YAMAHA RTシリーズの接続事例集 / VPNクライアントソフトとの接続

YAMAHA RTシリーズの接続事例集 / VPNクライアントソフトとの接続

NET-G Secure VPN Clientとの接続

[確認機種、ソフト]

NET-G Secure VPN Client (Version 2.1.1以降)
ファームウェアRevision 7.00.29、7.01.34、8.02.19以降
（対応機種：RTX2000、RTX1500、RTX1000）

[接続条件]

RTとVPNクライアントとの間で設定を合わせる必要のある項目と本設定例で設定している値については下記の通りです。

設定例中の目印	パラメータ名	本設定例での設定値
*1	暗号方式	AES
*2	IKEが用いるグループ	modp1024
*3	事前共有キー	test
*4	VPNクライアントのローカル名	pc1
*5	整合性	md5

※このページに含まれる画面データなどは、NET-G Secure VPN Client Ver2.1.1でのものです。

本資料では、下記のような構成でPC1よりRTX1000に対してVPNトンネルをつなぎ、10.1.1.0/24のネットワークとの通信を可能とするまでの設定の例を説明します。（RT300iはネットワークをわけるために挟んでいるだけで、経路の設定くらいしかしていません。RT300iの部分をインターネットに置き換えて考えていただけば、ダイアルアップでインターネットVPNを実施する時の参考となるかと思います）

      PC2
        | .2
  ------+------------+--------------- 10.1.1.0/24
                     | .1
                 +--------+
                 | RTX1000|
                 +--------+
                     | .150
         ----+-------+--------------- 192.168.0.0/24
             | .253
         +--------+
         | RT300i |
         +--------+
             | .254
      -------+--------+-------------- 192.168.20.0/24
                      | IPアドレスを取得
                     PC1

[RTの設定例]

ネットワーク構成例におけるRTX1000の設定例です。

ip lan1 address 10.1.1.1/24
ip lan2 address 192.168.0.150/24
tunnel select 1
ipsec tunnel 101
tunnel enable 1
ip route 192.168.20.0/24 gateway 192.168.0.253
ip route 10.1.2.100 gateway tunnel 1
ipsec auto refresh on
ipsec ike encryption 1 aes-cbc ........................(*1)
ipsec ike group 1 modp1024 ............................(*2)
ipsec ike pre-shared-key 1 text test ..................(*3)
ipsec ike remote address 1 any
ipsec ike remote name 1 pc1 ...........................(*4)
ipsec sa policy 101 1 esp aes-cbc md5-hmac ............(*1)(*5)

[NET-G Secure VPN Clientの設定手順]

Preshared Keyの登録
Security Gatewayの登録

Preshared Keyの登録
NET-G Secure VPN Clientポリシーエディタの鍵管理タブを開き、自分の鍵をクリックします。

[ 設定画面 1-1 ]

「自分の鍵」を選択した状態で、右クリックでポップアップメニューより"追加"をします。すると次のようが画面が開きます。

[ 設定画面 1-2 ]

"既知共有鍵を作成する"を選択して"次へ（N)"ボタンを押してください。すると、次のような画面が表示されます。

[ 設定画面 1-3 ]

共有シークレットの設定を行い（*3）、"完了 "ボタンを押してください。ここで作成した鍵は鍵管理画面（設定画面1-1）に表示されていますので、それをクリックして"プロパティ"ボタンを押してください。(この例ではTestKeyという名前で登録されています) 次のような既知共有鍵のプロパティ編集画面が表示されますので、IDタブを開いて"Local"側のプライマリIDの設定を行ってください。
この例ではpre-sharedkeyには"test"と設定しています。Nameのフィールドに指定しているTestKeyはただの名前であって、ルータ側の設定にはなんら関係のないことに注意してください。

[ 設定画面 1-4 ]

ここで、プライマリIDはホストドメイン名を選択するようにして下さい。ホストドメイン名にはこの例ではpc1と設定します（*4）。この設定内容はRTの設定内容の "ipsec ike remote name 1 pc1" と対応します。お客様の環境にあわせて名前は変更してください。

ここまで設定が終わったら、 NET-G Secure VPN Clientポリシーエディタの下部にある"適用(A)"ボタンを押してください。
（"適用"ボタンを押しませんと、次のSecurity Gatewayの設定に支障がでますので、忘れずに操作するようにお願いします)
SecurityGatewayの登録
NET-G Secure VPN Client ポリシーエディタのセキュリィティポリシータブを開き、VPN接続をクリックします。
[ 設定画面 2-1 ]

右クリックし、ポップアップメニューより"規則を追加"を選択してください。次のような画面が開かれます。

[ 設定画面 2-2 ]

ここでは、SecurityGatewayとの接続の設定を行います。まず一番上段の "ゲートウェイ名"を設定してください。次に下段の認証鍵に「1.Preshared keyの設定」で登録した認証鍵を選択してください。
(1. Preshared Keyの登録の操作を完了していれば、その名前が選択可能となっています）
中段のRemote networkには選択できる項目として最初は"any"しかないはずですが、この中段のプルダウンメニューの右側にある"..."ボタンを押してください。すると次のような画面が開かれます。

[ 設定画面 2-3 ]

ここで、プライベートネットワークの設定を行うことができます。この例ではプライベートネットワークは10.1.1.0/24で構成されているとしています。（構成図参照）この設定をして"OK"ボタンを押してください。 VPN接続を追加画面で新規の登録したプライベートネットワークを選択して、画面下部にある"プロパティ"ボタンを押してください。すると次のような画面が開かれます。

[ 設定画面 2-4 ]

この画面ではさらに詳細な設定をします。まず、"設定..."と表示されているボタンが3つありますが、そのうち一番上のボタンを押してください。 (上図のプルダウンメニューで"normal"と表示されている直下のボタンです）

[ 設定画面 2-5 ]

ここで暗号化方式などを選択できます(*1)(*2)(*5)。（この例ではAES-128を使います)
IKE modeを"aggressive mode"に設定するのを忘れないで下さい。

次に規則のプロパティ画面(設定画面 2-4)の中央部にある "仮想IPアドレスを取得する"のチェックを入れ、その右側にある "設定..."ボタンを押してください。

[ 設定画面 2-6 ]

ここではプライベートネットワークにアクセスする際にこのPCが仮想的に使うIPアドレスの設定を行います。プロトコルは"手動で指定"を選択し、IP address等を入力してください。
ここの設定はルータの経路設定の一致している必要があります。この例ではRTの設定内容の"ip route 10.1.2.100 gateway tunnel 1"が該当します。
後は、ポリシーエディタで開かれているすべてのサブ画面で"OK"ボタンを押して設定を完了してください。

ここまでで設定は完了です。接続を実行した際にうまくつながらない場合は次の点を再度ご確認ください。

[トラブルシューティング]

鍵交換ができない場合
- NET-G Secure VPN Client側とRT側のPreshared keyに不一致がないかどうか。（設定画面1-3参照）
- NET-G Secure VPN Client側とRT側の暗号化アルゴリズムに不一致がないかとうか。（設定画面2-5参照）
- NET-G Secure VPN Clientはaggressiveモードの設定になっているかどうか。（設定画面2-5参照）
- NET-G Secure VPN Client側で既知共有鍵の設定において "ID"の設定と RTの"ipsec ike remote name"の設定に不一致がないかどうか。（設定画面1-4参照）
鍵交換はできたが、通信ができない場合
- NET-G Secure VPN ClientでのPCの仮想アドレス設定とRTの経路設定に問題がないかどうか。（設定画面2-6参照）

[関連リンク]

NET-G Secure VPN Clientの紹介

[ RTpro / ヤマハ / 技術資料 / 設定例集 / RT's FAQ / マニュアル ]