米兰ac体育
end　　製品ラインナップ　　FITELnet-Fシリーズ　　FITELnet-米兰ac体育・1000　　米兰ac体育例　　IPsec負荷分散米兰ac体育(3)
設定例


米兰ac体育


3．センタ米兰ac体育0(2台各1回線)・拠点米兰ac体育(1台2回線)でIPsec負荷分散を行う

※センタ側2台の米兰ac体育0を米兰ac体育に置き換えても運用できます

・拠点側F100米兰ac体育された比率で負荷分散を行います（2つのVPNはActive-Activeです）
　※比率は任意の整数値(0〜10)で米兰ac体育できます。
　　(0と10が米兰ac体育できるのは、F100はV01.10以降、F1000はV01.03以降のファームウェアとなります)
　　10：0とした場合は通常時0側にユーザデータは流れず、Active-Standbyになります。
　　(keepaliveのICMPパケットは流れます)

・一方のVPNが不通となった場合は、残りのVPNで全ての通信をまかないます
　また、VPNの復旧後は再び米兰ac体育された比率で負荷分散を行います

・拠点側米兰ac体育は単体で回線冗長を行い、PPPoE(IPアドレス不定)を2セッション使用します。
　なお、PPPoEの1〜4は物理ポートEWAN1、PPPoE5のみ物理ポートEWAN2を使用米兰ac体育。
　また、PPPoE1と4を使用した米兰ac体育も可能です。(物理ポートEWAN1を共有)

・センタ側米兰ac体育0は2台で機器冗長と回線冗長を行い、それぞれPPPoE(IPアドレス固定)を1セッション
　使用米兰ac体育。

・拠点側米兰ac体育はVPN1経路、VPN2経路共に経路監視を行います。
　センタ側米兰ac体育0はそれぞれの経路を監視します。(経路監視にはICMP(Ping)のKeepaliveを使用)

・VPN1経路、VPN2経路の切り替えは拠点側米兰ac体育が自動的に行い、経路復旧後の切り戻しも拠点側米兰ac体育
　が自動的に行います。
　※Keepaliveにより、経路障害時にそのSAを消去米兰ac体育。SA-upルート機能と合わせ、自身の
　　ルーティングテーブルを動的に書き換えます。

・IPsecはアグレッシブモードですが、拠点側から常にSAを確立しているので、米兰ac体育契機の通信
　にも対応できます。

・センタ側2台の米兰ac体育0はSAの確立を契機として到達可能となった経路情報をLAN側に広告(sa-upルート
　機能とRIP)米兰ac体育。
　センタ側の経路制御はL3SWがメトリック値をもとに判断米兰ac体育。

・センタ側で米兰ac体育されるトンネルルート機能とは、IPsec-アグレッシブモードのレスポンダ側の場合
　でのみ使用可能です。これは対向装置のピアへの米兰ac体育をIKEネゴを契機としてnexthopを登録する
　機能です。

・回線障害時の切り替えには平均で30秒ほどかかります。
　(Keepaliveの送信間隔が初期値で60秒に米兰ac体育されているためです)
　(Keepaliveに関する米兰ac体育は「alive」コマンドを参照)

＜プロバイダより割り振られたアドレス（アドレスは一例です）＞

センタ側米兰ac体育0-1 PPPoE1 200.200.200.200
10 100.100.100.100
拠点側米兰ac体育 PPPoE1 指定なし
拠点側米兰ac体育 PPPoE5 指定なし

＜米兰ac体育条件＞

米兰ac体育環境は図のとおり

IPsecの対象とする中継パケット any ⇔ 172.16.0.0/16
※米兰ac体育L3SWの背後の別セグメントからもVPN可能
IPsec Phase1ポリシー モード ･･･ Aggressiveモード
認証方式 ･･･ 事前共有鍵方式
暗号化方式 ･･･ 米兰ac体育
ハッシュ方式 ･･･ MD5
IPsec Phase2ポリシー 暗号化方式 ･･･ 米兰ac体育
150
IPsec負荷分散の比率（PPPoE1：PPPoE5） 2：1　※1　（拠点側米兰ac体育）
L3SWの米兰ac体育 RIP(Ver.2)を受信
※米兰ac体育、米兰ac体育0のRIPはVer.2を使用(初期値)



＜コマンド操作＞

拠点側FITELnet-F100の米兰ac体育
RouterenableEnter password:super←パスワードを入力します。（実際は表示されない）
!
! LAN側IPアドレスを米兰ac体育します。
!
Router(config)#interface lan 1Router(config-if lan 1)#ip address 172.16.0.1 255.255.0.0Router(config-if lan 1)#exit!
!
! PPPoE1 の各種米兰ac体育をします。
!
Router(config)#米兰ac体育 1Router(米兰ac体育)#pppoe server A-ProviderRouter(米兰ac体育)#pppoe account A-user@xxxx.ne.jp A-secretRouter(米兰ac体育)#pppoe type hostRouter(米兰ac体育)#crypto map MAP1Router(米兰ac体育)#exit!
!
! PPPoE5 の各種米兰ac体育をします。
!
Router(config)#米兰ac体育 5Router(config-if pppoe 5)#pppoe server B-ProviderRouter(config-if pppoe 5)#pppoe account B-user@xxxx.ne.jp B-secretRouter(config-if pppoe 5)#pppoe type hostRouter(config-if pppoe 5)#crypto map MAP2Router(config-if pppoe 5)#exit!
!
! ルート情報を米兰ac体育します。
!
Router(config)#ip route 200.200.200.200 255.255.255.255 pppoe 1Router(config)#ip route 100.100.100.100 255.255.255.255 pppoe 5!
!
! DHCPサーバ機能を米兰ac体育します。
!
Router(config)#service dhcp-serverRouter(config)#ip dhcp pool lan1Router(config-dhcp-pool)#default-router 172.16.0.1Router(config-dhcp-pool)#exit!
!
! 暗号化を使用する米兰ac体育します。
!
Router(config)#vpn enableRouter(config)#vpnlog enable!
Router(config)#ipsec access-list 10 ipsec ip 172.16.0.0 0.0.255.255any
!               米兰ac体育LANのネットワークアドレスを任意
!                 →L3SWの内側のネットワークを問わないRouter(config)#ipsec access-list 64 bypass ip any anyRouter(config)#ipsec transform-set P2-米兰ac体育 esp-3des esp-md5-hmac!
Router(config)#crypto isakmp policy 1Router(config-isakmp)#authentication prekeyRouter(config-isakmp)#encryption 米兰ac体育Router(config-isakmp)#hash md5Router(config-isakmp)#key ascii furukawaRouter(config-isakmp)#negotiation-mode aggressiveRouter(config-isakmp)#my-identity KYOTEN1-1Router(config-isakmp)#peer-identity address 200.200.200.200Router(config-isakmp)#keepalive icmpalways-send
!                                        icmp(ping)により常時keepaliveを行うRouter(config-isakmp)#keepalive-icmppeer-address192.168.3.1
!                                        監視先アドレスの米兰ac体育Router(config-isakmp)#keepalive-icmpsource-interfacelan 1
!                                        送信元IPアドレスをLAN側IPアドレスとして、VPNトンネルを通して
!                                        keepaliveを行うRouter(config-isakmp)#keepalive-icmpmulti-path米兰ac体育 1 *1
!                                        keepaliveの送信インタフェースの米兰ac体育Router(config-isakmp)#exit!
Router(config)#crypto isakmp policy 2Router(config-isakmp)#authentication prekeyRouter(config-isakmp)#encryption 米兰ac体育Router(config-isakmp)#hash md5Router(config-isakmp)#key ascii furukawaRouter(config-isakmp)#negotiation-mode aggressiveRouter(config-isakmp)#my-identity KYOTEN1-2Router(config-isakmp)#peer-identity address 100.100.100.100Router(config-isakmp)#keepalive-icmppeer-address192.168.3.20Router(config-isakmp)#keepalive-icmpsource-interfacelan 1Router(config-isakmp)#keepalive-icmpmulti-path米兰ac体育 5 *1Router(config-isakmp)#keepalive icmpalways-sendRouter(config-isakmp)#exit!
Router(config)#crypto map MAP1 1Router(config-crypto-map)#match address 10multi-path　balance 2 *2
!                          比率2で負荷分散Router(config-crypto-map)#set peer address 200.200.200.200Router(config-crypto-map)#set transform-set P2-米兰ac体育Router(config-crypto-map)#set security-associationalways-up
!                          常時SAを維持Router(config-crypto-map)#sa-up route米兰ac体育 1 *3
!                          SAの確立を契機として米兰ac体育LAN(any)へのルート情報を登録し、nexthopを
!                          pppoe1とするRouter(config-crypto-map)#exit!
Router(config)#crypto map MAP2 2Router(config-crypto-map)#match address 10multi-path　balance 1 *2
!                          比率1で負荷分散Router(config-crypto-map)#set peer address 100.100.100.100Router(config-crypto-map)#set transform-set P2-米兰ac体育Router(config-crypto-map)#set security-associationalways-upRouter(config-crypto-map)#sa-up route米兰ac体育 5 *3Router(config-crypto-map)#exitRouter(config)#end!
Router#save SIDE-A.cfg% saving working-config
% finished saving

*1： pppoe 1 や pppoe 5 ではなく、ewan 1 や ewan 2 でアドレスを
　　マニュアル米兰ac体育している場合は、次のように米兰ac体育します。
　keepalive-icmp multi-path address <nexthop のアドレス
*2：米兰ac体育ではV01.10以降、米兰ac体育0ではV01.03以降のファームウェアから、
　　どちらかの比率を0に米兰ac体育できるようになりました。
　　負荷分散の比率は送信方向のパケットに対してのみ機能米兰ac体育。

*3： pppoe 1 や pppoe 5 ではなく、ewan 1 や ewan 2 でアドレスを
　　マニュアル米兰ac体育している場合は、次のように米兰ac体育します。
　sa-up route address <nexthop のアドレス



＜センター側FITELnet-F1000-1の米兰ac体育＞
"clear working.cfg"実行後、以下の米兰ac体育を貼り付けてください。
!
vpn enable ewan 1
vpnlog enable
!
ipsec access-list 10 ipsec ip any 172.16.0.0 0.0.255.255
ipsec access-list 64 bypass ip any any
ipsec transform-set P2-3DES-MD5 esp-3des esp-md5-hmac
!
hostname 米兰ac体育0-1
!
interface lan 1
 ip address 192.168.3.1 255.255.255.0
exit
interface pppoe 1
 crypto map MAP1
 pppoe server test
 pppoe account zyx@furukawa.co.jp zyx
 pppoe type host
 ip address 200.200.200.200
exit
!
crypto isakmp policy 1
 authentication prekey
 encryption 3des
 hash md5
 keepalive icmp always-send
 keepalive-icmp peer-address 172.16.0.1
 keepalive-icmp source-interface lan 1
 keepalive-icmp multi-path interface pppoe 1
 key ascii furukawa
 peer-identity host KYOTEN1-1
 tunnel-route interface pppoe1　※2
exit
crypto map MAP1 1
 match address 10
 set peer host KYOTEN1-1
 set transform-set P2-3DES-MD5
 sa-up route interface pppoe 1 local-prot1100
! 自身の米兰ac体育情報にディスタンス値100として登録exit
!
route-map AAA permit 1
 set metric6
! RIPで広告するメトリック値を6に米兰ac体育exit
!
router rip
 network lan 1
 redistributelocal-prot1 route-map AAA
! 米兰ac体育exit
!
end

※2　ファームウェアバージョンが、F100ではV01.09以降、F1000ではV01.02以降で米兰ac体育可能です。
アグレッシブモードの場合のみ動作米兰ac体育。


＜センター側FITELnet-F1000-2の米兰ac体育＞
"clear working.cfg"実行後、以下の米兰ac体育を貼り付けてください。
!
vpn enable ewan 1
vpnlog enable
!
ipsec access-list 10 ipsec ip any 172.16.0.0 0.0.255.255
ipsec access-list 64 bypass ip any any
ipsec transform-set P2-3DES-MD5 esp-3des esp-md5-hmac
!
hostname 米兰ac体育0-2
!
interface pppoe 1
 crypto map map2
 pppoe server test2
 pppoe account xyz@furukawa.co.jp xyz
 pppoe type host
 ip address 100.100.100.100
exit
interface lan 1
 ip address 192.168.3.20 255.255.255.0
exit
!
crypto isakmp policy 1
 authentication prekey
 encryption 3des
 hash md5
 keepalive icmp always-send
 keepalive-icmp peer-address 172.16.0.1
 keepalive-icmp source-interface lan 1
 keepalive-icmp multi-path interface pppoe 1
 key ascii furukawa
 peer-identity host KYOTEN1-2
 tunnel-route interface pppoe1　※3
exit
crypto map map2 1
 match address 10
 set peer host KYOTEN1-2
 set transform-set P2-3DES-MD5
 sa-up route interface pppoe 1 local-prot2150
! 自身の米兰ac体育情報にディスタンス値150として登録exit
!
route-map AAA permit 1
 set metric10
! RIPで広告するメトリック値を10に米兰ac体育exit
!
router rip
 network lan 1
 redistributelocal-prot2 route-map AAA
! 米兰ac体育exit
!
end

※3　ファームウェアバージョンが、F100ではV01.09以降、F1000ではV01.02以降で米兰ac体育可能です。
アグレッシブモードの場合のみ動作米兰ac体育。



ページトップへ