関連トピック

# Branch Office VPN (BOVPN) トンネル認証の証明書

BOVPN トンネルが作成されると、 IPSec プロトコルは、事前共有キー （PSK） または Firebox にインポートおよび保存された証明書のいずれかを使用して、各エンドポイントのアイデンティティーを確認します。

新しい BOVPN ゲートウェイを追加して、証明書の認証方法を選択すると、「IP セキュリティ IKE 中間」(OID 1.3.6.1.5.5.8.2.2) と呼ばれる拡張キー使用法 (EKU) 識別子が含まれる証明書のリストが表示されます。EKU 識別子により、証明書の目的が指定されます。

Fireware v11.11.4 以降を使用している Firebox の場合は、EKU 識別子を含まない証明書を選択することもできます。EKU 識別子を含まない利用可能な証明書のリストを表示するには、すべての証明書を表示 を選択します。VPN 証明書の詳細については、RFC 4945 を参照してください。

BOVPN トンネル認証に証明書を使用するには、Fireware Web UI から次の手順を実行します：

1. VPN > Branch Office VPN の順に選択します。
2. ゲートウェイ セクションで、追加 をクリックして新しいゲートウェイを作成します。
   または、既存のゲートウェイを選択して、編集 をクリックします。
3. IPSec Firebox証明書を使用 を選択します。
   「IP セキュリティ IKE 中間」(OID 1.3.6.1.5.5.8.2.2) と呼ばれる拡張キー使用法 (EKU) 識別子が含まれるデバイスの証明書が表示されます。
4. 他の利用可能な証明書を表示するには、すべての証明書を表示 を選択します。
   使用可能な証明書がすべて表示されます。これには、EKU が含まれていない証明書も含まれます。
5. 使用する証明書を選択します。
6. 必要に応じ、他のパラメータを設定します。
7. 保存 をクリックします。

BOVPN 認証に証明書を使用する場合は、Fireware Web UI から次の手順を実行します：

- 詳細については、次を参照してください：デバイス証明書を管理する （Web UI）.
- 証明書は IPSec タイプの証明書として認識される必要があります。
- 各ゲートウェイのエンドポイントのデバイスで証明書が同じアルゴリズムを使用していることを確認してください。両方のエンドポイントが DSS または RSA のどちらかを使用する必要があります。証明書のアルゴリズムは、ゲートウェイ リストのBranch Office VPN ページに表示されます。
- サードパーティまたは自己署名証明書がない場合は、WatchGuard Management Server の認証機関を使用する必要があります。

BOVPN トンネル認証に証明書を使用するには、Policy Manager から次の手順を実行します：

1. VPN > Branch Officeゲートウェイ の順に選択します。
2. 新しいゲートウェイを作成するには、追加する をクリックしてください。
   または、既存のゲートウェイを選択して、編集 をクリックします。
3. IPSec Firebox証明書を使用 を選択します。
   「IP セキュリティ IKE 中間」(OID 1.3.6.1.5.5.8.2.2) と呼ばれる拡張キー使用法 (EKU) 識別子が含まれるデバイスの証明書が表示されます。
4. 他の利用可能な証明書を表示するには、すべての証明書を表示 を選択します。
   使用可能な証明書がすべて表示されます。これには、EKU が含まれていない証明書も含まれます。
5. 使用する証明書を選択します。
6. 必要に応じ、他のパラメータを設定します。
7. OK をクリックします。

BOVPN 認証に証明書を使用する場合は、Policy Manager から次の手順を実行します：

- まず、証明書をインポートする必要があります。
  詳細については、次を参照してください：デバイス証明書を管理する（WSM）.
- 証明書は IPSec タイプの証明書として認識される必要があります。
- 各ゲートウェイのエンドポイントのデバイスで証明書が同じアルゴリズムを使用していることを確認してください。両方のエンドポイントが DSS または RSA のどちらかを使用する必要があります。証明書のアルゴリズムは、WatchGuard システム管理の中の 新しいゲートウェイ ダイアログボックスのテーブルに表示され、そして Firebox システム管理の 証明書 ダイアログボックスにも表示されます。
- サードパーティまたは自己署名証明書がない場合は、WatchGuard Management Server の認証機関を使用する必要があります。
  詳細については、次を参照してください：Management Server で認証機関を構成する.

## 証明書を確認する

証明書を検証するには、Fireware Web UI から次の手順を実行します：

1. システム > 証明書の順に選択します。
   証明書 ページが表示されます。
2. 種類 の列が、IPSec または IPSec/Web になっていることを確認します。

証明書を検証するには、Fireware System Manager から次の手順を実行します：

1. 表示 > 証明書 の順に選択します。
   証明書 ダイアログ ボックスが表示されます。
2. 種類 の列が、IPSec または IPSec/Web になっていることを確認します。

## LDAP サーバーを使用した VPN 証明書の検証

サーバーにアクセスできる場合は、VPN 認証に使用された証明書を自動的に確認するために、LDAP サーバーを使用できます。この機能を使用するには、サードパーティの CA サービスから提供された LDAP アカウント情報が必要になります。

証明書を検証するには、Fireware Web UI から次の手順を実行します：

1. VPN > グローバル設定 の順に選択します。
   グローバルVPN設定 ページが表示されます。

1. 証明書の確認に対して LDAP サーバーを有効にする チェック ボックスをオンにします。
2. サーバー テキスト ボックスに、LDAP サーバーの名前とアドレスを入力します。
3. （任意）ポート 番号を入力します。
4. 構成を保存します。
   トンネル認証が要求された時、 Firebox は LDAPサーバーに格納されている CRL をチェックします。

証明書を検証するには、Policy Manager から次の手順を実行します：

1. VPN > VPN設定 の順に選択します。
   VPN設定 ダイアログボックスが表示されます。

1. 証明書の確認に対して LDAP サーバーを有効にする チェック ボックスをオンにします。
2. サーバー テキスト ボックスに、LDAP サーバーの名前とアドレスを入力します。
3. （任意）ポート 番号を入力します。
4. 構成を保存します。
   トンネル認証が要求された時、 Firebox は LDAPサーバーに格納されている CRL をチェックします。

#### 関連情報

証明書について

手動 BOVPN ゲートウェイを構成する

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索