BOVPN 仮想インターフェイスを構成する

BOVPN 仮想インターフェイスを構成する際、BOVPN ゲートウェイの設定、VPN ルート、および他の VPN 設定を構成します。それぞれの BOVPN 仮想インターフェイスで、デバイス名 が自動的に割り当てられ、これは構成できません。デバイス名は、Firebox System Manager におけるステータス レポートで、このインターフェイスを特定するために使用されます。

  1. VPN > BOVPN 仮想インターフェイス の順に選択します。
    BOVPN 仮想インターフェイスのリストが表示されます。
  2. 追加 をクリックします。
    BOVPN 仮想インターフェイスの設定が表示されます。

Screen shot of the BOVPN Virtual Interfaces / Add page

  1. インターフェイス名 テキスト ボックスに、この BOVPN 仮想インターフェイスを特定するための名前を入力します。 =
  2. リモート Endpoint タイプ ドロップダウン リストから Firebox または クラウド VPN またはサードパーティ ゲートウェイ を選択します。
  • 別の Firebox、または IPSec 経由で GER をサポートするサードパーティ endpoint に接続する場合は、Firebox を選択します。
  • Microsoft Azure、Amazon AWS、またはワイルドカード トラフィック セレクタをサポートする他のサードパーティ endpoint などのクラウド VPN ゲートウェイに接続する場合は、クラウド VPN またはサードパーティ ゲートウェイ を選択します。このオプションを選択すると、GRE は使用されません。
  1. (Fireware v12.4 以降) ゲートウェイ アドレス ファミリー ドロップダウン リストから IPv4 アドレス または IPv6 アドレス を選択します。
  2. 認証メソッド セクションで、事前共有キーの使用 または IPSec Firebox Certificate の使用 を選択して、このトンネルが使用する認証手順を指定します。

事前共有キーの使用を選択した場合

(Fireware v12.5.4 以降) 文字列ベース または 六角ベース を選択します。既定の設定は 文字列ベース です。六角ベースのキーについては、 次を参照してください： 六角ベースの事前共有キー。

共有キーを入力するか、貼り付けます。リモート デバイスでも同じ共有キーを使用する必要があります。文字列を用いた事前共有キーには、標準 ASCII 文字のみを使用する必要があります。長さは最大 79 文字です。16 進数の事前共有キーには任意の組み合わせまたは数の 16 進数の文字が含まれます。

IPSec Firebox Certificate の使用を選択した場合

ラジオ ボタンの下の表には、デバイスの現在の証明書が表示されます。これには、「IP セキュリティ IKE 中間」(OID 1.3.6.1.5.5.8.2.2) と呼ばれる拡張キー使用法 (EKU) 識別子が含まれています。EKU 識別子を含まない証明書を選択することもできます。EKU 識別子を含まない利用可能な証明書のリストを表示するには、すべての証明書を表示 を選択します。Fireware v12.5 以降では、ECDSA (EC) 証明書を選択できます。

(Fireware v12.6.2 以降) 認証用の証明書を選択する際に、ゲートウェイ endpoint設定で VPN ピア検証用の CA 証明書を指定することができます。

  1. ゲートウェイ Endpoint セクションで、ゲートウェイ Endpointのペアを少なくとも 1 つ追加します。

証明書の詳細については、次を参照してください：Branch Office VPN (BOVPN) トンネル認証の証明書。

ゲートウェイ endpoint の詳細については、次を参照してください：BOVPN 仮想インターフェイスのゲートウェイ Endpoint を定義する。

  1. VPN > BOVPN 仮想インターフェイス の順に選択します。
    BOVPN 仮想インターフェイス ダイアログ ボックスが表示されます。
  2. 追加 をクリックします。

    新しい BOVPN 仮想インターフェイス ダイアログ ボックスが表示されます。

Screen shot of the New BOVPN Virtual Interface dialog box, Gateway Settings tab

  1. インターフェイス名 テキスト ボックスに、この BOVPN 仮想インターフェイスを特定するための名前を入力します。 =
  2. リモート Endpoint タイプ ドロップダウン リストから Firebox または クラウド VPN またはサードパーティ ゲートウェイ を選択します。
  • 別の Firebox、または IPSec 経由で GER をサポートするサードパーティ endpoint に接続する場合は、Firebox を選択します。
  • Microsoft Azure、Amazon AWS、またはワイルドカード トラフィック セレクタをサポートする他のサードパーティ endpoint などのクラウド VPN ゲートウェイに接続する場合は、クラウド VPN またはサードパーティ ゲートウェイ を選択します。このオプションを選択すると、GRE は使用されません。
  1. (Fireware v12.4 以降) ゲートウェイ アドレス ファミリー ドロップダウン リストから IPv4 アドレス または IPv6 アドレス を選択します。
  2. 認証メソッド セクションで、事前共有キーの使用 または IPSec Firebox Certificate の使用 を選択して、このトンネルが使用する認証手順を指定します。

事前共有キーの使用を選択した場合

(Fireware v12.5.4 以降) 文字列ベース または 六角ベース を選択します。既定の設定は 文字列ベース です。六角ベースのキーについては、 次を参照してください： 六角ベースの事前共有キー。

共有キーを入力するか、貼り付けます。リモート デバイスでも同じ共有キーを使用する必要があります。文字列を用いた事前共有キーには、標準 ASCII 文字のみを使用する必要があります。長さは最大 79 文字です。16 進数の事前共有キーには任意の組み合わせまたは数の 16 進数の文字が含まれます。

IPSec Firebox Certificate の使用を選択した場合

ラジオ ボタンの下の表には、デバイスの現在の証明書が表示されます。これには、「IP セキュリティ IKE 中間」(OID 1.3.6.1.5.5.8.2.2) と呼ばれる拡張キー使用法 (EKU) 識別子が含まれています。EKU 識別子を含まない証明書を選択することもできます。EKU 識別子を含まない利用可能な証明書のリストを表示するには、すべての証明書を表示 を選択します。Fireware v12.5 以降では、ECDSA (EC) 証明書を選択できます。

(Fireware v12.6.2 以降) 認証用の証明書を選択する際に、ゲートウェイ endpoint設定で VPN ピア検証用の CA 証明書を指定することができます。

詳細については、Branch Office VPN (BOVPN) トンネル認証の証明書 を参照してください。

  1. ゲートウェイ Endpoint セクションで、ゲートウェイ endpoint のペアを少なくとも 1 つ追加します。詳細については、BOVPN 仮想インターフェイスのゲートウェイ Endpoint を定義する を参照してください。

ゲートウェイの設定タブにも、これらの設定が含まれています。

フェールオーバーにモデムを使用する

Firebox 上で モデム インターフェイスが構成されている場合はこのチェックボックスを選択して、外部インターフェイスが接続できない場合に、モデムにフェールオーバーするように Branch Office VPN を構成することができます。ローカル ゲートウェイ endpoint がモデム インターフェイスを使用している場合は、このチェックボックスを選択できません。

Fireware v12.0.2 以前の Policy Manager では、モデムのフェールオーバーが有効化されていない場合は、このチェックボックスは表示されません。Fireware v12.0.2 以前の Fireware Web UI では、モデムのフェールオーバーが有効化されていない場合は、このチェックボックスを選択することができません。詳細については、VPN モデム フェールオーバーを構成する を参照してください。

ローカル ゲートウェイ endpoint で、外部インターフェイスではないインターフェイスが使用されている場合は、BOVPN 仮想インターフェイスからのフェールオーバーにモデムを使用することはできません。

非アクティブの際に、フェーズ 1 トンネルを開始する

このオプションを選択すると、トンネルが非アクティブの状態でも、Firebox が自動的にトンネルを再起動します。このチェックボックスは、Fireware Web UI では既定で選択されています。Firebox が自動的にトンネルを開始しないようにする場合は、このチェックボックスをオフにします。

このチェックボックスがオフになっていても、ポリシーのいずれかがポリシーベースのルーティングを使用して、送信トラフィックをこの BOVPN 仮想インターフェイスにルーティングしている場合は、Firebox はトンネルが非アクティブの状態のときもそのトンネルを自動的に再起動します。

このトンネルを BOVPN-Allow ポリシーに追加する

このオプションを選択すると、BOVPN-Allow.in と BOVPN-Allow.out ポリシーにトンネルが追加されます。これらのポリシーはトンネル ルートに一致するすべてのトラフィックを許可します。

トンネルを経由するトラフィックを制限するには、このチェックボックスをオフにし、トンネル経由を許可するトラフィックの種類に対するポリシーを作成します。カスタム トンネル ポリシーを定義する に説明されているように、Policy Manager でカスタム ポリシーを作成するには、BOVPN Policy Wizard を使用します。

その他のタブ (VPN ルート、フェーズ 1 および 2、マルチキャスト)

以下のように、他のタブを使用して、BOVPN 仮想インターフェイスのこれらの設定を構成することができます：

  • VPN ルート タブを選択し、この VPN 仮想インターフェイスを使用するルートを追加し、動的ルートで使用する仮想インターフェイスの IP アドレスを構成します。Fireware v12.5.4 以降では、Fireware Web UI および Policy Manager で最大転送ユニット (MTU) を指定できます。詳細については、VPN ルートを構成する および 最大転送ユニット (MTU) 値を構成する を参照してください。
  • フェーズ 1 の設定 タブを選択し、この BOVPN 仮想インターフェイスのフェーズ 1 の設定を構成します。これらの設定は、BOVPN ゲートウェイに構成できるフェーズ 1 の設定と全く同じです。詳細については、IPSec VPN フェーズ 1 の設定を構成する を参照してください。
  • フェーズ 2 の設定 タブを選択し、この BOVPN 仮想インターフェイスのフェーズ 2 の設定を構成します。これらの設定は、BOVPN トンネルに構成できるフェーズ 1 の設定と全く同じです。詳細については、フェーズ 2 の設定を構成する を参照してください。
  • マルチキャスト タブを選択して、トンネルにおけるマルチキャスト ルーティングを有効化します。詳細については、BOVPN 仮想インターフェイスのマルチキャスト設定を構成する を参照してください。

BOVPN 仮想インターフェイス構成レポートを実行する

ゲートウェイを追加したら、レポートを実行して、BOVPN 仮想インターフェイスのすべての設定の概要を表示することができます。VPN のトラブルシューティングが必要な際に、このレポートが役立ちます。また、このレポートを利用すると、構成設定をリモート VPN endpoint デバイスの設定と簡単に比較することができます。

レポートを実行するには、VPN > BOVPN 仮想インターフェイス ページから以下の手順を実行します。

  1. 構成された BOVPN 仮想インターフェイスを選択します。
  2. レポート をクリックします。

このレポートの詳細については、次を参照してください：BOVPN 構成レポートを使用する。

関連情報：

BOVPN 仮想インターフェイスについて

BOVPN 仮想インターフェイスの例

ローカル管理の Firebox またはサードパーティ VPN endpoint に対して BOVPN を構成する

Cisco への動的ルートの BOVPN 仮想インターフェイス

Microsoft Azure への動的ルートの BOVPN 仮想インターフェイス

Microsoft Azure への静的ルーティングの BOVPN 仮想インターフェイス

Amazon Web Services (AWS) への動的ルートの BOVPN 仮想インターフェイス

Amazon Web Services (AWS) への静的ルーティングの BOVPN 仮想インターフェイス

最大転送ユニット (MTU) 値を構成する