ルートベースIPsec VPNへの移行
共有st0インターフェイスを使用してポリシーベースのVPNからルートベースのVPNに移行する場合に、このトピックをお読みください。
このトピックでは、共有ポイントツーポイントのst0インターフェイスを使用して、既存のポリシーベースのIPsec VPNをルートベースのVPNに移行する方法について説明します。ポリシーベースVPNとルートベースVPNを比較し、移行における共有st0インターフェイスの役割について説明し、移行をサポートするために不可欠な設定ガイダンスを提供します。
ポリシーベースVPNとルートベースVPNの比較
この表では、ポリシーベースVPNとルートベースVPNを比較しており、ルートベースVPNに移行すべき理由を理解するのに役立ちます。
表1は 、ポリシーベースVPNとルートベースVPNの違いをまとめたものです。
|
ポリシーベースVPN |
ルートベースVPN |
|---|---|
|
ポリシーベースVPNでは、トンネルは、送信元、宛先、アプリケーション、アクションとともに、VPNトラフィックを許可するトンネルポリシーを構成するオブジェクトとして扱われます。 |
ルートベースVPNでは、ポリシーはVPNトンネルを具体的に参照しません。 |
|
トンネルポリシーは、VPNトンネルを具体的に名前で参照します。 |
ルートは、宛先 IP アドレスに基づいて、どのトラフィックがトンネルを介して送信されるかを決定します。 |
|
作成できるポリシーベースのVPNトンネルの数は、デバイスがサポートするトンネル数によって制限されます。 |
作成するルートベースVPNトンネルの数は、st0インターフェイスの数(ポイントツーポイントVPNの場合)またはデバイスがサポートするトンネル数(どちらか少ない方)によって制限されます。 |
|
ポリシーベースのVPNでは、同じトンネルを参照する多数のトンネルポリシーを作成できますが、各トンネルポリシーのペアは、リモートピアで個々のIPsec SAを作成します。各SAは、個別のVPNトンネルとしてカウントされます。 |
ポリシーではなくルートがトンネルを通過するトラフィックを決定するため、1つのSAまたはVPNで複数のポリシーをサポートできます。 |
|
ポリシーベースVPNでは、アクションを許可し、トンネルを含める必要があります。 |
ルートベースVPNでは、トラフィックの規制はその配信手段と連携していません。 |
|
ポリシーベースVPNでは、動的ルーティング情報の交換をサポートしていません。 |
ルートベースVPNは、VPNトンネルを介した動的なルーティング情報の交換をサポートしています。VPNトンネルにバインドされたst0インターフェイス上で、OSPFなどの動的ルーティングプロトコルのインスタンスを有効にすることができます。 |
|
ルートを使用してトラフィック選択要件を定義できない場合は、ポリシーベースのVPNを使用します。 |
ルートベースVPNは、ルートを使用してトンネルに送信されるトラフィックを指定します。ポリシーが特にVPNトンネルを参照していない。 |
|
ポリシーベースのVPNは、ハブアンドスポークトポロジーには使用できません。 |
ルートベース構成は、ハブアンドスポークトポロジーに使用されます。 |
|
トンネルが動的ルーティングプロトコルを実行している大規模ネットワークを接続しておらず、トンネルを節約したり、トンネルを介してトラフィックをフィルタリングするための各種ポリシーを定義する必要がない場合は、トンネルベースのVPNトンネルを使用します。 |
ルートベースVPNでは、ポリシーはVPNトンネルを具体的に参照しません。 |
|
リモートアクセス(ダイヤルアップ)VPN構成には、ポリシーベースのVPNトンネルが必要です。 |
ルートベースVPNは、リモートアクセス(ダイヤルアップ)VPN構成をサポートしていません。 |
|
ポリシーベースのVPNは、第三者がリモートサブネットごとに個別のSAを必要とする場合に必要となることがあります。 |
ルートベースVPNは、一部の第三者ベンダーでは正しく動作しない可能性があります。 |
|
ポリシーベースのVPNは、トンネルトラフィックにNATが必要な場合、使用できません。 |
ルートベースVPNは、st0インターフェイスのNATをサポートします。 |
|
ポリシーベースのVPNトンネルでは、トンネルをポリシーの構成要素とみなすことができます。 |
セキュリティ デバイスがルート ルックアップを実行して、アドレスに到達するためにトラフィックを送信する必要があるインターフェイスを見つける場合、セキュア トンネル(st0)インターフェイスを介したルートが検出されます。 ルートベースVPNトンネルでは、トンネルをトラフィック配信手段と見なし、ポリシーをトラフィック配信の許可または拒否の手段と見なすことができます。 |
プロキシIDは、ルートベースとポリシーベースの両方のVPNでサポートされています。ルートベーストンネルは、マルチプロキシIDとも呼ばれる複数のトラフィックセレクターも使用できます。トラフィックセレクターは、指定されたローカルおよびリモートIPアドレスプレフィックスのペア、送信元ポート範囲、宛先ポート範囲、およびプロトコルが一致する場合に、トンネルを介したトラフィックを許可するためのIKEピア間の合意です。特定のルートベースVPN内でトラフィックセレクターを定義すると、複数のフェーズ2IPsecSAが生成されることがあります。トラフィックセレクターに適合したトラフィックのみがSAを介して許可されます。トラフィックセレクターは、リモートゲートウェイデバイスがジュニパーネットワークス以外のデバイスである場合によく必要とされます。
ポリシーベースVPNからルートベースVPNへの移行
共有ポイントツーポイント st0 インターフェイスを使用して、ポリシーベースの VPN からルートベースの VPN に設定を移行する場合は、このトピックをお読みください。
SRXシリーズファイアウォールは、kmdプロセスを使用してIPsec VPNを実行するファイアウォール上でポリシーベースのVPNをサポートしますが、関連する制限があります。ポリシーは、プロトコルとアプリケーションのポート番号の観点からVPNトンネルに入るトラフィックを制御できますが、IKEv1はセキュリティアソシエーション(SA)ネゴシエーションにおけるプロトコルまたはポートネゴシエーションをサポートしていません。そのため、ファイアウォールはポリシーベースのVPNではトラフィックをきめ細かく制御できません。ポリシーベースのVPNをルートベースのVPNに移行することをお勧めします。
ポリシーベースVPNからルートベースVPNに移行するには、以下の手順を実行します。
-
kmdプロセスを使用して、Junos OSデバイスで実行されているIPsec VPNオブジェクトを非アクティブ化します。
-
junos-ikeパッケージをインストールし、ikedプロセスを使用してIPsec VPNサービスを実行します。junos-ikeパッケージのインストールを参照してください。 -
共有ポイントツーポイント st0 インターフェイスに関連する前提条件を設定します。
-
以前に非アクティブ化されたIPsec VPNオブジェクトを、共有ポイントツーポイントのst0インターフェイスでアクティブにします。
ダウンタイムを最小限に抑えるために、移行のベストプラクティスを使用して移行を実行することをお勧めします。
制限事項
-
共有ポイントツーポイントのst0インターフェイスを使用するikedプロセスに移行した後は、kmdベースのIPsec VPNサービスに戻すことはできません。
-
ポリシーベースのVPNは、データトラフィックに対してポリシー検索が実行された場合、ポリシールックアップ時にポリシーが設定されるシーケンス順序を暗黙のうちに適用します。しかし、ルートベースVPNでは、トラフィックセレクターがあっても、VPNが設定されるシーケンス順は適用されません。これは、VPN設定ごとのトラフィックセレクターごとのメトリックによって決定されるためです。
サンプル設定
移行する前に、kmd プロセスを使用するポリシーベースの IPsec VPN について次の構成があるとします。ポリシーベースVPNのサポートは、IKEv1でのみ利用可能です。この設定では、セキュリティポリシーが基準に一致する場合、デバイスはトラフィックをVPNトンネルに誘導します。
[edit security policies]
user@host# show
from-zone zone1 to-zone zone2 {
policy policy1 {
match {
source-address 192.168.2.0/24;
destination-address 10.0.2.0/24;
}
then {
permit {
tunnel {
ipsec-vpn vpn1;
}
}
}
}
}
from-zone zone3 to-zone zone4 {
policy policy2 {
match {
source-address 192.168.3.0/24;
destination-address 10.0.3.0/24;
}
then {
permit {
tunnel {
ipsec-vpn vpn2;
}
}
}
}
}
[edit security ipsec]
user@host# show
proposal ipsec_prop {
protocol esp;
authentication-algorithm hmac-sha-256-128;
encryption-algorithm aes-256-cbc;
lifetime-seconds 2400;
}
policy ipsec_pol {
proposals ipsec_prop;
}
vpn vpn1 {
ike {
gateway gw1;
ipsec-policy ipsec_pol;
}
establish-tunnels immediately;
}
vpn vpn2 {
ike {
gateway gw2;
ipsec-policy ipsec_pol;
}
establish-tunnels immediately;
}
移行後、次の構成がわかります。複数のトラフィックセレクター、ポート、プロトコルのサポートは、IKEv1では利用できないことに注意してください。ikedプロセスを使用するIPsec VPNサービスの同じst0インターフェイスにVPNオブジェクトをバインドする必要があります。明示的なトラフィックセレクター設定を使用して、同じst0インターフェイスにバインドする2つの異なるIPsec VPNオブジェクトを持つ2つの異なるIKEゲートウェイを設定できます。
[edit security ipsec]
user@host# show
proposal ipsec_prop {
protocol esp;
authentication-algorithm hmac-sha-256-128;
encryption-algorithm aes-256-cbc;
lifetime-seconds 2400;
}
policy ipsec_pol {
proposals ipsec_prop;
}
vpn vpn1 {
bind-interface st0.0;
ike {
gateway gw1;
ipsec-policy ipsec_pol;
}
traffic-selector ts1 {
local-ip 192.168.2.0/24;
remote-ip 10.0.2.0/24;
}
establish-tunnels immediately;
}
vpn vpn2 {
bind-interface st0.0;
ike {
gateway gw2;
ipsec-policy ipsec_pol;
}
traffic-selector ts1 {
local-ip 192.168.3.0/24;
remote-ip 10.0.3.0/24;
}
establish-tunnels immediately;
}
変更履歴テーブル
サポートされる機能は、使用しているプラットフォームとリリースによって決まります。 機能エクスプローラー を使用して、機能がお使いのプラットフォームでサポートされているかどうかを確認します。