リモートアクセスVPN-２要素認証（パスワード認証＋ワンタイムパスワード認証）

目的

SingleIDのユーザで、FortiGateへVPNを使ってリモートアクセスします。 接続する際の認証方式は、２要素認証（パスワード認証＋ワンタイムパスワード認証）です。

環境

ユーザの情報

ユーザ名	姓（英字）	名（英字）	メールアドレス
user1	user1	user1	user1@poc.singleid.jp

Info

メールアドレス: 受信可能なメールアドレスを指定してください。

グループの情報

グループ名	メンバー	動作
singleid-remote-access-users	user1	リモートアクセス可能

RADIUSの情報

設定に必要な情報	説明および情報取得の方法など
RADIUSサーバのホスト名	SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのホスト名です。
RADIUSサーバのIPアドレス	SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのIPアドレスです。
RADIUSサーバのポート番号	SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのRADIUSポート番号です。ここでは、デフォルトUDP1812を使用します。
RADIUSクライアントのIPアドレス	FortiGate側のグローバルIPアドレスです。インターネットに出ていくときの送信元のIPアドレスです。
RADIUSクライアントのシークレット	任意の文字列を設定します。ここでは、シークレットをfortigateとします。

設定方法

SingleIDの設定

管理者ポータルへログイン

1. SingleIDの管理者ポータルへログインします。

グループの作成

1. SingleID 管理者ポータル＞グループ画面へ移動します。
2. グループ追加をクリックします。グループ追加画面がポップアップします。
3. グループ名（参照）を入力し、登録ボタンをクリックします。

ユーザの作成

1. SingleID 管理者ポータル＞ユーザ画面へ移動します。
2. 登録ボタンをクリックします。ユーザ登録画面がポップアップします。
3. ユーザ登録画面の基本情報を入力します。作成するユーザは、ユーザの情報を参照します。 グループタブをクリックします。
4. 参加するグループ（参照）を選択し、登録ボタンをクリックします。

RADIUSの設定

1. SingleID 管理者ポータル＞認証＞RADIUS画面の簡易設定タブへ移動します。
2. カタログ表示ボタンをクリックします。
3. カタログからFortiGate NGFWの登録ボタンをクリックします。FortiGate NGFW画面がポップアップします。

4. 基本情報タブに、以下を設定します。

   設定項目	設定内容
   有効/無効	有効
   サーバ	1
   ワンタイムパスワード強制	有効
   IP or ホスト名	RADIUSの情報のRADIUSクライアントのIPアドレスを参照
   シークレット	RADIUSの情報のRADIUSクライアントのシークレットを参照

   Info

   選択するサーバの番号により、RADIUSサーバのポート番号が異なります。サーバが1の場合には、UDP1812です。SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのRADIUSポート番号にサーバの番号と通信ポート番号の対応が記載されています。

5. VPNアクセスの認証タブへ移動します。

6. 許可グループの設定で許可したいグループ（参照）をダブルクリックし、許可へ移動させます。
7. 登録ボタンをクリックします。

FortiGateの設定

ローカル管理者でログイン

1. Fortigate 管理GUI https://FortiGateの管理IPアドレス/ へアクセスします。
2. ローカル管理者のユーザ名、パスワードを入力し、ログインをクリックします。

RADIUSサーバの設定

1. Fortigate 管理GUI＞ユーザ＆認証＞RADIUSサーバ画面へ移動します。
2. 新規作成ボタンをクリックします。新規RADIUSサーバ設定画面がポップアップします。

3. 以下を設定します。

   設定項目	設定内容
   プライマリサーバ/セカンダリサーバ
   名前	任意の文字列を設定します。（例：SingleID_RADIUS）
   認証方式	指定 PAPを選択
   IP/名前	RADIUSの情報のRADIUSサーバのIPアドレスを参照
   シークレット	RADIUSの情報のRADIUSクライアントのシークレットを参照

   Info

   接続をテストボタンをクリックし、接続が成功しない場合には、以下をご確認ください。

   • 設定内容が間違いないこと
   • FortiGateからSingleIDのRADIUSサーバのIPアドレスへ接続可能であること

   Warning

   SingleIDのRADIUSサーバでは、FortiGateのVPNアクセスや管理アクセスのみ認証可能となるように制限をかけているため、ユーザクレデンシャルをテストボタンをクリックし、正しいユーザ情報を入力しても成功となりませんが、問題ではありません。

   

4. OKボタンをクリックします。

ユーザグループの設定

1. Fortigate 管理GUI＞ユーザ＆認証＞ユーザグループ画面へ移動します。
2. 新規作成ボタンをクリックします。新規ユーザグループ画面がポップアップします。

3. 以下を設定します。

   設定項目	設定内容
   名前	任意の文字列を設定します。（例：SingleID）
   タイプ	ファイアウォールを選択
   リモートグループ	リモートサーバ：SingleID_RADIUS（RADIUSサーバの設定の手順3で設定したサーバの名前）　グループ：すべてを追加

   

4. OKを クリックします。

SSLVPNの設定

1. Fortigate 管理GUI＞VPN＞SSL-VPN設定画面へ移動します。

2. 以下の項目を設定し、適用ボタンをクリックします。

   設定項目	設定内容
   リッスンするインターフェース	FortiGateのWAN側のインターフェースです。環境により異なります。
   リッスンするポート	VPNクライアントが接続するポート番号です。ここでは、「10443」とします。
   サーバ証明書	VPNのサーバ認証のためのサーバ証明書を指定します。ここでは、「Fortinet_Factory」とします。
   認証ポータルマッピング	グループ：SingleID（ユーザグループの設定の手順3で設定したユーザグループ名）　ポータル：full-access すべてのその他のユーザ/グループ　ポータル：web-access

   

ポリシーの設定

1. SSLVPNの設定を適用すると、上部に以下のようなメッセージが表示されます。リンクをクリックし、ファイアウォールポリシーの設定を行います。表示されない場合には、Fortigate 管理GUI＞ポリシー＆オブジェクト＞ファイアウォールポリシーへ移動します。

   

2. 以下の項目を設定し、OKボタンをクリックします。

   設定項目	設定内容
   名前	任意の文字列です。（例：SSLVPN）
   着信インターフェース	SSL-VPN tunnel Interface (ssl.root)
   発信インターフェース	VPN接続が完了し、内部通信が行われるときの発信元のインターフェースです。 環境により異なります。
   発信元	アドレス：SSLVPN_TUNNEL_ADDR1　ユーザグループ：SingleID（ユーザグループの設定の手順3で設定したユーザグループ名）
   宛先	VPNでアクセスした通信に対して、許可したい宛先です。環境により異なります。
   サービス	all
   アクション	許可

   

動作確認方法

リモートアクセスVPNの認証（パスワード認証＋ワンタイムパスワード認証）

ソフトウェアトークンのインストール

ソフトウェアトークンとして、以下のiPhoneおよびAndroidのモバイルアプリが利用できます。どちらかのアプリをスマートフォンまたはタブレットへインストールします。

• FreeOTP
• Google Authenticator

SingleIDへソフトウェアトークンの登録

Warning

SingleIDへソフトウェアトークンの登録を行っていないユーザは、ワンタイムパスワードは無効となり、パスワードでの認証となります。

1. SingleIDのユーザ（参照）で、SingleIDのユーザポータルへログインします。
2. SingleID ユーザポータル＞オーセンティケーター画面へ移動します。

3. QRコードが表示されていることを確認します。

   

4. スマートフォンまたはタブレットへインストールしたソフトウェアトークンアプリを起動します。（ここでは、Google Authenticatorを利用します。）

5. ＋をクリックし、新規アカウントを追加します。

   

6. QRコードをスキャンをクリックし、ユーザポータルに表示されているQRコードを読み取ります。

   

7. アカウントを追加をクリックし、アカウントを追加します。

   

8. 表示されている数字をSingleID ユーザポータル＞オーセンティケーター画面のワンタイムコードへ入力し、保存ボタンをクリックし、オーセンティケーターを登録します。

   

   Info

   ソフトウェアトークンの6桁の数字の表示は、30秒ごとに変わります。変わる前に、オーセンティケーターの登録を完了させる必要があります。登録する途中で、ソフトウェアトークンの数字が変わってしまった場合には、変わった数字を登録します。

リモートアクセスクライアントのインストール

FortiGateのリモートアクセスクライアントである、FortiClientをインストールしていない場合には、以下よりダウンロードしてインストールします。

ダウンロード

接続先の設定

1. FortiClientを起動して、新規VPN接続を作成します。以下を設定します。

   設定項目	設定内容
   VPN	SSL-VPNを選択
   接続名	任意の文字列を設定します。（例：SingleID）
   リモートGW	VPNクライアントが接続するIPアドレスです。環境により異なります。
   ポートの編集	SSLVPNの設定の手順2で設定したリッスンするポートです。
   認証	ユーザ名入力を選択

   

2. 保存ボタンをクリックします。

VPN接続

1. VPN名称に、作成した接続先を選択します。

2. 以下の情報でログインを試みます。

   設定項目	設定内容
   ユーザ名	SingleIDのユーザの情報を参照
   パスワード	ユーザのパスワードとソフトウェアトークンに表示されたワンタイムパスワードを:（コロン）でつなげた文字列を入力します。（例：password:123456）

   

3. ログインが成功することを確認します。