IPsecを使用して通信する
本機にはIPsec機能が搭載されています。IPsecはネットワーク層のレベルで、セキュアなパケット単位の通信を行います。暗号化には送信者、受信者が同じ鍵を保有する共通鍵暗号方式を使用します。鍵設定を使用すると、IPsecの共有鍵を設定した有効期間で更新し、よりセキュリティー強度の高い通信を行うことができます。
DHCP、DNSで取得する情報、およびパケットについては、IPsecの対象にならないものがあります。
OSによって対応していない設定項目があります。IPsecの設定を行うときは、必ずOS側のIPsec設定内容を確認し、同一の設定を行ってください。
IPsecの設定によりWeb Image Monitorにアクセスできないときは、操作部の［管理者用設定］でIPsecを無効にしてからWeb Image Monitorにアクセスしてください。
Web Image Monitorを使用したIPsecの設定について詳しくは、IPsecの設定をするを参照してください。
操作部でIPsecを無効にする方法について詳しくは、IPsecを有効／無効にするを参照してください。
IPsecには、データの機密性を確保する「暗号化」機能と、データ送信者が正しいこと、またデータが改ざんされていないことを証明する「認証」機能の2つの機能が存在します。本機のIPsec機能は、2つの機能を同時に有効にするESPプロトコルと認証のみの機能を有効にするAHプロトコルの2つのセキュリティープロトコルに対応しています。
ESPプロトコル
データの暗号化と、ヘッダ以外のパケットの認証の両方に対応したセキュリティー通信を行います。
暗号化を行うためには送信側、受信側ともに同一の暗号化アルゴリズムと暗号鍵を設定する必要があります。自動鍵交換設定のとき、暗号化アルゴリズムと暗号鍵は自動的に設定されます。
認証を行うためには送信側、受信側ともに同一の認証アルゴリズムと認証鍵を設定する必要があります。自動鍵交換設定のとき、認証アルゴリズムと認証鍵は自動的に設定されます。
AHプロトコル
ヘッダを含むパケットの認証のみに対応したセキュリティー通信を行います。
認証を行うためには送信側、受信側ともに同一の認証アルゴリズムと認証鍵を設定する必要があります。自動鍵交換設定のとき、認証アルゴリズムと認証鍵は自動的に設定されます。
AHプロトコル ＋ ESPプロトコル
データの暗号化と、ヘッダを含むパケットの認証の両方に対応したセキュリティー通信を行います。
暗号化を行うためには送信側、受信側ともに同一の暗号化アルゴリズムと暗号鍵を設定する必要があります。自動鍵交換設定のとき、暗号化アルゴリズムと暗号鍵は自動的に設定されます。
認証を行うためには送信側、受信側ともに同一の認証アルゴリズムと認証鍵を設定する必要があります。自動鍵交換設定のとき、認証アルゴリズムと認証鍵は自動的に設定されます。
使用しているOSによっては、「認証」は「整合性」という名称を使用していることがあります。
本機は鍵の設定方式として暗号化鍵交換を使用します。鍵設定によって、IPsec通信に使用するアルゴリズムや鍵などの約束事を送信者、受信者双方に設定します。この約束事をSA（Security Association）と呼びます。送信者、受信者でSA設定内容が一致していないとIPsec通信を行うことができません。
SAの設定は自動的に行われます。最初にISAKMP SAが自動設定（フェーズ1）され、続いてIPsec通信のためのIPsec SAが自動設定（フェーズ2）されます。また、より高いセキュリティーを確保した通信を行うために、設定の有効期間を定めることでSAの定期的な自動更新を可能にします。本機の鍵設定方式はIKEv1のみ対応しています。
SAは複数設定することができます。
No.1～No.10までの個別設定
IPsecで使用するアルゴリズムや鍵などのSA設定（IPsecポリシー）を個別に10種類まで設定することができます。
IPsecポリシーはNo.1から順に検索されます。
IPsecの鍵設定は下表の順に実施します。
本機 |
PC |
|---|---|
1. Web Image MonitorでIPsecの詳細を設定 |
1. 本機のIPsec設定と同一の条件を設定 |
2. IPsecを有効化 |
2. IPsecを有効化 |
3. IPsec通信確立の確認 |
|
IPsec設定後、正しく通信が確立されているかどうかの確認はPingコマンドを使用して確認できます。また、鍵交換設定中は応答がないため、通信確立の確認に時間がかかることがあります。
IPsecを有効にして本機と通信ができなくなったときには、IPsecを無効にして再度設定をやり直してください。
IPsecを無効にする方法について詳しくは、IPsecを有効／無効にするを参照してください。
［IPsec設定］は、管理者パスワードが設定されているときに表示されます。
Web Image Monitorを使用して設定します。
Webブラウザーを起動します。
Webブラウザーのアドレスバーに"http://（本機のIPアドレス、またはホスト名）/"と入力し、本機にアクセスします。
IPv4アドレスを入力するとき、各セグメントの先頭につく「0」は入力しないでください。例えば「192.168.001.010」のときは、「192.168.1.10」と入力します。
「192.168.001.010」と入力すると、本機に接続できません。［IPsec設定］をクリックし、［IPsecポリシーリスト］タブをクリックします。
リストから設定を変更する番号を選択し、［変更］をクリックします。
IPsecの詳細を設定します。
管理者パスワードを入力し、［適用］をクリックします。
［IPsecグローバル設定］タブをクリックし、［IPsec機能］で［有効］を選択します。
必要に応じて、［IPsecデフォルトポリシー］、［ブロードキャストとマルチキャストに適用しない］、［全てのICMPに適用しない］を設定します。
管理者パスワードを入力し、［適用］をクリックします。
機器で選択したセキュリティーレベルのIPsec SA設定と同一の条件をパソコン側で設定します。設定方法はOSによって異なります。ここではIPv4環境のWindows 10を例に説明します。
Windowsの［スタート］メニューから［Windowsシステムツール］の［コントロールパネル］をクリックします。
［システムとセキュリティ］－［管理ツール］をクリックします。
［ローカルセキュリティポリシー］をダブルクリックし、［IPセキュリティポリシー（ローカルコンピューター）］をクリックします。
［操作］メニューから［IPセキュリティポリシーの作成］をクリックします。
［IPセキュリティポリシーウィザード］が表示されます。［次へ］をクリックします。
任意のIPセキュリティポリシー名を入力し、［次へ］をクリックします。
「既定の応答規則をアクティブにする」のチェックを外し、［次へ］をクリックします。
「プロパティを編集する」にチェックを入れ、［完了］をクリックします。
［全般］タブを選択し、［設定］をクリックします。
「新しいキーを認証して生成する間隔」に本機で設定したIKE有効期間を分単位で入力し、［メソッド］をクリックします。
本機のIKE設定で設定されている暗号化アルゴリズム（「暗号化」）、ハッシュアルゴリズム（「整合性」）、IKE Diffie-Hellmanグループ（「Diffie-Hellmanグループ」）の組み合わせが、「セキュリティメソッドの優先順位」に存在しているか確認します。
存在しないときは［追加］をクリックし作成します。［OK］を2回クリックします。
［規則］タブを選択し、［追加］をクリックします。
［セキュリティの規則ウィザード］が表示されます。［次へ］をクリックします。
「この規則ではトンネルを指定しない」にチェックを入れ、［次へ］をクリックします。
IPsecを適用するネットワークの種類を選択し、［次へ］をクリックします。
「IPフィルタ一覧」で［追加］をクリックします。
「名前」に任意のIPフィルタ名を入力し、［追加］をクリックします。
［IPフィルタウィザード］が表示されます。［次へ］をクリックします。
「説明」にIPフィルタの名前または詳細な説明を入力し、［次へ］をクリックします。
このフィールドは空欄でも、［次へ］をクリックして次の手順へ進めます。「発信元アドレス」で「このコンピュータのIPアドレス」を選択し、［次へ］をクリックします。
「宛先アドレス」で「特定のIPアドレスまたはサブネット」を選択し、機器のIPアドレスを入力して［次へ］をクリックします。
IPsecの対象とするプロトコルを選択し、［次へ］をクリックします。
［完了］をクリックします。
［OK］をクリックします。
設定したIPフィルタを選択し、［次へ］をクリックします。
「フィルター操作」の［追加...］をクリックします。
［フィルターウィザード］が表示されます。［次へ］をクリックします。
「名前」にフィルター操作の名前を入力し、［次へ］をクリックします。
「セキュリティのネゴシエート」を選択し、［次へ］をクリックします。
セキュリティで保護されていないコンピューターとの通信を許可するか選択し、［次へ］をクリックします。
「カスタム」を選択し、［設定］をクリックします。
本機の［IPsec設定］で［セキュリティープロトコル］を［ESP］に設定したときは、［データの整合性と暗号化（ESP）］を選択し、次のように設定します。
［整合性アルゴリズム］の値を、本機で設定されている［ESP 認証アルゴリズム］と合わせます。
［暗号化アルゴリズム］の値を、本機で設定されている［ESP 暗号化アルゴリズム］と合わせます。本機の［IPsec設定］で［セキュリティープロトコル］を［AH］に設定したときは、［暗号化をしないデータとアドレスの整合性（AH）］を選択し、次のように設定します。
［整合性アルゴリズム］の値を、本機で設定されている［AH 認証アルゴリズム］と合わせます。
［データの整合性と暗号化（ESP）］のチェックを外します。本機の［IPsec設定］で［セキュリティープロトコル］を［ESP＆AH］に設定したときは、［暗号化をしないデータとアドレスの整合性（AH）］を選択し、次のように設定します。
［暗号化をしないデータとアドレスの整合性（AH）］の［整合性アルゴリズム］の値を、本機で設定されている［AH認証アルゴリズム］と合わせます。
［データの整合性と暗号化（ESP）］の［暗号化アルゴリズム］の値を、本機で設定されている［ESP暗号化アルゴリズム］と合わせます。「セッションのキーの設定」で「新しいキーの生成間隔」にチェックを入れ、本機で設定した有効期間（「秒」または「KB（キロバイト）」）を入力します。
［OK］をクリックし、［次へ］をクリックします。
［完了］をクリックします。
IPv6を使用するときは、加えて手順13からICMPv6の除外設定を行ってください。
その際、手順22では対象とするプロトコルで［その他］のプロトコル番号［58］を選択し、［セキュリティのネゴシエート］を許可する設定にしてください。新規作成したフィルター操作を選択し、［次へ］をクリックします。
認証方法を選択し、［次へ］をクリックします。
［完了］をクリックし、［OK］を2回クリックします。
新しいIPセキュリティポリシー（IPsec設定）が設定されます。［IPセキュリティポリシー（ローカルコンピュータ）］をクリックします。
設定したセキュリティポリシー名を選択し、右クリックして［割り当て］をクリックします。
パソコンのIPsec設定が有効になります。
パソコンのIPsecを無効にするときは、設定したセキュリティポリシー名を選択し、右クリックして［割り当ての解除］をクリックします。
