関連トピック

# Mobile VPN with IPSec 用に Firebox を構成する

既存のユーザーのグループに対して Mobile VPN with IPSec を有効にしたり、または新しいユーザー グループを作成することができます。グループのユーザーは、Firebox に対して、または Firebox 構成に含まれるサードパーティの認証サーバーから認証を受けることができます。

ローカル Firebox 認証を行うグループにユーザーを追加する方法の詳細については、次を参照してください：Firebox Mobile VPN グループにユーザーを追加するサードパーティの認証サーバーを使用する場合、製造元のマニュアルの説明に従ってください。

## Mobile VPN with IPSec グループを構成する

ユーザー グループ用の Mobile VPN with IPSec を構成するには、Mobile VPN with IPSec グループ構成を追加します。

ユーザー グループの Mobile VPN with IPSec を構成するには、Fireware Web UI から以下の手順を実行します：

1. VPN > Mobile VPN with IPSec の順に選択します。
   Mobile VPN with IPSec ページが表示されます。

1. 追加 をクリックします。
   Mobile User VPN with IPSec 設定のページが表示されます。

1. 名前 テキスト ボックスに、この Mobile VPN グループの名前を入力します。
   既存のグループの名前、または新しい Mobile VPN グループのグループ名を入力できます。この名前は、すべてのインターフェイス名および VPN トンネル名に対してだけでなく、他の VPN グループ名に対しても一意にする必要があります。

外部の認証サーバーに対して認証する Mobile VPN ユーザー グループを作成する場合、ウィザードで追加した Mobile VPN のウィザードで指定したものと同じ名前を持つグループをサーバー上に作成するようにしてください。認証サーバーとして Active Directory を使用すると、ユーザーが、Mobile VPN with IPSec のために構成するグループ名と同じグループ名を持つ Active Directorysecurity group に属する必要があります。詳細については、外部認証サーバーを構成する を参照してください。

1. グループ プロファイルを編集するには、以下の設定を構成します。

認証サーバー

この Mobile VPN グループに使用する認証サーバーを選択します。内部 Firebox データベース (Firebox-DB) を使用するか、または RADIUS、VASCO、SecurID、LDAP、または Active Directory サーバーを使用してユーザーを認証できます。選択された認証方法が有効になっていることを確認してください。

パスフレーズ

パスフレーズを入力し、このグループ内のユーザーに配布する Mobile VPN プロファイル (.wgx ファイル) を暗号化します。共有キーでは、標準の ASCII 文字を使用する可能性があります。また、証明書を使用して認証を行う場合は、ユーザーに送信するために証明書ファイルをエクスポートした後、このパスフレーズを使用して暗号化します。

確認

パスフレーズを再度入力します。

プライマリ

このグループ内の Mobile VPN ユーザーが接続できるプライマリ外部 IP アドレスを入力します。これは、外部 IP アドレス、セカンダリ外部 IP アドレス、または外部 VLAN のいずれかです。ドロップイン モードのデバイスの場合は、すべてのインターフェイスに割り当てられる IP アドレスを使用します。

バックアップ

このグループ内の Mobile VPN ユーザーが接続できるバックアップ外部 IP アドレスを入力します。このバックアップ IP アドレスはオプションです。バックアップ IP アドレスを追加する場合、外部インターフェイスまたは VLAN に割り当てられている IP アドレスを指定してください。

セッション タイムアウト

Mobile VPN セッションがアクティブになることができる最大の時間を分単位で選択します。

アイドル タイムアウト

Firebox がアイドル状態の Mobile VPN セッションを終了するまでの時間 (分単位) を選択します。認証サーバーにタイムアウト値が設定されていない場合、セッションおよびアイドルのタイムアウト値は既定のタイムアウト値になります。Firebox を認証サーバーとして使用する場合は、各 Firebox のユーザー アカウントにタイムアウトが設定されるため、Mobile VPN グループのタイムアウトは常に無視されます。

セッションおよびアイドルのタイムアウトを、SA の有効期限 フィールドの値より長くすることはできません。
この値を設定するには、Mobile VPN with IPSec 設定 ダイアログ ボックスの IPSec トンネル タブをクリックして、フェーズ 1 の設定 の 詳細 をクリックします。既定値は 8 時間です。

1. IPSec トンネル タブを選択します。
   IPSec トンネル ページが開きます。

1. 以下の設定を構成します。

エンド ユーザー プロファイルのパスフレーズを事前共有キーとして使用する

エンドユーザー プロファイルのパスフレーズをトンネル認証の事前共有キーとして使用するには、このオプションを選択します。リモート デバイスでも同じ共有キーを使用する必要があります。この共有キーでは、標準の ASCII 文字を使用する可能性があります。

証明書を使用

トンネル認証に証明書を使用するには、このオプションを選択します。
詳細については、次を参照してください：Mobile VPN with IPSec トンネル認証用の証明書。

CA IP アドレス

証明書を使用している場合、認証機関として構成されている Management Server の IP アドレスを入力します。

タイムアウト

証明書を使用している場合、認証機関からの応答がないときに、Mobile VPN with IPSec クライアントが認証機関への接続試行をやめるまでの時間を秒単位で入力します。この値は、既定のまま維持することをお勧めします。

フェーズ 1 の設定

VPN トンネルの認証および暗号化の方法を選択します。NAT Traversal やキー グループなどの詳細設定を構成するには 詳細設定 をクリックします。詳細については、次を参照してください：フェーズ 1 の設定の詳細を定義する。

暗号化のオプションが、最も簡単で安全性の低いオプションから、最も複雑で安全性の高いオプションの順に表示されています。

- DES
- 3DES
- AES (128 ビット)
- AES (192 ビット)
- AES (256 ビット)

フェーズ 2 の設定

既定では PFS (Perfect Forward Secrecy) が有効になっています。ドロップダウン リストから、Diffie-Hellman グループを選択します。

他のプロポーザル設定を変更するには 詳細設定 をクリックします。詳細については、次を参照してください：フェーズ 2 の設定の詳細を定義する。

1. リソース タブを選択します。
   リソース ページが表示されます。

1. 以下の設定を構成します。

すべてのトラフィックにトンネル経由を許可する

すべての Mobile VPN ユーザーのインターネット トラフィックを VPN トンネル経由で送信するには、このチェック ボックスをオンにします。
すべての Mobile VPN ユーザーのインターネット トラフィックを VPN 経由で送信するには、このチェック ボックスをオンにします。安全性は向上しますが、ネットワーク パフォーマンスが低減します。
このチェック ボックスをオンにしない場合は、Mobile VPN ユーザーのインターネット トラフィックがインターネットへ直接送信されます。安全性は低くなりますが、ユーザーはより迅速にインターネットを閲覧できます。

許可されたリソース

このリストには、Mobile VPN 認証グループのユーザーがネットワーク上でアクセスできるリソースが含まれます。

ネットワーク リソース リストに IP アドレスまたは ネットワーク IP アドレスを追加するには、追加 をクリックします。ホスト IPv4 または ネットワーク IPv4 を選択し、アドレスを入力して OK をクリックします。

選択した IP アドレスまたはネットワーク IP アドレスをリソース リストから削除するには、リソースを選択して、削除 をクリックします。

仮想 IP アドレス プール

このリストには、トンネル上の Mobile VPN ユーザーによって使用される内部 IP アドレスが含まれます。

仮想 IP アドレス プールに IP アドレスまたは ネットワーク IP アドレスを追加するには、追加 をクリックします。ホスト IPv4 または ネットワーク IPv4 を選択し、アドレスを入力して OK をクリックします。

仮想 IP アドレス プールからアドレスを削除するには、ホストまたはネットワーク IPアドレスを選択して削除 をクリックします。

仮想 IP アドレス プールの IP アドレスは、ネットワークで他の目的のために使用できません。

仮想 IP アドレスの詳細については、次を参照してください：バーチャル IP アドレスおよび Mobile VPN。

1. 詳細 タブを選択します。
   詳細 ページが表示されます。

1. ライン管理 設定を以下の通り構成します。

接続モード

手動 — このモードでは、VPN トンネルが停止しても、クライアントは VPN トンネルを自動的に再起動しません。これが、既定の設定です。

VPN トンネルを再起動するには、Connection Monitor で 接続 ボタンをクリックするか、または Windows デスクトップ ツールバー上にある Mobile VPN アイコンを右クリックし、接続 をクリックする必要があります。

自動— このモードでは、コンピュータが VPN を経由して到達できる送信先にトラフィックを送信すると、クライアントが接続を開始しようとします。また、VPN トンネルが停止した場合に、クライアントは VPN トンネルを自動的に再起動しようとします。

可変— このモードでは、切断 をクリックするまで、クライアントは VPN トンネルを自動的に再起動しようとします。切断した後は、接続 をクリックするまでは、クライアントは VPN トンネルを再起動しようとしません。

非アクティブ タイムアウト

接続モード が 自動 または 可変 に設定されている場合、Mobile VPN with IPSec クライアント ソフトウェアは、非アクティブ タイムアウトに入力した時間にわたり、トンネルを通じてネットワーク リソースからのトラフィックがなくなるまで、VPN 接続の再ネゴシエーションを行いません。

既定のライン管理の設定は手動 または 0 秒 です。いずれかの設定を変更すると、クライアント ソフトウェアを構成するために .ini ファイルを使用する必要があります。

1. 保存 をクリックします。
   Mobile VPN with IPSec ページが開き、グループ リストに新しい IPSec グループが表示されます。
2. 保存 をクリックします。

ユーザー グループの Mobile VPN with IPSec を構成するには、Policy Manager から以下の手順を実行します：

1. VPN > Mobile VPN > IPSec の順に選択します。
   Mobile VPN with IPSec 構成ダイアログ ボックスが表示されます。

1. 追加 をクリックします。
   Add Mobile VPN with IPSec Wizard が表示されます。

1. 次へ をクリックします。
   ユーザー認証サーバーの選択 画面が表示されます。

1. 認証サーバー ドロップダウン リストから、認証サーバーを選択します。

Firebox (Firebox-DB) に対して、または RADIUS、VASCO、SecurID、LDAP、Active Directory サーバーに対してユーザー認証を行うことができます。この認証方法が Policy Manager で有効になっていることを確認してください。設定 > 認証 > 認証サーバー の順に選択し、これらの設定を確認します。

1. グループ名 テキスト ボックスで、グループの名前を入力します。

作成済みの Mobile VPN グループ名または新しい Mobile VPN グループのグループ名を入力できます。この名前は、すべてのインターフェイス名およびトンネル名に対してだけでなく、他の VPN グループ名に対しても一意にする必要があります。

VPN のグループ認証の詳細については、次を参照してください：Firebox 認証の種類。

外部の認証サーバーに対して認証する Mobile VPN ユーザー グループを作成する場合、ウィザードで追加した Mobile VPN のウィザードで指定したものと同じ名前を持つグループをサーバー上に作成するようにしてください。認証サーバーとして Active Directory を使用すると、ユーザーが、Mobile VPN with IPSec のために構成するグループ名と同じグループ名を持つ Active Directorysecurity group に属する必要があります。詳細については、外部認証サーバーを構成する を参照してください。

1. 次へ をクリックします。
   トンネル認証メソッドの選択 画面が表示されます。

1. トンネル認証のオプションを選択します。

- このパスフレーズを使用する
  パスフレーズを入力して確認します。
- WatchGuard Management Server によって発行された RSA 証明書を使用する
  Management Server の IP アドレス と 管理パスフレーズ を入力します。

RSA 証明書の使用方法の詳細については、次を参照してください：Mobile VPN with IPSec トンネル認証用の証明書。

1. 次へ をクリックします。
   インターネット トラフィックのフローの指定 画面が表示されます。

1. インターネット トラフィックのオプションを選択します。

- いいえ、インターネット トラフィックがモバイル ユーザーの ISP に直接移動することを許可します。
  (スプリット トンネリング)
- はい、すべてのインターネット トラフィックがトンネルを経由するようにします。
  (既定ルート VPN)

スプリット トンネリングと既定ルート VPN の詳細については、次を参照してください：Mobile VPN with IPSec トンネル経由のインターネット アクセス オプション。

1. 次へ をクリックします。
   トンネル経由でアクセスできるリソースの特定 画面が表示されます。

1. 追加 をクリックして、ユーザーが VPN トンネルを経由して接続できるホストまたはネットワーク IP アドレスを指定します。
2. 次へ をクリックします。
   仮想 IP アドレス プールの作成 画面が表示されます。

1. 1 つの IP アドレスまたは IP アドレス範囲を追加するには、追加 をクリックします。
   仮想 IP アドレスをさらに追加するには、このステップを繰り返します。

Mobile VPN ユーザーがネットワークに接続する際には、仮想 IP アドレス プールから IP アドレスが 1 つ割り当てられます。仮想 IP アドレス プール内の IP アドレスの数は、Mobile VPN ユーザーの数と同じになるはずです。 FireCluster が構成されている場合は、それぞれの Mobile VPN ユーザーに対し 2 つの仮想 IP アドレスを追加する必要があります。

仮想 IP アドレスは、ローカル ネットワークとは異なるサブネットになければなりません。この仮想 IP アドレスは、ネットワーク上のその他の目的のためには使用できません。

仮想 IP アドレスの詳細については、次を参照してください：バーチャル IP アドレスおよび Mobile VPN。

1. 次へ をクリックします。
   トンネル認証に証明書を使用することにした場合、VPN 構成ファイルの暗号化 画面が表示されます。

1. .wgx 構成ファイルと PKCS#12 証明書の暗号化に使用するパスフレーズを入力して確認します。この証明書は、Policy Manager から VPN 構成ファイルを生成したときに保存されています。

トンネル認証にパスフレーズを使用した場合は、ウィザードはこのステップを省略し、指定したトンネル パスフレーズは VPN 構成ファイルを暗号化するために使用されます。

1. 次へ をクリックします。
   Add Mobile VPN with IPSec Wizard が正常に完了しました 画面が表示されます。

Mobile VPN with IPSec グループ エンド ユーザーの構成ファイルがこのスクリーンに指定したロケーションにあります。

1. 新しい Mobile VPN with IPSec グループにユーザーを追加するには、ユーザーを追加する チェック ボックスを選択します。
2. 完了 をクリックします。

Mobile VPN with IPSec プロファイルを追加すると Mobile VPN with IPSec の 任意 ポリシーが自動的に作成され、グループのユーザーから、トンネル経由でアクセス可能なリソースへのトラフィックはすべて許可されます。Mobile VPN with IPSec ポリシーの詳細については、次を参照してください：IPSec Mobile VPN トラフィックをフィルタリングするポリシーを構成する。

作成したグループのメンバーであるユーザーは、WatchGuard IPSec Mobile VPN クライアント ソフトウェアに正しい構成ファイルをインポートするまで接続できません。構成ファイルを生成し、エンドユーザーに提供する必要があります。詳細については、次を参照してください：Mobile VPN with IPSec 構成ファイルを生成する

ユーザーがこの VPN またはネットワーク リソースに接続できない場合は、以下の一般的な原因を調べてください：

- 間違った DNS 設定
- 無効になっているか削除されたポリシー
- 間違ったユーザー グループ設定
- IP アドレス プールの重複
- 間違ったルート設定

#### 関連情報

Mobile VPN with IPSec 構成ファイルを生成する

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索