このページでは、必要な認証方式、グローバル ユーザ設定、ユーザがネットワークにログインしたときに表示される規約の承諾画面を設定できます。
以下のセクションでは、このページの設定手順について説明します。
|
•
|
|
•
|
|
1
|
「ユーザ認証方式」ドロップダウン メニューから、ネットワークで使用するユーザ アカウント管理の種別を選択します。
|
|
•
|
認証にローカル データベースを使用する方法の詳細については、ローカル ユーザおよびローカル グループを使った認証 を参照してください。
詳しい設定手順については、次のセクションを参照してください。
|
•
|
RADIUS － ユーザ数が 1,000 人を超える場合、または SonicWALL のユーザ認証にさらなるセキュリティを付加したい場合に選択します。RADIUS を選択した場合、ユーザは SonicWALL に送るパスワードを暗号化するために HTTPS を使用して SonicWALL にログインする必要があります。ユーザが HTTP を使用して SonicWALL へのログインを試みた場合、ブラウザは自動的に HTTPS にリダイレクトされます。
|
LDAP に加えて RADIUS が必要とされることがあります。
認証に RADIUS データベースを使用する方法の詳細については、RADIUS を使った認証 を参照してください。
詳細な設定手順については、RADIUS 認証の設定 以下を参照してください。
|
•
|
RADIUS + ローカル ユーザ － 認証に RADIUS と ファイアウォールローカル ユーザ データベースの両方を使用する場合に選択します。
|
|
•
|
LDAP － Lightweight Directory Access Protocol (LDAP) サーバ、Microsoft アクティブ ディレクトリ (AD) サーバ、または Novell eDirectory を使用してユーザ アカウント データを管理する場合に選択します。
|
認証に LDAP データベースを使用する方法の詳細については、LDAP/アクティブ ディレクトリ/イーディレクトリ認証の使用 を参照してください。
詳細な設定手順については、SonicWALL 装置への LDAP の統合 以下を参照してください。
|
•
|
LDAP + ローカル ユーザ － 認証に LDAP と ファイアウォール ローカル ユーザ データベースの両方を使用する場合に選択します。
|
|
2
|
「シングルサインオン方式」は、以下から 1 つを選択します。
|
|
•
|
SSO エージェント － 認証にアクティブ ディレクトリを使用していて、SonicWALL SSO エージェントが同じドメイン内のコンピュータにインストールされている場合に選択します。SSO の詳細な設定手順については、シングル サインオンの概要 を参照してください。
|
|
•
|
ターミナル サービス エージェント － ターミナル サービスを使用していて、ターミナル サービス エージェント (TSA) が同じドメイン内のターミナル サーバにインストールされている場合に選択します。
|
|
•
|
ブラウザ NTLM 認証 － SSO エージェントまたは TSA を使わずにウェブ ユーザを認証したい場合に選択します。ユーザは HTTP トラフィックを送信すると即時に識別されます。NTLM は MSCHAP 認証にアクセスするために RADIUS (LDAP を使う場合は LDAP) が設定されている必要があります。上で LDAP が選択されている場合は、NTLM を選択した際に RADIUS のための独立した「設定」ボタンが現れます。
|
|
•
|
RADIUS アカウント － ネットワーク アクセス サーバ (NAS) からアカウント サーバにユーザ ログイン セッション アカウント メッセージを送信する場合に選択します。
|
|
3
|
ユーザ アカウント名を照合する際に大文字と小文字を区別する場合は、「ユーザ名の大文字と小文字を区別する」を選択します。
|
|
4
|
複数の場所から同じユーザ名でネットワークに同時にログインできないようにするには、「多重ログインを禁止する」を選択します。この設定は、ローカル ユーザと RADIUS/LDAP ユーザの両方に適用されますが、ユーザ名 admin の既定の管理者には適用されません。このオプションは、既定では選択されていません。
|
|
5
|
パスワードの変更後にユーザをログインさせるには、「パスワードが変更された後に再ログインを強制する」チェックボックスをオンにします。このオプションは、既定では選択されていません。
|
|
6
|
以下の「ワンタイム パスワード」のオプションを設定します。
|
|
•
|
|
•
|
|
ヒント：パスワードの 2 つの値と共に形式を選択することで、パスワードの強度は「脆弱」、「良」、または「優秀」とされます。特に強力なパスワードは、「英字」または「英数字」を用いた長いパスワードです。特に脆弱なパスワードは、長さに関係なく「数字」を用いたパスワードです。
|
|
•
|
「ワンタイム パスワード長」では、最初のフィールドに最小の長さを、次のフィールドに最大の長さを入力します。最小と最大の長さは 4 ～ 14 文字の範囲で指定し、各フィールドの既定値は 10 です。最小の長さを最大の長さより大きくすることはできません。
|
|
1
|
「認証ページの表示時間 (分)」フィールドには、ユーザがユーザ名とパスワードを使ってログインするまでの制限時間、つまりログイン ページがタイム アウトするまでの分数を入力します。ログイン ページがタイム アウトすると、再度ログインを試みる前に行うべきことを知らせるメッセージが表示されます。既定値は 1 分です。
|
ログイン認証ページが表示されている間はシステム リソースが消費されます。時間制限を設けてその間にログインしなければログイン ページを閉じるようにすることで、それらのリソースを解放します。
|
2
|
Dell SonicWALL 装置のウェブ サーバにユーザのブラウザを最初にリダイレクトするときの方法を決めるために、「ブラウザをこの機器にリダイレクトする経路」ラジオ ボタンの中から、以下のオプションの 1 つを選択します。
|
|
•
|
インターフェースの IP アドレス - ブラウザを装置のウェブ サーバ インターフェースの IP アドレスにリダイレクトする場合に選択します。
|
|
•
|
インターフェース IP アドレスの逆引き DNS 調査によるドメイン名 －「キャッシュの表示」ボタンが有効になります。このボタンを選択すると、装置のウェブ サーバのインターフェース、IP アドレス、DNS 名、および TTL (秒) が表示されます。ユーザのブラウザをリダイレクトするために使われているドメイン名 (DNS 名) を確認する場合にこのボタンを選択します。「閉じる」を選択してダイアログを閉じます。
|
|
•
|
設定されたドメイン名 － これを選択すると、「システム > 管理」ページで設定したドメイン名へのリダイレクトが有効化されます。
|
|
•
|
管理証明書の名前 － これを選択すると、設定されたドメイン名へのリダイレクトが適切な署名済み証明書により有効化されます。この管理証明書の名前へのリダイレクトが許可されるのは、インポートした証明書がそのページで HTTPS ウェブ管理用として選択してある場合です。
|
管理証明書を使用する場合、証明書に関する警告が表示されないようにするには、ブラウザを IP アドレスではなく、そのドメイン名へリダイレクトする必要があります。例えば、インターネットをブラウズするとき、https://gateway.sonicwall.com/auth.html のログインにリダイレクトされる場合は、装置上の管理証明書が示すとおり装置は実際に gateway.sonicall.com なので、ブラウザはログイン ページを表示します。しかし、リダイレクト先が
https://10.0.02/auth.html の場合は、証明書の示す装置が gateway.sonicall.com であってもブラウザはそれが正しいか判断できないので、代わりに証明書に関する警告を表示します。
|
3
|
|
a
|
同じページへのリダイレクトをさらに制限するには、「同じページの反復的な取得をリダイレクトしない」チェックボックスをオンにします。このオプションは、既定では選択されています。
|
|
4
|
ユーザが HTTPS でログインした後の SonicWALL 経由のネットワーク接続に HTTP を使用したい場合には、「ログイン完了時にユーザを HTTPS から HTTP にリダイレクトする」を選択します。HTTPS は HTTP よりも多くのシステム リソースを消費するので、HTTPS でのログイン ユーザ数が多い場合には、HTTP へのリダイレクトを使用したほうがよいでしょう。このオプションは、既定では選択されています。このオプションを非選択にした場合、警告ダイアログが表示されます。
|
|
5
|
RADIUS ユーザが HTTP でログインする際に CHAP チャレンジを発行する場合は、「RADIUS CHAP モードでのログインを許可する」を選択します。これは、HTTPS を使わずに保護された接続を可能にします。RADIUS サーバがこのオプションをサポートしていることを確認してください。このオプションは、既定では選択されていません。
|
|
したがって、この設定を有効化すると、管理ユーザ グループに所属するユーザは管理目的でログインする場合に HTTPS を通して手動でログインしなければならないことがあります。この制限は組み込みの admin アカウントには適用されません。 |
|
補足：LDAP を使用するとき、このメカニズムを標準的に利用するには、「ログインのための認証方法」を RADIUS に設定し、RADIUS に関する設定を行う際にユーザ グループ メンバーシップの設定メカニズムとして LDAP を選択します。
|
|
1
|
|
2
|
「無動作時のユーザ ログアウトを防ぐために次のサービスからのトラフィックを許可しない」ドロップダウン メニューから、無動作ユーザのログアウトを阻止するサービスまたはサービス グループ オプションを選択します。このオプションを有効化すると、ユーザはログアウトではなく非アクティブ化されるので、システムのオーバーヘッドが減り、寿命が超過した認証済みユーザを再度識別する場合に生じる遅延が回避されます。無動作ユーザはシステム リソースを消費しませんが、「ユーザ > 状況」ページには表示されます。既定は「なし」です。
|
|
3
|
以下の「ユーザが識別されていない接続のログ記録」オプションで、 実行するログ記録の種類 (「ユーザ名をログに記録しない」または「ユーザ名をログに記録する」) を選択し、必要に応じてログ ユーザ名も選択します。
|
|
•
|
|
•
|
|
4
|
ユーザが Dell SonicWALL 装置からログアウトした後も残るユーザの接続をどう処置するかを「ログアウト時の残りのユーザ接続に対する動作」オプションで指定します。
|
|
ユーザ認証を必要とする接続の |
その他の接続の場合 2 |
|
|
1
|
Dell SonicWALL 装置から SSO メカニズムを通して識別されたユーザを、そのユーザからのトラフィックをまだ受け入れていない段階で、無動作状態にしてリソースが消費されないようにするには、「ログインの通知時にトラフィックを送信するまではユーザを無動作状態にする」チェックボックスをオンにします。ユーザの無動作状態はトラフィックを受け取るまで続きます。このオプションは、既定では選択されています。
|
SSO メカニズムによっては、Dell SonicWALL 装置がユーザを能動的に再識別する仕組みを提供していない場合があり、そのようなメカニズムで識別されたユーザからトラフィックが送られてこないと、装置が最終的にユーザのログアウト通知を受け取るまで、ユーザは無動作状態のままになります。それ以外の再識別可能なユーザは、無動作状態のままトラフィックを送信しないと、Step 3 で設定できる期間を超過したときに寿命超過で削除されます。
|
2
|
能動的にログインして SSO で識別されたユーザが無動作によりタイムアウトした場合、再識別されなければユーザは無動作状態に戻ります。何も処置しなければ無動作によりログアウトするところのユーザを無動作状態に戻すには、「無動作タイムアウト時にユーザをログアウトさせるのではなく無動作にする」チェックボックスをオンにします。これを行うと、オーバーヘッドが減り、動作状態に復帰するユーザを再識別する場合に生じる遅延が回避されます。このオプションは、既定で選択されています。
|
|
3
|
無動作ユーザが寿命超過処置の対象となる場合、無動作状態のままトラフィックを送信しなかったとき寿命超過で削除されるまでのタイムアウト時間 (分) を設定できます。具体的には、「無動作ユーザを寿命超過させる時間 (分)」チェックボックスをオンにし、フィールドにタイムアウト時間を入力します。この設定は既定で選択されています。最小タイムアウト値は 10 分、最大値は 10000 分、デフォルト値は 60 分です。
|
|
1
|
ウェブ接続のログイン セッション時間の制限を有効にする:ウェブ ログインからファイアウォールにログインするユーザのログイン時間を制限するには、このチェック ボックスをオンにし、「ログイン セッション時間の制限 (分)」フィールドに時間を分単位で入力します。この設定は既定で選択されています。既定値は 30 分です。
|
|
2
|
ユーザ ログイン状況ウィンドウを表示する － ウェブ ログインからログインするユーザについて、ユーザのセッション中に「ログアウト」ボタン付きの状況ウィンドウが表示されます。ユーザは、「ログアウト」ボタンを選択することにより、セッションからログアウトすることができます。
|
「ユーザ ログイン状況」ウィンドウには、ログイン セッションの残りの分数が表示されます。ユーザは、数値を入力して「更新」ボタンを選択することで、残りの分数を短く設定し直すこともできます。
このオプションを有効化すると、そのウィンドウから送られてくるハートビートを監視するメカニズムも有効化し、ログアウトせずに切断されたユーザを検知してログアウトさせることができます。
ユーザが SonicWALL Administrators グループまたは Limited Administrators グループのメンバーである場合、「ユーザ ログイン状況」ウィンドウには「管理」ボタンが表示されます。このボタンを選択すると、SonicWALL の管理インターフェースに自動的にログインできます。管理ユーザの「ユーザ ログイン状況」ウィンドウを無効にする方法の詳細については、ユーザ ログイン状況ポップアップの無効化 を参照してください。グループの設定手順については、ローカル グループの設定 を参照してください。
|
•
|
ユーザ ログイン状況ウィンドウが、ハートビートを送信する間隔 (秒) － ユーザの有効な接続が保持されているかどうかを確認するためのハートビート信号の周期を設定します。ハートビート信号の周期は、最小 10 秒、最大 65530 秒で、既定値は 120 秒です。
|
|
3
|
切断されたユーザの検出を有効にする － 接続が有効でなくなったユーザを検出すると、ファイアウォールはそのセッションを終了させます。このオプションは、既定で選択されています。
|
|
•
|
ユーザ ログイン状況ウィンドウから、次の時間ハートビートがなかった場合に切断とみなす (分): ハートビートからの応答がなかった場合に、ユーザ セッションを終了するまでの時間を設定します。ユーザ セッションを終了するまでの遅延時間は、最小 1 分、最大 65535 分で、既定値は 10 分です。
|
|
4
|
ユーザのログイン状況ウィンドウを、ポップアップ ウィンドウではなく、同じウィンドウ内に表示する場合は、「ポップアップではなく、同一ウィンドウ内にユーザのログイン状況ウィンドウを開く」チェックボックスをオンにします。
|
ここで指定する HTTP URL では、ユーザ認証のアクセス ルールがバイパスされます。このセクションでは、ユーザが認証なしで接続できる URL のリストを定義します。
|
1
|
|
2
|
「URL の入力」フィールドに、追加したいトップ レベルの URL (例えば、www.sonicwall.com) を入力します。この URL の配下のすべてのサブディレクトリ (例えば、
www.sonicwall.com/us/Support.html) が含められます。 |
|
3
|
「OK」を選択してリストに URL を追加します。メッセージが表示されます。
|
|
4
|
「適用」を選択します。
|
「規約の承諾」セクションでは、ユーザのために表示する AUP メッセージ ウィンドウを作成できます。メッセージの本文には HTML フォーマットを使用できます。「サンプル テンプレート」ボタンを選択すると、AUP ウィンドウ用に書式設定済みの HTML テンプレートが挿入されます (サンプル テンプレート を参照)。
|
•
|
規約の承諾を要求する - ユーザがログインしたときに規約承諾画面を表示するネットワーク インターフェースを選択します。「保護ゾーン」(既定値)、「WAN ゾーン」、「公開ゾーン」(既定値)、「無線ゾーン」、「VPN ゾーン」を任意に組み合わせて選択できます。
|
|
•
|
ウィンドウ サイズ (ピクセル) － AUP ウィンドウのサイズをピクセル単位で指定できます。
|
|
•
|
「ウィンドウでスクロール バーを有効にする」を選択すると、AUP ウィンドウの内容をスクロールできるようになります。次の両方を指定します。
|
|
•
|
幅:最小 400 ピクセル、最大 1280 ピクセルで、既定値は 460 ピクセルです。
|
|
•
|
高さ:最小 200 ピクセル、最大 1024 ピクセルで、既定値は 310 ピクセルです。
|
|
•
|
ウィンドウでスクロール バーを有効にする - ウィンドウの表示サイズに内容が収まりきらない場合、スクロール バーが表示されます。この設定はデフォルトで有効になっています。
|
|
•
|
規約承諾画面の内容 - 規約承諾のテキストを、このフィールドに入力します。HTML フォーマットを含めることができます。ユーザに対して表示するページには、ユーザによる確認のための「承諾する」ボタンと「キャンセル」ボタンが含まれます。
|
「サンプル テンプレート」ボタンを選択すると、既定の AUP テンプレートの内容が表示されます。この内容は自由に変更することができます。
「画面の確認」ボタンを選択すると、作成した AUP メッセージがどのようにユーザに表示されるかを確認できます。
SonicOS では、ユーザに表示されるログイン認証ページのテキストをユーザ定義する機能を提供します。管理者は自身の言語にログイン関連ページを翻訳して、変更を適用して再起動することなく反映できます。
SonicOS インターフェース全体は異なる言語で利用可能ですが、管理者はユーザ インターフェース全体の言語を特定の地域の言語に変更したくない場合があります。
「ログイン ページのユーザ定義」には次の機能があります。
|
•
|
|
•
|
|
•
|
|
•
|
|
•
|
|
•
|
|
1
|
|
2
|
カスタマイズするページを「ログイン ページの選択」ドロップダウン メニューから選択します。
|
|
3
|
ページの下部までスクロールし、「既定」を選択して既定のページ内容をロードします。
|
|
補足：テンプレート ページにある "var strXXX =" という行は、ユーザ定義の JavaScript 文字列です。これらは好きな語句に変更できます。変更する場合は、JavaScript の構文に従ってください。HTML セクションの語句も編集できます。
|
|
5
|
「プレビュー」を選択して、ユーザ定義したページがどのように表示されるか確認します。
|
|
6
|
ページの編集が完了したら、「適用」を選択します。
|
表示するページを既定のページに戻すには、「ログイン ページの内容」フィールドを空白のまま変更を適用します。
|
注意：ユーザ定義ログイン ページを配備する前にそのページの HTML をよく確認してください。HTML エラーがあると、ログイン ページが正しく機能しなくなる場合があります。ユーザ定義ログイン ページに問題が発生した場合に備えて、管理者は常に代替ログイン ページを使用できます。代替ログイン ページにアクセスするには、https://(device_ip)/defauth.html という URL をブラウザのアドレス行に直接手動で入力します (大文字と小文字は区別されます)。これによって、ユーザ定義の加えられていない既定のログイン ページが表示されるので、ここから通常どおりにログインし、ユーザ定義のログイン関連ページをリセットできます。
|
