! ! ! 特権ユーザモードに移行します。 ! Router> enable Enter password: super ←パスワードを入力します。(実際は表示されない) Router# ! ! ! 基本設定モードに移行します。 ! Router# configure terminal Router(config)# ! ! ! LAN 側 IP アドレスを設定します。 ! Router(config)# interface lan 1 Router(config-if lan 1)# ip address 192.168.2.254 255.255.255.0 Router(config-if lan 1)# exit ! ! ! PPPoE の各種設定をします。 ! Router(config)# interface pppoe 1 Router(config-if pppoe 1)# pppoe server FLETS Router(config-if pppoe 1)# pppoe account abc123@furukawa.co.jp pass456 Router(config-if pppoe 1)# exit ! ! ! BRI インタフェースの設定をします。*1 ! Router(config)# interface bri 1 Router(config-if bri 1)# exit ! ! ! Dialer インターフェースの各種設定をします。 ! Router(config)# interface dialer 1 Router(config-if dialer 1)# dialer map ip broadcast name center 0366661111 ! 相手をPPPで認証する場合、nameには相手のIDを設定します。 Router(config-if dialer 1)# dialer interface bri 1 Router(config-if dialer 1)# ip address 192.168.100.2 255.255.255.0 Router(config-if dialer 1)# ppp authentication chap Router(config-if dialer 1)# exit ! ! ! ダイヤルアップ接続で相手を認証する場合のIDとパスワードを設定します。 ! Router(config)# username center password pass-center ! このIDをdialer mapのnameとして設定する必要があります。 ! ! ! ダイヤルアップ接続で自身が認証される場合のIDとパスワードを設定します。 ! Router(config)# ppp hostname kyoten password pass-kyoten ! ! ! VPN 機能を有効にします。 ! Router(config)# vpn enable ewan 1 ! ! ! VPN 通信の詳細なログを残すようにします。 ! Router(config)# vpnlog enable ! ! ! Phase 1 ポリシーの設定を行ないます。 ! Router(config)# crypto isakmp policy 1 Router(config-isakmp)# authentication prekey Router(config-isakmp)# encryption aes 128 Router(config-isakmp)# group 2 Router(config-isakmp)# hash sha Router(config-isakmp)# keepalive always-send Router(config-isakmp)# key ascii secret-vpn Router(config-isakmp)# my-identity kyoten Router(config-isakmp)# negotiation-mode aggressive Router(config-isakmp)# peer-identity address 200.200.200.1 Router(config-isakmp)# exit ! ! ! Phase 2 ポリシーの設定を行ないます。 ! Router(config)# ipsec transform-set P2-POLICY esp-aes-128 esp-sha-hmac ! ! ! VPN セレクタの設定を行ないます。 ! Router(config)# ipsec access-list 10 ipsec ip 192.168.2.0 0.0.0.255 any ! Router(config)# crypto map centert 1 Router(config-crypto-map)# match address 10 Router(config-crypto-map)# set peer address 200.200.200.1 Router(config-crypto-map)# set security-association always-up Router(config-crypto-map)# set transform-set P2-POLICY Router(config-crypto-map)# exit ! ! ! IPsec インターフェースの設定をします。 ! Router(config)# interface ipsecif 1 Router(config-if ipsecif 1)# crypto map center Router(config-if ipsecif 1)# exit ! ! ! センターのピアに対するルートを設定します。 ! Router(config)# ip route 200.200.200.1 255.255.255.255 pppoe 1 ! ! ! センターのネットワークに対するメインのルートを設定します。 ! Router(config)# ip route 192.168.1.0 255.255.255.0 connected ipsecif 1 50 ! メイン経路に障害が発生した場合に、イベントアクションで追加されるルートを ! 優先したいので、こちらの優先度を下げておきます。 ! ! ! 経路監視の設定をします。 *2 ! nexthop を指定することで、装置のルート情報に左右されることなく、常にトンネル経由で ! センターの LAN 側を監視するようにします。 ! icmp-class の status としては、監視が成功している間は true で、失敗すると false となります。 ! Router(config)# icmp-class 1 *3 Router(config-icmp-class 1)# address 192.168.1.254 nexthop connected ipsecif 1 source-interface lan 1 *4 Router(config-icmp-class 1)# exit ! ! ! イベントクラスの設定をします。 ! ここではアクションの契機となるイベントを設定します。 ! イベントの staus が true になると、アクションが実行されます。 ! 今回の場合、経路監視が失敗したら、アクションとして経路を追加したいので、invert オプションを付けて ! icmp-class の status を反転させます。 ! Router(config)# event-class 1 *3 Router(config-event-class 1)# check ip-icmp 1 invert Router(config-event-class 1)# exit ! ! ! イベントアクションの設定をします。 ! アクションとしてバックアップ側の経路を追加するようにします。 ! Router(config)# event-action 1 *3 Router(config-event-action 1)# add ip route 192.168.1.0 255.255.255.0 dialer 1 Router(config-event-action 1)# exit ! ! ! イベントマップの設定をします。 ! ここでイベントクラスとイベントアクションの結び付けを行います。 ! Router(config)# event-map Router(config-event-map)# event-class 1 event-action 1 Router(config-event-map)# exit ! ! ! 特権ユーザモードに戻ります。 ! Router(config)# end ! ! ! 設定を保存します。 ! Router# save SIDE-A.cfg % saving working-config % finished saving Router# ! ! ! 設定を有効にするために再起動します。 ! Router# reset Are you OK to cold start?(y/n) y
*1 : |
V01.19(01) 以降および Ver 2 系のファームウェアで ISDN 回線を利用する場合、アイドルタイマーなどの設定をしない場合でも、下記の設定が必須となります。
|
*2 : |
デフォルトでは 30 秒間隔で ping による監視を行い、1 回の監視で 2 パケットまで送信します。そして 1 パケットでも reply があれば、その回の監視は成功と判断されます。 icmp-class の status としては、2 回連続で監視に失敗すると、false となります。そして、3 回連続で監視に成功すると、true となります。これらの値は下記のコマンドにより変更可能です。
|
*3 : |
各設定モードにおいて下記の設定を入れておくと、それぞれの status に変化があった場合に、slog に記録されるようになります。
|
*4 : | source-interface 指定がない場合、送信元アドレスはパケットが実際に送信されるインターフェースのアドレスとなりますが、ここで nexthop として指定している ipsecif は unnumbered のインターフェースのため、アドレスを付けることができず、パケットを送信することができなくなります(監視が失敗となります)。 |
! ! ! 特権ユーザモードに移行します。 ! Router> enable Enter password: super ←パスワードを入力します。(実際は表示されない) Router# ! ! ! 基本設定モードに移行します。 ! Router# configure terminal Router(config)# ! ! ! LAN 側 IP アドレスを設定します。 ! Router(config)# interface lan 1 Router(config-if lan 1)# ip address 192.168.1.254 255.255.255.0 Router(config-if lan 1)# exit ! ! ! PPPoE の各種設定をします。 ! Router(config)# interface pppoe 1 Router(config-if pppoe 1)# ip address 200.200.200.1 Router(config-if pppoe 1)# pppoe server FLETS Router(config-if pppoe 1)# pppoe account abc456@furukawa.co.jp pass789 Router(config-if pppoe 1)# exit ! ! ! BRI インタフェースの設定をします。 ! Router(config)# interface bri 1 Router(config-if bri 1)# exit ! ! ! Dialer インターフェースの各種設定をします。 ! Router(config)# interface dialer 1 Router(config-if dialer 1)# dialer map ip broadcast name kyoten 0366662222 Router(config-if dialer 1)# dialer interface bri 1 Router(config-if dialer 1)# ip address 192.168.100.1 255.255.255.0 Router(config-if dialer 1)# ppp authentication chap Router(config-if dialer 1)# exit ! ! ! ダイヤルアップ接続で相手を認証する場合のIDとパスワードを設定します。 ! Router(config)# username kyoten password pass-kyoten ! ! ! ダイヤルアップ接続で自身が認証される場合のIDとパスワードを設定します。 ! Router(config)# ppp hostname center password pass-center ! ! ! VPN 機能を有効にします。 ! Router(config)# vpn enable ewan 1 ! ! ! VPN 通信の詳細なログを残すようにします。 ! Router(config)# vpnlog enable ! ! ! Phase 1 ポリシーの設定を行ないます。 ! Router(config)# crypto isakmp policy 1 Router(config-isakmp)# authentication prekey Router(config-isakmp)# encryption aes 128 Router(config-isakmp)# group 2 Router(config-isakmp)# hash sha Router(config-isakmp)# keepalive always-send *5 ! keepalive を行って、経路に障害が発生した場合には SA を消して ! sa-up route を削除してルートが切り替わるようにします。 Router(config-isakmp)# key ascii secret-vpn Router(config-isakmp)# negotiation-mode aggressive Router(config-isakmp)# peer-identity host kyoten Router(config-isakmp)# tunnel-route interface pppoe 1 *6 ! Phase 1 のネゴパケットの受信を契機に、nexthop を pppoe 1 として ! 拠点の peer 宛のルートを登録します。 Router(config-isakmp)# exit ! ! ! Phase 2 ポリシーの設定を行ないます。 ! Router(config)# ipsec transform-set P2-POLICY esp-aes-128 esp-sha-hmac ! ! ! VPN セレクタの設定を行ないます。 ! Router(config)# ipsec access-list 10 ipsec ip any 192.168.2.0 0.0.0.255 *7 ! Router(config)# crypto map kyoten 1 Router(config-crypto-map)# match address 10 Router(config-crypto-map)# set peer host kyoten Router(config-crypto-map)# set transform-set P2-POLICY Router(config-crypto-map)# sa-up route interface ipsecif 1 *8 ! Phase2 SA の確立を契機に、nexthop を ipsecif 1 として ! ipsec access-list の宛先ネットワーク宛のルートを登録します。 Router(config-crypto-map)# exit ! ! ! IPsec インターフェースの設定をします。 ! Router(config)# interface ipsecif 1 Router(config-if ipsecif 1)# crypto map kyoten Router(config-if ipsecif 1)# exit ! ! ! 拠点のネットワークに対するバックアップのルートを設定します。 ! Router(config)# ip route 192.168.2.0 255.255.255.0 dialer 1 *9 ! ! ! 特権ユーザモードに戻ります。 ! Router(config)# end ! ! ! 設定を保存します。 ! Router# save SIDE-A.cfg % saving working-config % finished saving Router# ! ! ! 設定を有効にするために再起動します。 ! Router# reset Are you OK to cold start?(y/n) y
*5 : | always-send とすることで、定期的に(デフォルトでは 60 秒間隔) keepalive を行うようになります。 |
*6 : |
pppoe 1 ではなく、ewan 1 でアドレスをマニュアル設定している場合は、次のように明示的に nexthop のアドレスを設定する必要があります。
|
*7 : | IPsec インターフェースを使ったルートベースの IPsec の場合、通常は宛先も any としておけば良いのですが、sa-up route を使って経路の制御を行っているので、ここでは宛先を拠点のネットワークとしています。拠点側の ipsec access-list もこれに合わせています。 |
*8 : | nexthop に ipsecif を指定できるのは、V02.01(00) 以降のファームウェアとなります。 |
*9 : |
特に明示的に distance 値は設定していませんが、デフォルトではスタティックルートの distance 値が 1 なのに対して、sa-up route の distance 値は 0 となっています。 従って、Phase 2 SA ができている間は sa-up route で登録されるメインのルートが優先されることになります。 |