LAN のサブネットが重複しているルータ間での IPSec トンネルの設定
概要
このドキュメントでは、同じ IP アドレッシング方式を使用する 2 つの企業の合併をシミュレートするネットワーキングの例について説明します。２ 台のルータが VPN トンネル経由で接続されます。各ルータの背後のネットワークは同一です。一方のサイトから他方のサイトのホストにアクセスできるように、ルータでネットワーク アドレス変換（NAT）を使用して送信元アドレスと宛先アドレスの両方が異なるサブネットに変更されます。
注：このような設定は、ネットワーク管理の観点から見ると混乱を招くおそれがあるため、永久的な設定としては推奨しません。
前提条件
要件
このドキュメントに特有の要件はありません。
使用するコンポーネント
このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。
-
ルータ A：Cisco IOS®ソフトウェアリリース12.3(4)Tが稼働するCisco 3640ルータ
-
ルータ B：Cisco IOS® ソフトウェア リリース 12.3(5) を実行している Cisco 2621 ルータ
このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。
表記法
ドキュメントの表記法の詳細は、「シスコ テクニカル ティップスの表記法」を参照してください。
背景説明
この例では、サイトAのホスト172.16.1.2がサイトBの同じIPアドレスのホストにアクセスすると、実際のアドレスではなく172.19.1.2アドレスに接続172.16.1.2ます。サイトBのホストがサイトAにアクセスすると、172.18.1.2アドレスに接続します。ルータ A 上の NAT では、172.16.x.x のアドレスは、172.18.x.x のホスト エントリに一致するように変換されます。ルータ B の NAT では、172.16.x.x を 172.19.x.x に変換します。
各ルータの暗号機能は、シリアルインターフェイスを介して変換されたトラフィックを暗号化します。NATはルータ上で暗号化の前に発生することに注意してください。
注：この設定では、2つのネットワークの通信のみが許可されます。インターネット接続には使用できません。2つのサイト以外の場所に接続するには、インターネットへの追加パスが必要です。つまり、ホストに複数のルートが設定された別のルータまたはファイアウォールを両側に追加する必要があります。
設定
このセクションでは、このドキュメントで説明する機能を設定するために必要な情報を提供しています。
注：この文書で使用されているコマンドの詳細を調べるには、「Command Lookup ツール」を使用してください（登録ユーザのみ）。
ネットワーク図
このドキュメントでは、次のネットワーク セットアップを使用します。
設定
このドキュメントでは、次の構成を使用します。
| ルータ A |
|---|
Current configuration : 1404 bytes ! version 12.3 service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname SV3-2 ! boot-start-marker boot-end-marker ! ! no aaa new-model ip subnet-zero ! ! ! ! ip audit notify log ip audit po max-events 100 ip ssh break-string no ftp-server write-enable ! ! !--- These are the Internet Key Exchange (IKE) parameters. crypto isakmp policy 10 encr 3des hash md5 authentication pre-share crypto isakmp key cisco123 address 10.5.76.57 ! !--- These are the IPSec parameters. crypto ipsec transform-set myset1 esp-3des esp-md5-hmac ! ! crypto map mymap 10 ipsec-isakmp set peer 10.5.76.57 set transform-set myset1 !--- Encrypt traffic to the other side. match address 100 ! ! ! interface Serial0/0 description Interface to Internet ip address 10.5.76.58 255.255.0.0 ip nat outside clockrate 128000 crypto map mymap ! interface Ethernet0/0 ip address 172.16.1.1 255.255.255.0 no ip directed-broadcast ip nat inside half-duplex ! ! !--- This is the NAT traffic. ip nat inside source static network 172.16.0.0 172.18.0.0 /16 no-alias ip http server no ip http secure-server ip classless ip route 0.0.0.0 0.0.0.0 Serial0/0 ! !--- Encrypt traffic to the other side. access-list 100 permit ip 172.18.0.0 0.0.255.255 172.19.0.0 0.0.255.255 ! control-plane ! ! line con 0 line aux 0 line vty 0 4 ! ! end |
| ルータ B |
|---|
Current configuration : 1255 bytes ! version 12.3 service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname SV3-15 ! boot-start-marker boot-end-marker ! ! memory-size iomem 15 no aaa new-model ip subnet-zero ! ! ! ip audit notify log ip audit po max-events 100 ! !--- These are the IKE parameters. crypto isakmp policy 10 encr 3des hash md5 authentication pre-share crypto isakmp key cisco123 address 10.5.76.58 ! !--- These are the IPSec parameters. crypto ipsec transform-set myset1 esp-3des esp-md5-hmac ! crypto map mymap 10 ipsec-isakmp set peer 10.5.76.58 set transform-set myset1 !--- Encrypt traffic to the other side. match address 100 ! ! interface FastEthernet0/0 ip address 172.16.1.1 255.255.255.0 ip nat inside duplex auto speed auto ! interface Serial0/0 description Interface to Internet ip address 10.5.76.57 255.255.0.0 ip nat outside crypto map mymap ! !--- This is the NAT traffic. ip nat inside source static network 172.16.0.0 172.19.0.0 /16 no-alias ip http server no ip http secure-server ip classless ip route 0.0.0.0 0.0.0.0 Serial0/0 ! !--- Encrypt traffic to the other side. access-list 100 permit ip 172.19.0.0 0.0.255.255 172.18.0.0 0.0.255.255 ! ! line con 0 line aux 0 line vty 0 4 ! ! ! end |
確認
ここでは、設定が正しく機能していることを確認するために使用する情報を示します。
一部の show コマンドはアウトプット インタープリタ ツールによってサポートされています（登録ユーザ専用）。このツールを使用することによって、show コマンド出力の分析結果を表示できます。
-
show crypto ipsec sa：フェーズ 2 のセキュリティ アソシエーションを表示します。
-
show crypto isakmp sa：フェーズ 1 のセキュリティ アソシエーションを表示します。
-
show ip nat translation：現在使用されているNAT変換を表示します。
トラブルシュート
ここでは、設定のトラブルシューティングに使用できる情報を示します。
トラブルシューティングのためのコマンド
一部の show コマンドはアウトプット インタープリタ ツールによってサポートされています（登録ユーザ専用）。このツールを使用することによって、show コマンド出力の分析結果を表示できます。
注：debugコマンドを発行する前に、『debugコマンドの重要な情報』を参照してください。
-
debug crypto ipsec：フェーズ 2 の IPSec ネゴシエーションを表示します。
-
debug crypto isakmp：フェーズ 1 の Internet Security Association and Key Management Protocol（ISAKMP）ネゴシエーションを表示します。
-
debug crypto engine：暗号化されたトラフィックを表示します。
関連情報
更新履歴
| 改定 | 発行日 | コメント |
|---|---|---|
1.0 |
14-Jan-2008 |
初版 |
フィードバック