Windows Live
Facebook
Twitter
Linkedin
Digg it
Yahoo
Delicious
StumbleUpon
Yammer
Reddit
Technorati
FriendFeed
Email文書番号: 816514 - 最終更新日: 2007年12月3日 - リビジョン: 6.3 Windows Server 2003 で IPSec トンネリングを構成する方法
Microsoft Windows 2000 については、次の資料を参照してください。252735?
(http://support.microsoft.com/kb/252735/
)
目次概要
IP セキュリティ (IPSec) をトンネル モードで使用することで、インターネット プロトコル (IP) パケットをカプセル化でき、またオプションで暗号化することもできます。Windows Server 2003 で IPSec トンネル モード ("純粋な IPSec トンネル" とも呼ばれます) を使用する主な理由は、レイヤ 2 トンネリング プロトコル (L2TP)/IPSec または PPTP 仮想プライベート ネットワーク (VPN) トンネリング テクノロジをサポートしていない、マイクロソフト製品以外のルーターやゲートウェイとの相互運用性を保つためです。
先頭に戻る
Windows Server 2003 では、トンネルの両方のエンドポイントに静的 IP アドレスが割り当てられていれば、IPSec トンネリングがサポートされます。IPSec トンネリングは主にゲートウェイとゲートウェイの間の通信に役立ちますが、ゲートウェイとサーバー、またはルーターとサーバー間専用のネットワークのセキュリティ保護にも有用な場合があります (たとえば、外部インターフェイスからのトラフィックを内部の Windows Server 2003 ベースのコンピュータにルーティングする Windows Server 2003 ルーターにおいて、外部クライアントにサービスを提供する内部サーバーへの IPSec トンネルを確立して、内部パスをセキュリティ保護する場合などです)。
Windows Server 2003 の IPSec トンネリングを、クライアント リモート アクセス VPN で使用することはサポートされていません。これは、IETF (Internet Engineering Task Force、インターネット技術標準化委員会) の IPSec RFC (Requests for Comments) では現在のところ、クライアントからゲートウェイへの接続のためのインターネット キー交換 (IKE) プロトコルにおけるリモート アクセス用のソリューションが提供されていないためです。IETF RFC 2661 レイヤ 2 トンネリング プロトコル (L2TP) は、クライアント リモート アクセス VPN 接続を可能にするために、特にシスコ、マイクロソフトなどによって開発されたものです。Windows Server 2003 では、クライアント リモート アクセス VPN 接続で、トンネルの種類として L2TP が選択されている場合、トンネル モードではなく、トランスポート モードの IPSec を使用する IPSec ポリシーが自動的に生成されて、接続が保護されます。 また、Windows Server 2003 の IPSec トンネリングでは、プロトコル固有およびポート固有のトンネルもサポートされていません。Microsoft 管理コンソール (MMC) の IP セキュリティ ポリシーの管理スナップインはきわめて汎用的で、トンネルに任意の種類のフィルタを関連付けることができますが、トンネルの規則にフィルタを指定する場合は、アドレス情報だけを使用するようにします。 IPSec および IKE プロトコルの機能の詳細については、『Microsoft Windows Server 2003 リソース キット』を参照してください。 この資料では、Windows Server 2003 ゲートウェイで IPSec トンネルを構成する方法について説明します。IPSec トンネルでセキュリティ保護されるのは、ユーザーが構成した IPSec フィルタに指定されたトラフィックだけであるため、この資料では、ルーティングとリモート アクセス サービスでフィルタを構成して、トンネルの外部でトラフィックが送受信されないようにする方法についても説明します。ここでは、構成手順をわかりやすくするために、次のような環境を例にとって説明します。 元に戻す
NetA は、Windows Server 2003 ゲートウェイの内部ネットワークのネットワーク ID です。 WIN2003intIP は、Windows Server 2003 ゲートウェイの内部ネットワーク アダプタに割り当てられた IP アドレスです。 WIN2003extIP は、Windows Server 2003 ゲートウェイの外部ネットワーク アダプタに割り当てられた IP アドレスです。 3rdExtIP は、マイクロソフト製ではないゲートウェイの外部ネットワーク アダプタに割り当てられた IP アドレスです。 3rdIntIP は、マイクロソフト製ではないゲートウェイの内部ネットワーク アダプタに割り当てられた IP アドレスです。 NetB は、マイクロソフト製ではないゲートウェイの内部ネットワークのネットワーク ID です。 目的は、NetA からのトラフィックを NetB にルーティングする必要があるとき、または、NetB からのトラフィックを NetA にルーティングする必要があるときに、セキュリティ保護されたセッションを利用してトラフィックがルーティングされるように、Windows Server 2003 ゲートウェイとマイクロソフト製ではないゲートウェイで IPSec トンネルを確立することです。 IPSec ポリシーを構成するには、2 つのフィルタを作成する必要があります。1 つは、NetA から NetB へ (トンネル 1) のパケットを照合するフィルタ、もう 1 つは、NetB から NetA へ (トンネル 2) のパケットを照合するフィルタです。フィルタ操作を構成して、トンネルのセキュリティ保護方法を指定する必要があります (1 つの規則が 1 つのトンネルに該当するため、規則は 2 つ作成します)。 先頭に戻る IPSec ポリシーを作成する通常、Windows Server 2003 ゲートウェイはドメインのメンバではないため、ローカルの IPSec ポリシーが作成されます。Windows Server 2003 ゲートウェイがドメインのメンバで、デフォルトでドメイン内のすべてのメンバに適用される IPSec ポリシーがそのドメインに存在する場合、Windows Server 2003 ゲートウェイではローカルの IPSec ポリシーを作成できません。この場合、Active Directory に組織単位を作成し、Windows Server 2003 ゲートウェイをその組織単位のメンバに追加して、その組織単位のグループ ポリシー オブジェクト (GPO) に IPSec ポリシーを割り当てることができます。詳細については、Windows Server 2003 オンライン ヘルプの「IPSec ポリシーの作成、変更、および割り当て」を参照してください。
先頭に戻る NetA から NetB へのフィルタ一覧を構築する
NetB から NetA へのフィルタ一覧を構築する
NetA から NetB へのトンネルの規則を構成する
NetB から NetA へのトンネルの規則を構成する
新しい IPSec ポリシーを Windows Server 2003 ゲートウェイに割り当てるローカル コンピュータの IP セキュリティ ポリシー Microsoft 管理コンソール (MMC) スナップインで、作成した新しいポリシーを右クリックし、[割り当て] をクリックします。ポリシーの横のフォルダ アイコンに緑色の矢印が表示されます。ポリシーを割り当てると、アクティブなフィルタが 2 つ追加されます (ルーティングとリモート アクセスによって、L2TP トラフィックに対する IPSec フィルタが自動的に作成されます)。アクティブなフィルタを確認するには、コマンド プロンプトで次のコマンドを入力します。 netdiag /test:ipsec /debug
必要に応じて次のコマンドを入力することにより、このコマンドの出力をテキスト ファイルにリダイレクトし、テキスト エディタ (メモ帳など) で参照することができます。
netdiag /test:ipsec /debug > filename.txt
netdiag コマンドは、Microsoft Server 2003 Support Tools をインストールすることによって使用できます。Microsoft Server 2003 Support Tools をインストールするには、Windows Server 2003 CD-ROM の Support\Tools フォルダを探し、Suptools.msi ファイルを右クリックして [インストール] をクリックします。インストールした後、%SystemRoot%\Program Files\Support Tools フォルダから netdiag コマンドを実行する必要がある場合があります (%SystemRoot% は Windows Server 2003 がインストールされているドライブです)。
トンネル フィルタは、次の例のように表示されます。
Local IPSec Policy Active: 'IPSec tunnel with {tunnel endpoint}' IP Security Policy Path:
SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local\ipsecPolicy{-longnumber-}
There are two filters
From NetA to NetB
Filter ID: {-long number-}
Policy ID: {-long number-}
IPSEC_POLICY PolicyId = {-long number-}
Flags: 0x0
Tunnel Addr: 0.0.0.0
PHASE 2 OFFERS Count = 1
Offer #0:
ESP[ DES MD5 HMAC]
Rekey: 0 seconds / 0 bytes.
AUTHENTICATION INFO Count = 1
Method = Preshared key: -actual key-
Src Addr: NetA Src Mask: -subnet mask-
Dest Addr: NetB Dest Mask: -subnet mask-
Tunnel Addr: 3rdExtIP Src Port: 0 Dest Port: 0
Protocol: 0 TunnelFilter: Yes
Flags : Outbound
From NetB to NetA
Filter ID: {-long number-}
Policy ID: {-long number-}
IPSEC_POLICY PolicyId = {-long number-}
Flags: 0x0
Tunnel Addr: 0.0.0.0
PHASE 2 OFFERS Count = 1
Offer #0:
ESP[ DES MD5 HMAC]
Rekey: 0 seconds / 0 bytes.
AUTHENTICATION INFO Count = 1
Method = Preshared key: -actual key-
Src Addr: NetB Src Mask: -subnet mask-
Dest Addr: NetA Dest Mask: -subnet mask-
Tunnel Addr: W2KextIP Src Port: 0 Dest Port: 0
Protocol: 0 TunnelFilter: Yes
Flags: Inboundルーティングとリモート アクセス フィルタを構成する発信元アドレスまたは宛先アドレスが NetA または NetB と一致しないトラフィックを受信しないようにするには、ルーティングとリモート アクセス MMC で外部インターフェイスに対する出力フィルタを作成し、NetA から NetB へのパケットを除くすべてのトラフィックをフィルタで破棄するようにします。また、入力フィルタも作成し、NetB から NetA へのパケットを除くすべてのトラフィックをフィルタで破棄するようにします。トンネルの作成時の IKE ネゴシエーションを可能にするため、WIN2003extIP と 3rdExtIP の間のトラフィックを許可する必要もあります。ルーティングとリモート アクセスのフィルタ処理は IPSec の上位で実行されますが、IPSec プロトコルのパケットが IP パケット フィルタのレイヤまで到達することはないため、IPSec プロトコルを許可するように指定する必要はありません。次の例は、Windows Server 2003 の TCP/IP アーキテクチャをごく簡単に表したものです。アプリケーション層 トランスポート層 (TCP|UDP|ICMP|RAW) ---- ネットワーク層の開始 ---- IP パケット フィルタ (NAT/ルーティングとリモート アクセス フィルタリングが行われる場合) IPSec (IPSec フィルタが実装されている場合) フラグメント化/再構築 ---- ネットワーク層の終了 ------ NDIS インターフェイス データリンク層 物理層
ルーティングとリモート アクセスで静的ルートを構成するWindows Server 2003 ゲートウェイでは、ルート テーブルに NetB へのルートが存在する必要があります。このルートを構成するには、ルーティングとリモート アクセス MMC で静的ルートを追加します。1 つの外部ネットワークに 2 つ以上のネットワーク アダプタがあり (または、宛先のトンネル IP 3rdExtIP に到達可能なネットワークが 2 つ以上あり)、Windows Server 2003 ゲートウェイがマルチホームで実行される場合、次のような状況になる可能性があります。
IPSec トンネルをテストするNetA 上のコンピュータから NetB 上のコンピュータへ (または NetB から NetA へ) ping を実行することにより、トンネリングを開始できます。フィルタが正しく作成され、適切なポリシーが割り当てられていれば、2 つのゲートウェイで IPSec トンネルが確立され、ping コマンドによる ICMP トラフィックを暗号化された形式で送信できます。ping コマンドが機能していても、ICMP トラフィックが暗号化された形式でゲートウェイ間を送信されていることを確認します。確認するには、以下に記載したツールを使用できます。先頭に戻る ログオン イベントとオブジェクト アクセスの監査を有効にするこれにより、セキュリティ ログにイベントが出力されます。このログによって、IKE セキュリティ アソシエーションのネゴシエーションが試行されたこと、および、それが成功したかどうかがわかります。
IP セキュリティ モニタIP セキュリティ モニタ コンソールでは、IPSec 統計情報とアクティブなセキュリティ アソシエーション (SA) が表示されます。ping コマンドを使用してトンネルの確立を試行した後、SA が作成されたかどうかを確認できます (トンネルの作成が成功した場合、SA が表示されます)。ping コマンドが成功しても SA が表示されない場合、ICMP トラフィックは IPSec によって保護されていません。それまで表示されていなかった "ソフト アソシエーション" が表示される場合、IPSec ではこのトラフィックをクリアな状態で (暗号化せずに) 送信することが許可されています。 "ソフト アソシエーション" の関連情報を参照するには、以下の「サポート技術情報」 (Microsoft Knowledge Base) をクリックしてください。234580?
(http://support.microsoft.com/kb/234580/
)
IPSec が有効になっているコンピュータと有効になっていないコンピュータの間の "ソフト アソシエーション"
注 : Microsoft Windows XP および Windows Server 2003 ファミリでは、IP セキュリティ モニタはマイクロソフト管理コンソール (MMC) コンソールとして実装されています。IP セキュリティ モニタ スナップインを追加するには、以下の手順を実行します。
ネットワーク モニタネットワーク モニタを使用して、コンピュータに対して ping を実行中に、WIN2003extIP インターフェイスを通過するトラフィックをキャプチャできます。キャプチャ結果のファイルに、ping の発信元および宛先のコンピュータの IP アドレスに対応する発信元と宛先の IP アドレスがある ICMP パケットが記録されている場合、IPSec によってトラフィックが保護されていません。ICMP トラフィックがなく、代わりに ISAKMP と ESP パケットが記録されている場合、IPSec によってトラフィックが保護されています。認証ヘッダー (AH) IPSec プロトコルのみを使用している場合は、ISAKMP トラフィックに続いて ICMP パケットが送信されます。ISAKMP パケットによって実際に IKE ネゴシエーションが行われます。ESP パケットは、IPSec プロトコルによって暗号化されたペイロード データです。ネットワーク モニタをインストールするには、次の手順を実行します。
実際のテスト
関連情報
ルーティングとリモート アクセス サービスの詳細情報については、Windows Server 2003 オンライン ヘルプを参照してください。
『Windows Server 2003 リソース キット』およびその他の技術文書を参照するには、以下のマイクロソフト Web サイトにアクセスしてください。 http://www.microsoft.com/japan/windowsserver2003/default.mspx
(http://www.microsoft.com/japan/windowsserver2003/default.mspx)
IETF 標準の情報 (英文) については、以下のサイトを参照してください。
この資料は以下の製品について記述したものです。
"Microsoft Knowledge Baseに含まれている情報は、いかなる保証もない現状ベースで提供されるものです。Microsoft Corporation及びその関連会社は、市場性および特定の目的への適合性を含めて、明示的にも黙示的にも、一切の保証をいたしません。さらに、Microsoft Corporation及びその関連会社は、本文書に含まれている情報の使用及び使用結果につき、正確性、真実性等、いかなる表明・保証も行ないません。Microsoft Corporation、その関連会社及びこれらの権限ある代理人による口頭または書面による一切の情報提供またはアドバイスは、保証を意味するものではなく、かつ上記免責条項の範囲を狭めるものではありません。Microsoft Corporation、その関連会社 及びこれらの者の供給者は、直接的、間接的、偶発的、結果的損害、逸失利益、懲罰的損害、または特別損害を含む全ての損害に対して、状況のいかんを問わず一切責任を負いません。（Microsoft Corporation、その関連会社 またはこれらの者の供給者がかかる損害の発生可能性を了知している場合を含みます。) 結果的損害または偶発的損害に対する責任の免除または制限を認めていない地域においては、上記制限が適用されない場合があります。なお、本文書においては、文書の体裁上の都合により製品名の表記において商標登録表示、その他の商標表示を省略している場合がありますので、予めご了解ください。" | サポート情報 その他のサポートサイトコミュニティ技術サポート窓口サポート技術情報の翻訳
|
先頭へ戻る
