＜前頁 次頁＞ ＜＜ ＞＞ ↓ 目次 （番号順 (詳細)・ 回線別 (詳細)・ 機能別 (詳細)）

IPsecパススルー機能

IPsecパススルー機能とは、NAT機器配下にあるIPsec端末が、NAT機器の先にあるIPsec端末とIPsec通信ができるようにするための機能です。この例では、接続時にアドレスを1つ割り当てられる端末型の基本的な構成でIPsecパススルー機能を使用します。また、LAN側クライアントの設定を簡単にするため、DNSリレー（プロキシーDNS）とDHCPサーバーも利用します。

表 1：ISPから提供された情報

PPPユーザー名	user@isp
PPPパスワード	isppasswd
PPPoEサービス名	指定なし
IPアドレス	グローバルアドレス1個（動的割り当て）
DNSサーバー	接続時に通知される

表 2：ルーターの基本設定

WAN側物理インターフェース	gigabitEthernet 0
WAN側（gigabitEthernet 0.1）IPアドレス	接続時にISPから取得する
LAN側（vlan 1）IPアドレス	192.168.10.1/24
DHCPサーバー機能	有効

表 3：ルーターのDHCPサーバーの設定

使用期限	2（時間）
サブネットマスク	255.255.255.0
デフォルトゲートウェイ	192.168.10.1
DNSサーバー	192.168.10.1
提供するIPアドレスの範囲	192.168.10.100〜192.168.10.131（32個）

• 事前に購入時に含まれている初期設定を削除します（設定例1を参照してください）。
  
  
• ファイアウォール（アクセスリスト）を利用して、外部からの不正アクセスを遮断しつつ、内部からは自由にインターネットへのアクセスができるようにします。
  
  
• ダイナミックENAT（ダイナミックNAPT）機能を利用して、LAN側ネットワークのプライベートIPアドレスを、ISPから与えられたグローバルIPアドレスに変換します。これにより、LANに接続された複数のコンピューターからインターネットへの同時アクセスが可能になります。
  
  
• ルーターをDHCPサーバーとして動作させ、LANに接続されたコンピューターにIPアドレス、サブネットマスク、デフォルトゲートウェイ、DNSサーバーアドレスの情報を提供します。
  
  
• ルーターのDNSリレー機能をオンにして、LAN側コンピューターからのDNSリクエストを、ISPのDNSサーバーに転送します。上記DHCPサーバーの設定により、LAN側コンピューターに対しては、DNSサーバーアドレスとしてルーター自身のIPアドレスを教えます。
  
  
• IPsecパススルー機能を使用する場合に特別な設定はありません。ただしIPsecパススルー機能ではESPパケットの送信元/宛先IPアドレスとSPI値を元に組み合わせを推定しているため、LAN側のIPsec機器から通信が行われ、対向のIPsec機器からの対となる通信があった場合にトラフィックフィルターのキャッシュ情報が正常に登録され通信が可能となります。
  

ルーターの設定

1. ISPから通知されたPPPユーザー名やパスワード等のPPP設定情報を作成します。
   

   ppp profile pppoe0 ↓
    my-username user@isp password isppasswd ↓
       

   
   
2. WAN0インターフェース（gigabitEthernet 0）を有効にします。
   

   interface gigabitEthernet 0 ↓
    no shutdown ↓
       

   
   
3. WAN0インターフェース上にPPPoEインターフェース（gigabitEthernet 0.1）を作成し、インターフェースを使用できるようにします。
   接続時にIPアドレス割り当ての要求を行うように設定し、このインターフェース上で使用するPPP設定情報を括り付けます。
   また、LAN側ネットワークに接続されているすべてのコンピューターがENAT機能を使用できるよう設定します。
   外部からのアタック検出時やアタック発生中にパケットを破棄するように設定します。
   

   interface gigabitEthernet 0.1 ↓
    ip address ipcp ↓
    ip tcp mss auto ↓
    no shutdown ↓
    pppoe enable ↓
     ppp bind-profile pppoe0 ↓
    ip napt inside any ↓
    ip ids in protect ↓
       

   
   
4. LAN側インターフェース（vlan 1）にIPアドレスを設定します。
   

   interface vlan 1 ↓
    ip address 192.168.10.1/24 ↓
       

   
   
5. IPインターフェースがリンクダウンしているときでも、そのインターフェース宛の通信に応答できるように設定します。
   

   ip address-up-always ↓
       

   
   
6. デフォルトルートを設定します。
   

   ip route default gigabitEthernet 0.1 ↓
       

   
   
7. 外側からの通信を遮断しつつ、内側からの通信は自由に行えるようにするファイアウォール機能の設定をし、PPPoEインターフェース上に割り当てます。
   また、トラフィックフィルターのキャッシュ情報の生存時間は1200秒に設定します。
   

   access-list ip extended pppoe0-in ↓
   access-list ip extended pppoe0-out ↓
    dynamic permit ip any any ↓
   interface gigabitEthernet 0.1 ↓
    ip traffic-filter pppoe0-in in ↓
    ip traffic-filter pppoe0-out out ↓
   access-list ip cache timer timeout 1200 ↓
       

   
   
8. DNSリレー機能を有効にします。
   

   proxydns ip enable ↓
       

   
   
9. LAN側PCのためにDHCPサーバー機能を有効にします。
   DHCPクライアントに提供するIPアドレスの範囲、DHCPクライアントに提供する情報、IPアドレスの使用期限等を設定します。
   

   ip dhcp pool vlan 1 ↓
    range 192.168.10.100 192.168.10.131 ↓
    dns-server 192.168.10.1 ↓
    lease 0 2 0 ↓
    subnet prefix-length 24 ↓
   dhcp-server ip enable ↓
       

   
   
10. 設定は以上です。設定内容をstartup-configに保存します。
    

    copy running-config startup-config ↓
        

メモ

show ip traffic-filter cache ↓
    

• 対となるIPsec機器間の通信が行われた場合
  

  Router#show ip traffic-filter cache STATIC FILTER CACHE: DYNAMIC FILTER CACHE: Proto InsideAddress:Port Dir OutsideAddress:Port Interface esp 192.168.10.100:468966985 -> 192.168.2.100:1660538607 gigabitEthernet 0. 1 Router#

  
  
• LAN側のIPsec機器の通信のみが行われた場合（保留セッションの状態 *）
  

  Router#show ip traffic-filter cache STATIC FILTER CACHE: DYNAMIC FILTER CACHE: Proto InsideAddress:Port Dir OutsideAddress:Port Interface esp 192.168.10.100:468966985 -> 192.168.2.100:0 gigabitEthernet 0.1 Router#

  (*)LAN側のIPsec機器から通信が行われた際に登録されるトラフィックフィルターキャッシュ情報（対向のIPsec機器からの通信がない状態）
  

• 同一宛先の保留セッションが複数存在する場合
  

• パススルー対象のIPsec SAのLifetimeがトラフィックフィルターキャッシュ情報の生存時間よりも短い場合
  IPsec SAのRekey後に新しいSPIで通信を開始されると新しいトラフィックフィルターキャッシュ情報が登録されますが、不要になった古いキャッシュ情報もタイムアウトするまで保持されたままになります。SAのRekeyが頻繁に行われる環境では余分なキャッシュ情報が数多く存在することになる場合があります。
  
  
• パススルー対象のIPsec SAのLifetimeがトラフィックフィルターキャッシュ情報の生存時間よりも長い場合
  IPsec SAが存在していても無通信状態がキャッシュの生存時間以上続くとESPのキャッシュ情報は削除されます。このとき、LAN側からのESPパケットを受信しない限りWAN側からのESPパケットは破棄し続けます。
  

Note - キャッシュ情報の生存時間はaccess-list ip cache timerコマンドのtimeoutパラメーターで変更可能です。

まとめ

ルーターのコンフィグ

! service password-encryption ! clock timezone JST 9 ! ! ip address-up-always ppp profile pppoe0 my-username user@isp password 8 e$QNKMe2ohmPDFnghyVppETegAA ! interface gigabitEthernet 0 no shutdown ! interface gigabitEthernet 0.1 ip address ipcp ip tcp mss auto no shutdown pppoe enable ppp bind-profile pppoe0 ip napt inside any ip traffic-filter pppoe0-in in ip traffic-filter pppoe0-out out ip ids in protect ! interface gigabitEthernet 1 shutdown ! interface gigabitEthernet 2 no shutdown ! interface gigabitEthernet 3 no shutdown ! interface gigabitEthernet 4 no shutdown ! interface gigabitEthernet 5 no shutdown ! interface loop 0 shutdown ! interface loop 1 shutdown ! interface vlan 1 ip address 192.168.10.1/24 no shutdown ! ip route default gigabitEthernet 0.1 ! access-list ip cache timer timeout 1200 ! access-list ip extended pppoe0-in access-list ip extended pppoe0-out dynamic permit ip any any ! proxydns ip enable ! ! ip dhcp pool vlan 1 range 192.168.10.100 192.168.10.131 dns-server 192.168.10.1 lease 0 2 0 subnet prefix-length 24 dhcp-server ip enable ! ! end

(C) 2011-2014 アライドテレシスホールディングス株式会社

PN: 613-001568 Rev.E

＜前頁 次頁＞ ＜＜ ＞＞ ↑ 目次 （番号順 (詳細)・ 回線別 (詳細)・ 機能別 (詳細)）