Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

ポリシーベース IPsec VPN

ポリシーベースVPNは、2つのエンドポイント間に作成されたIPsec VPNトンネルをポリシー自体内で指定し、ポリシーの一致基準を満たすトランジットトラフィックに対するポリシーアクションを設定する設定です。

ポリシーベースIPsec VPNについて

ポリシーベースのIPsec VPNの場合、セキュリティポリシーは、ポリシーの一致基準を満たすトランジットトラフィックに使用するVPNトンネルをアクションとして指定します。VPN は、ポリシー ステートメントとは独立して設定されます。ポリシーステートメントは、VPNを名前で参照し、トンネルへのアクセスを許可するトラフィックを指定します。ポリシーベースのVPNの場合、各ポリシーはリモートピアと個別のIPsecセキュリティアソシエーション(SA)を作成し、それぞれが個別のVPNトンネルとしてカウントされます。例えば、ポリシーにグループの送信元アドレスとグループの宛先アドレスが含まれている場合、アドレスセットに属するユーザーの1人が宛先アドレスとして指定されたホストのいずれかと通信しようとすると、新しいトンネルがネゴシエートされ、確立されます。各トンネルには独自のネゴシエーションプロセスと個別のSAペアが必要なため、ポリシーベースのIPsec VPNを使用すると、ルートベースのVPNよりもリソースを大量に消費する可能性があります。

ポリシーベースVPNの使用例は次のとおりです。

  • ダイヤルアップVPNを実装しています。

  • ポリシーベースのVPNでは、ファイアウォールポリシーに基づいてトラフィックを誘導できます。

複数のリモート サイト間で VPN を設定する場合は、ルートベース VPN の使用をお勧めします。ルートベースVPNは、ポリシーベースVPNと同じ機能を提供できます。

制限事項:

  • ポリシーベースのIPSec VPNはIKEv2ではサポートされていません。

  • IPsec VPNサービスのプロセスを実行しているファイアウォールで junos-ike パッケージを使用している場合 iked ポリシーベースのIPsec VPNのサポートは利用できません。 junos-ike パッケージでは、ポリシーベースのIPsec VPN設定は効果がないため削除します。RE3を搭載したSRX5K-SPC3では、 junos-ike パッケージがデフォルトで利用可能です。SRX1500以上のプラットフォームでは、オプションのパッケージとなります。詳細については、「 新しいパッケージでのIPsec VPN機能サポート 」を参照してください。

例:ポリシーベースVPNの設定

この例では、2 つのサイト間でデータを安全に転送できるようにポリシーベースの IPsec VPN を設定する方法を示しています。

要件

この例では、次のハードウェアを使用しています。

  • 任意のSRXシリーズファイアウォール

    • Junos OSリリース20.4R1でvSRX仮想ファイアウォールを使用して更新および再検証しました。
注:

このガイドで取り上げられているトピックや操作を実際に体験してみませんか? ジュニパーネットワークス仮想ラボのIPsecポリシーベースのデモ を今すぐご覧になり、無料のサンドボックスをご予約ください。IPsec VPNポリシーベースサンドボックスは、セキュリティカテゴリにあります。

開始する前に、 IPsecの概要をお読みください。

概要

この例では、SRX1 と SRX2 上でポリシーベースの VPN を設定します。Host1とHost2は、VPNを使用して、インターネットを介して両ホスト間でトラフィックを安全に送信します。

図1 は、ポリシーベースのVPNトポロジーの例を示しています。

図1:ポリシーベースVPNトポロジー Network topology with Trust Zone and Untrust Zone connected via policy-based IPsec VPN. Trust Zone hosts connect to SRX1 and SRX2. IPsec VPN tunnel secures communication over the internet.

IKE IPsec トンネル ネゴシエーションには 2 つのフェーズが存在します。フェーズ1では、参加者はIPsecセキュリティアソシエーション(SA)をネゴシエートするためのセキュアなチャネルを確立します。フェーズ2では、参加者はトンネルを通過するトラフィックを認証するためにIPsec SAとネゴシエートします。トンネルネゴシエーションに2つのフェーズがあるのと同様に、トンネル設定にも2つのフェーズがあります。

この例では、インターフェイス、IPv4 デフォルト ルート、およびセキュリティ ゾーンを設定します。次に、IKEフェーズ1、IPsecフェーズ2、セキュリティポリシー、TCP-MSSパラメータを設定します。 表 1 から 表 5 を参照してください。

表1: SRX1のインターフェイス、静的ルート、およびセキュリティゾーン情報

機能

名前

設定パラメータ

インターフェイス

ge-0/0/0.0

10.100.11.1/24

 

ge-0/0/1.0

172.16.13.1/24

セキュリティゾーン

信頼

  • ge-0/0/0.0インターフェイスは、このゾーンにバインドされています。

 

信頼できない

  • ge-0/0/1.0インターフェイスは、このゾーンにバインドされています。

スタティックルート

0.0.0.0/0

  • ネクスト ホップは 172.16.13.2 です。

表2: IKEフェーズ1の設定パラメーター

機能

名前

設定パラメータ

プロポーザル

標準

  • 認証方法:事前共有キー

ポリシー

IKE-POL

  • モード:メイン

  • プロポーザル リファレンス:標準

  • IKEフェーズ1ポリシー認証方法:事前共有鍵ASCII-text

ゲートウェイ

IKE-GW

  • IKEポリシーリファレンス:IKE-POL

  • 外部インターフェイス:ge-0/0/1

  • ゲートウェイアドレス:172.16.23.1

表3: IPsecフェーズ2の設定パラメーター

機能

名前

設定パラメータ

プロポーザル

標準

  • デフォルト設定の使用

ポリシー

IPSEC-POL

  • プロポーザル リファレンス:標準

VPN

VPNからホスト2

  • IKEゲートウェイリファレンス:IKE-GW

  • IPsecポリシー リファレンス:IPSEC-POL

  • すぐにトンネルを確立
表4:セキュリティポリシー設定パラメータ

目的

名前

設定パラメータ

このセキュリティポリシーは、trustゾーンからuntrustゾーンへのトラフィックを許可します。

VPN-OUT

  • 一致する条件:

    • 送信元アドレスHost1-Net

    • 宛先アドレス Host2-Net

    • アプリケーション任意

  • 許可アクション:トンネル ipsec-vpn VPN-to-Host2

このセキュリティ ポリシーは、untrust ゾーンから trust ゾーンへのトラフィックを許可します。

VPNイン

  • 一致する条件:

    • 送信元アドレスHost2-Net

    • 宛先アドレス Host1-Net

    • アプリケーション任意

  • 許可アクション:トンネル ipsec-vpn VPN-to-Host2

このセキュリティポリシーは、trustゾーンからuntrustゾーンへのすべてのトラフィックを許可します。

デフォルト許可セキュリティポリシーの前にVPN-OUTポリシーを配置する必要があります。Junos OS は、リストの一番上からセキュリティ ポリシーのルックアップを実行します。デフォルト許可ポリシーがVPN-OUTポリシーの前に来る場合、トラストゾーンからのすべてのトラフィックはデフォルト許可ポリシーに一致し、許可されます。したがって、VPN-OUTポリシーに一致するトラフィックはありません。

デフォルト許可

  • 一致する条件:

    • 送信元アドレス任意

    • 送信元-宛先任意

    • アプリケーション任意

  • アクション:許可

表5: TCP-MSS設定パラメータ

目的

設定パラメータ

TCP-MSSは、TCPスリーウェイハンドシェイクの一部としてネゴシエートされ、TCPセグメントの最大サイズをネットワークの最大送信単位(MTU)制限に適応するように制限します。これはVPNトラフィックにとって特に重要です。IPsecカプセル化のオーバーヘッドと、IPおよびフレームのオーバーヘッドにより、結果として得られるカプセル化セキュリティペイロード(ESP)パケットが物理インターフェイスのMTUを超え、フラグメント化が発生する可能性があるためです。フラグメント化は、帯域幅とデバイスリソースの使用増加の原因となります。

MTU が 1500 以上のイーサネットベース ネットワークのほとんどでは、1350 を開始値としてお勧めします。最適なパフォーマンスを得るには、さまざまなTCP-MSS値を試す必要があるかもしれません。例えば、パス内にMTUが小さいデバイスが存在したり、PPPやフレームリレーなどの追加オーバーヘッドがあったりすると、値を変更する必要がある場合があります。

MSS値:1350

設定

基本的なネットワークおよびセキュリティゾーン情報の設定

CLIクイックコンフィグレーション

この例をSRX1用にすばやく設定するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。

ステップバイステップの手順

次の例では、設定階層のさまざまなレベルに移動する必要があります。これを行う方法の詳細については、 CLIユーザーガイドを参照してください。

インターフェイス、静的ルート、セキュリティゾーンの情報を設定するには:

  1. インターフェイスを設定します。

  2. 静的ルートを設定します。

  3. インターネットに面したインターフェイスをuntrustセキュリティゾーンに割り当てます。

  4. untrust セキュリティ ゾーンで許可されるシステム サービスを指定します。

  5. Host1 を向いたインターフェイスを trust セキュリティ ゾーンに割り当てます。

  6. trust セキュリティ ゾーンで許可されるシステム サービスを指定します。

結果

設定モードから、 show interfacesshow routing-optionsshow security zones コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。

IKEの設定

CLIクイックコンフィグレーション

この例をSRX1用にすばやく設定するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。

ステップバイステップの手順

次の例では、設定階層のさまざまなレベルに移動する必要があります。手順については、 『CLIユーザーガイド』を参照してください。

IKEを設定するには:

  1. IKEプロポーザルを作成します。

  2. IKEプロポーザルの認証方法を定義します。

  3. IKEポリシーを作成します。

  4. IKEポリシーモードを設定します。

  5. IKEプロポーザルへのリファレンスを指定します。

  6. IKEポリシーの認証方法を定義します。

  7. IKEゲートウェイを作成し、その外部インターフェイスを定義します。

  8. IKEゲートウェイアドレスを定義します。

  9. IKEポリシーリファレンスを定義します。

結果

設定モードから、 show security ike コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。

IPsecの設定

CLIクイックコンフィグレーション

この例をSRX1用にすばやく設定するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。

ステップバイステップの手順

次の例では、設定階層のさまざまなレベルに移動する必要があります。手順については、 『CLIユーザーガイド』を参照してください。

IPsecを設定するには:

  1. IPsecプロポーザルを作成します。

  2. IPsecポリシーを作成します。

  3. IPsecプロポーザルのリファレンスを指定します。

  4. IKEゲートウェイを指定します。

  5. IPsecポリシーを指定します。

  6. すぐに確立するようにトンネルを設定します。

結果

設定モードから、 show security ipsec コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。

セキュリティポリシーの設定

CLIクイックコンフィグレーション

この例をSRX1用にすばやく設定するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。

ステップバイステップの手順

次の例では、設定階層のさまざまなレベルに移動する必要があります。手順については、 『CLIユーザーガイド』を参照してください。

セキュリティポリシーを設定するには:

  1. セキュリティポリシーで使用するネットワークのアドレス帳エントリを作成します。

  2. trustゾーンのHost1からuntrustゾーンのHost2へのトラフィックでマッチングするセキュリティポリシーを作成します。

  3. trustゾーンからuntrustゾーンへのインターネットへの他のすべてのトラフィックを許可するセキュリティポリシーを作成します。

  4. untrustゾーンのHost2からtrustゾーンのHost1へのトラフィックを許可するセキュリティポリシーを作成します。

結果

設定モードから、 show security policies コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。

TCP-MSSの設定

CLIクイックコンフィグレーション

この例をSRX1用にすばやく設定するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。

ステップバイステップの手順

TCP-MSS情報を設定するには、次の手順に従います。

  1. TCP-MSS情報を設定します。

結果

設定モードから、 show security flow コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。

デバイスの設定が完了したら、設定モードから commit を入力します。

SRX2 の設定

CLIクイックコンフィグレーション

参考までに、SRX2 の構成を示します。

この例のセクションを迅速に設定するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。

検証

設定が正常に機能していることを確認するには、以下のタスクを実行します。

IKEステータスの検証

目的

IKEステータスを確認します。

アクション

動作モードから、 show security ike security-associations コマンドを入力します。コマンドからインデックス番号を取得した後、 show security ike security-associations index index_number detail コマンドを使用します。

意味

show security ike security-associationsコマンドは、すべてのアクティブなIKEフェーズ1のSA(セキュリティアソシエーション)を一覧表示します。SAが表示されない場合は、フェーズ1の確立に問題があったことを示しています。設定でIKEポリシーパラメータと外部インターフェイスの設定を確認してください。

SAが表示される場合は、以下の情報を確認します。

  • インデックス—この値はIKE SAごとに固有で、 show security ike security-associations index detail コマンドで使用すると、SAに関する詳細情報を得ることができます。

  • リモートアドレス—リモートIPアドレスが正しいことを確認します。

  • 状態

    • UP - フェーズ1のSAが確立されました。

    • DOWN - フェーズ 1 SA の確立に問題がありました。

  • モード—正しいモードが使用されていることを確認します。

設定で以下が適切か検証します。

  • 外部インターフェイス(インターフェイスはIKEパケットを受信するインターフェイスである必要があります)

  • IKEポリシーパラメータ

  • 事前共有鍵情報

  • フェーズ1のプロポーザルパラメーター(両方のピアで一致する必要があります)

show security ike security-associations index 1859361 detailコマンドは、セキュリティ アソシエーションに関する追加情報をインデックス番号 1859361 で一覧表示します。

  • 使用される認証および暗号化アルゴリズム

  • フェーズ1のライフタイム

  • トラフィック統計情報(トラフィックが双方向に正しく流れていることを検証するために使用できます)

  • 開始側と応答側のロール情報

    トラブルシューティングは、レスポンダ ロールを使用してピア上で実行するのが最適です。

  • 作成されたIPsec SAの数

  • 進行中のフェーズ2ネゴシエーションの数

IPsecフェーズ2ステータスの確認

目的

IPsecフェーズ2のステータスを確認します。

アクション

動作モードから、 show security ipsec security-associations コマンドを入力します。コマンドからインデックス番号を取得した後、 show security ipsec security-associations index index_number detail コマンドを使用します。

意味

show security ipsec security-associationsコマンドからの出力には、以下の情報が表示されます。

  • ID番号は2です。この値を show security ipsec security-associations index コマンドと併用して、この特定のSAに関する詳細情報を取得します。

  • ポート500を使用するIPsec SAペアが1つあり、NATトラバーサルが実装されていないことを示しています。(NATトラバーサルは、ポート4500またはその他のランダムな数字の大きいポートを使用します。)

  • 両方向のSPI、ライフタイム(秒)、使用制限(またはKBで示したライフサイズ)が表示されます。921/unlim値は、フェーズ2のライフタイムの有効期限が921秒であり、ライフサイズが指定されていないことを示し、無制限であることを示しています。フェーズ2のライフタイムはフェーズ1のライフタイムと異なる場合があります。これはVPNが起動した後にフェーズ2はフェーズ1に依存しないためです。

  • 月曜の列にあるハイフンで示されているように、このSAではVPN監視が有効になっていません。VPN監視が有効な場合、U(アップ)またはD(ダウン)がリストされます。

  • 仮想システム(vsys)はルート システムであり、常に 0 が表示されます。

show security ipsec security-associations index 2 detailコマンドからの出力には、以下の情報が表示されます。

  • ローカル ID とリモート ID により、SA のプロキシ ID が構成されます。

    プロキシIDの不一致は、フェーズ2の失敗で最もよくある理由の1つです。ポリシーベースのVPNの場合、プロキシIDはセキュリティポリシーから取得されます。ローカルアドレスとリモートアドレスはアドレス帳エントリから取得され、サービスはポリシーに設定されたアプリケーションから取得されます。プロキシIDの不一致によりフェーズ2が失敗した場合、ポリシーを使用してどのアドレス帳エントリが設定されているかを確認できます。アドレスが送信される情報と一致していることを確認します。ポートが送信される情報と一致していることを確認します。

VPN全体のトラフィックフローをテストする

目的

VPN全体のトラフィックフローを検証します。

アクション

Host1デバイスから ping コマンドを使用して、Host2へのトラフィックフローをテストします。

意味

Host1 からの ping コマンドが失敗した場合は、ルーティング、セキュリティ ポリシー、エンド ホスト、ESP パケットの暗号化と復号化に問題がある可能性があります。

IPsec セキュリティ アソシエーションの統計情報とエラーの確認

目的

IPsecセキュリティアソシエーションのESPおよび認証ヘッダーカウンターとエラーを確認します。

アクション

動作モードから、統計情報を表示するVPNのインデックス番号を使用して show security ipsec statistics index index_number コマンドを入力します。

show security ipsec statisticsコマンドを使用して、すべてのSAの統計情報とエラーを確認することもできます。

すべてのIPsec統計情報を消去するには、 clear security ipsec statistics コマンドを使用します。

意味

VPN全体でパケット損失の問題が発生した場合は、 show security ipsec statistics コマンドを数回実行して、暗号化および復号化されたパケットカウンターが増加していることを確認できます。また、他のエラー カウンターが増加しているかどうかも確認する必要があります。

ポリシーベースVPNからルートベースVPNへの移行

共有ポイントツーポイント st0 インターフェイスを使用して、ポリシーベースの VPN からルートベースの VPN に設定を移行する場合は、このトピックをお読みください。

SRXシリーズファイアウォールは、kmdプロセスを使用してIPsec VPNを実行するファイアウォール上でポリシーベースのVPNをサポートしますが、関連する制限があります。ポリシーは、プロトコルとアプリケーションのポート番号の観点からVPNトンネルに入るトラフィックを制御できますが、IKEv1はセキュリティアソシエーション(SA)ネゴシエーションにおけるプロトコルまたはポートネゴシエーションをサポートしていません。そのため、ファイアウォールはポリシーベースのVPNではトラフィックをきめ細かく制御できません。ポリシーベースのVPNをルートベースのVPNに移行することをお勧めします。

ポリシーベースVPNからルートベースVPNに移行するには、以下の手順を実行します。

  • kmdプロセスを使用して、Junos OSデバイスで実行されているIPsec VPNオブジェクトを非アクティブ化します。

  • junos-ikeパッケージをインストールし、ikedプロセスを使用してIPsec VPNサービスを実行します。junos-ikeパッケージのインストールを参照してください。

  • 共有ポイントツーポイント st0 インターフェイスに関連する前提条件を設定します。 共有ポイントツーポイントst0インターフェイスを参照してください。

  • 以前に非アクティブ化されたIPsec VPNオブジェクトを、共有ポイントツーポイントのst0インターフェイスでアクティブにします。

ダウンタイムを最小限に抑えるために、移行のベストプラクティスを使用して移行を実行することをお勧めします。

制限事項

  • 共有ポイントツーポイントのst0インターフェイスを使用するikedプロセスに移行した後は、kmdベースのIPsec VPNサービスに戻すことはできません。

  • ポリシーベースのVPNは、データトラフィックに対してポリシー検索が実行された場合、ポリシールックアップ時にポリシーが設定されるシーケンス順序を暗黙のうちに適用します。しかし、ルートベースVPNでは、トラフィックセレクターがあっても、VPNが設定されるシーケンス順は適用されません。これは、VPN設定ごとのトラフィックセレクターごとのメトリックによって決定されるためです。

サンプル設定

移行する前に、kmd プロセスを使用するポリシーベースの IPsec VPN について次の構成があるとします。ポリシーベースVPNのサポートは、IKEv1でのみ利用可能です。この設定では、セキュリティポリシーが基準に一致する場合、デバイスはトラフィックをVPNトンネルに誘導します。 ポリシーベースIPsec VPNを参照してください

移行後、次の構成がわかります。複数のトラフィックセレクター、ポート、プロトコルのサポートは、IKEv1では利用できないことに注意してください。ikedプロセスを使用するIPsec VPNサービスの同じst0インターフェイスにVPNオブジェクトをバインドする必要があります。明示的なトラフィックセレクター設定を使用して、同じst0インターフェイスにバインドする2つの異なるIPsec VPNオブジェクトを持つ2つの異なるIKEゲートウェイを設定することができます。

変更履歴テーブル

サポートされる機能は、使用しているプラットフォームとリリースによって決まります。 機能エクスプローラー を使用して、機能がお使いのプラットフォームでサポートされているかどうかを確認します。

リリース
説明
24.4R1
Junos OSリリース24.4R1では、ikedプロセスで共有ポイントツーポイントst0インターフェイスを使用して、ポリシーベースのVPNからルートベースのVPNへの移行のサポートを導入しました。