Amazon Web Services (AWS) AR4050S/AR3050S/AR2050V接続設定例

Transcription

1 Amazon Web Services (AWS) AR4050S/AR3050S/AR2050V 接 続 設 定 例 Static Routing 当 社 検 証 結 果 に 基 づき 記 載 していますが 全 てのお 客 様 環 境 の 動 作 を 保 証 するものではありません 2015 年 11 月 現 在 の 仕 様 に 基 いて 記 載 しています 今 後 の 仕 様 変 更 によっては 接 続 できない 可 能 性 があります アライドテレシス 株 式 会 社 ATKK-FSE

2 目 次 1. 概 要 1. 概 要 2. 設 定 例 の 構 成 3. IPsecのパラメータ 2. Amazon VPCの 設 定 1. はじめに 2. Amazon VPCの 設 定 3. AR4050Sの 設 定 1. はじめに 2. AR4050Sの 設 定 3. 設 定 の 確 認 4. 動 作 確 認 1. IPsecの 確 認 2. AWSの 確 認 3. 通 信 の 確 認 4. 経 路 冗 長 の 確 認 ( 参 考 ) 2

3 1. 概 要 3

4 1-1. 概 要 本 書 では Amazon Web Services ( 以 下 AWS) との 接 続 についての 設 定 例 を 説 明 します 以 降 の 記 述 はAR4050Sを 前 提 としていますが AR3050SおよびAR2050Vにおいても 同 じ 内 容 が 適 用 可 能 です その 際 はAR4050SをAR3050SまたはAR2050Vとお 読 み 替 えの 上 ご 利 用 ください Amazon Virtual Private Cloud( 以 下 Amazon VPC)を 通 じてAWSと 接 続 します Amazon VPCは AWSに 接 続 するためのVPN 機 能 を 提 供 しています AWS 側 には Amazon Elastic Compute Cloud( 以 下 Amazon EC2)と 呼 ばれる 仮 想 サー バを 用 意 しています 本 設 定 例 では AR4050S 配 下 の 端 末 からインターネット 上 のサーバーに 直 接 通 信 ( 平 文 通 信 )できます AR4050Sはファームウェアバージョン 以 降 をご 利 用 下 さい Amazon VPCに 関 する 技 術 情 報 は 以 下 をご 参 照 ください 4

5 1-2. 設 定 例 の 構 成 Amazon VPCでは2つのゲートウェイが 用 意 されています AR4050Sは2 本 のIPsec(ESP)トンネルで 接 続 します AWS /16 Amazon EC ゲートウェイ ゲートウェイ インターネット tunnel 1 tunnel 2 固 定 アドレスが 必 要 PPP0 over ETH AW+ルーター VLAN /24 AWS 側 の 構 成 図 はイメージです 実 際 の 環 境 とは 異 なる 可 能 性 があります 本 書 では 仮 のIPアドレスを 記 載 しています 実 際 のIPアドレスとは 異 なりますのでご 了 承 ください 5

6 1-3.IPsecのパラメータ 下 記 パラメータで 設 定 します IKEフェーズ1(ISAKMP SAのネゴシエーション) 認 証 方 式 IKE 交 換 モード Diffie-Hellman(Oakley)グループ ISAKMPメッセージの 暗 号 化 方 式 ISAKMPメッセージの 認 証 方 式 事 前 共 有 鍵 (pre-shared key) IKEv1 Mainモード Group2(1024ビットMODP) AES128 SHA-1 ISAKMP SAの 有 効 期 限 ( 時 間 ) 秒 (8 時 間 ) IKEフェーズ2(IPsec SAのネゴシエーション) SAモード トンネルモード セキュリティープロトコル ESP( 暗 号 化 + 認 証 ) Diffie-Hellman(Oakley)グループ 暗 号 化 方 式 認 証 方 式 Group2(1024ビットMODP) PFS 有 効 AES128 SHA-1 IPsec SAの 有 効 期 限 ( 時 間 ) 3600 秒 (1 時 間 ) 6

7 2. Amazon VPCの 設 定 7

8 2-1.はじめに Amazon VPCを 設 定 します AWSのWebサイトでアカウントを 作 成 し AWS Management Console を 起 動 します アカウント 作 成 の 流 れについては 以 下 をご 参 照 ください 次 頁 より 主 要 設 定 を 記 載 しますが 詳 細 は 以 下 をご 参 照 ください GetStarted.html 次 頁 から 掲 載 している 設 定 画 面 は2015 年 11 月 現 在 の 情 報 です 今 後 設 定 画 面 が 変 更 される 場 合 がございますのでご 了 承 ください 8

9 2-2. Amazon VPCの 設 定 ウィザードの 開 始 画 面 左 上 Services から VPC を 選 択 します VPC Dashboard にある Start VPC Wizard を 押 します 9

10 2-2. Amazon VPCの 設 定 ネットワーク 構 成 の 選 択 ネットワーク 構 成 に 合 わせて 項 目 を 選 択 します 本 例 では VPC with a Private Subnet Only and Hardware VPN Access を 選 び Select を 押 します 10

11 2-2. Amazon VPCの 設 定 AWS 側 の 設 定 AWS 内 で 使 用 するサブネットを 登 録 します 下 記 を 参 考 に 空 欄 を 埋 めてください 本 例 では IP CIDR block を /16 Private Subnet を /24 として 登 録 します 登 録 を 終 えたら Next を 押 します VPCの 名 称 を 指 定 します VPCで 使 用 可 能 なIPアドレスの 範 囲 を 指 定 します サブネットマスクは/16~/28の 間 で 指 定 します 上 記 IP CIDR blockで 指 定 した 範 囲 内 でプライベートサブネットを 指 定 します プライベートサブネットは 後 ほど 追 加 することもできます Availability Zoneを 指 定 します No Preference にすると 自 動 選 択 します プライベートサブネットの 名 称 を 指 定 します Amazon S3 へのエンドポイントを 共 有 するサブネットを 選 択 します 詳 細 については 以 下 をご 参 照 ください DNS 名 を 割 り 当 てるかどうかを 選 択 します ハードウェア 専 有 インスタンスの 設 定 です 詳 細 については 以 下 をご 参 照 ください 11

12 2-2. Amazon VPCの 設 定 AR4050SSのWAN 側 /LAN 側 IPアドレスの 登 録 AR4050SのWAN 側 IPアドレス( 固 定 アドレス)を 登 録 します 本 例 では を 登 録 しています Routing Type で Static を 選 択 し AR4050SのLAN 側 IPサブネットを 登 録 しま す 本 例 では /24 をLAN 側 サブネットとして 登 録 しています Create VPC を 押 します 12

13 2-2. Amazon VPCの 設 定 VPCの 生 成 処 理 が 完 了 すると 下 のような 画 面 が 表 示 されます VPC Successfully Created と 表 示 されたら 右 側 の OK を 押 します 13

14 2-2. Amazon VPCの 設 定 設 定 のダウンロード 左 側 のメニューバーから VPN Connections を 選 択 します 作 成 したVPN 名 を 選 択 し Download Configuration を 押 します

15 2-2. Amazon VPCの 設 定 設 定 のダウンロード 設 定 例 をダウンロードします 本 例 では Generic を 選 択 しています 右 下 の Yes, Download を 押 します 設 定 例 が 表 示 されますので ローカルディスクに 保 存 します 次 頁 の AR4050S の 設 定 で 使 用 しますので 大 切 に 保 管 してください 15

16 3. AR4050Sの 設 定 16

17 3-1.はじめに AR4050Sの 設 定 に 必 要 な 情 報 は 下 記 です 設 定 前 に 情 報 をまとめておくと 便 利 です Amazon VPC Gateway address(1)(2) Preshared key (1)(2) Tunnel interface IP address(1)(2) Tunnel peer IP Address(1)(2) は 次 頁 を 参 考 にご 記 入 ください 設 定 項 目 本 例 お 客 様 情 報 PPPユーザー 名 PPPパスワード isppasswda AR4050S ppp0(wan 側 )IPアドレス /32 AR4050S vlan1(lan 側 )IPアドレス /24 Amazon VPC Gateway address(1) Preshared key(1) ABCDEFGHIJKLMNOPQRSTUVWXYZ1234 Tunnel interface IP address(1) /30 Tunnel peer IP Address(1) Amazon VPC Gateway address(2) Preshared key(2) 1234abcdefghijklmnppqrsutvwxyz Tunnel interface IP address(2) /30 Tunnel peer IP Address(2) AWS 内 のサブネット /16 17

18 3-1.はじめに 15ページで 保 存 した 設 定 例 をテキストエディターで 開 きます 2 本 のIPSecトンネルの Pre-Shared Key Virtual Private Gateway( Outside IP Addresses ) Customer Gateway(Inside IP Address) Virtual Private Gateway( Inside IP Addresses ) を 確 認 します ダウンロードした 設 定 によって 記 載 方 法 が 異 なります 下 記 は Generic の 場 合 の 例 です IPSec Tunnel #1 ========================================================= #1: Internet Key Exchange Configuration Configure the IKE SA as follows - Authentication Method : Pre-Shared Key - Pre-Shared Key : ABCDEFGHIJKLMNOPQRSTUVWXYZ1234 : : Outside IP Addresses: - Customer Gateway : Virtual Private Gateway : Inside IP Addresses - Customer Gateway : /30 - Virtual Private Gateway : /30 : Preshared key(1) Amazon VPC Gateway address(1) Tunnel interface IP address(1) Tunnel peer IP Address(1) 18

19 3-1.はじめに IPSec Tunnel #2 ========================================================= #1: Internet Key Exchange Configuration Configure the IKE SA as follows - Authentication Method : Pre-Shared Key - Pre-Shared Key : 1234abcdefghijklmnopqrstuvwxyz : : Outside IP Addresses: - Customer Gateway : Virtual Private Gateway : Inside IP Addresses - Customer Gateway : /30 - Virtual Private Gateway : /30 : Preshared key(2) Amazon VPC Gateway address(2) Tunnel interface IP address(2) Tunnel peer IP Address(2) 19

20 3-2. AR4050Sの 設 定 ログイン AR4050Sにログインします 工 場 出 荷 時 設 定 のCLIの ログインID/PW は 下 記 の 通 りです awplus login: manager Password: friend 実 際 には 表 示 されません Last login: Fri Nov 13 17:09:55 JST 2015 on ttys0 AlliedWare Plus (TM) /12/15 03:11:03 awplus> モードの 移 行 非 特 権 EXECモードから 特 権 EXECモードに 移 行 します awplus> enable 特 権 EXECモードからグローバルコンフィグモードに 移 行 します awplus# configure terminal Enter configuration commands, one per line. End with CNTL/Z. awplus(config)# 20

21 3-2. AR4050Sの 設 定 スパニングツリープロトコルの 無 効 化 LANポートにおいて 初 期 状 態 で 有 効 化 されているスパニングツリープロトコル (RSTP)を 無 効 化 します awplus(config)# no spanning-tree rstp enable LANインターフェース 設 定 LAN 側 インターフェース(vlan1)にIPアドレスを 設 定 します awplus(config)# interface vlan1 awplus(config-if)# ip address /24 awplus(config-if)# exit PPPインターフェース 作 成 ETH1インターフェース 上 にPPPインターフェースを 作 成 します awplus(config)# interface eth1 awplus(config-if)# encapsulation ppp 0 赤 字 には17ページのお 客 様 情 報 を 入 力 ください 21

22 3-2. AR4050Sの 設 定 PPPoEインターフェース 設 定 PPPインターフェースにWAN 側 のIPアドレスを 設 定 します LCP EchoパケットによるPPP 接 続 の 監 視 を 有 効 にします ISPから 通 知 されたPPPユーザー 名 やとパスワードを 設 定 します PPPインターフェースを 通 過 するTCPパケットのMSS 値 の 自 動 書 き 換 えを 有 効 にします awplus(config)# interface ppp0 awplus(config-if)# ip address /32 awplus(config-if)# keepalive awplus(config-if)# ppp username awplus(config-if)# ppp password isppasswda awplus(config-if)# ip tcp adjust-mss pmtu 赤 字 には17ページのお 客 様 情 報 を 入 力 ください 22

23 3-2. AR4050Sの 設 定 エンティティの 設 定 ファイアウォールやNATのルール 作 成 時 に 使 うエンティティー( 通 信 主 体 )を 定 義 します 内 部 ネットワークを 表 すゾーン private と 外 部 ネットワークを 表 すゾーン public を 作 成 し ます awplus(config)# zone private awplus(config-zone)# network lan awplus(config-network)# ip subnet /24 awplus(config-network)# ip subnet /16 awplus(config-network)# ip subnet /30 awplus(config-network)# ip subnet /30 awplus(config)# zone public awplus(config-zone)# network wan awplus(config-network)# ip subnet /0 interface ppp0 awplus(config-network)# host ppp0 awplus(config-host)# ip address 赤 字 には17ページのお 客 様 情 報 を 入 力 ください 23

24 3-2. AR4050Sの 設 定 アプリケーションの 設 定 ファイアウォールやNATのルール 作 成 時 に 通 信 内 容 を 指 定 するために 使 う アプリケーション を 定 義 します IPsecのESPパケットを 表 すカスタムアプリケーション esp を 定 義 します ISAKMPパケットを 表 すカスタムアプリケーション isakmp を 定 義 します NAT-T(NAT Traversal)パケットをカスタムアプリケーション nat-t を 定 義 します awplus(config)# application esp awplus(config-application)# protocol 50 awplus(config)# application isakmp awplus(config-application)# protocol udp awplus(config-application)# sport 500 awplus(config-application)# dport 500 awplus(config)# application nat-t awplus(config-application)# protocol udp awplus(config-application)# sport 4500 awplus(config-application)# dport

25 3-2. AR4050Sの 設 定 ファイアウォール NATの 設 定 ISAKMPパケット NAT-Tパケット ESPパケットは 通 しつつ 他 の 外 側 からの 通 信 を 遮 断 し 内 側 からの 通 信 は 自 由 に 行 えるようにファイアウォールのルールを 設 定 します LAN 側 ネットワークに 接 続 されているすべてのコンピューターがダイナミックENAT 機 能 を 使 用 でき るよう 設 定 します awplus(config)# firewall awplus(config-firewall)# rule 10 permit isakmp from public.wan.ppp0 to public.wan awplus(config-firewall)# rule 20 permit isakmp from public.wan to public.wan.ppp0 awplus(config-firewall)# rule 30 permit nat-t from public.wan.ppp0 to public.wan awplus(config-firewall)# rule 40 permit nat-t from public.wan to public.wan.ppp0 awplus(config-firewall)# rule 50 permit esp from public.wan.ppp0 to public.wan awplus(config-firewall)# rule 60 permit esp from public.wan to public.wan.ppp0 awplus(config-firewall)# rule 70 permit any from private to private awplus(config-firewall)# rule 80 permit any from private to public awplus(config-firewall)# protect awplus(config)# nat awplus(config-nat)# rule 10 masq any from private to public awplus(config-nat)# enable 25

26 3-2. AR4050Sの 設 定 IPsec 設 定 IKEフェーズ1のポリシー AWS-isakmp とフェーズ2のポリシー AWS-ipsec をそれぞれ 作 成 します awplus(config)# crypto isakmp profile AWS-isakmp awplus(config-isakmp-profile)# version 1 mode main awplus(config-isakmp-profile)# lifetime awplus(config-isakmp-profile)# transform 1 integrity sha1 encryption aes128 group 2 awplus(config)# crypto isakmp key ABCDEFGHIJKLMNOPQRSTUVWXYZ1234 address awplus(config)# crypto isakmp key 1234abcdefghijklmnppqrsutvwxyz address awplus(config)# crypto isakmp peer address profile AWS-isakmp awplus(config)# crypto isakmp peer address profile AWS-isakmp awplus(config)# crypto ipsec profile AWS-ipsec awplus(config-ipsec-profile)# lifetime seconds 3600 awplus(config-ipsec-profile)# transform 1 protocol esp integrity sha1 encryption aes128 awplus(config-ipsec-profile)# pfs 2 赤 字 には17ページのお 客 様 情 報 を 入 力 ください 26

27 3-2. AR4050Sの 設 定 トンネルインターフェース 設 定 IPsecトンネルインターフェースtunnel0 tunnel1を 作 成 します MTUの 設 定 をします IPsecトンネルの 始 点 ( 自 装 置 )と 終 点 ( 仮 想 ネットワークゲートウェイ)を 指 定 します IKEフェーズ2で 使 用 するポリシーを 指 定 します トンネリング 方 式 を 指 定 します 通 知 されたトンネルインターフェースのIPを 設 定 します トンネルインターフェースを 通 過 するTCPパケットのMSS 値 の 書 き 換 えを 有 効 にします awplus(config)# int tunnel0 awplus(config-if)# mtu 1436 awplus(config-if)# tunnel source ppp0 awplus(config-if)# tunnel destination awplus(config-if)# tunnel protection ipsec profile AWS-ipsec awplus(config-if)# tunnel mode ipsec ipv4 awplus(config-if)# ip address /30 awplus(config-if)# ip tcp adjust-mss 1387 awplus(config)# int tunnel1 awplus(config-if)# mtu 1436 awplus(config-if)# tunnel source ppp0 awplus(config-if)# tunnel destination awplus(config-if)# tunnel protection ipsec profile AWS-ipsec awplus(config-if)# tunnel mode ipsec ipv4 awplus(config-if)# ip address /30 awplus(config-if)# ip tcp adjust-mss 1387 赤 字 には17ページのお 客 様 情 報 を 入 力 ください 27

28 3-2. AR4050Sの 設 定 トリガーの 設 定 メインで 使 用 しているトンネルで 通 信 断 が 発 生 した 際 もう 片 方 のトンネルに 自 動 で 切 り 替 わるよ うトリガーの 設 定 を 行 います tunnel0の 通 信 断 を 検 知 した 際 にルートの 削 除 を 行 うスクリプトtunnel0_down.scpと トンネルが 再 び 通 信 可 能 になった 際 にルートの 追 加 を 行 うtunnel0_up.scpをそれぞれルーターの フラッシュ 上 に 保 存 します tunnel0_down.scp enable configure terminal no ip route /16 tunnel0 tunnel0_up.scp enable configure terminal ip route /16 tunnel0 赤 字 には15ページのお 客 様 情 報 を 入 力 ください 28

29 3-2. AR4050Sの 設 定 トンネルインターフェースtunnel0の 接 続 性 を 監 視 するPingポーリング 1 を 作 成 します Pingポーリングトリガーを 作 成 します awplus(config)#ping-poll 1 awplus(config-ping-poll)#ip awplus(config-ping-poll)#normal-interval 25 awplus(config-ping-poll)#active awplus(config)#trigger 1 awplus(config-trigger)# type ping-poll 1 down awplus(config-trigger)# script 1 flash:/tunnel0_down.scp awplus(config)#trigger 2 awplus(config-trigger)# type ping-poll 1 up awplus(config-trigger)# script 1 flash:/tunnel0_down.up 赤 字 には15ページのお 客 様 情 報 を 入 力 ください 29

30 3-2. AR4050Sの 設 定 ルート 設 定 デフォルトルートを 設 定 します AWS 宛 の 通 信 がIPsecトンネルを 経 由 するよう 設 定 します ここでは2 本 のトンネルの 内 tunnel0を 優 先 して 使 用 するようにしています またIPsecトンネルが 確 立 するまでは このルートを 使 用 できないよう 設 定 します awplus(config)# ip route /0 ppp0 awplus(config)# ip route /16 tunnel0 awplus(config)# ip route /16 tunnel1 10 awplus(config)# ip route /16 null 254 コンフィグの 保 存 確 認 設 定 は 以 上 となります 現 在 の 設 定 内 容 を 起 動 時 コンフィグとして 保 存 します 設 定 (ランニングコンフィグ)を 表 示 します 次 頁 の 入 力 コマンド 一 覧 (1)(2) を 参 考 に 設 定 に 誤 りが 無 いかご 確 認 ください awplus# copy running-config startup-config awplus# show running-config 赤 字 には15ページのお 客 様 情 報 を 入 力 ください 30

31 入 力 コマンド 一 覧 (1) 3-3. 設 定 の 確 認 show running-config で 設 定 を 確 認 できます 下 記 のコマンドが 表 示 されているかご 確 認 ください! no spanning-tree rstp enable! interface eth1 encapsulation ppp 0! interface vlan1 ip address /24! interface ppp0 keepalive ppp username ppp password isppasswda ip address /32 ip tcp adjust-mss pmtu! zone private network lan ip subnet /16 ip subnet /24 ip subnet /30 ip subnet /30! zone public network wan ip subnet /0 interface ppp0 host ppp0 ip address ! application esp protocol 50! application isakmp protocol udp sport 500 dport 500! application nat-t protocol udp sport 4500 dport 4500! firewall rule 10 permit isakmp from public.wan.ppp0 to public.wan rule 20 permit isakmp from public.wan to public.wan.ppp0 rule 30 permit nat-t from public.wan.ppp0 to public.wan rule 40 permit nat-t from public.wan to public.wan.ppp0 rule 50 permit esp from public.wan.ppp0 to public.wan rule 60 permit esp from public.wan to public.wan.ppp0 rule 70 permit any from private to private rule 80 permit any from private to public protect! nat rule 10 masq any from private to public enable 各 コマンドの 詳 細 は コマンドリファレンスを 参 照 ください 31

32 入 力 コマンド 一 覧 (2) 3-3. 設 定 の 確 認! crypto ipsec profile AWS-ipsec lifetime seconds 3600 pfs 2 transform 1 protocol esp integrity SHA1 encryption AES128! crypto isakmp profile AWS-isakmp version 1 mode main lifetime transform 1 integrity SHA1 encryption AES128 group 2! interface tunnel0 mtu 1436 tunnel source ppp0 tunnel destination tunnel protection ipsec profile AWS-ipsec tunnel mode ipsec ipv4 ip address /30 ip tcp adjust-mss 1387 shutdown! interface tunnel1 mtu 1436 tunnel source ppp0 tunnel destination tunnel protection ipsec profile AWS-ipsec tunnel mode ipsec ipv4 ip address /30 ip tcp adjust-mss 1387! ping-poll 1 ip normal-interval 25 active! trigger 1 type ping-poll 1 down script 1 flash:/tunnel0_down.scp trigger 2 type ping-poll 1 up script 1 flash:/tunnel0_up.scp! ip route /0 ppp0 ip route /16 tunnel0 ip route /16 tunnel1 10 ip route /16 Null 254! end! 各 コマンドの 詳 細 は コマンドリファレンスを 参 照 ください 32

33 4. 動 作 確 認 33

34 4-1. IPsecの 確 認 ISAKMP SAの 確 立 状 態 下 記 コマンドを 実 行 し ISAKMP SAの 確 立 状 態 がEstablishであることを 確 認 します awplus# show isakmp sa Peer Cookies (initiator:responder) Auth Ver Expires Encryption Integrity Group DPD NATT State b697098bef5e159d:d53526e718174b9b PSK s AES128 SHA1 2 yes yes Established dee3c6ff657f7ca:faae8592a PSK s AES128 SHA1 2 yes yes Established AR4050Sはトンネル 経 由 の 通 信 が 行 われないと トンネルの 接 続 を 開 始 しません そのため 上 記 のように 表 示 されない 場 合 は 一 度 AWSのTunnel peer IP address 宛 に pingを 実 行 してみてください それでも 上 記 のように 表 示 されない 場 合 は ISAKMP SAの 確 立 に 失 敗 しています Preshared keyやisakmpポリシー ISAKMP proposalが 正 しく 設 定 されているか ご 確 認 ください 34

35 4-1. IPsecの 確 認 IPsec SAの 確 立 状 態 下 記 コマンドを 実 行 し IPsec SAが 確 立 されていることを 確 認 します awplus#show ipsec sa Peer SPI (in:out) Mode Proto Expires Encryption Integrity PFS cabf7c72:30b110cf tunnel ESP 2170s AES128 SHA c :a1e6e6b8 tunnel ESP 231s AES128 SHA1 2 上 記 のように 表 示 されない 場 合 は IPsec SAの 確 立 に 失 敗 しています IPsecポリシー IPsec proposalが 正 しく 設 定 されているかご 確 認 ください 35

36 4-2. AWSの 確 認 メニューバーの VPN Connection 内 の Tunnel Details タブを 選 択 し 両 方 のトンネ ルのStatusが UP になっていることを 確 認 してください 36

37 4-3. 通 信 の 確 認 Amazon EC2と 通 信 ができることを 確 認 します Amazon EC2の 作 成 方 法 については AWSの 技 術 資 料 をご 参 照 ください Amazon EC2のIPアドレス( 本 例 では )に 対 してpingが 通 ることを 確 認 します ルーター 上 でpingを 実 行 する 際 は パケットがファイアウォールによって 破 棄 されないよう 始 点 IPアドレスを 指 定 してください awplus# ping source PING ( ) from : 56(84) bytes of data. 64 bytes from : icmp_req=1 ttl=127 time=6.38 ms 64 bytes from : icmp_req=2 ttl=127 time=5.90 ms 64 bytes from : icmp_req=3 ttl=127 time=6.47 ms 64 bytes from : icmp_req=4 ttl=127 time=6.16 ms 64 bytes from : icmp_req=5 ttl=127 time=6.10 ms ping statistics packets transmitted, 5 received, 0% packet loss, time 4005ms rtt min/avg/max/mdev = 5.906/6.207/6.471/0.214 ms 37

38 4-5. 経 路 冗 長 の 確 認 ( 参 考 ) Amazon VPCのゲートウェイの 一 方 がダウンしたときの 経 路 の 冗 長 性 を 確 認 します 実 際 のゲートウェイのダウンを 待 つことはできないので ここではtunnel 0を 通 る パケットを 強 制 的 にフィルタリングすることで 障 害 をシミュレートします ファイアウォールの 設 定 を 終 了 したら ファイアウォールのセッションテーブルのクリアを 行 って ください awplus(config)#zone AWS awplus(config-zone)#network gateway1 awplus(config-network)# ip subnet /32 awplus(config)#firewall awplus(config-firewall)#rule 1 deny any from AWS.gateway1 to public.wan.ppp0 awplus(config-firewall)#rule 2 deny any from public.wan.ppp0 to AWS.gateway1 awplus# awplus#clear firewall connections 赤 字 には Amazon VPC Gateway address(1) のアドレスを 入 力 ください 38

39 4-4. 経 路 冗 長 の 確 認 ( 参 考 ) しばらく 待 つとtunnel 0のIPsecが 切 断 され 経 路 がtunnel 1に 切 替 ります 下 記 コマンドで 経 路 の 切 り 替 わりを 確 認 してください awplus# show ip route Codes: C - connected, S - static, R - RIP, B - BGP O - OSPF, D - DHCP, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2 * - candidate default Gateway of last resort is to network S* /0 [1/0] is directly connected, ppp0 S /16 [10/0] is directly connected, tunnel1 C /30 is directly connected, tunnel1 C /30 is directly connected, tunnel0 C /24 is directly connected, vlan1 39

40 4-4. 経 路 冗 長 の 確 認 ( 参 考 ) この 状 態 でAmazon EC2に 対 してpingが 通 ることを 確 認 します awplus# ping source PING ( ) from : 56(84) bytes of data. 64 bytes from : icmp_req=1 ttl=127 time=6.59 ms 64 bytes from : icmp_req=2 ttl=127 time=6.32 ms 64 bytes from : icmp_req=3 ttl=127 time=6.04 ms 64 bytes from : icmp_req=4 ttl=127 time=6.14 ms 64 bytes from : icmp_req=5 ttl=127 time=6.13 ms ping statistics packets transmitted, 5 received, 0% packet loss, time 4005ms rtt min/avg/max/mdev = 6.042/6.247/6.591/0.201 ms 40

41 4-4. 経 路 冗 長 の 確 認 ( 参 考 ) 経 路 の 切 り 替 わりを 確 認 したら 先 ほどのフィルタリングを 消 去 します awplus#configure terminal Enter configuration commands, one per line. End with CNTL/Z. awplus(config)#firewall awplus(config-firewall)#no rule 1 awplus(config-firewall)#no rule 2 しばらく 待 つと 経 路 が 再 びtunnel 0に 切 り 戻 りますので show ip route で ご 確 認 ください 41

42 社 会 品 質 を 創 る アライドテレシス