IPv6 IPsec VPN

CLIクイック構成

この例を迅速に設定するには、以下のコマンドをコピーして、テキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。

ステップバイステップでの手順

次の例では、設定階層のいくつかのレベルに移動する必要があります。その方法の詳細については、CLIユーザー ガイドの設定モードにおけるCLIエディターの使用を参照してください。

セキュリティ アルゴリズムを設定するには:

1. 認証パラメーターを構成します。

2. 暗号化パラメータを設定します。

3. SAの送信インターフェイスを指定します。

4. ピアの IPv6 アドレスを指定します。

5. IPsec プロトコルを定義します。

6. SPIを設定します。

結果

設定モードから、show security ipsec vpn vpn-sunnyvaleコマンドを入力して設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。

目的

セキュリティアルゴリズムが適用されているかどうかを判断します。

アクション

動作モードからshow security ipsec security-associationsコマンドを入力します。

CLIクイック構成

この例を迅速に設定するには、以下のコマンドをコピーして、テキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。

ステップバイステップでの手順

次の例では、設定階層のいくつかのレベルに移動する必要があります。その方法の詳細については、CLIユーザー ガイドの設定モードにおけるCLIエディターの使用を参照してください。

基本的なネットワーク、セキュリティゾーン、アドレス帳情報を設定するには、次の手順に従います。

1. イーサネット インターフェイス情報を設定します。

2. 静的ルートの情報を設定します。

3. Untrustセキュリティ ゾーンを設定します。

4. インターフェイスを Untrust セキュリティ ゾーンに割り当てます。

5. Untrustセキュリティ ゾーンで許可されたシステム サービスを指定します。

6. Trustセキュリティ ゾーンを設定します。

7. Trustセキュリティ ゾーンにインターフェイスを割り当てます。

8. Trustセキュリティ ゾーンで許可されたシステム サービスを指定します。

9. アドレス帳を作成し、そのアドレス帳にゾーンをアタッチします。

10. アドレス帳をもう1つ作成し、そのアドレス帳にゾーンをアタッチします。

結果

設定モードから、show interfaces 、show routing-options、show security zones、およびshow security address-book のコマンドを入力して設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。

デバイスの設定が完了したら、設定モードから commit を入力します。

CLIクイック構成

この例を迅速に設定するには、以下のコマンドをコピーして、テキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。

ステップバイステップでの手順

次の例では、設定階層のいくつかのレベルに移動する必要があります。その方法の詳細については、CLIユーザー ガイドの設定モードにおけるCLIエディターの使用を参照してください。

IKEを設定するには、次の手順に従います。

1. IKEフェーズ1のプロポーザルを作成します。

2. IKEプロポーザルの認証方法を定義します。

3. IKEプロポーザルのDiffie-hellmanグループを定義します。

4. IKEプロポーザルの認証アルゴリズムを定義します。

5. IKEプロポーザルの暗号化アルゴリズムを定義します。

6. IKEポリシー1のポリシーを作成します。

7. IKEフェーズ1ポリシーモードを設定します。

8. IKEプロポーザルへのリファレンスを指定します。

9. IKEフェーズ1ポリシー認認証方法を定義します。

10. IKE フェーズ 1 ゲートウェイを作成し、その外部インターフェイスを定義します。

11. IKEフェーズ1のポリシーリファレンスを定義します。

12. IKE フェーズ 1 ゲートウェイに IP アドレスを割り当てます。

結果

設定モードから、show security ikeコマンドを入力して設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。

デバイスの設定が完了したら、設定モードから commit を入力します。

CLIクイック構成

この例を迅速に設定するには、以下のコマンドをコピーして、テキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。

ステップバイステップでの手順

次の例では、設定階層のいくつかのレベルに移動する必要があります。その方法の詳細については、CLIユーザー ガイドの設定モードにおけるCLIエディターの使用を参照してください。

IPsecを設定するには、次の手順に従います。

1. IPsecフェーズ2のプロポーザルを作成します。

2. IPsecフェーズ2のプロポーザルプロトコルを指定します。

3. IPsecフェーズ2のプロポーザル認証アルゴリズムを指定します。

4. IPsecフェーズ2のプロポーザルの暗号化アルゴリズムを指定します。

5. IPsecフェーズ2のポリシーを作成します。

6. IPsecフェーズ2のプロポーザルリファレンスを指定します。

7. IPsecフェーズ2のPFSがDiffie-Hellman group 2を使用するよう指定します。

8. IKEゲートウェイを指定します。

9. IPsecフェーズ2ポリシーを指定します。

結果

設定モードから、show security ipsecコマンドを入力して設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。

デバイスの設定が完了したら、設定モードから commit を入力します。

CLIクイック構成

この例を迅速に設定するには、以下のコマンドをコピーして、テキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。

ステップバイステップでの手順

次の例では、設定階層のいくつかのレベルに移動する必要があります。その方法の詳細については、CLIユーザー ガイドの設定モードにおけるCLIエディターの使用を参照してください。

セキュリティ ポリシーを設定するには、次の手順に従います。

1. Trust ゾーンから Untrust ゾーンへのトラフィックを許可するセキュリティ ポリシーを作成します。

2. Untrust ゾーンから Trust ゾーンへのトラフィックを許可するセキュリティ ポリシーを作成します。

3. Trust ゾーンから Untrust ゾーンへのトラフィックを許可するセキュリティ ポリシーを作成します。

4. vpn-tr-untrセキュリティポリシーがallowed-anyセキュリティポリシーの上に配置されるように、セキュリティポリシーの順序を変更します。

結果

設定モードから、show security policiesコマンドを入力して設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。

デバイスの設定が完了したら、設定モードから commit を入力します。

CLIクイック構成

この例を迅速に設定するには、以下のコマンドをコピーして、テキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。

ステップバイステップでの手順

TCP-MSS情報を設定するには、次の手順に従います。

1. TCP-MSS情報を設定します。

結果

設定モードから、show security flowコマンドを入力して設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。

デバイスの設定が完了したら、設定モードから commit を入力します。

目的

IKEフェーズ1ステータスを確認します。

アクション

検証プロセスを開始する前に、サニーベールのホストからシカゴのホストにトラフィックを送信する必要があります。ポリシーベースのVPNの場合、別のホストがトラフィックを生成する必要があります。SRXシリーズファイアウォールから開始されたトラフィックは、VPNポリシーに一致しません。テスト トラフィックは、VPN の片側にある別のデバイスから VPN の反対側にある別のデバイスに移動することをお勧めします。例えば、2001:db8:3::2/96 から 2001:db8:0::2/96 まで ping を開始します。

動作モードからshow security ike security-associationsコマンドを入力します。コマンドからインデックス番号を取得した後、show security ike security-associations index index_number detailコマンドを使用します。

意味

show security ike security-associations コマンドは、すべてのアクティブな IKE フェーズ 1 セキュリティー アソシエーション(SA)を一覧表示します。SAが表示されない場合は、フェーズ1の確立に問題があったことを示しています。設定でIKEポリシー パラメータと外部インターフェイスの設定を確認してください。

SAが表示される場合は、次の情報を確認します。

• インデックス—この値は、各IKE SAに固有のもので、show security ike security-associations index index_number detail コマンドで使用すると、SAの詳細な情報を得ることができます。

• Remote Address - リモート IP アドレスが正しいかどうかを確認します。

• State

  • UP - フェーズ1のSAが確立されました。

  • DOWN - フェーズ1のSAの確立に問題がありました。

• Mode：正しいモードが使用されていることを確認してください。

設定で以下が適切か検証します。

• 外部インターフェイス（IKEパケットを受信するインターフェイスが必要です）

• IKEポリシー パラメータ

• 事前共有鍵情報

• フェーズ1のプロポーザルパラメーター（両ピアで一致する必要があります）

show security ike security-associations index 5 detailコマンドは、インデックス番号5のセキュリティ アソシエーションに関する追加情報を表示します。

• 使用している認証および暗号化アルゴリズム

• フェーズ1のライフタイム

• トラフィック統計情報（トラフィックが双方向へ正しく流れていることを検証するために使用できます）

• 開始側と応答側のロール情報

  トラブルシューティングは、レスポンダ ロールを使用してピア上で実行することが最適です。

• 作成されたIPsec SAの数

• 進行中のフェーズ2ネゴシエーションの数

目的

IPsec フェーズ 2 のステータスを確認します。

アクション

動作モードからshow security ipsec security-associationsコマンドを入力します。コマンドからインデックス番号を取得した後、show security ipsec security-associations index index_number detailコマンドを使用します。

意味

show security ipsec security-associationsコマンドからの出力には、次の情報が表示されます。

• ID番号は2です。この値を show security ipsec security-associations index コマンドと併用して、この特定の SA に関する詳細情報を取得します。

• ポート500を使用する1つのIPsec SAペアがあり、NATトラバーサルが未実装であることを示しています。（NATトラバーサルは、ポート4500またはその他のランダムな数字の大きいポートを使用します。）

• 両方向のSPI、ライフタイム（秒）、使用制限（またはKBで示したライフサイズ）が表示されます。3597/unlim 値は、フェーズ 2 のライフタイムの期限が 3597 秒であり、ライフサイズが指定されていないことを示しており、ライフタイムが無制限であることを示しています。フェーズ2のライフタイムは フェーズ1のライフタイムと異なる場合があります。これはVPNが起動した後にフェーズ2はフェーズ1に依存しなくなるからです。

• 月曜の列にあるハイフンが示すとおり、このSAでVPN監視は有効化されていません。VPN監視が有効になっている場合、U(アップ)またはD(ダウン)が表示されます。

• 仮想システム（vsys）はルート システムであり、常に0が表示されます。

show security ipsec security-associations index 2 detailコマンドからの出力には、次の情報が表示されます。

• ローカルおよびリモートの ID により、SA のプロキシ ID が構成されます。

  プロキシIDの不一致は、フェーズ2の失敗で最もよくある理由の1つです。ポリシーベース VPN の場合、プロキシー ID はセキュリティ ポリシーから取得されます。ローカルアドレスとリモートアドレスはアドレス帳エントリから派生し、サービスはポリシー用に構成されたアプリケーションから派生します。プロキシIDが一致しないためにフェーズ2が失敗した場合は、ポリシーを使用して、設定されているアドレス帳エントリを確認できます。アドレスが送信する情報と一致することを確認します。サービスをチェックして、ポートが送信される情報と一致していることを確認します。

  一部のサードパーティー ベンダーでは、プロキシIDを手動で入力して照合する必要があります。