＜前頁 次頁＞ ＜＜ ＞＞ ↓ 目次 （番号順 (詳細)・ 回線別 (詳細)・ 機能別 (詳細)）
CentreCOM ARX640S 設定例集 5.1.5 #23
Windows 7標準のVPNクライアントから、インターネット経由で本製品のLAN側プライベートネットワークにアクセスさせるリモートアクセス型VPNの設定例です。さらに、ダイナミックDNSサービスを併用し、VPNクライアントの接続先をホスト名（FQDN）指定して、動的にIPアドレスが割り当てられるサイトに対してVPN接続できるようにします。
Note - 本設定例は、NAT-Traversalを利用したリモートアクセス型VPNの一構成例であり、Windows 7との接続性を保証するものではありません。
Note - Windows 7側の詳細な設定方法については、各製品のマニュアルなどをご覧ください。
Note - 検証済みダイナミックDNSサービスは弊社ホームページをご確認ください。
Note - 本製品とVPNクライアント間のIKEv2認証が完了していない状態でセッションを閉じた場合、内部でVPNクライアントのRADIUSサプリカント情報を5分間保持するため、本セッションが残っている間は他の認証を許可しません。
Note - RADIUSサプリカント情報とIKEv2 SA情報は連動していないため、RADIUSサプリカント情報が削除されてもIKEv2 SA情報は削除されません。
| PPPユーザー名 | user1@example |
| PPPパスワード | password |
| PPPoEサービス名 | 指定なし |
| 使用できるIPアドレス | グローバルアドレス1個（動的割り当て） |
| 接続形態 | 端末型（アドレス1個不定） |
| DNSサーバー | 接続時に通知される |
| WAN側物理インターフェース | gigabitEthernet 0 |
| WAN側（gigabitEthernet 0.1）IPアドレス | 動的割り当て |
| LAN側（vlan 1）IPアドレス | 192.168.10.1/24 |
| VPN接続設定 | |
| トンネル終端アドレス | 不定 |
| IKE設定 | |
| 交換モード | IKEv2 |
| 自認証方式 | RSAデジタル署名認証 |
| 相手認証方式 | EAP-MS-CHAPv2（PEAP）認証 |
| 暗号化認証アルゴリズム | AES256 & SHA1-DH2 |
| 疑似乱数アルゴリズム（PRF） | SHA1 |
| 有効期限 | 21600秒（6時間）（デフォルト） |
| 起動時のISAKMPネゴシエーション | 行わない |
| IPsec設定 | |
| SAモード | トンネルモード |
| セキュリティープロトコル | ESP |
| 暗号化認証アルゴリズム | AES256 & SHA1 |
| PFSグループ | なし |
| 有効期限 | 3600秒（1時間）（デフォルト） |
| サービスプロバイダ | DynDNS.com（http://www.dyndns.com/） |
| サーバー接続用ユーザー名 | userD |
| サーバー接続用パスワード | password |
| ホスト名 | test.dyndns.org |
| IPアドレスを登録するインターフェース | gigabitEthernet 0.1 |
| ユーザー名 | AAA | BBB |
| パスワード | PasswordA | PasswordB |
| RADIUSサーバー | 192.168.10.254 |
| 共有パスワード | secret |
| 認証用UDPポート番号 | 1812 |
| 自己証明書ファイル名 | 640cert.pem |
| 秘密鍵ファイル名 | 640key.pem |
| TFTPサーバーのIPアドレス | 192.168.10.254 |
| 証明書の識別名（DN） | cn=test.dyndns.org |
| キー使用法 | Digital Signature、 Key Encipherment |
| 拡張キー使用法 | Server Authentication（1.3.6.1.5.5.7.3.1）、 IP security IKE intermediate（1.3.6.1.5.5.8.2.2） |
Note - 本製品は証明書および秘密鍵を作成することが出来ません。そのため、外部の認証局にてこれらのファイルを作成し、本製品のFlash File System上にコピーしてください。また秘密鍵は復号化した状態で、本製品のFlash File System上にコピーしてください。
Note - 本製品はPEMフォーマット形式の証明書ファイルのみをサポートします。
| ルーターの設定 |
ppp profile pppoe0 ↓
my-username user1@example password password ↓
interface gigabitEthernet 0 ↓
no shutdown ↓
interface gigabitEthernet 0.1 ↓
ip address ipcp ↓
ip tcp mss auto ↓
no shutdown ↓
pppoe enable ↓
ppp bind-profile pppoe0 ↓
ip napt inside any ↓
ip ids in protect ↓
interface vlan 1 ↓
ip address 192.168.10.1/24 ↓
ip address-up-always ↓
ip route default gigabitEthernet 0.1 ↓
access-list ip extended pppoe0-in ↓
dynamic permit udp any interface gigabitEthernet 0.1 eq 500 ↓
dynamic permit udp any interface gigabitEthernet 0.1 eq 4500 ↓
access-list ip extended pppoe0-out ↓
dynamic permit ip any any ↓
interface gigabitEthernet 0.1 ↓
ip traffic-filter pppoe0-in in ↓
ip traffic-filter pppoe0-out out ↓
radius-server host 192.168.10.254 key secret ↓
ip radius source-interface vlan 1 ↓
copy tftp 192.168.10.254 640cert.pem flash 640cert.pem ↓
copy tftp 192.168.10.254 640key.pem flash 640key.pem ↓
isakmp proposal isakmp encryption aes256 prf sha1 hash sha1 group 2 ↓
isakmp policy isakmp ↓
peer any ↓
mode ikev2 ↓
self-auth rsa ↓
peer-auth eap-mschap radius ↓
peer-auth eap-id-request enable ↓
certificate self-certificate 640cert.pem self-private 640key.pem ↓
proposal isakmp ↓
nat-traversal enable ↓
config-service enable ↓
config-service radius ↓
config-service add-route enable ↓
Note - 複数のWindowsクライアントを接続する場合、上記に加えて、フェーズ2のネゴシエーションに使用するIPsecポリシーとして、 フェーズ1のネゴシエーションに使用したISAKMPポリシーと同一名のIPsecポリシーを優先的に選択するよう設定する必要があります。
ipsec policy-name-link enable ↓
access-list ip extended ipsec ↓
permit ip any any ↓
ipsec proposal ipsec esp encryption aes256 hash sha1 ↓
ipsec policy ipsec ↓
peer any ↓
access-list ipsec ↓
proposal ipsec ↓
always-up-sa ↓
interface tunnel 0 ↓
tunnel mode ipsec ↓
ip unnumbered vlan 1 ↓
ip tcp mss auto ↓
no shutdown ↓
tunnel policy ipsec ↓
dynamic-dns DynDNS ↓
provider dyndns fqdn test.dyndns.org username userD password password ↓
external-interface gigabitEthernet 0.1 ↓
dynamic-dns-enable ↓
copy running-config startup-config ↓
| メモ |
Note - 本設定例は、NAT-Traversalを利用したリモートアクセス型IPsec VPNの一構成例であり、Windows 7との接続性を保証するものではありません。
Note - 以下に述べる手順は一例です。サービスパックや修正プログラムの適用状況、環境設定の仕方などによっては、以下の手順で接続できない可能性もあります。詳しくは、Windows 7のマニュアルなどをご参照ください。
| まとめ |
ルーターのコンフィグ
! service password-encryption ! clock timezone JST 9 ! ! ip address-up-always ppp profile pppoe0 my-username user1@example password 8 e$QOccTYhEXbMdnN4uqTQgYCAAA ip radius source-interface vlan 1 ! radius-server host 192.168.10.254 key secret ! interface gigabitEthernet 0 no shutdown ! interface gigabitEthernet 0.1 ip address ipcp ip tcp mss auto no shutdown pppoe enable ppp bind-profile pppoe0 ip napt inside any ip traffic-filter pppoe0-in in ip traffic-filter pppoe0-out out ip ids in protect ! interface gigabitEthernet 1 shutdown ! interface gigabitEthernet 2 no shutdown ! interface gigabitEthernet 3 no shutdown ! interface gigabitEthernet 4 no shutdown ! interface gigabitEthernet 5 no shutdown ! interface loop 0 shutdown ! interface loop 1 shutdown ! interface tunnel 0 tunnel mode ipsec ip unnumbered vlan 1 ip tcp mss auto no shutdown tunnel policy ipsec ! interface vlan 1 ip address 192.168.10.1/24 no shutdown ! ip route default gigabitEthernet 0.1 ! access-list ip extended ipsec permit ip any any access-list ip extended pppoe0-in dynamic permit udp any interface gigabitEthernet 0.1 eq 500 dynamic permit udp any interface gigabitEthernet 0.1 eq 4500 access-list ip extended pppoe0-out dynamic permit ip any any ! isakmp proposal isakmp encryption aes256 prf sha1 hash sha1 group 2 ! isakmp policy isakmp peer any mode ikev2 self-auth rsa peer-auth eap-mschap radius peer-auth eap-id-request enable certificate self-certificate 640cert.pem self-private 640key.pem proposal isakmp nat-traversal enable config-service enable config-service radius config-service add-route enable ! ipsec proposal ipsec esp encryption aes256 hash sha1 ! ipsec policy ipsec peer any access-list ipsec proposal ipsec always-up-sa ! ! ! ! dynamic-dns DynDNS provider dyndns fqdn test.dyndns.org username userD password 8 e$QOccTYhEXbMdnN4uqTQgYCAAA external-interface gigabitEthernet 0.1 dynamic-dns-enable ! end |
(C) 2011-2014 アライドテレシスホールディングス株式会社
PN: 613-001568 Rev.E