[index] AT-TQRシリーズ コマンドリファレンス 5.5.4

VPN / IPsec

Note

ファームウェアバージョン5.4.5-0.4までのAT-ARシリーズと5.4.5-1.1以降のAT-ARシリーズとの間ではIPsec接続ができません。AT-ARシリーズ同士でIPsec接続を行う場合はファームウェアのバージョンを揃えてください。

• サポートするIPプロトコルファミリー
  
  • デリバリー（外側）プロトコル：IPv4/IPv6
    
  • ペイロード（内側）プロトコル：IPv4/IPv6
    
  （IPv4 over IPv4、IPv4 over IPv6、IPv6 over IPv4、IPv6 over IPv6のすべての組み合わせをサポート）
  
  
• 鍵交換と通信路のネゴシエーション機能
  
  • IKEv2
    
    • IKEv2：INIT、AUTH、CREATE_CHILD_SA、INFORMATIONAL交換
      
    • 暗号化アルゴリズム：AES256、AES192、AES128
      
    • 認証アルゴリズム：SHA512、SHA256、SHA1
      
    • Diffie-Hellmanグループ：18、16、15、14、5、2
      
    • 認証方式：事前共有鍵、証明書
      
  
  
• 通信を保護するための機能
  
  • IPsecプロトコル：ESP（暗号化・認証）
    
  • IPsec動作モード
    
    • トンネルモード（IPsecトンネルインターフェース）
      
  • 暗号化アルゴリズム：AES256、AES192、AES128
    
  • 認証アルゴリズム：AES-GCM（16/12/8バイトICV）、SHA512、SHA256、SHA1
    
  
  
• その他の機能
  
  • DPD（Dead Peer Detection）
    
  • NAT-T（NAT-Traversal）
    

Note

暗号化アルゴリズム、認証アルゴリズムなど各種パラメーターの組み合わせや優先度については、「プロファイル」をご覧ください。本製品では、一般的なパラメーターの組み合わせが「デフォルトプロファイル」としてあらかじめ定義されているため、本製品同士の接続では複雑な設定は不要ですが、他機器と接続する場合などには必要に応じて「カスタムプロファイル」を定義して使用することも可能です。

Note

ルーター間のIPsec VPNで証明書認証を行う場合は、共通の外部CAが発行したサーバー証明書が必要です。

Note

AMFネットワーク構成において、証明書認証を使用して接続したAMFノード配下のAMFオートリカバリーはサポート対象外です。

基本設定

IPsec over IPv4

1. ISAKMPの事前共有鍵を設定します。これにはcrypto isakmp keyコマンドを使います。addressパラメーターで指定するのは、IPsecの接続相手（対向装置）、すなわち、ルーターBのIPアドレスです。
   

   awplus(config)# crypto isakmp key ouR4ecret address 10.2.2.2 ↓
   

   
   
2. トンネルインターフェースtunnel0を作成します。
   

   awplus(config)# interface tunnel0 ↓
   

   
   
3. トンネリング方式としてipsec ipv4（IPsec over IPv4）を指定します。これには、tunnel mode ipsecコマンドを使います。
   

   awplus(config-if)# tunnel mode ipsec ipv4 ↓
   

   
   
4. トンネルインターフェースから送信するデリバリーパケットの始点・終点アドレス（自装置と対向装置のIPアドレス）を指定します。これには、tunnel source / tunnel destinationコマンドを使います。
   

   awplus(config-if)# tunnel source 10.1.1.1 ↓
   awplus(config-if)# tunnel destination 10.2.2.2 ↓
   

   
   
5. トンネルインターフェースに対し、IPsecによる保護を適用します。これにはtunnel protection ipsecコマンドを使います。
   

   awplus(config-if)# tunnel protection ipsec ↓
   

   
   
6. トンネルインターフェースtunnel0にIPアドレスを設定して、同インターフェースでIPv4パケットのルーティングが行われるようにします。これには、ip addressコマンドを使います。
   

   awplus(config-if)# ip address 192.168.254.1/30 ↓
   

   
   
7. 対向拠点へのスタティック経路を登録します。これには、ip routeコマンドを使います。
   

   awplus(config-if)# exit ↓
   awplus(config)# ip route 192.168.20.0/24 tunnel0 ↓
   

IPsec over IPv6

1. ISAKMPの事前共有鍵を設定します。これにはcrypto isakmp keyコマンドを使います。addressパラメーターで指定するのは、IPsecの接続相手（対向装置）、すなわち、ルーターBのIPv6アドレスです。
   

   awplus(config)# crypto isakmp key ouR4ecret address 2001:db8:2:2::2 ↓
   

   
   
2. トンネルインターフェースtunnel0を作成します。
   

   awplus(config)# interface tunnel0 ↓
   

   
   
3. トンネリング方式としてipsec ipv6（IPsec over IPv6）を指定します。これには、tunnel mode ipsecコマンドを使います。
   

   awplus(config-if)# tunnel mode ipsec ipv6 ↓
   

   
   
4. トンネルインターフェースから送信するデリバリーパケットの始点・終点アドレス（自装置と対向装置のIPv6アドレス）を指定します。これには、tunnel source / tunnel destinationコマンドを使います。
   

   awplus(config-if)# tunnel source 2001:db8:1:1::1 ↓
   awplus(config-if)# tunnel destination 2001:db8:2:2::2 ↓
   

   
   
5. トンネルインターフェースに対し、IPsecによる保護を適用します。これにはtunnel protection ipsecコマンドを使います。
   

   awplus(config-if)# tunnel protection ipsec ↓
   

   
   
6. トンネルインターフェースtunnel0にIPv6のリンクローカルアドレスを設定して、同インターフェースでIPv6パケットのルーティングが行われるようにします。これには、ipv6 enableコマンドを使います。
   

   awplus(config-if)# ipv6 enable ↓
   

   
   
7. 対向拠点へのスタティック経路を登録します。これには、ipv6 routeコマンドを使います。
   

   awplus(config-if)# exit ↓
   awplus(config)# ipv6 route 2001:db8:10:20::/64 tunnel0 ↓
   

外部CAが発行した証明書を使用したルーター間のIPsec VPN接続

• (a) トラストポイントの設定
  
• (b) 外部CAのルート証明書をインポート
  
• (c) サーバー証明書の署名要求（CSR）の生成
  
• (d) サーバー証明書の発行
  
• (e) サーバー証明書のインポートとトラストポイントへの保存
  

トラストポイントの設定

1. 外部CAのルート証明書、本製品の秘密鍵ペアとサーバー証明書を保存するためのトラストポイント「vpn_trust」を作成します。
   これには、crypto pki trustpoint、enrollmentコマンドを使います。
   

   awplus(config)# crypto pki trustpoint vpn_trust ↓
   Created trustpoint "vpn_trust".
   awplus(ca-trustpoint)# enrollment terminal ↓
   

   
   
2. サーバー証明書のサブジェクト名（subjectName）とサブジェクト代替名（altSubjectName）を指定します。
   これには、subject-nameコマンドとsubject-alt-nameコマンドを使います。
   サブジェクト名のCommon Name（CN）およびサブジェクト代替名は、トンネルインターフェースに設定する本製品のローカル名（tunnel local nameコマンドで指定する文字列）と一致している必要があります。
   

   Note

   サブジェクト名、サブジェクト代替名としてIPアドレスを指定したサーバー証明書はサポート対象外です。

   awplus(ca-trustpoint)# subject-name /CN=test1.example.com ↓
   awplus(ca-trustpoint)# subject-alt-name test1.example.com ↓
   awplus(ca-trustpoint)# end ↓
   

外部CAのルート証明書をインポート

1. 外部CAのルート証明書ファイルをテキストエディターで開き、-----BEGIN CERTIFICATE----- から -----END CERTIFICATE----- の行までをクリップボードにコピーします。
   
   
2. トラストポイント「vpn_trust」に外部CAのルート証明書をインポートし、同トラストポイントの使用準備を完了します。
   これにはcrypto pki authenticateコマンドを使います。
   コマンドを実行すると次のようなメッセージが表示されるので、コピーしておいたものをペーストし、「Enter」キーを押してください。
   

   awplus# crypto pki authenticate vpn_trust ↓
   Paste the certificate PEM file into the terminal.
   Type "abort" to cancel.
   

   
   
3. 内容を確認し、「Accept this certificate?」に「y」で答えてください。
   

   awplus# crypto pki authenticate vpn_trust ↓
   Paste the certificate PEM file into the terminal.
   Type "abort" to cancel.
   -----BEGIN CERTIFICATE-----
   XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
   ...
   xaPuyjGcQ3kCjW32sO0InQxjLPCp/celKKRZbIwETAor
   -----END CERTIFICATE-----
   Complete ("END CERTIFICATE" detected).
   Subject     : /C=JP/O=EXAMPLE/CN=SampleRootCA
   Issuer      : /C=JP/O=EXAMPLE/CN=SampleRootCA
   Valid From  : Apr  7 05:32:30 2023 GMT
   Valid To    : Apr  4 05:32:30 2033 GMT
   Fingerprint : D51BB535 8CBCFE2C BDD6E56B 759BB5C9 4CF9DCBF 
   This is a self-signed CA certificate.
   The certificate has been validated successfully.
   Accept this certificate? (y/n): y
   Successfully authenticated trustpoint "vpn_trust".
   

サーバー証明書の署名要求（CSR）の生成

1. 外部CA発行の証明書を利用するためのトラストポイント「vpn_trust」において、本製品の公開鍵ペア（秘密鍵と公開鍵）を生成し、サーバー証明書の署名要求（CSR）を生成します。
   これにはcrypto pki enrollコマンドを使います。
   コマンドを実行すると次のようにCSRの内容が出力されるので、 -----BEGIN CERTIFICATE REQUEST----- から -----END CERTIFICATE REQUEST----- の行までをクリップボードにコピーしてPC上のファイル（ここでは「example_csr.pem」とします）に保存してください。
   

   awplus# crypto pki enroll vpn_trust ↓
   Using private key "server-default"...
   Cut and paste this request to the certificate authority:
   -----------------------------------------------------------------
   -----BEGIN CERTIFICATE REQUEST-----
   XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
   ...
   sQCD7gbOkrMSEpDCSdB85P5on2Gs+CwpHsYlhA==
   -----END CERTIFICATE REQUEST-----
   -----------------------------------------------------------------
   

サーバー証明書の発行

1. 前の手順でPC上に保存したCSRファイル（本例ではexample_csr.pem）を外部CAに渡し、サーバー証明書の発行を依頼してください。
   ここでは、外部CAが発行した本製品のサーバー証明書を example_cert.pem という名前のファイルとして入手したものと仮定します。
   

サーバー証明書のインポートとトラストポイントへの保存

1. 本製品のサーバー証明書をテキストエディターで開き、-----BEGIN CERTIFICATE----- から -----END CERTIFICATE----- の行までをクリップボードにコピーします。
   
   
2. サーバー証明書をトラストポイントに保存します。
   これにはcrypto pki import pemコマンドを使います。
   コマンドを実行すると次のようなメッセージが表示されるので、コピーしておいたものをペーストし、「Enter」キーを押してください。
   

   awplus# crypto pki import vpn_trust pem terminal ↓
   Paste the certificate PEM file into the terminal.
   Type "abort" to cancel.
   

   
   
3. 内容を確認し、「Accept this certificate?」に「y」で答えてください。
   

   awplus# crypto pki import vpn_trust pem terminal ↓
   Paste the certificate PEM file into the terminal.
   Type "abort" to cancel.
   -----BEGIN CERTIFICATE-----
   XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
   ...
   WF/C9/ijoy0UIjDFJms6uBo5gw==
   -----END CERTIFICATE-----
   
   Complete ("END CERTIFICATE" detected).
   Subject     : /O=AlliedWare Plus/CN=test1.example.com
   Issuer      : /C=JP/O=EXAMPLE/CN=SampleRootCA
   Valid From  : Apr 19 07:41:24 2023 GMT
   Valid To    : Apr 18 07:41:24 2024 GMT
   Fingerprint : FAB1FC57 6CD0DC6A 7198C3F2 67E37C0F 6FAE8AFB 
   This is not a valid CA certificate. Attempting to import as a server certificate.
   The certificate has been validated successfully.
   Accept this certificate? (y/n): y
   The certificate was successfully imported.
   

IPsec VPNの設定

1. ISAKMPの通信方式を規定するISAKMPプロファイルを作成します。
   ここでは、crypto isakmp profileコマンドでISAKMPプロファイルを作成し、以下の情報を設定します。
   
   • 自装置の認証方式（local authentication）
     
   • 対向装置の認証方式（remote authentication）
     
   • 証明書認証を行う場合に使用するトラストポイント（pki trustpoint）
     
   • アルゴリズム（transform）
     

   awplus(config)# crypto isakmp profile cert_vpn ↓
   awplus(config-isakmp-profile)# local authentication certificate ↓
   awplus(config-isakmp-profile)# remote authentication certificate ↓
   awplus(config-isakmp-profile)# pki trustpoint vpn_trust ↓
   awplus(config-isakmp-profile)# transform 1 integrity SHA256 encryption AES256 group 14 ↓
   awplus(config-isakmp-profile)# exit ↓
   

   
   
2. 対向ルーターとの間で使用するISAKMPプロファイルを指定します。
   これにはcrypto isakmp peerコマンドを使います。
   

   awplus(config)# crypto isakmp peer hostname test2.example.com profile cert_vpn ↓
   

   
   
3. トンネルインターフェースtunnel0を作成します。
   これには、interfaceコマンドでトンネルインターフェースを作成し、以下の情報を設定します。
   
   • トンネリング方式（tunnel mode ipsec）
     
   • トンネルインターフェースから送信するデリバリーパケットの始点（自装置）アドレス（tunnel source）
     
   • トンネルインターフェースから送信するデリバリーパケットの終点（対向装置）アドレス（tunnel destination）
     
   • 自装置ID（ローカル名）（tunnel local name）
     
   • 対向装置ID（リモート名）（tunnel remote name）
     
   • トンネルインターフェースに対するIPsec保護の適用とIPsecプロファイルの指定（tunnel protection ipsec）
     
   • トンネルインターフェースのIPアドレス（ip address）
     

   awplus(config)# interface tunnel0 ↓
   awplus(config-if)# tunnel mode ipsec ipv4 ↓
   awplus(config-if)# tunnel source 10.1.1.1 ↓
   awplus(config-if)# tunnel destination 10.2.2.2 ↓
   awplus(config-if)# tunnel local name test1.example.com ↓
   awplus(config-if)# tunnel remote name test2.example.com ↓
   awplus(config-if)# tunnel protection ipsec ↓
   awplus(config-if)# ip address 192.168.254.1/30 ↓
   awplus(config-if)# exit ↓
   

   
   
4. 対向拠点へのスタティック経路を登録します。これには、ip routeコマンドを使います。
   

   awplus(config)# ip route 192.168.20.0/24 tunnel0  ↓
   

プロファイル

デフォルトプロファイル

デフォルトISAKMPプロファイル

Note

暗号化アルゴリズム3DESおよびこれを利用したデフォルトISAKMPプロファイルのトランスフォーム9～12はサポート対象外です。

Note

IKEバージョン、認証方式、SA有効期間、DPDキープアライブ間隔は、同一ISAKMPプロファイル内で共通です。

デフォルトIPsecプロファイル

Note

暗号化アルゴリズム3DESおよびこれを利用したデフォルトIPsecプロファイルのプロポーザル9～10はサポート対象外です。

Note

PFS、SA有効期間は、同一IPsecプロファイル内で共通です。

Note

IPsec動作モード（トンネルモード、トランスポートモード）は、IPsecトンネルインターフェースではトンネルモードとなります。

カスタムプロファイル

カスタムISAKMPプロファイル

• 1つのISAKMPプロファイルに対して複数設定できるパラメーター
  下記3つのパラメーターを一組の「トランスフォーム」（transform）として、複数の組み合わせを優先順位とともに指定できます。
  
  • 暗号化アルゴリズム
    
  • 認証アルゴリズム
    
  • Diffie-Hellmanグループ
    
  
  
• 1つのISAKMPプロファイルに対して1つだけ設定できるパラメーター
  
  • SA有効期間（lifetime）
    
  • DPDキープアライブ間隔（dpd-interval）
    

Note

認証方式は事前共有鍵のみサポートのため、カスタムISAKMPプロファイルにおける設定項目はありません。

適用

awplus(config)# crypto isakmp peer address 10.2.2.2 profile legacy ↓

awplus(config)# crypto isakmp peer dynamic profile legacy-aggr ↓

awplus(config)# crypto isakmp peer policy tunnel0 profile myprof ↓

カスタムIPsecプロファイル

• 1つのIPsecプロファイルに対して複数設定できるパラメーター
  下記3つのパラメーターを一組の「トランスフォーム」（transform）として、複数の組み合わせを優先順位とともに指定できます。
  
  • IPsecプロトコル
    
  • 暗号化アルゴリズム
    
  • 認証アルゴリズム
    
  
  
• 1つのIPsecプロファイルに対して1つだけ設定できるパラメーター
  
  • SA有効期間（lifetime）
    
  • PFSの有効・無効、および有効時に使用するDiffie-Hellmanグループ（pfs）
    

Note

IPsecプロトコルはESPのみサポートのため、カスタムIPsecプロファイルの設定ではつねに「protocol esp」を指定します。

作成

awplus(config)# crypto ipsec profile legacy ↓
awplus(config-ipsec-profile)# lifetime seconds 3600 ↓
awplus(config-ipsec-profile)# transform 1 protocol esp integrity sha1 encryption aes128 ↓

awplus(config)# crypto ipsec profile shortlife ↓
awplus(config-ipsec-profile)# lifetime seconds 3600 ↓
awplus(config-ipsec-profile)# transform 1 protocol esp integrity sha256 encryption aes256 ↓
awplus(config-ipsec-profile)# transform 2 protocol esp integrity sha256 encryption aes128 ↓

適用

awplus(config)# interface tunnel0 ↓
...
awplus(config-if)# tunnel protection ipsec profile legacy ↓

その他

IPsec DPD

IKEv2

設定と状態の確認

awplus# show isakmp sa ↓
awplus# show ipsec sa ↓

awplus# show isakmp counters ↓
awplus# show ipsec counters ↓

awplus# show ipsec peer ↓
awplus# show ipsec policy ↓

awplus# show isakmp key ↓

awplus# show isakmp profile ↓
awplus# show ipsec profile ↓

awplus# show isakmp peer ↓

(C) 2023 - 2024 アライドテレシスホールディングス株式会社

PN: 613-003212 Rev.F