NXR,VXRシリーズ

3-9. IKEv2 Configuration Payload設定(iOSとの接続)

この設定例ではIKEv2機能を利用してiOSのスマートデバイスとVPN接続します。そして認証には事前共有鍵を利用します。
なおこの設定例は弊社独自の検証結果を元に作成しております。よってiOSのスマートデバイスとの接続を保証するものではありません。

【 構成図 】

• IPsec接続にはIKEv2を使用し、認証には事前共有鍵(PSK)を使用します。
  (☞) この設定例ではリモートID毎に異なるPSKを設定します。

【 設定データ 】

【 設定例 】

【 設定例解説 】

1. <ホスト名の設定>

ホスト名を設定します。

2. <LAN側(ethernet0)インタフェース設定>

ethernet0インタフェースのIPアドレスを設定します。

3. <スタティックルート設定>

デフォルトルートを設定します。

4. <IPアクセスリスト設定>

IPアクセスリスト名をppp0_inとし、NXRのWAN側IPアドレス10.10.10.1宛のUDPポート番号500、4500、ESP(プロトコル番号50)のパケットを許可します。
なおこのIPアクセスリスト設定はppp0インタフェース設定で登録します。
(☞) IPアクセスリストを設定しただけではフィルタとして有効にはなりません。フィルタリングしたいインタフェースでの登録が必要になります。
(☞) NATトラバーサルでは、UDPポート番号500および4500をIPsecのネゴシエーションおよび通信で使用します。

5. <IPsecアクセスリスト設定>

RemoteAccessという名前のIPsecアクセスリストを設定します。なお送信元IPアドレスはany,宛先IPアドレスはhostとします。

6. <IPsec IPアドレスプール設定>

IPsec IPアドレスプール名をsmartphoneipとし、スマートデバイスに割り当てるIPアドレスを設定します。

7. <IPsec Pre-Share設定>

IKEv2でスマートデバイス毎のリモートID(FQDN)および事前共有鍵を設定します。

8. <IPsecローカルポリシー設定>

IPsecトンネルの送信元IPアドレスにip(IPv4)を設定します。またセルフIDをFQDN方式でnxrとし、スマートデバイスのリモートIDと同じIDを設定します。

9. <IPsec ISAKMPポリシー設定>

ISAKMPポリシーの説明としてsmartphone、認証方式としてpre-share(事前共有鍵)を選択し事前共有鍵を設定します。
(☞) ipsec pre-share identityを設定している場合、ID毎に設定した事前共有鍵を認証に使用します。

IKEv2を使用するためversion2を指定します。

IKEv2 Configuration Payloadで使用するIPsec IPアドレスプール名を設定します。

認証アルゴリズムとしてsha1、暗号化アルゴリズムとしてaes128，Diffie-Hellman(DH)グループとしてgroup 2、ISAKMP SAのライフタイムとして86400秒を設定します。

リモートアドレスにanyを設定します。またIPsecローカルポリシー1と関連づけを行います。

10. <IPsecトンネルポリシー設定>

IPsecトンネルポリシーの説明としてsmartphone、ネゴシエーションモードとしてresponderを設定します。

暗号化アルゴリズムとしてaes256、認証アルゴリズムとしてsha256、PFSを無効、IPsec SAのライフタイムとして28800秒を設定します。

ISAKMPポリシー1と関連づけを行い、IPsecアクセスリストRemoteAccessを設定します。

11. <PPPアカウント設定>

ppp0インタフェースで使用するISP接続用ユーザID,パスワードを設定します。
(☞) ここで設定したアカウントはppp0インタフェースの設定で利用します。

12. <WAN側(ppp0)インタフェース設定>

ppp0インタフェースのIPアドレスを設定します。

IPマスカレード、ステートフルパケットインスペクションを有効に設定します。またIPアクセスリストppp0_inをinフィルタに適用します。そしてTCP MSSの調整機能をオートに設定します。

ISP接続用ユーザIDを設定します。またIPsecトンネルのエンドポイントとなるためIPsecローカルポリシー1を設定します。

13. <ethernet1インタフェース設定>

PPPoEクライアントとしてppp0インタフェースを使用できるように設定します。

14. <DNS設定>

DNSサービスを有効にします。

15. <ファストフォワーディングの有効化>

ファストフォワーディングを有効にします。ファストフォワーディングを設定することによりパケット転送の高速化を行うことができます。
(☞) ファストフォワーディングの詳細および利用時の制約については、NXR,WXRシリーズのユーザーズガイド(CLI版)に記載されているファストフォワーディングの解説をご参照ください。

【 スマートデバイスの設定例 】

〔iOSの設定〕

(☞) ここで記載した設定はあくまで一例ですので、ご利用頂いているiOS端末によって設定が異なる場合があります。設定の詳細はご利用中のiOS端末の取扱説明書等をご確認下さい。
(☞) この設定例はiOS端末との接続性を保証するものではありません。ご利用頂く際には十分な検証を行った上でのご利用をお願い致します。

1. ホーム画面から「設定」をタップします。
   
2. 設定画面で「一般」をタップします。
   
3. 一般画面で「VPN」をタップします。
   
4. VPN画面で「VPN構成を追加…」をタップします。
   
5. 以下の各項目を設定し「完了」をタップします。
   

   	設定項目	設定値	備考
   ①	タイプ	IKEv2	－
   ②	説明	NXR IKEv2	任意の名称を設定します
   ③	サーバ	10.10.10.1	対向ルータのWAN側IPアドレスを設定します
   ④	リモートID	nxr	対向ルータのIDを設定します ※IPsecローカルポリシー設定のself-identityと同じIDを設定します
   ⑤	ローカルID	ios01	スマートデバイス側のIDを設定します ※IPsec Pre-Share設定のIDと同じIDを設定します
   ⑥	ユーザ認証	なし	－
   ⑦	証明書を使用	オフ	－
   ⑧	シークレット	ipseckey1	事前共有鍵を設定します ※IPsec Pre-Share設定のIDに関連付けた事前共有鍵を設定します

6. VPN構成「NXR IKEv2」が作成されますので、チェックがついていることを確認します。
   ※チェックがついていない場合は作成したVPN構成をタップします。
   そして状況をオンにしVPN接続を開始します。
   
7. VPN接続完了後は以下のような画面が表示されます。
   また設定したVPN構成をタップすることでIPアドレスなどのVPN接続情報が表示されます。
   
8. VPN接続情報の表示
   

【 補足 】

IKEv2 Configuration PayloadではIPアドレスの他にDNSサーバのIPアドレスを割り当てることができます。

<DNSサーバアドレスの割り当て>

スマートデバイスに対してDNSサーバアドレスを割り当てます。

• 設定例show config形式サンプル(NXR)