関連トピック

# Fireware から Edge 10.x に VPN を設定する（WSM）

Branch office virtual private network (BOVPN) トンネルは、インターネット上でデータを交換するためのネットワークやホストとネットワークのセキュアウェイです。このトピックでは、Policy Manager v11.x と Edge Web UI v10.x の手動 BOVPN トンネルを定義する方法を説明します。

Fireware Web UI での構成と同じ例については、次を参照してください：Fireware v11.x から Edge v10.x に VPN を設定する（Web UI）.

このドキュメントでは、BOVPN ダイアログ ボックスのさまざまな設定とこれらの構築されたトンネルでの影響の詳細を説明しません。特定の設定の詳細については、以下のリソースを使用してください。

- 手動 Branch Office VPN について
- 手動 BOVPN ゲートウェイを構成する
- 手動 BOVPN トンネルを構成する

## IP アドレスとトンネルの設定の収集

Manual BOVPN トンネルを作成するには、まずIPアドレスを収集し、エンドポイントで使用される設定を決定します。このドキュメントを印刷し、使用する値を書き留め参照できるように示しておくと、Policy Manager および Edge 10.x 管理ページで設定を入力する時に便利な場合があります。

このドキュメントでは、両方のエンドポイントには静的外部 IP アドレスが必要です。動的外部 IP アドレスを持つデバイスへの BOVPN トンネルについては、次を参照してください：BOVPN ゲートウェイのゲートウェイ エンドポイントを定義する.

2つのデバイスのうち 1 つのデバイスのみの管理者である場合、他の管理者に表を提供して、フェーズ 1 とフェーズ 2 の設定に同じ値を入力しているかどうかを確認できます。

VPN エンドポイントを正しく構成され、両方のデバイスでフェーズ 1 とフェーズ 2 の設定が同じであることを確認します。設定が一致しないと、トンネルを作成することはできません。

設定がリストにない場合は、既定値を変更しないでください。

### BOVPN トンネルの設定

サイト A (Fireware v11.x を使用する XTM デバイス)

パブリック IP アドレス： ______________________________

プライベート IP アドレス： ______________________________

サイト B (Edge 10.x を使用する Firebox XEdge)

パブリック IP アドレス： ______________________________

プライベート IP アドレス： ______________________________

### フェーズ 1 の設定(両側に同じ値を使用する必要があります。)

IKE キープアライブ か デッド ピア ディテクション (RFC3706) のいずれかを選択します。両方を選択しないでください。両方のエンドポイントが Dead Peer Detection をサポートしている場合は、Dead Peer Detection を選択します。両方のエンドポイントが WatchGuard デバイスであり、そのうち 1 つのデバイスのみ Dead Peer Detection をサポートする場合は、IKEキープアライブ を選択します。IKE キープアライブは、Firebox または XTM デバイスのみで使用されます。エンドポイントのいずれかが別の製造元のデバイスである場合、IKE キープ アライブを選択しないでください。

認証メソッド：事前共有済みキーを使用 を選択します。

モード (いずれかを選択)：メイン____ アグレッシブ____

事前共有キー： ______________________________

NAT トラバース：はい ___ いいえ ___

NAT Traversal キープアライブ間隔：

IKE キープアライブ：はい ___ いいえ ___

IKE キープアライブ メッセージ間隔： ________________

IKE キープアライブ最大失敗回数： ________________

Dead Peer Detection (RFC3706)：はい ___ いいえ ___

デッド ピア ディテクション トラフィックのアイドル タイムアウト：________________

デッド ピア ディテクション最大再試行回数： ________________

認証アルゴリズム (いずれかを選択)：SHA1____ MD5____

暗号化アルゴリズム (いずれかを選択)：DES____ 3DES____ AES-128____ AES-192____ AES-256____

SA の有効期間 ________________

SA の有効期限の単位として、 時間数を選択します。

Diffie-Hellman グループ (いずれかを選択)：1____ 2____ 5____

### フェーズ 2 の設定(両側に同じ値を使用する必要があります。)

種類：AH ____ ESP ____

認証アルゴリズム (いずれかを選択)：なし____ MD5____ SHA1____

暗号化アルゴリズム (いずれかを選択)：DES____ 3DES____ AES-128____ AES-192____ AES-256____

キーの有効期限を強制的に終了する (いずれかを選択)：有効____ 無効____

Perfect Forward Secrecy (Diffie-Hellman グループ)：無効____ Group1____ Group2____ Group5____

フェーズ 2 キーの有効期限 (時間) ________________

フェーズ 2 キーの有効期限 (キロバイト) ________________

## トンネルの設定の例

このページでは、前のページで示したフィールド、設定の例について説明します。これらの設定は、このドキュメントで使用するスクリーンショットで示した設定に対応します。

サイト A (Fireware v11.x を使用する XTM デバイス)

パブリック IP アドレス：203.0.113.0

プライベート ネットワーク IP アドレス：10.0.1.0/24

サイト B (Edge 10.x を使用する Firebox XEdge)

パブリック IP アドレス：198.51.100.0

プライベート ネットワーク IP アドレス：10.50.1.0/24

### フェーズ 1 の設定(両側に同じ値を使用する必要があります。)

認証メソッド：事前共有済みキーを使用 を選択します。

モード (いずれかを選択)：メイン

事前共有済みキー：SiteA2SiteB

NAT トラバース：Yes

NAT トラバース キープ アライブ間隔：20 秒

IKE キープアライブ：No

IKE キープアライブ メッセージ間隔：なし

IKE キープアライブ最大失敗回数：なし

Dead Peer Detection (RFC3706)：Yes

Dead Peer Detection トラフィックのアイドル タイムアウト：20 秒

Dead Peer Detection 最大再試行回数：5

認証アルゴリズム (いずれかを選択)：SHA-1

暗号化アルゴリズム (いずれかを選択)：3DES

SA の有効期間：8

SA の有効期限の単位として、 時間数を選択します。

Diffie-Hellman グループ (いずれかを選択)：2

### フェーズ 2 の設定(両側に同じ値を使用する必要があります。)

種類：ESP

認証アルゴリズム (いずれかを選択)：SHA-1

暗号化アルゴリズム (いずれかを選択)：AES (256 ビット)

キーの有効期限を強制的に終了する (いずれかを選択)：SNMP 管理ステーションとトラップを

Perfect Forward Secrecy (Diffie-Hellman グループ)：無効

フェーズ 2 のキーの有効期限(時間)：8

フェーズ 2 のキーの有効期限 (キロバイト)：128 K

WSM v11.x と Edge v10.2.2 以降のバージョンを使用すると、フェーズ 1 とフェーズ 2 の設定の例が既定の設定に一致します。これは、WSM 10.2.2 以降のバージョンの既定の設定にも一致します。WSM や Edge ソフトウェアの他のバージョンに一致しません。

## サイト A、Fireware 11.x を構成する

Policy Manager から、VPN ゲートウェイを追加するには、以下の手順を実行します：

1. VPN > Branch Office ゲートウェイ の順に選択します。
   ゲートウェイ ダイアログ ボックスが表示されます。
2. 追加 をクリックします。
   新しいゲートウェイ ダイアログ ボックスが表示されます。

1. ゲートウェイ名 テキスト ボックスに、Policy Manager のこのゲートウェイを識別する名前を入力します。
2. 全般設定 タブをクリックします。
3. 認証メソッド エリアで、事前共有キーの使用 を選択します。共有キー を入力します。
   共有キーには、標準の ASCII 文字のみを使用する必要があります。
4. ゲートウェイ エンドポイント セクションで、追加 をクリックします。
   新しいゲートウェイ エンドポイントの設定 ダイアログ ボックスが表示されます。

1. ローカル ゲートウェイ セクションで、IP アドレスで指定 を選択します。
2. IP アドレスドロップダウン リストからサイト A Firebox の外部 (パブリック) IP アドレスを選択します。すべての設定した IP アドレスがリストに表示されます。
3. 外部インターフェイス ドロップダウン リストからサイト A の Firebobox の外部 (パブリック) IP を持つインターフェイスを選択します。
4. リモートゲートウェイ セクションで、静的 IP アドレス を選択します。
5. サイト B Firebox の外部 (パブリック) IP アドレスを入力します。
6. トンネル認証用ゲートウェイ ID の設定 で、IP アドレスで指定 を選択します。
7. IP アドレス としてサイト B Firebox の外部 (パブリック) IP を入力します。
8. OK をクリックして、新しいゲートウェイ エンドポイントの設定 ダイアログ ボックスを閉じます。
   定義したゲートウェイ ペアが、ゲートウェイ エンドポイントのリストに表示されます。

### フェーズ 1 の設定を構成する

IPSec 接続のフェーズ 1 では、2 つのピアによってセキュリティで保護され認証されたチャネルが構成され、通信に使用できるようになります。これは ISAKMP Security Association (SA) と呼ばれています。

Policy Manager で:

1. フェーズ 1 の設定 タブをクリックします。

1. モード については、前のセクションで BOVPN トンネル設定に選択したとおり、メイン または アグレッシブ をクリックします。
   両方のエンドポイントには静的 IP アドレスがあるため、例ではメイン モードを使用します。1 つのエンドポイントには動的 IP アドレスがある場合、アグレッシブ モードを使用します。
2. BOVPN トンネル設定を使用して、NAT Traversal、IKE キープアライブ、または デッド ピア ディテクション (RFC3706) のどれを選択するかを決定します。XTM デバイスと Edge v10.2.2 以降の間の BOVPN トンネルについては、NAT Traversal と デッド ピア ディテクション を選択することをお勧めします。
3. 設定の変換 エリアで、既定の変換を選択して、編集 をクリックします。

1. 認証 および 暗号化 ドロップダウン リストから、BOVPN トンネルの設定に選択した方法を選択します。
2. SA の有効期限 に BOVPN トンネルの設定で指定した設定を入力し、ドロップダウン リストから 時間 を選択します。
3. キー グループ ドロップダウン リストから、希望の Diffie-Hellman グループを選択します。
4. OK をクリックします。その他のすべてのフェーズ 1 の設定は、デフォルト値のままにしてください。
5. OK をクリックして、新しいゲートウェイ ダイアログ ボックスを閉じます。
   追加したゲートウェイがゲートウェイのリストに表示されます。

1. 閉じる をクリックして、ゲートウェイ ダイアログ ボックスを閉じます。

### VPN トンネルを追加する

ゲートウェイを定義したら、エンドポイント間にトンネルを作成できます。トンネルの作成処理には、以下の作業が含まれています。

- ルート (トンネルのローカルおよびリモート エンドポイント) を指定します。
- Internet Key Exchange (IKE) ネゴシエーションのフェーズ 2 の設定の構成

Policy Manager で:

1. VPN > Branch Office トンネル の順に選択します。
   Branch Office IPSec Tunnels ダイアログ ボックスが表示されます。
2. 追加 をクリックします。
   新しいトンネル ダイアログ ボックスが表示されます。

1. トンネル名 テキスト ボックスに、トンネルの名前を入力します。
2. ゲートウェイ ドロップダウン リストから、直前に作成したゲートウェイを選択します。
3. BOVPN-Allow.in および BOVPN-Allow.out ポリシーにトンネルを追加する場合は、アドレス タブの このトンネルを BOVPN-Allow ポリシーに追加する チェック ボックスを選択します。これらのポリシーはトンネル ルートに一致するすべてのトラフィックを許可します。トンネルを経由するトラフィックを制限するには、このチェック ボックスをオフにし、BOVPN Policy Wizard を使用して、トンネル経由を許可するトラフィックの種類に対するポリシーを作成します。詳細については、次を参照してください: カスタム トンネル ポリシーを定義する.
4. アドレス エリアで、追加 をクリックします。
   トンネル ルートの設定 ダイアログ ボックスが表示されます。

1. ローカル ドロップダウン リストから、ローカル (プライベート) ネットワーク アドレスを選択します。これは、サイト A プライベート ネットワーク IP アドレスです。横にあるボタンをクリックして、ホスト IP アドレス、ネットワーク アドレス、ホスト IP アドレスの範囲、または DNS 名を入力することもできます。これらは、トンネルを通じて通信するローカル XTM デバイスの配下にあるデバイスです。
2. リモート ボックスに、リモート (プライベート) ネットワーク アドレスを入力します。これは、サイト B のプライベート ネットワーク アドレスです。横にあるボタンをクリックして、ホスト IP アドレス、ネットワーク アドレス、ホスト IP アドレスの範囲、または DNS 名を入力することもできます。これらは、トンネルを通じて通信するリモート Firebox XEdge の配下にあるデバイスです。
3. 方向 ドロップダウン リストから、トンネルの方向をクリックします。トンネルの方向によって、VPN トンネルのどちらのエンドポイントからトンネルを経由したVPN 接続が開始されるかが決定されます。
4. OK をクリックします。
   新しいトンネル ダイアログ ボックスのアドレス タブにトンネル ルートが表示されます。

### フェーズ 2 の設定を構成する

フェーズ 2 の設定には、セキュリティ アソシエーション (SA) の設定が含まれています。SA は、データ パケットが 2 つのエンドポイント間で送信される場合に、どのようにセキュリティが保護されるかを定義するものです。SA には、エンドポイント間のトラフィックの処理方法について XTM デバイスが必要とするあらゆる情報が含まれています。

1. 新しいトンネル ダイアログ ボックスで、フェーズ 2 の設定 タブをクリックします。

1. Perfect Forward Secrecy (PFS) を有効にするには、PFS チェック ボックスをオンにします。PFS を有効にすると、ドロップダウン リストから正しい Diffie-Hellman グループを選択します。
2. IPSec プロポーザル エリアで、既定のプロポーザルをクリックしてから、削除 をクリックします。
3. 追加 をクリックします。
   新しいフェーズ 2 のプロポーザル ダイアログ ボックスが表示されます。

1. 新しいフェーズ 2 のプロポーザルの作成 をオンにします。
2. 名前 テキスト ボックスに、新しいプロポーザルの名前を入力します。
3. 種類 ドロップダウン リストから、ESP または AH を選択します。
4. BOVPN トンネルの設定で選択したように、フェーズ 2 の認証 および 暗号化 の設定を選択します。
5. 一定時間が経過するか一定量のトラフィックが通過した後で、ゲートウェイのエンドポイントで新しいキーを生成または交換するには、キーの有効期限を強制的に終了する セクションの設定を構成します。キーの有効期限が切れた後の時間、およびバイト数を選択します。
6. OK を 2 回クリックして、Branch Office IPSec トンネル ダイアログ ボックスに戻ります。
   追加したトンネルが Branch Office IPSec Tunnels のリストに表示されます。

1. 閉じる をクリックし、XTM デバイスへの変更を保存します。

サイト A のXTM デバイスが構成されます。

## サイト B、Edge v10.x を構成します。

Firebox X Edge があるサイトでゲートウェイを構成することができます。

システム ステータスページに接続するには、ブラウザのアドレス バーにhttps://と入力し、続けて Firebox X Edge の信頼済みインターフェイスの IP アドレスを入力します。

1. VPN > Manual VPN の順に選択します。
   Manual VPN ページが表示されます。

1. 追加をクリックします。
   ゲートウェイの追加 ページが表示されます。

1. IPSec トンネルの名前を入力します。標準の ASCII 文字を使用し、スペースは使用しないでください。
   これは、Fireware Firebox でのトンネル名に一致する必要はありません。
2. 認証メソッド には、共有キー を選択します。
3. 共有キー としては、サイト A の構成に入力したキーと同じキーを入力します。

### フェーズ 1 の設定を構成する

1. BOVPN トンネルの設定に指定したモードと同じように、メイン モード または アグレッシブ モード を選択します。
2. ローカル ID の横に Edge のパブリック IP アドレスを入力します。
3. 種類 の横にある IP アドレス を選択します。
4. 種類 列の一番下にある リモートゲートウェイ構成 エリアで、IP アドレス を選択します。
5. リモートゲートウェイ IP および リモート ID 列の一番下に、サイト A の Firebox のパブリック IP を入力します。
6. 追加 ボタンをクリックします。
7. BOVPN トンネルの設定に指定した認証アルゴリズムおよび暗号化アルゴリズムを選択します。
8. ネゴシエーションの有効期限の指定の 2 つのテキスト フィールドにキロバイト数と時間数を入力します。
9. Diffie-Hellman グループ には、1、2、または 5 を選択します。
10. BOVPN トンネルの設定を使用して、IKE キープアライブ メッセージを送信する か デッド ピア ディテクション のどちらを選択するかを決定します。BOVPN トンネルの設定から値を入力します。

### フェーズ 2 の設定を構成する

1. BOVPN トンネルの設定 ページで指定した認証アルゴリズムおよび暗号化アルゴリズムを選択します。
2. IPSec のための TOS 有効化 を選択しないでください。
3. Perfect Forward Secrecy (PFS) を有効にする を選択しないでください。
4. キーの有効期限の指定 テキスト ボックスに、キロバイト数 と 時間数 を入力します。
5. ローカル ネットワークとして、サイト B の Edge のプライベート ネットワーク IP アドレスを入力します。
6. リモートネットワーク には、サイト A の XTM デバイスのプライベート ネットワーク IP アドレスを入力します。
7. 追加 ボタンをクリックします。
8. Edge 構成のすべて設定を保存するには、送信 をクリックします。

### VPN キープ アライブを構成する

VPN トンネルを経由した接続がない状態でも VPN トンネル VPN トンネルをオープンにするには、トンネルの反対側にあるコンピュータの IP アドレスをエコー ホストとして使用します。Firebox X Edge では、指定したホストに毎分 ping が送信されます。常にオンラインになっていて、ping メッセージに応答できるホストの IP アドレスを使用します。複数の IP アドレスを入力して、Firebox から異なるトンネルを経由して複数のホストに ping を送信できるようにすることもできます。

1. VPN > VPN キープアライブ の順に選択します。
   VPN キープ アライブ ページが表示されます。

1. エコー ホストの IP アドレスを入力します。追加をクリックします。
2. エコー ホストを追加するには、手順 3 を繰り返します。
3. 送信 をクリックします。

サイト B で Firebox XEdge が構成されました。

トンネルがネゴシエートされ、トンネルを経由してトラフィックが送信されます。トンネルが動作しない場合、トンネルを起動しようとした時間の両方の Firebox デバイス上のログ ファイルを参照します。障害の発生場所および問題のある設定を示すログ メッセージを参照する必要があります。また、Fireware ボックスの Firebox System Manager を使用して、リアルタイムで XTM デバイスのログ メッセージを確認することができます。Edge にこれらのメッセージを表示するには、Firebox X Edge Web Manager で ログ記録 をクリックします。

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索