[mGuard] IPsecVPN トンネル X.509認証
はじめに
mGuardにて、IPパケットを暗号化する仕組みを用いた「IPsecVPN」と、認証方式に「X.509認証」を用いた設定例をご紹介いたします。
構成例
![](https://automation.phoenix-contact.jp/wp-content/uploads/mGuard機器構成-960x325.jpg)
設定の流れ
![](https://automation.phoenix-contact.jp/wp-content/uploads/mGuard手順.png)
設定例
証明書作成
STEP
データベースの作成
![](https://automation.phoenix-contact.jp/wp-content/uploads/XCA_1_データベース作成.jpg)
任意の場所にデータベースを保存する
STEP
CAの作成
![](https://automation.phoenix-contact.jp/wp-content/uploads/XCA_2_新しい証明書を作成.jpg)
![](https://automation.phoenix-contact.jp/wp-content/uploads/XCA_3_CAの設定_1.jpg)
「自己署名証明書を作成」にチェック
![](https://automation.phoenix-contact.jp/wp-content/uploads/XCA_4_CAの設定_2.jpg)
【内部名】任意の名前を入力
【countryName】国名を入力
【stateOrProvinceName】都道府県名を入力
【organizationName】任意の団体名/会社名を入力
【commonName】任意の識別できる名前を入力
「新しい秘密鍵を生成」をクリック
![](https://automation.phoenix-contact.jp/wp-content/uploads/XCA_5_CAの設定_鍵作成.jpg)
「作成」をクリックして秘密鍵を作成
![](https://automation.phoenix-contact.jp/wp-content/uploads/XCA_6_CAの設定_3.jpg)
【サブジェクトタイプ】Certification Authority を選択
「OK」をクリックしてCAを作成
STEP
mGuard_Aの証明書作成
![](https://automation.phoenix-contact.jp/wp-content/uploads/XCA_7_mGuard_Aの証明書の作成.jpg)
![](https://automation.phoenix-contact.jp/wp-content/uploads/XCA_8_mGuard_Aの証明書の設定_1.jpg)
「署名にこの署名を使用」にチェックし作成したCAを選択する
![](https://automation.phoenix-contact.jp/wp-content/uploads/XCA_9_mGuard_Aの証明書の設定_2.jpg)
【内部名】任意の名前を入力
【countryName】国名を入力
【stateOrProvinceName】都道府県名を入力
【organizationName】任意の団体名/会社名を入力
【commonName】任意の識別できる名前を入力
「新しい秘密鍵を生成」をクリック
![](https://automation.phoenix-contact.jp/wp-content/uploads/XCA_10_mGuard_Aの証明書の設定_鍵作成.jpg)
「作成」をクリックして秘密鍵を作成
![](https://automation.phoenix-contact.jp/wp-content/uploads/XCA_11_mGuard_Aの証明書の設定_3.jpg)
【サブジェクトタイプ】End Entity を選択
「OK」をクリックしてmGuard_Aの証明書を作成
STEP
mGuard_Bの証明書作成
![](https://automation.phoenix-contact.jp/wp-content/uploads/XCA_12_mGuard_Bの証明書の作成.jpg)
![](https://automation.phoenix-contact.jp/wp-content/uploads/XCA_8_mGuard_Aの証明書の設定_1-1.jpg)
「署名にこの署名を使用」にチェックし作成したCAを選択する
![](https://automation.phoenix-contact.jp/wp-content/uploads/XCA_13_mGuard_Bの証明書の設定_1.jpg)
【内部名】任意の名前を入力
【countryName】国名を入力
【stateOrProvinceName】都道府県名を入力
【organizationName】任意の団体名/会社名を入力
【commonName】任意の識別できる名前を入力
「新しい秘密鍵を生成」をクリック
![](https://automation.phoenix-contact.jp/wp-content/uploads/XCA_14_mGuard_Bの証明書の鍵作成.jpg)
「作成」をクリックして秘密鍵を作成
![](https://automation.phoenix-contact.jp/wp-content/uploads/XCA_15_mGuard_Bの証明書の設定_2.jpg)
【サブジェクトタイプ】End Entity を選択
「OK」をクリックしてmGuard_Aの証明書を作成
STEP
mGuard_A証明書のファイル出力
2種類の証明書をファイル出力する
2種類の証明書をファイル出力する
![](https://automation.phoenix-contact.jp/wp-content/uploads/XCA_17_mGuard_A_ファイル出力_1-1.jpg)
![](https://automation.phoenix-contact.jp/wp-content/uploads/XCA_17_CA_ファイル出力_2.jpg)
![](https://automation.phoenix-contact.jp/wp-content/uploads/XCA_19_mGuard_A_ファイル出力_3.jpg)
![](https://automation.phoenix-contact.jp/wp-content/uploads/XCA_20_mGuard_A_ファイル出力_パスワード.jpg)
任意のパスワードを入力し「OK」をクリックして
mGuard_Aの証明書をファイル出力
(パスワードはmGuardに証明書インポートする際に必要となります)
STEP
mGuard_B証明書のファイル出力
2種類の証明書をファイル出力する
2種類の証明書をファイル出力する
![](https://automation.phoenix-contact.jp/wp-content/uploads/XCA_21_mGuard_B_ファイル出力_1.jpg)
![](https://automation.phoenix-contact.jp/wp-content/uploads/XCA_22_mGuard_B_ファイル出力_2.jpg)
![](https://automation.phoenix-contact.jp/wp-content/uploads/XCA_23_mGuard_B_ファイル出力_3.jpg)
![](https://automation.phoenix-contact.jp/wp-content/uploads/XCA_20_mGuard_A_ファイル出力_パスワード-1.jpg)
任意のパスワードを入力し「OK」をクリックして
mGuard_Bの証明書をファイル出力
(パスワードはmGuardに証明書インポートする際に必要となります)
STEP
出力ファイルの確認
![](https://automation.phoenix-contact.jp/wp-content/uploads/証明書一覧.jpg)
mGuard_Aの設定
STEP
ネットワークの設定
![](https://automation.phoenix-contact.jp/wp-content/uploads/mGuard_A_1_ネットワーク設定_1.jpg)
「一般」タブより
【ネットワークモード】ルーターを選択
【ルーターモード】スタティックを選択
![](https://automation.phoenix-contact.jp/wp-content/uploads/mGuard_A_2_ネットワーク設定_2.jpg)
【IPアドレス】172.16.0.10
【ネットマスク】255.255.255.0
【VLANのID】1
【デフォルトゲートウェイ】0.0.0.0
![](https://automation.phoenix-contact.jp/wp-content/uploads/mGuard_3_ネットワーク設定_3.jpg)
【IPアドレス】192.168.1.1
【ネットマスク】255.255.255.0
【VLANのID】1
STEP
証明書の設定
![](https://automation.phoenix-contact.jp/wp-content/uploads/mGuard_A_4_証明書設定.jpg)
「マシン証明書」タブより
【ショートネーム】任意の名称
「証明書の詳細」にてmGuard_A.p12ファイルをアップロード
(パスワードはファイルエクスポート時に設定したもの)
STEP
IPsecVPNの設定
![](https://automation.phoenix-contact.jp/wp-content/uploads/mGuard_A_5_IPsecVPN設定_1.jpg)
【カプセル化した内向きVPN接続を待ち受け】にチェック
【TCP待ち受けポート】8080
![](https://automation.phoenix-contact.jp/wp-content/uploads/mGuard_A_6_IPsecVPN設定_2.jpg)
「接続」から編集アイコンをクリック
![](https://automation.phoenix-contact.jp/wp-content/uploads/mGuard_A_7_IPsecVPN設定_3.jpg)
【初期モード】開始 を選択
【リモートサイトのVPNゲートウェイの…】%any
【接続スタートアップ】待機 を選択
「トランスポートとトンネルの設定」より
【タイプ】トンネル を選択
【ローカル】192.168.1.0/24
【ローカルNAT】NATなし を選択
【リモート】192.168.10.0/24
【リモートNAT】NATなし を選択
![](https://automation.phoenix-contact.jp/wp-content/uploads/mGuard_A_8_IPsecVPN設定_4-1.jpg)
【証明方法】X.509証明書 を選択
【ローカルX.509証明書】mGuard_A を選択
【リモートCA証明書】CA証明書ではなく、以下のリモート証明書 を選択
【リモート証明書】mGuard_B.pem をアップロード
![](https://automation.phoenix-contact.jp/wp-content/uploads/mGuard_A_9_設定保存.jpg)
mGuard_Bの設定
STEP
ネットワークの設定
![](https://automation.phoenix-contact.jp/wp-content/uploads/mGuard_B_1_ネットワーク設定_1.jpg)
「一般」タブより 【ネットワークモード】ルーターを選択
【ルーターモード】スタティックを選択
![](https://automation.phoenix-contact.jp/wp-content/uploads/mGuard_B_2_ネットワーク設定_2.jpg)
【IPアドレス】172.16.0.20
【ネットマスク】255.255.255.0
【VLANのID】1
【デフォルトゲートウェイ】0.0.0.0
![](https://automation.phoenix-contact.jp/wp-content/uploads/mGuard_B_3_ネットワーク設定_3.jpg)
【IPアドレス】192.168.10.1
【ネットマスク】255.255.255.0
【VLANのID】1
STEP
証明書の設定
![](https://automation.phoenix-contact.jp/wp-content/uploads/mGuard_B_4_証明書設定.jpg)
「マシン証明書」タブより
【ショートネーム】任意の名称
「証明書の詳細」にてmGuard_B.p12ファイルをアップロード
(パスワードはファイルエクスポート時に設定したもの)
STEP
IPsecVPNの設定
![](https://automation.phoenix-contact.jp/wp-content/uploads/mGuard_B_5_証明書設定.jpg)
【カプセル化した内向きVPN接続を待ち受け】チェックを外す
![](https://automation.phoenix-contact.jp/wp-content/uploads/mGuard_A_6_IPsecVPN設定_2.jpg)
「接続」から編集アイコンをクリック
![](https://automation.phoenix-contact.jp/wp-content/uploads/mGuard_B_7_証明書設定-1.jpg)
【初期モード】開始 を選択
【リモートサイトのVPNゲートウェイの…】172.16.0.10
【接続スタートアップ】開始 を選択
【TCP内のVPNトラフィックをカプセル化】TCPカプセル化 を選択
「トランスポートとトンネルの設定」より
【タイプ】トンネル を選択
【ローカル】192.168.10.0/24
【ローカルNAT】NATなし を選択
【リモート】192.168.1.0/24
【リモートNAT】NATなし を選択
![](https://automation.phoenix-contact.jp/wp-content/uploads/mGuard_B_8_証明書設定.jpg)
【証明方法】X.509証明書 を選択
【ローカルX.509証明書】mGuard_B を選択
【リモートCA証明書】CA証明書ではなく、以下のリモート証明書 を選択
【リモート証明書】mGuard_A.pem をアップロード
![](https://automation.phoenix-contact.jp/wp-content/uploads/mGuard_A_9_設定保存.jpg)
VPN接続確認
STEP
VPNの接続確認
![](https://automation.phoenix-contact.jp/wp-content/uploads/VPN接続確認.jpg)
「ISAKMP SA」「IPsec SA」がチェックマークアイコンになっていれば接続OK