IPsec RADIUS + ワンタイムパスワード設定例

Transcription

1 Soliton NetAttest EPS + OneTimePassword + AR router series IPsec RADIUS + ワンタイムパスワード設定例 2012/APL アライドテレシス株式会社 Revision 1.0

2 はじめに 本資料は 弊社での検証に基づき NetAttest EPS 及び AR シリーズ VPN クライアント端末の操作方法を記載したものです すべての環境での動作を保証するものではありません 2

3 はじめに 目次 1. AR シリーズ設定例 2-1. NetAttest EPS 基本設定例 2-2. NetAttest EPS ワンタイムパスワード設定例 3-1. iphone/ipad 設定例 3-2. Android 設定例 構成構成 Intranet Server IP アドレス /24 NetAttest EPS AR560S インターネットインターネット 3G 3G ネットワークネットワーク IP アドレス /24 LAN IP アドレス /24 PPPoE IP アドレス /32 本資料は 弊社での検証に基づき NetAttest EPS 及び AR Router iphone/ipad/android の操作方法を記載したものです すべての環境での動作を保証するものではありません iphone ipad は Apple Inc. の商標です iphone の商標は アイホン株式会社のライセンスに基づき使用されています Android は Google Inc. の商標または登録商標です iphone / ipad, Android (L2TP 経由で IP Pool より払い出し ) トークン 3

4 はじめに 設定の流れ AR ルータ設定例 NetAttest EPS との連携と VPN を行うための設定を行います 設定項目 : 初期設定 NetAttest EPS(RADIUS サーバ ) との連携 VPN DNS DHCP サーバ Firewall NetAttest EPS 基本設定例 AR ルータとの連携と認証するユーザの登録を行います 設定項目 :AR ルータ (RADIUS クライアント ) との連携 認証ユーザの登録 NetAttest EPS ワンタイムパスワード設定例ワンタイムパスワードを利用するためのトークン情報の登録と 認証ユーザへの紐付けを行います 設定項目 : トークン情報の登録 認証ユーザへのトークン紐付け iphone/ipad Android 設定例端末に VPN の設定を行います 設定項目 :VPN 4

5 5

6 1. AR シリーズルーター 工場出荷時設定の CLI のログイン ID/ パスワードは下記の通りです» ID : manager» パスワード : friend 本資料は AR415S/AR550S/AR560S/AR570S のファームウェアバージョン 以上に適応可能です AR260S V2/ARX640S はスマートフォンからのリモートアクセスに対応しておりません 各設定画面のパラメータ詳細についてはユーザーマニュアルや設定例をご参照下さい

7 1. AR ルータの設定 IP アドレスおよび Security Officer レベルユーザーの作成 1. IP モジュールを有効にします ENABLE IP 2. まず ルータへログイン後 LAN 側のインターフェースへ IP アドレスを設定します ADD IP INT=VLAN1 IP= MASK= セキュリティーモードで各種設定を行うことのできる Security Officer レベルのユーザー secoff を作成します パスワードは secoff とします ADD USER=secoff PASSWORD=secoff PRIVILEGE=SECURITYOFFICER Note セキュリティモードを使用しないと IPsec 機能で用いる鍵情報がルーターの再起動時に消去されます 7

8 1. AR ルータの設定 PPP インターフェースおよびスタティックルートの設定 4. WAN 側 Ethernet インターフェース (eth0) 上に PPP インターフェースを作成します OVER=eth0-XXXX の XXXX の部分には ISP から通知された PPPoE の サービス名 を記述します ISP から指定がない場合は どのサービス名タグでも受け入れられるよう ANY を設定します CREATE PPP=0 OVER=eth0-ANY 5. ISP から通知された PPP ユーザー名とパスワードを指定します LQR はオフにし 代わりに LCP Echo パケットを使って PPP リンクの状態を監視するようにします また ISDN 向けの機能である BAP はオフにします SET PPP=0 OVER=eth0-ANY PASSWORD=isppasswd LQR=OFF BAP=OFF ECHO=ON 6. WAN 側 (ppp0) インターフェースに IP アドレス を設定します ADD IP INT=ppp0 IP= MASK= デフォルトルートを設定します ADD IP ROUTE= INT=ppp0 NEXTHOP=

9 1. AR ルータの設定 RADIUS サーバおよび IP アドレスプールの設定 8. モバイル端末のユーザーを認証する際に使用する RADIUS サーバーを登録します ADD RADIUS SERVER= SECRET="PASSWORD" PORT= IP アドレスプール VPNC を作成し 接続してきた VPN クライアントに割り当てるアドレスの範囲を指定します ここでは 100 台分のモバイル端末のアドレスプールを用意しています CREATE IP POOL=VPNC IP=

10 1. AR ルータの設定 L2TP プロトコルならびに PPP TEMPLATE の設定 10. L2TP 経由で VPN クライアントが PPP 接続してきたときに動的に作成する PPP インターフェースのテンプレート 1 を作成します 接続時の認証には PAP を使い CHAP の再認証は OFF にし VJ 圧縮を有効にします また アドレス割り当てには IP アドレスプール VPNC を使うようにします CREATE PPP TEMPLATE=1 IPPOOL=VPNC AUTHENTICATION=PAP BAP=OFF ECHO=30 RECHALLENGE=OFF VJC=ON 11. L2TP モジュールを有効にします ENABLE L2TP 12. L2TP サーバーを BOTH モードで起動します ENABLE L2TP SERVER=BOTH 13. L2TP 経由で VPN クライアントが接続してきたときに使用する PPP テンプレートを指定します ここではクライアントのアドレスが不定なので どのアドレスからでも接続を受け入れるように設定します ADD L2TP IP= PPPTEMPLATE=1 10

11 1. AR ルータの設定 DNS リレーの設定 14. DNS リレー機能を有効にします ENABLE IP DNSRELAY 15. 接続確立まで ISP の DNS サーバーアドレスが不明なため DNS リクエストの転送先として IPCP ネゴシエーションを行うインターフェース名 ppp0 を指定します SET IP DNSRELAY INT=ppp0 11

12 1. AR ルータの設定 DHCP Server の設定 16. DHCP サーバー機能を有効にします ENABLE DHCP 17. DHCP ポリシー DHCP を作成します IP アドレスの使用期限は 3,600 秒 (1 時間 ) とします CREATE DHCP POLI="DHCP" LEASE= クライアントに提供する情報を設定します ここでは DNS サーバーアドレスとして ルーターの LAN 側インターフェースの IP アドレスを指定しています ここへ送られた DNS リクエストは DNS リレー機能により ISP の DNS サーバーに転送されます ADD DHCP POLICY="DHCP" SUBNET= ROUTER= DNSSERVER= クライアントに提供する IP アドレスの範囲を設定します ここでは ~ の 16 個を指定しています CREATE DHCP RAN="CLIENT" POLI="DHCP" IP= NUM=16 12

13 1. AR ルータの設定 Firewall の設定 20. ファイアーウォール機能を有効にします ENABLE FIREWALL 21. ファイアウォールの動作を規定するファイアウォールポリシーを作成します CREATE FIREWALL POLICY=net 22. ICMP パケットは Ping(Echo/Echo Reply) と到達不可能 (Unreachable) のみ双方向で許可します ENABLE FIREWALL POLICY=net ICMP_F=UNRE,PING Note デフォルト設定では ICMP はファイアウォールを通過できません 23. ルーターの ident プロキシー機能を無効にし 外部のメール (SMTP) サーバーなどからの ident 要求に対して ただちに TCP RST を返すよう設定します DISABLE FIREWALL POLICY=net IDENTPROXY 13

14 1. AR ルータの設定 Firewall の設定 ( 続き ) 24. VPN クライアントが L2TP 経由で接続してきたときに動的に作成される PPP インターフェース用のファイアウォール設定を行います 最初に ダイナミックインターフェーステンプレート vpnif を作成します 名前は自由です CREATE FIREWALL POLICY=net DYNAMIC=vpnif 25. 次に ダイナミックインターフェーステンプレート vpnif の対象ユーザーを指定します USER パラメーターで指定したユーザーが接続してきたときに動的作成される PPP インターフェースは ADD FIREWALL POLICY INTERFACE コマンドで DYN-templatename として参照できます (templatename はテンプレート名 ) ここでは対象ユーザーとして ANY を指定しています これは PPP の認証をパスしたすべてのユーザーが対象であることを示します ADD FIREWALL POLICY=net DYNAMIC=vpnif USER=ANY 26. ファイアウォールポリシーの適用対象となるインターフェースを指定します LAN 側インターフェース (vlan1) を PRIVATE( 内部 ) に設定します ADD FIREWALL POLICY=net INT=vlan1 TYPE=PRIVATE WAN 側インターフェース (ppp0) を PUBLIC( 外部 ) に設定します ADD FIREWALL POLICY=net INT=ppp0 TYPE=PUBLIC L2TP 経由でユーザーが接続してきたときに動的作成される PPP インターフェース (vpnif) を PRIVATE( 内部 ) に設定します ADD FIREWALL POLICY=net INT=DYN-vpnif TYPE=PRIVATE 14

15 1. AR ルータの設定 Firewall の設定 ( 続き ) 27. LAN 側ネットワークに接続されているすべてのコンピューターが ENAT 機能を使用できるよう設定します ローバルアドレスには ppp0 の IP アドレスを使用します ADD FIREWALL POLICY=net NAT=ENHANCED INT=vlan1 GBLINT=ppp0 28. VPN クライアントが ENAT 機能を使用できるよう設定します グローバルアドレスには ppp0 IP アドレスを使用します ADD FIREWALL POLICY=net NAT=ENHANCED INT=DYN-vpnif GBLINT=ppp0 29. VPN クライアントから受信した IKE パケット (UDP500 番 ) と NAT-T パケット (UDP4500 番 ) がファイアウォールを通過できるように設定します ADD FIREWALL POLICY=net RULE=1 AC=ALLOW INT=ppp0 PROT=UDP GBLPORT=500 GBLIP= PORT=500 IP= ADD FIREWALL POLICY=net RULE=2 AC=ALLOW INT=ppp0 PROT=UDP GBLPORT=4500 GBLIP= PORT=4500 IP=

16 1. AR ルータの設定 Firewall の設定 ( 続き ) 30. 基本ルールのままでは IPsec パケットまで遮断されてしまうので これらのパケットを通過させるためのルールを設定します ENCAP=IPSEC は IPsec パケットからオリジナルのパケットを取り出したあとでこのルールを適用することを示します よって 以下のコマンドは 取り出したパケットが UDP で終点ポートが 1701 番 (L2TP パケット ) ならば許可する の意味になります ADD FIREWALL POLICY=net RULE=3 AC=ALLOW INT=ppp0 PROT=UDP GBLPORT=1701 GBLIP= PORT=1701 IP= ENCAP=IPSEC 16

17 1. AR ルータの設定 ISAKMP の設定 31. ISAKMP 用の事前共有鍵 (pre-shared key) を作成します ここでは鍵番号を 1 番とし 鍵の値は secret という文字列で指定します (VPN クライアントにも同じ値を設定 ) CREATE ENCO KEY=1 TYPE=GENERAL VALUE="secret" Note CREATE ENCO KEY コマンドは コンソール上でログインしている場合のみ有効なコマンドです そのため EDIT コマンド ( 内蔵スクリーンエディター ) などで設定スクリプトファイル (.CFG) にこのコマンドを記述しても無効になりますのでご注意ください 32. VPNクライアントからのIKEネゴシエーション要求を受け入れるISAKMPポリシー i を作成します ISAKMPメッセージの暗号化には 3DES 認証には SHA アルゴリズム Oakleyグループは 2 を使用し VPNクライアントとの認証には前の手順で作成した事前共有鍵 ( 鍵番号 1 ) を使います さらに クライアントのIPアドレスが不定なためPEERにANYを指定し NAT-Traversalを有効にしています CREATE ISAKMP POLICY="i" PEER=ANY KEY=1 SENDN=TRUE NATTRAVERSAL=TRUE SET ISAKMP POLICY="i" ENCALG=3DESOUTER HASHALG=SHA GROUP=2 33. ISAKMP SA の有効期限を 600 秒 (10 分 ) に設定し Responder Rekey Extension 機能を有効にします SET ISAKMP POLICY="i" EXPIRYSECOND=600 REKEY=true 17

18 1. AR ルータの設定 IPsec の設定 34. IPsec 通信の仕様を定義する SA スペック 1 を作成します 鍵管理方式 ISAKMP プロトコル ESP 暗号化方式 AES256bit 認証方式 SHA に設定します この例では L2TP によってトンネリングを行うため デフォルトのトンネルモードは使用せずに トランスポートモードを使用します UDP1701 番ポートを使って送受信される L2TP パケットだけを暗号化する形になります CREATE IPSEC SASPEC=1 KEYMAN=ISAKMP PROTOCOL=ESP ENCALG=AES256 HASHALG=SHA MODE=TRANSPORT 35. 同様に IPsec 通信の仕様を定義する SA スペック 2 を作成します 鍵管理方式 ISAKMP プロトコル ESP 暗号化方式 AES128bit 認証方式 SHA に設定します CREATE IPSEC SASPEC=2 KEYMAN=ISAKMP PROTOCOL=ESP ENCALG=AES128 HASHALG=SHA MODE=TRANSPORT 36. 同様に IPsec 通信の仕様を定義する SA スペック 3 を作成します 鍵管理方式 ISAKMP プロトコル ESP 暗号化方式 3DES 認証方式 SHA に設定します CREATE IPSEC SASPEC=3 KEYMAN=ISAKMP PROTOCOL=ESP ENCALG=3DESOUTER HASHALG=SHA MODE=TRANSPORT 37. SA スペック からなる SA バンドルスペック 1 を作成します 鍵管理方式は ISAKMP を指定します CREATE IPSEC BUNDLE=1 KEYMAN=ISAKMP STRING="1 or 2 or 3" 18

19 1. AR ルータの設定 IPsec の設定 ( 続き ) 38. IKE パケット (UDP500 番 ) と NAT-T パケット (UDP4500 番 ) を素通しさせる IPsec ポリシー isa nat を作成します CREATE IPSEC POLICY=isa INT=ppp0 ACTION=PERMIT LPORT=500 TRANSPORT=UDP CREATE IPSEC POLICY=nat INT=ppp0 ACTION=PERMIT LPORT=4500 TRANSPORT=UDP Note NAT Traversal を使用する場合は 必ず IKE と NAT T のパケットが通過できるような設定を行ってください Note IPsec ポリシー は設定順に検索され 最初にマッチしたものが適用されるため 設定順序には注意が必要です 検索順は SHOW IPSEC POLICY コマンドで確認できます また 検索順を変更するには SET IPSEC POLICY コマンドの POSITION パラメーターを使用します 39. L2TP パケットを暗号化する IPsec ポリシー L2 を PPP インターフェース 0 に対して作成します 鍵管理方式には ISAKMP を指定します VPN クライアントの IP アドレスが不定なため PEER には ISAKMP の認証をパスした相手という意味の DYNAMIC を BUNDLE には前の手順で作成した SA バンドルスペック 1 を指定します また LPORT と TRANSPORT で対象となるパケットの条件 ( ここでは L2TP パケット ) を指定します CREATE IPSEC POLICY=L2 INT=ppp0 ACTION=IPSEC KEYMAN=ISAKMP BUNDLE=1 PEER=DYNAMIC SET IPSEC POLICY=L2 LPORT=1701 TRANSPORT=UDP 40. インターネットへの平文通信を許可する IPsec ポリシー inet を PPP インターフェース 0 に対して作成します CREATE IPSEC POLICY="inet" INT=ppp0 ACTION=PERMIT Note インターネットにもアクセスしたい場合は 必ず最後の IPsec ポリシーですべてのパケットを通過させる設定を行ってください いずれの IPsec ポリシーにもマッチしなかったトラフィックはデフォルトで破棄されてしまうため 上記の設定がないと VPN 以外との通信ができなくなります 19

20 1. AR ルータの設定 IPsec の設定 ( 続き ) 41. IPsec モジュールを有効にします ENABLE IPSEC 42. ISAKMP モジュールを有効にします ENABLE ISAKMP 43. Security Officer レベルのユーザーでログインしなおします LOGIN secoff 44. 動作モードをセキュリティーモードに切り替えます ENABLE SYSTEM SECURITY_MODE Note セキュリティーモードでは Security Officer レベルでの Telnet ログインが原則として禁止されています セキュリティーモードにおいて Security Officer レベルで Telnet ログインしたい場合は あらかじめ RSO(Remote Security Officer) の設定を行っておいてください 45. 設定は以上です 設定内容をファイルに保存し SET CONFIG コマンドで起動時設定ファイルに指定します CREATE CONFIG=router.cfg SET CONFIG=router.cfg 20

21 21

22 2-1. NetAttest EPS 基本設定例 NetAttest EPS の IP アドレス設定など 初期設定については本資料には記載しておりません 前提となる初期設定は以下です システム初期設定 サービス初期設定 LDAP 設定とLDAPサービスの起動詳細は管理者マニュアル等をご参照下さい 本資料では NetAttest EPS V4.2 を元として記載しております 22

23 2-1. NetAttest EPS 基本設定例 RADIUS クライアントの登録 RADIUS クライアントとして RADIUS 認証を行なう機器を登録します 本資料では AR560S が RADIUS クライアントとなります 23

24 2-1. NetAttest EPS 基本設定例 RADIUS クライアントを識別するための任意文字列を入力します AR560S の IP アドレスを入力します 本資料では になります RADIUS クライアントを認証するためのパスワードとして RADIUS クライアント側に設定したものと同一の任意文字列を入力します ( 本資料 7 ページの AR560S 設定参照 ) 24

25 2-1. NetAttest EPS 基本設定例 RADIUS サービスを起動します 25

26 2-1. NetAttest EPS 基本設定例 ユーザーの登録 RADIUS 認証を行なうユーザーを登録します 26

27 2-1. NetAttest EPS 基本設定例 認証を行なうユーザーの姓および名を入力します 認証を行なう際に入力するユーザー ID とパスワードを入力します 上記の各情報を入力後 OK をクリックするとユーザーが登録されます 27

28 28

29 2-2. NetAttest EPS ワンタイムパスワード設定例 2-1 で設定した RADIUS の基本設定に 以降の設定を追加することで RADIUS のパスワードとしてワンタイムパスワード ( 以下 OTP) を利用することができるようになります OTP では RADIUS の認証方式として PAP のみ対応していますので AR 側に PAP の設定が必要です DPX ファイルのインポート トークンのシリアル番号等の情報が埋め込まれた DPX ファイルを NetAttest EPS にインポートします 転送キーのテキストボックスには DPX ファイルと紐付いている転送キーを入力します DPX ファイルには PIN 有と PIN 無の 2 種類があります OTP 利用時に PIN コードも合わせた二要素認証を利用したい場合は PIN 有のファイルを利用します DPX ファイル 転送キー 初期 PIN コードはトークンと共に納品されます 29

30 2-2. NetAttest EPS ワンタイムパスワード設定例 DPX ファイルインポート結果の確認 DPX ファイルが正常にインポートされたことを確認します DPX ファイルのインポート後に表示される画面から CSV ファイルダウンロードしインポート結果を確認します また インポートしたトークンの一覧は RADIUS サーバ DIGIPASS トークン一覧 からも確認できます 30

31 2-2. NetAttest EPS ワンタイムパスワード設定例 ユーザーとトークンの紐付け すでに登録しているユーザーに インポートしたトークンのシリアル番号を紐付けます ユーザー ユーザ一覧 から OTP 認証を利用するユーザーのタスク変更ボタンをクリックします 標準属性タブで ユーザーの認証タイプとして VASCO を選択します OTP タブで 対応させたいトークンのシリアル No. を入力します 31

32 2-2. NetAttest EPS ワンタイムパスワード設定例 OTP の利用方法 ここまでの設定により RADIUS 認証におけるパスワードとして EPS のユーザーデータに登録してあるパスワードの代わりとして OTP が利用できるようになりました ソフトウェアトークン ハードウェアトークン 32

33 2-2. NetAttest EPS ワンタイムパスワード設定例 補足 PIN コードについて PIN(Personal identification number / 個人認識番号 ) コードはユーザーが独自に設定できるパスワードです NetAttest の OTP では PIN コード (4 桁の数字 ) とワンタイムパスワードを使った二要素認証が可能です PIN コードの変更方法 ユーザー自身による PIN コードの変更は認証処理の中で行います 新しい PIN に変更したい場合 パスワードは通常の PIN + ワンタイムパスワードに続けて 新しい PIN を 2 度入力します 例 OTP XXXXXX 旧 PINコード 1234 新 PINコード 5678 パスワードとして以下を入力する事で PIN コードを変更できます 1234XXXXXX

34 34

35 3. iphone/ipad 設定例 本資料では iphone 3GS/iOS 4.2 を元として記載しております 本資料に記載する設定内容は一例であり 全ての環境における接続性を保障するものではありません 35

36 3-1. iphone/ipad 設定例 ホーム画面より設定をタップします 36

37 3-1. iphone/ipad 設定例 設定メニューより 一般 をタップします 37

38 3-1. iphone/ipad 設定例 一般メニューより ネットワーク をタップします 38

39 3-1. iphone/ipad 設定例 ネットワークメニューより VPN をタップします 39

40 3-1. iphone/ipad 設定例 VPN メニューより VPN を追加 をタップします 40

41 3-1. iphone/ipad 設定例 L2TP を選択し 各項目を以下のように設定します 説明 AR_VPN( 任意の名称 ) サーバ アカウント RSA SecureID (NetAttest EPS に 設定したもの ) オフ パスワード (NetAttest EPS サーバに設定したもの ) シークレット すべての信号を送信 secret オン 41

42 3-1. iphone/ipad 設定例 プロキシ グループから オフ を選択し 画面右上の 保存 をタップします 42

43 3-1. iphone/ipad 設定例 AR VPN を選択し VPN をオンにします 43

44 3-1. iphone/ipad 設定例 画面上段右上に VPN アイコンが表示され 状況 に接続中と表示されれば接続に成功です 44

45 45

46 3-2. Android 設定例 本資料では Galaxy Tab を例に Android 2.2 を元として記載しております 46

47 3-2. Android 設定例 メニューボタンを押し 設定 をタップします 47

48 3-2. Android 設定例 設定メニューから 無線とネットワーク をタップします 48

49 3-2. Android 設定例 無線とネットワークメニューから VPN 設定 をタップします 49

50 3-2. Android 設定例 VPN 設定メニューから VPN の追加 をタップします 50

51 3-2. Android 設定例 VPN の追加メニューから L2TP/IPsec PSK VPN を追加 をタップします Note 認証ストレージのパスワードの入力を求められる場合があります 51

52 3-2. Android 設定例 L2TP/IPsec PSK VPN を追加メニューにて 各項目を以下のように設定します 説明 AR_VPN( 任意の名称 ) VPN サーバー IPsec 事前共通鍵の設定 L2TP セキュリティ保護を有効にします secret 無効 DNS 検索ドメイン ( 未設定 ) 52

53 3-2. Android 設定例 VPN メニューに登録された AR VPN をタップします 53

54 3-2. Android 設定例 NetAttest EPS に設定した PPP ユーザー名とパスワードを入力します 54

55 3-2. Android 設定例 画面左上に鍵のアイコンが表示され AR VPN の下に 接続されています と表示されれば接続に成功です 55

56 THANK YOU. Please visit us online at