Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

シャーシクラスタを使用したIPsec VPNトンネル

SRXシリーズファイアウォールは、シャーシクラスター設定でIPsec VPNトンネルをサポートします。アクティブ/パッシブ シャーシ クラスタでは、すべての VPN トンネルが同じノードで終端します。アクティブ/アクティブ シャーシ クラスタでは、VPN トンネルはどちらのノードでも終端できます。

デュアル アクティブバックアップ IPsec VPN シャーシ クラスタについて

アクティブ/パッシブ シャーシ クラスタでは、 図 1に示すように、すべての VPN トンネルが同じノードで終端します。

図 1: IPsec VPNトンネルを備えたアクティブ/パッシブシャーシクラスタIPsec VPNトンネルを備えたアクティブ/パッシブシャーシクラスタ

アクティブ/アクティブ シャーシ クラスタでは、VPN トンネルはどちらのノードでも終端できます。図 2に示すように、シャーシ クラスタ内の両方のノードは、両方のノードのVPNトンネルを介して同時にトラフィックをアクティブに渡すことができます。この導入は、 デュアル アクティブバックアップ IPsec VPN シャーシ クラスタと呼ばれます。

図 2: デュアル アクティブバックアップ IPsec VPN シャーシ クラスタデュアル アクティブバックアップ IPsec VPN シャーシ クラスタ

デュアル アクティブバックアップ IPsec VPN シャーシ クラスタでは、以下の機能がサポートされています。

  • ルートベースVPNのみ。ポリシーベースのVPNはサポートされていません。

  • IKEv1 と IKEv2

  • デジタル証明書または事前共有キー認証。

  • 仮想ルーターのIKEおよびセキュアトンネルインターフェイス(st0)。

  • ネットワーク アドレス変換トラバーサル(NAT-T)。

  • VPN監視。

  • デッドピア検出。

  • ISSU(インサービスソフトウェアアップグレード)。

  • 既存の VPN トンネルのトラフィックを中断することなく、シャーシ クラスタ デバイスにサービス処理カード(SPC)を挿入。サービス処理カードの挿入に関するVPNサポートを参照してください。

  • 動的ルーティング プロトコル。

  • ポイントツーマルチポイント モードで設定されたセキュア トンネル インターフェイス(st0)。

  • トラフィックセレクターを使用したポイントツーポイントモードのst0インターフェイスを使用したAutoVPN。

  • IPv4-in-IPv4、IPv6-in-IPv4、IPv6-in-IPv6、IPv4-in-IPv6トンネルモード。

  • フラグメント化されたトラフィック。

  • ループバック インターフェイスは、VPN の外部インターフェイスとして設定できます。

デュアル アクティブバックアップ IPsec VPN シャーシ クラスタは、Z モード フローで設定できません。Z モード フローは、トラフィックがシャーシ クラスタ ノード上のインターフェイスに入り、ファブリック リンクを通過し、他のクラスタ ノード上のインターフェイスを通って出るときに発生します。

例:ループバックインターフェイスの冗長グループの設定

この例では、VPN障害を防止するために、ループバックインターフェイスに冗長グループ(RG)を設定する方法を示します。冗長性グループは、シャーシ クラスタ設定でフェイルオーバーを行うためにインターフェイスをグループにバンドルするために使用されます。

要件

この例では、次のハードウェアとソフトウェアを使用しています。

  • サポートされているシャーシクラスターのペア SRXシリーズファイアウォール

  • SSG140デバイスまたは同等のもの

  • 2 つのスイッチ

  • SRXシリーズファイアウォールのJunos OSリリース12.1x44-D10以降

開始する前に、以下を実行します。

シャーシ クラスタの冗長イーサネット インターフェイスについて理解します。SRXシリーズ デバイス向けシャーシ クラスタ ユーザーガイドを参照してください。

概要

インターネット鍵交換(IKE)ゲートウェイは、ピアデバイスと通信するために外部インターフェイスを必要とします。シャーシ クラスタ設定では、外部インターフェイスがアクティブなノードが、VPN トンネルをサポートする SPU(サービス処理ユニット)を選択します。IKE および IPsec パケットはその SPU で処理されます。したがって、アクティブな外部インターフェイスがアンカー SPU を決定します。

シャーシ クラスタ設定では、外部インターフェイスは冗長イーサネット インターフェイスです。冗長イーサネットインターフェイスは、物理(子)インターフェイスがダウンするとダウンする可能性があります。ループバックインターフェイスを、ピアゲートウェイに到達するための代替の物理インターフェイスとして設定することができます。ループバック インターフェイスは、任意の冗長性グループで設定できます。VPNパケットのみがアクティブインターフェイスを介してアンカーSPUを見つける必要があるため、この冗長性グループ設定はVPNパケットに対してのみチェックされます。

lo0.0 はデフォルトの仮想ルーター内にあり、仮想ルーターで許可されるループバックインターフェイスは 1 つだけであるため、カスタム仮想ルーターで lo0.x を設定する必要があります。

図 3 は、ループバックシャーシクラスタVPNトポロジーの例を示しています。このトポロジーでは、SRXシリーズファイアウォールシャーシクラスターデバイスはカリフォルニア州サニーベールにあります。SRXシリーズファイアウォールシャーシクラスターデバイスは、この設定では単一のゲートウェイとして機能します。SSGシリーズ デバイス(サードパーティ製デバイス)は、イリノイ州シカゴにあります。このデバイスは、SRXシャーシクラスターのピアデバイスとして機能し、VPNトンネルの構築に役立ちます。

図 3: シャーシ クラスタ VPN のループバック インターフェイスシャーシ クラスタ VPN のループバック インターフェイス

設定

手順

CLIクイック構成

この例のセクションを迅速に設定するには、以下のコマンドをコピーして、テキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルで CLI にコピー アンド ペーストして、設定モードから commit を入力します。

ステップバイステップでの手順

ループバックインターフェイスの冗長性グループを設定するには:

  1. 1つの冗長グループでループバックインターフェイスを設定します。

  2. ループバックインターフェイスのIPアドレスを設定します。

  3. ルーティングオプションを設定します。

  4. ループバックインターフェイスをIKEゲートウェイの外部インターフェイスとして設定します。

  5. IPsecプロポーザルを設定します。

結果

設定モードから、show interfaces lo0show routing-instancesshow security ike、およびshow security ipsec のコマンドを入力して設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の手順を繰り返して設定を修正します。

デバイスの設定が完了したら、設定モードから commit を入力します。

検証

設定の確認

目的

ループバック インターフェイスの冗長性グループの設定が正しいことを確認します。

アクション

動作モードからshow chassis cluster interfacesコマンドを入力します。

意味

show chassis cluster interfaces コマンドは、シャーシ クラスタ インターフェイス情報を表示します。冗長擬似インターフェイス情報フィールドのステータスが lo0 インターフェイスが Up と表示され、冗長イーサネット情報フィールドのステータスが reth0、reth1、reth2 フィールドが Up と表示されている場合、設定は正しいです。