リモートアクセスVPN-２要素認証（パスワード認証＋ワンタイムパスワード認証）

目的

SingleIDのユーザで、YAMAHA UTXへVPNを使ってリモートアクセスします。接続する際の認証方式は、２要素認証（パスワード認証＋ワンタイムパスワード認証）です。

環境

ユーザの情報

ユーザ名	姓（英字）	名（英字）	メールアドレス
user1	user1	user1	user1@poc.singleid.jp

Info

メールアドレス: 受信可能なメールアドレスを指定してください。

グループの情報

グループ名	メンバー	動作
singleid-remote-access-users	user1	リモートアクセス可能

RADIUSの情報

設定に必要な情報	説明および情報取得の方法など
RADIUSサーバのホスト名	SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのホスト名です。
RADIUSサーバのIPアドレス	SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのIPアドレスです。
RADIUSサーバのポート番号	SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのRADIUSポート番号です。ここでは、デフォルトUDP1812を使用します。
RADIUSクライアントのIPアドレス	YAMAHA UTX側のグローバルIPアドレスです。インターネットに出ていくときの送信元のIPアドレスです。
RADIUSクライアントのシークレット	任意の文字列を設定します。ここでは、シークレットをyamahautxとします。

設定方法

SingleIDの設定

管理者ポータルへログイン

SingleIDの管理者ポータルへログインします。

グループの作成

SingleID 管理者ポータル＞グループ画面へ移動します。
グループ追加をクリックします。グループ追加画面がポップアップします。
グループ名（参照）を入力し、登録ボタンをクリックします。

ユーザの作成

SingleID 管理者ポータル＞ユーザ画面へ移動します。
登録ボタンをクリックします。ユーザ登録画面がポップアップします。
ユーザ登録画面の基本情報を入力します。作成するユーザは、ユーザの情報を参照します。 グループタブをクリックします。
参加するグループ（参照）を選択し、登録ボタンをクリックします。

RADIUSの設定

SingleID 管理者ポータル＞認証＞RADIUS画面の簡易設定タブへ移動します。
カタログ表示ボタンをクリックします。
カタログからYAMAHA UTXシリーズの登録ボタンをクリックします。YAMAHA UTXシリーズ画面がポップアップします。

基本情報タブに、以下を設定します。

設定項目	設定内容
有効/無効	有効
サーバ	1
ワンタイムパスワード強制	有効
IP or ホスト名	RADIUSの情報のRADIUSクライアントのIPアドレスを参照
シークレット	RADIUSの情報のRADIUSクライアントのシークレットを参照

Info

選択するサーバの番号により、RADIUSサーバのポート番号が異なります。サーバが1の場合には、UDP1812です。SingleID 管理者ポータル＞認証＞RADIUS画面の基本情報タブのRADIUSポート番号にサーバの番号と通信ポート番号の対応が記載されています。

VPNアクセスの認証タブへ移動します。
許可グループの設定で許可したいグループ（参照）をダブルクリックし、許可へ移動させます。
登録ボタンをクリックします。

YAMAHA UTXの設定

ローカル管理者でログイン

YAMAHA UTX GUI https://YAMAHA UTXのIP:4434/ へアクセスします。
ローカル管理者のユーザ名、パスワードを入力し、ログインをクリックします。

RADIUSサーバの設定

YAMAHA UTX GUI＞デバイス＞管理者画面へ移動します。
RADIUSの設定をクリックします。RADIUSサーバの設定画面がポップアップします。

以下を設定します。

設定項目	設定内容
IPv4アドレス	RADIUSの情報のRADIUSサーバのIPアドレスを参照
ポート	RADIUSの情報のRADIUSサーバのポート番号を参照
共有秘密キー	RADIUSの情報のRADIUSクライアントのシークレットを参照

適用ボタンをクリックします。

リモートアクセスユーザの認証の設定

YAMAHA UTX GUI＞VPN＞認証サーバ画面へ移動します。
RADIUS ユーザの権限をクリックします。RADIUS設定画面がポップアップします。
RADIUS認証をユーザ認識、リモートアクセス、ホットスポットに有効にするをし、適用ボタンをクリックします。

動作確認方法

リモートアクセスVPNの認証（パスワード認証＋ワンタイムパスワード認証）

ソフトウェアトークンのインストール

ソフトウェアトークンとして、以下のiPhoneおよびAndroidのモバイルアプリが利用できます。どちらかのアプリをスマートフォンまたはタブレットへインストールします。

FreeOTP
Google Authenticator

SingleIDへソフトウェアトークンの登録

Warning

SingleIDへソフトウェアトークンの登録を行っていないユーザは、ワンタイムパスワードは無効となり、パスワードでの認証となります。

SingleIDのユーザ（参照）で、SingleIDのユーザポータルへログインします。
SingleID ユーザポータル＞オーセンティケーター画面へ移動します。
QRコードが表示されていることを確認します。
スマートフォンまたはタブレットへインストールしたソフトウェアトークンアプリを起動します。（ここでは、Google Authenticatorを利用します。）
＋をクリックし、新規アカウントを追加します。
QRコードをスキャンをクリックし、ユーザポータルに表示されているQRコードを読み取ります。
アカウントを追加をクリックし、アカウントを追加します。
表示されている数字をSingleID ユーザポータル＞オーセンティケーター画面のワンタイムコードへ入力し、保存ボタンをクリックし、オーセンティケーターを登録します。

Info

ソフトウェアトークンの6桁の数字の表示は、30秒ごとに変わります。変わる前に、オーセンティケーターの登録を完了させる必要があります。登録する途中で、ソフトウェアトークンの数字が変わってしまった場合には、変わった数字を登録します。

リモートアクセスクライアントのインストール

YAMAHA UTXのリモートアクセスクライアントである、 Check Point Remote Access VPN Clients をインストールしていない場合には、以下よりダウンロードしてインストールします。

ダウンロード

接続先の設定

Check Point Remote Access VPN Clientsを起動して、新規サイトを作成します。サイトウィザードが表示されたら、Nextボタンをクリックします。
Server address or Nameに、YAMAHA UTXのWANのIPアドレスを入力し、Nextボタンをクリックします。
VPN Client (Default)が選択されていることを確認し、Nextボタンをクリックします。
Username and Passwordを選択し、Nextボタンをクリックします。
Site created successfullyが表示されたら、サイトが無事作成されました。Finishボタンをクリックします。

VPN接続

Connectボタンをクリックします。
Siteに、作成した接続先を選択します。

以下の情報でログインを試み、ログインが成功することを確認します。

設定項目	設定内容
Username	SingleIDのユーザの情報を参照
Password	ユーザのパスワードとソフトウェアトークンに表示されたワンタイムパスワードを:（コロン）でつなげた文字列を入力します。（例：password:123456）

Detailsボタンをクリックすると、詳細が表示され、SingleIDのユーザ（参照）で、RADIUS認証が行われて、接続が成功したことが確認できます。