NXR,VXRシリーズ

4-9. Cloudflare WAN 接続（IPsec NAT-T／二重トンネル／ECMP／フェイルオーバー）

Cloudflare WAN と IPsec 接続を確立するための設定例です。本設定例では、スタティックルートによる経路制御および ECMP（Equal Cost Multi Path）による負荷分散を行い、IPsec NAT トラバーサル（NAT-T）を前提とします。

※ 本設定例に記載している IP アドレスおよび IKE ID（ID_FQDN）は例示用です。実際の環境に合わせて適宜読み替えてください。Cloudflare WAN の接続先 IP アドレスおよび IKE ID（ID_FQDN）は、必ず Cloudflare から指定された値を設定してください。

商標について

Cloudflare、Cloudflareロゴ、およびCloudflare WANは、米国およびその他の国におけるCloudflare, Inc.の商標または登録商標です。

【 本設定例対応機種 】

NXR-530（2026 年 4 月時点）
※ 対応機種は今後変更される可能性があります。最新情報は、各製品の更新履歴またはユーザーズガイドを参照してください。

【 構成図 】

〔 正常時 〕

• NXR ルータは、 Cloudflare WAN の Anycast IP アドレスに対して NAT-T を使用した IPsec トンネルを確立します。
  ※ 本設定例に記載している IP アドレス（192.0.2.1 および 192.0.2.2）は例示用です。実際の環境では、Cloudflare から指定された値を設定してください。
• ルーティングでは、IPsec トンネル経路のディスタンス値を同一に設定し、ECMP（Equal Cost Multi Path）により負荷分散を行います。

〔 IPsec トンネル1障害時 〕

• いずれかの NAT-T を使用した IPsec トンネル（192.0.2.1 または 192.0.2.2）がダウンした場合、残存する IPsec トンネルへ自動的にフェイルオーバーします。

【 設定例 】

• Cloudflare WAN の設定
• NXR の設定

〔 Cloudflare WAN の設定 〕

Cloudflare WAN の IPsec に関する情報は、GRE and IPsec tunnels に関するドキュメントを参照してください。
設定時に使用する主なパラメータは以下のとおりです。

〔 NXR の設定 〕

【 設定例解説 】

〔 NXRの設定 〕

1. <LAN側（ethernet 0）インタフェース設定>

ethernet 0 インタフェースに IP アドレスを設定します。

2. <スタティックルート設定>

Cloudflare WAN の IPsec エンドポイント IP アドレス（192.0.2.1 および 192.0.2.2）へのスタティックルートを設定します。

宛先 0.0.0.0/0（デフォルトルート）へのスタティックルートを複数設定し、優先度により経路を制御します。

3. <IPsec priority-ignore 設定>

IPsec の priority-ignore 機能を有効にします。

4. <IPsec アクセスリスト設定>

IPsec アクセスリスト IPsec_ACL を設定します。

5. <IPsec ローカルポリシー設定1>

IPsec トンネルの送信元アドレス種別を ip に設定します。

セルフ ID を FQDN 方式で xxx.zzz.ipsec.cloudflare.com に設定します。
※ セルフ ID には、Cloudflare から指定された値を設定してください。

送信元 UDP ポートを 4500 に設定します。

6. <IPsec ローカルポリシー設定2>

IPsec トンネルの送信元アドレス種別を ip に設定します。

セルフ ID を FQDN 方式で yyy.zzz.ipsec.cloudflare.com に設定します。
※ セルフ ID には、Cloudflare から指定された値を設定してください。

送信元 UDP ポートを 4500 に設定します。

7. <IPsec ISAKMP ポリシー設定1>

ISAKMP ポリシー 1 の説明文を設定します。

IKE のバージョンを 2（IKEv2）に設定します。

認証方式を pre-share に設定し、事前共有鍵を IPsecKEY に設定します。
※ 事前共有鍵には、Cloudflare から指定された値を設定してください。

認証アルゴリズムを sha256 に設定します。

暗号化アルゴリズムを aes256 に設定します。

Diffie-Hellman（DH）グループを 20 に設定します。

IKE SA のライフタイムを 86400 秒に設定します。

リモートアドレスに 192.0.2.1 を設定します。

リモート UDP ポートに 4500 を設定します。

IKE KeepAlive（DPD）の各パラメータを設定します。

• 監視間隔を 30 秒に設定します。
• リトライ回数を 3 回に設定します。
• ダウン検知後に IKE を再ネゴシエーションするように設定します。

この ISAKMP ポリシーで使用する IPsec ローカルポリシー番号を 1 に設定します。

8. <トンネル 1（tunnel 1）インタフェース設定>

tunnel 1 インタフェースの説明文を設定します。

tunnel 1 インタフェースに IP アドレスを設定します。

トンネルモードを ipsec ipv4 に設定します。

このトンネルで使用する IPsec トンネルポリシー番号を 1 に設定します。

TCP MSS 調整を auto に設定します。

9. <IPsec トンネルポリシー設定1>

IPsec トンネルポリシー 1 の説明文を設定します。

ネゴシエーションモードを auto に設定します。

アンチリプレイチェックを無効にします。

暗号化アルゴリズムを esp-aes256、認証アルゴリズムを esp-sha256-hmac に設定します。

Child SA のライフタイムを 28800 秒に設定します。

このトンネルポリシーで使用する IPsec ISAKMP ポリシー番号を 1 に設定します。

このトンネルポリシーに IPsec アクセスリスト IPsec_ACL を適用します。

10. <IPsec ISAKMP ポリシー設定2>

ISAKMP ポリシー 2 の説明文を設定します。

IKE のバージョンを 2（IKEv2）に設定します。

認証方式を pre-share に設定し、事前共有鍵を IPsecKEY に設定します。
※ 事前共有鍵には、Cloudflare から指定された値を設定してください。

認証アルゴリズムを sha256 に設定します。

暗号化アルゴリズムを aes256 に設定します。

DH グループを 20 に設定します。

IKE SA のライフタイムを 86400 秒に設定します。

リモートアドレスに 192.0.2.2 を設定します。

リモート UDP ポートに 4500 を設定します。

IKE KeepAlive（DPD）の各パラメータを設定します。

• 監視間隔を 30 秒に設定します。
• リトライ回数を 3 回に設定します。
• ダウン検知後に IKE を再ネゴシエーションするように設定します。

この ISAKMP ポリシーで使用する IPsec ローカルポリシー番号を 2 に設定します。

11. <トンネル 2（tunnel 2）インタフェース設定>

tunnel 2 インタフェースの説明文を設定します。

tunnel 2 インタフェースに IP アドレスを設定します。

トンネルモードを ipsec ipv4 に設定します。

このトンネルで使用する IPsec トンネルポリシー番号を 2 に設定します。

TCP MSS 調整を auto に設定します。

12. <IPsec トンネルポリシー設定2>

IPsec トンネルポリシー 2 の説明文を設定します。

ネゴシエーションモードを auto に設定します。

アンチリプレイチェックを無効にします。

暗号化アルゴリズムを esp-aes256、認証アルゴリズムを esp-sha256-hmac に設定します。

PFS を有効にし、DH グループを group20 に設定します。

Child SA のライフタイムを 28800 秒に設定します。

このトンネルポリシーで使用する IPsec ISAKMP ポリシー番号を 2 に設定します。

このトンネルポリシーに IPsec アクセスリスト IPsec_ACL を適用します。

13. <WAN側（ethernet 1）インタフェース設定>

ethernet 1 インタフェースを DHCP クライアントに設定します。

TCP MSS 調整を auto に設定します。

このインタフェースで使用する IPsec ローカルポリシー番号を 1 および 2 に設定します。

14. <DNS 設定>

DNS 機能を有効にします。

15. <ファストフォワーディング設定>

ファストフォワーディング機能を有効にします。

16. <設定の保存>

現在の設定を保存します。

【 端末の設定例 】

【 補足 】

〔IPsec 経由でのルータアクセス〕

forbidden-access-wan 機能が有効になっている場合、IPsec 経由でルータにアクセスすることはできません。
IPsec 経由でアクセスする場合は、トンネルインタフェースでアクセスを許可するフィルタを設定してください。

※ 工場出荷状態では、ethernet 0 インタフェース以外からの HTTP サーバ、SSH サーバ、TELNET サーバへのアクセスが禁止されています。
（TELNET サーバは対応機種のみ）

以下は設定例です。

<IP アクセスリスト設定>

IP アクセスリスト tunnel1_IN を設定し、以下の通信を許可します。

・送信元 IP アドレス 192.168.0.0/24 から、宛先 IP アドレス 192.168.10.1 への宛先 TCP ポート 22 および 880 の通信を許可します。

<トンネル 1（tunnel 1）インタフェース設定>

受信方向（in）に IP アクセスリスト tunnel1_IN を適用します。

【 付録 】

• 設定例 show config 形式サンプル（NXR）