FortigateのSSL-VPN接続をクライアント証明書で認証する方法

1. 目的

本ドキュメントでは、FortigateのSSL-VPN接続の認証に、ユーザー名とパスワードによる認証に加えて、クライアント証明書による認証の設定方法をご説明いたします。 SecureW2の認証局で発行したクライアント証明書でなければ、 VPNに接続できないように設定を行います。

はじめに、SecureW2のルート認証局・中間認証局の証明書をFortigateにアップロードします。また、サーバー証明書を SecureW2で発行し、Fortigateサーバーにアップロードします。

この操作により、クライアント証明書認証を行うための信頼関係を構築します。

以下が操作の手順です。

Fortigate サーバーのサーバー証明書のテンプレートを作成します。PKI > Certificate Authorities をクリックします。
Certificate Templates > DEFAULT CREATE CERTIFICATE TEMPLATE の鉛筆マークをクリックして、編集をします。
サーバー証明書のテンプレートに、証明書の有効期限と証明書の用途等を選択します。
Fortigate サーバーのサーバー証明書を発行していきます。

PKI > Create Certificate をクリックします。

IPアドレスやサーバーのドメインなど、サーバー証明書を発行するための情報を埋めます。設定が完了したら、[ Create ] をクリックします。
パスフレーズを要求されるので、お好きなパスワードを入力し [ Submit ] をクリックします。サーバー証明書が発行され、ブラウザからダウンロードされます。
以上で、ルート認証局・中間認証局の証明書、サーバー証明書の準備ができました。次にこれらを Fortigate にアップロードします。

Fortigateの管理者ポータルへログインし、システム > 表示機能設定 をクリックします。

証明書のチェックを入れ、[ 適用 ] をクリックします。
証明書フィールドが出現するので、システム > 証明書 > インポート > CA証明書をクリックし、タイプでファイルを選択し、 「アップロード」 をクリックします。
先程ダウンロードしたルート認証局の証明書 ( 例 : Pentio Dev Device Root CA ) を選択し、正常に選択されたら、[ OK ] をクリックします。
ルート認証局の証明書が正常にインポートされると、エクスターナルCA証明書の中に表示されます。
同様の操作で、中間認証局 ( 例 : Pentio Dev Device Intermediate CA ) もインポートします。
次にサーバー証明書をインポートします。インポート > ローカル証明書 をクリックし、タイプで PKSC12証明書を選択し、[ アップロード ] をクリックし先ほど作成したFortigateサーバー用のサーバー証明書を選択します。
正常にアップロードされたら、パスワードに設定したパスフレーズを入力し、[ OK ] をクリックします。
正常にサーバー証明書がアップロードされると、証明書の枠に追加されます。