NGFW:/NetExtender: SSL-VPNのセットアップ | 要件付き (SonicOS 5.8 & 6.1)

NGFW:/NetExtender: SSL-VPNのセットアップ | 要件付き (SonicOS 5.8 & 6.1)

Please Note: 5.2.x.xから5.8.x.x、6.1.x.xのFirmwareバージョンでSSLVPNをセットアップする場合は次のKBも参考ください ここをクリック

概要/シナリオ:

この記事はSonicWall セキュリティ アプライアンスでどのようにSSL VPN機能を構成するかの情報を提供します。SonicWallのSSL VPN機能は、NetExtenderクライアントを使用することで安全なリモートアクセスをネットワークに提供します。

今回は下記の要件を満たす環境を作る例をご紹介します。

<要件>

ビデオチュートリアル(英語): Click here

 ■手順の概要

Step-1:未使用のインターフェイスをSSLVPNユーザのIPアドレス割り当て用として設定する

Step-2: SSLVPN設定

Step-3: SSLVPNサービスグループメンバーシップの追加、及びVPNアクセスの追加

Step-4: SSLVPNゾーン アクセスルール　(オプション)

Step-5: 通信テスト

■Step-1:未使用のインターフェイスをSSLVPNユーザのIPアドレス割り当て用として設定する

1)　SonicWallにログインします

2)　ネットワーク > インターフェイスに進みます

3)　未定義のインターフェイスの設定ボタンをクリックします

 

3)　ゾーン、モード、IPアドレス、サブネットを設定します

 

■Step-2: SSLVPN設定

1)  SSL VPN > サーバ設定に進みます

2)  SSLVPNを有効にするゾーンをクリックし(有効時は緑点灯します)、SSLVPNの待受ポートを指定します　(デフォルトは4433です)

 

3)  SSL VPN > クライアント設定に進みます

4)　インターフェイス:で上記で設定したインターフェイスを指定し、NetExtender開始/終了IP:、DNSサーバを設定します。

必要に応じて「クライアント接続プロファイルを作成:」を有効にします

これによりNetExtender クライアントはSSL VPN サーバ名、ドメイン名およびオプションでユーザ名とパスワードを記録した接続プロファイルを作成します

 

5)  SSL VPN > クライアントルートに進みます

6)　強制トンネル方式:を有効にします

強制トンネルを有効にすることにより、すべてのトラフィックがSSLVPN経由となりますので外部リソースへのアクセスもNSAから出ていくようになります。

 

■Step-3: SSLVPNサービスグループメンバーシップの追加、及びVPNアクセスの追加

1)　ユーザ > ローカルユーザに進みます

2)　対象となるユーザの設定ボタンをクリックします

3)　グループタブで、“SSLVPN Services”を所属するグループに追加します

 

ローカルグループまたはLDAP ユーザ グループを“SSLVPN Services”に所属させる場合、

ユーザ > ローカルユーザ > SSLVPN Services グループを編集し、メンバー タブでユーザ グループを追加できます

 

4)　VPNアクセスタブで、対象ユーザがVPNを介してアクセスできる内部ネットワークのアクセス許可権限を設定します

今回は、外部リソースに対してもSSLVPN＋NSA経由でアクセスすることが要件であるため、「WANリモートアクセス」を選択します。

 

■Step-4: SSLVPNゾーン アクセスルール　(オプション)

SSLVPNゾーンから他のゾーンへのファイアウォール アクセスルールは自動生成されますが、

オプションとして、SSLVPNからLANやWAN等その他のゾーンへのアクセスルールを編集することも可能です

(個々のユーザに複数のルールを使用するのではなく、グループに対して単一のルールを使用することを推奨します)。

1)　ファイアウォール > アクセスルールに進みます

2)　表示形式:でマトリックスを選択します

3)　送信元 SSLVPN > 送信先 LANを選択します

下記はSSLVPNユーザからX0 管理IPアドレスに対してのPingを許可したルールです。

 

■Step-5: 通信テスト

1)　NetExtenderを起動しアクセスします

 

2)　VPN接続確立後、確認くん(http://www.ugtop.com/spill.shtml)やIP Chicken(https://ipchicken.com/)等にアクセスし、グローバルIPアドレスがNSAまたはGWになっていることを確認します