IKE) ネゴシエーションのフェーズ 2 の設定の構成

Policy Manager で:

1. VPN > Branch Office トンネル の順に選択します。
   Branch Office IPSec Tunnels ダイアログ ボックスが表示されます。
2. 追加 をクリックします。
   新しいトンネル ダイアログ ボックスが表示されます。
3. トンネル名 テキスト ボックスに、トンネルの名前を入力します。
4. ゲートウェイ ドロップダウン リストから、直前に作成したゲートウェイを選択します。
5. BOVPN-Allow.in および BOVPN-Allow.out ポリシーにトンネルを追加するには、ダイアログ ボックスの下部にある アドレス タブで、このトンネルを BOVPN-Allow ポリシーに追加する チェックボックスを選択します。これらのポリシーによって、トンネル ルートに一致するすべてのトラフィックが許可されます。トンネルを経由するトラフィックを制限するには、このチェック ボックスをオフにし、BOVPN Policy Wizard を使用して、トンネル経由を許可するトラフィックの種類に対するポリシーを作成します。詳細については、次を参照してください: カスタム トンネル ポリシーを定義する.
6. アドレス エリアで、追加 をクリックします。
   トンネル ルートの設定 ダイアログ ボックスが表示されます。

1. ローカル テキスト ボックスに、サイト B のローカル（プライベート）ネットワーク アドレスを入力します。ローカル ドロップダウン リストの横のボタンをクリックして、ホスト IP アドレス、ネットワーク アドレス、ホスト IP アドレスの範囲、または DNS 名を入力することもできます。これらは、トンネルを通じて通信するローカル Firebox の配下にあるデバイスです。
2. リモート テキスト ボックスに、リモート プライベート ネットワーク アドレスを入力します。これは、サイト B のプライベート ネットワーク アドレスです。横にあるボタンをクリックして、ホスト IP アドレス、ネットワーク アドレス、ホスト IP アドレスの範囲、または DNS 名を入力することもできます。これらは、トンネルを通じて通信するリモート Firebox の配下にあるデバイスです。
3. 方向 ドロップダウン リストから、トンネルの方向をクリックします。トンネルの方向によって、VPN トンネルのどちらのエンドポイントから BOVPN トンネルを経由した接続が開始されるかが決定されます。
4. OK をクリックします。

### フェーズ 2 の設定を構成する

フェーズ 2 の設定には、セキュリティ アソシエーション (SA) の設定が含まれています。SA は、データ パケットが 2 つのエンドポイント間で送信される場合に、どのようにセキュリティが保護されるかを定義するものです。SA には、エンドポイント間のトラフィックの処理方法について Firebox が必要とする、あらゆる情報が含まれています。

1. 新しいトンネル ダイアログ ボックスで、フェーズ 2 設定 タブを選択します。

1. Perfect Forward Secrecy (PFS) を有効にするには、PFS チェック ボックスをオンにします。PFS を有効にすると、ドロップダウン リストから正しい Diffie-Hellman グループを選択します。
2. セキュリティ アソシエーション (SA) エリアで、設定 をクリックします。

1. アドレス セレクタ エリアにある すべてのトンネル ルートを含む 1 つの SA を作成する チェックボックスは、VPN トンネルの定義内の各ローカル・リモート アドレス ペアに対して一意な SA を作成するかどうかを制御します。このチェック ボックスをオンにしないことを進めします。
2. サービス セレクタ エリアで、すべてのポートとプロトコルを含む 1 つの SA を作成する を選択します。このチェック ボックスをオフにすると、一意のポート・プロトコルの各ペアに対して、1 つの SA が作成されます。トンネルを通じて許可されるポートとプロトコルを制御する場合、BOVPN ポリシーを使用することをお勧めします。詳細については、次を参照してください: カスタム トンネル ポリシーを定義する.
3. OK をクリックします。
   フェーズ 2 の設定 タブが表示されます。
4. IPSec プロポーザル セクションで、既定のプロポーザルを選択して、削除 をクリックします。
5. 追加 をクリックします。
   新しいフェーズ 2 のプロポーザル ダイアログ ボックスが表示されます。

1. 新しいフェーズ 2 のプロポーザルの作成 をオンにします。
2. 名前 テキスト ボックスに、新しいプロポーザルの名前を入力します。
3. 種類 ドロップダウン リストから、ESP または AH を選択します。
4. BOVPN トンネルの設定で選択したように、フェーズ 2 の認証 および 暗号化 の設定を選択します。
5. 一定の時間が経過した後、または一定の量のトラフィックが通過した後に、キーの有効期限を設定できます。キーの有効期限を有効にするには、キーの有効期限を強制的に終了する ドロップダウン リストから、有効化 を選択します。横のフィールドで、キーの有効期限が終了する時間数およびバイト数を入力します。時間数またはキロバイト数のいずれかにゼロを入力すると、カウントが無視されます。Fireware は、キーの有効期限を強制的に終了するを無効にした場合、または時間数およびキロバイト数の両方にゼロを設定した場合、デフォルトのゼロ キロバイト数および 8 時間を使用します。
6. OK を 2 回クリックして、Branch Office IPSec トンネル ダイアログ ボックスに戻ります。
   追加したトンネルが Branch Office IPSec Tunnels のリストに表示されます。

1. 閉じる をクリックします。
2. Firebox に変更を保存します。

サイト B の Firebox を構成します。

トンネルが作成され、トンネルを通じてトラフィックが送信されるようになります。トンネルが作成されていない、または正常に機能しない場合は、トンネルを起動するときにかかった時間について、両方のデバイスのログ ファイルを確認します。障害の発生場所および問題のある設定を示すログメッセージを参照する必要があります。また、Firebox System Manager を使用して、リアルタイムでログメッセージを確認できます。

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索