関連トピック

# IPSec VPN フェーズ 1 の設定を構成する

IPSec 接続が確立された場合、2 つの VPN ピアが通信に使用できるセキュリティで保護された認証済みチャンネルを作成した段階をフェーズ 1 とします。これは ISAKMP Security Association (SA) と呼ばれています。Fireware では、IKEv1 と IKEv2 の 2 つのバージョンの Internet Key Exchange プロトコルがサポートされています。選択されている IKE バージョンによって、使用可能なフェーズ 1 設定が決まり、ISAKMP SA ネゴシエーションのために Firebox で使用される手順が定義されます。両方の VPN ゲートウェイ エンドポイントで同じ IKE バージョンとフェーズ 1 設定を使用されるように構成する必要があります。

IKEv2 では Fireware v11.11.2 以降が必要です。

フェーズ 1 変換 は、VPN データを保護するために使用される一連のセキュリティ プロトコルとアルゴリズムです。IKE ネゴシエーション中に使用される変換について、各ピアが合意する必要があります。トンネルは、1 つのピアに対し、複数の変換をネゴシエーションで実行できるように定義できます。詳細については、次を参照してください：フェーズ 1 の変換を追加する。

IKEv2 を使用すると、NAT Traversal とフェーズ 1 変換が、IKEv2 が使用され、かつ動的 IP アドレスを持つリモートゲートウェイを備えるすべての BOVPN ゲートウェイと BOVPN 仮想インターフェイスで共有されます。IKEv2 共有設定の詳細については、次を参照してください：IKEv2 の共有された設定を構成する。

## フェーズ 1 の設定を編集する

使用可能なフェーズ 1 の設定は、BOVPN ゲートウェイまたは BOVPN 仮想インターフェイスと同じです。

- BOVPN ゲートウェイについては、ゲートウェイの設定でフェーズ 1 の設定を構成します。
- BOVPN 仮想インターフェイスについては、BOVPN 仮想インターフェイスの設定でフェーズ 1 の設定を構成します。

### IKEv1 のフェーズ 1 の設定を構成する

IKEv1 が使用される Branch Office VPN では、フェーズ 1 交換を メイン モード または アグレッシブ モード で使用することができます。このモードによって、このフェーズで発生するメッセージ交換の種類と数が決まります。

IKEv1 フェーズ 1 の設定で、以下のいずれかのモードを選択することができます。

メイン モード

このモードは、高度なセキュリティのモードです。異なる 3 つのメッセージ交換 (合計 6 つのメッセージ) を使用します。最初の 2 つのメッセージがポリシーをネゴシエートし、次の 2 つが Diffie-Hellman データを交換し、最後の 2 つが Diffie-Hellman 交換を認証します。メイン モードでは、Diffie-Hellman グループ 1、2、5、14、15、19、および 20 がサポートされています。次に説明されているように、このモードでは複数の変換を使用することができます。フェーズ 1 の変換を追加する。

アグレッシブ モード

このモードでは、3 つのメッセージのみを使用して、データを変換して 2 つの VPN エンドポイントが特定されるため、これは高速モードです。ただし、VPN エンドポイントの識別方法により、アグレッシブ モードではセキュリティが低くなります。

アグレッシブモードを使用する場合、2 つのエンドポイント間の交換の数は、メインモードを使用する場合よりも少なくなり、両方のアプライアンスの交換で使用される ID のタイプよって交換は異なります。アグレッシブ モードは、ピアのアイデンティティを保証するわけではありません。メインモードは、双方のピアのアイデンティティを保証しますが、このモードの使用は双方が静的 IP アドレスである場合に限られます。デバイスが動的 IP アドレスを使用する場合、フェーズ 1 にはアグレッシブ モードを使用します。

メインからアグレッシブにフォールバック

Firebox は、まずメイン モードでフェーズ 1 の交換を試行します。このネゴシエーションが失敗すると、アグレッシブ モードを使用します。

IKEv1 の設定で、デッド ピア ディテクションまたは IKE キープアライブを有効化することができます。そうすると、トンネルが切断されたとき、または自動的に新しいフェーズ 1 ネゴシエーションが開始されたときに、Firebox でそれが検出されるようになります。デッド ピア ディテクション (DPD) は、ほとんどの IPSec デバイスによって使用される業界標準です。両方のエンドポイント デバイスがサポートしている場合、Dead Peer Detection を選択することをお勧めします。

- IKE キープアライブとデッド ピア ディテクションの両方を有効にしないでください。
- IKE キープアライブは、Firebox のみで使用されます。ピアがサードパーティの IPSec ゲートウェイ エンドポイントである場合は、これを有効化しないでください。
- VPN フェールオーバーを構成する場合は、デッド ピア ディテクションを有効化する必要があります。VPN フェールオーバーの詳細については、次を参照してください：VPN フェールオーバーを構成する。

これらの設定が VPN トンネルの可用性に与える影響については、次を参照してください：Branch Office VPN トンネル可用性の向上。

IKEv1 のフェーズ 1 の設定を構成するには、Fireware Web UI で以下の手順を実行します。

1. BOVPN ゲートウェイまたは BOVPN 仮想インターフェイスを編集します。
2. フェーズ 1 の設定 タブをクリックします。
3. バージョン ドロップダウン リストから、IKEv1 を選択します。

1. モード ドロップダウン リストから、メイン、アグレッシブ、またはメインからアグレッシブにフォールバック を選択します。
2. Firebox と NAT デバイスの配下にある他のデバイス間で BOVPN トンネルを構築するには、NAT Traversal チェックボックスを選択します。NAT トラバースまたは UDP カプセル化により、トラフィックは正しい送信先にルートされるようになります。
3. キープアライブ間隔 テキスト ボックスに、次の NAT キープアライブ メッセージが送信されるまでの秒数を入力または選択します。
4. VPN トンネルをオープンにして Firebox から IKE ピアにメッセージが送信されるようにするには、IKE キープアライブ チェックボックスを選択します。
5. メッセージ間隔 テキスト ボックスに、次の IKE キープアライブ メッセージが送信されるまでの秒数を入力または選択します。
6. フェーズ 1 とのネゴシエートを再開するまでに Firebox が IKE キープアライブ メッセージの送信を試みる最大回数を設定するには、最大失敗回数 テキスト ボックスに目的の数値を入力します。
7. トラフィック ベースの Dead Peer Detection を有効または無効にするには、Dead Peer Detection チェック ボックスを使用します。デッド ピア ディテクションを有効にした場合、Firebox が指定された時間ピアからトラフィックを受信せず、ピアに送信されるパケットが待機している場合のみ、Firebox はピアに接続します。この方法は、IKE キープアライブ メッセージよりもスケーラブルです。
8. トラフィック アイドル タイムアウト テキスト ボックスに、Firebox がピアへの接続を試みるまでの経過時間（秒単位）を入力するか選択します。
9. 最大再試行回数 テキスト ボックスに、デッド ピアであると判定する前に Firebox が接続を試みる回数を入力するか選択します。
10. Firebox には既定の変換セットが 1 つ含まれており、これは 設定の変換 リストに表示されます。この変換では SHA-1 認証、3DES 暗号化、および Diffie-Hellman グループ 2 が指定されています。
    以下の操作を実行できます。
    - 既定の変換を使用します。
    - 既定の変換を削除して、新しいものと取り替えます。
    - 次に説明されているように、その他の変換を追加します。フェーズ 1 の変換を追加する。

IKEv1 のフェーズ 1 の設定を構成するには、Policy Manager で以下の手順を実行します。

1. BOVPN ゲートウェイまたは BOVPN 仮想インターフェイスを編集します。
2. フェーズ 1 の設定 タブをクリックします。
3. バージョン ドロップダウン リストから、IKEv1 を選択します。

1. モード ドロップダウン リストから、メイン、アグレッシブ、またはメインからアグレッシブにフォールバック を選択します。
2. Firebox と NAT デバイスの配下にある他のデバイス間で BOVPN トンネルを構築するには、NAT Traversal チェックボックスを選択します。NAT トラバースまたは UDP カプセル化により、トラフィックは正しい送信先にルートされるようになります。
3. キープアライブ間隔 テキスト ボックスに、次の NAT キープアライブ メッセージが送信されるまでの秒数を入力または選択します。
4. VPN トンネルをオープンにして Firebox から IKE ピアにメッセージが送信されるようにするには、IKE キープアライブ チェックボックスを選択します。
5. メッセージ間隔 テキスト ボックスに、次の IKE キープアライブ メッセージが送信されるまでの秒数を入力または選択します。
6. フェーズ 1 とのネゴシエートを再開するまでに Firebox が IKE キープアライブ メッセージの送信を試みる最大回数を設定するには、最大失敗回数 テキスト ボックスに目的の数値を入力します。
7. トラフィック ベースの Dead Peer Detection を有効または無効にするには、Dead Peer Detection チェック ボックスを使用します。デッド ピア ディテクションを有効にした場合、Firebox が指定された時間ピアからトラフィックを受信せず、ピアに送信されるパケットが待機している場合のみ、Firebox はピアに接続します。この方法は、IKE キープアライブ メッセージよりもスケーラブルです。
8. トラフィック アイドル タイムアウト テキスト ボックスに、Firebox がピアへの接続を試みるまでの経過時間（秒単位）を入力するか選択します。
9. 最大再試行回数 テキスト ボックスに、デッド ピアであると判定する前に Firebox が接続を試みる回数を入力するか選択します。
10. Firebox には既定の変換セットが 1 つ含まれており、これは 設定の変換 リストに表示されます。この変換では SHA-1 認証、3DES 暗号化、および Diffie-Hellman グループ 2 が指定されています。
    以下の操作を実行できます。
    - 既定の変換を使用します。
    - 既定の変換を削除して、新しいものと取り替えます。
    - 次に説明されているように、その他の変換を追加します。フェーズ 1 の変換を追加する。

### IKEv2 のフェーズ 1 の設定を構成する

IKEv2 プロトコルは IKEv1 と異なります。以下は、Firebox における IKEv1 と IKEv2 の設定における相違点の概要リストです。

- IKEv2 には複数のモードがない。
- IKEv2 では IKE キープアライブ設定がサポートされていない。
- NAT Traversal が常に有効化されている。
- デッド ピア ディテクション (DPD) が常に有効化されている。
- IETF RFC 3706 で説明されているように、デッド ピア ディテクションはトラフィック ベースかタイマー ベースである。
- トラフィック ベース DPD — 指定された時間だけリモートゲートウェイからのトラフィックが受信されず、パケットがピアに送信されるのを待機している状態である場合のみに、Firebox からリモートゲートウェイに DPD メッセージが送信される。
- タイマー ベース DPD — リモートゲートウェイから他のトラフィックを受信したか否かに関わらず、指定されたメッセージ間隔で、Firebox でリモートゲートウェイと DPD 交換が開始される。
- 動的 IP アドレスを持つピアを備えるすべての BOVPN ゲートウェイに対して、IKEv2 でフェーズ 1 の共有設定が使用される。

IKEv2 のフェーズ 1 の設定を構成するには、Fireware Web UI で以下の手順を実行します。

1. バージョン ドロップダウン リストから、IKEv2 を選択します。

Fireware Web UI では、ゲートウェイに動的 IP アドレスを持つピアがある場合は、ゲートウェイでは IKEv2 共有設定が使用され、NAT Traversal と変換の設定はゲートウェイ構成に表示されません。ゲートウェイを追加した後、VPN > IKEv2 共有設定 の順に選択して、その共有設定を表示して編集することもできます。

1. IKEv2 共有設定が使用されるゲートウェイの場合は、既定の NAT Traversal キープアライブ間隔を変更するには、キープアライブ間隔 テキスト ボックスに、Firebox から送信される NAT キープアライブ メッセージの間隔を秒数で入力または選択します。
2. デッド ピア ディテクション 設定の タイプ ドロップダウン リストから、トラフィック ベース または タイマー ベース を選択します。
3. DPD 設定を構成します。推奨設定が既定で選択されています。

トラフィック ベースの DPD の場合：

- トラフィック アイドル タイムアウト テキスト ボックスに、トラフィックが受信されていない状態から、次に Firebox からピアに DPD メッセージが送信されるまでの時間 (秒単位) を指定します。
- 最大再試行回数 テキスト ボックスに、Firebox から DPD 要求メッセージの送信が試行される回数を指定します。この回数に達すると、デッド ピアとみなされます。

タイマー ベースの DPD の場合：

- メッセージ間隔 テキスト ボックスに、Firebox からピアに DPD メッセージが送信される間隔を秒数で指定します。
- 最大再試行回数 テキスト ボックスに、ピアによる応答の失敗が許容される回数を指定します。この回数に達すると、Firebox でそれがデッド ピアとみなされます。

Fireware Web UI では、ゲートウェイに動的 IP アドレスを持つピアがある場合は、ゲートウェイでは IKEv2 共有設定が使用され、NAT Traversal と変換の設定はゲートウェイ構成に表示されません。ゲートウェイを追加した後、VPN > IKEv2 共有設定 の順に選択して、その共有設定を表示して編集することもできます。詳細については、次を参照してください：IKEv2 の共有された設定を構成する。

5. IKEv2 共有設定が使用されないゲートウェイの場合は、ゲートウェイ構成で変換設定を編集することができます。Firebox には既定の変換セットが 1 つ含まれており、これは 設定の変換 リストに表示されます。この変換では SHA-1 認証、3DES 暗号化、および Diffie-Hellman グループ 2 が指定されています。
   以下の操作を実行できます。
   - 既定の変換を使用します。
   - 既定の変換を削除して、新しいものと取り替えます。
   - 次に説明されているように、その他の変換を追加します。フェーズ 1 の変換を追加する。

IKEv2 のフェーズ 1 の設定を構成するには、Policy Manager で以下の手順を実行します。

1. バージョン ドロップダウン リストから、IKEv2 を選択します。

リモートゲートウェイ ピアに動的 IP アドレスがある場合は、IKEv2 設定の一部が共有されます。共有されない設定は ゲートウェイ設定 タブに表示され、共有設定は 共有設定 タブに表示されます。

1. デッド ピア ディテクション 設定の タイプ ドロップダウン リストから、トラフィック ベース または タイマー ベース を選択します。
2. DPD 設定を構成します。推奨設定が既定で選択されています。

トラフィック ベースの DPD の場合：

- トラフィック アイドル タイムアウト テキスト ボックスに、トラフィックが受信されていない状態から、次に Firebox からピアに DPD メッセージが送信されるまでの時間 (秒単位) を指定します。
- 最大再試行回数 テキスト ボックスに、Firebox から DPD 要求メッセージの送信が試行される回数を指定します。この回数に達すると、デッド ピアとみなされます。

タイマー ベースの DPD の場合：

- メッセージ間隔 テキスト ボックスに、Firebox からピアに DPD メッセージが送信される間隔を秒数で指定します。
- 最大再試行回数 テキスト ボックスに、ピアによる応答の失敗が許容される回数を指定します。この回数に達すると、Firebox でそれがデッド ピアとみなされます。

4. ゲートウェイで共有設定が使用される場合は、共有設定 タブを選択します。

4. 既定の NAT Traversal キープアライブ間隔を変更するには、キープアライブ間隔 テキスト ボックスに、Firebox から送信される NAT キープアライブ メッセージの間隔を秒数で入力または選択します。
5. Firebox には既定の変換セットが 1 つ含まれており、これは 設定の変換 リストに表示されます。この変換では SHA-1 認証、3DES 暗号化、および Diffie-Hellman グループ 2 が指定されています。
   以下の操作を実行できます。
   - 既定の変換を使用します。
   - 既定の変換を削除して、新しいものと取り替えます。
   - 次に説明されているように、その他の変換を追加します。フェーズ 1 の変換を追加する。

IKEv2 NAT Traversal とフェーズ 1 変換の共有設定における変更はすべて、動的 IP アドレスを持つリモート ピアを備えるすべてのゲートウェイに適用されます。IKEv2 共有設定の詳細については、次を参照してください：IKEv2 の共有された設定を構成する。

#### 関連情報

手動 BOVPN ゲートウェイを構成する

BOVPN ゲートウェイのゲートウェイ エンドポイントを定義する

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索