PDM を使用したファイアウォール間の冗長トンネルの作成

ダウンロードオプション

PDF (1.4 MB)
Adobe Reader を使ってさまざまなデバイスで表示
ePub (1.4 MB)
iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
Mobi (Kindle) (1.6 MB)
Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示

Updated: 2006 年 2 月 2 日

Document ID:66166

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポートコンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

内容

概要

前提条件

要件

使用するコンポーネント

ネットワーク図

表記法

背景説明

コンフィギュレーション

構成手順

確認

トラブルシュート

概要

このドキュメントでは、Cisco PIX Device Manager（PDM）を使用して、2 つの PIX Firewall 間にトンネルを設定するために使用する手順について説明します。PIX Firewall は、2 つの異なるサイトに配置されます。プライマリパスに到達できない場合は、冗長リンクを経由するトンネルを開始することを推奨します。IPSec とは、IPSec ピア間でデータの機密性、データの完全性、およびデータの発信元の認証を提供するオープンスタンダードの組み合わせです。

前提条件

要件

このドキュメントに特有の要件はありません。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

6.xおよびPDMバージョン3.0が稼働するCisco Secure PIX 515E Firewall

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

ネットワーク図

このドキュメントでは、次のネットワークセットアップを使用します。

表記法

ドキュメント表記の詳細については、『シスコテクニカルティップスの表記法』を参照してください。

背景説明

IPsecネゴシエーションは5つのステップに分けられ、2つのInternet Key Exchange（IKE；インターネット鍵交換）フェーズが含まれます。

対象トラフィックによって IPsec トンネルが開始されます。IPsec ピアの間を転送されるトラフィックは、対象トラフィックとみなされます。

IKE フェーズ 1 では、IPsec ピア同士が、IKE セキュリティアソシエーション（SA）ポリシーについてネゴシエートします。ピアが認証されると、Internet Security Association and Key Management Protocol（ISAKMP）を使用して安全なトンネルが作成されます。

IKE フェーズ 2 では、IPsec ピア同士が認証済みの安全なトンネルを使用して、IPsec SA トランスフォームをネゴシエートします。共有ポリシーのネゴシエーションによって、IPsec トンネルの確立方法が決まります。

IPsec トンネルが作成され、IPsec トランスフォームセットに設定された IPsec パラメータに基づいて、IPsec 間でデータが伝送されます。

IPsec SA が削除されるか、そのライフタイムの有効期限が切れると、IPsec トンネルは終了します。

注：ピアで両方のIKEフェーズのSAが一致しない場合、2つのPIX間のIPSecネゴシエーションは失敗します。

コンフィギュレーション

この手順では、対象トラフィックが存在する場合にトンネルをトリガーするPIXファイアウォールの1つの設定について説明します。この設定は、PIX-01とPIX-02の間にルータ1(R1)を経由する接続がない場合に、ルータ2(R2)を経由するバックアップリンクを介したトンネルの確立にも役立ちます。このドキュメントでは、PDMを使用したPIX-01の設定について説明します。PIX-02は同様の回線で設定できます。

このドキュメントでは、ルーティングがすでに設定されていることを前提としています。

一度に1つのリンクしかアップ状態にならない場合は、R2が192.168.1.0ネットワークおよび172.30.0.0ネットワークに対して、より悪いメトリックをアドバタイズするようにします。たとえば、ルーティングにRIPを使用する場合、R2は他のネットワークアドバタイズメントとは別に次の設定になります。

R2(config)#router rip
R2(config-router)#offset-list 1 out 2 s1 
R2(config-router)#offset-list 2 out 2 e0
R2(config-router)#exit 
R2(config)#access-list 1 permit 172.30.0.0 0.0.255.255
R2(config)#access-list 2 permit 192.168.1.0 0.0.0.255

構成手順

https://<Inside_IP_Address_on_PIX>と入力してPDMを起動し、初めて[VPN]タブをクリックすると、自動VPNウィザードに関する情報が表示されます。

[Wizards] > [VPN Wizard]を選択します。
VPNウィザードが起動し、設定するVPNのタイプを入力するように求められます。Site-to-Site VPNを選択し、VPNを有効にするインターフェイスとしてoutsideインターフェイスを選択し、Nextをクリックします。
IPsecトンネルが終了するピアIPアドレスを入力します。この例では、トンネルはPIX-02の外部インターフェイスで終了します。[Next]をクリックします。
使用するIKEポリシーパラメータを入力し、[Next]をクリックします。
トランスフォームセットの暗号化パラメータと認証パラメータを指定し、[Next]をクリックします。
保護する必要がある対象トラフィックを選択するには、IPsecを使用して保護する必要があるローカルネットワークとリモートネットワークを選択します。