リモートアクセスVPN グループによるアクセス制限-パスワード認証
目的
SingleIDのユーザで、YAMAHA RTXへVPNを使ってリモートアクセスします。 接続する際の認証方式は、パスワードです。
環境
ユーザの情報
ユーザ名 | 姓(英字) | 名(英字) | メールアドレス |
---|---|---|---|
user1 | user1 | user1 | user1@poc.singleid.jp |
Info
メールアドレス: 受信可能なメールアドレスを指定してください。
グループの情報
グループ名 | メンバー | 動作 |
---|---|---|
singleid-remote-access-users | user1 | リモートアクセス可能 |
RADIUSの情報
設定に必要な情報 | 説明および情報取得の方法など |
---|---|
RADIUSサーバのホスト名 | SingleID 管理者ポータル>認証>RADIUS画面の基本情報タブのホスト名です。 |
RADIUSサーバのIPアドレス | SingleID 管理者ポータル>認証>RADIUS画面の基本情報タブのIPアドレスです。 |
RADIUSサーバのポート番号 | SingleID 管理者ポータル>認証>RADIUS画面の基本情報タブのRADIUSポート番号です。ここでは、デフォルトUDP1812を使用します。 |
RADIUSクライアントのIPアドレス | YAMAHA RTX側のグローバルIPアドレスです。インターネットに出ていくときの送信元のIPアドレスです。 |
RADIUSクライアントのシークレット | 任意の文字列を設定します。ここでは、シークレットをyamahaとします。 |
設定方法
SingleIDの設定
管理者ポータルへログイン
- SingleIDの管理者ポータルへログインします。
グループの作成
- SingleID 管理者ポータル>グループ画面へ移動します。
- グループ追加をクリックします。グループ追加画面がポップアップします。
- グループ名(参照)を入力し、登録ボタンをクリックします。
ユーザの作成
- SingleID 管理者ポータル>ユーザ画面へ移動します。
- 登録ボタンをクリックします。ユーザ登録画面がポップアップします。
- ユーザ登録画面の基本情報を入力します。作成するユーザは、ユーザの情報を参照します。 グループタブをクリックします。
- 参加するグループ(参照)を選択し、登録ボタンをクリックします。
RADIUSの設定
- SingleID 管理者ポータル>認証>RADIUS画面の簡易設定タブへ移動します。
- カタログ表示ボタンをクリックします。
- カタログからYAMAHA RTXシリーズの登録ボタンをクリックします。YAMAHA RTXシリーズ画面がポップアップします。
-
基本情報タブに、以下を設定します。
設定項目 設定内容 有効/無効 有効 サーバ 1 ワンタイムパスワード強制 無効 IP or ホスト名 RADIUSの情報のRADIUSクライアントのIPアドレスを参照 シークレット RADIUSの情報のRADIUSクライアントのシークレットを参照 Info
-
サーバ: 選択するサーバの番号により、RADIUSサーバのポート番号が異なります。サーバが1の場合には、UDP1812です。SingleID 管理者ポータル>認証>RADIUS画面の基本情報タブのRADIUSポート番号にサーバの番号と通信ポート番号の対応が記載されています。
-
IP or ホスト名: ネットボランチDNSサービスを利用している場合には、IPアドレスではなく、ホスト名(FQDN)を設定することもできます。SingleIDは、15分に1回の頻度で、設定されたホスト名のDNS名前解決を実施し、IPアドレスが変更されている場合には、内部設定を更新します。そのため、ネットボランチDNSサービスのホスト名に関連づいたIPアドレスが変更された場合、内部設定が更新されるまでの最大15分間、RADIUSクライアントからRADIUSサーバへの接続に失敗します。
-
-
VPNアクセスの認証タブへ移動します。
- 許可グループの設定で許可したいグループ(参照)をダブルクリックし、許可へ移動させます。
- 登録ボタンをクリックします。
YAMAHA RTXの設定
RADIUSサーバの設定
- SSHまたはTelnetで、ローカル管理者でYAMAHA RTXのCLIにログインします。
-
コマンドで以下を設定します。
設定項目 設定内容 RADIUSサーバのIPアドレス RADIUSの情報のRADIUSサーバのIPアドレスを参照 RADIUSサーバのポート番号 RADIUSの情報のRADIUSサーバのポート番号を参照 RADIUSクライアントのシークレット RADIUSの情報のRADIUSクライアントのシークレットを参照 Info
RADIUSサーバのIPアドレス: YAMAHA RTXが、設定できるRADIUSサーバは1つのみです。SingleIDのRADIUSは、すでに負荷分散装置で冗長構成となっているため、RADIUSのプライマリまたはセカンダリのどちらかのIPのみを登録いただいても十分な可用性を発揮します。
1 2 3 4
radius auth on radius auth server <RADIUSサーバのIPアドレス> radius auth port <RADIUSサーバのポート番号> radius secret <RADIUSクライアントのシークレット>
リモートアクセスユーザの認証の設定
- YAMAHA RTX GUI>かんたん設定>VPN>リモートアクセス画面へ移動します。
- リモートアクセスVPNの設定を新規作成します。新規ボタンをクリックします。共通設定画面へ移動します。
-
以下を設定します。次へボタンをクリックします。ユーザの登録画面へ移動します。
設定項目 設定内容 接続種別 L2TP/IPSecを使用する 認証鍵 RADIUSの情報のRADIUSクライアントのシークレットを参照 認証アルゴリズム HMAC-SHA 暗号アルゴリズム AES-CBC ユーザ認証方式 CHAPまたはPAP -
一時的に適当な名前とパスワードでユーザを登録します。次へボタンをクリックします。入力内容の確認画面へ移動します。
Warning
SingleIDに登録されたユーザでリモートアクセスを行いますが、YAMAHA RTXでリモートアクセスVPNの設定をGUIで完了するには、少なくとも1ユーザのユーザ登録が必要です。ここで登録したユーザは、後で、CLIから削除してもよいですし、削除しない場合には、複雑なパスワードを設定しておくことをお勧めします。
-
設定内容を確認し、設定の確定ボタンをクリックし、設定を完了します。
Info
YAMAHA RTXの設定については、L2TP/IPsecを使用したリモートアクセス : Web GUI設定を参考にさせていただきました。
動作確認方法
リモートアクセスVPNの認証(パスワード認証)
Windows 10/11 の場合
- Windowsの設定>ネットワークとインターネット画面へ移動します。
- VPNをクリックします。
-
VPN接続を追加するをクリックします。
-
以下を設定します。保存ボタンをクリックします。
設定項目 設定内容 接続名 任意 サーバまたはアドレス RADIUSの情報のRADIUSクライアントのIPアドレスを参照 VPNの種類 事前共有キーを使ったL2TP/IPSec 事前共有キー RADIUSの情報のRADIUSクライアントのシークレットを参照 サインイン情報の種類 ユーザ名とパスワード Info
サーバまたはアドレス: ネットボランチDNSサービスを利用している場合には、IPアドレスではなく、ホスト名(FQDN)を設定することもできます。
-
Windowsのネットワーク接続の設定画面を開きます。
- 追加したVPN設定のプロパティを開きます。
- セキュリティタブへ移動します。
-
以下を設定します。OKをクリックし、VPNの設定は完了です。
設定項目 設定内容 次のプロトコルを許可する 選択 暗号化されていないパスワード(PAP) チャレンジハンドシェイク認証プロトコル(CHAP) Microsoft CHAP Version2(MS-CHAP v2) -
設定したVPNの接続をクリックし、YAMAHA RTXへVPN接続を試みます。
-
SingleIDのユーザ(参照)の認証情報を入力し、OKボタンをクリックします。
-
接続成功したことを確認します。