<前頁 次頁> << >> ↓ 目次 (番号順 (詳細)・ 回線別 (詳細)・ 機能別 (詳細))
CentreCOM ARX640S 設定例集 5.1.5 #23
Windows 7標準のVPNクライアントから、インターネット経由で本製品のLAN側プライベートネットワークにアクセスさせるリモートアクセス型VPNの設定例です。さらに、ダイナミックDNSサービスを併用し、VPNクライアントの接続先をホスト名(FQDN)指定して、動的にIPアドレスが割り当てられるサイトに対してVPN接続できるようにします。
Note - 本設定例は、NAT-Traversalを利用したリモートアクセス型VPNの一構成例であり、Windows 7との接続性を保証するものではありません。
Note - Windows 7側の詳細な設定方法については、各製品のマニュアルなどをご覧ください。
Note - 検証済みダイナミックDNSサービスは弊社ホームページをご確認ください。
Note - 本製品とVPNクライアント間のIKEv2認証が完了していない状態でセッションを閉じた場合、内部でVPNクライアントのRADIUSサプリカント情報を5分間保持するため、本セッションが残っている間は他の認証を許可しません。
Note - RADIUSサプリカント情報とIKEv2 SA情報は連動していないため、RADIUSサプリカント情報が削除されてもIKEv2 SA情報は削除されません。
PPPユーザー名 | user1@example |
PPPパスワード | password |
PPPoEサービス名 | 指定なし |
使用できるIPアドレス | グローバルアドレス1個(動的割り当て) |
接続形態 | 端末型(アドレス1個不定) |
DNSサーバー | 接続時に通知される |
WAN側物理インターフェース | gigabitEthernet 0 |
WAN側(gigabitEthernet 0.1)IPアドレス | 動的割り当て |
LAN側(vlan 1)IPアドレス | 192.168.10.1/24 |
VPN接続設定 | |
トンネル終端アドレス | 不定 |
IKE設定 | |
交換モード | IKEv2 |
自認証方式 | RSAデジタル署名認証 |
相手認証方式 | EAP-MS-CHAPv2(PEAP)認証 |
暗号化認証アルゴリズム | AES256 & SHA1-DH2 |
疑似乱数アルゴリズム(PRF) | SHA1 |
有効期限 | 21600秒(6時間)(デフォルト) |
起動時のISAKMPネゴシエーション | 行わない |
IPsec設定 | |
SAモード | トンネルモード |
セキュリティープロトコル | ESP |
暗号化認証アルゴリズム | AES256 & SHA1 |
PFSグループ | なし |
有効期限 | 3600秒(1時間)(デフォルト) |
サービスプロバイダ | DynDNS.com(http://www.dyndns.com/) |
サーバー接続用ユーザー名 | userD |
サーバー接続用パスワード | password |
ホスト名 | test.dyndns.org |
IPアドレスを登録するインターフェース | gigabitEthernet 0.1 |
ユーザー名 | AAA | BBB |
パスワード | PasswordA | PasswordB |
RADIUSサーバー | 192.168.10.254 |
共有パスワード | secret |
認証用UDPポート番号 | 1812 |
自己証明書ファイル名 | 640cert.pem |
秘密鍵ファイル名 | 640key.pem |
TFTPサーバーのIPアドレス | 192.168.10.254 |
証明書の識別名(DN) | cn=test.dyndns.org |
キー使用法 | Digital Signature、 Key Encipherment |
拡張キー使用法 | Server Authentication(1.3.6.1.5.5.7.3.1)、 IP security IKE intermediate(1.3.6.1.5.5.8.2.2) |
Note - 本製品は証明書および秘密鍵を作成することが出来ません。そのため、外部の認証局にてこれらのファイルを作成し、本製品のFlash File System上にコピーしてください。また秘密鍵は復号化した状態で、本製品のFlash File System上にコピーしてください。
Note - 本製品はPEMフォーマット形式の証明書ファイルのみをサポートします。
ルーターの設定 |
ppp profile pppoe0 ↓ my-username user1@example password password ↓
interface gigabitEthernet 0 ↓ no shutdown ↓
interface gigabitEthernet 0.1 ↓ ip address ipcp ↓ ip tcp mss auto ↓ no shutdown ↓ pppoe enable ↓ ppp bind-profile pppoe0 ↓ ip napt inside any ↓ ip ids in protect ↓
interface vlan 1 ↓ ip address 192.168.10.1/24 ↓
ip address-up-always ↓
ip route default gigabitEthernet 0.1 ↓
access-list ip extended pppoe0-in ↓ dynamic permit udp any interface gigabitEthernet 0.1 eq 500 ↓ dynamic permit udp any interface gigabitEthernet 0.1 eq 4500 ↓ access-list ip extended pppoe0-out ↓ dynamic permit ip any any ↓ interface gigabitEthernet 0.1 ↓ ip traffic-filter pppoe0-in in ↓ ip traffic-filter pppoe0-out out ↓
radius-server host 192.168.10.254 key secret ↓ ip radius source-interface vlan 1 ↓
copy tftp 192.168.10.254 640cert.pem flash 640cert.pem ↓ copy tftp 192.168.10.254 640key.pem flash 640key.pem ↓
isakmp proposal isakmp encryption aes256 prf sha1 hash sha1 group 2 ↓ isakmp policy isakmp ↓ peer any ↓ mode ikev2 ↓ self-auth rsa ↓ peer-auth eap-mschap radius ↓ peer-auth eap-id-request enable ↓ certificate self-certificate 640cert.pem self-private 640key.pem ↓ proposal isakmp ↓ nat-traversal enable ↓ config-service enable ↓ config-service radius ↓ config-service add-route enable ↓
Note - 複数のWindowsクライアントを接続する場合、上記に加えて、フェーズ2のネゴシエーションに使用するIPsecポリシーとして、 フェーズ1のネゴシエーションに使用したISAKMPポリシーと同一名のIPsecポリシーを優先的に選択するよう設定する必要があります。
ipsec policy-name-link enable ↓
access-list ip extended ipsec ↓ permit ip any any ↓ ipsec proposal ipsec esp encryption aes256 hash sha1 ↓ ipsec policy ipsec ↓ peer any ↓ access-list ipsec ↓ proposal ipsec ↓ always-up-sa ↓
interface tunnel 0 ↓ tunnel mode ipsec ↓ ip unnumbered vlan 1 ↓ ip tcp mss auto ↓ no shutdown ↓ tunnel policy ipsec ↓
dynamic-dns DynDNS ↓ provider dyndns fqdn test.dyndns.org username userD password password ↓ external-interface gigabitEthernet 0.1 ↓ dynamic-dns-enable ↓
copy running-config startup-config ↓
メモ |
Note - 本設定例は、NAT-Traversalを利用したリモートアクセス型IPsec VPNの一構成例であり、Windows 7との接続性を保証するものではありません。
Note - 以下に述べる手順は一例です。サービスパックや修正プログラムの適用状況、環境設定の仕方などによっては、以下の手順で接続できない可能性もあります。詳しくは、Windows 7のマニュアルなどをご参照ください。
まとめ |
ルーターのコンフィグ
! service password-encryption ! clock timezone JST 9 ! ! ip address-up-always ppp profile pppoe0 my-username user1@example password 8 e$QOccTYhEXbMdnN4uqTQgYCAAA ip radius source-interface vlan 1 ! radius-server host 192.168.10.254 key secret ! interface gigabitEthernet 0 no shutdown ! interface gigabitEthernet 0.1 ip address ipcp ip tcp mss auto no shutdown pppoe enable ppp bind-profile pppoe0 ip napt inside any ip traffic-filter pppoe0-in in ip traffic-filter pppoe0-out out ip ids in protect ! interface gigabitEthernet 1 shutdown ! interface gigabitEthernet 2 no shutdown ! interface gigabitEthernet 3 no shutdown ! interface gigabitEthernet 4 no shutdown ! interface gigabitEthernet 5 no shutdown ! interface loop 0 shutdown ! interface loop 1 shutdown ! interface tunnel 0 tunnel mode ipsec ip unnumbered vlan 1 ip tcp mss auto no shutdown tunnel policy ipsec ! interface vlan 1 ip address 192.168.10.1/24 no shutdown ! ip route default gigabitEthernet 0.1 ! access-list ip extended ipsec permit ip any any access-list ip extended pppoe0-in dynamic permit udp any interface gigabitEthernet 0.1 eq 500 dynamic permit udp any interface gigabitEthernet 0.1 eq 4500 access-list ip extended pppoe0-out dynamic permit ip any any ! isakmp proposal isakmp encryption aes256 prf sha1 hash sha1 group 2 ! isakmp policy isakmp peer any mode ikev2 self-auth rsa peer-auth eap-mschap radius peer-auth eap-id-request enable certificate self-certificate 640cert.pem self-private 640key.pem proposal isakmp nat-traversal enable config-service enable config-service radius config-service add-route enable ! ipsec proposal ipsec esp encryption aes256 hash sha1 ! ipsec policy ipsec peer any access-list ipsec proposal ipsec always-up-sa ! ! ! ! dynamic-dns DynDNS provider dyndns fqdn test.dyndns.org username userD password 8 e$QOccTYhEXbMdnN4uqTQgYCAAA external-interface gigabitEthernet 0.1 dynamic-dns-enable ! end |
(C) 2011-2014 アライドテレシスホールディングス株式会社
PN: 613-001568 Rev.E