NXR,WXRシリーズ

2-5. L2TPv3 over IPsec設定

L2TPv3だけでは通信内容を暗号化することはできませんが、IPsecトンネル内にL2TPトンネルを通すことでL2TPv3を使用する場合でも、セキュアな通信路を構築することができます。これによりインターネット網を経由する場合でも、よりセキュアな環境を実現できます。

【 構成図 】

• IPsecはPolicy Based IPsecの形式で設定します。
• この設定例では、各ルータでWAN側インタフェースから出力されるL2TPパケットをフィルタで破棄することで、IPsec SA未確立時にL2TPパケットがWAN側インタフェースから出力されることを防止します。

【 設定データ 】

〔NXR_Aの設定〕

〔NXR_Bの設定〕

〔NXR_Cの設定〕

【 設定例 】

〔NXR_Aの設定〕

〔NXR_Bの設定〕

〔NXR_Cの設定〕

【 設定例解説 】

〔NXR_Aの設定〕

1. <ホスト名の設定>

ホスト名を設定します。

2. <LAN側(ethernet0)インタフェース設定>

ethernet0インタフェースのIPアドレスを設定します。

3. <スタティックルート設定>

デフォルトルートを設定します。

4. <IPアクセスリスト設定>

IPアクセスリスト名をeth1_inとし、NXR_AのWAN側IPアドレス10.10.10.1宛のIKEパケット(UDPポート500番)、ESPパケット(プロトコル番号50)を許可します。
なお、このIPアクセスリスト設定はethernet1インタフェース設定で登録します。

IPアクセスリスト名をeth1_outとし、送信元がNXR_AのWAN側IPアドレス10.10.10.1、宛先IPアドレスが10.10.20.1のL2TPパケット(プロトコル番号115)を破棄します。
なお、このIPアクセスリスト設定はethernet1インタフェース設定で登録します。
(☞) この設定は、IPsec SA未確立時などWAN側(ethernet1)インタフェースから直接L2TPパケットを出力しないようにするための設定です。
(☞) IPアクセスリストを設定しただけではフィルタとして有効にはなりません。フィルタリングしたいインタフェースでの登録が必要になります。

5. <IPsecアクセスリスト設定>

NXR_Bという名前のIPsecアクセスリストを設定します。なお、送信元IPアドレス,宛先IPアドレスともにhostとします。
(☞) 送信元IPアドレスにhostを設定した場合は、IPsecのエンドポイントのIPアドレス(通常WAN側IPアドレス)を設定したのと同じ意味になります。また、宛先IPアドレスにhostを設定した場合は、対向ルータのIPsecのエンドポイントのIPアドレス(通常対向ルータのWAN側IPアドレス)を設定したのと同じ意味になります。

NXR_Cという名前のIPsecアクセスリストを設定します。なお、送信元IPアドレス,宛先IPアドレスともにhostとします。

6. <IPsecローカルポリシー設定>

IPsecトンネルの送信元IPアドレスをip(IPv4)と設定します。

7. <IPsec ISAKMPポリシー1設定>

ISAKMPポリシー1の説明としてNXR_B、認証方式としてpre-share(事前共有鍵)を選択し事前共有鍵ipseckey1を設定します。なお、事前共有鍵はNXR_Bと共通の値を設定します。

認証アルゴリズムとしてsha1、暗号化アルゴリズムとしてaes128，Diffie-Hellman(DH)グループとしてgroup 5、ISAKMP SAのライフタイムとして10800秒、フェーズ1のネゴシエーションモードとしてメインモードを設定します。

リモートアドレスにNXR_BのWAN側IPアドレスを設定します。また、IKE KeepAlive(DPD)を監視間隔30秒,リトライ回数3回としkeepalive失敗時にSAを削除しIKEのネゴシエーションを開始するよう設定します。そして、IPsecローカルポリシー1と関連づけを行います。

8. <IPsec トンネルポリシー1設定>

IPsecトンネルポリシー1の説明としてNXR_B、ネゴシエーションモードとしてautoを設定します。

暗号化アルゴリズムとしてaes128、認証アルゴリズムとしてsha1、PFSを有効にし、かつDHグループとしてgroup5、IPsec SAのライフタイムとして3600秒を設定します。

ISAKMPポリシー1と関連づけを行い、IPsecアクセスリストNXR_Bを設定します。

9. <IPsec ISAKMPポリシー2設定>

ISAKMPポリシー2の説明としてNXR_C、認証方式としてpre-share(事前共有鍵)を選択し事前共有鍵ipseckey2を設定します。なお、事前共有鍵はNXR_Cと共通の値を設定します。

認証アルゴリズムとしてsha1、暗号化アルゴリズムとしてaes128，Diffie-Hellman(DH)グループとしてgroup 5、ISAKMP SAのライフタイムとして10800秒、フェーズ1のネゴシエーションモードとしてアグレッシブモードを設定します。

NXR_CのWAN側IPアドレスが動的IPアドレスのため、リモートアドレスをanyとします。また、リモートIDをFQDN方式でnxrcとし、NXR_CのセルフIDと同じIDを設定します。そして、IKE KeepAlive(DPD)を監視間隔30秒,リトライ回数3回としkeepalive失敗時にSAを削除するよう設定します。さらに、IPsecローカルポリシー1と関連づけを行います。

10. <IPsec トンネルポリシー2設定>

IPsecトンネルポリシー2の説明としてNXR_C、ネゴシエーションモードとしてresponderを設定します。

暗号化アルゴリズムとしてaes128、認証アルゴリズムとしてsha1、PFSを有効にし、かつDHグループとしてgroup5、IPsec SAのライフタイムとして3600秒を設定します。

ISAKMPポリシー2と関連づけを行い、IPsecアクセスリストNXR_Cを設定します。

11. <WAN側(ethernet1)インタフェース設定>

ethernet1インタフェースのIPアドレスを設定します。

IPマスカレード、ステートフルパケットインスペクションを有効に設定します。また、IPアクセスリストeth1_inをinフィルタにeth1_outをoutフィルタに適用します。そして、TCP MSSの調整機能をオート、ICMPリダイレクト機能を無効に設定します。

IPsecトンネルのエンドポイントとなるためIPsecローカルポリシー1を設定します。

12. <L2TPv3設定>

L2TPv3のホスト名としてnxraを設定します。また、ルータIDを設定します。

MACアドレス学習機能を有効にし、エージングタイムを設定します。また、Path MTU Discoveryを有効にします。

13. <L2TPv3トンネル1設定>

L2TPv3トンネル1の説明としてNXR_B、リモートアドレスにNXR_BのWAN側IPアドレスを設定します。

NXR_BのL2TPv3ホスト名およびルータIDを設定します。そして、ベンダIDとしてietfを設定します。
(☞) L2TPv3のホスト名とルータIDはNXR_Bと同一の値を設定します。

14. <L2TPv3 Xconnect1設定>

L2TPv3 Xconnect1の説明としてNXR_B、関連づけを行うL2TPv3トンネルとしてL2TPv3トンネル1を設定します。

Xconnectインタフェースとしてethernet0インタフェースおよびリモートエンドIDを設定します。また、リトライインターバルを設定します。そして、TCP MSSの調整機能をオートに設定します。

15. <L2TPv3トンネル2設定>

L2TPv3トンネル2の説明としてNXR_Cを設定します。なお、NXR_CのWAN側IPアドレスが動的IPアドレスのため、リモートトンネルアドレスは設定しません。

NXR_CのL2TPv3ホスト名およびルータIDを設定します。そして、ベンダIDとしてietfを設定します。
(☞) L2TPv3のホスト名とルータIDはNXR_Cと同一の値を設定します。

16. <L2TPv3 Xconnect2設定>

L2TPv3 Xconnect2の説明としてNXR_C、関連づけを行うL2TPv3トンネルとしてL2TPv3トンネル2を設定します。

Xconnectインタフェースとしてethernet0インタフェースおよびリモートエンドIDを設定します。また、TCP MSSの調整機能をオートに設定します。

17. <DNS設定>

DNSサービスを有効にします。また、ルートDNSも有効に設定します。

18. <ファストフォワーディングの有効化>

ファストフォワーディングおよびL2TPv3ファストフォワーディングを有効にします。
(☞) ファストフォワーディングおよびL2TPv3ファストフォワーディングの詳細および利用時の制約については、NXR,WXRシリーズのユーザーズガイド(CLI版)に記載されているファストフォワーディングの解説をご参照ください。

〔NXR_Bの設定〕

1. <ホスト名の設定>

ホスト名を設定します。

2. <LAN側(ethernet0)インタフェース設定>

ethernet0インタフェースのIPアドレスを設定します。

3. <スタティックルート設定>

デフォルトルートを設定します。

4. <IPアクセスリスト設定>

IPアクセスリスト名をppp0_inとし、送信元がNXR_AのWAN側IPアドレス10.10.10.1、宛先IPアドレスが10.10.20.1のIKEパケット(UDPポート500番)、ESPパケット(プロトコル番号50)を許可します。なお、このIPアクセスリスト設定はppp0インタフェース設定で登録します。

IPアクセスリスト名をppp0_outとし、送信元がNXR_BのWAN側IPアドレス10.10.20.1、宛先IPアドレスが10.10.10.1のL2TPパケット(プロトコル番号115)を破棄します。
なお、このIPアクセスリスト設定はppp0インタフェース設定で登録します。
(☞) この設定は、IPsec SA未確立時などWAN側(ppp0)インタフェースから直接L2TPパケットを出力しないようにするための設定です。
(☞) IPアクセスリストを設定しただけではフィルタとして有効にはなりません。フィルタリングしたいインタフェースでの登録が必要になります。

5. <IPsecアクセスリスト設定>

NXR_Aという名前のIPsecアクセスリストを設定します。なお、送信元IPアドレス,宛先IPアドレスともにhostとします。

6. <IPsecローカルポリシー設定>

IPsecトンネルの送信元IPアドレスをip(IPv4)と設定します。

7. <IPsec ISAKMPポリシー設定>

ISAKMPポリシー1の説明としてNXR_A、認証方式としてpre-share(事前共有鍵)を選択し、事前共有鍵ipseckey1を設定します。なお、事前共有鍵はNXR_Aと共通の値を設定します。

認証アルゴリズムとしてsha1、暗号化アルゴリズムとしてaes128，Diffie-Hellman(DH)グループとしてgroup 5、ISAKMP SAのライフタイムとして10800秒、フェーズ1のネゴシエーションモードとしてメインモードを設定します。

リモートアドレスにNXR_AのWAN側IPアドレスを設定します。また、IKE KeepAlive(DPD)を監視間隔30秒,リトライ回数3回としkeepalive失敗時にSAを削除しIKEのネゴシエーションを開始するよう設定します。そして、IPsecローカルポリシー1と関連づけを行います。

8. <IPsec トンネルポリシー設定>

IPsecトンネルポリシー1の説明としてNXR_A、ネゴシエーションモードとしてautoを設定します。

暗号化アルゴリズムとしてaes128、認証アルゴリズムとしてsha1、PFSを有効にし、かつDHグループとしてgroup5、IPsec SAのライフタイムとして3600秒を設定します。

ISAKMPポリシー1と関連づけを行い、IPsecアクセスリストNXR_Aを設定します。

9. <WAN側(ppp0)インタフェース設定>

ppp0インタフェースのIPアドレスを設定します。

IPマスカレード、ステートフルパケットインスペクションを有効に設定します。また、IPアクセスリストppp0_inをinフィルタにppp0_outをoutフィルタに適用します。そして、TCP MSSの調整機能をオート、ICMPリダイレクト機能を無効に設定します。

ISP接続用ユーザIDとパスワードを設定します。また、IPsecトンネルのエンドポイントとなるためIPsecローカルポリシー1を設定します。

10. <ethernet1インタフェース設定>

PPPoEクライアントとしてppp0インタフェースを使用できるように設定します。

11. <L2TPv3設定>

L2TPv3のホスト名としてnxrbを設定します。また、ルータIDを設定します。

MACアドレス学習機能を有効にし、エージングタイムを設定します。また、Path MTU Discoveryを有効にします。

12. <L2TPv3トンネル設定>

L2TPv3トンネル1の説明としてNXR_A、リモートアドレスにNXR_AのWAN側IPアドレスを設定します。

NXR_AのL2TPv3ホスト名およびルータIDを設定します。そして、ベンダIDとしてietfを設定します。
(☞) L2TPv3のホスト名とルータIDはNXR_Aと同一の値を設定します。

13. <L2TPv3 Xconnect設定>

L2TPv3 Xconnect1の説明としてNXR_A、関連づけを行うL2TPv3トンネルとしてL2TPv3トンネル1を設定します。

Xconnectインタフェースとしてethernet0インタフェースおよびリモートエンドIDを設定します。また、リトライインターバルを設定します。そして、TCP MSSの調整機能をオートに設定します。

14. <DNS設定>

DNSサービスを有効にします。

15. <ファストフォワーディングの有効化>

ファストフォワーディングおよびL2TPv3ファストフォワーディングを有効にします。

〔NXR_Cの設定〕

1. <ホスト名の設定>

ホスト名を設定します。

2. <LAN側(ethernet0)インタフェース設定>

ethernet0インタフェースのIPアドレスを設定します。

3. <スタティックルート設定>

デフォルトルートを設定します。

4. <IPアクセスリスト設定>

IPアクセスリスト名をppp0_inとし、送信元がNXR_AのWAN側IPアドレス10.10.10.1のIKEパケット(UDPポート500番)、ESPパケット(プロトコル番号50)を許可します。
なお、このIPアクセスリスト設定はppp0インタフェース設定で登録します。

IPアクセスリスト名をppp0_outとし、宛先がNXR_AのWAN側IPアドレス10.10.10.1のL2TPパケット(プロトコル番号115)を破棄します。
なお、このIPアクセスリスト設定はppp0インタフェース設定で登録します。
(☞) この設定は、IPsec SA未確立時などWAN側(ppp0)インタフェースから直接L2TPパケットを出力しないようにするための設定です。
(☞) IPアクセスリストを設定しただけではフィルタとして有効にはなりません。フィルタリングしたいインタフェースでの登録が必要になります。

5. <IPsecアクセスリスト設定>

NXR_Aという名前のIPsecアクセスリストを設定します。なお、送信元IPアドレス,宛先IPアドレスともにhostとします。

6. <IPsecローカルポリシー設定>

IPsecトンネルの送信元IPアドレスをip(IPv4)と設定します。また、セルフIDをFQDN方式でnxrcとし、NXR_AのリモートIDと同じIDを設定します。

7. <IPsec ISAKMPポリシー設定>

ISAKMPポリシー1の説明としてNXR_A、認証方式としてpre-share(事前共有鍵)を選択し、事前共有鍵ipseckey2を設定します。なお、事前共有鍵はNXR_Aと共通の値を設定します。

認証アルゴリズムとしてsha1、暗号化アルゴリズムとしてaes128，Diffie-Hellman(DH)グループとしてgroup 5、ISAKMP SAのライフタイムとして10800秒、フェーズ1のネゴシエーションモードとしてアグレッシブモードを設定します。

リモートアドレスにNXR_AのWAN側IPアドレスを設定します。また、IKE KeepAlive(DPD)を監視間隔30秒,リトライ回数3回としkeepalive失敗時にSAを削除しIKEのネゴシエーションを開始するよう設定します。そして、IPsecローカルポリシー1と関連づけを行います。

8. <IPsec トンネルポリシー設定>

IPsecトンネルポリシー1の説明としてNXR_A、ネゴシエーションモードとしてautoを設定します。

暗号化アルゴリズムとしてaes128、認証アルゴリズムとしてsha1、PFSを有効にし、かつDHグループとしてgroup5、IPsec SAのライフタイムとして3600秒を設定します。

ISAKMPポリシー1と関連づけを行い、IPsecアクセスリストNXR_Aを設定します。

9. <WAN側(ppp0)インタフェース設定>

ppp0インタフェースのIPアドレスが動的IPアドレスの場合は、negotiatedを設定します。

IPマスカレード、ステートフルパケットインスペクションを有効に設定します。また、IPアクセスリストppp0_inをinフィルタにppp0_outをoutフィルタに適用します。そして、TCP MSSの調整機能をオート、ICMPリダイレクト機能を無効に設定します。

ISP接続用ユーザIDとパスワードを設定します。また、IPsecトンネルのエンドポイントとなるためIPsecローカルポリシー1を設定します。

10. <ethernet1インタフェース設定>

PPPoEクライアントとしてppp0インタフェースを使用できるように設定します。

11. <L2TPv3設定>

L2TPv3のホスト名としてnxrcを設定します。また、ルータIDを設定します。

MACアドレス学習機能を有効にし、エージングタイムを設定します。また、Path MTU Discoveryを有効にします。

12. <L2TPv3トンネル設定>

L2TPv3トンネル1の説明としてNXR_A、リモートアドレスにNXR_AのWAN側IPアドレスを設定します。

NXR_AのL2TPv3ホスト名およびルータIDを設定します。そして、ベンダIDとしてietfを設定します。
(☞) L2TPv3のホスト名とルータIDはNXR_Aと同一の値を設定します。

13. <L2TPv3 Xconnect設定>

L2TPv3 Xconnect1の説明としてNXR_A、関連づけを行うL2TPv3トンネルとしてL2TPv3トンネル1を設定します。

Xconnectインタフェースとしてethernet0インタフェースおよびリモートエンドIDを設定します。また、リトライインターバルを設定します。そして、TCP MSSの調整機能をオートに設定します。

14. <DNS設定>

DNSサービスを有効にします。

15. <ファストフォワーディングの有効化>

ファストフォワーディングおよびL2TPv3ファストフォワーディングを有効にします。

【 端末の設定例 】

• 設定例show config形式サンプル(NXR_A)
• 設定例show config形式サンプル(NXR_B)
• 設定例show config形式サンプル(NXR_C)