# VPN / トンネルインターフェース

トンネルインターフェースは、パブリックネットワーク上にプライベートネットワークのトラフィックを通す、いわゆるVPN（Virtual Private Network）を構成するときに使う仮想的なインターフェースです。
トンネルインターフェースでは、IPv4/IPv6パケット（デリバリーパケット）のデータ部分に別プロトコルのパケット（ペイロードパケット）を格納して送信し、受信時にはデリバリーパケットのデータ部分からペイロードパケットを取り出して処理（転送など）を行います。この動作をトンネリングと呼びます。
トンネリングに使う仮想インターフェースをトンネルインターフェースと呼び、インターフェース名として「tunnelX」を使います（X = 0～999）。
本製品はパブリッククラウドサービス上で使用することが可能ですが、その場合にパブリッククラウドサービスが提供するVPNゲートウェイを介さず、ユーザーネットワークと本製品を直接VPN接続するための機能として、以下のトンネリング方式（VPNプロトコル）をサポートしています。また、これらの機能は本製品を仮想化環境（vSphere/XenServer/Hyper-V）上で直接実行する場合にも使用可能です。

- IPsec
- L2TPv3

これらは、弊社 AlliedWare Plus ルーター製品（AR4050Sなど）に実装されているのと同等の機能を提供します。

## トンネルインターフェースの作成

グローバルコンフィグモードのinterfaceコマンドでインターフェース名「tunnelX」を指定したとき、該当インターフェースが存在していなければトンネルインターフェースが新規に作成され、該当トンネルインターフェースの設定を行うためのインターフェースモードに移動します。

    awplus(config)# interface tunnel0
    awplus(config-if)#

なお、同コマンドでトンネルインターフェースを作成したら、下記のコマンドでトンネルの種類（動作モード）を指定し、その後トンネル種類に応じた必須および任意の設定を行います。

トンネルインターフェースの種類 | 動作モード設定コマンド
IPsecトンネルインターフェース | tunnel mode ipsec
L2TPv3トンネルインターフェース | tunnel mode l2tp v3

作成したトンネルインターフェースを利用して、対向装置との間にトンネルを張るための設定や、トンネルインターフェースへのアドレス設定や経路設定など、ネットワーク構成に依存する部分については、トンネル種別ごとに設けられた下記の解説編やその他のページをご覧ください。

- IPsecトンネルインターフェースの具体的な使用方法については、「VPN」/「IPsec」をご覧ください。
- L2TPv3トンネルインターフェースの具体的な使用方法については、「VPN」/「L2TPv3」をご覧ください。
- パブリッククラウド環境におけるVPN機能の具体的な設定方法については、「インストールガイド」/「アマゾン ウェブ サービス（AWS）編」、「インストールガイド」/「Microsoft Azure編」、「AMF」/「応用」をご覧ください。
- インターフェース全般については「インターフェース」の「一般設定」をご覧ください。

## トンネルインターフェースがUPになる条件

トンネルインターフェースの状態はshow ip interfaceコマンドで確認できます。
トンネルインターフェースに必要な設定が行われていれば、対向装置と通信が確立できているかどうかに関係なく状態はUP（running）となります。
Note

例外として、IPsecトンネルインターフェースに tunnel oper-status-control ipsec が設定されている場合は、IPsec SAが確立していれば UP、していなければ DOWN となります。また、このように設定されたIPsecトンネルインターフェースは、通信の有無に関係なく常時 IPsec SA を確立して維持しようとする動作になります。

以下、UPとなるために必要な設定です。

- 有効なtunnel source
  IPアドレスまたはインターフェース。インターフェースには有効なIPアドレスが設定されていること。
- 有効なtunnel destination
  IPアドレスまたはホスト名。
  - tunnel destinationでIPアドレスを指定した場合：つねに有効。
  - tunnel destinationでホスト名を指定した場合：名前解決によりホスト名をIPアドレスに変換できれば有効。
  - tunnel destinationでdynamicを指定した場合：tunnel remote nameの設定が必要。このケースでUPとなるのは実際に接続が行われ対向装置のIPアドレスを学習した時。
- 正しいtunnel mode
  指定した動作モード（トンネリング方式）に必要な設定がされていること。
  必須設定は各方式の解説ページを参照。
  - tunnel mode ipsec → 「VPN」/「IPsec」
  - tunnel mode l2tp v3 → 「VPN」/「L2TPv3」