IPsec VPNの概要

JunosオペレーティングシステムでサポートされているIPsec VPNトポロジーの一部を以下に示します。

• サイト間VPN：企業内の2つのサイトを相互に接続し、サイト間の安全な通信を可能にします。

• ハブアンドスポークVPN：企業ネットワーク内の支社／拠点と本社を接続します。このトポロジーを使用し、ハブ経由でトラフィックを送信することで、スポーク同士を接続することもできます。

• リモートアクセスVPN：自宅や外出先から会社のネットワークやリソースに接続できるようになります。このトポロジーは、end-to-site tunnelとも呼ばれます。

表 2 に、ポリシーベースVPNとルートベースVPNの違いについてまとめてあります。

このトピックでは、複数のVPNオブジェクト間でポイントツーポイントのst0論理インターフェイスを共有する方法について学習します。

Junos OSは、ikedプロセスを使用してIPSec VPNサービスを実行し、kmdプロセスからの移行パスを提供する場合、ポイントツーポイントst0論理インターフェイスの共有をサポートします。以下の前提条件を満たしている場合、ポイントツーポイントのst0インターフェイスを共有するように複数のVPNオブジェクトを設定できます。

• 明示的なトラフィックセレクターを設定しておきます。

• 構成でワイルドカード ネットワーク マスクを使用していません。

共有ポイントツーポイントst0インターフェイスの利点と制限を理解するには、以下をお読みください。

• メリット
• 限界
• サンプル構成

IPsec VPNトンネルは、トンネルの設定とセキュリティの適用で構成されています。トンネルの設定時に、ピアによりSA（セキュリティ アソシエーション）が確立され、それらの間で送信されるトラフィックのセキュリティに関するパラメーターが定義されます。IPsecの概要を参照してください。 トンネルが確立されると、IPsecは、トンネル設定時にSAで定義されたセキュリティパラメーターを適用して、2つのトンネルエンドポイント間で送信されるトラフィックを保護します。Junos OS実装では、IPsecはトンネルモードで適用され、これはESP（セキュリティペイロードのカプセル化）および AH（認証ヘッダー）プロトコルをサポートしています。

このトピックは、以下のセクションで構成されています。

トンネルモードでのパケット処理

IPsecは、トランスポートとトンネルの2つのモードのいずれかで動作します。トンネルの両端がホストである場合、どちらのモードを使用してもかまいません。トンネルの少なくとも1つのエンドポイントが、Junos OSルーターやファイアウォールなどのセキュリティ ゲートウェイである場合、トンネルモードを使用する必要があります。ジュニパーネットワークスのデバイスは、常にIPsecトンネルのトンネルモードで動作します。

トンネルモードでは、図 1 に示されているように、元のIPパケットすべて（ペイロードとヘッダー）を別のIPペイロード内でカプセル化し、それに新しいヘッダーを付加します。元のパケット全体に対し、暗号化、認証、またはその両方を行うことができます。AH（認証ヘッダー）プロトコルを使用すると、AHと新しいヘッダーも認証されます。ESP（セキュリティペイロードのカプセル化）プロトコルを使用すると、ESPヘッダーも認証できます。

図 1: トンネルモード

サイトツーサイトVPN では、新しいヘッダーで使用される送信元と宛先のアドレスは、発信インターフェイスのIPアドレスです。「図 2」を参照してください。

図 2: トンネルモードのサイトツーサイトVPN

ダイヤルアップVPN では、トンネルのVPNダイヤルアップクライアントにトンネルゲートウェイはありません。トンネルは、クライアント自身に直接拡張されます（図 3 を参照）。この場合、ダイヤルアップクライアントから送信されたパケットでは、新しいヘッダーとカプセル化された元のヘッダーの両方が、クライアントのコンピュータのIPアドレスを含んでいます。

Netscreen-Remoteなどの一部のVPNクライアントは、仮想内部IPアドレス（「スティッキーアドレス」とも呼ばれます）を使用します。Netscreen-Remoteを使用して、仮想IPアドレスを指定できます。この場合、仮想内部IPアドレスは、クライアントから送信されたトラフィックの元のパケットヘッダー内の送信元IPアドレスであり、ISPがダイヤルアップクライアントに動的に割り当てるIPアドレスは、外部ヘッダー内の送信元IPアドレスです。

図 3: トンネルモードのダイヤルアップVPN

SRX5400、SRX5600、SRX5800 デバイスでは、IKE は IPsec のトンネル管理機能を提供し、エンド エンティティを認証します。IKE は、Diffie-hellman（DH）鍵交換を実行して、ネットワーク デバイス間に IPsec トンネルを生成します。IKE によって生成される IPsec トンネルは、IP レイヤーのネットワーク デバイス間のユーザー トラフィックの暗号化、暗号解読、認証目的で使用されます。

VPN は、IKE と IPsec のワークロードをプラットフォームの複数の SPU（サービス処理ユニット）に分散することで作成されます。サイトツーサイト トンネルの場合、最小負荷の SPU がアンカー SPU として選択されます。複数の SPU が同じ最小負荷を持つ場合、それらのいずれかをアンカー SPU として選択できます。ここでは負荷は、サイトツーサイトのゲートウェイの数、または SPU に固定された手動 VPN トンネルに対応しています。動的トンネルの場合、新たに確立された動的トンネルがラウンドロビン アルゴリズムを使用して SPU を選択します。

IPsec の場合、ワークロードは IKE を分散するものと同じアルゴリズムによって分散されます。指定された VPN トンネルの終端ポイント ペアのフェーズ 2 SA は、特定の SPU によって排他的に所有され、このフェーズ 2 SA に属するすべての IPsec パケットが、IPsec 処理のためにこの SA の アンカー SPU に転送されます。

複数の IPsec セッション（フェーズ 2 SA）は、1 つまたは複数の IKE セッションで動作します。IPsec セッションを固定するために選択された SPU は、基となる IKE セッションを固定している SPU に基づいています。そのため、1 つの IKE ゲートウェイで実行されるすべての IPsec セッションは、同じ SPU によってサービス提供され、複数の SPU で負荷分散されることはありません。

表 3は、3台のSPUで、3台のIKEゲートウェイ上に7台のIPsecトンネルを実行しているSRX5000シリーズの例を示しています。

3 つの SPU では、各 IKE ゲートウェイの負荷が均等に分散されています。新しい IKE ゲートウェイが作成された場合は、SPU0、SPU1、または SPU2 を選択して、IKE ゲートウェイとその IPsec セッションを固定できます。

既存の IPsec トンネルを設定、破棄しても、基となる IKE セッションや既存の IPsec トンネルには影響を与えません。

次の show コマンドを使用して、SPU ごとの現在のトンネル数を表示します。show security ike tunnel-map.

各ゲートウェイのアンカー ポイントを表示するには、コマンドの summary オプションを使用します。show security ike tunnel-map summary.

SRX5400、SRX5600、または SRX5800シャーシクラスターでは、既存のIKEまたはIPsec VPNトンネルのトラフィックに影響を与えたり中断したりすることなく、新しいSPCをデバイスに挿入できます。クラスターの各シャーシに新しいSPCを挿入しても、既存のトンネルは影響を受けず、トラフィックは中断されることなく流れ続けます。

Junos OSリリース19.4R1以降、すべてのSRX5000シリーズシャーシクラスターで、新しいSRX5K-SPC3（SPC3）またはSRX5K-SPC-4-15-320（SPC2）カードをSPC3カードが含まれる既存のシャーシに差し込むことができるようになりました。カードは、シャーシ上の既存の SPC3 カードよりも上位のスロットにのみ挿入できます。SPC3 を挿入した後、ノードを再起動してカードをアクティブにする必要があります。ノードの再起動が完了すると、IPsecトンネルがカードに分散されます。

しかし、既存のトンネルは、新しいSPCのSPU（サービス処理ユニット）の処理能力を利用できません。新しいSPUでは、新たに確立されたサイトツーサイトトンネルおよび動的トンネルを固定することができます。しかし、新たに設定されたトンネルは、新しい SPU で固定されることが保証されるわけではありません。

サイトツーサイト トンネルは、ロードバランシング アルゴリズムに基づき、別の SPU に固定されます。ロードバランシングアルゴリズムは、各SPUが使用している数値フロー スレッドに依存します。同じローカルおよびリモート ゲートウェイ IP アドレスに属するトンネルは、SPU で使用される別のフロー RT スレッドの同じ SPU に固定されます。最小負荷のSPUがアンカーSPUとして選択されます。各SPUは、特定のSPUでホストされているフローRTスレッドの数を管理しています。各SPUでホストされるフローRTスレッドの数は、SPUのタイプによって異なります。

トンネルの負荷係数 = SPU で固定されるトンネルの数 / SPU が使用するフロー RT スレッドの合計数

動的トンネルは、ラウンドロビンアルゴリズムに基づき、異なるSPUに固定されます。新たに設定された動的トンネルは、新しい SPC で固定されることが保証されるわけではありません。

Junos OSリリース18.2R2および18.4R1以降、現在SRX5K-SPC3（SPC3）でのみサポートされている既存のすべてのIPsec VPN機能は、SRX5K-SPC-4-15-320（SPC2）およびSPC3カードがインストールされ、シャーシクラスタモードまたはスタンドアロンモードのデバイスで動作している場合に、SRX5400、SRX5600、SRX5800デバイスでもサポートされるようになります。

SPC2カードとSPC3カードの両方がインストールされている場合は、show security ipsec tunnel-distribution コマンドを使用して、別のSPUのトンネルマッピングを検証できます。

SPC2 カードのみが挿入された別の SPU のトンネル マッピングを表示するには、show security ike tunnel-map コマンドを使用します。SPC2 カードおよび SPC3 カードがインストールされている環境では、show security ike tunnel-map コマンドは無効です。

SPC3カードの挿入：ガイドラインと制限：

• シャーシクラスタでは、ノードの1つに1つの SPC3 カードがあり、もう一方のノードに2つのSPC3カードがある場合、1つのSPC3カードがある方のノードへのフェイルオーバーはサポートされていません。

• 下位のスロットにある現在のSPC3より上位のスロットにある既存のシャーシに、SPC3またはSPC2を挿入する必要があります。

• SPC3 ISHU を機能させるためには、新しい SPC3 カードをより上位のスロット番号に挿入する必要があります。

• SRX5800 シャーシ クラスタでは、電力と熱分散に制限があるため、最上位スロット（スロット番号 11）に SPC3 カードを挿入しないでください。

• SPC3の動作中の取り出しはサポートしていません。

表 4はkmd、またはikedプロセスをサポートするSPC2あるいはSPC3カードが含まれるSRX5000シリーズの概要です。

SRX5K-SPC3カード（サービス処理カード）を搭載したSRX5000シリーズ、SRXミッドレンジプラットフォーム（SRX4100、SRX4200、SRX1500、SRX4600シリーズファイアウォール）とvSRX仮想ファイアウォールでIPsec VPN機能をインストールおよび有効にするには、コントロールプレーンソフトウェアとしてjunos-ikeパッケージが必要です。

• RE3を搭載したSRX5000シリーズでは、デフォルトで、junos-ikeパッケージがJunos OSリリース20.1R2、20.2R2、20.3R2、20.4R1以降にインストールされます。このため、IPsecキー管理されたデーモン（kmd）ではなくikedおよびikemdプロセスが、デフォルトでルーティングエンジンで実行されます。SRX5K-SPC3を備えたSRX5000シリーズでは、暗号化操作をハードウェア暗号化エンジンへとオフロードします。

• SRX1500、SRX4100、SRX4200、SRX4600シリーズファイアウォールをカバーするSRXミッドレンジプラットフォームは、junos-ikeソフトウェアが実行されるデバイスで、DH、RSA、ECDSA暗号化操作をハードウェア暗号化エンジンにオフロードします。この機能は、junos-ikeパッケージがインストールされたデバイスで、Junos OSリリース23.2R1から利用できます。レガシーikedソフトウェア（kmdプロセス）を引き続き実行しているデバイスでは、この機能はサポートされません。

• vSRX仮想ファイアウォールでは、データプレーンCPUスレッドがDH、RSA、ECDSA操作をオフロードします。これらのデバイスでは、ハードウェアアクセラレーションは利用できません。この機能は、デバイスにjunos-ikeパッケージがインストールされたJunos OSリリース23.2R1から利用できます。

表 5では、さまざまな暗号に対するハードウェアアクセラレーションサポートについて説明します。

SRXシリーズファイアウォールにJunos IKEパッケージをインストールするには、次のコマンドを使用します。

SPC3カードが搭載されていないSRX5000シリーズでIPsec VPN機能を有効にするためにkmdプロセスを使用するには、request system software delete junos-ikeコマンドを実行する必要があります。コマンドを実行した後、デバイスを再起動してください。

インストールされている junos-ike パッケージを確認するには、次のコマンドを使用します。

ikedおよびikemdの2つのプロセスは、SRXシリーズファイアウォールでIPsec VPN機能をサポートします。ルーティングエンジンは、単一のikedおよびikemdインスタンスを1つずつ実行します。

デフォルトでは、RE3を搭載したSRX5K-SPC3では、Junos OSリリース19.4R1以降にjunos-ikeパッケージがインストールされます。ルーティングエンジンで実行されるikedプロセスとikemdプロセスの両方が、このパッケージで利用可能です。RE2を搭載したSRX5K-SPC3では、これはオプションのパッケージとなり、明示的にインストールする必要があります。

ルーチンエンジンでikemdプロセスを再起動するには、 restart ike-config-managementコマンドを使用します。

ルーティングエンジンでikedプロセスを再起動するには、 restart ike-key-managementコマンドを使用します。

表 6 に、junos-ikeパッケージが導入されるJunos OSリリースの詳細を示します。

SRX5K-SPC3カードが搭載されていないSRX5000シリーズでレガシーkmdプロセスを使用してIPsec VPN機能を操作するには、request system software delete junos-ikeコマンドを実行し、デバイスを再起動する必要があります。SRX1600、SRX2300、SRX4300シリーズファイアウォールは、kmdプロセスをサポートしていません。

SRXシリーズファイアウォールでは、 anti-replay-window はデフォルトで有効になっており、ウィンドウサイズ値は64です。

SPC3カードが装着されたSRXシリーズ5000シリーズでは、 anti-replay-window サイズを64〜8192(2の累乗)の範囲で設定できます。ウィンドウ サイズを設定するには、新しい オanti-replay-window-sizeプションを使用します。anti-replay-window-size受信パケットは、設定された に基づいてリプレイ攻撃について検証されます。

2 つの異なるレベルreplay-window-sizeで を設定できます。

• Global level—[edit security ipsec] 階層レベルで設定されます。

  たとえば、以下のように表示されます。

• VPN object—[edit security ipsec vpn vpn-name ike] 階層レベルで設定されます。

  たとえば、以下のように表示されます。

両方のレベルでアンチリプレイが設定されている場合、VPN オブジェクト レベルに設定されたウィンドウ サイズがグローバル レベルで設定されたウィンドウ サイズよりも優先されます。アンチリプレイが設定されていない場合、ウィンドウ サイズはデフォルトでは 64 です。

VPN オブジェクトでアンチリプレイ ウィンドウ オプションを無効にするには、[edit security ipsec vpn vpn-name ike] 階層レベルで コマset no-anti-replayンドを使用します。グローバル レベルでアンチリプレイを無効にできません。

VPN オブジェクトでは anti-replay-window-sizeと の両方no-anti-replayを設定できません。

デバイスで終端する2つのVPNトンネルを作成した場合、ルートのペアを設定して、トラフィックが1つのトンネルからもう1つのトンネルに向かうように、デバイスで誘導するように設定できます。また、トラフィックが1つのトンネルからもう1つのトンネルに向けて通過することを許可するポリシーを作成する必要もあります。このような設定は、ハブアンドスポーク方式 VPN と呼ばれます（「図 4」を参照してください。）

また、複数の VPN を設定し、任意の 2 つのトンネル間でトラフィックをルーティングすることもできます。

SRXシリーズファイアウォールでは、ルートベースのハブアンドスポーク機能のみがサポートされています。

図 4: ハブアンドスポーク方式 VPN 設定における複数トンネル