関連トピック

# Branch Office VPN トンネル可用性の向上

設定が正しく行われている BOVPN インストールがありますが、BOVPN 接続は正常に動作しない可能性があります。BOVPN トンネルの可用性に関する問題のトラブルシューティングに活用できるために次の情報を使用できます。これらの手順は、一般的な BOVPN トンネルのパフォーマンスを向上しません。

多くの BOVPN トンネルは常時トラフィックを送信するのに利用可能です。問題は、多くの場合、以下の 3 つの条件のいずれかに関連します。

- 1 つのエンドポイントまたは両方のエンドポイントには信頼できない外部接続があります。高レイテンシー、高パケット フラグメンテーション、および高パケット消失により、接続の信頼性がなくなります。これらの要因は、HTTP と SMTP などのその他の一般的なトラフィックよりも BOVPN トラフィックに大きな影響を与えます BOVPN トラフィックの場合、暗号化パケットが宛先エンドポイントに受信され、暗号解除されている必要があります。それで、暗号解除されているトラフィックを宛先 IP アドレスにルーティングする前に再構築されます。
- 1 つのエンドポイントが Firebox でない、または古い Firebox か古いシステム ソフトウェアの XTM デバイスです。新しい WatchGuard 製品とより古いデバイスの間の適合性テストが、古いデバイスに利用できる最新のソフトにより実行されます。旧バージョンのソフトウェアを使用する場合、最新のソフトウェア リリースによって修正された問題が発生する可能性がある。
  Firebox と XTM デバイスは IPSec 標準に基づいているので、ほとんどのサードパーティ エンドポイントと互換性があります。しかし、一部のサードパーティのエンドポイント デバイスはソフトウェアの問題や専用の設定のため、 IPSec 互換性がありません。
- 低量のトラフィックをトンネル経由で送信する場合や、トラフィックが長時間トンネルを経由して送信しない場合、一部のエンドポイントは VPN 接続を終了します。Fireware を実行する Firebox、および Firebox X Edge デバイスではこれを行うことはできません。一部のサードパーティ デバイスは、無効になっているように見えるトンネルを終了する方法としてこの条件を使用します。

すべての Firebox に最新のオペレーティング システム ソフトウェアをインストールできますが、このリストの他のすべての条件は制御することができません。ただし、Branch Office VPN の可用性を高めるために、特定の操作を実行することができます。

IKE キープアライブまたはデッド ピア ディテクションのどちらかを選択します (両方は選択しません)。

IKE キープアライブとデッド ピア ディテクション (DPD) の両方の設定は、トンネルがいつ切断されたかを示します。トンネルが切断されたことを発見すると、新しいフェーズ 1 のネゴシエーションを起動します。IKE キープアライブとデッド ピア ディテクション (DPD) の両方を選択すると、起動したフェーズ 1 のネゴシエーションにより、他の設定がトンネルが切断されたと識別したり、 2 番目のフェーズ 1 のネゴシエーションを起動したりする可能性があります。各フェーズ 1 のネゴシエーションは、トンネルがネゴシエートされるまですべてのトンネルでトラフィックを停止します。トンネルの安定性を改善するには、IKE キープアライブまたは デッド ピア ディテクション (DPD) のどちらかを選択します。両方を選択しないでください。

IKE キープアライブ 設定は、Firebox のみで使用されます。リモート エンドポイントがサードパーティの IPSec デバイスである場合は、この設定を使用しないでください。

IKE キープアライブを有効化すると、Firebox が定期的な間隔でリモートゲートウェイ デバイスにメッセージを送信し、応答を待ちます。メッセージ間隔は、メッセージを送信する最大回数を設定します。最大失敗回数 は、リモートゲートウェイ デバイスが応答に失敗できる最大回数で、この回数を超えると Firebox がフェーズ 1 ネゴシエーションを再度試みます。

デッド ピア ディテクション (DPD) は、ほとんどの IPSec デバイスによって使用される業界標準です。両方のエンドポイントが Dead Peer Detection をサポートしている場合は、Dead Peer Detection を選択します。

デッド ピア ディテクション (DPD) を有効にすると、Firebox がトンネル トラフィックを監視して、トンネルがアクティブであるかどうかを特定します。トラフィック アイドル タイムアウト に入力されている時間以内にリモート ピアからトラフィックが受信されず、ピアに送信されるパケットが待機している場合は、Firebox からクエリが実行されます。最大再試行回数 を過ぎても応答が受信されない場合は、Firebox はフェーズ 1 接続のネゴシエーションを再度試みます。デッド ピア ディテクション (DPD) の詳細については、 http://www.ietf.org/rfc/rfc3706.txt を参照してください。

IKE キープアライブとデッド ピア ディテクション (DPD) 設定はフェーズ 1 設定の一部です。

Fireware Web UI から、フェーズ 1 設定を編集するには、以下の手順を実行します：

1. VPN > BOVPN の順に選択します。
2. ゲートウェイを選択して、編集 をクリックします。
3. フェーズ 1 の設定 タブをクリックします。

フェーズ 1 設定を編集するには、Policy Manager から以下の手順を実行します：

1. VPN > Branch Office ゲートウェイ の順に選択します。
2. ゲートウェイを選択して、編集 をクリックします。
3. フェーズ 1 の設定 タブをクリックします。

既定の VPN 設定を使用する

既定の Branch Office VPN 設定は、セキュリティと速度の最高の組み合わせで設定されています。可能な場合、既定の設定を使用します。リモート エンドポイント デバイスが WatchGuard の既定の設定をサポートしていない場合は、リモート エンドポイントから既定設定を使用するように Firebox を構成します。WSM 11.x の既定の設定は以下のとおりです。

VPN 設定がリストに表示されない場合は、それを変更することはできません。

全般設定
モード | メイン (いずれかのデバイスに動的外部 IP アドレスが指定されている場合は、アグレッシブを選択します。)
NAT Traversal | はい
NAT Traversal キープアライブ間隔 | 20 秒
IKE キープ アライブ | 無効
IKE キープアライブ メッセージ間隔 | なし
IKE キープアライブ最大失敗回数 | なし
Dead Peer Detection (RFC3706) | 有効
Dead Peer Detection トラフィック アイドル タイムアウト | 20 秒
Dead Peer Detection 最大再試行回数 | 5

フェーズ 1 の変換設定
認証アルゴリズム | SHA-1
暗号化アルゴリズム | 3DES
SA の有効期限またはネゴシエーションの有効期限 (時間) | 8
SA の有効期限またはネゴシエーションの有効期限 (KB) | 0
Diffie-Hellman グループ | 2

フェーズ 2 プロポーザル設定
種類 | ESP
認証アルゴリズム | SHA-1
暗号化アルゴリズム | AES (256 ビット)
キーの期限を強制的に終了する | 有効化
フェーズ 2 キーの有効期限 (時間) | 8
フェーズ 2 キーの有効期限 (KB) | 128000
Perfect Forward Secrecy の有効化 | いいえ
Diffie-Hellman グループ | なし

トンネル経由でログ メッセージ トラフィックを送信するように Firebox を構成する

トンネル経由で トラフィックが一定期間送信されない場合、ゲートウェイ エンドポイントは他のエンドポイントが使用不可であると判断し、直ちに VPN トンネルを再ネゴシエートしようとはしません。トラフィックが常にトンネル経由で送信されることを確実にする方法の 1 つは、トンネル経由でログ メッセージ トラフィックを送信するように Firebox を構成することです。Log Server は、トラフィックのレコードを受信し保持する必要はありません。この場合は、存在しない Log Server にログ メッセージ トラフィックを送信するように Firebox を意図的に構成することができます。これにより、トンネル経由の一貫しているけれども量の少ないトラフィックの送信が作成され、トンネルが安定するのに役立ちます。

ログ データには、WatchGuard ログ記録と syslog ログ記録の 2 つの種類があります。デバイスが WatchGuard Log Server と syslog サーバーの両方にログ データを送信するように構成されている場合は、トンネル経由でトラフィックを送信するためにこの方法を使用することはできません。

ログ データを送信する Log Server IP アドレスを選択する必要があります。IP アドレスを選択する場合は、以下のガイドラインに従ってください。

- 指定する Log Server IP アドレスは、リモート トンネル ルートの設定に含まれている IP アドレスになっている必要があります。
  詳細については、次を参照してください：トンネルにルートを追加する。
- Log Server IP アドレスは、実デバイスに割り当てられている IP アドレスであってはなりません。

2 種類のログ記録は異なるトラフィック量を生成します。

WatchGuard のログ記録

Firebox が Log Server に接続されるまで、ログ データは送信されません。トンネル経由で送信されるトラフィックの種類は、Log Server に接続する 3 分ごとに送信される試行回数です。これは、BOVPN トラフィックに最小の影響を与えてトンネルを安定する十分なトラフィックです。

Syslog のログ記録

ログ データは直ちに syslog サーバー IP アドレスに送信されます。ログ データの量は、デバイスで処理されるトラフィックによって異なります。Syslog ログ記録では、トンネル経由でパケットが常に送信されるのに充分なトラフィックが生成されます。トラフィック量によって BOVPN トラフィックが通常より遅くなる可能性がありますが、このような状況は頻繁には発生しません。

安定性を向上し、BOVPN トラフィックへの影響を最小限にするには、最初に WatchGuard ログ記録を試みます。これで BOVPN トラフィックの安定性が改善されない場合は、syslog ログ記録を試みます。このトピックにおける手順では、両方のエンドポイント デバイスが WatchGuard デバイスであり、WatchGuard Log Server と syslog サーバーにログ データが送信されるようにエンドポイントが構成されていないと仮定します。エンドポイントは、サーバーが収集するログ データを送信するように既に構成されている場合、これらのログ記録の設定は変更しないでください。

ユーザーが構成できるさまざまなオプションは以下のとおりです。

- トンネル経由で WatchGuard ログ トラフィックを送信するように 1 つのエンドポイントを構成する。
- トンネル経由で WatchGuard ログ トラフィックを送信するように他のエンドポイントを構成する。
- トンネル経由で WatchGuard ログ トラフィックを送信するように両方のエンドポイントを構成する。
- トンネル経由で syslog ログ トラフィックを送信するように 1 つのエンドポイントを構成する。
- トンネル経由で syslog ログ トラフィックを送信するように他のエンドポイントのみを構成する。
- トンネル経由で syslog ログ トラフィックを送信するように両方のエンドポイントを構成する。

Fireware Web UI から、トンネル経由で WatchGuard Log Server にログ データを送信するように Firebox を構成するには、以下の手順を実行します：

1. システム > ログ記録 の順に選択します。
   ログ記録 ページが表示されます。
2. これらの Dimension または WSM Log Server にログ メッセージを送信する チェック ボックスを選択します。
3. Log Servers 1タブで、 追加 をクリックします。
   WatchGuard Log Server の追加 ダイアログ ボックスが表示されます。
4. Log Server アドレス テキスト ボックスに、IP アドレスまたは Log Server の完全修飾ドメイン名 (FQDN) を入力します。
   FQDN をアドレスとして使用するには、DNS が有効になっている必要があります。
5. 認証キー および 確認 テキストボックスに、Dimension のインスタンスまたは WSM (Log Server) の認証キーを入力します。ヒント ログ記録の認証キーには 8 ～ 32 文字を指定できます。スペースおよびスラッシュ (/ または \) を除くすべての文字を使用できます。
6. OK をクリックします。
   サーバー IP アドレスが Log Servers 1 リストに表示されます。
7. 保存 をクリックします。

Fireware Web UI から、トンネル経由で syslog データを送信するように Firebox を構成するには、以下の手順を実行します：

1. 設定 > ログ記録 の順に選択します。
   WatchGuard Log Server タブが選択された状態でログ記録のセットアップ ダイアログ ボックスが表示されます。
2. Syslog サーバー タブを選択します。
3. ログ メッセージをこの IP アドレスの syslog サーバーに送信する チェックボックスを選択します。
4. IP アドレス テキスト ボックスに syslog の IP アドレスを入力します。
5. ポート テキスト ボックスに、既定の syslog サーバー ポート (514) が表示されます。サーバー ポートを変更するには、サーバーの別のポートを入力または選択します。
6. ログ形式 ドロップダウン リストから Syslog または IBM LEEF を選択します。
   ログ メッセージに含めることができる詳細は選択するログ形式によって異なります。
7. Firebox でイベントが発生した日付と時刻をログ メッセージの詳細に含める場合は、タイムスタンプ チェックボックスを選択します。
8. Firebox のシリアル番号をログ メッセージの詳細に含めるには、 デバイスのシリアル番号 チェックボックスを選択します。
9. Syslog の設定 セクションで、それぞれのログ メッセージの種類の syslog ファシリティをドロップダウン リストから選択します。
   IBM ;LEEF ログ形式を選択する場合、ログ メッセージの種類に syslog ファシリティを選択する前に syslog ヘッダー チェックボックスを選択する必要があります。
   - アラームなどの優先度の高い syslog メッセージには Local0を選択します。
   - 他の種類のログ メッセージに優先度を割り当てるには、Local1–Local7 を選択します (小さい数字の優先度が高くなります)。
   - メッセージの種類の詳細を送信しない場合は、NONE を選択します。
10. 保存 をクリックします。

トンネル経由で WatchGuard Log Server にログ データを送信するように Firebox を構成するには、Policy Manager から以下の手順を実行します：

1. 設定 > ログ記録 の順に選択します。
   ログ記録のセットアップ ダイアログ ボックスが表示されます。
2. これらの Dimension または WSM Log Server にログ メッセージを送信する チェック ボックスを選択します。
3. 構成 をクリックします。
   Log Server 1 タブが選択された状態で Log Server の構成ダイアログ ボックスが表示されます。
4. Log Servers 1タブで、 追加 をクリックします。
   Event Processor の追加 ダイアログ ボックスが表示されます。
5. Log Server アドレス テキスト ボックスに、IP アドレスまたは Log Server の完全修飾ドメイン名 (FQDN) を入力します。
   FQDN をアドレスとして使用するには、DNS が有効になっている必要があります。
6. 認証キー および 確認 テキストボックスに、Dimension のインスタンスまたは WSM (Log Server) の認証キーを入力します。ヒント ログ記録の認証キーには 8 ～ 32 文字を指定できます。スペースおよびスラッシュ (/ または \) を除くすべての文字を使用できます。
7. OK をクリックします。
   Event Processor の追加 ダイアログ ボックスが閉じ、サーバー IP アドレスが Log Servers 1 リストに表示されます。

トンネル経由で syslog データを送信するように Firebox を構成するには、Policy Manager から以下の手順を実行します：

1. 設定 > ログ記録 の順に選択します。
   ログ記録のセットアップ ダイアログ ボックスが表示されます。

1. この syslog サーバーにログ メッセージを送信する チェックボックスを選択します。
2. IP アドレス テキストボックスに syslog の IP アドレスを入力します。
3. サーバーのポートを変更するには、ポート テキスト ボックスで新しいポート番号を入力または選択します。
   既定のポートは 514 です。
4. ログ形式 ドロップダウン リストで、 Syslog を選択します。
5. 構成 をクリックします。
   Syslog の構成ダイアログ ボックスが表示されます。ダイアログ ボックスに含まれるオプションは選択したログ形式によって異なります。
6. Firebox からのタイムスタンプ情報をログ メッセージの詳細に含めるには、 タイムスタンプ チェック ボックスを選択します。
7. Firebox のシリアル番号をログ メッセージの詳細に含めるには、 デバイスのシリアル番号 チェックボックスを選択します。
8. ログ メッセージの種類ごとに、syslog ファシリティを選択します：
   - アラームなどの優先度の高い syslog メッセージには Local0 を選択します。
   - 他の種類のログ メッセージに優先度を割り当てるには、Local1–Local7を選択します (小さい数字の優先度が高くなります)。
   - メッセージの種類の詳細を送信しない場合は、NONE を選択します。
9. OK をクリックして、 Syslog の構成 ダイアログ ボックスを閉じます。
10. OK をクリックして、 ログ記録のセットアップ ダイアログ ボックスを閉じます。
11. 構成ファイルを保存する。

#### 関連情報

BOVPN トンネルを監視およびトラブルシューティングする

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索