関連トピック

# メトリックス ベースのフェール オーバーの BOVPN 仮想インターフェイス

ルートを使用して、BOVPN 仮想インターフェイス経由でどのトラフィックを送信するかを定義するため、複数の BOVPN 仮想インターフェイスを作成して、同じネットワークで複数のルートに異なるメトリックを設定することができます。こうすることで、プライマリ トンネルが利用できない場合に、プライマリ トンネル経由の BOVPN 仮想インターフェイスのルートを、BOVPN 仮想インターフェイスが別のトンネルを経由するようにフェールオーバーを構成することができます。

## シナリオ例

この例では、サイト A とサイト B の Firebox 間の 2 つの BOVPN 仮想インターフェイスの設定を構成する方法が示されています。この構成では、BOVPN 仮想インターフェイス構成に異なるルート メトリックを使用して、どちらの BOVPN 仮想インターフェイスのルートを優先するかを制御します。

この例では、サイト A のデバイスに 2 つの外部インターフェイスがあり、一方の外部インターフェイスがサイト B への送信トラフィックにおける優先ルートであることを前提としています。こちらを優先する理由は、そのインターフェイスのほうが低コストであるか、またはより高速なスループットを持っているかのいずれかとします。プライマリ外部インターフェイスが利用できない場合にのみ、VPN トラフィックでセカンダリ外部インターフェイスが使用されます。

### サイト A の Firebox

この例では、サイト A の Firebox に 2 つの外部インターフェイス、1 つの信頼済みネットワーク、および 1 つの任意ネットワークがあるとします。

インターフェイス | 種類 | 名前 | IP アドレス
--- | --- | --- | ---
0 | 外部 | 外部 | 203.0.113.2/24
1 | 信頼済み | 信頼済み | 10.0.1.1/24
2 | 任意 | オプション-1 | 10.0.2.1/24
3 | 外部 | 外部-2 | 190.0.2.2/24

### サイト B の Firebox

この例では、サイト B の Firebox に 1 つの外部インターフェイスおよび 1 つの信頼済みネットワークがあるとします。

インターフェイス | 種類 | 名前 | IP アドレス
--- | --- | --- | ---
0 | 外部 | 外部 | 198.51.100.2/24
1 | 信頼済み | 信頼済み | 10.50.1.1/24

## BOVPN 仮想インターフェイス構成レポート

各サイトの Fireboxes には、2 つの BOVPN 仮想インターフェイスが構成されている必要があります。1 つの BOVPN 仮想インターフェイスはサイト A のデバイスでインターフェイス 0（外部）を使用し、2 番目の BOVPN 仮想インターフェイスはサイト A のデバイスでインターフェイス 3（外部-2）を使用します。このデバイス間の VPN トラフィックにおいてはインターフェイス 0 が優先インターフェイスであるため、インターフェイス 0 を使用するプライマリ BOVPN 仮想インターフェイスには低メトリックのルートがあります。これにより、その仮想インターフェイスが利用可能な状態であれば、プライマリ BOVPN 仮想インターフェイス経由が最優先のルートとなります。優先度の低い外部インターフェイスを使用する BOVPN 仮想インターフェイスの同じルートにはそれぞれ高いメトリックが設定されているため、他の BOVPN 仮想インターフェイス経由のルートが利用できない場合のみに、これらのルートが使用されます。

各 Firebox の BOVPN 仮想インターフェイスは、同じ設定を使用するように構成する必要があります。この例では、サイト A とサイト B が、事前共有キーを使用することに合意していることを前提としています。他すべての BOVPN 仮想インターフェイスの設定は、既定値のままです。

### サイト A の BOVPN 仮想インターフェイス

サイト A のプライマリ BOVPN 仮想インターフェイスには、以下のゲートウェイ設定が用いられます。

- Fireware v11.12 以降では、リモート エンドポイント タイプ ドロップダウン リストが表示され、それには Firebox と クラウド VPN またはサードパーティ ゲートウェイ の 2 つのオプションが含まれています。2 つの Firebox の間にトンネルを構成する場合は、GRE プロトコルを使用して IPSec トンネルをカプセル化する Firebox エンドポイント タイプを選択します。
- 認証メソッド では、2 つのサイトが合意した事前共有キーを使用します。
- ゲートウェイ エンドポイント リストには、1 つのゲートウェイ エンドポイントのペアが含まれます：
  - 外部インターフェイス：外部
  - ローカル ゲートウェイ：203.0.113.2（サイト A の Firebox における最初の外部インターフェイスの IP アドレス）
  - リモートゲートウェイ：198.51.100.2（サイト B の Firebox における外部インターフェイスの IP アドレス）

サイト A のプライマリ BOVPN 仮想インターフェイスには、サイト B の信頼済みネットワークへの 1 つの VPN ルートがあります。

- ルーティング先：10.50.1.0/24、メトリック 1

サイト A のセカンダリ BOVPN 仮想インターフェイスには、以下のゲートウェイ設定が用いられます。

- Fireware v11.12 以降では、リモート エンドポイント タイプ ドロップダウン リストが表示され、それには Firebox と クラウド VPN またはサードパーティ ゲートウェイ の 2 つのオプションが含まれています。2 つの Firebox の間にトンネルを構成する場合は、GRE プロトコルを使用して IPSec トンネルをカプセル化する Firebox エンドポイント タイプを選択します。
- 認証メソッド では、2 つのサイトが合意した事前共有キーを使用します。
- ゲートウェイ エンドポイント リストには、1 つのゲートウェイ エンドポイントのペアが含まれます：
  - 外部インターフェイス：外部-2
  - ローカル ゲートウェイ：190.0.2.2（サイト A の Firebox における 2 番目の外部インターフェイスの IP アドレス）
  - リモートゲートウェイ：198.51.100.2（サイト B の Firebox における外部インターフェイスの IP アドレス）

サイト A のセカンダリ BOVPN 仮想インターフェイスには、サイト B の信頼済みネットワークへの 1 つの VPN ルートがあります。

- ルーティング先：10.50.1.0/24、メトリック 200

### サイト B の BOVPN 仮想インターフェイス

サイト B のデバイスには、2 つの BOVPN 仮想インターフェイスがあります。

サイト B のプライマリ BOVPN 仮想インターフェイスには、以下のゲートウェイ設定が使用されます。

- Fireware v11.12 以降では、リモート エンドポイント タイプ ドロップダウン リストが表示され、それには Firebox と クラウド VPN またはサードパーティ ゲートウェイ の 2 つのオプションが含まれています。2 つの Firebox の間にトンネルを構成する場合は、GRE プロトコルを使用して IPSec トンネルをカプセル化する Firebox エンドポイント タイプを選択します。
- 認証メソッド では、2 つのサイトが合意した事前共有キーを使用します。
- ゲートウェイ エンドポイント リストには、1 つのゲートウェイ エンドポイントのペアが含まれます：
  - ローカル ゲートウェイ：198.51.100.2（サイト B の Firebox における外部インターフェイスの IP アドレス）
  - リモートゲートウェイ：203.0.113.2（サイト A の Firebox における最初の外部インターフェイスの IP アドレス）

サイト B のプライマリ BOVPN 仮想インターフェイスには、サイト A の信頼済みネットワークと任意ネットワークへの 2 つの VPN ルートがあります。

- ルーティング先：10.0.1.0/24、メトリック 1
- ルーティング先：10.0.2.0/24、メトリック 1

サイト B のセカンダリ BOVPN 仮想インターフェイスには、以下のゲートウェイ設定が用いられます。

- Fireware v11.12 以降では、リモート エンドポイント タイプ ドロップダウン リストが表示され、それには Firebox と クラウド VPN またはサードパーティ ゲートウェイ の 2 つのオプションが含まれています。2 つの Firebox の間にトンネルを構成する場合は、GRE プロトコルを使用して IPSec トンネルをカプセル化する Firebox エンドポイント タイプを選択します。
- 認証メソッド では、2 つのサイトが合意した事前共有キーを使用します。
- ゲートウェイ エンドポイント リストには、1 つのゲートウェイ エンドポイントのペアが含まれます：
  - ローカル ゲートウェイ：198.51.100.2 (サイト B の Firebox における外部インターフェイスの IP アドレス）
  - リモートゲートウェイ：190.0.2.2（サイト A の Firebox における 2 番目の外部インターフェイスの IP アドレス）

サイト B のセカンダリ BOVPN 仮想インターフェイスには、サイト A の信頼済みネットワークと任意ネットワークへの 2 つの VPN ルートがあります。

- ルーティング先：10.0.1.0/24、メトリック 200
- ルーティング先：10.0.2.0/24、メトリック 200

## この構成の仕組み

この例では、各 Firebox にピア Firebox への 2 つの BOVPN 仮想インターフェイスがあるとします。メトリックを除き、両方の BOVPN 仮想インターフェイスに構成されているルートは同じです。Firebox は最小のメトリック（最高の優先度）のルートを使用します。したがって、以下のようになります。

両方の BOVPN 仮想インターフェイスが利用可能な場合

プライマリ BOVPN 仮想インターフェイスのルートは優先度が最も高いため（メトリックが最も低い）、Firebox はこれを経由するルートを使用します。

プライマリ BOVPN 仮想インターフェイスが利用可能でなく、セカンダリ BOVPN 仮想インターフェイスが利用可能な場合

Firebox は自動的に、プライマリ BOVPN 仮想インターフェイスを使用するルートのメトリックを 255 に変更します。これにより、このルートの優先度が最も低くなります。そして、メトリックが 200 のルートの優先度が最も高くなるため、Firebox は 2 番目の BOVPN 仮想インターフェイス経由のルートを使用することになります。

プライマリ BOVPN 仮想インターフェイスが再び利用可能になった場合

Firebox は自動的に、プライマリ BOVPN 仮想インターフェイス経由のルートのルート メトリックを構成済みのルート メトリック（この例では 1）に再び変更します。プライマリ BOVPN 仮想インターフェイスのルートは優先度が最も高いため、2 つのサイト間のトラフィックは自動的にプライマリ BOVPN 仮想インターフェイス経由のルートを使用します 。

必要に応じて、ルートがダウンしている際に、メトリックを増加するのではなく、Firebox から完全にルートを削除するように構成することができます。詳細については、次を参照してください：グローバル VPN 設定について。

#### 関連情報

BOVPN 仮想インターフェイスを構成する

VPN ルートを構成する

BOVPN 仮想インターフェイスの例

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索