Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
項目一覧
 

Junos OS を搭載したデバイスでの VPN の設定

このセクションでは、以下の IKE 認証方法を使用した Junos OS デバイス上の IPSec VPN の設定例について説明します。

図 1 は、このセクションで説明するすべての例で使用される VPN トポロジーを示しています。ここで、H0 と H1 はホスト PC であり、R0 と R2 は IPSec VPN トンネルの 2 つのエンドポイントであり、R1 は 2 つの異なるネットワーク間でトラフィックをルーティングするためのルータです。

手記：

ルーターR1は、Linuxベースのルーター、ジュニパーネットワークスのデバイス、または他のベンダーのルーターにすることができます。
図 1:VPNトポロジー VPN Topology

表 1 は、IKE プロトコル、トンネル モード、フェーズ 1 ネゴシエーション モード、認証方法またはアルゴリズム、暗号化アルゴリズム、IKE 認証と暗号化(フェーズ 1、IKE プロポーザル)、および IPsec 認証と暗号化(フェーズ 2、IPsec プロポーザル)でサポートされている DH グループの一覧を示しています。記載されているプロトコル、モード、およびアルゴリズムは、22.2R1共通基準でサポートおよび必須です。

表 1:VPN コンビネーション マトリクス

IKE プロトコル

トンネルモード

フェーズ1ネゴシエーションモード

フェーズ1プロポーザル(P1、IKE)

認証方法

認証アルゴリズム

DHグループ

暗号化アルゴリズム

IKEv1

メイン

ルート

事前共有キー

SHA-256

グループ14

IKEv2

    

RSA-シグネチャ-2048

SHA-384

グループ19

AES-128-CBC
     

ECDSA-シグネチャ-256

  

グループ20

AES-128-GCM
     

ECDSA-シグネチャ-384

  

グループ24

AES-192-CBC
           

AES-256-CBC
           

AES-256-GCM

IKE プロトコル

トンネルモード

フェーズ1ネゴシエーションモード

フェーズ2プロポーザル(P2、IPsec)

認証アルゴリズム

DHグループ(PFS)

暗号化方式

暗号化アルゴリズム

IKEv1

メイン

ルート

hmac-sha1-96

グループ14

ESP

IKEv2

    

hmac-sha-256-128

グループ19

  

AES-128-CBC
       

グループ20

  

AES-128-GCM
       

グループ24

  

AES-192-CBC
           

AES-192-GCM
           

AES-256-CBC
           

AES-256-GCM
手記：

以下のセクションでは、選択したアルゴリズムに対する IKEv1 IPSec VPN の設定例を紹介します。認証アルゴリズムは、ユーザーが望む設定を実現するために、設定で置き換えることができます。IKEv2 IPSec VPN set security ike gateway <gw-name> version v2-only コマンドを使用します。

IKE 認証用の事前共有キーを使用した IPSec VPN の設定

このセクションでは、Junos OS を実行するデバイスを、IKE 認証方法として事前共有キーを使用して、IPSec VPN 用に設定します。IKE または IPsec 認証または暗号化に使用されるアルゴリズムを表 2 に示します

表 2:IKE または IPsec 認証

IKE プロトコル

トンネルモード

フェーズ1ネゴシエーションモード

フェーズ1プロポーザル(P1、IKE)

認証方法

認証アルゴリズム

DHグループ

暗号化アルゴリズム

IKEv1

メイン

ルート

事前共有キー

SHA-256

グループ14

AES-256-CBC

IKE プロトコル

トンネルモード

フェーズ1ネゴシエーションモード

フェーズ2プロポーザル(P2、IPsec)

認証アルゴリズム

DHグループ(PFS)

暗号化方式

暗号化アルゴリズム

IKEv1

メイン

ルート

hmac-sha-256-128

グループ14

ESP

AES-256-CBC
手記：

Junos OS を実行するデバイスは、IPsec に証明書ベースの認証または事前共有キーを使用します。TOEでは、大文字、小文字、数字、特殊文字(!、@、#、$、%、^、&、*、(、)などを含む255文字(およびそれに相当する2進数)までのASCII事前共有キーまたはビットベースのキーを利用できます。デバイスは、事前共有テキスト キーを受け取り、IKEv1 の RFC 2409 または IKEv2 の RFC 4306 に従って、IKE 交換のハッシュ アルゴリズムとして構成された PRF を使用して、テキスト文字列を認証値に変換します。GCMを使用する場合、暗号化ハッシュは認証と暗号化のために考慮されます。Junos OS では、事前共有鍵の複雑さに関する最小要件は課されていません。したがって、ユーザーは、十分な複雑さを持つ長い事前共有キーを慎重に選択することをお勧めします。

イニシエーターでのIKE認証として事前共有キーを使用したIPSec VPNの設定

イニシエーターで事前共有キーIKE認証を使用してIPSec VPNを設定するには、次の手順に従います。

  1. IKE の提案を構成します。

    手記：

    ここで、 ike-proposal1 は権限のある管理者によって指定されたIKE の提案名です。

  2. IKEポリシーを構成します。

    手記：

    ここで、 ike-policy1 は IKE ポリシー名で、 ike-proposal1 は許可された管理者によって指定されたIKE の提案名です。
    手記：

    プロンプトが表示されたら、事前共有キーを入力し、再入力する必要があります。たとえば、事前共有キーを CertSqa@jnpr2014できます。
    手記：

    事前共有鍵は、16進形式で入力することもできます。例えば：

    16 進数の事前共有キー値を入力します。

  3. IPsecプロポーザルを構成します。

    手記：

    ここで、 ipsec-proposal1 は、権限のある管理者によって指定されたIPsecプロポーザル名です。

  4. IPsecポリシーを構成します。

    手記：

    ここで、 ipsec-policy1 は IPsec ポリシー名、 ipsec-proposal1 は権限のある管理者によって指定された IPsec プロポーザル名です。

  5. IKEを設定します。

    手記：

    ここで、 gw1 は IKE ゲートウェイ名、 192.0.2.8 はピア VPN エンドポイント IP、 192.0.2.5 はローカル VPN エンドポイント IP、 ge-0/0/2 は VPN エンドポイントとしてのローカル送信インターフェイスです。IKEv2 の場合は、以下の追加設定も必要です

  6. VPN を構成します。

    手記：

    ここで、 vpn1 は、権限のある管理者によって指定された VPN トンネル名です。

  7. アウトバウンドフローポリシーを設定します。

    手記：

    ここでは、 trustZone と untrustZone が事前設定されたセキュリティゾーンであり、 trustLan と untrustLan が事前設定されたネットワークアドレスです。

  8. インバウンドフローポリシーを設定します。

    手記：

    ここでは、 trustZone と untrustZone が事前設定されたセキュリティゾーンであり、 trustLan と untrustLan が事前設定されたネットワークアドレスです。

  9. 設定をコミットします。

レスポンダでのIKE認証として事前共有キーを使用したIPSec VPNの設定

レスポンダーで事前共有キーIKE認証を使用してIPSec VPNを設定するには:

  1. IKE の提案を構成します。

    手記：

    ここで、 ike-proposal1 は権限のある管理者によって指定されたIKE の提案名です。

  2. IKEポリシーを構成します。

    手記：

    ここで、 ike-policy1 は IKE ポリシー名で、 ike-proposal1 は許可された管理者によって指定されたIKE の提案名です。
    手記：

    プロンプトが表示されたら、事前共有キーを入力し、再入力する必要があります。たとえば、事前共有キーを CertSqa@jnpr2014できます。
    手記：

    事前共有キーは、16進形式で入力することもできます。例えば

    ここでは、16 進数の事前共有キーを cc2014bae9876543できます。

  3. IPsecプロポーザルを構成します。

    手記：

    ここで、 ipsec-proposal1 は、権限のある管理者によって指定されたIPsecプロポーザル名です。

  4. IPsecポリシーを構成します。

    手記：

    ここで、 ipsec-policy1 は IPsec ポリシー名、 ipsec-proposal1 は権限のある管理者によって指定された IPsec プロポーザル名です。

  5. IKEを設定します。

    手記：

    ここで、 gw1 は IKE ゲートウェイ名、 192.0.2.5 はピア VPN エンドポイント IP、 192.0.2.8 はローカル VPN エンドポイント IP、 ge-0/0/2 は VPN エンドポイントとしてのローカル送信インターフェイスです。IKEv2 の場合は、以下の追加設定も必要です。

  6. VPN を構成します。

    手記：

    ここで、 vpn1 は権限のある管理者によって指定された VPN トンネル名です。

  7. アウトバウンドフローポリシーを設定します。

    手記：

    ここでは、 trustZone と untrustZone が事前設定されたセキュリティゾーンであり、 trustLan と untrustLan が事前設定されたネットワークアドレスです。

  8. インバウンドフローポリシーを設定します。

    手記：

    ここでは、 trustZone と untrustZone が事前設定されたセキュリティゾーンであり、 trustLan と untrustLan が事前設定されたネットワークアドレスです。

  9. 設定をコミットします。

IKE 認証用の RSA シグネチャによる IPSec VPN の設定

次のセクションでは、RSA シグネチャを IKE 認証方法として使用して IPSec VPN 用に Junos OS デバイスを設定する例を示します。一方、IKE/IPsec 認証/暗号化で使用されるアルゴリズムは次の表に示されています。このセクションでは、Junos OS を実行するデバイスを、IKE 認証方法として RSA 署名を使用して、IPSec VPN 用に設定します。IKE または IPsec 認証または暗号化に使用されるアルゴリズムを 表 3 に示します。

表 3:IKE/IPsec 認証と暗号化

IKE プロトコル

トンネルモード

フェーズ1ネゴシエーションモード

フェーズ1プロポーザル(P1、IKE)

認証方法

認証アルゴリズム

DHグループ

暗号化アルゴリズム

IKEv1

メイン

ルート

RSA-シグネチャ-2048

SHA-256

グループ19

AES-128-CBC

IKE プロトコル

トンネルモード

フェーズ1ネゴシエーションモード

フェーズ2プロポーザル(P2、IPsec)

認証アルゴリズム

DHグループ(PFS)

暗号化方式

暗号化アルゴリズム

IKEv1

メイン

ルート

hmac-sha-256-128

グループ19

ESP

AES-128-CBC

イニシエーターまたはレスポンダーでのIKE認証としてのRSAシグネチャ付きIPSec VPNの設定

イニシエーターでRSA署名IKE認証を使用したIPSec VPNを設定するには、次の手順に従います。

  1. PKI を設定します。 例:PKI の設定を参照してください。

  2. RSA キー ペアを生成します。 「例: 公開鍵と秘密鍵のペアの生成」を参照してください。

  3. CA 証明書を生成してロードします。 「例:CA 証明書とローカル証明書を手動でロードする」を参照してください。

  4. CRL を読み込みます。 例:デバイスへの CRL の手動ロード を参照してください。

  5. ローカル証明書を生成してロードします。 「例:CA 証明書とローカル証明書を手動でロードする」を参照してください。

  6. IKE の提案を構成します。

    手記：

    ここで、 ike-proposal1 は権限のある管理者によって指定された名前です。

  7. IKEポリシーを構成します。

    手記：

    ここでは、権限 ike-policy1 与えられた管理者によって指定されたIKEポリシー名です。

  8. IPsecプロポーザルを構成します。

    手記：

    ここで、 ipsec-proposal1 は権限のある管理者によって指定された名前です。

  9. IPsecポリシーを構成します。

    手記：

    ここで、 ipsec-policy1 は権限のある管理者によって指定された名前です。

  10. IKEを設定します。

    手記：

    ここで、 192.0.2.8 はピア VPN エンドポイント IP、 192.0.2.5 はローカル VPN エンドポイント IP、 fe-0/0/1 は VPN エンドポイントとしてのローカル送信インターフェイスです。IKEv2 では、以下の設定も必要です。

  11. VPN を構成します。

    手記：

    ここで、 vpn1 は権限のある管理者によって指定された VPN トンネル名です。

  12. アウトバウンドフローポリシーを設定します。

    手記：

    ここでは、 trustZone と untrustZone は事前設定されたセキュリティゾーンであり、 trustLan と untrustLan は事前設定されたネットワークアドレスです。

  13. インバウンドフローポリシーを設定します。

    手記：

    ここでは、 trustZone と untrustZone は事前設定されたセキュリティゾーンであり、 trustLan と untrustLan は事前設定されたネットワークアドレスです。

  14. 設定をコミットします。

IKE 認証用の ECDSA シグネチャを使用した IPSec VPN の設定

このセクションでは、Junos OS を実行するデバイスを、IKE 認証方法として ECDSA シグネチャを使用して、IPSec VPN 用に設定します。 表 4 は、IKE または IPsec 認証または暗号化に使用されるアルゴリズムを示しています。

表 4:IKE または IPsec 認証と暗号化

IKE プロトコル

トンネルモード

フェーズ1ネゴシエーションモード

フェーズ1プロポーザル(P1、IKE)

認証方法

認証アルゴリズム

DHグループ

暗号化アルゴリズム

IKEv1

メイン

ルート

ECDSA-シグネチャ-256

SHA-384

グループ14

AES-256-CBC

IKE プロトコル

トンネルモード

フェーズ1ネゴシエーションモード

フェーズ2プロポーザル(P2、IPsec)

認証アルゴリズム

DHグループ(PFS)

暗号化方式

暗号化アルゴリズム

IKEv1

メイン

ルート

アルゴリズムなし

グループ14

ESP

AES-256-GCM

ECDSAシグネチャを使用したIPSec VPNの設定 イニシエーターでのIKE認証

イニシエータでECDSA署名IKE認証を使用してIPSec VPNを設定するには、次の手順に従います。

  1. PKI を設定します。 例:PKI の設定を参照してください。

  2. ECDSA キー ペアを生成します。 「例: 公開鍵と秘密鍵のペアの生成」を参照してください。

  3. CA 証明書を生成してロードします。 「例:CA 証明書とローカル証明書を手動でロードする」を参照してください。

  4. CRL を読み込みます。 例:デバイスへの CRL の手動ロード を参照してください。

  5. ローカル証明書を生成してロードします。 「例:CA 証明書とローカル証明書を手動でロードする」を参照してください。

  6. IKE の提案を構成します。

    手記：

    ここで、 ike-proposal1 は権限のある管理者によって指定されたIKE の提案名です。

  7. IKEポリシーを構成します。

  8. IPsecプロポーザルを構成します。

    手記：

    ここで、 ipsec-proposal1 は権限のある管理者によって指定されたIPsecプロポーザル名です。

  9. IPsecポリシーを構成します。

    手記：

    ここで、 ipsec-policy1 は IPsec ポリシー名、 ipsec-proposal1 は権限のある管理者によって指定された IPsec プロポーザル名です。

  10. IKEを設定します。

    手記：

    ここで、 gw1 は IKE ゲートウェイ名、 192.0.2.8 はピア VPN エンドポイント IP、 192.0.2.5 はローカル VPN エンドポイント IP、 ge-0/0/2 は VPN エンドポイントとしてのローカル送信インターフェイスです。IKEv2 では、以下の設定も必要です。

  11. VPN を構成します。

    手記：

    ここで、 vpn1 は権限のある管理者によって指定された VPN トンネル名です。

  12. アウトバウンドフローポリシーを設定します。

    手記：

    ここでは、 trustZone と untrustZone は事前設定されたセキュリティゾーンであり、 trustLan と untrustLan は事前設定されたネットワークアドレスです。

  13. インバウンドフローポリシーを設定します。

    手記：

    ここでは、 trustZone と untrustZone は事前設定されたセキュリティゾーンであり、 trustLan と untrustLan は事前設定されたネットワークアドレスです。

  14. 設定をコミットします。

ECDSA シグネチャを使用した IPSec VPN の設定 レスポンダでのIKE認証

レスポンダでECDSA署名IKE認証を使用してIPSec VPNを設定するには:

  1. PKI を設定します。 例:PKI の設定を参照してください。

  2. ECDSA キー ペアを生成します。 「例: 公開鍵と秘密鍵のペアの生成」を参照してください。

  3. CA 証明書を生成してロードします。 「例:CA 証明書とローカル証明書を手動でロードする」を参照してください。

  4. CRL を読み込みます。 例:デバイスへの CRL の手動ロード を参照してください。

  5. IKE の提案を構成します。

    手記：

    ここで、 ike-proposal1 は権限のある管理者によって指定されたIKE の提案名です。

  6. IKEポリシーを構成します。

  7. IPsecプロポーザルを構成します。

    手記：

    ここで、 ipsec-proposal1 は、権限のある管理者によって指定されたIPsecプロポーザル名です。

  8. IPsecポリシーを構成します。

    手記：

    ここで、 ipsec-policy1 は IPsec ポリシー名、 ipsec-proposal1 は権限のある管理者によって指定された IPsec プロポーザル名です。

  9. IKEを設定します。

    手記：

    ここで、 gw1 は IKE ゲートウェイ名、 192.0.2.5 はピア VPN エンドポイント IP、 192.0.2.8 はローカル VPN エンドポイント IP、 ge-0/0/1 は VPN エンドポイントとしてのローカル送信インターフェイスです。IKEv2 では、以下の設定も必要です。

  10. VPN を構成します。

    手記：

    ここで、 vpn1 は権限のある管理者によって指定された VPN トンネル名です。

  11. アウトバウンドフローポリシーを設定します。

    手記：

    ここでは、 trustZone と untrustZone が事前設定されたセキュリティゾーンであり、 trustLan と untrustLan が事前設定されたネットワークアドレスです。

  12. インバウンドフローポリシーを設定します。

    手記：

    ここでは、 trustZone と untrustZone が事前設定されたセキュリティゾーンであり、 trustLan と untrustLan が事前設定されたネットワークアドレスです。

  13. 設定をコミットします。

関連資料