この方法はオプションであり、 使用されていない第三のインターフェースを備えた ＰＩＸ （ＰＩＸ ５１５、 ＰＩＸ ５２５、 ＰＩＸ ５３５ など） が必要です。 ここでは ＳｏｎｉｃＷＡＬＬ ＳＳＬ-ＶＰＮ 装置の既定のナンバリング ス キーマを使用します。
1.
管理システムから ＳＳＬ-ＶＰＮ 装置の管理 ＧＵＩ にログインします。 既定の管理インターフェースは Ｘ０ で、 既定の ＩＰ アドレスは １９２.１６８.２００.１ です。2.
’ ネットワーク ＞ ルート’ ページに進み、 デフォルト ゲートウェイが’ １９２.１６８.２００.２’ に設定され3.
’ ＮｅｔＥｘｔｅｎｄｅｒ ＞ クライアント アドレス’ ページに進みます。 ’ クライアント アドレス範囲の開 始’ の隣にあるフィールドに’ １９２.１６８.２００.２０１’ と入力し、’ クライアント アドレス範囲の終了’の隣にあるフィールドに’ １９２.１６８.２００.２４９’ と入力します。 その後、 右上隅の’ 適用’ ボタンを 選択して変更を保存、 適用します。
4.
’ ＮｅｔＥｘｔｅｎｄｅｒ ＞ クライアント ルート’ ページに進みます。 ’ １９２.１６８.１００.０’ と’１９２.１６８.２００.０’ に関するクライアント ルートを追加します。
5.
’ ネットワーク ＞ ＤＮＳ’ ページに進み、 内部ネットワークの ＤＮＳ アドレス、 内部ドメイン名、 ＷＩＮＳ サーバ アドレスを入力します。 これらは ＮｅｔＥｘｔｅｎｄｅｒ を正しく機能させるために重要な情報なので注 意して入力してください。 その後、 右上隅の’ 適用’ ボタンを選択して変更を保存、 適用します。6.
’ システム ＞ 再起動’ ページに進み、’ 再起動’ ボタンを選択します。7.
ＳｏｎｉｃＷＡＬＬ ＳＳＬ-ＶＰＮ 装置の Ｘ０ インターフェースを ＰＩＸ の使用されていない ＤＭＺ ネットワークに インストールします。 装置のその他のインターフェースにフックしないよう注意してください。8.
コンソール ポート、 ｔｅｌｎｅｔ、 または ＳＳＨ を通じて ＰＩＸ の管理 ＣＬＩ に接続し、 設定モードに入ります。9.
’ clear http’ コマンドを発行して、 ＰＩＸ の ＨＴＴＰ ／ Ｓ 管理 ＧＵＩ を無効にします。10.
’ interface ethernet2 auto’ コマンドを発行します （インターフェース名は、 実際に使用するインター フェースに置き換えます）。11.
’ nameif ethernet2 dmz security4’ コマンドを発行します （インターフェース名は、 実際に使用する インターフェースに置き換えます）。12.
’ ip address dmz 192.168.200.2 255.255.255.0’ コマンドを発行します。13.
’ nat (dmz) 1 192.168.200.0 255.255.255.0 0 0’ コマンドを発行します。14.
’ access-list sslvpn permit tcp any host x.x.x.x eq www’ コマンドを発行します （x.x.x.x の部分は お使いの ＰＩＸ の ＷＡＮ ＩＰ アドレスで置き換えます）。15.
’ access-list sslvpn permit tcp any host x.x.x.x eq https’ コマンドを発行します （x.x.x.x の部分は お使いの ＰＩＸ の ＷＡＮ ＩＰ アドレスで置き換えます）。16.
’ access-list dmz-to-inside permit ip 192.168.200.0 255.255.255.0 192.168.100.0 255.255.255.0’ コマンドを発行します。17.
’ access-list dmz-to-inside permit ip host 192.168.200.1 any’ コマンドを発行します。18.
’ static (dmz,outside) tcp x.x.x.x www 192.168.200.1 www netmask 255.255.255.255 0 0’ コマ ンドを発行します （x.x.x.x の部分はお使いの ＰＩＸ の ＷＡＮ ＩＰ アドレスで置き換えます）。19.
’ static (dmz,outside) tcp x.x.x.x https 192.168.200.1 https netmask 255.255.255.255 0 0’ コマ ンドを発行します （x.x.x.x の部分はお使いの ＰＩＸ の ＷＡＮ ＩＰ アドレスで置き換えます）。20.
’ static (inside,dmz) 192.168.100.0 192.168.100.0 netmask 255.255.255.0 0 0’ コマンドを発行し ます。21.
’ access-group sslvpn in interface outside’ コマンドを発行します。22.
’ access-group dmz-to-inside in interface dmz’ コマンドを発行します。23.
設定モードを抜け、’ wr mem’ コマンドを発行して変更を保存、 適用します。24.
外部システムから、 ＨＴＴＰ と ＨＴＴＰＳ の両方を使用して ＳＳＬ-ＶＰＮ 装置に接続してみます。ＳＳＬ-ＶＰＮ 装置にアクセスできない場合は、 上記すべてのステップを確認して、 もう一度テストしてく ださい。
最終的な設定例 （関連部分を太字で記載）
PIX Version 6.3(5)
interface ethernet1 auto interface ethernet2 auto
nameif ethernet0 outside security0 nameif ethernet1 inside security100 nameif ethernet2 dmz security4
enable password SqjOo0II7Q4T90ap encrypted passwd SqjOo0II7Q4T90ap encrypted
hostname tenaya
domain-name vpntestlab.com clock timezone PDT -8
clock summer-time PDT recurring fixup protocol dns maximum-length 512 fixup protocol ftp 21
fixup protocol h323 h225 1720 fixup protocol h323 ras 1718-1719 fixup protocol http 80
fixup protocol rsh 514 fixup protocol rtsp 554 fixup protocol sip 5060 fixup protocol sip udp 5060 fixup protocol skinny 2000 fixup protocol smtp 25 fixup protocol sqlnet 1521 fixup protocol tftp 69 names
access-list sslvpn permit tcp any host 64.41.140.167 eq www access-list sslvpn permit tcp any host 64.41.140.167 eq https
access-list dmz-to-inside permit ip 192.168.200.0 255.255.255.0 192.168.100.0 255.255.255.0 access-list dmz-to-inside permit ip host 192.168.200.1 any
pager lines 24 logging on logging timestamp logging buffered warnings mtu outside 1500
mtu inside 1500 mtu dmz 1500
ip address outside 64.41.140.167 255.255.255.224 ip address inside 192.168.100.1 255.255.255.0 ip address dmz 192.168.200.2 255.255.255.0 ip audit info action alarm
ip audit attack action alarm pdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 1 192.168.100.0 255.255.255.0 0 0 nat (dmz) 1 192.168.200.0 255.255.255.0 0 0
static (dmz,outside) tcp 64.41.140.167 www 192.168.200.1 www netmask 255.255.255.255 0 0 static (dmz,outside) tcp 64.41.140.167 https 192.168.200.1 https netmask 255.255.255.255 0 0 static (inside,dmz) 192.168.100.0 192.168.100.0 netmask 255.255.255.0 0 0
access-group sslvpn in interface outside access-group dmz-to-inside in interface dmz route outside 0.0.0.0 0.0.0.0 64.41.140.166 1 timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00 timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout sip-disconnect 0:02:00 sip-invite 0:03:00 timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server TACACS+ max-failed-attempts 3 aaa-server TACACS+ deadtime 10
aaa-server RADIUS protocol radius
ntp server 192.43.244.18 source outside prefer floodguard enable
telnet 0.0.0.0 0.0.0.0 inside telnet timeout 15
ssh 0.0.0.0 0.0.0.0 outside ssh timeout 15
console timeout 20
dhcpd address 192.168.100.101-192.168.100.199 inside dhcpd dns 192.168.100.10
dhcpd lease 600 dhcpd ping_timeout 750 dhcpd domain vpntestlab.com dhcpd enable inside
terminal width 80
banner motd Restricted Access.Please log in to continue.
Cryptochecksum:81330e717bdbfdc16a140402cb503a77 : end
Ｊｕｎｉｐｅｒ
現時点では、 Ｊｕｎｉｐｅｒ 関連のシナリオはありません。
Ｌｉｎｋｓｙｓ ＷＲＴ５４ＧＳ
ＳＳＬ-ＶＰＮ は Ｌｉｎｋｓｙｓ ワイヤレス ルータの ＬＡＮ スイッチ上で設定する必要があります。
ここでは、 お使いの Ｌｉｎｋｓｙｓ にケーブル ＩＳＰ が ＤＨＣＰ 経由で単一の ＷＡＮ ＩＰ を割り当てており、 この Ｌｉｎｋｓｙｓ が １９２.１６８.１.０ ／ ２４ という既定の ＬＡＮ ＩＰ アドレス スキーマを使用していることを前提にして います。
補足 推奨ファームウェア： このセットアップでは、 バージョン ２.０７.１ 以上のファームウェアを推奨しま す。Ｌｉｎｋｓｙｓ を ＳＳＬ-ＶＰＮ 装置と相互運用できるように設定するには、 ＳＳＬ （４４３） ポートを ＳＳＬ-ＶＰＮ 装置の ＩＰ アドレスに転送する必要があります。
1.
Ｌｉｎｋｓｙｓ デバイスにログインします。2.
Ａｐｐｌｉｃａｔｉｏｎｓ ＆ Ｇａｍｉｎｇタブを選択します。3.
次の情報を入力します。Ａｐｐｌｉｃａｔｉｏｎ ＳＳＬ-ＶＰＮ ポート転送先アプリケーションの名前 Ｐｏｒｔ Ｒａｎｇｅ Ｓｔａｒｔ ４４３ アプリケーションで使用される開始ポート番号 Ｐｏｒｔ Ｒａｎｇｅ Ｅｎｄ ４４３ アプリケーションで使用される終了ポート番号
4.
設定が完了したら、 ページの下部にあるＳａｖｅ Ｓｅｔｔｉｎｇｓボタンを選択します。これで、 Ｌｉｎｋｓｙｓ が ＳＳＬ-ＶＰＮ 装置と相互運用するようになります。
Ｗａｔｃｈｇｕａｒｄ Ｆｉｒｅｂｏｘ Ｘ Ｅｄｇｅ
ここでは、 ＷａｔｃｈＧｕａｒｄ Ｆｉｒｅｂｏｘ Ｘ Ｇａｔｅｗａｙ の ＩＰ アドレスが １９２.１６８.１００.１ に設定され、
ＳｏｎｉｃＷＡＬＬ ＳＳＬ-ＶＰＮ の ＩＰ アドレスが １９２.１６８.１００.２ に設定されているものと想定します。
補足 以降のステップは、 ＷａｔｃｈＧｕａｒｄ ＳＯＨＯ６ シリーズのファイアウォールでも同様です。作業を始める前に、 ＷａｔｃｈＧｕａｒｄ のどのポートを管理に使用しているかを確認します。 ＷａｔｃｈＧｕａｒｄ を ＨＴＴＰＳ （４４３） ポートで管理していない場合は、 次のステップに従ってください。 ＷａｔｃｈＧｕａｒｄ を ＨＴＴＰＳ （４４３） ポートで管理している場合は、 最初にこの設定方法の注意事項を参照してください。
1.
ブラウザを開き、 ＷａｔｃｈＧｕａｒｄ Ｆｉｒｅｂｏｘ Ｘ Ｅｄｇｅ 装置の ＩＰ アドレスを入力します （例 ：１９２.１６８.１００.１）。 アクセスに成功すると、 次のような "Ｓｙｓｔｅｍ Ｓｔａｔｕｓ" ページが表示されます。
ＷａｔｃｈＧｕａｒｄ の管理インターフェースが既に ＨＴＴＰＳ をポート ４４３ で受け付けるように設定されている 場合は、 ＳｏｎｉｃＷＡＬＬ ＳＳＬ-ＶＰＮ 装置と ＷａｔｃｈＧｕａｒｄ 装置の両方を管理できるようにポートを変更す る必要があります。
2.
Ａｄｍｉｎｉｓｔｒａｔｉｏｎ ＞ Ｓｙｓｔｅｍ Ｓｅｃｕｒｉｔｙを選択します。ＩＰ Ａｄｄｒｅｓｓ 192.168.1.10 ＳＳＬ-ＶＰＮ 装置に割り当てられる ＩＰ アドレス
Ｅｎａｂｌｅ オン ＳＳＬ ポート転送を有効にするにはチェックボックスをオン
4.
ＨＴＴＰ Ｓｅｒｖｅｒ Ｐｏｒｔを ４４４ に変更し、 Ｓｕｂｍｉｔボタンを選択します。これで、 ＷａｔｃｈＧｕａｒｄ を ＷＡＮ からポート ４４４ で管理できるようになります。 ＷａｔｃｈＧｕａｒｄ にアクセス するには次のようにします。 〈https://<watchguard wan ip>:444〉
5.
左側のナビゲーション メニューでＦｉｒｅｗａｌｌ ＞ Ｉｎｃｏｍｉｎｇを選択します。6.
ＨＴＴＰＳサービスのＦｉｌｔｅｒを Ａｌｌｏｗ に設定し、 Ｓｅｒｖｉｃｅ Ｈｏｓｔフィールドに ＳｏｎｉｃＷＡＬＬ ＳＳＬ-ＶＰＮ 装置の ＷＡＮ ＩＰ アドレス （１９２.１６８.１００.２） を入力します。7.
ページの下部にあるＳｕｂｍｉｔボタンを選択します。これで、 Ｗａｔｃｈｇｕａｒｄ Ｆｉｒｅｂｏｘ Ｘ Ｅｄｇｅ が ＳｏｎｉｃＷＡＬＬ ＳＳＬ-ＶＰＮ 装置と相互運用できるようになり ます。
Ｎｅｔｇｅａｒ ＦＶＳ３１８
ここでは、 ＮｅｔＧｅａｒ ＦＶＳ３１８ Ｇａｔｅｗａｙ の ＩＰ アドレスが １９２.１６８.１００.１ に設定され、 ＳｏｎｉｃＷＡＬＬ ＳＳＬ-ＶＰＮ の ＩＰ アドレスが １９２.１６８.１００.２ に設定されているものと想定します。
1.
Ｎｅｔｇｅａｒ 管理インターフェースの左側のインデックスからＲｅｍｏｔｅ Ｍａｎａｇｅｍｅｎｔを選択します。ＳｏｎｉｃＷＡＬＬ ＳＳＬ-ＶＰＮ を Ｎｅｔｇｅａｒ ゲートウェイ デバイスと連携させるためには、 ＮｅｔＧｅａｒ の管理 ポートが ＳｏｎｉｃＷＡＬＬ ＳＳＬ-ＶＰＮ 装置の管理ポートと競合しないようにする必要があります。
2.
Ａｌｌｏｗ Ｒｅｍｏｔｅ Ｍａｎａｇｅｍｅｎｔチェックボックスをオフにします。3.
Ａｐｐｌｙボタンを選択して変更を保存します。 補足 ＮｅｔＧｅａｒ の Ｒｅｍｏｔｅ Ｍａｎａｇｅｍｅｎｔ が必要な場合は、 このチェックボックスをオンのままにして、既定のポートを変更します （８０８０ を推奨します）。
4.
左側のナビゲーションでＡｄｄ Ｓｅｒｖｉｃｅを選択します。5.
Ａｄｄ Ｃｕｓｔｏｍ Ｓｅｒｖｉｃｅボタンを選択します。6.
サービス定義を作成するために、 次の情報を入力します。7.
左側のナビゲーションでＰｏｒｔｓを選択します。Ｎａｍｅ ＨＴＴＰＳ
Ｔｙｐｅ ＴＣＰ ／ ＵＤＰ Ｓｔａｒｔ Ｐｏｒｔ 443
Ｆｉｎｉｓｈ Ｐｏｒｔ 443
8.
Ａｄｄボタンを選択します。9.
Ｓｅｒｖｉｃｅ Ｎａｍｅドロップダウン メニューから ＨＴＴＰＳ を選択します。10.
Ａｃｔｉｏｎドロップダウン メニューでは ＡＬＬＯＷ ａｌｗａｙｓ を選択します。11.
Ｌｏｃａｌ Ｓｅｒｖｅｒ Ａｄｄｒｅｓｓフィールドに ＳｏｎｉｃＷＡＬＬ ＳＳＬ-ＶＰＮ 装置の ＷＡＮ ＩＰ アドレスを入力しま す。12.
Ａｐｐｌｙボタンを選択して変更を保存します。これで、 Ｎｅｔｇｅａｒ ゲートウェイ デバイスが ＳｏｎｉｃＷＡＬＬ ＳＳＬ-ＶＰＮ 装置と相互運用できるようになりま す。
Ｎｅｔｇｅａｒ Ｗｉｒｅｌｅｓｓ Ｒｏｕｔｅｒ ＭＲ８１４ ＳＳＬ の設定
ここでは、 ＮｅｔＧｅａｒ Ｗｉｒｅｌｅｓｓ Ｒｏｕｔｅｒ の ＩＰ アドレスが １９２.１６８.１００.１ に設定され、 ＳｏｎｉｃＷＡＬＬ ＳＳＬ-ＶＰＮ の ＩＰ アドレスが １９２.１６８.１００.２ に設定されているものと想定します。
1.
Ｎｅｔｇｅａｒ の管理インターフェースの左側のインデックスからＡｄｖａｎｃｅｄ ＞ Ｐｏｒｔ Ｍａｎａｇｅｍｅｎｔを 選択します。2.
ページ中央のＡｄｄ Ｃｕｓｔｏｍ Ｓｅｒｖｉｃｅボタンを選択します。3.
Ｓｅｒｖｉｃｅ Ｎａｍｅフィールドにサービス名を入力します （例 ： ＳＳＬ-ＶＰＮ）。4.
Ｓｔａｒｔｉｎｇ Ｐｏｒｔフィールドに４４３と入力します。5.
Ｅｎｄｉｎｇ Ｐｏｒｔフィールドに４４３と入力します。6.
Ｓｅｒｖｅｒ ＩＰ Ａｄｄｒｅｓｓフィールドに ＳｏｎｉｃＷＡＬＬ ＳＳＬ-ＶＰＮ 装置の ＷＡＮ ＩＰ アドレスを入力します。7.
Ａｐｐｌｙボタンを選択します。これで、 Ｎｅｔｇｅａｒ ワイヤレス ルータが ＳｏｎｉｃＷＡＬＬ ＳＳＬ-ＶＰＮ 装置と相互運用できるようになります。
Ｃｈｅｃｋｐｏｉｎｔ ＡＩＲ ５５
ＳｏｎｉｃＷＡＬＬ ＳＳＬ-ＶＰＮ と Ｃｈｅｃｋ Ｐｏｉｎｔ ＡＩＲ ５５ を連携させる
まず必要なのは、 ホストベースのネットワーク オブジェクトを定義することです。 そのためには、 Ｆｉｌｅ メ ニューの "Ｍａｎａｇｅ" と "Ｎｅｔｗｏｒｋ Ｏｂｊｅｃｔｓ" を使用します。
ホスト ノード オブジェクト
補足 このオブジェクトは、 内部ネットワークに存在するものとして定義されます。 ＳｏｎｉｃＷＡＬＬ ＳＳＬ-ＶＰＮ をセキュア セグメント （非武装地帯とも呼ばれます） に配置する場合は、 後述のファイア ウォール規則でセキュア セグメントから内部ネットワークへの必要なトラフィックを通過させる必要がありま す。次に、 作成したオブジェクトの ＮＡＴ タブを選択します。