Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

シャーシ クラスタを使用した IPsec VPN トンネル

SRX シリーズ ファイアウォールは、シャーシ クラスタ設定の IPsec VPN トンネルをサポートします。アクティブ/パッシブシャーシクラスターでは、すべてのVPNトンネルが同じノードで終了します。アクティブ/アクティブシャーシクラスターでは、VPNトンネルはどちらのノードでも終了できます。

デュアル アクティブバックアップ IPsec VPN シャーシ クラスターについて

アクティブ/パッシブシャーシクラスタでは、 に示すように、すべてのVPNトンネルが同じノードで 図 1終了します。

図 1: IPsec VPN トンネルを使用したアクティブ/パッシブ シャーシ クラスターIPsec VPN トンネルを使用したアクティブ/パッシブ シャーシ クラスター

アクティブ/アクティブシャーシクラスターでは、VPNトンネルはどちらのノードでも終了できます。に示すように、シャーシ クラスタ内の両方のノードは、両方のノード上の VPN トンネルを同時にトラフィックを積極的に 図 2通過できます。この導入は、 デュアル アクティブバックアップ IPsec VPN シャーシ クラスターとして知られています。

図 2: デュアル アクティブバックアップ IPsec VPN シャーシ クラスターデュアル アクティブバックアップ IPsec VPN シャーシ クラスター

デュアル アクティブバックアップ IPsec VPN シャーシ クラスターでは、以下の機能がサポートされています。

  • ルートベース VPN のみ。ポリシーベース VPN はサポートされていません。

  • IKEv1 および IKEv2。

  • デジタル証明書または事前共有鍵認証。

  • 仮想ルーターのIKEおよびセキュアトンネルインターフェイス(st0)。

  • ネットワーク アドレス変換トラバーサル(NAT-T)。

  • VPN監視。

  • デッドピア検出。

  • ISSU(インサービス ソフトウェア アップグレード)。

  • 既存のVPNトンネル上のトラフィックを中断することなく、シャーシクラスタデバイスにサービス処理カード(SPC)を挿入します。サービス処理カードの挿入に関するVPNサポートを参照してください。

  • 動的ルーティング プロトコル。

  • ポイントツーマルチポイント モードで設定されたセキュア トンネル インターフェイス(st0)。

  • トラフィックセレクターを使用したポイントツーポイントモードでのst0インターフェイスを備えたAutoVPN。

  • IPv4-in-IPv4、IPv6-in-IPv4、IPv6-in-IPv6、IPv4-in-IPv6 トンネル モード

  • フラグメント化されたトラフィック。

  • ループバック インターフェイスは、VPN の外部インターフェイスとして設定できます。

デュアル アクティブバックアップ IPsec VPN シャーシ クラスターは、Z モード フローでは設定できません。Z モード フローは、トラフィックがシャーシ クラスタ ノード上のインターフェイスに入り、ファブリック リンクを通過し、もう一方のクラスタ ノード上のインターフェイスを通過した場合に発生します。

例:ループバックインターフェイスの冗長性グループの設定

この例では、VPN 障害を防ぐためにループバック インターフェイスに対して冗長グループ(RG)を設定する方法を示します。冗長性グループは、シャーシ クラスタ設定でフェイルオーバー目的でインターフェイスをグループにバンドルするために使用されます。

要件

この例では、以下のハードウェアとソフトウェアを使用しています。

  • サポートされているシャーシ クラスター SRX シリーズ ファイアウォールのペア

  • SSG140 デバイスまたは同等のデバイス

  • 2 台のスイッチ

  • SRX シリーズ ファイアウォール向け Junos OS リリース 12.1x44-D10 以降

開始する前に、以下を行います。

シャーシ クラスタ冗長イーサネット インターフェイスについて理解する。SRXシリーズデバイス向けシャーシクラスタユーザーガイドを参照してください。

概要

インターネット鍵交換(IKE)ゲートウェイは、ピア デバイスと通信するために外部インターフェイスが必要です。シャーシクラスタ設定では、外部インターフェイスがアクティブなノードが、VPNトンネルをサポートするサービス処理ユニット(SPU)を選択します。IKEおよびIPsecパケットはそのSPUで処理されます。そのため、アクティブな外部インターフェイスがアンカー SPU を決定します。

シャーシ クラスタの設定では、外部インターフェイスは冗長イーサネット インターフェイスです。冗長イーサネット インターフェイスは、物理(子)インターフェイスがダウンした場合にダウンする可能性があります。ループバックインターフェイスを、ピアゲートウェイに到達するための代替物理インターフェイスとして設定できます。ループバック インターフェイスは、任意の冗長性グループで設定できます。アクティブなインターフェイスを介してアンカーSPUを見つける必要があるVPNパケットのみがあるため、この冗長性グループ設定はVPNパケットでのみチェックされます。

lo0.0はデフォルトの仮想ルーターであり、仮想ルーターでは1つのループバックインターフェイスしか許可されないので、カスタム仮想ルーターでlo0.xを設定する必要があります。

図 3 は、ループバックシャーシクラスタVPNトポロジーの例を示しています。このトポロジーでは、SRX シリーズ ファイアウォール シャーシ クラスター デバイスがカリフォルニア州サニーベールにあります。SRX シリーズ ファイアウォール シャーシ クラスター デバイスは、この設定で単一のゲートウェイとして機能します。SSG シリーズ デバイス(またはサードパーティー製デバイス)はイリノイ州シカゴにあります。このデバイスは、SRXシャーシクラスタへのピアデバイスとして機能し、VPNトンネルの構築に役立ちます。

図 3: シャーシ クラスタ VPN のループバック インターフェイスシャーシ クラスタ VPN のループバック インターフェイス

設定

手順

CLI クイックコンフィギュレーション

この例のセクションを迅速に設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に合わせて必要な詳細を変更し、コマンドを 階層レベルの [edit] CLI にコピー アンド ペーストして、設定モードから を入力 commit します。

手順

ループバック インターフェイスの冗長グループを設定するには:

  1. 1 つの冗長グループでループバック インターフェイスを設定します。

  2. ループバックインターフェイスのIPアドレスを設定します。

  3. ルーティングオプションを設定します。

  4. ループバックインターフェイスをIKEゲートウェイの外部インターフェイスとして設定します。

  5. IPsecプロポーザルを設定します。

結果

設定モードから、 、show security ikeshow routing-instancesおよび のコマンドをshow interfaces lo0入力して設定をshow security ipsec確認します。出力結果に意図した設定が表示されない場合は、この例の手順を繰り返して設定を修正します。

デバイスの設定が完了したら、設定モードから を入力します commit

検証

設定の検証

目的

ループバック インターフェイスの冗長性グループの設定が正しいことを確認します。

対処

動作モードから、 コマンドを show chassis cluster interfaces 入力します。

意味

コマンドは show chassis cluster interfaces 、シャーシ クラスタ インターフェイス情報を表示します。冗長疑似インターフェイス情報フィールドのステータスがlo0インターフェイスをUpとして、冗長イーサネット情報フィールドのステータスがreth0、reth1、reth2フィールドをUpと表示している場合、設定は正しいです。