目的

FortiGateのリモートアクセスVPN（SSLVPN）について、以下の要件を満たすために、SingleIDを利用します。

• LDAPサーバに登録されたユーザでログインする。
• LDAPの特定グループに属するユーザのみアクセスを許可する。
• 組織ごとのプライベートCAで発行したクライアント証明書のみ許可する。
• ログインの認証方式は、パスワード＋クライアント証明書認証とする。

環境

グループの情報

CAの情報

LDAPの情報

VPN設定の情報

設定方法

SingleIDの設定

SingleIDの管理者ポータルへログインします。

製品ログイン一覧

ユーザポータルは、組織の一般ユーザが使用するポータルです。ユーザの登録情報、パスワード変更、ワンタイムパスワード設定を行うことができます 管理者ポータルは、組織…

https://www.singleid.jp

ユーザの作成

SingleID 管理者ポータル＞ユーザ一覧画面へ移動します。

「登録」をクリックします。

ユーザ登録画面の「基本情報」を入力します。 作成するユーザは、環境/グループの情報を参照します。

「グループ」タブをクリックします。

参加するグループを選択し、「登録」をクリックします。参加するグループについては、環境/グループの情報を参照します。

クライアント証明書の発行

SingleID 管理者ポータル＞ユーザ一覧画面へ移動します。

証明書を発行したいユーザ（user1）の行の左端のチェックボックスにチェックし、「選択実行」をクリックします。プルダウンメニューが表示されますので、「証明書の発行」を選択します。

証明書のプロファイルを選択します。ここでは、デフォルトのプロファイルを選択し、「発行」をクリックします。クライアント証明書は、ユーザに設定されているメールアドレス宛に送信されます。

SingleIDの中間CA証明書のダウンロード

クライアント証明書を発行したSingleIDの中間CA証明書をダウンロードします。

SingleID 管理者ポータル ＞認証＞証明書画面へ移動します。「基本情報」タブへ移動します。

中間CAの横の雲のアイコンをクリックします。

「ダウンロード」をクリックし、SingleIDの中間CA証明書をダウンロードします。

SingleIDの中間CAの証明書失効リスト（CRL）のダウンロード

クライアント証明書を発行したSingleIDの中間CAの証明書失効リスト（CRL）をダウンロードします。

SingleID 管理者ポータル ＞認証＞証明書画面へ移動します。「基本情報」タブへ移動します。

中間CAの失効リスト配布ポイントの横の雲のアイコンをクリックします。

「ダウンロード」をクリックし、SingleIDの中間CAの証明書失効リストをダウンロードします。

LDAPのクライアント設定

SingleID 管理者ポータル＞認証＞LDAP画面のクライアントタブへ移動します。

「登録」をクリックします。

以下の項目を入力し、「登録」をクリックします。

LDAPのサービスアカウント設定

SingleID 管理者ポータル＞認証＞LDAP画面のサービスアカウントタブへ移動します。

「登録」をクリックします。

「ldap-bind-user」の編集をクリックし、パスワードを設定します。初期パスワードは設定されていません。

FortiGateの設定

FortiGateの管理GUIへログインします。

https://<FortiGateの管理IPアドレス>

中間CAの証明書のインポート

FortiGate管理GUI＞システム＞証明書へ移動します。

「Create/Import」＞CA証明書をクリックします。

以下の項目を設定し、「OK」を クリックします

中間CA の証明書失効リスト（CRL）のインポート

FortiGate管理GUI＞システム＞証明書へ移動します。

「Create/Import」＞CRLをクリックします。

以下の項目を設定し、「OK」を クリックします。

定期的（１時間ごと）に証明書失効リスト（CRL）を更新するために、CLIから「set update-interval 3600」を以下のように設定します。

config vpn certificate crl
    edit "CRL_1"
        set update-interval 3600
    next
end

LDAPサーバの設定

FortiGate管理GUI＞ ユーザ＆認証＞LDAPサーバへ移動します。「新規作成」ボタンをクリックします。

以下の項目を設定し、「OK」をクリックします。

PKIユーザの登録

以下のようにCLIからPKIユーザを登録します。これにより、VPNクライアントから提供されたクライアント証明書が、登録した中間CAで発行されたクライアント証明書であるかどうかを確認します。

config user peer
    edit "SingleID_Cert_Check"
        set ca "CA_Cert_1"
    next
end

ユーザグループの設定

FortiGate管理GUI＞ユーザ＆認証＞ユーザグループへ移動します。「新規作成」ボタンをクリックします。

以下の項目を設定し、「OK」を クリックします。

SSLVPNの設定

FortiGate管理GUI＞VPN＞SSL-VPN設定へ移動します。

以下の項目を設定し、「適用」を クリックします。

CLIから以下を設定します。

config vpn ssl settings
    config authentication-rule
        edit 1
            set client-cert enable
            set user-peer "SingleID_Cert_Check"
        next
    end
end

ポリシーの設定

SSLVPNの設定を適用すると、上部に以下のようなメッセージが表示されます。リンクをクリックし、ファイアウォールポリシーの設定を行います。

表示されない場合には、 FortiGate管理GUI＞ポリシー＆オブジェクト＞ファイアウォールポリシーへ移動します。

以下の項目を設定し、「適用」を クリックします。

動作確認方法

クライアント証明書のダウンロード

SingleIDシステム管理から届いたメールを開きます。「ダウンロード」をクリックします。P12形式のクライアント証明書がダウンロードされます。

クライアント証明書のインストール

ダウンロードしたSingleIDのユーザ(user1)の P12形式のクライアント証明書ファイルをダブルクリックします。

保存場所として「現在のユーザー」を選択し、「次へ」をクリックします。

ダウンロードしたP12形式のファイル名とパスが正しく入力されていることを確認し、「次へ」をクリックします。

「パスワード」に、クライアント証明書のパスワードを入力します。デフォルトでは、クライアント証明書のパスワードは、ユーザ名と同一です。SingleIDのユーザ(user1)のクライアント証明書のパスワードとして、user1を入力し、「次へ」をクリックします。

「証明書の種類に基づいて、自動に証明書ストアを選択する」が選択されていることを確認し、「次へ」をクリックします。

「完了」をクリックし、証明書をインストールします。

クライアント証明書のインストールが成功しました。

FortiClientのインストール

以下、URLからFortiClientをダウンロードして、インストールします。

https://www.forticlient.com

FortiClientの設定

以下の項目を設定し、「保存」を クリックします。

FortiGateへリモートアクセスVPN

SingleIDのユーザ（user1）でログインを試みます。

user1でログインできたことを確認します。