CentreCOM SSL VPN-Plus 機能仕様書

Transcription

1 1 CentreCOM SSL VPN-Plus TM 機能仕様書 アライドテレシス株式会社

2 2 本書について 本書は CentreCOM SSL VPN-Plus TM Ver2.0 の機能仕様書です 本書では CentreCOM SSL VPN- Plus TM Ver2.0 ( ビルド 2024) の機能仕様を説明しています 表示画面 表示画面などは 操作の一例として掲載しているため 実際に表示される画面とは異なる場合もあります 商標について CentreCOM は アライドテレシスホールディングス株式会社の登録商標です その他 本書に記載されている会社名 製品名は それぞれ各社の商標または登録商標です 版権 / 注意 本書の内容の一部または全部を無断で複写転載することを禁じます 本書に掲載の内容および製品の仕様などは 予告なく変更されることがあります 本書の内容は万全を期して作成しておりますが 万一ご不明な点や誤り 記載もれ 乱丁 落丁などお気づきの点がございましたら 弊社までご連絡ください Copyright 2006 Allied Telesis Holdings K.K. All rights reserved.

3 3 目次 本書について... 2 表示画面... 2 商標について... 2 版権 / 注意... 2 目次... 3 基本機能 フル リモートアクセス クライアント (PHATクライアント) 暗号化と認証 管理コンソール システム SSL VPN-Plus ユーザ / グループ 承認 ネットワーク拡張 ポータル ファイアウォール ツール 専用クライアント 拡張設定 クライアント情報の提供 アップグレード通知 クライアント エンドポイント セキュリティ トンネリングモード... 8 Ver.2.0 の新機能 アクセスモード Webアクセスターミナル (WAT)... 10

4 クイックアクセスターミナル (QAT) ハイブリッドアクセス (WAT+QAT) ポータルページへのEPS 統合 簡易 DHCP 機能 カスケード認証機能 認証グループ抽出機能 証明書管理機能 キャッシュクリアおよびコピーブロック機能 内部ネットワークリソースの一元管理機能 動的 IPアドレス管理 内部ネットワーク管理 クライアント構成管理 インストールパッケージ管理 管理コンソールの強化 シングルアームモードのサポート タスクトレイアイコンの通知機能 Webポータルページカスタマイズ機能 ゲートウェイアクセス制限機能 ポートマッピング機能 版数について... 17

5 5 1 基本機能 CentreCOM SSL VPN-Plus TM Ver2.0( 以下 SSL VPN-Plus とします ) は SSL VPN を構築するアプライアンス製品です SSL VPN-Plus の基本機能は次のとおりです 1.1. フル リモートアクセス クライアント (PHAT クライアント ) SSL VPN-Plus には フル リモートアクセスを提供するクライアントソフトウェア (PHAT クライアント ) が用意されています PHAT クライアントは インストール時に Web ブラウザーを使用しますが 利用時には Web ブラウザーを起動する必要はありません PHAT クライアントからは Web アプリケーションに限らず LAN 上の Windows PC で利用できているアプリケーションであれば 制限なくリモートアクセスすることができ 設定を変更する必要も基本的にはありません PHAT クライアントでは TCP および IP ベースのアプリケーション 動的 IP およびポートを利用するアプリケーション Web アプリケーション以外のレガシーアプリケーションがサポートされています 1.2. 暗号化と認証 次の暗号化機能と認証機能がサポートされています これらの指定は 管理コンソールを使用して行います 暗号化 SSL プロトコル SSL v3, TLS v1.0 暗号化方式 AES, DES, 3DES, RC4 ハッシュ MD5, SHA-1 公開鍵 RSA 1024 認証 ユーザー名 / パスワード RADIUS LDAP Active Directory ローカル DB X. 509 証明書による各種電子証明書による SSL クライアント認証 1.3. 管理コンソール SSL VPN-Plus では XML-RPC を利用した管理 運用がサポートされています このため 管理コンソール上から SSL VPN-Plus への設定がすべて行えます また デバイスの管理 セッションコントロールや SSL VPN-Plus のステータス セッションモニタリングもサポートされています 管理コンソールは Java アプレットとして提供されるため 利用時には Java に対応した Web ブラウザー (Java アプレットは有効に設定 ) を使用してください 次に 管理コンソール上から選択できる機能を説明します これらの機能は 管理コンソールの左側にセクション ( メニュー ) として表示されます

6 システム SSL VPN-Plus の CPU メモリ情報や インターフェース名 ネットワークアドレス SSL VPN インスタンスの状態およびライセンス情報を確認できます また 接続に使用するルーティングテーブルの管理や 名前解決に使用する DNS サーバー ホスト情報 管理コンソールへの管理者ユーザーを管理します SSL VPN-Plus ゲートウェイインスタンスの追加 変更削除 クライアント証明書の利用や 暗号化に使用する証明書を管理します また SSL VPN-Plus のライセンスを管理します ユーザ / グループ SSL VPN-Plus ユーザーを認証するサーバー情報の追加 修正 削除 グループへの認証サーバーとポリシーの関連付け 各ユーザーとグループの関連付けを設定します また ポータルリソースの割り当て DHCP サーバーの利用 キャッシュクリアおよびコピー & ペーストブロック機能について管理します 承認アクセスポリシーを作成 変更 削除できます また クライアントデバイスのセキュリティ状況に応じて各クライアントに適用するポリシーセットを変更することができます ポリシーは 個々のポリシールールがエンドポイントのセキュリティポリシーと関連付けられて セキュリティゾーンとして管理 適用されます 注意 : デフォルトでは全てのアクセスが許可されます そのため ポリシー定義は必ず実行することをお勧めします

7 ネットワーク拡張 クライアントが接続する内部ネットワーク情報 SSL VPN-Plus から提供する動的 IP アドレスのリスト クライアントの構成情報およびインストールパッケージについて管理します ポータル ユーザーがアクセスするポータルページの設定を管理します ここでは ユーザーへ接続を許可するポータルリソースとして定義します また ポータルページの配色および会社名 ロゴをユーザーがカスタマイズして管理します ファイアウォール SSL VPN-Plus へのアクセスに関するフィルターおよびポートマッピング機能を管理します 管理者はこれらの機能を利用して安全にサーバーを公開したり また不正な攻撃を防ぐことができます ツール ping ツールを利用した内部サーバーの疎通確認や 日付および時刻の管理 SSL VPN-Plus のシステム構成のインポート エクスポート 初期化などを管理します またこれは SSL VPN-Plus のゲートウェイサービスを再起動または停止する機能を提供します 1.4. 専用クライアント 専用クライアント (PHAT クライアント ) を使用した SSL VPN 接続時の機能について説明します 拡張設定 SSL VPN 接続に利用するプロキシサーバーを直接指定したり Web ブラウザーの設定を参照する機能を提供します ( 自動構成スクリプトには対応していません ) クライアント情報の提供クライアントの接続プロファイルおよび接続先の確認や 不要なプロファイルの削除 接続状態 パケット数などの情報を提供します アップグレード通知 SSL VPN-Plus 上のバージョンと現在のクライアントバージョンをチェックして自動的にアップグレードを通知します アップグレードには管理者権限を必要としません クライアント エンドポイント セキュリティエンドポイント セキュリティをサポートしています これにより 内部ネットワーク ( プライベートネットワーク ) にアクセスするリモートユーザーのコンピューターは あるレベルのセキュリティを保つことが要求されるため セキュリティレベルの低いリモートユーザーによる プライベートネットワークへの悪影響を可能な限り排除することができます エンドポイント セキュリティのポリシーは 以下の手順で設定します 1. エンドポイント セキュリティのポリシーを新たに作成するか 既存のポリシーを選択します ( ポリシー例 ) a. Check for McAfee Antivirus 8.0

8 8 b. Check for Windows XP firewall c. Check for IP forwarding disabled d. Check for windows XP SP2 2. エンドポイント セキュリティ ポリシーを適用するゾーンレベルを定義し ゾーンレベルごとにアクセスコントロールポリシーを定義します ( ゾーン例 ) ゾーン名 : Un-trusted Zone ホストポリシー : Any Antivirus running, Windows XP higher, Microsoft Anti-spy were running. アクセスコントロールポリシー : ACCEPT TCP ANY 80 ACCEPT TCP ANY 443 DENY TCP ANY ANY 3. PHAT クライアントが SSL VPN-Plus へのアクセスを試みると セキュリティレベルの情報と各セキュリティレベルのエンドポイント セキュリティ ポリシーの情報が PHAT クライアントに送られます PHAT クライアントが既にこれらの情報を持っている場合は送られません ( これら情報に変更があった場合には再送されます ) 4. PHAT クライアントのセキュリティレベルがチェックされ セキュリティレベルに応じてポリシーが適用されます 1.5. トンネリングモード SSL VPN-Plus では ユーザーの利用形態にあわせて 2 つのトンネリングモードをサポートがサポートされています スプリットトンネル : SSL VPN-Plus を経由してプライベートネットワークを使用する際は SSL VPN-Plus の PHAT クライアントインストール時に作成された仮想ネットワークを利用します プライベートネットワークではなく パブリックネットワークを使用する際は 通常のネットワーク接続を利用し トラフィックはプライベートネットワークに送り出されません 外部ネットワークトラフィック 内部ネットワークトラフィック 企業内トラフィック 外部ネットワーク ゲートウェイを経由した内部ネットワークへの SSL VPN 接続

9 9 フルトンネル : SSL VPN-Plus を経由してプライベートネットワークを使用する際も パブリックネットワークを使用する際も SSL VPN-Plus の PHAT クライアントインストール時に作成された仮想ネットワークを利用します トラフィックは通常のネットワーク接続に送り出されません 外部ネットワークトラフィック 内部ネットワークトラフィック 企業内トラフィック ゲートウェイを経由した内部ネットワークへの SSL VPN 接続

10 10 2 Ver.2.0 の新機能 SSL VPN-Plus は Ver2.0 より下記の機能が追加されました 2.1. アクセスモード Ver2.0 では 新たに追加され アクセスモードが 3 種類になりました ユーザーは必要に応じて 各アクセスモードを利用して内部ネットワークにアクセスすることができます Web アクセスターミナル (WAT) Web ブラウザーのみを利用する Web ベースのアクセスです これにより 容易にアプリケーションをユーザーに公開することができますが 利用できるアプリケーションは Web ベースのアプリケーションに限定されます クイックアクセスターミナル (QAT) Web ブラウザーのみを利用する TCP ベースアプリケーションのアクセスです これにより 内部ネットワークへ容易にアクセスする機能が提供されますが 利用するアプリケーションは TCP ベースに限定され Windows ファイル共有および UDP ICMP プロトコルは利用できません ハイブリッドアクセス (WAT+QAT) Web ブラウザーのみを利用する WAT と QAT を組み合わせたハイブリッドアクセスを提供します ハイブリッドアクセスでは ポータルページのリンクを利用して内部ネットワークへの TCP アクセスを提供します 2.2. ポータルページへの EPS 統合 EPS スキャン機能を 従来の専用クライアントアクセスだけでなく ポータルページへも統合しています EPS 機能が有効になっている場合 ユーザーがポータルページへログインする際に EPS スキャンが実行されます EPS スキャンの結果に応じたゾーンのアクセスポリシーが適用されます

11 11 1 EPS スキャン完了までログイン不可 3 ゾーンの確定によりログイン許可 2 EPS スキャン結果よりゾーンが確定 2.3. 簡易 DHCP 機能 ユーザーが内部リソースにアクセスする際に SSL VPN-Plus からアクセスに使用する IP アドレスを提供します 2.4. カスケード認証機能 ユーザー認証に使用する外部認証サーバーを複数組み合わせて認証する機能です 利用する認証サーバーが複数存在する場合は すべての認証サーバーで同時に認証することができます 2.5. 認証グループ抽出機能 ユーザー認証を通過したユーザーの認証属性に基づいたグループ割り当て機能です これにより 複数の認証サーバーを使用して認証した場合でも 認証サーバーごとにグループを割り当てることができ ユーザー管理を容易にします

12 証明書管理機能 SSL VPN-Plus で使用する証明書 ( サーバー証明書およびサーバーキー ) を管理する機能です ユーザーが独自に取得した x509 証明書を SSL の暗号化に利用することができます また クライアント証明書認証に使用する CA 証明書を別に管理することで より強固なセキュリティを提供します 証明書 サーバキーの追加 証明書の詳細表示 2.7. キャッシュクリアおよびコピーブロック機能 拡張された EPS 機能により SSL セッション終了時に Web ブラウザーのキャッシュおよびプログラムファイル クッキーを削除します また コピーブロック機能を使用すれば クリップボードの動作を制限することもできます 一時ファイル / クッキー 入力した URL プログラムファイル コピー & ペースト ブロック

13 内部ネットワークリソースの一元管理機能 Ver2.0 では 内部ネットワークアクセスに必要な内部リソースを一元的に管理することができます 管理者は必要に応じて管理コンソール上で設定を変更するだけで ネットワーク構成変更などに対応できます 動的 IPアドレス管理クライアントが使用する内部ネットワークの割り当てアドレスを複数のプロファイルとして管理します 複数定義された設定は グループに対して必要な数だけ割り当てることができます 内部ネットワーク管理クライアントに公開する 内部ネットワーク情報を管理します 内部ネットワーク情報にはすべてのネットワークレンジ またはネットワーク上の特定のポートレンジを指定することもできます また 内部ネットワークのルーティングに必要となる内部ゲートウェイアドレスを指定できます

14 クライアント構成管理 クライアントソフトウェアの動作オプションを指定します インストールパッケージ管理 クライアントソフトウェアのインストールオプションおよび代替ゲートウェイを指定します また Linux および Mac クライアントパッケージの作成について指定することができます 2.9. 管理コンソールの強化 Ver2.0 では管理コンソールのデザインおよび操作性に変更が加わりました その結果 より容易で簡単な管理を実現します また 管理コンソール上でのセッションログの表示や 管理者にアクセス権を定義して管理者の負担を軽減します

15 シングルアームモードのサポート Ver2.0 では シングルアームモードでの動作がサポートされました これにより SSL VPN-Plus を内部ネットワーク内でブリッジとして利用することが可能になりました また DMZ 内での構成も容易になります タスクトレイアイコンの通知機能 Ver2.0 では アクセスコントロールポリシーの設定に基づき アクセスブロックをユーザーに通知できるようになりました アクセスコントロールポリシーの設定で 拒否 が設定されている場合 アクセスがブロックされたことがタスクトレイアイコンから通知されます Web ポータルページカスタマイズ機能 ユーザーがアクセスするポータルページ内の会社のロゴや配色を変更することができます またバナー画像を変更することで PHAT クライアントに表示されるイメージを変更することもできます

16 16 標準ページ カスタマイズページ ゲートウェイアクセス制限機能 パケットフィルター機能を使って SSL VPN-Plus への攻撃や不正なアクセスをブロックすることができます フィルターには送信元アドレス 送信元ポート 宛先アドレス 宛先ポートを指定することができます ポートマッピング機能 ポートマッピング機能を利用すれば 外部からのアクセス要求を特定の内部サーバーに転送することができます その結果 内部ネットワーク内にあるサーバーを安全に社外に公開することができます

17 17 版数について CentreCOM SSL VPN-Plus TM 機能仕様書 2005 年 8 月初版 2006 年 10 月第 2 版ファームウェアバージョンアップ 発行元 : アライドテレシス株式会社