関連トピック

# IPSec グループ プロファイルを使用して既存の Mobile VPN を変更する

Mobile User VPN with IPSec ウィザードを使用して新しい Mobile VPN with IPSec グループ プロファイルを作成した後、次の目的のためにプロファイルを編集できるようになります。

- 共有キーの変更
- 追加ホストまたはネットワークへのアクセスの追加
- 単一の送信先ポート、ソース ポート、またはプロトコルへのアクセスの制限
- フェーズ 1 またはフェーズ 2 の設定の変更

Policy Manager を使用して Mobile VPN with IPSec のグループプロファイルを変更することができます。

1. VPN > Mobile VPN > IPSec を選択します。
   Mobile VPN with IPSec 構成 ダイアログボックスが表示されます。

2. 変更するグループをリストから選択します。
3. 編集 をクリックします。
   Mobile VPN with IPSec ダイアログボックスが表示されます。

1. 全般 タブでグループプロファイルの編集と次に記述されているの設定の構成ができます。

認証サーバー

この Mobile VPN グループに使用する認証サーバーを選択します。 内部 Firebox データベース (Firebox-DB) または RADIUS、VASCO、SecurID、LDAP、または Active Directory を使用してユーザーを認証できます。

認証サーバーを構成するには、Policy Manager のメニュー バーから、設定 > 認証 > 認証サーバー の順に選択します。

パスフレーズ

パスフレーズを入力し、このグループ内のユーザーに配布する Mobile VPN プロファイル (.wgx ファイル) を暗号化します。 共有キーでは、標準の ASCII 文字を使用する可能性があります。 認証に証明書を使用する場合、これは証明書の PIN です。

確認

パスフレーズを再度入力します。

プライマリ

このグループ内の Mobile VPN ユーザーが接続できるプライマリ外部 IP アドレスまたはドメインを選択または入力します。 これは外部 IP アドレス、セカンダリ外部 IP アドレス、または外部 VLAN のいずれかです。 デバイスがドロップイン モードの場合、すべてのインターフェースに対して割り当てられた IP アドレスを使用します。

バックアップ

このグループ内の Mobile VPN ユーザーが接続できるバックアップ外部 IP アドレスまたはドメインを選択または入力します。 このバックアップ IP アドレスはオプションです。 バックアップ IP アドレスを追加した場合、XTM デバイスの外部インターフェイスまたは VLAN に割り当てられているものであることを確認してください。

セッション

Mobile VPN セッションがアクティブになることができる最大の時間を分単位で選択します。

アイドル

XTM デバイスがアイドル状態の Mobile VPN セッションを終了するまでの時間を分単位で指定します。 認証サーバーが特定のタイムアウト値を返さない場合、セッションおよびアイドルのタイムアウト値が既定のタイムアウトになります。 認証サーバーとして XTM デバイスを使用する場合、各 XTMデバイスのユーザー アカウントでタイムアウトが設定されるため、Mobile VPN グループのタイムアウトは常に無視されます。

セッションおよびアイドルのタイムアウトを、SA の有効期限 フィールドの値より長くすることはできません。 このフィールドを設定するには、Mobile VPN with IPSec の編集 のダイアログボックスの IPSec トンネル タブから 詳細 をクリックします。 既定値は 8 時間です。

4. IPSec トンネル タブを選択します。

1. IPSec トンネル タブの設定の編集

エンドユーザー プロファイルのパスフレーズを事前共有キーとして使用する

エンドユーザー プロファイルのパスフレーズをトンネル認証の事前共有キーとして使用するには、この設定を選択します。 リモート デバイスでも同じ共有キーを使用する必要があります。 共有キーでは、標準の ASCII 文字のみを使用します。

証明書を使用

トンネル認証に証明書を使用するには、この設定を選択します。

詳細については、 Mobile VPN with IPSec トンネル認証の証明書 を参照してください。

CA IP アドレス

(証明書を使用することを選択した場合だけ、このフィールドが表示されます)

認証機関として構成されている Management Server の IP アドレスを入力します。

タイムアウト

(証明書を使用することを選択した場合だけ、このフィールドが表示されます)

認証機関の要求がタイムアウトするまでの時間を秒で入力します。

フェーズ 1 の設定

Mobile VPN トンネルの認証および暗号化の方法を選択します。

NAT Traversal、あるいはキー グループなどの高度な設定を行うには、詳細設定 をクリックして、フェーズ 1 の設定の詳細を定義する の手順を参照してください。 この暗号化オプションは、最も簡単で安全性の低いオプションから、最も複雑で安全性の高いオプションの順に表示されています。

DES

3DES

AES (128 ビット)

AES (192 ビット)

AES (256 ビット)

フェーズ 2 設定

Mobile VPN トンネルのプロポーザルおよびキーの有効期限の設定を選択します。 また、Perfect Forward Secrecy (PFS) を有効にしたり、Diffie-Hellman グループを設定したりすることができます。

他のプロポーザル設定を変更するには、プロポーザル ボタンをクリックして、 WebBlocker の詳細オプション フェーズ 2 の設定 の手順を参照してください。

6. リソース タブを選択します。

1. 許可されたネットワーク リソースおよび仮想 IP アドレスを追加および削除する。

許可されたリソース リスト

このリストには、グループのユーザーがネットワーク上でアクセスできるリソースが表示されます。

許可されたリソースのリストにホスト IP アドレスまたはネットワーク IP アドレスを追加するには、追加 をクリックします。

ホスト IP アドレスまたはネットワーク IP アドレスを許可されたリソースのリストから削除するには、リソース を選択して、削除 をクリックします。

許可されたリソースを編集すると、このグループの Mobile VPN with IPSec ポリシーでリソースのリストは自動的に更新されません。 Mobile VPN with IPSec ポリシーの許可されたリソースを編集し、必要に応じて更新する必要があります。 詳細については、Mobile VPN トラフィックを フィルタするポリシーを構成する を参照してください。

すべてのトラフィックをトンネル経由にする

すべての Mobile VPN ユーザーのインターネット トラフィックを VPN トンネル経由で送信するには、このチェック ボックスをオンにします。 このオプションがオンになっていると、Mobile VPN ユーザーのインターネット トラフィックが VPN 経由で送信されますが、これらのユーザーに対して Web サイトが遅くなる可能性があります。 これがオフになっていると、Mobile VPN ユーザーのインターネット トラフィックが XTM ポリシーで検証されませんが、ユーザーはより迅速にインターネットを閲覧できます。

仮想 IP アドレス プール

このリストには、トンネル上の Mobile VPN ユーザーによって使用される内部 IP アドレスが表示されます。 これらのアドレスは必要な場合だけ使用されます。

仮想 IP アドレス プールにホスト IP アドレス、またはホスト IP アドレスの範囲を追加するには、追加 をクリックします。

選択したホスト IP アドレスまたはホスト IP アドレスの範囲を仮想 IP アドレス プールからクリアするには、削除 をクリックします。

仮想 IP アドレスの詳細については、 バーチャル IP アドレスおよび Mobile VPN を参照してください。

1. 詳細 タブを選択します。

1. ライン管理 設定を以下の通り構成します。

接続モード

手動 — このモードでは、VPN トンネルが停止しても、クライアントは VPN トンネルを自動的に再起動しません。 これは、既定の設定です。

VPN トンネルを再起動するには、Connection Monitor で 接続 ボタンをクリックするか、または Windows デスクトップ ツールバー上にある Mobile VPN アイコンを右クリックし、接続 をクリックする必要があります。

自動— このモードでは、コンピュータが VPN を経由して到達できる送信先にトラフィックを送信すると、クライアントが接続を開始しようとします。 VPN トンネルが停止した場合に、クライアントは VPN トンネルを自動的に再起動しようとします。

可変— このモードでは、切断 をクリックするまで、クライアントは VPN トンネルを自動的に再起動しようとします。 切断した後は、接続 をクリックするまでは、クライアントは VPN トンネルを再起動しようとしません。

非アクティブ タイムアウト

接続モード を 自動 または 可変 に設定した場合、指定した期間、Mobile VPN with IPSec クライアント ソフトウェアは VPN 接続ネゴシエーションを試みません。 非アクティブ タイムアウトには、最大 65,535 秒の値を設定することができます。

既定のライン管理の設定は 手動 または 0 秒 です。 いずれかの設定を変更すると、クライアント ソフトウェアを構成するために .ini ファイルを使用する必要があります。

1. OK をクリックします。

構成を XTM デバイスに保存する必要があります。 編集したグループのメンバーであるエンド ユーザーは、Mobile VPN with IPSec クライアント ソフトウェアに新しい構成ファイルを受信してインポートするまで、接続できません。 構成ファイルを生成して、エンドー ユーザーに提供する必要があります。

詳細については、Mobile VPN with IPSec 構成ファイルを生成する を参照してください。

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索