IPsec-VPN (FortiGate-RTX1100)手順書 Ver. 1.0 承認 確認 担当 2 0 1 4 年 0 9 月 2 9 日 株 式 会 社 ネ ッ ト ワ ー ル ド S I 技 術 本 部 イ ン フ ラ ソ リ ュ ー シ ョ ン 技 術 部 IPsec-VPN(FortiGate-RTX1100)手順書 目次 1 2 3 改訂履歴 ...........................................................................................................................3 はじめに ............................................................................................................................4 FGT_A IPsec-VPN 設定 ....................................................................................................6 3.1 ＩＰｓｅｃ-VPN フェイズの作成 ........................................................................................6 3.1.1 フェイズ 1 の作成 ................................................................................................6 3.1.2 フェイズ 2 の作成 ................................................................................................7 3.2 ファイアウォールポリシーの作成 .................................................................................8 3.2.1 通信許可ポリシー『送信元ポート→Phase1』の作成 ............................................8 3.2.2 通信許可ポリシー『Phase1→送信元ポート』の作成 ............................................9 3.3 スタティックルートの作成.......................................................................................... 10 4 RTX1100 IPsec-VPN 設定.............................................................................................. 11 4.1 ＩＰｓｅｃ-VPN フェイズの作成 ..................................................................................... 11 4.2 DPD の設定............................................................................................................. 13 5 VPN 接続、接続確認 ...................................................................................................... 14 Copyrightⓒ2014 Networld Corporation. All rights ￥ reserved. 2 IPsec-VPN(FortiGate-RTX1100)手順書 1 改訂履歴 変更履歴 番号 変更年月日 1 2014/09/29 2 3 4 5 Version 1.0 Page status o 変更内容 新規作成 作成 NWL 承認 NWL status: a(dd), d(elete), r(eplace), o(ther) ■マニュアルの取り扱いについて ・ 本書の記載内容の一部または全部を無断で転載することを禁じます。 ・ 本書の記載内容は将来予告無く変更されることがあります。 ・ 本書を使用した結果発生した情報の消失等の損失については、責任を負いかねます。 ・ 本書の設定内容についてのお問い合わせは、受け付けておりませんのでご了承ください。 ・ 本書の記載内容は、動作を保証するものではございません。従いましてお客様への導入時には、 必ず事前に検証を実施してください。 ・本書はFortiGateとYAMAHA RTX1100をIPsecVPNで接続するための参考資料です。 FortiGate - 他ベンダー間での VPN 接続の場合、サポートは FortiGate に限ります。 ■Networldテクニカルサポート ・Tech-World Fortinet製品に関するソフトウェアサポート窓口 https://hds.networld.co.jp/helpdesk/support/login.jsp ・Fortinet FAQ Fortinet製品に関するよくある問い合わせ https://hds.networld.co.jp/helpdesk/support/faq_info.jsp?link_id=tec ■メーカサイト ・Fortinet テクニカルドキュメント http://docs.fortinet.com/fgt.html ・Fortinet Knowledge Base http://kb.fortinet.com/kb/microsites/microsite.do Copyrightⓒ2014 Networld Corporation. All rights ￥ reserved. 3 IPsec-VPN(FortiGate-RTX1100)手順書 2 はじめに 本手順書はルーティングベース IPsec-VPN を用いて FortiGate-YAMAHA RTX1100 を接続するための設定 手順を説明した資料になります。 FortiGate の初期設定につきましては、別紙 FAQ の『基本設定について』をご確認下さい。 URL： https://hds.networld.co.jp/faq/fortinet/00002526-1.pdf YAHAMA RTX1100 の初期設定は、本手順書の設定範囲外です。別途、メーカ資料等をご確認下さい。 【構成図】 【機器情報・ファームウェア】 FGT_A： FortiGate-VM FortiOS 5.0.9 RTX1100：RTX1100 Rev.8.03.94 PC_A：Windows 7 Professional PC_B：Windows 7 Professional Copyrightⓒ2014 Networld Corporation. All rights ￥ reserved. 4 IPsec-VPN(FortiGate-RTX1100)手順書 【設定値一覧】 FGT_A ①インターフェース情報1 項番 インタフェース名 IPアドレス サブネットマスク アクセス 1 port2 192.168.1.254 255.255.255.0 ping,https,ssh 2 port1 10.0.0.254 255.255.255.0 ②IPsec-VPN (Phase1) 項番 名前 1 phase1-A リモートゲートウェイ IPアドレス ローカルインターフェース 事前共有鍵 DHグループ スタティックIPアドレス 10.0.0.253 port1 fortigate 2 ③IPsec-VPN (Phase2) 項番 名前 1 phase2-A フェイズ１ DHグループ 自動鍵キープアライブ クイックモードセレクタ 送信元 クイックモードセレクタ 宛先 phase1-A 2 192.168.1.0/24 192.168.2.0/24 有効 ④Firewallポリシー 項番 ソースI/F名 1 port2 2 port2 3 phase1-A ソースアドレス all デストI/F名 port1 デストアドレス all スケジュール always サービス ALL アクション ACCEPT NAT all phase1-A all always ALL ACCEPT 有効 無効 all port2 all always ALL ACCEPT 無効 ⑤ルーティング情報 項番 宛先IP/マスク デバイス 1 192.168.2.0/24 phase1-A RTX1100 ①インターフェース情報１ 項番 インタフェース名 IPアドレス サブネットマスク 1 LAN1 192.168.2.254 255.255.255.0 2 LAN2 10.0.0.253 255.255.255.0 ②IPsec-VPN 基本設定 項番 トンネル名 認証鍵 相手先の識別方法 自分のIPアドレス PFSの利用 1 FGT_A fortigate 10.0.0.254 10.0.0.253 用いる フェーズ１ 認証アルゴリズム 暗号アルゴリズム IKEが用いるグループ SHA-1 ３DES-CBC mopd1024 フェーズ2 認証アルゴリズム 暗号アルゴリズム 鍵の寿命 自分側のID HMAC-SHA ３DES-CBC 192.168.2.0/24 192.168.1.0/24 mopd1024 1800 相手側のID IKEが用いるグループ その他 静的経路の追加 DPD 有効 / 192.168.1.0/24 Interval：5秒 Cout：3 ※DPDはCLIから設定します。 Copyrightⓒ2014 Networld Corporation. All rights ￥ reserved. 5 IPsec-VPN(FortiGate-RTX1100)手順書 3 FGT_A IPsec-VPN 設定 本項目では FGT_A へ IPsec-VPN の設定を行います。 3.1 ＩＰｓｅｃ-VPN フェイズの作成 VPN 用のフェイズを作成します。 3.1.1 フェイズ 1 の作成 VPN > IPsec > 自動鍵(IKE) より、フェイズ１を作成します。 ① ② ③ ④ ⑤ ⑥ ⑦ ⑧ [フェイズ 1 を作成]をクリック。 [名前]：phase1-A [リモートゲートウェイ]：スタティック IP アドレス [IP アドレス]：10.0.0.253 [ローカルインターフェース]：port1 [事前共有鍵]：fortigate [DH グループ]：2 [OK]をクリック。 ① ② ③ ④ ⑤ ⑥ ⑦ ⑧ Copyrightⓒ2014 Networld Corporation. All rights ￥ reserved. 6 IPsec-VPN(FortiGate-RTX1100)手順書 3.1.2 フェイズ 2 の作成 VPN > IPsec > 自動鍵(IKE) より、フェイズ 2 を作成します。 ① ② ③ ④ ⑤ ⑥ ⑦ ⑧ ⑨ [フェイズ 2 を作成]をクリック。 [名前]：phase2-A ［フェイズ 1］：phase1-A [リプレイ検知を有効にする]：無効 [DH グループ]：2 ［自動鍵キープアライブ］：有効 [クイックモードセレクタ 送信元アドレス]：192.168.1.0/24 [クイックモードセレクタ 宛先アドレス]：192.168.2.0/24 [OK]をクリック。 ① ② ③ ④ ⑤ ⑥ ⑦ ⑧ ⑨ Copyrightⓒ2014 Networld Corporation. All rights ￥ reserved. 7 IPsec-VPN(FortiGate-RTX1100)手順書 3.2 ファイアウォールポリシーの作成 ポリシー > ポリシー > ポリシー にて、通信許可ポリシー『送信元ポート→Phase1』と 戻りの通信 許可ポリシー『Phase1→送信元ポート』を作成します。 3.2.1 ① ② ③ ④ ⑤ ⑥ ⑦ 通信許可ポリシー『送信元ポート→Phase1』の作成 [Create New]をクリック。 [Incoming インターフェース]：port2 [送信元アドレス]：all [Outgoing インターフェース]：phase1-A [宛先アドレス]：all [スケジュール]：always [サービス]：ALL [アクション]：ACCEPT [OK]をクリック。 ① ② ｃ ③ ④ ⑤ ⑥ ｖ 同様に『Phase1→送信元ポート』のポリシーも作成します。 ⑦ Copyrightⓒ2014 Networld Corporation. All rights ￥ reserved. 8 IPsec-VPN(FortiGate-RTX1100)手順書 3.2.2 ① ② ③ ④ ⑤ ⑥ ⑦ 通信許可ポリシー『Phase1→送信元ポート』の作成 [Create New]をクリック。 [Incoming インターフェース]：phase1-A [送信元アドレス]：all [Outgoing インターフェース]：port2 [宛先アドレス]：all [スケジュール]：always [サービス]：ALL [アクション]：ACCEPT [OK]をクリック。 ① ② ③ ④ ⑤ ⑥ ⑦ Copyrightⓒ2014 Networld Corporation. All rights ￥ reserved. 9 IPsec-VPN(FortiGate-RTX1100)手順書 3.3 スタティックルートの作成 ルータ > スタティック > スタティックルート にて、ルーティングを設定します。 ① ② ③ ④ [新規作成]をクリック。 [宛先 IP /マスク]：192.168.2.0/24 [デバイス]：phase1-A [OK]をクリック。 ① ② ｓ ③ あ あ ④ 」 以上で、FGT_A 側の設定は終了となります。 Copyrightⓒ2014 Networld Corporation. All rights ￥ reserved. 10 IPsec-VPN(FortiGate-RTX1100)手順書 4 RTX1100 IPsec-VPN 設定 本項目では RTX1100 へ IPsec-VPN の設定を行います。 4.1 ＩＰｓｅｃ-VPN フェイズの作成 ブラウザから RTX1100 へアクセスし、 管理者向けトップページへ > 管理支援 > IPsec より、 VPN の接続先を登録します。 ① ② ③ ④ ⑤ ⑥ ⑦ [新規登録]をクリック。 ※新しくブラウザが立ち上がります。 [詳細設定へ]をクリック。 [トンネル名]：FGT_A [認証鍵]：fortigate [相手先の識別方法]：相手先のアドレス / 10.0.0.254 [自分の IP アドレス]：10.0.0.253 [PFS の利用]：用いる ① ② ③ ④ ⑤ ⑥ ⑦ Copyrightⓒ2014 Networld Corporation. All rights ￥ reserved. 11 IPsec-VPN(FortiGate-RTX1100)手順書 【フェーズ１】 ⑧ [認証アルゴリズムの選択]：SHA-1 ⑨ [暗号アルゴリズムの選択]：3DES-CBC ⑩ [IKE が用いるグループ]：modp1024 ⑧ ⑨ ⑩ 【フェーズ２】 ⑪ [認証アルゴリズムの選択]：HMAC-SHA ⑫ [暗号アルゴリズムの選択]：3DES-CBC ⑬ [鍵の寿命]：1800 ⑭ [自分側の ID]：192.168.2.0/24 ⑮ [相手側の ID]：192.168.1.0/24 ⑯ [IKE が用いるグループ]：modp1024 ⑪ ⑫ ⑬ ⑭ １ ⑰ ⑱ ⑮ ⑯ [静的経路の追加]：192.168.1.0/24 [確認]をクリック。 ⑰ ⑱ Copyrightⓒ2014 Networld Corporation. All rights ￥ reserved. 12 IPsec-VPN(FortiGate-RTX1100)手順書 ⑲ [登録]をクリック。 ⑲ 4.2 DPD の設定 CLI からの設定を追加します。 追加コンフィグ： ipsec ike keepalive use1 on dpd 5 3 以上で、RTX1100 側の設定は終了となります。 Copyrightⓒ2014 Networld Corporation. All rights ￥ reserved. 13 IPsec-VPN(FortiGate-RTX1100)手順書 5 VPN 接続、接続確認 本項目では、VPN 接続を行います。 FGT_A より、VPN > モニタ > IPsec モニタ 上にて、3.1 にて作成したフェイズのステータス項目の 『アップ』をクリックします。 問題なく VPN 接続が開始しますと、『↓アップ』であったステータスが下記の通り『↑ダウン』となり、モニ タ上のタイムアウト値やアップタイム値が変更されます。 RTX1100 より、VPN が接続されているか確認します。 接続中の接続先情報は青色で表示されます。 上記の接続確認後、PC_A、PC_B 間で疎通確認を実施します。 以上。 Copyrightⓒ2014 Networld Corporation. All rights ￥ reserved. 14
© Copyright 2024 Paperzz
