NECページの先頭です。本ウェブサイトでは、JavaScriptおよびスタイルシートを使用しております。お客さまがご使用のブラウザではスタイルが未適応のため、本来とは異なった表示になっておりますが、情報は問題なくご利用いただけます。Japanここからサイト内共通メニューです。サイト内の現在位置を表示しています。IXシリーズFAQIPsec/IKEここから本文です。FAQお問い合わせIPsec/IKEに関するFAQFAQ一覧に戻る装置仕様Q.1-1ハードウェア処理に対応している暗号/認証アルゴリズムを教えてください。Q.1-2最大の対地数を教えてください。Q.1-3対応しているRFCとI-D(インターネットドラフト)を教えてください。MSS値の適切な値を教えて下さい。SAが常に存在する状態に維持したいのですが、方法は有りますか?Q.1-12インターネットVPNでQoSを行う場合の、実現手段と注意点について教えてください。SAはデフォルトで自動更新が行われますが、更新のタイミングを教えてください。Q.1-17NATトラバーサル機能に対応していますか?Q.1-18離れた拠点間をIXルータのIPsec機能を使ってトンネル接続するのですが、このトンネル内部でIPsecを使用したいユーザがいます。設定上注意が必要でしょうか?Q.1-19ISDN回線上でもIPsecトンネルを確立することはできますか?トラブルシューティングQ.2-1インターネットVPNでLAN間通信ができないため、調査したところトンネルインタフェースがdownしていました。トンネルインタフェースがdownしている原因について教えてください。Q.2-2トンネル経由でサーバに接続したときに、通信が異常終了してしまう場合があります。ハードウェア処理に対応している暗号/認証アルゴリズムを教えてください。AESでは3つの鍵長(128/192/256bit)をサポートしていますが、いずれの鍵長でもほぼ同等の性能を実現しています。機種IX3015暗号DES,3DES,AES(128/192/256)認証MD5,SHA1(※)秘密鍵生成(IKE)Diffie-Hellman※SHA2(256/384/512)はソフトウェア処理。機種IX2105/IX2106/IX2207/IX2215/IX3315暗号DES,3DES,AES(128/192/256)認証MD5,SHA1,SHA2(256/384/512)秘密鍵生成(IKE)Diffie-Hellman機種IX3110暗号DES,3DES,AES(128/192/256)認証MD5,SHA1,SHA2(256)(※)秘密鍵生成(IKE)Diffie-Hellman※SHA2(384/512)はソフトウェア処理。最大の対地数を教えてください。IPv4利用時の対地数は下表の通りです。IPv6利用時の対地数は「機能説明書」をご確認ください。5,000SHA2利用時の最大対地数は「2」です。IX3110は、SHA-256利用時の最大対地数は「1,024」ですが、SHA-384/512利用時の最大対地数は「2」です。対応しているRFCとI-D(インターネットドラフト)を教えてください。IXシリーズ」のIPsec/IKEは以下のRFC/インターネットドラフトに対応しております。IPsecトンネルでルーティングプロトコルを動作させることができますか?はい、IPsecトンネルでRIP、OSPFv2、BGP4を動作させることが可能です。IPv6ルーティングプロトコル(RIPng、OSPFv3)についても同様に可能です。詳しい設定例は、「設定事例集」をご参照ください。SAを使ってHELLO(R-U-THERE)を送信し、ACK(R-U-THERE-ACK)の受信確認によりSAの状態をモニタリングします。keepaliveコマンドを設定すると、VPNピアに対してHELLO(R-U-THERE)の送信を開始します。削除する機能を使用することもできます。トンネルを通るパケットのアドレスをNAT/NAPTで変換することができますか?可能です。TunnelインタフェースでNAT/NAPTの設定が必要になります。詳しい設定例は、「設定事例集」をご参照ください。IPsecによるインターネットVPNと、NAPTによるインターネット接続を同時にできますか?可能です。その制御はルーティングにより行います。PPPoE回線でIPsecトンネルによるVPN接続を行う場合、以下のように設定します。VPNピアの内部ネットワーク宛パケットは、Tunnelインタフェースへ転送してIPsecでカプセル化。Tunnel0.0デフォルトルートにより、VPNピアの内部ネットワーク宛以外のパケットは、直接PPPoEインタフェースから出力するように設定。[PPPoEインタフェース]PPPoEインタフェースでNAPTを有効化。詳しい設定例は、「設定事例集」をご参照ください。MSS値の適切な値を教えて下さい。本装置は、IPsecパケットを出力するインタフェースのMTU長と、使用するカプセル化方式や暗号/認証アルゴリズムの種類に基づいて、TunnelインタフェースのMTUを最適な値に自動調整します。autoコマンドを設定すると、Tunnelインタフェースを通過するTCPパケットのMSS値は表の値に書き換えられます。TunnelインタフェースのMTUを算出する計算式は下記の通りです(ESPのみ使用時)。IPsecカプセル化によりフラグメントが必要になる場合、IPsecカプセル化の前にフラグメントしますか、それとも、フラグメント後にカプセル化が行われますか?デフォルトでは、IPsecでカプセル化した後にフラグメントを実行します(post-fragment)。設定により、カプセル化の前にフラグメント処理を行うことも可能です(pre-fragment)。動的アドレス環境でのインターネットVPNの場合、センタルータはインターネット側にデフォルトルートを向ける必要がありますが、外部サイト宛パケットをLAN側のファイアウォールへ転送したい場合、どのように設定すれば良いですか?センタルータは、各拠点から受信した外部サイト宛パケットを、ポリシールーティングを使ってファイアウォールに転送します。デフォルトルートは、インターネットVPNの回線側へ向けます。10.0.1.0/24【IX2106の設定例】デフォルトルートを設定します。自局内部ネットワーク宛以外の通信をアクセスリストで指定します。ルートマップを作成し、先ほど作成したアクセスリストの関連付けを行います。アクセスリストの条件に一致するパケットは全てファイアウォールに転送します。IPsec通信に使用するTunnelインタフェースにルートマップを登録し、ポリシールーティングの動作を有効化します。受信したIPsecパケットの復号化後のパケットがポリシールーティングの対象になります。firewall詳しい設定例は、「設定事例集」をご参照ください。SAを使ってカプセル化されたパケットが全く流れていない場合、次のSAの更新処理を実行しません。Echoパケットを送信する設定を行います。以下に設定例を紹介します。10.0.1.1/24【設定例】ウォッチグループ(host)を作成し、ホスト監視の宛先、出力インタフェース、ソースアドレスに使用するインタフェース名を設定します。ホスト監視の監視周期を設定します(デフォルトは5秒)。(※)グループ名は任意。ネットワークモニタ機能を有効にします。インターネットVPNでQoSを行う場合の、実現手段と注意点について教えてください。TunnelインタフェースでオリジナルパケットのToS値を書き換え、出力インタフェースでToS値に基づく送信優先制御の設定を行ってください。出力インタフェースでは、IPsecでカプセル化されたパケットの中身を見て優先度を分けることができませんが、ToS値はオリジナルパケットの値がカプセルヘッダに引き継がれるため、ToS値を見てクラス分けを行うことが可能です。IPsecパケットから順に出力されるため、受信側でIPsecパケットに付与されているシーケンス番号により受信確認を行う機能(アンチリプレイ機能)を有効にしていると、優先度の低いパケットが受信側で廃棄されてしまう可能性が有ります。anti-replayコマンド)してください。詳しい設定例は、「設定事例集」をご参照ください。※アンチリプレイ機能:IPsecでカプセル化されたパケットのシーケンス番号を監視し、重複して受け取ったパケットを廃棄することにより、リプレイ攻撃からの防御を行う機能。saコマンドを使用します。SAを全て消去する場合は以下のコマンドを使用します。SAを全て消去する場合は以下のコマンドを使用します。sa複数生成されたSAを個別に消去したい場合は、下記のコマンドを使用します。[トンネルインタフェース]ただし、SAを消去する場合、消す順序によっては対向装置に不要なSAが残ってしまい、通信断の原因となる可能性があります。SAを消去するようにしてください。QoSのシェーピング機能を使って帯域制御することができますか?可能です。機種毎の対地数については、「QoSに関するFAQ」のQ.1-5をご参照下さい。SAはデフォルトで自動更新が行われますが、更新のタイミングを教えてください。SAは30秒前に自動更新を行います。ver.8.1以降では、コマンドで更新タイミングを変更することができます。ver.7.5以降で対応しています(「IX2004」除く)。離れた拠点間をIXルータのIPsec機能を使ってトンネル接続するのですが、このトンネル内部でIPsecを使用したいユーザがいます。設定上注意が必要でしょうか?IPsec(ESP、AH)パケットについては特別な設定は不要ですが、IKEパケットをIPsecカプセル化するためには以下の設定追加が必要です。ISDN回線上でもIPsecトンネルを確立することはできますか?可能です。IPsec機能は、物理回線(イーサネット、専用線、ISDN)の種類を問わず使用することが可能です。ISDN回線でIPsec機能を使用される場合には、不要な発呼を抑制するために、SA自動更新の無効化の設定を推奨しています。インターネットVPNでLAN間通信ができないため、調査したところトンネルインタフェースがdownしていました。トンネルインタフェースがdownしている原因について教えてください。以下の原因が考えられます。トンネルのピア(対向装置のWAN側アドレス)への到達経路が「ルーティングテーブル」上に無い。トンネルのピアへの到達経路がトンネルインタフェースから出力させるような設定になっている。トンネルパケットの出力インタフェースがdownしている。トンネルインタフェースにIPアドレスが設定されていない(アンナンバードでも可)。shutdownコマンドが設定されていない。トンネル経由でサーバに接続したときに、通信が異常終了してしまう場合があります。Path-MTU-Black-Hole問題の影響が考えられます。pingをDFビットをセットして実行し、応答が返る最大サイズを確認してください。MSS調整機能を使用します。設定する値は下記の式で計算します。40IPsecを使用する場合、パケットのカプセル化によるオーバーヘッドが存在しますので、フラグメントされずに送信できるパケットサイズが通常よりも小さくなります。MSS調整はインタフェースで以下のコマンドを使用します。adjust-mssIPsecを適用するTCPパケットのMSS値を書き換えるときは、TCPパケットを受信するインタフェースか、TunnelインタフェースにMSS調整コマンドを設定してください。IPsecパケットを出力するインタフェースにMSS調整コマンドを設定しても、カプセル化対象のTCPパケットのMSS値を書き換えることはできません。IPsec使用時のMSS値はQ.1-8の回答を参考にしてください。Corporation。