View Categories

G3.3 IPsecがつながらない

0:00 2:24

G3.3 IPsecがつながらない #

対象機種: AX30 / AX11 / AX21 / AG10 / AG20 / AR10 / AR20 / AC10 / AC15 / AC25

IPsec の接続が確立しない、または確立しても通信できない場合の確認手順を説明します。IPsec の設定方法は、『6.7 IPsecの設定をする』を参照してください。

IPsec の接続は、次の 2 段階で確立します。どちらの段階で止まっているかを確認すると、原因を絞り込めます。

段階本製品の設定内容
フェーズ1（IKE SA）ipsec ike対向機器と認証し、鍵交換のための安全な通信路を作る
フェーズ2（IPsec SA）ipsec sa実際の通信を暗号化する SA を作る

G3.3.1 状態を確認する #

show ipsec status で、IPsec の状態を表示します。一般ユーザーモードから実行できます。

amnimo$ show ipsec status
（省略）
Security Associations (1 up, 0 connecting):
        sa01[1]: ESTABLISHED 10 seconds ago, 192.168.1.254[gw1.example.com]...192.168.1.10[gw2.example.com]	←フェーズ1が確立
        （省略）
        sa01{1}:  INSTALLED, TUNNEL, reqid 1, ESP SPIs: cee4939e_i ca99e852_o	←フェーズ2が確立
        （省略）
        sa01{1}:   192.168.0.0/24 === 192.168.10.0/24	←暗号化の対象となるサブネット
表示状態参照先
ESTABLISHED の行がないフェーズ1が確立していないG3.3.2
ESTABLISHED はあるが、INSTALLED の行がないフェーズ2が確立していないG3.3.3
ESTABLISHED と INSTALLED があるが、拠点間で通信できない経路、フィルタ、NAT などの問題G3.3.4

IPsec の設定は show config ipsec ike、show config ipsec sa で確認します（6.7.4）。対向機器の設定と 1 項目ずつ比べてください。

negotiation-mode の設定によっては、通信が発生するまで接続を開始しません。手動で接続を開始するには、管理者モードで ipsec connect SA-NAME を実行します（6.7.2）。

G3.3.2 フェーズ1（IKE SA）が確立しない #

症状: show ipsec status に ESTABLISHED が表示されない。

確認すること本製品の設定（ipsec ike）対処
対向機器に IP で到達できるかremote addressping で対向機器のアドレスに届くか確認します（9.4.1）。届かない場合は、先に回線や経路を確認します（G3.1）。
アドレスが対向機器の設定と対応しているかlocal address、remote address本製品の local address が対向機器の remote 側、remote address が対向機器の local 側と一致するようにします。
IKE のバージョンが同じかversion両側で同じバージョンにします。
IKEv1 の場合、モードが同じかmode両側で同じモード（main または aggressive）にします。mode は IKEv1 の場合にのみ有効です。
事前共有鍵が同じかauthentication pre-shared-key両側で同じ事前共有鍵を設定し直します。
ID が対応しているかlocal id、remote id本製品の local id が対向機器の remote id、remote id が対向機器の local id と、種類（ipv4、fqdn など）も含めて一致するようにします。
暗号方式（トランスフォーム）に共通のものがあるかtransform encryption … integrity … prf … dh-group …、transform restriction暗号化アルゴリズム、認証アルゴリズム、PRF、DH グループの組み合わせを、対向機器と一致させます。
本製品のパケットフィルタリングで IKE の通信を破棄していないかshow config filter inputinput のデフォルトポリシーを drop にしている場合は、対向機器からの IKE（UDP 500、NAT 越えの場合は UDP 4500）と ESP を許可するルールが必要です（6.4.3）。

warning 注意: 対向機器に合わせるために、安全性の低い設定（暗号化アルゴリズムの 3des、認証アルゴリズムと PRF の md5、DH グループの 1・2・5、IKEv1 の aggressive モード）を使用しないでください。これらは推奨しない設定で、既定の設定ではありません。やむを得ず使用する場合は、お客様の責任で使用してください。推奨値は、暗号化アルゴリズムが aes128 または aes256、認証アルゴリズムと PRF が sha256 以上、DH グループが 14（MODP2048）以上です。IKEv2 を使用できる場合は、version 2 を推奨します。可能な場合は、対向機器の設定を推奨値に合わせてください。

G3.3.3 フェーズ2（IPsec SA）が確立しない #

症状: show ipsec status に ESTABLISHED は表示されるが、INSTALLED が表示されない。

確認すること本製品の設定（ipsec sa）対処
SA が有効になっているかenableshow config ipsec sa で enable になっているか確認します。
使用する IKE の設定を指定しているかkey-exchange ike IKE-NAMEフェーズ1で使う ipsec ike の名前を指定します。
暗号化の対象となるサブネットが対応しているかlocal subnet、remote subnet本製品の local subnet が対向機器の remote 側、remote subnet が対向機器の local 側と一致するようにします。
暗号方式（トランスフォーム）に共通のものがあるかtransform encryption … integrity … [pfs …]、transform restriction暗号化アルゴリズム、認証アルゴリズム、PFS の DH グループを、対向機器と一致させます。
プロトコルとモードが同じかtype、modetype（esp / ah）と mode（tunnel / transport）を、対向機器と一致させます。

G3.3.4 確立しているが通信できない #

症状: ESTABLISHED と INSTALLED は表示されるが、拠点の LAN どうしで通信できない。

確認することコマンド対処
通信する端末のアドレスが、SA のサブネット（192.168.0.0/24 === 192.168.10.0/24 の行）に含まれているかshow ipsec status含まれていない場合は、local subnet、remote subnet を見直します。
xfrm ポリシーとステートが作られているかshow ipsec xfrm policy、show ipsec xfrm state対象のサブネットの組み合わせが表示されるか確認します（6.7.1）。
本製品のパケットフィルタリングで、拠点間の通信を破棄していないかshow config filter forwardforward のルールとデフォルトポリシーを確認します（6.4）。
拠点間の通信が NAT の対象になっていないかshow config nat動的SNAT の対象に、対向拠点の LAN 宛ての通信が含まれていないか確認します（6.5）。
端末のデフォルトゲートウェイが本製品になっているか―LAN 側の端末で確認します。

G3.3.5 ログで詳しく確認する #

IPsec の機能ごとのログの詳しさは、ipsec log-level で設定できます（6.7.5）。IPsec のログレベルは silent、audit、control、controlmore、raw、private で指定し、ほかの機能のログレベルとは異なります。

warning 注意: private を指定すると、鍵などの機密情報までログに出力されます。調査が終わったら、ログレベルを元に戻してください。

ログの表示方法は『G3.5 ログを確認する』を参照してください。

What are your Feelings
上部へスクロール