第59章 ＶＰＮポリシーの設定

ＶＰＮ ＞ 設定

ＶＰＮポリシー設定のためのＳｏｎｉｃＷＡＬＬ機能は、「ＶＰＮ ＞ 設定」ページで提供されています。この「ＶＰＮ ＞ 設定」ページから、サイト間ＶＰＮポリシーおよびＧｒｏｕｐＶＰＮポリシーを設定することができます。

ＶＰＮの概要

仮想プライベート ネットワーク （ＶＰＮ） では、パブリック インターネットを介して２台以上のコンピュータ、または保護されたネットワーク間をセキュリティ保護された手段で接続できます。ＶＰＮでは、正しい通信相手との情報の送受信を保証するために、認証が実施されます。認証によって、情報を送受信途中の閲覧や改ざんから保護するためのセキュリティが確保されます。

インターネット プロトコル セキュリティ （IPsec） およびセキュア ソケット レイヤ （SSL） が発明される以前は、セキュリティ保護された手段でリモート コンピュータやネットワーク間を接続するためには専用回線または衛星中継が必要でしたが、 両方とも柔軟性が乏しいうえコストが割高でした。

ＶＰＮでは、接続作成時に同様の信頼性およびセキュリティを確保するために、セキュリティ保護されたトンネルをインターネット経由で確立します。このトンネルは物理接続ではないことから柔軟性に優れているため、このトンネルに随時に変更を加え、さらに多くのノードを追加することも、ノードを変更することも、また全ノードを削除することもできます。また、ＶＰＮのインターネット インフラストラクチャには既存のものを使えるため、コストをかなり低く抑えることもできます。

ＶＰＮの種類

今日広範に使用されているＶＰＮには大きく分けて、次の２種類があります。


･ ＩＰｓｅｃ ＶＰＮ： ＩＰｓｅｃは、ネットワーク通信のパケット処理層でのセキュリティに関する一連のプロトコルです。ＩＰｓｅｃのメリットは、個別ユーザのコンピュータを変更する必要なしにセキュリティ上の処置に対処できることです。ＳｏｎｉｃＯＳは、ＩＰｓｅｃ ＶＰＮの作成および管理をサポートしています。
ＩＰｓｅｃでは、２とおりあるセキュリティ サービス （データ送信者の認証を基本的に許可する認証ヘッダー （ＡＨ） と、データ送信者の認証およびデータの暗号化の両方をサポートするカプセル化セキュリティ ペイロード （ＥＳＰ）） のどちらかを選択できます。これらの各サービスに関連する固有情報は、ＩＰパケット ヘッダーの後続ヘッダー内のパケットに挿入されます。

･ ＳＳＬ ＶＰＮ： セキュア ソケット レイヤ （ＳＳＬ） は、インターネット上での （通常はＨＴＴＰＳ経由の） メッセージ転送のセキュリティを管理するためのプロトコルです。ＳＳＬが使用するプログラム層は、インターネットのハイパーテキスト転送プロトコル （ＨＴＴＰ） 層と転送制御プロトコル （ＴＣＰ） 層との間に位置しています。ＳＳＬにはＲＳＡの公開鍵／秘密鍵暗号化方式が使用され、この暗号化方式を使用する際にはデジタル証明書も使用されます。ＳＳＬ ＶＰＮは、ＳＳＬを使用してＶＰＮトンネルのセキュリティを保護します。
ＳＳＬ ＶＰＮのメリットの１つは、ほとんどのウェブ ブラウザにＳＳＬを組み込めることです。その際に特別なＶＰＮクライアント ソフトウェアやハードウェアは必要ありません。
補足　ＳｏｎｉｃＷＡＬＬで製造しているＳＳＬ-ＶＰＮ機器は、ＳｏｎｉｃＯＳが動作するＳｏｎｉｃＷＡＬＬ ＵＴＭ装置と連携させて使うことも、またＳｏｎｉｃＷＡＬＬ ＵＴＭ装置とは別個に使うことも可能です。ＳｏｎｉｃＷＡＬＬのＳＳＬ-ＶＰＮ機器については、ＳｏｎｉｃＷＡＬＬのウェブサイト 〈http://www.sonicwall.com/us/products/Secure_Remote_Access.html〉 を参照してください。

ＶＰＮのセキュリティ

ＩＰｓｅｃ ＶＰＮトラフィックは、次の２つのフェーズでセキュリティ保護されます。


･ 認証： 第１フェーズでは、公開鍵と秘密鍵のペアのうちの公開鍵部分の交換によって、トラフィックの送信者および受信者の認証を確立します。このフェーズが正常終了しないうちは、ＶＰＮトンネルを確立できません。

･ 暗号化： ＶＰＮトンネル内のトラフィックは、ＡＥＳや３ＤＥＳなどの暗号化アルゴリズムを使用して暗号化されます。

手動鍵を使用する場合 （ＶＰＮ内の各ノードに同じ値を入力する必要があるため）、ＶＰＮメンバー認証情報およびデータ暗号化／復号化情報を交換する際には、認証情報 （鍵） の交換およびＶＰＮトンネル確立のためのＩＫＥ （インターネット鍵交換） プロトコルが使用されます。ＳｏｎｉｃＯＳは、ＩＫＥの２つのバージョン （バージョン１およびバージョン２） をサポートしています。

ＩＫＥバージョン１

ＩＫＥバージョン１は２つのフェーズから成る処理によって、ＶＰＮトンネルのセキュリティを保護します。


･ ＩＫＥフェーズ１は認証フェーズです。トンネルの片側にあるノードまたはゲートウェイは、相互に認証し、暗号化鍵と復号化鍵を交換して、セキュリティ保護されたトンネルを確立します。

･ ＩＫＥフェーズ２はネゴシエーション フェーズです。２つのノードまたはゲートウェイはいったん認証を終えると、ＶＰＮ経由で渡されたデータに対して用いる暗号化方式および （ハッシュ関数を使用した） データ検証をネゴシエートするとともに、トンネルおよび存続期間内でのセキュア アソシエーション （ＳＡ） の数をネゴシエートし、その後、暗号化／復号化鍵の再ネゴシエートを要求します。
ＩＫＥフェーズ1

ＩＫＥｖ１の場合、認証情報を交換するモードには、 メイン モードおよびアグレッシブ モードの２とおりがあります。

メイン モード： ＶＰＮを起動するノードまたはゲートウェイは、受信側のノードまたはゲートウェイに問い合わせて、認証方式、公開鍵、および識別情報を交換します。この処理では通常６つのメッセージを送受信する必要があります。メイン モードでは、認証メッセージが次のような順序で処理されます。
1. 開始側が自らサポートしている暗号化アルゴリズムのリストを送信する
2. サポートされている暗号化アルゴリズムのリストを、応答側が使用して応答する
3. 相互にサポートされている最初の暗号化アルゴリズム用の公開鍵 （Ｄｉｆｆｉｅ-Ｈｅｌｍａｎ公開／秘密鍵のペアの一部） を開始側が送信する
4. 応答側が同じ暗号化アルゴリズムの公開鍵を使用して応答する
5. 開始側が識別情報 （通常は証明書） を送信する
6. 応答側が識別情報を使用して応答する
アグレッシブ モード： 認証時に交換されるメッセージの数を半減するために、どの暗号化アルゴリズムを使用したらよいかについてのネゴシエーションが省略されます。ある特定のアルゴリズムを開始側が提案すると、応答側はそのアルゴリズムをサポートしているかどうかについての応答を返します。たとえば、次のようになります。
1. 開始側が自らの公開鍵を使用／送信するための暗号化アルゴリズムを提案する
2. 応答側が公開鍵および識別証明を使用して応答する
3. 開始側が識別証明を送信する 認証後は、ＶＰＮトンネルが２つのＳＡを使用して確立されます。１つは各ノードから他のノードへのＳＡです。
ＩＫＥフェーズ２

ＩＫＥフェーズ２では、両方の通信相手が利用するセキュリティの種類をネゴシエートします。

個々のパケット用のセキュリティには、次の２種類があります。


･ カプセル化セキュリティ ペイロード （ＥＳＰ） － 各パケットのデータ部を、通信相手間でネゴシエートされたプロトコルを使用して暗号化します。

･ 認証ヘッダー （ＡＨ） － 各パケットの認証ヘッダーには認証情報が含まれています。これにより、情報の信憑性が保証されるとともに、改ざんが防止されます。ＡＨのデータには暗号化は一切使用されません。

ＳｏｎｉｃＯＳは、ＶＰＮ経由のトラフィックに対して、次の暗号化方式をサポートしています。


･ ＤＥＳ

･ ３ＤＥＳ

･ ＡＥＳ-１２８

･ ＡＥＳ-１９２

･ ＡＥＳ-２５６

ＩＫＥｖ１の詳細は、当初のＩＫＥを規定する３つの仕様書 （ＲＦＣ ２４０７、ＲＦＣ ２４０８およびＲＦＣ ２４０９） に記載されています。次のウェブで閲覧できます。


･ http://www.faqs.org/rfcs/rfc2407.html

･ http://www.faqs.org/rfcs/rfc2408.html

･ http://www.faqs.org/rfcs/rfc2409.html

ＩＫＥバージョン２

ＩＫＥバージョン２は、セキュリティ アソシエーション （ＳＡ） のネゴシエーションおよび確立のためのより新しいプロトコルです。

ＩＫＥｖ２は新しいVPNポリシーの既定のプロポーサルです。

ＩＫＥｖ２では、セカンダリ ゲートウェイがサポートされます。

ＩＫＥｖ２にはＩＫＥｖ１との互換性はありません。ＩＫＥｖ２を使用する場合、トンネルを確立するには、ＶＰＮ内のすべてのノードにＩＫＥｖ２を使用する必要があります。

ＩＫＥｖ２では、ＶＰＮを越えたＤＨＣＰがサポートされません。

ＩＫＥｖ２はＩＫＥｖ１より以下の利点があります。


･ より高い安全性

･ より高い信頼性

･ より簡易化

･ より高速

･ 拡張性

･ 接続を確立するための、より少ないメッセージ交換

･ EAP認証サポート

･ MOBIKEサポート

･ ビルトインNAT トラバーサル

･ 既定でキープアライブが有効

ＩＫＥｖ２では、上記以外にＩＰアドレスの割り当ておよび拡張認証プロトコル （ＥＡＰ） もサポートすることにより、いくつかの認証方式やリモート アクセスのシナリオを可能にします。ＩＫＥｖ２を使用することにより、ＳＡの確立に要するメッセージ交換の回数がＩＫＥｖ１のメイン モードに比べて大幅に減少すると同時に、ＩＫＥｖ１のアグレッシブ モードに比べてセキュリティが強化され柔軟性が高まります。これにより、鍵を再設定する際の遅延が低減します。ＶＰＮの拡大に伴って複数のノードまたはゲートウェイ間に含まれるトンネルが増えると、ＩＫＥｖ２は各トンネルに要するＳＡの数を減らすことによって、帯域幅の必要量を低く抑え、ハウスキーピングのオーバーヘッドを軽減します。

ＩＫＥｖ２内のＳＡは子ＳＡと呼ばれており、ＶＰＮトンネルの有効期間中はいつでも個別に作成、変更、削除することができます。

ＩＫＥｖ２での初期化と認証

ＩＫＥｖ２は、メッセージ交換のペア （２組のメッセージ／応答） を使用してＶＰＮトンネルを初期化します。


･ 通信の初期化： １組目のメッセージ （ＩＫＥ_ＳＡ_ＩＮＩＴ） は、暗号化アルゴリズムをネゴシエートし、ナンス （反復したメッセージを防ぐために生成し送信されるランダム値） を交換して、公開鍵交換を実行します。
a. サポートされている暗号化アルゴリズム、公開鍵、およびナンスのリストを、開始側が送信する
b. 応答側が選択した暗号化アルゴリズム、公開鍵、ナンスおよび認証要求を送信する

･ 認証： ２組目のメッセージ （ＩＫＥ_ＡＵＴＨ） は、以前のメッセージを認証し、識別情報および証明書を交換して、最初のＣＨＩＬＤ_ＳＡを確立します。これらのメッセージの一部は、ＩＫＥ_ＳＡ_ＩＮＩＴ交換で確立された鍵によって暗号化され整合性が保全されます。その結果、識別情報が盗聴から隠蔽され、あらゆるメッセージの全フィールドが認証されます。
a. 開始側が識別証明 （たとえば、共有鍵や証明書）、および子ＳＡ確立の要求を送信する
b. 応答側が一致する識別証明を送信して、子ＳＡのネゴシエーションを完了する
ＩＫＥｖ２でのＳＡのネゴシエート

この交換は１つの要求／応答ペアから成るため、ＩＫＥｖ１では“フェーズ２交換”と呼ばれていました。フェーズ２交換は、最初の交換の完了後に、ＳＡの片側で開始できます。

最初の交換以降の後続メッセージはすべて、ＩＫＥ交換の最初の２つのメッセージでネゴシエートされた暗号化アルゴリズムおよび鍵を使用して、暗号化によって保護されます。

このセクションでは、ＣＲＥＡＴＥ_ＣＨＩＬＤ_ＳＡ交換を開始する側のエンドポイントを“開始側”という用語で指しています。この交換は、両方のエンドポイントで開始可能であるためです。

1. 開始側は子ＳＡオファーを送信する（データを暗号化する必要のある場合は、暗号化方式および公開鍵も送信する）
2. 応答側は受け取った子ＳＡオファーを送信する （暗号情報が含まれていた場合は、公開鍵も送信する）
補足　ＩＫＥｖ２の詳細は、仕様書ＲＦＣ４３０６に記載されています。次のウェブで閲覧できます。http://www.ietf.org/rfc/rfc4306.txt

ＳｏｎｉｃＯＳ ＥｎｈａｎｃｅｄでのＶＰＮの設定については、以下を参照してください。


･ 「ＳｏｎｉｃＯＳでのＶＰＮの設定」セクション

･ 「ＧｒｏｕｐＶＰＮポリシーの設定」セクション

･ 「サイト間ＶＰＮの設定」セクション

･ 「サイト間ＶＰＮポリシーの作成」セクション

･ 「ＶＰＮが自動的に追加するルール コントロール」セクション

ＳｏｎｉｃＯＳでのＶＰＮの設定

業界標準のＩＰｓｅｃ ＶＰＮ実装に基づいたＳｏｎｉｃＷＡＬＬ ＶＰＮは、モバイル ユーザ、在宅勤務者、リモート オフィス、およびパートナーをインターネット経由で接続するための設定が簡単で安全なソリューションを提供します。モバイル ユーザ、在宅勤務者、およびブロードバンド （ＤＳＬまたはケーブル） またはダイアルアップ インターネット アクセスを使用する他のリモート ユーザは、お使いのＳｏｎｉｃＷＡＬＬの ＳｏｎｉｃＷＡＬＬグローバルＶＰＮクライアントおよびＳｏｎｉｃＷＡＬＬ ＧｒｏｕｐＶＰＮにより、ネットワーク リソースに安全かつ簡単にアクセスできます。リモート オフィス ネットワークは、ネットワーク間ＶＰＮ接続を有効にするサイト間ＶＰＮ接続を使用して、お使いのネットワークに安全に接続することができます。

補足　ＳｏｎｉｃＷＡＬＬグローバルＶＰＮクライアントの詳細については、『ＳｏｎｉｃＷＡＬＬグローバルVPNクライアント管理者ガイド』を参照してください。

ＳｏｎｉｃＷＡＬＬのGroupVPNは、ＳｏｎｉｃＷＡＬＬグローバルＶＰＮクライアントの自動ＶＰＮポリシー プロビジョニングを提供します。ＳｏｎｉｃＷＡＬＬセキュリティ装置のGroupVPN機能およびＳｏｎｉｃＷＡＬＬグローバルＶＰＮクライアントにより、ＶＰＮ配備および管理が大幅に効率化されます。ＳｏｎｉｃＷＡＬＬのクライアント ポリシー プロビジョニング技術を使用することにより、グローバルＶＰＮクライアント ユーザ用にＶＰＮポリシーを定義できます。このポリシー情報は、ＳｏｎｉｃＷＡＬＬセキュリティ装置 （ＶＰＮゲートウェイ） からグローバルＶＰＮクライアントに自動的にダウンロードされるため、リモート ユーザはＶＰＮ接続のプロビジョニングに時間と労力を費やす必要がありません。

ＶＰＮポリシー ウィザードを使用して、サイト間のＶＰＮポリシーまたはＧｒｏｕｐＶＰＮポリシーを簡単にすばやく作成できます。管理インターフェースを使用して、ＧｒｏｕｐＶＰＮまたはサイト間のＶＰＮのトンネルを設定することもできます。ＧｒｏｕｐＶＰＮポリシーは各ゾーンに１つで最大４つまで定義できます。複数のサイト間ＶＰＮを作成することもできます。追加できるポリシーの最大数はお使いのＳｏｎｉｃＷＡＬＬモデルによって異なります。
補足　リモート ユーザに対しては、「ユーザ ＞ ローカル ユーザ」 または 「ユーザ ＞ ローカル グループ」 ページで、ネットワーク リソースへのアクセスを明示的に容認する必要があります。 ローカル ユーザまたはローカル グループを設定する際には、「ＶＰＮアクセス」 タブがＧＶＣを使ってＧｒｏｕｐＶＰＮに接続するリモート クライアントの能力に影響し、これはまた、ＮｅｔＥｘｔｅｎｄｅｒおよびＳＳＬ ＶＰＮ仮想オフィス ブックマークを使ってネットワーク リソースにアクセスするリモートユーザにも同様に影響します。 これは、ＳｏｎｉｃＯＳ ５.６以降の新しい振舞いです。 ＧＶＣ、ＮｅｔＥｘｔｅｎｄｅｒ、または、仮想オフィスのユーザがネットワーク リソースへアクセスすることを許可するには、ネットワーク アドレス オブジェクトかグループを、「ＶＰＮアクセス」 タブの ”許可” リストに追加する必要があります。

ＶＰＮの計画

ＶＰＮトンネルを作成または有効化する前に、次の情報を収集してください。これらのページを印刷して、次のようなプランニング チェックリストとして使用できます。

ＧｒｏｕｐＶＰＮポリシーのプランニング チェックリスト

ＳｏｎｉｃＷＡＬＬセキュリティ装置側：

･ 認証種別：

･ ＩＫＥ （事前共有鍵を使用）

･ ＩＫＥ （サードパーティ証明書）

･ 共有鍵 （事前共有鍵を使用する場合）

･ ゲートウェイ証明書 （サードパーティ証明書を使用する場合）。この証明書ファイルは、Ｓｏｎｉｃｗａｌｌセキュリティ装置にアップロードし終えていて、これからＶＰＮクライアントに配布される予定のファイルです。

･ Ｐｅｅｒ ＩＤタイプ （サードパーティ証明書を使用する場合）： 以下を選択します。

･ 識別名

･ 電子メールＩＤ

･ ドメイン名

･ Ｐｅｅｒ ＩＤフィルタ （サードパーティ証明書を使用する場合）

･ ＩＫＥ （フェーズ１） プロポーザル：

･ ＤＨグループ：

･ グループ1

･ グループ2

･ グループ5

･ グループ14 補足　ウィンドウズ２０００ Ｌ２ＴＰクライアントおよびウィンドウズＸＰ Ｌ２ＴＰクライアントは、ＤＨ グループ２でのみ動作します。ＤＨ グループ１および５との互換性はありません。

･ 暗号化：

･ ＤＥＳ

･ ３ＤＥＳ

･ ＡＥＳ-128

･ ＡＥＳ-２５６

･ 認証：

･ ＭＤ５

･ ＳＨＡ１

･ 存続期間 （秒）： （既定２８８００）

･ Ｉｐｓｅｃ （フェーズ２） プロポーザル：

･ プロトコル： (ＥＳＰのみ）

･ 暗号化：

･ ＤＥＳ

･ ３ＤＥＳ

･ ＡＥＳ-128

･ ＡＥＳ-192

･ ＡＥＳ-２５６

･ 認証：

･ ＭＤ５

･ ＳＨＡ１

･ Ｐｅｒｆｅｃｔ Ｆｏｒｗａｒｄ Ｓｅｃｒｅｃｙを有効にする

･ ＤＨグループ （Ｐｅｒｆｅｃｔ Ｆｏｒｗａｒｄ Ｓｅｃｒｅｃｙが有効化されている場合）

･ グループ1

･ グループ2

･ グループ5

･ グループ14 補足　ウィンドウズ２０００ Ｌ２ＴＰクライアントおよびウィンドウズＸＰ Ｌ２ＴＰクライアントは、ＤＨ グループ２でのみ動作します。ＤＨ グループ１および５との互換性はありません。

･ 存続期間 （秒）： （既定２８８００）

･ ウィンドウズ ネットワーク （ＮｅｔＢＩＯＳ） ブロードキャストを有効にする

･ マルチキャストを有効にする

･ このＳＡを経由しての管理：

･ ＨＴＴＰ

･ ＨＴＴＰＳ

･ ＳＳＨ

･ デフォルト ゲートウェイ：

･ ＯＣＳＰ確認を有効にする

･ ＯＣＳＰ確認用ＵＲＬ：

･ ＸＡＵＴＨを利用したＶＰＮクライアントの認証を要求する

･ ＸＡＵＴＨに利用するユーザ グループ （ＸＡＵＴＨを選択した場合、このＶＰＮへのアクセス権限を持つユーザ グループ） ：

･ 認証されていないＶＰＮクライアントのアクセス許可 （ＸＡＵＴＨを選択しなかった場合、このＶＰＮへのアクセスを許可するネットワークまたはサブネット） ：

･ ＸＡＵＴＨユーザ名とパスワードのクライアント キャッシュ （ユーザ名とパスワードをクライアントが保存できるようにする） ：

･ 無効

･ セッション単位

･ 常に有効

･ 仮想アダプタの設定：

･ なし

･ ＤＨＣＰリース

･ ＤＨＣＰリースまたは手動設定

･ コネクションの制御：

･ このゲートウェイのみ

･ すべてのゲートウェイ

･ トンネルを分割する

･ このゲートウェイをデフォルト ルートに設定する

･ シンプル クライアント プロビジョニングに既定の鍵を使用する
（これを選択すると、クライアント セットアップが容易になる反面、セキュリティは低下する）

ＶＰＮトンネルを作成または有効化する前に、次の情報を収集してください。これらのページを印刷して、次のようなプランニング チェックリストとして使用できます。

クライアント側


･ ＶＰＮゲートウェイのＩＰアドレスまたはウェブ アドレス

･ 共有鍵 （セキュリティ装置上で選択されている場合） ：

･ 証明書 （セキュリティ装置上で選択されている場合） ：

･ ユーザーのユーザ名およびパスワード （セキュリティ装置でＸＡＵＴＨを必要とする場合）

サイト間ＶＰＮプランニング チェックリスト

開始側：

通常は、リモート サイトからＩＫＥ ＶＰＮ ＳＡが要求されます。


･ 認証種別：

･ 手動鍵

･ ＩＫＥ （事前共有鍵を使用）

･ ＩＫＥ （サードパーティ証明書） （ＩＫＥｖ２では不使用）

･ このＶＰＮの名前：

･ プライマリＩＰＳｅｃゲートウェイ名またはアドレス：

･ セカンダリＩＰＳｅｃゲートウェイ名またはアドレス： （手動鍵キーで使用しない場合、ＩＫＥｖ２では不使用）

･ ＩＫＥ認証 （ＩＫＥで事前共有鍵を利用する場合） ：

･ 共有鍵：

･ ローカルＩＫＥ ＩＤ：

･ ＩＰアドレス

･ ドメイン名

･ 電子メール アドレス

･ ＳｏｎｉｃＷＡＬＬ識別子

･ Ｐｅｅｒ ＩＫＥ ＩＤ：

･ ＩＰアドレス

･ ドメイン名

･ 電子メール アドレス

･ ＳｏｎｉｃＷＡＬＬ識別子

･ ＩＫＥ （サードパーティ証明書） のＩＫＥ認証 （ＩＫＥｖ２では不使用）

･ ローカル証明書：

･ ローカルＩＫＥ ＩＤ種別：

･ 証明書の既定ＩＤ

･ 識別名 （ＤＮ）

･ 電子メールＩＤ （ＵｓｅｒＦＱＤＮ）

･ ドメイン名 （ＦＱＤＮ）

･ ＩＰアドレス （ＩＰｖ４）

･ Ｐｅｅｒ ＩＫＥ ＩＤ種別：

･ 識別名

･ 電子メールＩＤ

･ ドメイン名

･ ＩＰアドレス （ＩＰｖ４）

･ Ｐｅｅｒ ＩＫＥ ＩＤ：

･ ローカル ネットワーク
ローカル ネットワークをリストより選択 （アドレス オブジェクトの選択） ：
このＶＰＮトンネルは、ローカル ネットワークがＤＨＣＰを使ってＩＰアドレスを取得する際に使用するトンネルです。
（ＩＫＥｖ２では不使用）
すべてのアドレス

･ 対象先ネットワーク
このＶＰＮトンネルをすべてのインターネット トラフィックのデフォルト ルートとして使用する
対象先ネットワークは、このＶＰＮトンネルを通じたＤＨＣＰを使用してＩＰアドレスを取得する
対象先ネットワークをリストより選択 （アドレス オブジェクトの選択） ：

･ ＩＫＥ （フェーズ１） プロポーザル：

･ 鍵交換モード：

･ メイン モード

･ アグレッシブ モード

･ ＩＫＥｖ２モード

･ ＤＨグループ：

･ グループ1

･ グループ2

･ グループ5

･ グループ１４ 補足　ウィンドウズ２０００ Ｌ２ＴＰクライアントおよびウィンドウズＸＰ Ｌ２ＴＰクライアントは、ＤＨ グループ２でのみ動作します。ＤＨ グループ１および５との互換性はありません。

･ 暗号化：

･ ＤＥＳ

･ ３ＤＥＳ

･ ＡＥＳ-128

･ ＡＥＳ-192

･ ＡＥＳ-２５６

･ 認証：

･ ＭＤ５

･ ＳＨＡ１

･ 存続期間 （秒）： （既定２８８００）

･ Ｉｐｓｅｃ （フェーズ２） プロポーザル

･ プロトコル：

･ ＥＳＰ

･ ＡＨ

･ 暗号化：

･ ＤＥＳ

･ ３ＤＥＳ

･ ＡＥＳ-128

･ ＡＥＳ-192

･ ＡＥＳ-２５６

･ なし

･ 認証：

･ ＭＤ５

･ ＳＨＡ１

･ なし

･ Ｐｅｒｆｅｃｔ Ｆｏｒｗａｒｄ Ｓｅｃｒｅｃｙを有効にする

･ 存続期間 （秒）： （既定２８８００）

･ キープ アライブを有効にする

･ このＶＰＮポリシーに対して自動アクセスルール生成をしない

･ リモートＶＰＮクライアントにＸＡＵＴＨでの認証を要求する （ＩＫＥｖ２では不使用）

･ ＸＡＵＴＨに利用するユーザ グループ （ＸＡＵＴＨを選択した場合、このＶＰＮへのアクセス権限を持つユーザ グループ） ：

･ ウィンドウズ ネットワーク （ＮｅｔＢＩＯＳ） ブロードキャストを有効にする

･ マルチキャストを有効にする

･ ＮＡＴポリシーを適用する

･ 変換後のローカル ネットワーク：

･ 変換後のリモート ネットワーク：

･ ＯＣＳＰ確認を有効にする （ＩＫＥでサードパーティ証明書を使用する場合のみ）

･ ＯＣＳＰ確認用ＵＲＬ： （ＩＫＥでサードパーティ証明書を使用する場合のみ）

･ このＳＡを経由しての管理：

･ ＨＴＴＰ

･ ＨＴＴＰＳ

･ ＳＳＨ

･ このＳＡを経由してのユーザ ログイン：

･ ＨＴＴＰ

･ ＨＴＴＰＳ

･ デフォルトＬＡＮゲートウェイ （オプション） ：

･ ＶＰＮポリシーの適用先：

･ ＩＫＥ ＳＡネゴシエーション中に、トリガー パケットを送信しない （ＩＫＥｖ２のみ）
応答側：

次の設定以外は、応答側が開始側と同じ設定を使用する必要があります。


･ このＶＰＮの名前：

･ プライマリＩＰＳｅｃゲートウェイ名またはアドレス： 応答側では省略可能

･ セカンダリＩＰＳｅｃゲートウェイ名またはアドレス： 応答側では省略可能

･ ＩＫＥ認証 （ＩＫＥで事前共有鍵を利用する場合） ：

･ ローカルＩＫＥ ＩＤ： （開始側の「Ｐｅｅｒ ＩＫＥ ＩＤ」と一致している必要がある）

･ ＩＰアドレス

･ ドメイン名

･ 電子メール アドレス

･ ＳｏｎｉｃＷＡＬＬ識別子

･ Ｐｅｅｒ ＩＫＥ ＩＤ： （開始側の「ローカルＩＫＥ ＩＤ」と一致している必要がある）

･ ＩＰアドレス

･ ドメイン名

･ 電子メール アドレス

･ ＳｏｎｉｃＷＡＬＬ識別子

･ ＩＫＥ （サードパーティ証明書） のＩＫＥ認証 （ＩＫＥｖ２では不使用）

･ ローカル証明書：

･ Ｐｅｅｒ ＩＫＥ ＩＤ種別：

･ 識別名

･ 電子メールＩＤ

･ ドメイン名

･ Ｐｅｅｒ ＩＫＥ ＩＤ：

･ ローカル ネットワーク（開始側の「対象先ネットワーク」と一致している必要がある）
ローカル ネットワークをリストより選択 （アドレス オブジェクトの選択） ：
このＶＰＮトンネルは、ローカル ネットワークがＤＨＣＰを使ってＩＰアドレスを取得する際に使用するトンネルです。
（ＩＫＥｖ２では不使用）
すべてのアドレス

･ 対象先ネットワーク（開始側の「ローカル ネットワーク」と一致している必要がある）
このＶＰＮトンネルをすべてのインターネット トラフィックのデフォルト ルートとして使用する
対象先ネットワークは、このＶＰＮトンネルを通じたＤＨＣＰを使用してＩＰアドレスを取得する
対象先ネットワークをリストより選択 （アドレス オブジェクトの選択） ：

･ ＮＡＴポリシーを適用する

･ 変換後のローカル ネットワーク： （開始側の「変換後のリモート ネットワーク」と一致している必要がある）

･ 変換後のリモート ネットワーク （開始側の「変換後のローカル ネットワーク」と一致している必要がある）

サイト間ＶＰＮポリシーの設定

「ＶＰＮポリシー ウィザード」は、ＳｏｎｉｃＷＡＬＬセキュリティ装置のＧｒｏｕｐＶＰＮポリシーまたはサイト間ＶＰＮポリシーの設定手順を１段階ごとに案内します。設定が完了した後で、選択したポリシーに必要なＶＰＮ設定がウィザードで作成されます。ＳｏｎｉｃＷＡＬＬ管理インターフェースを使って、その他の高度な設定オプションも指定できます。

補足　ＶＰＮポリシー ウィザードの使用の詳細な手順については、「ウィザード ＞ ＶＰＮウィザード」 を参照してください。

ＶＰＮグローバル設定

「VPN ＞ 設定」ページの「グローバルＶＰＮ設定」セクションには、次の情報が表示されます。


･ ＳｏｎｉｃＷＡＬＬセキュリティ ポリシーを通してＶＰＮポリシーを許可するには、「ＶＰＮを有効にする」を選択する必要があります。

･ 「ファイアウォール識別子」 － 既定値はＳｏｎｉｃＷＡＬＬのシリアル番号です。識別子を変更して、ＶＰＮトンネルの設定に使用できます。

ＶＰＮポリシー

すべての既存のＶＰＮポリシーは、「ＶＰＮポリシー」テーブルに表示されます。各エントリに表示される情報は以下のとおりです。


･ 「 名前」： 既定の名前またはユーザ定義ＶＰＮポリシー名を表示します。

･ 「ゲートウェイ」： リモートＳｏｎｉｃＷＡＬＬのＩＰアドレスを表示します。０.０.０.０を使用する場合、ゲートウェイは表示されません。

･ 「送信先」： 対象となるネットワークのＩＰアドレスを表示します。

･ 「暗号化手順の組成」： ＶＰＮポリシーに使用される暗号化の種類を表示します。

･ 「有効」： チェック ボックスをオンにすると、ＶＰＮポリシーが有効になります。チェック ボックスをオフにすると、ＶＰＮポリシーが無効になります。

･ 「設定」： 編集アイコンを選択することにより、ＶＰＮポリシーを編集できます。削除アイコン を選択することにより、ＶＰＮポリシーを削除できます。事前に定義されているＧｒｏｕｐＶＰＮポリシーは削除できないため、削除アイコンが淡色表示になっています。ＧｒｏｕｐＶＰＮポリシーには、ＳｏｎｉｃＷＡＬＬグローバルＶＰＮクライアントによるローカル実装用のファイルとしてＧｒｏｕｐＶＰＮポリシー設定をエクスポートするためのディスク アイコンもあります。

定義されたＶＰＮポリシーの数、有効なポリシー、および許可されるポリシーの最大数がテーブルの下に表示されます。ＧｒｏｕｐＶＰＮポリシーは各ゾーンに１つで最大４つまで定義できます。これらのＧｒｏｕｐＶＰＮポリシーは、既定で「ＶＰＮポリシー」テーブルにリストされています （ＷＡＮ ＧｒｏｕｐＶＰＮ、ＬＡＮ ＧｒｏｕｐＶＰＮ、ＤＭＺ ＧｒｏｕｐＶＰＮ、およびＷＬＡＮ ＧｒｏｕｐＶＰＮ）。ＧｒｏｕｐＶＰＮの「設定」列で編集アイコンを選択すると、ＧｒｏｕｐＶＰＮポリシーを設定するための「ＶＰＮポリシー」ウィンドウが表示されます。

「ＶＰＮポリシー」テーブルの下には以下のボタンがあります。


･ 「追加」 － サイト間のＶＰＮポリシーを設定する「ＶＰＮポリシー」ウィンドウにアクセスします。

･ 「削除」 － このボタンを選択する場合、削除する対象を指定するには、名前」列内のＶＰＮポリシー名の前にあるチェック ボックスをオンにします。ＧｒｏｕｐＶＰＮポリシーは削除できません。

･ 「すべて削除」 － 「ＶＰＮポリシー」テーブル内のＶＰＮポリシー （既定のＶＰＮポリシー以外） をすべて削除します。

ＶＰＮポリシーのエントリのナビゲートと並べ替え

「ＶＰＮポリシー」テーブルでは、多数のＶＰＮポリシーを簡単に閲覧できるようにページ付けがされています。「ＶＰＮポリシー」テーブルの右上にあるナビゲーション コントロール バーを使用して、「ＶＰＮポリシー」テーブルにリストされた多数のＶＰＮエントリを参照できます。ナビゲーション コントロール バーには４つのボタンがあります。左端のボタンは、テーブルの最初のページを表示します。右端のボタンは、最後のページを表示します。内側の左矢印ボタンと右矢印で、それぞれ前または次のページに移動します。

「表示範囲」フィールドにポリシー番号 （＃名前列においてポリシー名の前に記載されている番号） を入力することにより、特定のＶＰＮポリシーに移動できます。既定のテーブル設定では、ページあたり５０個のエントリが表示されます。この既定のテーブル エントリ数は、「システム ＞ 管理」ページで変更できます。

テーブルのエントリを並べ替えるには、列見出しを選択します。エントリは昇順または降順で並べ替えられます。列エントリの右側にある矢印が、並べ替え状況を示します。下向きの矢印は昇順を意味します。上向きの矢印は降順を示します。

現在アクティブなＶＰＮトンネル

現在アクティブなＶＰＮトンネルのリストがこのセクションに表示されます。テーブルには、ＶＰＮポリシーの名前、ローカルＬＡＮのＩＰアドレス、リモート対象先ネットワークのＩＰアドレス、およびピア ゲートウェイのＩＰアドレスがリストされています。

ＶＰＮクライアントでＶＰＮトンネルが再ネゴシエートされるように設定する場合は、「再ネゴシエート」ボタンを選択します。

ＶＰＮトンネル統計情報の表示

トンネルの統計を表示するには、「現在アクティブなＶＰＮトンネル」テーブルで、統計を表示したいトンネルの列内の「統計」アイコンを選択します。「ＶＰＮトンネル統計情報」アイコンが表示されます。


･ 「作成時間」： トンネルが作成された日時。

･ 「トンネルの有効期限」： トンネルの有効期限が切れて、再ネゴシエートを強いられる時期

･ 「入力パケット」： このトンネルから受信されたパケットの数

･ 「出力パケット」： このトンネルから送信されたパケットの数

･ 「入力バイト」： このトンネルから受信されたバイトの数

･ 「出力バイト」： このトンネルから送信されたバイトの数

･ 「入力断片化パケット」： このトンネルから受信された断片化パケットの数

･ 「出力断片化パケット」： このトンネルから送信された断片化パケットの数

ＳｏｎｉｃＯＳでのＶＰＮの設定については、以下を参照してください。

ＧｒｏｕｐＶＰＮポリシーの設定

ＳｏｎｉｃＷＡＬＬのＧｒｏｕｐＶＰＮは、ＳｏｎｉｃＷＡＬＬセキュリティ装置の管理者による複数のＳｏｎｉｃＷＡＬＬグローバルＶＰＮクライアントの設定および配備に役立ちます。ＧｒｏｕｐＶＰＮは、ＳｏｎｉｃＷＡＬＬグローバルＶＰＮクライアントにのみ利用可能です。セキュリティを強化するには、ＸＡＵＴＨ／ＲＡＤＩＵＳまたはサード パーティ証明書をＧｒｏｕｐＶＰＮと組み合わせて使用することをお勧めします。

ＳｏｎｉｃＷＡＬＬグローバルＶＰＮクライアントの詳細については、『ＳｏｎｉｃＷＡＬＬグローバルVPNクライアント管理者ガイド』を参照してください。

既定のＧｒｏｕｐＶＰＮ設定では、「ＶＰＮポリシー」テーブルでＧｒｏｕｐＶＰＮの「有効」チェック ボックスをオンにするだけで、ＳｏｎｉｃＷＡＬＬグローバルＶＰＮクライアントをサポートできます。ＶＰＮポリシーをさらに編集する必要はありません。

ＳｏｎｉｃＷＡＬＬは４つのＧｒｏｕｐＶＰＮポリシーをサポートしています。ＤＭＺ、ＬＡＮ、ＷＡＮ、およびＷＬＡＮゾーンのＧｒｏｕｐＶＰＮポリシーを作成できます。これらのＧｒｏｕｐＶＰＮポリシーは、ＶＰＮポリシー テーブルにリストされています （ＷＡＮ ＧｒｏｕｐＶＰＮ、ＬＡＮ ＧｒｏｕｐＶＰＮ、ＤＭＺ ＧｒｏｕｐＶＰＮ、およびＷＬＡＮ ＧｒｏｕｐＶＰＮ）。これらのＧｒｏｕｐＶＰＮポリシーに対して、ＩＰｓｅｃ鍵モードとして「ＩＫＥ （事前共有鍵を使用）」または「ＩＫＥ （サードパーティ証明書を使用）」を選択できます。

ヒント　ＶＰＮポリシー ウィザードを使用してＧｒｏｕｐＶＰＮポリシーを簡単に作成できます。ＶＰＮポリシー ウィザードの使用の詳細な手順については、「ウィザード ＞ ＶＰＮウィザード」 を参照してください。
補足　ＧｒｏｕｐＶＰＮ設定の詳細については、ＳｏｎｉｃＷＡＬＬドキュメント ウェブ サイト 〈http://www.sonicwall.com〉 のＴｅｃｈＮｏｔｅ「ＧｒｏｕｐＶＰＮ Ｓｅｔｕｐ ｉｎ ＳｏｎｉｃＯＳ」を参照してください。

ＳｏｎｉｃＯＳは、ＩＰｓｅｃ ＶＰＮの作成および管理をサポートしています。

ＷＡＮゾーンで「ＩＫＥ （事前共有鍵）」を指定してＧｒｏｕｐＶＰＮを設定

ＷＡＮ ＧｒｏｕｐＶＰＮを設定するには、次の手順に従います。

手順 1　「ＷＡＮ ＧｒｏｕｐＶＰＮ」エントリの編集アイコンを選択します。「セキュリティ ポリシー」ウィンドウが表示されます。
手順 2　「一般」タブの「ＩＫＥ （事前共有鍵を使用）」は「認証種別」の既定の設定です。共有鍵はＳｏｎｉｃＷＡＬＬセキュリティ装置によって「共有鍵」フィールドで自動的に作成されます。あるいは独自の共有鍵を生成することもできます。「共有鍵」は４文字以上でなければなりません。GroupVPNポリシーの名前を変更することはできません。
手順 3　「プロポーザル」タブを選択して設定手順を進めます。
手順 4　「ＩＫＥ （フェーズ１） プロポーザル」セクションで、次の設定を選択します。

･ 「ＤＨグループ」メニューの「ＤＨグループ」を選択します。
補足　ウィンドウズ２０００ Ｌ２ＴＰクライアントおよびウィンドウズＸＰ Ｌ２ＴＰクライアントは、ＤＨ グループ２でのみ動作します。ＤＨ グループ１および５との互換性はありません。

･ 「暗号化」メニューの「３ＤＥＳ」、「ＡＥＳ-１２８」、または「ＡＥＳ-２５６」を選択します。

･ 「認証」メニューから使用する認証種別を選択します。

･ 「存続期間 （秒）」フィールドに値を入力します。既定の「２８８００」により、トンネルは８時間ごとに鍵の再ネゴシエートと交換を行います。
手順 5　「ＩＰＳｅｃ （フェーズ２） プロポーザル」セクションで、次の設定を選択します。

･ 「プロトコル」メニューから使用するプロトコルを選択します。

･ 「暗号化」メニューの「３ＤＥＳ」、「ＡＥＳ-１２８」、または「ＡＥＳ-２５６」を選択します。

･ 「認証」メニューから使用する認証種別を選択します。

･ 追加のセキュリティ層としてＤｉｆｆｉｅ-Ｈｅｌｍａｎ鍵交換を追加する場合は、「Ｐｅｒｆｅｃｔ Ｆｏｒｗａｒｄ Ｓｅｃｒｅｃｙを有効にする」を選択します。「ＤＨグループ」メニューの「グループ２」を選択します。
補足　ウィンドウズ２０００ Ｌ２ＴＰクライアントおよびウィンドウズＸＰ Ｌ２ＴＰクライアントは、ＤＨ グループ２でのみ動作します。ＤＨ グループ１および５との互換性はありません。

･ 「存続期間 （秒）」フィールドに値を入力します。既定の「２８８００」により、トンネルは８時間ごとに鍵の再ネゴシエートと交換を行います。
手順 6　「詳細」タブを選択します。
手順 7　ＧｒｏｕｐＶＰＮポリシーに適用する次のオプション設定をすべて選択します。

･ 「ウィンドウズ ネットワーク （ＮｅｔＢＩＯＳ） ブロードキャストを有効にする」 － ウィンドウズの「ネットワーク コンピュータ」を参照してリモート ネットワーク リソースにアクセスできます。

･ 「マルチキャストを有効にする」 － ＩＰマルチキャスト トラフィック （音声 （ＶｏＩＰなど）／映像アプリケーション） がＶＰＮトンネルを通過できるようにします。

･ 「クライアントに複数のプロポーザルを許可する」 － Ｌ２ＴＰ、ｉＯＳ、およびウィンドウズ クライアントが同時にＳｏｎｉｃＯＳ Ｌ２ＴＰサーバに接続することを許可します。

･ 「このＳＡを経由しての管理」 － ＶＰＮポリシーを使用してＳｏｎｉｃＷＡＬＬセキュリティ装置を管理する場合は、管理方法として「ＨＴＴＰ」または「ＨＴＴＰＳ」を選択します。

･ 「デフォルト ゲートウェイ」 － ネットワーク管理者はこのＶＰＮポリシーの着信ＩＰＳｅｃパケットに関して既定ネットワーク ルートのＩＰアドレスを指定できます。着信パケットはＳｏｎｉｃＷＡＬＬセキュリティ装置によってデコードされ、ＳｏｎｉｃＷＡＬＬで設定された静的ルートと比較されます。パケットにはＩＰの送信先アドレスが含まれている可能性があるので、トラフィックを処理する十分な静的ルートを設定することはできません。ＩＰＳｅｃトンネルを介して受信されるパケットでは、ＳｏｎｉｃＷＡＬＬによってルートが検出されます。ルートが検出されない場合、セキュリティ装置によってデフォルト ゲートウェイがチェックされます。デフォルト ゲートウェイが検出されると、パケットはゲートウェイを介してルーティングされます。そうでない場合、パケットは破棄されます。

･ 「ＸＡＵＴＨを利用したＶＰＮクライアントの認証を要求する」 － このＶＰＮトンネルの受信トラフィックがすべて認証済みのユーザからのものであることが要求されます。認証されていないトラフィックはＶＰＮトンネルでは許可されません。既定で「Ｔｒｕｓｔｅｄ　Ｕｓｅｒｓ」グループが選択されています。別のユーザ グループを選択するか、「ＸＡＵＴＨに利用するユーザ グループ」から「Ｅｖｅｒｙｏｎｅ」を選択することができます。

･ 「認証されていないＶＰＮクライアントのアクセス許可」 － 認証されていないＶＰＮクライアント アクセスを有効にすることができます。「ＸＡＵＴＨを利用したＶＰＮクライアントの認証を要求する」をオフにすると、「認証されていないＶＰＮクライアントのアクセス許可」メニューが有効になります。事前定義オプションのメニューからアドレス オブジェクトまたはアドレス グループを選択するか、「アドレス オブジェクトの作成」または「アドレス グループの作成」を選択して新規作成します。
手順 8　「クライアント」を選択して、ＧｒｏｕｐＶＰＮポリシーに適用する次の設定をすべて選択します。

･ 「ＸＡＵＴＨユーザ名とパスワードのクライアント キャッシュ」 － ユーザ名とパスワードをグローバルＶＰＮクライアントがキャッシュできるようにします。

･ 「無効」 － ユーザ名とパスワードをグローバルＶＰＮクライアントがキャッシュできないようにします。接続が有効である場合、ＩＫＥフェーズ１の再入力があるたびに、ユーザはユーザ名とパスワードを要求されます。

･ 「セッション単位」 － 接続が無効になるまで、接続が有効化されて有効になるたびに、グローバルＶＰＮクライアント ユーザはユーザ名とパスワードを要求されます。このユーザ名とパスワードはＩＫＥフェーズ１の再入力で使用されます。

･ 「常に」 － 接続が有効化されると１回だけ、グローバルＶＰＮクライアント ユーザはユーザ名とパスワードを要求されます。画面の指示に従うと、ユーザにはユーザ名とパスワードをキャッシュしたオプションが提供されます。

･ 「仮想アダプタの設定」 － グローバルＶＰＮクライアント （ＧＶＣ） による仮想アダプタの使用は、仮想アダプタにアドレスを割り当てるため、ＤＨＣＰサーバ、内部ＳｏｎｉｃＯＳまたは指定された外部ＤＨＣＰサーバによって常に左右されていました。予測可能なアドレッシングが要件であったインスタンスでは、仮想アダプタのＭＡＣアドレスを取得し、ＤＨＣＰリース予約を作成する必要がありました。仮想アダプタのアドレッシングを提供する管理費用を削減するため、ＧｒｏｕｐＶＰＮを設定して仮想アダプタのＩＰ設定の静的アドレッシングを許可できます。この機能では、ＧＶＣのバージョン３.０以降を使用する必要があります。

･ 「なし」 － このＧｒｏｕｐＶＰＮ接続では仮想アダプタを使用しません。

･ 「ＤＨＣＰリース」- 「ＶＰＮ ＞ ＶＰＮを超えたＤＨＣＰ」ページで設定したように、仮想アダプタはＤＨＣＰサーバのみからＩＰ設定を取得します。

･ 「ＤＨＣＰリースまたは手動設定」 － ＧＶＣをＳｏｎｉｃＷＡＬＬに接続すると、ＳｏｎｉｃＷＡＬＬのポリシーはＧＶＣが仮想アダプタを使用するよう指示しますが、仮想アダプタが手動で設定されている場合、ＤＨＣＰメッセージは抑止されます。設定値はＳｏｎｉｃＷＡＬＬによって記録されるので、手動で割り当てられたＩＰアドレスのプロキシＡＲＰを取得できます。設計により、現在は仮想アダプタのＩＰアドレスの割り当てには制限がありません。重複した静的アドレスのみが許可されていません。

･ 「コネクションの制御」 － 各ゲートウェイの対象先ネットワークに一致しているクライアント ネットワーク トラフィックは特定のゲートウェイのＶＰＮトンネルを介して送信されます。

･ 「このゲートウェイのみ」 － 一度に１つの接続を有効にできます。ゲートウェイのポリシーで指定されているように対象先ネットワークに一致するトラフィックはＶＰＮトンネルを介して送信されます。このオプションを「このゲートウェイをデフォルト ルートに設定する」とともに選択する場合、インターネット トラフィックもＶＰＮトンネルを介して送信されます。このオプションは選択するが、「このゲートウェイをデフォルト ルートに設定する」は選択しない場合、インターネット トラフィックは遮断されます。

･ 「すべてのゲートウェイ」 － 同時に１つ以上の接続を有効にできます。各ゲートウェイの対象先ネットワークに一致しているトラフィックは特定のゲートウェイのＶＰＮトンネルを介して送信されます。このオプションを「このゲートウェイをデフォルト ルートに設定する」とともに選択する場合、インターネット トラフィックもＶＰＮトンネルを介して送信されます。このオプションは選択するが、「このゲートウェイをデフォルト ルートに設定する」は選択しない場合、インターネット トラフィックは遮断されます。複数のゲートウェイのうちいずれか１つのみ、「このゲートウェイをデフォルト ルートに設定する」を有効化できます。

･ 「トンネルを分割する」 － ＶＰＮユーザはローカル インターネット接続とＶＰＮ接続の両方が可能です。

･ 「このゲートウェイをデフォルト ルートに設定する」 － すべてのリモートＶＰＮ接続がＶＰＮトンネル経由でインターネットにアクセスする場合は、このチェック ボックスをオンにします。このオプションを使用するには、ＶＰＮポリシーを１つだけ設定できます。

･ 「シンプル クライアント プロビジョニングに既定の鍵を使用する」 － ゲートウェイとの最初の交換でアグレッシブ モードが使用され、ＶＰＮクライアントでは既定の事前共有鍵が認証に使用されます。
手順 9　「ＯＫ」を選択します。

ＩＫＥ （サードパーティ証明書） でのＧｒｏｕｐＶＰＮの設定

ＩＫＥ （サードパーティ証明書） でＧｒｏｕｐＶＰＮを設定するには、次の手順を実行します。

警告　サードパーティ証明書を使用してＩＫＥでＧｒｏｕｐＶＰＮを設定する前に、証明書をＳｏｎｉｃＷＡＬＬにインストールする必要があります。
手順 1　「ＶＰＮ ＞ 設定」ページで、「設定」の下の編集アイコンを選択します。「セキュリティ ポリシー」ウィンドウが表示されます。
手順 2　「セキュリティポリシー」セクションの「認証種別」メニューの「ＩＫＥ（サードパーティ証明書を使用）」を選択します。ＶＰＮポリシーの名前は既定の「ＷＡＮ ＧｒｏｕｐＶＰＮ」で、変更できません。
手順 3　「ゲートウェイ証明書」メニューからＳｏｎｉｃＷＡＬＬの証明書を選択します。
手順 4　「Ｐｅｅｒ ＩＤタイプ」メニューから次のＰｅｅｒ ＩＤタイプのいずれかを選択します。

･ 「電子メールとドメイン名」 － 「電子メール」と「ドメイン名」のタイプは、既定ではすべての証明書に含まれていない証明書の「サブジェクト代替名」フィールドに基づいています。証明書に「サブジェクト代替名」フィールドが含まれていない場合、このフィルタは機能しません。「電子メール」と「ドメイン名」フィルタには、要求される許容範囲を識別する文字列または部分文字列が含まれている可能性があります。入力した文字列には大文字と小文字の区別がなく、ワイルド カード文字＊ （１文字以上の場合） および ？ （１文字の場合） を含めることができます。例えば、電子メール」が選択されているときに文字列「＊＠ｓｏｎｉｃｗａｌｌ.ｃｏｍ」である場合、「ｓｏｎｉｃｗａｌｌ.ｃｏｍ」で終わる電子メール アドレスを持つユーザがアクセスでき、「ドメイン名」が選択されているときに文字列「＊ｓｖ.ｕｓ.ｓｏｎｉｃｗａｌｌ.ｃｏｍ」である場合、「ｓｖ.ｕｓ.ｓｏｎｉｃｗａｌｌ.ｃｏｍ」で終わるドメイン名を持つユーザがアクセスできます。

･ 「識別名」 － 既定ですべての証明書に含まれている、証明書の「サブジェクト識別名」フィールドに基づいています。「サブジェクト識別名」の形式は、発行元の認証局によって決定されます。一般的なフィールドは、国 （Ｃ＝）、組織 （Ｏ＝）、組織の単位 （ＯＵ＝）、一般名 （ＣＮ＝）、住所 （Ｌ＝） などですが、発行元の認証局ごとに異なります。実際のＸ５０９証明書の「サブジェクト識別名」フィールドはバイナリ オブジェクトであるため、目的に応じて文字列に変換する必要があります。フィールドは、／Ｃ＝ＵＳ／Ｏ＝ＳｏｎｉｃＷＡＬＬ, Ｉｎｃ.／ＯＵ＝ＴｅｃｈＰｕｂｓ／ＣＮ＝Ｊｏｅ Ｐｕｂのようにフォワード スラッシュで区切られます。
最大で３つの組織の単位を追加できます。使用方法は、ｃ＝＊；ｏ＝＊；ｏｕ＝＊；ｏｕ＝＊；ｏｕ＝＊；ｃｎ＝＊です。最後のエントリにはセミコロンは不要です。ｃ＝ｕｓのように少なくとも１つのエントリを入力する必要があります。
手順 5　「Ｐｅｅｒ ＩＤフィルタ」フィールドにＰｅｅｒ ＩＤフィルタを入力します。
手順 6　「ゲートウェイ発行者によって署名されたＰｅｅｒ証明書のみ有効にする」をチェックして、「ゲートウェイ証明書」メニューで指定された発行者がＰｅｅｒ証明書に署名するように指定します。
手順 7　「プロポーザル」タブを選択します。
手順 8　「ＩＫＥ （フェーズ１） プロポーザル」セクションで、次の設定を選択します。

･ 「ＤＨグループ」メニューの「ＤＨグループ」を選択します。
補足　ウィンドウズ２０００ Ｌ２ＴＰクライアントおよびウィンドウズＸＰ Ｌ２ＴＰクライアントは、ＤＨ グループ２でのみ動作します。ＤＨ グループ１および５との互換性はありません。

･ 「暗号化」メニューの「３ＤＥＳ」、「ＡＥＳ-１２８」、または「ＡＥＳ-２５６」を選択します。

･ 「認証種別」メニューから使用する認証種別を選択します。

･ 「存続期間 （秒）」フィールドに値を入力します。既定の「２８８００」により、トンネルは８時間ごとに鍵の再ネゴシエートと交換を行います。
手順 9　「ＩＰＳｅｃ （フェーズ２） プロポーザル」セクションで、次の設定を選択します。

･ 「プロトコル」メニューから使用するプロトコルを選択します。

･ 「暗号化」メニューの「３ＤＥＳ」、「ＡＥＳ-１２８」、または「ＡＥＳ-２５６」を選択します。

･ 「認証種別」メニューから使用する認証種別を選択します。

･ 追加のセキュリティ層としてＤｉｆｆｉｅ-Ｈｅｌｍａｎ鍵交換を追加する場合は、「Ｐｅｒｆｅｃｔ Ｆｏｒｗａｒｄ Ｓｅｃｒｅｃｙを有効にする」を選択します。「ＤＨグループ」メニューの「グループ２」を選択します。
補足　ウィンドウズ２０００ Ｌ２ＴＰクライアントおよびウィンドウズＸＰ Ｌ２ＴＰクライアントは、ＤＨ グループ２でのみ動作します。ＤＨ グループ１および５との互換性はありません。

･ 「存続期間 （秒）」フィールドに値を入力します。既定の「２８８００」により、トンネルは８時間ごとに鍵の再ネゴシエートと交換を行います。
手順 10　「詳細」タブを選択して、ＧｒｏｕｐＶＰＮポリシーに適用する次のオプション設定をすべて選択します。

･ 「ウィンドウズ ネットワーク （ＮｅｔＢＩＯＳ） ブロードキャストを有効にする」 － ウィンドウズの「ネットワーク コンピュータ」を参照してリモート ネットワーク リソースにアクセスできます。

･ 「マルチキャストを有効にする」 － ＩＰマルチキャスト トラフィック （音声 （ＶｏＩＰなど）／映像アプリケーション） がＶＰＮトンネルを通過できるようにします。

･ 「このＳＡを経由しての管理」－ ＶＰＮポリシーを使用してＳｏｎｉｃＷＡＬＬセキュリティ装置を管理する場合は、管理方法として「ＨＴＴＰ」または「ＨＴＴＰＳ」を選択します。

･ 「デフォルト ゲートウェイ」 － 「このＳＡ経由ですべてのインターネット トラフィックが送られます」チェック ボックスを使用してリモート サイトとともにセントラル サイトで使用します。「デフォルトＬＡＮゲートウェイ」を使用すると、ネットワーク管理者はこのＳＡの着信ＩＰＳｅｃパケットに関して既定ＬＡＮルートのＩＰアドレスを指定できます。着信パケットはＳｏｎｉｃＷＡＬＬによってデコードされ、ＳｏｎｉｃＷＡＬＬで設定された静的ルートと比較されます。パケットにはＩＰの送信先アドレスが含まれている可能性があるので、トラフィックを処理する十分な静的ルートを設定することはできません。ＩＰＳｅｃトンネルを介して受信されるパケットでは、ＳｏｎｉｃＷＡＬＬによってＬＡＮのルートが検出されます。ルートが検出されない場合、ＳｏｎｉｃＷＡＬＬによってデフォルトＬＡＮゲートウェイがチェックされます。デフォルトＬＡＮゲートウェイが検出されると、パケットはゲートウェイを介してルーティングされます。そうでない場合、パケットは破棄されます。

･ 「ＯＣＳＰ確認を有効にする」および「ＯＣＳＰ確認用ＵＲＬ」 － ＶＰＮ証明書状況を確認するＯＣＳＰ （Ｏｎｌｉｎｅ Ｃｅｒｔｉｆｉｃａｔｅ Ｓｔａｔｕｓ Ｐｒｏｔｏｃｏｌ） の使用を有効にし、証明書状況を確認するＵＲＬを指定します。「ＶＰＮ ＞ 詳細設定」 の「ＯＣＳＰをＳｏｎｉｃＷＡＬＬセキュリティ装置で使用」セクション を参照してください。

･ 「ＸＡＵＴＨを利用したＶＰＮクライアントの認証を要求する」 － このＶＰＮポリシーの受信トラフィックがすべて認証済みのユーザからのものであることが要求されます。認証されていないトラフィックはＶＰＮトンネルでは許可されません。

･ 「XAUTH に利用するユーザ グループ」 － 認証用に定義済みユーザ グループを選択できます。

･ 「認証されていないＶＰＮクライアントのアクセス許可」 － 認証されていないグローバルＶＰＮクライアント アクセスのネットワーク セグメントを指定できます。
手順 11　「クライアント」タブを選択して、グローバルＶＰＮプロビジョニングに適用する次のボックスをすべて選択します。

･ 「ＸＡＵＴＨユーザ名とパスワードのクライアント キャッシュ」 － ユーザ名とパスワードをグローバルＶＰＮクライアントがキャッシュできるようにします。以下のいずれかを選択します。

･ 「無効」 － グローバルＶＰＮクライアントがユーザ名とパスワードをキャッシュできないようにします。接続が有効である場合、ＩＫＥフェーズ１の再入力があるたびに、ユーザはユーザ名とパスワードを要求されます。

･ 「セッション単位」 － 接続が無効になるまで、接続が有効化されて有効になるたびに、ユーザはユーザ名とパスワードを要求されます。このユーザ名とパスワードはＩＫＥフェーズ１の再入力で使用されます。

･ 「常に」 － 接続が有効化されると１回だけユーザはユーザ名とパスワードを要求されます。画面の指示に従うと、ユーザにはユーザ名とパスワードをキャッシュしたオプションが提供されます。

･ 「仮想アダプタの設定」 － グローバルＶＰＮクライアント （ＧＶＣ） による仮想アダプタの使用は、仮想アダプタにアドレスを割り当てるため、ＤＨＣＰサーバ、内部ＳｏｎｉｃＯＳまたは指定された外部ＤＨＣＰサーバによって常に左右されていました。予測可能なアドレッシングが要件であったインスタンスでは、仮想アダプタのＭＡＣアドレスを取得し、ＤＨＣＰリース予約を作成する必要がありました。仮想アダプタのアドレッシングを提供する管理費用を削減するため、ＧｒｏｕｐＶＰＮを設定して仮想アダプタのＩＰ設定の静的アドレッシングを許可できます。この機能では、ＧＶＣのバージョン３.０以降を使用する必要があります。

･ 「なし」 － このＧｒｏｕｐＶＰＮ接続では仮想アダプタを使用しません。

･ 「ＤＨＣＰリース」 － 「ＶＰＮ ＞ ＶＰＮを越えたＤＨＣＰ」ページで設定されているように、仮想アダプタはＤＨＣＰサーバからのみＩＰ設定を取得します。

･ 「ＤＨＣＰリースまたは手動設定」 － ＧＶＣをＳｏｎｉｃＷＡＬＬに接続すると、ＳｏｎｉｃＷＡＬＬのポリシーはＧＶＣが仮想アダプタを使用するよう指示しますが、仮想アダプタが手動で設定されている場合、ＤＨＣＰメッセージは抑止されます。設定値はＳｏｎｉｃＷＡＬＬによって記録されるので、手動で割り当てられたＩＰアドレスのプロキシＡＲＰを取得できます。設計により、現在は仮想アダプタのＩＰアドレスの割り当てには制限がありません。重複した静的アドレスのみが許可されていません。

･ 「コネクションの制御」 － 各ゲートウェイの対象先ネットワークに一致しているクライアント ネットワーク トラフィックは特定のゲートウェイのＶＰＮトンネルを介して送信されます。

･ 「このゲートウェイのみ」 － 一度に１つの接続を有効にできます。ゲートウェイのポリシーで指定されているように対象先ネットワークに一致するトラフィックはＶＰＮトンネルを介して送信されます。このオプションを「このゲートウェイをデフォルト ルートに設定する」とともに選択する場合、インターネット トラフィックもＶＰＮトンネルを介して送信されます。このオプションは選択するが、「このゲートウェイをデフォルト ルートに設定する」は選択しない場合、インターネット トラフィックは遮断されます。

･ 「すべてのゲートウェイ」 － 同時に１つ以上の接続を有効にできます。各ゲートウェイの対象先ネットワークに一致しているトラフィックは特定のゲートウェイのＶＰＮトンネルを介して送信されます。このオプションを「このゲートウェイをデフォルト ルートに設定する」とともに選択する場合、インターネット トラフィックもＶＰＮトンネルを介して送信されます。このオプションは選択するが、「このゲートウェイをデフォルト ルートに設定する」は選択しない場合、インターネット トラフィックは遮断されます。複数のゲートウェイのうちいずれか１つのみ、「このゲートウェイをデフォルト ルートに設定する」を有効化できます。

･ 「トンネルを分割する」 － ＶＰＮユーザはローカル インターネット接続とＶＰＮ接続の両方が可能です。

･ 「このゲートウェイをデフォルト ルートに設定する」 － すべてのリモートＶＰＮ接続がこのＳＡ経由でインターネットにアクセスする場合は、このチェック ボックスをオンにします。この設定を使用するには、ＳＡを１つだけ設定できます。

･ 「シンプル クライアント プロビジョニングに既定の鍵を使用する」 － ゲートウェイとの最初の交換でアグレッシブ モードが使用され、ＶＰＮクライアントでは既定の事前共有鍵が認証に使用されます。
手順 12　「ＯＫ」を選択します。

ＶＰＮクライアント ポリシーのエクスポート

ユーザがグローバルＶＰＮクライアントにインポートできるようにグローバルＶＰＮクライアント構成の設定をファイルにエクスポートする場合、以下の手順に従います。

警告　設定ファイルをエクスポートするには、ＧｒｏｕｐＶＰＮ ＳＡをＳｏｎｉｃＷＡＬＬで有効にする必要があります。
手順 1　「ＶＰＮポリシー」 テーブルで、ＧｒｏｕｐＶＰＮエントリの「設定」列にある「ディスク」アイコンを選択します。「ＶＰＮクライアント ポリシーのエクスポート」ウィンドウが表示されます。
手順 2　既定では「 ＳｏｎｉｃＷＡＬＬグローバルＶＰＮクライアントに対しては、ｒｃｆ形式が必要です。」が選択されています。ｒｃｆ形式で保存されているファイルはパスワードを暗号化できます。ＳｏｎｉｃＷＡＬＬでは設定ファイル名に既定のファイル名が適用されますが、この名前は変更可能です。
手順 3　「はい」を選択します。「ＶＰＮ ポリシーのエクスポート」ウィンドウが表示されます。
手順 4　エクスポート ファイルを暗号化する場合は、パスワードを「パスワード」フィールドに入力し、「パスワードの確認」フィールドで再入力します。エクスポート ファイルを暗号化しない場合は、パスワードを入力する必要はありません。
手順 5　「送信」を選択します。パスワードを入力しなかった場合は、選択を確認するメッセージが表示されます。
手順 6　「ＯＫ」を選択します。設定ファイルを保存する前に変更することができます。
手順 7　ファイルを保存します。　
手順 8　「閉じる」を選択します。

ファイルはフロッピー ディスクに保存するか、電気的にリモート ユーザに送信してグローバルＶＰＮクライアントを設定することができます。

サイト間ＶＰＮの設定

ＶＰＮ接続の設計中に、確実にすべての適切なＩＰアドレッシング情報の文書を作成してネットワーク ダイアグラムを作成し、参照用に使用します。次のページにサンプル プランニング シートが提供されています。動的であっても、静的であってもＳｏｎｉｃＷＡＬＬにはルーティングが可能なＷＡＮ ＩＰアドレスが必要です。動的および静的なＩＰアドレスを持つＶＰＮネットワークでは、動的なアドレスを持つＶＰＮゲートウェイでＶＰＮ接続を開始する必要があります。

サイト間ＶＰＮの設定には、次のオプションがあります。


･ 「支社 （ゲートウェイ間）」 － ＳｏｎｉｃＷＡＬＬはＶＰＮトンネルを介して別のＳｏｎｉｃＷＡＬＬに接続するように設定されます。あるいはＳｏｎｉｃＷＡＬＬはＩＰＳｅｃを介して別のメーカーのファイアウォールに接続するように設定されます。

･ 「ハブとスポークの設計」 － すべてのＶＰＮゲートウェイが、企業のＳｏｎｉｃＷＡＬＬなど、中央のＳｏｎｉｃＷＡＬＬ （ハブ） に接続されるように設計されます。ハブには静的なＩＰアドレスが必要ですが、スポークには動的なＩＰアドレスでもかまいません。スポークが動的である場合、ハブはＳｏｎｉｃＷＡＬＬでなければなりません。

･ 「メッシュ設計」 － すべてのサイトがすべての他のサイトに接続されます。すべてのサイトに静的なＩＰアドレスが必要です。

ＶＰＮの設定に役立つプランニング シートの詳細については、「ＶＰＮの計画」 を参照してください。

サイト間ＶＰＮポリシーの作成

ヒント　ＶＰＮポリシー ウィザードを使用してサイト間ＶＰＮポリシーを簡単に作成できます。ＶＰＮポリシー ウィザードの使用の詳細な手順については、「ウィザード ＞ ＶＰＮウィザード」 を参照してください。

「ＶＰＮポリシー」ウィンドウを使用して既存のＶＰＮポリシーを作成するか、変更することができます。「ＶＰＮポリシー」テーブルの下にある「追加」ボタンを選択すると、次のＩＰＳｅｃ鍵モードのＶＰＮポリシーを設定するための「ＶＰＮポリシー」ウィンドウが表示されます。

このセクションでは、ＶＰＮトンネルが停止した場合にフェイルオーバーとして機能するよう静的ルートを設定する方法についても説明します。「静的ルートへのＶＰＮフェイルオーバーの設定」 を参照

してください。

ヒント　サイト間ＶＰＮポリシーのＶＰＮプランニング シートを使用して設定を記録します。これらの設定は、リモートＳｏｎｉｃＷＡＬＬを設定し、成功するＶＰＮ接続を作成するために必要です。
補足　ＳｏｎｉｃＯＳが動作しているＳｏｎｉｃＷＡＬＬセキュリティ装置と、ＳｏｎｉｃＷＡＬＬファームウェア バージョン６.５以降が動作しているＳｏｎｉｃＷＡＬＬセキュリティ装置の間のＶＰＮポリシーを設定する場合は、 ＳｏｎｉｃＷＡＬＬドキュメント ウェブサイト〈http://www.sonicwall.com/us/Support.html〉 で入手可能な「Ｃｒｅａｔｉｎｇ ＩＫＥ ＩＰｓｅｃ ＶＰＮ Ｔｕｎｎｅｌｓ ｂｅｔｗｅｅｎ ＳｏｎｉｃＷＡＬＬ Ｆｉｒｍｗａｒｅ ６.５ ａｎｄ ＳｏｎｉｃＯＳ」ＴｅｃｈＮｏｔｅを参照してください。

事前共有鍵を使用したＩＫＥでのＶＰＮポリシーの設定

ＩＫＥ （インターネット鍵交換） を使用してＶＰＮポリシーを設定するには、次の手順に従います。

手順 1　「ＶＰＮ ＞ 設定」ページで、「追加」を選択します。「セキュリティ ポリシー」ウィンドウが表示されます。
手順 2　「一般」タブの「認証種別」メニューから「ＩＫＥ（事前共有鍵を使用）」を選択します。
手順 3　ポリシーの名前を「名前」フィールドに入力します。
手順 4　「プライマリＩＰＳｅｃゲートウェイ名またはアドレス」フィールドにリモート接続のホスト名またはＩＰアドレスを入力します。
手順 5　リモートＶＰＮ機器が複数のエンドポイントをサポートしている場合は、リモート接続のセカンダリ ホスト名またはＩＰアドレスを「ＩＰＳｅｃセカンダリ ゲートウェイ名またはアドレス」フィールドに入力できます。
手順 6　Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎの設定に使用する共有鍵パスワードを「共有シークレット」および「共有シークレットの確認」フィールドに入力します。共有鍵は文字と数字を組み合わせて４文字以上にする必要があります。

必要に応じて、このポリシーの「ローカルＩＫＥ ＩＤ （オプション）」および「Ｐｅｅｒ ＩＫＥ ＩＤ （オプション）」を指定できます。既定では、「ＩＰアドレス」 （ＩＤ_ＩＰｖ４_ＡＤＤＲ） がメイン モード ネゴシエーションに使用され、ＳｏｎｉｃＷＡＬＬ識別子 （ＩＤ_ＵＳＥＲ_ＦＱＤＮ） がアグレッシブ モードに使用されます。

手順 7　「ネットワーク」タブを選択します。
手順 8　特定のローカル ネットワークがＶＰＮトンネルにアクセスできる場合は、「ローカル ネットワーク」で「ローカル ネットワークをリストより選択」からローカル ネットワークを選択します。ＶＰＮ接続のローカル側のホストがトンネルのリモート サイドのＤＨＣＰサーバからアドレッシングを取得する場合は、「ローカル ネットワークは、この VPN トンネルを通じた DHCP を使用して IP アドレスを取得する」を選択します。任意のローカル ネットワークからトラフィックを発信できる場合は、「すべてのアドレス」を選択します。このオプションは、ピアで「このＶＰＮトンネルをすべてのインターネット トラフィックのデフォルト ルートとして使用する」が選択されている場合に使用します。
補足　ＶＰＮを越えたＤＨＣＰはＩＫＥｖ２ではサポートされていません。
手順 9　ローカル ユーザからの暗号化されていないトラフィックがＳｏｎｉｃＷＡＬＬセキュリティ装置から発信できない場合は、「対象先ネットワーク」の「このＶＰＮトンネルをすべてのインターネット トラフィックのデフォルト ルートとして使用する」を選択します。この設定を使用するには、ＳＡを１つだけ設定できます。ＶＰＮ接続のリモート サイドのホストがトンネルのリモート側のＤＨＣＰサーバからアドレッシングを取得する場合は、「対象先ネットワークは、このＶＰＮトンネルを通じたＤＨＣＰを使用してＩＰアドレスを取得する」を選択します。あるいは、「対象先ネットワークをリストより選択」を選択して、アドレス オブジェクトまたはグループを選択します。
手順 10　「プロポーザル」を選択します。
手順 11　「ＩＫＥ （フェーズ１） プロポーザル」で、「鍵交換モード」メニューから「メイン モード」、「アグレッシブ モード」、または「ＩＫＥｖ２」のいずれかを選択します。「アグレッシブ モード」は、通常はＷＡＮアドレッシングが動的に割り当てられる場合に使用されます。「ＩＫＥｖ２」では、すべてのネゴシエーションがＩＫＥフェーズ１およびフェーズ２を使用する代わりにＩＫＥｖ２プロトコルを介して発生します。ＩＫＥｖ２を使用する場合は、ＶＰＮトンネルの両端でＩＫＥｖ２を使用する必要があります。
手順 12　「ＩＫＥ （フェーズ１） プロポーザル」で、「ＤＨグループ」、「暗号化」、「認証」、および「存続期間」の既定値はほとんどのＶＰＮ設定に使用できます。トンネルの反対側のフェーズ１の値が一致するように設定してください。認証セキュリティを強化するには、「認証」メニューで３ＤＥＳではなく「ＡＥＳ-１２８」、「ＡＥＳ-１９２」、または「ＡＥＳ-２５６」を選択します。
補足　ウィンドウズ２０００ Ｌ２ＴＰクライアントおよびウィンドウズＸＰ Ｌ２ＴＰクライアントは、ＤＨ グループ２でのみ動作します。ＤＨ グループ１および５との互換性はありません。
手順 13　「IPSec （フェーズ2） プロポーザル」で、「プロトコル」、「暗号化」、「認証」、「Ｐｅｒｆｅｃｔ Ｆｏｒｗａｒｄ Ｓｅｃｒｅｃｙを有効にする」、「ＤＨグループ」、および「存続期間」の既定値はほとんどのＶＰＮ ＳＡ設定に使用できます。トンネルの反対側のフェーズ2の値が一致するように設定してください。
手順 14　「詳細」タブを選択して、ＶＰＮポリシーに適用する次のオプション設定をすべて選択します。

･ 「プロポーザル」タブで「メイン モード」または「アグレッシブ モード」を選択した場合：

･ このＶＰＮトンネルでピア間のハートビート メッセージを使用する場合は、「キープ アライブを有効にする」を選択します。トンネルの一方の側が失敗した場合、キープアライブを使用することにより、両サイドが再び利用可能になったときにトンネルの自動的な再ネゴシエートが可能になります。提案された存続期間が期限切れになるまで待つ必要はありません。

･ 「このＶＰＮポリシーに対して自動アクセスルール生成をしない」設定は既定で有効になっていないので、ＶＰＮトラフィックは適切なゾーンを通過できます。

･ このトンネルの通過をトラフィックに許可する前にＸＡＵＴＨ認証をユーザに要求するには、「リモートＶＰＮクライアントにＸＡＵＴＨでの認証を要求する」を選択し、ユーザ グループを選択して「ＸＡＵＴＨに利用するユーザ グループ」から許可するユーザを指定します。

･ 「ウィンドウズ ネットワーク （ＮｅｔＢＩＯＳ） ブロードキャストを有効にする」 － ウィンドウズの「ネットワーク コンピュータ」を参照してリモート ネットワーク リソースにアクセスできます。

･ 「マルチキャストを有効にする」 － ＩＰマルチキャスト トラフィック （音声 （ＶｏＩＰなど）／映像アプリケーション） がＶＰＮトンネルを通過できるようにします。

･ ＳｏｎｉｃＷＡＬＬでローカル、リモート、または両方のネットワーク通信をＶＰＮトンネル経由で変換するには、「ウィンドウズ ネットワーク （ＮｅｔＢＩＯＳ） ブロードキャストを有効にする」を選択します。ローカル ネットワークでネットワーク アドレス変換を実行するには、「変換後のローカル ネットワーク」メニューでアドレス オブジェクトを選択または作成します。リモート ネットワークを変換するには、「変換後のリモート ネットワーク」メニューでアドレス オブジェクトを選択または作成します。通常は、トンネルでNATが必要な場合、ローカルとリモートの両方ではなくいずれかを変換する必要があります。「ＮＡＴポリシーを適用する」は、トンネルの両サイドで同一または重複するサブネットを使用する場合に特に有用です。

･ ローカルＳｏｎｉｃＷＡＬＬをＶＰＮトンネル経由で管理するには、「このＳＡを経由しての管理」から「ＨＴＴＰ」または「ＨＴＴＰＳ」、あるいは両方を選択します。「このＳＡを経由してのユーザ ログイン」で「ＨＴＴＰ」「ＨＴＴＰＳ」、または両方を選択すると、ＳＡを使用してログインできます。

･ 未知のサブネットに送信されてこのトンネルに入るトラフィックに対してＬＡＮ上のルータを使用する場合、たとえば、トンネルの反対側に「このＶＰＮトンネルをすべてのインターネット トラフィックのデフォルト ルートとして使用する」を設定した場合は、ルータのＩＰアドレスを「デフォルト LAN ゲートウェイ （オプション）」フィールドに入力する必要があります。

･ 「ＶＰＮポリシーの適用先」メニューからインターフェースまたはゾーンを選択します。WANの負荷分散を使用していて、ＶＰＮでいずれかのＷＡＮインターフェースを使用する場合は、「ゾーンＷＡＮ」が推奨される選択です。

･ 「プロポーザル」タブで「ＩＫＥｖ２」を選択した場合：

･ このＶＰＮトンネルでピア間のハートビート メッセージを使用する場合は、「キープ アライブを有効にする」を選択します。トンネルの一方の側が失敗した場合、キープアライブを使用することにより、両サイドが再び利用可能になったときにトンネルの自動的な再ネゴシエートが可能になります。提案された存続期間が期限切れになるまで待つ必要はありません。

･ このＶＰＮポリシーに対してＬＡＮおよびＶＰＮゾーン間で作成された自動アクセス ルールを無効にする場合は、「このＶＰＮポリシーに対して自動アクセスルール生成をしない」を選択します。

･ 「ウィンドウズ ネットワーク （ＮｅｔＢＩＯＳ） ブロードキャストを有効にする」 － ウィンドウズの「ネットワーク コンピュータ」を参照してリモート ネットワーク リソースにアクセスできます。

･ 「マルチキャストを有効にする」 － ＩＰマルチキャスト トラフィック （音声 （ＶｏＩＰなど）／映像アプリケーション） がＶＰＮトンネルを通過できるようにします。

･ ＳｏｎｉｃＷＡＬＬでローカル、リモート、または両方のネットワーク通信をＶＰＮトンネル経由で変換するには、「ウィンドウズ ネットワーク （ＮｅｔＢＩＯＳ） ブロードキャストを有効にする」を選択します。ローカル ネットワークでネットワーク アドレス変換を実行するには、「変換後のローカル ネットワーク」メニューでアドレス オブジェクトを選択または作成します。リモート ネットワークを変換するには、「変換後のリモート ネットワーク」メニューでアドレス オブジェクトを選択または作成します。通常は、トンネルでNATが必要な場合、ローカルとリモートの両方ではなくいずれかを変換する必要があります。「ＮＡＴポリシーを適用する」は、トンネルの両サイドで同一または重複するサブネットを使用する場合に特に有用です。

･ ローカルＳｏｎｉｃＷＡＬＬをＶＰＮトンネル経由で管理するには、「このＳＡを経由しての管理」から「ＨＴＴＰ」または「ＨＴＴＰＳ」、あるいは両方を選択します。「このＳＡを経由してのユーザ ログイン」で「ＨＴＴＰ」「ＨＴＴＰＳ」、または両方を選択すると、ＳＡを使用してログインできます。

･ 複数のゲートウェイがあって、１つを常に最初に使用するには、「デフォルトＬＡＮゲートウェイ」に入力します。

･ 「ＶＰＮポリシーの適用先」メニューからインターフェースまたはゾーンを選択します。WANの負荷分散を使用していて、ＶＰＮでいずれかのＷＡＮインターフェースを使用する場合は、「ゾーンＷＡＮ」が推奨される選択です。

･ 「ＩＫＥｖ２設定」 （「プロポーザル」タブの「交換」で「ＩＫＥｖ２」を選択した場合のみ表示される） では、「ＩＫＥ ＳＡネゴシエーション中に、トリガー パケットを送信しない」チェックボックスが既定でオフになっており、相互運用性のために必要とされる場合にのみ選択します。
“
トリガー パケット”という用語は、ＳＡネゴシエーションを開始させたパケットからのＩＰアドレスを含む最初のトラフィック セレクタ ペイロードの使用を意味しています。セキュリティ ポリシー データベースから適切な保護ＩＰアドレス範囲を選択できるようにＩＫＥｖ２応答側を支援するためにトリガー パケットを含めることをお勧めします。すべての実装でこの機能がサポートされているわけではないので、一部のＩＫＥピアでトリガー パケットを含めないようにしたほうがよいかもしれません。

･ IKEv2 VPN ポリシーに対して以下の 2 つのオプションから一つまたは両方を選択します。
ハッシュ ＆ URL証明書タイプを受け入れる
ハッシュ ＆ URL証明書タイプを送信する
証明書自体ではなく、ハッシュと証明書URLを送信できる場合、これらのオプションを選択ます。これらのオプションを使用することにより、メッセージ交換のサイズを減少することができます。
「ハッシュ ＆ URL 証明書タイプを受け入れる」が選択された場合、ファイアウォールはピア装置に HTTP_CERT_LOOKUP_SUPPORTED メッセージを送信します。ピア装置が "Hash and URL of X.509c"証明書で返信すると、ファイアウォールが 2 台の装置間でトンネルの確立または認証が可能になります。
「ハッシュ ＆ URL 証明書タイプを送信する」が選択された場合、ファイアウォールがHTTP_CERT_LOOKUP_SUPPORTED メッセージを受信中に要求者に"Hash and URL of X.509c" 証明書を返信します。
VPNを使用する場合、2 台のピア ファイアウォール（FW1 と FW2）はトンネルをネゴシエートします。FW1から見るとFM2はリモート ゲートウェイになり、またその逆も同じです。
手順 15　「ＯＫ」を選択します。

手動鍵（マニュアル キー）を使用したＶＰＮポリシーの設定

手動鍵を使用して２つのＳｏｎｉｃＷＡＬＬ装置間でのＶＰＮポリシーを設定するには、次の手順に従います。

ローカルＳｏｎｉｃＷＡＬＬセキュリティ装置の設定

手順 1　「ＶＰＮ ＞ 設定」ページで、「追加」を選択します。「セキュリティ ポリシー」ウィンドウが表示されます。
手順 2　「セキュリティ ポリシー」ウィンドウの「一般」タブで、「認証種別」メニューから「マニュアル キー」を選択します。「セキュリティ ポリシー」ウィンドウに手動鍵オプションが表示されます。
手順 3　ポリシーの名前を「名前」フィールドに入力します。
手順 4　「ＩＰＳｅｃゲートウェイ名またはアドレス」フィールドにリモート接続のホスト名またはＩＰアドレスを入力します。
手順 5　「ネットワーク」タブを選択します。
手順 6　特定のローカル ネットワークがＶＰＮトンネルにアクセスできる場合は、「ローカル ネットワークをリストより選択」からローカル ネットワークを選択します。任意のローカル ネットワークからトラフィックを発信できる場合は、「すべてのアドレス」を選択します。ピアで「このＶＰＮトンネルをすべてのインターネット トラフィックのデフォルト ルートとして使用する」が選択されている場合は、このオプションを使用します。この設定を使用するには、ＳＡを１つだけ設定できます。あるいは、「対象先ネットワークをリストより選択」を選択して、アドレス オブジェクトまたはグループを選択します。
手順 7　「プロポーザル」タブを選択します。
手順 8　「受信ＳＰＩ」および「送信ＳＰＩ」を定義します。ＳＰＩは１６進数 （０１２３４５６７８９ａｂｃｄｅｆ） なので、長さは３～８文字の範囲です。
警告　各ＳＡには一意のＳＰＩが必要で、２つのＳＡが同じＳＰＩを共有することはできません。ただし、各ＳＡの受信ＳＰＩは送信ＳＰＩと同一である可能性があります。
手順 9　「プロトコル」、[フェーズ２暗号化方式」、および「フェーズ２認証方式」の既定値は、ほとんどのＶＰＮ ＳＡ設定で使用できます。
補足　「プロトコル」、「フェーズ２暗号化方式」、および「フェーズ２認証方式」の値は、リモートＳｏｎｉｃＷＡＬＬの値に一致する必要があります。
手順 10　「暗号化鍵」フィールドに１６文字の１６進数暗号キーを入力するか、既定値を使用します。この暗号キーはリモートＳｏｎｉｃＷＡＬＬ暗号キーの設定に使用されるので、ＳｏｎｉｃＷＡＬＬを設定するときに書き留めておいてください。
手順 11　「認証鍵」フィールドに３２文字の１６進数認証キーを入力するか、既定値を使用します。ＳｏｎｉｃＷＡＬＬ設定を指定するためにキーを書き留めます。
ヒント　有効な１６進数の文字とは、０、１、２、３、４、５、６、７、８、９、ａ、ｂ、ｃ、ｄ、ｅ、およびｆです。たとえば、１２３４５６７８９０ａｂｃｄｅｆは有効なＤＥＳまたはＡＲＣＦｏｕｒ暗号キーの例です。不適切な暗号キーを入力すると、ブラウザ ウィンドウの下部にエラー メッセージが表示されます。
手順 12　「詳細」タブを選択して、ＶＰＮポリシーに適用するオプション設定を以下の設定から選択します。

･ 「このＶＰＮポリシーに対して自動アクセスルール生成をしない」設定は既定で有効になっていないので、ＶＰＮトラフィックは適切なゾーンを通過できます。

･ 「ウィンドウズ ネットワーク （ＮｅｔＢＩＯＳ） ブロードキャストを有効にする」 － ウィンドウズの「ネットワーク コンピュータ」を参照してリモート ネットワーク リソースにアクセスできます。

･ ＳｏｎｉｃＷＡＬＬでローカル、リモート、または両方のネットワーク通信をＶＰＮトンネル経由で変換するには、「ウィンドウズ ネットワーク （ＮｅｔＢＩＯＳ） ブロードキャストを有効にする」を選択します。ローカル ネットワークでネットワーク アドレス変換を実行するには、「変換後のローカル ネットワーク」ドロップダウン ボックスでアドレス オブジェクトを選択または作成します。リモート ネットワークを変換するには、「変換後のリモート ネットワーク」ドロップダウン ボックスでアドレス オブジェクトを選択または作成します。通常は、トンネルでNATが必要な場合、ローカルとリモートの両方ではなくいずれかを変換する必要があります。「ＮＡＴポリシーを適用する」は、トンネルの両サイドで同一または重複するサブネットを使用する場合に特に有用です。

･ ローカルＳｏｎｉｃＷＡＬＬをＶＰＮトンネル経由で管理するには、「このＳＡを経由しての管理」から「ＨＴＴＰ」または「ＨＴＴＰＳ」、あるいは両方を選択します。

･ 「このＳＡを経由してのユーザ ログイン」で「ＨＴＴＰ」「ＨＴＴＰＳ」、または両方を選択すると、ＳＡを使用してログインできます。

･ ゲートウェイのＩＰアドレスを保持している場合は、「デフォルトＬＡＮゲートウェイ （オプション）」フィールドに入力します。

･ 「ＶＰＮポリシーの適用先」メニューからインターフェースを選択します。
手順 13　「ＯＫ」を選択します。
手順 14　「ＶＰＮ ＞ 設定」ページで、「承諾」を選択して、ＶＰＮポリシーを更新します。

リモートＳｏｎｉｃＷＡＬＬセキュリティ装置の設定

手順 1　「ＶＰＮ ＞ 設定」ページで、「追加」を選択します。「セキュリティ ポリシー」ウィンドウが表示されます。
手順 2　「一般」タブで、「ＩＰＳｅｃ鍵モード」メニューから「マニュアル キー」を選択します。
手順 3　ＳＡの名前を「名前」フィールドに入力します。
手順 4　「ＩＰＳｅｃゲートウェイ名またはアドレス」フィールドにローカル接続のホスト名またはＩＰアドレスを入力します。
手順 5　「ネットワーク」タブを選択します。
手順 6　特定のローカル ネットワークがＶＰＮトンネルにアクセスできる場合は、「ローカル ネットワークをリストより選択」からローカル ネットワークを選択します。任意のローカル ネットワークからトラフィックを発信できる場合は、「すべてのアドレス」を選択します。ローカル ユーザからの暗号化されていないトラフィックがＳｏｎｉｃＷＡＬＬセキュリティ装置から発信できない場合は、「このＶＰＮトンネルをすべてのインターネット トラフィックのデフォルト ルートとして使用する」を選択します。この設定を使用するには、ＳＡを１つだけ設定できます。あるいは、「対象先ネットワークをリストより選択」を選択して、アドレス オブジェクトまたはグループを選択します。
手順 7　「プロポーザル」タブを選択します。
手順 8　「受信ＳＰＩ」および「送信ＳＰＩ」を定義します。ＳＰＩは１６進数 （０１２３４５６７８９ａｂｃｄｅｆ） なので、長さは３～８文字の範囲です。
警告　各ＳＡには一意のＳＰＩが必要で、２つのＳＡが同じＳＰＩを共有することはできません。ただし、各ＳＡの受信ＳＰＩは送信ＳＰＩと同一である可能性があります。
手順 9　「プロトコル」、[フェーズ２暗号化方式」、および「フェーズ２認証方式」の既定値は、ほとんどのＶＰＮ ＳＡ設定で使用できます。
補足　「プロトコル」、「フェーズ２暗号化方式」、および「フェーズ２認証方式」の値は、リモートＳｏｎｉｃＷＡＬＬの値に一致する必要があります。
手順 10　「暗号化鍵」フィールドに１６文字の１６進数暗号キーを入力するか、既定値を使用します。この暗号キーはリモートＳｏｎｉｃＷＡＬＬ暗号キーの設定に使用されるので、ＳｏｎｉｃＷＡＬＬを設定するときに書き留めておいてください。
手順 11　「認証鍵」フィールドに３２文字の１６進数認証キーを入力するか、既定値を使用します。ＳｏｎｉｃＷＡＬＬ設定を指定するためにキーを書き留めます。
ヒント　有効な１６進数の文字とは、０、１、２、３、４、５、６、７、８、９、ａ、ｂ、ｃ、ｄ、ｅ、およびｆです。たとえば、１２３４５６７８９０ａｂｃｄｅｆは有効なＤＥＳまたはＡＲＣＦｏｕｒ暗号キーの例です。不適切な暗号キーを入力すると、ブラウザ ウィンドウの下部にエラー メッセージが表示されます。
手順 12　「詳細」タブを選択して、ＶＰＮポリシーに適用する次のオプション設定をすべて選択します。

･ 「このＶＰＮポリシーに対して自動アクセスルール生成をしない」設定は既定で有効になっていないので、ＶＰＮトラフィックは適切なゾーンを通過できます。

･ 「ウィンドウズ ネットワーク （ＮｅｔＢＩＯＳ） ブロードキャストを有効にする」 － ウィンドウズの「ネットワーク コンピュータ」を参照してリモート ネットワーク リソースにアクセスできます。

･ ＳｏｎｉｃＷＡＬＬでローカル、リモート、または両方のネットワーク通信をＶＰＮトンネル経由で変換するには、「ウィンドウズ ネットワーク （ＮｅｔＢＩＯＳ） ブロードキャストを有効にする」を選択します。ローカル ネットワークでネットワーク アドレス変換を実行するには、「変換後のローカル ネットワーク」ドロップダウン ボックスでアドレス オブジェクトを選択または作成します。リモート ネットワークを変換するには、「変換後のリモート ネットワーク」ドロップダウン ボックスでアドレス オブジェクトを選択または作成します。通常は、トンネルでNATが必要な場合、ローカルとリモートの両方ではなくいずれかを変換する必要があります。「ＮＡＴポリシーを適用する」は、トンネルの両サイドで同一または重複するサブネットを使用する場合に特に有用です。
警告　「ネットワーク」タブで「このＶＰＮトンネルをすべてのインターネット トラフィックのデフォルト ルートとして使用する」が選択されている場合は、この機能を使用できません。

･ リモートＳｏｎｉｃＷＡＬＬをＶＰＮトンネル経由で管理するには、「このＳＡを経由しての管理」から「ＨＴＴＰ」または「ＨＴＴＰＳ」、あるいは両方を選択します。

･ 「このＳＡを経由してのユーザ ログイン」で「ＨＴＴＰ」「ＨＴＴＰＳ」、または両方を選択すると、ＳＡを使用してログインできます。

･ ゲートウェイのＩＰアドレスを保持している場合は、「デフォルトＬＡＮゲートウェイ （オプション）」フィールドに入力します。

･ 「ＶＰＮポリシーの適用先」メニューからインターフェースを選択します。
手順 13　「ＯＫ」を選択します。
手順 14　「ＶＰＮ ＞ 設定」ページで、「承諾」を選択して、ＶＰＮポリシーを更新します。
ヒント　ウィンドウズ ネットワーク （ＮｅｔＢＩＯＳ） が有効になっているため、ユーザはウィンドウズの「ネットワーク コンピュータ」でリモート コンピュータを表示することができます。また、サーバまたはワークステーションのリモートＩＰアドレスを入力することによってリモートＬＡＮのリソースにアクセスすることもできます。

ＩＫＥ （サードパーティ証明書） でのＶＰＮポリシーの設定

警告　サードパーティ証明書を使用したＩＫＥでＶＰＮポリシーを設定する前に、ＳｏｎｉｃＷＡＬＬにインストールされているサードパーティ証明書の認定局からの有効な証明書が必要です。

ＩＫＥおよびサードパーティの証明書を使用してＶＰＮ ＳＡを作成するには、次の手順に従います。

手順 1　「ＶＰＮ ＞ 設定」ページで、「追加」を選択します。「セキュリティ ポリシー」ウィンドウが表示されます。
手順 2　「一般」タブの「認証種別」リストで、「ＩＫＥ （サードパーティ証明書を使用）」を選択します。「セキュリティ ポリシー」ウィンドウにサードパーティ証明書オプションが表示されます。
手順 3　「名前」フィールドにＳＡ名を入力します。
手順 4　「プライマリＩＰＳｅｃゲートウェイ名またはアドレス」フィールドにプライマリのリモートＳｏｎｉｃＷＡＬＬのＩＰアドレスまたは完全修飾ドメイン名 （ＦＱＤＮ） を入力します。セカンダリのリモートＳｏｎｉｃＷＡＬＬがある場合、「ＩＰＳｅｃセカンダリ ゲートウェイ名またはアドレス」フィールドにリモート対象先のＩＰアドレスまたは完全修飾ドメイン名を入力します。
手順 5　「ＩＫＥ認証」で、「ローカル証明書」リストからサードパーティ証明書を選択します。このオプションを選択する前に、ローカル証明書をインポートする必要があります。
手順 6　「ピアＩＫＥ ＩＤ タイプ」メニューから次のＰｅｅｒ ＩＤタイプのいずれかを選択します。

･ 「電子メールとドメイン名」 － 「電子メール」と「ドメイン名」のタイプは、既定ではすべての証明書に含まれていない証明書の「サブジェクト代替名」フィールドに基づいています。証明書に「サブジェクト代替名」が含まれている場合、その値を使用する必要があります。サイト間ＶＰＮの場合、ワイルド カード文字 （１文字を超える場合は ＊、１文字の場合は？） は使用できません。電子メールまたはドメイン名の完全な値を入力する必要があります。Ｇｒｏｕｐ ＶＰＮは複数のピアに接続することになっていますが、サイト間ＶＰＮは１つのピアに接続することになっています。

･ 「識別名（DN）」 － 既定ですべての証明書に含まれている、証明書の「サブジェクト識別名」フィールドに基づいています。上述の「電子メールとドメイン名」同様、ワイルド カード文字がサポートされていないサイト間ＶＰＮ用に、「識別名」に完全な名前入力する必要があります。
「サブジェクト識別名」の形式は、発行元の認証局によって決定されます。一般的なフィールドは、国 （Ｃ＝）、組織 （Ｏ＝）、組織の単位 （ＯＵ＝）、一般名 （ＣＮ＝）、住所 （Ｌ＝） などですが、発行元の認証局ごとに異なります。実際のＸ５０９証明書の「サブジェクト識別名」フィールドはバイナリ オブジェクトであるため、目的に応じて文字列に変換する必要があります。フィールドは、
／Ｃ＝ＵＳ／Ｏ＝ＳｏｎｉｃＷＡＬＬ, Ｉｎｃ.／ＯＵ＝ＴｅｃｈＰｕｂｓ／ＣＮ＝Ｊｏｅ Ｐｕｂのようにフォワード スラッシュで区切られます。
証明書の詳細 （サブジェクト代替名、識別名など） を参照するには、「
システム ＞ 証明書」ページに移動して、証明書の「エクスポート」ボタン を選択します。
手順 7　「ピアＩＫＥ ＩＤ」フィールドにＩＤ文字列を入力します。
手順 8　「ネットワーク」タブを選択します。
手順 9　特定のローカル ネットワークがＶＰＮトンネルにアクセスできる場合は、「ローカル ネットワーク」で「ローカル ネットワークをリストより選択」からローカル ネットワークを選択します。ＶＰＮ接続のローカル側のホストがトンネルのリモート サイドのＤＨＣＰサーバからアドレッシングを取得する場合は、「ローカル ネットワークは、この VPN トンネルを通じた DHCP を使用して IP アドレスを取得する」を選択します。任意のローカル ネットワークからトラフィックを発信できる場合は、「すべてのアドレス」を選択します。
手順 10　ローカル ユーザからの暗号化されていないトラフィックがＳｏｎｉｃＷＡＬＬセキュリティ装置から発信できない場合は、「対象先ネットワーク」の「このＶＰＮトンネルをすべてのインターネット トラフィックのデフォルト ルートとして使用する」を選択します。この設定を使用するには、ＳＡを１つだけ設定できます。ＶＰＮ接続のリモート サイドのホストがトンネルのリモート側のＤＨＣＰサーバからアドレッシングを取得する場合は、「対象先ネットワークは、このＶＰＮトンネルを通じたＤＨＣＰを使用してＩＰアドレスを取得する」を選択します。あるいは、「対象先ネットワークをリストより選択」を選択して、アドレス オブジェクトまたはグループを選択します。
手順 11　「プロポーザル」タブを選択します。
手順 12　「ＩＫＥ （フェーズ１） プロポーザル」セクションで、次の設定を選択します。

･ 「鍵交換モード」メニューから「メイン モード」または「アグレッシブ モード」を選択します。

･ 「ＤＨグループ」メニューの「ＤＨグループ」を選択します。
補足　ウィンドウズ２０００ Ｌ２ＴＰクライアントおよびウィンドウズＸＰ Ｌ２ＴＰクライアントは、ＤＨ グループ２でのみ動作します。ＤＨ グループ１および５との互換性はありません。

･ 「暗号化」メニューの「３ＤＥＳ」、「ＡＥＳ-１２８」、「ＡＥＳ-１９２」、または「ＡＥＳ-２５６」を選択します。

･ 「認証」メニューから使用する認証種別を選択します。

･ 「存続期間 （秒）」フィールドに値を入力します。既定の「２８８００」により、トンネルは８時間ごとに鍵の再ネゴシエートと交換を行います。
手順 13　「ＩＰＳｅｃ （フェーズ２） プロポーザル」セクションで、次の設定を選択します。

･ 「プロトコル」メニューから使用するプロトコルを選択します。

･ 「暗号化」メニューの「３ＤＥＳ」、「ＡＥＳ-１２８」、「ＡＥＳ-１９２」、または「ＡＥＳ-２５６」を選択します。

･ 「認証」メニューから使用する認証種別を選択します。

･ 追加のセキュリティ層としてＤｉｆｆｉｅ-Ｈｅｌｍａｎ鍵交換を追加する場合は、「Ｐｅｒｆｅｃｔ Ｆｏｒｗａｒｄ Ｓｅｃｒｅｃｙを有効にする」を選択します。「ＤＨグループ」メニューの「グループ２」を選択します。
補足　ウィンドウズ２０００ Ｌ２ＴＰクライアントおよびウィンドウズＸＰ Ｌ２ＴＰクライアントは、ＤＨ グループ２でのみ動作します。ＤＨ グループ１および５との互換性はありません。

･ 「存続期間 （秒）」フィールドに値を入力します。既定の「２８８００」により、トンネルは８時間ごとに鍵の再ネゴシエートと交換を行います。
手順 14　「詳細」タブを選択します。ＶＰＮポリシーに適用する設定オプションを選択します。

･ このＶＰＮトンネルでピア間のハートビート メッセージを使用する場合は、「キープ アライブを有効にする」を選択します。トンネルの一方の側が失敗した場合、キープアライブを使用することにより、両サイドが再び利用可能になったときにトンネルの自動的な再ネゴシエートが可能になります。提案された存続期間が期限切れになるまで待つ必要はありません。

･ 「このＶＰＮポリシーに対して自動アクセスルール生成をしない」設定は既定で有効になっていないので、ＶＰＮトラフィックは適切なゾーンを通過できます。

･ このトンネルの通過をトラフィックに許可する前にＸＡＵＴＨ認証をユーザに要求するには、「リモートＶＰＮクライアントにＸＡＵＴＨでの認証を要求する」を選択し、ユーザ グループを選択して「ＸＡＵＴＨに利用するユーザ グループ」から許可するユーザを指定します。

･ 「ウィンドウズ ネットワーク （ＮｅｔＢＩＯＳ） ブロードキャストを有効にする」 － ウィンドウズの「ネットワーク コンピュータ」を参照してリモート ネットワーク リソースにアクセスできます。

･ ＶＰＮトンネル経由のマルチキャスト トラフィックを許可するには、「マルチキャストを有効にする」チェックボックスを選択します。

･ ＳｏｎｉｃＷＡＬＬでローカル、リモート、または両方のネットワーク通信をＶＰＮトンネル経由で変換するには、「ウィンドウズ ネットワーク （ＮｅｔＢＩＯＳ） ブロードキャストを有効にする」を選択します。ローカル ネットワークでネットワーク アドレス変換を実行するには、「変換後のローカル ネットワーク」メニューでアドレス オブジェクトを選択または作成します。リモート ネットワークを変換するには、「変換後のリモート ネットワーク」メニューでアドレス オブジェクトを選択または作成します。通常は、トンネルでNATが必要な場合、ローカルとリモートの両方ではなくいずれかを変換する必要があります。「ＮＡＴポリシーを適用する」は、トンネルの両サイドで同一または重複するサブネットを使用する場合に特に有用です。

･ ＶＰＮ証明書状況を確認するために「ＯＣＳＰ確認を有効にする」を選択して、状況を確認するＵＲＬを指定します。「ＶＰＮ ＞ 詳細設定」 の「ＯＣＳＰをＳｏｎｉｃＷＡＬＬセキュリティ装置で使用」セクション を参照してください。

･ リモートＳｏｎｉｃＷＡＬＬをＶＰＮトンネル経由で管理するには、「このＳＡを経由しての管理」から「ＨＴＴＰ」または「ＨＴＴＰＳ」、あるいは両方を選択します。「このＳＡを経由してのユーザ ログイン」で「ＨＴＴＰ」「ＨＴＴＰＳ」、または両方を選択すると、ＳＡを使用してログインできます。

･ 未知のサブネットに送信されてこのトンネルに入るトラフィックに対してＬＡＮ上のルータを使用する場合、たとえば、トンネルの反対側に「このＶＰＮトンネルをすべてのインターネット トラフィックのデフォルト ルートとして使用する」を設定した場合は、ルータのＩＰアドレスを「デフォルト LAN ゲートウェイ （オプション）」フィールドに入力する必要があります。

･ 「ＶＰＮポリシーの適用先」メニューからインターフェースまたはゾーンを選択します。WANの負荷分散を使用していて、ＶＰＮでいずれかのＷＡＮインターフェースを使用する場合は、「ゾーン」が推奨される選択です。
手順 15　「ＯＫ」を選択します。

静的ルートへのＶＰＮフェイルオーバーの設定

ＶＰＮトンネルが停止した場合に、静的ルートをバックアップのルートとして使用できるように設定するためのオプションがあります。「ＶＰＮパスを優先させる」オプションを使用すると、ＶＰＮトンネルのバックアップのルートを作成できます。既定では、静的ルートのメトリックは１に設定されており、ＶＰＮトラフィックよりも優先されます。「ＶＰＮパスを優先させる」は、送信先アドレス オブジェクトが同じであるＶＰＮトラフィックに対する優先順位を、静的ルートよりも高くします。このため、以下のような動作になります。


･ ＶＰＮトンネルがアクティブな場合： 「ＶＰＮパスを優先させる」オプションが有効であれば、ＶＰＮトンネルと送信先アドレス オブジェクトが一致する静的ルートが自動的に無効になります。すべてのトラフィックがＶＰＮトンネルを通って送信先アドレス オブジェクトへ向かいます。

･ ＶＰＮトンネルが停止した場合： ＶＰＮトンネルと送信先アドレス オブジェクトが一致する静的ルートが自動的に有効になります。送信先アドレス オブジェクトへ向かうすべてのトラフィックが静的ルートを通ります。

静的ルートをＶＰＮのフェイルオーバーとして設定するには、以下の手順に従います。

手順 1　「ネットワーク ＞ ルーティング」ページに移動します。
手順 2　ページの一番下までスクロールし、「追加」ボタンを選択します。「ルート ポリシーの追加」ウィンドウが表示されます。
手順 3　「送信元」、「送信先」、「サービス」「ゲートウェイ」、および「インターフェース」を正しく選択します。
手順 4　「メトリック」は１のままにします。
手順 5　「ＶＰＮパスを優先させる」チェックボックスをオンにします。
手順 6　「ＯＫ」を選択します。

静的ルートの設定、およびポリシー ベース ルーティングの詳細については、「ネットワーク ＞ ルーティング」 を参照してください。

ルート ベースＶＰＮ

ポリシー ベースＶＰＮの場合、ＶＰＮポリシーを構成する際に必ずネットワークのトポロジを設定しなくてはなりません。このため、トポロジが頻繁に変更されるネットワークでは、管理者がＶＰＮポリシーの構成や保守で苦労することになります。

ルート ベースＶＰＮの場合、ＶＰＮポリシーの構成時にネットワーク トポロジを設定する必要がありません。ＶＰＮポリシーを構成するとき、２つのエンドポイント間にトンネル インターフェースが作成され、 静的または動的ルートをそのインターフェースに追加することができます。ルート ベースＶＰＮを使用すれば、ネットワークの設定がＶＰＮポリシーの構成から静的または動的ルートの構成へと移動されます。

ＶＰＮポリシーの構成や保守が容易になるだけがルート ベースＶＰＮの利点ではありません。ルート ベースＶＰＮには、トラフィックを柔軟にルーティングできるという大きな特徴があります。そのため、ユーザは二重化された （あるいはされていない） ＶＰＮに対して、重複するネットワークを経由する複数のパスを定義できるようになります。

ルート ベースＶＰＮの使用

ルート ベースＶＰＮは、２つの手順で設定します。最初にトンネル インターフェースを作成します。トンネル インターフェースには２つのエンドポイント間のトラフィックを安全にするために使う、暗号化手順を定義します。２つ目の手順では、トンネル インターフェースを使用して静的または動的ルートを作成します。

トンネル インターフェースは、“トンネル インターフェース”という種類のポリシーをリモート ゲートウェイに追加すると作成されます。トンネル インターフェースは物理インターフェースにバインドされる必要があり、その物理インターフェースのＩＰアドレスがトンネルを通るパケットの送信元アドレスとして使用されます。

トンネル インターフェースの追加

次に、トンネル インターフェースを追加する方法について説明します。

手順 1　「ＶＰＮ ＞ 設定 ＞ ＶＰＮポリシー」を選択します。「追加」ボタンを選択します。「ＶＰＮポリシー構成」ダイアログ ボックスが開きます。
手順 2　「一般」タブで、ポリシーの種類に「トンネル インターフェース」を選択します。
手順 3　次に、「プロポーザル」タブに移動し、トンネルのネゴシエーションに必要なＩＫＥとＩＰＳecのプロポーザルを設定します。
手順 4　「詳細」タブに移動し、トンネル インターフェースの詳細なプロパティを設定します。既定では「キープ アライブを有効にする」が設定されています。これは、リモート ゲートウェイで予見的にトンネルを確立するためのものです。
手順 5　以下の詳細オプションが設定できます。

･ 高度なルーティングを許可する - このトンネル インターフェースを、「ネットワーク ＞ ルーティング」 ページの高度なルーティングのテーブル内のインターフェース リストに追加します。これをオプション設定にすることで、高度なルーティング テーブルにすべてのトンネル インターフェースを追加することを避けて、ルーティング設定の合理化に役立てています。 トンネル インターフェースに対してＲＩＰまたはＯＳＰＦの高度なルーティングを設定するための情報は、「トンネル インターフェースに対する高度なルーティング設定」 を参照してください。

･ トランスポート モードを有効にする -ＩＰＳｅｃネゴシエーションがトンネル モードではなく、トランスポート モードを使うことを強制します。 これは、Ｎｏｒｔｅｌとの互換性のために導入されています。 ローカル ファイアウォール上でこのオプションを有効にする際には、ネゴシエーションが成功するように、リモート ファイアウォール上でも同様にこれを有効にする必要があります。

･ ＸＡＵＴＨを利用したＶＰＮクライアントの認証を要求する － このＶＰＮトンネルの受信トラフィックがすべて認証済みのユーザからのものであることが要求されます。

･ ＸＡＵＴＨに利用するユーザ グループ - ＸＡＵＴＨが選択された場合にこのＶＰＮへのアクセスを持つユーザ グループを指定します。

･ Windows ネットワーキング (NetBIOS) ブロードキャストを有効にする - ウィンドウズの「ネットワーク コンピュータ」を参照してリモート ネットワーク リソースにアクセスすることを許可します。

･ マルチキャストを有効にする - マルチキャスト トラフィックがＶＰＮトンネルを通過することを許可します。

･ このＳＡを経由しての管理 - リモート ユーザがＶＰＮトンネル経由でこのＳｏｎｉｃＷＡＬＬにログインして管理することを許可します。

･ このＳＡを経由してのユーザ ログイン - ユーザがこのＳＡを使ってログインすることを許可します。

･ ＶＰＮポリシーの適用先 - トンネル インターフェースがバウンドされるインターフェースを設定します。 既定では、これはＸ１です。

トンネル インターフェースへの静的ルートの作成

トンネル インターフェースの追加に成功したら、続いて静的ルートを作成します。トンネル インターフェースに静的ルートを作成するには、次の手順に従います。

「ネットワーク ＞ ルーティング ＞ ルート ポリシー」を選択します。「追加」ボタンを選択します。静的ルート追加のためのダイアログ ウィンドウが表示されます。「インターフェース」ドロップダウン メニューには、利用可能なすべてのトンネル インターフェースが表示されます。

補足　「自動的に追加するルール」オプションが選択されている場合は、ファイアウォール ルールが自動的に追加され、トンネル インターフェースを使用して設定されたネットワーク間でトラフィックが許可されます。

異なるネットワーク セグメントを使用するルート エントリ

トンネル インターフェースを作成した後、異なるネットワークで同じトンネル インターフェースを使用するための、複数のルート エントリを設定することができます。これにより、トンネル インターフェースを何も変更することなくネットワーク トポロジを変更するための仕組みができあがります。

次に、異なるネットワークで同じトンネル インターフェースを使用する例 （ルート１と２） を示します。

ネットワークへの静的ルートの冗長化

トンネル インターフェースを２つ以上設定したら、重複する複数の静的ルートを追加してください。各静的ルートが異なるトンネル インターフェースを使用してトラフィックをルーティングするようにします。こうすることで、送信先に到達するトラフィックのルーティングが冗長化されます。

次に、ネットワークへの冗長な静的ルートの例 （ルート２と３） を示します。

ドロップ トンネル インターフェース

ドロップ トンネル インターフェースは、事前に設定されたトンネル インターフェースです。このインターフェースはトラフィックのセキュリティを強化します。ドロップ トンネル インターフェースを利用する例を１つ紹介します。静的ルートにバインドされたインターフェースがドロップ トンネル インターフェースと見なされると、そのルートを通るトラフィックはすべて破棄され、平文では転送されません。トンネル インターフェースにバインドされた静的ルートが、あるトラフィック （送信元／送信先／サービス） に定義されているとします。そのトラフィックについて、トンネル インターフェースがダウンした場合に平文のまま転送されないようにしたい場合は、静的ルートを同じネットワーク トラフィックのドロップ トンネル インターフェースにバインドすることが推奨されます。そうすれば、トンネル インターフェースがダウンしたとき、トラフィックはドロップ トンネル インターフェースの静的ルートの効果で破棄されるようになります。

ドロップ トンネル インターフェースへの静的ルートの作成

ドロップ トンネル インターフェースに静的ルートを追加するには、「ネットワーク ＞ ルーティング ＞ ルーティング ポリシー」を選択します。「追加」ボタンを選択します。トンネル インターフェースに静的ルートを設定する場合と同様に、送信元、送信先、サービスの各オブジェクトに値を設定します。「インターフェース」の下の「Ｄｒｏｐ_ｔｕｎｎｅｌＩｆ」を選択します。

静的ルートは追加すると有効化され、「ルート ポリシー」に表示されます。

ＶＰＮが自動的に追加するルール コントロール

ＶＰＮポリシーを追加すると、ＳｏｎｉｃＯＳは編集不可のアクセス ルールを自動作成し、トラフィックが適切なゾーンを通過することを許可します。「ローカル ネットワーク」に「Firewalled Subnets」が設定 （このケースではLANおよびDMSで構成） されて、ネットワークにサブネット１９２.１６８.１６９.０が設定されるという状況で、以下のＶＰＮポリシーについて検討してみましょう。

アクセス ルールの自動作成は一般的には非常に便利ですが、場合によってはＶＰＮポリシーをサポートするうえで自動作成の抑止が必要になります。例えば、大規模なハブアンドスポーク型ＶＰＮ （スポーク サイト全体が、簡単にスーパーネット化できるアドレス空間を使用したアドレスである） などです。ここで、２,０００のリモート サイトそれぞれにおけるハブ サイトでのＬＡＮおよびＤＭＺアクセスを１つのサブネットで提供する場合、アドレスは以下のようになります。

ｒｅｍｏｔｅＳｕｂｎｅｔ０＝Ｎｅｔｗｏｒｋ １０.０.０.０／２４ （ｍａｓｋ ２５５.２５５.２５５.０, ｒａｎｇｅ １０.０.０.０－１０.０.０.２５５）

ｒｅｍｏｔｅＳｕｂｎｅｔ１＝Ｎｅｔｗｏｒｋ １０.０.１.０／２４ （ｍａｓｋ ２５５.２５５.２５５.０, ｒａｎｇｅ １０.０.０.０－１０.０.１.２５５）
ｒｅｍｏｔｅＳｕｂｎｅｔ２＝Ｎｅｔｗｏｒｋ １０.０.2.０／２４ （ｍａｓｋ ２５５.２５５.２５５.０, ｒａｎｇｅ １０.０.２.０－１０.０.２.２５５）
ｒｅｍｏｔｅＳｕｂｎｅｔ２０００＝１０.７.２０７.０／２４ （ｍａｓｋ ２５５.２５５.２５５.０, ｒａｎｇｅ １０.７.２０７.０－１０.７.２０７.２５５）

これらの各リモート サイト用にＶＰＮポリシーを作成した場合は２,０００のＶＰＮポリシーが必要となり、８,０００のアクセス ルールも作成されます （各サイトに対してＬＡＮ -＞ ＶＰＮ、ＤＭＺ -＞ ＶＰＮ、ＶＰＮ -＞ ＬＡＮ、およびＶＰＮ -＞ ＤＭＺ）。ただし、これらのアクセス ルールは、リモート サイトのスーパーネット化つまりアドレス範囲表現に対する４つのアクセス ルールですべて簡単に処理することができます （さらに具体的な許可または拒否のアクセス ルールを必要に応じて追加できます）。

ｒｅｍｏｔｅＳｕｂｎｅｔＡｌｌ＝Ｎｅｔｗｏｒｋ １０.０.０.０／13 （ｍａｓｋ ２５５.２４８.０.０, ｒａｎｇｅ １０.０.０.０－１０.７.２５５.２５５） または

ｒｅｍｏｔｅＲａｎｇｅ＝Ｒａｎｇｅ １０.０.０.０-１０.７.２０７.２５５

この集約のレベルを有効にする場合は、「ＶＰＮポリシー」ウィンドウ ページの「詳細設定」タブに「ＶＰＮポリシーの自動追加アクセス ルール」設定のオプションがあります。既定では、このチェックボックスがオンになっており、付随するアクセス ルールが自動的に作成されます。ＶＰＮポリシーの作成時にこのチェックボックスをオフにすることにより、管理者はＶＰＮトラフィックの個別アクセス ルールを作成できます。