グループVPNv2
グループVPNv2は、信頼できるグループという概念を導入し、ポイントツーポイントトンネルとそれに関連するオーバーレイルーティングを排除します。すべてのグループ メンバーは、グループ SA とも呼ばれる共通セキュリティー アソシエーション(SA)を共有します。
グループ VPNv2 の概要
IPsecセキュリティアソシエーション(SA)は、仮想プライベートネットワーク(VPN)参加者間の一方向合意であり、認証と暗号化アルゴリズム、鍵交換メカニズム、安全な通信に使用するルールを定義します。多くの VPN 実装では、SA は 2 つのセキュリティ デバイス間のポイントツーポイント トンネルです(を参照 図 1)。
グループVPNv2は、IPsecアーキテクチャを拡張し、セキュリティデバイスのグループによって共有されるSAをサポートします(を参照 図 2)。グループVPNv2では、外部ヘッダーに元の送信元と宛先のIPアドレスを保持することで、エニーツーエニー型接続を実現します。グループ VPNv2 は、SRX300、SRX320、SRX340、SRX345、SRX550HM、SRX1500、SRX4100、SRX4200、SRX4600 のデバイスおよび vSRX 仮想ファイアウォール インスタンスでサポートされています。
グループVPNv2は、SRXシリーズファイアウォール向けの以前のJunos OSリリースで導入されたグループVPN機能の拡張バージョンです。ジュニパーデバイス上のグループVPNv2は、RFC 6407、 GDOI(解釈のグループドメイン)をサポートし、RFC 6407に準拠した他のデバイスと相互運用できます。
- グループ VPNv2 の GDOI プロトコルについて
- グループ VPNv2 サーバーとメンバーについて
- グループVPNv2の制限について
- グループ VPNv2 サーバーメンバー通信について
- グループVPNv2の主な運用について
グループ VPNv2 の GDOI プロトコルについて
グループVPNv2は、RFC 6407、 GDOI( 解釈のグループドメイン )に基づいています。この RFC では、グループ メンバー間で SA を確立するグループ メンバーとグループ サーバー間のプロトコルについて説明します。GDOIメッセージは、デバイスグループのSAを作成、維持、または削除します。グループVPNv2は、vSRX仮想ファイアウォールインスタンスと、SRX5400、SRX5600、SRX5800デバイスを除くすべてのSRXシリーズファイアウォールでサポートされています。
GDOIプロトコルはUDPポート848で動作します。インターネットセキュリティアソシエーションとキー管理プロトコル(ISAKMP)は、IKE IPsecトンネルのSAを確立するための2つのネゴシエーションフェーズを定義します。フェーズ 1 では、2 つのデバイスが GDOI などの他のセキュリティ プロトコルに対して ISAKMP SA を確立できます。
グループ VPNv2 では、グループ サーバーとグループ メンバー間でフェーズ 1 ISAKMP SA ネゴシエーションが実行されます。サーバーとメンバーは、同じ ISAKMP ポリシーを使用する必要があります。サーバーとメンバー間のGDOI交換は、他のグループ・メンバーと共有される SA を確立します。グループ メンバーは、他のグループ メンバーと IPsec をネゴシエートする必要はありません。GDOI 交換 は、ISAKMP フェーズ 1 SA で保護する必要があります。
GDOI 交換には 2 種類あります。
この交換により、メンバーは
groupkey-pull、グループによって共有された SA と鍵をサーバーから要求できます。グループ メンバーは、Exchange を介してグループ サーバーに登録するgroupkey-pull必要があります。groupkey-push交換は、既存のグループ SA が期限切れになる前にサーバーがグループ SA とキーをメンバーに送信できるようにする単一の鍵更新メッセージです。キー更新メッセージは、サーバーからメンバーに送信される未承諾メッセージです。
グループ VPNv2 サーバーとメンバーについて
グループ VPNv2 は、SRX300、SRX320、SRX340、SRX345、SRX550HM、SRX1500、SRX4100、SRX4200、SRX4600 のデバイスおよび vSRX 仮想ファイアウォール インスタンスでサポートされています。グループVPNv2の中心は、グループコントローラ/キーサーバー(GCKS)です。サーバークラスターを使用してGCKSの冗長性を提供できます。
GCKSまたはグループサーバーは、以下のタスクを実行します。
グループメンバーシップを制御します。
暗号化キーを生成します。
新しいグループ SA とキーをメンバーに送信します。グループ メンバーは、グループ SA とグループ サーバーによって提供されるキーに基づいてトラフィックを暗号化します。
グループ サーバーは、複数のグループにサービスを提供できます。1 台のセキュリティ デバイスを複数のグループのメンバーにできます。
各グループは、1~4,294,967,295の数字であるグループ識別子で表されます。グループ サーバーとグループ メンバーは、グループ識別子によって一緒にリンクされます。グループごとに1つのグループ識別子しか持つことができず、複数のグループが同じグループ識別子を使用することはできません。
グループVPNv2サーバーとメンバーアクションの概要を以下に示します。
グループ サーバーは、メンバーの登録を UDP ポート 848 でリッスンします。
グループ サーバーに登録するには、まずメンバーがサーバーに IKE SA を確立します。メンバーデバイスは、グループに参加するために正しいIKEフェーズ1認証を提供する必要があります。メンバー単位での事前共有鍵認証がサポートされています。
認証と登録に成功すると、メンバーデバイスは、GDOI
groupkey-pull交換を使用してサーバーから、指定されたグループ識別子のグループSAとキーを取得します。サーバーは、グループのメンバーシップにメンバーを追加します。
グループメンバーは、グループSAキーで暗号化されたパケットを交換します。
サーバーは、キー更新(GDOI groupkey-push)メッセージを含むグループ メンバーに SA と鍵更新を送信します。サーバーは、SAの期限が切れる前にキー更新メッセージを送信し、グループメンバー間のトラフィックを暗号化するために有効なキーを使用できるようにします。
サーバーから鍵更新メッセージが送信された場合、各グループ メンバーからの確認メッセージ(ack)が必要です。サーバーがメンバーから ack メッセージを受信しない場合、キー更新メッセージは構成済 retransmission-period みで再送信されます(デフォルトは 10 秒です)。構成 number-of-retransmission 後にメンバーからの返信がない場合(デフォルトは2回)、そのメンバーはサーバーの登録済みメンバーから削除されます。サーバーとメンバー間のIKE SAも削除されます。
また、サーバーは、グループSAが変更されたときに新しいキーをメンバーに提供するために、キー更新メッセージを送信します。
グループVPNv2の制限について
グループVPNv2サーバーは、RFC 6407、 GDOI(解釈のグループドメイン)をサポートするグループVPNv2メンバーでのみ動作します。
グループ VPNv2 は、SRX300、SRX320、SRX340、SRX345、SRX550HM、SRX1500、SRX4100、SRX4200、SRX4600 のデバイスおよび vSRX 仮想ファイアウォール インスタンスでサポートされています。このリリースのグループ VPNv2 では、以下はサポートされていません。
Snmp。
Cisco GET VPN サーバーからポリシーを拒否します。
フェーズ 1 IKE 認証の PKI サポート。
グループサーバーとメンバーのコロケーションが、同一の物理デバイスにサーバー機能とメンバー機能を共存させる。
シャーシ クラスタとして設定されたグループ メンバー。
設定と監視用の J-Web インターフェイス。
マルチキャスト データ トラフィック。
グループVPNv2は、NATが使用されているインターネット全体など、IPアドレスを保持できない導入環境ではサポートされていません。
グループ VPNv2 サーバーメンバー通信について
グループ VPNv2 は、SRX300、SRX320、SRX340、SRX345、SRX550HM、SRX1500、SRX4100、SRX4200、SRX4600 のデバイスおよび vSRX 仮想ファイアウォール インスタンスでサポートされています。サーバー・メンバー通信により、サーバーは GDOI groupkey-push (キー更新) メッセージをメンバーに送信できます。サーバー・メンバー通信がグループに対して構成されていない場合、メンバーは GDOI groupkey-pull メッセージを送信してサーバーに登録して再登録できますが、サーバーはメンバーにメッセージを送信 groupkey-push できません。
サーバーメンバー通信は、構成 server-member-communication ステートメント を [edit security group-vpn server] 階層で使用してグループに対して設定されます。以下のオプションを定義できます。
サーバーへのメンバーの認証に使用される認証アルゴリズム(sha-256 または sha-384)。デフォルトのアルゴリズムはありません。
サーバーとメンバー間の通信に使用される暗号化アルゴリズム。aes-128-cbc、aes-192-cbc、または aes-256-cbc を指定できます。デフォルトのアルゴリズムはありません。
グループ メンバーに送信されるキー更新メッセージのユニキャスト通信タイプ。
鍵暗号化キー(KEK)の有効期間。デフォルトは3600秒です。
グループ・サーバーが応答なしでグループ・メンバーにメッセージを再送信
groupkey-pushする回数(デフォルトは 2 回)と再送信間隔(デフォルトは 10 秒)の回数。
グループのサーバー・メンバー通信が構成されていない場合、 コマンドによって show security group-vpn server registered-members 表示されるメンバーシップ・リストには、サーバーに登録されたグループ・メンバーが表示されます。メンバーはアクティブかどうかが分かります。グループのサーバー・メンバー通信が構成されている場合、グループ・メンバーシップ・リストはクリアされます。ユニキャスト通信タイプの場合、 コマンドは show security group-vpn server registered-members アクティブなメンバーのみを表示します。
グループVPNv2の主な運用について
このトピックには、以下のセクションが含まれています。
グループキー
グループ VPNv2 は、SRX300、SRX320、SRX340、SRX345、SRX550HM、SRX1500、SRX4100、SRX4200、SRX4600 のデバイスおよび vSRX 仮想ファイアウォール インスタンスでサポートされています。グループ サーバーは、VPN グループ、グループ メンバー、グループ キー間の関係を追跡するためのデータベースを維持します。サーバーがメンバーにダウンロードするグループ キーは 2 種類あります。
鍵暗号化キー(KEK)—SA 鍵更新(GDOI
groupkey-push)交換の暗号化に使用されます。グループごとに 1 つの KEK がサポートされています。トラフィック暗号化キー(TEK)— グループメンバー間のIPsecデータトラフィックの暗号化と暗号化解除に使用されます。
SAに関連付けられたキーは、そのメンバーに一致 するポリシーが設定されている場合にのみ、グループメンバーによって受け入れられます。受け入れられた鍵はグループにインストールされ、拒否された鍵は破棄されます。
キー更新メッセージ
グループがサーバーメンバー通信用に設定されている場合、サーバーはSAとキー更新をキー更新(GDOI groupkey-push)メッセージを使用してグループメンバーに送信します。鍵更新メッセージは SA の期限が切れる前に送信されます。これにより、有効なキーがグループメンバー間のトラフィックを暗号化するために使用できるようになります。
サーバーは、グループメンバーシップの変更やグループSAの変更(グループポリシーの追加や削除など)の際に、新しいキーをメンバーに提供するためにキー更新メッセージを送信します。
サーバーがキー更新メッセージをグループ メンバーに送信できるように、サーバー上でサーバー メンバー通信オプションを構成する必要があります。
グループ サーバーは、ユニキャスト 鍵更新メッセージの 1 つのコピーを各グループ メンバーに送信します。キー更新メッセージを受信すると、メンバーは確認応答(ACK)をサーバーに送信する必要があります。サーバーがメンバーから ACK を受信しない場合(キー更新メッセージの再送信を含む)、サーバーはメンバーを非アクティブとみなし、メンバーシップ リストから削除します。サーバーは、メンバーへのキー更新メッセージの送信を停止します。
サーバー・メンバー通信の および retransmission-period 構成ステートメントはnumber-of-retransmission、メンバーから ACK を受信しなかった場合に、サーバーによる鍵更新メッセージの再送信を制御します。
サーバーがキー更新メッセージを送信する間隔は、[edit security group-vpn server group group-name] 階層の設定ステートメントのlifetime-seconds値に基づいています。KEKおよびTEKのキーが期限切れとなる前に、新しいキーが生成されます。
lifetime-seconds KEK の は、サーバー メンバー通信の一部として設定されています。デフォルトは 3600 秒です。TEKのは lifetime-seconds IPsecプロポーザルに対して設定されており、デフォルトは3600秒です。
メンバー登録
現在の鍵の有効期限が切れる前にグループ・メンバーがサーバーから新しい SA 鍵を受け取らない場合、そのメンバーはサーバーに再登録し、GDOI groupkey-pull 交換で更新された鍵を取得する必要があります。
グループ VPNv2 設定の概要
グループ VPNv2 は、SRX300、SRX320、SRX340、SRX345、SRX550HM、SRX1500、SRX4100、SRX4200、SRX4600 のデバイスおよび vSRX 仮想ファイアウォール インスタンスでサポートされています。このトピックでは、グループ VPNv2 を設定するための主要なタスクについて説明します。
グループコントローラ/キーサーバー(GCKS)は、グループVPNv2セキュリティアソシエーション(SA)を管理し、暗号化キーを生成してグループメンバーに配布します。グループVPNv2サーバークラスターを使用して、GCKSの冗長性を提供できます。グループ VPNv2 サーバー クラスタについてを参照してください。
グループ サーバーで、以下を構成します。
- IKEフェーズ1 SA。グループVPNv2のIKEフェーズ1の設定についてを参照してください。
- IPsec SA。グループVPNv2のIPsec SA設定についてを参照してください。
- VPN グループ情報(グループ識別子、グループ メンバーの IKE ゲートウェイ、グループ内のメンバーの最大数、サーバー メンバー通信など)。グループ設定には、SAとキーが適用されるトラフィックを定義するグループポリシーが含まれています。サーバー クラスターとアンチプレイタイム ウィンドウをオプションで構成できます。グループVPNv2設定の概要とグループVPNv2トラフィックステアリングについてを参照してください。
グループ メンバーで、以下を設定します。
IKEフェーズ1 SA。グループVPNv2のIKEフェーズ1の設定についてを参照してください。
IPsec SA。グループVPNv2のIPsec SA設定についてを参照してください。
受信ゾーン(通常は保護された LAN)、発信ゾーン(通常は WAN)、ポリシーが適用される VPN グループを定義する IPsec ポリシー。除外または不合格ルールも指定できます。グループVPNv2トラフィックステアリングについてを参照してください。
IPsec ポリシーで指定されたゾーン間のグループ VPN トラフィックを許可するセキュリティ ポリシー。
グループVPNv2の運用には、クライアントデバイスがネットワーク全体の意図したサイトに到達できるようにする、ワーキングルーティングトポロジーが必要です。
グループは、サーバー上で構成 group ステートメント を使用して [edit security group-vpn server] 階層で構成されます。
グループ情報は、以下の情報で構成されています。
グループ識別子 — VPN グループを識別する値。同じグループ識別子をグループ・メンバーに設定する必要があります。
各グループメンバーは、 設定ステートメントで設定されます
ike-gateway。この設定ステートメントには複数のインスタンスがあり、グループのメンバーごとに1つずつあります。グループ ポリシー — メンバーにダウンロードするポリシー。グループポリシーは、SAとキーが適用するトラフィックを説明します。グループVPNv2トラフィックステアリングについてを参照してください。
メンバーしきい値 — グループ内のメンバーの最大数。グループのメンバーしきい値に達すると、サーバーは新しいメンバーからの開始への
groupkey-pull応答を停止します。グループ VPNv2 サーバー クラスタについてを参照してください。サーバーメンバー通信—サーバーがキー更新メッセージをメンバーに送信
groupkey-pushできるようにするオプションの構成。サーバー クラスター — グループ コントローラ/キー サーバー(GCKS)の冗長性をサポートするオプションの構成。グループ VPNv2 サーバー クラスタについてを参照してください。
アンチリプレイ — パケット傍受とリプレイを検出するオプション構成。グループVPNv2アンチreplayについてを参照してください。
グループVPNv2のIKEフェーズ1の設定について
グループサーバーとグループメンバーの間のIKEフェーズ1 SAは、グループによって共有されるIPsec SAをネゴシエートするセキュアなチャネルを確立します。ジュニパーネットワークスのセキュリティデバイス上の標準IPsec VPNの場合、フェーズ1のSA設定は、IKEプロポーザル、ポリシー、およびゲートウェイを指定することで構成されています。
グループVPNv2では、IKEフェーズ1のSA設定は標準IPsec VPNの設定と似ていますが、[]階層と[edit security group-vpn member ike]階層でedit security group-vpn server ike実行されます。グループ VPNv2 は、SRX300、SRX320、SRX340、SRX345、SRX550HM、SRX1500、SRX4100、SRX4200、SRX4600 のデバイスおよび vSRX 仮想ファイアウォール インスタンスでサポートされています。
IKEプロポーザル構成では、参加者間の安全なチャネルを開くために使用する認証方法と認証および暗号化アルゴリズムを設定します。IKEポリシー設定では、フェーズ1チャネルがネゴシエートされるモードを設定し、使用するキー交換のタイプを指定し、フェーズ1プロポーザルを参照します。IKEゲートウェイ構成では、フェーズ1ポリシーを参照します。
グループサーバー上のIKEプロポーザルとポリシー構成は、グループメンバーのIKEプロポーザルとポリシー構成と一致する必要があります。グループサーバーでは、各グループメンバーにIKEゲートウェイが構成されています。グループメンバーでは、IKEゲートウェイ構成で最大4つのサーバーアドレスを指定できます。
グループ VPNv2 の IPsec SA 設定について
グループ VPNv2 は、SRX300、SRX320、SRX340、SRX345、SRX550HM、SRX1500、SRX4100、SRX4200、SRX4600 のデバイスおよび vSRX 仮想ファイアウォール インスタンスでサポートされています。サーバーとメンバーがフェーズ1ネゴシエーションでセキュアで認証されたチャネルを確立した後、グループメンバーが共有するIPsec SAを確立し、メンバー間で送信されるデータを保護します。グループVPNv2のIPsec SA設定は標準VPNの設定と似ていますが、グループメンバーは他のグループメンバーとSAをネゴシエートする必要はありません。
グループVPNv2のIPsec設定は、以下の情報で構成されています。
グループサーバーでは、SAに使用するセキュリティプロトコル、認証、暗号化アルゴリズムに対してIPsecプロポーザルが設定されています。IPsec SAプロポーザルは、[
edit security group-vpn server ipsec]階層の設定ステートメントを使用proposalしてグループサーバー上で設定されます。グループメンバーでは、グループ識別子、グループサーバー(設定ステートメントで
ike-gateway構成)、およびメンバーがグループピアに接続するために使用するインターフェイスを参照するAutokey IKEが設定されています。Autokey IKE は、メンバー上で構成ステートメントをvpn使用して [edit security group-vpn member ipsec] 階層で構成されます。
関連項目
グループVPNv2トラフィックステアリングについて
グループ VPNv2 は、SRX300、SRX320、SRX340、SRX345、SRX550HM、SRX1500、SRX4100、SRX4200、SRX4600 のデバイスおよび vSRX 仮想ファイアウォール インスタンスでサポートされています。グループ サーバーは、IPsec セキュリティ アソシエーション(SA)とキーを指定されたグループのメンバーに配布します。同じグループに属するすべてのメンバーは、同じ IPsec SA のセットを共有します。特定のグループメンバーにインストールされたSAは、グループSAに関連付けられたポリシーと、グループメンバーに設定されたIPsecポリシーによって決定されます。
グループ サーバーに設定されたグループ ポリシー
VPNグループでは、サーバーがメンバーにプッシュする各グループSAとキーがグループポリシーに関連付けられます。グループ ポリシーは、プロトコル、送信元アドレス、送信元ポート、宛先アドレス、宛先ポートなど、キーを使用する必要があるトラフィックを説明します。サーバーでは、[]階層レベルの match-policy policy-name オプションでグループポリシーがedit security group-vpn server group name ipsec-sa name設定されます。
同一のグループ ポリシー(同じ送信元アドレス、宛先アドレス、送信元ポート、宛先ポート、プロトコル値で設定)は、1 つのグループには存在できません。グループに対して同一のグループポリシーを含む設定をコミットしようとすると、エラーが返されます。これが発生した場合、設定をコミットする前に、同一のグループポリシーのいずれかを削除する必要があります。
グループ メンバーに設定された IPsec ポリシー
グループ メンバーの IPsec ポリシーは、以下の情報で構成されています。
グループ トラフィックの受信ゾーン(
from-zone)グループ トラフィックの送信ゾーン(
to-zone)IPsec ポリシーが適用されるグループの名前。特定の from-zone/to-zone ペアによって参照できるグループ VPNv2 名は 1 つだけです。
グループメンバーがグループVPNv2に接続するために使用するインターフェイスは、発信ゾーンに属している必要があります。このインターフェイスは、[edit security group-vpn member ipsec vpn vpn-name]階層レベルの group-vpn-external-interface ステートメントで指定されます。
グループ メンバーでは、[] 階層レベルでedit security ipsec-policy IPsec ポリシーが設定されます。IPsecポリシーに一致するトラフィックは、グループに対して設定された除外ルールとフェイルオープンルールに対してさらにチェックされます。
フェイルクローズ
デフォルトでは、一致しないトラフィックは、グループ サーバーから受信したルールまたは不合格ルールまたはグループ ポリシーがブロックされます。これは フェイルクローズと呼ばれます。
除外ルールと不合格ルール
グループ メンバーでは、各グループに対して以下のタイプのルールを構成できます。
VPN 暗号化から除外されるトラフィック。このタイプのトラフィックの例には、BGP または OSPF ルーティング プロトコルが含まれます。トラフィックをグループから除外するには、設定を使用します
set security group-vpn member ipsec vpn vpn-name exclude rule。最大 10 個の除外ルールを設定できます。お客様の運用に不可欠なトラフィックで、グループ メンバーが IPsec SA 用の有効なトラフィック暗号化キー(TEK)を受信していない場合は、暗号化せずに平文で送信する必要があります。フェイルオープン ルールは、他のすべてのトラフィックがブロックされている間、このトラフィック フローを許可します。設定でフェイルオープンを
set security group-vpn member ipsec vpn vpn-name fail-open rule有効にします。最大10個のフェイルオープンルールを設定できます。
IPsec ポリシーとルールの優先度
IPsec ポリシーとルールには、グループ メンバーに以下の優先度があります。
VPN 暗号化から除外するトラフィックを定義するルールを除外します。
グループ サーバーからダウンロードされたグループ ポリシー。
SA に有効な TEK がない場合、平文で送信されるトラフィックを定義するフェイルオープン ルール。
トラフィックをブロックするフェイルクローズ ポリシー。これは、トラフィックが除外ルールまたはフェイルオープンルールまたはグループポリシーに一致しない場合のデフォルトです。
関連項目
グループ VPNv2 回復プローブ プロセスについて
グループ VPNv2 は、SRX300、SRX320、SRX340、SRX345、SRX550HM、SRX1500、SRX4100、SRX4200、SRX4600 のデバイスおよび vSRX 仮想ファイアウォール インスタンスでサポートされています。2 つの状況は、グループ・メンバーがグループ・サーバーおよび他のグループ・メンバーと同期外であることを示している可能性があります。
グループ メンバーは、SPI(セキュリティ パラメーター インデックス)が認識されていない ESP(カプセル化セキュリティ ペイロード)パケットを受信します。
送信IPsecトラフィックは存在しますが、グループメンバー上の受信IPsecトラフィックはありません。
いずれの状況も検出されると、グループ・メンバー上でリカバリー・プローブ・プロセスをトリガーできます。回復プローブプロセスは、グループサーバーからメンバーのSAを更新するために、特定の間隔でGDOI groupkey-pull 交換を開始します。SPIパケットの不良がDoS攻撃を受けている場合、または送信者自体が同期していない場合、グループメンバーに対する同期外れ表示は誤アラームである可能性があります。システムの過負荷を避けるために、 groupkey-pull 初期化は10、20、40、80、160、および320秒の間隔で再試行されます。
デフォルトでは、回復プローブプロセスは無効になっています。回復プローブプロセスを有効にするには、[edit security group-vpn member ipsec vpn vpn-name]階層レベルでを設定recovery-probeします。
グループ VPNv2 アンチプレイについて
グループVPNv2アンチreplayは、vSRX仮想ファイアウォールインスタンスと、SRX5400、SRX5600、SRX5800デバイスを除くすべてのSRXシリーズファイアウォールでサポートされています。アンチリプレイは、パケットが傍受された後、攻撃者によって再生された時点を検出できる IPsec 機能です。グループのアンチレプレイはデフォルトで無効になっています。
各 IPsec パケットにはタイムスタンプが含まれています。グループ メンバーは、パケットのタイムスタンプが設定された anti-replay-time-window 値内にあるかどうかをチェックします。タイムスタンプが値を超えると、パケットがドロップされます。
グループ VPNv2 アンチプレイをサポートするすべてのデバイスで NTP を設定することをお勧めします。
ハイパーバイザーが負荷の高いホストマシン上のvSRX仮想ファイアウォールインスタンスで実行されているグループメンバーには、値を anti-replay-time-window 再設定することで修正できる問題が発生する可能性があります。グループ メンバーの IPsec ポリシーに一致するデータが転送されていない場合は、D3P エラーの show security group-vpn member ipsec statistics 出力を確認します。NTP が正しく動作していることを確認します。エラーが発生した場合は、値を調整します anti-replay-time-window 。
関連項目
例：グループ VPNv2 サーバーとメンバーの設定
この例では、グループ VPNv2 サーバーを構成して、グループ VPNv2 グループ メンバーにグループ コントローラー/キー サーバー(GCKS)のサポートを提供する方法を示します。グループ VPNv2 は、SRX300、SRX320、SRX340、SRX345、SRX550HM、SRX1500、SRX4100、SRX4200、SRX4600 のデバイスおよび vSRX 仮想ファイアウォール インスタンスでサポートされています。
要件
この例では、以下のハードウェアとソフトウェアのコンポーネントを使用しています。
Junos OS リリース 15.1X49-D30 以降を実行する SRX シリーズ ファイアウォールまたは vSRX 仮想ファイアウォール インスタンスで、グループ VPNv2 をサポートします。この SRX シリーズ ファイアウォールまたは vSRX 仮想ファイアウォール インスタンスは、グループ VPNv2 サーバーとして動作します。
グループ VPNv2 をサポートする Junos OS リリース 15.1X49-D30 以降を実行する 2 つのサポート対象 SRX シリーズ ファイアウォールまたは vSRX 仮想ファイアウォール インスタンス。これらのデバイスまたはインスタンスは、グループVPNv2グループメンバーとして動作します。
グループVPNv2をサポートするJunos OSリリース15.1R2以降を実行する2台のMXシリーズデバイス。これらのデバイスは、グループVPNv2グループメンバーとして動作します。
各デバイスでホスト名、ルート管理者パスワード、管理アクセスを設定する必要があります。各デバイスでNTPも設定することをお勧めします。
グループVPNv2の運用には、クライアントデバイスがネットワーク全体の意図したサイトに到達できるようにする、ワーキングルーティングトポロジーが必要です。この例では、グループVPNv2の設定に焦点を当てています。ルーティング設定については説明していません。
概要
この例では、グループVPNv2ネットワークはサーバーと4つのメンバーで構成されています。2 つのメンバーは SRX シリーズ ファイアウォールまたは vSRX 仮想ファイアウォール インスタンスで、残りの 2 つのメンバーは MX シリーズ デバイスです。共有グループ VPN SA は、グループ メンバー間のトラフィックを保護します。
グループVPN SAは、フェーズ1のSAで保護する必要があります。そのため、グループVPN構成には、グループサーバーとグループメンバーの両方でIKEフェーズ1ネゴシエーションの設定を含める必要があります。
グループ サーバーとグループ メンバーの両方に同じグループ識別子を設定する必要があります。この例では、グループ名は GROUP_ID-0001 で、グループ ID は 1 です。サーバーに設定されたグループポリシーは、SAとキーが172.16.0.0/12範囲のサブネットワーク間のトラフィックに適用されていることを指定します。
SRXシリーズファイアウォールまたはvSRX仮想ファイアウォールグループメンバーでは、LANゾーンを受信トラフィック(受信トラフィック)、WANゾーンをゾーン間(発信トラフィック)とするグループに対してIPsecポリシーが設定されています。LANゾーンとWANゾーン間のトラフィックを許可するセキュリティポリシーも必要です。
トポロジ
図 3 は、この例で設定するジュニパーネットワークスのデバイスを示しています。
設定
- グループ サーバーの設定
- グループ メンバー GM-0001 の設定(SRX シリーズ ファイアウォールまたは vSRX 仮想ファイアウォール インスタンス)
- グループ メンバー GM-0002 の設定(SRX シリーズ ファイアウォールまたは vSRX 仮想ファイアウォール インスタンス)
- グループ メンバー GM-0003 の設定(MX シリーズ デバイス)
- グループ メンバー GM-0004 の設定(MX シリーズ デバイス)
グループ サーバーの設定
CLI クイックコンフィギュレーション
この例を迅速に設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを 階層レベルの [edit] CLI にコピー アンド ペーストして、設定モードから を入力 commit します。
set interfaces ge-0/0/1 unit 0 family inet address 10.10.100.1/24 set security policies global policy 1000 match source-address any set security policies global policy 1000 match destination-address any set security policies global policy 1000 match application any set security policies global policy 1000 match from-zone any set security policies global policy 1000 match to-zone any set security policies global policy 1000 then reject set security policies global policy 1000 then log session-init set security policies global policy 1000 then count set security policies default-policy deny-all set security zones security-zone GROUPVPN host-inbound-traffic system-services ike set security zones security-zone GROUPVPN host-inbound-traffic system-services ssh set security zones security-zone GROUPVPN host-inbound-traffic system-services ping set security zones security-zone GROUPVPN interfaces ge-0/0/1.0 set routing-options static route 10.18.101.0/24 next-hop 10.10.100.254 set routing-options static route 10.18.102.0/24 next-hop 10.10.100.254 set routing-options static route 10.18.103.0/24 next-hop 10.10.100.254 set routing-options static route 10.18.104.0/24 next-hop 10.10.100.254 set security group-vpn server ike proposal PSK-SHA256-DH14-AES256 authentication-method pre-shared-keys set security group-vpn server ike proposal PSK-SHA256-DH14-AES256 authentication-algorithm sha-256 set security group-vpn server ike proposal PSK-SHA256-DH14-AES256 dh-group group14 set security group-vpn server ike proposal PSK-SHA256-DH14-AES256 encryption-algorithm aes-256-cbc set security group-vpn server ike policy GMs mode main set security group-vpn server ike policy GMs proposals PSK-SHA256-DH14-AES256 set security group-vpn server ike policy GMs pre-shared-key ascii-text "$ABC123" set security group-vpn server ike gateway GM-0001 ike-policy GMs set security group-vpn server ike gateway GM-0001 address 10.18.101.1 set security group-vpn server ike gateway GM-0001 local-address 10.10.100.1 set security group-vpn server ike gateway GM-0002 ike-policy GMs set security group-vpn server ike gateway GM-0002 address 10.18.102.1 set security group-vpn server ike gateway GM-0002 local-address 10.10.100.1 set security group-vpn server ike gateway GM-0003 ike-policy GMs set security group-vpn server ike gateway GM-0003 address 10.18.103.1 set security group-vpn server ike gateway GM-0003 local-address 10.10.100.1 set security group-vpn server ike gateway GM-0004 ike-policy GMs set security group-vpn server ike gateway GM-0004 address 10.18.104.1 set security group-vpn server ike gateway GM-0004 local-address 10.10.100.1 set security group-vpn server ipsec proposal AES256-SHA256-L3600 authentication-algorithm hmac-sha-256-128 set security group-vpn server ipsec proposal AES256-SHA256-L3600 encryption-algorithm aes-256-cbc set security group-vpn server ipsec proposal AES256-SHA256-L3600 lifetime-seconds 3600 set security group-vpn server group GROUP_ID-0001 group-id 1 set security group-vpn server group GROUP_ID-0001 member-threshold 2000 set security group-vpn server group GROUP_ID-0001 ike-gateway GM-0001 set security group-vpn server group GROUP_ID-0001 ike-gateway GM-0002 set security group-vpn server group GROUP_ID-0001 ike-gateway GM-0003 set security group-vpn server group GROUP_ID-0001 ike-gateway GM-0004 set security group-vpn server group GROUP_ID-0001 ike-gateway GM-0005 set security group-vpn server group GROUP_ID-0001 anti-replay-time-window 1000 set security group-vpn server group GROUP_ID-0001 server-member-communication communication-type unicast set security group-vpn server group GROUP_ID-0001 server-member-communication encryption-algorithm aes-256-cbc set security group-vpn server group GROUP_ID-0001 server-member-communication lifetime-seconds 7200 set security group-vpn server group GROUP_ID-0001 server-member-communication sig-hash-algorithm sha-256 set security group-vpn server group GROUP_ID-0001 ipsec-sa GROUP_ID-0001 proposal AES256-SHA256-L3600 set security group-vpn server group GROUP_ID-0001 ipsec-sa GROUP_ID-0001 match-policy 1 source 172.16.0.0/12 set security group-vpn server group GROUP_ID-0001 ipsec-sa GROUP_ID-0001 match-policy 1 destination 172.16.0.0/12 set security group-vpn server group GROUP_ID-0001 ipsec-sa GROUP_ID-0001 match-policy 1 protocol 0
手順
次の例では、設定階層内のさまざまなレベルに移動する必要があります。その方法の詳細については、 CLIユーザーガイドの設定モードでのCLIエディターの使用を参照してください。
グループ VPNv2 サーバーを設定するには、次の手順に従います。
インターフェイス、セキュリティゾーン、セキュリティポリシーを設定します。
[edit interfaces] user@host# set ge-0/0/1 unit 0 family inet address 10.10.100.1/24 [edit security zones security-zone GROUPVPN] user@host# set host-inbound-traffic system-services ike user@host# set host-inbound-traffic system-services ssh user@host# set host-inbound-traffic system-services ping user@host# set interfaces ge-0/0/1.0 [edit security policies] user@host# set global policy 1000 match source-address any user@host# set global policy 1000 match destination-address any user@host# set global policy 1000 match application any user@host# set global policy 1000 match from-zone any user@host# set global policy 1000 match to-zone any user@host# set global policy 1000 then reject user@host# set global policy 1000 then log session-init user@host# set global policy 1000 then count user@host# set default-policy deny-all
静的ルートを設定します。
[edit routing-options] user@host# set static route 10.18.101.0/24 next-hop 10.10.100.254 user@host# set static route 10.18.102.0/24 next-hop 10.10.100.254 user@host# set static route 10.18.103.0/24 next-hop 10.10.100.254 user@host# set static route 10.18.104.0/24 next-hop 10.10.100.254
IKEプロポーザル、ポリシー、およびゲートウェイを設定します。
[edit security group-vpn server ike proposal PSK-SHA256-DH14-AES256] user@host# set authentication-method pre-shared-keys user@host# set authentication-algorithm sha-256 user@host# set dh-group group14 user@host# set encryption-algorithm aes-256-cbc [edit security group-vpn server ike policy GMs] user@host# set mode main user@host# set proposals PSK-SHA256-DH14-AES256 user@host# set pre-shared-key ascii-text "$ABC123" [edit security group-vpn server ike gateway GM-0001] user@host# set ike-policy GMs user@host# set address 10.18.101.1 user@host# set local-address 10.10.100.1 [edit security group-vpn server ike gateway GM-0002] user@host# set ike-policy GMs user@host# set address 10.18.102.1 user@host# set local-address 10.10.100.1 [edit security group-vpn server ike gateway GM-0003] user@host# set ike-policy GMs user@host# set address 10.18.103.1 user@host# set local-address 10.10.100.1 [edit security group-vpn server ike gateway GM-0004] user@host# set ike-policy GMs user@host# set address 10.18.104.1 user@host# set local-address 10.10.100.1
IPsecプロポーザルを設定します。
[edit security group-vpn server ipsec proposal AES256-SHA256-L3600] user@host# set authentication-algorithm hmac-sha-256-128 user@host# set encryption-algorithm aes-256-cbc user@host# set lifetime-seconds 3600 VPN Group
グループを設定します。
[edit security group-vpn server group GROUP_ID-0001] user@host# set group-id 1 user@host# set member-threshold 2000 user@host# set ike-gateway GM-0001 user@host# set ike-gateway GM-0002 user@host# set ike-gateway GM-0003 user@host# set ike-gateway GM-0004 user@host# set anti-replay-time-window 1000
サーバー間通信を設定します。
[edit security group-vpn server group GROUP_ID-0001 server-member-communication] user@host# set communication-type unicast user@host# set encryption-algorithm aes-256-cbc user@host# set lifetime-seconds 7200 user@host# set sig-hash-algorithm sha-256
グループ・メンバーにダウンロードするグループ・ポリシーを構成します。
[edit security group-vpn server group GROUP_ID-0001 ipsec-sa GROUP_ID-0001] user@host# set proposal AES256-SHA256-L3600 user@host# set match-policy 1 source 172.16.0.0/12 user@host# set match-policy 1 destination 172.16.0.0/12 user@host# set match-policy 1 protocol 0
結果
設定モードから、 、 、 show routing-optionsコマンドを入力して設定をshow interfacesshow security確認します。出力結果に意図した設定が表示されない場合は、この例の手順を繰り返して設定を修正します。
[edit]
user@host# show interfaces
ge-0/0/1 {
unit 0 {
family inet {
address 10.10.100.1/24;
}
}
}
[edit]
user@host# show routing-options
static {
route 10.18.101.0/24 next-hop 10.10.100.254;
route 10.18.102.0/24 next-hop 10.10.100.254;
route 10.18.103.0/24 next-hop 10.10.100.254;
route 10.18.104.0/24 next-hop 10.10.100.254;
}
[edit]
user@host# show security
group-vpn {
server {
ike {
proposal PSK-SHA256-DH14-AES256 {
authentication-method pre-shared-keys;
authentication-algorithm sha-256;
dh-group group14;
encryption-algorithm aes-256-cbc;
}
policy GMs {
mode main;
proposals PSK-SHA256-DH14-AES256;
pre-shared-key ascii-text "$ABC123"; ## SECRET-DATA
}
gateway GM-0001 {
ike-policy GMs;
address 10.18.101.1;
local-address 10.10.100.1;
}
gateway GM-0002 {
ike-policy GMs;
address 10.18.102.1;
local-address 10.10.100.1;
}
gateway GM-0003 {
ike-policy GMs;
address 10.18.103.1;
local-address 10.10.100.1;
}
gateway GM-0004 {
ike-policy GMs;
address 10.18.104.1;
local-address 10.10.100.1;
}
}
ipsec {
proposal AES256-SHA256-L3600 {
authentication-algorithm hmac-sha-256-128;
encryption-algorithm aes-256-cbc;
lifetime-seconds 3600;
}
}
group GROUP_ID-0001 {
group-id 1;
member-threshold 2000;
ike-gateway GM-0001;
ike-gateway GM-0002;
ike-gateway GM-0003;
ike-gateway GM-0004;
anti-replay-time-window 1000;
server-member-communication {
communication-type unicast;
lifetime-seconds 7200;
encryption-algorithm aes-256-cbc;
sig-hash-algorithm sha-256;
}
ipsec-sa GROUP_ID-0001 {
proposal AES256-SHA256-L3600;
match-policy 1 {
source 172.16.0.0/12;
destination 172.16.0.0/12;
protocol 0;
}
}
}
}
}
policies {
global {
policy 1000 {
match {
source-address any;
destination-address any;
application any;
from-zone any;
to-zone any;
}
then {
reject;
log {
session-init;
}
count;
}
}
}
default-policy {
deny-all;
}
}
zones {
security-zone GROUPVPN {
host-inbound-traffic {
system-services {
ike;
ssh;
ping;
}
}
interfaces {
ge-0/0/1.0;
}
}
}
デバイスの設定が完了したら、設定モードから を入力します commit 。
グループ メンバー GM-0001 の設定(SRX シリーズ ファイアウォールまたは vSRX 仮想ファイアウォール インスタンス)
CLI クイックコンフィギュレーション
この例を迅速に設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを 階層レベルの [edit] CLI にコピー アンド ペーストして、設定モードから を入力 commit します。
set interfaces ge-0/0/0 unit 0 description To_LAN set interfaces ge-0/0/0 unit 0 family inet address 172.16.101.1/24 set interfaces ge-0/0/1 unit 0 description To_KeySrv set interfaces ge-0/0/1 unit 0 family inet address 10.18.101.1/24 set security zones security-zone LAN host-inbound-traffic system-services ike set security zones security-zone LAN host-inbound-traffic system-services ssh set security zones security-zone LAN host-inbound-traffic system-services ping set security zones security-zone LAN interfaces ge-0/0/0.0 set security zones security-zone WAN host-inbound-traffic system-services ike set security zones security-zone WAN host-inbound-traffic system-services ssh set security zones security-zone WAN host-inbound-traffic system-services ping set security zones security-zone WAN interfaces ge-0/0/1.0 set security address-book global address 172.16.0.0/12 172.16.0.0/12 set security policies from-zone LAN to-zone WAN policy 1 match source-address 172.16.0.0/12 set security policies from-zone LAN to-zone WAN policy 1 match destination-address 172.16.0.0/12 set security policies from-zone LAN to-zone WAN policy 1 match application any set security policies from-zone LAN to-zone WAN policy 1 then permit set security policies from-zone LAN to-zone WAN policy 1 then log session-init set security policies from-zone WAN to-zone LAN policy 1 match source-address 172.16.0.0/12 set security policies from-zone WAN to-zone LAN policy 1 match destination-address 172.16.0.0/12 set security policies from-zone WAN to-zone LAN policy 1 match application any set security policies from-zone WAN to-zone LAN policy 1 then permit set security policies from-zone WAN to-zone LAN policy 1 then log session-init set security policies global policy 1000 match source-address any set security policies global policy 1000 match destination-address any set security policies global policy 1000 match application any set security policies global policy 1000 match from-zone any set security policies global policy 1000 match to-zone any set security policies global policy 1000 then reject set security policies global policy 1000 then log session-init set security policies global policy 1000 then count set security policies default-policy deny-all set routing-options static route 10.18.102.0/24 next-hop 10.18.101.254 set routing-options static route 10.18.103.0/24 next-hop 10.18.101.254 set routing-options static route 10.18.104.0/24 next-hop 10.18.101.254 set routing-options static route 172.16.101.0/24 next-hop 10.18.101.254 set routing-options static route 172.16.102.0/24 next-hop 10.18.101.254 set routing-options static route 172.16.103.0/24 next-hop 10.18.101.254 set routing-options static route 172.16.104.0/24 next-hop 10.18.101.254 set routing-options static route 10.10.100.0/24 next-hop 10.18.101.254 set security group-vpn member ike proposal PSK-SHA256-DH14-AES256 authentication-method pre-shared-keys set security group-vpn member ike proposal PSK-SHA256-DH14-AES256 dh-group group14 set security group-vpn member ike proposal PSK-SHA256-DH14-AES256 authentication-algorithm sha-256 set security group-vpn member ike proposal PSK-SHA256-DH14-AES256 encryption-algorithm aes-256-cbc set security group-vpn member ike policy KeySrv mode main set security group-vpn member ike policy KeySrv proposals PSK-SHA256-DH14-AES256 set security group-vpn member ike policy KeySrv pre-shared-key ascii-text "$ABC123" set security group-vpn member ike gateway KeySrv ike-policy KeySrv set security group-vpn member ike gateway KeySrv server-address 10.10.100.1 set security group-vpn member ike gateway KeySrv local-address 10.18.101.1 set security group-vpn member ipsec vpn GROUP_ID-0001 ike-gateway KeySrv set security group-vpn member ipsec vpn GROUP_ID-0001 group-vpn-external-interface ge-0/0/1.0 set security group-vpn member ipsec vpn GROUP_ID-0001 group 1 set security group-vpn member ipsec vpn GROUP_ID-0001 recovery-probe set security ipsec-policy from-zone LAN to-zone WAN ipsec-group-vpn GROUP_ID-0001
手順
次の例では、設定階層内のさまざまなレベルに移動する必要があります。その方法の詳細については、 CLIユーザーガイドの設定モードでのCLIエディターの使用を参照してください。
グループVPNv2メンバーを設定するには、次の手順に従います。
インターフェイス、セキュリティゾーン、セキュリティポリシーを設定します。
[edit interfaces] user@host# set ge-0/0/0 unit 0 description To_LAN user@host# set ge-0/0/0 unit 0 family inet address 172.16.101.1/24 user@host# set ge-0/0/1 unit 0 description To_KeySrv user@host# set ge-0/0/1 unit 0 family inet address 10.18.101.1/24 [edit security zones security-zone LAN] user@host# set host-inbound-traffic system-services ike user@host# set host-inbound-traffic system-services ssh user@host# set host-inbound-traffic system-services ping user@host# set interfaces ge-0/0/0.0 [edit security] user@host# set address-book global address 172.16.0.0/12 172.16.0.0/12 [edit security zones security-zone WAN] user@host# set host-inbound-traffic system-services ike user@host# set host-inbound-traffic system-services ssh user@host# set host-inbound-traffic system-services ping user@host# set interfaces ge-0/0/1.0 [edit security policies from-zone LAN to-zone WAN] user@host# set policy 1 match source-address 172.16.0.0/12 user@host# set policy 1 match destination-address 172.16.0.0/12 user@host# set policy 1 match application any user@host# set policy 1 then permit user@host# set then log session-init [edit security policies from-zone WAN to-zone LAN user@host# set policy 1 match source-address 172.16.0.0/12 user@host# set policy 1 match destination-address 172.16.0.0/12 user@host# set policy 1 match application any user@host# set policy 1 then permit user@host# set then log session-init [edit security policies] user@host# set global policy 1000 match source-address any user@host# set global policy 1000 match destination-address any user@host# set global policy 1000 match application any user@host# set global policy 1000 match from-zone any user@host# set global policy 1000 match to-zone any user@host# set global policy 1000 match then reject user@host# set global policy 1000 match then log session-init user@host# set global policy 1000 match then count user@host# set default-policy deny-all
静的ルートを設定します。
[edit routing-options] user@host# set static route 10.18.102.0/24 next-hop 10.18.101.254 user@host# set static route 10.18.103.0/24 next-hop 10.18.101.254 user@host# set static route 10.18.104.0/24 next-hop 10.18.101.254 user@host# set static route 172.16.101.0/24 next-hop 10.18.101.254 user@host# set static route 172.16.102.0/24 next-hop 10.18.101.254 user@host# set static route 172.16.103.0/24 next-hop 10.18.101.254 user@host# set static route 172.16.104.0/24 next-hop 10.18.101.254 user@host# set static route 10.10.100.0/24 next-hop 10.18.101.254
IKEプロポーザル、ポリシー、およびゲートウェイを設定します。
[edit security group-vpn member ike proposal PSK-SHA256-DH14-AES256] user@host# set authentication-method pre-shared-keys user@host# set authentication-algorithm sha-256 user@host# set dh-group group14 user@host# set encryption-algorithm aes-256-cbc [edit security group-vpn member ike policy KeySrv ] user@host# set mode main user@host# set proposals PSK-SHA256-DH14-AES256 user@host# set pre-shared-key ascii-text "$ABC123" [edit security group-vpn member ike gateway KeySrv] user@host# set ike-policy KeySrv user@host# set server-address 10.10.100.1 user@host# set local-address 10.18.101.1
IPsec SAを設定します。
[edit security group-vpn member ipsec vpn GROUP_ID-0001] user@host# set ike-gateway KeySrv user@host# set group-vpn-external-interface ge-0/0/1.0 user@host# set group 1 user@host# set recovery-probe
IPsecポリシーを設定します。
[edit security ipsec-policy from-zone LAN to-zone WAN] user@host# set ipsec-group-vpn GROUP_ID-0001
結果
設定モードから、 、 、 show routing-optionsコマンドを入力して設定をshow interfacesshow security確認します。出力結果に意図した設定が表示されない場合は、この例の手順を繰り返して設定を修正します。
[edit]
user@host# show interfaces
ge-0/0/0 {
unit 0 {
description To_LAN;
family inet {
address 172.16.101.1/24;
}
}
}
ge-0/0/1 {
unit 0 {
description To_KeySrv;
family inet {
address 10.18.101.1/24;
}
}
}
[edit]
user@host# show routing-options
static {
route 10.18.102.0/24 next-hop 10.18.101.254;
route 10.18.103.0/24 next-hop 10.18.101.254;
route 10.18.104.0/24 next-hop 10.18.101.254;
route 172.16.101.0/24 next-hop 10.18.101.254;
route 172.16.102.0/24 next-hop 10.18.101.254;
route 172.16.103.0/24 next-hop 10.18.101.254;
route 172.16.104.0/24 next-hop 10.18.101.254;
route 10.10.100.0/24 next-hop 10.18.101.254;
}
[edit]
user@host# show security
address-book {
global {
address 172.16.0.0/12 172.16.0.0/12;
}
}
group-vpn {
member {
ike {
proposal PSK-SHA256-DH14-AES256 {
authentication-method pre-shared-keys;
dh-group group14;
authentication-algorithm sha-256;
encryption-algorithm aes-256-cbc;
}
policy KeySrv {
mode main;
proposals PSK-SHA256-DH14-AES256;
pre-shared-key ascii-text "$ABC123"; ## SECRET-DATA
}
gateway KeySrv {
ike-policy KeySrv;
server-address 10.10.100.1;
local-address 10.18.101.1;
}
}
ipsec {
vpn GROUP_ID-0001 {
ike-gateway KeySrv;
group-vpn-external-interface ge-0/0/1.0;
group 1;
recovery-probe;
}
}
}
}
ipsec-policy {
from-zone LAN to-zone WAN {
ipsec-group-vpn GROUP_ID-0001;
}
}
policies {
from-zone LAN to-zone WAN {
policy 1 {
match {
source-address 172.16.0.0/12;
destination-address 172.16.0.0/12;
application any;
}
then {
permit;
log {
session-init;
}
}
}
}
from-zone WAN to-zone LAN {
policy 1 {
match {
source-address 172.16.0.0/12;
destination-address 172.16.0.0/12;
application any;
}
then {
permit;
log {
session-init;
}
}
}
}
global {
policy 1000 {
match {
source-address any;
destination-address any;
application any;
from-zone any;
to-zone any;
}
then {
reject;
log {
session-init;
}
count;
}
}
}
default-policy {
deny-all;
}
}
zones {
security-zone LAN {
host-inbound-traffic {
system-services {
ike;
ssh;
ping;
}
}
interfaces {
ge-0/0/0.0;
}
}
security-zone WAN {
host-inbound-traffic {
system-services {
ike;
ssh;
ping;
}
}
interfaces {
ge-0/0/1.0;
}
}
}
デバイスの設定が完了したら、設定モードから を入力します commit 。
グループ メンバー GM-0002 の設定(SRX シリーズ ファイアウォールまたは vSRX 仮想ファイアウォール インスタンス)
CLI クイックコンフィギュレーション
この例を迅速に設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを 階層レベルの [edit] CLI にコピー アンド ペーストして、設定モードから を入力 commit します。
set interfaces ge-0/0/0 unit 0 description To_LAN set interfaces ge-0/0/0 unit 0 family inet address 172.16.102.1/24 set interfaces ge-0/0/1 unit 0 description To_KeySrv set interfaces ge-0/0/1 unit 0 family inet address 10.18.102.1/24 set security zones security-zone LAN host-inbound-traffic system-services ike set security zones security-zone LAN host-inbound-traffic system-services ssh set security zones security-zone LAN host-inbound-traffic system-services ping set security zones security-zone LAN interfaces ge-0/0/0.0 set security zones security-zone WAN host-inbound-traffic system-services ike set security zones security-zone WAN host-inbound-traffic system-services ssh set security zones security-zone WAN host-inbound-traffic system-services ping set security zones security-zone WAN interfaces ge-0/0/1.0 set security address-book global address 172.16.0.0/12 172.16.0.0/12 set security policies from-zone LAN to-zone WAN policy 1 match source-address 172.16.0.0/12 set security policies from-zone LAN to-zone WAN policy 1 match destination-address 172.16.0.0/12 set security policies from-zone LAN to-zone WAN policy 1 match application any set security policies from-zone LAN to-zone WAN policy 1 then permit set security policies from-zone LAN to-zone WAN policy 1 then log session-init set security policies from-zone WAN to-zone LAN policy 1 match source-address 172.16.0.0/12 set security policies from-zone WAN to-zone LAN policy 1 match destination-address 172.16.0.0/12 set security policies from-zone WAN to-zone LAN policy 1 match application any set security policies from-zone WAN to-zone LAN policy 1 then permit set security policies from-zone WAN to-zone LAN policy 1 then log session-init set security policies global policy 1000 match source-address any set security policies global policy 1000 match destination-address any set security policies global policy 1000 match application any set security policies global policy 1000 match from-zone any set security policies global policy 1000 match to-zone any set security policies global policy 1000 then reject set security policies global policy 1000 then log session-init set security policies global policy 1000 then count set security policies default-policy deny-all set routing-options static route 10.18.101.0/24 next-hop 10.18.102.254 set routing-options static route 10.18.103.0/24 next-hop 10.18.102.254 set routing-options static route 10.18.104.0/24 next-hop 10.18.102.254 set routing-options static route 172.16.101.0/24 next-hop 10.18.102.254 set routing-options static route 172.16.102.0/24 next-hop 10.18.102.254 set routing-options static route 172.16.103.0/24 next-hop 10.18.102.254 set routing-options static route 172.16.104.0/24 next-hop 10.18.102.254 set routing-options static route 10.10.100.0/24 next-hop 10.18.102.254 set security group-vpn member ike proposal PSK-SHA256-DH14-AES256 authentication-method pre-shared-keys set security group-vpn member ike proposal PSK-SHA256-DH14-AES256 dh-group group14 set security group-vpn member ike proposal PSK-SHA256-DH14-AES256 authentication-algorithm sha-256 set security group-vpn member ike proposal PSK-SHA256-DH14-AES256 encryption-algorithm aes-256-cbc set security group-vpn member ike policy KeySrv mode main set security group-vpn member ike policy KeySrv proposals PSK-SHA256-DH14-AES256 set security group-vpn member ike policy KeySrv pre-shared-key ascii-text "$ABC123" set security group-vpn member ike gateway KeySrv ike-policy KeySrv set security group-vpn member ike gateway KeySrv server-address 10.10.100.1 set security group-vpn member ike gateway KeySrv local-address 10.18.102.1 set security group-vpn member ipsec vpn GROUP_ID-0001 ike-gateway KeySrv set security group-vpn member ipsec vpn GROUP_ID-0001 group-vpn-external-interface ge-0/0/1.0 set security group-vpn member ipsec vpn GROUP_ID-0001 group 1 set security group-vpn member ipsec vpn GROUP_ID-0001 recovery-probe set security ipsec-policy from-zone LAN to-zone WAN ipsec-group-vpn GROUP_ID-0001
手順
次の例では、設定階層内のさまざまなレベルに移動する必要があります。その方法の詳細については、 CLIユーザーガイドの設定モードでのCLIエディターの使用を参照してください。
グループVPNv2メンバーを設定するには、次の手順に従います。
インターフェイス、セキュリティゾーン、セキュリティポリシーを設定します。
[edit interfaces] user@host# set ge-0/0/0 unit 0 description To_LAN user@host# set ge-0/0/0 unit 0 family inet address 172.16.102.1/24 user@host# set ge-0/0/1 unit 0 description To_KeySrv user@host# set ge-0/0/1 unit 0 family inet address 10.18.101.1/24 [edit security zones security-zone LAN] user@host# set host-inbound-traffic system-services ike user@host# set host-inbound-traffic system-services ssh user@host# set host-inbound-traffic system-services ping user@host# set interfaces ge-0/0/0.0 [edit security zones security-zone WAN] user@host# set host-inbound-traffic system-services ike user@host# set host-inbound-traffic system-services ssh user@host# set host-inbound-traffic system-services ping user@host# set interfaces ge-0/0/1.0 [edit security] user@host# set address-book global address 172.16.0.0/12 172.16.0.0/12 [edit security policies from-zone LAN to-zone WAN] user@host# set policy 1 match source-address 172.16.0.0/12 user@host# set policy 1 match destination-address 172.16.0.0/12 user@host# set policy 1 match application any user@host# set policy 1 then permit user@host# set then log session-init [edit security policies from-zone WAN to-zone LAN user@host# set policy 1 match source-address 172.16.0.0/12 user@host# set policy 1 match destination-address 172.16.0.0/12 user@host# set policy 1 match application any user@host# set policy 1 then permit user@host# set then log session-init [edit security policies] user@host# set global policy 1000 match source-address any user@host# set global policy 1000 match destination-address any user@host# set global policy 1000 match application any user@host# set global policy 1000 match from-zone any user@host# set global policy 1000 match to-zone any user@host# set global policy 1000 match then reject user@host# set global policy 1000 match then log session-init user@host# set global policy 1000 match then count user@host# set default-policy deny-all
静的ルートを設定します。
[edit routing-options] user@host# set static route 10.18.101.0/24 next-hop 10.18.102.254 user@host# set static route 10.18.103.0/24 next-hop 10.18.102.254 user@host# set static route 10.18.104.0/24 next-hop 10.18.102.254 user@host# set static route 172.16.101.0/24 next-hop 10.18.102.254 user@host# set static route 172.16.102.0/24 next-hop 10.18.102.254 user@host# set static route 172.16.103.0/24 next-hop 10.18.102.254 user@host# set static route 172.16.104.0/24 next-hop 10.18.102.254 user@host# set static route 10.10.100.0/24 next-hop 10.18.102.254
IKEプロポーザル、ポリシー、およびゲートウェイを設定します。
[edit security group-vpn member ike proposal PSK-SHA256-DH14-AES256] user@host# set authentication-method pre-shared-keys user@host# set authentication-algorithm sha-256 user@host# set dh-group group14 user@host# set encryption-algorithm aes-256-cbc [edit security group-vpn member ike policy KeySrv ] user@host# set mode main user@host# set proposals PSK-SHA256-DH14-AES256 user@host# set pre-shared-key ascii-text "$ABC123" [edit security group-vpn member ike gateway KeySrv] user@host# set ike-policy KeySrv user@host# set server-address 10.10.100.1 user@host# set local-address 10.18.102.1
IPsec SAを設定します。
[edit security group-vpn member ipsec vpn GROUP_ID-0001] user@host# set ike-gateway KeySrv user@host# set group-vpn-external-interface ge-0/0/1.0 user@host# set group 1 user@host# set recovery-probe
IPsecポリシーを設定します。
[edit security ipsec-policy from-zone LAN to-zone WAN] user@host# set ipsec-group-vpn GROUP_ID-0001
結果
設定モードから、 、 、 show routing-optionsコマンドを入力して設定をshow interfacesshow security確認します。出力結果に意図した設定が表示されない場合は、この例の手順を繰り返して設定を修正します。
[edit]
user@host# show interfaces
ge-0/0/0 {
unit 0 {
description To_LAN;
family inet {
address 172.16.102.1/24;
}
}
}
ge-0/0/1 {
unit 0 {
description To_KeySrv;
family inet {
address 10.18.102.1/24;
}
}
}
[edit]
user@host# show routing-options
static {
route 10.18.101.0/24 next-hop 10.18.102.254;
route 10.18.103.0/24 next-hop 10.18.102.254;
route 10.18.104.0/24 next-hop 10.18.102.254;
route 172.16.101.0/24 next-hop 10.18.102.254;
route 172.16.102.0/24 next-hop 10.18.102.254;
route 172.16.103.0/24 next-hop 10.18.102.254;
route 172.16.104.0/24 next-hop 10.18.102.254;
route 10.10.100.0/24 next-hop 10.18.102.254;
}
[edit]
user@host# show security
address-book {
global {
address 172.16.0.0/12 172.16.0.0/12;
}
}
group-vpn {
member {
ike {
proposal PSK-SHA256-DH14-AES256 {
authentication-method pre-shared-keys;
dh-group group14;
authentication-algorithm sha-256;
encryption-algorithm aes-256-cbc;
}
policy KeySrv {
mode main;
proposals PSK-SHA256-DH14-AES256;
pre-shared-key ascii-text "$ABC123"; ## SECRET-DATA
}
gateway KeySrv {
ike-policy KeySrv;
server-address 10.10.100.1;
local-address 10.18.102.1;
}
}
ipsec {
vpn GROUP_ID-0001 {
ike-gateway KeySrv;
group-vpn-external-interface ge-0/0/1.0;
group 1;
recovery-probe;
}
}
}
}
policies {
from-zone LAN to-zone WAN {
policy 1 {
match {
source-address 172.16.0.0/12;
destination-address 172.16.0.0/12;
application any;
}
then {
permit;
log {
session-init;
}
}
}
}
from-zone WAN to-zone LAN {
policy 1 {
match {
source-address 172.16.0.0/12;
destination-address 172.16.0.0/12;
application any;
}
then {
permit;
log {
session-init;
}
}
}
}
global {
policy 1000 {
match {
source-address any;
destination-address any;
application any;
from-zone any;
to-zone any;
}
then {
reject;
log {
session-init;
}
count;
}
}
}
default-policy {
deny-all;
}
}
zones {
security-zone LAN {
host-inbound-traffic {
system-services {
ike;
ssh;
ping;
}
}
interfaces {
ge-0/0/0.0;
}
}
security-zone WAN {
host-inbound-traffic {
system-services {
ike;
ssh;
ping;
}
}
interfaces {
ge-0/0/1.0;
}
}
}
デバイスの設定が完了したら、設定モードから を入力します commit 。
グループ メンバー GM-0003 の設定(MX シリーズ デバイス)
CLI クイックコンフィギュレーション
この例を迅速に設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを 階層レベルの [edit] CLI にコピー アンド ペーストして、設定モードから を入力 commit します。
set interfaces xe-0/0/1 unit 0 family inet service input service-set GROUP_ID-0001 service-filter GroupVPN-KS set interfaces xe-0/0/1 unit 0 family inet service output service-set GROUP_ID-0001 service-filter GroupVPN-KS set interfaces xe-0/0/1 unit 0 family inet address 10.18.103.1/24 set interfaces xe-0/0/2 unit 0 family inet address 172.16.103.1/24 set interfaces ms-0/2/0 unit 0 family inet set routing-options static route 10.18.101.0/24 next-hop 10.18.103.254 set routing-options static route 10.18.102.0/24 next-hop 10.18.103.254 set routing-options static route 10.18.104.0/24 next-hop 10.18.103.254 set routing-options static route 172.16.101.0/24 next-hop 10.18.103.254 set routing-options static route 172.16.102.0/24 next-hop 10.18.103.254 set routing-options static route 172.16.103.0/24 next-hop 10.18.103.254 set routing-options static route 172.16.104.0/24 next-hop 10.18.103.254 set routing-options static route 10.10.100.0/24 next-hop 10.18.103.254 set security group-vpn member ike proposal PSK-SHA256-DH14-AES256 authentication-method pre-shared-keys set security group-vpn member ike proposal PSK-SHA256-DH14-AES256 dh-group group14 set security group-vpn member ike proposal PSK-SHA256-DH14-AES256 authentication-algorithm sha-256 set security group-vpn member ike proposal PSK-SHA256-DH14-AES256 encryption-algorithm aes-256-cbc set security group-vpn member ike policy KeySrv mode main set security group-vpn member ike policy KeySrv proposals PSK-SHA256-DH14-AES256 set security group-vpn member ike policy KeySrv pre-shared-key ascii-text "$ABC123" set security group-vpn member ike gateway KeySrv ike-policy KeySrv set security group-vpn member ike gateway KeySrv server-address 10.10.100.1 set security group-vpn member ike gateway KeySrv local-address 10.18.103.1 set security group-vpn member ipsec vpn GROUP_ID-0001 ike-gateway KeySrv set security group-vpn member ipsec vpn GROUP_ID-0001 group 1 set security group-vpn member ipsec vpn GROUP_ID-0001 match-direction output set security group-vpn member ipsec vpn GROUP_ID-0001 tunnel-mtu 1400 set security group-vpn member ipsec vpn GROUP_ID-0001 df-bit clear set services service-set GROUP_ID-0001 interface-service service-interface ms-0/2/0.0 set services service-set GROUP_ID-0001 ipsec-group-vpn GROUP_ID-0001 set firewall family inet service-filter GroupVPN-KS term inbound-ks from destination-address 10.10.100.1/32 set firewall family inet service-filter GroupVPN-KS term inbound-ks from source-address 10.10.100.1/32 set firewall family inet service-filter GroupVPN-KS term inbound-ks then skip set firewall family inet service-filter GroupVPN-KS term outbound-ks from destination-address 10.10.100.1/32 set firewall family inet service-filter GroupVPN-KS term outbound-ks then skip set firewall family inet service-filter GroupVPN-KS term GROUP_ID-0001 from source-address 172.16.0.0/12 set firewall family inet service-filter GroupVPN-KS term GROUP_ID-0001 from destination-address 172.16.0.0/12 set firewall family inet service-filter GroupVPN-KS term GROUP_ID-0001 then service
手順
グループVPNv2メンバーを設定するには、次の手順に従います。
インターフェイスを設定します。
[edit interfaces] user@host# set xe-0/0/1 unit 0 family inet service input service-set GROUP_ID-0001 service-filter GroupVPN-KS user@host# set xe-0/0/1 unit 0 family inet service output service-set GROUP_ID-0001 service-filter GroupVPN-KS user@host# set xe-0/0/1 unit 0 family inet address 10.18.103.1/24 user@host# set xe-0/0/2 unit 0 family inet address 172.16.103.1/24 user@host# set ms-0/2/0 unit 0 family inet
ルーティングを設定します。
[edit routing-options] user@host# set static route 10.18.101.0/24 next-hop 10.18.103.254 user@host# set static route 10.18.102.0/24 next-hop 10.18.103.254 user@host# set static route 10.18.104.0/24 next-hop 10.18.103.254 user@host# set static route 172.16.101.0/24 next-hop 10.18.103.254 user@host# set static route 172.16.102.0/24 next-hop 10.18.103.254 user@host# set static route 172.16.103.0/24 next-hop 10.18.103.254 user@host# set static route 172.16.104.0/24 next-hop 10.18.103.254 user@host# set static route 10.10.100.0/24 next-hop 10.18.103.254
IKEプロポーザル、ポリシー、ゲートウェイを設定します。
[edit security group-vpn member ike proposal PSK-SHA256-DH14-AES256 ] user@host# set authentication-method pre-shared-keys user@host# set group group14 user@host# set authentication-algorithm sha-256 user@host# set encryption-algorithm aes-256-cbc [edit security group-vpn member ike policy KeySrv ] user@host# set mode main user@host# set proposals PSK-SHA256-DH14-AES256 user@host# set pre-shared-key ascii-text "$ABC123" [edit security group-vpn member ike gateway KeySrv] user@host# set ike-policy KeySrv user@host# set server-address 10.10.100.1 user@host# set local-address 10.18.103.1
IPsec SAを設定します。
[edit security group-vpn member ipsec vpn GROUP_ID-0001] user@host# set ike-gateway KeySrv user@host# set group 1 user@host# set match-direction output user@host# set tunnel-mtu 1400 user@host# set df-bit clear
サービスフィルターを設定します。
[edit firewall family inet service-filter GroupVPN-KS] user@host# set term inbound-ks from destination-address 10.10.100.1/32 user@host# set term inbound-ks from source-address 10.10.100.1/32 user@host# set term inbound-ks then skip user@host# set term outbound-ks from destination-address 10.10.100.1/32 user@host# set term outbound-ks then skip user@host# set term GROUP_ID-0001 from source-address 172.16.0.0/12 user@host# set term GROUP_ID-0001 from destination-address 172.16.0.0/12 user@host# set term GROUP_ID-0001 then service
サービス セットを設定します。
[edit services service-set GROUP_ID-0001] user@host# set interface-service service-interface ms-0/2/0.0 user@host# set ipsec-group-vpn GROUP_ID-0001
結果
設定モードから、 、show servicesshow routing-optionsshow securityおよび のコマンドをshow interfaces入力して、設定をshow firewall確認します。出力結果に意図した設定が表示されない場合は、この例の手順を繰り返して設定を修正します。
[edit]
user@host# show interfaces
xe-0/0/1 {
unit 0 {
family inet {
service {
input {
service-set GROUP_ID-0001 service-filter GroupVPN-KS;
}
output {
service-set GROUP_ID-0001 service-filter GroupVPN-KS;
}
}
address 10.18.103.1/24;
}
}
}
xe-0/0/2 {
unit 0 {
family inet {
address 172.16.103.1/24;
}
}
}
ms-0/2/0 {
unit 0 {
family inet;
}
}
[edit]
user@host# show routing-options
static {
route 10.18.101.0/24 next-hop 10.18.103.254;
route 10.18.102.0/24 next-hop 10.18.103.254;
route 10.18.104.0/24 next-hop 10.18.103.254;
route 172.16.101.0/24 next-hop 10.18.103.254;
route 172.16.102.0/24 next-hop 10.18.103.254;
route 172.16.103.0/24 next-hop 10.18.103.254;
route 172.16.104.0/24 next-hop 10.18.103.254;
}
[edit]
user@host# show security
group-vpn {
member {
ike {
proposal PSK-SHA256-DH14-AES256 {
authentication-method pre-shared-keys;
dh-group group14;
authentication-algorithm sha-256;
encryption-algorithm aes-256-cbc;
}
policy KeySrv {
mode main;
proposals PSK-SHA256-DH14-AES256;
pre-shared-key ascii-text "$ABC123"; ## SECRET-DATA
}
gateway KeySrv {
ike-policy KeySrv;
local-address 10.18.103.1;
server-address 10.10.101.1;
}
}
ipsec {
vpn GROUP_ID-0001 {
ike-gateway KeySrv
group 1;
match-direction output;
tunnel-mtu 1400;
df-bit clear;
}
}
}
}
[edit]
user@host# show services
service-set GROUP_ID-0001 {
interface-service {
service-interface ms-0/2/0.0;
}
ipsec-group-vpn GROUP_ID-0001;
}
[edit]
user@host# show firewall
family inet {
service-filter GroupVPN-KS {
term inbound-ks {
from {
destination-address {
10.10.100.1/32;
}
source-address {
10.10.100.1/32;
}
}
then skip;
}
term outbound-ks {
from {
destination-address {
10.10.100.1/32;
}
}
then skip;
}
term GROUP_ID-0001 {
from {
source-address {
172.16.0.0/12;
}
destination-address {
172.16.0.0/12;
}
}
then service;
}
}
}
グループ メンバー GM-0004 の設定(MX シリーズ デバイス)
CLI クイックコンフィギュレーション
この例を迅速に設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを 階層レベルの [edit] CLI にコピー アンド ペーストして、設定モードから を入力 commit します。
set interfaces xe-0/0/1 unit 0 family inet service input service-set GROUP_ID-0001 service-filter GroupVPN-KS set interfaces xe-0/0/1 unit 0 family inet service output service-set GROUP_ID-0001 service-filter GroupVPN-KS set interfaces xe-0/0/1 unit 0 family inet address 10.18.104.1/24 set interfaces xe-0/0/2 unit 0 family inet address 172.16.104.1/24 set interfaces ms-0/2/0 unit 0 family inet set routing-options static route 10.18.101.0/24 next-hop 10.18.104.254 set routing-options static route 10.18.102.0/24 next-hop 10.18.104.254 set routing-options static route 10.18.103.0/24 next-hop 10.18.104.254 set routing-options static route 172.16.101.0/24 next-hop 10.18.104.254 set routing-options static route 172.16.102.0/24 next-hop 10.18.104.254 set routing-options static route 172.16.103.0/24 next-hop 10.18.104.254 set routing-options static route 172.16.104.0/24 next-hop 10.18.104.254 set security group-vpn member ike proposal PSK-SHA256-DH14-AES256 authentication-method pre-shared-keys set security group-vpn member ike proposal PSK-SHA256-DH14-AES256 dh-group group14 set security group-vpn member ike proposal PSK-SHA256-DH14-AES256 authentication-algorithm sha-256 set security group-vpn member ike proposal PSK-SHA256-DH14-AES256 encryption-algorithm aes-256-cbc set security group-vpn member ike policy SubSrv mode main set security group-vpn member ike policy SubSrv proposals PSK-SHA256-DH14-AES256 set security group-vpn member ike policy SubSrv pre-shared-key ascii-text "$ABC123" set security group-vpn member ike gateway SubSrv ike-policy SubSrv set security group-vpn member ike gateway SubSrv server-address 10.17.101.1 set security group-vpn member ike gateway SubSrv server-address 10.17.102.1 set security group-vpn member ike gateway SubSrv server-address 10.17.103.1 set security group-vpn member ike gateway SubSrv server-address 10.17.104.1 set security group-vpn member ike gateway SubSrv local-address 10.18.104.1 set security group-vpn member ipsec vpn GROUP_ID-0001 ike-gateway SubSrv set security group-vpn member ipsec vpn GROUP_ID-0001 group 1 set security group-vpn member ipsec vpn GROUP_ID-0001 match-direction output set security group-vpn member ipsec vpn GROUP_ID-0001 tunnel-mtu 1400 set security group-vpn member ipsec vpn GROUP_ID-0001 df-bit clear set services service-set GROUP_ID-0001 interface-service service-interface ms-0/2/0.0 set services service-set GROUP_ID-0001 ipsec-group-vpn GROUP_ID-0001 set firewall family inet service-filter GroupVPN-KS term inbound-ks from destination-address 10.10.100.1/32 set firewall family inet service-filter GroupVPN-KS term inbound-ks from source-address 10.10.100.1/32 set firewall family inet service-filter GroupVPN-KS term outbound-ks from destination-address 10.17.101.1/32 set firewall family inet service-filter GroupVPN-KS term outbound-ks from destination-address 10.17.102.1/32 set firewall family inet service-filter GroupVPN-KS term outbound-ks from destination-address 10.17.103.1/32 set firewall family inet service-filter GroupVPN-KS term outbound-ks from destination-address 10.17.104.1/32 set firewall family inet service-filter GroupVPN-KS term outbound-ks then skip set firewall family inet service-filter GroupVPN-KS term GROUP_ID-0001 from source-address 172.16.0.0/12 set firewall family inet service-filter GroupVPN-KS term GROUP_ID-0001 from destination-address 172.16.0.0/12 set firewall family inet service-filter GroupVPN-KS term GROUP_ID-0001 then service
手順
グループVPNv2メンバーを設定するには、次の手順に従います。
インターフェイスを設定します。
[edit interfaces] user@host# set xe-0/0/1 unit 0 family inet service input service-set GROUP_ID-0001 service-filter GroupVPN-KS user@host# set xe-0/0/1 unit 0 family inet service output service-set GROUP_ID-0001 service-filter GroupVPN-KS user@host# set xe-0/0/1 unit 0 family inet address 10.18.104.1/24 user@host# set xe-0/0/2 unit 0 family inet address 172.16.104.1/24 user@host# set ms-0/2/0 unit 0 family inet
ルーティングを設定します。
[edit routing-options] user@host# set static route 10.18.101.0/24 next-hop 10.18.104.254 user@host# set static route 10.18.102.0/24 next-hop 10.18.104.254 user@host# set static route 10.18.103.0/24 next-hop 10.18.104.254 user@host# set static route 172.16.101.0/24 next-hop 10.18.104.254 user@host# set static route 172.16.102.0/24 next-hop 10.18.104.254 user@host# set static route 172.16.103.0/24 next-hop 10.18.104.254 user@host# set static route 172.16.104.0/24 next-hop 10.18.104.254
IKEプロポーザル、ポリシー、ゲートウェイを設定します。
[edit security group-vpn member ike proposal PSK-SHA256-DH14-AES256 ] user@host# set authentication-method pre-shared-keys user@host# set group group14 user@host# set authentication-algorithm sha-256 user@host# set encryption-algorithm aes-256-cbc [edit security group-vpn member ike policy KeySrv ] user@host# set mode main user@host# set proposals PSK-SHA256-DH14-AES256 user@host# set pre-shared-key ascii-text "$ABC123" [edit security group-vpn member ike gateway KeySrv] user@host# set ike-policy KeySrv user@host# set server-address 10.10.100.1 user@host# set local-address 10.18.104.1
IPsec SAを設定します。
[edit security group-vpn member ipsec vpn GROUP_ID-0001] user@host# set ike-gateway KeySrv user@host# set group 1 user@host# set match-direction output user@host# set tunnel-mtu 1400 user@host# set df-bit clear
サービスフィルターを設定します。
[edit firewall family inet service-filter GroupVPN-KS] user@host# set term inbound-ks from destination-address 10.10.101.1/32 user@host# set term inbound-ks from source-address 10.10.101.1/32 user@host# set term inbound-ks then skip user@host# set term outbound-ks from destination-address 10.17.101.1/32 user@host# set term outbound-ks from destination-address 10.17.102.1/32 user@host# set term outbound-ks from destination-address 10.17.103.1/32 user@host# set term outbound-ks from destination-address 10.17.104.1/32 user@host# set term outbound-ks then skip user@host# set term GROUP_ID-0001 from source-address 172.16.0.0/12 user@host# set term GROUP_ID-0001 from destination-address 172.16.0.0/12 user@host# set term GROUP_ID-0001 then service
サービス セットを設定します。
[edit services service-set GROUP_ID-0001] user@host# set interface-service service-interface ms-0/2/0.0 user@host# set ipsec-group-vpn GROUP_ID-0001
結果
設定モードから、 、show servicesshow routing-optionsshow securityおよび のコマンドをshow interfaces入力して、設定をshow firewall確認します。出力結果に意図した設定が表示されない場合は、この例の手順を繰り返して設定を修正します。
[edit]
user@host# show interfaces
xe-0/0/1 {
unit 0 {
family inet {
service {
input {
service-set GROUP_ID-0001 service-filter GroupVPN-KS;
}
output {
service-set GROUP_ID-0001 service-filter GroupVPN-KS;
}
}
address 10.18.104.1/24;
}
}
}
xe-0/0/2 {
unit 0 {
family inet {
address 172.16.104.1/24;
}
}
}
ms-0/2/0 {
unit 0 {
family inet;
}
}
[edit]
user@host# show routing-options
static {
route 10.18.101.0/24 next-hop 10.18.104.254;
route 10.18.102.0/24 next-hop 10.18.104.254;
route 10.18.103.0/24 next-hop 10.18.104.254;
route 172.16.101.0/24 next-hop 10.18.104.254;
route 172.16.102.0/24 next-hop 10.18.104.254;
route 172.16.103.0/24 next-hop 10.18.104.254;
route 172.16.104.0/24 next-hop 10.18.104.254;
}
[edit]
user@host# show security
group-vpn {
member {
ike {
proposal PSK-SHA256-DH14-AES256 {
authentication-method pre-shared-keys;
dh-group group14;
authentication-algorithm sha-256;
encryption-algorithm aes-256-cbc;
}
policy KeySrv {
mode main;
proposals PSK-SHA256-DH14-AES256;
pre-shared-key ascii-text "$ABC123"; ## SECRET-DATA
}
gateway KeySrv {
ike-policy KeySrv;
local-address 10.18.104.1;
server-address 10.17.101.1;
}
}
ipsec {
vpn GROUP_ID-0001 {
ike-gateway KeySrv
group 1;
match-direction output;
tunnel-mtu 1400;
df-bit clear;
}
}
}
}
[edit]
user@host# show services
service-set GROUP_ID-0001 {
interface-service {
service-interface ms-0/2/0.0;
}
ipsec-group-vpn GROUP_ID-0001;
}
[edit]
user@host# show firewall
family inet {
service-filter GroupVPN-KS {
term inbound-ks {
from {
destination-address {
10.10.100.1/32;
}
source-address {
10.10.100.1/32;
}
}
then skip;
}
term outbound-ks {
from {
destination-address {
10.17.101.1/32;
10.17.102.1/32;
10.17.103.1/32;
10.17.104.1/32;
}
}
then skip;
}
term GROUP_ID-0001 {
from {
source-address {
172.16.0.0/12;
}
destination-address {
172.16.0.0/12;
}
}
then service;
}
}
}
検証
設定が正しく機能していることを確認します。
- グループメンバー登録の確認
- グループ鍵の分散の検証
- グループサーバー上のグループVPN SAの検証
- グループメンバーのグループVPN SAの検証
- グループサーバー上のIPsec SAの検証
- グループメンバーのIPsec SAの検証
- グループ ポリシーの検証(SRX シリーズ ファイアウォールまたは vSRX 仮想ファイアウォール グループ メンバーのみ)
グループメンバー登録の確認
目的
グループ メンバーがサーバーに登録されていることを確認します。
対処
運用モードから、サーバー上の show security group-vpn server registered-members および show security group-vpn server registered-members detail コマンドを入力します。
user@host> show security group-vpn server registered-members Group: GROUP_ID-0001, Group Id: 1 Total number of registered members: 2 Member Gateway Member IP Last Update Vsys GM-0001 10.18.101.1 Thu Nov 19 2015 16:31:09 root GM-0003 10.18.103.1 Thu Nov 19 2015 16:29:47 root
user@host> show security group-vpn server registered-members detail
GGroup: GROUP_ID-0001, Group Id: 1
Total number of registered members: 2
Member gateway: GM-0001, Member IP: 10.18.101.1, Vsys: root
Last Update: Thu Nov 19 2015 16:31:09
Stats:
Pull Succeeded : 2
Pull Failed : 0
Push Sent : 0
Push Acknowledged : 0
Push Unacknowledged : 0
Member gateway: GM-0003, Member IP: 10.18.103.1, Vsys: root
Last Update: Thu Nov 19 2015 16:29:47
Stats:
Pull Succeeded : 1
Pull Failed : 0
Push Sent : 0
Push Acknowledged : 0
Push Unacknowledged : 0
グループ鍵の分散の検証
目的
グループキーがメンバーに配布されていることを確認します。
対処
運用モードから、グループサーバーに show security group-vpn server statistics コマンドを入力します。
user@host> show security group-vpn server statistics
Group: GROUP_ID-0001, Group Id: 1
Stats:
Pull Succeeded : 4
Pull Failed : 0
Pull Exceed Member Threshold : 0
Push Sent : 0
Push Acknowledged : 0
Push Unacknowledged : 0
グループサーバー上のグループVPN SAの検証
目的
グループサーバー上のグループVPN SAを検証します。
対処
動作モードから、グループ サーバー上の show security group-vpn server kek security-associations および show security group-vpn server kek security-associations detail コマンドを入力します。
user@host> show security group-vpn server kek security-associations Index Life:sec Initiator cookie Responder cookie GroupId 738879 1206 a471513492db1e13 24045792a4b3dd64 1
user@host> show security group-vpn server kek security-associations detail Index 738879, Group Name: GROUP_ID-0001, Group Id: 1 Initiator cookie: a471513492db1e13, Responder cookie: 24045792a4b3dd64 Authentication method: RSA Lifetime: Expires in 1204 seconds, Activated Rekey in 694 seconds Algorithms: Sig-hash : sha256 Encryption : aes256-cbc Traffic statistics: Input bytes : 0 Output bytes : 0 Input packets: 0 Output packets: 0 Server Member Communication: Unicast Retransmission Period: 10, Number of Retransmissions: 2 Group Key Push sequence number: 0 PUSH negotiations in progress: 0
グループメンバーのグループVPN SAの検証
目的
グループメンバーのグループVPN SAを確認します。
対処
運用モードから、SRXシリーズファイアウォールまたはvSRX仮想ファイアウォールグループメンバーに と show security group-vpn member kek security-associations detail コマンドを入力show security group-vpn member kek security-associationsします。
user@host> show security group-vpn member kek security-associations Index Server Address Life:sec Initiator cookie Responder cookie GroupId 5455810 10.10.100.1 1093 a471513492db1e13 24045792a4b3dd64 1
user@host> show security group-vpn member kek security-associations detail
Index 5455810, Group Id: 1
Group VPN Name: GROUP_ID-0001
Local Gateway: 10.18.101.1, GDOI Server: 10.10.100.1
Initiator cookie: a471513492db1e13, Responder cookie: 24045792a4b3dd64
Lifetime: Expires in 1090 seconds
Group Key Push Sequence number: 0
Algorithms:
Sig-hash : hmac-sha256-128
Encryption : aes256-cbc
Traffic statistics:
Input bytes : 0
Output bytes : 0
Input packets: 0
Output packets: 0
Stats:
Push received : 0
Delete received : 0
動作モードから、MXシリーズグループメンバーに および show security group-vpn member kek security-associations detail コマンドを入力show security group-vpn member kek security-associationsします。
user@host> show security group-vpn member kek security-associations Index Server Address Life:sec Initiator cookie Responder cookie GroupId 488598 10.10.100.1 963 a471513492db1e13 24045792a4b3dd64 1
user@host> show security group-vpn member kek security-associations detail
Index 488598, Group Id: 1
Group VPN Name: GROUP_ID-0001
Local Gateway: 10.18.103.1, GDOI Server: 10.10.100.1
Initiator cookie: a471513492db1e13, Responder cookie: 24045792a4b3dd64
Lifetime: Expires in 961 seconds
Group Key Push Sequence number: 0
Algorithms:
Sig-hash : hmac-sha256-128
Encryption : aes256-cbc
Traffic statistics:
Input bytes : 0
Output bytes : 0
Input packets: 0
Output packets: 0
Stats:
Push received : 0
Delete received : 0
グループサーバー上のIPsec SAの検証
目的
グループサーバー上のIPsec SAを検証します。
対処
動作モードから、グループ サーバー上の show security group-vpn server ipsec security-associations および show security group-vpn server ipsec security-associations detail コマンドを入力します。
user@host> show security group-vpn server ipsec security-associations Group: GROUP_ID-0001, Group Id: 1 Total IPsec SAs: 1 IPsec SA Algorithm SPI Lifetime GROUP_ID-0001 ESP:aes-256/sha256 1c548e4e 1156
user@host> show security group-vpn server ipsec security-associations detail
Group: GROUP_ID-0001, Group Id: 1
Total IPsec SAs: 1
IPsec SA: GROUP_ID-0001
Protocol: ESP, Authentication: sha256, Encryption: aes-256
Anti-replay: D3P enabled
SPI: 1c548e4e
Lifetime: Expires in 1152 seconds, Activated
Rekey in 642 seconds
Policy Name: 1
Source: 172.16.0.0/12
Destination: 172.16.0.0/12
Source Port: 0
Destination Port: 0
Protocol: 0
グループメンバーのIPsec SAの検証
目的
グループメンバーのIPsec SAを確認します。
対処
運用モードから、SRXシリーズファイアウォールまたはvSRX仮想ファイアウォールグループメンバーに と show security group-vpn member ipsec security-associations detail コマンドを入力show security group-vpn member ipsec security-associationsします。
user@host> show security group-vpn member ipsec security-associations Total active tunnels: 1 ID Server Port Algorithm SPI Life:sec/kb GId lsys <>49152 10.10.100.1 848 ESP:aes-256/sha256-128 1c548e4e 1073/ unlim 1 root
user@host> show security group-vpn member ipsec security-associations detail
Virtual-system: root Group VPN Name: GROUP_ID-0001
Local Gateway: 10.18.101.1, GDOI Server: 10.10.100.1
Group Id: 1
Routing Instance: default
Recovery Probe: Enabled
DF-bit: clear
Stats:
Pull Succeeded : 4
Pull Failed : 3
Pull Timeout : 3
Pull Aborted : 0
Push Succeeded : 6
Push Failed : 0
Server Failover : 0
Delete Received : 0
Exceed Maximum Keys(4) : 0
Exceed Maximum Policies(10): 0
Unsupported Algo : 0
Flags:
Rekey Needed: no
List of policies received from server:
Tunnel-id: 49152
Source IP: ipv4_subnet(any:0,[0..7]=172.16.0.0/12)
Destination IP: ipv4_subnet(any:0,[0..7]=172.16.0.0/12)
Direction: bi-directional, SPI: 1c548e4e
Protocol: ESP, Authentication: sha256-128, Encryption: aes-256
Hard lifetime: Expires in 1070 seconds, Activated
Lifesize Remaining: Unlimited
Soft lifetime: Expires in 931 seconds
Mode: Tunnel, Type: Group VPN, State: installed
Anti-replay service: D3P enabled
動作モードから、MXシリーズグループメンバーに および show security group-vpn member ipsec security-associations detail コマンドを入力show security group-vpn member ipsec security-associationsします。
user@host> show security group-vpn member ipsec security-associations Total active tunnels: 1 ID Server Port Algorithm SPI Life:sec/kb GId lsys <>10001 10.10.100.1 848 ESP:aes-256/sha256-128 1c548e4e 947/ unlim 1 root
user@host> show security group-vpn member ipsec security-associations detail
Virtual-system: root Group VPN Name: GROUP_ID-0001
Local Gateway: 10.18.103.1, GDOI Server: 10.10.100.1
Group Id: 1
Rule Match Direction: output, Tunnel-MTU: 1400
Routing Instance: default
DF-bit: clear
Stats:
Pull Succeeded : 2
Pull Failed : 0
Pull Timeout : 1
Pull Aborted : 0
Push Succeeded : 2
Push Failed : 0
Server Failover : 0
Delete Received : 0
Exceed Maximum Keys(4) : 0
Exceed Maximum Policies(1): 0
Unsupported Algo : 0
Flags:
Rekey Needed: no
List of policies received from server:
Tunnel-id: 10001
Source IP: ipv4_subnet(any:0,[0..7]=172.16.0.0/12)
Destination IP: ipv4_subnet(any:0,[0..7]=172.16.0.0/12)
Direction: bi-directional, SPI: 1c548e4e
Protocol: ESP, Authentication: sha256-128, Encryption: aes-256
Hard lifetime: Expires in 945 seconds, Activated
Lifesize Remaining: Unlimited
Soft lifetime: Expires in 840 seconds
Mode: Tunnel, Type: Group VPN, State: installed
Anti-replay service: D3P enabled
グループ ポリシーの検証(SRX シリーズ ファイアウォールまたは vSRX 仮想ファイアウォール グループ メンバーのみ)
目的
SRXシリーズファイアウォールまたはvSRX仮想ファイアウォールグループメンバーのグループポリシーを確認します。
対処
動作モードから、グループ・メンバーに show security group-vpn member policy コマンドを入力します。
user@host> show security group-vpn member policy Group VPN Name: GROUP_ID-0001, Group Id: 1 From-zone: LAN, To-zone: WAN Tunnel-id: 49152, Policy type: Secure Source : IP <172.16.0.0 - 172.31.255.255>, Port <0 - 65535>, Protocol <0> Destination : IP <172.16.0.0 - 172.31.255.255>, Port <0 - 65535>, Protocol <0> Tunnel-id: 63488, Policy type: Fail-close Source : IP <0.0.0.0 - 255.255.255.255>, Port <0 - 65535>, Protocol <0> Destination : IP <0.0.0.0 - 255.255.255.255>, Port <0 - 65535>, Protocol <0>
例：ユニキャスト鍵更新メッセージ用のグループ VPNv2 サーバーメンバー通信の設定
この例では、サーバーがユニキャストキー更新メッセージをグループメンバーに送信し、有効なキーがグループメンバー間のトラフィックを暗号化できるようにする方法を示しています。グループ VPNv2 は、SRX300、SRX320、SRX340、SRX345、SRX550HM、SRX1500、SRX4100、SRX4200、SRX4600 のデバイスおよび vSRX 仮想ファイアウォール インスタンスでサポートされています。
要件
開始する前に、以下を行います。
IKEフェーズ1ネゴシエーションのグループサーバーとメンバーを設定します。
IPsec SAのグループサーバーとメンバーを設定します。
グループ サーバーでグループ
g1を構成します。
概要
この例では、グループ g1に対して以下のサーバー・メンバー通信パラメーターを指定します。
サーバーは、ユニキャストキー更新メッセージをグループメンバーに送信します。
aes-128-cbcは、サーバーとメンバー間のトラフィックを暗号化するために使用されます。
メンバー認証にはsha-256が使用されます。
デフォルト値は、KEK のライフタイムと再送信に使用されます。
設定
手順
手順
次の例では、設定階層内のさまざまなレベルに移動する必要があります。その方法の詳細については、 設定モードでのCLIエディターの使用を参照してください。
サーバーメンバー通信を設定するには:
通信タイプを設定します。
[edit security group-vpn server group g1 server-member-communication] user@host# set communications-type unicast
暗号化アルゴリズムを設定します。
[edit security group-vpn server group g1 server-member-communication] user@host# set encryption-algorithm aes-128-cbc
メンバー認証を設定します。
[edit security group-vpn server group g1 server-member-communication] user@host# set sig-hash-algorithm sha-256
検証
設定が正常に機能していることを確認するには、 コマンドを show security group-vpn server group g1 server-member-communication 入力します。