関連トピック

# 手動 Branch Office VPN について

VPN (Virtual Private Network) によって、異なる場所にあるコンピュータまたはネットワーク間に、セキュリティで保護された接続が確立されます。これらの接続はトンネルと呼ばれます。VPN トンネルが作成されると、2 つのトンネル エンドポイントがお互いに認証されます。トンネルの中のデータは暗号化されており、トラフィックの送信者と受信者だけが読み取ることができるようになっています。

Branch Office Virtual Private Network (BOVPN) が、地理的に離れたオフィスの間のセキュリティで保護され暗号化された接続を組織に有効化します。BOVPN トンネルのネットワークおよびホストは、企業の本社、支社、または Microsoft Azure や Amazon AWS、リモート ユーザー、テレコミューターなどのクラウドベースのエンドポイントです。BOVPN 通信では、多くの場合、企業のファイアウォール内で交換されるような重要なデータがやり取りされます。このシナリオでは、BOVPN によってオフィス間で機密性の高い接続が提供されます。これにより、通信が効率化され、専用線のコストが軽減され、各エンドポイントでのセキュリティが保持されます。

マニュアル BOVPN トンネル には、追加トンネルのためのオプションが多数あります。もう 1 つの種類のトンネルは、管理対象 BOVPN トンネル で、ドラッグ アンド ドロップまたはウィザードで、集中管理されたデバイス間に作成することができます。このタイプのトンネルの詳細については、次を参照してください：管理対象 Branch Office VPN トンネル（WSM）。

すべての WatchGuard Branch Office VPN では、IPSec プロトコール スイートを使用して BOVPN トンネルがセキュリティ保護されます。Branch Office VPN トンネルは、トンネルの両端にあるデバイスの外部インターフェースに接続する必要があります。IPSec VPNについての詳細については、次を参照してください。IPSec VPN の仕組み。

## BOVPN の要件および計画

Firebox と別の IPSec VPN ゲートウェイの間に Branch Office VPN を作成するには、以下の条件が満たされている必要があります：

- 2 つの Firebox、または Firebox とサードパーティの IPSec VPN ゲートウェイが存在している必要があります。
- 2 つのゲートウェイにはそれぞれ、インターネットに接続できるインターフェイスがある必要があります。
- 他の VPN デバイスに割り当てられている IP アドレスが静的であるか動的であるかを確認する必要があります。他の VPN デバイスに動的 IP アドレスが指定されている場合は、IP アドレスとドメイン名を関連付けるために、Firebox は他のデバイスをドメイン名で特定し、他のデバイスは動的 DNS を使用する必要があります。
- 各 VPN デバイスの ISP では、IPSec トラフィックがネットワークを通過することを許可していなければなりません。
  一部の ISP では、VPN トンネルをサポートするレベルまでインターネット サービスをアップグレードしない限り、ネットワーク上での VPN トンネルの作成が許可されません。VPN が正しく機能するように、これらのポートとプロトコルが許可されていることを確認してください。
  - UDP ポート 500 (Internet Key Exchange または IKE)
  - UDP ポート 4500 (NAT Traversal)
  - IP プロトコル 50 (ESP (カプセル化セキュリティ ペイロード))

Branch Office VPN を構成する前に、使用する VPN ゲートウェイとトンネルの設定に関して合意し、トンネル経由でトラフィックを送信するプライベート ネットワークの IP アドレスを用意しておく必要があります。

- 2 つの Firebox 間で IKEv2 を使用する場合は、両方の Firebox で Fireware v11.11.2 以降を使用する必要があります。
- 認証メソッドとして事前共有キーを使用する場合は、トンネルの共有キー（パスフレーズ）が分かっている必要があります。各デバイスが同じ共有キーを使用する必要があります。共有キーには最大で 79 文字を使用することができます。
- 認証メソッドとして証明書を使用する場合は、両方のエンドポイントに同じ証明書がインストールされている必要があります。
- トンネルで使用される暗号化方法（3DES、AES-128 ビット、AES-192 ビット、または AES-256 ビット）。2 つの VPN デバイスが同じ暗号化方法を使用する必要があります。
- トンネルの各端の認証方法を知っている必要があります (MD5、SHA-1、SHA2-256、SHA2-384、SHA2-512)。2 つの VPN デバイスが同じ認証メソッドを使用する必要があります。
- Firebox の配下にあるプライベート (信頼済み) ネットワーク、および他の VPN デバイスの配下にあるネットワークのネットワーク アドレス、さらにサブネット マスクを確認する必要があります。
- Firebox の配下にあるコンピュータのプライベート IP アドレスのいずれかが VPN トンネルの反対側にあるコンピュータの IP アドレスと同じである場合は、競合を避けるために、1 - 1 NAT を使用して IP アドレスをマスカレードすることができます。詳細については、次を参照してください：Branch Office VPN トンネル経由で 1 - 1 NAT を構成する。

ローカルの Firebox 構成、および接続するリモート VPN ゲートウェイの情報を記録することをお勧めします。次を参照してください：VPN アドレス情報テーブルの例 収集する情報のリストのために また、BOVPN 構成を印刷または保存して、設定を簡単に比較することができます。詳細については、次を参照してください：BOVPN 構成レポートを使用する。

## BOVPN トンネル構成のオプション

BOVPN トンネルを構成する 2 つの方法があります。選択する方法によって、Firebox でトラフィックがトンネル経由で送信されるかどうかが決定されます。

BOVPN ゲートウェイを設定し、BOVPN トンネルを追加する

BOVPN ゲートウェイを設定し、そのゲートウェイを使用する 1 つまたは複数の BOVPN トンネルを追加することができます。このオプションにより、2 つの Firebox デバイス間、または同じゲートウェイやトンネルの設定を使用する別のデバイスと Firebox との間に、BOVPN トンネルを設定することができます。この構成方法を使用すると、パケットの送信元と送信先が構成されている BOVPN トンネルに一致する場合は、Firebox は常に BOVPN トンネル経由でパケットをルーティングします。

Branch Office VPN ビデオ チュートリアル（12分）で、Policy Manager で BOVPN ゲートウェイとトンネルを構成する方法のデモをご覧ください。

ゲートウェイとトンネル設定の構成方法の詳細については、次を参照してください：

- 手動 BOVPN ゲートウェイを構成する — トンネルのローカルとリモートの両接続ポイントを構成する。
- トンネルを定義する — トンネル ルートとセキュリティ設定を構成する。

BOVPN 仮想インターフェイスを構成する

Fireware v11.8 以降を実行している WatchGuard デバイスでは、BOVPN 仮想インターフェイスとして BOVPN を構成し、その後で仮想インターフェイス経由のルートを追加することができます。この構成方法を使用すると、Firebox はパケットの送信インターフェイスに基づいて、トンネル経由でパケットをルーティングします。ポリシーを構成する際に、宛先として BOVPN 仮想インターフェイスを選択することができます。Firebox が VPN トンネル経由でトラフィックを送信するかどうかに関する決定には、静的・動的ルートおよびポリシーベースのルーティングが影響します。

詳細については、次を参照してください：BOVPN 仮想インターフェイスについて。

## カスタム トンネル ポリシー

BOVPN トンネルを構成する際に、Firebox では新しい VPN トンネルが BOVPN-Allow.in および BOVPN-Allow.out ポリシーに自動的に追加されます。このポリシーにより、すべてのトラフィックがトンネルを使用できるようになります。このポリシーを使用せず、カスタム VPN ポリシーを作成して、指定したトラフィックの種類のみにトンネルの通過を許可することもできます。詳細については、次を参照してください：カスタム トンネル ポリシーを定義する。

## 単方向トンネル

トラフィックが単方向だけに流れる VPN トンネルを作成する場合は、トンネルが動的 NAT 送信を使用するように構成します。これは、すべての VPN トラフィックが 1 つのパブリック IP アドレスから送信されるリモート サイトへのトンネルを作成する場合に役立ちます。詳細については、次を参照してください：Branch Office VPN トンネル経由で発信方向の動的 NAT を構成する。

## VPN フェールオーバー

VPN トンネルは、WAN フェールオーバー中に、バックアップ WAN インターフェイスに自動的にフェールオーバーします。プライマリ エンドポイントが使用できなくなったときにバックアップ エンドポイントにフェールオーバーするよう、BOVPN トンネルを構成できます。フェールオーバー設定を構成するには、次に説明されているように、少なくとも 1 つのバックアップ エンドポイントを定義する必要があります：VPN フェールオーバーを構成する。

## について

Firebox のグローバル VPN 設定は、すべての手動 BOVPN トンネル、BOVPN 仮想インターフェイス、管理対象 BOVPN トンネル、および Mobile VPN トンネルに適用されます。これらの設定を使用して、次のことを実行できます。

- IPSec パススルーを有効にする。
- サービスの種類 (TOS) ビットの設定を使用して、パケットの設定をクリアまたは維持する。
- IPSec を使用するか判断するための既定以外のルートの使用の有効化
- 組み込み IPSec ポリシーの無効化または有効化
- LDAP サーバーを使用して証明書を検証する。
- BOVPN トンネルがダウンした際に通知が送信されるように Firebox を構成します (BOVPN トンネルのみ)。

これらの設定を変更するには、Policy Manager から、VPN > VPN 設定 の順に選択します。 Fireware Web UI から、これらの設定を変更するには、VPN > グローバル設定 の順に選択します。 これらの設定の詳細については、次を参照してください：グローバル VPN 設定について。

## BOVPN トンネルのステータス

BOVPN トンネルの現在のステータスは、デバイスに接続している状態で、Firebox System Manager の フロント パネル タブまたは WatchGuard System Manager の デバイス ステータス タブで見ることができます。詳細については、次を参照してください：VPN トンネルのステータスと登録サービス。

Fireware Web UI から、BOVPN トンネルの現在のステータスを見るには、システム ステータス > VPN 統計 の順に選択します。詳細については、次を参照してください：VPN 統計。

## BOVPN トンネルのキーを再生成する

BOVPN トンネルのキーの期限終了まで待たない場合は、Firebox System Manager を使用して、直ちに BOVPN トンネルの新しいキーを生成することができます。詳細については、次を参照してください：Branch Office VPN トンネル キーを強制的に再生成する。

#### 関連情報

Branch Office VPN トンネル経由で 1 - 1 NAT を構成する

Branch Office VPN (ビデオ)

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索