GREoverIPsec設定GREだけでは通信内容を暗号化することはできませんが、IPsecを併用することでインターネット網を経由する場合でもよりセキュアな通信路を構築することができます。IPsecの形式で設定します。GREのエンドポイントのIPアドレスに各ルータのLAN側IPアドレスを設定します。SA未確立時にGREパケットがルータから出力されることを防止します。NXR_Aホスト名を設定します。192.168.10.1/24ethernet0インタフェースのIPアドレスを設定します。1LAN_B向けのルートを設定します。2LAN_C向けのルートを設定します。10.10.10.2デフォルトルートを設定します。50IPアクセスリスト名をeth1_inとし、WAN側IPアドレス10.10.10.1宛のIKEパケット(UDPポート500番)、ESPパケット(プロトコル番号50)を許可します。このIPアクセスリスト設定はethernet1インタフェース設定で登録します。IPアクセスリストを設定しただけではフィルタとして有効にはなりません。フィルタリングしたいインタフェースでの登録が必要になります。192.168.20.1/32NXR_Bという名前のIPsecアクセスリストを設定します。送信元IPアドレスはルータNXR_AのLAN側IPアドレス,宛先IPアドレスはルータNXR_BのLAN側IPアドレスとします。192.168.30.1/32NXR_Cという名前のIPsecアクセスリストを設定します。送信元IPアドレスはルータNXR_AのLAN側IPアドレス,宛先IPアドレスはルータNXR_CのLAN側IPアドレスとします。ipIPsecトンネルの送信元IPアドレスにip(IPv4)を設定します。ipseckey1ISAKMPポリシーの説明としてNXR_B、認証方式としてpre-share(事前共有鍵)を選択し、事前共有鍵ipseckey1を設定します。ISAKMPポリシーと共通の値を設定します。SAのライフタイムとして10800秒、フェーズ1のネゴシエーションモードとしてメインモードを設定します。1リモートアドレスにルータNXR_BのWAN側IPアドレスを設定します。KeepAlive(DPD)を監視間隔30秒,リトライ回数3回としkeepalive失敗時にSAを削除しIKEのネゴシエーションを開始するように設定します。IPsecローカルポリシー1と関連づけを行います。autoIPsecトンネルポリシーの説明としてNXR_B、ネゴシエーションモードとしてautoを設定します。SAのライフタイムとして3600秒を設定します。NXR_BISAKMPポリシー1と関連づけを行い、IPsecアクセスリストNXR_Bを設定します。ipseckey2ISAKMPポリシーの説明としてNXR_C、認証方式としてpre-share(事前共有鍵)を選択し、事前共有鍵ipseckey2を設定します。ISAKMPポリシーと共通の値を設定します。SAのライフタイムとして10800秒、フェーズ1のネゴシエーションモードとしてアグレッシブモードを設定します。1ルータNXR_CのWAN側IPアドレスが動的IPアドレスのため、リモートアドレスにanyを設定します。リモートIDをFQDN方式でnxrcとし、ルータNXR_CのセルフIDと同じIDを設定します。KeepAlive(DPD)を監視間隔30秒,リトライ回数3回としkeepalive失敗時にSAを削除するように設定します。IPsecローカルポリシー1と関連づけを行います。responderIPsecトンネルポリシーの説明としてNXR_C、ネゴシエーションモードとしてresponderを設定します。SAのライフタイムとして3600秒を設定します。NXR_CISAKMPポリシー2と関連づけを行い、IPsecアクセスリストNXR_Cを設定します。NXR_Bトンネル1インタフェースで使用するトンネルモードを設定します。トンネルインタフェースの説明としてNXR_Bを設定します。トンネルインタフェースをGREで使用する場合はgreを設定します。192.168.20.1トンネルの送信元,宛先IPアドレスを設定します。MSSの調整機能をオートに設定します。TTL値を設定します。NXR_Cトンネル2インタフェースで使用するトンネルモードをgreに設定します。トンネルインタフェースの説明としてNXR_Cを設定します。192.168.30.1トンネルの送信元,宛先IPアドレスを設定します。MSSの調整機能をオートに設定します。TTL値を設定します。10.10.10.1/30ethernet1インタフェースのIPアドレスを設定します。spi-filterIPマスカレード、ステートフルパケットインスペクションを有効に設定します。IPアクセスリストeth1_inをinフィルタに適用します。1IPsecトンネルのエンドポイントとなるためIPsecローカルポリシー1を設定します。10.10.10.2DNSサービスを有効にします。プライマリDNSサーバアドレスを設定します。enableファストフォワーディングを有効にします。ファストフォワーディングを設定することによりパケット転送の高速化を行うことができます。ファストフォワーディングの詳細および利用時の制約については、NXR,WXRシリーズのユーザーズガイド(CLI版)に記載されているファストフォワーディングの解説をご参照ください。NXR_Bホスト名を設定します。192.168.20.1/24ethernet0インタフェースのIPアドレスを設定します。1LAN_A向けのルートを設定します。0デフォルトルートを設定します。50IPアクセスリスト名をppp0_inとし、送信元がルータNXR_AのWAN側IPアドレス10.10.10.1、宛先IPアドレスが10.10.20.1のIKEパケット(UDPポート500番)、ESPパケット(プロトコル番号50)を許可します。このIPアクセスリスト設定はppp0インタフェース設定で登録します。192.168.10.1/32NXR_Aという名前のIPsecアクセスリストを設定します。送信元IPアドレスはルータNXR_BのLAN側IPアドレス,宛先IPアドレスはルータNXR_AのLAN側IPアドレスとします。ipIPsecトンネルの送信元IPアドレスにip(IPv4)を設定します。ipseckey1ISAKMPポリシーの説明としてNXR_A、認証方式としてpre-share(事前共有鍵)を選択し、事前共有鍵ipseckey1を設定します。ISAKMPポリシー1と共通の値を設定します。SAのライフタイムとして10800秒、フェーズ1のネゴシエーションモードとしてメインモードを設定します。1リモートアドレスにルータNXR_AのWAN側IPアドレスを設定します。KeepAlive(DPD)を監視間隔30秒,リトライ回数3回としkeepalive失敗時にSAを削除しIKEのネゴシエーションを開始するように設定します。IPsecローカルポリシー1と関連づけを行います。autoIPsecトンネルポリシーの説明としてNXR_A、ネゴシエーションモードとしてautoを設定します。SAのライフタイムとして3600秒を設定します。NXR_AISAKMPポリシー1と関連づけを行い、IPsecアクセスリストNXR_Aを設定します。NXR_Aトンネル1インタフェースで使用するトンネルモードを設定します。トンネルインタフェースの説明としてNXR_Aを設定します。トンネルインタフェースをGREで使用する場合はgreを設定します。192.168.10.1トンネルの送信元,宛先IPアドレスを設定します。MSSの調整機能をオートに設定します。TTL値を設定します。test2passppp0インタフェースで使用するISP接続用ユーザID,パスワードを設定します。ここで設定したアカウントはppp0インタフェースの設定で利用します。10.10.20.1/32ppp0インタフェースのIPアドレスを設定します。autoIPマスカレード、ステートフルパケットインスペクションを有効に設定します。IPアクセスリストppp0_inをinフィルタに適用します。MSSの調整機能をオートに設定します。1ISP接続用ユーザIDを設定します。IPsecトンネルのエンドポイントとなるためIPsecローカルポリシー1を設定します。0PPPoEクライアントとしてppp0インタフェースを使用できるように設定します。enableDNSサービスを有効にします。enableファストフォワーディングを有効にします。NXR_Cホスト名を設定します。192.168.30.1/24ethernet0インタフェースのIPアドレスを設定します。1LAN_A向けのルートを設定します。0デフォルトルートを設定します。50IPアクセスリスト名をppp0_inとし、送信元がルータNXR_AのWAN側IPアドレス10.10.10.1のIKEパケット(UDPポート500番)、ESPパケット(プロトコル番号50)を許可します。このIPアクセスリスト設定はppp0インタフェース設定で登録します。192.168.10.1/32NXR_Aという名前のIPsecアクセスリストを設定します。送信元IPアドレスはルータNXR_CのLAN側IPアドレス,宛先IPアドレスはルータNXR_AのLAN側IPアドレスとします。nxrcIPsecトンネルの送信元IPアドレスにip(IPv4)を設定します。ISAKMPポリシー2のリモートIDと同じIDを設定します。ipseckey2ISAKMPポリシーの説明としてNXR_A、認証方式としてpre-share(事前共有鍵)を選択し、事前共有鍵ipseckey2を設定します。ISAKMPポリシー2と共通の値を設定します。SAのライフタイムとして10800秒、フェーズ1のネゴシエーションモードとしてアグレッシブモードを設定します。1リモートアドレスにルータNXR_AのWAN側IPアドレスを設定します。KeepAlive(DPD)を監視間隔30秒,リトライ回数3回としkeepalive失敗時にSAを削除しIKEのネゴシエーションを開始するように設定します。IPsecローカルポリシー1と関連づけを行います。autoIPsecトンネルポリシーの説明としてNXR_A、ネゴシエーションモードとしてautoを設定します。SAのライフタイムとして3600秒を設定します。NXR_AISAKMPポリシー1と関連づけを行い、IPsecアクセスリストNXR_Aを設定します。NXR_Aトンネル1インタフェースで使用するトンネルモードを設定します。トンネルインタフェースの説明としてNXR_Aを設定します。トンネルインタフェースをGREで使用する場合はgreを設定します。192.168.10.1トンネルの送信元,宛先IPアドレスを設定します。MSSの調整機能をオートに設定します。TTL値を設定します。[パスワード]ppp0インタフェースで使用するPPP接続用ユーザID,パスワードを設定します。ここで設定したアカウントはppp0インタフェースの設定で利用します。negotiatedppp0インタフェースのIPアドレスが動的IPアドレスのためnegotiatedを設定します。autoIPマスカレード、ステートフルパケットインスペクションを有効に設定します。IPアクセスリストppp0_inをinフィルタに適用します。MSSの調整機能をオートに設定します。[PDPタイプ]PPP接続用ユーザIDを設定します。APN,CID,PDPタイプを設定します。30発信用の電話番号およびダイアルタイムアウトを設定します。ここで設定する電話番号はSIMカードの電話番号ではありません。1IPsecトンネルのエンドポイントとなるためIPsecローカルポリシー1を設定します。error-recovery-reset通信モジュールとの通信に重大な問題が発生する可能性が高いと判断した場合、通信モジュールのリセットを行うように設定します。resetPPP接続時に網側から切断された場合、通信モジュールのリセットを行うように設定します。0mobile1と認識されている通信モジュールとppp0インタフェースの関連づけを行います。通信モジュールをPPPインタフェースで使用する場合は、mobileコマンドによるPPPインタフェースへの関連付けが必要になります。enableDNSサービスを有効にします。情報セキュリティ基本方針。