SRX IPsecVPNの設定方法・正常性確認【Junos】

本記事ではSRXでのIPsecVPNの設定及び正常性確認方法をご紹介させて頂きます。

【SRX IPsecVPN 検証】検証内容

設定要件及び検証ネットワークは以下の通りです。

ネットワーク図

本検証のネットワーク環境は以下の通りです。

SRX-IPsec-検証

設定要件

以下の要件に基づきIPsecVPNの設定を実装します。

▼ 設定要件 ▼
  • vSRX1とvSRX2間でIPsecVPNを確立する
  • PC1からPC2へPingが通る事

【SRX IPsecVPN 検証】事前設定 ※興味ない方は飛ばしてOKです。

IPアドレス等の基本設定は設定済です。
事前設定の詳細は以下をご確認下さい。
興味のない方は「4章:設定変更作業から」をクリックして下さい。

・FW1の設定内容

・FW2の設定内容

・PC1の設定内容

・PC2の設定内容

【SRX IPsecVPN 検証】設定変更作業

では、以下の手順でIPsecVPNの設定を実装していきます。

▼ IPsecVPNの設定手順 ▼

  1. トンネルインターフェースを設定する
  2. Staticルートを設定する
  3. アドレスブックを設定する
  4. セキュリティゾーンの設定をする
  5. セキュリティポリシーを設定する
  6. IPsecVPN(Phase1)を設定する
  7. IPsecVPN(Phase2)を設定する

①トンネルインターフェースを設定する

以下の通り、FW1/FW2にてIPsecVPN用のトンネルインターフェース(st0)を作成します。

②Staticルートを設定する

FW1/FW2にてIPsecVPN用のStaticルートを作成します。
以下の通り、宛先ネットワークへのネクストホップとしてトンネルインターフェースを指定します。

③アドレスブックを設定する

FW1/FW2にて内部ネットワークのアドレスブックを作成します。
以下の通り、お互いのFWとPC間のネットワークアドレスを指定します。

④セキュリティゾーンの設定をする

FW1/FW2にてセキュリティゾーンの設定をします。
以下の通り、trust・untrust・VPNゾーンに各インターフェースを割り当てます。

⑤セキュリティゾーンの設定をする

FW1/FW2にてセキュリティゾーンの設定をします。
以下の通り、IPsecVPNを通すネットワークアドレスをアドレスブックで指定します。

⑥IPsecVPN(Phase1)を設定する

FW1/FW2にてIPsecVPN(Phase1)を予め定義されているstandardパラメータにて設定します。
※Standardを設定すると、Preshared key, dh-groupはgroup2, authentication-algorithmは3DES, encryption-algorithmはSHA1が指定されます。
また、本検証ではMainモード、Preshared keyは「srxtest01」とします。

⑦IPsecVPN(Phase2)を設定する

FW1/FW2にてIPsecVPN(Phase2)を予め定義されているstandardパラメータを指定します。
また、IPsecVPN(Phase1)と紐付けの設定をします。

【SRX IPsecVPN 検証】正常性確認

では以下の3点について確認してみましょう!

▼ 本検証の確認ポイント ▼

  1. IPsecVPN(Phase1)が確立される事
  2. IPsecVPN(Phase2)が確立される事
  3. PC1からPC2へPingが通る事

【正常性確認①】IPsecVPN(Phase1)が確立される事

FW1/FW2の間で正常にIPsecVPN(Phase1)が確立されている事を確認します。


IPsecVPN(Phase1)が正常に確立されている事を確認する場合は、「show security ike security-associations」で確認できます。

▼ IPsecVPN(Phase1)の確立確認 ▼



さらに細かい情報を確認したい場合は、「show security ike security-associations detail」で確認できます。

【正常性確認②】IPsecVPN(Phase2)が確立される事

FW1/FW2の間で正常にIPsecVPN(Phase2)が確立されている事を確認します。


IPsecVPN(Phase2)が正常に確立されている事を確認する場合は、「show security ipsec security-associations」で確認できます。

▼ IPsecVPN(Phase2)の確立確認 ▼

さらに細かい情報を確認したい場合は、「show security ipsec security-associations detail 」で確認可能です。

▼ あなたにオススメな記事 ▼

>>参考記事: 【Juniper】業務で役立つshow、clear、requestコマンドを紹介!

【正常性確認③】PC1からPC2へPingが通る事

再度にPC1からPC2への疎通試験を実施します。

まず最初にFW1にてIPsec通信の統計情報を確認します。
現時点ではIPsecトンネルを通る通信が記録されていない事を確認します。

ではPC1からPC2へpingを実行しましょう!
以下の通り、正常に疎通できている事を確認出来ます。

また、IPsecトンネル経由で通信できる事をtracerouteで確認します!
以下の通り、トンネルインターフェース(10.100.200.0/24)経由で通信できる事を確認出来ました。

最後にFW1にてIPsec通信の統計情報を確認します。
以下の通り、ESP Statistics部分のカウントが上昇している事を確認しましょう!

まとめ


最後までお読み頂きましてありがとうございます。


Juniperに関する記事は以下にまとめております。
ご興味のある方は是非ご覧ください。