[index] AT-AR2050V/AT-AR3050S/AT-AR4050S コマンドリファレンス 5.4.6

設定例集#43: AW+ルーターを使用したAMF基本構成

AMF関連設定
AMFネットワーク名	AMF001
AMFマスター	スイッチA
AMFバックアップ用外部メディア	SDHCカード
AMF仮想リンク1	172.16.0.1（ルーターA：AMFメンバー） - 172.16.0.2（ルーターB：AMFメンバー）
AMF仮想リンク2	172.16.0.5（ルーターA：AMFメンバー） - 172.16.0.6（ルーターC：AMFメンバー）
ISPから提供された情報
	ルーターA	ルーターB	ルーターC
ISP接続用ユーザー名	user@isp1	user@isp2	user@isp3
ISP接続用パスワード	isppasswd1	isppasswd2	isppasswd3
PPPoEサービス名	指定なし	指定なし	指定なし
WAN側IPアドレス	10.0.0.1/32	10.0.0.2/32	10.0.0.3/32
ルーターの基本設定
WAN側物理インターフェース	eth1	eth1	eth1
WAN側（ppp0）IPアドレス	10.0.0.1/32	10.0.0.2/32	10.0.0.3/32
LAN側（vlan1）IPアドレス	192.168.1.254/24	192.168.100.254/24	192.168.200.254/24
トンネル（tunnel0）IPアドレス	172.16.0.1/30	172.16.0.2/30	172.16.0.6/30
トンネル（tunnel1）IPアドレス	172.16.0.5/30

• ルーターA・B間: secret-1
  
• ルーターA・C間: secret-2
  

1. LANポートにおいて初期状態で有効化されているスパニングツリープロトコル（RSTP）を無効化します。これにはspanning-tree enableコマンドをno形式で実行します。
   スパニングツリープロトコルの詳細は「L2スイッチング」/「スパニングツリープロトコル」をご覧ください。
   

   no spanning-tree rstp enable

2. WANポートeth1上にPPPoEインターフェースppp0を作成します。これには、encapsulation pppコマンドを使います。
   PPPの詳細は「PPP」/「一般設定」をご覧ください。
   

   interface eth1 encapsulation ppp 0

3. PPPインターフェースppp0に対し、PPPoE接続のための設定を行います。
   
   ・LCP EchoによるPPP接続状態の確認（keepalive）
   ・IPCPによるIPアドレスの取得要求（ip address negotiated）
   ・ユーザー名（ppp username）
   ・パスワード（ppp password）
   ・MSS書き換え（ip tcp adjust-mss）
   
   PPPの詳細は「PPP」/「一般設定」をご覧ください。
   

   interface ppp0 keepalive ppp username user@isp1 ppp password isppasswd1 ip address 10.0.0.1/32 ip tcp adjust-mss pmtu

4. LAN側インターフェースvlan1にIPアドレスを設定します。これにはip addressコマンドを使います。
   IPインターフェースの詳細は「IPルーティング」/「IPインターフェース」をご覧ください。
   

   interface vlan1 ip address 192.168.1.254/24

5. AMFの各種設定を行います。
   
   ・AMFネットワーク名の設定（atmf network-name）
   ・AMF仮想リンクの設定（atmf virtual-link）
   
   AMFの詳細は、「アライドテレシスマネージメントフレームワーク（AMF）」の「概要」、「導入」、「運用」、「応用」各解説編やコマンド編をご覧ください。
   

   atmf network-name AMF001 atmf virtual-link id 1 ip 172.16.0.1 remote-id 1 remote-ip 172.16.0.2 atmf virtual-link id 2 ip 172.16.0.5 remote-id 2 remote-ip 172.16.0.6

6. AMF対応スイッチと接続するLANポートにAMFリンクの設定をします（switchport atmf-link）。
   

   interface port1.0.1 switchport atmf-link

7. ファイアウォールやNATのルール作成時に使うエンティティー（通信主体）を定義します。
   エンティティー定義の詳細は「UTM」/「エンティティー定義」をご覧ください。
   
   AMFマネージメントサブネット（atmf management subnet）を表すゾーン「atmf」を定義します。
   これには、zone、network、ip subnetの各コマンドを使います。
   
   AMF機能は内部的に管理用のIPアドレスを使用しており、デフォルトで172.31.0.0/16のサブネットを使用しています。
   AW+ルーターのファイアウォールはデフォルトですべてのL3パケットを破棄するため、AMFとファイアウォールを併用する際にはAMFマネージメントサブネットをゾーンとして定義し、ファイアウォールで許可設定を追加する必要があります。
   

   zone atmf network atmf-subnet ip subnet 172.31.0.0/16

8. 内部ネットワークを表すゾーン「private」を作成します。
   

   zone private network lan ip subnet 192.168.1.0/24 ip subnet 192.168.100.0/24 ip subnet 192.168.200.0/24 network tunnel ip subnet 172.16.0.0/30 interface tunnel0 ip subnet 172.16.0.4/30 interface tunnel1

9. 外部ネットワークを表すゾーン「public」を作成します。
   前記コマンドに加え、ここではhost、ip addressの各コマンドも使います。
   

   zone public network wan ip subnet 0.0.0.0/0 interface ppp0 host ppp0 ip address 10.0.0.1

10. ファイアウォールやNATのルール作成時に通信内容を指定するために使う「アプリケーション」を定義します。
    これには、application、protocol、dportの各コマンドを使います。
    アプリケーション定義の詳細は「UTM」/「アプリケーション定義」をご覧ください。
    
    IPsecのESPパケットを表すカスタムアプリケーション「esp」を定義します。
    

    application esp protocol 50

11. ISAKMPパケットを表すカスタムアプリケーション「isakmp」を定義します。
    

    application isakmp protocol udp dport 500

12. 外部からの通信を遮断しつつ、内部からの通信は自由に行えるようにするファイアウォール機能の設定を行います。
    これには、firewall、rule、protectの各コマンドを使います。
    
    ・rule 10 - 内部ネットワーク間の通信を許可します
    ・rule 20 - 内部ネットワークから外部への通信を許可します
    ・rule 30 - AMFマネージメントサブネット上の通信（「atmf」ゾーン）を許可します。
    本ルールのような許可設定を追加しない場合、AMFネットワークが構築できなくなるので注意してください。
    ・rule 40, 50 - ISAKMPパケットを許可します
    ・rule 60, 70 - IPsec（ESP）パケットを許可します
    
    ファイアウォールの詳細は「UTM」/「ファイアウォール」をご覧ください。
    

    firewall rule 10 permit any from private to private rule 20 permit any from private to public rule 30 permit any from atmf to atmf rule 40 permit isakmp from public.wan.ppp0 to public.wan rule 50 permit isakmp from public.wan to public.wan.ppp0 rule 60 permit esp from public.wan.ppp0 to public.wan rule 70 permit esp from public.wan to public.wan.ppp0 protect

13. LAN側ネットワークに接続されているすべてのコンピューターがダイナミックENAT機能を使用できるよう設定します。
    これには、nat、rule、enableの各コマンドを使います。
    NATの詳細は「UTM」/「NAT」をご覧ください。
    

    nat rule 10 masq any from private to public enable

14. 対向ルーターとの間で使用するISAKMPの事前共有鍵を設定します。これにはcrypto isakmp keyコマンドを使います。
    

    crypto isakmp key secret-1 address 10.0.0.2 crypto isakmp key secret-2 address 10.0.0.3

15. IPsecトンネルインターフェースtunnel0を作成します。
    トンネルインターフェースの詳細は「VPN」/「トンネルインターフェース」を、IPsecの詳細は「VPN」/「IPsec」をご覧ください。
    
    これには、interfaceコマンドでトンネルインターフェースを作成し、以下の情報を設定します。
    
    ・トンネルインターフェースのMTU（mtu）
    ・トンネルインターフェースから送信するデリバリーパケットの始点（自装置）アドレス（tunnel source）
    ・トンネルインターフェースから送信するデリバリーパケットの終点（対向装置）アドレス（tunnel destination）
    ・トンネルインターフェースに対するIPsec保護の適用（tunnel protection ipsec）
    ・トンネリング方式（tunnel mode ipsec）
    ・トンネルインターフェースのIPアドレス（ip address）
    ・トンネルインターフェースにおけるMSS書き換え設定（ip tcp adjust-mss）
    

    interface tunnel0 mtu 1300 tunnel source 10.0.0.1 tunnel destination 10.0.0.2 tunnel protection ipsec tunnel mode ipsec ipv4 ip address 172.16.0.1/30 ip tcp adjust-mss 1260

16. 同様に、IPsecトンネルインターフェースtunnel1を作成します。
    

    interface tunnel1 mtu 1300 tunnel source 10.0.0.1 tunnel destination 10.0.0.3 tunnel protection ipsec tunnel mode ipsec ipv4 ip address 172.16.0.5/30 ip tcp adjust-mss 1260

17. IPの経路情報をスタティックに設定します。これにはip routeコマンドを使います。
    
    ・リモート側の内部ネットワーク（192.168.100.0/24、192.168.200.0/24）へはIPsecトンネル tunnel0、tunnel1 経由。ただし、tunnel0、tunnel1 が有効になるまでは、これらの経路を使用できないように設定
    ・その他（0.0.0.0/0）は ppp0 経由（デフォルト経路）
    
    IP経路設定の詳細は「IPルーティング」/「経路制御」をご覧ください。
    

    ip route 0.0.0.0/0 ppp0 ip route 192.168.100.0/24 tunnel0 ip route 192.168.100.0/24 Null 254 ip route 192.168.200.0/24 tunnel1 ip route 192.168.200.0/24 Null 254

18. 以上で設定は完了です。
    

    end

1. LANポートにおいて初期状態で有効化されているスパニングツリープロトコル（RSTP）を無効化します。これにはspanning-tree enableコマンドをno形式で実行します。
   スパニングツリープロトコルの詳細は「L2スイッチング」/「スパニングツリープロトコル」をご覧ください。
   

   no spanning-tree rstp enable

2. WANポートeth1上にPPPoEインターフェースppp0を作成します。これには、encapsulation pppコマンドを使います。
   PPPの詳細は「PPP」/「一般設定」をご覧ください。
   

   interface eth1 encapsulation ppp 0

3. PPPインターフェースppp0に対し、PPPoE接続のための設定を行います。
   
   ・LCP EchoによるPPP接続状態の確認（keepalive）
   ・IPCPによるIPアドレスの取得要求（ip address negotiated）
   ・ユーザー名（ppp username）
   ・パスワード（ppp password）
   ・MSS書き換え（ip tcp adjust-mss）
   
   PPPの詳細は「PPP」/「一般設定」をご覧ください。
   

   interface ppp0 keepalive ppp username user@isp2 ppp password isppasswd2 ip address 10.0.0.2/32 ip tcp adjust-mss pmtu

4. LAN側インターフェースvlan1にIPアドレスを設定します。これにはip addressコマンドを使います。
   IPインターフェースの詳細は「IPルーティング」/「IPインターフェース」をご覧ください。
   

   interface vlan1 ip address 192.168.100.254/24

5. AMFの各種設定を行います。
   
   ・AMFネットワーク名の設定（atmf network-name）
   ・AMF仮想リンクの設定（atmf virtual-link）
   
   AMFの詳細は、「アライドテレシスマネージメントフレームワーク（AMF）」の「概要」、「導入」、「運用」、「応用」各解説編やコマンド編をご覧ください。
   

   atmf network-name AMF001 atmf virtual-link id 1 ip 172.16.0.2 remote-id 1 remote-ip 172.16.0.1

6. AMF対応スイッチと接続するLANポートにAMFリンクの設定をします（switchport atmf-link）。
   

   interface port1.0.1 switchport atmf-link

7. ファイアウォールやNATのルール作成時に使うエンティティー（通信主体）を定義します。
   エンティティー定義の詳細は「UTM」/「エンティティー定義」をご覧ください。
   
   AMFマネージメントサブネット（atmf management subnet）を表すゾーン「atmf」を定義します。
   これには、zone、network、ip subnetの各コマンドを使います。
   
   AMF機能は内部的に管理用のIPアドレスを使用しており、デフォルトで172.31.0.0/16のサブネットを使用しています。
   AW+ルーターのファイアウォールはデフォルトですべてのL3パケットを破棄するため、AMFとファイアウォールを併用する際にはAMFマネージメントサブネットをゾーンとして定義し、ファイアウォールで許可設定を追加する必要があります。
   

   zone atmf network atmf-subnet ip subnet 172.31.0.0/16

8. 内部ネットワークを表すゾーン「private」を作成します。
   

   zone private network lan ip subnet 192.168.1.0/24 ip subnet 192.168.100.0/24 network tunnel ip subnet 172.16.0.0/30 interface tunnel0

9. 外部ネットワークを表すゾーン「public」を作成します。
   前記コマンドに加え、ここではhost、ip addressの各コマンドも使います。
   

   zone public network wan ip subnet 0.0.0.0/0 interface ppp0 host ppp0 ip address 10.0.0.2

10. ファイアウォールやNATのルール作成時に通信内容を指定するために使う「アプリケーション」を定義します。
    これには、application、protocol、dportの各コマンドを使います。
    アプリケーション定義の詳細は「UTM」/「アプリケーション定義」をご覧ください。
    
    IPsecのESPパケットを表すカスタムアプリケーション「esp」を定義します。
    

    application esp protocol 50

11. ISAKMPパケットを表すカスタムアプリケーション「isakmp」を定義します。
    

    application isakmp protocol udp dport 500

12. 外部からの通信を遮断しつつ、内部からの通信は自由に行えるようにするファイアウォール機能の設定を行います。
    これには、firewall、rule、protectの各コマンドを使います。
    
    ・rule 10 - 内部ネットワーク間の通信を許可します
    ・rule 20 - 内部ネットワークから外部への通信を許可します
    ・rule 30 - AMFマネージメントサブネット上の通信（「atmf」ゾーン）を許可します。
    本ルールのような許可設定を追加しない場合、AMFネットワークが構築できなくなるので注意してください。
    ・rule 40, 50 - ISAKMPパケットを許可します
    ・rule 60, 70 - IPsec（ESP）パケットを許可します
    
    ファイアウォールの詳細は「UTM」/「ファイアウォール」をご覧ください。
    

    firewall rule 10 permit any from private to private rule 20 permit any from private to public rule 30 permit any from atmf to atmf rule 40 permit isakmp from public.wan.ppp0 to public.wan rule 50 permit isakmp from public.wan to public.wan.ppp0 rule 60 permit esp from public.wan.ppp0 to public.wan rule 70 permit esp from public.wan to public.wan.ppp0 protect

13. LAN側ネットワークに接続されているすべてのコンピューターがダイナミックENAT機能を使用できるよう設定します。
    これには、nat、rule、enableの各コマンドを使います。
    NATの詳細は「UTM」/「NAT」をご覧ください。
    

    nat rule 10 masq any from private to public enable

14. 対向ルーターとの間で使用するISAKMPの事前共有鍵を設定します。これにはcrypto isakmp keyコマンドを使います。
    

    crypto isakmp key secret-1 address 10.0.0.1

15. IPsecトンネルインターフェースtunnel0を作成します。
    トンネルインターフェースの詳細は「VPN」/「トンネルインターフェース」を、IPsecの詳細は「VPN」/「IPsec」をご覧ください。
    
    これには、interfaceコマンドでトンネルインターフェースを作成し、以下の情報を設定します。
    
    ・トンネルインターフェースのMTU（mtu）
    ・トンネルインターフェースから送信するデリバリーパケットの始点（自装置）アドレス（tunnel source）
    ・トンネルインターフェースから送信するデリバリーパケットの終点（対向装置）アドレス（tunnel destination）
    ・トンネルインターフェースに対するIPsec保護の適用（tunnel protection ipsec）
    ・トンネリング方式（tunnel mode ipsec）
    ・トンネルインターフェースのIPアドレス（ip address）
    ・トンネルインターフェースにおけるMSS書き換え設定（ip tcp adjust-mss）
    

    interface tunnel0 mtu 1300 tunnel source 10.0.0.2 tunnel destination 10.0.0.1 tunnel protection ipsec tunnel mode ipsec ipv4 ip address 172.16.0.2/30 ip tcp adjust-mss 1260

16. IPの経路情報をスタティックに設定します。これにはip routeコマンドを使います。
    
    ・リモート側の内部ネットワーク（192.168.1.0/24）へはIPsecトンネル tunnel0 経由。ただし、tunnel0 が有効になるまでは、これらの経路を使用できないように設定
    ・その他（0.0.0.0/0）は ppp0 経由（デフォルト経路）
    
    IP経路設定の詳細は「IPルーティング」/「経路制御」をご覧ください。
    

    ip route 0.0.0.0/0 ppp0 ip route 192.168.1.0/24 tunnel0 ip route 192.168.1.0/24 Null 254

17. 以上で設定は完了です。
    

    end

1. LANポートにおいて初期状態で有効化されているスパニングツリープロトコル（RSTP）を無効化します。これにはspanning-tree enableコマンドをno形式で実行します。
   スパニングツリープロトコルの詳細は「L2スイッチング」/「スパニングツリープロトコル」をご覧ください。
   

   no spanning-tree rstp enable

2. WANポートeth1上にPPPoEインターフェースppp0を作成します。これには、encapsulation pppコマンドを使います。
   PPPの詳細は「PPP」/「一般設定」をご覧ください。
   

   interface eth1 encapsulation ppp 0

3. PPPインターフェースppp0に対し、PPPoE接続のための設定を行います。
   
   ・LCP EchoによるPPP接続状態の確認（keepalive）
   ・IPCPによるIPアドレスの取得要求（ip address negotiated）
   ・ユーザー名（ppp username）
   ・パスワード（ppp password）
   ・MSS書き換え（ip tcp adjust-mss）
   
   PPPの詳細は「PPP」/「一般設定」をご覧ください。
   

   interface ppp0 keepalive ppp username user@isp3 ppp password isppasswd3 ip address 10.0.0.3/32 ip tcp adjust-mss pmtu

4. LAN側インターフェースvlan1にIPアドレスを設定します。これにはip addressコマンドを使います。
   IPインターフェースの詳細は「IPルーティング」/「IPインターフェース」をご覧ください。
   

   interface vlan1 ip address 192.168.200.254/24

5. AMFの各種設定を行います。
   
   ・AMFネットワーク名の設定（atmf network-name）
   ・AMF仮想リンクの設定（atmf virtual-link）
   
   AMFの詳細は、「アライドテレシスマネージメントフレームワーク（AMF）」の「概要」、「導入」、「運用」、「応用」各解説編やコマンド編をご覧ください。
   

   atmf network-name AMF001 atmf virtual-link id 2 ip 172.16.0.6 remote-id 2 remote-ip 172.16.0.5

6. AMF対応スイッチと接続するLANポートにAMFリンクの設定をします（switchport atmf-link）。
   

   interface port1.0.1 switchport atmf-link

7. ファイアウォールやNATのルール作成時に使うエンティティー（通信主体）を定義します。
   エンティティー定義の詳細は「UTM」/「エンティティー定義」をご覧ください。
   
   AMFマネージメントサブネット（atmf management subnet）を表すゾーン「atmf」を定義します。
   これには、zone、network、ip subnetの各コマンドを使います。
   
   AMF機能は内部的に管理用のIPアドレスを使用しており、デフォルトで172.31.0.0/16のサブネットを使用しています。
   AW+ルーターのファイアウォールはデフォルトですべてのL3パケットを破棄するため、AMFとファイアウォールを併用する際にはAMFマネージメントサブネットをゾーンとして定義し、ファイアウォールで許可設定を追加する必要があります。
   

   zone atmf network atmf-subnet ip subnet 172.31.0.0/16

8. 内部ネットワークを表すゾーン「private」を作成します。
   

   zone private network lan ip subnet 192.168.1.0/24 ip subnet 192.168.200.0/24 network tunnel ip subnet 172.16.0.4/30 interface tunnel0

9. 外部ネットワークを表すゾーン「public」を作成します。
   前記コマンドに加え、ここではhost、ip addressの各コマンドも使います。
   

   zone public network wan ip subnet 0.0.0.0/0 interface ppp0 host ppp0 ip address 10.0.0.3

10. ファイアウォールやNATのルール作成時に通信内容を指定するために使う「アプリケーション」を定義します。
    これには、application、protocol、dportの各コマンドを使います。
    アプリケーション定義の詳細は「UTM」/「アプリケーション定義」をご覧ください。
    
    IPsecのESPパケットを表すカスタムアプリケーション「esp」を定義します。
    

    application esp protocol 50

11. ISAKMPパケットを表すカスタムアプリケーション「isakmp」を定義します。
    

    application isakmp protocol udp dport 500

12. 外部からの通信を遮断しつつ、内部からの通信は自由に行えるようにするファイアウォール機能の設定を行います。
    これには、firewall、rule、protectの各コマンドを使います。
    
    ・rule 10 - 内部ネットワーク間の通信を許可します
    ・rule 20 - 内部ネットワークから外部への通信を許可します
    ・rule 30 - AMFマネージメントサブネット上の通信（「atmf」ゾーン）を許可します。
    本ルールのような許可設定を追加しない場合、AMFネットワークが構築できなくなるので注意してください。
    ・rule 40, 50 - ISAKMPパケットを許可します
    ・rule 60, 70 - IPsec（ESP）パケットを許可します
    
    ファイアウォールの詳細は「UTM」/「ファイアウォール」をご覧ください。
    

    firewall rule 10 permit any from private to private rule 20 permit any from private to public rule 30 permit any from atmf to atmf rule 40 permit isakmp from public.wan.ppp0 to public.wan rule 50 permit isakmp from public.wan to public.wan.ppp0 rule 60 permit esp from public.wan.ppp0 to public.wan rule 70 permit esp from public.wan to public.wan.ppp0 protect

13. LAN側ネットワークに接続されているすべてのコンピューターがダイナミックENAT機能を使用できるよう設定します。
    これには、nat、rule、enableの各コマンドを使います。
    NATの詳細は「UTM」/「NAT」をご覧ください。
    

    nat rule 10 masq any from private to public enable

14. 対向ルーターとの間で使用するISAKMPの事前共有鍵を設定します。これにはcrypto isakmp keyコマンドを使います。
    

    crypto isakmp key secret-2 address 10.0.0.1

15. IPsecトンネルインターフェースtunnel0を作成します。
    トンネルインターフェースの詳細は「VPN」/「トンネルインターフェース」を、IPsecの詳細は「VPN」/「IPsec」をご覧ください。
    
    これには、interfaceコマンドでトンネルインターフェースを作成し、以下の情報を設定します。
    
    ・トンネルインターフェースのMTU（mtu）
    ・トンネルインターフェースから送信するデリバリーパケットの始点（自装置）アドレス（tunnel source）
    ・トンネルインターフェースから送信するデリバリーパケットの終点（対向装置）アドレス（tunnel destination）
    ・トンネルインターフェースに対するIPsec保護の適用（tunnel protection ipsec）
    ・トンネリング方式（tunnel mode ipsec）
    ・トンネルインターフェースのIPアドレス（ip address）
    ・トンネルインターフェースにおけるMSS書き換え設定（ip tcp adjust-mss）
    

    interface tunnel0 mtu 1300 tunnel source 10.0.0.3 tunnel destination 10.0.0.1 tunnel protection ipsec tunnel mode ipsec ipv4 ip address 172.16.0.6/30 ip tcp adjust-mss 1260

16. IPの経路情報をスタティックに設定します。これにはip routeコマンドを使います。
    
    ・リモート側の内部ネットワーク（192.168.1.0/24）へはIPsecトンネル tunnel0 経由。ただし、tunnel0 が有効になるまでは、これらの経路を使用できないように設定
    ・その他（0.0.0.0/0）は ppp0 経由（デフォルト経路）
    
    IP経路設定の詳細は「IPルーティング」/「経路制御」をご覧ください。
    

    ip route 0.0.0.0/0 ppp0 ip route 192.168.1.0/24 tunnel0 ip route 192.168.1.0/24 Null 254

17. 以上で設定は完了です。
    

    end

awplus# copy running-config startup-config ↓ Building configuration... [OK]

awplus# write memory ↓ Building configuration... [OK]

awplus(config)# log buffered level informational program kernel msgtext Firewall ↓

awplus# show log | include firewall ↓

! no spanning-tree rstp enable ! interface eth1 encapsulation ppp 0 ! interface ppp0 keepalive ppp username user@isp1 ppp password isppasswd1 ip address 10.0.0.1/32 ip tcp adjust-mss pmtu ! interface vlan1 ip address 192.168.1.254/24 ! atmf network-name AMF001 atmf virtual-link id 1 ip 172.16.0.1 remote-id 1 remote-ip 172.16.0.2 atmf virtual-link id 2 ip 172.16.0.5 remote-id 2 remote-ip 172.16.0.6 ! interface port1.0.1 switchport atmf-link ! zone atmf network atmf-subnet ip subnet 172.31.0.0/16 ! zone private network lan ip subnet 192.168.1.0/24 ip subnet 192.168.100.0/24 ip subnet 192.168.200.0/24 network tunnel ip subnet 172.16.0.0/30 interface tunnel0 ip subnet 172.16.0.4/30 interface tunnel1 ! zone public network wan ip subnet 0.0.0.0/0 interface ppp0 host ppp0 ip address 10.0.0.1 ! application esp protocol 50 ! application isakmp protocol udp dport 500 ! firewall rule 10 permit any from private to private rule 20 permit any from private to public rule 30 permit any from atmf to atmf rule 40 permit isakmp from public.wan.ppp0 to public.wan rule 50 permit isakmp from public.wan to public.wan.ppp0 rule 60 permit esp from public.wan.ppp0 to public.wan rule 70 permit esp from public.wan to public.wan.ppp0 protect ! nat rule 10 masq any from private to public enable ! crypto isakmp key secret-1 address 10.0.0.2 crypto isakmp key secret-2 address 10.0.0.3 ! interface tunnel0 mtu 1300 tunnel source 10.0.0.1 tunnel destination 10.0.0.2 tunnel protection ipsec tunnel mode ipsec ipv4 ip address 172.16.0.1/30 ip tcp adjust-mss 1260 ! interface tunnel1 mtu 1300 tunnel source 10.0.0.1 tunnel destination 10.0.0.3 tunnel protection ipsec tunnel mode ipsec ipv4 ip address 172.16.0.5/30 ip tcp adjust-mss 1260 ! ip route 0.0.0.0/0 ppp0 ip route 192.168.100.0/24 tunnel0 ip route 192.168.100.0/24 Null 254 ip route 192.168.200.0/24 tunnel1 ip route 192.168.200.0/24 Null 254 ! end

! no spanning-tree rstp enable ! interface eth1 encapsulation ppp 0 ! interface ppp0 keepalive ppp username user@isp2 ppp password isppasswd2 ip address 10.0.0.2/32 ip tcp adjust-mss pmtu ! interface vlan1 ip address 192.168.100.254/24 ! atmf network-name AMF001 atmf virtual-link id 1 ip 172.16.0.2 remote-id 1 remote-ip 172.16.0.1 ! interface port1.0.1 switchport atmf-link ! zone atmf network atmf-subnet ip subnet 172.31.0.0/16 ! zone private network lan ip subnet 192.168.1.0/24 ip subnet 192.168.100.0/24 network tunnel ip subnet 172.16.0.0/30 interface tunnel0 ! zone public network wan ip subnet 0.0.0.0/0 interface ppp0 host ppp0 ip address 10.0.0.2 ! application esp protocol 50 ! application isakmp protocol udp dport 500 ! firewall rule 10 permit any from private to private rule 20 permit any from private to public rule 30 permit any from atmf to atmf rule 40 permit isakmp from public.wan.ppp0 to public.wan rule 50 permit isakmp from public.wan to public.wan.ppp0 rule 60 permit esp from public.wan.ppp0 to public.wan rule 70 permit esp from public.wan to public.wan.ppp0 protect ! nat rule 10 masq any from private to public enable ! crypto isakmp key secret-1 address 10.0.0.1 ! interface tunnel0 mtu 1300 tunnel source 10.0.0.2 tunnel destination 10.0.0.1 tunnel protection ipsec tunnel mode ipsec ipv4 ip address 172.16.0.2/30 ip tcp adjust-mss 1260 ! ip route 0.0.0.0/0 ppp0 ip route 192.168.1.0/24 tunnel0 ip route 192.168.1.0/24 Null 254 ! end

! no spanning-tree rstp enable ! interface eth1 encapsulation ppp 0 ! interface ppp0 keepalive ppp username user@isp3 ppp password isppasswd3 ip address 10.0.0.3/32 ip tcp adjust-mss pmtu ! interface vlan1 ip address 192.168.200.254/24 ! atmf network-name AMF001 atmf virtual-link id 2 ip 172.16.0.6 remote-id 2 remote-ip 172.16.0.5 ! interface port1.0.1 switchport atmf-link ! zone atmf network atmf-subnet ip subnet 172.31.0.0/16 ! zone private network lan ip subnet 192.168.1.0/24 ip subnet 192.168.200.0/24 network tunnel ip subnet 172.16.0.4/30 interface tunnel0 ! zone public network wan ip subnet 0.0.0.0/0 interface ppp0 host ppp0 ip address 10.0.0.3 ! application esp protocol 50 ! application isakmp protocol udp dport 500 ! firewall rule 10 permit any from private to private rule 20 permit any from private to public rule 30 permit any from atmf to atmf rule 40 permit isakmp from public.wan.ppp0 to public.wan rule 50 permit isakmp from public.wan to public.wan.ppp0 rule 60 permit esp from public.wan.ppp0 to public.wan rule 70 permit esp from public.wan to public.wan.ppp0 protect ! nat rule 10 masq any from private to public enable ! crypto isakmp key secret-2 address 10.0.0.1 ! interface tunnel0 mtu 1300 tunnel source 10.0.0.3 tunnel destination 10.0.0.1 tunnel protection ipsec tunnel mode ipsec ipv4 ip address 172.16.0.6/30 ip tcp adjust-mss 1260 ! ip route 0.0.0.0/0 ppp0 ip route 192.168.1.0/24 tunnel0 ip route 192.168.1.0/24 Null 254 ! end

(C) 2015 - 2016 アライドテレシスホールディングス株式会社

PN: 613-002107 Rev.K