関連トピック

# VPN フェールオーバーを構成する

Firebox は一度に 1 つのインターフェイスで特定の VPN を終端することができます。デバイスに複数の外部インターフェイスがある場合でそのいずれかが使用できない場合は、Firebox は、異なる外部インターフェイス経由で VPN とのネゴシエーションを試みることができます。また、Fireboxのモデム フェール オーバーが有効化されている場合には、VPN フェール オーバーにモデムを使用することができます。

フェールオーバーは、高度な可用性を必要とするネットワークにとって重要な機能です。複数 WAN フェールオーバーを構成している場合は、障害が発生すると、VPN トンネルがバックアップ外部インターフェイスに自動的にフェールオーバーされます。VPN トンネルは、プライマリ エンドポイントが使用できなくなった場合に、バックアップ ピア エンドポイントにフェールオーバーするように構成することもできます。

このトピックは、Manual VPN トンネルだけに適用されます。複数 WAN 構成で Managed トンネルを作成している場合は、トンネルの両端の外部インターフェイスを含むゲートウェイ ペアが、WSM によって自動的にセットアップされます。その他の構成は不要です。

VPN フェールオーバーは、次の 2 つのイベントのいずれかの場合に発生します。

- 物理リンクが切断された場合。Firebox では、VPN ゲートウェイおよび複数 WAN リンク監視構成で特定されたデバイスのステータスが監視されます。物理リンクが切断されると、VPN フェールオーバーが行われます。
- Firebox は VPN ピアがアクティブでないことを検出します。

トンネルで IKE キープアライブが使用される場合に、フェールオーバーが発生すると、IKE ではピアに対するフェーズ 1 のキープアライブ パケットの送信が続行されます。応答を受信すると、IKE はプライマリ VPN ゲートウェイに対してフェールバックをトリガします。トンネルが Dead Peer Detection を使用すると、プライマリ VPN ゲートウェイから応答を受信した場合に、フェールバックが発生します。

フェールオーバー イベントが発生すると、ほとんどの新しい接続および既存の接続が自動的にフェールオーバーされます。たとえば、FTP “PUT” コマンドを実行してプライマリ VPN パスが切断されると、既存の FTP 接続はバックアップ VPN パスで続行されます。接続は失われませんが、多少の遅延が発生します。

VPN フェールオーバーの要件：

- 各トンネルのエンドポイントにあるデバイスには、Fireware v11.0 以降を実行している Firebox がインストールされている必要があります。
- 次に説明されているように、複数 WAN フェールオーバーを構成する必要があります。複数 WAN について。
- Firebox のインターフェイスが、リモート Firebox のゲートウェイのペアとしてリストされている必要があります。既に複数 WAN フェールオーバーを構成している場合は、VPN トンネルがバックアップ インターフェイスに自動的にフェールオーバーされます。
- DPD は、トンネルの各端にある Branch Office Gateways に対して、フェーズ 1 の設定で有効化されている必要があります。

VPN フェールオーバーは、サードパーティ製デバイスへの VPN 接続ではサポートされていません。

トンネル構成の一部として動的 NAT が有効になっている BOVPN トンネルでは、VPN フェールオーバーは行われません。NAT を使用しない BOVPN トンネルでは VPN フェールオーバーが行われ、BOVPN セッションが続行されます。Mobile VPN トンネルでは、セッションは続行されません。新しい Mobile VPN トンネルを作成するには、Mobile VPN クライアントを再度認証する必要があります。

## 複数ゲートウェイ ペアを定義する

いずれかのエンドポイント デバイスに、IKE ネゴシエーションの送受信に使用できる複数の外部インターフェイスがある場合は、Branch Office VPN ゲートウェイ構成で、複数のローカルおよびリモートのエンドポイント セットを追加することができます (ゲートウェイ エンドポイントのペア)。手動 BOVPN トンネルがバックアップ エンドポイントにフェールオーバーするように構成するには、トンネルが使用する Branch Office VPN ゲートウェイに、複数のローカルおよびリモートのエンドポイント セット (ゲートウェイ ペア) を定義する必要があります。

複数 WAN 構成で Managed トンネルを作成している場合は、トンネルの両端の外部インターフェイスを含むゲートウェイ ペアが、WSM によって自動的にセットアップされます。その他の構成は不要です。

VPN 構成で完全なフェールオーバー機能を構成するには、トンネルの両側における外部インターフェイスのそれぞれの組み合わせについて、ゲートウェイ ペアを定義する必要があります。たとえば、それぞれ 2 つの外部インターフェイスを持つ 2 つの Firebox を考えてください。

ローカル Firebox

プライマリ外部インターフェイス の IP アドレス：203.0.113.2

セカンダリ外部インターフェイス の IP アドレス：192.0.2.1

リモート Firebox

プライマリ外部インターフェイス の IP アドレス：198.51.100.2

セカンダリ外部インターフェイス の IP アドレス：192.0.2.2

完全な VPN フェールオーバーを設定するには、ローカル Firebox の Branch Office ゲートウェイに 4 つのゲートウェイ ペアを追加する必要があります。

203.0.113.2 — 198.51.100.2
203.0.113.2 — 192.0.2.2
192.0.2.1 — 198.51.100.2
192.0.2.1 — 192.0.2.2

Fireware Web UI から、ゲートウェイ エンドポイントの設定を構成するには、以下の手順を実行します：

1. VPN > Branch Office VPN の順に選択します。
2. ゲートウェイ リストで 追加 をクリックして、新しいゲートウェイを追加します。次に説明されているように、ゲートウェイに名前を付けて、認証メソッドを定義します。手動 BOVPN ゲートウェイを構成する.
3. ゲートウェイ エンドポイント セクションで、追加 をクリックします。
   ゲートウェイ エンドポイントの設定 ダイアログ ボックスが表示されます。

3. ローカル ゲートウェイの場所を指定します。外部インターフェイス ドロップダウン リストから、ローカル ゲートウェイの IP アドレスまたは追加したドメイン名に一致する外部インターフェイスの名前を選択します。
4. リモートゲートウェイ タブを選択します。

3. ローカル ゲートウェイの場所を指定します。リモート ゲートウェイには、ゲートウェイ IP アドレスとゲートウェイ ID の両方を追加することができます。通常、ゲートウェイ ID は IP アドレスです。リモートゲートウェイが NAT デバイスの配下にあり、NAT デバイスの配下にあるネットワークに対する認証でさらに情報が必要となる場合、IP アドレス以外をゲートウェイ ID として使用する必要がある場合があります。
4. OK をクリックして、[ゲートウェイ エンドポイントの設定] ダイアログ ボックスを閉じます。
   定義したゲートウェイ ペアが、ゲートウェイ エンドポイントのリストに追加されます。
5. 前の手順を繰り返して、このゲートウェイ構成にゲートウェイ ペアを追加します。ゲートウェイ に追加できるゲートウェイ ペアは最大 9 つまでです。ペアを選択して、上に移動 または 下に移動 をクリックし、Firebox が接続を試みる順序を変更します。

3. 保存 をクリックします。

ゲートウェイ エンドポイントの設定を構成するには、Policy Manager から以下の手順を実行します：

1. VPN > Branch Officeゲートウェイ の順に選択します。追加 をクリックして、新しいゲートウェイを追加します。次に説明されているように、ゲートウェイに名前を付けて、認証メソッドを定義します。手動 BOVPN ゲートウェイを構成する.
2. 新しいゲートウェイ ダイアログ ボックスの ゲートウェイ エンドポイント セクションで、追加 をクリックします。
   新しいゲートウェイ エンドポイントの設定 ダイアログ ボックスが表示されます。

3. ローカル ゲートウェイの場所を指定します。外部インターフェイス ドロップダウン リストから、ローカル ゲートウェイの IP アドレスまたは追加したドメイン名に一致する外部インターフェイスの名前を選択します。
4. ローカル ゲートウェイの場所を指定します。リモート ゲートウェイには、ゲートウェイ IP アドレスとゲートウェイ ID の両方を追加することができます。通常、ゲートウェイ ID は IP アドレスです。リモートゲートウェイが NAT デバイスの配下にあり、NAT デバイスの配下にあるネットワークに対する認証でさらに情報が必要となる場合、IP アドレス以外をゲートウェイ ID として使用する必要がある場合があります。
5. OK をクリックして、新しいゲートウェイ エンドポイントの設定 ダイアログ ボックスを閉じます。
   定義したゲートウェイ ペアが、ゲートウェイ エンドポイントのリストに追加されます。
6. 前の手順を繰り返して、このゲートウェイ構成にゲートウェイ ペアを追加します。ゲートウェイ に追加できるゲートウェイ ペアは最大 9 つまでです。ペアを選択して、上に移動 または 下に移動 をクリックし、Firebox が接続を試みる順序を変更します。

3. OK をクリックします。

リモート Firebox と同じ手順で、対応するローカルとリモートの IP アドレスが指定されている 4 つのゲートウェイのペアを追加します。

リモート Firebox では、ゲートウェイ エンドポイント リストのローカルとリモートのゲートウェイは次のようになります。

198.51.100.2 — 203.0.113.2
192.0.2.2 — 203.0.113.2
198.51.100.2 — 192.0.2.1
192.0.2.2 — 192.0.2.1

各ゲートウェイ アドレスのペアは、両方の Firebox のゲートウェイ エンドポイントのリストと同じ順序で一覧されている必要があります。

#### 関連情報

VPN モデム フェール オーバーを構成する

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索