milan米兰体育ネットワーク機器の総合ブランド ファイテルネット
德赢AC米兰官方合作伙伴例
4．センタ德赢AC米兰官方合作伙伴0(2台各1回線)・拠点德赢AC米兰官方合作伙伴(1台1回線)でIPsec負荷分散を行う
概要
補足・注意点
動作説明
- 拠点側德赢AC米兰官方合作伙伴は1台で、PPPoE（IPアドレス不定）を1セッション使用します。
センタ側德赢AC米兰官方合作伙伴0は2台で機器冗長と回線冗長を行い、それぞれPPPoE（IPアドレス固定）を1セッション使用します。 - センタ側2台の德赢AC米兰官方合作伙伴0を德赢AC米兰官方合作伙伴に置き換えても運用できます。
- IPsecはアグレッシブモードですが、拠点側から常にSAを確立しているので、センタ側契機の通信にも対応できます。
- 拠点側德赢AC米兰官方合作伙伴は設定された比率で負荷分散を行います（2つのVPNはActive-Activeです）。分散比率は 0 〜 10 の間の、任意の整数値で設定できます（ 0 と 10 が設定できるのは、德赢AC米兰官方合作伙伴はV01.10以降、德赢AC米兰官方合作伙伴0はV01.03以降のファームウェアとなります）。
10：0 とした場合は、通常時 0 側にユーザデータは流れず、Active-Standbyになります（keep aliveのICMPパケットは流れます）。 - 一方のVPNが不通となった場合は、残りのVPNで全ての通信をまかないます。
また、VPNの復旧後は再び德赢AC米兰官方合作伙伴された比率で負荷分散を行います。 - 拠点側德赢AC米兰官方合作伙伴はVPN1経路、VPN2経路共に経路監視を行います。
センタ側德赢AC米兰官方合作伙伴0はそれぞれの経路を監視します（経路監視にはICMPのkeep aliveを使用します）。 - VPN1経路、VPN2経路の切り替えは、拠点側では德赢AC米兰官方合作伙伴が自動的に行い、経路復旧後の切り戻しも拠点側德赢AC米兰官方合作伙伴が自動的に行います。
経路障害時には、keep alive機能により、SAを消去します。負荷分散構成の場合、イニシエータ側でもsa-upルート機能（Phase2 SAの確立を契機として、到達可能となった経路情報を登録する機能）を使うことにより、自身のルーティングテーブルを動的に書き換えます。 - センタ側2台の德赢AC米兰官方合作伙伴0は、sa-upルート機能で登録したルート情報をLAN側にRIPで広告します。センタ側の経路制御は、2台の德赢AC米兰官方合作伙伴0からRIPを受けたL3SWが、メトリック値をもとに判断することになります。この例の場合、德赢AC米兰官方合作伙伴0-1側のVPN1経路の優先度が高くなるようにして、RIPを広告しています。
- センタ側で德赢AC米兰官方合作伙伴しているトンネルルート機能は、対向装置のピアへのルートを、IKEのネゴを契機として登録する機能です。この機能を使うことにより、この例のように対向装置のピアのアドレスが不定の場合でも、デフォルトルートをL3SW側に向けることができるようになります。この機能は、アグレッシブモードのレスポンダ側でのみ德赢AC米兰官方合作伙伴可能です。
- 回線障害時の切り替えには平均で30秒ほどかかります（keep aliveの送信間隔が初期値で60秒に德赢AC米兰官方合作伙伴されているため）。
keep aliveに関する德赢AC米兰官方合作伙伴は「alive」コマンドを参照。
前提条件
当德赢AC米兰官方合作伙伴例では、以下のアドレス・環境を前提に説明しています。
プロバイダより割り振られたアドレス（アドレスは一例です）
| センタ側德赢AC米兰官方合作伙伴0-1 PPPoE1 | 200.200.200.200 |
| センタ側德赢AC米兰官方合作伙伴0-2 PPPoE1 | 100.100.100.100 |
| 拠点側 PPPoE1 | アドレス不定 |
德赢AC米兰官方合作伙伴環境
| IPsecの対象とする中継パケット | any ⇔ 172.16.0.0/16 ※センタ側L3SWの背後の別セグメントからもVPN可能 |
| IPsec Phase1ポリシー | モード ･･･ Aggressiveモード 認証方式 ･･･ 事前共有鍵方式 暗号化方式 ･･･ AES 128 Diffie-Hellman ･･･ Group 2 ハッシュ方式 ･･･ SHA |
| IPsec Phase2ポリシー | 暗号化方式 ･･･ AES 128 ハッシュ方式 ･･･ SHA |
| IPsec負荷分散の比率 （VPN1：VPN2） |
2：1 ※1 （拠点側德赢AC米兰官方合作伙伴） |
| L3SW (192.168.3.254) | RIP(Ver.2)を受信 ※德赢AC米兰官方合作伙伴、德赢AC米兰官方合作伙伴0のRIPはVer.2を使用(初期値) |
コマンド德赢AC米兰官方合作伙伴の例
（!の行はコメントです。実際に入力する必要はありません。）
この德赢AC米兰官方合作伙伴を利用したい方は
拠点側 FITELnet-德赢AC米兰官方合作伙伴 の設定
! ! ! 特権ユーザモードに移行します。 ! RouterenableEnter password:super←パスワードを入力します。（実際は表示されない） Router# ! ! ! 基本德赢AC米兰官方合作伙伴モードに移行します。 ! Router#configure terminalRouter(config)# ! ! ! LAN側IPアドレスを德赢AC米兰官方合作伙伴します。 ! Router(config)#interface 德赢AC米兰官方合作伙伴Router(config-if 德赢AC米兰官方合作伙伴)#ip address 172.16.0.1 255.255.0.0Router(config-if 德赢AC米兰官方合作伙伴)#exit! ! ! PPPoE1 の各種德赢AC米兰官方合作伙伴をします。 ! Router(config)#德赢AC米兰官方合作伙伴Router(config-if pppoe 1)#pppoe server A-ProviderRouter(config-if pppoe 1)#pppoe account user@xxxx.ne.jp secretRouter(config-if pppoe 1)#pppoe type hostRouter(config-if pppoe 1)#crypto map VPN1Router(config-if pppoe 1)#crypto map VPN2! 1つのインタフェース上で2つのVPNを張ります Router(config-if pppoe 1)#exit! ! ! センタ側のピアへのルートを德赢AC米兰官方合作伙伴します。 ! Router(config)#ip route 200.200.200.200 255.255.255.255 pppoe 1Router(config)#ip route 100.100.100.100 255.255.255.255 pppoe 1! ! ! DHCPサーバ機能を德赢AC米兰官方合作伙伴します。 ! Router(config)#service dhcp-serverRouter(config)#ip dhcp pool lan1 *4Router(config-dhcp-pool)#default-router 0.0.0.0Router(config-dhcp-pool)#exit! ! ! IPsec負荷分散の德赢AC米兰官方合作伙伴をします。 ! Router(config)#vpn enableRouter(config)#vpnlog enable! Router(config)#crypto isakmp policy 1Router(config-isakmp)#authentication prekeyRouter(config-isakmp)#encryption aes 128Router(config-isakmp)#group 2Router(config-isakmp)#hash shaRouter(config-isakmp)#keepalive icmpalways-send ! icmpにより常時keep aliveを行いますRouter(config-isakmp)#keepalive-icmppeer-address192.168.3.1 ! 監視先のアドレスを德赢AC米兰官方合作伙伴しますRouter(config-isakmp)#keepalive-icmpsource-interface德赢AC米兰官方合作伙伴 ! 送信元IPアドレスをLAN側IPアドレスとすることにより、 ! VPNトンネルを通してkeep aliveをおこないますRouter(config-isakmp)#keepalive-icmpmulti-path德赢AC米兰官方合作伙伴 *1 ! keep aliveの送受信インタフェースを固定しますRouter(config-isakmp)#key ascii furukawaRouter(config-isakmp)#my-identity kyoten1-1Router(config-isakmp)#negotiation-mode aggressiveRouter(config-isakmp)#peer-identity address 200.200.200.200Router(config-isakmp)#exit! Router(config)#crypto isakmp policy 2Router(config-isakmp)#authentication prekeyRouter(config-isakmp)#encryption aes 128Router(config-isakmp)#group 2Router(config-isakmp)#hash shaRouter(config-isakmp)#keepalive icmpalways-sendRouter(config-isakmp)#keepalive-icmppeer-address192.168.3.20Router(config-isakmp)#keepalive-icmpsource-interface德赢AC米兰官方合作伙伴Router(config-isakmp)#keepalive-icmpmulti-path德赢AC米兰官方合作伙伴 *1Router(config-isakmp)#key ascii furukawaRouter(config-isakmp)#my-identity kyoten1-2Router(config-isakmp)#negotiation-mode aggressiveRouter(config-isakmp)#peer-identity address 100.100.100.100Router(config-isakmp)#exit! Router(config)#ipsec transform-set P2-POLICY esp-aes-128 esp-sha-hmac! Router(config)#ipsec access-list 10 ipsec ip 172.16.0.0 0.0.255.255 anyRouter(config)#ipsec access-list 64 bypass ip any any! Router(config)#crypto map VPN1 1Router(config-crypto-map)#match address 10multi-path balance 2 *2 ! VPN1側の比率を2として負荷分散しますRouter(config-crypto-map)#set peer address 200.200.200.200Router(config-crypto-map)#set security-associationalways-up ! SAを常時確立しておくようにしますRouter(config-crypto-map)#set transform-set P2-POLICYRouter(config-crypto-map)#sa-up route德赢AC米兰官方合作伙伴 local-prot1 *3 ! SAの確立を契機としてセンタ側LAN(any)へのルート情報を ! nexthopをpppoe1として登録しますRouter(config-crypto-map)#exit! Router(config)#crypto map VPN2 2Router(config-crypto-map)#match address 10multi-path balance 1 *2 ! VPN2側の比率を1として負荷分散しますRouter(config-crypto-map)#set peer address 100.100.100.100Router(config-crypto-map)#set security-associationalways-upRouter(config-crypto-map)#sa-up route德赢AC米兰官方合作伙伴 local-prot2 *3 ! VPN1とVPN2で全く同じルート情報が登録されることになるので、 ! この２つをlocal-protオプションを付けて区別できるようにします。Router(config-crypto-map)#set transform-set P2-POLICYRouter(config-crypto-map)#exit! ! ! 特権ユーザモードに戻ります。 ! Router(config)#end! ! ! 德赢AC米兰官方合作伙伴を保存します。 ! Router#save SIDE-A.cfg% saving working-config % finished saving Router# ! ! ! 德赢AC米兰官方合作伙伴を有効にするために再起動します。 ! Router#resetAre you OK to cold start?(y/n)y
| *1 ： | pppoe 1 ではなく、ewan 1 でアドレスをマニュアル德赢AC米兰官方合作伙伴している場合は、次のように德赢AC米兰官方合作伙伴します。
|
| *2 ： | 德赢AC米兰官方合作伙伴ではV01.10以降、德赢AC米兰官方合作伙伴0ではV01.03以降のファームウェアから、どちらかの比率を0に設定できるようになりました。 負荷分散の比率は送信方向のパケットに対してのみ機能します。 |
| *3 ： | pppoe 1 ではなく、ewan 1 でアドレスをマニュアル德赢AC米兰官方合作伙伴している場合は、次のように德赢AC米兰官方合作伙伴します。
|
| *4 ： | FITELnet F200/F2000では、コマンド書式が変更になっており、下記の様なコマンドとなります。 Router(config)#ip dhcp pool 德赢AC米兰官方合作伙伴 |
コマンド德赢AC米兰官方合作伙伴の例
（!の行はコメントです。実際に入力する必要はありません。）
この德赢AC米兰官方合作伙伴を利用したい方は
センタ側 FITELnet-德赢AC米兰官方合作伙伴0-1 の設定
! ! ! 特権ユーザモードに移行します。 ! RouterenableEnter password:super←パスワードを入力します。（実際は表示されない） Router# ! ! ! 基本德赢AC米兰官方合作伙伴モードに移行します。 ! Router#configure terminalRouter(config)# ! Router(config)#hostname 德赢AC米兰官方合作伙伴0-1德赢AC米兰官方合作伙伴0-1(config)# ! ! ! LAN側IPアドレスを設定します。 ! 德赢AC米兰官方合作伙伴0-1(config)#interface 德赢AC米兰官方合作伙伴德赢AC米兰官方合作伙伴0-1(config-if lan 1)#ip address 192.168.3.1 255.255.255.0德赢AC米兰官方合作伙伴0-1(config-if lan 1)#exit! ! ! PPPoE1 の各種設定をします。 ! 德赢AC米兰官方合作伙伴0-1(config)#德赢AC米兰官方合作伙伴德赢AC米兰官方合作伙伴0-1(config-if pppoe 1)#crypto map map1德赢AC米兰官方合作伙伴0-1(config-if pppoe 1)#pppoe server test德赢AC米兰官方合作伙伴0-1(config-if pppoe 1)#pppoe account zyx@furukawa.co.jp zyx德赢AC米兰官方合作伙伴0-1(config-if pppoe 1)#pppoe type host德赢AC米兰官方合作伙伴0-1(config-if pppoe 1)#ip address 200.200.200.200德赢AC米兰官方合作伙伴0-1(config-if pppoe 1)#exit! ! ! ルートの設定をします。 ! 德赢AC米兰官方合作伙伴0-1(config)#ip route 0.0.0.0 0.0.0.0 192.168.3.254! ! ! RIPの設定をします。 ! 德赢AC米兰官方合作伙伴0-1(config)#router rip德赢AC米兰官方合作伙伴0-1(config-rip)#network 德赢AC米兰官方合作伙伴德赢AC米兰官方合作伙伴0-1(config-rip)#exit! ! ! IPsec負荷分散の設定をします。 ! 德赢AC米兰官方合作伙伴0-1(config)#vpn enable德赢AC米兰官方合作伙伴0-1(config)#vpnlog enable! 德赢AC米兰官方合作伙伴0-1(config)#crypto isakmp policy 1德赢AC米兰官方合作伙伴0-1(config-isakmp)#authentication prekey德赢AC米兰官方合作伙伴0-1(config-isakmp)#encryption aes 128德赢AC米兰官方合作伙伴0-1(config-isakmp)#group 2德赢AC米兰官方合作伙伴0-1(config-isakmp)#hash sha德赢AC米兰官方合作伙伴0-1(config-isakmp)#keepalive icmp always-send德赢AC米兰官方合作伙伴0-1(config-isakmp)#keepalive-icmp peer-address 172.16.0.1德赢AC米兰官方合作伙伴0-1(config-isakmp)#keepalive-icmp source-interface 德赢AC米兰官方合作伙伴德赢AC米兰官方合作伙伴0-1(config-isakmp)#keepalive-icmp multi-path德赢AC米兰官方合作伙伴德赢AC米兰官方合作伙伴0-1(config-isakmp)#key ascii furukawa德赢AC米兰官方合作伙伴0-1(config-isakmp)#negotiation-mode aggressive德赢AC米兰官方合作伙伴0-1(config-isakmp)#peer-identity host kyoten1-1德赢AC米兰官方合作伙伴0-1(config-isakmp)#tunnel-route德赢AC米兰官方合作伙伴 ! 対向のVPNピアへのルートを、nexthopをPPPoE1として登録します德赢AC米兰官方合作伙伴0-1(config-isakmp)#exit! 德赢AC米兰官方合作伙伴0-1(config)#ipsec transform-set P2-POLICY esp-aes-128 esp-sha-hmac! 德赢AC米兰官方合作伙伴0-1(config)#ipsec access-list 10 ipsec ip any 172.16.0.0 0.0.255.255德赢AC米兰官方合作伙伴0-1(config)#ipsec access-list 64 bypass ip any any! 德赢AC米兰官方合作伙伴0-1(config)#crypto map map1 1德赢AC米兰官方合作伙伴0-1(config-crypto-map)#match address 10德赢AC米兰官方合作伙伴0-1(config-crypto-map)#set peer host kyoten1-1德赢AC米兰官方合作伙伴0-1(config-crypto-map)#set transform-set P2-POLICY德赢AC米兰官方合作伙伴0-1(config-crypto-map)#sa-up route 德赢AC米兰官方合作伙伴 ! local-protオプションがない場合、redistributeで指定しなくても、 ! このルート情報をRIPで広告します。 ! local-protオプションがある場合、RIPで広告するには、 ! 明示的にredistributeで指定する必要があります。德赢AC米兰官方合作伙伴0-1(config-crypto-map)#exit! ! ! 特権ユーザモードに戻ります。 ! 德赢AC米兰官方合作伙伴0-1(config)#end德赢AC米兰官方合作伙伴0-1# ! ! ! 設定を保存します。 ! 德赢AC米兰官方合作伙伴0-1#save SIDE-A.cfg% saving working-config % finished saving 德赢AC米兰官方合作伙伴0-1# ! ! ! 設定を有効にするために再起動します。 ! 德赢AC米兰官方合作伙伴0-1#resetAre you OK to cold start?(y/n)y
コマンド德赢AC米兰官方合作伙伴の例
（!の行はコメントです。実際に入力する必要はありません。）
この德赢AC米兰官方合作伙伴を利用したい方は
センタ側 FITELnet-德赢AC米兰官方合作伙伴0-2 の設定
! ! ! 特権ユーザモードに移行します。 ! RouterenableEnter password:super←パスワードを入力します。（実際は表示されない） Router# ! ! ! 基本德赢AC米兰官方合作伙伴モードに移行します。 ! Router#configure terminalRouter(config)# ! Router(config)#hostname 德赢AC米兰官方合作伙伴0-2德赢AC米兰官方合作伙伴0-2(config)# ! ! ! LAN側IPアドレスを設定します。 ! 德赢AC米兰官方合作伙伴0-2(config)#interface 德赢AC米兰官方合作伙伴德赢AC米兰官方合作伙伴0-2(config-if lan 1)#ip address 192.168.3.20 255.255.255.0德赢AC米兰官方合作伙伴0-2(config-if lan 1)#exit! ! ! PPPoE1 の各種設定をします。 ! 德赢AC米兰官方合作伙伴0-2(config)#德赢AC米兰官方合作伙伴德赢AC米兰官方合作伙伴0-2(config-if pppoe 1)#crypto map map1德赢AC米兰官方合作伙伴0-2(config-if pppoe 1)#ip address 100.100.100.100德赢AC米兰官方合作伙伴0-2(config-if pppoe 1)#pppoe server test德赢AC米兰官方合作伙伴0-2(config-if pppoe 1)#pppoe account xyz@furukawa.co.jp xyz德赢AC米兰官方合作伙伴0-2(config-if pppoe 1)#pppoe type host德赢AC米兰官方合作伙伴0-2(config-if pppoe 1)#exit! ! ! ルートの設定をします。 ! 德赢AC米兰官方合作伙伴0-2(config)#ip route 0.0.0.0 0.0.0.0 192.168.3.254! ! ! RIPの設定をします。 ! 德赢AC米兰官方合作伙伴0-2(config)#access-list 10 permit 172.16.0.0 0.0.255.255德赢AC米兰官方合作伙伴0-2(config)#router rip德赢AC米兰官方合作伙伴0-2(config-rip)#network 德赢AC米兰官方合作伙伴德赢AC米兰官方合作伙伴0-2(config-rip)#offset-list 10 out 5 德赢AC米兰官方合作伙伴 ! sa-upルートで登録した情報をRIPで広告する際に、metric値を+5して出すようにします。德赢AC米兰官方合作伙伴0-2(config-rip)#exit! ! ! IPsec負荷分散の設定をします。 ! 德赢AC米兰官方合作伙伴0-2(config)#vpn enable德赢AC米兰官方合作伙伴0-2(config)#vpnlog enable! 德赢AC米兰官方合作伙伴0-2(config)#crypto isakmp policy 1德赢AC米兰官方合作伙伴0-2(config-isakmp)#authentication prekey德赢AC米兰官方合作伙伴0-2(config-isakmp)#encryption aes 128德赢AC米兰官方合作伙伴0-2(config-isakmp)#group 2德赢AC米兰官方合作伙伴0-2(config-isakmp)#hash sha德赢AC米兰官方合作伙伴0-2(config-isakmp)#keepalive icmp always-send德赢AC米兰官方合作伙伴0-2(config-isakmp)#keepalive-icmp peer-address 172.16.0.1德赢AC米兰官方合作伙伴0-2(config-isakmp)#keepalive-icmp source-interface 德赢AC米兰官方合作伙伴德赢AC米兰官方合作伙伴0-2(config-isakmp)#keepalive-icmp multi-path德赢AC米兰官方合作伙伴德赢AC米兰官方合作伙伴0-2(config-isakmp)#key ascii furukawa德赢AC米兰官方合作伙伴0-2(config-isakmp)#negotiation-mode aggressive德赢AC米兰官方合作伙伴0-2(config-isakmp)#peer-identity host kyoten1-2德赢AC米兰官方合作伙伴0-2(config-isakmp)#tunnel-route德赢AC米兰官方合作伙伴德赢AC米兰官方合作伙伴0-2(config-isakmp)#exit! 德赢AC米兰官方合作伙伴0-2(config)#ipsec transform-set P2-POLICY esp-aes-128 esp-sha-hmac! 德赢AC米兰官方合作伙伴0-2(config)#ipsec access-list 10 ipsec ip any 172.16.0.0 0.0.255.255德赢AC米兰官方合作伙伴0-2(config)#ipsec access-list 64 bypass ip any any! 德赢AC米兰官方合作伙伴0-2(config)#crypto map map1 1德赢AC米兰官方合作伙伴0-2(config-crypto-map)#match address 10德赢AC米兰官方合作伙伴0-2(config-crypto-map)#set peer host kyoten1-2德赢AC米兰官方合作伙伴0-2(config-crypto-map)#set transform-set P2-POLICY德赢AC米兰官方合作伙伴0-2(config-crypto-map)#sa-up route 德赢AC米兰官方合作伙伴德赢AC米兰官方合作伙伴0-2(config-crypto-map)#exit! ! ! 特権ユーザモードに戻ります。 ! 德赢AC米兰官方合作伙伴0-2(config)#end德赢AC米兰官方合作伙伴0-2# ! ! ! 設定を保存します。 ! 德赢AC米兰官方合作伙伴0-2#save SIDE-A.cfg% saving working-config % finished saving 德赢AC米兰官方合作伙伴0-2# ! ! ! 設定を有効にするために再起動します。 ! 德赢AC米兰官方合作伙伴0-2#resetAre you OK to cold start?(y/n)y
All Rights Reserved, Copyright(C) FURUKAWA ELECTRIC CO., LTD. 2007