milan米兰体育ネットワーク機器の総合ブランド ファイテルネット
德赢ac米兰官方合作伙伴例
2．センタ德赢ac米兰官方合作伙伴0(1台2回線)・拠点德赢ac米兰官方合作伙伴(1台2回線・アドレス不定)でIPsec負荷分散を行う
概要
※センタ側の德赢ac米兰官方合作伙伴0を、德赢ac米兰官方合作伙伴に置き換えることもできます。
- 德赢ac米兰官方合作伙伴された比率で負荷分散を行います（2つのVPNはActive-Activeです）
※ 比率は任意の整数値(0〜10)で德赢ac米兰官方合作伙伴できます。
(0と10が德赢ac米兰官方合作伙伴できるのは、F100はV01.10以降、F1000はV01.03以降のファームウェアとなります)
10：0とした場合は通常時0側にユーザデータは流れず、Active-Standbyになります。
(keepaliveのICMPパケットは流れます) - 一方のVPNが不通となった場合は、残りのVPNで全ての通信をまかないます。また、VPNの復旧後は再び德赢ac米兰官方合作伙伴された比率で負荷分散を行います。
- 德赢ac米兰官方合作伙伴、德赢ac米兰官方合作伙伴0は単体で回線冗長を行い、PPPoEを2セッション使用します。
- 德赢ac米兰官方合作伙伴、德赢ac米兰官方合作伙伴0はメイン経路、バックアップ経路共に経路監視を行います。(経路監視にはICMP(Ping)のKeepaliveを使用)
- メイン経路、バックアップ経路の切り替えは德赢ac米兰官方合作伙伴、德赢ac米兰官方合作伙伴0が自動的に行い、メイン経路復旧後の切り戻しも德赢ac米兰官方合作伙伴、德赢ac米兰官方合作伙伴0が自動的に行います。
※ Keepaliveにより、経路障害時にそのSAを消去します。SA-upルート機能と合わせ、自身のルーティングテーブルを動的に書き換えます。 - IPsecはアグレッシブモードですが、拠点側から常にSAを確立しているので、德赢ac米兰官方合作伙伴契機の通信にも対応できます。
- センタ側で德赢ac米兰官方合作伙伴されるトンネルルート機能とは、IPsec-アグレッシブモードのレスポンダ側の場合でのみ使用可能です。
これは対向装置のピアへのルートをIKEネゴを契機としてnexthopを登録する機能です。 - 回線障害時の切り替えには平均で30秒ほどかかります。(Keepaliveの送信間隔が初期値で60秒に德赢ac米兰官方合作伙伴されているためです)
(Keepaliveに関する德赢ac米兰官方合作伙伴は「alive」コマンドを参照)
補足・注意点
| ※１ | 対向のEWAN2側とSAを確立するインターフェースのアドレスを不定にできるのは、対向装置のファームウェアバージョンが、德赢ac米兰官方合作伙伴ではV01.09以降、德赢ac米兰官方合作伙伴0ではV01.02以降となります。 |
前提条件
当德赢ac米兰官方合作伙伴例では、以下のアドレス・環境を前提に説明しています。
プロバイダより割り振られたアドレス（アドレスは一例です）
| 德赢ac米兰官方合作伙伴 PPPoE1 | 200.200.200.200 |
| 德赢ac米兰官方合作伙伴 PPPoE5 | 100.100.100.100 |
| 拠点側 PPPoE1 | 指定なし |
| 拠点側 PPPoE5 | 指定なし |
德赢ac米兰官方合作伙伴環境
| IPsecの対象とする中継パケット | 192.168.3.0/24 ⇔ 172.16.0.0/16 |
| IPsec Phase1ポリシー | 德赢ac米兰官方合作伙伴 ･･･ Aggressive德赢ac米兰官方合作伙伴 認証方式 ･･･ 事前共有鍵方式 暗号化方式 ･･･ AES 128 Diffie-Hellman ･･･ 德赢ac米兰官方合作伙伴 ハッシュ方式 ･･･ SHA |
| IPsec Phase2ポリシー | 暗号化方式 ･･･ AES 128 ハッシュ方式 ･･･ SHA |
| IPsec負荷分散の德赢ac米兰官方合作伙伴 （PPPoE1：PPPoE5） |
2：1 |
コマンド德赢ac米兰官方合作伙伴の例
（!の行はコメントです。実際に入力する必要はありません。）
この德赢ac米兰官方合作伙伴を利用したい方は
拠点側 FITELnet-F100 の德赢ac米兰官方合作伙伴
! ! ! 德赢ac米兰官方合作伙伴。 ! RouterenableEnter password:super←パスワードを入力します。（実際は表示されない） Router# ! ! ! 基本德赢ac米兰官方合作伙伴モードに移行します。 ! Router#configure terminalRouter(config)# ! ! ! LAN 側 IP アドレスを德赢ac米兰官方合作伙伴します。 ! Router(config)#interface 德赢ac米兰官方合作伙伴Router(config-if 德赢ac米兰官方合作伙伴)#德赢ac米兰官方合作伙伴72.16.0.1 255.255.0.0Router(config-if 德赢ac米兰官方合作伙伴)#exit! ! ! PPPoE1 の各種德赢ac米兰官方合作伙伴をします。 ! Router(config)#德赢ac米兰官方合作伙伴Router(德赢ac米兰官方合作伙伴)#pppoe server A-ProviderRouter(德赢ac米兰官方合作伙伴)#pppoe account A-user@xxxx.ne.jp A-secretRouter(德赢ac米兰官方合作伙伴)#pppoe type hostRouter(德赢ac米兰官方合作伙伴)#德赢ac米兰官方合作伙伴1Router(德赢ac米兰官方合作伙伴)#exit! ! ! PPPoE5 の各種德赢ac米兰官方合作伙伴をします。 ! Router(config)#interface 德赢ac米兰官方合作伙伴Router(config-if 德赢ac米兰官方合作伙伴)#pppoe server B-ProviderRouter(config-if 德赢ac米兰官方合作伙伴)#pppoe account B-user@xxxx.ne.jp B-secretRouter(config-if 德赢ac米兰官方合作伙伴)#pppoe type hostRouter(config-if 德赢ac米兰官方合作伙伴)#德赢ac米兰官方合作伙伴2Router(config-if 德赢ac米兰官方合作伙伴)#exit! ! ! NAT+(IPマスカレード) 用の access-listを登録します。 ! Router(config)#access-list 1 permit 172.16.0.0 0.0.255.255! ! ! ルートの德赢ac米兰官方合作伙伴をします。 ! Router(config)#ip route 200.200.200.200 255.255.255.255 pppoe 1Router(config)#ip route 100.100.100.100 255.255.255.255 德赢ac米兰官方合作伙伴! ! ! DHCPサーバ機能を德赢ac米兰官方合作伙伴します。 ! Router(config)#service dhcp-serverRouter(config)#ip dhcp pool lan1 *5Router(config-dhcp-pool)#default-router 0.0.0.0Router(config-dhcp-pool)#exit! ! ! 暗号化を使用する德赢ac米兰官方合作伙伴します。 ! Router(config)#vpn enableRouter(config)#vpnlog enable! Router(config)#德赢ac米兰官方合作伙伴Router(config-isakmp)#authentication prekeyRouter(config-isakmp)#key ascii furukawaRouter(config-isakmp)#negotiation-mode aggressiveRouter(config-isakmp)#encryption aes 128Router(config-isakmp)#德赢ac米兰官方合作伙伴Router(config-isakmp)#hash shaRouter(config-isakmp)#my-identity kyoten1-1Router(config-isakmp)#peer-identity address 200.200.200.200Router(config-isakmp)#keepalive icmpalways-send ! icmp(ping)により常時keepaliveを行うRouter(config-isakmp)#keepalive-icmppeer-address192.168.3.1 ! 監視先アドレスの德赢ac米兰官方合作伙伴Router(config-isakmp)#keepalive-icmpsource-interface德赢ac米兰官方合作伙伴 ! 送信元IPアドレスをLAN側IPアドレスとして、VPNトンネルを通して ! keepaliveを行うRouter(config-isakmp)#keepalive-icmpmulti-path德赢ac米兰官方合作伙伴 *1 ! keepaliveの送信インタフェースの德赢ac米兰官方合作伙伴Router(config-isakmp)#exit! Router(config)#德赢ac米兰官方合作伙伴Router(config-isakmp)#authentication prekeyRouter(config-isakmp)#key ascii furukawaRouter(config-isakmp)#negotiation-mode aggressiveRouter(config-isakmp)#encryption aes 128Router(config-isakmp)#德赢ac米兰官方合作伙伴Router(config-isakmp)#hash shaRouter(config-isakmp)#my-identity kyoten1-2Router(config-isakmp)#peer-identity address 100.100.100.100Router(config-isakmp)#keepalive-icmppeer-address192.168.3.1Router(config-isakmp)#keepalive-icmpsource-interface德赢ac米兰官方合作伙伴Router(config-isakmp)#keepalive-icmpmulti-pathinterface 德赢ac米兰官方合作伙伴 *1Router(config-isakmp)#keepalive icmpalways-sendRouter(config-isakmp)#exit! Router(config)#ipsec transform-set P2-POLICY esp-aes-128 esp-sha-hmac! Router(config)#德赢ac米兰官方合作伙伴72.16.0.0 0.0.255.255 192.168.3.0 0.0.0.255Router(config)#德赢ac米兰官方合作伙伴! Router(config)#德赢ac米兰官方合作伙伴1 1Router(config-crypto-map)#match address 10multi-path balance 2 *2 ! 德赢ac米兰官方合作伙伴2で負荷分散Router(config-crypto-map)#set peer address 200.200.200.200Router(config-crypto-map)#set transform-set P2-POLICYRouter(config-crypto-map)#set security-associationalways-up ! 常時SAを維持Router(config-crypto-map)#sa-up routeinterfacepppoe 1 *3 ! SAの確立を契機として德赢ac米兰官方合作伙伴LAN(192.168.3.0/24)へのルート情報を登録し、 ! nexthopをpppoe1とするRouter(config-crypto-map)#exit! Router(config)#德赢ac米兰官方合作伙伴2 2Router(config-crypto-map)#match address 10multi-path balance 1 *2 ! 德赢ac米兰官方合作伙伴1で負荷分散Router(config-crypto-map)#set peer address 100.100.100.100Router(config-crypto-map)#set transform-set P2-POLICYRouter(config-crypto-map)#set security-associationalways-upRouter(config-crypto-map)#sa-up routeinterface德赢ac米兰官方合作伙伴 *3Router(config-crypto-map)#exit! ! ! 德赢ac米兰官方合作伙伴。 ! Router(config)#end! ! ! 德赢ac米兰官方合作伙伴を保存します。 ! Router#save SIDE-A.cfg% saving working-config % finished saving Router# ! ! ! 德赢ac米兰官方合作伙伴を有効にするために再起動します。 ! Router#resetAre you OK to cold start?(y/n)y
| *1 ： | pppoe 1 や pppoe 5 ではなく、ewan 1 や ewan 2 でアドレスをマニュアル德赢ac米兰官方合作伙伴している場合は、次のように德赢ac米兰官方合作伙伴します。
|
| *2 ： | F100ではV01.10以降、F1000ではV01.03以降のファームウェアから、どちらかの比率を0に德赢ac米兰官方合作伙伴できるようになりました。 負荷分散の比率は送信方向のパケットに対してのみ機能します。（受信方向の分散比率は德赢ac米兰官方合作伙伴で行ってください） 德赢ac米兰官方合作伙伴と拠点側で分散比率を合わせる必要はありません。 |
| *3 ： | pppoe 1 や pppoe 5 ではなく、ewan 1 や ewan 2 でアドレスをマニュアル德赢ac米兰官方合作伙伴している場合は、次のように德赢ac米兰官方合作伙伴します。
|
| *5 ： | FITELnet F200/F2000では、コマンド書式が変更になっており、下記の様なコマンドとなります。 Router(config)#ip dhcp pool 德赢ac米兰官方合作伙伴 |
コマンド德赢ac米兰官方合作伙伴の例
（!の行はコメントです。実際に入力する必要はありません。）
この德赢ac米兰官方合作伙伴を利用したい方は
センター側 FITELnet-F1000 の德赢ac米兰官方合作伙伴
! ! ! 德赢ac米兰官方合作伙伴。 ! RouterenableEnter password:super←パスワードを入力します。（実際は表示されない） Router# ! ! ! 基本德赢ac米兰官方合作伙伴モードに移行します。 ! Router#configure terminalRouter(config)# ! ! ! LAN 側 IP アドレスを德赢ac米兰官方合作伙伴します。 ! Router(config)#interface 德赢ac米兰官方合作伙伴Router(config-if 德赢ac米兰官方合作伙伴)#德赢ac米兰官方合作伙伴92.168.3.1 255.255.255.0Router(config-if 德赢ac米兰官方合作伙伴)#exit! ! ! PPPoE1 の各種德赢ac米兰官方合作伙伴をします。 ! Router(config)#德赢ac米兰官方合作伙伴Router(德赢ac米兰官方合作伙伴)#德赢ac米兰官方合作伙伴1Router(德赢ac米兰官方合作伙伴)#pppoe server FLETS-1Router(德赢ac米兰官方合作伙伴)#pppoe account abc012@***.***.ne.jp xxxyyyzzzRouter(德赢ac米兰官方合作伙伴)#pppoe type hostRouter(德赢ac米兰官方合作伙伴)#ip address 200.200.200.200Router(德赢ac米兰官方合作伙伴)#exit! ! ! PPPoE5 の各種德赢ac米兰官方合作伙伴をします。 ! Router(config)#interface 德赢ac米兰官方合作伙伴Router(config-if 德赢ac米兰官方合作伙伴)#德赢ac米兰官方合作伙伴2Router(config-if 德赢ac米兰官方合作伙伴)#pppoe server FLETS-2Router(config-if 德赢ac米兰官方合作伙伴)#pppoe account def345@***.***.ne.jp zzzyyyxxxRouter(config-if 德赢ac米兰官方合作伙伴)#pppoe type hostRouter(config-if 德赢ac米兰官方合作伙伴)#德赢ac米兰官方合作伙伴00.100.100.100Router(config-if 德赢ac米兰官方合作伙伴)#exit! ! ! 暗号化を使用する德赢ac米兰官方合作伙伴します。 ! Router(config)#vpn enableRouter(config)#vpnlog enable! Router(config)#德赢ac米兰官方合作伙伴Router(config-isakmp)#authentication prekeyRouter(config-isakmp)#key ascii furukawaRouter(config-isakmp)#negotiation-mode aggressiveRouter(config-isakmp)#encryption aes 128Router(config-isakmp)#德赢ac米兰官方合作伙伴Router(config-isakmp)#hash shaRouter(config-isakmp)#peer-identity host kyoten1-1Router(config-isakmp)#keepalive-icmp peer-address 172.16.0.1Router(config-isakmp)#keepalive-icmp source-interface 德赢ac米兰官方合作伙伴Router(config-isakmp)#keepalive-icmp multi-path 德赢ac米兰官方合作伙伴Router(config-isakmp)#keepalive icmp always-sendRouter(config-isakmp)#tunnel-route德赢ac米兰官方合作伙伴*4 Router(config-isakmp)#exit! Router(config)#德赢ac米兰官方合作伙伴Router(config-isakmp)#authentication prekeyRouter(config-isakmp)#key ascii furukawaRouter(config-isakmp)#negotiation-mode aggressiveRouter(config-isakmp)#encryption aes 128Router(config-isakmp)#德赢ac米兰官方合作伙伴Router(config-isakmp)#hash shaRouter(config-isakmp)#peer-identity host kyoten1-2Router(config-isakmp)#keepalive-icmp peer-address 172.16.0.1Router(config-isakmp)#keepalive-icmp source-interface 德赢ac米兰官方合作伙伴Router(config-isakmp)#keepalive-icmp multi-path interface 德赢ac米兰官方合作伙伴Router(config-isakmp)#keepalive icmp always-sendRouter(config-isakmp)#tunnel-routeinterface 德赢ac米兰官方合作伙伴*4 Router(config-isakmp)#exit! Router(config)#ipsec transform-set P2-POLICY esp-aes-128 esp-sha-hmac! Router(config)#德赢ac米兰官方合作伙伴92.168.3.0 0.0.0.255 172.16.0.0 0.0.255.255Router(config)#德赢ac米兰官方合作伙伴! Router(config)#德赢ac米兰官方合作伙伴1 1Router(config-crypto-map)#match address 10 multi-path balance 2Router(config-crypto-map)#set peer host kyoten1-1Router(config-crypto-map)#set transform-set P2-POLICYRouter(config-crypto-map)#sa-up route 德赢ac米兰官方合作伙伴Router(config-crypto-map)#exit! Router(config)#德赢ac米兰官方合作伙伴2 2Router(config-crypto-map)#match address 10 multi-path balance 1Router(config-crypto-map)#set peer host kyoten1-2Router(config-crypto-map)#set transform-set P2-POLICYRouter(config-crypto-map)#sa-up route interface 德赢ac米兰官方合作伙伴Router(config-crypto-map)#exit! ! ! 德赢ac米兰官方合作伙伴。 ! Router(config)#end! ! ! 德赢ac米兰官方合作伙伴を保存します。 ! Router#save SIDE-A.cfg% saving working-config % finished saving Router# ! ! ! 德赢ac米兰官方合作伙伴を有効にするために再起動します。 ! Router#resetAre you OK to cold start?(y/n)y
| *4 ： | ファームウェアバージョンが、F100ではV01.09以降、F1000ではV01.02以降で德赢ac米兰官方合作伙伴可能です。アグレッシブモードの場合のみ動作します。 |
All Rights Reserved, Copyright(C) FURUKAWA ELECTRIC CO., LTD. 2007