レイヤー3 VPNでのIPsecの使用
VPN内でIPsecを構成する際に留意すべき重要な概念には、次のようなものがあります。
[edit routing-instances instance-name]階層レベルでinterface sp-fpc/pic/portステートメントを含めて、ネクストホップ スタイル サービス セットの内部サービス インターフェイスをルーティング インスタンスに追加します。インターフェイススタイルのサービスセットの場合、サービスセットを適用するインターフェイスとサービスインターフェイスを、
[edit routing-instances instance-name]階層レベルで両方のインターフェイスを含めて追加します。サービス セット内のローカル ゲートウェイのルーティング インスタンスを定義するには、
[edit services service-set service-set-name ipsec-vpn-options local-gateway address]階層レベルで routing-instance instance-name オプションを含めます。
以下のPE(プロバイダエッジ)ルータ上のAS PICの設定は、VPNルーティングおよび転送(VRF)ルーティングインスタンスでIKEダイナミックSAとともにネクストホップサービスセットを使用する方法を示しています。
[edit]
interfaces {
so-0/0/0 {
description "Interface connected to the customer edge (CE) router";
unit 0 {
family inet {
address 10.6.6.6/32;
}
}
}
so-2/2/0 {
description "Source IPsec tunnel interface to the network core";
unit 0 {
family inet {
address 10.10.1.1/30;
}
}
}
sp-3/1/0 {
description "AS PIC interface";
unit 0 {
family inet {
address 10.7.7.7/32;
}
}
unit 1 {
family inet;
service-domain inside;
}
unit 2 {
family inet;
service-domain outside;
}
}
}
policy-options {
policy-statement vpn-export-policy {
then {
community add community-name;
accept;
}
}
policy-statement vpn-import-policy {
term term-name {
from community community-name;
then accept;
}
}
community community-name members target:100:20;
}
routing-instances {
vrf {
instance-type vrf;
interface sp-3/1/0.1; # Inside sp interface.
interface so-0/0/0.0; # Interface that connects to the CE router.
route-distinguisher route-distinguisher;
vrf-import vpn-import-policy;
vrf-export vpn-export-policy;
routing-options {
static {
route ip-address/prefix next-hop so-0/0/0.0; # Routes for the CE router.
route ip-address/prefix next-hop sp-3/1/0.1; # Routes for IPsec.
}
}
}
}
services {
service-set service-set-name {
next-hop-service {
inside-service-interface sp-3/1/0.1;
outside-service-interface sp-3/1/0.2;
}
ipsec-vpn-options {
local-gateway 10.10.1.1;
}
ipsec-vpn-rules rule-name;
}
ipsec-vpn {
rule rule-name {
term term-name {
from {
source-address {
source-ip-address;
}
}
then {
remote-gateway 10.10.1.2;
dynamic {
ike-policy ike-policy-name;
}
}
}
match-direction direction;
}
ike {
policy ike-policy-name {
pre-shared-key ascii-text preshared-key;
}
}
}
}
VRF ルーティング インスタンスの詳細については、 『 Junos VPN 設定ガイド』を参照してください。ネクストホップ サービス セットの詳細については、 Junos サービス インターフェイス設定ガイドを参照してください。