Juniper

Classic環境で利用できます。

IPsec VPN Tunnel作成のために顧客 VPNゲートウェイでリソースを構成する方法について説明します。VPNゲートウェイデバイスが Juniper社の SRXシリーズ製品である場合は、次の内容をご参照くだい。

インターフェイス IPの設定

インターフェイス IPを設定する方法は以下のとおりです。

• IPインターフェイス設定

  set interfaces ge-0/0/0 unit 0 family inet address <グローバル IPアドレス>
  set interfaces ge-0/0/1 unit 0 family inet address <内部プライベート IPアドレス>
  

• トンネルインターフェイス設定

  set interfaces st0 unit 0 family inet
  

• security zone作成およびインターフェイスを割り当て

  • trust zoneに内部インターフェイスを割り当て

    set security zones security-zone trust host-inbound-traffic system-services all
    set security zones security-zone trust host-inbound-traffic protocols all
    set security zones security-zone trust interfaces ge-0/0/1.0
    

  • untrust zoneに外部およびトンネルインターフェイスを割り当て

    set security zones security-zone untrust host-inbound-traffic system-services all
    set security zones security-zone untrust host-inbound-traffic protocols all
    set security zones security-zone untrust interfaces ge-0/0/0.0
    set security zones security-zone untrust interfaces st0.0
    

• security zoneのポリシー設定

  set security policies from-zone trust to-zone untrust policy trust-to-untrust match source-address any
  set security policies from-zone trust to-zone untrust policy trust-to-untrust match destination-address any
  set security policies from-zone trust to-zone untrust policy trust-to-untrust match application any
  set security policies from-zone trust to-zone untrust policy trust-to-untrust then permit
  
  set security policies from-zone untrust to-zone trust policy untrust-to-trust match source-address any
  set security policies from-zone untrust to-zone trust policy untrust-to-trust match destination-address any
  set security policies from-zone untrust to-zone trust policy untrust-to-trust match application any
  set security policies from-zone untrust to-zone trust policy untrust-to-trust then permit
  

ルーティング設定

外部ルーティング、内部ルーティング、Peerトンネルのプライベートルーティングをそれぞれ設定します。

• 外部ルーティング設定

  set routing-options static route 0.0.0.0/0 next-hop <VPNゲートウェイのグローバル IPアドレス>
  

• 内部ルーティングおよびトラフィックセレクタの設定

  set routing-options static route <内部プライベート IPアドレス> next-hop <内部ゲートウェイ IP>
  
  set security ipsec vpn ike-vpn-DE_QA traffic-selector t1 local-ip 100.1.1.0/24
  set security ipsec vpn ike-vpn-DE_QA traffic-selector t1 remote-ip 192.168.100.0/24
  

• Peerトンネルのプライベート ルーティング(proxy-ID)設定

  set routing-options static route <リモートネットワークのプライベート IPアドレス> next-hop st0.0
  

IKE設定

IKEを設定するには、IKEv1と IKEv2を構成する必要があります。

IKEv1構成

IKEv1を構成する方法は以下のとおりです。

set security ike proposal <proposal 1の名前> authentication-method pre-shared-keys
set security ike proposal <proposal 1の名前> dh-group group2
set security ike proposal <proposal 1の名前> authentication-algorithm sha1
set security ike proposal <proposal 1の名前> encryption-algorithm aes-128-cbc
set security ike proposal <proposal 1の名前> lifetime-seconds 28800

set security ike policy <policy 1の名前> mode main
set security ike policy <policy 1の名前> proposals <proposal 1の名前>
set security ike policy <policy 1の名前> pre-shared-key ascii-text <pre-sharedキー値>

set security ipsec policy <policy 1の名前> perfect-forward-secrecy keys group2
set security ipsec vpn <VPNの名前> ike proxy-identity local <Peer IP>
set security ipsec vpn <VPNの名前> ike proxy-identity remote <ローカルネットワーク>
set security ipsec vpn <VPNの名前> ike proxy-identity service any

set security ike gateway <VPN gatewayの名前> ike-policy <policy 1の名前>
set security ike gateway <VPN gatewayの名前> address <Peer IP>
set security ike gateway <VPN gatewayの名前> external-interface ge-0/0/0
set security ike gateway <VPN gatewayの名前> version v1-only *(基本値)

• D-Hグループ: 2
• 暗号化アルゴリズム: aes-128
• ハッシュアルゴリズム: sha-1
• lifetime: 28800

IKEv2構成

IKEv2を構成する方法は以下のとおりです。

set security ipsec proposal <proposal 2の名前> protocol esp
set security ipsec proposal <proposal 2の名前> authentication-algorithm hmac-sha1-96
set security ipsec proposal <proposal 2の名前> encryption-algorithm aes-128-cbc
set security ipsec proposal <proposal 2の名前> lifetime-seconds 3600
set security ipsec policy <policy 2の名前> proposals <proposal 2の名前>

set security ipsec vpn <VPNの名前> bind-interface st0.0
set security ipsec vpn <VPNの名前> ike gateway <VPN gatewayの名前>
set security ipsec vpn <VPNの名前> ike ipsec-policy <policy 2の名前>
set security ipsec vpn <VPNの名前> establish-tunnels immediately

set security ipsec vpn ike-vpn-DE_QA traffic-selector t1 local-ip 100.1.1.0/24
set security ipsec vpn ike-vpn-DE_QA traffic-selector t1 remote-ip 192.168.100.0/24

• プロトコル: esp
• 暗号化アルゴリズム: aes-128
• ハッシュアルゴリズム: sha-1
• lifetime: 3600

IKEトンネルの確認

すべてのプロセスを終えると、IKEトンネル状態を確認できます。確認の例は以下のとおりです。

• IKEv1

  hostname# show security ike security-associations
  Index  State  Initiator cookie   Responder cookie  Mode  Remote Address
  4789230 UP    d2a027bc622f8ec6   d79c7b79fab2e1cb  Main  <Peer IP>
  

• IKEv2

  hostname# show security ipsec security-associations
   Total active tunnels: 1
  ID     Algorithm      SPI      Life:sec/kb     Mon lsys  Port  Gateway
  <131073 ESP:aes-cbc-128/sha1   4e82e2b4 3429/4607971 - root  500 <Peer IP>
  >131073 ESP:aes-cbc-128/sha1   58407288 3429/4607971 - root  500 <Peer IP>