関連トピック

# Mobile VPN with IPSec を Android デバイスで使用する

Android バージョン 4.x 以上を使用するモバイルデバイスには、ネイティブ VPN クライアントが搭載されています。場合によっては、ハードウェア メーカーがネイティブ Android 用 VPN クライアントを変更してオプションを追加したり、デバイスに独自の VPN クライアントを搭載させていることもあります。

Android デバイスから Firebox への IPSec VPN 接続を確立するには、次の手順を実行します：

- VPN クライアントはアグレッシブ モードで動作している必要があります。
- Firebox は Fireware v11.5.1 以降を実行している必要があります。
- Firebox は、Android デバイスによりサポートされているフェーズ 1 および 2 変換を使って構成されている必要があります。

ネイティブ Android VPN クライアントの最近のバージョンでは、Mobile VPN with IPSec との互換性がないメイン モードが使用されています。ネイティブ Android VPN クライアントではモードの設定を確認したり変更することができません。しかし、Android デバイスのハードウェア メーカーがネイティブ VPN クライアントを変更した場合は、この設定の変更が可能な場合があります。

デバイス設定をアグレッシブ モードに変更できない場合は、次のいずれかの接続方法を試行することをお勧めします：

- ハードウェア メーカーにより Android デバイスに独自の VPN クライアントがインストールされており、それがアグレッシブ モードで動作可能な場合は、そのクライアントを使って接続を試みてください。詳細については、メーカーのマニュアルを参照してください。
- ネイティブ Android VPN クライアントで、IPsec オプションを使って L2TP を構成します。次に Firebox で L2TP を有効にします。Firebox では L2TP はメイン モードを使用します。L2TP の詳細については、L2TP ユーザー認証について を参照してください。
- OpenVPN SSL クライアントを Android デバイスにインストールします。SSL クライアントのプロファイルを Firebox の SSL ポータルから手動でダウンロードする必要があります。クライアント プロファイルの詳細については、Mobile VPN with SSL クライアント ソフトウェアと構成ファイルを手動で配布しインストールする を参照してください。

## 認証と暗号化の設定

Android デバイスには、サポートされている VPN 変換の事前構成されたリストが含まれています。デバイスのハードウェア メーカーによりネイティブ Android VPN クライアントが変更されていない限り、このリストを参照したり、異なる既定の変換を指定することはできません。最近の Android OS バージョンには、次の既定の変換が含まれています:

フェーズ 1 — SHA2(256)–AES(256)–DH2

フェーズ 2 — SHA2(256)–AES(256)

より古いバージョンの Android OS には、次の既定の変換が使用されているものがあります：

フェーズ 1 — SHA-1–AES(256)–DH2

フェーズ 2 — SHA-1–AES(256)

場合によっては、Android デバイスのハードウェア メーカーが、ネイティブ Android VPN クライアントに異なる既定の変換を指定している可能性があります。

Firebox への VPN 接続を開始するため、Android デバイスは、その既定の変換セットを Firebox に送信します。VPN 接続を確立するには、Android によりサポートされている変換を持つ Firebox を構成する必要があります。Firebox の Mobile VPN with IPSec 設定で既定の Android 変換セットを指定することをお勧めします。

既定の Android 変換セットとは異なる Firebox 変換を指定すると、その Android デバイスはリストにある次の変換セットを送信します。このプロセスは、Android デバイスが Firebox の設定に一致する変換セットをリスト上で見つけるまで、または Android デバイスが再試行上限回数に達するか、試行できる変換セットがなくなるまで繰り返されます。

接続の問題のトラブルシューティングを行うには、Mobile VPN with IPSec のトラブルシューティング および Traffic Monitor を参照してください。

## Firebox を構成する

ネイティブ Android VPN クライアントで接続できるようにするには、Firebox で Mobile VPN with IPSec 設定を構成する必要があります。

Firebox で必要な設定を構成するには、Fireware Web UI から以下の手順を実行します：

1. VPN > Mobile VPN with IPSec の順に選択します。
   Mobile VPN with IPSec ページが表示されます。
2. 追加 をクリックします。
   Mobile VPN with IPSec 設定 ページが表示されます。

1. 名前 テキスト ボックスに、Android の VPN ユーザーが属する認証グループの名前を入力します。

既存のグループの名前、または新しい Mobile VPN グループのグループ名を入力できます。この名前は、すべてのインターフェイス名および VPN トンネル名に対してだけでなく、他の VPN グループ名に対しても一意にする必要があります。

1. 認証サーバー ドロップダウン リストから、認証サーバーを選択します。

この認証方法が有効になっていることを確認してください。

外部の認証サーバーに対して認証する Mobile VPN ユーザー グループを作成する場合、ウィザードで追加した Mobile VPN のウィザードで指定したものと同じ名前を持つグループをサーバー上に作成するようにしてください。認証サーバーとして Active Directory を使用すると、ユーザーが、Mobile VPN with IPSec のために構成するグループ名と同じグループ名を持つ Active Directorysecurity group に属する必要があります。詳細については、外部認証サーバーを構成する を参照してください。

1. このトンネルに対して使用する パスフレーズ を入力し、確定します。
2. Firebox IP アドレス セクションに、このグループの Mobile VPN ユーザーが接続できるプライマリ外部 IP アドレスまたはドメイン名を入力します。
3. IPSec トンネル タブを選択します。
   IPSec トンネルの設定 が表示されます。

1. エンド ユーザー プロファイルのパスフレーズを事前共有キーとして使用する を選択します。
   これが、既定の設定です。
2. 認証 ドロップダウン リストから、SHA-2 を選択します。お使いの Android デバイスが SHA-2 をサポートしていない場合は SHA-1 を選択してください。
3. 暗号化 ドロップダウン リストから、AES (256 ビット) を選択します。これは Android デバイスの既定の暗号化設定です。
4. フェーズ 1 の設定 セクションの 詳細 をクリックします。
   フェーズ 1 の詳細設定ダイアログ ボックスが表示されます。

1. SA の有効期間 を 1 時間 に設定します。

Android の VPN クライアントは、1 時間後にキー更新するよう構成されています。このプロファイルを Android VPN クライアントからの接続にのみ使用する場合は、SA の有効期間を 1 時間に設定してクライアントの設定に一致させます。

サポートされているすべての VPN クライアントにこの VPN プロファイルを使用する場合は、SA の有効期間を 8 時間 に設定します。SA の有効期間を 8 時間に設定すると、Shrew Soft VPN クライアントは 8 時間後にキーを更新しますが、Android VPN クライアントは 1 時間のより小さいキー更新値を使用します。

13. キーグループ ドロップダウン リストから、Diffie-Hellman グループ 2 を選択します。これは Android デバイスの既定のキー グループです。
14. その他の フェーズ 1 の詳細設定 は変更しないでください。

13. OK をクリックします。
14. フェーズ 2 の設定 セクションで、PFS チェックボックスをオフにします。

13. フェーズ 2 の設定 セクションの 詳細 をクリックします。
    フェーズ 2 の詳細設定ダイアログ ボックスが表示されます。

1. 認証 ドロップダウン リストから、SHA-2 を選択します。お使いの Android デバイスが SHA-2 をサポートしていない場合は SHA-1 を選択してください。
2. 暗号化 ドロップダウン リストから、Android デバイスの既定の暗号化設定である AES (256 ビット) を選択します。
3. キーの有効期限を強制的に終了する 設定で、有効 時間 を 1 時間に設定して トラフィック チェックボックスをオフにします。
4. OK をクリックします。
5. リソース タブを選択します。
6. トンネル経由のすべてのトラフィックを許可する チェック ボックスを選択します。
   この設定により、トンネルが既定ルート VPN に構成されます。Android の VPN クライアントはスプリット トンネリングをサポートしていません。
7. 仮想 IPアドレス プール リストに、トンネルを経由する Mobile VPN ユーザーが使用する内部 IP アドレスを追加します。
   仮想 IP アドレス プールに IP アドレスまたは ネットワーク IP アドレスを追加するには、ホスト IP または ネットワーク IP を選択して、アドレスを入力し、追加 をクリックします。

Mobile VPN ユーザーがネットワークに接続する際には、仮想 IP アドレス プールから IP アドレスが 1 つ割り当てられます。仮想 IP アドレス プール内の IP アドレスの数は、Mobile VPN ユーザーの数と同じになるはずです。 FireCluster が構成されている場合は、それぞれの Mobile VPN ユーザーに対し 2 つの仮想 IP アドレスを追加する必要があります。

仮想 IP アドレスは、ローカル ネットワークとは異なるサブネットになければなりません。この仮想 IP アドレスは、ネットワーク上のその他の目的のためには使用できません。

1. 保存 をクリックします。

Firebox で必要な設定を構成するには、Policy Manager から以下の手順を実行します：

最初に、Mobile VPN with IPSec ウィザードを使用して、基本設定を構成します。

1. VPN > Mobile VPN > IPSec の順に選択します。
   Mobile VPN with IPSec 構成 ダイアログボックスが表示されます。
2. 追加 をクリックします。
   Add Mobile User VPN with IPSec Wizard が表示されます。
3. 次へ をクリックします。
   ユーザー認証サーバーを選択する ページが表示されます。

1. 認証サーバー ドロップダウン リストから、認証サーバーを選択します。

ユーザー認証は、Firebox (Firebox-DB) か、Active Directory または RADIUS サーバーに対して行うことができます。選択された認証方法が有効になっていることを確認してください。

1. グループ名 テキスト ボックスに、Android ユーザーが属する認証グループの名前を入力します。

作成済みの Mobile VPN グループ名または新しい Mobile VPN グループのグループ名を入力できます。この名前は、すべてのインターフェイス名およびトンネル名に対してだけでなく、他の VPN グループ名に対しても一意にする必要があります。

外部の認証サーバーに対して認証する Mobile VPN ユーザー グループを作成する場合、ウィザードで追加した Mobile VPN のウィザードで指定したものと同じ名前を持つグループをサーバー上に作成するようにしてください。認証サーバーとして Active Directory を使用すると、ユーザーが、Mobile VPN with IPSec のために構成するグループ名と同じグループ名を持つ Active Directorysecurity group に属する必要があります。詳細については、外部認証サーバーを構成する を参照してください。

1. 次へ をクリックします。
   トンネル認証方法を選択する ページが表示されます。

1. このパスフレーズを使用する を選択します。パスフレーズを入力し、確定します。
2. 次へ をクリックします。
   インターネット トラフィックのフローを指定する ページが表示されます。

1. はい、すべてのインターネット トラフィックにトンネル経由を強制します を選択します。
   この設定により、トンネルが既定ルート VPN に構成されます。Android の VPN クライアントはスプリット トンネリングをサポートしていません。
2. 次へ をクリックします。
   仮想 IP アドレス プールを作成する ページが表示されます。

1. 次へ に続いて 完了 をクリックします。
2. 既定ルート VPN 構成の場合、すべてのネットワーク IP アドレスと Any-External エイリアスへのアクセスが自動的に許可されます。

Mobile VPN ユーザーがネットワークに接続する際には、仮想 IP アドレス プールから IP アドレスが 1 つ割り当てられます。仮想 IP アドレス プール内の IP アドレスの数は、Mobile VPN ユーザーの数と同じになるはずです。 FireCluster が構成されている場合は、それぞれの Mobile VPN ユーザーに対し 2 つの仮想 IP アドレスを追加する必要があります。

仮想 IP アドレスは、ローカル ネットワークとは異なるサブネットになければなりません。この仮想 IP アドレスは、ネットワーク上のその他の目的のためには使用できません。

1. 次へ をクリックします。
2. 新しい Mobile VPN with IPSec グループにユーザーを追加するには、ユーザーを追加する チェック ボックスを選択します。
3. 完了 をクリックします。
   作成した Mobile VPN の構成が、Mobile VPN with IPSec の構成 ダイアログ ボックスに表示されます。

次に、フェーズ 1 および フェーズ 2 設定を編集して、Android VPN クライアントの設定に一致させる必要があります。

1. Mobile VPN with IPSec の構成 ダイアログ ボックスで、追加した構成を選択します。
2. 編集 をクリックします。
   Mobile VPN with IPSec ダイアログボックスが表示されます。
3. IPSec トンネル タブを選択します。

1. 認証 ドロップダウン リストから、SHA2-256 を選択します。お使いの Android デバイスが SHA-2 をサポートしていない場合は SHA-1 を選択してください。
2. 暗号化 ドロップダウン リストから、Android デバイスの既定の暗号化設定である AES (256 ビット) を選択します。
3. 詳細 をクリックします。
   フェーズ 1 の詳細設定ダイアログ ボックスが表示されます。

1. SA の有効期限 を 1 時間に設定します。

Android の VPN クライアントは、1 時間後にキー更新するよう構成されています。このプロファイルを Android VPN クライアントからの接続にのみ使用する場合は、SA の有効期間を 1 時間に設定してクライアントの設定に一致させます。

サポートされているすべての VPN クライアントにこの VPN プロファイルを使用する場合は、SA の有効期間を 8 時間に設定します。SA の有効期間を 8 時間に設定すると、Shrew Soft VPN クライアントは 8 時間後にキーを更新しますが、Android VPN クライアントは 1 時間のより小さいキー更新値を使用します。

7. キーグループ ドロップダウン リストから、Diffie-Hellman グループ 2 を選択します。
8. その他の フェーズ 1 の詳細設定 は変更しないでください。
9. OK をクリックします。
10. Mobile VPN with IPSec の編集 ダイアログ ボックスで、プロポーザル をクリックします。

1. 認証 ドロップダウン リストから、SHA2-256 を選択します。お使いの Android デバイスが SHA-2 をサポートしていない場合は SHA-1 を選択してください。
2. 暗号化 ドロップダウン リストから、Android デバイスの既定の暗号化設定である AES (256 ビット) を選択します。
3. キーの有効期限の強制の設定 で、有効 時間 を 1 時間 に設定して トラフィック をチェックボックスをオフにします。
4. OK をクリックします。
5. Mobile VPN with IPSec の編集 ダイアログ ボックスで、PFS チェック ボックスをオフにします。
   Android VPN クライアントは Perfect Forward Secrecy をサポートしていません。

1. 構成ファイルを Firebox に保存します。

Android の VPN クライアントから認証を行うには、Android の VPN ユーザーが、Add Mobile VPN with IPSec wizard で指定した認証グループのメンバーである必要があります。

- Firebox ユーザー グループにユーザーを追加する方法の詳細については、次を参照してください：Firebox の認証に新規ユーザーを定義する。
- サードパーティの認証サーバーを使用する場合、ベンダーのマニュアルの説明に従ってください。

## ネイティブ Android VPN クライアントを構成する

Firebox を構成すると、Firebox の Mobile VPN with IPSec プロファイルに指定されている認証グループのユーザーが、ネイティブの Android VPN クライアントを使用して接続することができるようになります。ネイティブ Android VPN クライアントを使用するには、ユーザーは VPN クライアントの設定を Firebox で構成されている設定と一致させる必要があります。

手動でネイティブ VPN クライアントを Android デバイスに構成するには:

1. 設定 ページの 無線とネットワーク セクションで、その他 > VPN の順に選択します。

1. VPN ネットワークの追加 をクリックします。
   VPN ネットワークの編集 ページが表示されます。

1. 以下の設定を構成します。
   - 名前 — Android デバイス上でこの VPN 接続を識別する名前
   - タイプ — IPSec Xauth PSK を選択します
   - サーバー アドレス — Firebox の外部 IP アドレス
   - IPSec 識別子 — Firebox の Mobile VPN with IPSec 構成で指定されているグループの名前
   - IPSec 事前共有キー — Firebox の Mobile VPN with IPSec 構成で設定されているトンネルのパスフレーズ

1. 接続を保存します。
2. 接続を開いて、指定された認証グループのユーザーの ユーザー名 と パスワード を入力します。

1. 接続 をクリックします。

接続が成功して VPN トンネルがアクティブになっていることを確認するには、IP アドレスを表示する Web サイト (www.whatismyip.com など) を参照します。Android デバイスが VPN 経由で接続されている場合、その IP アドレスは Firebox の外部 IP アドレスになります。

#### 関連情報

Mobile VPN with IPSec

フェーズ 1 の設定の詳細を定義する

フェーズ 2 の設定の詳細を定義する

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索