SSL-VPN　F5 FirePass 連携認証ソリューション

	FirePassとSECURE MATRIXによる連携
	リモートクライアントのセキュリティチェックとワンタイムパスワード・クライアント証明書による二要素認証ソリューション

従来の「インターネットVPN」、IPSecの暗号化・トンネリングプロトコルを利用したVPN技術では、TCP/IPベースのすべてのアプリケーションが利用可能だが、接続の確立ができないトラブルが多かったり、専用クライアントのインストールが必要などのデメリットがありました。
それに代わる方法としてクローズアップされたSSL-VPNでは、VPN確立のためにWebブラウザを使用することで専用クライアントのインストールが必要なく、接続が容易となっているなど、IPSecベースのVPNの弱点を克服しております。
しかし、接続プロトコルがWebブラウザ経由のHTTPベースのものが前提となり、利用可能なアプリケーションが限定されてしまうことが課題としてありますが、FirePass Remote Access Controllerは、その問題を解決します。

FirePassとSECURE MATRIXのメリットについて

• FirePass
  クライアントに一切の設定をすることなしに、企業内のアプリケーションにアクセスできます。
  さまざまな方法でユーザー認証ができます。
  GUIによる簡単な設定、運用（日本語に対応しています。）
• SECURE MATRIX
  クライアントに専用ソフトを導入する必要がありません。
  ブラウザから使用可能です。
  集中管理、メンテナンス
  簡単な操作性

page up

SMX SSL-VPNシングルサインオン機能

機能説明

SMX SSL-VPN シングルサインオン機能は、SMX とSSL-VPN 機器を連携する場合において、SSL-VPN 機器のログイン画面（図1）と SMX ブラウザトークン表（図2）の2 つのブラウザ画面を表示することなく、1 画面で SSL-VPN 機器にログインすることを可能にします。 ※FirePassとのSSL-VPN シングルサインオン機能は、 SMX Version 2.2.1より対応	図1
	図2

SMX SSL-VPNシングルサインオン機能のデモ

	デモ1 SMXのSSL-VPNシングルサインオン専用画面にアクセスし、ログインIDを入力します。	デモ2 SMXのマトリクス表を取得し、パスワードを入力します。
	デモ3 認証が許可されるとお知らせ画面が表示されます。次へ をクリックします。	デモ4 FirePassにログイン完了しました。

page up

Firewallでアクセスを許可する必要があるポート

	Client → TCP 443 ※注1 SMX GSBサーバ FirePass SMX GSBサーバ → TCP 8432 → TCP 8775 SMX 認証サーバ SMX 認証サーバ → TCP 8776 → TCP 22 SMX GSBサーバ FirePass → UDP 1812 SMX 認証サーバ
	※注1：SSL-VPNアプライアンスによっては、TCP 80を許可するケースもございます。 ※SECUREMATRIX Version 3.1 では、SECUREMATRIX GSB サーバ 及び SECUREMATRIX ISB サーバから SECUREMATRIX 認証サーバに対する TCP/8432 ポートの通信を統合し、SECUREMATRIX GSB サーバ及び SECUREMATRIX ISB サーバから SECUREMATRIX 認証サーバへの通信は、TCP/8775 ポートのみとしました。

page up

ネットワーク構成図

接続フロー

1. 内部CAサーバにてクライアント証明書を発行します。（※1）
2. リモートクライアントにクライアント証明書をインストールします。
3. リモートクライアントがFirePassにアクセスします。
4. FirePassがリモートクライアントにクライアント証明書がインストールされているかのチェックとアンチウイルスソフトウェアがインストールされているかのセキュリティチェックを行います。 （※2）
5. 両方のチェックに通過するとSECUREMATRIXのログイン画面にリダイレクトします。
6. SECUREMATRIXにログインし、イメージパスワードを入力します。
7. 認証が許可されるとFirePassにシングルサインオンし、TOP画面が表示されます。

（※1）内部CAサーバを建てないでFirePassの内部CA機能を使用する場合、SECUREMATRIXとクライアント証明書の二要素認証の制約として、クライアント証明書がFirePassから発行されたということのチェックは可能ですが、CNとユーザIDが同一のものかをチェックすることはできませんのでご注意ください。

（※2）FirePassでは、アンチウイルスソフトウェアがインストールされているかのセキュリティチェック以外にレジストリやプロセスが起動しているか等のチェックも行えます。

page up