関連トピック

# 2つの Fireware v11.x デバイス間で VPN を設定する（Web UI）

Branch office virtual private network (BOVPN) トンネルは、インターネット上でデータを交換するためのネットワークやホストとネットワークのセキュアウェイです。このトピックでは、Fireware Web UI を使用して、Fireware v11.x を使用する 2 つの Firebox 間で手動 BOVPN トンネルを定義する方法を説明します。

Policy Manager での構成と同じ例については、次を参照してください。2つの Fireware v11.x デバイス間で VPN を設定する（WSM）。

このトピックでは、BOVPN ダイアログ ボックスにおけるさまざまな設定や既存のトンネルへの影響の詳細については説明しません。特定の設定の詳細については、以下を参照してください。

- 手動 Branch Office VPN について
- 手動 BOVPN ゲートウェイを構成する
- 手動 BOVPN トンネルを構成する

## IP アドレスとトンネルの設定を収集する

手動 BOVPN トンネルを作成するには、まず IP アドレスを収集し、エンドポイントの設定を決定します。このドキュメントを印刷し、使用する値を書き留むか、または示して、Policy Manager での設定を構成する時にこれを使用すると便利な場合があります。

このトピックでは、両方のエンドポイントには静的外部 IP アドレスが必要です。

動的外部 IP アドレスを持つデバイスへの BOVPN トンネルについては、BOVPN ゲートウェイのゲートウェイ エンドポイントを定義する を参照してください。

2 つのデバイスのうち 1 つのデバイスのみの管理者である場合、他の管理者に表を提供して、フェーズ 1 とフェーズ 2 の設定のために同じ値を使用しているかどうかを確認できます。

VPN エンドポイントが正しく構成されており、両方のデバイスでフェーズ 1 とフェーズ 2 の設定が同じであることを確認します。設定が一致しないと、トンネルが構築されません。

設定がリストにない場合は、既定値を変更しないでください。

### BOVPN トンネルの設定

サイト A (Fireware Fireware v11.x を使用する Firebox)

パブリック IP アドレス： ______________________________

プライベート IP アドレス： ______________________________

サイト B (Fireware Fireware v11.x を使用する Firebox)

パブリック IP アドレス： ______________________________

プライベート IP アドレス： ______________________________

### フェーズ 1 の設定(両側に同じ値を使用する必要があります。)

Fireware を実行している 2 つの Firebox 間の BOVPN については、IKE キープアライブではなく、デッド ピア ディテクション (RFC3706) を使用することをお勧めします。両方を選択しないでください。両方のエンドポイント デバイスでそれがサポートされている場合は、デッド ピア ディテクションを選択する必要があります。

認証メソッド：事前共有キーの使用を選択します。

事前共有キー： ______________________________

IKE バージョン： IKEv1 ____ IKEv2 ____ (Fireware v11.11.2 以降が必要)

モード (いずれかを選択): メイン ____ アグレッシブ ____

NAT Traversal：有 ____ 無 ____

NAT Traversal キープアライブ間隔：

IKE キープアライブ：有 ____ 無 ____

IKE キープアライブ メッセージ間隔： ________________

IKE キープアライブ最大失敗回数： ________________

デッド ピア ディテクション (RFC3706)：有 ____ 無 ____

デッド ピア ディテクション トラフィックのアイドル タイムアウト：________________

デッド ピア ディテクション最大再試行回数： ________________

認証アルゴリズム (いずれかを選択)：MD5___SHA1____ SHA2-256____SHA2-384____SHA2-512_____ (SHA-1 または SHA-2 推奨)

暗号化アルゴリズム (いずれかを選択)：DES____ 3DES____ AES-128____ AES-192____ AES-256____ (AES-128、AES-192、または AES-256 推奨)

SA の有効期間 ________________

SA の有効期限の単位として、 時間数を選択します。

Diffie-Hellman グループ (いずれかを選択)：1____ 2____ 5____14____15____19____20____

### フェーズ 2 の設定(両側に同じ値を使用する必要があります。)

Perfect Forward Secrecy (Diffie-Hellman グループ) : 無効____ グループ 1____ グループ 2____ グループ 5____ グループ 14____ グループ 15____ グループ 19____ グループ 20____

認証アルゴリズム (いずれかを選択)：MD5____ SHA1____ (SHA-1 推奨)

暗号化アルゴリズム (いずれかを選択)：DES____ 3DES____AES____ (AES 推奨。この AES 設定の暗号化の強さは 256 ビット)

キーの有効期限を強制的に終了する (時間)：________________

キーの有効期限を強制的に終了する (キロバイト)：________________

## トンネルの設定の例

このセクションには、前のセクションと同じフィールドと設定例が示されています。これらの設定は、この例の画像で表示されている設定に対応します。

サイト A (Fireware v11.x を使用する Firebox)

パブリック IP アドレス：203.0.113.2

プライベート ネットワーク IP アドレス：10.0.1.0/24

サイト B (Fireware v11.x を使用する Firebox)

パブリック IP アドレス：198.51.100.2

プライベート ネットワーク IP アドレス：10.50.1.0/24

フェーズ 1 の設定(両側に同じ値を使用する必要があります。)

認証メソッド：事前共有キーの使用 を選択

事前共有キー：SiteA2SiteB

バージョン：IKEv1

モード：メイン

NAT Traversal：有効

NAT Traversal キープアライブ間隔：20分

IKE キープアライブ：無効

IKE キープアライブ メッセージ間隔：なし

IKE キープアライブ最大失敗回数：なし

デッド ピア ディテクション (RFC3706)：有効

デッド ピア ディテクション トラフィックのアイドル タイムアウト：20秒

デッド ピア ディテクションの最大再試行回数：5

認証アルゴリズム：SHA1

暗号化アルゴリズム：AES (128 ビット)

SA の有効期限：8 時間

Diffie-Hellman グループ：2

フェーズ 2 の設定(両側に同じ値を使用する必要があります。)

Perfect Forward Secrecy (Diffie-Hellman グループ)：無効

タイプ：ESP

認証アルゴリズム：SHA1

認証アルゴリズム：AES (この AES 設定の暗号化の強さは 256 ビット)

WSM v11.x を使用する場合、例のフェーズ 1 および フェーズ 2 の設定は既定設定と一致します。これは、WSM v10.2.2 以降および Edge v10.2.2 以降の既定の設定にも一致します。

## サイト A、Fireware 11.x を構成する

サイト A に Fireware v11.x を使用する Firebox を構成します。ゲートウェイは、1 つまたは複数のトンネルの接続ポイントです。ゲートウェイを構成するには、以下を指定します。

- 認証メソッド (事前共有キーまたは IPSec Firebox 証明書)
- IP アドレスまたはドメイン情報で指定された、ローカルおよびリモートのゲートウェイ エンドポイントの場所。
- Internet Key Exchange (IKE) ネゴシエーションのフェーズ 1 の設定

この例では、前のセクションで指定した値を使用します。

VPN ゲートウェイを追加するには、以下の手順を実行します：

1. VPN > Branch Office VPN の順に選択します。
   [Branch Office VPN 構成] ページが表示され、ページの最上部には ゲートウェイ リストが表示されます。
2. ゲートウェイ セクションで、追加 をクリックします。
   ゲートウェイの設定ページが表示されます。

1. ゲートウェイ名 テキスト ボックスに、Policy Manager のこのゲートウェイを識別する名前を入力します。
2. 認証メソッド セクションで、事前共有キーの使用 を選択します。共有キー を入力します。
   共有キーには、標準の ASCII 文字のみ使用する必要があります。
3. ゲートウェイ エンドポイント セクションで、追加 をクリックします。
   [新しいゲートウェイ エンドポイントの設定] ダイアログ ボックスが表示されます。

1. 外部インターフェイス ドロップダウン リストからサイト A の Firebobox の外部 (パブリック) IP アドレスを持つインターフェイスを選択します。
2. IP アドレス別 を選択します。
3. IP アドレスで指定 テキスト ボックスで、サイトA の Firebox の外部 (パブリック) IP アドレスを入力します。
4. リモートゲートウェイ タブで、静的 IP アドレス を選択します。
5. 静的 IP アドレス テキスト ボックスに、サイト B Firebox の外部 (パブリック) IP アドレスを入力します。
6. ゲートウェイ ID を指定するには、IP アドレスで指定 を選択します。
7. IPアドレス別 テキスト ボックスで、サイトB Firebox の外部 (パブリック) IP アドレスを入力します。
8. OK をクリックして、新しいゲートウェイ エンドポイントの設定 ダイアログ ボックスを閉じます。
   定義したゲートウェイ ペアが、ゲートウェイ エンドポイントのリストに表示されます。

### フェーズ 1 の設定を構成する

IPSec 接続のフェーズ 1 では、2 つのピアによって、セキュリティで保護され認証されたチャネルが構成され、通信に使用できるようになります。これは ISAKMP Security Association (SA) と呼ばれています。

1. フェーズ 1 の設定 タブをクリックします。

1. バージョン ドロップダウン リストから、IKEv1 を選択します。
2. モード ドロップダウン リストから メイン を選択します。
   両方のエンドポイントには静的 IP アドレスがあるため、例ではメイン モードを使用します。1 つのエンドポイントには動的 IP アドレスがある場合、アグレッシブ モードを使用します。
3. NAT Traversal と デッド ピア ディテクション (RFC3706) を選択します。これが、Fireware v11.x を使用する Firebox と Fireware v10.2.2 以降を使用する Firebox 間の BOVPN トンネルに推奨される設定です。
4. 設定の変換 セクションで、既定の変換を選択し、編集 をクリックします。

1. 認証 および 暗号化 ドロップダウン リストから、優先アルゴリズムを選択します。この例では、SHA-1 と AES (128ビット) を選択します。
2. SA の有効期限 テキスト ボックスに、8 と入力します。ドロップダウン リストから [時間数] を選択します。
3. キー グループ ドロップダウン リストから、Diffie-Hellman グループを選択します。この例では、Diffie-Hellman グループ 2 を選択します。
4. OK をクリックします。他のすべてのフェーズ 1 の設定は既定値のままにしておきます。
5. 保存 をクリックして、ゲートウェイ ページを閉じます。
   追加したゲートウェイが Branch Office VPN ページのゲートウェイのリストに表示されます。

### VPN トンネルを追加する

ゲートウェイを定義したら、エンドポイント間にトンネルを作成できます。トンネルを作成すると、以下の項目を指定する必要があります。

- ルート(トンネルのローカルとリモート エンドポイント)
- Internet Key Exchange (IKE) ネゴシエーションのフェーズ 2 の設定

VPN トンネルを追加するには、

1. トンネル セクションで、追加 をクリックします。
   [トンネルの構成] ページが表示されます。

1. 名前 テキスト ボックスに、トンネルの名前を入力します。
2. ゲートウェイ ドロップダウン リストから、作成したゲートウェイを選択します。
3. トンネルを BOVPN-Allow.in と BOVPN-Allow.out ポリシーに追加するには、アドレス タブで、このトンネルを BOVPN-Allow ポリシーに追加する チェックボックスを選択します。
   これらのポリシーはトンネル ルートに一致するすべてのトラフィックを許可します。トンネルを経由するトラフィックを制限するには、このチェック ボックスをオフにし、BOVPN Policy Wizard を使用して、トンネル経由を許可するトラフィックの種類に対するポリシーを作成します。
4. アドレス セクションで、追加 をクリックします。
   トンネル ルートの設定 ダイアログ ボックスが表示されます。

1. ローカル IP セクションの 種類の選択 ドロップダウン リストから、ホストまたはネットワークのタイプを選択します。この例では、ネットワーク IPv4 を選択します。
2. ネットワーク IP テキスト ボックスに、ローカル (プライベート) ネットワーク アドレスを入力します。
   これは、サイト A プライベート ネットワーク IP アドレスです。
3. リモート IP セクションの 種類の選択 ドロップダウン リストから、ホストまたはネットワークのタイプを選択します。この例では、ネットワーク IPv4 を選択します。
4. ネットワーク IP テキスト ボックスに、リモート (プライベート) ネットワーク アドレスを入力します。
   これは、サイト B プライベート ネットワーク アドレスです。
5. 方向 ドロップダウン リストから、トンネルの方向を選択します。トンネルの方向によって、VPN トンネルのどちらのエンドポイントからトンネルを経由したVPN 接続が開始されるかが決定されます。
6. OK をクリックします。
   トンネル ルートは[トンネルの設定] ページのアドレス セクションで表示されます。

### フェーズ 2 の設定を構成する

フェーズ 2 の設定には、セキュリティ アソシエーション (SA) の設定が含まれています。SA は、データ パケットが 2 つのエンドポイント間で送信される場合に、どのようにセキュリティが保護されるかを定義するものです。SA には、エンドポイント間のトラフィックの処理方法について Firebox が必要とするあらゆる情報が含まれています。

1. トンネルの設定 ページの フェーズ 2 の設定 タブをクリックします。

1. Perfect Forward Secrecy (PFS) を有効にするには、Perfect Forward Secrecy を有効にする チェック ボックスを選択します。
2. PFS を有効化する場合は、Perfect Forward Secrecy を有効にする ドロップダウン リストから、Diffie-Hellman グループを選択します。この例では、Diffie-Hellman グループ 2 を選択します。
3. Firebox には既定のプロポーザルが 1 つ含まれており、これは IPSec プロポーザル リストに表示されます。このプロポーザルでは、ESP データ保護方法、AES 暗号化、および SHA1 認証が指定されます。この例として既定のプロポーザルを使用します。次のいずれかを行うことができます。

- 規定のプロポーザルを使用します。
- 既定のプロポーザルを削除します。ドロップダウン リストから別のプロポーザルを選択し、追加 をクリックします。
- 次に説明されている通り、その他のプロポーザルを追加します。フェーズ 2 のプロポーザルを追加する。

5. 保存 をクリックします。
   作成したトンネルが BOVPN ページの トンネル リストに表示されます。

サイト A の Firebox が構成されました。

## サイト B の Fireware v11.x を構成する

Fireware v11.x を使用する Firebox があるサイト B でゲートウェイを構成します。

VPN ゲートウェイを追加するには、

1. VPN > Branch Office VPN の順に選択します。
   BOVPN構成 ページが表示され、ページの最上部には ゲートウェイ リストが表示されます。

1. ゲートウェイを追加するには、追加 をクリックします。
   ゲートウェイの設定 ページが表示されます。
2. ゲートウェイ名 テキスト ボックスに、Policy Manager のこのゲートウェイを識別する名前を入力します。
3. 全般設定 タブを選択します。
4. 認証メソッド セクションで、事前共有キーの使用 を選択します。共有キー を入力します。
   共有キーには、標準の ASCII 文字のみ使用する必要があります。
5. ゲートウェイ エンドポイント セクションで、追加 をクリックします。
   [新しいゲートウェイ エンドポイントの設定] ダイアログ ボックスが表示されます。

1. 外部インターフェイス ドロップダウン リストからサイト A の Firebobox の外部 (パブリック) IP を持つインターフェイスを選択します。
2. IP アドレス別 を選択します。
3. IP アドレスで指定 テキスト ボックスで、サイトA の Firebox の外部 (パブリック) IP アドレスを入力します。
4. リモートゲートウェイ タブで、静的 IP アドレス を選択します。
5. 静的 IP アドレス テキスト ボックスに、サイト B Firebox の外部 (パブリック) IP アドレスを入力します。
6. ゲートウェイ ID を指定するには、IP アドレスで指定 を選択します。
7. IPアドレス別 テキスト ボックスで、サイトB Firebox の外部 (パブリック) IP アドレスを入力します。
8. OK をクリックして、新しいゲートウェイ エンドポイントの設定 ダイアログ ボックスを閉じます。
   定義したゲートウェイ ペアが、ゲートウェイ エンドポイントのリストに表示されます。

### フェーズ 1 の設定を構成する

IPSec 接続のフェーズ 1 では、2 つのピアによって、セキュリティで保護され認証されたチャネルが構成され、通信に使用できるようになります。これは ISAKMP Security Association (SA) と呼ばれています。

1. フェーズ 1 の設定 タブをクリックします。

1. モード ドロップダウン リストで、メイン をクリックします。
   両方のエンドポイントには静的 IP アドレスがあるため、例ではメイン モードを使用します。1 つのエンドポイントには動的 IP アドレスがある場合、アグレッシブ モードを使用します。
2. NAT Traversal と デッド ピア ディテクション (RFC3706) を選択します。
3. 設定の変換 セクションで、既定の変換を選択し、編集 をクリックします。
   [設定の変換] ダイアログ ボックスが表示されます。

1. 認証 および 暗号化 ドロップダウン リストから、優先アルゴリズムを選択します。この例では、SHA-1 と AES (128ビット) を選択します。
2. SA の有効期限 テキスト ボックスに、8 と入力し、時間 を選択します。
3. キー グループ ドロップダウン リストから、Diffie-Hellman グループを選択します。この例では、Diffie-Hellman グループ 2 を選択します。
4. OK をクリックします。他のすべてのフェーズ 1 の設定は既定値のままにしておきます。
5. 保存 をクリックして、ゲートウェイ ページを閉じます。
   追加したゲートウェイが BOVPN ページのゲートウェイのリストに表示されます。

### VPN トンネルを追加する

1. アドレス セクションで、追加 をクリックします。
   [トンネルの構成] ページが表示されます。

1. 名前 テキスト ボックスに、トンネルの名前を入力します。
2. ゲートウェイ ドロップダウン リストから、直前に作成したゲートウェイを選択します。
3. アドレス タブを選択します。
4. BOVPN-Allow.in および BOVPN-Allow.out ポリシーにトンネルを追加するには、[このトンネルを BOVPN-Allow ポリシーに追加する] チェック ボックスをオンにします。
   これらのポリシーはトンネル ルートに一致するすべてのトラフィックを許可します。トンネルを経由するトラフィックを制限するには、このチェック ボックスをオフにし、BOVPN Policy Wizard を使用して、トンネル経由を許可するトラフィックの種類に対するポリシーを作成します。
5. 追加 をクリックします。
   トンネル ルートの設定 ダイアログ ボックスが表示されます。

1. ローカル IP セクションの 種類の選択 ドロップダウン リストから、ホストまたはネットワークのタイプを選択します。この例では、ネットワーク IPv4 を選択します。
2. ネットワーク IP テキスト ボックスに、ローカル (プライベート) ネットワーク アドレスを入力します。
   これは、サイト B のプライベート ネットワーク アドレスです。
3. リモート IP セクションの 種類の選択 ドロップダウン リストから、ホストまたはネットワークのタイプを選択します。この例では、ネットワーク IPv4 を選択します。
4. ネットワーク IP テキスト ボックスに、リモート (プライベート) ネットワーク アドレスを入力します。
   これは、サイト A のプライベート ネットワーク アドレスです。
5. 方向 ドロップダウン リストから、双方向 を選択します。トンネルの方向によって、VPN トンネルのどちらのエンドポイントからトンネルを経由したVPN 接続が開始されるかが決定されます。
6. OK をクリックします。
   トンネル ルートがトンネルの設定 ページのアドレス セクションに表示されます。

### フェーズ 2 の設定を構成する

フェーズ 2 の設定には、セキュリティ アソシエーション (SA) の設定が含まれています。SA は、データ パケットが 2 つのエンドポイント間で送信される場合に、どのようにセキュリティが保護されるかを定義するものです。SA には、エンドポイント間のトラフィックの処理方法について Firebox が必要とする、あらゆる情報が含まれています。

1. トンネルの設定 ページの フェーズ 2 の設定 タブをクリックします。

1. Perfect Forward Secrecy (PFS) を有効にするには、[PFS] チェック ボックスを選択します。
2. PFS を有効にする場合は、PFS ドロップダウン リストから、Diffie-Hellman グループを選択します。この例では、Diffie-Hellman グループ 2 を選択します。
3. Firebox には既定のプロポーザルが 1 つ含まれており、これは IPSec プロポーザル リストに表示されます。このプロポーザルでは、ESP データ保護方法、AES 暗号化、および SHA1 認証が指定されます。この例として既定のプロポーザルを使用します。次のいずれかを行うことができます。
   - 追加 をクリックして、既定のプロポーザルを追加できます。
   - 既定のプロポーザルを削除します。ドロップダウン リストから別のプロポーザルを選択し、追加 をクリックします。
   - 次に説明されているように、追加のプロポーザルを追加します。フェーズ 2 のプロポーザルを追加する.
4. 保存 をクリックします。
   作成したトンネルが BOVPN ページのトンネル リストに表示されます。

サイト B の Firebox を構成します。

トンネルの両端の構成が完了すると、トンネルが開き、トラフィックがトンネルを通過します。トンネルが動作しない場合は、トンネルの起動にかかった時間について、両方の Firebox のログ ファイルを確認します。構成の障害ポイントおよび問題となる設定を示すために、ログ メッセージはログ ファイルに表示されます。Firebox System Manager を使用して、ログメッセージをリアルタイムに確認することもできます。

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索