第60章ＶＰＮの詳細設定

「ＶＰＮ＞詳細設定」ページには、すべてのＶＰＮポリシーに影響を与えるオプションの設定が含まれています。

ＶＰＮの詳細設定

･ＩＫＥＤｅａｄＰｅｅｒ検出を有効にする－アクティブでないＶＰＮトンネルをＳｏｎｉｃＷＡＬＬによって破棄する場合に選択します。

･ハートビートの間隔（秒）－ “ハートビート”間隔の秒数を入力します。既定値は６０秒です。

･ＤｅａｄＰｅｅｒ検出とする未到達ハートビートの回数－未到達ハートビート回数を入力します。既定値は３です。トリガーレベルに達した場合、ＶＰＮ接続はＳｏｎｉｃＷＡＬＬセキュリティ装置により破棄されます。ＳｏｎｉｃＷＡＬＬセキュリティ装置は、フェーズ１暗号化手順によって保護されたＵＤＰパケットを使用します。

･無動作時ＶＰＮ接続に対するＤｅａｄＰｅｅｒ検出を有効にする－「無動作時ＶＰＮ接続に対するＤｅａｄＰｅｅｒ検出の間隔（秒）」フィールドで定義した時刻の値に到達後、動作していないＶＰＮ接続をＳｏｎｉｃＷＡＬＬセキュリティ装置によって破棄する場合は、この設定を選択します。既定値は“６００”秒（１０分）です。

･断片化パケットの処理を有効にする－ ”断片化されたＩＰＳｅｃパケットが破棄された”という内容のＶＰＮログレポートが示される場合は、この機能を有効にします。ＶＰＮトンネルが確立されて動作状態になるまでは、選択しないでください。

･ＤＦ(Donﾕt Fragment: 断片化を行わない) ビットを無視する－パケットヘッダーのＤＦビットを無視するには、このチェックボックスをオンにします。一部のアプリケーションでは、パケットの‘断片化を行わない’のオプションを明示的に設定できます。これにより、すべてのセキュリティ装置にそのパケットの断片化を行わないように指示されます。このオプションが有効になっていると、ＳｏｎｉｃＷＡＬＬは断片化を行わないためのオプションを無視し、とにかくパケットの断片化を行います。

･ＮＡＴトラバーサルを有効にする－ＶＰＮエンドポイントの間にＮＡＴ機器がある場合は、この設定を選択します。ＩＰｓｅｃＶＰＮは、認証されたエンドポイント間で交換されたトラフィックを保護しますが、ＮＡＴトラバーサルを動作させるために、認証されたエンドポイントをセッションの途中で動的に再マップできません。したがって、ＩＰＳｅｃセッションが終了するまで動的なＮＡＴバインドを維持するには、１バイトのＵＤＰを”ＮＡＴトラバーサルキープアライブ”として指定し、ＮＡＴ機器またはＮＡＰＴ機器の背後にあるＶＰＮ機器によって送信される”ハートビート”として機能させます。”キープアライブ”は、ＩＰｓｅｃｐｅｅｒにより何も表示されずに破棄されます。

･対岸のゲートウェイのＤＮＳ名とＩＰアドレスが異なっていた場合、アクティブトンネルをクリーンアップする－古いＩＰアドレスと関連付けられたＳＡを切断し、ピアゲートウェイに再接続します。

･パススルー接続のためのＩＫＥポートを保存する－パススルーＶＰＮ接続のためのＵＤＰ５００／４５００送信元ポートおよびＩＰアドレス情報を保存します。

･ＯＣＳＰ確認を有効にするおよびＯＣＳＰ確認用ＵＲＬ－ＶＰＮ証明書状況を確認するＯＣＳＰ（ＯｎｌｉｎｅＣｅｒｔｉｆｉｃａｔｅＳｔａｔｕｓＰｒｏｔｏｃｏｌ）の使用を有効にし、証明書状況を確認するＵＲＬを指定します。ＯＣＳＰをＳｏｎｉｃＷＡＬＬセキュリティ装置で使用を参照してください。

･トンネルの状況が変更した場合のみ、ＶＰＮトンネルトラップを送信する－トンネルの状況が変化したときにのみトラップを送信することにより、送信されるＶＰＮトンネルトラップの数を減らします。

･ＩＫＥｖ２Ｃｏｏｋｉｅ通知を送信する－認証ツールとしてｃｏｏｋｉｅをＩＫＥｖ２ピアに送信します。

･ＲＡＤＩＵＳを以下で使用－ＶＰＮクライアントユーザの認証にＲＡＤＩＵＳを使用する場合、ＲＡＤＩＵＳはＭＳＣＨＡＰ（またはＭＳＣＨＡＰｖ２）モードで使用します。このようにする主な理由は、ＶＰＮクライアントユーザがＭＳＣＨＡＰ機能を使用して、ログイン時に期限切れパスワードを変更できるようにするためです。

また、この設定を行って、「

ユーザ＞設定」ページの「ログインの認証方法」としてＬＤＡＰを選択した場合に、ＬＤＡＰがパスワードの更新を許可しない設定になっていると、ＬＤＡＰを使用してユーザ認証が行われた後で、ＭＳＣＨＡＰモードのＲＡＤＩＵＳを使用してＶＰＮクライアントユーザのパスワードの更新が実行されます。

補足　アクティブディレクトリとＴＬＳを使用していて管理者アカウントでアクティブディレクトリに接続する場合、あるいは、ノベルイーディレクトリを使用する場合は、パスワードの更新はＬＤＡＰのみで実行できます。

ＯＣＳＰをＳｏｎｉｃＷＡＬＬセキュリティ装置で使用

ＯＣＳＰ（ＯｎｌｉｎｅＣｅｒｔｉｆｉｃａｔｅＳｔａｔｕｓＰｒｏｔｏｃｏｌ）により、ＣＲＬなしでＶＰＮ証明書状況を確認できます。これで、ＳｏｎｉｃＷＡＬＬで使用される証明書の状況に関するアップデートを適時に行うことができます。

ＯＣＳＰについて

ＯＣＳＰは、ＰＫＩ（ＰｕｂｌｉｃＫｅｙＩｎｆｒａｓｔｒｕｃｔｕｒｅ）またはデジタル証明書システム（ＰＫＩ）でＣＲＬ（証明書失効リスト）を拡張または置換を行えるように設計されています。ＣＲＬは、ＰＫＩによって構成されたデジタル証明書の検証に使用されます。これにより、ＣＡ（証明書認証機関）は、予定された有効期限になる前に証明書を取り消します。これは、盗まれた証明書や無効な証明書に対してＰＫＩを保護する場合に有用です。

証明書失効リストの主な短所は、各クライアントのＣＲＬを最新にしておくためにアップデートを頻繁に行うことが必要な点です。頻繁なアップデートが必要になると、各クライアントで完全なＣＲＬがダウンロードされるときにネットワークトラフィックが増大します。ＣＲＬアップデートの頻度によっては、ＣＲＬによって証明書が取り消された時点でクライアントがＣＲＬアップデートおよび証明書の使用の許可をまだ入手していないという状態が、一定の期間にわたって発生することがあります。

ＯｎｌｉｎｅＣｅｒｔｉｆｉｃａｔｅＳｔａｔｕｓＰｒｏｔｏｃｏｌは、ＣＲＬを使用せずにデジタル証明書の現在の状況を判断します。ＯＣＳＰは、識別されたデジタル証明書の状況をクライアントまたはアプリケーションが直接判断できるようにします。これにより、ＣＲＬ証明書に関する情報をＣＲＬの場合よりも適切なタイミングで提供できます。さらに、通常は各クライアントがいくつかの証明書を確認するだけなので、いくつかのエントリのためにＣＲＬ全体をダウンロードしてもオーバーヘッドは発生しません。その結果、証明書の検証に関連するネットワークトラフィックが大幅に減少します。

ＯＣＳＰは、既存のネットワークとの互換性を最大化するためにメッセージをＨＴＴＰ経由で転送します。そのため、ＯＣＳＰ応答のキャッシュされたコピー（期限切れの可能性がある）を受け取らないように、ネットワーク内のキャッシュサーバを慎重に設定する必要があります。

ＯＣＳＰクライアントは、ＯＣＳＰレスポンダでやり取りします。ＯＣＳＰレスポンダは、ＣＡサーバまたはＣＡとやり取りして証明書状況を判断できる他のサーバにすることができます。ＯＣＳＰクライアントは、ＯＣＳＰレスポンダに状況要求を発行し、レスポンダから応答があるまで証明書の受け入れを保留します。クライアント要求には、プロトコルバージョン、サービス要求、ターゲット証明書ＩＤ、オプションの拡張機能などのデータが含まれています。オプションの拡張は、ＯＣＳＰレスポンダによって承認されない場合もあります。

ＯＣＳＰレスポンダは、クライアントから要求を受け取ると、メッセージが適切な形式であることを確認し、レスポンダがサービス要求に応答できるかどうかを検証します。次に、要求の中に目的のサービスに必要な情報が正しく含まれているかを確認します。すべての条件が満たされると、レスポンダはＯＣＳＰクライアントに最終的な応答を返します。ＯＣＳＰレスポンダは、基本的な応答（ＧＯＯＤ、ＲＥＶＯＫＥＤ、またはＵＮＫＮＯＷＮ）を提供する必要があります。ＯＣＳＰクライアントとレスポンダが両方ともオプションの拡張をサポートしている場合は、他の応答も可能です。ＧＯＯＤ状態は、証明書が取り消されていないことを示す、期待されている応答です。ＲＥＶＯＫＥＤ状態は、証明書が取り消されたことを示します。ＵＮＫＮＯＷＮ状態は、レスポンダが対象となる証明書に関する情報を持っていないことを示します。

ＯＣＳＰサーバは、通常、プッシュまたはプル設定でＣＡサーバと連携して動作します。ＣＲＬリスト（証明書失効リスト）をＯＣＳＰサーバにプッシュするようにＣＡサーバを設定できます。さらに、ＯＣＳＰサーバは、ＣＡサーバからＣＲＬを周期的にダウンロード（プル）するように設定できます。ＯＣＳＰサーバは、ＣＡサーバで発行されたＯＣＳＰ応答署名証明書によって設定することもできます。署名証明書は適切な形式である必要があります。そうでない場合、ＯＣＳＰクライアントはＯＳＣＰサーバからの応答を受け入れません。

ＯｐｅｎＣＡＯＣＳＰＲｅｓｐｏｎｄｅｒ

ＯＣＳＰを使用するには、サポートされている唯一のＯＣＳＰレスポンダである、ＯｐｅｎＣＡ（オープンソース証明書認証機関）のＯｐｅｎＣＡＯＣＳＰＲｅｓｐｏｎｄｅｒが必要です。ＯｐｅｎＣＡＯＣＳＰＲｅｓｐｏｎｄｅｒは、〈http://www.openca.org/ocspd/〉で入手できます。ＯｐｅｎＣＡＯＣＳＰＲｅｓｐｏｎｄｅｒは、ｒｆｃ２５６０に準拠したＯＣＳＰレスポンダであり、既定のポート２５６０（ｒｆｃ２５６０に基づくことを示す）で動作します。

ＯＣＳＰで使用する証明書のロード

ＳｏｎｉｃＯＳがレスポンダに対してＯＣＳＰクライアントとして動作するように設定する場合は、ＣＡ証明書をＳｏｎｉｃＷＡＬＬにロードする必要があります。

ＯＣＳＰでＶＰＮポリシーを使用

ＳｏｎｉｃＷＡＬＬＯＣＳＰ設定は、ポリシーレベルで、またはグローバルに設定できます。個別のＶＰＮポリシーでＯＣＳＰ確認を設定するには、「ＶＰＮポリシー」設定ページの「詳細」タブを使用します。