NXR,VXRシリーズ

4-8. Cloudflare WAN 接続（IPsec／二重トンネル／ECMP／フェイルオーバー）

Cloudflare WAN と IPsec 接続を確立するための設定例です。本設定例では、スタティックルートによる経路制御と、ECMP（Equal Cost Multi Path）による負荷分散を前提とします。

※ 本設定例に記載している IP アドレスおよび IKE ID（ID_FQDN）は例示用です。実際の環境に合わせて適宜読み替えてください。Cloudflare WAN の接続先 IP アドレスおよび IKE ID（ID_FQDN）は、必ず Cloudflare から指定された値を設定してください。

商標について

Cloudflare、Cloudflareロゴ、およびCloudflare WANは、米国およびその他の国におけるCloudflare, Inc.の商標または登録商標です。

【 IPsec機能対応機種 】

NXR-1420、NXR-1300シリーズ、NXR-650、NXR-610Xシリーズ、NXR-530、NXR-160/LW、NXR-G540シリーズ、NXR-G200シリーズ、NXR-G180/L-CA、NXR-G110シリーズ、NXR-G100シリーズ、NXR-G060シリーズ、NXR-G050シリーズ、VXR-x64（2026 年 4 月時点）
※ 対応機種は今後変更される可能性があります。最新情報は、各製品の更新履歴またはユーザーズガイドを参照してください。

【 構成図 】

〔 正常時 〕

• NXR ルータは Cloudflare WAN の Anycast IP アドレスに対して IPsec トンネルを確立します。
  ※ 本設定例に記載している IP アドレス（192.0.2.1 および 192.0.2.2）は例示用です。実際の環境では、Cloudflare から指定された値を設定してください。
• ルーティングでは、IPsec トンネル経路のディスタンス値を同一に設定し、ECMP（Equal Cost Multi Path）により負荷分散を行います。

〔 IPsec トンネル1障害時 〕

• いずれかの IPsec トンネル（192.0.2.1 または 192.0.2.2）がダウンした場合、残存する IPsec トンネルへ自動的にフェイルオーバーします。

【 設定例 】

• Cloudflare WAN の設定
• NXR の設定

〔 Cloudflare WAN の設定 〕

Cloudflare WAN の IPsec に関する情報は、GRE and IPsec tunnels に関するドキュメントを参照してください。
設定時に使用する主なパラメータは以下のとおりです。

〔 NXR の設定 〕

【 設定例解説 】

〔 NXRの設定 〕

1. <LAN側（ethernet 0）インタフェース設定>

ethernet 0 インタフェースに IP アドレスを設定します。

2. <スタティックルート設定>

Cloudflare WAN の IPsec エンドポイント IP アドレス（192.0.2.1 および 192.0.2.2）へのスタティックルートを設定します。

宛先 0.0.0.0/0（デフォルトルート）へのスタティックルートを複数設定し、優先度により経路を制御します。

3. <IP アクセスリスト設定>

IP アクセスリスト eth1_IN を設定し、以下の通信を許可します。

• 送信元 IP アドレス 192.0.2.1 および 192.0.2.2 から、宛先 IP アドレス 203.0.113.1 への UDP ポート 500（送信元および宛先）の通信を許可します。
• 送信元 IP アドレス 192.0.2.1 および 192.0.2.2 から、宛先 IP アドレス 203.0.113.1 へのプロトコル番号 50（ESP）の通信を許可します。

※ IP アクセスリストを設定するだけではフィルタリングは動作しません。必ず使用するインタフェースに適用してください。

4. <IPsec priority-ignore 設定>

IPsec の priority-ignore 機能を有効にします。

5. <IPsec アクセスリスト設定>

IPsec アクセスリスト IPsec_ACL を設定します。

6. <IPsec ローカルポリシー設定1>

IPsec トンネルの送信元アドレス種別を ip に設定します。

セルフ ID を FQDN 方式で xxx.zzz.ipsec.cloudflare.com に設定します。
※ セルフ ID には、Cloudflare から指定された値を設定してください。

7. <IPsec ローカルポリシー設定2>

IPsec トンネルの送信元アドレス種別を ip に設定します。

セルフ ID を FQDN 方式で yyy.zzz.ipsec.cloudflare.com に設定します。
※ セルフ ID には、Cloudflare から指定された値を設定してください。

8. <IPsec ISAKMP ポリシー設定1>

ISAKMP ポリシー 1 の説明文を設定します。

IKE のバージョンを 2（IKEv2）に設定します。

認証方式を pre-share に設定し、事前共有鍵を IPsecKEY に設定します。
※ 事前共有鍵には、Cloudflare から指定された値を設定してください。

認証アルゴリズムを sha256 に設定します。

暗号化アルゴリズムを aes256 に設定します。

Diffie-Hellman（DH）グループを 20 に設定します。

IKE SA のライフタイムを 86400 秒に設定します。

リモートアドレスに 192.0.2.1 を設定します。

IKE KeepAlive（DPD）の各パラメータを設定します。

• 監視間隔を 30 秒に設定します。
• リトライ回数を 3 回に設定します。
• ダウン検知後に IKE を再ネゴシエーションするように設定します。

この ISAKMP ポリシーで使用する IPsec ローカルポリシー番号を 1 に設定します。

9. <トンネル 1（tunnel 1）インタフェース設定>

tunnel 1 インタフェースの説明文を設定します。

tunnel 1 インタフェースに IP アドレスを設定します。

トンネルモードを ipsec ipv4 に設定します。

このトンネルで使用する IPsec トンネルポリシー番号を 1 に設定します。

TCP MSS 調整を auto に設定します。

10. <IPsec トンネルポリシー設定1>

IPsec トンネルポリシー 1 の説明文を設定します。

ネゴシエーションモードを auto に設定します。

アンチリプレイチェックを無効にします。

暗号化アルゴリズムを esp-aes256、認証アルゴリズムを esp-sha256-hmac に設定します。

Child SA のライフタイムを 28800 秒に設定します。

このトンネルポリシーで使用する IPsec ISAKMP ポリシー番号を 1 に設定します。

このトンネルポリシーに IPsec アクセスリスト IPsec_ACL を適用します。

11. <IPsec ISAKMP ポリシー設定2>

ISAKMP ポリシー 2 の説明文を設定します。

IKE のバージョンを 2（IKEv2）に設定します。

認証方式を pre-share に設定し、事前共有鍵を IPsecKEY に設定します。
※ 事前共有鍵には、Cloudflare から指定された値を設定してください。

認証アルゴリズムを sha256 に設定します。

暗号化アルゴリズムを aes256 に設定します。

DH グループを 20 に設定します。

IKE SA のライフタイムを 86400 秒に設定します。

リモートアドレスに 192.0.2.2 を設定します。

IKE KeepAlive（DPD）の各パラメータを設定します。

• 監視間隔を 30 秒に設定します。
• リトライ回数を 3 回に設定します。
• ダウン検知後に IKE を再ネゴシエーションするように設定します。

この ISAKMP ポリシーで使用する IPsec ローカルポリシー番号を 2 に設定します。

12. <トンネル 2（tunnel 2）インタフェース設定>

tunnel 2 インタフェースの説明文を設定します。

tunnel 2 インタフェースに IP アドレスを設定します。

トンネルモードを ipsec ipv4 に設定します。

このトンネルで使用する IPsec トンネルポリシー番号を 2 に設定します。

TCP MSS 調整を auto に設定します。

13. <IPsec トンネルポリシー設定2>

IPsec トンネルポリシー 2 の説明文を設定します。

ネゴシエーションモードを auto に設定します。

アンチリプレイチェックを無効にします。

暗号化アルゴリズムを esp-aes256、認証アルゴリズムを esp-sha256-hmac に設定します。

PFS を有効にし、DH グループを group20 に設定します。

Child SA のライフタイムを 28800 秒に設定します。

このトンネルポリシーで使用する IPsec ISAKMP ポリシー番号を 2 に設定します。

このトンネルポリシーに IPsec アクセスリスト IPsec_ACL を適用します。

14. <WAN側（ethernet 1）インタフェース設定>

ethernet 1 インタフェースに IP アドレスを設定します。

ステートフルパケットインスペクションを有効にします。

受信方向（in）に IP アクセスリスト eth1_IN を適用します。

TCP MSS 調整を auto に設定します。

このインタフェースで使用する IPsec ローカルポリシー番号を 1 および 2 に設定します。

15. <DNS 設定>

DNS 機能を有効にします。

DNS サーバアドレスとして 203.0.113.253 および 203.0.113.254 を設定します。

16. <ファストフォワーディング設定>

ファストフォワーディング機能を有効にします。

17. <設定の保存>

現在の設定を保存します。

【 端末の設定例 】

【 補足 】

〔IPsec 経由でのルータアクセス〕

forbidden-access-wan 機能が有効になっている場合、IPsec 経由でルータにアクセスすることはできません。
IPsec 経由でアクセスする場合は、トンネルインタフェースでアクセスを許可するフィルタを設定してください。

※ 工場出荷状態では、ethernet 0 インタフェース以外からの HTTP サーバ、SSH サーバ、TELNET サーバへのアクセスが禁止されています。
（TELNET サーバは対応機種のみ）

以下は設定例です。

<IP アクセスリスト設定>

IP アクセスリスト tunnel1_IN を設定し、以下の通信を許可します。

・送信元 IP アドレス 192.168.0.0/24 から、宛先 IP アドレス 192.168.10.1 への宛先 TCP ポート 22 および 880 の通信を許可します。

<トンネル 1（tunnel 1）インタフェース設定>

受信方向（in）に IP アクセスリスト tunnel1_IN を適用します。

【 付録 】

• 設定例 show config形式サンプル（NXR）