リモートアクセスVPN-パスワード認証

目的

SingleIDのユーザで、FireboxへVPNを使ってリモートアクセスします。 接続する際の認証方式は、パスワードです。

環境

ユーザの情報

ユーザ名	姓（英字）	名（英字）	メールアドレス
user1	user1	user1	user1@poc.singleid.jp

Info

メールアドレス: 受信可能なメールアドレスを指定してください。

グループの情報

グループ名	メンバー	動作
singleid-remote-access-users	user1	リモートアクセス可能

RADIUSの情報

設定に必要な情報	説明および情報取得の方法など
RADIUSサーバのホスト名	SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのホスト名です。
RADIUSサーバのIPアドレス	SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのIPアドレスです。
RADIUSサーバのポート番号	SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのRADIUSポート番号です。ここでは、デフォルトUDP1812を使用します。
RADIUSクライアントのIPアドレス	Firebox側のグローバルIPアドレスです。インターネットに出ていくときの送信元のIPアドレスです。
RADIUSクライアントのシークレット	任意の文字列を設定します。ここでは、シークレットをfireboxとします。

設定方法

SingleIDの設定

管理者ポータルへログイン

1. SingleIDの管理者ポータルへログインします。

グループの作成

1. SingleID 管理者ポータル＞グループ画面へ移動します。
2. グループ追加をクリックします。グループ追加画面がポップアップします。
3. グループ名（参照）を入力し、登録ボタンをクリックします。

ユーザの作成

1. SingleID 管理者ポータル＞ユーザ画面へ移動します。
2. 登録ボタンをクリックします。ユーザ登録画面がポップアップします。
3. ユーザ登録画面の基本情報を入力します。作成するユーザは、ユーザの情報を参照します。 グループタブをクリックします。
4. 参加するグループ（参照）を選択し、登録ボタンをクリックします。

RADIUSの設定

1. SingleID 管理者ポータル＞認証＞RADIUS画面の簡易設定タブへ移動します。
2. カタログ表示ボタンをクリックします。
3. カタログからFireboxの登録ボタンをクリックします。Firebox画面がポップアップします。

4. 基本情報タブに、以下を設定します。

   設定項目	設定内容
   有効/無効	有効
   サーバ	1
   ワンタイムパスワード強制	無効
   IP or ホスト名	RADIUSの情報のRADIUSクライアントのIPアドレスを参照
   シークレット	RADIUSの情報のRADIUSクライアントのシークレットを参照

   Info

   選択するサーバの番号により、RADIUSサーバのポート番号が異なります。サーバが1の場合には、UDP1812です。SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのRADIUSポート番号にサーバの番号と通信ポート番号の対応が記載されています。

5. その他の認証タブへ移動します。

6. 許可グループの設定で許可したいグループ（参照）をダブルクリックし、許可へ移動させます。
7. グループ名には、Fireboxのグループ名を入力します。認証成功したユーザは、ここで指定したグループのメンバーとなります。ここでは、vpngroupを設定します。
8. 登録ボタンをクリックします。

Fireboxの設定

ローカル管理者でログイン

1. Firebox 管理GUI https://Fireboxの管理用IP:8080/ へアクセスします。
2. ローカル管理者のユーザ名、パスフレーズを入力し、ログインをクリックします。

RADIUSサーバの設定

1. Firebox 管理GUI＞認証＞サーバー画面へ移動します。
2. RADIUSをクリックします。
3. 追加ボタンをクリックします。RADIUSサーバの設定画面が表示されます。

4. 以下を設定します。

   設定項目	設定内容
   プライマリサーバーの設定/バックアップサーバーの設定
   ドメイン名	任意（例：SingleID_RADIUS）
   RADIUS サーバーの有効化	有効
   IP アドレス	RADIUSの情報のRADIUSサーバのIPアドレスを参照
   ポート	RADIUSの情報のRADIUSサーバのポート番号を参照
   共有シークレット	RADIUSの情報のRADIUSクライアントのシークレットを参照
   グループ属性	11（デフォルト値の11は、Filter-Id属性です。）

5. 保存ボタンをクリックして設定を保存します。

グループの登録

1. Firebox 管理GUI＞認証＞ユーザーおよびグループ画面へ移動します。
2. 追加ボタンをクリックします。ユーザーまたはグループの追加画面が表示されます。

3. 以下を設定します。

   設定項目	設定内容
   種類	グループ
   名前	vpngroup（RADIUSの設定の手順7で設定したグループ名です。）
   説明	任意
   認証サーバー	SingleID_RADIUS（RADIUSサーバの設定の手順4で設定したドメイン名です。）を選択

4. 保存ボタンをクリックします。

リモートアクセスVPN（IKEv2）の設定

1. Firebox 管理GUI＞VPN＞Mobile VPN画面へ移動します。
2. IKEv2のウィザードを起動ボタンをクリックします。

3. 以下を設定します。

   設定項目	設定内容
   クライアント接続のサーバーアドレスを指定	ExternalインターフェースのIPを指定
   ユーザー認証サーバーを選択	SingleID_RADIUS（RADIUSサーバの設定の手順4で設定したドメイン名です。）を選択し、上に移動させます。
   ユーザーとグループを追加	vpngroup（グループの登録の手順3で設定したグループ名です。）を選択
   仮想 IP アドレス プールを定義	デフォルト値を利用可能（接続したVPNクライアントに割り振るIP範囲を設定します。）

4. 終了ボタンをクリックします。

クライアントプロファイルのダウンロード

1. Firebox 管理GUI＞VPN＞Mobile VPN画面へ移動します。
2. IKEv2のクライアントプロファイルボタンをクリックします。
3. 任意のVPN接続名を入力し、ダウンロードボタンをクリックします。VPN接続の設定ファイル（VPN接続名.tgz）をダウンロードします。
4. 圧縮されたVPN接続の設定ファイル（VPN接続名.tgz）を解凍します。

ファイアウォールポリシーの確認

1. Firebox 管理GUI＞ファイアウォール＞ファイアウォールポリシー画面へ移動します。
2. IKEv2のウィザードにより、自動的に、Allow IKEv2-Usersポリシーが作成されていることを確認します。

Warning

Allow IKEv2-Usersポリシーの送信元のIKEv2-Usersグループには、Mobile VPN with IKEv2で接続成功したすべてのユーザーおよびグループが含まれています。そのため、意図に反して、すべてのモバイルユーザーがそのポリシーで指定されたリソースにアクセスできるようになってしまいます。vpngroupグループのような特定のグループに対してのみ適用するポリシーを作成することをお勧めします。詳しくは、IKEv2 ポリシーについてを参照ください。

動作確認方法

VPN接続の設定

1. クライアントプロファイルのダウンロードで入手したVPN接続の設定ファイルを解凍したフォルダ内に、Windows_8.1_10フォルダがあります。その中にあるbatファイル（ファイル拡張子がbatのファイル）をダブルクリックして実行します。
2. 表示されるメッセージに従います。
3. Windowsの設定＞ネットワーク＞VPN画面へ移動します。VPN接続の設定が作成されていることを確認します。

Warning

VPN接続の設定には、管理者権限が必要となります。

リモートアクセスVPNの認証（パスワード認証）

1. Windowsの設定＞ネットワーク＞VPN画面へ移動します。

2. 作成されたVPN接続の接続ボタンをクリックします。

   

3. SingleIDのユーザの認証情報を入力し、OKボタンをクリックします。

   

4. RADIUS認証が行われて、接続が成功したことが確認できます。