Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Junos OS を搭載したデバイスでの VPN の設定

このセクションでは、以下の IKE 認証方法を使用した Junos OS デバイス上の IPSec VPN の設定例について説明します。

Junos OS を実行しているデバイスでの VPN の設定の概要

このセクションでは、以下の IKE 認証方法を使用した Junos OS デバイス上の IPSec VPN の設定例について説明します。

図 1 は、このセクションで説明するすべての例で使用される VPN トポロジーを示しています。ここで、H0 と H1 はホスト PC であり、R0 と R2 は IPSec VPN トンネルの 2 つのエンドポイントであり、R1 は 2 つの異なるネットワーク間でトラフィックをルーティングするためのルータです。

手記：

ルーターR1は、Linuxベースのルーター、ジュニパーネットワークスのデバイス、または他のベンダーのルーターにすることができます。
図 1:VPN トポロジー VPN Topology

表 1 は、IKE プロトコル、トンネル モード、フェーズ 1 ネゴシエーション モード、認証方法またはアルゴリズム、暗号化アルゴリズム、IKE 認証と暗号化(フェーズ 1、IKE プロポーザル)、および IPsec 認証と暗号化(フェーズ 2、IPsec プロポーザル)でサポートされている DH グループの一覧を示しています。記載されているプロトコル、モード、およびアルゴリズムは、22.2 R1 Common Criteriaでサポートおよび必須です。

表 1:VPN コンビネーション マトリクス

IKE プロトコル

トンネルモード

フェーズ1ネゴシエーションモード

フェーズ1プロポーザル(P1、IKE)

認証方法

認証アルゴリズム

DHグループ

暗号化アルゴリズム

IKEv1

メイン

ルート

事前共有キー

SHA-256

グループ14

IKEv2

    

RSA-シグネチャ-2048

SHA-384

グループ19

AES-128-CBC
     

ECDSA-シグネチャ-256

  

グループ20

AES-128-GCM
     

ECDSA-シグネチャ-384

  

グループ24

AES-192-CBC
           

AES-256-CBC
           

AES-256-GCM
             

IKE プロトコル

トンネルモード

フェーズ1ネゴシエーションモード

フェーズ2プロポーザル(P2、IPsec)

認証アルゴリズム

DHグループ(PFS)

暗号化方式

暗号化アルゴリズム

IKEv1

メイン

ルート

hmac-sha1-96

グループ14

ESP

3DES-CBC

IKEv2

    

hmac-sha-256-128

グループ19

  

AES-128-CBC
       

グループ20

  

AES-128-GCM
       

グループ24

  

AES-192-CBC
           

AES-192-GCM
           

AES-256-CBC
           

AES-256-GCM
手記：

以下のセクションでは、選択したアルゴリズムに対する IKEv1 IPSec VPN の設定例を紹介します。認証と暗号化のアルゴリズムは、ユーザーが望む設定を実現するために、設定で置き換えることができます。IKEv2 IPSec VPN には コマンドを使用します set security ike gateway <gw-name> version v2-only 。

IKE 認証用の事前共有キーを使用した IPSec VPN の設定

このセクションでは、Junos OS を実行するデバイスを、IKE 認証方法として事前共有キーを使用して、IPSec VPN 用に設定します。IKE または IPsec 認証または暗号化に使用されるアルゴリズムを表 2 に示します

表 2:IKE または IPsec 認証と暗号化

IKE プロトコル

トンネルモード

フェーズ1ネゴシエーションモード

フェーズ1プロポーザル(P1、IKE)

認証方法

認証アルゴリズム

DHグループ

暗号化アルゴリズム

IKEv1

メイン

ルート

事前共有キー

SHA-256

グループ14

AES-256-CBC

IKE プロトコル

トンネルモード

フェーズ1ネゴシエーションモード

フェーズ2プロポーザル(P2、IPsec)

認証アルゴリズム

DHグループ(PFS)

暗号化方式

暗号化アルゴリズム

IKEv1

メイン

ルート

hmac-sha-256-128

グループ14

ESP

AES-256-CBC
手記：

Junos OS を実行するデバイスは、IPsec に証明書ベースの認証または事前共有キーを使用します。TOEでは、大文字、小文字、数字、特殊文字(!、@、#、$、%、^、&、*、(、)などを含む255文字(およびそれに相当する2進数)までのASCII事前共有キーまたはビットベースのキーを利用できます。デバイスは、事前共有テキスト キーを受け取り、IKEv1 の RFC 2409 または IKEv2 の RFC 4306 に従って、IKE 交換のハッシュ アルゴリズムとして構成された PRF を使用して、テキスト文字列を認証値に変換します。Junos OS では、事前共有鍵の複雑さに関する最小要件は課されていません。したがって、ユーザーは、十分な複雑さを持つ長い事前共有キーを慎重に選択することをお勧めします。

イニシエーターでのIKE認証として事前共有キーを使用したIPSec VPNの設定

イニシエーターで事前共有キーIKE認証を使用してIPSec VPNを設定するには、次の手順に従います。

  1. IKE の提案を構成します。

    は、 ike-proposal1 許可された管理者によって指定された IKE の提案名です。

  2. IKEポリシーを構成します。

    ここで、 ike-policy1 は IKE ポリシー名、 ike-proposal1 は権限のある管理者が指定した IKE の提案名です。 プロンプトが表示されたら、事前共有キーを入力し、再入力する必要があります。たとえば、事前共有キーは CertSqa@jnpr2014、です。

    事前共有鍵は、16進形式で入力することもできます。例えば：

    ここでは、16 進数の事前共有キーは、 cc2014bae9876543です。

  3. IPsecプロポーザルを構成します。

    ここで、は権限 ipsec-proposal1 のある管理者によって指定されたIPsecプロポーザル名です。

  4. IPsecポリシーを構成します。

    ここで、 ipsec-policy1 はIPsecポリシー名、 ipsec-proposal1 は権限のある管理者が指定したIPsecプロポーザル名です。

  5. IKEを設定します。

    ここで、 gw1 は IKE ゲートウェイ名、 192.0.2.8 はピア VPN エンドポイント IP、 192.0.2.5 はローカル VPN エンドポイント IP、 ge-0/0/2 は VPN エンドポイントとしてのローカル送信インターフェイスです。IKEv2 の場合は、以下の追加設定も必要です

  6. VPN を構成します。

    ここで、は許可 vpn1 された管理者によって指定されたVPNトンネル名です。

  7. アウトバウンドフローポリシーを設定します。

    ここで、と trustZone untrustZone は事前設定済みのセキュリティゾーン、 trustLan および untrustLan は事前設定されたネットワークアドレスです。

  8. インバウンドフローポリシーを設定します。

    ここで、と trustZone untrustZone は事前設定済みのセキュリティゾーン、 trustLan および untrustLan は事前設定されたネットワークアドレスです。

  9. 設定をコミットします。

レスポンダでのIKE認証として事前共有キーを使用したIPSec VPNの設定

レスポンダーで事前共有キーIKE認証を使用してIPSec VPNを設定するには:

  1. IKE の提案を構成します。

    手記：

    は、 ike-proposal1 許可された管理者によって指定された IKE の提案名です。

  2. IKEポリシーを構成します。

    手記：

    ここで、 ike-policy1 は IKE ポリシー名、 ike-proposal1 は権限のある管理者が指定した IKE の提案名です。
    手記：

    プロンプトが表示されたら、事前共有キーを入力し、再入力する必要があります。たとえば、事前共有キーは CertSqa@jnpr2014、です。
    手記：

    事前共有キーは、16進形式で入力することもできます。例えば

    ここでは、16 進数の事前共有キーは、 cc2014bae9876543です。

  3. IPsecプロポーザルを構成します。

    手記：

    ここで、は権限 ipsec-proposal1 のある管理者によって指定されたIPsecプロポーザル名です。

  4. IPsecポリシーを構成します。

    手記：

    ここで、 ipsec-policy1 はIPsecポリシー名、 ipsec-proposal1 は権限のある管理者が指定したIPsecプロポーザル名です。

  5. IKEを設定します。

    手記：

    ここで、 gw1 は IKE ゲートウェイ名、 192.0.2.5 はピア VPN エンドポイント IP、 192.0.2.8 はローカル VPN エンドポイント IP、 ge-0/0/2 は VPN エンドポイントとしてのローカル送信インターフェイスです。IKEv2 の場合は、以下の追加設定も必要です。

  6. VPN を構成します。

    手記：

    ここで、は許可 vpn1 された管理者によって指定されたVPNトンネル名です。

  7. アウトバウンドフローポリシーを設定します。

    手記：

    ここで、と trustZone untrustZone は事前設定済みのセキュリティゾーン、 trustLan および untrustLan は事前設定されたネットワークアドレスです。

  8. インバウンドフローポリシーを設定します。

    手記：

    ここで、と trustZone untrustZone は事前設定済みのセキュリティゾーン、 trustLan および untrustLan は事前設定されたネットワークアドレスです。

  9. 設定をコミットします。

IKE 認証用の RSA シグネチャによる IPSec VPN の設定

次のセクションでは、RSA シグネチャを IKE 認証方法として使用して IPSec VPN 用に Junos OS デバイスを設定する例を示します。一方、IKE/IPsec 認証/暗号化で使用されるアルゴリズムは次の表に示されています。このセクションでは、Junos OS を実行するデバイスを、IKE 認証方法として RSA 署名を使用して、IPSec VPN 用に設定します。IKE または IPsec 認証または暗号化に使用されるアルゴリズムを 表 3 に示します。

表 3:IKE/IPsec 認証と暗号化

IKE プロトコル

トンネルモード

フェーズ1ネゴシエーションモード

フェーズ1プロポーザル(P1、IKE)

認証方法

認証アルゴリズム

DHグループ

暗号化アルゴリズム

IKEv1

メイン

ルート

RSA-シグネチャ-2048

SHA-256

グループ19

AES-128-CBC

IKE プロトコル

トンネルモード

フェーズ1ネゴシエーションモード

フェーズ2プロポーザル(P2、IPsec)

認証アルゴリズム

DHグループ(PFS)

暗号化方式

暗号化アルゴリズム

IKEv1

メイン

ルート

hmac-sha-256-128

グループ19

ESP

AES-128-CBC

イニシエーターまたはレスポンダーでのIKE認証としてのRSAシグネチャ付きIPSec VPNの設定

イニシエーターでRSA署名IKE認証を使用したIPSec VPNを設定するには、次の手順に従います。

  1. PKI を設定します。 例:PKI の設定を参照してください。

  2. RSA キー ペアを生成します。 「例: 公開鍵と秘密鍵のペアの生成」を参照してください。

  3. CA 証明書を生成してロードします。 「例:CA 証明書とローカル証明書を手動でロードする」を参照してください。

  4. CRL を読み込みます。 例:デバイスへの CRL の手動ロード を参照してください。

  5. ローカル証明書を生成してロードします。 「例:CA 証明書とローカル証明書を手動でロードする」を参照してください。

  6. IKE の提案を構成します。

    手記：

    ここで、 ike-proposal1 権限のある管理者によって与えられた名前です。

  7. IKEポリシーを構成します。

    手記：

    ここでは、 ike-policy1 権限のある管理者によって指定されたIKEポリシー名です。

  8. IPsecプロポーザルを構成します。

    手記：

    ここで、 ipsec-proposal1 権限のある管理者によって与えられた名前です。

  9. IPsecポリシーを構成します。

    手記：

    ここで、 ipsec-policy1 権限のある管理者によって与えられた名前です。

  10. IKEを設定します。

    手記：

    ここで、 192.0.2.8 はピア VPN エンドポイント IP、 192.0.2.5 はローカル VPN エンドポイント IP、 fe-0/0/1 は VPN エンドポイントとしてのローカル送信インターフェイスです。IKEv2 では、以下の設定も必要です。

  11. VPN を構成します。

    手記：

    ここで、は許可 vpn1 された管理者によって指定されたVPNトンネル名です。

  12. アウトバウンドフローポリシーを設定します。

    手記：

    ここで、と trustZone は untrustZone 事前設定済みのセキュリティゾーン、 trustLan および untrustLan は事前設定されたネットワークアドレスです。

  13. インバウンドフローポリシーを設定します。

    手記：

    ここで、と trustZone untrustZone は事前設定済みのセキュリティゾーン、 trustLan および untrustLan は事前設定されたネットワークアドレスです。

  14. 設定をコミットします。

IKE 認証用の ECDSA シグネチャを使用した IPSec VPN の設定

このセクションでは、Junos OS を実行するデバイスを、IKE 認証方法として ECDSA シグネチャを使用して、IPSec VPN 用に設定します。 表 4 は、IKE または IPsec 認証または暗号化に使用されるアルゴリズムを示しています。

表 4:IKE または IPsec 認証と暗号化

IKE プロトコル

トンネルモード

フェーズ1ネゴシエーションモード

フェーズ1プロポーザル(P1、IKE)

認証方法

認証アルゴリズム

DHグループ

暗号化アルゴリズム

IKEv1

メイン

ルート

ECDSA-シグネチャ-256

SHA-384

グループ14

AES-256-CBC

IKE プロトコル

トンネルモード

フェーズ1ネゴシエーションモード

フェーズ2プロポーザル(P2、IPsec)

認証アルゴリズム

DHグループ(PFS)

暗号化方式

暗号化アルゴリズム

IKEv1

メイン

ルート

アルゴリズムなし

グループ14

ESP

AES-256-GCM

ECDSAシグネチャを使用したIPSec VPNの設定 イニシエーターでのIKE認証

イニシエータでECDSA署名IKE認証を使用してIPSec VPNを設定するには、次の手順に従います。

  1. PKI を設定します。 例:PKI の設定を参照してください。

  2. RSA キー ペアを生成します。 「例: 公開鍵と秘密鍵のペアの生成」を参照してください。

  3. CA 証明書を生成してロードします。 「例:CA 証明書とローカル証明書を手動でロードする」を参照してください。

  4. CRL を読み込みます。 例:デバイスへの CRL の手動ロード を参照してください。

  5. ローカル証明書を生成してロードします。 「例:CA 証明書とローカル証明書を手動でロードする」を参照してください。

  6. IKE の提案を構成します。

    手記：

    は、 ike-proposal1 許可された管理者によって指定された IKE の提案名です。

  7. IKEポリシーを構成します。

  8. IPsecプロポーザルを構成します。

    手記：

    ここで、は権限 ipsec-proposal1 のある管理者によって指定されたIPsecプロポーザル名です。

  9. IPsecポリシーを構成します。

    手記：

    ここで、 ipsec-policy1 はIPsecポリシー名、 ipsec-proposal1 は権限のある管理者が指定したIPsecプロポーザル名です。

  10. IKEを設定します。

    手記：

    ここで、 gw1 は IKE ゲートウェイ名、 192.0.2.8 はピア VPN エンドポイント IP、 192.0.2.5 はローカル VPN エンドポイント IP、 ge-0/0/2 は VPN エンドポイントとしてのローカル送信インターフェイスです。IKEv2 では、以下の設定も必要です。

  11. VPN を構成します。

    手記：

    ここで、は許可 vpn1 された管理者によって指定されたVPNトンネル名です。

  12. アウトバウンドフローポリシーを設定します。

    手記：

    ここで、と trustZone untrustZone は事前設定済みのセキュリティゾーン、 trustLan および untrustLan は事前設定されたネットワークアドレスです。

  13. インバウンドフローポリシーを設定します。

    手記：

    ここで、と trustZone untrustZone は事前設定済みのセキュリティゾーン、 trustLan および untrustLan は事前設定されたネットワークアドレスです。

  14. 設定をコミットします。

ECDSA シグネチャを使用した IPSec VPN の設定 レスポンダでのIKE認証

レスポンダでECDSA署名IKE認証を使用してIPSec VPNを設定するには:

  1. PKI を設定します。 例:PKI の設定を参照してください。

  2. ECDSA キー ペアを生成します。 「例: 公開鍵と秘密鍵のペアの生成」を参照してください。

  3. CA 証明書を生成してロードします。 「例:CA 証明書とローカル証明書を手動でロードする」を参照してください。

  4. CRL を読み込みます。 例:デバイスへの CRL の手動ロード を参照してください。

  5. IKE の提案を構成します。

    手記：

    は、 ike-proposal1 許可された管理者によって指定された IKE の提案名です。

  6. IKEポリシーを構成します。

  7. IPsecプロポーザルを構成します。

    手記：

    ここで、は権限 ipsec-proposal1 のある管理者によって指定されたIPsecプロポーザル名です。

  8. IPsecポリシーを構成します。

    手記：

    ここで、 ipsec-policy1 はIPsecポリシー名、 ipsec-proposal1 は権限のある管理者が指定したIPsecプロポーザル名です。

  9. IKEを設定します。

    手記：

    ここで、 gw1 は IKE ゲートウェイ名、 192.0.2.5 はピア VPN エンドポイント IP、 192.0.2.8 はローカル VPN エンドポイント IP、 ge-0/0/1 は VPN エンドポイントとしてのローカル送信インターフェイスです。IKEv2 では、以下の設定も必要です。

  10. VPN を構成します。

    手記：

    ここで、は許可 vpn1 された管理者によって指定されたVPNトンネル名です。

  11. アウトバウンドフローポリシーを設定します。

    手記：

    ここで、と trustZone untrustZone は事前設定済みのセキュリティゾーン、 trustLan および untrustLan は事前設定されたネットワークアドレスです。

  12. インバウンドフローポリシーを設定します。

    手記：

    ここで、と trustZone untrustZone は事前設定済みのセキュリティゾーン、 trustLan および untrustLan は事前設定されたネットワークアドレスです。

  13. 設定をコミットします。

参照