リモートアクセスVPN グループによるアクセス制限-２要素認証（パスワード認証＋ワンタイムパスワード認証）

目的

SingleIDのユーザで、YAMAHA RTXへVPNを使ってリモートアクセスします。 接続する際の認証方式は、２要素認証（パスワード認証＋ワンタイムパスワード認証）です。

環境

ユーザの情報

ユーザ名	姓（英字）	名（英字）	メールアドレス
user1	user1	user1	user1@poc.singleid.jp

Info

メールアドレス: 受信可能なメールアドレスを指定してください。

グループの情報

グループ名	メンバー	動作
singleid-remote-access-users	user1	リモートアクセス可能

RADIUSの情報

設定に必要な情報	説明および情報取得の方法など
RADIUSサーバのホスト名	SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのホスト名です。
RADIUSサーバのIPアドレス	SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのIPアドレスです。
RADIUSサーバのポート番号	SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのRADIUSポート番号です。ここでは、デフォルトUDP1812を使用します。
RADIUSクライアントのIPアドレス	YAMAHA RTX側のグローバルIPアドレスです。インターネットに出ていくときの送信元のIPアドレスです。
RADIUSクライアントのシークレット	任意の文字列を設定します。ここでは、シークレットをyamahaとします。

設定方法

SingleIDの設定

管理者ポータルへログイン

1. SingleIDの管理者ポータルへログインします。

グループの作成

1. SingleID 管理者ポータル＞グループ画面へ移動します。
2. グループ追加をクリックします。グループ追加画面がポップアップします。
3. グループ名（参照）を入力し、登録ボタンをクリックします。

ユーザの作成

1. SingleID 管理者ポータル＞ユーザ画面へ移動します。
2. 登録ボタンをクリックします。ユーザ登録画面がポップアップします。
3. ユーザ登録画面の基本情報を入力します。作成するユーザは、ユーザの情報を参照します。 グループタブをクリックします。
4. 参加するグループ（参照）を選択し、登録ボタンをクリックします。

RADIUSの設定

1. SingleID 管理者ポータル＞認証＞RADIUS画面の簡易設定タブへ移動します。
2. カタログ表示ボタンをクリックします。
3. カタログからYAMAHA RTXシリーズの登録ボタンをクリックします。YAMAHA RTXシリーズ画面がポップアップします。

4. 基本情報タブに、以下を設定します。

   設定項目	設定内容
   有効/無効	有効
   サーバ	1
   ワンタイムパスワード強制	有効
   IP or ホスト名	RADIUSの情報のRADIUSクライアントのIPアドレスを参照
   シークレット	RADIUSの情報のRADIUSクライアントのシークレットを参照

   Info

   • サーバ: 選択するサーバの番号により、RADIUSサーバのポート番号が異なります。サーバが1の場合には、UDP1812です。SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのRADIUSポート番号にサーバの番号と通信ポート番号の対応が記載されています。

   • IP or ホスト名: ネットボランチDNSサービスを利用している場合には、IPアドレスではなく、ホスト名（FQDN）を設定することもできます。SingleIDは、15分に1回の頻度で、設定されたホスト名のDNS名前解決を実施し、IPアドレスが変更されている場合には、内部設定を更新します。そのため、ネットボランチDNSサービスのホスト名に関連づいたIPアドレスが変更された場合、内部設定が更新されるまでの最大15分間、RADIUSクライアントからRADIUSサーバへの接続に失敗します。

5. VPNアクセスの認証タブへ移動します。

6. 許可グループの設定で許可したいグループ（参照）をダブルクリックし、許可へ移動させます。
7. 登録ボタンをクリックします。

YAMAHA RTXの設定

RADIUSサーバの設定

1. SSHまたはTelnetで、ローカル管理者でYAMAHA RTXのCLIにログインします。

2. コマンドで以下を設定します。

   設定項目	設定内容
   RADIUSサーバのIPアドレス	RADIUSの情報のRADIUSサーバのIPアドレスを参照
   RADIUSサーバのポート番号	RADIUSの情報のRADIUSサーバのポート番号を参照
   RADIUSクライアントのシークレット	RADIUSの情報のRADIUSクライアントのシークレットを参照

   Info

   RADIUSサーバのIPアドレス: YAMAHA RTXが、設定できるRADIUSサーバは１つのみです。SingleIDのRADIUSは、すでに負荷分散装置で冗長構成となっているため、RADIUSのプライマリまたはセカンダリのどちらかのIPのみを登録いただいても十分な可用性を発揮します。

   radius auth on
   radius auth server <RADIUSサーバのIPアドレス>
   radius auth port <RADIUSサーバのポート番号>
   radius secret <RADIUSクライアントのシークレット>
   

リモートアクセスユーザの認証の設定

1. YAMAHA RTX GUI＞かんたん設定＞VPN＞リモートアクセス画面へ移動します。
2. リモートアクセスVPNの設定を新規作成します。新規ボタンをクリックします。共通設定画面へ移動します。

3. 以下を設定します。次へボタンをクリックします。ユーザの登録画面へ移動します。

   設定項目	設定内容
   接続種別	L2TP/IPSecを使用する
   認証鍵	RADIUSの情報のRADIUSクライアントのシークレットを参照
   認証アルゴリズム	HMAC-SHA
   暗号アルゴリズム	AES-CBC
   ユーザ認証方式	CHAPまたはPAP

4. 一時的に適当な名前とパスワードでユーザを登録します。次へボタンをクリックします。入力内容の確認画面へ移動します。

   Warning

   SingleIDに登録されたユーザでリモートアクセスを行いますが、YAMAHA RTXでリモートアクセスVPNの設定をGUIで完了するには、少なくとも１ユーザのユーザ登録が必要です。ここで登録したユーザは、後で、CLIから削除してもよいですし、削除しない場合には、複雑なパスワードを設定しておくことをお勧めします。

5. 設定内容を確認し、設定の確定ボタンをクリックし、設定を完了します。

Info

YAMAHA RTXの設定については、L2TP/IPsecを使用したリモートアクセス : Web GUI設定を参考にさせていただきました。

動作確認方法

リモートアクセスVPNの認証（パスワード認証＋ワンタイムパスワード認証）

ソフトウェアトークンのインストール

ソフトウェアトークンとして、以下のiPhoneおよびAndroidのモバイルアプリが利用できます。どちらかのアプリをスマートフォンまたはタブレットへインストールします。

• FreeOTP
• Google Authenticator

SingleIDへソフトウェアトークンの登録

Warning

SingleIDへソフトウェアトークンの登録を行っていないユーザは、ワンタイムパスワードは無効となり、パスワードでの認証となります。

1. SingleIDのユーザ（参照）で、SingleIDのユーザポータルへログインします。
2. SingleID ユーザポータル＞オーセンティケーター画面へ移動します。

3. QRコードが表示されていることを確認します。

   

4. スマートフォンまたはタブレットへインストールしたソフトウェアトークンアプリを起動します。（ここでは、Google Authenticatorを利用します。）

5. ＋をクリックし、新規アカウントを追加します。

   

6. QRコードをスキャンをクリックし、ユーザポータルに表示されているQRコードを読み取ります。

   

7. アカウントを追加をクリックし、アカウントを追加します。

   

8. 表示されている数字をSingleID ユーザポータル＞オーセンティケーター画面のワンタイムコードへ入力し、保存ボタンをクリックし、オーセンティケーターを登録します。

   

   Info

   ソフトウェアトークンの6桁の数字の表示は、30秒ごとに変わります。変わる前に、オーセンティケーターの登録を完了させる必要があります。登録する途中で、ソフトウェアトークンの数字が変わってしまった場合には、変わった数字を登録します。

Windows 10/11 の場合

1. Windowsの設定＞ネットワークとインターネット画面へ移動します。
2. VPNをクリックします。

3. VPN接続を追加するをクリックします。

   

4. 以下を設定します。保存ボタンをクリックします。

   設定項目	設定内容
   接続名	任意
   サーバまたはアドレス	RADIUSの情報のRADIUSクライアントのIPアドレスを参照
   VPNの種類	事前共有キーを使ったL2TP/IPSec
   事前共有キー	RADIUSの情報のRADIUSクライアントのシークレットを参照
   サインイン情報の種類	ユーザ名とパスワード

   Info

   サーバまたはアドレス: ネットボランチDNSサービスを利用している場合には、IPアドレスではなく、ホスト名（FQDN）を設定することもできます。

   

5. Windowsのネットワーク接続の設定画面を開きます。

6. 追加したVPN設定のプロパティを開きます。
7. セキュリティタブへ移動します。

8. 以下を設定します。OKをクリックし、VPNの設定は完了です。

   設定項目	設定内容
   次のプロトコルを許可する	選択
   暗号化されていないパスワード（PAP）
   チャレンジハンドシェイク認証プロトコル（CHAP）
   Microsoft CHAP Version2（MS-CHAP v2）

   

9. 設定したVPNの接続をクリックし、YAMAHA RTXへVPN接続を試みます。

   

10. 以下の情報でログインを試み、ログインが成功することを確認します。

    設定項目	設定内容
    ユーザ名	SingleIDのユーザの情報を参照
    パスワード	ユーザのパスワードとソフトウェアトークンに表示されたワンタイムパスワードを:（コロン）でつなげた文字列を入力します。（例：password:123456）

    

11. 接続成功したことを確認します。