関連トピック

# Mobile VPN with L2TP 構成を編集する

Mobile VPN with L2TP の初回設定には、WatchGuard L2TP Setup Wizard を使用することをお勧めします。詳細については、次を参照してください：WatchGuard L2TP Setup Wizard を使用する。

Mobile VPN with L2TP の構成を編集するには、Fireware Web UI から以下の手順を実行します：

1. VPN > Mobile VPN with L2TP の順に選択します。
2. 構成 をクリックします。
   Mobile VPN with L2TP ページが表示されます。

1. Mobile VPN with L2TP がまだ有効でない場合は、Mobile VPN with L2TP を有効化 チェック ボックスをオンにします。
   Mobile VPN with L2TP が有効になり、その構成では既定により IPSec が有効になります。
2. 次のセクションの情報を使用し、Mobile VPN with L2TP 設定を構成します。

Mobile VPN with L2TP の構成を編集するには、Policy Manager から以下の手順を実行します：

1. VPN > Mobile VPN > L2TP > 構成 の順に選択します。
   Mobile VPN with L2TP の構成 ダイアログ ボックスが表示されます。

1. Mobile VPN with L2TP がまだ有効でない場合は、Mobile VPN with L2TP を有効化 チェック ボックスをオンにします。
   Mobile VPN with L2TP が有効になり、その構成では既定により IPSec が有効になります。
2. 次のセクションの情報を使用し、Mobile VPN with L2TP 設定を構成します。

デバイス構成に、メイン モードを使用する Branch Office VPN ゲートウェイと、動的 IP アドレスを使用するリモートゲートウェイがすでに含まれている場合、Mobile VPN with L2TP の構成で IPSec を有効にすることはできません。Mobile VPN with L2TP を有効化する場合は、既定で L2TP 構成の IPSec 設定は有効化されています。既存のブランチオフィスの VPN 構成が原因で IPSec を有効化できない場合は、Mobile VPN with L2TP を有効化する時に警告メッセージが表示されます。IPSecなしで L2TP を有効化することはできますが、安全性が低くなるため推奨されていません。

## 仮想 IP アドレス プールを編集する

ネットワーク タブの 仮想 IP アドレス プール には、Mobile VPN with L2TP ユーザーがトンネル上で使用する内部 IP アドレスが表示されます。Firebox はこれらのアドレスを必要なときだけ使用します。仮想 IP アドレス プールには、少なくとも 2 つの IP アドレスを含める必要があります。

仮想 IP アドレスの詳細については、次を参照してください：バーチャル IP アドレスおよび Mobile VPN。

仮想 IP アドレス プールに追加するには、以下の手順を実行します：

1. 仮想 IP アドレス プール セクションで、追加 をクリックします。
   アドレス プールの追加 ダイアログ ボックスが表示されます。
2. 種類の選択 ドロップダウン リストから、次のいずれかのオプションを選択します。
   - ホスト IPV4 — 単一の IPv4 アドレスを追加
   - ネットワーク IPV4 — IPv4 ネットワークアドレスを追加
   - ホスト範囲 IPV4 — IPv4 アドレスの範囲を追加
3. 追加するホスト IP アドレス、ネットワーク IP アドレス、または IP アドレス範囲を入力します。
4. OK をクリックします。

仮想 IP アドレス プールから IP アドレスまたはアドレス範囲を削除するには、以下の手順を実行します：

1. 削除したい IP アドレス入力を選択します。
2. 削除 をクリックします。

## ネットワーク設定の編集

Mobile VPN with L2TP の構成 ダイアログ ボックスの ネットワーク タブには、構成可能なネットワーク設定が複数存在します。既定値がほとんどの L2TP 構成で最適です。変更が既知の問題を解決することが明らかである場合以外は、これらの値を変更しないことをお勧めします。

構成することができる設定：

Keep Alive タイムアウト

ここでは、Firebox が L2TP に「hello」メッセージを送信する頻度を指定します。既定値は 60 秒です。

再送タイムアウト

ここでは、Firebox がメッセージ確認応答を待つ時間を指定します。Firebox がこの時間内に確認応答を受信しない場合、メッセージが再送信されます。既定値は 5 秒です。

最大再試行数

ここでは、Firebox がメッセージを再送信する最大回数を指定します。最大再試行回数を超過すると、Firebox は接続を閉じます。既定値は 5 です。

最大転送ユニット (MTU):

これは PPP セッションで L2TP トンネルを介して受信するパケットの最大サイズを指定します。既定値は 1400 バイトです。

最大受信ユニット (MRU):

これは PPP セッションで L2TP トンネルを介して送信するパケットの最大サイズを指定します。既定値は 1400 バイトです。

## 認証設定の編集

認証 タブでは、認証サーバー、および認証されたユーザとグループを構成することができます。

### 認証サーバーを構成する

認証サーバー設定のラベルは、Fireware Web UI と Policy Manager では多少異なります。

使用する認証サーバーを選択するには、Fireware Web UI から以下の手順を実行します：

1. Mobile VPN with L2TP ページで、認証 タブを選択します。

1. 認証サーバーの設定 セクションで、Mobile VPN with L2TP ユーザー認証で使用する、それぞれの認証サーバー用チェックボックスを選択します。内部 Firebox データベース (Firebox-DB) または RADIUS サーバーが構成されている場合は、それを使用することができます。
   L2TP のユーザー認証方法の詳細については、次を参照してください：L2TP ユーザー認証について
2. 認証サーバーを複数選択した場合、既定のサーバーにするサーバーを選択してください。既定にする をクリックしてそのサーバーをリストの最上位に移動します。

使用する認証サーバーを選択するには、Policy Manager から以下の手順を実行します：

1. Mobile VPN with L2TP の構成 ダイアログ ボックスで、認証 タブを選択します。

1. 認証サーバーの設定 セクションで、Mobile VPN with L2TP ユーザー認証で使用する、それぞれの認証サーバー用チェックボックスを選択します。内部 Firebox データベース (Firebox-DB) または RADIUS サーバーが構成されている場合は、それを使用することができます。
   L2TP のユーザー認証方法の詳細については、次を参照してください：L2TP ユーザー認証について
2. 認証サーバーを複数選択した場合、既定のサーバーにするサーバーを選択してください。既定にする をクリックしてそのサーバーをリストの最上位に移動します。

複数の認証サーバーを選択した場合、既定以外の認証サーバーを使用するユーザは、認証サーバーまたはドメインをユーザー名の一部として指定する必要があります。詳細と例については、次を参照してください：L2TP VPN クライアントから接続する 。

### ユーザーおよびグループを構成する

認証に Firebox-DB を使用する場合は、既定で作成された L2TP-Users グループを使用する必要があります。Mobile VPN with L2TP を使用する他のグループとユーザーの名前を追加できます。追加する各グループまたはユーザーに対して、グループが存在する認証サーバーを選択するか、またはそのグループが複数の認証サーバーに存在する場合は Any を選択することができます。追加するグループまたはユーザー名は認証サーバーに存在していなければなりません。グループおよびユーザー名は大文字と小文字が区別され、認証サーバー上の名前に完全に一致している必要があります。

Mobile VPN with L2TP で認証するユーザーおよびグループを構成するには、Fireware Web UI から以下の手順を実行します：

1. 認証ユーザーおよびグループ セクションで、追加 をクリックします。
   認証ユーザーまたはグループの追加 テキスト ボックスが表示されます。
2. 種類 を グループ または ユーザー に設定します。
3. 名前 テキスト ボックスに、グループまたはユーザーの名前を入力します。
4. 認証サーバー ドロップダウン リストから、ユーザーまたはグループが存在する認証サーバーを選択します。または、グループがすべての選択した認証サーバーで使用できる場合は すべて を選択します。
5. OK をクリックします。

Mobile VPN with L2TP で認証するユーザーおよびグループを構成するには、以下の手順を実行します。

1. 許可されたユーザーとグループ セクションで、グループ または ユーザー の 種類 を設定します。
2. 名前 テキスト ボックスに、グループまたはユーザーの名前を入力します。
3. 認証サーバー ドロップダウン リストから、ユーザーまたはグループが存在する認証サーバーを選択します。または、グループがすべての選択した認証サーバーで使用できる場合は すべて を選択します。
4. 追加 をクリックします。

L2TP のユーザー認証方法の詳細については、次を参照してください：L2TP ユーザー認証について

ユーザーまたはグループを追加し、Firebox-DB を認証サーバーとして選択した場合、ユーザーまたはグループは自動的に Firebox-DB に追加されません。Firebox-DB 認証を使用させるために追加したユーザーまたはグループが、Firebox 認証設定でも構成に含まれていることを確認します。詳細については、次を参照してください：Firebox を認証サーバーとして構成する。

## L2TP と IPSec 設定の編集

Mobile VPN with L2TP は、IPSec を有効にしてもしなくても機能します。IPSec を有効化した L2TP は強力な暗号化と認証を提供します。IPSec のない L2TP は、強力な暗号化と認証を提供しません。Mobile VPN with L2TP の構成で IPSec を無効化しないことをお勧めします。

Mobile VPN with L2TP を有効にすると、既定では IPSec が有効になります。IPSec 設定で構成する必要があるのは認証の認証メソッドだけです。他の IPSec フェーズ 1 の設定は既定値に設定されます。Mobile VPN with L2TP の既定のフェーズ 1 およびフェーズ 2 IPSec 設定は、ブランチオフィス VPN の既定のフェーズ 1 およびフェーズ 2 と類似しています。使用する L2TP クライアントの IPSec 設定と一致させるために変更することができます。L2TP クライアントの IPSec 設定は、Mobile VPN with L2TP の構成に一致させる必要があります。

### IPSec の有効化または無効化

1. IPSec タブを選択します。
2. L2TP の IPSec を無効にするには、IPSec を有効化する チェック ボックスをオフにします。
   L2TP の IPSec を有効化するには、IPSec を有効化する チェック ボックスをオンにします。

### IPSec　フェーズ 1 の設定を構成する

IPSec が有効化されている場合、IPSec フェーズ 1 の設定でトンネル認証メソッドを構成する必要があります。WatchGuard L2TP Setup Wizard でトンネル認証方法を構成するか、または IPSec タブで構成することができます。

IPSec トンネル認証方法を構成するには、Fireware Web UI から以下の手順を実行します：

1. Mobile VPN with L2TP ページで、IPSec タブをクリックします。

1. フェーズ 1 の設定 タブをクリックします。
2. IPSec トンネル認証のオプションを選択します。2 つのオプションがあります。

事前共有キーを使用

共有キー を入力します。L2TP クライアント上の IPSec の設定で同じ事前共有キーを使用する必要があります。共有キーには最長 79 字を使用できます。

IPSec を使用する Firebox 証明書

テーブルから使用する証明書を選択します。このオプションを使用するには、Firebox に証明書をインポートしておく必要があります。

IPSec 証明書の詳細については、次を参照してください：Mobile VPN with L2TP トンネル認証用の証明書。

既定の L2TP IPSec 構成には既定の変換セットが 3 つ含まれており、設定の変換リストに表示されます。

- SHA-1、AES(256) および Diffie-Hellman グループ 2
- SHA-1、AES(256) および Diffie-Hellman グループ 20
- SHA2-256、AES(256) および Diffie-Hellman グループ 14

以下の操作を実行できます。

- 既定の変換セットを使用します。
- この変換セットを削除し、新しいセットに置き換えます。
- 次のセクションの説明に従い、他の変換を追加します：L2TP IPSec フェーズ 1 変換を追加する。

詳細設定 セクションでは、NAT Traversal およびデッド ピア ディテクションの設定を構成することができます。

IPSec トンネル認証方法を構成するには、Policy Manager から以下の手順を実行します：

1. Mobile VPN with L2TP の構成 ダイアログ ボックスで、IPSec タブを選択します。

1. フェーズ 1 の設定 タブをクリックします。
2. IPSec トンネル認証のオプションを選択します。2 つのオプションがあります。

事前共有キーを使用

共有キー を入力します。L2TP クライアント上の IPSec の設定で同じ事前共有キーを使用する必要があります。共有キーには最長 79 字を使用できます。

IPSec 証明書を使用

テーブルから使用する証明書を選択します。このオプションを使用するには、Firebox に証明書をインポートしておく必要があります。

IPSec 証明書の詳細については、次を参照してください：Mobile VPN with L2TP トンネル認証用の証明書。

既定の L2TP IPSec 構成には既定の変換セットが 3 つ含まれており、設定の変換リストに表示されます。

- SHA-1、AES(256) および Diffie-Hellman グループ 2
- SHA-1、AES(256) および Diffie-Hellman グループ 20
- SHA2-256、AES(256) および Diffie-Hellman グループ 14

以下の操作を実行できます。

- 既定の変換セットを使用します。
- この変換セットを削除し、新しいセットに置き換えます。
- 「L2TP IPSec フェーズ 1 変換を追加する」の説明に従って、変換を追加します。

高度な IPSec フェーズ 1 設定を設定するには、詳細 をクリックします。

フェーズ 1 の詳細設定の詳細については、次を参照してください：L2TP IPSec フェーズ 1 の詳細設定を構成する。

### IPSec　フェーズ 2 の設定を構成する

IPSec フェーズ 2 の設定には、セキュリティ アソシエーション (SA) の設定が含まれています。SA は、データ パケットが 2 つのエンドポイント間で送信される場合に、どのようにセキュリティが保護されるかを定義するものです。SA には、エンドポイント間のトラフィックの処理方法について Firebox が必要とする、あらゆる情報が含まれています。SA のパラメータには、たとえば次のものがあります。

- 使用される暗号化および認証アルゴリズム。
- SA の有効期限 (秒数またはバイト数、あるいはその両方)。
- SA が確立されるデバイスの IP アドレス (このデバイスは、トラフィックを送受信する配下のコンピュータではなく、IPSec 暗号化および VPN の反対側の暗号化を処理するデバイスです)。
- SA が適用されるトラフィックの送信元および送信先の IP アドレス。
- SA が適用されるトラフィックの方向 (トラフィックの両方向 (受信および送信) に対してそれぞれ 1 つの SA が適用されます)。

フェーズ 2 の設定を構成するには、Fireware Web UI から以下の手順を実行します：

1. Mobile VPN with L2TP ページで、IPSec タブを選択します。
2. フェーズ 2 の設定 タブをクリックします。

1. Perfect Forward Secrecy (PFS) を有効にするには、Perfect Forward Secrecy を有効化する チェックボックスをオンにします。

Perfect Forward Secrecy により、セッションで作成されたキーのセキュリティ保護が強化されます。PFS で作成されるキーは、以前のキーからは作成されません。セッション後に以前のキーのセキュリティが侵害された場合でも、新しいセッション キーのセキュリティは保護されます。

既定では、PFS は無効になっています。これをサポートする L2TP クライアントが少ないためです。Mobile VPN with L2TP の構成で PFS を有効にする前に、L2TP クライアントで PFS が有効になっていることを確認してください。

1. PFS を有効にするには、Diffie-Hellman グループを選択します。

Diffie-Hellman グループの詳細については、次を参照してください：Diffie-Hellman グループについて。

2. フェーズ 2 のプロポーザルを構成します。L2TP IPSec の構成には、IPSec プロポーザル リストに表示される 3 つの既定の IPSec フェーズ 2 プロポーザルが含まれています。以下の操作を実行できます。

- 既定のプロポーザルを使用する。
- 既定のプロポーザルを削除して新しいものを追加する。
- 次のセクションの説明に従い、他のプロポーザルを追加します：L2TP IPSec フェーズ 2 プロポーザルを追加する。

フェーズ 2 の設定を構成するには、Policy Manager から以下の手順を実行します：

1. Mobile VPN with L2TP 構成 ダイアログ ボックスで、IPSec タブをクリックします。
2. フェーズ 2 の設定 タブをクリックします。

1. Perfect Forward Secrecy (PFS) を有効にするには、PFS チェックボックスをオンにします。

Perfect Forward Secrecy により、セッションで作成されたキーのセキュリティ保護が強化されます。PFS で作成されるキーは、以前のキーからは作成されません。セッション後に以前のキーのセキュリティが侵害された場合でも、新しいセッション キーのセキュリティは保護されます。

既定では、PFS は無効になっています。これをサポートする L2TP クライアントが少ないためです。Mobile VPN with L2TP の構成で PFS を有効にする前に、L2TP クライアントで PFS が有効になっていることを確認してください。

1. PFS を有効にするには、Diffie-Hellman グループを選択します。

Diffie-Hellman グループの詳細については、次を参照してください：Diffie-Hellman グループについて。

2. フェーズ 2 のプロポーザルを構成します。L2TP IPSec の構成には、IPSec プロポーザル リストに表示される 3 つの既定の IPSec フェーズ 2 プロポーザルが含まれています。以下の操作を実行できます。

- 既定のプロポーザルを使用する。
- 既定のプロポーザルを削除して新しいものを追加する。
- 次のセクションの説明に従い、他のプロポーザルを追加します：L2TP IPSec フェーズ 2 プロポーザルを追加する。

Mobile VPN with L2TP を有効化すると、Policy Manager がトラフィックを許可する 2 つのポリシーを自動的に作成します。詳細については、次を参照してください：L2TP ポリシーについて。

ユーザーがこの VPN またはネットワーク リソースに接続できない場合は、以下の一般的な原因を調べてください：

- 間違った DNS 設定
- 無効になっているか削除されたポリシー
- 間違ったユーザー グループ設定
- IP アドレス プールの重複
- 間違ったルート設定

#### 関連情報

Mobile VPN with L2TP

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索