NPSにIPsecによるポイント・ツー・ポイント型のVPN構築機能を追加するには、VPNモジュールをご契約ください。お客様拠点のVPN機器を介してNPSに接続できます。

また、IIJマルチコントローラサービス（以下、MPC）とのVPN構築機能の追加にも本モジュールを利用できます。

品目

VPNモジュールには、以下の品目があります。

帯域確保品目は、1Mbps単位で選択できます。

「ベストエフォート」から「帯域確保」に変更する際、及び「帯域確保」から「ベストエフォート」に変更する際は、VPNが一時的に中断され、グローバルIPアドレスが変更されます。

VP-1に限りAmazon VPCおよびIIJマルチプロダクトコントローラと接続することができます。

IIJマルチプロダクトコントローラサービスとの接続

機能

VPNモジュールの機能を示します。

VPN

基本仕様

※1：MPCにおけるVPN自動設定機能の一つです。

※2：接続元ごとに変更することはできません。

IPsec・フロートリンク仕様

表1：IKE phase1

表2：IKE phase2

表3：MTU

ルーティング仕様

本モジュールでは、IPsec VPNの内側でIIJマルチプロダクトコントローラサービスのサービスアダプタとBGPによる経路交換を行います。

BGP仕様

※1：初期設定値は、「65504」です。

トポロジ

• シングル構成
  本モジュールでVP-1を契約し、MPCのサービスアダプタと接続する構成です。
  

パケットフィルタ

本モジュールとNPSとの接続点を通過するパケットに対して、通信制御ができます。

広報経路変更機能

本モジュールからお客様機器に対してBGPで広報する経路を任意の経路に変更することができます。お客様機器で受信する経路数を削減したい場合に利用してください。最大10件の広報経路を指定できます。

お客様が指定した経路に合致する経路を本モジュールが有しているかどうかに関わらず経路広報します。

本機能を有効または無効にする際、本モジュールを経由する通信が一時停止します。

本機能を利用しない場合、本モジュールが有する経路すべてを広報します。

IIJマルチプロダクトコントローラサービス以外との接続

機能

VPNモジュールの機能を示します。

VPN

基本仕様

IPsec仕様

表4：IKE phase1

表5：IKE phase2

表6：MTU

ルーティング仕様

本モジュールでは、IPsec VPNの内側でお客様機器とBGPによる経路交換を行います。

BGP仕様

※1：初期設定値は、「65504」です。

※2：お客様機器からのBGP Attributeによるトラフィック制御はサポート対象外です。

トポロジ

• シングルスターシングルエッジ
  本モジュールとお客様機器を1：1で接続する構成です。

  

• シングルスターデュアルエッジ
  本モジュールをお客様機器2台に接続する構成です。
  

• デュアルスターデュアルエッジ
  本モジュールでVP-2を選択し、お客様機器2台に接続する構成です。
  
  

パケットフィルタ

本モジュールとNPSとの接続点を通過するパケットに対して、通信制御ができます。

広報経路変更

本モジュールからお客様機器に対してBGPで広報する経路を任意の経路に変更することができます。お客様機器で受信する経路数を削減したい場合に利用してください。最大10件の広報経路を指定できます。

お客様が指定した経路に合致する経路を本モジュールが有しているかどうかに関わらず経路広報します。

本機能を有効または無効にする際、本モジュールを経由する通信が一時停止します。

本機能を利用しない場合、本モジュールが有する経路すべてを広報します。

サポート機器

本モジュールでは、以下のお客様機器の利用をサポートします。

• SEIL X1
• SEIL/x86 Fuji
• MPCサービスアダプタ
• Cisco 891FJ
• Cisco 892FSP
• C1121-8P

• Amazon VPC

サポート機器コンフィグ例

パラメータ例

パラメータは「IIJ Omnibusポータル」で確認できます。

IIJ SEILシリーズ

interface ipsec0 tunnel 203.0.113.1 192.0.2.1

interface ipsec0 mtu 1500

interface ipsec0 tcp-mss 1387

interface ipsec0 add 192.168.102.18/30 remote 192.168.102.17

route add 192.0.2.1/32 <ゲートウェイIPアドレス>

route dynamic bgp my-as-number 65533

route dynamic bgp router-id 192.168.0.1

route dynamic bgp enable

route dynamic bgp neighbor add 192.168.102.17 remote-as 65504 enable

ike auto-initiation enable

ike preshared-key add "192.0.2.1" "imc6u$INml6q"

ike proposal add IIJ01 encryption aes256 hash sha256 authentication preshared-key dh-group modp1536 lifetime-of-time 1d

ike peer add IIJ01 address 192.0.2.1 exchange-mode main proposals IIJ01 check-level obey dpd enable tunnel-interface enable

ipsec security-association proposal add SAP01 authentication-algorithm hmac-sha1 encryption-algorithm aes128,aes256 lifetime-of-time 1d

ipsec security-association add tun1 tunnel-interface ipsec0 ike SAP01 ipv6 block esp enable

Cisco社製品

• Cisco 891FJ , Cisco 892FSP

crypto isakmp policy 1

	encr aes 256

	hash sha256

	authentication pre-share

	group 5

crypto isakmp key imc6u$INml6q address 192.0.2.1

!

crypto ipsec transform-set SAMPLE esp-aes esp-sha-hmac

	mode transport

!

crypto ipsec profile SAMPLE

	set transform-set SAMPLE

!

interface Tunnel0

	ip address 192.168.102.18 255.255.255.252

	ip mtu 1500

	ip tcp adjust-mss 1387

	tunnel source 203.0.113.1

	tunnel destination 192.0.2.1

	tunnel mode ipsec ipv4

	tunnel protection ipsec profile SAMPLE

	crypto ipsec df-bit clear

!

ip route 192.0.2.1 255.255.255.255 <ゲートウェイIPアドレス>

!

router bgp 65533

	no synchronization

	bgp log-neighbor-changes

	redistribute connected

	neighbor 192.168.102.17 remote-as 65504

	neighbor 192.168.102.17 soft-reconfiguration inbound

	no auto-summary

!

end

• C1121-8P

crypto isakmp policy 1

    encr aes 256

    hash sha256

    authentication pre-share

    group 14

crypto isakmp key imc6u$INml6q address 192.0.2.1

!

crypto ipsec transform-set SAMPLE esp-aes esp-sha-hmac

    mode transport

!

crypto ipsec profile SAMPLE

    set transform-set SAMPLE

!

interface Tunnel0

    ip address 192.168.102.18 255.255.255.252

    ip mtu 1500

    ip tcp adjust-mss 1387

    tunnel source 203.0.113.1

    tunnel destination 192.0.2.1

    tunnel mode ipsec ipv4

    tunnel protection ipsec profile SAMPLE

    crypto ipsec df-bit clear

!

ip route 192.0.2.1 255.255.255.255 <ゲートウェイIPアドレス>

!

router bgp 65533

    no synchronization

    bgp log-neighbor-changes

    redistribute connected

    neighbor 192.168.102.17 remote-as 65504

    neighbor 192.168.102.17 soft-reconfiguration inbound

    no auto-summary

!

end

トラブルシュート

通信が期待どおりに行えない場合は以下のトラブルシュートをお試しください。

VPN対向機器との疎通（グローバルIPアドレス）が取れない

• VPN対向機器のグローバルIPアドレスとの疎通をpingコマンドで確認します。
• 疎通が取れない場合は、VPN対向機器のグローバルIPアドレス向けの経路がインターネットに向いているかどうかを確認します。
  ※グローバルIPアドレスは「IIJ Omnibusポータル」で確認できます。

VPN対向機器とのIPsecが張れない

• IPsecの状態をステータス確認コマンドで確認します。
• 確認できない場合、IPsec仕様やサポート機器コンフィグ例を元に、IPsec/IKEのパラメータが一致しているか確認します。
  ※事前共有鍵は「IIJ Omnibusポータル」で確認できます。

VPN対向機器との疎通（NPSトンネルアドレス）が取れない

• VPN対向機器のNPSトンネルアドレスとの疎通をpingコマンドで確認します。
• 疎通が取れない場合は、アドレスに間違いがないか確認をします。
  ※NPSトンネルアドレスは「IIJ Omnibusポータル」で確認できます。

VPN対向機器とのBGPセッションが確立しない

• BGPの状態をステータス確認コマンドで確認します。
• 確認できない場合、IPsec仕様やサポート機器コンフィグ例を元に、BGPのパラメータが一致しているか確認します。
  ※AS番号やneighborアドレスは「IIJ Omnibusポータル」で確認できます。