既存の Mobile VPN with IPSec グループ プロファイルを変更する
Mobile VPN with IPSec グループを作成した後、プロファイルを編集し以下が行えます。
- 共有キーの変更
- 追加ホストまたはネットワークへのアクセスの追加
- 単一の送信先ポート、ソース ポート、またはプロトコルへのアクセスの制限
- フェーズ 1 またはフェーズ 2 の設定の変更
- (Fireware v12.2.1 以降) DNS および WINS サーバーの設定を構成する
Mobile VPN with IPSec グループを構成する
- (Fireware v12.3 以降) VPN > Mobile VPN の順に選択します。
- IPSec セクションで、構成 を選択します。
Mobile VPN with IPSec ページが表示されます。 - (Fireware v12.2.1 以前) VPN > Mobile VPN with IPSec の順に選択します。
Mobile VPN with IPSec ページが表示されます。
- グループ リストでグループを選択し、編集 をクリックします。
Mobile User VPN with IPSec 設定のページが表示されます。
- グループ プロファイルを編集するには、以下のオプションを構成します：
認証サーバー
この Mobile VPN グループに使用する認証サーバーを選択します。Firebox (Firebox-DB) に対して、または RADIUS、VASCO、SecurID、LDAP、Active Directory Authentication サーバーに対してユーザー認証を行うことができます。この認証方法が有効になっていることを確認してください。
パスフレーズ
.WGX ファイルを暗号化するパスフレーズを変更するには、新しいパスフレーズを入力します。共有キーでは、標準の ASCII 文字を使用する可能性があります。認証に証明書を使用する場合、これは証明書の PIN です。
確認
新しいパスフレーズを再度入力します。
プライマリ
このグループ内の Mobile VPN ユーザーが接続できるプライマリ外部 IP アドレスまたはドメインを入力します。これは外部 IP アドレス、セカンダリ外部 IP アドレス、または外部 VLAN のいずれかです。ドロップイン モードの Firebox の場合は、すべてのインターフェイスに割り当てられる IP アドレスを指定します。
バックアップ
このグループ内の Mobile VPN ユーザーが接続できるバックアップ外部 IP アドレスまたはドメインを入力します。このバックアップ IP アドレスはオプションです。バックアップ IP アドレスを追加する場合、Firebox の外部インターフェイスまたは VLAN に割り当てられている IP アドレスを指定してください。
セッション タイムアウト
Mobile VPN セッションがアクティブになることができる最大の時間を分単位で選択します。
アイドル タイムアウト
Firebox がアイドル状態の Mobile VPN セッションを終了するまでの時間 (分単位) を選択します。認証サーバーが特定のタイムアウト値を返さない場合、セッションおよびアイドル タイムアウト値が既定のタイムアウトになります。Firebox を認証サーバーに使用する場合は、各 Firebox のユーザー アカウントにタイムアウトが設定されるため、Mobile VPN グループのタイムアウトは常に無視されます。
既定値は 8 時間です。
セッションおよびアイドル タイムアウトを、SA の有効期間 テキスト ボックスの値より長くすることはできません。
この値を設定するには、次の手順を実行します：
- IPSec トンネル タブを選択します。
- フェーズ 1 の設定 セクションの 詳細 をクリックします。
- IPSec トンネル タブを選択します。
- IPSec 設定を編集するには、以下のオプションを構成します。
IPSec トンネルの設定
トンネル認証には、事前共有キーまたは証明書を使用することができます。
エンドユーザー プロファイルのパスフレーズをトンネル認証の事前共有キーとして使用するには、エンドユーザー プロファイルのパスフレーズを事前共有キーとして使用する を選択します。パスフレーズには パスフレーズ セクションの 全般 タブに設定されています。リモート デバイスでも同じ共有キーを使用する必要があります。共有キーでは、標準の ASCII 文字を使用する可能性があります。
トンネル認証に証明書を使用するには、証明書を使用する を選択します。
詳細については、Mobile VPN With IPSec トンネル認証の証明書 (Web UI) を参照してください。
証明書を使用する場合は、CA IP アドレス および タイムアウト を指定する必要があります。CA IP アドレス テキスト ボックスに、認証機関として構成されている Management Server の IP アドレスを入力します。タイムアウト テキスト ボックスに、認証機関が応答しない場合に、Mobile VPN with IPSec クライアントが接続試行を続ける時間を秒単位で入力します。既定の設定を使用することをお勧めします。
フェーズ 1 の設定
Mobile VPN トンネルのフェーズ 1 変換の認証および暗号化方法を選択します。これらの設定の詳細については、次を参照してください：IPSec のアルゴリズムとプロトコルについて。
認証 ドロップダウン リストから、MD5、SHA1、SHA2-256、SHA2-384 または SHA2-512 の認証方法を選択します。ヒント！
SHA-2 は XTM
SHA2 は、WatchGuard IPSec Mobile VPN クライアント v11.32 からの VPN 接続でサポートされています。Android または iOS デバイスからの VPN 接続では SHA2 はサポートされておらず、旧バージョンの WatchGuard IPSec VPN クライアントでもサポートされていません。
暗号化 ドロップダウン リストから、AES (128ビット)、AES (192ビット)、AES (256ビット)、DES または 3DES の暗号化方法を選択します。ヒント！
NAT Traversal やキー グループなどの詳細設定を構成するには 詳細設定 をクリックします。詳細については、フェーズ 1 の設定の詳細を定義する を参照してください。
フェーズ 2 の設定
プロポーザルおよびキーの有効期限の設定を変更するには、プロポーザル をクリックします、詳細については、フェーズ 2 の設定の詳細を定義する を参照してください。
既定では Perfect Forward Secrecy (PFS) が有効になっています。PFS を有効のままにするには、Diffie-Hellman グループを選択します。ヒント！
Perfect Forward Secrecy により、セッションで作成されたキーのセキュリティ保護が強化されます。PFS で作成されるキーは、以前のキーからは作成されません。セッション後に以前のキーのセキュリティが侵害された場合でも、新しいセッション キーのセキュリティは保護されます。詳細については、Diffie-Hellman グループについて を参照してください。
- リソース タブを選択します。
- 次のオプションを構成します。
すべてのトラフィックにトンネル経由を許可する
すべての Mobile VPN ユーザーのインターネット トラフィックを VPN トンネル経由で送信するには、このチェックボックスをオンにします。このオプションを選択した場合、Mobile VPN ユーザーのインターネット トラフィックは VPN 経由で送信されます。これらのユーザーではウェブサイトの読み込み速度がより遅くなる可能性があります。
このオプションを選択しない場合、Mobile VPN ユーザーのインターネット トラフィックは Firebox で検証されませんが、ユーザーはより速くインターネットを閲覧できます。
許可されたリソース
このリストには、ユーザーが Mobile VPN グループで使用するネットワーク リソースが含まれます。
トンネルを経由するすべてのトラフィックを許可する オプションを選択すると、許可されたリソース リストAny-External および 0.0.0.0/0 の既定値が必要になります。他のリソースは不要です。Fireware v11.12 以降では、このオプションが選択されていると、既定のリソースを削除したり追加のリソースを加えることができません。
トンネルを経由するすべてのトラフィックを許可する を選択していない場合は、次のような許可されたリソースを追加したり削除することができます：
- ネットワーク リソース リストに IP アドレスまたは ネットワーク IP アドレスを追加するには、ホスト IP または ネットワーク IP を選択して、アドレスを入力し、追加をクリックします。
- IP アドレスまたは ネットワーク IP アドレスをリソース リストから削除するには、リソース を選択して、削除 をクリックします。
許可されたリソースを編集する場合、このグループの既定の Mobile VPN with IPSec ポリシーのみでリソースのリストが自動更新されます。同じグループのその他の Mobile VPN with IPSec ポリシーでは、リソースは自動的に更新されません。Mobile VPN with IPSec ポリシーの許可されたリソースを編集し、必要に応じて更新する必要があります。詳細については、IPSec Mobile VPN トラフィックをフィルタリングするポリシーを構成する を参照してください。
仮想 IP アドレス プール
このリストには、トンネル上の Mobile VPN ユーザーによって使用される内部 IP アドレスが含まれます。これらのアドレスは、すべてのネットワーク デバイスまたはその他の Mobile VPN グループでは使用できません。
- 仮想 IP アドレス プールにホスト IP アドレスまたは ネットワーク IP アドレスを追加するには、ホスト IP または ネットワーク IP を選択して、アドレスを入力し、追加 をクリックします。
- 仮想 IP アドレス プールからホストまたはネットワーク IP アドレスを削除するには、ホストまたは IP アドレスを選択し、削除 をクリックします。
仮想 IP アドレスの詳細については、次を参照してください： 仮想 IP アドレスおよび Mobile VPN。
- 詳細 タブを選択します。
- ライン管理 設定を以下の通り構成します。
接続モード
手動モード — このモードでは、ユーザーは VPN トンネルを手動で開始する必要があります。これが既定の設定です。VPN トンネルが停止しても、クライアントは VPN トンネルを自動的に再開しません。VPN トンネルを開始するには、Mobile VPN クライアントで 接続 をクリックします。または、Windows デスクトップのツールバーでMobile VPN アイコンを右クリックし、接続 をクリックします。
自動 — このモードでは、コンピュータが VPN トンネルを経由してリモート ホストにトラフィックを送信すると、クライアントは自動的に接続を開始しようとします。VPN トンネルが停止した場合、クライアント コンピュータ上のアプリケーションがリモート ホストへのトラフィック送信を実行すると、VPN トンネルを自動的に再開しようとします。
可変 — このモードで VPN トンネルを初めて手動で開始するは、ユーザーは 接続 をクリックする必要があります。ユーザーがユーザーを開始してから 切断 をクリックするまで、トンネルは 自動 モードで振る舞います。ユーザーが 切断 をクリックする前に VPN トンネルが停止した場合、クライアント コンピュータ上のアプリケーションがリモート ホストへのトラフィック送信を開始すると、クライアントは VPN トンネルを自動的に再開しようとします。
非アクティブ タイムアウト
非アクティブ タイムアウトでは、トラフィックが最後にトンネル経由で送信されてから、クライアントがトンネルを自動切断するまでに発生する時間遅延を指定します。非アクティブ タイムアウトには、最大 65,535 秒の値を設定することができます。既定では、非アクティブ値は 0 に設定されています。既定値の 0 では、非アクティブ時間が経過した後も VPN クライアントは確立されたトンネルを自動切断しません。トンネルはユーザーが手動で切断する必要があります。
既定のライン管理の設定は手動 または 0 秒 です。いずれかの設定を変更すると、クライアント ソフトウェアを構成するために .INI ファイルを使用する必要があります。
- (Fireware v12.2.1 以降) 最後に、DNS 設定を構成するには、以下の手順を実行します：
ネットワーク DNS/WINS の設定をモバイル クライアントに割り当てる
このオプションを選択する場合、モバイル クライアントは ネットワーク > インターフェイス > DNS/WINS で指定する DSN および WINS の設定を受け取ります。たとえば、ネットワーク DNS/WINS の設定で DNS サーバー 10.0.2.53 を指定する阿合、Mobile VPN クライアントは 10.0.2.53 を DNS サーバーとして使用します。
既定では、新しい Mobile VPN の構成に ネットワーク DNS/WINS サーバーの設定をモバイル クライアントに割り当てる の設定が選択されます。
モバイル クライアントに DNS または WINS の設定を割り当てない
このオプションを使用する場合、クライアントは Firebox から DNS または WINS の設定を受け取りません。
これらの設定をモバイル クライアントに割り当てる
このオプションを選択する場合、モバイル クライアントはこのセクションで指定するドメイン名、DNS サーバー、WINS サーバーの設定を受け取ります。たとえば、ドメイン名に example.com、DNS サーバーに 10.0.2.53 を指定する場合、モバイル クライアントは非修飾ドメイン名に example.com を使用し、DNS サーバーに 10.0.2.53 を使用します。
1 つのドメイン名、2 つまでの DNS サーバー IP アドレス、2 つまでの WINS サーバー IP アドレスを指定できます。
Mobile VPN with IPSec ユーザーを対象とする DNS および WINS サーバーの設定の詳細については、次を参照してください： Mobile VPN with IPSec 用に DNS と WINS サーバー を構成する。
- 保存 をクリックします。
Mobile VPN with IPSec ページが表示されます。 - 保存 をクリックします。
- (Fireware v12.3 以降) VPN > Mobile VPN > IPSec の順に選択します。
- (Fireware v12.2.1 以前) VPN > Mobile VPN with IPSec の順に選択します。
Mobile VPN with IPSec 構成ダイアログ ボックスが表示されます。
- プロファイル リストから変更するグループを選択します。
- 編集 をクリックします。
Mobile VPN with IPSec ダイアログ ボックスが表示されます。
- 全般 タブでグループプロファイルの編集と次に記述されているの設定の構成ができます。
認証サーバー
この Mobile VPN グループに使用する認証サーバーを選択します。内部 Firebox データベース (Firebox-DB) を使用するか、または RADIUS、VASCO、SecurID、LDAP、または Active Directory Authentication サーバーを使用してユーザーを認証できます。
認証サーバーを構成するには、設定 > 認証 > 認証サーバー の順に選択します。
パスフレーズ
パスフレーズを入力し、このグループ内のユーザーに配布する Mobile VPN プロファイル (.wgx ファイル) を暗号化します。共有キーでは、標準の ASCII 文字を使用する可能性があります。認証に証明書を使用する場合、これは証明書の PIN です。
確認
パスフレーズを再度入力します。
プライマリ
このグループ内の Mobile VPN ユーザーが接続できるプライマリ外部 IP アドレスまたはドメインを選択または入力します。これは外部 IP アドレス、セカンダリ外部 IP アドレス、または外部 VLAN のいずれかです。ドロップイン モードの Firebox の場合は、すべてのインターフェイスに割り当てられた IP アドレスを使用します。
バックアップ
このグループ内の Mobile VPN ユーザーが接続できるバックアップ外部 IP アドレスまたはドメインを入力または選択します。このバックアップ IP アドレスはオプションです。バックアップ IP アドレスを追加する場合、Firebox の外部インターフェイスまたは VLAN に割り当てられている IP アドレスを指定してください。
セッション
Mobile VPN セッションがアクティブになることができる最大の時間を分単位で選択します。
アイドル
Firebox がアイドル状態の Mobile VPN セッションを終了するまでの時間 (分単位) を選択します。認証サーバーが特定のタイムアウト値を返さない場合、セッションおよびアイドル タイムアウト値が既定のタイムアウトになります。Firebox を認証サーバーに使用する場合は、各 Firebox のユーザー アカウントにタイムアウトが設定されるため、Mobile VPN グループのタイムアウトは常に無視されます。
セッションおよびアイドル タイムアウトを、SA の有効期限 に指定された値より長くすることはできません。この値を設定するには、Mobile VPN with IPSec の編集 のダイアログ ボックスの IPSec トンネル タブから 詳細 をクリックします。既定値は 8 時間です。
- IPSec トンネル タブを選択します。
- IPSec トンネル タブの設定を編集します：
トンネル認証方法
トンネル認証には、事前共有キーまたは証明書を使用することができます。
エンドユーザー プロファイルのパスフレーズをトンネル認証の事前共有キーとして使用するには、エンドユーザー プロファイルのパスフレーズを事前共有キーとして使用する を選択します。リモート デバイスでも同じ共有キーを使用する必要があります。共有キーでは、標準の ASCII 文字のみを使用します。
トンネル認証に証明書を使用するには、証明書を使用する を選択します。詳細については、Mobile VPN with IPSec トンネル認証の証明書 (WSM) を参照してください。
証明書を使用する場合は、CA IP アドレス および タイムアウト を指定する必要があります。CA IP アドレス テキスト ボックスに、認証機関として構成されている Management Server の IP アドレスを入力します。タイムアウト テキスト ボックスに、認証機関が応答しない場合に、Mobile VPN with IPSec クライアントが接続試行を続ける時間を秒単位で入力します。既定の設定を使用することをお勧めします。
フェーズ 1 の設定
Mobile VPN トンネルのフェーズ 1 変換の認証および暗号化方法を選択します。これらの設定の詳細については、次を参照してください：IPSec のアルゴリズムとプロトコルについて。
認証 ドロップダウン リストから、MD5、SHA1、SHA2-256、SHA2-384 または SHA2-512 の認証方法を選択します。ヒント！
SHA-2 は XTM
SHA2 は、WatchGuard IPSec Mobile VPN クライアント v11.32 からの VPN 接続でサポートされています。Android または iOS デバイスからの VPN 接続では SHA2 はサポートされておらず、旧バージョンの WatchGuard IPSec VPN クライアントでもサポートされていません。
暗号化 ドロップダウン リストから、AES (128ビット)、AES (192ビット)、AES (256ビット)、DES または 3DES の暗号化方法を選択します。ヒント！
NAT Traversal やキー グループなどの詳細設定を構成するには 詳細設定 をクリックします。詳細については、フェーズ 1 の設定の詳細を定義する を参照してください。
フェーズ 2 の設定
プロポーザルおよびキーの有効期限の設定を変更するには、プロポーザル をクリックします、詳細については、フェーズ 2 の設定の詳細を定義する を参照してください。
既定では Perfect Forward Secrecy (PFS) が有効になっています。PFS を有効のままにするには、Diffie-Hellman グループを選択します。ヒント！
Perfect Forward Secrecy により、セッションで作成されたキーのセキュリティ保護が強化されます。PFS で作成されるキーは、以前のキーからは作成されません。セッション後に以前のキーのセキュリティが侵害された場合でも、新しいセッション キーのセキュリティは保護されます。詳細については、Diffie-Hellman グループについて を参照してください。
- リソース タブを選択します。
- 許可されたネットワーク リソースおよび仮想 IP アドレスを追加および削除する。
すべてのトラフィックをトンネル経由にする
すべての Mobile VPN ユーザーのインターネット トラフィックを VPN トンネル経由で送信するには、このチェックボックスをオンにします。このオプションを選択した場合、Mobile VPN ユーザーのインターネット トラフィックは VPN 経由で送信され、これらのユーザーには Web サイトの読み込みが遅くなる可能性があります。
このオプションを選択しない場合、Mobile VPN ユーザーのインターネット トラフィックは Firebox で検証されませんが、ユーザーはより速くインターネットを閲覧できます。
許可されたリソース リスト
このリストには、グループのユーザーがネットワーク上でアクセスできるリソースが表示されます。
トンネルを経由するすべてのトラフィックを強制する オプションを選択すると、許可されたリソース リストAny-External および 0.0.0.0/0 の既定値が必要になります。他のリソースは不要です。Fireware v11.12 以降では、このオプションが選択されていると、既定のリソースを削除したり追加のリソースを加えることができません。
トンネルを経由するすべてのトラフィックを強制する を選択していない場合は、次のような許可されたリソースを追加したり削除することができます：
- 許可されたリソースのリストにホスト IP アドレスまたはネットワーク IP アドレスを追加するには、追加 をクリックします。
- ホスト IP アドレスまたはネットワーク IP アドレスを許可されたリソースのリストから削除するには、リソース を選択して、削除 をクリックします。
許可されたリソースを編集すると、このグループの Mobile VPN with IPSec ポリシーでリソースのリストは自動的に更新されません。Mobile VPN with IPSec ポリシーの許可されたリソースを手動で編集し、必要に応じて更新する必要があります。詳細については、次を参照してください：IPSec Mobile VPN トラフィックをフィルタリングするポリシーを構成する
仮想 IP アドレス プール
このリストには、トンネル上の Mobile VPN ユーザーによって使用される内部 IP アドレスが表示されます。これらのアドレスは必要な場合だけ使用されます。
仮想 IP アドレス プールにホスト IP アドレス、または IP アドレスのホスト範囲を追加するには、追加 をクリックします。
選択したホスト IP アドレスまたは IP アドレスのホスト範囲を仮想 IP アドレス プールからクリアするには、削除 をクリックします。
仮想 IP アドレスの詳細については、次を参照してください： 仮想 IP アドレスおよび Mobile VPN。
- 詳細 タブを選択します。
- ライン管理 設定を以下の通り構成します。
接続モード
手動モード — このモードでは、ユーザーは VPN トンネルを手動で開始する必要があります。これが既定の設定です。VPN トンネルが停止しても、クライアントは VPN トンネルを自動的に再開しません。VPN トンネルを開始するには、Mobile VPN クライアントで 接続 をクリックします。または、Windows デスクトップのツールバーでMobile VPN アイコンを右クリックし、接続 をクリックします。
自動 — このモードでは、コンピュータが VPN トンネルを経由してリモート ホストにトラフィックを送信すると、クライアントは自動的に接続を開始しようとします。VPN トンネルが停止した場合、クライアント コンピュータ上のアプリケーションがリモート ホストへのトラフィック送信を実行すると、VPN トンネルを自動的に再開しようとします。
可変 — このモードで VPN トンネルを初めて手動で開始するは、ユーザーは 接続 をクリックする必要があります。ユーザーがユーザーを開始してから 切断 をクリックするまで、トンネルは 自動 モードで振る舞います。ユーザーが 切断 をクリックする前に VPN トンネルが停止した場合、クライアント コンピュータ上のアプリケーションがリモート ホストへのトラフィック送信を開始すると、クライアントは VPN トンネルを自動的に再開しようとします。
非アクティブ タイムアウト
非アクティブ タイムアウトでは、トラフィックが最後にトンネル経由で送信されてから、クライアントがトンネルを自動切断するまでに発生する時間遅延を指定します。非アクティブ タイムアウトには、最大 65,535 秒の値を設定することができます。既定では、非アクティブ値は 0 に設定されています。既定値の 0 では、非アクティブ時間が経過した後も VPN クライアントは確立されたトンネルを自動切断しません。トンネルはユーザーが手動で切断する必要があります。
既定のライン管理の設定は手動 または 0 秒 です。この設定を変更すると、クライアント ソフトウェアを構成するために .INI ファイルを使用する必要があります。
- (Fireware v12.2.1 以降) 最後に、DNS 設定を構成するには、以下の手順を実行します：
ネットワーク DNS/WINS の設定をモバイル クライアントに割り当てる
このオプションを選択する場合、モバイル クライアントは ネットワーク > インターフェイス > DNS/WINS で指定する DSN および WINS の設定を受け取ります。たとえば、ネットワーク DNS/WINS の設定で DNS サーバー 10.0.2.53 を指定する阿合、Mobile VPN クライアントは 10.0.2.53 を DNS サーバーとして使用します。
既定では、新しい Mobile VPN の構成に ネットワーク DNS/WINS サーバーの設定をモバイル クライアントに割り当てる の設定が選択されます。
モバイル クライアントに DNS または WINS の設定を割り当てない
このオプションを使用する場合、クライアントは Firebox から DNS または WINS の設定を受け取りません。
これらの設定をモバイル クライアントに割り当てる
このオプションを選択する場合、モバイル クライアントはこのセクションで指定するドメイン名、DNS サーバー、WINS サーバーの設定を受け取ります。たとえば、ドメイン名に example.com、DNS サーバーに 10.0.2.53 を指定する場合、モバイル クライアントは非修飾ドメイン名に example.com を使用し、DNS サーバーに 10.0.2.53 を使用します。
1 つのドメイン名、2 つまでの DNS サーバー IP アドレス、2 つまでの WINS サーバー IP アドレスを指定できます。
Mobile VPN with IPSec ユーザーを対象とする DNS および WINS サーバーの設定の詳細については、次を参照してください： Mobile VPN with IPSec 用に DNS と WINS サーバー を構成する。
- OK をクリックします。
- 構成を Firebox に保存します。
編集したグループのメンバーであるユーザーは、WatchGuard IPSec Mobile VPN クライアント ソフトウェアに正しい構成ファイルをインポートするまで接続できません。構成ファイルを生成して、エンドー ユーザーに提供する必要があります。
詳細については、Mobile VPN with IPSec 構成ファイルを生成する を参照してください。