[index] CentreCOM AR450S コマンドリファレンス 2.9

IPsec/概要・基本設定

  - 基本設定
   - ISAKMP/IKEによるIPsec VPN
   - 手動鍵によるIPsec VPN
  - 詳細設定
   - IPsec/ISAKMPモジュールの有効化
   - IPsecポリシー（SPD）
   - SA情報の設定
    - SAスペック
    - バンドルスペック
   - 鍵管理の設定
    - ISAKMP/IKEによる自動鍵管理
    - 手動鍵管理
   - その他
    - UDPトンネリング（ESP over UDP）
    - IPsec NAT-Traversal（NAT-T）
    - IPsecとファイアウォールの併用
    - Unnumbered IPインターフェース使用時の注意
  - 動作・設定の確認
   - 基本的な情報
   - デバッグオプション
   - 統計カウンター

IPsec（IP security）は、IPに暗号化や認証などのセキュリティー機能を付加する一連のプロトコル群です。

本製品は暗号処理チップをオンボード搭載しており、IPsecを使用した安全性の高いVPN（Virtual Private Network）を構築できます。

IPsecを使用すると、次のようなことが可能になります。

• IP通信の暗号化：IPを使うすべての通信（WWW、FTP、Telnetなど）を暗号化できます。IP層で暗号化するため、上位のIPアプリケーションがIPsecに対応している必要はありません。また、暗号化をルーターで行うためユーザーがIPsecの存在を意識する必要がありません。
  
• IP通信の改ざん検出：IPパケットに付加された認証データを検証することにより、通信経路上でのパケット改ざんを検出・防止できます。
  
• IP通信の相手認証：IPパケットに付加された認証データを検証することにより、パケットの送信元が意図した相手であることを確認できます。
  
• IP通信のトンネリング：ルーター間でパケットをトンネリングすることにより、プライベートネットワーク間のIP通信が可能になります（VPN）。
  

Note - IPsecを使用するには、通信データの暗号化と復号化を行うすべてのルーターが同じ暗号化方式に対応している必要があります。

基本設定

• 本製品同士がIPで直接通信できること
  
• 少なくとも一方のルーターのアドレスが固定されていること
  

• プライベートネットワーク間のVPN通信
  
  • トンネリングによるプライベートIPアドレスの隠蔽
    
  • IPsecによる暗号化と認証データ付加
    
• インターネットとの（通常の）IP通信
  

ISAKMP/IKEによるIPsec VPN

• IKEネゴシエーションを行うための設定（ISAKMPポリシー）
  
• IPsec通信の基本仕様の設定（SAスペックとSAバンドルスペック）
  
• IPsec通信の範囲指定（IPsecポリシー）
  

1. IPsec VPNは、ルーター（セキュリティーゲートウェイ）間でIPトンネルを張ることによって実現されます。そのためには、ルーター間でIPの通信ができなくてはなりません。各ルーターの接続形態に応じて、通常のIP設定までをすませておいてください。
   
   
2. 鍵管理プロトコルISAKMP/IKEの設定を行います。最初に、ルーター間で認証を行うときに使う事前共有鍵（pre-shared key）を作成します。共有鍵なので、鍵の値は両方のルーターで同じでなくてはなりません。鍵番号は異なっていてもかまいません。
   
   CREATE ENCO KEY=1 TYPE=GENERAL VALUE="jogefoge" ↓
   
   
3. ISAKMPポリシーを作成し、IKEネゴシエーションの相手ルーターを登録します。PEERに相手ルーターのIPアドレスを、KEYに事前共有鍵の番号を指定してください。
   
   CREATE ISAKMP POLICY=i PEER=2.2.2.2 KEY=1 SENDN=TRUE ↓
   
   なお、相手ルーターのアドレスが不定な場合はPEERにANYを指定し、代わりに相手ルーターのID（任意の文字列）を「REMOTEID="RouterB"」のように指定してください。相手ルーター側では、自分のIDを「LOCALID="RouterB"」のように指定してください。
   
   また、片側のアドレスが不定な場合は、「MODE=AGGRESSIVE」を指定してAggressiveモードを使うようにしてください（省略時はMainモードになります）。
   
   
   • アドレス固定側
     
     CREATE ISAKMP POLICY=i PEER=ANY KEY=1 SENDN=TRUE REMOTEID="RouterB" MODE=AGGRESSIVE ↓
     
     
   • アドレス不定側
     
     CREATE ISAKMP POLICY=i PEER=1.1.1.1 KEY=1 SENDN=TRUE LOCALID="RouterB" MODE=AGGRESSIVE ↓

   
   

   Note - 両方のルーターのアドレスが不定な場合は、IPsec VPNを実用的に使用することはできません。通常の運用では、少なくとも片側のアドレスが固定になっている必要があります。

   
   
4. 次にIPsec SA（IPsecの通信仕様）の設定を行います。SAスペックとSAバンドルスペックを作成し、IPsec通信で使用するセキュリティープロトコルとアルゴリズムの組み合わせを指定します。ここでは、ESP（IP暗号ペイロード）を使ってIPパケットの暗号化と認証を行うための設定を示します。通常はこの設定で問題ないでしょう。
   
   CREATE IPSEC SASPEC=1 KEYMAN=ISAKMP PROT=ESP ENCALG=DES HASHALG=SHA ↓
CREATE IPSEC BUNDLE=1 KEYMAN=ISAKMP STRING="1" ↓

   
   
5. ここからIPsecポリシー（IPsecの適用範囲）の設定を行います。最初にISAKMPメッセージ（始点・終点ともにUDP500番）を素通しするためのポリシーを作成します。IPsecポリシーの検索は作成順に行われるため、ISAKMP/IKEを使用する場合は必ず最初にこの設定を行ってください。INTERFACEパラメーターには、WAN側インターフェースを指定します。その他は例のとおりで結構です。
   
   CREATE IPSEC POLICY=isa INT=ppp0 ACTION=PERMIT LPORT=500 RPORT=500 TRANSPORT=UDP ↓
   
   
6. 次にIPsecを適用するパケットの条件（IPsec VPNのアドレス範囲）を指定します。IPsec VPNでは、プライベートLAN間の通信だけをIPsecの対象とします。少し長くなりますが、最低限以下のパラメーターを実際の環境に合わせて指定してください。
   
   
   • INTERFACE：ルーターのWAN側インターフェース
     
   • BUNDLE：手順4で作成したSAバンドルスペックの番号
     
   • PEER：相手ルーターのIPアドレス。相手のアドレスが不定なときはDYNAMICを指定してください。
     
   • LAD, LMA：ローカル側LANの範囲。LADにネットワークアドレスを、LMAにネットマスクを指定します。
     
   • RAD, RMA：リモート側LANの範囲。RADにネットワークアドレスを、RMAにネットマスクを指定します。
     
   
   
   CREATE IPSEC POLICY=vpn INT=ppp0 ACTION=IPSEC KEYMAN=ISAKMP BUNDLE=1 PEER=2.2.2.2 ↓
SET IPSEC POLICY=vpn LAD=192.168.10.0 LMA=255.255.255.0 RAD=192.168.20.0 RMA=255.255.255.0 ↓

   
   この例では、192.168.10.0/24と192.168.20.0/24間の通信にIPsecを適用しています。
   
   
7. 最後にVPN通信以外のパケットを素通しするポリシーを作成します。この設定は、インターネットへのアクセスが必要ない場合は省略してもかまいません。
   
   CREATE IPSEC POLICY=inet INT=ppp0 ACTION=PERMIT ↓
   
   

   Note - この構成ではLAN側のコンピューターにプライベートアドレスが設定されているため、実際にLANからインターネットへアクセスするにはNATの設定が必要です。詳しくは「IPsecとファイアウォールの併用」をご覧ください。

   
   
8. IPsecとISAKMPを有効にします。
   
   ENABLE IPSEC ↓
ENABLE ISAKMP ↓

   
   
9. Security Officerレベルのユーザーを登録します。
   
   ADD USER=secoff PASS=PasswordS PRIVILEGE=SECURITYOFFICER ↓
   
   
10. Security Officerレベルのユーザーでログインしなおします。
    
    LOGIN secoff ↓
    
    
11. 設定内容を保存し、次回起動時に読み込まれるように設定します。
    
    CREATE CONFIG=ipsecvpn.cfg ↓
SET CONFIG=ipsecvpn.cfg ↓

    
    
12. セキュリティーモードに移行します。
    
    ENABLE SYSTEM SECURITY_MODE ↓
    
    

    Note - Security Officerレベルのユーザーが登録されていないと、セキュリティーモードに移行できません。

手動鍵によるIPsec VPN

• IPsec通信で使う暗号鍵・認証鍵の作成
  
• IPsec通信の基本仕様の設定（SAスペックとSAバンドルスペック）
  
• IPsec通信の範囲指定（IPsecポリシー）
  

Note - 手動鍵を使う場合は、両方のルーターのアドレスが固定されていなくてはなりません。片側のアドレスが不定な場合は、ISAKMP/IKEによる自動鍵管理をご使用ください。

1. IPsec VPNは、ルーター（セキュリティーゲートウェイ）間でIPトンネルを張ることによって実現されます。そのためには、ルーター間でIPの通信ができなくてはなりません。各ルーターの接続形態に応じて、通常のIP設定までをすませておいてください。
   
   
2. IPsec通信で使う暗号鍵と認証鍵を作成します。ここでは、暗号に56ビットDESを、認証にSHA-1を使うものとします。これらの鍵は共有鍵なので、両方のルーターで同じになるように設定してください。ただし、鍵番号は異なっていてもかまいません。鍵作成の詳細については、「暗号」の章をご覧ください。
   
   ■ 通常は、片側のルーターでランダムに鍵を生成し、その値をもう一方のルーターに手動入力します。
   
   CREATE ENCO KEY=1 TYPE=DES RANDOM DESCRIPTION="IPsec DES key" ↓
CREATE ENCO KEY=2 TYPE=GENERAL LENGTH=20 RANDOM DESCRIPTION="IPsec SHA-1 key" ↓

   
   ■ 作成した鍵の値を表示させるには、SHOW ENCO KEYコマンドを使います。
   

   SecOff > show enco key=1 j7amxbbrhun48a 0x4F40CB84313D1BAF IP Address: - SecOff > show enco key=2 0xca59ba48cd4e1c8d5ed3ad62ce786758cb01dcf3 IP Address: -

   
   ■ もう一方のルーターに手動で鍵の値を入力します。
   
   CREATE ENCO KEY=1 TYPE=DES VALUE=0xF888CAC6C66ECF52 DESCRIPTION="IPsec DES key" ↓
CREATE ENCO KEY=2 TYPE=GENERAL VALUE=0x431d62cd3cb76fb8101dacaf43aa4dbfb919e957 DESCRITION="IPsec SHA-1 key" ↓

   
   
3. 次にIPsec SA（IPsecの通信仕様）の設定を行います。SAスペックとSAバンドルスペックを作成し、IPsec通信で使用するセキュリティープロトコルとアルゴリズムの組み合わせ、暗号鍵と認証鍵、外向き・内向きのSPI値（256〜4294967295）を指定します。ここでは、ESP（IP暗号ペイロード）を使ってIPパケットの暗号化と認証を行うための設定を示します。通常はこの設定で問題ないでしょう。相手ルーターでは、INSPIとOUTSPIの値を入れ替えてください。
   
   CREATE IPSEC SASPEC=1 KEYMAN=MANUAL PROT=ESP ENCALG=DES ENCKEY=1 HASHALG=SHA HASHKEY=2 INSPI=1000 OUTSPI=1001 ↓
CREATE IPSEC BUNDLE=1 KEYMAN=MANUAL STRING="1" ↓

   
   
4. ここからIPsecポリシー（IPsecの適用範囲）の設定を行います。最初にIPsecを適用するパケットの条件（IPsec VPNのアドレス範囲）を指定します。IPsec VPNでは、プライベートLAN間の通信だけをIPsecの対象とします。少し長くなりますが、最低限以下のパラメーターを実際の環境に合わせて指定してください。
   
   
   • INTERFACE：ルーターのWAN側インターフェース
     
   • BUNDLE：手順4で作成したSAバンドルスペックの番号
     
   • PEER：相手ルーターのIPアドレス。相手のアドレスが不定なときは手動鍵は使用できません。
     
   • LAD, LMA：ローカル側LANの範囲。LADにネットワークアドレスを、LMAにネットマスクを指定します。
     
   • RAD, RMA：リモート側LANの範囲。RADにネットワークアドレスを、RMAにネットマスクを指定します。
     
   
   
   CREATE IPSEC POLICY=vpn INT=ppp0 ACTION=IPSEC KEYMAN=MANUAL BUNDLE=1 PEER=2.2.2.2 ↓
SET IPSEC POLICY=vpn LAD=192.168.10.0 LMA=255.255.255.0 RAD=192.168.20.0 RMA=255.255.255.0 ↓

   
   この例では、192.168.10.0/24と192.168.20.0/24間の通信にIPsecを適用しています。
   
   
5. 最後にVPN通信以外のパケットを素通しするポリシーを作成します。この設定は、インターネットへのアクセスが必要ない場合は省略してもかまいません。
   
   CREATE IPSEC POLICY=inet INT=ppp0 ACTION=PERMIT ↓
   
   

   Note - この構成ではLAN側のコンピューターにプライベートアドレスが設定されているため、実際にLANからインターネットへアクセスするにはNATの設定が必要です。詳しくは「IPsecとファイアウォールの併用」をご覧ください。

   
   
6. IPsecを有効にします。
   
   ENABLE IPSEC ↓
   
   
7. Security Officerレベルのユーザーを登録します。
   
   ADD USER=secoff PASS=PasswordS PRIVILEGE=SECURITYOFFICER ↓
   
   
8. Security Officerレベルのユーザーでログインしなおします。
   
   LOGIN secoff ↓
   
   
9. 設定内容を保存し、次回起動時に読み込まれるように設定します。
   
   CREATE CONFIG=ipsecvpn.cfg ↓
SET CONFIG=ipsecvpn.cfg ↓

   
   
10. セキュリティーモードに移行します。
    
    ENABLE SYSTEM SECURITY_MODE ↓
    
    

    Note - Security Officerレベルのユーザーが登録されていないと、セキュリティーモードに移行できません。

詳細設定

IPsec/ISAKMPモジュールの有効化

ENABLE IPSEC ↓

ENABLE ISAKMP ↓

SHOW IPSEC ↓

SHOW ISAKMP ↓

IPsecポリシー（SPD）

CREATE IPSEC POLICY=name INTERFACE=interface ACTION={DENY|IPSEC|PERMIT} selectors... ipsec_params... ↓


表 1：IPsecポリシーの基本パラメーター

パラメーター	説明
POLICY	ポリシー名。任意です
INTERFACE	適用インターフェース。IPsecポリシーはインターフェースごとに設定します。ポリシーの検索は、パケットが指定インターフェースから送信されるとき、および、指定インターフェースで受信したときに行われます。通常はWAN側のインターフェースを指定します
ACTION	パケットに対する処理（アクション）。IPsec適用、通過、拒否の3種類があります（別表参照）。ポリシーの順番に気を付けてください
selectors...	パケットの条件指定パラメーター。始点・終点アドレス、プロトコル、ポートなど、パケットを分類するための条件を指定します（別表参照）
ipsec_params...	IPsec処理に関するパラメーター。アクションとして「IPsec適用」を選択したときだけ指定します（別表参照）

表 2：IPsecポリシーの条件パラメーター

パラメーター	説明
LADDRESS	ローカル側IPアドレス
LMASK	LADDRESSに対するネットマスク
LNAME	ローカル側システム名（フェーズ2 ID）
LPORT	ローカル側ポート番号（プロトコルがTCPかUDPのときのみ）
RADDRESS	リモート側IPアドレス
RMASK	RADDRESSに対するネットマスク
RNAME	リモート側システム名（フェーズ2 ID）
RPORT	リモート側ポート番号（プロトコルがTCPかUDPのときのみ）
TRANSPORTPROTOCOL	IPプロトコルタイプ（TCP、UDPなど）

表 3：IPsecポリシーのアクション

アクション	説明
PERMIT	パケットを通過させる（IPsecを適用しない）
IPSEC	パケットにIPsec処理を適用する（BUNDLESPECIFICATIONパラメーターで指定したSAバンドルの処理を適用する）
DENY	パケットを破棄する

表 4：IPsec関連パラメーター

パラメーター	説明
BUNDLESPECIFICATION	SAバンドルスペック。IPsec処理（SAスペックで記述）の組み合わせを記述したSAバンドルスペックの番号を指定します
KEYMANAGEMENT	鍵管理方式。鍵を自動（ISAKMP）で管理するか手動（MANUAL）で管理するかを指定します
PEERADDRESS	対向IPsec機器のアドレス。トンネルモードSAの場合は、カプセル化したパケットの送り先（トンネルの終端）を指定します。また、トランスポートモードSAの場合は、対象パケットの最終的な送信先を指定します

CREATE IPSEC POLICY=isa INT=ppp0 ACTION=PERMIT LPORT=500 RPORT=500 TRANSPORT=UDP ↓

CREATE IPSEC POLICY=vpn INT=ppp0 ACTION=IPSEC KEYMAN=ISAKMP BUNDLE=1 PEER=2.2.2.2 ↓
SET IPSEC POLICY=vpn LAD=192.168.10.0 LMA=255.255.255.0 RAD=192.168.20.0 RMA=255.255.255.0 ↓


Note - 手動鍵の場合は、KEYMANAGEMENTパラメーターにMANUALを指定してください。

CREATE IPSEC POLICY=vpn INT=ppp0 ACTION=IPSEC KEYMAN=ISAKMP BUNDLE=1 PEER=DYNAMIC ↓
SET IPSEC POLICY=vpn LAD=192.168.10.0 LMA=255.255.255.0 RAD=192.168.20.0 RMA=255.255.255.0 ↓


CREATE IPSEC POLICY=vpn INT=ppp0 ACTION=IPSEC KEYMAN=ISAKMP BUNDLE=1 PEER=1.1.1.1 ↓
SET IPSEC POLICY=vpn LAD=192.168.20.0 LMA=255.255.255.0 RAD=192.168.10.0 RMA=255.255.255.0 ↓


Note - 片側のアドレスが不定なときはISAKMP/IKE（AggressiveモードまたはXAUTH）を使ってください。アドレスが不定なときは手動鍵は使えません。

CREATE IPSEC POLICY=vpncli INT=ppp0 ACTION=IPSEC KEYMAN=ISAKMP BUNDLE=1 PEER=1.2.3.4 ↓
SET IPSEC POLICY=vpncli LAD=192.168.10.0 LMA=255.255.255.0 RAD=1.2.3.4 ↓


CREATE IPSEC POLICY=vpncli INT=ppp0 ACTION=IPSEC KEYMAN=ISAKMP BUNDLE=1 PEER=DYNAMIC ↓
SET IPSEC POLICY=vpncli LAD=192.168.10.0 LMA=255.255.255.0 RNAME=clientname ↓


CREATE IPSEC POLICY=vpncli INT=ppp0 ACTION=IPSEC KEYMAN=ISAKMP BUNDLE=1 PEER=1.1.1.1 ↓
SET IPSEC POLICY=vpncli LNAME=clientname RAD=192.168.10.0 RMA=255.255.255.0 ↓


Note - 片側のアドレスが不定なときはISAKMP/IKE（AggressiveモードまたはXAUTH）を使ってください。アドレスが不定なときは手動鍵は使えません。

CREATE IPSEC POLICY=v1 INT=ppp0 ACTION=IPSEC KEYMAN=ISAKMP BUNDLE=1 PEER=DYNAMIC ↓
SET IPSEC POLICY=v1 LAD=192.168.10.0 LMA=255.255.255.0 RNAME=client1 ↓
CREATE IPSEC POLICY=v2 INT=ppp0 ACTION=IPSEC KEYMAN=ISAKMP BUNDLE=1 PEER=DYNAMIC ↓
SET IPSEC POLICY=v2 LAD=192.168.10.0 LMA=255.255.255.0 RNAME=client2 ↓
CREATE IPSEC POLICY=v3 INT=ppp0 ACTION=IPSEC KEYMAN=ISAKMP BUNDLE=1 PEER=DYNAMIC ↓
SET IPSEC POLICY=v3 LAD=192.168.10.0 LMA=255.255.255.0 RNAME=client3 ↓


CREATE IPSEC POLICY=vpn INT=ppp0 ACTION=IPSEC KEYMAN=ISAKMP BUNDLE=2 PEER=1.2.3.4 ↓
SET IPSEC POLICY=vpn LAD=1.1.1.1 RAD=1.2.3.4 ↓


Note - SAスペック、バンドルスペックの設定については「SA情報の設定」をご覧ください。

CREATE IPSEC POLICY=inet INT=ppp0 ACTION=PERMIT ↓

SHOW IPSEC POLICY ↓

SHOW IPSEC POLICY=vpn ↓

SA情報の設定

SAスペック

CREATE IPSEC SASPECIFICATION=spec-id KEYMANAGEMENT={ISAKMP|MANUAL} PROTOCOL={AH|ESP} [MODE={TRANSPORT|TUNNEL}] algorithms... keys... spis... ↓


CREATE IPSEC SASPEC=1 KEYMAN=ISAKMP PROTO=ESP ENCALG=DES HASHALG=SHA ↓

CREATE IPSEC SASPEC=1 KEYMAN=ISAKMP PROTO=ESP ENCALG=DES HASHALG=NULL ↓

CREATE IPSEC SASPEC=1 KEYMAN=ISAKMP PROTO=ESP ENCALG=NULL HASHALG=SHA ↓

Note - ENCALGとHASHALGの両方にNULLを指定することはできません。

CREATE IPSEC SASPEC=1 KEYMAN=MANUAL PROTO=ESP ENCALG=DES HASHALG=SHA ENCKEY=1 HASHKEY=2 INSPI=1000 OUTSPI=1001 ↓

CREATE IPSEC SASPEC=2 KEYMAN=ISAKMP PROTO=AH HASHALG=SHA ↓

CREATE IPSEC SASPEC=2 KEYMAN=MANUAL PROTO=AH HASHALG=SHA HASHKEY=2 INSPI=2000 OUTSPI=2001 ↓

SHOW IPSEC SASPECIFICATION ↓
SHOW IPSEC SASPECIFICATION=1 ↓


SHOW IPSEC SA ↓
SHOW IPSEC SA=1 ↓


バンドルスペック

CREATE IPSEC BUNDLESPECIFICATION=bspec-id KEYMANAGEMENT={ISAKMP|MANUAL} ↓
STRING="bundle-string" sa_lifetime... ↓


表 5：SAスペックのサンプル

番号	プロトコル	暗号方式	認証方式
1	ESP	DES	SHA1
2	ESP	DES	MD5
3	AH	−	SHA1
4	AH	−	MD5

"1" ↓

"1 and 3" ↓

"1 and 3 or 4" ↓

"1 and 3, 1 and 4, 1" ↓

CREATE IPSEC BUNDLE=1 KEYMAN=ISAKMP STR="1" ↓

CREATE IPSEC BUNDLE=2 KEYMAN=MANUAL STR="2 and 4" ↓

CREATE IPSEC BUNDLE=3 KEYMAN=ISAKMP STR="1 and 3, 1" ↓

SHOW IPSEC BUNDLESPECIFICATION ↓
SHOW IPSEC BUNDLESPECIFICATION=1 ↓


SHOW IPSEC POLICY SABUNDLE ↓
SHOW IPSEC POLICY=v1 SABUNDLE ↓


鍵管理の設定

ISAKMP/IKEによる自動鍵管理

Note - RSAデジタル署名方式ではPKIモジュールを使用するため、別売のPKIフィーチャーライセンスが必要です。

CREATE ISAKMP POLICY=name PEER={ipadd|ANY} [KEY=0..65535] SENDNOTIFY=TRUE ↓

CREATE ENCO KEY=1 TYPE=GENERAL VALUE="pobaetrpnjkakdf" ↓

CREATE ISAKMP POLICY=i PEER=2.2.2.2 KEY=1 SENDN=TRUE ↓

CREATE ISAKMP POLICY=i PEER=ANY KEY=1 REMOTEID=client MODE=AGGRESSIVE SENDN=TRUE ↓

CREATE ISAKMP POLICY=i PEER=1.1.1.1 KEY=1 LOCALID=client MODE=AGGRESSIVE SENDN=TRUE ↓

Note - LOCALIDを指定しなかった場合、IDペイロードには自分のIPアドレスがセットされます。

CREATE ISAKMP POLICY=two PEER=2.2.2.2 KEY=1 SENDN=TRUE ↓
CREATE ISAKMP POLICY=three PEER=3.3.3.3 KEY=2 SENDN=TRUE ↓


CREATE ISAKMP POLICY=c1 PEER=ANY KEY=1 REMOTEID=peer1 MODE=AGGRESSIVE SENDN=TRUE ↓
CREATE ISAKMP POLICY=c2 PEER=ANY KEY=2 REMOTEID=peer2 MODE=AGGRESSIVE SENDN=TRUE ↓


CREATE ISAKMP POLICY=i PEER=ANY KEY=1 SENDN=TRUE XAUTH=SERVER ↓
ADD USER=client1 PASSWORD=passclie1 LOGIN=NO ↓
ADD USER=client2 PASSWORD=passclie2 LOGIN=NO ↓
... ↓


CREATE ISAKMP POLICY=i PEER=1.1.1.1 KEY=1 SENDN=TRUE XAUTH=CLIENT ↓
SET ISAKMP POLICY=i XAUTHNAME=client1 XAUTHPASS=passclie1 ↓


CREATE ISAKMP POLICY=i PEER=2.2.2.2 AUTHTYPE=RSASIG LOCALRSAKEY=2 SENDN=TRUE ↓

CREATE ISAKMP POLICY=i PEER=2.2.2.2 KEY=1 SENDN=TRUE GROUP=2 ↓

SHOW ISAKMP POLICY ↓
SHOW ISAKMP POLICY=i ↓


手動鍵管理

その他

UDPトンネリング（ESP over UDP）

Note - ただし、NATによってIPヘッダーが変更されるため、セキュリティープロトコルとしてAHを使うことはできません。これは、AHのデータ認証範囲が外側IPヘッダー（の一部）を含むためです。

Note - ESP over UDPを使う場合は、該当するISAKMPポリシーでNAT-Traversal（NAT-T）を無効に設定してください（デフォルトは無効）。NAT-Tの有効・無効は、CREATE ISAKMP POLICYコマンド、SET ISAKMP POLICYコマンドのNATTRAVERSALパラメーターで指定します。

SET IPSEC POLICY=vpn UDPTUNNEL=TRUE ↓

SET IPSEC POLICY=vpn UDPHEARTBEAT=TRUE ↓

CREATE IPSEC POLICY=udp INT=ppp0 ACTION=PERMIT LPORT=2746 TRANSPORT=UDP ↓

SET IPSEC UDPPORT=3456 ↓

SET IPSEC POLICY=vpn UDPPORT=3456 ↓

Note - UDPポートを変更したときは、トンネリングパケットを通過させるIPsecポリシーの条件も忘れずに変更してください。

IPsec NAT-Traversal（NAT-T）

Note - NAT機器を経由する場合はIPヘッダーが変更されるため、セキュリティープロトコルとしてAHを使うことはできません。これは、AHのデータ認証範囲が外側IPヘッダー（の一部）を含むためです。

Note - ESP over UDPを使う場合は、該当するISAKMPポリシーでNAT-Traversal（NAT-T）を無効に設定してください（デフォルトは無効）。NAT-Tの有効・無効は、CREATE ISAKMP POLICYコマンド、SET ISAKMP POLICYコマンドのNATTRAVERSALパラメーターで指定します。

1. ISAKMPフェーズ1の開始時に、NAT-Tの対応バージョンを示す特殊なVendor IDペイロードを交換することで、相手もNAT-Tに対応しているかどうかを検知します。
   
   
2. 同じくISAKMPフェーズ1中に、NAT-D（Discovery）ペイロードを交換して、通信経路上にNAT機器が存在しているかどうか、存在している場合はどこにあるかを検出します。
   
   
3. 相手がNAT-Tに対応していない、あるいは、通信経路上にNAT機器が存在していないと判断した場合は、通常どおりISAKMPのネゴシエーションを行い、IPsecの通信を開始します。
   
   
4. 相手がNAT-Tに対応しており、なおかつ、NAT機器の存在を検出した場合は、使用するUDPポートをISAKMPのデフォルトポートである500番からNAT-T用の4500番に変更し、以後4500番ポートでISAKMPとIPsec（ESP）の両方の通信を行います。
   
   
5. UDP 4500番ポートでは、ISAKMPメッセージだけでなくIPsecデータ（ESP）パケットもやりとりされますが、ISAKMPメッセージの場合は、ISAKMPヘッダーの前にnon-ESPマーカーを置くことでIPsec（ESP）と区別します。
   
   
6. NAT機器の配下にあると認識した側は、定期的にキープアライブメッセージを送信して、NAT機器の変換テーブルからセッション情報が削除されないようにします。
   

• Negotiation of NAT-Traversal in the IKE
  
  
  • draft-ietf-ipsec-nat-t-ike-02
    
  • draft-ietf-ipsec-nat-t-ike-08
    
  
  
• UDP Encapsulation of IPsec Packets
  
  
  • draft-ietf-ipsec-udp-encaps-02
    
  • draft-ietf-ipsec-udp-encaps-08
    

SET ISAKMP POLICY=i NATTRAVERSAL=TRUE ↓

CREATE IPSEC POLICY=natt INT=ppp0 ACTION=PERMIT LPORT=4500 TRANSPORT=UDP ↓

IPsecとファイアウォールの併用

ENABLE FIREWALL CREATE FIREWALL POLICY=net ENABLE FIREWALL POLICY=net ICMP_F=ALL DISABLE FIREWALL POLICY=net IDENTPROXY ADD FIREWALL POLICY=net INT=vlan1 TYPE=PRIVATE ADD FIREWALL POLICY=net INT=ppp0 TYPE=PUBLIC ADD FIREWALL POLICY=net NAT=ENHANCED INT=vlan1 GBLINT=ppp0

ADD FIREWALL POLICY=net RULE=1 ACTION=ALLOW INT=ppp0 PROT=UDP GBLPORT=500 GBLIP=1.1.1.1 PORT=500 IP=1.1.1.1 ↓

ADD FIREWALL POLICY=net RULE=2 ACTION=ALLOW INT=ppp0 PROT=UDP GBLPORT=2746 GBLIP=1.1.1.1 PORT=2746 IP=1.1.1.1 ↓

ADD FIREWALL POLICY=net RULE=3 ACTION=ALLOW INT=ppp0 PROT=UDP GBLPORT=4500 GBLIP=1.1.1.1 PORT=4500 IP=1.1.1.1 ↓

ADD FIREWALL POLICY=net RULE=3 ACTION=NONAT INT=vlan1 PROT=ALL IP=192.168.10.1-192.168.10.254 ↓
SET FIREWALL POLICY=net RULE=3 REMOTEIP=192.168.20.1-192.168.20.254 ↓


ADD FIREWALL POLICY=net RULE=4 ACTION=NONAT INT=ppp0 PROT=ALL IP=192.168.10.1-192.168.10.254 ENCAP=IPSEC ↓

Unnumbered IPインターフェース使用時の注意

ADD IP INT=vlan1 IP=192.168.10.1 MASK=255.255.255.0 ↓
ADD IP INT=eth1 IP=4.4.4.1 MASK=255.255.255.248 ↓


ADD IP INT=eth1 IP=4.4.4.1 MASK=255.255.255.248 ↓
ADD IP INT=vlan1 IP=192.168.10.1 MASK=255.255.255.0 ↓


ENABLE IP ↓
ENABLE IP REMOTEASSIGN ↓
ADD IP INT=ppp0 IP=0.0.0.0 ↓
ADD IP INT=eth1 IP=4.4.4.1 MASK=255.255.255.248 ↓
ADD IP INT=vlan1 IP=192.168.10.1 MASK=255.255.255.0 ↓
ADD IP ROUTE=0.0.0.0 INT=ppp0 NEXT=0.0.0.0 ↓


ENABLE IP ↓
ENABLE IP REMOTEASSIGN ↓
ADD IP INT=ppp0-0 IP=0.0.0.0 ↓
ADD IP INT=ppp0-1 IP=4.4.4.6 MASK=255.255.255.255 ↓
ADD IP INT=eth1 IP=4.4.4.1 MASK=255.255.255.248 ↓
ADD IP INT=vlan1 IP=192.168.10.1 MASK=255.255.255.0 ↓
ADD IP ROUTE=0.0.0.0 INT=ppp0-1 NEXT=0.0.0.0 ↓


動作・設定の確認

基本的な情報

SHOW IPSEC ↓

SHOW ISAKMP ↓

SHOW ISAKMP SA ↓

SecOff > show isakmp sa Expiry Limits - hard/soft/used SA Id PeerAddress EncA. HashA. Bytes Seconds ----------------------------------------------------------------------------- 3 1.1.1.1 DES SHA -/-/- 86400/82080/1382

SHOW ENCO KEY=1 ↓
SHOW ISAKMP POLICY ↓
SHOW ISAKMP POLICY=i ↓
SHOW CONFIG DYNAMIC=ISAKMP ↓


SHOW LOG MODULE=ISAK ↓

SHOW LOG TYPE=IKMP ↓

SecOff > show log module=isak Date/Time S Mod Type SType Message ------------------------------------------------------------------------------- 03 11:22:49 3 ISAK IKMP MSG ISAKMP has been enabled 03 11:31:10 3 ISAK IKMP XCHG Exchange 1: Phase 1 [init] started with peer 2.2.2.2 03 11:31:14 3 ISAK IKMP XCHG Exchange 1: Notification Received - DOI 03 11:31:14 3 ISAK IKMP XCHG Exchange 1: Completed successfully 03 11:31:14 3 ISAK IKMP XCHG Exchange 2: Phase 2 [init] started with peer 2.2.2.2 03 11:31:14 3 ISAK IKMP XCHG Exchange 2: Completed successfully -------------------------------------------------------------------------------

SHOW ISAKMP EXCHANGE ↓

SecOff > show isakmp exchange ISAKMP Exchanges Id Phase State PeerAddress Type ----------------------------------------------------------------- 3 4 WAIT_HASH_SA_NONCE 2.2.2.2 QUICK

SHOW IPSEC SA ↓

SecOff > show ipsec sa SA Id Policy Bundle State Protocol OutSPI InSPI ----------------------------------------------------------------------------- 2 v1 1 Valid ESP 3154027431 4241764757 3 v1 1 Valid AH 1252362122 3221961085 4 vf3 1 Valid ESP 28060662 981246197 5 vf1 1 Valid ESP 51507534 3371320620

SecOff > show ipsec policy sabundle Ipsec Policy SA Bundles Bundle Expiry Limits - hard/soft/used Index SA's State Bytes Seconds ------------------------------------------------------------------------ Policy ..........v1 0 2,3 VALID -/-/1728 28800/27360/2732 Policy ..........vx1 Policy ..........vf1 0 5 VALID -/-/220 28800/27360/2004 Policy ..........vf2 Policy ..........vf3 0 4 VALID -/-/440 28800/27360/2052

SHOW IPSEC SASPECIFICATION ↓
SHOW IPSEC BUNDLESPECIFICATION ↓
SHOW IPSEC POLICY ↓
SHOW CONFIG DYNAMIC=IPSEC ↓


SHOW LOG MODULE=IPSE ↓

SHOW LOG TYPE=IPSC ↓

SecOff > show log type=ipsc Date/Time S Mod Type SType Message ------------------------------------------------------------------------------- 17 07:54:36 3 IPSE IPSC MSG IPSEC has been enabled 17 07:55:29 3 IPSE IPSC MSG SA bundle created: Policy - v1 17 08:11:28 3 IPSE IPSC MSG SA bundle created: Policy - vf3 17 08:12:17 3 IPSE IPSC MSG SA bundle created: Policy - vf1 -------------------------------------------------------------------------------

デバッグオプション

ENABLE ISAKMP DEBUG={ALL|DEFAULT|PACKET|PKT|PKTRAW|STATE|TRACE|TRACEMORE} ↓

SecOff > enable isakmp debug=pkt Info (182057): ISAKMP Debugging has been enabled. SecOff > ISAKMP Tx Message Cookie's: 5052045c2e566b81:0000000000000000 Xchg Type: IDPROT(2) Ver: 10 Flags: 00 MessageID: 00000000 Total Length: 84 Payload #: 0 Length: 56 Type: Security Association (SA) DOI: IPSEC(0) Situation: 00000001 Proposal#: 1 Protocol: ISAKMP(1) #Trans: 1 SPI: Transform#: 1 Transform Id .................. IKE(1) Encryption Algorithm........... DES(1) Authentication Algorithm....... SHA(2) Authentication Method.......... PRESHARED(1) Group Description.............. 768(1) Group Type..................... MODP Expiry Seconds................. 86400

ENABLE IPSEC POLICY=policy DEBUG={FILTER|PACKET|TRACE|ALL} ↓

SecOff > ena ipsec policy=vpn debug=packet Info (181057): IPSEC Policy Debugging has been enabled. SecOff > IPSEC vpn: 2: OUT: pre processing: IP: 45000028eb1040002006d908c0a81464c0a80102 TCP: 0429005005b7e65c01faee4c5004000038560000 data: IPSEC vpn: 2: OUT: post processing: IP: 450000604b7f00004032fa573f0c42ef01010101 ESP: 14f45fa300000b09:35d26e02458706623d9aa9bf data: 9fcd18d0a34ffeecb8b0f574ddeaa820f8ba0db36cd7a9fc0254f08215e2aa7ecdb34688 6193f17d39cc7f096276238bf262b668920b51c535d26e02458706623d9aa9bf

統計カウンター

SHOW IPSEC COUNTERS ↓

SHOW ISAKMP COUNTERS ↓

SHOW ISAKMP COUNTERS=MAIN ↓
SHOW ISAKMP COUNTERS=AGGRESSIVE ↓


SHOW ISAKMP COUNTERS=QUICK ↓

SHOW IPSEC POLICY=vpn COUNTERS ↓

SHOW IPSEC SA ↓
SHOW IPSEC SA=2 ↓


(C) 2003 - 2009 アライドテレシスホールディングス株式会社

PN: J613-M3069-03 Rev.L