関連トピック

# 接続された Firebox 間で VPN を管理する

Dimension では、Dimension により管理される Firebox 間でハブ アンド スポーク VPN を作成および管理することができます。ハブ アンド スポーク VPN では、1 台の Firebox が BOVPN トンネルのハブまたはセントラル ロケーション、1 台の Firebox が BOVPN トンネルのスポークまたはリモート ロケーションになります。各 VPN に 1 台のハブ デバイスを追加する必要がありますが、同じハブ デバイスを使用する多くのスポーク デバイスを追加することができます。スポーク デバイスは別の BOVPN トンネルのハブ デバイスになることができますが、同じ BOVPN トンネルでハブとスポークになることはできません。

Dimension から BOVPN トンネルを作成する場合、VPN リソースを追加し、使用するセキュリティ テンプレートを指定します。VPN リソース は、BOVPN 経由でトラフィックを送信するために使用可能な IP アドレスのセットです。セキュリティ テンプレート は、BOVPN のゲートウェイとトンネルの構成で選択するパラメータのセットです。Dimension には、最高水準のセキュリティと WatchGuard が推奨する設定を有効にする組み込み セキュリティ テンプレート を搭載しています。カスタム セキュリティ テンプレートを作成することもできます。

Dimension が管理する 2 台の Firebox 間で作成する BOVPN トンネルは、トラフィックがハブ デバイスとスポーク デバイスの間で両方向で通過するように構成する、またはトラフィックが1方向で通過するように構成することができます。トラフィックをハブ デバイスと各スポーク デバイスの間でのみ許可するか (従来のハブ アンド スポーク VPN)、またはスポーク デバイス間で許可することができます (トンネル スイッチングによるハブ アンド スポーク)。VPN フェールオーバーで複数 WAN を使用して、外部インターフェイスを専用として使用したり制限したりすることができます。

Dimension から Managed VPN をセットアップする手順は、次を参照してください：Managed VPN を構成する.

## 従来のハブ アンド スポーク VPN

従来のハブ アンド スポーク VPN を構成する場合、各 Firebox で、1 つのゲートウェイ エンドポイントのペアを含む 1 つの BOVPN ゲートウェイを構成します。スポークのエンドポイントは動的 IP アドレスまたはドメイン名で構成し、ハブのエンドポイントは静的 IP アドレスで構成します。スポーク デバイスでゼロルート (0.0.0.0) を指定することもできます。この場合、インターネットへのトラフィックはハブ デバイスを経由します。

たとえば、スポーク デバイスの 192.168.1.0/24 からハブ デバイスの 10.0.1.0/24 までトラフィックをルートする 1 つのトンネルを作成し、両方向のトラフィックを許可する場合、トンネルの構成は次のようになります：

192.168.1.0/24 <-> 10.0.1.0/24

## トンネル スイッチングによるハブ アンド スポーク VPN

トンネル スイッチングによるハブ アンド スポーク VPN の場合も、各 Firebox で、1 つのゲートウェイ エンドポイントのペアを含む 1 つの BOVPN ゲートウェイを構成します。トンネル ルートを指定するときに、各スポーク デバイスの VPN リソースがハブ デバイスとハブ デバイスに接続された他のスポーク デバイスと通信することを許可するように各ルートを構成します。

たとえば、各スポーク デバイスで、ハブ デバイス (10.0.1.0/24) と他のスポーク デバイス (スポーク A：92.168.1.0/24、スポーク B: 192.168.2.0/24) の VPN リソースを含む 1 つのトンネルを作成し、そのトンネルで両方向のトラフィックを許可する場合、トンネル ルートは次のようになります：

トンネル A — スポーク A とハブ デバイスの間のトンネル

192.168.1.0/24 <-> 10.0.1.0/24

192.168.1.0/24 <-> 192.168.2.0/24

トンネル B — スポーク B とハブ デバイスの間のトンネル

192.168.2.0/24 <-> 10.0.1.0/24

192.168.2.0/24 <-> 192.168.1.0/24

この例では、トラフィックはハブ デバイス経由でスポーク A からスポーク B までルートされます。

## 複数 WAN によるハブ アンド スポーク VPN

VPN フェールオーバーのハブ アンド スポーク VPN の構成で複数 WAN を使用して、外部インターフェイスを専用として使用したり制限したりすることができます。

### VPN フェールオーバー

VPN フェールオーバー のハブ アンド スポーク VPN を構成する場合、トンネル内のハブ デバイスとスポーク デバイスの両方に 2 つの外部インターフェイスを構成します。ハブ デバイスとスポーク デバイスの間に 1 つのトンネルのみを追加する必要がありますが、VPN フェールオーバーに外部インターフェイスを構成する必要があります。

各ハブ デバイスとスポーク デバイスで、BOVPN のゲートウェイの構成に 2 つ以上のゲートウェイ エンドポイントのペアを追加します。次にセキュリティ テンプレートを構成に関連付けます。これには、フェールオーバーのオプションを決定する IKE キープアライブまたは DPD の設定が含まれます。ゲートウェイ エンドポイントのペアはゲートウェイの構成で指定した順序で生成されます。

たとえば、ハブ デバイスに 3 つの外部インターフェイス (H1、H2、H3) があり、スポーク デバイスに 2 つの外部インターフェイス (S1、S2) がある場合、ゲートウェイ エンドポイントのペアの順序は次のようになります：

H1–S1、H2–S1、H3–S1、H1–S2、H2–S2、H2–S2

この例では、トンネルに 2 つ以上のゲートウェイ エンドポイントのペアがあり、ハブ デバイスとスポーク デバイス (192.168.1.0/24) の間でトラフィックを許可するように構成されており、両方向のトラフィックが許可されている場合、ゲートウェイ エンドポイントのペアは次のようになります：

ハブ デバイスのゲートウェイ エンドポイントのペアの順序

ハブ External-1 <-> スポーク External-1

ハブ External-2 <-> スポーク External-1

ハブ External-1 <-> スポーク External-2

ハブ External-2 <-> スポーク External-2

スポーク デバイスのゲートウェイ エンドポイントのぺの順序

IP アドレスは逆ですが、順序は同じです:

スポーク External-1 <-> ハブ External-1

スポーク External-1 <-> ハブ External-2

スポーク External-2 <-> ハブ External-1

スポーク External-2 <-> ハブ External-2

### 専用外部インターフェイス

もう一つのオプションは、スポーク デバイスで 2 つ以上の外部インターフェイスを有効にする方法です。これにより、特定の外部インターフェイスを使用して特定の場所にトラフィックを送信することができます。

このタイプのハブ アンド スポーク VPN では、各スポーク デバイスで、VPN に加わっているローカル インターフェイスへの BOVPN ゲートウェイを構成します。次に各ゲートウェイに BOVPN トンネルを構成し、そのゲートウェイに特定の VPN リソースを関連付けます。

たとえば、インターフェイスごとに、スポーク デバイスを 2 つの BOVPN ゲートウェイと 2 つの BOVPN トンネルで構成します。次にハブ デバイスを 2 つ以上の外部インターフェイスで構成し、ハブ デバイスに 2 つの BOVPN ゲートウェイと ２ つの BOVPN トンネルを追加します。ゲートウェイを構成するときに、トラフィックをルートさせるインターフェイスを指定します。これにより、トンネルを通過するトラフィックの宛先をコントロールすることができます。

### 外部インターフェイスを制限する

Firebox で構成されている外部インターフェイスの数に関係なく、特定のインターフェイスを通過するトラフィックを制限する VPN 設定を使用することができます。ハブ デバイスとスポーク デバイスの設定を構成するときに、トンネル経由でトラフィックを送信するために使用する外部インターフェイスを指定します。

## セキュリティ テンプレート

セキュリティ テンプレートは、BOVPN トンネルのフェーズ 1 とフェーズ 2 の設定を定義し、ハブ アンド スポーク VPN に含まれるすべてのFirebox にこれらの設定を構成します：

- NAT Traversal (フェーズ 1)
- IKE キープ アライブ (フェーズ 1)
- DPD (フェーズ 1)
- 変換の設定 (フェーズ 1)
  - 認証
  - 暗号化
  - SA ライフタイム
  - キー グループ
- Perfect Forward Secrecy (フェーズ 2)
- IPsec プロポーザル (フェーズ 2)
  - 認証
  - 暗号化
  - キー期限の強制終了とトラフィックの強制

Managed VPN を構成する場合、フェーズ 1 の設定が自動的に構成されます。ハブ デバイスとスポーク デバイスの両方が BOVPN トンネルに静的 IP アドレスを使用している場合、モードを メインからアグレッシブにFailback に設定できます。BOVPN トンネルの 2 台以上のデバイスが動的アドレスウィ使用している場合、モードを アグレッシブ に設定する必要があります。次に必ずフェーズ 2 のプロポーザルをカプセル化セキュリティ ペイロード (ESP) に設定します。

## VPN リソース

VPN リソース は BOVPN トンネル ルートで使用される IP アドレスを指定します。これらの IP アドレスは BOVPN トンネル上で共有されるリソースです。各 VPN リソースには、トンネルで使用可能なホストおよび/またはネットワークの IP アドレスのリストが含まれています。

従来のハブ アンド スポーク VPN を構成する場合、個々の IP アドレス間のトラフィックの方向を指定することができます。各 IP アドレスに 1 - 1 NAT アドレスを構成することもできます。

VIF BOVPN トンネルを追加する場合、IP アドレスごとに、各 デバイスに関連付けられたルートにメトリックを構成できます。

## ゲートウェイ

ハブ デバイス と スポーク デバイス ウィザードを実行して Dimension からのManaged VPNPN を構成する際、特定のネットワークに接続するのに Firebox のどの外部インターフェイスを使うのかを指定し、ハブアンドスポーク BOVPN トンネルで使用するようにゲートウェイを構成します。また、VPN リソースをトンネルで使用するように構成します。

#### 関連情報

Managed VPN を構成する

ホームページについて

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索