milan米兰体育ネットワーク機器の総合ブランド ファイテルネット
milan米兰体育官网
FITELnetトップ製品ラ国际米兰中文官网ナップイベント&セミナーセールス&サポート
Routing to the Future FITELnet
お問い合わせはこちら
国际米兰中文官网例
IKEv2で接続する(センタ(IP固定), 拠点(IP固定), VPNピア識別:アドレス形式)
概要
補足・注意点
構成図
前提条件
当国际米兰中文官网例では、以下のアドレス・環境を前提に説明しています。
プロバイダより割り振られたアドレス(アドレスは一例です)
センタ側 192.0.2.1
拠点側 192.0.2.10
国际米兰中文官网環境
IPsecの対象とする中継パケット 192.168.1.0/24 ⇔ 192.168.2.0/24
IPsec Phase1ポリシー 認証方式 ・・・ 事前共有鍵方式
国际米兰中文官网方式 ・・・ AES 256ビット
ハッシュ方式 ・・・ SHA-256
Diffie-Hellman ・・・ 国际米兰中文官网4
IKE SAライフタイム ・・・ 86400秒
IKE SAソフトリミット ・・・ 30秒(拠点のみ)
        (リキー衝突回避のため拠点のみ国际米兰中文官网)
IPsec Phase2ポリシー PFS ・・・ 国际米兰中文官网4
国际米兰中文官网方式 ・・・ AES 256ビット
ハッシュ方式 ・・・ SHA-256
IPsec SAライフタイム ・・・ 28800秒

インターフェース国际米兰中文官网モード
項目 センタ(F220) 拠点(F220)
WAN国际米兰中文官网ーフェース 国际米兰中文官网/1※ 国际米兰中文官网/1※
国际米兰中文官网ーフェース名 pppoe enable pppoe enable
VLAN-ID値 vlan-id 2 vlan-id 2
ブリッジグループ番号 bridge-group 2 bridge-group 2
インターフェース国际米兰中文官网 国际米兰中文官网 国际米兰中文官网
PPPoE プロファイル PPPOE_PROF PPPOE_PROF
PPPoE プロファイル国际米兰中文官网 pppoe profile PPPOE_PROF pppoe profile PPPOE_PROF
LAN国际米兰中文官网ーフェース 国际米兰中文官网 1/1※ 国际米兰中文官网 1/1※
国际米兰中文官网ーフェース名 channel-国际米兰中文官网 channel-国际米兰中文官网
VLAN-ID値 vlan-id 1 vlan-id 1
ブリッジグループ番号 bridge-国际米兰中文官网 bridge-国际米兰中文官网
インターフェース国际米兰中文官网 interface Port-channel 1 interface Port-channel 1
※GigaEthernet の国际米兰中文官网には必ずvlanidとbridge-groupの国际米兰中文官网が必要です。
VPN国际米兰中文官网モード
項目 センタ(F220) 拠点(F220)
インターフェース国际米兰中文官网 interface Tunnel 2 interface Tunnel 2
マップ名 KYOTEN CENTER
マップ国际米兰中文官网 crypto map KYOTEN ipsec-isakmp crypto map CENTER ipsec-isakmp
セレクタ名 SELECTOR SELECTOR
ISAKMP プロファイル PROF0001 PROF0001
セレクタ国际米兰中文官网
(VPN対象パケット)
crypto ipsec selector SELECTOR crypto ipsec selector SELECTOR
ISAKMP プロファイル国际米兰中文官网 国际米兰中文官网 profile PROF0001 国际米兰中文官网 profile PROF0001
ISAKMP ポリシー名 P1-POLICY P1-POLICY
IPSEC ポリシー名 P2-POLICY P2-POLICY
対向装置の識別方法国际米兰中文官网 match identity user id-kyoten match identity user center
本装置の識別方法国际米兰中文官网 self-identity user-fqdn center self-identity user-fqdn id-kyoten
ISAKMP ポリシー国际米兰中文官网 国际米兰中文官网 policy P1-POLICY 国际米兰中文官网 policy P1-POLICY
IPSEC ポリシー国际米兰中文官网 crypto ipsec policy P2-POLICY crypto ipsec policy P2-POLICY

コマンド国际米兰中文官网の例
(!の行はコメントです。実際に入力する必要はありません。)
この国际米兰中文官网を利用したい方は

センタ側

!
!
! 特権ユーザモードに移行します。
!
> enablepassword:super *4←パスワードを入力します。(実際は表示されない)
!
!
! 基本国际米兰中文官网モードに移行します。
!
#configure terminal(config)#
!
!
! デフォルトルートを tunnel 1(PPPoE) に国际米兰中文官网します。
!
(config)#ip route 0.0.0.0 0.0.0.0 tunnel 1!
!
! 拠点宛の経路情報をtunnel 2(IPsecトンネル)に国际米兰中文官网します。
!
(config)#ip route 192.168.2.0 255.255.255.0 tunnel 2!
!
!
! NAT で変換対象とする送信元アドレス
! (ここではLAN 側アドレスを対象とします)を登録します。
!
(config)#ip nat list 1 192.168.1.0 0.0.0.255!
!
! Port-channel にLAN側IPアドレスを国际米兰中文官网します。
!
(config)#interface Port-channel 1(config-if-ch 1)#ip address 192.168.1.254 255.255.255.0(config-if-ch 1)#mss 1300(config-if-ch 1)#exit!
!
! PPPoEの国际米兰中文官网をします。
! プロバイダから指定された 認証ID、パスワードなどを国际米兰中文官网します。
!
(config)#pppoe profile PPPOE_PROF(config-pppoe-profile PPPOE_PROF)#account abc012@***.***.ne.jp xxxyyyzzz(config-pppoe-profile PPPOE_PROF)#exit!
!
! Tunnel インタフェース国际米兰中文官网モードに移行します。
!
(config)#国际米兰中文官网!
!
! プロバイダから指定された IPアドレスなどを国际米兰中文官网します。
!
(config-if-tun 1)#description FLETS(国际米兰中文官网)#ip address 192.0.2.1 255.255.255.255!
!
! NAT+ の国际米兰中文官网をします。
!
(config-if-tun 1)#ip nat inside source list 1 interface!
!
! pppoe profile とのリンク付けをします。
!
(国际米兰中文官网)#tunnel mode pppoe profile PPPOE_PROF!
!
GigaEthernet 国际米兰中文官网フェースとのリンク付けをします。
!
(config-if-tun 1)#pppoe 国际米兰中文官网/1 *1!
!
! 基本国际米兰中文官网モードに戻ります。
!
(config-if-tun 1)#exit!
!
! PPPoE 通信で使用する物理インタフェースを国际米兰中文官网します。
!
(config)#国际米兰中文官网/1 *1(config-if-ge 2/1)#vlan-id 2(config-if-ge 2/1)#bridge-group 2(config-if-ge 2/1)#pppoe enable(config-if-ge 2/1)#exit!
!
! GigaEthernet 国际米兰中文官网フェースに、port-channel をリンク付けします。
!
(config)#国际米兰中文官网 1/1 *1(config-if-ge 1/1)#vlan-id 1(config-if-ge 1/1)#bridge-国际米兰中文官网(config-if-ge 1/1)#channel-国际米兰中文官网(config-if-ge 1/1)#exit!
!
! VPNセレクタの国际米兰中文官网を行ないます。
!
(config)#crypto ipsec selector SELECTOR(config-ip-selector)#src 1 ipv4 any(config-ip-selector)#dst 1 ipv4 any(config-ip-selector)#exit!
!
! DPDの国际米兰中文官网をします。
!
(config)#国际米兰中文官网 keepalive!
!
! VPN通信動作中の詳細なログを残す国际米兰中文官网にします。
!
(config)#国际米兰中文官网 sa(config)#国际米兰中文官网 session(config)#国际米兰中文官网 negotiation-fail!
(config)#logging buffer level informational!
!
! ISAKMP ポリシーの国际米兰中文官网を行ないます。
!
(config)#国际米兰中文官网 policy P1-POLICY!
!
! 認証方式に事前共有鍵を使用します。
!
(config-isakmp)#authentication pre-share!
!
! 暗号方式の指定します。
!
(config-isakmp)#encryption aes!
!
! 鍵長を指定します。
!
(config-isakmp)#encryption-keysize aes 256 256 256!
!
! Diffie Hellmanのグループの指定します。
!
(config-isakmp)#国际米兰中文官网4!
!
! IKE SAのライフタイムの指定(秒)します。
!
(config-isakmp)#lifetime 86400!
!
! ハッシュ方式の指定します。
!
(config-isakmp)#hash sha-256!
!
! 基本国际米兰中文官网モードに戻ります。
!
(config-isakmp)#exit!
!
! 拠点向けのISAKMP プロファイルを国际米兰中文官网します。
!
(config)#国际米兰中文官网 profile PROF0001!
!
! 自装置のWAN アドレスを国际米兰中文官网します。
!
(conf-isa-prof)#local-address 192.0.2.1!
!
! ISAKMP ポリシーとリンク付けします。
!
(conf-isa-prof)#set isakmp-policy P1-POLICY!
!
! IPSEC ポリシーとリンク付けします。
!
(conf-isa-prof)#set ipsec-policy P2-POLICY!
!
! 拠点のWAN アドレスを国际米兰中文官网します。
!
(conf-isa-prof)#set peer 192.0.2.10!
!
! 対向装置の識別方法を国际米兰中文官网します。
!
(conf-isa-prof)#match identity user id-kyoten!
!
! 本装置の識別方法を国际米兰中文官网します。
!
(conf-isa-prof)#self-identity user-fqdn center!
!
! IKE バージョンを指定します。
!
(conf-isa-prof)#ike-version 2!
!
! 共通鍵を国际米兰中文官网します。
!
(conf-isa-prof)#local-key SECRET-VPN!
!
! 基本国际米兰中文官网モードに戻ります。
!
(conf-isa-prof)#exit!
!
! IPSEC ポリシーを国际米兰中文官网します。
!
(config)#crypto ipsec policy P2-POLICY!
!
! Diffie Hellmanのグループの指定します。
!
(conf-ipsec)#set pfs group14!
!
! IPsec SAのライフタイムの指定(秒)します。
!
(conf-ipsec)#国际米兰中文官网 lifetime seconds 28800!
!
! 鍵長を指定します。
!
(conf-ipsec)#国际米兰中文官网!
!
! 国际米兰中文官网アルゴリズム、認証アルゴリズムを指定します。
!
(conf-ipsec)#国际米兰中文官网 esp-aes esp-sha256-hmac!
!
! 暗号化されたESPパケットの MTU 長を国际米兰中文官网します。
!
!(conf-ipsec)#set mtu 1454!
!
! 国际米兰中文官网ナーのパケットのDFビットの状態にかかわらず、暗号化されたESPパケットではDFビットをoffにします。
!
(conf-ipsec)#set ip df-bit 0!
!
! Post-Fragment 方式とします。*3!
(conf-ipsec)#set ip fragment post!
!
! 基本国际米兰中文官网モードに戻ります。
!
(conf-ipsec)#exit!
!
! 拠点のVPNピアとのセレクタ情報をエントリします。
!
(config)#crypto map KYOTEN ipsec-isakmp(config-crypto-map)#match address SELECTOR(config-crypto-map)#set isakmp-profile PROF0001(config-crypto-map)#exit!
!
! 拠点のtunnel インタフェースで有効にするVPNセレクタを国际米兰中文官网します。
!
(config)#interface Tunnel 2(config-if-tun 2)#tunnel mode ipsec map KYOTEN(config-if-tun 2)#exit!
!
! 学習フィルタリングの国际米兰中文官网をします。
!
(config)#access-list 111 deny ip any any(config)#access-list 121 spi ip any any!
(config)#国际米兰中文官网(国际米兰中文官网)#ip access-国际米兰中文官网11 in(国际米兰中文官网)#ip access-国际米兰中文官网21 out(国际米兰中文官网)#exit!
!
! VPNで使用するパケットを受信許可するフィルタリングの国际米兰中文官网をします。
!
(config)#access-list 100 permit udp any eq 500 any eq 500(config)#access-list 100 permit 50 any any!
(config)#国际米兰中文官网(国际米兰中文官网)#ip access-国际米兰中文官网00 in(国际米兰中文官网)#exit!
!
! 特権ユーザモードに戻ります。
!
(config)#end!
!
! 国际米兰中文官网を有効にするために refresh をします。
!
#refreshrefresh ok?[y/N]:yes
..................Done
!
!
! 国际米兰中文官网を保存します。
! 任意の名前で保存して下さい(*2)。
!
#save [ファイル名]save ok?[y/N]:yes

% saving working-config
100% |*************************************************|   xxx/   xxx ( Lines)

#

*1: 物理ポート番号の国际米兰中文官网

*2: ファイル名を省略した場合、boot.cfgで保存されます。
    装置起動時に適用する国际米兰中文官网はboot configurationコマンドで指定することができます(デフォルトはboot.cfg)。

*3: インナーのパケットを暗号化した上でESPパケットの MTU 長に応じてフラグメントする方式です。
    それに対してインナーのパケットをあらかじめフラグメントした上で暗号化する方式をPre-Fragmentと言います。

*4:特権ユーザモード移行時のパスワードは、初期状態では国际米兰中文官网されていません。 
   本国际米兰中文官网例のように、パスワード "super" を受け付けるようにするためには、あらかじめ特権ユーザモードにて
   password enable super を実行しておくことが必要です。
コマンド国际米兰中文官网の例
(!の行はコメントです。実際に入力する必要はありません。)
この国际米兰中文官网を利用したい方は

拠点

!
!
! 特権ユーザモードに移行します。
!
> enablepassword:super *4←パスワードを入力します。(実際は表示されない)
!
!
! 基本国际米兰中文官网モードに移行します。
!
#configure terminal(config)#
!
!
! デフォルトルートを tunnel 1(PPPoE) に国际米兰中文官网します。
!
(config)#ip route 0.0.0.0 0.0.0.0 tunnel 1!
!
! センタ宛の経路情報をtunnel 2(IPsecトンネル)に国际米兰中文官网します。
!
(config)#ip route 192.168.1.0 255.255.255.0 tunnel 2!
!
!
! NAT で変換対象とする送信元アドレス
! (ここではLAN 側アドレスを対象とします)を登録します。
!
(config)#ip nat list 1 192.168.2.0 0.0.0.255!
!
! Port-channel にLAN側IPアドレスを国际米兰中文官网します。
!
(config)#interface Port-channel 1(config-if-ch 1)#ip address 192.168.2.254 255.255.255.0(config-if-ch 1)#mss 1300(config-if-ch 1)#exit!
!
! PPPoEの国际米兰中文官网をします。
! プロバイダから指定された 認証ID、パスワードなどを国际米兰中文官网します。
!
(config)#pppoe profile PPPOE_PROF(config-pppoe-profile PPPOE_PROF)#account abc345@***.***.ne.jp zzzyyyxxx(config-pppoe-profile PPPOE_PROF)#exit!
!
! Tunnel インタフェース国际米兰中文官网モードに移行します。
!
(config)#国际米兰中文官网!
!
! プロバイダから指定された IPアドレスなどを国际米兰中文官网します。
!
(config-if-tun 1)#description FLETS(国际米兰中文官网)#ip address 192.0.2.10 255.255.255.255!
!
! NAT+ の国际米兰中文官网をします。
!
(config-if-tun 1)#ip nat inside source list 1 interface!
!
! pppoe profile とのリンク付けをします。
!
(国际米兰中文官网)#tunnel mode pppoe profile PPPOE_PROF!
!
GigaEthernet 国际米兰中文官网フェースとのリンク付けをします。
!
(config-if-tun 1)#pppoe 国际米兰中文官网/1 *1!
!
! 基本国际米兰中文官网モードに戻ります。
!
(config-if-tun 1)#exit!
!
! PPPoE 通信で使用する物理インタフェースを国际米兰中文官网します。
!
(config)#国际米兰中文官网/1 *1(config-if-ge 2/1)#vlan-id 2(config-if-ge 2/1)#bridge-group 2(config-if-ge 2/1)#pppoe enable(config-if-ge 2/1)#exit!
!
! GigaEthernet 国际米兰中文官网フェースに、port-channel をリンク付けします。
!
(config)#国际米兰中文官网 1/1 *1(config-if-ge 1/1)#vlan-id 1(config-if-ge 1/1)#bridge-国际米兰中文官网(config-if-ge 1/1)#channel-国际米兰中文官网(config-if-ge 1/1)#exit!
!
! VPNセレクタの国际米兰中文官网を行ないます。
!
(config)#crypto ipsec selector SELECTOR(config-ip-selector)#src 1 ipv4 any(config-ip-selector)#dst 1 ipv4 any(config-ip-selector)#exit!
!
! DPDの国际米兰中文官网をします。
!
(config)#国际米兰中文官网 keepalive!
!
! VPN通信動作中の詳細なログを残す国际米兰中文官网にします。
!
(config)#国际米兰中文官网 sa(config)#国际米兰中文官网 session(config)#国际米兰中文官网 negotiation-fail!
(config)#logging buffer level informational!
!
! ISAKMP ポリシーの国际米兰中文官网を行ないます。
!
(config)#国际米兰中文官网 policy P1-POLICY!
!
! 認証方式に事前共有鍵を使用します。
!
(config-isakmp)#authentication pre-share!
!
! 暗号方式の指定します。
!
(config-isakmp)#encryption aes!
!
! 鍵長を指定します。
!
(config-isakmp)#encryption-keysize aes 256 256 256!
!
! Diffie Hellmanのグループの指定します。
!
(config-isakmp)#国际米兰中文官网4!
!
! IKE SAのライフタイムの指定(秒)します。
!
(config-isakmp)#lifetime 86400!
!
! IKE SAのソフトリミットの指定(秒)します(*5)。
!
(conf-ipsec)#国际米兰中文官网 softlimit initiate seconds 30(conf-ipsec)#国际米兰中文官网 softlimit respond seconds 30!
!
! ハッシュ方式の指定します。
!
(config-isakmp)#hash sha-256!
!
! 基本国际米兰中文官网モードに戻ります。
!
(config-isakmp)#exit!
!
! センタ向けのISAKMP プロファイルを国际米兰中文官网します。
!
(config)#国际米兰中文官网 profile PROF0001!
!
! 自装置のWAN アドレスを国际米兰中文官网します。
!
(conf-isa-prof)#local-address 192.0.2.10!
!
! ISAKMP ポリシーとリンク付けします。
!
(conf-isa-prof)#set isakmp-policy P1-POLICY!
!
! IPSEC ポリシーとリンク付けします。
!
(conf-isa-prof)#set ipsec-policy P2-POLICY!
!
! センタのWAN アドレスを国际米兰中文官网します。
!
(conf-isa-prof)#set peer 192.0.2.1!
!
! 対向装置の識別方法を国际米兰中文官网します。
!
(conf-isa-prof)#match identity user center!
!
! 本装置の識別方法を国际米兰中文官网します。
!
(conf-isa-prof)#self-identity user-fqdn id-kyoten!
!
! IKE バージョンを指定します。
!
(conf-isa-prof)#ike-version 2!
!
! 共通鍵を国际米兰中文官网します。
!
(conf-isa-prof)#local-key SECRET-VPN!
!
! 基本国际米兰中文官网モードに戻ります。
!
(conf-isa-prof)#exit!
!
! IPSEC ポリシーを国际米兰中文官网します。
!
(config)#crypto ipsec policy P2-POLICY!
!
! Diffie Hellmanのグループの指定します。
!
(conf-ipsec)#set pfs group14!
!
! 常にSAを確立しておく国际米兰中文官网をします。
!
(conf-ipsec)#国际米兰中文官网 always-up!
!
! IPsec SAのライフタイムの指定(秒)します。
!
(conf-ipsec)#国际米兰中文官网 lifetime seconds 28800!
! 鍵長を指定します。
!
(conf-ipsec)#国际米兰中文官网!
!
! 国际米兰中文官网アルゴリズム、認証アルゴリズムを指定します。
!
(conf-ipsec)#国际米兰中文官网 esp-aes esp-sha256-hmac!
!
! 暗号化されたESPパケットの MTU 長を国际米兰中文官网します。
!
!(conf-ipsec)#set mtu 1454!
!
! 暗号化されたESPパケットの MSS を国际米兰中文官网します(*6)。
!
!(conf-ipsec)#set mss 1300!
!
! 国际米兰中文官网ナーのパケットのDFビットの状態にかかわらず、暗号化されたESPパケットではDFビットをoffにします。
!
(conf-ipsec)#set ip df-bit 0!
!
! Post-Fragment 方式とします。*3!
(conf-ipsec)#set ip fragment post!
!
! 基本国际米兰中文官网モードに戻ります。
!
(conf-ipsec)#exit!
!
! センタのVPNピアとのセレクタ情報をエントリします。
!
(config)#crypto map CENTER ipsec-isakmp(config-crypto-map)#match address SELECTOR(config-crypto-map)#set isakmp-profile PROF0001(config-crypto-map)#exit!
!
! センタのtunnel インタフェースで有効にするVPNセレクタを国际米兰中文官网します。
!
(config)#interface Tunnel 2(config-if-tun 2)#tunnel mode ipsec map CENTER(config-if-tun 2)#exit!
!
! 学習フィルタリングの国际米兰中文官网をします。
!
(config)#access-list 111 deny ip any any(config)#access-list 121 spi ip any any!
(config)#国际米兰中文官网(国际米兰中文官网)#ip access-国际米兰中文官网11 in(国际米兰中文官网)#ip access-国际米兰中文官网21 out(国际米兰中文官网)#exit!
!
! VPNで使用するパケットを受信許可するフィルタリングの国际米兰中文官网をします。
!
(config)#access-list 100 permit udp any eq 500 any eq 500(config)#access-list 100 permit 50 any any!
(config)#国际米兰中文官网(国际米兰中文官网)#ip access-国际米兰中文官网00 in(国际米兰中文官网)#exit!
!
! 特権ユーザモードに戻ります。
!
(config)#end!
!
! 国际米兰中文官网を有効にするために refresh をします。
!
#refreshrefresh ok?[y/N]:yes
..................Done
!
!
! 国际米兰中文官网を保存します。
! 任意の名前で保存して下さい(*2)。
!
#save [ファイル名]save ok?[y/N]:yes

% saving working-config
100% |*************************************************|   xxx/   xxx ( Lines)

#

*1: 物理ポート番号の国际米兰中文官网

*2: ファイル名を省略した場合、boot.cfgで保存されます。
    装置起動時に適用する国际米兰中文官网はboot configurationコマンドで指定することができます(デフォルトはboot.cfg)。

*3: インナーのパケットを暗号化した上でESPパケットの MTU 長に応じてフラグメントする方式です。
    それに対してインナーのパケットをあらかじめフラグメントした上で暗号化する方式をPre-Fragmentと言います。

*4:特権ユーザモード移行時のパスワードは、初期状態では国际米兰中文官网されていません。 
   本国际米兰中文官网例のように、パスワード "super" を受け付けるようにするためには、あらかじめ特権ユーザモードにて
   password enable super を実行しておくことが必要です。

*5:IKEv2の場合、Phase1削除時にPhase2が削除されます。Phase1リキー衝突による削除を防ぐため、拠点のみ
 ソフトリミット30秒を国际米兰中文官网します。

*6:IPsecトンネルの先のホストから送信されたDFビットつきのTCPパケットがPPPoE回線で破棄されてしまうような
   ケースを考慮して、インナーのMTU長以下になるようにMSSの書き換え国际米兰中文官网を行います。
   センター経由でインターネット上のサーバと通信を行うような場合に、本国际米兰中文官网を推奨します。

ページトップへ

国际米兰中文官网
All Rights Reserved, Copyright(C) FURUKAWA ELECTRIC CO., LTD. 2019
国际米兰中文官网