関連トピック

# Firebox から Cisco ASA デバイスに VPN を設定する

Branch office virtual private network (BOVPN) トンネルは、インターネット上でデータを交換するためのネットワークやホストとネットワークのセキュアウェイです。この文書では、Firebox と Cisco ASA (8.6(1)2) デバイス間に手動 BOVPN トンネルを定義する方法を説明します。BOVPN トンネルを作成する前に、各エンドポイントから IP アドレスを収集して、使用する共通のトンネル設定に同意する必要があります。

このトピックでは、異なる BOVPN の設定の意味、およびそれらの設定が構築されたトンネルに与える影響に関する詳細情報は記載されていません。特定の設定の詳細については、以下のリソースを使用してください。

- 手動 Branch Office VPN について
- 手動 BOVPN ゲートウェイを構成する
- 手動 BOVPN トンネルを構成する

WatchGuard は、WatchGuard 製品が他の会社で製造された製品で動作できるように構成するために、お客様の役に立つ相互運用性に関する指示を提供します。WatchGuard 以外の製品を構成するとき、詳細の情報またはテクニカル サポートが必要な場合、この製品のドキュメントおよびサポート リソースを参照してください。

## VPN 構成の概要

参考として、このページには Cisco ASA デバイスの VPN 構成の既定に関する概要が記載されています。ここでは、Fireware v11.12.4 における既定の VPN 構成と一致しない設定に重点が置かれています。

Fireware v12.0 以降では、既定の BOVPN セキュリティ設定が異なります。これらの設定がお使いの Cisco デバイスと互換性があるかどうかを確認するには、Cisco デバイスのマニュアルを参照してください。

VPN 設定 | WatchGuard デバイスの既定 (v11.12.4) | Cisco ASA デバイスの既定 (8.6(1)2) | Matched?
--- | --- | --- | ---
フェーズ 1 の設定
IKE 交換モード | メイン | Main + IKEv2 | N
認証 | SHA1 | * 下記参照 | Y
暗号化 | 3DES | * 下記参照 | Y
Diffie-Hellman グループ | 2 | 2 | Y
フェーズ 2 の設定
Perfect Forward Secrecy | いいえ | はい | N
プロトコル | ESP | ESP | Y
認証 | SHA1 | * 下記参照 | Y
暗号化 | AES (256-bit) | * 下記参照 | N

* フェーズ 1 とフェーズ 2 の両方に対して、Cisco ASA には様々なプロポーザルが備わっています。Firebox の既定の設定はプロポーザルのいずれかと一致しますが、Cisco の設定から他のプロポーザルを削除しないと、VPN が正常に確立された場合でも、VPN ネゴシエーションの最中に Firebox が失敗を示すログ メッセージを作成する可能性があります。

ほとんどの VPN 構成では、他すべての設定が一致している限り、フェーズ 1 と 2 のトンネル タイムアウト値はその既定の値のままにしておくことができます。場合によっては、Firebox がイニシエータであると、Cisco ASA デバイスとの VPN ネゴシエーションが失敗します。そのため、Cisco ASA VPN 構成のタイムアウト値は、Firebox の既定のタイムアウトよりも低い値に設定するほうがよいかもしれません。

## IP アドレスとトンネルの設定の収集

Manual BOVPN トンネルを作成するには、まずIPアドレスを収集し、エンドポイントで使用される設定を決定します。

Branch Office VPN を構成する前に、各デバイスのパブリック IP アドレスおよび接続したいプライベートネットワークの IP アドレスを収集する必要があります。また、フェーズ 1 とフェーズ 2 の設定で VPN を使用することを選択する必要があります。この手順では、Cisco デバイスの既定の設定に一致するフェーズ 1 およびフェーズ 2 の設定で、Firebox を構成する方法を説明します。

たとえば、収集した IP アドレスの設定は以下のようになります：

WatchGuard Firebox：

外部インターフェイス の IP アドレス：203.0.113.2

信頼済みネットワーク IP アドレス：10.0.1.0/24

Cisco ASA デバイス：

外部インターフェイス の IP アドレス：198.51.100.2

プライベート ネットワークの IP アドレス：10.50.1.0/24

## WatchGuard デバイスを構成する

Firebox に VPN ゲートウェイおよびゲートウェイを使用する VPN トンネルを追加します。

### VPN ゲートウェイを追加する

Fireware Web UI から、VPN ゲートウェイを追加するには、以下の手順を実行します：

1. VPN > Branch Office VPN の順に選択します。
2. ゲートウェイ リストの下にある 追加 をクリックします。
   ゲートウェイの設定 ページが表示されます。
3. 事前共有済みキーを使用 を選択します。共有キー を入力します。
   共有キーには、標準の ASCII 文字のみを使用する必要があります。キーは Cisco デバイスで使用するキーと一致している必要があります。
4. ゲートウェイ エンドポイント リストの下にある 追加 をクリックします。
   ゲートウェイ エンドポイントの設定 ダイアログ ボックスが表示されます。

1. 外部インターフェイス ドロップダウン リストから、パブリック IP アドレスが指定されている外部インターフェイスを選択します。
2. IP アドレス別 を選択します。Firebox の外部 (パブリック) IP アドレスを入力します。
3. リモートゲートウェイ タブを選択します。

1. トンネルのリモート ゲートウェイ IP アドレスを指定する セクションで、静的 IP アドレス を選択します。Cisco デバイスの外部 (パブリック) IP アドレスを入力します。
2. トンネル認証用ゲートウェイ ID の設定 セクションで、IP アドレスで指定 を選択します。Cisco デバイスのパブリック IP アドレスを入力します。
3. OK をクリックして、ゲートウェイ エンドポイントの設定 ダイアログ ボックスを閉じます。
   定義したゲートウェイ ペアが、ゲートウェイ エンドポイントのリストに表示されます。

Policy Manager から、VPN ゲートウェイを追加するには、以下の手順を実行します：

1. Policy Manager で、VPN > Branch Office ゲートウェイ の順に選択します。
2. 追加 をクリックします。
   新しいゲートウェイ ダイアログ ボックスが表示されます。
3. ゲートウェイ名 テキスト ボックスに、Policy Manager のこのゲートウェイを識別する名前を入力します。
4. 事前共有済みキーを使用 を選択します。共有キー を入力します。
   共有キーには、標準の ASCII 文字のみ使用する必要があります。キーは Cisco デバイスで使用するキーと一致している必要があります。
5. ゲートウェイ エンドポイント セクションで、追加 をクリックします。
   [新しいゲートウェイ エンドポイントの設定] ダイアログ ボックスが表示されます。

1. 外部インターフェイス ドロップダウン リストから、パブリック IP アドレスが指定されている外部インターフェイスを選択します。
2. ローカル ゲートウェイ セクションで、IP アドレスで指定 を選択します。
3. IP アドレス ドロップダウン リストから、デバイスの外部 (パブリック) IP アドレスを選択します。
4. トンネルのリモート ゲートウェイ IP アドレスを指定する セクションで、静的 IP アドレス を選択します。Cisco デバイスの外部 (パブリック) IP アドレスを入力します。
5. トンネル認証用ゲートウェイ ID の設定 セクションで、IP アドレスで指定 を選択します。Cisco デバイスのパブリック IP アドレスを入力します。
6. OK をクリックします。
   定義したゲートウェイ エンドポイントのペアが、ゲートウェイ エンドポイントのリストに表示されます。
7. OK をクリックして、ゲートウェイを追加します。
8. 閉じる をクリックします。

### VPN トンネルを追加する

Fireware Web UI から、VPN トンネルを追加するには、以下の手順を実行します：

1. VPN > Branch Office の順に選択します。
2. トンネル リストの下にある 追加 をクリックします。
3. 名前 テキスト ボックスに、このトンネルの意味のある名前を入力します。
4. ゲートウェイ ドロップダウン リストから、Cisco デバイスに構成したゲートウェイを選択します。
5. アドレス リストの下にある 追加 をクリックします。
   トンネル ルートの設定 ダイアログ ボックスが表示されます。

1. ローカル IP セクションの 種類の選択 ドロップダウン リストから、ネットワーク IPv4 を選択します。VPN トンネルを使用させるローカル ネットワークのネットワーク IP アドレスを入力します。
2. リモート IP セクションの 種類の選択 ドロップダウン リストから、ネットワーク IPv4 を選択します。VPNトンネルを使用させる Cisco デバイスのプライベート ネットワークのネットワーク IP アドレスを入力します。
3. OK をクリックして、トンネル ルートを追加します。
   トンネル ルートがトンネル構成のアドレス タブに追加されます。
4. 保存 をクリックします。
   トンネル ルートの構成がトンネル リストに追加されます。

Policy Manager から、VPN トンネルを追加するには、以下の手順を実行します：

1. Policy Manager で、VPN > Branch Office トンネル の順に選択します。
   Branch Office IPSec トンネル ダイアログ ボックスが表示されます。
2. 追加 をクリックします。
   新しいトンネル ダイアログ ボックスが表示されます。
3. トンネル名 テキスト ボックスに、意味のあるこのトンネルの名前を入力します。
4. ゲートウェイ ドロップダウン リストから、Cisco デバイスに構成したゲートウェイを選択します。
5. 追加 をクリックしてトンネル ルートを追加します。
   トンネル ルートの設定 ダイアログ ボックスが表示されます。
6. ローカル テキスト ボックスに、VPN トンネルを使用させるローカル ネットワークのネットワーク IP アドレスを入力します。
7. リモート テキスト ボックスに、VPN トンネルを使用させる Cisco デバイスのプライベート ネットワークのネットワーク IP アドレスを入力します。
8. OK をクリックしてトンネル ルートを追加します。
   トンネル ルートが [新しいトンネル] ダイアログ ボックスの アドレス タブに追加されます。

1. OK をクリックして新しいトンネルを構成に追加します。
2. 閉じる をクリックして [Branch Office IPSec トンネル] ダイアログ ボックスを閉じます。
3. ファイル > 保存 > Firebox に保存 の順に選択して、構成をデバイスに保存します。

## Cisco ASA デバイスを構成する

この手順では、手動で ASDM インターフェイスの Cisco ASA デバイスの VPN 設定を構成する方法について説明します。このデバイスで端末インターフェイスを望む場合は、Cisco 製品のマニュアルを参照してください。

### Cisco と WatchGuard サブネットのアドレス オブジェクトを作成する

Cisco デバイスはアドレス オブジェクトをポリシーと VPN 構成に使用します。これらのアドレス オブジェクトは、Firebox のエイリアスと非常によく似ています。

ASDM インターフェイスの構成セクションでアドレス オブジェクトを作成するには、以下の手順を実行します：

1. サイドバー メニューから、ファイアウォール を選択します。
2. ファイアウォール メニューで、オブジェクト > ネットワーク オブジェクト/グループ の順に選択します。
3. 追加 > ネットワーク オブジェクト の順にクリックします。
   ネットワーク オブジェクトを追加する ダイアログ ボックスが表示されます。

1. 名前 テキスト ボックスに、Firebox の配下にあるローカルネット ワークの意味のある名前を入力します。
2. 種類 ドロップダウン リストから、ネットワーク を選択します。
3. IP アドレス テキスト ボックスに、Firebox に接続されているローカル ネットワークのサブネット ID を入力します。
4. ネットマスク テキスト ボックスに、Firebox に接続されているローカル ネットワークのサブネットマスクを入力します。
5. OK をクリックして、ネットワーク オブジェクトの構成を完了します。

Cisco ASA デバイスに接続されているローカル ネットワークのネットワーク オブジェクトをまだ構成していない場合は、この手順を繰り返してそれを作成します。Cisco デバイスに接続されているローカル ネットワークの IP アドレスとネットマスクを使用します。

## 接続プロファイルを設定する

ASDM インターフェイスの構成セクションで、以下の手順を実行します：

1. サイドバー メニューから、サイトツーサイト VPN を選択します。
2. 接続プロファイル の下にある 追加 をクリックします。
   IPsec サイトツーサイト接続プロファイルを追加する ダイアログ ボックスが表示されます。

1. ピア IP アドレス テキスト ボックスに、Firebox の外部インターフェイスのパブリック IP アドレスを入力します。
2. インターフェイス ドロップダウン リストから、VPN トンネルが Cisco デバイスで使用する外部インターフェイスを選択します。
3. ローカル ネットワーク テキスト ボックスに、Cisco デバイスの配下にあるネットワークのネットワーク IP アドレスを入力するか、または横のボタンをクリックして、ローカル ネットワークで定義されているネットワーク オブジェクトを選択します。
4. リモートネットワーク テキスト ボックスに、Firebox の配下にあるネットワークのネットワーク IP アドレスを入力するか、または横のボタンをクリックして、WatchGuard ネットワークで定義されているネットワーク オブジェクトを選択します。
5. IKE v2 を有効化する チェック ボックスをオフにします。
6. IPsec 設定 セクションの IKE v1 設定 タブにある 事前共有キー テキストボックスに、Firebox のこのゲートウェイに構成した事前共有キーを入力します。
7. IPsec プロポーザル テキスト ボックスから、ESP-AES-256-SHA 以外のすべてのエントリを削除します。こうすることで、Firebox のログファイルに表示される VPN のエラー メッセージの数を減らすことができます。
8. OK をクリックして、VPN の構成を完了します。

この接続プロファイルの詳細設定を変更する場合は、OK をクリックしてから、プロファイルを再オープンします。接続プロファイルを保存する前に詳細設定を編集すると、基本セクションのいくつかのオプションが既定の設定に戻ります。

1. 適用 をクリックして、実行構成への変更を保存します。

実行構成に加えられた変更は、Cisco デバイスを再起動した後は保持されません。永続的なフラッシュメモリにこれらの変更をコミットするには、ASDM インターフェイスの上部にある 保存 アイコンをクリックします。

WatchGuard と Cisco デバイスで VPN 構成が完了したら、いずれかのネットワークのホストがトラフィックをリモートネットワークに送信して、VPN トンネル ネゴシエーションを開始する必要があります。

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索