IPSec サイト間VPNの動作

1

サイト間IPSec VPN

IPSecの利用例の一つに、インターネットを介して企業の拠点(サイト)のLANを相互接続することがあります。拠点(サイト)同士を接続するので、「サイト間VPN」または「サイトツーサイト(Site-to-site)VPN」と呼びます。

サイト間IPSec VPNの簡単な構成例は次の図です。

IPSec VPNによって、VPN GW1とVPN GW2間でIPパケットをESPでカプセル化し、盗聴や改ざんができないようにします。その結果、インターネットを介して、LAN1とLAN2間の通信を安全に行うことができるようになります。

IPSec VPNを確立するデバイスをVPNゲートウェイやセキュリティゲートウェイと呼びます。ルータにもIPSecを実装して、VPNゲートウェイとして動作させることができます。

サイト間IPSec VPNの動作ステップは、基本的に次の5つです。

IPSec VPNに通す対象パケット、すなわちサイト間の通信のパケットがVPNゲートウェイに到着することで、IPSec VPNのSAの作成が始まります。

Ciscoでは、IPSec VPNに通す対象パケットはアクセスリストで識別します。このアクセスリストを特に「暗号アクセスリスト(ACL)」と呼びます。

VPNゲートウェイ間でIKEフェーズ1のネゴシエーションにより、ISAKMP SAを作成します。以下のパラメータをVPNゲートウェイ間でネゴシエーションしてISAKMP SAを作成します。

ISAKMP SAを作成することで、VPNゲートウェイがお互いが正規のデバイスであることを確認し、このあとのIPSec SA用の秘密鍵を生成することができ
ます。

VPNゲートウェイ間でIKEフェーズ2のネゴシエーションを行い、実際にパケットをカプセル化して安全に転送するためのIPSec SAを生成します。IPSec SAを生成するにも、VPNゲートウェイ間で次のようなパラメータをネゴシーションします。

なお、IPSec SAは片方向のSAであることに注意してください。

IPSec SAを通じてサイト間のパケットを転送します。そのために、IPSec SAでネゴシエーションしたカプセル化プロトコル(ESP or AH)でパケットをカプセル化して、インターネット上に送信します。

ESPまたはAHのカプセル化には、トンネルモードとトランスポートモードがあります。トンネルモードもしくはトランスポートモードであるかもIPSec SAのネゴシエーションで決めていますが、サイト間IPSec VPNの場合は、トンネルモードになるのが普通です。

SAは、ネゴシエーションで決定したSAのライフタイムにしたがってターミネートされます。ライフタイムは時間指定や転送したパケットのバイト指定で設定可能です。SAがターミネートされたあと新しいパケットがやってきた場合、再びIKEのネゴシエーションから行います。

以上の5ステップで、サイト間IPSec VPNを確立してサイト間で安全な通信ができるようになります。

ネットワーク技術解説記事のアップデートや新規記事をTwitterでお知らせしています。
Follow @Gene2016Nstudy

詳細な解説と実践的な演習シナリオでスキルアップ

「ネットワークのおべんきょしませんか？」内の記事を検索