関連トピック

# IPSec グループ プロファイルを使用して既存の Mobile VPN を変更する

Mobile VPN with IPSec グループを作成した後、プロファイルを編集し以下が行えます。

- 共有キーの変更
- 追加ホストまたはネットワークへのアクセスの追加
- 単一の送信先ポート、ソース ポート、またはプロトコルへのアクセスの制限
- フェーズ 1 またはフェーズ 2 の設定の変更

## Mobile VPN with IPSec グループを構成する

1. VPN > Mobile VPN with IPSec を選択します。
   Mobile VPN with IPSec ページが表示されます。

1. 編集するグループを選択して、編集 をクリックします。
   Mobile User VPN with IPSec 設定のページが表示されます。

1. グループ プロファイルを編集するには、以下のオプションを構成します。

認証サーバー

この Mobile VPN グループに使用する認証サーバーを選択します。 Firebox (Firebox-DB) または RADIUS、VASCO、SecurID、LDAP、または Active Directory の各サーバーに対してユーザーを認証できます。 この認証方法が有効になっていることを確認してください。

パスフレーズ

.wgx ファイルを暗号化するパスフレーズを変更するには、新しいパスフレーズを入力します。 共有キーでは、標準の ASCII 文字を使用する可能性があります。 認証に証明書を使用する場合、これは証明書の PIN です。

確認

新しいパスフレーズを再度入力します。

プライマリ

このグループ内の Mobile VPN ユーザーが接続できるプライマリ外部 IP アドレスまたはドメインを入力します。 これは外部 IP アドレス、セカンダリ外部 IP アドレス、または外部 VLAN のいずれかです。 デバイスがドロップイン モードの場合、すべてのインターフェースに対して割り当てられた IP アドレスを使用します。

バックアップ

このグループ内の Mobile VPN ユーザーが接続できるバックアップ外部 IP アドレスまたはドメインを入力します。 このバックアップ IP アドレスはオプションです。 バックアップ IP アドレスを追加した場合、XTM デバイスの外部インターフェイスまたは VLAN に割り当てられているものであることを確認してください。

セッション タイムアウト

Mobile VPN セッションがアクティブになることができる最大の時間を分単位で選択します。

アイドル タイムアウト

XTM デバイスがアイドル状態の Mobile VPN セッションを終了するまでの時間を分単位で指定します。 認証サーバーが特定のタイムアウト値を返さない場合、セッションおよびアイドルのタイムアウト値が既定のタイムアウトになります。 認証サーバーとして XTM デバイスを使用する場合、各 XTMデバイスのユーザー アカウントでタイムアウトが設定されるため、Mobile VPN グループのタイムアウトは常に無視されます。

セッションおよびアイドルのタイムアウトを、SA の有効期限 テキスト ボックスの値より長くすることはできません。

IPSec を使用する Mobile VPN の設定 のダイアログボックスにこの値を設定するには、IPSec トンネル タブを選択します。 フェーズ 1 の設定 セクションの 詳細 をクリックします。 既定値は 8 時間です。

1. IPSec トンネル タブを選択します。

1. IPSec 設定を編集するには、以下のオプションを構成します。

エンドユーザー プロファイルのパスフレーズを事前共有キーとして使用する

エンドユーザー プロファイルのパスフレーズをトンネル認証の事前共有キーとして使用するには、この設定を選択します。 パスフレーズには パスフレーズ セクションの 全般 タブに設定されています。 リモート デバイスでは同じ共有キーを使用する必要があります。また、この共有キーは標準 ASCII 文字だけを使用できます。

証明書を使用

トンネル認証に証明書を使用するには、このオプションを選択します。
詳細については、Mobile VPN with IPSec トンネル認証用の証明書 を参照してください。

CA IP アドレス

証明書を使用している場合、認証機関として構成されている Management Server の IP アドレスを入力します。

タイムアウト

証明書を使用している場合、Mobile VPN with IPSec クライアントが応答なしに認証機関に接続しようとしなくなるまでの時間を秒で入力します。 既定の設定を使用することをお勧めします。

フェーズ 1 の設定

Mobile VPN トンネルの認証および暗号化の方法を選択します。

NAT Traversal、あるいはキー グループなどの高度な設定を行うには、詳細設定 をクリックして、フェーズ 1 の詳細設定を定義する を参照してください。

この暗号化オプションは、最も簡単で安全性の低いオプションから、最も複雑で安全性の高いオプションの順に表示されています。

DES

3DES

AES (128 ビット)

AES (192 ビット)

AES (256 ビット)

フェーズ 2 の設定

また、PFS (Perfect Forward Secrecy) を選択して有効にしたり、Diffie-Hellman グループを設定したりすることもできます。

他のプロポーザル設定を変更するには、詳細 をクリックし、フェーズ 2 の設定の詳細を定義してください。

1. リソース タブを選択します。

1. 次のオプションを構成します。

すべてのトラフィックにトンネル経由を許可する

すべての Mobile VPN ユーザーのインターネット トラフィックを VPN トンネル経由で送信するには、このチェック ボックスをオンにします。
すべての Mobile VPN ユーザーのインターネット トラフィックを VPN 経由で送信するには、このチェック ボックスをオンにします。 安全性は高まりますが、Web サイトへのアクセスの速度が低下する可能性があります。
このチェック ボックスをオンにしない場合は、Mobile VPN ユーザーのインターネット トラフィックがインターネットへ直接送信されます。 安全性は低くなりますが、ユーザーはより迅速にインターネットを閲覧できます。

許可されたリソース リスト

このリストには、ユーザーが Mobile VPN グループで使用するネットワーク リソースが含まれます。

ネットワーク リソース リストに IP アドレスまたは ネットワーク IP アドレスを追加するには、ホスト IP または ネットワーク IP を選択して、アドレスを入力し、追加 をクリックします。

IP アドレスまたは ネットワーク IP アドレスをリソース リストから削除するには、リソース を選択して、削除 をクリックします。

許可されたリソースを編集する場合、このグループの既定の Mobile VPN with IPSec ポリシーのみでリソースのリストが自動更新されます。 同じグループのその他の Mobile VPN with IPSec ポリシーでは、リソースは自動的に更新されません。 Mobile VPN with IPSec ポリシーの許可されたリソースを編集し、必要に応じて更新する必要があります。 詳細については、Mobile VPN トラフィックをフィルタするポリシーを構成する を参照してください。

仮想 IP アドレス プール

このリストには、トンネル上の Mobile VPN ユーザーによって使用される内部 IP アドレスが含まれます。 この IP アドレスは、すべてのネットワーク デバイスまたは他のMobile VPN グループでは使用できません。

仮想 IP アドレス プールに IP アドレスまたは ネットワーク IP アドレスを追加するには、ホスト IP または ネットワーク IP を選択して、アドレスを入力し、追加 をクリックします。

仮想 IP アドレス プールからホスト またはネットワーク IP アドレスを削除するには、ホスト IP または IP アドレスを選択し、削除 をクリックします。

仮想IP アドレスの詳細については、バーチャル IP アドレスおよび Mobile VPN を参照してください。

1. 詳細 タブを選択します。

1. ライン管理 設定を以下の通り構成します。

接続モード

手動 — このモードでは、VPN トンネルが停止しても、クライアントは VPN トンネルを自動的に再起動しません。 これは、既定の設定です。

VPN トンネルを再起動するには、Connection Monitor で 接続 をクリックするか、または Windows デスクトップ ツールバー上にある Mobile VPN アイコンを右クリックし、接続 をクリックする必要があります。

自動— このモードでは、コンピュータが VPN を経由して到達できる送信先にトラフィックを送信すると、クライアントが接続を開始しようとします。 また、VPN トンネルが停止した場合に、クライアントは VPN トンネルを自動的に再起動しようとします。

可変— このモードでは、切断 をクリックするまで、クライアントは VPN トンネルを自動的に再起動しようとします。 切断した後は、接続 をクリックするまでは、クライアントは VPN トンネルを再起動しようとしません。

非アクティブ タイムアウト

接続モード を 自動 または 変数 に設定した場合、指定した期間、 Mobile VPN with IPSec クライアント ソフトウェアはVPN 接続ネゴシエーションを再度試みません。 非アクティブ タイムアウトには、最大 65,535 秒の値を設定することができます。

既定のライン管理の設定は 手動 または 0 秒 です。 いずれかの設定を変更すると、クライアント ソフトウェアを構成するために .ini ファイルを使用する必要があります。

1. 保存 をクリックします。
   Mobile VPN with IPSec ページが表示されます。
2. 保存 をクリックします。

編集したグループのメンバーであるエンド ユーザーは、Mobile VPN with IPSec クライアント ソフトウェアに正しく構成ファイルをインポートするまで、接続できません。 構成ファイルを生成して、エンドー ユーザーに提供する必要があります。

編集したグループのエンドユーザー プロファイルを生成するために、以下の手順を行います。

1. VPN > Mobile VPN with IPSec を選択します。
   Mobile VPN with IPSec ページが表示されます。
2. 生成 をクリックします。

Fireware XTM Web UI は、.ini または .vpn モバイル ユーザー構成ファイルのみを生成できます。 .wgx ファイルを生成するには、Policy Manager を使用する必要があります。

#### 関連情報

Mobile VPN with IPSec 構成ファイルを生成する

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索