関連トピック

# Fireware v11.x から Edge v10.x に VPN を設定する（Web UI）

Branch office virtual private network (BOVPN) トンネルは、インターネット上でデータを交換するためのネットワークやホストとネットワークのセキュアウェイです。このトピックでは、v11.x デバイスの Fireware Web UI と Edge Web UI v10.x. の手動 BOVPN トンネルを定義する方法を説明します。

Policy Manager での構成と同じ例については、次を参照してください：Fireware から Edge 10.x に VPN を設定する（WSM）

このトピックでは、BOVPN ダイアログ ボックスのさまざまな設定とこれらの既存のトンネルでの影響の詳細を説明しません。特定の設定の詳細については、以下を参照してください:

- 手動 Branch Office VPN について
- 手動 BOVPN ゲートウェイを構成する
- 手動 BOVPN トンネルを構成する

## IP アドレスとトンネルの設定の収集

manual BOVPN トンネルを作成するには、まず IP アドレスを収集し、エンドポイントの設定を決定します。この文書を印刷するか、使用する値を書き留めて、Policy Manager から設定を構成する際にそれを使用すると便利です。

このトピックでは、両方のエンドポイントには静的外部 IP アドレスが必要です。

動的外部 IP アドレスを持つデバイスへの BOVPN トンネルについては、次を参照してください：BOVPN ゲートウェイのゲートウェイ エンドポイントを定義する.

2 つのデバイスのうち 1 つのデバイスのみの管理者である場合、他の管理者に表を提供して、フェーズ 1 とフェーズ 2 の設定のために同じ値を使用しているかどうかを確認できます。

VPN エンドポイントを正しく構成され、両方のデバイスでフェーズ 1 とフェーズ 2 の設定が同じであることを確認します。設定が一致しないと、トンネルが構築されません。

設定がリストにない場合は、既定値を変更しないでください。

### BOVPN トンネルの設定

SITE A (Fireware XTM v11.x を使用する XTM デバイス)

パブリック IP アドレス： ______________________________

プライベート IP アドレス： ______________________________

サイト B (Edge v10.x での Firebox X Edge e-シリーズ)

パブリック IP アドレス： ______________________________

プライベート IP アドレス： ______________________________

### フェーズ 1 の設定(両側に同じ値を使用する必要があります。)

IKE キープアライブ と デッド ピア ディテクション (RFC3706) のいずれかを選択することをお勧めします。両方を選択しないでください。両方のエンドポイントが Dead Peer Detection をサポートしている場合は、Dead Peer Detection を選択します。両方のエンドポイントが Firebox または XTM デバイスであり、そのうち 1 つのデバイスのみDead Peer Detection をサポートする場合は、IKEキープアライブ を選択します。IKE キープアライブは、Firebox または XTM デバイスのみで使用されます。エンドポイントのいずれかがサードパーティ デバイスである場合、IKEキープアライブ を選択しないでください。

認証メソッド：事前共有済みキーを使用 を選択します。

モード (いずれかを選択)：メイン____ アグレッシブ____

事前共有キー： ______________________________

NAT トラバース：はい ___ いいえ ___

NAT Traversal キープアライブ間隔：

IKE キープアライブ：はい ___ いいえ ___

IKE キープアライブ メッセージ間隔： ________________

IKE キープアライブ最大失敗回数： ________________

Dead Peer Detection (RFC3706)：はい ___ いいえ ___

デッド ピア ディテクション トラフィックのアイドル タイムアウト：________________

デッド ピア ディテクション最大再試行回数： ________________

認証アルゴリズム (いずれかを選択)：SHA1____ MD5____

暗号化アルゴリズム (いずれかを選択)：DES____ 3DES____ AES-128____ AES-192____ AES-256____

SA の有効期間 ________________

SA の有効期限の単位として、 時間数を選択します。

Diffie-Hellman グループ (いずれかを選択)：1____ 2____ 5____

### フェーズ 2 の設定(両側に同じ値を使用する必要があります。)

種類：AH ____ ESP ____

認証アルゴリズム (いずれかを選択)：なし____ MD5____ SHA1____

暗号化アルゴリズム (いずれかを選択)：DES____ 3DES____ AES-128____ AES-192____ AES-256____

キーの有効期限を強制的に終了する (いずれかを選択)：有効____ 無効____

Perfect Forward Secrecy (Diffie-Hellman グループ)：無効____ Group1____ Group2____ Group5____

フェーズ 2 キーの有効期限 (時間) ________________

フェーズ 2 キーの有効期限 (キロバイト) ________________

## トンネルの設定の例

このページでは、前のページで示したフィールド、設定の例について説明します。これらの設定は、このドキュメントで使用するスクリーンショットで示した設定に対応します。

SITE A (Fireware XTM v11.x を使用する XTM デバイス)

パブリック IP アドレス：203.0.113.2

プライベート ネットワーク IP アドレス：10.0.1.0/24

サイト B (Edge v10.x での Firebox X Edge e-シリーズ)

パブリック IP アドレス：198.51.100.2

プライベート ネットワーク IP アドレス：10.50.1.0/24

### フェーズ 1 の設定(両側に同じ値を使用する必要があります。)

認証メソッド：事前共有済みキーを使用 を選択します。

モード (いずれかを選択)：メイン

事前共有済みキー：SiteA2SiteB

NAT トラバース：Yes

NAT トラバース キープ アライブ間隔：20 秒

IKE キープアライブ：No

IKE キープアライブ メッセージ間隔：なし

IKE キープアライブ最大失敗回数：なし

Dead Peer Detection (RFC3706)：Yes

Dead Peer Detection トラフィックのアイドル タイムアウト：20 秒

Dead Peer Detection 最大再試行回数：5

認証アルゴリズム (いずれかを選択)：SHA1

暗号化アルゴリズム (いずれかを選択)：3DES

SA の有効期間：8

SA の有効期限の単位として、 時間数を選択します。

Diffie-Hellman グループ (いずれかを選択)：2

### フェーズ 2 の設定(両側に同じ値を使用する必要があります。)

種類：ESP

認証アルゴリズム (いずれかを選択)：SHA1

暗号化アルゴリズム (いずれかを選択)：AES (256 ビット)

キーの有効期限を強制的に終了する (いずれかを選択)：SNMP 管理ステーションとトラップを

Perfect Forward Secrecy (Diffie-Hellman グループ)：無効

フェーズ 2 のキーの有効期限(時間)：8

フェーズ 2 のキーの有効期限 (キロバイト)：128 K

WSM v11.x と Edge v10.2.2 以降のバージョンを使用すると、フェーズ 1 とフェーズ 2 の設定の例が既定の設定に一致します。これは、WSM v10.2.2 以降のバージョンの既定の設定にも一致します。WSM や Edge ソフトウェアの他のバージョンに一致しません。

## サイト A、Fireware 11.x を構成する

Fireware Web UI から、VPN ゲートウェイを追加するには、以下の手順を実行します：

1. VPN > BOVPN の順に選択します。
   BOVPN構成 ページが表示され、ページの最上部には ゲートウェイ リストが表示されます。
2. ゲートウェイを追加するには、ゲートウェイ リストの隣にある 追加 をクリックします。
   ゲートウェイの設定 ページが表示されます。

1. ゲートウェイ名 テキスト ボックスに、Policy Manager のこのゲートウェイを識別する名前を入力します。
2. 事前共有済みキーを使用 を選択します。共有キー を入力します。
   共有キーには、標準の ASCII 文字のみ使用する必要があります。
3. ゲートウェイ エンドポイント セクションで、追加 をクリックします。
   新しいゲートウェイ エンドポイントの設定 ダイアログ ボックスが表示されます。

1. ローカル ゲートウェイ セクションで、IP アドレスで指定 を選択します。
2. IP アドレス別 テキスト ボックスで、サイト A XTM デバイスの外部(パブリック) IP アドレスを入力します。
3. 外部インターフェイス ドロップダウン リストからサイト A の XTM デバイスの外部 (パブリック) IP を持つインターフェイスを選択します。
4. リモートゲートウェイ タブを選択します。
5. リモートゲートウェイ セクションで、静的 IP アドレス を選択します。
6. IP アドレス として、サイト A Firebox の外部 (パブリック) IP を入力します。
7. IP アドレス別 を選択します。
8. IPアドレス別 テキスト ボックスで、サイトB Firebox の外部 (パブリック) IP アドレスを入力します。
9. OK をクリックして、新しいゲートウェイ エンドポイントの設定 ダイアログ ボックスを閉じます。
   定義したゲートウェイ ペアが、ゲートウェイ エンドポイントのリストに表示されます。

### フェーズ 1 の設定を構成する

IPSec 接続のフェーズ 1 では、2 つのピアによって、セキュリティで保護され認証されたチャネルが構成され、通信に使用できるようになります。これは ISAKMP Security Association (SA) と呼ばれています。

1. フェーズ 1 の設定 タブをクリックします。

1. モード ドロップダウン リストから メイン または アグレッシブ を選択します。このトピックの上にある BOVPN トンネルの設定 で選択した設定と同じ設定を選択することを確認します。
   両方のエンドポイントには静的 IP アドレスがあるため、例ではメイン モードを使用します。1 つのエンドポイントには動的 IP アドレスがある場合、アグレッシブ モードを使用します。
2. NAT Traversal、IKE キープアライブ、または デッド ピア ディテクション (RFC3706) を選択します。BOVPN トンネルの設定 で選択する値と同じ値を選択していることを確認します。

XTM デバイスと Edge v10.2.2 以降の間の BOVPN トンネルについては、NAT Traversal と デッド ピア ディテクション を選択することをお勧めします。

1. 設定の変換 セクションで、既定の変換を選択し、編集 をクリックします。

1. 認証 と 暗号化 ドロップダウン リストから、BOVPN トンネルの設定で選択されているメソッドを選択します。
2. SAの有効期限 テキスト ボックスで、BOVPNトンネルの設定 で選択する設定を入力します。ドロップダウン リストから 時間数 を選択します。
3. キー グループ ドロップダウン リストから、Diffie-Hellman グループを選択します。
4. OK をクリックします。他のすべてのフェーズ 1 の設定は既定値のままにしておきます。
5. 保存 をクリックして、ゲートウェイ ページを閉じます。
   追加したゲートウェイが BOVPN ページのゲートウェイのリストに表示されます。

### VPN トンネルを追加する

ゲートウェイを定義したら、エンドポイント間にトンネルを作成できます。トンネルを作成すると、以下の項目を指定する必要があります。

- ルート(トンネルのローカルとリモート エンドポイント)
- Internet Key Exchange (IKE) ネゴシエーションのフェーズ 2 の設定

VPN トンネルを追加するには、

1. トンネル リストの下にある 追加 をクリックします。
   トンネルの構成 ページが表示されます。

1. トンネル名 テキスト ボックスに、トンネルの名前を入力します。
2. ゲートウェイ ドロップダウン リストから、直前に作成したゲートウェイを選択します。
3. アドレス タブを選択します。
4. トンネルを BOVPN-Allow.in と BOVPN-Allow.out ポリシーに追加するには、アドレス タブで、このトンネルを BOVPN-Allow ポリシーに追加する チェックボックスを選択します。

これらのポリシーはトンネル ルートに一致するすべてのトラフィックを許可します。トンネルを経由するトラフィックを制限するには、このチェック ボックスをオフにし、BOVPN Policy Wizard を使用して、トンネル経由を許可するトラフィックの種類に対するポリシーを作成します。

1. アドレス セクションで、追加 をクリックします。
   トンネル ルートの設定 ダイアログ ボックスが表示されます。

1. ローカル IP セクションの 種類の選択 ドロップダウン リストから、ローカル アドレスの種類を選択します。
2. ネットワーク IP テキスト ボックスに、ローカル (プライベート) ネットワーク アドレスを入力します。
   これは、サイト A プライベート ネットワーク IP アドレスです。
3. リモート IP セクションの 種類を選択する ドロップダウン リストから、リモート アドレスの種類を選択します。
4. ネットワーク IP テキスト ボックスに、リモート (プライベート) ネットワーク アドレスを入力します。
   これは、サイト B プライベート ネットワーク アドレスです。
5. 方向 ドロップダウン リストから、トンネルの方向を選択します。トンネルの方向によって、VPN トンネルのどちらのエンドポイントからトンネルを経由したVPN 接続が開始されるかが決定されます。
6. OK をクリックします。
   トンネル ルートはトンネルの設定 ページのアドレス セクションで表示されます。

### フェーズ 2 の設定を構成する

フェーズ 2 の設定には、セキュリティ アソシエーション (SA) の設定が含まれています。SA は、データ パケットが 2 つのエンドポイント間で送信される場合に、どのようにセキュリティが保護されるかを定義するものです。SA には、エンドポイント間のトラフィックの処理方法について XTM デバイスが必要とする、あらゆる情報が含まれています。

1. トンネルの設定 ページで、フェーズ 2 の設定 タブを選択します。

1. Perfect Forward Secrecy (PFS) を有効にするには、PFS チェック ボックスを選択します。
2. PFSを有効にすると、PFS ドロップダウン リストから正しい Diffie-Hellman グループ を選択します。
3. XTM デバイスには既定のプロポーザルが 1 つ含まれており、IPSec プロポーザル リストに表示されます。このプロポーザルでは、ESP データ保護方法、AES 暗号化、および SHA1 認証が指定されます。この例として既定のプロポーザルを使用します。次のいずれかを行うことができます。

- 追加 をクリックして、既定のプロポーザルを追加できます。
- 既定のプロポーザルを削除します。ドロップダウン リストから別のプロポーザルを選択し、追加 をクリックします。
- 次に説明されている通り、その他のプロポーザルを追加します。フェーズ 2 のプロポーザルを追加する.

1. 保存 をクリックします。
   作成したトンネルが BOVPN ページの トンネル リストに表示されます。

サイト A のXTM デバイスが構成されます。

## サイト B、Edge v10.x を構成します。

Firebox X Edge があるサイトでゲートウェイを構成することができます。

システム ステータス ページに接続するには、ブラウザのアドレス バーに https:// と入力し、続けて Firebox X Edge の信頼済みインターフェイスの IP アドレスを入力します。

1. VPN > Manual VPN の順に選択します。
   Manual VPN ページが表示されます。

1. 追加 をクリックします。
   ゲートウェイの追加 ページが表示されます。

1. 名前 テキスト ボックスに、IPSec トンネルの名前を入力します。標準の ASCII 文字を使用し、スペースは使用しないでください。
   これは、Fireware Firebox でのトンネル名に一致する必要はありません。
2. 認証メソッド ドロップダウン リストから 共有キー を選択します。
3. 共有キー テキスト ボックスに、サイト A の構成に使用した共有キーを入力します。

### フェーズ 1 の設定を構成する

1. モード ドロップダウン リストから、メイン モード または アグレッシブ モード を選択します。このトピックの上にある BOVPN トンネルの設定 で選択した設定と同じ設定を選択することを確認します。
2. ローカルID テキスト ボックスに、Edge のパブリック IP アドレスを入力します。
3. 種類 ドロップダウン リストから、IP アドレス を選択します。
4. リモートゲートウェイ構成 セクションの 種類 列のドロップダウン リストから、IP アドレス を選択します。
5. リモートゲートウェイ IP と リモート ID 列のテキスト ボックスに、サイトA の XTM デバイスのパブリック IP アドレスを入力します。
6. 追加 をクリックします。
7. 認証アルゴリズム と 暗号化アルゴリズム ドロップダウン リストから、このトピックの上部にある BOVPN トンネルの設定で選択されているアルゴリズムと同じアルゴリズムを選択します。
8. ネゴシエーションの有効期限の指定 テキスト ボックスに、キロバイト数と時間数を入力します。
9. Diffie-Hellman グループ ドロップダウン リストから、1、2、または 5 を選択します。
10. IKE キープアライブ メッセージの送信 または デッド ピア ディテクション (DPD) の有効化 を選択します。このトピックの上にある BOVPN トンネルの設定 で選択した値を同じ値を選択することを確認します。

### フェーズ 2 の設定を構成する

1. 認証アルゴリズム と 暗号化アルゴリズム ドロップダウン リストから、BOVPN の設定 ページで選択されているアルゴリズムと同じアルゴリズムを選択します。
2. TOS for IPSec の有効化 チェック ボックスを選択しないでください。
3. Perfect Forward Secrecy の有効化 チェック ボックスを選択しないでください。
4. キーの有効期限の指定 テキスト フィールドに、キロバイト数 と 時間数 を入力します。
5. ローカル ネットワーク テキスト ボックスに、サイト B での Firebox X Edge のプライベート ネットワーク IP アドレスを入力します。
6. リモート ネットワーク テキスト ボックスに、サイト A のプライベート ネットワーク IP アドレスを入力します。
7. 追加 をクリックします。
8. Edge 構成のすべて設定を保存するには、送信 をクリックします。

### VPN キープ アライブを構成する

VPN トンネルを経由した接続がない状態でも VPN トンネル VPN トンネルをオープンにするには、トンネルの反対側にあるコンピュータの IP アドレスをエコー ホストとして使用します。Firebox X Edge では、指定したホストに毎分 ping が送信されます。常にオンラインになっていて、ping メッセージに応答できるホストの IP アドレスを使用します。複数の IP アドレスを入力して、Firebox XEdge デバイスから異なるトンネルを経由して複数のホストに ping を送信できるようにすることもできます。

1. VPN > VPN キープアライブ の順に選択します。
   VPN キープアライブ ページが表示されます。

1. ホストのアドレス テキスト ボックスに、エコー ホストの IP アドレスを入力します。
2. 追加 をクリックします。
3. その他のエコー ホストを追加するには、手順 3～4 を繰り返します。
4. 送信 をクリックします。

サイト B でのFirebox X Edge の構成が完了しました。

トンネルの両端の構成が完了すると、トンネルが開き、トラフィックがトンネルを通過します。トンネルが動作しない場合は、トンネルを起動するときにかかった時間について、XTM デバイスと Firebox XEdge の両方のログ ファイルを確認します。構成の障害ポイントおよび問題となる設定を示すために、ログ メッセージはログ ファイルに表示されます。また、Firebox System Manager または ログ記録 ページの Edge で、XTM デバイスのログ メッセージをリアルタイムで確認することができます。

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索