ポリシーベースIPsec(トンネルモード)の設定例1:ネットワーク対ネットワークのVPN

ネットワーク対ネットワークのIPsec-VPNを構築する基本的な設定手順を説明します。

トンネルモードのIPsecは、IPsecによる拠点間VPNの基本的な手法です。

ここでは、次のような構成のネットワークを前提に説明します。

1: 構成イメージ
表 1. ネットワーク情報ローカル側
項目 備考
接続IPアドレス 10.0.1.1 VPNの始点となるIPアドレス
ネットワークアドレス 192.168.1.0/24 VPN通信の送信元となるネットワーク
表 2. ネットワーク情報リモート側
項目 備考
接続IPアドレス 10.0.2.1 VPNの終点となるIPアドレス
ネットワークアドレス 192.168.2.0/24 VPN通信の送信先となるネットワーク
  • VPN装置となるSEILはいずれもIPアドレスが固定で割り当てられているものとします。
  • 互いの接続IPアドレスへの疎通が取れる状態であれば、WAN側ネットワークへの接続方式は問いません(インターネット接続である必要はありません)。
IKEプロポーザル・IPsec-SAプロポーザルの設定
  1. 設定パラメータを用意する
    表 3. 暗号パラメータの例
    項目 備考
    IKE:暗号アルゴリズム(encryption) AES(aes)
    IKE:ハッシュアルゴリズム(hash) SHA-1(sha1)
    IKE:DHグループ(dh-group) 1024ビットMODP DHグループ(modp1024)
    IKE:ライフタイム(lifetime-of-time) 12時間(12h)
    IPsec:暗号アルゴリズム(encryption-algorithm) AES(aes)
    IPsec:認証アルゴリズム(authentication-algorithm) HMAC-SHA1(hmac-sha1)
    IPsec:PFSグループ(pfs-group) 1024ビットMODP DHグループ(modp1024)
    IPsec:ライフタイム(lifetime-of-time) 6時間(6h)
  2. IKEプロポーザルの設定
    # ike proposal add IKEP01 encryption aes hash sha1
      authentication preshared-key dh-group modp1024 lifetime-of-time 12h
    #
    • VPNを構成する各SEILに共通のパラメータを設定します。
  3. IPsec-SAプロポーザルの設定
    # ipsec security-association proposal add SAP01 pfs-group modp1024
      authentication-algorithm hmac-sha1 encryption-algorithm aes lifetime-of-time 6h
    #
    • VPNを構成する各SEILに共通のパラメータを設定します。
IKE事前共有鍵・IKEピアの設定
  1. 設定パラメータを用意する
    表 4. 用意する設定パラメータの例
    項目 備考
    始点IPアドレス 10.0.1.1 設定対象(ローカル側)の接続IPアドレス
    終点IPアドレス 10.0.2.1 対向装置(リモート側)の接続IPアドレス
    事前共有鍵(preshared-key) opensesame 任意文字列
    IKE:鍵交換モード(exchange-mode) main メインモード
    使用するIKEプロポーザル IKEP01 設定済みの識別子
  2. IKE事前共有鍵の設定
    # ike preshared-key add "10.0.2.1" "opensesame"
    #
    • IKE事前共有鍵は、対向同士で共通の文字列を指定します。 また、鍵交換モードにメインモードを使用するため、事前共有鍵の識別子は、対向装置のIPアドレスを使用します。
    注:
    • 対向装置を設定する際はIPアドレスを読み替えてください。
  3. IKEピアの設定
    # ike peer add PEER01 address 10.0.2.1 exchange-mode main proposals IKEP01
      my-identifier address peers-identifier address initial-contact enable
    # ike auto-initiation enable
    #
    • メインモードでは、相互のIPアドレスを識別に使用します。
    • initial-contact、及び auto-initiation を有効(enable)にすることにより、再起動後などの再折衝が円滑になります。
    注:
    • 対向装置を設定する際はIPアドレスを読み替えてください。
IPsec-SAの設定
  1. 設定パラメータを用意する
    表 5. 用意する設定パラメータの例
    項目 備考
    始点IPアドレス 10.0.1.1 設定対象(ローカル側)の接続IPアドレス
    終点IPアドレス 10.0.2.1 対向装置(リモート側)の接続IPアドレス
    使用するプロトコル ESP
    使用するIPsec-SAプロポーザル SAP01 設定済みの識別子
  2. IPsecセキュリティアソシエーションを設定する
    # ipsec security-association add SA01 tunnel 10.0.1.1 10.0.2.1 ike SAP01 esp enable
    #
    注:
    • 対向装置を設定する際はIPアドレスを読み替えてください。
IPsec-SPの設定
  1. 設定パラメータを用意する
    表 6. 用意する設定パラメータの例
    項目 備考
    ローカルネットワークアドレス 192.168.1.0/24
    リモートネットワークアドレス 192.168.2.0/24
    使用するIPsec-SA SA01 設定済みの識別子
  2. IPsecセキュリティポリシーを設定する
    # ipsec security-policy add SP01 security-association SA01 src 192.168.1.0/24 dst 192.168.2.0/24
    #
    注:
    • 対向装置を設定する際はネットワークアドレスを読み替えてください。

以上で設定は終了です。

  • IPsec接続は自動的に開始します。
  • IPsec-SPにマッチするネットワーク間の通信は自動的に暗号化され、リモート側ネットワークへ送信されます。