<前頁 次頁> << >> 目次 (番号順 (詳細)回線別 (詳細)機能別 (詳細)

CentreCOM ARX640S 設定例集 5.1.5 #8

PPPoEインターネット接続環境における2点間IPsec VPN(片側アドレス不定)


PPPoEでインターネットに接続している2つの拠点をIPsecで結ぶVPN構築例です。この例では、グローバルアドレス8個を固定的に割り当てられているサイトと、グローバルアドレス1個を動的に割り当てられるサイトの間をIPsec(ESP)のトンネルで接続します。


各拠点は、ISPから次の情報を提供されているものとします。

表 1:ISPから提供された情報
 
ルーターA
ルーターB
PPPユーザー名 user@ispA user@ispB
PPPパスワード isppasswdA isppasswdB
PPPoEサービス名 指定なし
使用できるIPアドレス 4.4.4.0/29(4.4.4.0〜4.4.4.7) グローバルアドレス1個を接続時に割り当て
接続形態 LAN型(アドレス8個固定) 端末型(アドレス1個不定)


以下、ルーターA、Bの基本設定についてまとめます。

表 2:ルーターの基本設定
 
ルーターA
ルーターB
WAN側物理インターフェース gigabitEthernet 0
WAN側(gigabitEthernet 0.1)IPアドレス Unnumbered 動的割り当て
LAN側(vlan 1)IPアドレス 192.168.10.1/24 192.168.20.1/24
DMZ側(gigabitEthernet 1)IPアドレス 4.4.4.1/29 -
VPN接続設定
ローカルセキュアグループ 192.168.10.0/24 192.168.20.0/24
リモートセキュアグループ 192.168.20.0/24 192.168.10.0/24
トンネル終端アドレス 不定 4.4.4.1
IKE設定
交換モード Aggressiveモード
認証方式 事前共有鍵(pre-shared key)
事前共有鍵 secret(文字列)
ローカルID/リモートID なし/client client/なし
暗号化認証アルゴリズム 3DES & SHA1-DH2
有効期限 21600秒(6時間)(デフォルト)
DPDによる死活監視 行う
起動時のISAKMPネゴシエーション 行わない 行う
IPsec設定
SAモード トンネルモード
セキュリティープロトコル ESP
暗号化認証アルゴリズム 3DES & SHA1
PFSグループ なし
有効期限 3600秒(1時間)(デフォルト)




この構成においてIPsec VPNを構築するときのポイントは次のとおりです。



ルーターAの設定

  1. ISPから通知されたPPPユーザー名やパスワード等のPPP設定情報を作成します。


  2. WAN0インターフェース(gigabitEthernet 0)を有効にします。


  3. プライベートサブネットのクライアントがインターネットにアクセスする時に使用するENAT用のプールを作成します。


  4. WAN0インターフェース上にPPPoEインターフェース(gigabitEthernet 0.1)を作成し、インターフェースを使用できるようにします。
    PPPoEインターフェースをUnnumberedに設定し、このインターフェース上で使用するPPP設定情報を括り付けます。
    また、LAN側ネットワークに接続されているすべてのコンピューターがENAT機能を使用できるよう設定します。
    外部からのアタック検出時やアタック発生中にパケットを破棄するように設定します。


  5. DMZ側インターフェース(gigabitEthernet 1)を有効にし、ISPから割り当てられたグローバルアドレス(4.4.4.2)を設定します。
    アドレスを8個や16個といった単位で割り当てられる場合は、ネットマスクが変則的になるので注意してください。


  6. LAN側インターフェース(vlan 1)にIPアドレスを設定します。


  7. IPインターフェースがリンクダウンしているときでも、そのインターフェース宛の通信に応答できるように設定します。


  8. デフォルトルートを設定します。


  9. DMZのサーバーへのパケット、およびISAKMPパケットは通しつつ、他の外側からの通信を遮断し、内側からの通信は自由に行えるようにするファイアウォール機能の設定をし、PPPoEインターフェース上に割り当てます。


  10. Phase1のProposal、およびISAKMPポリシーを設定します。


  11. Phase2のProposal、およびIPsecポリシーを設定します。


  12. トンネルインターフェース(tunnel 0)を作成し、インターフェースを使用できるようにします。
    このトンネルインターフェースに対応するIPsecポリシーを設定します。


  13. ルーターBのLAN側(192.168.20.0/24)宛のルートを設定します。
    また、ルーター間のVPN接続が有効になるまでは、このルートを使用できないように設定します。


  14. 設定は以上です。設定内容をstartup-configに保存します。


ルーターBの設定

  1. ISPから通知されたPPPユーザー名やパスワード等のPPP設定情報を作成します。


  2. WAN0インターフェース(gigabitEthernet 0)を有効にします。


  3. WAN0インターフェース上にPPPoEインターフェース(gigabitEthernet 0.1)を作成し、インターフェースを使用できるようにします。
    接続時にIPアドレス割り当ての要求を行うように設定し、このインターフェース上で使用するPPP設定情報を括り付けます。
    また、LAN側ネットワークに接続されているすべてのコンピューターがENAT機能を使用できるよう設定します。
    外部からのアタック検出時やアタック発生中にパケットを破棄するように設定します。


  4. LAN側インターフェース(vlan 1)にIPアドレスを設定します。


  5. IPインターフェースがリンクダウンしているときでも、そのインターフェース宛の通信に応答できるように設定します。


  6. デフォルトルートを設定します。


  7. 外側からの通信を遮断しつつ、内側からの通信は自由に行えるようにするファイアウォール機能の設定をし、PPPoEインターフェース上に割り当てます。


  8. Phase1のProposal、およびISAKMPポリシーを設定します。


  9. Phase2のProposal、およびIPsecポリシーを設定します。


  10. トンネルインターフェース(tunnel 0)を作成し、インターフェースを使用できるようにします。
    このトンネルインターフェースに対応するIPsecポリシーを設定します。


  11. ルーターAのLAN側(192.168.10.0/24)宛のルートを設定します。
    また、ルーター間のVPN接続が有効になるまでは、このルートを使用できないように設定します。


  12. 設定は以上です。設定内容をstartup-configに保存します。

まとめ

ルーターAのコンフィグ
!
service password-encryption
!
clock timezone JST 9
!
!
ip address-up-always
ppp profile pppoe0
 my-username user@ispA password 8 e$QNKMe2ohmPDFBWKSYxCJz8gAA
!
interface gigabitEthernet 0
 no shutdown
!
interface gigabitEthernet 0.1
 ip unnumbered gigabitEthernet 1
 ip tcp mss auto
 no shutdown
 pppoe enable
  ppp bind-profile pppoe0
 ip napt inside 192.168.10.0/24 pool pool
 ip traffic-filter pppoe0-in in
 ip traffic-filter pppoe0-out out
 ip ids in protect
!
interface gigabitEthernet 1
 ip address 4.4.4.1/29
 no shutdown
!
interface gigabitEthernet 2
 no shutdown
!
interface gigabitEthernet 3
 no shutdown
!
interface gigabitEthernet 4
 no shutdown
!
interface gigabitEthernet 5
 no shutdown
!
interface loop 0
 shutdown
!
interface loop 1
 shutdown
!
interface tunnel 0
 tunnel mode ipsec
 ip unnumbered vlan 1
 ip tcp mss auto
 no shutdown
 tunnel policy ipsec
!
interface vlan 1
 ip address 192.168.10.1/24
 no shutdown
!
ip route default gigabitEthernet 0.1
ip route 192.168.20.0/24 tunnel 0
ip route 192.168.20.0/24 Null 254
!
access-list ip extended ipsec
 permit ip any any
access-list ip extended pppoe0-in
 dynamic permit tcp any 4.4.4.3/32 eq 80
 dynamic permit tcp any 4.4.4.4/32 eq 25
 dynamic permit tcp any 4.4.4.4/32 eq 53
 dynamic permit udp any 4.4.4.4/32 eq 53
 dynamic permit udp any interface gigabitEthernet 0.1 eq 500
access-list ip extended pppoe0-out
 dynamic permit ip any any
!
isakmp proposal isakmp encryption 3des hash sha1 group 2
!
isakmp policy isakmp
 peer any
 mode aggressive
 auth preshared key 8 e$I3eQu7yNuLxQA
 remote-id client
 proposal isakmp
 keepalive enable
!
ipsec proposal ipsec esp encryption 3des hash sha1
!
ipsec policy ipsec
 peer any
 access-list ipsec
 local-id 192.168.10.0/24
 remote-id 192.168.20.0/24
 proposal ipsec
 always-up-sa
!
ip nat pool pool 4.4.4.2 4.4.4.2
!
!
!
!
end


ルーターBのコンフィグ
!
service password-encryption
!
clock timezone JST 9
!
!
ip address-up-always
ppp profile pppoe0
 my-username user@ispB password 8 e$QNKMe2ohmPDGyL5Yl1OWFlAAA
!
interface gigabitEthernet 0
 no shutdown
!
interface gigabitEthernet 0.1
 ip address ipcp
 ip tcp mss auto
 no shutdown
 pppoe enable
  ppp bind-profile pppoe0
 ip napt inside any
 ip traffic-filter pppoe0-in in
 ip traffic-filter pppoe0-out out
 ip ids in protect
!
interface gigabitEthernet 1
 shutdown
!
interface gigabitEthernet 2
 no shutdown
!
interface gigabitEthernet 3
 no shutdown
!
interface gigabitEthernet 4
 no shutdown
!
interface gigabitEthernet 5
 no shutdown
!
interface loop 0
 shutdown
!
interface loop 1
 shutdown
!
interface tunnel 0
 tunnel mode ipsec
 ip unnumbered vlan 1
 ip tcp mss auto
 no shutdown
 tunnel policy ipsec
!
interface vlan 1
 ip address 192.168.20.1/24
 no shutdown
!
ip route default gigabitEthernet 0.1
ip route 192.168.10.0/24 tunnel 0
ip route 192.168.10.0/24 Null 254
!
access-list ip extended ipsec
 permit ip any any
access-list ip extended pppoe0-in
access-list ip extended pppoe0-out
 dynamic permit ip any any
!
isakmp proposal isakmp encryption 3des hash sha1 group 2
!
isakmp policy isakmp
 peer 4.4.4.1
 mode aggressive
 auth preshared key 8 e$I3eQu7yNuLxQA
 local-id client
 proposal isakmp
 keepalive enable
!
ipsec proposal ipsec esp encryption 3des hash sha1
!
ipsec policy ipsec
 peer 4.4.4.1
 access-list ipsec
 local-id 192.168.20.0/24
 remote-id 192.168.10.0/24
 proposal ipsec
 always-up-sa
!
!
!
!
end





CentreCOM ARX640S 設定例集 5.1.5 #8

(C) 2011-2014 アライドテレシスホールディングス株式会社

PN: 613-001568 Rev.E

<前頁 次頁> << >> 目次 (番号順 (詳細)回線別 (詳細)機能別 (詳細)