IPsec VPNの概要

JunosオペレーティングシステムでサポートされているIPsec VPNトポロジーの一部を以下に示します。

• サイト間VPN：企業内の2つのサイトを相互に接続し、サイト間の安全な通信を可能にします。

• ハブアンドスポークVPN：企業ネットワーク内の支社／拠点と本社を接続します。このトポロジーを使用し、ハブ経由でトラフィックを送信することで、スポーク同士を接続することもできます。

• リモートアクセスVPN：自宅や外出先から会社のネットワークやリソースに接続できるようになります。このトポロジーは、end-to-site tunnelとも呼ばれます。

表 2 に、ポリシーベースVPNとルートベースVPNの違いについてまとめてあります。

表 2: ポリシーベース VPN とルートベース VPN の比較

ポリシーベース VPN	ルートベース VPN
ポリシーベース VPN では、トンネルは、送信元、宛先、アプリケーション、アクションとともに、VPN トラフィックを許可するトンネル ポリシーを構成するオブジェクトとして扱われます。	ルートベースVPN では、ポリシーは特にVPNトンネルを参照することはありません。
トンネル ポリシーは、VPN トンネルを具体的に名前で参照します。	ルートは、宛先 IP アドレスに基づき、トンネルを介して送信されるトラフィックを決定します。
作成できるポリシーベースの VPN トンネルの数は、デバイスがサポートするトンネル数によって制限されます。	作成するルートベースの VPN トンネルの数は、st0 インターフェイスの数（ポイントツーポイント VPN の場合）またはデバイスがサポートするトンネル数（どちらか少ない方）によって制限されます。
ポリシーベースのVPNでは、同じVPNトンネルを参照する多数のトンネルポリシーを作成できますが、各トンネルポリシーのペアは、リモートピアで個々のIPsec SAを作成します。各 SA は、個別の VPN トンネルとしてカウントされます。	トンネルを通過するトラフィックは、ポリシーではなくルートにより決定されるため、1つのSAまたはVPNで複数のポリシーをサポートできます。
ポリシーベース VPN では、アクションが許可され、トンネルが含まれている必要があります。	ルートベース VPN では、トラフィックの規制はその配信方法と連携していません。
ポリシーベースVPNでは、動的なルーティング情報の交換をサポートしていません。	ルートベース VPN では、VPN トンネルを介した動的なルーティング情報の交換をサポートしています。VPN トンネルにバインドされた st0 インターフェイス上で、OSPF などの動的ルーティング プロトコルのインスタンスを有効にすることができます。
トンネルに送信されるトラフィックを指定するためにルートが提供できる以上のきめ細かな制御を行う必要がある場合は、セキュリティポリシーを使用するポリシーベースVPNの使用が最適です。	ルートベースVPN は、ルートを使ってトンネルに送信されるトラフィックを指定します。ポリシーが特にVPNトンネルを参照することはありません。
ポリシーベースVPNトンネルでは、トンネルをポリシーの構成要素とみなすことができます。	セキュリティ デバイスがルート ルックアップを実行して、アドレスへのトラフィック送信に必要なインターフェイスを見つける場合、セキュア トンネル（st0）インターフェイスを介したルートが検出されます。 ルートベース VPN トンネルでは、トンネルをトラフィック配信手段と見なし、ポリシーをトラフィック配信の許可または拒否の手段と見なします。

このトピックでは、複数のVPNオブジェクト間でポイントツーポイントのst0論理インターフェイスを共有する方法について学習します。

Junos OSは、ikedプロセスを使用してIPSec VPNサービスを実行し、kmdプロセスからの移行パスを提供する場合、ポイントツーポイントst0論理インターフェイスの共有をサポートします。以下の前提条件を満たしている場合、ポイントツーポイントのst0インターフェイスを共有するように複数のVPNオブジェクトを設定できます。

• 明示的なトラフィックセレクターを設定しておきます。

• 構成でワイルドカード ネットワーク マスクを使用していません。

共有ポイントツーポイントst0インターフェイスの利点と制限を理解するには、以下をお読みください。

• メリット
• 限界
• サンプル構成

IPsec VPNトンネルは、トンネルの設定とセキュリティの適用で構成されています。トンネルの設定時に、ピアによりSA（セキュリティアソシエーション）が確立され、それらの間で送信されるトラフィックのセキュリティに関するパラメーターが定義されます。「IPsecの概要」を参照してください。トンネルが確立されると、IPsecは、トンネル設定時にSAで定義されたセキュリティパラメーターを適用して、2つのトンネルエンドポイント間で送信されるトラフィックを保護します。Junos OS実装内では、IPsecはトンネルモードで適用され、ESP（セキュリティペイロードのカプセル化）およびAH（認証ヘッダー）プロトコルをサポートします。

このトピックは、以下のセクションで構成されています。

プラットフォームに関連する注意点については、プラットフォーム固有の SPU VPN 処理動作セクションを参照してください。

SRXシリーズファイアウォールでは、IKEがIPsecのトンネルを管理し、最終エンティティを認証します。IKEは、Diffie-hellman（DH）カギ交換を実行して、ネットワークデバイス間にIPsecトンネルを生成します。IKEによって生成されるIPsecトンネルは、IPレイヤーのネットワークデバイス間のユーザートラフィックの暗号化、暗号解読、認証のために使用されます。

VPNは、IKEとIPsecのワークロードをプラットフォームの複数のSPU（サービス処理ユニット）に分散することで作成されます。サイトツーサイトトンネルの場合、最小負荷のSPUがアンカーSPUとして選択されます。複数のSPUが同じ最小負荷を持つ場合、それらのいずれかをアンカーSPUとして選択できます。ここで発生する負荷は、サイト間ゲートウェイの数、またはSPUに固定された手動VPNトンネルによって異なります。動的トンネルの場合、新たに確立された動的トンネルがラウンドロビンアルゴリズムを使用してSPUを選択します。

IPsecの場合、ワークロードはIKEを分散するときと同じアルゴリズムを使って分散されます。指定されたVPNトンネルの終端ポイントペアのフェーズ2SAは、特定のSPUによって排他的に所有され、このフェーズ2SAに属するすべてのIPsecパケットが、IPsec処理のためにこのSAのアンカーSPUに転送されます。

複数のIPsecセッション（フェーズ2SA）は、1つまたは複数のIKEセッションで動作することができます。IPsecセッションを固定するために選択されたSPUは、基となるIKEセッションを固定しているSPUに基づいています。そのため、1つのIKEゲートウェイで実行されるすべてのIPsecセッションは、同じSPUにサポートされており、複数のSPUに負荷分散されることはありません。

表 3は、3つのIKEゲートウェイ上で7つのIPsecトンネルを運用する3つのSPUを備えたファイアウォールの例を示しています。

表 3: 複数のSPUにおけるIKEとIPsecセッションの分散

SPU	IKEゲートウェイ	IPSecトンネル
SPU0	IKE-1	IPsec-1
		IPsec-2
		IPsec-3
SPU1	IKE-2	IPsec-4
		IPsec-5
		IPsec-6
SPU2	IKE-3	IPsec-7

3つのSPUでは、各IKEゲートウェイの負荷が均等に分散されています。新しいIKEゲートウェイが作成された場合は、SPU0、SPU1、またはSPU2を選択して、IKEゲートウェイとそのIPsecセッションを固定できます。

既存のIPsecトンネルを設定、破棄しても、基となるIKEセッションや既存のIPsecトンネルには影響を与えません。

SPUごとの現在のトンネル数を表示するには、次のshowコマンドを使用します：show security ike tunnel-map。

各ゲートウェイのアンカーポイントを表示するには、コマンドのsummaryオプションを使用します：show security ike tunnel-map summary。

プラットフォームに関連する注意点については、プラットフォーム固有のSRX5000ラインSPCの動作セクションを参照してください。

詳細については、「SRX5000シリーズのkmdおよびikedプロセスに関する補足プラットフォーム情報」セクションをご参照ください。

ハイエンドのSRXシリーズシャーシクラスターでは、既存のIKEやIPsec VPNトンネルのトラフィックに影響を与えることなく、SPCをデバイスに挿入することができます。

SPC3またはSPC2カードを、SPC3カードが搭載されている既存のシャーシに挿入できます。カードは、シャーシ上の既存のSPC3カードよりも上位のスロットにのみ挿入できます。

しかし、既存のトンネルは、新しいSPCのSPU（サービス処理ユニット）の処理能力を利用できません。新しいSPUでは、新たに確立されたサイトツーサイトトンネルおよび動的トンネルを固定することができます。しかし、新たに設定されたトンネルは、新しいSPUで固定されることが保証されるわけではありません。

サイトツーサイトトンネルは、ロードバランシングアルゴリズムに基づき、別のSPUに固定されます。ロードバランシングアルゴリズムは、各SPUが使用している数値フロースレッドに依存します。同じローカルおよびリモートゲートウェイIPアドレスに属するトンネルは、SPUで使用される別のフローRTスレッドの同じSPUに固定されます。最小負荷のSPUがアンカーSPUとして選択されます。各SPUは、特定のSPUでホストされているフローRTスレッドの数を管理しています。各SPUでホストされるフローRTスレッドの数は、SPUのタイプによって異なります。

トンネルの負荷係数 = SPUで固定されるトンネルの数 / SPUが使用するフローRTスレッドの合計数

動的トンネルは、ラウンドロビンアルゴリズムに基づき、異なるSPUに固定されます。新たに設定された動的トンネルは、新しいSPCで固定されることが保証されるわけではありません。

SPC2カードとSPC3カードの両方がインストールされている場合は、show security ipsec tunnel-distributionコマンドを使用して、別のSPUのトンネルマッピングを検証できます。

SPC2カードのみが挿入された別のSPUのトンネルマッピングを表示するには、show security ike tunnel-mapコマンドを使用します。SPC2カードおよびSPC3カードがインストールされている環境では、show security ike tunnel-mapコマンドは無効です。

SPC3カードの挿入：ガイドラインと制限：

• シャーシクラスターでは、ノードの1つに1つのSPC3カードがあり、もう一方のノードに2つのSPC3カードがある場合、1つのSPC3カードがある方のノードへのフェイルオーバーはサポートされていません。

• 下位のスロットにある現在のSPC3より上位のスロットにある既存のシャーシに、SPC3またはSPC2を挿入する必要があります。

• SPC3 ISHUを機能させるためには、新しいSPC3カードをより上位のスロット番号に挿入する必要があります。

• SPC3の動作中の取り出しはサポートしていません。

ikedおよびikemdの2つのプロセスは、SRXシリーズファイアウォールでIPsec VPN機能をサポートします。ikedおよびikemdの単一インスタンスがルーティングエンジン上で一度に実行されます。

junos-ikeパッケージでは、ファイアウォールがikedプロセスを使用してIPsec VPNサービスを実行します。SRXシリーズファイアウォールのjunos-ikeパッケージサポートは、複数のリリースにわたっています。

詳細については、「junos-ikeパッケージサポートに関する補足プラットフォーム情報」セクションを参照してください。

ルーティングエンジンで実行されるikedプロセスとikemdプロセスの両方を、junos-ikeパッケージで利用できます。

SRXシリーズファイアウォールにjunos-ikeパッケージをインストールするには、次のコマンドを使用します。

ルーティングエンジンのikemdプロセスを再起動するには、restart ike-config-managementコマンドを使用します。

ルーティングエンジンでikedプロセスを再起動するには、restart ike-key-managementコマンドを使用します。

注:

junos-ikeをインストールする際に指定されたJunos OSリリースバージョンを無視すると、サポートされていない機能が期待どおりに機能しないことがあります。

SRXシリーズファイアウォールで従来のkmdプロセスを使用してIPsec VPN機能を操作するには、request system software delete junos-ikeコマンドを実行し、デバイスを再起動します。

インストールされているjunos-ikeパッケージを確認するには、次のコマンドを使用します。

プラットフォームに関連する注意事項については、「プラットフォーム固有の暗号化アクセラレーション動作」のセクションを参照してください。

詳細については、「暗号化アクセラレーションサポートに関する補足プラットフォーム情報」セクションを参照してください。

Junos OSは、ハードウェア暗号化エンジンに対する暗号処理の高速化をサポートしています。SRXシリーズファイアウォールでは、DH、RSA、およびECDSA暗号化処理をハードウェア暗号化エンジンにオフロードすることができます。

junos-ikeパッケージでは、ファイアウォールがikedプロセスを使用してIPsec VPNサービスを実行します。ファイアウォールは、高度なIPsec VPN機能を実装し有効にするにあたり、コントロールプレーンソフトウェアとしてikedプロセスを必要とします。junos-ikeパッケージにより、ファイアウォールは、IPsecキー管理されたデーモン（kmd）ではなく、デフォルトでikedおよびikemdプロセスを実行します。

ファイアウォールは、さまざまな暗号のハードウェアアクセラレーションをサポートします。

詳細については、「プラットフォームに関する追加情報」セクションの「表 12、表 13、表 14、表 15、表 16、および表 17」を参照してください。

Junos OSは、SRXシリーズファイアウォールを使用したIPSec VPNトンネルと、SPC3を使用したMXシリーズルーターのルーティングプロトコルをサポートしています。kmdまたはikedプロセス実行時にサポートされるプロトコルには、OSPF、BGP、PIM、RIP、BFDが含まれます。プロトコルのサポートは、以下によって異なります。

• IPアドレッシング方式: IPv4 または IPv6 アドレス

• st0インターフェイスのタイプ: ポイントツーポイント(P2P)またはポイントツーマルチポイント(P2MP)

プラットフォームに関連する注意点については、プラットフォーム固有のアンチリプレイ ウィンドウの動作セクションを参照してください。

SRXシリーズファイアウォールでは、 anti-replay-window はデフォルトで有効になっており、ウィンドウサイズ値は64です。

ウィンドウ サイズを設定するには、新しい オanti-replay-window-sizeプションを使用します。anti-replay-window-size受信パケットは、設定された に基づいてリプレイ攻撃について検証されます。

2 つの異なるレベルreplay-window-sizeで を設定できます。

• Global level—[edit security ipsec] 階層レベルで設定されます。

  たとえば、以下のように表示されます。

• VPN object—[edit security ipsec vpn vpn-name ike] 階層レベルで設定されます。

  たとえば、以下のように表示されます。

両方のレベルでアンチリプレイが設定されている場合、VPN オブジェクト レベルに設定されたウィンドウ サイズがグローバル レベルで設定されたウィンドウ サイズよりも優先されます。アンチリプレイが設定されていない場合、ウィンドウ サイズはデフォルトでは 64 です。

VPN オブジェクトでアンチリプレイ ウィンドウ オプションを無効にするには、[edit security ipsec vpn vpn-name ike] 階層レベルで コマset no-anti-replayンドを使用します。グローバル レベルでアンチリプレイを無効にできません。

VPN オブジェクトでは anti-replay-window-sizeと の両方no-anti-replayを設定できません。

デバイスで終端する2つのVPNトンネルを作成した場合、ルートのペアを設定して、トラフィックが1つのトンネルからもう1つのトンネルに向かうように、デバイスで誘導するように設定できます。また、トラフィックが1つのトンネルからもう1つのトンネルに向けて通過することを許可するポリシーを作成する必要もあります。このような設定は、ハブアンドスポーク方式 VPN と呼ばれます（「図 4」を参照してください。）

また、複数の VPN を設定し、任意の 2 つのトンネル間でトラフィックをルーティングすることもできます。

SRXシリーズファイアウォールでは、ルートベースのハブアンドスポーク機能のみがサポートされています。

特定の機能のプラットフォームおよびリリースサポートを確認するには、機能エクスプローラーを使用します。

詳細については、「 プラットフォームの追加情報 」セクションを参照してください。

次の表を使用して、プラットフォームのプラットフォーム固有の動作を確認します。

• プラットフォーム固有の SPU VPN 処理動作
• プラットフォーム固有のSRX5000ラインSPCの動作
• プラットフォーム固有の暗号化アクセラレーション動作
• プラットフォーム固有のアンチリプレイ ウィンドウの動作

特定の機能のプラットフォームおよびリリースサポートを確認するには、機能エクスプローラーを使用します。追加のプラットフォームがサポートされる場合があります。

表 9: SRX5000ラインのkmdまたはikedプロセスに関する追加のプラットフォーム情報

サポートされているプロセス	SRX5000シリーズ
ikedプロセス	次の 2 つのオプションをサポートします。 SPC3カードのみ装着時 SPC2 カードと SPC3 カードの両方がインストールされている場合
kmdプロセス	SPC2 カードのみが装着されている場合

表 10: junos-ike パッケージのサポートに関する追加のプラットフォーム情報

junos-ike パッケージ	SRX1500	SRX1600SRX2300	SRX4100SRX4200SRX4600	SRX4300	SRX4700	SPC3を使用したSRX5000ライン	vSRX 3.0
デフォルト	25.2R1以降	23.4R1以降	25.2R1以降	24.2R1以降	24.4R1以降	19.4R1以降(RE3の場合)	25.2R1以降
オプション	22.3R1以降	該当なし	22.3R1以降	該当なし	該当なし	18.2R1以降(RE2の場合)	20.3R1以降

表 11: 暗号化アクセラレーションサポートに関する追加のプラットフォーム情報

暗号	SRX1500 (キロディー)	SRX1500 (イケド)	SRX4100SRX4200(キロディー)	SRX4100SRX4200(イケド)	SRX4600(キロディー)	SRX4600(イケド)	SPC3を使用したSRX5000ライン(イケド)	vSRX 3.0(キロディー)	vSRX 3.0(イケド)
DH（グループ1、2、5、14）	◯	◯	◯	◯	◯	◯	◯	◯	◯
DH（グループ19、20）	なし	◯	なし	◯	なし	◯	◯	◯	◯
DH（グループ15、16）	なし	◯	なし	◯	なし	◯	◯	◯	◯
DHグループ21	なし	◯	なし	◯	なし	◯	◯	◯	◯
DHグループ24	◯	◯	◯	◯	◯	◯	なし	なし	なし
RSA	◯	◯	◯	◯	◯	◯	◯	◯	◯
ECDSA（256、384、521）	なし	◯	なし	◯	なし	◯	◯	◯	◯

表 12: IPSec VPN での OSPF サポートに関する追加のプラットフォーム情報

IPSec VPN 上の OSPF		SRX300SRX320 SRX340SRX345SRX380	SRX550 HM	SRX1500	SRX4100SRX4200SRX4600	SPC3を使用したSRX5000ラインSPC2を使用したSRX5000ライン	混合モード(SPC3+SPC2)のSRX5000ライン	vSRX 3.0	MX-SPC3
P2Pのst0	IPv4アドレスを使用	◯	◯	◯	◯	◯	◯	◯	◯
	IPv6 アドレスを使用	いいえ	なし	なし	なし	なし	なし	なし	いいえ
P2MPのst0	IPv4アドレスを使用	◯	◯	◯	◯	◯	◯	◯	◯
	IPv6 アドレスを使用	いいえ	なし	なし	なし	なし	なし	なし	いいえ

表 13: IPSec VPN での OSPv3 サポートに関する追加のプラットフォーム情報

IPSec VPN 上の OSPFv3		SRX300SRX320 SRX340SRX345SRX380	SRX550 HM	SRX1500	SRX4100SRX4200SRX4600	SPC3を使用したSRX5000ラインSPC2を使用したSRX5000ライン	混合モード(SPC3+SPC2)のSRX5000ライン	vSRX 3.0	MX-SPC3
P2Pのst0	IPv4アドレスを使用	いいえ	なし	なし	なし	なし	なし	なし	いいえ
	IPv6 アドレスを使用	◯	◯	◯	◯	◯	◯	◯	◯
P2MPのst0	IPv4アドレスを使用	いいえ	なし	なし	なし	なし	なし	なし	いいえ
	IPv6 アドレスを使用	◯	◯	◯	◯	◯	◯	◯	◯

表 14: IPSec VPN での BGP サポートに関する追加のプラットフォーム情報

IPSec VPN上のBGP		SRX300SRX320 SRX340SRX345SRX380	SRX550 HM	SRX1500	SRX4100SRX4200SRX4600	SPC3を使用したSRX5000ラインSPC2を使用したSRX5000ライン	混合モード(SPC3+SPC2)のSRX5000ライン	vSRX 3.0	MX-SPC3
P2Pのst0	IPv4アドレスを使用	◯	◯	◯	◯	◯	◯	◯	◯
	IPv6 アドレスを使用	◯	◯	◯	◯	◯	◯	◯	◯
P2MPのst0	IPv4アドレスを使用	◯	◯	◯	◯	◯	◯	◯	いいえ
	IPv6 アドレスを使用	◯	◯	◯	◯	◯	◯	◯	いいえ

表 15: IPSec VPN での PIM サポートに関するプラットフォームの追加情報

IPSec VPN 上の PIM		SRX300SRX320 SRX340SRX345SRX380	SRX550 HM	SRX1500	SRX4100SRX4200SRX4600	SPC3を使用したSRX5000ラインSPC2を使用したSRX5000ライン	混合モード(SPC3+SPC2)のSRX5000ライン	vSRX 3.0	MX-SPC3
P2Pのst0	IPv4アドレスを使用	◯	◯	◯	◯	◯	◯	◯	◯
	IPv6 アドレスを使用	いいえ	なし	なし	なし	なし	なし	なし	いいえ
P2MPのst0	IPv4アドレスを使用	◯	なし	◯	なし	なし	いいえ	はいマルチスレッドはサポートされません。	いいえ
	IPv6 アドレスを使用	いいえ	なし	なし	なし	なし	なし	なし	いいえ

表 16: IPSec VPN での RIP プロトコル サポートに関する追加のプラットフォーム情報

IPSec VPN 上の RIP プロトコル		SRX300SRX320 SRX340SRX345SRX380	SRX550 HM	SRX1500	SRX4100SRX4200SRX4600	SPC3を使用したSRX5000ラインSPC2を使用したSRX5000ライン	混合モード(SPC3+SPC2)のSRX5000ライン	vSRX 3.0	MX-SPC3
P2Pのst0	IPv4アドレスを使用	◯	◯	◯	◯	◯	◯	◯	◯
	IPv6 アドレスを使用	◯	◯	◯	◯	◯	◯	◯	◯
P2MPのst0	IPv4アドレスを使用	いいえ	なし	なし	なし	なし	なし	なし	いいえ
	IPv6 アドレスを使用	いいえ	なし	なし	なし	なし	なし	なし	いいえ

表 17: IPSec VPN での BFD サポートに関するプラットフォームの追加情報

IPSec VPN 上の BFD		SRX300SRX320 SRX340SRX345SRX380	SRX550 HM	SRX1500	SRX4100SRX4200SRX4600	SPC3を使用したSRX5000ラインSPC2を使用したSRX5000ライン	混合モード(SPC3+SPC2)のSRX5000ライン	vSRX 3.0	MX-SPC3
P2Pのst0	IPv4アドレスを使用	◯	◯	◯	◯	◯	◯	◯	◯
	IPv6 アドレスを使用	◯	◯	◯	◯	◯	◯	◯	◯
P2MPのst0	IPv4アドレスを使用	◯	◯	◯	◯	◯	◯	◯	いいえ
	IPv6 アドレスを使用	◯	◯	◯	◯	◯	◯	◯	いいえ