例:IPsec VPN 用のシングル MX シリーズ(ECMP ベースの一貫性のあるハッシュ)とスケールアウトされた SRX シリーズ ファイアウォール(スタンドアロン)

概要

表 1 に、この例で使用されている展開コンポーネントを示します。

表 1: 展開の詳細

CSDSコンポーネント	の詳細
転送レイヤー	MX304とJunos OSリリース23.4R1以降
サービスレイヤー	vSRX 3.0 と Junos OS リリース 23.4R1 以降
冗長性	ロードバランサー向けのECMPベースの一貫性のあるハッシュを備えた単一のMXシリーズ。 SRXシリーズファイアウォール(スタンドアロン)
機能	IPsec VPN
追加コンポーネント	IPsecイニシエーターデバイス - SPC3カードを搭載したMXルーター。任意のIPsecイニシエータ デバイスを使用できます。

トラフィックフローとVPNの詳細については、 表2 と 表3 を参照してください。

表 2: IPsec VPN のトラフィック フロー

機能トラフィック	フローコンポーネントの	IPアドレス
SRX1、SRX2、SRX3 上の IPsec VPN	IKE ゲートウェイ ソース(IPsec イニシエーター)	200.0.0.0/8
	IKE ゲートウェイ宛先(IPsec レスポンダー)	100.0.0.1/32
	IPsec データ ソース	6.0.0.0/8
	IPsec データ送信先	75.0.0.0/8

表 3: IPsec VPN の詳細

デバイス	IKEゲートウェイIPsec	データエンドポイント
SRX1	200.0.0.1 および 100.0.0.1	6.0.0.3と75.0.0.3の間のトンネル1
SRX2	200.0.0.2 および 100.0.0.1	6.0.0.2と75.0.0.2の間のトンネル2
SRX3	200.0.0.6 および 100.0.0.1	6.0.0.1と75.0.0.1の間のトンネル3

トラフィックフローについては 表4 を参照してください。

表4:IPsec VPNサービス用のSRXシリーズファイアウォールへのロードバランサー

フロー タイプ	トラフィック フロー コンポーネントの	IP アドレス
SRXへのIKEイニシエータ	ソースロードバランサー(MXのルートフィルター)	100.0.0.1/32
IPsec VPN フォワード フロー	ルーティングベース
IPsec VPNリバースフロー	ルーティングベース	SRXごとの一意のARIルート

トポロジーの図

構成

この例を素早く設定するには、以下のコマンドをコピーしてテキスト・ファイルに貼り付け、改行を削除し、ネットワーク・コンフィギュレーションに合わせて必要な詳細を変更し、[edit]階層レベルのCLIにコマンドをコピー&ペーストし、コンフィギュレーション・モードからコミットを入力してください。

これらの構成はラボ環境からキャプチャされたものであり、参照用にのみ提供されています。実際の構成は、環境の特定の要件によって異なる場合があります。

次の項目は、この例の構成コンポーネントの一覧を示しています。

• MXシリーズを設定する
• IPsecイニシエーターを設定する
• SRX1の設定
• SRX2の設定
• SRX3の設定

検証

以下の項目は、この例の機能を検証するために使用される show コマンドのリストを示しています。

• MXシリーズ設定の確認
• SRX1の設定を確認する
• SRX2 の設定を確認する
• SRX3 の設定を確認する