関連トピック

# Firebox から Cisco ISR デバイスに VPN を設定する

Branch office virtual private network (BOVPN) トンネルは、インターネット上でデータを交換するためのネットワークやホストとネットワークのセキュアウェイです。この文書では、WatchGuard Firebox デバイスと Cisco Integrated Services Router (この例では 877 DSL モデム) 間に手動 BOVPN トンネルを定義する方法を説明します。この構成では各デバイスの外部インターフェイス間にすでに接続が確立されていることを前提としています。この例でのCisco デバイスはスプリット トンネルとして構成されます。

WatchGuard は、WatchGuard 製品が他の会社で製造された製品で動作できるように構成するために、お客様の役に立つ相互運用性に関する指示を提供します。WatchGuard 以外の製品を構成するとき、詳細の情報またはテクニカル サポートが必要な場合、この製品のドキュメントおよびサポート リソースを参照してください。

## IP アドレスとトンネルの設定の収集

Manual BOVPN トンネルを作成するには、まずIPアドレスを収集し、エンドポイントで使用される設定を決定します。

この例では、2 つのデバイスで以下のネットワーク設定を使用します。

Firebox：

外部インターフェイス の IP アドレス：203.0.113.2

信頼済みネットワークの IP アドレス：192.168.20.0/24

Cisco ISR デバイス：

外部インターフェイス の IP アドレス：198.51.100.2

プライベート ネットワークの IP アドレス：192.168.1.0/24

この例では、両方のエンドポイントに静的外部 IP アドレスが指定されています。Branch Office VPN から動的外部 IP アドレスが指定されたデバイスへの接続については、次を参照してください：BOVPN ゲートウェイのゲートウェイ エンドポイントを定義する。

フェーズ 1 とフェーズ 2 にどの設定を使用するかを選択する必要があります。この例では、Fireware v11.12.4 を実行している Firebox の既定のフェーズ 1 とフェーズ 2 の VPN 構成設定を使用します。その後、Cisco ISR デバイスの VPN 構成設定が Firebox の既定の設定に一致するように構成します。

VPN エンドポイントを正しく構成され、両方のデバイスでフェーズ 1 とフェーズ 2 の設定が同じであることを確認します。設定が一致しない場合はトンネルを作成することはできません。

Fireware v12.0 以降では、既定の BOVPN セキュリティ設定が異なります。これらの設定がお使いの Cisco デバイスと互換性があるかどうかを確認するには、Cisco デバイスのマニュアルを参照してください。

## WatchGuard デバイスを構成する

Firebox に VPN ゲートウェイおよびゲートウェイを使用する VPN トンネルを追加する必要があります。

### VPN ゲートウェイを追加する

VPN ゲートウェイを追加するには、Fireware Web UI で以下の手順を実行します。

1. VPN > Branch Office VPN の順に選択します。
2. ゲートウェイ セクションで、追加 をクリックします。
   ゲートウェイの設定 ページが表示されます。

1. ゲートウェイ名 テキスト ボックスに、Policy Manager のこのゲートウェイを識別する名前を入力します。
2. 事前共有キーを入力します。Cisco ISR デバイスを構成する場合と同じキーを使用する必要があります。
3. ゲートウェイ エンドポイント セクションで、追加 をクリックします。
   [新しいゲートウェイ エンドポイントの設定] ダイアログ ボックスが表示されます。

1. 外部インターフェイス ドロップダウン リストから、使用する外部インターフェイスを選択します。
2. IP アドレスで指定 テキスト ボックスに、Firebox の外部 IPアドレスを入力します。
   この例では、ローカル ゲートウェイの IP アドレスは 203.0.113.2 です。
3. リモートゲートウェイ タブを選択します。

1. IP アドレス テキスト ボックスに、Cisco ISR デバイスの外部 IP アドレスを入力します。
   この例では、リモートゲートウェイの IP アドレスは 198.51.100.2 です。
2. OK をクリックして、ゲートウェイ エンドポイントの設定を追加します。
3. 保存 をクリックして、新しいゲートウェイを保存します。
   ゲートウェイ リストに新しいゲートウェイが表示されます。

Branch Office VPN ゲートウェイを追加するには、Policy Manager から以下の手順を実行します：

1. VPN > Branch Officeゲートウェイ の順に選択します。
   ゲートウェイ ダイアログ ボックスが表示されます。
2. 追加 をクリックします。
   新しいゲートウェイ ダイアログ ボックスが表示されます。

1. ゲートウェイ名 テキスト ボックスに、Policy Manager のこのゲートウェイを識別する名前を入力します。
2. 事前共有キーを入力します。Cisco ISR デバイスを構成する場合と同じキーを使用する必要があります。
3. ゲートウェイ エンドポイント セクションで、追加 をクリックします。
   [新しいゲートウェイ エンドポイントの設定] ダイアログ ボックスが表示されます。

1. [ローカル ゲートウェイ] セクションの [外部インターフェイス] ドロップダウン リストから、使用する外部インターフェイスを選択します。
2. IP アドレスで指定 テキスト ボックスに、Firebox の外部 IPアドレスを入力します。
   この例では、ローカル ゲートウェイの IP アドレスは 203.0.113.2 です。
3. リモートゲートウェイ セクションの 2 つの IP アドレス テキスト ボックスに、Cisco ISR デバイスの外部 IP アドレスを入力します。
   この例では、リモートゲートウェイの IP アドレスは 198.51.100.2 です。
4. OK をクリックして、ゲートウェイ エンドポイントの設定を追加します。
5. OK をクリックして、新しいゲートウェイを保存します。
   ゲートウェイ ダイアログ ボックスに新しいゲートウェイが表示されます。
6. 閉じる をクリックして、ゲートウェイ ダイアログ ボックスを閉じます。

### Branch Office VPN トンネルを追加する

Fireware Web UI から、Branch Office VPN トンネルを追加するには、以下の手順を実行します：

1. トンネル セクションで、追加 をクリックします。
   トンネル ページが表示されます。

1. トンネル名 テキスト ボックスに、トンネルの名前を入力します。
2. ゲートウェイ ドロップダウン リストから、直前に作成したゲートウェイを選択します。
3. アドレス タブで、追加 をクリックして新しいトンネル ルートを追加します。
   [トンネル ルートの設定] ダイアログ ボックスが表示されます。

1. 各サイトのプライベート ネットワーク間にトンネル ルートを作成するには、以下の手順を実行します。

- ローカル IP セクションの 種類の選択 ドロップダウン リストから、ネットワーク IPv4 を選択します。ネットワーク IP テキスト ボックスに、Firebox の信頼済みネットワークのネットワーク IP アドレスを入力します。
  この例では、ローカルの信頼済みネットワークの IPアドレスは 192.168.20.0/24 です。
- リモート IP セクションの 種類の選択 ドロップダウン リストから、ネットワーク IPv4 を選択します。ネットワーク IP テキスト ボックスに、Cisco ISR デバイスのプライベート ネットワークのネットワーク IP アドレスを入力します。
  この例では、リモートのプライベート ネットワークの IP アドレスは 192.168.1.0/24 です。

7. OK をクリックして、新しいトンネル ルートを追加します。
8. 保存 をクリックして新しいトンネルを追加します。

トンネルを保存すると、Fireware が自動的に 2 つの新しいポリシーを追加します。

- ポリシー BOVPN-Allow.out は以下のトラフィックを許可します：
  - 送信元：Any
  - 送信先：tunnel-to-Cisco-ISR
- ポリシー BOVPN-Allow.in は以下のトラフィックを許可します：
  - 送信元：tunnel-to-Cisco-ISR
  - 送信先：Any

Branch Office VPN トンネルを追加するには、Policy Manager から以下の手順を実行します：

1. VPN > Branch Office トンネル の順に選択します。
2. 追加 をクリックします。
   新しいトンネル ダイアログ ボックスが表示されます。

1. トンネル名 テキスト ボックスに、トンネルの名前を入力します。
2. ゲートウェイ ドロップダウン リストから、直前に作成したゲートウェイを選択します。
3. アドレス タブで、追加 をクリックして新しいトンネル ルートを追加します。
   [トンネル ルートの設定] ダイアログ ボックスが表示されます。

1. 各サイトのプライベート ネットワーク間にトンネル ルートを作成するには、以下の手順を実行します。

- ローカル テキスト ボックスに、Firebox の信頼済みネットワークのネットワーク IP アドレスを入力します。
  この例では、ローカルの信頼済みネットワークの IPアドレスは 192.168.20.0/24 です。
- リモート テキスト ボックスに、Cisco ISR デバイスのプライベート ネットワークのネットワーク IP アドレスを入力します。
  この例では、リモートのプライベート ネットワークの IP アドレスは 192.168.1.0/24 です。

7. OK をクリックして、新しいトンネル ルートを追加します。
8. OK をクリックして新しいトンネルを追加します。
   [Branch Office IPSec トンネル] ダイアログ ボックスに新しいトンネルが表示されます。
9. 閉じる をクリックして [Branch Office IPSec トンネル] ダイアログ ボックスを閉じます。
   Policy Manager によって BOVPN-Allow.out と BOVPN-Allow.in の 2 つの新しいポリシーが自動的に追加されます。

7. 構成を Firebox に保存します。

## Cisco ISR デバイスの構成

以下のステップに従って、VPN ゲートウェイとトンネルを Cisco ISR デバイスに設定します。

1. Cisco CLI の有効化モードにログインし、構成モード (conf t) に移行します。
2. 必要に応じて、NAT に使用するアクセス リストを変更し、VPN トラフィックの変換を防止します。

Router(config)#ip access-list extended NAT_ACL

Router(config-ext-nacl)#deny ip 192.168.1.0 0.0.0.255 192.168.20.0 0.0.0.255

Router(config-ext-nacl)#permit ip 192.168.1.0 0.0.0.255 any

Router(config-ext-nacl)#end

Router#conf t

Router(config)#ip nat inside source list NAT_ACL interface Dialer0 overload (Dialer0 をインターネットに接続しているインターフェイスと置換)

1. フェーズ 1 の設定を構成します。

Router(config)#crypto isakmp policy 1

Router(config-isakmp)#encryption 3des

Router(config-isakmp)#group 2

Router(config-isakmp)#hash sha

Router(config-isakmp)#authentication pre-share

Router(config-isakmp)#end

Router#conf t

Router(config)#crypto isakmp key 0 Password1! address 203.0.113.2

1. フェーズ 2 の設定を構成します。

Router(config)#crypto ipsec transform-set vpn esp-aes 256 esp-sha-hmac

Router(config)#crypto map towatchguard 1 ipsec-isakmp

Router(config-crypto-map)#description tunnel_to_watchguard

Router(config-crypto-map)#set peer 203.0.113.2

Router(config-crypto-map)#set security-association lifetime kilobytes 1280000

Router(config-crypto-map)#set security-association lifetime seconds 86400

Router(config-crypto-map)#set transform-set vpn

Router(config-crypto-map)#match address 100 (必ずアクセス リスト 100 を作成)

Router(config-crypto-map)#reverse-route

1. アクセスリスト 100 を以下の手順で追加します。

Router(config)#access-list 100 permit ip 192.168.1.0 0.0.0.255 192.168.20.0 0.0.0.255

1. VPN をインターフェイスに以下の手順で追加します。

Router(config)#interface Dialer0 (Dialer0 をインターネットに接続しているインターフェイスと置換)

Router(config-if)#crypto map vpn

1. 構成を Cisco に保存する (write mem)

## VPN トンネルのトラブルシューティング

Cisco デバイスから VPN 接続のトラブルシューティングを行うには、Cisco CLI で以下のコマンドを使用します。

Router#clear crypto sessions (手動で SA をリセット)

Router#debug crypto isakmp

Router#debug crypto ipsec

Firebox から VPN トンネルのトラブルシューティングを行うには、VPN 診断レポートを実行します。

詳細については、次を参照してください：VPN 診断レポートを使用する

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索