関連トピック

# IPSec グループ プロファイルを使用して既存の Mobile VPN を変更する

Mobile VPN with IPSec グループを作成した後、プロファイルを編集し以下が行えます。

- 共有キーの変更
- 追加ホストまたはネットワークへのアクセスの追加
- 単一の送信先ポート、ソース ポート、またはプロトコルへのアクセスの制限
- フェーズ 1 またはフェーズ 2 の設定の変更

## Mobile VPN with IPSec グループを構成する

Mobile VPN with IPSec グループを編集するには、Fireware Web UI から以下の手順を実行します：

1. VPN > Mobile VPN with IPSec の順に選択します。
   Mobile VPN with IPSec ページが表示されます。

1. グループ リストでグループを選択し、編集 をクリックします。
   Mobile User VPN with IPSec 設定のページが表示されます。

1. グループ プロファイルを編集するには、以下のオプションを構成します：

認証サーバー

この Mobile VPN グループに使用する認証サーバーを選択します。Firebox (Firebox-DB) に対して、または RADIUS、VASCO、SecurID、LDAP、Active Directory 認証サーバーに対してユーザー認証を行うことができます。この認証方法が有効になっていることを確認してください。

パスフレーズ

.WGX ファイルを暗号化するパスフレーズを変更するには、新しいパスフレーズを入力します。共有キーでは、標準の ASCII 文字を使用する可能性があります。認証に証明書を使用する場合、これは証明書の PIN です。

確認

新しいパスフレーズを再度入力します。

プライマリ

このグループ内の Mobile VPN ユーザーが接続できるプライマリ外部 IP アドレスまたはドメインを入力します。これは、外部 IP アドレス、セカンダリ外部 IP アドレス、または外部 VLAN のいずれかです。ドロップイン モードの Firebox の場合は、すべてのインターフェイスに割り当てられる IP アドレスを指定します。

バックアップ

このグループ内の Mobile VPN ユーザーが接続できるバックアップ外部 IP アドレスまたはドメインを入力します。このバックアップ IP アドレスはオプションです。バックアップ IP アドレスを追加する場合、Firebox の外部インターフェイスまたは VLAN に割り当てられている IP アドレスを指定してください。

セッション タイムアウト

Mobile VPN セッションがアクティブになることができる最大の時間を分単位で選択します。

アイドル タイムアウト

Firebox がアイドル状態の Mobile VPN セッションを終了するまでの時間 (分単位) を選択します。認証サーバーが特定のタイムアウト値を返さない場合、セッションおよびアイドルのタイムアウト値が既定のタイムアウトになります。Firebox を認証サーバーに使用する場合は、各 Firebox のユーザー アカウントにタイムアウトが設定されるため、Mobile VPN グループのタイムアウトは常に無視されます。

既定値は 8 時間です。

セッションおよびアイドル タイムアウトを、SA の有効期間 テキスト ボックスの値より長くすることはできません。

この値を設定するには、次の手順を実行します：

1. IPSec トンネル タブを選択します。
2. フェーズ 1 の設定 セクションの 詳細 をクリックします。

1. IPSec トンネル タブを選択します。

1. IPSec 設定を編集するには、以下のオプションを構成します。

IPSec トンネルの設定

トンネル認証には、事前共有キーまたは証明書を使用することができます。

エンドユーザー プロファイルのパスフレーズをトンネル認証の事前共有キーとして使用するには、エンドユーザー プロファイルのパスフレーズを事前共有キーとして使用する を選択します。パスフレーズには パスフレーズ セクションの 全般 タブに設定されています。リモート デバイスでも同じ共有キーを使用する必要があります。共有キーでは、標準の ASCII 文字を使用する可能性があります。

トンネル認証に証明書を使用するには、証明書を使用する を選択します。
詳細については、次を参照してください：Mobile VPN with IPSec トンネル認証用の証明書。

証明書を使用する場合は、CA IP アドレス および タイムアウト を指定する必要があります。CA IP アドレス テキスト ボックスに、認証機関として構成されている Management Server の IP アドレスを入力します。タイムアウト テキスト ボックスに、認証機関が応答しない場合に、Mobile VPN with IPSec クライアントが接続試行を続ける時間を秒単位で入力します。既定の設定を使用することをお勧めします。

フェーズ 1 の設定

Mobile VPN トンネルのフェーズ 1 変換の認証および暗号化方法を選択します。これらの設定の詳細については、次を参照してください：IPSec のアルゴリズムとプロトコルについて。

認証 ドロップダウン リストから、MD5、SHA1、SHA2-256、SHA2-384 または SHA2-512 の認証方法を選択します。 ヒントSHA-1 よりも強力な SHA-2 のバリアント、SHA-256 および SHA-512 をお薦めします。

XTM 21、22、23、505、510、520、530、515、525、535、545、810、820、830、1050、および 2050 デバイスでは、SHA-2 は サポートされていません。これらのモデルのハードウェア暗号化アクセラレーションでは、SHA-2 はサポートされていません。他すべてのモデルでは SHA2 がサポートされています。

SHA2 は、Shrew Soft VPN クライアント v2.2.1 以上、または WatchGuard IPSec Mobile VPN クライアント v11.32 からの VPN 接続をサポートしています。Android または iOS デバイスからの VPN 接続では SHA2 はサポートされておらず、古いバージョンの Shrew Soft クライアントまたは WatchGuard IPSec VPN クライアントでもサポートされていません。

暗号化 ドロップダウン リストから、AES (128ビット)、AES (192ビット)、AES (256ビット)、DES または 3DES の暗号化方法を選択します。 ヒントAES 暗号化をお薦めします。パフォーマンスを優先するには AES (128 ビット) を選択します。強力な暗号化を優先するには AES (256 ビット) を選択します。DES または 3DES はお薦めしません。

NAT Traversal やキー グループなどの詳細設定を構成するには 詳細設定 をクリックします。詳細については、次を参照してください：フェーズ 1 の設定の詳細を定義する。

フェーズ 2 の設定

プロポーザルおよびキーの有効期限の設定を変更するには、プロポーザル をクリックします、詳細については、次を参照してください：フェーズ 2 の設定の詳細を定義する。

既定では Perfect Forward Secrecy (PFS) が有効になっています。PFS を有効のままにするには、Diffie-Hellman グループを選択します。 ヒントより強力なセキュリティにするには、PFS を有効のままにし、既定の Diffie-Hellman 値をグループ 14 のままにします。

Perfect Forward Secrecy により、セッションで作成されたキーのセキュリティ保護が強化されます。PFS で作成されるキーは、以前のキーからは作成されません。セッション後に以前のキーのセキュリティが侵害された場合でも、新しいセッション キーのセキュリティは保護されます。詳細については、次を参照してください：Diffie-Hellman グループについて。

1. リソース タブを選択します。

1. 次のオプションを構成します。

すべてのトラフィックにトンネル経由を許可する

すべての Mobile VPN ユーザーのインターネット トラフィックを VPN トンネル経由で送信するには、このチェック ボックスをオンにします。このオプションを選択した場合、Mobile VPN ユーザーのインターネット トラフィックは VPN 経由で送信されます。これらのユーザーではウェブサイトの読み込み速度がより遅くなる可能性があります。

このオプションを選択しない場合、Mobile VPN ユーザーのインターネット トラフィックは Firebox で検証されませんが、ユーザーはより速くインターネットを閲覧できます。

許可されたリソース

このリストには、ユーザーが Mobile VPN グループで使用するネットワーク リソースが含まれます。

トンネルを経由するすべてのトラフィックを許可する オプションを選択すると、許可されたリソース リストAny-External および 0.0.0.0/0 の既定値が必要になります。他のリソースは不要です。Fireware v11.12 以降では、このオプションが選択されていると、既定のリソースを削除したり追加のリソースを加えることができません。

トンネルを経由するすべてのトラフィックを許可する を選択していない場合は、次のような許可されたリソースを追加したり削除することができます：

- ネットワーク リソース リストに IP アドレスまたは ネットワーク IP アドレスを追加するには、ホスト IP または ネットワーク IP を選択して、アドレスを入力し、追加をクリックします。
- IP アドレスまたは ネットワーク IP アドレスをリソース リストから削除するには、リソース を選択して、削除 をクリックします。

許可されたリソースを編集すると、このグループの既定の Mobile VPN with IPSec ポリシーに含まれるリソース リストのみ自動更新されます。同じグループのその他の Mobile VPN with IPSec ポリシーでは、リソースは自動的に更新されません。Mobile VPN with IPSec ポリシーの許可されたリソースを編集し、必要に応じて更新する必要があります。詳細については、次を参照してください：IPSec Mobile VPN トラフィックをフィルタリングするポリシーを構成する。

仮想 IP アドレス プール

このリストには、トンネル上の Mobile VPN ユーザーによって使用される内部 IP アドレスが含まれます。これらのアドレスは、すべてのネットワーク デバイスまたはその他の Mobile VPN グループでは使用できません。

- 仮想 IP アドレス プールにホスト IP アドレスまたは ネットワーク IP アドレスを追加するには、ホスト IP または ネットワーク IP を選択して、アドレスを入力し、追加 をクリックします。
- 仮想 IP アドレス プールからホストまたはネットワーク IP アドレスを削除するには、ホストまたは IP アドレスを選択し、削除 をクリックします。

仮想 IP アドレスの詳細については、次を参照してください：バーチャル IP アドレスおよび Mobile VPN。

1. 詳細 タブを選択します。

1. ライン管理 設定を以下の通り構成します。

接続モード

手動モード — このモードでは、ユーザーは VPN トンネルを手動で開始する必要があります。これが、既定の設定です。VPN トンネルが停止しても、クライアントは VPN トンネルを自動的に再開しません。VPN トンネルを開始するには、Mobile VPN クライアントで 接続 をクリックします。または、Windows デスクトップのツールバーでMobile VPN アイコンを右クリックし、接続 をクリックします。

自動 — このモードでは、コンピュータが VPN トンネルを経由してリモート ホストにトラフィックを送信すると、クライアントは自動的に接続を開始しようとします。VPN トンネルが停止した場合、クライアント コンピュータ上のアプリケーションがリモート ホストへのトラフィック送信を実行すると、VPN トンネルを自動的に再開しようとします。

可変 — このモードで VPN トンネルを初めて手動で開始するは、ユーザーは 接続 をクリックする必要があります。ユーザーがユーザーを開始してから 切断 をクリックするまで、トンネルは 自動 モードで振る舞います。ユーザーが 切断 をクリックする前に VPN トンネルが停止した場合、クライアント コンピュータ上のアプリケーションがリモート ホストへのトラフィック送信を開始すると、クライアントは VPN トンネルを自動的に再開しようとします。

非アクティブ タイムアウト

非アクティブ タイムアウトでは、トラフィックが最後にトンネル経由で送信されてから、クライアントがトンネルを自動切断するまでに発生する時間遅延を指定します。非アクティブ タイムアウトには、最大 65,535 秒の値を設定することができます。既定では、非アクティブ値は 0 に設定されています。既定値の 0 では、非アクティブ時間が経過した後も VPN クライアントは確立されたトンネルを自動切断しません。トンネルはユーザーが手動で切断する必要があります。

既定のライン管理の設定は手動 または 0 秒 です。いずれかの設定を変更すると、クライアント ソフトウェアを構成するために .INI ファイルを使用する必要があります。

1. 保存 をクリックします。
   Mobile VPN with IPSec ページが表示されます。
2. 保存 をクリックします。

Mobile VPN with IPSec のグループ プロファイルを変更するには、Policy Manager から以下の手順を実行します：

1. VPN > Mobile VPN > IPSec の順に選択します。
   Mobile VPN with IPSec 構成 ダイアログボックスが表示されます。

2. プロファイル リストから変更するグループを選択します。
3. 編集 をクリックします。
   Mobile VPN with IPSec ダイアログボックスが表示されます。

1. 全般 タブでグループプロファイルの編集と次に記述されているの設定の構成ができます。

認証サーバー

この Mobile VPN グループに使用する認証サーバーを選択します。内部 Firebox データベース (Firebox-DB) を使用するか、または RADIUS、VASCO、SecurID、LDAP、または Active Directory Authentication サーバーを使用してユーザーを認証できます。

認証サーバーを構成するには、設定 > 認証 > 認証サーバー の順に選択します。

パスフレーズ

パスフレーズを入力し、このグループ内のユーザーに配布する Mobile VPN プロファイル (.wgx ファイル) を暗号化します。共有キーでは、標準の ASCII 文字を使用する可能性があります。認証に証明書を使用する場合、これは証明書の PIN です。

確認

パスフレーズを再度入力します。

プライマリ

このグループ内の Mobile VPN ユーザーが接続できるプライマリ外部 IP アドレスまたはドメインを選択または入力します。これは、外部 IP アドレス、セカンダリ外部 IP アドレス、または外部 VLAN のいずれかです。ドロップイン モードの Firebox の場合は、すべてのインターフェイスに割り当てられた IP アドレスを使用します。

バックアップ

このグループ内の Mobile VPN ユーザーが接続できるバックアップ外部 IP アドレスまたはドメインを入力または選択します。このバックアップ IP アドレスはオプションです。バックアップ IP アドレスを追加する場合、Firebox の外部インターフェイスまたは VLAN に割り当てられている IP アドレスを指定してください。

セッション

Mobile VPN セッションがアクティブになることができる最大の時間を分単位で選択します。

アイドル

Firebox がアイドル状態の Mobile VPN セッションを終了するまでの時間 (分単位) を選択します。認証サーバーが特定のタイムアウト値を返さない場合、セッションおよびアイドルのタイムアウト値が既定のタイムアウトになります。Firebox を認証サーバーに使用する場合は、各 Firebox のユーザー アカウントにタイムアウトが設定されるため、Mobile VPN グループのタイムアウトは常に無視されます。

セッションおよびアイドル タイムアウトを、SA の有効期限 に指定された値より長くすることはできません。この値を設定するには、Mobile VPN with IPSec の編集 のダイアログボックスの IPSec トンネル タブから 詳細 をクリックします。既定値は 8 時間です。

4. IPSec トンネル タブを選択します。

1. IPSec トンネル タブの設定を編集します：

トンネル認証方法

トンネル認証には、事前共有キーまたは証明書を使用することができます。

エンドユーザー プロファイルのパスフレーズをトンネル認証の事前共有キーとして使用するには、エンドユーザー プロファイルのパスフレーズを事前共有キーとして使用する を選択します。リモート デバイスでも同じ共有キーを使用する必要があります。共有キーでは、標準の ASCII 文字のみを使用します。

トンネル認証に証明書を使用するには、証明書を使用する を選択します。詳細については、次を参照してください：Mobile VPN with IPSec トンネル認証の証明書。

証明書を使用する場合は、CA IP アドレス および タイムアウト を指定する必要があります。CA IP アドレス テキスト ボックスに、認証機関として構成されている Management Server の IP アドレスを入力します。タイムアウト テキスト ボックスに、認証機関が応答しない場合に、Mobile VPN with IPSec クライアントが接続試行を続ける時間を秒単位で入力します。既定の設定を使用することをお勧めします。

フェーズ 1 の設定

Mobile VPN トンネルのフェーズ 1 変換の認証および暗号化方法を選択します。これらの設定の詳細については、次を参照してください：IPSec のアルゴリズムとプロトコルについて。

認証 ドロップダウン リストから、MD5、SHA1、SHA2-256、SHA2-384 または SHA2-512 の認証方法を選択します。 ヒントSHA-1 よりも強力な SHA-2 のバリアント、SHA-256 および SHA-512 をお薦めします。

XTM 21、22、23、505、510、520、530、515、525、535、545、810、820、830、1050、および 2050 デバイスでは、SHA-2 は サポートされていません。これらのモデルのハードウェア暗号化アクセラレーションでは、SHA-2 はサポートされていません。他すべてのモデルでは SHA2 がサポートされています。

SHA2 は、Shrew Soft VPN クライアント v2.2.1 以上、または WatchGuard IPSec Mobile VPN クライアント v11.32 からの VPN 接続をサポートしています。Android または iOS デバイスからの VPN 接続では SHA2 はサポートされておらず、古いバージョンの Shrew Soft クライアントまたは WatchGuard IPSec VPN クライアントでもサポートされていません。

暗号化 ドロップダウン リストから、AES (128ビット)、AES (192ビット)、AES (256ビット)、DES または 3DES の暗号化方法を選択します。 ヒントAES 暗号化をお薦めします。パフォーマンスを優先するには AES (128 ビット) を選択します。強力な暗号化を優先するには AES (256 ビット) を選択します。DES または 3DES はお薦めしません。

NAT Traversal やキー グループなどの詳細設定を構成するには 詳細設定 をクリックします。詳細については、次を参照してください：フェーズ 1 の設定の詳細を定義する。

フェーズ 2 設定

プロポーザルおよびキーの有効期限の設定を変更するには、プロポーザル をクリックします、詳細については、次を参照してください：フェーズ 2 の設定の詳細を定義する。

既定では Perfect Forward Secrecy (PFS) が有効になっています。PFS を有効のままにするには、Diffie-Hellman グループを選択します。 ヒントより強力なセキュリティにするには、PFS を有効のままにし、既定の Diffie-Hellman 値をグループ 14 のままにします。

Perfect Forward Secrecy により、セッションで作成されたキーのセキュリティ保護が強化されます。PFS で作成されるキーは、以前のキーからは作成されません。セッション後に以前のキーのセキュリティが侵害された場合でも、新しいセッション キーのセキュリティは保護されます。詳細については、次を参照してください：Diffie-Hellman グループについて。

6. リソース タブを選択します。

1. 許可されたネットワーク リソースおよび仮想 IP アドレスを追加および削除する。

すべてのトラフィックをトンネル経由にする

すべての Mobile VPN ユーザーのインターネット トラフィックを VPN トンネル経由で送信するには、このチェック ボックスをオンにします。このオプションを選択した場合、Mobile VPN ユーザーのインターネット トラフィックは VPN 経由で送信され、これらのユーザーには Web サイトの読み込みが遅くなる可能性があります。

このオプションを選択しない場合、Mobile VPN ユーザーのインターネット トラフィックは Firebox で検証されませんが、ユーザーはより速くインターネットを閲覧できます。

許可されたリソース リスト

このリストには、グループのユーザーがネットワーク上でアクセスできるリソースが表示されます。

トンネルを経由するすべてのトラフィックを強制する オプションを選択すると、許可されたリソース リストAny-External および 0.0.0.0/0 の既定値が必要になります。他のリソースは不要です。Fireware v11.12 以降では、このオプションが選択されていると、既定のリソースを削除したり追加のリソースを加えることができません。

トンネルを経由するすべてのトラフィックを強制する を選択していない場合は、次のような許可されたリソースを追加したり削除することができます：

- 許可されたリソースのリストにホスト IP アドレスまたはネットワーク IP アドレスを追加するには、追加 をクリックします。
- ホスト IP アドレスまたはネットワーク IP アドレスを許可されたリソースのリストから削除するには、リソース を選択して、削除 をクリックします。

許可されたリソースを編集すると、このグループの Mobile VPN with IPSec ポリシーでリソースのリストは自動的に更新されません。Mobile VPN with IPSec ポリシーの許可されたリソースを手動で編集し、必要に応じて更新する必要があります。詳細については、次を参照してください：IPSec Mobile VPN トラフィックをフィルタリングするポリシーを構成する

仮想 IP アドレス プール

このリストには、トンネル上の Mobile VPN ユーザーによって使用される内部 IP アドレスが表示されます。これらのアドレスは必要な場合だけ使用されます。

仮想 IP アドレス プールにホスト IP アドレス、または IP アドレスのホスト範囲を追加するには、追加 をクリックします。

選択したホスト IP アドレスまたは IP アドレスのホスト範囲を仮想 IP アドレス プールからクリアするには、削除 をクリックします。

仮想 IP アドレスの詳細については、次を参照してください：バーチャル IP アドレスおよび Mobile VPN。

1. 詳細 タブを選択します。

1. ライン管理 設定を以下の通り構成します。

接続モード

手動モード — このモードでは、ユーザーは VPN トンネルを手動で開始する必要があります。これが、既定の設定です。VPN トンネルが停止しても、クライアントは VPN トンネルを自動的に再開しません。VPN トンネルを開始するには、Mobile VPN クライアントで 接続 をクリックします。または、Windows デスクトップのツールバーでMobile VPN アイコンを右クリックし、接続 をクリックします。

自動 — このモードでは、コンピュータが VPN トンネルを経由してリモート ホストにトラフィックを送信すると、クライアントは自動的に接続を開始しようとします。VPN トンネルが停止した場合、クライアント コンピュータ上のアプリケーションがリモート ホストへのトラフィック送信を実行すると、VPN トンネルを自動的に再開しようとします。

可変 — このモードで VPN トンネルを初めて手動で開始するは、ユーザーは 接続 をクリックする必要があります。ユーザーがユーザーを開始してから 切断 をクリックするまで、トンネルは 自動 モードで振る舞います。ユーザーが 切断 をクリックする前に VPN トンネルが停止した場合、クライアント コンピュータ上のアプリケーションがリモート ホストへのトラフィック送信を開始すると、クライアントは VPN トンネルを自動的に再開しようとします。

非アクティブ タイムアウト

非アクティブ タイムアウトでは、トラフィックが最後にトンネル経由で送信されてから、クライアントがトンネルを自動切断するまでに発生する時間遅延を指定します。非アクティブ タイムアウトには、最大 65,535 秒の値を設定することができます。既定では、非アクティブ値は 0 に設定されています。既定値の 0 では、非アクティブ時間が経過した後も VPN クライアントは確立されたトンネルを自動切断しません。トンネルはユーザーが手動で切断する必要があります。

既定のライン管理の設定は手動 または 0 秒 です。この設定を変更すると、クライアント ソフトウェアを構成するために .INI ファイルを使用する必要があります。

1. OK をクリックします。
2. 構成を Firebox に保存します。

編集したグループのメンバーであるユーザーは、WatchGuard IPSec Mobile VPN クライアント ソフトウェアに正しい構成ファイルをインポートするまで接続できません。構成ファイルを生成して、エンドー ユーザーに提供する必要があります。

詳細については、次を参照してください：Mobile VPN with IPSec 構成ファイルを生成する.

#### 関連情報

Mobile VPN with IPSec 構成ファイルを生成する

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索