【設定事例集】IPSECの設定

VPNのなかで最も使われるIPSEC

今回も、ネットワーク機器の設定事例について掲載します。

今やどんなネットワークでもインターネットへの接続が必須となっています。

今回はいまだに多くの業者にて採用されているPPPoEの接続についてConfigの設定事例をアップします。

※ネスペの解説はサイトマップを見てください。

https://nwspgogomon.blogspot.com/2021/12/blog-post.html

IPSECとは

IPSECはインターネットにおいてIPパケットの機密性と完全性を保証する機能です。AHやESP、IKEというプロトコルから構成されており、それぞれの役割は以下です。

ちなみに覚え方は「行け！良いSP！あー！」です。

　・AH（アー）…IPパケットを認証するためのプロトコル

　・ESP（イ―エスピー）…データを暗号化するためのプロトコル。最近は認証機能も。

　・IKE（アイケイイー）…秘密鍵を交換するためのプロトコル。

今回作る構成

まずは、ネットワークの構成は以下です。

ちなみにIKEのフェーズごとの設定値は以下になります。

　・IKEフェーズ１…事前共有鍵：cisco

　・IKEフェーズ２…暗号化アルゴリズム：esp-aes

　・IKEフェーズ２…ハッシュアルゴリズム：esp-sha-hmac

今回の構成の作り方

IPSECは手順が多く、パッと見ただけではわからないため、メモを記載しておきます。

①IKEフェーズ１のポリシー定義

「crept isakmp policy」コマンドで最初にISAKMP SAを確立するためのパラメータを設定します、

②事前共有鍵の設定

「pre isakmp key」コマンドで認証用パスワードを設定します。

③IPSECトランスフォームセットの定義

IKEフェーズ２でIPSEC SAを確立するためのアルゴリズムを定義します。

④IPSECの対象トラフィックの定義

アクセスリストを使って、IPSECの対象となるトラフィックを指定します。

⑤暗号マップの定義

IPSEC対象のトラフィックやIPSECのピア、IPSECトランスフォームセットの組み合わせを定義します。

⑥IPSEC適用インターフェースの指定

どのインターフェースにIPSECを設定するか指定します。

Configの設定（要点のみ）

●Router１の定義

　hostname Router1

　＃①IKEフェーズ１のポリシー定義

　crypto isakmp policy 1

　 authentication pre-share

　#②事前共有鍵の設定

　crypto isakmp key cisco address 192.168.12.2

　#③IPSECトランスフォームセットの定義

　crypto ipsec transform-set IPSEC esp-aes esp-sha-hmac

　#④IPSECの対象トラフィックの定義

　access-list 100 permit ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255

　#⑤暗号マップの定義

　crypto map CMAP 1 ipsec-isakmp

　 set peer 192.168.12.2

　 set transform-set IPSEC

　 match address 100

　#⑥IPSEC適用インターフェースの指定

　interface FastEthernet0/0

　 ip address 192.168.12.1 255.255.255.0

 　crypto map CMAP

　interface FastEthernet0/1

　 ip address 192.168.10.1 255.255.255.0

　ip route 0.0.0.0 0.0.0.0 192.168.12.2

●Router2の定義

　hostname Router2

　crypto isakmp policy 1

　 authentication pre-share

　crypto isakmp key cisco address 192.168.12.1

　crypto ipsec transform-set IPSEC esp-aes esp-sha-hmac

　access-list 100 permit ip 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255

　crypto map CMAP 1 ipsec-isakmp

　 set peer 192.168.12.1

　 set transform-set IPSEC

　 match address 100

　interface FastEthernet0/0

　 ip address 192.168.12.2 255.255.255.0

　 crypto map CMAP

　interface FastEthernet0/1

　 ip address 192.168.20.2 255.255.255.0

　ip route 0.0.0.0 0.0.0.0 192.168.12.1

さいごに

今回はGNS３で作りましたが、私のパソコンのせいか反応が遅い・・・

Cisco Packet Tracerはスイッチの機能は多いけどルータの機能は少ないし・・・

実機購入するか？

【設定事例集】PPPoEの設定

インターネット接続に必要なPPPoE！

今回も、ネットワーク機器の設定事例について掲載します。

今やどんなネットワークでもインターネットへの接続が必須となっています。

今回はいまだに多くの業者にて採用されているPPPoEの接続についてConfigの設定事例をアップします。

※ネスペの解説はサイトマップを見てください。

ちなみに今回参考にさせていただいたサイトはこちらです。

↓

https://www.infraexpert.com/study/wan9.html

PPPoEとは

まず、PPP（Point-to-Point Protcol）は、電話回線などを使いネットワークに接続するために開発されたものです。その仕組みをEthernetでも利用できるようにしたものがPPPoEです。ユーザ認証やIPアドレスの割り当てなどが利用可能になり、現在でも多くのサービスで利用されています。

今回作る構成

PPPoEの構成は以下です。

接続の条件は以下です。

●Router1)PPPoEクライアント側

　PPPoE接続用ユーザ名：user01

　PPPoE接続用パスワード：pass01

　Dialerインターフェース：自動割当方式

●Router2)PPPoEサーバ側

　PPPoEクライアントに払い出すアドレス：10.0.0.1～10.0.0.3

　PPP接続のユーザアカウント方式：chap

Configの設定（要点のみ）

今回はCisco PacketTracer8がどうやらPPPoE対応していないようでしたので、GNS3で作ってみました。IOSが古いのが気にはなりますが。

Router1の設定

PPPoEのClient側の設定です。通常回線業者とつなぐときは、こちらの設定だけとなります。

　hostname Router1

　

　ip route 0.0.0.0 0.0.0.0 Dialer1

　ip nat inside source list 1 interface Dialer1 overload

　access-list 1 permit 192.168.1.0 0.0.0.255

　

　interface FastEthernet0/0

　 ip address 192.168.1.254 255.255.255.0

　 ip nat inside

　

　interface FastEthernet0/1

　 no ip address

　 pppoe enable group global

　 pppoe-client dial-pool-number 1

　

　interface Dialer1

　#IPアドレスの自動割当設定

　 ip address negotiated

　 ip nat outside

　 encapsulation ppp

　#物理インターフェースとの紐づけ

　 dialer pool 1

　#PPPoEセッション開始トリガーとの紐づけ

　 dialer-group 1

　#CHAP認証

　 ppp authentication chap callin

　 ppp chap hostname user01

　 ppp chap password 0 pass01

　#PPPoEセッション開始トリガー

　dialer-list 1 protocol ip permit

Router2の設定

PPPoEのサーバ側の設定となります。

回線業者ではない私は、ルータの設定試験の時しか設定しません。

　hostname Router2

　#ユーザ情報の登録

　username user01 password 0 pass01

　

　interface Loopback0

　 ip address 10.0.0.254 255.255.255.255

　

　interface FastEthernet0/0

　 ip address 192.168.100.254 255.255.255.0

　 duplex auto

　 speed auto

　

　interface FastEthernet0/1

　 no ip address

　 duplex auto

　 speed auto

　 pppoe enable group GROUP

　

　ip local pool POOL 10.0.0.1 10.0.0.4

　

　interface Virtual-Template1

　#IPアンナ―バード設定

　 ip unnumbered Loopback0

　#PPPoEクライアントへのIPアドレス払い出し

　 peer default ip address pool POOL

　 ppp authentication chap

　#PPPoE着信のためのBBAグループ作成

　bba-group pppoe GROUP

　 virtual-template 1

　

動作確認

PPPoEでは動作確認としてRouter1にて以下のコマンドを実行します。

相手側のMACアドレスが取得できていれば、ひとまずOK！

Router1#show pppoe session

あと、DialerインターフェースにIPアドレスが自動的に割り当てっていればOKです。

Router1#show ip interface brief

さいごに

最近少しずつですが、アクセス数が増えてきました。

なんかうれしいです。あざす！

【設定事例集】FlexLink＋の設定

FlexLinkが廃止！代替え機能はFlexLink＋！

今回は、ネスペの試験の解説はお休みです。

最近のCatalystでFlexLinkが廃止になって、かなり動揺しています。

今までFlexLinkで対応していた場所をどう変更しよう。。

悩んでいたらFlexLink＋なるものが登場していたので検証してみました。

※ネスペの解説はサイトマップを見てください。

ちなみに今回参考にしたサイトはこちらです。↓

Flexlink+ の設定 [Support] - Cisco

FlexLinkとは

Flex Linkは、2つのポートのうち一方をアクティブリンク、もう片方をバックアップリンクとあらかじめ設定しておき、一方のポートがダウンしたときは、バックアップポートで通信する技術のことです。

スパニングツリーのように冗長化の技術ですが、とても簡単に設定できたため重宝しておりました。

設定も簡単で、上の例の場合、以下のように設定するだけで実現していました。

●アクティブリンク側

　interface GigabitEthernet1/0/1

　 switchport trunk allowed vlan 10,20

　 switchport mode trunk

① switchport backup interface Gi2/0/1

② switchport backup interface Gi2/0/1 preemption mode forced

③ switchport backup interface Gi2/0/1 preemption delay 50

　 spanning-tree portfast trunk

●バックアップリンク側

　interface GigabitEthernet2/0/1

　 switchport trunk allowed vlan 10,20

　 switchport mode trunk

　 spanning-tree portfast trunk

①で、バックアップリンクとなるスイッチポートはG2/0/1だよって指定する。

②と③で、アクティブリンクが復旧したら戻る。

うん。わかりやすい。

FlexLink＋とは

冗長化の機能として、REPという技術を利用します。

REP（Resilient Ethernet Protocol）は、スパニングツリーの代替え技術で、複数の機器によるネットワークループ構成をセグメントという単位で管理し、ループの回避、リンク障害の処理を行うものです。

（正直、私は使ったことはありませんでした。）

FleｘLink＋はこのREPの技術を応用したものです。

ちなみに、使うときは以下の条件があります。

「レイヤ 2 トランクポートおよびポートチャネルでのみサポートされ、レイヤ 3 ポートおよび VLAN で設定されたインターフェイスではサポートされません。」

FlexLink＋の設定

この構成FlexLink＋で設定します。

ちなみに右側のL2スイッチは、Cisco社性ではなく、別会社のスイッチングハブです。

Cisco社のサイトにわかりやすく記載があったので、

以下のようになりました。

●アクティブリンク側

　interface GigabitEthernet1/0/1

　 switchport trunk allowed vlan 10,20

　 switchport mode trunk

　 spanning-tree portfast trunk

① rep segment 1023 edge no-neighbor primary

●バックアップリンク側

　interface GigabitEthernet2/0/1

　 switchport trunk allowed vlan 10,20

　 switchport mode trunk

　 spanning-tree portfast trunk

② rep segment 1023 edge no-neighbor preferred

※アクティブリンクとかバックアップリンクっていう表現は本当は間違えているかもしれませんが、一応FlexLinkと比較するために同じ呼び方にしました。

①でPrimaryを設定、②でpreferredを設定。

日本語では「主」と「優先」。どっちが強いんだ？？

動作検証

ひとまず設定が終わり、線をつなげて確認したところ、ループもせず安定しておりました。

①通常状態

　Switch#show rep topology 

　REP Segment 1023

　BridgeName       PortName   Edge Role

　---------------- ---------- ---- ----

　Switch           Gig1/0/1   Pri  Open

　Switch           Gig2/0/1   Sec  Alt 

　

②G1/0/1を抜線

　Switch#show rep topology 

　REP Segment 1023

　BridgeName       PortName   Edge Role

　---------------- ---------- ---- ----

　Switch           Gig1/0/1   Pri  Fail

　Switch           Gig2/0/1   Sec  Open

　

③G1/0/1を復旧

　Switch#show rep topology 

　REP Segment 1023

　BridgeName       PortName   Edge Role

　---------------- ---------- ---- ----

　Switch           Gig1/0/1   Pri  Alt 　　←あれ？？

　Switch           Gig2/0/1   Sec  Open

良し！切替もかなり速いし、やったー！

と思ったら、あれ？自動で戻りませんけど…　なんでですか？？

いろいろ試しましたが、うまくいきません・・・

ひとまず、G1/0/1が復旧したら、G2/0/1を再起動（shut → no shut)して切替えないといけないのか・・・

と、調べたところ、今回私は17.3にはpreemptの機能はなく、17.6にはあるようです。

こまった こまった。

【ネスペ過去問解説】令和3年度 午後Ⅰ 問2-作ってみた⑧（仮想リンク）

【ネスペ】令和３年度午後Ⅰ-問２-設問４（２）ー（３）

企業の統合によってD社にE社をくっつけることなりました。

今までお客さん先の移転や、フロアのレイアウト変更でのネットワーク構成

ちなみに、Cisco Packet Tracerの使い方で参考したサイト↓

Cisco Packet Tracer(パケットトレーサー)を使いこなそう！

※過去問を解いてない方はサイトマップを見てください。

今回作るネットワーク構成の説明は、こちらです。

問題と構成

まず問題文と下線⑥は以下でした。

(2)本文中の下線⑥について、フロア間OSPF追加設定を行う必要がある二つの機器を答えよ。また、その設定内容を25時以内で述べよ。

下線⑥とその周辺

前回のブログにもありましたが、本社とE社のエリア0が支社のエリア１によって分断されている構成ですね。

実際にネットワークをしていても、たまに起こってしまいます。

答えから申しますとこういう時は、仮想リンク(Virtual-Link)というOSPFの技術を使ってエリア0を結ぶことができます。

実際のネットワークで表現すると以下の図のような構成となります。

Configの設定

では、実際のConfigの設定を見てみましょう。

上の図にもあるように設定する機会は本社のルータと支社-E社の境界にあるL3SW1です。

支社のL3SW1とE社のL3SW6との間のネットワークは172.18.0.0/24としました。

L3SW1は172.18.0.254、L3SW6は172.18.0.253としました。

Cisco Packet Tracerってこんなに大きいネットワーク作れるんだ・・・

Configの設定

OSPFの仕様上どうしても、本社とE社でバックボーンエリアとなるエリア0を併設できないので、E社をエリア２にしました。

今回のように、E社のエリア１をまたいでエリア０に接続するために、前述のとうり仮想リンク（Virtual-Link）を設定します。

といっても、設定自体は簡単です。

L3SW1のConfig（かなり抜粋）

Virtua-Linkの設定と、E社のネットワークである172.18.0.0/16を集約をします。

　interface Loopback0

　 ip address 1.1.1.1 255.255.255.255

　router ospf 1

　 router-id 1.1.1.1

① area 2 range 172.18.0.0 255.255.0.0

② area 1 virtual-link 1.1.1.10

③ network 172.18.0.0 0.0.0.255 area 2

　 network 172.16.2.254 0.0.0.0 area 1

　 network 172.16.12.253 0.0.0.0 area 1

　 network 172.16.0.254 0.0.0.0 area 1

①で、E社のネットワークを集約する。

②で、ルータと仮想リンク（Virtual-link）設定

③E社のネットワークインターフェースを指定。

ルータのConfig（かなり抜粋）

　interface Loopback0

　ip address 1.1.1.10 255.255.255.255

　router ospf 1

　 router-id 1.1.1.10

　 area 1 range 172.16.0.0 255.255.0.0

　 area 0 range 172.17.0.0 255.255.0.0

① area 1 virtual-link 1.1.1.1

　 network 172.16.0.0 0.0.255.255 area 1

　 network 1.1.1.10 0.0.0.0 area 0

　 network 172.17.0.0 0.0.255.255 area 0

　 default-information originate

①でL3SW1のループバックアドレスを指定して仮想インターフェースを組みました。

動作確認／通信試験

この状態で、E社のL3SW6におけるOSPFの状態を見てみると、無事にルータの1.1.1.10とで仮想リンク（VL）を組めているようです。

ルータも同じようにVL０が取れていました。

この時点で、状態を確認すると、本社や支社のルーティン情報をとってきており、且つ、E社のL3SW6から本社（172.17.0.0/16）のL2SW4にpingを打つと結果が返ってきていることがわかります。

さいごに

やっとうまくいきました。

勉強になりました。

次からは、いろいろなネットワークの設定例集を紹介します。

こうご期待！