15.20 IKE キープアライブ機能の設定

[書式]

• ipsec ike keepalive use gateway_id switch [down=disconnect] [send-only-new-sa=send]
• ipsec ike keepalive use gateway_id switch heartbeat [interval count [upwait]] [down=disconnect] [send-only-new-sa=send]
• ipsec ike keepalive use gateway_id switch icmp-echo ip_address [length=length] [interval count [upwait]] [down=disconnect]
• ipsec ike keepalive use gateway_id switch dpd [interval count [upwait]]
• ipsec ike keepalive use gateway_id switch rfc4306 [interval count [upwait]]
• no ipsec ike keepalive use gateway_id [switch ....]

[設定値及び初期値]

• gateway_id
  • [設定値] : セキュリティ・ゲートウェイの識別子
  • [初期値] : -
• switch : キープアライブの動作

  • [設定値] :

    設定値	説明
    on	キープアライブを使用する
    off	キープアライブを使用しない
    auto	対向のルーターがキープアライブを送信するときに限って送信する (heartbeat 、 rfc4306 でのみ有効 )

  • [初期値] : auto
• ip_address
  • [設定値] : ping を送信する宛先の IP アドレス (IPv4/IPv6)
  • [初期値] : -
• length
  • [設定値] : ICMP echo のデータ部の長さ (64..1500)
  • [初期値] : 64
• interval
  • [設定値] : キープアライブパケットの送信間隔秒数 (1..600)
  • [初期値] : 10
• count
  • [設定値] : キープアライブパケットが届かないときに障害とみなすまでの試行回数 (1..50)
  • [初期値] : 6
• upwait
  • [設定値] : IPsec SA が生成されてから実際にトンネルインタフェースを有効にするまでの時間 (0..1000000)
  • [初期値] : 0
• send

  • [設定値] :

    設定値	説明
    on	新旧の SA が混在する場合、新しい SA のみに対してキープアライブパケットを送信する
    off	新旧の SA が混在する場合、新旧 SA の両方に対してキープアライブパケットを送信する
    auto	新旧の SA が混在する場合、対向からの古い SA に対するキープアライブパケットを受信した場合のみ新旧 SA の両方に対してキープアライブパケットを送信し、そうでない場合は新しい SA のみに対してキープアライブパケットを送信する

  • [初期値] :
    • auto (RTX1300、RTX3510)
    • off (上記以外)

[説明]

IKE キープアライブの動作を設定する。
本コマンドは、動作するIKEのバージョンによって以下のように動作が異なる。

[ノート]

相手先が PP インタフェースの先にある場合、down オプションを指定することができる。down オプションを指定すると、キープアライブダウン検出時と IKE の再送回数満了時に PP インタフェースの切断を行うことができる。網側の状態などで PP インタフェースの再接続によりトンネル確立状態の改善を望める場合に利用することができる。

キープアライブの方式として heartbeat を使用する場合、send-only-new-sa オプションを指定することができる。send-only-new-sa オプションに on を設定すると、鍵交換後の新旧のSAが混在するときに新しい SA のみに対してキープアライブパケットを送信するようになり、鍵交換時の負荷を軽減することができる。auto を設定すると、対向からの古い SA に対するキープアライブパケットを受信した場合のみこちらからも古い SA に対してキープアライブパケットを送信し、そうでない場合は on を設定したときと同様に動作する。
send-only-new-sa オプションに対応していないファームウェアとトンネルを構築する場合は、send-only-new-sa オプションを on に設定しているとトンネルがダウンするため、auto または off に設定しておかなければならない。

length パラメータで指定するのは ICMP データ部分の長さであり、IP パケット全体の長さではない。
同じ相手に対して、複数の方法を併用することはできない。
send-only-new-sa オプションは RTX5000、RTX3500 Rev.14.00.29 以降のファームウェア、および、 Rev.14.01 系以降のすべてのファームウェアで利用でき、 auto の指定は Rev.23.00 系以降のすべてのファームウェアで利用できる。

[拡張ライセンス対応]

拡張ライセンスをインポートすると、以下のパラメーターに入力できる上限値が拡張される。

• gateway_id

  ライセンス名	拡張後の上限値 ( ライセンス本数ごとの値 )
  	1本	2本	3本	4本
  YSL-VPN-EX1	100	-	-	-
  YSL-VPN-EX3	1500	2000	2500	3000

[適用モデル]