リモートアクセスVPN-パスワード認証

目的

SingleIDのユーザで、Sophos FirewallへVPNを使ってリモートアクセスします。 接続する際の認証方式は、パスワードです。

環境

ユーザの情報

ユーザ名	姓（英字）	名（英字）	メールアドレス
user1	user1	user1	user1@poc.singleid.jp

Info

メールアドレス: 受信可能なメールアドレスを指定してください。

グループの情報

グループ名	メンバー	動作
singleid-remote-access-users	user1	リモートアクセス可能

RADIUSの情報

設定に必要な情報	説明および情報取得の方法など
RADIUSサーバのホスト名	SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのホスト名です。
RADIUSサーバのIPアドレス	SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのIPアドレスです。
RADIUSサーバのポート番号	SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのRADIUSポート番号です。ここでは、デフォルトUDP1812を使用します。
RADIUSクライアントのIPアドレス	Sophos Firewall側のグローバルIPアドレスです。インターネットに出ていくときの送信元のIPアドレスです。
RADIUSクライアントのシークレット	任意の文字列を設定します。ここでは、シークレットをsophosとします。

設定方法

SingleIDの設定

管理者ポータルへログイン

1. SingleIDの管理者ポータルへログインします。

グループの作成

1. SingleID 管理者ポータル＞グループ画面へ移動します。
2. グループ追加をクリックします。グループ追加画面がポップアップします。
3. グループ名（参照）を入力し、登録ボタンをクリックします。

ユーザの作成

1. SingleID 管理者ポータル＞ユーザ画面へ移動します。
2. 登録ボタンをクリックします。ユーザ登録画面がポップアップします。
3. ユーザ登録画面の基本情報を入力します。作成するユーザは、ユーザの情報を参照します。 グループタブをクリックします。
4. 参加するグループ（参照）を選択し、登録ボタンをクリックします。

RADIUSの設定

1. SingleID 管理者ポータル＞認証＞RADIUS画面の簡易設定タブへ移動します。
2. カタログ表示ボタンをクリックします。
3. カタログからSophos Firewallの登録ボタンをクリックします。Sophos Firewall画面がポップアップします。

4. 基本情報タブに、以下を設定します。

   設定項目	設定内容
   有効/無効	有効
   サーバ	1
   ワンタイムパスワード強制	無効
   IP or ホスト名	RADIUSの情報のRADIUSクライアントのIPアドレスを参照
   シークレット	RADIUSの情報のRADIUSクライアントのシークレットを参照

   Info

   選択するサーバの番号により、RADIUSサーバのポート番号が異なります。サーバが1の場合には、UDP1812です。SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのRADIUSポート番号にサーバの番号と通信ポート番号の対応が記載されています。

5. その他の認証タブへ移動します。

6. 許可グループの設定で許可したいグループ（参照）をダブルクリックし、許可へ移動させます。
7. グループ名には、Sophos Firewallのグループ名を入力します。認証成功したユーザは、ここで指定したグループのメンバーとなります。指定しない場合には、Open Groupのメンバーとなります。ここでは、vpngroupを設定します。
8. 登録ボタンをクリックします。

Sophos Firewallの設定

ローカル管理者でログイン

1. Sophos Firewall 管理GUI https://Sophosの管理用IP:4444/ へアクセスします。
2. ローカル管理者のユーザ名、パスワードを入力し、ログインをクリックします。

RADIUSサーバの設定

1. Sophos Firewall 管理GUI＞設定＞認証＞サーバー画面へ移動します。
2. 追加ボタンをクリックします。認証サーバの設定画面が表示されます。

3. 以下を設定します。

   設定項目	設定内容
   サーバの種類	RADIUSサーバー
   サーバ名	任意（例：SingleID_RADIUS）
   サーバーIP	RADIUSの情報のRADIUSサーバのIPアドレスを参照
   認証ポート	RADIUSの情報のRADIUSサーバのポート番号を参照
   共有シークレット	RADIUSの情報のRADIUSクライアントのシークレットを参照
   グループ名の属性	Filter-Id

4. 接続のテストボタンをクリックし、SingleIDのユーザの認証情報を入力し、RADIUS認証が成功することを確認します。

5. 成功が確認出来たら保存ボタンをクリックして設定を保存します。

サービスの認証方法の設定

1. Sophos Firewall 管理GUI＞設定＞認証＞サービス画面へ移動します。

2. 以下を設定します。

   設定項目	設定内容
   ユーザーポータルの認証方法	RADIUSサーバの設定で追加した認証サーバを選択します。ユーザポータルからユーザ自身でSophos Connect（VPNクライアントソフトウェア）をダウンロードするために、ユーザポータルへアクセス可能とするためです。
   VPN (IPsec/dial-in/L2TP/PPTP) 認証方法	RADIUSサーバの設定で追加した認証サーバを選択します。

グループの登録

1. Sophos Firewall 管理GUI＞設定＞認証＞グループ画面へ移動します。

2. 追加ボタンをクリックし、以下を設定します。

   設定項目	設定内容
   グループ名	vpngroup（RADIUSの設定の手順3で設定したグループ名です。）
   グループの種類	ノーマルを選択
   ネット閲覧クォータ	Unlimited Internet Accessを選択
   アクセス時間	Allowed all the timeを選択
   IPsec リモートアクセス	有効を選択

3. 保存ボタンをクリックします。

リモートアクセスVPN（IPSec）の設定

1. Sophos Firewall 管理GUI＞設定＞リモートアクセスVPN＞IPSec画面へ移動します。

2. 以下を設定します。

   設定項目	設定内容
   全般設定
   IPsec リモートアクセス	有効
   インターフェース	WAN側のインターフェースを選択
   IPsec プロファイル	DefaultRemoteAccess
   認証タイプ	事前共有鍵
   事前共有鍵	任意
   許可するユーザーとグループ	vpngroup（グループの設定で登録したグループ名です。）
   クライアント情報
   名前	任意（例：SingleID_IPsec）
   IPの割り当て先	接続したVPNクライアントに割り振るIP範囲を設定します。
   DNS サーバー 1	接続したVPNクライアントに割り振るDNSサーバを設定します。
   DNS サーバー 2	接続したVPNクライアントに割り振るDNSサーバを設定します。
   詳細設定
   デフォルトのゲートウェイとして使用	VPN接続した際に、インターネット通信を含むすべての通信をSophos Firewallを経由させたい場合に、有効します。
   許可するネットワークリソース (IPv4)	デフォルトのゲートウェイとして使用を無効にした場合には、接続可能なLAN側のネットワークを設定します。

3. 適用ボタンをクリックします。

4. 接続のエクスポートボタンをクリックし、VPN接続の設定ファイル（.tar.gz）をダウンロードします。
5. 圧縮されたVPN接続の設定ファイル（.tar.gz）を解凍します。

ファイアウォールルールの作成

1. Sophos Firewall 管理GUI＞保護＞ルールとポリシー＞ファイアウォールルール画面へ移動します。
2. ファイアウォールルールの追加＞新しいファイアウォールルールボタンをクリックします。
3. VPNクライアントからアクセスしたいリソースへのルールを設定します。

動作確認方法

Sophos Firewall ユーザポータルへログイン

1. Sophos Firewall ユーザポータル https://SophosのIP/ へアクセスします。
2. SingleIDのユーザ（参照）でログインします。

Sophos Connect（VPNクライアントソフトウェア）のダウンロードおよびインストール

1. Sophos Firewall ユーザポータル＞VPN画面へ移動します。

2. Download for Windowsをクリックし、インストールファイル（SophosConnect_2.2.75_(IPsec_and_SSLVPN).msi）をダウンロードします。

   

3. インストールファイル（SophosConnect_2.2.75_(IPsec_and_SSLVPN).msi）をダブルクリックして、インストールします。インストールには、Windowsの管理者権限が必要です。

VPN接続の設定ファイルのインポート

1. Sophos Connectを起動します。

2. 接続のインポートをクリックします。

   

3. リモートアクセスVPN（IPSec）の設定の手順5で解凍したVPN接続の設定ファイルを選択します。

リモートアクセスVPNの認証（パスワード認証）

1. Sophos Connectを起動します。

2. インポートしたVPN接続を選択し、接続ボタンをクリックします。

   

3. SingleIDのユーザの認証情報を入力し、サインインボタンをクリックします。

   

4. RADIUS認証が行われて、接続が成功したことが確認できます。