フェーズ 1 の設定の詳細を定義する

Mobile VPN ユーザープロファイルのフェーズ 1 の詳細設定を定義できます。

フェーズ 1 のオプション

SA の有効期間

SA (セキュリティアソシエーション) の有効期限を選択し、ドロップダウンリストから時間または分を選択します。SA が期限切れになった場合、新しいフェーズ 1 のネゴシエーションが開始されます。SA の有効期限が短い場合、セキュリティは強化されますが、SA のネゴシエーションにより既存の接続に失敗する可能性があります。

キーグループ

使用している IPSec VPN クライアントでサポートされている Diffie-Hellman グループを選択します。

WatchGuard IPSec Mobile VPN クライアントは、グループ1、2、5、および 14 をサポートしています。
macOS および iOS デバイスのネイティブ IPSec VPN クライアントは、Firebox への接続でグループ 2 および 14 サポートしています。
ネイティブ Android IPSec VPN クライアントは既定でグループ 2 を使用します。

Diffie-Hellman グループによって、キー交換プロセスで使用されるマスタキーの強度が決定されます。グループの数字が大きいほどセキュリティが強化されますが、キーの計算にさらに時間がかかります。

NAT Traversal

Firebox と NAT デバイスの配下にある VPN クライアントの間に Mobile VPN トンネルを作成するには、このチェックボックスをオンにします。NAT Traversal または UDP カプセル化により、トラフィックは正しい送信先にルートされるようになります。既定では、NAT Traversal が有効化されています。Firebox と NAT デバイスの配下にある VPN クライアントの間に Mobile VPN トンネルを作成するのであれば、これを無効にしないでください。

IKE キープアライブ

このチェックボックスは、このグループがデッドピアディテクションをサポートしない古い Firebox デバイスに接続するときのみ選択します。Fireware v9.x 以前、Edge v8.x 以前、および WFS の任意のバージョンを実行している Fireboxes では、デッドピアディテクションはサポートされていません。これらのデバイスの場合、VPN トンネルをオープンにして Firebox が IKE ピアにメッセージを送信できるようにするには、このチェックボックスをオンにします。IKE キープアライブとデッドピアディテクションの両方を選択しないでください。

メッセージ間隔

IKE キープアライブメッセージ間隔の秒数を選択します。

最大失敗回数

Firebox が VPN 接続を終了して新しいフェーズ 1 ネゴシエーションを開始する前に、Firebox が IKE キープアライブメッセージへの応答を待つ最大回数を設定します。

デッドピアディテクション

デッドピアディテクション (DPD) を有効にするには、このチェックボックスをオンにします。両方のエンドポイントが DPD をサポートする必要があります。Fireware バージョン 10.x 以上および Edge バージョン 10.x 以上のすべての Firebox または XTM デバイスは、DPD をサポートします。IKE キープアライブとデッドピアディテクションの両方を選択しないでください。

DPD は RFC 3706 に基づいており、パケットが送信される前に、IPSec トラフィックパターンを使用して接続が有効になっているかどうかを決定します。DPD を選択すると、選択した期間の間にピアからトラフィックを受信しない場合に、ピアにメッセージが送信されます。ピアディテクションが機能していないと DPD が判断した場合、追加的な接続は行われません。

トラフィックのアイドルタイムアウト

Firebox が、他方のデバイスのアクティブ状態を確認する前に待機する時間を秒単位で設定します。

最大再試行回数

ピアが利用不可能であると判断して VPN 接続を停止し、新しいフェーズ 1 ネゴシエーションを開始する前に、Firebox が接続を試みる最大回数を設定します。

フェーズ 1 の設定の詳細を定義する

フェーズ 1 のオプション

関連情報：