Skip to main content

Fujitsu

Japan

技術情報 : Si-R/Si-R brinシリーズ設定例

(NTT東日本 / NTT西日本フレッツ光ネクスト)

YAMAHAルータとのインターネットVPN(IPsecアグレッシブモード)拠点間接続


本設定例は、弊社で独自に接続試験を行った結果を元に作成しております。
なお、他社メーカとの相互接続は、保障対象外となりますのでご了承ください。

インターネットVPN(IPsecアグレッシブモード)でセンタ(YAMAHA RTX/SRT) - 拠点(Si-R)間を接続する設定例です。

動作確認済み対象機種と版数

  • Si-Rシリーズ V35以降
  • YAMAHA RTX1200 Rev.10.01.16
  • YAMAHA RTX1100 Rev.8.03.83
  • YAMAHA SRT100 Rev.10.00.49

設定内容

  • RTXのLAN2側をWAN側、LAN1側をLAN側とします。
  • Si-RのLAN0側をWAN側、LAN1側をLAN側とします。
  • RTXのLAN側に192.168.1.1/24を割り当てるとします。
  • Si-RのLAN側に192.168.2.1/24を割り当てるとします。
  • インターネットVPN(アグレッシブモード)でセンタ-拠点間を接続します。
設定例のイメージ図です

設定例

以下の設定例を、コピー&ペーストでご利用いただくことができます。

  • id-a@isp にはRTXのISPのIDを設定してください。
  • pwd-a@ispにはRTXのISPのパスワードを設定してください。
  • id-b@ispにはSi-RのISPのIDを設定してください。
  • pwd-b@ispにはSi-RのISPのパスワードを設定してください。
  • kyoten1にはSi-RのIPsecのID(装置識別情報)を設定してください。
  • testにはIPsec鍵を設定してください。

RTX設定例

ip route default gateway pp 1

ip route 192.168.2.0/24 gateway tunnel 1

ip lan1 address 192.168.1.1/24

pp select 1

 pp always-on on

 pppoe use lan2

 pp auth accept pap chap

 pp auth myname id-a@isp pwd-a@isp

 ppp lcp mru on 1454

 ppp ccp type none

 ip pp address 220.220.248.2/32

 ip pp mtu 1454

 pp enable 1

tunnel select 1

 ipsec tunnel 101

 ipsec sa policy 101 1 esp aes-cbc sha-hmac

 ipsec ike encryption 1 aes-cbc

 ipsec ike group 1 modp1536

 ipsec ike keepalive use 1 on dpd 10 6

 ipsec ike local address 1 220.220.248.2

 ipsec ike pfs 1 on

 ipsec ike pre-shared-key 1 text test

 ipsec ike remote address 1 any

 ipsec ike remote name 1 kyoten1

 tunnel enable 1

ipsec auto refresh on

Si-R設定例

lan 0 mode auto

lan 1 mode auto

lan 1 ip address 192.168.2.1/24 3

remote 0 name PPPoE

remote 0 mtu 1454

remote 0 ap 0 name PPPoE

remote 0 ap 0 datalink bind lan 0

remote 0 ap 0 ppp auth send id-b@isp pwd-b@isp

remote 0 ap 0 keep connect

remote 0 ppp ipcp vjcomp disable

remote 0 ip route 0 220.220.248.2/32 1 0

remote 0 ip nat mode multi any 1 5m

remote 0 ip nat static 0 192.168.2.1 500 any 500 17

remote 0 ip nat static 1 192.168.2.1 any any any 50

remote 0 ip msschange 1414

remote 1 name YAMAHA

remote 1 ap 0 name YAMAHA

remote 1 ap 0 datalink type ipsec

remote 1 ap 0 ipsec type ike

remote 1 ap 0 ipsec ike protocol esp

remote 1 ap 0 ipsec ike encrypt aes-cbc-128

remote 1 ap 0 ipsec ike auth hmac-sha1

remote 1 ap 0 ipsec ike pfs modp1536

remote 1 ap 0 ike name local kyoten1

remote 1 ap 0 ike shared key text test

remote 1 ap 0 ike proposal 0 encrypt aes-cbc-128

remote 1 ap 0 ike proposal 0 hash hmac-sha1

remote 1 ap 0 ike initial connect

remote 1 ap 0 ike dpd use on

remote 1 ap 0 tunnel remote 220.220.248.2

remote 1 ap 0 sessionwatch address 192.168.2.1 192.168.1.1

remote 1 ip route 0 default 1 0

remote 1 ip msschange 1300

syslog pri error,warn,info

syslog facility 23

time zone 0900

consoleinfo autologout 8h

telnetinfo autologout 5m

terminal charset SJIS

解説

RTX設定解説

ip route default gateway pp 1

pp 1向けにデフォルトルートを設定します。


ip route 192.168.2.0/24 gateway tunnel 1

対向装置Si-RのLAN側ネットワークへのスタティックルートを設定します。

ip lan1 address 192.168.1.1/24

LAN側IPアドレスを設定します。

  • 192.168.1.1/24 : LAN側IPアドレス/マスクです。
pp select 1

PP1 インタフェースを設定します。


pp always-on on

常時接続の設定をします。キープアライブ機能により接続相手のダウン検出を行います。


pppoe use lan2

LAN2 側(WAN 側)に対してPPPoE を使用するよう設定します。


pp auth accept pap chap

pap chapによる認証情報を設定します。


pp auth myname id-a@isp pwd-a@isp
								

インターネット用プロバイダの認証ID、パスワードを設定します。


ppp lcp mru on 1454

LCP のネゴシエーションでMaximum-Receive-Unit オプションを使用し、パケットの最大長を制限します。


ppp ccp type none

圧縮機能はPPPoE では使用できません。none に設定する必要があります。


ip pp address 220.220.248.2/32

WAN側IPアドレスを設定します。

  • 対向装置Si-Rでの設定はtunnel remote 220.220.248.2となります。
ip pp mtu 1454

このコマンドは、接続相手からLCP でMRU オプションを受ける場合には必要ありません。

  • PP1 に対するMTU(Maximum Transfer Unit) を設定します。
pp enable 1

pp selectで定義した相手先を使用できる状態にします。


tunnel select 1

トンネルインタフェース番号を設定します。


ipsec tunnel 101

使用するSA のポリシーを設定します。

ipsec sa policy 101 1 esp aes-cbc sha-hmac

相手側のセキュリティ・ゲートウェイに対するSA のポリシーを設定します。

  • 自動鍵交換用IPsec情報の暗号情報にAES128ビットを設定します。
  • 自動鍵交換用IPsec情報の認証情報にSHA1を設定します。
ipsec ike encryption 1 aes-cbc

IKEセッション用暗号情報の暗号アルゴリズムにaes-cbc-128を設定します。


ipsec ike group 1 modp1536

自動鍵交換用IPsec情報のPFS使用時のDH(Diffie-Hellman)グループにmodp1536を設定します。
(RTX1100 Rev.8.03.83を利用する場合はmodp1536に対応していないためmodp1024を設定してください。)


ipsec ike keepalive use 1 on dpd 10 6

DPD監視の設定をします。


ipsec ike local address 1 220.220.248.2

IPSecトンネルの送信元アドレスの設定をします。


ipsec ike pfs 1 on

PFSを有効にします。


ipsec ike pre-shared-key 1 text test
								

IKEセッション確立時の共有鍵(Pre-shared key)を設定します。


ipsec ike remote address 1 any

固定のグローバルアドレスを持つルーターには、any を設定します。


ipsec ike remote name 1 kyoten1
								

固定のグローバルアドレスを持つルーターには、対向装置の拠点名を設定します。


tunnel enable 1

トンネルインタフェースを有効にします。


ipsec auto refresh on

SA を自動更新するように設定します。

  • このコマンドを実行した直後に、新しいSA が生成されます。

Si-R設定解説

lan 0 mode auto

lan 1 mode auto

lan0/lan1インタフェースの通信速度/モードをオートセンス/オートネゴシエーションに設定します。


lan 1 ip address 192.168.2.1/24 3

LAN側IPアドレスを設定します。

  • 192.168.2.1/24 : LAN側IPアドレス/マスクです。
  • 3 : ブロードキャストアドレスのタイプです。通常は3で構いません。
remote 0 name PPPoE

PPPoEインタフェースの名前(任意)を設定します。


remote 0 mtu 1454

フレッツ光ネクストでは、MTU長を1454byteに設定します。


remote 0 ap 0 name PPPoE

アクセスポイントの名前(任意、remote nameと同じでも可)を設定します。


remote 0 ap 0 datalink bind lan 0

インターネット向けパケットの転送先をlan0インタフェースに設定します。


remote 0 ap 0 ppp auth send id-b@isp pwd-b@isp
								

インターネット用プロバイダの認証ID、パスワードを設定します。

remote 0 ap 0 keep connect

インターネットへ常時接続します。


remote 0 ppp ipcp vjcomp disable

VJヘッダ圧縮を使用しない設定にします。


remote 0 ip route 0 220.220.248.2/32 1 0

PPPoEインタフェース向けに対向装置RTXのWAN側アドレスを設定します。

  • 1 : metric値です。通常は1で構いません。
  • 0 : distance値です。通常は0で構いません。
remote 0 ip nat mode multi any 1 5m

マルチNATの設定をします。


remote 0 ip nat static 0 192.168.2.1 500 any 500 17

remote 0 ip nat static 1 192.168.2.1 any any any 50

スタティックNATにより、IKE,ESPパケットを通す設定をします。


remote 0 ip msschange 1414

フレッツ光ネクストでは、MSS値に1414byte(1454(MTU長) - 40(TCP/IPヘッダ長))を設定します。


remote 1 name YAMAHA

RTX向けIPsecインタフェースの名前(任意)を設定します。


remote 1 ap 0 name YAMAHA

アクセスポイントの名前(任意、remote nameと同じでも可)を設定します。


remote 1 ap 0 datalink type ipsec

パケット転送方法としてIPsecを設定します。


remote 1 ap 0 ipsec type ike

IPsec情報のタイプにIPsec自動鍵交換を設定します。


remote 1 ap 0 ipsec ike protocol esp

自動鍵交換用IPsec情報のセキュリティプロトコルにESP(暗号)を設定します。


remote 1 ap 0 ipsec ike encrypt aes-cbc-128

自動鍵交換用IPsec情報の暗号情報にAES128ビットを設定します。


remote 1 ap 0 ipsec ike auth hmac-sha1

自動鍵交換用IPsec情報の認証情報にSHA1を設定します。


remote 1 ap 0 ipsec ike pfs modp1536

自動鍵交換用IPsec情報のPFS使用時のDH(Diffie-Hellman)グループにmodp1536を設定します。
(対向装置がRTX1100 Rev.8.03.83の場合はmodp1536に対応していないためmodp1024を設定してください。)


remote 1 ap 0 ike name local kyoten1
								

IKE情報の自側装置識別情報を設定します。


remote 1 ap 0 ike shared key text test
								

IKEセッション確立時の共有鍵(Pre-shared key)を設定します。


remote 1 ap 0 ike proposal 0 encrypt aes-cbc-128

IKEセッション用暗号情報の暗号アルゴリズムにAES128ビットを設定します。


remote 1 ap 0 ike proposal 0 hash hmac-sha1

IKEセッション用暗号情報の認証アルゴリズムにhmac-sha1を設定します。


remote 1 ap 0 ike initial connect

IKE ネゴシエーション開始動作を設定します。

  • 対象回線の接続またはIPsec 対象パケットの送信を契機として、IPsec/IKE SA の確立動作を開始します。

remote 1 ap 0 ike dpd use on

DPD監視の設定をします。


remote 1 ap 0 tunnel remote 220.220.248.2

IPsecトンネルの宛先アドレスの設定をします。


remote 1 ap 0 sessionwatch address 192.168.2.1 192.168.1.1

接続先セッション監視の設定をします。
接続先復旧時にSi-Rから再度IPsecを張りに行く契機となります。

  • 192.168.1.1 : ICMP ECHOパケットの宛先IPアドレスです。
  • 192.168.2.1 : ICMP ECHOパケットの送信元IPアドレスです。
remote 1 ip route 0 default 1 0

IPsecインターフェース向けにデフォルトルートを設定します。

  • 1 : metric値です。通常は1で構いません。
  • 0 : distance値です。通常は0で構いません。
remote 1 ip msschange 1300

MSS値に1300byteを設定します。


syslog pri error,warn,info

syslog facility 23

システムログ情報の出力情報/出力対象ファシリティの設定をします。通常はこのままで構いません。


time zone 0900

タイムゾーンを設定します。通常はこのままで構いません。


consoleinfo autologout 8h

telnetinfo autologout 5m

シリアルコンソール、TELNETコネクションの入出力がない場合のコネクション切断時間を設定します。通常はこのままで構いません。


terminal charset SJIS

ターミナルで使用する漢字コードをShift JISコードに設定します。


お問い合わせ

本製品のお問い合わせ

Si-Rシリーズ、Si-R brinシリーズに関する資料請求やお見積り、購入のご相談などお気軽にお問い合わせください。

よくあるご質問(FAQ)

Si-Rシリーズ、Si-R brinシリーズに関し、お客様から寄せられた主なご質問とその回答です。