本文へジャンプします。

ニフティクラウド ユーザーガイド

クラウド トップ>ユーザーガイド>コンピューティング>VPNゲートウェイ:IKEv1 IPsec VPN(L3VPN)で接続する拠点側VPN装置の設定(NEC IX)

VPNゲートウェイ:IKEv1 IPsec VPN(L3VPN)で接続する拠点側VPN装置の設定(NEC IX)

拠点側VPN装置にNEC IXシリーズを使用した場合の設定です。

下記ページと構成を参考に、事前にVPNコネクション作成を行ってください。

構成

VPNゲートウェイを利用し、ニフティクラウドとお客様拠点をIPsec VPN(L3VPN)で接続するためには、以下の項目を事前にご確認ください。 以降の設定手順、確認手順では下記を検証環境、構成例として用います。

検証環境
製品 NEC IXシリーズ
ソフトウエア Ver.8.9.17以上
構成例
VPNゲートウェイのIPアドレス 198.51.100.123
拠点VPN装置のIPアドレス 203.0.113.234
プライベートLAN CIDR 172.31.1.0/24
拠点CIDR 192.168.1.0/24
共有鍵 0582877a-3907-4357-8763-d32e9050eb08
WAN側のインターフェース GigaEthernet0.0
LAN側のインターフェース GigaEthernet1.0
IPsecアクセスリスト名 niftycloudacl
IKEプロポーザル名 niftycloudikeprop
IPsecプロポーザル名 niftycloudipsecprop
IKEポリシー名 niftycloudikepolicy
IPsecポリシー名 niftycloudipsecpolicy

設定手順

設定モードに移行します。

Router# enable-config
Enter configuration commands, one per line. End with CNTL/Z.
Router(config)#

UFSキャッシュ機能を有効化します。

Router(config)# ip ufs-cache enable
Router(config)#

IPsecトンネルを通すアドレスのアクセスリストを設定します。

Router(config)# ip access-list niftycloudacl permit ip src any dest any
Router(config)#

IPsecトンネルを通すアドレスのアクセスリストを設定します。

Router(config)# ip access-list niftycloudacl permit ip src any dest any
Router(config)#

IKEの設定をします。

  • ※「0582877a-3907-4357-8763-d32e9050eb08」は、実際の共有鍵に置き換えてください。
Router(config)# ike proposal niftycloudikeprop encryption aes hash sha group 1024-bit
Router(config)# ike policy niftycloudikepolicy peer 198.51.100.123 key 0582877a-3907-4357-8763-d32e9050eb08 niftycloudikeprop
Router(config)#

IPsecの設定をします。

  • ※「198.51.100.123」をVPNゲートウェイのIPアドレスに、「192.168.1.0/24」を実際の拠点CIDRに、「172.31.1.0/24」を実際のプライベートLAN CIDRに、それぞれ置き換えてください。
Router(config)# ipsec autokey-proposal niftycloudipsecprop esp-aes esp-sha lifetime time 3600
Router(config)# ipsec autokey-map niftycloudipsecpolicy niftycloudacl peer 198.51.100.123 niftycloudipsecprop
Router(config)# ipsec local-id niftycloudipsecpolicy 192.168.1.0/24
Router(config)# ipsec remote-id niftycloudipsecpolicy 172.31.1.0/24
Router(config)#

IPsecトンネル・インターフェースの設定をします。

  • ※「GigaEthernet1.0」を実際のLAN側インターフェースに置き換えてください。
Router(config)# interface Tunnel0.0
Router(config-Tunnel0.0)# tunnel mode ipsec
Router(config-Tunnel0.0)# ipsec policy tunnel niftycloudipsecpolicy out
Router(config-Tunnel0.0)# ip unnumbered GigaEthernet1.0
Router(config-Tunnel0.0)# ip tcp adjust-mss auto
Router(config-Tunnel0.0)# no shutdown
Router(config-Tunnel0.0)# exit
Router(config)#

プライベートLAN CIDR宛のパケットがIPsecトンネル・インターフェースを通るようルーティングの設定を行います。

  • ※「172.31.1.0/24」を実際のプライベートLAN CIDRに置き換えてください。
Router(config)# ip route 172.31.1.0/24 Tunnel0.0
Router(config)#

設定を保存します。

Router(config)# copy running-config startup-config
Copying from "running-config" to "startup-config"
Building configuration...
% Warning: do NOT enter CNTL/Z while saving to avoid config corruption.
Router(config)#

確認手順

IKEのSAが正常に確立されているか確認する

show ike saコマンドを実行します。
下記のようにState is establishedなSAが表示されれば正常に確立できています。

Router(config)# show ike sa
ISAKMP SA - 1 configured, 2 created
Local address is 203.0.113.234, port is 500
Remote address is 198.51.100.123, port is 500
  IKE policy name is niftycloudikepolicy
  Direction is initiator
  Initiator's cookie is 0x747fcaa81b181ce3
  Responder's cookie is 0x44bd63e9f054b7f5
  Exchange type is main mode
  State is established
  Authentication method is pre-shared
  Encryption algorithm is aes
  Hash algorithm is sha
  DH group is modp1024, lifetime is 28297 seconds
  #ph1 success: 1, #ph1 failure: 0
  #ph1 hash err: 0, #ph1 timeout: 0, #ph1 resend: 0
  #ph2 success: 1, #ph2 failure: 1
  #ph2 hash err: 0, #ph2 timeout: 1, #ph2 resend: 3
Local address is 203.0.113.234, port is 500
Remote address is 198.51.100.123, port is 500
  IKE policy name is niftycloudikepolicy
  Direction is responder
  Initiator's cookie is 0xd9f8cc6a06ba8cd9
  Responder's cookie is 0x0d1dcb7c316a242c
  Exchange type is main mode
  State is established
  Authentication method is pre-shared
  Encryption algorithm is aes
  Hash algorithm is sha
  DH group is modp1024, lifetime is 28312 seconds
  #ph1 success: 1, #ph1 failure: 0
  #ph1 hash err: 0, #ph1 timeout: 0, #ph1 resend: 0
  #ph2 success: 1, #ph2 failure: 0
  #ph2 hash err: 0, #ph2 timeout: 0, #ph2 resend: 0
Router(config)#
ESPのSAが正常に確立されているか確認する

show ipsec saコマンドを実行します。
下記のように表示されれば正常に確立できています。

Router(config)# show ipsec sa
IPsec SA - 1 configured, 2 created
Interface is Tunnel0.0
  Key policy map name is niftycloudipsecpolicy
    Tunnel mode, 4-over-4, autokey-map
    Local address is 203.0.113.234
    Remote address is 198.51.100.123
    Outgoing interface is GigaEthernet0.1
    Interface MTU is 1398, path MTU is 1454
    Inbound:
      ESP, SPI is 0x53e596af(1407555247)
        Transform is ESP-AES-HMAC-SHA-96
        Remaining lifetime is 3158 seconds
      Replay detection support is on
    Outbound:
      ESP, SPI is 0xd170c450(3513828432)
        Transform is ESP-AES-HMAC-SHA-96
        Remaining lifetime is 3158 seconds
      Replay detection support is on
    Perfect forward secrecy is 1024-bit
Router(config)#

ニフティクラウド サイト内検索

ユーザーガイドメニュー

  • ツイッターでフォローしてください
  • ニフティクラウド公式フェイスブックページ

推奨画面サイズ 1024×768 以上