G3.3 IPsecがつながらない

G3.3 IPsecがつながらない

対象機種: AX30 / AX11 / AX21 / AG10 / AG20 / AR10 / AR20 / AC10 / AC15 / AC25

IPsec の接続が確立しない、または確立しても通信できない場合の確認手順を説明します。IPsec の設定方法は、『6.7 IPsecの設定をする』を参照してください。

IPsec の接続は、次の 2 段階で確立します。どちらの段階で止まっているかを確認すると、原因を絞り込めます。

段階	本製品の設定	内容
フェーズ1（IKE SA）	ipsec ike	対向機器と認証し、鍵交換のための安全な通信路を作る
フェーズ2（IPsec SA）	ipsec sa	実際の通信を暗号化する SA を作る

G3.3.1 状態を確認する

show ipsec status で、IPsec の状態を表示します。一般ユーザーモードから実行できます。

amnimo$ show ipsec status
（省略）
Security Associations (1 up, 0 connecting):
        sa01[1]: ESTABLISHED 10 seconds ago, 192.168.1.254[gw1.example.com]...192.168.1.10[gw2.example.com]	←フェーズ1が確立
        （省略）
        sa01{1}:  INSTALLED, TUNNEL, reqid 1, ESP SPIs: cee4939e_i ca99e852_o	←フェーズ2が確立
        （省略）
        sa01{1}:   192.168.0.0/24 === 192.168.10.0/24	←暗号化の対象となるサブネット

表示	状態	参照先
ESTABLISHED の行がない	フェーズ1が確立していない	G3.3.2
ESTABLISHED はあるが、INSTALLED の行がない	フェーズ2が確立していない	G3.3.3
ESTABLISHED と INSTALLED があるが、拠点間で通信できない	経路、フィルタ、NAT などの問題	G3.3.4

IPsec の設定は show config ipsec ike、show config ipsec sa で確認します（6.7.4）。対向機器の設定と 1 項目ずつ比べてください。

negotiation-mode の設定によっては、通信が発生するまで接続を開始しません。手動で接続を開始するには、管理者モードで ipsec connect SA-NAME を実行します（6.7.2）。

G3.3.2 フェーズ1（IKE SA）が確立しない

症状: show ipsec status に ESTABLISHED が表示されない。

確認すること	本製品の設定（ipsec ike）	対処
対向機器に IP で到達できるか	remote address	ping で対向機器のアドレスに届くか確認します（9.4.1）。届かない場合は、先に回線や経路を確認します（G3.1）。
アドレスが対向機器の設定と対応しているか	local address、remote address	本製品の local address が対向機器の remote 側、remote address が対向機器の local 側と一致するようにします。
IKE のバージョンが同じか	version	両側で同じバージョンにします。
IKEv1 の場合、モードが同じか	mode	両側で同じモード（main または aggressive）にします。mode は IKEv1 の場合にのみ有効です。
事前共有鍵が同じか	authentication pre-shared-key	両側で同じ事前共有鍵を設定し直します。
ID が対応しているか	local id、remote id	本製品の local id が対向機器の remote id、remote id が対向機器の local id と、種類（ipv4、fqdn など）も含めて一致するようにします。
暗号方式（トランスフォーム）に共通のものがあるか	transform encryption … integrity … prf … dh-group …、transform restriction	暗号化アルゴリズム、認証アルゴリズム、PRF、DH グループの組み合わせを、対向機器と一致させます。
本製品のパケットフィルタリングで IKE の通信を破棄していないか	show config filter input	input のデフォルトポリシーを drop にしている場合は、対向機器からの IKE（UDP 500、NAT 越えの場合は UDP 4500）と ESP を許可するルールが必要です（6.4.3）。

注意: 対向機器に合わせるために、安全性の低い設定（暗号化アルゴリズムの 3des、認証アルゴリズムと PRF の md5、DH グループの 1・2・5、IKEv1 の aggressive モード）を使用しないでください。これらは推奨しない設定で、既定の設定ではありません。やむを得ず使用する場合は、お客様の責任で使用してください。推奨値は、暗号化アルゴリズムが aes128 または aes256、認証アルゴリズムと PRF が sha256 以上、DH グループが 14（MODP2048）以上です。IKEv2 を使用できる場合は、version 2 を推奨します。可能な場合は、対向機器の設定を推奨値に合わせてください。

G3.3.3 フェーズ2（IPsec SA）が確立しない

症状: show ipsec status に ESTABLISHED は表示されるが、INSTALLED が表示されない。

確認すること	本製品の設定（ipsec sa）	対処
SA が有効になっているか	enable	show config ipsec sa で enable になっているか確認します。
使用する IKE の設定を指定しているか	key-exchange ike IKE-NAME	フェーズ1で使う ipsec ike の名前を指定します。
暗号化の対象となるサブネットが対応しているか	local subnet、remote subnet	本製品の local subnet が対向機器の remote 側、remote subnet が対向機器の local 側と一致するようにします。
暗号方式（トランスフォーム）に共通のものがあるか	transform encryption … integrity … [pfs …]、transform restriction	暗号化アルゴリズム、認証アルゴリズム、PFS の DH グループを、対向機器と一致させます。
プロトコルとモードが同じか	type、mode	type（esp / ah）と mode（tunnel / transport）を、対向機器と一致させます。

G3.3.4 確立しているが通信できない

症状: ESTABLISHED と INSTALLED は表示されるが、拠点の LAN どうしで通信できない。

確認すること	コマンド	対処
通信する端末のアドレスが、SA のサブネット（192.168.0.0/24 === 192.168.10.0/24 の行）に含まれているか	show ipsec status	含まれていない場合は、local subnet、remote subnet を見直します。
xfrm ポリシーとステートが作られているか	show ipsec xfrm policy、show ipsec xfrm state	対象のサブネットの組み合わせが表示されるか確認します（6.7.1）。
本製品のパケットフィルタリングで、拠点間の通信を破棄していないか	show config filter forward	forward のルールとデフォルトポリシーを確認します（6.4）。
拠点間の通信が NAT の対象になっていないか	show config nat	動的SNAT の対象に、対向拠点の LAN 宛ての通信が含まれていないか確認します（6.5）。
端末のデフォルトゲートウェイが本製品になっているか	―	LAN 側の端末で確認します。

G3.3.5 ログで詳しく確認する

IPsec の機能ごとのログの詳しさは、ipsec log-level で設定できます（6.7.5）。IPsec のログレベルは silent、audit、control、controlmore、raw、private で指定し、ほかの機能のログレベルとは異なります。

注意: private を指定すると、鍵などの機密情報までログに出力されます。調査が終わったら、ログレベルを元に戻してください。

ログの表示方法は『G3.5 ログを確認する』を参照してください。