関連トピック

# Mac OS X または iOS のネイティブ IPSec VPN クライアントを使用する

Apple iOS デバイス (iPhone、iPad、および iPod Touch) および Mac OS X 10.6 以上には、ネイティブ Cisco IPSec VPN クライアントが付属しています。このクライアントを使用して Firebox に IPSec VPN 接続を行うことができます。ネイティブ IPSec VPN クライアントを使用して Firebox に接続するには、iOS または Mac OS X デバイスの設定と一致するように Firebox の VPN 設定を構成する必要があります。

Mac OS X デバイスからの IPSec VPN 接続には、Mac OS X 用の WatchGuard IPSec VPN クライアントを使用することもできます。詳細については、次を参照してください：IPSec Mobile VPN クライアント ソフトウェアをインストールする。

Mac OS X デバイスの場合は、ネイティブ VPN クライアントの設定を手動で構成する必要があります。

iOS および Android デバイスからの VPN 接続に、同じ Mobile VPN with IPSec プロファイルを使用することができます。Android デバイスの VPN クライアントを構成する方法の詳細については、次を参照してください：Mobile VPN with IPSec を Android デバイスで使用する。

Apple iOS デバイスが iOS 9.3 以降を実行している場合は、SHA1 か SHA2、および Diffie-Hellman グループ 2、5 または 14 を使用できます。Apple iOS デバイスが iOS のより以前のバージョンを実行している場合は、SHA1 および Diffie-Hellman グループ 2を使用します。

## Firebox を構成する

Mac OS X または iOS デバイスの VPN クライアントでは、VPN トンネル構成の設定の多くはユーザーが構成できないようになっています。Firebox の設定を構成する際には、Mac OS X または iOS デバイスの VPN クライアントに必要な設定と一致させることが非常に重要です。

Fireware Web UI から Firebox を構成するには、以下の手順を実行します：

1. VPN > Mobile VPN with IPSec の順に選択します。
   Mobile VPN with IPSec ページが表示されます。
2. 追加 をクリックします。
   Mobile VPN with IPSec 設定 ページが表示されます。

1. 名前 テキスト ボックスに、Mac OS X または iOS の VPN ユーザーが属する認証グループの名前を入力します。

既存のグループの名前、または新しい Mobile VPN グループのグループ名を入力できます。この名前は、すべてのインターフェイス名および VPN トンネル名に対してだけでなく、他の VPN グループ名に対しても一意にする必要があります。

1. 認証サーバー ドロップダウン リストから、認証サーバーを選択します。

Firebox (Firebox-DB) に対して、または RADIUS、VASCO、SecurID、LDAP、Active Directory サーバーに対してユーザー認証を行うことができます。選択する認証方法が有効になっていることを確認してください。

外部の認証サーバーに対して認証する Mobile VPN ユーザー グループを作成する場合、ウィザードで追加した Mobile VPN のウィザードで指定したものと同じ名前を持つグループをサーバー上に作成するようにしてください。認証サーバーとして Active Directory を使用すると、ユーザーが、Mobile VPN with IPSec のために構成するグループ名と同じグループ名を持つ Active Directorysecurity group に属する必要があります。詳細については、外部認証サーバーを構成する を参照してください。

1. このトンネルに対して使用する パスフレーズ を入力し、確定します。
2. Firebox IP アドレス セクションに、このグループの Mobile VPN ユーザーが接続できるプライマリ外部 IP アドレスまたはドメイン名を入力します。
3. IPSec トンネル タブを選択します。
   IPSec トンネルの設定 が表示されます。

1. エンド ユーザー プロファイルのパスフレーズを事前共有キーとして使用する を選択します。
   これが、既定の設定です。
2. 認証 ドロップダウン リストから、SHA-2 バリアントまたは SHA-1 を選択します。
3. 暗号化 ドロップダウン リストから、次のいずれかのオプションを選択します。
   - AES (128 ビット)
   - AES (256 ビット)
4. フェーズ 1 の設定 セクションの 詳細 をクリックします。
   フェーズ 1 の詳細設定 が表示されます。

1. SA の有効期間 を 1 時間 に設定します。

Mac OS X または iOS デバイスの VPN クライアントは、1 時間後にキーを更新するように構成されています。このプロファイルを Mac OS X または iOS デバイスの VPN クライアントの接続にのみ使用する場合、SA の有効期間を 1 時間に設定し、クライアントの設定に合わせます。

サポートされているすべての VPN クライアントにこの VPN プロファイルを使用するには、SA の有効期間を 8 時間に設定します。SA の有効期間を 8 時間に設定すると、Shrew Soft VPN および WatchGuard IPSec Mobile VPN クライアントは 8 時間後にキーを更新しますが、OS X または iOS デバイスの VPN クライアントはそれより小さい 1 時間をキーの更新値として使用します。

13. キーグループ ドロップダウン リストから、Diffie-Hellman グループ 2 を選択します。
14. その他の フェーズ 1 の詳細設定 は変更しないでください。
15. OK をクリックします。
16. フェーズ 2 の設定 セクションで、PFS チェックボックスをオフにします。

13. フェーズ 2 の設定 セクションの 詳細 をクリックします。
    フェーズ 2 の詳細 設定が表示されます。

1. 認証 ドロップダウン リストから、SHA-2 バリアントまたは SHA1 を選択します。
2. 暗号化 ドロップダウン リストから、AES (128 ビット) または AES (256 ビット) を選択します。
3. キーの有効期限の強制 の設定で、有効 時間 を 1時間 に設定します。
4. キーの有効期限を強制的に終了する の設定で、トラフィック チェックボックスをオフにします。
5. OK をクリックします。
6. リソース タブを選択します。
7. トンネル経由のすべてのトラフィックを許可する チェック ボックスを選択します。
   この設定により、トンネルが既定ルート VPN に構成されます。Mac OS X または iOS デバイスの VPN クライアントは、スプリット トンネリングをサポートしていません。
8. 仮想 IPアドレス プール リストに、トンネルを経由する Mobile VPN ユーザーが使用する内部 IP アドレスを追加します。
   仮想 IP アドレス プールに IP アドレスまたは ネットワーク IP アドレスを追加するには、ホスト IP または ネットワーク IP を選択して、アドレスを入力し、追加 をクリックします。

IP アドレスの数は、Mobile VPN ユーザーの数と同じにしてください。仮想 IP アドレスは、信頼済みネットワークと同じサブネット上にある必要はありません。FireCluster が構成されている場合、各 Mobile VPN ユーザーに対して 2 つの仮想 IP アドレスを追加する必要があります。

仮想 IP アドレス プールの IP アドレスは、ネットワークで他の目的のために使用できません。

1. 保存 をクリックします。

選択した認証グループに対してすべての VPN ユーザーを追加してください。

Firebox ユーザー グループにユーザーを追加する方法の詳細については、次を参照してください：Firebox の認証に新規ユーザーを定義する。

Firebox を構成するには、Policy Manager から以下の手順を実行します：

最初に、Mobile VPN with IPSec ウィザードを使用して、基本設定を構成します。

1. VPN > Mobile VPN > IPSec の順に選択します。
   Mobile VPN with IPSec 構成 ダイアログボックスが表示されます。
2. 追加 をクリックします。
   Add Mobile User VPN with IPSec Wizard が表示されます。
3. 次へ をクリックします。
   ユーザー認証サーバーを選択する ページが表示されます。

1. 認証サーバー ドロップダウン リストから、認証サーバーを選択します。

Firebox (Firebox-DB) に対して、または RADIUS、VASCO、SecurID、LDAP、Active Directory サーバーに対してユーザー認証を行うことができます。選択する認証方法が有効になっていることを確認してください。

1. グループ名 テキスト ボックスに、Mac OS X または iOS デバイスのユーザーが属する認証グループの名前を入力します。

作成済みの Mobile VPN グループ名または新しい Mobile VPN グループのグループ名を入力できます。この名前は、すべてのインターフェイス名およびトンネル名に対してだけでなく、他の VPN グループ名に対しても一意にする必要があります。

外部の認証サーバーに対して認証する Mobile VPN ユーザー グループを作成する場合、ウィザードで追加した Mobile VPN のウィザードで指定したものと同じ名前を持つグループをサーバー上に作成するようにしてください。認証サーバーとして Active Directory を使用すると、ユーザーが、Mobile VPN with IPSec のために構成するグループ名と同じグループ名を持つ Active Directorysecurity group に属する必要があります。詳細については、外部認証サーバーを構成する を参照してください。

1. 次へ をクリックします。
   トンネル認証方法を選択する ページが表示されます。

1. このパスフレーズを使用する を選択します。パスフレーズを入力し、確定します。
2. 次へ をクリックします。
   インターネット トラフィックのフローを指定する ページが表示されます。

1. はい、すべてのインターネット トラフィックにトンネル経由を強制します を選択します。
   この設定により、トンネルが既定ルート VPN に構成されます。Mac OS X または iOS デバイスの VPN クライアントは、スプリット トンネリングをサポートしていません。
2. 次へ をクリックします。
   トンネル経由でアクセスできるリソースを特定する ページが表示されます。

既定ルート VPN 構成の場合、すべてのネットワーク IP アドレスと Any-External エイリアスへのアクセスが自動的に許可されます。

1. 次へ をクリックします。
   仮想 IP アドレス プールを作成する ページが表示されます。

1. IP アドレスを 1 つ追加する、または IP アドレス範囲を追加するには、追加 をクリックします。
   仮想 IP アドレスをさらに追加するには、このステップを繰り返します。

Mobile VPN ユーザーがネットワークに接続する際には、仮想 IP アドレス プールから IP アドレスが 1 つ割り当てられます。仮想 IP アドレス プール内の IP アドレスの数は、Mobile VPN ユーザーの数と同じになるはずです。 FireCluster が構成されている場合は、それぞれの Mobile VPN ユーザーに対し 2 つの仮想 IP アドレスを追加する必要があります。

仮想 IP アドレスは、ローカル ネットワークとは異なるサブネットになければなりません。この仮想 IP アドレスは、ネットワーク上のその他の目的のためには使用できません。

1. 次へ をクリックします。
2. 新しい Mobile VPN with IPSec グループにユーザーを追加するには、ユーザーを追加する チェック ボックスを選択します。
3. 完了 をクリックします。
   作成した Mobile VPN の構成が、Mobile VPN with IPSec の構成 ダイアログ ボックスに表示されます。

次に、フェーズ 1 および フェーズ 2 の設定を編集して、 Mac OS X または iOS デバイスの VPN クライアントの設定に一致させる必要があります。

1. Mobile VPN with IPSec の構成 ダイアログ ボックスで、追加した構成を選択します。
2. 編集 をクリックします。
   Mobile VPN with IPSec ダイアログボックスが表示されます。
3. IPSec トンネル タブを選択します。

1. 認証 ドロップダウン リストから、SHA-2 のバリアントまたは SHA-1 を選択します。
2. 暗号化 ドロップダウン リストから、次のいずれかのオプションを選択します。
   - AES (128-bit)
   - AES (256-bit)
3. フェーズ 1 の設定 セクションで 詳細 ボタンをクリックします。
   フェーズ 1 の詳細設定 ダイアログボックスが表示されます。

1. SA の有効期限 を 1 時間に設定します。

Mac OS X または iOS デバイスの VPN クライアントは、1 時間後にキーを更新するように構成されます。このプロファイルを Mac OS X または iOS デバイスの VPN クライアントの接続にのみ使用する場合、SA の有効期間を 1 時間に設定し、クライアントの設定に合わせます。

サポートされているすべての VPN クライアントにこの VPN プロファイルを使用するには、SA の有効期間を 8 時間に設定します。SA の有効期間を 8 時間に設定すると、Shrew Soft VPN および WatchGuard IPSec Mobile VPN クライアントは 8 時間後にキーを更新しますが、Mac OS X または iOS デバイスの VPN クライアントはそれより小さい 1 時間をキーの更新値として使用します。

7. キーグループ ドロップダウン リストから、Diffie-Hellman グループ 2 を選択します。
8. その他の フェーズ 1 の詳細設定 は変更しないでください。
9. OK をクリックします。
10. フェーズ 2 の設定 セクションの プロポーザル をクリックします。

1. 認証 ドロップダウン リストから、SHA-2 バリアントまたは SHA1 を選択します。
2. 暗号化 ドロップダウン リストから、AES (128 ビット) または AES (256 ビット) を選択します。
3. キーの有効期限を強制的に終了する を 1 時間 および 0 KB に設定します。
4. キーの有効期限の強制 の設定で、有効 時間 を 1時間 に設定します。
5. キーの有効期限を強制的に終了する の設定で、トラフィック チェックボックスをオフにします。
6. OK をクリックします。
7. Mobile VPN with IPSec の編集 ダイアログ ボックスで、PFS チェック ボックスをオフにします。
   iOS デバイスの VPN クライアントは Perfect Forward Secrecy をサポートしていません。

1. OK をクリックします。
2. 構成ファイルを Firebox に保存します。

Mac OS X または iOS ユーザーが、選択した認証グループのメンバーであることを確認します。

次に、Mac OS X または iOS デバイスの VPNクライアント設定に、Firebox で構成した設定を追加します。

## iOS デバイスの VPN クライアントを構成する

iOS デバイスで VPN クライアント設定を手動で構成するには、以下の手順を実行します：

1. 設定 > 全般 > ネットワーク > VPN > VPN 構成の追加 の順に選択します。
2. VPN クライアントで次の設定を構成します:
   - サーバー — Firebox の外部 IP アドレス
   - アカウント — 認証サーバーのユーザー名
   - 証明書の使用 — このオプションは オフ に設定します
   - グループ名 — Firebox の Mobile VPN with IPSec の構成で選択したグループ名
   - シークレット — Firebox の Mobile VPN with IPSec 構成で設定したトンネルのパスフレーズ
   - ユーザーのパスワード — 認証サーバー構成のユーザーのパスワード

VPN 構成を追加した後、iOS デバイスの 設定 メニューに VPN スイッチが表示されます。

VPN クライアントを有効または無効にするには、VPN スイッチをクリックします。VPN 接続が確立されると、VPN アイコンがステータス バーに表示されます。

iOS デバイスの VPN クライアントは、iOS デバイスの使用中のみに VPN に接続されます。iOS デバイスが自動ロックした場合、VPN クライアントの接続が切断されることがあります。VPN クライアントは、手動で再接続できます。パスワードを保存することによって、パスワードを再入力することなく VPN クライアントを再接続することができます。パスワードを保存しないと、VPN クライアントを再接続する度にパスワードを再入力しなければなりません。

iOS 用の WatchGuard Mobile VPN アプリは、Apple App Store から入手することができなくなりました。

## Mac OS X デバイスで VPN クライアントを構成する

Firebox は、Mac OS X デバイス上の VPN クライアント用のクライアント構成ファイルを生成しません。ユーザーは、VPN クライアントの設定を手動で構成し、Firebox で構成されている設定に一致させる必要があります。

Mac OS X デバイスで VPN 設定を構成するには：

1. システム環境設定 を開き、ネットワーク を選択します。
2. リスト下部で + をクリックして新しいインターフェースを追加します。以下の設定を構成します。
   - インターフェース — VPN
   - VPN タイプ — Cisco IPSec
   - サービス名 — この接続で使用する名前を入力します
3. 作成をクリックします。
   新しい VPN インターフェースがネットワーク インターフェースのリストに表示されます。
4. リストで新しいインターフェースを選択します。以下の設定を編集します。
   - サーバー アドレス — Firebox の外部 IP アドレス
   - アカウント名 — 認証サーバーのユーザー名
   - パスワード — 認証サーバーのユーザーのパスワード
5. 認証設定 をクリックします。以下の設定を構成します。
   - 共有シークレット — Firebox の Mobile VPN with IPSec 構成で設定されているトンネルのパスフレーズ
   - グループ名 — Firebox の Mobile VPN with IPSec 構成で指定されているグループの名前
6. OS X メニュー バーに VPN ステータス アイコンを追加するには、メニューバーに VPN ステータスを表示する チェック ボックスをオンにします。
7. 接続 をクリックして VPN トンネルを開始します。

これらの設定を適用すると、VPN ステータス アイコンが Mac OS X デバイスのメニューバーに表示されます。

VPN クライアント接続を開始または停止するには、VPN ステータス アイコンをクリックします。

#### 関連情報

Mobile VPN with IPSec

フェーズ 1 の設定の詳細を定義する

フェーズ 2 の設定の詳細を定義する

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索