ネットワーク機器トップ　>　製品ラインナップ　>　FITELnet-Fシリーズ　>　FITELnet-F100・1000　>　設定例 　>　IPsec負荷分散設定(3)
設定例



3．センタF1000(2台各1回線)・拠点F100(1台2回線)でIPsec負荷分散を行う

※センタ側2台のF1000をF100に置き換えても運用できます

・拠点側F100設定された比率で負荷分散を行います（2つのVPNはActive-Activeです）
　※比率は任意の整数値(0〜10)で設定できます。
　　(0と10が設定できるのは、F100はV01.10以降、F1000はV01.03以降のファームウェアとなります)
　　10：0とした場合は通常時0側にユーザデータは流れず、Active-Standbyになります。
　　(keepaliveのICMPパケットは流れます)

・一方のVPNが不通となった場合は、残りのVPNで全ての通信をまかないます
　また、VPNの復旧後は再び設定された比率で負荷分散を行います

・拠点側F100は単体で回線冗長を行い、PPPoE(IPアドレス不定)を2セッション使用します。
　なお、PPPoEの1〜4は物理ポートEWAN1、PPPoE5のみ物理ポートEWAN2を使用します。
　また、PPPoE1と4を使用した設定も可能です。(物理ポートEWAN1を共有)

・センタ側F1000は2台で機器冗長と回線冗長を行い、それぞれPPPoE(IPアドレス固定)を1セッション
　使用します。

・拠点側F100はVPN1経路、VPN2経路共に経路監視を行います。
　センタ側F1000はそれぞれの経路を監視します。(経路監視にはICMP(Ping)のKeepaliveを使用)

・VPN1経路、VPN2経路の切り替えは拠点側F100が自動的に行い、経路復旧後の切り戻しも拠点側F100
　が自動的に行います。
　※Keepaliveにより、経路障害時にそのSAを消去します。SA-upルート機能と合わせ、自身の
　　ルーティングテーブルを動的に書き換えます。

・IPsecはアグレッシブモードですが、拠点側から常にSAを確立しているので、センタ側契機の通信
　にも対応できます。

・センタ側2台のF1000はSAの確立を契機として到達可能となった経路情報をLAN側に広告(sa-upルート
　機能とRIP)します。
　センタ側の経路制御はL3SWがメトリック値をもとに判断します。

・センタ側で設定されるトンネルルート機能とは、IPsec-アグレッシブモードのレスポンダ側の場合
　でのみ使用可能です。これは対向装置のピアへのルートをIKEネゴを契機としてnexthopを登録する
　機能です。

・回線障害時の切り替えには平均で30秒ほどかかります。
　(Keepaliveの送信間隔が初期値で60秒に設定されているためです)
　(Keepaliveに関する設定は「alive」コマンドを参照)

＜プロバイダより割り振られたアドレス（アドレスは一例です）＞

センタ側F1000-1 PPPoE1 200.200.200.200
センタ側F1000-2 PPPoE1 100.100.100.100
拠点側F100 PPPoE1 指定なし
拠点側F100 PPPoE5 指定なし

＜設定条件＞

設定環境は図のとおり

IPsecの対象とする中継パケット any ⇔ 172.16.0.0/16
※センタ側L3SWの背後の別セグメントからもVPN可能
IPsec Phase1ポリシー モード ･･･ Aggressiveモード
認証方式 ･･･ 事前共有鍵方式
暗号化方式 ･･･ 3DES
ハッシュ方式 ･･･ MD5
IPsec Phase2ポリシー 暗号化方式 ･･･ 3DES
ハッシュ方式 ･･･ MD5
IPsec負荷分散の比率（PPPoE1：PPPoE5） 2：1　※1　（拠点側F100）
L3SWの設定 RIP(Ver.2)を受信
※F100、F1000のRIPはVer.2を使用(初期値)



＜コマンド操作＞

拠点側FITELnet-F100の設定　　　　　　　　　　　　　　　　　　　　 
Router> enable
Enter password: super ←パスワードを入力します。（実際は表示されない）
!
! LAN側IPアドレスを設定します。
!
Router(config)# interface lan 1
Router(config-if lan 1)# ip address 172.16.0.1 255.255.0.0
Router(config-if lan 1)# exit
!
!
! PPPoE1 の各種設定をします。
!
Router(config)# interface pppoe 1
Router(config-if pppoe 1)# pppoe server A-Provider
Router(config-if pppoe 1)# pppoe account A-user@xxxx.ne.jp A-secret
Router(config-if pppoe 1)# pppoe type host
Router(config-if pppoe 1)# crypto map MAP1
Router(config-if pppoe 1)# exit
!
!
! PPPoE5 の各種設定をします。
!
Router(config)# interface pppoe 5
Router(config-if pppoe 5)# pppoe server B-Provider
Router(config-if pppoe 5)# pppoe account B-user@xxxx.ne.jp B-secret
Router(config-if pppoe 5)# pppoe type host
Router(config-if pppoe 5)# crypto map MAP2
Router(config-if pppoe 5)# exit
!
!
! ルート情報を設定します。
!
Router(config)# ip route 200.200.200.200 255.255.255.255 pppoe 1
Router(config)# ip route 100.100.100.100 255.255.255.255 pppoe 5
!
!
! DHCPサーバ機能を設定します。
!
Router(config)# service dhcp-server
Router(config)# ip dhcp pool lan1
Router(config-dhcp-pool)# default-router 172.16.0.1
Router(config-dhcp-pool)# exit
!
!
! 暗号化を使用する設定します。
!
Router(config)# vpn enable
Router(config)# vpnlog enable
!
Router(config)# ipsec access-list 10 ipsec ip 172.16.0.0 0.0.255.255 any
!               センタ側LANのネットワークアドレスを任意
!                 →L3SWの内側のネットワークを問わない
Router(config)# ipsec access-list 64 bypass ip any any
Router(config)# ipsec transform-set P2-3DES-MD5 esp-3des esp-md5-hmac
!
Router(config)# crypto isakmp policy 1
Router(config-isakmp)# authentication prekey
Router(config-isakmp)# encryption 3des
Router(config-isakmp)# hash md5
Router(config-isakmp)# key ascii furukawa
Router(config-isakmp)# negotiation-mode aggressive
Router(config-isakmp)# my-identity KYOTEN1-1
Router(config-isakmp)# peer-identity address 200.200.200.200
Router(config-isakmp)# keepalive icmp always-send
!                                        icmp(ping)により常時keepaliveを行う
Router(config-isakmp)# keepalive-icmp peer-address 192.168.3.1
!                                        監視先アドレスの設定
Router(config-isakmp)# keepalive-icmp source-interface lan 1
!                                        送信元IPアドレスをLAN側IPアドレスとして、VPNトンネルを通して
!                                        keepaliveを行う
Router(config-isakmp)# keepalive-icmp multi-path interface pppoe 1 *1
!                                        keepaliveの送信インタフェースの設定
Router(config-isakmp)# exit
!
Router(config)# crypto isakmp policy 2
Router(config-isakmp)# authentication prekey
Router(config-isakmp)# encryption 3des
Router(config-isakmp)# hash md5
Router(config-isakmp)# key ascii furukawa
Router(config-isakmp)# negotiation-mode aggressive
Router(config-isakmp)# my-identity KYOTEN1-2
Router(config-isakmp)# peer-identity address 100.100.100.100
Router(config-isakmp)# keepalive-icmp peer-address 192.168.3.20
Router(config-isakmp)# keepalive-icmp source-interface lan 1
Router(config-isakmp)# keepalive-icmp multi-path interface pppoe 5 *1
Router(config-isakmp)# keepalive icmp always-send
Router(config-isakmp)# exit
!
Router(config)# crypto map MAP1 1
Router(config-crypto-map)# match address 10 multi-path　balance 2 *2
!                          比率2で負荷分散
Router(config-crypto-map)# set peer address 200.200.200.200
Router(config-crypto-map)# set transform-set P2-3DES-MD5
Router(config-crypto-map)# set security-association always-up
!                          常時SAを維持
Router(config-crypto-map)# sa-up route interface pppoe 1 *3
!                          SAの確立を契機としてセンタ側LAN(any)へのルート情報を登録し、nexthopを
!                          pppoe1とする
Router(config-crypto-map)# exit
!
Router(config)# crypto map MAP2 2
Router(config-crypto-map)# match address 10 multi-path　balance 1 *2
!                          比率1で負荷分散
Router(config-crypto-map)# set peer address 100.100.100.100
Router(config-crypto-map)# set transform-set P2-3DES-MD5
Router(config-crypto-map)# set security-association always-up
Router(config-crypto-map)# sa-up route interface pppoe 5 *3
Router(config-crypto-map)# exit
Router(config)# end
!
Router# save SIDE-A.cfg
% saving working-config
% finished saving

*1： pppoe 1 や pppoe 5 ではなく、ewan 1 や ewan 2 でアドレスを
　　マニュアル設定している場合は、次のように設定します。
　keepalive-icmp multi-path address <nexthop のアドレス>
*2：F100ではV01.10以降、F1000ではV01.03以降のファームウェアから、
　　どちらかの比率を0に設定できるようになりました。
　　負荷分散の比率は送信方向のパケットに対してのみ機能します。

*3： pppoe 1 や pppoe 5 ではなく、ewan 1 や ewan 2 でアドレスを
　　マニュアル設定している場合は、次のように設定します。
　sa-up route address <nexthop のアドレス>



＜センター側FITELnet-F1000-1の設定＞
"clear working.cfg"実行後、以下の設定を貼り付けてください。 
!
vpn enable ewan 1
vpnlog enable
!
ipsec access-list 10 ipsec ip any 172.16.0.0 0.0.255.255
ipsec access-list 64 bypass ip any any
ipsec transform-set P2-3DES-MD5 esp-3des esp-md5-hmac
!
hostname F1000-1
!
interface lan 1
 ip address 192.168.3.1 255.255.255.0
exit
interface pppoe 1
 crypto map MAP1
 pppoe server test
 pppoe account zyx@furukawa.co.jp zyx
 pppoe type host
 ip address 200.200.200.200
exit
!
crypto isakmp policy 1
 authentication prekey
 encryption 3des
 hash md5
 keepalive icmp always-send
 keepalive-icmp peer-address 172.16.0.1
 keepalive-icmp source-interface lan 1
 keepalive-icmp multi-path interface pppoe 1
 key ascii furukawa
 peer-identity host KYOTEN1-1
 tunnel-route interface pppoe1　※2
exit
crypto map MAP1 1
 match address 10
 set peer host KYOTEN1-1
 set transform-set P2-3DES-MD5
 sa-up route interface pppoe 1 local-prot1 100
! 自身の経路情報にディスタンス値100として登録
exit
!
route-map AAA permit 1
 set metric 6
! RIPで広告するメトリック値を6に設定
exit
!
router rip
 network lan 1
 redistribute local-prot1 route-map AAA
! sa-upルートで学習した経路情報をRIPで広告（ルートMAP「AAA」を適用）
exit
!
end

※2　ファームウェアバージョンが、F100ではV01.09以降、F1000ではV01.02以降で設定可能です。
　　アグレッシブモードの場合のみ動作します。


＜センター側FITELnet-F1000-2の設定＞
"clear working.cfg"実行後、以下の設定を貼り付けてください。 
!
vpn enable ewan 1
vpnlog enable
!
ipsec access-list 10 ipsec ip any 172.16.0.0 0.0.255.255
ipsec access-list 64 bypass ip any any
ipsec transform-set P2-3DES-MD5 esp-3des esp-md5-hmac
!
hostname F1000-2
!
interface pppoe 1
 crypto map map2
 pppoe server test2
 pppoe account xyz@furukawa.co.jp xyz
 pppoe type host
 ip address 100.100.100.100
exit
interface lan 1
 ip address 192.168.3.20 255.255.255.0
exit
!
crypto isakmp policy 1
 authentication prekey
 encryption 3des
 hash md5
 keepalive icmp always-send
 keepalive-icmp peer-address 172.16.0.1
 keepalive-icmp source-interface lan 1
 keepalive-icmp multi-path interface pppoe 1
 key ascii furukawa
 peer-identity host KYOTEN1-2
 tunnel-route interface pppoe1　※3
exit
crypto map map2 1
 match address 10
 set peer host KYOTEN1-2
 set transform-set P2-3DES-MD5
 sa-up route interface pppoe 1 local-prot2 150
! 自身の経路情報にディスタンス値150として登録
exit
!
route-map AAA permit 1
 set metric 10
! RIPで広告するメトリック値を10に設定
exit
!
router rip
 network lan 1
 redistribute local-prot2 route-map AAA
! sa-upルートで学習した経路情報をRIPで広告（ルートMAP「AAA」を適用）
exit
!
end

※3　ファームウェアバージョンが、F100ではV01.09以降、F1000ではV01.02以降で設定可能です。
　　アグレッシブモードの場合のみ動作します。



ページトップへ