NXR,WXRシリーズ

1-8. FQDNでのIPsec接続設定

ダイナミックDNSを利用し動的IPアドレスのルータ同士でIPsec接続する設定例です。この例ではダイナミックDNSサービスとして弊社が提供しているWarpLinkDDNSサービスを使用します。

【 構成図 】

• WarpLinkDDNSサービスは、弊社が提供している有償のDDNSサービスとなります。
  詳細は下記URLからご確認下さい。
  http://www.warplink.ne.jp/ddns/index.html
• IPsec接続は、FQDNの名前解決後、開始します。
  (☞) 設定したFQDNの名前解決後IPsec接続を開始しますので、名前解決できない場合IPsec接続を開始することができない点にご注意ください。
• 両拠点ルータでWarpLinkDDNSサービスを動作させることで、両拠点ルータからIPsec接続を開始することが可能となり、片側でWarpLinkDDNSサービスを動作させる場合に比べ再接続性の向上が期待できます。
• この設定例では各ルータのFQDNを下記とします。
  ・NXR_A：nxra.subdomain.warplink.ne.jp
  ・NXR_B：nxrb.subdomain.warplink.ne.jp

【 設定フロー 】

〔NXR_Aの設定フロー〕

〔NXR_Bの設定フロー〕

【 設定例 】

〔NXR_Aの設定〕

〔NXR_Bの設定〕

【 設定例解説 】

〔NXR_Aの設定〕

1. <ホスト名の設定>

ホスト名を設定します。

2. <LAN側(ethernet0)インタフェース設定>

ethernet0インタフェースのIPアドレスを設定します。

3. <スタティックルート設定>

192.168.20.0/24向けのルートを設定します。なおIPsec SA確立時はトンネル1インタフェースを、未確立時はnullインタフェースのルートを利用するように設定します。

デフォルトルートを設定します。

4. <IPアクセスリスト設定>

IPアクセスリスト名をppp0_inとします。そしてIKE(UDPポート500番)、ESP(プロトコル番号50)のパケットを許可します。
(☞) IPアクセスリストを設定しただけではフィルタとして有効にはなりません。フィルタリングを行うインタフェースでの登録が必要になります。

5. <IPsecアクセスリスト設定>

ipsec_aclという名前のIPsecアクセスリストを設定します。なお送信元IPアドレス,宛先IPアドレスともにanyとします。

6. <IPsecローカルポリシー設定>

IPsecトンネルの送信元IPアドレスにip(IPv4)を設定します。またセルフIDをFQDN方式でnxraとし、NXR_BのIPsec ISAKMPポリシー1のリモートIDと同じIDを設定します。

7. <IPsec ISAKMPポリシー設定>

ISAKMPポリシー1の説明としてNXR_B、認証方式としてpre-share(事前共有鍵)を選択し、事前共有鍵ipseckeyを設定します。なお事前共有鍵はNXR_Bのipsec isakmp policy 1と共通の値を設定します。

認証アルゴリズムとしてsha256、暗号化アルゴリズムとしてaes128，Diffie-Hellman(DH)グループとしてgroup 5、ISAKMP SAのライフタイムとして10800秒、フェーズ1のネゴシエーションモードとしてアグレッシブモードを設定します。

リモートアドレスにNXR_BのFQDNを設定します。またリモートIDをFQDN方式でnxrbとし、NXR_BのIPsecローカルポリシー1のセルフIDと同じIDを設定します。そしてIKE KeepAlive(DPD)を監視間隔30秒,リトライ回数3回とし、keepalive失敗時にSAを削除しIKEのネゴシエーションを開始するように設定します。さらにIPsecローカルポリシー1と関連づけを行います。

8. <トンネル1インタフェース設定>

トンネル1インタフェースでトンネルモードをipsec ipv4、使用するIPsecトンネルポリシーとして1を設定します。またTCP MSSの調整機能をオートに設定します。

9. <IPsec トンネルポリシー設定>

IPsecトンネルポリシー1の説明としてNXR_B、ネゴシエーションモードとしてautoを設定します。

暗号化アルゴリズムとしてaes128、認証アルゴリズムとしてsha256、PFSを有効にし、かつDHグループとしてgroup5、IPsec SAのライフタイムとして3600秒を設定します。

ISAKMPポリシー1と関連づけを行い、IPsecアクセスリストipsec_aclを設定します。

10. <PPPアカウント設定>

ppp0インタフェースで使用するISP接続用ユーザID,パスワードを設定します。
(☞) ここで設定したアカウントはppp0インタフェースの設定で利用します。

11. <WAN側(ppp0)インタフェース設定>

ppp0インタフェースのIPアドレスは動的のため、negotiatedを設定します。

IPマスカレード、ステートフルパケットインスペクションを有効にします。またIPアクセスリストppp0_inをinフィルタに適用します。そしてTCP MSSの調整機能をオートに設定します。

ISP接続用ユーザIDを設定します。またIPsecトンネルのエンドポイントとなるためIPsecローカルポリシー1を設定します。

12. <ethernet1インタフェース設定>

PPPoEクライアントを設定します。また使用するPPPインタフェースとしてppp0を指定します。

13. <WarpLink設定>

WarpLinkサービスを有効にします。またWarpLinkサービスで使用するユーザID,パスワードを設定します。

14. <DNS設定>

DNSサービスを有効にします。

15. <ファストフォワーディング設定>

ファストフォワーディングを有効にします。ファストフォワーディングを有効にすることでパケット転送を高速に処理することができます。
(☞) ファストフォワーディングの詳細および利用時の制約については、各シリーズのユーザーズガイド(CLI版)に記載されているファストフォワーディングの解説をご参照ください。

〔NXR_Bの設定〕

1. <ホスト名の設定>

ホスト名を設定します。

2. <LAN側(ethernet0)インタフェース設定>

ethernet0インタフェースのIPアドレスを設定します。

3. <スタティックルート設定>

192.168.10.0/24向けのルートを設定します。なおIPsec SA確立時はトンネル1インタフェースを、未確立時はnullインタフェースのルートを利用するように設定します。

デフォルトルートを設定します。

4. <IPアクセスリスト設定>

IPアクセスリスト名をppp0_inとします。そしてIKE(UDPポート500番)、ESP(プロトコル番号50)のパケットを許可します。

5. <IPsecアクセスリスト設定>

ipsec_aclという名前のIPsecアクセスリストを設定します。なお送信元IPアドレス,宛先IPアドレスともにanyとします。

6. <IPsecローカルポリシー設定>

IPsecトンネルの送信元IPアドレスにip(IPv4)を設定します。またセルフIDをFQDN方式でnxrbとし、NXR_AのIPsec ISAKMPポリシー1のリモートIDと同じIDを設定します。

7. <IPsec ISAKMPポリシー設定>

ISAKMPポリシー1の説明としてNXR_A、認証方式としてpre-share(事前共有鍵)を選択し、事前共有鍵ipseckeyを設定します。なお事前共有鍵はNXR_Aのipsec isakmp policy 1と共通の値を設定します。

認証アルゴリズムとしてsha256、暗号化アルゴリズムとしてaes128，Diffie-Hellman(DH)グループとしてgroup 5、ISAKMP SAのライフタイムとして10800秒、フェーズ1のネゴシエーションモードとしてアグレッシブモードを設定します。

リモートアドレスにNXR_AのFQDNを設定します。またリモートIDをFQDN方式でnxraとし、NXR_AのIPsecローカルポリシー1のセルフIDと同じIDを設定します。そしてIKE KeepAlive(DPD)を監視間隔30秒,リトライ回数3回とし、keepalive失敗時にSAを削除しIKEのネゴシエーションを開始するように設定します。さらにIPsecローカルポリシー1と関連づけを行います。

8. <トンネル1インタフェース設定>

トンネル1インタフェースでトンネルモードをipsec ipv4、使用するIPsecトンネルポリシーとして1を設定します。またTCP MSSの調整機能をオートに設定します。

9. <IPsec トンネルポリシー設定>

IPsecトンネルポリシー1の説明としてNXR_A、ネゴシエーションモードとしてautoを設定します。

暗号化アルゴリズムとしてaes128、認証アルゴリズムとしてsha256、PFSを有効にし、かつDHグループとしてgroup5、IPsec SAのライフタイムとして3600秒を設定します。

ISAKMPポリシー1と関連づけを行い、IPsecアクセスリストipsec_aclを設定します。

10. <PPPアカウント設定>

ppp0インタフェースで使用するモバイル接続用ユーザID,パスワードを設定します。
(☞) ここで設定したアカウントはppp0インタフェースの設定で指定します。

11. <WAN側(ppp0)インタフェース設定>

ppp0インタフェースのIPアドレスは動的のため、negotiatedを設定します。

IPマスカレード、ステートフルパケットインスペクションを有効にします。またIPアクセスリストppp0_inをinフィルタに適用します。そしてTCP MSSの調整機能をオートに設定します。

モバイル接続用ユーザIDを設定します。またAPN,CID,PDPタイプを設定します。

発信用の電話番号およびダイアルタイムアウトを設定します。
(☞) ここで設定する電話番号はSIMカードの電話番号ではありません。

IPsecトンネルのエンドポイントとなるためIPsecローカルポリシー1を設定します。

12. <モバイルエラーリカバリー設定>

通信モジュールとの通信に重大な問題が発生する可能性が高いと判断した場合、通信モジュールのリセットを行うように設定します。

13. <モバイルターミネーションリカバリー設定>

PPP接続時に網側から切断された場合、通信モジュールのリセットを行うように設定します。

14. <モバイル割り当て設定>

mobile1(内蔵通信モジュール)とppp0インタフェースの関連づけを行います。
通信モジュールをPPPインタフェースで使用する場合は、mobileコマンドによるPPPインタフェースへの関連付けが必要になります。

15. <モバイルキャリア設定>

mobile1(内蔵通信モジュール)のキャリアを設定します。
(☞) キャリア設定は「clear mobile 1」コマンドによるモバイルリセットを行うことで反映されます。
(☞) モバイルキャリア設定はマルチキャリア対応機種NXR-G240/L,NXR-G260/L,NXR-G100/Lで設定することができます。

16. <WarpLink設定>

WarpLinkサービスを有効にします。またWarpLinkサービスで使用するユーザID,パスワードを設定します。

17. <DNS設定>

DNSサービスを有効にします。

【 端末の設定例 】

【 付録 】

• 設定例show config形式サンプル(NXR_A)
• 設定例show config形式サンプル(NXR_B)