Security Gateway and IPsec

ダイアルアップVPN機能の仕様

作成日 2000/Feb/07
最終変更日 2001/May/31
文書サイズ 17kB

  1. はじめに
  2. 制約事項
  3. 動作の概要
  4. コマンド仕様
  5. 設定

1. はじめに

このドキュメントでは、ダイアルアップVPN機能の仕様を説明する。ダイアルアップVPN機能は、セキュリティゲートウェイ(以下、SGWと書く) のIPアドレスが動的に変化するような環境で、 VPNを構築するための仕組みを提供するものである。

仕様変更の主軸は、SGWの識別子として「名前」を導入することである。名前は、鍵交換プロトコルIKEのメッセージの中に格納されて相手に通知される。メッセージを受けたSGWは、相手のIPアドレスではなく、通知された名前によって相手のSGWを識別する。名前は鍵交換の相手ごとに使い分けることができ、異なる相手に対しては、異なる名前を名乗ることができる。

ダイアルアップVPN機能では、SGWが非対称な役割を持って動作する。一方のSGWは、 IPアドレスが不定な相手から鍵交換を受け付け、もう一方の SGWは、IPアドレスが固定な相手に対して鍵交換を要求する。以下の文章では、「センタ−側」と「拠点側」という言葉を使って、それぞれの役割を区別する。「センター側」のSGWには固定のIPアドレスが割り当てられ、拠点側のSGWにはIPアドレスが動的に割り当てられる。鍵交換は、常に拠点側からセンター側に対して要求される。

なお、ダイアルアップVPNという言葉による誤解を避けるために補足すると、拠点側は、必ずしもWANの回線を収容している必要はなく、ローカルルータとして動作することもできる。例えば、以下の例では、 IPCPによって、SGWではない機器にIPアドレスが割り当てられている。 

 
              +-------------> ダイアルアップ ------------+ 
              |                                          |
              | 不定なアドレス(IPCP)                     |
          +--------+                                 +--------+
          | RT140i | NAT                             | RT140p |
          +--------+ (IPCP <=> 192.168.0.0/24)       +--------+
              |                                          |
   -----+-----+-- 192.168.0.0/24                    -----+-----+--
        |                                                      |
    +--------+ 拠点側                           センター側 +--------+
    | RT140e | *************** 暗号トンネル ************** | RT140e |
    +--------+                                             +--------+
        |                                                      |
    ----+------                                             ---+------

2. 制約事項

ここでは、ダイアルアップVPN機能を使用する場合の制約事項を説明する。

まず、拠点側のSGWでは、ipsec ike local addressコマンドで、自分側のIPアドレスを設定する必要がある。このIPアドレスは、必ず固定なものを選ぶ必要があるので、通常は、 LAN側に設定されたIPアドレスと同じものを設定すればよい。また、拠点側のSGWが、IPCPでIPアドレスを取得する場合には、ここで設定したアドレスとIPCPによるアドレスを NATディスクリプタで変換する。

このときに、アドレス変換の方式としてIPマスカレードを利用することができるが、鍵交換プロトコルの通信を妨げないために、UDPの500番を素通しする必要がある (5.2.の設定例を参照)。 

                +------> ダイアルアップ
                |
                |
                | pp = IPCP
        +--------------+
        |              |
        | セキュリティ |  IPマスカレード
        | ゲートウェイ |  (IPCP <=> 192.168.0.0/24)
        |              |  (udp/500は変換せずに通す)
        +--------------+
                | lan = 192.168.0.1 (自分側のSGWのアドレス)
                |       -> ipsec ike local addressとして設定 
                |
     -----------+----- 192.168.0.0/24

IPアドレスが自由に変化するため、認証ヘッダ(AH)を利用することはできない。すなわち、認証機能の利用は、暗号ペイロード(ESP)のオプションとして提供されるものに限定される。

センター側がリブートした場合には、センター側が管理していたSAは削除される。ダイアルアップVPNの場合には、センター側が拠点側に対してリブートを通知することができないため、SAの再構成は行われない。

ダイアルアップVPNの設定による他機種との相互接続性については保証しない。

3. 動作の概要

ここでは、ダイアルアップVPN機能の特徴的な動作を説明する。その他の動作については、過去に公開したドキュメントを参照されたい。

4. コマンド仕様

5. 設定