IPSecの設定をする

IP Security Protocol (IPSec)はインターネットなどのネットワークで暗号化通信をするためのプロトコルです。TLS暗号化通信がウェブブラウザーや電子メールクライアントなど、特定のアプリケーションで暗号化する技術であるのに対し、IPSec通信はIPプロトコルのレベルで暗号化を行いますので、より汎用性の高いセキュリティーを実現できます。本機のIPSecはパケットのIP ヘッダーを除いた部分だけを暗号化するトランスポートモードに対応し、本機と同じVPN（仮想プライベートネットワーク）を構成するパソコンと直接接続します。動作条件を確認し、あらかじめパソコン側の設定を済ませておいてください。

セキュリティーポリシーを登録する

IPSec通信を有効にする

IPSecの動作条件

本機のIPSecはRFC4301、RFC4302、RFC4305に準拠しています。

通信相手の対応OS	Windows XP/Vista/7/8/Server 2003/Server 2008/Server 2012
接続モード	トランスポートモード
鍵交換プロトコル	IKEv1
	動作モード	メインモードアグレッシブモード
	認証方式	事前共有鍵方式電子署名方式
	ハッシュアルゴリズム	SHA1 MD5
	暗号化アルゴリズム（および鍵長）	3DES-CBC AES-CBC（128 ビット／192 ビット／256 ビット）
	鍵交換アルゴリズム／グループ（および鍵長）	Diffie-Hellman (DH) Group 1（768 ビット） Group 2（1024 ビット） Group 14（2048 ビット）
ESP（Encapsulating Security Payload）	ハッシュアルゴリズム	SHA1 MD5
ESP（Encapsulating Security Payload）	暗号化アルゴリズム（および鍵長）	3DES-CBC AES-CBC（128 ビット／192 ビット／256 ビット）
AH（Authentication Header）	ハッシュアルゴリズム	SHA1 MD5


IPSec通信を設定する前に通信相手となるOSのIPSec設定を確認してください。OSの設定と本機の設定の組み合わせが正しくない場合、IPSecでの通信ができません。


IPSecの機能制限についてユニキャストアドレス（単一の相手）に対する通信にだけ対応しています。本機でIPSecを使用するときは、DHCPv6は使用できません。 NATやIPマスカレードを導入しているネットワークでは使用できません。 IKEv1 phase1でのPFSには対応してません。 IPアドレスフィルターとIPSecを併用するとき受信ではIPSec、送信ではIPアドレスフィルターの設定が先に適用されます。 IPアドレスでファイアーウォールを設定する

IPSecの機能制限について

ユニキャストアドレス（単一の相手）に対する通信にだけ対応しています。

本機でIPSecを使用するときは、DHCPv6は使用できません。

NATやIPマスカレードを導入しているネットワークでは使用できません。

IKEv1 phase1でのPFSには対応してません。

IPアドレスフィルターとIPSecを併用するとき

受信ではIPSec、送信ではIPアドレスフィルターの設定が先に適用されます。

IPアドレスでファイアーウォールを設定する

セキュリティーポリシーを登録する

本機でIPSecを使った暗号化通信を行うには、最初にセキュリティーポリシー（SP）を作成してから、IPSec設定を有効（IPSec通信を有効にする）に設定する必要があります。ポリシーはおもに次の内容で構成され、最大 10 件まで登録できます。IPアドレスやポート番号の組み合わせによって、複数のポリシーを登録することができます。複数のポリシーを作成した場合は、優先順位を設定します。

セレクターの設定

どのIPパケットにIPSec通信を適用するかを設定します。本機や通信相手のIPアドレスだけでなく、ポート番号も指定できます。

IKEの設定

鍵交換プロトコルとして使用するIKEv1の設定をします。選択する認証方式によって必要な準備や設定方法が異なりますのでご注意ください。

［事前共有鍵方式］
本機と通信相手とで共有鍵と呼ばれる共通のキーワードを使用する認証方式です。あらかじめリモートUIの通信にTLSを使えるように設定しておいてください（TLSで暗号化通信をする）。

［電子署名方式］
本機と通信相手側が電子署名を互いに送信／検証し合って相互認証を行います。使用する鍵ペアを用意しておいてください（認証局発行の鍵ペアや電子証明書を使う）。

プロトコルやオプションの設定

IPSec通信で使用するESPとAHという 2 つのプロトコルの設定をします。ESPとAHを併用することはできません。PFSを使用すればセキュリティーをさらに強化できます。

リモートUIを起動し、管理者モードでログインするリモートUIを起動する

［設定/登録］をクリックする

［セキュリティー］

［IPSec設定］をクリックする

［IPSecポリシー一覧］をクリックする

［新規IPSecポリシーの登録］をクリックする

［ポリシー名］を入力し、［ポリシーを有効にする］にチェックマークを付ける

［ポリシー名］

ポリシーを区別するための名称を 24 文字以内の半角英数字で入力します。

［ポリシーを有効にする］

ポリシーを有効にするときはチェックマークを付けます。このポリシーを使用しない場合はチェックマークを外してください。

セレクターの設定をする

［ローカルアドレス］

ポリシーを適用する本機のIPアドレスの種類を、次の中から選びます。

［全IPアドレス］	すべてのIPパケットにIPSecを適用します。
［自IPv4アドレス］	本機のIPv4アドレスを使って送受信するすべてのIPパケットにIPSecを適用します。
［自IPv6アドレス］	本機のIPv6アドレスを使って送受信するすべてのIPパケットにIPSecを適用します。
［IPv4手動指定］	IPSecを適用するIPv4アドレスを単独または範囲で入力指定します。［手動指定アドレス］にIPv4アドレス（またはその範囲）を入力してください。
［IPv6手動指定］	IPSecを適用するIPv6アドレスを単独または範囲で入力指定します。［手動指定アドレス］にIPv6アドレス（またはその範囲）を入力してください。

［手動指定アドレス］

［ローカルアドレス］で［IPv4手動指定］または［IPv6手動指定］を選んだときは、ポリシーを適用するIPアドレスを入力します。アドレスどうしを「-」（ハイフン）でつないで範囲を指定することもできます。

IPアドレスの入力形式

単一のアドレスを指定するとき（IPv4）
「.」（ピリオド）で数字を区切ります（入力例：「192.168.1.10」）。

単一のアドレスを指定するとき（IPv6）
「:」（コロン）で英数字を区切ります（入力例：「fe80::10」）。

アドレスを範囲で指定するとき
「-」（ハイフン）でアドレスをつなぎます（入力例：「192.168.1.10-192.168.1.20」「fe80::1000-fe80::1010」）。

アドレスの範囲をプレフィックスで指定するとき（IPv6のみ）
アドレス、「/」（スラッシュ）、プレフィックス長の順に入力します（入力例：「fe80::1234/64」）。

［サブネット指定］

手動でIPv4アドレスの範囲を指定する場合、サブネットマスクを使って範囲を設定することもできます。サブネットマスクは「.」（ピリオド）で数字を区切って入力します（入力例：「255.255.255.240」）。

［リモートアドレス］

ポリシーを適用する通信相手側のIPアドレスの種類を、次の中から選びます。

［全IPアドレス］	すべてのIPパケットにIPSecを適用します。
［全IPv4アドレス］	IPv4アドレスを使って送受信するすべてのIPパケットにIPSecを適用します。
［全IPv6アドレス］	IPv6アドレスを使って送受信するすべてのIPパケットにIPSecを適用します。
［IPv4手動指定］	IPSecを適用するIPv4アドレスを単独または範囲で入力指定します。［手動指定アドレス］にIPv4アドレス（またはその範囲）を入力してください。
［IPv6手動指定］	IPSecを適用するIPv6アドレスを単独または範囲で入力指定します。［手動指定アドレス］にIPv6アドレス（またはその範囲）を入力してください。

［手動指定アドレス］

［リモートアドレス］で［IPv4手動指定］または［IPv6手動指定］を選んだときは、ポリシーを適用するIPアドレスを入力します。アドレスどうしを「-」（ハイフン）でつないで範囲を指定することもできます。

IPアドレスの入力形式

単一のアドレスを指定するとき（IPv4）
「.」（ピリオド）で数字を区切ります（入力例：「192.168.1.10」）。

単一のアドレスを指定するとき（IPv6）
「:」（コロン）で英数字を区切ります（入力例：「fe80::10」）。

アドレスを範囲で指定するとき
「-」（ハイフン）でアドレスをつなぎます（入力例：「192.168.1.10-192.168.1.20」「fe80::1000-fe80::1010」）。

［サブネット指定］

［ローカルポート］／［リモートポート］

HTTPやSMTPなど、プロトコルごとにIPSec通信をする／しないを判断するポリシーを作成したいときは、［単一指定］をクリックしてポリシーを適用するプロトコルのポート番号をローカル（本機側）／リモート（通信相手側）で入力します。

マルチキャスト／ブロードキャストアドレスを指定したパケットは、IPSecが適用されません。

IKEの設定をする

［IKEモード］

鍵交換プロトコルの動作モードです。通常は「メインモード」を選びます。

「アグレッシブモード」は、IPアドレスが固定されていない場合などに設定しますが、「メインモード」よりもセキュリティーが低くなります。

［認証方式］

本機の認証方法を［事前共有鍵方式］または［電子署名方式］から選んで設定します。

［IKEモード］で「アグレッシブモード」を選んでいるときは、［事前共有鍵方式］では共有鍵が暗号化されません。

［認証/暗号化アルゴリズム］

鍵交換で使用するアルゴリズムを自動で設定するときは［自動指定する］にチェックマークを付けます。チェックマークを付けると、アルゴリズムは次のように設定されます。

［認証］	［SHA1とMD5］
［暗号］	［3DES-CBCとAES-CBC］
［DHグループ］	［Group2(1024)］

手動で設定する場合は［自動指定する］のチェックマークを外し、アルゴリズムを選びます。

［認証］	ハッシュアルゴリズムを選びます。
［暗号］	暗号化アルゴリズムを選びます。
［DHグループ］	鍵の強度を決定するDiffie-Hellmanグループを選びます。

［事前共有鍵方式］で認証する

1	［認証方式］で［事前共有鍵方式］を選び、［共有鍵の設定］をクリックする
2	共有鍵として使用する文字列を 24 文字以内の半角英数字で入力し、［OK］をクリックする

［電子署名方式］で認証する

1	［認証方式］で［電子署名方式］を選び、［鍵と証明書］をクリックする
2	使用する鍵ペアを選び、［使用鍵設定］をクリックする証明書の内容を確認するには［鍵の名前］のリンクか証明書のアイコンをクリックすると、証明書の詳細情報確認や検証ができます。鍵ペアやCA証明書を検証する

IPSec通信の設定をする

［PFSを使用する］

セッションキーに対してPerfect Forward Secrecy（PFS）を設定するときはチェックマークを付けます。PFSを使用するとより安全ですが、通信に負荷がかかります。通信相手の機器でもPFSが有効であることをあらかじめ確認しておいてください。PFSを使用しない場合はチェックマークを外してください。

［有効期間］

データ用通信路として使用するSAの有効期間を設定します。必要に応じて［時間で指定する］と［サイズで指定する］のどちらか片方または両方にチェックマークを付けます。両方にチェックマークを付けると、設定した値に先に達した方が適用されます。

［時間で指定する］	有効期間を分単位で入力します。IPSec SAおよびIKE SAの両方に適用されます。
［サイズで指定する］	有効期間をメガバイト単位で入力します。IPSec SAだけに適用されます。

［サイズで指定する］だけにチェックマークを付けたとき
IKE SAの有効期間はサイズの指定ができないため、［時間で指定する］の初期値（480 分）が適用されます。

［認証/暗号化アルゴリズム］

IPSec通信で使用するプロトコルとそのアルゴリズムを選びます。

自動で設定するとき

［自動］を選択します。

［ESP認証］	ESPが有効となり、認証アルゴリズムは［SHA1とMD5］に設定されます。
［ESP暗号］	ESPが有効となり、暗号化アルゴリズムは［3DES-CBCとAES-CBC］に設定されます。

ESPを使用するとき

［ESP］を選択し、認証および暗号化のアルゴリズムを選びます。

［ESP認証］	ESPによる認証で使用するハッシュアルゴリズムを選びます。
［ESP暗号］	ESPの暗号化アルゴリズムを選びます。