VPN トラフィックの監視

デッドピア検出について

デッドピア検出(DPD)は、ネットワークトラフィックを使用してIPsec接続内のIKEピアの活性を検出するスタンダードベースのプロトコルです。IPsec トンネルの作成時に、VPN ピアはネゴシエートして、DPD 方式を使用するかどうかを決定します。ピアが DPD プロトコルの使用に同意すると、ファイアウォールはピアの活性度をアクティブにチェックします。アクティブなトラフィックがない場合、ファイアウォールは定期的にピアにメッセージを送信し、応答を待ちます。ピアがメッセージに応答しない場合、ファイアウォールはピアが使用できなくなったと見なします。DPD プロトコルの動作は、IKEv1 プロトコルと IKEv2 プロトコルの両方で同じです。DPD タイマーは、ファイアウォールが IKE フェーズ 1 セキュリティ アソシエーション(SA)を確立するとすぐにアクティブになります。SRXシリーズファイアウォールは、DPDプロトコルを使用して、IPsec VPN接続のピアライブネスを検出します。

図 1: DPDプロトコルでのメッセージ交換

図 1 は、IPsec VPN トンネル内の IKE ピア間での DPD メッセージの交換を示しています。デバイスが DPD を実行すると、次のイベントが発生します。

1. SRX-Aは、指定されたDPD間隔まで待機して、ピアSRX-Bからトラフィックを受信したかどうかを確認します。

2. SRX-A は、指定された DPD 間隔内に SRX-B からトラフィックを受信しなかった場合、暗号化された IKE フェーズ 1 通知ペイロード(R-U-THERE メッセージ)を SRX-B に送信します。

3. SRX-A は、SRX-B からの DPD 確認メッセージ(R-U-THERE-ACK メッセージ)を待ちます。

   1. この間隔の間にSRX-AがSRX-BからR-U-THERE-ACKメッセージを受信した場合、ピアはアライブであると見なします。次に、SRX-A はそのトンネルの R-U-THERE メッセージ カウンターをリセットし、新しい間隔を開始します。

   2. インターバル中に R-U-THERE-ACK メッセージを受信しなかった場合、SRX-A はピア SRX-B がダウンしていると見なします。その後、SRX-A はそのピアのフェーズ 1 SA とすべてのフェーズ 2 SA を削除します。

設定する必要があるDPDパラメータを見てみましょう。

• モード:トラフィック アクティビティに基づいて、次のいずれかのモードで DPD を設定できます。

  • 最適化: 最適化 モードでは、開始デバイスがピアに発信パケットを送信するときに、設定された間隔内にピアからの着信IKEまたはIPsecトラフィックがない場合、開始側デバイスがR-U-THEREメッセージをトリガーします。DPDは、設定を通じてモードを指定しない限り、このデフォルトモードで動作します。

  • プローブアイドルトンネル— プローブアイドルトンネル モードでは、設定された間隔内に着信または発信IKEまたはIPsecトラフィックがない場合、デバイスはR-U-THEREメッセージをトリガーします。デバイスは、トラフィックが発生するまで、R-U-THEREメッセージを定期的にピアに送信します。このモードは、ダウンしているピアを早期に検出し、アクティブなトラフィックフロー中のトンネルの可用性を確保するのに役立ちます。



    注:

    VPNに複数のトラフィックセレクターを構成している場合は、同じIKE SAに対して複数のトンネルを確立できます。このシナリオでは、プローブアイドルトンネルモードを設定すると、同じIKE SAの別のトンネルのトラフィックに関係なく、トンネルがアイドルになると、R-U-THEREメッセージがトリガーされます。

  • 常時送信: 常時送信 モードでは、デバイスはピア間のトラフィック アクティビティに関係なく、設定された間隔で R-U-THEREメッセージを送信します。 常時送信モードよりも、プローブアイドルトンネルモードを使用することをお勧めします。

• 間隔— interval パラメータを使用して、デバイスがR-U-THEREメッセージを送信する前にピアからのトラフィックを待機する時間(秒単位)を指定します。デフォルトの間隔は 10 秒です。Junos OS リリース 15.1X49-D130 以降、R-U-THEREメッセージがピアデバイスに送信される許容間隔パラメーターの範囲が、10秒から60秒から2秒から60秒に短縮されました。DPD 間隔パラメータが 10 秒未満に設定されている場合は、最小しきい値パラメータを 3 に設定することをお勧めします。

• [Threshold]: threshold パラメータを使用して、デバイスがピアからの応答を受信せずに R-U-THERE メッセージを送信し、ピアがダウンしたとみなす最大回数を指定します。デフォルトの送信回数は 5 回で、許容範囲は 1 回から 5 回です。

DPD を設定する前に、次の点に注意してください。

• アクティブなトンネルを持つ既存のゲートウェイに DPD 設定を追加すると、デバイスはフェーズ 1 またはフェーズ 2 の SA をクリアせずに R-U-THERE メッセージのトリガーを開始します。

• アクティブなトンネルを持つ既存のゲートウェイから DPD 設定を削除すると、デバイスはトンネルの R-U-THERE メッセージのトリガーを停止します。ただし、これは IKE および IPsec SA には影響しません。

• モード、インターバル、しきい値などの DPD 設定パラメータを変更すると、IKE はフェーズ 1 またはフェーズ 2 の SA をクリアせずに DPD 動作を更新します。

• トンネルを即時確立するオプションを指定せずに、DPD および VPN 監視を使用して IKE ゲートウェイを設定すると、IKE はフェーズ 1 のネゴシエーションを開始しません。DPDを設定する場合、フェーズ1およびフェーズ2のSAが利用できない場合にst0インターフェイスを破棄するために、[]階層レベルでオプションも設定する必要があります。establish-tunnelsimmediatelyedit services ipsec-vpn トンネルを即時確立するを参照してください。https://www.juniper.net/documentation/us/en/software/junos/interfaces-adaptive-services/topics/ref/statement/establish-tunnels-edit-services-ipsec-vpn.html

• 複数のピア IP アドレスと DPD を使用して IKE ゲートウェイを設定し、最初のピア IP アドレスでフェーズ 1 SA を確立できない場合、IKE は次のピア IP アドレスで確立を試みます。DPD は、IKE がフェーズ 1 SA を確立した後にのみアクティブになります。デッドピア検出を参照してください。https://www.juniper.net/documentation/us/en/software/junos/vpn-ipsec/topics/ref/statement/security-edit-dead-peer-detection.html

• 複数のピア IP アドレスと DPD を使用して IKE ゲートウェイを設定し、現在のピアの IP アドレスで接続が失敗した場合、IKE はフェーズ 1 とフェーズ 2 の SA をクリアし、DPD は次のピア IP アドレスへのフェイルオーバーを実行します。ゲートウェイ(セキュリティ IKE)を参照してください。https://www.juniper.net/documentation/us/en/software/junos/vpn-ipsec/topics/ref/statement/security-edit-gateway-ike.html

• ネゴシエーションが同時に行われるため、同じピアに複数のフェーズ 1 またはフェーズ 2 SA が存在する可能性があります。この場合、DPD はすべてのフェーズ 1 SA に R-U-THEREメッセージを送信します。ゲートウェイが設定された回数連続して DPD 応答を受信できない場合、ゲートウェイはフェーズ 1 SA および関連するフェーズ 2 SA(IKEv2 のみ)をクリアします。

IKEピアが稼働している場合、基盤となるVPNが稼働していることを意味しますか?

VPN監視について

VPN モニタリングを有効にすると、デバイスは VPN トンネルを介してピア ゲートウェイまたはトンネルのもう一方の端にある指定された宛先に ping を送信します。デフォルトでは、デバイスは 10 秒間隔で最大 10 回連続して ping を送信します。10回連続してpingを実行してもデバイスが応答を受信しない場合、デバイスはVPNがダウンしていると見なし、IPsecセキュリティアソシエーション(SA)がクリアされます。

DPDとVPN監視は互いに補完し合います。VPN監視は個々のIPsec VPNに適用されますが、DPDは個々のIKEゲートウェイコンテキストで設定されます。

次の動作モードを使用して、VPN トンネルを監視できます。

• 常時送信モード:このモードでは、デバイスはトンネル内のトラフィックに関係なく、設定された間隔ごとに 1 回 VPN モニタリング パケットを送信します。VPN監視を有効にすると、常時送信モードを指定しない場合、Junos OSはデフォルトモードとして常時送信モードを使用します。

• 最適化モード-このモードでは、デバイスは、インターバル中に発信トラフィックがあり、トンネルを通過する着信トラフィックがない場合にのみ、設定された間隔ごとにVPN監視パケットを送信します。 VPN トンネルを経由する着信トラフィックがある場合 、デバイスはトンネルがアクティブであるとみなし、ピアに ping を送信しません。 最適化モードを使用すると、デバイスはピアの活性を判断する必要がある場合にのみ ping を送信するため、デバイス上のリソースを節約できます。 pingを送信すると、他の方法では使用されないコストのかかるバックアップリンクがアクティブになる可能性もあります。最適化モードを明示的に構成しない場合、デバイスは既定の常時送信モードで動作します。

SRXシリーズファイアウォールでVPN監視を設定するには:

1. [] 階層レベルで オプションを含めることで、特定の VPN トンネルの VPN 監視を有効にします。vpn-monitoredit security ipsec vpn vpn-name vpn-monitor を参照してください。https://www.juniper.net/documentation/us/en/software/junos/vpn-ipsec/topics/ref/statement/security-edit-vpn-monitor.html

2. VPN監視モードを最適化済みとして構成します。

3. 宛先 IP アドレスを指定します。ピアゲートウェイの IP アドレスがデフォルトの宛先です。ただし、トンネルのもう一方の端にある別の宛先 IP アドレス(サーバーの宛先 IP アドレスなど)を指定することもできます。

4. アドレスを指定します。source-interface ローカル トンネルのエンドポイントがデフォルトの送信元インターフェイスですが、別のインターフェイス名を指定することもできます。

5. デバイスがpingを送信する間隔と、デバイスが送信する連続したpingの数を、それぞれ および オプションを使用して、[] 階層レベルを構成します。intervalthresholdedit security ipsec vpn-monitor-options これらのオプションを構成しない場合、デバイスはデフォルトの 10 秒間隔で最大 10 回連続して ping を送信します。応答を受信しない場合は、VPN がダウンしていると見なします。その後、デバイスはIPsecセキュリティアソシエーションをクリアします。

IPsecデータパス検証について

• 概要
• 注意 事項

グローバル SPI および VPN 監視機能の理解

次のグローバルVPN機能を使用して、VPNの効率的な運用を監視および維持できます。

• SPI:SA(セキュリティ アソシエーション)内のピアは、ピアの 1 つに障害が発生すると、非同期になる可能性があります。たとえば、ピアの 1 つが再起動すると、誤ったセキュリティ パラメータ インデックス(SPI)が送信される可能性があります。不良 SPI 応答機能を設定することで、デバイスがこのようなイベントを検出し、ピアを再同期できるようにすることができます。

• VPN モニタリング - グローバル VPN モニタリング機能を使用すると、インターネット制御メッセージ プロトコル(ICMP)要求をピアに定期的に送信し、ピアが到達可能かどうかを判断できます。

VPN監視とDPDの比較

VPN監視とデッドピア検出(DPD)は、VPNピアデバイスの可用性を検証するためにSRXシリーズファイアウォールで使用できる機能です。このセクションでは、これらの機能の操作と構成を比較します。

SRXシリーズファイアウォールは、デバイスにDPDが設定されていない場合でも、VPNピアから送信されたDPDメッセージに応答します。SRXシリーズファイアウォールを設定して、VPNピアへのDPDメッセージを開始できます。DPDとVPNの監視を、同じSRXシリーズのファイアウォールで同時に動作するように設定することもできますが、どちらの方法でも監視できるピアの数は少なくなります。

VPN監視は、フェーズ2のSA(セキュリティアソシエーション)のみを監視するJunos OSのメカニズムです。VPN 監視は、[] 階層レベルの ステートメントを使用して、VPN ごとに有効になります。vpn-monitoredit security ipsec vpn vpn-name 宛先IPと送信元インターフェイスを指定する必要があります。このオプション を使用すると、デバイスはトラフィックパターンをピアのライブ性の証拠として使用できます。ICMP 要求は抑制されます。optimized

VPN監視オプションは、[]階層レベルの ステートメントで設定します。vpn-monitor-optionsedit security ipsec これらのオプションは、VPN監視が有効になっているすべてのVPNに適用されます。設定できるオプションには、ICMP 要求がピアに送信される間隔(デフォルトは 10 秒)や、ピアが到達不能と見なされるまでに応答を受信せずに送信される連続する ICMP リクエストの数(デフォルトは連続する 10 リクエスト)があります。

DPDは、RFC 3706、 A Traffic-Based Method of Dead Internet Key Exchange(IKE)ピアの検出)の実装です。IKE レベルで動作し、IKE と IPsec の両方のトラフィック アクティビティに基づいてピアを監視します。

DPD は、[] 階層レベルの ステートメントを使用して個々の IKE ゲートウェイに設定されます。dead-peer-detectionedit security ike gateway gateway-name DPD の動作モードを設定できます。デフォルト(最適化)モードでは、ローカル デバイスがピアに発信パケットを送信した後、設定された間隔内に着信 IKE または IPsec トラフィックがない場合、DPD メッセージがピアに送信されます。その他の設定可能なオプションには、DPD メッセージがピアに送信される間隔(デフォルトは 10 秒)や、ピアが利用不可能と見なされる前に応答を受信せずに送信される連続した DPD メッセージの数(デフォルトは 5 つの連続した要求)があります。