TheGreenBow VPN Client

Size: px

Start display at page:

Download "TheGreenBow VPN Client"

こうじさくもと
6 years ago
Views:

TheGreenBow IPSec VPN Client ユーザガイド証明書の利用ホームページ : 連絡先 : http://www.thegreenbow.

1 TheGreenBow IPSec VPN Client ユーザガイド証明書の利用ホームページ : 連絡先 : gbsupport@thegreenbow.jp 証明書ユーザガイド Guide Property of TheGreenBow Sistech SA - Sistech /30

2 目次 1 はじめに TheGreenBow VPN Client の概要 TheGreenBow IPSec VPN Client とは? マルチ VPN ゲートウェイソリューション Linux アプライアンスをサポート TheGreenBow VPN Client の特長 OEM とソフトウェアの商標変更 Microsoft Certificate Server の利用 Microsoft Certificate Server のインストール証明書の作成ユーザ証明書の作成証明書要求への署名証明書のエクスポート OpenSSL の利用証明書の作成自己署名証明書の作成ユーザ証明書の作成証明書要求への署名その他の TgbSmallPKI ツール証明書情報の表示 PKCS12 から PEM への変換証明書を用いた IPSec VPN Client の設定証明書の PEM 形式への変換証明書の TheGreenBow IPSec VPN Client へのインポートトラブルシューティングお問い合わせ証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

3 1 はじめに本文書では証明書の作成方法 PEM 形式への変換方法 TheGreenBow IPSec VPN Clientへのインポート方法についてご説明します X509 証明書の作成や VPN トンネルの安全な開通には第三者認証機関の利用が不可欠です Windo ws 2000/2003 サーバで使用可能な Microsoft Certificates server (Microsoft Certificate Service) や OpenSSL いくつかの VPN ルータなど証明書の作成方法は様々です証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

4 2 TheGreenBow VPN Client の概要 2.1 TheGreenBow IPSec VPN Client とは? TheGreenBow VPN Client は Windows の全バージョンに対応する IPSec VPN ソフトウェアで通常インターネット上でリモートユーザと企業イントラネット間の安全な接続を可能にします IPSec は既存のネットワークやファイアウォール設定と両立する強力なユーザ認証とトンネルの暗号化能力を誇っており最も安全な企業への接続手段です TheGreenBow IPSec VPN Client は長年にわたるネットワークセキュリティー分野での経験や Windows ネットワークドライバの開発関連分野における精力的な研究の成果です VPN IPSec Clientは弊社一連のネットワーク製品を完結させるもので他の弊社製品同様極めて扱いやすくインストールも簡単です 2.2 マルチ VPN ゲートウェイソリューション TheGreenBow の戦略は現在市場にある VPN ゲートウェイや家電メーカーをできるだけ多くサポートしお客さまに真のマルチベンダーソリューションをご提供することです弊社実験室では新たな IPS ec VPN ゲートウェイやアプライアンスがテストされています弊社ホームページでは日々更新される認証済みゲートウェイ一覧がご覧いただけますので新しく認証された VPN ゲートウェイをぜひ定期的にご確認ください 2.3 Linux アプライアンスをサポート TheGreenBowは StrongS/WANやFreeS/WANといったいくつかのLinux IPSec VPNのインプリメンテーションをサポートしているため TheGreenBow IPSec VPN ClientはそれらLinuxインプリメンテーションをベースとするIPSec ルータ / アプライアンスのほとんどと互換性があります今後さらに対応数が増える予定です対応するLinux VPNアプライアンス一覧は弊社ホームページでご覧いただけます 2.4 TheGreenBow VPN Client の特長 Windows 対応バージョン接続モード Win95, Win98, Me, NT, Win2000, WinXP "point-to-multiple" モードでゲートウェイやサーバを介さず peer-to-peer VPN として作動しますダイアルアップ DSL ケーブル GSM/GPRS WiFi など全ての接続手段に対応しますトンネリングプロトコル IKE に完全対応 : IKE は OpenBSD 3.1 インプリメンテーション (ISAKMPD) ベースのため既存の IPSec ルータおよびゲートウェイと最高の互換性があります証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

5 IPSec 完全対応 : メインモードおよびアグレッシブモード MD5およびSHAハッシュアルゴリズム NATトラバーサル NATトラバーサルドラフト1( 拡張 ) 2 3( 完全実装 ) NAT_OAにも対応 ( 交換用フロータポート ) NATキープアライブ機能暗号化ユーザ認証 USBスティックログコンソール隠しユーザインタフェース設定構築 Live update 3DES DES AES 128/192 ビット暗号化 X-AUTH 対応事前共有鍵および X509 証明書対応現在入手可能な IPSec ゲートウェイのほとんどと互換性がありますグループ対応 (1536 および 2048) Flexible Certificate support (PEM, PKCS12,...) VPN 設定とセキュリティーエレメント ( 証明書事前共有鍵など ) を USB スティックに保存しコンピュータから認証情報を削除することが可能です全てのフェーズメッセージはテストやステージング用にログされますまた多重フィルタリング (10) により特定のアスペクトの表示を容易に制限できます自動インストールと見えない画像インタフェースにより IT 管理者はユーザによる誤用悪用の心配なくソフトウェアをデプロイできますユーザインタフェースおよびコマンドライン増分インストールによりシステムを再起動することなく暗号化や認証モジュールが新バージョンに置き換えられますこれは Live update 機能にも適用されメインサーバからのソフトウェア更新ができます 2.5 OEM とソフトウェアの商標変更弊社製品は OEM バージョンの Client とシステムインテグレータをターゲットにしています既存の製品を完結させるために完全に機能的な VPN Client ソリューションをご提供します弊社 IPSec VPN Client は商標変更が可能で必要に応じてソースコードライセンスもご使用いただけます証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

6 3 Microsoft Certificate Server の利用このセクションでは Microsoft Certificate Serverを使ったユーザ証明書の作成証明書要求への署名証明書のエクスポートについて詳しく説明します 3.1 Microsoft Certificate Server のインストール Microsoft Certificate Serverは Windows NT/2000/2003サーバのオプションパックの一部です使用にあたっては Microsoftインターネットインフォメーションサービス (IIS) およびMicrosoftインターネットエクスプローラ (IE) が必要です証明書の提供するインターネット登録ページからはインターネットブラウザを使ったサービスへの接続や証明機関への要求証明書要求ファイルやスマートカード登録ファイルの処理等一般的な作業が行えますウェブサイトは vername/certsrvの予定で ServerNameは認証機関の発行したホスト名となります Windows2000 サーバの Microsoft 証明書の設定については以下をご覧ください認証機関の設定について : Microsoft 証明書ホームページ : Microsoft 証明書の管理について : 以下 Windows2003 サーバ上でのスタンドアロンのルート認証機関を使ったインターネットインフォメーションサービス (IIS 6.0) と Microsoft Certificate Server (MCS) のインストール手順を説明します Microsoft インターネットインフォメーションサービスのインストール手順は以下のとおりです [ スタート ] をクリックし [ コントロールパネル ] から [ プログラム追加 / 削除 ] をクリックします [ プログラム追加 / 削除 ] 画面の [Windows コンポーネントの追加と削除 ] をクリックします [Windowsコンポーネント] 画面で [ アプリケーションサーバー ] をクリックし [ 詳細 ] をクリックします [ アプリケーションサーバー ] 画面で [ インターネットインフォメーションサービス (IIS)] を選び [ 詳細 ] をクリックします [ インターネットインフォメーションサービス (IIS)] の [ 証明書サーバWeb クライアント ] にチェックを入れ [OK] をクリックします [ アプリケーションサーバー ] ダイアログボックスで [OK] をクリックします [Windowsコンポーネント] ダイアログボックスで [ 次へ ] をクリックします [Windowsコンポーネントウィザードの完了] 画面で [ 完了 ] をクリックします証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

スタンドアロンのルート認証機関のインストール手順は以下のとおりです [ スタート ] をクリックし [ コントロールパネル ] から [ プログラム追加 / 削除 ] をクリックします [ プログラム追加 / 削除 ] 画面の [Windows コンポーネントの追加と削除 ] をクリックします [Windows コンポーネント ] 画面で [ 証明書 ] をクリックし [ 詳細 ]

7 スタンドアロンのルート認証機関のインストール手順は以下のとおりです [ スタート ] をクリックし [ コントロールパネル ] から [ プログラム追加 / 削除 ] をクリックします [ プログラム追加 / 削除 ] 画面の [Windows コンポーネントの追加と削除 ] をクリックします [Windows コンポーネント ] 画面で [ 証明書 ] をクリックし [ 詳細 ] をクリックします [ 証明書 ] ダイアログボックスの [CA 証明書 ] にチェックを入れ [OK] をクリックします [CA 証明書 ] と [ 証明書のウェブ登録プロセス ] の両方にチェックが入っていることを確認し [ 証明書 ] ダイアログボックスの [OK] をクリックします [Windows コンポーネント ] ダイアログボックスの [ 次へ ] をクリックします以下のように [ 証明書の種類 ] を更新し [ 次へ ] をクリックします以下のように [ 公開鍵と私有鍵 ] を更新 / カスタマイズし [ 次へ ] をクリックします証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

8 以下のように [ 証明書構成データの格納 ] を更新 / 編集し [ 次へ ] をクリックします [ 証明書データベース設定 ] 画面で [ 証明書データベース ] と [ 証明書データベースログ ] 位置証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

9 [Microsoft Certificate Services] ダイアログボックスで [ インターネットインフォメーションサービス ] を一時停止する必要がある旨のメッセージが表示されます [ はい ] をクリックします [Microsoft Certificate Services] ダイアログボックスで証明書サービスのウェブ登録ページを使用する際にはIISでアクティブサーバページを有効にする必要がある旨メッセージが表示されるので [ はい ] をクリックします [Windowsコンポーネント] ダイアログボックスの [ 次へ ] をクリックします [ プログラム追加 / 削除 ] 画面を閉じます 3.2 証明書の作成このセクションではユーザ証明書の作成と証明書要求への署名についてご説明しますユーザ証明書の作成このセクションでは TheGreenBow IPSec VPN Client 用のユーザ証明書の作成についてご説明します VPN ルータ等他の VPN IPSec のエンドポイントにも対応していますユーザ証明書の作成手順は以下のとおりです証明書サービスに接続します ( - ServerNameには認証機関発行のコンピュータ名が入ります ) [ ようこそ ] 画面で [ 証明書を要求する ] をクリックします [ 証明書の要求 ] 画面で [ 証明書の要求の詳細設定 ] をクリックします [ 証明書の要求の詳細設定 ] 画面で [ フォームを使用してこの CA へ証明書の要求を送信します ] をクリックします [ 証明書の要求の詳細設定 ] 画面に記入します ( 例参照 ) TheGreenBow IPSec VPN Clientはトンネル構築用に証明書私有鍵を必要とするため [ エクスポート可能な鍵としてマークする ] をチェックし [ 送信 ] をクリックします証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

10 処理が終わると [ 保留中の証明書 ] 画面が表示されます Microsoft Server 管理者から要求が受け付けられ認証されるのを待ちます Certificate 証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

証明書を読み込むには Microsoft Serverのトップ画面に戻り [ 保留中の要求の状態 ]

証明書が発行されました ] という画面が表示されます Certificate [ この証明書のインストール ]

証明書がインターネットエクスプローラの証明書庫に保存されたことを示す [ 証明書がインストールされました ]

11 証明書を読み込むには Microsoft Serverのトップ画面に戻り [ 保留中の要求の状態 ] をクリックします [ 保留中の要求の状態 ] 画面で表示したい要求を選択します以下のように [ 証明書が発行されました ] という画面が表示されます Certificate [ この証明書のインストール ] をクリックし当該証明書をローカルコンピュータストアに追加します処理が終わると証明書がインターネットエクスプローラの証明書庫に保存されたことを示す [ 証明書がインストールされました ] という画面が表示されます証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

証明書をインターネットエクスプローラの証明書庫からエクスポートするにはセクション 3.3 をご覧ください 3.2.2 証明書要求への署名このセクションでは ZyWall 10W(firmware version V3.62 WH.

12 証明書をインターネットエクスプローラの証明書庫からエクスポートするにはセクション 3.3 をご覧ください証明書要求への署名このセクションでは ZyWall 10W(firmware version V3.62 WH.3 04/28/2004) で作成した証明書要求への署名手順をご説明しますユーザ証明書用の証明書要求の作成手順は以下です Web インタフェースを使ってルータに接続します私の証明書をクリックし作成ボタンを押します以下のフォームに記入します処理が終了したら私の証明書タブに戻り新規に作成された証明書要求を選択して詳細をクリックします PEM(base- 64) エンコード形式の証明書欄のデータを適当なファイル- 例えばZyCert.pem-にコピー & ペーストします証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

Microsoft Certificate Server を使って証明書要求に署名する手順は以下のとおりです証明書サービスに接続します (http://servername/certsrv - ServerName には認証機関発行のコンピュータ名が入ります ) [ ようこそ ] 画面で [ 証明書の要求 ] をクリックします [ 証明書の要求 ] 画面で

pem ファイルを閲覧し [ 読む ] をクリックします [ 証明書要求又は更新要求の送信 ] 画面は以下のように表示されます : [ 送信 ] をクリックします処理が終わると [ 要求は保留中 ] 画面が表示されます Microsoft Server 管理者から要求が受け付けられ認証されるのを待ちます証明書を読み込むには Microsoft

13 Microsoft Certificate Server を使って証明書要求に署名する手順は以下のとおりです証明書サービスに接続します ( - ServerName には認証機関発行のコンピュータ名が入ります ) [ ようこそ ] 画面で [ 証明書の要求 ] をクリックします [ 証明書の要求 ] 画面で [ 証明書の要求の詳細設定 ] をクリックします [base-64-encoded CMC または PKCS#10 ファイルを使って証明書要求を送信する或いは base-64- encoded PKCS#7 ファイルを使って更新要求を送信する ] をクリックします [ 挿入するファイルを閲覧する ] をクリックして ZyCert.pem ファイルを閲覧し [ 読む ] をクリックします [ 証明書要求又は更新要求の送信 ] 画面は以下のように表示されます : [ 送信 ] をクリックします処理が終わると [ 要求は保留中 ] 画面が表示されます Microsoft Server 管理者から要求が受け付けられ認証されるのを待ちます証明書を読み込むには Microsoft Serverのトップページに戻り [ 保留中の要求の状態 ] をクリックします [ 保留中の要求の状態 ] 画面で表示したい要求を選択します以下のように [ 証明書が発行されました ] という画面が表示されます : Certificate Certificate 証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

14 [ 証明書のダウンロード ] をクリックするとダウンロード画面が表示されるので [ 保存 ] をクリックします ( デフォルトのファイル名は certnew.cer) これで ZyXel ユーザ証明書が有効化されましたルータにインストールする手順は以下です Web インタフェースを使ってルータに接続します ZyWall の証明書を更新するため証明書そして私の証明書をクリックしインポートボタンを押します先に保存したファイル (certnew.cer) を閲覧し適用をクリックします証明書タブの処理後は次のような画面になりますルート証明書をルータにインストールして ZyXel ユーザ証明書のインストールを完了します証明書サーバに接続します CA 証明書をダウンロード CA 証明書チェーンをダウンロード最新ベースの CRL をダウンロードのいずれかをクリックします以下のように CA 証明書をダウンロード CA 証明書チェーンをダウンロード最新ベースの CRL をダウンロードが表示されるので CA 証明書をダウンロードをクリックし例えばファイル名を cer troot.cer として保存します証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

Web インタフェースを使ってルータに接続します信用された CA タブをクリックしインポートボタンを押して certroot.cer( ルート証明書 ) を閲覧し編集します信用された CA タブをクリックすると以下のような画面が表示されますこの段階では ZyWall の証明書要求は既に署名されており対応するユーザおよびルート証明書は証明書庫に追加されています 3.

15 Web インタフェースを使ってルータに接続します信用された CA タブをクリックしインポートボタンを押して certroot.cer( ルート証明書 ) を閲覧し編集します信用された CA タブをクリックすると以下のような画面が表示されますこの段階では ZyWall の証明書要求は既に署名されており対応するユーザおよびルート証明書は証明書庫に追加されています 3.3 証明書のエクスポートインターネットエクスプローラの証明書庫にインストールした証明書は次の手順により PKCS#12 ファイル形式でエクスポートできます PKCS12 ファイル形式から証明書と私有鍵を解凍する方法はセクションおよび 5.1 をご覧ください証明書をインターネットエクスプローラの証明書庫からエクスポートする手順は以下のとおりですインターネットエクスプローラを起動しますメニューの [ ツール ] から [ インターネットオプション ] を開きます [ コンテンツ ] タブを選択し [ 証明書 ] をクリックします証明書のダイアログボックスで [ パーソナル ] タブを開きエクスポートする証明書を以下のように選択します : 証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

エクスポートファイルの形式 ] 画面で [ 可能なら証明書パス上の全ての証明書を含む ] を選択します TheGree nbow IPSec VPN Client

16 [ エクスポート ] をクリックします [ 証明書エクスポートウィザード ] で [ 次へ ] をクリックします [ 私有鍵のエクスポート ] 画面で [ はい ] を選択し私有鍵をエクスポートしてから [ 次へ ] をクリックします私有鍵は TheGreenBow IPSec VPN Client で必要となります [ エクスポートファイルの形式 ] 画面で [ 可能なら証明書パス上の全ての証明書を含む ] を選択します TheGree nbow IPSec VPN Client で必要なルート CA もエクスポートされます証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

17 [ 次へ ] をクリックします [ パスワード ] 画面でパスワードを入力し確認してから [ 次へ ] をクリックします [ ファイルのエクスポート ] 画面でエクスポート先のフォルダパスを指定し [ 次へ ] をクリックしますウィザードの完了画面で [ 完了 ] をクリックします証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

18 4 OpenSSL の利用 Open SSL は無償で配布されるツールキットで様々な暗号オペレーションが可能な上証明書管理機能も備わっています SSL の構築や利用についてはをご覧ください OpenSSL はコマンドラインツールのため証明書の作成管理用にバッチスクリプトを作成しました例えば TgbSmallPKI.zip を C:\TgbSmallPKI に解凍します ( 以下のセクションではこのパスをここでの作業フォルダと仮定します ) この作業フォルダは以下を含みます : RootCA.bat: 自己署名ルート証明書を作成します UserCA.bat: ルート証明書の署名したユーザ証明書を作成します Pkcs12.bat: P12 ファイルを PEM ファイルに変換します CAinfo.bat: PEM 証明書情報を表示します CAsign.bat: 証明書要求に署名します \Bin フォルダは以下を含みます : o o openssl.cnf: 証明書に記載される事項の大部分はこの設定ファイルの内容に基づきます設定をよりモジュラー化するため複数セクションに分かれています必要に応じこのファイルをカスタマイズできます ( 詳しくは OpenSSL の文書化を参照ください ) openssl.exe libeay32.dll ssleay32.dll プラットフォームの核となるツールキットです ReadME.txt: 文書作成ファイルです. 4.1 証明書の作成以下のセクションでは Windows 用 OpenSSL を使った自己署名ルート証明書およびユーザ証明書の作成証明書要求への署名について説明します自己署名証明書の作成自己署名証明書とは公認証明機関による署名のない証明書のことです自己署名証明書は証明機関が発行更新取り消しを行うのと同じように使用することができます自己署名証明書を作成するには RootCA を起動します以下アウトプットの例です! Creating Root CA folders Root CA folder set to.\rootca Root CA key length is 1024 bits Root CA validity is 3650 days The system cannot find the file specified.! Creating CA private key (1024 bits, 3650 days) Loading 'screen' into random state - done Generating RSA private key, 1024 bit long modulus 証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

19 e is (0x10001)! CA autosigning (1024 bits, 3650 days) Using configuration from.\bin\openssl.cnf You are about to be asked to enter information that will be incorporated into your Certificate Request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank Country Name (2 letter code) [FR]:FR State or Province Name (full name) [France]:France Locality Name (eg, city) []:Paris Organization Name (eg, company) [TheGreenBow]:TheGreenBow Organizational Unit Name (eg, section) []:Authority Certificate Common Name (eg, YOUR name) []:TheGreenBow CA Address []:TgbCA@thegreenbow.fr Please enter the following 'extra' attributes to be sent with your Certificate Request A challenge password []:capassword An optional company name []:TheGreenBow Loading 'screen' into random state - done Signature ok subject=/c=fr/st=france/l=paris/o=thegreenbow/ou=authority Certificate/CN=TheGreenBow Getting Private key " " " " Root Certificate at.\rootca\rootca.pem Root Private Key at.\rootca\cakey.key 上記ルート証明書 RootCA.pem とその私有鍵 CAKey.key は RootCA フォルダの中にありますユーザ証明書の作成 IKE 内で X.509 証明書の認証が選択された場合 VPN IPSec エンドポイントの認識と署名 / 照合作業実行のためにユーザ証明書が使用されます UserCA スクリプトによりユーザ証明書とその私有鍵 PKCS#12 ファイルを作成しますその際パラメータとして中間フォルダが必要となりますこの中間フォルダは全ての VPN IPSec エンドポイントの証明書作成に使用できます TheGreenBow IPSec VPN Client に必要な全てのファイルを作成するには UserCA TgbClient を起動します! Creating User CA folder Creating User Certificate folder at.\tgbclient 証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

20 User CA key length is 1024 bits User CA validity is 3650 days! Creating User CA private key (1024 bits) Loading 'screen' into random state - done Generating RSA private key, 1024 bit long modulus e is (0x10001)! Signing User CA Using configuration from.\bin\openssl.cnf You are about to be asked to enter information that will be incorporated into your Certificate Request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank Country Name (2 letter code) [FR]:FR State or Province Name (full name) [France]:France Locality Name (eg, city) []:Paris Organization Name (eg, company) [TheGreenBow]:TheGreenBow Organizational Unit Name (eg, section) []:VPN Common Name (eg, YOUR name) []:TheGreenBow VPN Client Address []:TgbClient@thegreenbow.fr Please enter the following 'extra' attributes to be sent with your Certificate Request A challenge password []:tgbcapwd An optional company name []:TheGreenBow Loading 'screen' into random state - done Signature ok subject=/c=fr/st=france/l=paris/o=thegreenbow/ou=vpn/cn=thegreenbow VPN Client/ =TgbClient@thegreenbow.fr Getting CA Private Key! User CA in P12 Format Loading 'screen' into random state - done Enter Export Password: Verifying password - Enter Export Password: TgbClient.p12 created in.\tgbclient.p12 " " " " User Certificate at.\tgbclient\tgbclient.pem User Private Key at.\tgbclient\local.key User Certificate Subject is: subject= /C=FR/ST=France/L=Paris/O=TheGreenBow/OU=VPN/CN=TheGreenBow VPN Client/ =TgbClient@thegreenbow.fr 証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

TheGreenBow IPSec VPN Client に必要な全てのファイルを作成するには UserCA TgbClient を起動します : TgbClient.pem: ユーザ証明書 Local.key: ユーザ証明書の私有鍵 Subject.txt: ユーザ証明書のサブジェクト TgbClient.

21 TheGreenBow IPSec VPN Client に必要な全てのファイルを作成するには UserCA TgbClient を起動します : TgbClient.pem: ユーザ証明書 Local.key: ユーザ証明書の私有鍵 Subject.txt: ユーザ証明書のサブジェクト TgbClient.p12: ユーザ証明書ルート証明書ユーザ証明書私有鍵を含む PKCS#12 ファイル形式証明書要求への署名このセクションでは ZyWall 10W(firmware version V3.62 WH.3 04/28/2004) の作成した証明書要求への署名方法についてご説明します証明書要求は以下の手順で作成します Web インタフェースを使ってルータに接続します私の証明書をクリックし作成ボタンを押します以下のように記入してください記入後私の証明書タブに戻ります新規作成した証明書要求を選択し詳細をクリックします PEM(base-64) エンコード形式の証明書欄のデータを例えば ZyCert.pem ファイルにコピー & ペーストします証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

22 ZyCert.pem を TgbSmallPKI 作業フォルダにコピーし CAsign ZyCert を起動します! Creating User CA folder Creating User Certificate folder at.\zycert! Signing User CA Using configuration from.\bin\openssl.cnf Loading 'screen' into random state - done Check that the request matches the signature Signature ok The Subjects Distinguished Name is as follows countryname :PRINTABLE:'France' organizationname :PRINTABLE:'TheGreenBow' organizationalunitname:printable:'vpn' commonname :ASN.1 12:'zyxel10w@thegreenbow.fr' Certificate is to be certified until Apr 17 15:55: GMT (3650 days) Sign the Certificate? [y/n]:y 1 out of 1 Certificate Requests certified, commit? [y/n]y Write out database with 1 new entries Data Base Updated " " " " User Certificate at.\zycert\zycert.pem User Certificate Subject is: subject= /C=France/O=TheGreenBow/OU=VPN/CN=zyxel10w@thegreenbow.fr ZyWall 証明書 ZyCert.pem が ZyCert フォルダに作成されます ZyWall の証明書庫を更新するには証明書から私の証明書をクリックしインポートボタンを押します ZyCert.pem ファイルを閲覧して適用をクリックします作業後は証明書タブは以下のように表示されます証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

23 ZyCert.pem 証明書をインストールするにはルート CA 証明書のインストールが必要です信用された CA タブをクリックしインポートボタンを押して RootCA.pem( 自己署名証明書 ) を閲覧して編集します作業後信用された CA タブは以下のように表示されますこの段階では ZyWall の証明書要求は既に署名されており対応するユーザおよびルート証明書は証明書庫に追加されています 4.2 その他の TgbSmallPKI ツールこのセクションでは証明書情報の表示方法および PKCS#12 ファイル形式からの証明書と私有鍵の抽出方法を説明します Pkcs12.bat: このセクションでは証明書情報の表示方法および PKCS#12 ファイル形式からの証明書と私有鍵の抽出方法を説明します CAinfo.bat: PEM 証明書情報を表示します証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

24 4.2.1 証明書情報の表示証明書情報を表示することにより証明書の発行者有効期限サブジェクト等のフィールドを読み込むことができます CAinfo スクリプトはユーザ証明書情報を表示しますパラメータとして証明書ファイルが必要です TgbClient.pem( セクションで作成した TheGreenBow ユーザ証明書 ) の詳細情報を表示するには以下のように CAinfo TgbClient\TgbClient.pem を起動します! Certificate TgbClient\TgbClient.pem information Certificate: Data: Version: 1 (0x0) Serial Number: 1 (0x1) Signature Algorithm: md5withrsaencryption Issuer: C=FR, ST=France, L=Paris, O=TheGreenBow, OU=Authority Certificate, CN=TheGreenBow CA / =TgbCA@thegreenbow.fr Validity Not Before: Apr 19 12:44: GMT Not After: Apr 17 12:44: GMT Subject: C=FR, ST=France, L=Paris, O=TheGreenBow, OU=VPN, CN=TheGreenBow VPN Client/ =Tg bclient@thegreenbow.fr Subject Public Key Info: Public Key Algorithm: rsaencryption RSA Public Key: (1024 bit) Modulus (1024 bit): 00:ac:00:2c:1b:82:6d:32:2e:17:09:9f:13:8d:b9: 9f:9b:db:d7:3f:f7:45:9b:f2:73:6d:8b:3d:9b:b1: 14:99:25:22:fb:a8:56:30:9d:68:43:e9:14:84:6f: 4c:24:fa:e2:36:84:56:2d:b2:5c:11:fd:be:b9:9e: ed:49:c8:c1:08:29:d0:17:ca:b8:12:41:41:55:4d: 48:01:57:bc:22:9a:c9:48:ca:e2:c2:59:2c:78:8d: 6d:cc:89:09:3a:97:f5:f4:b7:96:ea:da:82:0e:8c: 87:49:a7:45:a4:74:45:31:8e:ac:be:9a:a2:8c:a1: 16:be:f7:46:4a:94:78:31:73 Exponent: (0x10001) Signature Algorithm: md5withrsaencryption b2:ba:7c:92:9c:eb:59:c2:7e:d9:95:af:71:8b:06:2f:b8:44: b3:b5:2a:b7:98:0b:1e:08:97:85:c7:bc:21:1c:cf:df:15:97: d9:4f:e5:ec:31:14:6f:9e:b1:8a:47:37:ad:6b:4b:c8:15:bf: cd:8a:1b:ed:a5:f7:3e:ac:72:73:b9:bc:f6:22:b3:05:f5:26: 40:dd:f8:4c:83:3f:25:da:68:32:8b:bd:1b:68:24:e8:df:31: 83:5b:74:91:10:1f:6a:d0:b9:3c:f3:04:50:4c:6e:ce:c9:de: 3a:38:fe:2d:ad:6c:6b:e6:74:38:51:0c:5b:c5:bb:6b:05:25: 44:d PKCS12 から PEM への変換 PKCS12(Personal Information Exchange Syntax Standard= 個人情報交換構文の標準 ) は証明書および私有鍵保管のためのスタンダードです証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

25 Pkcs12 スクリプトは証明書と私有鍵を PKCS12 ファイル形式から解凍します解凍には拡張子.p12 無しのローカル PKCS12 ファイル中間フォルダパスワードが必要です TgbClient.p12( セクション4.1.1で作成したTheGreenBow PKCS12ファイル ) から証明書と私有鍵を解凍するには Pkcs12 TgbClient TempFolder tgbp12を起動します! Extracting Root Certficate MAC verified OK! Extracting User Certficate MAC verified OK! Extracting User Certficate Private Key MAC verified OK read RSA key writing RSA key " " " " Root Certificate at.\tempfolder\rootca.pem User Certificate at.\tempfolder\tgbclient.pem User Private Key at.\tempfolder\local.key User Certificate Subject is: subject= /C=FR/ST=France/L=Paris/O=TheGreenBow/OU=VPN/CN=TheGreenBow VPN Client/ =TgbClient@theg reenbow.fr 証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

5 証明書を用いた IPSec VPN Client の設定 TheGreenBow IPSec VPN Client は PEM 形式の X509 証明書を用います TheGreenBow IPSec VPN Client は以下のファイルを必要としますルート証明書ユーザ証明書ユーザ証明書の私有鍵 ( 私有鍵は暗号化しないでください X509 証明書はフェーズ 1 の段階で使用されます )

26 5 証明書を用いた IPSec VPN Client の設定 TheGreenBow IPSec VPN Client は PEM 形式の X509 証明書を用います TheGreenBow IPSec VPN Client は以下のファイルを必要としますルート証明書ユーザ証明書ユーザ証明書の私有鍵 ( 私有鍵は暗号化しないでください X509 証明書はフェーズ 1 の段階で使用されます ) 5.1 証明書の PEM 形式への変換 PKCS12 形式ファイルを PEM に変換するにはセクションで説明する方法で行うか弊社ウェブサイトのパッケージ Certificate.zip をお使い下さい Certificate.zip を解凍し Certificat.exe を実行します新規の p12 証明書を選択をクリックして.p12 file をロードしてください p12 to pem をクリックします証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

変換ツールにより以下 4 つのファイルを含むフォルダが作成されます rootca.pem ルート証明書 ClientCert.Pem ユーザ証明書 local.key ユーザ証明書の私有鍵 DER_ASN1_DN.txt VPN Client 拡張機能画面で入力の必要なVPN Clientのサブジェクト 5.

27 変換ツールにより以下 4 つのファイルを含むフォルダが作成されます rootca.pem ルート証明書 ClientCert.Pem ユーザ証明書 local.key ユーザ証明書の私有鍵 DER_ASN1_DN.txt VPN Client 拡張機能画面で入力の必要なVPN Clientのサブジェクト 5.2 証明書の TheGreenBow IPSec VPN Client へのインポート 1. 認証画面でラジオボタンをチェックして証明書を選択し証明書のインポートをクリックします 2. 閲覧するをクリックし以下から適切なファイルを選びますルート証明書は "[Client インストールフォルダ ]\ca" フォルダにコピーされますユーザ証明書は "[Client インストールフォルダ ]\cert" フォルダにコピーされますユーザ証明書私有鍵は "[Client インストールフォルダ ]\private\local.key" にコピーされます証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

"/C=FR/ST=France/L=Paris/O=TheGreenBow/OU=VPN/CN=TheGreenBow VPN

28 3. 拡張ボタンを開きローカル ID 欄に以下のように記入します形式 = "DER_ASN1_DN". 値 = ユーザ証明書内容のサブジェクト ("Subject:") を以下のように指定してください "/C=FR/ST=France/L=Paris/O=TheGreenBow/OU=VPN/CN=TheGreenBow VPN Client/ =TgbClient@thegreenbow.fr" 証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

29 6 トラブルシューティングお困りの際は以下のウェブサイトのトラブルシューティング一覧 (PDF) をご覧ください : 証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

30 7 お問い合わせ一般情報および更新 : 電子メールによるテクニカルサポート : gbsupport@thegreenbow.jp 販売店 : 電話又は電子メール : gbsales@thegreenbow.jp 証明書ユーザガイド Property of TheGreenBow Sistech SA - Sistech /30

Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []: An optional company name []: Using con

Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []: An optional company name []: Using con IIS で SSL(https) を設定する方法 Copyright (C) 2008 NonSoft. All Rights Reserved. IIS でセキュアサーバを構築する方法として OpenSSL を使用した方法を実際の手順に沿って記述します 1. はじめに IIS で SSL(https) を設定する方法を以下の手順で記述します (1) 必要ソフトのダウンロード / インストールする