10
milan米兰体育官网例
3．センタmilan米兰体育官网0(2台各1回線)・拠点milan米兰体育官网(1台2回線)でIPsec負荷分散を行う
概要
※センタ側2台のmilan米兰体育官网0をmilan米兰体育官网に置き換えても運用できます
- 拠点側milan米兰体育官网設定された比率で負荷分散を行います（2つのVPNはActive-Activeです）
※ 比率は任意の整数値(0〜10)でmilan米兰体育官网できます。
(0と10が設定できるのは、milan米兰体育官网はV01.10以降、milan米兰体育官网0はV01.03以降のファームウェアとなります)
10：0とした場合は通常時0側にユーザデータは流れず、Active-Standbyになります。(keepaliveのICMPパケットは流れます) - 一方のVPNが不通となった場合は、残りのVPNで全ての通信をまかないます。
また、VPNの復旧後は再びmilan米兰体育官网された比率で負荷分散を行います。 - 拠点側milan米兰体育官网は単体で回線冗長を行い、PPPoE(IPアドレス不定)を2セッション使用します。
- センタ側milan米兰体育官网0は2台で機器冗長と回線冗長を行い、それぞれPPPoE(IPアドレス固定)を1セッション使用します。
- センタ側milan米兰体育官网0は2台で機器冗長と回線冗長を行い、それぞれPPPoE(IPアドレス固定)を1セッション使用します。
- 拠点側milan米兰体育官网はVPN1経路、VPN2経路共に経路監視を行います。
センタ側milan米兰体育官网0はそれぞれの経路を監視します。(経路監視にはICMP(Ping)のKeepaliveを使用) - VPN1経路、VPN2経路の切り替えは拠点側milan米兰体育官网が自動的に行い、経路復旧後の切り戻しも拠点側milan米兰体育官网が自動的に行います。
※ Keepaliveにより、経路障害時にそのSAを消去milan米兰体育官网。SA-upルート機能と合わせ、自身のルーティングテーブルを動的に書き換えます。 - IPsecはアグレッシブモードですが、拠点側から常にSAを確立しているので、センタ側契機の通信にも対応できます。
- センタ側2台のmilan米兰体育官网0はSAの確立を契機として到達可能となった経路情報をLAN側に広告(sa-upルート機能とRIP)します。センタ側の経路制御はL3SWがメトリック値をもとに判断します。
- センタ側でmilan米兰体育官网されるトンネルルート機能とは、IPsec-アグレッシブモードのレスポンダ側の場合でのみ使用可能です。これは対向装置のピアへのルートをIKEネゴを契機としてnexthopを登録する機能です。
- 回線障害時の切り替えには平均で30秒ほどかかります。(Keepaliveの送信間隔が初期値で60秒にmilan米兰体育官网されているためです)(Keepaliveに関するmilan米兰体育官网は「alive」コマンドを参照)
補足・注意点
前提条件
当milan米兰体育官网例では、以下のアドレス・環境を前提に説明しています。
プロバイダより割り振られたアドレス（アドレスは一例です）
| センタ側milan米兰体育官网0-1 PPPoE1 | 200.200.200.200 |
| センタ側milan米兰体育官网0-2 PPPoE1 | 100.100.100.100 |
| 拠点側milan米兰体育官网 PPPoE1 | 指定なし |
| 150 | 指定なし |
milan米兰体育官网環境
| IPsecの対象とする中継パケット | any ⇔ 172.16.0.0/16 ※センタ側L3SWの背後の別セグメントからもVPN可能 |
| IPsec Phase1ポリシー | モード ･･･ Aggressiveモード 認証方式 ･･･ 事前共有鍵方式 暗号化方式 ･･･ AES 128 Diffie-Hellman ･･･ Group 2 ハッシュ方式 ･･･ SHA |
| IPsec Phase2ポリシー | 暗号化方式 ･･･ AES 128 ハッシュ方式 ･･･ SHA |
| IPsec負荷分散の比率 （PPPoE1：PPPoE5） |
2：1 ※1 （拠点側milan米兰体育官网） |
| L3SWのmilan米兰体育官网 | RIP(Ver.2)を受信 ※milan米兰体育官网、milan米兰体育官网0のRIPはVer.2を使用(初期値) |
コマンドmilan米兰体育官网の例
（!の行はコメントです。実際に入力する必要はありません。）
このmilan米兰体育官网を利用したい方は
拠点側 FITELnet-milan米兰体育官网 の設定
! ! ! 特権ユーザモードに移行milan米兰体育官网。 ! RouterenableEnter password:super←パスワードを入力します。（実際は表示されない） Router# ! ! ! 基本milan米兰体育官网モードに移行します。 ! Router#configure terminalRouter(config)# ! ! ! LAN 側 IP アドレスをmilan米兰体育官网します。 ! Router(config)#interface lan 1Router(config-if lan 1)#ip address 172.16.0.1 255.255.0.0Router(config-if lan 1)#exit! ! ! PPPoE1 の各種milan米兰体育官网をします。 ! Router(config)#milan米兰体育官网Router(config-if pppoe 1)#pppoe server A-ProviderRouter(config-if pppoe 1)#pppoe account A-user@xxxx.ne.jp A-secretRouter(config-if pppoe 1)#pppoe type hostRouter(config-if pppoe 1)#crypto map MAP1Router(config-if pppoe 1)#exit! ! ! PPPoE5 の各種milan米兰体育官网をします。 ! Router(config)#interface pppoe 5Router(config-if pppoe 5)#pppoe server B-ProviderRouter(config-if pppoe 5)#pppoe account B-user@xxxx.ne.jp B-secretRouter(config-if pppoe 5)#pppoe type hostRouter(config-if pppoe 5)#crypto map MAP2Router(config-if pppoe 5)#exit! ! ! ルート情報をmilan米兰体育官网します。 ! Router(config)#ip route 200.200.200.200 255.255.255.255 pppoe 1Router(config)#ip route 100.100.100.100 255.255.255.255 pppoe 5! ! ! DHCPサーバ機能をmilan米兰体育官网します。 ! Router(config)#service dhcp-serverRouter(config)#ip dhcp pool lan1 *6Router(config-dhcp-pool)#default-router 172.16.0.1Router(config-dhcp-pool)#exit! ! ! 暗号化を使用するmilan米兰体育官网します。 ! Router(config)#vpn enableRouter(config)#vpnlog enable! Router(config)#crypto isakmp policy 1Router(config-isakmp)#authentication prekeyRouter(config-isakmp)#encryption aes 128Router(config-isakmp)#group 2Router(config-isakmp)#hash shaRouter(config-isakmp)#key ascii furukawaRouter(config-isakmp)#negotiation-mode aggressiveRouter(config-isakmp)#my-identity KYOTEN1-1Router(config-isakmp)#peer-identity address 200.200.200.200Router(config-isakmp)#keepalive icmpalways-send ! icmp(ping)により常時keepaliveを行うRouter(config-isakmp)#keepalive-icmppeer-address192.168.3.1 ! 監視先アドレスのmilan米兰体育官网Router(config-isakmp)#keepalive-icmpsource-interfacelan 1 ! 送信元IPアドレスをLAN側IPアドレスとして、VPNトンネルを通して ! keepaliveを行うRouter(config-isakmp)#keepalive-icmpmulti-pathmilan米兰体育官网 *1 ! keepaliveの送信インタフェースのmilan米兰体育官网Router(config-isakmp)#exit! Router(config)#crypto isakmp policy 2Router(config-isakmp)#authentication prekeyRouter(config-isakmp)#encryption aes 128Router(config-isakmp)#group 2Router(config-isakmp)#hash shaRouter(config-isakmp)#key ascii furukawaRouter(config-isakmp)#negotiation-mode aggressiveRouter(config-isakmp)#my-identity KYOTEN1-2Router(config-isakmp)#peer-identity address 100.100.100.100Router(config-isakmp)#keepalive-icmppeer-address192.168.3.20Router(config-isakmp)#keepalive-icmpsource-interfacelan 1Router(config-isakmp)#keepalive-icmpmulti-pathinterface pppoe 5 *1Router(config-isakmp)#keepalive icmpalways-sendRouter(config-isakmp)#exit! Router(config)#ipsec transform-set P2-POLICY esp-aes-128 esp-sha-hmac! Router(config)#ipsec access-list 10 ipsec ip 172.16.0.0 0.0.255.255any ! センタ側LANのネットワークアドレスを任意 ! →L3SWの内側のネットワークを問わないRouter(config)#ipsec access-list 64 bypass ip any any! Router(config)#crypto map MAP1 1Router(config-crypto-map)#match address 10multi-path balance 2 *2 ! 比率2で負荷分散Router(config-crypto-map)#set peer address 200.200.200.200Router(config-crypto-map)#set transform-set P2-POLICYRouter(config-crypto-map)#set security-associationalways-up ! 常時SAを維持Router(config-crypto-map)#sa-up routemilan米兰体育官网 *3 ! SAの確立を契機としてセンタ側LAN(any)へのルート情報を登録し、 ! nexthopをpppoe1とするRouter(config-crypto-map)#exit! Router(config)#crypto map MAP2 2Router(config-crypto-map)#match address 10multi-path balance 1 *2 ! 比率1で負荷分散Router(config-crypto-map)#set peer address 100.100.100.100Router(config-crypto-map)#set transform-set P2-POLICYRouter(config-crypto-map)#set security-associationalways-upRouter(config-crypto-map)#sa-up routeinterface pppoe 5 *3Router(config-crypto-map)#exit! ! ! 特権ユーザモードに戻ります。 ! Router(config)#end! ! ! milan米兰体育官网を保存します。 ! Router#save SIDE-A.cfg% saving working-config % finished saving Router# ! ! ! milan米兰体育官网を有効にするために再起動します。 ! Router#resetAre you OK to cold start?(y/n)y
| *1 ： | pppoe 1 や pppoe 5 ではなく、ewan 1 や ewan 2 でアドレスをマニュアルmilan米兰体育官网している場合は、次のようにmilan米兰体育官网します。
|
| *2 ： | milan米兰体育官网ではV01.10以降、milan米兰体育官网0ではV01.03以降のファームウェアから、どちらかの比率を0に設定できるようになりました。負荷分散の比率は送信方向のパケットに対してのみ機能します。 |
| *3 ： | pppoe 1 や pppoe 5 ではなく、ewan 1 や ewan 2 でアドレスをマニュアルmilan米兰体育官网している場合は、次のようにmilan米兰体育官网します。
|
| *6 ： | FITELnet F200/F2000では、コマンド書式が変更になっており、下記の様なコマンドとなります。 Router(config)#ip dhcp pool lan 1 |
コマンドmilan米兰体育官网の例
（!の行はコメントです。実際に入力する必要はありません。）
このmilan米兰体育官网を利用したい方は
センター側 FITELnet-milan米兰体育官网0-1 の設定
! ! ! 特権ユーザモードに移行milan米兰体育官网。 ! RouterenableEnter password:super←パスワードを入力します。（実際は表示されない） Router# ! ! ! 基本milan米兰体育官网モードに移行します。 ! Router#configure terminalRouter(config)# ! Router(config)#hostname milan米兰体育官网0-1milan米兰体育官网0-1(config)# ! ! ! LAN 側 IP アドレスを設定します。 ! milan米兰体育官网0-1(config)#interface lan 1milan米兰体育官网0-1(config-if lan 1)#ip address 192.168.3.1 255.255.255.0milan米兰体育官网0-1(config-if lan 1)#exit! ! ! PPPoE1 の各種設定をします。 ! milan米兰体育官网0-1(config)#milan米兰体育官网milan米兰体育官网0-1(config-if pppoe 1)#crypto map MAP1milan米兰体育官网0-1(config-if pppoe 1)#pppoe server testmilan米兰体育官网0-1(config-if pppoe 1)#pppoe account zyx@furukawa.co.jp zyxmilan米兰体育官网0-1(config-if pppoe 1)#pppoe type hostmilan米兰体育官网0-1(config-if pppoe 1)#ip address 200.200.200.200milan米兰体育官网0-1(config-if pppoe 1)#exit! ! ! RIP の各種設定をします。 ! milan米兰体育官网0-1(config)#router ripmilan米兰体育官网0-1(config-rip)#network lan 1milan米兰体育官网0-1(config-rip)#redistributelocal-prot1 route-map AAA ! sa-upルートで学習した経路情報をRIPで広告（ルートMAP「AAA」を適用）milan米兰体育官网0-1(config-rip)#exit! milan米兰体育官网0-1(config)#route-map AAA permit 1milan米兰体育官网0-1(config-rmap AAA permit 1)#set metric6 ! RIPで広告するメトリック値を6にmilan米兰体育官网milan米兰体育官网0-1(config-rmap AAA permit 1)#exit! ! ! 暗号化を使用する設定します。 ! milan米兰体育官网0-1(config)#vpn enable ewan 1milan米兰体育官网0-1(config)#vpnlog enable! milan米兰体育官网0-1(config)#crypto isakmp policy 1milan米兰体育官网0-1(config-isakmp)#authentication prekeymilan米兰体育官网0-1(config-isakmp)#encryption aes 128milan米兰体育官网0-1(config-isakmp)#group 2milan米兰体育官网0-1(config-isakmp)#hash shamilan米兰体育官网0-1(config-isakmp)#keepalive icmp always-sendmilan米兰体育官网0-1(config-isakmp)#keepalive-icmp peer-address 172.16.0.1milan米兰体育官网0-1(config-isakmp)#keepalive-icmp source-interface lan 1milan米兰体育官网0-1(config-isakmp)#keepalive-icmp multi-path milan米兰体育官网milan米兰体育官网0-1(config-isakmp)#key ascii furukawamilan米兰体育官网0-1(config-isakmp)#peer-identity host KYOTEN1-1milan米兰体育官网0-1(config-isakmp)#tunnel-route milan米兰体育官网 *4milan米兰体育官网0-1(config-isakmp)#exit! milan米兰体育官网0-1(config)#ipsec transform-set P2-POLICY esp-aes-128 esp-sha-hmac! milan米兰体育官网0-1(config)#ipsec access-list 10 ipsec ip any 172.16.0.0 0.0.255.255milan米兰体育官网0-1(config)#ipsec access-list 64 bypass ip any any! milan米兰体育官网0-1(config)#crypto map MAP1 1milan米兰体育官网0-1(config-crypto-map)#match address 10milan米兰体育官网0-1(config-crypto-map)#set peer host KYOTEN1-1milan米兰体育官网0-1(config-crypto-map)#set transform-set P2-POLICYmilan米兰体育官网0-1(config-crypto-map)#sa-up route milan米兰体育官网 local-prot1100 ! 自身の経路情報にディスタンス値100として登録milan米兰体育官网0-1(config-crypto-map)#exit! ! ! 特権ユーザモードに戻ります。 ! milan米兰体育官网0-1(config)#end! ! ! 設定を保存します。 ! milan米兰体育官网0-1#save SIDE-A.cfg% saving working-config % finished saving milan米兰体育官网0-1# ! ! ! 設定を有効にするために再起動します。 ! milan米兰体育官网0-1#resetAre you OK to cold start?(y/n)y
| *4 ： | ファームウェアバージョンが、milan米兰体育官网ではV01.09以降、milan米兰体育官网0ではV01.02以降で設定可能です。アグレッシブモードの場合のみ動作します。 |
コマンドmilan米兰体育官网の例
（!の行はコメントです。実際に入力する必要はありません。）
このmilan米兰体育官网を利用したい方は
センター側 FITELnet-milan米兰体育官网0-2 の設定
! ! ! 特権ユーザモードに移行milan米兰体育官网。 ! RouterenableEnter password:super←パスワードを入力します。（実際は表示されない） Router# ! ! ! 基本milan米兰体育官网モードに移行します。 ! Router#configure terminalRouter(config)# ! Router(config)#hostname milan米兰体育官网0-2milan米兰体育官网0-2(config)# ! ! ! LAN 側 IP アドレスを設定します。 ! milan米兰体育官网0-2(config)#interface lan 1milan米兰体育官网0-2(config-if lan 1)#ip address 192.168.3.20 255.255.255.0milan米兰体育官网0-2(config-if lan 1)#exit! ! ! PPPoE1 の各種設定をします。 ! milan米兰体育官网0-2(config)#milan米兰体育官网milan米兰体育官网0-2(config-if pppoe 1)#crypto map map2milan米兰体育官网0-2(config-if pppoe 1)#pppoe server test2milan米兰体育官网0-2(config-if pppoe 1)#pppoe account xyz@furukawa.co.jp xyzmilan米兰体育官网0-2(config-if pppoe 1)#pppoe type hostmilan米兰体育官网0-2(config-if pppoe 1)#ip address 100.100.100.100milan米兰体育官网0-2(config-if pppoe 1)#exit! ! ! RIP の各種設定をします。 ! milan米兰体育官网0-2(config)#router ripmilan米兰体育官网0-2(config-rip)#network lan 1milan米兰体育官网0-2(config-rip)#redistributelocal-prot2 route-map AAA ! sa-upルートで学習した経路情報をRIPで広告（ルートMAP「AAA」を適用）milan米兰体育官网0-2(config-rip)#exit! milan米兰体育官网0-2(config)#route-map AAA permit 1milan米兰体育官网0-2(config-rmap AAA permit 1)#set metric10 ! RIPで広告するメトリック値を10にmilan米兰体育官网milan米兰体育官网0-2(config-rmap AAA permit 1)#exit! ! ! 暗号化を使用する設定します。 ! milan米兰体育官网0-2(config)#vpn enable ewan 1milan米兰体育官网0-2(config)#vpnlog enable! milan米兰体育官网0-2(config)#crypto isakmp policy 1milan米兰体育官网0-2(config-isakmp)#authentication prekeymilan米兰体育官网0-2(config-isakmp)#encryption aes 128milan米兰体育官网0-2(config-isakmp)#group 2milan米兰体育官网0-2(config-isakmp)#hash shamilan米兰体育官网0-2(config-isakmp)#keepalive icmp always-sendmilan米兰体育官网0-2(config-isakmp)#keepalive-icmp peer-address 172.16.0.1milan米兰体育官网0-2(config-isakmp)#keepalive-icmp source-interface lan 1milan米兰体育官网0-2(config-isakmp)#keepalive-icmp multi-path milan米兰体育官网milan米兰体育官网0-2(config-isakmp)#key ascii furukawamilan米兰体育官网0-2(config-isakmp)#peer-identity host KYOTEN1-2milan米兰体育官网0-2(config-isakmp)#tunnel-route milan米兰体育官网 *5milan米兰体育官网0-2(config-isakmp)#exit! milan米兰体育官网0-2(config)#ipsec transform-set P2-POLICY esp-aes-128 esp-sha-hmac! milan米兰体育官网0-2(config)#ipsec access-list 10 ipsec ip any 172.16.0.0 0.0.255.255milan米兰体育官网0-2(config)#ipsec access-list 64 bypass ip any any! milan米兰体育官网0-2(config)#crypto map map2 1milan米兰体育官网0-2(config-crypto-map)#match address 10milan米兰体育官网0-2(config-crypto-map)#set peer host KYOTEN1-2milan米兰体育官网0-2(config-crypto-map)#set transform-set P2-POLICYmilan米兰体育官网0-2(config-crypto-map)#sa-up route milan米兰体育官网 local-prot2150 ! 自身の経路情報にディスタンス値150として登録milan米兰体育官网0-2(config-crypto-map)#exit! ! ! 特権ユーザモードに戻ります。 ! milan米兰体育官网0-2(config)#endmilan米兰体育官网0-2# ! ! ! 設定を保存します。 ! milan米兰体育官网0-2#save SIDE-A.cfg% saving working-config % finished saving milan米兰体育官网0-2# ! ! ! 設定を有効にするために再起動します。 ! milan米兰体育官网0-2#resetAre you OK to cold start?(y/n)y
| *5 ： | ファームウェアバージョンが、milan米兰体育官网ではV01.09以降、milan米兰体育官网0ではV01.02以降で設定可能です。アグレッシブモードの場合のみ動作します。 |
All Rights Reserved, Copyright(C) FURUKAWA ELECTRIC CO., LTD. 2007