関連トピック

# VASCO IDENTIKEY Server と Firebox の統合による 2 要素認証

VASCO IDENTIKEY Server と Firebox の 2 要素認証を使用するには、必要な情報を Firebox に送信するように IDENTIKEY Server を構成し、2 要素認証のためにトークンを正しく生成するように DIGIPASS 監査ビューアを構成し、さらに、認証のために IDENTIKEY Server を使用するように Firebox を構成する必要があります。また、VASCO IDENTIKEY Server を使って認証するために Mobile VPNwith IPSec を構成することができます。

このトピックの手順は、IDENTIKEY Server、DIGIPASS 監査ビューア、Mobile VPNwith IPSec、および Firebox が、ネットワークで正しく機能するように、すでに構成されていることを前提とします。以降のセクションの手順は、このソリューションのすべての部分が通信できることを確認するために必要な設定の構成のみついて、特に焦点を当てています。

## 開始する前に

次の点を確認してください:

- VASCO サーバーがインストールされ構成されている。
- VASCO サーバー上でユーザーが構成されている。
- VASCO サーバー上でトークンがユーザーに割り当てられている。
- Firebox に基本構成があり、VASCO IDENTIKEY Server と通信することができる。

## VASCO サーバーを構成する

既存の VASCO IDENTIKEY Server を Firebox 構成と統合することで、DIGIPASS トークンを 2 要素認証に使用することができようにするには、VASCO サーバー上でこの手順を完了する必要があります。

- VASCO IDENTIKEY Server 上で認証メソッドのポリシーを作成する。
- 認証用の RADIUS クライアント コンポーネントのレコードを指定する。
- ファイアウォールへの認証を許可するようにユーザーを構成する

### ステップ 1 — 認証用のポリシーを作成する

VASCO サーバーを構成するための最初のステップは、認証中に Firebox がサーバーに接続する時に使用する認証システムを指定するポリシーを VASCO サーバー上で作成することです。各ポリシーは認証要求の管理方法を指定します。たとえば、ローカル認証 ポリシーは、トラフィックを IDENTIKEY Server で認証することを指定しますが、バックエンド 認証ポリシーは、Active Directory または RADIUS サーバーなどのサードパーティ認証サーバーをユーザー認証に使用することを指定します。

ポリシーを使用して、グループ メンバーシップに基づいて Firebox で認証することができるユーザーを指定するか、または、ユーザーが登録済みまたはトークン割り当て済みの場合にサーバー ユーザー データベースにユーザー情報を追加することもできます。

新しいポリシーを作成する場合、次のいずれかの方法を選択することができます。

- メッセージを
  既存のポリシーをコピーして新しいポリシーを作成すると、元のポリシーで構成されたすべての設定が新しいポリシーに含められます。その後、新しいポリシーを必要に応じて変更することができます。コピーされた既存のポリシーを後で変更する場合、それらの変更は新しいポリシーに反映されません。
- 継承
  このオプションでは、既存のポリシーを選択してテンプレートとして使用します。新しいポリシーが、既存のポリシーから設定を継承して、既存のポリシーにリンクされます。その後、新しいポリシーを必要に応じて変更することができます。継承されたポリシーで変更したフィールドは、元のポリシーへのリンクが解除されます。元のポリシーを後で変更する場合、新しいポリシーで変更していないフィールドへの変更が自動的に新しいポリシーに反映されますが、新しいポリシーで変更したフィールドへの変更は新しいポリシーには反映されません。

上記のどちらかの方法で新しいポリシーを作成した後で、ポリシーを編集してポリシーのための正しい認証パラメータを指定します。

継承メソッドで新しいポリシーを作成するには:

1. 新しいポリシーの作成 ページで、ポリシー ID テキスト ボックスに、ポリシーの説明用の名前を入力します。
   たとえば、WatchGuard と入力します。
2. 説明 テキスト ボックスに、ポリシーの目的を入力します。
3. 継承元ドロップダウン リストから、既存のポリシーを選択します。
   この例では、IDENTIKEY Server を使用するために Identikey ローカル認証を選択します。

1. 作成 をクリックします。
   新しいポリシーが、ポリシー リストに追加されます。

コピー メソッドで新しいポリシーを作成するには:

1. ポリシー ページで、ポリシーを選択します。この例では、IDENTIKEY Server で認証したいので、Identikey ローカル認証 ポリシーを選択します。
   ポリシーの管理 ページに、Identikey ローカル認証ポリシーが表示されます。

1. コピー をクリックします。
   ポリシーのコピー ページが表示されます。

1. ポリシー ID テキスト ボックスに、ポリシーの説明用の名前を入力します。
   この例では、WatchGuard と入力します。
2. 説明 テキスト ボックスに、ポリシーの目的を入力します。
3. 作成 をクリックします。
   ポリシーが作成されて、ポリシー リストに表示されます。

新しいポリシーを編集して認証のためのパラメータを指定するには:

1. ポリシーの管理 ページで新しいポリシーを探し、編集 をクリックします。
   ポリシーの編集 ページが表示されます。
2. ユーザー タブを選択します。
3. ユーザー セクションで、ユーザー認証の設定を構成します。
4. ページの最下部までスクロールします。
5. RADIUS 属性に応答するドロップダウンリストから、はい を選択します。
6. RADIUS 属性応答グループリスト セクションで、追加 をクリックして Filter-Id と入力します。
   このフィールドでは大文字と小文字が区別されます。

1. 行われた変更を保存します。

### ステップ 2 — RADIUS クライアント コンポーネント レコードを作成する

RADIUS プロトコルで Firebox から IDENTIKEY Server に送信されるクライアント認証要求を有効化するには、RADIUS クライアント コンポーネント レコードを IDENTIKEY Server 構成に追加する必要があります。IDENTIKEY Server は、認証に必要な以下の項目を検索するのにコンポーネント レコードを使用します。

- RADIUS クライアントと通信するために使用する共有シークレット。
- 認証要求に使用するポリシー。

IDENTIKEY Server をインストールした時に、既定の RADIUS クライアント コンポーネント レコードが、自動的に作成されています。このレコードを削除して、各場所で使用するために特定のレコードを作成することができます。

RADIUS クライアント コンポーネント レコードを作成するには:

1. IDENTIKEY Server Web UI から、クライアント タブを選択します。
2. ドロップダウン リストから 登録 を選択します。
   新しいクライアントの作成 ページが表示されます。
3. クライアントの種類 テキスト ボックスの横の リストから選択 をクリックして、RADIUS クライアント を選択します。
4. 場所 テキスト ボックスで、Firebox が IDENTIKEY Server へのコンタクトに使用するプライベート IP アドレスを入力します。たとえば、Firebox の信頼済みインターフェイスを入力します。
5. ポリシー ID リストで、ステップ 1 で作成した新しいポリシーを選択します。
6. プロトコル ID ドロップダウン リストから、RADIUS を選択します。
7. 共有シークレット および 共有シークレットの確認 テキスト ボックスに、Firebox と IDENTIKEY Server 間のトラフィックを暗号化するために使用する共有シークレットを入力します。
   Firebox の認証設定を構成するときには、必ず共有シークレットを覚えておいてください。

1. 作成 をクリックします。
   クライアントの管理: RADIUS クライアント ページに、指定した設定が表示されます。

### ステップ 3 — 認証用のユーザーを指定する

次に、Firebox への認証を許可するユーザーを指定する必要があります。ユーザーの選択時に、管理者権限がないユーザーを選択します。管理者権限を持つユーザーを選択した場合、新しいポリシーの既定の設定により、トークンを認証に使用する管理者権限を持つユーザーからの接続が拒否されるため、トークンを使用して認証することができません。管理者権限を持つユーザーを選択する必要がある場合、ポリシーの設定の ユーザー タブの設定で既定の設定を変更します。詳細については、Firebox と IDENTIKEY Server 間の接続のトラブルシューティングを行う セクションを参照してください。

IDENTIKEY Server が、ユーザートークンを受け入れて情報を Firebox に受け渡すようにするために、ユーザー属性の設定を構成する時に、Filter-Id パラメータを追加する必要があります。Filter-Id パラメータは、各ユーザーのどのユーザーおよびグループ メンバーシップ情報にどのポリシーを適用するかを Firebox に通信します。また、どの RADIUS グループをユーザーに使用するかを指定する必要があります。Filter-Id パラメータが管理できる値は 1 つのみであるため、ユーザーは 1 つの RADIUS グループのみのメンバーにすることができます。Firebox 上でポリシーおよび VPN の設定を構成する時に、同じ RADIUS グループを指定します。

1. ユーザータブを選択します。
   IDENTIKEY Server 上に構成されたユーザーのリストが表示されます。
2. Firebox への認証を有効化するユーザーを選択します。
   少なくとも一つのトークンがこのユーザーに割り当てられていることを確認します。
3. ユーザー属性 タブを選択します。
4. RADIUS 属性を追加 をクリックします。
   新しいユーザー属性の作成 ページが表示されます。
5. 属性名 ドロップダウン リストから、Filter-Id を選択します。
6. 属性グループ テキスト ボックスに、Filter-Id と入力します。
7. 値 テキスト ボックスに、このユーザーの RADIUS グループの名前を入力します。
   たとえば、セールス、マーケティング、または IT と入力します。Firebox の構成時に、この RADIUS グループを指定します。

1. 作成 をクリックします。
   追加した Filter-ID RADIUS 属性が、このユーザーの ユーザーの管理 ページ上の ユーザー属性 タブに表示されます。

### Firebox と IDENTIKEY Server 間の接続のトラブルシューティングを行う

Firebox と IDENTIKEY Server 間の接続に問題がある場合は、IDENTIKEY DIGIPASS 監査ビューアを使用して接続に関する情報を参照し、構成の問題を特定します。監査ビューアは IDENTIKEY Server 上の管理者のアクティビティを表示し、接続中に発生したエラーを表示します。監査ビューアを使用するには、admin ユーザーの認証情報を持っている必要があります。

DIGIPASS 監査ビューアを使用するには:

1. IDENTIKEY Server 上で、スタート > プログラム > VASCO IDENTIKEY Server > DIGIPASS 監査ビューア の順に選択します。
   DIGIPASS 監査ビューアが表示されます。
2. サーバー フォルダを右クリックして、新しい監査ソースの作成 を選択します。
   新しい監査ソース - サーバー ダイアログ ボックスが表示されます。
3. 表示名 テキスト ボックスに、サーバーの説明用の名前を入力します。
   たとえば、Identikey Server と入力します。
4. サーバーの場所 テキスト ボックスに、IDENTIKEY Server の IP アドレスを入力します。
5. 監査ポート テキスト ボックスに、IDENTIKEY Server に接続するために使用するポート番号を入力します。
   既定のポート 20006 が自動的に表示されます。サーバーが既定のポートを使用している場合、この設定を変更する必要はありません。

1. OK をクリックします。
   指定したサーバーのメッセージのリストを含む監査ビューが表示されます。
2. リストの中の任意のレコードの詳細を表示するには、そのレコードを選択します。
   レコードの詳細が、プレビューセクションに表示されます。

1. Identikey Server Web UI で、新しいポリシーのポリシーの管理ページに移動し、ユーザータブを選択します。
2. ポリシーの設定を確認します。管理者権限を持つユーザーを選択した場合、管理者権限を持つユーザー設定が (拒否) になっていないことを確認します。設定が (拒否) になっている場合は、編集をクリックして設定を変更します。

1. 行われた変更を保存します。

## Firebox を VASCO サーバー認証用に構成する

Firebox を VASCO IDENTIKEY Server と統合してユーザー認証を行うために、以下の手順を完了する必要があります。

- IDENTIKEY Server を認証サーバとして指定するように、Firebox 上の認証サーバーの設定を構成します。
- IDENTIKEY Server 上で指定した VASCO ユーザーとグループを、Firebox 認証済みユーザーおよびグループ リストに追加します。
- VASCO ユーザーとグループを、VASCO ユーザーが接続することができるサイトを制御するポリシーに追加します。

### ステップ 1 — IDENTIKEY Server を Firebox 構成に追加する

VASCO IDENTIKEY Server は RADIUS プロトコルを使用するため、認証に IDENTIKEY Server を使用するために Firebox を構成する際に、認証サーバーダイアログ ボックスの RADIUS タブで IDENTIKEY Server の設定を指定します。

IDENTIKEY Server を Policy Manager から Firebox 構成に追加するには、以下の手順を実行します：

1. 設定 > 認証 > 認証サーバー の順に選択します。
   認証サーバー ダイアログ ボックスが表示されます。
2. RADIUS タブを選択します。
3. RADIUS サーバーの有効化 チェックボックスを選択します。
4. IP アドレス テキスト ボックスに、IDENTIKEY Server の IP アドレスを入力します。
5. ポート テキスト ボックスに、IDENTIKEY Server にコンタクトするために使用するポートを入力します。
6. シークレット およびシークレットの確認テキストボックスに、IDENTIKEY Server の構成時に指定した共有シークレットを入力します。

1. OK をクリックします。

### ステップ 2 — VASCO ユーザーとグループを追加する

IDENTIKEY Server 設定で指定した VASCO ユーザーとグループを Firebox 上の認証に使用するポリシーへ追加する前に、それらのユーザーとグループを Firebox 上の 認証されたユーザーおよびグループ リストに追加する必要があります。

1. Policy Manager で、設定 > 認証 > 認証されたユーザー/グループ の順に選択します。
   認証されたユーザーまたはグループ ダイアログ ボックスが表示されます。
2. 追加 をクリックします。
   新しい認証ユーザーまたはグループの定義　ダイアログ ボックスが表示されます。
3. 名前 テキスト ボックスに、IDENTIKEY Server 上で Filter-Id のユーザー属性の設定を構成した時に 値 テキスト ボックスに指定した名前と同じ名前を入力します。
   たとえば、セールス と入力します。
4. 説明テキスト ボックスに、グループの定義を入力します。
5. 種類 に、グループ が選択されていることを確認します。
6. 認証サーバー ドロップダウン リストから、RADIUS を選択します。

1. OK をクリックします。
   セールス グループが 認証ユーザーまたはグループ ダイアログ ボックスに表示されます。
2. ステップ 2 ～ 6 を繰り返して、ユーザー JaneD を追加します。種類 に ユーザー が選択されていることを確認します。

1. OK をクリックします。
   ユーザーとグループ リストにセールス グループと JaneD ユーザーを含む 認証されたユーザーまたはグループ ダイアログ ボックスが表示されます。

1. 変更内容を保存するには、OK をクリックします。

### ステップ 3 — 認証されたユーザー用のポリシーを作成する

追加したユーザーを管理するには、Firebo 上にポリシーを作成する必要があります。これらのポリシーにより、ポリシーで指定する認証されたユーザーとグループのネットワークの可用性が決定されます。この例では、Firebox に ping するために既に追加した VASCO ユーザーとグループに許可する ping パケット フィルタ ポリシーを構成します。

Policy Manager で:

1. をクリックします。
   または、ポリシー リストを右クリックして ポリシーの追加 を選択します。
   ポリシーの追加 ダイアログ ボックスが開きます。
2. フォルダ ツリーを展開して、ポリシーをダブルクリックします。
   この例では、パケット フィルタ ツリーを展開して ping をダブルクリックします。
   新しいポリシーのプロパティ ダイアログ ボックスが表示されます。
3. 名前 テキスト ボックスに、ポリシーの説明用の名前を入力します。
   この例では、VASCO ユーザー ping と入力します。
4. 送信元 リストの中で Any-Trusted を選択して 削除 をクリックします。
5. 送信元 セクションで、追加 をクリックします。
   アドレスの追加 ダイアログ ボックスが表示されます。
6. ユーザーの追加 をクリックします。
   認証されたユーザーまたはグループの追加 ダイアログ ボックスが表示されます。
7. 種類 ドロップダウン リストから ファイアウォール と グループ を選択します。
   追加したグループが表示されます。
8. グループを選択して、選択 をクリックします。
   選択したグループが 選択されたメンバーとアドレス リストに表示されます。
9. さらにグループを追加するには、ステップ 6 ～ 8 を繰り返します。
10. さらにユーザーを追加するには、ステップ 6 ～ 8 を繰り返します。種類 には、ファイアウォール と ユーザー を指定します。
    この例では、ユーザー JaneD を追加します。
11. OK をクリックします。
    新規ポリシー プロパティ ダイアログ ボックスの 送信元 リストが、追加したユーザーとグループで更新されます。

1. ポリシー タブを選択し、ポリシーのログ記録を有効にします。
   詳細については、次を参照してください: ログ記録と通知の基本設定を行う.
2. OK をクリックして、ポリシーの各ダイアログ ボックスを閉じます。
3. 構成ファイルを Firebox に保存します。

## VASCO ユーザー認証をテストする

すべての構成設定が正しいことを確認するには、Firebox 上の認証ポータルに接続し、Firebox に追加した VASCO のユーザー認証情報でログインすることができます。VASCO サーバー DIGIPASS システムによって One-Time-Password (OTP) が発行されるため、Firebox 認証ポータルにログインする前に、VASCO トークンまたはモバイル トークン アプリケーションから提供される OTP を取得する必要があります。OTP を取得する方法の詳細については、VASCO システムに付属のマニュアルを参照してください。

正常に認証された後に、Firebox System Manager にアクセスしして、認証されたユーザに関する情報を参照することができます。

### 認証ポータルにログインする

1. Web ブラウザを開き、https://<Firebox 信頼済みインターフェイスの IP アドレス>:4100 にアクセスします。
   ログイン ページが表示されます。

1. ユーザ名 テキスト ボックスに、認証されたユーザーとグループ リストに追加した VASCO ユーザーのユーザー名を入力します。
   グループのみを追加し特定のユーザーは追加しなかった場合、追加されたグループ内の任意のユーザーのユーザー名を入力できます。
2. パスワード テキスト ボックスに、指定したユーザーの VASCO OTP を入力します。
3. Domain ドロップダウン リストから、認証に使用するドメインを選択します。
   たとえば、RADIUS と入力します。
4. ログイン をクリックします。
   認証に成功したことを知らせるページが表示されます。

### 認証リストを確認する

Firebox 上の認証ポータルにどのユーザーが認証されているかを確認するには、Firebox System Manager の 認証リスト で確認できます。

1. Firebox のFirebox System Manager を起動します。
2. 認証リスト タブを選択します。
   認証されたユーザーのリストが表示されます。

ユーザー JaneD の認証情報で Firebox に認証したため、JaneD@RADIUS がユーザーリストに表示されます。

### Firebox の Ping

Firebox 構成にログ記録を有効化する ping ポリシーを追加したので、ユーザーがネットワーク上のリソースに接続できるようにするために、Firebox に対して ping し、Traffic Monitor で結果を確認することができます。

1. コマンド プロンプトを開き、Firebox の外部インターフェイスに対して ping します。
2. Firebox System Manager で、Traffic Monitor タブを選択します。
   Firebox への最新のトラフィックが表示されます。

ping の結果を Traffic Monitor で確認する時に、VASCO ユーザー ping グループのユーザーが Firebox に ping し、Firebox で Firebox 経由の ping トラフィックが許可されていることを確認することができます。

## VASCO IDENTIKEY Server で認証するために Mobile VPN with IPSec を構成する

また、VASCO IDENTIKEY Server を使用して、Mobile VPN with IPSec ユーザーを認証することができます。IDENTIKEY Server を構成し、ユーザー、グループ、およびポリシーを Firebox の構成に追加した後、Mobile VPN with IPSec を構成する時に、IDENTIKEY Server、およびユーザーまたはグループ情報を使用します。

Policy Manager で:

1. VPN > Mobile VPN > IPSec の順に選択します。
   Add Mobile User VPN with IPSec Wizard が表示されます。
2. 次へ をクリックしてウィザードを起動します。
   ユーザー認証サーバーを選択する ページが表示されます。
3. 認証サーバー ドロップダウン リストから、RADIUS を選択します。
   これは、Firebox 上に既に構成した IDENTIKEY Server です。
4. グループ名 テキスト ボックスに、認証されたユーザーとグループリストに追加したグループの名前を入力します。
   たとえば、セールス と入力します。

1. 次へ をクリックします。
2. ウィザードを完了します。

Mobile VPN with IPSec ウィザードを完了して VPN を使用する準備が完了した後、識別したグループの任意のユーザー (この例では、セールス) が VPN を使用して、ウィザードで指定したネットワーク リソースに接続できます。

## Firebox 構成のトラブルシューティング

ユーザーが、認証ポータルまたは Mobile VPN with IPSec を使用して認証できない場合、 Traffic Monitor、および DIGIPASS 監査ビューアを使用して、トラフィックに関連するログ メッセージを確認して、接続のエラーを見つけることができます。これによって、認証要求が成功したかどうかを確認し、接続の問題のトラブルシューティングを行うことができます。

Traffic Monitor に、ファイアウォール ユーザー JaneD@RADIUS が正常にログインし、ネットワークにトラフィックを渡すことを許可されたことが示されます。

DIGIPASS 監査ビューアに、ユーザー JaneD のユーザー認証が IDENTIKEY サーバーで成功したことが示されます。

#### 関連情報

VASCO サーバー認証を構成する

外部認証サーバーを構成する

グローバル Firewall 認証値の設定

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索