FITELnet-F40/設定例/NetScreenとFITELnet-F40を接続する(2)

ネットワーク機器トップ　>　製品ラインナップ　>　FITELnet-Fシリーズ　>　設定例　>　
NetScreenとFITELnet-F40を接続する(2)

2．NAT-Traversalの構成　　

NetScreenの設定は参考です。
NetScreenの設定内容に関しては弊社ではサポート致しかねます旨、ご承知ください。

NetScreenとFITELnet-F40を接続する(NAT-Traversalの構成)

＜プロバイダより割り振られたアドレス（アドレスは一例です）＞

センタ側	210.158.***.17
拠点側	指定なし(ルータモデム)

＜コマンド操作＞

【設定例表記方法のご案内】

本来一行で入力すべきコマンドでありながら，スペースの関係で複数行に渡った場合，行末に「\」を付けています．
FITELnet-F40は，この「\」を認識しますので，本ページの設定例をコンソールにペーストできます．

ScreenOS 4.0.1 r3.0

Trust側IFの設定
set interface trust ip 192.168.1.254/24
set interface trust route

Untrust側IFの設定
set interface untrust ip 210.158.***.17/32
set interface untrust route

ネットワークアドレスの定義
set address "trust" "ns-net" 192.168.1.0 255.255.255.0
set address "untrust" "f40-net" 192.168.3.0 255.255.255.0

VPNポリシーの登録
set ike p1-proposal "ike-policy" preshare group1 esp des md5 second 1000
set ike p2-proposal "ipsec-policy" no-pfs esp des md5 second 600

接続先の登録（id 名には @ を含む必要があるので注意）
set ike gateway "f40-gw" ip 0.0.0.0 id "f40@kyoten" aggr outgoing-interface "untrust" preshare "secret-vpn" proposal "ike-policy"

NAT Traversalの設定
set ike gateway "f40-gw" nat-traversal
set ike gateway "f40-gw" nat-traversal udp-chcksum
set ike gateway "f40-gw" nat-traversal keepalive-frequency 5

VPN対象トンネルの登録
set vpn "f40-sel" id 1 gateway "f40-gw" no-replay tunnel idletime 0 proposal "ipsec-policy"

VPN対象の登録
set policy id 0 name "f40ns"　from "untrust" to "trust" "f40-net" "ns-net" "any" tunnel vpn "f40-sel"
set policy id 1 name "nsf40"　from "trust" to "untrust" "ns-net" "f40-net" "any" tunnel vpn "f40-sel"

#
#EWAN側は固定のIPアドレスを使用する
#
wan type=manual
#
#EWAN側IPアドレスの設定
#（アドレスは一例です。
#　ルータモデムのLAN側の設定に合わせてください）
#
interface wan addr=192.168.2.254,255.255.255.0
#
#LAN側IPアドレスの設定
#
interface lan addr=192.168.3.254,255.255.255.0
#
#ルート情報の設定
#（nexthopのアドレスは一例です。
#　ルータモデムのLAN側のアドレスを設定してください）
#
ipripstatic delete default
ipripstatic add dst=0.0.0.0,0.0.0.0 nexthop=192.168.2.253
#
#NATプラスを使用する
#→VPN対象外のパケットをインターネットアクセスさせる場合には
#　VPNセレクタの設定と併せて必要
#
nat wan natp
#
#VPN機能を使用する
#
vpn on
#
#PhaseIポリシーの設定（暗号アルゴリズムはDES，認証方法はPre-shared key方式，
#認証アルゴリズムはMD5→センター側の設定と合わせる。ライフタイムはデフォルトで1000秒）
#
vpnikepolicy add id=1 encr=des method=prekey hash=md5
#
#PhaseIIポリシーの設定（暗号アルゴリズムはDES，認証アルゴリズムはMD5
#→センター側の設定と合わせる。ライフタイムはデフォルトで600秒）
#
vpnpolicy add id=1 encr=des auth=hmac-md5
#
#VPNピアの設定（鍵データは文字列でsecret-vpn→センター側と同じにする。
#NAT-Traversal 機能を使用する）
#
vpnpeer add addr=210.158.***.17 myname=f40@kyoten\
 idtype-pre=userfqdn key=a,secret-vpn nat=off mode=aggressive ikepolicy=1\
 nat-traversal=on
#
#VPN対象パケット（VPNセレクタ）の設定
#
vpnselector add id=1 dst=192.168.1.0,255.255.255.0\
 src=192.168.3.0,255.255.255.0 type=ipsec\
 peeraddr=210.158.***.17 policy=1
#
#VPN対象外のパケットをインターネットアクセスさせる場合には必要
#
vpnselector add id=64 dst=all src=all type=bypass
#
#設定を保存して装置を再起動
#（再起動しないと設定が有効にならない項目もあるので注意）
#
exit
Configuration modified. save ok?(y/n): y
please reset#reset
Do you want to continue(y/n)?: y

拠点側の「VPN対象パケット（VPNセレクタ）の設定」で，以下のようにretrynegoをonにすることで，SA が確立するまで繰り返し確立を試みるようになります。
また，negotypeをlifetimeに設定しておくことで，SAが確立された後は，ライフタイム満了前に新しいSAを確立しにいくようになります。
この二つの機能を利用することで，常にSAを確立した状態を維持でき，拠点側に固定アドレスがなくても，データの発生契機や方向に関わらず，VPN通信を自動的に再開できるようになります。

vpnselector set id=1 dst=192.168.1.0,255.255.255.0\
 src=192.168.3.0,255.255.255.0 negotype=,lifetime\
 retrynego=on peeraddr=210.158.xxx.17 policy=1