ローカル管理の Firebox またはサードパーティ VPN endpoint に対して BOVPN を構成する

適用：クラウド管理の Firebox

クラウド管理の Firebox から、互換性のある設定で IKEv2 VPN をサポートする Firebox またはサードパーティ VPN endpoint への VPN を構成できます。サードパーティ VPN endpoint またはクラウドベースの endpoint に BOVPN 仮想インターフェイスを構成することができます。サポートされている endpoint には、Microsoft Azure や Amazon AWS、Cisco VTI endpoint などのクラウドベースの仮想ネットワークが含まれます。

同じ WatchGuard Cloud アカウントにある 2 つのクラウド管理の Firebox 間で BOVPN を構成する方法については、クラウド管理の Firebox 間に BOVPN を構成する を参照してください。

BOVPN を構成すると、WatchGuard Cloud はその構成をクラウド管理の Firebox に配備します。その後、同じ設定を使用してリモート endpoint を構成する必要があります。

クラウド管理の Firebox に BOVPN を追加するには、以下を構成します。

  • VPN Gateways — 2 つのデバイスにおいて接続に使用される外部ネットワーク。
  • 認証メソッド — 以下の 2 つのオプションのいずれかを選択します。
    • 事前共有キー — トンネル経由で送信されるデータを暗号化および暗号化解除する際に使用される共有シークレット。
    • 証明書 — トンネル認証に使用する IPSec Firebox 証明書。詳細については、Fireware ヘルプ の Branch Office VPN (BOVPN) トンネル認証の証明書 を参照してください。
  • ネットワーク リソース — トンネル経由でトラフィックを送受信することができるネットワーク。
  • 仮想 IP アドレス — (任意) 以下の場合は仮想 IP アドレスが必要。
  • BOVPN を SD-WAN アクションに追加する場合。
  • ゼロルート BOVPN を構成する場合。
  • Firebox で生成されたトラフィックへの応答がトンネル経由で送信されるようにする場合。例：DNS と DHCP トラフィック、Dimension、syslog、SNMP、NTP、認証 (Active Directory、LDAP、RADIUS)、およびトンネル経由でリソースに対して Firebox で確立されるその他の接続。
  • セキュリティ設定 — VPN ネゴシエーションのための認証と暗号化の設定。

BOVPN とルーティング

BOVPN の構成では、BOVPN トンネル経由でアクセスできるネットワーク リソースを指定します。一方の endpoint で選択したリソースは、BOVPN をゲートウェイとして、もう一方の endpoint の静的ルートとなります。各リソースに指定した距離 (メトリック) は、ルーティング テーブルに表示されます。Firebox はルーティング テーブルを使用して、BOVPN トンネル経由でトラフィックを送信するかどうかを決定します。

同じサブネット内の両方の endpoint にネットワーク リソースを指定することはできません。つまり、同じ IP アドレス範囲を使用するプライベート ネットワーク間で、BOVPN トンネル経由でトラフィックをルーティングすることはできません。

Firebox とローカル管理の VPN endpoint またはサードパーティ VPN endpoint との間の VPN の場合。

  • リモート endpoint に指定したネットワーク リソースは、Firebox がトンネル経由でルーティングするトラフィックを指定します。これは、BOVPN をゲートウェイとして、クラウド管理の Firebox の静的ルートとなります。
  • Firebox に指定するネットワーク リソースは、リモート endpoint によって VPN トンネル経由で Firebox にルーティングさせるリソースです。ここで指定したリソースは、Firebox が VPN トンネルを通じて受け入れるトラフィックを制限するものではありません。Firebox がこれらのリソースへの VPN トラフィックを受信するには、リモート endpoint がこれらの IP アドレスへのトラフィックをトンネル経由でルーティングするように構成されている必要があります。

仮想 IP アドレス

仮想 IP アドレス は、物理インターフェイスに紐づいていない IP アドレスです。WatchGuard Cloud の BOVPN (BOVPN 仮想インターフェイス) では、仮想 IP アドレスはゲートウェイ (ネクスト ホップ) として機能します。Firebox で生成されるトラフィックと BOVPN 仮想インターフェイスに直接送信される応答トラフィックで、仮想 IP アドレスが使用されます。

仮想 IP アドレスは、以下の場合に構成する必要があります。

動的ルート

BOVPN 仮想インターフェイスを使用することで、Firebox で動的ルートを使用し、ピアの Firebox のプライベート ネットワークまたはサードパーティ endpoint への VPN トンネル経由のルートが検知されるように設定することができます。詳細については、動的ルートの BOVPN 仮想インターフェイス を参照してください。

SD-WAN

SD-WAN アクションに BOVPN を追加する前に、両方の endpoint で、/32 仮想 IP アドレスで BOVPN を構成する必要があります。両方の endpoint で、仮想 IP アドレスとして /32 ホスト IP アドレスを構成すると、BOVPN リンク監視が暗黙的に有効化されます。リンク監視が有効化されていない BOVPN (両方の endpoint に有効な /32 仮想 IP アドレスがない) は、SD-WAN アクションに選択することができません。

SD-WAN の詳細については、SD-WAN を構成する を参照してください。

ゼロ ルーティング

ゼロルートの BOVPN ネットワーク リソース (0.0.0.0/0) を追加すると、すべてのネットワーク トラフィック (WatchGuard Cloud へのトラフィックを含む) を VPN トンネル経由で送信する既定のルートが作成されます。クラウド管理の Firebox の場合は、応答トラフィックで VPN トンネルが使用されるように、BOVPN 構成で仮想 IP アドレスを入力する必要があります。

ゼロルートの BOVPN ネットワーク リソースを追加しており、リモート VPN endpoint がクラウド管理の Firebox から WatchGuard Cloud へのトラフィックをルーティングできない場合、Firebox の管理や監視ができなくなります。

Firefox で生成されるトラフィック

Firebox では、トンネル経由でトラフィックが生成されます。Firebox で生成されたトラフィックは、自己生成のトラフィック (self-generated traffic) または自己発生トラフィック (self-originated traffic) とも呼ばれます。

Firebox で生成されたトラフィックへの応答で VPN トンネルが使用されるように、各 endpoint に /32 仮想 IP アドレスを入力する必要があります。Firebox によって生成されるトラフィックの例には、DNS と DHCP トラフィック、Dimension、syslog、SNMP、NTP、認証 (Active Directory、LDAP、RADIUS)、およびトンネル経由でリソースに対して Firebox で確立されるその他の接続が含まれます。

BOVPN と自動配備

BOVPN を追加、編集、または削除すると、BOVPN の構成が自動的に配備され、クラウド管理の Firebox でダウンロードできるようになります。自動配備に BOVPN 設定の変更のみが含まれるようにするため、Firebox に配備されていない他の構成変更がある場合は、BOVPN の変更を保存することはできません。

BOVPN を追加、編集、または削除する前に、Firebox に配備されていない変更がないことを確認してください。

BOVPN を追加する

BOVPN をクラウド管理の Firebox に追加するには、WatchGuard Cloud から以下の手順を実行します。

  1. 以下の方法のいずれかを使用して、BOVPN ページを開きます。
    • 現在選択しているアカウントのすべての Firebox の BOVPN を管理するには、構成 > VPN の順に選択します。
    • 特定の Firebox の BOVPN を管理するには、デバイス構成ページで Branch Office VPN タイルをクリックします。
  2. いずれかの BOVPN ページで、Branch Office VPN タイルをクリックします。
    BOVPN ページには、現在構成されている BOVPN が表示されます。

Screen shot of the BOVPN page with no BOVPNs added

  1. BOVPN の追加 をクリックします。
    BOVPN の追加 ページが開きます。
  2. 名前 テキスト ボックスに、この BOVPN の名前を入力します。
  3. アドレス ファミリ ドロップダウン リストから、IPv4 アドレス または IPv6 アドレス を選択します。
    IPv6 アドレス を選択した場合は、他の BOVPN endpoint で IPv6 がサポートされるように構成されている必要があります。
  4. ローカル管理の Firebox またはサードパーティ VPN endpoint を選択します。
    Endpoint B セクションの内容が、Firebox の一覧から Endpoint の名前のテキスト ボックスに変わります。

Screen shot of the Add BOVPN page with Locally-Managed Firebox or third-party VPN endpoint selected

  1. Endpoint A セクションで、アカウント内のクラウド管理の Firebox を選択します。
    デバイス構成 ページで BOVPN を追加した場合、Endpoint A リストには 1 つの Firebox のみが表示されます。
  2. Endpoint B セクションの Endpoint 名 テキスト ボックスに、このリモート VPN endpoint を識別する名前を入力します。
    BOVPN 構成は、この名前を使用して Endpoint B を参照します。

Screenshot of the Define VPN endpoints settings, with a local and remote VPN endpoint specified

  1. 次へ をクリックします。
    VPN Gateway の設定ページが開きます。

Screen shot of the VPN Gateways and Pre-shared key settings

  1. この VPN 接続に IPSec Firebox 証明書を使用する場合は、IPSec Firebox 証明書を使用する を選択します。代わりに事前共有キーを使用する場合は、手順 11 に進みます。
    証明書のリストが表示されます。

Screenshot of the IPSec certificate option in the Add a BOVPN Wizard

    1. 証明書を選択します。
    2. クラウド管理の Firebox の場合は、外部ネットワークを 1 つ選択します。
    3. この外部ネットワークについて、ドロップダウン リストから IP アドレスを指定します。x500 名、ドメイン名、または IP アドレスを選択します。使用可能なオプションは、証明書の構成によって異なります。
      DHCP または PPPoE の IP アドレスが構成されているネットワークの場合は、既定の IP アドレスが Any (動的) となります。
    4. リモート Endpoint の場合は、以下の手順を実行します。
      • IP アドレス ドロップダウン リストから IP アドレスを選択する、または IP アドレスを入力します。
      • Endpoint ID テキスト ボックスに、リモート Endpoint の IP アドレスに解決される x500 名、ドメイン名、または IP アドレスを入力します。
    1. 次へ をクリックします。
  1. この接続に事前共有キーを使用するには、クラウド管理の Firebox の外部ネットワークを 1 つ選択します。
    1. Firebox の外部ネットワーク IP アドレスに解決される IP アドレスまたはドメイン名を指定します。
    2. リモート endpoint の場合は、IP またはドメイン名 テキスト ボックスに、リモート endpoint の IP アドレスに解決される IP アドレスまたはドメイン名を入力します。
    3. 事前共有キー テキスト ボックスに、この VPN トンネルをセキュリティで保護するための事前共有キーを入力します。
    4. 次へ をクリックします。

Screen shot of the Traffic settings

  1. VPN トンネル経由でアクセスする Firebox の内部ネットワークとゲスト ネットワークを選択します。
  2. 内部ネットワークやゲスト ネットワーク以外のネットワーク リソースを追加するには、
    1. Firebox リソースのセクションで ネットワーク リソースの追加 をクリックします。

    Screen shot of the Add Network Resource dialog box

    1. ネットワーク リソース テキスト ボックスに、ネットワーク IP アドレスとネットマスクを入力します。ヒント！
    2. 距離 テキスト ボックスに、1 ～ 254 の値を入力します。低いメトリックのルートの優先順位が高くなります。規定値は 1 です。Fireware v12.9 以降では、距離 設定が メトリック 設定に置き換わっています。
    3. 追加 をクリックします。
      ネットワーク リソースが endpoint のトラフィック設定に追加されます。
  3. リモート endpoint のネットワーク リソースを追加するには、以下の手順を実行します。
    1. 2 番目の endpoint のセクションで ネットワーク リソースの追加 をクリックします。
    1. ネットワーク リソース テキスト ボックスに、ネットワーク IP アドレスとネットマスクを入力します。
    2. 距離 テキスト ボックスに、1 ～ 254 の値を入力します。低いメトリックのルートの優先順位が高くなります。規定値は 1 です。Fireware v12.9 以降では、距離 設定が メトリック 設定に置き換わっています。
    3. 追加 をクリックします。
      ネットワーク リソースが endpoint のトラフィック設定に追加されます。
  4. 前の手順を繰り返して、他のネットワーク リソースを追加します。
  5. (任意) 各 endpoint の 仮想 IP アドレス テキスト ボックスに、IP アドレスを入力します。仮想 IP アドレス は、物理インターフェイスに紐づいていない IP アドレスです。WatchGuard Cloud の BOVPN (BOVPN 仮想インターフェイス) では、仮想 IP アドレスはゲートウェイ (ネクスト ホップ) として機能します。BOVPN 仮想インターフェイスに直接送信される応答トラフィックに、仮想 IP アドレスが使用されます。

場合によっては、仮想 IP アドレスが必要となります。

  • 動的ルートを用いる場合は、BOVPN 仮想インターフェイス IP アドレスを使用する必要があります。
  • この BOVPN を SD-WAN アクションに追加するには、32 ネットマスクで仮想 IP アドレスを指定する必要があります。
  • ゼロルート BOVPN を構成する場合は、応答トラフィックで VPN トンネルが使用されるように、仮想 IP アドレスを入力する必要があります。ゼロルートの BOVPN ネットワーク リソースを追加しており、リモート VPN endpoint がクラウド管理の Firebox から WatchGuard Cloud へのトラフィックをルーティングできない場合、Firebox の管理や監視ができなくなります。
  • Firebox で生成されたトラフィックの場合は、仮想 IP アドレスが必要となります。そうすれば、その応答トラフィックで VPN トンネルが使用されます。Firebox によって生成されるトラフィックの例には、DNS と DHCP トラフィック、Dimension、syslog、SNMP、NTP、認証 (Active Directory、LDAP、RADIUS)、およびトンネル経由でリソースに対して Firebox で確立されるその他の接続が含まれます。

Screen shot of the virtual IP address settings

  1. 次へ をクリックします。
    セキュリティ設定 ページが開きます。

Screen shot of the default security settings

  1. 既定のセキュリティ設定を使用するか、リモート VPN endpoint でサポートされる設定に合わせて編集します。詳細については、BOVPN セキュリティ設定を構成する を参照してください。
  2. 追加 をクリックします。
    BOVPN 配備が追加され、BOVPN ガイド ページが開きます。

Screen shot of the last page of the Add BOVPN wizard, with the View Guide link

  1. BOVPN ガイドを新しいブラウザ タブで開くには、ガイドを表示する をクリックします。
    BOVPN ガイドが新しいブラウザ タブで開きます。このページは印刷したり、PDF に保存したりすることができます。
  2. BOVPN リストに戻るには、完了 をクリックします。

BOVPN ガイドを表示する

WatchGuard Cloud では、各 BOVPN に対して、リモート VPN endpoint で必要な VPN 構成設定をまとめた VPN ガイドが生成されます。BOVPN ガイドは、BOVPN の編集 ページから見ることができます。詳細については、BOVPN ガイドを表示する を参照してください。

リモート VPN endpoint の構成

リモート VPN endpoint で、クラウド管理の Firebox の VPN 設定と同じ設定で IKEv2 VPN を追加します。詳細については、ローカル管理の Firebox またはサードパーティ VPN endpoint 設定でリモート VPN endpoint を構成する を参照してください。

BOVPN の編集または削除

BOVPN は、BOVPN ページから編集または削除することができます。詳細については、クラウド管理の Firebox で BOVPN を管理する を参照してください。

関連トピック

デバイス構成の配備を管理する

Firebox の内部ネットワークまたはゲスト ネットワークを構成する

証明書を管理する