古河電工ネットワーク機器の総合ブランド ファイテルネット
古河電工
FITELnetトップ製品ラインナップイベント&セミナーセールス&サポート
Routing to the Future FITELnet
お問い合わせはこちら
 
設定例
5.メイン IPsec 、バックアップ ISDN 平文で冗長する
概要
補足・注意点
動作説明
  • イベントアクション機能を使って、通常時はブロードバンドの IPsec で通信を行い、メイン回線に障害が発生したときには ISDN の平文でバックアップする構成です。
  • イベントアクション機能はバージョン 2 系のファームウェアでのサポートとなります。
  • 拠点側ではイベントアクション機能を利用して、メインのトンネル経由で対向のルータを監視し、監視に失敗したらバックアップの ISDN に向けたルートを追加することで、経路の切り替えを行います。そして、監視に成功するようになったら、ISDN に向けたルートを削除することで、経路を切り戻します。
  • 一方、センター側では Phase 2 SA の有無に応じて登録/削除される sa-up ルート機能を利用して経路の切り替え、切り戻しを行います。
  • バックアップの ISDN 回線はパケット契機で発呼して接続します。そして通信が無くなると、無通信監視タイマーにより切断されます。また、経路が切り戻ったときも、回線切断は経路の削除とは連動せず、無通信監視により切断されます。無通信監視タイマーは発信時(calling idle-timeout)と着信時(called idle-timeout)のそれぞれで設定することができますが、デフォルトではどちらも 60 秒となっています。
  • F100 の BRI で ISDN 回線を使う場合、MP 接続はできますが、2ヶ所同時接続はできません。接続相手は 20ヶ所まで登録できますが、同時に通信できるのは 1ヶ所だけとなります。
コマンド設定の例
(!の行はコメントです。実際に入力する必要はありません。)
この設定を利用したい方は
拠点のF100
!
!
! 特権ユーザモードに移行します。
!
Router> enable
Enter password: super ←パスワードを入力します。(実際は表示されない)

Router#
!
!
! 基本設定モードに移行します。
!
Router# configure terminal
Router(config)#
!
!
! LAN 側 IP アドレスを設定します。
!
Router(config)# interface lan 1
Router(config-if lan 1)# ip address 192.168.2.254 255.255.255.0
Router(config-if lan 1)# exit
!
!
! PPPoE の各種設定をします。
!
Router(config)# interface pppoe 1
Router(config-if pppoe 1)# pppoe server FLETS
Router(config-if pppoe 1)# pppoe account abc123@furukawa.co.jp pass456
Router(config-if pppoe 1)# exit
!
! 
! BRI インタフェースの設定をします。*1
!
Router(config)# interface bri 1
Router(config-if bri 1)# exit
!
!
! Dialer インターフェースの各種設定をします。
!
Router(config)# interface dialer 1
Router(config-if dialer 1)# dialer map ip broadcast name center 0366661111
!                           相手をPPPで認証する場合、nameには相手のIDを設定します。
Router(config-if dialer 1)# dialer interface bri 1
Router(config-if dialer 1)# ip address 192.168.100.2 255.255.255.0
Router(config-if dialer 1)# ppp authentication chap
Router(config-if dialer 1)# exit
!
!
! ダイヤルアップ接続で相手を認証する場合のIDとパスワードを設定します。
!
Router(config)# username center password pass-center
!               このIDをdialer mapのnameとして設定する必要があります。
!
!
! ダイヤルアップ接続で自身が認証される場合のIDとパスワードを設定します。
!
Router(config)# ppp hostname kyoten password pass-kyoten
!
!
! VPN 機能を有効にします。
!
Router(config)# vpn enable ewan 1
!
!
! VPN 通信の詳細なログを残すようにします。
!
Router(config)# vpnlog enable
!
!
! Phase 1 ポリシーの設定を行ないます。
!
Router(config)# crypto isakmp policy 1
Router(config-isakmp)# authentication prekey
Router(config-isakmp)# encryption aes 128
Router(config-isakmp)# group 2
Router(config-isakmp)# hash sha
Router(config-isakmp)# keepalive always-send
Router(config-isakmp)# key ascii secret-vpn
Router(config-isakmp)# my-identity kyoten
Router(config-isakmp)# negotiation-mode aggressive
Router(config-isakmp)# peer-identity address 200.200.200.1
Router(config-isakmp)# exit
!
!
! Phase 2 ポリシーの設定を行ないます。
!
Router(config)# ipsec transform-set P2-POLICY esp-aes-128 esp-sha-hmac
!
!
! VPN セレクタの設定を行ないます。
!
Router(config)# ipsec access-list 10 ipsec ip 192.168.2.0 0.0.0.255 any
!
Router(config)# crypto map centert 1
Router(config-crypto-map)# match address 10
Router(config-crypto-map)# set peer address 200.200.200.1
Router(config-crypto-map)# set security-association always-up
Router(config-crypto-map)# set transform-set P2-POLICY
Router(config-crypto-map)# exit
!
!
! IPsec インターフェースの設定をします。
!
Router(config)# interface ipsecif 1
Router(config-if ipsecif 1)# crypto map center
Router(config-if ipsecif 1)# exit
!
!
! センターのピアに対するルートを設定します。
!
Router(config)# ip route 200.200.200.1 255.255.255.255 pppoe 1
!
!
! センターのネットワークに対するメインのルートを設定します。
!
Router(config)# ip route 192.168.1.0 255.255.255.0 connected ipsecif 1 50
!               メイン経路に障害が発生した場合に、イベントアクションで追加されるルートを
!               優先したいので、こちらの優先度を下げておきます。
!
!
! 経路監視の設定をします。 *2
! nexthop を指定することで、装置のルート情報に左右されることなく、常にトンネル経由で
! センターの LAN 側を監視するようにします。
! icmp-class の status としては、監視が成功している間は true で、失敗すると false となります。
!
Router(config)# icmp-class 1 *3
Router(config-icmp-class 1)# address 192.168.1.254 nexthop connected ipsecif 1 source-interface lan 1 *4
Router(config-icmp-class 1)# exit
!
!
! イベントクラスの設定をします。
! ここではアクションの契機となるイベントを設定します。
! イベントの staus が true になると、アクションが実行されます。
! 今回の場合、経路監視が失敗したら、アクションとして経路を追加したいので、invert オプションを付けて
! icmp-class の status を反転させます。
!
Router(config)# event-class 1 *3
Router(config-event-class 1)# check ip-icmp 1 invert
Router(config-event-class 1)# exit
!
!
! イベントアクションの設定をします。
! アクションとしてバックアップ側の経路を追加するようにします。
!
Router(config)# event-action 1 *3
Router(config-event-action 1)# add ip route 192.168.1.0 255.255.255.0 dialer 1
Router(config-event-action 1)# exit
!
!
! イベントマップの設定をします。
! ここでイベントクラスとイベントアクションの結び付けを行います。
!
Router(config)# event-map
Router(config-event-map)# event-class 1 event-action 1
Router(config-event-map)# exit
!
!
! 特権ユーザモードに戻ります。
!
Router(config)# end
!
!
! 設定を保存します。
!
Router# save SIDE-A.cfg
% saving working-config
% finished saving

Router#
!
!
! 設定を有効にするために再起動します。
!
Router# reset
Are you OK to cold start?(y/n) y
*1 : V01.19(01) 以降および Ver 2 系のファームウェアで ISDN 回線を利用する場合、アイドルタイマーなどの設定をしない場合でも、下記の設定が必須となります。
interface bri 1
exit
*2 : デフォルトでは 30 秒間隔で ping による監視を行い、1 回の監視で 2 パケットまで送信します。そして 1 パケットでも reply があれば、その回の監視は成功と判断されます。
icmp-class の status としては、2 回連続で監視に失敗すると、false となります。そして、3 回連続で監視に成功すると、true となります。これらの値は下記のコマンドにより変更可能です。
icmp-class 1
 interval 30 restoration 30
 probe 2
 trial 3 fail 2
*3 : 各設定モードにおいて下記の設定を入れておくと、それぞれの status に変化があった場合に、slog に記録されるようになります。
logging event state-change enable
*4 : source-interface 指定がない場合、送信元アドレスはパケットが実際に送信されるインターフェースのアドレスとなりますが、ここで nexthop として指定している ipsecif は unnumbered のインターフェースのため、アドレスを付けることができず、パケットを送信することができなくなります(監視が失敗となります)。
コマンド設定の例
(!の行はコメントです。実際に入力する必要はありません。)
この設定を利用したい方は
センターのF100
!
!
! 特権ユーザモードに移行します。
!
Router> enable
Enter password: super ←パスワードを入力します。(実際は表示されない)

Router#
!
!
! 基本設定モードに移行します。
!
Router# configure terminal
Router(config)#
!
!
! LAN 側 IP アドレスを設定します。
!
Router(config)# interface lan 1
Router(config-if lan 1)# ip address 192.168.1.254 255.255.255.0
Router(config-if lan 1)# exit
!
!
! PPPoE の各種設定をします。
!
Router(config)# interface pppoe 1
Router(config-if pppoe 1)# ip address 200.200.200.1
Router(config-if pppoe 1)# pppoe server FLETS
Router(config-if pppoe 1)# pppoe account abc456@furukawa.co.jp pass789
Router(config-if pppoe 1)# exit
!
! 
! BRI インタフェースの設定をします。
!
Router(config)# interface bri 1
Router(config-if bri 1)# exit
!
!
! Dialer インターフェースの各種設定をします。
!
Router(config)# interface dialer 1
Router(config-if dialer 1)# dialer map ip broadcast name kyoten 0366662222
Router(config-if dialer 1)# dialer interface bri 1
Router(config-if dialer 1)# ip address 192.168.100.1 255.255.255.0
Router(config-if dialer 1)# ppp authentication chap
Router(config-if dialer 1)# exit
!
!
! ダイヤルアップ接続で相手を認証する場合のIDとパスワードを設定します。
!
Router(config)# username kyoten password pass-kyoten
!
!
! ダイヤルアップ接続で自身が認証される場合のIDとパスワードを設定します。
!
Router(config)# ppp hostname center password pass-center
!
!
! VPN 機能を有効にします。
!
Router(config)# vpn enable ewan 1
!
!
! VPN 通信の詳細なログを残すようにします。
!
Router(config)# vpnlog enable
!
!
! Phase 1 ポリシーの設定を行ないます。
!
Router(config)# crypto isakmp policy 1
Router(config-isakmp)# authentication prekey
Router(config-isakmp)# encryption aes 128
Router(config-isakmp)# group 2
Router(config-isakmp)# hash sha
Router(config-isakmp)# keepalive always-send *5
!                      keepalive を行って、経路に障害が発生した場合には SA を消して
!                      sa-up route を削除してルートが切り替わるようにします。
Router(config-isakmp)# key ascii secret-vpn
Router(config-isakmp)# negotiation-mode aggressive
Router(config-isakmp)# peer-identity host kyoten
Router(config-isakmp)# tunnel-route interface pppoe 1 *6
!                      Phase 1 のネゴパケットの受信を契機に、nexthop を pppoe 1 として
!                      拠点の peer 宛のルートを登録します。
Router(config-isakmp)# exit
!
!
! Phase 2 ポリシーの設定を行ないます。
!
Router(config)# ipsec transform-set P2-POLICY esp-aes-128 esp-sha-hmac
!
!
! VPN セレクタの設定を行ないます。
!
Router(config)# ipsec access-list 10 ipsec ip any 192.168.2.0 0.0.0.255 *7
!
Router(config)# crypto map kyoten 1
Router(config-crypto-map)# match address 10
Router(config-crypto-map)# set peer host kyoten
Router(config-crypto-map)# set transform-set P2-POLICY
Router(config-crypto-map)# sa-up route interface ipsecif 1 *8
!                          Phase2 SA の確立を契機に、nexthop を ipsecif 1 として
!                          ipsec access-list の宛先ネットワーク宛のルートを登録します。
Router(config-crypto-map)# exit
!
!
! IPsec インターフェースの設定をします。
!
Router(config)# interface ipsecif 1
Router(config-if ipsecif 1)# crypto map kyoten
Router(config-if ipsecif 1)# exit
!
!
! 拠点のネットワークに対するバックアップのルートを設定します。
!
Router(config)# ip route 192.168.2.0 255.255.255.0 dialer 1 *9
!
!
! 特権ユーザモードに戻ります。
!
Router(config)# end
!
!
! 設定を保存します。
!
Router# save SIDE-A.cfg
% saving working-config
% finished saving

Router#
!
!
! 設定を有効にするために再起動します。
!
Router# reset
Are you OK to cold start?(y/n) y
*5 : always-send とすることで、定期的に(デフォルトでは 60 秒間隔) keepalive を行うようになります。
*6 : pppoe 1 ではなく、ewan 1 でアドレスをマニュアル設定している場合は、次のように明示的に nexthop のアドレスを設定する必要があります。
tunnel-route address <nexthop のアドレス>
ewan 1 のアドレスを DHCP で取得している場合に限り、 tunnel-route interface ewan 1 のようにインターフェース指定することができます。
*7 : IPsec インターフェースを使ったルートベースの IPsec の場合、通常は宛先も any としておけば良いのですが、sa-up route を使って経路の制御を行っているので、ここでは宛先を拠点のネットワークとしています。拠点側の ipsec access-list もこれに合わせています。
*8 : nexthop に ipsecif を指定できるのは、V02.01(00) 以降のファームウェアとなります。
*9 : 特に明示的に distance 値は設定していませんが、デフォルトではスタティックルートの distance 値が 1 なのに対して、sa-up route の distance 値は 0 となっています。
従って、Phase 2 SA ができている間は sa-up route で登録されるメインのルートが優先されることになります。

ページトップへ

All Rights Reserved, Copyright(C) FURUKAWA ELECTRIC CO., LTD. 2007