関連トピック

# Mobile VPN with IPSec 用の XTM デバイスを構成する

既存のユーザーのグループに対して Mobile VPN with IPSec を有効にしたり、または新しいユーザー グループを作成することができます。 グループのユーザーは、XTM デバイス認証サーバー、または XTM デバイス構成に含まれているサードパーティの認証サーバーを認証できます。

## Mobile VPN with IPSec グループを構成する

1. VPN > Mobile VPN with IPSec を選択します。
   Mobile VPN with IPSec ページが表示されます。

1. 追加 をクリックします。
   Mobile User VPN with IPSec 設定のページが表示されます。

1. グループ名 テクスト ボックスにグループ名を入力します。
   既存のグループの名前、または新しい Mobile VPN グループのグループ名を入力できます。 この名前は、すべてのインターフェイス名および VPN トンネル名に対してだけでなく、他の VPN グループ名に対しても一意にする必要があります。
2. グループ プロファイルを編集するには、以下の設定を構成します。

認証サーバー

この Mobile VPN グループに使用する認証サーバーを選択します。 内部 Firebox データベース (Firebox-DB) または RADIUS、VASCO、SecurID、LDAP、または Active Directory を使用してユーザーを認証できます。 選択された認証方法が有効になっていることを確認してください。

パスフレーズ

パスフレーズを入力し、このグループ内のユーザーに配布する Mobile VPN プロファイル (.wgx ファイル) を暗号化します。 共有キーでは、標準の ASCII 文字を使用する可能性があります。 認証に証明書を使用する場合、これは 証明書の PINです。

確認

パスフレーズを再度入力します。

プライマリ

このグループ内の Mobile VPN ユーザーが接続できるプライマリ外部 IP アドレスを入力します。 これは外部 IP アドレス、セカンダリ外部 IP アドレス、または外部 VLAN のいずれかです。 デバイスがドロップイン モードの場合、すべてのインターフェースに対して割り当てられた IP アドレスを使用します。

バックアップ

このグループ内の Mobile VPN ユーザーが接続できるバックアップ外部 IP アドレスを入力します。 このバックアップ IP アドレスはオプションです。 バックアップ IP アドレスを追加した場合、XTM デバイスの外部インターフェイスまたは VLAN に割り当てられている IP アドレスを指定してください。

セッション タイムアウト

Mobile VPN セッションがアクティブになることができる最大の時間を分単位で選択します。

アイドル タイムアウト

XTM デバイスがアイドル状態の Mobile VPN セッションを終了するまでの時間を分単位で指定します。 認証サーバーにタイムアウト値が設定されていない場合、セッションおよびアイドルのタイムアウト値は既定のタイムアウト値になります。 認証サーバーとして XTM デバイスを使用する場合、各 XTMデバイスのユーザー アカウントでタイムアウトが設定されるため、Mobile VPN グループのタイムアウトは常に無視されます。

セッションおよびアイドルのタイムアウトを、SA の有効期限 フィールドの値より長くすることはできません。
この値を設定するには、Mobile VPN with IPSec 設定 ダイアログ ボックスの IPSec トンネル タブをクリックして、フェーズ 1 の設定 の 詳細 をクリックします。 既定値は 8 時間です。

1. IPSec トンネル タブを選択します。
   IPSec トンネル ページが開きます。

1. 以下の設定を構成します。

エンド ユーザー プロファイルのパスフレーズを事前共有キーとして使用する

エンドユーザー プロファイルのパスフレーズをトンネル認証の事前共有キーとして使用するには、このオプションを選択します。 リモート デバイスでも同じ共有キーを使用する必要があります。 この共有キーでは、標準の ASCII 文字を使用する可能性があります。

証明書を使用

トンネル認証に証明書を使用するには、このオプションを選択します。
詳細については、Mobile VPN with IPSec トンネル認証用の証明書 を参照してください。

CA IP アドレス

証明書を使用している場合、認証機関として構成されている Management Server の IP アドレスを入力します。

タイムアウト

証明書を使用している場合、Mobile VPN with IPSec クライアントが認証機関から応答がない場合、認証機関に接続しなくなるまでの時間を秒で入力します。 この値は、既定のまま維持することをお勧めします。

フェーズ 1 の設定

VPN トンネルの認証および暗号化の方法を選択します。 これらの設定は、両方の VPN エンドポイントで同じである必要があります。 NAT Traversal、あるいはキー グループなどの高度な設定を行うには、詳細設定 をクリックして、フェーズ 1 の詳細設定を定義する を参照してください。

暗号化のオプションが、最も簡単で安全性の低いオプションから、最も複雑で安全性の高いオプションの順に表示されています。

DES

3DES

AES (128 ビット)

AES (192 ビット)

AES (256 ビット)

フェーズ 2 の設定

また、PFS (Perfect Forward Secrecy) を選択して有効にしたり、Diffie-Hellman グループを設定したりすることもできます。

他の定義設定を変更するには、詳細設定 をクリックして、 フェーズ 2 の設定の詳細を定義する を参照してください。

1. リソース タブを選択します。
   リソース ページが表示されます。

1. 以下の設定を構成します。

すべてのトラフィックにトンネル経由を許可する

すべての Mobile VPN ユーザーのインターネット トラフィックを VPN トンネル経由で送信するには、このチェック ボックスをオンにします。
すべての Mobile VPN ユーザーのインターネット トラフィックを VPN 経由で送信するには、このチェック ボックスをオンにします。 安全性は向上しますが、ネットワーク パフォーマンスが低減します。
このチェック ボックスをオンにしない場合は、Mobile VPN ユーザーのインターネット トラフィックがインターネットへ直接送信されます。 安全性は低くなりますが、ユーザーはより迅速にインターネットを閲覧できます。

許可されたリソース リスト

このリストには、Mobile VPN 認証グループのユーザーがネットワーク上でアクセスできるリソースが含まれます。

ネットワーク リソース リストに IP アドレスまたは ネットワーク IP アドレスを追加するには、ホスト IP または ネットワーク IP を選択して、アドレスを入力し、追加 をクリックします。

選択した IP アドレスまたはネットワーク IP アドレスをリソース リストから削除するには、リソースを選択して、削除 をクリックします。

仮想 IP アドレス プール

このリストには、トンネル上の Mobile VPN ユーザーによって使用される内部 IP アドレスが含まれます。

仮想 IP アドレス プールに IP アドレスまたは ネットワーク IP アドレスを追加するには、ホスト IP または ネットワーク IP を選択して、アドレスを入力し、追加 をクリックします。

仮想 IP アドレス プールから削除するには、ホストまたはネットワーク IP アドレスを選択し、削除 をクリックします。

仮想 IP アドレスの IP アドレスは、ネットワーク上の他の目的のためには使用できません。

仮想IP アドレスの詳細については、 バーチャル IP アドレスおよび Mobile VPNを参照してください。

1. 詳細 タブを選択します。
   詳細 ページが表示されます。

1. ライン管理 設定を以下の通り構成します。

接続モード

手動 — このモードでは、VPN トンネルが停止しても、クライアントは VPN トンネルを自動的に再起動しません。 これは、既定の設定です。

VPN トンネルを再起動するには、Connection Monitor で 接続 ボタンをクリックするか、または Windows デスクトップ ツールバー上にある Mobile VPN アイコンを右クリックし、接続 をクリックする必要があります。

自動— このモードでは、コンピュータが VPN を経由して到達できる送信先にトラフィックを送信すると、クライアントが接続を開始しようとします。 また、VPN トンネルが停止した場合に、クライアントは VPN トンネルを自動的に再起動しようとします。

可変— このモードでは、切断 をクリックするまで、クライアントは VPN トンネルを自動的に再起動しようとします。 切断した後は、接続 をクリックするまでは、クライアントは VPN トンネルを再起動しようとしません。

非アクティブ タイムアウト

接続モード を 自動 または 変数 に設定した場合、非アクティブ タイムアウトで設定した時間、トンネルで使用するネットワーク リソースからトラフィックがない時点まで、Mobile VPN with IPSec クライアント ソフトウェアは VPN 接続ネゴシエーションを再度試みません。

既定のライン管理の設定は 手動 または 0 秒 です。 いずれかの設定を変更すると、クライアント ソフトウェアを構成するために .ini ファイルを使用する必要があります。

1. 保存 をクリックします。
   Mobile VPN with IPSec ページが開き、グループ リストに新しい IPSec グループが表示されます。
2. 保存 をクリックします。

作成したグループのメンバーであるユーザーは、Mobile VPN with IPSec クライアント ソフトウェアに正しく構成ファイルをインポートするまで、接続できません。 構成ファイルを生成して、エンドー ユーザーに提供する必要があります。

編集したグループのエンドユーザー プロファイルを生成するために、以下の手順を行います。

1. VPN > Mobile VPN with IPSec を選択します。
   Mobile VPN with IPSec ページが表示されます。
2. クライアント ドロップダウン リストから、VPN クライアントを選択します。
3. 生成 をクリックします。

Fireware XTM Web UI は、.ini および .vpn モバイル ユーザー構成ファイルのみを生成できます。 .wgx ファイルを生成するには、Policy Manager を使用する必要があります。

#### 関連情報

Mobile VPN with IPSec 構成ファイルを生成する

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索