IKEv2 によるルートベースVPN

CLIクイック構成

この例を迅速に設定するには、以下のコマンドをコピーして、テキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。

ステップバイステップでの手順

次の例では、設定階層のいくつかのレベルに移動する必要があります。その方法の詳細については、CLIユーザー ガイドの設定モードにおけるCLIエディターの使用を参照してください。

インターフェイス、静的ルート、セキュリティゾーン、アドレス ブックの情報を設定するには、次の手順に従います。

1. イーサネット インターフェイス情報を設定します。

2. 静的ルートの情報を設定します。

3. untrustセキュリティ ゾーンを設定します。

4. セキュリティ ゾーンにインターフェイスを割り当てます。

5. セキュリティ ゾーンで許可されたシステム サービスを指定します。

6. trustセキュリティ ゾーンを設定します。

7. trustセキュリティ ゾーンにインターフェイスを割り当てます。

8. trustセキュリティ ゾーンで許可されたシステム サービスを指定します。

9. trustセキュリティ ゾーンのアドレス帳エントリーを設定します。

10. vpn-chicagoセキュリティ ゾーンを設定します。

11. セキュリティ ゾーンにインターフェイスを割り当てます。

12. vpn-chicagoゾーンのアドレス帳エントリを設定します。

結果

コンフィギュレーションモードから、show interfacesshow routing-options、、およびの各コマshow security zonesンドを入力し、コンフィギュレーションを確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。

デバイスの設定が完了したら、設定モードから commit を入力します。

CLIクイック構成

この例を迅速に設定するには、以下のコマンドをコピーして、テキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。

ステップバイステップでの手順

次の例では、設定階層のいくつかのレベルに移動する必要があります。その方法の詳細については、CLIユーザー ガイドの設定モードにおけるCLIエディターの使用を参照してください。

IKEを設定するには、次の手順に従います。

1. IKEフェーズ1のプロポーザルを作成します。

2. IKEプロポーザルの認証方法を定義します。

3. IKEプロポーザルのDiffie-hellmanグループを定義します。

4. IKEプロポーザルの認証アルゴリズムを定義します。

5. IKEプロポーザルの暗号化アルゴリズムを定義します。

6. IKEポリシー1のポリシーを作成します。

7. IKEプロポーザルへのリファレンスを指定します。

8. IKEフェーズ1ポリシー認認証方法を定義します。

9. IKE フェーズ 1 ゲートウェイを作成し、その外部インターフェイスを定義します。

10. IKEフェーズ1のポリシーリファレンスを定義します。

11. IKEフェーズ1のゲートウェイアドレスを定義します。

12. IKEフェーズ1のゲートウェイバージョンを定義します。

結果

設定モードから、show security ikeコマンドを入力して設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。

デバイスの設定が完了したら、設定モードから commit を入力します。

CLIクイック構成

この例を迅速に設定するには、以下のコマンドをコピーして、テキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。

ステップバイステップでの手順

次の例では、設定階層のいくつかのレベルに移動する必要があります。その方法の詳細については、CLIユーザー ガイドの設定モードにおけるCLIエディターの使用を参照してください。

IPsecを設定するには、次の手順に従います。

1. IPsecフェーズ2のプロポーザルを作成します。

2. IPsecフェーズ2のプロポーザルプロトコルを指定します。

3. IPsecフェーズ2のプロポーザル認証アルゴリズムを指定します。

4. IPsecフェーズ2のプロポーザルの暗号化アルゴリズムを指定します。

5. IPsecフェーズ2のポリシーを作成します。

6. IPsecフェーズ2のプロポーザルリファレンスを指定します。

7. IPsecフェーズ2のPFSがDiffie-Hellman group 2を使用するよう指定します。

8. IKEゲートウェイを指定します。

9. IPsecフェーズ2ポリシーを指定します。

10. バインドするインターフェイスを指定します。

結果

設定モードから、show security ipsecコマンドを入力して設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。

デバイスの設定が完了したら、設定モードから commit を入力します。

CLIクイック構成

この例を迅速に設定するには、以下のコマンドをコピーして、テキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。

ステップバイステップでの手順

次の例では、設定階層のいくつかのレベルに移動する必要があります。その方法の詳細については、CLIユーザー ガイドの設定モードにおけるCLIエディターの使用を参照してください。

セキュリティ ポリシーを設定するには、次の手順に従います。

1. trustゾーンからvpn-chicagoゾーンへのトラフィックを許可するセキュリティポリシーを作成します。

2. vpn-chicago ゾーンから trust ゾーンへのトラフィックを許可するセキュリティ ポリシーを作成します。

結果

設定モードから、show security policiesコマンドを入力して設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。

デバイスの設定が完了したら、設定モードから commit を入力します。

CLIクイック構成

この例を迅速に設定するには、以下のコマンドをコピーして、テキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。

ステップバイステップでの手順

次の例では、設定階層のいくつかのレベルに移動する必要があります。その方法の詳細については、CLIユーザー ガイドの設定モードにおけるCLIエディターの使用を参照してください。

TCP-MSS情報を設定するには、次の手順に従います。

1. TCP-MSS情報を設定します。

結果

設定モードから、show security flowコマンドを入力して設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。

デバイスの設定が完了したら、設定モードから commit を入力します。

CLIクイック構成

参照用に、SSGシリーズ デバイスの設定が提供されています。SSGシリConcepts & Examples ScreenOS Reference Guideーズデバイスの構成については、https://www.juniper.net/documentationにあるをご参照ください。

この例のセクションを迅速に設定するには、以下のコマンドをコピーして、テキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルで CLI にコピー アンド ペーストして、設定モードから commit を入力します。

目的

IKEフェーズ1ステータスを確認します。

アクション

検証プロセスを開始する前に、192.168.10/24ネットワーク内のホストから192.168.168/24ネットワーク内のホストにトラフィックを送信する必要があります。ルートベースVPNでは、SRXシリーズデバイスからトンネルを通してトラフィックを開始できます。IPsecトンネルをテストする場合は、VPNの片側にあるデバイスからVPNの別の側にある第2デバイスにテスト トラフィックを送信することをお勧めします。例えば、192.168.10.10から192.168.168.10へとpingを開始します。

動作モードからshow security ike security-associationsコマンドを入力します。コマンドからインデックス番号を取得した後、show security ike security-associations index index_number detailコマンドを使用します。

意味

show security ike security-associationsコマンドは、すべてのアクティブなIKEフェーズ1のSAを一覧表示します。SAが表示されない場合は、フェーズ1の確立に問題があったことを示しています。設定でIKEポリシー パラメータと外部インターフェイスの設定を確認してください。

SAが表示される場合は、次の情報を確認します。

• インデックス—この値は、各IKE SAに固有のもので、show security ike security-associations index detail コマンドで使用すると、SAの詳細な情報を得ることができます。

• Remote Address - リモート IP アドレスが正しいかどうかを確認します。

• State

  • UP - フェーズ1のSAが確立されました。

  • DOWN - フェーズ1のSAの確立に問題がありました。

• Mode：正しいモードが使用されていることを確認してください。

設定で以下が適切か検証します。

• 外部インターフェイス(IKEパケットを受信するインターフェイスである必要があります)。

• IKE ポリシー パラメータ

• 事前共有鍵情報

• フェーズ1のプロポーザルパラメーター(両ピアで一致する必要があります)。

show security ike security-associations index 1 detail コマンドは、インデックス番号 1 の SA に関する追加情報を一覧表示します。

• 使用している認証および暗号化アルゴリズム

• フェーズ1のライフタイム

• トラフィック統計情報（トラフィックが双方向へ正しく流れていることを検証するために使用できます）

• ロール情報

  トラブルシューティングは、レスポンダ ロールを使用してピア上で実行することが最適です。

• イニシエータとレスポンダの情報

• 作成されたIPsec SAの数

目的

IPsec フェーズ 2 のステータスを確認します。

アクション

動作モードからshow security ipsec security-associationsコマンドを入力します。コマンドからインデックス番号を取得した後、show security ipsec security-associations index index_number detailコマンドを使用します。

意味

show security ipsec security-associationsコマンドからの出力には、次の情報が表示されます。

• ID番号は16384です。この値をshow security ipsec security-associations indexコマンドと併用して、この特定のSAに関する詳細情報を取得します。

• ポート500を使用する1つのIPsec SAペアがあります。

• 両方向のSPI、ライフタイム（秒）、使用制限（またはKBで示したライフサイズ）が表示されます。3363/unlim値は、フェーズ2のライフタイムが3363秒で終了すること、ライフサイズが指定されていないことを示しており、無制限であることを示しています。フェーズ2のライフタイムは フェーズ1のライフタイムと異なる場合があります。これはVPNが起動した後にフェーズ2はフェーズ1に依存しなくなるからです。

• vsysはルート システムであり、常に0として表示されます。

• IKEv2 はバージョン 2 ピアからの接続を許可し、バージョン 2 のネゴシエーションを開始します。

show security ipsec security-associations index 16384 detailコマンドからの出力には、次の情報が表示されます。

• ローカル アイデンティティとリモート アイデンティティにより、SAのプロキシIDが構成されます。

  プロキシIDの不一致は、フェーズ2の失敗で最もよくある原因の1つです。IPsec SAがリストにない場合、プロキシID設定を含むフェーズ2のプロポーザルが両方のピアで正しいことを確認します。ルートベースVPNの場合、デフォルトのプロキシIDは、ローカル = 0.0.0.0/0、リモート = 0.0.0.0/0、サービス = anyです。同じピアIPからの複数のルートベースVPNで問題が発生する可能性があります。この場合、各IPsec SAに固有のプロキシIDを指定する必要があります。一部のサードパーティー ベンダーでは、プロキシIDを手動で入力して照合する必要があります。

• フェーズ2の失敗でよくある理由のもう1つに、STインターフェイスのバインディングが指定されていないことがあります。IPsecを完了できない場合は、kmdログを確認するか、トレース オプションを設定します。

目的

IPsec SAのESPおよび認証ヘッダーのカウンターとエラーを確認します。

アクション

動作モードから、統計情報を表示するVPNのインデックス番号を使用してshow security ipsec statistics index index_numberコマンドを入力します。

show security ipsec statisticsコマンドを使用して、すべてのSAの統計情報とエラーを確認することもできます。

すべてのIPsec統計情報を消去するには、clear security ipsec statisticsコマンドを使用します。

意味

VPN全体でパケット損失の問題が発生した場合、show security ipsec statisticsまたはshow security ipsec statistics detailのコマンドを数回実行して、暗号化および復号化されたパケット カウンターが増加していることを確認できます。また、他のエラー カウンターが増加していることも確認する必要があります。

目的

VPN全体で、トラフィックフローを検証します。

アクション

SRXシリーズファイアウォールからpingコマンドを使用して、リモートホストPCへのトラフィックフローをテストできます。ルート ルックアップが正しく実行され、ポリシー ルックアップで適切なセキュリティ ゾーンが参照されるように、ソース インターフェイスを指定してください。

動作モードからpingコマンドを入力します。

SSGシリーズ デバイスから、pingコマンドを使用することもできます。

意味

SRXシリーズまたはSSGシリーズ デバイスからのpingコマンドが失敗した場合は、ルーティング、セキュリティ ポリシー、エンド ホスト、ESPパケットの暗号化または復号化に問題がある可能性があります。

CLIクイック構成

この例を迅速に設定するには、以下のコマンドをコピーして、テキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。

ステップバイステップでの手順

次の例では、設定階層のいくつかのレベルに移動する必要があります。その方法の詳細については、設定モードでのCLIエディターの使用を参照してください。

SRX シリーズを設定するには、次の手順に従います。

1. シャーシ クラスタを設定します。

2. インターフェイスを設定します。

3. ルーティングオプションを設定します。

4. セキュリティ ゾーンを指定します。

5. RADIUS プロファイルを作成します。

6. フェーズ1のオプションを設定します。

7. フェーズ2のオプションを指定します。

8. ルーティングインスタンスを指定します。

9. サイト間のトラフィックを許可するセキュリティ ポリシーを指定します。

結果

設定モードから、 show chassis cluster、 show interfaces、 show security zones、 show access profile radius_pico、 show security ike、 show security ipsec、 show routing-instances、および show security policies コマンドを入力して、設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。

デバイスの設定が完了したら、設定モードから commit を入力します。

CLIクイック構成

この例を迅速に設定するには、以下のコマンドをコピーして、テキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。

ステップバイステップでの手順

次の例では、設定階層のいくつかのレベルに移動する必要があります。その方法の詳細については、設定モードでのCLIエディターの使用を参照してください。

中間ルーターを設定するには、次の手順に従います。

1. インターフェイスを設定します。

2. ルーティングオプションを設定します。

3. セキュリティ ゾーンを指定します。

4. セキュリティ ポリシーを指定します。

結果

設定モードから、show interfaces 、show routing-options、show security zones、およびshow security policies のコマンドを入力して設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。

デバイスの設定が完了したら、設定モードから commit を入力します。

ステップバイステップでの手順

この例のピコセル情報は、参照用に提供されています。詳細なピコ セル設定情報は、このドキュメントの範囲外です。ピコセルの工場出荷時の設定には、次の情報が含まれている必要があります。

• ローカル証明書(X.509v3)および IKE ID 情報

• トラフィックセレクター(TSi、TSr)値をany/any(0.0.0.0/0)に設定

• SRXシリーズIKE ID情報とパブリックIPアドレス

• SRXシリーズの構成に一致するフェーズ1およびフェーズ2のプロポーザル

この例のピコセルは、IPsecベースのVPN接続にstrongSwanオープンソースソフトウェアを使用しています。この情報は、SRXシリーズがIKEv2設定ペイロード機能を使用したピコセルのプロビジョニングに使用します。多数のデバイスが展開されているネットワークでは、証明書(leftcert)とID(leftid)情報を除いて、ピコセル構成を同一にすることができます。次の構成例は、工場出荷時の設定を示しています。

1. Pico 1の設定を確認します。

   ピコ1: サンプル設定

2. Pico 2 の設定を確認します。

   Pico 2 サンプル設定

ステップバイステップでの手順

この例の RADIUS サーバー情報は、参照用に提供されています。完全な RADIUS サーバ設定情報は、このドキュメントの範囲外です。RADIUS サーバーから次の情報が SRX シリーズに返されます。

• フレーム IP アドレス

• フレーム IP ネットマスク (オプション)

• プライマリ DNS とセカンダリ DNS(オプション)

この例では、RADIUS サーバーには、OAM 接続と 3GPP 接続に関する個別のプロビジョニング情報があります。ユーザー名は、SRXシリーズの認証リクエストで提供されるクライアント証明書情報から取得されます。

RADIUSサーバーがDHCPサーバーからクライアントプロビジョニング情報を取得する場合、RADIUSサーバーによってDHCPサーバーに中継されるクライアントID情報は、SRXシリーズファイアウォールによってRADIUSサーバーに中継されるクライアントIKE ID情報と一致している必要があります。これにより、さまざまなプロトコル間でクライアント ID の継続性が保証されます。

SRXシリーズファイアウォールとRADIUSサーバー間の通信チャネルは、RADIUS共有シークレットによって保護されています。

1. Pico 1 OAM VPNのRADIUS設定を確認します。RADIUS サーバーには、次の情報があります。

   15.1X49-D160、17.3R3、17.4R2、18.1R3、18.2R2、18.3R1、および18.1R3-S2より前のJunos OSリリース12.3X48およびJunos OSリリースでのRADIUS設定例:

   FreeRADIUSの設定例:

   Junos OSリリース15.X49-D161、15.1X49-D170、17.3R3、17.4R2、18.1R3、18.2R2、18.3R1、18.1R3-S2以降のRADIUS設定例:

   FreeRADIUSの設定例:

   この場合、RADIUS サーバーは、ピア内トラフィックをブロックする既定のサブネット マスク (255.255.255.255) を提供します。

2. Pico 1 3GPP VPNのRADIUS設定を確認します。RADIUS サーバーには、次の情報があります。

   15.1X49-D160、17.3R3、17.4R2、18.1R3、18.2R2、18.3R1、および18.1R3-S2より前のJunos OSリリース12.3X48およびJunos OSリリースでのRADIUS設定例:

   FreeRADIUSの設定例:

   Junos OSリリース15.X49-D161、15.1X49-D170、17.3R3、17.4R2、18.1R3、18.2R2、18.3R1、18.1R3-S2以降のRADIUS設定例:

   FreeRADIUSの設定例:

   この場合、RADIUS サーバーはサブネット マスク値(255.255.0.0)を提供し、ピア内トラフィックを有効にします。

   Junos OS リリース 20.1R1 以降、IKE ゲートウェイ設定の IKEv2 設定ペイロード要求に共通のパスワードを設定できます。1 から 128 文字の範囲の共通パスワードを使用すると、管理者は共通パスワードを定義できます。このパスワードは、SRXシリーズファイアウォールがIKEv2設定ペイロードを使用してリモートIPsecピアに代わってIPアドレスを要求するときに、SRXシリーズファイアウォールとRADIUSサーバーの間で使用されます。RADIUSサーバーは、設定ペイロード要求用のIP情報をSRXシリーズファイアウォールに提供する前に、認証情報を検証します。階層レベルで config-payload-password configured-password 設定ステートメントを使用して共通パスワードを設定できます [edit security ike gateway gateway-name aaa access-profile access-profile-name] 。さらに、この例では、ユーザー名(IKE ID)情報の証明書の異なる部分を使用して、同じクライアント証明書から 2 つのトンネルを作成します。

目的

IKEフェーズ1ステータスを確認します。

アクション

ノード0の運用モードからshow security ike security-associationsコマンドを入力します。コマンドからインデックス番号を取得した後、show security ike security-associations detail コマンドを使用します。

意味

show security ike security-associations コマンドは、ピコ セル デバイスを持つすべてのアクティブな IKE フェーズ 1 SA を一覧表示します。SAが表示されない場合は、フェーズ1の確立に問題があったことを示しています。設定でIKEポリシー パラメータと外部インターフェイスの設定を確認してください。この例では、OAM VPN の IKE フェーズ 1 SA のみを示しています。ただし、3GPP VPNのIKEフェーズ1パラメータを示す別のIKEフェーズ1 SAが表示されます。

SAが表示される場合は、次の情報を確認します。

• インデックス—この値は、IKE SAごとに一意です。show security ike security-associations index detail コマンドを使用して、SA に関する詳細情報を取得できます。

• リモートアドレス：ローカルIPアドレスが正しいことと、ポート500がピアツーピア通信に使用されていることを確認します。

• ロールレスポンダーの状態:

  • UP：フェーズ1 SAが確立されました。

  • Down - フェーズ 1 SA の確立に問題がありました。

• ピア(リモート)IKE ID - 証明書情報が正しいことを確認します。

• ローカルIDおよびリモートID：これらのアドレスが正しいことを確認してください。

• Mode：正しいモードが使用されていることを確認してください。

設定で次の項目が正しいことを確認します。

• 外部インターフェイス（IKEパケットを送信するインターフェイスである必要があります）

• IKEポリシー パラメータ

• フェーズ 1 のプロポーザル パラメーター(ピア間で一致する必要があります)

show security ike security-associations コマンドは、セキュリティー・アソシエーションに関する以下の追加情報をリストします。

• 使用している認証および暗号化アルゴリズム

• フェーズ1のライフタイム

• トラフィック統計情報（トラフィックが双方向へ正しく流れていることを検証するために使用できます）

• ロール情報

  トラブルシューティングは、レスポンダ ロールを使用してピア上で実行することが最適です。

• イニシエータとレスポンダの情報

• 作成されたIPsec SAの数

• 進行中のフェーズ2ネゴシエーションの数

目的

IPsecステータスを検証します。

アクション

ノード0の運用モードからshow security ipsec security-associationsコマンドを入力します。コマンドからインデックス番号を取得した後、show security ipsec security-associations detailコマンドを使用します。

意味

この例は、Pico 1のアクティブなIKEフェーズ2 SAを示しています。SA が何も表示されない場合は、フェーズ 2 の確立に問題があったことになります。設定でIPsecポリシー パラメータを確認してください。フェーズ 2 SA(OAM および 3GPP)ごとに、インバウンド方向とアウトボード方向の両方で情報が提供されます。show security ipsec security-associationsコマンドからの出力には、次の情報が表示されます。

• リモートゲートウェイのIPアドレスは10.1.1.1です。

• 両方向のSPI、ライフタイム（秒）、使用制限（またはKBで示したライフサイズ）が表示されます。3529/ という値は、フェーズ 2 のライフタイムの期限が 3529 秒であり、ライフサイズが指定されていないことを示しており、無制限であることを示しています。フェーズ2のライフタイムは、VPNが起動した後はフェーズ1に依存しないため、フェーズ1のライフタイムと異なる場合があります。

• 月曜の列にあるハイフンが示すとおり、このSAでVPN監視は有効化されていません。VPN監視が有効な場合、Uは監視が稼働していることを示し、Dは監視が停止していることを示します。

• 仮想システム（vsys）はルート システムであり、常に0が表示されます。

上記の show security ipsec security-associations index index_id detail コマンドの出力には、次の情報が表示されます。

• ローカル アイデンティティとリモート アイデンティティにより、SAのプロキシIDが構成されます。

  プロキシIDの不一致は、フェーズ2の失敗で最もよくある原因の1つです。IPsec SAがリストにない場合、プロキシID設定を含むフェーズ2のプロポーザルが両方のピアで正しいことを確認します。ルートベースVPNの場合、デフォルトのプロキシIDは、ローカル = 0.0.0.0/0、リモート = 0.0.0.0/0、サービス = anyです。同じピアIPからの複数のルートベースVPNで問題が発生する可能性があります。この場合、各IPsec SAに固有のプロキシIDを指定する必要があります。一部のサードパーティー ベンダーでは、プロキシIDを手動で入力して照合する必要があります。

• 使用される認証および暗号化アルゴリズム。

• フェーズ 2 のプロポーザル パラメーター(ピア間で一致する必要があります)。

• OAMおよび3GPPゲートウェイへのトンネル(st0.0およびst0.1)バインディングを保護します。