技術情報 : Si-R/Si-R brinシリーズ設定例

（NTT東日本 / NTT西日本フレッツ光ネクスト）

古河電工ルータとのインターネットVPN(IPsecアグレッシブモード）拠点間接続

本設定例は、弊社で独自に接続試験を行った結果を元に作成しております。
なお、他社メーカとの相互接続は、保障対象外となりますのでご了承ください。

インターネットVPN（IPsecアグレッシブモード）でセンタ(古河電工 FITELnet F200) － 拠点(Si-R)間を接続する設定例です。

設定例

• id-a@isp ：FITELnet F200のISPのID
• pwd-a@isp ：FITELnet F200のISPのパスワード
• id-b@isp ：Si-RのISPのID
• pwd-b@isp ：Si-RのISPのパスワード
• kyoten1 ：Si-RのIPsecのID（装置識別情報）
• test ：IPsec鍵

FITELnet F200設定例

interface lan 1
 ip address 192.168.1.1 255.255.255.0
exit
!
interface pppoe 1
 crypto map KYOTEN
 pppoe server FLETS
 pppoe account id-a@isp pwd-a@isp
 pppoe type host
 ip address 220.220.248.2
 ip nat inside source list 99 interface
exit
!
access-list 99 permit 192.168.1.0 0.0.0.255
ip route 0.0.0.0 0.0.0.0 pppoe 1
!
vpn enable
vpnlog enable
crypto isakmp policy 1
 negotiation-mode aggressive
 authentication prekey
 encryption aes 256
 group 5
 hash sha
 lifetime 86400
 key ascii test
 peer-identity host kyoten1
 idtype-pre fqdn
exit
!
ipsec transform-set P2-POLICY esp-aes-256 esp-sha-hmac
ipsec access-list 1 ipsec ip any 192.168.2.0 0.0.0.255
ipsec access-list 64 bypass ip any any
!
crypto map KYOTEN 1
 match address 1
 set peer host kyoten1
 set transform-set P2-POLICY
 set pfs group5
 set security-association lifetime seconds 28800
exit
!
end

Si-R設定例

lan 0 mode auto
lan 1 mode auto
lan 1 ip address 192.168.2.1/24 3
remote 0 name PPPoE
remote 0 mtu 1454
remote 0 ap 0 name PPPoE
remote 0 ap 0 datalink bind lan 0
remote 0 ap 0 ppp auth send id-b@isp pwd-b@isp
remote 0 ap 0 keep connect
remote 0 ppp ipcp vjcomp disable
remote 0 ip route 0 default 1 0
remote 0 ip nat mode multi any 1 5m
remote 0 ip nat static 0 192.168.2.1 500 any 500 17
remote 0 ip nat static 1 192.168.2.1 any any any 50
remote 0 ip msschange 1414
remote 1 name FURUKAWA
remote 1 ap 0 name FITEL
remote 1 ap 0 datalink type ipsec
remote 1 ap 0 ipsec type ike
remote 1 ap 0 ipsec ike protocol esp
remote 1 ap 0 ipsec ike range 192.168.2.0/24 any4
remote 1 ap 0 ipsec ike encrypt aes-cbc-256
remote 1 ap 0 ipsec ike auth hmac-sha1
remote 1 ap 0 ipsec ike pfs modp1536
remote 1 ap 0 ike name local kyoten1
remote 1 ap 0 ike shared key text test
remote 1 ap 0 ike proposal 0 encrypt aes-cbc-256
remote 1 ap 0 ike proposal 0 hash hmac-sha1
remote 1 ap 0 ike proposal 0 pfs modp1536
remote 1 ap 0 ike initial connect
remote 1 ap 0 ike dpd use on
remote 1 ap 0 tunnel remote 220.220.248.2
remote 1 ap 0 sessionwatch address 192.168.2.1 192.168.1.1
remote 1 ip route 0 192.168.1.0/24 1 0
remote 1 ip msschange 1300
syslog facility 23
time zone 0900
consoleinfo autologout 8h
telnetinfo autologout 5m
terminal charset SJIS

解説

FITELnet F200設定解説

interface lan 1
 ip address 192.168.1.1 255.255.255.0

LAN側IPアドレスを設定します。

• 192.168.1.1 255.255.255.0: LAN側IPアドレス/マスク。

interface pppoe 1

PPPoEインタフェースを設定します。

crypto map KYOTEN
 pppoe server FLETS
 pppoe account id-a@isp pwd-a@isp
								

インターネット用プロバイダの認証ID、パスワードを設定します。

pppoe type host
 ip address 220.220.248.2

WAN側アドレスを設定します。

ip nat inside source list 99 interface

NAT+を設定します。

access-list 99 permit 192.168.1.0 0.0.0.255

アクセスリストに変換前アドレス（LAN側アドレス）を設定します。

ip route 0.0.0.0 0.0.0.0 pppoe 1

PPPoEインタフェース向けにデフォルトルートを設定します。

vpn enable

VPN機能を有効にします。

vpnlog enable

VPN通信動作中の詳細なログを残す設定をします。

crypto isakmp policy 1

Phase1ポリシーを設定します。

negotiation-mode aggressive

ネゴシエーションモードにアグレッシブモードを設定します。

authentication prekey

認証方式に事前共有鍵を設定します。

encryption aes 256

暗号化方式にAES256ビットを設定します。

group 5

DH（Diffie-Hellman）にグループ5を設定します。

hash sha

認証情報にSHA1を設定します。

lifetime 86400

IKE SAのライフタイムに86400秒を設定します。

key ascii test
								

事前共有鍵にtestを設定します。

peer-identity host kyoten1
								

相手側装置識別情報にkyoten1を設定します。

idtype-pre fqdn

フォーマットタイプにfqdnを設定します。

ipsec transform-set P2-POLICY esp-aes-256 esp-sha-hmac

暗号化方式にAES256ビットを設定します。

ipsec access-list 1 ipsec ip any 192.168.2.0 0.0.0.255

IPsec化対象の範囲を指定します。

ipsec access-list 64 bypass ip any any

IPsecアクセスリスト番号を設定します。

crypto map KYOTEN 1

マップ（VPNセレクタ）との関連付けを設定します。

match address 1

IPsecアクセスリスト番号を設定します。

set peer host kyoten1
								

相手側装置識別情報にkyoten1を設定します。

set transform-set P2-POLICY

Phase2ポリシーとの関連付けを設定します。

set pfs group5

DH（Diffie-Hellman）にグループ5を設定します。

set security-association lifetime seconds 28800

IPsec SAのライフタイムに28800秒を設定します。

Si-R設定解説

lan 1 ip address 192.168.2.1/24 3

LAN側IPアドレスを設定します。

• 192.168.2.1/24 : LAN側IPアドレス/マスクです。
• 3 : ブロードキャストアドレスのタイプです。通常は3で構いません。

lan 0 mode auto
lan 1 mode auto

lan0/lan1インタフェースの通信速度/モードをオートセンス／オートネゴシエーションに設定します。

lan 1 ip address 192.168.2.1/24 3

LAN側IPアドレスを設定します。

• 192.168.2.1/24 : LAN側IPアドレス/マスク。
• 3 : ブロードキャストアドレスのタイプ。通常は3で構いません。

remote 0 name PPPoE

PPPoEインタフェースの名前（任意）を設定します。

remote 0 mtu 1454

フレッツ光ネクストでは、MTU長を1454byteに設定します。

remote 0 ap 0 name PPPoE

アクセスポイントの名前（任意、remote nameと同じでも可）を設定します。

remote 0 ap 0 datalink bind lan 0

インターネット向けパケットの転送先をlan0インタフェースに設定します。

remote 0 ap 0 ppp auth send id-b@isp pwd-b@isp
								

インターネット用プロバイダの認証ID、パスワードを設定します。

remote 0 ap 0 keep connect

インターネットへ常時接続します。

remote 0 ppp ipcp vjcomp disable

VJヘッダ圧縮を使用しない設定にします。

remote 0 ip route 0 default 1 0

PPPoEインタフェース向けにデフォルトルートを設定します。

• 1 : metric値。通常は1で構いません。
• 0 : distance値。通常は0で構いません。

remote 0 ip nat mode multi any 1 5m

マルチNATの設定をします。

remote 0 ip nat static 0 192.168.2.1 500 any 500 17
remote 0 ip nat static 1 192.168.2.1 any any any 50

スタティックNATにより、IKE,ESPパケットを通す設定をします。

remote 0 ip msschange 1414

フレッツ光ネクストでは、MSS値に1414byte（1454(MTU長) - 40(TCP/IPヘッダ長)）を設定します。

remote 1 name FURUKAWA

FITELnet200向けIPsecインタフェースの名前（任意）を設定します。

remote 1 ap 0 name FITEL

アクセスポイントの名前（任意、remote nameと同じでも可）を設定します。

remote 1 ap 0 datalink type ipsec

パケット転送方法としてIPsecを設定します。

remote 1 ap 0 ipsec type ike

IPsec情報のタイプにIPsec自動鍵交換を設定します。

remote 1 ap 0 ipsec ike protocol esp

自動鍵交換用IPsec情報のセキュリティプロトコルにESP（暗号）を設定します。

remote 1 ap 0 ipsec ike range 192.168.2.0/24 any4

IPsec化対象の範囲を指定します。

remote 1 ap 0 ipsec ike encrypt aes-cbc-256

自動鍵交換用IPsec情報の暗号情報にAES256ビットを設定します。

remote 1 ap 0 ipsec ike auth hmac-sha1

自動鍵交換用IPsec情報の認証情報にSHA1を設定します。

remote 1 ap 0 ipsec ike pfs modp1536

自動鍵交換用IPsec情報のPFS使用時のDH（Diffie-Hellman）グループにmodp1536を設定します。

remote 1 ap 0 ike name local kyoten1
								

IKE情報の自側装置識別情報を設定します。

remote 1 ap 0 ike shared key text test
								

IKEセッション確立時の共有鍵（Pre-shared key）を設定します。

remote 1 ap 0 ike proposal 0 encrypt aes-cbc-256

IKEセッション用暗号情報の暗号アルゴリズムにAES256ビットを設定します。

remote 1 ap 0 ike proposal 0 hash hmac-sha1

IKEセッション用暗号情報の認証アルゴリズムにhmac-sha1を設定します。

remote 1 ap 0 ike proposal 0 pfs modp1536

IKEセッション用暗号情報のPFS使用時のDH（Diffie-Hellman）グループにmodp1536を設定します。

remote 1 ap 0 ike initial connect

IKE ネゴシエーション開始動作を設定します。

• 対象回線の接続またはIPsec 対象パケットの送信を契機として、IPsec/IKE SA の確立動作を開始します。

remote 1 ap 0 ike dpd use on

DPD監視の設定をします。

remote 1 ap 0 tunnel remote 220.220.248.2

IPsecトンネルの宛先アドレスの設定をします。

remote 1 ap 0 sessionwatch address 192.168.2.1 192.168.1.1

接続先セッション監視の設定をします。

接続先復旧時にSi-Rから再度IPsecを張りに行く契機となります。

• 192.168.1.1 : ICMP ECHOパケットの宛先IPアドレス。
• 192.168.2.1 : ICMP ECHOパケットの送信元IPアドレス。

remote 1 ip route 0 192.168.1.0/24 1 0

IPsecインターフェース向けに対向装置1812JのLAN側ネットワークを設定します。

• 1 : metric値。通常は1で構いません。
• 0 : distance値。通常は0で構いません。

remote 1 ip msschange 1300

MSS値に1300byteを設定します

syslog pri error,warn,info
syslog facility 23

システムログ情報の出力情報／出力対象ファシリティの設定をします。通常はこのままで構いません。

time zone 0900

タイムゾーンを設定します。通常はこのままで構いません。

consoleinfo autologout 8h
telnetinfo autologout 5m

シリアルコンソール、TELNETコネクションの入出力がない場合のコネクション切断時間を設定します。通常はこのままで構いません。

terminal charset SJIS

ターミナルで使用する漢字コードをShift JISコードに設定します。