NXR,WXRシリーズ

1-9. トンネルインタフェースでのNAT設定

WAN回線にPPPoEを使用したハブ&スポーク構成のIPsec接続設定例でスポーク拠点のルータのトンネルインタフェースでNATを行います。ハブ拠点では各スポーク拠点を異なるネットワークアドレスで管理しますが、スポーク拠点のLAN側では同一のネットワークアドレスを使用します。

【 構成図 】

• NXR_B,NXR_CのトンネルインタフェースでDNATおよびSNATを設定します。またネットワーク単位でNATするためスタティックNATを使用します。
  (☞) スタティックNATはネットワーク単位の1対1NATを行う機能です。

【 設定フロー 】

〔NXR_Aの設定フロー〕

〔NXR_B,Cの設定フロー〕

【 設定例 】

〔NXR_Aの設定〕

〔NXR_Bの設定〕

〔NXR_Cの設定〕

【 設定例解説 】

〔NXR_Aの設定〕

1. <ホスト名の設定>

ホスト名を設定します。

2. <LAN側(ethernet0)インタフェース設定>

ethernet0インタフェースのIPアドレスを設定します。

3. <スタティックルート設定>

192.168.110.0/24向けのルートを設定します。なおIPsec SA確立時はトンネル1インタフェースを、未確立時はnullインタフェースのルートを利用するように設定します。

192.168.120.0/24向けのルートを設定します。なおIPsec SA確立時はトンネル2インタフェースを、未確立時はnullインタフェースのルートを利用するように設定します。

デフォルトルートを設定します。

4. <IPアクセスリスト設定>

IPアクセスリスト名をppp0_inとします。そして宛先IPアドレス192.0.2.1のIKE(UDPポート500番)、ESP(プロトコル番号50)のパケットを許可します。
(☞) IPアクセスリストを設定しただけではフィルタとして有効にはなりません。フィルタリングを行うインタフェースでの登録が必要になります。

5. <IPsec priority-ignore設定>

ipsec priority-ignoreを有効に設定します。
これはプライオリティによるIPsec SAの優先度を無効にする設定です。
Route based IPsecではフェーズ２のIDをIPsec SAを確立するためのIDとしてのみ使用します。そのためプライオリティによる冗長化設定などを利用しない場合は、本設定を有効にすることによって同じフェーズ2のIDを持つIPsec SAを複数個同時に確立することができます。
(☞) この機能に対応していないファームウェアをご利用頂いている場合は、同じフェーズ2のIDを持つIPsec SAを同時に複数個確立することができません。そのため設定例のように同一のIPsecアクセスリストを複数のIPsecトンネルポリシーに適用した場合IPsec SAを複数同時に確立することができませんので、各IPsecトンネルポリシー毎に異なるルールのIPsecアクセスリストを設定する必要があります。

6. <IPsecアクセスリスト設定>

ipsec_aclという名前のIPsecアクセスリストを設定します。なお送信元IPアドレス,宛先IPアドレスともにanyとします。

7. <IPsecローカルポリシー設定>

IPsecトンネルの送信元IPアドレスにip(IPv4)を設定します。

8. <IPsec ISAKMPポリシー1設定>

ISAKMPポリシー1の説明としてNXR_B、認証方式としてpre-share(事前共有鍵)を選択し、事前共有鍵ipseckey1を設定します。なお事前共有鍵はNXR_Bのipsec isakmp policy 1と共通の値を設定します。

認証アルゴリズムとしてsha256、暗号化アルゴリズムとしてaes128，Diffie-Hellman(DH)グループとしてgroup 5、ISAKMP SAのライフタイムとして10800秒、フェーズ1のネゴシエーションモードとしてメインモードを設定します。

リモートアドレスにNXR_BのWAN側IPアドレスを設定します。またIKE KeepAlive(DPD)を監視間隔30秒,リトライ回数3回とし、keepalive失敗時にSAを削除しIKEのネゴシエーションを開始するように設定します。そしてIPsecローカルポリシー1と関連づけを行います。

9. <トンネル1インタフェース設定>

トンネル1インタフェースでトンネルモードをipsec ipv4、使用するIPsecトンネルポリシーとして1を設定します。またTCP MSSの調整機能をオートに設定します。

10. <IPsec トンネルポリシー1設定>

IPsecトンネルポリシー1の説明としてNXR_B、ネゴシエーションモードとしてautoを設定します。

暗号化アルゴリズムとしてaes128、認証アルゴリズムとしてsha256、PFSを有効にし、かつDHグループとしてgroup5、IPsec SAのライフタイムとして3600秒を設定します。

ISAKMPポリシー1と関連づけを行い、IPsecアクセスリストipsec_aclを設定します。

11. <IPsec ISAKMPポリシー2設定>

ISAKMPポリシー2の説明としてNXR_C、認証方式としてpre-share(事前共有鍵)を選択し、事前共有鍵ipseckey2を設定します。なお事前共有鍵はNXR_Cのipsec isakmp policy 1と共通の値を設定します。

認証アルゴリズムとしてsha256、暗号化アルゴリズムとしてaes128，Diffie-Hellman(DH)グループとしてgroup 5、ISAKMP SAのライフタイムとして10800秒、フェーズ1のネゴシエーションモードとしてアグレッシブモードを設定します。

リモートアドレスにanyを設定します。またリモートIDをFQDN方式でnxrcとし、NXR_CのセルフIDと同じIDを設定します。そしてIKE KeepAlive(DPD)を監視間隔30秒,リトライ回数3回とし、keepalive失敗時にSAを削除するように設定します。さらにIPsecローカルポリシー1と関連づけを行います。

12. <トンネル2インタフェース設定>

トンネル2インタフェースでトンネルモードをipsec ipv4、使用するIPsecトンネルポリシーとして2を設定します。またTCP MSSの調整機能をオートに設定します。

13. <IPsec トンネルポリシー2設定>

IPsecトンネルポリシー2の説明としてNXR_C、ネゴシエーションモードとしてresponderを設定します。

暗号化アルゴリズムとしてaes128、認証アルゴリズムとしてsha256、PFSを有効にし、かつDHグループとしてgroup5、IPsec SAのライフタイムとして3600秒を設定します。

ISAKMPポリシー2と関連づけを行い、IPsecアクセスリストipsec_aclを設定します。

14. <PPPアカウント設定>

ppp0インタフェースで使用するISP接続用ユーザID,パスワードを設定します。
(☞) ここで設定したアカウントはppp0インタフェースの設定で利用します。

15. <WAN側(ppp0)インタフェース設定>

ppp0インタフェースのIPアドレスを設定します。

IPマスカレード、ステートフルパケットインスペクションを有効にします。またIPアクセスリストppp0_inをinフィルタに適用します。そしてTCP MSSの調整機能をオートに設定します。

ISP接続用ユーザIDを設定します。またIPsecトンネルのエンドポイントとなるためIPsecローカルポリシー1を設定します。

16. <ethernet1インタフェース設定>

PPPoEクライアントを設定します。また使用するPPPインタフェースとしてppp0を指定します。

17. <DNS設定>

DNSサービスを有効にします。

18. <ファストフォワーディング設定>

ファストフォワーディングを有効にします。ファストフォワーディングを有効にすることでパケット転送を高速に処理することができます。
(☞) ファストフォワーディングの詳細および利用時の制約については、各シリーズのユーザーズガイド(CLI版)に記載されているファストフォワーディングの解説をご参照ください。

〔NXR_Bの設定〕

1. <ホスト名の設定>

ホスト名を設定します。

2. <LAN側(ethernet0)インタフェース設定>

ethernet0インタフェースのIPアドレスを設定します。

3. <スタティックルート設定>

192.168.10.0/24向けのルートを設定します。なおIPsec SA確立時はトンネル1インタフェースを、未確立時はnullインタフェースのルートを利用するように設定します。

デフォルトルートを設定します。

4. <DNAT設定>

DNAT名をtunnel1_dnatとします。そして宛先IPアドレス192.168.110.0/24のパケットの宛先IPアドレスを192.168.20.0/24に変換します。
(☞) スタティックNATの場合、ネットワーク単位で設定します。

5. <SNAT設定>

SNAT名をtunnel1_snatとします。そして送信元IPアドレス192.168.20.0/24のパケットの送信元IPアドレスを192.168.110.0/24に変換します。
(☞) スタティックNATの場合、ネットワーク単位で設定します。

6. <IPアクセスリスト設定>

IPアクセスリスト名をppp0_inとします。そして送信元IPアドレス192.0.2.1,宛先IPアドレス192.0.2.2のIKE(UDPポート500番)、ESP(プロトコル番号50)のパケットを許可します。

7. <IPsecアクセスリスト設定>

ipsec_aclという名前のIPsecアクセスリストを設定します。なお送信元IPアドレス,宛先IPアドレスともにanyとします。

8. <IPsecローカルポリシー設定>

IPsecトンネルの送信元IPアドレスにip(IPv4)を設定します。

9. <IPsec ISAKMPポリシー設定>

ISAKMPポリシー1の説明としてNXR_A、認証方式としてpre-share(事前共有鍵)を選択し、事前共有鍵ipseckey1を設定します。なお事前共有鍵はNXR_Aのipsec isakmp policy 1と共通の値を設定します。

認証アルゴリズムとしてsha256、暗号化アルゴリズムとしてaes128，Diffie-Hellman(DH)グループとしてgroup 5、ISAKMP SAのライフタイムとして10800秒、フェーズ1のネゴシエーションモードとしてメインモードを設定します。

リモートアドレスにNXR_AのWAN側IPアドレスを設定します。またIKE KeepAlive(DPD)を監視間隔30秒,リトライ回数3回とし、keepalive失敗時にSAを削除しIKEのネゴシエーションを開始するように設定します。そしてIPsecローカルポリシー1と関連づけを行います。

10. <トンネル1インタフェース設定>

トンネル1インタフェースでトンネルモードをipsec ipv4、使用するIPsecトンネルポリシーとして1を設定します。またTCP MSSの調整機能をオートに設定します。

tunnel1_dnatをDNATグループに、tunnel1_snatをSNATグループに適用します。

11. <IPsec トンネルポリシー設定>

IPsecトンネルポリシー1の説明としてNXR_A、ネゴシエーションモードとしてautoを設定します。

暗号化アルゴリズムとしてaes128、認証アルゴリズムとしてsha256、PFSを有効にし、かつDHグループとしてgroup5、IPsec SAのライフタイムとして3600秒を設定します。

ISAKMPポリシー1と関連づけを行い、IPsecアクセスリストipsec_aclを設定します。

12. <PPPアカウント設定>

ppp0インタフェースで使用するISP接続用ユーザID,パスワードを設定します。
(☞) ここで設定したアカウントはppp0インタフェースの設定で利用します。

13. <WAN側(ppp0)インタフェース設定>

ppp0インタフェースのIPアドレスを設定します。

IPマスカレード、ステートフルパケットインスペクションを有効にします。またIPアクセスリストppp0_inをinフィルタに適用します。そしてTCP MSSの調整機能をオートに設定します。

ISP接続用ユーザIDを設定します。またIPsecトンネルのエンドポイントとなるためIPsecローカルポリシー1を設定します。

14. <ethernet1インタフェース設定>

PPPoEクライアントを設定します。また使用するPPPインタフェースとしてppp0を指定します。

15. <DNS設定>

DNSサービスを有効にします。

16. <ファストフォワーディング設定>

ファストフォワーディングを有効にします。

〔NXR_Cの設定〕

1. <ホスト名の設定>

ホスト名を設定します。

2. <LAN側(ethernet0)インタフェース設定>

ethernet0インタフェースのIPアドレスを設定します。

3. <スタティックルート設定>

192.168.10.0/24向けのルートを設定します。なおIPsec SA確立時はトンネル1インタフェースを、未確立時はnullインタフェースのルートを利用するように設定します。

デフォルトルートを設定します。

4. <DNAT設定>

DNAT名をtunnel1_dnatとします。そして宛先IPアドレス192.168.120.0/24のパケットの宛先IPアドレスを192.168.20.0/24に変換します。

5. <SNAT設定>

SNAT名をtunnel1_snatとします。そして送信元IPアドレス192.168.20.0/24のパケットの送信元IPアドレスを192.168.120.0/24に変換します。

6. <IPアクセスリスト設定>

IPアクセスリスト名をppp0_inとします。そして送信元IPアドレス192.0.2.1のIKE(UDPポート500番)、ESP(プロトコル番号50)のパケットを許可します。

7. <IPsecアクセスリスト設定>

ipsec_aclという名前のIPsecアクセスリストを設定します。なお送信元IPアドレス,宛先IPアドレスともにanyとします。

8. <IPsecローカルポリシー設定>

IPsecトンネルの送信元IPアドレスにip(IPv4)を設定します。またセルフIDをFQDN方式でnxrcとし、NXR_AのIPsec ISAKMPポリシー2のリモートIDと同じIDを設定します。

9. <IPsec ISAKMPポリシー設定>

ISAKMPポリシー1の説明としてNXR_A、認証方式としてpre-share(事前共有鍵)を選択し、事前共有鍵ipseckey2を設定します。なお事前共有鍵はNXR_Aのipsec isakmp policy 2と共通の値を設定します。

認証アルゴリズムとしてsha256、暗号化アルゴリズムとしてaes128，Diffie-Hellman(DH)グループとしてgroup 5、ISAKMP SAのライフタイムとして10800秒、フェーズ1のネゴシエーションモードとしてアグレッシブモードを設定します。

リモートアドレスにNXR_AのWAN側IPアドレスを設定します。またIKE KeepAlive(DPD)を監視間隔30秒,リトライ回数3回とし、keepalive失敗時にSAを削除しIKEのネゴシエーションを開始するように設定します。そしてIPsecローカルポリシー1と関連づけを行います。

10. <トンネル1インタフェース設定>

トンネル1インタフェースでトンネルモードをipsec ipv4、使用するIPsecトンネルポリシーとして1を設定します。またTCP MSSの調整機能をオートに設定します。

tunnel1_dnatをDNATグループに、tunnel1_snatをSNATグループに適用します。

11. <IPsec トンネルポリシー設定>

IPsecトンネルポリシー1の説明としてNXR_A、ネゴシエーションモードとしてautoを設定します。

暗号化アルゴリズムとしてaes128、認証アルゴリズムとしてsha256、PFSを有効にし、かつDHグループとしてgroup5、IPsec SAのライフタイムとして3600秒を設定します。

ISAKMPポリシー1と関連づけを行い、IPsecアクセスリストipsec_aclを設定します。

12. <PPPアカウント設定>

ppp0インタフェースで使用するISP接続用ユーザID,パスワードを設定します。
(☞) ここで設定したアカウントはppp0インタフェースの設定で利用します。

13. <WAN側(ppp0)インタフェース設定>

ppp0インタフェースのIPアドレスが動的の場合、negotiatedを設定します。

IPマスカレード、ステートフルパケットインスペクションを有効にします。またIPアクセスリストppp0_inをinフィルタに適用します。そしてTCP MSSの調整機能をオートに設定します。

ISP接続用ユーザIDを設定します。またIPsecトンネルのエンドポイントとなるためIPsecローカルポリシー1を設定します。

14. <ethernet1インタフェース設定>

PPPoEクライアントを設定します。また使用するPPPインタフェースとしてppp0を指定します。

15. <DNS設定>

DNSサービスを有効にします。

16. <ファストフォワーディング設定>

ファストフォワーディングを有効にします。

【 端末の設定例 】

【 付録 】

• 設定例show config形式サンプル(NXR_A)
• 設定例show config形式サンプル(NXR_B)
• 設定例show config形式サンプル(NXR_C)