関連トピック

# Fireware v11.x から Fireware v10.x に VPN を設定する（Web UI）

Branch office virtual private network (BOVPN) トンネルは、インターネット上でデータを交換するためのネットワークやホストとネットワークのセキュアウェイです。このトピックでは、Fireware v11.x Web UI および Fireware v10.x を使用するデバイスの Policy Manager で手動 BOVPN トンネルを定義する方法を説明します。

両デバイスの Policy Manager での構成と同じ例については、次を参照してください：Fireware v11.x から Fireware v10.x に VPN を設定する（WSM）.

このトピックでは、BOVPN ダイアログ ボックスのさまざまな設定とこれらの既存のトンネルでの影響の詳細を説明しません。特定の設定の詳細については、以下を参照してください:

- 手動 Branch Office VPN について
- 手動 BOVPN ゲートウェイを構成する
- 手動 BOVPN トンネルを構成する

## IP アドレスとトンネルの設定の収集

manual BOVPN トンネルを作成するには、まず IP アドレスを収集し、エンドポイントの設定を決定します。このドキュメントを印刷し、使用する値を書き留むか、または示して、Policy Manager での設定を構成する時にこれを使用すると便利な場合があります。

このトピックでは、両方のエンドポイントには静的外部 IP アドレスが必要です。

動的外部 IP アドレスを持つデバイスへの BOVPN トンネルについては、次を参照してください：BOVPN ゲートウェイのゲートウェイ エンドポイントを定義する.

2 つのデバイスのうち 1 つのデバイスのみの管理者である場合、他の管理者に表を提供して、フェーズ 1 とフェーズ 2 の設定のために同じ値を使用しているかどうかを確認できます。

VPN エンドポイントを正しく構成され、両方のデバイスでフェーズ 1 とフェーズ 2 の設定が同じであることを確認します。設定が一致しないと、トンネルが構築されません。

設定がリストにない場合は、既定値を変更しないでください。

### BOVPN トンネルの設定

サイト A (Fireware v11.x を使用する Firebox)

パブリック IP アドレス： ______________________________

プライベート IP アドレス： ______________________________

SITE B (Fireware v10.x を使用した Firebox)

パブリック IP アドレス： ______________________________

プライベート IP アドレス： ______________________________

### フェーズ 1 の設定(両側に同じ値を使用する必要があります。)

Fireware v11.x を使用する Firebox と Fireware v10.x を使用する Firebox 間の BOVPN トンネルに関しては、IKE キープアライブ ではなく、デッド ピア ディテクション (RFC3706) を選択することをお勧めします。両方を選択しないでください。両方のエンドポイント デバイスがサポートされている場合、デッド ピア ディテクション を選択する必要があります。

認証メソッド：事前共有済みキーを使用 を選択します。

モード (いずれかを選択)：メイン____ アグレッシブ____

事前共有キー： ______________________________

NAT トラバース：はい ___ いいえ ___

NAT Traversal キープアライブ間隔：

IKE キープアライブ：はい ___ いいえ ___

IKE キープアライブ メッセージ間隔： ________________

IKE キープアライブ最大失敗回数： ________________

Dead Peer Detection (RFC3706)：はい ___ いいえ ___

デッド ピア ディテクション トラフィックのアイドル タイムアウト：________________

デッド ピア ディテクション最大再試行回数： ________________

認証アルゴリズム (いずれかを選択)：SHA1 ____ MD5____

暗号化アルゴリズム (いずれかを選択)：DES____ 3DES____ AES-128 ____ AES-192____ AES-256____

SA の有効期間 ________________

SA の有効期限の単位として、 時間数を選択します。

Diffie-Hellman グループ (いずれかを選択)：1____ 2____ 5____

### フェーズ 2 の設定(両側に同じ値を使用する必要があります。)

種類：AH ____ ESP ____

認証アルゴリズム (いずれかを選択)：なし____ MD5____ SHA1____

暗号化アルゴリズム (いずれかを選択)：DES____ 3DES____ AES-128____ AES-192____ AES-256____

キーの有効期限を強制的に終了する (いずれかを選択)：有効____ 無効____

Perfect Forward Secrecy (Diffie-Hellman グループ)：無効____ Group1____ Group2____ Group5____

フェーズ 2 キーの有効期限 (時間) ________________

フェーズ 2 キーの有効期限 (キロバイト) ________________

## トンネルの設定の例

このページには、前ページと同じフィールドが存在し、設定例が示されています。これらの設定は、この例の画像で表示されている設定に対応します。

サイト A (Fireware XTM v11.x を使用する Firebox)

パブリック IP アドレス：203.0.113.2

プライベート ネットワーク IP アドレス：10.0.1.0/24

SITE B (Fireware v10.x を使用した Firebox)

パブリック IP アドレス：198.51.100.2

プライベート ネットワーク IP アドレス：10.50.1.0/24

フェーズ 1 の設定(両側に同じ値を使用する必要があります。)

認証メソッド：事前共有済みキーを使用 を選択します。

モード (いずれかを選択)：メイン

事前共有済みキー：SiteA2SiteB

NAT トラバース：Yes

NAT トラバース キープ アライブ間隔：20 秒

IKE キープアライブ：No

IKE キープアライブ メッセージ間隔：なし

IKE キープアライブ最大失敗回数：なし

Dead Peer Detection (RFC3706)：Yes

Dead Peer Detection トラフィックのアイドル タイムアウト：20 秒

Dead Peer Detection 最大再試行回数：5

認証アルゴリズム (いずれかを選択)：SHA1

暗号化アルゴリズム (いずれかを選択)：3DES

SA の有効期間：8

SA の有効期限の単位として、 時間数を選択します。

Diffie-Hellman グループ (いずれかを選択)：2

フェーズ 2 の設定(両側に同じ値を使用する必要があります。)

種類：ESP

認証アルゴリズム (いずれかを選択)：SHA1

暗号化アルゴリズム (いずれかを選択)：AES (256 ビット)

キーの有効期限を強制的に終了する (いずれかを選択)：SNMP 管理ステーションとトラップを

Perfect Forward Secrecy (Diffie-Hellman グループ)：無効

フェーズ 2 のキーの有効期限(時間)：8

フェーズ 2 のキーの有効期限 (キロバイト)：128 K

WSM v11.x と WSM v10.2.2 以降のバージョンを使用すると、フェーズ 1 とフェーズ 2 の設定の例が既定の設定に一致します。

## サイト A、Fireware 11.x を構成する

VPN ゲートウェイを追加するには、

1. VPN > BOVPN の順に選択します。
   BOVPN構成 ページが表示され、ページの最上部には ゲートウェイ リストが表示されます。
2. ゲートウェイを追加するには、ゲートウェイ リストの隣にある 追加 をクリックします。
   ゲートウェイの設定 ページが表示されます。

1. ゲートウェイ名 テキスト ボックスに、Policy Manager のこのゲートウェイを識別する名前を入力します。
2. 全般設定 タブを選択します。
3. 認証メソッド セクションで、事前共有キーを使用 を選択します。共有キー を入力します。
   共有キーには、標準の ASCII 文字のみ使用する必要があります。
4. ゲートウェイ エンドポイント セクションで、追加 をクリックします。
   新しいゲートウェイ エンドポイントの設定 ダイアログ ボックスが表示されます。

1. ローカル ゲートウェイ タブで、IP アドレスで指定 を選択します。
2. IP アドレスで指定 テキスト ボックスで、サイトA の Firebox の外部 (パブリック) IP アドレスを入力します。
3. 外部インターフェイス ドロップダウン リストからサイト A の Firebobox の外部 (パブリック) IP アドレスを持つインターフェイスを選択します。
4. リモートゲートウェイ タブで、静的 IP アドレス を選択します。
5. 静的 IP アドレス テキスト ボックスに、サイト B Firebox の外部 (パブリック) IP アドレスを入力します。
6. IP アドレス別 を選択します。
7. IPアドレス別 テキスト ボックスで、サイトB Firebox の外部 (パブリック) IP アドレスを入力します。
8. OK をクリックして、新しいゲートウェイ エンドポイントの設定 ダイアログ ボックスを閉じます。
   定義したゲートウェイ ペアが、ゲートウェイ エンドポイントのリストに表示されます。

### フェーズ 1 の設定を構成する

IPSec 接続のフェーズ 1 では、2 つのピアによって、セキュリティで保護され認証されたチャネルが構成され、通信に使用できるようになります。これは ISAKMP Security Association (SA) と呼ばれています。

1. フェーズ 1 の設定 タブをクリックします。

1. モード ドロップダウン リストから メイン または アグレッシブ を選択します。このトピックの上にある BOVPN トンネルの設定 で選択した設定と同じ設定を選択することを確認します。
   両方のエンドポイントには静的 IP アドレスがあるため、例ではメイン モードを使用します。1 つのエンドポイントには動的 IP アドレスがある場合、アグレッシブ モードを使用します。
2. BOVPN トンネル設定を使用して、NAT Traversal、IKE キープアライブ、または デッド ピア ディテクション (RFC3706) のどれを選択するかを決定します。
3. Fireware v11.x を使用する Firebox と Fireware v10.2.2以降を使用する Firebox 間の BOVPN トンネルについては、NAT Traversal および デッド ピア ディテクション を使用することをお勧めします。
4. 設定の変換 セクションで、既定の変換を選択し、編集 をクリックします。

1. 認証 と 暗号化 ドロップダウン リストから、BOVPN トンネルの設定で選択されているメソッドを選択します。
2. SA の有効期限 テキスト ボックスで、BOVPNトンネルの設定 で選択する設定を入力します。ドロップダウン リストから 時間数 を選択します。
3. キー グループ ドロップダウン リストから、Diffie-Hellman グループを選択します。
4. OK をクリックします。他のすべてのフェーズ 1 の設定は既定値のままにしておきます。
5. 保存 をクリックして、ゲートウェイ ページを閉じます。
   追加したゲートウェイが BOVPN ページのゲートウェイのリストに表示されます。

### VPN トンネルを追加する

ゲートウェイを定義したら、エンドポイント間にトンネルを作成できます。トンネルを作成すると、以下の項目を指定する必要があります。

- ルート(トンネルのローカルとリモート エンドポイント)
- Internet Key Exchange (IKE) ネゴシエーションのフェーズ 2 の設定

VPN トンネルを追加するには、

1. トンネル リストの横にある 追加 をクリックします。
   トンネルの構成 ページが表示されます。

1. トンネル名 テキスト ボックスに、トンネルの名前を入力します。
2. ゲートウェイ ドロップダウン リストから、直前に作成したゲートウェイを選択します。
3. トンネルを BOVPN-Allow.in と BOVPN-Allow.out ポリシーに追加するには、アドレス タブで、このトンネルを BOVPN-Allow ポリシーに追加する チェックボックスを選択します。

これらのポリシーはトンネル ルートに一致するすべてのトラフィックを許可します。トンネルを経由するトラフィックを制限するには、このチェック ボックスをオフにし、BOVPN Policy Wizard を使用して、トンネル経由を許可するトラフィックの種類に対するポリシーを作成します。

1. アドレス セクションで、追加 をクリックします。
   トンネル ルートの設定 ダイアログ ボックスが表示されます。

1. ローカル IP タブの 種類の選択 ドロップダウン リストから、ローカル アドレスの種類を選択します。
2. ネットワーク IP テキスト ボックスに、ローカル (プライベート) ネットワーク アドレスを入力します。
   これは、サイト A プライベート ネットワーク IP アドレスです。
3. リモート IP セクションの 種類を選択する ドロップダウン リストから、リモート アドレスの種類を選択します。
4. ネットワーク IP テキスト ボックスに、リモート (プライベート) ネットワーク アドレスを入力します。
   これは、サイト B プライベート ネットワーク アドレスです。
5. 方向 ドロップダウン リストから、トンネルの方向を選択します。トンネルの方向によって、VPN トンネルのどちらのエンドポイントからトンネルを経由したVPN 接続が開始されるかが決定されます。
6. OK をクリックします。
   トンネル ルートはトンネルの設定 ページのアドレス セクションで表示されます。

### フェーズ 2 の設定を構成する

フェーズ 2 の設定には、セキュリティ アソシエーション (SA) の設定が含まれています。SA は、データ パケットが 2 つのエンドポイント間で送信される場合に、どのようにセキュリティが保護されるかを定義するものです。SA には、エンドポイント間のトラフィックの処理方法について Firebox が必要とするあらゆる情報が含まれています。

1. トンネルの設定 ページで、フェーズ 2 の設定 タブを選択します。

1. Perfect Forward Secrecy (PFS) を有効にするには、PFS チェック ボックスを選択します。PFS を有効にした場合、ドロップダウン リストから正しい Diffie-Hellman グループを選択します。
2. Firebox には既定のプロポーザルが 1 つ含まれており、これは IPSec プロポーザル リストに表示されます。このプロポーザルでは、ESP データ保護方法、AES 暗号化、および SHA1 認証が指定されます。この例として既定のプロポーザルを使用します。次のいずれかを行うことができます。
   - 追加 をクリックして、既定のプロポーザルを追加できます。
   - 既定のプロポーザルを削除します。その後、ドロップダウン リストから他のプロポーザルを選択し、追加 をクリックします。
   - 次に説明されているように、その他のプロポーザルを追加します。フェーズ 2 のプロポーザルを追加する.
3. 保存 をクリックします。
   作成したトンネルが BOVPN ページのトンネル リストに表示されます。

サイト A の Firebox が構成されました。

## サイト B、Fireware v10.x の構成

これで、Policy Manager を使用して、Fireware v10.x. を使う Firebox があるサイト B のゲートウェイを構成することができます。

### VPN ゲートウェイの追加

1. Policy Manager を開きます。
2. VPN > Branch Office ゲートウェイ の順に選択します。
   ゲートウェイ ダイアログ ボックスが表示されます。

1. 追加 をクリックします。
   新しいゲートウェイ ダイアログ ボックスが表示されます。

1. ゲートウェイ名 テキスト ボックスに、Policy Manager のこのゲートウェイを識別する名前を入力します。
2. 全般設定 タブを選択します。
3. 認証メソッド セクションで、事前共有キーの使用 を選択します。共有キー を入力します。
   この共有キーでは、標準の ASCII 文字を使用する必要があります。
4. ゲートウェイ エンドポイント セクションで、追加 をクリックします。
   新しいゲートウェイ エンドポイントの設定 ダイアログ ボックスが表示されます。

1. ローカル ゲートウェイ セクションで、IP アドレスで指定 を選択します。
2. IP アドレス ドロップダウン リストからサイト B Firebox の外部 (パブリック) IP アドレスを選択します。
   すべての設定した IP アドレスがリストに表示されます。
3. 外部インターフェイス ドロップダウン リストから、サイト B の Firebobox の外部 (パブリック) IP を持つインターフェイスを選択します。
4. リモートゲートウェイ セクションで、静的 IP アドレス を選択します。
5. 静的 IP アドレス テキスト ボックスに、サイト A の Firebox の外部 (パブリック) IP アドレスを入力または選択します。
6. IP アドレス別 を選択します。
7. IP アドレスで指定 テキスト ボックスに、サイト A の Firebox の外部 (パブリック) IP アドレスを入力または選択します。
8. OK をクリックして、新しいゲートウェイ エンドポイントの設定 ダイアログ ボックスを閉じます。
   定義したゲートウェイ ペアが、ゲートウェイ エンドポイントのリストに表示されます。

### フェーズ 1 の設定を構成する

IPSec 接続のフェーズ 1 では、2 つのピアによって、セキュリティで保護され認証されたチャネルが構成され、通信に使用できるようになります。これは ISAKMP Security Association (SA) と呼ばれています。

1. フェーズ 1 の設定 タブをクリックします。

1. モード ドロップダウン リストから、メイン または アグレッシブ を選択します。このトピックの上にある BOVPN トンネルの設定 で選択した設定と同じ設定を選択することを確認します。
2. NAT Traversal、IKE キープアライブ、または デッド ピア ディテクション (RFC3706) を選択します。BOVPN トンネルの設定 で選択する値と同じ値を選択していることを確認します。

Firebox と Fireware 10.2.2 以降を使用する Firebox 間の BOVPN トンネルについては、NAT Traversal および デッド ピア ディテクション を選択することをお勧めします。

1. 設定の変換 リストで、既定の変換を選択して、削除 をクリックします。
2. 新しい変換を追加するには、追加をクリックします。

1. 認証 および 暗号化 ドロップダウン リストから、BOVPN トンネルの設定で選択されているメソッドを選択します。
2. SA の有効期限 テキスト ボックスに、BOVPN トンネルの設定に選択した設定を入力します。ドロップダウン リストから 時間数 を選択します。
3. キー グループ ドロップダウン リストから、Diffie-Hellman グループを選択します。
4. OK をクリックします。他のすべてのフェーズ 1 の設定は既定値のままにしておきます。
5. OK をクリックして、新しいゲートウェイ ダイアログ ボックスを閉じます。
6. 閉じる をクリックして、ゲートウェイ ダイアログ ボックスを閉じます。

### VPN トンネルを追加する

ゲートウェイを定義したら、エンドポイント間にトンネルを作成できます。トンネルを作成するには、以下を構成します。

- ルート(トンネルのローカルとリモート エンドポイント)
- Internet Key Exchange (IKE) ネゴシエーションのフェーズ 2 の設定

VPN トンネルを追加するには、以下の手順を実行します：

1. Policy Manager を開きます。
2. VPN > Branch Office トンネル の順に選択します。
   Branch Office IPSec Tunnels ダイアログ ボックスが表示されます。
3. 追加 をクリックします。
   新しいトンネル ダイアログ ボックスが表示されます。

1. トンネル名 テキスト ボックスに、トンネルの名前を入力します。
2. ゲートウェイ ドロップダウン リストから、直前に作成したゲートウェイを選択します。
3. アドレス タブを選択します。
4. BOVPN-Allow.in および BOVPN-Allow.out ポリシーにトンネルを追加するには、このトンネルを BOVPN-Allow ポリシーに追加する チェック ボックスをオンにします。

これらのポリシーはトンネル ルートに一致するすべてのトラフィックを許可します。トンネルを経由するトラフィックを制限する場合は、このチェックボックスをオフにして、BOVPN Policy Wizard を使用します。 Policy Manager で トンネルの通過を許可するトラフィックの種類のポリシーを作成します。 詳細については、次を参照してください: カスタム トンネル ポリシーを定義する. 詳細については、Fireware XTM WatchGuard System Manager ヘルプ を参照してください。

1. 追加 をクリックします。
   トンネル ルートの設定 ダイアログ ボックスが表示されます。

1. ローカル ドロップダウン リストから、ローカル プライベート ネットワーク アドレスを選択します。これは、サイト A のプライベート ネットワーク IP アドレスです。

または ローカル ドロップダウン リストの横にあるボタンをクリックして、ホスト IP アドレス、ネットワーク アドレス、ホスト IP アドレスの範囲、または DNS 名を追加できます。これらは、トンネル経由で通信できるローカル Firebox の配下にあるデバイスです。

1. リモート テキスト ボックスに、リモート プライベート ネットワーク アドレスを入力します。これは、サイト B のプライベート ネットワーク アドレスです。

または、横にあるボタンをクリックして、ホスト IP アドレス、ネットワーク アドレス、ホスト IP アドレスの範囲、または DNS 名を入力します。これらは、トンネル経由で通信できるリモート Firebox の配下にあるデバイスです。

1. 方向 ドロップダウン リストから、トンネルの方向を選択します。トンネルの方向によって、VPN トンネルのどちらのエンドポイントから BOVPN トンネルを経由した接続が開始されるかが決定されます。
2. OK をクリックします。

### フェーズ 2 の設定を構成する

フェーズ 2 の設定には、セキュリティ アソシエーション (SA) の設定が含まれています。SA は、データ パケットが 2 つのエンドポイント間で送信される場合に、どのようにセキュリティが保護されるかを定義するものです。SA には、エンドポイント間のトラフィックの処理方法について Firebox が必要とするあらゆる情報が含まれています。

1. 新しいトンネル ダイアログ ボックスで、フェーズ 2 の設定 タブを選択します。

1. Perfect Forward Secrecy (PFS) を有効にするには、PFS チェック ボックスを選択します。
2. PFSを有効にすると、PFS ドロップダウン リストから正しい Diffie-Hellman グループ を選択します。
3. 設定 をクリックします。
   SA の詳細設定 ダイアログ ボックスが表示されます。

1. VPN トンネル定義内の各ローカル・リモート アドレス ペアに一意の SA を作成する場合は、アドレス セレクタ セクションで、すべてのトンネル ルートを含む 1 つの SA を作成する チェックボックスを選択します。このチェック ボックスをオンにしないことを進めします。
2. サービス セレクタ セクションで、すべてのポートとプロトコルを含む 1 つの SA を作成する を選択します。このチェック ボックスをオフにすると、一意のポート・プロトコルの各ペアに対して、1 つの SA が作成されます。

トンネルを通じて許可されるポートとプロトコルを制御する場合、BOVPN ポリシーを使用することをお勧めします。詳細については、次を参照してください: カスタム トンネル ポリシーを定義する.

1. OK をクリックします。
   フェーズ 2 の設定 タブが表示されます。
2. IPSec プロポーザル セクションで、既定のプロポーザルを選択して、削除 をクリックします。
3. 追加 をクリックします。
   新しいフェーズ 2 のプロポーザル ダイアログ ボックスが表示されます。

1. 新しいフェーズ 2 のプロポーザルの作成 をオンにします。
2. 名前 テキスト ボックスに、新しいプロポーザルの名前を入力します。
3. 種類 ドロップダウン リストから、ESP または AH を選択します。
4. BOVPN トンネルの設定に選択した フェーズ 2 の認証 および 暗号化 の設定を選択します。
5. 一定の時間が経過した後、または一定の量のトラフィックが通過した後に、キーの有効期限を終了するように設定する場合は、キーの有効期限を強制的に終了する ドロップダウン リストとテキスト ボックスで、有効化 を選択して、キーの有効期限を終了する時間およびキロバイト数を入力または選択します。

時間数またはキロバイト数のいずれかにゼロを入力すると、カウントが無視されます。Fireware は、キーの有効期限を強制的に終了するを無効に設定した場合、または時間数およびキロバイト数の両方にゼロを設定した場合、デフォルトのゼロ キロバイト数および 8 時間を使用します。

1. OK を 2 回クリックして、Branch Office IPSec トンネル ダイアログ ボックスに戻ります。
   追加したトンネルが Branch Office IPSec Tunnels のリストに表示されます。

1. 閉じる をクリックします。
2. 構成を Firebox に保存します。

サイト B の Firebox を構成します。

トンネルの両端の構成が完了すると、トンネルが開き、トラフィックがトンネルを通過します。トンネルが動作しない場合、トンネルを起動するときに、両方のデバイスでログ ファイルを調査します。構成の障害ポイントおよび問題となる設定を示すために、ログ メッセージはログ ファイルに表示されます。Firebox System Manager を使用して、ログメッセージをリアルタイムに確認することもできます。

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索