関連トピック

# Active Directory グループで VPN with IPSec を使用する

多くの組織は、リモート ユーザーが属するグループによって、アクセスを許可する内部ネットワークリソースを変えたいと考える組織は多いものです。特定のユーザーまたはグループのネットワーク アクセスを制限するには、ユーザー認証を設定する必要があります。それにより、各ユーザー グループに異なる Mobile VPN with IPSec プロファイルを設定できるようになります。以下に例を挙げて、Active Directory サーバーで定義されている複数のグループに Mobile VPN with IPSec プロファイルを構成する手順を示します。

高レベルでは、以下の手順に従います。

- Active Directory 認証を有効にし、構成します。
- Active Directory サーバーのユーザー グループの Mobile VPN with IPSec グループ プロファイルを作成し、その名前をグループ名と同じにします。

## シナリオ例

この構成の設定方法を説明するために、3 つのグループに異なるレベルの Web アクセスを設定する学校の例を挙げます。

- 学生 (アクセス制限高)
- 先生 (アクセス制限低)
- IT チーム メンバー (アクセス無制限)

## ユーザー認証を構成する

Mobile VPN with IPSec プロファイルを設定する前に、ユーザー認証を構成する必要があります。Active Directory、ローカルの認証、Radius または LDAP などの認証方法のいずれかを使用できます。サポートされている認証方法の詳細については、次を参照してください：認証サーバーの種類 この例で取り上げる学校は、Active Directory 認証の使用を希望しています。

## アクティブ ディレクトリの認証を有効にする

Active Directory 認証サーバーの使用により、ユーザーは既存のネットワーク認証情報を使用して Firebox に対して認証を行うことができます。デバイスで Active Directory 認証の使用を構成する前に、ユーザーが Active Directory サーバーに対して正常に認証できることを確認します。

Active Directory 認証を有効にした場合、検索ベースを指定する必要があります。検索ベースを設定し、認証一致を見つけるために Firebox が使用する認証サーバーのディレクトリに制限を課します。検索ベースをドメインのルートに設定することをお勧めします。これにより、すべてのユーザーおよびそれらのユーザーが属しているすべてのグループを検索することができます。検索ベース設定の標準形式は、ou=<組織ユニットの名前>,dc=<サーバーの識別名の最初の部分>,dc=<ドットの後に現れるサーバーの識別名の任意の部分> です。

Active Directory サーバーで検索ベースを見つける方法の詳細については、次を参照してください：Active Directory 検索ベースを探す。

この例では、学校の Active Directory サーバーの IP アドレス は 10.0.1.100 です。

Firebox が学校の Active Directory サーバーを使用するように構成するには、Fireware Web UI から以下の手順を実行します：

1. 認証 > サーバー の順に選択します。
   認証サーバー ページが表示されます。
2. Active Directory を選択します。
   サーバー/Active Directory ページが表示されます。
3. 追加 をクリックします。
   Active Directory Server の設定 ページが表示されます。

1. ドメイン名 テキスト ボックスに、この Active Directory Server で使用するドメイン名を入力します。
   ドメイン名には、ドメイン サフィックスが含まれている必要があります。たとえば、exampleではなく、example.comと入力します。
2. パスフレーズ と 確認 テキスト ボックスに、パスフレーズを入力します。
3. プライマリ ドロップダウン リストから、IPアドレス または DNS 名 を選択します。
   この例では、IP アドレス を選択します。
4. IP アドレス テキスト ボックスに、プライマリ Active Directory サーバーの IP アドレスを入力します。
   この例では、10.0.1.100 と入力します。

Active Directory サーバーは任意の Firebox インターフェイスに配置できます。また、VPN トンネルを経由して接続可能な Active Directory サーバーを使用するようにデバイスを構成できます。

1. ポート テキスト ボックスに、Active Directory サーバーへの接続に使用する TCP ポート番号を入力または選択します。既定のポート番号は 389 です。

Active Directory Server がグローバル カタログ サーバーの場合、既定のポートを変更した方がよい可能性があります。詳細については、次を参照してください：Active Directory サーバーの既定のポートを変更する。

1. 検索ベース テキスト ボックスに、ディレクトリ内で検索を開始する場所を次のフォーマットで入力します：
   ou=<組織ユニットの名前>,dc=<サーバーの識別名の最初の部分>,dc=<ドットの後に現れるサーバーの識別名の任意の部分>。

この例では、Active Directory データベースのルート ドメイン名は、excellentschool.edu であるため、検索ベースには dc=excellentschool,dc=edu と入力します。

1. グループ文字列テキスト ボックスに、Active Directory サーバーでユーザー グループ情報を保持するために使用される属性文字列を入力します。Active Directory スキーマを変更していない場合、グループ文字列は常に memberOf になります。

1. 検索対象ユーザーのDN テキスト ボックスに、検索操作用の識別名 (DN) を入力します。

ログイン属性 sAMAccountName を変更しない場合、このテキスト ボックスへの入力は必要ありません。ログイン属性を変更する場合、構成で検索対象ユーザーの DN テキスト ボックスに値を追加する必要があります。管理者 など、LDAP および Active Directory を検索する権限を持つ任意のユーザーの DN を使用できます。ただし、検索権限だけを持つ、より権限の低いユーザーの DN で通常は十分です。

1. 検索対象ユーザーのパスワード テキスト ボックスに、検索操作で使用する識別名に関連付けられたパスワードを入力します。
2. ログイン属性 テキスト ボックスに、認証に使用する Active Directory のログイン属性を入力します。

ログイン属性は、Active Directory データベースの接続に使用する名前です。既定のログイン属性は sAMAccountName です。sAMAccountName を使用する場合、検索対象ユーザーのDN フィールドと 検索ユーザーのパスワード フィールドを空白のままにすることができます。

1. 停止時間 テキスト ボックスに、非アクティブ状態のサーバーが再度アクティブであるとマークされるまでの経過時間を入力します。
   経過時間を設定するには、横にあるドロップダウン リストから 分 または 時間 を選択します。

認証サーバーが一定時間応答しなかった場合、そのサーバーは停止としてマークされます。追加の認証では、再びこのサーバーがアクティブとマークされるまで、このサーバーは試行されません。

1. 保存 をクリックします。

Firebox が学校の Active Directory サーバーを使用するように構成するには、Policy Manager から以下の手順を実行します：

1. をクリックします。
   または、設定 > 認証 > 認証サーバー の順に選択します。
   認証サーバー ダイアログ ボックスが表示されます。
2. アクティブ ディレクトリ タブを選択します。
   Active Directory 設定が表示されます。
3. 追加 をクリックします。
   Active Directory ドメインの追加ダイアログ ボックスが表示されます。

3. ドメイン名 テキスト ボックスに、この Active Directory Server で使用するドメイン名を入力します。
   ドメイン名には、ドメイン サフィックスが含まれている必要があります。たとえば、exampleではなく、example.comと入力します。
4. 追加 をクリックします。
   IP/DNS 名の追加 ダイアログボックスが 表示されます。
5. 種類の選択 ドロップダウン リストから、IPアドレス または DNS 名 を選択します。
   この例では、IP アドレス を選択します。
6. 値 テキスト ボックスに、プライマリ Active Directory サーバーの IP アドレスを入力します。
   この例では、10.0.1.100 と入力します。

Active Directory サーバーは任意の Firebox インターフェイスに配置できます。また、VPN トンネルを経由して接続可能な Active Directory サーバーを使用するようにデバイスを構成できます。

1. ポート テキスト ボックスに、Active Directory サーバーへの接続に使用する TCP ポート番号を入力または選択します。既定のポート番号は 389 です。

Active Directory Server がグローバル カタログ サーバーの場合、既定のポートを変更した方がよい可能性があります。詳細については、次を参照してください：Active Directory サーバーの既定のポートを変更する。

1. OK をクリックします。
   追加した IP アドレスまたは DNS 名が、Active Directory ドメインの追加 ダイアログボックスに表示されます。
2. 検索ベース テキスト ボックスに、ディレクトリ内で検索を開始する場所を次のフォーマットで入力します：
   ou=<組織ユニットの名前>,dc=<サーバーの識別名の最初の部分>,dc=<ドットの後に現れるサーバーの識別名の任意の部分>。

この例では、Active Directory データベースのルート ドメイン名は、excellentschool.edu であるため、検索ベースには dc=excellentschool,dc=edu と入力します。

1. グループ文字列テキスト ボックスに、Active Directory サーバーでユーザー グループ情報を保持するために使用される属性文字列を入力します。Active Directory スキーマを変更していない場合、グループ文字列は常に memberOf になります。

1. 検索対象ユーザーのDN テキスト ボックスに、検索操作用の識別名 (DN) を入力します。

ログイン属性 sAMAccountName を変更しない場合、このテキスト ボックスへの入力は必要ありません。ログイン属性を変更する場合、構成で検索対象ユーザーの DN テキスト ボックスに値を追加する必要があります。管理者 など、LDAP および Active Directory を検索する権限を持つ任意のユーザーの DN を使用できます。ただし、検索権限だけを持つ、より権限の低いユーザーの DN で通常は十分です。

1. 検索対象ユーザーのパスワード テキスト ボックスに、検索操作で使用する識別名に関連付けられたパスワードを入力します。
2. ログイン属性 テキスト ボックスに、認証に使用する Active Directory のログイン属性を入力します。

ログイン属性は、Active Directory データベースの接続に使用する名前です。既定のログイン属性は sAMAccountName です。sAMAccountName を使用する場合、検索対象ユーザーのDN フィールドと 検索ユーザーのパスワード フィールドを空白のままにすることができます。

1. 停止時間 テキスト ボックスに、非アクティブ状態のサーバーが再度アクティブであるとマークされるまでの経過時間を入力します。
   経過時間を設定するには、横にあるドロップダウン リストから 分 または 時間 を選択します。

認証サーバーが一定時間応答しなかった場合、そのサーバーは停止としてマークされます。追加の認証では、再びこのサーバーがアクティブとマークされるまで、このサーバーは試行されません。

1. OK をクリックします。
2. 構成ファイルを保存する。

## 学生のグループ プロファイルを作成する

この学校は、学生へのアクセスを、内部 DNS、FTP、および Web サーバーのみに限定したいと希望しています。

学生のグループ プロファイルを作成するには、Fireware Web UI から以下の手順を実行します：

1. VPN > Mobile VPN with IPSec の順に選択します。
   Mobile VPN with IPSec ページが表示されます。
2. 追加 をクリックします。
   Mobile VPN with IPSec / 追加 ページが表示されます。

1. 名前 テキスト ボックスに、ユーザー グループの名前を入力します。
   この例では、学生は Active Directory の 学生 グループに属しているので、学生 と入力します。
2. パスフレーズ と 確認 テキスト ボックスに、このグループのユーザーに配布した Mobile VPN プロファイルを暗号化するために使用するパスフレーズを入力します。また、このパスフレーズは生徒に送信するためにエクスポートした証明書ファイルを暗号化する際にも使用されます。
3. 認証サーバー ドロップダウン リストから、このユーザー グループの Active Directory ドメインを選択します。
   この例では、excellentschool.edu を選択します。
4. プライマリ テキスト ボックスで、このグループの Mobile VPN ユーザーが接続するプライマリ外部 IP アドレスを入力します。これは、外部 IP アドレス、セカンダリ外部 IP アドレス、または外部 VLAN のいずれかです。ドロップイン モードのデバイスの場合は、すべてのインターフェイスに割り当てられる IP アドレスを使用します。
5. リソース タブを選択します。

1. トンネル経由のすべてのトラフィックを許可する チェックボックスが選択されていることを確認します。
   このオプションを選択すると、VPN クライアントはクライアント コンピュータからインターネットへのトラフィックをすべて VPN にルーティングします。この例では、学生が VPN トンネル経由でアクセスできる学内ネットワーク上のリソースがかなり制限されているので、学内ネットワーク行きでないトラフィックを VPN トンネルに送る必要はありません。
2. 学生がトンネル経由でアクセスできるリソースの IP アドレスを追加するには、許可されたリソース リストの下にある 追加 をクリックします。

この学校は、学生へのアクセスを、内部 DNS、FTP、および Web サーバーのみに限定したいと希望しています。この例では、3 つのホスト IPv4 アドレス (10.0.2.21、10.0.2.53 および 10.0.2.80) を追加します。

1. 学生の接続に対応する IP アドレス の IPv4 ホスト範囲を追加するには、仮想 IP アドレス プール リストの下にある 追加 をクリックします。

この例では、仮想 IP アドレス プールに IP アドレス範囲 10.0.4.1 - 10.0.4.254 を追加します。これにより、デバイスは 200 以上の学生の VPN クライアントの同時接続に対応できます。

Mobile VPN ユーザーがネットワークに接続する際には、仮想 IP アドレス プールから IP アドレスが 1 つ割り当てられます。仮想 IP アドレス プール内の IP アドレスの数は、Mobile VPN ユーザーの数と同じになるはずです。 FireCluster が構成されている場合は、それぞれの Mobile VPN ユーザーに対し 2 つの仮想 IP アドレスを追加する必要があります。

仮想 IP アドレスは、ローカル ネットワークとは異なるサブネットになければなりません。この仮想 IP アドレスは、ネットワーク上のその他の目的のためには使用できません。

1. 保存 をクリックします。

学生のグループ プロファイルを作成するには、Policy Manager から以下の手順を実行します：

1. VPN > Mobile VPN > IPSec の順に選択します。
   Mobile VPN with IPSec 構成ダイアログ ボックスが表示されます。
2. 追加 をクリックします。
   Add Mobile VPN with IPSec Wizard が表示されます。
3. 次へ をクリックします。
   ユーザー認証サーバーの選択 ページが表示されます。

1. 認証サーバー ドロップダウン リストから、このユーザー グループの Active Directory ドメインを選択します。
2. グループ名 テキスト ボックスに、ユーザー グループの名前を入力します。
   この例では、学生は Active Directory の 学生 グループに属しているので、学生 と入力します。
3. 次へ をクリックします。
   トンネル認証方法の選択 ページが表示されます。

1. トンネル認証のオプションを選択します。
   - このパスフレーズを使用する
     このトンネルのパスフレーズを入力して確定します。
   - WatchGuard Management Server によって発行された RSA 証明書を使用する
     Management Server の IP アドレス と 管理パスフレーズ を入力します。
2. 次へ をクリックします。
   インターネット トラフィックのフローの指定 ページが表示されます。

1. インターネット トラフィックのオプションを選択します。
   - いいえ、インターネット トラフィックがモバイル ユーザーの ISP に直接移動することを許可します。
     (スプリット トンネリング)
   - はい、すべてのインターネット トラフィックがトンネルを経由するようにします。
     (既定ルート VPN)

学生のプロファイルには、いいえ で始まるオプションを選択します。この例では、学生が VPN トンネル経由でアクセスできる学内ネットワーク上のリソースがかなり制限されているので、学生のコンピュータからインターネットへのトラフィックを VPN トンネルに送る必要はありません。

1. 次へ をクリックします。
   トンネル経由でアクセスできるリソースの特定 画面が表示されます。

この学校は、学生へのアクセスを、内部 DNS、FTP、および Web サーバーのみに限定したいと希望しています。この例では、IP アドレス (10.0.2.21、10.0.2.53 および 10.0.2.80) を追加します。

1. 学生が VPN トンネル経由で接続できるホストまたはネットワークの IP アドレスを指定するには、追加 をクリックします。
2. 次へ をクリックします。
   仮想 IP アドレス プールの作成 ページが表示されます。

1. IP アドレスを 1 つ追加する、または IP アドレス範囲を追加するには、追加 をクリックします。

この例では、仮想 IP アドレス プールに IP アドレス範囲 10.0.4.1 - 10.0.4.254 を追加します。これにより、デバイスは 200 以上の学生の VPN クライアントの同時接続に対応できます。

Mobile VPN ユーザーがネットワークに接続する際には、仮想 IP アドレス プールから IP アドレスが 1 つ割り当てられます。仮想 IP アドレス プール内の IP アドレスの数は、Mobile VPN ユーザーの数と同じになるはずです。 FireCluster が構成されている場合は、それぞれの Mobile VPN ユーザーに対し 2 つの仮想 IP アドレスを追加する必要があります。

仮想 IP アドレスは、ローカル ネットワークとは異なるサブネットになければなりません。この仮想 IP アドレスは、ネットワーク上のその他の目的のためには使用できません。

1. 次へ をクリックします。
   Add Mobile VPN with IPSec Wizard が正常に完了しました ページが表示されます。Mobile VPN with IPSec グループのエンド ユーザー構成ファイルは、このページで指定された場所に置かれます。
2. 完了 をクリックします。

## 教師のグループ プロファイルを作成する

教師グループは、信頼済みネットワークと任意のネットワークへのアクセスが必要です。

教師のグループ プロファイルを作成するには、Fireware Web UI から以下の手順を実行します：

1. VPN > Mobile VPN with IPSec の順に選択します。
   Mobile VPN with IPSec ページが表示されます。
2. 追加 をクリックします。
   Mobile VPN with IPSec / 追加 ページが表示されます。
3. 名前 テキスト ボックスに、ユーザー グループの名前を入力します。
   この例では、教師は Active Directory の 教師 グループに属しているので、教師 と入力します。
4. パスフレーズ と 確認 テキスト ボックスに、このグループのユーザーに配布した Mobile VPN プロファイルを暗号化するために使用するパスフレーズを入力します。また、このパスフレーズは教師に送信するためにエクスポートした証明書ファイルを暗号化する際にも使用されます。
5. 認証サーバー ドロップダウン リストから、このユーザー グループの Active Directory ドメインを選択します。
   この例では、excellentschool.edu を選択します。
6. プライマリ テキスト ボックスで、このグループの Mobile VPN ユーザーが接続するプライマリ外部 IP アドレスを入力します。これは、外部 IP アドレス、セカンダリ外部 IP アドレス、または外部 VLAN のいずれかです。デバイスがドロップイン モードの場合、すべてのインターフェースに対して割り当てられた IP アドレスを使用します。
7. リソース タブを選択します。

1. トンネル経由のすべてのトラフィックを許可する チェックボックスが選択されていることを確認します。
   このオプションを選択すると、VPN クライアントはクライアント コンピュータからインターネットへのトラフィックをすべて VPN にルーティングします。教師グループからネットワーク上のリソースへのトラフィックは、トンネル経由で送られます。トラフィックの宛先が校内プライベート ネットワーク以外の場合、教師は自宅のインターネット接続を引き続き使用できます。
2. 教師がトンネル経由でアクセスできるリソースの IP アドレスを追加するには、許可されたリソース リストの下にある 追加 をクリックします。

教師グループは、信頼済みネットワークと任意のネットワークへのアクセスが必要です。これら 2 つのネットワークへのアクセスを可能にするために、該当するネットワークの IP アドレスを追加します。この例では次のネットワーク IP アドレスを追加します：
10.0.2.0/24 および 10.0.1.0/24

1. 教師の接続に対応する IP アドレス の IPv4 ホスト範囲を追加するには、仮想 IP アドレス プール リストの下にある 追加 をクリックします。

この学校では、教師グループのホスト IP アドレスは 50 で十分です。この例では、仮想 IP アドレス プールに IP アドレス範囲 10.0.5.1 - 10.0.5.50 を追加します。

1. 保存 をクリックします。

教師のグループ プロファイルを作成するには、Policy Manager から以下の手順を実行します：

1. VPN > Mobile VPN > IPSec の順に選択します。
   Mobile VPN with IPSec 構成ダイアログ ボックスが表示されます。
2. 追加 をクリックします。
   Add Mobile VPN with IPSec Wizard が表示されます。
3. 次へ をクリックします。
   ユーザー認証サーバーの選択 ページが表示されます。

1. 認証サーバー ドロップダウン リストから、このユーザー グループの Active Directory ドメインを選択します。
2. グループ名 テキスト ボックスに、教師グループの名前を入力します。
   この例では、教師は Active Directory の 教師 グループに属しているので、教師 と入力します。
3. 次へ をクリックします。
   トンネル認証方法の選択 ページが表示されます。

1. トンネル認証のオプションを選択します。
   - このパスフレーズを使用する
     このトンネルのパスフレーズを入力して確定します。
   - WatchGuard Management Server によって発行された RSA 証明書を使用する
     Management Server の IP アドレス と 管理パスフレーズ を入力します。
2. 次へ をクリックします。
   インターネット トラフィックのフローの指定 ページが表示されます。

1. インターネット トラフィックのオプションを選択します。
   - いいえ、インターネット トラフィックがモバイル ユーザーの ISP に直接移動することを許可します。
     (スプリット トンネリング)
   - はい、すべてのインターネット トラフィックがトンネルを経由するようにします。
     (既定ルート VPN)

教師のプロファイルには、いいえ で始まるオプションを選択します。教師グループからネットワーク上のリソースへのトラフィックは、トンネル経由で送られます。トラフィックの宛先が学内のプライベート ネットワーク以外の場合、教師は自宅のインターネット接続を引き続き使用できます。

1. 次へ をクリックします。
   トンネル経由でアクセスできるリソースの特定 ページが表示されます。

1. 教師が VPN トンネル経由で接続できるホストまたはネットワークの IP アドレスを指定するには、追加 をクリックします。

教師グループには信頼済みネットワークと任意のネットワークへのアクセスが必要なので、これら 2 つのネットワークの IP アドレスを追加します。この例では、ネットワーク IP アドレス 10.0.2.0/24 および 10.0.1.0/24 を追加します。

1. 次へ をクリックします。
   仮想 IP アドレス プールの作成 ページが表示されます。この例では、教師グループにはホスト IP アドレスが 50 あれば十分だと想定しています。

1. 1 つの IP アドレスまたは IP アドレス範囲を追加するには、追加 をクリックします。

この学校では、教師グループのホスト IP アドレスは 50 で十分です。この例では、仮想 IP アドレス プールに IP アドレス範囲 10.0.5.1 - 10.0.5.50 を追加します。

1. 次へ をクリックします。
   Add Mobile VPN with IPSec Wizard が正常に完了しました ページが表示されます。Mobile VPN with IPSec グループ エンド ユーザーの構成ファイルがこのスクリーンに指定したロケーションにあります。
2. 完了 をクリックします。

## IT グループ プロファイルを作成する

IT グループには無制限のネットワークアクセスが必要で、Branch Office VPN　トンネルによってネットワークに接続されるいくつかのサイトへのアクセスも必要です。

IT グループのグループ プロファイルを作成するには、Fireware Web UI から以下の手順を実行します：

1. VPN > Mobile VPN with IPSec の順に選択します。
   Mobile VPN with IPSec ページが表示されます。
2. 追加 をクリックします。
   Mobile VPN with IPSec / 追加 ページが表示されます。
3. 名前 テキスト ボックスに、ユーザー グループの名前を入力します。
   この例では、IT メンバーは Active Directory の IT グループに属しているので、IT と入力します。
4. 認証サーバー ドロップダウン リストから、このユーザー グループの Active Directory ドメインを選択します。
   この例では、excellentschool.edu を選択します。
5. パスフレーズ と 確認 テキスト ボックスに、このグループのユーザーに配布した Mobile VPN プロファイルを暗号化するために使用するパスフレーズを入力します。また、このパスフレーズは IT グループに送信するためにエクスポートした証明書ファイルを暗号化する際にも使用されます。
6. プライマリ テキスト ボックスで、このグループの Mobile VPN ユーザーが接続するプライマリ外部 IP アドレスを入力します。これは、外部 IP アドレス、セカンダリ外部 IP アドレス、または外部 VLAN のいずれかです。デバイスがドロップイン モードの場合、すべてのインターフェースに対して割り当てられた IP アドレスを使用します。
7. リソース タブを選択します。

1. トンネル経由のすべてのトラフィックを許可する チェック ボックスを選択します。
   このオプションを選択すると、許可されたリソースリストが自動的に更新され、すべてのネットワーク リソースが含まれます。

IT グループには無制限のネットワークアクセスが必要で、Branch Office VPN　トンネルによってネットワークに接続されるいくつかのサイトへのアクセスも必要です。さらにこの設定は、IT グループのユーザーからの接続は、ネットワーク上のローカル ユーザーと同じインターネット接続を使用するインターネット ホストにつながることを意味します。これは、ネットワークのトラブルシューティングを行う際に便利です。

1. IT メンバーの接続に対応する IP アドレス の IPv4 ホスト範囲を追加するには、仮想 IP アドレス プール リストの下にある 追加 をクリックします。

この学校では、IT グループには仮想 IP アドレスが 25 だけ必要だと想定しています。この例では、仮想 IP アドレス プールに IP アドレス範囲 10.0.5.51 - 10.0.5.76 を追加します。

1. 保存 をクリックします。
   IT グループの構成が追加されます。

IT グループのグループ プロファイルを作成するには、Policy Manager から以下の手順を実行します：

1. VPN > Mobile VPN > IPSec の順に選択します。
   Mobile VPN with IPSec 構成ダイアログ ボックスが表示されます。
2. 追加 をクリックします。
   Add Mobile VPN with IPSec Wizard が表示されます。
3. 次へ をクリックします。
   ユーザー認証サーバーを選択する ページが表示されます。

1. 認証サーバー ドロップダウン リストから、このユーザー グループの Active Directory ドメインを選択します。
   この例では、IT チームは Active Directory の IT グループに属しているので、ITと入力します。
2. グループ名 テキスト ボックスに、IT グループの名前を入力します。
3. 次へ をクリックします。
   トンネル認証方法を選択する ページが表示されます。

1. トンネル認証のオプションを選択します。
   - このパスフレーズを使用する
     このトンネルのパスフレーズを入力して確定します。
   - WatchGuard Management Server によって発行された RSA 証明書を使用する
     Management Server の IP アドレス と 管理パスフレーズ を入力します。
2. 次へ をクリックします。
   インターネット トラフィックのフローを指定する ページが表示されます。

1. インターネット トラフィックのオプションを選択します。
   - いいえ、インターネット トラフィックがモバイル ユーザーの ISP に直接移動することを許可します。
     (スプリット トンネリング)
   - はい、すべてのインターネット トラフィックがトンネルを経由するようにします。
     (既定ルート VPN)

IT のプロファイルには、はい で始まるオプションを選択します。IT グループには無制限のネットワークアクセスが必要で、Branch Office VPN　トンネルによってネットワークに接続されるいくつかのサイトへのアクセスも必要です。この設定では、IT グループのユーザーがインターネット ホストに接続した場合、ネットワーク上のローカル ユーザーと同じインターネット接続を使用することになります。これは、ネットワークのトラブルシューティングを行う際に便利です。

1. 次へ をクリックします。
   トンネル経由でアクセスできるリソースを特定する ページが表示されます。「はい、すべてのインターネット トラフィックがトンネルを経由するようにします」を選択したので、このページの構成設定を変更する必要はありません。

1. 次へ をクリックします。
   仮想 IP アドレス プールを作成する ページが表示されます。

1. IP アドレスを 1 つ追加する、または IP アドレス範囲を追加するには、追加 をクリックします。
   この例では、IT グループには仮想 IP アドレスが 25 あればよいので、10.0.5.51 〜 10.0.5.76の IP アドレス範囲を指定します。
2. 次へ をクリックします。
   Mobile VPN with IPSec の追加 Wizard が正常に完了しました ページが表示されます。Mobile VPN with IPSec グループ エンド ユーザーの構成ファイルがこのスクリーンに指定したロケーションにあります。
3. 完了 をクリックします。
4. 構成を Firebox に保存します。

## 概要

この例で説明した VPN プロファイルによって、学生、教師、IT チームメンバーはそれぞれ、Mobile VPN with IPSec クライアントを使用して Active Directory サーバーから認証を受け、校内ネットワーク上の異なるリソースに接続することができます。IT チームは既定ルート VPN を使用して設定します。教師と学生は、スプリット トンネル VPN を使用して設定します。これらの 2 つのオプションの詳細については、次を参照してください：Mobile VPN ユーザーのインターネット アクセス オプション。

管理者は、学生、教師、IT チーム メンバーに、VPN クライアントとエンドユーザー構成ファイルを配布することができます。トンネル パスフレーズを使用する構成の場合は、WatchGuard IPSec Mobile VPN クライアントにエンドユーザー プロファイルをインポートするユーザーにトンネル パスフレーズを知らせる必要があります。各ユーザーが VPN 接続を開始するには、Active Directory サーバーで定義されている認証情報を指定する必要があります。

クライアントのセットアップの詳細については、次を参照してください：

- IPSec Mobile VPN クライアント ソフトウェアをインストールする
- Shrew Soft VPN クライアント ソフトウェアをインストールする

#### 関連情報

Mobile VPN with IPSec 用に Firebox を構成する

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索