--- title: G3.3 IPsecがつながらない description: "## G3.3 IPsecがつながらない **対象機種**: AX30 / AX…" url: "https://manual.amnimo.com/docs/guide-troubleshooting-cli/g3-3-cli/" updated: "2026-11-06" category: エッジゲートウェイシリーズ　CLIユーザーズマニュアル / 設定ガイド 第3章　トラブルシューティング --- # G3.3 IPsecがつながらない ## G3.3 IPsecがつながらない **対象機種**: AX30 / AX11 / AX21 / AG10 / AG20 / AR10 / AR20 / AC10 / AC15 / AC25 IPsec の接続が確立しない、または確立しても通信できない場合の確認手順を説明します。IPsec の設定方法は、『[6.7 IPsecの設定をする](/docs/network-cli/6-7-cli/#67-ipsec%E3%81%AE%E8%A8%AD%E5%AE%9A%E3%82%92%E3%81%99%E3%82%8B)』を参照してください。 IPsec の接続は、次の 2 段階で確立します。どちらの段階で止まっているかを確認すると、原因を絞り込めます。 | 段階 | 本製品の設定 | 内容 | | --- | --- | --- | | フェーズ1（IKE SA） | `ipsec ike` | 対向機器と認証し、鍵交換のための安全な通信路を作る | | フェーズ2（IPsec SA） | `ipsec sa` | 実際の通信を暗号化する SA を作る | ### G3.3.1 状態を確認する `show ipsec status` で、IPsec の状態を表示します。一般ユーザーモードから実行できます。 ``` amnimo$ show ipsec status （省略） Security Associations (1 up, 0 connecting): sa01[1]: ESTABLISHED 10 seconds ago, 192.168.1.254[gw1.example.com]...192.168.1.10[gw2.example.com] ←フェーズ1が確立 （省略） sa01{1}: INSTALLED, TUNNEL, reqid 1, ESP SPIs: cee4939e_i ca99e852_o ←フェーズ2が確立 （省略） sa01{1}: 192.168.0.0/24 === 192.168.10.0/24 ←暗号化の対象となるサブネット ``` | 表示 | 状態 | 参照先 | | --- | --- | --- | | `ESTABLISHED` の行がない | フェーズ1が確立していない | [G3.3.2](#g332-フェーズ1ike-saが確立しない) | | `ESTABLISHED` はあるが、`INSTALLED` の行がない | フェーズ2が確立していない | [G3.3.3](#g333-フェーズ2ipsec-saが確立しない) | | `ESTABLISHED` と `INSTALLED` があるが、拠点間で通信できない | 経路、フィルタ、NAT などの問題 | [G3.3.4](#g334-確立しているが通信できない) | IPsec の設定は `show config ipsec ike`、`show config ipsec sa` で確認します（[6.7.4](/docs/network-cli/6-7-cli/#674-ipsec%E3%81%AE%E8%A8%AD%E5%AE%9A%E3%82%92%E8%A1%A8%E7%A4%BA%E3%81%99%E3%82%8B)）。対向機器の設定と 1 項目ずつ比べてください。 `negotiation-mode` の設定によっては、通信が発生するまで接続を開始しません。手動で接続を開始するには、管理者モードで `ipsec connect SA-NAME` を実行します（[6.7.2](/docs/network-cli/6-7-cli/#672-ipsec%E3%82%92%E6%89%8B%E5%8B%95%E3%81%A7%E6%8E%A5%E7%B6%9A%E3%81%99%E3%82%8B)）。 ### G3.3.2 フェーズ1（IKE SA）が確立しない **症状**: `show ipsec status` に `ESTABLISHED` が表示されない。 | 確認すること | 本製品の設定（`ipsec ike`） | 対処 | | --- | --- | --- | | 対向機器に IP で到達できるか | `remote address` | `ping` で対向機器のアドレスに届くか確認します（[9.4.1](/docs/maintainance-cli/9-4-cli/#941-%E3%83%8D%E3%83%83%E3%83%88%E3%83%AF%E3%83%BC%E3%82%AF%E3%81%AE%E5%88%B0%E9%81%94%E5%8F%AF%E8%83%BD%E6%80%A7%E3%82%92%E8%AA%BF%E3%81%B9%E3%82%8B)）。届かない場合は、先に回線や経路を確認します（[G3.1](/docs/guide-troubleshooting-cli/g3-1-cli/#g31-%E5%88%87%E3%82%8A%E5%88%86%E3%81%91%E3%81%AE%E5%9F%BA%E6%9C%AC%E3%81%A8%E6%83%85%E5%A0%B1%E3%81%AE%E6%8E%A1%E5%8F%96)）。 | | アドレスが対向機器の設定と対応しているか | `local address`、`remote address` | 本製品の `local address` が対向機器の remote 側、`remote address` が対向機器の local 側と一致するようにします。 | | IKE のバージョンが同じか | `version` | 両側で同じバージョンにします。 | | IKEv1 の場合、モードが同じか | `mode` | 両側で同じモード（`main` または `aggressive`）にします。`mode` は IKEv1 の場合にのみ有効です。 | | 事前共有鍵が同じか | `authentication pre-shared-key` | 両側で同じ事前共有鍵を設定し直します。 | | ID が対応しているか | `local id`、`remote id` | 本製品の `local id` が対向機器の remote id、`remote id` が対向機器の local id と、種類（ipv4、fqdn など）も含めて一致するようにします。 | | 暗号方式（トランスフォーム）に共通のものがあるか | `transform encryption … integrity … prf … dh-group …`、`transform restriction` | 暗号化アルゴリズム、認証アルゴリズム、PRF、DH グループの組み合わせを、対向機器と一致させます。 | | 本製品のパケットフィルタリングで IKE の通信を破棄していないか | `show config filter input` | input のデフォルトポリシーを drop にしている場合は、対向機器からの IKE（UDP 500、NAT 越えの場合は UDP 4500）と ESP を許可するルールが必要です（[6.4.3](/docs/network-cli/6-4-cli/#643-%E3%83%91%E3%82%B1%E3%83%83%E3%83%88%E3%83%95%E3%82%A3%E3%83%AB%E3%82%BF%E3%83%AA%E3%83%B3%E3%82%B0%E3%81%AE%E3%83%AB%E3%83%BC%E3%83%AB%E3%82%92%E8%A8%AD%E5%AE%9A%E3%81%99%E3%82%8B)）。 | > ![warning](https://manual.amnimo.com/wp-content/uploads/2026/07/image23.png) **注意**: 対向機器に合わせるために、安全性の低い設定（暗号化アルゴリズムの 3des、認証アルゴリズムと PRF の md5、DH グループの 1・2・5、IKEv1 の aggressive モード）を使用しないでください。これらは推奨しない設定で、既定の設定ではありません。やむを得ず使用する場合は、お客様の責任で使用してください。推奨値は、暗号化アルゴリズムが aes128 または aes256、認証アルゴリズムと PRF が sha256 以上、DH グループが 14（MODP2048）以上です。IKEv2 を使用できる場合は、version 2 を推奨します。可能な場合は、対向機器の設定を推奨値に合わせてください。 ### G3.3.3 フェーズ2（IPsec SA）が確立しない **症状**: `show ipsec status` に `ESTABLISHED` は表示されるが、`INSTALLED` が表示されない。 | 確認すること | 本製品の設定（`ipsec sa`） | 対処 | | --- | --- | --- | | SA が有効になっているか | `enable` | `show config ipsec sa` で `enable` になっているか確認します。 | | 使用する IKE の設定を指定しているか | `key-exchange ike IKE-NAME` | フェーズ1で使う `ipsec ike` の名前を指定します。 | | 暗号化の対象となるサブネットが対応しているか | `local subnet`、`remote subnet` | 本製品の `local subnet` が対向機器の remote 側、`remote subnet` が対向機器の local 側と一致するようにします。 | | 暗号方式（トランスフォーム）に共通のものがあるか | `transform encryption … integrity … [pfs …]`、`transform restriction` | 暗号化アルゴリズム、認証アルゴリズム、PFS の DH グループを、対向機器と一致させます。 | | プロトコルとモードが同じか | `type`、`mode` | `type`（`esp` / `ah`）と `mode`（`tunnel` / `transport`）を、対向機器と一致させます。 | ### G3.3.4 確立しているが通信できない **症状**: `ESTABLISHED` と `INSTALLED` は表示されるが、拠点の LAN どうしで通信できない。 | 確認すること | コマンド | 対処 | | --- | --- | --- | | 通信する端末のアドレスが、SA のサブネット（`192.168.0.0/24 === 192.168.10.0/24` の行）に含まれているか | `show ipsec status` | 含まれていない場合は、`local subnet`、`remote subnet` を見直します。 | | xfrm ポリシーとステートが作られているか | `show ipsec xfrm policy`、`show ipsec xfrm state` | 対象のサブネットの組み合わせが表示されるか確認します（[6.7.1](/docs/network-cli/6-7-cli/#671-ipsec%E3%81%AE%E3%82%B9%E3%83%86%E3%83%BC%E3%82%BF%E3%82%B9%E3%82%92%E8%A1%A8%E7%A4%BA%E3%81%99%E3%82%8B)）。 | | 本製品のパケットフィルタリングで、拠点間の通信を破棄していないか | `show config filter forward` | forward のルールとデフォルトポリシーを確認します（[6.4](/docs/network-cli/6-4-cli/#64-%E3%83%91%E3%82%B1%E3%83%83%E3%83%88%E3%83%95%E3%82%A3%E3%83%AB%E3%82%BF%E3%83%AA%E3%83%B3%E3%82%B0%E3%81%AE%E8%A8%AD%E5%AE%9A%E3%82%92%E3%81%99%E3%82%8B)）。 | | 拠点間の通信が NAT の対象になっていないか | `show config nat` | 動的SNAT の対象に、対向拠点の LAN 宛ての通信が含まれていないか確認します（[6.5](/docs/network-cli/6-5-cli/#65-nat%E3%81%AE%E8%A8%AD%E5%AE%9A%E3%82%92%E3%81%99%E3%82%8B)）。 | | 端末のデフォルトゲートウェイが本製品になっているか | ― | LAN 側の端末で確認します。 | ### G3.3.5 ログで詳しく確認する IPsec の機能ごとのログの詳しさは、`ipsec log-level` で設定できます（[6.7.5](/docs/network-cli/6-7-cli/#%E3%83%AD%E3%82%B0%E3%83%AC%E3%83%99%E3%83%AB%E3%82%92%E8%A8%AD%E5%AE%9A%E3%81%99%E3%82%8B)）。IPsec のログレベルは `silent`、`audit`、`control`、`controlmore`、`raw`、`private` で指定し、ほかの機能のログレベルとは異なります。 > ![warning](https://manual.amnimo.com/wp-content/uploads/2026/07/image23.png) **注意**: `private` を指定すると、鍵などの機密情報までログに出力されます。調査が終わったら、ログレベルを元に戻してください。 ログの表示方法は『[G3.5 ログを確認する](/docs/guide-troubleshooting-cli/g3-5-cli/#g35-%E3%83%AD%E3%82%B0%E3%82%92%E7%A2%BA%E8%AA%8D%E3%81%99%E3%82%8B)』を参照してください。