SonicOS/X 7 SSL VPN

Technical Documentation > SonicOS/X 7 SSL VPN > SSL VPN について

SSL VPN について

SonicOS/X という表記は、その機能が両方の SonicOS および SonicOSX で使用可能なことを示します。

このセクションでは、SonicWall ネットワークセキュリティ装置における SSL VPN 機能の設定方法を説明します。SonicWall の SSN VPN 機能は、NetExtender クライアントを使用してネットワークへのリモートアクセスを保護します。

NetExtender は、Windows または Linux ユーザ用の SSL VPN クライアントであり、透過的にダウンロードされます。ネットワーク上で任意のアプリケーションを安全に実行でき、ポイントツーポイントプロトコル (PPP) を使用できるようになります。NetExtender によって、リモートクライアントはローカルネットワーク上のリソースにシームレスにアクセスできます。ユーザは、次の 2 通りの方法で NetExtender にアクセスできます。

SonicWall ネットワークセキュリティ装置によって提供される仮想オフィスウェブポータルにログインする
スタンドアロンの NetExtender クライアントを起動する

各 SonicWall 装置は、最大数の現在のリモートユーザをサポートしています。詳細については、「SSL VPN の最大同時ユーザ数」を参照してください。

最大同時ユーザ数 (ハードウェアファイアウォール)
SonicWall 装置モデル	SSL VPN の最大同時接続数
NSa 9650	3000
NSa 9450	3000
NSa 9250	3000
NSa 6650	2000
NSa 5650	1500
NSa 4650	1000
NSa 3650	500
NSa 2650	350
SM 9600	3000
SM 9400	3000
SM 9200	3000
NSA 6600	1500
NSA 5600	1000
NSA 4600	500
NSA 3600	350
NSA 2600	250
TZ600/TZ600P	200
TZ500/TZ500 W	150
TZ400/TZ400 W	100
TZ350/TZ350 W	75
TZ300/TZ300 W/TZ300P	50
SOHO 250/SOHO 250W	25

最大同時ユーザ数 (VMWare)
VMWare ESXi 装置モデル	SSL VPN の最大同時接続数
10	10
25	25
50	25
100	25
200	50
300	50
400	50
800	50
1600	50

最大同時ユーザ数 (Azure)
Azure 装置モデル	SSL VPN の最大同時接続数
10	10
25	25
50	25
100	25
200	100
400	100
800	100
1600	100

最大同時ユーザ数 (AWS)
AWS 装置モデル	SSL VPN の最大同時接続数
10	10
25	25
50	25
100	25
200	50
400	50
800	50
1600	50

最大同時ユーザ数 (AWS - PAYG)
AWS - PAYG 装置モデル	SSL VPN の最大同時接続数
200	50
400	50
800	50
1600	50

最大同時ユーザ数 (Linux KVM)
Linux KVM 装置モデル	SSL VPN の最大同時接続数
10	10
25	25
50	25
100	25
200	50
300	50
400	50
800	50
1600	50

最大同時ユーザ数 (Microsoft Hyper-V)
Microsoft Hyper-V 装置モデル	SSL VPN の最大同時接続数
10	10
25	25
50	25
100	25
200	50
300	50
400	50
800	50
1600	50

SonicOS/X は IPv6 アドレスによるユーザ向けの NetExtender 接続をサポートしています。アドレスオブジェクトのドロップダウンメニューには、事前定義されたすべての IPv6 アドレスオブジェクトが含まれています。

IPv6 Wins サーバはサポートされていません。IPv6 FQDN がサポートされています。

「デバイス | 設定 > 管理」ページの「無線コントローラモード」が「無線コントローラ」で、「全機能ゲートウェイ」または「無線なし」に設定されているとき、SSL VPN 接続を利用できます。「無線コントローラモード」で「無線コントローラ専用」が有効になっている場合、SSL VPN インターフェースは使用できません。

「ネットワーク | SSL VPN > サーバ設定 > ゾーンの SSL VPN 状況」の状況表示はすべてのゾーンで停止中となり、SSL VPN ゾーンは編集できません。

NetExtender について
SSL VPN アクセスのためのユーザの設定
生体認証

NetExtender について

SonicWall の SSL VPN NetExtender は、Windows および Linux ユーザ向けの透過的なソフトウェアアプリケーションであり、その機能を使うことでリモートユーザは会社のネットワークにセキュアな方法で接続できます。NetExtender により、リモートユーザは会社のネットワーク上の任意のアプリケーションを安全に実行できます。ファイルのアップロード/ダウンロード、ネットワークドライブのマウント、リソースへのアクセスといった作業がローカルネットワークにいる感覚で行えます。

NetExtender により、リモートユーザは保護された内部ネットワークへのフルアクセスが可能になります。その際の操作方法は、従来の IPSec VPN クライアントとほとんど同じです。Linux システムでも、NetExtender クライアントをインストールして使用することができます。Windows ユーザは、ポータルからクライアントをダウンロードする必要があり、モバイル機器を使用しているユーザは、アプリケーションストアから Mobile Connect をダウンロードする必要があります。

NetExtender スタンドアロンクライアントは、ユーザによるポータルからの NetExtender の初回起動時にインストールできます。そのため、Windows システムでは「スタート」メニューからの直接アクセスが可能です。また Linux システムでも、パス名によって、あるいはショートカットバーから直接アクセスできます。

インストール後、NetExtender が自動的に起動し、SSL VPN を利用した安全なポイントツーポイントアクセスによって内部ネットワーク上の許可されたホストおよびサブネットにアクセスするための仮想アダプタに接続します。

NetExtender 範囲に対するアドレスオブジェクトの作成
アクセスの設定
プロキシの設定
スタンドアロンクライアントのインストール

NetExtender 範囲に対するアドレスオブジェクトの作成

NetExtender 設定の一部として、NetExtender IP アドレス範囲に対するアドレスオブジェクトを作成する必要があります。その後、このアドレスオブジェクトはデバイスプロファイルの設定時に使用します。

使用する IPv4 アドレス範囲と IPv6 アドレス範囲の両方のアドレスオブジェクトを、「SSL VPN > クライアント設定」で作成できます。アドレスオブジェクトで設定されるアドレス範囲は、NetExtender セッション中にリモートユーザに割り当てられるアドレスを含む IP アドレスプールを定義します。この範囲は、サポートする NetExtender 同時ユーザの最大数に対応できる大きさにする必要があります。さらにアドレスを追加して対応数を増やすことはできますが、これは必須ではありません。

装置と同じセグメント上に他のホストが存在する場合は、アドレス範囲が、他の割り当て済みアドレスと重複したり衝突したりしないようにしてください。

NetExtender IP アドレス範囲に対するアドレスオブジェクトを作成するには、以下の手順に従います。

「オブジェクト > アドレスオブジェクト」に移動します。
「追加」を選択します。
「名前」フィールドにわかりやすい名前を入力します。
「ゾーンの割り当て」で、「SSLVPN」を選択します。
「種別」で、「範囲」を選択します。
「開始アドレス」フィールドに、使用するアドレス範囲内の最小 IP アドレスを入力します。

メモ: IP アドレス範囲は、SSL VPN サービスで使用されるインターフェースと同じサブネット上になければなりません。IP アドレス範囲が他の割り当て済み範囲と衝突しないようにしてください。
「終了アドレス」フィールドに、使用するアドレス範囲内の最大 IP アドレスを入力します。
「追加」を選択します。
「閉じる」を選択します。

アクセスの設定

NetExtender クライアントルートは、SSL VPN ユーザによる各種ネットワークリソースへのアクセスを許可または拒否するために使用されます。アドレスオブジェクトを使用することで、ネットワークリソースへのアクセスを動的かつ容易に設定できます。強制トンネル方式では、リモートユーザとやり取りされるすべてのトラフィックが (リモートユーザのローカルネットワークへのトラフィックを含め) SSL VPN NetExtender トンネルを経由します。これは、次のルートをリモートクライアントのルートテーブルに追加することで実行されます。

リモートクライアントのルートテーブルに追加されるルート
IP アドレス	サブネットマスク
`0.0.0.0`	`0.0.0.0`
`0.0.0.0`	`128.0.0.0`
`128.0.0.0`	`128.0.0.0`

NetExtender は、接続中のすべてのネットワーク接続のローカルネットワークルートも追加します。これらのルートには既存のルートよりも高いメトリックが設定されているため、ローカルネットワークへのトラフィックは強制的に SSL VPN トンネル経由に切り替えられます。例えば、リモートユーザが　10.0.*.*　ネットワークの IP アドレス 10.0.67.64 を使用している場合、ルート 10.0.0.0/255.255.0.0 が追加され、トラフィックが SSL VPN トンネルを経由するようになります。

強制トンネル方式を設定するにはまた、0.0.0.0 のアドレスオブジェクトを設定して、SSL VPN NetExtender ユーザとグループがこのアドレスオブジェクトへのアクセスを持つように割り当てる必要があります。

管理者も、NetExtender の接続が確立および切断されたときにバッチファイルスクリプトを実行できます。これらのスクリプトを使って、ネットワークドライブやプリンタのマッピングおよび切断、アプリケーションの起動、ファイルやウェブサイトの表示などを行うことができます。NetExtender の接続スクリプトでは任意の有効なバッチファイルコマンドを使用できます。

プロキシの設定

SonicWall SSL VPN は、プロキシ設定を使用した NetExtender セッションをサポートしています。現在サポートされているのは、HTTPS プロキシのみです。プロキシ設定は、NetExtender クライアントでの手動設定も可能です。NetExtender は、Web Proxy Auto Discovery (WPAD) プロトコルに対応したプロキシサーバ用のプロキシ設定を自動的に検出できます。

NetExtender には、次の 3 つのプロキシ設定オプションが用意されています。

「設定を自動検出する」－この設定を使用するには、プロキシサーバが Web Proxy Auto Discovery Protocol プロトコルをサポートしていて、プロキシ設定スクリプトをクライアントに自動送信できる必要があります。
自動設定スクリプトを使用する－プロキシ設定スクリプトの場所がわかっている場合は、このオプションを選択してスクリプトの URL を指定することができます。
プロキシサーバを使用する－このオプションを選択すると、プロキシサーバの IP アドレスとポートを指定できます。また、「プロキシのバイパス」フィールドに IP アドレスまたはドメインを入力すれば、それらのアドレスに直接接続してプロキシサーバをバイパスすることができます。必要に応じて、プロキシサーバ用のユーザ名とパスワードも入力できます。プロキシサーバがユーザ名とパスワードを要求しているのにそれらを指定していない場合は、最初の接続時に NetExtender のポップアップウィンドウが表示され、その入力を求められます。

プロキシ設定を使用して接続する場合、NetExtender は、ファイアウォールのサーバに直接接続せず、プロキシサーバへの HTTPS 接続を確立します。その後、プロキシサーバによってトラフィックが SSL VPN サーバに転送されます。すべてのトラフィックは、NetExtender とネゴシエートされた証明書を使って SSL によって暗号化されます。これについては、プロキシサーバ側は関知していません。プロキシを使用してもしなくても、接続のプロセスに違いはありません。

スタンドアロンクライアントのインストール

ユーザによる NetExtender の初回起動時にインストーラをダウンロードして、ユーザのシステムで実行することもできます。インストーラでは、ユーザのログイン情報に基づいてプロファイルが作成されます。その後、インストーラのウィンドウが閉じ、NetExtender が自動的に起動します。旧バージョンの NetExtender が既にインストールされていた場合、インストーラは古い NetExtender を最初にアンインストールするかユーザにアンインストールするよう要求し、その後、新バージョンをインストールできます。

NetExtender スタンドアロンクライアントのインストール後、Windows の場合は「スタート > プログラム」メニューまたはシステムトレーを使用して NetExtender を起動し、Windows の起動時に NetExtender が起動されるように設定できます。Mac の場合は、システムのアプリケーションフォルダから NetExtender を起動できます。また、アイコンをドックにドラッグしてすばやくアクセスすることもできます。Linux システムでは、インストーラによってデスクトップショートカットが /usr/share/NetExtender に作成されます。このショートカットは、Gnome や KDE といった環境のショートカットバーにドラッグできます。

SonicWall 装置に NetExtender をインストールする詳細な手順については、ナレッジベースの記事「SonicOS 5.9 以降で SSL-VPN 機能 (NetExtender アクセス) を設定する方法 (SW10657)」を参照してください。

「How to configure SSL VPN」 (SSL VPN の設定方法) というビデオでも NetExtender の設定手順を説明しています。

SSL VPN アクセスのためのユーザの設定

ユーザは、SSL VPN サービスにアクセスできるためには、SSLVPN サービスグループに割り当てられている必要があります。「SSLVPN サービス」グループに属していないユーザが仮想オフィスからログインを試みても、アクセスは拒否されます。

トピック:

ローカルユーザの場合
RADIUS および LDAP ユーザの場合
強制トンネル方式アクセスの場合

ローカルユーザの場合

以下はクイックリファレンスで、SSLVPN サービスの有効化に必要なユーザ設定が記載されています。

ローカルユーザ向けの SSL VPN アクセスを設定するには、以下の手順に従います。

「管理 | システムセットアップ | ユーザ > ローカルユーザ & グループ」に移動します。
設定したいユーザに対する編集アイコンを選択するか、「ユーザの追加」を選択して新しいユーザを作成します。
「グループ」を選択します。
「ユーザグループ」列の「SSLVPN サービス」を選択し、右矢印を選択してこれを「所属するグループ」列に移動します。
「VPN アクセス」を選択し、適切なネットワークリソース VPN ユーザ (GVC、NetExtender、または仮想オフィスブックマーク) を「アクセスリスト」に移動します。

「VPN アクセス」設定は、GVC、NetExtender、または SSL VPN 仮想オフィスブックマークを使ってネットワークリソースにアクセスするリモートクライアントの能力に影響します。GVC、NetExtender、または仮想オフィスのユーザにネットワークリソースへのアクセスを許可するには、ネットワークアドレスオブジェクトかグループを「VPN アクセス」の「アクセスリスト」に追加する必要があります。
「OK」を選択します。

RADIUS、LDAP、TACACS+ ユーザの場合

RADIUS、LDAP、TACACS+ ユーザの設定手順は同様です。これらのユーザを「SSL VPN サービス」ユーザグループに追加する必要があります。

RADIUS、LDAP、TACACS+ ユーザ向けの SSL VPN アクセスを設定するには、以下の手順に従います。

「オブジェクト | ユーザオブジェクト > 設定」表示を選択して、「認証」タブを選択します。
「ユーザ認証方式」フィールドで：「RADIUS」または「RADIUS + ローカルユーザ」を選択します。「LDAP」または「LDAP + ローカルユーザ」を選択します。
以下を選択します。RADIUS の構成または LDAP の構成
以下を選択します。「RADIUS ユーザ > ユーザ & グループ」
適切なフィールドの「SSLVPN サービス」を選択します。すべての RADIUS ユーザが所属する既定のユーザグループまたは既定の LDAP ユーザグループ
「OK」を選択します。

強制トンネル方式アクセスの場合

ローカルユーザおよびグループの詳しい追加方法と設定方法が、『SonicOS/X ユーザ』に記載されています。以下はクイックリファレンスで、「強制トンネル」方式に対してユーザとグループを設定するために必要なユーザ設定が記載されています。

SSL VPN NetExtender ユーザとグループを強制トンネル方式のために設定するには、以下の手順を実行します。

「オブジェクト | ユーザオブジェクト | ユーザ > ローカルユーザ & グループ」に移動します。
追加アイコンをクリックし、SSLVPN を選択したグループとして定義します。
「VPN アクセス」を選択します。
「WAN リモートアクセスネットワーク」アドレスオブジェクトを選択し、右矢印をクリックして「アクセスリスト」まで移動させます。
5 SSL VPN NetExtender を使うすべてのローカルユーザおよびグループに対して、このプロセスを繰り返します。

生体認証

生体認証を使用するには、モバイルデバイスに Mobile Connect 4.0 以上をインストールしてファイアウォールに接続しておく必要があります。

SonicOS/X は、SonicWall Mobile Connect と連携して生体認証をサポートしています。Mobile Connect は、ユーザがモバイルデバイスからプライベートネットワークに安全にアクセスできるようにするアプリケーションです。Mobile Connect 4.0 では、ユーザ名とパスワードの代わりにフィンガータッチによる認証を使用できます。

この認証方法を許可する設定項目は「ネットワーク | SSL VPN > クライアント設定」ページにあります。これらのオプションが表示されるのは、Mobile Connect を使用してファイアウォールに接続している場合のみとなります。

「SSL VPN > クライアント設定」ページで生体認証を設定した後、ユーザのスマートフォンまたはその他のデバイスで、TouchID (iOS) または指紋認証 (Android) を有効にする必要があります。

< Previous Section Next Section >

Was This Article Helpful?

Help us to improve our support portal