RTシリーズのIPsec&IKE&VPN&...に関するFAQ
トンネルを通るパケットの流れ
最終変更日 | 2018/Nov/06 |
文書サイズ | 66KB |
トンネルを通るパケットは、どのように流れるのですか?
RTでトンネルインタフェースを通るパケットの流れを説明します。
[ 目次 ]
[ 説明のための構成 ]
<インターネット> 〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜 | | | | プロバイダ#A プロバイダ#B # # # 専用線 VPN 専用線 # # ??????????????????????????????????????????????? # # ? ? # +-------------------+ +-------------------+ | [BRI] [tunnel] | | [tunnel] [BRI] | | | | | | RT(A) | | RT(B) | | | | | | [LAN] | | [LAN] | +---------+---------+ +---------+---------+ | 172.16.184.33(1) 172.16.186.33(1) | | 192.168.0.1(2) 192.168.1.1(2) | | 172.16.184.32/28(g) 172.16.186.32/28(g) | | 192.168.0.0/24(p) 192.168.1.0/24(p) | ----------+----------------------- -----------------------+---------- | | |172.16.184.34 172.16.186.34| PC(A) PC(B)
SGWアドレス1 | 172.16.184.33…RT(A) |
SGWアドレス2 | 172.16.186.33…RT(B) |
事前共有鍵 | "RT(A)-RT(B)間の事前共有鍵" |
トンネルモード | ESP, 暗号(des-cbc), 認証(md5-hmac) |
ルーティング | グローバルとプライベートの両方をVPNで通信 |
トンネルNAT | 使用しない |
項目 | 内容 |
---|---|
アクセス回線 | 128Kbps専用線 PPP unnumberd |
グローバルアドレス | 172.16.184.32〜172.16.184.47 (16個)
|
ネットマスク | 255.255.255.240 (28ビット) |
ルータアドレス | 172.16.184.33 |
global | |
種類 | IPアドレスなど |
---|---|
ネットワーク | 172.16.184.32 or 172.16.184.32/28 |
ネットマスク | 255.255.255.240 (28ビット) |
ブロードキャスト | 172.16.184.47 |
ルータ | 172.16.184.33 ↓ default, 192.168.0.0/24 |
PC (A) | 172.16.184.34 |
アドレス変換ルール global | private |
172.16.184.46 | 192.168.0.1〜192.168.0.254 |
空き | 172.16.184.35〜172.16.184.45 |
private | |
種類 | IPアドレスなど |
ネットワーク | 192.168.0.0 or 192.168.0.0/24 |
ネットマスク | 255.255.255.0 (24ビット) |
ブロードキャスト | 192.168.0.255 |
ルータ | 192.168.0.1 ↓ default, 172.16.184.32/28 |
空き | 192.168.0.2〜192.168.0.254 |
IPアドレス | 割り当て | DHCPスコープ番号 |
---|---|---|
global | ||
172.16.184.32 | network address | − |
172.16.184.33 | ルータ(primary) | − |
172.16.184.34 | PC(A) | − |
172.16.184.35 〜 172.16.184.45 | ホスト | 1 |
172.16.184.46 | IPマスカレード | − |
172.16.184.47 | (directed) broadcast address | − |
255.255.255.240 (28ビット) | subnet mask | − |
private | ||
192.168.0.0 | network address | − |
192.168.0.1 | ルータ(secondary) | − |
192.168.0.2 〜 192.168.0.254 | ホスト | − |
192.168.0.255 | (directed) broadcast address | − |
255.255.255.0 (24ビット) | subnet mask | − |
255.255.255.255 | limited broadcast address | − |
項目 | 内容 |
---|---|
アクセス回線 | 128Kbps専用線 PPP unnumberd |
グローバルアドレス | 172.16.186.32〜172.16.186.47 (16個)
|
ネットマスク | 255.255.255.240 (28ビット) |
ルータアドレス | 172.16.186.33 |
global | |
種類 | IPアドレスなど |
---|---|
ネットワーク | 172.16.186.32 or 172.16.186.32/28 |
ネットマスク | 255.255.255.240 (28ビット) |
ブロードキャスト | 172.16.186.47 |
ルータ | 172.16.186.33 ↓ default, 192.168.1.0/24 |
PC (B) | 172.16.186.34 |
アドレス変換ルール global | private |
172.16.184.46 | 192.168.1.1〜192.168.1.254 |
空き | 172.16.186.35〜172.16.186.45 |
private | |
種類 | IPアドレスなど |
ネットワーク | 192.168.1.0 or 192.168.1.0/24 |
ネットマスク | 255.255.255.0 (24ビット) |
ブロードキャスト | 192.168.1.255 |
ルータ | 192.168.1.1 ↓ default, 172.16.186.32/28 |
空き | 192.168.1.2〜192.168.1.254 |
IPアドレス | 割り当て | DHCPスコープ番号 |
---|---|---|
global | ||
172.16.186.32 | network address | − |
172.16.186.33 | ルータ(primary) | − |
172.16.186.34 | PC(A) | − |
172.16.186.35 〜 172.16.186.45 | ホスト | 1 |
172.16.186.46 | IPマスカレード | − |
172.16.186.47 | (directed) broadcast address | − |
255.255.255.240 (28ビット) | subnet mask | − |
private | ||
192.168.1.0 | network address | − |
192.168.1.1 | ルータ(secondary) | − |
192.168.1.2 〜 192.168.1.254 | ホスト | − |
192.168.1.255 | (directed) broadcast address | − |
255.255.255.0 (24ビット) | subnet mask | − |
255.255.255.255 | limited broadcast address | − |
宛先/ネットマスク | 次のホップ | 生成コマンド |
---|---|---|
default | PP[LEASED] or PP[01] | ip pp route add net |
172.16.186.33 | PP[LEASED] or PP[01] | ip pp route add host |
172.16.186.32/28 | TUNNEL[01] | ip tunnel route add net |
192.168.1.0/24 | TUNNEL[01] | ip tunnel route add net |
172.16.184.32/28 | LAN1(172.16.184.33) | ip lan1 address |
192.168.0.0/24 | LAN1(192.168.0.1) | ip lan1 secondary address |
<外側> …PPインタフェース側 +------------+ | ☆ | …外側アドレス (グローバル・アドレス) | ↑ | | | | | ▲ | …1組のIPマスカレード変換 | / \ | | ↑↑↑↑↑ | | ○○○○○ | …内側アドレス (プライベート・アドレス) +------------+ <内側> …ルーティング側
項目 | 内容 | 生成コマンド |
---|---|---|
適用インタフェース | PP[LEASED] PP[01] | pp select leased pp select 1 |
NAT | 使用する | nat use on |
IPマスカレード | 使用する | nat masqerade on |
グローバルIPアドレス | 172.16.184.46 | nat address global |
プライベートIPアドレス | 192.168.0.1〜192.168.0.254 | nat address private |
静的なNAT設定 | なし | nat address global |
静的IPマスカレード | なし |
項目 | 内容 | 生成コマンド |
---|---|---|
NATディスクリプタ番号 | 1 | |
タイプ | masquerade | nat descriptor type |
外側アドレス | 172.16.184.46 | nat descriptor outer address |
内側アドレス | 192.168.0.1-192.168.0.254 | nat descriptor inner address |
静的なNAT設定 | なし | nat descriptor static |
静的IPマスカレード | なし | nat descriptor masquerade static |
適用インタフェース | PP[LEASED] or PP[01] | ip pp nat descriptor |
SGW定義 | |
---|---|
SGWアドレス | 172.16.186.33 |
RT(A)-RT(B)事前共有鍵 | "RT(A)-RT(B)間の事前共有鍵" |
IPsecポリシーの定義 | |
ポリシー識別番号 | 101 |
形式 | ESP |
暗号 | des-cbc |
認証 | md5-hmac |
トンネルの定義 | |
トンネルIF番号 | 1 |
ボリシー番号 | 101 |
# # RTに関する設定 # pp line l128 ip lan address 172.16.184.33/28 ip lan secondary address 192.168.0.1/24 ip lan routing protocol none # # NATディスクリプタの設定 # nat descriptor type 1 masquerade nat descriptor address outer 1 172.16.184.46 nat descriptor address inner 1 192.168.0.1-192.168.0.254 # # 鍵交換に関する設定 (IPsecリリース3) # ipsec auto refresh on ipsec ike remote address 1 172.16.186.33 !# !# 鍵交換に関する設定 (IPsecリリース1,2) !# !ipsec auto refresh on !ipsec ike host 172.16.186.33 # # トンネル(VPN)に関する設定 # ipsec pre-shared-key 172.16.186.33 "RT(A)-RT(B)間の事前共有鍵" ipsec sa policy 101 172.16.186.33 esp des-cbc md5-hmac # tunnel select 1 ip tunnel route add net 172.16.186.32/28 1 ip tunnel route add net 192.168.1.0/24 1 ipsec tunnel 101 tunnel enable 1 # # 接続相手(OCNエコノミー,専用線)に関する設定 # pp select leased ip pp route add net default 1 ip pp route add host 172.16.186.33 1 ip pp nat descriptor 1 pp enable leased # # 保存と再起動 # save restart
# # RTに関する設定 # bri line 1 l128 ip lan address 172.16.184.33/28 ip lan secondary address 192.168.0.1/24 ip lan routing protocol none # # NATディスクリプタの設定 # nat descriptor type 1 masquerade nat descriptor address outer 1 172.16.184.46 nat descriptor address inner 1 192.168.0.1-192.168.0.254 # # 鍵交換に関する設定 (IPsecリリース3) # ipsec auto refresh on ipsec ike remote address 1 172.16.186.33 !# !# 鍵交換に関する設定 (IPsecリリース1,2) !# !ipsec auto refresh on !ipsec ike host 172.16.186.33 # # トンネル(VPN)に関する設定 # ipsec pre-shared-key 172.16.186.33 "RT(A)-RT(B)間の事前共有鍵" ipsec sa policy 101 172.16.186.33 esp des-cbc md5-hmac # tunnel select 1 ip tunnel route add net 172.16.186.32/28 1 ip tunnel route add net 192.168.1.0/24 1 ipsec tunnel 101 tunnel enable 1 # # 接続相手(OCNエコノミー,専用線)に関する設定 # pp select 1 pp bind bri 1 ip pp route add net default 1 ip pp route add host 172.16.186.33 1 ip pp nat descriptor 1 pp enable 1 # # 保存と再起動 # save restart
# # RTに関する設定 # pp line l128 ip lan address 172.16.184.33/28 ip lan secondary address 192.168.0.1/24 ip lan routing protocol none # # 鍵交換に関する設定 (IPsecリリース3) # ipsec auto refresh on ipsec ike remote address 1 172.16.186.33 !# !# 鍵交換に関する設定 (IPsecリリース1,2) !# !ipsec auto refresh on !ipsec ike host 172.16.186.33 # # トンネル(VPN)に関する設定 # ipsec pre-shared-key 172.16.186.33 "RT(A)-RT(B)間の事前共有鍵" ipsec sa policy 101 172.16.186.33 esp des-cbc md5-hmac # tunnel select 1 ip tunnel route add net 172.16.186.32/28 1 ip tunnel route add net 192.168.1.0/24 1 ipsec tunnel 101 tunnel enable 1 # # 接続相手(OCNエコノミー,専用線)に関する設定 # pp select leased ip pp route add net default 1 ip pp route add host 172.16.186.33 1 nat use on nat masquerade on nat address global 172.16.184.46 nat address private 192.168.0.1-192.168.0.254 pp enable leased # # 保存と再起動 # save restart
# # RTに関する設定 # bri line 1 l128 ip lan address 172.16.184.33/28 ip lan secondary address 192.168.0.1/24 ip lan routing protocol none # # 鍵交換に関する設定 (IPsecリリース3) # ipsec auto refresh on ipsec ike remote address 1 172.16.186.33 !# !# 鍵交換に関する設定 (IPsecリリース1,2) !# !ipsec auto refresh on !ipsec ike host 172.16.186.33 # # トンネル(VPN)に関する設定 # ipsec pre-shared-key 172.16.186.33 "RT(A)-RT(B)間の事前共有鍵" ipsec sa policy 101 172.16.186.33 esp des-cbc md5-hmac # tunnel select 1 ip tunnel route add net 172.16.186.32/28 1 ip tunnel route add net 192.168.1.0/24 1 ipsec tunnel 101 tunnel enable 1 # # 接続相手(OCNエコノミー,専用線)に関する設定 # pp select 1 pp bind bri 1 ip pp route add net default 1 ip pp route add host 172.16.186.33 1 nat use on nat masquerade on nat address global 172.16.184.46 nat address private 192.168.0.1-192.168.0.254 pp enable 1 # # 保存と再起動 # save restart
宛先/ネットマスク | 次のホップ | 生成コマンド |
---|---|---|
default | PP[LEASED] or PP[01] | ip pp route add net |
172.16.184.33 | PP[LEASED] or PP[01] | ip pp route add host |
172.16.184.32/28 | TUNNEL[01] | ip tunnel route add net |
192.168.0.0/24 | TUNNEL[01] | ip tunnel route add net |
172.16.186.32/28 | LAN1(172.16.186.33) | ip lan1 address |
192.168.1.0/24 | LAN1(192.168.1.1) | ip lan1 secondary address |
<外側> …PPインタフェース側 +------------+ | ☆ | …外側アドレス (グローバル・アドレス) | ↑ | | | | | ▲ | …1組のIPマスカレード変換 | / \ | | ↑↑↑↑↑ | | ○○○○○ | …内側アドレス (プライベート・アドレス) +------------+ <内側> …ルーティング側
項目 | 内容 | 生成コマンド |
---|---|---|
適用インタフェース | PP[LEASED] PP[01] | pp select leased pp select 1 |
NAT | 使用する | nat use on |
IPマスカレード | 使用する | nat masqerade on |
グローバルIPアドレス | 172.16.186.46 | nat address global |
プライベートIPアドレス | 192.168.1.1〜192.168.1.254 | nat address private |
静的なNAT設定 | なし | nat address global |
静的IPマスカレード | なし |
項目 | 内容 | 生成コマンド |
---|---|---|
NATディスクリプタ番号 | 1 | |
タイプ | masquerade | nat descriptor type |
外側アドレス | 172.16.186.46 | nat descriptor outer address |
内側アドレス | 192.168.1.1-192.168.1.254 | nat descriptor inner address |
静的なNAT設定 | なし | nat descriptor static |
静的IPマスカレード | なし | nat descriptor masquerade static |
適用インタフェース | PP[LEASED] or PP[01] | ip pp nat descriptor |
SGW定義 | |
---|---|
SGWアドレス | 172.16.184.33 |
RT(A)-RT(B)事前共有鍵 | "RT(A)-RT(B)間の事前共有鍵" |
IPsecポリシーの定義 | |
ポリシー識別番号 | 101 |
形式 | ESP |
暗号 | des-cbc |
認証 | md5-hmac |
トンネルの定義 | |
トンネルIF番号 | 1 |
ボリシー番号 | 101 |
# # RTに関する設定 # pp line l128 ip lan address 172.16.186.33/28 ip lan secondary address 192.168.1.1/24 ip lan routing protocol none # # NATディスクリプタの設定 # nat descriptor type 1 masquerade nat descriptor address outer 1 172.16.186.46 nat descriptor address inner 1 192.168.1.1-192.168.1.254 # # 鍵交換に関する設定 (IPsecリリース3) # ipsec auto refresh on ipsec ike remote address 1 172.16.184.33 !# !# 鍵交換に関する設定 (IPsecリリース1,2) !# !ipsec auto refresh on !ipsec ike host 172.16.184.33 # # トンネル(VPN)に関する設定 # ipsec pre-shared-key 172.16.184.33 "RT(A)-RT(B)間の事前共有鍵" ipsec sa policy 101 172.16.184.33 esp des-cbc md5-hmac # tunnel select 1 ip tunnel route add net 172.16.184.32/28 1 ip tunnel route add net 192.168.0.0/24 1 ipsec tunnel 101 tunnel enable 1 # # 接続相手(OCNエコノミー,専用線)に関する設定 # pp select leased ip pp route add net default 1 ip pp route add host 172.16.184.33 1 ip pp nat descriptor 1 pp enable leased # # 保存と再起動 # save restart
# # RTに関する設定 # bri line 1 l128 ip lan address 172.16.186.33/28 ip lan secondary address 192.168.1.1/24 ip lan routing protocol none # # NATディスクリプタの設定 # nat descriptor type 1 masquerade nat descriptor address outer 1 172.16.186.46 nat descriptor address inner 1 192.168.1.1-192.168.1.254 # # 鍵交換に関する設定 (IPsecリリース3) # ipsec auto refresh on ipsec ike remote address 1 172.16.184.33 !# !# 鍵交換に関する設定 (IPsecリリース1,2) !# !ipsec auto refresh on !ipsec ike host 172.16.184.33 # # トンネル(VPN)に関する設定 # ipsec pre-shared-key 172.16.184.33 "RT(A)-RT(B)間の事前共有鍵" ipsec sa policy 101 172.16.184.33 esp des-cbc md5-hmac # tunnel select 1 ip tunnel route add net 172.16.184.32/28 1 ip tunnel route add net 192.168.0.0/24 1 ipsec tunnel 101 tunnel enable 1 # # 接続相手(OCNエコノミー,専用線)に関する設定 # pp select 1 pp bind bri 1 ip pp route add net default 1 ip pp route add host 172.16.184.33 1 ip pp nat descriptor 1 pp enable 1 # # 保存と再起動 # save restart
# # RTに関する設定 # pp line l128 ip lan address 172.16.186.33/28 ip lan secondary address 192.168.1.1/24 ip lan routing protocol none # # 鍵交換に関する設定 (IPsecリリース3) # ipsec auto refresh on ipsec ike remote address 1 172.16.184.33 !# !# 鍵交換に関する設定 (IPsecリリース1,2) !# !ipsec auto refresh on !ipsec ike host 172.16.184.33 # # トンネル(VPN)に関する設定 # ipsec pre-shared-key 172.16.184.33 "RT(A)-RT(B)間の事前共有鍵" ipsec sa policy 101 172.16.184.33 esp des-cbc md5-hmac # tunnel select 1 ip tunnel route add net 172.16.184.32/28 1 ip tunnel route add net 192.168.0.0/24 1 ipsec tunnel 101 tunnel enable 1 # # 接続相手(OCNエコノミー,専用線)に関する設定 # pp select leased ip pp route add net default 1 ip pp route add host 172.16.184.33 1 nat use on nat masquerade on nat address global 172.16.186.46 nat address private 192.168.1.1-192.168.1.254 pp enable leased # # 保存と再起動 # save restart
# # RTに関する設定 # bri line 1 l128 ip lan address 172.16.186.33/28 ip lan secondary address 192.168.1.1/24 ip lan routing protocol none # # 鍵交換に関する設定 (IPsecリリース3) # ipsec auto refresh on ipsec ike remote address 1 172.16.184.33 !# !# 鍵交換に関する設定 (IPsecリリース1,2) !# !ipsec auto refresh on !ipsec ike host 172.16.184.33 # # トンネル(VPN)に関する設定 # ipsec pre-shared-key 172.16.184.33 "RT(A)-RT(B)間の事前共有鍵" ipsec sa policy 101 172.16.184.33 esp des-cbc md5-hmac # tunnel select 1 ip tunnel route add net 172.16.184.32/28 1 ip tunnel route add net 192.168.0.0/24 1 ipsec tunnel 101 tunnel enable 1 # # 接続相手(OCNエコノミー,専用線)に関する設定 # pp select 1 pp bind bri 1 ip pp route add net default 1 ip pp route add host 172.16.184.33 1 nat use on nat masquerade on nat address global 172.16.186.46 nat address private 192.168.1.1-192.168.1.254 pp enable 1 # # 保存と再起動 # save restart
[ Rev.4系 ]
<インターネット> 〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜 | | プロバイダ#A プロバイダ#B : : [BRI] : ISDN回線 or 専用線 ISDN回線 or 専用線 : [BRI] : : +--------+---------------------------+ +---------------------------+--------+ | | | | | | | +-------------+ +-------------+ | | +-------------+ +-------------+ | | | BRI処理 | | SGW |━┓| |┏━| SGW | | BRI処理 | | | +-------------+ | | ┃| |┃ | | +-------------+ | | | PPP処理 | +-(↓)-+-(↑)-+ ┃| |┃ +-(↓)-+-(↑)-+ | PPP処理 | | | +-------------+ |ESP,AH|ESP,AH| ┃| |┃ |ESP,AH|ESP,AH| +-------------+ | | | | 受信 | 送信 | ┃| |┃ | 受信 | 送信 | | | | +-------------+ | ↓ | ↑ | ┃| |┃ | ↓ | ↑ | +-------------+ | | | キュー | |復号化|暗号化| ┃| |┃ |復号化|暗号化| | キュー | | | |(↓) +-----+ | | ↓ | ↑ | ┃| |┃ | ↓ | ↑ | |(↓) +-----+ | | | | |queue| | | TCP | TCP | ┃| |┃ | TCP | TCP | | |queue| | | | | +-(↑)+ | | UDP | UCP | ┃| |┃ | UDP | UCP | | +-(↑)+ | | | +-------------+ +-(↓)-+-(↑)-+ ┃| |┃ +-(↓)-+-(↑)-+ +-------------+ | | | | ┃| |┃ | | | | +--<Outer>--+ +--<Outer>--+ ┃| |┃ +--<Outer>--+ +--<Outer>--+ | | | NAT | | NAT | ┃| |┃ | NAT | | NAT | | | |+--+--+--+--+| |+--+--+--+--+| ┃| |┃ |+--+--+--+--+| |+--+--+--+--+| | | ||▲|▲|▲|▲|| ||▲|▲|▲|▲|| ┃| |┃ ||▲|▲|▲|▲|| ||▲|▲|▲|▲|| | | |+--+--+--+--+| |+--+--+--+--+| ┃| |┃ |+--+--+--+--+| |+--+--+--+--+| | | +--<Inner>--+ +--<Inner>--+ ┃| |┃ +--<Inner>--+ +--<Inner>--+ | | | | ┃| |┃ | | | | +-------------+ +-------------+ ┃| |┃ +-------------+ +-------------+ | | | IPフィルタ | | IPフィルタ | ┃| |┃ | IPフィルタ | | IPフィルタ | | | |+(↓)-+-----+| |+(↓)-+-----+| ┃| |┃ |+(↓)-+-----+| |+(↓)-+-----+| | | || in | out || || in | out || ┃| |┃ || in | out || || in | out || | | |+-----+-(↑)+| |+-----+-(↑)+| ┃| |┃ |+-----+-(↑)+| |+-----+-(↑)+| | | +-------------+ +-------------+ ┃| |┃ +-------------+ +-------------+ | | | | ┃| |┃ | | | | (PP#m) (TUNNEL#n) ┃| |┃ (TUNNEL#n) (PP#m) | | | | ┃| |┃ | | | |+------------------------------+ ┃| |┃ +------------------------------+| || IPルーティング | ┃| |┃ | IPルーティング || |+------------------------------+ ┃| |┃ +------------------------------+| | | | | ┃| |┃ | | | | | LAN1(1) LAN1(2) (自己アドレス) ┃| |┃ (自己アドレス) LAN1(2) LAN1(1) | | | | | ┃| |┃ | | | | | +-------------+ +-------------+ ┃| |┃ +-------------+ +-------------+ | | | IPフィルタ | |自己パケット | ┃| |┃ |自己パケット | | IPフィルタ | | | |+-----+-(↓)+| | の処理|━┛| |┗━| の処理| |+-----+-(↓)+| | | || in | out || +-------------+ | | +-------------+ || in | out || | | |+(↑)-+-----+| RT(A) | | RT(B) |+(↑)-+-----+| | | +-------------+ | | +-------------+ | | | | | | | | | | +--<Inner>--+ | | +--<Inner>--+ | | | NAT | | | | NAT | | | |+--+--+--+--+| | | |+--+--+--+--+| | | ||▼|▼|▼|▼|| | | ||▼|▼|▼|▼|| | | |+--+--+--+--+| | | |+--+--+--+--+| | | +--<Outer>--+ | | +--<Outer>--+ | | | | | | | | | | +-------------+ | | +-------------+ | | | キュー | | | | キュー | | | | +-(↓)+ | | | | +-(↓)+ | | | | |queue| | | | | |queue| | | | |(↑) +-----+ | | | |(↑) +-----+ | | | +-------------+ | | +-------------+ | | | | | | | | | | +-------------+ | | +-------------+ | | |Ethernet処理 | | | |Ethernet処理 | | | +-------------+ | | +-------------+ | | | | | | | | | +----+-------+-----------------------+ +-----------------------+-------+----+ | [LAN] | | [LAN] | | | 192.168.0.0/24(p) 192.168.1.0/24(p) | | | ---+----------------------- -----------------------+--- | | | | | | |192.168.0.2 192.168.1.2| | | | | 172.16.184.32/28(g) 172.16.186.32/28(g) | ---+------------------------------- -------------------------------+--- | | |172.16.184.34 172.16.186.34| PC(A) PC(B)
※基本的に「PC(B)→PC(A)」と対称
※基本的に「PC(A)→PC(B)」と対称
+--------------------------------------------------------------------------+ | +-----------------------------+ | | IKEパケット | セキュリティ・ゲートウェイ | IKEパケット | | IPsecパケット | | IPsecパケット | | ┏━━━━→ | +------------+------------+ | →━━━━┓ | | ┃ | | | | | ┃ | | ┃ | | AH,ESP受信 | AH,ESP送信 | | ┃ | | ┃ | | | | | ┃ | | ┃ | +----(↓)----+----(↑)----+ | ┃ | | ┃ | | | | | ┃ | | ┃ | | 復号化 | 暗号化 | | ┃ | | ┃ | | | | | ┃ | | ┃ | +----(↓)----+----(↑)----+ | ┃ | | ┃ +-----------------------------+ ┃ | | ┃ ↓ ↑ ┃ | | ┃ +-----------------------------+<外側> ┃ | | ┃ | | ┃ | | ┃ | NATディスクリプタ | ┃ | | ┃ | | ┃ | | ┃ | +-(1)-+-(2)-+-(3)-+-(4)-+ | ┃ | | ┃ | | ▲ | ▲ | ▲ | ▲ | | ┃ | | ┃ | +-----+-----+-----+-----+ | ┃ | | ┃ +-----------------------------+<内側> ┃ | | ┃ ↓ ↑ ┃ | | ┃ +-----------------------------+ ┃ | | ┃ | IPフィルタ | ┃ | | ┃ | +----(↓)----+----(↑)----+ | ┃ | | ┃ | | in | out | | ┃ | | ┃ | +----(↓)----+----(↑)----+ | ┃ | | ┃ +-----------------------------+ ┃ | | ┃ ↓ ↑ ┃ | | ┃ ↓ (TUNNEL#m)↑ ┃ | | ↑ ↓ ↑ ↓ | | +------------------------------------------------------------------+ | | | IPルーティング | | | +------------------------------------------------------------------+ | | | | | | (LAN) (PP#n) | | | | | | +-----------------------------+ +-----------------------------+ | | | IPフィルタ | | IPフィルタ | | | | +----(↑)----+----(↓)----+ | | +----(↑)----+----(↓)----+ | | | | | in | out | | | | in | out | | | | | +----(↑)----+----(↓)----+ | | +----(↑)----+----(↓)----+ | | | +-----------------------------+ +-----------------------------+ | | | | | | | <内側> | <内側> | | +-----------------------------+ +-----------------------------+ | | | | | | | | | NATディスクリプタ | | NATディスクリプタ | | | | | | | | | | +-(1)-+-(2)-+-(3)-+-(4)-+ | | +-(1)-+-(2)-+-(3)-+-(4)-+ | | | | | ▼ | ▼ | ▼ | ▼ | | | | ▼ | ▼ | ▼ | ▼ | | | | | +-----+-----+-----+-----+ | | +-----+-----+-----+-----+ | | | +-----------------------------+ +-----------------------------+ | | | <外側> | <外側> | | | | | | +-----------------------------+ +-----------------------------+ | | | | | | | | | パケット・キュー | | パケット・キュー | | | | | | | | | | (↑) +----(↓)----+ | | (↑) +----(↓)----+ | | | | | queue | | | | queue | | | | | (↑) +----(↓)----+ | | (↑) +----(↓)----+ | | | +-----------------------------+ +-----------------------------+ | | | | | | +-----------------------------+ +-----------------------------+ | | | イーサネットの処理 | | PPPやISDN回線の処理 | | | +-----------------------------+ +-----------------------------+ | | | | | +-----------------+------------------------------------+-------------------+ | : [LAN] | [BRI] : ISDN回線 or 専用線 | : ------------------+--------------------
[ Rev.3系 ]
<インターネット> 〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜 | | プロバイダ#A プロバイダ#B : : [BRI] : ISDN回線 or 専用線 ISDN回線 or 専用線 : [BRI] : : +--------+---------------------------+ +---------------------------+--------+ | | | | | | | +-------------+ +-------------+ | | +-------------+ +-------------+ | | | BRI処理 | | SGW |━┓| |┏━| SGW | | BRI処理 | | | +-------------+ | | ┃| |┃ | | +-------------+ | | | PPP処理 | +-(↓)-+-(↑)-+ ┃| |┃ +-(↓)-+-(↑)-+ | PPP処理 | | | +-------------+ |ESP,AH|ESP,AH| ┃| |┃ |ESP,AH|ESP,AH| +-------------+ | | | | 受信 | 送信 | ┃| |┃ | 受信 | 送信 | | | | +-------------+ | ↓ | ↑ | ┃| |┃ | ↓ | ↑ | +-------------+ | | | キュー | |復号化|暗号化| ┃| |┃ |復号化|暗号化| | キュー | | | |(↓) +-----+ | | ↓ | ↑ | ┃| |┃ | ↓ | ↑ | |(↓) +-----+ | | | | |queue| | | TCP | TCP | ┃| |┃ | TCP | TCP | | |queue| | | | | +-(↑)+ | | UDP | UCP | ┃| |┃ | UDP | UCP | | +-(↑)+ | | | +-------------+ +-(↓)-+-(↑)-+ ┃| |┃ +-(↓)-+-(↑)-+ +-------------+ | | | | ┃| |┃ | | | | +-<Global>--+ | ┃| |┃ | +-<Global>--+ | | | NAT | | ┃| |┃ | | NAT | | | |+-----------+| | ┃| |┃ | |+-----------+| | | || ▲ || | ┃| |┃ | || ▲ || | | |+-----------+| | ┃| |┃ | |+-----------+| | | +-<Private>-+ | ┃| |┃ | +-<Private>-+ | | | | ┃| |┃ | | | | +-------------+ +-------------+ ┃| |┃ +-------------+ +-------------+ | | | IPフィルタ | | IPフィルタ | ┃| |┃ | IPフィルタ | | IPフィルタ | | | |+(↓)-+-----+| |+(↓)-+-----+| ┃| |┃ |+(↓)-+-----+| |+(↓)-+-----+| | | || in | out || || in | out || ┃| |┃ || in | out || || in | out || | | |+-----+-(↑)+| |+-----+-(↑)+| ┃| |┃ |+-----+-(↑)+| |+-----+-(↑)+| | | +-------------+ +-------------+ ┃| |┃ +-------------+ +-------------+ | | | | ┃| |┃ | | | | (PP#m) (TUNNEL#n) ┃| |┃ (TUNNEL#n) (PP#m) | | | | ┃| |┃ | | | |+------------------------------+ ┃| |┃ +------------------------------+| || IPルーティング | ┃| |┃ | IPルーティング || |+------------------------------+ ┃| |┃ +------------------------------+| | | | | ┃| |┃ | | | | | LAN1(1) LAN1(2) (自己アドレス) ┃| |┃ (自己アドレス) LAN1(2) LAN1(1) | | | | | ┃| |┃ | | | | | +-------------+ +-------------+ ┃| |┃ +-------------+ +-------------+ | | | IPフィルタ | |自己パケット | ┃| |┃ |自己パケット | | IPフィルタ | | | |+-----+-(↓)+| | の処理|━┛| |┗━| の処理| |+-----+-(↓)+| | | || in | out || +-------------+ | | +-------------+ || in | out || | | |+(↑)-+-----+| RT(A) | | RT(B) |+(↑)-+-----+| | | +-------------+ | | +-------------+ | | | | | | | | | | +-------------+ | | +-------------+ | | | キュー | | | | キュー | | | | +-(↓)+ | | | | +-(↓)+ | | | | |queue| | | | | |queue| | | | |(↑) +-----+ | | | |(↑) +-----+ | | | +-------------+ | | +-------------+ | | | | | | | | | | +-------------+ | | +-------------+ | | |Ethernet処理 | | | |Ethernet処理 | | | +-------------+ | | +-------------+ | | | | | | | | | +----+-------+-----------------------+ +-----------------------+-------+----+ | [LAN] | | [LAN] | | | 192.168.0.0/24(p) 192.168.1.0/24(p) | | | ---+----------------------- -----------------------+--- | | | | | | |192.168.0.2 192.168.1.2| | | | | 172.16.184.32/28(g) 172.16.186.32/28(g) | ---+------------------------------- -------------------------------+--- | | |172.16.184.34 172.16.186.34| PC(A) PC(B)
※基本的に「PC(B)→PC(A)」と対称
※基本的に「PC(A)→PC(B)」と対称
+--------------------------------------------------------------------------+ | +-----------------------------+ | | IKEパケット | セキュリティ・ゲートウェイ | IKEパケット | | IPsecパケット | | IPsecパケット | | ┏━━━━→ | +------------+------------+ | →━━━━┓ | | ┃ | | | | | ┃ | | ┃ | | AH,ESP受信 | AH,ESP送信 | | ┃ | | ┃ | | | | | ┃ | | ┃ | +----(↓)----+----(↑)----+ | ┃ | | ┃ | | | | | ┃ | | ┃ | | 復号化 | 暗号化 | | ┃ | | ┃ | | | | | ┃ | | ┃ | +----(↓)----+----(↑)----+ | ┃ | | ┃ +-----------------------------+ ┃ | | ┃ ↓ ↑ ┃ | | ┃ +-----------------------------+ ┃ | | ┃ | IPフィルタ | ┃ | | ┃ | +----(↓)----+----(↑)----+ | ┃ | | ┃ | | in | out | | ┃ | | ┃ | +----(↓)----+----(↑)----+ | ┃ | | ┃ +-----------------------------+ ┃ | | ┃ ↓ ↑ ┃ | | ┃ ↓ (TUNNEL#m)↑ ┃ | | ↑ ↓ ↑ ↓ | | +------------------------------------------------------------------+ | | | IPルーティング | | | +------------------------------------------------------------------+ | | | | | | (LAN) (PP#n) | | | | | | +-----------------------------+ +-----------------------------+ | | | IPフィルタ | | IPフィルタ | | | | +----(↑)----+----(↓)----+ | | +----(↑)----+----(↓)----+ | | | | | in | out | | | | in | out | | | | | +----(↑)----+----(↓)----+ | | +----(↑)----+----(↓)----+ | | | +-----------------------------+ +-----------------------------+ | | | | | | | | <内側> | | | +-----------------------------+ | | | | | | | | | NAT | | | | | | | | | | +-----------------------+ | | | | | | ▼ | | | | | | +-----------------------+ | | | | +-----------------------------+ | | | | <外側> | | | | | | +-----------------------------+ +-----------------------------+ | | | | | | | | | パケット・キュー | | パケット・キュー | | | | | | | | | | (↑) +----(↓)----+ | | (↑) +----(↓)----+ | | | | | queue | | | | queue | | | | | (↑) +----(↓)----+ | | (↑) +----(↓)----+ | | | +-----------------------------+ +-----------------------------+ | | | | | | +-----------------------------+ +-----------------------------+ | | | イーサネットの処理 | | PPPやISDN回線の処理 | | | +-----------------------------+ +-----------------------------+ | | | | | +-----------------+------------------------------------+-------------------+ | : [LAN] | [BRI] : ISDN回線 or 専用線 | : ------------------+--------------------
IPsecリリースによる仕様の違いを明示することとします。
IPsecリリース1やIPsecリリース2からIPsecリリース3に移行する場合は、 「セキュリティ・ゲートウェイ機能とIPsec」の 「IPsecリリース3への設定変更の手引き」を参考にしてください。
Rev.4.00.33から追加されたダイヤルアップVPN機能により、ipsec pre-shared-keyコマンドの仕様変更 があり、コマンドもipsec ike pre-shared-keyへと変更されました。
Rev.4.00.33以降のファームウェアの場合は、 ipsec pre-shared-keyコマンドの代りにipsec ike pre-shared-keyコマンドを 設定してください。
適切に設定されれば機能するようになります。
[ 関連情報 ]
[ FAQ for RT-Series ]
[ FAQ for IPsec / files / IPsec&IKE / Internet+VPN / TCP/IP ]