Cisco ビジネス VPN 概要および最良の方法

VPN 接続を使用する危険性

• ミスコンフィギュレーションによるセキュリティリスクがある場合もあります。 VPN の設計および実装は複雑である場合もあるのでプライベート ネットワークのセキュリティが危殆化されないことを確かめるために知識があり、ベテラン専門家への接続の設定のタスクを委託することは必要です。
• それはより少なく信頼できるかもしれません。 VPN 接続はインターネット接続を必要とするので優秀なインターネット サービスを提供し、ダウンタイムに最小を保証すると、証明され、テストされた評判のプロバイダを持っていることは重要ではないです。
• 状況によってが設定をの新しいインフラストラクチャか新しい一組追加する必要がどこにがあるか発生すれば技術的な問題は特に異なる製品を含むか、または既に使用している物以外のベンダー非互換性が原因で起こるかもしれません。
• 遅い接続速度は行われる場合があります。 自由な VPN サービスを提供する ISP 接続を使用していれば、これらのプロバイダが接続速度に優先順位をつけないので接続がまた遅いことが期待されるかもしれません。 VPN スループットがルータのハードウェア機能によって決まることに注意することは重要です。

詳細については VPN がどのようにに関するはたらくか、ここをクリックして下さい。

VPN の型

Secure Sockets Layer （SSL）

Cisco ビジネス RV34x シリーズ ルータは AnyConnect を使用して SSL VPN を、サポートします。 RV160 におよび RV260 にもう一つの SSL VPN である OpenVPN を使用するオプションがあります。 Webブラウザを使用してセキュア VPN トンネルを確立する SSL VPN サーバ割り当てリモートユーザ。 この機能は SSL セキュア（HTTPS）ブラウザ サポート上のネイティブ ハイパーテキスト転送プロトコル（HTTP）を使用して Web リソースおよびウェブ対応アプリケーションの広範囲への簡単なアクセスを Hypertext Transfer Protocol（HTTP）可能にします。

SSL VPN はユーザがネットワーク トラフィックの暗号化によってセキュアのおよび認証された経路を使用して制限ネットワークに、リモートアクセスすることを可能にします。

SSL のアクセスを設定する 2 つのオプションがあります:

1. 自己署名証明書: 自身の創作者によって署名される証明書。 これは推奨されないし、テスト環境でしか使用する必要がありません。
2. CA 署名入り認証: これは大いにセキュアおよび強く推奨されています。 サイトに接続する料金に関しては、サード パーティはネットワークが正当である検証し、CA 認証をこと作成します。 CA 証明書に関する詳細については、この記事の Certificates セクションをチェックして下さい。

この資料内の AnyConnect の技術情報へのリンクがあります。 AnyConnect の外観に関しては、ここをクリックして下さい。

IPsec プロファイル

Easy VPN （EzVPN）、TheGreenBow および口やかましい女ソフトは Internet Protocol（IP） セキュリティ（IPSec） VPN です。 IPSec VPN は 2 同位間のまたはクライアントにサイトからのセキュアトンネルを提供します。 敏感みなされるパケットはこれらのセキュアトンネルを通して送信する必要があります。 これらのトンネルの特性の規定によってハッシュ アルゴリズム、暗号化アルゴリズム、キー ライフタイムおよびモードを含むパラメータが定義する必要がありますこれらの敏感なパケットを保護するのに使用する必要があります。 それから IPsec ピアが非常に敏感なパケットを見るとき、それは適切なセキュアトンネルを設定し、このトンネルによってリモートピアにパケットを送信 します。

IPsec はファイアウォールかルータで設定されるとき、境界を交差させるすべてのトラフィックに適用することができる強い セキュリティを提供します。 会社またはワークグループ内のトラフィックはセキュリティ関連の処理のオーバーヘッドを負いません。

VPN トンネルの 2 つの終わりのために暗号化され、うまく確立されるために、それら両方は暗号化、復号化および認証のメソッドに一致する必要があります。 IPsec プロファイルはフェーズ I の暗号化、認証および Diffie-Hellman（DH） グループおよび autoモード、また手動キー入力 モードの II ネゴシエーションのようなアルゴリズムを定義する IPsec の中央設定です。

IPsec の重要なコンポーネントはインターネット キー エクスチェンジ（IKE）フェーズ 1 およびフェーズ 2.が含まれています。

IKE フェーズ 1 の基本的な目的は IPSec 同位を認証し、IKE 交換を有効に するために同位間のセキュア チャネルを設定することです。 IKE フェーズ 1 は次の機能を行います:

• IPSec 同位の識別を認証し、保護します
• 同位間の一致する IKE Security Associations （SA） ポリシーを IKE 交換を保護するためにネゴシエートします
• 一致する共有秘密鍵を持っている最終結果と Diffie-Hellman（DH）認証された交換を行います
• セキュアトンネルを IKE フェーズ 2 パラメータをネゴシエートするために設定します
• 2 つのモード、主要なモードおよびアグレッシブモードに発生します

IKE フェーズ 2 の目的は IPSec トンネルを設定するために IPSec SA をネゴシエートすることです。 IKE フェーズ 2 は次の機能を行います:

• 既存の IKE SA によって保護される IPSec SA パラメータをネゴシエートします
• IPSec セキュリティ結合を確立します
• 定期的に IPSec SA をセキュリティを確保するために再取り決めします
• 任意で追加交換を Diffie-Hellman（DH）行います
• 使用される唯一のモード Quick Mode

完全な前方機密性（PFS）が IPSec ポリシーで規定 される場合、新しい DH（Diffie-Hellman）交換はすばらしいエントロピー（キー マテリアル ライフ）および暗号不正侵入へのそれによりより大きい抵抗がある主な材料を提供する各 Quick Mode と実行された。 それぞれは DH（Diffie-Hellman）必要とします大きい累乗、それにより増加 CPU 使用およびパフォーマンス コストを強要すること交換します。

• Internet Protocol（IP） RV34x シリーズ ルータのセキュリティ（IPSec）プロファイルの設定
• RV160 および RV260 の IPSec プロファイル（オート キー入力 モード）の設定
• IPsec プロファイル RV160 および RV260 ルータの手動キー入力 モードを設定します

Point-to-Point Tunneling Protocol（PPTP; ポイントツーポイント トンネリング プロトコル）

PPTP はパブリックネットワーク間の VPN トンネルを作成するのに使用されるネットワーク プロトコルです。 PPTP サーバは別名バーチャル プライベート ダイヤルアップ ネットワーク（VPDN）サーバです。 PPTP は時々他のプロトコルにファースト、モバイル デバイスで動作する能力があるので使用されます。 ただし、それが VPN の他の型程にセキュアではないことに注意することは重要です。 PPTP 型アカウントと接続するべき複数のメソッドがあります。 多くを学ぶためにリンクをクリックして下さい:

• Rv34x シリーズ ルータのポイントツーポイント トンネリング プロトコル（PPTP） サーバを設定して下さい
• 設定 Windows の RV320 および RV325 VPN Router シリーズのポイント ツー ポイント トンネリング プロトコル（PPTP）サーバ

総称ルーティング カプセル化

総称ルーティング カプセル化（GRE）はカプセル化によって別のプロトコル上の 1 プロトコルのパケットを転送するために簡単で一般的 なアプローチを提供するトンネリング プロトコルです。

GRE は外 IP パケットの中の相手先ネットワークに渡される必要があるペイロードを、すなわち、内部パケット カプセル化します。 GRE トンネルはトンネル ソースおよびトンネル宛先 アドレスによって識別される 2 つのエンドポイントがあるバーチャルポイント ツー ポイントリンクとして動作します。

トンネルエンドポイントは GRE トンネルを通して介入 IP ネットワークによってカプセル化されたパケットをルーティングすることによってペイロードを送信 します。 他の IP ルータは途中でペイロード（内部パケット）を解析しません; 彼らは GRE トンネルエンドポイントの方にそれを転送するように外 IP パケットだけを解析します。 トンネルエンドポイントに達した上で、GRE カプセル化は取除かれ、ペイロードはパケットの最終デスティネーションに転送されます。

ネットワークのデータグラムのカプセル化はソースサーバが宛先 ホストに到着するためにパケットが奪取 する ルートに影響を及ぼしたいと思うとき、のようないろいろな理由で行われます。 ソースサーバは別名カプセル化サーバです。

IP-in-IP カプセル化は既存の IP ヘッダ上の外 IP ヘッダの挿入を含みます。 IP-in-IP トンネルの終了点への外 IP ヘッダ ポイントの送信元 および 宛先アドレス。 ネットワーク管理者がパケットを運んでいればルータのループバック アドレスを認識していれば IP ヘッダのスタックが宛先に前もって決定されたパス上のパケットを送信するのに使用されています。

このトンネリング メカニズムはほとんどのネットワーク・アーキテクチャのためのアベイラビリティおよびレイテンシーの判別に使用することができます。 それは出典からの宛先への全体のパスがヘッダに含まれている必要がないネットワークのセグメントはパケットを送信するために選択することができますこと注意されるべきです。

Layer 2 Tunneling Protocol

L2TP はトンネル伝送するトラフィックに暗号化メカニズムを提供しません。 その代りデータを暗号化するためにそれは他のセキュリティプロトコルに、IPSec のような、頼ります。

L2TP トンネルは L2TP Access Concentrator （LAC）と L2TP Network Server （LNS）の間で確立されます。 IPSec トンネルもこれらのデバイス間で確立され、すべての L2TP トンネルのトラフィックは IPSec を使用して暗号化されます。

L2TP のいくつかのキー ターム:

• CHAP-chAllenge ハンドシェイク 認証プロトコル。 ポイント ツー ポイント認証プロトコル（PPP）。
• L2TP Access Concentrator （LAC） - LAC は Public Switched Telephone Network （PSTN）に接続される Cisco network アクセス サーバである場合もあります。 LAC 必要 L2TP 上のオペレーションのための実装するメディアだけ。 LAC はパブリックまたはプライベートフレーム リレーのようなローカル エリア ネットワークかワイドエリア ネットワークを使用して LNS に接続できます。 LAC は送信通話の着信コールおよびレシーバの発信側です。
• L2TP Network Server （LNS） -ローカル エリア ネットワークかワイドエリア ネットワークに、パブリックまたはプライベートフレーム リレーのような接続されるほとんどどの Ciscoルータでも LNS として機能できます。 それは L2TP プロトコルのサーバ側で、PPP セッションを終了するプラットフォームを操作する必要があります。 LNS は着信コールの送信通話およびレシーバの発信側です。 図 1 は LAC と LNS 間のコール ルーチンを描写します。
• Virtual Private Dial Network （VPDN） -サービスを提供するのに PPP を使用するアクセスVPN の型。

次のリンクをクリックするために L2TP に関する詳細を望んだら:

• RV34x ルータの設定 L2TP WAN 設定

• ワイドエリアネットワーキング設定ガイド: レイヤ2 サービス、Cisco IOS XE リリース 3S

証明書

セキュアではないこと Webサイトを参照し、警告を与えられましたか。 それはプライベートな情報がセキュアである、ありませんこと自信をもって一杯にしないし! サイトがセキュアなら閉じるのサイトの名前の前にアイコンをロックすることを見ます。 これはサイトがずっと確認されたセーフであることシンボルです。 ロック アイコンが閉じたことがわかって確かめたいと思います。 同じは VPN にあてはまます。

VPN を設定するとき、認証局（CA）からの証明書を得る必要があります。 証明書はサード パーティ サイトから購入され、認証のために使用されます。 それはサイトがセキュアであると証明する公式方法です。 基本的に、CA は正当 な ビジネスで、信頼することができることを確認する信頼されたソースです。 VPN に関しては最小コストでだけより低いレベルの証明書を必要とします。 CA によってチェックされ、情報を確認すれば、あなたに証明書を発行します。 この証明書はコンピュータのファイルとしてダウンロードすることができます。 ルータ（か VPN サーバ）にそして入り、それをそこにアップロードできます。

セキュリティを確保するのに公開キーまたはプライベート キー暗号化を使用する CA はデジタル証明書を発行するとき Public Key Infrastructure（PKI）を使用します。 CA は Certificate 要求を管理したりデジタル証明書を発行する役割があります。 少数のサード パーティ CA は IdenTrust、Comodo、GoDaddy、GlobalSign、GeoTrust および Verisign が含まれています。

VPN のすべてのゲートウェイが同じアルゴリズムを使用することは重要です、他では通信できません。 すべての証明書が同じから信頼されたサード パーティ購入されることが事柄を簡素化するために、推奨されます。 これは手動で更新されなければならないと同時に複数の証明書を管理すること容易保存します。

注: クライアントは通常証明書が VPN を使用することを必要としません; それはルータを通って確認のためちょうどです。 これに対する例外はクライアント 認証を必要とする OpenVPN です。

いくつかのスモール ビジネスは証明書の代わりにパスワードか事前共有キーを簡単にするために使用するために選択します。 これはより少なくセキュアでしかし無料で設定することができます。

証明書に関する詳細は下記のようにリンクで見つけることができます:

• RV160 および RV260 シリーズ ルータの証明書（インポート/エクスポート/生成する CSR）
• RV34x シリーズ ルータのサード パーティ SSL 証明書とデフォルト 自己署名証明書を取り替えて下さい

ルータのサイト間VPN

ローカルおよびリモートルータに関しては、VPN 接続に使用する事前共有キー（PSK） /password/Certificate およびセキュリティ設定を確かめることは重要すべての一致です。 一人以上のルータが Cisco ビジネス ルータ 使用のほとんどネットワーク アドレス変換（NAT）を使用する場合、ローカルおよびリモートルータの VPN 接続のためのファイアウォール免除をする必要があります。

あるようにこれらのサイト間の技術情報を確認して下さい:

• RV34x のサイト間VPN の設定
• RV340 か RV345 ルータのサイト間VPN を設定して下さい
• Cisco Tech Talk: 設定します RV340 シリーズ ルータ（ビデオ）のサイト間VPN を
• 設定します RV160 および RV260 ルータのサイト間VPN を（基本的な設定）
• RV160 および RV260 ルータのサイト間VPN （詳細設定およびフェールオーバー）

ルータのクライアントにサイト VPN

VPN がクライアント側で設定することができる前に管理者はルータでそれを設定する必要があります。

これらのルータコンフィギュレーション技術情報を閲覧するためにクリックして下さい:

• RV160 および RV260 ルータの VPN のセットアップ ウィザードを設定します
• RV160 および RV260 での口やかましい女ソフト VPN Client の設定
• Cisco Tech Talk: 設定します RV160 および RV260 （ビデオ）の口やかましい女ソフト VPN を
• RV160 および RV260 ルータによって接続するべき設定および使用 TheGreenBow IPSec VPN クライアント

クライアントにサイト プロファイルを作成して下さい

クライアントにサイト VPN 接続では社内ネットワークか LAN にサーバの後ろでアクセスするためにネットワークおよびリソースのセキュリティを維持するために、インターネットからのクライアントはまだサーバに接続できます。 この機能は在宅勤務者および出張者がセキュリティを危殆化しないでプライバシーおよび VPN クライアント ソフトウェアの使用によってネットワークにアクセスするようにする新しい VPN トンネルを作成するので非常に役立ちます。 次の記事は RV34x シリーズ ルータに特定です:

• RV34x シリーズ ルータの設定クライアントにサイト バーチャル プライベート ネットワーク （VPN）接続
• RV34x シリーズ ルータの設定 AnyConnect バーチャル プライベート ネットワーク （VPN） 接続

ユーザグループ

ユーザグループは同じサービスのセットを共有するユーザの収集のためのルータで作成されます。 これらのユーザグループは VPN にどのようにのアクセスできるか権限のリストのようなグループのためのオプションが、含まれています。 デバイスによっては、PPTP、サイト間のIPSec VPN、およびクライアントにサイト IPSec VPN は許可することができます。 たとえば、RV260 に OpenVPN を含むが、L2TP がサポートされないオプションがあります。 RV340 シリーズは SSL VPN のための AnyConnect が、また捕虜ポータルまたは EZ VPN 装備されています。

これらの設定は許可されたユーザだけネットワークにアクセスできるように制御し、フィルタリングすることを管理者が可能にします。 口やかましい女ソフトおよび TheGreenBow はダウンロードのために利用可能な最もよくある VPN Client の 2 つです。 それらは VPN トンネルをうまく確立できるためにそれらのためのルータの VPN 設定に基づいて設定される必要があります。 次の技術情報は特にユーザグループの作成を取り上げます:

• RV34x ルータの VPN のセットアップ用のユーザグループを作成して下さい

ユーザアカウント

ユーザアカウントはルータで PPTP のようなさまざまなサービス、VPN Client、Web グラフィカル ユーザインターフェイス（GUI）ログオンおよび Secure Sockets Layer バーチャル プライベート ネットワーク（SSLVPN）のためにローカル データベースを使用しているローカル ユーザの認証を可能にするために作成されます。 これはネットワークしかアクセスしないために許可されたユーザを制御し、フィルタリングすることを管理者が可能にします。 次の技術情報は特にユーザアカウントの作成を取り上げます:

• RV34x ルータで設定される VPN Client のためのユーザアカウントを作成して下さい

クライアント Location のクライアントにサイト

クライアントにサイト VPN 接続ではサーバの後ろで社内ネットワークか LAN にアクセスするために、インターネットからのクライアントはサーバに接続できますが、まだネットワークおよびリソースのセキュリティを維持します。 この機能は在宅勤務者および出張者がセキュリティを危殆化しないでプライバシーおよび VPN クライアント ソフトウェアの使用によってネットワークにアクセスするようにする新しい VPN トンネルを作成するので非常に役立ちます。 VPN は送信 され、受け取られると同時にデータを暗号化し、復号化するために設定されます。

AnyConnect アプリケーションは SSL VPN を使用し、RV34x ルータによって特に使用されます。 それは他の RV 一連のルータと利用可能ではないです。 バージョン 1.0.3.15 から開始して、ルータ ライセンスはもはや必要ではないですが、ライセンスは VPN のクライアント側のために購入される必要があります。 on Cisco AnyConnect セキュア モビリティ クライアント詳細については、ここをクリックして下さい。 インストールの方向に関しては、次の技術情報から選択して下さい:

• Mac コンピュータで Cisco AnyConnect セキュア モビリティ クライアントをインストールして下さい
• Windows コンピュータで Cisco AnyConnect セキュア モビリティ クライアントをインストールして下さい

すべての RV シリーズ ルータが付いているクライアントにサイト VPN のために利用することができるいくつかのサードパーティ製のアプリケ− ションがあります。 以前に示されるように、Cisco はこれらのアプリケーションをサポートしません; この情報は指導目的で提供されています。

ホスト デバイスがクライアントにサイト IPsec トンネルまたは SSL のための信頼できる接続を設定することができるように可能にする TheGreenBow VPN Client はサード パーティ VPN クライアント クライアント アプリケーションです。 サポートが含まれているこれは支払済アプリケーションです。

• RV160 および RV260 ルータによって接続するべき設定および使用 TheGreenBow IPSec VPN クライアント

OpenVPN は自由、SSL VPN のために設定され、使用できるオープンソース アプリケーションです。 それはインターネット上のサーバとリモートクライアント場所間のセキュアコミュニケーションを提供するのにクライアントとサーバー間の接続を使用します。

• RV160 および RV260 ルータの OpenVPN

口やかましい女ソフトは自由、IPSec VPN のために同様に設定され、使用できるオープンソース アプリケーションです。 それはインターネット上のサーバとリモートクライアント場所間のセキュアコミュニケーションを提供するのにクライアントとサーバー間の接続を使用します。

• RV160 および RV260 での口やかましい女ソフト VPN Client の設定

Easy VPN  は RV32x ルータで広く使われていました。 参照用の情報はここにあります:

• RV320 および RV325 VPN Router シリーズのゲートウェイ バーチャル プライベート ネットワーク （VPN）への設定容易なクライアント
• Cisco Easy VPN に関する Q&A
• Easy VPN  on Cisco IOS ソフトウェアベースのルータ

Setup ウィザード

設定用のステップによってガイドする最新の Cisco ビジネス ルータは VPN のセットアップ ウィザードが付いています。 VPN のセットアップ ウィザードは基本的な LAN-to-LAN およびリモートアクセスVPN接続を設定し、認証に事前共有キーかデジタル証明書を割り当てることを可能にします。 あるようにこれらの技術情報を確認して下さい:

• RV160 および RV260 の VPN のセットアップ ウィザードの設定
• RV34x シリーズ ルータの Setup ウィザードを使用する設定 バーチャル プライベート ネットワーク （VPN）接続

VPN を設定した場合使用するべき助言

1. 異なるサイトの間の VPN を設定している間両端で別の LAN IP サブネットを使用して下さい。 たとえば、に接続するサイト 192.168.x.x アドレス方式を、10.x.x.x か 172.16.x.x を使用したいと思います- 172.31.x.x サブネット使用します。 もう一つのオプションは異なるサブネット マスクを持つことです。 ルータのIP アドレスを変更するとき、デバイスはの Dynamic Host Configuration Protocol（DHCP）/DHCPv6 （DHCP）自動的にそのサブネットの IP アドレスを取ります。
2. 安定 した VPN 接続のためにルータの WANインターフェイスの静的なパブリック IP を使用して下さい。
3. 選択される暗号化および認証レベルがルータが VPN のためのに VPN トンネルを確立したい同じであることをことを確かめて下さい。
4. 入る PSK およびキー ライフタイムがリモートルータと同じであることをことを確かめて下さい。 PSK はサイトでおよびクライアントとコンピュータのクライアントとして設定するときそれちょうどなりません一致するそれにでほしいものは何でもである場合もあります。 デバイスによっては、使用できない禁止されたシンボルがあるかもしれません。 キー ライフタイムはどの位の割りでシステム 変更キーです。 証明書はそれがセキュアと考慮されるので好まれます。
5. ほとんどの VPN に関しては、クライアントはルータを通って確認のため証明書がそれですちょうど VPN を使用することを必要としません。 たとえば、OpenVPN はクライアントおよびサイト両方証明書を必要とします。
6. フェーズ I の SA ライフタイムをフェーズ II SA ライフタイムより長く設定 して下さい。 フェーズ I をフェーズ II より短くさせる場合、データ トンネルに対してトンネルを頻繁にあちこちに再取り決めしなければなりません。 データ トンネルはより多くのセキュリティを必要とします、従ってフェーズ I.より短いフェーズ II のライフタイムを持っていることがより適切です。
7. より複雑な何かにすべてのパスワードを変更して下さい。

結論

この技術情報は助言と共に VPN のよりよい知識に方法で得るために導きました。 あなた専有物を設定してこの場合準備ができるはずです! リンクを表示し、Cisco ビジネス ルータの VPN を設定する最もよい方法を決定するのに時間をかけて下さい。