技術情報 : Si-R/Si-R brinシリーズ設定例
(NTT東日本 / NTT西日本フレッツ光ネクスト)
インターネットVPN(IPsecアグレッシブモード)拠点間接続
インターネットVPN(IPsecアグレッシブモード)で拠点間を接続する設定例です。
設定内容
- [設定内容]
- Si-R Gのether 1 1をWAN側、ether 2 1-8をLAN側とします。
- Si-R GのLAN側に192.168.1.1/24、192.168.2.1/24を割り当てるとします。
- インターネットVPN(アグレッシブモード)で拠点間を接続します。
設定例
- id-a@ispにはSi-R G_1のISPのIDを設定してください。
- pwd-a@ispにはSi-R G_1のISPのパスワードを設定してください。
- id-b@ispにはSi-R G_2のISPのIDを設定してください。
- pwd-b@ispにはSi-R G_2のISPのパスワードを設定してください。
- sir2にはSi-R G_2のIPsecのID(装置識別情報)を設定してください。
- sir2-keyにはIPsec鍵を設定してください。
Si-R G_1設定例
ether 1 1 flowctl off off
ether 1 1 vlan untag 1
ether 1 2 use off
ether 2 1-8 flowctl off off
ether 2 1-8 vlan untag 2
lan 1 ip address 192.168.1.1/24 3
lan 1 vlan 2
remote 0 name internet
remote 0 mtu 1454
remote 0 ap 0 name pppoe
remote 0 ap 0 datalink bind vlan 1
remote 0 ap 0 ppp auth send id-a@isp pwd-a@isp
remote 0 ap 0 keep connect
remote 0 ppp ipcp vjcomp disable
remote 0 ip address local 220.220.248.2
remote 0 ip route 0 default 1 1
remote 0 ip nat mode multi 220.220.248.2 1 5m
remote 0 ip nat static 0 220.220.248.2 500 220.220.248.2 500 17
remote 0 ip nat static 1 220.220.248.2 any 220.220.248.2 any 50
remote 0 ip msschange 1414
remote 1 name Si-RG_2
remote 1 ap 0 name ipsec
remote 1 ap 0 datalink type ipsec
remote 1 ap 0 ipsec type ike
remote 1 ap 0 ipsec ike protocol esp
remote 1 ap 0 ipsec ike encrypt aes-cbc-256
remote 1 ap 0 ipsec ike auth hmac-sha256
remote 1 ap 0 ipsec ike pfs modp1536
remote 1 ap 0 ike name remote sir2
remote 1 ap 0 ike shared key text sir2-key
remote 1 ap 0 ike proposal 0 encrypt aes-cbc-256
remote 1 ap 0 ike proposal 0 hash hmac-sha256
remote 1 ap 0 ike proposal 0 pfs modp1536
remote 1 ap 0 tunnel local 220.220.248.2
remote 1 ap 0 sessionwatch address 192.168.1.1 192.168.2.1
remote 1 ip route 0 192.168.2.0/24 1 1
remote 1 ip msschange 1300
syslog pri error,warn,info
syslog facility 23
time zone 0900
consoleinfo autologout 8h
telnetinfo autologout 5m
terminal charset SJIS
Si-R G_2設定例
ether 1 1 flowctl off off
ether 1 1 vlan untag 1
ether 1 2 use off
ether 2 1-8 flowctl off off
ether 2 1-8 vlan untag 2
lan 1 ip address 192.168.2.1/24 3
lan 1 vlan 2
remote 0 name internet
remote 0 mtu 1454
remote 0 ap 0 name pppoe
remote 0 ap 0 datalink bind vlan 1
remote 0 ap 0 ppp auth send id-b@isp pwd-b@isp
remote 0 ap 0 keep connect
remote 0 ppp ipcp vjcomp disable
remote 0 ip route 0 220.220.248.2/32 1 1
remote 0 ip nat mode multi any 1 5m
remote 0 ip nat static 0 192.168.2.1 500 any 500 17
remote 0 ip nat static 1 192.168.2.1 any any any 50
remote 0 ip msschange 1414
remote 1 name Si-RG_1
remote 1 ap 0 name ipsec
remote 1 ap 0 datalink type ipsec
remote 1 ap 0 ipsec type ike
remote 1 ap 0 ipsec ike protocol esp
remote 1 ap 0 ipsec ike encrypt aes-cbc-256
remote 1 ap 0 ipsec ike auth hmac-sha256
remote 1 ap 0 ipsec ike pfs modp1536
remote 1 ap 0 ike name local sir2
remote 1 ap 0 ike shared key text sir2-key
remote 1 ap 0 ike proposal 0 encrypt aes-cbc-256
remote 1 ap 0 ike proposal 0 hash hmac-sha256
remote 1 ap 0 ike proposal 0 pfs modp1536
remote 1 ap 0 tunnel remote 220.220.248.2
remote 1 ap 0 sessionwatch address 192.168.2.1 192.168.1.1
remote 1 ip route 0 default 1 1
remote 1 ip msschange 1300
syslog pri error,warn,info
syslog facility 23
time zone 0900
consoleinfo autologout 8h
telnetinfo autologout 5m
terminal charset SJIS
解説
Si-R G_1設定解説
ether 1 1 flowctl off off
ether1 1ポートでフロー制御機能を無効にします。
ether1 1ポートをTag なしVLAN1に設定します。
ether 1 2ポートを無効にします。
ether 2 1-8 flowctl off off
ether2 1-8ポートでフロー制御機能を無効にします。
ether2 1-8ポートをTag なしVLAN2に設定します。
lan 1 ip address 192.168.1.1/24 3
LAN側IPアドレスを設定します。
- 192.168.1.1/24 : LAN側のIPアドレス/マスクです。
- 3 :ブロードキャストアドレスのタイプです。通常は3で構いません。
VLAN ID とlan 定義番号の関連付けを行います。
LAN1にTag なしVLAN2を設定します。
インターネット接続用インターフェースの名前(任意)を設定します。
Bフレッツ・フレッツADSLでは、MTU長を1454byteに設定します。
アクセスポイントの名前(任意、remote nameと同じでも可)を設定します。
remote 0 ap 0 datalink bind vlan 1
インターネット向けパケットの転送先をvlan 1インターフェースに設定します。
remote 0 ap 0 ppp auth send id-a@isp pwd-a@isp
認証ID、パスワードを設定します。
remote 0 ap 0 keep connect
インターネットへ常時接続します。
remote 0 ppp ipcp vjcomp disable
VJヘッダー圧縮を使用しない設定にします。
remote 0 ip address local 220.220.248.2
WAN側IPアドレスを設定します。
remote 0 ip route 0 default 1 1
WAN側インターフェースにデフォルトルートを設定します。
- 1 : metric値です。通常は1で構いません。
- 1 : distance値です。通常は1で構いません。
remote 0 ip nat mode multi 220.220.248.2 1 5m
マルチNATを設定します。
remote 0 ip nat static 0 220.220.248.2 500 220.220.248.2 500 17
remote 0 ip nat static 1 220.220.248.2 any 220.220.248.2 any 50
スタティックNATにより、IKE,ESPパケットを通す設定をします。
remote 0 ip msschange 1414
MSS値です。1414byte(注1)を設定します。
(注1)1454(MTU長)-40(TCP/IPヘッダー長)
Si-R G_2向けIPsecインターフェースの名前(任意)を設定します。
アクセスポイントの名前(任意、remote nameと同じでも可)を設定します。
remote 1 ap 0 datalink type ipsec
パケット転送方法としてIPsecを設定します。
remote 1 ap 0 ipsec type ike
IPsec情報のタイプにIPsec自動鍵交換を設定します。
remote 1 ap 0 ipsec ike protocol esp
自動鍵交換用IPsec情報のセキュリティプロトコルにESP(暗号)を設定します。
remote 1 ap 0 ipsec ike encrypt aes-cbc-256
自動鍵交換用IPsec情報の暗号情報にAES256ビットを設定します。
remote 1 ap 0 ipsec ike auth hmac-sha256
自動鍵交換用IPsec情報の認証情報にSHA2を設定します。
remote 1 ap 0 ipsec ike pfs modp1536
自動鍵交換用IPsec情報のPFS使用時のDH(Diffie-Hellman)グループにmodp1536を設定します。
remote 1 ap 0 ike name remote sir2
IKE情報の相手装置識別情報を設定します。
remote 1 ap 0 ike shared key text sir2-key
IKE情報の自側装置識別情報を設定します。
remote 1 ap 0 ike proposal 0 encrypt aes-cbc-256
IKEセッション用暗号情報の暗号アルゴリズムにAES256ビットを設定します。
remote 1 ap 0 ike proposal 0 hash hmac-sha256
IKEセッション用の認証情報にSHA2を設定します。
remote 1 ap 0 ike proposal 0 pfs modp1536
IKE情報のPFS使用時のDH(Diffie-Hellman)グループにmodp1536を設定します。
remote 1 ap 0 tunnel local 220.220.248.2
IPsecトンネルの自側アドレスの設定をします。
remote 1 ap 0 sessionwatch address 192.168.1.1 192.168.2.1
接続先セッション監視の設定をします。
- 192.168.1.1 : ICMP ECHOパケットの送信元IPアドレスです。
- 192.168.2.1 : ICMP ECHOパケットの宛先IPアドレスです。
remote 1 ip route 0 192.168.2.0/24 1 1
対向装置Si-R G_2のLAN側ネットワークへのスタティックルートを設定します。
- 192.168.2.0/24 : 対向装置Si-R G_2のLAN側ネットワークです。
- 1 : metric値です。通常は1で構いません。
- 1 : distance値です。通常は1で構いません。
remote 1 ip msschange 1300
MSS値に1300byteを設定します。
syslog pri error,warn,info
syslog facility 23
システムログ情報の出力情報/出力対象ファシリティの設定をします。通常はこのままで構いません。
タイムゾーンを設定します。通常はこのままで構いません。
consoleinfo autologout 8h
telnetinfo autologout 5m
シリアルコンソール、TELNETコネクションの入出力がない場合のコネクション切断時間を設定します。通常はこのままで構いません。
ターミナルで使用する漢字コードをShift JISコードに設定します。
Si-R G_2設定解説
ether 1 1 flowctl off off
ether1 1ポートでフロー制御機能を無効にします。
ether1 1ポートをTag なしVLAN1に設定します。
ether 1 2ポートを無効にします。
ether 2 1-8 flowctl off off
ether2 1-8ポートでフロー制御機能を無効にします。
ether2 1-8ポートをTag なしVLAN2に設定します。
lan 1 ip address 192.168.2.1/24 3
LAN側IPアドレスを設定します。
- 192.168.2.1/24 : LAN側のIPアドレス/マスクです。
- 3 :ブロードキャストアドレスのタイプです。通常は3で構いません。
VLAN ID とlan 定義番号の関連付けを行います。
LAN1にTag なしVLAN2を設定します。
インターネット接続用インターフェースの名前(任意)を設定します。
Bフレッツ・フレッツADSLでは、MTU長を1454byteに設定します。
アクセスポイントの名前(任意、remote nameと同じでも可)を設定します。
remote 0 ap 0 datalink bind vlan 1
インターネット向けパケットの転送先をvlan 1インターフェースに設定します。
remote 0 ap 0 ppp auth send id-b@isp pwd-b@isp
認証ID、パスワードを設定します。
remote 0 ap 0 keep connect
インターネットへ常時接続します。
remote 0 ppp ipcp vjcomp disable
VJヘッダー圧縮を使用しない設定にします。
remote 0 ip route 0 220.220.248.2/32 1 1
対向装置のトンネルエンドポイントを設定します。
- 220.220.248.2/32 : 対向装置Si-R G_1のWAN側ネットワークです。
- 1 : metric値です。通常は1で構いません。
- 1 : distance値です。通常は1で構いません。
remote 0 ip nat mode multi any 1 5m
マルチNATを設定します。
remote 0 ip nat static 0 192.168.2.1 500 any 500 17
remote 0 ip nat static 1 192.168.2.1 any any any 50
スタティックNATにより、IKE,ESPパケットを通す設定をします。
remote 0 ip msschange 1414
MSS値。1414byte(注1)を設定します。
(注1)1454(MTU長)-40(TCP/IPヘッダー長)
Si-R G_1向けIPsecインターフェースの名前(任意)を設定します。
アクセスポイントの名前(任意、remote nameと同じでも可)を設定します。
remote 1 ap 0 datalink type ipsec
パケット転送方法としてIPsecを設定します。
remote 1 ap 0 ipsec type ike
IPsec情報のタイプにIPsec自動鍵交換を設定します。
remote 1 ap 0 ipsec ike protocol esp
自動鍵交換用IPsec情報のセキュリティプロトコルにESP(暗号)を設定します。
remote 1 ap 0 ipsec ike encrypt aes-cbc-256
自動鍵交換用IPsec情報の暗号情報にAES256ビットを設定します。
remote 1 ap 0 ipsec ike auth hmac-sha256
自動鍵交換用IPsec情報の認証情報にSHA2を設定します。
remote 1 ap 0 ipsec ike pfs modp1536
自動鍵交換用IPsec情報のPFS使用時のDH(Diffie-Hellman)グループにmodp1536を設定します。
remote 1 ap 0 ike name local sir2
IKE情報の自側装置識別情報を設定します。
remote 1 ap 0 ike shared key text sir2-key
IKE情報の自側装置識別情報を設定します。
remote 1 ap 0 ike proposal 0 encrypt aes-cbc-256
IKEセッション用暗号情報の暗号アルゴリズムにAES256ビットを設定します。
remote 1 ap 0 ike proposal 0 hash hmac-sha256
IKEセッション用暗号情報の暗号アルゴリズムにAES256ビットを設定します。
remote 1 ap 0 ike proposal 0 pfs modp1536
IKE情報のPFS使用時のDH(Diffie-Hellman)グループにmodp1536を設定します。
remote 1 ap 0 tunnel remote 220.220.248.2
IPsecトンネルの宛先アドレスの設定をします。
remote 1 ap 0 sessionwatch address 192.168.2.1 192.168.1.1
接続先セッション監視の設定をします。
- 192.168.2.1 : ICMP ECHOパケットの送信元IPアドレスです。
- 192.168.1.1 : ICMP ECHOパケットの宛先IPアドレスです。
remote 1 ip route 0 default 1 1
IPsecインターフェース向けにデフォルトルートを設定します。
- 1 : metric値です。通常は1で構いません。
- 1 : distance値です。通常は1で構いません。
remote 1 ip msschange 1300
MSS値に1300byteを設定します。
syslog pri error,warn,info
syslog facility 23
システムログ情報の出力情報/出力対象ファシリティの設定をします。通常はこのままで構いません。
タイムゾーンを設定します。通常はこのままで構いません。
consoleinfo autologout 8h
telnetinfo autologout 5m
シリアルコンソール、TELNETコネクションの入出力がない場合のコネクション切断時間を設定します。通常はこのままで構いません。
ターミナルで使用する漢字コードをShift JISコードに設定します。
インターネットVPN その他の設定例
NTT東日本/NTT西日本
Bフレッツ・フレッツADSL
無線WAN + NTT東日本 / NTT西日本Bフレッツ・フレッツADSL
NTT西日本 フレッツ光プレミアム インターネットVPN接続
NTT東日本 / NTT西日本フレッツ光ネクスト
お問い合わせ
Si-Rシリーズ、Si-R brinシリーズに関する資料請求やお見積り、購入のご相談などお気軽にお問い合わせください。
Si-Rシリーズ、Si-R brinシリーズに関し、お客様から寄せられた主なご質問とその回答です。