gateway (Security IKE)

ゲートウェイの名前。

プライマリIKE(インターネット鍵交換)ゲートウェイ(ピア)と最大4つのバックアップゲートウェイのIPv4またはIPv6アドレス、あるいはホスト名を指定します。

ikedプロセスを実行しているIPsec VPNで複数のピアアドレスを設定する前に、以下の点を考慮してください。

• このオプションは、1 つのプライマリアドレスと最大 4 つのバックアップアドレスをサポートし、すべて同じ inet ファミリーに属します。

• 複数のピア アドレスを設定する前に、DPD を設定する必要があります。

• サイト間 VPN 構成のみが複数のピア アドレスをサポートします。

• HA 構成では、複数のピア アドレスはサポートされていません。

  注意：

  ピアアドレスを変更する場合は注意してください。

  • アクティブなピア アドレスを削除すると、ピア アドレス リストが更新され、次に使用可能なピア アドレスがアクティブと見なされます。これは致命的な動作であり、VPN トンネルは破棄され、ピア アドレス リストに従って新しいトンネルがネゴシエートされます。

  • 非アクティブなピア アドレスを削除すると、ピア アドレス リストは更新されますが、トンネルへの影響がないため、致命的なイベントは発生しません。

  • 新しいピア アドレスを追加しても、そのピア アドレスはリストの末尾に追加されるため、トンネルへの影響はありません。

• 値：

  • アドレス—IKEゲートウェイのIPv4またはIPv6アドレスまたはホスト名。

    これは値のリストです。ピア アドレスの優先度は、リスト内のアドレスの順序に基づきます。

• 範囲：

  • アクティブ ピア アドレスと最大 4 つのバックアップ ピア アドレスを含む、最大 5 つのピア アドレスをサポートします。

VPN トンネルにアクセスしようとするリモート ユーザーに対して、IKE フェーズ 1 認証に加えて拡張認証を実行することを指定します。

指定したゲートウェイで自動検出 VPN (ADVPN) プロトコルを有効にします。ADVPN は、スポーク間に VPN トンネルを動的に確立し、ハブを経由するトラフィックのルーティングを回避します。

デバイスがデッドピア検出(DPD)を使用できるようにします。

動的IPv4またはIPv6アドレスを使用して、リモートゲートウェイの識別子を指定します。このステートメントは、未指定の IPv4 または IPv6 アドレスを持つゲートウェイで VPN をセットアップするために使用します。

IPsec VPNへのトラフィック送信に使用するインターフェイスの名前。IKE SAの送信インターフェイスを指定します。このインターフェイスは、キャリアとして機能するゾーンに関連付けられ、ファイアウォール セキュリティを提供します。

IKEv2 パケットのフラグメント化を無効にし、必要に応じて、メッセージが個別に暗号化および認証されるフラグメントに分割されるまでの IKEv2 メッセージの最大サイズを設定します。

一般的にピアIKE-IDを受け入れます。

ゲートウェイに使用するIKEポリシーを指定します。

IKE ネゴシエーション用のローカル IP アドレス。ローカルゲートウェイアドレスを指定します。VPN ピアへの外部物理インターフェイス上で、同じアドレスファミリー内の複数のアドレスを設定できます。この場合は、 を設定する local-address ことをお勧めします。外部物理インターフェイスに設定されたアドレスが1つ(IPv4またはIPv6)のみの場合は、 local-address 設定する必要はありません。

値は local-address 、SRXシリーズファイアウォール上のインターフェイスに設定されているIPアドレスである必要があります。IKEゲートウェイの外部インターフェイスに属することをお勧めします local-address 。ローカルアドレスがIKEゲートウェイの外部インターフェイスに属していない場合、インターフェイスはIKEゲートウェイの外部インターフェイスと同じゾーンにあり、トラフィックを許可するようにゾーン内セキュリティポリシーが構成されている必要があります。値とリモート IKE ゲートウェイ アドレスは local-address 、IPv4 または IPv6 のいずれかの同じアドレス ファミリー内にある必要があります。

通信を確立するために宛先ピアとの交換で送信するローカルIKE IDを指定します。

NAT 変換を続行できるように、NAT キープアライブ パケットを送信できる間隔(秒)を指定します。Junos OSリリース12.1X46-D10でデフォルト値が5秒から20秒に変更されました。

• デフォルト: 20

• 範囲: 1 から 300

IPSec NAT トラバーサルを無効にします。ネットワーク アドレス変換トラバーサル(NAT-T)とも呼ばれる、IPsec ESP(カプセル化セキュリティ ペイロード)パケットの UDP カプセル化を無効にします。NAT-Tはデフォルトで有効になっています。

リモートアクセスクライアントのTCP接続に使用するTCPカプセル化プロファイルを指定します。

接続の開始に使用するIKEのバージョンを指定します。

• 値：

  • v1 のみ:IKE バージョン 1 を使用して接続を開始する必要があります。これがデフォルトです。

  • v2 のみ - IKE バージョン 2 を使用して接続を開始する必要があります