すべてのユーザーがトンネルを確立できない

どのユーザーもリモートアクセス SSL VPN トンネルを確立できない場合は、以下の設定を確認してください。

SSL VPN グローバル設定

「リモートアクセス VPN > SSL VPN > SSL VPN グローバル設定」に移動します。

グローバル設定の変更

ホスト名の上書き

スタティックのパブリック IP アドレス

• 単一の IP アドレスファイアウォールが単一のスタティック IP アドレスを持つ場合、「ホスト名の上書き」を空白のままにできます。
• 複数の IP アドレス: ドメイン名を入力するか、フィールドを空白のままにします。ファイアウォールは、.ovpn ファイル内のすべての WAN アドレスをリストします。

どちらの場合でも、以下のチェックを行ってください。

1. テキストエディタで .ovpn ファイルを開きます。

2. ドメイン名またはパブリック IP アドレスが含まれているか確認します。

   • 含まれていない場合は、.ovpn ファイルを再度ダウンロードして確認してください。
   • 「ネットワーク > インターフェース」に移動し、WAN インターフェースの設定を確認します。
   • ドメイン名を入力した場合は、その DNS 解決を確認します。

プライベートの IP アドレス、または、動的なパブリック IP アドレス

以下のいずれかを選択します。

• アップストリームルーター: ファイアウォールにアップストリームルーターがある場合は、次の設定が必要です。

  1. 「ホスト名の上書き」にルーターのパブリック IP アドレスまたはドメイン名を入力します。

  2. SSL VPN トラフィックをファイアウォールにポート転送するようにルーターを設定します。

     How to configure SSL VPN remote access when Sophos Firewall is behind a NAT device (Sophos Firewall が NAT デバイスの背後にある場合の SSL VPN リモートアクセスの設定方法) を参照してください。

• ダイナミック IP アドレス: ファイアウォールのダイナミックのパブリック IP アドレスを解決するには、次の手順を実行します。

  1. 「ネットワーク > DDNS」に移動し、設定を指定します。詳細は、ダイナミック DNS プロバイダの追加を参照してください。
  2. 「ホスト名の上書き」に、DDNS のホスト名を入力します。FQDN を指定してください。

SSL サーバー証明書

• 証明書のソース:

  • ApplianceCertificate またはその他のローカル署名証明書: デフォルトの CA 設定を変更した場合、ユーザーは .ovpn ファイルを再度ダウンロードして VPN クライアントにインポートする必要があります。
  • 外部証明書: 証明書、その秘密鍵、中間証明書 (ある場合)、ルート CA をアップロードします。詳細は、SSL VPN グローバル設定を参照してください。

• サーバー証明書を変更した場合、ユーザーは .ovpn ファイルを再度ダウンロードして VPN クライアントにインポートする必要があります。

• 文字: 証明書および CA の設定では、UTF-8 エンコード文字は使用できません。SSL VPN 接続エラー: 証明書の確認に失敗しましたを参照してください。

WAN access

「管理 > デバイスのアクセス」に移動し、以下のサービスのゾーンを選択してください。

1. SSL VPN: WAN
2. VPN ポータル: WAN、LAN
3. (オプション) Ping/Ping6: VPN

DNAT ルール

以下のような設定の DNAT ルールが存在する場合、それが最初に一致します。その結果、トンネルが確立される代わりに、許可されたネットワークリソースにトラフィックが送信されます。

1. 変換前の送信元: 任意
2. 変換前の宛先: 任意
3. サービス: 任意または SSL VPN ポートおよびプロトコル。

DNAT ルールのサービスを変更し、リモートアクセス SSL VPN のポートとプロトコルの組み合わせを除外してください。これは、SSL VPN グローバル設定で確認できます。

SSL VPN サービス

ファイアウォールで SSL VPN サービスが実行されているかどうかを以下の手順で確認します。

1. CLI にサインインし、5 と入力してデバイス管理を選択し、続けて 3 と入力して Advanced Shell を選択します。

2. 次のコマンドを入力します。

   service -S | grep sslvpn
   

   • 以下のように Running ステータスが表示されるはずです。

     

   • UNREGISTERED ステータスが表示される場合は、SSL VPN ポリシーが少なくとも 1つ存在することを確認してください。

DoS の設定

1. 「IPS (侵入防御システム) > DoS/スプーフ防御」に移動します。

2. DoS の設定で、UDP、TCP、ICMP/ICMPv6 フラッドのフラグを選択したかどうかを確認します。

   SSL VPN トラフィックおよび ping 要求が上限を超えると破棄されます。

これを防ぐには、「DoS のバイパスルール」に、以下のように受信方向のルールを追加します。