はじめに
Microsoft Challenge Handshake Authentication Protocol バージョン 2 (MS-CHAP v2) は、PPTP ベース (ポイント ツー ポイント トンネリング プロトコル) VPN の認証方法として広く使用されているパスワード ベースの認証プロトコルです。 Microsoft は、VPN 接続に PPTP トンネルと組み合わせてカプセル化せずに MS-CHAP v2 を使用する組織は、安全でない可能性のある構成で実行されていることを警告します。
推奨事項
Microsoft は、MS-CHAP v2/PPTP を使用している組織がネットワークに保護された拡張認証プロトコル (PEAP) を実装することを提案しています。 これにより、TLS で MS-CHAP v2 認証トラフィックをカプセル化することで、この手法が軽減されます。
認証に PEAP-MS-CHAP v2 を使用するように PPTP を構成する
PEAP-MS-CHAP v2
クライアント認証方法として MS-CHAP v2 を使用する PEAP は、VPN 認証をセキュリティで保護するための 1 つの方法です。 クライアント プラットフォームで PEAP の使用を強制するには、PEAP 認証を使用する接続のみを許可し、MS-CHAP v2 または EAP-MS-CHAP v2 を使用するクライアントからの接続を拒否するように、Windows ルーティングおよびリモート アクセス サーバー (RRAS) サーバーを構成する必要があります。 管理者は、RRAS サーバーとネットワーク ポリシー サーバー (NPS) サーバーで、対応する認証方法オプションをチェックする必要があります。
管理者は、次のことも確認する必要があります。
- サーバー証明書の検証がオンになっています。 (既定の動作は ON です)。
- サーバー名の検証がオンになっています。 (既定の動作は ON です)。正しいサーバー名を指定する必要があります。
- サーバー証明書が発行されたルート証明書は、クライアント システムのストアに正しくインストールされ、オンになっています。 (Always ON)。
- Windows 7、Windows Vista、および Windows XP では、[PEAP プロパティ] ウィンドウの [新しいサーバーまたは信頼された証明機関の承認を求めるメッセージチェック表示しない] ボックスを有効にする必要があります。 既定では無効になっています。
PEAP-MS-CHAP v2 認証方法の RRAS サーバーを構成する
RRAS サーバーの PEAP-MS-CHAP v2 認証方法を構成する手順と、安全性の低い方法 MS-CHAP v2 と EAP-MS-CHAP v2 をオフにする手順を次の手順で簡単に説明します。
RRAS の認証方法を構成する
手順は次のとおりです。
- [RRAS サーバーの管理] ウィンドウで、[サーバーのプロパティ] ダイアログ ボックスを開き、[セキュリティ] タブをクリックします。
- [認証方法] をクリックします。
- [EAP チェック] ボックスが選択されていることと、[MS-CHAP v2 チェック] ボックスが選択されていないことを確認します。
NPS の接続を構成する
PEAP-MS-CHAP v2 認証方法を使用するクライアントからの接続のみを許可するようにネットワーク ポリシー サーバー (NPS) を構成します。 NPS を構成するには、次の手順に従います。
NPS UI を開き、[ポリシー] をクリックし、[ネットワーク ポリシー] をクリックします。
[Microsoft ルーティングとリモート アクセス サーバーへの接続] を右クリックし、[プロパティ] を選択します。
[プロパティ] UI で、[制約] タブをクリックします。
左側の [制約] ウィンドウで [認証方法] を選択し、MS-CHAP メソッドと MS-CHAP-v2 メソッドのチェック ボックスをクリックしてオフにします。
EAP の種類の一覧から EAP-MS-CHAP v2 を削除します。
[追加] をクリックし、[PEAP 認証方法] を選択し、[OK] をクリックします。
注: NPS 接続を構成する前に、有効なサーバー証明書を "個人用" ストアにインストールし、有効なルート証明書をサーバーの "信頼されたルート CA" ストアにインストールする必要があります。
[編集] をクリックし、認証方法として [EAP-MS-CHAP v2] を選択します。
PEAP-MS-CHAP v2 認証方法の RRAS クライアントを構成する
WINDOWS VPN クライアントは、VPN 接続プロパティ UI から対応する方法を選択し、クライアント システムに適切なルート証明書をインストールすることで、PEAP-MS-CHAP v2 認証方法を使用するように構成できます。