• 拠点側ac米兰中文官方网站は1台で、PPPoE（IPアドレス不定）を1セッション使用します。
  センタ側ac米兰中文官方网站0は2台で機器冗長と回線冗長を行い、それぞれPPPoE（IPアドレス固定）を1セッション使用します。
  
  
• センタ側2台のac米兰中文官方网站0をac米兰中文官方网站に置き換えても運用できます。
  
  
• IPsecはアグレッシブモードですが、拠点側から常にSAを確立しているので、ac米兰中文官方网站契機の通信にも対応できます。
  
  
• 拠点側ac米兰中文官方网站は設定された比率で負荷分散を行います（2つのVPNはActive-Activeです）。分散比率は 0 〜 10 の間の、任意の整数値で設定できます（ 0 と 10 が設定できるのは、ac米兰中文官方网站はV01.10以降、ac米兰中文官方网站0はV01.03以降のファームウェアとなります）。
  10：0 とした場合は、通常時 0 側にユーザデータは流れず、Active-Standbyになります（keep aliveのICMPパケットは流れます）。
  
  
• 一方のVPNが不通となった場合は、残りのVPNで全ての通信をまかないます。
  また、VPNの復旧後は再びac米兰中文官方网站された比率で負荷分散を行います。
  
  
• 拠点側ac米兰中文官方网站はVPN1経路、VPN2経路共に経路監視を行います。
  センタ側ac米兰中文官方网站0はそれぞれの経路を監視します（経路監視にはICMPのkeep aliveを使用します）。
  
  
• VPN1経路、VPN2経路の切り替えは、拠点側ではac米兰中文官方网站が自動的に行い、経路復旧後の切り戻しも拠点側ac米兰中文官方网站が自動的に行います。
  ac米兰中文官方网站障害時には、keep alive機能により、SAを消去します。負荷分散構成の場合、イニシエータ側でもsa-upルート機能（Phase2 SAの確立を契機として、到達可能となったac米兰中文官方网站情報を登録する機能）を使うことにより、自身のルーティングテーブルを動的に書き換えます。
  
  
• センタ側2台のac米兰中文官方网站0は、sa-upルート機能で登録したルート情報をLAN側にRIPで広告します。センタ側の経路制御は、2台のac米兰中文官方网站0からRIPを受けたL3SWが、メトリック値をもとに判断することになります。この例の場合、ac米兰中文官方网站0-1側のVPN1経路の優先度が高くなるようにして、RIPを広告しています。
  
  
• センタ側でac米兰中文官方网站しているトンネルルート機能は、対向装置のピアへのルートを、IKEのネゴを契機として登録する機能です。この機能を使うことにより、この例のように対向装置のピアのアドレスが不定の場合でも、デフォルトルートをL3SW側に向けることができるようになります。この機能は、アグレッシブモードのレスポンダ側でのみac米兰中文官方网站可能です。
  
  
• 回線障害時の切り替えには平均で30秒ほどかかります（keep aliveの送信間隔が初期値で60秒にac米兰中文官方网站されているため）。
  keep aliveに関するac米兰中文官方网站は「alive」コマンドを参照。
  
  

RouterenableEnter password:super←パスワードを入力します。（実際は表示されない）
!
!
! LAN側IPアドレスをac米兰中文官方网站します。
!
Router(config)#interface ac米兰中文官方网站Router(config-if ac米兰中文官方网站)#ip address 172.16.0.1 255.255.0.0Router(config-if ac米兰中文官方网站)#exit!
!
! PPPoE1 の各種ac米兰中文官方网站をします。
!
Router(config)#ac米兰中文官方网站Router(config-if pppoe 1)#pppoe server A-ProviderRouter(config-if pppoe 1)#pppoe account user@xxxx.ne.jp secretRouter(config-if pppoe 1)#pppoe type hostRouter(config-if pppoe 1)#crypto map VPN1Router(config-if pppoe 1)#crypto map VPN2!                          1つのインタフェース上で2つのVPNを張ります
Router(config-if pppoe 1)#exit!
!
! センタ側のピアへのルートをac米兰中文官方网站します。
!
Router(config)#ip route 200.200.200.200 255.255.255.255 pppoe 1Router(config)#ip route 100.100.100.100 255.255.255.255 pppoe 1!
!
! DHCPサーバ機能をac米兰中文官方网站します。
!
Router(config)#service dhcp-serverRouter(config)#ip dhcp pool lan1Router(config-dhcp-pool)#default-router 0.0.0.0Router(config-dhcp-pool)#exitRouter(config)#
!
!
! IPsec負荷分散のac米兰中文官方网站をします。
!
Router(config)#vpn enableRouter(config)#vpnlog enable!
Router(config)#ipsec access-list 10 ipsec ip 172.16.0.0 0.0.255.255 anyRouter(config)#ipsec access-list 64 bypass ip any anyRouter(config)#ipsec transform-set P2-ac米兰中文官方网站 esp-3des esp-md5-hmac!
Router(config)#crypto isakmp policy 1Router(config-isakmp)#authentication prekeyRouter(config-isakmp)#encryption ac米兰中文官方网站Router(config-isakmp)#hash md5Router(config-isakmp)#keepalive icmpalways-send
!                                        icmpにより常時keep aliveを行いますRouter(config-isakmp)#keepalive-icmppeer-address192.168.3.1
!                                        監視先のアドレスをac米兰中文官方网站しますRouter(config-isakmp)#keepalive-icmpsource-interfaceac米兰中文官方网站
!                                        送信元IPac米兰中文官方网站をLAN側IPac米兰中文官方网站とすることにより、
!                                        VPNトンネルを通してkeep aliveをおこないますRouter(config-isakmp)#keepalive-icmpmulti-pathac米兰中文官方网站 *1
!                                        keep aliveの送受信インタフェースを固定しますRouter(config-isakmp)#key ascii furukawaRouter(config-isakmp)#my-identity kyoten1-1Router(config-isakmp)#negotiation-mode aggressiveRouter(config-isakmp)#peer-identity address 200.200.200.200Router(config-isakmp)#exit!
Router(config)#crypto isakmp policy 2Router(config-isakmp)#authentication prekeyRouter(config-isakmp)#encryption ac米兰中文官方网站Router(config-isakmp)#hash md5Router(config-isakmp)#keepalive icmpalways-sendRouter(config-isakmp)#keepalive-icmppeer-address192.168.3.20Router(config-isakmp)#keepalive-icmpsource-interfaceac米兰中文官方网站Router(config-isakmp)#keepalive-icmpmulti-pathac米兰中文官方网站 *1Router(config-isakmp)#key ascii furukawaRouter(config-isakmp)#my-identity kyoten1-2Router(config-isakmp)#negotiation-mode aggressiveRouter(config-isakmp)#peer-identity address 100.100.100.100Router(config-isakmp)#exit!
Router(config)#crypto map VPN1 1Router(config-crypto-map)#match address 10multi-path balance 2 *2
!                          VPN1側の比率を2として負荷分散しますRouter(config-crypto-map)#set peer address 200.200.200.200Router(config-crypto-map)#set security-associationalways-up
!                          SAを常時確立しておくようにしますRouter(config-crypto-map)#set transform-set P2-ac米兰中文官方网站Router(config-crypto-map)#sa-up routeac米兰中文官方网站 local-prot1 *3
!                          SAの確立を契機としてac米兰中文官方网站LAN(any)へのルート情報を
!                          nexthopをpppoe1として登録しますRouter(config-crypto-map)#exit!
Router(config)#crypto map VPN2 2Router(config-crypto-map)#match address 10multi-path balance 1 *2
!                          VPN2側の比率を1として負荷分散しますRouter(config-crypto-map)#set peer address 100.100.100.100Router(config-crypto-map)#set security-associationalways-upRouter(config-crypto-map)#sa-up routeac米兰中文官方网站 local-prot2 *3
!                          VPN1とVPN2で全く同じルート情報が登録されることになるので、
!                          この２つをlocal-protオプションを付けて区別できるようにします。Router(config-crypto-map)#set transform-set P2-ac米兰中文官方网站Router(config-crypto-map)#exit!
Router(config)#endRouter#save SIDE-A.cfg% saving working-config
% finished saving

　keepalive-icmp multi-path address <nexthop のac米兰中文官方网站

　sa-up route address <nexthop のac米兰中文官方网站 local-prot1
　sa-up route address <nexthop のac米兰中文官方网站 local-prot2

!
ip route 0.0.0.0 0.0.0.0 192.168.3.254
!
vpn enable
vpnlog enable
!
ipsec access-list 10 ipsec ip any 172.16.0.0 0.0.255.255
ipsec access-list 64 bypass ip any any
ipsec transform-set P2-3DES-MD5 esp-3des esp-md5-hmac
!
hostname ac米兰中文官方网站0-1
!
interface pppoe 1
 crypto map map1
 pppoe server test
 pppoe account zyx@furukawa.co.jp zyx
 pppoe type host
 ip address 200.200.200.200
exit
!
interface lan 1
 ip address 192.168.3.1 255.255.255.0
exit
!
crypto isakmp policy 1
 authentication prekey
 encryption 3des
 hash md5
 keepalive icmp always-send
 keepalive-icmp peer-address 172.16.0.1
 keepalive-icmp source-interface lan 1
 keepalive-icmp multi-pathac米兰中文官方网站key ascii furukawa
 negotiation-mode aggressive
 peer-identity host kyoten1-1
 tunnel-routeac米兰中文官方网站
! 対向のVPNピアへのルートを、nexthopをPPPoE1として登録しますexit
crypto map map1 1
 match address 10
 set peer host kyoten1-1
 set transform-set P2-ac米兰中文官方网站
 sa-up route interface pppoe 1! local-protオプションがない場合、redistributeで指定しなくても、このルート情報をRIPで
! 広告します。local-protオプションがある場合、RIPで広告するには、明示的にredistributeで
! 指定する必要があります。exit
!
router rip
 network ac米兰中文官方网站
exit
!
end

!
ip route 0.0.0.0 0.0.0.0 192.168.3.254
!
vpn enable
vpnlog enable
!
ipsec access-list 10 ipsec ip any 172.16.0.0 0.0.255.255
ipsec access-list 64 bypass ip any any
ipsec transform-set P2-3DES-MD5 esp-3des esp-md5-hmac
!
hostname ac米兰中文官方网站0-2
!
interface lan 1
 ip address 192.168.3.20 255.255.255.0
exit
interface pppoe 1
 crypto map map1
 ip address 100.100.100.100
 pppoe server test
 pppoe account xyz@furukawa.co.jp xyz
 pppoe type host
exit
!
crypto isakmp policy 1
 authentication prekey
 encryption 3des
 hash md5
 keepalive icmp always-send
 keepalive-icmp peer-address 172.16.0.1
 keepalive-icmp source-interface lan 1
 keepalive-icmp multi-pathac米兰中文官方网站key ascii furukawa
 negotiation-mode aggressive
 peer-identity host kyoten1-2
 tunnel-routeac米兰中文官方网站exit
crypto map map1 1
 match address 10
 set peer host kyoten1-2
 set transform-set P2-ac米兰中文官方网站
 sa-up route interface pppoe 1
exit
!
access-list 10 permit 172.16.0.0 0.0.255.255
!
router rip
 network lan 1
 offset-list 10 out 5 lan 1! sa-upルートで登録した情報をRIPで広告する際に、metric値を+5して出すようにします。exit
!
end