目的

Check Point FWの以下の認証をSingleIDで実施します。

• リモートアクセスVPNの認証（クライアント証明書認証）
• 無線LANアクセスの認証（EAP-TLS方式のクライアント証明書認証）
• user2は、Check Point FWへVPNでリモートアクセス可能。user1、user3は、アクセスできない。
• user3は、Check Point FWの無線LANアクセスポイントを利用可能。user1、user2は、利用できない。

環境

「Check Point FWの評価ガイド①　パスワード認証」を参照してください。

設定方法

SingleIDの設定

クライアント証明書の発行

SingleIDの管理者ポータルへログインします。

製品ログイン一覧

ユーザポータルは、組織の一般ユーザが使用するポータルです。ユーザの登録情報、パスワード変更、ワンタイムパスワード設定を行うことができます 管理者ポータルは、組織…

https://www.singleid.jp

SingleID 管理者ポータル＞ユーザ一覧画面へ移動します。

証明書を発行したいユーザ（user1, user2, user3）の行の左端のチェックボックスにチェックし、「選択実行」をクリックします。プルダウンメニューが表示されますので、「証明書の発行」を選択します。

証明書のプロファイルを選択します。ここでは、デフォルトのプロファイルを選択し、「発行」をクリックします。クライアント証明書は、ユーザに設定されているメールアドレス宛に送信されます。

SingleIDの中間CA証明書のダウンロード

クライアント証明書を発行したSingleIDの中間CA証明書をダウンロードします。

SingleID 管理者ポータル ＞認証＞証明書画面へ移動します。「基本情報」タブへ移動します。

中間CAの横の雲のアイコンをクリックします。

「ダウンロード」をクリックし、SingleIDの中間CA証明書をダウンロードします。

Check Point FWの設定

ローカル管理者でログイン

https://<Check PointのIP>:4344/ へアクセスします。

管理者のユーザ名、パスワードを入力し、「ログイン」をクリックします。

リモートアクセスユーザの認証の設定

トラストCAへSingleIDの中間CA証明書を追加

Check Point FW GUI＞VPN＞トラストCA画面へ移動します。

「追加」をクリックします。

「トラストCAの追加」画面の「参照」をクリックし、先ほどダウンロードしたSingleIDの中間CA証明書ファイルを選択し、任意のCA名（例えば、「SingleID User CA」）を入力し、「適用」をクリックします。

補足：リモートアクセス時の認証にパスワード認証をさせたくない場合

ローカルのリモートアクセスユーザが登録されていないことを確認

Check Point FW GUI＞VPN＞リモートアクセスユーザ画面へ移動します。

ユーザが登録されていないことを確認します。

リモートアクセス時の認証にRADIUS認証を利用しないように設定変更

Check Point FW GUI＞VPN＞認証サーバ画面へ移動します。

「RADIUS ユーザの権限」をクリックします。

「RADIUS認証をユーザ認識、リモートアクセス、ホットスポットに有効にする」のチェックボックスのチェックをはずします。

無線LANアクセスユーザの認証の設定

すでに、設定済みです。

動作確認方法

クライアント証明書のダウンロード

SingleIDシステム管理から届いたメールを開きます。「ダウンロード」をクリックします。P12形式のクライアント証明書がダウンロードされます。

３ユーザ分のクライアント証明書をダウンロードします。

リモートアクセスVPNの認証（クライアント証明書認証）

Windowsの場合

接続先の設定

Check Point Remote Access VPN Clientsを起動して、新規サイトを作成します。サイトウィザードが表示されたら、「Next」をクリックします。

「Server address or Name」に、Check Point FWのWANのIPアドレスを入力し、「Next」をクリックします。

「VPN Client (Default)」が選択されていることを確認し、「Next」をクリックします。

「Certificate」を選択し、「Next」をクリックします。

「CAPI」を選択し、「Next」をクリックします。

接続先が作成できました。「Finish」をクリックします。

VPN接続

「Connect」をクリックします。

「Site」に、作成した接続先を選択します。

「Browse」をクリックし、ダウンロードしたSingleIDのユーザ(user2)のクライアント証明書を選択します。

「password」にクライアント証明書のパスワードを入力します。 デフォルトでは、クライアント証明書のパスワードは、ユーザ名と同一です。SingleIDのユーザ(user2)のクライアント証明書のパスワードとして、user2を入力します。

「Import」をクリックします。

クライアント証明書がインポートされました。「OK」をクリックします。

「Connect」をクリックし、Check Point FWへVPN接続を試み、 接続が成功することを確認します。

「Details」をクリックすると、詳細が表示され、接続が成功したことを確認できます。

無線LANアクセスの認証（EAP-TLS方式のクライアント証明書認証）

Windows 10の場合

クライアント証明書のインストール

ダウンロードしたSingleIDのユーザ(user3)の P12形式のクライアント証明書ファイルをダブルクリックします。

保存場所として「現在のユーザー」を選択し、「次へ」をクリックします。

ダウンロードしたP12形式のファイル名とパスが正しく入力されていることを確認し、「次へ」をクリックします。

「パスワード」に、クライアント証明書のパスワードを入力します。デフォルトでは、クライアント証明書のパスワードは、ユーザ名と同一です。SingleIDのユーザ(user3)のクライアント証明書のパスワードとして、user3を入力し、「次へ」をクリックします。

「証明書の種類に基づいて、自動に証明書ストアを選択する」が選択されていることを確認し、「次へ」をクリックします。

「完了」をクリックし、証明書をインストールします。

クライアント証明書のインストールが成功しました。

Check Point FWの無線LANアクセスポイントへ接続

Check Point FWの無線LANアクセスポイントのSSIDを選択し、「接続」をクリックします。

「証明書を使って接続する」をクリックします。

認証で使用するクライアント証明書を選択します。user3を選択します。

接続先が正しいかどうかの確認を要求されます。「証明書の詳しい内容の表示」でRADIUSサーバのサーバ証明書の情報が表示されますので、接続先の確認を行います。

• 発行先：SingleID 管理者ポータル＞認証＞RADIUSの基本情報画面のホスト名
• 発行元：R3

接続先が正しければ、「接続」をクリックします。

接続成功したことを確認します。