ポリシーベースIPsec(トランスポートモード)の設定例

IPsecをTransport-modeで使用し、端末(SEIL)間の通信を保護する手順を説明します。

IPsecのトランスポートモードは本来1対1の端末同士の通信を保護するモードですが、 L2TPv3やIP-IPトンネルといった通信内容の保護機能を持たないVPN機能と併用することで、 ネットワーク間の通信の安全性を高めるために応用することができます。

注: IP-IPトンネル+IPsecトランスポートモードの組み合わせについては、 ルーティングベースIPsec(IPsecインタフェース)を使用するVPN設定がより簡便です。対向装置の実装状況により使い分けてください。

ここでは、次のような構成のネットワークを前提に説明します。

図: 構成イメージ

表 1. ネットワーク情報. ローカル側
項目 備考
接続IPアドレス 10.0.1.1 VPNの始点となるIPアドレス
表 2. ネットワーク情報. リモート側
項目 備考
接続IPアドレス 10.0.2.1 VPNの終点となるIPアドレス

IKEプロポーザル・IPsec-SAプロポーザルの設定

  1. 設定パラメータを用意する
    表 3. 暗号パラメータの例
    項目 備考
    IKE:暗号アルゴリズム(encryption) AES(aes)  
    IKE:ハッシュアルゴリズム(hash) SHA-1(sha1)  
    IKE:DHグループ(dh-group) 1024ビットMODP DHグループ(modp1024)  
    IKE:ライフタイム(lifetime-of-time) 12時間(12h)  
    IKE:鍵交換モード(exchange-mode) メインモード(main)  
    IPsec:暗号アルゴリズム(encryption-algorithm) AES(aes)  
    IPsec:認証アルゴリズム(authentication-algorithm) HMAC-SHA1(hmac-sha1)  
    IPsec:PFSグループ(pfs-group) 1024ビットMODP DHグループ(modp1024)  
    IPsec:ライフタイム(lifetime-of-time) 6時間(6h)  
  2. IKEプロポーザルの設定
    # ike proposal add IKEP01 encryption aes hash sha1
      authentication preshared-key dh-group modp1024 lifetime-of-time 12h
    #
    • VPNを構成する各SEILに共通のパラメータを設定します。
  3. IPsec-SAプロポーザルの設定
    # ipsec security-association proposal add SAP01 pfs-group modp1024
      authentication-algorithm hmac-sha1 encryption-algorithm aes lifetime-of-time 6h
    #
    • VPNを構成する各SEILに共通のパラメータを設定します。

IKE事前共有鍵・IKEピアの設定

  1. 設定パラメータを用意する
    表 4. 用意する設定パラメータの例
    項目 備考
    始点IPアドレス 10.0.1.1 設定対象(ローカル側)の接続IPアドレス
    終点IPアドレス 10.0.2.1 対向装置(リモート側)の接続IPアドレス
    事前共有鍵(preshared-key) opensesame 任意文字列
    使用するIKEプロポーザル IKEP01 設定済みの識別子
  2. IKE事前共有鍵の設定
    # ike preshared-key add "10.0.2.1" "opensesame"
    #
    • IKE事前共有鍵は、対向同士で共通の文字列を指定します。 また、鍵交換モードにメインモードを使用するため、事前共有鍵の識別子は、対向装置のIPアドレスを使用します。
    注:
    • 対向装置を設定する際はIPアドレスを読み替えてください。
  3. IKEピアの設定
    # ike peer add PEER01 address 10.0.2.1 exchange-mode main proposals IKEP01
      my-identifier address peers-identifier address initial-contact enable
    # ike auto-initiation enable
    #
    • メインモードでは、相互のIPアドレスを識別に使用します。
    • initial-contact、及び auto-initiation を有効(enable)にすることにより、再起動後などの再折衝が円滑になります。
    注:
    • 対向装置を設定する際はIPアドレスを読み替えてください。

IPsec-SA・IPsec-SPの設定

  1. 設定パラメータを用意する
    表 5. 用意する設定パラメータの例
    項目 備考
    始点IPアドレス 10.0.1.1 設定対象(ローカル側)の接続IPアドレス
    終点IPアドレス 10.0.2.1 対向装置(リモート側)の接続IPアドレス
    使用するプロトコル ESP  
    使用するIPsec-SAプロポーザル SAP01 設定済みの識別子
  2. IPsecセキュリティアソシエーションを設定する
    # ipsec security-association add SA01 transport 10.0.1.1 10.0.2.1 ike SAP01 esp enable
    #
    注:
    • 対向装置を設定する際はIPアドレスを読み替えてください。
  3. IPsecセキュリティポリシーを設定する
    # ipsec security-policy add SP01 security-association SA01 src 10.0.1.1/32 dst 10.0.2.1/32
    #
    • トランスポートモードでは、VPN装置同士の通信のみ暗号化対象とします。
    注:
    • 対向装置を設定する際はネットワークアドレスを読み替えてください。

以上で設定は終了です。