古河電工ネットワーク機器の総合ブランド ファイテルネット
設定例
1. センタ(1台1回線)・拠点(2台各1回線)でIPsec冗長する
設定データの例
| 項目 | 設定値 |
|---|---|
| F100#1 LAN側IPアドレス | 192.168.2.251/24 |
| F100#2 LAN側IPアドレス | 192.168.2.252/24 |
| LAN側代表IPアドレス | 192.168.2.254 |
| F100#1 WAN側IPアドレス | 不定 |
| F100#2 WAN側IPアドレス | 不定 |
| F1000 LAN側IPアドレス | 192.168.1.254/24 |
| F1000 WAN側IPアドレス | 200.200.200.200 |
- F100を２台でグループ化することにより、回線冗長に加えて、機器冗長の構成を取ることが可能となります。
- F100を２台でグループ化する構成は、F100のファームウェアV01.14からのサポートとなります。
- 拠点側にある２台のF100のLAN側をグループ化して、代表アドレスを設定することで、LAN側の端末からは、あたかも１台の装置のように見えます。
- グループ化できるインターフェースはLAN1のみとなります。
- 最大４台までのF100、E30の組み合わせでグループ化することができますが、E30をメインとすることはできません（E30同士でグループ化する場合を除く）。
- グループ化した２台のF100は、経路監視（L3監視）の結果と連動して、メインからバックアップへの切り替え、バックアップからメインへの切り戻し動作を行います。
- 経路監視はメイン、バックアップ両方のF100から行います。この構成の場合、センター側のpeerが１つなので、平文で監視を行うことになります。
-
メイン回線、バックアップ回線のインターフェースとして、F100のBRIを使うことはできません。
ISDN回線をバックアップに使いたい場合は、E30とグループ化します→設定例はこちら。 -
メイン側の経路に障害が発生すると、メインのF100#1から、バックアップのF100#2に切り替わって通信を継続することができます。
そして、メイン経路の障害が復旧すれば、自動的にバックアップのF100#2から、メインのF100#1に切り戻ります。 - また、メインのF100#1の装置に障害が発生した場合も、バックアップのF100#2に切り替わります。
-
aggressiveモードで、拠点側の２台のF100のIDを同じにしています。
これにより、センター側から見ると、拠点側は１つのpeerに見えます。 - 拠点側のpeerを１つに見せている今回のような構成の場合、F100#1、F100#2のcrypto mapに、set security-association always-upの設定を入れることはできません。常時SAを確立しておきたい場合は、unicast RIPの定期送信を利用することで実現できます。
コマンド設定の例
（!の行はコメントです。実際に入力する必要はありません。）
この設定を利用したい方は
拠点側F100#1（メイン）の設定
! ! ! 特権ユーザモードに移行します。 ! Router> enable Enter password: super ←パスワードを入力します（実際は何も表示されません）。 Router# ! ! ! 基本設定モードに移行します。 ! Router# configure terminal Router(config)# ! ! ! LAN1インタフェースの設定を行います。 ! Router(config)# interface lan 1 Router(config-if lan 1)# ip address 192.168.2.251 255.255.255.0 Router(config-if lan 1)# linkdown-detect on ! リンクダウンの検出をonにします。 ! なお、4つのポート全てがダウンしないと、リンクダウンを検出できませんので、 ! LAN側は1ポートのみ使用するようにして下さい。接続例は こちら 。 Router(config-if lan 1)# exit ! ! ! PPPoEの各種設定をします。 ! Router(config)# interface pppoe 1 Router(config-if pppoe 1)# pppoe server A-Provider Router(config-if pppoe 1)# pppoe account user-A@xxxx.ne.jp secret-A Router(config-if pppoe 1)# pppoe type host Router(config-if pppoe 1)# crypto map center Router(config-if pppoe 1)# exit ! ! ! デフォルトルートをPPPoE１に設定します。 ! Router(config)# ip route 0.0.0.0 0.0.0.0 pppoe 1 ! ! ! IPsec の各種設定をします。 ! Router(config)# vpn enable Router(config)# vpnlog enable ! Router(config)# crypto isakmp policy 1 Router(config-isakmp)# authentication prekey Router(config-isakmp)# encryption aes 128 Router(config-isakmp)# group 2 Router(config-isakmp)# hash sha Router(config-isakmp)# keepalive icmp always-send Router(config-isakmp)# keepalive-icmp peer-address 192.168.1.254 Router(config-isakmp)# keepalive-icmp source-interface lan 1 ! メイン側からバックアップ側に切り替わった際に、keep aliveにより、残ったSAを消します。 Router(config-isakmp)# key ascii VPN Router(config-isakmp)# my-identity F100kyoten ! センター側から同一のpeerに見せるため、バックアップ側と同じkey、IDを設定します。 Router(config-isakmp)# negotiation-mode aggressive Router(config-isakmp)# peer-identity address 200.200.200.200 Router(config-isakmp)# exit ! Router(config)# ipsec transform-set P2-POLICY esp-aes-128 esp-sha-hmac ! Router(config)# ipsec access-list 1 ipsec ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255 Router(config)# ipsec access-list 64 bypass ip any any ! L3監視を平文で行うため、bypassの設定が必要となります。 ! Router(config)# crypto map center 1 Router(config-crypto-map)# match address 1 Router(config-crypto-map)# set peer address 200.200.200.200 Router(config-crypto-map)# set transform-set P2-POLICY Router(config-crypto-map)# exit ! ! ! ルータグループ化の設定を行ないます。 ! Router(config)# redundancy router-group Router(config-red-router-group)# router-group enable Router(config-red-router-group)# preference 1 ! バックアップ側より優先度を高く設定します（数字が小さいほど優先度は高くなります）。 Router(config-red-router-group)# ip address 192.168.2.254 ! 代表IPアドレスを設定します。 Router(config-red-router-group)# exit ! ! ! L3監視の設定を行ないます。 ! Router(config)# redundancy pathcheck-list 1 Router(config-red-pathcheck-list 1)# ip address 200.200.200.200 ! 監視先のアドレスを指定します。 Router(config-red-pathcheck-list 1)# route pppoe 1 ! 監視は常にpppoe 1インターフェースから行うようにします。 Router(config-red-pathcheck-list 1)# pathcheck-fail 2 Router(config-red-pathcheck-list 1)# restcheck-success 3 Router(config-red-pathcheck-list 1)# exit ! ! ! 冗長対象パケットの設定を行ないます。 ! Router(config)# redundancy pathfilter-list 1 Router(config-red-pathfilter-list 1)# destination 192.168.1.0 255.255.255.0 ! 宛先を指定して、冗長対象パケットを指定します。 ! 代表アドレスに冗長対象以外のパケットがきた場合には、両方のF100が ! それぞれのテーブルに従ってルーティングすることになります。 Router(config-red-pathfilter-list 1)# pathcheck-list 1 ! pathcheck-list 1の結果に従って、メイン→バックアップへの切り替え、 ! バックアップ→メインへの切り戻しを行います。 Router(config-red-pathfilter-list 1)# 1st pppoe 1 Router(config-red-pathfilter-list 1)# 2nd router-group Router(config-red-pathfilter-list 1)# exit ! ! ! RIPの設定をします。 ! SAを常時確立しておくために、unicastripの定期送信を利用します（経路情報の広告は目的ではありませんので、 ! センター側ではRIPの設定はしていません）。 ! Router(config)# router rip Router(config-rip)# neighbor 192.168.1.254 source-interface lan 1 Router(config-rip)# network pppoe 1 Router(config-rip)# route 192.168.2.251 255.255.255.255 Router(config-rip)# unicastrip Router(config-rip)# exit ! ! ! 特権ユーザモードに戻ります。 ! Router(config)# end ! ! ! 設定を保存します。 ! Router# save SIDE-A.cfg % saving working-config % finished saving Router# ! ! ! 設定を有効にするために再起動します。 ! Router# reset Are you OK to cold start?(y/n) y
コマンド設定の例
（!の行はコメントです。実際に入力する必要はありません。）
この設定を利用したい方は
拠点側F100#2（バックアップ）の設定
! ! ! 特権ユーザモードに移行します。 ! Router> enable Enter password: super ←パスワードを入力します（実際は何も表示されません）。 Router# ! ! ! 基本設定モードに移行します。 ! Router# configure terminal Router(config)# ! ! ! LAN1インタフェースの設定を行います。 ! Router(config)# interface lan 1 Router(config-if lan 1)# ip address 192.168.2.252 255.255.255.0 Router(config-if lan 1)# linkdown-detect on Router(config-if lan 1)# exit ! ! ! PPPoEの各種設定をします。 ! Router(config)# interface pppoe 1 Router(config-if pppoe 1)# pppoe server B-Provider Router(config-if pppoe 1)# pppoe account user-B@xxxx.ne.jp secret-B Router(config-if pppoe 1)# pppoe type host Router(config-if pppoe 1)# crypto map center Router(config-if pppoe 1)# exit ! ! ! デフォルトルートをPPPoE１に設定します。 ! Router(config)# ip route 0.0.0.0 0.0.0.0 pppoe 1 ! ! ! IPsec の各種設定をします。 ! Router(config)# vpn enable Router(config)# vpnlog enable ! Router(config)# crypto isakmp policy 1 Router(config-isakmp)# authentication prekey Router(config-isakmp)# encryption aes 128 Router(config-isakmp)# group 2 Router(config-isakmp)# hash sha Router(config-isakmp)# keepalive always-send ! バックアップ側からメイン側に切り戻った際に、keep aliveにより、残ったSAを消します。 Router(config-isakmp)# key ascii VPN Router(config-isakmp)# my-identity F100kyoten ! センター側から同一のpeerに見せるため、メイン側と同じkey、IDを設定します。 Router(config-isakmp)# negotiation-mode aggressive Router(config-isakmp)# peer-identity address 200.200.200.200 Router(config-isakmp)# exit ! Router(config)# ipsec transform-set P2-POLICY esp-aes-128 esp-sha-hmac ! Router(config)# ipsec access-list 1 ipsec ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255 Router(config)# ipsec access-list 64 bypass ip any any ! L3監視を平文で行うため、bypassの設定が必要となります。 ! Router(config)# crypto map center 1 Router(config-crypto-map)# match address 1 Router(config-crypto-map)# set peer address 200.200.200.200 Router(config-crypto-map)# set transform-set P2-POLICY Router(config-crypto-map)# exit ! ! ! ルータグループ化の設定を行ないます。 ! Router(config)# redundancy router-group Router(config-red-router-group)# router-group enable Router(config-red-router-group)# preference 2 ! メイン側より優先度を低く設定します（数字が小さいほど優先度は高くなります）。 Router(config-red-router-group)# ip address 192.168.2.254 ! 代表IPアドレスを設定します。 Router(config-red-router-group)# exit ! ! ! L3監視の設定を行ないます。 ! Router(config)# redundancy pathcheck-list 1 Router(config-red-pathcheck-list 1)# ip address 200.200.200.200 Router(config-red-pathcheck-list 1)# route pppoe 1 Router(config-red-pathcheck-list 1)# pathcheck-fail 2 Router(config-red-pathcheck-list 1)# restcheck-success 3 Router(config-red-pathcheck-list 1)# exit ! ! ! 冗長対象パケットの設定を行ないます。 ! Router(config)# redundancy pathfilter-list 1 Router(config-red-pathfilter-list 1)# destination 192.168.1.0 255.255.255.0 Router(config-red-pathfilter-list 1)# pathcheck-list 1 Router(config-red-pathfilter-list 1)# 1st pppoe 1 Router(config-red-pathfilter-list 1)# 2nd router-group Router(config-red-pathfilter-list 1)# exit ! ! ! RIPの設定をします。 ! SAを常時確立しておくために、unicastripの定期送信を利用します（経路情報の広告は目的ではありませんので、 ! センター側ではRIPの設定はしていません）。 ! Router(config)# router rip Router(config-rip)# neighbor 192.168.1.254 source-interface lan 1 Router(config-rip)# network pppoe 1 Router(config-rip)# route 192.168.2.252 255.255.255.255 Router(config-rip)# unicastrip Router(config-rip)# exit ! ! ! 特権ユーザモードに戻ります。 ! Router(config)# end ! ! ! 設定を保存します。 ! Router# save SIDE-A.cfg % saving working-config % finished saving Router# ! ! ! 設定を有効にするために再起動します。 ! Router# reset Are you OK to cold start?(y/n) y
コマンド設定の例
（!の行はコメントです。実際に入力する必要はありません。）
この設定を利用したい方は
センター側F1000の設定（F100に置き換えても運用可能です）
! ! ! 特権ユーザモードに移行します。 ! Router> enable Enter password: super ←パスワードを入力します（実際は何も表示されません）。 Router# ! ! ! 基本設定モードに移行します。 ! Router# configure terminal Router(config)# ! ! ! LAN1インタフェースの設定を行います。 ! Router(config)# interface lan 1 Router(config-if lan 1)# ip address 192.168.1.254 255.255.255.0 Router(config-if lan 1)# linkdown-detect on Router(config-if lan 1)# exit ! ! ! PPPoEの各種設定をします。 ! Router(config)# interface pppoe 1 Router(config-if pppoe 1)# pppoe server C-Provider Router(config-if pppoe 1)# pppoe account user-C@xxxx.ne.jp secret-C Router(config-if pppoe 1)# pppoe type host Router(config-if pppoe 1)# crypto map kyoten Router(config-if pppoe 1)# ip address 200.200.200.200 Router(config-if pppoe 1)# exit ! ! ! デフォルトルートをPPPoE1に設定します。 ! Router(config)# ip route 0.0.0.0 0.0.0.0 pppoe 1 ! ! ! IPsec の各種設定をします。 ! Router(config)# vpn enable Router(config)# vpnlog enable ! Router(config)# crypto isakmp policy 1 Router(config-isakmp)# authentication prekey Router(config-isakmp)# encryption aes 128 Router(config-isakmp)# group 2 Router(config-isakmp)# hash sha Router(config-isakmp)# key ascii VPN Router(config-isakmp)# negotiation-mode aggressive Router(config-isakmp)# peer-identity host F100kyoten Router(config-isakmp)# exit ! Router(config)# ipsec transform-set P2-POLICY esp-aes-128 esp-sha-hmac ! Router(config)# ipsec access-list 1 ipsec ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 Router(config)# ipsec access-list 64 bypass ip any any ! 拠点から平文でL3監視が来るので、bypassの設定が必要となります。 ! Router(config)# crypto map kyoten 1 Router(config-crypto-map)# match address 1 Router(config-crypto-map)# set peer host F100kyoten Router(config-crypto-map)# set transform-set P2-POLICY Router(config-crypto-map)# exit ! ! ! 特権ユーザモードに戻ります。 ! Router(config)# end ! ! ! 設定を保存します。 ! Router# save SIDE-A.cfg % saving working-config % finished saving Router# ! ! ! 設定を有効にするために再起動します。 ! Router# reset Are you OK to cold start?(y/n) y
All Rights Reserved, Copyright(C) FURUKAWA ELECTRIC CO., LTD. 2007