ステップバイステップガイド : ダイヤルアップリモートアクセスサーバーの構成

[アーティクル]
09/28/2010

公開日: 2005年1月7日

このステップバイステップガイドでは、ダイヤルインのリモートアクセス接続をサポートすることを目的にルーティングとリモートアクセスサービス (RRAS) のインフラストラクチャを構成する際の指針を説明します。

トピック

はじめに

概要

ダイヤルアップリモートアクセスサーバーの構成

ポリシーによるリモートアクセスダイヤルインの保護

はじめに

ステップバイステップガイド

Microsoft Windows Server 2003 展開のステップバイステップガイドでは、多くの共通点を持つオペレーティングシステム構成における実際上の操作を説明します。これらのガイドでは、Windows Server 2003 をインストールして共通ネットワークインフラストラクチャを構築することから説明を始めます。そして、Active Directory® の構成、Windows XP Professional ワークステーションのインストールについて説明し、最後にワークステーションをドメインに追加する方法について説明します。これらのステップバイステップガイドの各分冊では、この共通ネットワークインフラストラクチャが構築されていることを前提としています。このガイドで説明するネットワークインフラストラクチャとは異なるインフラストラクチャを構築する場合は、適宜変更を加えながらガイドを読み進めてください。

共通ネットワークインフラストラクチャの構築には、以下のガイドで説明する操作を完了する必要があります。

共通ネットワークインフラストラクチャを構築すると、その他のステップバイステップガイドの操作を実行できるようになります。ただし、その他のステップバイステップガイドでは、共通ネットワークインフラストラクチャ構築の要件に加えて、その他の前提条件が必要になる場合があります。詳細については、各ステップバイステップガイドの説明を参照してください。

Microsoft Virtual PC

Microsoft Windows Server 2003 展開のステップバイステップガイドで説明する内容は、現実のラボ環境で実装することができ、Microsoft Virtual PC 2004 や Microsoft Virtual Server 2005 のような仮想化テクノロジを使って実装することもできます。仮想コンピュータテクノロジを使用すると、単一の物理サーバー上で複数のオペレーティングシステムを並行して稼働させることができます。Virtual PC 2004 と Virtual Server 2005 は、ソフトウェアのテストや開発、レガシアプリケーションの移行、サーバー統合の各シナリオにおいて、業務効率を高めるように設計されています。

Microsoft Windows Server 2003 展開のステップバイステップガイドでは、現実のラボ環境での構成を前提としています。ただし、大部分の構成はそのまま仮想環境に適用できます。

このステップバイステップガイドに記載する概念を仮想環境に適用する場合の説明については、ここでは割愛します。

重要

このドキュメントで使用している会社、組織、製品、ドメイン名、電子メールアドレス、ロゴ、人物、場所、イベントなどの名称は架空のものです。実在する会社名、組織名、製品名、ドメイン名、電子メールアドレス、ロゴ、個人名、場所名、イベント名などは一切関係ありません。

この共通インフラストラクチャは、プライベートネットワークで使用する目的で設計されています。共通インフラストラクチャで使用する架空の企業名と DNS (Domain Name System) 名は、インターネット上で使用するための登録が行われていません。パブリックネットワークやインターネット上では、この名前を使用しないようにしてください。

この共通インフラストラクチャの Active Directory サービス構造は、Windows Server 2003 の変更と構成管理機能の概要、および Active Directory との関連を示すために設計されたものです。企業で Active Directory を構成する場合を想定して設計されているわけではないことに注意してください。

ページのトップへ

概要

リモート環境からネットワークへのアクセスを必要とするユーザーをサポートするには、ダイヤルアップネットワークと仮想プライベートネットワーク (VPN) のいずれかまたは両方を展開します。ダイヤルアップネットワークを使用すると、リモートユーザーは、電話回線経由で組織のネットワークにあるリモートアクセスサーバーに直接ダイヤルインできます。VPN を使用すると、インターネットにアクセスするリモートユーザーは、組織のネットワークにある VPN サーバーとの接続を確立できます。VPN の展開について追加の指針については、「ステップバイステップガイド : サイト間の仮想プライベートネットワーク接続の構築」を参照してください。このガイドでは、ダイヤルアップリモートアクセスのソリューションに必要な手順について説明します。

組織に最適なソリューションを検討する場合、各ソリューションの相対的な費用効果と、セキュリティや可用性に対する組織の要件にどの程度適合するか、という点を考慮します。また、リモートアクセスサーバー設計の実現に必要な、イントラネットのネットワークインフラストラクチャについても考慮する必要があります。インフラストラクチャを正しく設計しないと、リモートアクセスクライアントは IP アドレスを取得できず、イントラネットの名前解決も行うことができません。また、リモートアクセスクライアントとイントラネットリソースの間でパケットの転送もできません。

組織のニーズに合わせて、セキュリティで保護された信頼性の高いリモートアクセスソリューションを提供する場合、展開方法 (ダイヤルアップネットワーク、VPN、またはこれらを組み合わせたもの) を選択してから、リモートアクセス設計を慎重に計画し、テストすることが重要になります。VPN リモートアクセスサーバーの展開とダイヤルアップリモートアクセスサーバーの展開では、作業内容が異なりますが、多くの場合、リモートアクセスソリューションには VPN とダイヤルアップの 2 つの要素が必要になります。図 1 に、ダイヤルアップリモートアクセスソリューションの基本的なアーキテクチャを示します。Microsoft 証明書サービスとインターネット認証サービス (IAS) は、拡張された認証方法とポリシーの集中管理機能を提供するコンポーネントです。これらのサービスは、ダイヤルアップインフラストラクチャと VPN インフラストラクチャのいずれの場合も、オプションで提供されます。このステップバイステップガイドでは、これらのオプションコンポーネントについては説明しません。

図 1. 標準的なリモートアクセスインフラストラクチャ

図 1. 標準的なリモートアクセスインフラストラクチャ

リモートアクセスでのダイヤルアップネットワークの使用

ダイヤルアップネットワークソリューションの場合、リモートユーザーは、ネットワーク上のリモートアクセスサーバーにダイヤルインできます。ダイヤルアップ回線は、本質的に、インターネットなどのパブリックネットワークを使用するソリューションよりもセキュリティレベルが高くなります。ただし、ダイヤルアップネットワークを組織で使用すると、多額の初期費用がかかり、ソリューションのライフサイクル全体をとおして出費が続きます。費用には以下のものが含まれます。

ハードウェアの購入とインストール ダイヤルアップネットワークには、モデムなどの通信用ハードウェア、サーバーハードウェア、電話回線の導入に初期費用がかかります。
毎月の通話料 リモートアクセスに使用される各電話回線によって、ダイヤルアップネットワークの費用が増加します。フリーダイヤル番号またはコールバック機能を使用してユーザーの長距離通話料金を負担すると、費用はより高額になる可能性があります。ほとんどの場合、企業は長距離通話の割引料金を手配できます。これは、より高額な家庭用通信料金を各ユーザーに実費請求するよりは望ましい方法です。
継続的なサポート リモートアクセスユーザー数とリモートアクセス設計の複雑さによって、ダイヤルアップネットワークの継続的なサポート費用が多額になります。サポート費用には、展開のサポートや管理を行うためのネットワークサポートエンジニア、テスト設備、トレーニング、ヘルプデスク担当者にかかる経費が含まれます。組織にかかる費用のうち、このサポート費用が大部分を占めます。

前提条件

本ガイドでの要件

ダイヤルアップリモートアクセスサーバーを適切にテストするには、リモートアクセスサーバーとクライアントの両方にモデムをインストールし、テスト用の電話回線を用意する必要があります。
リモートアクセスサーバーのテストに物理的なモデムを使用できない場合、標準モデムを強制的にインストールして、このガイドの各手順を進めることができます。
このステップバイステップガイドで使用する一般的なモデムをインストールするには
1. HQ-CON-DC-01 で、[スタート] ボタンをクリックし、[コントロールパネル] をクリックします。次に、[ハードウェアの追加] をクリックします。
2. [次へ] をクリックし、[はい、ハードウェアを接続しています] チェックボックスをオンにして、[次へ] をクリックします。
3. [インストールされているハードウェア] 一覧の一番下までスクロールし、[新しいハードウェアデバイスの追加] をクリックして、[次へ] をクリックします。
4. [一覧から選択したハードウェアをインストールする (詳細)] をクリックし、[次へ] をクリックします。
5. [モデム] をクリックし、[次へ] をクリックします。
6. [モデムを一覧から選択するので検出しない] チェックボックスをオンにし、[次へ] をクリックします。
7. [モデル] の結果ペインで、[標準 56000 bps モデム] をダブルクリックします。
8. [すべてのポート] をクリックし、[次へ] をクリックします。
9. [完了] をクリックします。

ページのトップへ

ダイヤルアップリモートアクセスサーバーの構成

サーバーをダイヤルアップリモートアクセスサーバーとして構成する前に、ルーティングとリモートアクセスサービス (RRAS) を有効にする必要があります。Windows Server 2003 では、RRAS が自動的にインストールされます。RRAS が有効化されていることは、このガイドの前提条件となっています。「ステップバイステップガイド : サイト間の仮想プライベートネットワーク接続の構築」を参照してください。RRAS を構成する方法の詳細については、Windows Server 2003 のヘルプとサポートセンターの「リモートアクセス/VPN サーバーの役割 : リモートアクセス/VPN サーバーを構成する」を参照してください。

ルーティングとリモートアクセスを有効にし、ルーティングとリモートアクセススナップインを使用して、ダイヤルアップリモートアクセスサーバーのプロパティを構成します。

HQ-CON-DC-01 でルーティングとリモートアクセススナップインを起動するには

[スタート] メニューで、[すべてのプログラム] をポイントします。次に、[管理ツール] をポイントし、[ルーティングとリモートアクセス] をクリックします。

HQ-CON-DC-01 がダイヤルアップリモートアクセス用に構成されていることを確認するには

[ルーティングとリモートアクセス] コンソールで、[HQ-CON-DC-01] を右クリックし、[プロパティ] をクリックします。
[HQ-CON-DC-01 のプロパティ] ダイアログボックスの [全般] タブで、図 2 に示すように、[リモートアクセスサーバー] チェックボックスがオンになっていることを確認します。

図 2. リモートアクセスサーバーの構成
[HQ-CON-DC-01 のプロパティ] ダイアログボックスで、[OK] をクリックします。

リモートアクセス用のダイヤルインポートの構成

[ルーティングとリモートアクセス] コンソールで、[HQ-CON-DC-01] の横にあるプラス記号 (+) をクリックし、ツリーを展開します。
[ポート] を右クリックし、[プロパティ] をクリックします。
[ポートのプロパティ] 画面で、[デバイス] からリモートアクセスダイヤルイン接続に使用するモデムをクリックします。図 3 では、[標準 56000 bps モデム] が選択されています。

図 3. モデムの選択
[構成] をクリックします。
[デバイスの構成] ダイアログボックスで、[リモートアクセス接続 (受信のみ)] をオンにし、[このデバイスの電話番号] にリモートユーザーが接続する番号を入力して、[OK] をクリックします。メモ複数のモデムをリモートアクセス接続に使用する場合は、各デバイスごとに手順 3 ～ 5 を繰り返します。
[OK] をクリックして、終了します。

ページのトップへ

ポリシーによるリモートアクセスダイヤルインの保護

Windows Server 2003 で RRAS を使用する場合、ネットワークアクセス権限は、ユーザーアカウントのダイヤルインプロパティとリモートアクセスポリシーに基づいて付与されます。

リモートアクセスポリシーは、接続の許可と拒否の方法を定義した、順序付けられた一連の規則です。各規則ごとに、1 つ以上の条件、一連のプロファイル設定、リモートアクセス許可の設定があります。接続が許可されると、リモートアクセスポリシーのプロファイルで、一連の接続制限が指定されます。ユーザーアカウントのダイヤルインのプロパティでも、制限を加えることができます。ユーザーアカウントの接続の制限が適用可能な場合は、ユーザーアカウントの接続の制限によって、リモートアクセスポリシーのプロファイルの接続の制限は上書きされます。

リモートアクセスポリシーを使用して許可するには、2 つの方法があります。

ユーザーごと ユーザーごとに管理している場合、ユーザーアカウントまたはコンピュータアカウントに対して、リモートアクセス許可を設定し、アクセスの [許可] や [拒否] を行ったり、必要に応じて接続の種類によって異なるリモートアクセスポリシーを作成します。たとえば、ダイヤルアップ接続用にリモートアクセスポリシーを指定し、ワイヤレス接続用には異なるポリシーを指定することができます。ユーザーごとの許可管理が推奨されるのは、管理対象のユーザーアカウントやコンピュータアカウントの数が少ない場合に限られます。
グループごと グループごとに管理している場合、[リモートアクセスポリシーでアクセスを制御] を使ってユーザーアカウントに対するリモートアクセス許可を設定し、接続の種類やグループのメンバシップを基に、リモートアクセスポリシーを作成します。たとえば、社員 (Employees グループのメンバ) のダイヤルアップ接続用にリモートアクセスポリシーを指定し、受託業者 (Contractors グループのメンバ) のダイヤルアップ接続用には異なるポリシーを指定することができます。

リモートアクセスポリシーの条件は、接続の設定との比較が行われる 1 つ以上の属性で構成されています。複数の条件が存在する場合、ポリシーに合わせて、接続の設定がすべての条件に合致する必要があります。リモートアクセスポリシーのすべての条件が合致する場合に、リモートアクセス許可は許可または拒否されます。[リモートアクセス許可を与える] または [リモートアクセス許可を拒否する] を使用して、ポリシーにリモートアクセス許可を設定します。

次に、ダイヤルイン接続のリモートアクセスポリシーを構成して、グループごとに許可を与える方法について説明します。

グループごとにダイヤルイン許可を与えるリモートアクセスポリシーを用意するには

HQ-CON-DC-01 サーバーで、[Active Directory ユーザーとコンピュータ] コンソールを開きます。
[Active Directory ユーザーとコンピュータ] コンソールで、[contoso.com] の横にあるプラス記号 (+) をクリックし、ツリーを展開します。
[contoso.com] ツリーの下にある [Accounts] 組織単位 (OU) をクリックします。結果ペインで、[Production] をダブルクリックし、[Clair Hector] をダブルクリックします。
[Clair Hectorのプロパティ] シートで、[ダイヤルイン] タブをクリックします。
[リモートアクセス許可] で、[リモートアクセスポリシーでアクセスを制御] がオンであることを確認し、[OK] をクリックします。
[contoso.com] ツリーの下にある [Groups] 組織単位を右クリックし、[新規作成] をクリックします。次に、[グループ] をクリックします。
[新しいオブジェクト – グループ] 画面で、[グループ名] に「Dial-in Remote Access」と入力し、[OK] をクリックします。
結果ペインで、[Dial-in Remote Access] をダブルクリックします。[Dial-in Remote Accessのプロパティ] 画面で、[メンバ] タブをクリックします。[追加] をクリックし、「Clair Hector」と入力して、[OK] を 2 回クリックします。メモ [Dial-in Remote Access] セキュリティグループに別のユーザーを追加する場合、Contoso ユーザーごとに手順 8 を繰り返します。
[Active Directory ユーザーとコンピュータ] コンソールを閉じます。

グループごとに許可を与えるリモートアクセスポリシーを構成するには

[ルーティングとリモートアクセス] コンソールで、[リモートアクセスポリシー] をクリックします。
結果ペインで、[ルーティングとリモートアクセスサーバーへの接続] をダブルクリックします。
[ポリシー条件] で、[Windows-Groups が次のものと一致: "CONTOSO\Branch Office VPN"] のポリシー条件が存在することを確認し、[OK] をクリックします。メモこのポリシーは、「ステップバイステップガイド : サイト間の仮想プライベートネットワーク接続の構築」で定義したものです。
結果ペインで、[ルーティングとリモートアクセスサーバーへの接続] を右クリックし、[名前の変更] をクリックします。次に、「Branch Office VPNs」と入力し、Enter キーを押します。
結果ペインで、[ほかのアクセスサーバーへの接続] を右クリックし、[名前の変更] をクリックします。次に、「Dial-in Remote Access」と入力し、Enter キーを押します。完了すると、リモートアクセスポリシーが、図 4 に示すように表示されます。

図 4. リモートアクセスポリシー

拡大表示する
結果ペインで、[Dial-in Remote Access] をダブルクリックし、[ポリシー条件] の下にある [追加] をクリックします。
[Windows-Groups] をダブルクリックし、[追加] をクリックして、「Dial-in Remote Access」と入力します。次に、[OK] を 2 回クリックします。
[ポリシー条件] の下にある [追加] をクリックし、[Called-Station-Id] をダブルクリックして、[文字またはワイルドカードを入力してください] にリモートユーザーが接続する番号を入力します。
作業を終えたら [OK] をクリックします。図 5 に示すように、[ポリシー条件] が表示されます。

図 5. ポリシー条件

メモポリシー条件は用途が広く、受信接続を完全に制御できます。前述の例では、Calling-Station-Id を設定することで、このポリシーは受信デバイスに直接関連付けられます。この関連付けによるセキュリティ制限に加えて、さらに精度レベルを向上できます。たとえば、Calling-Station-Id を指定した 2 つ目のモデムは、Executive Dial-in セキュリティグループと Calling-Station-Id 条件を組み込むことで、Executive Dial-in 用に予約できます。
[プロパティ] シートの一番下で、[リモートアクセス許可を与える] をクリックし、[OK] をクリックします。

ページのトップへ

ステップバイステップガイド : ダイヤルアップリモートアクセスサーバーの構成

トピック