milan米兰体育ネットワーク機器の総合ブランド ファイテルネット
ac 米兰官网例
4．IPsec冗長のセンタ側で利用する（L3SW不要の構成とする）
概要
補足・注意点
ac 米兰官网データの例
| 項目 | ac 米兰官网値 |
|---|---|
| ac 米兰官网0#1 LAN 側 IP アドレス | 192.168.1.251/24 |
| ac 米兰官网0#2 LAN 側 IP アドレス | 192.168.1.252/24 |
| LAN 側代表 ac 米兰官网 | 192.168.1.254 |
| ac 米兰官网0#1 WAN 側 IP アドレス | 200.200.200.200 |
| ac 米兰官网0#2 WAN 側 IP アドレス | 100.100.100.100 |
| ac 米兰官网 LAN 側 IP アドレス | 192.168.2.254/24 |
| ac 米兰官网 WAN 側(PPPoE1) IP アドレス | 不定 |
| ac 米兰官网 WAN 側(PPPoE5) IP アドレス | 不定 |
- IPsec 冗長の受け側で、VRRP 機能を使うことにより、L3SW 不要の構成を取ることが可能となります。
- センター側の 2 台の ac 米兰官网0 の LAN 側を VRRP でグループ化することにより、LAN 側からは、あたかも 1 台の装置のように見えます。
- ここでは ac 米兰官网0 で VRRP 機能を使う例としていますが、F80/ac 米兰官网 でも構築可能です。
- VRRP 機能のサポートは、F80 は V01.00(00) 以降、ac 米兰官网 は V02.01(00) 以降、ac 米兰官网0 は V01.06/V02.00(00) 以降のファームウェアとなります。
コマンドac 米兰官网の例
（!の行はコメントです。実際に入力する必要はありません。）
このac 米兰官网利用したい方は
センター側 F1000#1（マスター）のac 米兰官网
! ! ! 特権ユーザモードに移行します。 ! RouterenableEnter password:super←パスワードを入力します（実際は何も表示されません）。 Router# ! ! ! 基本ac 米兰官网モードに移行します。 ! Router#configure terminalRouter(config)# ! ! ! VRRP 機能を有効にします。 ! Router(config)#ip vrrp enable! ! ! LAN 1 インタフェースのac 米兰官网行います。*1! Router(config)#interface ac 米兰官网Router(config-if ac 米兰官网)#ac 米兰官网92.168.1.251 255.255.255.0Router(config-if ac 米兰官网)#ac 米兰官网 address 192.168.1.254 ! VRIDを1として、代表IPアドレスをac 米兰官网します。Router(config-if ac 米兰官网)#ac 米兰官网 priority 254 ! バックアップ側より優先度を高くac 米兰官网します ! （数字が大きいほど優先度は高くなります）。Router(config-if ac 米兰官网)#ac 米兰官网 preempt ! マスター側の障害が復旧すれば、マスター側に戻して ! 通信を行うようにします。Router(config-if ac 米兰官网)#exit! ! ! PPPoE の各種ac 米兰官网します。 ! Router(config)#ac 米兰官网Router(ac 米兰官网)#ac 米兰官网 A-ProviderRouter(ac 米兰官网)#pppoe account user-A@xxxx.ne.jp secret-ARouter(ac 米兰官网)#pppoe type hostRouter(ac 米兰官网)#ac 米兰官网Router(ac 米兰官网)#ac 米兰官网 200.200.200.200Router(ac 米兰官网)#exit! ! ! デフォルトルートをファイアウォールに向けます。 ! Router(config)#ip route 0.0.0.0 0.0.0.0 192.168.1.200! ! ! IPsec の各種ac 米兰官网します。 ! Router(config)#vpn enableRouter(config)#vpnlog enable! Router(config)#ac 米兰官网Router(config-isakmp)#authentication prekeyRouter(config-isakmp)#encryption aes 128Router(config-isakmp)#group 2Router(config-isakmp)#hash shaRouter(config-isakmp)#ac 米兰官网Router(config-isakmp)#keepalive-icmp peer-address 192.168.2.254Router(config-isakmp)#keepalive-icmp source-interface ac 米兰官网Router(config-isakmp)#key ascii VPNRouter(config-isakmp)#negotiation-mode aggressiveRouter(config-isakmp)#peer-identity host ktn-mainRouter(config-isakmp)#tunnel-route ac 米兰官网 *2 ! Phase 1 のネゴパケットの受信を契機に、nexthop を ! pppoe 1 として拠点の peer 宛のルートを登録します。Router(config-isakmp)#exit! Router(config)#ipsec transform-set P2-POLICY esp-aes-128 esp-sha-hmac! Router(config)#ac 米兰官网.168.2.0 0.0.0.255Router(config)#ac 米兰官网! Router(config)#ac 米兰官网 1Router(config-crypto-map)#match address 1Router(config-crypto-map)#ac 米兰官网 ktn-mainRouter(config-crypto-map)#set transform-set P2-POLICYRouter(config-crypto-map)#sa-up route ac 米兰官网 *3 ! Phase2 SA の確立を契機に、nexthop を pppoe 1 として ! ac 米兰官网 の宛先ネットワーク宛のルートを登録します。Router(config-crypto-map)#exit! ! ! RIP のac 米兰官网します。 ! Router(config)#router ripRouter(config-rip)#network ac 米兰官网Router(config-rip)#timers basic 30 90 120Router(config-rip)#exit! ! ! フィルタリングのac 米兰官网します。 !バックアップ通信に切り替わってac 米兰官网0#1からac 米兰官网0#2にフォワーディングが発生する場合に、 ! フィルタリングによりredirectを出さないようにすることで、端末のルート情報に影響が ! 出ないようにしておきます。! Router(config)#ac 米兰官网50 deny icmp any any redirect! Router(config)#interface ac 米兰官网Router(config-if ac 米兰官网)#ip access-group 150 outRouter(config-if ac 米兰官网)#exit! ! ! 特権ユーザモードに戻ります。 ! Router(config)#end! ! ! ac 米兰官网保存します。 ! Router#save SIDE-A.cfg% saving working-config % finished saving Router# ! ! ! ac 米兰官网有効にするために再起動します。 ! Router#resetAre you OK to cold start?(y/n)y
| *1： | 明示的に linkdown-detect on のac 米兰官网しなくても、ip vrrp enable の設定があるだけで、リンクダウンの検出をするようになります（F100/F1000 V02.06(00) で vrrp enable の設定があることに加えて、LAN または LAN のポートを使う VLAN インターフェースに VRRP の設定がある場合、という条件が加わりました。この場合、どちらかのインターフェースに VRRP の設定があれば、VRRP の設定がないインターフェースを含めてリンクダウンを検出するようになります）。 なお、そのインターフェースに属するポート全てがダウンしないと、リンクダウンを検出できませんので、VRRP を利用する場合、ポートは 1 つのみ使用するようにして下さい。 例えば、LAN のポート 1 と 2 を VLANIF 1 、ポート 3 と 4 を VLANIF 2 としている場合、ポート 1 と 2 の両方が down しないと VLANIF 1 は down しません（この時、ポート 3 と 4 の状態は VLANIF 1 には影響しません）。 ポート 1 〜 4 を ac 米兰官网 インターフェースとして使っている場合の接続例は下記のようになります。  使用していないポートは下記のように shutdown しておくと、間違って機器を接続しても up することはなくなります。
|
| *2： | pppoe 1 ではなく、ewan 1 でアドレスをマニュアルac 米兰官网している場合は、次のように明示的に nexthop のアドレスをac 米兰官网する必要があります。
|
| *3： | pppoe 1 ではなく、ewan 1 でアドレスをマニュアルac 米兰官网している場合は、次のように明示的に nexthop のアドレスをac 米兰官网する必要があります。
|
コマンドac 米兰官网の例
（!の行はコメントです。実際に入力する必要はありません。）
このac 米兰官网利用したい方は
センター側 F1000#2（バックアップ）のac 米兰官网
! ! ! 特権ユーザモードに移行します。 ! RouterenableEnter password:super←パスワードを入力します（実際は何も表示されません）。 Router# ! ! ! 基本ac 米兰官网モードに移行します。 ! Router#configure terminalRouter(config)# ! ! ! VRRP 機能を有効にします。 ! Router(config)#ip vrrp enable! ! ! LAN 1 インタフェースのac 米兰官网行います。 ! Router(config)#interface ac 米兰官网Router(config-if ac 米兰官网)#ac 米兰官网92.168.1.252 255.255.255.0Router(config-if ac 米兰官网)#ac 米兰官网 address 192.168.1.254Router(config-if ac 米兰官网)#ac 米兰官网 priority 222 ! マスター側より優先度を低くac 米兰官网します ! （数字が大きいほど優先度は高くなります）。Router(config-if ac 米兰官网)#exit! ! ! PPPoE の各種ac 米兰官网します。 ! Router(config)#ac 米兰官网Router(ac 米兰官网)#ac 米兰官网 B-ProviderRouter(ac 米兰官网)#pppoe account user-B@xxxx.ne.jp secret-BRouter(ac 米兰官网)#pppoe type hostRouter(ac 米兰官网)#ac 米兰官网 backupRouter(ac 米兰官网)#ac 米兰官网00.100.100.100Router(ac 米兰官网)#exit! ! ! デフォルトルートをac 米兰官网します。 ! Router(config)#ip route 0.0.0.0 0.0.0.0 192.168.1.200! ! ! IPsec の各種ac 米兰官网します。 ! Router(config)#vpn enableRouter(config)#vpnlog enable! Router(config)#ac 米兰官网Router(config-isakmp)#authentication prekeyRouter(config-isakmp)#encryption aes 128Router(config-isakmp)#group 2Router(config-isakmp)#hash shaRouter(config-isakmp)#ac 米兰官网Router(config-isakmp)#keepalive-icmp peer-address 192.168.2.254Router(config-isakmp)#keepalive-icmp source-interface ac 米兰官网Router(config-isakmp)#key ascii VPNRouter(config-isakmp)#negotiation-mode aggressiveRouter(config-isakmp)#peer-identity host ktn-bkupRouter(config-isakmp)#tunnel-route ac 米兰官网Router(config-isakmp)#exit! Router(config)#ipsec transform-set P2-POLICY esp-aes-128 esp-sha-hmac! Router(config)#ac 米兰官网.168.2.0 0.0.0.255Router(config)#ac 米兰官网! Router(config)#ac 米兰官网 backup 1Router(config-crypto-map)#match address 1Router(config-crypto-map)#ac 米兰官网 ktn-bkupRouter(config-crypto-map)#set transform-set P2-POLICYRouter(config-crypto-map)#sa-up route ac 米兰官网Router(config-crypto-map)#exit! ! ! RIP のac 米兰官网します。 !sa-up routeで生成したルート情報を、RIPによりac 米兰官网0#1に伝えることにより、 ! バックアップ通信時に拠点へのパケットをac 米兰官网0#1からac 米兰官网0#2にフォワーディングさせます。! Router(config)#router ripRouter(config-rip)#network ac 米兰官网Router(config-rip)#timers basic 30 90 120Router(config-rip)#exit! ! ! 特権ユーザモードに戻ります。 ! Router(config)#end! ! ! ac 米兰官网保存します。 ! Router#save SIDE-A.cfg% saving working-config % finished saving Router# ! ! ! ac 米兰官网有効にするために再起動します。 ! Router#resetAre you OK to cold start?(y/n)y
コマンドac 米兰官网の例
（!の行はコメントです。実際に入力する必要はありません。）
このac 米兰官网利用したい方は
拠点側 F100 のac 米兰官网
! ! ! 特権ユーザモードに移行します。 ! RouterenableEnter password:super←パスワードを入力します（実際は何も表示されません）。 Router# ! ! ! 基本ac 米兰官网モードに移行します。 ! Router#configure terminalRouter(config)# ! ! ! LAN 1 インタフェースのac 米兰官网行います。 ! Router(config)#interface ac 米兰官网Router(config-if ac 米兰官网)#ac 米兰官网92.168.2.254 255.255.255.0Router(config-if ac 米兰官网)#exit! ! ! PPPoE 1 の各種ac 米兰官网します。 ! Router(config)#ac 米兰官网Router(ac 米兰官网)#ac 米兰官网 C-ProviderRouter(ac 米兰官网)#pppoe account user-C@xxxx.ne.jp secret-CRouter(ac 米兰官网)#pppoe type hostRouter(ac 米兰官网)#ac 米兰官网Router(ac 米兰官网)#exit! ! ! PPPoE 5 の各種ac 米兰官网します。 ! Router(config)#ac 米兰官网 5Router(ac 米兰官网 5)#ac 米兰官网 D-ProviderRouter(ac 米兰官网 5)#pppoe account user-D@xxxx.ne.jp secret-DRouter(ac 米兰官网 5)#pppoe type hostRouter(ac 米兰官网 5)#ac 米兰官网 backupRouter(ac 米兰官网 5)#exit! ! ! デフォルトルートを PPPoE 1 に向けます。 ! Router(config)#ip route 0.0.0.0 0.0.0.0 pppoe 1 *4! ! ! メイン側の IPsec の各種ac 米兰官网します。 ! Router(config)#vpn enableRouter(config)#vpnlog enable! Router(config)#ac 米兰官网Router(config-isakmp)#authentication prekeyRouter(config-isakmp)#encryption aes 128Router(config-isakmp)#group 2Router(config-isakmp)#hash shaRouter(config-isakmp)#keepalive icmp *5Router(config-isakmp)#keepalive-icmp peer-address 192.168.1.251Router(config-isakmp)#keepalive-icmp source-interface ac 米兰官网Router(config-isakmp)#keepalive-icmp redundancy ac 米兰官网 *6Router(config-isakmp)#key ascii VPNRouter(config-isakmp)#my-identity ktn-mainRouter(config-isakmp)#negotiation-mode aggressiveRouter(config-isakmp)#peer-identity address 200.200.200.200Router(config-isakmp)#exit! Router(config)#ipsec transform-set P2-POLICY esp-aes-128 esp-sha-hmac! Router(config)#ac 米兰官网 192.168.2.0 0.0.0.255 anyRouter(config)#ac 米兰官网! Router(config)#ac 米兰官网 1 *7Router(config-crypto-map)#match address 1 1stRouter(config-crypto-map)#ac 米兰官网 200.200.200.200Router(config-crypto-map)#set transform-set P2-POLICYRouter(config-crypto-map)#exit! ! ! バックアップ側の IPsec の各種ac 米兰官网します。 ! Router(config)#ac 米兰官网 2Router(config-isakmp)#authentication prekeyRouter(config-isakmp)#encryption aes 128Router(config-isakmp)#group 2Router(config-isakmp)#hash shaRouter(config-isakmp)#ac 米兰官网Router(config-isakmp)#keepalive-icmp peer-address 192.168.1.252Router(config-isakmp)#keepalive-icmp source-interface ac 米兰官网Router(config-isakmp)#key ascii VPNRouter(config-isakmp)#my-identity ktn-bkupRouter(config-isakmp)#negotiation-mode aggressiveRouter(config-isakmp)#peer-identity address 100.100.100.100Router(config-isakmp)#exit! Router(config)#ac 米兰官网 backup 2 *8Router(config-crypto-map)#match address 1 2ndRouter(config-crypto-map)#ac 米兰官网 100.100.100.100Router(config-crypto-map)#set security-association always-upRouter(config-crypto-map)#set transform-set P2-POLICYRouter(config-crypto-map)#set redundancy delete-message-sendRouter(config-crypto-map)#exit! ! ! 特権ユーザモードに戻ります。 ! Router(config)#end! ! ! ac 米兰官网保存します。 ! Router#save SIDE-A.cfg% saving working-config % finished saving Router# ! ! ! ac 米兰官网有効にするために再起動します。 ! Router#resetAre you OK to cold start?(y/n)y
| *4： | メイン側で通信する場合の、センターのメイン側 peer へのルートと、IPsec 通信対象ネットワークへのルートが包含されることになります。 バックアップ時には、PPPoE5 側に向けたセンターのバックアップ側 peer へのルートと、IPsec 通信対象ネットワークへのルートが自動的に登録されます（バックアップ側のルートをスタティックでac 米兰官网してはいけません）。 |
| *5： | メイン側に関しては always-send オプションを付けなくても、always-send 相当の動きになります（always-send オプションを付けても問題ありません）。 |
| *6： | メイン側が pppoe 1 ではなく、ewan 1 でアドレスをマニュアルac 米兰官网している場合には、次のように nexthop のインターフェースとアドレスの両方の指定が必要となります。
|
| *7： | メイン側に関しては set security-association always-up のac 米兰官网がなくても icmp keepalive が契機となって常に SA を確立しに行きます（set security-association always-up のac 米兰官网があっても問題ありません）。 |
| *8： | バックアップ側が pppoe 5 ではなく、ewan 2 でアドレスをマニュアルac 米兰官网している場合は、バックアップ側の crypto map に次のac 米兰官网も必要になります。
|
All Rights Reserved, Copyright(C) FURUKAWA ELECTRIC CO., LTD. 2007