IPSEC(Si-RGX)

Size: px

Start display at page:

Download "IPSEC(Si-RGX)"

なつきたけくま
5 years ago
Views:

技術情報 :Si-R/Si-R brin シリーズ設定例 (NTT 東日本 / NTT 西日本フレッツ光ネクスト ) フレッツ VPN

ヘッダでカプセリング (IPv4 over IPv4 IPsec tunnel) Si-R でトンネリングすることで以下の構成が可能になります

センターの複数セグメントと通信を行う [ 対象機種と版数 ] Si-R GX500 V1.05 以降 Si-R G シリーズ V4.

1/5 を LAN 側とします Si-R G( 拠点 ) の ether 1 1 を WAN 側 ether 2 1-4 を LAN

2/24 を割り当てるとします WAN(CPE) 側に 192.168.10.1/24 192.168.11.1/24 192.168.12.

254/24 を割り当てるとします IPsec tunnel で拠点間を接続します WAN 側の MTU を 1444 とします

168.10.2/24 フレッツ VPN プライオ 172.16.2.254/24 192.168.11.

1 技術情報 :Si-R/Si-R brin シリーズ設定例 (NTT 東日本 / NTT 西日本フレッツ光ネクスト ) フレッツ VPN プライオで拠点間を接続する設定例ですフレッツ VPN プライオを利用して拠点間を VPN( ) 接続します IPv4 パケットを IPv4 ヘッダでカプセリング (IPv4 over IPv4 IPsec tunnel) Si-R でトンネリングすることで以下の構成が可能になります拠点からフレッツ VPN プライオを経由してセンターから一元的にインターネットアクセスする拠点からフレッツ VPN プライオを経由してセンターの複数セグメントと通信を行う [ 対象機種と版数 ] Si-R GX500 V1.05 以降 Si-R G シリーズ V4.05 以降 [ 設定内容 ] Si-R GX( センター ) の GigaEthernet 1/3 を WAN 側 GigeEthernet 1/5 を LAN 側とします Si-R G( 拠点 ) の ether 1 1 を WAN 側 ether を LAN 側とします WAN(Si-R) 側に / / /24 を割り当てるとします WAN(CPE) 側に / / /24 を割り当てるとします LAN 側に / / /24 を割り当てるとします IPsec tunnel で拠点間を接続します WAN 側の MTU を 1444 としますインターネット /24 Center Ether /24 C P E O N U Ether /24 フレッツ VPN プライオ / /24 Ether 1 1 Ether O N U O N U C P E C P E Ether /24 kyotena kyotenb Ether /24 1

2 [ 設定例 ] sir-key には IPsec 鍵を設定してください Center 設定例 ip route tunnel 1 ip route tunnel 2 ip route ip route ip route survey survey-map SURVEY_IPsec source port-channel 5 nexthop tunnel 1 interworking survey survey-map SURVEY_IPsec source port-channel 5 nexthop tunnel 2 interworking survey-map SURVEY_IPsec ttl 255 timeout 1000 retry 4 frequency every stability 5 interval crypto ipsec policy phase2 set security-association always-up set security-association lifetime seconds set security-association transform esp-aes esp-sha-hmac set mtu 1444 set mss auto set ip tos copy crypto ipsec selector SELECTOR src 1 ipv4 any dst 1 ipv4 any crypto isakmp policy phase1 authentication pre-share encryption aes group 1 lifetime hash sha initiate-mode main crypto isakmp profile ISAKMP_PROF_1 local-address set isakmp-policy phase1 set ipsec-policy phase2 set peer ike-version 1 local-key ascii sir-key 2

3 crypto isakmp profile ISAKMP_PROF_2 local-address set isakmp-policy phase1 set ipsec-policy phase2 set peer ike-version 1 local-key ascii sir-key crypto map IPsec_MAP_1 ipsec-isakmp match address SELECTOR set isakmp-profile ISAKMP_PROF_1 crypto map IPsec_MAP_2 ipsec-isakmp match address SELECTOR set isakmp-profile ISAKMP_PROF_2 interface GigaEthernet 1/3 channel-group 3 interface GigaEthernet 1/5 channel-group 5 interface Port-channel 3 ip address mtu 1444 interface Port-channel 5 ip address interface Tunnel 1 ip unnumbered port-channel 5 tunnel mode ipsec map IPsec_MAP_1 interface Tunnel 2 ip unnumbered port-channel 5 tunnel mode ipsec map IPsec_MAP_2 end 3

4 kyotena 設定例 ether 1 1 vlan untag 1 ether 2 1 vlan untag 2 ether 2 2 vlan untag 2 ether 2 3 vlan untag 2 ether 2 4 vlan untag 2 lan 0 mtu 1444 lan 0 ip address /24 3 lan 0 ip route / lan 0 vlan 1 lan 1 ip address /24 3 lan 1 vlan 2 remote 0 name Center remote 0 mtu 1374 remote 0 ap 0 datalink type ipsec remote 0 ap 0 keep connect remote 0 ap 0 ipsec type ike remote 0 ap 0 ipsec ike protocol esp remote 0 ap 0 ipsec ike encrypt aes-cbc-128 remote 0 ap 0 ipsec ike auth hmac-sha1 remote 0 ap 0 ike shared key text sir-key remote 0 ap 0 ike proposal 0 encrypt aes-cbc-128 remote 0 ap 0 ike proposal 0 hash hmac-sha1 remote 0 ap 0 tunnel local remote 0 ap 0 tunnel remote remote 0 ap 0 sessionwatch address remote 0 ip route 0 default 1 60 remote 0 ip msschange 1334 time zone 0900 consoleinfo autologout 1h telnetinfo autologout 10m 4

5 kyotenb 設定例 ether 1 1 vlan untag 1 ether 2 1 vlan untag 2 ether 2 2 vlan untag 2 ether 2 3 vlan untag 2 ether 2 4 vlan untag 2 lan 0 mtu 1444 lan 0 ip address /24 3 lan 0 ip route / lan 0 vlan 1 lan 1 ip address /24 3 lan 1 vlan 2 remote 0 name Center remote 0 mtu 1374 remote 0 ap 0 datalink type ipsec remote 0 ap 0 keep connect remote 0 ap 0 ipsec type ike remote 0 ap 0 ipsec ike protocol esp remote 0 ap 0 ipsec ike encrypt aes-cbc-128 remote 0 ap 0 ipsec ike auth hmac-sha1 remote 0 ap 0 ike shared key text sir-key remote 0 ap 0 ike proposal 0 encrypt aes-cbc-128 remote 0 ap 0 ike proposal 0 hash hmac-sha1 remote 0 ap 0 tunnel local remote 0 ap 0 tunnel remote remote 0 ap 0 sessionwatch address remote 0 ip route 0 default 1 60 remote 0 ip msschange 1334 time zone 0900 consoleinfo autologout 1h telnetinfo autologout 10m 5

6 解説 Center 設定解説 ip route tunnel 1 ip route tunnel 2 #kyotena の LAN 向けの Static 経路を設定します # : 宛先ネットワークです # : マスクです # tunnel 1: ネクストホップです #kyotenb の LAN 向けの Static 経路を設定します # : 宛先ネットワークです # : マスクです # tunnel 2: ネクストホップです ip route ip route #kyotena 向けの Static 経路を設定します # : 宛先ネットワークです # : マスクです # : ネクストホップです #kyotenb 向けの Static 経路を設定します # : 宛先ネットワークです # : マスクです # : ネクストホップです ip route # インターネット向けの Static 経路を設定します # : ネクストホップです survey survey-map SURVEY_IPsec source port-channel 5 nexthop tunnel 1 interworking survey survey-map SURVEY_IPsec source port-channel 5 nexthop tunnel 2 interworking #kyotena 宛に接続監視設定をする # :kyotenA の LAN 側 IP アドレスです # SURVEY_IPsec: 使用する survey-map 名を指定します # port-channel 5: 送信元インタフェースを使用します # tunnel 1:Tunnnel 使用するインタフェースを指定します # interworking:ipsec tunnel の状態を同期します #kyotenb 宛に接続監視設定をする # :kyotenB の LAN 側 IP アドレスです # SURVEY_IPsec: 使用する survey-map 名を指定します # port-channel 5: 送信元インタフェースを使用します # tunnel 2:Tunnnel 使用するインタフェースを指定します # interworking:ipsec tunnel の状態を同期します 6

7 survey-map SURVEY_IPsec # 接続監視の設定をします ttl 255 #TTL を 255 に設定します timeout 1000 # タイムアウトを 1000 ミリ秒に設定します retry 4 # 再送回数を 4 回に設定します frequency every # 定期監視感覚をミリ秒に設定します stability 5 interval # 相手装置の復旧確認時の設定をします # 5: 連続受信回数を設定します # 10000: 送信間隔を設定します crypto ipsec policy phase2 #IPsec ポリシーのエントリの設定をします set security-association always-up #SA を常に確立する設定をします set security-association lifetime seconds #IPsec-SA/Child-SA の生存時間を秒に設定します set security-association transform esp-aes esp-sha-hmac # 暗号化アルゴリズム認証アルゴリズムの設定をします # esp-aes: 暗号化アルゴリズムに AES を設定します # esp-sha-hmac: 認証アルゴリズムに HMAC-SHA-1 を設定します set mtu 1444 #MTU 長を 1444 に設定します set mss auto #MSS 値をオートに設定します set ip tos copy #ESP パケットに IPv4 ヘッダの TOS フィールド値 IPv6 ヘッダのトラフィッククラス値をそのまま使用する crypto ipsec selector SELECTOR #IPSEC-SA/CHILD SA 用のセレクタのエントリの設定をします src 1 ipv4 any dst 1 ipv4 any # 送信元および送信先に IPv4 のすべてのアドレスを指定します 7

8 crypto isakmp policy phase1 #ISAKMP ポリシー設定をします authentication pre-share # 認証方式を Pre-shared key 方式に設定します encryption aes #ISAKMP-SA/IKE SA の暗号化アルゴリズムに AES を設定します group 1 #Diffie-Hellman グループ番号の設定をします lifetime #ISAKMP-SA/IKE SA の生存時間を秒に設定します hash sha #ISAKMP-SA/IKE SA のハッシュアルゴリズムを SHA-1 に設定します initiate-mode main #IKEv1 の Phase1 のネゴシエーションモードを Main モードに設定します crypto isakmp profile ISAKMP_PROF_1 #kyotena 宛の ISAKMP プロファイル設定を設定します local-address # 送信元アドレスを設定します set isakmp-policy phase1 #ISAKMP ポリシー名を設定する set ipsec-policy phase2 # この ISAKMP プロファイルで使用する IPSEC ポリシー名を設定する set peer #kyotena の WAN 側 IP アドレスを指定する ike-version 1 #IKEv1 を設定します local-key ascii sir-key #Pre-shared key を設定します 8

9 crypto isakmp profile ISAKMP_PROF_2 #kyotenb 宛の ISAKMP プロファイル設定を設定します local-address # 送信元アドレスを設定します set isakmp-policy phase1 #ISAKMP ポリシー名を設定する set ipsec-policy phase2 # この ISAKMP プロファイルで使用する IPSEC ポリシー名を設定する set peer #kyotenb の WAN 側 IP アドレスを指定する ike-version 1 #IKEv1 を設定します local-key ascii sir-key #Pre-shared key を設定します crypto map IPsec_MAP_1 ipsec-isakmp #kyotena 宛の VPN セレクタを設定する match address SELECTOR # 暗号化するパケットとして IPSEC セレクタを設定する set isakmp-profile ISAKMP_PROF_1 #kyotena 宛の ISAKMP プロファイルを使用する crypto map IPsec_MAP_2 ipsec-isakmp #kyotenb 宛の VPN セレクタを設定する match address SELECTOR # 暗号化するパケットとして IPSEC セレクタを設定する set isakmp-profile ISAKMP_PROF_2 #kyotenb 宛の ISAKMP プロファイルを使用する interface GigaEthernet 1/3 #WAN 側のインタフェース設定をします channel-group 3 # チャネルグループ 3 を割り当てます 9

10 interface GigaEthernet 1/5 #LAN 側のインタフェース設定をします channel-group 5 # チャネルグループ 5 を割り当てます interface Port-channel 3 #WAN 側のポートチャネルの設定をします ip address #WAN 側の IP アドレスを設定します # : WAN 側の IP アドレスです # : WAN 側のマスクです mtu 1444 #MTU 長を 1444byte に設定します interface Port-channel 5 #LAN 側のポートチャネルの設定をします ip address #LAN 側の IP アドレスを設定します # : LAN 側の IP アドレスです # : LAN 側のマスクです interface Tunnel 1 #kyotena 側のトンネル設定をします ip unnumbered port-channel 5 # 送信元としてポートチャネル 5 を使用します tunnel mode ipsec map IPsec_MAP_1 #Tunnnl で使用する VPN セレクタの設定をします interface Tunnel 2 #kyotenb 側のトンネル設定をします ip unnumbered port-channel 5 # 送信元としてポートチャネル 5 を使用します tunnel mode ipsec map IPsec_MAP_2 #Tunnnl で使用する VPN セレクタの設定をします end 10

11 解説 kyotena 設定解説 ether 1 1 vlan untag 1 #ether1 1 ポートを Tag なし VLAN1 に設定します ether vlan untag 2 #ether2 1-4 ポートを Tag なし VLAN2 に設定します lan 0 mtu 1444 #MTU 長を 1444 に設定します lan 0 ip address /24 3 #WAN 側 IP アドレスを設定します # /24 : WAN 側の IP アドレス / マスクです # 3: ブロードキャストアドレスのタイプ通常は 3 で構いません lan 0 ip route / #Center 拠点向けの Static 経路を設定します # /24 : 宛先ネットワーク / マスクです # : ネクストホップです # 1 : metric 値通常は 1 で構いません # 1 : distance 値通常は 1 で構いません lan 0 vlan 1 #VLAN ID と lan 定義番号の関連付けを行います lan 1 ip address /24 3 #LAN 側 IP アドレスを設定します # /24 : LAN 側の IP アドレス / マスクです # 3: ブロードキャストアドレスのタイプ通常は 3 で構いません lan 1 vlan 2 #VLAN ID と lan 定義番号の関連付けを行います remote 0 name Center #Center 向けの IPsec インターフェースの名前 ( 任意 ) を設定します remote 0 mtu 1374 #MTU 長を 1374byte に設定します remote 0 ap 0 datalink type ipsec # パケット転送方法として IPsec を設定します remote 0 ap 0 keep connect # 常時接続します remote 0 ap 0 ipsec type ike #IPsec 情報のタイプに IPsec 自動鍵交換 (IKE Version1) を設定します remote 0 ap 0 ipsec ike protocol esp # 自動鍵交換用 IPsec 情報のセキュリティプロトコルに ESP( 暗号 ) を設定します remote 0 ap 0 ipsec ike encrypt aes-cbc-128 # 自動鍵交換用 IPsec 情報の暗号情報に AES128 ビットを設定します 11

12 remote 0 ap 0 ipsec ike auth hmac-sha1 # 自動鍵交換用 IPsec 情報の認証情報に SHA1 を設定します remote 0 ap 0 ike shared key text sir-key #IKE セッション確立時の共有鍵 (Pre-shared key) を設定します remote 0 ap 0 ike proposal 0 encrypt aes-cbc-128 #IKE セッション用暗号情報の暗号アルゴリズムに AES128 ビットを設定します remote 0 ap 0 ike proposal 0 hash hmac-sha1 #IKE セッション用の認証情報に SHA1 を設定します remote 0 ap 0 tunnel local remote 0 ap 0 tunnel remote #IPsec トンネルの送信元 / 送信先アドレスの設定をします remote 0 ap 0 sessionwatch address # 接続先セッション監視の設定をします # : ICMP ECHO パケットの送信元 IP アドレスです # : ICMP ECHO パケットの宛先 IP アドレスです remote 0 ip route 0 default 1 60 #Center 拠点向きにデフォルトルートを設定します remote 0 ip msschange 1334 #MSS 書き換えの設定をします time zone 0900 # タイムゾーンを設定します通常はこのままで構いません consoleinfo autologout 1h telnetinfo autologout 10m # シリアルコンソール TELNET コネクションの入出力がない場合のコネクション切断時間を設定します通常はこの値で構いません 12

13 解説 kyotenb 設定解説 ether 1 1 vlan untag 1 #ether1 1 ポートを Tag なし VLAN1 に設定します ether vlan untag 2 #ether2 1-4 ポートを Tag なし VLAN2 に設定します lan 0 mtu 1444 #MTU 長を 1444 に設定します lan 0 ip address /24 3 #WAN 側 IP アドレスを設定します # /24 : WAN 側の IP アドレス / マスクです # 3: ブロードキャストアドレスのタイプ通常は 3 で構いません lan 0 ip route / #Center 向けの Static 経路を設定します # /24 : 宛先ネットワーク / マスクです # : ネクストホップです # 1 : metric 値通常は 1 で構いません # 1 : distance 値通常は 1 で構いません lan 0 vlan 1 #VLAN ID と lan 定義番号の関連付けを行います lan 1 ip address /24 3 #LAN 側 IP アドレスを設定します # /24 : LAN 側の IP アドレス / マスクです # 3: ブロードキャストアドレスのタイプ通常は 3 で構いません lan 1 vlan 2 #VLAN ID と lan 定義番号の関連付けを行います remote 0 name Center #Center 向けの IPsec インターフェースの名前 ( 任意 ) を設定します remote 0 mtu 1374 #MTU 長を 1374byte に設定します remote 0 ap 0 datalink type ipsec # パケット転送方法として IPsec を設定します remote 0 ap 0 keep connect # 常時接続します remote 0 ap 0 ipsec type ike #IPsec 情報のタイプに IPsec 自動鍵交換 (IKE Version1) を設定します remote 0 ap 0 ipsec ike protocol esp # 自動鍵交換用 IPsec 情報のセキュリティプロトコルに ESP( 暗号 ) を設定します remote 0 ap 0 ipsec ike encrypt aes-cbc-128 # 自動鍵交換用 IPsec 情報の暗号情報に AES128 ビットを設定します 13

14 remote 0 ap 0 ipsec ike auth hmac-sha1 # 自動鍵交換用 IPsec 情報の認証情報に SHA1 を設定します remote 0 ap 0 ike shared key text xx sir-key #IKE セッション確立時の共有鍵 (Pre-shared key) を設定します remote 0 ap 0 ike proposal 0 encrypt aes-cbc-128 #IKE セッション用暗号情報の暗号アルゴリズムに AES128 ビットを設定します remote 0 ap 0 ike proposal 0 hash hmac-sha1 #IKE セッション用の認証情報に SHA1 を設定します remote 0 ap 0 tunnel local remote 0 ap 0 tunnel remote #IPsec トンネルの送信元 / 送信先アドレスの設定をします remote 0 ap 0 sessionwatch address # 接続先セッション監視の設定をします # : ICMP ECHO パケットの送信元 IP アドレスです # : ICMP ECHO パケットの宛先 IP アドレスです remote 0 ip route 0 default 1 60 #Center 向きにデフォルトルートを設定します remote 0 ip msschange 1334 #MSS 書き換えの設定をします time zone 0900 # タイムゾーンを設定します通常はこのままで構いません consoleinfo autologout 1h telnetinfo autologout 10m # シリアルコンソール TELNET コネクションの入出力がない場合のコネクション切断時間を設定します通常はこの値で構いません 14

IPSEC(Si-RG)

IPSEC(Si-RG) 技術情報 :Si-R/Si-R brin シリーズ設定例 (NTT 東日本 / NTT 西日本フレッツ光ネクスト ) フレッツ VPN プライオで拠点間を接続する設定例ですフレッツ VPN プライオを利用して拠点間を VPN( ) 接続します IPv4 パケットを IPv4 ヘッダでカプセリング (IPv4 over IPv4 IPsec tunnel) Si-R でトンネリングすることで以下の構成が可能になります