Windows 2000 Server で自動 L2TP/IPSec ポリシーを無効にする方法

この資料では、自動 L2TP/IPSec (レイヤ 2 トンネリング プロトコル/インターネット プロトコル セキュリティ) ポリシーを無効にする方法を、手順を追って説明します。

Microsoft Windows 2000 ルーティングとリモート アクセス サービスは、L2TP/IPSec プロトコルをサポートしています。マイクロソフトで実装している L2TP/IPSec は、RFC (Request for Comments) 標準に完全に準拠しています。この実装は、仮想プライベート ネットワーク (VPN) 接続において最高レベルのセキュリティを提供します。現在、L2TP/IPSec VPN クライアント コンピュータ ロールをサポートしているのは、Windows 2000、Microsoft Windows XP、および特定のサードパーティのオペレーティング システムのみです。

Windows 2000 では、L2TP/IPSec VPN リンクが確立されると、IPSec ポリシーが自動的に作成されます。IPSec ポリシーでは、ルーティングとリモート アクセス VPN サーバーと VPN クライアントの両方にコンピュータ証明書をインストールすることが求められます。証明書は、Microsoft Certificate Server またはサードパーティのプロバイダから入手できます。

公開鍵インフラストラクチャ (PKI) が存在しないため、セキュリティ管理者が、デフォルトの自動 L2TP/IPSec ポリシーを無効にする必要がある場合があります。また、テストのために自動 IPSec ポリシーを無効にすることが必要な場合もあります。ポリシーを無効にすると、純粋な L2TP トンネルを確立できます。ただし、トンネルのセキュリティ保護は IPSec によって行われるため、L2TP トンネルのみでは安全ではありません。

自動 L2TP/IPSec ポリシーを無効にした後、事前共有キーを使用してゲートウェイ間の VPN リンクを作成できます。事前共有キーの使用は、テストの場合に限ることをお勧めします。マイクロソフトでは、運用環境での事前共有キーの使用はサポートしていません。

事前共有キーを使用して IPSec ポリシーを設定する方法の関連情報を参照するには、以下の「サポート技術情報」 (Microsoft Knowledge Base) をクリックしてください。

自動 L2TP/IPSec ポリシーを無効にする方法

警告 : レジストリ エディタの使い方を誤ると、深刻な問題が発生することがあります。最悪の場合、オペレーティング システムの再インストールが必要になることがあります。マイクロソフトは、レジストリ エディタの誤用により発生した問題に関しては、一切責任を負わないものとします。レジストリ エディタは、自己の責任においてご使用ください。

L2TP/IPSec 接続の Windows 2000 ベースの各エンドポイント コンピュータに、ProhibitIpSec レジストリ値を追加する必要があります。このレジストリ値により、L2TP/IPSec トラフィックの自動フィルタが作成されなくなります。ProhibitIpSec レジストリ値を 1 に設定すると、Windows 2000 ベースのコンピュータでは、証明機関 (CA) 認証を使用する自動フィルタは作成されません。代わりに、ローカルまたは Active Directory ディレクトリ サービスの IPSec ポリシーが確認されます。

ProhibitIpSec レジストリ値を追加するには、次の手順を実行します。

1. レジストリ エディタを起動します。
2. 次のレジストリ サブキーを見つけてクリックします。
   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Rasman\Parameters
3. [編集] メニューの [値の追加] をクリックします。
4. [値の名前] に prohibitipsec と入力し、[データ型] ボックスの [REG_DWORD] をクリックし、[OK] をクリックします。
5. [データ] ボックスに 1 と入力し、[OK] をクリックします。
6. レジストリ エディタを終了し、コンピュータを再起動します。

トラブルシューティング

ProhibitIpSec 値を 1 に設定した場合、ルーティングとリモート アクセス VPN サーバーでは、IPSec 認証用の証明書を使用するフィルタは作成されません。ルーティングとリモート アクセス VPN サーバーは、ローカルの IPSec ポリシーまたは Active Directory IPSec ポリシーのいずれかを使用します。ローカルのルーティングとリモート アクセス VPN サーバー上に IPSec ポリシーを設定するか、またはグループ ポリシーを使用して IPSec ポリシーをルーティングとリモート アクセス VPN サーバーに適用することができます。

このポリシーが無効になっていて、ドメイン ポリシーまたはローカル ポリシーが割り当てられていない場合、IPSec (UDP 1701 パケット) を使用せずに L2TP 接続が試行されます。クライアントとサーバーの両方でポリシーが無効になっている場合、IPSec を使用せずに L2TP トンネルを作成できます。

警告 : L2TP 接続の IPSec を無効にすると、セキュリティが著しく制限されます。この設定は、トラブルシューティングの場合のみ使用することをお勧めします。