関連トピック

# Firebox から Cyberoam デバイスに VPN を設定する

Branch office virtual private network (BOVPN) トンネルは、インターネット上でデータを交換するためのネットワークやホストとネットワークのセキュアウェイです。このトピックでは、Fireboxと Cyberoam セキュリティ アプライアンス（10.04.0 build 433）間に手動 BOVPN トンネルを定義する方法を説明します。BOVPN トンネルを作成する前に、各エンドポイントから IP アドレスを収集して、使用する共通のトンネル設定に同意する必要があります。

このトピックでは、異なる BOVPN の設定の意味、およびそれらの設定が構築されたトンネルに与える影響に関する詳細情報は記載されていません。特定の設定の詳細については、以下のリソースを使用してください。

- 手動 Branch Office VPN について
- 手動 BOVPN ゲートウェイを構成する
- 手動 BOVPN トンネルを構成する

WatchGuard は、WatchGuard 製品が他の会社で製造された製品で動作できるように構成するために、お客様の役に立つ相互運用性に関する指示を提供します。WatchGuard 以外の製品を構成するとき、詳細の情報またはテクニカル サポートが必要な場合、この製品のドキュメントおよびサポート リソースを参照してください。

## VPN 構成の概要

参考として、このページには Cyberoam セキュリティ アプライアンスの VPN 構成の既定に関する概要が記載されています。ここでは、Fireware v11.12.4 における既定の VPN 構成と一致しない設定に重点が置かれています。

Fireware v12.0 以降では、既定の BOVPN セキュリティ設定が異なります。これらの設定がお使いの Cyberoam デバイスと互換性があるかどうかを確認するには、Cyberoam デバイスのマニュアルを参照してください。

VPN 設定 | WatchGuard デバイスの既定 (v11.12.4) | Cyberoam デバイスの既定 (10.04.0 build 433) | Matched?
--- | --- | --- | ---
フェーズ 1 の設定
IKE 交換モード | メイン | メイン | Y
認証 | SHA1 | SHA1 | Y
暗号化 | 3DES | AES (128-bit) | N
Diffie-Hellman グループ | 2 | 2 | Y
フェーズ 2 の設定
Perfect Forward Secrecy | いいえ | はい | N
プロトコル | ESP | ESP | Y
認証 | SHA1 | SHA1 | Y
暗号化 | AES (256-bit) | AES (128 ビット) | N

WatchGuard と Cyberoam デバイスでは、フェーズ 1 と 2 の暗号化の既定設定が異なります。VPN トンネルを正常に構築するには、Firebox と Cyberoam デバイスで同じフェーズ 1 と 2 の設定を指定する必要があります。セキュリティを最強にするために、暗号化には AES のバリアント (128 ビットまたは 256 ビット) を指定することをお勧めします。

## IP アドレスとトンネルの設定の収集

Branch Office VPN を構成する前に、各デバイスのパブリック IP アドレスおよび接続したいプライベートネットワークの IP アドレスを収集する必要があります。また、フェーズ 1 とフェーズ 2 の設定に VPN を使用することに同意する必要があります。この手順では、Cyberoam デバイスの既定の設定に一致するフェーズ 1 およびフェーズ 2 の設定で、Firebox を構成する方法を説明します。

たとえば、収集した IP アドレスの設定は以下のようになります：

WatchGuard Firebox：

外部インターフェイス の IP アドレス：203.0.113.2

信頼済みネットワーク IP アドレス：10.0.1.0/24

Cyberoam デバイス：

外部インターフェイス の IP アドレス：198.51.100.2

プライベート ネットワークの IP アドレス：10.50.1.0/24

## WatchGuard Firebox を構成する

Firebox で、VPN ゲートウェイ、およびそのゲートウェイを使用する VPN トンネルを追加する必要があります。Firebox のフェーズ 1 の設定は Cyberoam デバイスのフェーズ 1 の設定と一致している必要があります。

### VPN ゲートウェイを追加する

Fireware Web UI から、VPN ゲートウェイを追加するには、以下の手順を実行します：

1. VPN > Branch Office VPN の順に選択します。
2. ゲートウェイ リストの下にある 追加 をクリックします。
   ゲートウェイの設定 ページが表示されます。

1. ゲートウェイ名 テキスト ボックスに、このゲートウェイを識別する名前を入力します。
2. 事前共有済みキーを使用 を選択します。共有キー を入力します。
   共有キーには、標準の ASCII 文字のみを使用する必要があります。キーは Cyberoam デバイスで使用するキーと一致する必要があります。
3. ゲートウェイ エンドポイント リストの下にある 追加 をクリックします。
   ゲートウェイ エンドポイントの設定 ダイアログ ボックスが表示されます。

1. 外部インターフェイス ドロップダウン リストから、パブリック IP アドレスが指定されている外部インターフェイスを選択します。
2. IP アドレス別 を選択します。Firebox の外部 (パブリック) IP アドレスを入力します。
3. リモートゲートウェイ タブを選択します。

1. トンネルのリモート ゲートウェイ IP アドレスを指定する セクションで、静的 IP アドレス を選択します。Cyberoam デバイスの外部 (パブリック) IP アドレスを入力します。
2. トンネル認証用ゲートウェイ ID の設定 セクションで、IP アドレスで指定 を選択します。Cyberoam デバイスのパブリック IP アドレスを入力します。
3. OK をクリックして、ゲートウェイ エンドポイントの設定 ダイアログ ボックスを閉じます。
   定義したゲートウェイ ペアが、ゲートウェイ エンドポイントのリストに表示されます。
4. フェーズ 1 の設定 タブをクリックします。

1. [変換の設定] リストで、既定の [フェーズ 1 の変換] を選択します。編集 をクリックします。
   フェーズ 1 の変換 ダイアログ ボックスが表示されます。
2. 暗号化 ドロップダウン リストから、AES (128 ビット）を選択します。
   これは、Cyberoam デバイスの既定の設定に一致します。

1. OK をクリックして、フェーズ 1 の変換に加えた変更を確認します。
   他のフェーズ 1 の設定を既定値から変更しないでください。
2. 保存 をクリックします。
   ゲートウェイがゲートウェイのリストに追加されます。

Policy Manager から、VPN ゲートウェイを追加するには、以下の手順を実行します：

1. Policy Manager で、VPN > Branch Office ゲートウェイ の順に選択します。追加 をクリックします。
   新しいゲートウェイ ダイアログ ボックスが表示されます。
2. ゲートウェイ名 テキスト ボックスに、Policy Manager のこのゲートウェイを識別する名前を入力します。

1. 事前共有済みキーを使用 を選択します。共有キー を入力します。
   共有キーには、標準の ASCII 文字のみ使用する必要があります。キーは Cyberoam デバイスで使用するキーと一致する必要があります。
2. ゲートウェイ エンドポイント セクションで、追加 をクリックします。
   [新しいゲートウェイ エンドポイントの設定] ダイアログ ボックスが表示されます。

1. 外部インターフェイス ドロップダウン リストから、パブリック IP アドレスが指定されている外部インターフェイスを選択します。
2. ローカル ゲートウェイ セクションで、IP アドレスで指定 を選択します。
3. IP アドレス ドロップダウン リストから、デバイスの外部 (パブリック) IP アドレスを選択します。
4. トンネルのリモート ゲートウェイ IP アドレスを指定する セクションで、静的 IP アドレス を選択します。Cyberoam デバイスの外部 (パブリック) IP アドレスを入力します。
5. トンネル認証用ゲートウェイ ID の設定 セクションで、IP アドレスで指定 を選択します。Cyberoam デバイスのパブリック IP アドレスを入力します。
6. OK をクリックします。
   定義したゲートウェイ エンドポイントのペアが、ゲートウェイ エンドポイントのリストに表示されます。
7. 新しいゲートウェイ ダイアログ ボックスで、フェーズ 1 の設定 タブを選択します。

1. [変換の設定] リストで、既定の [フェーズ 1 の変換] を選択します。編集 をクリックします。
   [フェーズ 1 の変換] ダイアログ ボックスが表示されます。
2. 認証 ドロップダウン リストから、SHA1 を選択します。
3. 暗号化 ドロップダウン リストから、AES (128 ビット) を選択します。
   これは、Cyberoam デバイスの既定の設定に一致します。

1. OK をクリックして、フェーズ 1 の変換に加えた変更を確認します。
   他のフェーズ 1 の設定を既定値から変更しないでください。
2. OK をクリックして、新しいゲートウェイを追加します。
3. OK をクリックして、ゲートウェイ ダイアログ ボックスを閉じます。

### VPN トンネルを追加する

ゲートウェイを定義したら、トンネルを追加し、フェーズ 2 の設定を構成することができます。

Fireware Web UI から、VPN トンネルを追加するには、以下の手順を実行します：

Cyberoam デバイスのフェーズ 2 の設定と一致する設定で、フェーズ 2 プロポーザルを作成します。

1. VPN > フェーズ 2 のプロポーザル の順に選択します。
2. 追加 をクリックします。
3. フェーズ 2 のプロポーザルの設定が表示されます。
4. 名前 テキスト ボックスに、フェーズ 2 のプロポーザルの意味のある名前を入力します。
5. 暗号化ドロップダウン リストから、AES (128 ビット) を選択します。
6. この変更により、プロポーザルの設定が Cyberoam デバイスの既定の構成と一致します。
7. 保存 をクリックします。

新しいフェーズ 2 のプロポーザルを使用する VPN トンネルを作成するには、以下の手順を実行します：

1. VPN > Branch Office VPN の順に選択します。
2. トンネル リストの下にある 追加 をクリックします。

1. 名前 テキスト ボックスに、このトンネルの意味のある名前を入力します。
2. ゲートウェイ ドロップダウン リストから、Cyberoam デバイスに構成したゲートウェイを選択します。
3. アドレス リストの下にある 追加 をクリックします。
   トンネル ルートの設定 ダイアログ ボックスが表示されます。

1. ローカル IP セクションの 種類の選択 ドロップダウン リストから、ネットワーク IPv4 を選択します。VPN トンネルを使用させるローカル ネットワークのネットワーク IP アドレスを入力します。
2. リモート IP セクションの 種類の選択 ドロップダウン リストから、ネットワーク IPv4 を選択します。VPNトンネルを使用させる Cyberoam デバイスのプライベート ネットワークのネットワーク IP アドレスを入力します。
3. OK をクリックして、トンネル ルートを追加します。
   トンネル ルートがトンネル構成のアドレス タブに追加されます。
4. フェーズ 2 の設定 タブをクリックします。
5. [Perfect Forward Secrecy の有効化] チェック ボックスを選択してください。
   これは、Cyberoam デバイスの既定の設定に一致します。
6. IPSec プロポーザル リストから、既定の ESP-AES-SHA1 プロポーザルを選択します。削除 をクリックします。
7. IPSec プロポーザル ドロップダウン リストから、前に追加したフェーズ 2 のプロポーザルを選択します。追加 をクリックします。
8. 保存 をクリックします。
   トンネル ルートの構成がトンネル リストに追加されます。

VPN トンネルを追加するには、Policy Manager から以下の手順を実行します：

1. Policy Manager で、VPN > Branch Office トンネル の順に選択します。
   Branch Office IPSec Tunnels ダイアログ ボックスが表示されます。
2. 追加 をクリックします。
   新しいトンネル ダイアログ ボックスが表示されます。

1. トンネル名 テキスト ボックスに、意味のあるこのトンネルの名前を入力します。
2. ゲートウェイ ドロップダウン リストから、Cyberoam デバイスに構成したゲートウェイを選択します。
3. 追加 をクリックしてトンネル ルートを追加します。
   トンネル ルートの設定 ダイアログ ボックスが表示されます。

1. ローカル テキスト ボックスに、VPN トンネルを使用させるローカル ネットワークのネットワーク IP アドレスを入力します。
2. リモート テキスト ボックスに、VPN トンネルを使用させる Cyberoam デバイスのプライベート ネットワークのネットワーク IP アドレスを入力します。
3. OK をクリックしてトンネル ルートを追加します。
   トンネル ルートが [新しいトンネル] ダイアログ ボックスの アドレス タブに追加されます。
4. [フェーズ 2 の設定] タブをクリックします。
5. [PFS] チェックボックスを選択します。
   これは、Cyberoam デバイスの既定の設定に一致します。
6. IPSec プロポーザル セクションで、既定の ESP-AES-SHA1 エントリを選択します。
7. 削除 の次に OK をクリックして、プロポーザルを削除することを確認します。
8. 追加 をクリックして IPSec プロポーザルを追加します。
9. 新しいフェーズ 2 のプロポーザルの作成 を選択します。
10. 名前 テキスト ボックスに、このプロポーザルの意味のある名前を入力します。
11. 暗号化 ドロップダウン リストから、AES (128 ビット) を選択します。
    他のすべての設定は、既定値のままにしておきます。
12. OK をクリックして、新しいフェーズ 2 プロポーザル を追加します。
13. OK をクリックして新しいトンネルを構成に追加します。
14. 閉じる をクリックして [Branch Office IPSec トンネル] ダイアログ ボックスを閉じます。

## Cyberoam デバイスを構成する

この手順では、Cyberoam デバイスに VPN 設定を手動で構成する方法について説明します。また、Cyberoam の Web ベース インターフェイスには、VPN 構成の Setup Wizard が含まれていますが、この手順は既存の VPN 構成における設定を見る方法のガイドとして使用することができます。

Cyberoam Web ベース管理インターフェイスで、以下の手順を実行します：

1. VPN > IPSec の順に選択します。
2. 追加 をクリックします。
3. ページにある 全般設定 セクションを見つけます。

1. 名前 テキスト ボックスに、この接続の意味のある名前を入力します。
2. 接続の種類 ドロップダウン リストから、サイトツーサイト を選択します。
3. ポリシー ドロップダウン リストから、DefaultHeadOffice ポリシーを選択します。

Cyberoam ソフトウェアの旧バージョンでは、この接続の種類は ネットツーネット と呼ばれています。

1. ページにある 認証の詳細 セクションを見つけます。

1. 認証の種類 ドロップダウン リストから、事前共有キー を選択します。
2. 2 つの 事前共有キー テキスト ボックスに、WatchGuard デバイスのゲートウェイ設定で構成した共有キーを入力して、確認します。
3. ページにある エンドポイントの詳細 セクションを見つけます。

1. ローカル ドロップダウン リストから、VPN エンドポイントとして使用する Cyberoam デバイスのインターフェイスを選択します。
   選択したインターフェイスの IP アドレスは、WatchGuard デバイスでリモートゲートウェイ ID として構成されているアドレス IP と一致している必要があります。
2. リモート テキスト ボックスに Firebox のパブリック IP アドレスを入力します。
   この IP アドレスは WatchGuard デバイスのローカル ゲートウェイ ID として構成されているものと一致している必要があります。
3. ページにある ネットワークの詳細 セクションを見つけます。

1. 追加 をクリックします。
   ネットワーク アドレスを追加する ダイアログ ボックスが表示されます。

1. ローカル LAN アドレス ドロップダウン リストから、ローカル LAN アドレス を選択します。

1. IP ホストの追加 をクリックします。

1. 名前 テキスト ボックスに、ローカル ネットワークの意味のある名前を入力します。
2. 種類 の横にある ネットワーク を選択します。
3. IP アドレス テキスト ボックスに、Cyberoam デバイスに接続しているローカル ネットワークのネットワーク IP アドレスを入力します。
4. サブネット ドロップダウン リストから、ローカル ネットワークのサブネット マスクを選択します。
5. OK をクリックして、IP ホストを追加します。
6. OK をクリックして、ネットワーク アドレスを追加する ダイアログ ボックスを閉じます。
7. ローカル ID ドロップダウン リストから、IP アドレス を選択します。横のテキスト ボックスに、Cyberoam デバイスのパブリック IP アドレスを入力します。
8. ページにある リモートネットワークの詳細 セクションを見つけます。
9. リモート LAN ネットワーク ドロップダウン リストから、リモートネットワーク を選択します。
10. IP ホストの追加 をクリックします。

1. 名前 テキスト ボックスに、リモートネットワークの意味のある名前を入力します。
2. 種類 の横にある ネットワーク を選択します。
3. IP アドレス テキスト ボックスに、リモートネットワークのサブネット ID を入力します。
4. サブネット ドロップダウン リストから、リモートネットワークのサブネット マスクを選択します。
5. OK をクリックして、IP ホストを追加します。
6. OK をクリックして、ネットワーク アドレスを追加する ダイアログ ボックスを閉じます。
7. リモート ID ドロップダウン リストから、IP アドレス を選択します。横のテキスト ボックスに、Firebox のパブリック IP アドレスを入力します。
8. ページの一番下にある OK をクリックして、VPN 構成を追加します。

### 接続をアクティブ化する

Cyberoam デバイスの VPN 構成が完了したら、接続をアクティブ化する必要があります。接続をアクティブ化するには、アクティブ 列にある赤のインジケータをクリックして、OK をクリックします。

### Cyberoam デバイスが接続を許可していることを確認する

既定では、Cyberoam デバイスは、リモート VPN ホストとの間のトラフィックを許可するポリシーを追加しません。VPN 構成が完了したら、ファイアウォール > ルール を選択して、VPN-LAN および LAN-VPN を許可するルールを探します。これらのルールが表示されない場合は、以下の手順に従って、Cyberoam Web ベース管理インターフェイスに必要なルールを追加してください。

LAN から VPN へのトラフィックを許可するルールを追加するには、以下の手順を実行します：

1. ファイアウォール > ルール の順に選択します。
2. 追加 をクリックします。

1. 名前 テキスト ボックスに、この新しいルールの意味のある名前を入力します。例：LAN-VPN。
2. ソース ゾーン を LAN に設定します。
3. 宛先ゾーン を VPN に設定します。
4. アクション を 承認 に設定します。
5. OK をクリックして、新しいルールを保存します。

VPN から LAN へのトラフィックを許可する別のルールを追加するには、以下の手順を実行します：

1. 追加 をクリックします。
2. 名前 テキスト ボックスに、この新しいルールの意味のある名前を入力します。例：VPN-LAN。
3. ソース ゾーン を VPN に設定します。
4. 宛先ゾーン を LAN に設定します。
5. アクション を 承認 に設定します。
6. OK をクリックして、新しいルールを保存します。

両方のデバイスで VPN が構成されたら、VPN のテストとして、トンネル経由でトラフィックを送信してみてください。

#### 関連情報

Branch Office VPN トンネルのトラブルシューティング

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索