クラウド管理の Firebox で Mobile VPN with SSL を構成する

1. Mobile VPN with SSL 構成で、Firebox アドレス セクションに移動します。
2. プライマリ テキスト ボックスに、パブリック IP アドレスまたはドメイン名を入力します。
3. (任意) Firebox に複数の外部アドレスが存在する場合は、バックアップ IP アドレスまたはドメイン名を入力します。

バックアップ IP アドレスまたはドメイン名を入力すると、接続が失敗した場合に、VPN クライアントで自動的にその IP アドレスまたはドメインへの接続が試行されます。これらのバックアップ接続設定を使用する場合は、詳細 タブで、接続が失われた後に自動的に再接続する を選択する必要があります。

1. Mobile VPN with SSL 構成で、認証ドメイン セクションに移動します。

2. 認証ドメインを追加する をクリックします。
   認証ドメインを追加する ページが開きます。

3. ユーザー認証の認証ドメインを選択します。
   選択した認証ドメインは、認証ドメイン リストの最後に表示されます。
4. リスト内の最初のサーバーが既定の認証ドメインとなります。順序を変更するには、移動ハンドルをクリックしてドメインを上下にドラッグします。
5. 閉じる をクリックします。

1. Mobile VPN with SSL 構成で、ユーザーとグループ セクションに移動します。

2. Firebox データベース ユーザーを追加するには、以下の手順を実行します。
   1. ユーザーを追加する > Firebox データベース ユーザーを追加する の順にクリックします。
      ユーザーを追加する ページが開きます。
   2. ユーザーの 名前 を入力します。
   3. (任意) ユーザーの 説明 を入力します。
   4. ユーザーの パスワード を入力します。パスワードは 8 ～ 32 文字でなければなりません。
   5. タイムアウト 値を秒単位で入力します。既定値は 28880秒 (8 時間) です。これは、ユーザーが VPN への接続を維持できる最大時間となります。
   6. アイドル タイムアウト 値を秒単位で入力します。既定値は 1800 秒 (30 分) です。これは、ユーザーがアイドル状態のときに VPN への接続を維持できる時間となります。
3. 認証ドメイン ユーザーを追加するには、ユーザーとグループ セクションで以下の手順を実行します。
   1. ユーザーを追加する をクリックします。
   2. Mobile VPN with SSL に追加する各ユーザーのチェックボックスを選択します。
   3. 閉じる をクリックします。
      選択したユーザーがユーザー リストに表示されます。
4. 認証ドメイン グループを追加するには、ユーザーとグループ セクションで以下の手順を実行します。
   1. グループを追加する をクリックします。
   2. 追加する各グループのチェックボックスを選択します。
   3. モバイル VPN の構成からユーザーまたはグループを削除するには、削除するユーザーまたはグループの行にある をクリックします。

5. 閉じる をクリックします。
   選択したグループがグループ リストに表示されます。

1. Mobile VPN with SSL 構成で、仮想 IP アドレス プール セクションに移動します。
2. プールの IP アドレスをクリックします。
   仮想 IP アドレス プールを追加する ダイアログ ボックスが開きます。
   

   

3. 別の IP アドレスとネットマスクを入力します。
4. 更新 をクリックします。

1. Mobile VPN with SSL 構成で、仮想 IP アドレス プール セクションに移動します。
2. 仮想 IP アドレス プール セクションで、 をクリックします。
3. プールに IP アドレスを追加するには、仮想 IP アドレス プールを追加する をクリックします。
   仮想 IP アドレス プールを追加する ダイアログ ボックスが開きます。
   

   

4. IP アドレスとネットマスクを入力します。
5. 追加 をクリックします。

1. ネットワーク セクションで、VPN トンネル経由でトラフィックを送信する際に Firebox で使用される方法を選択します。

   すべてのクライアント トラフィックをトンネル経由に強制する

   トンネル経由で、すべてのトラフィックを VPN クライアントからプライベート ネットワークおよびインターネットにルーティングする場合は、このオプションを選択します。このオプションは、作成される Firebox ポリシーに基づいてすべての外部トラフィックを送信し、モバイル ユーザーに一貫性のあるセキュリティを提供します。このオプションを選択すると、Firebox でより多くの処理能力が必要になります。そのため、パフォーマンスに影響が出る可能性があります。これが既定の設定です。このオプションは、フル トンネリングまたは既定ルートと呼ばれる接続方式です。

   すべての内部ネットワークとゲスト ネットワークへのアクセスを許可する

   このオプションを選択すると、トラフィックのみが Firebox 経由でプライベート ネットワーク リソースにルーティングされます。他のインターネットへのトラフィックはトンネルを通過せず、Firebox のポリシーによる制約を受けません。このオプションは、スプリット トンネリングと呼ばれる接続方式です。

   許可されるリソースを指定する

   Mobile VPN with SSL クライアント アクセスをプライベート ネットワークの指定デバイスのみに制限する場合は、このオプションを選択します。このオプションは、スプリット トンネリングと呼ばれる接続方式です。

このオプションを選択した場合は、ネットワークを追加する をクリックして、ネットワークを選択し、追加 をクリックします。

2. 再接続 セクションで、1 つまたは複数のオプションを選択します。

   接続が失われた後に自動的に再接続する

   このオプションを選択した場合は、ユーザーが Mobile VPN with SSL クライアントで、自動的に再接続するかどうかをチェックボックスで選択できるようになります。このオプションは既定で選択されています。

   接続が失われた後にユーザーに認証を要求する

   ワンタイム パスワードを用いる多要素認証方式を使用する場合は、このオプションを選択することが勧められます。接続が失われた場合、ユーザーが新しいワンタイム パスワードを入力しないと、自動再接続が失敗する可能性があります。

   Mobile VPN with SSL クライアントでパスワードを記憶できるようにする

   このオプションを選択した場合は、ユーザーが Mobile VPN with SSL クライアントで、パスワードを保存するかどうかをチェックボックスで選択できるようになります。このオプションは既定で選択されています。

3. データ チャンネル セクションで、チャンネル設定を構成します。

   データ チャンネル

   Mobile VPN with SSL では、VPN 接続の確立後にデータ チャンネルを用いてデータが送信されます。既定のプロトコルとポートは TCP 443 です。別のポートを入力すると、ユーザーが Mobile VPN with SSL 接続ダイアログ ボックスにポートを手動で入力しなければならなくなります (例：203.0.113.2:444)。

   TCP を選択すると、構成チャンネルで、自動的に同じポートとプロトコルが使用されます。UDP を選択した場合は、構成チャンネル プロトコルを TCP または UDP に設定して、データ チャンネルとは異なるポートを使用できるようになります。

   構成チャンネル

   構成チャンネル により、ユーザーが Firebox から Mobile VPN with SSL クライアント ソフトウェアをダウンロードする方法が決まります。

   既定の構成チャンネルは TCP 443 です。既定設定をそのまま使用する場合は、ユーザーは以下から Mobile VPN with SSL クライアント ソフトウェアをダウンロードすることになります。
   https://[Firebox IP アドレスまたは FQDN]/sslvpn.html.

   既定の構成チャンネルを変更すると、ユーザーが URL (https://[Firebox IP アドレスまたは FQDN]:<444>/sslvpn.html) にポート番号を指定しなければならなくなります。

4. (任意) トンネル セキュリティ セクションで、カスタム設定を使用する を選択します。以下のオプションを構成できます。

   認証方法

   接続の認証方法を選択します。認証設定では、認証アルゴリズムとハッシュ サイズを指定します。SHA2-256 または SHA2-512 を選択することができます。既定設定は SHA2-256 です。

   暗号化方法

   トラフィックを暗号化する暗号化方法を選択します。暗号化設定で、暗号化アルゴリズムとキーの長さを指定します。128、192、256 ビットのいずれかの強度の AES-CBS または AES-GCM アルゴリズムを選択することができます。

   AES-GCM アルゴリズムが勧められます。通常、これにより、ほとんどの Firebox モデルで最高のパフォーマンスが実現します。GCM には認証が組み込まれているため、個別の認証アルゴリズムを計算する必要はありません。既定設定は AES-CBC (256 ビット) です。

   キープアライブ間隔

   キープアライブ間隔 値を秒単位で入力します。この設定により、Firebox からトンネル経由でトラフィックが送信される頻度が制御されます。これにより、他のトンネル トラフィックが存在しない場合も、トンネルがアクティブ状態に維持されます。既定値は 10 秒です。

   キープアライブ タイムアウトの入力

   キープアライブ タイムアウト 値を秒単位で入力します。この設定により、Firebox における応答の待機時間が制御されます。タイムアウト値を超える前に応答が到着しないと、Firebox でトンネルが閉じられるため、VPN クライアントを再接続する必要性が発生します。既定値は 60 秒です。

   再ネゴシエート データ チャンネル

   再ネゴシエート データ チャンネル 値を分単位で入力します。再ネゴシエート データ チャネル テキスト ボックスに指定した時間が経過するまで Mobile VPN with SSL 接続がアクティブ状態であった場合、Mobile VPN with SSL は新しいトンネルを作成する必要があります。既定値は 480 分 (8 時間) です。最小値は 60 分です。

5. (任意) 内部 DNS サーバーを使用するには、DNS セクションで以下のオプションを選択します。

ネットワーク DNS 設定を使用する

このオプションを選択すると、モバイル クライアントで、クラウド管理の Firebox に構成されている内部 DNS サーバーが使用されます。内部 DNS サーバーについては、Firebox DNS 設定を構成する を参照してください。

ネットワーク DNS 設定を割り当てる

このオプションを選択すると、モバイル クライアントで、このセクションで入力したドメイン名サフィックス、DNS サーバー、および WINS サーバーが使用されます。たとえば、ドメイン名に example.com、DNS サーバーに 10.0.1.53 を指定する場合、モバイル クライアントは非修飾ドメイン名に example.com を使用し、DNS サーバーに 10.0.1.53 を使用します。