WiKIDとOpenVPN ASの連携設定ガイド

前提条件

WiKIDサーバーが既にインストールされ、管理者権限でWiKIDAdminにアクセスできること。
OpenVPN Access Server（OpenVPN AS）がインストール済みで、RADIUSを使った認証を追加したいこと。
管理者が両方のサーバーにログイン可能であること（ファイアウォールで必要ポートが開いていること）。
完全なインストール手順は公式サポートを参照してください: http://www.wikidsystems.com/support/wikid-support-center

WiKIDAdminのネットワーククライアント追加画面

ネットワーククライアントの共有シークレット入力画面

重要: 共有シークレットはOpenVPN AS側と一致させる必要があります。スペースや改行が入らないよう注意してください。

# wikidctl restart

これでサーバー側の設定は完了です。

OpenVPN AS には自動生成されるクライアント構成ファイルがあり、ユーザーはWebインターフェースからクライアントアプリ（Windows用など）と構成ファイルをダウンロードできます。

WiKIDトークンアプリでワンタイムパスコードを取得する画面

WiKIDトークンにPINを入力する画面

説明: PINはローカルで暗号化され、WiKIDサーバーに送信されます。アカウントが有効で、暗号処理が正しく、PINが一致すれば、ワンタイムパスワード（OTP）が生成されてトークンに返されます。

WiKIDトークンのワンタイムパスコード表示画面

OpenVPN ASのクライアント用ダウンロードページ

Linuxクライアントの例: openvpn をインストール（yum または apt-get を使用）して、ダウンロードしたクライアント構成ファイルを指定して接続します。

# openvpn --config client.ovpn

接続が成功すれば、通常はVPN側のネットワーク（例: 10.0.x.x）からIPアドレスが付与されます。

管理者:
- WiKIDAdminで新規ネットワーククライアントが正しく登録されている。
- 共有シークレットがOpenVPN AS側と一致している。
- WiKIDサーバー再起動後にエラーが出ていない。
利用者（ユーザー）:
- WiKIDトークンでPINを入力し、OTPが生成される。
- 生成したOTPでOpenVPN ASのWebログインが成功する。
- ダウンロードした client.ovpn でVPN接続が確立し、正しい内部IPが付与される。
ログと監査:
- WiKID側の認証ログに成功・失敗の記録が残る。
- OpenVPN ASのログにRADIUS認証の試行結果が残る。

以上が満たされれば設定は受け入れ可能です。

共有シークレット不一致
- 症状: RADIUS認証が失敗する、OpenVPN側のログに共有シークレットエラー。
- 対策: WiKIDAdminで設定した値とOpenVPN ASの設定を再確認。
時刻同期のずれ（トークン方式による影響）
- 症状: 正しいPINを入力してもOTPが一致しない。
- 対策: NTPでサーバーとクライアントの時刻を同期する。
ファイアウォールやネットワーク経路の制約
- 症状: サーバー間で通信できない、RADIUSポートが閉じている。
- 対策: RADIUSで使用するUDPポート（通常1812/1813）やWiKIDが使用するポートを許可する。
トークンが無効またはアカウントがロックされている
- 症状: トークンがOTPを返さない、認証が常に拒否される。
- 対策: 管理コンソールでアカウント状態を確認し、有効化や解除を行う。
クライアント構成ファイルの誤設定
- 症状: openvpn –config でエラーや接続失敗。
- 対策: .ovpn 内のサーバーアドレス、認証方式、証明書パスなどを確認する。

認証方法の代替:
- Google Authenticator や TOTP ベースのトークンを使う方法。
- FreeRADIUS を使い、外部2FAプロバイダと連携する方法。
メリット/デメリット:
- WiKID は専用のトークン管理とRADIUS統合が得意。セットアップの柔軟性と管理性が強み。
- TOTP系は一般的でクライアントの互換性が高いが、管理機能は別途必要になる場合がある。

選択は既存の運用ポリシー、管理負荷、ユーザーの導入しやすさで決めてください。