<前頁 次頁> << >> 目次 (番号順 (詳細)回線別 (詳細)機能別 (詳細)

CentreCOM AR570S 設定例集 2.9 #150

2点間IPv6 IPsec VPN基本設定(自動鍵、両側アドレス固定、インターネットアクセスなし)


インターネット上に暗号化されたトンネルを張り、2つの拠点をIPv6接続するIPsec VPNの設定例です(自動鍵管理)。両側のルーターにグローバルアドレスが固定的に設定されている場合の基本設定です。なお、この例ではIPsecの基本設定を示すため、各拠点からインターネットへのアクセスについては考慮していません。

ここでは、次のようなネットワーク構成を例に解説します。



表 1
 
ルーターA
ルーターB
WAN側物理インターフェース eth0 eth0
WAN側(eth0)IPアドレス 1234::1/64 1234::2/64
LAN側(vlan1)IPアドレス 3ffe::1/64 2000::1/64


表 2:IKEフェーズ1(ISAKMP SAのネゴシエーション)
ルーター間の認証方式 事前共有鍵(pre-shared key)
IKE交換モード Mainモード
事前共有鍵 secret(文字列)
Oakleyグループ 1(デフォルト)
ISAKMPメッセージの暗号化方式 DES(デフォルト)
ISAKMPメッセージの認証方式 SHA1(デフォルト)
ISAKMP SAの有効期限(時間) 86400秒(24時間)(デフォルト)
ISAKMP SAの有効期限(KByte数) なし(デフォルト)
起動時のISAKMPネゴシエーション 行わない


表 3:IKEフェーズ2(IPsec SAのネゴシエーション)
SAモード トンネルモード
セキュリティープロトコル ESP(暗号化+認証)
暗号化方式 DES
認証方式 SHA1
IPsec SAの有効期限(時間) 28800秒(8時間)(デフォルト)
IPsec SAの有効期限(KByte数) なし(デフォルト)
トンネリング対象IPアドレス 3ffe::0/64 ←→ 2000::0/64
トンネル終端アドレス 1234::1/64(A)・1234::2/64(B)
インターネットとの平文通信 行わない



ルーターAの設定

  1. セキュリティーモードで各種設定を行うことのできるSecurity Officerレベルのユーザー「secoff」を作成します。パスワードは「PasswordS」とします。


    Note - Security Officerレベルのユーザーを作成しておかないと、セキュリティーモードに移行できませんのでご注意ください。

  2. IPv6モジュールを有効にします。


  3. LAN側(vlan1)インターフェースにIPアドレスを設定します。また、ネットワーク内にルーター通知にてプレフィックスを通知するため、「PUBLISH=yes」とします。


  4. WAN側(eth0)インターフェースにIPアドレスを設定します。


  5. デフォルトルートを設定します。


  6. ルーター通知(RA)を有効にします。


  7. ISAKMP用の事前共有鍵(pre-shared key)を作成します。ここでは鍵番号を「1」番とし、鍵の値は「secret」という文字列で指定します(ルーターBと同じに設定)。


    Note - CREATE ENCO KEYコマンドは、コンソール上でログインしている場合のみ有効なコマンドです。そのため、EDITコマンド(内蔵スクリーンエディター)などで設定スクリプトファイル(.CFG)にこのコマンドを記述しても無効になりますのでご注意ください。

    Note - CREATE ENCO KEYコマンドで作成された鍵は、ノーマルモードでは、ルーターの再起動によって消去されます。暗号鍵を使用する場合は、必ずセキュリティーモードに移行して鍵が保存されるようにしてください。

  8. ルーターBとのIKEネゴシエーション要求を受け入れるISAKMPポリシー「isakmp」を作成します。KEYには、前の手順で作成した事前共有鍵(鍵番号「1」)を、PEERには対向ルーターのIPアドレスを指定します。また、対象のIPVERSIONを6にします。


  9. IPsec通信の仕様を定義するSAスペック「1」を作成します。トンネルモード(デフォルト)、鍵管理方式「ISAKMP」、プロトコル「ESP」、暗号化方式「DES」、認証方式「SHA」に設定します。


  10. SAスペック「1」だけからなるSAバンドルスペック「1」を作成します。鍵管理方式は「ISAKMP」を指定します。


  11. ISAKMPメッセージを素通しさせるIPsecポリシー「isakmp_mes」を作成します。ポリシーの適用対象を、ローカルの500番ポートからリモートの500番ポート宛のUDPパケット(ISAKMP)に設定します。またIPVERSIONを6にします。


    Note - ISAKMPを使用する場合は、必ず最初のIPsecポリシーでISAKMPメッセージが通過できるような設定を行ってください。「IPsecポリシー」は設定順に検索され、最初にマッチしたものが適用されるため、設定順序には注意が必要です。検索順はSHOW IPSEC POLICYコマンドで確認できます。また、検索順を変更するには、SET IPSEC POLICYコマンドのPOSITIONパラメーターを使用します。

  12. 実際のIPsec通信に使用するIPsecポリシー「ipsec_sa」を、インターフェース「eth0」に対して作成します。鍵管理方式には「ISAKMP」を、PEERには対向ルーターのIPアドレスを、BUNDLEには該当パケットに適用するSAバンドルスペックの番号を指定します。また、IPVERSIONには6を設定します。


  13. IPsecポリシー「ipsec_sa」に対して実際にIPsec通信を行うIPアドレスの範囲を指定します。コマンドが長くなるため、できるだけ省略形を用いてください。


  14. IPv6の近隣探索(NeighborDiscovery)に使用するICMPを素通しさせるIPsecポリシー「icmp_nd」を作成します。


  15. IPsecモジュールを有効にします。


  16. ISAKMPモジュールを有効にします。


  17. Security Officerレベルのユーザーでログインしなおします。


  18. 動作モードをセキュリティーモードに切り替えます。


    Note - セキュリティーモードでは、Security OfficerレベルでのTelnetログインが原則として禁止されています。セキュリティーモードにおいて、Security OfficerレベルでTelnetログインしたい場合は、あらかじめRSO(Remote Security Officer)の設定を行っておいてください(本章末尾のメモを参照)。

  19. 設定は以上です。設定内容をファイルに保存し、SET CONFIGコマンドで起動時設定ファイルに指定します。


ルーターBの設定

  1. セキュリティーモードで各種設定を行うことのできるSecurity Officerレベルのユーザー「secoff」を作成します。パスワードは「PasswordS」とします。


    Note - Security Officerレベルのユーザーを作成しておかないと、セキュリティーモードに移行できませんのでご注意ください。

  2. IPv6モジュールを有効にします。


  3. LAN側(vlan1)インターフェースにIPアドレスを設定します。また、ネットワーク内にルーター通知にてプレフィックスを通知するため、「PUBLISH=yes」とします。


  4. WAN側(eth0)インターフェースにIPアドレスを設定します。


  5. デフォルトルートを設定します。


  6. ルーター通知(RA)を有効にします。


  7. ISAKMP用の事前共有鍵(pre-shared key)を作成します。ここでは鍵番号を「1」番とし、鍵の値は「secret」という文字列で指定します(ルーターAと同じに設定)。


    Note - CREATE ENCO KEYコマンドは、コンソール上でログインしている場合のみ有効なコマンドです。そのため、EDITコマンド(内蔵スクリーンエディター)などで設定スクリプトファイル(.CFG)にこのコマンドを記述しても無効になりますのでご注意ください。

    Note - CREATE ENCO KEYコマンドで作成された鍵は、ノーマルモードでは、ルーターの再起動によって消去されます。暗号鍵を使用する場合は、必ずセキュリティーモードに移行して鍵が保存されるようにしてください。

  8. ルーターAとのIKEネゴシエーション要求を受け入れるISAKMPポリシー「isakmp」を作成します。KEYには、前の手順で作成した事前共有鍵(鍵番号「1」)を、PEERには対向ルーターのIPアドレスを指定します。また、対象のIPVERSIONを6にします。


  9. IPsec通信の仕様を定義するSAスペック「1」を作成します。トンネルモード(デフォルト)、鍵管理方式「ISAKMP」、プロトコル「ESP」、暗号化方式「DES」、認証方式「SHA」に設定します。


  10. SAスペック「1」だけからなるSAバンドルスペック「1」を作成します。鍵管理方式は「ISAKMP」を指定します。


  11. ISAKMPメッセージを素通しさせるIPsecポリシー「isakmp_mes」を作成します。ポリシーの適用対象を、ローカルの500番ポートからリモートの500番ポート宛のUDPパケット(ISAKMP)に設定します。またIPVERSIONを6にします。


    Note - ISAKMPを使用する場合は、必ず最初のIPsecポリシーでISAKMPメッセージが通過できるような設定を行ってください。「IPsecポリシー」は設定順に検索され、最初にマッチしたものが適用されるため、設定順序には注意が必要です。検索順はSHOW IPSEC POLICYコマンドで確認できます。また、検索順を変更するには、SET IPSEC POLICYコマンドのPOSITIONパラメーターを使用します。

  12. 実際のIPsec通信に使用するIPsecポリシー「ipsec_sa」を、インターフェース「eth0」に対して作成します。鍵管理方式には「ISAKMP」を、PEERには対向ルーターのIPアドレスを、BUNDLEには該当パケットに適用するSAバンドルスペックの番号を指定します。また、IPVERSIONには6を設定します。


  13. IPsecポリシー「ipsec_sa」に対して実際にIPsec通信を行うIPアドレスの範囲を指定します。コマンドが長くなるため、できるだけ省略形を用いてください。


  14. IPv6の近隣探索(NeighborDiscovery)に使用するICMPを素通しさせるIPsecポリシー「icmp_nd」を作成します。


  15. IPsecモジュールを有効にします。


  16. ISAKMPモジュールを有効にします。


  17. Security Officerレベルのユーザーでログインしなおします。


  18. 動作モードをセキュリティーモードに切り替えます。


    Note - セキュリティーモードでは、Security OfficerレベルでのTelnetログインが原則として禁止されています。セキュリティーモードにおいて、Security OfficerレベルでTelnetログインしたい場合は、あらかじめRSO(Remote Security Officer)の設定を行っておいてください(本章末尾のメモを参照)。

  19. 設定は以上です。設定内容をファイルに保存し、SET CONFIGコマンドで起動時設定ファイルに指定します。


メモ

■ セキュリティーモードに移行すると、Security OfficerレベルでルーターにTelnetログインすることができなくなります。セキュリティーモードにおいて、Security OfficerレベルでTelnetログインしたい場合は、あらかじめRSO(Remote Security Officer)コマンドを使ってログインを許可するホストのIPアドレスを指定しておく必要があります。

たとえば、ネットワーク3ffe::0/64上のすべてのホストからSecurity OfficerレベルでのTelnetログインを許可する場合は、次のようにします。


■ セキュリティーモードでは、たとえSecurity Officerでログインした場合であっても、セキュリティーコマンドを一定期間入力しないでいると、次回セキュリティーコマンドを入力したときにパスワードの再入力を求められます。このタイムアウト値は、下記コマンドによって変更できますが、IPsecの設定を行うときは、ノーマルモードで設定を行った後、セキュリティーモードに変更することをおすすめします。


■ セキュリティー関連コマンドのタイムアウトは、次のコマンドで変更できます。SECUREDELAYパラメーターには、10〜3600(秒)を指定します。デフォルトは60秒です。

まとめ

ルーターAのコンフィグ [テキスト版]
* 「#」で始まる行は、コンソールから入力しないと意味を持たないコマンドか、設定ファイル(.cfg)に記述しても無効なコマンドを示しています。詳細は本文の説明をご覧ください。
ADD USER=secoff PASSWORD=PasswordS PRIVILEGE=SECURITYOFFICER
ENABLE IPV6
ADD IPV6 INT=vlan1 IP=3ffe::1/64 PUBLISH=yes
ADD IPV6 INT=eth0 IP=1234::1/64
ADD IPV6 ROUTE=::/0 INT=eth0 NEXT=1234::2
ENABLE IPV6 ADVERTISE
# CREATE ENCO KEY=1 TYPE=GENERAL VALUE="secret"
CREATE ISAKMP POLICY=isakmp PEER=1234::2 KEY=1 IPVERSION=6
CREATE IPSEC SASPEC=1 KEYMAN=ISAKMP PROTOCOL=ESP ENCALG=DES HASHALG=SHA
CREATE IPSEC BUNDLE=1 KEYMAN=ISAKMP STRING="1"
CREATE IPSEC POLICY="isakmp_mes" INT=eth0 ACTION=PERMIT LPORT=500 RPORT=500 TRANSPORT=UDP IPVERSION=6
CREATE IPSEC POLICY="ipsec_sa" INT=eth0 ACTION=IPSEC KEYMAN=ISAKMP BUNDLE=1 PEER=1234::2 IPVERSION=6
SET IPSEC POLICY="ipsec_sa" LAD=3ffe::/64 RAD=2000::/64
CREATE IPSEC POLICY="icmp_nd" INT=eth0 ACTION=permit IPVERSION=6 ICMPTYPE=NDALL
ENABLE IPSEC
ENABLE ISAKMP
# LOGIN secoff
# ENABLE SYSTEM SECURITY_MODE


ルーターBのコンフィグ [テキスト版]
* 「#」で始まる行は、コンソールから入力しないと意味を持たないコマンドか、設定ファイル(.cfg)に記述しても無効なコマンドを示しています。詳細は本文の説明をご覧ください。
ADD USER=secoff PASSWORD=PasswordS PRIVILEGE=SECURITYOFFICER
ENABLE IPV6
ADD IPV6 INT=vlan1 IP=2000::1/64 PUBLISH=yes
ADD IPV6 INT=eth0 IP=1234::2/64
ADD IPV6 ROUTE=::/0 INT=eth0 NEXT=1234::1
ENABLE IPV6 ADVERTISE
# CREATE ENCO KEY=1 TYPE=GENERAL VALUE="secret"
CREATE ISAKMP POLICY=isakmp PEER=1234::1 KEY=1 IPVERSION=6
CREATE IPSEC SASPEC=1 KEYMAN=ISAKMP PROTOCOL=ESP ENCALG=DES HASHALG=SHA
CREATE IPSEC BUNDLE=1 KEYMAN=ISAKMP STRING="1"
CREATE IPSEC POLICY="isakmp_mes" INT=eth0 ACTION=PERMIT LPORT=500 RPORT=500 TRANSPORT=UDP IPVERSION=6
CREATE IPSEC POLICY="ipsec_sa" INT=eth0 ACTION=IPSEC KEYMAN=ISAKMP BUNDLE=1 PEER=1234::1 IPVERSION=6
SET IPSEC POLICY="ipsec_sa" LAD=2000::/64 RAD=3ffe::/64
CREATE IPSEC POLICY="icmp_nd" INT=eth0 ACTION=permit IPVERSION=6 ICMPTYPE=NDALL
ENABLE IPSEC
ENABLE ISAKMP
# LOGIN secoff
# ENABLE SYSTEM SECURITY_MODE





CentreCOM AR570S 設定例集 2.9 #150

(C) 2006-2013 アライドテレシスホールディングス株式会社

PN: 613-000274 Rev.N

<前頁 次頁> << >> 目次 (番号順 (詳細)回線別 (詳細)機能別 (詳細)