IPsec DPD

$Date: 2025/07/18 15:32:42 $

概要

DPD(Dead Peer Detection)と呼ばれる機能を提供します。 この機能の役割は、IPsecトンネルの通信断をリアルタイムに検出することであり、 従来からサポートしてきたIKE Heartbeatと同じような効果を発揮します。

IKE Heartbeatの仕様は、Internet-Draftとして提案された後、 RFCにならずに消滅しましたが、DPDの仕様はRFC3706として公開されています。 したがって、相互接続の観点ではDPDの方が問題が少ないといえます。

対応機種とファームウェアリビジョン

以下の機種およびファームウェアで、IPsec DPDが動作します。

詳細

この機能はRFC3706に基づいています。主に、次のような仕組みを提供します。

• IPsecトンネルの通信断の検出。検出にかかる時間は、 DPDメッセージの送信間隔と送信回数によります。 これらの値は設定で変更することができます。
• 通信断を契機とするバックアップ。トンネルバックアップの設定があれば、 DPDで通信断を検出したときにバックアップへ移行します。同様に、 通信の回復を検出したらバックアップから復帰します。

設定・操作方法

コマンド

ipsec ike keepalive useコマンドで設定します。

Syslog

DPDメッセージを送受信するときに、次のような書式のsyslogを出力します。 これらのsyslogはdebugレベルで出力しますが、ipsec ike keepalive logコマンドで、 出力を止めることができます。

• [IKE] DPD: send コード SA[番号] seq: シーケンス番号
• [IKE] DPD: receive コード SA[番号] seq: シーケンス番号

単語の意味は次のようになっています。

• コード ... RFC3706で定義されているもので、 R-U-THEREとR-U-THERE-ACKの2つがあります。
• 番号 ... SAの識別子で、 show ipsec saコマンドで表示されるものと同じです。
• シーケンス番号 ... R-U-THEREメッセージとR-U-THERE-ACKメッセージを対応づけるために使うものです。 最初だけは乱数で決まり、その後は1つずつ増加していきます。 それぞれのSAについて独立に管理しています。