技術情報 : Si-R/Si-R brinシリーズ設定例

（NTT東日本 / NTT西日本フレッツ光ネクスト）

インターネットVPN（IPsecアグレッシブモード）拠点間接続

インターネットVPN（IPsecアグレッシブモード）で拠点間を接続する設定例です。

設定例

• id-a@ispにはSi-R G_1のISPのIDを設定してください。
• pwd-a@ispにはSi-R G_1のISPのパスワードを設定してください。
• id-b@ispにはSi-R G_2のISPのIDを設定してください。
• pwd-b@ispにはSi-R G_2のISPのパスワードを設定してください。
• sir2にはSi-R G_2のIPsecのID（装置識別情報）を設定してください。
• sir2-keyにはIPsec鍵を設定してください。

Si-R G_1設定例

ether 1 1 flowctl off off

ether 1 1 vlan untag 1

ether 1 2 use off

ether 2 1-8 flowctl off off

ether 2 1-8 vlan untag 2

lan 1 ip address 192.168.1.1/24 3

lan 1 vlan 2

remote 0 name internet

remote 0 mtu 1454

remote 0 ap 0 name pppoe

remote 0 ap 0 datalink bind vlan 1

remote 0 ap 0 ppp auth send id-a@isp pwd-a@isp

remote 0 ap 0 keep connect

remote 0 ppp ipcp vjcomp disable

remote 0 ip address local 220.220.248.2

remote 0 ip route 0 default 1 1

remote 0 ip nat mode multi 220.220.248.2 1 5m

remote 0 ip nat static 0 220.220.248.2 500 220.220.248.2 500 17

remote 0 ip nat static 1 220.220.248.2 any 220.220.248.2 any 50

remote 0 ip msschange 1414

remote 1 name Si-RG_2

remote 1 ap 0 name ipsec

remote 1 ap 0 datalink type ipsec

remote 1 ap 0 ipsec type ike

remote 1 ap 0 ipsec ike protocol esp

remote 1 ap 0 ipsec ike encrypt aes-cbc-256

remote 1 ap 0 ipsec ike auth hmac-sha256

remote 1 ap 0 ipsec ike pfs modp1536

remote 1 ap 0 ike name remote sir2

remote 1 ap 0 ike shared key text sir2-key

remote 1 ap 0 ike proposal 0 encrypt aes-cbc-256

remote 1 ap 0 ike proposal 0 hash hmac-sha256

remote 1 ap 0 ike proposal 0 pfs modp1536

remote 1 ap 0 tunnel local 220.220.248.2

remote 1 ap 0 sessionwatch address 192.168.1.1 192.168.2.1

remote 1 ip route 0 192.168.2.0/24 1 1

remote 1 ip msschange 1300

syslog pri error,warn,info

syslog facility 23

time zone 0900

consoleinfo autologout 8h

telnetinfo autologout 5m

terminal charset SJIS

Si-R G_2設定例

ether 1 1 flowctl off off

ether 1 1 vlan untag 1

ether 1 2 use off

ether 2 1-8 flowctl off off

ether 2 1-8 vlan untag 2

lan 1 ip address 192.168.2.1/24 3

lan 1 vlan 2

remote 0 name internet

remote 0 mtu 1454

remote 0 ap 0 name pppoe

remote 0 ap 0 datalink bind vlan 1

remote 0 ap 0 ppp auth send id-b@isp pwd-b@isp

remote 0 ap 0 keep connect

remote 0 ppp ipcp vjcomp disable

remote 0 ip route 0 220.220.248.2/32 1 1

remote 0 ip nat mode multi any 1 5m

remote 0 ip nat static 0 192.168.2.1 500 any 500 17

remote 0 ip nat static 1 192.168.2.1 any any any 50

remote 0 ip msschange 1414

remote 1 name Si-RG_1

remote 1 ap 0 name ipsec

remote 1 ap 0 datalink type ipsec

remote 1 ap 0 ipsec type ike

remote 1 ap 0 ipsec ike protocol esp

remote 1 ap 0 ipsec ike encrypt aes-cbc-256

remote 1 ap 0 ipsec ike auth hmac-sha256

remote 1 ap 0 ipsec ike pfs modp1536

remote 1 ap 0 ike name local sir2

remote 1 ap 0 ike shared key text sir2-key

remote 1 ap 0 ike proposal 0 encrypt aes-cbc-256

remote 1 ap 0 ike proposal 0 hash hmac-sha256

remote 1 ap 0 ike proposal 0 pfs modp1536

remote 1 ap 0 tunnel remote 220.220.248.2

remote 1 ap 0 sessionwatch address 192.168.2.1 192.168.1.1

remote 1 ip route 0 default 1 1

remote 1 ip msschange 1300

syslog pri error,warn,info

syslog facility 23

time zone 0900

consoleinfo autologout 8h

telnetinfo autologout 5m

terminal charset SJIS

解説

Si-R G_1設定解説

ether 1 1 flowctl off off

ether1 1ポートでフロー制御機能を無効にします。

ether 1 1 vlan untag 1

ether1 1ポートをTag なしVLAN1に設定します。

ether 1 2 use off

ether 1 2ポートを無効にします。

ether 2 1-8 flowctl off off

ether2 1-8ポートでフロー制御機能を無効にします。

ether 2 1-8 vlan untag 2

ether2 1-8ポートをTag なしVLAN2に設定します。

lan 1 ip address 192.168.1.1/24 3

LAN側IPアドレスを設定します。

• 192.168.1.1/24 : LAN側のIPアドレス/マスクです。
• 3 :ブロードキャストアドレスのタイプです。通常は3で構いません。

lan 1 vlan 2

VLAN ID とlan 定義番号の関連付けを行います。
LAN1にTag なしVLAN2を設定します。

remote 0 name internet

インターネット接続用インターフェースの名前（任意）を設定します。

remote 0 mtu 1454

Bフレッツ・フレッツADSLでは、MTU長を1454byteに設定します。

remote 0 ap 0 name pppoe

アクセスポイントの名前（任意、remote nameと同じでも可）を設定します。

remote 0 ap 0 datalink bind vlan 1

インターネット向けパケットの転送先をvlan 1インターフェースに設定します。

remote 0 ap 0 ppp auth send id-a@isp pwd-a@isp
								

認証ID、パスワードを設定します。

remote 0 ap 0 keep connect

インターネットへ常時接続します。

remote 0 ppp ipcp vjcomp disable

VJヘッダー圧縮を使用しない設定にします。

remote 0 ip address local 220.220.248.2

WAN側IPアドレスを設定します。

remote 0 ip route 0 default 1 1

WAN側インターフェースにデフォルトルートを設定します。

• 1 : metric値です。通常は1で構いません。
• 1 : distance値です。通常は1で構いません。

remote 0 ip nat mode multi 220.220.248.2 1 5m

マルチNATを設定します。

remote 0 ip nat static 0 220.220.248.2 500 220.220.248.2 500 17
remote 0 ip nat static 1 220.220.248.2 any 220.220.248.2 any 50

スタティックNATにより、IKE,ESPパケットを通す設定をします。

remote 0 ip msschange 1414

MSS値です。1414byte（注1）を設定します。
（注1）1454（MTU長）-40（TCP/IPヘッダー長）

remote 1 name Si-RG_2

Si-R G_2向けIPsecインターフェースの名前（任意）を設定します。

remote 1 ap 0 name ipsec

アクセスポイントの名前（任意、remote nameと同じでも可）を設定します。

remote 1 ap 0 datalink type ipsec

パケット転送方法としてIPsecを設定します。

remote 1 ap 0 ipsec type ike

IPsec情報のタイプにIPsec自動鍵交換を設定します。

remote 1 ap 0 ipsec ike protocol esp

自動鍵交換用IPsec情報のセキュリティプロトコルにESP（暗号）を設定します。

remote 1 ap 0 ipsec ike encrypt aes-cbc-256

自動鍵交換用IPsec情報の暗号情報にAES256ビットを設定します。

remote 1 ap 0 ipsec ike auth hmac-sha256

自動鍵交換用IPsec情報の認証情報にSHA2を設定します。

remote 1 ap 0 ipsec ike pfs modp1536

自動鍵交換用IPsec情報のPFS使用時のDH（Diffie-Hellman）グループにmodp1536を設定します。

remote 1 ap 0 ike name remote sir2
								

IKE情報の相手装置識別情報を設定します。

remote 1 ap 0 ike shared key text sir2-key
								

IKE情報の自側装置識別情報を設定します。

remote 1 ap 0 ike proposal 0 encrypt aes-cbc-256

IKEセッション用暗号情報の暗号アルゴリズムにAES256ビットを設定します。

remote 1 ap 0 ike proposal 0 hash hmac-sha256

IKEセッション用の認証情報にSHA2を設定します。

remote 1 ap 0 ike proposal 0 pfs modp1536

IKE情報のPFS使用時のDH（Diffie-Hellman）グループにmodp1536を設定します。

remote 1 ap 0 tunnel local 220.220.248.2

IPsecトンネルの自側アドレスの設定をします。

remote 1 ap 0 sessionwatch address 192.168.1.1 192.168.2.1

接続先セッション監視の設定をします。

• 192.168.1.1 : ICMP ECHOパケットの送信元IPアドレスです。
• 192.168.2.1 : ICMP ECHOパケットの宛先IPアドレスです。

remote 1 ip route 0 192.168.2.0/24 1 1

対向装置Si-R G_2のLAN側ネットワークへのスタティックルートを設定します。

• 192.168.2.0/24 : 対向装置Si-R G_2のLAN側ネットワークです。
• 1 : metric値です。通常は1で構いません。
• 1 : distance値です。通常は1で構いません。

remote 1 ip msschange 1300

MSS値に1300byteを設定します。

syslog pri error,warn,info
syslog facility 23

システムログ情報の出力情報/出力対象ファシリティの設定をします。通常はこのままで構いません。

time zone 0900

タイムゾーンを設定します。通常はこのままで構いません。

consoleinfo autologout 8h
telnetinfo autologout 5m

シリアルコンソール、TELNETコネクションの入出力がない場合のコネクション切断時間を設定します。通常はこのままで構いません。

terminal charset SJIS

ターミナルで使用する漢字コードをShift JISコードに設定します。

Si-R G_2設定解説

ether 1 1 flowctl off off

ether1 1ポートでフロー制御機能を無効にします。

ether 1 1 vlan untag 1

ether1 1ポートをTag なしVLAN1に設定します。

ether 1 2 use off

ether 1 2ポートを無効にします。

ether 2 1-8 flowctl off off

ether2 1-8ポートでフロー制御機能を無効にします。

ether 2 1-8 vlan untag 2

ether2 1-8ポートをTag なしVLAN2に設定します。

lan 1 ip address 192.168.2.1/24 3

LAN側IPアドレスを設定します。

• 192.168.2.1/24 : LAN側のIPアドレス/マスクです。
• 3 :ブロードキャストアドレスのタイプです。通常は3で構いません。

lan 1 vlan 2

VLAN ID とlan 定義番号の関連付けを行います。
LAN1にTag なしVLAN2を設定します。

remote 0 name internet

インターネット接続用インターフェースの名前（任意）を設定します。

remote 0 mtu 1454

Bフレッツ・フレッツADSLでは、MTU長を1454byteに設定します。

remote 0 ap 0 name pppoe

アクセスポイントの名前（任意、remote nameと同じでも可）を設定します。

remote 0 ap 0 datalink bind vlan 1

インターネット向けパケットの転送先をvlan 1インターフェースに設定します。

remote 0 ap 0 ppp auth send id-b@isp pwd-b@isp
								

認証ID、パスワードを設定します。

remote 0 ap 0 keep connect

インターネットへ常時接続します。

remote 0 ppp ipcp vjcomp disable

VJヘッダー圧縮を使用しない設定にします。

remote 0 ip route 0 220.220.248.2/32 1 1

対向装置のトンネルエンドポイントを設定します。

• 220.220.248.2/32 : 対向装置Si-R G_1のWAN側ネットワークです。
• 1 : metric値です。通常は1で構いません。
• 1 : distance値です。通常は1で構いません。

remote 0 ip nat mode multi any 1 5m

マルチNATを設定します。

remote 0 ip nat static 0 192.168.2.1 500 any 500 17
remote 0 ip nat static 1 192.168.2.1 any any any 50

スタティックNATにより、IKE,ESPパケットを通す設定をします。

remote 0 ip msschange 1414

MSS値。1414byte（注1）を設定します。
（注1）1454（MTU長）-40（TCP/IPヘッダー長）

remote 1 name Si-RG_1

Si-R G_1向けIPsecインターフェースの名前（任意）を設定します。

remote 1 ap 0 name ipsec

アクセスポイントの名前（任意、remote nameと同じでも可）を設定します。

remote 1 ap 0 datalink type ipsec

パケット転送方法としてIPsecを設定します。

remote 1 ap 0 ipsec type ike

IPsec情報のタイプにIPsec自動鍵交換を設定します。

remote 1 ap 0 ipsec ike protocol esp

自動鍵交換用IPsec情報のセキュリティプロトコルにESP（暗号）を設定します。

remote 1 ap 0 ipsec ike encrypt aes-cbc-256

自動鍵交換用IPsec情報の暗号情報にAES256ビットを設定します。

remote 1 ap 0 ipsec ike auth hmac-sha256

自動鍵交換用IPsec情報の認証情報にSHA2を設定します。

remote 1 ap 0 ipsec ike pfs modp1536

自動鍵交換用IPsec情報のPFS使用時のDH（Diffie-Hellman）グループにmodp1536を設定します。

remote 1 ap 0 ike name local sir2
								

IKE情報の自側装置識別情報を設定します。

remote 1 ap 0 ike shared key text sir2-key
								

IKE情報の自側装置識別情報を設定します。

remote 1 ap 0 ike proposal 0 encrypt aes-cbc-256

IKEセッション用暗号情報の暗号アルゴリズムにAES256ビットを設定します。

remote 1 ap 0 ike proposal 0 hash hmac-sha256

IKEセッション用暗号情報の暗号アルゴリズムにAES256ビットを設定します。

remote 1 ap 0 ike proposal 0 pfs modp1536

IKE情報のPFS使用時のDH（Diffie-Hellman）グループにmodp1536を設定します。

remote 1 ap 0 tunnel remote 220.220.248.2

IPsecトンネルの宛先アドレスの設定をします。

remote 1 ap 0 sessionwatch address 192.168.2.1 192.168.1.1

接続先セッション監視の設定をします。

• 192.168.2.1 : ICMP ECHOパケットの送信元IPアドレスです。
• 192.168.1.1 : ICMP ECHOパケットの宛先IPアドレスです。

remote 1 ip route 0 default 1 1

IPsecインターフェース向けにデフォルトルートを設定します。

• 1 : metric値です。通常は1で構いません。
• 1 : distance値です。通常は1で構いません。

remote 1 ip msschange 1300

MSS値に1300byteを設定します。

syslog pri error,warn,info

syslog facility 23

システムログ情報の出力情報/出力対象ファシリティの設定をします。通常はこのままで構いません。

time zone 0900

タイムゾーンを設定します。通常はこのままで構いません。

consoleinfo autologout 8h

telnetinfo autologout 5m

シリアルコンソール、TELNETコネクションの入出力がない場合のコネクション切断時間を設定します。通常はこのままで構いません。

terminal charset SJIS

ターミナルで使用する漢字コードをShift JISコードに設定します。