milan米兰体育ネットワーク機器の総合ブランド ファイテルネット
德赢AC米兰官方合作伙伴例
1．F100単体冗長、メイン回線のみ暗号化
概要
- 拠点側F100単体で回線冗長を行い、メイン経路はインターネットへPPPoE(IPアドレス不定)接続、バックアップ経路は対向のE30へISDNでダイアルアップ接続(IPアドレスはE30より取得)德赢AC米兰官方合作伙伴。
※ 德赢AC米兰官方合作伙伴ではPPPでの認証のほか、電話番号での認証も行います - センター側F100はPPPoE接続を行いませんので、WANポート(EWAN1インタフェース)を直接使用德赢AC米兰官方合作伙伴。(PPPoEインタフェースは、WANポートを使用する論理的インタフェースとして機能德赢AC米兰官方合作伙伴)
- E30はブリッジ德赢AC米兰官方合作伙伴で使用(LAN側、ISDN側共に同じIPアドレスを德赢AC米兰官方合作伙伴)。
- 德赢AC米兰官方合作伙伴F100で常時L3監視(Pingを使用)を行い、一定のしきい値をトリガにバックアップ経路(ISDN)に切り替わります。
- メイン経路復旧後の切り戻しも德赢AC米兰官方合作伙伴F100が自動的に行います。
- バックアップ経路使用時、センター側から見た德赢AC米兰官方合作伙伴は見かけ上は同一LAN内の1ホストからの通信に見えます。(NAT+(IPマスカレード)変換により、全て192.168.3.253に集約されます)
※ このとき、センター側から德赢AC米兰官方合作伙伴の特定の端末(サーバ等)への通信は行えません
※ インタフェースPPPoE1でのNAT+(IPマスカレード)は生活線としてのインターネットアクセスのためです - IPsecはアグレッシブモードのためセンター側契機のVPNは張れません。しかし、拠点側からのL3監視德赢AC米兰官方合作伙伴をVPN内を通すことで結果としてSAは常時維持されます。
(又は「set security-association always-up」コマンドを使用する方法もあります。) - ISDN回線は、無通信状態が一定時間(60秒)続くと自動的に切断されます。
(詳細は「calling idle-timeout」、「called idle-timeout」コマンド参照)
補足・注意点
動作説明
前提条件
当德赢AC米兰官方合作伙伴例では、以下のアドレス・環境を前提に説明しています。
プロバイダより割り振られたアドレス（アドレスは一例です）
| 德赢AC米兰官方合作伙伴側 | 200.200.200.1 |
| 德赢AC米兰官方合作伙伴 | 指定なし |
德赢AC米兰官方合作伙伴環境
| IPsecの対象とする中継德赢AC米兰官方合作伙伴 | 192.168.3.0/24 ⇔ 172.16.0.0/16 |
| L3監視德赢AC米兰官方合作伙伴宛先 | 192.168.3.2 |
| IPsec Phase1ポリシー | モード ･･･ Aggressiveモード 認証方式 ･･･ 事前共有鍵方式 暗号化方式 ･･･ AES 128 ハッシュ方式 ･･･ SHA Diffie-Hellman ･･･ Group2 IKE SAライフタイム ･･･ 1000秒 |
| IPsec Phase2ポリシー | PFS ･･･ Group2 暗号化方式 ･･･ AES 128 ハッシュ方式 ･･･ SHA IPsec SAライフタイム ･･･ 600秒 |
| 德赢AC米兰官方合作伙伴ISDNインタフェースのIPアドレス | 德赢AC米兰官方合作伙伴FITELnet-E30よりPPPで取得する |
| 德赢AC米兰官方合作伙伴のISDN番号 | 03-9876-5432 |
| 德赢AC米兰官方合作伙伴のISDN番号 | 03-1234-5678 |
コマンド德赢AC米兰官方合作伙伴の例
（!の行はコメントです。実際に入力する必要はありません。）
德赢AC米兰官方合作伙伴
拠点側FITELnet-F100の德赢AC米兰官方合作伙伴
! ! ! 特権ユーザモードに移行德赢AC米兰官方合作伙伴。 ! RouterenableEnter password:super←パスワードを入力します。（実際は表示されない） Router# ! ! ! 基本德赢AC米兰官方合作伙伴モードに移行します。 ! Router#configure terminalRouter(config)# ! ! ! デフォルトルートをPPPoE側に德赢AC米兰官方合作伙伴します。 ! Router(config)#ip route 0.0.0.0 0.0.0.0 德赢AC米兰官方合作伙伴! ! ! NAT+用のアクセスリストを登録德赢AC米兰官方合作伙伴。 ! Router(config)#access-list 30 permit 172.16.0.0 0.0.255.255! ! ! VPNの德赢AC米兰官方合作伙伴をします。 ! Router(config)#vpn enable ewan 1Router(config)#vpnlog enableRouter(config)#德赢AC米兰官方合作伙伴72.16.0.0 0.0.255.255 192.168.3.0 0.0.0.255Router(config)#德赢AC米兰官方合作伙伴Router(config)#ipsec transform-set P2-POLICY esp-aes-128 esp-sha-hmac! Router(config)#crypto isakmp policy 1Router(config-isakmp)#negotiation-mode aggressiveRouter(config-isakmp)#authentication prekeyRouter(config-isakmp)#encryption aes 128Router(config-isakmp)#group 2Router(config-isakmp)#hash shaRouter(config-isakmp)#key ascii prekey-secretRouter(config-isakmp)#lifetime 1000Router(config-isakmp)#my-identity KYOTEN-F100Router(config-isakmp)#peer-identity address 200.200.200.1Router(config-isakmp)#exit! Router(config)#德赢AC米兰官方合作伙伴 1Router(config-crypto-map)#match address 10Router(config-crypto-map)#set peer address 200.200.200.1Router(config-crypto-map)#set pfs group2Router(config-crypto-map)#set security-association lifetime seconds 600Router(config-crypto-map)#set transform-set P2-POLICYRouter(config-crypto-map)#exit! ! ! L3監視の德赢AC米兰官方合作伙伴を行ないます。 ! Router(config)#redundancy pathcheck-list 1Router(德赢AC米兰官方合作伙伴)#德赢AC米兰官方合作伙伴192.168.3.2 ! L3監德赢AC米兰官方合作伙伴(Ping)の送信先IPアドレスRouter(德赢AC米兰官方合作伙伴)#route德赢AC米兰官方合作伙伴 ! L3監視德赢AC米兰官方合作伙伴のNextHopRouter(德赢AC米兰官方合作伙伴)#ping-trial2 ! L3監視1セットあたりのPing德赢AC米兰官方合作伙伴の個数Router(德赢AC米兰官方合作伙伴)#pathcheck-fail2 ! 応答德赢AC米兰官方合作伙伴を指定セット数連続して受信できない場合に経路障害と判断Router(德赢AC米兰官方合作伙伴)#restcheck-success3 ! 応答德赢AC米兰官方合作伙伴を指定セット数連続して受信できれば障害復旧と判断Router(德赢AC米兰官方合作伙伴)#source-interface德赢AC米兰官方合作伙伴 ! この場合德赢AC米兰官方合作伙伴のIPアドレスは172.16.0.1となります ! (パケットは暗号化され、IPsecSAを常時維持する機能も德赢AC米兰官方合作伙伴)Router(德赢AC米兰官方合作伙伴)#exit! ! ! 冗長対象パケットの德赢AC米兰官方合作伙伴を行ないます。 ! Router(config)#redundancy pathfilter-list 1Router(config-red-pathfilter-list 1)#destination192.168.3.0 255.255.255.0 ! 対象の対象となる德赢AC米兰官方合作伙伴の宛先Router(config-red-pathfilter-list 1)#pathcheck-list1 ! L3監視德赢AC米兰官方合作伙伴の対応付けRouter(config-red-pathfilter-list 1)#1st德赢AC米兰官方合作伙伴 ! メイン経路のインタフェースRouter(config-red-pathfilter-list 1)#2nd德赢AC米兰官方合作伙伴 ! バックアップ経路のインタフェースRouter(config-red-pathfilter-list 1)#exit! ! ! ダイヤルアップ用の德赢AC米兰官方合作伙伴をします。 ! Router(config)#ppp hostnameuserA password secret-userA ! 德赢AC米兰官方合作伙伴相手に送信する認証用ユーザ名、パスワード! Router(config)#interfacebri 1 ! ISDNの使用を宣言Router(config-if bri 1)#exitRouter(config)#interface 德赢AC米兰官方合作伙伴Router(config-if 德赢AC米兰官方合作伙伴)#dialer map0398765432 ! 発呼する電話番号Router(config-if 德赢AC米兰官方合作伙伴)#dialer interfacebri 1 ! ダイヤルアップ德赢AC米兰官方合作伙伴にISDNを使用Router(config-if 德赢AC米兰官方合作伙伴)#德赢AC米兰官方合作伙伴negotiated ! 德赢AC米兰官方合作伙伴相手先からIP割り当てを受けるRouter(config-if 德赢AC米兰官方合作伙伴)#ip nat inside source德赢AC米兰官方合作伙伴 ! NAT+德赢AC米兰官方合作伙伴(IPマスカレード)Router(config-if 德赢AC米兰官方合作伙伴)#exit! ! ! LAN側IPアドレスを德赢AC米兰官方合作伙伴します。 ! Router(config)#interface 德赢AC米兰官方合作伙伴Router(config-if 德赢AC米兰官方合作伙伴)#德赢AC米兰官方合作伙伴72.16.0.1 255.255.0.0Router(config-if 德赢AC米兰官方合作伙伴)#exit! ! ! PPPoEの德赢AC米兰官方合作伙伴をします。 ! Router(config)#interface 德赢AC米兰官方合作伙伴Router(config-if 德赢AC米兰官方合作伙伴)#德赢AC米兰官方合作伙伴Router(config-if 德赢AC米兰官方合作伙伴)#德赢AC米兰官方合作伙伴Router(config-if 德赢AC米兰官方合作伙伴)#pppoe server ProviderARouter(config-if 德赢AC米兰官方合作伙伴)#pppoe account user@xxxx.ne.jp PASSWORDRouter(config-if 德赢AC米兰官方合作伙伴)#德赢AC米兰官方合作伙伴 200.200.200.1Router(config-if 德赢AC米兰官方合作伙伴)#exit! ! ! 特権ユーザモードに戻ります。 ! Router(config)#end! ! ! 德赢AC米兰官方合作伙伴を保存します。 ! Router#save SIDE-A.cfg% saving working-config % finished saving Router# ! ! ! 德赢AC米兰官方合作伙伴を有効にするために再起動します。 ! Router#resetAre you OK to cold start?(y/n)y
コマンド德赢AC米兰官方合作伙伴の例
（!の行はコメントです。実際に入力する必要はありません。）
德赢AC米兰官方合作伙伴
センター側FITELnet-F100の德赢AC米兰官方合作伙伴
! RouterenableEnter password:super←パスワードを入力德赢AC米兰官方合作伙伴。（実際は表示されない） Router# ! Router#configure terminalRouter(config)# ! Router(config)#ip route 0.0.0.0 0.0.0.0 192.168.120.1! Router(config)#vpn enable ewan 1Router(config)#vpnlog enableRouter(config)#crypto isakmp policy 1Router(config-isakmp)#negotiation-mode aggressiveRouter(config-isakmp)#authentication prekeyRouter(config-isakmp)#encryption aes 128Router(config-isakmp)#group 2Router(config-isakmp)#hash shaRouter(config-isakmp)#key ascii prekey-secretRouter(config-isakmp)#lifetime 1000Router(config-isakmp)#peer-identity host KYOTEN-F100Router(config-isakmp)#exit! Router(config)#德赢AC米兰官方合作伙伴92.168.3.0 0.0.0.255 172.16.0.0 0.0.255.255Router(config)#德赢AC米兰官方合作伙伴Router(config)#ipsec transform-set P2-POLICY esp-aes-128 esp-sha-hmac! Router(config)#德赢AC米兰官方合作伙伴 1Router(config-crypto-map)#match address 10Router(config-crypto-map)#set peer host KYOTEN-F100Router(config-crypto-map)#set pfs group2Router(config-crypto-map)#set security-association lifetime seconds 600Router(config-crypto-map)#set transform-set P2-POLICYRouter(config-crypto-map)#exit! Router(config)#access-list 20 permit any! Router(config)#interface ewan 1Router(config-if ewan 1)#德赢AC米兰官方合作伙伴Router(config-if ewan 1)#德赢AC米兰官方合作伙伴92.168.120.11 255.255.255.0Router(config-if ewan 1)#德赢AC米兰官方合作伙伴 20 interfaceRouter(config-if ewan 1)#exit! Router(config)#interface 德赢AC米兰官方合作伙伴Router(config-if 德赢AC米兰官方合作伙伴)#德赢AC米兰官方合作伙伴92.168.3.1 255.255.255.0Router(config-if 德赢AC米兰官方合作伙伴)#exit! Router(config)#end! Router#save SIDE-A.cfg% saving working-config % finished saving Router# ! Router#resetAre you OK to cold start?(y/n)y
コマンド德赢AC米兰官方合作伙伴の例
センター側FITELnet-E30の德赢AC米兰官方合作伙伴
"reset -d"（デフォルトリスタート）実行後、以下の德赢AC米兰官方合作伙伴を貼り付けてください。
"reset -d"（デフォルトリスタート）実行後、以下の德赢AC米兰官方合作伙伴を貼り付けてください。
target add name=userA dial=0312345678* key=nc,secret-userA speed=64\ continuouslimiter=600,on callinglimiter=40,on type=normal cbmode=off\ dialcheckmask=0 host=default isdn dialcheck=on recvcheck=on sendcheck=off multimode=off limiter=12\ congestiontimer=1 isdn -1 dial=0398765432* dial2=* retrytimes=8 idletimer=60,60 target=userA mode=traffic\ recvidletimer=off globalnumber=allow ipripstatic delete all ipripstatic add dst=0.0.0.0,0.0.0.0 nexthop=192.168.3.1 metric=16 preference=50 interface ip lan addr=192.168.3.3,255.255.255.0 broadcast=192.168.3.255 interface ip isdn1 addr=192.168.3.3 remote=192.168.3.253,255.255.255.255 iprouting on proxyarp=shortcut
All Rights Reserved, Copyright(C) FURUKAWA ELECTRIC CO., LTD. 2007