[確認機種、ソフト]
- Sentinel (Version 1.3.1以降)
- ファームウェアRevision 6.03.08以降
（対応機種：RTX2000、RTX1000、RT300i、RT140e、RT140f、RT140i、RT140p、RT105e、RT105i、RT105p）
[接続条件]
RTとVPNクライアントとの間で設定を合わせる必要のある項目と本設定例で設定している値 については下記の通りです。| 設定例中の目印 | パラメータ名 | 本設定例での設定値 |
|---|---|---|
| *1 | 暗号方式 | AES |
| *2 | IKEが用いるグループ | modp1024 |
| *3 | 事前共有キー | test |
| *4 | VPNクライアントのローカル名 | pc1 |
| *5 | 整合性 | md5 |
[目次]
※このページに含まれる画面データなどは、SSH Sentinelでのものです。 Safenet Sentinelでは一部変更になることがありますので注意してください。
[ネットワーク構成例]
本資料では、下記のような構成でPC1よりRT300iに対してVPNトンネルをつなぎ、172.16.0.0/24のネットワークとの通信を可能とするまでの設定の例を説明します。（RT105eはネットワークをわけるために挟んでいるだけで、経路の設定くらいしかしていません。RT105eの部分をインターネットに置き換えて考えていただけば、ダイアルアップでインターネットVPNを実施する時の参考となるかと思います）
PC2
| .1
------+------------+--------------- 172.16.0.0/24
| .254
+--------+
| RT300i |
+--------+
| .254
----+-------+--------------- 192.168.0.0/24
| .253
+--------+
| RT105e |
+--------+
| .254
-------+--------+-------------- 192.168.1.0/24
| IPアドレスを取得
PC1
|
[RTの設定例]
ネットワーク構成例におけるRT300iの設定例です。
ip lan1 address 172.16.0.254/24 ip lan2 address 192.168.0.254/24 tunnel select 1 ipsec tunnel 101 tunnel enable 1 ip route 192.168.1.0/24 gateway 192.168.0.253 ip route 172.16.10.1 gateway tunnel 1 ipsec auto refresh on ipsec ike encryption 1 aes-cbc ........................(*1) ipsec ike group 1 modp1024 ............................(*2) ipsec ike pre-shared-key 1 text test ..................(*3) ipsec ike remote address 1 any ipsec ike remote name 1 pc1 ...........................(*4) ipsec sa policy 101 1 esp aes-cbc md5-hmac ............(*1)(*5) |
[Sentinelの設定手順]
- Preshared Keyの登録
Sentinel Policy EditorのKeyManagementタブを開き、My Keysをクリックします。
My Keysを選択した状態で、右クリックでポップアップメニューより"Add"をします。すると次のようが画面が開きます。
"Create a preshared key"を選択して"次へ（N)"ボタンを押してください。すると、次のような画面が表示されます。
Preshared Keyの設定を行い（*3）、"完了"ボタンを押してください。ここで作成した鍵はKeyManagement画面（設定画面1-1）に表示されていますので、それをクリックして"Properties"ボタンを押してください。(この例ではTestKeyという名前で登録されています) 次のようなPreshared Keyのproperty編集画面が表示されますので、Identityタブを開いて"Local"側のPrimaryIdentifierの設定を行ってください。
この例ではpre-sharedkeyには"test"と設定しています。Nameのフィールドに指定しているTestKeyはただの名前であって、ルータ側の設定にはなんら関係のないことに注意してください。
ここで、Primary IdentifierはHost Domain Nameを選択するようにして下さい。 Host Domain Nameにはこの例ではpc1と設定します（*4）。 この設定内容はRTの設定内容の "ipsec ike remote name 1 pc1" と対応します。お客様の環境にあわせて名前は変更してください。
ここまで設定が終わったら、 Sentinel Policy Editorの下部にある"適用(A)"ボタンを押してください。
（"適用"ボタンを押しませんと、次のSecurity Gatewayの設定に支障がでますので、 忘れずに操作するようにお願いします) - SecurityGatewayの登録
Sentinel Policy EditorのSecurity Policyタブを開き、VPN Connectionsをクリックします。
右クリックし、ポップアップメニューより"Add Rule"を選択してください。次のような画面が開かれます。
ここでは、SecurityGatewayとの接続の設定を行います。まず一番上段の"Gateway
IP address"を設定してください。次に下段のAuthentication keyに「1.
Preshared keyの設定」で登録したPreshared keyを選択してください。
(1. Preshared Keyの登録の操作を完了していれば、その名前が選択可能となっています）
中段のRemote
networkには選択できる項目として最初は"any"しかないかと思いますが、この中段のプルダウンメニューの右側にある"..."ボタンを押してください。すると次のような画面が開かれます。
ここで、プライベートネットワークの設定を行うことができます。この例ではプライベートネットワークは172.16.0.0/24で構成されているとしています。（構成図参照）この設定をして"OK"ボタンを押してください。 Add VPN Connection画面で新規の登録したプライベートネットワークを選択して、 画面下部にある"Properties"ボタンを押してください。 すると次のような画面が開かれます。
この画面ではさらに詳細な設定をします。まず、"Setting..."と表示されているボタンが3つありますが、そのうち一番上のボタンを押してください。(上図のプルダウンメニューで"normal"と表示されている直下のボタンです）
ここで暗号化方式などを選択できます(*1)(*2)(*5)。
（この例ではRijndael(AES)を使います)
IKE modeを"aggressive mode"に設定するのを忘れないで下さい。
次にRule Properties画面(設定画面 2-4)の中央部にあるAcquire virtual IP addressのチェックを入れ、その右側にある"Setting..."ボタンを押してください。
ここではプライベートネットワークにアクセスする際にこのPCが仮想的に使うIPアドレスの設定を行います。Protocolは"Specify manually"を選択し、IP address等を入力してください。
ここの設定はルータの経路設定の一致している必要があります。この例ではRTの設定内容の"ip
route 172.16.10.1 gateway tunnel 1"が該当します。
後は、Polict Editorで開かれているすべてのサブ画面で"OK"ボタンを押して設定を完了してください。
ここまでで設定は完了です。接続を実行した際にうまくつながらない場合は次の点を再度ご確認ください。
[トラブルシューティング]
- Sentinel側とRT側のPreshared keyに不一致がないかどうか。（設定画面1-3参照）
- Sentinel側とRT側の暗号化アルゴリズムに不一致がないかとうか。（設定画面2-5参照）
- Sentinelはaggressiveモードの設定になっているかどうか。（設定画面2-5参照）
- Sentinel側でPreshared Keyの設定において"Identity"の設定とRTの"ipsec ike remote name"の設定に不一致がないかどうか。（設定画面1-4参照）
- SentinelでのPCの仮想アドレス設定とRTの経路設定に問題がないかどうか。（設定画面2-6参照）
鍵交換ができない場合
鍵交換はできたが、通信ができない場合
[関連リンク]
-
Safenet Sentinelの紹介
|
|