Windows2012でVPN環境(L2TP)の構築 (2)

# 1. はじめに
　前回の、「Windows2012でVPN環境(L2TP)の構築 (1)」でVPN(L2TP/IPsec)接続できるようになりました。今回はセキュリティ対策としてファイアーウォールの設定を行います。

# 2. Windows2012ファイアーウォールのプロファイル
　Windows2012ファイアウォールのプロファイルは、クライアントからの接続状況に応じて、ファイアウォールの動作を切り替えるための機能です。
　このプロファイルは、
 <strong> (1) ドメインプロファイル ------ クライアントがドメイン接続の場合
 (2) プライベートプロファイル--- クライアントが社内LAN接続の場合
 (3) パブリックプロファイル----- クライアントがインターネット接続の場合</strong>
の３種類です。 

 クライアントからの接続種類により、ファイアーウォールは各プロファイルで設定された通信制御を行います。
 
# 3. SoftLayerインスタンスのネットワーク種別を変更
 SoftLayer仮想インスタンスをオーダーすると、インスタンス+パブリックVLAN+プライベートVLANのセットで提供されます。
 ![02.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/02.png)

VPN(L2TP/IPsec)をセットアップした直後は、
 <font color="green"> ◆Network(PublicNetwork-A) ⇒ パブリックネットワーク
 ◆RAS(Dial In) Interface  ⇒ パブリックネットワーク
 ◆UnIdentified network(PrivateNetwork-A) ⇒ パブリックネットワーク</font>

 になっています。
![03.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/03.png)

 ディフォルトゲートウェイは「PublicNetwork－A」に設定されていて、「PrivateNetwork-A」には設定されていません。
Windows2012はディフォルトゲートウェイが設定されていないインターフェースを、UnIdentified network(PrivateNetwork-A) ⇒ パブリックネットワークと認識します。

これだと、全てのネットワークがパブリックネットワークになってしまい、折角ファイアーウォールを設定しても、意味のない状態になってしまいます。

ここは、
 <font color="green">◆Network(PublicNetwork-A) ⇒ パブリックネットワーク
◆RAS(Dial In) Interface ⇒ プライベートネットワーク
◆UnIdentified network(PrivateNetwork-A) ⇒ プライベートネットワーク</font>
に設定し、ファイアーウォールでプライベート/パブリックそれぞれで通信制御できるようにします。

![04.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/04.png)

それでは、設定を行います。
![05.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/05.png)
<font color="blue">「コントロールパネル」⇒「管理ツール」</font>

![06.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/06.png)
<font color="blue">「ローカルセキュリティポリシー」を選択</font>

![07.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/07.png)
<font color="blue"> このダイアログが表示されたら、「OK」でぬける</font>
 
 ![08.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/08.png)
<font color="blue"> このダイアログが表示されたら、「OK」でぬける</font>
  
  ![09.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/09.png)
<font color="blue">「ネットワークリストマネージャーポリシー」を選択</font>
  
  まずは、「RAS(Daial In) Interface」をプライベートへ変更する
  ![10.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/10.png)
<font color="blue">「RAS(Daial In) Interface」を選択し、マウス右ボタンで「プロパティ」選択</font>
  
  ![11.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/11.png)
  
  ![12.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/12.png)
<font color="blue">場所の種類：「プライベート」
ユーザーのアクセス許可：「ユーザーは場所を変更できない」を選択
「適用」⇒「OK」</font>
  
 次に、「UnIdentified network(識別されてないネットワーク)」 をプライベートへ変更する
 ![13.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/13.png)
<font color="blue">「識別されてないネットワーク」を選択し、マウス右ボタンで「プロパティ」選択</font>
      
   ![14.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/14.png)
   
   ![15.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/15.png)
<font color="blue">場所の種類：「プライベート」
  ユーザーのアクセス許可：「ユーザーは場所を変更できない」を選択
  「適用」⇒「OK」</font>
  
  最後に、「Newwork」 を一部変更する
  ![16.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/16.png)
<font color="blue">「識別されてないネットワーク」を選択し、マウス右ボタンで「プロパティ」選択</font>
    
  ![17.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/17.png)
  
  ![18.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/18.png)
<font color="blue">ユーザーのアクセス許可：「ユーザーは場所を変更できない」を選択
  「適用」⇒「OK」</font>
  
  以上で設定変更完了です。
  
  変更が反映されているかを確認します。
  ![19.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/19.png)

 ◆Network(PublicNetwork-A) ⇒ パブリックネットワーク
 ◆RAS(Dial In) Interface ⇒ プライベートネットワーク
 ◆UnIdentified network(PrivateNetwork-A) ⇒ プライベートネットワーク
になっています。

# 4. Windows2012ファイアーウォールで通信制御の確認
 VPN(L2TP/IPsec)とネットワークの設定が完了していますので、
 パブリックネットワークからのアクセスは、パブリックで処理。
 VPN接続したプライベートネットワークからのアクセスは、プライベートで処理できるはずです。
 ![20.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/20.png)
 
 通信制御の確認は、HTTPで試します。
 
## 4-1. HTTPで通信制御の確認
 WWWはIISを使用します。
 ファイアーウォール設定で、パブリックの80番ポートを閉じ、プライベートネットワークの80番ポートを開きます。
 ・VPN接続しないで、HTTPへのアクセス拒否
 ・VPN接続で、HTTPへのアクセス可
 なら、成功です。
 
 まず、ファイアーウォールの設定から始めます。
 HTTP(WWW)の設定は２箇所ありますので、注意して２箇所とも設定してください。
 
 
 ![21.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/21.png)
<font color="blue"> 「コントロールパネル」⇒「Windowsファイアーウォール」⇒「詳細設定」で「セキュリティが強化されたWindowsファイアーウォール」を開きます。</font>
 
<font color="red"> 【１箇所目】</font>
 「HTTP-80T」の初期プロファイルは「すべて」で、パブリック/プライベート両方ともポートが開いてます。
 ![22.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/22.png)
<font color="blue">「受信の規則」⇒「HTTP-80T」をクリック
 
 「HTTP-80T」のプロファイルを変更して、ドメイン/パブリックのポートを閉じます。

![23.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/23.png)
 <font color="blue">「詳細設定」タグの「プロファイル」で「パブリック」のみチェック
 「適用」⇒「OK」
 
 
 プロファイルは「プライベート」になっています。
 ![24.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/24.png)
 
 
<font color="red">【２箇所目】</font>
 「World Wide Webサービス」の初期プロファイルは「すべて」で、パブリック/プライベート両方ともポートが開いてます。
 ![25.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/25.png)
<font color="blue">「受信の規則」⇒「World Wide Webサービス」をクリック
  
![26.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/26.png)
<font color="blue">「詳細設定」タグの「プロファイル」で「パブリック」のみチェック
 「適用」⇒「OK」 
 
 プロファイルは「プライベート」になっています。
 ![27.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/27.png)
 
これで、VPN接続時のみWWWへアクセスできる設定ができました。
 試してみると、
 
<strong>VPN切断時</strong>
![28.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/28.png)
<font color="green">IIS画面が表示されない</font>


<strong>VPN接続時</strong>
![29.png](http://www.seahorse-inc.com/QIITA/W2012L2TP-2/29.png)
<font color="green">IIS画面が表示され、接続が確認できた。</font>

以上で、ネットワークとファイアーウォールの設定が完了です。

# 5. おわりに
次回は、低価格でセキュリティを考慮した、パブリッククラウドで構築するファイルサーバーについて書く予定です。

<a href="http://qiita.com/Mitsu-Murakita/items/361543cd07b22f16b677">
次回へ「Windows2012でVPN環境(L2TP)の構築 (3)」</a>
<a href="http://qiita.com/Mitsu-Murakita/items/937a8a3c974b4186e91d">
前回へ「Windows2012でVPN環境(L2TP)の構築 (1)」</a>