リモートアクセスVPN-パスワード認証

目的

SingleIDのユーザで、FortiGateへVPNを使ってリモートアクセスします。 接続する際の認証方式は、パスワードです。

環境

ユーザの情報

ユーザ名	姓（英字）	名（英字）	メールアドレス
user1	user1	user1	user1@poc.singleid.jp

Info

メールアドレス: 受信可能なメールアドレスを指定してください。

グループの情報

グループ名	メンバー	動作
singleid-remote-access-users	user1	リモートアクセス可能

RADIUSの情報

設定に必要な情報	説明および情報取得の方法など
RADIUSサーバのホスト名	SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのホスト名です。
RADIUSサーバのIPアドレス	SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのIPアドレスです。
RADIUSサーバのポート番号	SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのRADIUSポート番号です。ここでは、デフォルトUDP1812を使用します。
RADIUSクライアントのIPアドレス	FortiGate側のグローバルIPアドレスです。インターネットに出ていくときの送信元のIPアドレスです。
RADIUSクライアントのシークレット	任意の文字列を設定します。ここでは、シークレットをfortigateとします。

設定方法

SingleIDの設定

管理者ポータルへログイン

1. SingleIDの管理者ポータルへログインします。

グループの作成

1. SingleID 管理者ポータル＞グループ画面へ移動します。
2. グループ追加をクリックします。グループ追加画面がポップアップします。
3. グループ名（参照）を入力し、登録ボタンをクリックします。

ユーザの作成

1. SingleID 管理者ポータル＞ユーザ画面へ移動します。
2. 登録ボタンをクリックします。ユーザ登録画面がポップアップします。
3. ユーザ登録画面の基本情報を入力します。作成するユーザは、ユーザの情報を参照します。 グループタブをクリックします。
4. 参加するグループ（参照）を選択し、登録ボタンをクリックします。

RADIUSの設定

1. SingleID 管理者ポータル＞認証＞RADIUS画面の簡易設定タブへ移動します。
2. カタログ表示ボタンをクリックします。
3. カタログからFortiGate NGFWの登録ボタンをクリックします。FortiGate NGFW画面がポップアップします。

4. 基本情報タブに、以下を設定します。

   設定項目	設定内容
   有効/無効	有効
   サーバ	1
   ワンタイムパスワード強制	無効
   IP or ホスト名	RADIUSの情報のRADIUSクライアントのIPアドレスを参照
   シークレット	RADIUSの情報のRADIUSクライアントのシークレットを参照

   Info

   選択するサーバの番号により、RADIUSサーバのポート番号が異なります。サーバが1の場合には、UDP1812です。SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのRADIUSポート番号にサーバの番号と通信ポート番号の対応が記載されています。

5. VPNアクセスの認証タブへ移動します。

6. 許可グループの設定で許可したいグループ（参照）をダブルクリックし、許可へ移動させます。
7. 登録ボタンをクリックします。

FortiGateの設定

ローカル管理者でログイン

1. Fortigate 管理GUI https://FortiGateの管理IPアドレス/ へアクセスします。
2. ローカル管理者のユーザ名、パスワードを入力し、ログインをクリックします。

RADIUSサーバの設定

1. Fortigate 管理GUI＞ユーザ＆認証＞RADIUSサーバ画面へ移動します。
2. 新規作成ボタンをクリックします。新規RADIUSサーバ設定画面がポップアップします。

3. 以下を設定します。

   設定項目	設定内容
   プライマリサーバ/セカンダリサーバ
   名前	任意の文字列を設定します。（例：SingleID_RADIUS）
   IP/名前	RADIUSの情報のRADIUSサーバのIPアドレスを参照
   シークレット	RADIUSの情報のRADIUSクライアントのシークレットを参照

   Info

   接続をテストボタンをクリックし、接続が成功しない場合には、以下をご確認ください。

   • 設定内容が間違いないこと
   • FortiGateからSingleIDのRADIUSサーバのIPアドレスへ接続可能であること

   Warning

   SingleIDのRADIUSサーバでは、FortiGateのVPNアクセスや管理アクセスのみ認証可能となるように制限をかけているため、ユーザクレデンシャルをテストボタンをクリックし、正しいユーザ情報を入力しても成功となりませんが、問題ではありません。

   

4. OKボタンをクリックします。

ユーザグループの設定

1. Fortigate 管理GUI＞ユーザ＆認証＞ユーザグループ画面へ移動します。
2. 新規作成ボタンをクリックします。新規ユーザグループ画面がポップアップします。

3. 以下を設定します。

   設定項目	設定内容
   名前	任意の文字列を設定します。（例：SingleID）
   タイプ	ファイアウォールを選択
   リモートグループ	リモートサーバ：SingleID_RADIUS（RADIUSサーバの設定の手順3で設定したサーバの名前）　グループ：すべてを追加

   

4. OKを クリックします。

VPNの設定

1. Fortigate 管理GUI＞VPN＞IPsecウィザード画面へ移動します。
2. 新規作成＞管理者ボタンをクリックします。

3. 以下の項目を設定し、次へボタンをクリックします。

   設定項目	設定内容
   名前	任意の文字列を設定します。（例：IPsecVPN）
   テンプレートタイプ	リモートアクセスを選択
   リモートデバイスタイプ	クライアントベース　FortiClientを選択

   

4. 以下の項目を設定し、次へボタンをクリックします。

   設定項目	設定内容
   着信インターフェース	FortiGateのWAN側のインターフェースです。環境により異なります。
   認証方式	事前共有鍵を選択
   事前共有鍵	任意の文字列を設定します。ここでは、事前共有鍵をfortigateとします。
   ユーザグループ	SingleID（ユーザグループの設定の手順3で設定したユーザグループの名前）を選択

   

5. 以下の項目を設定し、次へボタンを クリックします。

   設定項目	設定内容
   ローカルインターフェース	FortiGateのLAN側のインターフェースです。環境により異なります。
   ローカルアドレス	LAN側ネットワークを指定（例：internal）
   クライアントアドレス範囲	VPNクライアントに割り当てるIPアドレスの範囲です。環境により異なります。
   サブネットマスク	255.255.255.255

   

6. 次へボタンをクリックします。

   

7. 設定を確認し、作成ボタンをクリックします。

動作確認方法

リモートアクセスVPNの認証（パスワード認証）

リモートアクセスクライアントのインストール

FortiGateのリモートアクセスクライアントである、FortiClientをインストールしていない場合には、以下よりダウンロードしてインストールします。

ダウンロード

接続先の設定

1. FortiClientを起動して、新規VPN接続を作成します。以下を設定します。

   設定項目	設定内容
   VPN	IPsec VPNを選択
   接続名	任意の文字列を設定します。（例：SingleID）
   リモートGW	VPNクライアントが接続するIPアドレスです。環境により異なります。
   認証方法	事前共有鍵を選択
   事前共有鍵	VPNの設定の手順4で設定した事前共有鍵
   認証（XAuth）	ユーザ名入力を選択

   

2. 保存ボタンをクリックします。

VPN接続

1. VPN名称に、作成した接続先を選択します。

2. SingleIDのユーザ（参照）でログインを試みます。

   

3. ログインが成功することを確認します。