VPN(SSTP)を導入する(4)

作成する前に、なぜ証明書がいるかと言うことです。それは、SSTPというのは、SSLをベースにしているからです。SSLには、必ず身元を示す証明書が必要になります。SSTPも、同様にこれが必要です。

今回用いる証明書の発行の方法は、独自の証明機関(CA)を立ち上げ、それを使って証明書を作ります。

証明機関は、Windows Server 2008に搭載されている「Active Directory 証明書サービス」を利用して作ります。
証明書サービスを利用するために、Webでの登録に対応させます。この際に、IISのインストールを要求されます。
証明機関には、「エンタープライズ」と「スタンドアロン」の2種類あります。エンタープライズの方が使いやすいのですが、Windows Server 2008 Enterpriseでないと、すべての機能が使えません(エンタープライズでのインストールは、Standardでも可能)。なので、今回は「スタンドアロン」でインストールします。

1. 「サーバー マネージャ」を起動する。
2. 「役割の追加」を選択する。
3. 開始する前にが表示された場合は、そのまま「次へ」を選択する。
4. 「Active Directory 証明書サービス」にチェックを入れ、「次へ」を選択する。
5. 概要が表示されるので、「次へ」を選択する。
6. 「証明機関」と「証明機関 Web 登録」にチェックを入れ、「次へ」を選択する。
   IISがインストールされていないとき、追加インストールの必要性を求められるので、「必要な役割サービスを追加」を選択する。
7. 「スタンドアロン」を選択して、「次へ」を選択する。
8. これ以降は、デフォルト設定で、基本的に「次へ」を選択すればよい。
   「ルート CA」を選択して、「次へ」を選択する。
9. 「新しい秘密キーを作成する」を選択して、「次へ」を選択する。
10. 暗号化の構成は、そのままにして、「次へ」を選択する。
11. CA名もデフォルト設定で、「次へ」を選択する。
12. 有効期限もデフォルト設定で、「次へ」を選択する。
13. データベースの場所を指定して、「次へ」を選択する。
    冗長システムがある場合は、そちらにする方がよい。
14. IISがインストールされていないときは、Web サーバー (IIS)の概要が表示される。「次へ」を選択する。
15. 役割サービスを変更せず、「次へ」を選択する。
16. 「インストール」を選択し、インストールする。
17. インストール完了

これで、証明機関が完成しました。次に、証明書を発行します。
Web サーバーをSSLに対応させた方が、良いのですが、SSLを使うには証明書がいるので、逆に手間がかかります。(IISでWeb サーバー用の証明書を作れるので、そこまで面倒ではないが、証明書が2つになりコリジョンを起こす可能性がある。)
できる方なら、SSLに対応させても良いです。ただ、その際はHTTPSのポートを443から変更してください。443番ポートは、SSTPでも使用します。

証明書を発行してみます。

1. サーバーで、「Internet Explorer」を立ち上げる。
2. あらかじめ、「ローカル イントラネット」のセキュリティレベルを「低」に下げておく。
   終わったら、必ず元に戻すこと。
3. [http://localhost/certsrv/]にアクセスする。
4. 「証明書を要求する」を選択する。
5. 「証明書の要求の詳細設定」を選択する。
6. 「この CA への要求を作成し送信する。」を選択する。
7. ActiveXの実行許可を求められるので、「はい」を選択する。
8. 「名前」のところに、接続に使用するドメイン名を入力する。ここのドメイン名と接続に使用するドメイン名を一致させなければSSTP接続できない。
9. 「証明書の種類」を「サーバー認証証明書」にする。
10. 「エクスポート可能なキーとしてマークする」にチェックを入れる。これを忘れると、秘密キーをエクスポートできなくなる。
11. 「送信 >」を選択する。
12. 証明書を要求しますか?に対して、「はい」を選択する。
13. 以上で要求は完了する。ブラウザは、再び使うので、閉じない方が良い。また、要求IDを覚えておくと、次の項で楽になる。
14. 発行処理をする。「管理ツール」→「証明機関」を起動する。
15. 「サーバ名」→「保留中の要求」を選択する。
16. 先ほどの、要求 IDと同じ物を右クリックする。
17. 「すべてのタスク」→「発行」を選択する。
18. 「発行した証明書」の中に移動していれば、完了。
19. 証明書をダウンロードする。ブラウザに戻って、「ホーム」を選択する。
20. 「保留中の証明書の要求の状態」を選択する。
21. 「サーバー認証証明書 (日時)」を選択する。
22. ActiveXの実行許可を求められるので、「はい」を選択する。
23. 「この証明書のインストール」を選択する。
24. 証明書を追加するかどうかを聞かれるので、「はい」を選択する。
25. インストールが完了すれば、発行が完了する。

証明書の発行が完了しました。
しかし、まだこれだけではありません。正しい場所に、証明書を展開しなければいけません。

また次回にします。