リモートアクセスVPN-2要素認証（パスワード認証＋ワンタイムパスワード認証）

文書更新日:2025-04-09

目的

SingleIDのユーザで、YAMAHA RTXへVPNを使ってリモートアクセスします。
接続する際の認証方式は、2要素認証（パスワード認証＋ワンタイムパスワード認証）です。
SingleIDの拡張RADIUSサーバを利用します。
ユーザ/グループによるアクセス制限をします。

設定方法

SingleIDのグループの作成

SingleID 管理者ポータル＞グループ画面へ移動します。
グループ追加をクリックします。グループ追加画面がポップアップします。
グループ名を入力し、登録ボタンをクリックします。

SingleIDのユーザの作成

SingleID 管理者ポータル＞ユーザ画面へ移動します。
登録ボタンをクリックします。ユーザ登録画面がポップアップします。
ユーザ登録画面の基本情報を入力します。グループタブをクリックします。
メンバーとなるグループを選択し、登録ボタンをクリックします。

SingleIDの拡張RADIUSサーバの登録

SingleID 管理者ポータル＞認証＞RADIUS＞基本設定タブへ移動します。

拡張RADIUSサーバ＞RADIUSポート番号の登録ボタンをクリックします。拡張RADIUSサーバの登録画面がポップアップします。

設定項目	設定内容
使用するプロトコル	UDPを選択します。
シークレット	任意の文字列を設定します。英大文字、英小文字、数字、記号を組み合わせて、最低でも14文字以上の複雑な文字列を設定することをお勧めします。

登録ボタンをクリックします。専用のRADIUSポート番号が割り当てれます。

YAMAHA RTXのRADIUSサーバの設定

SSHまたはTelnetで、ローカル管理者でYAMAHA RTXのCLIにログインします。

コマンドで以下を設定します。

設定項目	設定内容
RADIUSサーバのプライマリIPアドレス	SingleID 管理者ポータル＞認証＞RADIUS＞基本情報タブの拡張RADIUSサーバ＞IPアドレスのプライマリです。
RADIUSサーバのセカンダリIPアドレス	SingleID 管理者ポータル＞認証＞RADIUS＞基本情報タブの拡張RADIUSサーバ＞IPアドレスのセカンダリです。
RADIUSサーバのポート番号	SingleID 管理者ポータル＞認証＞RADIUS＞基本情報タブの拡張RADIUSサーバ＞RADIUSポート番号のポート番号です。
RADIUSクライアントのシークレット	SingleIDの拡張RADIUSサーバの登録の手順のシークレットに設定した文字列です。

radius auth on
radius auth server <RADIUSサーバのプライマリIPアドレス> <RADIUSサーバのセカンダリIPアドレス>
radius auth port <RADIUSサーバのポート番号>
radius secret <RADIUSクライアントのシークレット>

YAMAHA RTXのリモートアクセスユーザの認証の設定

YAMAHA RTX GUI＞かんたん設定＞VPN＞リモートアクセス画面へ移動します。
リモートアクセスVPNの設定を新規作成します。新規ボタンをクリックします。共通設定画面へ移動します。

以下を設定します。次へボタンをクリックします。ユーザの登録画面へ移動します。

設定項目	設定内容
接続種別	L2TP/IPSecを使用するを選択します。
認証鍵	IPSec事前共有鍵として任意の文字列を設定します。
認証アルゴリズム	HMAC-SHAを選択します。
暗号アルゴリズム	AES-CBCを選択します。
ユーザ認証方式	PAPを選択します。

一時的に適当な名前とパスワードでユーザを登録します。次へボタンをクリックします。入力内容の確認画面へ移動します。

Warning

SingleIDに登録されたユーザでリモートアクセスを行いますが、YAMAHA RTXでリモートアクセスVPNの設定をGUIで完了するには、少なくとも１ユーザのユーザ登録が必要です。ここで登録したユーザは、後で、CLIから削除してもよいですし、削除しない場合には、複雑なパスワードを設定しておくことをお勧めします。
設定内容を確認し、設定の確定ボタンをクリックし、設定を完了します。

Info

YAMAHA RTXの設定については、L2TP/IPsecを使用したリモートアクセス : Web GUI設定を参考にさせていただきました。

サイト識別する属性の確認方法

YAMAHA RTXが送信するNAS-IP-Address属性およびNAS-Identifier属性の属性値を確認します。

動作確認方法に従って、認証を試みます。
認証が失敗します。
SingleID 管理者ポータル＞ログ＞RADIUS認証ログ画面へ移動します。
認証失敗したログのNAS-IPまたはNAS-IDの項目を確認します。NAS-IPが、NAS-IP-Address属性の属性値です。NAS-IDが、NAS-Identifier属性の属性値です。

SingleIDのRADIUSサイトの登録

SingleID 管理者ポータル＞認証＞RADIUS＞簡易設定タブへ移動します。
カタログ表示ボタンをクリックします。
カタログからYAMAHA RTXシリーズの登録ボタンをクリックします。YAMAHA RTXシリーズ画面がポップアップします。

基本情報タブに、以下を設定します。

設定項目	設定内容
有効/無効	有効を選択します。
サーバ	拡張を選択します。
サーバ番号	SingleIDの拡張RADIUSサーバの登録の手順で登録したサーバ番号を選択します。
サイト識別する属性	サイト識別する属性の確認方法の手順で確認できた属性を選択します。
属性値	サイト識別する属性の確認方法で確認できた属性の属性値を設定します。サイト識別する属性にNAS-IDを選択した場合、実際にネットワーク機器から送信される属性値に対して、ここの設定項目で設定した文字列で部分一致検索します。

Danger

サイト識別する属性にNAS-IP-Addressを設定したときには、属性値に、グローバルIPアドレスを設定しないでください。
サイト識別する属性の確認方法の手順で、NAS-IP-AddressとNAS-Identifierのどちらの属性も確認できた場合には、どちらかの設定のみ行ってください。どちらかの設定を行うときには、NAS-Identifier属性の設定を行うことをお勧めします。NAS-IP-Address属性は、機器の設定によっては動的に変わってしまう場合があります。

VPNアクセスの認証タブへ移動します。
許可したいユーザおよび許可したいグループをダブルクリックし、許可へ移動させます。

Info

2要素認証（OTP）のみ許可を有効にすると、2要素認証（OTP）以外の認証方式のアクセスを拒否します。
登録ボタンをクリックします。

動作確認方法

Windows端末から2要素認証（パスワード＋ワンタイムパスワード）によるリモートアクセスVPNの認証が可能なことを確認します。

ソフトウェアトークンのインストール

ソフトウェアトークンとして、以下のiPhoneおよびAndroidのモバイルアプリが利用できます。どちらかのアプリをスマートフォンまたはタブレットへインストールします。

FreeOTP
Google Authenticator

SingleIDへソフトウェアトークンの登録

Warning

SingleIDへソフトウェアトークンの登録を行っていないユーザは、ワンタイムパスワードは無効となり、パスワードでの認証となります。

[SingleIDのユーザの作成]の手順で作成したユーザで、SingleIDのユーザポータルへログインします。
SingleID ユーザポータル＞オーセンティケーター画面へ移動します。
QRコードが表示されていることを確認します。
スマートフォンまたはタブレットへインストールしたソフトウェアトークンアプリを起動します。（ここでは、Google Authenticatorを利用します。）
＋をクリックし、新規アカウントを追加します。
QRコードをスキャンをクリックし、ユーザポータルに表示されているQRコードを読み取ります。
アカウントを追加をクリックし、アカウントを追加します。
表示されている数字をSingleID ユーザポータル＞オーセンティケーター画面のワンタイムコードへ入力し、保存ボタンをクリックし、オーセンティケーターを登録します。

Info

ソフトウェアトークンの6桁の数字の表示は、30秒ごとに変わります。変わる前に、オーセンティケーターの登録を完了させる必要があります。登録する途中で、ソフトウェアトークンの数字が変わってしまった場合には、変わった数字を登録します。

VPNの設定

Windowsの設定＞ネットワークとインターネット画面へ移動します。
VPNをクリックします。
VPN接続を追加するをクリックします。

以下を設定します。保存ボタンをクリックします。

設定項目	設定内容
接続名	任意の文字列を設定します。（例：SingleID）
サーバまたはアドレス	VPNクライアントが接続するIPアドレスです。
VPNの種類	事前共有キーを使ったL2TP/IPSecを選択します。
事前共有キー	YAMAHA RTXのリモートアクセスユーザの認証の設定の手順の認証鍵に設定した文字列です。
サインイン情報の種類	ユーザ名とパスワードを選択します。

Windowsのネットワーク接続の設定画面を開きます。
追加したVPN設定のプロパティを開きます。
セキュリティタブへ移動します。

以下を設定します。OKをクリックし、VPNの設定は完了です。

設定項目	設定内容
次のプロトコルを許可する	選択
暗号化されていないパスワード（PAP）
チャレンジハンドシェイク認証プロトコル（CHAP）
Microsoft CHAP Version2（MS-CHAP v2）

VPNの接続

設定したVPNの接続をクリックし、YAMAHA RTXへVPN接続を試みます。

認証情報を入力し、OKボタンをクリックします。

設定項目	設定内容
ユーザ名	SingleIDのRADIUSサイトの登録の手順で許可したユーザです。
パスワード	ユーザのパスワードとソフトウェアトークンに表示されたワンタイムパスワードを:（コロン）でつなげた文字列を入力します。（例：password:123456）

接続成功したことを確認します。