NXR,VXRシリーズ

4-5. IPsec冗長化設定(メインIPv6＋バックアップIPv4)

メイン回線にIPv6、バックアップ回線にIPv4という構成で冗長化する設定例です。メインのVPN回線障害時は自動的にバックアップのVPN回線に切り替えて通信を継続できます。なおこの例では「OPEN IPv6 ダイナミック DNS for フレッツ・光ネクスト」を利用します。
※「OPEN IPv6 ダイナミック DNS for フレッツ・光ネクスト」はソフトイーサ株式会社が開発・提供しているサービスです。詳細についてはこちらをご参照ください。
(☞) この設定例は2019年7月時点において弊社で接続確認を行い、その検証結果を元に作成しております。よって将来にわたって必ずしも接続性を保証するものではありません。またサービス利用時はDDNSプロバイダの利用規約に則った利用を行うようお願い致します。

【 構成図 】

• この例では、NGN網との接続回線はひかり電話契約なしを想定しています。
• OPEN IPv6 DDNSサーバ上で各ルータのDDNS名を以下のように作成しているものとします。
  NXR_A：sample1.i.open.ad.jp
  NXR_B：sample2.i.open.ad.jp
• NXR_Aのeth2で接続しているISPのIPv4 DNSサーバアドレスを以下とします。
  プライマリDNSサーバ：203.0.113.253
  セカンダリDNSサーバ：203.0.113.254

〔正常時〕

• NGN網経由でIPsecトンネルを確立します。
• NXR_B配下の端末はIPsecトンネル経由でインターネット(IPv4)にアクセスします。

〔NXR_A側NGN回線障害時〕

• インターネット(IPv4)経由でIPsecトンネルを確立します。
• NXR_B配下の端末のインターネット(IPv4)アクセスはNXR_Bで破棄します。

※NXR_B側NGN回線障害時の動作は、NXR_A側NGN回線障害時と同様になります。

【 設定例 】

〔NXR_Aの設定〕

〔NXR_Bの設定〕

【 設定例解説 】

〔NXR_Aの設定〕

1. <ホスト名の設定>

ホスト名を設定します。

2. <DHCPv6クライアント設定>

DHCPv6クライアント設定の名前を定義します。

information-only機能を有効にします。

DNSサーバアドレスの通知を要求するように設定します。

3. <LAN側(ethernet0)インタフェース設定>

ethernet0インタフェースのIPv4アドレスを設定します。

4. <IPv4スタティックルート設定>

192.168.20.0/24向けのルートを設定します。
(☞) ディスタンス値による優先度設定により、正常時は出力先がtunnel1インタフェースのルートが優先されます。

出力先をnullインタフェースとする192.168.0.0/16のルートを設定します。
(☞) 出力先がnullインタフェースのパケットは破棄されます。

デフォルトルートを設定します。

5. <IPv6アクセスリスト設定>

IPv6アクセスリストeth1_inを以下のルールで設定します。

• ICMPv6を許可
• 宛先UDPポート546番(DHCPv6クライアント)を許可
• 送信元UDPポート500番、宛先UDPポート500番を許可
• ESP(プロトコル番号50)を許可

(☞) IPv6アクセスリストを設定しただけではフィルタとして有効にはなりません。フィルタリングを行うインタフェースでの登録が必要になります。

6. <IPv4アクセスリスト設定>

IPv4アクセスリストeth2_inを以下のルールで設定します。

• 宛先IPv4アドレス203.0.113.1、宛先UDPポート500番を許可
• 宛先IPv4アドレス203.0.113.1、宛先UDPポート4500番を許可
• 宛先IPv4アドレス203.0.113.1、ESPを許可

(☞) IPv4アクセスリストを設定しただけではフィルタとして有効にはなりません。フィルタリングを行うインタフェースでの登録が必要になります。

7. <IPsec NATトラバーサル設定>

NATトラバーサルを有効にします。

8. <IPsec priority-ignore設定>

ipsec priority-ignoreを有効にします。

9. <IPsecアクセスリスト設定>

送信元IPアドレス,宛先IPアドレスともにanyのIPsecアクセスリストipsec_aclを設定します。

10. <IPsecローカルポリシー1設定>

IPsecトンネルの送信元IPアドレスにipv6を設定します。

11. <IPsec ISAKMPポリシー1設定>

ISAKMPポリシー1の説明文を設定します。

認証方式としてpre-share(事前共有鍵)を選択し、事前共有鍵を設定します。
(☞) 事前共有鍵はNXR_Bのipsec isakmp policy 1と共通の値を設定します。

認証アルゴリズムをsha256に設定します。

暗号化アルゴリズムをaes128に設定します。

DH(Diffie-Hellman)グループをgroup 5に設定します。

ISAKMP SAのライフタイムを設定します。

フェーズ1のネゴシエーションモードをメインモードに設定します。

リモートアドレスにNXR_BのFQDNを設定します。

IKE KeepAlive(DPD)を監視間隔30秒、リトライ回数3回、keepalive失敗時にSAを削除しIKEのネゴシエーションを開始するように設定します。

このIPsec ISAKMPポリシーで使用するIPsecローカルポリシーを設定します。

12. <トンネル1インタフェース設定>

トンネル1インタフェースのトンネルモードをipsec ipv6に設定します。

このトンネルインタフェースで使用するIPsecトンネルポリシーを設定します。

IPv4 TCP MSSの調整機能をオートに設定します。

13. <IPsec トンネルポリシー1設定>

IPsecトンネルポリシー1の説明文を設定します。

ネゴシエーションモードをautoに設定します。

暗号化アルゴリズムをaes128、認証アルゴリズムをsha256に設定します。

PFSを有効、DHグループをgroup5に設定します。

IPsec SAのライフタイムを設定します。

このIPsecトンネルポリシーで使用するIPsec ISAKMPポリシーを設定します。

IPsecアクセスリストを設定します。

14. <IPsecローカルポリシー2設定>

IPsecトンネルの送信元IPアドレスにip(IPv4)を設定します。

15. <IPsec ISAKMPポリシー2設定>

ISAKMPポリシー2の説明文を設定します。

認証方式としてpre-share(事前共有鍵)を選択し、事前共有鍵を設定します。
(☞) 事前共有鍵はNXR_Bのipsec isakmp policy 2と共通の値を設定します。

認証アルゴリズムをsha256に設定します。

暗号化アルゴリズムをaes128に設定します。

DHグループをgroup 5に設定します。

ISAKMP SAのライフタイムを設定します。

フェーズ1のネゴシエーションモードをアグレッシブモードに設定します。

リモートアドレスにanyを設定します。

リモートID(FQDN方式)を設定します。
(☞) NXR_Bのipsec local policy 2のセルフIDと同じIDを設定します。

IKE KeepAlive(DPD)を監視間隔30秒、リトライ回数3回、keepalive失敗時にSAを削除するように設定します。

このIPsec ISAKMPポリシーで使用するIPsecローカルポリシーを設定します。

16. <トンネル2インタフェース設定>

トンネル2インタフェースのトンネルモードをipsec ipv4に設定します。

このトンネルインタフェースで使用するIPsecトンネルポリシーを設定します。

IPv4 TCP MSSの調整機能をオートに設定します。

17. <IPsec トンネルポリシー2設定>

IPsecトンネルポリシー2の説明文を設定します。

ネゴシエーションモードをresponderに設定します。

暗号化アルゴリズムをaes128、認証アルゴリズムをsha256に設定します。

PFSを有効、DHグループをgroup5に設定します。

IPsec SAのライフタイムを設定します。

このIPsecトンネルポリシーで使用するIPsec ISAKMPポリシーを設定します。

IPsecアクセスリストを設定します。

18. <WAN側(ethernet1)インタフェース設定>

ethernet1インタフェースのIPv4アドレスを無効にします。

ethernet1インタフェースのIPv6アドレスを設定します。
(☞) RAで取得したIPv6プレフィックスを使用し、プレフィックス以降は::1とします。

IPv6ステートフルパケットインスペクションを有効にします。

IPv6アクセスグループのinフィルタにIPv6アクセスリストeth1_inを設定します。

DHCPv6クライアント名を設定し、DHCPv6クライアントを有効にします。

このインタフェースで使用するIPsecローカルポリシーを設定します。

19. <WAN側(ethernet2)インタフェース設定>

ethernet2インタフェースのIPv4アドレスを設定します。

IPマスカレード、IPv4ステートフルパケットインスペクションを有効にします。

IPv4アクセスグループのinフィルタにIPアクセスリストeth2_inを設定します。

このインタフェースで使用するIPsecローカルポリシーを設定します。

20. <DNS設定>

DNSサービスを有効にします。

EDNSを有効にします。

IPv4DNSサーバアドレスを設定します。

DNSサーバの優先度を変更します。
(☞) この設定によりDHCPv6で取得したIPv6DNSサーバアドレスをaddressコマンドで設定したIPv4DNSサーバアドレスよりも優先させることができます。

タイムアウト時間を設定します。

21. <DDNS設定>

DDNSサービスを有効にします。

接続するDDNSプロバイダにhttp-client(汎用プロバイダ)を設定します。

DDNSのユーザID,パスワードを設定します。
(☞) 「OPEN IPv6 ダイナミック DNS for フレッツ・光ネクスト」では、接続用のユーザID,パスワードは不要ですが、DDNSサービスを起動するにあたり必須の設定項目のため、この例では設定しています。

接続回線のインタフェースを設定します。

「OPEN IPv6 ダイナミック DNS for フレッツ・光ネクスト」接続用URLを設定します。

HTTPクエリにDDNSホスト名の「ホストキー」を設定します。

IPアドレス変更通知を1時間毎に送信するように設定します。
(☞) IPアドレス変更の有無に関わらず送信する間隔を設定します。

22. <ファストフォワーディング設定>

ファストフォワーディングを有効にします。

23. <設定の保存>

設定内容を保存します。

〔NXR_Bの設定〕

1. <ホスト名の設定>

ホスト名を設定します。

2. <DHCPv6クライアント設定>

DHCPv6クライアント設定の名前を定義します。

information-only機能を有効にします。

DNSサーバアドレスの通知を要求するように設定します。

3. <LAN側(ethernet0)インタフェース設定>

ethernet0インタフェースのIPv4アドレスを設定します。

4. <IPv4スタティックルート設定>

203.0.113.1/32向けのルートを設定します。

192.168.10.0/24向けのルートを設定します。
(☞) tunnel2インタフェースのIPsecトンネル確立時のみ有効になります。

デフォルトルートを設定します。

5. <IPv6アクセスリスト設定>

IPv6アクセスリストeth1_inを以下のルールで設定します。

• ICMPv6を許可
• 宛先UDPポート546番(DHCPv6クライアント)を許可
• 送信元UDPポート500番、宛先UDPポート500番を許可
• ESP(プロトコル番号50)を許可

6. <IPv4アクセスリスト設定>

IPv4アクセスリストppp0_inを以下のルールで設定します。

• 送信元IPv4アドレス203.0.113.1、送信元UDPポート500番、宛先UDPポート500番を許可
• 送信元IPv4アドレス203.0.113.1、送信元UDPポート4500番、宛先UDPポート4500番を許可
• 送信元IPv4アドレス203.0.113.1、ESPを許可

7. <トラック設定(ISAKMP SA監視)>

トラックNo.1にIPsec ISAKMPポリシー1のISAKMP SA監視を設定します。

8. <IPsec NATトラバーサル設定>

NATトラバーサルを有効にします。

9. <IPsec priority-ignore設定>

ipsec priority-ignoreを有効にします。

10. <IPsecアクセスリスト設定>

送信元IPアドレス,宛先IPアドレスともにanyのIPsecアクセスリストipsec_aclを設定します。

11. <IPsecローカルポリシー1設定>

IPsecトンネルの送信元IPアドレスにipv6を設定します。

12. <IPsec ISAKMPポリシー1設定>

ISAKMPポリシー1の説明文を設定します。

認証方式としてpre-share(事前共有鍵)を選択し、事前共有鍵を設定します。
(☞) 事前共有鍵はNXR_Aのipsec isakmp policy 1と共通の値を設定します。

認証アルゴリズムをsha256に設定します。

暗号化アルゴリズムをaes128に設定します。

DHグループをgroup 5に設定します。

ISAKMP SAのライフタイムを設定します。

フェーズ1のネゴシエーションモードをメインモードに設定します。

リモートアドレスにNXR_AのFQDNを設定します。

IKE KeepAlive(DPD)を監視間隔30秒、リトライ回数3回、keepalive失敗時にSAを削除しIKEのネゴシエーションを開始するように設定します。

このIPsec ISAKMPポリシーで使用するIPsecローカルポリシーを設定します。

13. <トンネル1インタフェース設定>

トンネル1インタフェースのトンネルモードをipsec ipv6に設定します。

このトンネルインタフェースで使用するIPsecトンネルポリシーを設定します。

IPv4 TCP MSSの調整機能をオートに設定します。

IPリバウンドを無効にします。

14. <IPsec トンネルポリシー1設定>

IPsecトンネルポリシー1の説明文を設定します。

ネゴシエーションモードをautoに設定します。

暗号化アルゴリズムをaes128、認証アルゴリズムをsha256に設定します。

PFSを有効、DHグループをgroup5に設定します。

IPsec SAのライフタイムを設定します。

このIPsecトンネルポリシーで使用するIPsec ISAKMPポリシーを設定します。

IPsecアクセスリストを設定します。

15. <IPsecローカルポリシー2設定>

IPsecトンネルの送信元IPアドレスにip(IPv4)を設定します。

セルフID(FQDN方式)を設定します。
(☞) NXR_AのIPsec ISAKMPポリシー2のリモートIDと同じIDを設定します。

16. <IPsec ISAKMPポリシー2設定>

ISAKMPポリシー2の説明文を設定します。

認証方式としてpre-share(事前共有鍵)を選択し、事前共有鍵を設定します。
(☞) 事前共有鍵はNXR_Aのipsec isakmp policy 2と共通の値を設定します。

認証アルゴリズムをsha256に設定します。

暗号化アルゴリズムをaes128に設定します。

DHグループをgroup 5に設定します。

ISAKMP SAのライフタイムを設定します。

フェーズ1のネゴシエーションモードをアグレッシブモードに設定します。

リモートアドレスにNXR_Aのethernet2のIPv4アドレスを設定します。

IKE KeepAlive(DPD)を監視間隔30秒、リトライ回数3回、keepalive失敗時にSAを削除しIKEのネゴシエーションを開始するように設定します。

このIPsec ISAKMPポリシーで使用するIPsecローカルポリシーを設定します。

トラックNo.1で障害を検知した場合、 このIPsec ISAKMPポリシーの接続を開始します。

17. <トンネル2インタフェース設定>

トンネル2インタフェースのトンネルモードをipsec ipv4に設定します。

このトンネルインタフェースで使用するIPsecトンネルポリシーを設定します。

IPv4 TCP MSSの調整機能をオートに設定します。

18. <IPsec トンネルポリシー2設定>

IPsecトンネルポリシー2の説明文を設定します。

ネゴシエーションモードをautoに設定します。

暗号化アルゴリズムをaes128、認証アルゴリズムをsha256に設定します。

PFSを有効、DHグループをgroup5に設定します。

IPsec SAのライフタイムを設定します。

このIPsecトンネルポリシーで使用するIPsec ISAKMPポリシーを設定します。

IPsecアクセスリストを設定します。

19. <WAN側(ethernet1)インタフェース設定>

ethernet1インタフェースのIPv4アドレスを無効にします。

ethernet1インタフェースのIPv6アドレスを設定します。

IPv6ステートフルパケットインスペクションを有効にします。

IPv6アクセスグループのinフィルタにIPv6アクセスリストeth1_inを設定します。

DHCPv6クライアント名を設定し、DHCPv6クライアントを有効にします。

このインタフェースで使用するIPsecローカルポリシーを設定します。

20. <PPPアカウント設定>

ppp0インタフェースで使用するモバイル接続用ユーザID,パスワードを設定します。

21. <WAN側(ppp0)インタフェース設定>

ppp0インタフェースのIPv4アドレスをnegotiatedに設定します。

IPマスカレード、IPv4ステートフルパケットインスペクションを有効にします。

IPv4アクセスグループのinフィルタにIPアクセスリストppp0_inを設定します。

IPv4 TCP MSSの調整機能をオートに設定します。

モバイル接続用ユーザIDを設定します。

APN,CID,pdp-typeを設定します。

発信用の電話番号を設定します。

ダイアルタイムアウトを設定します。

IPCPで割り当てられるDNSサーバアドレスを拒否します。

このインタフェースで使用するIPsecローカルポリシーを設定します。

22. <モバイルエラーリカバリー設定>

内蔵通信モジュールとの通信に重大な問題が発生する可能性が高いと判断した場合、内蔵通信モジュールのリセットを行うように設定します。

23. <モバイルターミネーションリカバリー設定>

モバイル接続時に網側から切断された場合、内蔵通信モジュールのリセットを行うように設定します。

24. <モバイル割り当て設定>

mobile1(内蔵通信モジュール)で使用するpppインタフェースを設定します。

25. <モバイルキャリア設定>

mobile1で使用する通信キャリアを設定します。
(☞) モバイルキャリア設定はマルチキャリア対応の機種でのみ設定します。

26. <キャリア設定の反映>

キャリア設定を反映させるためにモバイルリセットを行います。

27. <DNS設定>

DNSサービスを有効にします。

EDNSを有効にします。

28. <DDNS設定>

DDNSサービスを有効にします。

接続するDDNSプロバイダにhttp-client(汎用プロバイダ)を設定します。

DDNSのユーザID,パスワードを設定します。

接続回線のインタフェースを設定します。

「OPEN IPv6 ダイナミック DNS for フレッツ・光ネクスト」接続用URLを設定します。

HTTPクエリにDDNSホスト名の「ホストキー」を設定します。

IPアドレス変更通知を1時間毎に送信するように設定します。

29. <ファストフォワーディング設定>

ファストフォワーディングを有効にします。

30. <設定の保存>

設定内容を保存します。

【 端末の設定例 】

【 付録 】

• 設定例show config形式サンプル(NXR_A)
• 設定例show config形式サンプル(NXR_B)